專利名稱：一種通信方法、裝置的制作方法
技術領域：
本發(fā)明涉及無線通信技術領域，尤其涉及一種通信方法、裝置。
背景技術：
機器對機器(Machine to Machine,M2M)技術是無線通信技術和信息技術的整合，是指無需人工干預，機器和機器之間可以直接進行通信，適用于安全監(jiān)測、遠程控制、支付系統(tǒng)等領域。在M2M系統(tǒng)中，接入至網(wǎng)絡的M2M設備也被稱作機器類型通信(MTC，MachineType Communication)設備?，F(xiàn)有通信網(wǎng)絡中，UE與核心網(wǎng)側(cè)進行 AKA(Authentication and Key Agreement,認證與密鑰協(xié)商)，并建立UE與核心網(wǎng)之間的非接入層NAS (Non-Access Stratum,非接入層)層的安全以及UE與基站之間的接入層AS(Access Stratum,接入層)層的安全。然而在M2M通信系統(tǒng)中，多角色基站與核心網(wǎng)側(cè)進行AKA后接入網(wǎng)絡，并與核心網(wǎng)之間建立非接入層安全。MTC設備接入多角色基站并通過多角色基站與核心網(wǎng)進行通信，這樣從核心網(wǎng)的角度看來MTC設備不可見，MTC設備與多角色基站之間使用新的空中接口，但MTC設備與多角色基站之間新空口的通信沒有安全機制，對網(wǎng)絡安全造成隱患。

發(fā)明內(nèi)容
本發(fā)明的實施例提供了一種通信方法、裝置，可以提高M2M通信系統(tǒng)的安全。為達到上述目的，本發(fā)明的實施例采用如下技術方案:一方面，提供了一種機器類通信MTC設備的通信方法，包括:向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼；接收所述多角色基站發(fā)送的靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼；驗證所述第一消息認證碼；若所述第一消息認證碼驗證成功，計算第二消息認證碼；向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼，以使得所述多角色基站驗證所述第二消息認證碼并在驗證成功的情況下與所述MTC設備開始通信。一方面，提供了另一種與MTC設備通信的方法，包括:接收所述MTC設備發(fā)送的資源請求消息；計算第一消息認證碼；向所述MTC設備發(fā)送靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼，以使得所述MTC設備驗證所述第一消息認證碼，若所述MTC設備對所述第一消息認證碼驗證成功，MTC設備計算第二消息認證碼；接收所述MTC設備發(fā)送的資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼；
驗證所述第二消息認證碼，若所述第二消息認證碼驗證成功，與所述MTC設備開始通信。一方面，提供了 一種MTC設備，包括:第一發(fā)送消息單元，用于向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼；接收消息單元，用于所述第一發(fā)送消息單元發(fā)送所述資源請求消息后，接收所述多角色基站發(fā)送的靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼；驗證單元，用于驗證所述接收消息單元接收的所述第一消息認證碼；計算單元，用于若驗證單元驗證所述第一消息認證碼成功后，計算第二消息認證碼；第二發(fā)送消息單元，用于向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述計算單元計算的所述第二消息認證碼，以使得所述多角色基站驗證所述第二消息認證碼并在驗證成功的情況下與所述MTC設備開始通信。一方面，提供了一種多角色基站的，包括:第一接收消息單元，用于接收MTC設備發(fā)送的資源請求消息；計算單元，用于根據(jù)所述第一接收消息單元接收到的所述資源請求消息計算第一消息認證碼；發(fā)送消息單元，用于所述計算單元計算所述第一消息認證碼后，向所述MTC設備發(fā)送靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼，以使得所述MTC設備驗證所述第一消息認證碼，若所述MTC設備對所述第一消息認證碼驗證成功，MTC設備計算第二消息認證碼；第二接收消息單元，用于所述發(fā)送消息單元發(fā)送所述靜態(tài)資源配置消息后，接收所述MTC設備發(fā)送的資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼；驗證單元，用于驗證所述第二接收消息單元接收的所述第二消息認證碼，若所述第二消息認證碼驗證成功，多角色基站與所述MTC設備開始通信。本發(fā)明實施例提供的通信方法、裝置，MTC設備通過向多角色基站發(fā)送資源請求消息，以使得多角色基站計算第一消息認證碼；然后接收多角色基站發(fā)送的靜態(tài)資源配置消息，靜態(tài)資源配置消息中攜帶有第一消息認證碼，并對第一消息認證碼進行驗證；若驗證成功，計算第二消息認證碼，然后向多角色基站發(fā)送資源配置完成消息，以使得多角色基站對第二消息認證碼進行驗證，若驗證成功，MTC設備和多角色基站開始進行通信。這樣就通過消息認證碼確認相互通信的雙方，從而建立了 MTC設備和多角色基站的多角色基站之間的空口認證安全機制，提高了 M2M通信系統(tǒng)的安全。


為了更清楚地說明本發(fā)明實施例或現(xiàn)有技術中的技術方案，下面將對實施例或現(xiàn)有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實施例，對于本領域普通技術人員來講，在不付出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其他的附圖。圖1為本發(fā)明實施例提供的一種機器類通信MTC設備的通信方法流程圖；圖2為本發(fā)明實施例提供的一種與MTC設備通信的方法流程圖；圖3為本發(fā)明實施例提供的一種MTC設備結(jié)構框圖；圖4為本發(fā)明實施例提供的一種多角色基站的結(jié)構框圖；圖5為本發(fā)明實施例提供的另一種機器類通信MTC設備的通信方法流程圖；圖6為本發(fā)明實施例提供的另一種機器類通信MTC設備的通信方法流程圖；圖7為本發(fā)明實施例提供的又一種機器類通信MTC設備的通信方法流程圖；圖8本發(fā)明實施例提供的另一種MTC設備結(jié)構框圖；圖9為本發(fā)明實施例提供的另一種多角色基站的結(jié)構框圖。
具體實施例方式下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例。基于本發(fā)明中的實施例，本領域普通技術人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。本發(fā)明實施例中所涉及的多角色基站是指可以實現(xiàn)集中器角色、UE(UserEquipment，用戶設備)角色和基站角色的基站。多角色基站中的集中器角色負責與MTC設備之間進行通信，UE負責接收來自集中器角色的信息，建立與核心網(wǎng)的連接。UE角色和基站角色與現(xiàn)有技術中UE、基站功能相同。當然本發(fā)明實施例中的多角色基站中的UE角色和基站角色同屬于一個設備，UE角色和基站角色之間可以不需要建立AS層的安全，只需UE和核心網(wǎng)進行AKA認證，并建立NAS層的安全。實施例一、本發(fā)明實施例提供了一種機器類通信MTC設備的通信方法，該通信方法的執(zhí)行主體為MTC設備,如圖1所示,包括:S101、向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼。向多角色基站發(fā)送的資源請求消息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。多角色基站接收到資源請求消息，生成第二隨機數(shù)，然后根據(jù)所述MTC設備標識號獲取MTC設備的根密鑰、根據(jù)所述MTC設備安全能力為所述MTC設備選擇加密算法和完整性算法。多角色基站根據(jù)多角色基站的標識號、MTC設備標識號、MTC設備生成的第一隨機數(shù)、多角色基站生成的第二隨機數(shù)和MTC設備的根密鑰計算第一消息認證碼。S102、接收所述多角色基站發(fā)送的靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼。靜態(tài)資源配置消息還攜帶有多角色基站生成的第二隨機數(shù)和為MTC設備選擇的加密算法和完整性算法。S103、驗證所述第一消息認證碼。
首先,MTC設備根據(jù)多角色基站的標識號、MTC設備標識號、MTC設備生成的第一隨機數(shù)、多角色基站生成的第二隨機數(shù)和MTC設備的根密鑰計算第一驗證消息認證碼，若第一消息認證碼與第一驗證消息認證碼一致，則第一消息認證碼驗證成功。其中，所述MTC設備標識號既可以包括MTC設備的設備標識，也可以包括MTC設備的身份標識，此處不做限定。S104、若第一消息認證碼驗證成功，計算第二消息認證碼。MTC設備根據(jù)多角色基站的標識號、MTC設備標識號、MTC設備生成的第一隨機數(shù)、多角色基站生成的第二隨機數(shù)和MTC設備的根密鑰計算第二消息認證碼。S105、向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼，以使得所述多角色基站驗證所述第二消息認證碼并在驗證成功的情況下與所述MTC設備開始通信。其中，上述的根密鑰具體可以是MTC設備的預配置的共享密鑰，也可以是根據(jù)所述預配置的共享密鑰計算得到的臨時共享密鑰。MTC設備側(cè)的根密鑰為根據(jù)存儲在所述MTC設備中的預配置的共享密鑰得到的，多角色基站側(cè)的根密鑰為多角色基站根據(jù)MTC設備標識號獲取的所述MTC設備的預配置的共享密鑰得到的，MTC設備側(cè)和多角色基站側(cè)的臨時共享密鑰的計算方法相同。本發(fā)明實施例還提供了一種與MTC設備通信的方法，該方法的執(zhí)行主體為多角色基站,如圖2所示包括:S201、多角色基站接收所述MTC設備發(fā)送的資源請求消息。其中，資源請求消息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。S202、計算第一消息認證碼。多角色基站接收MTC設備發(fā)送的資源請求消息后，多角色基站生成第二隨機數(shù)，還根據(jù)MTC設備標識號獲取MTC設備的根密鑰以及根據(jù)MTC設備的安全能力為MTC設備選擇加密算法和完整性算法。多角色基站根據(jù)多角色基站的標識號、MTC設備標識號、MTC設備生成的第一隨機數(shù)、多角色基站生成的第二隨機數(shù)以及MTC設備的根密鑰計算第一消息認證碼。S203、向所述MTC設備發(fā)送靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼，以使得所述MTC設備驗證所述第一消息認證碼，若所述MTC設備對所述第一消息認證碼驗證成功，MTC設備計算第二消息認證碼。多角色基站發(fā)送靜態(tài)資源配置消息，靜態(tài)資源配置消息攜帶有第一消息認證碼，還攜帶有第二隨機數(shù)和為MTC設備選擇的加密算法和完整性算法。MTC設備接收到多角色基站發(fā)送的靜態(tài)資源配置消息，根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備根密鑰計算得到第一驗證消息認證碼；判斷第一消息認證碼和第一驗證消息認證碼是否一致。若第一消息認證碼和第一驗證消息認證碼一致，則第一消息認證碼驗證成功。然后根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算得到第二消息認證碼，MTC設備向多角色基站發(fā)送資源配置完成消息。S204、接收所述MTC設備發(fā)送的資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼。S205、驗證所述第二消息認證碼，若所述第二消息認證碼驗證成功，與所述MTC設備開始通信。首先，多角色基站根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算第二驗證消息認證碼；判斷第二消息認證碼與第二驗證消息認證碼是否一致，若第二消息認證碼與第二驗證消息認證碼一致，則第二消息認證碼驗證成功。其中，上述的根密鑰具體可以是所述MTC設備的預配置的共享密鑰，也可以是根據(jù)所述MTC設備的預配置的共享密鑰計算得到的臨時共享密鑰，MTC設備側(cè)的根密鑰為根據(jù)存儲在MTC設備中的預配置的MTC設備共享密鑰得到的，多角色基站側(cè)的根密鑰為多角色基站根據(jù)MTC設備標識號獲取的MTC設備的預置的共享密鑰得到的，MTC設備側(cè)和多角色基站側(cè)的臨時共享密鑰的計算方法相同。本發(fā)明實施例還提供了一種MTC設備，如圖3所示，包括:第一發(fā)送消息單元31、接收消息單元32和驗證單元33、計算單元34和第二發(fā)送消息單元35。第一發(fā)送消息單元31，用于向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼。第一發(fā)送消息單元31發(fā)送的資源請求消息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。多角色基站接收到資源請求消息后，生成第二隨機數(shù)，根據(jù)MTC設備標識號獲取MTC設備的根密鑰，根據(jù)MTC設備的安全能力為MTC設備選擇加密算法和完整性算法。接收消息單元32，用于所述第一發(fā)送消息單元31發(fā)送所述資源請求消息后，接收所述多角色基站發(fā)送的靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼。其中，靜態(tài)資源配置消息中還攜帶有多角色基站發(fā)送的第二隨機數(shù)、為MTC設備選擇的加密算法和完整性算法。驗證單元33，用于驗證所述接收消息單元32接收的所述第一消息認證碼。驗證單元33根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算第一驗證消息認證碼，若所述第一消息認證碼與所述第一驗證消息認證碼一致，則第一消息認證碼驗證成功。計算單元34，用于若驗證單元33驗證所述第一消息認證碼成功后，計算第二消息認證碼。計算單元34具體用于根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算第二消息認證碼。第二發(fā)送消息單元35，用于向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述計算單元34計算的所述第二消息認證碼，以使得所述多角色基站驗證所述第二消息認證碼并在驗證成功的情況下與所述MTC設備開始通信。本發(fā)明實施還提供了一種多角色基站的多角色基站，如圖4所示，包括:第一接收消息單元41、計算單元42、發(fā)送消息單元43、第二接收消息單元44和驗證單元45。第一接收消息單元41，用于接收MTC設備發(fā)送的資源請求消息。
其中資源請求消息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。計算單元42，用于根據(jù)所述第一接收消息單元41接收到的所述資源請求消息計算第一消息認證碼。第一接收消息單元41接收MTC設備發(fā)送的資源請求消息后，計算單元42首先分別用于生成第二隨機數(shù)、根據(jù)MTC設備標識號獲取MTC設備的根密鑰以及根據(jù)MTC設備的安全能力為MTC設備選擇加密算法和完整性算法。然后根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算第一消息認證碼。發(fā)送消息單元43，用于所述計算單元41計算所述第一消息認證碼后，向所述MTC設備發(fā)送靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼，以使得所述MTC設備驗證所述第一消息認證碼，若所述MTC設備對所述第一消息認證碼驗證成功，MTC設備計算第二消息認證碼。靜態(tài)資源配置消息攜帶有第一消息認證碼，還攜帶有第二隨機數(shù)和為MTC設備選擇的加密算法和完整性算法。MTC設備接收到多角色基站發(fā)送的靜態(tài)資源配置消息，MTC設備根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算得到第一驗證消息認證碼，若所述第一消息認證碼與所述第一驗證消息認證碼一致，則第一消息認證碼驗證成功。然后MTC設備根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算得到第二消息認證碼，MTC設備向多角色基站發(fā)送資源配置完成消息。第二接收消息單元44，用于所述發(fā)送消息單元43發(fā)送所述靜態(tài)資源配置消息后，接收所述MTC設備發(fā)送的資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼。驗證單元45，用于驗證所述第二接收消息單元44接收的所述第二消息認證碼，若所述第二消息認證碼驗證成功，多角色基站與所述MTC設備開始通信。驗證單元45根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算第二驗證消息認證碼，若第二消息認證碼與第二驗證消息認證碼一致，則第二消息認證碼驗證成功，多角色基站與所述MTC設備開始通信。本發(fā)明實施例提供的機器類通信MTC設備的通信方法、MTC設備、多角色基站，MTC設備通過向多角色基站的發(fā)送資源請求消息，以使得多角色基站計算第一消息認證碼；接收多角色基站發(fā)送的靜態(tài)資源配置消息，靜態(tài)資源配置消息中攜帶有第一消息認證碼，并對第一消息認證碼進行驗證；若驗證成功，計算第二消息認證碼，然后向多角色基站發(fā)送資源配置完成消息，以使得多角色基站對第二消息認證碼進行驗證，若驗證成功，MTC設備和多角色基站開始進行通信。這樣就通過消息認證碼確認相互通信的雙方，從而建立了 MTC設備和多角色基站之間的新空口的認證安全機制，提高了 M2M通信系統(tǒng)的安全。實施例二、本發(fā)明實施例提供了一種MTC設備的通信方法，如圖5所示，包括:S50UMTC設備向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼。MTC設備向多角色基站發(fā)送的資源請求消息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。S502、多角色基站計算第一消息認證碼。多角色基站接收到資源請求消息后，生成第二隨機數(shù)，然后根據(jù)所述MTC設備標識號獲取MTC設備的根密鑰、根據(jù)所述MTC設備安全能力為MTC設備選擇加密算法和完整性算法。多角色基站根據(jù)多角色基站的標識號、MTC設備標識號、MTC設備生成的第一隨機數(shù)、多角色基站生成的第二隨機數(shù)和MTC設備的根密鑰計算第一消息認證碼。S503、多角色基站向所述MTC設備發(fā)送靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼。其中，靜態(tài)資源配置消息還攜帶有第二隨機數(shù)和為MTC設備選擇的加密算法和完整性算法。S504、MTC設備驗證所述第一消息認證碼。MTC設備根據(jù)多角色基站的標識號、MTC設備標識號、MTC設備生成的第一隨機數(shù)、多角色基站生成的第二隨機數(shù)和MTC設備的根密鑰計算第一驗證消息認證碼。若第一消息認證碼與第一驗證消息認證碼一致，則第一消息認證碼驗證成功。S505、若第一消息認證碼驗證成功，MTC設備計算第二消息認證碼后，還生成通信密鑰。MTC設備根據(jù)多角色基站的標識號、MTC設備標識號、MTC設備生成的第一隨機數(shù)、多角色基站生成的第二隨機數(shù)和MTC設備的根密鑰計算第二消息認證碼。然后MTC設備生成與多角色基站通信的通信密鑰，具體包括:根據(jù)MTC設備的根密鑰、第一隨機數(shù)和第二隨機數(shù)生成中間密鑰；根據(jù)所述中間密鑰和為MTC設備選擇的加密算法和完整性算法計算所述通信密鑰。S506、MTC設備向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼。S507、多角色基站驗證所述第二消息認證碼。首先，多角色基站根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算得到第二驗證消息認證碼，若第二消息認證碼與第二驗證消息認證碼一致，則第二消息認證碼驗證成功。S508、若所述第二消息認證碼驗證成功，多角色基站還生成通信密鑰，然后與所述MTC設備開始通信。多角色基站生成與MTC設備通信的通信密鑰，多角色基站生成的通信密鑰與MTC設備的通信密鑰相同。具體包括為:根據(jù)MTC設備的根密鑰，第一隨機數(shù)和第二隨機數(shù)生成中間密鑰；根據(jù)所述中間密鑰和為MTC設備選擇的加密算法和完整性算法計算所述多角色基站的通信密鑰。其中，上述的根密鑰具體可以是MTC設備的預配置的共享密鑰，也可以是根據(jù)所述MTC設備的預配置的共享密鑰計算得到的臨時共享密鑰。MTC設備側(cè)的根密鑰是根據(jù)存儲在MTC設備中的預配置的共享密鑰得到的，多角色基站側(cè)的根密鑰為多角色基站根據(jù)MTC設備標識號獲取的MTC設備的預配置的共享密鑰得到的，MTC設備側(cè)和多角色基站側(cè)的臨時共享密鑰的計算方法相同。多角色基站側(cè)的根密鑰為多角色基站根據(jù)MTC設備標識號獲取的，具體的方法可以包括:從核心網(wǎng)獲取多角色基站管轄的所有MTC設備的共享密鑰列表；根據(jù)所述MTC設備的標識號，從所述共享密鑰列表中獲取所述MTC設備的預配置的共享密鑰，將所述共享密鑰作為根密鑰。具體交互過程如圖6所示，包括；S601、多角色基站與核心網(wǎng)之間進行AKA認證，并建立多角色基站與核心網(wǎng)之間的NAS層安全。S602、若多角色基站與核心網(wǎng)之間AKA認證成功，核心網(wǎng)向多角色基站發(fā)送多角色基站管轄的所有MTC設備的共享密鑰列表，該密鑰列表由多角色基站與核心網(wǎng)之間的NAS層安全進行保護。在MTC設備向多角色基站發(fā)送資源請求消息后，多角色基站根據(jù)資源請求消息中包含的MTC設備的標識號從共享密鑰列表中獲得MTC設備的預配置的共享密鑰，將該共享密鑰作為根密鑰。具體MTC設備與多角色基站的認證過程S603-S610與圖5中的S501-S508的過程相同，在此不再贅述。多角色基站側(cè)的根密鑰為多角色基站根據(jù)MTC設備標識號獲取的，具體的方法還可以包括:所述多角色基站向信任中心發(fā)送密鑰請求，所述密鑰請求包括:所述MTC設備標識號、第一隨機數(shù)和第二隨機，以使得所述信任中心根據(jù)所述MTC設備標識號對應的MTC設備的預配置的共享密鑰、所述第一隨機數(shù)和第二隨機數(shù)計算所述MTC設備的臨時共享密鑰；接收所述信任中心的密鑰響應，所述密鑰響應攜帶所述臨時共享密鑰，將所述臨時共享密鑰作為根密鑰。具體的交互過程如圖7所示，具體包括:S70UMTC設備向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼。MTC設備向多角色基站發(fā)送的資源請求消息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。S702、多角色基站向信任中心發(fā)送密鑰請求。其中密鑰請求包括MTC設備的標識號、第一隨機數(shù)和多角色基站生成的第二隨機數(shù)；S703、信任中心計算MTC設備的臨時共享密鑰，并向多角色基站發(fā)送密鑰響應。信任中心根據(jù)MTC設備的標識號獲取到傳感器設備的共享密鑰，然后采用密鑰生成函數(shù)，根據(jù)MTC設備的共享密鑰，第一隨機數(shù)和第二隨機數(shù)計算出該MTC設備的臨時共享密鑰。然后向多角色基站發(fā)送密鑰響應，所述密鑰響應攜帶所述臨時共享密鑰，多角色基站將所述臨時共享密鑰作為根密鑰。相應的MTC設備側(cè)根據(jù)存儲在MTC設備中的MTC設備的預配置的共享密鑰、第一隨機數(shù)、第二隨機數(shù)，采用與多角色基站側(cè)相同的密鑰生成函數(shù)計算MTC設備側(cè)的臨時共享密鑰，隨后MTC設備將所述臨時共享密鑰作為根密鑰。所述存儲在MTC設備中的MTC設備的預配置的共享密鑰，既包括存儲在MTC設備中的MTC設備的預配置的共享密鑰，也包括存儲在插入MTC設備上的卡中的MTC設備的預配置的共享密鑰，此處不做限定。之后MTC設備和多角色基站之間的交互過程S704-S710和圖5中的S502-S508的過程相同，在此不再贅述。以下我們以傳感器設備向MTC服務器上報數(shù)據(jù)的通信過程為例具體進行說明。傳感器設備自身存儲預配置的共享密鑰K，傳感器設備通過多角色基站向MTC服務器上報數(shù)據(jù)信息，傳感器設備通過接收多角色基站的廣播信息獲取多角色基站的標識號eNBID。首先，傳感器設備向多角色基站發(fā)送資源請求消息，資源請求消息包括:傳感器設備標識號Sensorm、傳感器設備的安全能力和傳感器設備生成的第一隨機數(shù)NONCEm,其中傳感器設備標識號Sens0rm既可以是傳感器設備的設備標識號，也可以是傳感器設備的身份標識號。多角色基站接收到資源請求消息后，生成第二隨機數(shù)NONCE。；然后根據(jù)傳感器設備標識號SenSOrID獲取傳感器設備的根密鑰k，根密鑰k具體可以是所述傳感器設備的預配置的共享密鑰K，也可以是根據(jù)所述傳感器設備的預配置的共享密鑰K計算得到的臨時共享密鑰KtMP，多角色基站側(cè)的預配置的共享密鑰K存儲在多角色基站或存儲在核心網(wǎng)或存儲在信任中心，傳感器設備預配置的共享密鑰存儲在傳感器設備中，傳感器設備側(cè)和多角色基站側(cè)的臨時共享密鑰Ktraip的計算方法相同；根據(jù)傳感器設備的安全能力為傳感器設備選擇加密算法和完整性算法。然后多角色基站根據(jù)多角色基站的標識號eNBID、傳感器設備的標識號Sensorm、第一隨機數(shù)N0NCEM、第二隨機數(shù)NONCE。以及傳感器設備的根密鑰k計算得到所述第一消息認證碼MAC1,具體的算法為哈希算法，MACl = Hk (eNBID Sensor1J NONCEcI Inoncem);多角色基站向傳感器設備發(fā)送靜態(tài)資源配置消息，靜態(tài)資源配置消息攜帶有第一消息認證碼MACl、第二隨機數(shù)NONCE。和為傳感器設備選擇的加密算法和完整性算法。傳感器設備接收到多角色基站發(fā)送的靜態(tài)資源配置消息后，驗證第一消息認證碼MACl0首先傳感器設備根據(jù)多角色基站的標識號eNBID、傳感器設備標識號Sensorm、第一隨機數(shù)N0NCEM、第二隨機數(shù)NONCE。以及傳感器的根密鑰k計算第一驗證消息認證碼MACl'，具體的算法為哈希算法，MACr = Hk(eNBID Sensorro NONCEc NONCEm);然后判斷MACl與MACr是否一致。若MACl與MACr —致，傳感器設備計算第二消息認證碼MAC2，具體算法也是采用與MACl相同的哈希值算法，具體為MAC2 = Hk (Sensorm I eNBID NONCEmI NONCEc)。同時傳感器生成傳感器設備的通信密鑰，具體包括:根據(jù)存儲在傳感器設備中的傳感器的預配置的共享密鑰K得到的根密鑰k、第一隨機數(shù)和第二隨機數(shù)采用密鑰生成函數(shù)算法生成中間密鑰Knew ;然后根據(jù)中間密鑰和為傳感器設備選擇的加密算法和完整性算法計算傳感器設備的通信密鑰，通信密鑰包括=RRC信令完整密鑰KnewRRCint = KDF(Knew,RRC-1nt-alg, Alg-1D)，RRC 信令加密密鑰 KnewRRCenc = KDF (Knew, RRC-enc-alg, Alg-1D),通信數(shù)據(jù)加密密鑰KnewUPenc = KDF (Knew, UP-enc-alg, Alg-1D)，其中RRC信令完整密鑰KnewRRCint用于對RRC信令的完整性加密，防止RRC信令在傳輸過程中被攻擊者篡改，RRC信令加密密鑰KnewRRCenc和通信數(shù)據(jù)加密密鑰分別用于對RRC信令的信息和傳感器設備上報的數(shù)據(jù)消息進行加密，防止在傳輸過程中被攻擊者竊聽。在完成第二消息認證碼MAC2和通信密鑰的計算后，傳感器設備向多角色基站發(fā)送資源配置完成消息，資源配置完成消息中攜帶有所述第二消息認證碼MAC2。多角色基站接收到傳感器設備發(fā)送的資源配置完成消息后，對第二消息認證碼MAC2進行認證。具體包括:計算第二驗證消息認證碼MAC2'，具體的算法與MAC2采用相同的哈希算法，MAC2' = Hk (Sensorm | | eNBID | | NONCEm | | NONCEc)，然后判斷 MAC2 與 MAC2'是否一致。若MAC2與MAC2' —致，則第二消息認證碼驗證成功，多角色基站生成通信密鑰，通信密鑰包括:RRC信令完整密鑰、RRC信令加密密鑰和通信數(shù)據(jù)加密密鑰，具體算法與傳感器設備的通信密鑰的計算方法相同。若根密鑰為存儲在多角色基站中的傳感器設備的預配置的共享密鑰，或為根據(jù)存儲在信任中心的傳感器設備的預配置的共享密鑰計算的臨時共享密鑰，多角色基站完成通信密鑰的計算之后，傳感器設備開始與MTC服務器進行通信上報數(shù)據(jù)，具體為:傳感器設備側(cè)對要上報的數(shù)據(jù)進行加密，發(fā)送給已進行相互認證的多角色基站。多角色基站與核心網(wǎng)進行AKA認證，建立NAS層安全，從而多角色基站將數(shù)據(jù)安全傳輸給傳感器設備對應的服務器。若根密鑰為存儲在核心網(wǎng)中的傳感器設備的預配置的共享密鑰，多角色基站完成通信密鑰的計算之后，傳感器設備開始與MTC服務器進行通信上報數(shù)據(jù)，具體為:傳感器設備側(cè)對要上報的數(shù)據(jù)進行加密，發(fā)送給已進行相互認證的多角色基站，多角色基站對接收到的數(shù)據(jù)匯聚后生成應用層數(shù)據(jù)，然后把該數(shù)據(jù)通過已與多角色基站進行AKA認證的核心網(wǎng)傳輸給傳感器設備對應的服務器。本實施例以傳感器設備為例進行說明，當然也可以應用于其他的MTC設備，如攝像監(jiān)控設備、自動儀表(水電氣表)設備、家庭自動化設備、支付系統(tǒng)的設備以及車輛遠程空設備等相關的設備。本發(fā)明實施例提供的機器類通信MTC設備的通信方法，MTC設備通過向多角色基站發(fā)送資源請求消息，以使得多角色基站計算第一消息認證碼；然后MTC設備對第一消息認證碼進行驗證，驗證成功的同時計算第二消息認證碼，以使得多角色基站對第二消息認證碼進行驗證。進一步的，在MTC設備和多角色基站兩側(cè)都彼此驗證成功后，各自生成通信密鑰，從而MTC設備和多角色基站開始進行通信。這樣MTC設備和多角色基站之間不僅建立了新空口的安全認證機制，還建立了通信加密機制，進一步提高了 M2M通信系統(tǒng)的安全。實施例三、本發(fā)明實施例還提供了一種MTC設備，如圖8所示，包括:第一發(fā)送消息單元71、接收消息單元72和驗證單元73、計算單元74、第一通信密鑰計算單元75和第二發(fā)送消息單元76。第一發(fā)送消息單元71，用于向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼。第一發(fā)送消息單元71發(fā)送的資源請求消息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。多角色基站接收到資源請求消息后，生成第二隨機數(shù)，根據(jù)MTC設備標識號獲取MTC設備的根密鑰，根據(jù)MTC設備的安全能力為MTC設備選擇加密算法和完整性算法。接收消息單元72，用于所述第一發(fā)送消息單元71發(fā)送所述資源請求消息后，接收所述多角色基站發(fā)送的靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼。其中，靜態(tài)資源配置消息中還攜帶有多角色基站發(fā)送的第二隨機數(shù)、為MTC設備選擇的加密算法和完整性算法。驗證單元73，用于驗證所述接收消息單元72接收的所述第一消息認證碼。驗證單元73具體用于根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及MTC設備的根密鑰計算第一驗證消息認證碼，若所述第一消息認證碼與所述第一驗證消息認證碼一致，則第一消息認證碼驗證成功。計算單元74，用于若驗證單元73驗證所述第一消息認證碼成功后，計算第二消息認證碼。計算單元74具體用于根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算第二消息認證碼。第一通信密鑰計算單元75，用于若所述驗證單元73驗證所述第一消息認證碼成功后，生成通信密鑰，具體包括:中間密鑰生成子單元751，用于根據(jù)MTC設備的根密鑰、第一隨機數(shù)和第二隨機數(shù)生成中間密鑰。第一通信密鑰生成子單元752，用于根據(jù)所述中間密鑰生成子單元751生成的所述中間密鑰和所述為MTC設備選擇的加密算法和完整性算法計算所述通信密鑰。第二發(fā)送消息單元76，用于向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述計算單元計算的所述第二消息認證碼，以使得所述多角色基站驗證所述第二消息認證碼并在驗證成功的情況下與所述MTC設備開始通信。以下我們以MTC設備具體為傳感器設備為例，向MTC服務器上報數(shù)據(jù)的通信過程具體進行說明。傳感器設備自身存儲有傳感器的預配置的共享密鑰K，所述存儲在傳感器設備中的傳感器設備的預配置的共享密鑰，既可以是存儲在傳感器設備中的傳感器設備的預配置的共享密鑰，也可以是存儲在插入傳感器設備上的卡中的傳感器設備的預配置的共享密鑰，此處不做限定。傳感器設備通過多角色基站向MTC服務器上報數(shù)據(jù)信息，傳感器設備通過接收多角色基站的廣播信息獲取多角色基站的標識號eNBID。首先，傳感器設備的第一發(fā)送消息單元71向多角色基站發(fā)送資源請求消息，資源請求消息包括:傳感器設備標識號SenSOrID、傳感器設備的安全能力和傳感器設備生成的第一隨機數(shù)NONCEm,其中傳感器設備標識號Sensorm既可以是傳感器設備的設備標識,也可以是傳感器設備的身份標識號。多角色基站接收到資源請求消息后，生成第二隨機數(shù)NONCE。；然后根據(jù)傳感器設備標識號SenSOrID獲取傳感器設備的根密鑰k，根密鑰k具體可以是所述傳感器設備的預配置的共享密鑰K，也可以是根據(jù)所述傳感器設備的預配置的共享密鑰計算得到的臨時共享密鑰Kt6mp,多角色基站側(cè)的傳感器設備的預配置的共享密鑰K存儲在多角色基站或存儲在核心網(wǎng)或信任中心，傳感器設備側(cè)的預配置的共享密鑰K存儲在傳感器設備中，傳感器設備側(cè)和多角色基站側(cè)的臨時共享密鑰Ktraip的計算方法相同；根據(jù)傳感器設備的安全能力為傳感器設備選擇加密算法和完整性算法、根據(jù)多角色基站的標識號eNBID、傳感器設備的標識號Sens0rm、第一隨機數(shù)NONCEM、第二隨機數(shù)NONCE。以及傳感器設備的根密鑰k計算得到所述第一消息認證碼MAC1，具體的算法為哈希算法，MACl = Hk(eNBID Sensor1J NONCEcl Inoncem);多角色基站向傳感器設備發(fā)送靜態(tài)資源配置消息，靜態(tài)資源配置消息攜帶有第一消息認證碼MACl、第二隨機數(shù)NONCE。和為傳感器設備選擇的加密算法和完整性算法。傳感器設備的接收消息單元72接收到多角色基站發(fā)送的靜態(tài)資源配置消息后，然后通過驗證單元73驗證第一消息認證碼MACl。首先傳感器設備的驗證單元73根據(jù)多角色基站的標識號eNBID、傳感器設備標識號Sensorm、第一隨機數(shù)N0NCEM、第二隨機數(shù)NONCE。以及根據(jù)存儲傳感器設備的根密鑰k計算第一驗證消息認證碼MACl'，具體的算法為哈希算法，MACl' = Hk (eNBID | | Sensorm | | NONCEc | | NONCEm);然后判斷 MACl 與 MACl'是否一致。若MACl與MACl' —致，傳感器設備的計算單元74計算第二消息認證碼MAC2，具體算法與MACl 采用相同的哈希算法，具體為 MAC2 = Hk (Sensorm | | eNBID | | NONCEm | | NONCEc)，同時第一通信密鑰計算單元75生成傳感器設備的通信密鑰，具體包括:中間密鑰生成子單元751根據(jù)傳感器設備的根密鑰k、第一隨機數(shù)和第二隨機數(shù)采用密鑰生成函數(shù)算法生成中間密鑰Knew ;第一通信密鑰生成子單元752根據(jù)中間密鑰Knew，利用為傳感器設備選擇的加密算法和完整性算法計算通信密鑰，通信密鑰包括:RRC信令完整密鑰KnewRRCint = KDF (Knew,RRC-1nt-alg, Alg-1D), RRC 信令加密密鑰 KnewRRCenc = KDF (Knew, RRC-enc-alg, Alg-1D),通信數(shù)據(jù)加密密鑰KnewUPenc = KDF (Knew, UP-enc-alg，Alg-1D)，其中RRC信令完整密鑰KnewRRCint用于對RRC信令的完整性加密，防止RRC信令在傳輸過程中被攻擊者篡改，RRC信令加密密鑰KnewRRCenc和通信數(shù)據(jù)加密密鑰分別用于對RRC信令的信息和傳感器設備上報的數(shù)據(jù)消息進行加密，防止在傳輸過程中被攻擊者竊聽。在完成第二消息認證碼MAC2和通信密鑰的計算后，傳感器設備的第二發(fā)送消息單元76向多角色基站發(fā)送資源配置完成消息，資源配置完成消息中攜帶有所述第二消息認證碼MAC2。多角色基站接 收到傳感器設備發(fā)送的資源配置完成消息后，對第二消息認證碼MAC2進行驗證。具體包括:計算第二驗證消息認證碼MAC2'，具體的算法與MAC2采用相同的哈希算法，MAC2' = Hk (Sensorm | | eNBID | | NONCEm | | NONCEc)，然后判斷 MAC2 與 MAC2'是否一致。若第二消息認證碼MAC2與MAC2! 一致，則第二消息認證碼MAC2驗證成功，多角色基站生成通信密鑰，通信密鑰包括:RRC信令完整密鑰、RRC信令加密密鑰和通信數(shù)據(jù)加密密鑰，具體算法與傳感器設備計算通信密鑰的相同。多角色基站完成通信密鑰的計算之后，傳感器設備開始與MTC服務器進行通信上報數(shù)據(jù)。傳感器設備側(cè)對要上報的數(shù)據(jù)進行加密，發(fā)送給已進行相互認證的多角色基站，多角色基站對接收到的數(shù)據(jù)匯聚后生成應用層數(shù)據(jù)，通過核心網(wǎng)傳輸給傳感器設備對應的服務器。本實施例以傳感器設備為例進行說明，當然也可以是其他的MTC設備，如攝像監(jiān)控設備、自動儀表(水電氣表)設備、家庭自動化設備、支付系統(tǒng)的設備以及車輛遠程空設備等相關的設備。本發(fā)明實施例提供的機器類通信MTC設備，MTC設備通過第一發(fā)送消息單元向多角色基站發(fā)送資源請求消息，以使得多角色基站計算第一消息認證碼；接收消息單元接收多角色基站發(fā)送的靜態(tài)資源配置消息，靜態(tài)資源配置消息中攜帶有第一消息認證碼；驗證單元對第一消息認證碼進行驗證；若驗證成功，計算單元計算第二消息認證碼，第一通信密鑰計算單元計算通信密鑰，然后第二發(fā)送消息單元向多角色基站發(fā)送資源配置完成消息，以使得多角色基站對第二消息認證碼進行驗證，若多角色基站對第二消息認證碼驗證成功，計算通信密鑰，從而MTC設備和多角色基站開始進行通信，這樣MTC設備具有了和多角色基站之間的新空口的認證安全機制，還具有和多角色基站通信的加密安全機制，進一步提高了 M2M通信系統(tǒng)的安全。實施例四、本發(fā)明實施例還提供了一種多角色基站，具體如圖9所示，包括:第一消息接收單元81、計算單元82、發(fā)送消息單元83、第二接收消息單元84、驗證單元85、第二通信密鑰計算單元86。第一接收消息單元81，用于接收MTC設備發(fā)送的資源請求消息。其中資源請求消息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。計算單元82，用于根據(jù)所述第一接收消息單元81接收到的所述資源請求消息計算第一消息認證碼，具體用于:生成第二隨機數(shù)；根據(jù)所述MTC設備的安全能力為MTC設備選擇加密算法和完整性算法；根據(jù)所述MTC設備標識號獲取所述MTC設備的根密鑰；根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰得到所述第一消息認證碼。其中計算單元82根據(jù)所述MTC設備標識號獲取所述MTC設備的根密鑰具體包括:從多角色基站中直接獲取該MTC設備的預配置的MTC設備的共享密鑰，將所述共享密鑰作為根密鑰；或者從核心網(wǎng)獲取存儲有所有MTC設備的共享密鑰列表。根據(jù)所述MTC設備的標識號，從所述共享密鑰列表中獲取預配置的MTC設備的共享密鑰，將所述共享密鑰作為根密鑰；或者向信任中心發(fā)送密鑰請求，所述密鑰請求包括:所述MTC設備標識號、第一隨機數(shù)和第二隨機，以使得所述信任中心根據(jù)所述MTC設備標識號對應的預配置的MTC設備的共享密鑰、所述第一隨機數(shù)和第二隨機數(shù)計算所述MTC設備的臨時共享密鑰；接收所述信任中心的密鑰響應，所述密鑰響應攜帶所述臨時共享密鑰，將所述臨時共享密鑰作為根密鑰。發(fā)送消息單元83，用于所述計算單元82計算所述第一消息認證碼后，向所述MTC設備發(fā)送靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼，以使得所述MTC設備驗證所述第一消息認證碼，若所述MTC設備對所述第一消息認證碼驗證成功，MTC設備計算第二消息認證碼。靜態(tài)資源配置消息攜帶有第一消息認證碼，還攜帶有第二隨機數(shù)和為MTC設備選擇的加密算法和完整性算法。
MTC設備接收到多角色基站發(fā)送的靜態(tài)資源配置消息，MTC設備根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算得到第一驗證消息認證碼；判斷第一消息認證碼和第一驗證消息認證碼是否一致。若第一消息認證碼和第一驗證消息認證碼一致，則第一消息認證碼驗證成功。然后根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算得到第二消息認證碼，MTC設備向多角色基站發(fā)送資源配置完成消息。第二接收消息單元84，用于所述發(fā)送消息單元83發(fā)送所述靜態(tài)資源配置消息后，接收所述MTC設備發(fā)送的資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼。驗證單元85，用于驗證所述第二接收消息單元84接收的所述第二消息認證碼。具體為:根據(jù)多角色基站的標識號、MTC設備標識號、第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算第二驗證消息認證碼，若所述第一消息認證碼與所述第一驗證消息認證碼一致，則第一消息認證碼驗證成功。第二通信密鑰計算單元86，用于在所述驗證單元85驗證所述第二消息認證碼成功后，生成通信密鑰，具體包括:中間密鑰生成子單元861，用于根據(jù)MTC設備的根密鑰，第一隨機數(shù)和第二隨機數(shù)生成中間密鑰。第二通信密鑰生成子單元862，用于根據(jù)所述中間密鑰生成子單元861生成的所述中間密鑰和所述為MTC設備選擇的加密算法和完整性算法計算所述通信密鑰。以下我們以該多角色基站與傳感器設備建立空口安全機制，向MTC服務器上報數(shù)據(jù)的通信過程為例具體進行說明。傳感器設備自身存儲有傳感器設備的預配置的共享密鑰K，傳感器設備通過多角色基站向MTC服 務器上報數(shù)據(jù)信息，傳感器設備通過接收多角色基站的廣播信息獲取多角色基站的設備標識號。首先，多角色基站的第一接收消息單元81接收傳感器設備發(fā)送的資源請求消息，其中資源請求消息包括:傳感器設備標識號SenSOrID、傳感器設備的安全能力和傳感器設備生成的第一隨機數(shù)N0NCEm。第一接收消息單元81接收到資源請求消息后，計算單元82計算第一消息認證碼，還具體用于:生成第二隨機數(shù)NONCE。；根據(jù)傳感器設備的安全能力為傳感器設備選擇加密算法和完整性算法；根據(jù)傳感器設備標識號Sens0rm獲取傳感器設備的根密鑰k。第一消息認證碼是根據(jù)多角色基站的標識號、傳感器設備標識號和第一隨機數(shù)、第二隨機數(shù)以及MTC設備的根密鑰計算得到。其中，所述根密鑰為傳感器設備的預配置的共享密鑰K，或者根據(jù)所述傳感器設備的預配置的共享密鑰K計算得到的臨時共享密鑰Kt p，傳感器設備側(cè)的根密鑰k是根據(jù)存儲在傳感器設備中的共享密鑰K得到的，多角色基站側(cè)的根密鑰k為多角色基站根據(jù)傳感器設備標識號Sens0rm獲取的，傳感器設備側(cè)和多角色基站側(cè)的臨時共享密鑰Ktanp的計算方法相同。多角色基站側(cè)的傳感器設備的預配置的共享密鑰K存儲在多角色基站或存儲在核心網(wǎng)或信任中心。
若所述根密鑰K存儲在多角色基站中，計算單元82根據(jù)傳感器設備的標識號Sensorro直接獲取該傳感器設備的預配置的共享密鑰K，所述共享密鑰K作為根密鑰k。若所述共享密鑰K存儲在核心網(wǎng)中，首先多角色基站與核心網(wǎng)進行AKA認證，建立NAS層安全，核心網(wǎng)向多角色基站發(fā)送多角色基站管轄的所有傳感器設備的共享密鑰列表。然后第一接收消息單元81在接收到傳感器設備發(fā)送的資源請求消息后，根據(jù)傳感器設備的標識號Sens0rm獲取傳感器設備的預配置的共享密鑰K，所共享密鑰K作為根密鑰k。若所述預配置的共享密鑰K存儲在信任中心中，在第一接收消息單元81接收到傳感器設備發(fā)送的資源請求消息后，計算單元82生成第二隨機數(shù)NONCE。后，多角色基站向信任中心發(fā)送密鑰請求，其中密鑰請求包括傳感器設備的標識號Sens0rm、第一隨機數(shù)NONCEm和第二隨機數(shù)NONCE。；信任中心接收到多角色基站發(fā)送的密鑰請求后，根據(jù)傳感器設備的標識號Sens0rm獲取到傳感器設備的預配置的共享密鑰K，然后采用密鑰生成函數(shù)，根據(jù)傳感器設備的預配置的共享密鑰K，第一隨機數(shù)NONCEm和第二隨機數(shù)NONCE。計算出該傳感器設備的臨時共享密鑰Ktemp，Ktemp = KDF(K，NONCEc, NONCEm)。信任中心然后向多角色基站發(fā)送密鑰響應，其中密鑰響應攜帶有臨時共享密鑰Ktomp，該臨時共享密鑰Ktaiip作為根密鑰。然后計算單元82計算第一消息認證碼MAC1，具體為:根據(jù)多角色基站的標識號eNBID、傳感器設備的標識號Sensorm、第一隨機數(shù)N0NCEM、第二隨機數(shù)NONCE。以及傳感器設備的根密鑰k計算得到所述第一消息認證碼MAC1，具體的算法為哈希算法，MACl = Hk(eNBIDI I Sensorm | | NONCEc | | NONCEm)。完成第一消息認證碼MACl的計算后，發(fā)送消息單元83向傳感器設備發(fā)送靜態(tài)資源配置消息，靜態(tài)資源配置消息攜帶有第一消息認證碼MAC1、第二隨機數(shù)NONCE。和為傳感器設備選擇的加密算法和完整性算法。傳感器設備接收到發(fā)送消息單元83發(fā)送的靜態(tài)資源配置消息后，驗證第一消息認證碼MAC1。首先傳感器設備根據(jù)多角色基站的標識號eNBID、傳感器設備標識號SenSOrID、第一隨機數(shù)N0NCEM、第二隨機數(shù)N0NCE。以及根據(jù)傳感器設備的根密鑰k計算第一驗證消息認證碼 MACl'，具體的算法為哈希算法，MACl' = Hk(eNBID Sensorro NONCEc NONCEm)；然后判斷MACl與MACr是否一致。若MACl與MACl' —致，傳感器設備計算第二消息認證碼MAC2，具體算法與MACl采用相同的哈希算法，具體為MAC2 = Hk (Sensor1J eNBID NONCEj NONCEc)，同時生成傳感器設備的通信密鑰，具體包括:根據(jù)傳感器設備的根密鑰k、第一隨機數(shù)和第二隨機數(shù)采用密鑰生成函數(shù)生成中間密鑰Knew，Knew = KDF(K，NONCEc,NONCEm);然后根據(jù)中間密鑰，并利用為傳感器設備選擇的加密算法和完整性算法計算所述通信密鑰，通信密鑰包括:RRC信令完整密鑰KnewRRCint = KDF(Knew, RRC-1nt-alg,Alg-1D)，RRC 信令加密密鑰 KnewRRCenc = KDF (Knew, RRC-enc-alg, Alg-1D)，通信數(shù)據(jù)加密密鑰 KnewUPenc = KDF (Knew, UP-enc-alg, Alg-1D),其中 RRC 信令完整密鑰 KnewRRCint用于對RRC信令的完整性加密，防止RRC信令在傳輸過程中被攻擊者篡改，RRC信令加密密鑰KnewRRCenc和通信數(shù)據(jù)加密密鑰分別用于對RRC信令的信息和傳感器設備上報的數(shù)據(jù)消息進行加密，防止在傳輸過程中被攻擊者竊聽。在完成第二消息認證碼MAC2和通信密鑰的計算后，傳感器設備向多角色基站發(fā)送資源配置完成消息，資源配置完成消息中攜帶有所述第二消息認證碼MAC2。第二接收消息單元84接收傳感器設備發(fā)送的資源配置完成消息后，驗證單元85對第二消息認證碼MAC2進行驗證，具體過程為計算第二驗證消息認證碼MAC2'，MAC2'的算法與 MAC2 采用相同的哈希算法，MAC2' = Hk (Sensorm | | eNBID | | NONCEm | | NONCEc)，然后判斷MAC2與MAC2!是否一致。若第二消息認證碼MAC2與MAC2! 一致，則第二消息認證碼驗證成功，第二通信密鑰計算單元86生成通信密鑰。具體包括:中間密鑰生成子單元861根據(jù)傳感器設備的根密鑰、第一隨機數(shù)和第二隨機數(shù)生成中間密鑰；第二通信密鑰生成子單元862根據(jù)所述中間密鑰，并利用為傳感器設備選擇的加密算法和完整性算法計算所述通信密鑰。通信密鑰也包括:RRC信令完整密鑰、RRC信令加密密鑰和通信數(shù)據(jù)加密密鑰，具體算法與傳感器設備計算通信密鑰相同。若根密鑰為存儲在多角色基站中的預配置的共享密鑰，或存儲在信任中心中的預配置的共享密鑰，在第二通信密鑰計算單元86完成通信密鑰的計算之后，傳感器設備開始與MTC服務器進行通信上報數(shù)據(jù)，具體為:傳感器設備側(cè)對要上報的數(shù)據(jù)進行加密，發(fā)送給已進行相互認證的多角色基站，多角色基站對接收到的數(shù)據(jù)匯聚后生成應用層數(shù)據(jù)。然后多角色基站與核心網(wǎng)進行AKA認證和建立NAS層安全后，多角色基站將數(shù)據(jù)傳輸給傳感器設備對應的服務器。若根密鑰存儲在核心網(wǎng)時，在第二通信密鑰計算單元86完成通信密鑰的計算之后，傳感器設備開始與MTC服務器進行通信上報數(shù)據(jù)，傳感器設備側(cè)對要上報的數(shù)據(jù)進行加密，發(fā)送給已進行相互認證的多角色基站，多角色基站對接收到的數(shù)據(jù)匯聚后生成應用層數(shù)據(jù)，然后把數(shù)據(jù)通過核心網(wǎng)傳輸給傳感器設備對應的服務器。本實 施例以多角色基站與傳感器設備建立空口安全機制為例進行說明，當然也可以與其他的MTC設備，如攝像監(jiān)控設備、自動儀表(水電氣表)設備、家庭自動化設備、支付系統(tǒng)的設備以及車輛遠程空設備等相關的設備。本發(fā)明實施例提供的多角色基站，第一接收消息單元接收MTC設備發(fā)送的資源請求消息，計算單元計算第一消息認證碼；然后發(fā)送消息單元向MTC設備發(fā)送靜態(tài)資源配置消息，靜態(tài)資源配置消息中攜帶有第一消息認證碼，以使得MTC設備對第一消息認證碼進行驗證，若MTC設備對第一消息認證碼驗證成功，計算第二消息認證碼和通信密鑰，然后向多角色基站發(fā)送資源配置完成消息；驗證單元對第二消息認證碼進行驗證，若驗證單元對第二消息認證碼驗證成功，第二通信密鑰計算單元計算通信密鑰，從而MTC設備和多角色基站開始進行通信，這樣多角色基站既建立了和MTC設備之間的新空口的安全機制，也建立和MTC設備的通信加密安全機制，進一步提高了 M2M通信系統(tǒng)的安全。本領域普通技術人員可以理解:實現(xiàn)上述方法實施例的全部或部分步驟可以通過程序指令相關的硬件來完成，前述的程序可以存儲于一計算機可讀取存儲介質(zhì)中，該程序在執(zhí)行時，執(zhí)行包括上述方法實施例的步驟；而前述的存儲介質(zhì)包括:R0M、RAM、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。以上所述，僅為本發(fā)明的具體實施方式
，但本發(fā)明的保護范圍并不局限于此，任何熟悉本技術領域的技術人員在本發(fā)明揭露的技術范圍內(nèi)，可輕易想到變化或替換，都應涵蓋在本發(fā)明的保護范圍之內(nèi)。因此，本發(fā)明的保護范圍應以所述權利要求的保護范圍為準。
權利要求
1.一種機器類通信MTC設備的通信方法，其特征在于，包括: 向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼； 接收所述多角色基站發(fā)送的靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼； 驗證所述第一消息認證碼； 若所述第一消息認證碼驗證成功，計算第二消息認證碼； 向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼，以使得所述多角色基站驗證所述第二消息認證碼并在驗證成功的情況下與所述MTC設備開始通信。
2.根據(jù)權利要求1所述的方法，其特征在于，若所述第一消息認證碼驗證成功后，還包括: 生成通信密鑰。
3.根據(jù)權利要求1或2所述的方法，其特征在于，所述資源請求信息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。
4.根據(jù)權利要求3所述的方法，其特征在于，所述接收所述多角色基站發(fā)送的靜態(tài)資源配置消息還包括: 所述多角色基站發(fā)送的所述靜態(tài)資源配置消息中還攜帶有第二隨機數(shù)和為所述MTC設備選擇的加密算法和完整性算法。
5.根據(jù)權利要求 4所述的方法，其特征在于，所述驗證所述第一消息認證碼包括: 根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及MTC設備的根密鑰計算第一驗證消息認證碼，若所述第一消息認證碼與所述第一驗證消息認證碼一致，則第一消息認證碼驗證成功。
所述計算第二消息認證碼包括: 根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及所述MTC設備的根密鑰計算第二消息認證碼。
6.根據(jù)權利要求5所述的方法，其特征在于，所述生成通信密鑰包括: 根據(jù)所述MTC設備的根密鑰、所述第一隨機數(shù)和所述第二隨機數(shù)生成中間密鑰； 根據(jù)所述中間密鑰和所述為MTC設備選擇的加密算法和完整性算法計算所述通信密鑰。
7.根據(jù)權利要求6任一項所述的方法，其特征在于，所述根密鑰為MTC設備的預配置的共享密鑰，或者根據(jù)所述預配置的共享密鑰計算得到的臨時共享密鑰。
8.—種與MTC設備通信的方法，其特征在于，包括: 接收所述MTC設備發(fā)送的資源請求消息； 計算第一消息認證碼； 向所述MTC設備發(fā)送靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼，以使得所述MTC設備驗證所述第一消息認證碼，若所述MTC設備對所述第一消息認證碼驗證成功，MTC設備計算第二消息認證碼； 接收所述MTC設備發(fā)送的資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼；驗證所述第二消息認證碼，若所述第二消息認證碼驗證成功，與所述MTC設備開始通f目。
9.根據(jù)權利要求8所述的方法，其特征在于，在所述第二消息認證碼驗證成功后，還包括: 生成通信密鑰。
10.根據(jù)權利要求8或9所述的方法，其特征在于，所述資源請求信息包括:MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。
11.根據(jù)權利要求10所述的方法，其特征在于，所述在接收所述MTC設備發(fā)送的資源請求消息后還包括: 生成第二隨機數(shù)，根據(jù)所述MTC設備標識號獲取MTC設備的根密鑰，根據(jù)所述MTC設備的安全能力為所述MTC設備選擇加密算法和完整性算法； 所述計算第一消息認證碼包括: 所述多角色基站根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及所述MTC設備的根密鑰計算第一消息認證碼； 所述靜態(tài)資源配置消息還攜帶有所述第二隨機數(shù)和所述為MTC設備選擇的加密算法和完整性算法。
12.根據(jù)權利要求11所述的方法，其特征在于，所述驗證所述第二消息認證碼包括: 根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及所述MTC設備的根密鑰計算第二驗證消息認證碼，若所述第一消息認證碼與所述第一驗證消息認證碼一致，則第一消息認證碼驗證成功。
13.根據(jù)權利要求12所述的方法，其特征在于，生成所述通信密鑰包括: 根據(jù)所述MTC設備的根密鑰，所述第一隨機數(shù)和所述第二隨機數(shù)生成中間密鑰； 根據(jù)所述中間密鑰和所述為MTC設備選擇的加密算法和完整性算法計算所述通信密鑰。
14.根據(jù)權利要求10-13任一項所述的方法，其特征在于，所述根據(jù)所述MTC設備標識號獲取MTC設備的根密鑰包括: 從所述多角色基站中直接獲取MTC設備的預配置的共享密鑰，將所述預配置的共享密鑰作為根密鑰；或 從核心網(wǎng)獲取所述多角色基站管轄的所有MTC設備的共享密鑰列表，根據(jù)所述MTC設備的標識號，從所述共享密鑰列表中獲取所述MTC設備的預配置的共享密鑰，將所述預配置的共享密鑰作為根密鑰；或 所述多角色基站向信任中心發(fā)送密鑰請求，所述密鑰請求包括:所述MTC設備標識號、所述第一隨機數(shù)和所述第二隨機數(shù)，以使得所述信任中心根據(jù)所述MTC設備標識號對應的MTC設備的預配置的共享密鑰、所述第一隨機數(shù)和所述第二隨機數(shù)計算MTC設備的臨時共享密鑰； 接收所述信任中心的密鑰響應，所述密鑰響應攜帶所述臨時共享密鑰，將所述臨時共享密鑰作為根密鑰。
15.一種MTC設備，其特征在于，包括: 第一發(fā)送消息單元，用于向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼； 接收消息單元，用于在所述第一發(fā)送消息單元發(fā)送所述資源請求消息后，接收所述多角色基站發(fā)送的靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼； 驗證單元，用于驗證所述接收消息單元接收的所述第一消息認證碼； 計算單元，用于若驗證單元驗證所述第一消息認證碼成功后，計算第二消息認證碼； 第二發(fā)送消息單元，用于向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述計算單元計算的所述第二消息認證碼，以使得所述多角色基站驗證所述第二消息認證碼并在驗證成功的情況下與所述MTC設備開始通信。
16.根據(jù)權利要求15所述的設備，其特征在于，還包括: 第一通信密鑰計算單元，用于若所述驗證單元驗證所述第一消息認證碼成功后，生成通信密鑰。
17.根據(jù)權利要求15或16所述的設備，其特征在于， 所述第一發(fā)送消息單元發(fā)送的資源請求消息包括=MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。
18.根據(jù)權利要求17所述的設備，其特征在于，所述接收消息單元接收的所述靜態(tài)資源配置消息中還攜帶有第二隨機數(shù)和為所述MTC設備選擇的加密算法和完整性算法。
19.根據(jù)權利要求1 8所述的設備，其特征在于，所述驗證單元具體用于根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及MTC設備的根密鑰計算第一驗證消息認證碼，若所述第一消息認證碼與所述第一驗證消息認證碼一致，則第一消息認證碼驗證成功。
所述計算單元具體用于根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及所述MTC設備的根密鑰計算第二消息認證碼。
20.根據(jù)權利要求19所述的設備，其特征在于，所述第一通信密鑰計算單元包括: 中間密鑰生成子單元，用于根據(jù)所述MTC設備的根密鑰、所述第一隨機數(shù)和所述第二隨機數(shù)生成中間密鑰； 第一通信密鑰生成子單元，用于根據(jù)所述中間密鑰生成子單元生成的所述中間密鑰和所述為MTC設備選擇的加密算法和完整性算法計算所述通信密鑰。
21.一種多角色基站，其特征在于，包括: 第一接收消息單元，用于接收MTC設備發(fā)送的資源請求消息； 計算單元，用于根據(jù)所述第一接收消息單元接收到的所述資源請求消息計算第一消息認證碼； 發(fā)送消息單元，用于所述計算單元計算所述第一消息認證碼后，向所述MTC設備發(fā)送靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼，以使得所述MTC設備驗證所述第一消息認證碼，若所述MTC設備對所述第一消息認證碼驗證成功，MTC設備計算第二消息認證碼； 第二接收消息單元，用于所述發(fā)送消息單元發(fā)送所述靜態(tài)資源配置消息后，接收所述MTC設備發(fā)送的資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼；驗證單元，用于驗證所述第二接收消息單元接收的所述第二消息認證碼，若所述第二消息認證碼驗證成功，多角色基站與所述MTC設備開始通信。
22.根據(jù)權利要求21所述的多角色基站，其特征在于，還包括: 第二通信密鑰計算單元，用于在所述驗證單元驗證所述第二消息認證碼成功后，生成通信密鑰。
23.根據(jù)權利要求20或21所述的多角色基站，其特征在于， 所述第一接收消息單元接收到的資源請求消息包括=MTC設備標識號、MTC設備安全能力和MTC設備生成的第一隨機數(shù)。
24.根據(jù)權利要求23所述的多角色基站，其特征在于，所述計算單元具體用于: 生成第二隨機數(shù)； 根據(jù)所述MTC設備的安全能力為所述MTC設備選擇加密算法和完整性算法； 根據(jù)所述MTC設備標識號獲取MTC設備的根密鑰； 根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及所述MTC設備的根密鑰計算第一消息認證碼； 所述發(fā)送消息單元 還用于發(fā)送所述第二隨機數(shù)和所述為MTC設備選擇的加密算法和完整性算法。
25.根據(jù)權利要求24所述的多角色基站，其特征在于，所述驗證單元具體用于:根據(jù)所述多角色基站的標識號、所述MTC設備標識號、所述第一隨機數(shù)、所述第二隨機數(shù)以及所述MTC設備的根密鑰計算第二驗證消息認證碼，若所述第一消息認證碼與所述第一驗證消息認證碼一致，則第一消息認證碼驗證成功。
26.根據(jù)權利要求25所述的多角色基站，其特征在于，所述第二通信密鑰計算單元包括: 中間密鑰生成子單元，用于根據(jù)所述MTC設備的根密鑰，所述第一隨機數(shù)和所述第二隨機數(shù)生成中間密鑰； 第二通信密鑰生成子單元，用于根據(jù)所述中間密鑰生成子單元生成的所述中間密鑰和所述為MTC設備選擇的加密算法和完整性算法計算所述通信密鑰。
27.根據(jù)權利要求23-26任一項所述的多角色基站，其特征在于，所述計算單元用于根據(jù)所述MTC設備標識號獲取MTC設備的根密鑰具體為: 從所述多角色基站中直接獲取MTC設備的預配置的共享密鑰，將所述共享密鑰作為根密鑰；或 從核心網(wǎng)獲取多角色基站管轄的所有MTC設備的共享密鑰列表；根據(jù)所述MTC設備的標識號，從所述共享密鑰列表中獲取所述MTC設備的預配置的共享密鑰，將所述共享密鑰作為根密鑰；或 向信任中心發(fā)送密鑰請求，所述密鑰請求包括:所述MTC設備標識號、所述第一隨機數(shù)和所述第二隨機數(shù)，以使得所述信任中心根據(jù)MTC設備標識號在所述信任中心對應的MTC設備的預配置的共享密鑰、所述第一隨機數(shù)、所述第二隨機數(shù)計算臨時共享密鑰；接收所述信任中心的密鑰響應，所述密鑰響應攜帶有臨時共享密鑰，將所述臨時共享密鑰作為根密鑰。
全文摘要
本發(fā)明提供了一種通信方法、裝置，涉及M2M系統(tǒng)通信安全領域，可以提高M2M通信系統(tǒng)的安全。本發(fā)明實施例提供的MTC設備的通信方法包括向多角色基站發(fā)送資源請求消息，以使得所述多角色基站計算第一消息認證碼；接收所述多角色基站發(fā)送的靜態(tài)資源配置消息，所述靜態(tài)資源配置消息中攜帶有所述第一消息認證碼；驗證所述第一消息認證碼；若所述第一消息認證碼驗證成功，計算第二消息認證碼；向所述多角色基站發(fā)送資源配置完成消息，所述資源配置完成消息中攜帶有所述第二消息認證碼，以使得所述多角色基站驗證所述第二消息認證碼并在驗證成功的情況下與MTC設備開始通信。本發(fā)明實施例用于M2M系統(tǒng)的通信過程中。
文檔編號H04W12/06GK103152733SQ201110403140
公開日2013年6月12日 申請日期2011年12月7日 優(yōu)先權日2011年12月7日
發(fā)明者張麗佳 申請人:華為技術有限公司