WO2022021258A1 - 一种通信方法及装置 - Google Patents

一种通信方法及装置 Download PDF

Info

Publication number
WO2022021258A1
WO2022021258A1 PCT/CN2020/106013 CN2020106013W WO2022021258A1 WO 2022021258 A1 WO2022021258 A1 WO 2022021258A1 CN 2020106013 W CN2020106013 W CN 2020106013W WO 2022021258 A1 WO2022021258 A1 WO 2022021258A1
Authority
WO
WIPO (PCT)
Prior art keywords
service
mac
target
length
node
Prior art date
Application number
PCT/CN2020/106013
Other languages
English (en)
French (fr)
Inventor
王勇
陈璟
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN202210612653.XA priority Critical patent/CN115175189A/zh
Priority to CN202210602062.4A priority patent/CN115550924A/zh
Priority to PCT/CN2020/106013 priority patent/WO2022021258A1/zh
Priority to KR1020237005735A priority patent/KR20230040368A/ko
Priority to JP2023503473A priority patent/JP2023537680A/ja
Priority to CN202080015203.1A priority patent/CN113455034B/zh
Priority to EP20946555.8A priority patent/EP4185003A4/en
Publication of WO2022021258A1 publication Critical patent/WO2022021258A1/zh
Priority to US18/157,594 priority patent/US20230171602A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/37—Managing security policies for mobile devices or for controlling mobile applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W28/00—Network traffic management; Network resource management
    • H04W28/16—Central resource management; Negotiation of resources or communication parameters, e.g. negotiating bandwidth or QoS [Quality of Service]
    • H04W28/18—Negotiating wireless communication parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W74/00—Wireless channel access, e.g. scheduled or random access
    • H04W74/04—Scheduled or contention-free access

Definitions

  • the present invention relates to the technical field of communication, and in particular, to the technical field of short-range communication, such as cockpit domain communication. Specifically, it relates to a communication method and device.
  • Authentication Code, MAC MAC
  • the MAC length supported by LTE and the fifth generation (5th generation, 5G) communication protocol is 32 bits
  • the WPA2/WPA3 protocol of Wi-Fi when using TKIP, CCMP-128, GCMP-128 algorithms
  • the MAC length is 64 bits
  • the Bluetooth protocol uses the AES-CCM algorithm
  • the MAC length is 32 bits.
  • MAC length For example, if a MAC with a long fixed length (such as a 256-bit or 128-bit MAC) is used, the MAC will occupy a larger proportion in the message, which will have a greater impact on the efficiency of message transmission.
  • the security of different MAC lengths is different. The longer the MAC length is, the higher the security is. If a shorter MAC is used, it is not enough to protect the data security. Therefore, in the existing communication process, the fixed-length MAC cannot meet the requirements.
  • the embodiment of the present application discloses a communication method and device, which can determine a MAC length that meets a requirement and improve the flexibility of MAC length selection.
  • an embodiment of the present application provides a communication method, the method includes:
  • association request message including information about the security algorithms supported by the second node
  • the first MAC is generated through the target security algorithm of the signaling plane, and the length of the first MAC is the length of the target MAC of the signaling plane.
  • the first node determines the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the information of the security algorithm supported by the second node through the algorithm policy, and then uses the target MAC address of the signaling plane.
  • the length is used as the MAC length of the signaling message between the first node and the second node.
  • the algorithm selection policy may be pre-configured or defined according to the communication requirements of the first node. For example, an algorithm with higher security and a longer MAC length may be preferentially selected to improve data security.
  • the above-mentioned determination of the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy includes:
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first length selection policy and the first algorithm selection policy.
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first length selection policy and the first algorithm selection policy, include:
  • the target MAC length of the signaling plane is determined according to the first length selection policy and the target security algorithm of the signaling plane.
  • the above-mentioned determination of the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy includes:
  • the target security algorithm of the signaling plane is determined according to the first algorithm selection strategy, and the MAC length corresponding to the target security algorithm of the signaling plane is the target MAC length of the signaling plane.
  • the above method further includes:
  • the security context request message includes a first MAC, information indicating a target security algorithm of the signaling plane, and a target MAC length of the signaling plane, where the first MAC is used to verify the security context request message completeness.
  • the first node can carry the information indicating the target security algorithm of the signaling plane and the target MAC length of the signaling plane in the security context request message, so that the second node can obtain the information of the signaling plane through the security context request message.
  • the security context request message may carry the first MAC, which is used by the second node to verify the integrity of the security context request message and prevent the security context request message from being tampered with by an attacker.
  • the method further includes:
  • the security context request message including the first MAC and information indicating the target security algorithm of the signaling plane; the first MAC is used to verify the security context request message The integrity of the first MAC is also used to indicate the target MAC length of the signaling plane.
  • the above method further includes:
  • the security context request message includes the first MAC, information indicating the target security algorithm of the signaling plane, the target MAC length of the signaling plane, and the first identity authentication information; wherein, the first MAC For verifying the integrity of the security context request message, the first identity authentication information is generated according to the shared key between the first node and the second node;
  • the security context response message includes the second identity authentication information and the second MAC; wherein, the length of the second MAC is the target MAC length of the signaling plane; the second identity authentication information is used for The identity of the second node is verified, and the second MAC is used to verify the integrity of the security context response message.
  • the shared key is a secret value shared between the first node and the second node, which can be used to generate identity verification information to facilitate the identity verification of the node.
  • the first node can generate the first identity authentication information by using the shared key, and the first identity authentication information is used for the second node to verify the identity of the first node.
  • the first node can also verify the identity of the second node through the second identity authentication information.
  • the above method further includes:
  • an association establishment message is sent to the second node, and the association establishment message instructs the second node to establish an association with the first node.
  • the above-mentioned security context request message further includes a target security algorithm of the user plane; the above-mentioned method further includes:
  • the target security algorithm of the user plane is determined according to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the information of the security algorithms supported by the second node.
  • the above method further includes:
  • the target MAC length of the user plane is determined; the target MAC length of the user plane is used to indicate that the The length of the MAC for integrity protection of the data of the first service;
  • the target MAC length of the user plane can be determined according to the MAC length supported by the security algorithm of the user plane, as well as the identifier of the first service and the data packet size of the first service. For services, different MAC lengths can be determined to improve the flexibility of MAC lengths. On the one hand, for services with high secrecy, a longer MAC length can be used, so that it is difficult to be cracked and data security is improved.
  • an embodiment of the present application also provides a communication method, including:
  • association request message to the first node, where the association request message includes information about the security algorithm supported by the second node;
  • the security context request message includes information for indicating the target security algorithm of the signaling plane and information for indicating the target MAC length of the signaling plane; wherein, the target of the signaling plane
  • the security algorithm and the target MAC length of the signaling plane correspond to the first algorithm selection policy, and the target security algorithm of the signaling plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • the second node sends the information of the security algorithm supported by the second node to the first node, and the first node determines the signaling according to the information of the security algorithm supported by the second node through a pre-configured or defined algorithm policy the target security algorithm of the signaling plane and the target MAC length of the signaling plane, and then use the target MAC length of the signaling plane as the MAC length of the signaling message between the first node and the second node.
  • Configure different policies to determine MAC lengths of different lengths and improve the flexibility of MAC lengths For example, among the algorithms supported by the second node, an algorithm with higher security may be selected, and a longer MAC length may also be selected, which improves data security.
  • the security context request message includes a first MAC; the length of the first MAC is the target MAC length of the signaling plane; the method further includes:
  • the integrity of the security context request message is checked according to the first MAC.
  • the first MAC is the information used to indicate the target MAC length of the signaling plane.
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first algorithm selection strategy; the first MAC is determined according to the target security algorithm of the signaling plane algorithmically generated.
  • the above-mentioned security context request message further includes first identity authentication information; the above-mentioned method further includes:
  • the second MAC is generated by the target security algorithm of the signaling plane, and the length of the second MAC is the target MAC length of the signaling plane;
  • the security context response message includes the second MAC and the second identity authentication information; the second identity authentication information is generated according to the shared key between the second node and the first node .
  • the above method further includes: receiving an association establishment message from the first node, where the association establishment message instructs the second node to establish an association with the first node.
  • the above-mentioned security context request message further includes information indicating a target security algorithm of the user plane; wherein, the target security algorithm of the user plane corresponds to the second algorithm selection strategy, and the user The target security algorithm of the plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node; the above method further includes:
  • the resource scheduling message includes the target MAC length of the user plane; the target MAC length of the user plane corresponds to the target security algorithm of the user plane, and the identifier of the first service and the data of the first service At least one of the packet sizes; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the first node can determine the target MAC length of the user plane according to the MAC length supported by the security algorithm of the user plane, the identifier of the first service and the data packet size of the first service, and then use the target MAC address of the user plane.
  • the length is used as the length of the MAC of the message when the first service is processed.
  • different services or services with different data packet sizes can determine different MAC lengths, thereby improving the flexibility of the MAC length.
  • a longer MAC length can be used, so that it is difficult to be cracked and data security is improved.
  • the first node may carry the information indicating the target security algorithm of the user plane and the target MAC length of the user plane in the resource scheduling message, so that the second node can obtain the target security algorithm and the user plane of the user plane through the resource scheduling message. target MAC length.
  • an embodiment of the present application also provides a communication method, including:
  • the service attribute reporting response message includes the identifier of the first service and/or the data packet size of the first service
  • the target MAC length of the user plane is determined, and the target MAC length of the user plane is used to indicate that the The length of the MAC for integrity protection of the data of the first service.
  • the first node determines the target MAC length of the user plane according to the MAC length supported by the security algorithm of the user plane, the identifier of the first service and/or the data packet size of the first service, and then uses the The target MAC length of the plane is used as the MAC length of the message when processing the first service.
  • different services or services with different data packet sizes can determine MAC lengths of different lengths and improve the flexibility of MAC lengths.
  • a longer MAC length can be used, which makes it difficult to be cracked and improves data security.
  • a shorter MAC length can be used, which can avoid affecting the communication efficiency and reduce the resource consumption of network transmission.
  • the above-mentioned target of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service MAC length, including:
  • the target MAC length of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane and the data packet size of the first service.
  • the above-mentioned MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service determine the Target MAC length, including:
  • the MAC length corresponding to the identifier of the first service is determined as the target MAC length of the user plane
  • the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • the target MAC length of the user plane is determined according to the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service, include:
  • the target MAC length of the user plane is determined according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service. target MAC, so as to meet the security requirements of different services.
  • the video upload service is a service that requires high security, so the data of the video upload service needs to be completely protected, and thus the length of the MAC used to protect the data of the service needs to be determined.
  • the above method further includes:
  • the above method further includes:
  • a third MAC is generated through the target security algorithm of the user plane, the length of the third MAC is the length of the target MAC of the user plane, and the third MAC is used for integrity protection of the data of the first service.
  • the above method further includes:
  • the resource scheduling message includes a fourth MAC and a target MAC length of the user plane, where the fourth MAC is used to perform integrity protection on the resource scheduling message.
  • the method further includes:
  • the target security algorithm of the user plane is determined according to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • an embodiment of the present application further provides a communication method, including:
  • the resource scheduling message includes the target MAC length of the user plane; wherein, the target MAC length of the user plane is the MAC length supported by the target security algorithm of the user plane, and the target MAC length of the user plane Corresponding to at least one of the identifier of the first service and the data packet size of the first service; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the first node may determine whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the first node may carry the indication information in the resource scheduling message, so that the second node determines whether the integrity protection is enabled for the service according to the indication information.
  • the target MAC length of the user plane is the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service an ok.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service. target MAC, so as to meet the security requirements of different services.
  • the video upload service is a service that requires high security. Therefore, the data of the video upload service needs to be completely protected. Therefore, the length of the MAC used to protect the data of the service needs to be determined.
  • the target security algorithm on the user plane corresponds to the second algorithm selection policy
  • the target security algorithm on the user plane belongs to the security algorithm indicated by the information on the security algorithm supported by the second node collection.
  • the resource scheduling message further includes a fourth MAC
  • the method further includes:
  • the message integrity of the resource scheduling message is verified according to the fourth MAC.
  • an embodiment of the present application further provides a communication method, including:
  • the target MAC length of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service; wherein, the target MAC length of the user plane is used for Indicates the length of the MAC for integrity protection of the data of the first service.
  • the second node is configured with the same method for determining the target MAC length of the user plane as the first node, so the second node can be based on the MAC length supported by the security algorithm of the user plane, as well as the identifier of the first service and/or Or the data packet size of the first service determines the target MAC length of the user plane, and then uses the target MAC length of the user plane as the MAC length of the message when processing the first service.
  • different services or different data packets For services of different sizes, MAC lengths of different lengths can be determined, improving the flexibility of MAC lengths.
  • the same method for determining the target MAC length of the user plane is configured in the second node and the first node, so that the first node can determine the target MAC length of the user plane by what method, and the second node also uses the same method to determine the target MAC length of the user plane. In this way, the node does not need to send the target MAC length to the other party again, which saves network resources.
  • the above-mentioned target of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service MAC length, including:
  • the MAC length corresponding to the ID of the first service is determined as the target MAC length of the user plane;
  • the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • the above-mentioned target of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service MAC length, including:
  • the target MAC length of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane and the data packet size of the first service.
  • the target MAC address of the user plane is determined according to the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service length, including:
  • the target MAC length of the user plane is determined according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service. target MAC, so as to meet the security requirements of different services.
  • the video upload service is a service that requires high security, so the data of the video upload service needs to be completely protected, and the length of the MAC used to protect the data of the service needs to be determined.
  • the target security algorithm on the user plane corresponds to the second algorithm selection policy
  • the target security algorithm on the user plane belongs to the security algorithm indicated by the information on the security algorithm supported by the second node collection.
  • an embodiment of the present application further provides a communication method, including:
  • the service attribute reporting response message including at least one service identifier, the at least one service identifier including at least one second service identifier, and the at least one second service identifier corresponding to the second service type, wherein, the data of the service whose type is the second service type does not need to be integrity-protected;
  • the first node can determine whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the first node may carry the indication information in the resource scheduling message, so that the second node determines whether the integrity protection is enabled for the service according to the indication information.
  • the at least one service identifier includes an identifier of at least one first service, and the identifier of at least one first service corresponds to a first service type, wherein the type is a service of the first service type data needs to be integrity-protected.
  • the above-mentioned resource scheduling message is further used to indicate a target MAC length for the user plane of the at least one first service.
  • the first node may carry target MAC length information indicating the user plane, which is used to indicate the length of the MAC for integrity protection of service data.
  • an embodiment of the present application further provides a communication method, including:
  • the service attribute reporting response message includes at least one service identifier, at least one service identifier includes at least one second service identifier, and at least one second service identifier corresponds to the second service type, wherein , the data of the service of the second service type does not need to be integrity-protected;
  • the resource scheduling message it is determined that the service corresponding to the identifier of at least one second service does not start integrity protection.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the at least one service identifier includes an identifier of at least one first service, and the identifier of at least one first service corresponds to a first service type, wherein the type is the first service type
  • the data of the business needs to be integrity protected; the above method also includes:
  • the resource scheduling message is further used to indicate the length of the MAC that performs integrity protection on the data of the at least one first service.
  • an embodiment of the present application provides a communication device, including:
  • a receiving unit configured to receive an association request message from the second node, where the association request message includes information about the security algorithm supported by the second node;
  • the processing unit is configured to determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy, where the target security algorithm of the signaling plane belongs to the security indicated by the information of the security algorithm supported by the second node a collection of algorithms;
  • the above processing unit is further configured to generate a first MAC by using a target security algorithm on the signaling plane, where the length of the first MAC is the length of the target MAC on the signaling plane.
  • the above-mentioned device determines the target security algorithm on the signaling plane and the target MAC length on the signaling plane through a preconfigured or defined algorithm strategy according to information about the security algorithm supported by the second node, and then uses the signaling
  • the target MAC length of the plane is used as the MAC length of the signaling message between the first node and the second node.
  • the algorithm selection policy may be pre-configured or defined according to the communication requirements of the first node. For example, an algorithm with higher security and a longer MAC length may be preferentially selected to improve data security.
  • the above processing unit is specifically configured to:
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first length selection policy and the first algorithm selection policy.
  • the above-mentioned processing unit is specifically configured to:
  • the target security algorithm of the signaling plane is determined according to the first algorithm selection strategy, and the MAC length corresponding to the target security algorithm of the signaling plane is the target MAC length of the signaling plane.
  • the above-mentioned device further includes:
  • a sending unit configured to send a security context request message to the second node, where the security context request message includes a first MAC, information indicating a target security algorithm of the signaling plane, and a target MAC length of the signaling plane, where the first MAC is used for Verify the integrity of the security context request message.
  • the above-mentioned device further includes:
  • a sending unit configured to send a security context request message to the second node, where the security context request message includes the first MAC and information indicating the target security algorithm of the signaling plane; the first MAC is used to verify all the integrity of the security context request message, and the first MAC is also used to indicate the target MAC length of the signaling plane.
  • the above-mentioned apparatus further includes a sending unit, configured to send a security context request message to the second node, where the security context request message includes the first MAC, the target security indicating the signaling plane The algorithm information, the target MAC length of the signaling plane, and the first identity authentication information; wherein, the first MAC is used to verify the integrity of the security context request message, and the first identity authentication information is based on the information between the first node and the second node. generated from the shared key;
  • the above-mentioned receiving unit is further configured to receive a security context response message from the second node, where the security context response message includes the second identity authentication information and the second MAC; wherein, the length of the second MAC is the target MAC length of the signaling plane;
  • the second identity authentication information is used to verify the identity of the second node, and the second MAC is used to verify the integrity of the security context response message.
  • the shared key is a secret value shared between the first node and the second node, and can be used to generate identity verification information to facilitate the identity verification of the node.
  • the above device can generate the first identity authentication information by using the shared key, and the first identity authentication information is used for the second node to verify the identity of the first node.
  • the first node can also verify the identity of the second node through the second identity authentication information.
  • the above-mentioned security context request message further includes a target security algorithm of the user plane; the above-mentioned processing unit is specifically configured to:
  • the target security algorithm of the user plane is determined according to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the information of the security algorithms supported by the second node.
  • the above receiving unit is further configured to acquire the identifier of the first service and/or the data packet size of the first service;
  • the above processing unit is further configured to determine the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the packet size of the first service; wherein, the user plane
  • the target MAC length is used to indicate the length of the MAC that performs integrity protection on the data of the first service;
  • the above-mentioned sending unit is further configured to send a resource scheduling message to the second node, where the resource scheduling message includes the target MAC length of the user plane.
  • an embodiment of the present application provides a communication device, including:
  • a sending unit configured to send an association request message to the first node, where the association request message includes information about the security algorithm supported by the second node;
  • a receiving unit configured to receive a security context request message from the first node, where the security context request message includes information for indicating the target security algorithm of the signaling plane and information for indicating the target MAC length of the signaling plane; wherein, The target security algorithm on the signaling plane and the target MAC length on the signaling plane correspond to the first algorithm selection policy, and the target security algorithm on the signaling plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • the above-mentioned device sends information of the security algorithm supported by the second node to the first node, and the first node determines the signaling plane according to the information of the security algorithm supported by the second node through a pre-configured or defined algorithm strategy the target security algorithm and the target MAC length of the signaling plane, and then use the target MAC length of the signaling plane as the MAC length of the signaling message between the first node and the second node.
  • Different strategies are used to determine the MAC length of different lengths and improve the flexibility of the MAC length. For example, among the algorithms supported by the second node, an algorithm with higher security may be selected, and a longer MAC length may also be selected, which improves data security.
  • the security context request message includes a first MAC; the length of the first MAC is the target MAC length of the signaling plane; the apparatus further includes:
  • the processing unit is configured to verify the integrity of the security context request message according to the first MAC through the target security algorithm of the signaling plane.
  • the first MAC is the information used to indicate the target MAC length of the signaling plane.
  • the security context request message further includes first identity authentication information; the processing unit is further configured to verify the first identity authentication information according to the shared key between the second node and the first node. 1. Identity authentication information;
  • the above processing unit is further configured to generate a second MAC through the target security algorithm of the signaling plane if the integrity of the verification security context request message passes and the verification of the first identity authentication information passes, and the length of the second MAC is signaling The target MAC length of the face;
  • the above-mentioned sending unit is further configured to send a security context response message to the first node, where the security context response message includes the second MAC and the second identity authentication information; the second identity authentication information is based on the relationship between the second node and the first node. generated between shared keys.
  • the security context request message further includes information indicating a target security algorithm of the user plane; wherein, the target security algorithm of the user plane corresponds to the second algorithm selection policy, and the user plane The target security algorithm belongs to the set of security algorithms indicated by the security algorithm information supported by the second node;
  • the above receiving unit is further configured to receive a resource scheduling message from the first node, where the resource scheduling message includes the target MAC length of the user plane; wherein, the target MAC length of the user plane corresponds to the target security algorithm of the user plane, and the first service At least one of the identifier of the first service and the data packet size of the first service; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • an embodiment of the present application provides a communication device, including:
  • a receiving unit configured to receive a service attribute reporting response message from the second node, where the service attribute reporting response message includes the identifier of the first service and/or the data packet size of the first service;
  • the processing unit is configured to determine the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service, and the target MAC address of the user plane
  • the length is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the above apparatus determines the target MAC length of the user plane according to the MAC length supported by the security algorithm of the user plane, the identifier of the first service and the data packet size of the first service, and then uses the target MAC length of the user plane.
  • the MAC length is taken as the length of the MAC of the message when the first service is processed.
  • different services or services with different data packet sizes can determine different MAC lengths, thereby improving the flexibility of the MAC lengths.
  • a longer MAC length can be used, so that it is difficult to be cracked and data security is improved.
  • a shorter MAC length can be used, which can avoid affecting the communication efficiency and reduce the resource consumption of network transmission.
  • the above processing unit is specifically configured to:
  • the MAC length corresponding to the identifier of the first service is determined as the target MAC length of the user plane
  • the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • the above processing unit is specifically configured to:
  • the target MAC length of the user plane is determined according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the above apparatus further includes a sending unit, configured to send a resource scheduling message to the second node, where the resource scheduling message includes the target MAC length of the user plane.
  • the above processing unit is further configured to:
  • the third MAC is generated by the target security algorithm of the user plane, the length of the third MAC is the length of the target MAC of the user plane, and the third MAC is used for integrity protection of the data of the first service.
  • the above receiving unit is further configured to acquire information of a security algorithm supported by the second node;
  • the above processing unit is further configured to determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy, where the target security algorithm of the signaling plane belongs to the security algorithm supported by the second node. the set of security algorithms indicated by the information;
  • the above processing unit is further configured to generate a fourth MAC through the target security algorithm of the signaling plane, and the length of the fourth MAC is the target MAC length of the signaling plane;
  • the above-mentioned sending unit is further configured to send a resource scheduling message to the second node, where the resource scheduling message includes a fourth MAC and a target MAC length of the user plane, and the fourth MAC is used for integrity protection of the resource scheduling message.
  • the above processing unit is further configured to:
  • the target security algorithm of the user plane is determined according to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the information of the security algorithms supported by the second node.
  • an embodiment of the present application provides a communication device, including:
  • a sending unit configured to send a service attribute reporting response message to the first node, where the service attribute reporting response message includes the identifier of the first service and/or the data packet size of the first service;
  • a receiving unit configured to receive a resource scheduling message from the first node, where the resource scheduling message includes a target MAC length of the user plane; wherein, the target MAC length of the user plane is the MAC length supported by the target security algorithm of the user plane, and The target MAC length of the user plane corresponds to at least one of the identifier of the first service and the data packet size of the first service; the target MAC length of the user plane is used to indicate the length of the MAC for integrity protection of the data of the first service.
  • the foregoing apparatus 170 may determine and select whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service does not require complete new protection.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the target security algorithm of the user plane corresponds to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the security indicated by the information of the security algorithm supported by the second node A collection of algorithms.
  • the resource scheduling message further includes a fourth MAC; the processing unit is further configured to:
  • the message integrity of the resource scheduling message is verified according to the fourth MAC.
  • an embodiment of the present application provides a communication device, including:
  • a sending unit configured to send a service attribute reporting response message to the first node, where the service attribute reporting response message includes the identifier of the first service and/or the data packet size of the first service;
  • the processing unit is configured to determine the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service;
  • the target MAC length is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the above-mentioned apparatus is configured with the same method for determining the target MAC length of the user plane as in the first node, so the above-mentioned apparatus can be based on the MAC length supported by the security algorithm of the user plane, and the identifier of the first service and/or the first service.
  • the data packet size determines the target MAC length of the user plane, and then uses the target MAC length of the user plane as the MAC length of the message when processing the first service. In this way, different services or services with different data packet sizes can be Determine the MAC length of different lengths to improve the flexibility of the MAC length.
  • the same method for determining the target MAC length of the user plane is configured in the above-mentioned apparatus and the first node, so that the first node can determine the target MAC length of the user plane in the same manner.
  • the above-mentioned apparatus also uses the same method to determine Target MAC length of the user plane. In this way, the node does not need to send the target MAC length to the other party again, which saves network resources.
  • the above-mentioned processing unit is specifically used for:
  • the MAC length corresponding to the ID of the first service is determined as the target MAC length of the user plane;
  • the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • the above-mentioned processing unit is specifically used for:
  • the target MAC length of the user plane is determined according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the target security algorithm of the user plane corresponds to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the security indicated by the information of the security algorithm supported by the second node A collection of algorithms.
  • an embodiment of the present application provides a communication device, including:
  • a receiving unit configured to receive a service attribute reporting response message from the second node, where the service attribute reporting response message includes at least one service identifier, the at least one service identifier includes at least one second service identifier, and the at least one second service identifier corresponds to The second service type, wherein the data of the service whose type is the second service type does not need to be integrity protected;
  • the sending unit is configured to send a resource scheduling message to the second node, where the resource scheduling message is used to indicate that the service corresponding to the identifier of the at least one second service does not start integrity protection.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the at least one service identifier includes an identifier of at least one first service, and the identifier of at least one first service corresponds to a first service type, wherein the type is of the first service type Business data needs to be integrity protected.
  • the above-mentioned resource scheduling message is further used to indicate a target MAC length for the user plane of the at least one first service.
  • an embodiment of the present application provides a communication device, including:
  • a sending unit configured to send a service attribute reporting response message to the first node, where the service attribute reporting response message includes at least one service identifier, the at least one service identifier includes at least one second service identifier, and the at least one second service identifier corresponds to the first Two business types, wherein the data of the business type of the second business type does not need to be integrity protected;
  • a receiving unit configured to receive a resource scheduling message from the first node
  • the processing unit is configured to determine, according to the resource scheduling message, that the service corresponding to the identifier of the at least one second service does not start integrity protection.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the at least one service identifier includes an identifier of at least one first service, and the identifier of the at least one first service corresponds to a first service type, wherein the type is of the first service type Business data needs to be integrity protected;
  • the processing unit is further configured to, according to the resource scheduling message, determine that a service corresponding to the identifier of at least one first service starts integrity protection.
  • the resource scheduling message is further used to indicate the length of the MAC that performs integrity protection on the data of the at least one first service.
  • an embodiment of the present application further provides a communication method, including:
  • association request message includes information about the security algorithm supported by the second node and the identity of the second node;
  • the target security algorithm of the user plane and the target MAC length of the user plane are determined according to the second algorithm selection policy and the identity of the second node.
  • the target security algorithm of the user plane belongs to the security algorithm indicated by the information of the security algorithm supported by the second node. set; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service;
  • the first MAC is generated through the target security algorithm of the signaling plane, and the length of the first MAC is the length of the target MAC of the signaling plane.
  • the first node may configure different policies to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths. Further, the first node may determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the MAC length requirements of different types of nodes. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • the above-mentioned determination of the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy includes:
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first length selection policy and the first algorithm selection policy.
  • the above-mentioned determination of the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy includes:
  • the target MAC length of the signaling plane is determined according to the first length selection policy and the target security algorithm of the signaling plane.
  • the above-mentioned determination of the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy includes:
  • the target security algorithm of the signaling plane is determined according to the first algorithm selection strategy, and the MAC length corresponding to the target security algorithm of the signaling plane is the target MAC length of the signaling plane.
  • the above-mentioned determination of the target security algorithm of the user plane and the target MAC length of the user plane according to the second algorithm selection strategy and the identity of the second node includes:
  • the target MAC length of the signaling plane is determined according to the second length selection policy and the target security algorithm of the user plane.
  • the above-mentioned determination of the target security algorithm of the user plane and the target MAC length of the user plane according to the second algorithm selection strategy and the identity of the second node includes:
  • the MAC length corresponding to the identity of the second node is determined as the target MAC length of the user plane.
  • the above method further includes:
  • the security context request message includes the first MAC, information indicating the target security algorithm of the signaling plane, information indicating the target security algorithm of the user plane, the target MAC length of the signaling plane and the user Indicates the length of the target MAC, the first MAC is used to verify the integrity of the security context request message.
  • the above method further includes:
  • the security context request message includes the first MAC, information indicating the target security algorithm of the signaling plane, information indicating the target security algorithm of the user plane, target MAC length of the signaling plane, user The target MAC length and the first identity authentication information on the face; wherein, the first MAC is used to verify the integrity of the security context request message, and the first identity authentication information is generated according to the shared key between the first node and the second node ;
  • the security context response message includes the second identity authentication information and the second MAC; wherein, the length of the second MAC is the target MAC length of the signaling plane; the second identity authentication information is used for The identity of the second node is verified, and the second MAC is used to verify the integrity of the security context response message.
  • the above method further includes:
  • an association establishment message is sent to the second node, and the association establishment message instructs the second node to establish an association with the first node.
  • an embodiment of the present application further provides a communication method, including:
  • association request message includes the information of the security algorithm supported by the second node and the identity of the second node;
  • the security context request message includes information for indicating the target security algorithm of the signaling plane, information for indicating the target security algorithm of the user plane, the target MAC length of the signaling plane, The target MAC length of the user plane and the first MAC; wherein, the target security algorithm of the signaling plane and the target MAC length of the signaling plane correspond to the first algorithm selection policy, and the target security algorithm of the signaling plane belongs to the security algorithm supported by the second node.
  • the set of security algorithms indicated by the algorithm information; the target security algorithm of the user plane and the target MAC length of the user plane correspond to the second algorithm selection strategy and the identity of the second node, and the target security algorithm of the user plane belongs to the support of the second node
  • the set of security algorithms indicated by the information of the security algorithm; the length of the first MAC is the target MAC length of the signaling plane;
  • the integrity of the security context request message is checked according to the first MAC.
  • different policies may be configured in the first node to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths.
  • the first node may determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the MAC length requirements of different types of nodes.
  • the second node obtains the target MAC length from the first node, and protects the message integrity through the target MAC length. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first algorithm selection strategy, and the target security algorithm of the signaling plane belongs to The set of security algorithms indicated by the security algorithm information supported by the second node; the first MAC is generated according to the target security algorithm of the signaling plane.
  • the target security algorithm of the user plane and the target MAC length of the user plane are determined according to a second algorithm selection strategy, and the target security algorithm of the user plane belongs to the second The set of security algorithms indicated by the information of the security algorithms supported by the node; the first MAC is generated according to the target security algorithm of the signaling plane.
  • the above-mentioned security context request message further includes first identity authentication information; the above-mentioned method further includes:
  • the second MAC is generated by the target security algorithm of the signaling plane, and the length of the second MAC is the target MAC length of the signaling plane;
  • the security context response message includes the second MAC and the second identity authentication information; the second identity authentication information is generated according to the shared key between the second node and the first node .
  • the above method further includes: receiving an association establishment message from the first node, where the association establishment message instructs the second node to establish an association with the first node.
  • an embodiment of the present application further provides a communication device, including:
  • a receiving unit configured to receive an association request message from the second node, where the association request message includes the information of the security algorithm supported by the second node and the identity of the second node;
  • the processing unit is configured to determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy, where the target security algorithm of the signaling plane belongs to the security indicated by the information of the security algorithm supported by the second node a collection of algorithms;
  • the above processing unit is further configured to determine the target security algorithm of the user plane and the target MAC length of the user plane according to the second algorithm selection strategy and the identity of the second node, where the target security algorithm of the user plane belongs to the security algorithm supported by the second node
  • the set of security algorithms indicated by the information; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service;
  • the above processing unit is further configured to generate a first MAC by using a target security algorithm on the signaling plane, where the length of the first MAC is the length of the target MAC on the signaling plane.
  • the above apparatus may configure different strategies to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths. Further, the above-mentioned apparatus may determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the requirements of different types of nodes for the MAC length. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • the above processing unit is specifically used for:
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first length selection policy and the first algorithm selection policy.
  • the above-mentioned processing unit is specifically configured to:
  • the target MAC length of the signaling plane is determined according to the first length selection policy and the target security algorithm of the signaling plane.
  • the above-mentioned processing unit is specifically configured to:
  • the target security algorithm of the signaling plane is determined according to the first algorithm selection strategy, and the MAC length corresponding to the target security algorithm of the signaling plane is the target MAC length of the signaling plane.
  • the above-mentioned processing unit is specifically configured to:
  • the target MAC length of the signaling plane is determined according to the second length selection policy and the target security algorithm of the user plane.
  • the above-mentioned processing unit is specifically configured to:
  • the MAC length corresponding to the identity of the second node is determined as the target MAC length of the user plane.
  • the above-mentioned apparatus further includes a sending unit, and the sending unit is configured to send a security context request message to the second node, where the security context request message includes the first MAC, the indication signaling
  • the security context request message includes the first MAC, the indication signaling
  • the information of the target security algorithm of the plane, the information indicating the target security algorithm of the user plane, the target MAC length of the signaling plane and the target MAC length of the user plane, the first MAC is used to verify the integrity of the security context request message.
  • the above-mentioned apparatus further includes a sending unit, and the sending unit is configured to send a security context request message to the second node, where the security context request message includes the first MAC, the indication signaling The information of the target security algorithm of the plane, the information indicating the target security algorithm of the user plane, the target MAC length of the signaling plane, the target MAC length of the user plane, and the first identity authentication information; wherein, the first MAC is used to verify the security context request The integrity of the message, the first identity authentication information is generated according to the shared key between the first node and the second node;
  • the above-mentioned receiving unit is further configured to receive a security context response message from the second node, where the security context response message includes the second identity authentication information and the second MAC; wherein, the length of the second MAC is the target MAC length of the signaling plane;
  • the second identity authentication information is used to verify the identity of the second node, and the second MAC is used to verify the integrity of the security context response message.
  • the above-mentioned processing unit is further configured to check the integrity of the security context response message according to the target security algorithm and the second MAC of the signaling plane;
  • the above-mentioned processing unit is further configured to verify the second identity authentication information according to the above-mentioned shared key
  • the above sending unit is further configured to send an association establishment message to the second node if the integrity of the security context response message is verified and the verification of the second identity authentication information is passed, and the association establishment message indicates the second node and the first node. establish a relationship between them.
  • an embodiment of the present application further provides a communication device, including:
  • a sending unit configured to send an association request message to the first node, where the association request message includes the information of the security algorithm supported by the second node and the identity of the second node;
  • a receiving unit configured to receive a security context request message from the first node, where the security context request message includes information used to indicate a target security algorithm of the signaling plane, information used to indicate a target security algorithm of the user plane, and information of a target security algorithm of the signaling plane
  • the processing unit is configured to verify the integrity of the security context request message according to the first MAC through the target security algorithm of the signaling plane.
  • different policies may be configured in the first node to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths.
  • the first node may determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the MAC length requirements of different types of nodes.
  • the above apparatus obtains the target MAC length from the first node, and protects the message integrity through the target MAC length. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first algorithm selection strategy, and the target security algorithm of the signaling plane belongs to The set of security algorithms indicated by the security algorithm information supported by the second node; the first MAC is generated according to the target security algorithm of the signaling plane.
  • the target security algorithm of the user plane and the target MAC length of the user plane are determined according to a second algorithm selection strategy, and the target security algorithm of the user plane belongs to the second The set of security algorithms indicated by the information of the security algorithms supported by the node; the first MAC is generated according to the target security algorithm of the signaling plane.
  • the security context request message further includes first identity authentication information; the processing unit is further configured to use the shared key between the second node and the first node according to the Verify the first identity authentication information;
  • the second MAC is generated by the target security algorithm of the signaling plane, and the length of the second MAC is the target MAC length of the signaling plane;
  • the above receiving unit is further configured to send a security context response message to the first node, where the security context response message includes the second MAC and the second identity authentication information; the second identity authentication information is based on the relationship between the second node and the first node. generated from the shared secret key between them.
  • the above receiving unit is further configured to receive an association establishment message from the first node, where the association establishment message instructs the second node to establish an association with the first node.
  • an embodiment of the present application further provides a communication device, the device includes at least one processor and a communication interface, the at least one processor is configured to invoke at least one computer program stored in a memory, so that the device Implement the method described in the first aspect or any possible implementation manner of the first aspect, or implement the third aspect or the method described in any possible implementation manner of the third aspect, or implement the sixth aspect or the sixth aspect The method described in any possible implementation manner, or the fifteenth aspect or the method described in any possible implementation manner of the fifteenth aspect is implemented.
  • an embodiment of the present application further provides a communication apparatus, the apparatus includes at least one processor and a communication interface, and the at least one processor is configured to invoke at least one computer program stored in a memory, so that the apparatus is configured to Implement the method described in the second aspect or any possible implementation manner of the second aspect, or implement the fourth aspect or the method described in any possible implementation manner of the fourth aspect, or implement the fifth aspect or the fifth aspect.
  • an embodiment of the present application further provides a communication system, where the communication system includes a first node and a second node, wherein the first node includes the eighth aspect or any possible implementation manner of the eighth aspect
  • the second node includes the apparatus described in the ninth aspect or any possible implementation manner of the ninth aspect.
  • an embodiment of the present application further provides a communication system, where the communication system includes a first node and a second node, wherein the first node includes the tenth aspect or any possible implementation manner of the tenth aspect
  • the second node includes the apparatus described in the eleventh aspect or any possible implementation manner of the eleventh aspect.
  • an embodiment of the present application further provides a communication system, where the communication system includes a first node and a second node, wherein the first node includes the tenth aspect or any possible implementation manner of the tenth aspect
  • the second node includes the apparatus described in the twelfth aspect or any possible implementation manner of the twelfth aspect.
  • an embodiment of the present application further provides a communication system, where the communication system includes a first node and a second node, wherein the first node includes the thirteenth aspect or any one of the possible possibilities of the thirteenth aspect.
  • the second node includes the apparatus described in the fourteenth aspect or any possible implementation manner of the fourteenth aspect.
  • an embodiment of the present application further provides a communication system, where the communication system includes a first node and a second node, wherein the first node includes the seventeenth aspect or any one of the possible possibilities of the seventeenth aspect.
  • the second node includes the apparatus described in the eighteenth aspect or any possible implementation manner of the eighteenth aspect.
  • an embodiment of the present application discloses a computer-readable storage medium, where a computer program is stored in the computer-readable storage medium, and when the computer program runs on one or more processors, executes the The method described in the first aspect or any possible implementation manner of the first aspect, or the third aspect or the method described in any possible implementation manner of the third aspect, or the sixth aspect or the sixth aspect.
  • the method described in any one possible implementation manner of the aspect A fifteenth aspect, or the method described in any one possible implementation manner of the fifteenth aspect.
  • an embodiment of the present application discloses a computer-readable storage medium, where a computer program is stored in the computer-readable storage medium, and when the computer program runs on one or more processors, executes the The method described in the second aspect or any possible implementation manner of the second aspect, or the fourth aspect or the method described in any possible implementation manner of the fourth aspect, or the fifth aspect or the fifth aspect.
  • an embodiment of the present application discloses a chip system, the chip system includes at least one processor and a communication interface, the at least one processor is configured to call a computer program stored in at least one memory, so that all The device where the chip system is located implements the method described in the first aspect, any possible implementation manner of the first aspect, or implements the third aspect or the method described in any possible implementation manner of the third aspect, and Either implement the method described in the sixth aspect or any possible implementation manner of the sixth aspect, or implement the method described in the fifteenth aspect or any possible implementation manner of the fifteenth aspect.
  • an embodiment of the present application discloses a chip system, the chip system includes at least one processor and a communication interface, the at least one processor is configured to call a computer program stored in at least one memory, so that all
  • the device in which the chip system is located implements the method described in the second aspect, any possible implementation manner of the second aspect, or implements the fourth aspect or the method described in any possible implementation manner of the fourth aspect, and Either implement the method described in the fifth aspect or any possible implementation manner of the fifth aspect, or implement the seventh aspect or the method described in any possible implementation manner of the seventh aspect, or implement the tenth aspect
  • an embodiment of the present application further provides a smart cockpit product, where the smart cockpit product includes a first node (for example, a car cockpit domain controller CDC), wherein the first node includes the first aspect or the first
  • a first node for example, a car cockpit domain controller CDC
  • the first node includes the first aspect or the first
  • the above-mentioned smart cockpit product also includes a second node (for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a start-up system controller, etc.), and the second node includes the first
  • a second node for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a start-up system controller, etc.
  • the second node includes the first
  • the apparatus described in the second aspect or any possible implementation manner of the second aspect, or the apparatus described in the fourth aspect or any possible implementation manner of the fourth aspect, or the fifth aspect or the fifth aspect The device described in any possible implementation manner of the possible implementations of the described method.
  • embodiments of the present application provide a vehicle, where the vehicle includes a first node (eg, a car cockpit domain controller CDC), wherein the first node includes the first aspect or any of the first aspects
  • a first node eg, a car cockpit domain controller CDC
  • the first node includes the first aspect or any of the first aspects
  • One possible embodiment, or the device described in the third aspect or any one of the possible embodiments of the third aspect, or the device described in the sixth aspect or any one of the possible embodiments of the sixth aspect or perform the method described in the fifteenth aspect or any one of the possible implementation manners of the fifteenth aspect.
  • the above-mentioned vehicle also includes a second node (for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a starting system controller, etc.), and the second node includes the second aspect or the device described in any possible implementation manner of the second aspect, or including the fourth aspect or the device described in any possible implementation manner of the fourth aspect, or including the fifth aspect or any
  • the apparatus described in a possible implementation manner, or the apparatus described in the seventh aspect or any one of the possible implementation manners of the seventh aspect, or the implementation of the sixteenth aspect or any one of the possible implementations of the sixteenth aspect The method described in the embodiment.
  • FIG. 1 is a schematic diagram of the architecture of a communication system provided by an embodiment of the present application.
  • FIG. 2 is a schematic diagram of a usage scenario of a communication method provided by an embodiment of the present application
  • FIG. 3 is a schematic flowchart of a communication method provided by an embodiment of the present application.
  • FIG. 4 is a schematic diagram of an algorithm selection strategy provided by an embodiment of the present application.
  • FIG. 5 is a schematic diagram of determining a target MAC length of a signaling plane according to an embodiment of the present application
  • FIG. 6 is another schematic diagram of determining the target MAC length of the signaling plane provided by an embodiment of the present application.
  • FIG. 7 is another schematic diagram of determining the target MAC length of the signaling plane provided by an embodiment of the present application.
  • FIG. 8 is a schematic flowchart of another communication method provided by an embodiment of the present application.
  • FIG. 9 is a schematic diagram of determining a target MAC length of a user plane provided by an embodiment of the present application.
  • FIG. 10 is another schematic diagram of determining the target MAC length of the user plane provided by an embodiment of the present application.
  • FIG. 11 is a schematic flowchart of another communication method provided by an embodiment of the present application.
  • FIG. 12 is a schematic flowchart of another communication method provided by an embodiment of the present application.
  • FIG. 13 is a schematic flowchart of another communication method provided by an embodiment of the present application.
  • FIG. 14 is a schematic structural diagram of a communication device provided by an embodiment of the present application.
  • FIG. 15 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 16 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 17 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 18 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 19 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 20 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 21 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 22 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 23 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 24 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 25 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 26 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 27 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 28 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 29 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 30 is a schematic structural diagram of another communication device provided by an embodiment of the present application.
  • FIG. 31 is a schematic structural diagram of another communication apparatus provided by an embodiment of the present application.
  • a node is an electronic device with the ability to send and receive data.
  • a node can be a cockpit domain device, or a module in a car cockpit device (such as a cockpit domain controller (CDC), camera, screen, microphone, audio, electronic key, keyless entry, or start one or more of the modules such as the system controller).
  • CDC cockpit domain controller
  • the node can also be a data transfer device, such as a router, repeater, bridge or switch; it can also be a terminal device, such as various types of user equipment (UE), mobile phone (mobile phone) phone), tablet computer (pad), desktop computer, headset, stereo, etc.; can also include machine intelligence equipment, such as self-driving (self-driving) equipment, transportation safety (transportation safety) equipment, virtual reality (virtual reality, VR) ) terminal equipment, augmented reality (AR) terminal equipment, machine type communication (MTC) equipment, industrial control (industrial control) equipment, remote medical (remote medical) equipment, smart grid (smart grid) equipment , smart city (smart city) devices; can also include wearable devices (such as smart watches, smart bracelets, pedometers, etc.) and so on.
  • the names of devices with similar data sending and receiving capabilities may not be called nodes, but for convenience of description, the electronic devices with data sending and receiving capabilities are collectively referred to as nodes in the embodiment
  • MAC Message Authentication Code
  • the sender Before sending a message, the sender first calculates the MAC by using the integrity protection algorithm (or the key) negotiated by both parties. After that, the MAC is sent along with the data. After the receiver receives the message, it calculates the MAC using the same integrity protection algorithm (or also includes the key) as the sender, and compares whether the MAC calculated by itself is consistent with the MAC received. If the two are consistent, the message passes the integrity check.
  • the integrity protection function of LTE is located at the Packet Data Convergence Protocol (PDCP) layer.
  • PDU Packet Data Convergence Protocol
  • the node at the sending end uses the integrity protection algorithm configured by the upper-layer protocol layer, and uses at least one parameter in the key, COUNT value, radio bearer identifier, DIRECTION, and message as input parameters to calculate a 32-bit (bit) message.
  • Integrity verification code Message Authentication Code for Integrity, MAC-I
  • the node at the receiving end calculates the expected verification code XMAC-I of the message in the same way, and performs integrity check by comparing XMAC-I and MAC-I. If the MAC-I is equal to the XMAC-I, the receiving end determines that the integrity check is successful, otherwise it determines that the integrity check fails.
  • the MAC may be generated by an integrity protection algorithm, which may also be referred to as a MAC algorithm, an integrity protection algorithm, or the like.
  • the integrity protection algorithm can be implemented by other encryption algorithms.
  • the integrity protection algorithm implemented by a hash algorithm is called a hash-based message authentication code (HMAC) algorithm, and the hash algorithm can be MD5, SHA-1, SHA-256 etc., these different HMAC implementations are usually labeled: HMAC-MD5, HMAC-SHA1, HMAC-SHA256, etc.
  • the MAC algorithm implemented based on the block cipher algorithm can be called a cipher-based message authentication code (Cipher-based Message Authentication Code, CMAC) algorithm, wherein the block cipher algorithm can be Advanced Encryption Standard (Advanced Encryption Standard, AES) , Since there are four working modes of block encryption: ECB, CBC, CFB, and OFB, the integrity protection algorithm implemented by the block encryption algorithm based on different working modes can be called: ECB-MAC algorithm, CBC-MAC algorithm and so on. Further, One-key CBC-MAC (OMAC) is an improvement from the CBC-MAC algorithm and was adopted by the National Institute of Standards and Technology (NIST) in 2005. listed as a recommended standard.
  • CMAC cipher-based message authentication code
  • AES Advanced Encryption Standard
  • the integrity protection algorithm may also include Galois message authentication code mode (GMAC), Zu Chongzhi cipher algorithm (such as ZUC128, ZUC256, etc.), message digest (MD) algorithm (such as MD2, MD4) or MD5, etc.).
  • GMAC Galois message authentication code mode
  • MD message digest
  • the cryptographic algorithm may also include a rapid amplification of cDNA ends (RACE) original integrity verification message digest (RACE Integrity Primitives Evaluation Message Digest, RIPEMD) algorithm.
  • integrity protection algorithms can combine two or more algorithms so that even if one is later found to be vulnerable, the other continues to protect message integrity.
  • TLS Transport Layer Security
  • MD5 and SHA-1 a different integrity protection algorithm
  • MD5 and SHA-1 a different integrity protection algorithm
  • the integrity protection algorithm can generate a MAC of at least one length. See Table 1.
  • Table 1 is the information of the MAC length generated by a possible MAC algorithm provided in the embodiment of the present application. It can be seen that the MAC generated by the CMAC algorithm usually supports 128-bit, 64-bit or 32-bit cipher blocks, while the length of the MAC generated by GMAC can vary from 32 bits to 128 bits.
  • HMAC can generate various lengths of digests as MACs .
  • the data can be encrypted and the message authentication code can be generated for the given original text. Therefore, the process of authenticating and encrypting the message can also be regarded as the integrity protection of the message.
  • the AES algorithm based on GMAC and counting encryption mode AES-Galois/Counter Mode, AES-GCM
  • AES-CMAC/Counter Mode AES-CCM
  • Authentication encryption, and in the process of authentication encryption a MAC can be generated to protect the integrity of the message.
  • the length of the MAC generated by different authentication and encryption algorithms may refer to the length of the integrity protection algorithm used by them.
  • the length of the MAC generated based on the AES-GCM algorithm may refer to the length of the MAC generated by the GMAC.
  • shared key shared key
  • the shared key is the same secret value stored in the nodes of both parties.
  • the shared key can be pre-defined or pre-configured in the nodes of both parties, or it can be generated by both parties through the same key acquisition method, or it can be A trusted device (such as a key distribution center (Key Distribution Center, KDC)) sent to the first node and the second node respectively.
  • KDC Key Distribution Center
  • the cockpit domain controller (CDC) of the vehicle and the on-board radar device are two nodes that can communicate with each other.
  • the car factory staff have pre-configured the sharing between the CDC and the on-board radar when deploying the CDC and on-board radar. Key, through the shared key, the security of the communication between the vehicle's CDC and the roof radar can be guaranteed.
  • the CDC and the owner's mobile phone are two nodes that can communicate.
  • the shared key can be obtained through the key acquisition method, such as generating a shared key by exchanging the parameters of the key agreement algorithm between the mobile phone and the CDC of the vehicle through a key agreement algorithm.
  • the shared key can be used to verify the identities of both nodes when the mobile phone requests the CDC of the associated vehicle again.
  • Key derivation is the process of deriving one or more secret values from a secret value, and the algorithm used to derive the key is called the key derivation function (KDF), also known as the key derivation algorithm.
  • KDF key derivation function
  • DK new secret value derived from the secret value Key
  • DK KDF(Key)
  • PBKDF password-based key derivation function
  • scrypt algorithm scrypt algorithm
  • the PBKDF algorithm includes the first generation PBKDF1 and the second generation PBKDF2.
  • a hash algorithm may be used to hash the input secret value during the key generation process, so the KDF may also receive an algorithm identifier as an input to indicate which hash algorithm to use.
  • the control plane is also called a signaling plane or a control plane, and is usually used to transmit control signaling.
  • the user plane also known as the data plane, is usually used to transmit user data.
  • the "user plane” is uniformly used in the various embodiments of this application for description.
  • control plane is used to transmit signaling for controlling the establishment, maintenance and release of the call flow
  • user plane is used to transmit voice data.
  • network transmission is divided into a wireless network layer and a transmission network layer.
  • the user plane of the wireless network layer is the circuit switching domain (Circuit Switching Domain, CS) service (such as voice coding, video coding, etc.) or packet data packet (Packet Switching Domain, PS) service, that is, the real user data; wireless network
  • the control plane of the layer includes: Radio Access Network Application Part (RANAP), Radio Network Subsystem Application Part (RNSAP) and Base Station Application Part (NodeB Application Part, NBAP) One or more of, etc., the signaling used to control the call flow.
  • RANAP Radio Access Network Application Part
  • RNSAP Radio Network Subsystem Application Part
  • NBAP Base Station Application Part
  • the transport network layer is the bottom bearer, so the user plane of the transport network layer includes both user data and signaling data, that is to say, the messages of the wireless network layer (control plane and user plane) are the user plane messages of the transport network layer. It is carried by the transport network layer for sending/receiving.
  • the control plane of the transport network layer is a separate control plane, located only at the transport network layer, and is used to establish a transport bearer (Asynchronous Transfer Mode Adaptation Layer, AAL2) connection for the user plane data of the wireless network layer. creation, maintenance and release).
  • AAL2 Asynchronous Transfer Mode Adaptation Layer
  • association indicates the process of establishing a connection between the first node and the second node. In some specific technical scenarios, the “association” may also be described as "access”.
  • FIG. 1 is a schematic structural diagram of a communication system provided by an embodiment of the present application, including a first node 101 and a second node 102 .
  • the first node 101 may be requested to associate by the second node 202, and after the association is successful, the first node 101 may communicate with the second node 102 through a data link.
  • the data link for communication between the first node 101 and the second node 102 may include various types of connection media, for example, a short-range connection technology including 802.11b/g, Bluetooth (Blue Tooth), Zigbee ( Zigbee), radio frequency identification technology (Radio Frequency Identification, RFID) and Ultra Wideband (Ultra Wideband, UWB) technology.
  • GSM Global System for Mobile Communications
  • GPRS General Packet Radio Service
  • Universal Mobile Telecommunications System Universal Mobile Telecommunications System
  • UMTS Universal Mobile Telecommunications System
  • the message authentication code can be used to protect the integrity of the message.
  • the first node can use the integrity protection algorithm (or further Including the integrity protection key) to generate a MAC, and placing the MAC in a message (for example, a prefix or a suffix of the message) and sending it to the second node.
  • the second node After the second node receives the message, it first generates a check value according to the corresponding part or all of the data according to the corresponding integrity protection algorithm (or also includes the corresponding integrity protection key). If the check value is consistent with the MAC, then It indicates that the corresponding data in the message has not been tampered with.
  • the first node 101 may be the initiator of the communication, and may be referred to as a master node or an access point (access point, AP).
  • the second node 102 may be the receiver of the communication, and may be referred to as a slave node. .
  • FIG. 2 is a schematic diagram of a usage scenario of a communication method provided by an embodiment of the present application.
  • a cockpit domain controller (CDC) 201 in a vehicle is a control center in a smart cockpit device, and can See as the first node 101 .
  • the smart phone 202 is a device capable of transmitting and receiving data, and can be regarded as the second node 102 .
  • the message sent by the CDC 201 to the smart phone 202 may carry a MAC, and the smart phone 202 receives the message, and after verifying the integrity of the message through the MAC, performs a corresponding operation according to the message.
  • the length of the message authentication code is usually fixed, which is difficult to meet the needs of users.
  • the smartphone 202 is connected to the CDC201 via Bluetooth.
  • the CDC201 needs to send voice data to the smartphone 202, since the vehicle-mounted voice data requires high privacy, and the length of the message authentication code during the Bluetooth communication is 32 bits, it is easy to It cannot be cracked by the attacker and cannot meet the security requirements, so a longer MAC length is required to protect the data.
  • FIG. 3 is a schematic flowchart of a communication method provided by an embodiment of the present application.
  • the communication method can be implemented based on the communication system shown in FIG. 1, and the method includes at least the following steps:
  • Step S301 The second node sends an association request message to the first node.
  • the association request message includes the information of the security algorithm supported by the second node, and the information of the security algorithm may be the name, the identifier or the pre-defined symbol of the security algorithm, and so on.
  • the security algorithm supported by the second node includes one or more of the information of the integrity protection algorithm or the information of the authentication encryption algorithm.
  • the information of the security algorithm supported by the second node may also be referred to as the security capability (Sec Capabilities) of the second node.
  • Table 2 is a possible algorithm information table provided by the embodiment of the present application, and the security algorithm information supported by the second node in the association request message may be the name of the algorithm or the identifier of the algorithm.
  • the information of the security algorithm supported by the second node may be "GIA2, GIA3, GAC1", indicating that the second node supports Zu Chongzhi encryption (ZUC) algorithm, AES-CMAC algorithm (specifically, AES-CMAC with 64-bit and 128-bit MAC lengths). CMAC algorithm) and AES-GCM algorithm (specifically, AES-GCM algorithm with 32-bit MAC length).
  • the security algorithm information supported by the second node may be "0010, 0011, 1000", indicating that the second node supports Zu Chongzhi encryption (ZUC) algorithm, AES-CMAC algorithm and AES-GCM algorithm.
  • the association request message may further include the freshness parameter obtained (or generated) by the second node.
  • the freshness parameter may include at least one of a random number (number once, NONCE), a counter (counter), a sequence number (number), and the like.
  • the freshness parameter acquired (or generated) by the second node in the association request message is referred to as the first freshness parameter.
  • the first node may send an access message or a broadcast message
  • the second node may receive an access message or a broadcast message from the first node. Based on the access message or the broadcast message, the second node sends a first association request message to the first node.
  • the access message or broadcast message of the first node may include at least one of the identity of the first node, description information of the first node, or information used to indicate access of other nodes, and the like.
  • Step S302 The first node determines the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection policy.
  • the target security algorithm of the signaling plane includes one of an integrity protection algorithm of the signaling plane, an authentication encryption algorithm, and the like.
  • the target security algorithm on the signaling plane is used for integrity protection of messages on the signaling plane, and the target security algorithm on the signaling plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • the information of the security algorithm supported by the second node may be "GIA2, GIA3, GAC1", indicating that the second node supports Zu Chongzhi encryption (ZUC) algorithm, AES-CMAC algorithm (specifically, AES-CMAC with 64-bit and 128-bit MAC lengths).
  • the target security algorithm of the signaling plane determined by the first node belongs to Zu Chongzhi encryption (ZUC) algorithm, AES-CMAC (specifically 64 AES-CMAC algorithm with 128-bit MAC length) algorithm and AES-GCM (specifically, AES-GCM algorithm with 32-bit MAC length) algorithm in the set.
  • ZUC Zu Chongzhi encryption
  • AES-CMAC specifically 64 AES-CMAC algorithm with 128-bit MAC length
  • AES-GCM specifically, AES-GCM algorithm with 32-bit MAC length
  • the first algorithm selection strategy may be a pre-configured or defined selection strategy in the first node.
  • the first algorithm selection strategy may be implemented by priority, or may be implemented according to a pre-configured or defined selection sequence, or may also be implemented by means of algorithms, models, or the like.
  • FIG. 4 is a schematic diagram of a possible first algorithm selection strategy provided by an embodiment of the present application. Referring to area 401, the algorithm marked as “0001” (the corresponding algorithm is the AES-CMAC algorithm)
  • the priority is 1, which means that the first node preferentially selects the AES-CMAC algorithm (for details, see Table 2 for the AES-CMAC algorithm supporting a 32-bit MAC length) as the target security algorithm on the signaling plane.
  • the first node is preconfigured with a first model
  • the first model is a neural network trained based on deep reinforcement learning
  • the neural network is obtained by training multiple sample data, so the first model can be based on the first model.
  • the information of the security algorithms supported by the two nodes determines the optimal target security algorithm, so the first model can be regarded as the first algorithm selection strategy.
  • the first node determines the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection policy, including at least the following two cases:
  • the first node determines the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first length selection policy and the first algorithm selection policy.
  • the first length selection strategy may be a pre-configured or defined selection strategy in the first node, which may be implemented by priority, or implemented according to a pre-configured or defined selection sequence, or implemented through algorithms, models, etc. way to achieve.
  • the first length selection policy may be to select the MAC length with the longest length, or may also be to select the MAC length with the shortest length. Further optionally, the selection of the MAC length with the longest length may be configured as the default of the first node. length selection strategy.
  • the first node determines the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first length selection strategy and the first algorithm selection strategy, and specifically can have at least the following two implementations:
  • Implementation mode 1 The first node determines the target security algorithm of the signaling plane according to the first algorithm selection policy, and determines the target MAC length of the signaling plane according to the first length selection policy and the target security algorithm of the signaling plane.
  • FIG. 5 is a schematic diagram of a possible method for determining the target MAC length of a signaling plane provided by an embodiment of the present application.
  • the information of the security algorithm supported by the second node indicates that the information of the security algorithm supported by the second node is "0011, 1010", indicating that the algorithms supported by the second node are AES-CMAC algorithm and AES-GCM algorithm .
  • the first node implements the first algorithm selection strategy by means of priority.
  • the priority of the AES-CMAC algorithm is 2
  • the priority of the AES-GCM algorithm is 3.
  • the AES-CMAC is identified as the target security algorithm for the signaling plane.
  • the MAC lengths supported by the AES-CMAC algorithm corresponding to the identifier "0011" are 64 bits and 128 bits. According to the first length selection strategy shown in Figure 5, it can be known that the priority of 64 bits is higher than that of 128 bits, so 64 bits are determined as the target MAC length for the signaling plane (see area 503).
  • the first node may be configured with a default first length selection policy of selecting the longest MAC length among the MAC lengths supported by the target security algorithm. For example, if the MAC length supported by the AES-CMAC algorithm corresponding to the identifier "0011" is 64 bits and 128 bits, the first node may select 128 bits as the target MAC length of the signaling plane by default. It may also be that, the first node may be configured with a default first length selection policy to select the shortest MAC length among the MAC lengths supported by the target security algorithm.
  • Implementation mode 2 The first node determines an algorithm or algorithm set supporting the first length according to the first length selection policy. The first node selects a policy according to the first algorithm, and determines the first algorithm from the algorithms or algorithm sets that support the first length. If the first algorithm belongs to the security algorithm supported by the second node, the first algorithm is determined as the signaling plane. The target security algorithm determines the first length as the target MAC length of the signaling plane.
  • FIG. 6 is a schematic diagram of another possible method for determining the target MAC length of a signaling plane provided by an embodiment of the present application.
  • the first node determines, according to a first length selection policy, to support 128-bit MAC addresses.
  • the algorithm group of the MAC length ie, the algorithms corresponding to "0011, 1010, and 1011" respectively.
  • the first node selects a strategy according to the first algorithm, and determines the algorithm with the highest priority (that is, the AES-CMAC algorithm corresponding to the identifier "0011"). Therefore, the AES-CMAC algorithm is determined as the target security algorithm of the signaling plane, and 128 bits are determined as the target MAC length of the signaling plane.
  • the target security algorithm can be selected from the algorithms corresponding to the MAC length of the next priority.
  • the first node determines the target security algorithm of the signaling plane according to the first algorithm selection policy, and the MAC length corresponding to the target security algorithm of the signaling plane is the target MAC length of the signaling plane.
  • Implementation mode 3 The target security algorithm on the signaling plane only supports the generation of a MAC of one length.
  • the first node determines the target security algorithm on the signaling plane according to the first algorithm selection policy, and converts the target The MAC length supported by the security algorithm is determined as the target MAC length of the signaling plane.
  • the algorithm marked as "0001" (the corresponding algorithm is the AES-CMAC algorithm) only supports the generation of a MAC with a length of 32 bits
  • the first node determines the target security algorithm of the signaling plane according to the first algorithm selection policy to be marked as "0001"
  • the corresponding 32 bits are used as the target MAC length of the signaling plane.
  • the HMAC256 algorithm is one of the HMAC algorithms and only supports the generation of a MAC length of 256 bits. Therefore, when only the HMAC256 algorithm is supported in the second node, the 256 bits corresponding to the HMAC256 are used as the target MAC length of the signaling plane.
  • the first node pre-stores the correspondence between the target security algorithm and the MAC length, and the first node stores the MAC length corresponding to the target security algorithm on the signaling plane according to the correspondence between the target security algorithm and the MAC length on the signaling plane. Determined as the target MAC length of the signaling plane.
  • the correspondence may be pre-configured or defined.
  • FIG. 7 is a schematic diagram of another possible first algorithm selection strategy provided by an embodiment of the present application. Referring to area 701, the first algorithm strategy may also represent the corresponding relationship between the security algorithm and the length.
  • the priority of the AES-CMAC algorithm marked as "0001" and the corresponding 32-bit MAC length is 1.
  • the AES-CMAC algorithm identified as "0001” is selected.
  • the 32 bits corresponding to the CMAC algorithm are determined as the target MAC length of the signaling plane.
  • Step S303 The first node generates a first MAC through the target security algorithm on the signaling plane.
  • the length of the first MAC is the length of the target MAC of the aforementioned signaling plane, and the first MAC is used by the second node to check the integrity of the security context request message.
  • a shared key (specifically, an integrity protection key) between the first node and the second node is required, and integrity protection needs to be performed by the first MAC.
  • CMAC cipher-based Message Authentication Code
  • the communication method described in this embodiment of the present application may further include part or all of steps S304 or S304-S311, and steps S304-S311 are specifically as follows:
  • Step S304 The first node sends a security context request message to the second node.
  • the security context request message includes information used to indicate the target security algorithm of the signaling plane and information used to indicate the target MAC length of the signaling plane. Further, the security context request message includes a first MAC, the length of the first MAC is the length of the target MAC of the signaling plane, and the first MAC is also used to verify the integrity of the security context request message. Specifically, the first MAC is used for the second node to verify the integrity of the security context request message.
  • the information used to indicate the target MAC length of the signaling plane may have at least the following possible situations:
  • the information used to indicate the target MAC length of the signaling plane can be directly the target MAC length of the signaling plane.
  • the security context request message includes "MAC length of the signaling plane: 64 bits", and the second node can Obtain the target MAC length of the signaling plane according to the context request message.
  • the security context request message includes the first MAC, information for indicating the target security algorithm of the signaling plane, and the target MAC length of the signaling plane.
  • the information used to indicate the length of the target MAC of the signaling plane may be the aforementioned first MAC.
  • the length of the first MAC is the target MAC length of the signaling plane
  • the second node may determine the target MAC length of the signaling plane according to the length of the first MAC.
  • the security context request message includes the first MAC and information indicating the target security algorithm of the signaling plane.
  • the information used to indicate the target MAC length of the signaling plane may be the information used to indicate the target security algorithm of the signaling plane.
  • the algorithm identified as "0001” (the corresponding algorithm is the AES-CMAC algorithm) only supports the generation of a 32-bit MAC. Therefore, if the target security algorithm of the signaling plane is identified as "0001", the security context request message The identifier "0001" is carried in the identifier, and the identifier 0001 is used to indicate the target security algorithm of the signaling plane.
  • the identifier can also indicate that the target MAC length of the signaling plane is 32 bits.
  • the security context request message includes the first MAC and information indicating the target security algorithm of the signaling plane.
  • the first node can send the message to the second node in the message carries information indicating the target security algorithm of the signaling plane, and the information indicating the target security algorithm of the signaling plane may also be used to indicate the target MAC length of the signaling plane.
  • the first node may carry information indicating the target security algorithm of the user plane in the message, and the information indicating the target security algorithm of the user plane may also be used. Can be used to indicate the target MAC length of the user plane.
  • the security context request message further includes a freshness parameter acquired (or generated by the first node).
  • the freshness parameter may include at least one of a random number (number once, NONCE), a counter (counter), a sequence number (number), and the like.
  • the freshness parameter in the security context request message is called the second freshness parameter.
  • the security context request message further includes first identity authentication information, where the first identity authentication information is generated by the first node according to a shared key between the first node and the second node.
  • the shared key may be a pre-shared key between the first node and the second node.
  • the first identity authentication information may be generated according to the shared key and the first freshness parameter.
  • the first node may encrypt part or all of the data in the security context request message by using an encryption key.
  • the second node can receive the security context request message, decrypt the corresponding encrypted part, and obtain the message content.
  • Step S305 The second node verifies the integrity of the security context request message according to the first MAC through the target security algorithm on the signaling plane.
  • the second node verifies the message integrity of the security context request message according to the first MAC, so as to prevent the content in the security context request message from being tampered with by an attacker.
  • the second node uses the same method to generate the check value. If the generated check value is the same as the first MAC, the integrity check value is Pass the test.
  • the first MAC is obtained by the first node through the target security algorithm on the signaling plane according to the shared key K1 and part or all of the data data1 other than the first MAC in the security context request message, then the second node also uses the same
  • the second node may discard the security context request message, or ignore the security context request message, or further include not applying the target security algorithm in the security context request message, and not applying the target MAC information in the security context request message.
  • Step S306 The second node verifies the first identity authentication information according to the shared key between the second node and the first node.
  • the second node since the first identity authentication information is generated by the first node according to the shared key between the first node and the second node, the second node also verifies whether the first identity authentication information is based on the shared key. correct.
  • the second node should also use the same parameters to generate the verification information. If the verification information is the same as the first identity authentication information If the information is the same, the verification is considered to be passed.
  • the first identity authentication information is generated through KDF, so the second node can generate verification information through KDF, which is also referred to as a verification value test1. The second node verifies whether the first identity authentication information is correct through the verification information.
  • the second node may discard the security context request message, or ignore the security context request message, or further include not applying the target security algorithm in the security context request message and not applying the target MAC length in the security context request message. Further, the second node can disconnect from the first node, so as to associate the correct node.
  • the second node may perform the operation described in step S306 first, and then perform the operation described in step S305.
  • Step S307 The second node generates a second MAC through the target security algorithm on the signaling plane.
  • the length of the second MAC is the length of the target MAC of the aforementioned signaling plane, and the second MAC is used by the first node to check the integrity of the security context response message.
  • a shared key (specifically, an integrity protection key) between the second node and the first node is required when the second MAC is generated, and the integrity protection key needs to be performed through the second MAC.
  • Protected message data is required when the second MAC is generated, and the integrity protection key needs to be performed through the second MAC.
  • Step S308 The second node sends a security context response message to the first node.
  • the security context response message includes a second MAC, where the second MAC is used to verify the integrity of the security context response message.
  • the security context response message further includes second identity authentication information, where the second identity authentication information is generated by the second node according to the shared key between the second node and the first node.
  • the shared key may be a pre-shared key between the second node and the first node.
  • the second identity verification information may be generated by the second node according to the shared key and the second freshness parameter.
  • the second node may encrypt part or all of the data in the security context response message by using an encryption key.
  • the first node can receive the security context response message, decrypt the corresponding encrypted part, and obtain the message content.
  • Step S309 The second node checks the integrity of the security context response message according to the second MAC through the target security algorithm on the signaling plane.
  • the first node verifies the message integrity of the security context response message according to the second MAC, so as to prevent the content in the security context response message from being tampered with by an attacker.
  • the first node also uses the same method to generate the check value in what method the second node uses to generate the second MAC. If the generated check value is the same as the second MAC, the integrity check value is Pass the test.
  • the second MAC is obtained by the second node through the target security algorithm on the signaling plane according to the shared key K1 and part or all of the data data2 except the second MAC in the security context request message, then the first node also uses the same
  • the first node may discard the security context response message, or ignore the security context response message, or further include the target security algorithm not applying the aforementioned signaling plane, and the target MAC length not applying the aforementioned signaling plane.
  • Step S310 The first node verifies the second identity authentication information according to the shared key between the first node and the second node.
  • the first node can verify whether the second identity authentication information is based on the shared key. correct.
  • the first node should also use the same parameters to generate the verification information. If the verification information is the same as the second identity authentication information If the information is the same, the verification is considered to be passed.
  • the second identity authentication information is generated through KDF, so the first node can generate verification information through KDF, which is also referred to as a verification value test2.
  • the first node verifies whether the second identity authentication information is correct through the verification information.
  • the following is an example to illustrate:
  • the first node may discard the security context response message, or ignore the security context response message, or further include the target security algorithm not applying the aforementioned signaling plane, and the target MAC length not applying the aforementioned signaling plane. Further, the first node can disconnect from the second node so as to associate the correct node.
  • the second node may perform the operation described in step S310 first, and then perform the operation described in step S309.
  • Step S311 The first node sends an association establishment message to the second node.
  • the association establishment message may indicate that an association is established between the second node and the first node.
  • the association establishment message may also carry a MAC that protects the integrity of the association establishment message, and the MAC that protects the integrity of the association establishment message may be generated by the aforementioned target security algorithm on the signaling plane.
  • the length of the MAC that establishes the integrity of the message is the target MAC length of the signaling plane.
  • the first node may encrypt part or all of the data in the association establishment message by using an encryption key.
  • the second node may receive the association establishment message, decrypt the corresponding encrypted part, and obtain the content of the message.
  • the first node may further determine a target security algorithm of the user plane according to the second algorithm policy, where the target security algorithm of the user plane belongs to the set of security algorithms indicated by the information of the security algorithms supported by the second node.
  • the target security algorithm of the user plane may be sent to the second node through a security context request message, so that the second node receives the security context request message and acquires the target security algorithm of the user plane.
  • the second algorithm strategy and the first algorithm strategy may be the same algorithm strategy.
  • the first node may also acquire the identifier of the first service and/or the data packet size of the first service.
  • the first node may determine the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service, and the target MAC length of the user plane. It is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the first node may send a resource scheduling message to the second node, where the resource scheduling message includes the target MAC length of the user plane.
  • the second node receives the resource scheduling message, so as to obtain the target MAC length of the user plane.
  • the first service may be a service processed (or executed) by the second node, or may be a service processed by another node forwarded by the second node.
  • the first node determines the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the information of the security algorithm supported by the second node and the pre-configured or defined algorithm strategy, and then uses The target MAC length of the signaling plane is used as the MAC length of the signaling message between the first node and the second node.
  • the first node can formulate different selection strategies according to the requirements, so as to determine the MAC length that meets the requirements. Improved flexibility of MAC length.
  • an algorithm with higher security can be selected, and a longer MAC length can be selected to make it difficult for an attacker to crack the MAC, thereby enhancing the integrity of the message protected by the MAC and improving the node communication process. data security in .
  • FIG. 8 is a schematic flowchart of a communication method provided by an embodiment of the present application.
  • the communication method may be implemented based on the communication system shown in FIG. 1, and the method includes at least the following steps:
  • Step S801 The second node sends a service attribute reporting response message to the first node.
  • the service attribute reporting response message includes the identifier of the first service and/or the data packet size of the first service.
  • the first node may send a service attribute report request message to one or more nodes including the second node, and correspondingly, the second node receives the service attribute report request message from the first node, thereby reporting to the first node.
  • the node sends a service attribute reporting response message.
  • the service attribute reporting request message of the first node may include at least one of the identity of the first node, the identity description information of the first node, or information used to instruct sending of the service attribute reporting response message, etc., After receiving the service attribute reporting request message, the second node sends a service attribute reporting response message to the first node.
  • Step S802 The first node determines the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service.
  • the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the first node determines the second length selection policy according to the identifier of the first service and/or the data packet size of the first service.
  • the second node determines the target MAC length of the user plane according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane, where the target MAC length of the user plane is used to indicate that the first service
  • the second length selection strategy may be a pre-configured or defined selection strategy in the first node, which may be implemented by priority, or implemented according to a pre-configured or defined selection sequence, or implemented through algorithms, models, etc. way to achieve.
  • FIG. 9 is a schematic diagram of a method for determining a target MAC length of a user plane provided by an embodiment of the present application.
  • the area 901 includes the identity number (identify, ID) of some services, which can be used as the identifier of the service.
  • the identifiers of different services usually correspond to different services.
  • the identification "0003" indicates audio playback.
  • it can be known that different length selection policies can be determined according to the identifiers of different services, for example, the length selection policy A corresponding to the video upload service with the identifier "0001".
  • the first node selects policy A according to the length corresponding to the service and the length 903 supported by the target security algorithm of the user plane, and can determine that the target MAC length of the user plane is 128 bits (see area 904), and the MAC generated based on the MAC length is used to identify the identifier.
  • the data of "0001" service is integrity protected.
  • area 905 it can be seen that the length of the MAC for integrity protection of the service marked "0002" is 64 bits; referring to area 906, it can be seen that the length of the MAC for integrity protection of the service marked "0003" is 64 bits.
  • the noise reduction service whose service identifier is "0004" may not enable integrity protection.
  • whether to enable integrity protection can also be determined through the length selection policy. For example, a MAC length of 0 in the length selection policy C indicates that integrity protection is not enabled.
  • FIG. 10 is a schematic diagram of a method for determining a target MAC length of a user plane provided by an embodiment of the present application.
  • the area 1001 includes the identifiers of some services and the corresponding data packet size.
  • the data packet size corresponding to the identifier "0001" is 500 bits.
  • the first node can determine that the target MAC length of the user plane is 64 bits according to the length selection policy F corresponding to the size of the data packet and the length 1003 supported by the target security algorithm of the user plane (see area 1004), and the MAC generated based on the MAC length is used for Integrity protection is performed on the data of the service identified as "0002". Similarly, referring to area 1004, it can be known that the length of the MAC for integrity protection of the service with the identifier "0001" is 128 bits.
  • the size of the data packet shown in FIG. 10 is only an example, and there are other data packet sizes in the specific implementation process, or the corresponding length selection strategy can also be determined by the range of the data packet size, which will not be repeated here.
  • Case 2 The first node determines the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane and the identifier of the first service.
  • the first node has a corresponding relationship between the identifier of the first service and the MAC length, and the corresponding relationship may be pre-configured or defined.
  • the first node may determine the MAC length corresponding to the identifier of the first service as the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane and the corresponding relationship between the identifier of the first service and the MAC length.
  • Table 3 is the corresponding relationship between the identifier and the MAC length of a possible service provided by the embodiment of the present application.
  • the identifier "0001" indicates the video upload service, and the corresponding MAC length is 128 bits. If the security algorithm supports a MAC length of 128 bits, 128 bits can be determined as the target MAC length of the user plane.
  • the target security algorithm of the user plane does not support the MAC length corresponding to a certain service
  • the MAC length with a relatively close length can be selected from the lengths supported by the target security algorithm of the user plane as the target MAC length of the user plane. The process is not repeated here.
  • the service reporting request message may include identifiers of multiple services, and accordingly, the first node may determine multiple target MAC lengths corresponding to the user plane, and the multiple target MAC lengths of the user plane are respectively used for the multi-to-multiple target MAC lengths. Integrity protection of business data.
  • the first node determines the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane and the data packet size of the first service.
  • the first node may be pre-configured or defined with a corresponding relationship between the data packet size of the first service and the MAC length, and the first node may use the MAC length supported by the target security algorithm of the user plane and the data packet of the first service
  • the corresponding relationship between the size and the MAC length, the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • the first node may also determine the user plane target MAC length according to the MAC length corresponding to the user plane target security algorithm. For example, the algorithm identified as "0001" (the corresponding algorithm is the AES-CMAC algorithm) only supports the generation of a 32-bit MAC. If the target security algorithm of the user plane is the algorithm identified as "0001", the corresponding 32-bit MAC As the target MAC length of the user plane. For another example, HMAC256 only supports generating a MAC length of 256 bits. Therefore, when the target security algorithm of the user plane is the HMAC256 algorithm, the 256 bits corresponding to the HMAC256 are used as the target MAC length of the user plane.
  • the first node before determining the target MAC length of the user plane, the first node first determines that the data of the first service needs to be integrity protected. Specifically, services of different service types have different requirements for integrity protection. The first node can determine whether to enable integrity protection according to the identifier of the first service. For services that need to enable integrity protection, the corresponding The target MAC length of the user plane can meet the security requirements of different services.
  • the video upload service is a service that requires high security, so the data of the video upload service needs to be completely protected, and the length of the MAC used to protect the data of the service needs to be determined.
  • the identifier of the first service corresponds to the first service type, wherein the data of the service whose type is the first service type needs to be integrity protected, so as to determine the MAC length of the service belonging to the first service type.
  • the target security algorithm of the user plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • the target security algorithm of the user plane may be determined by the first node through a second algorithm selection strategy, and the second algorithm selection strategy may be a pre-configured or defined selection strategy in the first node.
  • the second algorithm selection strategy may be implemented by priority, or may be implemented according to a pre-configured or defined selection sequence.
  • FIG. 4 is a schematic diagram of a possible algorithm selection strategy provided by an embodiment of the present application. Referring to area 401, the priority of the AES-CMAC algorithm is 1, indicating that when the second node supports AES-CMAC When selecting the algorithm, the AES-CMAC algorithm will be preferentially selected as the target security algorithm of the user plane.
  • the communication method described in this embodiment of the present application may further include some or all of the steps in steps S803-S804, and the steps S803-S804 are as follows:
  • Step S803 The second node determines the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service.
  • the second node is configured with the same method for determining the target MAC length of the user plane as in the first node, so that the second node can determine the target MAC length of the user plane.
  • the protocol specifies how the first node determines the target MAC length of the user plane, and the second node also uses the same method to determine the target MAC length of the user plane. In this way, the node does not need to send the target MAC length to the other party again, which saves network resources. It can be understood that, for the specific method for determining the target MAC length of the user plane, reference may be made to the specific description in step S802, which will not be repeated here.
  • Step S804 The first node sends a resource scheduling message to the second node.
  • the resource scheduling message may include the target MAC length of the user plane, or the resource scheduling message may include information for indicating the target MAC length of the user plane.
  • the resource scheduling message may not include the target MAC length of the user plane.
  • the second node may also send a resource response message to the first node, where the resource response message is used to indicate that the second node has received the resource scheduling message.
  • the first node and/or the second node may also generate a third MAC by using the target security algorithm of the user plane and the target MAC length of the user plane, and the third MAC is used to perform integrity protection on the data of the first service.
  • the first node determines that the MAC length of the video upload service (that is, the service identified as "0001") is 128 bits
  • the first node and/or the second node may generate a third MAC with a length of 128 bits
  • the third MAC It is used to ensure the message integrity of the video upload service.
  • the above service attribute report request message, service attribute report response message, resource scheduling message, resource response message, etc. belong to signaling plane messages, so the message content can be integrity protected by the target security algorithm of the signaling plane.
  • the target security algorithm of the signaling plane corresponds to the first algorithm selection strategy.
  • the first node can also obtain information about the security algorithm of the second node, and the first node can determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy,
  • the target security algorithm of the signaling plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • the first node can generate a fourth MAC through the target security algorithm on the signaling plane, the length of the fourth MAC is the length of the target MAC on the signaling plane, and the fourth MAC can be carried in the resource scheduling In the prefix or suffix of the message, it is used to ensure the integrity of the resource scheduling message.
  • the first node may send a security context request message to the second node, where the security context request message includes the target security algorithm of the signaling plane, the target security algorithm of the user plane, and the target MAC length of the signaling plane.
  • the second node receives the security context request message, so as to obtain the target security algorithm of the signaling plane, the target security algorithm of the user plane, and the target MAC length of the signaling plane.
  • the first node determines the target MAC length of the user plane according to the MAC length supported by the security algorithm of the user plane, the identifier of the first service and/or the data packet size of the first service, and then uses The target MAC length of the user plane is used as the MAC length of the message when the first service is processed.
  • different services or services with different data packet sizes can determine MAC lengths of different lengths, improving the flexibility of MAC lengths.
  • a longer MAC length can be used, which makes it difficult to be cracked and improves data security.
  • a shorter MAC length can be used, which can avoid affecting the communication efficiency and reduce the resource consumption of network transmission.
  • FIG. 11 is a schematic flowchart of a communication method provided by an embodiment of the present application.
  • the communication method may be implemented based on the communication system shown in FIG. 1, and the method includes at least the following steps:
  • Step S1101 The second node sends a service attribute reporting response message to the first node.
  • the first node receives the service attribute reporting response message.
  • the service attribute reporting response message includes at least one service identifier.
  • the at least one service identifier may contain at least one identifier of a second service, and the identifier of at least one second service corresponds to a second service type, wherein the data of the service whose type is the second service type does not need to be integrity protected. .
  • Table 4 is a service type corresponding to a possible service identifier provided in the embodiment of the present application. It can be seen that the identifier "0001" indicates a video upload service, which belongs to an important service type and needs to be turned on for integrity protection. ; Correspondingly, the identifier "0004" indicates the audio noise reduction service, which is an unimportant service type and does not need to be turned on for integrity protection.
  • Step S1102 The first node sends a resource scheduling message to the second node.
  • the resource scheduling message includes information indicating that integrity protection is turned on and/or information indicating that integrity protection is not turned on.
  • Information for enabling integrity protection correspondingly, for a service that needs to be turned on for integrity protection, the resource scheduling message may include a MAC length indicating integrity protection for data of the service.
  • the identifier of the second service corresponds to the second service type, and the data of the service whose type is the second service type does not need to be integrity protected. Therefore, there may be a first field in the resource scheduling message, and data in the first field may indicate that the service corresponding to the identifier of the at least one second service does not start integrity protection. For example, when the data in the first field is "0", it indicates that the service corresponding to the identifier of the second service does not start the integrity protection.
  • the first node sends a resource scheduling message to the second node, and accordingly, the second node receives the resource scheduling message from the first node.
  • Step S1103 The second node determines, according to the resource scheduling message, that the service corresponding to the identifier of at least one second service does not start integrity protection. It should be noted that this step is optional, and is only performed when at least one second service exists.
  • first field in the resource scheduling message there may be a first field in the resource scheduling message, and data in the first field may indicate that the service corresponding to the identifier of the at least one second service does not start integrity protection. For example, when the data in the first field is "0", it indicates that the service corresponding to the identifier of the second service does not start the integrity protection.
  • Step S1104 The second node determines, according to the resource scheduling message, to start the integrity protection of the service corresponding to the identifier of at least one first service. It should be noted that this step is optional, and is only performed when there is at least one first service.
  • the resource scheduling message may include a MAC length indicating integrity protection of data of the service.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected. Therefore, the resource scheduling message includes information indicating that the service corresponding to the identifier of the first service starts integrity protection.
  • Manner 1 There may be a second field in the resource scheduling message, and data in the second field may indicate that integrity protection is started. For example, when the data in the second field is "1", it indicates that the service corresponding to the identifier of the first service starts the integrity protection.
  • the second node may be instructed to start the integrity of the service.
  • the resource scheduling message includes the target MAC length of the user plane corresponding to the first service, or the resource scheduling message includes information for indicating the target MAC length of the user plane corresponding to the first service.
  • the target MAC length of the user plane corresponding to the first service is used to indicate the length of the MAC that completely protects the data of the first service. Further, the target MAC length of the user plane corresponding to the first service may be determined based on the method described in the embodiment shown in FIG. 8 , which is not repeated here.
  • the second node may also send a resource response message to the first node, where the resource response message is used to indicate that the second node has received the resource scheduling message.
  • the first node may determine whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the first node may carry the indication information in the resource scheduling message, so that the second node determines whether the integrity protection is enabled for the service according to the indication information.
  • FIG. 11 The method embodiment shown in FIG. 11 above includes many possible implementation solutions. Some implementation solutions are illustrated below with reference to FIG. 12 . It should be noted that related concepts or operations or logical relationships not explained in FIG. 12 Reference may be made to the corresponding description in the embodiment shown in FIG. 11 .
  • FIG. 12 is a schematic flowchart of a communication method provided by an embodiment of the present application.
  • the communication method can be implemented based on the communication system shown in FIG. 1, and the method includes at least the following steps:
  • Step S1201 The second node sends a service attribute reporting response message to the first node.
  • the service attribute reporting response message includes at least one service identifier, and the at least one service identifier includes the service identifier of the first service.
  • the service attribute reporting response message may further include the data packet size of at least one service, and the at least one data packet size includes the data packet size of the first service.
  • the first node may send a service attribute report request message to one or more nodes including the second node, and the second node receives the service attribute report request message from the first node, thereby sending the service attribute to the first node. Attribute report response message.
  • Step S1202 The first node determines whether to enable integrity protection for the first service in the at least one service.
  • the first node may determine whether to start the integrity protection for the service through the identifier of the first service.
  • Table 4 is the service type corresponding to a possible service identifier provided in the embodiment of the present application. It can be seen that the identifier "0001" indicates a video upload service, and integrity protection needs to be turned on; correspondingly, the identifier "0001" 0004" indicates the audio noise reduction service, and integrity protection does not need to be turned on.
  • Step S1203 If the first node determines that the integrity protection needs to be started for the first service, then according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service, determine Target MAC length of the user plane.
  • the service attribute report message includes the service identifier of the first service, so the first node can determine the target MAC length of the user plane according to the MAC length supported by the user plane and the identifier of the first service. Further optionally, when the service attribute report message includes the data packet size corresponding to the first service, the first node can use the MAC length supported by the target security algorithm of the user plane, the identifier of the first service and the data of the first service. At least one of the packet sizes determines the target MAC length of the user plane.
  • the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service. For a specific method of determining the target MAC length of the user plane, reference may be made to the detailed description of step S802, which will not be repeated here.
  • Step S1204 The first node sends a resource scheduling message to the second node.
  • the resource scheduling message when the first service needs to start integrity protection, includes the target MAC length of the user plane, or the resource scheduling message includes information for indicating the target MAC length of the user plane.
  • the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the second node receives the resource scheduling message, and can obtain the target MAC length of the user plane.
  • Step S1205 If the first node determines that it is not necessary to enable integrity protection for the first service, it sends a resource scheduling message to the second node.
  • a first field may exist in the resource scheduling message, and data in the first field may indicate that the service corresponding to the identifier of the first service does not enable integrity Protect. For example, when the data in the first field is "0", it indicates that the service corresponding to the identifier of the first service does not start integrity protection.
  • the service attribute reporting response message may carry identifiers of multiple services.
  • the second node may determine that integrity protection is enabled for the multiple services, and accordingly, the resource scheduling message may be used to indicate whether integrity protection is enabled for multiple services.
  • the MAC lengths corresponding to multiple services need to be included.
  • the second node may determine that integrity protection is not enabled for the first service.
  • the second node may also send a resource response message to the first node, where the resource response message is used to indicate that the first node has received the resource scheduling message.
  • FIG. 13 is a schematic flowchart of a communication method provided by an embodiment of the present application.
  • the communication method can be implemented based on the communication system shown in FIG. 1, and the method includes at least the following steps:
  • Step S1301 The second node sends an association request message to the first node.
  • the first message includes the information of the security algorithm supported by the second node and the identity of the second node.
  • the security algorithm supported by the second node includes one or more of an encryption algorithm supported by the second node, an integrity protection algorithm or an authentication encryption algorithm.
  • the information of the security algorithm supported by the second node may also be referred to as the security capability (Sec Capabilities) of the second node.
  • the identity of the second node is also referred to as the device identity of the second node, which may be the ID of the second node, a media access control (media access control, MAC) address, a domain name, a domain address, or other self-defined identifiers.
  • the ID of the second node may be a fixed ID or a temporary ID.
  • the first message may further include the freshness parameter obtained (or generated by the second node) .
  • the first node may send an access message or a broadcast message
  • the second node receives the access message or broadcast message from the first node, thereby sending the first association request message to the first node.
  • Step S1302 The first node determines the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection policy.
  • step S302 For a detailed description, refer to step S302.
  • Step S1303 The first node determines the target security algorithm of the user plane and the target MAC length of the user plane according to the identity of the second node and the second algorithm selection policy.
  • Mode 1 The first node determines the target security algorithm of the user plane according to the second algorithm selection strategy, and further, determines the second length selection strategy according to the identity of the second node, so that the strategy and the user plane target can be selected according to the second length.
  • the security algorithm determines the target MAC length of the user plane.
  • the first node determines the target security algorithm of the user plane according to the second algorithm selection policy, and further, according to the MAC length supported by the target security algorithm of the user plane, and the corresponding relationship between the identity of the second node and the MAC length, the The MAC length corresponding to the identity of the second node is determined as the target MAC length of the user plane.
  • the first node determines the target security algorithm of the user plane according to the second algorithm selection policy.
  • the first node may determine a second length selection policy, and determine the target MAC length of the user plane according to the second length selection policy, where the target MAC length of the user plane is the MAC length supported by the target security algorithm of the user plane.
  • the second length selection policy may be a length selection policy pre-configured or pre-defined by the first node, so when determining the second length selection policy, the identity of the second node may not be used.
  • Step S1304 The first node generates the first MAC through the target security algorithm on the signaling plane.
  • step S303 For a detailed description, refer to step S303.
  • the communication method described in this embodiment of the present application may further include part or all of steps S1305 or S1305-S1312, and steps S1305-S1312 are specifically as follows:
  • Step S1305 The first node sends a security context request message to the second node.
  • the security context request message includes the first MAC, information indicating the target security algorithm of the signaling plane, information indicating the target security algorithm of the user plane, information used to indicate the target MAC length of the signaling plane, and information used to indicate the user plane information about the length of the target MAC, the first MAC is used to verify the integrity of the security context request message.
  • the security context request message further includes a second freshness parameter acquired (or generated by the first node).
  • the security context request message further includes first identity authentication information, where the first identity authentication information is generated by the first node according to a shared key between the first node and the second node.
  • first identity authentication information is generated by the first node according to a shared key between the first node and the second node.
  • the security context request message may be encrypted by the encryption key of the first node.
  • the second node decrypts the message content by using the corresponding encryption key.
  • Step S1306 The second node verifies the integrity of the security context request message according to the first MAC through the target security algorithm on the signaling plane.
  • step S305 For a detailed description, refer to step S305.
  • Step S1307 The second node verifies the first identity authentication information according to the shared key between the second node and the first node.
  • step S306 For a detailed description, refer to step S306.
  • Step S1308 The second node generates a second MAC through the target security algorithm on the signaling plane.
  • Step S1309 The second node sends a security context response message to the first node.
  • step S308 For a detailed description, refer to step S308.
  • Step S1310 The second node checks the integrity of the security context response message according to the second MAC through the target security algorithm on the signaling plane.
  • step S309 For a detailed description, refer to step S309.
  • Step S1311 The first node verifies the second identity authentication information according to the shared key between the first node and the second node.
  • step S310 For a detailed description, refer to step S310.
  • Step S1312 The first node sends an association establishment message to the second node.
  • the association establishment message indicates that an association is established between the second node and the first node.
  • step S311 For a detailed description, refer to step S311.
  • the first node may configure different policies to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths. Further, the first node may determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the MAC length requirements of different types of nodes. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • FIG. 14 is a schematic structural diagram of a communication apparatus 140 provided by an embodiment of the present application.
  • the apparatus 140 may be a node, or may be a device in the node, such as a chip or an integrated circuit, and the apparatus 140 may be It includes a receiving unit 1401 and a processing unit 1402 . Among them, the description of each unit is as follows:
  • a receiving unit 1401 configured to receive an association request message from the second node, where the association request message includes information about a security algorithm supported by the second node;
  • the processing unit 1402 is configured to determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection policy, where the target security algorithm of the signaling plane belongs to the information indicated by the security algorithm supported by the second node A collection of security algorithms;
  • the above processing unit 1402 is further configured to generate a first MAC through a target security algorithm on the signaling plane, where the length of the first MAC is the length of the target MAC on the signaling plane.
  • the apparatus 140 determines the target security algorithm on the signaling plane and the target MAC length on the signaling plane by using a preconfigured or defined algorithm policy according to the information on the security algorithm supported by the second node, and then uses the signaling
  • the target MAC length of the plane is used as the MAC length of the signaling message between the first node and the second node.
  • the algorithm selection policy may be pre-configured or defined according to the communication requirements of the first node. For example, an algorithm with higher security and a longer MAC length may be preferentially selected to improve data security.
  • processing unit 1402 is specifically configured to:
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first length selection policy and the first algorithm selection policy.
  • processing unit 1402 is specifically configured to:
  • the target security algorithm of the signaling plane is determined according to the first algorithm selection strategy, and the MAC length corresponding to the target security algorithm of the signaling plane is the target MAC length of the signaling plane.
  • the above-mentioned apparatus 140 further includes:
  • the sending unit 1403 is configured to send a security context request message to the second node, where the security context request message includes the first MAC, the information indicating the target security algorithm of the signaling plane, and the target MAC length of the signaling plane. Used to verify the integrity of the security context request message.
  • the above-mentioned apparatus 140 further includes:
  • Sending unit 1403 configured to send a security context request message to the second node, where the security context request message includes the first MAC and information indicating the target security algorithm of the signaling plane; the first MAC is used for verification The integrity of the security context request message, and the first MAC is also used to indicate the target MAC length of the signaling plane.
  • the above apparatus further includes a sending unit 1403, configured to send a security context request message to the second node, where the security context request message includes the first MAC and information indicating the target security algorithm of the signaling plane , the target MAC length of the signaling plane and the first identity authentication information; wherein, the first MAC is used to verify the integrity of the security context request message, and the first identity authentication information is based on the shared secret between the first node and the second node. key generated;
  • the above receiving unit 1401 is further configured to receive a security context response message from the second node, where the security context response message includes the second identity authentication information and the second MAC; wherein the length of the second MAC is the target MAC length of the signaling plane ;
  • the second identity authentication information is used to verify the identity of the second node, and the second MAC is used to verify the integrity of the security context response message.
  • the above-mentioned security context request message further includes a target security algorithm of the user plane; the above-mentioned processing unit 1402 is specifically configured to:
  • the target security algorithm of the user plane is determined according to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the information of the security algorithms supported by the second node.
  • the above-mentioned receiving unit 1401 is further configured to acquire the identifier of the first service and/or the data packet size of the first service;
  • the above-mentioned processing unit 1402 is further configured to determine the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the packet size of the first service; wherein, the user The target MAC length of the plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service;
  • the above-mentioned sending unit 1403 is further configured to send a resource scheduling message to the second node, where the resource scheduling message includes the target MAC length of the user plane.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 3 .
  • the device 140 is the first node in the embodiment shown in FIG. 3 .
  • the division of the units in the apparatus is only a logical division based on functions, and does not limit the specific structure of the apparatus.
  • some functional modules may be subdivided into more small functional modules, and some functional modules may also be combined into one functional module, but no matter whether these functional modules are subdivided or combined, the general process performed Are the same.
  • the above-mentioned receiving unit 1401 and the sending unit 1403 may also be combined into a communication unit, and the communication unit is used to realize the functions of the receiving unit 1401 and the sending unit 1403 .
  • each unit corresponds to its own program code (or program instruction), and when the program code corresponding to each of these units runs on the processor, the unit executes the corresponding process to realize the corresponding function.
  • FIG. 15 is a schematic structural diagram of a communication apparatus 150 provided by an embodiment of the present application.
  • the apparatus 150 may be a node, or may be a device in a node, such as a chip or an integrated circuit, and the apparatus 150 may be It includes a sending unit 1501 and a receiving unit 1502. Among them, the description of each unit is as follows:
  • a sending unit 1501 configured to send an association request message to the first node, where the association request message includes information about the security algorithm supported by the second node;
  • a receiving unit 1502 configured to receive a security context request message from the first node, where the security context request message includes information used to indicate the target security algorithm of the signaling plane and information used to indicate the target MAC length of the signaling plane; wherein , the target security algorithm on the signaling plane and the target MAC length on the signaling plane correspond to the first algorithm selection policy, and the target security algorithm on the signaling plane belongs to the set of security algorithms indicated by the information on the security algorithms supported by the second node .
  • the above-mentioned apparatus 150 sends the information of the security algorithm supported by the second node to the first node, and the first node determines the signaling according to the information of the security algorithm supported by the second node through a pre-configured or defined algorithm policy the target security algorithm of the signaling plane and the target MAC length of the signaling plane, and then use the target MAC length of the signaling plane as the MAC length of the signaling message between the first node and the second node.
  • the different strategies configured in to determine the MAC length of different lengths improve the flexibility of the MAC length. For example, among the algorithms supported by the second node, an algorithm with higher security can be selected, and a longer MAC length can also be selected, which improves data security.
  • the security context request message includes a first MAC; the length of the first MAC is the target MAC length of the signaling plane; the apparatus further includes:
  • the processing unit 1503 is configured to verify the integrity of the security context request message according to the first MAC through the target security algorithm of the signaling plane
  • the first MAC is the information used to indicate the target MAC length of the signaling plane.
  • the security context request message further includes first identity authentication information; the processing unit is further configured to verify the first identity authentication information according to the shared key between the second node and the first node ;
  • the above-mentioned processing unit 1503 is further configured to generate a second MAC through the target security algorithm of the signaling plane if the integrity of the verification security context request message passes and the verification of the first identity authentication information passes, and the length of the second MAC is Let the target MAC length of the plane;
  • the above sending unit 1501 is further configured to send a security context response message to the first node, where the security context response message includes the second MAC and the second identity authentication information; the second identity authentication information is based on the second node and the first node. generated between the shared keys.
  • the security context request message further includes information indicating a target security algorithm of the user plane; wherein, the target security algorithm of the user plane corresponds to the second algorithm selection policy, and the target security algorithm of the user plane The set of security algorithms indicated by the information belonging to the security algorithms supported by the second node;
  • the above receiving unit 1502 is further configured to receive a resource scheduling message from the first node, where the resource scheduling message includes the target MAC length of the user plane; wherein, the target MAC length of the user plane corresponds to the target security algorithm of the user plane, and the first At least one of the service identifier and the data packet size of the first service; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 3 .
  • the device 150 is the second node in the embodiment shown in FIG. 3 .
  • FIG. 16 is a schematic structural diagram of a communication apparatus 160 provided by an embodiment of the present application.
  • the apparatus 160 may be a node, or may be a device in a node, such as a chip or an integrated circuit, and the apparatus 160 may be It includes a receiving unit 1601 and a processing unit 1602. Among them, the description of each unit is as follows:
  • a receiving unit 1601 configured to receive a service attribute reporting response message from the second node, where the service attribute reporting response message includes the identifier of the first service and/or the data packet size of the first service;
  • the processing unit 1602 is configured to, according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service, determine the target MAC length of the user plane, the target MAC length of the user plane.
  • the MAC length is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the above-mentioned apparatus 160 determines the target MAC length of the user plane according to the MAC length supported by the security algorithm of the user plane, the identifier of the first service and the data packet size of the first service, and then uses the MAC length of the user plane.
  • the target MAC length is the length of the MAC of the message when the first service is processed.
  • different services or services with different data packet sizes can determine different MAC lengths, thereby improving the flexibility of the MAC lengths.
  • a longer MAC length can be used, so that it is difficult to be cracked and data security is improved.
  • a shorter MAC length can be used, which can avoid affecting the communication efficiency and reduce the resource consumption of network transmission.
  • processing unit 1602 is specifically configured to:
  • the MAC length corresponding to the identifier of the first service is determined as the target MAC length of the user plane
  • the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • processing unit 1602 is specifically configured to:
  • the target MAC length of the user plane is determined according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the foregoing apparatus 160 further includes a sending unit 1603, configured to send a resource scheduling message to the second node, where the resource scheduling message includes the target MAC length of the user plane.
  • processing unit 1602 is further configured to:
  • the third MAC is generated by the target security algorithm of the user plane, the length of the third MAC is the length of the target MAC of the user plane, and the third MAC is used for integrity protection of the data of the first service.
  • the above receiving unit 1601 is further configured to acquire the information of the security algorithm supported by the second node;
  • the above processing unit 1602 is further configured to determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection strategy, where the target security algorithm of the signaling plane belongs to the security algorithm supported by the second node The set of security algorithms indicated by the information;
  • the above-mentioned processing unit 1602 is further configured to generate a fourth MAC through the target security algorithm of the signaling plane, and the length of the fourth MAC is the target MAC length of the signaling plane;
  • the above-mentioned sending unit 1603 is further configured to send a resource scheduling message to the second node, where the resource scheduling message includes a fourth MAC and a target MAC length of the user plane, and the fourth MAC is used for integrity protection of the resource scheduling message.
  • processing unit 1602 is further configured to:
  • the target security algorithm of the user plane is determined according to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the information of the security algorithms supported by the second node.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 8 .
  • the device 160 is the first node in the embodiment shown in FIG. 8 .
  • FIG. 17 is a schematic structural diagram of a communication apparatus 170 provided by an embodiment of the present application.
  • the apparatus 170 may be a node, or may be a device in a node, such as a chip or an integrated circuit, and the apparatus 170 may be It includes a sending unit 1701 and a receiving unit 1702. Among them, the description of each unit is as follows:
  • a sending unit 1701 configured to send a service attribute reporting response message to the first node, where the service attribute reporting response message includes the identifier of the first service and/or the data packet size of the first service;
  • a receiving unit 1702 configured to receive a resource scheduling message from the first node, where the resource scheduling message includes a target MAC length of the user plane; wherein, the target MAC length of the user plane is the MAC length supported by the target security algorithm of the user plane, And the target MAC length of the user plane corresponds to at least one of the identity of the first service and the packet size of the first service; the target MAC length of the user plane is used to indicate the length of the MAC that integrity protection is performed on the data of the first service .
  • the foregoing apparatus 170 may determine and select whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service does not require complete new protection.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the target security algorithm of the user plane corresponds to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • the resource scheduling message further includes a fourth MAC; the processing unit is further configured to:
  • the message integrity of the resource scheduling message is verified according to the fourth MAC.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 8 .
  • the device 170 is the second node in the embodiment shown in FIG. 8 .
  • FIG. 18 is a schematic structural diagram of a communication apparatus 180 provided by an embodiment of the present application.
  • the apparatus 180 may be a node, or may be a device in a node, such as a chip or an integrated circuit, and the apparatus 180 may be It includes a sending unit 1801 and a processing unit 1802. Among them, the description of each unit is as follows:
  • a sending unit 1801 configured to send a service attribute reporting response message to the first node, where the service attribute reporting response message includes the identifier of the first service and/or the data packet size of the first service;
  • the processing unit 1802 is configured to determine the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service; wherein, the user plane
  • the target MAC length is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the above-mentioned apparatus 180 is configured with the same method for determining the target MAC length of the user plane as in the first node, so the above-mentioned apparatus 180 can be based on the MAC length supported by the security algorithm of the user plane, and the identifier of the first service and/or the first service. Determine the target MAC length of the user plane, and then use the target MAC length of the user plane as the MAC length of the message when processing the first service. In this way, different services or services with different data packet sizes, The MAC lengths of different lengths can be determined to improve the flexibility of the MAC lengths.
  • the same method for determining the target MAC length of the user plane is configured in the above-mentioned apparatus 180 and the first node, so that the first node can determine the target MAC length of the user plane by what method, and the above-mentioned apparatus 180 also uses the same method to determine the target MAC length of the user plane. In this way, the node does not need to send the target MAC length to the other party again, which saves network resources.
  • processing unit 1802 is specifically configured to:
  • the MAC length corresponding to the ID of the first service is determined as the target MAC length of the user plane;
  • the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • processing unit 1802 is specifically configured to:
  • the target MAC length of the user plane is determined according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the target security algorithm of the user plane corresponds to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 8 .
  • the device 180 is the second node in the embodiment shown in FIG. 8 .
  • FIG. 19 is a schematic structural diagram of a communication apparatus 190 provided by an embodiment of the present application.
  • the apparatus 190 may be a node, or may be a device in a node, such as a chip or an integrated circuit, and the apparatus 190 may be It includes a receiving unit 1901 and a sending unit 1902. Among them, the description of each unit is as follows:
  • a receiving unit 1901 configured to receive a service attribute reporting response message from the second node, where the service attribute reporting response message includes at least one service identifier, at least one service identifier includes at least one second service identifier, at least one second service identifier Corresponding to the second service type, wherein the data of the service whose type is the second service type does not need to be integrity protected;
  • the sending unit 1902 is configured to send a resource scheduling message to the second node, where the resource scheduling message is used to indicate that the service corresponding to the identifier of the at least one second service does not start integrity protection.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the at least one service identifier includes an identifier of at least one first service, and the identifier of at least one first service corresponds to a first service type, wherein the data of the service whose type is the first service type needs to be processed Integrity protection.
  • the above-mentioned resource scheduling message is further used to indicate a target MAC length for the user plane of the at least one first service.
  • each unit may also correspond to the corresponding description of the embodiment shown in FIG. 11 or FIG. 12 .
  • the apparatus 190 is the first node in the embodiment shown in FIG. 11 or FIG. 12 .
  • FIG. 20 is a schematic structural diagram of a communication apparatus 200 provided by an embodiment of the present application.
  • the apparatus 200 may be a node, or may be a device in a node, such as a chip or an integrated circuit, and the apparatus 200 may be It includes a sending unit 2001 , a receiving unit 2002 and a processing unit 2003 . Among them, the description of each unit is as follows:
  • a sending unit 2001 is configured to send a service attribute reporting response message to the first node, where the service attribute reporting response message includes at least one service identifier, at least one service identifier includes at least one second service identifier, and at least one second service identifier corresponds to The second service type, wherein the data of the service whose type is the second service type does not need to be integrity protected;
  • a receiving unit 2002 configured to receive a resource scheduling message from the first node
  • the processing unit 2003 is configured to, according to the resource scheduling message, determine that the service corresponding to the identifier of at least one second service does not start integrity protection.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the at least one service identifier includes an identifier of at least one first service, and the identifier of at least one first service corresponds to a first service type, wherein the data of the service whose type is the first service type needs to be processed integrity protection;
  • the processing unit 2003 is further configured to, according to the resource scheduling message, determine that a service corresponding to the identifier of at least one first service starts integrity protection.
  • the above resource scheduling message is further used to indicate the length of the MAC that performs integrity protection on the data of the at least one first service.
  • each unit may also correspond to the corresponding description of the embodiment shown in FIG. 11 or FIG. 12 .
  • the apparatus 200 is the second node in the embodiment shown in FIG. 11 or FIG. 12 .
  • FIG. 21 is a schematic structural diagram of a communication apparatus 210 provided by an embodiment of the present application.
  • the apparatus 210 may be a node, or may be a device in a node, such as a chip or an integrated circuit, and the apparatus 210 may be It includes a receiving unit 2101 and a processing unit 2102. Among them, the description of each unit is as follows:
  • a receiving unit 2101 configured to receive an association request message from the second node, where the association request message includes information about the security algorithm supported by the second node and the identity of the second node;
  • the processing unit 2102 is configured to determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first algorithm selection policy, where the target security algorithm of the signaling plane belongs to the information indicated by the security algorithm supported by the second node A collection of security algorithms;
  • the above-mentioned processing unit 2102 is further configured to determine the target security algorithm of the user plane and the target MAC length of the user plane according to the second algorithm selection strategy and the identity of the second node, and the target security algorithm of the user plane belongs to the security supported by the second node.
  • the set of security algorithms indicated by the algorithm information; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service;
  • the above-mentioned processing unit 2102 is further configured to generate a first MAC through the target security algorithm of the signaling plane, and the length of the first MAC is the length of the target MAC of the signaling plane.
  • the foregoing apparatus 210 may configure different strategies to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths. Further, the above-mentioned apparatus 210 can determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the requirements of different types of nodes for the MAC length. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • processing unit 2102 is specifically configured to:
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first length selection policy and the first algorithm selection policy.
  • processing unit 2102 is specifically configured to:
  • the target MAC length of the signaling plane is determined according to the first length selection policy and the target security algorithm of the signaling plane.
  • processing unit 2102 is specifically configured to:
  • the target security algorithm of the signaling plane is determined according to the first algorithm selection strategy, and the MAC length corresponding to the target security algorithm of the signaling plane is the target MAC length of the signaling plane.
  • processing unit 2102 is specifically configured to:
  • the target MAC length of the signaling plane is determined according to the second length selection policy and the target security algorithm of the user plane.
  • processing unit 2102 is specifically configured to:
  • the MAC length corresponding to the identity of the second node is determined as the target MAC length of the user plane.
  • the above-mentioned apparatus further includes a sending unit 2103, and the sending unit 2103 is configured to send a security context request message to the second node, where the security context request message includes the first MAC, the target indicating the signaling plane
  • the security context request message includes the first MAC, the target indicating the signaling plane
  • the information of the security algorithm, the information indicating the target security algorithm of the user plane, the target MAC length of the signaling plane and the target MAC length of the user plane, the first MAC is used to verify the integrity of the security context request message.
  • the above-mentioned apparatus further includes a sending unit 2103, and the sending unit 2103 is configured to send a security context request message to the second node, where the security context request message includes the first MAC, the target indicating the signaling plane The information of the security algorithm, the information indicating the target security algorithm of the user plane, the target MAC length of the signaling plane, the target MAC length of the user plane, and the first identity authentication information; wherein, the first MAC is used to verify the integrity of the security context request message property, the first identity authentication information is generated according to the shared key between the first node and the second node;
  • the above receiving unit 2101 is further configured to receive a security context response message from the second node, where the security context response message includes the second identity authentication information and the second MAC; wherein the length of the second MAC is the target MAC length of the signaling plane ;
  • the second identity authentication information is used to verify the identity of the second node, and the second MAC is used to verify the integrity of the security context response message.
  • the above-mentioned processing unit 2102 is further configured to check the integrity of the security context response message according to the target security algorithm of the signaling plane and the second MAC;
  • the above-mentioned processing unit 2102 is further configured to verify the second identity authentication information according to the above-mentioned shared key
  • the above-mentioned device also includes a sending unit 2103, which is configured to send an association establishment message to the second node if the integrity of the verification security context response message passes and the verification of the second identity authentication information passes, and the association establishment message indicates the second node. An association is established between the node and the first node.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 13 .
  • the apparatus 210 is the first node in the embodiment shown in FIG. 13 .
  • FIG. 22 is a schematic structural diagram of a communication apparatus 220 provided by an embodiment of the present application.
  • the apparatus 220 may be a node, or may be a device in a node, such as a chip or an integrated circuit, and the apparatus 220 may be It includes a sending unit 2201 , a receiving unit 2202 and a processing unit 2203 . Among them, the description of each unit is as follows:
  • a sending unit 2201 configured to send an association request message to the first node, where the association request message includes information of the security algorithm supported by the second node and the identity of the second node;
  • a receiving unit 2202 configured to receive a security context request message from the first node, where the security context request message includes information used to indicate a target security algorithm of the signaling plane, information used to indicate a target security algorithm of the user plane, and a signaling
  • the algorithm belongs to the set of security algorithms indicated by the security algorithm information supported by the second node; the length of the first MAC is the target MAC length of the signaling plane;
  • the processing unit 2203 is configured to verify the integrity of the security context request message according to the first MAC through the target security algorithm of the signaling plane.
  • different policies may be configured in the first node to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths.
  • the first node may determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the MAC length requirements of different types of nodes.
  • the above-mentioned apparatus 220 obtains the target MAC length from the first node, and protects the message integrity through the target MAC length. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first algorithm selection strategy, and the target security algorithm of the signaling plane belongs to the one supported by the second node.
  • the set of security algorithms indicated by the security algorithm information; the first MAC is generated according to the target security algorithm on the signaling plane.
  • the target security algorithm of the user plane and the target MAC length of the user plane are determined according to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the security algorithm supported by the second node
  • the set of security algorithms indicated by the information; the first MAC is generated according to the target security algorithm of the signaling plane.
  • the security context request message further includes first identity authentication information; the processing unit 2203 is further configured to verify the first identity according to the shared key between the second node and the first node Certification Information;
  • the above-mentioned processing unit 2202 is further configured to generate a second MAC through the target security algorithm of the signaling plane if the integrity of the verification security context request message passes and the verification of the first identity authentication information passes, and the length of the second MAC is the letter. Let the target MAC length of the plane;
  • the above receiving unit 2202 is further configured to send a security context response message to the first node, where the security context response message includes the second MAC and the second identity authentication information; the second identity authentication information is based on the second node and the first node. generated by the shared key between them.
  • the above receiving unit 2202 is further configured to receive an association establishment message from the first node, where the association establishment message instructs the second node to establish an association with the first node.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 13 .
  • the device 220 is the second node in the embodiment shown in FIG. 13 .
  • FIG. 23 is a schematic structural diagram of a communication apparatus 230 provided by an embodiment of the present application.
  • the apparatus 230 may be a node or a device in a node.
  • the apparatus 230 may include at least one memory 2301 and at least one processor 2302.
  • a bus 2303 may also be included.
  • a communication interface 2304 may also be included, wherein the memory 2301 , the processor 2302 and the communication interface 2304 are connected through a bus 2303 .
  • the memory 2301 is used to provide a storage space, and data such as an operating system and computer programs can be stored in the storage space.
  • the memory 2301 may be random access memory (RAM), read-only memory (ROM), erasable programmable read only memory (EPROM), or portable read-only memory One or more combinations of memory (compact disc read-only memory, CD-ROM), etc.
  • the processor 2302 is a module that performs arithmetic operations and/or logical operations, and can specifically be a central processing unit (CPU), a graphics processing unit (GPU), a microprocessor (microprocessor unit, MPU), One or more of processing modules such as Application Specific Integrated Circuit (ASIC), Field Programmable Gate Array (FPGA), and Complex Programmable Logic Device (CPLD). The combination.
  • CPU central processing unit
  • GPU graphics processing unit
  • MPU microprocessor
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • CPLD Complex Programmable Logic Device
  • the communication interface 2304 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 2304 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.), or a receiver, etc., coupled with the interface.
  • the processor 2302 in the device 230 is configured to read the computer program stored in the memory 2301, to execute the aforementioned communication method, such as the communication method described in FIG. 3, FIG. 8, FIG. 11, FIG. 12 or FIG. 13 .
  • the processor 2302 in the device 230 is configured to read the computer program stored in the memory 2301 to perform the following operations:
  • association request message including information on the security algorithms supported by the second node
  • the first MAC is generated through the target security algorithm of the signaling plane, and the length of the first MAC is the length of the target MAC of the signaling plane.
  • the apparatus 230 determines the target security algorithm on the signaling plane and the target MAC length on the signaling plane through a preconfigured or defined algorithm strategy according to information about the security algorithm supported by the second node, and then uses the signaling
  • the target MAC length of the plane is used as the MAC length of the signaling message between the first node and the second node.
  • the algorithm selection strategy may be pre-configured or defined according to the communication requirements of the first node, for example, an algorithm with higher security and a longer MAC length may be preferentially selected to improve data security.
  • the processor 2302 is specifically configured to determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first length selection policy and the first algorithm selection policy.
  • processor 2302 is specifically configured to:
  • the target MAC length of the signaling plane is determined according to the first length selection policy and the target security algorithm of the signaling plane.
  • the processor 2302 is specifically configured to determine the target security algorithm of the signaling plane according to the first algorithm selection policy, and the MAC length corresponding to the target security algorithm of the signaling plane is the length of the signaling plane Destination MAC length.
  • the processor 2302 is further configured to send a security context request message to the second node through the communication interface 2304, where the security context request message includes the first MAC and the target security algorithm indicating the signaling plane information and the target MAC length of the signaling plane, the first MAC is used to verify the integrity of the security context request message.
  • the device 230 can carry the information indicating the target security algorithm of the signaling plane and the target MAC length of the signaling plane in the security context request message, so that the second node can obtain the target of the signaling plane through the security context request message The target MAC length of the security algorithm and signaling plane.
  • the security context request message may carry the first MAC, which is used by the second node to verify the integrity of the security context request message and prevent the security context request message from being tampered with by an attacker.
  • the processor 2302 is further configured to send a security context request message to the second node through the communication interface 2304, where the security context request message includes the first MAC and indication signaling information of the target security algorithm of the signaling plane; the first MAC is used to verify the integrity of the security context request message, and the first MAC is also used to indicate the length of the target MAC of the signaling plane.
  • the processor 2302 is further configured to:
  • the security context request message includes the first MAC, information indicating the target security algorithm of the signaling plane, the target MAC length of the signaling plane, and the first identity authentication information; wherein , the first MAC is used to verify the integrity of the security context request message, and the first identity authentication information is generated according to the shared key between the first node and the second node;
  • the security context response message from the second node is received through the communication interface 2304, and the security context response message includes the second identity authentication information and the second MAC; wherein, the length of the second MAC is the target MAC length of the signaling plane; the second identity The authentication information is used to verify the identity of the second node, and the second MAC is used to verify the integrity of the security context response message.
  • the shared key is a secret value shared between the first node and the second node, and can be used to generate identity verification information to facilitate the identity verification of the node.
  • the apparatus 230 can generate the first identity authentication information by using the shared key, and the first identity authentication information is used for the second node to verify the identity of the first node.
  • the first node can also verify the identity of the second node through the second identity authentication information.
  • processor 2302 is further configured to:
  • an association establishment message is sent to the second node, and the association establishment message instructs the second node to establish an association with the first node.
  • the security context request message further includes a target security algorithm of the user plane; the processor 2302 is further configured to determine the target security algorithm of the user plane according to the second algorithm selection strategy, and the user plane
  • the target security algorithm belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • processor 2302 is further configured to:
  • the target MAC length of the user plane is determined; the target MAC length of the user plane is used to indicate that the The length of the MAC for integrity protection of the data of the first service;
  • a resource scheduling message is sent to the second node through the communication interface 2304, where the resource scheduling message includes the target MAC length of the user plane.
  • the target MAC length of the user plane can be determined according to the MAC length supported by the security algorithm of the user plane, as well as the identifier of the first service and the data packet size of the first service. For services, different MAC lengths can be determined to improve the flexibility of MAC lengths. On the one hand, for services with high secrecy, a longer MAC length can be used, so that it is difficult to be cracked and data security is improved.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 3 .
  • the device 230 is the first node in the embodiment shown in FIG. 3 .
  • FIG. 24 is a schematic structural diagram of a communication apparatus 240 provided by an embodiment of the present application.
  • the apparatus 240 may be a node or a device in a node.
  • the apparatus 240 may include at least one memory 2401 and at least one processor 2402 .
  • a bus 2403 may also be included.
  • a communication interface 2404 may also be included, wherein the memory 2401 , the processor 2402 and the communication interface 2404 are connected through a bus 2403 .
  • the memory 2401 is used to provide a storage space, and data such as an operating system and computer programs can be stored in the storage space.
  • the memory 2401 may be one or a combination of more of RAM, ROM, EPROM, CD-ROM, and the like.
  • the processor 2402 is a module that performs arithmetic operations and/or logical operations, and may specifically be one or a combination of processing modules such as CPU, GPU, MPU, ASIC, FPGA, and CPLD.
  • the communication interface 2404 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 2404 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.) or a receiver, etc. coupled to the interface.
  • the processor 2402 in the device 240 is configured to read the computer program stored in the memory 2401, to execute the aforementioned communication method, such as the communication method described in FIG. 3 .
  • the processor 2402 in the device 240 is configured to read the computer program stored in the memory 2401, for performing the following operations:
  • association request message Send an association request message to the first node through the communication interface 2404, where the association request message includes information about the security algorithm supported by the second node;
  • a security context request message from the first node is received through the communication interface 2404, the security context request message includes information for indicating the target security algorithm of the signaling plane, the target MAC length of the signaling plane and the first MAC; wherein the signaling The target security algorithm of the plane and the target MAC length of the signaling plane correspond to the first algorithm selection policy, and the target security algorithm of the signaling plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • the above-mentioned apparatus 240 sends the information of the security algorithm supported by the second node to the first node, and the first node determines the signaling according to the information of the security algorithm supported by the second node through a pre-configured or defined algorithm policy the target security algorithm of the signaling plane and the target MAC length of the signaling plane, and then use the target MAC length of the signaling plane as the MAC length of the signaling message between the first node and the second node.
  • the different strategies configured in to determine the MAC length of different lengths improve the flexibility of the MAC length. For example, among the algorithms supported by the second node, an algorithm with higher security may be selected, and a longer MAC length may also be selected, which improves data security.
  • the security context request message includes a first MAC; the length of the first MAC is the length of the target MAC of the signaling plane; the processor 2402 is specifically configured to pass the target security of the signaling plane The algorithm checks the integrity of the security context request message according to the first MAC.
  • the first MAC is the information used to indicate the target MAC length of the signaling plane.
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first algorithm selection policy; the first MAC is generated according to the target security algorithm of the signaling plane.
  • the above-mentioned security context request message further includes first identity authentication information; the above-mentioned processor 2402 is further configured to:
  • the second MAC is generated by the target security algorithm of the signaling plane, and the length of the second MAC is the target MAC length of the signaling plane;
  • the security context response message includes the second MAC and the second identity authentication information; the second identity authentication information is based on the sharing between the second node and the first node key generated.
  • the above-mentioned processor 2402 is further configured to receive an association establishment message from the first node through the communication interface 2404, where the association establishment message instructs the second node to establish an association with the first node.
  • the above-mentioned security context request message further includes information indicating a target security algorithm of the user plane; wherein, the target security algorithm of the user plane corresponds to the second algorithm selection strategy, and the target security algorithm of the user plane
  • the algorithm belongs to the set of security algorithms indicated by the security algorithm information supported by the second node; the above method further includes:
  • the resource scheduling message from the first node is received through the communication interface 2404, and the resource scheduling message includes the target MAC length of the user plane; the target MAC length of the user plane corresponds to the target security algorithm of the user plane, and the identifier of the first service and the first At least one of the data packet sizes of a service; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service.
  • the first node may carry the information indicating the target security algorithm of the user plane and the target MAC length of the user plane in the resource scheduling message, so that the above-mentioned apparatus 240 can obtain the target security algorithm of the user plane and the user plane through the resource scheduling message.
  • the target MAC length may be carried by the above-mentioned apparatus 240 to obtain the target security algorithm of the user plane and the user plane through the resource scheduling message.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 3 .
  • the device 240 is the second node in the embodiment shown in FIG. 3 .
  • FIG. 25 is a schematic structural diagram of a communication apparatus 240 provided by an embodiment of the present application.
  • the apparatus 250 may be a node or a device in a node.
  • the apparatus 250 may include at least one memory 2501 and at least one processor 2502.
  • a bus 2503 may also be included.
  • a communication interface 2504 may also be included, wherein the memory 2501 , the processor 2502 and the communication interface 2504 are connected through a bus 2503 .
  • the memory 2501 is used to provide a storage space, in which data such as an operating system and computer programs can be stored.
  • the memory 2501 may be one or a combination of more of RAM, ROM, EPROM, CD-ROM, and the like.
  • the processor 2502 is a module that performs arithmetic operations and/or logical operations, and may specifically be one or a combination of processing modules such as CPU, GPU, MPU, ASIC, FPGA, and CPLD.
  • the communication interface 2504 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 2504 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.) or a receiver, etc. coupled with the interface.
  • the processor 2502 in the device 250 is configured to read the computer program stored in the memory 2501, and to execute the aforementioned communication method, such as the communication method described in FIG. 8 .
  • the processor 2502 in the device 250 is configured to read the computer program stored in the memory 2501 to perform the following operations:
  • the target MAC length of the user plane is determined, and the target MAC length of the user plane is used to indicate that the The length of the MAC for integrity protection of the data of the first service.
  • the above-mentioned apparatus 250 determines the target MAC length of the user plane according to the MAC length supported by the security algorithm of the user plane, the identifier of the first service and the data packet size of the first service, and then uses the MAC length of the user plane.
  • the target MAC length is the length of the MAC of the message when the first service is processed.
  • different services or services with different data packet sizes can determine different MAC lengths, thereby improving the flexibility of the MAC lengths.
  • a longer MAC length can be used, so that it is difficult to be cracked and data security is improved.
  • a shorter MAC length can be used, which can avoid affecting the communication efficiency and reduce the resource consumption of network transmission.
  • the above-mentioned processor 2502 is specifically used to determine the target MAC length of the user plane according to the MAC length supported by the target security algorithm of the user plane and the identification of the first service;
  • the target MAC length of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane and the data packet size of the first service.
  • processor 2502 is specifically configured to:
  • the MAC length corresponding to the identifier of the first service is determined as the target MAC length of the user plane
  • the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • the above-mentioned target MAC length of the user plane is determined according to the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service, including:
  • the target MAC length of the user plane is determined according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service. For services that need to enable integrity protection, the corresponding user plane target MAC, so as to meet the security requirements of different services.
  • the video upload service is a service that requires high security, so the data of the video upload service needs to be completely protected, and thus the length of the MAC used to protect the data of the service needs to be determined.
  • the above-mentioned processor 2502 is further configured to send a resource scheduling message to the second node through the communication interface 2504, where the resource scheduling message includes the target MAC length of the user plane.
  • the above method further includes:
  • a third MAC is generated through the target security algorithm of the user plane, the length of the third MAC is the length of the target MAC of the user plane, and the third MAC is used for integrity protection of the data of the first service.
  • processor 2502 is further configured to:
  • a resource scheduling message is sent to the second node through the communication interface 2504, where the resource scheduling message includes a fourth MAC and a target MAC length of the user plane, where the fourth MAC is used for integrity protection of the resource scheduling message.
  • the above-mentioned processor 2502 is further configured to determine a target security algorithm of the user plane according to a second algorithm selection policy, and the target security algorithm of the user plane belongs to the one supported by the second node.
  • the set of security algorithms indicated by the security algorithm information is further configured to determine a target security algorithm of the user plane according to a second algorithm selection policy, and the target security algorithm of the user plane belongs to the one supported by the second node. The set of security algorithms indicated by the security algorithm information.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 8 .
  • the apparatus 250 is the first node in the embodiment shown in FIG. 8 .
  • FIG. 26 is a schematic structural diagram of a communication apparatus 260 provided by an embodiment of the present application.
  • the apparatus 260 may be a node or a device in a node.
  • the apparatus 260 may include at least one memory 2601 and at least one processor 2602.
  • a bus 2603 may also be included.
  • a communication interface 2604 may also be included, wherein the memory 2601 , the processor 2602 and the communication interface 2604 are connected through a bus 2603 .
  • the memory 2601 is used to provide a storage space, in which data such as an operating system and computer programs can be stored.
  • Memory 2601 may be one or a combination of more of RAM, ROM, EPROM, CD-ROM, and the like.
  • the processor 2602 is a module that performs arithmetic operations and/or logical operations, and may specifically be one or a combination of processing modules such as CPU, GPU, MPU, ASIC, FPGA, and CPLD.
  • the communication interface 2604 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 2604 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.) or a receiver coupled with the interface.
  • the processor 2602 in the device 260 is configured to read the computer program stored in the memory 2601, to execute the aforementioned communication method, such as the communication method described in FIG. 8 .
  • the processor 2602 in the device 260 is configured to read the computer program stored in the memory 2601 to perform the following operations:
  • the resource scheduling message from the first node is received through the communication interface 2604, and the resource scheduling message includes the target MAC length of the user plane; wherein, the target MAC length of the user plane is the MAC length supported by the target security algorithm of the user plane, and the user plane
  • the target MAC length corresponds to at least one of the identifier of the first service and the data packet size of the first service; the target MAC length of the user plane is used to indicate the length of the MAC for integrity protection of the data of the first service.
  • the foregoing apparatus 260 may determine and select whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service does not require complete new protection.
  • the first node may carry the indication information in the resource scheduling message, so that the second node determines whether the integrity protection is enabled for the service according to the indication information.
  • the target MAC length of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane, and at least one of an identifier of the first service and a data packet size of the first service.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service. For services that need to enable integrity protection, the corresponding user plane target MAC, so as to meet the security requirements of different services.
  • the video upload service is a service that requires high security, so the data of the video upload service needs to be completely protected, and the length of the MAC used to protect the data of the service needs to be determined.
  • the target security algorithm of the user plane corresponds to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • the resource scheduling message further includes a fourth MAC
  • the processor 2602 is further configured to verify the message integrity of the resource scheduling message according to the fourth MAC through a target security algorithm on the user plane .
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 8 .
  • the device 260 is the second node in the embodiment shown in FIG. 8 .
  • FIG. 27 is a schematic structural diagram of a communication apparatus 270 provided by an embodiment of the present application.
  • the apparatus 270 may be a node or a device in the node.
  • the apparatus 270 may include at least one memory 2701 and at least one processor 2702.
  • a bus 2603 may also be included.
  • a communication interface 2704 may also be included, wherein the memory 2701 , the processor 2702 and the communication interface 2704 are connected through a bus 2703 .
  • the memory 2601 is used to provide a storage space, in which data such as an operating system and computer programs can be stored.
  • the memory 2701 may be one or a combination of more of RAM, ROM, EPROM, CD-ROM, and the like.
  • the processor 2702 is a module that performs arithmetic operations and/or logical operations, and may specifically be one or a combination of processing modules such as CPU, GPU, MPU, ASIC, FPGA, and CPLD.
  • the communication interface 2704 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 2704 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.) or a receiver, etc. coupled with the interface.
  • the processor 2702 in the device 270 is configured to read the computer program stored in the memory 2701, to execute the aforementioned communication method, such as the communication method described in FIG. 8 .
  • the processor 2702 in the device 270 is configured to read the computer program stored in the memory 2701 to perform the following operations:
  • the target MAC length of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane, and at least one of the identifier of the first service and the data packet size of the first service; wherein, the target MAC length of the user plane is used for Indicates the length of the MAC for integrity protection of the data of the first service.
  • the above-mentioned apparatus 270 is configured with the same method for determining the target MAC length of the user plane as in the first node, so the above-mentioned apparatus 270 can be based on the MAC length supported by the security algorithm of the user plane, and the identifier of the first service and/or the first service. Determine the target MAC length of the user plane, and then use the target MAC length of the user plane as the MAC length of the message when processing the first service. In this way, different services or services with different data packet sizes, The MAC lengths of different lengths can be determined to improve the flexibility of the MAC lengths.
  • the same method for determining the target MAC length of the user plane is configured in the above-mentioned apparatus 270 and the first node, so that the first node can determine the target MAC length of the user plane in the same manner.
  • the above-mentioned apparatus 270 also uses the same method. to determine the target MAC length of the user plane. In this way, the node does not need to send the target MAC length to the other party, which saves network resources.
  • processor 2702 is specifically configured to:
  • the MAC length corresponding to the ID of the first service is determined as the target MAC length of the user plane;
  • the MAC length corresponding to the data packet size of the first service is determined as the target MAC length of the user plane.
  • processor 2702 is specifically configured to:
  • the target MAC length of the user plane is determined according to the MAC length supported by the target security algorithm of the user plane and the data packet size of the first service.
  • processor 2702 is specifically configured to:
  • the target MAC length of the user plane is determined according to the second length selection policy and the MAC length supported by the target security algorithm of the user plane.
  • the identifier of the first service corresponds to the first service type, and the data of the service whose type is the first service type needs to be integrity protected.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service. For services that need to enable integrity protection, the corresponding user plane target MAC, so as to meet the security requirements of different services.
  • the video upload service is a service that requires high security, so the data of the video upload service needs to be completely protected, and thus the length of the MAC used to protect the data of the service needs to be determined.
  • the target security algorithm of the user plane corresponds to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the set of security algorithms indicated by the security algorithm information supported by the second node.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 8 .
  • the device 270 is the second node in the embodiment shown in FIG. 8 .
  • FIG. 28 is a schematic structural diagram of a communication apparatus 280 provided by an embodiment of the present application.
  • the apparatus 280 may be a node or a device in a node.
  • the apparatus 280 may include at least one memory 2801 and at least one processor 2802.
  • a bus 2803 may also be included.
  • a communication interface 2804 may also be included, wherein the memory 2801 , the processor 2802 and the communication interface 2804 are connected through a bus 2703 .
  • the memory 2801 is used to provide a storage space, and data such as an operating system and computer programs can be stored in the storage space.
  • the memory 2801 may be one or a combination of more of RAM, ROM, EPROM, CD-ROM, and the like.
  • the processor 2802 is a module that performs arithmetic operations and/or logical operations, and may specifically be one or a combination of processing modules such as CPU, GPU, MPU, ASIC, FPGA, and CPLD.
  • the communication interface 2804 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 2804 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.) or a receiver, etc. coupled with the interface.
  • the processor 2802 in the device 280 is configured to read the computer program stored in the memory 2801, to execute the aforementioned communication method, such as the communication method described in FIG. 11 or FIG. 12 .
  • the processor 2802 in the device 280 is configured to read the computer program stored in the memory 2801 to perform the following operations:
  • the communication interface 2804 receives the service attribute reporting response message from the second node, the service attribute reporting response message includes at least one service identifier, the at least one service identifier includes at least one second service identifier, and the at least one second service identifier corresponds to the second service.
  • Service type wherein the data of the service whose type is the second service type does not need to be integrity-protected;
  • the communication interface 2804 sends a resource scheduling message to the second node, where the resource scheduling message is used to indicate that the service corresponding to the identifier of the at least one second service does not start integrity protection.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the first node may carry the indication information in the resource scheduling message, so that the second node determines whether the integrity protection is enabled for the service according to the indication information.
  • the at least one service identifier includes an identifier of at least one first service, and the identifier of at least one first service corresponds to a first service type, wherein the data of the service whose type is the first service type needs to be processed Integrity protection.
  • the above-mentioned resource scheduling message is further used to indicate a target MAC length for the user plane of the at least one first service.
  • the above-mentioned apparatus 280 may carry target MAC length information indicating the user plane, which is used to indicate the length of the MAC for integrity protection of the data of the service.
  • each unit may also correspond to the corresponding description of the embodiment shown in FIG. 11 or FIG. 12 .
  • the apparatus 280 is the first node in the embodiment shown in FIG. 11 or FIG. 12 .
  • FIG. 29 is a schematic structural diagram of a communication apparatus 290 provided by an embodiment of the present application.
  • the apparatus 290 may be a node or a device in a node.
  • the apparatus 290 may include at least one memory 2801 and at least one processor 2902.
  • a bus 2903 may also be included.
  • a communication interface 2904 may also be included, wherein the memory 2901 , the processor 2902 and the communication interface 2904 are connected through the bus 2703 .
  • the memory 2901 is used to provide a storage space, and data such as an operating system and computer programs can be stored in the storage space.
  • the memory 2901 may be one or a combination of more of RAM, ROM, EPROM, CD-ROM, and the like.
  • the processor 2902 is a module that performs arithmetic operations and/or logical operations, and may specifically be one or a combination of processing modules such as CPU, GPU, MPU, ASIC, FPGA, and CPLD.
  • the communication interface 2904 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 2904 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.) or a receiver, etc. coupled to the interface.
  • the processor 2902 in the device 290 is configured to read the computer program stored in the memory 2901, to execute the aforementioned communication method, such as the communication method described in FIG. 11 or FIG. 12 .
  • the processor 2902 in the device 290 is configured to read the computer program stored in the memory 2901 to perform the following operations:
  • the communication interface 2904 sends a service attribute reporting response message to the first node, where the service attribute reporting response message includes at least one service identifier, at least one service identifier includes at least one second service identifier, and at least one second service identifier corresponds to the second service Type, wherein, the data of the service of the second service type does not need to be integrity-protected;
  • the communication interface 2904 receives the resource scheduling message from the first node
  • the resource scheduling message it is determined that the service corresponding to the identifier of at least one second service does not start integrity protection.
  • the first node can determine whether to enable integrity protection according to the identifier of the first service.
  • the audio noise reduction service is a service with low security requirements, so the data of the audio noise reduction service may not need to be completely newly protected, so the MAC length corresponding to the audio noise reduction service may not be determined.
  • the at least one service identifier includes an identifier of at least one first service, and the identifier of at least one first service corresponds to a first service type, wherein the data of the service whose type is the first service type requires Integrity protection; the above method also includes:
  • the above resource scheduling message is further used to indicate the length of the MAC that performs integrity protection on the data of the at least one first service.
  • each unit may also correspond to the corresponding description of the embodiment shown in FIG. 11 or FIG. 12 .
  • the apparatus 290 is the second node in the embodiment shown in FIG. 11 or FIG. 12 .
  • FIG. 30 is a schematic structural diagram of a communication apparatus 300 provided by an embodiment of the present application.
  • the apparatus 300 may be a node or a device in a node.
  • the apparatus 300 may include at least one memory 3001 and at least one processor 3002 .
  • a bus 3003 may also be included.
  • a communication interface 3004 may also be included, wherein the memory 3001 , the processor 3002 and the communication interface 3004 are connected through a bus 3003 .
  • the memory 3001 is used to provide a storage space, and the storage space can store data such as an operating system and a computer program.
  • the memory 3001 may be one or a combination of more of RAM, ROM, EPROM, CD-ROM, and the like.
  • the processor 3002 is a module that performs arithmetic operations and/or logical operations, and may specifically be one or a combination of processing modules such as CPU, GPU, MPU, ASIC, FPGA, and CPLD.
  • the communication interface 3004 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 3004 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.) or a receiver, etc. coupled with the interface.
  • the processor 3002 in the device 300 is used for reading the computer program stored in the memory 3001, for executing the aforementioned communication method, such as the communication method described in 13.
  • the processor 3002 in the device 300 is configured to read the computer program stored in the memory 3001 to perform the following operations:
  • association request message from the second node through the communication interface 3004, where the association request message includes the information of the security algorithm supported by the second node and the identity of the second node;
  • the target security algorithm of the user plane and the target MAC length of the user plane are determined according to the second algorithm selection policy and the identity of the second node.
  • the target security algorithm of the user plane belongs to the security algorithm indicated by the information of the security algorithm supported by the second node. set; the target MAC length of the user plane is used to indicate the length of the MAC that performs integrity protection on the data of the first service;
  • the first MAC is generated through the target security algorithm of the signaling plane, and the length of the first MAC is the length of the target MAC of the signaling plane.
  • the foregoing apparatus 300 may configure different strategies to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths. Further, the above-mentioned apparatus 300 can determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the MAC length requirements of different types of nodes. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • the above-mentioned processor 3002 is specifically configured to determine the target security algorithm of the signaling plane and the target MAC length of the signaling plane according to the first length selection policy and the first algorithm selection policy.
  • processor 3002 is specifically configured to:
  • the target MAC length of the signaling plane is determined according to the first length selection policy and the target security algorithm of the signaling plane.
  • processor 3002 is specifically configured to:
  • the target security algorithm of the signaling plane is determined according to the first algorithm selection strategy, and the MAC length corresponding to the target security algorithm of the signaling plane is the target MAC length of the signaling plane.
  • processor 3002 is specifically configured to:
  • the target MAC length of the signaling plane is determined according to the second length selection policy and the target security algorithm of the user plane.
  • processor 3002 is specifically configured to:
  • the MAC length corresponding to the identity of the second node is determined as the target MAC length of the user plane.
  • the processor 3002 is further configured to send a security context request message to the second node through the communication interface 3004, where the security context request message includes the first MAC and the target security algorithm indicating the signaling plane information, the information indicating the target security algorithm of the user plane, the target MAC length of the signaling plane and the target MAC length of the user plane, the first MAC is used to verify the integrity of the security context request message.
  • processor 3002 is further configured to:
  • the security context request message includes the first MAC, information indicating the target security algorithm of the signaling plane, information indicating the target security algorithm of the user plane, and the target of the signaling plane.
  • the MAC length, the target MAC length of the user plane, and the first identity authentication information wherein, the first MAC is used to verify the integrity of the security context request message, and the first identity authentication information is based on the sharing between the first node and the second node. key generated;
  • the security context response message from the second node is received through the communication interface 3004, and the security context response message includes the second identity authentication information and the second MAC; wherein, the length of the second MAC is the target MAC length of the signaling plane; the second identity The authentication information is used to verify the identity of the second node, and the second MAC is used to verify the integrity of the security context response message.
  • processor 3002 is further configured to:
  • an association establishment message is sent to the second node, and the association establishment message instructs the second node to establish an association with the first node.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 13 .
  • the apparatus 300 is the first node in the embodiment shown in FIG. 13 .
  • FIG. 31 is a schematic structural diagram of a communication apparatus 310 provided by an embodiment of the present application.
  • the apparatus 310 may be a node or a device in a node.
  • the apparatus 310 may include at least one memory 3101 and at least one processor 3102.
  • a bus 3103 may also be included.
  • a communication interface 3104 may also be included, wherein the memory 3101 , the processor 3102 and the communication interface 3104 are connected through a bus 3103 .
  • the memory 3101 is used to provide a storage space, and the storage space can store data such as an operating system and a computer program.
  • the memory 3101 may be one or a combination of RAM, ROM, EPROM, CD-ROM, and the like.
  • the processor 3102 is a module that performs arithmetic operations and/or logical operations, and may specifically be one or a combination of processing modules such as CPU, GPU, MPU, ASIC, FPGA, and CPLD.
  • the communication interface 3104 is used to receive and/or transmit data to the outside, and may be a wired link interface such as an Ethernet cable, or a wireless link (Wi-Fi, Bluetooth, etc.) interface.
  • the communication interface 3104 may further include a transmitter (eg, a radio frequency transmitter, an antenna, etc.) or a receiver, etc. coupled to the interface.
  • the processor 3102 in the device 310 is configured to read the computer program stored in the memory 3101, to execute the aforementioned communication method, such as the communication method described in 13.
  • the processor 3102 in the device 310 is configured to read the computer program stored in the memory 3101 to perform the following operations:
  • association request message to the first node through the communication interface 3104, where the association request message includes the information of the security algorithm supported by the second node and the identity of the second node;
  • a security context request message from the first node is received through the communication interface 3104, the security context request message includes information used to indicate the target security algorithm of the signaling plane, information used to indicate the target security algorithm of the user plane, and the information of the target security algorithm of the signaling plane.
  • the length of the first MAC is the target MAC length of the signaling plane;
  • the integrity of the security context request message is checked according to the first MAC.
  • different policies may be configured in the first node to determine MAC lengths of different lengths, thereby improving the flexibility of the MAC lengths.
  • the first node may determine the target security algorithm of the user plane and the target MAC of the user plane according to the identity of the second node, so as to meet the MAC length requirements of different types of nodes.
  • the above-mentioned apparatus 310 obtains the target MAC length from the first node, and protects the message integrity through the target MAC length. For example, some nodes that handle important services can use longer MAC lengths to improve security. For another example, some auxiliary nodes or common nodes can use a shorter MAC length to reduce resource consumption and improve communication efficiency.
  • the target security algorithm of the signaling plane and the target MAC length of the signaling plane are determined according to the first algorithm selection strategy, and the target security algorithm of the signaling plane belongs to the one supported by the second node.
  • the set of security algorithms indicated by the security algorithm information; the first MAC is generated according to the target security algorithm on the signaling plane.
  • the target security algorithm of the user plane and the target MAC length of the user plane are determined according to the second algorithm selection policy, and the target security algorithm of the user plane belongs to the security algorithm supported by the second node
  • the set of security algorithms indicated by the information; the first MAC is generated according to the target security algorithm of the signaling plane.
  • processor 3102 is further configured to:
  • the second MAC is generated by the target security algorithm of the signaling plane, and the length of the second MAC is the target MAC length of the signaling plane;
  • the security context response message includes the second MAC and the second identity authentication information; the second identity authentication information is based on the sharing between the second node and the first node key generated.
  • the above method further includes: receiving an association establishment message from the first node, where the association establishment message instructs the second node to establish an association with the first node.
  • each unit may also correspond to the corresponding description with reference to the embodiment shown in FIG. 13 .
  • the device 310 is the second node in the embodiment shown in FIG. 13 .
  • An embodiment of the present application provides a computer-readable storage medium, where a computer program is stored in the computer-readable storage medium.
  • a computer program is stored in the computer-readable storage medium.
  • the computer program is run on one or more processors, the execution of FIG. 3 , FIG. 7 , The communication method described in FIG. 8 or FIG. 9 .
  • the embodiment of the present application provides a computer program product, when the computer program product runs on one or more processors, the communication method described in FIG. 3 , FIG. 8 , FIG. 11 , FIG. 12 , or FIG. 13 can be implemented .
  • An embodiment of the present application provides a chip system, the chip system includes at least one processor and a communication interface, and the at least one processor is configured to call at least one computer program stored in a memory, so that the device where the chip system is located realizes the The communication method described in FIG. 3 , FIG. 8 , FIG. 11 or FIG. 12 .
  • An embodiment of the present application provides a communication system, where the communication system includes a first node and a second node, where the first node includes the apparatus described in FIG. 14 , or FIG. 16 , or FIG. 19 or FIG. 21 , and the first node includes the device described in FIG.
  • the two nodes include the apparatus described in FIG. 15 , or FIG. 17 , or FIG. 18 , or FIG. 20 or FIG. 22 .
  • An embodiment of the present application provides a communication system, where the communication system includes a first node and a second node, where the first node includes the apparatus described in FIG. 23 , or FIG. 25 , or FIG. 28 or FIG.
  • the two nodes include the apparatus described in FIG. 24 , or FIG. 26 , or FIG. 27 , or FIG. 29 or FIG. 31 .
  • An embodiment of the present application provides a smart cockpit product, where the smart cockpit product includes a first node (for example, a car cockpit domain controller CDC), where the first node includes FIG. 14 , or FIG. 16 , or FIG. 19 or The device depicted in Figure 21.
  • a first node for example, a car cockpit domain controller CDC
  • the above-mentioned smart cockpit product also includes a second node (for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a starting system controller, etc.), and the second node includes a graph 15, or the apparatus described in FIG. 17, or FIG. 18, or FIG. 20 or FIG. 22.
  • a second node for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a starting system controller, etc.
  • An embodiment of the present application discloses a smart cockpit product, where the smart cockpit product includes a first node (for example, a car cockpit domain controller CDC), where the first node includes FIG. 23 , or FIG. 25 , or FIG. 28 or The device depicted in Figure 30.
  • a first node for example, a car cockpit domain controller CDC
  • the above-mentioned smart cockpit product also includes a second node (for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a starting system controller, etc.), and the second node includes a graph 24, or the apparatus described in FIG. 26, or FIG. 27, or FIG. 29 or FIG. 31.
  • a second node for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a starting system controller, etc.
  • An embodiment of the present application provides a vehicle, where the vehicle includes a first node (for example, a car cockpit domain controller CDC), where the first node includes the description in FIG. 14 , or FIG. 16 , or FIG. 19 or FIG. 21 . installation.
  • a first node for example, a car cockpit domain controller CDC
  • the above-mentioned vehicle also includes a second node (for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a start system controller, etc.), and the second node includes Figure 15, Or the device described in FIG. 17 , or FIG. 18 , or FIG. 20 or FIG. 22 .
  • the above-mentioned vehicle may also be replaced with an intelligent terminal such as a drone, a robot, or a transportation tool.
  • An embodiment of the present application provides a vehicle, where the vehicle includes a first node (for example, a car cockpit domain controller CDC), where the first node includes the description in FIG. 23 , or FIG. 25 , or FIG. 28 or FIG. 30 . installation.
  • a first node for example, a car cockpit domain controller CDC
  • the above-mentioned vehicle further includes a second node (for example, at least one of a camera, a screen, a microphone, a sound, a radar, an electronic key, a keyless entry or a start system controller, etc.), and the second node includes Figure 24, Or the device described in FIG. 26 , or FIG. 27 , or FIG. 29 or FIG. 31 .
  • the above-mentioned vehicle may also be replaced with an intelligent terminal such as a drone, a robot, or a transportation tool.
  • the computer program product includes one or more computer instructions.
  • the computer may be a general purpose computer, a special purpose computer, a computer network, or other programmable device.
  • the computer instructions may be stored in or transmitted over a computer-readable storage medium.
  • the computer-readable storage medium can be any available medium that can be accessed by a computer or a data storage device such as a server, data center, etc.
  • Useful media may be magnetic media (eg, floppy disks, hard disks, magnetic tapes), optical media (eg, DVDs), or semiconductor media (eg, solid state disks (SSDs)), and the like.
  • the modules in the device embodiments of the present application may be combined, divided, and deleted according to actual needs.

Abstract

本申请实施例提供一种通信方法及装置，应用于短距离通信领域，尤其涉及座舱域通信。该方法包括：接收关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，信令面的目标安全算法属于第二节点支持的安全算法的信息指示的安全算法的集合；通过信令面的目标安全算法生成第一MAC，第一MAC的长度为信令面的目标MAC长度。采用本申请实施例，能够确定出满足用户需求的MAC长度。该方案进一步可用于提升自动驾驶或高级驾驶辅助系统ADAS能力，可应用于车联网，例如车辆外联V2X、车间通信长期演进技术LTE-V、车辆-车辆V2V等。

Description

一种通信方法及装置 技术领域
本发明涉及通信技术领域，尤其涉及短距离通信技术领域，例如座舱域通信。具体涉及一种通信方法及装置。
背景技术
在信息化飞速发展的今天，通信技术已经深入了人们的生活，我们在享受通信便利的同时也会面临安全漏洞和隐私泄露的威胁。为确保通信过程中数据的传输、存储安全，其中一方面就是需要对数据进行完整性保护(或者简称为完保)，数据的完整性保护具体可以通过根据完整性保护算法计算消息认证码(Message Authentication Code，MAC)的方式来进行，其中，消息认证码(Message authentication code，MAC)，是经过特定算法后产生的一小段信息，用来检查消息的完整性。
完整性保护算法生成的消息认证码的长度有多种，但是在通信过程中，往往只能使用固定长度的消息认证码进行通信。例如，LTE和第五代(5th generation，5G)通信协议支持的MAC长度为32比特，Wi-Fi的WPA2/WPA3协议，当使用TKIP、CCMP-128、GCMP-128算法时，MAC长度是64比特；当使用CCMP-256/GCMP-256算法时，MAC长度是128比特。蓝牙协议使用AES-CCM算法，MAC长度32比特。
而随着通信技术的发展，节点间通信的消息越来越多，而不同节点对MAC长度的需求是不同的。例如，如果使用固定长度较长的MAC(如256bit或者128bit的MAC)，会使得MAC在消息中占据较大比重，对消息传输的效率影响较大。再如，不同的MAC长度的安全性是不同的，MAC长度越长，安全性越高，如果使用较短的MAC不足以保护数据安全性。因此，现有的通信过程中，固定长度的MAC不能满足需求。
可以看出，如何确定出满足需求的MAC长度是本领域技术人员正在研究的技术问题。
发明内容
本申请实施例公开了一种通信方法及装置，能够确定出满足需求的MAC长度，提高MAC长度选择的灵活性。
第一方面，本申请实施例提供一种通信方法，该方法包括：
接收来自第二节点的关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；
根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
通过信令面的目标安全算法生成第一MAC，该第一MAC的长度为信令面的目标MAC长度。
在本申请实施例中，第一节点根据第二节点支持的安全算法的信息，通过算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，可以根据第一节点配置 不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，算法选择策略可以是按照第一节点的通信需求预先配置或者定义的，例如，可以在优先选择安全性较高的算法和较长的MAC长度，提高了数据安全性。
在第一方面的一种可能的实施方式中，上述根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，包括：
根据第一长度选择策略和第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度。
在第一方面的又一种可能的实施方式中，上述根据第一长度选择策略和所述第一算法选择策略确定所述信令面的目标安全算法和所述信令面的目标MAC长度，包括：
根据第一算法选择策略确定信令面的目标安全算法；
根据第一长度选择策略和信令面的目标安全算法确定信令面的目标MAC长度。
在第一方面的又一种可能的实施方式中，上述根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，包括：
根据第一算法选择策略确定信令面的目标安全算法，该信令面的目标安全算法对应的MAC长度为信令面的目标MAC长度。
在第一方面的又一种可能的实施方式中，上述方法还包括：
向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息和信令面的目标MAC长度，该第一MAC用于验证安全上下文请求消息的完整性。
可以看出，第一节点可以在安全上下文请求消息中携带指示信令面的目标安全算法的信息和信令面的目标MAC长度，以使得第二节点可以通过安全上下文请求消息获取信令面的目标安全算法和信令面的目标MAC长度。进一步的，该安全上下文请求消息可以携带有第一MAC，用于第二节点验证安全上下文请求消息的完整性，防止安全上下文请求消息被攻击者篡改。
在第一方面的又一种可能的实施方式中，所述方法还包括：
向所述第二节点发送安全上下文请求消息，所述安全上下文请求消息包括所述第一MAC和指示信令面的目标安全算法的信息；所述第一MAC用于验证所述安全上下文请求消息的完整性，所述第一MAC还用于指示所述信令面的目标MAC长度。
在第一方面的又一种可能的实施方式中，在根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度之后，上述方法还包括：
向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、信令面的目标MAC长度和第一身份认证信息；其中，第一MAC用于验证安全上下文请求消息的完整性，第一身份认证信息为根据第一节点与第二节点之间的共享密钥生成的；
接收来自第二节点的安全上下文响应消息，该安全上下文响应消息包括第二身份认证信息和第二MAC；其中，第二MAC的长度为信令面的目标MAC长度；第二身份认证信息用于验证第二节点的身份，第二MAC用于校验所述安全上下文响应消息的完整性。
其中，共享密钥是第一节点与第二节点之间共享的一个秘密值，可以用来生成身份验 证信息便于节点验证身份。可以看出，第一节点可以通过共享密钥生成第一身份认证信息，该第一身份认证信息用于第二节点验证第一节点的身份。相应的，第一节点也可以通过第二身份认证信息来验证第二节点的身份，若攻击者想要冒用第二节点的身份标识来获取信令面的目标安全算法或者信令面的目标MAC长度时，由于无法伪造共享密钥，无法通过第一节点的身份验证，进而避免了第一节点与不可信的节点通信，提高了第一节点的通信安全性。
在第一方面的又一种可能的实施方式中，上述方法还包括：
根据信令面的目标安全算法和第二MAC校验安全上下文响应消息的完整性；
根据上述共享密钥验证第二身份认证信息；
若校验安全上下文响应消息的完整性通过且验证第二身份认证信息通过，向第二节点发送关联建立消息，该关联建立消息指示第二节点与所述第一节点之间建立关联。
在第一方面的又一种可能的实施方式中，上述安全上下文请求消息中还包括用户面的目标安全算法；上述方法还包括：
根据第二算法选择策略确定用户面的目标安全算法，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在第一方面的又一种可能的实施方式中，上述方法还包括：
获取第一业务的标识和/或第一业务的数据包大小；
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度；
向第二节点发送资源调度消息，该资源调度消息包括用户面的目标MAC长度。
可以看出，用户面的目标MAC长度可以是根据用户面的安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小在确定的，不同的业务或者不同数据包大小的业务，可以确定不同的MAC长度，提高MAC长度的灵活性。一方面，对于秘密性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。
第二方面，本申请实施例还提供一种通信方法，包括：
向第一节点发送关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；
接收来自第一节点的安全上下文请求消息，该安全上下文请求消息包括用于指示信令面的目标安全算法的信息和用于指示信令面的目标MAC长度的信息；其中，信令面的目标安全算法和信令面的目标MAC长度对应第一算法选择策略，并且信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在本申请实施例中，第二节点向第一节点发送第二节点支持的安全算法的信息，第一节点根据第二节点支持的安全算法的信息，通过预先配置或者定义的算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，可以根据第一节点配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。例如，可以在第二节点支持的算法中，选择安全性较高的算法，还可以选择较长的MAC长度，提高了数据安全性。
在第二方面的一种可能的实施方式中，所述安全上下文请求消息包括第一MAC；该第一MAC的长度为信令面的目标MAC长度；所述方法还包括：
通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
在第二方面的一种可能的实施方式中，所述第一MAC为所述用于指示信令面的目标MAC长度的信息。
在第二方面的一种可能的实施方式中，上述信令面的目标安全算法和信令面的目标MAC长度为根据第一算法选择策略确定的；第一MAC为根据信令面的目标安全算法生成的。
在第二方面的又一种可能的实施方式中，上述安全上下文请求消息中还包括第一身份认证信息；上述方法还包括：
根据第二节点与第一节点之间的共享密钥验证第一身份认证信息；
若校验安全上下文请求消息的完整性通过且验证第一身份认证信息通过，则通过信令面的目标安全算法生成第二MAC，该第二MAC的长度为信令面的目标MAC长度；
向第一节点发送安全上下文响应消息，该安全上下文响应消息中包括第二MAC和第二身份认证信息；该第二身份认证信息为根据第二节点与第一节点之间的共享密钥生成的。
在第二方面的又一种可能的实施方式中，上述方法还包括：接收来自第一节点的关联建立消息，该关联建立消息指示第二节点与第一节点之间建立关联。
在第二方面的又一种可能的实施方式中，上述安全上下文请求消息中还包括指示用户面的目标安全算法的信息；其中，该用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；上述方法还包括：
接收来自第一节点的资源调度消息，该资源调度消息中包括用户面的目标MAC长度；该用户面的目标MAC长度对应用户面的目标安全算法，以及第一业务的标识和第一业务的数据包大小中的至少一个；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
可以看出，第一节点可以根据用户面的安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度，这样一来，不同的业务或者不同数据包大小的业务，可以确定不同的MAC长度，提高MAC长度的灵活性。一方面，对于秘密性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。
进一步的，第一节点可以在资源调度消息中携带指示用户面的目标安全算法的信息和用户面的目标MAC长度，以使得第二节点可以通过资源调度消息获取用户面的目标安全算法和用户面的目标MAC长度。
第三方面，本申请实施例还提供一种通信方法，包括：
接收来自第二节点的业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数 据包大小中的至少一个，确定用户面的目标MAC长度，该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
在本申请实施例中，第一节点根据用户面的安全算法支持的MAC长度，以及第一业务的标识和/或第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度，这样一来，不同的业务或者不同数据包大小的业务，可以确定不同长度的MAC长度，提高MAC长度的灵活性。一方面，对于安全性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。另一方面，对于一些对安全性要求不高或者数据包较小的消息，可以使用较短的MAC长度，可以避免影响通信效率，也减少了网络传输的资源消耗。
在第三方面的一种可能的实施方式中，上述根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
根据用户面的目标安全算法支持的MAC长度和第一业务的标识确定用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度和第一业务的数据包大小确定用户面的目标MAC长度。
在第三方面的又一种可能的实施方式中，上述根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和MAC长度的对应关系，将第一业务的标识对应的MAC长度确定为用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将第一业务的数据包大小对应的MAC长度确定为用户面的目标MAC长度。
在第三方面的又一种可能的实施方式中，上述根据用户面的目标安全算法，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
根据第一业务的标识和/或第一业务的数据包大小确定第二长度选择策略；
根据第二长度选择策略和用户面的目标安全算法支持的MAC长度确定用户面的目标MAC长度。
在第三方面的又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护，对于需要开启完整性保护的业务，才生成对应的用户面的目标MAC，从而可以满足不同业务对于安全性的需求。例如，视频上传业务属于对安全性需求较高的业务，因此视频上传业务的数据需要进行完整新保护，从而需要确定用于保护该业务的数据的MAC的长度。
在第三方面的又一种可能的实施方式中，上述方法还包括：
向第二节点发送资源调度消息，该资源调度消息中包括用户面的目标MAC长度。
在第三方面的又一种可能的实施方式中，上述方法还包括：
通过用户面的目标安全算法生成第三MAC，该第三MAC的长度为用户面的目标MAC长度，该第三MAC用于对所述第一业务的数据进行完整性保护。
在第三方面的又一种可能的实施方式中，上述方法还包括：
获取第二节点支持的安全算法的信息；
根据第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度，所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合；
通过信令面的目标安全算法生成第四MAC，该第四MAC的长度为信令面的目标MAC长度；
向第二节点发送资源调度消息，该资源调度消息中包括第四MAC和用户面的目标MAC长度，该第四MAC用于对资源调度消息进行完整性保护。
在第三方面的又一种可能的实施方式中，所述方法还包括：
根据第二算法选择策略确定所述用户面的目标安全算法，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
第四方面，本申请实施例还提供一种通信方法，包括：
向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
接收来自第一节点的资源调度消息，该资源调度消息中包括用户面的目标MAC长度；其中，用户面的目标MAC长度为用户面的目标安全算法支持的MAC长度，以及用户面的目标MAC长度对应第一业务的标识和第一业务的数据包大小中的至少一个；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
在上述实施例中，不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
进一步的，第一节点可以在资源调度消息中携带指示信息，以使得第二节点根据指示信息确定业务是否开启完整性保护。
在第四方面的一种可能的实施方式中，上述用户面的目标MAC长度为根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个确定的。
在第四方面的又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护，对于需要开启完整性保护的业务，才生成对应的用户面的目标MAC，从而可以满足不同业务对于安全性的需求。例如，视频上传业务属于对安全性需求较高的业务，因此视频上传业务的数据需要进行完整新保护，从而需要确定用于 保护该业务的数据的MAC的长度。
在第四方面的又一种可能的实施方式中，上述用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在第四方面的又一种可能的实施方式中，上述资源调度消息中还包括第四MAC，上述方法还包括：
通过用户面的目标安全算法，根据第四MAC验证所述资源调度消息的消息完整性。
第五方面，本申请实施例还提供一种通信方法，包括：
向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；其中，该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
可以看出，第二节点配置了与第一节点中相同的确定用户面的目标MAC长度的方法，因此第二节点可以根据用户面的安全算法支持的MAC长度，以及第一业务的标识和/或第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度，这样一来，不同的业务或者不同数据包大小的业务，可以确定不同长度的MAC长度，提高MAC长度的灵活性。
而在第二节点与第一节点中配置相同的确定用户面的目标MAC长度的方法，可以使得第一节点通过什么样的方式来确定用户面的目标MAC长度，第二节点也使用相同的方式来确定用户面的目标MAC长度。这样一来，节点无需将目标MAC长度再发送给对方，节省了网络资源。
在第五方面的一种可能的实施方式中，上述根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识ID和MAC长度的对应关系，将第一业务的ID对应的MAC长度确定为用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将第一业务的数据包大小对应的MAC长度确定为用户面的目标MAC长度。
在第五方面的一种可能的实施方式中，上述根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
根据用户面的目标安全算法支持的MAC长度和第一业务的标识确定用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度和第一业务的数据包大小确定用户面的目标MAC长度。
在第五方面的又一种可能的实施方式中，上述根据用户面的目标安全算法，以及所述第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
根据所述第一业务的ID和/或所述第一业务的数据包大小确定第二长度选择策略；
根据所述第二长度选择策略和所述用户面的目标安全算法支持的MAC长度确定所述用户面的目标MAC长度。
在第五方面的又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护，对于需要开启完整性保护的业务，才生成对应的用户面的目标MAC，从而可以满足不同业务对于安全性的需求。例如，视频上传业务属于对安全性需求较高的业务，因此视频上传业务的数据需要进行完整新保护，从而需要确定用于保护该业务的数据的MAC的长度。
在第五方面的又一种可能的实施方式中，上述用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
第六方面，本申请实施例还提供一种通信方法，包括：
接收来自第二节点的业务属性上报响应消息，该业务属性上报响应消息包括至少一个业务标识，至少一个业务标识包含至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护；
向第二节点发送资源调度消息，该资源调度消息用于指示至少一个第二业务的标识对应的业务不启动完整性保护。
可以看出，不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
进一步的，第一节点可以在资源调度消息中携带指示信息，以使得第二节点根据指示信息确定业务是否开启完整性保护。
在第六方面的一种可能的实施方式中，上述至少一个业务标识包含至少一个第一业务的标识，至少一个第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在第六方面的又一种可能的实施方式中，上述资源调度消息还用于指示用于至少一个第一业务的用户面的目标MAC长度。
可以看出，对于需要进行完整性保护的业务，第一节点可以携带指示用户面的目标MAC长度信息，用于指示对业务的数据进行完整性保护的MAC的长度。
第七方面，本申请实施例还提供一种通信方法，包括：
向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括至少一个业务标识，至少一个业务标识包含至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护；
接收来自第一节点的资源调度消息；
根据该资源调度消息，确定至少一个第二业务的标识对应的业务不启动完整性保护。
可以看出，不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
在第七方面的又一种可能的实施方式中，上述至少一个业务标识包含至少一个第一业务的标识，至少一个第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护；上述方法还包括：
根据上述资源调度消息，确定至少一个第一业务的标识对应的业务启动完整性保护。
在第七方面的又一种可能的实施方式中，上述资源调度消息还用于指示对至少一个第一业务的数据进行完整性保护的MAC的长度。
第八方面，本申请实施例提供一种通信装置，包括：
接收单元，用于接收来自第二节点的关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；
处理单元，用于根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
上述处理单元，还用于通过信令面的目标安全算法生成第一MAC，该第一MAC的长度为信令面的目标MAC长度。
在本申请实施例中，上述装置根据第二节点支持的安全算法的信息，通过预先配置或者定义的算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，可以根据上述装置中配置的不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，算法选择策略可以是按照第一节点的通信需求预先配置或者定义的，例如，可以在优先选择安全性较高的算法和较长的MAC长度，提高了数据安全性。
在第八方面的一种可能的实施方式中，上述处理单元，具体用于：
根据第一长度选择策略和第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度。
在第八方面的又一种可能的实施方式中，上述处理单元，具体用于：
根据第一算法选择策略确定所述信令面的目标安全算法，该信令面的目标安全算法对应的MAC长度为所述信令面的目标MAC长度。
在第八方面的又一种可能的实施方式中，上述装置还包括：
发送单元，用于向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第 一MAC、指示信令面的目标安全算法的信息和信令面的目标MAC长度，该第一MAC用于验证安全上下文请求消息的完整性。
在第八方面的又一种可能的实施方式中，上述装置还包括：
发送单元，用于向所述第二节点发送安全上下文请求消息，所述安全上下文请求消息包括所述第一MAC和指示信令面的目标安全算法的信息；所述第一MAC用于验证所述安全上下文请求消息的完整性，所述第一MAC还用于指示所述信令面的目标MAC长度。
在第八方面的又一种可能的实施方式中，上述装置还包括发送单元，用于向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、信令面的目标MAC长度和第一身份认证信息；其中，第一MAC用于验证安全上下文请求消息的完整性，第一身份认证信息为根据第一节点与第二节点之间的共享密钥生成的；
上述接收单元，还用于接收来自第二节点的安全上下文响应消息，该安全上下文响应消息包括第二身份认证信息和第二MAC；其中，第二MAC的长度为信令面的目标MAC长度；第二身份认证信息用于验证第二节点的身份，第二MAC用于校验安全上下文响应消息的完整性。
其中，共享密钥是第一节点与第二节点之间共享的一个秘密值，可以用来生成身份验证信息便于节点验证身份。可以看出，上述装置可以通过共享密钥生成第一身份认证信息，该第一身份认证信息用于第二节点验证第一节点的身份。相应的，第一节点也可以通过第二身份认证信息来验证第二节点的身份，若攻击者想要冒用第二节点的身份标识来获取信令面的目标安全算法或者信令面的目标MAC长度时，由于无法伪造共享密钥，无法通过上述装置的身份验证，进而避免了第一节点与不可信的节点通信，提高了第一节点的通信安全性。
在第八方面的又一种可能的实施方式中，上述安全上下文请求消息中还包括用户面的目标安全算法；上述处理单元，具体用于：
根据第二算法选择策略确定用户面的目标安全算法，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在第八方面的又一种可能的实施方式中，上述接收单元，还用于获取第一业务的标识和/或第一业务的数据包大小；
上述处理单元，还用于根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；其中，用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度；
上述发送单元，还用于向第二节点发送资源调度消息，该资源调度消息包括用户面的目标MAC长度。
第九方面，本申请实施例提供一种通信装置，包括：
发送单元，用于向第一节点发送关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；
接收单元，用于接收来自第一节点的安全上下文请求消息，该安全上下文请求消息包 括用于指示信令面的目标安全算法的信息和用于指示信令面的目标MAC长度的信息；其中，信令面的目标安全算法和所述信令面的目标MAC长度对应第一算法选择策略，并且信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在本申请实施例中，上述装置向第一节点发送第二节点支持的安全算法的信息，第一节点根据第二节点支持的安全算法的信息，通过预先配置或者定义的算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，可以根据上述装置中配置的不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。例如，可以在第二节点支持的算法中，选择安全性较高的算法，还可以选择较长的MAC长度，提高了数据安全性。
在第九方面的一种可能的实施方式中，所述安全上下文请求消息包括第一MAC；该第一MAC的长度为信令面的目标MAC长度；所述装置还包括：
处理单元，用于通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
在第九方面的一种可能的实施方式中，所述第一MAC为所述用于指示信令面的目标MAC长度的信息。
在第九方面的一种可能的实施方式中，上述安全上下文请求消息中还包括第一身份认证信息；上述处理单元，还用于根据第二节点与第一节点之间的共享密钥验证第一身份认证信息；
上述处理单元，还用于若校验安全上下文请求消息的完整性通过且验证第一身份认证信息通过，则通过信令面的目标安全算法生成第二MAC，该第二MAC的长度为信令面的目标MAC长度；
上述发送单元，还用于向第一节点发送安全上下文响应消息，该安全上下文响应消息中包括第二MAC和第二身份认证信息；该第二身份认证信息为根据第二节点与第一节点的共享密钥之间生成的。
在第九方面的又一种可能的实施方式中，该安全上下文请求消息中还包括指示用户面的目标安全算法的信息；其中，用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
上述接收单元，还用于接收来自第一节点的资源调度消息，该资源调度消息中包括用户面的目标MAC长度；其中，用户面的目标MAC长度对应用户面的目标安全算法，以及第一业务的标识和第一业务的数据包大小中的至少一个；用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
第十方面，本申请实施例提供一种通信装置，包括：
接收单元，用于接收来自第二节点的业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
处理单元，用于根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，该用户面的目标 MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
在本申请实施例中，上述装置根据用户面的安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度。这样一来，不同的业务或者不同数据包大小的业务，可以确定不同的MAC长度，提高MAC长度的灵活性。一方面，对于秘密性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。另一方面，对于一些对私密性要求不高或者数据包较小的消息，可以使用较短的MAC长度，可以避免影响通信效率，也减少了网络传输的资源消耗。
在第十方面的一种可能的实施方式中，上述处理单元，具体用于：
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和MAC长度的对应关系，将第一业务的标识对应的MAC长度确定为用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将第一业务的数据包大小对应的MAC长度确定为用户面的目标MAC长度。
在第十方面的又一种可能的实施方式中，上述处理单元，具体用于：
根据第一业务的标识和/或第一业务的数据包大小确定第二长度选择策略；
根据第二长度选择策略和用户面的目标安全算法支持的MAC长度确定用户面的目标MAC长度。
在第十方面的又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在第十方面的又一种可能的实施方式中，上述装置还包括发送单元，用于向第二节点发送资源调度消息，该资源调度消息中包括用户面的目标MAC长度。
在第十方面的又一种可能的实施方式中，上述处理单元，还用于：
通过用户面的目标安全算法生成第三MAC，该第三MAC的长度为用户面的目标MAC长度，该第三MAC用于对第一业务的数据进行完整性保护。
在第十方面的又一种可能的实施方式中，上述接收单元，还用于获取第二节点支持的安全算法的信息；
上述处理单元，还用于根据第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度，所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合；
上述处理单元，还用于通过信令面的目标安全算法生成第四MAC，该第四MAC的长度为所述信令面的目标MAC长度；
上述发送单元，还用于向第二节点发送资源调度消息，该资源调度消息中包括第四MAC和用户面的目标MAC长度，该第四MAC用于对资源调度消息进行完整性保护。
在第十方面的又一种可能的实施方式中，上述处理单元，还用于：
根据第二算法选择策略确定用户面的目标安全算法，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
第十一方面，本申请实施例提供一种通信装置，包括：
发送单元，用于向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
接收单元，用于接收来自第一节点的资源调度消息，该资源调度消息中包括用户面的目标MAC长度；其中，该用户面的目标MAC长度为用户面的目标安全算法支持的MAC长度，以及用户面的目标MAC长度对应第一业务的标识和第一业务的数据包大小中的至少一个；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
在上述实施例中，不同业务类型的业务对完整性保护的需求是不同的，上述装置170可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据不需要进行完整新保护。
在第十一方面的一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在第十一方面的又一种可能的实施方式中，上述用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在第十一方面的又一种可能的实施方式中，上述资源调度消息中还包括第四MAC；上述处理单元，还用于：
通过用户面的目标安全算法，根据第四MAC验证资源调度消息的消息完整性。
第十二方面，本申请实施例提供一种通信装置，包括：
发送单元，用于向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
处理单元，用于根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；其中，该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
上述装置中配置了与第一节点中相同的确定用户面的目标MAC长度的方法，因此上述装置可以根据用户面的安全算法支持的MAC长度，以及第一业务的标识和/或第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度，这样一来，不同的业务或者不同数据包大小的业务，可以确定不同长度的MAC长度，提高MAC长度的灵活性。
而在上述装置与第一节点中配置相同的确定用户面的目标MAC长度的方法，可以使得第一节点通过什么样的方式来确定用户面的目标MAC长度，上述装置也使用相同的方式来确定用户面的目标MAC长度。这样一来，节点无需将目标MAC长度再发送给对方，节省了网络资源。
在第十二方面的又一种可能的实施方式中，上述处理单元，具体用于：
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识ID和MAC长度的对应关系，将第一业务的ID对应的MAC长度确定为用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将第一业务的数据包大小对应的MAC长度确定为用户面的目标MAC长度。
在第十二方面的又一种可能的实施方式中，上述处理单元，具体用于：
根据第一业务的ID和/或第一业务的数据包大小确定第二长度选择策略；
根据第二长度选择策略和用户面的目标安全算法支持的MAC长度确定用户面的目标MAC长度。
在第十二方面的又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在第十二方面的又一种可能的实施方式中，上述用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
第十三方面，本申请实施例提供一种通信装置，包括：
接收单元，用于接收来自第二节点的业务属性上报响应消息，该业务属性上报响应消息包括至少一个业务标识，至少一个业务标识包含至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护；
发送单元，用于向第二节点发送资源调度消息，该资源调度消息用于指示至少一个第二业务的标识对应的业务不启动完整性保护。
可以看出，不同业务类型的业务对完整性保护的需求是不同的，上述装置可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
在第十三方面的一种可能的实施方式中，上述至少一个业务标识包含至少一个第一业务的标识，至少一个第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在第十三方面的又一种可能的实施方式中，上述资源调度消息还用于指示用于至少一个第一业务的用户面的目标MAC长度。
第十四方面，本申请实施例提供一种通信装置，包括：
发送单元，用于向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括至少一个业务标识，至少一个业务标识包含至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护；
接收单元，用于接收来自第一节点的资源调度消息；
处理单元，用于根据所述资源调度消息，确定至少一个第二业务的标识对应的业务不启动完整性保护。
可以看出，不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
在第十四方面的一种可能的实施方式中，上述至少一个业务标识包含至少一个第一业务的标识，至少一个第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护；
所述处理单元，还用于根据所述资源调度消息，确定至少一个第一业务的标识对应的业务启动完整性保护。
在第十四方面的又一种可能的实施方式中，上述资源调度消息还用于指示对至少一个第一业务的数据进行完整性保护的MAC的长度。
第十五方面，本申请实施例还提供一种通信方法，包括：
接收来自第二节点的关联请求消息，该关联请求消息中包括第二节点支持的安全算法的信息和第二节点的身份标识；
根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
根据第二算法选择策略和第二节点的身份标识确定用户面的目标安全算法以及用户面的目标MAC长度，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度；
通过信令面的目标安全算法生成第一MAC，该第一MAC的长度为信令面的目标MAC长度。
在本申请实施例中，第一节点可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，第一节点可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需求。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
在第十五方面的一种可能的实施方式中，上述根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，包括：
根据第一长度选择策略和第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度。
在第十五方面的又一种可能的实施方式中，上述根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，包括：
根据第一算法选择策略确定信令面的目标安全算法；
根据第一长度选择策略和信令面的目标安全算法确定信令面的目标MAC长度。
在第十五方面的又一种可能的实施方式中，上述根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，包括：
根据第一算法选择策略确定信令面的目标安全算法，该信令面的目标安全算法对应的MAC长度为信令面的目标MAC长度。
在第十五方面的又一种可能的实施方式中，上述根据第二算法选择策略和第二节点的身份标识确定用户面的目标安全算法以及用户面的目标MAC长度，包括：
根据第二算法选择策略确定用户面的目标安全算法；
根据第二节点的身份标识确定第二长度选择策略；
根据第二长度选择策略、用户面的目标安全算法确定信令面的目标MAC长度。
在第十五方面的又一种可能的实施方式中，上述根据第二算法选择策略和第二节点的身份标识确定用户面的目标安全算法以及用户面的目标MAC长度，包括：
根据第二算法选择策略确定用户面的目标安全算法；
根据用户面的目标安全算法支持的MAC长度，以及第二节点的身份标识和MAC长度的对应关系，将第二节点的身份标识对应的MAC长度确定为用户面的目标MAC长度。
在第十五方面的又一种可能的实施方式中，上述方法还包括：
向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、信令面的目标MAC长度和用户面的目标MAC长度，该第一MAC用于验证安全上下文请求消息的完整性。
在第十五方面的又一种可能的实施方式中，上述方法还包括：
向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、信令面的目标MAC长度、用户面的目标MAC长度和第一身份认证信息；其中，第一MAC用于验证安全上下文请求消息的完整性，第一身份认证信息为根据第一节点与第二节点之间的共享密钥生成的；
接收来自第二节点的安全上下文响应消息，该安全上下文响应消息包括第二身份认证信息和第二MAC；其中，第二MAC的长度为信令面的目标MAC长度；第二身份认证信息用于验证第二节点的身份，第二MAC用于校验所述安全上下文响应消息的完整性。
在第十五方面的又一种可能的实施方式中，上述方法还包括：
根据信令面的目标安全算法和第二MAC校验安全上下文响应消息的完整性；
根据上述共享密钥验证第二身份认证信息；
若校验安全上下文响应消息的完整性通过且验证第二身份认证信息通过，向第二节点发送关联建立消息，该关联建立消息指示第二节点与所述第一节点之间建立关联。
第十六方面，本申请实施例还提供一种通信方法，包括：
向第一节点发送关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息和第二节点的身份标识；
接收来自第一节点的安全上下文请求消息，该安全上下文请求消息包括用于指示信令面的目标安全算法的信息、用于指示用户面的目标安全算法的信息、信令面的目标MAC长度、用户面的目标MAC长度和第一MAC；其中，信令面的目标安全算法和信令面的目标MAC长度对应第一算法选择策略，并且信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；用户面的目标安全算法和用户面的目标MAC长 度对应第二算法选择策略和第二节点的身份标识，并且用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；该第一MAC的长度为信令面的目标MAC长度；
通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
在本申请实施例中，第一节点中可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，第一节点可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需求。第二节点获取来自第一节点目标MAC长度，通过目标MAC长度保护消息完整性。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
在第十六方面的一种可能的实施方式中，上述信令面的目标安全算法和信令面的目标MAC长度为根据第一算法选择策略确定的，所述信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；第一MAC为根据信令面的目标安全算法生成的。
在第十六方面的又一种可能的实施方式中，上述用户面的目标安全算法和用户面的目标MAC长度为根据第二算法选择策略确定的，所述用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；第一MAC为根据信令面的目标安全算法生成的。
在第十六方面的又一种可能的实施方式中，上述安全上下文请求消息中还包括第一身份认证信息；上述方法还包括：
根据第二节点与第一节点之间的共享密钥验证第一身份认证信息；
若校验安全上下文请求消息的完整性通过且验证第一身份认证信息通过，则通过信令面的目标安全算法生成第二MAC，该第二MAC的长度为信令面的目标MAC长度；
向第一节点发送安全上下文响应消息，该安全上下文响应消息中包括第二MAC和第二身份认证信息；该第二身份认证信息为根据第二节点与第一节点之间的共享密钥生成的。
在第十六方面的又一种可能的实施方式中，上述方法还包括：接收来自第一节点的关联建立消息，该关联建立消息指示第二节点与第一节点之间建立关联。
第十七方面，本申请实施例还提供一种通信装置，包括：
接收单元，用于接收来自第二节点的关联请求消息，该关联请求消息中包括第二节点支持的安全算法的信息和第二节点的身份标识；
处理单元，用于根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
上述处理单元，还用于根据第二算法选择策略和第二节点的身份标识确定用户面的目标安全算法以及用户面的目标MAC长度，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度；
上述处理单元，还用于通过信令面的目标安全算法生成第一MAC，该第一MAC的长度为信令面的目标MAC长度。
在本申请实施例中，上述装置可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，上述装置可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需求。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
在第十七方面的一种可能的实施方式中，上述处理单元，具体用于：
根据第一长度选择策略和第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度。
在第十七方面的又一种可能的实施方式中，上述处理单元，具体用于：
根据第一算法选择策略确定信令面的目标安全算法；
根据第一长度选择策略和信令面的目标安全算法确定信令面的目标MAC长度。
在第十七方面的又一种可能的实施方式中，上述处理单元，具体用于：
根据第一算法选择策略确定信令面的目标安全算法，该信令面的目标安全算法对应的MAC长度为信令面的目标MAC长度。
在第十七方面的又一种可能的实施方式中，上述处理单元，具体用于：
根据第二算法选择策略确定用户面的目标安全算法；
根据第二节点的身份标识确定第二长度选择策略；
根据第二长度选择策略、用户面的目标安全算法确定信令面的目标MAC长度。
在第十七方面的又一种可能的实施方式中，上述处理单元，具体用于：
根据第二算法选择策略确定用户面的目标安全算法；
根据用户面的目标安全算法支持的MAC长度，以及第二节点的身份标识和MAC长度的对应关系，将第二节点的身份标识对应的MAC长度确定为用户面的目标MAC长度。
在第十七方面的又一种可能的实施方式中，上述装置还包括发送单元，该发送单元用于向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、信令面的目标MAC长度和用户面的目标MAC长度，该第一MAC用于验证安全上下文请求消息的完整性。
在第十七方面的又一种可能的实施方式中，上述装置还包括发送单元，该发送单元用于向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、信令面的目标MAC长度、用户面的目标MAC长度和第一身份认证信息；其中，第一MAC用于验证安全上下文请求消息的完整性，第一身份认证信息为根据第一节点与第二节点之间的共享密钥生成的；
上述接收单元，还用于接收来自第二节点的安全上下文响应消息，该安全上下文响应消息包括第二身份认证信息和第二MAC；其中，第二MAC的长度为信令面的目标MAC长度；第二身份认证信息用于验证第二节点的身份，第二MAC用于校验所述安全上下文响应消息的完整性。
在第十七方面的又一种可能的实施方式中，上述处理单元，还用于根据信令面的目标 安全算法和第二MAC校验安全上下文响应消息的完整性；
上述处理单元，还用于根据上述共享密钥验证第二身份认证信息；
上述发送单元，还用于若校验安全上下文响应消息的完整性通过且验证第二身份认证信息通过，向第二节点发送关联建立消息，该关联建立消息指示第二节点与所述第一节点之间建立关联。
第十八方面，本申请实施例还提供一种通信装置，包括：
发送单元，用于向第一节点发送关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息和第二节点的身份标识；
接收单元，用于接收来自第一节点的安全上下文请求消息，该安全上下文请求消息包括用于指示信令面的目标安全算法的信息、用于指示用户面的目标安全算法的信息、信令面的目标MAC长度、用户面的目标MAC长度和第一MAC；其中，信令面的目标安全算法和信令面的目标MAC长度对应第一算法选择策略，并且信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；用户面的目标安全算法和用户面的目标MAC长度对应第二算法选择策略和第二节点的身份标识，并且用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；该第一MAC的长度为信令面的目标MAC长度；
处理单元，用于通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
在本申请实施例中，第一节点中可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，第一节点可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需求。上述装置获取来自第一节点的目标MAC长度，通过目标MAC长度保护消息完整性。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
在第十八方面的一种可能的实施方式中，上述信令面的目标安全算法和信令面的目标MAC长度为根据第一算法选择策略确定的，所述信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；第一MAC为根据信令面的目标安全算法生成的。
在第十八方面的又一种可能的实施方式中，上述用户面的目标安全算法和用户面的目标MAC长度为根据第二算法选择策略确定的，所述用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；第一MAC为根据信令面的目标安全算法生成的。
在第十八方面的又一种可能的实施方式中，上述安全上下文请求消息中还包括第一身份认证信息；上述处理单元，还用于根据第二节点与第一节点之间的共享密钥验证第一身份认证信息；
若校验安全上下文请求消息的完整性通过且验证第一身份认证信息通过，则通过信令面的目标安全算法生成第二MAC，该第二MAC的长度为信令面的目标MAC长度；
上述接收单元，还用于向第一节点发送安全上下文响应消息，该安全上下文响应消息中包括第二MAC和第二身份认证信息；该第二身份认证信息为根据第二节点与第一节点之间的共享密钥生成的。
在第十八方面的又一种可能的实施方式中，上述接收单元，还用于接收来自第一节点的关联建立消息，该关联建立消息指示第二节点与第一节点之间建立关联。
第十九方面，本申请实施例还提供一种通信装置，所述装置包括至少一个处理器和通信接口，所述至少一个处理器用于调用至少一个存储器中存储的计算机程序，以使得所述装置实现第一方面或者第一方面任意一种可能的实施方式所描述的方法，或者实现第三方面或者第三方面任意一种可能的实施方式所描述的方法，或者实现第六方面或者第六方面任意一种可能的实施方式所描述的方法，或者实现第十五方面或者第十五方面任意一种可能的实施方式所描述的方法。
第二十方面，本申请实施例还提供一种通信装置，所述装置包括至少一个处理器和通信接口，所述至少一个处理器用于调用至少一个存储器中存储的计算机程序，以使得所述装置实现第二方面或者第二方面任意一种可能的实施方式所描述的方法，或者实现第四方面或者第四方面任意一种可能的实施方式所描述的方法，或者实现第五方面或者第五方面任意一种可能的实施方式所描述的方法，或者实现第七方面或者第七方面任意一种可能的实施方式所描述的方法，或者实现第十六方面或者第十六方面任意一种可能的实施方式所描述的方法。
第二十一方面，本申请实施例还提供一种通信系统，该通信系统包括第一节点和第二节点，其中，该第一节点包含第八方面或者第八方面任意一种可能的实施方式所描述的装置，该第二节点包含第九方面或者第九方面任意一种可能的实施方式所描述的装置。
第二十二方面，本申请实施例还提供一种通信系统，该通信系统包括第一节点和第二节点，其中，该第一节点包含第十方面或者第十方面任意一种可能的实施方式所描述的装置，该第二节点包含第十一方面或者第十一方面任意一种可能的实施方式所描述的装置。
第二十三方面，本申请实施例还提供一种通信系统，该通信系统包括第一节点和第二节点，其中，该第一节点包含第十方面或者第十方面任意一种可能的实施方式所描述的装置，该第二节点包含第十二方面或者第十二方面任意一种可能的实施方式所描述的装置。
第二十四方面，本申请实施例还提供一种通信系统，该通信系统包括第一节点和第二节点，其中，该第一节点包含第十三方面或者第十三方面任意一种可能的实施方式所描述的装置，该第二节点包含第十四方面或者第十四方面任意一种可能的实施方式所描述的装置。
第二十五方面，本申请实施例还提供一种通信系统，该通信系统包括第一节点和第二节点，其中，该第一节点包含第十七方面或第十七方面任意一种可能的实施方式所描述的装置，该第二节点包含第十八方面或第十八方面任意一种可能的实施方式所描述的装置。
第二十六方面，本申请实施例公开了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，当所述计算机程序在一个或多个处理器上运行时，执行第一方面、第一方面的任意一种可能的实施方式所描述的方法，或者执行第三方面或者第三方面 的任意一种可能的实施方式所描述的方法，或者执行第六方面或者第六方面的任意一种可能的实施方式所描述的方法第十五方面，或者第十五方面的任意一种可能的实施方式所描述的方法。
第二十七方面，本申请实施例公开了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，当所述计算机程序在一个或多个处理器上运行时，执行第二方面、第二方面的任意一种可能的实施方式所描述的方法，或者执行第四方面或者第四方面的任意一种可能的实施方式所描述的方法，或者执行第五方面或者第五方面的任意一种可能的实施方式所描述的方法，或者执行第七方面或者第七方面的任意一种可能的实施方式所描述的方法，或者执行第十六方面或者第十六方面的任意一种可能的实施方式所描述的方法。
第二十八方面，本申请实施例公开了一种芯片系统，所述芯片系统包括至少一个处理器和通信接口，所述至少一个处理器用于调用至少一个存储器中存储的计算机程序，以使得所述芯片系统所在装置实现第一方面、第一方面的任意一种可能的实施方式所描述的方法，又或者实现第三方面或者第三方面的任意一种可能的实施方式所描述的方法，又或者实现第六方面或者第六方面的任意一种可能的实施方式所描述的方法，又或者实现第十五方面或者第十五方面的任意一种可能的实施方式所描述的方法。
第二十九方面，本申请实施例公开了一种芯片系统，所述芯片系统包括至少一个处理器和通信接口，所述至少一个处理器用于调用至少一个存储器中存储的计算机程序，以使得所述芯片系统所在装置实现第二方面、第二方面的任意一种可能的实施方式所描述的方法，又或者实现第四方面或者第四方面的任意一种可能的实施方式所描述的方法，又或者实现第五方面或者第五方面的任意一种可能的实施方式所描述的方法，又或者实现第七方面或者第七方面的任意一种可能的实施方式所描述的方法，又或者实现第十六方面或者第十六方面的任意一种可能的实施方式所描述的方法。
第三十方面，本申请实施例还提供一种智能座舱产品，所述智能座舱产品包括第一节点(例如，汽车座舱域控制器CDC)，其中，该第一节点包含第一方面或第一方面的任意一种可能的实施方式所描述的装置、或者包含第三方面或第三方面的任意一种可能的实施方式所描述的装置、或者包含第六方面或第六方面的任意一种可能的实施方式所描述的装置、或者执行第十五方面或者第十五方面的任意一种可能的实施方式所描述的方法。
进一步的，上述智能座舱产品还包括第二节点(例如，摄像头、屏幕、麦克风、音响、雷达、电子钥匙、无钥匙进入或启动系统控制器等模块中的至少一个)，该第二节点包含第二方面或第二方面的任意一种可能的实施方式所描述的装置、或者包含第四方面或第四方面的任意一种可能的实施方式所描述的装置、或者包含第五方面或第五方面的任意一种可能的实施方式所描述的装置、或者包含第七方面或第七方面的任意一种可能的实施方式所描述的装置、或者执行第十六方面或者第十六方面的任意一种可能的实施方式所描述的方法。
第三十一方面，本申请实施例提供了一种车辆，所述车辆包括第一节点(例如，汽车座舱域控制器CDC)，其中，该第一节点包含第一方面或第一方面的任意一种可能的实施方式、或者包含第三方面或第三方面的任意一种可能的实施方式所描述的装置、或者包含 第六方面或第六方面的任意一种可能的实施方式所描述的装置、或者执行第十五方面或者第十五方面的任意一种可能的实施方式所描述的方法。
进一步的，上述车辆还包括第二节点(例如，摄像头、屏幕、麦克风、音响、雷达、电子钥匙、无钥匙进入或启动系统控制器等模块中的至少一个)，该第二节点包含第二方面或第二方面的任意一种可能的实施方式所描述的装置、或者包含第四方面或第四方面的任意一种可能的实施方式所描述的装置、或者包含第五方面或第五方面的任意一种可能的实施方式所描述的装置、或者包含第七方面或第七方面的任意一种可能的实施方式所描述的装置、或者执行第十六方面或者第十六方面的任意一种可能的实施方式所描述的方法。
附图说明
以下对本申请实施例用到的附图进行介绍。
图1是本申请实施例提供的一种通信系统的架构示意图；
图2是本申请实施例提供的一种通信方法的使用场景示意图；
图3是本申请实施例提供的一种通信方法的流程示意图；
图4是本申请实施例提供的一种算法选择策略的示意图；
图5是本申请实施例提供的一种确定信令面的目标MAC长度的示意图；
图6是本申请实施例提供的又一种确定信令面的目标MAC长度的示意图；
图7是本申请实施例提供的又一种确定信令面的目标MAC长度的示意图；
图8是本申请实施例提供的又一种通信方法的流程示意图；
图9是本申请实施例提供的一种确定用户面的目标MAC长度的示意图；
图10是本申请实施例提供的又一种确定用户面的目标MAC长度的示意图；
图11是本申请实施例提供的又一种通信方法的流程示意图；
图12是本申请实施例提供的又一种通信方法的流程示意图；
图13是本申请实施例提供的又一种通信方法的流程示意图；
图14是本申请实施例提供的一种通信装置的结构示意图；
图15是本申请实施例提供的又一种通信装置的结构示意图；
图16是本申请实施例提供的又一种通信装置的结构示意图；
图17是本申请实施例提供的又一种通信装置的结构示意图；
图18是本申请实施例提供的又一种通信装置的结构示意图；
图19是本申请实施例提供的又一种通信装置的结构示意图；
图20是本申请实施例提供的又一种通信装置的结构示意图；
图21是本申请实施例提供的又一种通信装置的结构示意图；
图22是本申请实施例提供的又一种通信装置的结构示意图；
图23是本申请实施例提供的又一种通信装置的结构示意图；
图24是本申请实施例提供的又一种通信装置的结构示意图；
图25是本申请实施例提供的又一种通信装置的结构示意图；
图26是本申请实施例提供的又一种通信装置的结构示意图；
图27是本申请实施例提供的又一种通信装置的结构示意图；
图28是本申请实施例提供的又一种通信装置的结构示意图；
图29是本申请实施例提供的又一种通信装置的结构示意图；
图30是本申请实施例提供的又一种通信装置的结构示意图；
图31是本申请实施例提供的又一种通信装置的结构示意图。
具体实施方式
下面结合本申请实施例中的附图对本申请实施例进行描述。需要说明的是，本申请中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其他实施例或设计方案更优选或更具优势，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。
下面先对本申请涉及到的相关技术和专业术语进行简单的介绍以方便理解。
一、节点(node)
节点是具有数据收发能力的电子设备。例如，节点可以为汽车座舱(Cockpit Domain)设备，或者汽车座舱设备中的一个模块(例如座舱域控制器(cockpit domain controller，CDC)、摄像头、屏幕、麦克风、音响、电子钥匙、无钥匙进入或启动系统控制器等模块中的一个或者多个)。在具体实施过程中，节点还可以是数据中转设备，例如路由器、中继器、桥接器或交换机；也可以是一个终端设备，例如各种类型的用户设备(user equipment，UE)、手机(mobile phone)、平板电脑(pad)、台式电脑、耳机、音响等；还可以包括机器智能设备，如无人驾驶(self-driving)设备、运输安全(transportation safety)设备、虚拟现实(virtual reality，VR)终端设备、增强现实(augmented reality，AR)终端设备、机器类型通信(machine type communication，MTC)设备、工业控制(industrial control)设备、远程医疗(remote medical)设备、智能电网(smart grid)设备、智慧城市(smart city)设备；还可以包括可穿戴设备(如智能手表，智能手环，计步器等)等等。在某些技术场景中，具备相类似数据收发能力的设备的名称也可能不称为节点，但是为了方便描述，本申请实施例中将具有数据收发能力的电子设备统称为节点。
二、消息认证码(message authentication code，MAC)
消息认证码(MAC)是密码学中，通信实体双方使用的一种验证机制，是用于保证消息完整性的一种工具。在发送消息之前，发送方首先使用通信双方协商好的完整性保护算法(或者还包括密钥)计算出MAC。之后，MAC和数据一起被发送。接收方收到报文后，用和发送方同样的完整性保护算法(或者还包括密钥)计算出MAC，并比较自己计算的MAC和收到的MAC是否一致。若两者一致，则消息通过完整性校验。
例如，以长期演进(Long Term Evolution，LTE)系统为例，LTE的完整性保护功能位于分组数据汇聚协议(Packet Data Convergence Protocol，PDCP)层，发送端的节点可以对PDCP协议数据单元(Protocol Data Unit，PDU)的头部(header)以及数据部分进行完整性保护。具体的，发送端的节点使用上层协议层配置的完整性保护算法，以密钥、COUNT值、无线承载标识、DIRECTION以及消息等中的至少一个参数作为输入参数，计算一个32比特(bit)的消息完整性验证码(Message Authentication Code for Integrity，MAC-I)，放入PDCP PDU的MAC-I域。接收端的节点在收到消息后，以同样的方法计算该消息所期望的验证码 XMAC-I，并通过比较XMAC-I和MAC-I进行完整性校验。如果MAC-I与XMAC-I相等，则接收端确定完整性校验成功，否则确定完整性校验失败。
三、完整性保护算法
MAC可以通过完整性保护算法来生成，该完整性保护算法也可以称为MAC算法、完整性保护算法等。可选的，完整性保护算法可以通过其他的加密算法来实现。例如，通过哈希算法来实现的完整性保护算法称为基于哈希的消息认证码(hash-based message authentication code，HMAC)算法，其中的哈希算法可以为MD5、SHA-1、SHA-256等等中的一个，这些不同的HMAC实现通常标记为：HMAC-MD5,HMAC-SHA1,HMAC-SHA256等等。再如，基于分组密码算法来实现的MAC算法可以称为基于密码的消息认证码(Cipher-based Message Authentication Code，CMAC)算法，其中的分组密码算法可以为高级加密标准(Advanced Encryption Standard，AES)，由于分组加密的工作模式有ECB,CBC,CFB,OFB四种，基于不同的工作的模式分组加密算法实现的完整性保护算法可以称为：ECB-MAC算法、CBC-MAC算法等等。进一步的，单密钥消息认证码(One-key CBC-MAC，OMAC)是从CBC-MAC算法改进而来，在2005年被美国国家标准与技术研究生院(National Institute of Standards and Technology，NIST)列为推荐标准。
此外，完整性保护算法还可以包括伽罗瓦消息验证码(Galois message authentication code mode，GMAC)、祖冲之密码算法(如ZUC128、ZUC256等)、信息摘要(message digest，MD)算法(如MD2、MD4或MD5等)。进一步的，密码算法还可以包括末端快速扩增(rapid amplification of cDNA ends，RACE)原始完整性验证消息摘要(RACE Integrity Primitives Evaluation Message Digest，RIPEMD)算法。
另外，完整性保护算法可以组合两个或更多个算法，以便即使后来发现其中一个易受攻击，另一个也能继续保护消息完整性。例如，在传输层安全(Transport Layer Security，TLS)中，输入数据被分成两半，每个半部用不同的完整性保护算法(MD5和SHA-1)处理，然后一起进行异或输出以得到MAC。
完整性保护算法可以生成至少一种长度的MAC，参见表1，表1是本申请实施例提供的一种可能的MAC算法生成的MAC长度的信息。可以看出，CMAC算法生成的MAC通常支持128比特、64比特或者32比特的密码块，而GMAC生成的MAC的长度可以为32比特到128比特不等，HMAC可以生成多种长度的摘要作为MAC。
表1 不同完整性保护算法生成的MAC长度
Figure PCTCN2020106013-appb-000001
在一些具体场景中，通过认证加密算法，对与给定的原文既可以加密数据也可以生成 消息认证码。因此，对消息进行认证加密过程中也可以看作对消息进行了完整性保护。例如，基于GMAC和计数加密模式的AES算法(AES-Galois/Counter Mode，AES-GCM)和基于CMAC和计数加密模式的AES算法(AES-CMAC/Counter Mode，AES-CCM)等可以对消息进行认证加密，而进行认证加密的过程中能够生成MAC来保护消息的完整性。可选的，不同的认证加密算法生成的MAC长度可以参考其使用的完保算法的长度，例如基于AES-GCM算法生成的MAC长度可以参考GMAC生成的MAC长度。
四、共享密钥(shared key，SK)
在通信过程中，数据在通信节点之间传递，如果数据要进行保密，就需要通过密钥进行加密。而共享密钥是通信双方的节点中保存的相同的秘密值，共享密钥可以是在双方节点中预先定义或者预先配置的，也可以是双方通过相同的密钥获取方法生成的，还可以是一个可信设备(如密钥分发中心(Key Distribution Center，KDC))分别发送给第一节点和第二节点的。
例如，车辆的座舱域控制器(cockpit domain controller，CDC)与车载雷达设备是可以进行通信的两个节点，汽车厂工作人员在部署CDC和车载雷达时已经预先配置CDC和车载雷达之间的共享密钥，通过该共享密钥，可以保证车辆的CDC与车顶雷达进行通信的安全性。
再如，CDC与车主的手机是可以进行通信的两个节点。当车主需要通过手机与车辆的CDC进行关联时，可以通过密钥获取方法获取共享密钥，如通过密钥协商算法在手机与车辆的CDC之间交换密钥协商算法参数生成共享密钥等。该共享密钥可以用于后续该手机再次请求关联车辆的CDC时，验证双方节点的身份。
五、密钥派生
密钥派生是从一个秘密值中派生出一个或多个秘密值的过程，而用于派生密钥的算法称为密钥派生算法(key derivation function，KDF)，又称为密钥导出算法。例如，通过秘密值Key派生的新的秘密值DK可以表示为：DK＝KDF(Key)。
常用的密钥派生算法包括基于密码的密钥派生函数(password-based key derivation function，PBKDF)、斯克里普特(scrypt)算法等。其中，PBKDF算法又包括第一代PBKDF1和第二代PBKDF2。可选的，在具体实现时，在派生密钥过程中可以使用哈希算法对输入的秘密值进行哈希变化，因此KDF还可以接收算法标识作为输入，用于指示使用何种哈希算法。
六、信令面和用户面
通信系统中，一般都存在用户面(User Plane)和控制面(Control Plane)之分。而随着软件定义网络(Software Defined Network，SDN)技术的出现，控制面和用户面(Control Plane and User Plane，CU)分离逐渐成为通信系统的发展方向。其中，控制面又称为信令面或者控制面，通常用于传输控制信令，为了方便描述，本申请各个实施例中统一使用“信令面”进行说明。用户面，又称为数据面，通常用于传输用户数据，为了方便描述，本申请各个实施例中统一使用“用户面”进行说明。
例如，在语音通话过程中，控制面用于传输用于控制呼叫流程建立、维护及释放的信令，而用户面用于传输语音数据。
在一些具体应用场景中，将网络传输分为无线网络层和传输网络层。其中，无线网络层的用户面就是电路交换域(Circuit Switching Domain，CS)业务(例如语音编码、视频编码等)或者分组数据包(Packet Switching Domain，PS)业务，即真正的用户数据；无线网络层的控制面包括：无线接入网络应用部分(Radio Access Network Application Part，RANAP)、无线网络子系统应用部分协议(Radio Network Subsystem Application Part，RNSAP)及基站应用部分协议(NodeB Application Part，NBAP)等等中的一个或者多个，用来控制呼叫流程的信令。而传输网络层是底层承载，因此传输网络层的用户面既包括用户数据也包括信令数据，也就是说无线网络层(控制面和用户面)的消息都是传输网络层的用户面消息，由传输网络层承载，进行发送/接收。而传输网络层的控制面是单独的一个控制面，只位于传输网络层，用来为无线网络层的用户面数据建立传输承载(异步传输模式适配层(Asynchronous Transfer Mode Adaptation Layer，AAL2)连接的创建维护及释放)。
另外需要说明的是，本申请各实施例中提到的“认证”、“校验”、“验证”，可以表征检查是否正确或者合理的意思。本申请各实施例中提“关联”表明第一节点与第二节点建立连接的过程，在一些具体的技术场景中，也可以将“关联”描述为“接入”。
下面对本申请实施例的系统架构和业务场景进行描述。需要说明的是，本申请描述的系统架构及业务场景是为了更加清楚的说明本申请的技术方案，并不构成对于本申请提供的技术方案的限定，本领域普通技术人员可知，随着系统架构的演变和新业务场景的出现，本申请提供的技术方案对于类似的技术问题，同样适用。
请参见图1，图1是本申请实施例提供的一种通信系统的架构示意图，包括第一节点101和第二节点102。第一节点101可以被第二节点202请求关联，关联成功后，第一节点101可以通过数据链路与第二节点102进行通信。可选的，第一节点101与第二节点102进行通信的数据链路可以包括各种类型的连接介质，例如可以为近距离连接技术包括802.11b/g、蓝牙(Blue Tooth)、紫蜂(Zigbee)、无线射频识别技术(Radio Frequency Identification，RFID)和超宽带(Ultra Wideband，UWB)技术等。再如还可以为远距离连接技术包括全球移动通信系统(Global System for Mobile communications，GSM)、通用分组无线业务(General Packet Radio Service，GPRS)、通用移动通信系统(Universal Mobile Telecommunications System，UMTS)等无线接入类型技术。当然，不排除还有其他技术可以用于支撑第一节点与第二节点进行通信。
为了保证第一节点与第二节点之间的通信安全性，可以使用消息认证码对消息进行完整性保护，例如，第一节点根据消息中的部分或者全部数据，通过完整性保护算法(或者进一步包括完整性保护密钥)生成MAC，将MAC放在消息中(例如消息的前缀或者后缀中)发送给第二节点。第二节点接收消息后，先根据对应的完整性保护算法(或者还包括对应的完整性保护密钥)，根据相应的部分或者全部数据，生成校验值，若校验值与MAC一致，则说明消息中对应的数据没有被篡改。
可选的，第一节点101可以是通信的发起方，可以称为主节点或者接入点(access point，AP)，相应的，第二节点102可以是通信的接收方，可以称为从节点。
另外，第一节点101和第二节点102可以是相同类型的设备，也可以是不同类型的设 备。例如，请参见图2，图2是本申请实施例提供的一种通信方法的使用场景示意图，车辆中的座舱域控制器(cockpit domain controller，CDC)201是智能座舱设备中的控制中心，可以看作为第一节点101。智能手机202是可以具有数据收发能力的设备，可以看作为第二节点102。其中，CDC201发送给智能手机202的消息可以携带MAC，而智能手机202接收消息，通过MAC验证消息的完整性后，再根据消息执行对应的操作。但是现有的消息认证码技术中，消息认证码的长度通常是固定的，难以满足用户的需求。例如，智能手机202通过蓝牙与CDC201进行连接，当CDC201需要给智能手机202发送语音数据时，由于该车载语音数据对私密性要求较高，而蓝牙通信过程中消息认证码长度为32比特，容易被攻击者破解，不能满足对于安全性的需求，因此需要更长的MAC长度来对数据进行保护。
请参见图3，图3是本申请实施例提供的一种通信方法的流程示意图，该通信方法可以基于图1所示的通信系统来实现，该方法至少包括如下步骤：
步骤S301：第二节点向第一节点发送关联请求消息。
具体地，关联请求消息包括第二节点支持的安全算法的信息，该安全算法的信息可以是安全算法的名称、标识或者预先定义的符号等等。其中，第二节点支持的安全算法包括完整性保护算法的信息或者认证加密算法的信息等中的一项或者多项。可选的，第二节点支持的安全算法的信息也可以称为第二节点的安全能力(Sec Capabilities)。
参见表2，表2是本申请实施例提供的一种可能的算法信息表，关联请求消息中第二节点支持的安全算法信息可以是算法的名称或者算法的标识。例如，第二节点支持的安全算法的信息可以为“GIA2、GIA3、GAC1”，指示第二节点支持祖冲之加密(ZUC)算法、AES-CMAC算法(具体为64比特和128比特MAC长度的AES-CMAC算法)和AES-GCM算法(具体为32比特MAC长度的AES-GCM算法)。再如，第二节点支持的安全算法信息可以为“0010、0011、1000”，指示第二节点支持祖冲之加密(ZUC)算法、AES-CMAC算法和AES-GCM算法。
表2 算法信息表
Figure PCTCN2020106013-appb-000002
可选的，关联请求消息中还可以包括第二节点获取的(或者生成的)新鲜性参数。其中，新鲜性参数可以包括随机数(number once，NONCE)、计数器(counter)、序列号(number)等等中的至少一个。为了方便描述，本申请各实施例中，将关联请求消息中第二节点获取(或者生成)的新鲜性参数称为第一新鲜性参数。
可选的，第一节点可以发送接入消息或者广播消息，第二节点接收来自第一节点的接入消息或者广播消息。基于所述接入消息或者广播消息，第二节点向第一节点发送第一关联请求消息。具体的，第一节点的接入消息或者广播消息中可以包含第一节点的身份标识、该第一节点的描述信息或者用于指示其它节点接入的信息等等中的至少一项。
步骤S302：第一节点根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度。
具体的，该信令面的目标安全算法包括信令面的完整性保护算法、认证加密算法等等中的一项。该信令面的目标安全算法用于信令面的消息的完整性保护，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。例如，第二节点支持的安全算法的信息可以为“GIA2、GIA3、GAC1”，指示第二节点支持祖冲之加密(ZUC)算法、AES-CMAC算法(具体为64比特和128比特MAC长度的AES-CMAC算法)和AES-GCM算法(具体为32比特MAC长度的AES-GCM算法)，则第一节点确定的信令面的目标安全算法属于祖冲之加密(ZUC)算法、AES-CMAC(具体为64比特和128比特MAC长度的AES-CMAC算法)算法和AES-GCM(具体为32比特MAC长度的AES-GCM算法)算法这一集合中的算法。
第一算法选择策略可以是第一节点中预先配置或者定义的选择策略。可选的，该第一算法选择策略可以是通过优先级来实现，也可以是按照预先配置或者定义的选择顺序来实现的，或者还可以是通过算法、模型等方式来实现的。例如，参见图4，图4是本申请实施例提供的一种可能的第一算法选择策略的示意图，参见区域401所示，标识为“0001”的算法(对应的算法为AES-CMAC算法)的优先级为1，可以说明第一节点优先选择AES-CMAC算法(具体参见表2为支持32比特MAC长度的AES-CMAC算法)作为信令面的目标安全算法。再如，第一节点中预先配置有第一模型，该第一模型是基于深度强化学习训练得到的神经网络，该神经网络是通过多个样本数据训练得到的，因此该第一模型可以根据第二节点支持的安全算法的信息决策出最优的目标安全算法，因此该第一模型可以看作第一算法选择策略。
可选的，第一节点根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，至少包括有以下两种情况：
情况一：第一节点根据第一长度选择策略、第一算法选择策略确定所述信令面的目标安全算法和所述信令面的目标MAC长度。其中，第一长度选择策略可以是第一节点中预先配置或者定义的选择策略，可以是通过优先级来实现，也可以是按照预先配置或者定义的选择顺序来实现的，或者通过算法、模型等方式来实现。例如，第一长度选择策略可以为选择长度最长的MAC长度，或者还可以为选择长度最短的MAC长度，进一步的可选的，该选择长度最长的MAC长度可以为配置为第一节点默认的长度选择策略。
可选的，第一节点根据第一长度选择策略、第一算法选择策略确定所述信令面的目标 安全算法和所述信令面的目标MAC长度，具体至少可以有以下两种实现方式：
实现方式一：第一节点根据第一算法选择策略确定信令面的目标安全算法，根据第一长度选择策略和信令面的目标安全算法确定信令面的目标MAC长度。
例如，参见图5，图5是本申请实施例提供的一种可能的确定信令面目标MAC长度的方法示意图。参见区域501，可以看出第二节点支持的安全算法的信息指示第二节点支持的安全算法的信息为“0011、1010”，指示第二节点支持的算法为AES-CMAC算法和AES-GCM算法。而第一节点中通过优先级方式来实现第一算法选择策略，参见区域502可以看出AES-CMAC算法的优先级为2，AES-GCM的优先级为3，因此根据第一算法选择策略将AES-CMAC确定为信令面的目标安全算法。而标识“0011”对应的AES-CMAC算法支持的MAC长度为64比特和128比特，根据图5所示的第一长度选择策略，可以知道64比特的优先级高于128比特的优先级，因此将64比特确定为信令面的目标MAC长度(参见区域503所示)。
再如，第一节点可以配置为默认的第一长度选择策略为选择目标安全算法支持的MAC长度中最长的MAC长度。如标识“0011”对应的AES-CMAC算法支持的MAC长度为64比特和128比特，则第一节点可以默认选择将128比特作为信令面的目标MAC长度。还可以为，第一节点可以配置为默认的第一长度选择策略为选择目标安全算法支持的MAC长度中最短的MAC长度。
实现方式二：第一节点根据第一长度选择策略，确定支持第一长度的算法或者算法集合。第一节点根据第一算法选择策略，从支持第一长度的算法或者算法集合中确定第一算法，若该第一算法属于第二节点支持的安全算法，则将第一算法确定为信令面的目标安全算法，将第一长度确定为信令面的目标MAC长度。
例如，参见图6，图6是本申请实施例提供的又一种可能的确定信令面目标MAC长度的方法示意图，参见区域602，第一节点根据第一长度选择策略，确定支持128比特的MAC长度的算法组(即标识“0011、1010、1011”分别对应的算法)。参见区域603，第一节点再根据第一算法选择策略，确定其中优先级最高的算法(即标识“0011”对应的AES-CMAC算法)，参见区域601可知第二节点支持标识“0011”对应的算法，因此将AES-CMAC算法确定为信令面的目标安全算法，将128比特确定为信令面的目标MAC长度。
可以理解的，若支持某一长度的算法，均不被第二节点支持，可以选择下一个长度的算法或者算法集合。例如，若支持128比特的算法(即标识“0011、1010、1011”分别对应的算法)，第二节点均不支持，则可以从下一个优先级的MAC长度对应的算法中选择目标安全算法。情况二：第一节点根据第一算法选择策略确定信令面的目标安全算法，信令面的目标安全算法对应的MAC长度为所述信令面的目标MAC长度。具体至少可以有以下两种实现方式：
实现方式三：信令面的目标安全算法只支持生成一种长度的MAC，在这种情况下，第一节点根据第一算法选择策略确定信令面的目标安全算法，将信令面的目标安全算法所支持的MAC长度确定为信令面的目标MAC长度。例如标识为“0001”的算法(对应的算法为AES-CMAC算法)只支持生成32比特长度的MAC，第一节点根据第一算法选择策略确定信令面的目标安全算法为标识为“0001”的算法时，对应的32比特则作为信令面的目标 MAC长度。再如，HMAC256算法是HMAC算法中的一种，只支持生成256比特的MAC长度，因此第二节点中只支持HMAC256算法时，HMAC256对应的256比特则作为信令面的目标MAC长度。
实现方式四：第一节点预先存储有目标安全算法与MAC长度的对应关系，第一节点根据信令面的目标安全算法与MAC长度的对应关系，将信令面的目标安全算法对应的MAC长度确定为信令面的目标MAC长度。该对应关系可以是预先配置或定义的。例如，参见图7，图7是本申请实施例提供的又一种可能的第一算法选择策略的示意图，参见区域701所示，第一算法策略还可以表示安全算法与长度的对应关系，不同的对应关系存在不同的优先级，其中，标识为“0001”的AES-CMAC算法以及对应的32比特的MAC长度的优先级为1。第一节点根据第一算法选择策略将标识为“0001”的AES-CMAC算法确定为信令面的目标安全算法后，根据AES-CMAC算法与MAC长度对应关系，将标识为“0001”的AES-CMAC算法对应的32比特确定为信令面的目标MAC长度。
步骤S303：第一节点通过信令面的目标安全算法生成第一MAC。
具体的，第一MAC的长度为前述信令面的目标MAC长度，该第一MAC用于第二节点校验安全上下文请求消息的完整性。
可选的，除了目标安全算法，生成第一MAC时还需要第一节点与第二节点之间的共享密钥(具体可以是完整性保护密钥)、以及需要通过第一MAC进行完整性保护的消息数据。例如，第一MAC可以是根据基于密码的消息认证码(Cipher-based Message Authentication Code，CMAC)算法，通过共享密钥K1(具体可以是完整性保护密钥)以及安全上下文请求消息中除了第一MAC外的部分或者全部数据data1得到的，例如：第一MAC＝CMAC(K1，data1)。
可选的，本申请实施例所述的通信方法，还可以包括步骤S304或S304-S311中的部分或者全部步骤，步骤S304-S311具体如下：
步骤S304：第一节点向第二节点发送安全上下文请求消息。
具体的，安全上下文请求消息包括用于指示信令面的目标安全算法的信息和用于指示信令面的目标MAC长度的信息。进一步，该安全上下文请求消息包括第一MAC，该第一MAC的长度为信令面的目标MAC的长度，该第一MAC还用于验证所述安全上下文请求消息的完整性。具体的，所述第一MAC用于所述第二节点验证所述安全上下文请求消息的完整性。
可选的，用于指示信令面的目标MAC长度的信息至少可以有以下几种可能的情况：
情况一：该用于指示信令面的目标MAC长度的信息可以直接为信令面的目标MAC长度，例如，安全上下文请求消息中包括“信令面MAC长度：64比特”，第二节点可以根据上下文请求消息获取信令面的目标MAC长度。在这种情况下，安全上下文请求消息中包括第一MAC、用于指示信令面的目标安全算法的信息和信令面的目标MAC长度。
情况二：用于指示信令面的目标MAC长度的信息可以为前述第一MAC。具体的，该第一MAC的长度为上述信令面的目标MAC长度，第二节点可以根据第一MAC的长度确定信令面的目标MAC长度。在这种情况下，安全上下文请求消息中包括第一MAC和用于指示信令面的目标安全算法的信息。
情况三：在确定的信令面的目标安全算法只对应于一种MAC长度的情况下，该用于指示信令面的目标MAC长度的信息可以为用于指示信令面的目标安全算法的信息。例如，标识为“0001”的算法(对应的算法为AES-CMAC算法)只支持生成32比特长度的MAC，因此若信令面的目标安全算法为标识“0001”，则可以在安全上下文请求消息中携带该标识“0001”，该标识0001用于指示信令面的目标安全算法，由于该算法只对应32比特长度的MAC，因此该标识也可以指示信令面的目标MAC长度为32比特。在这种情况下，安全上下文请求消息中包括第一MAC和用于指示信令面的目标安全算法的信息。
需要说明的是，本申请各个实施例中还存在一种可选的设计，若确定的信令面的目标安全算法只对应于一种MAC长度，第一节点可以在发送给第二节点的消息中携带指示信令面的目标安全算法的信息，该指示信令面的目标安全算法的信息也可以用于指示信令面的目标MAC长度。相应的，若确定的用户面的目标安全算法只对应于一种MAC长度，则第一节点可以在消息中携带指示用户面的目标安全算法的信息，该指示用户面的目标安全算法的信息也可以用于指示用户面的目标MAC长度。
可选的，该安全上下文请求消息还包括第一节点获取的(或者生成的)新鲜性参数。其中，新鲜性参数可以包括随机数(number once，NONCE)、计数器(counter)、序列号(number)等等中的至少一个。为了方便描述，将安全上下文请求消息中的新鲜性参数称为第二新鲜性参数。
可选的，该安全上下文请求消息还包括第一身份认证信息，该第一身份认证信息为第一节点根据第一节点与第二节点之间的共享密钥生成的。该共享密钥可以是第一节点与第二节点之间的预共享密钥。例如，第一节点根据预共享密钥PSK，通过KDF可以生成第一身份认证信息AUTHa，即：AUTHa＝KDF(PSK)。可选的，在关联请求消息中包括第一新鲜性参数的情况下，该第一身份认证信息可以是根据共享密钥和第一新鲜性参数生成的。例如，根据预共享密钥PSK和第一新鲜性参数NONCEe，通过KDF生成第一身份认证信息AUTHa，例如AUTHa＝KDF(PSK，NONCEe)。
进一步可选的，在实际处理中，第一节点生成第一身份认证信息的参数还可以包括其他信息，例如，生成的第一身份认证信息AUTHa可以满足：AUTHa＝KDF(PSK，关联请求消息)。
进一步可选的，在安全上下文请求消息中包括第二新鲜性参数的情况下，第一节点生成的第一身份认证信息AUTHa还可以满足：AUTHa＝KDF(PSK，NONCEa，关联请求消息)，其中，NONCEa为安全上下文请求消息中的第二新鲜性参数。
可选的，第一节点可以通过加密密钥对安全上下文请求消息中的部分或者全部数据进行加密。相应的，第二节点可以接收该安全上下文请求消息，对相应的加密部分进行解密，得到消息内容。
步骤S305：第二节点通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
具体的，第二节点根据该第一MAC校验安全上下文请求消息的消息完整性，防止安全上下文请求消息中的内容被攻击者篡改。
在一种可能的方案中，第一节点通过什么样的方式生成第一MAC，第二节点也使用相 同的方式生成校验值，若生成的校验值与第一MAC相同，则完整性校验通过。例如，第一MAC是第一节点通过信令面的目标安全算法，根据共享密钥K1以及安全上下文请求消息中除了第一MAC以外的部分或者全部数据data1得到的，那么第二节点也通过相同的方式生成校验值check1：check1＝CMAC(K1，data1)，若check1与第一MAC相同，说明数据data1没有被篡改，安全上下文请求消息的完整性校验通过。
可选的，若完整性校验失败，说明安全上下文请求消息可能被攻击者篡改。因此第二节点可以丢弃该安全上下文请求消息、或者忽略该安全上下文请求消息，或者还包括不应用该安全上下文请求消息中的目标安全算法、不应用安全上下文请求消息中的目标MAC信息。
步骤S306：第二节点根据第二节点与第一节点之间的共享密钥验证第一身份认证信息。
具体的，由于第一身份认证信息是第一节点根据第一节点与第二节点之间的共享密钥生成的，因此第二节点也根据该共享密钥来验证所述第一身份认证信息是否正确。
在一种可选的方案中，根据协议规定，第一节点使用什么参数生成第一身份认证信息，则第二节点也应当使用相同的参数生成校验信息，如果校验信息与第一身份认证信息相同，则认为验证通过。例如，第一身份认证信息是通过KDF生成的，因此第二节点可以通过KDF生成校验信息，也称为校验值test1。第二节点通过校验信息验证第一身份认证信息是否正确。下面进行举例说明：
例如，若第一身份认证信息AUTHa为KDF(PSK，NONCEe)，则第二节点根据PSK和第一新鲜性参数NONCEe通过KDF得到校验值test1＝KDF(PSK，NONCEe)，若校验值test1与AUTHa相同，则验证通过。
可选的，若第一身份认证信息校验失败，说明第一节点的身份不可信。因此第二节点可以丢弃该安全上下文请求消息、或者忽略该安全上下文请求消息，或者还包括不应用该安全上下文请求消息中的目标安全算法、不应用安全上下文请求消息中的目标MAC长度。进一步的，第二节点可以断开与第一节点的连接，便于关联正确的节点。
可选的，第二节点可以先执行步骤S306所描述的操作，再执行步骤S305所描述的操作。
步骤S307：第二节点通过信令面的目标安全算法生成第二MAC。
具体的，第二MAC的长度为前述信令面的目标MAC长度，该第二MAC用于第一节点校验安全上下文响应消息的完整性。在具体实现中，除了目标安全算法，生成第二MAC时还需要第二节点与第一节点之间的共享密钥(具体可以是完整性保护密钥)、以及需要通过第二MAC进行完整性保护的消息数据。
例如，第二MAC可以是根据CMAC算法，通过共享密钥K1(具体可以是完整性保护密钥)以及安全上下文响应消息中除了第二MAC外的部分或者全部数据data2得到的，例如：第二MAC＝CMAC(K1，data2)。
步骤S308：第二节点向第一节点发送安全上下文响应消息。
具体的，安全上下文响应消息包括第二MAC，该第二MAC用于验证安全上下文响应消息的完整性。
可选的，该安全上下文响应消息还包括第二身份认证信息，该第二身份认证信息为第 二节点根据第二节点与第一节点之间的共享密钥生成的。该共享密钥可以是第二节点与第一节点之间的预共享密钥。例如，第二节点根据预共享密钥PSK，通过KDF可以生成第二身份认证信息AUTHe，即：AUTHe＝KDF(PSK)。
可选的，在安全上下文请求消息中包括第二新鲜性参数的情况下，该第二身份验证信息可以是第二节点根据共享密钥和第二新鲜性参数生成的。例如，第二节点根据预共享密钥PSK和第二新鲜性参数NONCEa，通过KDF生成第二身份认证信息AUTHe，例如AUTHe＝KDF(PSK，NONCEa)。
进一步可选的，在实际处理中，第二节点生成第二身份认证信息的参数还可以包括其他信息，例如，生成的第二身份认证信息AUTHe可以满足：AUTHe＝KDF(PSK，安全上下文请求消息)。
进一步可选的，在关联请求消息中包括第一新鲜性参数的情况下，第二节点生成的第二身份认证信息AUTHe还可以满足：AUTHe＝KDF(PSK，NONCEa，安全上下文请求消息)，其中，NONCEa为关联请求消息中的第一新鲜性参数。
可选的，第二节点可以通过加密密钥对安全上下文响应消息中的部分或者全部数据进行加密。相应的，第一节点可以接收该安全上下文响应消息，对相应的加密部分进行解密，得到消息内容。
步骤S309：第二节点通过信令面的目标安全算法，根据第二MAC校验安全上下文响应消息的完整性。
具体的，第一节点根据该第二MAC校验安全上下文响应消息的消息完整性，防止安全上下文响应消息中的内容被攻击者篡改。
在一种可能的方案中，第二节点通过什么样的方式生成第二MAC，第一节点也使用相同的方式生成校验值，若生成的校验值与第二MAC相同，则完整性校验通过。例如，第二MAC是第二节点通过信令面的目标安全算法，根据共享密钥K1以及安全上下文请求消息中除了第二MAC以外的部分或者全部数据data2得到的，那么第一节点也通过相同的方式生成校验值check2：check2＝CMAC(K1，data2)，若check2与第二MAC相同，说明数据data2没有被篡改，安全上下文请求消息的完整性校验通过。
可选的，若完整性校验失败，说明安全上下文响应消息可能被攻击者篡改。因此第一节点可以丢弃该安全上下文响应消息、或者忽略该安全上下文响应消息，或者还包括不应用前述的信令面的目标安全算法、不应用前述的信令面的目标MAC长度。
步骤S310：第一节点根据第一节点与第二节点之间的共享密钥验证第二身份认证信息。
具体的，由于第二身份认证信息是第二节点根据第二节点与第一节点之间的共享密钥生成的，因此第一节点可以根据该共享密钥来验证所述第二身份认证信息是否正确。
在一种可选的方案中，根据协议规定，第二节点使用什么参数生成第二身份认证信息，则第一节点也应当使用相同的参数生成校验信息，如果校验信息与第二身份认证信息相同，则认为验证通过。例如，第二身份认证信息是通过KDF生成的，因此第一节点可以通过KDF生成校验信息，也称为校验值test2。第一节点通过校验信息验证第二身份认证信息是否正确，下面进行举例说明：
例如，若第二身份认证信息AUTHe为KDF(PSK，NONCEa)，则第一节点根据PSK 和第二新鲜性参数NONCEa通过KDF得到校验值test2＝KDF(PSK，NONCEa)，若校验值test2与AUTHe相同，则验证通过。
可选的，若第二身份认证信息校验失败，说明第二节点的身份不可信。因此第一节点可以丢弃该安全上下文响应消息、或者忽略该安全上下文响应消息，或者还包括不应用前述的信令面的目标安全算法、不应用前述的信令面的目标MAC长度。进一步的，第一节点可以断开与第二节点的连接，便于关联正确的节点。
可选的，第二节点可以先执行步骤S310所描述的操作，再执行步骤S309所描述的操作。
步骤S311：第一节点向第二节点发送关联建立消息。
具体的，关联建立消息可以指示所述第二节点与所述第一节点之间建立关联。
可选的，关联建立消息中也可以携带有保护关联建立消息的完整性的MAC，该保护关联建立消息的完整性的MAC可以是通过前述的信令面的目标安全算法生成的，该保护关联建立消息的完整性的MAC的长度为信令面的目标MAC长度。
可选的，第一节点可以通过加密密钥对关联建立消息中的部分或者全部数据进行加密。相应的，第二节点可以接收关联建立消息，对相应的加密部分进行解密，得到消息内容。
可选的，第一节点还可以根据第二算法策略确定用户面的目标安全算法，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。该用户面的目标安全算法可以通过安全上下文请求消息发送给第二节点，以使得第二节点接收安全上下文请求消息从而获取用户面的目标安全算法。进一步可选的，该第二算法策略与第一算法策略可以是同样的算法策略。
可选的，第一节点中还可以获取有第一业务的标识和/或第一业务的数据包大小。第一节点可以根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。进一步可选的，第一节点可以向第二节点发送资源调度消息，该资源调度消息包括用户面的目标MAC长度。相应的，第二节点接收资源调度消息，从而可以获取用户面的目标MAC长度。需要说明的是，第一业务可以是第二节点中处理(或者说执行)的业务，也可以是第二节点转发其它节点所处理的业务。
在图3所示的方法中，第一节点根据第二节点支持的安全算法的信息，根据预先配置或者定义的算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，第一节点可以根据需求制定不同的选择策略，从而确定出满足需求的MAC长度，提高MAC长度的灵活性。例如，可以在第二节点支持的算法中，选择安全性较高的算法，还可以选择较长的MAC长度，使得攻击者难以破解MAC，从而增强MAC保护的消息的完整性，提高节点通信过程中的数据安全性。
请参见图8，图8是本申请实施例提供的一种通信方法的流程示意图，该通信方法可以基于图1所示的通信系统来实现，该方法至少包括如下步骤：
步骤S801：第二节点向第一节点发送业务属性上报响应消息。
具体的，业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小。
可选的，第一节点可以向包括第二节点在内的一个或者多个节点发送业务属性上报请求消息，相应的，第二节点接收来自第一节点的业务属性上报请求消息，从而向第一节点发送业务属性上报响应消息。具体的，第一节点的业务属性上报请求消息中可以包含第一节点的身份标识、该第一节点的身份描述信息或者用于指示发送业务属性上报响应消息的信息等等中的至少一项，第二节点接收业务属性上报请求消息后，向第一节点发送业务属性上报响应消息。
步骤S802：第一节点根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度。
具体的，该用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。具体实现过程中，至少包括有以下四种情况：
情况一：第一节点根据第一业务的标识和/或所述第一业务的数据包大小确定第二长度选择策略。第二节点根据所述第二长度选择策略和所述用户面的目标安全算法支持的MAC长度确定所述用户面的目标MAC长度，该用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。其中，第二长度选择策略可以是第一节点中预先配置或者定义的选择策略，可以是通过优先级来实现，也可以是按照预先配置或者定义的选择顺序来实现的，或者通过算法、模型等方式来实现。
例如，参见图9，图9是本申请实施例提供的一种确定用户面的目标MAC长度的方法的示意图。区域901中包括了部分业务的身份编号(identify，ID)，可以作为业务的标识，不同的业务的标识通常对应不同的业务，例如标识“0001”表示视频上传，标识“0002”表示语音呼叫，标识“0003”表示音频播放。参见区域902可知，根据不同的业务的标识可以确定不同的长度选择策略，例如标识“0001”的视频上传业务对应长度选择策略A。第一节点根据业务对应的长度选择策略A和用户面的目标安全算法支持的长度903可以确定用户面的目标MAC长度为128比特(参见区域904)，基于该MAC长度生成的MAC用于对标识“0001”的业务的数据进行完整性保护。同理，参见区域905可知，对标识“0002”的业务进行完整性保护的MAC的长度为64比特；参见区域906可知，标识“0003”的业务进行完整性保护的MAC的长度为64比特。
需要说明的是，通过业务的标识可以确定对该业务不开启完整性保护。例如，参见图9，业务的标识为“0004”的降噪业务可以不开启完整性保护。此外，通过长度选择策略也可以确定是否开启完整性保护，例如长度选择策略C中MAC长度为0表示不开启完整性保护。
再如，参见图10，图10是本申请实施例提供的一种确定用户面的目标MAC长度的方法的示意图。区域1001中包括了部分业务的标识和对应的数据包大小，例如标识“0001”对应的数据包大小为500比特。参见区域1002可知，根据不同的数据包大小可以确定不同的长度选择策略，例如65比特到256比特的数据包大小对应长度选择策略F。第一节点根据数据包大小对应的长度选择策略F和用户面的目标安全算法支持的长度1003可以确定用户面的目标MAC长度为64比特(参见区域1004)，基于该MAC长度生成的MAC用于对 标识“0002”的业务的数据进行完整性保护。同理，参见区域1004可知，对标识“0001”的业务进行完整性保护的MAC的长度为128比特。当然，图10所示的数据包的大小仅为举例，具体实现过程中还存在其他的数据包大小，或者还可以通过数据包大小的范围确定对应的长度选择策略，此处不再赘述。
情况二：第一节点根据所述用户面的目标安全算法支持的MAC长度和所述第一业务的标识确定所述用户面的目标MAC长度。
可选的，第一节点中有第一业务的标识和MAC长度的对应关系，该对应关系可以是预先配置或定义的。第一节点可以根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和MAC长度的对应关系，将第一业务的标识对应的MAC长度确定为所述用户面的目标MAC长度。
表3 业务的标识和MAC长度对应关系
业务的标识 业务名称 MAC长度 是否开启完保
0001 视频上传 128比特 是
0002 语音呼叫 128比特 是
0003 音频播放 64比特 是
0004 音频降噪 0 否
0005 定位数据同步 128比特 是
例如，参见表3，表3是本申请实施例提供的一种可能的业务的标识和MAC长度对应关系，标识“0001”表示视频上传业务，对应的MAC长度为128比特，若用户面的目标安全算法支持128比特的MAC长度，则可以将128比特确定为用户面的目标MAC长度。
可以理解的，若用户面的目标安全算法不支持某一业务对应的MAC长度，可以在用户面的目标安全算法支持的长度中选择长度较为接近的MAC长度作为用户面的目标MAC长度，具体实现过程不在赘述。
可选的，业务上报请求消息中可以包括多个业务的标识，相应的，第一节点可以确定多个对应的用户面的目标MAC长度，该多个用户面的目标MAC长度分别用于对多个业务的数据进行完整性保护。
情况三：第一节点根据用户面的目标安全算法支持的MAC长度和第一业务的数据包大小确定所述用户面的目标MAC长度。具体的，第一节点中可以预先配置或者定义有第一业务的数据包大小和MAC长度的对应关系，第一节点可以根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将所述第一业务的数据包大小对应的MAC长度确定为所述用户面的目标MAC长度。
情况四：在用户面目标安全算法只对应一种MAC长度的情况下，第一节点也可以根据用户面的目标安全算法对应的MAC长度确定为用户面的目标MAC长度。例如，标识为“0001”的算法(对应的算法为AES-CMAC算法)只支持生成32比特长度的MAC，若用户面的目标安全算法为标识为“0001”的算法时，对应的32比特则作为用户面的目标MAC长度。再如，HMAC256只支持生成256比特的MAC长度，因此用户面的目标安全算法为HMAC256算法时，HMAC256对应的256比特则作为用户面的目标MAC长度。
可选的，在确定用户面的目标MAC长度之前，第一节点先确定第一业务的数据需要 进行完整性保护。具体的，不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护，对于需要开启完整性保护的业务，才生成对应的用户面的目标MAC长度，从而可以满足不同业务对于安全性的需求。例如，视频上传业务为对安全性需求较高的业务，因此视频上传业务的数据需要进行完整新保护，从而需要确定用于保护该业务的数据的MAC的长度。再如，第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护，从而确定属于第一业务类型的业务的MAC长度。
可选的，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。进一步可选的，该用户面的目标安全算法可以是第一节点通过第二算法选择策略确定的，该第二算法选择策略可以是第一节点中预先配置或者定义的选择策略。可选的，该第二算法选择策略可以是通过优先级来实现，也可以是按照预先配置或者定义的选择顺序来实现的。例如，参见图4，图4是本申请实施例提供的一种可能的算法选择策略的示意图，参见区域401所示，AES-CMAC算法的优先级为1，说明当第二节点支持AES-CMAC算法时，将优先选择AES-CMAC算法作为用户面的目标安全算法。
可选的，本申请实施例所述的通信方法，还可以包括步骤S803-S804中的部分或者全部步骤，步骤S803-S804具体如下：
步骤S803：第二节点根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度。
具体的，第二节点中配置了与第一节点中相同的确定用户面的目标MAC长度的方法，使得第二节点一侧可以确定用户面的目标MAC长度。在一种可能的方案中，通过协议规定，第一节点通过什么样的方式来确定用户面的目标MAC长度，第二节点也使用相同的方式来确定用户面的目标MAC长度。这样一来，节点无需将目标MAC长度再发送给对方，节省了网络资源。可以理解的，具体确定用户面的目标MAC长度方法可以参见步骤S802中的具体描述，此处不再赘述。
步骤S804：第一节点向第二节点发送资源调度消息。
具体的，资源调度消息中可以包括用户面的目标MAC长度，或者资源调度消息中包括用于指示用户面的目标MAC长度的信息。可选的，在第二节点通过步骤S803确定用户面的目标MAC长度的情况下，资源调度消息中可以不包括用户面的目标MAC长度。
可选的，第二节点还可以向第一节点发送资源响应消息，该资源响应消息用于指示第二节点已经收到该资源调度消息。
可选的，第一节点和/或第二节点还可以通过用户面的目标安全算法和用户面的目标MAC长度生成第三MAC，该第三MAC用于对第一业务的数据进行完整性保护。例如，第一节点确定视频上传业务(即标识“0001”的业务)的MAC长度为128比特，则第一节点和/或第二节点可以生成长度为128比特的第三MAC，该第三MAC用于保证视频上传业务的消息完整性。
可选的，上述业务属性上报请求消息、业务属性上报响应消息、资源调度消息、资源响应消息等等属于信令面消息，因此消息内容可以通过信令面的目标安全算法进行完整性保护。其中，该信令面的目标安全算法对应于第一算法选择策略。进一步可选的，第一节 点中还可以获取有第二节点的安全算法的信息，第一节点可以根据于第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。例如，以资源调度消息为例，第一节点可以通过信令面的目标安全算法生成第四MAC，第四MAC的长度为上述信令面的目标MAC长度，该第四MAC可以携带在资源调度消息的前缀或者后缀中，用来保证资源调度消息的完整性。
进一步可选的，第一节点可以向第二节点发送安全上下文请求消息，该安全上下文请求消息中包括信令面的目标安全算法、用户面的目标安全算法、信令面的目标MAC长度。相应的，第二节点接收安全上下文请求消息，从而可以获取信令面的目标安全算法、用户面的目标安全算法、信令面的目标MAC长度。
在图8所示的方法中，第一节点根据用户面的安全算法支持的MAC长度，以及第一业务的标识和/或第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度，这样一来，不同的业务或者不同数据包大小的业务，可以确定不同长度的MAC长度，提高MAC长度的灵活性。一方面，对于安全性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。另一方面，对于一些对安全性要求不高或者数据包较小的消息，可以使用较短的MAC长度，可以避免影响通信效率，也减少了网络传输的资源消耗。
请参见图11，图11是本申请实施例提供的一种通信方法的流程示意图，该通信方法可以基于图1所示的通信系统来实现，该方法至少包括如下步骤：
步骤S1101：第二节点向第一节点发送业务属性上报响应消息。相应的，第一节点接收所述业务属性上报响应消息。
具体的，该业务属性上报响应消息包括至少一个业务标识。进一步的，该至少一个业务标识可以包含有至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护。
例如，参见表4，表4是本申请实施例提供的一种可能的业务标识对应的业务类型，可以看出，标识“0001”表示视频上传业务，属于重要的业务类型，需要开启完整性保护；相应的，标识“0004”表示音频降噪业务，属于不重要的业务类型，不需要开启完整性保护。
表4业务的标识对应的业务类型
业务的标识 业务名称 业务类型 是否开启完保
0001 视频上传 重要 是
0002 语音呼叫 重要 是
0003 音频播放 普通 是
0004 音频降噪 不重要 否
0005 定位数据同步 重要 是
步骤S1102：第一节点向第二节点发送资源调度消息。
具体的，该资源调度消息中包括指示开启完整性保护的信息和/或指示不开启完整性保 护的信息，其中，对于不需要开启完整性保护的业务，资源调度消息中可以包括指示该业务不开启完整性保护的信息，相应的，对于需要开启完整性保护的业务，资源调度消息中可以包括指示对该业务的数据进行完整性保护的MAC长度。
例如，第二业务的标识对应第二业务类型，而类型为第二业务类型的业务的数据不需要进行完整性保护。因此资源调度消息中可以存在有第一字段，通过该第一字段的数据可以指示至少一个第二业务的标识对应的业务不启动完整性保护。例如，第一字段中的数据为“0”时，指示第二业务的标识对应的业务不启动完整性保护。
第一节点向第二节点发送资源调度消息，相应的，第二节点就接收了来自第一节点的资源调度消息。
步骤S1103：第二节点根据所述资源调度消息，确定至少一个第二业务的标识对应的业务不启动完整性保护。需要说明的是，该步骤为可选的，仅在存在至少一个第二业务的情况下执行。
具体的，资源调度消息中可以存在有第一字段，通过该第一字段的数据可以指示至少一个第二业务的标识对应的业务不启动完整性保护。例如，第一字段中的数据为“0”时，指示第二业务的标识对应的业务不启动完整性保护。
步骤S1104：第二节点根据所述资源调度消息，确定至少一个第一业务的标识对应的业务启动完整性保护。需要说明的是，该步骤为可选的，仅在存在至少一个第一业务的情况下执行。具体的，对于需要开启完整性保护的业务，资源调度消息中可以包括指示对该业务的数据进行完整性保护的MAC长度。例如，第一业务的标识对应第一业务类型，而类型为第一业务类型的业务的数据需要进行完整性保护。因此资源调度消息中包括指示第一业务的标识对应的业务启动完整性保护的信息。具体可以有以下两种实现方式：
方式一：资源调度消息中可以存在有第二字段，通过该第二字段的数据可以指示启动完整性保护。例如，第二字段中的数据为“1”时，指示第一业务的标识对应的业务启动完整性保护。
方式二：资源调度消息中携带有对该业务的数据进行完整性保护的算法/或者MAC长度时，可以指示第二节点对该业务启动完整性。例如，资源调度消息中包括第一业务对应的用户面的目标MAC长度，或者资源调度消息中包括用于指示第一业务对应的用户面的目标MAC长度的信息。该第一业务对应的用户面的目标MAC长度用于指示对第一业务的数据进行完保的MAC的长度。进一步的，该第一业务对应的用户面的目标MAC长度可以是基于图8所示的实施例中描述的方法来确定的，此处不在赘述。
可选的，第二节点还可以向第一节点发送资源响应消息，该资源响应消息用于指示第二节点已经收到该资源调度消息。
在图11所示的方法中，不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
进一步的，第一节点可以在资源调度消息中携带指示信息，以使得第二节点根据指示信息确定业务是否开启完整性保护。
以上图11所示的方法实施例中包含了很多可能的实现方案，下面结合图12对其中的部分实现方案进行举例说明，需要说明的是，图12未解释到的相关概念或者操作或者逻辑关系可以参照图11所示实施例中的相应描述。
请参见图12，图12是本申请实施例提供的一种通信方法的流程示意图，该通信方法可以基于图1所示的通信系统来实现，该方法至少包括如下步骤：
步骤S1201：第二节点向第一节点发送业务属性上报响应消息。
具体的，该业务属性上报响应消息包括至少一个业务标识，该至少一个业务标识包含第一业务的业务标识。可选的，业务属性上报响应消息中还可以包括至少一个业务的数据包大小，该至少一个数据包大小中包括第一业务的数据包大小。
可选的，第一节点可以向包括第二节点在内的一个或者多个节点发送业务属性上报请求消息，第二节点接收来自第一节点的业务属性上报请求消息，从而向第一节点发送业务属性上报响应消息。
步骤S1202：第一节点确定是否对至少一个业务中的第一业务启动完整性保护。
具体的，第一节点可以通过第一业务的标识确定是否对该业务启动完整性保护。例如，参见表4，表4是本申请实施例提供的一种可能的业务标识对应的业务类型，可以看出，标识“0001”表示视频上传业务，需要开启完整性保护；相应的，标识“0004”表示音频降噪业务，不需要开启完整性保护。
步骤S1203：若第一节点确定第一业务需要启动完整性保护，则根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度。
具体的，业务属性上报消息中包括第一业务的业务标识，因此第一节点可以根据用户面支持的MAC长度以及第一业务的标识确定用户面的目标MAC长度。进一步可选的，在业务属性上报消息中包括第一业务对应的数据包大小时，第一节点可以根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度。该用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。具体确定用户面的目标MAC长度的方法可以参考步骤S802的详细说明，此处不再赘述。
步骤S1204：第一节点向第二节点发送资源调度消息。
具体的，在第一业务需要启动完整性保护的情况下，资源调度消息中包括用户面的目标MAC长度，或者资源调度消息中包括用于指示用户面的目标MAC长度的信息。该用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
相应的，第二节点接收该资源调度消息，可以获取用户面的目标MAC长度。
步骤S1205：若第一节点确定不需要对第一业务开启完整性保护，则向第二节点发送资源调度消息。
具体的，在第一业务不需要开启完整性保护的情况下，资源调度消息中可以存在有第一字段，通过该第一字段的数据可以指示该第一业务的标识对应的业务不启动完整性保护。例如，第一字段中的数据为“0”时，指示第一业务的标识对应的业务不启动完整性保护。
可选的，业务属性上报响应消息中可以携带多个业务的标识。在这种情况下，第二节点可以确定该多个业务开启完整性保护的情况，相应的，该资源调度消息可以用于指示多个业务的是否启动完整性保护。对于需要开启完整性保护的业务，还需要包括对多个业务分别对应的MAC长度。
相应的，第二节点接收该资源调度消息，可以确定该第一业务不启动完整性保护。
可选的，第二节点还可以向第一节点发送资源响应消息，该资源响应消息用于指示第一节点已经收到该资源调度消息。
请参见图13，图13是本申请实施例提供的一种通信方法的流程示意图，该通信方法可以基于图1所示的通信系统来实现，该方法至少包括如下步骤：
步骤S1301：第二节点向第一节点发送关联请求消息。
具体的，第一消息包括第二节点支持的安全算法的信息和第二节点的身份标识。其中，第二节点支持的安全算法包括第二节点支持的加密算法，完整性保护算法或者认证加密算法等中的一项或者多项。可选的，第二节点支持的安全算法的信息也可以称为第二节点的安全能力(Sec Capabilities)。第二节点的身份标识也称为第二节点的设备标识，可以为第二节点的ID、媒体存取控制(media access control，MAC)地址、域名、域地址或其他自定义的标识。其中，第二节点的ID可以是固定ID，也可以是临时ID。
可选的，第一消息中还可以包括第二节点获取的(或者生成的)新鲜性参数。
可选的，第一节点可以发送接入消息或者广播消息，第二节点接收来自第一节点的接入消息或者广播消息，从而向第一节点发送第一关联请求消息。
步骤S1302：第一节点根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度。
具体描述可以参考步骤S302。
步骤S1303：第一节点根据第二节点的身份标识和第二算法选择策略确定用户面的目标安全算法以及用户面的目标MAC长度。
具体的，至少包括以下三种方式：
方式一：第一节点根据第二算法选择策略确定用户面的目标安全算法，进一步的，根据第二节点的身份标识确定第二长度选择策略，从而可以根据第二长度选择策略、用户面的目标安全算法确定用户面的目标MAC长度。
方式二：第一节点根据第二算法选择策略确定用户面的目标安全算法，进一步的，根据用户面的目标安全算法支持的MAC长度，以及第二节点的身份标识和MAC长度的对应关系，将第二节点的身份标识对应的MAC长度确定为用户面的目标MAC长度。
方式三：第一节点根据第二算法选择策略确定用户面的目标安全算法。第一节点可以确定第二长度选择策略，根据第二长度选择策略确定用户面的目标MAC长度，该用户面的目标MAC长度为用户面的目标安全算法支持的MAC长度。可选的，该第二长度选择策略可以是第一节点预先配置或者预先定义的长度选择策略，因此确定第二长度选择策略时，也可能没有使用该第二节点的身份标识。
步骤S1304：第一节点通过信令面的目标安全算法生成第一MAC。
具体描述可以参考步骤S303。
可选的，本申请实施例所述的通信方法，还可以包括步骤S1305或S1305-S1312中的部分或者全部步骤，步骤S1305-S1312具体如下：
步骤S1305：第一节点向第二节点发送安全上下文请求消息。
具体的，安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、用于指示信令面的目标MAC长度的信息和用于指示用户面的目标MAC长度的信息，该第一MAC用于验证安全上下文请求消息的完整性。可选的，该安全上下文请求消息还包括第一节点获取的(或者生成的)第二新鲜性参数。
可选的，该安全上下文请求消息还包括第一身份认证信息，该第一身份认证信息为第一节点根据第一节点与第二节点之间的共享密钥生成的。详细说明可以参看S304中的相应描述。
可选的，该安全上下文请求消息可以通过第一节点的加密密钥进行加密，相应的，第二节点接收安全上下文请求消息后，通过对应的加密密钥解密得到消息内容。
步骤S1306：第二节点通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
具体描述可以参考步骤S305。
步骤S1307：第二节点根据第二节点与第一节点之间的共享密钥验证第一身份认证信息。
具体描述可以参考步骤S306。
步骤S1308：第二节点通过信令面的目标安全算法生成第二MAC。
具体描述可以参考步骤S307。
步骤S1309：第二节点向第一节点发送安全上下文响应消息。
具体描述可以参考步骤S308。
步骤S1310：第二节点通过信令面的目标安全算法，根据第二MAC校验安全上下文响应消息的完整性。
具体描述可以参考步骤S309。
步骤S1311：第一节点根据第一节点与第二节点之间的共享密钥验证第二身份认证信息。
具体描述可以参考步骤S310。
步骤S1312：第一节点向第二节点发送关联建立消息。
具体的，关联建立消息指示所述第二节点与所述第一节点之间建立关联。
具体描述可以参考步骤S311。
在图13所示的实施例中，第一节点可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，第一节点可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需求。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
上述详细阐述了本申请实施例的方法，下面提供了本申请实施例的装置。
请参见图14，图14是本申请实施例提供的一种通信装置140的结构示意图，该装置140可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置140可以包括接收单元1401和处理单元1402。其中，各个单元的描述如下：
接收单元1401，用于接收来自第二节点的关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；
处理单元1402，用于根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
上述处理单元1402，还用于通过信令面的目标安全算法生成第一MAC，该第一MAC的长度为信令面的目标MAC长度。
在本申请实施例中，装置140根据第二节点支持的安全算法的信息，通过预先配置或者定义的算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，可以根据装置140中配置的不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，算法选择策略可以是按照第一节点的通信需求预先配置或者定义的，例如，可以在优先选择安全性较高的算法和较长的MAC长度，提高了数据安全性。
在一种可能的实施方式中，上述处理单元1402，具体用于：
根据第一长度选择策略和第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理单元1402，具体用于：
根据第一算法选择策略确定所述信令面的目标安全算法，该信令面的目标安全算法对应的MAC长度为所述信令面的目标MAC长度。
在又一种可能的实施方式中，上述装置140还包括：
发送单元1403，用于向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息和信令面的目标MAC长度，该第一MAC用于验证安全上下文请求消息的完整性。
在又一种可能的实施方式中，上述装置140还包括：
发送单元1403，用于向所述第二节点发送安全上下文请求消息，所述安全上下文请求消息包括所述第一MAC和指示信令面的目标安全算法的信息；所述第一MAC用于验证所述安全上下文请求消息的完整性，所述第一MAC还用于指示所述信令面的目标MAC长度。
在又一种可能的实施方式中，上述装置还包括发送单元1403，用于向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、信令面的目标MAC长度和第一身份认证信息；其中，第一MAC用于验证安全上下文请求消息的完整性，第一身份认证信息为根据第一节点与第二节点之间的共享密钥生成的；
上述接收单元1401，还用于接收来自第二节点的安全上下文响应消息，该安全上下文响应消息包括第二身份认证信息和第二MAC；其中，第二MAC的长度为信令面的目标 MAC长度；第二身份认证信息用于验证第二节点的身份，第二MAC用于校验安全上下文响应消息的完整性。
在又一种可能的实施方式中，上述安全上下文请求消息中还包括用户面的目标安全算法；上述处理单元1402，具体用于：
根据第二算法选择策略确定用户面的目标安全算法，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在又一种可能的实施方式中，上述接收单元1401，还用于获取第一业务的标识和/或第一业务的数据包大小；
上述处理单元1402，还用于根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；其中，用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度；
上述发送单元1403，还用于向第二节点发送资源调度消息，该资源调度消息包括用户面的目标MAC长度。
需要说明的是，各个单元的实现还可以对应参照图3所示的实施例的相应描述。该装置140为图3所示的实施例中的第一节点。
此外，本申请各个实施例中，对装置中的单元的划分仅是一种根据功能进行的逻辑划分，不作为对装置具体的结构的限定。在具体实现中，其中部分功能模块可能被细分为更多细小的功能模块，部分功能模块也可能组合成一个功能模块，但无论这些功能模块是进行了细分还是组合，所执行的大致流程是相同的。例如，以装置140为例，上述接收单元1401和发送单元1403也可以组合为通信单元，该通信单元用于实现接收单元1401和发送单元1403的功能。通常，每个单元都对应有各自的程序代码(或者说程序指令)，这些单元各自对应的程序代码在处理器上运行时，使得该单元执行相应的流程从而实现相应功能。
请参见图15，图15是本申请实施例提供的一种通信装置150的结构示意图，该装置150可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置150可以包括发送单元1501和接收单元1502。其中，各个单元的描述如下：
发送单元1501，用于向第一节点发送关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；
接收单元1502，用于接收来自第一节点的安全上下文请求消息，该安全上下文请求消息包括用于指示信令面的目标安全算法的信息和用于指示信令面的目标MAC长度的信息；其中，信令面的目标安全算法和所述信令面的目标MAC长度对应第一算法选择策略，并且信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在本申请实施例中，上述装置150向第一节点发送第二节点支持的安全算法的信息，第一节点根据第二节点支持的安全算法的信息，通过预先配置或者定义的算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，可以根据上述装置150中配置的不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。例如，可以在第二节点支持的算法中，选择安全性较高的算法，还可以选择较长的MAC长度，提高了 数据安全性。
在一种可能的实施方式中，所述安全上下文请求消息包括第一MAC；该第一MAC的长度为信令面的目标MAC长度；所述装置还包括：
处理单元1503，用于通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性
在一种可能的实施方式中，所述第一MAC为所述用于指示信令面的目标MAC长度的信息。在一种可能的实施方式中，上述安全上下文请求消息中还包括第一身份认证信息；上述处理单元，还用于根据第二节点与第一节点之间的共享密钥验证第一身份认证信息；
上述处理单元1503，还用于若校验安全上下文请求消息的完整性通过且验证第一身份认证信息通过，则通过信令面的目标安全算法生成第二MAC，该第二MAC的长度为信令面的目标MAC长度；
上述发送单元1501，还用于向第一节点发送安全上下文响应消息，该安全上下文响应消息中包括第二MAC和第二身份认证信息；该第二身份认证信息为根据第二节点与第一节点的共享密钥之间生成的。
在又一种可能的实施方式中，该安全上下文请求消息中还包括指示用户面的目标安全算法的信息；其中，用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
上述接收单元1502，还用于接收来自第一节点的资源调度消息，该资源调度消息中包括用户面的目标MAC长度；其中，用户面的目标MAC长度对应用户面的目标安全算法，以及第一业务的标识和第一业务的数据包大小中的至少一个；用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
需要说明的是，各个单元的实现还可以对应参照图3所示的实施例的相应描述。该装置150为图3所示的实施例中的第二节点。
请参见图16，图16是本申请实施例提供的一种通信装置160的结构示意图，该装置160可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置160可以包括接收单元1601和处理单元1602。其中，各个单元的描述如下：
接收单元1601，用于接收来自第二节点的业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
处理单元1602，用于根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
在本申请实施例中，上述装置160根据用户面的安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度。这样一来，不同的业务或者不同数据包大小的业务，可以确定不同的MAC长度，提高MAC长度的灵活性。一方面，对于秘密性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。另一方面，对于一些对私密性要求不高或者数据包较小的消息，可以使用较短的MAC 长度，可以避免影响通信效率，也减少了网络传输的资源消耗。
在一种可能的实施方式中，上述处理单元1602，具体用于：
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和MAC长度的对应关系，将第一业务的标识对应的MAC长度确定为用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将第一业务的数据包大小对应的MAC长度确定为用户面的目标MAC长度。
在又一种可能的实施方式中，上述处理单元1602，具体用于：
根据第一业务的标识和/或第一业务的数据包大小确定第二长度选择策略；
根据第二长度选择策略和用户面的目标安全算法支持的MAC长度确定用户面的目标MAC长度。
在又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在又一种可能的实施方式中，上述装置160还包括发送单元1603，用于向第二节点发送资源调度消息，该资源调度消息中包括用户面的目标MAC长度。
在又一种可能的实施方式中，上述处理单元1602，还用于：
通过用户面的目标安全算法生成第三MAC，该第三MAC的长度为用户面的目标MAC长度，该第三MAC用于对第一业务的数据进行完整性保护。
在又一种可能的实施方式中，上述接收单元1601，还用于获取第二节点支持的安全算法的信息；
上述处理单元1602，还用于根据第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度，所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合；
上述处理单元1602，还用于通过信令面的目标安全算法生成第四MAC，该第四MAC的长度为所述信令面的目标MAC长度；
上述发送单元1603，还用于向第二节点发送资源调度消息，该资源调度消息中包括第四MAC和用户面的目标MAC长度，该第四MAC用于对资源调度消息进行完整性保护。
在又一种可能的实施方式中，上述处理单元1602，还用于：
根据第二算法选择策略确定用户面的目标安全算法，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
需要说明的是，各个单元的实现还可以对应参照图8所示的实施例的相应描述。该装置160为图8所示的实施例中的第一节点。
请参见图17，图17是本申请实施例提供的一种通信装置170的结构示意图，该装置170可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置170可以包括发送单元1701和接收单元1702。其中，各个单元的描述如下：
发送单元1701，用于向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
接收单元1702，用于接收来自第一节点的资源调度消息，该资源调度消息中包括用户面的目标MAC长度；其中，该用户面的目标MAC长度为用户面的目标安全算法支持的MAC长度，以及用户面的目标MAC长度对应第一业务的标识和第一业务的数据包大小中的至少一个；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
在上述实施例中，不同业务类型的业务对完整性保护的需求是不同的，上述装置170可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据不需要进行完整新保护。
在一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在又一种可能的实施方式中，上述用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在又一种可能的实施方式中，上述资源调度消息中还包括第四MAC；上述处理单元，还用于：
通过用户面的目标安全算法，根据第四MAC验证资源调度消息的消息完整性。
需要说明的是，各个单元的实现还可以对应参照图8所示的实施例的相应描述。该装置170为图8所示的实施例中的第二节点。
请参见图18，图18是本申请实施例提供的一种通信装置180的结构示意图，该装置180可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置180可以包括发送单元1801和处理单元1802。其中，各个单元的描述如下：
发送单元1801，用于向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
处理单元1802，用于根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；其中，该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
上述装置180配置了与第一节点中相同的确定用户面的目标MAC长度的方法，因此上述装置180可以根据用户面的安全算法支持的MAC长度，以及第一业务的标识和/或第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度，这样一来，不同的业务或者不同数据包大小的业务，可以确定不同长度的MAC长度，提高MAC长度的灵活性。
而在上述装置180与第一节点中配置相同的确定用户面的目标MAC长度的方法，可以使得第一节点通过什么样的方式来确定用户面的目标MAC长度，上述装置180也使用相同的方式来确定用户面的目标MAC长度。这样一来，节点无需将目标MAC长度再发送给对方，节省了网络资源。
在又一种可能的实施方式中，上述处理单元1802，具体用于：
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识ID和MAC长度的对应关系，将第一业务的ID对应的MAC长度确定为用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将第一业务的数据包大小对应的MAC长度确定为用户面的目标MAC长度。
在又一种可能的实施方式中，上述处理单元1802，具体用于：
根据第一业务的ID和/或第一业务的数据包大小确定第二长度选择策略；
根据第二长度选择策略和用户面的目标安全算法支持的MAC长度确定用户面的目标MAC长度。
在又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在又一种可能的实施方式中，上述用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
需要说明的是，各个单元的实现还可以对应参照图8所示的实施例的相应描述。该装置180为图8所示的实施例中的第二节点。
请参见图19，图19是本申请实施例提供的一种通信装置190的结构示意图，该装置190可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置190可以包括接收单元1901和发送单元1902。其中，各个单元的描述如下：
接收单元1901，用于接收来自第二节点的业务属性上报响应消息，该业务属性上报响应消息包括至少一个业务标识，至少一个业务标识包含至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护；
发送单元1902，用于向第二节点发送资源调度消息，该资源调度消息用于指示至少一个第二业务的标识对应的业务不启动完整性保护。
可以看出，不同业务类型的业务对完整性保护的需求是不同的，上述装置可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
在一种可能的实施方式中，上述至少一个业务标识包含至少一个第一业务的标识，至少一个第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在又一种可能的实施方式中，上述资源调度消息还用于指示用于至少一个第一业务的用户面的目标MAC长度。
需要说明的是，各个单元的实现还可以对应参照图11或者图12所示的实施例的相应描述。该装置190为图11或者图12所示的实施例中的第一节点。
请参见图20，图20是本申请实施例提供的一种通信装置200的结构示意图，该装置200可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置200可以包括发送单元2001、接收单元2002和处理单元2003。其中，各个单元的描述如下：
发送单元2001，用于向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括至少一个业务标识，至少一个业务标识包含至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护；
接收单元2002，用于接收来自第一节点的资源调度消息；
处理单元2003，用于根据所述资源调度消息，确定至少一个第二业务的标识对应的业务不启动完整性保护。
可以看出，不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
在一种可能的实施方式中，上述至少一个业务标识包含至少一个第一业务的标识，至少一个第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护；
所述处理单元2003，还用于根据所述资源调度消息，确定至少一个第一业务的标识对应的业务启动完整性保护。
在又一种可能的实施方式中，上述资源调度消息还用于指示对至少一个第一业务的数据进行完整性保护的MAC的长度。
需要说明的是，各个单元的实现还可以对应参照图11或者图12所示的实施例的相应描述。该装置200为图11或者图12所示的实施例中的第二节点。
请参见图21，图21是本申请实施例提供的一种通信装置210的结构示意图，该装置210可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置210可以包括接收单元2101和处理单元2102。其中，各个单元的描述如下：
接收单元2101，用于接收来自第二节点的关联请求消息，该关联请求消息中包括第二节点支持的安全算法的信息和第二节点的身份标识；
处理单元2102，用于根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
上述处理单元2102，还用于根据第二算法选择策略和第二节点的身份标识确定用户面的目标安全算法以及用户面的目标MAC长度，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度；
上述处理单元2102，还用于通过信令面的目标安全算法生成第一MAC，该第一MAC的长度为信令面的目标MAC长度。
在本申请实施例中，上述装置210可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，上述装置210可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需 求。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
在一种可能的实施方式中，上述处理单元2102，具体用于：
根据第一长度选择策略和第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理单元2102，具体用于：
根据第一算法选择策略确定信令面的目标安全算法；
根据第一长度选择策略和信令面的目标安全算法确定信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理单元2102，具体用于：
根据第一算法选择策略确定信令面的目标安全算法，该信令面的目标安全算法对应的MAC长度为信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理单元2102，具体用于：
根据第二算法选择策略确定用户面的目标安全算法；
根据第二节点的身份标识确定第二长度选择策略；
根据第二长度选择策略、用户面的目标安全算法确定信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理单元2102，具体用于：
根据第二算法选择策略确定用户面的目标安全算法；
根据用户面的目标安全算法支持的MAC长度，以及第二节点的身份标识和MAC长度的对应关系，将第二节点的身份标识对应的MAC长度确定为用户面的目标MAC长度。
在又一种可能的实施方式中，上述装置还包括发送单元2103，该发送单元2103用于向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、信令面的目标MAC长度和用户面的目标MAC长度，该第一MAC用于验证安全上下文请求消息的完整性。
在又一种可能的实施方式中，上述装置还包括发送单元2103，该发送单元2103用于向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、信令面的目标MAC长度、用户面的目标MAC长度和第一身份认证信息；其中，第一MAC用于验证安全上下文请求消息的完整性，第一身份认证信息为根据第一节点与第二节点之间的共享密钥生成的；
上述接收单元2101，还用于接收来自第二节点的安全上下文响应消息，该安全上下文响应消息包括第二身份认证信息和第二MAC；其中，第二MAC的长度为信令面的目标MAC长度；第二身份认证信息用于验证第二节点的身份，第二MAC用于校验所述安全上下文响应消息的完整性。
在又一种可能的实施方式中，上述处理单元2102，还用于根据信令面的目标安全算法和第二MAC校验安全上下文响应消息的完整性；
上述处理单元2102，还用于根据上述共享密钥验证第二身份认证信息；
上述装置还包括发送单元2103，该发送单元2103用于若校验安全上下文响应消息的完整性通过且验证第二身份认证信息通过，向第二节点发送关联建立消息，该关联建立消息指示第二节点与所述第一节点之间建立关联。
需要说明的是，各个单元的实现还可以对应参照图13所示的实施例的相应描述。该装置210为图13所示的实施例中的第一节点。
请参见图22，图22是本申请实施例提供的一种通信装置220的结构示意图，该装置220可以为节点，也可以为节点中的一个器件，例如芯片或者集成电路等，该装置220可以包括发送单元2201、接收单元2202和处理单元2203。其中，各个单元的描述如下：
发送单元2201，用于向第一节点发送关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息和第二节点的身份标识；
接收单元2202，用于接收来自第一节点的安全上下文请求消息，该安全上下文请求消息包括用于指示信令面的目标安全算法的信息、用于指示用户面的目标安全算法的信息、信令面的目标MAC长度、用户面的目标MAC长度和第一MAC；其中，信令面的目标安全算法和信令面的目标MAC长度对应第一算法选择策略，并且信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；用户面的目标安全算法和用户面的目标MAC长度对应第二算法选择策略和第二节点的身份标识，并且用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；该第一MAC的长度为信令面的目标MAC长度；
处理单元2203，用于通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
在本申请实施例中，第一节点中可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，第一节点可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需求。上述装置220获取来自第一节点的目标MAC长度，通过目标MAC长度保护消息完整性。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
在一种可能的实施方式中，上述信令面的目标安全算法和信令面的目标MAC长度为根据第一算法选择策略确定的，所述信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；第一MAC为根据信令面的目标安全算法生成的。
在又一种可能的实施方式中，上述用户面的目标安全算法和用户面的目标MAC长度为根据第二算法选择策略确定的，所述用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；第一MAC为根据信令面的目标安全算法生成的。
在又一种可能的实施方式中，上述安全上下文请求消息中还包括第一身份认证信息；上述处理单元2203，还用于根据第二节点与第一节点之间的共享密钥验证第一身份认证信息；
上述处理单元2202，还用于若校验安全上下文请求消息的完整性通过且验证第一身份认证信息通过，则通过信令面的目标安全算法生成第二MAC，该第二MAC的长度为信令面的目标MAC长度；
上述接收单元2202，还用于向第一节点发送安全上下文响应消息，该安全上下文响应消息中包括第二MAC和第二身份认证信息；该第二身份认证信息为根据第二节点与第一 节点之间的共享密钥生成的。
在又一种可能的实施方式中，上述接收单元2202，还用于接收来自第一节点的关联建立消息，该关联建立消息指示第二节点与第一节点之间建立关联。
需要说明的是，各个单元的实现还可以对应参照图13所示的实施例的相应描述。该装置220为图13所示的实施例中的第二节点。
请参见图23，图23是本申请实施例提供的一种通信装置230的结构示意图，该装置230可以为节点，也可以为节点中的一个器件。该装置230可以包括至少一个存储器2301和至少一个处理器2302。可选的，还可以包含总线2303。进一步可选的，还可以包括通信接口2304，其中，存储器2301、处理器2302和通信接口2304通过总线2303相连。
其中，存储器2301用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器2301可以是随机存储记忆体(random access memory，RAM)、只读存储器(read-only memory，ROM)、可擦除可编程只读存储器(erasable programmable read only memory，EPROM)、或便携式只读存储器(compact disc read-only memory，CD-ROM)等等中的一种或者多种的组合。
处理器2302是进行算术运算和/或逻辑运算的模块，具体可以是中央处理器(central processing unit，CPU)、图片处理器(graphics processing unit，GPU)、微处理器(microprocessor unit，MPU)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程逻辑门阵列(Field Programmable Gate Array，FPGA)、复杂可编程逻辑器件(Complex programmable logic device，CPLD)等处理模块中的一种或者多种的组合。
通信接口2304用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口2304还可以包括与接口耦合的发射器(如射频发射器、天线等)，或者接收器等。
该装置230中的处理器2302用于读取所述存储器2301中存储的计算机程序，用于执行前述的通信方法，例如图3、图8、图11、图12或者图13所描述的通信方法。
举例说明，该装置230中的处理器2302用于读取所述存储器2301中存储的计算机程序，用于执行以下操作：
通过通信接口2304接收来自第二节点的关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；
根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
通过信令面的目标安全算法生成第一MAC，该第一MAC的长度为信令面的目标MAC长度。
在本申请实施例中，装置230根据第二节点支持的安全算法的信息，通过预先配置或者定义的算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，可以根据装置230中配置的不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，算法选择策略可以是按照第一节点的通信需求预先配置或者定义的，例 如，可以在优先选择安全性较高的算法和较长的MAC长度，提高了数据安全性。
在一种可能的实施方式中，该处理器2302，具体用于根据第一长度选择策略和第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度。
在又一种可能的实施方式中，该处理器2302，具体用于：
根据第一算法选择策略确定信令面的目标安全算法；
根据第一长度选择策略和信令面的目标安全算法确定信令面的目标MAC长度。
在又一种可能的实施方式中，该处理器2302，具体用于根据第一算法选择策略确定信令面的目标安全算法，该信令面的目标安全算法对应的MAC长度为信令面的目标MAC长度。
在又一种可能的实施方式中，该处理器2302，还用于通过通信接口2304向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息和信令面的目标MAC长度，该第一MAC用于验证安全上下文请求消息的完整性。
可以看出，装置230可以在安全上下文请求消息中携带指示信令面的目标安全算法的信息和信令面的目标MAC长度，以使得第二节点可以通过安全上下文请求消息获取信令面的目标安全算法和信令面的目标MAC长度。进一步的，该安全上下文请求消息可以携带有第一MAC，用于第二节点验证安全上下文请求消息的完整性，防止安全上下文请求消息被攻击者篡改。
在又一种可能的实施方式中，该处理器2302，还用于通过通信接口2304向所述第二节点发送安全上下文请求消息，所述安全上下文请求消息包括所述第一MAC和指示信令面的目标安全算法的信息；所述第一MAC用于验证所述安全上下文请求消息的完整性，所述第一MAC还用于指示所述信令面的目标MAC长度。
在又一种可能的实施方式中，在根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度之后，该处理器2302，还用于：
通过通信接口2304向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、信令面的目标MAC长度和第一身份认证信息；其中，第一MAC用于验证安全上下文请求消息的完整性，第一身份认证信息为根据第一节点与第二节点之间的共享密钥生成的；
通过通信接口2304接收来自第二节点的安全上下文响应消息，该安全上下文响应消息包括第二身份认证信息和第二MAC；其中，第二MAC的长度为信令面的目标MAC长度；第二身份认证信息用于验证第二节点的身份，第二MAC用于校验所述安全上下文响应消息的完整性。
其中，共享密钥是第一节点与第二节点之间共享的一个秘密值，可以用来生成身份验证信息便于节点验证身份。可以看出，装置230可以通过共享密钥生成第一身份认证信息，该第一身份认证信息用于第二节点验证第一节点的身份。相应的，第一节点也可以通过第二身份认证信息来验证第二节点的身份，若攻击者想要冒用第二节点的身份标识来获取信令面的目标安全算法或者信令面的目标MAC长度时，由于无法伪造共享密钥，无法通过上述装置230的身份验证，进而避免了第一节点与不可信的节点通信，提高了第一节点的 通信安全性。
在又一种可能的实施方式中，该处理器2302，还用于：
根据信令面的目标安全算法和第二MAC校验安全上下文响应消息的完整性；
根据上述共享密钥验证第二身份认证信息；
若校验安全上下文响应消息的完整性通过且验证第二身份认证信息通过，向第二节点发送关联建立消息，该关联建立消息指示第二节点与所述第一节点之间建立关联。
在又一种可能的实施方式中，上述安全上下文请求消息中还包括用户面的目标安全算法；该处理器2302，还用于根据第二算法选择策略确定用户面的目标安全算法，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在又一种可能的实施方式中，该处理器2302，还用于：
获取第一业务的标识和/或第一业务的数据包大小；
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度；
通过通信接口2304向第二节点发送资源调度消息，该资源调度消息包括用户面的目标MAC长度。
可以看出，用户面的目标MAC长度可以是根据用户面的安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小在确定的，不同的业务或者不同数据包大小的业务，可以确定不同的MAC长度，提高MAC长度的灵活性。一方面，对于秘密性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。
需要说明的是，各个单元的实现还可以对应参照图3所示的实施例的相应描述。该装置230为图3所示的实施例中的第一节点。
请参见图24，图24是本申请实施例提供的一种通信装置240的结构示意图，该装置240可以为节点，也可以为节点中的一个器件。该装置240可以包括至少一个存储器2401和至少一个处理器2402。可选的，还可以包含总线2403。进一步可选的，还可以包括通信接口2404，其中，存储器2401、处理器2402和通信接口2404通过总线2403相连。
其中，存储器2401用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器2401可以是RAM、ROM、EPROM、CD-ROM等等中的一种或者多种的组合。
处理器2402是进行算术运算和/或逻辑运算的模块，具体可以是CPU、GPU、MPU、ASIC、FPGA、CPLD等处理模块中的一种或者多种的组合。
通信接口2404用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口2404还可以包括与接口耦合的发射器(如射频发射器、天线等)或者接收器等。
该装置240中的处理器2402用于读取所述存储器2401中存储的计算机程序，用于执行前述的通信方法，例如图3所描述的通信方法。
举例说明，该装置240中的处理器2402用于读取所述存储器2401中存储的计算机程 序，用于执行以下操作：
通过通信接口2404向第一节点发送关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息；
通过通信接口2404接收来自第一节点的安全上下文请求消息，该安全上下文请求消息包括用于指示信令面的目标安全算法的信息、信令面的目标MAC长度和第一MAC；其中，信令面的目标安全算法和信令面的目标MAC长度对应第一算法选择策略，并且信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在本申请实施例中，上述装置240向第一节点发送第二节点支持的安全算法的信息，第一节点根据第二节点支持的安全算法的信息，通过预先配置或者定义的算法策略确定信令面的目标安全算法和信令面的目标MAC长度，然后使用该信令面的目标MAC长度作为第一节点与第二节点之间信令消息的MAC长度，这样一来，可以根据上述装置240中配置的不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。例如，可以在第二节点支持的算法中，选择安全性较高的算法，还可以选择较长的MAC长度，提高了数据安全性。
在一种可能的实施方式中，所述安全上下文请求消息包括第一MAC；该第一MAC的长度为信令面的目标MAC长度；该处理器2402，具体用于通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
在一种可能的实施方式中，所述第一MAC为所述用于指示信令面的目标MAC长度的信息。
在一种可能的实施方式中，上述信令面的目标安全算法和信令面的目标MAC长度为根据第一算法选择策略确定的；第一MAC为根据信令面的目标安全算法生成的。
在又一种可能的实施方式中，上述安全上下文请求消息中还包括第一身份认证信息；上述处理器2402，还用于：
根据第二节点与第一节点之间的共享密钥验证第一身份认证信息；
若校验安全上下文请求消息的完整性通过且验证第一身份认证信息通过，则通过信令面的目标安全算法生成第二MAC，该第二MAC的长度为信令面的目标MAC长度；
通过通信接口2404向第一节点发送安全上下文响应消息，该安全上下文响应消息中包括第二MAC和第二身份认证信息；该第二身份认证信息为根据第二节点与第一节点之间的共享密钥生成的。
在又一种可能的实施方式中，上述处理器2402，还用于通过通信接口2404接收来自第一节点的关联建立消息，该关联建立消息指示第二节点与第一节点之间建立关联。
在又一种可能的实施方式中，上述安全上下文请求消息中还包括指示用户面的目标安全算法的信息；其中，该用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；上述方法还包括：
通过通信接口2404接收来自第一节点的资源调度消息，该资源调度消息中包括用户面的目标MAC长度；该用户面的目标MAC长度对应用户面的目标安全算法，以及第一业务的标识和第一业务的数据包大小中的至少一个；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
可以看出，不同的业务或者不同数据包大小的业务，可以确定不同的MAC长度，提高MAC长度的灵活性。一方面，对于秘密性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。
进一步的，第一节点可以在资源调度消息中携带指示用户面的目标安全算法的信息和用户面的目标MAC长度，以使得上述装置240可以通过资源调度消息获取用户面的目标安全算法和用户面的目标MAC长度。
需要说明的是，各个单元的实现还可以对应参照图3所示的实施例的相应描述。该装置240为图3所示的实施例中的第二节点。
请参见图25，图25是本申请实施例提供的一种通信装置240的结构示意图，该装置250可以为节点，也可以为节点中的一个器件。该装置250可以包括至少一个存储器2501和至少一个处理器2502。可选的，还可以包含总线2503。进一步可选的，还可以包括通信接口2504，其中，存储器2501、处理器2502和通信接口2504通过总线2503相连。
其中，存储器2501用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器2501可以是RAM、ROM、EPROM、CD-ROM等等中的一种或者多种的组合。
处理器2502是进行算术运算和/或逻辑运算的模块，具体可以是CPU、GPU、MPU、ASIC、FPGA、CPLD等处理模块中的一种或者多种的组合。
通信接口2504用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口2504还可以包括与接口耦合的发射器(如射频发射器、天线等)或者接收器等。
该装置250中的处理器2502用于读取所述存储器2501中存储的计算机程序，用于执行前述的通信方法，例如图8所描述的通信方法。
举例说明，该装置250中的处理器2502用于读取所述存储器2501中存储的计算机程序，用于执行以下操作：
通过通信接口2504接收来自第二节点的业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
在本申请实施例中，上述装置250根据用户面的安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度。这样一来，不同的业务或者不同数据包大小的业务，可以确定不同的MAC长度，提高MAC长度的灵活性。一方面，对于秘密性较高的业务，可以使用较长的MAC长度，从而难以被破解，提高了数据安全性。另一方面，对于一些对私密性要求不高或者数据包较小的消息，可以使用较短的MAC长度，可以避免影响通信效率，也减少了网络传输的资源消耗。
在一种可能的实施方式中，上述处理器2502，具体用于根据用户面的目标安全算法支 持的MAC长度和第一业务的标识确定用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度和第一业务的数据包大小确定用户面的目标MAC长度。
在又一种可能的实施方式中，上述处理器2502，具体用于：
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和MAC长度的对应关系，将第一业务的标识对应的MAC长度确定为用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将第一业务的数据包大小对应的MAC长度确定为用户面的目标MAC长度。
在又一种可能的实施方式中，上述根据用户面的目标安全算法，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
根据第一业务的标识和/或第一业务的数据包大小确定第二长度选择策略；
根据第二长度选择策略和用户面的目标安全算法支持的MAC长度确定用户面的目标MAC长度。
在又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护，对于需要开启完整性保护的业务，才生成对应的用户面的目标MAC，从而可以满足不同业务对于安全性的需求。例如，视频上传业务属于对安全性需求较高的业务，因此视频上传业务的数据需要进行完整新保护，从而需要确定用于保护该业务的数据的MAC的长度。
在又一种可能的实施方式中，上述处理器2502，还用于通过通信接口2504向第二节点发送资源调度消息，该资源调度消息中包括用户面的目标MAC长度。
在又一种可能的实施方式中，上述方法还包括：
通过用户面的目标安全算法生成第三MAC，该第三MAC的长度为用户面的目标MAC长度，该第三MAC用于对所述第一业务的数据进行完整性保护。
在又一种可能的实施方式中，上述处理器2502，还用于：
获取第二节点支持的安全算法的信息；
根据第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度，所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合；
通过信令面的目标安全算法生成第四MAC，该第四MAC的长度为信令面的目标MAC长度；
通过通信接口2504向第二节点发送资源调度消息，该资源调度消息中包括第四MAC和用户面的目标MAC长度，该第四MAC用于对资源调度消息进行完整性保护。
在又一种可能的实施方式中，上述处理器2502，还用于根据第二算法选择策略确定所述用户面的目标安全算法，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
需要说明的是，各个单元的实现还可以对应参照图8所示的实施例的相应描述。该装置250为图8所示的实施例中的第一节点。
请参见图26，图26是本申请实施例提供的一种通信装置260的结构示意图，该装置260可以为节点，也可以为节点中的一个器件。该装置260可以包括至少一个存储器2601和至少一个处理器2602。可选的，还可以包含总线2603。进一步可选的，还可以包括通信接口2604，其中，存储器2601、处理器2602和通信接口2604通过总线2603相连。
其中，存储器2601用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器2601可以是RAM、ROM、EPROM、CD-ROM等等中的一种或者多种的组合。
处理器2602是进行算术运算和/或逻辑运算的模块，具体可以是CPU、GPU、MPU、ASIC、FPGA、CPLD等处理模块中的一种或者多种的组合。
通信接口2604用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口2604还可以包括与接口耦合的发射器(如射频发射器、天线等)或者接收器等。
该装置260中的处理器2602用于读取所述存储器2601中存储的计算机程序，用于执行前述的通信方法，例如图8所描述的通信方法。
举例说明，该装置260中的处理器2602用于读取所述存储器2601中存储的计算机程序，用于执行以下操作：
通过通信接口2604向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
通过通信接口2604接收来自第一节点的资源调度消息，该资源调度消息中包括用户面的目标MAC长度；其中，用户面的目标MAC长度为用户面的目标安全算法支持的MAC长度，以及用户面的目标MAC长度对应第一业务的标识和第一业务的数据包大小中的至少一个；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
在上述实施例中，不同业务类型的业务对完整性保护的需求是不同的，上述装置260可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据不需要进行完整新保护。
进一步的，第一节点可以在资源调度消息中携带指示信息，以使得第二节点根据指示信息确定业务是否开启完整性保护。
在一种可能的实施方式中，上述用户面的目标MAC长度为根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个确定的。
在又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护，对于需要开启完整性保护的业务，才生成对应的用户面的目标MAC，从而可以满足不同业务对于安全性的需求。例如，视频上传业务属于对安 全性需求较高的业务，因此视频上传业务的数据需要进行完整新保护，从而需要确定用于保护该业务的数据的MAC的长度。
在又一种可能的实施方式中，上述用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
在又一种可能的实施方式中，上述资源调度消息中还包括第四MAC，上述处理器2602还用于通过用户面的目标安全算法，根据第四MAC验证所述资源调度消息的消息完整性。
需要说明的是，各个单元的实现还可以对应参照图8所示的实施例的相应描述。该装置260为图8所示的实施例中的第二节点。
请参见图27，图27是本申请实施例提供的一种通信装置270的结构示意图，该装置270可以为节点，也可以为节点中的一个器件。该装置270可以包括至少一个存储器2701和至少一个处理器2702。可选的，还可以包含总线2603。进一步可选的，还可以包括通信接口2704，其中，存储器2701、处理器2702和通信接口2704通过总线2703相连。
其中，存储器2601用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器2701可以是RAM、ROM、EPROM、CD-ROM等等中的一种或者多种的组合。
处理器2702是进行算术运算和/或逻辑运算的模块，具体可以是CPU、GPU、MPU、ASIC、FPGA、CPLD等处理模块中的一种或者多种的组合。
通信接口2704用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口2704还可以包括与接口耦合的发射器(如射频发射器、天线等)或者接收器等。
该装置270中的处理器2702用于读取所述存储器2701中存储的计算机程序，用于执行前述的通信方法，例如图8所描述的通信方法。
举例说明，该装置270中的处理器2702用于读取所述存储器2701中存储的计算机程序，用于执行以下操作：
通过通信接口2704向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；其中，该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度。
上述装置270配置了与第一节点中相同的确定用户面的目标MAC长度的方法，因此上述装置270可以根据用户面的安全算法支持的MAC长度，以及第一业务的标识和/或第一业务的数据包大小在确定用户面的目标MAC长度，然后使用该用户面的目标MAC长度作为处理第一业务时的消息的MAC的长度，这样一来，不同的业务或者不同数据包大小的业务，可以确定不同长度的MAC长度，提高MAC长度的灵活性。
而在上述装置270与第一节点中配置相同的确定用户面的目标MAC长度的方法，可以使得第一节点通过什么样的方式来确定用户面的目标MAC长度，上述装置270也使用相同的方式来确定用户面的目标MAC长度。这样一来，节点无需将目标MAC长度再发送 给对方，节省了网络资源。
在一种可能的实施方式中，上述处理器2702，具体用于：
根据用户面的目标安全算法支持的MAC长度，以及第一业务的标识ID和MAC长度的对应关系，将第一业务的ID对应的MAC长度确定为用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度，以及第一业务的数据包大小和MAC长度的对应关系，将第一业务的数据包大小对应的MAC长度确定为用户面的目标MAC长度。
在一种可能的实施方式中，上述处理器2702，具体用于：
根据用户面的目标安全算法支持的MAC长度和第一业务的标识确定用户面的目标MAC长度；
或者，根据用户面的目标安全算法支持的MAC长度和第一业务的数据包大小确定用户面的目标MAC长度。
在又一种可能的实施方式中，上述处理器2702，具体用于：
根据所述第一业务的ID和/或所述第一业务的数据包大小确定第二长度选择策略；
根据所述第二长度选择策略和所述用户面的目标安全算法支持的MAC长度确定所述用户面的目标MAC长度。
在又一种可能的实施方式中，上述第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护，对于需要开启完整性保护的业务，才生成对应的用户面的目标MAC，从而可以满足不同业务对于安全性的需求。例如，视频上传业务属于对安全性需求较高的业务，因此视频上传业务的数据需要进行完整新保护，从而需要确定用于保护该业务的数据的MAC的长度。
在又一种可能的实施方式中，上述用户面的目标安全算法对应第二算法选择策略，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合。
需要说明的是，各个单元的实现还可以对应参照图8所示的实施例的相应描述。该装置270为图8所示的实施例中的第二节点。
请参见图28，图28是本申请实施例提供的一种通信装置280的结构示意图，该装置280可以为节点，也可以为节点中的一个器件。该装置280可以包括至少一个存储器2801和至少一个处理器2802。可选的，还可以包含总线2803。进一步可选的，还可以包括通信接口2804，其中，存储器2801、处理器2802和通信接口2804通过总线2703相连。
其中，存储器2801用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器2801可以是RAM、ROM、EPROM、CD-ROM等等中的一种或者多种的组合。
处理器2802是进行算术运算和/或逻辑运算的模块，具体可以是CPU、GPU、MPU、ASIC、FPGA、CPLD等处理模块中的一种或者多种的组合。
通信接口2804用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太 网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口2804还可以包括与接口耦合的发射器(如射频发射器、天线等)或者接收器等。
该装置280中的处理器2802用于读取所述存储器2801中存储的计算机程序，用于执行前述的通信方法，例如图11或者图12所描述的通信方法。
举例说明，该装置280中的处理器2802用于读取所述存储器2801中存储的计算机程序，用于执行以下操作：
通信接口2804接收来自第二节点的业务属性上报响应消息，该业务属性上报响应消息包括至少一个业务标识，至少一个业务标识包含至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护；
通信接口2804向第二节点发送资源调度消息，该资源调度消息用于指示至少一个第二业务的标识对应的业务不启动完整性保护。
可以看出，不同业务类型的业务对完整性保护的需求是不同的，上述装置可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
进一步的，第一节点可以在资源调度消息中携带指示信息，以使得第二节点根据指示信息确定业务是否开启完整性保护。
在一种可能的实施方式中，上述至少一个业务标识包含至少一个第一业务的标识，至少一个第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护。
在又一种可能的实施方式中，上述资源调度消息还用于指示用于至少一个第一业务的用户面的目标MAC长度。
可以看出，对于需要进行完整性保护的业务，上述装置280可以携带指示用户面的目标MAC长度信息，用于指示对业务的数据进行完整性保护的MAC的长度。
需要说明的是，各个单元的实现还可以对应参照图11或者图12所示的实施例的相应描述。该装置280为图11或者图12所示的实施例中的第一节点。
请参见图29，图29是本申请实施例提供的一种通信装置290的结构示意图，该装置290可以为节点，也可以为节点中的一个器件。该装置290可以包括至少一个存储器2801和至少一个处理器2902。可选的，还可以包含总线2903。进一步可选的，还可以包括通信接口2904，其中，存储器2901、处理器2902和通信接口2904通过总线2703相连。
其中，存储器2901用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器2901可以是RAM、ROM、EPROM、CD-ROM等等中的一种或者多种的组合。
处理器2902是进行算术运算和/或逻辑运算的模块，具体可以是CPU、GPU、MPU、ASIC、FPGA、CPLD等处理模块中的一种或者多种的组合。
通信接口2904用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太 网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口2904还可以包括与接口耦合的发射器(如射频发射器、天线等)或者接收器等。
该装置290中的处理器2902用于读取所述存储器2901中存储的计算机程序，用于执行前述的通信方法，例如图11或者图12所描述的通信方法。
举例说明，该装置290中的处理器2902用于读取所述存储器2901中存储的计算机程序，用于执行以下操作：
通信接口2904向第一节点发送业务属性上报响应消息，该业务属性上报响应消息包括至少一个业务标识，至少一个业务标识包含至少一个第二业务的标识，至少一个第二业务的标识对应第二业务类型，其中，类型为第二业务类型的业务的数据不需要进行完整性保护；
通信接口2904接收来自第一节点的资源调度消息；
根据该资源调度消息，确定至少一个第二业务的标识对应的业务不启动完整性保护。
可以看出，不同业务类型的业务对完整性保护的需求是不同的，第一节点可以根据第一业务的标识来确定选择是否开启完整性保护。例如，音频降噪业务属于对安全性需求较低的业务，因此音频降噪业务的数据可以不需要进行完整新保护，因此可以不确定对应音频降噪业务的MAC长度。
在又一种可能的实施方式中，上述至少一个业务标识包含至少一个第一业务的标识，至少一个第一业务的标识对应第一业务类型，其中，类型为第一业务类型的业务的数据需要进行完整性保护；上述方法还包括：
根据上述资源调度消息，确定至少一个第一业务的标识对应的业务启动完整性保护。
在又一种可能的实施方式中，上述资源调度消息还用于指示对至少一个第一业务的数据进行完整性保护的MAC的长度。
需要说明的是，各个单元的实现还可以对应参照图11或者图12所示的实施例的相应描述。该装置290为图11或者图12所示的实施例中的第二节点。
请参见图30，图30是本申请实施例提供的一种通信装置300的结构示意图，该装置300可以为节点，也可以为节点中的一个器件。该装置300可以包括至少一个存储器3001和至少一个处理器3002。可选的，还可以包含总线3003。进一步可选的，还可以包括通信接口3004，其中，存储器3001、处理器3002和通信接口3004通过总线3003相连。
其中，存储器3001用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器3001可以是RAM、ROM、EPROM、CD-ROM等等中的一种或者多种的组合。
处理器3002是进行算术运算和/或逻辑运算的模块，具体可以是CPU、GPU、MPU、ASIC、FPGA、CPLD等处理模块中的一种或者多种的组合。
通信接口3004用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口3004还可以包括与接口耦合的发射器(如射频发射器、天线等)或者接收器等。
该装置300中的处理器3002用于读取所述存储器3001中存储的计算机程序，用于执 行前述的通信方法，例如13所描述的通信方法。
举例说明，该装置300中的处理器3002用于读取所述存储器3001中存储的计算机程序，用于执行以下操作：
通过通信接口3004接收来自第二节点的关联请求消息，该关联请求消息中包括第二节点支持的安全算法的信息和第二节点的身份标识；
根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，该信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
根据第二算法选择策略和第二节点的身份标识确定用户面的目标安全算法以及用户面的目标MAC长度，该用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；该用户面的目标MAC长度用于指示对第一业务的数据进行完整性保护的MAC的长度；
通过信令面的目标安全算法生成第一MAC，该第一MAC的长度为信令面的目标MAC长度。
在本申请实施例中，上述装置300可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，上述装置300可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需求。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
在的一种可能的实施方式中，上述处理器3002，具体用于根据第一长度选择策略和第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理器3002，具体用于：
根据第一算法选择策略确定信令面的目标安全算法；
根据第一长度选择策略和信令面的目标安全算法确定信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理器3002，具体用于：
根据第一算法选择策略确定信令面的目标安全算法，该信令面的目标安全算法对应的MAC长度为信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理器3002，具体用于：
根据第二算法选择策略确定用户面的目标安全算法；
根据第二节点的身份标识确定第二长度选择策略；
根据第二长度选择策略、用户面的目标安全算法确定信令面的目标MAC长度。
在又一种可能的实施方式中，上述处理器3002，具体用于：
根据第二算法选择策略确定用户面的目标安全算法；
根据用户面的目标安全算法支持的MAC长度，以及第二节点的身份标识和MAC长度的对应关系，将第二节点的身份标识对应的MAC长度确定为用户面的目标MAC长度。
在又一种可能的实施方式中，上述处理器3002，还用于通过通信接口3004向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、信令面的目标MAC长度和用户面的目标MAC长度，该第一MAC用于验证安全上下文请求消息的完整性。
在又一种可能的实施方式中，上述处理器3002，还用于：
通过通信接口3004向第二节点发送安全上下文请求消息，该安全上下文请求消息包括第一MAC、指示信令面的目标安全算法的信息、指示用户面的目标安全算法的信息、信令面的目标MAC长度、用户面的目标MAC长度和第一身份认证信息；其中，第一MAC用于验证安全上下文请求消息的完整性，第一身份认证信息为根据第一节点与第二节点之间的共享密钥生成的；
通过通信接口3004接收来自第二节点的安全上下文响应消息，该安全上下文响应消息包括第二身份认证信息和第二MAC；其中，第二MAC的长度为信令面的目标MAC长度；第二身份认证信息用于验证第二节点的身份，第二MAC用于校验所述安全上下文响应消息的完整性。
在又一种可能的实施方式中，上述处理器3002，还用于：
根据信令面的目标安全算法和第二MAC校验安全上下文响应消息的完整性；
根据上述共享密钥验证第二身份认证信息；
若校验安全上下文响应消息的完整性通过且验证第二身份认证信息通过，向第二节点发送关联建立消息，该关联建立消息指示第二节点与所述第一节点之间建立关联。
需要说明的是，各个单元的实现还可以对应参照图13所示的实施例的相应描述。该装置300为图13所示的实施例中的第一节点。
请参见图31，图31是本申请实施例提供的一种通信装置310的结构示意图，该装置310可以为节点，也可以为节点中的一个器件。该装置310可以包括至少一个存储器3101和至少一个处理器3102。可选的，还可以包含总线3103。进一步可选的，还可以包括通信接口3104，其中，存储器3101、处理器3102和通信接口3104通过总线3103相连。
其中，存储器3101用于提供存储空间，存储空间中可以存储操作系统和计算机程序等数据。存储器3101可以是RAM、ROM、EPROM、CD-ROM等等中的一种或者多种的组合。
处理器3102是进行算术运算和/或逻辑运算的模块，具体可以是CPU、GPU、MPU、ASIC、FPGA、CPLD等处理模块中的一种或者多种的组合。
通信接口3104用于接收外部发送的数据和/或向外部发送数据，可以为包括诸如以太网电缆等的有线链路接口，也可以是无线链路(Wi-Fi、蓝牙等)接口。可选的，通信接口3104还可以包括与接口耦合的发射器(如射频发射器、天线等)或者接收器等。
该装置310中的处理器3102用于读取所述存储器3101中存储的计算机程序，用于执行前述的通信方法，例如13所描述的通信方法。
举例说明，该装置310中的处理器3102用于读取所述存储器3101中存储的计算机程序，用于执行以下操作：
通过通信接口3104向第一节点发送关联请求消息，该关联请求消息包括第二节点支持的安全算法的信息和第二节点的身份标识；
通过通信接口3104接收来自第一节点的安全上下文请求消息，该安全上下文请求消息包括用于指示信令面的目标安全算法的信息、用于指示用户面的目标安全算法的信息、信 令面的目标MAC长度、用户面的目标MAC长度和第一MAC；其中，信令面的目标安全算法和信令面的目标MAC长度对应第一算法选择策略，并且信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；用户面的目标安全算法和用户面的目标MAC长度对应第二算法选择策略和第二节点的身份标识，并且用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；该第一MAC的长度为信令面的目标MAC长度；
通过信令面的目标安全算法，根据第一MAC校验安全上下文请求消息的完整性。
在本申请实施例中，第一节点中可以配置不同的策略，来确定不同长度的MAC长度，提高MAC长度的灵活性。进一步的，第一节点可以根据第二节点的身份标识确定用户面的目标安全算法和用户面的目标MAC，满足不同类型的节点对于MAC长度的需求。上述装置310获取来自第一节点的目标MAC长度，通过目标MAC长度保护消息完整性。例如，一些处理重要业务的节点可以使用更长的MAC长度，提高安全性。再如，一些辅助节点或者普通节点可以使用较短的MAC长度，减少资源消耗，提高通信效率。
在一种可能的实施方式中，上述信令面的目标安全算法和信令面的目标MAC长度为根据第一算法选择策略确定的，所述信令面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；第一MAC为根据信令面的目标安全算法生成的。
在又一种可能的实施方式中，上述用户面的目标安全算法和用户面的目标MAC长度为根据第二算法选择策略确定的，所述用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；第一MAC为根据信令面的目标安全算法生成的。
在又一种可能的实施方式中，上上述处理器3102，还用于：
根据第二节点与第一节点之间的共享密钥验证第一身份认证信息；
若校验安全上下文请求消息的完整性通过且验证第一身份认证信息通过，则通过信令面的目标安全算法生成第二MAC，该第二MAC的长度为信令面的目标MAC长度；
通过通信接口3104向第一节点发送安全上下文响应消息，该安全上下文响应消息中包括第二MAC和第二身份认证信息；该第二身份认证信息为根据第二节点与第一节点之间的共享密钥生成的。
在又一种可能的实施方式中，上述方法还包括：接收来自第一节点的关联建立消息，该关联建立消息指示第二节点与第一节点之间建立关联。
需要说明的是，各个单元的实现还可以对应参照图13所示的实施例的相应描述。该装置310为图13所示的实施例中的第二节点。
本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，当所述计算机程序在一个或多个处理器上运行时，执行图3、图7、图8或者图9所描述的通信方法。
本申请实施例提供了一种计算机程序产品，当所述计算机程序产品在一个或多个处理器上运行时，可以实现图3、图8、图11、图12或者图13所描述的通信方法。
本申请实施例提供了一种芯片系统，所述芯片系统包括至少一个处理器和通信接口，所述至少一个处理器用于调用至少一个存储器中存储的计算机程序，以使得所述芯片系统 所在装置实现图3、图8、图11或者图12所描述的通信方法。本申请实施例提供了一种通信系统，该通信系统包括第一节点和第二节点，其中，该第一节点包含图14、或者图16、或者图19或者图21所描述的装置，该第二节点包含图15、或者图17、或者图18、或者图20或者图22所描述的装置。
本申请实施例提供了一种通信系统，该通信系统包括第一节点和第二节点，其中，该第一节点包含图23、或者图25、或者图28或者图30所描述的装置，该第二节点包含图24、或者图26、或者图27、或者图29或者图31所描述的装置。
本申请实施例提供了一种智能座舱产品，所述智能座舱产品包括第一节点(例如，汽车座舱域控制器CDC)，其中，该第一节点包含图14、或者图16、或者图19或者图21所描述的装置。
进一步的，上述智能座舱产品还包括第二节点(例如，摄像头、屏幕、麦克风、音响、雷达、电子钥匙、无钥匙进入或启动系统控制器等模块中的至少一个)，该第二节点包含图15、或者图17、或者图18、或者图20或者图22所描述的装置。
本申请实施例公开了一种智能座舱产品，所述智能座舱产品包括第一节点(例如，汽车座舱域控制器CDC)，其中，该第一节点包含图23、或者图25、或者图28或者图30所描述的装置。
进一步的，上述智能座舱产品还包括第二节点(例如，摄像头、屏幕、麦克风、音响、雷达、电子钥匙、无钥匙进入或启动系统控制器等模块中的至少一个)，该第二节点包含图24、或者图26、或者图27、或者图29或者图31所所描述的装置。
本申请实施例提供了一种车辆，所述车辆包括第一节点(例如，汽车座舱域控制器CDC)，其中，该第一节点包含图14、或者图16、或者图19或者图21所描述的装置。
进一步的，上述车辆还包括第二节点(例如，摄像头、屏幕、麦克风、音响、雷达、电子钥匙、无钥匙进入或启动系统控制器等模块中的至少一个)，该第二节点包含图15、或者图17、或者图18、或者图20或者图22所描述的装置。可替换的，上述车辆还可以替换为无人机、机器人等智能终端或者运输工具。
本申请实施例提供了一种车辆，所述车辆包括第一节点(例如，汽车座舱域控制器CDC)，其中，该第一节点包含图23、或者图25、或者图28或者图30所描述的装置。
进一步的，上述车辆还包括第二节点(例如，摄像头、屏幕、麦克风、音响、雷达、电子钥匙、无钥匙进入或启动系统控制器等模块中的至少一个)，该第二节点包含图24、或者图26、或者图27、或者图29或者图31所描述的装置。可替换的，上述车辆还可以替换为无人机、机器人等智能终端或者运输工具。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。该计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行该计算机程序指令时，可以全部或部分地实现本申请中的实施例所描述的流程或功能。该计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。该计算机指令可以存储在计算机可读存储介质中，或者通过计算机可读存储介质进行传输。该计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。 可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如，固态硬盘(solid state disk，SSD))等。
本申请方法实施例中的步骤可以根据实际需要进行顺序调整、合并和删减。
本申请装置实施例中的模块可以根据实际需要进行合并、划分和删减。

Claims (74)

  1. 一种通信方法，其特征在于，包括：
    接收来自第二节点的关联请求消息，所述关联请求消息包括所述第二节点支持的安全算法的信息；
    根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合；
    通过所述信令面的目标安全算法生成第一MAC，所述第一MAC的长度为所述信令面的目标MAC长度。
  2. 根据权利要求1中所述的方法，其特征在于，所述根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，包括：
    根据第一长度选择策略和所述第一算法选择策略确定所述信令面的目标安全算法和所述信令面的目标MAC长度。
  3. 根据权利要求1中所述的方法，其特征在于，所述根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，包括：
    根据所述第一算法选择策略确定所述信令面的目标安全算法，所述信令面的目标安全算法对应的MAC长度为所述信令面的目标MAC长度。
  4. 根据权利要求2中所述的方法，其特征在于，所述根据第一长度选择策略和所述第一算法选择策略确定所述信令面的目标安全算法和所述信令面的目标MAC长度，包括：
    根据第一算法选择策略确定信令面的目标安全算法；
    根据第一长度选择策略和所述信令面的目标安全算法确定所述信令面的目标MAC长度。
  5. 根据权利要求1-4任一项所述的方法，其特征在于，所述方法还包括：
    向所述第二节点发送安全上下文请求消息，所述安全上下文请求消息包括所述第一MAC、指示所述信令面的目标安全算法的信息和所述信令面的目标MAC长度，所述第一MAC用于验证所述安全上下文请求消息的完整性。
  6. 根据权利要求1-4任一项所述的方法，其特征在于，在根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度之后，所述方法还包括：
    向所述第二节点发送安全上下文请求消息，所述安全上下文请求消息包括所述第一MAC、指示所述信令面的目标安全算法的信息、所述信令面的目标MAC长度和第一身份认证信息；其中，所述第一MAC用于验证所述安全上下文请求消息的完整性，所述第一身份认证信息为根据第一节点与所述第二节点之间的共享密钥生成的；
    接收来自所述第二节点的安全上下文响应消息，所述安全上下文响应消息包括第二身份认证信息和第二MAC；其中，所述第二MAC的长度为所述信令面的目标MAC长度；所述第二身份认证信息用于验证所述第二节点的身份，所述第二MAC用于校验所述安全上下文响应消息的完整性。
  7. 根据权利要求1-5任一项的方法，其特征在于，所述安全上下文请求消息中还包括用户面的目标安全算法；所述方法还包括：
    根据第二算法选择策略确定所述用户面的目标安全算法，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  8. 根据权利要求7中所述的方法，其特征在于，所述方法还包括：
    获取第一业务的标识和/或第一业务的数据包大小；
    根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度；
    向所述第二节点发送资源调度消息，所述资源调度消息包括所述用户面的目标MAC长度。
  9. 一种通信方法，其特征在于，包括：
    向第一节点发送关联请求消息，所述关联请求消息包括第二节点支持的安全算法的信息；
    接收来自所述第一节点的安全上下文请求消息，所述安全上下文请求消息包括用于指示信令面的目标安全算法的信息和用于指示信令面的目标MAC长度的信息；其中，所述信令面的目标安全算法和所述信令面的目标MAC长度对应第一算法选择策略，并且所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  10. 根据权利要求9中所述的方法，其特征在于，所述安全上下文请求消息包括第一MAC；所述第一MAC的长度为所述信令面的目标MAC长度；所述方法还包括：通过所述信令面的目标安全算法，根据所述第一MAC校验所述安全上下文请求消息的完整性。
  11. 根据权利要求9或10中所述的方法，其特征在于，所述安全上下文请求消息中还包括第一身份认证信息；所述方法还包括：
    根据第二节点与所述第一节点之间的共享密钥验证所述第一身份认证信息；
    若校验所述安全上下文请求消息的完整性通过且验证所述第一身份认证信息通过，则通过所述信令面的目标安全算法生成第二MAC，所述第二MAC的长度为所述信令面的目标MAC长度；
    向所述第一节点发送安全上下文响应消息，所述安全上下文响应消息中包括所述第二 MAC和第二身份认证信息；所述第二身份认证信息为根据所述第二节点与所述第一节点的之间的所述共享密钥生成的。
  12. 根据权利要求9-11任一项中所述的方法，其特征在于，所述安全上下文请求消息中还包括指示用户面的目标安全算法的信息；其中，所述用户面的目标安全算法对应第二算法选择策略，所述用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；所述方法还包括：
    接收来自所述第一节点的资源调度消息，所述资源调度消息中包括用户面的目标MAC长度；所述用户面的目标MAC长度对应所述用户面的目标安全算法，以及第一业务的标识和第一业务的数据包大小中的至少一个；所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
  13. 一种通信方法，其特征在于，包括：
    接收来自第二节点的业务属性上报响应消息，所述业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
    根据用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和所述第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
  14. 根据权利要求13中所述的方法，其特征在于，所述根据用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和所述第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
    根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和MAC长度的对应关系，将所述第一业务的标识对应的MAC长度确定为所述用户面的目标MAC长度；
    或者，根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的数据包大小和MAC长度的对应关系，将所述第一业务的数据包大小对应的MAC长度确定为所述用户面的目标MAC长度。
  15. 根据权利要求13中所述的方法，其特征在于，所述根据用户面的目标安全算法，以及所述第一业务的标识和所述第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
    根据所述第一业务的标识和/或所述第一业务的数据包大小确定第二长度选择策略；
    根据所述第二长度选择策略和所述用户面的目标安全算法支持的MAC长度确定所述用户面的目标MAC长度。
  16. 根据权利要求13-15任一项所述的方法，其特征在于，所述第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护。
  17. 根据权利要求13-16任一项所述的方法，其特征在于，所述方法还包括：
    向所述第二节点发送资源调度消息，所述资源调度消息中包括用于指示所述用户面的目标MAC长度的信息。
  18. 根据权利要求13-17任一项中所述的方法，其特征在于，所述方法还包括：
    通过所述用户面的目标安全算法生成第三MAC，所述第三MAC的长度为所述用户面的目标MAC长度，所述第三MAC用于对所述第一业务的数据进行完整性保护。
  19. 根据权利要求13中所述的方法，其特征在于，所述方法还包括：
    获取所述第二节点支持的安全算法的信息；
    根据第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度，所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合；
    通过所述信令面的目标安全算法生成第四MAC，所述第四MAC的长度为所述信令面的目标MAC长度；
    向所述第二节点发送资源调度消息，所述资源调度消息中包括第四MAC和所述用户面的目标MAC长度，所述第四MAC用于对所述资源调度消息进行完整性保护。
  20. 根据权利要求19中所述的方法，其特征在于，所述方法还包括：
    根据第二算法选择策略确定所述用户面的目标安全算法，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  21. 一种通信方法，其特征在于，包括：
    向第一节点发送业务属性上报响应消息，所述业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
    接收来自所述第一节点的资源调度消息，所述资源调度消息中包括用户面的目标MAC长度；其中，所述用户面的目标MAC长度为用户面的目标安全算法支持的MAC长度，以及所述用户面的目标MAC长度对应所述第一业务的标识和第一业务的数据包大小中的至少一个；所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
  22. 根据权利要求21中所述的方法，其特征在于，所述第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护。
  23. 根据权利要求21或22中所述的方法，其特征在于，所述用户面的目标安全算法对应第二算法选择策略，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  24. 根据权利要求23中所述的方法，其特征在于，所述资源调度消息中还包括第四MAC；所述方法还包括：
    通过所述用户面的目标安全算法，根据所述第四MAC验证所述资源调度消息的消息完整性。
  25. 一种通信方法，其特征在于，包括：
    向第一节点发送业务属性上报响应消息，所述业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
    根据用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和所述第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
  26. 根据权利要求25中所述的方法，其特征在于，所述根据用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和所述第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
    根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识ID和MAC长度的对应关系，将所述第一业务的ID对应的MAC长度确定为所述用户面的目标MAC长度；
    或者，根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的数据包大小和MAC长度的对应关系，将所述第一业务的数据包大小对应的MAC长度确定为所述用户面的目标MAC长度。
  27. 根据权利要求25中所述的方法，其特征在于，所述根据用户面的目标安全算法，以及所述第一业务的标识和所述第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，包括：
    根据所述第一业务的ID和/或所述第一业务的数据包大小确定第二长度选择策略；
    根据所述第二长度选择策略和所述用户面的目标安全算法支持的MAC长度确定所述用户面的目标MAC长度。
  28. 根据权利要求25-27任一项所述的方法，其特征在于，所述第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护。
  29. 根据权利要求24-27任一项所述的方法，其特征在于，所述用户面的目标安全算法对应第二算法选择策略，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  30. 一种通信方法，其特征在于，包括：
    接收来自第二节点的业务属性上报响应消息，所述业务属性上报响应消息包括至少一个业务标识，所述至少一个业务标识包含至少一个第二业务的标识，所述至少一个第二业务的标识对应第二业务类型，其中，类型为所述第二业务类型的业务的数据不需要进行完整性保护；
    向所述第二节点发送资源调度消息，所述资源调度消息用于指示所述至少一个第二业务的标识对应的业务不启动完整性保护。
  31. 根据权利要求30中所述的方法，其特征在于，所述至少一个业务标识包含至少一个第一业务的标识，所述至少一个第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护。
  32. 根据权利要求30中所述的方法，其特征在于，所述资源调度消息还用于指示用于所述至少一个第一业务的用户面的目标MAC长度。
  33. 一种通信方法，其特征在于，包括：
    向第一节点发送业务属性上报响应消息，所述业务属性上报响应消息包括至少一个业务标识，所述至少一个业务标识包含至少一个第二业务的标识，所述至少一个第二业务的标识对应第二业务类型，其中，类型为所述第二业务类型的业务的数据不需要进行完整性保护；
    接收来自第一节点的资源调度消息；
    根据所述资源调度消息，确定所述至少一个第二业务的标识对应的业务不启动完整性保护。
  34. 根据权利要求33中所述的方法，其特征在于，所述至少一个业务标识包含至少一个第一业务的标识，所述至少一个第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护；所述方法还包括：
    根据所述资源调度消息，确定所述至少一个第一业务的标识对应的业务启动完整性保护。
  35. 根据权利要求34中所述的方法，其特征在于，所述资源调度消息还用于指示对所述至少一个第一业务的数据进行完整性保护的MAC的长度。
  36. 一种通信装置，其特征在于，包括：
    接收单元，用于接收来自第二节点的关联请求消息，所述关联请求消息包括所述第二节点支持的安全算法的信息；
    处理单元，用于根据第一算法选择策略确定信令面的目标安全算法以及信令面的目标MAC长度，所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合；
    所述处理单元，还用于通过所述信令面的目标安全算法生成第一MAC，所述第一MAC的长度为所述信令面的目标MAC长度。
  37. 根据权利要求36中所述的装置，其特征在于，所述处理单元，具体用于：
    根据第一长度选择策略和所述第一算法选择策略确定所述信令面的目标安全算法和所述信令面的目标MAC长度。
  38. 根据权利要求36中所述的装置，其特征在于，所述处理单元，具体用于：
    根据所述第一算法选择策略确定所述信令面的目标安全算法，所述信令面的目标安全算法对应的MAC长度为所述信令面的目标MAC长度。
  39. 根据权利要求37中所述的装置，其特征在于，所述处理单元，具体用于：
    根据第一算法选择策略确定信令面的目标安全算法；
    根据第一长度选择策略和所述信令面的目标安全算法确定所述信令面的目标MAC长度。
  40. 根据权利要求36-39任一项所述的装置，其特征在于，所述装置还包括：
    发送单元，用于向所述第二节点发送安全上下文请求消息，所述安全上下文请求消息包括所述第一MAC、指示所述信令面的目标安全算法的信息和所述信令面的目标MAC长度，所述第一MAC用于验证所述安全上下文请求消息的完整性。
  41. 根据权利要求36-39任一项所述的装置，其特征在于，所述装置还包括发送单元，用于向所述第二节点发送安全上下文请求消息，所述安全上下文请求消息包括所述第一MAC、指示所述信令面的目标安全算法的信息、所述信令面的目标MAC长度和第一身份认证信息；其中，所述第一MAC用于验证所述安全上下文请求消息的完整性，所述第一身份认证信息为根据第一节点与所述第二节点之间的共享密钥生成的；
    所述接收单元，还用于接收来自所述第二节点的安全上下文响应消息，所述安全上下文响应消息包括第二身份认证信息和第二MAC；其中，所述第二MAC的长度为所述信令面的目标MAC长度；所述第二身份认证信息用于验证所述第二节点的身份，所述第二MAC用于校验所述安全上下文响应消息的完整性。
  42. 根据权利要求36-41任一项的装置，其特征在于，所述安全上下文请求消息中还包括用户面的目标安全算法；所述处理单元，具体用于：
    根据第二算法选择策略确定所述用户面的目标安全算法，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  43. 根据权利要求42中所述的装置，其特征在于，所述接收单元，还用于获取第一业务的标识和/或第一业务的数据包大小；
    所述处理单元，还用于根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度；所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度；
    所述发送单元，还用于向所述第二节点发送资源调度消息，所述资源调度消息包括所述用户面的目标MAC长度。
  44. 一种通信装置，其特征在于，包括：
    发送单元，用于向第一节点发送关联请求消息，所述关联请求消息包括第二节点支持的安全算法的信息；
    接收单元，用于接收来自所述第一节点的安全上下文请求消息，所述安全上下文请求消息包括用于指示信令面的目标安全算法的信息和用于指示信令面的目标MAC长度的信息；其中，所述信令面的目标安全算法和所述信令面的目标MAC长度对应第一算法选择策略，并且所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  45. 根据权利要求42中所述的装置，其特征在于，所述安全上下文请求消息包括第一MAC；所述第一MAC的长度为所述信令面的目标MAC长度；所述装置还包括：
    处理单元，用于通过所述信令面的目标安全算法，根据所述第一MAC校验所述安全上下文请求消息的完整性。
  46. 根据权利要求44或45中所述的装置，其特征在于，所述安全上下文请求消息中还包括第一身份认证信息；所述处理单元，还用于根据第二节点与所述第一节点之间的共享密钥验证所述第一身份认证信息；
    所述处理单元，还用于若校验所述安全上下文请求消息的完整性通过且验证所述第一身份认证信息通过，则通过所述信令面的目标安全算法生成第二MAC，所述第二MAC的长度为所述信令面的目标MAC长度；
    所述发送单元，还用于向所述第一节点发送安全上下文响应消息，所述安全上下文响应消息中包括所述第二MAC和第二身份认证信息；所述第二身份认证信息为根据所述第二节点与所述第一节点的所述共享密钥之间生成的。
  47. 根据权利要求43-46任一项中所述的装置，其特征在于，所述安全上下文请求消息中还包括指示用户面的目标安全算法的信息；其中，所述用户面的目标安全算法对应第二算法选择策略，所述用户面的目标安全算法属于第二节点支持的安全算法的信息所指示的安全算法的集合；
    所述接收单元，还用于接收来自所述第一节点的资源调度消息，所述资源调度消息中包括用户面的目标MAC长度；所述用户面的目标MAC长度对应所述用户面的目标安全算法，以及第一业务的标识和第一业务的数据包大小中的至少一个；所述用户面的目标MAC 长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
  48. 一种通信装置，其特征在于，包括：
    接收单元，用于接收来自第二节点的业务属性上报响应消息，所述业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
    处理单元，用于根据用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和所述第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
  49. 根据权利要求48中所述的装置，其特征在于，所述处理单元，具体用于：
    根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和MAC长度的对应关系，将所述第一业务的标识对应的MAC长度确定为所述用户面的目标MAC长度；
    或者，根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的数据包大小和MAC长度的对应关系，将所述第一业务的数据包大小对应的MAC长度确定为所述用户面的目标MAC长度。
  50. 根据权利要求48中所述的装置，其特征在于，所述处理单元，具体用于：
    根据所述第一业务的标识和/或所述第一业务的数据包大小确定第二长度选择策略；
    根据所述第二长度选择策略和所述用户面的目标安全算法支持的MAC长度确定所述用户面的目标MAC长度。
  51. 根据权利要求48-50任一项所述的装置，其特征在于，所述第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护。
  52. 根据权利要求48-51任一项所述的装置，其特征在于，所述发送单元，还用于向所述第二节点发送资源调度消息，所述资源调度消息中包括所述用户面的目标MAC长度。
  53. 根据权利要求48-52任一项中所述的装置，其特征在于，所述处理单元，还用于：
    通过所述用户面的目标安全算法生成第三MAC，所述第三MAC的长度为所述用户面的目标MAC长度，所述第三MAC用于对所述第一业务的数据进行完整性保护。
  54. 根据权利要求48中所述的装置，其特征在于，所述接收单元，还用于获取所述第二节点支持的安全算法的信息；
    所述处理单元，还用于根据第一算法选择策略确定信令面的目标安全算法和信令面的目标MAC长度，所述信令面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合；
    所述处理单元，还用于通过所述信令面的目标安全算法生成第四MAC，所述第四MAC 的长度为所述信令面的目标MAC长度；
    所述发送单元，还用于向所述第二节点发送资源调度消息，所述资源调度消息中包括第四MAC和所述用户面的目标MAC长度，所述第四MAC用于对所述资源调度消息进行完整性保护。
  55. 根据权利要求54中所述的装置，其特征在于，所述处理单元，还用于：
    根据第二算法选择策略确定所述用户面的目标安全算法，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  56. 一种通信装置，其特征在于，包括：
    发送单元，用于向第一节点发送业务属性上报响应消息，所述业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
    接收单元，用于接收来自所述第一节点的资源调度消息，所述资源调度消息中包括用户面的目标MAC长度；其中，所述用户面的目标MAC长度为用户面的目标安全算法支持的MAC长度，以及所述用户面的目标MAC长度对应所述第一业务的标识和第一业务的数据包大小中的至少一个；所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
  57. 根据权利要求56中所述的装置，其特征在于，所述第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护。
  58. 根据权利要求56或57中所述的装置，其特征在于，所述用户面的目标安全算法对应第二算法选择策略，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  59. 根据权利要求56中所述的装置，其特征在于，所述资源调度消息中还包括第四MAC；所述处理单元，还用于：
    通过所述用户面的目标安全算法，根据所述第四MAC验证所述资源调度消息的消息完整性。
  60. 一种通信装置，其特征在于，包括：
    发送单元，用于向第一节点发送业务属性上报响应消息，所述业务属性上报响应消息包括第一业务的标识和/或第一业务的数据包大小；
    处理单元，用于根据用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识和第一业务的数据包大小中的至少一个，确定用户面的目标MAC长度，所述用户面的目标MAC长度用于指示对所述第一业务的数据进行完整性保护的MAC的长度。
  61. 根据权利要求60中所述的装置，其特征在于，所述处理单元，具体用于：
    根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的标识ID和MAC长度的对应关系，将所述第一业务的ID对应的MAC长度确定为所述用户面的目标MAC长度；
    或者，根据所述用户面的目标安全算法支持的MAC长度，以及所述第一业务的数据包大小和MAC长度的对应关系，将所述第一业务的数据包大小对应的MAC长度确定为所述用户面的目标MAC长度。
  62. 根据权利要求60中所述的装置，其特征在于，所述处理单元，具体用于：
    根据所述第一业务的ID和/或所述第一业务的数据包大小确定第二长度选择策略；
    根据所述第二长度选择策略和所述用户面的目标安全算法支持的MAC长度确定所述用户面的目标MAC长度。
  63. 根据权利要求60-62任一项所述的装置，其特征在于，所述第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护。
  64. 根据权利要求60-63任一项所述的装置，其特征在于，所述用户面的目标安全算法对应第二算法选择策略，所述用户面的目标安全算法属于所述第二节点支持的安全算法的信息所指示的安全算法的集合。
  65. 一种通信装置，其特征在于，包括：
    接收单元，用于接收来自第二节点的业务属性上报响应消息，所述业务属性上报响应消息包括至少一个业务标识，所述至少一个业务标识包含至少一个第二业务的标识，所述至少一个第二业务的标识对应第二业务类型，其中，类型为所述第二业务类型的业务的数据不需要进行完整性保护；
    发送单元，用于向所述第二节点发送资源调度消息，所述资源调度消息用于指示所述至少一个第二业务的标识对应的业务不启动完整性保护。
  66. 根据权利要求65中所述的装置，其特征在于，所述至少一个业务标识包含至少一个第一业务的标识，所述至少一个第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护。
  67. 根据权利要求66中所述的装置，其特征在于，所述资源调度消息还用于指示用于所述至少一个第一业务的用户面的目标MAC长度。
  68. 一种通信装置，其特征在于，包括：
    发送单元，用于向第一节点发送业务属性上报响应消息，所述业务属性上报响应消息包括至少一个业务标识，所述至少一个业务标识包含至少一个第二业务的标识，所述至少一个第二业务的标识对应第二业务类型，其中，类型为所述第二业务类型的业务的数据不 需要进行完整性保护；
    接收单元，用于接收来自第一节点的资源调度消息；
    处理单元，用于根据所述资源调度消息，确定所述至少一个第二业务的标识对应的业务不启动完整性保护。
  69. 根据权利要求68中所述的装置，其特征在于，所述至少一个业务标识包含至少一个第一业务的标识，所述至少一个第一业务的标识对应第一业务类型，其中，类型为所述第一业务类型的业务的数据需要进行完整性保护；
    所述处理单元，还用于根据所述资源调度消息，确定所述至少一个第一业务的标识对应的业务启动完整性保护。
  70. 根据权利要求69中所述的装置，其特征在于，所述资源调度消息还用于指示对所述至少一个第一业务的数据进行完整性保护的MAC的长度。
  71. 一种芯片系统，其特征在于，所述芯片系统包括至少一个处理器和通信接口，所述至少一个处理器用于调用至少一个存储器中存储的计算机程序，以使得所述芯片系统所在装置实现如权利要求1-8中任一项所述的方法，或者实现如权利要求13-20任一项所述的方法，或者实现如权利要求30-32任一项所述的方法。
  72. 一种芯片系统，其特征在于，所述芯片系统包括至少一个处理器和通信接口，所述至少一个处理器用于调用至少一个存储器中存储的计算机程序，以使得所述芯片系统所在装置实现如权利要求9-12中任一项所述的方法，或者实现如权利要求21-24任一项所述的方法，或者实现如权利要求25-29任一项所述的方法，或者实现如权利要求33-35任一项所述的方法。
  73. 一种通信系统，其特征在于，包括第一节点和第二节点，其中：
    所述第一节点包含权利要求36-43任一项所述的装置；所述第二节点包含权利要求44-47中任一项所述的装置；
    或者，所述第一节点包含权利要求48-55任一项所述的装置；所述第二节点包含权利要求56-59中任一项所述的装置；
    或者，所述第一节点包含权利要求48-55任一项所述的装置；所述第二节点包含权利要求60-64中任一项所述的装置；
    或者，所述第一节点包含权利要求65-67任一项所述的装置；所述第二节点包含权利要求68-70中任一项所述的装置。
  74. 一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，当所述计算机程序在一个或多个处理器上运行时，执行如权利要求1-8中任一项所述的方法，或者执行如权利要求13-20任一项所述的方法，或者执行如权利要求30-32 任一项所述的方法；或者执行权利要求9-12中任一项所述的方法，或者执行如权利要求21-24任一项所述的方法或者执行如权利要求25-29任一项所述的方法，或者执行如权利要求33-35任一项所述的方法。
PCT/CN2020/106013 2020-07-30 2020-07-30 一种通信方法及装置 WO2022021258A1 (zh)

Priority Applications (8)

Application Number Priority Date Filing Date Title
CN202210612653.XA CN115175189A (zh) 2020-07-30 2020-07-30 一种通信方法及装置
CN202210602062.4A CN115550924A (zh) 2020-07-30 2020-07-30 一种通信方法及装置
PCT/CN2020/106013 WO2022021258A1 (zh) 2020-07-30 2020-07-30 一种通信方法及装置
KR1020237005735A KR20230040368A (ko) 2020-07-30 2020-07-30 통신 방법 및 장치
JP2023503473A JP2023537680A (ja) 2020-07-30 2020-07-30 通信方法及び装置
CN202080015203.1A CN113455034B (zh) 2020-07-30 2020-07-30 一种通信方法及装置
EP20946555.8A EP4185003A4 (en) 2020-07-30 2020-07-30 COMMUNICATION METHOD AND DEVICE
US18/157,594 US20230171602A1 (en) 2020-07-30 2023-01-20 Communication Method and Apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2020/106013 WO2022021258A1 (zh) 2020-07-30 2020-07-30 一种通信方法及装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/157,594 Continuation US20230171602A1 (en) 2020-07-30 2023-01-20 Communication Method and Apparatus

Publications (1)

Publication Number Publication Date
WO2022021258A1 true WO2022021258A1 (zh) 2022-02-03

Family

ID=77808750

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2020/106013 WO2022021258A1 (zh) 2020-07-30 2020-07-30 一种通信方法及装置

Country Status (6)

Country Link
US (1) US20230171602A1 (zh)
EP (1) EP4185003A4 (zh)
JP (1) JP2023537680A (zh)
KR (1) KR20230040368A (zh)
CN (3) CN113455034B (zh)
WO (1) WO2022021258A1 (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117241263A (zh) * 2022-06-06 2023-12-15 华为技术有限公司 一种报文通信方法和设备

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101854625A (zh) * 2009-04-03 2010-10-06 华为技术有限公司 安全算法选择处理方法与装置、网络实体及通信系统
CN107566115A (zh) * 2016-07-01 2018-01-09 华为技术有限公司 密钥配置及安全策略确定方法、装置
CN108347410A (zh) * 2017-01-24 2018-07-31 华为技术有限公司 安全实现方法、设备以及系统
CN110121168A (zh) * 2018-02-06 2019-08-13 华为技术有限公司 安全协商方法及装置
WO2020067961A1 (en) * 2018-09-25 2020-04-02 Telefonaktiebolaget Lm Ericsson (Publ) A radio network node, a wireless device and methods therein for resuming a radio connection
WO2020146661A1 (en) * 2019-01-09 2020-07-16 Futurewei Technologies, Inc. Integrity protection for user plane edt with multiple pdcp pdus

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6126980B2 (ja) * 2013-12-12 2017-05-10 日立オートモティブシステムズ株式会社 ネットワーク装置およびネットワークシステム
US20160026787A1 (en) * 2014-07-25 2016-01-28 GM Global Technology Operations LLC Authenticating messages sent over a vehicle bus that include message authentication codes
US10630481B2 (en) * 2016-11-07 2020-04-21 Ford Global Technologies, Llc Controller area network message authentication
US11297502B2 (en) * 2017-09-08 2022-04-05 Futurewei Technologies, Inc. Method and device for negotiating security and integrity algorithms

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101854625A (zh) * 2009-04-03 2010-10-06 华为技术有限公司 安全算法选择处理方法与装置、网络实体及通信系统
CN107566115A (zh) * 2016-07-01 2018-01-09 华为技术有限公司 密钥配置及安全策略确定方法、装置
CN108347410A (zh) * 2017-01-24 2018-07-31 华为技术有限公司 安全实现方法、设备以及系统
CN110121168A (zh) * 2018-02-06 2019-08-13 华为技术有限公司 安全协商方法及装置
WO2020067961A1 (en) * 2018-09-25 2020-04-02 Telefonaktiebolaget Lm Ericsson (Publ) A radio network node, a wireless device and methods therein for resuming a radio connection
WO2020146661A1 (en) * 2019-01-09 2020-07-16 Futurewei Technologies, Inc. Integrity protection for user plane edt with multiple pdcp pdus

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
VODAFONE, AT&T, MITRE, NIST, INTERDIGITAL, TCG: "Section 8, Size of the integrity protection tag MAC-I", 3GPP DRAFT; S3-181560-V3 LONGER MAC I, 3RD GENERATION PARTNERSHIP PROJECT (3GPP), MOBILE COMPETENCE CENTRE ; 650, ROUTE DES LUCIOLES ; F-06921 SOPHIA-ANTIPOLIS CEDEX ; FRANCE, vol. SA WG3, no. Belgrade RS; 20180416 - 20180420, 23 April 2018 (2018-04-23), Mobile Competence Centre ; 650, route des Lucioles ; F-06921 Sophia-Antipolis Cedex ; France , XP051438576 *

Also Published As

Publication number Publication date
KR20230040368A (ko) 2023-03-22
US20230171602A1 (en) 2023-06-01
CN113455034A (zh) 2021-09-28
CN113455034B (zh) 2022-06-10
CN115175189A (zh) 2022-10-11
EP4185003A4 (en) 2023-09-13
JP2023537680A (ja) 2023-09-05
EP4185003A1 (en) 2023-05-24
CN115550924A (zh) 2022-12-30

Similar Documents

Publication Publication Date Title
US11695742B2 (en) Security implementation method, device, and system
TWI469555B (zh) 長期演進行動單元非存取層架構及協議增強
US8331567B2 (en) Methods and apparatuses for generating dynamic pairwise master keys using an image
WO2022133949A1 (zh) 一种安全接入方法及装置
WO2019153994A1 (zh) 安全协商方法及装置
WO2022110083A1 (zh) 一种通信方法及装置
WO2021196051A1 (zh) 一种通信方法、装置及系统
US20230171602A1 (en) Communication Method and Apparatus
US20220006644A1 (en) Methods and devices for providing message authentication code suitable for short messages
WO2022041141A1 (zh) 一种通信方法及相关装置
WO2021237746A1 (zh) 一种密钥获取方法及相关装置
JP2023535613A (ja) Ｂｌｕｅｔｏｏｔｈノードペアリング方法及び関連する装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20946555

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2023503473

Country of ref document: JP

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 20237005735

Country of ref document: KR

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020946555

Country of ref document: EP

Effective date: 20230220