CN117082504A - 一种密钥生成方法及装置、网络设备 - Google Patents

一种密钥生成方法及装置、网络设备 Download PDF

Info

Publication number
CN117082504A
CN117082504A CN202210502335.8A CN202210502335A CN117082504A CN 117082504 A CN117082504 A CN 117082504A CN 202210502335 A CN202210502335 A CN 202210502335A CN 117082504 A CN117082504 A CN 117082504A
Authority
CN
China
Prior art keywords
network element
authentication identity
information
identifier
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210502335.8A
Other languages
English (en)
Inventor
王珂
黄晓婷
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Original Assignee
China Mobile Communications Group Co Ltd
China Mobile Communications Ltd Research Institute
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Mobile Communications Group Co Ltd, China Mobile Communications Ltd Research Institute filed Critical China Mobile Communications Group Co Ltd
Priority to CN202210502335.8A priority Critical patent/CN117082504A/zh
Publication of CN117082504A publication Critical patent/CN117082504A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0866—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving user or device identifiers, e.g. serial number, physical or biometrical information, DNA, hand-signature or measurable physical characteristics
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)

Abstract

本申请公开了一种密钥生成方法及装置、网络设备，所述方法包括：第一网元接收到第二网元发送的密钥生成请求消息后，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系；若所述密钥生成请求消息中包含的第一网元标识与所述第二网元的认证身份存在对应关系，则基于所述第一网元标识生成密钥并将所述密钥发送给所述第二网元。

Description

一种密钥生成方法及装置、网络设备
技术领域
本申请涉及无线通信技术领域，尤其涉及一种密钥生成方法及装置、网络设备。
背景技术
当用户设备(User Equipment，UE)启动与应用功能(Application Function，AF)的通信时，AF需要获取与UE通信时使用的认证和密钥管理(Authentication and KeyManagement，AKMA)应用密钥(即KAF)。AF向AKMA锚点功能(AKMA Anchor node Function，AAnF)请求生成KAF的过程中，AF会向AAnF提供AF_ID，AanF根据AF_ID推衍出KAF并将KAF提供给AF。然而，AF_ID这一信息是公开的或着可以构造的，这将导致AF与UE通信时使用的KAF容易泄露，AF与UE之间的通信安全得不到保障。
发明内容
为解决上述技术问题，本申请实施例提供了一种密钥生成方法及装置、网络设备、芯片、计算机可读存储介质。
本申请实施例提供的密钥生成方法，包括：
第一网元接收到第二网元发送的密钥生成请求消息后，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系；
若所述密钥生成请求消息中包含的第一网元标识与所述第二网元的认证身份存在对应关系，则基于所述第一网元标识生成密钥并将所述密钥发送给所述第二网元。
本申请实施例提供的密钥生成装置，应用于第一网元，所述装置包括：
接收单元，用于接收到第二网元发送的密钥生成请求消息；
处理单元，用于检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系；若所述密钥生成请求消息中包含的第一网元标识与所述第二网元的认证身份存在对应关系，则基于所述第一网元标识生成密钥；
发送单元，用于将所述密钥发送给所述第二网元。
本申请实施例提供的网络设备，包括：处理器和存储器，该存储器用于存储计算机程序，所述处理器用于调用并运行所述存储器中存储的计算机程序，执行上述任意一种密钥生成方法。
本申请实施例提供的芯片，包括：处理器，用于从存储器中调用并运行计算机程序，使得安装有所述芯片的设备执行上述任意一种方法。
本申请实施例提供的芯计算机可读存储介质，用于存储计算机程序，所述计算机程序使得计算机执行上述任意一种方法。
本申请实施例的技术方案中，第一网元接收到第二网元发送的密钥生成请求消息后，检查密钥生成请求消息中包含的第一网元标识是否与第二网元的认证身份存在对应关系，只有在第一网元标识与第二网元的认证身份存在对应关系的情况下，第一网元才基于第一网元标识为第二网元生成密钥，如此，可以确保第二网元获取到的密钥是基于其网元认证身份对应的网元标识生成的，防止第二网元窃取其他网元的密钥，也防止其他网元窃取第二网元的密钥，保障了密钥的安全性。
附图说明
图1是5G网络***架构图；
图2是AKMA密钥层级结构示意图；
图3是KAKMA推衍的流程示意图；
图4是KAF推衍的流程示意图；
图5是本申请实施例提供的密钥生成方法的流程示意图一；
图6是本申请实施例提供的密钥生成方法的流程示意图二；
图7是本申请实施例提供的密钥生成装置的结构组成示意图；
图8是本申请实施例提供的一种通信设备示意性结构图；
图9是本申请实施例的芯片的示意性结构图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
为便于理解本申请实施例的技术方案，以下对本申请实施例的相关技术进行说明，以下相关技术作为可选方案与本申请实施例的技术方案可以进行任意结合，其均属于本申请实施例的保护范围。
5G网络***架构
图1是5G网络***架构图，如图1所示，5G网络***中涉及到的网元包括：用户设备(User Equipment，UE)、无线接入网(Radio Access Network，RAN)、用户面功能(UserPlane Function，UPF)、数据网络(Data Network，DN)、接入和移动性管理功能(Access andMobility Management Function，AMF)、会话管理功能(Session Management Function，SMF)、策略控制功能(Policy Control Function，PCF)、应用功能(Application Function，AF)、鉴权服务器功能(Authentication Server Function，AUSF)、统一数据管理(UnifiedData Management，UDM)。
本申请实施例的技术方案可以但不局限于应用于上述图1所示的5G网络***架构，例如还可以应用于增强的5G网络***架构或者6G网络***架构或者未来的网络***架构等。
AKMA
相关技术中，制定了基于5G中的3GPP凭证为上层应用提供认证和密钥管理能力的架构和流程。在5G网络中，基于运营商掌握的终端卡、网络资源以及终端身份认证、数据安全传输的能力，将认证和会话密钥提供给业务应用，为移动互联网时代用户终端接入业务应用提供轻量级应用层认证和安全通道建立的解决方案。
如图2所示，AKMA的密钥层级包括如下的密钥：KAUSF，KAKMA，KAF。其中，KAUSF由AUSF产生。KAKMA是ME和AUSF从KAUSF推衍出的密钥，是AAnF的密钥。KAF是ME和AAnF从KAKMA推衍出的密钥，是AF的密钥。
以下对图2中的AanF和AF进行解释说明。
AAnF：AAnF是部署在本地公用陆地移动网络(Home Public Land MobileNetwork，HPLMN)里的锚点功能，AAnF为AKMA服务存储AKMA锚点密钥(即KAKMA)，在UE成功完成5G主认证之后由AUSF将该密钥发送给AAnF。AAnF同时也产生供UE和AF之间使用的密钥材料，且维持UE的AKMA上下文。
AF：具备AKMA服务的AF能通过AKMA密钥标识(即A-KID)向AAnF请求AKMA应用密钥(即KAF)。AF应通过运营商网络的认证和授权才能获取KAF。部署在运营商网络内的AF应执行AAnF选择功能。
AKMA功能不需要额外的UE认证，只需要重用5G主认证来认证UE，例如在UE注册期间执行5G主认证过程。5G主认证成功后，KAUSF应存储于AUSF和UE中，AUSF和UE根据KAUSF推衍出KAKMA。具体地，如图3所示，包括以下步骤：
步骤301：AUSF向UDM发送UE认证请求消息。
这里，UE认证请求消息可以是Nudm_UEAuthentication_Get Request，该消息包含UE的SUPI/SUCI。
步骤302：UDM向AUSF发送UE认证响应消息。
这里，UE认证响应消息可以是Nudm_UEAuthentication_Get Response，该消息包含以下信息：AV，[AKMA Ind]，[RID]。
步骤303a：UE和AUSF根据KAUSF生成KAKMA。
步骤303b：UE和AUSF生成A-KID。
步骤304：AUSF向AAnF发送AKMA锚点密钥注册请求消息。
这里，AKMA锚点密钥注册请求消息可以是Naanf_AKMA_AnchorKey_RegisterRequest，该消息包含以下信息：SUPI，A-KID，KAKMA。
步骤305：AAnF向AUSF发送AKMA锚点密钥注册响应消息。
这里，AKMA锚点密钥注册响应消息可以是Naanf_AKMA_AnchorKey_RegisterResponse。
UE应当在与AKMA应用服务器交互之前，从KAUSF推衍出KAKMA和A-KID，参照图3中的步骤303a和步骤303b。在UE和AF之间的通信开始之前，UE和AF需要知道是否能够使用AKMA，这隐含在UE和AF的具体应用中或由AF向UE作出指示。当AF位于运营商网络内部时，AF直接从AAnF请求获取AKMA应用密钥(即KAF)，具体地，如图4所示，包括以下步骤：
步骤401：UE向AF发送应用会话建立请求消息，该消息包含A-KID。
这里，当UE启动与AF的通信时，UE向AF发送应用会话建立请求消息，该消息包含A-KID。UE可能在发送该消息之前或之后根据KAKMA推衍KAF。
步骤402：AF向AAnF发送密钥生成请求消息，该消息包含A-KID和AF_ID。
这里，密钥生成请求消息可以是Naanf_AKMA_ApplicationKey_Get Request。
如果AF中没有与A-KID相关联的激活上下文，则AF进行AAnF选择，并向选择的AAnF发送密钥生成请求消息，该消息包含A-KID和AF_ID。AF_ID包括AF的FQDN和Ua*协议标识符，其中Ua*协议标识符用于标识AF与UE之间使用的安全协议。
AAnF应根据配置的本地策略，或NRF提供的授权信息或策略，使用AF_ID检查AAnF是否可以向AF提供服务。若是，则AAnF执行以下流程，若否，则AAnF应拒绝以下流程。
AAnF可通过验证是否能够通过A-KID来找到相对应的KAKMA(即有效的KAKMA)来确定用户是否被授权使用AKMA。
如果AAnF中存在有效的KAKMA，则AAnF应继续执行步骤403。
如果AAnF中没有有效的KAKMA，则AAnF应继续执行步骤404并发送错误响应。
步骤403：AAnF根据KAKMA推演KAF。
这里，如果AAnF没有KAF的话，则AAnF根据KAKMA推衍KAF。当AAnF根据KAKMA推衍KAF时，密钥推演函数(KDF)的输入密钥为KAKMA，下列参数用来构建KDF的输入S：
-FC＝0x82；
-P0＝AF_ID；
-L0＝AF_ID的长度。
AF_ID构成如下：AF_ID＝AF的FQDN||Ua*协议标识符，其中Ua*协议标识符用于标识AF与UE之间使用的安全协议。
步骤404：AAnF向AF发送密钥生成响应消息，该消息包含KAF，KAF的生命周期(KAFexpTime)，SUPI。
这里，密钥生成响应消息可以是Naanf_AKMA_ApplicationKey_Get Response。
如果步骤404中的信息中表明了AKMA密钥请求失败，则AF应拒绝应用会话建立请求，并在本步骤中携带错误原因。之后，UE可能会向AF发起新的应用会话建立请求消息，并携带新的A-KID。
步骤405：AF向UE发送应用会话建立响应消息。
上述图4所示的流程中，具备AKMA服务的AF能通过AKMA密钥标识(即A-KID)及标识应用的AF_ID向AAnF请求AKMA应用密钥(即KAF)，AF_ID构成为：AF_ID＝AF的FQDN||Ua*协议标识符,其中Ua*协议标识符用于标识AF与UE之间使用的安全协议。然而，AF_ID易被伪造，考虑下述场景：应用a(即AF a，标识为AF_IDa)和应用b(即AF b，标识为AF_IDb)均具备AKMA服务，均可通过AKMA密钥标识(即A-KID)向AAnF请求AKMA应用密钥(即KAF)，UE的AKMA密钥标识为A-KID，当UE启动AF a和AF b的AKMA流程并访问AF a和AF b后，AF a和AF b获得A-KID，AF a向AAnF发送密钥生成请求消息(包含A-KID和AF_IDa)获得UE和AF a通信的应用密钥KAFa，AF_IDa不是不易获取的，它是公开的或着可以构造的，因此AF b也可以向AAnF发送密钥生成请求消息(包含A-KID和AF_IDa)，然而目前的流程中仅提到“AAnF应根据配置的本地策略，或NRF提供的授权信息或策略，使用AF_ID检查AAnF是否可以向AF提供服务”，并未明确说明如何检查，如果AAnF仅仅根据AF_ID，比如检查接收到的AF_ID是否在AAnF的服务列表中，那么在上述场景中，因为AF_IDa也在AAnF的服务列表中，那么AAnF检查通过并基于相同的KAKMA和AF_IDa为其生成KAFa，也即AF b也获得了KAFa，进而可以使用该密钥破解UE和AFa间加密的通信，即密钥被泄露，无法防止合法AF对其他合法AF的窃听。虽然AF应通过运营商网络的认证和授权才能获取KAF(可以防止非法AF窃听)，然而按照SBA机制，一般指AAnF根据AF的认证结果判断是否响应AF的密钥生成请求，而认证结果和AF_ID没有关联仍会出现上述泄密的风险。为此，提出了本申请实施例的以下技术方案。
为便于理解本申请实施例的技术方案，以下通过具体实施例详述本申请的技术方案。以上相关技术作为可选方案与本申请实施例的技术方案可以进行任意结合，其均属于本申请实施例的保护范围。本申请实施例包括以下内容中的至少部分内容。
图5是本申请实施例提供的密钥生成方法的流程示意图一，如图5所示，所述密钥生成方法包括以下步骤：
步骤501：第一网元接收到第二网元发送的密钥生成请求消息后，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系。
本申请实施例中，所述第一网元可以是AAnF，所述第二网元可以是AF。需要说明的是，本申请对所述第一网元和所述第二网元的名称不做限定。
本申请实施例中，所述第一网元收到第二网元发送的密钥生成请求消息后，对第二网元进行认证授权，在认证授权通过后，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系。
需要说明的是，在对第二网元进行认证授权时，第一网元即可获得第二网元的认证身份，也即获得第二网元的认证结果。
本申请实施例中，所述第一网元获取第一信息，这里，所述第一信息可以在所述第一网元上存储或者也可以在其他网元上存储，所述第一信息包含网元认证身份与网元标识之间的对应关系。可选地，在所述第一信息中，网元认证身份与其对应的网元标识为同一内容，或者，网元认证身份与其对应的网元标识为不同内容。网元认证身份与其对应的网元标识为不同内容的情况下，一个网元认证身份对应一个或多个网元标识。这里，一个网元认证身份对应一个网元标识，也可以描述为网元认证身份与网元标识之间是一对一的对应关系；一个网元认证身份对应多个网元标识，也可以描述为网元认证身份与网元标识之间是一对多的对应关系。
作为示例：网元标识为AF_ID，第一网元中预置的网元认证身份与AF_ID之间的对应关系如下表1所示，表1中列举了各个网元认证身份对应的AF_ID，一个网元认证身份可以对应一个或多个AF_ID。表1中的“是否提供服务”为可选内容，当该内容不存在时，默认是提供服务。
表1
作为示例：网元标识为序号，第一网元中预置的网元认证身份与序号之间的对应关系如下表2所示，表2中列举了各个网元认证身份对应的序号，每个序号对应一个AF_ID，一个网元认证身份可以对应一个或多个序号(也即对应一个或多个AF_ID)。表2中的“是否提供服务”为可选内容，当该内容不存在时，默认是提供服务。
表2
作为示例：网元标识为AF_ID，第一网元中预置的网元认证身份与AF_ID之间的对应关系如下表3所示，表3中列举了各个AF_ID对应的网元认证身份，不同AF_ID对应的网元认证身份可以不同也可以相同。表3中的“是否提供服务”为可选内容，当该内容不存在时，默认是提供服务。
表3
作为示例：网元标识为序号，第一网元中预置的网元认证身份与序号之间的对应关系如下表4所示，表4中列举了各个序号对应的网元认证身份，每个序号对应一个AF_ID，不同序号对应的网元认证身份可以不同也可以相同。需要说明的是，对于这种情况，序号对于所有网元认证身份具有唯一性或者说不同的AF_ID对应不同的序号。表4中的“是否提供服务”为可选内容，当该内容不存在时，默认是提供服务。
表4
本申请实施例中，第一网元在接收到第二网元发送的密钥生成请求消息后，基于所述第一信息检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系。以下对第一网元如何基于所述第一信息检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系进行说明。
方案一
作为一种可选实施方式，第一网元可以通过以下步骤检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系：
S11：基于所述第一信息确定所述第二网元的认证身份对应的网元标识；
S12：检查所述密钥生成请求消息中包含的第一网元标识是否属于所述第二网元的认证身份对应的网元标识；
S131：若所述第一网元标识属于所述第二网元的认证身份对应的网元标识，则确定所述第一网元标识与所述第二网元的认证身份存在对应关系。
可选地，还包括如下步骤：
S132：若所述第一网元标识不属于所述第二网元的认证身份对应的网元标识，则向所述第二网元发送错误响应消息；或者，基于所述第一信息检查所述第一网元标识是否为其他网元认证身份对应的网元标识；若所述第一网元标识是其他网元认证身份对应的网元标识，则向所述第二网元发送错误响应消息；若所述第一网元标识不是其他网元认证身份对应的网元标识，则设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中；其中，所述其他网元认证身份是指与所述第二网元的认证身份不同的网元认证身份。
在一些可选实施方式中，在上述S11之前，还包括如下S09：
S09：检查所述第一信息中是否存在所述第二网元的认证身份。
若所述第一信息中存在所述第二网元的认证身份，则执行上述S11。若所述第一信息中不存在所述第二网元的认证身份，则执行以下S10。
S10：向所述第二网元发送错误响应消息；或者，基于所述第一信息检查所述第一网元标识是否为其他网元认证身份对应的网元标识；若所述第一网元标识是其他网元认证身份对应的网元标识，则向所述第二网元发送错误响应消息；若所述第一网元标识不是其他网元认证身份对应的网元标识，则设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中；其中，所述其他网元认证身份是指与所述第二网元的认证身份不同的网元认证身份。
方案二
作为一种可选实施方式，第一网元可以通过以下步骤检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系：
S21：基于所述第一信息确定所述密钥生成请求消息中包含的第一网元标识对应的网元认证身份；
S22：检查所述第二网元的认证身份是否是所述第一网元标识对应的网元认证身份；
S231：若所述第二网元的认证身份是所述第一网元标识对应的网元认证身份，则确定所述第一网元标识与所述第二网元的认证身份存在对应关系。
可选地，还包括如下步骤：
S232：若所述第二网元的认证身份不是所述第一网元标识对应的网元认证身份，则向所述第二网元发送错误响应消息；或者，检查所述第一信息中是否存在所述第二网元的认证身份；若所述第一信息中存在所述第二网元的认证身份，则基于所述第一信息确定所述第二网元的认证身份对应的第二网元标识，将所述第二网元标识作为用于生成所述密钥的网元标识；若所述第一信息中不存在所述第二网元的认证身份，则向所述第二网元发送错误响应消息。
在一些可选实施方式中，在上述S21之前，还包括如下S19：
S19：检查所述第一信息中是否存在所述密钥生成请求消息中包含的第一网元标识。
若所述第一信息中存在所述密钥生成请求消息中包含的第一网元标识，则执行上述S21。若所述第一信息中不存在所述密钥生成请求消息中包含的第一网元标识，则执行以下S20。
S20：向所述第二网元发送错误响应消息；或者，设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中。
步骤502：若所述密钥生成请求消息中包含的第一网元标识与所述第二网元的认证身份存在对应关系，则基于所述第一网元标识生成密钥并将所述密钥发送给所述第二网元。
本申请实施例中，所述密钥生成请求消息中包含的第一网元标识为序号、或者空、或者AF_ID(也即包括FQDN和安全协议标识符)。
作为一种可选方式，所述密钥生成请求消息中包含的第一网元标识为AF_ID，若所述密钥生成请求消息中包含的AF_ID与所述第二网元的认证身份存在对应关系，则基于所述AF_ID生成密钥并将所述密钥发送给所述第二网元。
作为一种可选方式，所述密钥生成请求消息中包含的第一网元标识为序号，若所述密钥生成请求消息中包含的序号与所述第二网元的认证身份存在对应关系，则在所述第二网元的认证身份对应的AF_ID集中定位到所述序号对应的AF_ID，基于所述序号对应的AF_ID生成密钥并将所述密钥发送给所述第二网元。这里，鉴于第一网元中已存放AF_ID，由于序号占用的开销远远小于AF_ID占用的开销，为了节省开销，可在密钥生成请求消息中携带序号而不是AF_ID自身，序号例如可以是0，1，2……，序号是指AF_ID对应的序号，第一网元可以在第二网元的认证身份对应的AF_ID集中定位到序号对应的AF_ID。
作为一种实现方式，所述密钥生成请求消息中包含的第一网元标识为空，基于所述第二网元的认证身份对应的AF_ID生成密钥并将所述密钥发送给所述第二网元。这里，如果一个AF仅有一个AF_ID，那么在密钥生成请求消息中可不发送AF_ID(即第一网元标识为空)，而是由第一网元根据第二网元的认证身份确定唯一的AF_ID。如此，可以大大节省开销。
图6是本申请实施例提供的密钥生成方法的流程示意图二，其中，第一网元举例为AAnF，第二网元举例为AF，如图6所示，所述密钥生成方法包括以下步骤：
一方面，UE应当在与AKMA应用服务器交互之前，从KAUSF推衍出KAKMA和A-KID。另一方面，AAnF上预置有AF认证身份与AF网元标识之间的对应关系。
步骤601：UE向AF发送应用会话建立请求消息，该消息包含A-KID。
这里，当UE启动与AF的通信时，UE向AF发送应用会话建立请求消息，该消息包含A-KID。UE可能在发送该消息之前或之后根据KAKMA推衍KAF。
步骤602：AF向AAnF发送密钥生成请求消息，该消息包含A-KID和AF网元标识。
这里，密钥生成请求消息可以是Naanf_AKMA_ApplicationKey_Get Request。
如果AF中没有与A-KID相关联的激活上下文，则AF进行AAnF选择，并向选择的AAnF发送密钥生成请求消息，该消息包含A-KID和AF网元标识。AF网元标识用于标识AF，可以为序号，或者为空，或者为AF_ID，这里，AF_ID包括AF的FQDN和Ua*协议标识符，其中Ua*协议标识符用于标识AF与UE之间使用的安全协议。
AAnF应根据配置的本地策略，或NRF提供的授权信息或策略，使用AF_ID检查AAnF是否可以向AF提供服务。若是，则AAnF执行以下流程，若否，则AAnF应拒绝以下流程。
步骤603：AAnF基于预置的对应关系检查密钥生成请求消息中的AF网元标识是否与AF认证身份存在对应关系，若存在对应关系，则确定可以向AF提供服务的AF_ID。
作为一种实现方式，AAnF基于预置的对应关系检查密钥生成请求消息中的AF网元标识是否与AF认证身份存在对应关系，包括如下选项：
选项a)如果密钥生成请求消息中的AF网元标识为空，则基于对应关系确定AF认证身份对应的AF_ID，将AF_ID作为向AF提供服务的AF_ID，也即作为用于生成KAF的AF_ID。
选项b)如果密钥生成请求消息中的AF网元标识为序号(记为序号1)，则基于对应关系确定AF认证身份对应的序号集，检查序号1是否属于该序号集，若属于，则将AF认证身份对应的AF_ID集中与序号1对应的AF_ID作为向AF提供服务的AF_ID，也即作为用于生成KAF的AF_ID，若不属于，则可拒绝后续流程。
选项c)如果密钥生成请求消息中的AF网元标识为AF_ID(记为AF_ID1)，则基于对应关系确定AF认证身份对应的AF_ID集，检查AF_ID1是否属于该AF_ID集，若属于，则将AF_ID1作为向AF提供服务的AF_ID，也即作为用于生成KAF的AF_ID，若不属于，则可拒绝后续流程或者也可在对应关系中查找AF_ID1是否与其他AF认证身份具有对应关系，若是，则拒绝后续流程，若否，则可追加AF_ID1与AF认证身份的对应关系。
上述方案中，AAnF基于预置的对应关系检查密钥生成请求消息中的AF网元标识是否与AF认证身份存在对应关系的前提是：AAnF在对应关系中找到AF认证身份。如果AAnF在对应关系中找不到AF认证身份，则可拒绝后续流程或者也可在策略允许为AF提供服务的前提下在对应关系中查找密钥生成请求消息中携带的AF网元标识(例如AF_ID1)是否与其他AF认证身份具有对应关系，若是，则拒绝后续流程，若否，则可追加AF_ID1与AF认证身份的对应关系。
作为另一种实现方式，AAnF基于预置的对应关系检查密钥生成请求消息中的AF网元标识(例如AF_ID1)是否与AF认证身份存在对应关系，包括如下选项：
选项A)基于对应关系确定AF_ID1对应的AF认证身份，检查AF_ID1对应的AF认证身份与AF认证身份是否一致，若是，则将AF_ID1作为向AF提供服务的AF_ID，也即作为用于生成KAF的AF_ID，若否，则可拒绝后续流程。
上述方案中，AAnF基于对应关系确定AF_ID1对应的AF认证身份的前提是：AAnF在对应关系中找到AF_ID1。如果AAnF在对应关系中找不到AF_ID1，则可拒绝后续流程或者也可在策略允许为AF提供服务的前提下追加AF_ID1与AF认证身份的对应关系。
AAnF可通过验证是否能够通过A-KID来找到相对应的KAKMA(即有效的KAKMA)来确定用户是否被授权使用AKMA。
如果AAnF中存在有效的KAKMA，则AAnF应继续执行步骤604。
如果AAnF中没有有效的KAKMA，则AAnF应继续执行步骤605并发送错误响应。
步骤604：AAnF根据KAKMA推演KAF。
这里，如果AAnF没有KAF的话，则AAnF根据KAKMA推衍KAF。当AAnF根据KAKMA推衍KAF时，密钥推演函数(KDF)的输入密钥为KAKMA，下列参数用来构建KDF的输入S：
-FC＝0x82；
-P0＝AF_ID；
-L0＝AF_ID的长度。
这里，AF_ID是指与AF认证身份具有对应关系的AF_ID，或者说是为AF提供服务的AF_ID。AF_ID构成如下：AF_ID＝AF的FQDN||Ua*协议标识符，其中Ua*协议标识符用于标识AF与UE之间使用的安全协议。
步骤605：AAnF向AF发送密钥生成响应消息，该消息包含KAF，KAF的生命周期(KAFexpTime)，SUPI。
这里，密钥生成响应消息可以是Naanf_AKMA_ApplicationKey_Get Response。
如果步骤605中的信息中表明了AKMA密钥请求失败，则AF应拒绝应用会话建立请求，并在本步骤中携带错误原因。之后，UE可能会向AF发起新的应用会话建立请求消息，并携带新的A-KID。
步骤606：AF向UE发送应用会话建立响应消息。
本申请实施例的技术方案，通过在AAnF上预置AF认证身份与AF网元标识之间的对应关系，从而可以基于该对应关系检查密钥生成请求消息中包含的AF网元标识是否与AF的网元认证身份存在对应关系，从而可以避免合法AF通过发送其他合法AF的AF网元标识获取UE访问其他AF的KAF，防止对其他合法AF访问的窃听风险。
图7是本申请实施例提供的密钥生成装置的结构组成示意图，应用于第一网元，如图7所示，所述密钥生成装置包括：
接收单元701，用于接收到第二网元发送的密钥生成请求消息；
处理单元702，用于检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系；若所述密钥生成请求消息中包含的第一网元标识与所述第二网元的认证身份存在对应关系，则基于所述第一网元标识生成密钥；
发送单元703，用于将所述密钥发送给所述第二网元。
在一些可选实施方式中，所述第一网元上存储有第一信息，所述第一信息包含网元认证身份与网元标识之间的对应关系；
所述处理单元702，用于基于所述第一信息，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系。
在一些可选实施方式中，在所述第一信息中，网元认证身份与其对应的网元标识为同一内容，或者，网元认证身份与其对应的网元标识为不同内容。
在一些可选实施方式中，在所述第一信息中，一个网元认证身份对应一个或多个网元标识。
在一些可选实施方式中，所述处理单元702，用于基于所述第一信息确定所述第二网元的认证身份对应的网元标识；检查所述密钥生成请求消息中包含的第一网元标识是否属于所述第二网元的认证身份对应的网元标识；若所述第一网元标识属于所述第二网元的认证身份对应的网元标识，则确定所述第一网元标识与所述第二网元的认证身份存在对应关系。
在一些可选实施方式中，所述处理单元702，用于若所述第一网元标识不属于所述第二网元的认证身份对应的网元标识，则向所述第二网元发送错误响应消息；或者，基于所述第一信息检查所述第一网元标识是否为其他网元认证身份对应的网元标识；若所述第一网元标识是其他网元认证身份对应的网元标识，则向所述第二网元发送错误响应消息；若所述第一网元标识不是其他网元认证身份对应的网元标识，则设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中；其中，所述其他网元认证身份是指与所述第二网元的认证身份不同的网元认证身份。
在一些可选实施方式中，所述处理单元702，用于检查所述第一信息中是否存在所述第二网元的认证身份；若所述第一信息中存在所述第二网元的认证身份，则基于所述第一信息确定所述第二网元的认证身份对应的网元标识。
在一些可选实施方式中，所述处理单元702，用于若所述第一信息中不存在所述第二网元的认证身份，则向所述第二网元发送错误响应消息；或者，基于所述第一信息检查所述第一网元标识是否为其他网元认证身份对应的网元标识；若所述第一网元标识是其他网元认证身份对应的网元标识，则向所述第二网元发送错误响应消息；若所述第一网元标识不是其他网元认证身份对应的网元标识，则设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中；其中，所述其他网元认证身份是指与所述第二网元的认证身份不同的网元认证身份。
在一些可选实施方式中，所述处理单元702，用于基于所述第一信息确定所述密钥生成请求消息中包含的第一网元标识对应的网元认证身份；检查所述第二网元的认证身份是否是所述第一网元标识对应的网元认证身份；若所述第二网元的认证身份是所述第一网元标识对应的网元认证身份，则确定所述第一网元标识与所述第二网元的认证身份存在对应关系。
在一些可选实施方式中，所述处理单元702，用于若所述第二网元的认证身份不是所述第一网元标识对应的网元认证身份，则向所述第二网元发送错误响应消息；或者，检查所述第一信息中是否存在所述第二网元的认证身份；若所述第一信息中存在所述第二网元的认证身份，则基于所述第一信息确定所述第二网元的认证身份对应的第二网元标识，将所述第二网元标识作为用于生成所述密钥的网元标识；若所述第一信息中不存在所述第二网元的认证身份，则向所述第二网元发送错误响应消息。
在一些可选实施方式中，所述处理单元702，用于检查所述第一信息中是否存在所述密钥生成请求消息中包含的第一网元标识；若所述第一信息中存在所述密钥生成请求消息中包含的第一网元标识，则基于所述第一信息确定所述密钥生成请求消息中包含的第一网元标识对应的网元认证身份。
在一些可选实施方式中，所述处理单元702，用于若所述第一信息中不存在所述密钥生成请求消息中包含的第一网元标识，则向所述第二网元发送错误响应消息；或者，设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中。
在一些可选实施方式中，所述密钥生成请求消息中包含的第一网元标识为序号、或者空、或者包括FQDN和安全协议标识符。
在一些可选实施方式中，所述第一网元为AAnF，所述第二网元为AF。
本领域技术人员应当理解，图7所示的密钥生成装置中的各单元的实现功能可参照前述方法的相关描述而理解。图7所示的密钥生成装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
图8是本申请实施例提供的一种通信设备800示意性结构图。图8所示的通信设备800包括处理器810，处理器810可以从存储器中调用并运行计算机程序，以实现本申请实施例中的方法。
可选地，如图8所示，通信设备800还可以包括存储器820。其中，处理器810可以从存储器820中调用并运行计算机程序，以实现本申请实施例中的方法。
其中，存储器820可以是独立于处理器810的一个单独的器件，也可以集成在处理器810中。
可选地，如图8所示，通信设备800还可以包括收发器830，处理器810可以控制该收发器830与其他设备进行通信，具体地，可以向其他设备发送信息或数据，或接收其他设备发送的信息或数据。
其中，收发器830可以包括发射机和接收机。收发器830还可以进一步包括天线，天线的数量可以为一个或多个。
该通信设备800具体可为本申请实施例的网络设备(如第一网元)，并且该通信设备800可以实现本申请实施例的各个方法中由网络设备(如第一网元)实现的相应流程，为了简洁，在此不再赘述。
图9是本申请实施例的芯片的示意性结构图。图9所示的芯片900包括处理器910，处理器910可以从存储器中调用并运行计算机程序，以实现本申请实施例中的方法。
可选地，如图9所示，芯片900还可以包括存储器920。其中，处理器910可以从存储器920中调用并运行计算机程序，以实现本申请实施例中的方法。
其中，存储器920可以是独立于处理器910的一个单独的器件，也可以集成在处理器910中。
可选地，该芯片900还可以包括输入接口930。其中，处理器910可以控制该输入接口930与其他设备或芯片进行通信，具体地，可以获取其他设备或芯片发送的信息或数据。
可选地，该芯片900还可以包括输出接口940。其中，处理器910可以控制该输出接口940与其他设备或芯片进行通信，具体地，可以向其他设备或芯片输出信息或数据。
该芯片可应用于本申请实施例中的网络设备(如第一网元)，并且该芯片可以实现本申请实施例的各个方法中由网络设备(如第一网元)实现的相应流程，为了简洁，在此不再赘述。
应理解，本申请实施例提到的芯片还可以称为***级芯片，***芯片，芯片***或片上***芯片等。
应理解，本申请实施例的处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法实施例的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器、数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
可以理解，本申请实施例中的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(Read-Only Memory，ROM)、可编程只读存储器(Programmable ROM，PROM)、可擦除可编程只读存储器(Erasable PROM，EPROM)、电可擦除可编程只读存储器(Electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(Random Access Memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(Static RAM，SRAM)、动态随机存取存储器(Dynamic RAM，DRAM)、同步动态随机存取存储器(Synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(Double Data RateSDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(Enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(Synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(DirectRambus RAM，DR RAM)。应注意，本文描述的***和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。
应理解，上述存储器为示例性但不是限制性说明，例如，本申请实施例中的存储器还可以是静态随机存取存储器(static RAM，SRAM)、动态随机存取存储器(dynamic RAM，DRAM)、同步动态随机存取存储器(synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(double data rate SDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(synch link DRAM，SLDRAM)以及直接内存总线随机存取存储器(Direct Rambus RAM，DR RAM)等等。也就是说，本申请实施例中的存储器旨在包括但不限于这些和任意其它适合类型的存储器。
本申请实施例还提供了一种计算机可读存储介质，用于存储计算机程序。该计算机可读存储介质可应用于本申请实施例中的网络设备(如第一网元)，并且该计算机程序使得计算机执行本申请实施例的各个方法中由网络设备(如第一网元)实现的相应流程，为了简洁，在此不再赘述。
本申请实施例还提供了一种计算机程序产品，包括计算机程序指令。该计算机程序产品可应用于本申请实施例中的网络设备(如第一网元)，并且该计算机程序指令使得计算机执行本申请实施例的各个方法中由网络设备(如第一网元)实现的相应流程，为了简洁，在此不再赘述。
本申请实施例还提供了一种计算机程序。该计算机程序可应用于本申请实施例中的网络设备(如第一网元)，当该计算机程序在计算机上运行时，使得计算机执行本申请实施例的各个方法中由网络设备(如第一网元)实现的相应流程，为了简洁，在此不再赘述。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的***、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的***、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，)ROM、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应所述以权利要求的保护范围为准。

Claims (18)

1.一种密钥生成方法，其特征在于，所述方法包括：
第一网元接收到第二网元发送的密钥生成请求消息后，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系；
若所述密钥生成请求消息中包含的第一网元标识与所述第二网元的认证身份存在对应关系，则基于所述第一网元标识生成密钥并将所述密钥发送给所述第二网元。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
所述第一网元获取第一信息，所述第一信息包含网元认证身份与网元标识之间的对应关系；
所述检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系，包括：
基于所述第一信息，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系。
3.根据权利要求2所述的方法，其特征在于，在所述第一信息中，网元认证身份与其对应的网元标识为同一内容，或者，网元认证身份与其对应的网元标识为不同内容。
4.根据权利要求2所述的方法，其特征在于，在所述第一信息中，一个网元认证身份对应一个或多个网元标识。
5.根据权利要求2所述的方法，其特征在于，所述基于所述第一信息，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系，包括：
基于所述第一信息确定所述第二网元的认证身份对应的网元标识；
检查所述密钥生成请求消息中包含的第一网元标识是否属于所述第二网元的认证身份对应的网元标识；
若所述第一网元标识属于所述第二网元的认证身份对应的网元标识，则确定所述第一网元标识与所述第二网元的认证身份存在对应关系。
6.根据权利要求5所述的方法，其特征在于，所述方法还包括：
若所述第一网元标识不属于所述第二网元的认证身份对应的网元标识，则：
向所述第二网元发送错误响应消息；或者，
基于所述第一信息检查所述第一网元标识是否为其他网元认证身份对应的网元标识；若所述第一网元标识是其他网元认证身份对应的网元标识，则向所述第二网元发送错误响应消息；若所述第一网元标识不是其他网元认证身份对应的网元标识，则设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中；其中，所述其他网元认证身份是指与所述第二网元的认证身份不同的网元认证身份。
7.根据权利要求5所述的方法，其特征在于，
所述基于所述第一信息确定所述第二网元的认证身份对应的网元标识之前，所述方法还包括：检查所述第一信息中是否存在所述第二网元的认证身份；
所述基于所述第一信息确定所述第二网元的认证身份对应的网元标识，包括：若所述第一信息中存在所述第二网元的认证身份，则基于所述第一信息确定所述第二网元的认证身份对应的网元标识。
8.根据权利要求7所述的方法，其特征在于，所述方法还包括：
若所述第一信息中不存在所述第二网元的认证身份，则：
向所述第二网元发送错误响应消息；或者，
基于所述第一信息检查所述第一网元标识是否为其他网元认证身份对应的网元标识；若所述第一网元标识是其他网元认证身份对应的网元标识，则向所述第二网元发送错误响应消息；若所述第一网元标识不是其他网元认证身份对应的网元标识，则设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中；其中，所述其他网元认证身份是指与所述第二网元的认证身份不同的网元认证身份。
9.根据权利要求2所述的方法，其特征在于，所述基于所述第一信息，检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系，包括：
基于所述第一信息确定所述密钥生成请求消息中包含的第一网元标识对应的网元认证身份；
检查所述第二网元的认证身份是否是所述第一网元标识对应的网元认证身份；
若所述第二网元的认证身份是所述第一网元标识对应的网元认证身份，则确定所述第一网元标识与所述第二网元的认证身份存在对应关系。
10.根据权利要求9所述的方法，其特征在于，所述方法还包括：
若所述第二网元的认证身份不是所述第一网元标识对应的网元认证身份，则：
向所述第二网元发送错误响应消息；或者，
检查所述第一信息中是否存在所述第二网元的认证身份；若所述第一信息中存在所述第二网元的认证身份，则基于所述第一信息确定所述第二网元的认证身份对应的第二网元标识，将所述第二网元标识作为用于生成所述密钥的网元标识；若所述第一信息中不存在所述第二网元的认证身份，则向所述第二网元发送错误响应消息。
11.根据权利要求9所述的方法，其特征在于，
所述基于所述第一信息确定所述密钥生成请求消息中包含的第一网元标识对应的网元认证身份之前，所述方法还包括：检查所述第一信息中是否存在所述密钥生成请求消息中包含的第一网元标识；
所述基于所述第一信息确定所述密钥生成请求消息中包含的第一网元标识对应的网元认证身份，包括：若所述第一信息中存在所述密钥生成请求消息中包含的第一网元标识，则基于所述第一信息确定所述密钥生成请求消息中包含的第一网元标识对应的网元认证身份。
12.根据权利要求11所述的方法，其特征在于，所述方法还包括：
若所述第一信息中不存在所述密钥生成请求消息中包含的第一网元标识，则：
向所述第二网元发送错误响应消息；或者，
设置所述第一网元标识与所述第二网元的认证身份之间的对应关系，并将所述第二网元的认证身份与所述第一网元标识之间的对应关系添加到所述第一信息中。
13.根据权利要求1至12中任一项所述的方法，其特征在于，所述密钥生成请求消息中包含的第一网元标识为序号、或者空、或者包括全限定域名FQDN和安全协议标识符。
14.根据权利要求1至12中任一项所述的方法，其特征在于，所述第一网元为认证和密钥管理AKMA锚点功能AAnF，所述第二网元为应用功能AF。
15.一种密钥生成装置，其特征在于，应用于第一网元，所述装置包括：
接收单元，用于接收到第二网元发送的密钥生成请求消息；
处理单元，用于检查所述密钥生成请求消息中包含的第一网元标识是否与所述第二网元的认证身份存在对应关系；若所述密钥生成请求消息中包含的第一网元标识与所述第二网元的认证身份存在对应关系，则基于所述第一网元标识生成密钥；
发送单元，用于将所述密钥发送给所述第二网元。
16.一种网络设备，其特征在于，包括：处理器和存储器，该存储器用于存储计算机程序，所述处理器用于调用并运行所述存储器中存储的计算机程序，执行如权利要求1至14中任一项所述的方法。
17.一种芯片，其特征在于，包括：处理器，用于从存储器中调用并运行计算机程序，使得安装有所述芯片的设备执行如权利要求1至14中任一项所述的方法。
18.一种计算机可读存储介质，其特征在于，用于存储计算机程序，所述计算机程序使得计算机执行如权利要求1至14中任一项所述的方法。
CN202210502335.8A 2022-05-09 2022-05-09 一种密钥生成方法及装置、网络设备 Pending CN117082504A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210502335.8A CN117082504A (zh) 2022-05-09 2022-05-09 一种密钥生成方法及装置、网络设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210502335.8A CN117082504A (zh) 2022-05-09 2022-05-09 一种密钥生成方法及装置、网络设备

Publications (1)

Publication Number Publication Date
CN117082504A true CN117082504A (zh) 2023-11-17

Family

ID=88710277

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210502335.8A Pending CN117082504A (zh) 2022-05-09 2022-05-09 一种密钥生成方法及装置、网络设备

Country Status (1)

Country Link
CN (1) CN117082504A (zh)

Similar Documents

Publication Publication Date Title
US11956361B2 (en) Network function service invocation method, apparatus, and system
CN110798833B (zh) 一种鉴权过程中验证用户设备标识的方法及装置
US20180091978A1 (en) Universal Integrated Circuit Card Having A Virtual Subscriber Identity Module Functionality
JP5579938B2 (ja) ローミングネットワークにおけるアクセス端末識別情報の認証
US9319413B2 (en) Method for establishing resource access authorization in M2M communication
US11870765B2 (en) Operation related to user equipment using secret identifier
US9025769B2 (en) Method of registering smart phone when accessing security authentication device and method of granting access permission to registered smart phone
US9088565B2 (en) Use of a public key key pair in the terminal for authentication and authorization of the telecommunication user with the network operator and business partners
US20190289463A1 (en) Method and system for dual-network authentication of a communication device communicating with a server
EP2701362A1 (en) Communications device authentication
EP2879421B1 (en) Terminal identity verification and service authentication method, system, and terminal
CN102934470A (zh) 用于在通信***中将订户认证与设备认证绑定的方法和装置
CN111630882B (zh) 用户设备、认证服务器、介质、及确定密钥的方法和***
CN114268943A (zh) 授权方法及装置
US20220263832A1 (en) Method and server for providing user consent to edge application
CN110351725B (zh) 通信方法和装置
CN117082504A (zh) 一种密钥生成方法及装置、网络设备
CN114640992A (zh) 更新用户身份标识的方法和装置
RU2282311C2 (ru) Использование пары открытых ключей в оконечном устройстве для аутентификации и авторизации пользователя телекоммуникационной сети по отношению к сетевому провайдеру и деловым партнерам
WO2023221502A1 (zh) 数据传输方法和***及信令安全管理网关
WO2024093923A1 (zh) 通信方法和通信装置
WO2024049335A1 (en) Two factor authentication
CN117678255A (zh) 边缘启用器客户端标识认证过程
CN116868609A (zh) 用于边缘数据网络的用户装备认证和授权规程
WO2023223118A1 (en) Subscription identification in networks

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination