WO2022048265A1 - 一种应用层密钥确定的方法、终端、网络侧设备及装置 - Google Patents

一种应用层密钥确定的方法、终端、网络侧设备及装置 Download PDF

Info

Publication number
WO2022048265A1
WO2022048265A1 PCT/CN2021/102709 CN2021102709W WO2022048265A1 WO 2022048265 A1 WO2022048265 A1 WO 2022048265A1 CN 2021102709 W CN2021102709 W CN 2021102709W WO 2022048265 A1 WO2022048265 A1 WO 2022048265A1
Authority
WO
WIPO (PCT)
Prior art keywords
ausf
key
multiple primary
primary authentication
indication information
Prior art date
Application number
PCT/CN2021/102709
Other languages
English (en)
French (fr)
Inventor
毕晓宇
Original Assignee
大唐移动通信设备有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 大唐移动通信设备有限公司 filed Critical 大唐移动通信设备有限公司
Publication of WO2022048265A1 publication Critical patent/WO2022048265A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols

Definitions

  • the present invention relates to the technical field of wireless communication, and in particular, to a method, a terminal, a network side device and a device for determining an application layer key.
  • AKMA Application Authentication and Key Management for Applications
  • the UE registers to different public networks through different access networks (3GPP network and non-3GPP network).
  • Land mobile network PLMN Land mobile network PLMN
  • the UE side will save two AUSF keys based on the main authentication process, or the UE has registered to the same PLMN through different access networks, then both the UE side and the network side will save two AUSF keys based on the main authentication process
  • the keys on the UE side and the network side may not match, and the subsequent application layer keys K AF are not synchronized. , which affects the use of application keys and application layer protection, and may eventually lead to integrity protection verification failure.
  • the present invention provides a method, terminal, network side device and device for determining an application layer key, which can avoid that in a multi-registration scenario, the UE and the network side select different AUSF keys to cause the anchor key to be out of synchronization, thereby causing application Layer key out-of-sync problem.
  • a first method for determining an application layer key includes:
  • the AUSF key obtained by executing the multiple primary authentication procedures Select the AUSF key used by AUSF in ;
  • the UE determines the application layer key according to the selected AUSF key.
  • This embodiment provides a method for determining the key at the application layer, which can solve the problem that the key selected by the UE and the key selected by the AUSF are not synchronized in the scenario where the primary authentication process of the UE and the network has multiple registrations, and can make the key used by the UE and the AUSF not synchronized.
  • Application layer key synchronization to protect data transmitted by the application layer.
  • the UE selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures, including:
  • the UE selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to the preconfigured selection rule that is the same as the AUSF; or,
  • the UE selects an AUSF key corresponding to the identification information carried in the indication information from AUSF keys obtained by performing multiple primary authentication procedures.
  • This embodiment can ensure that the AUSF key selected by the UE and the network is the same in a scenario where multiple registrations exist in the main authentication process of the terminal and the network, so that the determined application layer key is the same.
  • One way is to select the AUSF key through pre-configuration, and the other way is to select the AUSF key through the indication information on the network side.
  • the determined application layer key is the same.
  • the UE selects the AUSF key corresponding to the identification information carried in the indication information from the AUSF keys obtained by performing multiple primary authentication procedures Before, also included:
  • the UE directly receives the indication information sent by the AUSF or receives the indication information of the AUSF forwarded by the AMF.
  • This embodiment provides multiple ways of receiving indication information, so that the way of determining the AUSF key is more flexible.
  • the identification information includes:
  • the key identifies ngKSI.
  • the embodiment of the present invention provides a variety of identification information for the UE to select the AUSF key corresponding to the identification information to determine the application layer key. Since the identification information is used to notify the UE of the AUSF key used, the key transmission can be guaranteed to a certain extent. security.
  • a second method for determining an application layer key includes:
  • the AUSF and the UE perform multiple primary authentication procedures through different access networks before the UE and the AF initiate the generation of the application-layer key session, it is determined that after the UE and the AF initiate the generation of the application-layer key session, the multiple The AUSF key to be used is determined in the AUSF key obtained in the secondary primary authentication process;
  • the AUSF determines the application layer key according to the used AUSF key.
  • the AUSF determines the used AUSF key from the AUSF keys obtained by performing multiple primary authentication procedures, including:
  • the AUSF selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to a preconfigured selection rule identical to that of the UE; or,
  • the AUSF selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to the same selection rule as the UE sent by the received UDM or PCF; or,
  • the AUSF determines the used AUSF key from AUSF keys obtained by performing multiple primary authentication procedures according to a preset rule.
  • the AUSF further includes:
  • the AUSF sends the AUSF indication information carrying the identification information to the UE, so that the UE selects the AUSF key corresponding to the identification information from the AUSF keys obtained by performing multiple primary authentication procedures according to the received AUSF indication information.
  • AUSF key
  • the AUSF sends the indication information of the AUSF carrying the identification information to the UE, including:
  • the AUSF directly sends the indication information of the AUSF carrying the identification information to the UE; or,
  • the AUSF sends the indication information of the AUSF carrying the identification information to the UE through the AMF.
  • the identification information includes:
  • the key identifies ngKSI.
  • an embodiment of the present invention further provides a terminal for determining an application layer key, the terminal comprising: a memory, a transceiver, and a processor:
  • a memory for storing a computer program
  • a transceiver for sending and receiving data under the control of the processor
  • a processor for reading the computer program in the memory and performing the following operations:
  • the AUSF key obtained by executing the multiple primary authentication procedures Select the AUSF key used by AUSF;
  • the application layer key is determined according to the selected AUSF key.
  • the processor is specifically configured to execute:
  • the AUSF key corresponding to the identification information carried in the indication information is selected from the AUSF keys obtained by performing multiple primary authentication procedures.
  • the processor is further configured to execute:
  • the identification information includes:
  • the key identifies ngKSI.
  • an embodiment of the present invention further provides a network device for determining an application layer key, the network device includes a processor and a memory, the memory is used to store a program executable by the processor, and the processor uses to read the program in the memory and perform the following steps:
  • the device includes memory, transceiver, processor:
  • a memory for storing a computer program
  • a transceiver for sending and receiving data under the control of the processor
  • a processor for reading the computer program in the memory and performing the following operations:
  • the primary authentication process is performed multiple times from the UE to the AF. Determine the AUSF key used in the AUSF key obtained in the main authentication process;
  • the application layer key is determined according to the used AUSF key.
  • the processor is specifically configured to execute:
  • the AUSF key to be used is determined from the AUSF keys obtained by performing multiple primary authentication procedures.
  • the processor is further configured to execute:
  • the processor is specifically configured to execute:
  • the indication information of the AUSF carrying the identification information is sent to the UE through the AMF.
  • the identification information includes:
  • the key identifies ngKSI.
  • the embodiment of the present invention further provides a first device for determining an application layer key, the device comprising: a selection module and a determination module, wherein:
  • the selection module is configured to perform multiple primary authentication procedures through different access networks before initiating the generation of the application-layer key session with the AF, and then perform multiple primary authentication procedures after initiating the generation of the application-layer key session with the AF. Select the AUSF key used by AUSF from the AUSF key obtained in the process;
  • the determining module is configured to determine the application layer key according to the selected AUSF key.
  • the selection module is specifically used for:
  • the AUSF key corresponding to the identification information carried in the indication information is selected from the AUSF keys obtained by performing multiple primary authentication procedures.
  • the selection module is further used for:
  • the identification information includes:
  • the key identifies ngKSI.
  • the embodiment of the present invention further provides a second device for determining an application layer key, the device includes: a first determining module and a second determining module, wherein:
  • the first determining module is configured to determine that the UE and the AF initiate the generation of an application layer if the UE and the AF perform multiple primary authentication procedures through different access networks before initiating the generation of an application layer key session. After the key session, determine the AUSF key used from the AUSF keys obtained by performing multiple primary authentication procedures;
  • the second determining module is configured to determine the application layer key according to the used AUSF key.
  • the first determining module is specifically used for:
  • the AUSF key to be used is determined from the AUSF keys obtained by performing multiple primary authentication procedures.
  • the first determining module is further used for:
  • the first determining module is specifically used for:
  • the indication information of the AUSF carrying the identification information is sent to the UE through the AMF.
  • the identification information includes:
  • the key identifies ngKSI.
  • an embodiment of the present invention further provides a computer storage medium on which a computer program is stored, and when the program is executed by a processor, is used to implement the steps of the method described in the first aspect or the second aspect.
  • FIG. 1 is a schematic diagram of the architecture of an AKMA provided by an embodiment of the present invention.
  • FIG. 2 is a schematic diagram of an AKMA key derivation hierarchy provided by an embodiment of the present invention.
  • FIG. 3 is a schematic diagram of a system for determining an application layer key according to an embodiment of the present invention.
  • FIG. 4 is an interactive flowchart of a first application layer key determination provided by an embodiment of the present invention.
  • FIG. 5 is an interactive flowchart of a second type of application layer key determination provided by an embodiment of the present invention.
  • FIG. 6 is an interactive flowchart of a third application layer key determination provided by an embodiment of the present invention.
  • FIG. 7 is a flowchart of a first method for determining an application layer key provided by an embodiment of the present invention.
  • FIG. 8 is a flowchart of a method for determining a second application layer key provided by an embodiment of the present invention.
  • FIG. 9 is a schematic diagram of a terminal for determining an application layer key according to an embodiment of the present invention.
  • FIG. 10 is a schematic diagram of a network device for determining an application layer key according to an embodiment of the present invention.
  • FIG. 11 is a schematic diagram of a first apparatus for determining an application layer key provided by an embodiment of the present invention.
  • FIG. 12 is a schematic diagram of a second apparatus for determining an application layer key according to an embodiment of the present invention.
  • applicable systems may be global system of mobile communication (GSM) system, code division multiple access (CDMA) system, wideband code division multiple access (Wideband Code Division Multiple Access, WCDMA) general packet Wireless service (general packet radio service, GPRS) system, long term evolution (long term evolution, LTE) system, LTE frequency division duplex (frequency division duplex, FDD) system, LTE time division duplex (time division duplex, TDD) system, Long term evolution advanced (LTE-A) system, universal mobile telecommunication system (UMTS), worldwide interoperability for microwave access (WiMAX) system, 5G New Radio (New Radio, NR) system, etc.
  • GSM global system of mobile communication
  • CDMA code division multiple access
  • WCDMA Wideband Code Division Multiple Access
  • general packet Wireless service general packet Radio service
  • GPRS general packet Wireless service
  • LTE long term evolution
  • LTE long term evolution
  • FDD frequency division duplex
  • TDD time division duplex
  • LTE-A Long term evolution advanced
  • UMTS universal mobile
  • the terminal device involved in the embodiments of the present application may be a device that provides voice and/or data connectivity to a user, a handheld device with a wireless connection function, or other processing device connected to a wireless modem.
  • the name of the terminal device may be different.
  • the terminal device may be called user equipment (User Equipment, UE).
  • Wireless terminal equipment can communicate with one or more core networks (Core Network, CN) via a radio access network (Radio Access Network, RAN).
  • RAN Radio Access Network
  • "telephone) and computers with mobile terminal equipment eg portable, pocket-sized, hand-held, computer-built or vehicle-mounted mobile devices, which exchange language and/or data with the radio access network.
  • Wireless terminal equipment may also be referred to as system, subscriber unit, subscriber station, mobile station, mobile station, remote station, access point , a remote terminal device (remote terminal), an access terminal device (access terminal), a user terminal device (user terminal), a user agent (user agent), and a user device (user device), which are not limited in the embodiments of the present application.
  • the network device involved in the embodiment of the present application may be a base station, and the base station may include a plurality of cells providing services for the terminal.
  • the base station may also be called an access point, or may be a device in the access network that communicates with wireless terminal equipment through one or more sectors on the air interface, or other names.
  • the network equipment can be used to exchange received air frames with Internet Protocol (IP) packets, and act as a router between the wireless terminal equipment and the rest of the access network, which can include the Internet. Protocol (IP) communication network.
  • IP Internet Protocol
  • the network devices may also coordinate attribute management for the air interface.
  • the network device involved in this embodiment of the present application may be a network device (Base Transceiver Station, BTS) in the Global System for Mobile Communications (GSM) or Code Division Multiple Access (Code Division Multiple Access, CDMA). ), it can also be a network device (NodeB) in Wide-band Code Division Multiple Access (WCDMA), or it can be an evolved network device in a long term evolution (LTE) system (evolutional Node B, eNB or e-NodeB), 5G base station (gNB) in 5G network architecture (next generation system), or Home evolved Node B (HeNB), relay node (relay node) , a home base station (femto), a pico base station (pico), etc., which are not limited in the embodiments of the present application.
  • a network device may include a centralized unit (CU) node and a distributed unit (DU) node, and the centralized unit and the distributed unit may also be geographically separated.
  • MIMO transmission can be single-user MIMO (Single User MIMO, SU-MIMO) or multi-user MIMO. (Multiple User MIMO, MU-MIMO). According to the form and number of root antenna combinations, MIMO transmission can be 2D-MIMO, 3D-MIMO, FD-MIMO, or massive-MIMO, or diversity transmission, precoding transmission, or beamforming transmission.
  • the term "and/or” describes the association relationship between associated objects, indicating that there may be three relationships, for example, A and/or B, which may indicate that A exists alone, A and B exist simultaneously, and B exists alone these three situations.
  • the character "/" generally indicates that the associated objects are an "or" relationship.
  • the term “plurality” refers to two or more than two, and other quantifiers are similar.
  • the Network Exposure Function provides functions related to safely exposing the services and capabilities provided by the 3GPP network to external networks; Function, AAnF) is used to generate an application layer key used between the UE and an application function (Application Function, AF); wherein, the anchor point can be understood as a proxy or an endpoint that interfaces with the outside world.
  • AUSF Authorization Server Function, Authentication Server Function
  • the AUSF will generate an AKMA anchor key (ie, an AKMA key, K AKMA ) and a key identifier A-KID based on the AUSF key K AUSF of the main authentication process during the UE registration process.
  • the UE will generate the AKMA anchor key (K AKMA ) and the key identifier A-KID through the same method before initiating the AKMA session with the AF.
  • K AKMA KDF (K AUSF , "AKMA”, SUPI); wherein, KDF (Keyderavation Function) is an abbreviation of key acquisition function, and SUPI (Subscription Permanent Identifier) is the identity identifier of the UE.
  • KDF Keyderavation Function
  • SUPI Subscribescription Permanent Identifier
  • the existing AKMA architecture there is a multi-registration scenario for the primary authentication process between the UE and the network. That is, before the UE and the AF initiate the generation of the application layer key session, the UE performs multiple primary authentication processes through different access networks. ;
  • the 3GPP network maintains another set of security contexts.
  • Each set of security contexts has passed the successful main authentication, that is, the UE will save two keys (KAUSF2 and KAUSF1) based on the main authentication process. If the UE needs to use AKMA with the application function AF If the key is generated to protect the data of the application layer, when the UE side derives K AUSF , the UE does not know whether to use the K AUSF2 or K AUSF1 key to derive the K AKMA key, and the keys on the UE side and the network side cannot match. ;
  • Another scenario is that the UE has successively registered to the same PLMN through different access networks.
  • the network side AMF finds that the UE has an available 5G context but still runs the main authentication process, the UE side
  • K AUSF stored on both the UE and the network side, that is, one is K AUSF1 generated by 3GPP access, and the other is K AUSF2 generated by non-3GPP access .
  • an embodiment of the present invention provides a system for determining an application layer key, which is used for the UE side and the network side to protect the application layer by using the same application layer key based on the method in this implementation, as shown in the figure 3, the system includes UE300, AUSF301, wherein:
  • the UE side is used to execute the following methods:
  • the UE performs multiple primary authentication procedures through different access networks before initiating the generation of the application-layer key session with the AF, after initiating the generation of the application-layer key session with the AF, the AUSF key obtained by executing the multiple primary authentication procedures Select the AUSF key used by the AUSF in the AUSF; the UE determines the application layer key according to the selected AUSF key.
  • the method provided in this embodiment can solve the problem that the key selected by the UE and the key selected by the AUSF are not synchronized in the scenario where multiple registrations exist in the primary authentication process between the UE and the network, that is, the UE performs multiple primary authentication through different access networks.
  • multiple AUSF keys based on the main authentication process are obtained and saved.
  • select an AUSF key that is the same as that used by the AUSF from the multiple AUSF keys select an AUSF key that is the same as that used by the AUSF from the multiple AUSF keys.
  • the same AKMA key used by the AUSF is derived from the AUSF key
  • the same AF key (ie the application layer key) used by the AUSF is derived from the AKMA key. Synchronization of the application layer key used to protect the data transmitted by the application layer.
  • the AUSF key is selected in the following two manners, and the specific manner is as follows:
  • Mode 1 The UE selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to the preconfigured selection rule that is the same as the AUSF;
  • the UE selects the AUSF key based on a pre-configured selection rule, and the selection rule is the same as the AUSF selection rule for the AUSF key. Therefore, in this embodiment, in the scenario where multiple registrations exist in the main authentication process between the terminal and the network It can be ensured that the AUSF key selected by the UE and the network is the same, so the determined application layer key is the same.
  • the selection rule is: select the latest or recently generated AUSF key. Since the latest or recently generated AUSF key is more secure, the method of determining the application layer key based on the latest or most recently generated AUSF key in this implementation can improve the security of the application data.
  • Manner 2 According to the received AUSF indication information, the UE selects an AUSF key corresponding to the identification information carried in the indication information from AUSF keys obtained by performing multiple primary authentication procedures.
  • the AUSF key selected by the UE is determined based on the AUSF, and after the AUSF is determined, it will send indication information to the UE, and the UE selects the AUSF key corresponding to the identification information according to the identification information in the indication information. Therefore, this embodiment can ensure that the AUSF key selected by the UE and the network is the same in the scenario where multiple registrations exist in the main authentication process of the terminal and the network, thereby ensuring that the determined application layer key is the same.
  • the UE directly receives the indication information sent by the AUSF or receives the indication information of the AUSF forwarded by the AMF.
  • the AUSF may directly send the indication information to the UE, or may send the indication information to the AMF, and the AMF may send the indication information to the UE.
  • the identification information includes:
  • the key identifies ngKSI.
  • the UE can determine the AUSF key corresponding to the access network type according to the access network type in the indication information; that is, if the network type is 3GPP, it means that the AUSF key is in the 3GPP network.
  • the UE can select the AUSF key generated under the 3GPP network type according to 3GPP;
  • the UE may determine the AUSF key corresponding to the NAS connection ID according to the NAS connection ID in the indication information; the UE may select the AUSF key corresponding to the PLMN ID according to the PLMN ID; the UE may select the AUSF key corresponding to the PLMN ID according to the ngKSI AUSF key corresponding to ngKSI.
  • the UE determines the application layer key according to the selected AUSF key, and the specific implementation is as follows: the UE derives the AKMA key according to the selected AUSF key, and derives the AF key according to the AKMA key (that is, the application layer key).
  • the method provided in this embodiment can solve the problem that the UE cannot select an AUSF key or the selected AUSF key is different from the AUSF key selected by the network side in the above two multi-registration scenarios.
  • the AUSF side is used to perform the following methods:
  • the AUSF and the UE perform multiple primary authentication procedures through different access networks before the UE and the AF initiate the generation of the application-layer key session, it is determined that after the UE and the AF initiate the generation of the application-layer key session, the multiple The AUSF key to be used is determined in the AUSF key obtained in the secondary primary authentication process; the AUSF determines the application layer key according to the used AUSF key.
  • the AUSF can solve the problem that the AUSF key selected by the AUSF side is different from the AUSF key selected by the UE side in the above-mentioned multi-registration scenario. If the AUSF UE and AF also save multiple AUSF keys before initiating the generation of the application layer key session, the AUSF can determine the AUSF key used, so that the UE can determine its own AUSF key according to the AUSF key used by the AUSF, It is ensured that the UE side and the AUSF side use the same AUSF key, thereby ensuring that the UE side and the AUSF side use the same application layer key.
  • the AUSF determines the used AUSF key from the AUSF keys obtained by performing multiple primary authentication procedures in any of the following ways:
  • the AUSF selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to the same selection rule as the UE preconfigured;
  • the AUSF selects the AUSF key based on a pre-configured selection rule, and the selection rule is the same as the pre-configured selection rule on the UE side. Therefore, in this embodiment, in the scenario where multiple registrations exist in the main authentication process between the terminal and the network It can be ensured that the AUSF key selected by the UE and the network is the same, so the determined application layer key is the same.
  • the selection rule is: select the latest or recently generated AUSF key. Since the latest or recently generated AUSF key is more secure, the method of determining the application layer key based on the latest or most recently generated AUSF key in this implementation can improve the security of the application data.
  • the AUSF selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to the same selection rule as the UE sent by the received UDM or PCF;
  • the AUSF can determine which AUSF key to select for AKMA key derivation according to the same selection rule sent by the received UDM or PCF as the UE, so as to apply the AKMA key pair based on the derived AKMA key.
  • the layer key is derived to obtain the application layer key.
  • the UDM or PCF can pre-configure the same selection rule as the UE. Before the AUSF generates the AUSF key, the AUSF sends a request message to the UDM or PCF, and the UDM or PCF receives the request message. Then, the preconfigured selection rules are sent to the AUSF.
  • the selection rule received by the AUSF is the same as the selection rule pre-configured by the UE. Therefore, this embodiment can ensure the selection between the UE and the network in the scenario where multiple registrations exist in the main authentication process between the terminal and the network.
  • the AUSF keys are the same, so the determined application layer keys are the same.
  • An optional implementation manner is that the selection rule is: select the latest or recently generated AUSF key. Since the latest or recently generated AUSF key is more secure, the method of determining the application layer key based on the latest or most recently generated AUSF key in this implementation can improve the security of application data.
  • Manner 3 The AUSF determines the used AUSF key from AUSF keys obtained by performing multiple primary authentication procedures according to a preset rule.
  • the AUSF itself can directly determine the used AUSF key according to a preset rule.
  • the preset rule is to determine the latest or recently generated AUSF key as the used AUSF key; it can also be randomly selected An AUSF key.
  • the AUSF can also notify the UE of the AUSF key used by itself.
  • the specific notification method is as follows:
  • the AUSF sends the AUSF indication information carrying the identification information to the UE, so that the UE selects the AUSF key corresponding to the identification information from the AUSF keys obtained by performing multiple primary authentication procedures according to the received AUSF indication information AUSF key.
  • the AUSF key selected by the UE is determined based on the AUSF, and after the AUSF is determined, indication information is sent to the UE, and the UE selects the AUSF key corresponding to the identification information according to the identification information in the indication information. Therefore, this embodiment can ensure that the AUSF key selected by the UE and the network is the same in a scenario where multiple registrations exist in the main authentication process between the terminal and the network, so that the determined application layer key is the same.
  • the AUSF may send the indication information of the AUSF carrying the identification information to the UE directly or through AMF forwarding, which specifically includes the following two cases:
  • Case 1 The AUSF directly sends the indication information of the AUSF carrying the identification information to the UE;
  • Case 2 The AUSF sends the indication information of the AUSF carrying the identification information to the UE through the AMF.
  • the identification information includes:
  • the key identifies ngKSI.
  • the AUSF can notify the UE to use the AUSF key corresponding to the access network type according to the access network type in the indication information; that is, if the network type is 3GPP, it means that the AUSF key is in the AUSF key.
  • the UE can select the AUSF key generated under the 3GPP network type according to 3GPP;
  • the AUSF can notify the UE to use the AUSF key corresponding to the NAS connection ID according to the NAS connection ID in the indication information; the AUSF can notify the UE to use the AUSF key corresponding to the PLMN ID according to the PLMN ID in the indication information key; AUSF can notify the UE to use the AUSF key corresponding to the ngKSI according to the ngKSI in the indication information;
  • the AUSF determines the application layer key according to the used AUSF key, and the specific implementation is as follows: the AUSF derives the AKMA key according to the used AUSF key, and derives the AF key according to the AKMA key (that is, the application layer key).
  • the method provided in this embodiment can solve the problem that the AUSF key selected by the AUSF in the above two multi-registration scenarios is different from the AUSF key selected by the UE side.
  • this embodiment also provides a first interaction process for application layer key determination, and the specific implementation process is as follows:
  • Step 400 the UE and the AUSF are pre-configured with the same selection rule; or, the UE and the UDM or the PCF are pre-configured with the same selection rule;
  • Step 401 the UE initiates a registration request through different access networks, and performs multiple primary authentication processes with the AUSF;
  • Step 402 the UE and the AF initiate the generation of an application layer key session
  • Step 403 the UE selects the newly generated AUSF key from the AUSF keys obtained by performing multiple primary authentication procedures according to the selection rule;
  • Step 404 the AUSF selects the newly generated AUSF key from the AUSF keys obtained by performing multiple primary authentication procedures according to the selection rule; Select the newly generated AUSF key from the AUSF keys obtained in the multiple primary authentication processes;
  • the AUSF before generating the AUSF key, the AUSF sends policy information requesting AKMA key derivation to the UDM or PCF, and after receiving the policy information, the UDM or PCF sends a response message carrying the selection rule to the AUSF.
  • this embodiment does not limit the sequence of the above-mentioned steps 403 and 404 too much, which is only an example here.
  • Step 405 the UE determines an AKMA key according to the newly generated AUSF key, and determines an application layer key according to the AKMA key;
  • Step 406 The AUSF determines an AKMA key according to the newly generated AUSF key, and determines an application layer key according to the AKMA key.
  • this embodiment also provides a second interactive process for determining the application layer key, and the specific implementation process is as follows:
  • Step 500 the UE initiates a registration request through different access networks, and performs multiple primary authentication processes with the AUSF;
  • Step 501 UE and AF initiate to generate application layer key session
  • Step 502 the AUSF determines the used AUSF key from the AUSF keys obtained by performing multiple primary authentication procedures according to the preset rule;
  • Step 503 the AUSF determines the AKMA key according to the determined AUSF key, and determines the application layer key according to the AKMA key;
  • Step 504 the AUSF sends the indication information of the AUSF carrying the identification information to the UE;
  • step 504 may be performed first and then step 503, or may be performed simultaneously.
  • Step 505 the UE receives the indication information sent by the AUSF;
  • Step 506 Select the AUSF key corresponding to the identification information carried in the indication information from the AUSF keys obtained by performing multiple primary authentication procedures;
  • Step 507 The UE determines the AKMA key according to the AUSF key corresponding to the identification information, and determines the application layer key according to the AKMA key.
  • this embodiment also provides a third interaction process for application layer key determination, and the specific implementation process is as follows:
  • Step 600 the UE initiates a registration request through different access networks, and performs multiple primary authentication processes with the AUSF;
  • Step 601 UE and AF initiate to generate application layer key session
  • Step 602 the AUSF determines the used AUSF key from the AUSF keys obtained by performing multiple primary authentication procedures according to the preset rules;
  • Step 603 the AUSF determines the AKMA key according to the determined AUSF key, and determines the application layer key according to the AKMA key;
  • Step 604 the AUSF sends the indication information of the AUSF carrying the identification information to the AMF;
  • the identification information includes: access network type; or, non-access stratum NAS connection ID; or, PLMN ID; or key identifier ngKSI.
  • step 604 may be performed first and then step 603, or may be performed simultaneously.
  • Step 605 the AMF forwards the indication information to the UE
  • Step 606 the UE receives the indication information forwarded by the AMF
  • Step 607 Select the AUSF key corresponding to the identification information carried in the indication information from the AUSF keys obtained by performing multiple primary authentication procedures;
  • Step 608 The UE determines the AKMA key according to the AUSF key corresponding to the identification information, and determines the application layer key according to the AKMA key.
  • the terminal side can determine the AUSF key based on a preconfigured selection rule or the received indication information carrying identification information, and the AUSF side can determine the AUSF key based on the preconfigured selection rule or the received indication information carrying identification information.
  • the selection rule or the selection rule for receiving UDM or PCF determines the AUSF key, or it can select an AUSF key by itself and notify the UE of the AUSF key to use through the indication information carrying the identification information, which can avoid the UE and the UE in the multi-registration scenario. Selecting different AUSF keys on the network side causes the anchor key (that is, the AKMA key) to be out of synchronization, thereby causing the problem of out-of-synchronization of the application layer key.
  • the embodiment of the present invention also provides a first method for determining an application layer key, as shown in FIG. 7 , and the specific implementation steps of the method are as follows:
  • Step 700 If the UE performs multiple primary authentication processes through different access networks before initiating the generation of the application-layer key session with the AF, after initiating the generation of the application-layer key session with the AF, the UE obtains the result obtained from performing multiple primary authentication processes after initiating the generation of the application layer key session with the AF. Select the AUSF key used by AUSF in the AUSF key;
  • Step 701 The UE determines the application layer key according to the selected AUSF key.
  • the UE selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures, including:
  • the UE selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to the preconfigured selection rule that is the same as the AUSF; or,
  • the UE selects an AUSF key corresponding to the identification information carried in the indication information from AUSF keys obtained by performing multiple primary authentication procedures.
  • the UE selects the AUSF key corresponding to the identification information carried in the indication information from the AUSF keys obtained by performing multiple primary authentication procedures Before, also included:
  • the UE directly receives the indication information sent by the AUSF or receives the indication information of the AUSF forwarded by the AMF.
  • the identification information includes:
  • the key identifies ngKSI.
  • the embodiment of the present invention also provides a second method for determining an application layer key. As shown in FIG. 8 , the specific implementation steps of the method are as follows:
  • Step 800 If the AUSF and the UE perform multiple primary authentication procedures through different access networks before the UE and the AF initiate the generation of the application layer key session, it is determined that after the UE and the AF initiate the generation of the application layer key session, Determine the AUSF key used from the AUSF keys obtained by performing multiple primary authentication procedures;
  • Step 801 The AUSF determines an application layer key according to the used AUSF key.
  • the AUSF determines the used AUSF key from the AUSF keys obtained by performing multiple primary authentication procedures, including:
  • the AUSF selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to a preconfigured selection rule identical to that of the UE; or,
  • the AUSF selects the AUSF key used by the AUSF from the AUSF keys obtained by performing multiple primary authentication procedures according to the same selection rule as the UE sent by the received UDM or PCF; or,
  • the AUSF determines the used AUSF key from AUSF keys obtained by performing multiple primary authentication procedures according to a preset rule.
  • the AUSF further includes:
  • the AUSF sends the AUSF indication information carrying the identification information to the UE, so that the UE selects the AUSF key corresponding to the identification information from the AUSF keys obtained by performing multiple primary authentication procedures according to the received AUSF indication information AUSF key.
  • the AUSF sends the indication information of the AUSF carrying the identification information to the UE, including:
  • the AUSF directly sends the indication information of the AUSF carrying the identification information to the UE; or,
  • the AUSF sends the indication information of the AUSF carrying the identification information to the UE through the AMF.
  • the identification information includes:
  • the key identifies ngKSI.
  • Embodiment 4 Based on the same inventive concept, the embodiment of the present invention also provides a terminal for determining the key of the application layer, because the terminal is the terminal corresponding to the method of the embodiment of the present invention, and the principle of solving the problem of the terminal is the same as that of the method. Similar, therefore, the implementation of the terminal may refer to the implementation of the method, and the repetition will not be repeated.
  • an embodiment of the present invention further provides a terminal for determining an application layer key.
  • the terminal includes: a memory 920, a transceiver 900, and a processor 910:
  • a memory for storing a computer program
  • a transceiver for sending and receiving data under the control of the processor
  • a processor for reading the computer program in the memory and performing the following operations:
  • the AUSF key obtained by executing the multiple primary authentication procedures Select the AUSF key used by AUSF;
  • the application layer key is determined according to the selected AUSF key.
  • the bus architecture may include any number of interconnected buses and bridges, specifically one or more processors represented by processor 910 and various circuits of memory represented by memory 920 are linked together.
  • the bus architecture may also link together various other circuits, such as peripherals, voltage regulators, and power management circuits, which are well known in the art and, therefore, will not be described further herein.
  • the bus interface provides the interface.
  • Transceiver 900 may be a number of elements, including a transmitter and a receiver, providing means for communicating with various other devices over transmission media including wireless channels, wired channels, fiber optic cables, and the like Transmission medium.
  • the user interface 930 may also be an interface capable of externally connecting the required equipment, and the connected equipment includes but is not limited to a keypad, a display, a speaker, a microphone, a joystick, and the like.
  • the processor 910 is responsible for managing the bus architecture and general processing, and the memory 920 may store data used by the processor 910 in performing operations.
  • the processor 910 may be a CPU (central processor), an ASIC (Application Specific Integrated Circuit, an application-specific integrated circuit), an FPGA (Field-Programmable Gate Array, a field programmable gate array) or a CPLD (Complex Programmable Logic Device) , complex programmable logic devices), the processor can also use a multi-core architecture.
  • CPU central processor
  • ASIC Application Specific Integrated Circuit
  • FPGA Field-Programmable Gate Array
  • CPLD Complex Programmable Logic Device
  • complex programmable logic devices complex programmable logic devices
  • the processor is configured to execute any one of the methods provided in the embodiments of the present application according to the obtained executable instructions by invoking the computer program stored in the memory.
  • the processor and memory may also be physically separated.
  • the processor is specifically configured to execute:
  • the AUSF key corresponding to the identification information carried in the indication information is selected from the AUSF keys obtained by performing multiple primary authentication procedures.
  • the processor is further configured to execute:
  • the identification information includes:
  • the key identifies ngKSI.
  • the above-mentioned terminal provided in this embodiment of the present invention can implement all the method steps implemented by the above-mentioned method embodiment, and can achieve the same technical effect, which is not the same as the method embodiment in this embodiment.
  • the parts and beneficial effects will be described in detail.
  • Embodiment 5 Based on the same inventive concept, the embodiment of the present invention also provides a network device for determining the key of the application layer, because the device is the device corresponding to the method of the embodiment of the present invention, and the principle of solving the problem of the device is the same as that of the device. The methods are similar, so the implementation of the device can refer to the implementation of the method, and the repetition will not be repeated.
  • an embodiment of the present invention further provides a network device for determining an application layer key.
  • the device includes a memory 1020, a transceiver 1000, and a processor 1010:
  • a memory for storing a computer program
  • a transceiver for sending and receiving data under the control of the processor
  • a processor for reading the computer program in the memory and performing the following operations:
  • the primary authentication process is performed multiple times from the UE to the AF. Determine the AUSF key used in the AUSF key obtained in the main authentication process;
  • the application layer key is determined according to the used AUSF key.
  • the bus architecture may include any number of interconnected buses and bridges, specifically one or more processors represented by processor 1010 and various circuits of memory represented by memory 1020 are linked together.
  • the bus architecture may also link together various other circuits, such as peripherals, voltage regulators, and power management circuits, which are well known in the art and, therefore, will not be described further herein.
  • the bus interface provides the interface.
  • Transceiver 1000 may be multiple elements, including a transmitter and a receiver, providing means for communicating with various other devices over transmission media including wireless channels, wired channels, fiber optic cables, and the like.
  • the processor 1010 is responsible for managing the bus architecture and general processing, and the memory 1020 may store data used by the processor 1010 in performing operations.
  • the processor 1010 can be a central processor (CPU), an application specific integrated circuit (ASIC), a field programmable gate array (FPGA) or a complex programmable logic device (Complex Programmable Logic Device). , CPLD), the processor can also use a multi-core architecture.
  • CPU central processor
  • ASIC application specific integrated circuit
  • FPGA field programmable gate array
  • CPLD complex programmable logic device
  • the processor is specifically configured to execute:
  • the AUSF key to be used is determined from the AUSF keys obtained by performing multiple primary authentication procedures.
  • the processor is further configured to execute:
  • the processor is specifically configured to execute:
  • the indication information of the AUSF carrying the identification information is sent to the UE through the AMF.
  • the identification information includes:
  • the key identifies ngKSI.
  • Embodiment 6 Based on the same inventive concept, the embodiment of the present invention also provides a first device for determining an application layer key, because the device is a device corresponding to the method of the embodiment of the present invention, and the principle of solving the problem of the device is the same as that of this device. The methods are similar, so the implementation of the device can refer to the implementation of the method, and the repetition will not be repeated.
  • each functional unit in each embodiment of the present application may be integrated into one processing unit, or each unit may exist physically alone, or two or more units may be integrated into one unit.
  • the above-mentioned integrated units may be implemented in the form of hardware, or may be implemented in the form of software functional units.
  • the integrated unit is implemented in the form of a software functional unit and sold or used as an independent product, it may be stored in a processor-readable storage medium.
  • the technical solutions of the present application can be embodied in the form of software products in essence, or the parts that contribute to the prior art, or all or part of the technical solutions, and the computer software products are stored in a storage medium , including several instructions for causing a computer device (which may be a personal computer, a server, or a network device, etc.) or a processor (processor) to execute all or part of the steps of the methods described in the various embodiments of the present application.
  • the aforementioned storage medium includes: U disk, mobile hard disk, read-only memory (Read-Only Memory, ROM), random access memory (Random Access Memory, RAM), magnetic disk or optical disk and other media that can store program codes .
  • the apparatus includes: a selection module 1100 and a determination module 1101, wherein:
  • the selection module 1100 is configured to perform multiple primary authentication processes through different access networks before initiating the generation of the application-layer key session with the AF, then after initiating the generation of the application-layer key session with the AF, perform multiple primary authentication procedures from the AF. Select the AUSF key used by the AUSF from the AUSF key obtained in the authentication process;
  • the determining module 1101 is configured to determine the application layer key according to the selected AUSF key.
  • the selection module 1100 is specifically used for:
  • the AUSF key corresponding to the identification information carried in the indication information is selected from the AUSF keys obtained by performing multiple primary authentication procedures.
  • the selection module 1100 is further used for:
  • the identification information includes:
  • the key identifies ngKSI.
  • Embodiment 7 Based on the same inventive concept, the embodiment of the present invention also provides a second application-layer key determination device, because the device is a device corresponding to the method of the embodiment of the present invention, and the principle of solving the problem of the device is the same as that of this device. The methods are similar, so the implementation of the device can refer to the implementation of the method, and the repetition will not be repeated.
  • each functional unit in each embodiment of the present application may be integrated into one processing unit, or each unit may exist physically alone, or two or more units may be integrated into one unit.
  • the above-mentioned integrated units may be implemented in the form of hardware, or may be implemented in the form of software functional units.
  • the integrated unit is implemented in the form of a software functional unit and sold or used as an independent product, it may be stored in a processor-readable storage medium.
  • the technical solutions of the present application can be embodied in the form of software products in essence, or the parts that contribute to the prior art, or all or part of the technical solutions, and the computer software products are stored in a storage medium , including several instructions for causing a computer device (which may be a personal computer, a server, or a network device, etc.) or a processor (processor) to execute all or part of the steps of the methods described in the various embodiments of the present application.
  • the aforementioned storage medium includes: U disk, mobile hard disk, read-only memory (Read-Only Memory, ROM), random access memory (Random Access Memory, RAM), magnetic disk or optical disk and other media that can store program codes .
  • the apparatus includes: a first determination module 1200 and a second determination module 1201, wherein:
  • the first determining module 1200 is configured to determine that the UE and the AF initiate the generation of an application if the UE and the AF perform multiple primary authentication procedures through different access networks before initiating the generation of an application layer key session. After the layer key session, determine the AUSF key used from the AUSF keys obtained by performing multiple primary authentication procedures;
  • the second determining module 1201 is configured to determine the application layer key according to the used AUSF key.
  • the first determining module 1200 is specifically configured to:
  • the AUSF key to be used is determined from the AUSF keys obtained by performing multiple primary authentication procedures.
  • the first determining module 1200 is further configured to:
  • the first determining module 1200 is specifically configured to:
  • the indication information of the AUSF carrying the identification information is sent to the UE through the AMF.
  • the identification information includes:
  • the key identifies ngKSI.
  • the processor-readable storage medium can be any available medium or data storage device that can be accessed by the processor, including but not limited to magnetic memory (eg, floppy disk, hard disk, magnetic tape, magnetic Optical disk (MO), etc.), optical memory (such as CD, DVD, BD, HVD, etc.), and semiconductor memory (such as ROM, EPROM, EEPROM, non-volatile memory (NAND FLASH), solid state disk (SSD)) and the like.
  • magnetic memory eg, floppy disk, hard disk, magnetic tape, magnetic Optical disk (MO), etc.
  • optical memory such as CD, DVD, BD, HVD, etc.
  • semiconductor memory such as ROM, EPROM, EEPROM, non-volatile memory (NAND FLASH), solid state disk (SSD)
  • This embodiment also provides a computer storage medium, and when the program is executed by the processor, the steps of the following method are implemented:
  • the AUSF key obtained by executing the multiple primary authentication procedures Select the AUSF key used by AUSF;
  • the application layer key is determined according to the selected AUSF key.
  • the processor-readable storage medium can be any available medium or data storage device that can be accessed by the processor, including but not limited to magnetic memory (eg, floppy disk, hard disk, magnetic tape, magnetic Optical disk (MO), etc.), optical memory (such as CD, DVD, BD, HVD, etc.), and semiconductor memory (such as ROM, EPROM, EEPROM, non-volatile memory (NAND FLASH), solid state disk (SSD)) and the like.
  • magnetic memory eg, floppy disk, hard disk, magnetic tape, magnetic Optical disk (MO), etc.
  • optical memory such as CD, DVD, BD, HVD, etc.
  • semiconductor memory such as ROM, EPROM, EEPROM, non-volatile memory (NAND FLASH), solid state disk (SSD)
  • This embodiment also provides a computer storage medium, and when the program is executed by the processor, the steps of the following method are implemented:
  • the primary authentication process is performed multiple times from the UE to the AF. Determine the AUSF key used in the AUSF key obtained in the main authentication process;
  • the application layer key is determined according to the used AUSF key.
  • the present application may also be implemented in hardware and/or software (including firmware, resident software, microcode, etc.). Still further, the present application may take the form of a computer program product on a computer-usable or computer-readable storage medium having computer-usable or computer-readable program code embodied in the medium for use by an instruction execution system or Used in conjunction with an instruction execution system.
  • a computer-usable or computer-readable medium can be any medium that can contain, store, communicate, transmit, or transmit a program for use by, or in connection with, an instruction execution system, apparatus, or device. device or equipment use.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明公开了一种应用层密钥确定的方法、终端、网络侧设备及装置，能够避免在多注册场景下，UE与网络侧选择不同的AUSF密钥导致锚点密钥失步，从而导致应用层密钥失步的问题。该方法包括：若与AF发起生成应用层密钥会话之前，UE通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；所述UE根据选择的AUSF密钥确定应用层密钥。

Description

一种应用层密钥确定的方法、终端、网络侧设备及装置
相关申请的交叉引用
本申请要求在2020年09月01日提交中国专利局、申请号为202010905448.3、申请名称为“一种应用层密钥确定的方法、终端、网络侧设备及装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本发明涉及无线通信技术领域，特别涉及一种应用层密钥确定的方法、终端、网络侧设备及装置。
背景技术
在5G网络中提供用户与接入应用之间的会话安全保护功能，并且提供基于应用的密钥管理方法，简称为应用的认证与密钥管理(Authentication and Key Management for Applications，AKMA)。
在现有AKMA的架构中，对于UE与网络的主认证流程存在多注册场景，在这种多注册的场景下，UE通过不同的接入网络(3GPP网络和非3GPP网络)注册到不同的公共陆地移动网络PLMN，那么UE侧会保存两个基于主认证流程的AUSF密钥，或者UE通过不同的接入网络先后注册到相同的PLMN，那么UE侧和网络侧都会保存两个基于主认证流程的AUSF密钥；目前，若UE或网络侧保存两个基于主认证流程的AUSF密钥的情况下，可能导致UE侧和网络侧的密钥无法匹配，后续应用层密钥K AF的不同步，影响应用密钥的使用以及应用层保护，最终可能导致完整性保护验证失败。
发明内容
本发明提供一种应用层密钥确定的方法、终端、网络侧设备及装置，能够避免在多注册场景下，UE与网络侧选择不同的AUSF密钥导致锚点密钥失 步，从而导致应用层密钥失步的问题。
第一方面，本发明实施例提供的第一种应用层密钥确定的方法，该方法包括：
若与AF发起生成应用层密钥会话之前，UE通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
所述UE根据选择的AUSF密钥确定应用层密钥。
本实施例提供应用层密钥确定的方法，能够解决UE与网络的主认证流程存在多注册的场景下UE选择的密钥和AUSF选择的密钥不同步的问题，能够使得UE与AUSF使用的应用层密钥同步，从而保护应用层传输的数据。
作为一种可能的实施方式，所述UE从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥，包括：
所述UE根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
本实施例在终端与网络的主认证流程存在多注册的场景下能够保证UE与网络选择的AUSF密钥是相同的，从而确定的应用层密钥是相同的。一种方式是通过预先配置的方式选择AUSF密钥，另一种方式是通过网络侧的指示信息选择AUSF密钥，两种方式都能够保证UE侧和网络侧使用的AUSF密钥相同，从而保证确定的应用层密钥是相同的。
作为一种可能的实施方式，所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥之前，还包括：
所述UE直接接收AUSF发送的指示信息或接收AMF转发的AUSF的指示信息。
本实施例提供多种接收指示信息的方式，使得确定AUSF密钥的方式更 加灵活。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
本发明实施例提供多种标识信息，用于UE选择与该标识信息对应的AUSF密钥确定应用层密钥，由于使用标识信息通知UE所使用的AUSF密钥，能够一定程度上保证密钥传输的安全性。
第二方面，本发明实施例提供的第二种应用层密钥确定的方法，该方法包括：
若UE与AF发起生成应用层密钥会话之前，AUSF与所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
所述AUSF根据所述使用的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述AUSF从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥，包括：
所述AUSF根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
所述AUSF根据收到的UDM或PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
所述AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
作为一种可能的实施方式，所述AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥之后，还包括：
所述AUSF向UE发送携带标识信息的AUSF的指示信息，以使所述UE 根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述AUSF向UE发送携带标识信息的AUSF的指示信息，包括：
所述AUSF直接向UE发送携带标识信息的AUSF的指示信息；或，
所述AUSF通过AMF向UE发送携带标识信息的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
第三方面，本发明实施例还提供一种应用层密钥确定的终端，该终端包括：存储器，收发机，处理器：
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
若与AF发起生成应用层密钥会话之前，通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
根据选择的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述处理器具体被配置为执行：
根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述处理器具体还被配置为执行：
直接接收AUSF发送的指示信息或接收AMF转发的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
第四方面，本发明实施例还提供一种应用层密钥确定的网络设备，该网络侧设备包括处理器和存储器，所述存储器用于存储所述处理器可执行的程序，所述处理器用于读取所述存储器中的程序并执行如下步骤：
该设备包括存储器，收发机，处理器：
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
若UE与AF发起生成应用层密钥会话之前，与所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
根据所述使用的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述处理器具体被配置为执行：
根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据收到的UDM或PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
作为一种可能的实施方式，所述处理器具体还被配置为执行：
向UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述处理器具体被配置为执行：
直接向UE发送携带标识信息的AUSF的指示信息；或，
通过AMF向UE发送携带标识信息的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
第五方面，本发明实施例中还提供了第一种应用层密钥确定的装置，该装置包括：选择模块、确定模块，其中：
所述选择模块，用于若与AF发起生成应用层密钥会话之前，通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
所述确定模块，用于根据选择的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述选择模块具体用于：
根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述选择模块具体还用于：
直接接收AUSF发送的指示信息或接收AMF转发的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
第六方面，本发明实施例中还提供了第二种应用层密钥确定的装置，该装置包括：第一确定模块、第二确定模块，其中：
所述第一确定模块，用于若UE与AF发起生成应用层密钥会话之前，与 所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
所述第二确定模块，用于根据所述使用的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述第一确定模块具体用于：
根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据收到的UDM或PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
作为一种可能的实施方式，所述第一确定模块具体还用于：
向UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述第一确定模块具体用于：
直接向UE发送携带标识信息的AUSF的指示信息；或，
通过AMF向UE发送携带标识信息的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
第七方面，本发明实施例还提供计算机存储介质，其上存储有计算机程序，该程序被处理器执行时用于实现上述第一方面或第二方面所述方法的步骤。
本申请的这些方面或其他方面在以下的实施例的描述中会更加简明易懂。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种AKMA的架构示意图；
图2为本发明实施例提供的一种AKMA密钥推衍层级示意图；
图3为本发明实施例提供的一种应用层密钥确定的***示意图；
图4为本发明实施例提供的第一种应用层密钥确定的交互流程图；
图5为本发明实施例提供的第二种应用层密钥确定的交互流程图；
图6为本发明实施例提供的第三种应用层密钥确定的交互流程图；
图7为本发明实施例提供的第一种应用层密钥确定的方法流程图；
图8为本发明实施例提供的第二种应用层密钥确定的方法流程图；
图9为本发明实施例提供的一种应用层密钥确定的终端示意图；
图10为本发明实施例提供的一种应用层密钥确定的网络设备示意图；
图11为本发明实施例提供的第一种应用层密钥确定的装置示意图；
图12为本发明实施例提供的第二种应用层密钥确定的装置示意图。
具体实施方式
为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部份实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
本申请实施例提供的技术方案可以适用于多种***，尤其是5G***。例如适用的***可以是全球移动通讯(global system of mobile communication，GSM)***、码分多址(code division multiple access，CDMA)***、宽带 码分多址(Wideband Code Division Multiple Access，WCDMA)通用分组无线业务(general packet radio service，GPRS)***、长期演进(long term evolution，LTE)***、LTE频分双工(frequency division duplex，FDD)***、LTE时分双工(time division duplex，TDD)***、高级长期演进(long term evolution advanced，LTE-A)***、通用移动***(universal mobile telecommunication system，UMTS)、全球互联微波接入(worldwide interoperability for microwave access，WiMAX)***、5G新空口(New Radio,NR)***等。这多种***中均包括终端设备和网络设备。***中还可以包括核心网部分，例如演进的分组***(Evloved Packet System,EPS)、5G***(5GS)等。
本申请实施例涉及的终端设备，可以是指向用户提供语音和/或数据连通性的设备，具有无线连接功能的手持式设备、或连接到无线调制解调器的其他处理设备等。在不同的***中，终端设备的名称可能也不相同，例如在5G***中，终端设备可以称为用户设备(User Equipment，UE)。无线终端设备可以经无线接入网(Radio Access Network,RAN)与一个或多个核心网(Core Network,CN)进行通信，无线终端设备可以是移动终端设备，如移动电话(或称为“蜂窝”电话)和具有移动终端设备的计算机，例如，可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置，它们与无线接入网交换语言和/或数据。例如，个人通信业务(Personal Communication Service，PCS)电话、无绳电话、会话发起协议(Session Initiated Protocol，SIP)话机、无线本地环路(Wireless Local Loop，WLL)站、个人数字助理(Personal Digital Assistant，PDA)等设备。无线终端设备也可以称为***、订户单元(subscriber unit)、订户站(subscriber station)，移动站(mobile station)、移动台(mobile)、远程站(remote station)、接入点(access point)、远程终端设备(remote terminal)、接入终端设备(access terminal)、用户终端设备(user terminal)、用户代理(user agent)、用户装置(user device)，本申请实施例中并不限定。
本申请实施例涉及的网络设备，可以是基站，该基站可以包括多个为终端提供服务的小区。根据具体应用场合不同，基站又可以称为接入点，或者 可以是接入网中在空中接口上通过一个或多个扇区与无线终端设备通信的设备，或者其它名称。网络设备可用于将收到的空中帧与网际协议(Internet Protocol，IP)分组进行相互更换，作为无线终端设备与接入网的其余部分之间的路由器，其中接入网的其余部分可包括网际协议(IP)通信网络。网络设备还可协调对空中接口的属性管理。例如，本申请实施例涉及的网络设备可以是全球移动通信***(Global System for Mobile communications，GSM)或码分多址接入(Code Division Multiple Access，CDMA)中的网络设备(Base Transceiver Station，BTS)，也可以是带宽码分多址接入(Wide-band Code Division Multiple Access，WCDMA)中的网络设备(NodeB)，还可以是长期演进(long term evolution，LTE)***中的演进型网络设备(evolutional Node B，eNB或e-NodeB)、5G网络架构(next generation system)中的5G基站(gNB)，也可以是家庭演进基站(Home evolved Node B，HeNB)、中继节点(relay node)、家庭基站(femto)、微微基站(pico)等，本申请实施例中并不限定。在一些网络结构中，网络设备可以包括集中单元(centralized unit，CU)节点和分布单元(distributed unit，DU)节点，集中单元和分布单元也可以地理上分开布置。
网络设备与终端设备之间可以各自使用一或多根天线进行多输入多输出(Multi Input Multi Output,MIMO)传输，MIMO传输可以是单用户MIMO(Single User MIMO,SU-MIMO)或多用户MIMO(Multiple User MIMO,MU-MIMO)。根据根天线组合的形态和数量，MIMO传输可以是2D-MIMO、3D-MIMO、FD-MIMO或massive-MIMO，也可以是分集传输或预编码传输或波束赋形传输等。
本发明实施例中术语“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。
本申请实施例中术语“多个”是指两个或两个以上，其它量词与之类似。
本发明实施例描述的应用场景是为了更加清楚的说明本发明实施例的技 术方案，并不构成对于本发明实施例提供的技术方案的限定，本领域普通技术人员可知，随着新应用场景的出现，本发明实施例提供的技术方案对于类似的技术问题，同样适用。
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，并不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
实施例1
如图1所示，在现有AKMA的架构中，网络开放功能(Network Exposure Function，NEF)提供安全地将3GPP网络提供的业务和能力暴露给外部网络相关的功能；AKMA锚点功能(AKMA Anrchor Function，AAnF)用于产生在UE和应用功能(Application Function，AF)之间使用的应用层密钥；其中，锚点可以理解成代理或者与外界接口的端点。
如图2所示，网络侧和UE侧使用图2中所示的密钥层级进行密钥推衍。AUSF(Authorization Server Function，认证服务器功能)支持5G***认证功能，支持用户从3GPP和非3GPP网络接入5G网络时的认证，能根据服务网络请求提供认证参数，完成对UE的认证。AUSF会在UE注册过程中基于主认证流程的AUSF密钥K AUSF产生AKMA锚点密钥(即AKMA密钥，K AKMA)和密钥标识A-KID。UE会在与AF发起AKMA会话之前通过相同的方法产生AKMA锚点密钥(K AKMA)和密钥标识A-KID。
其中，具体的计算方法是K AKMA＝KDF(K AUSF,"AKMA",SUPI)；其中，KDF(Keyderavation Function)是密钥获取功能的缩写，SUPI(签约永久标识)是UE的身份标识。
在现有AKMA的架构中，对于UE与网络的主认证流程存在多注册场景，也就是说，UE与AF发起生成应用层密钥会话之前，UE通过不同的接入网执行多次主认证流程；
一种场景是，UE通过不同的接入网络(3GPP网络和非3GPP网络)注 册到不同的PLMN(公共陆地移动网络)，这种场景下，UE与3GPP网络维护一套安全上下文，UE与非3GPP网络维护另一套安全上下文，每套安全上下文分别是通过成功的主认证，即UE上会保存两个基于主认证流程的密钥(KAUSF2、KAUSF1)，若UE需要与应用功能AF使用AKMA产生密钥保护应用层的数据，则在UE侧推衍K AUSF时，会导致UE不知道应使用K AUSF2还是K AUSF1密钥推衍K AKMA密钥，UE侧和网络侧的密钥无法匹配；
另一种场景是，UE通过不同的接入网络先后注册到相同的PLMN，这种场景下，若网络侧(AMF)发现该UE存在可用的5G上下文，但仍运行主认证流程时，UE侧和网络侧都将保存有两套K AUSF，即一个是通过3GPP接入产生的K AUSF1，一个是通过非3GPP接入产生的K AUSF2，则在UE与网络层推衍K AKMA时，不知道应该使用哪个K AUSF推衍密钥，若网络侧使用的K AUSF和UE侧不同，则导致UE侧和网络侧推衍出的K AKMA不同步，导致后续应用层密钥K AF的不同步，影响应用密钥的使用以及应用层保护，可能导致完整性保护验证失败。
为了解决上述技术问题，本发明实施例提供了一种应用层密钥确定的***，用于UE侧和网络侧基于本实施的方法，使用相同的应用层密钥对应用层进行保护，如图3所示，该***包括UE300、AUSF301，其中：
UE侧用于执行如下方法：
若与AF发起生成应用层密钥会话之前，UE通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；所述UE根据选择的AUSF密钥确定应用层密钥。
本实施例提供的方法，能够解决UE与网络的主认证流程存在多注册的场景下UE选择的密钥和AUSF选择的密钥不同步的问题，即UE通过不同的接入网执行多次主认证流程，得到多个基于主认证流程的AUSF密钥，并且保存下来，在UE与AF发起生成应用层密钥会话后，从多个AUSF密钥中，选择一个与AUSF使用的相同的AUSF密钥，进而根据AUSF密钥推衍出与 AUSF使用的相同的AKMA密钥，根据AKMA密钥推衍出与AUSF使用的相同的AF密钥(即应用层密钥)，这样能够使得UE与AUSF使用的应用层密钥同步，从而保护应用层传输的数据。
作为一种可选的实施方式，本发明实施例通过如下两种方式选择AUSF密钥，具体方式如下所示：
方式1、所述UE根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
该方式下，UE选择AUSF密钥是基于预先配置的选择规则，并且该选择规则与AUSF选择AUSF密钥的规则相同，因此，本实施例在终端与网络的主认证流程存在多注册的场景下能够保证UE与网络选择的AUSF密钥是相同的，从而确定的应用层密钥是相同的，一种可选的实施方式是，所述选择规则为：选择最新或最近生成的AUSF密钥。由于最新或最近生成的AUSF密钥更加安全，所以本实施中基于最新或最近生成的AUSF密钥，确定应用层密钥的方法，能够提高应用数据的安全性。
方式2、所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
该方式下，所述UE选择的AUSF密钥是基于AUSF确定的，AUSF确定后会向UE发送指示信息，UE根据所述指示信息中的标识信息选择与所述标识信息对应的AUSF密钥。因此，本实施例在终端与网络的主认证流程存在多注册的场景下能够保证UE与网络选择的AUSF密钥是相同的，从而保证确定的应用层密钥是相同的。
作为一种可选的实施方式，所述UE直接接收AUSF发送的指示信息或接收AMF转发的AUSF的指示信息。
本实施例中AUSF可以直接向UE发送指示信息，也可以向将指示信息发送给AMF，由AMF将所述指示信息发送给UE。
作为一种可选的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或
密钥标识ngKSI。
容易理解的是，UE可以根据指示信息中的接入网络类型，确定与所述接入网络类型对应的AUSF密钥；也就是说，若网络类型为3GPP，则说明AUSF密钥是在3GPP网络类型下生成的，UE可以根据3GPP，选择在3GPP网络类型下生成的AUSF密钥；
同样的，UE可以根据指示信息中的NAS连接ID，确定与所述NAS连接ID对应的AUSF密钥；UE可以根据PLMN ID，选择与PLMN ID对应的AUSF密钥；UE可以根据ngKSI，选择与ngKSI对应的AUSF密钥。
实施中，所述UE根据选择的AUSF密钥确定应用层密钥，具体实施方式为：所述UE根据选择的AUSF密钥推衍AKMA密钥，根据AKMA密钥推衍AF密钥(即应用层密钥)。
本实施例提供的方法，能够解决UE在上述两种多注册场景下无法选择AUSF密钥或者选择的AUSF密钥与网络侧选择的AUSF密钥不相同的问题。
AUSF侧用于执行如下方法：
若UE与AF发起生成应用层密钥会话之前，AUSF与所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；所述AUSF根据所述使用的AUSF密钥确定应用层密钥。
AUSF能够解决在上述多注册场景中，AUSF侧选择的AUSF密钥与UE侧选择的AUSF密钥不相同的问题。若AUSFUE与AF发起生成应用层密钥会话之前，也保存了多个AUSF密钥，则AUSF能够确定使用的AUSF密钥，从而使得UE根据AUSF使用的AUSF密钥，确定自身的AUSF密钥，保证UE侧和AUSF侧使用相同的AUSF密钥，从而保证了UE侧和AUSF侧使用相同的应用层密钥。
作为一种可选的实施方式，所述AUSF通过如下任一方式，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥：
方式1、所述AUSF根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
该方式下，AUSF选择AUSF密钥是基于预先配置的选择规则，并且该选择规则与UE侧预先配置的选择规则相同，因此，本实施例在终端与网络的主认证流程存在多注册的场景下能够保证UE与网络选择的AUSF密钥是相同的，从而确定的应用层密钥是相同的，一种可选的实施方式是，所述选择规则为：选择最新或最近生成的AUSF密钥。由于最新或最近生成的AUSF密钥更加安全，所以本实施中基于最新或最近生成的AUSF密钥，确定应用层密钥的方法，能够提高应用数据的安全性。
方式2、所述AUSF根据收到的UDM或PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
该方式下，所述AUSF可以根据收到的UDM或PCF发送的与所述UE相同的选择规则，确定选择哪个AUSF密钥进行AKMA密钥推衍，从而根据推衍得到的AKMA密钥对应用层密钥进行推衍，得到应用层密钥。
一种可选的实施方式是，本实施例中UDM或PCF可以预先配置与UE相同的选择规则，在AUSF产生AUSF密钥之前，AUSF向UDM或PCF发送请求消息，UDM或PCF收到请求消息后，将预先配置的选择规则发送给AUSF。
同样的，由于该方式下，AUSF收到的选择规则和UE预先配置的选择规则是相同的，因此，本实施例在终端与网络的主认证流程存在多注册的场景下能够保证UE与网络选择的AUSF密钥是相同的，从而确定的应用层密钥是相同的，一种可选的实施方式是，所述选择规则为：选择最新或最近生成的AUSF密钥。由于最新或最近生成的AUSF密钥更加安全，所以本实施中基于最新或最近生成的AUSF密钥，确定应用层密钥的方法，能够提高应用数据 的安全性。
方式3、所述AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
该方式下，AUSF自身可根据预设规则直接确定使用的AUSF密钥，可选的，所述预设规则为将最新或最近生成的AUSF密钥确定为使用的AUSF密钥；也可以随机选择一个AUSF密钥。
作为一种可选的实施方式，所述AUSF确定使用的AUSF密钥之后，还可以通知UE自身使用的AUSF密钥，具体的通知方式如下：
所述AUSF向UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
该方式下，基于AUSF确定UE选择的AUSF密钥，AUSF确定后会向UE发送指示信息，UE根据所述指示信息中的标识信息选择与所述标识信息对应的AUSF密钥。因此，本实施例在终端与网络的主认证流程存在多注册的场景下能够保证UE与网络选择的AUSF密钥是相同的，从而确定的应用层密钥是相同的。
作为一种可选的实施方式，所述AUSF可以直接或通过AMF转发的方式向UE发送携带标识信息的AUSF的指示信息，具体包括如下两种情况：
情况1、所述AUSF直接向UE发送携带标识信息的AUSF的指示信息；
情况2、所述AUSF通过AMF向UE发送携带标识信息的AUSF的指示信息。
作为一种可选的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
容易理解的是，AUSF可以根据指示信息中的接入网络类型，通知UE使 用与所述接入网络类型对应的AUSF密钥；也就是说，若网络类型为3GPP，则说明AUSF密钥是在3GPP网络类型下生成的，UE可以根据3GPP，选择在3GPP网络类型下生成的AUSF密钥；
同样的，AUSF可以根据指示信息中的NAS连接ID，通知UE使用与所述NAS连接ID对应的AUSF密钥；AUSF可以根据指示信息中的PLMN ID，通知UE使用与所述PLMN ID对应的AUSF密钥；AUSF可以根据指示信息中的ngKSI，通知UE使用与所述ngKSI对应的AUSF密钥；
实施中，所述AUSF根据使用的AUSF密钥确定应用层密钥，具体实施方式为：所述AUSF根据使用的AUSF密钥推衍AKMA密钥，根据AKMA密钥推衍AF密钥(即应用层密钥)。
本实施例提供的方法，能够解决AUSF在上述两种多注册场景下选择的AUSF密钥与UE侧选择的AUSF密钥不相同的问题。
如图4所示，本实施例还提供第一种应用层密钥确定的交互流程，具体的实施流程如下所示：
步骤400、UE与AUSF预先配置了相同的选择规则；或，UE与UDM或PCF预先配置了相同的选择规则；
步骤401、UE通过不同的接入网发起注册请求，与AUSF执行多次主认证流程；
步骤402、UE与AF发起生成应用层密钥会话；
步骤403、UE根据所述选择规则，从执行多次主认证流程得到的AUSF密钥中选择最新生成的AUSF密钥；
步骤404、AUSF根据所述选择规则，从执行多次主认证流程得到的AUSF密钥中选择最新生成的AUSF密钥；或，AUSF根据收到的UDM或PCF发送的所述选择规则，从执行多次主认证流程得到的AUSF密钥中选择最新生成的AUSF密钥；
具体的，AUSF在生成AUSF密钥之前，向UDM或PCF发送请求AKMA 密钥推衍的策略信息，UDM或PCF收到所述策略信息后，向AUSF发送携带所述选择规则的响应消息。
需要说明的是，本实施例对上述步骤403和步骤404的先后顺序不作过多限定，这里仅为一种示例。
步骤405、UE根据所述最新生成的AUSF密钥确定AKMA密钥，根据所述AKMA密钥确定应用层密钥；
步骤406、AUSF根据所述最新生成的AUSF密钥确定AKMA密钥，根据所述AKMA密钥确定应用层密钥。
需要说明的是，本实施例对上述步骤405和步骤406的先后顺序不作过多限定，这里仅为一种示例。
如图5所示，本实施例还提供第二种应用层密钥确定的交互流程，具体的实施流程如下所示：
步骤500、UE通过不同的接入网发起注册请求，与AUSF执行多次主认证流程；
步骤501、UE与AF发起生成应用层密钥会话；
步骤502、AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
步骤503、AUSF根据确定的AUSF密钥确定AKMA密钥，根据所述AKMA密钥确定应用层密钥；
步骤504、AUSF向UE发送携带标识信息的AUSF的指示信息；
需要说明的是，本实施例对上述步骤503和步骤504的先后顺序不作过多限定，这里仅为一种示例，也可以先执行步骤504再执行步骤503，也可以同时执行。
步骤505、所述UE接收AUSF发送的指示信息；
步骤506、从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥；
步骤507、UE根据与标识信息对应的AUSF密钥确定AKMA密钥，根据所述AKMA密钥确定应用层密钥。
如图6所示，本实施例还提供第三种应用层密钥确定的交互流程，具体的实施流程如下所示：
步骤600、UE通过不同的接入网发起注册请求，与AUSF执行多次主认证流程；
步骤601、UE与AF发起生成应用层密钥会话；
步骤602、AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
步骤603、AUSF根据确定的AUSF密钥确定AKMA密钥，根据所述AKMA密钥确定应用层密钥；
步骤604、AUSF向AMF发送携带标识信息的AUSF的指示信息；
所述标识信息包括：接入网络类型；或，非接入层NAS连接ID；或，PLMN ID；或密钥标识ngKSI。
需要说明的是，本实施例对上述步骤603和步骤604的先后顺序不作过多限定，这里仅为一种示例，也可以先执行步骤604再执行步骤603，也可以同时执行。
步骤605、AMF向UE转发所述指示信息；
步骤606、UE接收AMF转发的指示信息；
步骤607、从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥；
步骤608、UE根据与标识信息对应的AUSF密钥确定AKMA密钥，根据所述AKMA密钥确定应用层密钥。
综上所述，本实施例提供的一种应用层密钥确定的方法，终端侧能够基于预配置的选择规则或接收的携带标识信息的指示信息确定AUSF密钥，AUSF侧能够基于预配置的选择规则或接收UDM或PCF的选择规则确定 AUSF密钥，也可以自身选择一个AUSF密钥并通过携带标识信息的指示信息通知UE选择使用的AUSF密钥，能够避免在多注册场景下，UE与网络侧选择不同的AUSF密钥导致锚点密钥(即AKMA密钥)失步，从而导致应用层密钥失步的问题。
实施例2
基于同一发明构思，本发明实施例中还提供了第一种应用层密钥确定的方法，如图7所示，该方法的具体实施步骤如下：
步骤700、若与AF发起生成应用层密钥会话之前，UE通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
步骤701、所述UE根据选择的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述UE从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥，包括：
所述UE根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥之前，还包括：
所述UE直接接收AUSF发送的指示信息或接收AMF转发的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
实施例3
基于同一发明构思，本发明实施例中还提供了第二种应用层密钥确定的方法，如图8所示，该方法的具体实施步骤如下：
步骤800、若UE与AF发起生成应用层密钥会话之前，AUSF与所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
步骤801、所述AUSF根据所述使用的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述AUSF从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥，包括：
所述AUSF根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
所述AUSF根据收到的UDM或PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
所述AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
作为一种可能的实施方式，所述AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥之后，还包括：
所述AUSF向UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述AUSF向UE发送携带标识信息的AUSF的指示信息，包括：
所述AUSF直接向UE发送携带标识信息的AUSF的指示信息；或，
所述AUSF通过AMF向UE发送携带标识信息的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
实施例4、基于同一发明构思，本发明实施例中还提供了一种应用层密钥确定的终端，由于该终端是本发明实施例方法对应的终端，并且该终端解决问题的原理与该方法相似，因此该终端的实施可以参见方法的实施，重复之处不再赘述。
如图9所示，本发明实施例还提供一种应用层密钥确定的终端，该终端包括：存储器920，收发机900，处理器910：
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
若与AF发起生成应用层密钥会话之前，通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
根据选择的AUSF密钥确定应用层密钥。
其中，在图9中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器910代表的一个或多个处理器和存储器920代表的存储器的各种电路链接在一起。总线架构还可以将诸如***设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机900可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括，这些传输介质包括无线信道、有线信道、光缆等传输介质。针对不同的用户设备，用户接口930还可以是能够外接内接需要设备的 接口，连接的设备包括但不限于小键盘、显示器、扬声器、麦克风、操纵杆等。
处理器910负责管理总线架构和通常的处理，存储器920可以存储处理器910在执行操作时所使用的数据。
可选的，处理器910可以是CPU(中央处埋器)、ASIC(Application Specific Integrated Circuit，专用集成电路)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)或CPLD(Complex Programmable Logic Device，复杂可编程逻辑器件)，处理器也可以采用多核架构。
处理器通过调用存储器存储的计算机程序，用于按照获得的可执行指令执行本申请实施例提供的任一所述方法。处理器与存储器也可以物理上分开布置。
作为一种可能的实施方式，所述处理器具体被配置为执行：
根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述处理器具体还被配置为执行：
直接接收AUSF发送的指示信息或接收AMF转发的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
在此需要说明的是，本发明实施例提供的上述终端，能够实现上述方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
实施例5、基于同一发明构思，本发明实施例中还提供了一种应用层密钥确定的网络设备，由于该设备是本发明实施例方法对应的设备，并且该设备解决问题的原理与该方法相似，因此该设备的实施可以参见方法的实施，重复之处不再赘述。
如图10所示，本发明实施例还提供一种应用层密钥确定的网络设备，该设备包括存储器1020，收发机1000，处理器1010：
存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
若UE与AF发起生成应用层密钥会话之前，与所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
根据所述使用的AUSF密钥确定应用层密钥。
其中，在图10中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器1010代表的一个或多个处理器和存储器1020代表的存储器的各种电路链接在一起。总线架构还可以将诸如***设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机1000可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元，这些传输介质包括无线信道、有线信道、光缆等传输介质。处理器1010负责管理总线架构和通常的处理，存储器1020可以存储处理器1010在执行操作时所使用的数据。
处理器1010可以是中央处埋器(CPU)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或复杂可编程逻辑器件(Complex Programmable Logic Device，CPLD)，处理器也可以采用多核架构。
作为一种可能的实施方式，所述处理器具体被配置为执行：
根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到 的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据收到的UDM或PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
作为一种可能的实施方式，所述处理器具体还被配置为执行：
向UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述处理器具体被配置为执行：
直接向UE发送携带标识信息的AUSF的指示信息；或，
通过AMF向UE发送携带标识信息的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
在此需要说明的是，本发明实施例提供的上述设备，能够实现上述方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
实施例6、基于同一发明构思，本发明实施例中还提供了第一种应用层密钥确定的装置，由于该装置是本发明实施例方法对应的装置，并且该装置解决问题的原理与该方法相似，因此该装置的实施可以参见方法的实施，重复之处不再赘述。
需要说明的是，本申请实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。另外，在本申请各个实 施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
如图11所示，该装置包括：选择模块1100、确定模块1101，其中：
所述选择模块1100，用于若与AF发起生成应用层密钥会话之前，通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
所述确定模块1101，用于根据选择的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述选择模块1100具体用于：
根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述选择模块1100具体还用于：
直接接收AUSF发送的指示信息或接收AMF转发的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
在此需要说明的是，本发明实施例提供的上述装置，能够实现上述方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
实施例7、基于同一发明构思，本发明实施例中还提供了第二种应用层密钥确定的装置，由于该装置是本发明实施例方法对应的装置，并且该装置解决问题的原理与该方法相似，因此该装置的实施可以参见方法的实施，重复之处不再赘述。
需要说明的是，本申请实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个处理器可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
如图12所示，该装置包括：第一确定模块1200、第二确定模块1201，其中：
所述第一确定模块1200，用于若UE与AF发起生成应用层密钥会话之前， 与所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
所述第二确定模块1201，用于根据所述使用的AUSF密钥确定应用层密钥。
作为一种可能的实施方式，所述第一确定模块1200具体用于：
根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据收到的UDM或PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
作为一种可能的实施方式，所述第一确定模块1200具体还用于：
向UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
作为一种可能的实施方式，所述第一确定模块1200具体用于：
直接向UE发送携带标识信息的AUSF的指示信息；或，
通过AMF向UE发送携带标识信息的AUSF的指示信息。
作为一种可能的实施方式，所述标识信息包括：
接入网络类型；或，
非接入层NAS连接ID；或，
PLMN ID；或，
密钥标识ngKSI。
在此需要说明的是，本发明实施例提供的上述装置，能够实现上述方法实施例所实现的所有方法步骤，且能够达到相同的技术效果，在此不再对本实施例中与方法实施例相同的部分及有益效果进行具体赘述。
本实施例还提供一种计算机存储介质，所述处理器可读存储介质可以是处理器能够存取的任何可用介质或数据存储设备，包括但不限于磁性存储器(例如软盘、硬盘、磁带、磁光盘(MO)等)、光学存储器(例如CD、DVD、BD、HVD等)、以及半导体存储器(例如ROM、EPROM、EEPROM、非易失性存储器(NAND FLASH)、固态硬盘(SSD))等。
本实施例还提供一种计算机存储介质，该程序被处理器执行时实现如下方法的步骤：
若与AF发起生成应用层密钥会话之前，通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；
根据选择的AUSF密钥确定应用层密钥。
本实施例还提供一种计算机存储介质，所述处理器可读存储介质可以是处理器能够存取的任何可用介质或数据存储设备，包括但不限于磁性存储器(例如软盘、硬盘、磁带、磁光盘(MO)等)、光学存储器(例如CD、DVD、BD、HVD等)、以及半导体存储器(例如ROM、EPROM、EEPROM、非易失性存储器(NAND FLASH)、固态硬盘(SSD))等。
本实施例还提供一种计算机存储介质，该程序被处理器执行时实现如下方法的步骤：
若UE与AF发起生成应用层密钥会话之前，与所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
根据所述使用的AUSF密钥确定应用层密钥。
以上参照示出根据本申请实施例的方法、装置(***)和/或计算机程序产品的框图和/或流程图描述本申请。应理解，可以通过计算机程序指令来实现框图和/或流程图示图的一个块以及框图和/或流程图示图的块的组合。可以将这些计算机程序指令提供给通用计算机、专用计算机的处理器和/或其它可 编程数据处理装置，以产生机器，使得经由计算机处理器和/或其它可编程数据处理装置执行的指令创建用于实现框图和/或流程图块中所指定的功能/动作的方法。
相应地，还可以用硬件和/或软件(包括固件、驻留软件、微码等)来实施本申请。更进一步地，本申请可以采取计算机可使用或计算机可读存储介质上的计算机程序产品的形式，其具有在介质中实现的计算机可使用或计算机可读程序代码，以由指令执行***来使用或结合指令执行***而使用。在本申请上下文中，计算机可使用或计算机可读介质可以是任意介质，其可以包含、存储、通信、传输、或传送程序，以由指令执行***、装置或设备使用，或结合指令执行***、装置或设备使用。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (28)

  1. 一种应用层密钥确定的方法，其特征在于，该方法包括：
    若与应用功能AF发起生成应用层密钥会话之前，用户终端UE通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的认证服务器功能AUSF密钥中选择AUSF使用的AUSF密钥；
    所述UE根据选择的AUSF密钥确定应用层密钥。
  2. 根据权利要求1所述的方法，其特征在于，所述UE从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥，包括：
    所述UE根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
    所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
  3. 根据权利要求2所述的方法，其特征在于，所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥之前，还包括：
    所述UE直接接收AUSF发送的指示信息或接收接入和移动管理功能AMF转发的AUSF的指示信息。
  4. 根据权利要求2或3所述的方法，其特征在于，所述标识信息包括：
    接入网络类型；或，
    非接入层NAS连接标识ID；或，
    公共陆地移动网络标识PLMN ID；或，
    密钥标识ngKSI。
  5. 一种应用层密钥确定的方法，其特征在于，该方法包括：
    若用户终端UE与应用功能AF发起生成应用层密钥会话之前，认证服务器功能AUSF与所述UE通过不同的接入网执行多次主认证流程，则确定UE 与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
    所述AUSF根据所述使用的AUSF密钥确定应用层密钥。
  6. 根据权利要求5所述的方法，其特征在于，所述AUSF从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥，包括：
    所述AUSF根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
    所述AUSF根据收到的统一数据管理UDM或控制策略功能PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
    所述AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
  7. 根据权利要求6所述的方法，其特征在于，所述AUSF根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥之后，还包括：
    所述AUSF向UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
  8. 根据权利要求7所述的方法，其特征在于，所述AUSF向UE发送携带标识信息的AUSF的指示信息，包括：
    所述AUSF直接向UE发送携带标识信息的AUSF的指示信息；或，
    所述AUSF通过接入和移动管理功能AMF向UE发送携带标识信息的AUSF的指示信息。
  9. 根据权利要求7或8所述的方法，其特征在于，所述标识信息包括：
    接入网络类型；或，
    非接入层NAS连接标识ID；或，
    公共陆地移动网络标识PLMN ID；或，
    密钥标识ngKSI。
  10. 一种应用层密钥确定的终端，其特征在于，包括存储器，收发机，处理器：
    存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
    若与应用功能AF发起生成应用层密钥会话之前，通过不同的接入网执行多次主认证流程，则与AF发起生成应用层密钥会话后，从执行多次主认证流程得到的认证服务器功能AUSF密钥中选择AUSF使用的AUSF密钥；
    根据选择的AUSF密钥确定应用层密钥。
  11. 根据权利要求10所述的终端，其特征在于，所述处理器具体被配置为执行：
    根据预先配置的与AUSF相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
    根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
  12. 根据权利要求11所述的终端，其特征在于，所述处理器具体还被配置为执行：
    直接接收AUSF发送的指示信息或接收接入和移动管理功能AMF转发的AUSF的指示信息。
  13. 根据权利要求11或12所述的终端，其特征在于，所述标识信息包括：
    接入网络类型；或，
    非接入层NAS连接标识ID；或，
    公共陆地移动网络标识PLMN ID；或，
    密钥标识ngKSI。
  14. 一种应用层密钥确定的网络设备，其特征在于，包括存储器，收发机，处理器：
    存储器，用于存储计算机程序；收发机，用于在所述处理器的控制下收发数据；处理器，用于读取所述存储器中的计算机程序并执行以下操作：
    若用户终端UE与应用功能AF发起生成应用层密钥会话之前，与所述UE通过不同的接入网执行多次主认证流程，则确定UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥；
    根据所述使用的AUSF密钥确定应用层密钥。
  15. 根据权利要求14所述的网络设备，其特征在于，所述处理器具体被配置为执行：
    根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
    根据收到的统一数据管理UDM或控制策略功能PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
    根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
  16. 根据权利要求15所述的网络设备，其特征在于，所述处理器具体还被配置为执行：
    向UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
  17. 根据权利要求16所述的网络设备，其特征在于，所述处理器具体被配置为执行：
    直接向UE发送携带标识信息的AUSF的指示信息；或，
    通过接入和移动管理功能AMF向UE发送携带标识信息的AUSF的指示信息。
  18. 根据权利要求16或17所述的网络设备，其特征在于，所述标识信 息包括：
    接入网络类型；或，
    非接入层NAS连接标识ID；或，
    公共陆地移动网络标识PLMN ID；或，
    密钥标识ngKSI。
  19. 一种应用层密钥确定的装置，其特征在于，该装置包括：选择模块、确定模块，其中：
    所述选择模块，用于若与应用功能AF发起生成应用层密钥会话之前，通过不同的接入网执行多次主认证流程，则与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的认证服务功能AUSF密钥中选择AUSF使用的AUSF密钥；
    所述确定模块，用于根据选择的所述AUSF密钥确定应用层密钥。
  20. 根据权利要求19所述的装置，其特征在于，所述选择模块，具体用于：
    根据预先配置的与所述AUSF相同的选择规则，从执行多次主认证流程得到的所述AUSF密钥中选择所述AUSF使用的所述AUSF密钥；或，
    根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥。
  21. 根据权利要求20所述的装置，其特征在于，所述选择模块，在根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述指示信息中携带的标识信息对应的AUSF密钥之前，还用于：
    直接接收所述AUSF发送的指示信息或接收接入和移动管理功能AMF转发的所述AUSF的指示信息。
  22. 根据权利要求20或21所述的装置，其特征在于，所述标识信息包括：
    接入网络类型；或，
    非接入层NAS连接标识ID；或，
    公共陆地移动网络标识PLMN ID；或，
    密钥标识ngKSI。
  23. 一种应用层密钥确定的装置，其特征在于，该装置包括：第一确定模块、第二确定模块，其中：
    所述第一确定模块，用于若用户终端UE与应用功能AF发起生成应用层密钥会话之前，与所述UE通过不同的接入网执行多次主认证流程，则确定所述UE与所述AF发起生成应用层密钥会话后，从执行多次主认证流程得到的认证服务器功能AUSF密钥中确定使用的AUSF密钥；
    所述第二确定模块，用于根据所述使用的AUSF密钥确定应用层密钥。
  24. 根据权利要求23所述的装置，其特征在于，所述第一确定模块，具体用于：
    根据预先配置的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
    根据收到的统一数据管理UDM或控制策略功能PCF发送的与所述UE相同的选择规则，从执行多次主认证流程得到的AUSF密钥中选择AUSF使用的AUSF密钥；或，
    根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥。
  25. 根据权利要求24所述的装置，其特征在于，所述第一确定模块，在根据预设规则，从执行多次主认证流程得到的AUSF密钥中确定使用的AUSF密钥之后，还用于：
    向所述UE发送携带标识信息的AUSF的指示信息，以使所述UE根据收到的AUSF的指示信息，从执行多次主认证流程得到的AUSF密钥中，选择与所述标识信息对应的AUSF密钥。
  26. 根据权利要求25所述的装置，其特征在于，所述第一确定模块，具体用于：
    直接向所述UE发送携带标识信息的AUSF的指示信息；或，
    通过AMF向所述UE发送携带标识信息的AUSF的指示信息。
  27. 根据权利要求25或26所述的装置，其特征在于，所述标识信息包括：
    接入网络类型；或，
    非接入层NAS连接标识ID；或，
    公共陆地移动网络标识PLMN ID；或，
    密钥标识ngKSI。
  28. 一种处理器可读存储介质，其特征在于，所述处理器可读存储介质存储有计算机程序，所述计算机程序用于使所述处理器执行权利要求1至4任一项所述的方法或权利要求5至9任一项所述的方法。
PCT/CN2021/102709 2020-09-01 2021-06-28 一种应用层密钥确定的方法、终端、网络侧设备及装置 WO2022048265A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202010905448.3 2020-09-01
CN202010905448.3A CN114125834A (zh) 2020-09-01 2020-09-01 一种应用层密钥确定的方法、终端、网络侧设备及装置

Publications (1)

Publication Number Publication Date
WO2022048265A1 true WO2022048265A1 (zh) 2022-03-10

Family

ID=80360433

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2021/102709 WO2022048265A1 (zh) 2020-09-01 2021-06-28 一种应用层密钥确定的方法、终端、网络侧设备及装置

Country Status (2)

Country Link
CN (1) CN114125834A (zh)
WO (1) WO2022048265A1 (zh)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019096075A1 (zh) * 2017-11-14 2019-05-23 华为技术有限公司 一种消息保护的方法及装置
CN111464287A (zh) * 2019-01-21 2020-07-28 华为技术有限公司 生成密钥的方法和装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090282251A1 (en) * 2008-05-06 2009-11-12 Qualcomm Incorporated Authenticating a wireless device in a visited network
US11540125B2 (en) * 2017-03-17 2022-12-27 Nec Corporation Authentication device, network device, communication system, authentication method, and non-transitory computer readable medium
CN111404669B (zh) * 2019-01-02 2023-05-09 ***通信有限公司研究院 一种密钥生成方法、终端设备及网络设备

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019096075A1 (zh) * 2017-11-14 2019-05-23 华为技术有限公司 一种消息保护的方法及装置
CN111464287A (zh) * 2019-01-21 2020-07-28 华为技术有限公司 生成密钥的方法和装置

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
NEC: "KAUSF desynchronization problem and solutions – updated version after conf call on 25 Apr.", 3GPP DRAFT; S3-191204_UPDATED_DISCUSSION_ON_KAUSF_DESYNCHRONIZATION, vol. SA WG3, 28 April 2019 (2019-04-28), pages 1 - 8, XP051721378, ISBN: Reno (USA) *
NEC: "KAUSF desynchronization problem and solutions", 3GPP DRAFT; S3-191203_DISCUSSION_ON_KAUSF_DESYNCHRONIZATION, vol. SA WG3, 28 April 2019 (2019-04-28), Reno (USA), pages 1 - 6, XP051721377 *
ZTE CORPORATION: "Defining AKMA key identifier for AKMA Anchor Key on demand procedures", 3GPP DRAFT; S3-200673, vol. SA WG3, 3 April 2020 (2020-04-03), pages 1 - 3, XP051868581 *

Also Published As

Publication number Publication date
CN114125834A (zh) 2022-03-01

Similar Documents

Publication Publication Date Title
US20240064514A1 (en) Delegated data connection
US20230099786A1 (en) Methods and Apparatus for Provisioning Private Network Devices During Onboarding
WO2022028041A1 (zh) 用户终端与网络进行通信的方法、终端、网络设备及装置
JP7472331B2 (ja) セキュリティコンテキスト取得方法および装置、ならびに通信システム
US20230397020A1 (en) Method and apparatus for controlling data transmission, and storage medium
WO2021087910A1 (zh) 用于连接网络的方法和设备
WO2022048681A1 (zh) 信息处理方法、装置、终端设备及网络侧设备
WO2022048265A1 (zh) 一种应用层密钥确定的方法、终端、网络侧设备及装置
WO2021073382A1 (zh) 注册方法及装置
WO2024131598A1 (zh) 一种信息处理方法、装置及可读存储介质
WO2024067398A1 (zh) 紧急业务的处理方法及装置
WO2024082839A1 (zh) 一种信息传输方法、装置及设备
WO2023284474A1 (zh) Amf选择方法、设备、装置及存储介质
WO2023020276A1 (zh) 组播广播业务数据传输方法、装置、设备以及存储介质
WO2023231767A1 (zh) 定时提前值传输方法、装置及存储介质
WO2023216032A1 (en) Security communication in prose u2n relay
EP4271113A1 (en) Communication method and apparatus
WO2024098228A1 (en) Path switch between relays and security procedures
WO2023208046A1 (zh) 资源选择方法、设备、装置及存储介质
WO2023131044A1 (zh) 认证与安全方法、装置及存储介质
EP4262149A1 (en) Method and apparatus for authenticating user equipment in wireless communication system
WO2023241181A1 (zh) 指示方法、终端及网络侧设备
WO2024022157A1 (zh) 定位处理方法、装置及设备
CN118118161A (zh) 建立安全关联的方法、设备、装置及存储介质
TW202420860A (zh) 隨機接取過程prach發送功率的控制方法及裝置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21863333

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21863333

Country of ref document: EP

Kind code of ref document: A1