CN102594555A - 数据的安全保护方法、网络侧实体和通信终端 - Google Patents
数据的安全保护方法、网络侧实体和通信终端 Download PDFInfo
- Publication number
- CN102594555A CN102594555A CN2011100335694A CN201110033569A CN102594555A CN 102594555 A CN102594555 A CN 102594555A CN 2011100335694 A CN2011100335694 A CN 2011100335694A CN 201110033569 A CN201110033569 A CN 201110033569A CN 102594555 A CN102594555 A CN 102594555A
- Authority
- CN
- China
- Prior art keywords
- communication terminal
- safe context
- network side
- side entity
- information relevant
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
- H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
- H04W12/0431—Key distribution or pre-distribution; Key agreement
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
- H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- General Health & Medical Sciences (AREA)
- Bioethics (AREA)
- Health & Medical Sciences (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Computing Systems (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本发明公开一种数据的安全保护方法和装置,涉及通信领域。以解决现有技术无法保证具有小数据传输特性的通信终端与网络进行数据传输的安全性的问题。如果通信终端具有小数据传输特性,保存与安全上下文相关的信息;根据所述与安全上下文相关的信息获取安全上下文;采用所述安全上下文对通信数据进行安全保护。本发明实施例可以应用在如MTC等具有小数据传输特性的通信***中。
Description
技术领域
本发明涉及通信领域,尤其涉及一种数据的安全保护方法、网络侧实体和通信终端。
背景技术
机器对机器(Machine to Machine,M2M)通信也称为机器类通信(Machine Type Communication,MTC),是一种无需人为干预,机器和机器之间直接进行通信的技术。MTC具有设备数量巨大、移动性低以及单个设备通信流量小等特点,MTC设备与网络侧实体之间只建立信令面承载,并通过所述信令面承载将数据携带在控制信令中传输。
在现有技术中,当MTC设备和网络侧实体通信结束以后,MTC设备和网络侧实体可能会将用于保护数据安全传输的安全上下文删除,使得在下一次MTC设备和网络侧实体通过控制信令传输数据时,可能由于没有安全上下文而无法对该数据进行安全保护,使得MTC设备的数据无法安全传输。
发明内容
本发明的实施例提供一种数据的安全保护方法、网络侧实体和通信终端,能够保障数据的安全传输,提高通信的安全性。
一方面,提供了一种数据的安全保护方法,应用在机器类通信中,包括:如果与网络侧实体通信的通信终端具有小数据传输特性,所述网络侧实体保存与安全上下文相关的信息;所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文;所述网络侧实体采用所述当前的安全上下文对通信数据进行安全保护。
另一方面,还提供了一种数据的安全保护方法,应用在机器类通信中,包括:如果通信终端具有小数据传输特性,所述通信终端保存与安全上下文相关的信息;所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文;所述通信终端采用所述当前的安全上下文对通信数据进行安全保护。
另一方面,还提供了一种网络侧实体,应用在机器类通信中,包括:
存储模块,用于如果与所述网络侧实体通信的通信终端具有小数据传输特性,保存与安全上下文相关的信息;
第一获取模块,用于根据所述与安全上下文相关的信息获取当前的安全上下文;
安全保护模块,用于采用所述当前的安全上下文对通信数据进行安全保护。
另一方面,还提供了一种通信终端,应用在机器类通信中,包括:
存储模块,用于如果所述通信终端具有小数据传输特性,保存与安全上下文相关的信息;
第一获取模块,用于根据所述与安全上下文相关的信息获取当前的安全上下文;
安全保护模块,用于采用所述当前的安全上下文对通信数据进行安全保护。
本发明实施例提供的数据的安全保护方法、网络侧实体和通信终端,如果通信终端具有小数据传输特性,则保存与安全上下文相关的信息,并根据所述与安全上下文相关的信息获取安全上下文,采用该安全上下文对通信数据进行安全保护,解决了现有技术对于小数据通信终端在通信结束后删除安全上下文,造成下次通信时通信数据无法得到安全保护的问题,本发明实施例提供的技术方案能够保障数据的安全传输,提高通信的安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图仅仅是本发明的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的数据的安全保护方法流程图;
图2为本发明另一实施例提供的数据的安全保护方法时序图;
图3为本发明又一实施例提供的数据的安全保护方法时序图;
图4为本发明再一实施例提供的数据的安全保护方法时序图;
图5为本发明实施例提供的数据的安全保护装置结构示意图一;
图6为本发明实施例提供的数据的安全保护装置结构示意图二;
图7为图5所示的发明实施例提供的数据的安全保护装置的存储模块结构示意图;
图8为图5所示的发明实施例提供的数据的安全保护装置的第一获取模块结构示意图一;
图9为图5所示的发明实施例提供的数据的安全保护装置的第一获取模块结构示意图二。
具体实施方式
下面将结合本发明实施例中的附图,对本发明实施例中的技术方案进行清楚、完整地描述,显然,所描述的实施例仅仅是本发明一部分实施例,而不是全部的实施例。基于本发明中的实施例,本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例,都属于本发明保护的范围。
为了解决现有技术无法保证具有小数据传输特性的通信终端与网络进行数据传输的安全性的问题,本发明实施例提供一种数据的安全保护方法和装置。
本发明实施例提供的数据的安全保护方法和装置,可以应用在如MTC等具有小数据传输特性的通信***中,在本实施例及以下的实施例中,主要以应用在MTC中为例进行说明。
如图1所示,本实施例提供的数据的安全保护方法包括:
步骤101,如果通信终端具有小数据传输特性,保存与安全上下文相关的信息。
可选的,上述步骤的执行主体为网络侧实体时,本发明实施例提供的数据的安全保护方法可以在上一次通信结束时或者进行认证和密钥协商(Authentication and key agreement,AKA)时,向归属用户服务器(HomeSubscriber Server,HSS)查询所述通信终端的MTC特性信息;根据所述MTC特性信息确定通信终端是否具有小数据传输特性。
在本实施例中,与安全上下文相关的信息可以包括:安全上下文,其中,所述安全上下文可以为上一次通信使用的安全上下文,也可以为预先设置的安全上下文,还可以为新生成的安全上下文;或者,算法、随机数(RAND)和认证标记(Authentication Token,AUTN);或者,算法和根密钥(Kasme)等,其中,算法可以为上一次通信使用的算法,也可以为预先设置的算法,Kasme可以为上一次通信使用的Kasme,也可以为预先设置的Kasme或者新生成的Kasme。当然,以上仅为举例,在实际的使用过程中,与安全上下文相关的信息还可以包括其他信息,此处不再一一赘述。
可选的,如果上述步骤的执行主体为通信终端时,进一步地,如果与安全上下文相关的信息包括RAND和AUTN,步骤101可以包括:接收网络侧实体发送的去附着请求(detach request)消息或者去附着接受(detach accept)消息;从detach request消息或者detach accept消息中获取并保存RAND和AUTN。
在实际的使用过程中,RAND和AUTN也可以通过上一次通信过程中的其他消息传递,此处不作一一赘述。
如果与安全上下文相关的信息为安全上下文,或者,与安全上下文相关的信息包括:算法以及Kasme等,步骤101中的保存与安全上下文相关的信息,可以是从本地获取与安全上下文相关的信息并进行保存。
步骤102,根据所述与安全上下文相关的信息获取当前的安全上下文。
步骤102可以是在上一次通信结束后,如所述上一次通信终端与网络侧实体去附着detach后执行的。
在本实施例中,如果与安全上下文相关的信息为安全上下文,步骤102可以将该安全上下文作为本次通信的安全上下文,即当前的安全上下文;
如果与安全上下文相关的信息包括算法、RAND和AUTN,步骤102具体可以包括:根据该算法、RAND和AUTN进行认证,并生成Kasme,根据该Kasme,所述算法生成当前的安全上下文;
如果与安全上下文相关的信息包括算法和Kasme,步骤102具体可以包括:获取通信终端的Count值和通信终端生成的RAND其中,Count值为通信终端与网络侧实体进行快速认证的次数;根据所述RAND、Count值以及与安全上下文相关的信息包括的根密钥Kasme,生成新的根密钥Kasme;根据新的根密钥Kasme和与安全上下文相关的信息包括的算法生成当前的安全上下文。
步骤103,采用当前的安全上下文对通信数据进行安全保护。
可选地,为了保证安全上下文的安全性以及有效性,避免长期使用相同安全上下文对通信数据进行安全保护造成安全保护性能降低的问题,本发明实施例提供的数据的安全保护方法还可以包括:获取通信终端的安全能力;根据通信终端的安全能力从算法优先级列表中选取本次通信所需的算法;采用该算法生成新的安全上下文。
本发明实施例提供的数据的安全保护方法,如果通信终端具有小数据传输特性,则保存与安全上下文相关的信息,根据所述与安全上下文相关的信息获取安全上下文,采用该安全上下文对通信数据进行安全保护,解决了现有技术对于小数据通信终端在通信结束后删除安全上下文,造成下次通信时通信数据无法得到安全保护的问题,本发明实施例提供的技术方案能够保障数据的安全传输,提高通信的安全性。
以上实施例提供的数据的安全保护方法既可以应用在用户侧设备上,也可以应用在网络侧实体设备上,实现对数据的安全保护。
下面以应用在网络侧实体为例,阐述本发明实施例提供的安全保护方法,包括:
如果与网络侧实体通信的通信终端具有小数据传输特性,所述网络侧实体保存与安全上下文相关的信息;
所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文;
所述网络侧实体采用所述当前的安全上下文对通信数据进行安全保护。
其中,所述网络侧实体保存与安全上下文相关的信息,具体可以包括:上一次通信结束时,保存与所述安全上下文相关的信息;所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文,具体可以包括:在本次通信开始时,所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文。
在所述保存与安全上下文相关的信息之前,还可以包括:
所述网络侧实体向归属用户服务器HSS查询所述通信终端的机器类通信MTC特性信息;
所述网络侧实体根据所述MTC特性信息确定通信终端是否具有小数据传输特性。
其中,所述与安全上下文相关的信息可以包括:
安全上下文,或者,算法和认证向量AV,或者,算法和根密钥Kasme。
相应的,所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文,可以包括:
所述网络侧实体根据所述与安全上下文相关的信息包括的算法以及所述AV中的Kasme生成安全上下文;或
所述网络侧实体将所述与安全上下文相关的信息包括的安全上下文作为所述当前的安全上下文;或
所述网络侧实体接收所述通信终端生成的随机数;
所述网络侧实体根据所述通信终端生成的随机数、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息中包括的根密钥Kasme,生成新的根密钥;
所述网络侧实体根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文。
为了与通信终端侧保持同步,上述方法,还可以包括:
网络侧实体向所述通信终端发送去附着请求消息或者去附着接受消息,所述去附着请求消息或者去附着接受消息包含所述认证向量AV中的随机数RAND和认证标记AUTN。
为了与通信终端侧保持同步,上述方法,还可以包括:
所述网络侧实体接收所述通信终端发送的Count值,其中所述发送的Count值为所述通信终端与网络侧实体进行快速认证的次数;
如果接收到的Count值和所述网络侧实体保存的Count值不一致,将所述网络侧实体保存的Count值发送给所述通信终端。
上述方法还可以包括以下对通信终端的认证过程:
所述网络侧实体接收所述通信终端生成的随机数,所述通信终端发送的Count值,以及所述通信终端发送的消息鉴权码MAC值;
所述网络侧实体根据所述通信终端生成的随机数、所述通信终端发送的Count值以及所述与安全上下文相关的信息中包括的算法和根密钥Kasme计算出消息鉴权码MAC值;
如果所述计算出的MAC值和通信终端发送的MAC值一致,则网络侧实体对所述通信终端认证成功。
上述方法还可以包括以下步骤,以便于通信终端对网络侧实体进行认证:
所述网络侧实体接收所述通信终端生成的随机数;
所述网络侧实体根据所述通信终端生成的随机数、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息中包括的根密钥Kasme,生成新的根密钥;
所述网络侧实体根据所述新的根密钥和所述通信终端生成的随机数生成响应数RES;
所述网络侧实体向所述通信终端发送所述生成的RES。
下面以应用在通信终端为例,阐述本发明实施例提供的安全保护方法,包括:
如果通信终端具有小数据传输特性,所述通信终端保存与安全上下文相关的信息;
所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文;
所述通信终端采用所述当前的安全上下文对通信数据进行安全保护。
其中,所述通信终端保存与安全上下文相关的信息,具体可以包括:上一次通信结束时,所述通信终端保存与所述安全上下文相关的信息;所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文,具体可以包括:在本次通信开始时,所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文。
在所述保存与安全上下文相关的信息之前,还可以包括:
所述通信终端根据配置信息获取自身的MTC特性信息,确定所述通信终端是否具有小数据传输特性。
其中,所述与安全上下文相关的信息可以包括:安全上下文,或者,算法、随机数RAND和认证标记AUTN,或者,算法和根密钥Kasme。
相应的,所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文包括:
所述通信终端验证所述AUTN;
所述通信终端根据所述RAND和所述AUTN生成Kasme;
所述通信终端根据生成的Kasme及所述与安全上下文相关的信息中的算法生成所述当前的安全上下文;或
所述通信终端将所述与安全上下文相关的信息中包括的安全上下文作为所述当前的安全上下文;或
所述通信终端获取所述通信终端的Count值和所述通信终端生成的随机数,其中所述通信终端的Count值为所述通信终端与网络侧实体进行快速认证的次数;
根据所述通信终端生成的随机数、所述通信终端的Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成新的根密钥;
根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文。
其中,当所述与安全上下文相关的信息为:算法、随机数RAND和认证标记AUTN时,所述通信终端保存与安全上下文相关的信息可以包括:
所述通信终端接收网络侧实体发送的去附着请求消息或者去附着接受消息;
所述通信终端保存所述去附着请求消息或者去附着接受消息中的所述RAND和所述AUTN。
为了便于网络侧实体对所述通信终端的验证,在所述通信终端获取所述通信终端的Count值和所述通信终端生成的随机数之后还可以包括:
根据所述通信终端生成的随机数、所述通信终端的Count值以及所述与安全上下文相关的信息包括的根密钥Kasme计算出消息鉴权码MAC值;
将所述MAC值发送给网络侧实体。
为了保证通信终端与网络侧实体之间的同步,所述通信终端获取所述通信终端的Count值和所述通信终端生成的随机数之后,在生成新的根密钥之前,还可以包括:
接收网络侧发送的网络侧实体保存的Count值;
如果所述通信终端的Count值与网络侧实体保存的Count值不一致,则将所述通信终端的Count值更新为所述网络侧实体保存的Count值。
在所述根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文前,还可以包括:
接收网络侧实体发送的RES;
根据所述新的根密钥和所述通信终端生成的随机数生成RES;
如果所述生成的RES和所述网络侧实体发送的RES一致,则所述通信终端对所述网络侧实体认证成功。
为了使本领域技术人员能够更清楚地理解本发明实施例提供的技术方案,下面以在长期演进(Long Term Evolution,LTE)***中,本发明实施例提供的数据的安全保护方法应用在MTC设备(即通信终端)和移动性管理实体(Mobility Management Entity,MME)(即网络侧实体)上为例进行说明。
如图2所示,本发明另一实施例提供的数据的安全保护方法,包括:
步骤201,MME查询MTC设备的传输特性,如果MTC设备具有小数据传输特性,在上一次通信结束时,保存与安全上下文相关的信息,其中,与安全上下文相关的信息包括算法和认证向量(AuthenticationVector,AV),并将AV包括的RAND和AUTN发送给MTC设备。
在本实施例中,MME保存的与安全上下文相关的信息可以包括:算法、RAND和AUTN等,其中,算法可以为上一次通信使用的算法也可以为预先设置的算法。
在本实施例中,MME可以在上一次通信结束时,向归属用户服务器(Home Subscriber Server,HSS)查询MTC设备签约的MTC特性信息;MME也可以在MTC设备和网络侧实体进行AKA的过程中,向HS S查询MTC设备签约的MTC特性信息。MME可以将RAND和AUTN通过detach request消息或者detach accept消息发送给MTC设备。
步骤202,MTC设备从detach request消息或者detach accept消息获取RAND和AUTN,如果MTC设备具有小数据传输特性,则MTC设备保存与安全上下文相关的信息。具体的,在上一次通信结束时,MTC设备根据配置信息获取自身的特性,如果MTC设备具有小数据传输特性,MTC设备保存上一次通信使用的安全上下文。当然,MTC设备也可以在上一次通信结束前获取自身特性。
在本实施例中,MTC设备保存的与安全上下文相关的信息可以包括:算法、RAND和AUTN等,其中,算法可以为上一次通信使用的算法也可以为预先设置的算法。
步骤203,在本次通信开始时,MTC设备根据步骤202中保存的与安全上下文相关的信息获取安全上下文。
具体地,在本次通信开始时,MTC设备验证AUTN,并根据RAND和AUTN推衍Kasme,根据该Kasme和算法计算非接入层(Non AccessStratum,NAS)密钥,生成安全上下文,并根据RAND计算响应数(Response,RES),其中,NAS密钥包括NAS加密密钥和NAS完整性密钥,为所述安全上下文的一部分,MTC设备侧的NAS Count(计数器)值置为初始值(如0)并开始启动。具体的,也可以根据推衍的Kasme、所述算法以及计数器非接入层NAS Count值生成安全上下文。
步骤204,MTC设备向MME发送附着请求(attach request)消息,该attach request消息包括:RES和消息鉴权码(Message AuthenticationCode,MAC)值。可选的,当MTC设备需要进行上行数据传输时,采用安全上下文对上行数据进行加密,生成上行数据加密密文,也可以将该上行数据加密密文承载在所述attach request消息中。可选地,attachrequest消息还可以包括:MTC设备的安全能力。
步骤205,MME接收到attach request消息后,查找认证向量(Authentication Vector,AV),从AV中获取期待的响应数(ExpectedResponse,XRES),验证XRES是否与attach request消息包括的RES相同,当相同时,根据所述与安全上下文相关的信息包括的算法以及所述AV中的Kasme生成安全上下文,具体的,可以根据算法以及AV中的Kasme生成安全上下文,采用该安全上下文对attach request消息包括的MAC值进行检查,当检查通过时,采用安全上下文对attach request消息包括的上行数据加密密文进行解密,获取上行数据。
可选地,如果attach request消息还包括MTC设备的安全能力,MME可以根据该MTC设备的安全能力选择新的算法,并根据新选择的算法生成并激活新的NAS密钥。
需要说明的是,如果MME不是MTC设备原始接入的MME,则MME需要向MTC设备原始接入的MME索要该MTC设备的AV和算法,然后对MAC和RES值进行检查;或者,MME将完整的attach request消息发送给MTC设备原始接入的MME检查MAC和RES值,如果MTC设备原始接入的MME对MAC和RES检查成功,则将MTC设备的AV发送给所述MME,由所述MME根据选择的新的算法和Kasme计算新的NAS密钥。
步骤206,当有下行数据需要传输时,MME采用步骤205获取的安全上下文对下行数据进行加密,生成下行数据加密密文,MME向MTC设备发送附着完成(attach complete)消息,该attach complete消息包括:下行数据加密密文和MAC。
可选地,如果在步骤205中MME选择了新的算法,则attach complete消息还包括:新选择的算法。
步骤207,MTC设备根据步骤203获取的安全上下文对attachcomplete消息包括的MAC值进行检查,当检查通过时,采用安全上下文对attach complete消息包括的下行数据加密密文进行解密,获取下行数据。
可选地,如果attach complete消息包括更新后的算法,则MTC设备根据该更新后的算法和Kasme生成新的NAS密钥,并生成新的安全上下文,采用新的安全上下文对attach complete消息包括的MAC值进行检查,当检查通过时,采用新的安全上下文对attach complete消息包括的下行数据加密密文进行解密,获取下行数据。
可选地,为了保证MTC设备和MME均激活了新的安全上下文,还可以包括:
步骤208,MTC设备向MME发送Confirm消息,Confirm消息中包括采用更新后的安全上下文生成的MAC。
需要说明的是,在本实施例中,Confirm消息可以为一条新的NAS消息,也可以为已存在的其他NAS消息,此处不做赘述。
可选地,在本实施例中,当有上行数据需要传输时,Confirm消息也可以包括采用更新后的安全上下文加密的上行数据加密密文。
本发明实施例提供的数据的安全保护方法,如果通信终端具有小数据传输特性,保存与安全上下文相关的信息,根据所述与安全上下文相关的信息获取安全上下文,采用该安全上下文对通信数据进行安全保护,解决了现有技术对于小数据通信终端在通信结束后删除安全上下文,造成下次通信时通信数据无法得到安全保护的问题,本发明实施例提供的技术方案能够保障数据的安全传输,提高通信的安全性。
如图3所示,本发明又一实施例提供的数据的安全保护方法,包括:
步骤301,MME查询MTC设备的MTC特性信息,如果MTC设备具有小数据传输特性,在上一次通信结束时,MME保存上一次通信使用的安全上下文。
在本实施例中,MME可以在上一次通信结束时,向HSS查询MTC设备签约的MTC特性信息;MME也可以在MTC设备和网络侧实体进行AKA的过程中,向HSS查询MTC设备签约的MTC特性信息,并将该MTC特性信息保存起来。
步骤302,在上一次通信结束时,MTC设备根据配置信息获取自身的特性,如果MTC设备具有小数据传输特性,MTC设备保存上一次通信使用的安全上下文。当然,MTC设备也可以在上一次通信结束前获取自身特性。
步骤303,当MTC设备与MME之间需要进行数据传输时,MTC设备采用步骤302保存的安全上下文对上行数据进行加密,MME采用步骤301保存的安全上下文对下行数据进行加密。
本发明实施例提供的数据的安全保护方法,如果通信终端具有小数据传输特性,保存安全上下文,采用该安全上下文对通信数据进行安全保护,解决了现有技术对于小数据通信终端在通信结束后删除安全上下文,造成下次通信时通信数据无法得到安全保护的问题,本发明实施例提供的技术方案能够保障数据的安全传输,提高通信的安全性。
如图4所示,本发明再一实施例还提供一种数据的安全保护方法,包括:
步骤401,MME查询MTC设备的MTC特性信息,如果MTC设备具有小数据传输特性,在上一次通信结束时,保存与安全上下文相关的信息,其中,与安全上下文相关的信息包括:算法和Kasme。
在本实施例中,MME可以在上一次通信结束时,向HSS查询MTC设备签约的MTC特性信息;MME也可以在上一次通信结束前,例如MME也可以在MTC设备和网络侧实体进行AKA的过程中,向HSS查询MTC设备签约的MTC特性信息,并将该MTC特性信息保存起来。
步骤402,在上一次通信结束时,MTC设备根据配置信息获取自身的特性,如果MTC设备具有小数据传输特性,MTC设备保存与安全上下文相关的信息,其中,与安全上下文相关的信息包括:算法和Kasme。当然,MTC设备也可以在上一次通信结束前获取自身特性。
步骤403,MTC设备获取自身的Count值和MTC设备生成的随机数RAND,其中所述MTC设备的Count值为MTC设备与网络侧实体MME进行快速认证的次数;根据所述通信终端生成的随机数、所述MTC设备的Count值以及所述与安全上下文相关的信息包括的算法和根密钥Kasme计算出消息鉴权码MAC值;其中,步骤403可以是在本次通信开始时执行的。
其中,所述MTC设备的Count值为MTC设备进行快速认证的次数。可选地,当该MTC设备的Count值到达预先设置的阈值时,MTC设备进行AKA,生成新的安全上下文。
步骤404,MTC设备向MME发送MTC设备的Count值,MTC设备生成的RAND以及步骤403中计算出的MAC值。可选地,还可以发送MTC设备的安全能力。可选的,上述参数可以通过attach request消息承载。
步骤405,根据网络侧实体(如MME)保存的Count值,接收到的RAND值以及步骤401中保存的算法和Kasme,生成安全上下文。
可选的,在MME生成安全上下文之前,MME可以根据步骤401中保存的安全上下文相关的信息中的算法和Kasme检查接收到的所述MTC设备的MAC值;若检查通过(即认证成功),在生成安全上下文。具体的,检查接收到的所述MTC设备的MAC值具体为,MME根据所述MTC设备生成的随机数、所述MTC设备发送的Count值以及所述与安全上下文相关的信息中包括的算法和根密钥Kasme计算出消息鉴权码MAC值。如果所述计算出的MAC值和通信终端发送的MAC值一致,则网络侧实体对所述通信终端认证成功。
具体地,MME根据所述接收到的Count值,RAND值以及步骤401中保存的Kasme生成本次通信所需的新的Kasme和RES,具体的,新的Kasme=KDF(Kasme,RAND,网络侧实体保存的Count值),新的RES=KDF(新的Kasme,RAND)。根据新的Kasme以及所述步骤401中保存的算法生成安全上下文。
其中,网络侧实体保存的Count值为MTC设备进行快速认证的次数。如果MME接收到的Count值和网络侧实体保存的Count值不一致,则将网络侧实体保存的Count值发送给MTC设备,以保证MTC设备和网络侧实体的Count值同步。可选的,该网络侧实体保存的Count值可以通过attach complete消息承载。可选地,MME还可以根据收到的MTC设备的安全能力选择新的算法,并根据该新选择的算法生成新NAS密钥。
步骤406,MME向MTC设备发送attach complete消息,attach complete消息包括:RES,并对该消息进行完整性保护,即可以在该消息中增加MAC值用于校验。可选的,当有下行数据需要传输时,MME采用步骤405生成的安全上下文对下行数据进行加密,生成下行数据加密密文,attach complete中还可以承载下行数据加密密文、可选地,attach complete消息还可以包括:网络侧实体保存的Count值和/或新选择的算法。
需要说明的是,如果MME不是MTC设备原始接入的MME,则MME需要向MTC设备原始接入的MME索要该MTC设备的Kasme和MTC设备进行快速认证的Count值(网络侧实体保存),然后对MAC值进行检查;或者,MME将完整的attach request消息发送给MTC设备原始接入的MME检查MAC值,如果MTC设备原始接入的MME对MAC检查成功,则将MTC设备原始接入的MME将MTC设备的Kasme和MTC设备进行快速认证的Count值(网络侧实体保存)发送给所述MME,由所述MME计算新的Kasme和RES。
步骤407,MTC设备根据MTC设备的Count值,RAND值以及步骤402中保存的Kasme生成本次通信所需的新的Kasme和RES,具体的,新的Kasme=KDF(Kasme,RAND,所述MTC设备的Count值),新的RES=KDF(新的Kasme,RAND);并根据新的Kasme以及所述步骤402中保存的算法生成安全上下文。
在MTC设备生成安全上下文之前,MTC设备还可以对网络侧实体进行认证,即对网络侧发送的RES进行检查,具体的,可以比较MTC设备生成的RES以及网络侧发送的RES是否一致,如果一致,则MTC设备对网络侧实体认证成功。认证成功后,MTC设备再根据新的Kasme以及所述步骤402中保存的算法生成安全上下文。
可选地,如果attach complete消息包括网络侧实体保存的Count值,MTC设备根据网络侧实体保存的Count值,RAND值以及步骤402中保存的Kasme生成本次通信所需的新的Kasme和RES,并根据新的Kasme以及所述步骤402中保存的算法生成安全上下文,其中,新的Kasme=KDF(Kasme,RAND,网络侧实体保存的Count),新的RES=KDF(新的Kasme,RAND)。
根据生成的安全上下文对attach complete消息包括的MAC值进行检查,当检查通过时,采用安全上下文对attach complete消息包括的下行数据加密密文进行解密,获取下行数据。
可选地,如果attach complete消息包括新选择的算法,MTC设备根据该新选择的算法生成新的NAS密钥,采用新的NAS密钥对attachcomplete消息包括的MAC值进行检查,当检查通过时,采用新的NAS密钥对attach complete消息包括的下行数据加密密文进行解密,获取下行数据。
可选地,为了保证MTC设备和MME均激活新的NAS密钥,还可以包括:
步骤408,MTC设备向MME发送Confirm消息,Confirm消息中包括采用更新后的安全上下文生成的MAC。
需要说明的是,在本实施例中,Confirm消息可以为一条新的NAS消息,也可以为已存在的其他NAS消息,此处不做赘述。
可选地,在本实施例中,当有上行数据需要传输时,Confirm消息也可以包括采用更新后的安全上下文加密的上行数据加密密文。
本发明实施例提供的数据的安全保护方法,如果通信终端具有小数据传输特性,保存与安全上下文相关的信息,根据所述与安全上下文相关的信息获取安全上下文,采用该安全上下文对通信数据进行安全保护,解决了现有技术对于小数据通信终端在通信结束后删除安全上下文,造成下次通信时通信数据无法得到安全保护的问题,本发明实施例提供的技术方案能够保障数据的安全传输,提高通信的安全性。
其中,上述实施例中,网络侧实体或通信终端上一次通信结束时保存与安全上下文相关的信息,具体可以是网络侧实体或通信终端在最近一次网络侧与通信终端执行去附着操作时。可以是在去附着之前保存,去附着的同时保存,或去附着之后保存。具体的,例如MTC设备或网络侧实体在发起detach request之前保存与安全上下文相关的信息;或者MTC设备或网络侧实体在收到detach accept之后保存与安全上下文相关的信息;或者MTC设备或网络侧在在发起detach request之后或在收到detach accept之前保存与安全上下文相关的信息。其中,上述实施例中,网络侧实体或通信终端根据所述与安全上下文相关的信息获取当前的安全上下文,具体可以是在本次通信开始时执行,例如可以是在网络侧实体或通信终端处于去附着状态时或者发起附着请求之前或之后,或是认证成功后等。
如图5所示,本发明实施例还提供一种数据的安全保护装置用于执行上述方法实施例中的步骤,包括:
存储模块501,用于如果通信终端具有小数据传输特性,保存与安全上下文相关的信息;
第一获取模块502,用于根据存储模块501存储的与安全上下文相关的信息获取安全上下文;
安全保护模块503,用于采用第一获取模块502获取的安全上下文对通信数据进行安全保护。
进一步地,如图6所示,当该装置应用在网络侧实体时,本发明实施例提供的数据的安全保护装置还可以包括:
查询模块504,用于向HSS查询通信终端的MTC特性信息;
确定模块505,用于根据查询模块504查询的MTC特性信息确定通信终端具有小数据传输特性。
进一步地,当该装置应用在通信终端时,如图7所示,存储模块501可以包括:
接收子模块5011,用于如果与安全上下文相关的信息包括RAND和AUTN,接收网络侧实体发送的去附着请求消息或者去附着接受消息;
存储子模块5012,用于从接收子模块5011接收的去附着请求消息或者去附着接受消息中获取并保存RAND和AUTN。
进一步地,如图8所示,第一获取模块502可以包括:
第一获取子模块5021,用于如果与安全上下文相关的信息为上一次通信使用的安全上下文,将保存安全上下文作为当前的安全上下文。
进一步地,如图9所示,第一获取模块502可以包括:
第一生成子模块5022,用于根据与安全上下文相关的信息包括的算法、RAND和AUTN进行认证,并生成Kasme;
第二生成子模块5023,用于根据第一生成子模块5022生成的Kasme、算法以及计数器NAS Count值生成安全上下文,其中,所述Count值为初始值。
进一步地,第一获取模块502还可以包括:
第二获取子模块,用于获取通信终端生成的RAND和Count值,其中,所述Count值为通信终端与网络侧实体进行快速认证的次数;
第三生成子模块,用于根据第二获取子模块获取的RAND、所述Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成新的根密钥Kasme;
第四生成子模块,用于根据第三生成子模块生成的新的根密钥Kasme和所述与安全上下文相关的信息包括的算法生成安全上下文。
进一步地,第一获取模块502还可以包括:
计算子模块,用于根据第二获取子模块获取的RAND、所述Count值以及所述与安全上下文相关的信息包括的根密钥Kasme计算出MAC值;
认证子模块,用于检查计算子模块计算出的MAC值和通信终端发送的MAC值是否一致,如果一致,则实现网络对通信终端的认证。
进一步地,第一获取模块502还可以包括:
检查子模块,用于检查第二获取子模块获取的通信终端的Count值与网络侧实体保存的Count值是否一致;
第三生成子模块,用于如果检查子模块的检查结果为不一致,根据第二获取子模块获取的RAND、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成新的根密钥Kasme。
进一步地,第一获取模块502还可以包括:
发送子模块,用于如果检查子模块的检查结果为不一致,将网络侧实体保存的Count值发送给通信终端。
进一步地,第一获取模块502还可以包括:
第三获取子模块,用于获取网络侧实体保存的Count值;
第三生成子模块,还用于根据第二获取子模块获取的RAND、第三获取子模块获取的网络侧实体保存的Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成新的根密钥Kasme。
本发明的实施例还提供了一种网络侧实体,用于执行上述方法实施例中网络侧实体的相关方法步骤,包括:
存储模块,用于如果与所述网络侧实体通信的通信终端具有小数据传输特性,保存与安全上下文相关的信息;
第一获取模块,用于根据所述与安全上下文相关的信息获取当前的安全上下文;
安全保护模块,用于采用所述当前的安全上下文对通信数据进行安全保护。
其中,所述存储模块,具体用于如果与所述网络侧实体通信的通信终端具有小数据传输特性,在上一次通信结束时,保存与安全上下文相关的信息;所述第一获取模块,具体用于本次通信开始时,根据所述与安全上下文相关的信息获取当前的安全上下文。
所述存储模块,还可以包括:
查询模块,用于向HSS查询所述通信终端的MTC特性信息;
确定模块,用于根据所述查询模块查询的MTC特性信息确定通信终端具有小数据传输特性。
所述网络侧实体还可以包括:
发送模块,用于向所述通信终端发送去附着请求消息或者去附着接受消息,所述去附着请求消息或者去附着接受消息包含认证向量AV中的随机数RAND和认证标记AUTN。
所述第一获取模块还可以包括:
第四获取子模块,用于根据所述与安全上下文相关的信息包括的算法以及AV中的Kasme生成安全上下文;或
第一获取子模块,用于将所述与安全上下文相关的信息包括的安全上下文作为所述当前的安全上下文;或
第二获取子模块,用于接收所述通信终端生成的随机数;
第三生成子模块,用于根据所述通信终端生成的随机数、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息中包括的根密钥Kasme,生成新的根密钥;以及
第四生成子模块,用于根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文。
所述网络侧实体,还可以包括:
第二获取子模块,用于接收所述通信终端发送的Count值,其中所述发送的Count值为所述通信终端与网络侧实体进行快速认证的次数;
发送子模块,用于如果接收到的Count值和所述网络侧实体保存的Count值不一致,将所述网络侧实体保存的Count值发送给所述通信终端。
所述网络侧实体,还可以包括:
第二获取子模块,用于接收所述通信终端生成的随机数,所述通信终端发送的Count值,以及所述通信终端发送的消息鉴权码MAC值;
计算子模块,用于根据所述通信终端生成的随机数、所述通信终端发送的Count值以及所述与安全上下文相关的信息中包括的算法和根密钥Kasme计算出消息鉴权码MAC值;
认证子模块,用于检查所述计算出的MAC值和通信终端发送的MAC值是否一致,如果一致,则确定网络侧实体对所述通信终端认证成功。
所述网络侧实体,还可以包括:
第二获取子模块,用于接收所述通信终端生成的随机数;
第三生成子模块,用于根据所述通信终端生成的随机数、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息中包括的根密钥Kasme,生成新的根密钥;
RES生成模块,用于根据所述新的根密钥和所述通信终端生成的随机数生成响应数RES;
RES发送模块,用于向所述通信终端发送所述生成的RES。
本发明的实施例还提供了一种通信终端,用于执行上述方法实施例中通信终端的相关方法步骤,包括:
存储模块,用于如果所述通信终端具有小数据传输特性,保存与安全上下文相关的信息;
第一获取模块,用于根据所述与安全上下文相关的信息获取当前的安全上下文;
安全保护模块,用于采用所述当前的安全上下文对通信数据进行安全保护。
其中,所述存储模块,具体用于如果所述通信终端具有小数据传输特性,在上一次通信结束时,保存与安全上下文相关的信息;所述第一获取模块,具体用于本次通信开始时,根据所述与安全上下文相关的信息获取当前的安全上下文。
所述存储模块还可以包括:
确定模块,用于根据配置信息获取自身的MTC特性信息,确定所述通信终端是否具有小数据传输特性。
所述第一获取模块,还可以包括:
接收子模块,用于接收网络侧实体发送的去附着请求消息或者去附着接受消息;
存储子模块,用于保存所述去附着请求消息或者去附着接受消息中的RAND和AUTN;
第一生成子模块,用于验证所述AUTN,根据所述RAND和所述AUTN生成Kasme;
第三生成子模块,根据生成的Kasme及所述与安全上下文相关的信息中的算法生成所述当前的安全上下文;或
第一获取子模块,用于将所述与安全上下文相关的信息包括的安全上下文作为所述当前的安全上下文;或
第二获取子模块,用于获取所述通信终端的Count值和所述通信终端生成的随机数,其中所述通信终端的Count值为所述通信终端与网络侧实体进行快速认证的次数;
第三生成子模块,用于根据所述第二获取子模块获取的随机数、所述Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成新的根密钥;以及
第四生成子模块,用于根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文。
所述的通信终端,还可以包括:
第二获取子模块,用于获取所述通信终端的Count值和所述通信终端生成的随机数,其中所述通信终端的Count值为所述通信终端与网络侧实体进行快速认证的次数;
第三生成子模块,用于根据所述第二获取子模块获取的随机数、所述Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成消息鉴权码MAC值;
发送子模块,用于将生成的MAC值发送给网络侧实体。
所述的通信终端中,所述第二获取子模块,还可以用于接收网络侧发送的网络侧实体保存的Count值,如果所述通信终端的Count值与网络侧实体保存的Count值不一致,则将所述通信终端的Count值更新为所述网络侧实体保存的Count值。
所述的通信终端,还可以包括:
RES接收模块,用于接收网络侧实体发送的RES;
RES生成模块,用于根据所述第三生成子模块生成的所述新的根密钥和所述第二获取子模块获取的所述随机数生成RES;
RES认证模块,用于检查所述生成的RES和所述网络侧实体发送的RES是否一致,如果一致,则确定所述通信终端对所述网络侧实体认证成功。
需要说明的是,在实际的使用过程中,以上如图5至图9所示的本发明实施例提供的数据的安全保护装置划分的多个模块,也可以通过一个与所述多个模块具有类似功能的模块或者功能模块实现,此处不作赘述。
本发明实施例提供的数据的安全保护装置的具体实现方法可以参见本发明实施例提供的数据的安全保护方法所述,此处不再赘述。
本发明实施例提供的数据的安全保护装置,如果通信终端具有小数据传输特性,保存与安全上下文相关的信息,根据所述与安全上下文相关的信息获取安全上下文,采用该安全上下文对通信数据进行安全保护,解决了现有技术对于小数据通信终端在通信结束后删除安全上下文,造成下次通信时通信数据无法得到安全保护的问题,本发明实施例提供的技术方案能够保障数据的安全传输,提高通信的安全性。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块,或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
以上所述,仅为本发明的具体实施方式,但本发明的保护范围并不局限于此,任何熟悉本技术领域的技术人员在本发明揭露的技术范围内,可轻易想到变化或替换,都应涵盖在本发明的保护范围之内。因此,本发明的保护范围应所述以权利要求的保护范围为准。
Claims (35)
1.一种数据的安全保护方法,应用在机器类通信中,其特征在于,包括:
如果与网络侧实体通信的通信终端具有小数据传输特性,所述网络侧实体保存与安全上下文相关的信息;
所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文;
所述网络侧实体采用所述当前的安全上下文对通信数据进行安全保护。
2.根据权利要求1所述的方法,其特征在于,在所述保存与安全上下文相关的信息之前,还包括:
所述网络侧实体向归属用户服务器HSS查询所述通信终端的机器类通信MTC特性信息;
所述网络侧实体根据所述MTC特性信息确定通信终端是否具有小数据传输特性。
3.根据权利要求1所述的方法,其特征在于,所述与安全上下文相关的信息包括:
安全上下文,或者,
算法和认证向量AV,或者,
算法和根密钥Kasme。
4.根据权利要求3所述的方法,其特征在于,还包括:
网络侧实体向所述通信终端发送去附着请求消息或者去附着接受消息,所述去附着请求消息或者去附着接受消息包含所述认证向量AV中的随机数RAND和认证标记AUTN。
5.根据权利要求3所述的方法,其特征在于,所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文,包括:
所述网络侧实体根据所述与安全上下文相关的信息包括的算法以及所述AV中的Kasme生成安全上下文。
6.根据权利要求3所述的方法,其特征在于,所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文包括:
所述网络侧实体将所述与安全上下文相关的信息包括的安全上下文作为所述当前的安全上下文。
7.根据权利要求3所述的方法,其特征在于,所述根据所述与安全上下文相关的信息获取当前的安全上下文,包括:
所述网络侧实体接收所述通信终端生成的随机数;
所述网络侧实体根据所述通信终端生成的随机数、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息中包括的根密钥Kasme,生成新的根密钥;
所述网络侧实体根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文。
8.根据权利要求3所述的方法,其特征在于,还包括:
所述网络侧实体接收所述通信终端发送的Count值,其中所述发送的Count值为所述通信终端与网络侧实体进行快速认证的次数;
如果接收到的Count值和所述网络侧实体保存的Count值不一致,将所述网络侧实体保存的Count值发送给所述通信终端。
9.根据权利要求3所述的方法,其特征在于,还包括:
所述网络侧实体接收所述通信终端生成的随机数,所述通信终端发送的Count值,以及所述通信终端发送的消息鉴权码MAC值;
所述网络侧实体根据所述通信终端生成的随机数、所述通信终端发送的Count值以及所述与安全上下文相关的信息中包括的算法和根密钥Kasme计算出消息鉴权码MAC值;
如果所述计算出的MAC值和通信终端发送的MAC值一致,则网络侧实体对所述通信终端认证成功。
10.根据权利要求3所述的方法,其特征在于,还包括:
所述网络侧实体接收所述通信终端生成的随机数;
所述网络侧实体根据所述通信终端生成的随机数、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息中包括的根密钥Kasme,生成新的根密钥;
所述网络侧实体根据所述新的根密钥和所述通信终端生成的随机数生成响应数RES;
所述网络侧实体向所述通信终端发送所述生成的RES。
11.根据权利要求1至10任一项所述的方法,其特征在于,所述网络侧实体保存与安全上下文相关的信息,具体包括:上一次通信结束时,保存与所述安全上下文相关的信息;
所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文,具体包括:
在本次通信开始时,所述网络侧实体根据所述与安全上下文相关的信息获取当前的安全上下文。
12.一种数据的安全保护方法,应用在机器类通信中,其特征在于,包括:
如果通信终端具有小数据传输特性,所述通信终端保存与安全上下文相关的信息;
所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文;
所述通信终端采用所述当前的安全上下文对通信数据进行安全保护。
13.根据权利要求12所述的方法,其特征在于,在所述保存与安全上下文相关的信息之前,还包括:
所述通信终端根据配置信息获取自身的MTC特性信息,确定所述通信终端是否具有小数据传输特性。
14.根据权利要求12所述的方法,其特征在于,所述与安全上下文相关的信息包括:
安全上下文,或者,
算法、随机数RAND和认证标记AUTN,或者,算法和根密钥Kasme。
15.根据权利要求14所述的方法,其特征在于,所述通信终端保存与安全上下文相关的信息包括:
所述通信终端接收网络侧实体发送的去附着请求消息或者去附着接受消息;
所述通信终端保存所述去附着请求消息或者去附着接受消息中的所述RAND和所述AUTN。
16.根据权利要求15所述的方法,其特征在于,所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文包括:
所述通信终端验证所述AUTN;
所述通信终端根据所述RAND和所述AUTN生成Kasme;
所述通信终端根据生成的Kasme及所述与安全上下文相关的信息中的算法生成所述当前的安全上下文。
17.根据权利要求14所述的方法,其特征在于,所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文包括:
所述通信终端将所述与安全上下文相关的信息中包括的安全上下文作为所述当前的安全上下文。
18.根据权利要求14所述的方法,其特征在于,所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文,包括:
所述通信终端获取所述通信终端的Count值和所述通信终端生成的随机数,其中所述通信终端的Count值为所述通信终端与网络侧实体进行快速认证的次数;
根据所述通信终端生成的随机数、所述通信终端的Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成新的根密钥;
根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文。
19.根据权利要求18所述的方法,其特征在于,所述通信终端获取所述通信终端的Count值和所述通信终端生成的随机数之后还包括:
根据所述通信终端生成的随机数、所述通信终端的Count值以及所述与安全上下文相关的信息包括的根密钥Kasme计算出消息鉴权码MAC值;
将所述MAC值发送给网络侧实体。
20.根据权利要求18所述的方法,其特征在于,所述通信终端获取所述通信终端的Count值和所述通信终端生成的随机数之后,在生成新的根密钥之前,还包括:
接收网络侧发送的网络侧实体保存的Count值;
如果所述通信终端的Count值与网络侧实体保存的Count值不一致,则将所述通信终端的Count值更新为所述网络侧实体保存的Count值。
21.根据权利要求18所述的方法,其特征在于,在所述根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文前,还包括:
接收网络侧实体发送的RES;
根据所述新的根密钥和所述通信终端生成的随机数生成RES;
如果所述生成的RES和所述网络侧实体发送的RES一致,则所述通信终端对所述网络侧实体认证成功。
22.根据权利要求13至21任一项所述的方法,其特征在于,所述通信终端保存与安全上下文相关的信息,具体包括:上一次通信结束时,所述通信终端保存与所述安全上下文相关的信息;
所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文,具体包括:
在本次通信开始时,所述通信终端根据所述与安全上下文相关的信息获取当前的安全上下文。
23.一种网络侧实体,应用在机器类通信中,其特征在于,包括:
存储模块,用于如果与所述网络侧实体通信的通信终端具有小数据传输特性,保存与安全上下文相关的信息;
第一获取模块,用于根据所述与安全上下文相关的信息获取当前的安全上下文;
安全保护模块,用于采用所述当前的安全上下文对通信数据进行安全保护。
24.根据权利要求23所述的网络侧实体,其特征在于,所述存储模块,还包括:
查询模块,用于向HSS查询所述通信终端的MTC特性信息;
确定模块,用于根据所述查询模块查询的MTC特性信息确定通信终端具有小数据传输特性。
25.根据权利要求23所述的网络侧实体,其特征在于还包括:
发送模块,用于向所述通信终端发送去附着请求消息或者去附着接受消息,所述去附着请求消息或者去附着接受消息包含认证向量AV中的随机数RAND和认证标记AUTN。
26.根据权利要求23所述的网络侧实体,其特征在于,所述第一获取模块包括:
第四获取子模块,用于根据所述与安全上下文相关的信息包括的算法以及AV中的Kasme生成安全上下文;
或
第一获取子模块,用于将所述与安全上下文相关的信息包括的安全上下文作为所述当前的安全上下文;
或
第二获取子模块,用于接收所述通信终端生成的随机数;
第三生成子模块,用于根据所述通信终端生成的随机数、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息中包括的根密钥Kasme,生成新的根密钥;以及
第四生成子模块,用于根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文。
27.根据权利要求23所述的网络侧实体,其特征在于,还包括:
第二获取子模块,用于接收所述通信终端发送的Count值,其中所述发送的Count值为所述通信终端与网络侧实体进行快速认证的次数;
发送子模块,用于如果接收到的Count值和所述网络侧实体保存的Count值不一致,将所述网络侧实体保存的Count值发送给所述通信终端。
28.根据权利要求23所述的网络侧实体,其特征在于,还包括:
第二获取子模块,用于接收所述通信终端生成的随机数,所述通信终端发送的Count值,以及所述通信终端发送的消息鉴权码MAC值;
计算子模块,用于根据所述通信终端生成的随机数、所述通信终端发送的Count值以及所述与安全上下文相关的信息中包括的算法和根密钥Kasme计算出消息鉴权码MAC值;
认证子模块,用于检查所述计算出的MAC值和通信终端发送的MAC值是否一致,如果一致,则确定网络侧实体对所述通信终端认证成功。
29.根据权利要求23所述的网络侧实体,其特征在于,还包括:
第二获取子模块,用于接收所述通信终端生成的随机数;
第三生成子模块,用于根据所述通信终端生成的随机数、所述网络侧实体保存的Count值以及所述与安全上下文相关的信息中包括的根密钥Kasme,生成新的根密钥;
RES生成模块,用于根据所述新的根密钥和所述通信终端生成的随机数生成响应数RES;
RES发送模块,用于向所述通信终端发送所述生成的RES。
30.一种通信终端,应用在机器类通信中,其特征在于,包括:
存储模块,用于如果所述通信终端具有小数据传输特性,保存与安全上下文相关的信息;
第一获取模块,用于根据所述与安全上下文相关的信息获取当前的安全上下文;
安全保护模块,用于采用所述当前的安全上下文对通信数据进行安全保护。
31.根据权利要求30所述的通信终端,其特征在于,所述存储模块还包括:
确定模块,用于根据配置信息获取自身的MTC特性信息,确定所述通信终端是否具有小数据传输特性。
32.根据权利要求30所述的通信终端,其特征在于,所述第一获取模块,还包括:
接收子模块,用于接收网络侧实体发送的去附着请求消息或者去附着接受消息;
存储子模块,用于保存所述去附着请求消息或者去附着接受消息中的RAND和AUTN;
第一生成子模块,用于验证所述AUTN,根据所述RAND和所述AUTN生成Kasme;
第三生成子模块,根据生成的Kasme及所述与安全上下文相关的信息中的算法生成所述当前的安全上下文;
或
第一获取子模块,用于将所述与安全上下文相关的信息包括的安全上下文作为所述当前的安全上下文;
或
第二获取子模块,用于获取所述通信终端的Count值和所述通信终端生成的随机数,其中所述通信终端的Count值为所述通信终端与网络侧实体进行快速认证的次数;
第三生成子模块,用于根据所述第二获取子模块获取的随机数、所述Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成新的根密钥;
第四生成子模块,用于根据所述新的根密钥和所述与安全上下文相关的信息包括的算法生成所述当前的安全上下文。
33.根据权利要求30所述的通信终端,其特征在于,还包括:
第二获取子模块,用于获取所述通信终端的Count值和所述通信终端生成的随机数,其中所述通信终端的Count值为所述通信终端与网络侧实体进行快速认证的次数;
第三生成子模块,用于根据所述第二获取子模块获取的随机数、所述Count值以及所述与安全上下文相关的信息包括的根密钥Kasme,生成消息鉴权码MAC值;
发送子模块,用于将生成的MAC值发送给网络侧实体。
34.根据权利要求32所述的通信终端,其特征在于:
所述第二获取子模块,还用于接收网络侧发送的网络侧实体保存的Count值,如果所述通信终端的Count值与网络侧实体保存的Count值不一致,则将所述通信终端的Count值更新为所述网络侧实体保存的Count值。
35.根据权利要求32所述的通信终端,其特征在于,还包括:
RES接收模块,用于接收网络侧实体发送的RES;
RES生成模块,用于根据所述第三生成子模块生成的所述新的根密钥和所述第二获取子模块获取的所述随机数生成RES;
RES认证模块,用于检查所述生成的RES和所述网络侧实体发送的RES是否一致,如果一致,则确定所述通信终端对所述网络侧实体认证成功。
Priority Applications (4)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201110033569.4A CN102594555B (zh) | 2011-01-17 | 2011-01-30 | 数据的安全保护方法、网络侧实体和通信终端 |
EP12736492.5A EP2658299B1 (en) | 2011-01-17 | 2012-01-17 | Method, network side entity and communication terminal for protecting data security |
PCT/CN2012/070475 WO2012097723A1 (zh) | 2011-01-17 | 2012-01-17 | 数据的安全保护方法、网络侧实体和通信终端 |
US13/943,469 US9189632B2 (en) | 2011-01-17 | 2013-07-16 | Method for protecting security of data, network entity and communication terminal |
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201110009908.5 | 2011-01-17 | ||
CN201110009908 | 2011-01-17 | ||
CN201110033569.4A CN102594555B (zh) | 2011-01-17 | 2011-01-30 | 数据的安全保护方法、网络侧实体和通信终端 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN102594555A true CN102594555A (zh) | 2012-07-18 |
CN102594555B CN102594555B (zh) | 2015-04-29 |
Family
ID=46482780
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201110033569.4A Active CN102594555B (zh) | 2011-01-17 | 2011-01-30 | 数据的安全保护方法、网络侧实体和通信终端 |
Country Status (4)
Country | Link |
---|---|
US (1) | US9189632B2 (zh) |
EP (1) | EP2658299B1 (zh) |
CN (1) | CN102594555B (zh) |
WO (1) | WO2012097723A1 (zh) |
Cited By (10)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103581899A (zh) * | 2012-07-30 | 2014-02-12 | ***通信集团公司 | 一种数据传输方法、装置、***和相关设备 |
CN103841547A (zh) * | 2012-11-27 | 2014-06-04 | 电信科学技术研究院 | 一种下行数据传输方法、装置及*** |
CN104144524A (zh) * | 2013-05-08 | 2014-11-12 | 电信科学技术研究院 | 一种小数据传输方法和演进基站及用户终端 |
CN105408884A (zh) * | 2013-07-26 | 2016-03-16 | 惠普发展公司,有限责任合伙企业 | 基于上下文的数据查看 |
CN105432058A (zh) * | 2013-07-31 | 2016-03-23 | 日本电气株式会社 | 针对mtc组密钥管理的装置和方法 |
CN105684469A (zh) * | 2013-10-31 | 2016-06-15 | 日本电气株式会社 | Mtc所用的设备、***和方法 |
CN109117665A (zh) * | 2013-08-14 | 2019-01-01 | 华为终端(东莞)有限公司 | 实现隐私保护方法及装置 |
CN110048988A (zh) * | 2018-01-15 | 2019-07-23 | 华为技术有限公司 | 消息的发送方法和装置 |
CN110809892A (zh) * | 2017-06-30 | 2020-02-18 | 华为技术有限公司 | 一种认证方法及终端、网络设备 |
WO2023011373A1 (zh) * | 2021-07-31 | 2023-02-09 | 华为技术有限公司 | 一种传输方法、***及相关装置 |
Families Citing this family (11)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US9967319B2 (en) * | 2014-10-07 | 2018-05-08 | Microsoft Technology Licensing, Llc | Security context management in multi-tenant environments |
US10097995B2 (en) | 2015-07-12 | 2018-10-09 | Qualcomm Incorporated | Network architecture and security with encrypted network reachability contexts |
US10091649B2 (en) | 2015-07-12 | 2018-10-02 | Qualcomm Incorporated | Network architecture and security with encrypted client device contexts |
CN107294723A (zh) * | 2016-03-31 | 2017-10-24 | 中兴通讯股份有限公司 | 消息完整性认证信息的生成和验证方法、装置及验证*** |
KR102437619B1 (ko) * | 2016-04-01 | 2022-08-29 | 삼성전자주식회사 | 보안 키를 생성하기 위한 장치 및 방법 |
US10313878B2 (en) * | 2016-09-16 | 2019-06-04 | Qualcomm Incorporated | On-demand network function re-authentication based on key refresh |
US10462837B2 (en) * | 2016-11-04 | 2019-10-29 | Qualcomm Incorporated | Method, apparatus, and system for reestablishing radio communication links due to radio link failure |
WO2018089442A2 (en) * | 2016-11-09 | 2018-05-17 | Intel IP Corporation | Ue and devices for detach handling |
CN113411804B (zh) | 2016-12-30 | 2023-09-22 | 华为技术有限公司 | 传输控制方法 |
CN109429215B (zh) * | 2017-07-04 | 2021-07-06 | 中兴通讯股份有限公司 | 数据传输方法、相关设备和计算机可读存储介质 |
CN114531237B (zh) * | 2022-04-21 | 2022-07-19 | 八维通科技有限公司 | 基于嵌入式平台的集成网关的根密钥升级方法 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101043323A (zh) * | 2007-03-13 | 2007-09-26 | 宁波大学 | 一种面向无线移动终端的信息安全服务方法 |
US20090117877A1 (en) * | 2006-07-04 | 2009-05-07 | Huawei Technologies Co., Ltd. | Method and device for realizing push service of gaa |
CN101925050A (zh) * | 2010-08-19 | 2010-12-22 | 华为技术有限公司 | 一种安全上下文的生成方法及装置 |
CN101931955A (zh) * | 2010-09-03 | 2010-12-29 | 中兴通讯股份有限公司 | 认证方法、装置及*** |
Family Cites Families (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2007108651A1 (en) * | 2006-03-22 | 2007-09-27 | Lg Electronics Inc. | Security considerations for the lte of umts |
EP2235911A4 (en) * | 2008-01-22 | 2012-08-08 | Ericsson Telefon Ab L M | SECURITY GUIDELINES FOR COMMUNICATION TERMINALS |
US9276909B2 (en) * | 2008-08-27 | 2016-03-01 | Qualcomm Incorporated | Integrity protection and/or ciphering for UE registration with a wireless network |
KR101824987B1 (ko) * | 2010-02-11 | 2018-02-02 | 엘지전자 주식회사 | 이동통신 시스템에서의 다운링크 mtc 데이터 전송 방법 |
US9497566B2 (en) * | 2010-03-23 | 2016-11-15 | Interdigital Patent Holdings, Inc. | Efficient signaling for machine type communication |
US9313747B2 (en) * | 2011-07-01 | 2016-04-12 | Intel Corporation | Structured codebook for uniform circular array (UCA) |
-
2011
- 2011-01-30 CN CN201110033569.4A patent/CN102594555B/zh active Active
-
2012
- 2012-01-17 WO PCT/CN2012/070475 patent/WO2012097723A1/zh active Application Filing
- 2012-01-17 EP EP12736492.5A patent/EP2658299B1/en active Active
-
2013
- 2013-07-16 US US13/943,469 patent/US9189632B2/en active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20090117877A1 (en) * | 2006-07-04 | 2009-05-07 | Huawei Technologies Co., Ltd. | Method and device for realizing push service of gaa |
CN101043323A (zh) * | 2007-03-13 | 2007-09-26 | 宁波大学 | 一种面向无线移动终端的信息安全服务方法 |
CN101925050A (zh) * | 2010-08-19 | 2010-12-22 | 华为技术有限公司 | 一种安全上下文的生成方法及装置 |
CN101931955A (zh) * | 2010-09-03 | 2010-12-29 | 中兴通讯股份有限公司 | 认证方法、装置及*** |
Cited By (18)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103581899A (zh) * | 2012-07-30 | 2014-02-12 | ***通信集团公司 | 一种数据传输方法、装置、***和相关设备 |
CN103581899B (zh) * | 2012-07-30 | 2016-08-10 | ***通信集团公司 | 一种数据传输方法、装置、***和相关设备 |
CN103841547A (zh) * | 2012-11-27 | 2014-06-04 | 电信科学技术研究院 | 一种下行数据传输方法、装置及*** |
CN103841547B (zh) * | 2012-11-27 | 2017-11-10 | 电信科学技术研究院 | 一种下行数据传输方法、装置及*** |
CN104144524A (zh) * | 2013-05-08 | 2014-11-12 | 电信科学技术研究院 | 一种小数据传输方法和演进基站及用户终端 |
CN104144524B (zh) * | 2013-05-08 | 2018-05-11 | 电信科学技术研究院 | 一种小数据传输方法和演进基站及用户终端 |
US10027632B2 (en) | 2013-07-26 | 2018-07-17 | Hewlett Packard Enterprise Development Lp | Data view based on context |
CN105408884A (zh) * | 2013-07-26 | 2016-03-16 | 惠普发展公司,有限责任合伙企业 | 基于上下文的数据查看 |
CN105408884B (zh) * | 2013-07-26 | 2019-03-29 | 慧与发展有限责任合伙企业 | 基于上下文的数据查看 |
CN105432058A (zh) * | 2013-07-31 | 2016-03-23 | 日本电气株式会社 | 针对mtc组密钥管理的装置和方法 |
US11570161B2 (en) | 2013-07-31 | 2023-01-31 | Nec Corporation | Devices and method for MTC group key management |
CN109117665A (zh) * | 2013-08-14 | 2019-01-01 | 华为终端(东莞)有限公司 | 实现隐私保护方法及装置 |
CN105684469A (zh) * | 2013-10-31 | 2016-06-15 | 日本电气株式会社 | Mtc所用的设备、***和方法 |
US10681553B2 (en) | 2013-10-31 | 2020-06-09 | Nec Corporation | Apparatus, system, and method for mobile communication |
US11601790B2 (en) | 2013-10-31 | 2023-03-07 | Nec Corporation | Apparatus, system and method for mobile communication |
CN110809892A (zh) * | 2017-06-30 | 2020-02-18 | 华为技术有限公司 | 一种认证方法及终端、网络设备 |
CN110048988A (zh) * | 2018-01-15 | 2019-07-23 | 华为技术有限公司 | 消息的发送方法和装置 |
WO2023011373A1 (zh) * | 2021-07-31 | 2023-02-09 | 华为技术有限公司 | 一种传输方法、***及相关装置 |
Also Published As
Publication number | Publication date |
---|---|
WO2012097723A1 (zh) | 2012-07-26 |
EP2658299A1 (en) | 2013-10-30 |
EP2658299B1 (en) | 2019-11-13 |
US20130305386A1 (en) | 2013-11-14 |
US9189632B2 (en) | 2015-11-17 |
EP2658299A4 (en) | 2013-12-25 |
CN102594555B (zh) | 2015-04-29 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN102594555A (zh) | 数据的安全保护方法、网络侧实体和通信终端 | |
US10187202B2 (en) | Key agreement for wireless communication | |
CN105007577B (zh) | 一种虚拟sim卡参数管理方法、移动终端及服务器 | |
US9088408B2 (en) | Key agreement using a key derivation key | |
CN106130716B (zh) | 基于认证信息的密钥交换***及方法 | |
CN108848495B (zh) | 一种使用预置密钥的用户身份更新方法 | |
CN104038937A (zh) | 一种适用于卫星移动通信网络的入网认证方法 | |
CN112311533B (zh) | 终端身份认证方法、***以及存储介质 | |
CN103974248A (zh) | 在能力开放***中的终端安全性保护方法、装置及*** | |
Zhang et al. | Dynamic group based authentication protocol for machine type communications | |
CN104955040B (zh) | 一种网络鉴权认证的方法及设备 | |
CN105792095A (zh) | 用于mtc分组通信的密钥协商方法、***及网络实体 | |
CN104010310A (zh) | 基于物理层安全的异构网络统一认证方法 | |
CN112134831B (zh) | 接入请求的发送、处理方法及装置 | |
CN109474635B (zh) | 一种基于扫码技术的用电设备配网方法及*** | |
CN104954125A (zh) | 密钥协商方法、用户设备、路由器及位置服务器 | |
CN111107550A (zh) | 5g终端设备双通道接入注册方法、设备及存储介质 | |
CN102905267B (zh) | Me标识鉴权、安全模式控制方法及装置 | |
CN106358159A (zh) | 宽带集群***的共享信道管理方法、***、终端和基站 | |
CN106535178B (zh) | 接入层和非接入层密钥安全隔离装置及其方法 | |
CN103841556A (zh) | 无线局域网快速切换方法 | |
CN106304061B (zh) | 一种故障弱化状态下的用户鉴权方法 | |
CN111083700A (zh) | 基于区块链的5g终端设备接入方法、设备及存储介质 | |
CN104980332A (zh) | 一种远程数据管理的***及方法 | |
KR20150135715A (ko) | 이동통신 시스템에서 사용자의 프라이버시를 보호하는 장치 및 방법 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant |