[go: up one dir, main page]

CN107371155A - 通信安全的处理方法、装置及系统 - Google Patents

通信安全的处理方法、装置及系统 Download PDF

Info

Publication number
CN107371155A
CN107371155A CN201610319275.0A CN201610319275A CN107371155A CN 107371155 A CN107371155 A CN 107371155A CN 201610319275 A CN201610319275 A CN 201610319275A CN 107371155 A CN107371155 A CN 107371155A
Authority
CN
China
Prior art keywords
terminal
ran node
node
entity
derivation parameters
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201610319275.0A
Other languages
English (en)
Other versions
CN107371155B (zh
Inventor
蔺波
应江威
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority to CN201610319275.0A priority Critical patent/CN107371155B/zh
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to EP20177134.2A priority patent/EP3771243B1/en
Priority to BR112018073255-9A priority patent/BR112018073255A2/pt
Priority to EP17795592.9A priority patent/EP3448076B1/en
Priority to JP2018559809A priority patent/JP6734936B2/ja
Priority to PCT/CN2017/084002 priority patent/WO2017193974A1/zh
Publication of CN107371155A publication Critical patent/CN107371155A/zh
Priority to US16/186,312 priority patent/US11425618B2/en
Application granted granted Critical
Publication of CN107371155B publication Critical patent/CN107371155B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/04—Reselecting a cell layer in multi-layered cells
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/08—Reselecting an access point
    • H04W36/087—Reselecting an access point between radio units of access points
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/34—Reselection control
    • H04W36/38—Reselection control by fixed network equipment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/042—Public Land Mobile systems, e.g. cellular systems

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

一种通信安全的处理方法，用于终端从源小区切换到目标小区时的AS安全的处理，包括：获取推演参数，并根据源AS根密钥和推演参数推演目标AS根密钥，且根据目标AS根密钥，计算在目标小区使用的AS安全密钥，其中，源AS根密钥为在源小区使用的AS根密钥，目标AS根密钥为在目标小区使用的AS根密钥，推演参数用于推演AS根密钥，且对应于目标小区所在的RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数。如此，终端在相同RAN节点、RAN节点组或区域内切换时，无需更新AS安全密钥，节约了更新AS安全密钥的开销。

Description

通信安全的处理方法、装置及系统
技术领域
本申请涉及通信技术领域，特别涉及通信安全的处理方法、装置及系统。
背景技术
随着无线通信技术的发展，无线网络的用户日益增长，人们对无线通信的安全也越来越重视。因此无线网络提供了安全机制以提高信息传输的安全。目前的安全机制主要包括鉴权、非接入层(non-access stratum，NAS)安全和接入层(access stratum，AS)安全等方面，其中在AS安全方面，终端在每次切换时，都需要更新AS安全密钥，如此，随着小区的增多，小区覆盖范围的减小，AS安全密钥的更新频率会不断增加，这种频繁的AS安全密钥的更新将带来很大的开销。
发明内容
有鉴于此，本申请提供通信安全的处理方法、装置及系统，以期减少AS安全密钥更新所带来的开销。
在一种通信安全的处理方法中，终端在相同的RAN节点、RAN节点组或区域内的小区之间切换时，无需更新AS安全密钥，在不同的RAN节点、RAN节点组或区域内的小区或频率之间切换时，才更新AS安全密钥，如此节省了AS安全通信所需要的开销。
第一方面，当终端从源小区切换到目标小区时执行操作：确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域，当源小区和目标小区位于相同的RAN节点、RAN节点组或区域时，继续使用在源小区使用的AS根密钥，或者说，继续使用在源小区使用的AS安全密钥。
如此，终端无需更新AS安全密钥，节约了密钥更新的开销。
终端确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域可以采用多种方法，以下例举几种方法：
终端接收源RAN节点发送的切换命令，当切换命令中不包括NCC或者包括的NCC与终端当前的NCC相同时，终端确定源小区和目标小区位于相同的RAN节点、RAN节点组或区域。
再如，终端接收源RAN节点发送的信令，该信令用于指示终端从源小区切换到目标小区，当终端未接收到推演参数时，确定源小区和目标小区位于相同的RAN节点、RAN节点组或区域。
再如，终端接收源RAN节点发送的信令，该信令用于通知终端源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域，或者用于通知终端是否推演AS根密钥或更新AS安全密钥，终端根据该信令确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域。
第二方面，当终端从源小区切换到目标小区，且源小区和目标小区位于不同的RAN节点、RAN节点组或区域时，终端执行操作：获取推演参数，并根据源AS根密钥和推演参数推演目标AS根密钥，且根据目标AS根密钥，计算在目标小区使用的AS安全密钥，其中，源AS根密钥为在源小区使用的AS根密钥，目标AS根密钥为在目标小区使用的AS根密钥，推演参数用于推演AS根密钥，且对应于目标小区所在的RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数。
第三方面，提供一种通信安全的处理装置，位于终端，用于执行以上第一方面或第二方面的方法。该装置具有执行以上第一方面或第二方面的方法的各个步骤的单元；或者具有处理器和存储器，存储器存储程序，处理器调用存储器存储的程序，执行以上第一方面或第二方面的方法。
例如，该装置具有确定单元和使用单元以执行以上第一方面的方法，确定单元用于确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域；使用单元用于在源小区和目标小区位于相同的RAN节点、RAN节点组或区域时，继续使用在源小区使用的AS根密钥，或者说，继续使用在源小区使用的AS安全密钥。
例如，该装置具有获取单元、推演单元和计算单元。其中，获取单元用于在终端从源小区切换到目标小区时，获取推演参数，该推演参数用于推演AS根密钥，且推演参数对应于目标小区所在的RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数；推演单元用于根据源AS根密钥和推演参数推演目标AS根密钥，其中源AS根密钥为终端在源小区使用的AS根密钥，目标AS根密钥为终端在目标小区使用的AS根密钥；计算单元，用于根据目标AS根密钥，计算在目标小区使用的AS安全密钥，其中源小区和目标小区位于不同的RAN节点、RAN节点组或区域。该装置还可以包括使用单元，用于使用计算单元计算出的AS安全密钥与目标RAN节点进行通信。
第三方面，提供一种通信安全的处理方法，由RAN节点执行，包括：确定将终端从源小区切换到目标小区；确定源小区和目标小区是否位于相同的RAN节点、RAN节点组、或区域内；当源小区和目标小区位于相同的RAN节点、RAN节点组、或区域内时，继续使用源AS根密钥，即继续使用在源小区使用的AS安全密钥；或者，当源小区和目标小区位于不同的RAN节点、或RAN节点组、或区域内时，获取推演参数，根据源AS根密钥和推演参数推演目标AS根密钥，并将目标AS根密钥发送给目标RAN节点，推演参数对应于目标小区所在的RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数。
第四方面，提供一种通信安全的处理装置，位于RAN节点，用于执行以上第三方面的方法。该装置具有执行以上第三方面的方法中各个步骤的单元；或者具有处理器和存储器，存储器存储程序，处理器调用存储器存储的程序，执行以上第三方面的方法。
例如，该装置包括确定单元和使用单元，其中确定单元用于确定源小区和目标小区是否位于相同的RAN节点、RAN节点组、或区域内；使用单元用于在源小区和目标小区位于相同的RAN节点、RAN节点组、或区域内时，继续使用源AS根密钥，即继续使用在源小区使用的AS安全密钥。
例如，该装置包括确定单元，获取单元，推演单元，第一发送单元，确定单元用于确定源小区和目标小区是否位于相同的RAN节点、RAN节点组、或区域内；获取单元，用于当源小区和目标小区位于不同的RAN节点、或RAN节点组、或区域内时，获取推演参数，该推演参数用于推演AS根密钥，且推演参数对应于目标小区所在的目标RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数；推演单元，用于根据源AS根密钥和推演参数推演目标AS根密钥；第一发送单元用于将目标AS根密钥发送给目标RAN节点。
在以上各个方面，推演参数可以包括以下参数：目标小区所在的RAN节点的标识，目标小区所在的RAN节点组的标识、目标小区所在的RAN节点或RAN节点组对应的配置值、目标小区所在的区域的标识、或终端标识。其中终端标识用于标识终端在为该终端分配终端标识的RAN节点的范围内。终端标识可以单独作为推演参数，也可以与其它推演参数共同作为推演参数来推演目标AS根密钥。此外，同一RAN节点组或区域内的RAN节点为终端分配相同的终端标识。这样，可以进一步扩大AS安全密钥不更新的范围，进一步节省AS安全密钥更新的开销。
在以上各个方面，终端可以从源小区或目标小区所在的RAN节点获取推演参数。当从源小区所在的RAN节点获取推演参数时，以上RAN节点还可以包括第二发送单元，用于向终端发送推演参数。
例如从源小区所在的RAN节点获取推演参数时，可以利用源小区所在的RAN节点发送的切换命令携带推演参数，以发送给终端。由于在切换过程中，RAN节点给终端发送切换命令以触发终端切换，故在此可以在该切换命令中携带推演参数，即可以与现有切换流程兼容，又可以避免增加新的信令交换流程。
再如，从目标小区所在的RAN节点获取推演参数时，可以在目标小区广播的系统消息中增加该推演参数，或者扩展ECGI来携带该推演参数。另外，还可以在终端与目标小区所在的RAN节点进行AS安全算法协商时，通过AS安全模式命令带给终端。
在以上各个方面，终端可以与网络侧设置相同的推演参数策略，例如设置相同的推演参数初始值和更新策略，此时终端和RAN节点均设置有相同的推演参数的初始值和更新策略，且终端通过采用该更新策略更新推演参数来获取推演参数；同样的RAN节点也通过采用该更新策略更新推演参数来获取推演参数。
RAN节点可以在确定源小区和目标小区位于不同的RAN节点、RAN节点组或区域时，更新推演参数。此时RAN节点可以向终端发送通知消息，通知终端更新推演参数。终端则可以据此通知消息，更新推演参数。此外，终端也可以自己确定源小区和目标小区位于不同的RAN节点、RAN节点组或区域时，更新推演参数。
以上各个方面可以用于第一网络，该第一网络的RAN包括CU节点和DU节点，且CU节点与至少一个DU节点相连，推演参数对应于目标小区所在的CU节点或CU节点组，其中，相同的CU节点、或CU节点组内的小区具有相同的推演参数。例如，推演参数包括CU节点标识，CU节点组标识，CU节点对应的配置值，或CU节点组对应的配置值。
以上CU节点可以包括控制面CU实体和用户面CU实体，且推演参数包括第一参数和/或第二参数，其中，第一参数对应于目标小区所在的控制面CU实体或控制面CU实体组，其中，相同的控制面CU实体、控制面CU实体组内的小区具有相同的推演参数；第二参数对应于目标小区所在的用户面CU实体或用户面CU实体组，其中，相同的用户面CU实体或用户面CU实体组内的小区具有相同的推演参数。例如，第一参数包括控制面CU实体标识，控制面CU实体组标识，控制面CU实体对应的配置值，或控制面CU实体组对应的配置值；第二参数包括用户面CU实体标识，用户面CU实体组标识，用户面CU实体对应的配置值，或用户面CU实体组对应的配置值。
可见，在以上各个方面，终端在相同的RAN节点、RAN节点组或区域内的小区之间切换时，无需更新AS安全密钥，在不同的RAN节点、RAN节点组或区域内的小区或频率之间切换时，才更新AS安全密钥，如此节省了AS安全通信所需要的开销。
附图说明
图1为本申请实施例提供的一种安全机制的示意图；
图2为本申请实施例提供的AS安全密钥的生成过程示意图，；
图3为现有技术一种AS根密钥的推演示意图；
图4为本申请实施例提供的一种AS根密钥的推演示意图；
图5为本申请实施例提供的另一种AS根密钥的推演示意图；
图6为本申请实施例应用的一种通信场景的示意图；
图7为本申请实施例提供的一种通信安全的处理方法的示意图；
图8为本申请实施例提供的另一种通信安全的处理方法的示意图；
图9为本申请实施例提供的另一种网络架构的示意图；
图10为本申请实施例提供的又一种网络架构的示意图；
图11为本申请实施例提供的又一种AS根密钥的推演示意图；
图12为本申请实施例提供的又一种通信安全的处理方法的示意图；
图13为本申请实施例提供的又一种通信安全的处理方法的示意图；
图14为本申请实施例提供的又一种通信安全的处理方法的示意图；
图15为本申请实施例提供的一种AS安全算法协商方法的示意图；
图16为本申请实施例提供的又一种通信安全的处理方法的示意图；
图17为本申请实施例提供的一种通信安全的处理装置的示意图；
图18为本申请实施例提供的另一种通信安全的处理装置的示意图；
图19为本申请实施例提供的又一种通信安全的处理装置的示意图；
图20为本申请实施例提供的又一种通信安全的处理装置的示意图；
图21为本申请实施例提供的又一种通信安全的处理装置的示意图；
图22为本申请实施例提供的又一种通信安全的处理装置的示意图。
具体实施方式
下面将结合附图，对本申请实施例中的技术方案进行清楚地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的其它实施例，都属于本申请保护的范围。
1)、终端，又称之为用户设备(User Equipment，UE)或移动设备(mobileequipment，ME)，是一种向用户提供语音和/或数据连通性的设备，例如，具有无线连接功能的手持式设备、车载设备等。常见的终端例如包括：手机、平板电脑、笔记本电脑、掌上电脑、移动互联网设备(mobile internet device，MID)、可穿戴设备，例如智能手表、智能手环、计步器等。
2)、无线接入网(Radio Access Network，RAN)是网络中将终端接入到无线网络的部分。RAN节点为RAN侧的设备，包括但不限于：演进型节点B(evolved Node B，eNB)、无线网络控制器(radio network controller，RNC)、节点B(Node B，NB)、基站控制器(BaseStation Controller，BSC)、基站收发台(Base Transceiver Station,BTS)、家庭基站(例如，Home evolved NodeB，或Home Node B，HNB)、基带单元(BaseBand Unit，BBU)，或Wifi接入点(Access Point，AP)等。另外，在本申请实施例介绍的一种网络结构中，RAN可以包括集中单元(centralized unit，CU)和分布单元(distributed unit，DU)等节点，在本申请具有该网络结构的实施例中的RAN节点是指CU节点。
3)AS根密钥：作为AS安全算法的输入，是用于计算AS安全密钥的参数，例如可以包括：KeNB或下一跳(next hop，NH)密钥，简称NH。另外，在本申请实施例介绍的RAN包括CU和DU等节点的网络结构中，该AS根密钥可以包括KCU。在终端切换过程中，在源小区使用的AS根密钥可以称为源AS根密钥，在目标小区使用的AS根密钥可以称为目标AS根密钥。
4)推演参数：用于推演(derive)AS根密钥的参数。
5)RAN节点标识，用于标识对应的RAN节点；RAN节点组标识用于标识对应的RAN节点组，且RAN节点组具有至少一个RAN节点；区域标识用于标识对应的区域。
6)、“多个”是指两个或两个以上，其它量词与之类似。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。
请参考图1，其为本申请实施例提供的一种安全机制的示意图。如图1所示，该安全机制主要包括以下几个方面：
第一、鉴权：用于在终端接入无线网络时，在终端和网络之间进行身份认证，该过程又可以称为接入认证，是双方的，在终端与核心网(core network，CN)设备之间进行。该鉴权过程除了完成终端和网络之间的相互认证，还用于产生根密钥KASME。
第二、NAS安全：用于协商终端与网络之间的NAS安全算法，且基于该NAS安全算法和根密钥KASME生成NAS安全密钥，该NAS安全密钥包括NAS加密密钥NAS_enc和NAS完整性保护密钥NAS_int。如此，终端和网络之间交互的NAS信令便可以得到NAS安全密钥的保护了。
该NAS安全算法的协商是在终端与CN设备之间进行的，且NAS安全密钥由终端和CN设备根据协商的NAS安全算法和根密钥KASME生成。
第三、接入层(access stratum，AS)安全：用于协商终端与网络之间的AS安全算法，且基于该AS安全算法生成AS安全密钥。该AS安全密钥包括信令面加密密钥Krrcenc，信令面完整性保护密钥Krrcint，以及用户面加密密钥Kupenc。用户面数据可以只加密，不进行完整性保护；在某些场景，例如，中继(relay)场景或蜂窝物联网(CIoT)等场景，可以对用户面数据进行完整性保护，此时，AS安全密钥还可以包括用户面完整性保护密钥Kupint。利用AS安全密钥，终端和RAN设备之间交互的信令和用户面数据就可以得到AS安全保护了。
在AS安全过程中，终端与RAN设备协商好AS安全算法之后，会利用该AS安全算法和AS根密钥计算出AS安全密钥。下面结合图2和图3，以长期演进(Long Term Evolution，LTE)系统为例，描述AS安全密钥的生成过程，其中RAN设备为eNB，CN设备为移动性管理实体(mobility management entity，MME)。图2为AS安全密钥的生成过程示意图，图3为现有技术中AS根密钥的推演示意图。
终端和eNB根据彼此的安全能力协商好AS安全算法，例如，如图2所示，根据终端安全能力(UE SEC CAPA)和eNB安全能力(eNB SEC CAPA)协商得到演进型分组系统完整性算法(evolved packet system integrity algorithm，EIA)和演进型分组系统加密算法(evolved packet system encryption algorithm，EEA)；而后根据协商好的算法和AS根密钥计算AS安全密钥，如图2所示，该AS安全密钥包括：信令面加密密钥Krrcenc，信令面完整性保护密钥Krrcint，以及用户面加密密钥Kupenc。在某些场景还可以包括用户面完整性保护密钥Kupint。其中，AS根密钥可以为KeNB，也可以为NH。结合图3，在终端初始接入网络或状态转换时，例如，当终端初始附着(attach)网络或者由空闲(idle)态转为连接(connected)态时，AS根密钥KeNB由MME和终端根据根密钥KASME和NAS上行计数(NAS uplinkcount)生成，且MME将生成的AS根密钥KeNB发送给eNB，以供eNB计算AS安全密钥。为了区别后面产生的KeNB，将该AS根密钥KeNB称为初始AS根密钥(简称初始KeNB)。当终端从源小区切换到目标小区时，需要推演新的AS根密钥KeNB(图3中以KeNB*表示)来生成新的AS安全密钥。如图3所示，目前有两种推演方法：
水平推演(又称为横向推演)：根据终端在源小区使用的KeNB、目标小区的物理小区标识(physical cell identifier，PCI)、目标小区的下行演进的通用陆基无线接入绝对无线频率信道号(evolved universal terrestrial radio access，E-UTRA，absoluteradio frequency channel number-downlink，EARFCN-DL)来生成终端在目标小区使用的KeNB。
垂直推演(又称为纵向推演)：根据源eNB上保存的NH、目标小区的PCI、目标小区的EARFCN-DL来生成终端在目标小区使用的KeNB。KeNB用于计算AS安全密钥，NH与KeNB关联，因此NH也可以理解为计算AS安全密钥的根密钥。KeNB和NH均可以进一步推演，其中，KeNB用于水平推演，NH用于垂直推演。每个NH对应一个下一跳链计数(next hop chaining count，NCC)。初始KeNB直接由KASME推导得出，可以认为它与一个NCC值为0的虚拟NH关联；第一个NH是由KASME和初始KeNB推导出的，该NH值对应的NCC值为1；之后，每根据当前NH推导出下一个NH之后，NCC加1。
目前终端在切换过程中，需要利用PCI和EARFCN-DL等参数进行AS根密钥的推演，因此每次切换都需要更新AS安全密钥。如此，随着小区的增多，小区覆盖范围的减小，AS安全密钥的更新频率会不断增加，这种频繁的AS安全密钥的更新将带来很大的开销。
本申请考虑到该问题，提出一种密钥推演机制，在该密钥推演机制中，不再采用PCI和EARFCN-DL作为AS根密钥的推演参数，而是采用eNB标识(eNB ID)作为推演参数来推演AS根密钥，如图4所示。且该eNB ID对应的eNB下的所有小区具有相同的推演参数，即该eNB ID。也就是说，当终端在该eNB下的小区之间切换时，如果进行AS安全密钥的更新，则采用相同的推演参数推演AS根密钥，则推演出的AS根密钥是相同的，因此，无需进行AS安全密钥的更新，减少了密钥更新的开销。
以上eNB在不同的无线网络中可以为不同的RAN节点，推演参数可以为RAN节点标识。此外，该RAN节点标识可以通过配置值来取代，即为每个RAN节点配置一个值，例如，可以为随机数，且利用该配置值来推演AS根密钥，则该RAN节点下的小区均以该配置值作为AS根密钥的推演参数，终端在该RAN节点下的小区间切换时，无需更新AS安全密钥。另外，也可以以区域标识来代替以上RAN节点标识，该区域内的小区均以该区域标识作为AS根密钥的推演参数，如此终端在该区域内的小区间切换时，无需更新AS安全密钥。再者，也可以设置RAN节点组标识，则该组内的RAN节点下的小区均以该RAN节点组标识作为AS根密钥的推演参数，如此，终端在该组内的小区间切换时，也无需更新AS安全密钥。
此外，还可以在终端与RAN节点上设置相同的推演参数的更新策略，当终端在该RAN节点下的小区之间切换时，推演参数不进行更新，当终端在RAN节点之间切换时，采用该更新策略更新推演参数，由于终端与RAN节点采用相同的更新策略更新推演参数，则更新后的推演参数在终端和目标小区是相同的，推演出的目标AS根密钥相同，AS安全密钥也就相同，因此可以利用该AS安全密钥保护目标小区与终端之间的AS通信。
例如，以上更新策略可以通过计数器(counter)实现。在终端和RAN节点上均配置计数器，由终端和RAN节点各自维护自己的计数器，且设置好计数器的初始值，例如可以为0或1，当然也可以设置为其它任意值。终端与RAN节点建立初始连接时，两个计数器均采用初始值。当终端在RAN节点内切换时，RAN节点和终端无需更新计数器的值，当终端在RAN节点间切换时，RAN节点可以通知终端节点变更，终端据此更新计数器的值，且RAN节点自身也以相同的方式更新计数器的值，例如RAN节点和终端以相同的更新方式更新计数器的值，使得网络侧和终端保持相同的推演参数以得到相同的AS根密钥，进而使用相同的AS安全密钥。可见，在本实施例中，推演参数为计数器的值，且在终端在RAN节点间切换时，RAN节点和终端以相同的更新策略更新推演参数。可见，在本实施例中，同一个RAN节点下的小区具有相同的推演参数。
在另一种实现方式中，推演参数可以为终端标识(可以称为terminal ID，UE ID或ME ID)，该终端标识为RAN节点为该终端所分配的标识信息，不限于其内容形式，该终端标识用于标识该终端在该RAN节点范围内，如果终端接入的RAN节点变更，则相应的终端标识会改变，由此可以利用该终端标识作为推演参数，使得终端在RAN节点内的小区之间切换时，推演参数不变，则终端沿用在源小区使用的AS根密钥，AS安全密钥不变，节省密钥更新的开销。每个RAN节点为终端分配终端标识，且RAN节点之间分配的终端标识可以不同，则终端从源RAN节点到目标RAN节点时，终端标识改变，推演参数为目标RAN节点为终端分配的终端标识，即对应于目标小区所在的RAN节点。当然也可以设置在RAN节点组内的RAN节点均为终端分配相同的终端标识，如此终端在该RAN节点组内的小区之间切换时，也无需更新AS安全密钥。此外，也可以设置某个区域内的RAN节点为终端分配相同的终端标识，如此终端在该区域内的小区之间切换时，也无需更新AS安全密钥。此外，该推演参数终端标识可以单独使用，也可以与以上任一种推演参数结合作为推演AS根密钥的输入参数，即利用至少两个输入参数来推演AS根密钥。例如，请参考图5，在本实施例中，以eNB ID和UE ID作为AS根密钥的推演参数。
在以上实施例中，设计了与RAN节点、RAN节点组或区域对应的推演参数，且对于相同的RAN节点、RAN节点组或区域，其范围内所有小区具有相同的AS根密钥的推演参数，如此当终端在该范围内的小区间切换时，即使重新推演AS根密钥，也会推演出相同的根密钥，因此无需进行推演，也即无需更新AS安全密钥，减少了AS安全密钥更新的开销。
下面以LTE系统为例，在该LTE系统中，RAN节点为eNB，推演参数与eNB、eNB组或区域对应。如图6所示，该LTE系统包括eNB 610，MME 620，其中MME620与eNB 610之间的接口为S1接口，eNB 610之间的接口为X2接口。且每个eNB控制多个小区，例如小区Cell 1-Cell 3，每个小区分配有PCI。在现有技术中利用PCI和EARFCN-DL作为AS根密钥的推演参数，而在本实施例中采用eNB ID作为推演参数，如此，当终端630在eNB下的小区间切换时，例如从Cell1切换到Cell 3，由于推演参数eNB ID未变，无需更新AS安全密钥。当终端从eNB 611切换到eNB 612时，推演参数eNB ID发生了变化，则根据eNB 612的eNB ID推演目标AS根密钥，并根据目标AS根密钥计算在目标小区使用的AS安全密钥。
eNB ID用于标识对应的eNB，eNB下的小区以其eNB ID为推演参数，则具有相同的推演参数。如果针对每个eNB配置的一个值来作为该eNB下所有小区的推演参数，同样可以保证这些小区具有相同的推演参数，因此可以利用与eNB对应的配置值取代eNB ID作为推演参数。此外，也可以让多个eNB下的小区采用相同的推演参数，来进一步扩大AS安全密钥不更新的范围，此时可以以eNB组标识作为推演参数。另外，还可以让一个区域内的小区采用相同的推演参数，以区域标识作为推演参数，该区别标识例如为跟踪区(tracking area，TA)标识。
以上推演参数可以是CN设备发送给RAN节点的。然后再由RAN节点发送给终端以便于同步。CN设备发给RAN节点推演参数的方式可以有多种，以下举例说明，并非用以限制本申请:
例如，在终端与网络建立连接时由CN设备发送给RAN节点。例如，以LTE系统为例，在初始上下文建立过程中，由MME通过初始上下文建立请求(initial context setuprequest)消息中发给eNB。再如，在RAN节点和CN设备间建立接口时,由CN设备发送给RAN节点。例如在LTE系统中，在S1建立过程中，由MME通过S1建立响应(S1setup response)消息发给eNB。
下面以eNB ID为例进行描述，其它推演参数与之类似，不再进行赘述。
请参考图7，其为本申请实施例提供的一种通信安全的处理方法的示意图，该方法用于终端从源小区切换到目标小区时的AS安全的处理。本实施例也以LTE系统为背景、以eNB ID作为推演参数为例进行描述，其它推演参数与之类似，不再赘述。如图7所示，源小区和目标小区分别位于不同的eNB，即源eNB和目标eNB，该方法包括如下步骤：
S710：源eNB确定将终端切换到目标eNB，并获取目标eNB的eNB ID。
例如，源eNB可以根据终端上报的测量报告确定目标小区，进而确定目标eNB的eNBID。每个eNB ID可以由MME分配，并发送给对应的eNB，而后由eNB间交互获得对方的eNB ID，这在以上的实施例中已经描述，在此不再赘述。
在X2接口建立时，eNB之间可以交换各自的eNB ID以及各自eNB ID对应的小区列表(cell list)，如此源eNB可以根据目标小区的小区标识(cell ID)，获取目标eNB的eNBID，以利用目标eNB的eNB ID推演目标AS根密钥。当源eNB和目标eNB之间未建立X2接口时，也可以通过S1接口获得目标eNB的eNB ID。
S720：源eNB根据自身存储的NH或者源KeNB(即在源小区使用的AS根密钥)，以及目标eNB的eNB ID推演目标KeNB(即在目标小区使用的AS根密钥)。
S730：源eNB将推演出的目标KeNB发送给目标eNB，以便目标eNB计算AS安全密钥。
S740：目标eNB接收到源eNB发送的目标KeNB后，利用该目标KeNB计算AS安全密钥。
此时，终端也需要更新AS安全密钥，为了终端采用相同的推演参数推演AS根密钥，源eNB或者目标eNB将推演参数，目标eNB的eNB ID发送给终端。例如执行以下步骤S750或S760。
S750：源eNB将目标eNB的eNB ID发送给终端。
例如，源eNB可以在发送给终端切换命令中携带该目标eNB的eNB ID。
S760：目标eNB将目标eNB的eNB ID发送给终端。
例如，目标eNB可以在给终端广播的系统消息中携带该目标eNB的eNB ID；或者扩展ECGI，通过该ECGI发送目标eNB的eNB ID；或者在与终端协商AS安全算法的时候发送给终端。
S770：终端根据当前的NH或源KeNB，以及目标eNB的eNB ID推演目标KeNB；
S780：终端根据目标KeNB，计算在目标小区使用的AS安全密钥。
需要说明的是，以上步骤序号S710-S780并非用以限制各步骤之间的顺序，例如源eNB可以先给终端发送目标eNB的eNB ID，再推演目标KeNB，或者同时进行；再如，目标eNB可以先给终端发送目标eNB的eNB ID，再计算AS安全密钥。
在另一种实现方式中，在终端和网络侧可以配置相同的推演参数策略，例如设置相同的推演参数的初始值和更新策略。该推演参数的初始值和更新策略可以设置在每个RAN节点，例如eNB上。当终端在eNB内的小区间切换时，推演参数不进行更新，终端和eNB无需更新AS安全密钥。当终端在eNB间切换时，eNB可以通知终端eNB更新推演参数。具体请参考图8，其为本申请实施例提供的另一种通信安全的处理方法的示意图。如图8所示，该方法用于终端从源小区切换到目标小区时的AS安全的处理，其中源小区和目标小区分别位于不同的eNB，即源eNB和目标eNB，其中网络侧设置有与终端相同的推演参数策略，例如源eNB和终端上设置有相同的推演参数的初始值和更新策略，该方法包括如下步骤：
S810：源eNB确定将终端切换到目标eNB，根据更新策略更新推演参数，其中更新前的推演参数可能为具有初始值的推演参数，也可能为经过一次或多次更新的推演参数。
例如，可以在源eNB上设置计数器，该计数器具有初始值A，其更新步长为B，当终端要切换到目标eNB时，源eNB将计数器以更新步长B进行更新，更新后的计数值为推演目标KeNB的推演参数。
S820：源eNB根据自身存储的NH或者源KeNB，以及更新后的推演参数推演目标KeNB。
S830：源eNB将推演出的目标KeNB发送给目标eNB，以便目标eNB计算AS安全密钥。
S840：目标eNB接收到源eNB发送的目标KeNB后，利用该目标KeNB计算AS安全密钥。
此时，终端也需要更新AS安全密钥，为了终端采用相同的推演参数推演AS根密钥，源eNB通知终端更新推演参数，或者终端通过eNB ID判断eNB变更，以更新推演参数，在此以源eNB通知终端为例进行描述。
S850：源eNB通知终端更新推演参数。
该通知方式可以为任何形式，例如发送指示信息，指示终端更新推演参数，或者发送目标eNB的eNB ID等等，本申请不以此为限。
S860：终端根据通知更新推演参数。由于终端的更新策略与网络侧相同，因此更新后的推演参数也相同。
例如，可以在终端上也设置计数器，该计数器同样具有初始值A和更新步长为B，当终端要切换到目标eNB时，终端将计数器以更新步长B进行更新，更新后的计数值作为推演目标KeNB的推演参数。
S870：终端根据当前的NH或源KeNB，以及更新后的推演参数推演目标KeNB；
S880：终端根据目标KeNB，计算在目标小区使用的AS安全密钥。
当终端通过eNB ID判断eNB变更时，源eNB将自己的eNB ID发送给终端。且在切换时，源eNB或目标eNB将目标eNB的eNB ID发送给终端，以便终端确定eNB是否变更。
同样，以上步骤序号S810-S880并非用以限制各步骤之间的顺序。
可见，在本申请提供的实施例中，针对每个RAN节点、RAN节点组或区域配置推演参数，相同的RAN节点、RAN节点组或区域下的小区具有相同的推演参数，当源小区和目标小区位于相同的RAN节点、RAN节点组或区域时，终端无需更新AS安全密钥，如此可以节约AS安全密钥更新的开销。该方法同样适用于以下图9和图10所示的网络中。
请参考图9，其为本申请实施例提供的另一种网络架构的示意图。如图9所示，该网络包括CN、RAN和终端。其中RAN的结构与以上LTE网络架构存在区别，包括集中单元(centralized unit，CU)和分布单元(distributed unit，DU)，这种结构将LTE中eNB的协议层拆分开，部分协议层的功能放在CU集中控制，剩下部分或全部协议层的功能分布在各个DU中，由CU集中控制各个DU。例如，如图9所示，将PDCP及以上的协议层放在CU中集中实现，将RLC和MAC及以下的协议层放在DU中实现，且射频部分可以拉远，不放在DU中，也可以集成在DU中在此不作任何限制。
此外，请继续参考图10，相对于图9所示的架构，还可以将CU的控制面和用户面分离，分成不同实体来控制，分别为控制面CU实体，CU-CP实体和用户面CU实体，CU-UP实体。在本网络架构中，终端可以仅将控制面切换到目标小区，而用户面保留在源小区；或者终端也可以仅将用户面切换到目标小区，而控制面保留在源小区。
在图9所示的网络结构中，可以为每个CU节点配置CU标识(CU ID)，利用该CU ID来推演目标AS根密钥。如图11所示，在本实施例中，以CU ID作为AS根密钥的推演参数。该CUID是针对每个CU配置的，因此当终端在CU范围内切换时，例如切换到同一CU下的不同DU下的小区时，利用该CU ID推演出的AS根密钥是不变的，因此AS安全密钥不需要更新，如此减少了AS安全密钥更新的开销。
进一步的，可以将多个CU划分为一个CU组，为每个CU组配置一个组标识，以该组标识作为推演参数，则相应的终端在该组内切换时，AS安全密钥不需要更新。
以上CU标识和CU组标识可以利用其它参数来代替，只要该参数可以唯一标识该CU和CU组即可，例如CN可以为每个CU配置一个值(例如随机数)，利用该配置值来标识该CU，同样，也可以为每个CU组配置一个值，利用该配置值来标识该CU组，或者可以定义一个区域标识。
在图10所示的网络结构中，可以将CU-CP和CU-UP看作一个CU，则以上CU标识，CU组标识，对应于CU或CU组的配置值，或区域标识的方案也可以适用于该网络结构。另外，可以为每个CU-CP配置CU-CP标识(CU-CP ID)，且为每个CU-UP配置CU-UP标识(CU-UP ID)，利用该CU-CP ID和/或CU-UP ID来推演目标AS根密钥。另外，也可以讲多个CU-CP划分为一个CU-CP组，为每个CU-CP组配置一个组标识，以该组标识最为推演参数。同样的CU-CP标识和CU-CP组标识可以利用其它参数来代替，只要该参数可以唯一标识该CU-CP和CU-CP组即可，例如CN可以为每个CU-CP配置一个值(例如随机数)，利用该配置值来标识该CU-CP，同样，也可以为每个CU-CP组配置一个值，利用该配置值来标识该CU-CP组，或者可以定义一个区域标识。CU-UP与之类似，不再赘述。如此，当终端将控制面切换到目标小区，而用户面保留在源小区时，利用CU-CP对应的推演参数推演目标AS根密钥，即目标KCU-CP，例如利用CU-CP标识，CU-CP组标识，或CU-CP或CU-CP组对应的配置值作为推演参数。当终端将用户面切换到目标小区，而控制面保留在源小区时，利用CU-UP对应的推演参数推演目标AS根密钥，即目标KCU-UP，例如利用CU-UP标识，CU-UP组标识，或CU-UP或CU-UP组对应的配置值作为推演参数。当终端将控制面和用户面都切换到目标小区时，利用CU-CP和CU-UP对应的推演参数推演目标AS根密钥，即目标KCU-CP和目标KCU-UP；当然，此时也可以将CU-CP和CU-UP作为一个整体考虑，利用CU标识，CU组标识，对应于CU或CU组的配置值，或区域标识推演目标AS根密钥KCU。
也就是说，以上实施例中的方法可以适用于图9或图10网络架构，此时，以上实施例中的RAN节点为CU节点，则相应的，推演参数对应于CU节点、CU节点组或区域，且相同CU节点、CU节点组或区域内的小区具有相同的推演参数。例如，推演参数可以为CU ID，CU节点组标识或者区域标识。在图10所示的网络架构中，该CU节点可以为CU-UP实体，也可以为CU-CP实体，或者包括CU-CP和CU-UP的CU实体。
下面以图9所示的网络结构为例进行描述。
请参考图12，其为本申请实施例提供的另一种通信安全的处理方法的示意图。其中步骤S121至S128与图7中的步骤S710至S780类似，且步骤之间的顺序并不受序号顺序的限制。本实施例与图7所示实施例应用于不同的网络架构中，本实施例应用于图9所示的网络架构中，相对于图7所示的实施例，源eNB和目标eNB变更为源CU和目标CU。此外，与图7所示的实施例的区别在于：RAN节点为CU节点，推演参数为CU ID，AS根密钥为KCU。当然AS根密钥也可以为NH。各个步骤的描述参照以上图7所示的实施例，在此不再赘述。当应用于图10所示的网络架构时，该RAN节点可以为CU节点，CU-UP实体，CU-CP实体，推演参数可以为CUID，CU-UP ID，CU-CP ID。
此外，在终端和网络侧配置相同的推演参数策略也适用于图9和图10所示的网络结构。例如，在终端和网络侧的CU节点设置相同的推演参数的初始值和更新策略。当终端在CU节点内的小区间切换时，推演参数不进行更新，终端和CU节点无需更新AS安全密钥。当终端在CU节点间切换时，CU节点可以通知终端更新推演参数。请参考图13，其为本申请实施例提供的另一种通信安全的处理方法的示意图。其中步骤S131至S138与图8中的步骤S810至S880类似，且步骤之间的顺序并不受序号顺序的限制。本实施例与图8所示实施例应用于不同的网络架构中，本实施例应用于图9所示的网络架构中，相对于图8所示的实施例，源eNB和目标eNB变更为源CU和目标CU。此外，与图8所示的实施例的区别在于：RAN节点为CU节点，AS根密钥为KCU。当然AS根密钥也可以为NH。各个步骤的描述参照以上图8所示的实施例，在此不再赘述。当应用于图10所示的网络架构时，该RAN节点可以为CU节点，CU-UP实体，CU-CP实体，推演参数可以为CU ID，CU-UP ID，CU-CP ID。
本申请的实施例提供的通信安全的处理方法中，相同RAN节点、RAN节点组或区域下的小区具有相同的推演参数，当源小区和目标小区位于相同的RAN节点、RAN节点组或区域时，终端和RAN节点无需更新AS安全密钥，当源小区和目标小区位于不同的RAN节点、RAN节点组或区域时，终端和RAN节点更新AS安全密钥，如此可以节约密钥更新的开销。
请参考图14，其为本申请实施例提供的一种通信安全的处理方法的示意图，由源小区所在的RAN节点，即源RAN节点执行。如图14所示，该方法包括如下步骤：
S141：确定将终端从源小区切换到目标小区。
例如，源RAN节点可以接收终端发送的测量报告，根据该测量报告确定目标小区的服务质量更好，欲将终端从源小区切换到目标小区。或者终端通过测量确定目标小区的服务质量更好，欲从源小区切换到目标小区，并通知给源RAN节点，源RAN节点根据终端的通知确定将终端从源小区切换到目标小区。
S142：确定源小区和目标小区是否位于同一RAN节点、同一RAN节点组、或同一区域内。当源小区和目标小区位于同一RAN节点、同一RAN节点组、或同一区域内时，执行步骤S143，否则，执行步骤S144。
S143：使用在源小区使用的AS安全密钥进行和终端之间的通信；
S144：根据源AS根密钥和推演参数推演目标AS根密钥，并将推演出的目标AS根密钥发送给目标RAN节点。
目标eNB接收到源eNB发送的目标AS根密钥后，根据该目标AS根密钥计算AS安全密钥，进而利用该AS安全密钥与终端进行通信。
推演参数同以上描述，在此不再赘述。
在源小区和目标小区位于不同的RAN节点时，终端同样需要更新AS安全密钥。此时，推演参数可以由源RAN节点发送给终端，也可以由目标RAN节点发送给终端。例如由源RAN节点通过切换命令发送给终端，再如由目标RAN节点通过系统消息发送给终端，或者由目标RAN节点扩展演进型通用陆地无线接入网小区全局标识符(E-UTRAN Cell GlobalIdentifier，ECGI)，在其中携带推演参数，以通过ECGI发送给终端，或者由目标RAN节点在与终端进行AS安全算法协商时携带给终端。
请参考图15，其为本申请实施例提供的一种AS安全算法协商方法的示意图。该AS安全算法协商在RAN节点和终端之间进行，如图15所示，包括如下步骤：
S151：RAN节点开始RRC完整性保护(start RRC integrity protection)；
S152：RAN节点向终端发送AS安全模式命令(AS security mode command)，该AS安全模式命令中携带完整性算法(integrity algorithm)、加密算法(ciphering algorithm)和用于完整性的信息认证码(message authentication code for integrity，MAC-I)。其中，推演参数便可以通过该命令发送给终端，即AS安全模式命令中还携带推演参数，例如，RAN节点为eNB，推演参数为eNB ID、再如，RAN节点为CU，推演参数为CU ID等。
S153：终端验证AS安全模式命令(SMC)完整性。如果成功，开始RRC完整性保护，RRC/UP下行解密(Verify AS SMC integrity.If succesful,start RRC integrityprotection,RRC/UP downlink deciphering)。
S154：终端向RAN节点发送AS安全模式完成(AS Security Mode Complete)消息。该AS安全模式完成消息中携带MAC-I。
S155：终端开始RRC/UP上行加密。
S156：RAN节点开始RRC/UP上行解密。
可见，通过以上AS安全算法协商过程，终端便可以从目标RAN节点获取到推演参数，以推演目标AS根密钥。
终端接收到推演参数之后，便可以根据推演参数推演目标AS根密钥，进而计算AS安全密钥。
此外，当源RAN节点和目标RAN节点都不将以上推演参数发送给终端时，终端可以据此沿用在源小区使用的AS根密钥，即沿用在源小区使用的AS安全密钥。另外，终端也可以通过其它方式确定是否沿用在源小区使用的AS根密钥。下面结合图16进行描述。
请参考图16，其为本申请实施例提供的另一种通信安全的处理方法的示意图。如图16所示，该方法用于终端从源小区切换到目标小区时的AS安全的处理，该方法由终端执行，包括如下步骤：
S161：确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域。
当源小区和目标小区位于相同的RAN节点、RAN节点组或区域时，执行步骤S162，否则执行步骤S163-S165。
S162：继续使用源AS根密钥，即继续使用在源小区使用的AS安全密钥。
S163：获取推演参数；
S164：根据源AS根密钥和推演参数推演目标AS根密钥；
S165：根据目标AS根密钥，计算在目标小区使用的AS安全密钥。
需要说明的是，终端可以不执行以上步骤S161，例如，终端收到源RAN节点发送的切换命令，并根据该切换命令从源小区更换到了目标小区，同时在目标小区继续沿用在源小区使用的AS根密钥，即沿用在源小区使用的AS安全密钥。此时，虽然是源小区和目标小区在相同的RAN节点、RAN节点组或区域内，但是终端并不感知。
再如，当终端接收到推演参数时，便可以认为直接利用该推演参数推演目标AS根密钥，而无需确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域，即直接执行以上步骤S163-S165，此时，RAN节点在确定了源小区和目标小区位于不同的RAN节点、RAN节点组或区域向终端发送了推演参数。如果RAN节点无论源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域都向终端发送推演参数，则终端还可以进一步判断推演参数与终端在源小区使用的推演参数是否相同，在不同的情况下，执行以上步骤S163-S165，相同的情况下，执行以上步骤S162。此时，该过程可以认为为确定确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域的过程，需要说明的是，该过程的目的是用于确定是否更新AS安全密钥，并不以其具体实现的手段为限。以下举出几种确定方法：
例如，在现有技术中，终端每次切换源RAN节点都需要推演AS根密钥，同时更新对应NCC，并将更新后的NCC通过切换命令发送给终端，以便终端根据该NCC推演AS根密钥，更新AS安全密钥。在本实施例提供的方法中，源RAN节点在确定目标小区和源小区位于相同的RAN节点、RAN节点组或区域时，不推演AS根密钥，且不更新NCC，如此源RAN节点可以在切换命令中不再携带NCC，终端接收到切换命令，发现其中不带NCC，则确定源小区和目标小区位于相同的RAN节点、RAN节点组或区域，进而沿用源AS根密钥，即沿用在源小区使用的AS安全密钥。或者，源RAN节点在切换命令中携带未更新的NCC，终端接收到切换命令，发现其中携带的NCC与终端当前的NCC相同，则确定源小区和目标小区位于相同的RAN节点、RAN节点组或区域，进而沿用源AS根密钥，即沿用在源小区使用的AS安全密钥。此时，以上步骤S161包括：终端接收源RAN节点发送的切换命令，当切换命令中不包括NCC或者包括的NCC与终端当前的NCC相同时，终端确定源小区和目标小区位于相同的RAN节点、RAN节点组或区域；否则，确定源小区和目标小区位于不同的RAN节点、RAN节点组或区域。
再如，源RAN节点给终端发送一个信令，该信令用于通知终端进行小区切换，但终端没有收到推演参数，则终端可以据此确定源小区和目标小区位于相同的RAN节点、RAN节点组或区域，沿用源AS根密钥，即沿用在源小区使用的AS安全密钥。此时，以上步骤S161包括：终端接收源RAN节点发送的信令，该信令用于指示终端从源小区切换到目标小区，当终端未接收到推演参数时，确定源小区和目标小区位于相同的RAN节点、RAN节点组或区域。
再如，源RAN节点给终端发送一个信令，该信令用于通知终端源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域，或者用于通知终端是否进行AS根密钥的推演或AS安全密钥更新，当该信令取值为第一值时，终端进行AS根密钥的推演，当该信令取值为第二值时，终端不进行AS根密钥推演。此时，以上步骤S161包括：终端接收源RAN节点发送的信令，该信令用于通知终端源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域，或者用于通知终端是否进行AS根密钥的推演或AS安全密钥的更新，终端根据该信令确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域。
在步骤S163中，终端可以通过多种方式获得推演参数。例如，可以从源RAN节点获得，可以从目标RAN节点获得，还可以在本地预设推演参数的初始值和更新策略，在RAN节点变更时，更新推演参数获得。当终端从源RAN节点获得所述推演参数时，该推演参数可以携带在切换过程中源RAN节点发送给终端的切换命令(handover command)中，当然也可以携带在源RAN节点发给终端的其它消息中，或者由源RAN节点直接发送给终端。当终端从目标RAN节点获得该推演参数时，推演参数可以由目标RAN节点广播给终端，例如通过系统消息广播给终端，或者可以扩展ECGI，在其中携带推演参数，以发送给终端；或者在目标RAN节点与终端协商AS安全算法的时候，通过AS安全模式命令发送给终端。当然，目标RAN节点也可以通过其它消息将推演参数发送给终端，或者由目标RAN节点直接发送给终端。
此外，终端上可以设置有与网络侧相同的推演参数的初始值和更新策略，当终端从源小区切换到目标小区，且源小区和目标小区位于不同的RAN节点、RAN节点组或区域时，源RAN节点可以通知终端更新推演参数，终端更新推演参数之后，以更新后的推演参数推演目标AS根密钥。则以上步骤S163包括以下步骤：
终端接收源小区所在的RAN节点发送的通知消息，该通知消息用于通知终端更新推演参数；
终端根据通知消息采用与网络侧相同的更新策略更新推演参数，其中，推演参数的初始值和更新策略设置于终端；
终端获取更新后的推演参数。
例如，可以在终端和RAN侧，例如RAN侧的每个RAN节点，均设置计数器，且均设置好相同的计数器的初始值和更新步长。当源小区所在的RAN节点发现终端要切入其它RAN节点时，通知终端更新计数器的值，且源小区所在的RAN节点也更新该计数器的值，作为推演参数，推演目标AS根密钥，并发送给目标小区所在的RAN节点，以便目标小区所在的RAN节点计算AS安全密钥。
在步骤S164中，终端可以利用密钥推演函数(key derivation function，KDF)来推演目标AS根密钥，例如：
目标AS根密钥＝KDF(源AS根密钥，推演参数)＝HMAC-SHA-256(源AS根密钥，推演参数)。用于以上图6所示的系统中，且推演参数为eNB ID为例，目标AS根密钥KeNB*＝KDF(源KeNB，eNB ID)＝HMAC-SHA-256(源KeNB，eNB ID)。用于以下图9或图10所示的系统中，且推演参数为CU ID为例，目标AS根密钥KCU*＝KDF(源KCU，CU ID)＝HMAC-SHA-256(源KCU，CUID)。
KDF为HmacSha 256算法的简称，它是一只散列消息认证方法，可以看做是HAMAC算法和SHA256算法组合在一起的方法，其为现有一种算法，本实施例的改进在于该函数的输入参数发生了变化，故对算法本身在此不再赘述。另外，以上推演参数还可以用于其它推演AS根密钥的函数，本实施例不以推演函数为限。
在步骤S165中，终端在目标小区使用的AS安全密钥也可以利用KDF来计算，例如：
Krrcenc/Krrcint/Kupenc/Kupint＝KDF(目标AS根密钥,算法类型标识,算法标识)＝HMAC-SHA-256(目标AS根密钥，算法类型标识，算法标识)；即Krrcenc/Krrcint/Kupenc/Kupint＝KDF(目标AS根密钥,algorithm type distinguisher,Alg_ID)＝HMAC-SHA-256(目标AS根密钥，algorithm type distinguisher，Alg_ID)。
需要说明的是，本申请中的每个实施例都可以利用KDF来推演AS根密钥及计算AS安全密钥。且RAN节点和终端均可以采用这种方法。
另外，需要说明的是，本申请实施例中的小区可以指无线节点发射出的信号所覆盖的区域。无线节点例如可以包括天线、远端射频头(remote radio head，RRH)、发送接收点(transmission reception point，TRP)、接入点(access point)、发射点(transmissionpoint，TP)、RAN节点、或基站等。终端可以通过无线节点广播的小区标识唯一识别的区域；小区标识有不同的层次，可以是物理层标识(比如PCI)、参考信号(比如用于信道测量的参考信号、或者用于波束beam测量的参考信号)、或全球小区识别码(cell globalidentification，CGI)等。当无线节点在多个频点广播小区标识时可以形成多个小区，此时一个小区是指无线节点在一个频点上发射出的信号所覆盖的区域。终端在相同RAN节点、RAN节点组或区域内的不同频点之间的小区之间切换时，同样适用于以上实施例提供的方法，此时以上实施例中的小区是指特定的频点对应的小区。
以上各个实施例所揭示的方法中涉及的各个网元涉及的步骤可以分别由相应的网元上的装置执行。则相应装置具有对应的单元用于执行其执行的步骤。
请参看图17，其为本申请实施例提供的一种通信安全的处理装置的结构示意图，该装置位于终端，用于执行以上实施中终端执行的部分或全部操作。如图17所示，该装置170包括获取单元171、推演单元172和计算单元173，其中获取单元171用于在终端从源小区切换到目标小区时获取推演参数；推演单元172用于根据源AS根密钥和推演参数推演目标AS根密钥，计算单元173用于根据目标AS根密钥，计算在目标小区使用的AS安全密钥，其中，源小区和目标小区位于不同的RAN节点、RAN节点组或区域。关于推演参数的描述，例如获取、内容等同以上实施例，在此不再赘述。
此外，该装置170还可以包括使用单元174，用于使用计算单元173计算出的AS安全密钥与目标RAN节点进行通信。此外，该使用单元174还用于在源小区和目标小区位于相同的RAN节点、RAN节点组或区域时，继续使用在源小区使用的AS安全密钥。
可选的，请参考图18，该装置170还可以包括确定单元175，用于确定源小区和目标小区是否位于相同的RAN节点、RAN节点组或区域。
以上各个单元可以为单独设立的处理元件，也可以集成在终端的某一个芯片中实现，此外，也可以以程序代码的形式存储于终端的存储器中，由终端的某一个处理元件调用并执行以上各个单元的功能。此外各个单元可以集成在一起，也可以独立实现。这里所述的处理元件可以是一个中央处理器(Central Processing Unit，CPU)，或者是特定集成电路(Application Specific Integrated Circuit，ASIC)，或者是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个微处理器(digital singnal processor，DSP)，或，一个或者多个现场可编程门阵列(Field Programmable Gate Array，FPGA)等。
例如，请参考图19，其为本申请实施例提供的一种通信安全处理装置的结构示意图。该装置位于终端，如图19所示，包括：处理器191、存储元件192、收发装置193。收发装置193可以与天线连接。在下行方向上，收发装置193通过天线接收RAN节点发送的信息，并将信息发送给处理器191进行处理。在上行方向上，处理器191对终端的数据进行处理，并通过收发装置193发送给RAN节点。
该存储元件192用于存储实现以上方法实施例，或者图17或18所示实施例各个单元的程序，处理器191调用该程序，执行以上方法实施例的操作，以实现图17或18所示的各个单元。
此外，以上各个单元的部分或全部也可以通过现场可编程门阵列(FieldProgrammable Gate Array，FPGA)的形式内嵌于该终端的某一个芯片上来实现。且它们可以单独实现，也可以集成在一起。
这里的处理器可以是CPU，也可以是ASIC，或者是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个DSP，或，一个或者多个FPGA等。存储元件可以是一个存储装置，也可以是多个存储元件的统称。
另外，该处理器上可以设置多个接口，分别用于连接外围设备或与外围设备连接的接口电路。例如，用于连接显示屏的接口，用于连接摄像头的接口，用于连接音频处理元件的接口等。
以上装置可以用于图9或图10所示的网络，用于该网络时推演参数的内容和获取等同以上描述，在此不再赘述。
请参看图20，其为本申请实施例提供的一种通信安全的处理装置的结构示意图，该装置位于RAN节点，用于执行以上实施中源RAN节点执行的部分或全部操作。如图20所示，该装置200包括确定单元201和使用单元202，其中确定单元201用于确定源小区和目标小区是否位于相同的RAN节点、RAN节点组、或区域内；使用单元202用于在源小区和目标小区位于相同的RAN节点、RAN节点组、或区域内时，继续使用源AS根密钥，即继续使用在源小区使用的AS安全密钥。
此外，该装置还可以包括获取单元203，推演单元204，第一发送单元205，获取单元203用于当源小区和目标小区位于不同的RAN节点、或RAN节点组、或区域内时，获取推演参数；推演单元204用于根据源AS根密钥和推演参数推演目标AS根密钥；第一发送单元205用于将目标AS根密钥发送给目标RAN节点，以便目标RAN节点计算AS安全密钥。关于推演参数的描述，例如获取、内容等同以上实施例，在此不再赘述。
可选的，如图21所示，当推演参数由源RAN节点发送给终端时，该装置200还可以包括第二发送单元206，用于向终端发送推演参数。
另外，当以上装置用于图9或图10所示的网络结构时，该RAN节点为CU节点。
以上各个单元可以为单独设立的处理元件，也可以集成在RAN节点的某一个芯片中实现，此外，也可以以程序代码的形式存储于RAN节点的存储器中，由RAN节点的某一个处理元件调用并执行以上各个单元的功能。此外各个单元可以集成在一起，也可以独立实现。这里所述的处理元件可以是一个CPU，或者是ASIC，或者是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个DSP，或，一个或者多个FPGA等。
此外，第一发送单元205可以通过源RAN节点与目标RAN节点之间的接口，例如X2接口，将目标AS根密钥发送给目标RAN节点。当源RAN节点与目标RAN节点之间没有直接连接时，第一发送单元205可以通过CN设备将目标AS根密钥发送给目标RAN节点。第一发送单元206可以通过源RAN节点与终端之间的接口，例如空口，将推演参数发送给终端，具体实现可以通过射频装置和天线将推演参数发送给终端。
例如，请参见图22，其为本申请实施例提供的一种RAN设备的结构示意图。如图22所示，该RAN设备包括：天线221、射频装置222、基带装置223。天线221与射频装置222连接。在上行方向上，射频装置222通过天线221接收终端发送的信息，将终端发送的信息发送给基带装置223进行处理。在下行方向上，基带装置223对终端的信息进行处理，并发送给射频装置222，射频装置222对终端的信息进行处理后经过天线221发送给终端。
以上通信安全的处理装置可以位于基带装置223，包括处理元件2231和存储元件2232。基带装置223例如可以包括至少一个基带板，该基带板上设置有多个芯片，如图22所示，其中一个芯片例如为处理元件2231，与存储元件2232连接，以调用存储元件2232中的程序，执行以上方法实施例中源RAN节点的操作。该基带装置223还可以包括接口2233，用于与射频装置222交互信息，该接口例如为通用公共无线接口(common public radiointerface，CPRI)。
以上确定单元201可以通过基带装置223的一个芯片中实现，或者，将其功能通过程序的形式存储于基带装置223的存储元件中，通过基带装置223的一个处理元件调度实现确定单元201的功能。其它单元，例如使用单元202，的实现同确定单元201，可以通过基带装置223的另一个芯片实现，也可以与确定单元201集成在一起，通过基带装置223的一个芯片实现；这些单元可以部分或全部集成在至少一个芯片里；也可以部分或全部通过程序的形式存储于基带装置223的存储元件中，通过基带装置223的一个处理元件调度实现。当然也可以部分通过芯片集成的方式实现，部分通过程序的方式实现，本申请不做任何限制。
这里的处理元件可以是一个处理器，也可以是多个处理元件的统称，例如，该处理元件可以是CPU，也可以是ASIC，或者是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个DSP，或，一个或者多个FPGA等。存储元件可以是一个存储器，也可以是多个存储元件的统称。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (44)

1.一种通信安全的处理方法，用于终端从源小区切换到目标小区时的接入层AS安全的处理，其特征在于，包括：
终端获取推演参数，所述推演参数用于推演AS根密钥，且所述推演参数对应于所述目标小区所在的无线接入网RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数；
所述终端根据源AS根密钥和所述推演参数推演目标AS根密钥，其中所述源AS根密钥为所述终端在所述源小区使用的AS根密钥，所述目标AS根密钥为所述终端在所述目标小区使用的AS根密钥；
所述终端根据所述目标AS根密钥，计算在所述目标小区使用的AS安全密钥，其中所述源小区和所述目标小区位于不同的RAN节点、RAN节点组或区域。
2.根据权利要求1所述的方法，其特征在于，所述推演参数包括所述目标小区所在的RAN节点的标识，所述目标小区所在的RAN节点组的标识、所述目标小区所在的RAN节点或RAN节点组对应的配置值、或所述目标小区所在的区域的标识。
3.根据权利要求1或2所述的方法，其特征在于，所述推演参数包括终端标识，所述终端标识用于标识所述终端在为所述终端分配该终端标识的RAN节点的范围内。
4.根据权利要求3所述的方法，其特征在于，同一RAN节点组或区域内的RAN节点为所述终端分配相同的终端标识。
5.根据权利要求1至4任一项所述的方法，其特征在于，所述终端获取推演参数包括：
所述终端从所述源小区或所述目标小区所在的RAN节点获取所述推演参数。
6.根据权利要求1所述的方法，其特征在于，所述终端获取推演参数包括：
所述终端采用与网络侧相同的更新策略更新所述推演参数，其中所述终端设置有所述推演参数的初始值和所述更新策略；
所述终端获取更新后的推演参数。
7.根据权利要求1至6任一项所述的方法，其特征在于，该方法用于第一网络，所述第一网络的RAN包括集中单元CU节点和分布单元DU节点，且所述CU节点与至少一个DU节点相连，所述推演参数对应于所述目标小区所在的CU节点或CU节点组，且相同CU节点或CU节点组内的小区具有相同的推演参数。
8.根据权利要求7所述的方法，其特征在于，所述推演参数包括CU节点标识，CU节点组标识，CU节点对应的配置值，或CU节点组对应的配置值。
9.根据权利要求7所述的方法，其特征在于，所述CU节点包括控制面CU实体和用户面CU实体，且所述推演参数包括第一参数和/或第二参数，其中，
所述第一参数对应于所述目标小区所在的控制面CU实体或控制面CU实体组，其中，相同控制面CU实体、控制面CU实体组内的小区具有相同的推演参数；
所述第二参数对应于所述目标小区所在的用户面CU实体或用户面CU实体组，其中，相同用户面CU实体或用户面CU实体组内的小区具有相同的推演参数。
10.根据权利要求9所述的方法，其特征在于，所述第一参数包括控制面CU实体标识，控制面CU实体组标识，控制面CU实体对应的配置值，或控制面CU实体组对应的配置值；所述第二参数包括用户面CU实体标识，用户面CU实体组标识，用户面CU实体对应的配置值，或用户面CU实体组对应的配置值。
11.一种通信安全的处理装置，位于终端，其特征在于，包括：
获取单元，用于在所述终端从源小区切换到目标小区时，获取推演参数，所述推演参数用于推演接入层AS根密钥，且所述推演参数对应于所述目标小区所在的无线接入网RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数；
推演单元，用于根据源AS根密钥和所述推演参数推演目标AS根密钥，其中所述源AS根密钥为所述终端在所述源小区使用的AS根密钥，所述目标AS根密钥为所述终端在所述目标小区使用的AS根密钥；
计算单元，用于根据所述目标AS根密钥，计算在所述目标小区使用的AS安全密钥，其中所述源小区和所述目标小区位于不同的RAN节点、RAN节点组或区域。
12.根据权利要求11所述的装置，其特征在于，所述推演参数包括所述目标小区所在的RAN节点的标识，所述目标小区所在的RAN节点组的标识、所述目标小区所在的RAN节点或RAN节点组对应的配置值、或所述目标小区所在的区域的标识。
13.根据权利要求11或12所述的装置，其特征在于，所述推演参数包括终端标识，所述终端标识用于标识所述终端在为所述终端分配该终端标识的RAN节点的范围内。
14.根据权利要求13所述的装置，其特征在于，同一RAN节点组或区域内的RAN节点为所述终端分配相同的终端标识。
15.根据权利要求11至14任一项所述的装置，其特征在于，所述获取单元用于从所述源小区或目标小区所在的RAN节点获取所述推演参数。
16.根据权利要求11所述的装置，其特征在于，所述获取单元用于：采用与网络侧相同的更新策略更新所述推演参数，并获取更新后的推演参数，其中所述推演参数的初始值和所述更新策略设置于所述终端。
17.根据权利要求11至16任一项所述的装置，其特征在于，位于第一网络，所述第一网络的RAN包括集中单元CU节点和分布单元DU节点，且所述CU节点与至少一个DU节点相连，所述推演参数对应于所述目标小区所在的CU节点或CU节点组，且相同CU节点或CU节点组内的小区具有相同的推演参数。
18.根据权利要求17所述的装置，其特征在于，所述推演参数包括CU节点标识，CU节点组标识，CU节点对应的配置值，或CU节点组对应的配置值。
19.根据权利要求17所述的装置，其特征在于，所述CU节点包括控制面CU实体和用户面CU实体，且所述推演参数包括第一参数和/或第二参数，其中
所述第一参数对应于所述目标小区所在的控制面CU实体或控制面CU实体组，其中，相同控制面CU实体、控制面CU实体组内的小区具有相同的推演参数；
所述第二参数对应于所述目标小区所在的用户面CU实体或用户面CU实体组，其中，相同用户面CU实体或用户面CU实体组内的小区具有相同的推演参数。
20.根据权利要求19所述的装置，其特征在于，所述第一参数包括控制面CU实体标识，控制面CU实体组标识，控制面CU实体对应的配置值，或控制面CU实体组对应的配置值；所述第二参数包括用户面CU实体标识，用户面CU实体组标识，用户面CU实体对应的配置值，或用户面CU实体组对应的配置值。
21.一种通信安全的处理方法，用于终端从源小区切换到目标小区时的接入层AS安全的处理，其中所述源小区和所述目标小区分别位于源RAN节点和目标RAN节点，其特征在于，所述方法包括：
所述源RAN节点确定将终端切换到所述目标小区；
所述源RAN节点确定所述源小区和所述目标小区位于不同的RAN节点、RAN节点组或区域；
所述源RAN节点获取推演参数，所述推演参数用于推演AS根密钥，且所述推演参数对应于所述目标小区所在的目标RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数；
所述源RAN节点根据源AS根密钥和所述推演参数推演目标AS根密钥；
所述源RAN节点将所述目标AS根密钥发送给所述目标RAN节点。
22.根据权利要求21所述的方法，其特征在于，所述推演参数包括所述目标小区所在的RAN节点的标识，所述目标小区所在的RAN节点组的标识、所述目标小区所在的RAN节点或RAN节点组对应的配置值、或所述目标小区所在的区域的标识。
23.根据权利要求22所述的方法，其特征在于，所述推演参数由核心网设备分配给所述目标RAN节点，且所述源RAN节点从所述目标RAN节点或所述核心网设备获取所述推演参数。
24.根据权利要求21至23任一项所述的方法，其特征在于，所述推演参数包括终端标识，所述终端标识用于标识所述终端在为所述终端分配该终端标识的RAN节点的范围内。
25.根据权利要求24所述的方法，其特征在于，同一RAN节点组或区域内的RAN节点为所述终端分配相同的终端标识。
26.根据权利要求21至25任一项所述的方法，其特征在于，还包括：
所述源RAN节点向所述终端发送所述推演参数。
27.根据权利要求21所述的方法，其特征在于，所述源RAN节点获取推演参数，包括：
采用与所述终端相同的更新策略更新所述推演参数，其中所述源RAN节点设置有所述推演参数的初始值和所述更新策略；
获取更新后的推演参数。
28.根据权利要求27所述的方法，其特征在于，还包括：
向所述终端发送通知消息，所述通知消息用于通知所述终端更新推演参数。
29.根据权利要求21至28任一项所述的方法，其特征在于，该方法用于第一网络，所述第一网络的RAN包括集中单元CU节点和分布单元DU节点，且所述CU节点与至少一个DU节点相连，所述推演参数对应于所述目标小区所在的CU节点或CU节点组，且相同CU节点或CU节点组内的小区具有相同的推演参数。
30.根据权利要求29所述的方法，其特征在于，所述推演参数包括CU节点标识，CU节点组标识，CU节点对应的配置值，或CU节点组对应的配置值。
31.根据权利要求29所述的方法，其特征在于，所述CU节点包括控制面CU实体和用户面CU实体，且所述推演参数包括第一参数和/或第二参数，其中，
所述第一参数对应于所述目标小区所在的控制面CU实体或控制面CU实体组，其中，相同控制面CU实体、控制面CU实体组内的小区具有相同的推演参数；
所述第二参数对应于所述目标小区所在的用户面CU实体或用户面CU实体组，其中，相同用户面CU实体或用户面CU实体组内的小区具有相同的推演参数。
32.根据权利要求31所述的方法，其特征在于，所述第一参数包括控制面CU实体标识，控制面CU实体组标识，控制面CU实体对应的配置值，或控制面CU实体组对应的配置值；所述第二参数包括用户面CU实体标识，用户面CU实体组标识，用户面CU实体对应的配置值，或用户面CU实体组对应的配置值。
33.一种通信安全的处理装置，用于终端从源小区切换到目标小区时的接入层AS安全的处理，其中所述源小区和所述目标小区分别位于源RAN节点和目标RAN节点，其特征在于，该装置位于源RAN节点，且包括：
确定单元，用于确定将终端切换到所述目标小区，且确定所述源小区和所述目标小区位于不同的RAN节点、RAN节点组或区域；
获取单元，用于获取推演参数，所述推演参数用于推演AS根密钥，且所述推演参数对应于所述目标小区所在的目标RAN节点、RAN节点组或区域，其中，相同RAN节点、RAN节点组或区域内的小区具有相同的推演参数；
推演单元，用于根据源AS根密钥和所述推演参数推演目标AS根密钥；
第一发送单元，用于将所述目标AS根密钥发送给目标RAN节点。
34.根据权利要求33所述的装置，其特征在于，所述推演参数包括所述目标小区所在的RAN节点的标识，所述目标小区所在的RAN节点组的标识、所述目标小区所在的RAN节点或RAN节点组对应的配置值、或所述目标小区所在的区域的标识。
35.根据权利要求34所述的装置，其特征在于，所述推演参数由核心网设备分配给所述目标RAN节点，且所述源RAN节点从所述目标RAN节点或所述核心网设备获取所述推演参数。
36.根据权利要求33至35任一项所述的装置，其特征在于，所述推演参数包括终端标识，所述终端标识用于标识所述终端在为所述终端分配该终端标识的RAN节点的范围内。
37.根据权利要求36所述的装置，其特征在于，同一RAN节点组或区域内的RAN节点为所述终端分配相同的终端标识。
38.根据权利要求33至37任一项所述的装置，其特征在于，还包括：
第二发送单元，用于向所述终端发送所述推演参数。
39.根据权利要求33所述的装置，其特征在于，所述获取单元用于：
采用与所述终端相同的更新策略更新所述推演参数，其中所述源RAN节点设置有所述推演参数的初始值和所述更新策略；
获取更新后的推演参数。
40.根据权利要求39所述的装置，其特征在于，还包括：
向所述终端发送通知消息，所述通知消息用于通知所述终端更新推演参数。
41.根据权利要求33至40任一项所述的装置，其特征在于，位于第一网络，所述第一网络的RAN包括集中单元CU节点和分布单元DU节点，且所述CU节点与至少一个DU节点相连，所述推演参数对应于所述目标小区所在的CU节点或CU节点组，且相同CU节点或CU节点组内的小区具有相同的推演参数。
42.根据权利要求41所述的装置，其特征在于，所述推演参数包括CU节点标识，CU节点组标识，CU节点对应的配置值，或CU节点组对应的配置值。
43.根据权利要求41所述的装置，其特征在于，所述CU节点包括控制面CU实体和用户面CU实体，且所述推演参数包括第一参数和/或第二参数，其中，
所述第一参数对应于所述目标小区所在的控制面CU实体或控制面CU实体组，其中，相同控制面CU实体、控制面CU实体组内的小区具有相同的推演参数；
所述第二参数对应于所述目标小区所在的用户面CU实体或用户面CU实体组，其中，相同用户面CU实体或用户面CU实体组内的小区具有相同的推演参数。
44.根据权利要求43所述的装置，其特征在于，所述第一参数包括控制面CU实体标识，控制面CU实体组标识，控制面CU实体对应的配置值，或控制面CU实体组对应的配置值；所述第二参数包括用户面CU实体标识，用户面CU实体组标识，用户面CU实体对应的配置值，或用户面CU实体组对应的配置值。
CN201610319275.0A 2016-05-13 2016-05-13 通信安全的处理方法、装置及系统 Active CN107371155B (zh)

Priority Applications (7)

Application Number Priority Date Filing Date Title
CN201610319275.0A CN107371155B (zh) 2016-05-13 2016-05-13 通信安全的处理方法、装置及系统
BR112018073255-9A BR112018073255A2 (pt) 2016-05-13 2017-05-11 método de processamento de segurança de comunicação e aparelho e sistema, e meio de armazenamento legível por computador
EP17795592.9A EP3448076B1 (en) 2016-05-13 2017-05-11 Communication security processing method, device and system
JP2018559809A JP6734936B2 (ja) 2016-05-13 2017-05-11 通信セキュリティ処理方法及び装置並びにシステム
EP20177134.2A EP3771243B1 (en) 2016-05-13 2017-05-11 Communication security processing method, device and system
PCT/CN2017/084002 WO2017193974A1 (zh) 2016-05-13 2017-05-11 通信安全的处理方法、装置及系统
US16/186,312 US11425618B2 (en) 2016-05-13 2018-11-09 Communication security processing method and apparatus, and system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610319275.0A CN107371155B (zh) 2016-05-13 2016-05-13 通信安全的处理方法、装置及系统

Publications (2)

Publication Number Publication Date
CN107371155A true CN107371155A (zh) 2017-11-21
CN107371155B CN107371155B (zh) 2021-08-31

Family

ID=60266704

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610319275.0A Active CN107371155B (zh) 2016-05-13 2016-05-13 通信安全的处理方法、装置及系统

Country Status (6)

Country Link
US (1) US11425618B2 (zh)
EP (2) EP3771243B1 (zh)
JP (1) JP6734936B2 (zh)
CN (1) CN107371155B (zh)
BR (1) BR112018073255A2 (zh)
WO (1) WO2017193974A1 (zh)

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018157740A1 (zh) * 2017-02-28 2018-09-07 中兴通讯股份有限公司 无线接入网络系统及集中单元
WO2019139345A1 (en) * 2018-01-11 2019-07-18 Samsung Electronics Co., Ltd. Apparatus and method for selecting centralized unit-user plane in wireless communication system
WO2019184832A1 (zh) * 2018-03-26 2019-10-03 华为技术有限公司 一种密钥生成方法和相关装置
CN110351716A (zh) * 2018-04-03 2019-10-18 电信科学技术研究院有限公司 无线接入网区域码的处理方法、装置及无线接入网节点
CN110381535A (zh) * 2018-04-12 2019-10-25 中兴通讯股份有限公司 传输控制方法及装置
CN110650502A (zh) * 2018-06-26 2020-01-03 电信科学技术研究院有限公司 一种切换方法及装置
WO2020010497A1 (zh) * 2018-07-09 2020-01-16 华为技术有限公司 通信方法、设备及系统
CN111432404A (zh) * 2019-01-09 2020-07-17 中兴通讯股份有限公司 信息处理方法及装置
WO2020164399A1 (zh) * 2019-02-15 2020-08-20 中国移动通信有限公司研究院 密钥生成方法、切换方法、装置、网络设备和存储介质
CN111757424A (zh) * 2019-03-29 2020-10-09 电信科学技术研究院有限公司 一种无线接入网的共享方法及装置
CN111869278A (zh) * 2018-04-04 2020-10-30 中兴通讯股份有限公司 测量传输时延
CN111971987A (zh) * 2018-04-12 2020-11-20 高通股份有限公司 集中式无线接入网络的接入层(as)安全性(c-ran)
US11329926B2 (en) 2018-04-04 2022-05-10 Zte Corporation Measuring transmission delay
WO2025065185A1 (en) * 2023-09-25 2025-04-03 Nec Corporation Devices and methods of communication
WO2025156739A1 (zh) * 2024-01-23 2025-07-31 深圳传音控股股份有限公司 处理方法、通信设备及存储介质
WO2025162352A1 (zh) * 2024-01-31 2025-08-07 荣耀终端股份有限公司 通信方法、终端设备、网元、存储介质及芯片系统

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018029854A1 (ja) * 2016-08-12 2018-02-15 富士通株式会社 無線基地局、無線装置、無線制御装置、無線通信システム、通信方法および無線端末
CN109905900B (zh) 2017-12-07 2020-09-08 华为技术有限公司 一种中心单元切换的方法以及业务处理装置
CN109151871B (zh) * 2018-02-14 2019-08-13 华为技术有限公司 集中式单元-分布式单元架构下的通信方法、通信设备
CN112602374B (zh) * 2018-09-07 2024-04-05 英特尔公司 在下一代无线接入网(ng-ran)中支持先接后断(mbb)切换的装置和方法
US11206539B2 (en) 2018-09-17 2021-12-21 Telefonaktiebolaget Lm Ericsson (Publ) User equipment, network node and methods in a wireless communications network
WO2020060461A1 (en) 2018-09-17 2020-03-26 Telefonaktiebolaget Lm Ericsson (Publ) Resuming a radio resource control connection using a security token comprising a globally unique cell identifier
US11399322B2 (en) * 2018-09-17 2022-07-26 Telefonaktiebolaget Lm Ericsson (Publ) User equipment, network node and methods in a wireless communications network
CN109462875B (zh) * 2019-01-16 2020-10-27 展讯通信（上海）有限公司 无线漫游方法、接入点装置以及移动台
US11470473B2 (en) * 2019-01-18 2022-10-11 Qualcomm Incorporated Medium access control security
US12127002B2 (en) * 2019-03-26 2024-10-22 Apple Inc. Integrity protection of uplink data
US11363582B2 (en) * 2019-12-20 2022-06-14 Qualcomm Incorporated Key provisioning for broadcast control channel protection in a wireless network
US11190955B1 (en) 2020-01-16 2021-11-30 Sprint Communications Company L.P. Configuration of a wireless network centralized unit (CU) and multiple wireless network distributed units (DUs)
US20210297853A1 (en) * 2020-03-17 2021-09-23 Qualcomm Incorporated Secure communication of broadcast information related to cell access
US11558786B2 (en) 2020-08-05 2023-01-17 Qualcomm Incorporated Transmission of group handover message
KR20220084601A (ko) * 2020-12-14 2022-06-21 삼성전자주식회사 차세대 이동 통신 시스템에서 ho를 고려한 pki기반 as 인증 방법
EP4262258A4 (en) * 2020-12-25 2024-01-24 Huawei Technologies Co., Ltd. METHOD AND APPARATUS FOR GENERATING SECURITY CONTEXT, AND COMPUTER-READABLE STORAGE MEDIUM
WO2025174756A1 (en) * 2024-02-12 2025-08-21 Interdigital Patent Holdings, Inc. Nr mobility security considerations associated with inter-cu ltm

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100208692A1 (en) * 2009-02-13 2010-08-19 Samsung Electronics Co., Ltd. Apparatus and method for supporting intra-base station handover in a multi-hop relay broadband wireless communication system
US20120008776A1 (en) * 2009-03-30 2012-01-12 Panasonic Corporation Wireless communication apparatus
CN102740289A (zh) * 2012-06-15 2012-10-17 电信科学技术研究院 一种密钥更新方法、装置及系统
WO2014040245A1 (en) * 2012-09-12 2014-03-20 Nokia Corporation Method and apparatus for mobility control in a heterogenous network
US20150222604A1 (en) * 2011-12-21 2015-08-06 Ssh Communications Security Oyj Automated Access, Key, Certificate, and Credential Management
CN104937964A (zh) * 2013-01-17 2015-09-23 日本电气株式会社 用户面与控制面分离的蜂窝系统中的安全通信
CN105557006A (zh) * 2013-08-09 2016-05-04 三星电子株式会社 用于支持双连接的pdcp分布式结构的安全密钥生成和管理方法

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101237381B (zh) * 2007-02-02 2010-07-07 华为技术有限公司 一种传送start值的方法及系统
CN101400059B (zh) * 2007-09-28 2010-12-08 华为技术有限公司 一种active状态下的密钥更新方法和设备
WO2009088331A1 (en) * 2008-01-10 2009-07-16 Telefonaktiebolaget Lm Ericsson (Publ) Improved method and arrangement in a telecommunications system
JP4394730B1 (ja) * 2008-06-27 2010-01-06 株式会社エヌ・ティ・ティ・ドコモ 移動通信方法及び移動局
WO2010119656A1 (ja) * 2009-04-17 2010-10-21 パナソニック株式会社 無線通信装置
CN102340772B (zh) * 2010-07-15 2014-04-16 华为技术有限公司 切换过程中的安全处理方法、装置和系统
WO2011137824A1 (zh) * 2010-09-30 2011-11-10 华为技术有限公司 一种密钥管理方法、检查授权方法和装置
CN104584633B (zh) * 2012-08-23 2018-12-18 交互数字专利控股公司 在无线系统中采用多个调度器进行操作
CN104125563B (zh) * 2013-04-25 2017-12-29 电信科学技术研究院 认知无线电系统中的安全管理方法和设备
ES2882071T3 (es) * 2017-03-17 2021-12-01 Ericsson Telefon Ab L M Nodo de red para uso en una red de comunicación, dispositivo de comunicación y métodos de operación del mismo

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100208692A1 (en) * 2009-02-13 2010-08-19 Samsung Electronics Co., Ltd. Apparatus and method for supporting intra-base station handover in a multi-hop relay broadband wireless communication system
US20120008776A1 (en) * 2009-03-30 2012-01-12 Panasonic Corporation Wireless communication apparatus
US20150222604A1 (en) * 2011-12-21 2015-08-06 Ssh Communications Security Oyj Automated Access, Key, Certificate, and Credential Management
CN102740289A (zh) * 2012-06-15 2012-10-17 电信科学技术研究院 一种密钥更新方法、装置及系统
WO2014040245A1 (en) * 2012-09-12 2014-03-20 Nokia Corporation Method and apparatus for mobility control in a heterogenous network
CN104937964A (zh) * 2013-01-17 2015-09-23 日本电气株式会社 用户面与控制面分离的蜂窝系统中的安全通信
CN105557006A (zh) * 2013-08-09 2016-05-04 三星电子株式会社 用于支持双连接的pdcp分布式结构的安全密钥生成和管理方法

Cited By (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018157740A1 (zh) * 2017-02-28 2018-09-07 中兴通讯股份有限公司 无线接入网络系统及集中单元
WO2019139345A1 (en) * 2018-01-11 2019-07-18 Samsung Electronics Co., Ltd. Apparatus and method for selecting centralized unit-user plane in wireless communication system
US11596012B2 (en) 2018-01-11 2023-02-28 Samsung Electronics Co., Ltd. Apparatus and method for selecting centralized unit-user plane in wireless communication system
CN110365470B (zh) * 2018-03-26 2023-10-10 华为技术有限公司 一种密钥生成方法和相关装置
WO2019184832A1 (zh) * 2018-03-26 2019-10-03 华为技术有限公司 一种密钥生成方法和相关装置
CN110365470A (zh) * 2018-03-26 2019-10-22 华为技术有限公司 一种密钥生成方法和相关装置
US11533610B2 (en) 2018-03-26 2022-12-20 Huawei Technologies Co., Ltd. Key generation method and related apparatus
CN110351716A (zh) * 2018-04-03 2019-10-18 电信科学技术研究院有限公司 无线接入网区域码的处理方法、装置及无线接入网节点
CN111869278A (zh) * 2018-04-04 2020-10-30 中兴通讯股份有限公司 测量传输时延
US11329926B2 (en) 2018-04-04 2022-05-10 Zte Corporation Measuring transmission delay
US12127047B2 (en) 2018-04-12 2024-10-22 Qualcomm Incorporated Access stratum (AS) security for a centralized radio access network (C-RAN)
US11533651B2 (en) 2018-04-12 2022-12-20 Zte Corporation Transmission control method and device
CN110381535B (zh) * 2018-04-12 2022-04-29 中兴通讯股份有限公司 传输控制方法及装置
CN111971987A (zh) * 2018-04-12 2020-11-20 高通股份有限公司 集中式无线接入网络的接入层(as)安全性(c-ran)
CN110381535A (zh) * 2018-04-12 2019-10-25 中兴通讯股份有限公司 传输控制方法及装置
CN110650502A (zh) * 2018-06-26 2020-01-03 电信科学技术研究院有限公司 一种切换方法及装置
WO2020010497A1 (zh) * 2018-07-09 2020-01-16 华为技术有限公司 通信方法、设备及系统
CN112385266B (zh) * 2018-07-09 2022-06-14 华为技术有限公司 通信方法、设备及系统
CN112385266A (zh) * 2018-07-09 2021-02-19 华为技术有限公司 通信方法、设备及系统
CN111432404B (zh) * 2019-01-09 2022-11-18 中兴通讯股份有限公司 信息处理方法及装置
CN111432404A (zh) * 2019-01-09 2020-07-17 中兴通讯股份有限公司 信息处理方法及装置
CN111585746A (zh) * 2019-02-15 2020-08-25 中国移动通信有限公司研究院 密钥生成方法、切换方法、装置、网络设备和存储介质
WO2020164399A1 (zh) * 2019-02-15 2020-08-20 中国移动通信有限公司研究院 密钥生成方法、切换方法、装置、网络设备和存储介质
CN111757424B (zh) * 2019-03-29 2022-03-22 大唐移动通信设备有限公司 一种无线接入网的共享方法及装置
CN111757424A (zh) * 2019-03-29 2020-10-09 电信科学技术研究院有限公司 一种无线接入网的共享方法及装置
WO2025065185A1 (en) * 2023-09-25 2025-04-03 Nec Corporation Devices and methods of communication
WO2025156739A1 (zh) * 2024-01-23 2025-07-31 深圳传音控股股份有限公司 处理方法、通信设备及存储介质
WO2025162352A1 (zh) * 2024-01-31 2025-08-07 荣耀终端股份有限公司 通信方法、终端设备、网元、存储介质及芯片系统

Also Published As

Publication number Publication date
EP3448076B1 (en) 2020-07-08
EP3448076A4 (en) 2019-05-15
EP3448076A1 (en) 2019-02-27
EP3771243A1 (en) 2021-01-27
US20190082367A1 (en) 2019-03-14
US11425618B2 (en) 2022-08-23
BR112018073255A2 (pt) 2019-02-26
CN107371155B (zh) 2021-08-31
JP2019515598A (ja) 2019-06-06
WO2017193974A1 (zh) 2017-11-16
EP3771243B1 (en) 2022-09-14
JP6734936B2 (ja) 2020-08-05

Similar Documents

Publication Publication Date Title
US11425618B2 (en) Communication security processing method and apparatus, and system
CN110945892B (zh) 安全实现方法、相关装置以及系统
US10798082B2 (en) Network authentication triggering method and related device
WO2019062920A1 (zh) 数据安全处理方法及装置
US20170359719A1 (en) Key generation method, device, and system
JP2020536424A (ja) セキュリティ保護方法、装置及びシステム
WO2018171703A1 (zh) 通信方法与设备
JP4390842B1 (ja) 移動通信方法、無線基地局及び移動局
CN114827995A (zh) 多rat接入层安全性
WO2015113207A1 (zh) 一种安全密钥更改方法和基站及用户设备
JP2020511095A (ja) 通信ネットワーク内での使用のためのネットワークノード、通信デバイス、およびそれらを動作させる方法
WO2012171281A1 (zh) 一种安全参数修改方法及基站
WO2013075417A1 (zh) 切换过程中密钥生成方法及系统
US20240244681A1 (en) Communication method, apparatus, and system
US20210076213A1 (en) Key management for fast transitions
CN116684865A (zh) 通信的方法和装置
US20240381092A1 (en) Data transmission protection method, device, and system
CN101902736B (zh) 空中接口密钥的更新方法、核心网节点及无线接入系统
WO2015064475A1 (ja) 通信制御方法、認証サーバ及びユーザ端末
CN119678517B (zh) 用于无线网络中的scg安全的方法、设备和系统
WO2018228444A1 (zh) 连接管理方法、终端及无线接入网设备
CN120692013A (zh) 密钥更新方法、装置、通信设备、存储介质和程序产品
WO2025026232A1 (zh) 会话建立方法及相关装置
CN118830225A (zh) 生成密钥的方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant