CN112910826A - 一种初始配置方法及终端设备 - Google Patents

一种初始配置方法及终端设备 Download PDF

Info

Publication number
CN112910826A
CN112910826A CN201911219000.XA CN201911219000A CN112910826A CN 112910826 A CN112910826 A CN 112910826A CN 201911219000 A CN201911219000 A CN 201911219000A CN 112910826 A CN112910826 A CN 112910826A
Authority
CN
China
Prior art keywords
server
certificate
security
digital certificate
security module
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201911219000.XA
Other languages
English (en)
Other versions
CN112910826B (zh
Inventor
田野
任晓明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Original Assignee
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority to CN201911219000.XA priority Critical patent/CN112910826B/zh
Application filed by China Mobile Communications Group Co Ltd, China Mobile Communications Ltd Research Institute filed Critical China Mobile Communications Group Co Ltd
Priority to PCT/CN2020/132712 priority patent/WO2021109967A1/zh
Priority to JP2022533202A priority patent/JP2023505471A/ja
Priority to US17/781,840 priority patent/US20230007480A1/en
Priority to EP20895692.0A priority patent/EP4068716A4/en
Priority to AU2020396746A priority patent/AU2020396746B2/en
Priority to CA3160544A priority patent/CA3160544A1/en
Publication of CN112910826A publication Critical patent/CN112910826A/zh
Application granted granted Critical
Publication of CN112910826B publication Critical patent/CN112910826B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/35—Protecting application or service provisioning, e.g. securing SIM application provisioning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/84—Vehicles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)
  • Circuits Of Receivers In General (AREA)
  • Electrical Discharge Machining, Electrochemical Machining, And Combined Machining (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Electrotherapy Devices (AREA)
  • Input Circuits Of Receivers And Coupling Of Receivers And Audio Equipment (AREA)
  • Use Of Switch Circuits For Exchanges And Methods Of Control Of Multiplex Exchanges (AREA)

Abstract

本发明提供了一种初始配置方法及终端设备，涉及车联网领域技术领域。该初始配置方法，应用于终端设备，包括：安全模块建立与证书授权CA服务器之间建立的安全通道；通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；其中，所述安全模块用于实现全球用户识别模块USIM的功能。上述方案，通过直接在能够实现USIM的功能的安全模块与CA服务器之间建立安全通道，并通过所述安全通道从CA服务器获取会话密钥和数字证书，使得用于数字证书申请的会话密钥不会在除安全通道之外的环境传输，降低了会话密钥被物理攻击的机率，降低了安全风险，提高了初始配置的安全性。

Description

一种初始配置方法及终端设备
技术领域
本发明涉及车联网领域技术领域，特别涉及一种初始配置方法及终端设备。
背景技术
为了减小车到万物(Vehicle-to-Everything，V2X)技术引入给企业生产带来的影响，车联网终端的初始安全配置应尽可能地降低对企业生产安全环境及安全能力的依赖，因此需要寻求更为简洁、有效的V2X终端身份认证及信息安全交互的方法，最大限度地降低企业生产线升级改造的成本。
5GAA提出的基于通用引导架构(Generic Bootstrapping Architecture，GBA)的在线初始安全配置方案，避免了产线离线灌装及X.509数字证书预配置的生产方式，能够节约企业生产环境安全改造的成本。但是，所提出的方案存在共享会话密钥(Ks_NAF)在安全环境之外传输暴露的问题，面临着物理攻击等安全风险。
发明内容
本发明实施例提供一种初始配置方法及终端设备，以解决现有的会话密钥需要在终端设备的USIM与HSM之间传输，使得会话密钥在安全环境之外传输，存在易被物理攻击等安全风险，无法保证初始配置的安全性的问题。
为了解决上述技术问题，本发明实施例提供一种初始配置方法，应用于终端设备，包括：
安全模块建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；
其中，所述安全模块用于实现全球用户识别模块USIM的功能。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，所述从CA服务器获取数字证书，包括：
安全模块生成进行EC申请的密码公私钥对；
利用所述密码公私钥对，从ECA服务器获取EC。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，所述从CA服务器获取数字证书之后，还包括：
存储EC。
进一步地，在所述CA服务器为匿名证书权威机构PCA服务器时，所述数字证书为匿名证书PC，所述从CA服务器获取数字证书，包括：
安全模块使用注册证书EC对应的私钥对PC申请消息进行签名；
根据PC申请消息，从PCA服务器获取PC。
具体地，所述从PCA服务器获取PC，包括：
接收PCA服务器发送的反馈消息，并利用PCA服务器的公钥对接收的所述反馈消息进行验签，获取PC。
具体地，在所述从PCA服务器获取PC之后，还包括：
安全模块使用PC对应的私钥对PC5接口直连通信业务消息进行签名；
将签名后的PC5接口直连通信业务消息发送给外部设备。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，在所述从CA服务器获取数字证书之后，还包括：
发送EC给硬件安全模块HSM；
HSM进行EC的存储。
进一步地，所述从CA服务器获取数字证书，还包括：
HSM生成进行EC申请的密码公私钥对；
HSM将进行EC申请的密码公钥发送给安全模块；
安全模块利用所述密码公钥，从ECA服务器获取EC。
可选地，在所述CA服务器为匿名证书权威机构PCA服务器时，所述数字证书为匿名证书PC，所述从CA服务器获取数字证书，包括：
发送PC给硬件安全模块HSM；
HSM进行PC的存储。
进一步地，所述从CA服务器获取数字证书，包括：
HSM生成进行PC申请的密码公私钥对；
HSM将进行PC申请的密码公钥发送给安全模块；
安全模块利用所述密码公钥，从PCA服务器获取PC。
进一步地，所述从CA服务器获取数字证书之后，还包括：
安全模块使用PC对应的私钥对PC5接口直连通信业务消息进行签名；
将签名后的PC5接口直连通信业务消息发送给外部设备。
具体地，所述安全模块与CA服务器之间采用基于通用集成电路卡UICC的通用引导架构GBA的方式建立GBA安全通道。
本发明实施例还提供一种终端设备，包括：
安全模块，用于建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；
其中，所述安全模块用于实现全球用户识别模块USIM的功能。
本发明实施例还提供一种终端设备，包括收发机和处理器；
所述处理器，用于：
控制安全模块建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；
其中，所述安全模块用于实现全球用户识别模块USIM的功能。
本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述的初始配置方法中的步骤。
本发明的有益效果是：
上述方案，通过直接在能够实现USIM的功能的安全模块与CA服务器之间建立安全通道，并通过所述安全通道从CA服务器获取会话密钥和数字证书，使得用于数字证书申请的会话密钥不会在除安全通道之外的环境传输，降低了会话密钥被物理攻击的机率，降低了安全风险，提高了初始配置的安全性。
附图说明
图1表示生产线离线灌装的自主方式示意图；
图2表示生产线离线灌装的DCM代理方式示意图；
图3表示GBA示意图；
图4表示基于TLS的PC证书申请的架构图；
图5表示现有GBA终端实现中的安全风险示意图；
图6表示5GAA基于GBA的配置方案应用于PC证书申请时的安全风险示意图；
图7表示本发明实施例的初始配置方法的流程示意图；
图8表示本发明实施例的EC申请的GBA安全实现架构示意图；
图9表示本发明实施例的PC申请的GBA安全实现架构示意图；
图10表示本发明实施例的USIM架构示意图；
图11表示本发明实施例终端设备的模块示意图。
具体实施方式
下面首先对与本发明实施例相关的现有技术进行简单介绍如下。
目前，生产线离线灌装是实现V2X终端设备(包括OBU、路侧单元(Road Side Unit，RSU)等)初始安全配置的一种主要方法，能够对设备上的HSM进行初始化配置。这里以具有V2X功能的汽车生产下线前OBU设备的初始配置过程为例进行介绍，其他类型的V2X终端也有类似的处理过程。
根据实现方法的不同，生产线离线灌装有自主方式和设备配置管理(DeviceConfiguration Manager，DCM)代理方式两种，其过程分别如图1和图2所示。
在自主方式中，产线工人通过外部设备触发OBU设备的HSM安全模块产生密码公私钥对，或者由外部密码设备生成密码公私钥对后，将其注入HSM中。同时，产线将注册证书权威机构(Enrollment Certificate Authority，ECA)服务器的地址信息及数字证书也一并注入。然后，产线工人触发OBU设备接入ECA服务器，OBU设备使用ECA服务器的数字证书证明其身份的合法性，并在两者之间建立起安全的通信通道。最后，在安全通道的保护下，OBU设备向ECA服务器上传密码公钥，申请并下载登记注册证书(Enrollment Certificate，EC)数字证书，将其在HSM中安全存储。
DCM代理方式的工作原理与自主方式基本相同，实现流程有所差异。在DCM代理方式中，产线需要部署DCM代理节点，并且事先与ECA服务器进行相互认证，建立起安全通信通道，为所有即将下线的车辆提供统一服务。初始安全配置过程中，DCM为OBU设备生成密码公私钥对并代替OBU终端设备与ECA服务器交互，申请、下载EC数字证书。最后，DCM将生成的密码公私钥对、获取的EC数字证书、ECA服务器的证书及ECA服务器地址信息以安全的方式注入OBU的HSM中，从而完成OBU设备的初始安全配置。
5GAA在“Efficient Provisioning System Simplifications”研究报告中提出了一种基于GBA技术的V2X终端设备初始安全配置方法。该方案以USIM及其码号(如，国际移动用户识别码(International Mobile Subscriber Identification Number，IMSI)，移动台国际用户号码(Mobile Station International Subscriber Directory Number，MSISDN)，集成电路卡识别码(Integrate circuit card identity，ICCID)等)作为初始时刻V2X终端设备的标识，表征设备身份。基于USIM，V2X终端设备能够接入运营商网络，通过认证与密钥协商(Authentication and Key Agreement，AKA)机制与网络进行双向认证和密钥协商，为应用生成并提供共享的会话密钥Ks_NAF，最终能够在V2X设备和ECA服务器之间建立起安全的传输通道，如TLS安全通道。
图3给出了GBA通用引导架构，该架构由如下部分组成：
A11、V2X终端设备上提供GBA能力支持的软件——GAA服务器(GAA Server)；
A12、V2X终端上的V2X客户端软件，它与GAA Server软件接口；
A13、与GAA Server软件通信的USIM；
A14、ECA服务器中的网络应用功能(Network Application Function，NAF)软件；
A15、引导服务功能(Bootstrapping Server Function，BSF)核心网元。
基于网络GBA的安全认证方法，V2X终端设备可以利用USIM卡中的根密钥通过AKA机制与移动蜂窝网络进行双向身份认证，与BSF协商生成共享的会话密钥Ks_NAF。随后，在接收到V2X终端设备的证书申请请求时，ECA服务器可与BSF交互获取会话密钥Ks_NAF，并且基于Ks_NAF验证V2X终端设备的身份。身份认证通过后，ECA受理V2X终端设备的EC证书申请请求，并且在审核通过后为V2X终端设备颁发EC数字证书。上述过程中，ECA服务器与V2X终端设备的应用层信息交互是在基于共享会话密钥Ks_NAF建立的安全通道中进行的，因此消息传输的安全性也能够得到保证。
上述基于GBA的解决方案以USIM作为V2X终端设备的初始身份标识，无需预配置任何安全凭据(如X.509数字证书)，就可通过移动蜂窝网络，建立起V2X终端设备至ECA服务器的安全通道，在线完成设备的初始配置。此方案中，初始安全配置相关操作及交互由V2X终端设备自行完成，无需像离线灌装方式那样依靠生产线的安全环境来保证配置操作的安全性，因此大大降低了企业生产线升级改造的成本。
除此之外，该方法能够适用于汽车生产地与汽车销售地不在同一个地区的场景。通过网络侧配置，它允许车载OBU终端与汽车销售、使用地的ECA对接，解决了在汽车生产过程中为车载OBU终端预先配置何地ECA服务器的X.509数字证书的问题。
在身份认证及安全通道建立的过程中，USIM中的码号可作为V2X设备的唯一标识，避免了初始状态下V2X终端设备表示未经认证，仅基于ECA服务器X.509数字证书无法认证V2X终端设备的情况。
在中国智能交通产业联盟目前正在讨论的《基于车路协同的通信(匿名)证书管理技术规范》中，提出了一种V2X终端设备(包括OBU、RSU等)申请获取匿名证书的方法。该方法总体思路是建议采用传输层安全(Transport Layer Security，TLS)的方式在匿名证书权威机构(Pseudonym Certificate Authority，PCA)服务器与V2X终端设备之间进行身份认证并建立TLS安全通信通道，之后V2X终端设备通过TLS安全通道与PCA服务器交互申请PC数字证书。规范草案稿中，与匿名证书申请相关的章节描述如下。
本规范适用的场景为车载单元(OBU)或路侧单元(RSU)在持有ECA颁发的有效注册证书的情况下，利用其向ACA申请通信(匿名)证书，以便与RSU或OBU进行信息交互，从而获取相关信息服务并具备对所获取的信息进行签名验证的能力。此外，本规范同样适用于OBU向ACA申请通信(匿名)证书并与其他OBU进行通信的场景。
本规范中的程序编程接口(API)采用超文本传输安全协议(HTTPS)，建议使用不低于传输层安全协议(TLS)1.2版本，推荐使用传输层安全协议(TLS)1.3版本，支持标准HTTPS传输控制协议(TCP)443端口，并在各组件间使用X.509证书进行身份认证。
这里，授权证书权威机构(Authorization Certificate Authority，ACA)是指对通信(匿名)证书进行管理的机构，即本文所指的PCA。
为了确保PC申请获取过程的安全性，TLS方案在V2X终端上可采用图4所示方案实现。在HSM中给V2X终端设备预置X.509设备证书，在HSM与PCA服务器间建立TLS安全通道确保通信安全。PC证书相关密码公私钥对在HSM安全环境内部产生，通过TLS安全通道上报公钥及设备信息，申请、下载PC数字证书，并安全存储。整个方案在安全环境中进行，可以确保整个过程的安全性。
5GAA在“Efficient Provisioning System Simplifications”研究报告中提出了一种基于GBA(Generic Bootstrapping Architecture，通用引导架构)技术的V2X终端设备初始安全配置方法。如果将该方案用于PC证书的申请，则能够避免预配置X.509证书，降低企业生产线改造成本。
现有技术的缺点：
由于V2X终端设备安全初始化过程涉及密钥，数字证书等敏感参数及信息的初次配置，因此该过程对安全有着非常严格的要求，因此需要确保生产环境、终端设备、消息交互等各个环节的安全性。
1.1生产线离线灌装
生产线离线灌装的初始安全配置方法需要在V2X终端设备外部生成密码公私钥对，甚至代理申请EC数字证书，这对车厂或V2X终端供货商(取决于初始安全配置工作由谁完成)的生产环境带来了很高的安全要求。企业不得不投入大量的时间、成本对生产线进升级改造，对产线工人进行安全培训，以满足在合规、审计、管控等多方面的安全生产要求。
目前，有实力的国外大品牌车企已部署了安全的生产环境，通过离线灌装的方式进行生产。然而，大多数中国自主品牌车企不具备这样的安全生产环境。如果要求他们同样采用离线灌装的方式生产，这将给企业带来很大的成本开销，因此需要寻求更加简便、安全的解决方案。
1.2基于GBA技术在线配置EC证书
5GAA目前提出的方案在V2X终端设备侧的实现方法存在安全漏洞，存在着对共享会话密钥Ks_NAF物理攻击的安全风险，具体原因如下：
为了保证V2X终端设备初始安全配置过程的安全性，通常要求该过程涉及到的敏感安全参数及信息(如密码公私钥对，共享密钥，各种中间密钥等)在设备本地的安全环境中处理，在其生命周期内不能离开终端本地的安全环境。终端本地安全环境通常由经过评测，达到一定安全等级的硬件模块提供，如USIM，HSM(Hardware Security Module，硬件安全模块)等。此外，为了实现V2X终端设备对外通信的安全，还需要保证消息传输的安全性。对应于V2X终端设备的初始安全配置过程，则要求在V2X终端设备与ECA服务器之间通过安全的通信通道通信，且在终端侧安全通道应终止于设备本地的安全模块之中，以确保所有信息是在安全环境中交互的。
在5GAA报告中提出的实现方案中，HSM是V2X终端设备初始安全配置的对象。用于申请EC证书的密码公私钥对由HSM生成，HSM与ECA服务器之间利用USIM基于GBA技术生成的共享会话密钥Ks_NAF来建立TLS安全通道。然而，由于V2X终端设备架构的限制，USIM是处于HSM之外，独立的安全实体，因此USIM需要将GBA机制生成的共享会话密钥Ks_NAF经过安全环境之外的传输通道传递给HSM。这就使共享会话密钥Ks_NAF暴露在安全环境之外，尤其是经过AP(Application Processor，应用处理器)，使其面临着物理攻击等安全风险。一旦用于建立安全通道的共享会话密钥Ks_NAF在传递过程中被泄露，V2X终端设备与ECA服务器间消息交互的安全性就无法保证。
受制于上述安全风险，企业在选择技术方案时需要对此风险进行安全评估，只有在该风险可控制的情况下，才可使用GBA初始安全配置方案，这极大地限制了该方案的应用范围。
除此之外，5GAA提出的GBA方案在终端实现时，HSM负责密码公私钥对的生成，TLS安全通道的建立，EC证书的申请、下载与存储，USIM负责GBA技术基础上相关会话密钥的生成。终端实现成本较高。这就要求终端必须同时支持USIM及HSM两个安全模块，HSM安全硬件价格贵，终端实现成本高。
针对上述不足，一种较为直接的解决方案是考虑将USIM与HSM集成封装在同一个物理模块或芯片中，避免密钥传输时的暴露，提高安全性。然而，目前不具有这样的终端芯片或模组产品，现阶段无法在V2X终端设备上实现。
1.3基于TLS的PC证书部署方案
《基于车路协同的通信(匿名)证书管理技术规范》提出采用TLS方式来给V2X终端设备申请匿名数字证书，并要求使用X.509证书建立V2X终端设备至PCA服务器的安全通道。这意味着车企或V2X终端设备供货商需要为V2X终端设备预置X.509数字证书，这给生产线带来了升级改造的要求。同时，由于预置X.509数字证书涉及到密钥等敏感安全信息的配置，该过程对安全生产环境有着较为严格的要求，这将给企业带来较大的生产线升级改造成本。
1.4基于GBA技术在线部署PC证书
5GAA在“Efficient Provisioning System Simplifications”研究报告中提出的基于GBA的初始配置方法主要用于EC证书的初始配置。该方法主要用于完成EC证书的初始配置，并不针对PC证书的初始申请而设计。如果将其用于PC证书申请，在终端上会存在物理攻击等潜在安全风险。与图5所示问题类似，这样做将使共享会话密钥Ks_NAF在传递过程中暴露在安全环境之外，存在着Ks_NAF被篡改、泄露的安全风险，如图6所示。
本发明针对现有的会话密钥需要在终端设备的USIM与HSM之间传输，使得会话密钥在安全环境之外传输暴露，存在易被物理攻击等安全风险的问题，提供一种初始配置方法及终端设备。
为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明进行详细描述。
如图7所示，本发明实施例的初始配置方法，应用于终端设备，包括：
安全模块建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书。
需要说明的是，本发明实施例中的安全模块用于实现全球用户识别模块(USIM)的功能，也就是说，当安全模块只实现USIM的功能时，该安全模块就为USIM。可选地，在安全模块还用于实现USIM的功能和硬件安全模块(HSM)的功能时，表明在终端设备中将USIM和HSM集成在了一起，也可以理解为终端设备中具有能够实现USIM功能的HSM。
需要说明的是，此种方式是直接在能够实现USIM的功能的安全模块与CA服务器之间建立的安全通道，在进行数字证书申请时，直接在USIM中用会话密钥进行申请消息的加密与保护，无需USIM将会话密钥发送给HSM，使得会话密钥无需暴露在安全环境之外，降低了会话密钥被物理攻击的机率。
需要说明的是，本发明实施例所说的终端设备为基于GBA技术的V2X终端设备，可以为OBU、RSU、行人可穿戴设备等其他类型的V2X终端设备、物联网终端设备等；能够解决GBA协商生成的共享会话密钥(Ks_NAF)在终端本地安全环境之外传输的问题，消除物理攻击等安全风险。
需要说明的是，该实施例既可以用于进行注册证书(EC)的申请，也可以进行匿名证书(PC)的申请，当数字证书为EC时，CA服务器为注册证书权威机构(ECA)服务器；当所述数字证书为PC时，CA服务器为匿名证书权威机构(PCA)服务器。
下面分别从申请EC和PC的角度，对两种证书的申请的具体实现过程进行说明如下，下面均以安全模块为USIM为例进行说明。
一、进行EC申请
如图8所示，为GBA安全实现方法的架构图，其中，V2X终端设备包括：应用处理器、与应用处理器连接的LTE-V2X通信模组，与应用处理器连接的LTE-Uu通信模组，该LTE-Uu通信模组包括：Modem和USIM，具体地，USIM与ECA服务器之间建立安全通道，通过该安全通道USIM从ECA服务器获取EC。这里需要说明的是，在此种情况下，HSM可以存在也可以不存在。通常情况下，为了降低终端设备的生成成本，可以省略HSM。
具体地，在从ECA服务器获取EC之前，USIM还需要生成进行EC申请的密码公私钥对，以利用该密码公私钥对，从ECA服务器获取EC；在获取到EC之后，USIM还用于将所述EC进行存储。
具体地，所述USIM与ECA服务器之间采用基于通用集成电路卡UICC的通用引导架构GBA(GBA_U)的方式建立GBA安全通道；需要说明的是，GBA_U方案能够使共享会话密钥Ks_NAF或衍生出的下一级密钥完全由USIM生成、存储、使用，确保V2X终端设备与ECA服务器间的安全通道在终端侧终止于USIM内部，这就消除了现有方法需要将共享会话密钥Ks_NAF或衍生出的下一级密钥通过不安全环境传输至HSM而带来的物理攻击等安全风险。
还需要说明的是，终端设备还可以实现直连通信业务的发送，具体为USIM使用EC对应的私钥对PC5接口直连通信业务消息进行签名；将签名后的PC5接口直连通信业务消息发送给外部设备。
也就是说，此种情况下，将USIM作为本地安全模块负责实现V2X终端设备的初始安全配置，会话密钥和密码公私钥的生成、存储、使用，EC的申请、存储、使用全部由USIM安全模块来处理。USIM是安全等级达到EAL 4+的多功能安全实体，具有随机数产生、密码算法运算、安全存储等功能，因此具备安全实现V2X终端设备初始安全配置的能力。
在此方案中，V2X终端设备触发USIM产生申请EC所用的密码公私钥对。之后，V2X终端设备调用所支持的GBA安全认证能力，通过移动蜂窝网络接入ECA服务器并且协商生成共享的会话密钥Ks_NAF，在V2X终端设备与ECA服务器之间建立初始安全信任关系。ECA服务器根据共享的会话密钥Ks_NAF验证V2X终端设备身份是否合法有效。验证通过之后，ECA服务器与V2X终端设备建立安全的传输通道，用于确保两者间数据交互的安全。安全通道可以使用会话密钥Ks_NAF建立，也可以使用以Ks_NAF为基础衍生出的下一级会话密钥来建立。衍生密钥的计算在USIM安全环境中进行。
综上可知，在此种情况下，终端设备的USIM主要的职责包括：
B11、与ECA服务器建立GBA安全通道，优先采用GBA_U方式；
B12、生成密码公私钥对，用于申请EC；
B13、通过GBA安全通信通道与ECA服务器交互，申请并下载EC数字证书以及ECA服务器的证书；
B14、本地安全存储EC及相关密码公私钥对。
二、进行PC申请
需要说明的是，在此种情况下，V2X终端设备包括：应用处理器、与应用处理器连接的LTE-V2X通信模组，与应用处理器连接的LTE-Uu通信模组，该LTE-Uu通信模组包括：Modem和USIM，具体地，USIM与PCA服务器之间建立安全通道，通过该安全通道USIM从PCA服务器获取PC。这里需要说明的是，在此种情况下，HSM可以存在也可以不存在。通常情况下，为了降低终端设备的生成成本，可以省略HSM。
具体地，在从PCA服务器获取PC之前，USIM还需要生成进行PC申请的密码公私钥对，以利用该密码公私钥对，从PCA服务器获取PC；在获取到PC之后，USIM还用于将所述PC进行存储。
需要说明的是，因EC的作用在于证明V2X终端设备身份的合法性，对PC申请消息进行签名保护，以申请PC证书，具体地，USIM使用EC对应的私钥对PC申请消息进行签名，然后USIM根据PC申请消息，从PCA服务器获取PC，也就是说，PC的申请需要基于EC进行，也就是说，在进行PC申请之前，终端设备已经申请得到了EC。即在安全获取EC之后，V2X终端设备与PCA服务器交互，进一步申请PC数字证书。在此过程中，V2X终端设备应对发送的PC申请请求消息签名，对接收到的PC证书申请响应消息验签，以确保该消息真实性及完整性。根据现有协议的要求，PC证书请求消息应使用EC证书对应的私钥来签名。为了确保EC证书对应私钥使用的安全性，本发明实施例中提出由USIM完成PC证书申请请求消息的签名保护，以消除EC证书私钥在USIM与HSM之间进行传输所带来的物理攻击等潜在安全风险。为了安全以及简便，PC证书申请响应消息的验签也可以由USIM负责实现。
USIM具有每秒执行几十至上百次签名/验签处理的能力，而PC数字证书申请消息的处理没有很强的实时性要求，因此采用USIM进行上述处理完全能够满足PC证书申请在性能方面的要求。
V2X终端设备在完成初始安全配置，获取EC数字证书之后，需要使用EC数字证书进一步申请PC数字证书来对PC5接口直连通信业务消息进行安全保护。
根据现有协议，V2X设备向PCA服务器申请PC数字证书时，需要使用EC证书证明身份的合法性，并使用EC证书对应的私钥对PC证书申请消息进行签名，以确保消息的真实性。
进一步地，在接收PCA服务器发送的反馈消息(例如，该反馈消息为证书申请响应消息)时，需要利用PCA服务器的公钥对接收的所述反馈消息进行验签，以获取PC。
为了保证PC数字证书获取、配置过程的安全性，防范潜在的物理安全风险，应确保所有的密钥均在V2X终端设备本地的安全环境中处理，应避免基于GBA技术生成的共享会话密钥Ks_NAF在USIM与其他安全模块(如HSM)之间传输。
为此，本发明实施例提出将USIM作为本地安全模块负责实现V2X终端设备的初始安全配置，会话密钥和密码公私钥的生成、存储、使用，PC的申请、存储、使用全部由USIM安全模块来处理。USIM是安全等级达到EAL 4+的多功能安全实体，具有随机数产生、密码算法运算、安全存储等功能，因此具备安全实现V2X终端设备初始安全配置的能力。
在本发明实施例中，V2X终端设备触发USIM产生申请PC所用的密码公私钥对。之后，V2X终端设备调用所支持的GBA安全认证能力，通过移动蜂窝网络接入PCA服务器并且协商生成共享的会话密钥Ks_NAF，在V2X终端设备与PCA服务器之间建立初始安全信任关系。PCA服务器根据共享的会话密钥Ks_NAF验证V2X终端设备身份是否合法有效。验证通过之后，PCA服务器与V2X终端设备建立安全的传输通道，用于确保两者间数据交互的安全。安全通道可以使用会话密钥Ks_NAF建立，也可以使用以Ks_NAF为基础衍生出的下一级会话密钥来建立。衍生密钥的计算在USIM安全环境中进行。
本发明实施例使用USIM产生申请PC数字证书所需的密码公私钥对，并优先使用GBA_U方式建立USIM至PCA服务器的安全通信通道。通过GBA安全通道，USIM与PCA交互，申请PC数字证书，下载PCA服务器的证书，并将下载的数字证书以及密码公私钥对在USIM本地安全存储。
V2X终端设备与PCA服务器交互的PC证书申请消息等应使用USIM中存储的EC证书对应的私钥进行数字签名。
考虑到车联网PC5接口(即直通链路接口)直连通信消息发送速率较低，约10条/秒，USIM能够满足对发送消息进行实时签名的需求。因此，本发明实施例提出使用USIM对PC5直连通信业务消息进行签名保护，即PC5业务消息发送时，首先由终端AP(应用处理器)将PC5业务消息发送至USIM，由其使用PC证书对应的私钥对消息签名后，再将该业务消息通过LTE-V2X通信组发送。同时，为了减小PC5直连通信消息发送时延，USIM可将获取的PC数字证书发送给外部模组或芯片(如，AP、HSM、LTE-V2X通信模组)，便于它们在发送PC5业务消息时将PC证书随路发送，实现车-车、车-路侧设施之间点到点数字证书分发。
本发明实施例可以确保PC申请相关的所有密钥(如EC证书对应的私钥，PC证书的公私钥，GBA协商生成的共享会话密钥Ks_NAF或衍生出的下一级密钥等)及密码运算均在USIM安全环境中处理，GBA安全通道终止于USIM安全环境内部，因此PC证书的申请、传输、处理、存储等过程是安全的，避免了5GAA方案潜在的物理攻击等安全风险。由于PC数字证书是允许公开的，因此将PC证书发送给外部模组或芯片进行处理不会影响方案的安全性。
综上可知，在此种情况下，终端设备的USIM主要的职责包括：
B21、与PCA服务器建立GBA安全通道，优先采用GBA_U方式；
B22、生成密码公私钥对，用于申请PC数字证书；
B23、通过GBA安全通信通道与PCA服务器交互，申请并下载PC数字证书以及PCA服务器的证书。在此过程中，使用EC证书对应的私钥对PC证书申请消息签名，使用PCA服务器证书的公钥对接收到的消息验签；
B24、本地安全存储PC数字证书及相关密码公私钥对；
B25、使用PC证书对应的私钥对发送的PC5接口直连通信业务消息签名；
B27、将PC证书发送给外部模组或芯片；
B28、对PC申请消息签名、验签。
需要说明的是，为了便于与现有汽车产业终端实现方案兼容，本发明实施例还提供了在HSM生成、存储、使用密钥的情况下，基于GBA技术安全申请证书的方式，以扩展本发明实施例的适用性，需要说明的是，在此种情况下，安全模块也只实现USIM的功能，即安全模块为USIM。
具体为：在USIM从CA服务器获取数字证书之后，发送所述数字证书给HSM；HSM进行所述数字证书的存储。还需要说明的是，在进行数字证书申请前，HSM需要先生成进行数字证书申请的密码公私钥对，并存储所述密码公私钥对；然后HSM将进行数字证书申请的密码公钥发送给USIM，由USIM利用该密码公钥实现对数字证书的申请，从CA服务器获取数字证书。在此种情况下，由HSM实现对直连通信业务消息的发送，具体为：HSM先使用数字证书对应的私钥对PC5接口直连通信业务消息进行签名；然后将签名后的PC5接口直连通信业务消息发送给外部设备。
下面分别从申请EC和PC的角度，对两种证书的申请的具体实现过程进行说明如下。
一、进行PC申请
此种情况下，使用HSM产生申请PC所需的密码公私钥对，并优先使用GBA_U方式建立USIM至PCA服务器的安全通信通道。在申请PC时，HSM将生成的PC数字证书的公钥传送给USIM，之后由USIM与PCA交互，申请PC数字证书，下载PCA服务器的证书。之后，USIM将下载的PC以及PCA服务器证书发送给HSM安全存储。证书申请过程中，USIM使用所存储的EC证书对应的私钥对PC证书申请消息等进行数字签名。
为了减小PC5直连通信消息发送时延，USIM/HSM还可将获取的PC发送给其他外部模组或芯片(如，AP、LTE-V2X通信模组)，便于它们在发送PC5业务消息时将PC证书随路发送，实现车-车、车-路侧设施之间点到点数字证书分发。
V2X终端设备在发送PC5接口直连通信业务消息时，将消息发送给HSM使用PC数字证书对应的私钥签名后在通过LTE-V2X通信组发送。
如图9所示，此种情况下，将PC的公钥从HSM传输至USIM。由于公钥是允许公开的，因此不存在公钥泄露的安全风险，提高了安全性。
综上可知，在此种情况下，终端设备的USIM主要的职责包括：
C11、与PCA服务器建立GBA安全通道，优先采用GBA_U方式；
C12、接收HSM发送的PC证书公钥，为其申请PC数字证书；
C13、通过GBA安全通信通道与PCA服务器交互，申请并下载PC数字证书以及PCA服务器的证书。在此过程中，使用EC证书对应的私钥对PC证书申请消息签名，使用PCA服务器证书的公钥对接收到的消息验签；
C14、将PC数字证书以及PCA服务器的证书发送给HSM。
综上可知，在此种情况下，终端设备的HSM主要的职责包括：
C21、生成密码公私钥对，用于申请PC数字证书；
C22、将生成的密码公钥发送给USIM，用于申请PC数字证书；
C23、本地安全存储接收到的PC数字证书及相关密码公私钥对；
C24、使用PC证书对应的私钥对发送的PC5接口直连通信业务消息签名。
二、进行EC申请
此种情况下，使用HSM产生申请EC所需的密码公私钥对，并优先使用GBA_U方式建立USIM至ECA服务器的安全通信通道。在申请EC时，HSM将生成的EC数字证书的公钥传送给USIM，之后由USIM与ECA交互，申请EC数字证书，下载ECA服务器的证书。之后，USIM将下载的EC以及ECA服务器证书发送给HSM安全存储。
为了减小PC5直连通信消息发送时延，USIM/HSM还可将获取的EC发送给其他外部模组或芯片(如，AP、LTE-V2X通信模组)，便于它们在发送PC5业务消息时将EC随路发送，实现车-车、车-路侧设施之间点到点数字证书分发。
V2X终端设备在发送PC5接口直连通信业务消息时，将消息发送给HSM使用EC数字证书对应的私钥签名后在通过LTE-V2X通信组发送。
此种情况下，将EC的公钥从HSM传输至USIM，由于公钥是允许公开的，因此不存在公钥泄露的安全风险，提高了安全性。
综上可知，在此种情况下，终端设备的USIM主要的职责包括：
D11、与ECA服务器建立GBA安全通道，优先采用GBA_U方式；
D12、接收HSM发送的EC的公钥，为其申请EC；
D13、通过GBA安全通信通道与ECA服务器交互，申请并下载EC以及PCA服务器的证书；
D14、将EC以及ECA服务器的证书发送给HSM。
综上可知，在此种情况下，终端设备的HSM主要的职责包括：
D21、生成密码公私钥对，用于申请EC；
D22、将生成的密码公钥发送给USIM，用于申请EC；
D23、本地安全存储接收到的EC及相关密码公私钥对；
D24、使用EC对应的私钥对发送的PC5接口直连通信业务消息签名。
综上可知，V2X终端设备初始安全配置需要完成如下操作：
1、生成密码公私钥对，准备申请EC/PC；
2、建立至ECA服务器/PCA服务器的安全通道，用所生成的公钥向ECA服务器/PCA服务器申请EC/PC；
3、下载ECA服务器/PCA服务器颁发的EC/PC以及ECA服务器/PCA服务器的数字证书；
4、将密码公私钥对、数字证书等在本地安全存储，使用。
为了满足上述证书申请的需求，USIM需新增证书应用功能模块及相关接口，其架构如图10所示，其中：
接口IF1和USIM应用功能用于实现GBA流程；
接口IF2、IF3和证书应用功能用于完成EC/PC证书的申请，PC5消息签名处理。
USIM卡内的交互流程如下：
数字证书申请(高安全性)：
1.证书应用模块生成公私钥对，构造证书请求消息，并通过IF3向USIM应用模块请求使用GBA生成的Ks_NAF或衍生出的下一级密钥对证书请求做加密保护；
2.证书请求加密完成后，证书应用模块通过IF2将保护后的证书请求通过AP发送给ECA/PCA服务器，申请EC/PC数字证书；
3.ECA/PCA服务器签发的数字证书及ECA/PCA服务器的证书通过IF2发送给证书应用模块，证书应用模块调用IF3接口请求USIM应用模块使用Ks_NAF或衍生出的下一级密钥对消息进行解密和验证；
4.如果验证通过，证书应用模块将解密后的EC/PC证书及ECA/PCA服务器的证书安全存储，并反馈处理结果。
PC数字证书申请(高兼容性)：
1.证书应用模块通过IF2接收外部HSM生成的PC证书密码公钥；
2.证书应用模块构造证书请求消息，并通过IF3向USIM应用模块请求使用GBA生成的Ks_NAF或衍生出的下一级密钥对证书请求做加密保护；
3.证书请求加密完成后，证书应用模块通过IF2将保护后的证书请求通过AP发送给PCA服务器，申请PC数字证书；
4.PCA服务器签发的数字证书及PCA服务器的证书通过IF2发送给证书应用模块，证书应用模块调用IF3接口请求USIM应用模块使用Ks_NAF或衍生出的下一级密钥对消息进行解密和验证；
5.如果验证通过，证书应用模块将解密后的PC证书及PCA服务器的证书发送给HSM安全存储。
需要说明的是，本发明实施例具有如下优点：
1、本发明消除了基于GBA的V2X终端设备初始安全配置过程中存在的物理攻击等安全风险，确保了整个初始安全配置流程的安全性；
2、本发明最大限度地发挥了V2X终端设备上USIM安全模块的能力，可以使终端无需使用HSM硬件模块，在提升全***安全性的同时，降低了终端实现的成本；
3、本发明能够与汽车行业普遍采用HSM来生成、管理密钥的现有技术方案兼容，具有较好的兼容性；
4、本发明为保证V2X终端PC5接口直连通信的安全奠定了基础。
如图11所示，本发明实施例的终端设备，包括：
安全模块111，用于建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；
其中，所述安全模块用于实现全球用户识别模块USIM的功能。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，所述安全模块111从CA服务器获取数字证书，用于实现：
生成进行EC申请的密码公私钥对；
利用所述密码公私钥对，从ECA服务器获取EC。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，所述安全模块111从CA服务器获取数字证书之后，还用于实现：
存储EC。
进一步地，在所述CA服务器为匿名证书权威机构PCA服务器时，所述数字证书为匿名证书PC，所述安全模块111从CA服务器获取数字证书，用于实现：
使用注册证书EC对应的私钥对PC申请消息进行签名；
根据PC申请消息，从PCA服务器获取PC。
具体地，所述安全模块111从PCA服务器获取PC，用于实现：
接收PCA服务器发送的反馈消息，并利用PCA服务器的公钥对接收的所述反馈消息进行验签，获取PC。
进一步地，在所述安全模块111从PCA服务器获取PC之后，还用于实现：
使用PC对应的私钥对PC5接口直连通信业务消息进行签名；
将签名后的PC5接口直连通信业务消息发送给外部设备。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，在所述安全模块111从CA服务器获取数字证书之后，还用于实现：
发送EC给硬件安全模块HSM；
HSM，用于进行EC的存储。
进一步地，HSM还用于实现：
生成进行EC申请的密码公私钥对；
将进行EC申请的密码公钥发送给安全模块；
安全模块111，还用于利用所述密码公钥，从ECA服务器获取EC。
进一步地，在所述CA服务器为匿名证书权威机构PCA服务器时，所述数字证书为匿名证书PC，所述安全模块111从CA服务器获取数字证书，用于实现：
发送PC给硬件安全模块HSM；
HSM，用于进行PC的存储。
具体地，所述HSM还用于实现：生成进行PC申请的密码公私钥对；
HSM将进行PC申请的密码公钥发送给安全模块；
安全模块111，还用于利用所述密码公钥，从PCA服务器获取PC。
进一步地，所述安全模块111从CA服务器获取数字证书之后，还用于实现：
使用PC对应的私钥对PC5接口直连通信业务消息进行签名；
将签名后的PC5接口直连通信业务消息发送给外部设备。
具体地，所述安全模块与CA服务器之间采用基于通用集成电路卡UICC的通用引导架构GBA的方式建立GBA安全通道。
需要说明的是，本发明实施例提供的终端设备是能够执行上述初始配置方法的终端设备，则上述初始配置方法实施例中的所有实现方式均适用于该终端设备，且均能达到相同或相似的有益效果。
本发明实施例还提供一种终端设备，包括收发机和处理器；
所述处理器，用于：
控制安全模块建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；
其中，所述安全模块用于实现全球用户识别模块USIM的功能。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，所述处理器执行从CA服务器获取数字证书时，用于实现：
控制安全模块生成进行EC申请的密码公私钥对；
利用所述密码公私钥对，从ECA服务器获取EC。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，所述处理器执行从CA服务器获取数字证书之后，还用于实现：
存储EC。
进一步地，在所述CA服务器为匿名证书权威机构PCA服务器时，所述数字证书为匿名证书PC，所述处理器执行从CA服务器获取数字证书时，用于实现：
控制安全模块使用注册证书EC对应的私钥对PC申请消息进行签名；
根据PC申请消息，从PCA服务器获取PC。
具体地，所述处理器执行从PCA服务器获取PC，用于实现：
接收PCA服务器发送的反馈消息，并利用PCA服务器的公钥对接收的所述反馈消息进行验签，获取PC。
进一步地，在所述处理器执行从PCA服务器获取PC之后，还用于实现：
控制安全模块使用PC对应的私钥对PC5接口直连通信业务消息进行签名；
将签名后的PC5接口直连通信业务消息发送给外部设备。
可选地，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，在所述处理器执行从CA服务器获取数字证书之后，还用于实现：
控制收发机发送EC给硬件安全模块HSM；
HSM进行EC的存储。
进一步地，所述处理器执行从CA服务器获取数字证书，还用于实现：
控制HSM生成进行EC申请的密码公私钥对；
HSM将进行EC申请的密码公钥发送给安全模块；
安全模块利用所述密码公钥，从ECA服务器获取EC。
进一步地，在所述CA服务器为匿名证书权威机构PCA服务器时，所述数字证书为匿名证书PC，所述处理器执行从CA服务器获取数字证书，用于实现：
控制收发机发送PC给硬件安全模块HSM；
HSM进行PC的存储。
进一步地，所述处理器执行从CA服务器获取数字证书，用于实现：
HSM生成进行PC申请的密码公私钥对；
HSM将进行PC申请的密码公钥发送给安全模块；
安全模块利用所述密码公钥，从PCA服务器获取PC。
进一步地，所述处理器执行从CA服务器获取数字证书之后，还用于实现：
控制安全模块使用PC对应的私钥对PC5接口直连通信业务消息进行签名；
将签名后的PC5接口直连通信业务消息发送给外部设备。
具体地，所述安全模块与CA服务器之间采用基于通用集成电路卡UICC的通用引导架构GBA的方式建立GBA安全通道。
本发明实施例还提供一种终端设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述程序时实现如上所述的初始配置方法实施例中的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。
本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上所述的初始配置方法实施例中的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的计算机可读存储介质，如只读存储器(Read-Only Memory，简称ROM)、随机存取存储器(Random Access Memory，简称RAM)、磁碟或者光盘等。
本领域内的技术人员应明白，本申请的实施例可提供为方法、***或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可读存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(***)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储介质中，使得存储在该计算机可读存储介质中的指令产生包括指令装置的纸制品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他科编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述的是本发明的优选实施方式，应当指出对于本技术领域的普通人员来说，在不脱离本发明所述的原理前提下还可以作出若干改进和润饰，这些改进和润饰也在本发明的保护范围内。

Claims (15)

1.一种初始配置方法，应用于终端设备，其特征在于，包括：
安全模块建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；
其中，所述安全模块用于实现全球用户识别模块USIM的功能。
2.根据权利要求1所述的初始配置方法，其特征在于，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，所述从CA服务器获取数字证书，包括：
安全模块生成进行EC申请的密码公私钥对；
利用所述密码公私钥对，从ECA服务器获取EC。
3.根据权利要求1所述的初始配置方法，其特征在于，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，所述从CA服务器获取数字证书之后，还包括：
存储EC。
4.根据权利要求1-3任一项所述的初始配置方法，其特征在于，在所述CA服务器为匿名证书权威机构PCA服务器时，所述数字证书为匿名证书PC，所述从CA服务器获取数字证书，包括：
安全模块使用注册证书EC对应的私钥对PC申请消息进行签名；
根据PC申请消息，从PCA服务器获取PC。
5.根据权利要求4所述的初始配置方法，其特征在于，所述从PCA服务器获取PC，包括：
接收PCA服务器发送的反馈消息，并利用PCA服务器的公钥对接收的所述反馈消息进行验签，获取PC。
6.根据权利要求4所述的初始配置方法，其特征在于，在所述从PCA服务器获取PC之后，还包括：
安全模块使用PC对应的私钥对PC5接口直连通信业务消息进行签名；
将签名后的PC5接口直连通信业务消息发送给外部设备。
7.根据权利要求1所述的初始配置方法，其特征在于，在所述CA服务器为注册证书权威机构ECA服务器时，所述数字证书为注册证书EC，在所述从CA服务器获取数字证书之后，还包括：
发送EC给硬件安全模块HSM；
HSM进行EC的存储。
8.根据权利要求7所述的初始配置方法，其特征在于，所述从CA服务器获取数字证书，还包括：
HSM生成进行EC申请的密码公私钥对；
HSM将进行EC申请的密码公钥发送给安全模块；
安全模块利用所述密码公钥，从ECA服务器获取EC。
9.根据权利要求1、7或8所述的初始配置方法，其特征在于，在所述CA服务器为匿名证书权威机构PCA服务器时，所述数字证书为匿名证书PC，所述从CA服务器获取数字证书，包括：
发送PC给硬件安全模块HSM；
HSM进行PC的存储。
10.根据权利要求9所述的初始配置方法，其特征在于，所述从CA服务器获取数字证书，包括：
HSM生成进行PC申请的密码公私钥对；
HSM将进行PC申请的密码公钥发送给安全模块；
安全模块利用所述密码公钥，从PCA服务器获取PC。
11.根据权利要求9所述的初始配置方法，其特征在于，所述从CA服务器获取数字证书之后，还包括：
安全模块使用PC对应的私钥对PC5接口直连通信业务消息进行签名；
将签名后的PC5接口直连通信业务消息发送给外部设备。
12.根据权利要求1所述的初始配置方法，其特征在于，所述安全模块与CA服务器之间采用基于通用集成电路卡UICC的通用引导架构GBA的方式建立GBA安全通道。
13.一种终端设备，其特征在于，包括：
安全模块，用于建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；
其中，所述安全模块用于实现全球用户识别模块USIM的功能。
14.一种终端设备，其特征在于，包括收发机和处理器；
所述处理器，用于：
控制安全模块建立与证书授权CA服务器之间建立的安全通道；
通过所述安全通道获取会话密钥，并从CA服务器获取数字证书；
其中，所述安全模块用于实现全球用户识别模块USIM的功能。
15.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-12任一项所述的初始配置方法中的步骤。
CN201911219000.XA 2019-12-03 2019-12-03 一种初始配置方法及终端设备 Active CN112910826B (zh)

Priority Applications (7)

Application Number Priority Date Filing Date Title
CN201911219000.XA CN112910826B (zh) 2019-12-03 2019-12-03 一种初始配置方法及终端设备
JP2022533202A JP2023505471A (ja) 2019-12-03 2020-11-30 プロビジョニング方法及び端末機器
US17/781,840 US20230007480A1 (en) 2019-12-03 2020-11-30 Provisioning method and terminal device
EP20895692.0A EP4068716A4 (en) 2019-12-03 2020-11-30 INITIAL CONFIGURATION PROCEDURE AND TERMINAL DEVICE
PCT/CN2020/132712 WO2021109967A1 (zh) 2019-12-03 2020-11-30 初始配置方法及终端设备
AU2020396746A AU2020396746B2 (en) 2019-12-03 2020-11-30 Provisioning method and terminal device
CA3160544A CA3160544A1 (en) 2019-12-03 2020-11-30 Provisioning method and terminal device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911219000.XA CN112910826B (zh) 2019-12-03 2019-12-03 一种初始配置方法及终端设备

Publications (2)

Publication Number Publication Date
CN112910826A true CN112910826A (zh) 2021-06-04
CN112910826B CN112910826B (zh) 2022-08-23

Family

ID=76103843

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911219000.XA Active CN112910826B (zh) 2019-12-03 2019-12-03 一种初始配置方法及终端设备

Country Status (7)

Country Link
US (1) US20230007480A1 (zh)
EP (1) EP4068716A4 (zh)
JP (1) JP2023505471A (zh)
CN (1) CN112910826B (zh)
AU (1) AU2020396746B2 (zh)
CA (1) CA3160544A1 (zh)
WO (1) WO2021109967A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115190450A (zh) * 2022-06-28 2022-10-14 中汽数据(天津)有限公司 基于v2x证书建立tls通道的车联网通信方法和***
CN115378745A (zh) * 2022-10-26 2022-11-22 中国铁塔股份有限公司 通信认证方法、***、装置、电子设备及存储介质
CN115633356A (zh) * 2022-12-19 2023-01-20 中汽智联技术有限公司 基于x509数字证书申请v2x数字证书的方法和***
CN117082520A (zh) * 2023-10-13 2023-11-17 武汉信安珞珈科技有限公司 数字证书处理方法、装置、电子设备及存储介质

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101163013A (zh) * 2006-09-19 2008-04-16 法国无线电话公司 网络中无线终端和设备之间建立安全会话的方法
US20160149710A1 (en) * 2013-04-26 2016-05-26 Visa International Service Association Providing digital certificates
CN106453196A (zh) * 2015-08-04 2017-02-22 ***通信集团公司 一种针对可信执行环境的密钥写入装置、***及方法
CN107645471A (zh) * 2016-07-20 2018-01-30 航天信息股份有限公司 一种用于移动终端用户身份认证的方法和***
CN108282467A (zh) * 2017-12-29 2018-07-13 北京握奇智能科技有限公司 数字证书的应用方法、***
CN108809637A (zh) * 2018-05-02 2018-11-13 西南交通大学 基于混合密码的lte-r车-地通信非接入层认证密钥协商方法
US20180351945A1 (en) * 2017-05-31 2018-12-06 Apple Inc. ELECTRONIC SUBSCRIBER IDENTITY MODULE (eSIM) INSTALLATION AND TESTING

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI429254B (zh) * 2007-10-05 2014-03-01 Interdigital Tech Corp Ｕｉｃｃ及終端間安全頻道技術
US9112905B2 (en) * 2010-10-22 2015-08-18 Qualcomm Incorporated Authentication of access terminal identities in roaming networks
CN102811224A (zh) * 2012-08-02 2012-12-05 天津赢达信科技有限公司 一种ssl/tls连接的实现方法、装置及***
US9350550B2 (en) * 2013-09-10 2016-05-24 M2M And Iot Technologies, Llc Power management and security for wireless modules in “machine-to-machine” communications
US11032707B2 (en) * 2016-05-06 2021-06-08 Intel IP Corporation Service authorization and credential provisioning for V2X communications
US10943005B2 (en) * 2017-11-22 2021-03-09 Aeris Communications, Inc. Secure authentication of devices for internet of things
JP7139621B2 (ja) * 2018-02-27 2022-09-21 大日本印刷株式会社 電子情報記憶媒体、通信プログラム、及び通信デバイス

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101163013A (zh) * 2006-09-19 2008-04-16 法国无线电话公司 网络中无线终端和设备之间建立安全会话的方法
US20160149710A1 (en) * 2013-04-26 2016-05-26 Visa International Service Association Providing digital certificates
CN106453196A (zh) * 2015-08-04 2017-02-22 ***通信集团公司 一种针对可信执行环境的密钥写入装置、***及方法
CN107645471A (zh) * 2016-07-20 2018-01-30 航天信息股份有限公司 一种用于移动终端用户身份认证的方法和***
US20180351945A1 (en) * 2017-05-31 2018-12-06 Apple Inc. ELECTRONIC SUBSCRIBER IDENTITY MODULE (eSIM) INSTALLATION AND TESTING
CN108282467A (zh) * 2017-12-29 2018-07-13 北京握奇智能科技有限公司 数字证书的应用方法、***
CN108809637A (zh) * 2018-05-02 2018-11-13 西南交通大学 基于混合密码的lte-r车-地通信非接入层认证密钥协商方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
5GPPP: "Deliverable D4.2 Final Design and Evaluation of the 5G V2X System Level Architecture and Security Framework", 《HTTP://WWW.5G-PPP.EU》 *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115190450A (zh) * 2022-06-28 2022-10-14 中汽数据(天津)有限公司 基于v2x证书建立tls通道的车联网通信方法和***
CN115190450B (zh) * 2022-06-28 2023-11-28 中汽数据(天津)有限公司 基于v2x证书建立tls通道的车联网通信方法和***
CN115378745A (zh) * 2022-10-26 2022-11-22 中国铁塔股份有限公司 通信认证方法、***、装置、电子设备及存储介质
CN115378745B (zh) * 2022-10-26 2023-02-21 中国铁塔股份有限公司 通信认证方法、***、装置、电子设备及存储介质
CN115633356A (zh) * 2022-12-19 2023-01-20 中汽智联技术有限公司 基于x509数字证书申请v2x数字证书的方法和***
CN115633356B (zh) * 2022-12-19 2023-03-10 中汽智联技术有限公司 基于x509数字证书申请v2x数字证书的方法和***
CN117082520A (zh) * 2023-10-13 2023-11-17 武汉信安珞珈科技有限公司 数字证书处理方法、装置、电子设备及存储介质
CN117082520B (zh) * 2023-10-13 2024-01-09 武汉信安珞珈科技有限公司 数字证书处理方法、装置、电子设备及存储介质

Also Published As

Publication number Publication date
WO2021109967A1 (zh) 2021-06-10
US20230007480A1 (en) 2023-01-05
EP4068716A4 (en) 2023-12-06
AU2020396746B2 (en) 2023-06-22
CA3160544A1 (en) 2021-06-10
JP2023505471A (ja) 2023-02-09
AU2020396746A1 (en) 2022-08-04
CN112910826B (zh) 2022-08-23
EP4068716A1 (en) 2022-10-05

Similar Documents

Publication Publication Date Title
CN112910826B (zh) 一种初始配置方法及终端设备
CN110380852B (zh) 双向认证方法及通信***
EP3723399A1 (en) Identity verification method and apparatus
CN107277061B (zh) 基于iot设备的端云安全通信方法
US11303616B2 (en) System and method for a multi system trust chain
CN113015159B (zh) 初始安全配置方法、安全模块及终端
CN109495307A (zh) ***升级方法、ota升级包加密方法、终端设备及车辆
EP2255507A2 (en) A system and method for securely issuing subscription credentials to communication devices
CN112714053B (zh) 通信连接方法及装置
CN112203271B (zh) 一种通信连接方法、装置及***
CN106850311B (zh) 用于固件升级的数据安全传输***及方法
US20220311625A1 (en) Certificate Application Method And Device
CN114301596A (zh) 车内网ota安全通讯方法、装置、车载***及存储介质
CN114327532A (zh) 一种基于数字签名和加密的汽车ota升级信息安全实现方法
CN113556710A (zh) 一种车辆蓝牙钥匙方法、装置及车辆
JP7143744B2 (ja) 機器統合システム及び更新管理システム
CN113613227B (zh) 蓝牙设备的数据传输方法和装置、存储介质及电子装置
CN117097462B (zh) 一种基于量子密钥体系的车载智能软件升级加密***
CN113660271B (zh) 一种车联网的安全认证方法及装置
CN110830243B (zh) 对称密钥分发方法、装置、车辆及存储介质
CN111464554B (zh) 一种车辆信息安全控制方法及***
CN113687848A (zh) 一种针对物流车队管理场景的高可靠性车辆ota升级方法
CN114640491A (zh) 通信方法和***
CN116887266B (zh) 车辆数据访问方法、电子设备及计算机可读存储介质
CN116566716A (zh) 云端***认证方法、第三方***认证方法、装置、设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant