WO2023011158A1 - 一种证书管理方法和装置 - Google Patents

一种证书管理方法和装置 Download PDF

Info

Publication number
WO2023011158A1
WO2023011158A1 PCT/CN2022/106395 CN2022106395W WO2023011158A1 WO 2023011158 A1 WO2023011158 A1 WO 2023011158A1 CN 2022106395 W CN2022106395 W CN 2022106395W WO 2023011158 A1 WO2023011158 A1 WO 2023011158A1
Authority
WO
WIPO (PCT)
Prior art keywords
certificate
request message
server
client
type
Prior art date
Application number
PCT/CN2022/106395
Other languages
English (en)
French (fr)
Inventor
赵绪文
何承东
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2023011158A1 publication Critical patent/WO2023011158A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys

Definitions

  • the present application relates to the communication field, and more specifically, to a certificate management method and device.
  • the service based architecture (SBA) is adopted as the basic architecture to realize the high efficiency, software and openness of the 5G system.
  • SBA service based architecture
  • the network function is defined as a number of "service" modules that can be flexibly called, which are used by operators to implement flexible networking according to different business needs.
  • network function network function
  • NF network function virtualization
  • IPSec Internet protocol security
  • transport layer security protocol transport layer security
  • This application provides a certificate management method and device, which can obtain certificates that meet requirements.
  • a certificate management method includes: a first device sends a request message, the request message is used to request a first certificate from a second device, and the request message includes an instance ID of the first device, a first One or more of the fully qualified domain name of the device and the type of the first device; the first device receives a response message, the response message includes the above-mentioned first certificate, and the first certificate includes the instance ID of the first device, the first device One or more of the fully qualified domain name of and the type of the first device.
  • the request message sent by the first device includes information required to generate a certificate
  • the second device generates a corresponding certificate according to the content of the request message
  • the generated certificate contains information that meets the requirements, so that the second device A device can obtain a certificate that satisfies the requirements.
  • a certificate management method includes: the second device receives a request message sent by the first device, the request message includes the instance ID of the first device, the fully qualified domain name of the first device, and the first device one or more of the types; the second device generates a first certificate according to the request message; the second device sends a response message, the response message includes the first certificate, and the first certificate includes the instance ID of the first device, One or more of the fully qualified domain name of the first device and the type of the first device.
  • the request message received by the second device includes information required to generate a certificate, and the second device can generate a corresponding certificate based on the information, and the generated certificate contains the required information, thereby generating a certificate that meets the requirements. Certificate.
  • the method further includes: the request message further includes the first device certificate, and before the second device generates the first certificate according to the request message, the method further includes One or both of the following: the second device verifies that the fully qualified domain name in the request message is consistent with the fully qualified domain name in the first device certificate; the second device verifies that the type of the first device in the request message is consistent with the first device certificate The first device type in the same.
  • the second device after receiving the request message from the first device, the second device verifies the certificate request message contained in the request message to prevent malicious network functions from requesting certificates, thereby generating a certificate that meets the requirements under the premise of ensuring security .
  • the method further includes: the first device is a TLS client, and the first certificate is a client certificate.
  • the first device as a transport layer security client, can apply for a client certificate to meet the requirements of the first device as a client, thereby ensuring that the first device realizes corresponding functions during TLS connection.
  • the method further includes: the request message further includes first indication information, and the first indication information is used to request the above-mentioned client Certificate.
  • the first indication information is used to indicate the type of the certificate applied for, and further, the second device can be made to specify the type of the certificate requested by the first device, thereby accurately generating the corresponding certificate.
  • the method further includes: the first device is a transport layer security server, and the first certificate is a server certificate; the request message also includes a first Hypertext Transfer Security Protocol Uniform Resource Identifier HTTPS URI, the first HTTPS URI is used to identify the service resource provided by the first device; and/or, the request message also includes a second HTTPS URI, the The second HTTPS URI is used to identify the callback service resource provided by the first device; the server certificate also includes the first HTTPS URI and/or the second HTTPS uniform resource Identifier HTTPS URI.
  • the request message may specifically include information that may be required in the TLS connection of the transport layer security server, and further, the second device can accurately generate a corresponding certificate.
  • the request message further includes second indication information, where the second indication information is used to request the server certificate.
  • the second indication information is used to indicate the type of the applied certificate, and further, the second device can be made to specify the type of the certificate requested by the first device, thereby accurately generating the corresponding certificate.
  • the method further includes: the first device is a transport layer security client and also serves as a transport layer security server, and the first device A certificate is a client certificate and a server certificate; the request message also includes a first HTTPS URI, and the first HTTPS URI is used to identify the service resource provided by the first device; and/or, the request message also includes a second HTTPS URI, the second HTTPS URI is used to identify the callback service resource provided by the first device; the client certificate includes the instance ID of the first device, the fully qualified domain name FQDN of the first device and the type of the first device One or more of; the server certificate includes one or more of the instance ID of the first device, the fully qualified domain name FQDN of the first device and the type of the first device, and the first HTTPS URI and /or this second HTTPS URI.
  • the first device can serve as the TLS client and the TLS server at the same time, and the request message includes the information that the TLS client and the TLS server may need in the TLS connection. Further, the first device can The second device generates exactly two certificates.
  • the method further includes: the request message further includes third indication information, and the third indication information is used to request the client certificate and the server certificate.
  • the third indication information is used to indicate that the applied certificate type is the client certificate and the server certificate, and further, the second device can specify the certificate type requested by the first device, thereby accurately generating corresponding certificate.
  • the method further includes: the first certificate includes a client certificate and/or a server certificate; the client certificate further includes: DNS name; this server certificate also includes: DNS name.
  • the client certificate requested by the first device may also include a DNS name.
  • the method further includes: when the type of the first device is a security edge protection proxy SEPP, the DNS name contains the wildcard .
  • the DNS name included in the client certificate includes wildcards.
  • the above-mentioned second device is a Registration Authority RA/Certificate Authority CA.
  • a certificate management device is provided, and the wireless communication device executes the units of the method in the first aspect or various implementations thereof.
  • a certificate management device is provided, and the wireless communication device executes the units of the method in the second aspect or various implementations thereof.
  • a certificate management device including a processor and a memory, the memory is used to store a computer program, and the processor is used to call and run the computer program from the memory, so that the communication device executes the first or second Aspect, the communication method in the third aspect or the fourth aspect and various possible implementations thereof.
  • processors there are one or more processors, and one or more memories.
  • the memory can be integrated with the processor, or the memory can be set separately from the processor.
  • a certificate management system including one of the above-mentioned first device and second device.
  • a computer program product includes: a computer program (also called code, or instruction), when the computer program is executed, the computer executes the above-mentioned first aspect and the second aspect , the method in any possible implementation of the third aspect or the fourth aspect.
  • a computer program also called code, or instruction
  • a computer-readable medium stores a computer program (also referred to as code, or an instruction) which, when run on a computer, causes the computer to execute the above-mentioned first aspect and second aspect.
  • a computer program also referred to as code, or an instruction
  • a circuit system including a memory and a processor, the memory is used to store a computer program, and the processor is used to call and run the computer program from the memory, so that the communication device installed with the circuit system executes the above-mentioned
  • the method in any possible implementation manner of the first aspect, the second aspect, the third aspect, or the fourth aspect.
  • the circuit system may include an input circuit or interface for sending information or data, and an output circuit or interface for receiving information or data.
  • a circuit system configured to execute the method in any possible implementation manner of the first aspect, the second aspect, the third aspect, or the fourth aspect.
  • Fig. 1 shows a schematic diagram of a certificate management architecture 100 applicable to the embodiment of the present application.
  • FIG. 2 shows a schematic diagram of a network architecture 200 applicable to this embodiment of the present application.
  • Fig. 3 shows a schematic block diagram applicable to the certificate management method provided by the embodiment of the present application.
  • Fig. 4 shows a schematic interaction diagram applicable to the certificate management method provided by the embodiment of the present application.
  • FIG. 5 shows another schematic block diagram applicable to the certificate management method provided by the embodiment of the present application.
  • Fig. 6 shows another schematic interaction diagram applicable to the certificate management method provided by the embodiment of the present application.
  • Fig. 7 shows a schematic block diagram of a certificate management device applicable to the embodiment of the present application.
  • FIG. 8 shows a schematic architecture diagram of a certificate management device applicable to the embodiment of the present application.
  • the wireless communication systems mentioned in the embodiments of the present application include but are not limited to: long term evolution (long term evolution, LTE) system, LTE frequency division duplex (frequency division duplex, FDD) system, LTE time division duplex (time division duplex, TDD) ), Universal Mobile Telecommunications System (UMTS), Worldwide Interoperability for Microwave Access (WiMAX) Communication System, Fifth Generation (5th Generation, 5G) System, Future Sixth Generation (6th Generation) generation, 6G) or new wireless (new radio, NR), etc.
  • LTE long term evolution
  • LTE frequency division duplex frequency division duplex
  • FDD frequency division duplex
  • TDD time division duplex
  • UMTS Universal Mobile Telecommunications System
  • WiMAX Worldwide Interoperability for Microwave Access
  • the certificate management architecture 100 may include at least one network function network element, such as the network function network element 111 and the network function network element 112 shown in FIG. 1, and the communication system 100 may also include a certificate management function entity , such as the certificate management functional entity 121 shown in FIG. 1 .
  • the network function network elements under this architecture can be transport layer security clients and/or servers, different network function network elements under this architecture are in the same operator network, and different network function network elements may be provided by different suppliers Provided, each network function network element completes the certificate configuration by applying for a certificate from the certificate management function entity, and then realizes mutual authentication between different network function network elements through the secret key and algorithm included in the certificate, establishes a network connection, and realizes data security transmission.
  • FIG. 2 shows a schematic diagram of a network architecture 200 of the communication system of the present application.
  • the network architecture of the communication system includes but not limited to the following network elements:
  • User equipment can also be called: user equipment (user equipment, UE), mobile station (mobile station, MS), mobile terminal (mobile terminal, MT), access terminal, subscriber unit, subscriber station, Mobile station, mobile station, remote station, remote terminal, mobile device, user terminal, terminal, wireless communication device, user agent or user device, etc.
  • the user equipment may be a device that provides voice/data connectivity to the user, which is not limited in this embodiment of the present application.
  • Access device can be a device used to communicate with the user equipment, and the access device can also be called an access network device or a wireless access network device, for example, an access device It may be an evolved base station (evolved nodeB, eNB or eNodeB) in an LTE system, or a wireless controller in a cloud radio access network (cloud radio access network, CRAN) scenario, or the access device may be a relay station, Access points, in-vehicle devices, wearable devices, access devices in 5G networks or access devices in future evolved PLMN networks, etc., can be access points (access points, APs) in WLAN, or NR systems
  • the gNB in the embodiment of this application is not limited.
  • Access and mobility management function (access and mobility management function, AMF) network element: mainly used for mobility management and access management, etc., can be used to realize the mobility management entity (mobility management entity, MME) in the LTE system Functions other than session management, such as lawful interception and access authorization/authentication.
  • MME mobility management entity
  • the AMF network element provides services for the session in the user equipment, it will provide the session with storage resources on the control plane to store the session ID, the SMF network element ID associated with the session ID, and the like.
  • it can be used to implement functions of access and mobility management network elements.
  • Session management function session management function, SMF
  • SMF session management function
  • IP network interconnection protocol
  • Policy control policy control function
  • PCF policy control function
  • Unified data management unified data management, UDM
  • UDM Unified data management
  • network element mainly responsible for the processing of UE subscription data, including storage and management of user identification, user subscription data, authentication data, etc.
  • User plane function (UPF) network element it can be used for packet routing and forwarding, or quality of service (QoS) processing of user plane data, etc.
  • User data can be connected to a data network (data network, DN) through the network element, and user data can also be received from the data network and transmitted to the user equipment through the access network equipment.
  • the transmission resources and scheduling functions that provide services for user equipment in the UPF network element are managed and controlled by the SMF network element. In the embodiment of the present application, it can be used to realize the functions of the user plane network element.
  • Network exposure function network exposure function, NEF
  • NEF network exposure function
  • Application function Application function, AF network element: used for data routing influenced by applications, network elements with access network opening functions, or interacting with policy frameworks for policy control, etc., such as affecting data routing decisions, policy control functions Or provide some third-party services to the network side.
  • Network slice selection function network slice selection function, NSSF
  • NSSF network slice selection function
  • Authentication server function (authentication server function, AUSF) network element: supports 3GPP and non-3GPP access authentication.
  • Network repository function (NRF) network element support registration and discovery of network functions.
  • Unified data repository (UDR) network element store and obtain the contract data used by UDM and PCF.
  • the N2 interface is the reference point between the RAN and the AMF entity, which is used for sending NAS (non-access stratum, non-access stratum) messages, etc.
  • the N3 interface is the reference point between the RAN and UPF network elements, Used to transmit user plane data, etc.
  • the N4 interface is the reference point between the SMF network element and the UPF network element, and is used to transmit such information as the tunnel identification information of the N3 connection, data cache indication information, and downlink data notification messages.
  • the UE, (R)AN, UPF, and DN in FIG. 2 are generally referred to as data plane network functions and entities, and user data traffic can be transmitted through the PDU session established between the UE and the DN, and the transmission will pass through ( R)
  • the two network functional entities of AN and UPF; the other parts are called control plane network functions and entities, which are mainly responsible for functions such as authentication and authentication, registration management, session management, mobility management, and policy control. Realize reliable and stable transmission of user layer traffic.
  • the above-mentioned network architecture applied to the embodiment of the present application is only an example of a network architecture described from the perspective of a traditional point-to-point architecture and a service-oriented architecture, and the network architecture applicable to the embodiment of the present application is not limited thereto. Any network architecture capable of implementing the functions of the foregoing network elements is applicable to this embodiment of the present application.
  • the name of the interface between network elements in FIG. 2 is just an example, and the name of the interface in a specific implementation may be another name, which is not specifically limited in this application.
  • the name of the message (or signaling) transmitted between the above network elements is only an example, and does not constitute any limitation on the function of the message itself.
  • network element may also be referred to as an entity, device, device, or module, etc., which are not specifically limited in this application.
  • SMF SMF network element
  • SMF SMF network element
  • the above entity or function may be a network element in a hardware device, or a software function running on dedicated hardware, or a virtualization function instantiated on a platform (for example, a cloud platform).
  • the first device is an example of a functional device in a transport layer secure TLS connection.
  • the TLS connection is directional, so the functional device in the core network can act as a client, a server, or both a client and a server.
  • the first device when the first device serves as a client, it can apply for a client certificate.
  • the first device When the first device serves as a server, it can apply for a server certificate.
  • the first device can serve as both a client and a server, it can apply for a client certificate and a server certificate.
  • the first device may also serve as a service consumer, a service producer, or both a service consumer and a service producer.
  • the functional device may specifically be a network function NF, which refers to a network function in the core network.
  • NF refers to a network function in the core network.
  • SMF Session Management Function
  • AMF Access Management Function
  • AUSF User Plane Function
  • UDM User Data Management Function
  • the NF can apply for different types of certificates according to different device function types.
  • the device function type can be understood as whether the NF can act as a client and/or a server.
  • SEPP security edge protection proxy
  • the function type is that it can be used as a client and/or server, and it needs to support DNS containing wildcards
  • the ordinary client certificate and/or the ordinary server certificate can be understood as certificates that do not include DNS names containing wildcards.
  • the second device is an example of an RA/CA mechanism of an operator.
  • RA is a certificate registration authority, a unified certificate application entity trusted by the certificate authority CA, used for aggregation and forwarding of certificate requests, and is usually coupled with CA.
  • CA is a certificate issuing authority responsible for issuing certificates, authenticating certificates, and managing issued certificates.
  • the RA/CA mechanism may be set independently or coupled, which is not limited in the embodiment of the present application.
  • the RA/CA is an RA/CA organization trusted or designated by the operator, which is not limited in the embodiment of the present application.
  • the first device discovers the RA/CA of the operator in the operator's network, the first device may complete the first pre-configuration, and the RA/CA may complete the second pre-configuration.
  • the first pre-configuration includes: instantiation of the first device, pre-configuration of the manufacturer's certificate, and configuration of the manufacturer's public-private key pair.
  • the first device it needs to be instantiated.
  • This instantiation can be understood as, for example, the NF provided by the manufacturer needs to meet the specific configuration of the operator's network, and specific parameters can be configured and related settings can be completed according to the specific requirements of the operator.
  • the instantiated NF can basically be understood as the NF that satisfies the operator's network, and the instantiation method is basically consistent with the prior art. For the sake of simplicity, the embodiments of the present application are not described here.
  • the manufacturer certificate is preconfigured on the first device by the manufacturer of the first device.
  • the manufacturer certificate of the first device may also be preconfigured in other ways, which is not limited in this embodiment of the present application.
  • the manufacturer's public-private key pair may be pre-configured by the first device, or may be generated locally.
  • the specific pre-configuration manner of the manufacturer's public-private key pair is not limited in this embodiment of the present application.
  • the second pre-configuration includes: pre-configuring the RA/CA of the operator with the root certificates of all vendors in the operator's network and the root certificate of the operator.
  • the RA/CA of the operator is pre-configured with the root certificates of all manufacturers in the operator's network.
  • the root certificate verifies the vendor certificate.
  • the preconfigured content of the first device and the second device may also include other parts, which are not limited in this embodiment of the present application.
  • FIG. 3 is a schematic block diagram of a certificate management method provided in an embodiment of the present application.
  • the method 300 may include the following steps:
  • the first device sends a request message, where the request message is used to request the first certificate from the second device.
  • the first device as a functional device in the core network, can apply for a corresponding type of certificate from the RA/CA for the type of the first device.
  • the first device sends a request message to the second device, where the request message is specifically used to request the first certificate from the second device, and the request message includes the instance ID of the first device, the fully qualified domain name of the first device, and One or more of the types of the first device.
  • the type of the first certificate includes: a client certificate and/or a server certificate, a client certificate containing a wildcard DNS name, and/or a server certificate containing a wildcard DNS name.
  • the function type of the first device is a transport layer security client
  • the type of the first certificate is a client certificate
  • the function type of the first device is a transport layer security server
  • the type of the first certificate is a server certificate
  • the function type of the first device is a transport layer security client and a transport layer security server
  • types of the first certificate are a client certificate and a server certificate.
  • the first device determines that the type of the first device is SEPP, and then the type of the first certificate is a client certificate containing a wildcard DNS name and/or a server certificate containing a wildcard DNS name Certificate.
  • the first device determines that the type of the first device is other than SEPP, and then the first device determines that the type of the first certificate is a client certificate and/or a server certificate.
  • the first device generates a corresponding request message according to the foregoing first certificate type.
  • the first device is a transport layer security client
  • the first certificate is a client certificate
  • the request message includes the instance ID of the first device, the fully qualified domain name (FQDN) of the first device, and the ID of the first device. one or more of the types.
  • the request message includes first indication information, where the first indication information is used to request a client certificate.
  • the first device is a transport layer security server
  • the first certificate is a server certificate
  • the request message further includes a first Hypertext Transfer Security Protocol Uniform Resource Identifier HTTPS URI
  • the first HTTPS URI is used for identifying service resources provided by the first device
  • the request message also includes a second HTTPS URI, and the second HTTPS URI is used to identify the callback service resource provided by the first device.
  • the request message when the first device serves as a transport layer security server and can serve as a service producer, the request message includes the first HTTPS URI; when the first device serves as a transport layer security server and can serve as a service consumer, the request message includes the first HTTPS URI; The message includes a second HTTPS URI; when the first device is used as a transport layer security server and can be used as a service producer and a service consumer, the request message includes the first HTTPS URI and the second HTTPS URI.
  • the request message includes second indication information, where the first indication information is used to request the server certificate.
  • the first device is a transport layer security client and also serves as a transport layer security server
  • the first certificate is a client certificate and a server certificate
  • the request message also includes a first HTTPS URI
  • the first The HTTPS URI is used to identify the service resource provided by the first device
  • the request message also includes a second HTTPS URI, and the second HTTPS URI is used to identify the callback service resource provided by the first device.
  • the request message when the first device serves as a transport layer security server and can serve as a service producer, the request message includes the first HTTPS URI; when the first device serves as a transport layer security server and can serve as a service consumer, the request message includes the first HTTPS URI; The message includes a second HTTPS URI; when the first device is used as a transport layer security server and can be used as a service producer and a service consumer, the request message includes the first HTTPS URI and the second HTTPS URI.
  • the request message includes third indication information, where the third indication information is used to request the client certificate and the server certificate.
  • the request message may also include a DNS name.
  • the operator may configure the current DNS name on the second device through local configuration. There may be only one or multiple DNS names. If there are multiple DNSs, the second device determines the name of the DNS corresponding to the first device according to the configured correspondence between the manufacturer and the DNS.
  • the first certificate requested by the first device includes a client certificate containing a wildcard DNS name and/or a server certificate containing a wildcard DNS name, and further, the request message may also include Wildcard DNS name.
  • the operator may configure the current DNS name containing wildcards on the second device through local configuration. There may be only one or multiple DNSs containing wildcards. If there are multiple DNSs containing wildcards, the second device determines the name of the DNS containing wildcards corresponding to the first device according to the configured correspondence between manufacturers and DNSs containing wildcards.
  • the DNS name may contain wildcards.
  • the request message may include first information, where the first information includes one or more of the instance ID of the first device, the fully qualified domain name (FQDN) of the first device, and the type of the first device. kind.
  • first information includes one or more of the instance ID of the first device, the fully qualified domain name (FQDN) of the first device, and the type of the first device. kind.
  • the first information may further include first indication information, where the first indication information is used to request the foregoing client certificate.
  • the above request message may include second information, where the second information includes one or more of the instance ID of the first device, the fully qualified domain name (FQDN) of the first device, and the type of the first device. , and the first HTTPS URI and/or the second HTTPS URI above.
  • the second information may further include second indication information, where the second indication information is used to request the foregoing server certificate.
  • the foregoing request message may include the foregoing first information and second information.
  • the above request message may further include third indication information, where the third indication information is used to request the client certificate and the server certificate.
  • first indication information, second indication information and third indication information are used to indicate the certificate type of a specific application.
  • the second The device can judge the certificate type applied by the first device according to the type of the first device included in the request message, or the second device can judge the first The certificate type applied by the device; or the second device may determine the certificate type applied by the first device based on the difference between the first information in the request message and/or the information contained in the second information.
  • the third indication information may also indicate to use the first information to generate the client certificate, and to use the second information to generate the server certificate.
  • the first device may use a preconfigured private key of the manufacturer to sign the request message to generate first signature information, and the request message also includes the first signature information and the preconfigured manufacturer certificate.
  • the second device generates a first certificate according to the request message, and sends a first response message.
  • the second device may use the public key included in the manufacturer's certificate sent by the first device to verify the first signature information included in the request message.
  • the second device may verify correctness of the information of the first device in the request message. Specifically, one or more of the following methods can be used:
  • Method 1 The second device verifies whether the FQDN of the first device in the request message is consistent with the FQDN of the first device in the certificate of the first device;
  • Mode 2 The second device verifies whether the type of the first device in the request message is consistent with the type of the first device in the first device certificate;
  • Mode 3 After the second device determines the type of the first device in the request message or the type of the first device in the certificate of the first device, it verifies whether the certificate requested by the first device is correct according to the type of the first device.
  • the second device may verify whether the certificate requested by the first device is a client certificate including a DNS name containing wildcards and/or a server certificate including a domain name server DNS name containing wildcards;
  • the second device may verify whether the certificate requested by the first device is the aforementioned client certificate and/or server certificate.
  • the second device determines whether to execute this step according to the security requirements of the first device.
  • the first device is a network function in a bank or a sophisticated industrial network, and the first device has high security requirements. Then, the second device performs the step. It should be understood that the manner in which the second device determines the security requirement of the first device is not limited in this embodiment of the present application.
  • the second device After the second device verifies that the request message and the type of the first device requested by the request message are correct, the second device generates the first certificate according to the request message.
  • the second device determines the type of the first certificate requested by the first device according to information included in the request message.
  • the request message includes one or more of the instance ID of the first device, the fully qualified domain name of the first device, and the type of the first device, and the second device generates a client certificate.
  • the first device A device may be a TLS client.
  • the generated client certificate includes: one or more of the instance ID of the first device, the DNS name, the fully qualified domain name of the first device, and the type of the first device.
  • the request message may also include the first HTTPS URI and/or the second HTTPS URI, then the second device generates a server certificate, in this case, the first device may be a transport layer security server.
  • the generated server certificate may include: one or more of the instance ID of the first device, the fully qualified domain name of the first device, the DNS name, the type of the first device, and the first HTTPS URI and/or the second HTTPS URI.
  • the request message may also include the first HTTPS URI and/or the second HTTPS URI, then the second device generates a client certificate and a server certificate, in this case, the first device may be a transport layer security server and a client.
  • the contents of the generated client certificate and server certificate are consistent with the above.
  • the client certificate and/or server certificate generated by the second device further includes the DNS name including wildcards.
  • the second device determines the type of the first certificate requested by the first device according to the first indication information and/or the second indication information and/or the third indication information in the request message.
  • the second device if the request message includes the first indication information, the second device generates a client certificate based on the information contained in the request message.
  • the first device may be a transport layer security client.
  • the second device if the request message includes the second indication information, the second device generates a server certificate based on the information included in the request message.
  • the first device may be a transport layer security server.
  • the second device if the request message includes the first indication information and the second indication information, or contains the third indication information, then the second device generates a client certificate and a server certificate based on the information contained in the request message.
  • the first Devices can be TLS clients and TLS servers.
  • the second device determines the type of the first certificate requested by the first device according to the first information and/or the second information in the request message.
  • the second device if the request message includes the first information, the second device generates a client certificate in combination with the first information.
  • the first device may be a TLS client.
  • the second device if the request message includes the second information, the second device generates a server certificate in combination with the second information.
  • the first device may be a transport layer security server.
  • the second device combines the first information and the second information to generate a client certificate and a server certificate.
  • the first device may be a transport layer security server and a transport layer security client.
  • the second device determines the type of the first certificate requested by the first device according to specific content of the request message.
  • the second device if the request message includes the first HTTPS URI and/or the second HTTPS URI, the second device generates a client certificate.
  • the first device may be a TLS client.
  • the second device if the request message includes the first HTTPS URI and/or the second HTTPS URI, then the second device generates a server certificate.
  • the first device may be a transport layer security server.
  • the second device For example, if the request message contains the first HTTPS URI and/or the second HTTPS URI, the second device generates a client certificate and a server certificate.
  • the first device may be a transport layer security server and a transport layer security client .
  • the second device For example, if the request message further includes a DNS name containing a wildcard, then the second device generates a client certificate and/or a server certificate containing a DNS name containing a wildcard.
  • the second device may determine the type of the first certificate requested by the first device in combination with any one or more of the foregoing implementation manners.
  • the second device For example, if the request message contains the first HTTPS URI and/or the second HTTPS URI, and the request message also contains the third indication information, then the second device generates a client certificate and a server certificate.
  • the first device may be TLS server and TLS client.
  • the first certificate generated by the second device may include specific information in the request message of the first device.
  • the first certificate includes a client certificate and/or a server certificate.
  • the client certificate includes: one or more of the instance ID of the first device, the FQDN of the first device, the DNS name, and the type of the first device;
  • the server certificate includes: one or more of the instance ID of the first device, the first HTTPS URI, the second HTTPS URI, the FQDN of the first device, the type of the first device, and the DNS name.
  • the DNS name contains wildcards.
  • the second device generates a response message according to the generated first certificate, where the response message includes the first certificate.
  • the second device may use the private key of the second device to sign the response message to generate second signature information.
  • the first response message may also include the second signature information and the certificate of the second device.
  • the first device receives a first response message, where the first response message includes the first certificate.
  • the first device receives the first response message, and in the case that the second device uses the key signature, uses the public key contained in the certificate of the first device in the first response message to verify the first response message, and verifies After passing, save the first certificate, and save the certificate of the second device and the manufacturer's root certificate.
  • Fig. 4 is a schematic interaction diagram of a certificate management method provided by an embodiment of the present application.
  • the method 400 in FIG. 4 is a specific implementation step corresponding to the method 300 in FIG. 3 .
  • the method shown in FIG. 4 may include steps S401-S409, and the steps S401-S409 will be described in detail below.
  • the first device is the NF provided by the manufacturer A, and the first device is in the carrier network W.
  • the above is only an exemplary description, and does not limit the embodiment of the present application.
  • the first device discovers the RA/CA of the operator in the operator network W, that is, the second device, and the first device may complete the first pre-configuration.
  • the first pre-configuration includes: instantiation of the first device, pre-configuration of vendor A's certificate, and configuration of vendor A's public-private key pair.
  • the second pre-configuration includes: pre-configuring the root certificates of all manufacturers in the operator network and the root certificate of the operator W.
  • root certificates of all vendors in the above operator network include the root certificate of the above vendor A.
  • Step S401 the first device generates a first request message.
  • the first device may determine the type of the requested first certificate according to its function type.
  • the function type of the first device is a transport layer security client
  • the type of the first certificate is a client certificate
  • the function type of the first device is a transport layer security server
  • the type of the first certificate is a server certificate
  • the function type of the first device is a transport layer security client and a transport layer security server
  • types of the first certificate are a client certificate and a server certificate.
  • the first device determines that the type of the first device is SEPP, and then the type of the first certificate is a client certificate containing a wildcard DNS name and/or a server certificate containing a wildcard DNS name Certificate.
  • the first device determines that the type of the first device is other than SEPP, and then the first device determines that the type of the first certificate is a client certificate and/or a server certificate.
  • the first device generates the first request message according to the determined type of the first certificate.
  • the type of the first certificate includes: a client certificate and/or a server certificate, a client certificate containing a wildcard DNS name, and/or a server certificate containing a wildcard DNS name.
  • the first device is a transport layer security client
  • the first certificate is a client certificate
  • the first request message includes the instance ID of the first device, the fully qualified domain name FQDN of the first device, and the first One or more of the types of devices.
  • the first request message includes first indication information, where the first indication information is used to request a client certificate.
  • the first device is a transport layer security server
  • the first certificate is a server certificate
  • the first request message further includes a first HTTPS URI
  • the first HTTPS URI is used to identify the service provided by the first device resources
  • the first request message also includes a second HTTPS URI, and the second HTTPS URI is used to identify the callback service resource provided by the first device.
  • the request message when the first device serves as a transport layer security server and can serve as a service producer, the request message includes the first HTTPS URI; when the first device serves as a transport layer security server and can serve as a service consumer, the request message includes the first HTTPS URI; The message includes a second HTTPS URI; when the first device is used as a transport layer security server and can be used as a service producer and a service consumer, the request message includes the first HTTPS URI and the second HTTPS URI.
  • the first request message includes second indication information, where the second indication information is used to request the server certificate.
  • the first device is a transport layer security client and also serves as a transport layer security server
  • the first certificate is a client certificate and a server certificate
  • the first request message also includes a first HTTPS URI
  • the first HTTPS URI is used to identify the service resource provided by the first device; and/or,
  • the first request message also includes a second HTTPS URI, and the second HTTPS URI is used to identify the callback service resource provided by the first device.
  • the request message when the first device serves as a transport layer security server and can serve as a service producer, the request message includes the first HTTPS URI; when the first device serves as a transport layer security server and can serve as a service consumer, the request message includes the first HTTPS URI; The message includes a second HTTPS URI; when the first device is used as a transport layer security server and can be used as a service producer and a service consumer, the request message includes the first HTTPS URI and the second HTTPS URI.
  • the first request message includes third indication information, where the third indication information is used to request the client certificate and the server certificate.
  • the first request message may also include a DNS name.
  • the request message may include first information, where the first information includes one or more of the instance ID of the first device, the fully qualified domain name (FQDN) of the first device, and the type of the first device. kind.
  • first information includes one or more of the instance ID of the first device, the fully qualified domain name (FQDN) of the first device, and the type of the first device. kind.
  • the above request message may include second information, where the second information includes one or more of the instance ID of the first device, the fully qualified domain name (FQDN) of the first device, and the type of the first device. , and the first HTTPS URI and/or the second HTTPS URI above.
  • the foregoing request message may include the foregoing first information and second information.
  • first indication information may also be included in the first information, and the first indication information is used to indicate that the client certificate is requested.
  • the second indication information may also be included in the second information, and the first indication information is used to indicate that the server certificate is requested.
  • the first request message may further include third indication information, where the third indication information is used to request the client certificate and the server certificate.
  • first indication information, second indication information and third indication information are used to indicate the certificate type of a specific application.
  • the second The device can judge the certificate type applied by the first device according to the type of the first device included in the request message, or the second device can judge the first The certificate type applied by the device; or the second device may determine the certificate type applied by the first device based on the difference between the first information in the request message and/or the information contained in the second information.
  • Step S402 the first device sends a first request message.
  • the first device sends a first request message to the second device, and can sign the first request message with the private key of manufacturer A to generate the first signature information, and the request message also includes the first signature information and the certificate of manufacturer A .
  • Step S403 the second device verifies the digital signature contained in the first request message.
  • the second device receives the first request message, and verifies the first signature information contained in the first request message by using the public key included in the certificate of manufacturer A sent by the first device.
  • Step S404 the second device verifies the authenticity of the first device type information in the first request message.
  • the first device verifies whether the device type requested in the first request message is the first certificate corresponding to the first device type, so as to ensure the correctness of the certificate applied for by the first device.
  • This step is basically the same as the corresponding step in step S302 of the method 300, and for the sake of brevity, the embodiment of the present application will not repeat it here.
  • the second device determines whether to execute this step according to the security requirements of the first device.
  • the first device is a network function in a bank or a sophisticated industrial network, and the first device has high security requirements. Then, the second device performs the step. It should be understood that the manner in which the second device determines the security requirement of the first device is not limited in this embodiment of the present application.
  • Step S405 the second device generates a first certificate according to the first request message.
  • the first request message includes one or more of the instance ID of the first device, the fully qualified domain name of the first device, and the type of the first device, and the second device generates a client certificate , in this case, the first device may be a TLS client.
  • the generated client certificate includes: one or more of the instance ID of the first device, the DNS name, the fully qualified domain name of the first device, and the type of the first device.
  • the first request message may also include the first HTTPS URI and/or the second HTTPS URI, then the second device generates a server certificate, in this case, the first device may be a transport layer security server.
  • the generated server certificate may include: one or more of the instance ID of the first device, the fully qualified domain name of the first device, the DNS name, the type of the first device, and the first HTTPS URI and/or the second HTTPS URI.
  • the first request message may also include the first HTTPS URI and/or the second HTTPS URI, then the second device generates a client certificate and a server certificate, in this case, the first device may be a transport layer security server and a client end.
  • the contents of the generated client certificate and server certificate are consistent with the above.
  • the first request message includes a first HTTPS URI
  • the first device can be used as a transport layer security server, and can be used as a service producer
  • the first request message includes a second HTTPS URI
  • the first device is used as a transport layer security server, and Can be used as a service consumer
  • the first request message includes a first HTTPS URI and a second HTTPS URI
  • the first device is used as a transport layer security server, and can be used as a service producer and a service consumer.
  • the client certificate and/or server certificate generated by the second device may further include the DNS name including wildcards.
  • the second device determines the type of the first certificate requested by the first device according to the first indication information and/or the second indication information and/or the third indication information in the first request message.
  • the second device if the first request message includes the first indication information, the second device generates a client certificate based on the information included in the request message.
  • the first device may be a TLS client.
  • the second device if the first request message includes the second indication information, the second device generates a server certificate based on the information included in the request message.
  • the first device may be a transport layer security server.
  • the first request message includes the third indication information, or includes the first indication information and the second indication information
  • the second device generates a client certificate and a server certificate based on the information included in the request message, in this case,
  • the first device may be a TLS client and a TLS server.
  • the second device determines the type of the first certificate requested by the first device according to the first information and/or the second information in the request message.
  • the second device if the first request message includes the first information, the second device generates a client certificate in combination with the first information.
  • the first device may be a TLS client.
  • the second device if the request message includes the second information, the second device generates a server certificate in combination with the second information.
  • the first device may be a transport layer security server.
  • the second device combines the first information and the second information to generate a client certificate and a server certificate.
  • the first device may be a transport layer security server and Transport Layer Security clients.
  • the second device determines the type of the first certificate requested by the first device according to specific content of the request message.
  • the second device if the first request message includes the first HTTPS URI and/or the second HTTPS URI, the second device generates a client certificate.
  • the first device may be a TLS client.
  • the second device For example, if the first request message includes the first HTTPS URI and/or the second HTTPS URI, then the second device generates a server certificate.
  • the first device may be a transport layer security server.
  • the second device For example, if the first request message contains the first HTTPS URI and/or the second HTTPS URI, then the second device generates a client certificate and a server certificate.
  • the first device may be a TLS server and a TLS server. client.
  • the second device For example, if the first request message further includes a DNS name containing a wildcard, then the second device generates a client certificate and/or a server certificate containing a DNS name containing a wildcard.
  • the second device may determine the type of the first certificate requested by the first device in combination with any one or more of the foregoing implementation manners.
  • the second device For example, if the request message contains the first HTTPS URI and/or the second HTTPS URI, and the request message also contains the third indication information, then the second device generates a client certificate and a server certificate.
  • the first device may be TLS server and TLS client.
  • the first certificate generated by the second device may include specific information in the request message of the first device.
  • the first certificate includes a client certificate and/or a server certificate.
  • the client certificate includes: one or more of the instance ID of the first device, the FQDN of the first device, the DNS name, and the type of the first device;
  • the server certificate includes: one or more of the instance ID of the first device, the first HTTP URI, the second HTTPS URI, the FQDN of the first device, the type of the first device, and the DNS name.
  • the DNS name includes the wildcard.
  • Step S406 the second device generates a first response message, which includes the first certificate, and signs the message.
  • the second device generates a first response message according to the generated first certificate, where the first response message includes the generated first certificate.
  • the second device signs the first response message by using the private key of the second device to generate second signature information.
  • the first response message may also include the second signature information and the certificate of the second device.
  • Step S407 the second device sends a first response message.
  • the first response message also includes the certificate of the second device and the root certificate of the operator W.
  • Step S408 the first device authenticates the first response message, and saves the first certificate.
  • the first device receives the first response message, and in the case that the second device uses the key signature, uses the public key contained in the certificate of the first device in the first response message to verify the first response message , save the certificate of the second device and the root certificate of the operator W after the verification is passed.
  • Step S409 Confirm the first certificate.
  • a certificate confirmation process may be performed between the first device and the second device to notify the second device whether the above-mentioned first certificate is correctly issued to the first device.
  • the network function NF can apply for a corresponding certificate from the RA/CA organization according to the function type of its own equipment, so that certificate configuration can be implemented for different NF types in the 5G SBA scenario.
  • the second device may be a device capable of configuring a client certificate, or a device capable of configuring a server certificate, or a device configured with both a client certificate and a server certificate in the above description.
  • the second device may only be able to provide the configuration of the client certificate, or may only be able to provide the configuration of the server certificate.
  • the first device may also be used for the first device to only apply for a client certificate or a server certificate.
  • the following method 500 is an illustration of the first device applying for a client certificate.
  • Fig. 5 is another schematic interaction diagram of the certificate management method provided by the embodiment of the present application, and the method 500 may include the following steps: S501-S510.
  • This step is the same as the method of S400(a), and for the sake of simplicity, details are not described here.
  • This step is the same as the method of S400(b), and for the sake of simplicity, details are not described here.
  • Step S501 the first device determines whether to apply for a client certificate.
  • Step S502 Generate a second request message, where the second request message includes a second certificate type.
  • Step S503 Send a second request message, and sign the second request message.
  • Step S504 Verify the digital signature included in the second request message.
  • Step S505 Verify the authenticity of the first device type information in the second request message.
  • Step S506 Generate a second certificate according to the second request message.
  • Step S507 Generate a second response message, which includes the second certificate, and sign the message.
  • Step S508 Send a second response message.
  • Step S509 Authenticate the second response message, and install the second certificate.
  • Step S510 Confirm the second certificate.
  • steps S501-S510 are the same as steps S401-S410 of the method 400, the difference is that in this embodiment, the certificate applied for by the first device is the second certificate, and the second certificate refers to the The layer security client applies for a client certificate, so the second request message only includes the information required by the client certificate, and the generated second response message also includes only the client certificate.
  • the methods are basically the same. To avoid repetition, I will not repeat them here. .
  • the following method 600 is an illustration of the first device applying for a server certificate.
  • Fig. 6 is another schematic interaction diagram of a certificate management method provided by an embodiment of the present application.
  • the method 600 may include the following steps: S601-S610.
  • This step is the same as the method of S400(a), and for the sake of simplicity, details are not described here.
  • This step is the same as the method of S400(b), and for the sake of simplicity, details are not described here.
  • Step S601 the first device determines whether to apply for a client certificate.
  • Step S602 Generate a third request message, where the third request message includes a third certificate type.
  • Step S603 Send a third request message, and sign the third request message.
  • Step S604 Verify the digital signature included in the third request message.
  • Step S605 Verify the authenticity of the first device type information in the third request message.
  • Step S606 Generate a third certificate according to the third request message.
  • Step S607 Generate a second response message, which includes the third certificate, and sign the message.
  • Step S608 Send a second response message.
  • Step S609 Authenticate the second response message, and install the third certificate.
  • Step S610 Confirm the third certificate.
  • steps S601-S610 above are the same as steps S401-S409 of the method 400, the difference is that in this embodiment, the certificate applied for by the first device is the third certificate, and the third certificate refers to the The layer security server applies for a server certificate, so the third request message only includes the information required by the server certificate, and the generated second response message also only includes the server certificate.
  • the method is basically the same, and will not be repeated to avoid repetition.
  • the network function NF can apply for a corresponding certificate from the RA/CA organization according to the function type of its own equipment, so that certificate configuration can be implemented for different NF types in the 5G SBA scenario.
  • the methods and operations implemented by the user equipment may also be implemented by components (such as chips or circuits) that can be used for the user equipment, and implemented by access network equipment (such as RAN nodes)
  • the methods and operations can also be implemented by components (such as chips or circuits) that can be used in access network equipment.
  • each network element such as a transmitting end device or a receiving end device, includes a corresponding hardware structure and/or software module for performing each function in order to realize the above functions.
  • the present application can be implemented in the form of hardware or a combination of hardware and computer software. Whether a certain function is executed by hardware or computer software drives hardware depends on the specific application and design constraints of the technical solution. Those skilled in the art may use different methods to implement the described functions for each specific application, but such implementation should not be regarded as exceeding the scope of the present application.
  • the embodiment of the present application can divide the functional modules of the transmitting end device or the receiving end device according to the above method example, for example, each functional module can be divided corresponding to each function, or two or more functions can be integrated into one processing module middle.
  • the above-mentioned integrated modules can be implemented in the form of hardware or in the form of software function modules. It should be noted that the division of modules in the embodiment of the present application is schematic, and is only a logical function division, and there may be other division methods in actual implementation. In the following, the description will be made by taking the division of each functional module corresponding to each function as an example.
  • Fig. 7 is a schematic block diagram of a certificate management device provided by an embodiment of the present application.
  • the certificate management device 700 includes a sending unit 710 , a processing unit 720 and a receiving unit 730 .
  • the sending unit 710 and the receiving unit 730 may implement corresponding communication functions, and the processing unit 720 is configured to perform data processing, so that the communication device implements the foregoing method embodiments.
  • the sending unit 710 and the receiving unit 730 may also be referred to as communication interfaces or communication units.
  • the certificate management apparatus 700 may correspond to the first device in the methods 300, 400, 500, and 600 according to the embodiments of the present application.
  • the certificate management apparatus 700 may include units for executing the methods performed by the terminal device in the methods 300-600 in FIG. 3 to FIG. 6 .
  • the units in the certificate management apparatus 700 and the above-mentioned other operations and/or functions are respectively intended to implement the corresponding processes in the methods 300-600 in FIG. 3 to FIG. 6 .
  • the sending unit 710 can be used to execute S301 in the method 300 ; the receiving unit 730 can be used to execute S303 in the method 300 .
  • the sending unit 730 can be used to execute S403 in the method 400; S401, S402, and S409.
  • the receiving unit 710 can be used to execute S503 in the method 500; the processing unit 720 can be used to execute S501, S502 and S509 in the method 500; the sending unit 730 can be used to execute S503 in the method 500.
  • the receiving unit 710 can be used to execute S603 in the method 600; the processing unit 720 can be used to execute S601, S602 and S609 in the method 600; the sending unit 730 can be used to execute S603 in the method 600. It should be understood that the specific process for each unit to perform the above corresponding steps has been described in detail in the above method embodiments, and for the sake of brevity, details are not repeated here.
  • the certificate management apparatus 700 may correspond to the second device in the methods 300, 400, 500, and 600 according to the embodiments of the present application.
  • the certificate management apparatus 700 may include units for executing the methods performed by the terminal device in the methods 300-600 in FIG. 3 to FIG. 6 .
  • the units in the certificate management apparatus 700 and the above-mentioned other operations and/or functions are respectively intended to implement the corresponding processes in the methods 300-600 in FIG. 3 to FIG. 6 .
  • the processing unit 720 can be used to execute S302 in the method 300 .
  • the sending unit 730 can be used to execute S407 in the method 400; S403, S404, S405, and S406.
  • the receiving unit 710 can be used to execute S503 in the method 500; the processing unit 720 can be used to execute S504, S505, S506 and S507 in the method 500; the sending unit 730 can be used to Step S508 in the method 500 is executed.
  • the certificate management device 700 is used to execute the method 600 in FIG.
  • the receiving unit 710 can be used to execute S603 in the method 600; the processing unit 720 can be used to execute S604, S605, S606 and S607 in the method 600; the sending unit 730 can be used to Step S608 in the method 600 is executed. It should be understood that the specific process for each unit to perform the above corresponding steps has been described in detail in the above method embodiments, and for the sake of brevity, details are not repeated here.
  • the processing unit 720 in the above embodiments may be implemented by at least one processor or processor-related circuits.
  • the transceiver unit 710 may be implemented by a transceiver or transceiver-related circuits.
  • the transceiver unit 710 may also be referred to as a communication unit or a communication interface.
  • the storage unit can be realized by at least one memory.
  • the embodiment of the present application also provides a certificate management apparatus 800 .
  • the certificate management device 800 includes a processor 810, a transceiver 830, the processor 810 is coupled with a memory 820, the memory 820 is used to store computer programs or instructions and/or data, and the processor 810 is used to execute the computer programs or instructions stored in the memory 820 and/or data.
  • the certificate management apparatus 800 includes one or more processors 810 .
  • the certificate management apparatus 800 may further include a memory 820 .
  • the certificate management apparatus 800 may include one or more storages 820 .
  • the memory 820 may be integrated with the processor 810, or set separately.
  • the relay communication apparatus 800 is configured to implement the operations performed by the first device in the above method embodiments.
  • the processor 810 is configured to implement processing-related operations performed by the first device in the above method embodiments.
  • the certificate management apparatus 800 is configured to implement the operations performed by the second device in the above method embodiments.
  • the processor 810 is configured to implement processing-related operations performed by the second device in the above method embodiments.
  • a processor may be an integrated circuit chip with signal processing capabilities.
  • each step of the above-mentioned method embodiments may be completed by an integrated logic circuit of hardware in a processor or instructions in the form of software.
  • the above-mentioned processor can be a general-purpose processor, a digital signal processor (Digital Signal Processor, DSP), an application-specific integrated circuit (Application Specific Integrated Circuit, ASIC), an off-the-shelf programmable gate array (Field Programmable Gate Array, FPGA) or other available Program logic devices, discrete gate or transistor logic devices, discrete hardware components.
  • DSP Digital Signal Processor
  • ASIC Application Specific Integrated Circuit
  • FPGA Field Programmable Gate Array
  • a general-purpose processor may be a microprocessor, or the processor may be any conventional processor, or the like.
  • the steps of the method disclosed in connection with the embodiments of the present application may be directly implemented by a hardware decoding processor, or implemented by a combination of hardware and software modules in the decoding processor.
  • the software module can be located in a mature storage medium in the field such as random access memory, flash memory, read-only memory, programmable read-only memory or electrically erasable programmable memory, register.
  • the storage medium is located in the memory, and the processor reads the information in the memory, and completes the steps of the above method in combination with its hardware.
  • the memory in the embodiments of the present application may be a volatile memory or a nonvolatile memory, or may include both volatile and nonvolatile memories.
  • the non-volatile memory can be read-only memory (Read-Only Memory, ROM), programmable read-only memory (Programmable ROM, PROM), erasable programmable read-only memory (Erasable PROM, EPROM), electronically programmable Erase Programmable Read-Only Memory (Electrically EPROM, EEPROM) or Flash.
  • the volatile memory can be Random Access Memory (RAM), which acts as external cache memory.
  • RAM Static Random Access Memory
  • SRAM Static Random Access Memory
  • DRAM Dynamic Random Access Memory
  • Synchronous Dynamic Random Access Memory Synchronous Dynamic Random Access Memory
  • SDRAM double data rate synchronous dynamic random access memory
  • Double Data Rate SDRAM, DDR SDRAM enhanced synchronous dynamic random access memory
  • Enhanced SDRAM, ESDRAM synchronous connection dynamic random access memory
  • Synchlink DRAM, SLDRAM Direct Memory Bus Random Access Memory
  • Direct Rambus RAM Direct Rambus RAM
  • sequence numbers of the above-mentioned processes do not mean the order of execution, and the execution order of the processes should be determined by their functions and internal logic, and should not be used in the embodiments of the present application.
  • the implementation process constitutes any limitation.
  • the disclosed systems, devices and methods may be implemented in other ways.
  • the device embodiments described above are only illustrative.
  • the division of the units is only a logical function division. In actual implementation, there may be other division methods.
  • multiple units or components can be combined or May be integrated into another system, or some features may be ignored, or not implemented.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be through some interfaces, and the indirect coupling or communication connection of devices or units may be in electrical, mechanical or other forms.
  • the units described as separate components may or may not be physically separated, and the components shown as units may or may not be physical units, that is, they may be located in one place, or may be distributed to multiple network units. Part or all of the units can be selected according to actual needs to achieve the purpose of the solution of this embodiment.
  • each functional unit in each embodiment of the present application may be integrated into one processing unit, each unit may exist separately physically, or two or more units may be integrated into one unit.
  • the functions described above are realized in the form of software function units and sold or used as independent products, they can be stored in a computer-readable storage medium.
  • the technical solution of the present application is essentially or the part that contributes to the prior art or the part of the technical solution can be embodied in the form of a software product, and the computer software product is stored in a storage medium, including Several instructions are used to make a computer device (which may be a personal computer, a server, or a network device, etc.) execute all or part of the steps of the methods described in the various embodiments of the present application.
  • the aforementioned storage media include: U disk, mobile hard disk, read-only memory (ROM, Read-Only Memory), random access memory (RAM, Random Access Memory), magnetic disk or optical disc, etc., which can store program codes. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本申请提供了一种证书管理方法，该方法包括：第一设备发送请求消息，该请求消息用于向第二设备请求第一证书，该请求消息包括第一设备的实例ID、第一设备的完全限定域名及第一设备的类型中的一种或多种；第一设备接收响应消息，该响应消息包含上述第一证书，该第一证书包括第一设备的实例ID、第一设备的完全限定域名及第一设备的类型中的一种或多种。第二设备根据请求消息包括的信息生成对应的第一证书，使得生成的证书包含符合要求的信息，从而生成满足要求的证书。

Description

一种证书管理方法和装置
本申请要求于2021年8月6日提交中国专利局、申请号为202110904514.X、申请名称为“一种证书管理方法和装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请涉及通信领域，并且更具体地，涉及一种证书管理方法和装置。
背景技术
在第五代(5 generation；5G)移动通信系统中，采用服务化架构(service based architecture；SBA)作为基础架构，实现5G系统的高效化、软件化和开放化。基于该SBA架构，将网络功能定义为若干个可被灵活调用的“服务”模块，用于运营商根据不同业务需求进行灵活组网。
现有技术中，通过网络功能虚拟化(network function virtulization；NFV)实现网络功能(network fuction；NF)，各网络功能之间采用互联网协议安全(internet protocil security；IPSec)或传输层安全协议(transport layer security；TLS)等技术建立网络连接，这些安全技术要求具有相互通信的双方配置证书，证书包含通信双方用于验证的秘钥及算法，从而降低网络通信中的安全隐患。
如何在5G SBA场景下生成满足5G要求的证书，成为业界亟需解决的问题。
发明内容
本申请提供一种证书管理方法和装置，能够得到满足要求的证书。
第一方面，提供了一种证书管理方法，该方法包括：第一设备发送请求消息，该请求消息用于向第二设备请求第一证书，该请求消息包括第一设备的实例ID、第一设备的完全限定域名及第一设备的类型中的一种或多种；第一设备接收响应消息，该响应消息包含上述第一证书，该第一证书包括第一设备的实例ID、第一设备的完全限定域名及第一设备的类型中的一种或多种。
根据本申请提供的证书管理方法，第一设备发送的请求消息中包括生成证书所需要的信息，第二设备根据请求消息的内容生成对应的证书，生成的证书包含符合要求的信息，从而使得第一设备能够得到满足要求的证书。
第二方面，提供了一种证书管理方法，该方法包括：第二设备接收第一设备发送的请求消息，该请求消息包括第一设备的实例ID、第一设备的完全限定域名及第一设备的类型中的一种或多种；该第二设备根据请求消息生成第一证书；第二设备发送响应消息，该响应消息包含该第一证书，该第一证书包括第一设备的实例ID、第一设备的完全限定域名及第一设备的类型中的一种或多种。
根据本申请提供的证书管理方法，第二设备接收到的请求消息包括生成证书所需要的 信息，第二设备可以根据该信息生成对应的证书，生成的证书包含要求的信息，从而生成满足要求的证书。
结合第二方面，在第一方面的某些实现方式中，该方法还包括：该请求消息中还包括第一设备证书，在第二设备根据该请求消息生成第一证书之前，该方法还包括以下一项或两项：第二设备验证该请求消息中的完全限定域名与第一设备证书中的完全限定域名一致；第二设备验证该请求消息中的第一设备的类型与第一设备证书中的第一设备类型一致。
根据该技术方案，第二设备收到第一设备的请求消息后，对请求消息包含的证书请求消息进行校验，防止恶意网络功能请求证书，从而，在保证安全的前提下生成满足要求的证书。
结合第一方面或第二方面，在第一方面或第二方面的某些实现方式中，该方法还包括：第一设备为传输层安全客户端，该第一证书为客户端证书。
根据该技术方案，第一设备作为传输层安全客户端，可以申请客户端证书，满足第一设备作为客户端的要求，从而保障在TLS连接时第一设备实现相应功能。
结合第一方面或第二方面，在第一方面或第二方面的某些实现方式中，该方法还包括：该请求消息还包括第一指示信息，该第一指示信息用于请求上述客户端证书。
根据该技术方案，在请求消息中，使用第一指示信息指示申请的证书类型，进一步的，能够让第二设备明确第一设备请求的证书类型，从而，准确生成相应的证书。
结合第一方面或第二方面，在第一方面或第二方面的某些实现方式中，该方法还包括：该第一设备为传输层安全服务器，该第一证书为服务器证书；该请求消息中还包括第一超文本传输安全协议统一资源标识符HTTPS URI，该第一HTTPS URI用于标识该第一设备提供的服务资源；和/或，该请求消息中还包括第二HTTPS URI，该第二HTTPS URI用于标识该第一设备提供的回拨服务资源；该服务器证书还包括该第一超文本传输安全协议统一资源标识符HTTPS URI和/或该第二超文本传输安全协议统一资源标识符HTTPS URI。
根据该技术方案，请求消息具体可以包括传输层安全服务器TLS连接TLS连接中可能需要的信息，进一步的，能够让第二设备准确生成对应证书。
结合第一方面或第二方面，在第一方面或第二方面的某些实现方式中，请求消息还包括第二指示信息，该第二指示信息用于请求该服务器证书。
根据该技术方案，在请求消息中，使用第二指示信息指示申请的证书类型，进一步的，能够让第二设备明确第一设备请求的证书类型，从而，准确生成相应的证书。
结合第一方面或第二方面，在第一方面或第二方面的某些实现方式中，该方法还包括：该第一设备为传输层安全客户端，且还作为传输层安全服务器，该第一证书为客户端证书和服务器证书；该请求消息中还包括第一HTTPS URI，该第一HTTPS URI用于标识该第一设备提供的服务资源；和/或，该请求消息中还包括第二HTTPS URI，该第二HTTPS URI用于标识该第一设备提供的回拨服务资源；该客户端证书包括该第一设备的实例ID、该第一设备的完全限定域名FQDN及第一设备的类型中的一种或多种；该服务器证书包括该第一设备的实例ID、该第一设备的完全限定域名FQDN及第一设备的类型中的一种或多种，以及该第一HTTPS URI和/或该第二HTTPS URI。
根据该技术方案，第一设备可以同时作为传输层安全客户端和传输层安全服务器，请 求消息包括传输层安全客户端和传输层安全服务器在TLS连接中可能需要的信息，进一步的，能够让第二设备准确生成两种证书。
结合第一方面或第二方面，在第一方面或第二方面的某些实现方式中，该方法还包括：请求消息还包括第三指示信息，该第三指示信息用于请求该客户端证书和该服务器证书。
根据该技术方案，在请求消息中，使用第三指示信息指示申请的证书类型为客户端证书和该服务器证书，进一步的，能够让第二设备明确第一设备请求的证书类型，从而，准确生成相应的证书。
结合第一方面或第二方面，在第一方面或第二方面的某些实现方式中，该方法还包括：该第一证书包括客户端证书和/或服务器证书；该客户端证书还包括：DNS名称；该服务器证书还包括：DNS名称。
根据该技术方案，第一设备请求的客户端证书还可以包括DNS名称。
结合第一方面或第二方面，在第一方面或第二方面的某些实现方式中，该方法还包括：当该第一设备的类型为安全边缘保护代理SEPP时，该DNS名称包含该通配符。
根据该技术方案，第一设备为SEPP时，客户端证书包含的DNS名称包括通配符。
可选地，上述第二设备是注册机构RA/证书机构CA。
第三方面，提供一种证书管理装置，该无线通信装置执行该第一方面或其各种实现方式中的方法的单元。
第四方面，提供一种证书管理装置，该无线通信装置执行该第二方面或其各种实现方式中的方法的单元。
第五方面，提供一种证书管理装置，包括，处理器，存储器，该存储器用于存储计算机程序，该处理器用于从存储器中调用并运行该计算机程序，使得该通信设备执行第一或第二方面、第三方面或第四方面及其各种可能实现方式中的通信方法。
可选地，该处理器为一个或多个，该存储器为一个或多个。
可选地，该存储器可以与该处理器集成在一起，或者该存储器与处理器分离设置。
第六方面，提供了一种证书管理系统，包括上述第一设备和第二设备之一。
第七方面，提供了一种计算机程序产品，该计算机程序产品包括：计算机程序(也可以称为代码，或指令)，当该计算机程序被运行时，使得计算机执行上述第一方面、第二方面、第三方面或第四方面中任一种可能实现方式中的方法。
第八方面，提供了一种计算机可读介质，该计算机可读介质存储有计算机程序(也可以称为代码，或指令)当其在计算机上运行时，使得计算机执行上述第一方面、第二方面、第三方面或第四方面中任一种可能实现方式中的方法。
第九方面，提供了一种电路系统，包括存储器和处理器，该存储器用于存储计算机程序，该处理器用于从存储器中调用并运行该计算机程序，使得安装有该电路系统的通信设备执行上述第一方面、第二方面、第三方面或第四方面中任一种可能实现方式中的方法。
其中，该电路系统可以包括用于发送信息或数据的输入电路或者接口，以及用于接收信息或数据的输出电路或者接口。
第十方面，提供了一种电路系统，用于执行上述第一方面、第二方面、第三方面或第四方面中任一种可能实现方式中的方法。
附图说明
图1示出了适用于本申请实施例的证书管理架构100的示意图。
图2示出了适用于本申请实施例的一种网络架构200示意图。
图3示出了适用于本申请实施例提供的证书管理方法的一种示意性框图。
图4示出了适用于本申请实施例提供的证书管理方法的一种示意性交互图。
图5示出了适用于本申请实施例提供的证书管理方法的另一种示意性框图。
图6示出了适用于本申请实施例提供的证书管理方法的另一种示意性交互图。
图7示出了一种适用于本申请实施例提供的证书管理装置的一种示意性框图。
图8示出了一种适用于本申请实施例提供的证书管理装置的一种示意性架构图。
具体实施方式
下面将结合附图，对本申请中的技术方案进行描述。
本申请实施例提及的无线通信系统包括但不限于：长期演进(long term evolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分双工(time division duplex，TDD)、通用移动通信系统(universal mobile telecommunication system，UMTS)、全球互联微波接入(worldwide interoperability for microwave access，WiMAX)通信系统、第五代(5th generation，5G)系统、未来的第六代(6th generation，6G)或新无线(new radio，NR)等。
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
首先结合图1简要说明本申请实施例适用的一种证书管理架构100的示意图。如图1所示，该证书管理架构100可以包括至少一个网络功能网元，例如图1所示的网络功能网元111和网络功能网元112，该通信系统100还可以包括一个证书管理功能实体，例如图1所示的证书管理功能实体121。其中，该架构下的网络功能网元可以为传输层安全客户端和/或服务器，该架构下的不同网络功能网元处于同一运营商网络中，不同的网络功能网元可能由不同的供应商提供，各网络功能网元通过向证书管理功能实体进行证书申请，完成证书配置，进而通过证书中包括的秘钥及算法实现不同网络功能网元之间的相互认证，建立网络连接，实现数据安全传输。
图2示出了本申请通信系统的一种网络架构200示意图。
如图2所示，该通信系统的网络架构包括但不限于以下网元：
1、用户设备(UE)：也可以称为：用户设备(user equipment，UE)、移动台(mobile station，MS)、移动终端(mobile terminal，MT)、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、终端、无线通信设备、用户代理或用户装置等。
用户设备可以是一种向用户提供语音/数据连通性的设备，本申请实施例对此并不限定。
2、接入设备(AN/RAN)：的接入设备可以是用于与用户设备通信的设备，该接入 设备也可以称为接入网设备或无线接入网设备，例如，接入设备可以是LTE系统中的演进型基站(evolved nodeB，eNB或eNodeB)，还可以是云无线接入网络(cloud radio access network，CRAN)场景下的无线控制器，或者该接入设备可以为中继站、接入点、车载设备、可穿戴设备以及5G网络中的接入设备或者未来演进的PLMN网络中的接入设备等，可以是WLAN中的接入点(access point，AP)，可以是NR系统中的gNB本申请实施例并不限定。
3、接入和移动性管理功能(access and mobility management function，AMF)网元：主要用于移动性管理和接入管理等，可以用于实现LTE系统中移动性管理实体(mobility management entity，MME)功能中除会话管理之外的其它功能，例如，合法监听以及接入授权/鉴权等功能。AMF网元为用户设备中的会话提供服务的情况下，会为该会话提供控制面的存储资源，以存储会话标识、与会话标识关联的SMF网元标识等。在本申请实施例中，可用于实现接入和移动管理网元的功能。
4、会话管理功能(session management function，SMF)网元：主要用于会话管理、用户设备的网络互连协议(internet protocol，IP)地址分配和管理、选择和管理用户平面功能、策略控制、或收费功能接口的终结点以及下行数据通知等。在本申请实施例中，可用于实现会话管理网元的功能。
5、策略控制(policy control function，PCF)网元：用于指导网络行为的统一策略框架，为控制平面功能网元(例如AMF，SMF网元等)提供策略规则信息以及基于流量的计费控制功能等。
6、统一数据管理(unified data management，UDM)网元：主要负责UE的签约数据的处理，包括用户标识的存储和管理、用户签约数据、鉴权数据等。
7、用户面功能(user plane function，UPF)网元：可用于分组路由和转发、或用户面数据的服务质量(quality of service，QoS)处理等。用户数据可通过该网元接入到数据网络(data network，DN)，还可以从数据网络接收用户数据，通过接入网设备传输给用户设备。UPF网元中为用户设备提供服务的传输资源和调度功能由SMF网元管理控制的。在本申请实施例中，可用于实现用户面网元的功能。
8、网络能力开放功能(network exposure function，NEF)网元：用于安全地向外部开放由3GPP网络功能提供的业务和能力等，主要支持3GPP网络和第三方应用安全的交互。
9、应用功能(application function，AF)网元：用于进行应用影响的数据路由，接入网络开放功能网元，或，与策略框架交互进行策略控制等，例如影响数据路由决策，策略控制功能或者向网络侧提供第三方的一些服务。
10、网络切片选择功能(network slice selection function，NSSF)网元：主要负责网络切片选择，根据UE的切片选择辅助信息、签约信息等确定UE允许接入的网络切片实例。
11、认证服务器功能(authentication server function，AUSF)网元：支持3GPP和非3GPP的接入认证。
12、网络存储功能(network repository function,NRF)网元：支持网络功能的注册和发现。
13、统一数据存储功能(unified data repository,UDR)网元：存储和获取UDM和PCF使用的签约数据。
在该网络架构中，N2接口为RAN和AMF实体的参考点，用于NAS(non-access stratum，非接入层)消息的发送等；N3接口为RAN和UPF网元之间的参考点，用于传输用户面的数据等；N4接口为SMF网元和UPF网元之间的参考点，用于传输例如N3连接的隧道标识信息，数据缓存指示信息，以及下行数据通知消息等信息。
应理解，图2中的UE、(R)AN、UPF和DN一般被称为数据面网络功能和实体，用户的数据流量可以通过UE和DN之间建立的PDU会话进行传输，传输会经过(R)AN和UPF这两个网络功能实体；而其他的部分则被称为控制面网络功能和实体，主要负责认证和鉴权、注册管理、会话管理、移动性管理以及策略控制等功能，从而实现用户层流量可靠稳定的传输。
应理解，上述应用于本申请实施例的网络架构仅是举例说明的从传统点到点的架构和服务化架构的角度描述的网络架构，适用本申请实施例的网络架构并不局限于此，任何能够实现上述各个网元的功能的网络架构都适用于本申请实施例。
应理解，图2中的各个网元之间的接口名称只是一个示例，具体实现中接口的名称可能为其他的名称，本申请对此不作具体限定。此外，上述各个网元之间的所传输的消息(或信令)的名称也仅仅是一个示例，对消息本身的功能不构成任何限定。
需要说明的是，上述“网元”也可以称为实体、设备、装置或模块等，本申请并未特别限定。并且，在本申请中，为了便于理解和说明，在对部分描述中省略“网元”这一描述，例如，将SMF网元简称SMF，此情况下，该“SMF”应理解为SMF网元或SMF实体，以下，省略对相同或相似情况的说明。
可以理解的是，上述实体或者功能既可以是硬件设备中的网络元件，也可以是在专用硬件上运行软件功能，或者是平台(例如，云平台)上实例化的虚拟化功能。
下面以具体的实施例对本申请的技术方案进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。
在本申请实施例中，第一设备作为传输层安全TLS连接中的功能设备的一例。
需要说明的是，TLS连接具有方向性，因此核心网内的功能设备可以作为客户端，也可以作为服务器，也可以同时作为客户端和服务器。
可以理解，当第一设备作为客户端，则可以申请客户端证书。
当第一设备作为服务器，则可以申请服务器证书。
当第一设备既可以作为客户端，也可以作为服务器，则可以申请客户端证书和服务器证书。
需要说明的是，第一设备也可以作为服务消费者，也可以作为服务生产者，也可以同时作为服务消费者和服务生产者。
在一种可能的实施方式中，该功能设备具体可以是网络功能NF，指的是核心网内的网络功能，例如上述SMF，AMF，AUSF，UDM等都可以作为本申请的NF。
具体的，NF根据不同设备功能类型可以申请不同类型证书，应理解，在本申请实施例中，该设备功能类型可以理解为NF是否可以作为客户端和/或服务器。例如，NF的设备类型为安全边缘保护代理(security edge protection proxy，SEPP)，则该SEPP用于漫游消息的安全保护，则功能类型为可以作为客户端和/或服务器，需要支持包含通配符的DNS名称的客户端(client)证书和/或包含通配符的DNS名称的服务器(server)证书； 当设备类型为除SEPP以外的其他类型，则功能类型为可以作为客户端和/或服务器，可以申请普通的客户端证书和/或普通的服务器证书。其中，普通的客户端证书和/或普通的服务器证书可以理解为不包括含有通配符的DNS名称的证书。除了上述两种设备类型，对于其他的设备类型，可以申请普通的客户端证书和/或普通的服务器证书。
应理解，以上举例仅为示例性说明，不应对本申请构成任何限定。
在本申请实施例中，第二设备作为运营商的RA/CA机构的一例。
应理解，RA为证书注册机构，是受证书颁发机构CA信任的统一证书申请实体，用于证书请求的汇聚和转发，通常与CA耦合设置。
应理解，CA为证书颁发机构，负责签发证书、认证证书、管理已颁发证书。
需要说明的是，在本申请实施例中，RA/CA机构可以单独设置，也可以耦合设置，本申请实施例对此不作限定。
应理解，在本申请实施例中，RA/CA为运营商信任或指定的RA/CA机构，本申请实施例对此不作限定。
应理解，第一设备在运营商网络内，发现运营商的RA/CA，第一设备可以完成第一预配置，RA/CA可以完成第二预配置。
该第一预配置包括：第一设备的实例化，预配置厂商证书，配置厂商公私钥对。
具体的，对于第一设备，需要完成实例化，该实例化可以理解为，例如，由厂商提供的NF需要满足运营商网络的具体配置，可以根据运营商的具体要求配置具体参数和完成相关设置，经过实例化后的NF基本上可以理解为满足运营商网络的NF，实例化方式与现有技术基本一致，为了简便，本申请实施例在此不作赘述。
在一种可能的实施方式中，厂商证书由第一设备的厂商在该第一设备上预配置。第一设备的厂商证书也可以通过其他方式预配置，本申请实施例对此不作限定。
在一种可能的实施方式中，该厂商公私钥对可以由第一设备预配置，也可以由本地生成，厂商公私钥对的具体预配置方式，本申请实施例对此不作限定。
该第二预配置包括：运营商的RA/CA上预配置所有运营商网络内厂商的根证书，以及运营商的根证书。
可以理解，在本申请实施例中，运营商的RA/CA上预配置了所有运营商网络内厂商的根证书，该RA/CA可以查找到网络内所有厂商证书对应的根证书，使用对应的根证书对厂商证书进行验证。
需要说明的是，以上仅为示例性说明，第一设备和第二设备的预配置内容还可包括其他部分，本申请实施例并不作限定。
图3是本申请实施例提供的证书管理方法的一种示意性框图，方法300可以包括如下步骤：
S301，第一设备发送请求消息，所述请求消息用于向第二设备请求第一证书。
根据以上所述，第一设备作为核心网内的功能设备，可以针对第一设备的类型向RA/CA申请对应类型的证书。
第一设备向第二设备发送请求消息，该请求消息具体用于向第二设备请求第一证书，所述请求消息包括所述第一设备的实例ID、所述第一设备的完全限定域名及第一设备的类型中的一种或多种。
应理解，该第一证书的类型包括：客户端证书和/或服务器证书、包含通配符的DNS名称的客户端证书和/或包含通配符的DNS名称的服务器证书。
在一种可能的实施方式中，第一设备的功能类型为传输层安全客户端，则第一证书的类型为客户端证书。
在一种可能的实施方式中，第一设备的功能类型为传输层安全服务器，则第一证书的类型为服务器证书。
在一种可能的实施方式中，第一设备的功能类型为传输层安全客户端和传输层安全服务器，则第一证书的类型为客户端证书和服务器证书。
具体的，在一种可能的实施方式中，第一设备确定第一设备的类型为SEPP，则第一证书的类型为包含通配符的DNS名称的客户端证书和/或包含通配符的DNS名称的服务器证书。
具体的，在一种可能的实施方式中，第一设备确定第一设备的类型除了SEPP之外的其他类型，则第一设备确定第一证书的类型为客户端证书和/或服务器证书。
第一设备根据上述第一证书类型生成对应的请求消息。
在一种可能的实施方式中，第一设备为传输层安全客户端，第一证书为客户端证书，请求消息包括第一设备的实例ID、第一设备的完全限定域名FQDN及第一设备的类型中的一种或多种。
可选的，请求消息包括第一指示信息，该第一指示信息用于请求客户端证书。
在一种可能的实施方式中，第一设备为传输层安全服务器，第一证书为服务器证书，请求消息中还包括第一超文本传输安全协议统一资源标识符HTTPS URI，第一HTTPS URI用于标识第一设备提供的服务资源；和/或，
请求消息中还包括第二HTTPS URI，第二HTTPS URI用于标识第一设备提供的回拨服务资源。
需要说明的是，当第一设备作为传输层安全服务器，并且可以作为服务生产者时，请求消息包括第一HTTPS URI；当第一设备作为传输层安全服务器，并且可以作为服务消费者时，请求消息包括第二HTTPS URI；当第一设备作为传输层安全服务器，并且可以作为服务生产者和服务消费者时，请求消息包括第一HTTPS URI和第二HTTPS URI。
可选的，请求消息包括第二指示信息，该第一指示信息用于请求服务器证书。
在一种可能的实施方式中，第一设备为传输层安全客户端，且还作为传输层安全服务器，第一证书为客户端证书和服务器证书，请求消息中还包括第一HTTPS URI，第一HTTPS URI用于标识第一设备提供的服务资源；和/或，
请求消息中还包括第二HTTPS URI，第二HTTPS URI用于标识第一设备提供的回拨服务资源。
需要说明的是，当第一设备作为传输层安全服务器，并且可以作为服务生产者时，请求消息包括第一HTTPS URI；当第一设备作为传输层安全服务器，并且可以作为服务消费者时，请求消息包括第二HTTPS URI；当第一设备作为传输层安全服务器，并且可以作为服务生产者和服务消费者时，请求消息包括第一HTTPS URI和第二HTTPS URI。
可选的，请求消息包括第三指示信息，该第三指示信息用于请求客户端证书和服务器证书。
在一种可能的实施方式中，请求消息还可以包括DNS名称。
可选的，该DNS名称可以由运营商通过本地配置的方式，在第二设备上配置当前的DNS的名称，DNS可以只有一个，也可以有多个。如果DNS有多个，第二设备根据配置的厂商与DNS的对应关系，确定第一设备对应的DNS的名称。
在一种可能的实施方式中，第一设备请求的第一证书包括包含通配符的DNS的名称的客户端证书和/或包含通配符的DNS的名称的服务器证书，进一步的，请求消息还可以包括包含通配符的DNS名称。
可选的，该包含通配符的DNS名称可以由运营商通过本地配置的方式，在第二设备上配置当前的包含通配符的DNS名称，包含通配符的DNS可以只有一个，也可以有多个。如果包含通配符的DNS有多个，第二设备根据配置的厂商与包含通配符的DNS的对应关系，确定第一设备对应的包含通配符的DNS的名称。
应理解，第一设备的类型为SEPP时，DNS名称可以包含通配符。
在一种可能的实施方式中，上述请求消息可以包括第一信息，其中第一信息包括第一设备的实例ID、第一设备的完全限定域名FQDN及第一设备的类型中的一种或多种。
在一种可能的实施方式中，第一信息还可以包括第一指示信息，该第一指示信息用于请求上述客户端证书。
在一种可能的实施方式中，上述请求消息可以包括第二信息，其中第二信息包括第一设备的实例ID、第一设备的完全限定域名FQDN及第一设备的类型中的一种或多种，及上述第一HTTPS URI和/或第二HTTPS URI。
在一种可能的实施方式中，第二信息还可以包括第二指示信息，该第二指示信息用于请求上述服务器证书。
在一种可能的实施方式中，上述请求消息可以包括上述第一信息和第二信息。上述请求消息还可以包括第三指示信息，该第三指示信息用于请求客户端证书和服务器证书。
应理解，上述第一指示信息，第二指示信息和第三指示信息用于指示具体的申请的证书类型，在不包含该第一指示信息，第二指示信息和第三指示信息时，第二设备可以通过请求消息包括的第一设备的类型判断第一设备申请的证书类型，或者第二设备可以通过请求消息中的第一信息和/或第二信息在请求消息中的相对位置判断第一设备申请的证书类型；或者第二设备可以通过请求消息中的第一信息和/或第二信息中包含信息的差异判断第一设备申请的证书类型。
在上述请求消息包括第三指示信息的情况下，该第三指示信息还可以指示使用第一信息生成客户端证书，以及使用第二信息生成服务器证书。
需要说明的是，第一设备在生成请求消息后，可以使用预配置的厂商私钥对该请求消息进行签名生成第一签名信息，请求消息中还包含第一签名信息和预配置的厂商证书。
S302，第二设备根据请求消息生成第一证书，并发送第一响应消息。
第二设备接收请求消息，可以使用第一设备发送的厂商证书包括的公钥验证请求消息中包含的第一签名信息。
需要说明的是，若校验成功，则继续流程，若检验失败，则结束流程或回复异常响应。
在一种可能的实施方式中，第二设备可以校验请求消息中第一设备信息的正确性。具体可以通过以下一种或多种方式：
方式一：第二设备验证请求消息中的第一设备的FQDN与第一设备证书中的第一设备的FQDN是否一致；
方式二：第二设备验证请求消息中的第一设备的类型与第一设备证书中的第一设备的类型是否一致；
方式三：第二设备确定请求消息中的第一设备类型或第一设备证书中的第一设备的类型后，根据第一设备的类型验证第一设备请求的证书是否正确。
对于方式三，当第一设备的类型为SEPP，第二设备可以验证第一设备请求的证书是否为包含通配符的DNS名称的客户端证书和/或包括包含通配符的域名服务器DNS名称的服务器证书；
当第一设备为除SEPP以外的其他类型，第二设备可以验证第一设备请求的证书是否为上述客户端证书和/或服务器证书。
应理解，上述第二设备校验请求消息中第一设备信息的正确性为可选的步骤。第二设备根据第一设备的安全性要求确定是否执行该步骤，例如，第一设备为银行或者精密工业网络中的网络功能，该第一设备对安全性要求较高，则，第二设备执行该步骤。应理解，第二设备确定第一设备安全性要求的方式，本申请实施例对此不作限定。
需要说明的是，以上任意一项校验动作失败，则可以结束流程或回复异常响应；否则，继续流程。
第二设备验证请求消息和请求消息请求的第一设备的类型的正确性后，第二设备根据请求消息生成第一证书。
在一种可能的实施方式中，第二设备根据请求消息中包括的信息确定第一设备请求的第一证书的类型。
可选的，请求消息包括第一设备的实例ID、第一设备的完全限定域名及第一设备的类型中的一种或多种，则第二设备生成客户端证书，在该情况下，第一设备可以是传输层安全客户端。
生成的客户端证书包括：第一设备的实例ID、DNS名称、第一设备的完全限定域名及第一设备的类型中的一种或多种。
进一步的，请求消息还可以包括第一HTTPS URI和/或第二HTTPS URI，则第二设备生成服务器证书，在该情况下，第一设备可以是传输层安全服务器。
生成的服务器证书可以包括：第一设备的实例ID、第一设备的完全限定域名、DNS名称、第一设备的类型及第一HTTPS URI和/或第二HTTPS URI中的一种或多种。
进一步的，请求消息还可以包括第一HTTPS URI和/或第二HTTPS URI，则第二设备生成客户端证书和服务器证书，在该情况下，第一设备可以是传输层安全服务器和客户端。
生成的客户端证书和服务器证书包括的内容与上述一致。
在一种可能的实施方式中，当请求消息包括包含通配符的DNS名称，则第二设备生成的客户端证书和/或服务器证书还包括包含通配符的DNS名称。
在一种可能的实施方式中，第二设备根据请求消息中的第一指示信息和/或第二指示信息和/或第三指示信息确定第一设备请求的第一证书的类型。
例如，请求消息包括第一指示信息，则第二设备结合请求消息中的包含的信息生成客户端证书，这种情况下，第一设备可以是传输层安全客户端。
例如，请求消息包括第二指示信息，则第二设备结合请求消息中的包含的信息生成服务器证书，这种情况下，第一设备可以是传输层安全服务器。
再例如，请求消息包括第一指示信息和第二指示信息，或者包含第三指示信息，则第二设备结合请求消息中的包含的信息生成客户端证书和服务器证书，这种情况下，第一设备可以是传输层安全客户端和传输层安全服务器。
在一种可能的实施方式中，第二设备根据请求消息消息中的第一信息和/或第二信息确定第一设备请求的第一证书的类型。
例如，请求消息中包含第一信息，则第二设备结合第一信息生成客户端证书，这种情况下，第一设备可以是传输层安全客户端。
例如，请求消息中包含第二信息，则第二设备结合第二信息生成服务器证书，这种情况下，第一设备可以是传输层安全服务器。
例如，请求消息中包含第一信息和第二信息，则第二设备结合第一信息和第二信息生成客户端证书和服务器证书，这种情况下，第一设备可以是传输层安全服务器和传输层安全客户端。
在一种可能的实施方式中，第二设备根据请求消息的具体内容确定第一设备请求的第一证书的类型。
例如，请求消息中部包含第一HTTPS URI和/或第二HTTPS URI，则第二设备生成客户端证书，这种情况下，第一设备可以是传输层安全客户端。
例如，请求消息中包含第一HTTPS URI和/或第二HTTPS URI，则第二设备生成服务器证书，这种情况下，第一设备可以是传输层安全服务器。
例如，请求消息中包含第一HTTPS URI和/或第二HTTPS URI，则第二设备生成客户端证书和服务器证书，这种情况下，第一设备可以是传输层安全服务器和传输层安全客户端。
例如，请求消息还包括包含通配符的DNS名称，则第二设备生成包含通配符DNS名称的客户端证书和/或服务器证书。
需要说明的是，第二设备可以结合以上任意一种或多种实施方式确定第一设备请求的第一证书的类型。
例如，请求消息中包含第一HTTPS URI和/或第二HTTPS URI，请求消息中还包含第三指示信息，则第二设备生成客户端证书和服务器证书，这种情况下，第一设备可以是传输层安全服务器和传输层安全客户端。
第二设备生成的第一证书可以包括第一设备请求消息中的具体信息。
具体的，第一证书包括客户端证书和/或服务器证书。
该客户端证书包括：第一设备的实例ID、第一设备的FQDN、DNS名称及第一设备的类型中的一个或多个；
该服务器证书包括：第一设备的实例ID、第一HTTPS URI、第二HTTPS URI、第一设备的FQDN、第一设备的类型及DNS名称中的一个或多个。
需要注意的是，当第一设备的类型为SEPP时，DNS名称包含通配符。
应理解，以上举例仅为示例性说明，不应对本申请构成任何限定。
进一步的，第二设备根据生成的第一证书生成响应消息，该响应消息包括该第一证书。
第二设备可以使用第二设备的私钥对该响应消息进行签名生成第二签名信息。
第一响应消息还可以包括第二签名信息和第二设备的证书。
S303，第一设备接收第一响应消息，该第一响应消息包含第一证书。
第一设备接收第一响应消息，在第二设备使用密钥签名的情况下，使用第一响应消息中的第一设备的证书中包含的公钥对该第一响应消息进行校验，校验通过后保存该第一证书，并且保存该第二设备的证书和厂商根证书。
应理解，第二设备保存第一证书的方法与现有技术相同，本申请实施例在此不作限定。
图4是本申请实施例提供的一种证书管理方法的一种示意性交互图。图4的方法400是对应于图3的方法300的具体实施步骤。图4所示的方法可以包括步骤S401-S409，下面分别对步骤S401-S409进行详细描述。
本申请实施例中，第一设备为厂商A提供的NF，该第一设备在运营商网络W中。以上仅为示例性说明，对本申请实施例没有限定。
步骤S400(a)：第一设备进行第一预配置。
具体的，第一设备在运营商网络W中，发现运营商的RA/CA，即，第二设备，第一设备可以完成第一预配置。
第一预配置包括：第一设备的实例化，预配置厂商A的证书，配置厂商A的公私钥对。
具体预配置方式在上文中已详细描述，为了简便，在此不进行赘述。
步骤S400(b)：第二设备进行第二预配置。
第二预配置包括：预配置运营商网内所有厂商的根证书，以及运营商W的根证书。
应理解，上述运营商网内所有厂商的根证书包括上述厂商A的根证书。
具体预配置方式在上文中已详细描述，为了简便，在此不进行赘述。
应理解，上述步骤S400(a)和S400(b)没有顺序限定，该两个步骤的执行顺序对本申请实施例的实施没有影响。
步骤S401：第一设备生成第一请求消息。
第一设备可以根据其功能类型确定请求的第一证书的类型。
在一种可能的实施方式中，第一设备的功能类型为传输层安全客户端，则第一证书的类型为客户端证书。
在一种可能的实施方式中，第一设备的功能类型为传输层安全服务器，则第一证书的类型为服务器证书。
在一种可能的实施方式中，第一设备的功能类型为传输层安全客户端和传输层安全服务器，则第一证书的类型为客户端证书和服务器证书。
具体的，在一种可能的实施方式中，第一设备确定第一设备的类型为SEPP，则第一证书的类型为包含通配符的DNS名称的客户端证书和/或包含通配符的DNS名称的服务器证书。
具体的，在一种可能的实施方式中，第一设备确定第一设备的类型除了SEPP之外的其他类型，则第一设备确定第一证书的类型为客户端证书和/或服务器证书。
具体的，第一设备根据确定的第一证书的类型生成第一请求消息。
应理解，该第一证书的类型包括：客户端证书和/或服务器证书、包含通配符的DNS 名称的客户端证书和/或包含通配符的DNS名称的服务器证书。
在一种可能的实施方式中，第一设备为传输层安全客户端，第一证书为客户端证书，第一请求消息包括第一设备的实例ID、第一设备的完全限定域名FQDN及第一设备的类型中的一种或多种。
可选的，第一请求消息包括第一指示信息，该第一指示信息用于请求客户端证书。
在一种可能的实施方式中，第一设备为传输层安全服务器，第一证书为服务器证书，第一请求消息中还包括第一HTTPS URI，第一HTTPS URI用于标识第一设备提供的服务资源；和/或，
第一请求消息中还包括第二HTTPS URI，第二HTTPS URI用于标识第一设备提供的回拨服务资源。
需要说明的是，当第一设备作为传输层安全服务器，并且可以作为服务生产者时，请求消息包括第一HTTPS URI；当第一设备作为传输层安全服务器，并且可以作为服务消费者时，请求消息包括第二HTTPS URI；当第一设备作为传输层安全服务器，并且可以作为服务生产者和服务消费者时，请求消息包括第一HTTPS URI和第二HTTPS URI。
可选的，第一请求消息包括第二指示信息，该第二指示信息用于请求服务器证书。
在一种可能的实施方式中，第一设备为传输层安全客户端，且还作为传输层安全服务器，第一证书为客户端证书和服务器证书，第一请求消息中还包括第一HTTPS URI，第一HTTPS URI用于标识第一设备提供的服务资源；和/或，
第一请求消息中还包括第二HTTPS URI，第二HTTPS URI用于标识第一设备提供的回拨服务资源。
需要说明的是，当第一设备作为传输层安全服务器，并且可以作为服务生产者时，请求消息包括第一HTTPS URI；当第一设备作为传输层安全服务器，并且可以作为服务消费者时，请求消息包括第二HTTPS URI；当第一设备作为传输层安全服务器，并且可以作为服务生产者和服务消费者时，请求消息包括第一HTTPS URI和第二HTTPS URI。
可选的，第一请求消息包括第三指示信息，该第三指示信息用于请求客户端证书和服务器证书。
在一种可能的实施方式中，第一请求消息还可以包括DNS名称。
在一种可能的实施方式中，上述请求消息可以包括第一信息，其中第一信息包括第一设备的实例ID、第一设备的完全限定域名FQDN及第一设备的类型中的一种或多种。
在一种可能的实施方式中，上述请求消息可以包括第二信息，其中第二信息包括第一设备的实例ID、第一设备的完全限定域名FQDN及第一设备的类型中的一种或多种，及上述第一HTTPS URI和/或第二HTTPS URI。
在一种可能的实施方式中，上述请求消息可以包括上述第一信息和第二信息。
具体的，第一指示信息还可以包括在该第一信息中，该第一指示信息用于指示请求上述客户端证书。
具体的，第二指示信息还可以包括在该第二信息中，该第一指示信息用于指示请求上述服务器证书。
具体的，第一请求消息还可以包括第三指示信息，该第三指示信息用于请求客户端证书和服务器证书。
应理解，上述第一指示信息，第二指示信息和第三指示信息用于指示具体的申请的证书类型，在不包含该第一指示信息，第二指示信息和第三指示信息时，第二设备可以通过请求消息包括的第一设备的类型判断第一设备申请的证书类型，或者第二设备可以通过请求消息中的第一信息和/或第二信息在请求消息中的相对位置判断第一设备申请的证书类型；或者第二设备可以通过请求消息中的第一信息和/或第二信息中包含信息的差异判断第一设备申请的证书类型。
步骤S402：第一设备发送第一请求消息。
第一设备向第二设备发送第一请求消息，并可以对该第一请求消息使用厂商A的私钥进行签名，生成第一签名信息，请求消息中还包含第一签名信息和厂商A的证书。
步骤S403：第二设备校验第一请求消息中包含的数字签名。
具体的，第二设备接收第一请求消息，使用第一设备发送的厂商A的证书包括的公钥验证第一请求消息中包含的第一签名信息。
需要说明的是，若校验成功，则继续流程，若检验失败，则结束流程或回复异常响应。
步骤S404：第二设备校验第一请求消息中第一设备类型信息的真实性。
第一设备对第一请求消息中请求的设备类型进行校验，是否为第一设备类型对应的第一证书，从而确保该第一设备申请证书的正确性。
该步骤与方法300步骤S302中相应步骤基本一致，为了简便，本申请实施例在此不再赘述。
应理解，第二设备可以校验第一请求消息中第一设备信息的正确性为可选的步骤。第二设备根据第一设备的安全性要求确定是否执行该步骤，例如，第一设备为银行或者精密工业网络中的网络功能，该第一设备对安全性要求较高，则，第二设备执行该步骤。应理解，第二设备确定第一设备安全性要求的方式，本申请实施例对此不作限定。
需要说明的是，以上任意一项校验动作失败，则结束流程或回复异常响应；否则，继续流程。
步骤S405：第二设备根据第一请求消息生成第一证书。
在一种可能的实施方式中，第一请求消息包括第一设备的实例ID、第一设备的完全限定域名及第一设备的类型中的一种或多种，则第二设备生成客户端证书，在该情况下，第一设备可以是传输层安全客户端。
生成的客户端证书包括：第一设备的实例ID、DNS名称、第一设备的完全限定域名及第一设备的类型中的一种或多种。
进一步的，第一请求消息还可以包括第一HTTPS URI和/或第二HTTPS URI，则第二设备生成服务器证书，在该情况下，第一设备可以是传输层安全服务器。
生成的服务器证书可以包括：第一设备的实例ID、第一设备的完全限定域名、DNS名称、第一设备的类型及第一HTTPS URI和/或第二HTTPS URI中的一种或多种。
进一步的，第一请求消息还可以包括第一HTTPS URI和/或第二HTTPS URI，则第二设备生成客户端证书和服务器证书，在该情况下，第一设备可以是传输层安全服务器和客户端。
生成的客户端证书和服务器证书包括的内容与上述一致。
应理解，第一请求消息包括第一HTTPS URI，第一设备可以作为传输层安全服务器， 并且可以作为服务生产者；第一请求消息包括第二HTTPS URI，第一设备作为传输层安全服务器，并且可以作为服务消费者；第一请求消息包括第一HTTPS URI和第二HTTPS URI，第一设备作为传输层安全服务器，并且可以作为服务生产者和服务消费者。
在一种可能的实施方式中，当第一请求消息包括包含通配符的DNS名称，则第二设备生成的客户端证书和/或服务器证书还可以包括包含通配符的DNS名称。
在一种可能的实施方式中，第二设备根据第一请求消息中的第一指示信息和/或第二指示信息和/或第三指示信息确定第一设备请求的第一证书的类型。
例如，第一请求消息包括第一指示信息，则第二设备结合请求消息中的包含的信息生成客户端证书，这种情况下，第一设备可以是传输层安全客户端。
例如，第一请求消息包括第二指示信息，则第二设备结合请求消息中的包含的信息生成服务器证书，这种情况下，第一设备可以是传输层安全服务器。
再例如，第一请求消息包括第三指示信息，或者包括第一指示信息和第二指示信息，则第二设备结合请求消息中的包含的信息生成客户端证书和服务器证书，这种情况下，第一设备可以是传输层安全客户端和传输层安全服务器。
在一种可能的实施方式中，第二设备根据请求消息消息中的第一信息和/或第二信息确定第一设备请求的第一证书的类型。
例如，第一请求消息中包含第一信息，则第二设备结合第一信息生成客户端证书，这种情况下，第一设备可以是传输层安全客户端。
例如，请求消息中包含第二信息，则第二设备结合第二信息生成服务器证书，这种情况下，第一设备可以是传输层安全服务器。
例如，第一请求消息中包含第一信息和第二信息，则第二设备结合第一信息和第二信息生成客户端证书和服务器证书，这种情况下，第一设备可以是传输层安全服务器和传输层安全客户端。
在一种可能的实施方式中，第二设备根据请求消息的具体内容确定第一设备请求的第一证书的类型。
例如，第一请求消息中部包含第一HTTPS URI和/或第二HTTPS URI，则第二设备生成客户端证书，这种情况下，第一设备可以是传输层安全客户端。
例如，第一请求消息中包含第一HTTPS URI和/或第二HTTPS URI，则第二设备生成服务器证书，这种情况下，第一设备可以是传输层安全服务器。
例如，第一请求消息中包含第一HTTPS URI和/或第二HTTPS URI，则第二设备生成客户端证书和服务器证书，这种情况下，第一设备可以是传输层安全服务器和传输层安全客户端。
例如，第一请求消息还包括包含通配符的DNS名称，则第二设备生成包含通配符DNS名称的客户端证书和/或服务器证书。
需要说明的是，第二设备可以结合以上任意一种或多种实施方式确定第一设备请求的第一证书的类型。
例如，请求消息中包含第一HTTPS URI和/或第二HTTPS URI，请求消息中还包含第三指示信息，则第二设备生成客户端证书和服务器证书，这种情况下，第一设备可以是传输层安全服务器和传输层安全客户端。
第二设备生成的第一证书可以包括第一设备请求消息中的具体信息。
具体的，第一证书包括客户端证书和/或服务器证书。
该客户端证书包括：第一设备的实例ID、第一设备的FQDN、DNS名称及第一设备的类型中的一个或多个；
该服务器证书包括：第一设备的实例ID、第一HTTP URI、第二HTTPS URI、第一设备的FQDN、所述第一设备的类型及DNS名称中的一个或多个。
需要注意的是，当所述第一设备的类型为SEPP时，所述DNS名称包含所述通配符。
应理解，以上举例仅为示例性说明，不应对本申请构成任何限定。
步骤S406：第二设备生成第一响应消息，其中包含第一证书，并对该消息签名。
第二设备根据生成的第一证书生成第一响应消息，该第一响应消息包括上述生成的第一证书。
第二设备使用第二设备的私钥对该第一响应消息进行签名生成第二签名信息。
第一响应消息还可以包括第二签名信息和第二设备的证书。
步骤S407：第二设备发送第一响应消息。
应理解，第一响应消息还包括第二设备的证书以及运营商W的根证书。
步骤S408：第一设备认证第一响应消息，保存第一证书。
具体的，第一设备接收第一响应消息，在第二设备使用密钥签名的情况下，使用第一响应消息中的第一设备的证书中包含的公钥对该第一响应消息进行校验，校验通过后保存该第二设备的证书和运营商W的根证书。
步骤S409：确认第一证书。
可选的，第一设备和第二设备之间可以进行证书确认流程，以通知第二设备上述第一证书是否正确发放给第一设备。
通过本申请实施例提供的方案，网络功能NF可以根据自身设备的功能类型向RA/CA机构申请相应的证书，从而，能够在5G SBA场景下针对不同NF类型实现证书的配置。
本申请实施例中，第二设备可以是能够配置客户端证书的设备，也可以是能配置服务器证书的设备，也可以是上述描述中同时配置客户端证书和服务器证书的设备，下文实施例中，第二设备可能仅能提供客户端证书的配置，或是仅能提供服务器证书的配置。
在以下实施例中，也可以用于第一设备只申请客户端证书或服务器证书。
以下方法500为第一设备申请客户端证书的说明。
图5是本申请实施例提供的证书管理方法的另一种示意性交互图，方法500可以包括如下步骤：S501-S510。
步骤S500(a)：第一设备进行第一预配置。
该步骤与S400(a)方法相同，为了简便，在此不进行赘述。
步骤S500(b)：第一设备进行第一预配置。
该步骤与S400(b)方法相同，为了简便，在此不进行赘述。
步骤S501：第一设备确定是否申请客户端证书。
步骤S502：生成第二请求消息，该第二请求消息包括第二证书类型。
步骤S503：发送第二请求消息，并对该第二请求消息签名。
步骤S504：校验第二请求消息中包含的数字签名。
步骤S505：校验第二请求消息中第一设备类型信息的真实性。
步骤S506：根据第二请求消息生成第二证书。
步骤S507：生成第二响应消息，其中包含第二证书，并对该消息签名。
步骤S508：发送第二响应消息。
步骤S509：认证第二响应消息，安装第二证书。
步骤S510：确认第二证书。
应理解，上述步骤S501-步骤S510与方法400的步骤S401-S410方法相同，区别在于，在该实施例中，第一设备申请的证书为第二证书，该第二证书指的是仅作为传输层安全客户端申请客户端证书，因此第二请求消息也仅包括客户端证书需要的信息，生成的第二响应消息也只包括客户端证书，方法基本一一致，为避免重复，不再赘述。
以下方法600为第一设备申请服务器证书的说明。
图6是本申请实施例提供的一种证书管理方法的另一种示意性交互图。方法600可以包括如下步骤：S601-S610。
步骤S600(a)：第一设备进行第一预配置。
该步骤与S400(a)方法相同，为了简便，在此不进行赘述。
步骤S600(b)：第一设备进行第一预配置。
该步骤与S400(b)方法相同，为了简便，在此不进行赘述。
步骤S601：第一设备确定是否申请客户端证书。
步骤S602：生成第三请求消息，该第三请求消息包括第三证书类型。
步骤S603：发送第三请求消息，并对该第三请求消息签名。
步骤S604：校验第三请求消息中包含的数字签名。
步骤S605：校验第三请求消息中第一设备类型信息的真实性。
步骤S606：根据第三请求消息生成第三证书。
步骤S607：生成第二响应消息，其中包含第三证书，并对该消息签名。
步骤S608：发送第二响应消息。
步骤S609：认证第二响应消息，安装第三证书。
步骤S610：确认第三证书。
应理解，上述步骤S601-步骤S610与方法400的步骤S401-S409方法相同，区别在于，在该实施例中，第一设备申请的证书为第三证书，该第三证书指的是仅作为传输层安全服务器申请服务器证书，因此第三请求消息也仅包括服务器证书需要的信息，生成的第二响应消息也只包括服务器证书，方法基本一致，为避免重复，不再赘述。
通过本申请实施例提供的方案，网络功能NF可以根据自身设备的功能类型向RA/CA机构申请相应的证书，从而，能够在5G SBA场景下针对不同NF类型实现证书的配置。
本文中描述的各个实施例可以为独立的方案，也可以根据内在逻辑进行组合，这些方案都落入本申请的保护范围中。
应理解，上述各个实施例中各个步骤仅是一种可能的实现方式，本申请实施例并不做限定。
可以理解的是，上述各个方法实施例中，由用户设备实现的方法和操作，也可以由可用于用户设备的部件(例如芯片或者电路)实现，由接入网设备(如RAN节点)实现的 方法和操作，也可以由可用于接入网设备的部件(例如芯片或者电路)实现。
上述主要从各个交互的角度对本申请实施例提供的方案进行了介绍。可以理解的是，各个网元，例如发射端设备或者接收端设备，为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
本申请实施例可以根据上述方法示例对发送端设备或者接收端设备进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以使用硬件的形式实现，也可以使用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。下面以使用对应各个功能划分各个功能模块为例进行说明。
以上，结合图3至图6详细说明了本申请实施例提供的方法。以下，结合图7至图8详细说明本申请实施例提供的装置。应理解，装置实施例的描述与方法实施例的描述相互对应，因此，未详细描述的内容可以参见上文方法实施例，为了简洁，这里不再赘述。
图7是本申请实施例提供的证书管理装置的示意性框图。该证书管理装置700包括发送单元710、处理单元720和接收单元730。发送单元710和接收单元730可以实现相应的通信功能，处理单元720用于进行数据处理，以使得通信装置实现前述方法实施例。发送单元710和接收单元730还可以称为通信接口或通信单元。
在一种可能的设计中，该证书管理装置700可对应于根据本申请实施例的方法300、400、500和600中的第一设备。该证书管理装置700可以包括用于执行图3至图6中的方法300～600中的终端设备执行的方法的单元。并且，该证书管理装置700中的单元和上述其他操作和/或功能分别为了实现图3至图6中的方法300～600中的相应流程。
其中，当该证书管理装置700用于执行图3中的方法300，发送单元710可用于执行方法300中的S301；接收单元730可用于执行方法300中的S303。当该证书管理装置700用于执行图4中的方法400，发送单元730可用于执行方法400中的S403；接收单元710可用于执行方法400中的S408；处理单元720可用于执行方法400中的S401、S402、和S409。当该证书管理装置700用于执行图5中的方法500，接收单元710可用于执行方法500中的S503；处理单元720可用于执行方法500中的S501、S502和S509；发送单元730可用于执行方法500中的S503。当该证书管理装置700用于执行图6中的方法600，接收单元710可用于执行方法600中的S603；处理单元720可用于执行方法600中的S601、S602和S609；发送单元730可用于执行方法600中的S603。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
在一种可能的设计中，该证书管理装置700可对应于根据本申请实施例的方法300、400、500和600中的第二设备。该证书管理装置700可以包括用于执行图3至图6中的方法300～600中的终端设备执行的方法的单元。并且，该证书管理装置700中的单元和上述其他操作和/或功能分别为了实现图3至图6中的方法300～600中的相应流程。
其中，当该证书管理装置700用于执行图3中的方法300，处理单元720可用于执行方法300中的S302。当该证书管理装置700用于执行图4中的方法400，发送单元730可用于执行方法400中的S407；接收单元710可用于执行方法400中的S402；处理单元720可用于执行方法400中的S403、S404、S405和S406。当该证书管理装置700用于执行图5中的方法500，接收单元710可用于执行方法500中的S503；处理单元720可用于执行方法500中的S504、S505、S506和S507；发送单元730可用于执行方法500中的S508。当该证书管理装置700用于执行图6中的方法600，接收单元710可用于执行方法600中的S603；处理单元720可用于执行方法600中的S604、S605、S606和S607；发送单元730可用于执行方法600中的S608。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
上文实施例中的处理单元720可以由至少一个处理器或处理器相关电路实现。收发单元710可以由收发器或收发器相关电路实现。收发单元710还可称为通信单元或通信接口。存储单元可以通过至少一个存储器实现。
如图8所示，本申请实施例还提供一种证书管理装置800。该证书管理装置800包括处理器810，收发器830，处理器810与存储器820耦合，存储器820用于存储计算机程序或指令和/或数据，处理器810用于执行存储器820存储的计算机程序或指令和/或数据。
可选地，该证书管理装置800包括的处理器810为一个或多个。
可选地，如图8所示，证书管理装置800还可以包括存储器820。
可选地，该证书管理装置800包括的存储器820可以为一个或多个。
可选地，该存储器820可以与该处理器810集成在一起，或者分离设置。
作为一种方案，该中继通信装置800用于实现上文方法实施例中由第一设备执行的操作。
例如，处理器810用于实现上文方法实施例中由第一设备执行的处理相关的操作。
作为另一种方案，该证书管理装置800用于实现上文方法实施例中由第二设备执行的操作。
例如，处理器810用于实现上文方法实施例中由第二设备执行的处理相关的操作。
应注意，本申请上述方法实施例可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法实施例的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
可以理解，本申请实施例中的存储器可以是易失性存储器或非易失性存储器，或可包 括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(Read-Only Memory，ROM)、可编程只读存储器(Programmable ROM，PROM)、可擦除可编程只读存储器(Erasable PROM，EPROM)、电可擦除可编程只读存储器(Electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(Random Access Memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(Static RAM，SRAM)、动态随机存取存储器(Dynamic RAM，DRAM)、同步动态随机存取存储器(Synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(Double Data Rate SDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(Enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(Synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(Direct Rambus RAM，DR RAM)。应注意，本文描述的系统和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。
应理解，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。
应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计 算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (26)

  1. 一种证书管理方法，其特征在于，包括：
    第一设备发送请求消息，所述请求消息用于向第二设备请求第一证书，所述请求消息包括所述第一设备的实例ID、所述第一设备的完全限定域名及所述第一设备的类型中的一种或多种；
    所述第一设备接收响应消息，所述响应消息包含所述第一证书，所述第一证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及所述第一设备的类型中的一种或多种。
  2. 一种证书管理方法，其特征在于，包括：
    第二设备接收来自所述第一设备的请求消息，所述请求消息包括所述第一设备的实例ID、所述第一设备的完全限定域名及所述第一设备的类型中的一种或多种；
    所述第二设备根据所述请求消息生成所述第一证书；
    所述第二设备发送响应消息，所述响应消息包含所述第一证书，所述第一证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及所述第一设备的类型中的一种或多种。
  3. 根据权利要求2所述的方法，其特征在于，所述请求消息中还包括所述第一设备证书，在所述第二设备根据所述请求消息生成第一证书之前，所述方法还包括以下一项或两项：
    所述第二设备验证所述请求消息中的完全限定域名与所述第一设备证书中的完全限定域名一致；
    所述第二设备验证所述请求消息中的第一设备的类型与所述第一设备证书中的第一设备的类型一致。
  4. 一种证书管理装置，其特征在于，包括：
    发送单元，用于发送请求消息，所述请求消息用于向第二设备请求第一证书，所述请求消息包括所述第一设备的实例ID、所述第一设备的完全限定域名及第一设备的类型中的一种或多种；
    接收单元，用于从第二设备接收响应消息，所述响应消息包含所述第一证书，所述第一证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及第一设备的类型中的一种或多种。
  5. 一种证书管理装置，其特征在于，包括：
    接收单元，用于接收所述第一设备发送的请求消息，所述请求消息包括所述第一设备的实例ID、所述第一设备的完全限定域名及所述第一设备的类型中的一种或多种；
    处理单元，用于根据所述请求消息生成第一证书；
    发送单元，用于向第一设备发送响应消息，所述响应消息包含所述第一证书，所述第一证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及所述第一设备的类型中的一种或多种。
  6. 根据权利要求5所述的证书管理装置，其特征在于，所述请求消息中还包括所述第一设备证书，所述处理单元还用于，在所述第二设备根据所述请求消息生成第一证书之 前：
    验证所述请求消息中的完全限定域名与所述第一设备证书中的完全限定域名一致；
    和/或，
    验证所述请求消息中的第一设备的类型与所述第一设备证书中的第一设备类型一致。
  7. 根据权利要求1-3中任一项所述的方法，或根据权利要求4-6中任一项所述的装置，其特征在于，所述第一设备为传输层安全客户端，所述第一证书为客户端证书。
  8. 根据权利要求7所述的方法或装置，其特征在于，所述请求消息还包括第一指示信息，所述第一指示信息用于请求所述客户端证书。
  9. 根据权利要求1-3中任一项所述的方法，或根据权利要求4-6中任一项所述的装置，其特征在于，所述第一设备为传输层安全服务器，所述第一证书为服务器证书；
    所述请求消息中还包括第一超文本传输安全协议统一资源标识符HTTPS URI，所述第一HTTPS URI用于标识所述第一设备提供的服务资源；和/或，
    所述请求消息中还包括第二HTTPS URI，所述第二HTTPS URI用于标识所述第一设备提供的回拨服务资源；
    所述服务器证书还包括所述第一HTTPS URI和/或所述第二HTTPS URI。
  10. 根据权利要求9所述的方法或装置，其特征在于，所述请求消息还包括第二指示信息，所述第二指示信息用于请求所述服务器证书。
  11. 根据权利要求1-3中任一项所述的方法，或根据权利要求4-6中任一项所述的装置，其特征在于，所述第一设备为传输层安全客户端，且还作为传输层安全服务器，所述第一证书为客户端证书和服务器证书；
    所述请求消息中还包括第一HTTPS URI，所述第一HTTPS URI用于标识所述第一设备提供的服务资源；和/或，
    所述请求消息中还包括第二HTTPS URI，所述第二HTTPS URI用于标识所述第一设备提供的回拨服务资源；
    所述客户端证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及第一设备的类型中的一种或多种；
    所述服务器证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及第一设备的类型中的一种或多种，以及所述第一HTTPS URI和/或所述第二HTTPS URI。
  12. 根据权利要求11所述的方法或装置，其特征在于，所述请求消息还包括第三指示信息，所述第三指示信息用于请求所述客户端证书和所述服务器证书。
  13. 根据权利要求1-3，及7-12中任一项所述的方法，或根据权利要求4-12中任一项所述的装置，其特征在于，所述第一证书包括客户端证书和/或服务器证书；
    所述客户端证书还包括：DNS名称；
    所述服务器证书还包括：DNS名称。
  14. 根据权利要求13所述的方法或装置，其特征在于，当所述第一设备的类型为安全边缘保护代理时，所述DNS名称包含所述通配符。
  15. 一种证书管理方法，其特征在于，包括：
    第一设备向第二设备发送请求消息，所述请求消息用于向所述第二设备请求第一证书，所述请求消息包括所述第一设备的实例ID、所述第一设备的完全限定域名及所述第 一设备的类型中的一种或多种；
    所述第二设备根据所述请求消息生成所述第一证书；
    所述第二设备向所述第一设备发送响应消息，所述响应消息包含所述第一证书，所述第一证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及所述第一设备的类型中的一种或多种。
  16. 根据权利要求15所述的方法，其特征在于，所述请求消息中还包括所述第一设备证书，在所述第二设备根据所述请求消息生成第一证书之前，所述方法还包括以下一项或两项：
    所述第二设备验证所述请求消息中的完全限定域名与所述第一设备证书中的完全限定域名一致；
    所述第二设备验证所述请求消息中的第一设备的类型与所述第一设备证书中的第一设备的类型一致。
  17. 根据权利要求15或16所述的方法，其特征在于，所述第一设备为传输层安全客户端，所述第一证书为客户端证书。
  18. 根据权利要求17所述的方法，其特征在于，所述请求消息还包括第一指示信息，所述第一指示信息用于请求所述客户端证书。
  19. 根据权利要求15或16所述的方法，其特征在于，所述第一设备为传输层安全服务器，所述第一证书为服务器证书；
    所述请求消息中还包括第一超文本传输安全协议统一资源标识符HTTPS URI，所述第一HTTPS URI用于标识所述第一设备提供的服务资源；和/或，
    所述请求消息中还包括第二HTTPS URI，所述第二HTTPS URI用于标识所述第一设备提供的回拨服务资源；
    所述服务器证书还包括所述第一HTTPS URI和/或所述第二HTTPS URI。
  20. 根据权利要求19所述的方法，其特征在于，所述请求消息还包括第二指示信息，所述第二指示信息用于请求所述服务器证书。
  21. 根据权利要求15或16所述的方法，其特征在于，所述第一设备为传输层安全客户端，且还作为传输层安全服务器，所述第一证书为客户端证书和服务器证书；
    所述请求消息中还包括第一HTTPS URI，所述第一HTTPS URI用于标识所述第一设备提供的服务资源；和/或，
    所述请求消息中还包括第二HTTPS URI，所述第二HTTPS URI用于标识所述第一设备提供的回拨服务资源；
    所述客户端证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及第一设备的类型中的一种或多种；
    所述服务器证书包括所述第一设备的实例ID、所述第一设备的完全限定域名及第一设备的类型中的一种或多种，以及所述第一HTTPS URI和/或所述第二HTTPS URI。
  22. 根据权利要求21所述的方法，其特征在于，所述请求消息还包括第三指示信息，所述第三指示信息用于请求所述客户端证书和所述服务器证书。
  23. 根据权利要求15至22项中任一项所述的方法，其特征在于，所述第一证书包括客户端证书和/或服务器证书；
    所述客户端证书还包括：DNS名称；
    所述服务器证书还包括：DNS名称。
  24. 根据权利要求23所述的方法，其特征在于，当所述第一设备的类型为安全边缘保护代理时，所述DNS名称包含所述通配符。
  25. 一种证书管理系统，其特征在于，包括如权利要求4以及7至14项中任一项所述的证书管理装置，以及如权利要求5至14项中任一项所述的证书管理装置。
  26. 一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行如权利要求1至3或7至14项中任意一项所述的通信方法。
PCT/CN2022/106395 2021-08-06 2022-07-19 一种证书管理方法和装置 WO2023011158A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202110904514.X 2021-08-06
CN202110904514.XA CN115942314A (zh) 2021-08-06 2021-08-06 一种证书管理方法和装置

Publications (1)

Publication Number Publication Date
WO2023011158A1 true WO2023011158A1 (zh) 2023-02-09

Family

ID=85155141

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2022/106395 WO2023011158A1 (zh) 2021-08-06 2022-07-19 一种证书管理方法和装置

Country Status (2)

Country Link
CN (1) CN115942314A (zh)
WO (1) WO2023011158A1 (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015169126A1 (zh) * 2014-05-08 2015-11-12 华为技术有限公司 一种证书获取方法和设备
CN106464667A (zh) * 2015-02-09 2017-02-22 华为技术有限公司 一种证书管理方法、设备及系统
CN108667609A (zh) * 2017-04-01 2018-10-16 西安西电捷通无线网络通信股份有限公司 一种数字证书管理方法及设备
CN110225013A (zh) * 2019-05-30 2019-09-10 世纪龙信息网络有限责任公司 服务证书的监控和更新系统
US10652030B1 (en) * 2018-03-05 2020-05-12 Amazon Technologies, Inc. Digital certificate filtering based on intrinsic and derived attributes

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015169126A1 (zh) * 2014-05-08 2015-11-12 华为技术有限公司 一种证书获取方法和设备
CN106464667A (zh) * 2015-02-09 2017-02-22 华为技术有限公司 一种证书管理方法、设备及系统
CN108667609A (zh) * 2017-04-01 2018-10-16 西安西电捷通无线网络通信股份有限公司 一种数字证书管理方法及设备
US10652030B1 (en) * 2018-03-05 2020-05-12 Amazon Technologies, Inc. Digital certificate filtering based on intrinsic and derived attributes
CN110225013A (zh) * 2019-05-30 2019-09-10 世纪龙信息网络有限责任公司 服务证书的监控和更新系统

Also Published As

Publication number Publication date
CN115942314A (zh) 2023-04-07

Similar Documents

Publication Publication Date Title
CN109428717B (zh) 管理具有多个证书颁发者的嵌入式通用集成电路卡调配
US20210234706A1 (en) Network function authentication based on public key binding in access token in a communication system
JP7035163B2 (ja) ネットワークセキュリティ管理方法および装置
WO2021037175A1 (zh) 一种网络切片的管理方法及相关装置
US8627064B2 (en) Flexible system and method to manage digital certificates in a wireless network
WO2018013925A1 (en) Adaptive authorization framework for communication networks
WO2020053481A1 (en) Network function authentication using a digitally signed service request in a communication system
US20210120416A1 (en) Secure inter-mobile network communication
US11496894B2 (en) Method and apparatus for extensible authentication protocol
WO2021138822A1 (zh) 签约信息获取方法及装置
WO2009082910A1 (fr) Procédé et dispositif de configuration de réseau pour un terminal d'utilisateur
JP7442690B2 (ja) 安全な通信方法、関連する装置、およびシステム
WO2021099675A1 (en) Mobile network service security management
WO2022222745A1 (zh) 一种通信方法及装置
WO2023011158A1 (zh) 一种证书管理方法和装置
WO2021079023A1 (en) Inter-mobile network communication security
EP4367867A1 (en) Authorization of a user equipment to access a resource
WO2024093923A1 (zh) 通信方法和通信装置
WO2023005714A1 (zh) 一种无线通信方法和装置
WO2021185347A1 (zh) 接入控制方法及通信设备
WO2023246753A1 (zh) 通信方法和装置
WO2024032226A1 (zh) 通信方法和通信装置
TWI820696B (zh) 通訊方法、裝置及電腦可讀儲存介質
WO2022165745A1 (zh) 数据配置方法、装置、系统及存储介质
WO2022027529A1 (zh) 一种切片认证的方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22851872

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE