WO2012024905A1 - 一种移动通讯网中数据加解密方法、终端和ggsn - Google Patents

一种移动通讯网中数据加解密方法、终端和ggsn Download PDF

Info

Publication number
WO2012024905A1
WO2012024905A1 PCT/CN2011/070337 CN2011070337W WO2012024905A1 WO 2012024905 A1 WO2012024905 A1 WO 2012024905A1 CN 2011070337 W CN2011070337 W CN 2011070337W WO 2012024905 A1 WO2012024905 A1 WO 2012024905A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
packet data
module
terminal
ggsn
Prior art date
Application number
PCT/CN2011/070337
Other languages
English (en)
French (fr)
Inventor
张蓬勃
曹耀斌
薛宝林
薛涛
于松
邓方民
孙君生
杨玉林
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2012024905A1 publication Critical patent/WO2012024905A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0471—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload applying encryption by an intermediary, e.g. receiving clear information at the intermediary and encrypting the received information at the intermediary before forwarding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption

Definitions

  • the present invention relates to the field of mobile communications, and in particular, to a data encryption and decryption method, a terminal, and a gateway general packet radio service support node in a mobile communication network.
  • Data services are the focus of the development of the third generation mobile communication technology, and are most concerned by users and operators. Many traditional services (such as voice calls) have also been implemented through packet interaction (voice over IP, VOIP). )), so the confidentiality and security of data services are also receiving increasing attention.
  • the mobile network itself has its own communication encryption method, in the 3rd Generation Partnership Project (3GPP) (including the Universal Mobile Telecommunications System (UMTS) and the Global System for Mobile (Global System for Mobile) Communications, GSM)), the user's Subscriber Identity Module (SIM) card and the home location register/authentication center (HLR/AuC) of the home network, general representation, representation
  • 3GPP 3rd Generation Partnership Project
  • UMTS Universal Mobile Telecommunications System
  • GSM Global System for Mobile Communications
  • SIM Subscriber Identity Module
  • HLR/AuC home location register/authentication center
  • the HLR integrated with the AUC shares a security key Ki (128bit). Based on the security key Ki, the core network and the user can perform two-way authentication
  • FIG. 1 is a schematic diagram of a packet data network.
  • Mobile terminals A and B respectively support a Serving GPRS Support Node (SGSN) through a respective Radio Network System (RNS) and a General Packet Radio Service (GPRS) support node.
  • RNS Radio Network System
  • GPRS General Packet Radio Service
  • GGSN Gateway GPRS Support Node
  • monitoring is usually performed in the SGSN and GGSN.
  • related patents or schemes are end-to-end encryption. Such encryption parameters cannot be dynamically changed and are easily cracked. The way data is output between users who support encryption and those who do not support encryption is difficult to coordinate.
  • the technical problem to be solved by the present invention is to provide a data encryption and decryption method in a mobile communication network, a terminal and a gateway general packet radio service support node, to ensure that user information is not transmitted through plaintext, to prevent user information from being illegally monitored, and to improve data transmission. Security and confidentiality.
  • the present invention provides a data encryption and decryption method in a mobile communication network, the method comprising: before the packet data transmission, the sender sends the original packet data message to the encryption module, and the encryption module uses the encryption key
  • the key (CK) encrypts the original packet data packet, encapsulates the encrypted packet data packet, and sends the encrypted packet data packet to the receiving end; and after receiving the encrypted packet data packet, the receiving end sends the encrypted packet data packet to the decryption module.
  • the decryption module decrypts the packet data message using the same CK as the CK used by the sender to encrypt the packet data message, and transmits the decrypted packet data message to the next destination.
  • the method further includes: determining whether the encrypted identifier is received when the packet data channel is established, and if received, sending the original packet data packet to the encryption module. Encrypt.
  • the transmitting end is a terminal, and the receiving end is a gateway general packet radio service supporting node.
  • GGSN the transmitting end is a GGSN
  • the receiving end is a terminal.
  • the sending end is a terminal, and when the receiving end is a GGSN, the sending end sends the original packet data packet to the encryption module, and the encryption module encrypts the original packet data packet, and the encrypted packet data packet is protocolized.
  • the step of transmitting to the receiving end after the encapsulation comprises: the terminal encrypting the packet data by using the CK by the ciphering module in the terminal, and the terminal encrypting the encrypted packet data>3 ⁇ 4 text before sending the packet data message. Encapsulated and sent to the network;
  • the receiving end sends the encrypted packet data packet to the decryption module, and the decryption module decrypts the packet data packet, and the step of sending the decrypted packet data packet to the next destination includes:
  • the decryption module in the GGSN sends the decrypted packet data packet to the destination address of the packet by using the GGSN.
  • the sending end is a GGSN, and when the receiving end is a terminal, the sending end sends the original packet data packet to the encryption module, and the encryption module encrypts the original packet data packet, and performs the protocol on the encrypted packet data packet.
  • the GGSN After being encapsulated and sent to the receiving end, the GGSN encrypts the packet data packet by using the CK after the GGSN receives the packet data packet sent to the terminal, and the GGSN encrypts the packet data packet.
  • the message is encapsulated and sent, and sent to the terminal through the network; the receiving end sends the encrypted packet data message to the decryption module, and the decryption module decrypts the packet data message, and sends the decrypted packet data message to the next message.
  • the step of the destination includes: after the terminal receives the encrypted packet data message, the decryption module in the terminal uses the same CK as the CK used by the GGSN encrypted packet data message to process the packet data packet. Decryption is performed to obtain the decrypted packet data message.
  • the step of decrypting the packet data packet by the decryption module in the GGSN using the same CK as the terminal includes: after receiving the packet data packet sent by the terminal, the GGSN, the CK of the terminal and the packet The data message is sent to the decryption module, and the decryption module uses the CK to decrypt the packet data message; when the data transmission link is established, the GGSN is from the home location memory/authentication center (HLR/AUC) Obtaining the CK of the terminal.
  • HLR/AUC home location memory/authentication center
  • the step of encrypting the packet data packet by using the CK by the cryptographic module in the GGSN includes: after receiving the packet data packet sent to the terminal, the GGSN sends the CK of the terminal and the packet data packet to An encryption module, configured by the cryptographic module to encrypt the packet data by using the CK; the GGSN obtains from a home location memory/authentication center (HLR/AUC) when the data transmission link is established
  • HLR/AUC home location memory/authentication center
  • the present invention further provides a terminal in a mobile communication network, where the terminal includes an encryption module, a sending module, a receiving module, and a decryption module, where: the encryption module is configured to: use an encryption key (CK Encrypting the packet data message;
  • the sending module is configured to: perform protocol encapsulation on the encrypted packet data packet, and then send the packet to the network side; the receiving module is configured to: receive the encrypted packet data packet sent by the network side; the decryption module is configured to: The packet data message is decrypted using the same CK as the CK used by the network side to encrypt the packet data message, and the decrypted packet data message is obtained.
  • the terminal further includes a determining module, where the determining module is configured to: determine whether an encrypted identifier is present before sending the packet data packet, if yes, trigger an encryption module, if the sending module is not triggered; and receive the packet datagram After the text, if it is determined that there is an encrypted identifier, the decryption module is triggered.
  • the present invention further provides a gateway general packet radio service support node (GGSN), where the GGSN includes a receiving module, a decryption module, an encryption module, and a sending module, where: the receiving module is configured to: receive An encrypted packet data message sent by the terminal, and a packet data message for receiving the transmission to the terminal; the decryption module is configured to: use the same encryption key (CK) as the terminal uses to encrypt the packet data message The CK decrypts the received encrypted packet data packet; the sending module is configured to: send the decrypted packet data packet to a destination address of the packet, and perform the encrypted packet data packet After the protocol is encapsulated, the packet is sent to the terminal through the network.
  • CK encryption key
  • the encryption module is configured to: use the CK to perform the strength of the received packet data packet sent to the terminal.
  • the GGSN further includes: a key acquisition module configured to: when the data transmission link is established, the CK of the terminal obtained from a home location storage/authentication center (HLR/AUC); and: After receiving the packet data file sent by the terminal, the obtained CK of the terminal and the packet data packet are sent to the decryption module, and the decryption module uses the CK to decrypt the packet data packet; After receiving the packet data packet sent to the terminal, the obtained CK and the packet data packet of the terminal are sent to the encryption module, and the cryptographic module uses the CK to perform the packet data packet. encryption.
  • HLR/AUC home location storage/authentication center
  • the GGSN further includes a determining module, where the determining module is configured to: determine whether an encrypted identifier is present before sending the packet data packet, if yes, trigger an encryption module, if the sending module is not triggered; and receive the packet datagram After the text, if it is determined that there is an encrypted identifier, the decryption module is triggered.
  • the invention provides a hardware encryption and decryption module in the mobile terminal and the GGSN respectively, and the hardware encryption and decryption module encrypts and decrypts the uplink and downlink packet data by using an encryption key (Cipher Key, CK), so that the user information is not transmitted through the plaintext.
  • an encryption key Cipher Key, CK
  • the encrypted data cannot be monitored on the network side, and it is encrypted in the wireless environment, which is equivalent to double encryption, which is more confidential and secure. Even if the eavesdropper obtains the security key Ki of the eavesdropper, it cannot perform eavesdropping in the wireless transmission environment, thereby improving the security and confidentiality of data transmission.
  • the present invention is applicable to organizations and individuals who attach great importance to security and confidentiality to government sensitive departments, intelligence agencies, and the like.
  • FIG. 1 is a schematic diagram of a packet data network
  • FIG. 2 is a schematic diagram of an encrypted packet network and data transmission
  • FIG. 3 is a schematic diagram of a specific structure of a terminal and a GGSN.
  • the inventive concept of the present invention is: Before the packet data transmission, the sending end (the user terminal or the GGSN) sends the original packet data message to the encryption module, and the encryption module encrypts the original packet data message by using the encryption key (CK) as the encryption operation factor. After the encrypted packet data packet is encapsulated by the protocol, the packet is encapsulated and sent to the receiving end.
  • the transmitting end is the user terminal
  • the receiving end is the GGSN.
  • the sending end is the GGSN
  • the receiving end is the user.
  • the terminal After receiving the encrypted packet data message, the terminal sends the encrypted packet data message to the decryption module, and the decryption module decrypts the packet data message by using the same CK as the sender encryption module, and then sends the decrypted packet data message to the decryption module.
  • the decryption module decrypts the packet data message by using the same CK as the sender encryption module, and then sends the decrypted packet data message to the decryption module.
  • the terminal encrypts the packet data packet by using an encryption key (CK) through the encryption module in the terminal before transmitting the packet data file, and the terminal encapsulates the encrypted packet data packet by protocol encapsulation.
  • the decryption module in the GGSN decrypts the packet data packet by using the same CK as the terminal, and the GGSN decrypts the packet data packet.
  • the text is sent to the destination address of the message.
  • the decrypting module in the GGSN decrypts the packet data packet by using the same CK as the terminal, and the GGSN receives the packet data sent by the terminal.
  • the CK of the terminal and the packet data message are sent to the decryption module, and the decryption module uses the CK to decrypt the packet data message.
  • the CK of the terminal in the GGSN is obtained from the Home Location Memory/Authentication Center (HLR/AUC) when the data transmission link is established.
  • HLR/AUC Home Location Memory/Authentication Center
  • the GGSN For the downlink packet data, after receiving the packet data message sent to the terminal, the GGSN encrypts the packet data packet by using the CK, and the GGSN encapsulates the encrypted packet data packet after protocol encapsulation. Sending, sending to the terminal through the network; after receiving the encrypted packet data message, the decryption module in the terminal decrypts the packet data message by using the same CK as the GGSN, and obtains the decrypted packet. Data message. After the GGSN receives the packet data message sent to the terminal, the encryption module in the GGSN encrypts the packet data packet by using the CK, and the GGSN receives the GGSN.
  • the CK of the terminal and the packet data packet are sent to the encryption module, and the cryptographic module encrypts the packet data packet by using the CK.
  • the implementation of this paper has nothing to do with the encryption of the mobile network itself. It directly encrypts and decrypts the original data that needs to be transmitted. After the data is encrypted, it is transmitted in the network to ensure the confidentiality and security of the data.
  • the hardware encryption and decryption module uses CK as an encryption factor to encrypt and decrypt packet data.
  • the Ki is shared by the network (such as the network unit HLR/AUC) and stored in the terminal (such as the Universal Subscriber Identity Module (USIM) card) and the HLR/AUC. It is not transmitted on the network and is difficult to steal.
  • RAND is a random sequence that changes every connection establishment and has a strong randomness. Therefore, in this scheme, the encryption factor is different each time and is only valid in this session, so it is also called real-time encryption. This makes the CK more difficult to crack in the wireless transmission environment, thus ensuring the privacy of data transmission.
  • both parties using the data service do not need to know the CK of the other party.
  • the network side is responsible for transmitting RAND to the terminal at each authentication, and the terminal can generate CK according to the algorithm itself; for the GGSN, the GGSN can obtain the CK calculated by the HLR/AUC from the HLR/AUC. No additional losses will be added.
  • the above hardware encryption module and decryption module may be provided by a third party, embedded in the terminal and the network device, and are responsible for encrypting and decrypting the packet data. This makes it impossible for network equipment vendors, terminal equipment vendors, and operators to eavesdrop on encrypted packet data.
  • the packet data is based on IP transmission. In this application, the original data is encrypted, and the ciphertext is used as the original data of the IP packet, and is encapsulated by the IP related protocol, which does not affect the processing and routing of the packet data by the gateway.
  • the system for implementing the foregoing method mainly includes a terminal and a GGSN, where: the terminal includes an encryption module, a sending module, a receiving module, and a decryption module, where: the encryption module is configured to: use a CK pair The packet data packet is encrypted; the sending module is configured to: after the encrypted packet data packet is encapsulated by the protocol and sent to The receiving side is configured to: receive the encrypted packet data message sent by the network side; the decrypting module is configured to: use the same CK pair as the CK used to encrypt the packet data message on the network side The packet data packet is decrypted to obtain the decrypted packet data packet.
  • the terminal includes an encryption module, a sending module, a receiving module, and a decryption module, where: the encryption module is configured to: use a CK pair The packet data packet is encrypted; the sending module is configured to: after the encrypted packet data packet is encapsulated by the protocol and sent to The receiving side is configured to: receive the encrypted packet data
  • the GGSN includes a receiving module, a decrypting module, an encryption module, and a sending module, where: the receiving module is configured to: receive an encrypted packet data message sent by the terminal, and receive a packet data message sent to the terminal; The module is configured to: decrypt the received encrypted packet data message by using the same CK as the CK used by the terminal to encrypt the packet data message; the sending module is configured to: the decrypted packet data message Sending to the destination address of the packet, and performing packet encapsulation on the encrypted packet data packet to be sent to the terminal through the network; the encryption module is configured to: use the CK to send the received packet data packet to the terminal The text is hard-working.
  • the encryption module and the decryption module in the terminal may be configured as an encryption and decryption module.
  • the encryption module and the decryption module in the GGSN may be combined.
  • the sending module and the receiving module can also be collectively configured as a transceiver module. How to set the terminal is independent of how the GGSN is set. How to set it in the GGSN is also independent of how it is set in the terminal.
  • the operation rules of the GGSN and the encryption and decryption module in the terminal are the same, and the specific encryption and decryption algorithm is not limited by the present invention.
  • the GGSN is further configured to: when the data transmission link is established, the CK of the terminal obtained from the HLR/AUC; and, after receiving the packet data message sent by the terminal, the acquired The CK of the terminal and the packet data message are sent to the decryption module, and the decryption module decrypts the packet data message by using the CK; and after receiving the packet data message sent to the terminal, The obtained CK of the terminal and the packet data packet are sent to the encryption module, and the cryptographic module encrypts the packet data packet by using the CK.
  • the terminal further includes a determining module, where the determining module is configured to: determine whether an encrypted identifier is present before sending the packet data packet, if yes, trigger an encryption module, if not, trigger the sending module; and receive After the data packet is packetized, if it is determined that there is an encrypted identifier, it is triggered.
  • Decryption module Preferably, the GGSN further includes a determining module, the determining module is configured to: determine whether an encrypted identifier is present before sending the packet data packet, if yes, trigger an encryption module, if the sending module is not triggered; and receive the packet After the data message, if it is determined that there is an encrypted identifier, the decryption module is triggered.
  • GGSN is the gateway node of the third generation mobile communication packet domain network, which is the demarcation point between the mobile network and the public PDN.
  • the user data is transmitted in the external PDN, the user's IP address is dynamically allocated, and it is difficult to obtain.
  • User information, and user identification information (such as international mobile user ID)
  • the hardware encryption module in the terminal and the GGSN has a slightly different function, and the operation rules are identical.
  • Part I Encryption Judgment and Encryption Key (CK)
  • Encryption ID Before processing the data, the mobile terminal and the GGSN need to know whether user data needs to be processed. encrypt and decode.
  • the transmission-related parameter information such as the IP configuration information and the domain name system (DNS) configuration information
  • the terminal increases the parameter by adding Encrypt the identifier to inform the GGSN whether it needs to perform encryption and decryption operations.
  • the terminal and the GGSN determine whether the encrypted identifier is present. If yes, the encryption module is triggered to perform encryption. If not, the packet data is encapsulated and sent according to a normal procedure.
  • CK acquisition In the terminal: According to the 3GPP protocol, before establishing the packet data transmission channel, first establish a signaling connection, and the user needs to be authenticated during the establishment of the signaling connection. In the authentication process, the network side sends RAND. To the terminal, the terminal generates the current valid CK through the A3 algorithm according to the obtained RAND, combined with its own Ki, and transmits the CK to the terminal hardware encryption and decryption module.
  • the GGSN does not participate in the establishment of the signaling link. Therefore, the CK value cannot be obtained according to the existing procedure in the GGSN, so an additional signaling procedure needs to be added to implement.
  • the interface (Gc) port between the existing GGSN and the HLR/AUC when the data transmission link is established, it is judged that if the data needs to be encrypted and decrypted, the CK is obtained from the HLR/Auc and stored in the GGSN.
  • the corresponding user terminal needs to transmit data, it sends it to the hardware encryption and decryption module.
  • the terminal After receiving the packet data packet from the network, the terminal transmits the packet data packet to the hardware encryption and decryption module for decryption, and the hardware encryption and decryption module uses CK to decrypt the packet data packet, and the terminal transmits the decrypted plaintext data packet to the corresponding Application module.
  • Part III Encryption and decryption processing in GGSN
  • the GGSN After receiving the packet data packet from the terminal, the GGSN first decrypts the packet data packet and sends the packet data packet to the external PDN in plaintext. After receiving the packet data packet from the external PDN or other GGSN, the GGSN encrypts the packet. The text form is sent to the terminal. Encryption:
  • the GGSN After receiving the packet data packet from the external PDN or other GGSN, the GGSN obtains the user information according to the destination address, determines whether the current user data needs to be encrypted, and needs to encrypt the current user's CK, together with the original packet data packet. Passed to the hardware encryption and decryption module, the hardware encryption and decryption module uses the received CK to encrypt the packet data message to generate the ciphertext. The GGSN encapsulates the ciphertext according to the protocol specified by the 3GPP (and the GPRS Tunneling Protocol (GTP) between the SGSN) and then transmits the ciphertext.
  • GTP GPRS Tunneling Protocol
  • the GGSN obtains the user identifier according to the data received from the terminal (according to the 3GPP protocol, the GTP is used for data transmission between the SGSN and the GGSN, and the user identification information can be obtained according to the GTP identifier), according to the obtained user identifier, from the saved CK.
  • the CK of the UE is detected, and the packet data message is sent to the hardware encryption and decryption module together with the CK for decryption. After decryption, the packet data packet in the plaintext form is obtained, and the packet is sent according to the destination address specified in the packet.
  • the encrypted data cannot be monitored on the network side, and it is encrypted in the wireless environment, which is equivalent to double encryption, which is more confidential and secure. Even if the eavesdropper obtains the security key Ki of the eavesdropper, it cannot perform eavesdropping in the wireless transmission environment, thereby improving the security and confidentiality of data transmission.
  • the present invention is applicable to organizations and individuals who attach great importance to security and confidentiality to government sensitive departments, intelligence agencies, and the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

一种移动通讯网中数据加解密方法、 终端和 GGSN
技术领域 本发明涉及移动通信领域，尤其涉及一种移动通信网中数据加解密方法、 终端和网关通用分组无线业务支持节点。
背景技术 数据业务是第三代移动通讯技术发展的重点， 也最受用户和运营商的关 注， 艮多传统的业务（比如语音通话）也已经通过分组交互实现（网络电话 ( Voice over IP, VOIP ) ) , 因此数据业务的保密性和安全性也越来越受到 关注。 移动网络本身有自身的通讯加密方法， 在第三代合作伙伴计划 （3rd Generation Partnership Project, 3 GPP ) (包括通用移动通讯*** ( Universal Mobile Telecommunications System, UMTS ) 和全球移动通讯*** ( Global System for Mobile Communications, GSM ) ) ***中， 用户的用户识别模块 ( Subscriber Identity Module, SIM )卡和归属网络的归属位置存储器 /鉴权中 心 ( Home Location Register/ Authentication Center, HLR/AuC ) , 通用表示方 式， 表示集成了 AUC的 HLR )共享一个安全密钥 Ki ( 128bit ) , 基于该安 全密钥 Ki, 核心网和用户之间可以进行双向鉴权， 同时基站和手机间也利用 Ki对无线链路进行加密和完整性保护。
3GPP中定义的加密方法只是加密无线环境，在移动终端和节点 B ( Node B )之间对传输的数据进行加 /解密， 数据在网络中都是通过明文传输的， 很 容易被监听， 现有的网络监听技术大都在网络侧实现。 图 1为分组数据网络 示意图， 移动终端 A和 B 分别通过各自的无线网络*** ( Radio Network System, RNS)、服务通用分组无线业务（ General Packet Radio Service, GPRS ) 支持节点（ Serving GPRS Support Node, SGSN )、网关 GPRS支持节点 GGSN ( Gateway GPRS Support Node , )接入分组数据网络（ Packet Data Network , PDN ) 。 如图 1 , 通常在 SGSN和 GGSN中进行监听。 目前已有相关专利或者方案都是端到端的加密， 这样的加密参数不能动 态变化， 很容易被破解。 支持加密的用户和不支持加密的用户之间数据输出 方式很难协调。
发明内容 本发明要解决的技术问题是提供一种移动通讯网中数据加解密方法、 终 端和网关通用分组无线业务支持节点， 保证用户信息不通过明文传输， 防止 用户信息被非法监听， 提高数据传输的安全性和保密性。 为解决上述技术问题，本发明提供了一种移动通讯网中数据加解密方法， 该方法包括： 在分组数据传输之前， 发送端将原始分组数据报文送入加密模块， 由加 密模块釆用加密密钥（CK )对原始分组数据报文进行加密， 对加密后的分组 数据报文进行协议封装后发送至接收端； 以及 接收端收到加密的分组数据报文后， 将其送入解密模块， 由解密模块使 用与发送端加密分组数据报文所釆用的 CK相同的 CK对分组数据报文进行 解密， 将解密后的分组数据报文发送到下一目的地。 发送端将原始分组数据报文送入加密模块的步骤之前，所述方法还包括： 判断在分组数据通道建立时是否接收到加密标识， 如果接收到， 则将原始分 组数据报文送入加密模块进行加密。 所述发送端为终端， 所述接收端为网关通用分组无线业务支持节点
( GGSN ) ； 或者， 所述发送端为 GGSN, 所述接收端为终端。 所述发送端为终端， 所述接收端为 GGSN时， 发送端将原始分组数据报文送入加密模块， 由加密模块对原始分组数据 报文进行加密， 对加密后的分组数据报文进行协议封装后发送至接收端的步 骤包括： 终端在发送分组数据报文前， 先通过终端中的加密模块使用 CK对 所述分组数据 "^文进行加密， 终端对加密后的分组数据>¾文进行协议封装后 发送至网络； 接收端将加密的分组数据报文送入解密模块， 由解密模块对分组数据报 文进行解密， 将解密后的分组数据报文发送到下一目的地的步骤包括： 所述
GGSN收到终端发送的分组数据报文后， GGSN中的解密模块使用与所述终 所述 GGSN将解密后的分组数据报文发送至所述报文的目的地址。 所述发送端为 GGSN, 所述接收端为终端时， 发送端将原始分组数据报文送入加密模块， 由加密模块对原始分组数据 报文进行加密， 对加密后的分组数据报文进行协议封装后发送至接收端的步 骤包括： 所述 GGSN在接收到发送至终端的分组数据报文后， GGSN中的加 密模块使用 CK对所述分组数据报文进行加密， GGSN对加密后的分组数据 报文进行协议封装后发送， 通过网络发送至终端； 接收端将加密的分组数据报文送入解密模块， 由解密模块对分组数据报 文进行解密， 将解密后的分组数据报文发送到下一目的地的步骤包括： 所述 终端接收到加密的分组数据报文后， 由终端中的解密模块使用与所述 GGSN 加密分组数据报文所釆用的 CK相同的 CK对所述分组数据报文进行解密， 获取解密后的分组数据报文。
GGSN中的解密模块使用与所述终端相同的 CK对所述分组数据报文进 行解密的步骤包括： 所述 GGSN收到终端发送的分组数据报文后， 将所述终 端的 CK和所述分组数据报文发送给解密模块，由所述解密模块使用所述 CK 对所述分组数据报文进行解密； 所述 GGSN 在数据传输链路建立时， 从归属位置存储器 /鉴权中心 ( HLR/AUC ) 中获取所述终端的 CK。
GGSN中的加密模块使用 CK对所述分组数据报文进行加密的步骤包括： 所述 GGSN收到发送至终端的分组数据报文后， 将所述终端的 CK和所述分 组数据报文发送给加密模块， 由所述加密模块使用所述 CK对所述分组数据 才艮文进行加密； 所述 GGSN 在数据传输链路建立时， 从归属位置存储器 /鉴权中心 ( HLR/AUC ) 中获取所述终端的 CK。 为解决上述技术问题， 本发明还提供了一种移动通讯网中的终端， 所述 终端包括加密模块、 发送模块、 接收模块和解密模块， 其中： 所述加密模块设置为： 使用加密密钥（CK )对所述分组数据报文进行加 密；
所述发送模块设置为： 对加密后的分组数据报文进行协议封装后发送至 网络侧； 所述接收模块设置为： 接收网络侧发送的加密的分组数据报文； 所述解密模块设置为： 使用与网络侧加密分组数据报文所釆用的 CK相 同的 CK对所述分组数据报文进行解密， 获取解密后的分组数据报文。 所述终端还包括判断模块， 所述判断模块设置为： 在发送分组数据报文 前， 判断是否有加密标识， 如果有， 则触发加密模块， 如果没有触发发送模 块； 以及在接收到分组数据报文后， 如果判断有加密标识， 则触发解密模块。 为解决上述技术问题， 本发明还提供了一种网关通用分组无线业务支持 节点 （GGSN ) , 所述 GGSN包括接收模块、 解密模块、 加密模块和发送模 块， 其中： 所述接收模块设置为： 接收终端发送的加密的分组数据报文， 以及用于 接收发送至终端的分组数据报文； 所述解密模块设置为： 使用与终端加密分组数据报文所釆用的加密密钥 ( CK )相同的 CK对所述接收的加密的分组数据报文进行解密； 所述发送模块设置为： 将解密后的分组数据报文发送至所述报文的目的 地址， 以及将加密后的分组数据报文进行协议封装后通过网络发送至终端； 所述加密模块设置为： 使用 CK对所述接收的发送至终端的分组数据报 文进行力口密。 所述 GGSN还包括： 密钥获取模块， 其设置为： 在数据传输链路建立时， 从归属位置存储器 / 鉴权中心 ( HLR/AUC ) 中获取的所述终端的 CK; 以及： 在收到终端发送的分组数据 文后， 将获取的所述终端的 CK和所述分 组数据报文发送给解密模块， 由所述解密模块使用所述 CK对所述分组数据 报文进行解密； 在收到发送至终端的分组数据报文后， 将获取的所述终端的 CK和所述 分组数据报文发送给加密模块， 由所述加密模块使用所述 CK对所述分组数 据报文进行加密。 所述 GGSN还包括判断模块， 所述判断模块设置为： 在发送分组数据报 文前， 判断是否有加密标识， 如果有， 则触发加密模块， 如果没有触发发送 模块； 以及在接收到分组数据报文后， 如果判断有加密标识， 则触发解密模 块。 本发明通过在移动终端和 GGSN中分别配置硬件加解密模块，硬件加解 密模块通过加密密钥（ Cipher Key, CK )对上下行分组数据艮文进行加解密， 可以保证用户信息不通过明文传输。 加密后的数据在网络侧无法监听， 而且 在无线环境传输还会进行加密， 相当于双加密的， 更加保密和安全。 即使窃 听方获得了被窃听方得安全密钥 Ki, 也无法在无线传输环境中进行窃听， 提 高数据传输的安全性和保密性。 本发明适用于政府敏感部门， 情报机关， 等等非常重视安全和保密的组 织和个人。
附图概述 图 1为分组数据网络示意图； 图 2为加密后的分组网络及数据传输示意图； 图 3为终端和 GGSN的具体结构示意图。
本发明的较佳实施方式 目前技术中端到端的加密由于没有传输网络参与， 这样的加密参数不能 动态变化， 很容易被破解。 为了解决这一问题， 本发明的发明构思是： 在分组数据传输之前， 发送端 （用户终端或者 GGSN )将原始分组数据 报文送入加密模块， 由加密模块釆用加密密钥（CK )作为加密运算因子对原 始分组数据报文进行加密， 得到加密后的分组数据报文， 对加密后的分组数 据报文进行协议封装后发送至接收端； 接收端 （发送端为用户终端时， 接收端为 GGSN; 发送端为 GGSN时， 接收端为用户终端）收到加密的分组数据报文后， 将其送入解密模块， 由解 密模块使用与发送端加密模块相同的 CK对分组数据报文进行解密， 之后将 解密后的分组数据报文发送到下一目的地。 其中：
*对于上行分组数据， 终端在发送分组数据 文前， 先通过终端中的加 密模块使用加密密钥（CK )对所述分组数据报文进行加密， 终端对加密后的 分组数据报文进行协议封装后发送至网络； GGSN收到终端发送的分组数据 报文后， GGSN中的解密模块使用与所述终端相同的 CK对所述分组数据报 文进行解密， 所述 GGSN将解密后的分组数据报文发送至所述报文的目的地 址。 所述 GGSN收到终端发送的分组数据报文后， GGSN中的解密模块使用 与所述终端相同的 CK对所述分组数据报文进行解密的步骤包括：所述 GGSN 收到终端发送的分组数据报文后， 将所述终端的 CK和所述分组数据报文发 送给解密模块，由所述解密模块使用所述 CK对所述分组数据报文进行解密。 所述 GGSN中的终端的 CK是在数据传输链路建立时， 从归属位置存储 器 /鉴权中心 （HLR/AUC ) 中获取的。
•对于下行分组数据， GGSN在接收到发送至终端的分组数据报文后， GGSN中的加密模块使用 CK对所述分组数据报文进行加密， GGSN对加密 后的分组数据报文进行协议封装后发送， 通过网络发送至终端； 所述终端接 收到加密的分组数据报文后， 由终端中的解密模块使用与所述 GGSN相同的 CK对所述分组数据报文进行解密， 获取解密后的分组数据报文。 所述 GGSN在接收到发送至终端的分组数据报文后， GGSN中的加密模 块使用 CK对所述分组数据报文进行加密的步骤包括： 所述 GGSN收到发送 至终端的分组数据报文后， 将所述终端的 CK和所述分组数据报文发送给加 密模块， 由所述加密模块使用所述 CK对所述分组数据报文进行加密。 本文的实现与移动网络自身加密无关， 直接对需要传输的原始数据进行 加密和解密， 数据加密后在网络中传输， 以保证数据的保密性和安全性。 硬件加密、 解密模块使用 CK作为加密因子对分组数据进行加解密。 该
CK是通过加密算法（A3 ) 、 RAND (随机数）和 Ki (根密钥 )计算出来的， 如 CK= A3 ( RAND , Ki ) 。 Ki由网络 (如网络单元 HLR/AUC)与终端共享， 在终端（如全球用户识别模块 ( Universal Subscriber Identity Module, USIM ) 卡中）和 HLR/AUC中存储， 不在网络中传输， 很难窃取。 而 RAND是随机 序列， 在每次连接建立中都会变化， 具有很强的随机性。 因此在本方案中加 密因子每次都不同， 只在本次会话中有效， 所以又称为实时加密， 此举更加 大了无线传输环境中对 CK进行破解的难度， 从而保证数据传输私密性。 另一方面， 本发明中使用数据业务的双方 （包括终端和 GGSN服务器） 不需要知道对方的 CK。 对终该而言， 网络侧负责在每次认证时将 RAND传 给终端， 终端可根据算法自己生成 CK; 对于 GGSN 而言， GGSN 可从 HLR/AUC中获取 HLR/AUC计算出的 CK。 不会增加额外的损耗。 上述硬件加密模块和解密模块可以由第三方提供， 嵌入终端及网络设备 中， 负责对分组数据进行加解密运算。 这样即使网络设备商、 终端设备商和 运营商都无法对加密分组数据进行窃听。 分组数据都是基于 IP传输， 本申请中， 对原始的数据进行加密， 密文作 为 IP包的原始数据， 通过 IP相关协议封装， 不影响网关对分组数据的处理 及路由选择。
实现上述方法的***如图 2和图 3所示，主要包括终端和 GGSN,其中： 所述终端包括加密模块、 发送模块、 接收模块和解密模块， 其中： 所述加密模块设置为： 使用 CK对所述分组数据报文进行加密； 所述发送模块设置为： 对加密后的分组数据报文进行协议封装后发送至 网络侧; 所述接收模块设置为： 于接收网络侧发送的加密的分组数据报文； 所述解密模块设置为： 使用与网络侧加密分组数据报文是所釆用的 CK 相同的 CK对所述分组数据报文进行解密， 获取解密后的分组数据报文。 所述 GGSN包括接收模块、 解密模块、 加密模块和发送模块， 其中： 所述接收模块设置为： 接收终端发送的加密的分组数据报文， 以及接收 发送至终端的分组数据报文； 所述解密模块设置为： 使用与终端加密分组数据报文时所釆用的 CK相 同的 CK对所述接收的加密的分组数据报文进行解密； 所述发送模块设置为： 将解密后的分组数据报文发送至所述报文的目的 地址， 以及将加密后的分组数据报文进行协议封装后通过网络发送至终端； 所述加密模块设置为： 使用 CK对所述接收的发送至终端的分组数据报 文进行力口密。 上述终端中的加密模块和解密模块可以合一设置为加解密模块；同样地， 所述 GGSN中的加密模块和解密模块也可合一设置。发送模块和接收模块也 可合一设置为收发模块。 终端中如何设置与 GGSN中如何设置无关， GGSN 中如何设置也与终端中如何设置无关。但 GGSN和终端中加解密模块的运算 规则相同， 具体釆用哪种加解密算法本发明不作限定。 优选地， 所述 GGSN还设置为： 在数据传输链路建立时， 从 HLR/AUC 中获取的所述终端的 CK; 以及， 在收到终端发送的分组数据报文后， 将获 取的所述终端的 CK和所述分组数据报文发送给解密模块， 由所述解密模块 使用所述 CK对所述分组数据报文进行解密； 以及， 在收到发送至终端的分 组数据报文后， 将获取的所述终端的 CK和所述分组数据报文发送给加密模 块， 由所述加密模块使用所述 CK对所述分组数据报文进行加密。 优选地， 所述终端还包括判断模块， 该判断模块设置为： 在发送分组数 据报文前， 判断是否有加密标识， 如果有， 则触发加密模块， 如果没有， 触 发发送模块； 以及在接收到分组数据报文后， 如果判断有加密标识， 则触发 解密模块。 优选地， 所述 GGSN还包括判断模块， 该判断模块设置为： 在发送分组 数据报文前， 判断是否有加密标识， 如果有， 则触发加密模块， 如果没有触 发发送模块； 以及在接收到分组数据报文后， 如果判断有加密标识， 则触发 解密模块。
下面结合附图对本发明的实施例作进一步的详细描述， 需要说明的是， 在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。 本发明所提出的实现方法需要网络参与， 因此需要在终端和 GGSN中嵌 入硬件加密模块。 选择把 GGSN作为加密 /解密的另一端， 有几个好处：
1 )分组业务包括很多种类， 客户端 /服务器 （Client/Server, C/S ) 类的 业务占了绝大多数， 同时还有部分会话类业务， 在 GGSN中加密 /解密， 可以 实现对各种类型的分组业务的加密。
2 ) GGSN是第三代移动通讯分组域网络的网关节点，是移动网络和公用 PDN的分界点，用户数据在外部 PDN传输时用户的 IP地址都是动态分配的， 才艮据 Π 艮难获取到用户信息， 而用户的标识信息（比如国际移动用户识别码
( International Mobile Subscriber Identity , IMSI )等） 只在移动网络中传输， 因此在 GGSN 中加密能够保证用户数据不被非法监听， 所以在 GGSN中加 密能够保证用户信息的安全性和私密性。 终端和 GGSN中的中的硬件加密模块作用稍有差异， 而运算规则完全相 同。 在本实施例中， 可在分组数据通道建立过程中， 通过参数控制终端和 GGSN是否需要对分组数据报文进行加密。 下面分三个部分对具体实现流程 进行介绍： 第一部分： 加密判断及加密密钥 （CK ) 的获得 加密标识： 在处理数据之前，移动终端和 GGSN需要知道是否需要对用户数据进行 加密解密。 参照 3GPP协议， 在分组数据通道建立时， 在终端和 GGSN之间 会共享传输相关的参数信息， 如 IP 配置信息以及域名***（Domain Name System, DNS )配置信息等，终端通过在该参数中增加加密标识，通知 GGSN 是否需要进行加解密操作。 终端和 GGSN在数据发送之前， 判断是否有该加密标识， 如果有， 则触 发加密模块进行加密， 如果没有， 则按正常流程， 对分组数据封装后发送。
CK的获得： 终端中： 根据 3GPP协议规定， 在建立分组数据传输通道建立之前， 首先要建立 信令连接， 在信令连接建立过程中需要对用户进行认证， 在认证过程中网络 侧将 RAND发给终端， 终端按照获得的 RAND, 结合自身 Ki, 通过 A3算 法， 产生当前有效 CK , 将 CK传递给终端硬件加解密模块。
GGSN中： 按照 3GPP的协议流程， GGSN不参与信令链路的建立， 因此在 GGSN 中无法根据现有流程获得 CK值， 因此需要增加额外的信令流程来实现。 利 用现有的 GGSN和 HLR/AUC之间的接口（ Gc )口，在数据传输链路建立时， 判断如果需要对数据进行加解密操作，从 HLR/Auc中获取 CK,存储在 GGSN 中， 在对应的用户终端需要传输数据时， 发给硬件加解密模块。
第二部分： 终端中的加密解密处理 加密： 终端在发送数据前， 现把分组数据报文发给硬件加解密模块， 硬件加解 密模块使用在链路建立时获得的 CK对分组数据报文进行加密， 终端加密后 的分组数据报文进行相关的协议封装后发送给网络。 解密：
终端从网络收到分组数据报文后， 把分组数据报文传给硬件加解密模块 进行解密， 硬件加解密模块使用 CK对分组数据报文进行解密， 终端把解密 后明文数据报文传给对应的应用模块。 第三部分： GGSN中的加密解密处理
GGSN从终端收到分组数据报文后， 先进行解密， 把分组数据报文以明 文的形式发给外部 PDN; GGSN从外部 PDN或者其他 GGSN收到分组数据 报文后， 进行加密后， 以密文形式发给终端。 加密：
GGSN从外部 PDN或者其他 GGSN收到分组数据报文后， 根据目的地 址获得用户信息， 判断是否需要对当前用户的数据进行加密， 需要加密时， 获取当前用户的 CK, 和原始分组数据报文一起传给硬件加解密模块， 硬件 加解密模块使用收到的 CK对分组数据报文进行加密生成密文。 GGSN把密 文按照 3GPP 规定的协议 （和 SGSN 之间通过 GPRS 隧道协议 （GPRS Tunneling Protocol, GTP )封装） ）封装后， 发送终端。 解密：
GGSN根据从终端收到数据获得用户标识（按照 3GPP协议规定， SGSN 和 GGSN之间釆用 GTP进行数据传输，根据 GTP 的标识可以获得用户标识 信息）， 根据获得的用户标识， 从保存的 CK中查出该 UE的 CK, 把分组数 据报文和 CK一起送给硬件加解密模块进行解密， 解密后获得明文形式的分 组数据报文， 按照报文中指定的目的地址发送报文。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块可以釆用硬件 的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任何特 定形式的硬件和软件的结合。 当然， 本发明还可有其他多种实施例， 在不背离本发明精神及其实质的 但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。 工业实用性 本发明可以保证用户信息不通过明文传输。 加密后的数据在网络侧无法 监听， 而且在无线环境传输还会进行加密， 相当于双加密的， 更加保密和安 全。 即使窃听方获得了被窃听方得安全密钥 Ki, 也无法在无线传输环境中进 行窃听， 提高数据传输的安全性和保密性。 本发明适用于政府敏感部门， 情报机关， 等等非常重视安全和保密的组 织和个人。

Claims

权 利 要 求 书
1、 一种移动通讯网中数据加解密方法， 该方法包括： 在分组数据传输之前， 发送端将原始分组数据报文送入加密模块， 由加 密模块釆用加密密钥（CK )对原始分组数据报文进行加密， 对加密后的分组 数据报文进行协议封装后发送至接收端； 以及 接收端收到加密的分组数据报文后， 将其送入解密模块， 由解密模块使 用与发送端加密分组数据报文所釆用的 CK相同的 CK对分组数据报文进行 解密， 将解密后的分组数据报文发送到下一目的地。
2、 如权利要求 1所述的方法， 其中： 发送端将原始分组数据报文送入加密模块的步骤之前，所述方法还包括： 判断在分组数据通道建立时是否接收到加密标识， 如果接收到， 则将原始分 组数据报文送入加密模块进行加密。
3、 如权利要求 1或 2所述的方法， 其中： 所述发送端为终端， 所述接收端为网关通用分组无线业务支持节点 ( GGSN ) ； 或者， 所述发送端为 GGSN, 所述接收端为终端。
4、 如权利要求 3所述的方法， 其中： 所述发送端为终端， 所述接收端为 GGSN时， 发送端将原始分组数据报文送入加密模块， 由加密模块对原始分组数据 报文进行加密， 对加密后的分组数据报文进行协议封装后发送至接收端的步 骤包括： 终端在发送分组数据报文前， 先通过终端中的加密模块使用 CK对 所述分组数据 "^文进行加密， 终端对加密后的分组数据>¾文进行协议封装后 发送至网络； 接收端将加密的分组数据报文送入解密模块， 由解密模块对分组数据报 文进行解密， 将解密后的分组数据报文发送到下一目的地的步骤包括： 所述 GGSN收到终端发送的分组数据报文后， GGSN中的解密模块使用与所述终 所述 GGSN将解密后的分组数据报文发送至所述报文的目的地址。
5、 如权利要求 3所述的方法， 其中： 所述发送端为 GGSN, 所述接收端为终端时， 发送端将原始分组数据报文送入加密模块， 由加密模块对原始分组数据 报文进行加密， 对加密后的分组数据报文进行协议封装后发送至接收端的步 骤包括： 所述 GGSN在接收到发送至终端的分组数据报文后， GGSN中的加 密模块使用 CK对所述分组数据报文进行加密， GGSN对加密后的分组数据 报文进行协议封装后发送， 通过网络发送至终端； 接收端将加密的分组数据报文送入解密模块， 由解密模块对分组数据报 文进行解密， 将解密后的分组数据报文发送到下一目的地的步骤包括： 所述 终端接收到加密的分组数据报文后， 由终端中的解密模块使用与所述 GGSN 加密分组数据报文所釆用的 CK相同的 CK对所述分组数据报文进行解密， 获取解密后的分组数据报文。
6、 如权利要求 4所述的方法， 其中：
GGSN中的解密模块使用与所述终端相同的 CK对所述分组数据报文进 行解密的步骤包括： 所述 GGSN收到终端发送的分组数据报文后， 将所述终 端的 CK和所述分组数据报文发送给解密模块，由所述解密模块使用所述 CK 对所述分组数据报文进行解密； 所述 GGSN 在数据传输链路建立时， 从归属位置存储器 /鉴权中心 ( HLR/AUC ) 中获取所述终端的 CK。
7、 如权利要求 5所述的方法， 其中：
GGSN中的加密模块使用 CK对所述分组数据报文进行加密的步骤包括： 所述 GGSN收到发送至终端的分组数据报文后， 将所述终端的 CK和所述分 组数据报文发送给加密模块， 由所述加密模块使用所述 CK对所述分组数据 报文进行加密; 所述 GGSN 在数据传输链路建立时， 从归属位置存储器 /鉴权中心 ( HLR/AUC ) 中获取所述终端的 CK。
8、 一种移动通讯网中的终端， 所述终端包括加密模块、 发送模块、接收 模块和解密模块， 其中： 所述加密模块设置为： 使用加密密钥（CK )对所述分组数据报文进行加 密； 所述发送模块设置为： 对加密后的分组数据报文进行协议封装后发送至 网络侧； 所述接收模块设置为： 接收网络侧发送的加密的分组数据报文； 所述解密模块设置为： 使用与网络侧加密分组数据报文所釆用的 CK相 同的 CK对所述分组数据报文进行解密， 获取解密后的分组数据报文。
9、 如权利要求 8所述的终端， 其中： 所述终端还包括判断模块， 所述判断模块设置为： 在发送分组数据报文 前， 判断是否有加密标识， 如果有， 则触发加密模块， 如果没有触发发送模 块； 以及在接收到分组数据报文后， 如果判断有加密标识， 则触发解密模块。
10、 一种网关通用分组无线业务支持节点 （GGSN ) , 所述 GGSN包括 接收模块、 解密模块、 加密模块和发送模块， 其中： 所述接收模块设置为： 接收终端发送的加密的分组数据报文， 以及用于 接收发送至终端的分组数据报文； 所述解密模块设置为： 使用与终端加密分组数据报文所釆用的加密密钥 ( CK )相同的 CK对所述接收的加密的分组数据报文进行解密； 所述发送模块设置为： 将解密后的分组数据报文发送至所述报文的目的 地址， 以及将加密后的分组数据报文进行协议封装后通过网络发送至终端； 所述加密模块设置为： 使用 CK对所述接收的发送至终端的分组数据报 文进行力口密。
11、 如权利要求 10所述的 GGSN, 其还包括： 密钥获取模块， 其设置为： 在数据传输链路建立时， 从归属位置存储器 / 鉴权中心 （ HLR/AUC ) 中获取的所述终端的 CK; 以及： 在收到终端发送的分组数据 文后， 将获取的所述终端的 CK和所述分 组数据报文发送给解密模块， 由所述解密模块使用所述 CK对所述分组数据 报文进行解密； 在收到发送至终端的分组数据报文后， 将获取的所述终端的 CK和所述 分组数据报文发送给加密模块， 由所述加密模块使用所述 CK对所述分组数 据报文进行加密。
12、 如权利要求 10所述的 GGSN, 其中： 所述 GGSN还包括判断模块， 所述判断模块设置为： 在发送分组数据报 文前， 判断是否有加密标识， 如果有， 则触发加密模块， 如果没有触发发送 模块； 以及在接收到分组数据报文后， 如果判断有加密标识， 则触发解密模 块。
PCT/CN2011/070337 2010-08-25 2011-01-17 一种移动通讯网中数据加解密方法、终端和ggsn WO2012024905A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2010102652976A CN101917712A (zh) 2010-08-25 2010-08-25 一种移动通讯网中数据加解密方法和***
CN201010265297.6 2010-08-25

Publications (1)

Publication Number Publication Date
WO2012024905A1 true WO2012024905A1 (zh) 2012-03-01

Family

ID=43325073

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/070337 WO2012024905A1 (zh) 2010-08-25 2011-01-17 一种移动通讯网中数据加解密方法、终端和ggsn

Country Status (2)

Country Link
CN (1) CN101917712A (zh)
WO (1) WO2012024905A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107079023A (zh) * 2014-10-29 2017-08-18 高通股份有限公司 用于下一代蜂窝网络的用户面安全

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101917712A (zh) * 2010-08-25 2010-12-15 中兴通讯股份有限公司 一种移动通讯网中数据加解密方法和***
CN102256246A (zh) * 2011-07-05 2011-11-23 上海市安全生产科学研究所 移动通信的数据传输加密方法
KR101883437B1 (ko) * 2012-03-07 2018-07-31 구글 테크놀로지 홀딩스 엘엘씨 요구되는 노드 경로들 및 암호 서명들을 이용한 보안 패킷 전송을 위한 정책
CN103888411A (zh) * 2012-12-19 2014-06-25 杭州智为科技有限公司 一种报文处理装置
CN104270242B (zh) * 2014-09-27 2017-12-19 杭州电子科技大学 一种用于网络数据加密传输的加解密装置
CN113872975B (zh) * 2021-09-29 2023-08-18 中国人民解放***箭军工程大学 一种信息加密传输装置及方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1784899A (zh) * 2003-05-13 2006-06-07 三星电子株式会社 在移动通信***中广播服务的安全方法
CN101483865A (zh) * 2009-01-19 2009-07-15 中兴通讯股份有限公司 一种密钥更替方法、***及设备
CN101917712A (zh) * 2010-08-25 2010-12-15 中兴通讯股份有限公司 一种移动通讯网中数据加解密方法和***

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101075865B (zh) * 2006-05-16 2011-02-02 华为技术有限公司 一种用户面加密的启动方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1784899A (zh) * 2003-05-13 2006-06-07 三星电子株式会社 在移动通信***中广播服务的安全方法
CN101483865A (zh) * 2009-01-19 2009-07-15 中兴通讯股份有限公司 一种密钥更替方法、***及设备
CN101917712A (zh) * 2010-08-25 2010-12-15 中兴通讯股份有限公司 一种移动通讯网中数据加解密方法和***

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107079023A (zh) * 2014-10-29 2017-08-18 高通股份有限公司 用于下一代蜂窝网络的用户面安全
CN107079023B (zh) * 2014-10-29 2020-10-09 高通股份有限公司 用于下一代蜂窝网络的用户面安全

Also Published As

Publication number Publication date
CN101917712A (zh) 2010-12-15

Similar Documents

Publication Publication Date Title
US10455414B2 (en) User-plane security for next generation cellular networks
KR101507482B1 (ko) Ｌｔｅ 모바일 유닛에서의 비접속 계층(ｎａｓ) 보안을 가능하게 하는 방법 및 장치
JP3742772B2 (ja) 通信システムにおける完全性のチェック
CN106936570B (zh) 一种密钥配置方法及密钥管理中心、网元
EP2033479B1 (en) Method and apparatus for security protection of an original user identity in an initial signaling message
US10694376B2 (en) Network authentication method, network device, terminal device, and storage medium
US20060059344A1 (en) Service authentication
WO2020248624A1 (zh) 一种通信方法、网络设备、用户设备和接入网设备
KR20100092989A (ko) 네트워크에서의 패킷 처리 방법
CN105577680A (zh) 密钥生成方法、解析加密数据方法、装置及密钥管理中心
JP2011139457A (ja) 無線通信装置とサーバとの間でデータを安全にトランザクション処理する方法及びシステム
WO2011041962A1 (zh) 一种支持合法监听的端到端会话密钥协商方法和***
WO2012024906A1 (zh) 一种移动通信***及其语音通话加密的方法
WO2012024905A1 (zh) 一种移动通讯网中数据加解密方法、终端和ggsn
JP2006211687A (ja) 移動通信加入者認証の安全な伝送方法
WO2012024903A1 (zh) 移动通讯网中加密语音通话的方法和***、终端及网络侧
WO2011111842A1 (ja) Ｖｐｎによる秘匿通信方法、そのシステム、そのプログラム、並びに、そのプログラムの記録媒体
WO2017197596A1 (zh) 通信方法、网络侧设备和用户设备
Leu et al. Improving security level of LTE authentication and key agreement procedure
CN106465117B (zh) 一种终端接入通信网络的方法、装置及通信***
JP4847951B2 (ja) シグナリングメッセージのプロトコル拡張
CA3190801A1 (en) Key management method and communication apparatus
WO2018222133A2 (zh) 数据保护方法、装置以及***
JP2008523757A (ja) メッセージ通信システム、端末、方法及びソフトウェア
JP2008182695A (ja) 第１のネットワークを通じて第２のネットワークのサービスへのアクセスを提供する方法及びシステム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11819280

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11819280

Country of ref document: EP

Kind code of ref document: A1