本申請(qǐng)涉及通信領(lǐng)域，尤其涉及一種密鑰配置方法及密鑰管理中心、網(wǎng)元。

背景技術(shù)：

在已有的移動(dòng)通信安全架構(gòu)中，數(shù)據(jù)從終端到網(wǎng)絡(luò)的安全保護(hù)均采用分段加密的方式進(jìn)行，例如，一個(gè)用戶設(shè)備向另一個(gè)用戶設(shè)備發(fā)送數(shù)據(jù)的過(guò)程中，發(fā)送端用戶設(shè)備將加密的數(shù)據(jù)發(fā)給第一基站，第一基站將數(shù)據(jù)先解密再加密，并將再次加密的數(shù)據(jù)發(fā)給其它中間設(shè)備，最終數(shù)據(jù)被發(fā)送到接收端用戶設(shè)備。

因?yàn)榉侄渭用艿姆绞绞沟猛ㄐ艛?shù)據(jù)在中間設(shè)備中被解密，所以，增加了被竊取的風(fēng)險(xiǎn)。因此，端到端的安全通信成為安全通信的發(fā)展趨勢(shì)。所謂端到端的安全通信即發(fā)送端設(shè)備與接收端設(shè)備建立安全隧道，安全隧道的中間節(jié)點(diǎn)僅處理密文數(shù)據(jù)的轉(zhuǎn)發(fā)，而不對(duì)加密數(shù)據(jù)進(jìn)行解密。

而對(duì)參與端到端通信的兩個(gè)網(wǎng)元進(jìn)行安全密鑰的配置為端到端的安全通信的前提。

技術(shù)實(shí)現(xiàn)要素：

本申請(qǐng)?zhí)峁┝艘环N密鑰配置方法及裝置、網(wǎng)元，目的在于解決如何為網(wǎng)元進(jìn)行安全密鑰的配置的問(wèn)題。

為了實(shí)現(xiàn)上述目的，本申請(qǐng)?zhí)峁┝艘韵录夹g(shù)方案：

本申請(qǐng)的第一方面提供了一種密鑰配置方法，包括：密鑰管理中心獲取業(yè)務(wù)密鑰，所述業(yè)務(wù)密鑰用于對(duì)第一網(wǎng)元和第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)。所述密鑰管理中心獲取令牌，所述令牌為對(duì)所述業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果。所述密鑰管理中心發(fā)送所述令牌，所述令牌用于由所述第一網(wǎng)元獲取后向所述第二網(wǎng)元轉(zhuǎn)發(fā)，以使得所述第二網(wǎng)元依據(jù)所述令牌獲得所述業(yè)務(wù)密鑰。本申請(qǐng)所述的密鑰配置方法，密鑰管理中心獲取業(yè)務(wù)密鑰和令牌，第一網(wǎng)元在接收到業(yè)務(wù)密鑰和令牌后，向第二網(wǎng)元 發(fā)送令牌，因?yàn)榱钆茷閷?duì)業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果，所述第二網(wǎng)元可以依據(jù)令牌獲取業(yè)務(wù)密鑰，又因?yàn)闃I(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)，所以，通過(guò)密鑰管理中心和網(wǎng)元的交互，能夠?qū)崿F(xiàn)對(duì)安全密鑰的配置，從而為第一網(wǎng)元和第二網(wǎng)元之間的端到端的安全通信奠定基礎(chǔ)。

本申請(qǐng)的第二方面提供了另一種密鑰配置方法，包括：第一網(wǎng)元獲取業(yè)務(wù)密鑰和令牌，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)，所述令牌為對(duì)所述業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果。所述第一網(wǎng)元向所述第二網(wǎng)元發(fā)送所述令牌，所述令牌用于所述第二網(wǎng)元獲取所述業(yè)務(wù)密鑰。因?yàn)樗龅谝痪W(wǎng)元將所述令牌發(fā)送給所述第二網(wǎng)元，所以，第二網(wǎng)元可以從所述令牌中獲得所述業(yè)務(wù)密鑰，從而所述第一網(wǎng)元與所述第二網(wǎng)元之間可以進(jìn)行端到端的安全通信。

本申請(qǐng)的第三方面提供了另一種密鑰配置方法，網(wǎng)絡(luò)控制中心接收密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶第一網(wǎng)元的標(biāo)識(shí)和第二網(wǎng)元的標(biāo)識(shí)；如果所述第一網(wǎng)元的標(biāo)識(shí)和/或所述第二網(wǎng)元的標(biāo)識(shí)非永久標(biāo)識(shí)，所述網(wǎng)絡(luò)控制中心將所述第一網(wǎng)元的標(biāo)識(shí)替換為所述第一網(wǎng)元的永久標(biāo)識(shí)，和/或?qū)⑺龅诙W(wǎng)元的標(biāo)識(shí)替換為所述第二網(wǎng)元的永久標(biāo)識(shí)；所述網(wǎng)絡(luò)控制中心向密鑰管理中心發(fā)送第二密鑰請(qǐng)求消息，所述第二密鑰請(qǐng)求消息包含第一網(wǎng)元的永久標(biāo)識(shí)和第二網(wǎng)元的永久標(biāo)識(shí)；所述密鑰管理中心用于依據(jù)所述密鑰請(qǐng)求中所述第一網(wǎng)元的永久標(biāo)識(shí)和所述第二網(wǎng)元的永久標(biāo)識(shí)，生成業(yè)務(wù)密鑰及令牌，所述令牌為對(duì)所述業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和所述第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)。

本申請(qǐng)的第四方面提供了另一種密鑰配置方法，包括：密鑰管理中心接收密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶第一網(wǎng)元的標(biāo)識(shí)、第二網(wǎng)元的標(biāo)識(shí)和業(yè)務(wù)參數(shù)的至少一個(gè)，所述密鑰請(qǐng)求由所述第一網(wǎng)元、所述第二網(wǎng)元、網(wǎng)絡(luò)控制中心、或者業(yè)務(wù)服務(wù)器向所述密鑰管理中心發(fā)送；所述密鑰管理中心依據(jù)所述第一網(wǎng)元的標(biāo)識(shí)、所述第二網(wǎng)元的標(biāo)識(shí)和所述業(yè)務(wù)參數(shù)的至少一個(gè)生成業(yè)務(wù)密鑰，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和所述第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)；所述密鑰管理中心使用所述密鑰管理中心與所述第二網(wǎng)元之間的共享密鑰對(duì)所述業(yè)務(wù)密鑰及所述第一類密鑰參數(shù)組成的字符 串進(jìn)行加密，得到令牌；其中，所述第一類密鑰參數(shù)為所述密鑰管理中心使用所述共享密鑰計(jì)算所述業(yè)務(wù)密鑰的消息認(rèn)證碼，或者，所述密鑰管理中心使用所述共享密鑰計(jì)算所述業(yè)務(wù)密鑰與所述業(yè)務(wù)密鑰的信息組成的字符串的消息認(rèn)證碼，其中，所述業(yè)務(wù)密鑰的信息包括以下任意一項(xiàng)：所述業(yè)務(wù)密鑰的使用實(shí)體標(biāo)識(shí)、所述業(yè)務(wù)密鑰的有效期、所述業(yè)務(wù)密鑰的生成時(shí)間、應(yīng)用所述業(yè)務(wù)密鑰的業(yè)務(wù)的信息及業(yè)務(wù)鏈路的信息；所述密鑰管理中心發(fā)送所述令牌，所述令牌用于由所述第一網(wǎng)元獲取后向所述第二網(wǎng)元轉(zhuǎn)發(fā)，以使得所述第二網(wǎng)元依據(jù)所述令牌獲得所述業(yè)務(wù)密鑰。

本申請(qǐng)的第五方面提供了另一種密鑰配置方法，包括：密鑰管理中心接收第一網(wǎng)元發(fā)送的密鑰請(qǐng)求，生成業(yè)務(wù)密鑰，并向所述第一網(wǎng)元和第二網(wǎng)元發(fā)送所述業(yè)務(wù)密鑰，其中，所述業(yè)務(wù)密鑰用于對(duì)第一網(wǎng)元和第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)。

本申請(qǐng)的第六方面提供了一種密鑰管理中心，包括：第一處理器和第一存儲(chǔ)器；所述第一存儲(chǔ)器用于存儲(chǔ)操作系統(tǒng)以及應(yīng)用程序、所述應(yīng)用程序運(yùn)行中產(chǎn)生的數(shù)據(jù)；所述第一處理器用于通過(guò)運(yùn)行存儲(chǔ)在所述第一存儲(chǔ)器中的所述應(yīng)用程序，實(shí)現(xiàn)以下功能：獲取業(yè)務(wù)密鑰，所述業(yè)務(wù)密鑰用于對(duì)第一網(wǎng)元和第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)；獲取令牌，所述令牌為對(duì)所述業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果；發(fā)送所述令牌，所述令牌用于由所述第一網(wǎng)元獲取后向所述第二網(wǎng)元轉(zhuǎn)發(fā)，以使得所述第二網(wǎng)元依據(jù)所述令牌獲得所述業(yè)務(wù)密鑰。

本申請(qǐng)的第七方面提供了一種網(wǎng)元，包括：第二處理器和第二存儲(chǔ)器。所述第二存儲(chǔ)器用于存儲(chǔ)操作系統(tǒng)以及應(yīng)用程序、所述應(yīng)用程序運(yùn)行中產(chǎn)生的數(shù)據(jù)；所述第二處理器用于通過(guò)運(yùn)行存儲(chǔ)在所述第二存儲(chǔ)器中的所述應(yīng)用程序，實(shí)現(xiàn)以下功能：獲取業(yè)務(wù)密鑰和令牌，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和其它網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)，所述令牌為對(duì)所述業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果；向所述其它網(wǎng)元發(fā)送所述令牌，所述令牌用于所述其它網(wǎng)元獲取所述業(yè)務(wù)密鑰。

本申請(qǐng)的第八方面提供了一種網(wǎng)絡(luò)控制中心，包括：第三處理器和第三存儲(chǔ)器。所述第三存儲(chǔ)器用于存儲(chǔ)操作系統(tǒng)以及應(yīng)用程序、所述應(yīng)用程序運(yùn)行中產(chǎn)生的數(shù)據(jù)；所述第三處理器用于通過(guò)運(yùn)行存儲(chǔ)在所述第三存儲(chǔ)器中的 所述應(yīng)用程序，實(shí)現(xiàn)以下功能：接收密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶第一網(wǎng)元的標(biāo)識(shí)和第二網(wǎng)元的標(biāo)識(shí)；如果所述第一網(wǎng)元的標(biāo)識(shí)和/或所述第二網(wǎng)元的標(biāo)識(shí)非永久標(biāo)識(shí)，將所述第一網(wǎng)元的標(biāo)識(shí)替換為所述第一網(wǎng)元的永久標(biāo)識(shí)，和/或?qū)⑺龅诙W(wǎng)元的標(biāo)識(shí)替換為所述第二網(wǎng)元的永久標(biāo)識(shí)；向密鑰管理中心發(fā)送第二密鑰請(qǐng)求消息，所述第二密鑰請(qǐng)求消息包含第一網(wǎng)元的永久標(biāo)識(shí)和第二網(wǎng)元的永久標(biāo)識(shí)；所述密鑰管理中心用于依據(jù)所述密鑰請(qǐng)求中所述第一網(wǎng)元的永久標(biāo)識(shí)和所述第二網(wǎng)元的永久標(biāo)識(shí)，生成業(yè)務(wù)密鑰及令牌，所述令牌為對(duì)所述業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和所述第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)。

本申請(qǐng)的第九方面提供了又一種密鑰管理中心，包括：第四處理器和第四存儲(chǔ)器。所述第四存儲(chǔ)器用于存儲(chǔ)操作系統(tǒng)以及應(yīng)用程序、所述應(yīng)用程序運(yùn)行中產(chǎn)生的數(shù)據(jù)；所述第四處理器用于通過(guò)運(yùn)行存儲(chǔ)在所述第四存儲(chǔ)器中的所述應(yīng)用程序，實(shí)現(xiàn)以下功能：接收密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶第一網(wǎng)元的標(biāo)識(shí)、第二網(wǎng)元的標(biāo)識(shí)和業(yè)務(wù)參數(shù)的至少一個(gè)，所述密鑰請(qǐng)求由所述第一網(wǎng)元、所述第二網(wǎng)元、網(wǎng)絡(luò)控制中心、或者業(yè)務(wù)服務(wù)器發(fā)送；獲取業(yè)務(wù)密鑰，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和所述第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)；使用所述密鑰管理中心與所述第二網(wǎng)元之間的共享密鑰對(duì)所述業(yè)務(wù)密鑰及所述第一類密鑰參數(shù)組成的字符串進(jìn)行加密，得到令牌；其中，所述第一類密鑰參數(shù)為所述密鑰管理中心使用所述共享密鑰計(jì)算所述業(yè)務(wù)密鑰的消息認(rèn)證碼，或者，所述密鑰管理中心使用所述共享密鑰計(jì)算所述業(yè)務(wù)密鑰與所述業(yè)務(wù)密鑰的信息組成的字符串的消息認(rèn)證碼，其中，所述業(yè)務(wù)密鑰的信息包括以下任意一項(xiàng)：所述業(yè)務(wù)密鑰的使用實(shí)體標(biāo)識(shí)、所述業(yè)務(wù)密鑰的有效期、所述業(yè)務(wù)密鑰的生成時(shí)間、應(yīng)用所述業(yè)務(wù)密鑰的業(yè)務(wù)的信息及業(yè)務(wù)鏈路的信息；發(fā)送所述令牌，所述令牌用于由所述第一網(wǎng)元獲取后向所述第二網(wǎng)元轉(zhuǎn)發(fā)，以使得所述第二網(wǎng)元依據(jù)所述令牌獲得所述業(yè)務(wù)密鑰。

在一些實(shí)現(xiàn)方式中，所述獲取令牌包括：依據(jù)所述業(yè)務(wù)密鑰得到第一類密鑰參數(shù)，所述第一類密鑰參數(shù)包括由所述業(yè)務(wù)密鑰得到的消息認(rèn)證碼或者數(shù)字簽名；使用第一參數(shù)，對(duì)所述業(yè)務(wù)密鑰及所述第一類密鑰參數(shù)組成的字 符串進(jìn)行加密，得到所述令牌，所述第一參數(shù)包括所述密鑰管理中心與所述第二網(wǎng)元之間的共享密鑰、所述第二網(wǎng)元的公鑰或者所述第二網(wǎng)元的標(biāo)識(shí)。

在一些實(shí)現(xiàn)方式中，所述依據(jù)所述業(yè)務(wù)密鑰得到第一類密鑰參數(shù)包括：使用所述共享密鑰計(jì)算所述業(yè)務(wù)密鑰的消息認(rèn)證碼；或者，使用所述共享密鑰計(jì)算所述業(yè)務(wù)密鑰與所述業(yè)務(wù)密鑰的信息組成的字符串的消息認(rèn)證碼；或者，使用預(yù)設(shè)的私鑰計(jì)算所述業(yè)務(wù)密鑰的數(shù)字簽名；或者，使用預(yù)設(shè)的私鑰計(jì)算所述業(yè)務(wù)密鑰與所述業(yè)務(wù)密鑰的信息組成的字符串的數(shù)字簽名；其中，所述業(yè)務(wù)密鑰的信息包括以下任意一項(xiàng)：所述業(yè)務(wù)密鑰的使用實(shí)體標(biāo)識(shí)、所述業(yè)務(wù)密鑰的有效期、所述業(yè)務(wù)密鑰的生成時(shí)間、應(yīng)用所述業(yè)務(wù)密鑰的業(yè)務(wù)的信息及業(yè)務(wù)鏈路的信息。

在一些實(shí)現(xiàn)方式中，所述獲取令牌包括：接收其它密鑰管理中心發(fā)送的令牌。

在一些實(shí)現(xiàn)方式中，所述發(fā)送所述令牌包括：向所述第一網(wǎng)元發(fā)送所述令牌；所述第一處理器還用于：向所述第一網(wǎng)元發(fā)送所述業(yè)務(wù)密鑰。

在一些實(shí)現(xiàn)方式中，所述向所述第一網(wǎng)元發(fā)送所述業(yè)務(wù)密鑰及所述令牌的具體過(guò)程包括：使用第二參數(shù)對(duì)字符串進(jìn)行加密形成密文，并向所述第一網(wǎng)元發(fā)送所述密文，所述字符串由所述業(yè)務(wù)密鑰、所述令牌及第二類密鑰參數(shù)組成；或者，使用第二參數(shù)對(duì)字符串進(jìn)行加密形成密文，并向所述第一網(wǎng)元發(fā)送所述密文以及所述令牌，所述字符串由所述業(yè)務(wù)密鑰及所述第二類密鑰參數(shù)組成；其中，所述第二類密鑰參數(shù)包括由所述業(yè)務(wù)密鑰及所述令牌組成的字符串得到的消息認(rèn)證碼或者數(shù)字簽名，所述第二參數(shù)包括所述密鑰管理中心與所述第一網(wǎng)元間的共享密鑰、所述第一網(wǎng)元的公鑰，或者所述第一網(wǎng)元的標(biāo)識(shí)。

在一些實(shí)現(xiàn)方式中，所述字符串中的所述第二類密鑰參數(shù)為消息認(rèn)證碼，所述消息認(rèn)證碼為通過(guò)使用所述密鑰管理中心與所述第一網(wǎng)元之間的共享密鑰對(duì)所述業(yè)務(wù)密鑰與所述令牌組成的字符串進(jìn)行完整性保護(hù)得到；或者，所述字符串中的所述第二類密鑰參數(shù)為數(shù)字簽名，所述數(shù)字簽名通過(guò)使用預(yù)設(shè)的私鑰對(duì)所述業(yè)務(wù)密鑰與所述令牌組成的字符串進(jìn)行數(shù)字簽名運(yùn)算得到。

在一些實(shí)現(xiàn)方式中，所述向所述第一網(wǎng)元發(fā)送所述業(yè)務(wù)密鑰及所述令牌的具體過(guò)程包括：通過(guò)預(yù)先建立的與所述第一網(wǎng)元之間的安全通道，向所述第一網(wǎng)元發(fā)送所述業(yè)務(wù)密鑰及所述令牌。

在一些實(shí)現(xiàn)方式中，所述發(fā)送所述令牌包括：向其它密鑰管理中心發(fā)送所述令牌。

在一些實(shí)現(xiàn)方式中，所述獲取業(yè)務(wù)密鑰包括：依據(jù)以下規(guī)則中的任意一種生成所述業(yè)務(wù)密鑰k：k＝kdf(key，(time，預(yù)設(shè)參數(shù)中的至少一項(xiàng)))，其中，所述key為所述密鑰管理中心所選的隨機(jī)數(shù)、所述第一網(wǎng)元與所述密鑰管理中心之間的共享密鑰k1、所述第二網(wǎng)元與所述密鑰管理中心之間的共享密鑰k2、另一個(gè)密鑰管理中心所選的隨機(jī)數(shù)、或者所述另一個(gè)密鑰管理中心與所述第二網(wǎng)元之間的共享密鑰中的一個(gè)或多個(gè)的組合；time為業(yè)務(wù)密鑰k的截止時(shí)間、有效期時(shí)長(zhǎng)、或當(dāng)前的系統(tǒng)時(shí)間；所述預(yù)設(shè)參數(shù)包括所述第一網(wǎng)元的標(biāo)識(shí)、所述第二網(wǎng)元的標(biāo)識(shí)、所述業(yè)務(wù)參數(shù)和sn；所述業(yè)務(wù)參數(shù)為業(yè)務(wù)中的序列號(hào)、該業(yè)務(wù)密鑰的相關(guān)時(shí)間time、該業(yè)務(wù)中的相關(guān)id，新鮮參數(shù)(freshparameter)、隨機(jī)數(shù)(nonce/randomnumber)中的至少一項(xiàng)，sn為計(jì)算業(yè)務(wù)密鑰的序列號(hào)。。

在一些實(shí)現(xiàn)方式中，所述獲取業(yè)務(wù)密鑰包括：向另一個(gè)密鑰管理中心發(fā)送第一協(xié)商參數(shù)，所述第一協(xié)商參數(shù)為隨機(jī)數(shù)1、系統(tǒng)時(shí)間1、序列號(hào)1、新鮮參數(shù)freshparameter1中的至少一項(xiàng)；接收所述另一個(gè)密鑰管理中心發(fā)送的第二協(xié)商參數(shù)；所述第二協(xié)商參數(shù)為隨機(jī)數(shù)2、系統(tǒng)時(shí)間2、序列號(hào)2、新鮮參數(shù)freshparameter2中的至少一項(xiàng)；規(guī)則kdf(第一協(xié)商參數(shù)，第二協(xié)商參數(shù))生成業(yè)務(wù)密鑰，或者，所述密鑰管理中心依據(jù)規(guī)則k＝kdf(key，(time，預(yù)設(shè)參數(shù)中的至少一項(xiàng)))生成業(yè)務(wù)密鑰；其中，key為參考業(yè)務(wù)密鑰或者dh密鑰協(xié)商后得到的密鑰，所述參考業(yè)務(wù)密鑰依據(jù)kdf(第一協(xié)商參數(shù)，第二協(xié)商參數(shù))生成；time為業(yè)務(wù)密鑰k的截止時(shí)間、有效期時(shí)長(zhǎng)、或當(dāng)前的系統(tǒng)時(shí)間；所述預(yù)設(shè)參數(shù)包括所述第一網(wǎng)元的標(biāo)識(shí)、所述第二網(wǎng)元的標(biāo)識(shí)、所述業(yè)務(wù)參數(shù)和sn；所述業(yè)務(wù)參數(shù)為業(yè)務(wù)中的序列號(hào)、該業(yè)務(wù)密鑰的相關(guān)時(shí)間time、該業(yè)務(wù)中的相關(guān)id，新鮮參數(shù)(freshparameter)、隨機(jī)數(shù)(nonce/randomnumber)中的至少一項(xiàng)，sn為計(jì)算業(yè)務(wù)密鑰的序列號(hào)。

在一些實(shí)現(xiàn)方式中，所述獲取業(yè)務(wù)密鑰包括：向另一個(gè)密鑰管理中心發(fā)送dh密鑰協(xié)商中的第一參數(shù)g^x；接收所述另一個(gè)密鑰管理中心發(fā)送的所述dh密鑰協(xié)商中的第二參數(shù)g^y；所述密鑰管理中心計(jì)算出g^xy，將g^xy，kdf(g^xy)，或者k＝kdf(g^xy，(time，預(yù)設(shè)參數(shù)中的至少一項(xiàng)))作為所述業(yè)務(wù)密鑰其中，key為參考業(yè)務(wù)密鑰或者dh密鑰協(xié)商后得到的密鑰，所述參考業(yè)務(wù)密鑰依據(jù)kdf(第一協(xié)商參數(shù)，第二協(xié)商參數(shù))生成；time為業(yè)務(wù)密鑰k的截止時(shí)間、有效期時(shí)長(zhǎng)、或當(dāng)前的系統(tǒng)時(shí)間；所述預(yù)設(shè)參數(shù)包括所述第一網(wǎng)元的標(biāo)識(shí)、所述第二網(wǎng)元的標(biāo)識(shí)、所述業(yè)務(wù)參數(shù)和sn；所述業(yè)務(wù)參數(shù)為業(yè)務(wù)中的序列號(hào)、該業(yè)務(wù)密鑰的相關(guān)時(shí)間time、該業(yè)務(wù)中的相關(guān)id，新鮮參數(shù)(freshparameter)、隨機(jī)數(shù)(nonce/randomnumber)中的至少一項(xiàng)，sn為計(jì)算業(yè)務(wù)密鑰的序列號(hào)。

在一些實(shí)現(xiàn)方式中，所述獲取業(yè)務(wù)密鑰包括：接收其它密鑰管理中心發(fā)送的業(yè)務(wù)密鑰。

在一些實(shí)現(xiàn)方式中，還包括：接收密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶所述第一網(wǎng)元的標(biāo)識(shí)、所述第二網(wǎng)元的標(biāo)識(shí)和業(yè)務(wù)參數(shù)的至少一個(gè)，所述密鑰請(qǐng)求由所述第一網(wǎng)元、所述第二網(wǎng)元、網(wǎng)絡(luò)控制中心、或者業(yè)務(wù)服務(wù)器發(fā)送。

在一些實(shí)現(xiàn)方式中，還包括：接收網(wǎng)絡(luò)控制中心發(fā)送的第一密鑰請(qǐng)求，所述第一密鑰請(qǐng)求中攜帶所述第一網(wǎng)元的永久標(biāo)識(shí)和所述第二網(wǎng)元的永久標(biāo)識(shí)，所述第一網(wǎng)元的永久標(biāo)識(shí)由所述網(wǎng)絡(luò)控制中心依據(jù)所述第一網(wǎng)元的臨時(shí)標(biāo)識(shí)轉(zhuǎn)換得到，所述第二網(wǎng)元的永久標(biāo)識(shí)由所述網(wǎng)絡(luò)控制中心依據(jù)所述第二網(wǎng)元的臨時(shí)標(biāo)識(shí)轉(zhuǎn)換得到，所述第一網(wǎng)元的臨時(shí)標(biāo)識(shí)和所述第二網(wǎng)元的臨時(shí)標(biāo)識(shí)攜帶在由所述第一網(wǎng)元、所述第二網(wǎng)元或者業(yè)務(wù)服務(wù)器發(fā)送給所述網(wǎng)絡(luò)控制中心的第二密鑰請(qǐng)求中。

附圖說(shuō)明

為了更清楚地說(shuō)明本申請(qǐng)實(shí)施例或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對(duì)實(shí)施例或現(xiàn)有技術(shù)描述中所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見(jiàn)地，下面描述中的附圖僅僅是本申請(qǐng)的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來(lái)講，在不付出創(chuàng)造性勞動(dòng)的前提下，還可以根據(jù)這些附圖獲得其他的附圖。

圖1為兩個(gè)網(wǎng)元之間通過(guò)通信網(wǎng)絡(luò)進(jìn)行端到端通信的場(chǎng)景的示意圖；

圖2為密鑰管理中心的一種部署示意圖；

圖3為密鑰管理中心的又一種部署示意圖；

圖4為本申請(qǐng)實(shí)施例公開(kāi)的密鑰管理中心的結(jié)構(gòu)示意圖；

圖5為本申請(qǐng)實(shí)施例公開(kāi)的一種密鑰配置方法的流程圖；

圖6為本申請(qǐng)實(shí)施例公開(kāi)的又一種密鑰配置方法的流程圖；

圖7為本申請(qǐng)實(shí)施例公開(kāi)的又一種密鑰配置方法的流程圖；

圖8為本申請(qǐng)實(shí)施例公開(kāi)的又一種密鑰配置方法的流程圖；

圖9為本申請(qǐng)實(shí)施例公開(kāi)的又一種密鑰配置方法的流程圖；

圖10為本申請(qǐng)實(shí)施例公開(kāi)的又一種密鑰配置方法的流程圖。

具體實(shí)施方式

圖1所示為兩個(gè)網(wǎng)元之間通過(guò)通信網(wǎng)絡(luò)進(jìn)行端到端通信的場(chǎng)景，其中，網(wǎng)元可以為用戶設(shè)備(userequipment，ue)、服務(wù)器、控制器等通信參與方，也可以為網(wǎng)關(guān)等中間設(shè)備。通信網(wǎng)絡(luò)可以為移動(dòng)通信網(wǎng)絡(luò)，例如全球移動(dòng)通信系統(tǒng)(globalsystemformobilecommunications，gsm)，寬帶碼分多址(widebandcodedivisionmultipleaccess，wcdma)，3gpp長(zhǎng)期演進(jìn)(longtermevolution，lte)，未來(lái)5g，無(wú)線保真(wirelessfidelity，wifi)(又稱802.11b標(biāo)準(zhǔn))等無(wú)線通信網(wǎng)絡(luò)，也可以為互聯(lián)網(wǎng)。

本申請(qǐng)實(shí)施例中，兩個(gè)網(wǎng)元之間通過(guò)移動(dòng)通信網(wǎng)絡(luò)進(jìn)行端到端通信可以包括以下任意一種情況：兩個(gè)網(wǎng)元通過(guò)移動(dòng)通信網(wǎng)絡(luò)完成端到端通信、兩個(gè)網(wǎng)元通過(guò)互聯(lián)網(wǎng)完成端到端通信以及兩個(gè)網(wǎng)元通過(guò)移動(dòng)通信網(wǎng)絡(luò)和互聯(lián)網(wǎng)完成端到端通信?？蛇x地，在通信網(wǎng)絡(luò)中可以包括業(yè)務(wù)服務(wù)器和網(wǎng)絡(luò)控制中心，兩個(gè)網(wǎng)元之間可以通過(guò)業(yè)務(wù)服務(wù)器和/或網(wǎng)絡(luò)控制中心實(shí)現(xiàn)與通信網(wǎng)絡(luò)的信息交互。

為了實(shí)現(xiàn)兩個(gè)網(wǎng)元之間的端到端的安全通信，可以使用業(yè)務(wù)密鑰對(duì)兩個(gè)網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)，而為網(wǎng)元進(jìn)行業(yè)務(wù)密鑰的配置為實(shí)現(xiàn)上述目的的基礎(chǔ)。

為了實(shí)現(xiàn)上述目的，本申請(qǐng)中，在通信網(wǎng)絡(luò)中設(shè)置密鑰管理中心，負(fù)責(zé)為網(wǎng)元配置業(yè)務(wù)密鑰，如圖2所示，具體地，可以在一種類型的網(wǎng)絡(luò)中設(shè)置一個(gè)密鑰管理中心，此密鑰管理中心負(fù)責(zé)為兩個(gè)網(wǎng)元配置業(yè)務(wù)密鑰；也可以 在不同類型的網(wǎng)絡(luò)中各自設(shè)置一個(gè)密鑰管理中心，每一個(gè)密鑰管理中心負(fù)責(zé)為一個(gè)網(wǎng)元配置業(yè)務(wù)密鑰，例如，如圖3所示，在移動(dòng)通信網(wǎng)絡(luò)中設(shè)置第一密鑰管理中心，負(fù)責(zé)為處于移動(dòng)通信網(wǎng)絡(luò)中的第一網(wǎng)元配置業(yè)務(wù)密鑰，在互聯(lián)網(wǎng)中設(shè)置第二密鑰管理中心，負(fù)責(zé)為處于互聯(lián)網(wǎng)中的第二網(wǎng)元配置業(yè)務(wù)密鑰。

本申請(qǐng)的實(shí)施例將重點(diǎn)說(shuō)明密鑰管理中心如何為網(wǎng)元配置業(yè)務(wù)密鑰。

圖2或圖3中所示的密鑰管理中心的結(jié)構(gòu)如圖4所示，包括：第一處理器401、與第一處理器401匹配使用的第一存儲(chǔ)器402以及通信接口403。以上各部分通過(guò)總線進(jìn)行通信。

其中，第一存儲(chǔ)器402包括存儲(chǔ)介質(zhì)4021和存儲(chǔ)單元4022，具體地，存儲(chǔ)介質(zhì)可以為只讀存儲(chǔ)器rom、硬盤或閃存，存儲(chǔ)單元可以為隨機(jī)存儲(chǔ)器ram。

在第一存儲(chǔ)器中存儲(chǔ)有操作系統(tǒng)、應(yīng)用程序、所述應(yīng)用程序運(yùn)行中產(chǎn)生的數(shù)據(jù)。本實(shí)施例中，包括應(yīng)用程序?qū)崿F(xiàn)密鑰配置功能的程序，第一處理器通過(guò)調(diào)用并運(yùn)行所述應(yīng)用程序?qū)崿F(xiàn)為網(wǎng)元配置業(yè)務(wù)密鑰的功能。第一處理器在運(yùn)行所述程序的過(guò)程中產(chǎn)生的數(shù)據(jù)也被存儲(chǔ)在存儲(chǔ)單元中。

下面將詳細(xì)說(shuō)明如圖4所述的密鑰管理中心如何實(shí)現(xiàn)為網(wǎng)元配置密鑰的功能。

如圖5所示，在圖2所示的僅包括一個(gè)密鑰管理中心的場(chǎng)景下，為兩個(gè)網(wǎng)元配置業(yè)務(wù)密鑰的具體過(guò)程包括以下步驟：

s501：密鑰管理中心接收密鑰請(qǐng)求，在密鑰請(qǐng)求中，攜帶第一網(wǎng)元的標(biāo)識(shí)、第二網(wǎng)元的標(biāo)識(shí)和業(yè)務(wù)的業(yè)務(wù)參數(shù)的至少一項(xiàng)。

業(yè)務(wù)的業(yè)務(wù)參數(shù)可以有多種。例如，該業(yè)務(wù)的業(yè)務(wù)參數(shù)可以包括業(yè)務(wù)中的序列號(hào)sn、該業(yè)務(wù)密鑰的相關(guān)時(shí)間time、該業(yè)務(wù)中的相關(guān)id，新鮮參數(shù)(freshparameter)、隨機(jī)數(shù)(nonce/randomnumber)中的至少一項(xiàng)。其中，該業(yè)務(wù)中的相關(guān)id可以包括密鑰管理中心的id、業(yè)務(wù)serviceid、會(huì)話sessionid、網(wǎng)絡(luò)id、鏈路id、應(yīng)用appid、服務(wù)器serverid和公共陸地移動(dòng)網(wǎng)絡(luò)(publiclandmobilenetwork，plmnid)中的至少一個(gè)。其中，該業(yè)務(wù)密鑰的相關(guān)時(shí)間time可以包括該業(yè)務(wù)開(kāi)始的時(shí)間、結(jié)束的時(shí)間和有效期中的至少一項(xiàng)。

其中第一網(wǎng)元的標(biāo)識(shí)和中第二網(wǎng)元的標(biāo)識(shí)可以分別包括imei、imsi、impi、tmsi、impu、appid、網(wǎng)絡(luò)id、mac地址、ip地址、手機(jī)號(hào)碼和guti中的至少一項(xiàng)，在此不作限制。

具體地，密鑰請(qǐng)求可以由第一網(wǎng)元、第二網(wǎng)元或者業(yè)務(wù)服務(wù)器發(fā)送給密鑰管理中心。

另外，密鑰請(qǐng)求也可以由第一網(wǎng)元、第二網(wǎng)元或者業(yè)務(wù)服務(wù)器發(fā)送給網(wǎng)絡(luò)控制中心，再由網(wǎng)絡(luò)控制中心轉(zhuǎn)發(fā)給密鑰管理中心。具體地，包括如下步驟：

s5011：網(wǎng)絡(luò)控制中心接收攜帶第一網(wǎng)元的標(biāo)識(shí)、第二網(wǎng)元的標(biāo)識(shí)和業(yè)務(wù)參數(shù)的至少一項(xiàng)的密鑰請(qǐng)求。

s5012：若第一網(wǎng)元的標(biāo)識(shí)為臨時(shí)標(biāo)識(shí)，網(wǎng)絡(luò)控制中心將第一網(wǎng)元的臨時(shí)標(biāo)識(shí)轉(zhuǎn)換成第一網(wǎng)元的永久標(biāo)識(shí)；若第二網(wǎng)元的標(biāo)識(shí)為臨時(shí)標(biāo)識(shí)，網(wǎng)絡(luò)控制中心將第二網(wǎng)元的臨時(shí)標(biāo)識(shí)轉(zhuǎn)換成第二網(wǎng)元的永久標(biāo)識(shí)。具體地，網(wǎng)絡(luò)控制中心可以預(yù)先存儲(chǔ)有各個(gè)網(wǎng)元的臨時(shí)標(biāo)識(shí)和永久標(biāo)識(shí)的對(duì)應(yīng)關(guān)系，網(wǎng)絡(luò)控制中心可以通過(guò)查詢對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)臨時(shí)標(biāo)識(shí)和永久標(biāo)識(shí)之間的轉(zhuǎn)換。例如，臨時(shí)標(biāo)識(shí)可能為：impu，guti，tmsi等；永久標(biāo)識(shí)可能為：imsi，imei，impi，appid，網(wǎng)絡(luò)id，mac地址、ip地址、手機(jī)號(hào)碼等；在此不做限制。

s5013：網(wǎng)絡(luò)控制中心將攜帶第一網(wǎng)元的永久標(biāo)識(shí)、第二網(wǎng)元的永久標(biāo)識(shí)和業(yè)務(wù)參數(shù)的至少一項(xiàng)的密鑰請(qǐng)求發(fā)送給密鑰管理中心。

需要說(shuō)明的是，第一網(wǎng)元在發(fā)送密鑰請(qǐng)求的同時(shí)，還可以一并發(fā)送消息驗(yàn)證碼，驗(yàn)證碼用于密鑰管理中心驗(yàn)證密鑰請(qǐng)求的合法性，以避免攻擊者惡意發(fā)送的密鑰請(qǐng)求；第一網(wǎng)元可以基于第一網(wǎng)元與密鑰管理中心之間的共享密鑰k1，或者基于第一網(wǎng)元的私鑰計(jì)算所述消息驗(yàn)證碼。

s5011-5013步驟為可選步驟。

s502：接收到上述密鑰請(qǐng)求后，密鑰管理中心依據(jù)以下規(guī)則中的任意一種生成業(yè)務(wù)密鑰k。

具體的，規(guī)則為

k＝kdf(key，(time，預(yù)設(shè)參數(shù)中的至少一項(xiàng)))，其中，key可為隨機(jī)數(shù)、第一網(wǎng)元與密鑰管理中心之間的共享密鑰k1、第二網(wǎng)元與密鑰管理中心 之間的共享密鑰k2中的一個(gè)或多個(gè)的組合，time為業(yè)務(wù)密鑰k的截止時(shí)間、有效期時(shí)長(zhǎng)、或當(dāng)前的系統(tǒng)時(shí)間。

所述預(yù)設(shè)參數(shù)包括所述第一網(wǎng)元的標(biāo)識(shí)、所述第二網(wǎng)元的標(biāo)識(shí)、所述業(yè)務(wù)參數(shù)和sn；所述業(yè)務(wù)參數(shù)為業(yè)務(wù)中的序列號(hào)、該業(yè)務(wù)密鑰的相關(guān)時(shí)間time、該業(yè)務(wù)中的相關(guān)id，新鮮參數(shù)(freshparameter)、隨機(jī)數(shù)(nonce/randomnumber)中的至少一項(xiàng)，sn為計(jì)算業(yè)務(wù)密鑰的序列號(hào)。

進(jìn)一步地，該業(yè)務(wù)中的相關(guān)id為第一網(wǎng)元的id、第二網(wǎng)元的id、密鑰管理中心的標(biāo)識(shí)、serviceid、sessionid，網(wǎng)絡(luò)id，鏈路id，appid，serverid，plmnid，手機(jī)號(hào)碼，serverid或功能設(shè)備id中一個(gè)或多個(gè)的組合，time為業(yè)務(wù)密鑰k的截止時(shí)間、有效期時(shí)長(zhǎng)、或當(dāng)前的開(kāi)始系統(tǒng)時(shí)間，sn為計(jì)算業(yè)務(wù)密鑰的序列號(hào)，第一網(wǎng)元的id和第二網(wǎng)元的id識(shí)可以為imei、imsi、impi、tmsi、impu、appid、網(wǎng)絡(luò)id、mac地址、ip地址、手機(jī)號(hào)碼和guti中的至少一項(xiàng)，kdf表示密鑰推演函數(shù)keyderivationfunction。

除了以上規(guī)則，密鑰管理中心還可以隨機(jī)生成字符串作為業(yè)務(wù)密鑰。

s503:密鑰管理中心生成令牌。

具體地，密鑰管理中心可以使用以下任意一種方式生成令牌：

第一種方式：密鑰管理中心使用與第二網(wǎng)元中間的共享密鑰k2計(jì)算業(yè)務(wù)密鑰k的消息認(rèn)證碼mac_k2_(k)，并使用密鑰管理中心與第二網(wǎng)元之間的共享密鑰k2、第二網(wǎng)元的公鑰pk2或者第二網(wǎng)元的標(biāo)識(shí)id2對(duì)業(yè)務(wù)密鑰k及消息認(rèn)證碼mac_k2_(k)組成的字符串進(jìn)行加密，得到令牌token。

以使用k2為例，即：token＝en_k2_(k||mac_k2_(k))，其中，k||mac_k2_(k)表示k和mac_k2_(k)級(jí)聯(lián)組成的字符串，en_k2表示使用k2對(duì)k||mac_k2_(k)進(jìn)行加密。k和mac_k2_(k)可以采用所述級(jí)聯(lián)的方式，也可以采用其他字符串組合的形式，如兩個(gè)字符串通過(guò)特定標(biāo)識(shí)串聯(lián)在一塊，如1111，逗號(hào)，分隔符等。以上處理方式并不代表被加密的內(nèi)容僅包括k和mac_k2_(k)，也可能包含其他的字符串，如nonce，freshparameter等等。以下字符串級(jí)聯(lián)的地方，也適用以上所述的組合方式；也支持被簽名、mac、加密和哈希的內(nèi)容包含其他的字符串。

第二種方式：密鑰管理中心使用k2計(jì)算業(yè)務(wù)密鑰k與業(yè)務(wù)密鑰的信息indication組成的字符串的消息認(rèn)證碼mac_k2_(k||indication)，并使用k2、 pk2或者id2對(duì)業(yè)務(wù)密鑰k及消息認(rèn)證碼mac_k2_(k||indication)組成的字符串進(jìn)行加密，得到令牌token。其中，indication包括以下參數(shù)的至少一項(xiàng)：所述業(yè)務(wù)密鑰的使用實(shí)體標(biāo)識(shí)、所述業(yè)務(wù)密鑰的有效期、所述或者業(yè)務(wù)密鑰的生成時(shí)間、應(yīng)用所述業(yè)務(wù)密鑰的業(yè)務(wù)的信息及業(yè)務(wù)鏈路的信息、業(yè)務(wù)的業(yè)務(wù)參數(shù)。indication也可以攜帶在s401中所述的密鑰請(qǐng)求中。

以使用pk2為例，即：token＝en_pk2_(k||mac_k2_(k||indication))，其中，k||mac_k2_(k||indication)表示k和mac_k2_(k||indication)級(jí)聯(lián)組成的字符串，en_pk2表示使用pk2對(duì)k||mac_k2_(k||indication)進(jìn)行加密。

第三種方式：密鑰管理中心使用預(yù)設(shè)的私鑰sk_kms計(jì)算業(yè)務(wù)密鑰k的數(shù)字簽名，并使用k2、pk2或者id2對(duì)業(yè)務(wù)密鑰k的數(shù)字簽名進(jìn)行加密得到所述令牌token。

以使用id2為例，token＝en_id2_(k||signature_sk_kms_(k))，其中，signature_sk_kms_(k)為使用sk_kms計(jì)算得到的k的數(shù)字簽名，k||signature_sk_kms_(k)為k與signature_sk_kms_(k)組成的字符串，en_id2表示使用id2對(duì)k與signature_sk_kms_(k)組成的字符串進(jìn)行加密。

第四種方式：密鑰管理中心使用預(yù)設(shè)的私鑰sk_kms計(jì)算業(yè)務(wù)密鑰k與indication組成的字符串的數(shù)字簽名，使用k2、pk2或者id2對(duì)k與indication組成的字符串的數(shù)字簽名進(jìn)行加密得到令牌token。

以使用pk2為例，即：token＝en_pk2_(k||signature_sk_kms_(k||indication))。

s504：密鑰管理中心向第一網(wǎng)元發(fā)送業(yè)務(wù)密鑰和令牌。

具體地，可以使用以下任意一種方式發(fā)送業(yè)務(wù)密鑰和令牌：

第一種方式：密鑰管理中心使用密鑰管理中心與第一網(wǎng)元之間的共享密鑰k1對(duì)業(yè)務(wù)密鑰k與令牌token組成的字符串進(jìn)行完整性保護(hù)得到消息認(rèn)證碼mac_k1_(k||token)，使用k1、第一網(wǎng)元的公鑰pk1或者第一網(wǎng)元的標(biāo)識(shí)id1對(duì)業(yè)務(wù)密鑰k、令牌token以及消息認(rèn)證碼mac_k1_(k||token)組成的字符串k||token||mac_k1_(k||token)進(jìn)行加密形成密文，即ciphertext＝en_k1_(k||token||mac_k1_(k||token))，并向第一網(wǎng)元發(fā)送密文。

第二種方式：密鑰管理中心使用預(yù)設(shè)的私鑰sk計(jì)算業(yè)務(wù)密鑰k與令牌token組成的字符串的數(shù)字簽名signature_sk_kms_(k||token)，使用k1、pk1或者id1對(duì)業(yè)務(wù)密鑰k、令牌token以及數(shù)字簽名signature_sk_kms_(k||token)組成的字符串k||token||signature_sk_kms_(k||token)進(jìn)行加密形成密文，以使用k1為例，即ciphertext＝en_k1_(k||token||signature_sk_kms(k||token))，并向第一網(wǎng)元發(fā)送密文。

第三種方式：密鑰管理中心使用k1對(duì)業(yè)務(wù)密鑰k與令牌token組成的字符串進(jìn)行完整性保護(hù)得到消息認(rèn)證碼mac_k1_(k||token)，使用k1、pk1或者id1對(duì)業(yè)務(wù)密鑰k以及消息認(rèn)證碼mac_k1_(k||token)組成的字符串k||mac_k1_(k||token)進(jìn)行加密形成密文，以使用pk1為例，即ciphertext＝en_pk_(k||mac_k1_(k||token))，因?yàn)槊芪闹袥](méi)有包括token，所以，向第一網(wǎng)元發(fā)送密文以及token。

第四種方式：密鑰管理中心使用預(yù)設(shè)的私鑰sk計(jì)算業(yè)務(wù)密鑰k與令牌token組成的字符串的數(shù)字簽名signature_sk_kms_(k||token)，使用k1、pk1或者id1對(duì)業(yè)務(wù)密鑰k以及數(shù)字簽名signature_sk_kms_(k||token)組成的字符串k||signature_sk_kms_(k||token)進(jìn)行加密形成密文，以使用k1為例，即ciphertext＝en_k1_(k||signature_sk_kms(k||token))，并向第一網(wǎng)元發(fā)送密文以及token。

第五種方式：密鑰管理中心通過(guò)預(yù)先建立的與所述第一網(wǎng)元之間的安全通道，向所述第一網(wǎng)元發(fā)送業(yè)務(wù)密鑰及令牌，因?yàn)橥ㄟ^(guò)安全通道發(fā)送，所以可以直接發(fā)送，而無(wú)需進(jìn)行加密。

需要說(shuō)明的是，以上所列的生成令牌的任意一種方式、以及發(fā)送令牌和業(yè)務(wù)密鑰的任意一種方式，均可以任意進(jìn)行組合使用。

s505：依據(jù)上述發(fā)送方式的不同，第一網(wǎng)元可能接收到密文，也可能接收到密文和令牌，還可能接收到業(yè)務(wù)密鑰和令牌的明文。

第一網(wǎng)元接收到密文后，通過(guò)解密獲得業(yè)務(wù)密鑰和令牌，并對(duì)兩者進(jìn)行完整性驗(yàn)證。

s506：第一網(wǎng)元將令牌發(fā)送給第二網(wǎng)元。

s507：第二網(wǎng)元從令牌中解密出業(yè)務(wù)密鑰，并對(duì)業(yè)務(wù)密鑰進(jìn)行完整性驗(yàn)證。

從本實(shí)施例所述的過(guò)程可以看出，密鑰管理中心生成并向第一網(wǎng)元發(fā)送第一網(wǎng)元和第二網(wǎng)元進(jìn)行數(shù)據(jù)傳輸?shù)臉I(yè)務(wù)密鑰和令牌，第一網(wǎng)元再將令牌發(fā)給第二網(wǎng)元，第二網(wǎng)元從令牌中解密出令牌，因此，能夠?qū)崿F(xiàn)密鑰管理中心將業(yè)務(wù)密鑰分發(fā)給網(wǎng)元的目的，從而為兩個(gè)網(wǎng)元間的端到端的安全通信奠定基礎(chǔ)。

需要說(shuō)明的是，本實(shí)施例中，圖5所示的流程由密鑰管理中心接收到密鑰請(qǐng)求觸發(fā)，除此之外，密鑰管理中心也可以自行啟動(dòng)s502及之后的各個(gè)步驟，s501、s5011和s5012為可選步驟。

除了圖2所示的場(chǎng)景外，圖3中所示的兩個(gè)密鑰管理中心的場(chǎng)景下為兩個(gè)網(wǎng)元配置業(yè)務(wù)密鑰的具體過(guò)程如圖6所示，包括以下步驟：

s601：第一密鑰管理中心生成業(yè)務(wù)密鑰k。具體地，此步驟可以由第一密鑰管理中心接收到密鑰請(qǐng)求觸發(fā)，也可以由第一密鑰管理中心自行啟動(dòng)。

因?yàn)楸緦?shí)施例適用于兩個(gè)密鑰管理中心的場(chǎng)景，所以，兩個(gè)密鑰管理中心可以通過(guò)協(xié)商生成業(yè)務(wù)密鑰。具體方式包括以下幾種：

第一種方式：

s6011：第一密鑰管理中心向第二密鑰管理中心發(fā)送第一協(xié)商參數(shù)，其中，第一協(xié)商參數(shù)可以為隨機(jī)數(shù)1、系統(tǒng)時(shí)間1、序列號(hào)1、新鮮參數(shù)freshparameter1等參數(shù)的至少一項(xiàng)，也可為dh密鑰協(xié)商中的第一參數(shù)g^x。

s6012：第二密鑰管理中心在接收到第一協(xié)商參數(shù)后，向第一密鑰管理中心發(fā)送第二協(xié)商參數(shù)；第二協(xié)商參數(shù)可以為隨機(jī)數(shù)2、系統(tǒng)時(shí)間2、序列號(hào)2、新鮮參數(shù)freshparameter2等參數(shù)的至少一項(xiàng)，也可為dh密鑰協(xié)商中的第二參數(shù)g^y。

s6013：第一密鑰管理中心根據(jù)規(guī)則k＝kdf(第一協(xié)商參數(shù)，第二協(xié)商參數(shù))生成業(yè)務(wù)密鑰。若第一協(xié)商參數(shù)為g^x，若第二協(xié)商參數(shù)為g^y，此時(shí)第一密鑰管理中心首先計(jì)算出g^xy，之后將g^xy或者kdf(g^xy)直接作為業(yè)務(wù)密鑰k。

第二種方式(圖6中未畫出)：與第一種方式相比，在第一密鑰管理中心根據(jù)規(guī)則k＝kdf(第一協(xié)商參數(shù)，第二協(xié)商參數(shù))計(jì)算出結(jié)果后，將計(jì)算結(jié)果作為key代入到s502所述的規(guī)則中，生成業(yè)務(wù)密鑰。

除了上述方式以外，第一密鑰管理中心還可以按照s402的方式生成業(yè)務(wù)密鑰，這里不再贅述。

s602：第一密鑰管理中心將業(yè)務(wù)密鑰發(fā)送給第二密鑰管理中心。

s603：第二密鑰管理中心生成令牌。

本實(shí)施例中，生成令牌的具體方式可以參見(jiàn)s503。需要說(shuō)明的是，如果按照s503中的第二種方式和第四種方式生成令牌，則indication可以由第一密鑰管理中心發(fā)給第二密鑰管理中心，例如，在第一密鑰管理中心向第二密鑰管理中心發(fā)送業(yè)務(wù)密鑰的過(guò)程中，將indication一并發(fā)送第二密鑰管理中心。

s604：第二密鑰管理中心將令牌發(fā)送給第一密鑰管理中心。

s605：第一密鑰管理中心向第一網(wǎng)元發(fā)送業(yè)務(wù)密鑰和令牌。具體方式可以參數(shù)s504，這里不再贅述。

s606：第一網(wǎng)元獲得業(yè)務(wù)密鑰和令牌后，向第二網(wǎng)元發(fā)送令牌。具體的獲得方式可以參數(shù)s505，這里不再贅述。

s607：第二網(wǎng)元從令牌中解密出業(yè)務(wù)密鑰，并對(duì)業(yè)務(wù)密鑰進(jìn)行完整性驗(yàn)證。

除了圖6所示的過(guò)程，第一密鑰管理中心還可以既生成業(yè)務(wù)密鑰，也生成令牌，具體地，如圖7所示，包括以下步驟：

s701：第一密鑰管理中心生成業(yè)務(wù)密鑰。具體方式可以參見(jiàn)s601。

s702：第一密鑰管理中心生成令牌。

需要強(qiáng)調(diào)的是，本實(shí)施例中，如圖3所示，因?yàn)榈诙W(wǎng)元與第二密鑰管理中心同處一種類型的網(wǎng)絡(luò)中，而第一密鑰管理中心與第二網(wǎng)元不在同一種類型的網(wǎng)絡(luò)中，假設(shè)第一密鑰管理中心與第一網(wǎng)元的共享密鑰，第二密鑰管理中心與第二網(wǎng)元共享密鑰。在此前提下，第一密鑰管理中心只能按照s503中所述的第三種方式和第四種方式生成令牌。

s703：第一密鑰管理中心向第一網(wǎng)元會(huì)話和令牌。

s704：第一網(wǎng)元向第二網(wǎng)元發(fā)送令牌。

s705：第二網(wǎng)元通過(guò)解密令牌得到業(yè)務(wù)密鑰。

除了圖6和圖7所示的方法外，業(yè)務(wù)密鑰和令牌均可以由第二密鑰管理中心生成，具體地，如圖8所示，包括以下步驟：

s801：第一密鑰管理中心接收密鑰請(qǐng)求。在密鑰請(qǐng)求中，攜帶第一網(wǎng)元的標(biāo)識(shí)和第二網(wǎng)元的標(biāo)識(shí)，還可以攜帶indication。

s802：第一密鑰管理中心將密鑰請(qǐng)求發(fā)送給第二密鑰管理中心。

s803：第二密鑰管理中心生成業(yè)務(wù)密鑰和令牌，具體的生成方式可以參見(jiàn)s503所述。

s804：第二密鑰管理中心將業(yè)務(wù)密鑰和令牌發(fā)送給第一密鑰管理中心。

s805：第一密鑰管理中心將業(yè)務(wù)密鑰和令牌發(fā)送給第一網(wǎng)元。

s806：第一網(wǎng)元將令牌發(fā)送第二網(wǎng)元。

s807：第二網(wǎng)元從令牌中解析出令牌。

除了圖6、圖7和圖8所示的過(guò)程外，假設(shè)第一密鑰管理中心與第一網(wǎng)元的共享密鑰，第二密鑰管理中心與第二網(wǎng)元共享密鑰。還可以按照?qǐng)D9所示的過(guò)程為第一網(wǎng)元和第二網(wǎng)元配置業(yè)務(wù)密鑰。

如圖9所示，包括以下步驟：

s901：第一密鑰管理中心接收第一網(wǎng)元發(fā)送的密鑰請(qǐng)求。

s902:第一密鑰管理中心生成業(yè)務(wù)密鑰。具體方式可以參見(jiàn)s601。

s903：第一密鑰管理中心向第二密鑰管理中心發(fā)送業(yè)務(wù)密鑰。

s904：第一密鑰管理中心向第一網(wǎng)元發(fā)送業(yè)務(wù)密鑰。

具體地，第一密鑰管理中心可以將業(yè)務(wù)密鑰進(jìn)行加密發(fā)送，也可以通過(guò)與第一網(wǎng)元之間預(yù)設(shè)的安全通道發(fā)送。進(jìn)行加密發(fā)送的具體實(shí)現(xiàn)方式包括：

第一種方式：第一密鑰管理中心使用第一密鑰管理中心與第一網(wǎng)元之間的共享密鑰k1對(duì)業(yè)務(wù)密鑰k進(jìn)行完整性保護(hù)得到消息認(rèn)證碼mac_k1_(k)，使用k1、第一網(wǎng)元的公鑰pk1或者第一網(wǎng)元的標(biāo)識(shí)id1對(duì)業(yè)務(wù)密鑰k以及消息認(rèn)證碼mac_k1_(k)組成的字符串k||mac_k1_(k)進(jìn)行加密形成密文，以使用k1為例，即ciphertext＝en_k1_(k||mac_k1_(k))，并向第一網(wǎng)元發(fā)送密文。

第二種方式：第一密鑰管理中心使用預(yù)設(shè)的私鑰sk_kms計(jì)算業(yè)務(wù)密鑰k數(shù)字簽名signature_sk_kms_(k)，使用k1、pk1或者id1對(duì)業(yè)務(wù)密鑰k 以及數(shù)字簽名signature_sk_kms_(k)組成的字符串k||signature_sk_kms_(k)進(jìn)行加密形成密文，以使用k1為例，即ciphertext＝en_k1_(k||signature_sk_kms(k))，并向第一網(wǎng)元發(fā)送密文。

s905：第二密鑰管理中心向第二網(wǎng)元發(fā)送業(yè)務(wù)密鑰。具體的發(fā)送方式與s907中相似，僅需要將s907中的k1替換為第二密鑰管理中心與第二網(wǎng)元間的共享密鑰k2，將sk替換為第二密鑰管理中心預(yù)設(shè)的私鑰tk，將id1替換為第二網(wǎng)元的標(biāo)識(shí)id2即可。

s906：第一網(wǎng)元和第二網(wǎng)元分別獲得業(yè)務(wù)密鑰。具體地，如果接收到的是密文，則需要從密文中解密出業(yè)務(wù)密鑰。

需要說(shuō)明的是，s903和s904的順序可以調(diào)換，s904和s905的順序可以調(diào)換，s904和s905也可以同時(shí)進(jìn)行。

也就是說(shuō)，本實(shí)施例中，可以由第二密鑰管理中心直接向第二網(wǎng)元發(fā)送業(yè)務(wù)密鑰，而無(wú)需通過(guò)令牌傳遞。

圖9所示的思想同樣可以應(yīng)用在圖2所示的一個(gè)密鑰管理中心的場(chǎng)景下。如圖10所示，包括以下步驟：

s1001：密鑰管理中心接收第一網(wǎng)元發(fā)送的密鑰請(qǐng)求。

s1002：密鑰管理中心生成業(yè)務(wù)密鑰。具體實(shí)現(xiàn)方式可以參見(jiàn)s502。

s1003：密鑰管理中心向第一網(wǎng)元發(fā)送業(yè)務(wù)密鑰，具體實(shí)現(xiàn)方式可以參見(jiàn)s1004。

s1004：密鑰管理中心向第二網(wǎng)元發(fā)送業(yè)務(wù)密鑰，具體實(shí)現(xiàn)方式與s1103相似，只需將k1替換為第二密鑰管理中心與第二網(wǎng)元間的共享密鑰k2，將sk替換為第二密鑰管理中心預(yù)設(shè)的私鑰tk，將id1替換為第二網(wǎng)元的標(biāo)識(shí)id2即可。

s1005：第一網(wǎng)元和第二網(wǎng)元分別獲得業(yè)務(wù)密鑰。具體地，如果接收到的是密文，則需要從密文中解密出業(yè)務(wù)密鑰。

除了密鑰管理中心之外，圖1、圖2、圖3、圖5、圖6、圖7或圖8中所示的第一網(wǎng)元包括：第二處理器和第二存儲(chǔ)器。

其中，所述第二存儲(chǔ)器用于存儲(chǔ)操作系統(tǒng)以及應(yīng)用程序、所述應(yīng)用程序運(yùn)行中產(chǎn)生的數(shù)據(jù)。所述第二處理器用于通過(guò)運(yùn)行存儲(chǔ)在所述第二存儲(chǔ)器中的所述應(yīng)用程序，實(shí)現(xiàn)以下功能：獲取業(yè)務(wù)密鑰和令牌，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和其它網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)，所述令牌為對(duì)所述業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果；向所述其它網(wǎng)元發(fā)送所述令牌，所述令牌用于所述其它網(wǎng)元獲取所述業(yè)務(wù)密鑰。

本實(shí)施例所述的網(wǎng)元的功能的具體實(shí)現(xiàn)可以參見(jiàn)上述實(shí)施例，這里不再贅述。

圖1、圖2、圖3、圖5、圖6、圖7或圖8中所示的網(wǎng)絡(luò)控制中心，包括：

第三處理器和第三存儲(chǔ)器。

其中，所述第三存儲(chǔ)器用于存儲(chǔ)操作系統(tǒng)以及應(yīng)用程序、所述應(yīng)用程序運(yùn)行中產(chǎn)生的數(shù)據(jù)。所述第三處理器用于通過(guò)運(yùn)行存儲(chǔ)在所述第三存儲(chǔ)器中的所述應(yīng)用程序，實(shí)現(xiàn)以下功能：接收密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶第一網(wǎng)元的標(biāo)識(shí)和第二網(wǎng)元的標(biāo)識(shí)；如果所述第一網(wǎng)元的標(biāo)識(shí)和/或所述第二網(wǎng)元的標(biāo)識(shí)非永久標(biāo)識(shí)，將所述第一網(wǎng)元的標(biāo)識(shí)替換為所述第一網(wǎng)元的永久標(biāo)識(shí)，和/或?qū)⑺龅诙W(wǎng)元的標(biāo)識(shí)替換為所述第二網(wǎng)元的永久標(biāo)識(shí)；向密鑰管理中心發(fā)送第二密鑰請(qǐng)求消息，所述第二密鑰請(qǐng)求消息包含第一網(wǎng)元的永久標(biāo)識(shí)和第二網(wǎng)元的永久標(biāo)識(shí)；所述密鑰管理中心用于依據(jù)所述密鑰請(qǐng)求中所述第一網(wǎng)元的永久標(biāo)識(shí)和所述第二網(wǎng)元的永久標(biāo)識(shí)，生成業(yè)務(wù)密鑰及令牌，所述令牌為對(duì)所述業(yè)務(wù)密鑰進(jìn)行加密和/或完整性保護(hù)的結(jié)果，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和所述第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)。

圖5中所示的密鑰管理中心包括第四處理器和第四存儲(chǔ)器。

其中，所述第四存儲(chǔ)器用于存儲(chǔ)操作系統(tǒng)以及應(yīng)用程序、所述應(yīng)用程序運(yùn)行中產(chǎn)生的數(shù)據(jù)。所述第四處理器用于通過(guò)運(yùn)行存儲(chǔ)在所述第四存儲(chǔ)器中的所述應(yīng)用程序，實(shí)現(xiàn)以下功能：接收密鑰請(qǐng)求，所述密鑰請(qǐng)求中攜帶第一網(wǎng)元的標(biāo)識(shí)、第二網(wǎng)元的標(biāo)識(shí)和業(yè)務(wù)參數(shù)的至少一個(gè)，所述密鑰請(qǐng)求由所述第一網(wǎng)元、所述第二網(wǎng)元、網(wǎng)絡(luò)控制中心、或者業(yè)務(wù)服務(wù)器發(fā)送；獲取業(yè)務(wù)密鑰，所述業(yè)務(wù)密鑰用于對(duì)所述第一網(wǎng)元和所述第二網(wǎng)元之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和/或完整性保護(hù)；使用所述密鑰管理中心與所述第二網(wǎng)元之間的共享密鑰對(duì)所述業(yè)務(wù)密鑰及所述第一類密鑰參數(shù)組成的字符串進(jìn)行加密，得到令 牌；其中，所述第一類密鑰參數(shù)為所述密鑰管理中心使用所述共享密鑰計(jì)算所述業(yè)務(wù)密鑰的消息認(rèn)證碼，或者，所述密鑰管理中心使用所述共享密鑰計(jì)算所述業(yè)務(wù)密鑰與所述業(yè)務(wù)密鑰的信息組成的字符串的消息認(rèn)證碼，其中，所述業(yè)務(wù)密鑰的信息包括以下任意一項(xiàng)：所述業(yè)務(wù)密鑰的使用實(shí)體標(biāo)識(shí)、所述業(yè)務(wù)密鑰的有效期、所述業(yè)務(wù)密鑰的生成時(shí)間、應(yīng)用所述業(yè)務(wù)密鑰的業(yè)務(wù)的信息及業(yè)務(wù)鏈路的信息；發(fā)送所述令牌，所述令牌用于由所述第一網(wǎng)元獲取后向所述第二網(wǎng)元轉(zhuǎn)發(fā)，以使得所述第二網(wǎng)元依據(jù)所述令牌獲得所述業(yè)務(wù)密鑰。

本申請(qǐng)實(shí)施例中所述的密鑰管理中心、網(wǎng)元及控制中心，通過(guò)上述圖5、圖6、圖7、圖8、圖9或圖10所示的方法進(jìn)行交互，能夠生成業(yè)務(wù)密鑰，從而端到端的安全通信的實(shí)現(xiàn)奠定基礎(chǔ)。

本說(shuō)明書中各個(gè)實(shí)施例采用遞進(jìn)的方式描述，每個(gè)實(shí)施例重點(diǎn)說(shuō)明的都是與其它實(shí)施例的不同之處，各個(gè)實(shí)施例之間相同或相似部分互相參見(jiàn)即可。

對(duì)所公開(kāi)的實(shí)施例的上述說(shuō)明，使本領(lǐng)域?qū)I(yè)技術(shù)人員能夠?qū)崿F(xiàn)或使用本申請(qǐng)。對(duì)這些實(shí)施例的多種修改對(duì)本領(lǐng)域的專業(yè)技術(shù)人員來(lái)說(shuō)將是顯而易見(jiàn)的，本文中所定義的一般原理可以在不脫離本申請(qǐng)的范圍的情況下，在其它實(shí)施例中實(shí)現(xiàn)。