WO2024066667A1 - 密钥管理方法、装置及设备 - Google Patents

密钥管理方法、装置及设备 Download PDF

Info

Publication number
WO2024066667A1
WO2024066667A1 PCT/CN2023/106996 CN2023106996W WO2024066667A1 WO 2024066667 A1 WO2024066667 A1 WO 2024066667A1 CN 2023106996 W CN2023106996 W CN 2023106996W WO 2024066667 A1 WO2024066667 A1 WO 2024066667A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
security
network device
authorization check
role
Prior art date
Application number
PCT/CN2023/106996
Other languages
English (en)
French (fr)
Inventor
周巍
Original Assignee
大唐移动通信设备有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 大唐移动通信设备有限公司 filed Critical 大唐移动通信设备有限公司
Publication of WO2024066667A1 publication Critical patent/WO2024066667A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H04W12/0471—Key exchange
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices
    • H04W88/04—Terminal devices adapted for relaying to or from another terminal or user

Definitions

  • the present disclosure relates to the field of communication technology, and in particular to a key management method, device and equipment.
  • the fifth generation mobile communication system supports user equipment (User Equipment, UE) to UE relay (UE-to-UE Relay, U2U Relay) communication scenario in near-field communication, that is, the source UE (Source UE) communicates with the target UE (Target UE) through the relay UE (RelayUE).
  • U2U relay communication first involves the source UE discovering the relay UE and the target UE, and establishing a communication channel accordingly. These UEs will obtain relevant information for the discovery process from the network device in an online state, and then discover each other in an offline state, and establish a relay communication channel to complete the U2U relay communication.
  • keys are usually used to protect the communication process to ensure the security of the communication process. The premise of using keys to protect the communication process is that the UE needs to apply for the corresponding key data in advance.
  • UE usually requests the key data corresponding to the terminal role from the network device according to the terminal role it corresponds to in U2U relay communication.
  • UE may correspond to multiple terminal roles at the same time in U2U relay communication.
  • the current key management method needs to distribute key data to each terminal role of UE separately, and its management process is inefficient and consumes a lot of signaling.
  • the present disclosure provides a key management method, apparatus and device to improve the efficiency of the key management process and reduce signaling consumption.
  • the present disclosure provides a key management method, applied to a terminal, the method comprising:
  • the security material request including at least one of user information, a relay service code, terminal security capability, and a role list, the role list including at least one terminal role corresponding to the terminal;
  • the security material response includes security materials corresponding to the terminal, and the security materials are keys and related parameters for securely protecting discovery messages during a terminal-to-terminal U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • sending the security material request to the first network device includes:
  • U2U relay discovery information sent by the second network device, wherein the U2U relay discovery information includes at least one of the user information, the relay service code, the role list, and the address of the first network device;
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the present disclosure provides a key management method, applied to a first network device, the method comprising:
  • the security material request including at least one of user information, a relay service code, terminal security capability, and a role list, the role list including at least one terminal role corresponding to the terminal;
  • a security material response is sent to the terminal according to the security material request, wherein the security material response includes security materials corresponding to the terminal, and the security materials are keys and related parameters for securely protecting discovery messages during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the sending a security material response to the terminal according to the security material request includes:
  • the security material response is sent to the terminal based on the allowed terminal roles.
  • determining the allowed terminal role of the terminal according to the security material request includes:
  • the allowed terminal role is determined according to the authorization information.
  • determining the allowed terminal role of the terminal according to the security material request includes:
  • the authorization check request includes at least one of the user information, the relay service code, and the role list;
  • An authorization check response sent by the third network device is received, wherein the authorization check response includes the allowed terminal role.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the method further includes:
  • the security material and the security policy are generated according to the relay service identified by the relay service identification code RSC and the role list.
  • the present disclosure provides a key management method, applied to a third network device, the method comprising:
  • the authorization check request includes at least one of user information, a relay service code, and a role list of the terminal;
  • An authorization check response is sent, wherein the authorization check response includes the allowed terminal roles.
  • the determining the allowed terminal role of the terminal according to the authorization check request includes:
  • the allowed terminal role is determined according to the authorization information.
  • the receiving the authorization check request includes:
  • the authorization check request sent by the first network device is received.
  • the sending an authorization check response includes:
  • the authorization check response is sent to the first network device.
  • the receiving the authorization check request includes:
  • the first authorization check request includes at least one of the role list, the user information, and the relay service code
  • the second authorization check request includes at least one of the role list, the user information, and the relay service code
  • the authorization check request includes the first authorization check request and the second authorization check request. Check the request.
  • the determining the allowed terminal role of the terminal according to the authorization check request includes:
  • a second allowed terminal role for the terminal is determined based on the second authorization check request.
  • the sending an authorization check response includes:
  • the authorization check response includes the first authorization check response and the second authorization check response.
  • the present disclosure provides a key management method, applied to a fourth network device, the method comprising:
  • the first authorization check request includes at least one of the role list, the user information, and the relay service code
  • the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and terminal security capabilities;
  • a security material response is sent to the terminal, wherein the security material response includes security materials corresponding to the terminal, and the security materials are keys and related parameters for securely protecting discovery messages during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the present disclosure provides a key management method, applied to a fifth network device, the method comprising:
  • the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and terminal security capability;
  • the second authorization check response is sent to the fourth network device.
  • the present disclosure provides a terminal, including a memory, a transceiver, and a processor;
  • a memory for storing a computer program; a transceiver for transmitting and receiving data under the control of the processor; and a processor for reading the computer program in the memory and performing the following operations:
  • the security material request including at least one of user information, a relay service code, terminal security capability, and a role list, the role list including at least one terminal role corresponding to the terminal;
  • the security material response includes The security material corresponding to the terminal is included, and the security material is a key and related parameters for securely protecting the discovery message during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • sending the security material request to the first network device includes:
  • U2U relay discovery information sent by the second network device, wherein the U2U relay discovery information includes at least one of the user information, the relay service code, the role list, and the address of the first network device;
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the present disclosure provides a first network device, including a memory, a transceiver, and a processor;
  • a memory for storing a computer program; a transceiver for transmitting and receiving data under the control of the processor; and a processor for reading the computer program in the memory and performing the following operations:
  • the security material request including at least one of user information, a relay service code, terminal security capability, and a role list, the role list including at least one terminal role corresponding to the terminal;
  • the security material The response includes security materials corresponding to the terminal, where the security materials are keys and related parameters for securely protecting discovery messages during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the sending a security material response to the terminal according to the security material request includes:
  • the security material response is sent to the terminal based on the allowed terminal roles.
  • determining the allowed terminal role of the terminal according to the security material request includes:
  • the allowed terminal role is determined according to the authorization information.
  • determining the allowed terminal role of the terminal according to the security material request includes:
  • the authorization check request includes at least one of the user information, the relay service code, and the role list;
  • An authorization check response sent by the third network device is received, wherein the authorization check response includes the allowed terminal role.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the processor is further configured to read the computer program in the memory and perform the following operations:
  • the security material and the security policy are generated according to the relay service identified by the RSC and the role list.
  • the present disclosure provides a third network device, including a memory, a transceiver, and a processor;
  • a memory for storing a computer program; a transceiver for transmitting and receiving data under the control of the processor; and a processor for reading the computer program in the memory and performing the following operations:
  • the authorization check request includes at least one of user information, a relay service code, and a role list of the terminal;
  • An authorization check response is sent, wherein the authorization check response includes the allowed terminal roles.
  • the determining the allowed terminal role of the terminal according to the authorization check request includes:
  • the allowed terminal role is determined according to the authorization information.
  • the receiving the authorization check request includes:
  • the authorization check request sent by the first network device is received.
  • the sending an authorization check response includes:
  • the authorization check response is sent to the first network device.
  • the receiving the authorization check request includes:
  • the first authorization check request includes at least one of the role list, the user information, and the relay service code
  • the second authorization check request includes at least one of the role list, the user information, and the relay service code
  • the authorization check request includes the first authorization check request and the second authorization check request.
  • the determining the allowed terminal role of the terminal according to the authorization check request includes:
  • a second allowed terminal role for the terminal is determined based on the second authorization check request.
  • the sending an authorization check response includes:
  • the authorization check response includes the first authorization check response and the second authorization check response.
  • the present disclosure provides a fourth network device, including a memory, a transceiver, and a processor;
  • a memory for storing a computer program; a transceiver for transmitting and receiving data under the control of the processor; and a processor for reading the computer program in the memory and performing the following operations:
  • the first authorization check request includes at least one of the role list, the user information, and the relay service code
  • the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and terminal security capabilities;
  • a security material response is sent to the terminal, wherein the security material response includes security materials corresponding to the terminal, and the security materials are keys and related parameters for securely protecting discovery messages during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the present disclosure provides a fifth network device, including a memory, a transceiver, and a processor;
  • a memory for storing a computer program; a transceiver for transmitting and receiving data under the control of the processor; and a processor for reading the computer program in the memory and performing the following operations:
  • the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and terminal security capability;
  • the second authorization check response is sent to the fourth network device.
  • the present disclosure provides a key management device, applied to a terminal, comprising:
  • a first sending module configured to send a security material request to a first network device, wherein the security material request includes at least one of user information, a relay service code, a terminal security capability, and a role list, wherein the role list includes at least one terminal role corresponding to the terminal;
  • the first receiving module is used to receive a security material response sent by the first network device, where the security material response includes security materials corresponding to the terminal, and the security materials are keys and related parameters for securely protecting discovery messages during U2U relay discovery.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the first sending module is specifically configured to:
  • U2U relay discovery information sent by the second network device, wherein the U2U relay discovery information includes at least one of the user information, the relay service code, the role list, and the address of the first network device;
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the present disclosure provides a key management device, applied to a first network device, including:
  • a second receiving module is used to receive a security material request sent by a terminal, wherein the security material request includes at least one of user information, a relay service code, terminal security capability and a role list, wherein the role list includes at least one terminal role corresponding to the terminal;
  • the second sending module is used to send a security material response to the terminal according to the security material request, and the security material response includes the security material corresponding to the terminal.
  • the security material is the key and its related parameters for securely protecting the discovery message during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the second sending module is specifically configured to:
  • the security material response is sent to the terminal based on the allowed terminal roles.
  • the second sending module is specifically configured to:
  • the allowed terminal role is determined according to the authorization information.
  • the second sending module is specifically configured to:
  • the authorization check request includes at least one of the user information, the relay service code, and the role list;
  • An authorization check response sent by the third network device is received, wherein the authorization check response includes the allowed terminal role.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the second sending module is further configured to:
  • the security material and the security policy are generated according to the relay service identified by the RSC and the role list.
  • the present disclosure provides a key management device, applied to a third network device, including:
  • a third receiving module is used to receive an authorization check request, wherein the authorization check request includes at least one of user information, a relay service code and a role list of the terminal;
  • a processing module configured to determine an allowed terminal role of the terminal according to the authorization check request
  • the third sending module is used to send an authorization check response, where the authorization check response includes the allowed terminal role.
  • the processing module is specifically used to:
  • the allowed terminal role is determined according to the authorization information.
  • the third receiving module is specifically configured to:
  • the authorization check request sent by the first network device is received.
  • the third sending module is specifically configured to:
  • the authorization check response is sent to the first network device.
  • the third receiving module is specifically configured to:
  • the first authorization check request includes at least one of the role list, the user information, and the relay service code
  • the second authorization check request includes at least one of the role list, the user information, and the relay service code
  • the authorization check request includes the first authorization check request and the second authorization check request.
  • the processing module is specifically used to:
  • a second allowed terminal role for the terminal is determined based on the second authorization check request.
  • the third sending module is specifically configured to:
  • the authorization check response includes the first authorization check response and the second authorization check response.
  • the present disclosure provides a key management device, applied to a fourth network device, including:
  • a fourth sending module configured to send a first authorization check request to a third network device, wherein the first authorization check request includes at least one of the role list, the user information, and the relay service code;
  • a fourth receiving module configured to receive a first authorization check response sent by the third network device, wherein the first authorization check response includes a first allowed terminal role
  • a fifth sending module configured to send a network device-to-network device security material request to a fifth network device, wherein the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and the terminal security capability;
  • a fifth receiving module configured to receive a second authorization check response sent by the fifth network device, wherein the second authorization check response includes a second allowed terminal role
  • the sixth sending module is used to send a security material response to the terminal according to the first allowed terminal role and the second allowed terminal role, wherein the security material response includes the security material corresponding to the terminal, and the security material is the key and its related parameters for securely protecting the discovery message during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the present disclosure provides a key management device, applied to a fifth network device, including:
  • a sixth receiving module configured to receive a network device-to-network device security material request sent by a fourth network device, wherein the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and the terminal security capability;
  • a seventh sending module configured to send a second authorization check request to a third network device according to the inter-network device security material request, wherein the second authorization check request includes at least one of the role list, the user information and the relay service code;
  • a seventh receiving module configured to receive a second authorization check response sent by the third network device, wherein the second authorization check response includes a second allowed terminal role
  • An eighth sending module is used to send the second authorization check response to the fourth network device.
  • the present disclosure provides a computer-readable storage medium, wherein the computer-readable storage medium stores a computer program, and the computer program is used to enable a computer to execute the key management method described in any one of the first aspect, the second aspect, the third aspect, the fourth aspect, or the fifth aspect.
  • the key management method, apparatus and device provided by the embodiments of the present disclosure are as follows: first, the terminal sends a security material request to the first network device, and the security material request includes at least one of user information, relay service code, terminal security capability and role list, and the role list includes at least one terminal role corresponding to the terminal; then the first network device sends a security material response to the terminal according to the security material request, and the security material response includes the security material corresponding to the terminal, and the security material is the key and its related parameters for securely protecting the discovery message during the U2U relay discovery process.
  • the scheme of the embodiments of the present disclosure in view of the situation that the terminal may correspond to multiple terminal roles in the U2U relay communication scenario, sends a role list to the first network device through a security material request, and feeds back the terminal role requested by the terminal to the first network device, so that the first network device can obtain the terminal role corresponding to the terminal according to the role list, and then sends the security material corresponding to the terminal to the terminal through a security material response.
  • the terminal only needs to make one security material request to obtain the security material corresponding to the terminal role in the role list without making multiple requests, which improves the efficiency of the key management process and reduces the signaling consumption of the terminal.
  • FIG1 is a signaling diagram of a key management method provided by an embodiment of the present disclosure.
  • FIG2 is a signaling diagram 1 of a key management method provided in an embodiment of the present disclosure.
  • FIG3 is a second signaling diagram of the key management method provided in an embodiment of the present disclosure.
  • FIG4 is a signaling diagram 3 of the key management method provided in an embodiment of the present disclosure.
  • FIG5 is a schematic diagram of the structure of a terminal provided by an embodiment of the present disclosure.
  • FIG6 is a schematic diagram of the structure of a first network device provided in an embodiment of the present disclosure.
  • FIG7 is a schematic diagram of the structure of a third network device provided in an embodiment of the present disclosure.
  • FIG8 is a schematic diagram of the structure of a fourth network device provided in an embodiment of the present disclosure.
  • FIG9 is a schematic diagram of the structure of a fifth network device provided in an embodiment of the present disclosure.
  • FIG10 is a first structural diagram of a key management device provided in an embodiment of the present disclosure.
  • FIG11 is a second structural diagram of a key management device provided in an embodiment of the present disclosure.
  • FIG12 is a third structural diagram of a key management device provided in an embodiment of the present disclosure.
  • FIG13 is a fourth structural diagram of a key management device provided in an embodiment of the present disclosure.
  • FIG. 14 is a fifth structural diagram of the key management device provided in an embodiment of the present disclosure.
  • the U2U relay communication scenario refers to the process in which the source terminal communicates with the target terminal through the relay terminal.
  • U2U relay communication first involves the source terminal discovering the relay terminal and the target terminal and establishing a communication channel accordingly. These terminals will obtain the discovery information from the network device when connected. The two parties then discover each other offline and establish a relay communication channel to complete U2U relay communication.
  • the messages exchanged between the source terminal and the target terminal, the messages exchanged between the source terminal and the relay terminal, and the messages exchanged between the target terminal and the relay terminal may be at risk of privacy leakage, which will have an adverse impact on U2U relay communication. Therefore, the terminal needs to obtain the corresponding security materials through key distribution to achieve message protection in U2U relay communication.
  • the terminal usually requests the network device for the security material corresponding to the terminal role according to the terminal role it corresponds to in the U2U relay communication.
  • the terminal may correspond to multiple terminal roles at the same time in the U2U relay communication.
  • the current key management method needs to distribute key data to each terminal role separately, and the management process is inefficient and consumes a lot of signaling.
  • an embodiment of the present disclosure provides a key management method, so that a terminal can obtain security materials of a terminal role corresponding to the terminal through a single request, thereby reducing signaling consumption.
  • FIG1 is a signaling diagram of a key management method provided by an embodiment of the present disclosure. As shown in FIG1 , the method includes:
  • the terminal sends a security material request to the first network device, the security material request includes user information, relay service code, terminal security capability and at least one item in a role list, and the role list includes at least one terminal role corresponding to the terminal.
  • the security material is used for message protection during the U2U relay communication process.
  • the security material refers to the key and its related parameters for securely protecting the discovery message during the U2U relay discovery process, where the security protection of the discovery message may include, for example, message confidentiality protection, integrity protection, and anti-replay attack protection, or other possible security protection, and the security material is the corresponding key and related parameters, which may include, for example, encryption key, integrity protection key, algorithm information, key validity period and other information.
  • the terminal may send a security material request to the first network device to request security material.
  • the security material request includes user information, relay service code, terminal security capabilities and role list. At least one of .
  • the terminal plays the corresponding terminal role in the U2U relay communication scenario, and the terminal's protection of the discovery message and the required security materials are all related to the terminal role corresponding to the terminal.
  • the source terminal is the communication initiator in the U2U relay communication scenario.
  • the source terminal can be a monitoring terminal in proximity communication mode A, or a discoverer terminal in proximity communication mode B.
  • the target terminal is a non-communication initiator in the U2U relay communication scenario.
  • the source terminal can be a notification terminal in proximity communication mode A, or a discoverer terminal in proximity communication mode B.
  • the relay terminal is used to receive discovery requests or response messages from the source terminal or the target terminal, and forward corresponding messages, etc.
  • the terminal roles involved include the relay terminal role (i.e., the terminal role as a relay terminal) and the end terminal role (i.e., the terminal role as an end terminal).
  • the end terminal role can also include the monitoring terminal role (i.e., the terminal role as a monitoring terminal in the proximity communication mode A), the notification terminal role (i.e., the terminal role as a notification terminal in the proximity communication mode A), the discoverer terminal role (i.e., the terminal role as a discoverer terminal in the proximity communication mode B) and the discovered terminal role (i.e., the terminal role as a discovered terminal in the proximity communication mode B).
  • the terminal Since the terminal may have more than one terminal role in the U2U relay communication scenario, the terminal includes a role list in the security material request sent to the first network device, and the role list includes at least one terminal role corresponding to the terminal. Through the role list, one or more terminal roles of the terminal in the U2U relay communication scenario can be reported to the first network device, so that the first network device returns the security material corresponding to the terminal role to the terminal.
  • the first network device sends a security material response to the terminal according to the security material request, the security material response includes the security material corresponding to the terminal, and the security material is the key and its related parameters for security protection of the discovery message during the U2U relay discovery process.
  • the security material is used to protect the discovery messages in the U2U relay discovery process.
  • the messages involved in the embodiments of the present disclosure include end-to-end discovery messages and relay discovery messages.
  • the end-to-end discovery messages are messages sent by the source terminal and the target terminal to discover each other;
  • the relay discovery messages are messages sent by the source terminal and the target terminal to discover each other.
  • the current messages include messages exchanged between the source terminal and the relay terminal, and messages exchanged between the target terminal and the relay terminal.
  • the security protection of the messages includes different security protections such as confidentiality protection, integrity protection, anti-replay attack protection, and scrambling protection.
  • the types of security materials used in the relay discovery process are:
  • End-to-end discovery sending security material security material used to protect the end-to-end discovery message sent to the peer end through the relay terminal.
  • End-to-end discovery reception security material security material used to remove security protection for an end-to-end discovery message sent by a peer end and received through a relay terminal.
  • Relay discovery sending security material security material used to protect the sent relay discovery message.
  • the relay discovery sending security material is associated with the relay service code (RSC).
  • Relay discovery receiving security material security material used to remove security protection for received relay discovery messages.
  • Relay discovery receiving security material is associated with RSC.
  • the types of security materials configured by the first network device are also different.
  • the security materials received by the source terminal may include at least one of the end-to-end discovery sending security materials, the end-to-end discovery receiving security materials, the relay discovery sending security materials, and the relay discovery receiving security materials;
  • the security materials received by the target terminal may include at least one of the end-to-end discovery sending security materials, the end-to-end discovery receiving security materials, the relay discovery sending security materials, and the relay discovery receiving security materials;
  • the security materials received by the relay terminal may include at least one of the relay discovery sending security materials and the relay discovery receiving security materials.
  • the key in the security material can be a symmetric key or an asymmetric key, and this embodiment does not limit this.
  • the first network device After receiving the security material request sent by the terminal, the first network device can obtain the role list of the terminal according to the security material request, so as to determine the security material configured for the terminal according to the terminal role in the role list. Then, the first network device sends a security material response to the terminal, and the security material response includes the security material corresponding to the terminal.
  • the security material response may include security materials corresponding to some terminal roles in the role list of the terminal, or may include security materials corresponding to all terminal roles in the role list. That is, the first network device may send the security materials required by the terminal to the terminal through one security material response, or may send the security materials required by the terminal to the terminal through multiple security material responses, which is not limited in this embodiment.
  • the security material response includes an array; each item in the array describes a terminal role and the security material it needs to send and/or receive.
  • the format of the items in the array can be: (role identifier, [key type: key value], [key type: key value], ).
  • the newly added key material can be provided by adding a new key material type.
  • the security material in the security material response can be embodied in the form of an array or in other forms, and this embodiment is not limited to this.
  • the key management method provided by the embodiment of the present disclosure is that first, the terminal sends a security material request to the first network device, and the security material request includes at least one of user information, relay service code, terminal security capability and role list, and the role list includes at least one terminal role corresponding to the terminal; then the first network device sends a security material response to the terminal according to the security material request, and the security material response includes the security material corresponding to the terminal, and the security material is the key and its related parameters for security protection of the discovery message during the U2U relay discovery process.
  • the scheme of the embodiment of the present disclosure for the situation that the terminal may correspond to multiple terminal roles in the U2U relay communication scenario, sends a role list to the first network device through a security material request, and feeds back the terminal role requested by the terminal to the first network device, so that the first network device can obtain the terminal role corresponding to the terminal according to the role list, and then send the security material corresponding to the terminal to the terminal through a security material response.
  • the terminal only needs to obtain the security material corresponding to the terminal role in the role list through a security material request once, without making multiple requests, which improves the efficiency of the key management process and reduces the signaling consumption of the terminal.
  • FIG. 2 is a signaling diagram 1 of a key management method provided in an embodiment of the present disclosure. As shown in FIG. 2 , the method includes:
  • S21 The second network device sends U2U relay discovery information to the terminal.
  • the second network device provides U2U relay discovery information for U2U relay discovery to the terminal.
  • the U2U relay discovery information may include user information, a relay service code, a role list, and an address of the first network device.
  • the network element that provides the U2U relay discovery information may be a policy control function (PCF) or a 5G direct discovery name management function (5G DDNMF), that is, the second network device may be a PCF or a 5G DDNMF.
  • the U2U relay discovery information may also be pre-configured to the terminal by other methods.
  • the role list describes the roles that the terminal can play in the relay service.
  • a terminal can play multiple roles in the relay service.
  • a terminal can have multiple roles such as discoverer terminal role, discovered terminal role and relay terminal role.
  • the role list includes at least one terminal role corresponding to the terminal.
  • S22 The terminal sends a security material request to the first network device according to the U2U relay discovery information.
  • the terminal can send a security material request to the first network device based on the address of the first network device in the U2U relay discovery information.
  • the security material request includes user information, relay service code, terminal security capabilities and at least one item in the role list, and the role list includes at least one terminal role corresponding to the terminal.
  • the network element that receives the security material request may be a U2U relay key management function in the core network, that is, the first network device is a U2U relay key management function.
  • S23 The first network device determines the allowed terminal role of the terminal according to the security material request.
  • the first network device determines corresponding authorization information according to the user information and the relay service code, and the authorization information is used to indicate whether the terminal has a terminal role in the role list. Then, the first network device determines the allowed terminal role according to the authorization information.
  • the first network device sends a security material response to the terminal according to the allowed terminal role.
  • the first network device can send a security material response to the terminal.
  • the security material response includes the security material corresponding to the terminal.
  • the security material is the key and its related parameters for securely protecting the discovery message during the U2U relay discovery process.
  • the security material response also includes a security policy, which is used to indicate whether to enable the security of the end-to-end discovery message during the U2U relay discovery process and to indicate the processing of the security material.
  • the security policy may include at least one of the following:
  • Enable all end-to-end message security When the source terminal or the target terminal sends a discovery message, it needs to perform security protection on the message sent to the peer terminal through the relay terminal.
  • the message security protection may include confidentiality protection, integrity protection, scrambling protection, etc.
  • Enable all end-to-end message security means that the terminal needs to enable all security protections such as confidentiality protection, integrity protection, scrambling protection, etc.
  • Do not enable end-to-end message security When sending a discovery message, the source terminal or the target terminal does not need to perform any security protection on the message sent to the peer terminal through the relay terminal.
  • Enable partial end-to-end message security When sending a discovery message, the source terminal or the target terminal can decide to perform partial security protection on the message sent to the peer terminal through the relay terminal as needed. For example, only confidentiality protection can be enabled, only integrity protection can be enabled, only scrambling protection can be enabled, and so on.
  • FIG3 is a signaling diagram 2 of the key management method provided by an embodiment of the present disclosure. As shown in FIG3 , the method includes:
  • S31 The second network device sends U2U relay discovery information to the terminal.
  • S32 The terminal sends a security material request to the first network device according to the U2U relay discovery information.
  • the first network device sends an authorization check request to the third network device, where the authorization check request includes at least one of user information, a relay service code, and a role list.
  • the first network device performs an authorization check by itself to determine the allowed terminal role
  • the third network device performs an authorization check to determine the allowed terminal role.
  • the network element that performs the authorization check may be a U2U relay service authorization function, that is, the third network device is a U2U relay service authorization function.
  • S34 The third network device determines the allowed terminal role of the terminal according to the authorization check request.
  • the third network device determines the corresponding authorization information according to the user information and the relay service code, and the authorization information is used to indicate whether the terminal has a terminal role in the role list. Then, the third network device determines the allowed terminal role according to the authorization information.
  • the third network device sends an authorization check response to the first network device, where the authorization check response includes an allowed terminal role.
  • the third network device may send an authorization check response to the first network device, wherein the authorization check response includes the allowed terminal role.
  • the first network device may obtain the allowed terminal role.
  • S36 The first network device sends a security material response to the terminal according to the allowed terminal role.
  • the first network device may send a security material response to the terminal according to the allowed terminal role.
  • the security material response includes security materials corresponding to the terminal.
  • the security materials are keys and related parameters for securely protecting discovery messages during the U2U relay discovery process.
  • the security material response also includes a security policy, which is used to indicate whether to enable the security of the end-to-end discovery message during the U2U relay discovery process and to indicate the processing of the security material.
  • a security policy which is used to indicate whether to enable the security of the end-to-end discovery message during the U2U relay discovery process and to indicate the processing of the security material.
  • FIG4 is a signaling diagram 3 of the key management method provided in an embodiment of the present disclosure, as shown in FIG4 , including:
  • S401 The second network device sends U2U relay discovery information to the terminal.
  • the terminal sends a security material request to a fourth network device according to the U2U relay discovery information.
  • the fourth network device sends a first authorization check request to the third network device, where the first authorization check request includes at least one of a role list, user information, and a relay service code.
  • the difference from the embodiment of FIG. 3 is that the embodiment of FIG. 3 is a centralized key management, and the key management and distribution are completed by the first network device, while the embodiment of FIG. 4 is a distributed key management, and the key management and distribution are completed by the fourth network device and the fifth network device.
  • the fourth network device may be a U2U relay key management function in a Home Public Land Mobile Network (HPLMN), and the fifth network device may be a virtual public land mobile network.
  • HPLMN Home Public Land Mobile Network
  • the present invention relates to U2U relay key management function in Virtual Public Land Mobile Network (VPLMN).
  • VPN Virtual Public Land Mobile Network
  • the third network device determines a first allowed terminal role of the terminal according to the first authorization check request.
  • the third network device determines the corresponding authorization information according to the user information and the relay service code, and the authorization information is used to indicate whether the terminal has a terminal role in the role list. Then, the third network device determines the first allowed terminal role according to the authorization information.
  • the third network device sends a first authorization check response to the fourth network device, where the first authorization check response includes a first allowed terminal role.
  • the third network device may send a first authorization check response to the fourth network device, wherein the first authorization check response includes the first allowed terminal role.
  • the fourth network device may obtain the first allowed terminal role.
  • the fourth network device sends a network device-to-network device security material request to the fifth network device, where the network device-to-network device security material request includes at least one of the first allowed terminal role, user information, relay service code, and terminal security capability.
  • the fifth network device sends a second authorization check request to the third network device, where the second authorization check request includes at least one of a role list, user information, and a relay service code.
  • the third network device determines a second allowed terminal role of the terminal according to the second authorization check request.
  • the third network device determines the corresponding authorization information according to the user information and the relay service code, and the authorization information is used to indicate whether the terminal has a terminal role in the role list. Then, the third network device determines the second allowed terminal role according to the authorization information.
  • the third network device sends a second authorization check response to the fifth network device, where the second authorization check response includes a second allowed terminal role.
  • the third network device may send a second authorization check response to the fifth network device, where the second authorization check response includes the second allowed terminal role. After the network device receives the authorization check response, it can obtain the second allowed terminal role.
  • the fifth network device sends a second authorization check response to the fourth network device.
  • the fourth network device sends a security material response to the terminal.
  • the fourth network device can obtain the second allowed terminal role according to the second authorization check response, and then determine the allowed terminal role of the terminal according to the first allowed terminal role and the second allowed terminal role.
  • the intersection of the first allowed terminal role and the second allowed terminal role can be taken as the allowed terminal role; the union of the first allowed terminal role and the second allowed terminal role can also be taken as the allowed terminal role; the first allowed terminal role and the second allowed terminal role can also be processed in other possible ways to obtain the allowed terminal role, which is not limited in this embodiment.
  • the fourth network device can send a security material response to the terminal according to the allowed terminal role.
  • the security material response includes security materials corresponding to the terminal.
  • the security materials are keys and related parameters for securely protecting discovery messages during the U2U relay discovery process.
  • the security material response also includes a security policy, which is used to indicate whether to enable the security of the end-to-end discovery message during the U2U relay discovery process and to indicate the processing of the security material.
  • a security policy which is used to indicate whether to enable the security of the end-to-end discovery message during the U2U relay discovery process and to indicate the processing of the security material.
  • the terminal only needs to make one security material request to obtain the security material corresponding to the terminal role in the role list without making multiple requests, thereby improving the efficiency of the key management process and reducing the signaling consumption of the terminal.
  • FIG5 is a schematic diagram of the structure of a terminal provided by an embodiment of the present disclosure.
  • the terminal includes a memory 520, a transceiver 500, and a processor 510, wherein:
  • the memory 520 is used to store computer programs; the transceiver 500 is used to send and receive data under the control of the processor 510; the processor 510 is used to read the computer program in the memory 520 and perform the following operations:
  • the security material request including at least one of user information, a relay service code, terminal security capability, and a role list, the role list including at least one terminal role corresponding to the terminal;
  • the security material response includes The security material corresponding to the terminal is a key and its related parameters for protecting the discovery message during the U2U relay discovery process.
  • the bus architecture may include any number of interconnected buses and bridges, specifically one or more processors represented by processor 510 and various circuits of memory represented by memory 520 are linked together.
  • the bus architecture can also link various other circuits such as peripherals, regulators, and power management circuits together, which are all well known in the art and are therefore not further described herein.
  • the bus interface provides an interface.
  • the transceiver 500 may be a plurality of components, namely, a transmitter and a receiver, providing a unit for communicating with various other devices on a transmission medium, and these transmission media include transmission media such as wireless channels, wired channels, and optical cables.
  • the user interface 530 may also be an interface that can be connected to external and internal devices, and the connected devices include but are not limited to keypads, displays, speakers, microphones, joysticks, etc.
  • the processor 510 is responsible for managing the bus architecture and general processing, and the memory 520 can store data used by the processor 510 when performing operations.
  • processor 510 can be a central processing unit (CPU), an application specific integrated circuit (ASIC), a field programmable gate array (FPGA) or a complex programmable logic device (CPLD), and the processor can also adopt a multi-core architecture.
  • CPU central processing unit
  • ASIC application specific integrated circuit
  • FPGA field programmable gate array
  • CPLD complex programmable logic device
  • the processor calls the computer program stored in the memory to execute any of the methods provided by the embodiments of the present disclosure according to the obtained executable instructions.
  • the processor and the memory can also be arranged physically separately.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the sending of the security material request to the first network device include:
  • U2U relay discovery information sent by the second network device, wherein the U2U relay discovery information includes at least one of the user information, the relay service code, the role list, and the address of the first network device;
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • FIG6 is a schematic diagram of the structure of a first network device provided in an embodiment of the present disclosure.
  • the first network device includes a memory 620, a transceiver 600, and a processor 610, wherein:
  • the memory 620 is used to store computer programs; the transceiver 600 is used to send and receive data under the control of the processor 610; the processor 610 is used to read the computer program in the memory 620 and perform the following operations:
  • the security material request including at least one of user information, a relay service code, terminal security capability, and a role list, the role list including at least one terminal role corresponding to the terminal;
  • the security material response includes the security material corresponding to the terminal, and the security material is a key and its related parameters for securely protecting the discovery message during the U2U relay discovery process.
  • the transceiver 600 is used to receive and send data under the control of the processor 610 .
  • the bus architecture can include any number of interconnected buses and bridges, specifically one or more processors represented by processor 610 and various circuits of memory represented by memory 620 are linked together.
  • the bus architecture can also link various other circuits such as peripheral devices, voltage regulators, and power management circuits together, which are all well known in the art, so they are not further described herein.
  • the bus interface provides an interface.
  • the transceiver 600 can be a plurality of components, that is, including a transmitter and a receiver, providing a unit for communicating with various other devices on a transmission medium, and these transmission media include transmission media such as wireless channels, wired channels, and optical cables.
  • the processor 610 is responsible for managing the bus architecture and general processing, and the memory 620 can store data used by the processor 610 when performing operations.
  • the processor 610 may be a CPU, an ASIC, an FPGA or a CPLD, and the processor may also adopt a multi-core architecture.
  • the processor calls the computer program stored in the memory to execute any of the methods provided by the embodiments of the present disclosure according to the obtained executable instructions.
  • the processor and the memory can also be arranged physically separately.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the sending a security material response to the terminal according to the security material request includes:
  • the security material response is sent to the terminal based on the allowed terminal roles.
  • determining the allowed terminal role of the terminal according to the security material request includes:
  • the allowed terminal role is determined according to the authorization information.
  • determining the allowed terminal role of the terminal according to the security material request includes:
  • the authorization check request includes at least one of the user information, the relay service code, and the role list;
  • An authorization check response sent by the third network device is received, wherein the authorization check response includes the allowed terminal role.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the processor 610 is further configured to read the computer program in the memory and perform the following operations:
  • the security material and the security policy are generated according to the relay service identified by the RSC and the role list.
  • first network device provided in the embodiment of the present invention can implement all the method steps implemented by the method embodiment in which the execution subject is the first network device, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • FIG. 7 is a schematic diagram of the structure of a third network device provided in an embodiment of the present disclosure.
  • the third network device includes a memory 720, a transceiver 700, and a processor 710, wherein:
  • the memory 720 is used to store computer programs; the transceiver 700 is used to send and receive data under the control of the processor 710; the processor 710 is used to read the computer program in the memory 720 and perform the following operations:
  • the authorization check request includes at least one of user information, a relay service code, and a role list of the terminal;
  • An authorization check response is sent, wherein the authorization check response includes the allowed terminal roles.
  • the transceiver 700 is used to receive and send data under the control of the processor 710.
  • the bus architecture may include any number of interconnected buses and bridges, specifically one or more processors represented by processor 710 and various circuits of memory represented by memory 720 are linked together.
  • the bus architecture may also link together various other circuits such as peripherals, voltage regulators, and power management circuits, which are well known in the art and are therefore not further described herein.
  • the bus interface provides an interface.
  • the transceiver 700 may be a plurality of components, namely, a transmitter and a receiver, providing a unit for communicating with various other devices on a transmission medium, which transmission medium includes transmission media such as wireless channels, wired channels, and optical cables.
  • the processor 710 is responsible for managing the bus architecture and general processing, and the memory 720 may store data used by the processor 710 when performing operations.
  • the processor 710 may be a CPU, an ASIC, an FPGA or a CPLD, and the processor may also adopt a multi-core architecture.
  • the processor calls the computer program stored in the memory to execute any of the methods provided by the embodiments of the present disclosure according to the obtained executable instructions.
  • the processor and the memory can also be arranged physically separately.
  • the determining the allowed terminal role of the terminal according to the authorization check request includes:
  • the allowed terminal role is determined according to the authorization information.
  • the receiving the authorization check request includes:
  • the authorization check request sent by the first network device is received.
  • the sending an authorization check response includes:
  • the authorization check response is sent to the first network device.
  • the receiving the authorization check request includes:
  • the first authorization check request includes at least one of the role list, the user information, and the relay service code
  • the second authorization check request includes at least one of the role list, the user information, and the relay service code
  • the authorization check request includes the first authorization check request and the second authorization check request.
  • the determining the allowed terminal role of the terminal according to the authorization check request includes:
  • a second allowed terminal role for the terminal is determined based on the second authorization check request.
  • the sending an authorization check response includes:
  • the authorization check response includes the first authorization check response and the second authorization check response.
  • the above-mentioned third network device provided in the embodiment of the present invention can implement all the method steps implemented by the method embodiment in which the execution subject is the third network device, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • FIG8 is a schematic diagram of the structure of a fourth network device provided in an embodiment of the present disclosure.
  • the fourth network device includes a memory 820, a transceiver 800, and a processor 810, wherein:
  • the memory 820 is used to store computer programs; the transceiver 800 is used to send and receive data under the control of the processor 810; the processor 810 is used to read the computer program in the memory 820 and perform the following operations:
  • the first authorization check request includes at least one of the role list, the user information, and the relay service code
  • the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and terminal security capabilities;
  • a security material response is sent to the terminal, wherein the security material response includes security materials corresponding to the terminal, and the security materials are keys and related parameters for securely protecting discovery messages during the U2U relay discovery process.
  • the transceiver 800 is used to receive and send data under the control of the processor 810.
  • the bus architecture can include any number of interconnected buses and bridges, specifically one or more processors represented by processor 810 and various circuits of memory represented by memory 820 are linked together.
  • the bus architecture can also link various other circuits such as peripheral devices, voltage regulators, and power management circuits together, which are all well known in the art, so they are not further described herein.
  • the bus interface provides an interface.
  • the transceiver 800 can be a plurality of components, that is, including a transmitter and a receiver, providing a unit for communicating with various other devices on a transmission medium, and these transmission media include transmission media such as wireless channels, wired channels, and optical cables.
  • the processor 810 is responsible for managing the bus architecture and general processing, and the memory 820 can store data used by the processor 810 when performing operations.
  • the processor 810 may be a CPU, an ASIC, an FPGA or a CPLD, and the processor may also adopt a multi-core architecture.
  • the processor calls the computer program stored in the memory to execute any of the methods provided by the embodiments of the present disclosure according to the obtained executable instructions.
  • the processor and the memory can also be arranged physically separately.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the above-mentioned fourth network device provided in the embodiment of the present invention can implement all the method steps implemented by the method embodiment in which the execution subject is the fourth network device, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as those of the method embodiment will not be described in detail here.
  • FIG9 is a schematic diagram of the structure of a fifth network device provided in an embodiment of the present disclosure.
  • the fifth network device includes a memory 920, a transceiver 900, and a processor 910, wherein:
  • the memory 920 is used to store computer programs; the transceiver 900 is used to send and receive data under the control of the processor 910; the processor 910 is used to read the computer program in the memory 920 and perform the following operations:
  • the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and terminal security capability;
  • the second authorization check response is sent to the fourth network device.
  • the transceiver 900 is used to receive and send data under the control of the processor 910.
  • the bus architecture may include any number of interconnected buses and bridges, specifically one or more processors represented by processor 910 and each memory represented by memory 920.
  • the bus architecture may also link various other circuits such as peripherals, voltage regulators, and power management circuits together, which are well known in the art and are therefore not further described herein.
  • the bus interface provides an interface.
  • the transceiver 900 may be a plurality of components, namely, a transmitter and a receiver, providing a unit for communicating with various other devices on a transmission medium, which may include wireless channels, wired channels, optical cables, and other transmission media.
  • the processor 910 is responsible for managing the bus architecture and general processing, and the memory 920 may store data used by the processor 910 when performing operations.
  • the processor 910 may be a CPU, an ASIC, an FPGA or a CPLD, and the processor may also adopt a multi-core architecture.
  • the processor calls the computer program stored in the memory to execute any of the methods provided by the embodiments of the present disclosure according to the obtained executable instructions.
  • the processor and the memory can also be arranged physically separately.
  • the above-mentioned fifth network device provided in the embodiment of the present invention can implement all the method steps implemented by the method embodiment in which the execution subject is the fifth network device, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • FIG10 is a schematic diagram of the structure of a key management device provided in an embodiment of the present disclosure, which is applied to a terminal.
  • the key management device 100 includes:
  • a first sending module 101 is used to send a security material request to a first network device, wherein the security material request includes at least one of user information, a relay service code, a terminal security capability, and a role list, wherein the role list includes at least one terminal role corresponding to the terminal;
  • the first receiving module 102 is used to receive a security material response sent by the first network device, wherein the security material response includes security materials corresponding to the terminal, and the security materials are keys and related parameters for securely protecting discovery messages during U2U relay discovery.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the first sending module 101 is specifically configured to:
  • U2U relay discovery information sent by the second network device, wherein the U2U relay discovery information includes at least one of the user information, the relay service code, the role list, and the address of the first network device;
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the key management device provided by the embodiment of the present disclosure can implement all the method steps implemented by the method embodiment in which the execution subject is the terminal, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • FIG. 11 is a second structural diagram of a key management device provided in an embodiment of the present disclosure, which is applied to a first network device.
  • the key management device 110 includes:
  • the second receiving module 111 is used to receive a security material request sent by a terminal, wherein the security material request includes at least one of user information, a relay service code, terminal security capability and a role list, wherein the role list includes at least one terminal role corresponding to the terminal;
  • the second sending module 112 is used to send a security material response to the terminal according to the security material request, wherein the security material response includes the security material corresponding to the terminal, and the security material is a key and related parameters for securely protecting the discovery message during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the second sending module 112 is specifically configured to:
  • the security material response is sent to the terminal based on the allowed terminal roles.
  • the second sending module 112 is specifically configured to:
  • the allowed terminal role is determined according to the authorization information.
  • the second sending module 112 is specifically configured to:
  • the authorization check request includes at least one of the user information, the relay service code, and the role list;
  • An authorization check response sent by the third network device is received, wherein the authorization check response includes the allowed terminal role.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the second sending module 112 is further configured to:
  • the security material and the security policy are generated according to the relay service identified by the RSC and the role list.
  • the key management device provided by the embodiment of the present disclosure can implement all the method steps implemented by the method embodiment in which the execution subject is the first network device, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • FIG. 12 is a third structural diagram of a key management device provided in an embodiment of the present disclosure, which is applied to a third network device. As shown in FIG. 12 , the key management device 120 includes:
  • the third receiving module 121 is used to receive an authorization check request, wherein the authorization check request includes at least one of user information, a relay service code and a role list of the terminal;
  • a processing module 122 configured to determine an allowed terminal role of the terminal according to the authorization check request
  • the third sending module 123 is configured to send an authorization check response, wherein the authorization check response includes the allowed terminal role.
  • processing module 122 is specifically configured to:
  • the allowed terminal role is determined according to the authorization information.
  • the receiving an authorization check request includes:
  • the authorization check request sent by the first network device is received.
  • the third receiving module 121 is specifically configured to:
  • the authorization check response is sent to the first network device.
  • the third receiving module 121 is specifically configured to:
  • the first authorization check request includes at least one of the role list, the user information, and the relay service code
  • the second authorization check request includes at least one of the role list, the user information, and the relay service code
  • the authorization check request includes the first authorization check request and the second authorization check request.
  • processing module 122 is specifically configured to:
  • a second allowed terminal role for the terminal is determined based on the second authorization check request.
  • the third sending module 123 is specifically configured to:
  • the authorization check response includes the first authorization check response and the second authorization check response.
  • the key management device provided by the embodiment of the present disclosure can implement all the method steps implemented by the method embodiment in which the execution subject is the third network device, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • FIG. 13 is a fourth structural diagram of a key management device provided in an embodiment of the present disclosure, which is applied to a fourth network device.
  • the key management device 130 includes:
  • the fourth sending module 131 is used to send a first authorization check request to the third network device, wherein the first authorization check request includes at least one of the role list, the user information and the relay service code;
  • a fourth receiving module 132 is configured to receive a first authorization check response sent by the third network device, wherein the first authorization check response includes a first allowed terminal role;
  • a fifth sending module 133 configured to send a network device-to-network device security material request to a fifth network device, wherein the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and the terminal security capability;
  • a fifth receiving module 134 is configured to receive a second authorization check response sent by the fifth network device, wherein the second authorization check response includes a second allowed terminal role;
  • the sixth sending module 135 is used to send a security material response to the terminal according to the first allowed terminal role and the second allowed terminal role, wherein the security material response includes the security material corresponding to the terminal, and the security material is the key and its related parameters for securely protecting the discovery message during the U2U relay discovery process.
  • the safety material includes at least one of the following:
  • End-to-end discovery sends secure material
  • Relay discovery receives secure material.
  • the security material response further includes a security policy, where the security policy is used to indicate how to process the security material during the U2U relay discovery process.
  • the security policy includes at least one of the following:
  • the key management device provided by the embodiment of the present disclosure can implement all the method steps implemented by the method embodiment in which the execution subject is the fourth network device, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • FIG. 14 is a structural diagram 5 of a key management device provided in an embodiment of the present disclosure, which is applied to a fifth network device. As shown in FIG. 14 , the key management device 140 includes:
  • a sixth receiving module 141 is configured to receive a network device-to-network device security material request sent by a fourth network device, wherein the network device-to-network device security material request includes at least one of the first allowed terminal role, the user information, the relay service code, and the terminal security capability;
  • a seventh sending module 142 configured to send a second authorization check request to a third network device according to the inter-network device security material request, wherein the second authorization check request includes at least one of the role list, the user information, and the relay service code;
  • a seventh receiving module 143 configured to receive a second authorization check response sent by the third network device, wherein the second authorization check response includes a second allowed terminal role;
  • the eighth sending module 144 is configured to send the second authorization check response to the fourth network device.
  • the key management device provided by the embodiment of the present disclosure can implement all the method steps implemented by the method embodiment in which the execution subject is the fifth network device, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • the division of units/modules in the above embodiments of the present disclosure is schematic and is only a logical function division. There may be other division methods in actual implementation.
  • the functional units in the various embodiments of the present disclosure may be integrated into a processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated units may be implemented in the form of hardware or in the form of software functional units.
  • the integrated unit is implemented in the form of a software functional unit and sold or used as an independent product, it can be stored in a processor-readable storage medium.
  • the technical solution of the present disclosure is essentially or the part that contributes to the prior art or all or part of the technical solution can be embodied in the form of a software product.
  • the computer software product is stored in a storage medium, including several instructions to enable a computer device (which can be a personal computer, server, or network device, etc.) or a processor (processor) to perform all or part of the steps of the method described in each embodiment of the present disclosure.
  • the aforementioned storage medium includes: U disk, mobile hard disk, read-only memory (ROM), random access memory (RAM), disk or optical disk and other media that can store program code.
  • a computer-readable storage medium is further provided, wherein the computer-readable storage medium stores a computer program, and the computer program is used to enable a computer to execute the key management method provided by the above-mentioned method embodiments.
  • the above-mentioned computer-readable storage medium provided by the embodiment of the present disclosure can implement all the method steps implemented by the above-mentioned method embodiments, and can achieve the same technical effect.
  • the parts and beneficial effects of this embodiment that are the same as the method embodiment will not be described in detail here.
  • the computer-readable storage medium can be any available medium or data storage device that can be accessed by the processor, including but not limited to magnetic storage (such as floppy disks, hard disks, magnetic tapes, magneto-optical disks (MO), etc.), optical storage (such as CD, DVD, BD, HVD, etc.), and semiconductor storage (such as ROM, EPROM, EEPROM, non-volatile memory (NAND FLASH), solid-state drive (SSD)), etc.
  • magnetic storage such as floppy disks, hard disks, magnetic tapes, magneto-optical disks (MO), etc.
  • optical storage such as CD, DVD, BD, HVD, etc.
  • semiconductor storage such as ROM, EPROM, EEPROM, non-volatile memory (NAND FLASH), solid-state drive (SSD)
  • first in the embodiments of the present disclosure, the terms “first”, “second”, etc. are used It is used to distinguish similar objects, rather than to describe a specific order or sequence. It should be understood that the terms used in this way are interchangeable where appropriate, so that the embodiments of the present disclosure can be implemented in an order other than those illustrated or described herein, and the objects distinguished by “first” and “second” are generally of the same type, and the number of objects is not limited.
  • the first object can be one or more.
  • the term "and/or” describes the association relationship of associated objects, indicating that three relationships may exist.
  • a and/or B may represent three situations: A exists alone, A and B exist at the same time, and B exists alone.
  • the character "/" generally indicates that the associated objects before and after are in an "or” relationship.
  • plurality in the embodiments of the present disclosure refers to two or more than two, and other quantifiers are similar thereto.
  • the applicable systems can be global system of mobile communication (GSM) system, code division multiple access (CDMA) system, wideband code division multiple access (WCDMA) general packet radio service (GPRS) system, long term evolution (LTE) system, LTE frequency division duplex (FDD) system, LTE time division duplex (TDD) system, long term evolution advanced (LTE-A) system, universal mobile telecommunication system (UMTS), worldwide interoperability for microwave access (WiMAX) system, 5G new radio (NR) system, etc.
  • GSM global system of mobile communication
  • CDMA code division multiple access
  • WCDMA wideband code division multiple access
  • GPRS general packet radio service
  • LTE long term evolution
  • FDD LTE frequency division duplex
  • TDD LTE time division duplex
  • LTE-A long term evolution advanced
  • UMTS universal mobile telecommunication system
  • WiMAX worldwide interoperability for microwave access
  • NR new radio
  • the system can also include core network parts, such as the Evolved Packet
  • the terminal device involved in the embodiments of the present disclosure may be a device that provides voice and/or data connectivity to a user, a handheld device with a wireless connection function, or other processing devices connected to a wireless modem, etc.
  • the name of the terminal device may also be different.
  • the terminal device may be called a user equipment (UE).
  • UE user equipment
  • Wireless terminal devices can communicate with one or more core networks (CN) via a radio access network (RAN).
  • RAN radio access network
  • Wireless terminal devices can be mobile terminal devices, such as mobile phones (or "cellular" phones) and computers with mobile terminal devices, for example, portable, pocket-sized, handheld, computer-built-in or vehicle-mounted mobile devices, which exchange language and/or data with the radio access network.
  • personal communication services such as mobile phones (or "cellular" phones) and computers with mobile terminal devices, for example, portable, pocket-sized, handheld, computer-built-in or vehicle-mounted mobile devices, which exchange language and/or data with the radio access network.
  • personal communication services such as mobile phones
  • Wireless terminal equipment can also be called system, subscriber unit, subscriber station, mobile station, mobile station, remote station, access point, remote terminal equipment (remote terminal), access terminal equipment (access terminal), user terminal equipment (user terminal), user agent (user agent), user device (user device), which is not limited in the embodiments of the present disclosure.
  • the network device involved in the embodiments of the present disclosure may be a base station, which may include multiple cells providing services for terminals.
  • the base station may also be called an access point, or may be a device in an access network that communicates with a wireless terminal device through one or more sectors on an air interface, or may be another name.
  • the network device may be used to interchange received air frames with Internet Protocol (IP) packets, and serve as a router between the wireless terminal device and the rest of the access network, wherein the rest of the access network may include an Internet Protocol (IP) communication network.
  • IP Internet Protocol
  • the network device may also coordinate the attribute management of the air interface.
  • the network device involved in the embodiments of the present disclosure may be a network device (Base Transceiver Station, BTS) in the Global System for Mobile communications (Global System for Mobile communications, GSM) or Code Division Multiple Access (Code Division Multiple Access, CDMA), or a network device (NodeB) in Wide-band Code Division Multiple Access (WCDMA), or an evolved network device (evolutional Node B, eNB or e-NodeB) in the Long Term Evolution (long term evolution, LTE) system, a 5G base station (gNB) in the 5G network architecture (next generation system), or a Home evolved Node B (HeNB), a relay node, or a home base station.
  • the network equipment may include a centralized unit (CU) node and a distributed unit (DU) node, and the centralized unit and the distributed unit may also be arranged geographically separately.
  • Network devices and terminal devices can each use one or more antennas for multiple input multiple output (MIMO) transmission.
  • MIMO transmission can be single user MIMO (SU-MIMO) or multi-user MIMO (MU-MIMO).
  • MIMO transmission can be 2D-MIMO, 3D-MIMO, FD-MIMO or massive-MIMO, or it can be diversity transmission, precoded transmission or beamforming transmission, etc.
  • the embodiments of the present disclosure may be provided as methods, systems, or computer program products. Therefore, the present disclosure may take the form of a complete hardware embodiment, a complete software embodiment, or an embodiment combining software and hardware. Moreover, the present disclosure may take the form of a computer program product implemented on one or more computer-usable storage media (including but not limited to disk storage and optical storage, etc.) containing computer-usable program code.
  • a computer-usable storage media including but not limited to disk storage and optical storage, etc.
  • each process and/or box in the flowchart and/or block diagram, as well as the combination of the process and/or box in the flowchart and/or block diagram can be implemented by computer executable instructions.
  • These computer executable instructions can be provided to a processor of a general-purpose computer, a special-purpose computer, an embedded processor or other programmable data processing device to produce a machine, so that the instructions executed by the processor of the computer or other programmable data processing device produce a device for implementing the functions specified in one process or multiple processes in the flowchart and/or one box or multiple boxes in the block diagram.
  • processor-executable instructions may also be stored in a processor-readable memory that can direct a computer or other programmable data processing device to operate in a specific manner, so that the instructions stored in the processor-readable memory produce a product including an instruction device that implements the functions specified in one or more processes in the flowchart and/or one or more boxes in the block diagram.
  • processor-executable instructions can also be loaded into a computer or other programmable data processing device
  • the device causes a series of operation steps to be executed on a computer or other programmable device to produce a computer-implemented process, so that the instructions executed on the computer or other programmable device provide steps for implementing the functions specified in one or more processes in the flowchart and/or one or more boxes in the block diagram.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本公开提供一种密钥管理方法、装置及设备，该方法应用于终端，包括：向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在终端至终端U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。

Description

密钥管理方法、装置及设备
相关申请的交叉引用
本申请要求于2022年09月30日提交的申请号为202211217084.5，发明名称为“密钥管理方法、装置及设备”的中国专利申请的优先权，其通过引用方式全部并入本文。
技术领域
本公开涉及通信技术领域，尤其涉及一种密钥管理方法、装置及设备。
背景技术
第五代移动通信系统(Fifth Generation Mobile Networks，5G)临近通信中，支持用户设备(User Equipment，UE)至UE中继(UE-to-UE Relay，U2U Relay)通信场景，也即源UE(Source UE)通过中继UE(RelayUE)与目标UE(Target UE)进行通信。
U2U中继通信首先涉及到源UE对中继UE和目标UE的发现，并据此建立通信通道。这些UE将在连线状态下从网络设备获得用于发现过程的相关信息，然后在离线状态下发现彼此，并建立中继通信通道，完成U2U中继通信。在U2U中继通信中，通常会采用密钥来对通信过程进行保护，以保证通信过程的安全。而采用密钥对通信过程进行保护的前提是UE需要提前申请对应的密钥数据。
目前，UE通常是根据其在U2U中继通信中对应的终端角色，向网络设备请求该终端角色对应的密钥数据的。而UE在U2U中继通信中可能会同时对应多个终端角色，目前的密钥管理方式需要分别针对UE的每个终端角色进行密钥数据的分发，其管理过程效率较低，信令消耗较大。
发明内容
本公开提供一种密钥管理方法、装置及设备，以提高密钥管理过程效率，减小信令消耗。
第一方面，本公开提供一种密钥管理方法，应用于终端，所述方法包括：
向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在终端至终端U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述向第一网络设备发送安全材料请求，包括：
接收第二网络设备发送的U2U中继发现信息，所述U2U中继发现信息中包括所述用户信息、所述中继服务代码、所述角色列表和第一网络设备的地址中的至少一项；
根据所述U2U中继发现信息，向所述第一网络设备发送所述安全材料请求。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
第二方面，本公开提供一种密钥管理方法，应用于第一网络设备，所述方法包括：
接收终端发送的安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
根据所述安全材料请求向所述终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述根据所述安全材料请求向所述终端发送安全材料响应，包括：
根据所述安全材料请求，确定所述终端的允许终端角色；
根据所述允许终端角色，向所述终端发送所述安全材料响应。
在一种可能的实施方式中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
向第三网络设备发送授权检查请求，所述授权检查请求中包括所述用户信息、所述中继服务代码和所述角色列表中的至少一项；
接收所述第三网络设备发送的授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
在一种可能的实施方式中，所述方法还包括：
根据中继服务标识码RSC标识的中继服务和所述角色列表，生成所述安全材料和所述安全策略。
第三方面，本公开提供一种密钥管理方法，应用于第三网络设备，所述方法包括：
接收授权检查请求，所述授权检查请求中包括用户信息、中继服务代码和所述终端的角色列表中的至少一项；
根据所述授权检查请求确定所述终端的允许终端角色；
发送授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述接收授权检查请求，包括：
接收第一网络设备发送的所述授权检查请求。
在一种可能的实施方式中，所述发送授权检查响应，包括：
向所述第一网络设备发送所述授权检查响应。
在一种可能的实施方式中，所述接收授权检查请求，包括：
接收第四网络设备发送的第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收第五网络设备发送的第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
其中，所述授权检查请求包括所述第一授权检查请求和所述第二授权 检查请求。
在一种可能的实施方式中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
根据所述第一授权检查请求确定所述终端的第一允许终端角色；
根据所述第二授权检查请求确定所述终端的第二允许终端角色。
在一种可能的实施方式中，所述发送授权检查响应，包括：
向所述第四网络设备发送第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
向所述第五网络设备发送第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
其中，所述授权检查响应包括所述第一授权检查响应和所述第二授权检查响应。
第四方面，本公开提供一种密钥管理方法，应用于第四网络设备，所述方法包括：
向第三网络设备发送第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收所述第三网络设备发送的第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
向第五网络设备发送网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
接收所述第五网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
根据所述第一允许终端角色和所述第二允许终端角色，向终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
第五方面，本公开提供一种密钥管理方法，应用于第五网络设备，所述方法包括：
接收第四网络设备发送的网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
根据所述网络设备间安全材料请求，向第三网络设备发送第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收所述第三网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
向所述第四网络设备发送所述第二授权检查响应。
第六方面，本公开提供一种终端，包括存储器，收发机，处理器；
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包 括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述向第一网络设备发送安全材料请求，包括：
接收第二网络设备发送的U2U中继发现信息，所述U2U中继发现信息中包括所述用户信息、所述中继服务代码、所述角色列表和第一网络设备的地址中的至少一项；
根据所述U2U中继发现信息，向所述第一网络设备发送所述安全材料请求。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
第七方面，本公开提供一种第一网络设备，包括存储器，收发机，处理器；
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
接收终端发送的安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
根据所述安全材料请求向所述终端发送安全材料响应，所述安全材料 响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述根据所述安全材料请求向所述终端发送安全材料响应，包括：
根据所述安全材料请求，确定所述终端的允许终端角色；
根据所述允许终端角色，向所述终端发送所述安全材料响应。
在一种可能的实施方式中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
向第三网络设备发送授权检查请求，所述授权检查请求中包括所述用户信息、所述中继服务代码和所述角色列表中的至少一项；
接收所述第三网络设备发送的授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
在一种可能的实施方式中，所述处理器还用于读取所述存储器中的计算机程序并执行以下操作：
根据RSC标识的中继服务和所述角色列表，生成所述安全材料和所述安全策略。
第八方面，本公开提供一种第三网络设备，包括存储器，收发机，处理器；
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
接收授权检查请求，所述授权检查请求中包括用户信息、中继服务代码和所述终端的角色列表中的至少一项；
根据所述授权检查请求确定所述终端的允许终端角色；
发送授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述接收授权检查请求，包括：
接收第一网络设备发送的所述授权检查请求。
在一种可能的实施方式中，所述发送授权检查响应，包括：
向所述第一网络设备发送所述授权检查响应。
在一种可能的实施方式中，所述接收授权检查请求，包括：
接收第四网络设备发送的第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收第五网络设备发送的第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
其中，所述授权检查请求包括所述第一授权检查请求和所述第二授权检查请求。
在一种可能的实施方式中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
根据所述第一授权检查请求确定所述终端的第一允许终端角色；
根据所述第二授权检查请求确定所述终端的第二允许终端角色。
在一种可能的实施方式中，所述发送授权检查响应，包括：
向所述第四网络设备发送第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
向所述第五网络设备发送第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
其中，所述授权检查响应包括所述第一授权检查响应和所述第二授权检查响应。
第九方面，本公开提供一种第四网络设备，包括存储器，收发机，处理器；
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
向第三网络设备发送第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收所述第三网络设备发送的第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
向第五网络设备发送网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
接收所述第五网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
根据所述第一允许终端角色和所述第二允许终端角色，向终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
第十方面，本公开提供一种第五网络设备，包括存储器，收发机，处理器；
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
接收第四网络设备发送的网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
根据所述网络设备间安全材料请求，向第三网络设备发送第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收所述第三网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
向所述第四网络设备发送所述第二授权检查响应。
第十一方面，本公开提供一种密钥管理装置，应用于终端，包括：
第一发送模块，用于向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
第一接收模块，用于接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述第一发送模块具体用于：
接收第二网络设备发送的U2U中继发现信息，所述U2U中继发现信息中包括所述用户信息、所述中继服务代码、所述角色列表和第一网络设备的地址中的至少一项；
根据所述U2U中继发现信息，向所述第一网络设备发送所述安全材料请求。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
第十二方面，本公开提供一种密钥管理装置，应用于第一网络设备，包括：
第二接收模块，用于接收终端发送的安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
第二发送模块，用于根据所述安全材料请求向所述终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述第二发送模块具体用于：
根据所述安全材料请求，确定所述终端的允许终端角色；
根据所述允许终端角色，向所述终端发送所述安全材料响应。
在一种可能的实施方式中，所述第二发送模块具体用于：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述第二发送模块具体用于：
向第三网络设备发送授权检查请求，所述授权检查请求中包括所述用户信息、所述中继服务代码和所述角色列表中的至少一项；
接收所述第三网络设备发送的授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
在一种可能的实施方式中，所述第二发送模块还用于：
根据RSC标识的中继服务和所述角色列表，生成所述安全材料和所述安全策略。
第十三方面，本公开提供一种密钥管理装置，应用于第三网络设备，包括：
第三接收模块，用于接收授权检查请求，所述授权检查请求中包括用户信息、中继服务代码和所述终端的角色列表中的至少一项；
处理模块，用于根据所述授权检查请求确定所述终端的允许终端角色；
第三发送模块，用于发送授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述处理模块具体用于：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述第三接收模块具体用于：
接收第一网络设备发送的所述授权检查请求。
在一种可能的实施方式中，所述第三发送模块具体用于：
向所述第一网络设备发送所述授权检查响应。
在一种可能的实施方式中，所述第三接收模块具体用于：
接收第四网络设备发送的第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收第五网络设备发送的第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
其中，所述授权检查请求包括所述第一授权检查请求和所述第二授权检查请求。
在一种可能的实施方式中，所述处理模块具体用于：
根据所述第一授权检查请求确定所述终端的第一允许终端角色；
根据所述第二授权检查请求确定所述终端的第二允许终端角色。
在一种可能的实施方式中，所述第三发送模块具体用于：
向所述第四网络设备发送第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
向所述第五网络设备发送第二授权检查响应，所述第二授权检查响应 中包括第二允许终端角色；
其中，所述授权检查响应包括所述第一授权检查响应和所述第二授权检查响应。
第十四方面，本公开提供一种密钥管理装置，应用于第四网络设备，包括：
第四发送模块，用于向第三网络设备发送第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
第四接收模块，用于接收所述第三网络设备发送的第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
第五发送模块，用于向第五网络设备发送网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
第五接收模块，用于接收所述第五网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
第六发送模块，用于根据所述第一允许终端角色和所述第二允许终端角色，向终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
第十五方面，本公开提供一种密钥管理装置，应用于第五网络设备，包括：
第六接收模块，用于接收第四网络设备发送的网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
第七发送模块，用于根据所述网络设备间安全材料请求，向第三网络设备发送第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
第七接收模块，用于接收所述第三网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
第八发送模块，用于向所述第四网络设备发送所述第二授权检查响应。
第十六方面，本公开提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序用于使计算机执行第一方面、或第二方面、或第三方面、或第四方面、或第五方面中的任一项所述的密钥管理方法。
本公开实施例提供的密钥管理方法、装置及设备，首先终端向第一网络设备发送安全材料请求，安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，角色列表中包括终端对应的至少一个终端角色；然后第一网络设备根据安全材料请求向终端发送安全材料响应，安全材料响应中包括终端对应的安全材料，安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。本公开实施例的方案，针对终端在U2U中继通信场景中可能对应多个终端角色的情形，通过安全材料请求向第一网络设备发送角色列表，将终端请求的终端角色反馈给第一网络设备，使得第一网络设备可以根据角色列表获取终端对应的终端角色，进而通过安全材料响应向终端发送终端对应的安全材 料。终端只需要通过一次安全材料请求即可获取角色列表中的终端角色对应的安全材料，而无需进行多次请求，提高了密钥管理过程的效率，减小了终端的信令消耗。
附图说明
为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本公开实施例提供的密钥管理方法的信令图；
图2为本公开实施例提供的密钥管理方法的信令图一；
图3为本公开实施例提供的密钥管理方法的信令图二；
图4为本公开实施例提供的密钥管理方法的信令图三；
图5为本公开实施例提供的一种终端的结构示意图；
图6为本公开实施例提供的一种第一网络设备的结构示意图；
图7为本公开实施例提供的一种第三网络设备的结构示意图；
图8为本公开实施例提供的一种第四网络设备的结构示意图；
图9为本公开实施例提供的一种第五网络设备的结构示意图；
图10为本公开实施例提供的密钥管理装置的结构示意图一；
图11为本公开实施例提供的密钥管理装置的结构示意图二；
图12为本公开实施例提供的密钥管理装置的结构示意图三；
图13为本公开实施例提供的密钥管理装置的结构示意图四；
图14为本公开实施例提供的密钥管理装置的结构示意图五。
具体实施方式
U2U中继通信场景，指的是源终端通过中继终端与目标终端进行通信的过程。U2U中继通信首先涉及到源终端对中继终端和目标终端的发现，并据此建立通信通道。这些终端将在连线状态下从网络设备获得用于发现 过程的相关信息，然后在离线状态下发现彼此，并建立中继通信通道，完成U2U中继通信。
在U2U中继通信中，源终端和目标终端之间交互的消息、源终端和中继终端之间交互的消息、以及目标终端和中继终端之间交互的消息可能存在隐私泄露的危险，对U2U中继通信产生不利的影响。因此，需要终端需要通过密钥分配获取相应的安全材料，以实现U2U中继通信中的消息保护。
终端通常是根据其在U2U中继通信中对应的终端角色，向网络设备请求该终端角色对应的安全材料的。而终端在U2U中继通信中可能会同时对应多个终端角色，目前的密钥管理方式需要分别针对终端的每个终端角色进行密钥数据的分发，其管理过程效率较低，信令消耗较大。
基于此，本公开实施例提供一种密钥管理方法，使得终端通过一次请求即可获取该终端对应的终端角色的安全材料，减小信令消耗。下面结合附图对本公开的方案进行介绍。
图1为本公开实施例提供的密钥管理方法的信令图，如图1所示，包括：
S11，终端向第一网络设备发送安全材料请求，安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，角色列表中包括终端对应的至少一个终端角色。
在U2U中继通信场景中，为了对U2U中继发现过程中对发现消息进行安全保护，终端需要获取相应的安全材料。安全材料用于U2U中继通信过程中的消息保护。安全材料指的是在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数，其中，对发现消息进行的安全保护例如可以包括消息机密性保护、完整性保护和抗重放攻击保护，或者其他可能的安全保护，而安全材料即为对应的密钥和相关参数，例如可以包括加密密钥、完整性保护密钥、算法信息、密钥有效期等信息。
终端可以向第一网络设备发送安全材料请求，以请求安全材料。其中，安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表 中的至少一项。
终端在U2U中继通信场景中充当相应的终端角色，而终端对发现消息的保护，以及所需的安全材料，均与终端对应的终端角色相关。在U2U中继通信场景中，涉及到源终端、目标终端和中继终端。其中，源终端是U2U中继通信场景中的通信发起方。针对不同的临近通信模式，源终端可以是临近通信模式A中的监控终端，或临近通信模式B中的发现者终端。目标终端是U2U中继通信场景中的非通信发起方，针对不同的临近通信模式，源终端可以是临近通信模式A中的通告终端，或临近通信模式B中的被发现者终端。中继终端用于接收源终端或目标终端的发现请求或响应消息，以及转发相应的消息等等。
基于此，终端在U2U中继通信场景中，涉及到的终端角色包括中继终端角色(即作为中继终端的终端角色)和端终端角色(即作为端终端的终端角色)。其中，端终端角色又可以包括监控终端角色(即在临近通信模式A中作为监控终端的终端角色)、通告终端角色(即在临近通信模式A中作为通告终端的终端角色)、发现者终端角色(即在临近通信模式B中作为发现者终端的终端角色)和被发现者终端角色(即在临近通信模式B中作为被发现者终端的终端角色)。
由于终端在U2U中继通信场景中可能有不止一个终端角色，因此，终端向第一网络设备发送安全材料请求中，包括角色列表，角色列表中包括终端对应的至少一个终端角色。通过角色列表，能够将终端在U2U中继通信场景中的一个或多个终端角色上报给第一网络设备，以便于第一网络设备为终端返回终端角色对应的安全材料。
S12，第一网络设备根据安全材料请求向终端发送安全材料响应，安全材料响应中包括终端对应的安全材料，安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
安全材料用于在U2U中继发现过程中的发现消息进行安全保护。其中，本公开实施例中涉及到的消息包括端到端发现消息和中继发现消息，端到端发现消息为源终端和目标终端用于发现彼此而发送的消息；中继发 现消息包括源终端和中继终端之间交互的消息，以及目标终端和中继终端之间交互的消息。消息的安全保护包括机密性保护，完整性保护，防重放攻击保护，加扰保护等不同的安全保护。
中继发现过程中使用的安全材料的种类有：
端到端发现发送安全材料：用于对通过中继终端向对端发送的端到端发现消息进行保护的安全材料。
端到端发现接收安全材料：用于对通过中继终端接收的对端发送的端到端发现消息进行解除安全保护的安全材料。
中继发现发送安全材料：用于对发送的中继发现消息进行保护的安全材料。中继发现发送安全材料与中继服务标识码(Relay Service Code，RSC)关联。
中继发现接收安全材料：用于对接收的中继发现消息进行解除安全保护的安全材料。中继发现接收安全材料与RSC关联。
针对不同的终端角色，第一网络设备为其配置的安全材料的类型也不同。在中继发现过程中，源终端(包括临近通信模式A中的监控终端，和模式B中的发现者终端)接收到的安全材料可以包括端到端发现发送安全材料、端到端发现接收安全材料、中继发现发送安全材料和中继发现接收安全材料中的至少一项；目标终端(包括临近通信模式A中的通告终端，和模式B中的被发现者通告终端)接收到的安全材料可以包括端到端发现发送安全材料、端到端发现接收安全材料、中继发现发送安全材料和中继发现接收安全材料中的至少一项；中继终端接收到的安全材料可以包括中继发现发送安全材料和中继发现接收安全材料中的至少一项。
需要说明的是，本公开实施例中，安全材料中的密钥可以采用对称密钥，也可以采用非对称密钥，本实施例对此不作限定。
第一网络设备在接收到终端发送的安全材料请求后，可以根据安全材料请求获取终端的角色列表，从而可以根据角色列表中的终端角色，确定为其配置的安全材料。然后，第一网络设备向终端发送安全材料响应，安全材料响应中包括终端对应的安全材料。
其中，安全材料响应中可以包括终端的角色列表中的部分终端角色对应的安全材料，也可以包括角色列表中的所有终端角色对应的安全材料。即，第一网络设备可以通过一次安全材料响应将终端所需的安全材料发送给终端，也可以通过多次安全材料响应将终端所需的安全材料发送给终端，本实施例对此不作限定。
可选的，安全材料响应包含有一个数组；数组中的每一项描述一个终端角色和其所需要的发送和/或接收安全材料。数组中项目的格式可以为：(角色标识，[密钥类型：密钥值]，[密钥类型：密钥值]，…)。例如：(发现者终端角色，[端到端发送安全材料：端到端发送安全材料的信息]，[端到端接收安全材料：端到端接收安全材料的信息]，[中继发现发送安全材料：中继发现发送安全材料的信息]，[中继发现接收安全材料：中继发现接收安全材料的信息])。当需要提供新的安全能力时，可以通过增加新的密钥材料类型来提供新增加的密钥材料。需要说明的是，安全材料响应中的安全材料可以以数组的形式体现，也可以以其他的形式体现，本实施例对此不做限定。
本公开实施例提供的密钥管理方法，首先终端向第一网络设备发送安全材料请求，安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，角色列表中包括终端对应的至少一个终端角色；然后第一网络设备根据安全材料请求向终端发送安全材料响应，安全材料响应中包括终端对应的安全材料，安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。本公开实施例的方案，针对终端在U2U中继通信场景中可能对应多个终端角色的情形，通过安全材料请求向第一网络设备发送角色列表，将终端请求的终端角色反馈给第一网络设备，使得第一网络设备可以根据角色列表获取终端对应的终端角色，进而通过安全材料响应向终端发送终端对应的安全材料。终端只需要通过一次安全材料请求即可获取角色列表中的终端角色对应的安全材料，而无需进行多次请求，提高了密钥管理过程的效率，减小了终端的信令消耗。
在上述任意实施例的基础上，下面结合附图对本公开实施例的方案进行进一步介绍。
图2为本公开实施例提供的密钥管理方法的信令图一，如图2所示，包括：
S21，第二网络设备向终端发送U2U中继发现信息。
第二网络设备向终端提供用于U2U中继发现的U2U中继发现信息。U2U中继发现信息中可以包括用户信息，中继服务代码，角色列表和第一网络设备的地址。提供U2U中继发现信息的网元可为策略控制功能(Policy Control Function，PCF)或5G直接发现名称管理功能(5G Direct Discovery Name Management Function，5G DDNMF)，即第二网络设备可以为PCF或5G DDNMF。U2U中继发现信息也可以是通过其他方法事先配置至终端中。角色列表描述了终端可在中继服务中扮演的角色。
一个终端可以在中继服务中扮演多个角色，例如，对于发现模式B，一个终端可以同时拥有发现者终端角色、被发现者终端角色和中继终端角色等多个角色。角色列表中包括终端对应的至少一个终端角色。
S22，终端根据U2U中继发现信息向第一网络设备发送安全材料请求。
终端可以根据U2U中继发现信息中第一网络设备的地址，向第一网络设备发送安全材料请求，安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，角色列表中包括终端对应的至少一个终端角色。
接收安全材料请求的网元，可以是核心网中的U2U中继密钥管理功能，即第一网络设备为U2U中继密钥管理功能。
S23，第一网络设备根据安全材料请求，确定终端的允许终端角色。
具体的，第一网络设备根据用户信息和中继服务代码，确定对应的授权信息，授权信息用于指示终端是否拥有角色列表中的终端角色。然后，第一网络设备根据授权信息确定允许终端角色。
S24，第一网络设备根据允许终端角色，向终端发送安全材料响应。
第一网络设备在确定允许终端角色后，可以向终端发送安全材料响 应，安全材料响应中包括终端对应的安全材料，安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
可选的，安全材料响应中还包括安全策略，安全策略用于指示U2U中继发现过程中是否开启端到端发现消息的安全，以及指示对于安全材料的处理。相应的，安全策略可以包括以下至少一项：
开启全部端到端消息安全：源终端或目标终端在发送发现消息时需要将其通过中继终端发送给对端终端的消息进行安全保护。消息的安全保护可以包括机密性保护、完整性保护、加扰保护等。开启全部端到端消息安全指示的是终端需要开启机密性保护、完整性保护、加扰保护等全部的安全保护。
不开启端到端消息安全：源终端或目标终端在发送发现消息时不需要将其通过中继终端发送给对端终端的消息进行某种安全保护。
开启部分端到端消息安全：源终端或目标终端在发送发现消息时可根据需要决定对通过中继终端发送给对端终端的消息进行部分安全保护。例如，可以仅开启机密性保护，可以仅开启完整性保护，可以仅开启加扰保护，等等。
图3为本公开实施例提供的密钥管理方法的信令图二，如图3所示，包括：
S31，第二网络设备向终端发送U2U中继发现信息。
S32，终端根据U2U中继发现信息向第一网络设备发送安全材料请求。
S31-S32的介绍具体可参见S21-S22中的相关介绍，此处不再赘述。
S33，第一网络设备向第三网络设备发送授权检查请求，授权检查请求中包括用户信息、中继服务代码和角色列表中的至少一项。
与图2实施例不同之处在于，图2实施例中，由第一网络设备自行进行授权检查，确定允许终端角色，而图3实施例中，由第三网络设备进行授权检查，确定允许终端角色。其中，进行授权检查的网元可以是U2U中继服务授权功能，即第三网络设备为U2U中继服务授权功能。
S34，第三网络设备根据授权检查请求确定终端的允许终端角色。
具体的，第三网络设备在接收到授权检查请求后，根据用户信息和中继服务代码，确定对应的授权信息，授权信息用于指示终端是否拥有角色列表中的终端角色。然后，第三网络设备根据授权信息确定允许终端角色。
S35，第三网络设备向第一网络设备发送授权检查响应，授权检查响应中包括允许终端角色。
第三网络设备在确定允许终端角色后，可以向第一网络设备发送授权检查响应，授权检查响应中包括允许终端角色。第一网络设备接收到授权检查响应后，即可获取允许终端角色。
S36，第一网络设备根据允许终端角色，向终端发送安全材料响应。
第一网络设备可以根据允许终端角色向终端发送安全材料响应，安全材料响应中包括终端对应的安全材料，安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
可选的，安全材料响应中还包括安全策略，安全策略用于指示U2U中继发现过程中是否开启端到端发现消息的安全，以及指示对于安全材料的处理。
图4为本公开实施例提供的密钥管理方法的信令图三，如图4所示，包括：
S401，第二网络设备向终端发送U2U中继发现信息。
S402，终端根据U2U中继发现信息向第四网络设备发送安全材料请求。
S401-S402的介绍具体可参见S21-S22中的相关介绍，此处不再赘述。
S403，第四网络设备向第三网络设备发送第一授权检查请求，第一授权检查请求中包括角色列表、用户信息和中继服务代码中的至少一项。
与图3实施例不同之处在于，图3实施例中为集中式的密钥管理，由第一网络设备完成密钥管理和分配，而图4实施例中为分布式的密钥管理，由第四网络设备和第五网络设备完成密钥管理和分配。其中，第四网络设备可以是本地公共陆地移动网络(Home Public Land Mobile Network，HPLMN)中的U2U中继密钥管理功能，第五网络设备可以是虚拟公共陆 地移动网络(Virtual Public Land Mobile Network，VPLMN)中的U2U中继密钥管理功能。
S404，第三网络设备根据第一授权检查请求确定终端的第一允许终端角色。
具体的，第三网络设备在接收到第一授权检查请求后，根据用户信息和中继服务代码，确定对应的授权信息，授权信息用于指示终端是否拥有角色列表中的终端角色。然后，第三网络设备根据授权信息确定第一允许终端角色。
S405，第三网络设备向第四网络设备发送第一授权检查响应，第一授权检查响应中包括第一允许终端角色。
第三网络设备在确定第一允许终端角色后，可以向第四网络设备发送第一授权检查响应，第一授权检查响应中包括第一允许终端角色。第四网络设备接收到授权检查响应后，即可获取第一允许终端角色。
S406，第四网络设备向第五网络设备发送网络设备间安全材料请求，网络设备间安全材料请求中包括第一允许终端角色、用户信息、中继服务代码和终端安全能力中的至少一项。
S407，第五网络设备向第三网络设备发送第二授权检查请求，第二授权检查请求中包括角色列表、用户信息和中继服务代码中的至少一项。
S408，第三网络设备根据第二授权检查请求确定终端的第二允许终端角色。
具体的，第三网络设备在接收到第二授权检查请求后，根据用户信息和中继服务代码，确定对应的授权信息，授权信息用于指示终端是否拥有角色列表中的终端角色。然后，第三网络设备根据授权信息确定第二允许终端角色。
S409，第三网络设备向第五网络设备发送第二授权检查响应，第二授权检查响应中包括第二允许终端角色。
第三网络设备在确定第二允许终端角色后，可以向第五网络设备发送第二授权检查响应，第二授权检查响应中包括第二允许终端角色。第四网 络设备接收到授权检查响应后，即可获取第二允许终端角色。
S410，第五网络设备向第四网络设备发送第二授权检查响应。
S411，第四网络设备向终端发送安全材料响应。
第四网络设备在接收第二授权检查响应后，可以根据第二授权检查响应获取第二允许终端角色，然后根据第一允许终端角色和第二允许终端角色，确定终端的允许终端角色。其中，可以对第一允许终端角色和第二允许终端角色取交集，作为允许终端角色；也可以对第一允许终端角色和第二允许终端角色取并集，作为允许终端角色；也可以对第一允许终端角色和第二允许终端角色进行其他可能的处理，得到允许终端角色，本实施例对此不作限定。
第四网络设备可以根据允许终端角色向终端发送安全材料响应，安全材料响应中包括终端对应的安全材料，安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
可选的，安全材料响应中还包括安全策略，安全策略用于指示U2U中继发现过程中是否开启端到端发现消息的安全，以及指示对于安全材料的处理。
综上所述，本公开实施例提供的密钥管理方法，终端只需要通过一次安全材料请求即可获取角色列表中的终端角色对应的安全材料，而无需进行多次请求，提高了密钥管理过程的效率，减小了终端的信令消耗。
图5为本公开实施例提供的一种终端的结构示意图，如图5所示，所述终端包括存储器520，收发机500，处理器510，其中：
存储器520，用于存储计算机程序；收发机500，用于在所述处理器510的控制下收发数据；处理器510，用于读取所述存储器520中的计算机程序并执行以下操作：
向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包 括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数
其中，在图5中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器510代表的一个或多个处理器和存储器520代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机500可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括无线信道、有线信道、光缆等传输介质。针对不同的用户设备，用户接口530还可以是能够外接内接需要设备的接口，连接的设备包括但不限于小键盘、显示器、扬声器、麦克风、操纵杆等。
处理器510负责管理总线架构和通常的处理，存储器520可以存储处理器510在执行操作时所使用的数据。
在一些实施例中，处理器510可以是中央处理器(Central Processing Unit,CPU)、专用集成电路(Application Specific Integrated Circuit,ASIC)、现场可编程门阵列(Field－Programmable Gate Array,FPGA)或复杂可编程逻辑器件(Complex Programmable Logic Device,CPLD)，处理器也可以采用多核架构。
处理器通过调用存储器存储的计算机程序，用于按照获得的可执行指令执行本公开实施例提供的任一所述方法。处理器与存储器也可以物理上分开布置。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述向第一网络设备发送安全材料请求， 包括：
接收第二网络设备发送的U2U中继发现信息，所述U2U中继发现信息中包括所述用户信息、所述中继服务代码、所述角色列表和第一网络设备的地址中的至少一项；
根据所述U2U中继发现信息，向所述第一网络设备发送所述安全材料请求。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
在此需要说明的是，本公开实施例提供的上述终端，能够实现上述执行主体为终端的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图6为本公开实施例提供的一种第一网络设备的结构示意图，如图6所示，所述第一网络设备包括存储器620，收发机600，处理器610，其中：
存储器620，用于存储计算机程序；收发机600，用于在所述处理器610的控制下收发数据；处理器610，用于读取所述存储器620中的计算机程序并执行以下操作：
接收终端发送的安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
根据所述安全材料请求向所述终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数
具体地，收发机600，用于在处理器610的控制下接收和发送数据。
其中，在图6中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器610代表的一个或多个处理器和存储器620代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机600可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括，这些传输介质包括无线信道、有线信道、光缆等传输介质。处理器610负责管理总线架构和通常的处理，存储器620可以存储处理器610在执行操作时所使用的数据。
可选的，处理器610可以是CPU、ASIC、FPGA或CPLD，处理器也可以采用多核架构。
处理器通过调用存储器存储的计算机程序，用于按照获得的可执行指令执行本公开实施例提供的任一所述方法。处理器与存储器也可以物理上分开布置。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述根据所述安全材料请求向所述终端发送安全材料响应，包括：
根据所述安全材料请求，确定所述终端的允许终端角色；
根据所述允许终端角色，向所述终端发送所述安全材料响应。
在一种可能的实施方式中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
向第三网络设备发送授权检查请求，所述授权检查请求中包括所述用户信息、所述中继服务代码和所述角色列表中的至少一项；
接收所述第三网络设备发送的授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
在一种可能的实施方式中，所述处理器610还用于读取所述存储器中的计算机程序并执行以下操作：
根据RSC标识的中继服务和所述角色列表，生成所述安全材料和所述安全策略。
在此需要说明的是，本发明实施例提供的上述第一网络设备，能够实现上述执行主体为第一网络设备的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图7为本公开实施例提供的一种第三网络设备的结构示意图，如图7所示，所述第三网络设备包括存储器720，收发机700，处理器710，其中：
存储器720，用于存储计算机程序；收发机700，用于在所述处理器710的控制下收发数据；处理器710，用于读取所述存储器720中的计算机程序并执行以下操作：
接收授权检查请求，所述授权检查请求中包括用户信息、中继服务代码和所述终端的角色列表中的至少一项；
根据所述授权检查请求确定所述终端的允许终端角色；
发送授权检查响应，所述授权检查响应中包括所述允许终端角色。
具体地，收发机700，用于在处理器710的控制下接收和发送数据。
其中，在图7中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器710代表的一个或多个处理器和存储器720代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机700可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括，这些传输介质包括无线信道、有线信道、光缆等传输介质。处理器710负责管理总线架构和通常的处理，存储器720可以存储处理器710在执行操作时所使用的数据。
可选的，处理器710可以是CPU、ASIC、FPGA或CPLD，处理器也可以采用多核架构。
处理器通过调用存储器存储的计算机程序，用于按照获得的可执行指令执行本公开实施例提供的任一所述方法。处理器与存储器也可以物理上分开布置。
在一种可能的实施方式中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述接收授权检查请求，包括：
接收第一网络设备发送的所述授权检查请求。
在一种可能的实施方式中，所述发送授权检查响应，包括：
向所述第一网络设备发送所述授权检查响应。
在一种可能的实施方式中，所述接收授权检查请求，包括：
接收第四网络设备发送的第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收第五网络设备发送的第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
其中，所述授权检查请求包括所述第一授权检查请求和所述第二授权检查请求。
在一种可能的实施方式中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
根据所述第一授权检查请求确定所述终端的第一允许终端角色；
根据所述第二授权检查请求确定所述终端的第二允许终端角色。
在一种可能的实施方式中，所述发送授权检查响应，包括：
向所述第四网络设备发送第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
向所述第五网络设备发送第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
其中，所述授权检查响应包括所述第一授权检查响应和所述第二授权检查响应。
在此需要说明的是，本发明实施例提供的上述第三网络设备，能够实现上述执行主体为第三网络设备的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图8为本公开实施例提供的一种第四网络设备的结构示意图，如图8所示，所述第四网络设备包括存储器820，收发机800，处理器810，其中：
存储器820，用于存储计算机程序；收发机800，用于在所述处理器810的控制下收发数据；处理器810，用于读取所述存储器820中的计算机程序并执行以下操作：
向第三网络设备发送第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收所述第三网络设备发送的第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
向第五网络设备发送网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
接收所述第五网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
根据所述第一允许终端角色和所述第二允许终端角色，向终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
具体地，收发机800，用于在处理器810的控制下接收和发送数据。
其中，在图8中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器810代表的一个或多个处理器和存储器820代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机800可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括，这些传输介质包括无线信道、有线信道、光缆等传输介质。处理器810负责管理总线架构和通常的处理，存储器820可以存储处理器810在执行操作时所使用的数据。
可选的，处理器810可以是CPU、ASIC、FPGA或CPLD，处理器也可以采用多核架构。
处理器通过调用存储器存储的计算机程序，用于按照获得的可执行指令执行本公开实施例提供的任一所述方法。处理器与存储器也可以物理上分开布置。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
在此需要说明的是，本发明实施例提供的上述第四网络设备，能够实现上述执行主体为第四网络设备的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图9为本公开实施例提供的一种第五网络设备的结构示意图，如图9所示，所述第五网络设备包括存储器920，收发机900，处理器910，其中：
存储器920，用于存储计算机程序；收发机900，用于在所述处理器910的控制下收发数据；处理器910，用于读取所述存储器920中的计算机程序并执行以下操作：
接收第四网络设备发送的网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
根据所述网络设备间安全材料请求，向第三网络设备发送第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收所述第三网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
向所述第四网络设备发送所述第二授权检查响应。
具体地，收发机900，用于在处理器910的控制下接收和发送数据。
其中，在图9中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器910代表的一个或多个处理器和存储器920代表的存储器的各 种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机900可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括，这些传输介质包括无线信道、有线信道、光缆等传输介质。处理器910负责管理总线架构和通常的处理，存储器920可以存储处理器910在执行操作时所使用的数据。
可选的，处理器910可以是CPU、ASIC、FPGA或CPLD，处理器也可以采用多核架构。
处理器通过调用存储器存储的计算机程序，用于按照获得的可执行指令执行本公开实施例提供的任一所述方法。处理器与存储器也可以物理上分开布置。
在此需要说明的是，本发明实施例提供的上述第五网络设备，能够实现上述执行主体为第五网络设备的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图10为本公开实施例提供的密钥管理装置的结构示意图一，应用于终端，如图10所示，该密钥管理装置100包括：
第一发送模块101，用于向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
第一接收模块102，用于接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述第一发送模块101具体用于：
接收第二网络设备发送的U2U中继发现信息，所述U2U中继发现信息中包括所述用户信息、所述中继服务代码、所述角色列表和第一网络设备的地址中的至少一项；
根据所述U2U中继发现信息，向所述第一网络设备发送所述安全材料请求。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
具体地，本公开实施例提供的上述密钥管理装置，能够实现上述执行主体为终端的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图11为本公开实施例提供的密钥管理装置的结构示意图二，应用于第一网络设备，如图11所示，该密钥管理装置110包括：
第二接收模块111，用于接收终端发送的安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
第二发送模块112，用于根据所述安全材料请求向所述终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述第二发送模块112具体用于：
根据所述安全材料请求，确定所述终端的允许终端角色；
根据所述允许终端角色，向所述终端发送所述安全材料响应。
在一种可能的实施方式中，所述第二发送模块112具体用于：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述第二发送模块112具体用于：
向第三网络设备发送授权检查请求，所述授权检查请求中包括所述用户信息、所述中继服务代码和所述角色列表中的至少一项；
接收所述第三网络设备发送的授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
在一种可能的实施方式中，所述第二发送模块112还用于：
根据RSC标识的中继服务和所述角色列表，生成所述安全材料和所述安全策略。
具体地，本公开实施例提供的上述密钥管理装置，能够实现上述执行主体为第一网络设备的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图12为本公开实施例提供的密钥管理装置的结构示意图三，应用于第三网络设备，如图12所示，该密钥管理装置120包括：
第三接收模块121，用于接收授权检查请求，所述授权检查请求中包括用户信息、中继服务代码和所述终端的角色列表中的至少一项；
处理模块122，用于根据所述授权检查请求确定所述终端的允许终端角色；
第三发送模块123，用于发送授权检查响应，所述授权检查响应中包括所述允许终端角色。
在一种可能的实施方式中，所述处理模块122具体用于：
根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
根据所述授权信息确定所述允许终端角色。
在一种可能的实施方式中，所述接收授权检查请求，包括：
接收第一网络设备发送的所述授权检查请求。
在一种可能的实施方式中，所述第三接收模块121具体用于：
向所述第一网络设备发送所述授权检查响应。
在一种可能的实施方式中，所述第三接收模块121具体用于：
接收第四网络设备发送的第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
接收第五网络设备发送的第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
其中，所述授权检查请求包括所述第一授权检查请求和所述第二授权检查请求。
在一种可能的实施方式中，所述处理模块122具体用于：
根据所述第一授权检查请求确定所述终端的第一允许终端角色；
根据所述第二授权检查请求确定所述终端的第二允许终端角色。
在一种可能的实施方式中，所述第三发送模块123具体用于：
向所述第四网络设备发送第一授权检查响应，所述第一授权检查响应 中包括第一允许终端角色；
向所述第五网络设备发送第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
其中，所述授权检查响应包括所述第一授权检查响应和所述第二授权检查响应。
具体地，本公开实施例提供的上述密钥管理装置，能够实现上述执行主体为第三网络设备的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图13为本公开实施例提供的密钥管理装置的结构示意图四，应用于第四网络设备，如图13所示，该密钥管理装置130包括：
第四发送模块131，用于向第三网络设备发送第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
第四接收模块132，用于接收所述第三网络设备发送的第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
第五发送模块133，用于向第五网络设备发送网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
第五接收模块134，用于接收所述第五网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
第六发送模块135，用于根据所述第一允许终端角色和所述第二允许终端角色，向终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
在一种可能的实施方式中，所述安全材料包括以下至少一项：
端到端发现发送安全材料；
端到端发现接收安全材料；
中继发现发送安全材料；
中继发现接收安全材料。
在一种可能的实施方式中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
在一种可能的实施方式中，所述安全策略包括以下至少一项：
开启全部端到端消息安全；
开启部分端到端消息安全；
不开启端到端消息安全。
具体地，本公开实施例提供的上述密钥管理装置，能够实现上述执行主体为第四网络设备的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
图14为本公开实施例提供的密钥管理装置的结构示意图五，应用于第五网络设备，如图14所示，该密钥管理装置140包括：
第六接收模块141，用于接收第四网络设备发送的网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
第七发送模块142，用于根据所述网络设备间安全材料请求，向第三网络设备发送第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
第七接收模块143，用于接收所述第三网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
第八发送模块144，用于向所述第四网络设备发送所述第二授权检查响应。
具体地，本公开实施例提供的上述密钥管理装置，能够实现上述执行主体为第五网络设备的方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
需要说明的是，本公开上述各实施例中对单元/模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。另外，在本公开各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可读取存储介质中。基于这样的理解，本公开的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本公开各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
在一些实施例中，还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序用于使计算机执行上述各方法实施例提供的密钥管理方法。
具体地，本公开实施例提供的上述计算机可读存储介质，能够实现上述各方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
需要说明的是：所述计算机可读存储介质可以是处理器能够存取的任何可用介质或数据存储设备，包括但不限于磁性存储器(例如软盘、硬盘、磁带、磁光盘(MO)等)、光学存储器(例如CD、DVD、BD、HVD等)、以及半导体存储器(例如ROM、EPROM、EEPROM、非易失性存储器(NAND FLASH)、固态硬盘(SSD))等。
另外需要说明的是：本公开实施例中术语“第一”、“第二”等是用 于区别类似的对象，而不用于描述特定的顺序或先后次序。应该理解这样使用的术语在适当情况下可以互换，以便本公开的实施例能够以除了在这里图示或描述的那些以外的顺序实施，且“第一”、“第二”所区别的对象通常为一类，并不限定对象的个数，例如第一对象可以是一个，也可以是多个。
本公开实施例中术语“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。
本公开实施例中术语“多个”是指两个或两个以上，其它量词与之类似。
本公开实施例提供的技术方案可以适用于多种系统，尤其是5G系统。例如适用的系统可以是全球移动通讯(global system of mobile communication，GSM)系统、码分多址(code division multiple access，CDMA)系统、宽带码分多址(Wideband Code Division Multiple Access，WCDMA)通用分组无线业务(general packet radio service，GPRS)系统、长期演进(long term evolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分双工(time division duplex，TDD)系统、高级长期演进(long term evolution advanced，LTE-A)系统、通用移动系统(universal mobile telecommunication system，UMTS)、全球互联微波接入(worldwide interoperability for microwave access，WiMAX)系统、5G新空口(New Radio,NR)系统等。这多种系统中均包括终端设备和网络设备。系统中还可以包括核心网部分，例如演进的分组系统(Evloved Packet System,EPS)、5G系统(5GS)等。
本公开实施例涉及的终端设备，可以是指向用户提供语音和/或数据连通性的设备，具有无线连接功能的手持式设备、或连接到无线调制解调器的其他处理设备等。在不同的系统中，终端设备的名称可能也不相同，例如在5G系统中，终端设备可以称为用户设备(User Equipment，UE)。 无线终端设备可以经无线接入网(Radio Access Network,RAN)与一个或多个核心网(Core Network,CN)进行通信，无线终端设备可以是移动终端设备，如移动电话(或称为“蜂窝”电话)和具有移动终端设备的计算机，例如，可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置，它们与无线接入网交换语言和/或数据。例如，个人通信业务
(Personal Communication Service，PCS)电话、无绳电话、会话发起协议(Session Initiated Protocol，SIP)话机、无线本地环路(Wireless Local Loop，WLL)站、个人数字助理(Personal Digital Assistant，PDA)等设备。无线终端设备也可以称为系统、订户单元(subscriber unit)、订户站(subscriber station)，移动站(mobile station)、移动台(mobile)、远程站(remote station)、接入点(access point)、远程终端设备(remote terminal)、接入终端设备(access terminal)、用户终端设备(user terminal)、用户代理(user agent)、用户装置(user device)，本公开实施例中并不限定。
本公开实施例涉及的网络设备，可以是基站，该基站可以包括多个为终端提供服务的小区。根据具体应用场合不同，基站又可以称为接入点，或者可以是接入网中在空中接口上通过一个或多个扇区与无线终端设备通信的设备，或者其它名称。网络设备可用于将收到的空中帧与网际协议(Internet Protocol，IP)分组进行相互更换，作为无线终端设备与接入网的其余部分之间的路由器，其中接入网的其余部分可包括网际协议(IP)通信网络。网络设备还可协调对空中接口的属性管理。例如，本公开实施例涉及的网络设备可以是全球移动通信系统(Global System for Mobile communications，GSM)或码分多址接入(Code Division Multiple Access，CDMA)中的网络设备(Base Transceiver Station，BTS)，也可以是带宽码分多址接入(Wide-band Code Division Multiple Access，WCDMA)中的网络设备(NodeB)，还可以是长期演进(long term evolution，LTE)系统中的演进型网络设备(evolutional Node B，eNB或e-NodeB)、5G网络架构(next generation system)中的5G基站(gNB)，也可以是家庭演进基站(Home evolved Node B，HeNB)、中继节点(relay node)、家庭基 站(femto)、微微基站(pico)等，本公开实施例中并不限定。在一些网络结构中，网络设备可以包括集中单元(centralized unit，CU)节点和分布单元(distributed unit，DU)节点，集中单元和分布单元也可以地理上分开布置。
网络设备与终端设备之间可以各自使用一或多根天线进行多输入多输出(Multi Input Multi Output,MIMO)传输，MIMO传输可以是单用户MIMO(Single User MIMO,SU-MIMO)或多用户MIMO(Multiple User MIMO,MU-MIMO)。根据根天线组合的形态和数量，MIMO传输可以是2D-MIMO、3D-MIMO、FD-MIMO或massive-MIMO，也可以是分集传输或预编码传输或波束赋形传输等。
本领域内的技术人员应明白，本公开的实施例可提供为方法、系统、或计算机程序产品。因此，本公开可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本公开可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
本公开是参照根据本公开实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机可执行指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机可执行指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些处理器可执行指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的处理器可读存储器中，使得存储在该处理器可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些处理器可执行指令也可装载到计算机或其他可编程数据处理设 备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
显然，本领域的技术人员可以对本公开进行各种改动和变型而不脱离本公开的精神和范围。这样，倘若本公开的这些修改和变型属于本公开权利要求及其等同技术的范围之内，则本公开也意图包含这些改动和变型在内。

Claims (76)

  1. 一种密钥管理方法，应用于终端，所述方法包括：
    向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
    接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在终端至终端U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  2. 根据权利要求1所述的密钥管理方法，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  3. 根据权利要求1所述的密钥管理方法，其中，所述向第一网络设备发送安全材料请求，包括：
    接收第二网络设备发送的U2U中继发现信息，所述U2U中继发现信息中包括所述用户信息、所述中继服务代码、所述角色列表和第一网络设备的地址中的至少一项；
    根据所述U2U中继发现信息，向所述第一网络设备发送所述安全材料请求。
  4. 根据权利要求1至3中的任一项所述的密钥管理方法，其中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  5. 根据权利要求4所述的密钥管理方法，其中，所述安全策略包括以下至少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  6. 一种密钥管理方法，应用于第一网络设备，所述方法包括：
    接收终端发送的安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
    根据所述安全材料请求向所述终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  7. 根据权利要求6所述的密钥管理方法，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  8. 根据权利要求6所述的密钥管理方法，其中，所述根据所述安全材料请求向所述终端发送安全材料响应，包括：
    根据所述安全材料请求，确定所述终端的允许终端角色；
    根据所述允许终端角色，向所述终端发送所述安全材料响应。
  9. 根据权利要求8所述的密钥管理方法，其中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
    根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
    根据所述授权信息确定所述允许终端角色。
  10. 根据权利要求8所述的密钥管理方法，其中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
    向第三网络设备发送授权检查请求，所述授权检查请求中包括所述用户信息、所述中继服务代码和所述角色列表中的至少一项；
    接收所述第三网络设备发送的授权检查响应，所述授权检查响应中包 括所述允许终端角色。
  11. 根据权利要求6至10中的任一项所述的密钥管理方法，其中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  12. 根据权利要求11所述的密钥管理方法，其中，所述安全策略包括以下至少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  13. 根据权利要求11所述的密钥管理方法，其中，所述方法还包括：
    根据中继服务标识码RSC标识的中继服务和所述角色列表，生成所述安全材料和所述安全策略。
  14. 一种密钥管理方法，应用于第三网络设备，所述方法包括：
    接收授权检查请求，所述授权检查请求中包括用户信息、中继服务代码和终端的角色列表中的至少一项；
    根据所述授权检查请求确定所述终端的允许终端角色；
    发送授权检查响应，所述授权检查响应中包括所述允许终端角色。
  15. 根据权利要求14所述的密钥管理方法，其中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
    根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
    根据所述授权信息确定所述允许终端角色。
  16. 根据权利要求14所述的密钥管理方法，其中，所述接收授权检查请求，包括：
    接收第一网络设备发送的所述授权检查请求。
  17. 根据权利要求16所述的密钥管理方法，其中，所述发送授权检查响应，包括：
    向所述第一网络设备发送所述授权检查响应。
  18. 根据权利要求15所述的密钥管理方法，其中，所述接收授权检查请求，包括：
    接收第四网络设备发送的第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    接收第五网络设备发送的第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    其中，所述授权检查请求包括所述第一授权检查请求和所述第二授权检查请求。
  19. 根据权利要求18所述的密钥管理方法，其中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
    根据所述第一授权检查请求确定所述终端的第一允许终端角色；
    根据所述第二授权检查请求确定所述终端的第二允许终端角色。
  20. 根据权利要求19所述的密钥管理方法，其中，所述发送授权检查响应，包括：
    向所述第四网络设备发送第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
    向所述第五网络设备发送第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
    其中，所述授权检查响应包括所述第一授权检查响应和所述第二授权检查响应。
  21. 一种密钥管理方法，应用于第四网络设备，所述方法包括：
    向第三网络设备发送第一授权检查请求，所述第一授权检查请求中包括角色列表、用户信息和中继服务代码中的至少一项；
    接收所述第三网络设备发送的第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
    向第五网络设备发送网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
    接收所述第五网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
    根据所述第一允许终端角色和所述第二允许终端角色，向终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  22. 根据权利要求21所述的密钥管理方法，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  23. 根据权利要求21或22所述的密钥管理方法，其中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  24. 根据权利要求23所述的密钥管理方法，其中，所述安全策略包括以下至少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  25. 一种密钥管理方法，应用于第五网络设备，所述方法包括：
    接收第四网络设备发送的网络设备间安全材料请求，所述网络设备间安全材料请求中包括第一允许终端角色、用户信息、中继服务代码和终端安全能力中的至少一项；
    根据所述网络设备间安全材料请求，向第三网络设备发送第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    接收所述第三网络设备发送的第二授权检查响应，所述第二授权检查 响应中包括第二允许终端角色；
    向所述第四网络设备发送所述第二授权检查响应。
  26. 一种终端，包括存储器，收发机，处理器；
    存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
    向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
    接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  27. 根据权利要求26所述的终端，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  28. 根据权利要求26所述的终端，其中，所述向第一网络设备发送安全材料请求，包括：
    接收第二网络设备发送的U2U中继发现信息，所述U2U中继发现信息中包括所述用户信息、所述中继服务代码、所述角色列表和第一网络设备的地址中的至少一项；
    根据所述U2U中继发现信息，向所述第一网络设备发送所述安全材料请求。
  29. 根据权利要求26至28中的任一项所述的终端，其中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  30. 根据权利要求29所述的终端，其中，所述安全策略包括以下至 少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  31. 一种第一网络设备，包括存储器，收发机，处理器；
    存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
    接收终端发送的安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
    根据所述安全材料请求向所述终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  32. 根据权利要求31所述的第一网络设备，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  33. 根据权利要求31所述的第一网络设备，其中，所述根据所述安全材料请求向所述终端发送安全材料响应，包括：
    根据所述安全材料请求，确定所述终端的允许终端角色；
    根据所述允许终端角色，向所述终端发送所述安全材料响应。
  34. 根据权利要求33所述的第一网络设备，其中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
    根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
    根据所述授权信息确定所述允许终端角色。
  35. 根据权利要求33所述的第一网络设备，其中，所述根据所述安全材料请求，确定所述终端的允许终端角色，包括：
    向第三网络设备发送授权检查请求，所述授权检查请求中包括所述用户信息、所述中继服务代码和所述角色列表中的至少一项；
    接收所述第三网络设备发送的授权检查响应，所述授权检查响应中包括所述允许终端角色。
  36. 根据权利要求31至35中的任一项所述的第一网络设备，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  37. 根据权利要求36所述的第一网络设备，其中，所述安全策略包括以下至少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  38. 根据权利要求37所述的第一网络设备，其中，所述处理器还用于读取所述存储器中的计算机程序并执行以下操作：
    根据RSC标识的中继服务和所述角色列表，生成所述安全材料和所述安全策略。
  39. 一种第三网络设备，包括存储器，收发机，处理器；
    存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
    接收授权检查请求，所述授权检查请求中包括用户信息、中继服务代码和终端的角色列表中的至少一项；
    根据所述授权检查请求确定所述终端的允许终端角色；
    发送授权检查响应，所述授权检查响应中包括所述允许终端角色。
  40. 根据权利要求39所述的第三网络设备，其中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
    根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述 授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
    根据所述授权信息确定所述允许终端角色。
  41. 根据权利要求39所述的第三网络设备，其中，所述接收授权检查请求，包括：
    接收第一网络设备发送的所述授权检查请求。
  42. 根据权利要求41所述的第三网络设备，其中，所述发送授权检查响应，包括：
    向所述第一网络设备发送所述授权检查响应。
  43. 根据权利要求39所述的第三网络设备，其中，所述接收授权检查请求，包括：
    接收第四网络设备发送的第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    接收第五网络设备发送的第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    其中，所述授权检查请求包括所述第一授权检查请求和所述第二授权检查请求。
  44. 根据权利要求43所述的第三网络设备，其中，所述根据所述授权检查请求确定所述终端的允许终端角色，包括：
    根据所述第一授权检查请求确定所述终端的第一允许终端角色；
    根据所述第二授权检查请求确定所述终端的第二允许终端角色。
  45. 根据权利要求44所述的第三网络设备，其中，所述发送授权检查响应，包括：
    向所述第四网络设备发送第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
    向所述第五网络设备发送第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
    其中，所述授权检查响应包括所述第一授权检查响应和所述第二授权检查响应。
  46. 一种第四网络设备，包括存储器，收发机，处理器；
    存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
    向第三网络设备发送第一授权检查请求，所述第一授权检查请求中包括角色列表、用户信息和中继服务代码中的至少一项；
    接收所述第三网络设备发送的第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
    向第五网络设备发送网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
    接收所述第五网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
    根据所述第一允许终端角色和所述第二允许终端角色，向终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  47. 根据权利要求46所述的第四网络设备，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  48. 根据权利要求46或47所述的第四网络设备，其中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  49. 根据权利要求48所述的第四网络设备，其中，所述安全策略包括以下至少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  50. 一种第五网络设备，包括存储器，收发机，处理器；
    存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
    接收第四网络设备发送的网络设备间安全材料请求，所述网络设备间安全材料请求中包括第一允许终端角色、用户信息、中继服务代码和终端安全能力中的至少一项；
    根据所述网络设备间安全材料请求，向第三网络设备发送第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    接收所述第三网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
    向所述第四网络设备发送所述第二授权检查响应。
  51. 一种密钥管理装置，应用于终端，包括：
    第一发送模块，用于向第一网络设备发送安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
    第一接收模块，用于接收所述第一网络设备发送的安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  52. 根据权利要求51所述的密钥管理装置，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  53. 根据权利要求51所述的密钥管理装置，其中，所述第一发送模 块具体用于：
    接收第二网络设备发送的U2U中继发现信息，所述U2U中继发现信息中包括所述用户信息、所述中继服务代码、所述角色列表和第一网络设备的地址中的至少一项；
    根据所述U2U中继发现信息，向所述第一网络设备发送所述安全材料请求。
  54. 根据权利要求51至53中的任一项所述的密钥管理装置，其中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  55. 根据权利要求54所述的密钥管理装置，其中，所述安全策略包括以下至少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  56. 一种密钥管理装置，应用于第一网络设备，包括：
    第二接收模块，用于接收终端发送的安全材料请求，所述安全材料请求中包括用户信息、中继服务代码、终端安全能力和角色列表中的至少一项，所述角色列表中包括所述终端对应的至少一个终端角色；
    第二发送模块，用于根据所述安全材料请求向所述终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  57. 根据权利要求56所述的密钥管理装置，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  58. 根据权利要求56所述的密钥管理装置，其中，所述第二发送模 块具体用于：
    根据所述安全材料请求，确定所述终端的允许终端角色；
    根据所述允许终端角色，向所述终端发送所述安全材料响应。
  59. 根据权利要求58所述的密钥管理装置，其中，所述第二发送模块具体用于：
    根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
    根据所述授权信息确定所述允许终端角色。
  60. 根据权利要求58所述的密钥管理装置，其中，所述第二发送模块具体用于：
    向第三网络设备发送授权检查请求，所述授权检查请求中包括所述用户信息、所述中继服务代码和所述角色列表中的至少一项；
    接收所述第三网络设备发送的授权检查响应，所述授权检查响应中包括所述允许终端角色。
  61. 根据权利要求56至60中的任一项所述的密钥管理装置，其中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  62. 根据权利要求61所述的密钥管理装置，其中，所述安全策略包括以下至少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  63. 根据权利要求61所述的密钥管理装置，其中，所述第二发送模块还用于：
    根据RSC标识的中继服务和所述角色列表，生成所述安全材料和所述安全策略。
  64. 一种密钥管理装置，应用于第三网络设备，包括：
    第三接收模块，用于接收授权检查请求，所述授权检查请求中包括用 户信息、中继服务代码和终端的角色列表中的至少一项；
    处理模块，用于根据所述授权检查请求确定所述终端的允许终端角色；
    第三发送模块，用于发送授权检查响应，所述授权检查响应中包括所述允许终端角色。
  65. 根据权利要求64所述的密钥管理装置，其中，所述处理模块具体用于：
    根据所述用户信息和所述中继服务代码，确定对应的授权信息，所述授权信息用于指示所述终端是否拥有所述角色列表中的终端角色；
    根据所述授权信息确定所述允许终端角色。
  66. 根据权利要求64所述的密钥管理装置，其中，所述第三接收模块具体用于：
    接收第一网络设备发送的所述授权检查请求。
  67. 根据权利要求66所述的密钥管理装置，其中，所述第三发送模块具体用于：
    向所述第一网络设备发送所述授权检查响应。
  68. 根据权利要求65所述的密钥管理装置，其中，所述第三接收模块具体用于：
    接收第四网络设备发送的第一授权检查请求，所述第一授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    接收第五网络设备发送的第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    其中，所述授权检查请求包括所述第一授权检查请求和所述第二授权检查请求。
  69. 根据权利要求68所述的密钥管理装置，其中，所述处理模块具体用于：
    根据所述第一授权检查请求确定所述终端的第一允许终端角色；
    根据所述第二授权检查请求确定所述终端的第二允许终端角色。
  70. 根据权利要求69所述的密钥管理装置，其中，所述第三发送模块具体用于：
    向所述第四网络设备发送第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
    向所述第五网络设备发送第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
    其中，所述授权检查响应包括所述第一授权检查响应和所述第二授权检查响应。
  71. 一种密钥管理装置，应用于第四网络设备，包括：
    第四发送模块，用于向第三网络设备发送第一授权检查请求，所述第一授权检查请求中包括角色列表、用户信息和中继服务代码中的至少一项；
    第四接收模块，用于接收所述第三网络设备发送的第一授权检查响应，所述第一授权检查响应中包括第一允许终端角色；
    第五发送模块，用于向第五网络设备发送网络设备间安全材料请求，所述网络设备间安全材料请求中包括所述第一允许终端角色、所述用户信息、所述中继服务代码和终端安全能力中的至少一项；
    第五接收模块，用于接收所述第五网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
    第六发送模块，用于根据所述第一允许终端角色和所述第二允许终端角色，向终端发送安全材料响应，所述安全材料响应中包括所述终端对应的安全材料，所述安全材料为在U2U中继发现过程中对发现消息进行安全保护的密钥及其相关参数。
  72. 根据权利要求71所述的密钥管理装置，其中，所述安全材料包括以下至少一项：
    端到端发现发送安全材料；
    端到端发现接收安全材料；
    中继发现发送安全材料；
    中继发现接收安全材料。
  73. 根据权利要求71或72所述的密钥管理装置，其中，所述安全材料响应中还包括安全策略，所述安全策略用于指示U2U中继发现过程中对所述安全材料的处理。
  74. 根据权利要求73所述的密钥管理装置，其中，所述安全策略包括以下至少一项：
    开启全部端到端消息安全；
    开启部分端到端消息安全；
    不开启端到端消息安全。
  75. 一种密钥管理装置，应用于第五网络设备，包括：
    第六接收模块，用于接收第四网络设备发送的网络设备间安全材料请求，所述网络设备间安全材料请求中包括第一允许终端角色、用户信息、中继服务代码和终端安全能力中的至少一项；
    第七发送模块，用于根据所述网络设备间安全材料请求，向第三网络设备发送第二授权检查请求，所述第二授权检查请求中包括所述角色列表、所述用户信息和所述中继服务代码中的至少一项；
    第七接收模块，用于接收所述第三网络设备发送的第二授权检查响应，所述第二授权检查响应中包括第二允许终端角色；
    第八发送模块，用于向所述第四网络设备发送所述第二授权检查响应。
  76. 一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序用于使计算机执行权利要求1至5中的任一项所述的密钥管理方法，或者，所述计算机程序用于使计算机执行权利要求6至13中的任一项所述的密钥管理方法，或者，所述计算机程序用于使计算机执行权利要求14至20中的任一项所述的密钥管理方法，或者，所述计算机程序用于使计算机执行权利要求21至24中的任一项所述的密钥管理方法，或者所述计算机程序用于使计算机执行权利要求25所述的密钥管理方法。
PCT/CN2023/106996 2022-09-30 2023-07-12 密钥管理方法、装置及设备 WO2024066667A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202211217084.5 2022-09-30
CN202211217084.5A CN117812583A (zh) 2022-09-30 2022-09-30 密钥管理方法、装置及设备

Publications (1)

Publication Number Publication Date
WO2024066667A1 true WO2024066667A1 (zh) 2024-04-04

Family

ID=90420767

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2023/106996 WO2024066667A1 (zh) 2022-09-30 2023-07-12 密钥管理方法、装置及设备

Country Status (2)

Country Link
CN (1) CN117812583A (zh)
WO (1) WO2024066667A1 (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20170050541A (ko) * 2015-10-30 2017-05-11 주식회사 아이티엘 단말간 통신을 지원하는 무선통신 시스템에서 릴레이 단말의 무선연결 운용 방법 및 장치
CN113748619A (zh) * 2019-05-01 2021-12-03 康维达无线有限责任公司 用于5g网络中的多跳中继的方法
US20220109996A1 (en) * 2020-10-01 2022-04-07 Qualcomm Incorporated Secure communication link establishment for a ue-to-ue relay
WO2022088029A1 (zh) * 2020-10-30 2022-05-05 华为技术有限公司 密钥获取方法和通信装置
CN114697945A (zh) * 2022-04-02 2022-07-01 中国电信股份有限公司 发现响应消息的生成方法及装置、发现消息的处理方法
WO2022170994A1 (zh) * 2021-02-10 2022-08-18 大唐移动通信设备有限公司 Pc5根密钥处理方法、装置、ausf及远程终端

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20170050541A (ko) * 2015-10-30 2017-05-11 주식회사 아이티엘 단말간 통신을 지원하는 무선통신 시스템에서 릴레이 단말의 무선연결 운용 방법 및 장치
CN113748619A (zh) * 2019-05-01 2021-12-03 康维达无线有限责任公司 用于5g网络中的多跳中继的方法
US20220109996A1 (en) * 2020-10-01 2022-04-07 Qualcomm Incorporated Secure communication link establishment for a ue-to-ue relay
WO2022088029A1 (zh) * 2020-10-30 2022-05-05 华为技术有限公司 密钥获取方法和通信装置
WO2022170994A1 (zh) * 2021-02-10 2022-08-18 大唐移动通信设备有限公司 Pc5根密钥处理方法、装置、ausf及远程终端
CN114697945A (zh) * 2022-04-02 2022-07-01 中国电信股份有限公司 发现响应消息的生成方法及装置、发现消息的处理方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Study on security aspects of Proximity Based Services (ProSe) in 5G System (5GS) phase 2 (Release 18)", 3GPP TR 33.740, no. V0.2.0, 1 September 2022 (2022-09-01), pages 1 - 38, XP052210639 *
XIAOMI: "New solution on Restricted 5G ProSe UE-to-UE Relay Discovery Model B", 3GPP TSG-SA3 MEETING #108E, S3-222219, 16 August 2022 (2022-08-16), XP052271131 *

Also Published As

Publication number Publication date
CN117812583A (zh) 2024-04-02

Similar Documents

Publication Publication Date Title
US20230276529A1 (en) Service processing method, information indication method, terminal and network device
WO2022151917A1 (zh) 消息处理方法、装置、终端及网络侧设备
WO2022148154A1 (zh) 一种通信方法、装置、设备和可读存储介质
WO2024066667A1 (zh) 密钥管理方法、装置及设备
WO2022156439A1 (zh) 信息传输方法、装置、基站及介质
WO2023273397A1 (zh) 组切换方法、设备、装置及存储介质
WO2022188485A1 (zh) 相对定位授权方法、装置、终端及目标设备
WO2024066399A1 (zh) 进入连接态的方法、装置、终端和网络设备
WO2024067398A1 (zh) 紧急业务的处理方法及装置
WO2024067342A1 (zh) 业务数据的接收方法、装置、第一终端和网络设备
WO2022117054A1 (zh) 终端rrc连接恢复的方法和装置
WO2024104220A1 (zh) 信息传输方法、装置及存储介质
WO2024094220A1 (zh) 通信方法及装置
WO2023020276A1 (zh) 组播广播业务数据传输方法、装置、设备以及存储介质
WO2024093606A1 (zh) 底层触发移动性的处理方法和装置
WO2024082839A1 (zh) 一种信息传输方法、装置及设备
WO2023061081A1 (zh) 一种信息处理方法、装置及可读存储介质
WO2024067322A1 (zh) 候选小区配置的变更方法、装置、终端和网络设备
WO2023231767A1 (zh) 定时提前值传输方法、装置及存储介质
WO2023284474A1 (zh) Amf选择方法、设备、装置及存储介质
WO2023029679A1 (zh) 第一中继节点发现方法、装置及存储介质
WO2023197799A1 (zh) 业务数据传输方法、终端、网络节点和存储介质
WO2024093639A1 (zh) 随机接入过程prach发送功率的控制方法及装置
WO2024027584A1 (zh) 多播业务的业务数据接收方法、设备、装置及存储介质
WO2024067158A1 (zh) 信息确定方法、装置、终端及网络设备

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23869914

Country of ref document: EP

Kind code of ref document: A1