CN105578456B - Td-lte集群通信***的端到端加密方法、设备及*** - Google Patents

Abstract

本发明提供TD‑LTE集群通信***的端到端加密方法、设备及***。该方法包括：向加密服务器发送密钥请求消息；接收所述加密服务器返回的空口密钥；将所述空口密钥转换为NAS承载的空口密钥；向用户设备发送所述NAS承载的空口密钥，以使所述用户设备使用所述NAS承载的空口密钥在所属群组内进行数据传输。本发明提供的TD‑LTE集群通信***的端到端加密方法、设备及***，能够有效保障TD‑LTE集群通信***的集群通话安全性。

Description

TD-LTE集群通信***的端到端加密方法、设备及***

技术领域

本发明涉及通信技术，尤其涉及一种分时长期演进(Time Division Long TermEvolution，TD-LTE)集群通信***的端到端加密方法、设备及***。

背景技术

数字集群通信***是一个以半双工的双向集群通信为主要特征的技术，其基本业务是集群呼叫；在一个集群中一般有多个用户，集群中的用户可以具有调度员的功能，或单独配置不属于集群的调度员，实现对集群的调度功能。调度员或集群中具有权限的用户可以发起集群业务的建立过程，集群建立后，在一个集群中同时只有一个用户话权，拥有话权的用户(讲者)可以讲话，集群中的其它用户是听者，接收讲者的讲话信息；讲者通话结束后释放话权；集群内的其它用户(听者)可以在话权空闲或话权占用的情况下申请话权，高优先级的用户可以抢占低优先级用户的话权。在一个小区中，集群业务建立过程中，在一个小区，无论集群用户数目多少，一般只会建立一套承载信道资源，达到在节省网络承载信道资源的情况下，一个讲者说话，多个用户接听的“一呼百应”的效果。

由于数字集群通信***中集群用户共享资源，集群的空口承载资源会通知到所有的听者，主讲通话会在集群空口承载资源上分发到所有的听者，所有的听者都能听到集群讲者的通话。非法集群用户很容易获取到集群的空口承载资源，因此若集群通话不加密，则集群通话的安全性无法保证，即集群通话容易被非集群用户监听。

由于集群的特性是一对多的方式进行通信，即同时存在一个主讲和多个听者，与普通的点对点的通信方式存在极大区别。因此，集群通信的加密机制也不同于点对点的通信方式，密钥的定义和分发需满足一对多的场景，现有的点对点通信的加密通信方法无法适用于集群通信。目前并没有一种有效的用于TD-LTE宽带集群***的端到端的加密通信方法。

发明内容

针对现有技术中存在的缺陷，本发明实施例提供一种TD-LTE集群通信***的端到端加密方法、设备及***，用于有效保障TD-LTE集群通信***的集群通话安全性。

根据本发明的第一方面，提供了一种TD-LTE集群通信***的端到端加密方法，包括：

向加密服务器发送密钥请求消息；

接收所述加密服务器返回的空口密钥；

将所述空口密钥转换为非接入层(NAS)承载的空口密钥；

向用户设备发送所述NAS承载的空口密钥，以使所述用户设备使用所述NAS承载的空口密钥在所属群组内进行数据传输。

结合本发明的第一方面，在第一种实现方式中，所述密钥请求消息携带有所述用户设备的标识，以使所述加密服务器根据所述用户设备的标识确定所述用户设备的主密钥，并根据所述主密钥对所述空口密钥进行加密。

结合本发明的第一方面，在第二种实现方式中，该方法还包括：

接收所述用户设备发送的上行同步控制信息，所述上行同步控制信息携带有所述用户设备的标识，所述用户设备的标识用于所述加密服务器根据所述用户设备的标识确定所述空口密钥；

将所述上行同步控制信息发送至所述加密服务器；

接收所述加密服务器返回的使用所述空口密钥加密的下行同步控制信息；

向所述用户设备发送所述下行同步控制信息，以使所述用户设备使用所述下行同步控制信息在所属集群内进行数据传输。

结合本发明的第一方面的第二种实现方式，在第三种实现方式中，所述上行同步控制信息携带在所述用户设备发送的话权申请或主叫语音数据中。

根据本发明的第二方面，提供了一种网络节点，包括：

第一发送单元，用于向加密服务器发送密钥请求消息；

第一接收单元，用于接收所述加密服务器返回的空口密钥；

密钥处理单元，用于将所述空口密钥转换为非接入层NAS承载的空口密钥；

第二发送单元，用于向用户设备发送所述NAS承载的空口密钥，以使所述用户设备使用所述NAS承载的空口密钥在所属群组内进行数据传输。

结合本发明的第二方面，在第一种实现方式中，所述密钥请求消息携带有所述用户设备的标识，以使所述加密服务器根据所述用户设备的标识确定所述用户设备的主密钥，并根据所述主密钥对所述空口密钥进行加密。

结合本发明的第二方面，在第二种实现方式中，该网络节点还包括：

第二接收单元，用于接收所述用户设备发送的上行同步控制信息，所述上行同步控制信息携带有所述用户设备的标识，所述用户设备的标识用于所述加密服务器根据所述用户设备的标识确定所述空口密钥；

所述第一发送单元还用于将所述上行同步控制信息发送至所述加密服务器；

所述第一接收单元还用于接收所述加密服务器返回的使用所述空口密钥加密的下行同步控制信息；

所述第二发送单元还用于向所述用户设备发送所述下行同步控制信息，以使所述用户设备使用所述下行同步控制信息在所属集群内进行数据传输。

结合本发明的第二方面的第二种实现方式，在第三种实现方式中，所述上行同步控制信息携带在所述用户设备发送的话权申请或主叫语音数据中。

根据本发明的第三方面，提供了一种TD-LTE集群通信***，包括用户设备、加密服务器以及根据本发明第二方面或本发明第二方面的第一种至第三种实现方式中任一种的网络节点，所述网络节点分别与所述用户设备和所述加密服务器连接。

根据本发明实施例提供的TD-LTE集群通信***的端到端加密方法、设备及***，网络节点向密钥中心发送密钥请求消息，并在接收到密钥中心返回的空口密钥后，将空口密钥转换为NAS承载的空口密钥并发送给用户设备，使得用户设备能够使用该空口密钥进行端到端的加密传输，实现了在TD-LTE宽带集群***中的端到端的加密通信，有效保障了TD-LTE集群通信***的集群通话安全性。

附图说明

图1为用于实现本发明实施例提供的TD-LTE集群通信***的端到端加密方法的TD-LTE***的示例的***架构示意图；

图2为本发明一个实施例提供的TD-LTE集群通信***的端到端加密方法的流程示意图；

图3为本发明实施例中加密控制PDU的一个示例的帧结构示意图；

图4为TD-LTE集群通信***中用户设备进行端到端加密通信的一个示例的流程示意图；

图5为本发明实施例中加解密芯片端到端加密方式的一个示例的示意图；

图6为本发明另一实施例提供的TD-LTE集群通信***的端到端加密方法的流程示意图；

图7为本发明一个实施例提供的网络节点的结构示意图；

图8为本发明另一个实施例提供的网络节点的结构示意图；

图9为本发明一个实施例提供的TD-LTE集群通信***的***架构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为用于实现本发明实施例提供的TD-LTE集群通信***的端到端加密方法的TD-LTE集群通信***的示例的***架构示意图。如图1所示，该TD-LTE***包括网络节点(例如包括核心网设备(eCNS)、调度机、调度台等)、基站、射频拉远单元(Radio RemoteUnit，RRU)和用户设备(例如包括手台、智能机和数据卡等)等，当该TD-LTE集群通信***需要支持加密时，还会配置有加密服务器、该加密服务器用于管理加密的密钥和控制加密的相关流程。

下面以图1所示的TD-LTE集群通信***中为例，对本发明实施例提供的TD-LTE集群通信***的端到端加密方法进行详细说明。

图2为本发明一个实施例提供的TD-LTE集群通信***的端到端加密方法的流程示意图，如图2所示，本实施例的TD-LTE集群通信***的端到端加密方法包括：

步骤S201，向加密服务器发送密钥请求消息。

具体地，本实施例提供的方法为网络节点所执行的操作。为保证TD-LTE集群通信***内的集群通话安全性，网络节点可以主动或被动地向加密服务器发送密钥请求消息。更为具体地，例如，TD-LTE集群通信***的集群中的用户设备需要进行集群通信时，请求网络节点分配密钥，则网络节点在收到用户设备发送的请求分配密钥的请求后，向加密服务器发送密钥请求消息，以获取为该集群分配的密钥。或者，网络节点对分配给集群的空口密钥定期更新，当网络节点获知分配给某一集群的前一密钥已经达指定时长时，主动向加密服务器发送密钥请求消息，以获取更新的空口密钥。此外，该网络节点还可以在获知集群发生变化时，例如集群内有新加入的用户设备或者有用户设备离开该集群，网络节点主动向加密服务器发送密钥请求，以获取该集群更新的空口密钥。

步骤S202，接收所述加密服务器返回的空口密钥。

具体地，加密服务器接收到网络节点发送的密钥请求消息后，向网络节点返回为集群分配的空口密钥。更为具体地，加密服务器例如向网络节点返回一个加密控制协议数据单元(Protocol Data Unit,PDU)。图3为本发明实施例中加密控制PDU的一个示例的帧结构示意图。如图3所示，该加密控制帧包括前置功能码、帧格式类型、加密索引号、帧长度、载荷(Payload)以及循环冗余校验(Cyclic Redundancy Check，CRC)码。

步骤S203，将所述空口密钥转换为非接入层(non-access stratum，NAS)承载的空口密钥。

具体地，在TD-LTE的安全架构中，包括接入层(AS，access stratum)和NAS两个层次。在本实施例中，网络层接收到加密服务器的数据后，采用NAS透明消息的方式作为接口容器，携带加密服务器产生的加密数据。即，网络节点将接收到的加密控制PDU转换为承载该加密控制PDU的NAS传送协议数据单元(Transport Protocol Data Unit，TPDU)。

步骤S204，向用户设备发送所述NAS承载的空口密钥，以使所述用户设备使用所述NAS承载的空口密钥在所属群组内进行数据传输。

具体地，网络节点通过NAS信令方式，通过空口将步骤S203中转换获得的NAS TPDU发送给对应集群内的用户设备。用户设备在接收到NAS信令后，若确定是加密服务器的透明消息，则分解加密服务器产生的数据，发送给加密芯片，由加密芯片根据加密服务器的数据获取加密参数，采用该加密参数开始进行集群通信。

更为具体地，图4为TD-LTE集群通信***中用户设备进行端到端加密通信的一个示例的流程示意图。

如图4所示，在TD-LTE集群通信***的端到端加密通信方案中，用户加密算法和解密算法可以采用硬件实现，用户设备可以嵌有一个加解密芯片，以加速加密和解密的算法速度。在发送端用户设备中，输入该加解密芯片的数据流包含以下任意一种或多种：

群组的语音：上行的群组语音通过麦克(MIC)，输送给编码器后产生语音编码数据，语音编码数据流发送给加解密芯片进行加密，由加解密芯片输出加密的数据流；

点对点的语音：上行的群组语音通过麦克(MIC)，输送给编码器后产生语音编码数据，语音编码数据流发送给加解密芯片进行加密，由加解密芯片输出加密的数据流；

数据：上层应用软件产生的数据流，发送给加解密芯片进行加密，由加解密芯片输出加密的数据流；

短消息：短消息发送给加解密芯片进行加密，由加解密芯片输出加密的数据流。

更为具体地，在接收到输入的数据后，例如语音数据，加解密芯片(加密芯片)调用加密算法对输入的数据进行加密，加密后的数据流发送给用户设备的用户面处理，形成加密的用户面数据，并通过空口发送给网络侧，其中，信令数据可以和加密的数据流复用，以将信令数据和加密的数据流一起通过数据通道发送给所有接收端用户设备。网络侧接收到加密的用户面数据后，通过下行空口发送，其中加密的用户面数据可以和下行信令数据复用，该下行信令数据例如包括空口密钥。网络侧将加密的用户面数据和空口密钥发送给所有接收端用户设备。接收端用户设备接收到加密的用户面数据和空口密钥后，输送给自身的加解密芯片，加解密芯片根据该最新的空口密钥对该加密的用户面数据进行解密，并将解密后的数据流发送给上层应用。

根据本发明实施例提供的TD-LTE集群通信***的端到端加密方法，网络节点向密钥中心发送密钥请求消息，并在接收到密钥中心返回的空口密钥后，将空口密钥转换为NAS承载的空口密钥并发送给用户设备，使得用户设备能够使用该空口密钥进行端到端的加密传输，实现了在TD-LTE宽带集群***中的端到端的加密通信，有效保障了TD-LTE集群通信***的集群通话安全性。

图5为本发明实施例中加解密芯片端到端加密方式的一个示例的示意图，图6为本发明另一实施例提供的TD-LTE集群通信***的端到端加密方法的流程示意图，下面结合图5和图6，对本发明另一实施提供的TD-LTE集群通信***的端到端加密方法进行详细说明。

如图5所示，加解密芯片执行端到端加密涉及的主要参数包括主密钥、空口密钥和同步码。其中，主密钥固化在用户设备的加解密芯片中，如需要更新，则需要召回用户设备重新烧写；空口密钥通过空口传送，可以定期更新，例如1个月或更短时间更新，由网络节点通过空口发送给用户设备；同步码会快速更新，例如，可以通过改变同步码来实现一话一密。

本实施例中，在上述图2所示的端到端加密方法的基础上，提供了空口密钥分发的优选方案。

具体地，在本实施例中，密钥请求消息携带有用户设备的标识，以使加密服务器根据所述用户设备的标识确定所述用户设备的主密钥，并根据所述主密钥对所述空口密钥进行加密。

更为具体地，网络节点向加密服务器发送的密钥请求消息中，携带有用户设备的标识，例如：用户设备的国际移动用户识别码(International Mobile SubscriberIdentification Number，IMSI)、静态互联网协议(Internet Protocol，IP)地址、电话号码等。加密服务器中存储有集群***中的用户设备的信息，包括集群***中每个用户设备的标识和加解密模块的绑定关系以及加解密模式的主密钥。加密服务器接收到网络节点发送的密钥请求消息后，若根据该用户设备的标识确定该用户设备为集群中的用户设备，则为其分配空口密钥，并将分配的密钥采用与该用户设备的标识具有绑定关系的加解密芯片的主密钥，对所分配的空口密钥进行加密，并将加密的空口密钥返回给网络节点。相应地，网络节点将加密的空口密钥采用NAS信令发送给请求该空口密钥的用户设备。用户设备可根据其主密钥进行解密，以获得该空口密钥。

根据本实施例的上述方案，通过利用用户设备的加解密芯片的主密钥为空口密钥提供保障，能够避免空口密钥被非群组用户监听获得，从而进一步提高了TD-LTE集群通信***的集群通话安全性。

进一步地，本实施例还提供了同步码的分发、同步方案，以实现TD-LTE集群通信***中一话一密的端到端加密集群通信。

具体地，本实施例提供的TD-LTE集群通信***的端到端加密方法，除包括图2所示的步骤S201-S204之外，还包括：

步骤S601，接收用户设备发送的上行同步控制信息，所述上行同步控制信息携带有所述用户设备的标识，以使所述密钥管理中心确定所述空口密钥；

步骤S602，将所述上行同步控制信息发送至所述加密服务器；

步骤S603，接收所述加密服务器返回的使用所述空口密钥加密的下行同步控制信息；

步骤S604，向所述用户设备发送所述下行同步控制信息，以使所述用户设备使用所述下行同步控制信息在所属集群内进行数据传输。

由于同步码是快速变化的信息，可以用于在专网中实现一话一密，其设定的更新时间控制可以为几秒变化一次或一次主讲授权变化一次，在一话一密通信机制中，可以根据需求采用双向同步码控制或单向同步码控制。在TD-LTE集群通信***中，可以通过信令传送来实现网络侧和终端的同步码分发和交换。

更为具体地，用户设备向网络节点发送上行同步控制信息，该上行同步控制信息携带有该用户设备的标识。优选地，集群主讲用户在向网络节点申请话权或发送主叫语音数据时，携带上行同步控制信息。其中，上行同步控制信息采用终端和网络节点约定的格式，例如可以采用信令或数据域定制格式的方式传送。

进一步地，所述上行同步控制信息携带在所述用户设备发送的话权申请或主叫语音数据中。网络节点在接收到话权申请或数据的同时会获取上行同步控制信息，网络节点和加密服务器交换，产生下行同步控制信息，即本次主讲或本次主叫语音的同步码，并在下行的授权信息或语音数据的下发时同时携带下行同步控制信息，并采用与该用户设备的标识对应的空口密钥进行加密。主叫用户设备获取下行同步控制信息，利用空口密钥进行解密，判断同步码交互流程是否成功，如成功则应用该过程产生的同步码，用于后续的加密算法；若不成功，则无法正确解密同步码。

根据上述方案，网络节点在发送主叫的语音数据给监听用户时，第一次发送数据时携带同步码，监听用户接收到数据的同时接收到同步码，并发送该同步码给加解密芯片，加解密芯片使用该同步码用于解密。后续通信过程中，网络节点可以周期化地携带同步码，例如1s周期，以使得第一次没有接收到同步码的用户设备能获知最新的同步码，从而使得新加入集群的用户设备能够快速开始解密接听加密的语音。

图7为本发明一个实施例提供的网络节点的结构示意图。如图7所示，该网络节点包括第一发送单元71、第一接收单元72、密钥处理单元73以及第二发送单元74。

其中，第一发送单元71用于向加密服务器发送密钥请求消息；第一接收单元72用于接收所述加密服务器返回的空口密钥；密钥处理单元73用于将所述空口密钥转换为非接入层NAS承载的空口密钥；第二发送单元74用于向用户设备发送所述NAS承载的空口密钥，以使所述用户设备使用所述NAS承载的空口密钥在所属群组内进行数据传输。

根据本发明实施例提供的网络节点，通过向密钥中心发送密钥请求消息，并在接收到密钥中心返回的空口密钥后，将空口密钥转换为NAS承载的空口密钥并发送给用户设备，使得用户设备能够使用该空口密钥进行端到端的加密传输，实现了在TD-LTE宽带集群***中的端到端的加密通信，有效保障了TD-LTE集群通信***的集群通话安全性。

进一步地，在上述实施例中，所述密钥请求消息携带有所述用户设备的标识，以使所述加密服务器根据所述用户设备的标识确定所述用户设备的主密钥，并根据所述主密钥对所述空口密钥进行加密。

根据本实施例的上述方案，通过利用用户设备的加解密芯片的主密钥为空口密钥提供保障，能够避免空口密钥被非群组用户监听获得，从而进一步提高了TD-LTE集群通信***的集群通话安全性。

图8为本发明另一个实施例提供的网络节点的结构示意图。如图8所示，在上述实施例的网络节点的基础上，该网络节点还包括第二接收单元81。第二接收单元81用于接收所述用户设备发送的上行同步控制信息，所述上行同步控制信息携带有所述用户设备的标识，所述用户设备的标识用于所述加密服务器根据所述用户设备的标识确定所述空口密钥。相应地，所述第一发送单元71还用于将所述上行同步控制信息发送至所述加密服务器；所述第一接收单元72还用于接收所述加密服务器返回的使用所述空口密钥加密的下行同步控制信息；所述第二发送单元74还用于向所述用户设备发送所述下行同步控制信息，以使所述用户设备使用所述下行同步控制信息在所属集群内进行数据传输。

进一步地，所述上行同步控制信息携带在所述用户设备发送的话权申请或主叫语音数据中。

根据上述方案，网络节点在发送主叫的语音数据给监听用户时，第一次发送数据时携带同步码，监听用户接收到数据的同时接收到同步码，并发送该同步码给加解密芯片，加解密芯片使用该同步码用于解密。后续通信过程中，网络节点可以周期化地携带同步码，例如1s周期，以使得第一次没有接收到同步码的用户设备能获知最新的同步码，从而使得新加入集群的用户设备能够快速开始解密接听加密的语音。

本发明实施例提供的网络设备例如为核心网设备、调度机和/或调度台等，能够执行本发明实施例提供的TD-LTE集群通信***的端到端加密方法，其具体流程可参见本发明实施例中TD-LTE集群通信***的端到端加密方法的相关描述，此处不再赘述。

图9为本发明一个实施例提供的TD-LTE集群通信***的***架构示意图。如图9所示，该TD-LTE集群通信***包括用户设备91、加密服务器92以及本发明实施例提供的任一网络节点93，所述网络节点93分别与所述用户设备91和所述加密服务器92连接。

本领域的技术人员应当理解，图9仅为TD-LTE集群通信***的一个示意图，该TD-LTE集群通信***还可包括未示出的其他设备。

本发明实施例提供的TD-LTE集群通信***能够执行本发明实施例提供的TD-LTE集群通信***的端到端加密方法，其具体流程可参见本发明实施例中TD-LTE集群通信***的端到端加密方法的相关描述，此处不再赘述。

根据本发明实施例提供的TD-LTE集群通信***，能够实现端到端的加密通信，有效保障了TD-LTE集群通信***的集群通话安全性。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (7)

1.一种分时长期演进TD-LTE集群通信***的端到端加密方法，其特征在于，包括：

向加密服务器发送密钥请求消息；

接收所述加密服务器返回的空口密钥；

将所述空口密钥转换为非接入层NAS承载的空口密钥；

向用户设备发送所述NAS承载的空口密钥，以使所述用户设备使用所述NAS承载的空口密钥在所属群组内进行数据传输；

所述密钥请求消息携带有所述用户设备的标识，以使所述加密服务器根据所述用户设备的标识确定所述用户设备的主密钥，并根据所述主密钥对所述空口密钥进行加密。

2.根据权利要求1所述的TD-LTE集群通信***的端到端加密方法，其特征在于，还包括：

接收所述用户设备发送的上行同步控制信息，所述上行同步控制信息携带有所述用户设备的标识，所述用户设备的标识用于所述加密服务器根据所述用户设备的标识确定所述空口密钥；

将所述上行同步控制信息发送至所述加密服务器；

接收所述加密服务器返回的使用所述空口密钥加密的下行同步控制信息；

向所述用户设备发送所述下行同步控制信息，以使所述用户设备使用所述下行同步控制信息在所属集群内进行数据传输。

3.根据权利要求2所述的TD-LTE集群通信***的端到端加密方法，其特征在于，所述上行同步控制信息携带在所述用户设备发送的话权申请或主叫语音数据中。

4.一种网络节点，其特征在于，包括：

第一发送单元，用于向加密服务器发送密钥请求消息；

第一接收单元，用于接收所述加密服务器返回的空口密钥；

密钥处理单元，用于将所述空口密钥转换为非接入层NAS承载的空口密钥；

第二发送单元，用于向用户设备发送所述NAS承载的空口密钥，以使所述用户设备使用所述NAS承载的空口密钥在所属群组内进行数据传输；

所述密钥请求消息携带有所述用户设备的标识，以使所述加密服务器根据所述用户设备的标识确定所述用户设备的主密钥，并根据所述主密钥对所述空口密钥进行加密。

5.根据权利要求4所述的网络节点，其特征在于，还包括：

第二接收单元，用于接收所述用户设备发送的上行同步控制信息，所述上行同步控制信息携带有所述用户设备的标识，所述用户设备的标识用于所述加密服务器根据所述用户设备的标识确定所述空口密钥；

所述第一发送单元还用于将所述上行同步控制信息发送至所述加密服务器；

所述第一接收单元还用于接收所述加密服务器返回的使用所述空口密钥加密的下行同步控制信息；

所述第二发送单元还用于向所述用户设备发送所述下行同步控制信息，以使所述用户设备使用所述下行同步控制信息在所属集群内进行数据传输。

6.根据权利要求5所述的网络节点，其特征在于，所述上行同步控制信息携带在所述用户设备发送的话权申请或主叫语音数据中。

7.一种分时长期演进TD-LTE集群通信***，其特征在于，包括用户设备、加密服务器以及根据权利要求4-6任一所述的网络节点，所述网络节点分别与所述用户设备和所述加密服务器连接。