一種寬帶集群系統(tǒng)的組密鑰分層管理方法、系統(tǒng)和終端的制作方法
【專利摘要】本發(fā)明提供一種寬帶集群系統(tǒng)的組密鑰分層管理方法，包括：系統(tǒng)側(cè)為群組生成組根密鑰，將所述組根密鑰下發(fā)給所述群組中的終端；在組呼建立時，所述系統(tǒng)側(cè)生成組呼安全參數(shù)，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端；所述系統(tǒng)側(cè)基于所述非接入層密鑰和接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。本發(fā)明還提供一種寬帶集群系統(tǒng)的組密鑰分層管理系統(tǒng)和一種終端。本發(fā)明通過系統(tǒng)側(cè)下發(fā)組根密鑰，提高了組根密鑰的靈活性，另外，組呼時使用對應(yīng)的組呼安全參數(shù)，使系統(tǒng)的安全程度得到進(jìn)一步提高。
【專利說明】一種寬帶集群系統(tǒng)的組密鑰分層管理方法、系統(tǒng)和終端
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及移動通信【技術(shù)領(lǐng)域】,尤其涉及基于LTE (Long Term Evolution,長期演進(jìn))實現(xiàn)的寬帶集群系統(tǒng)的組密鑰分層管理方法、系統(tǒng)和終端。
【背景技術(shù)】
[0002]集群系統(tǒng)是為了滿足行業(yè)用戶指揮調(diào)度需求而開發(fā)的，面向特定行業(yè)應(yīng)用的專用無線通信系統(tǒng)。集群系統(tǒng)是一種高效的無線通信系統(tǒng)，通過共享無線信道，以較少的無線信道數(shù)量支持大量的無線用戶進(jìn)行群組通信。目前，集群系統(tǒng)以模擬集群系統(tǒng)和窄帶數(shù)字通信系統(tǒng)為主，能夠提供的基本業(yè)務(wù)集中在語音和低速數(shù)據(jù)業(yè)務(wù)方面。
[0003]隨著移動互聯(lián)網(wǎng)的飛速發(fā)展，以及全球無線城市的大規(guī)模建設(shè)，寬帶化成為整個無線通信發(fā)展的趨勢，集群系統(tǒng)也向提供更大的信道容量，更多的業(yè)務(wù)類型，更高的數(shù)據(jù)帶寬等方向發(fā)展。寬帶集群系統(tǒng)就是在這種背景下，基于LTE技術(shù)演進(jìn)而來的。
[0004]LTE 是 3GPP(3rd Generation Partnership Pro ject,第三代合作伙伴計劃)長期演進(jìn)項目，LTE網(wǎng)絡(luò)采取扁平化的架構(gòu)，eNB(evolved Node B，演進(jìn)的基站)部署分散化，運營商無法對其實行安全集中控制。為了用戶能安全地使用網(wǎng)絡(luò)，以及網(wǎng)絡(luò)向合法的用戶提供服務(wù)，LTE中制訂了安全管理的相關(guān)協(xié)議，以有效保護(hù)各網(wǎng)元間信令流和媒體流數(shù)據(jù)的安全。
[0005]寬帶集群系統(tǒng)繼承了 LTE的基本架構(gòu)，部署時，可以不受LTE核心網(wǎng)的約束，根據(jù)不同的應(yīng)用場景，可以只部署DSS (Dispatching SubSystem,調(diào)度子系統(tǒng))，或者DSS和EPC(Evolved Packed Core演進(jìn)分組核心網(wǎng))都部署。因此寬帶集群系統(tǒng)需要設(shè)計一套單獨的組密鑰管理方法，來保證集群系統(tǒng)中核心網(wǎng)、eNB以及終端在使用寬帶集群網(wǎng)絡(luò)時的安全性。
[0006]3GPP協(xié)議規(guī)定的LTE的安全管理主要集中在:NAS (Non Access Stratum,非接入層)信令加密保護(hù)，NAS信令完整性保護(hù)，RRC(Radio Resource Control，無線資源控制)信令加密保護(hù)，RRC信令完整性保護(hù)，UP (User Plane，用戶面)數(shù)據(jù)加密保護(hù)等幾個方面。LTE的密鑰架構(gòu)為分層設(shè)計，系統(tǒng)使用在核心網(wǎng)和UE (User Equipment，用戶設(shè)備)上保存的密鑰K來分層派生各級密鑰，結(jié)合所選擇的加密算法和完整性保護(hù)算法，來實現(xiàn)NAS和AS (Access Stratum,接入層)的安全管理過程。
[0007]寬帶集群系統(tǒng)在提供組呼業(yè)務(wù)時，由于多個聽用戶是采取共享下行信道的方式，對下行共享信道進(jìn)行加密和完整性保護(hù)，要采取組內(nèi)所有用戶共知的組密鑰。而同一個組的聽用戶終端的K值是保密的且各不相同，因此如果直接使用終端上的密鑰K，無法對寬帶集群系統(tǒng)的組呼業(yè)務(wù)進(jìn)行安全管理。
[0008]在現(xiàn)有集群通信技術(shù)中，也有預(yù)先在終端上預(yù)置組密鑰來實現(xiàn)組呼業(yè)務(wù)安全管理，該方案對組密鑰的管理缺少靈活性，同時由于組密鑰已經(jīng)預(yù)置在終端上，在某些特定場景下，例如群組成員發(fā)生變化時，存在一定的安全隱患。
【發(fā)明內(nèi)容】

[0009]本發(fā)明要解決的技術(shù)問題是提出一種寬帶集群系統(tǒng)的組密鑰分層管理方法、系統(tǒng)和終端，實現(xiàn)對組呼業(yè)務(wù)的組密鑰分層管理，使寬帶集群系統(tǒng)更加安全。
[0010]為了解決上述技術(shù)問題，本發(fā)明提供了一種寬帶集群系統(tǒng)的組密鑰分層管理方法，包括:
[0011]系統(tǒng)側(cè)為群組生成組根密鑰，將所述組根密鑰下發(fā)給所述群組中的終端；
[0012]在組呼建立時，所述系統(tǒng)側(cè)生成組呼安全參數(shù)，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端；
[0013]所述系統(tǒng)側(cè)基于所述非接入層密鑰和接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
[0014]上述方法還可具有以下特點，所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端前，還包括:
[0015]所述系統(tǒng)側(cè)與所述群組中的終端建立非接入層和接入層的安全通道；
[0016]所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端包括:所述系統(tǒng)側(cè)通過所述安全通道將所述組根密鑰下發(fā)給所述群組中的終端。
[0017]上述方法還可具有以下特點，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰，所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
[0018]上述方法還可具有以下特點，所述系統(tǒng)側(cè)基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括:
[0019]核心網(wǎng)基于所述組根密鑰和所述組呼安全參數(shù)使用密鑰推導(dǎo)函數(shù)KDF生成所述非接入層密鑰和演進(jìn)的基站密鑰；
[0020]所述核心網(wǎng)將所述演進(jìn)的基站密鑰下發(fā)給所述組呼相關(guān)的演進(jìn)的基站，由所述演進(jìn)的基站基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
[0021]上述方法還可具有以下特點，所述系統(tǒng)側(cè)為不同群組生成不同的組根密鑰。
[0022]上述方法還可具有以下特點，所述組呼安全參數(shù)為一隨機數(shù)，或者為一計數(shù)值。
[0023]上述方法還可具有以下特點，所述方法還包括:在滿足更新觸發(fā)條件時，所述系統(tǒng)側(cè)更新所述群組的組根密鑰，將更新后的組根密鑰下發(fā)給所述群組中的終端。
[0024]上述方法還可具有以下特點，所述更新觸發(fā)條件包括:
[0025]所述群組中的成員變動或者安全周期到達(dá)。
[0026]上述方法還可具有以下特點，所述方法還包括:所述系統(tǒng)側(cè)為所述群組生成組根密鑰時，還生成密鑰編號；所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端時，還將所述密鑰編號下發(fā)給所述群組中的終端；
[0027]在組呼建立時，所述系統(tǒng)側(cè)將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端時，還將所述密鑰編號下發(fā)給所述群組中的聽用戶終端。
[0028]本發(fā)明實施例提供一種寬帶集群系統(tǒng)的組密鑰分層管理方法，包括:
[0029]終端接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰；
[0030]組呼建立時，所述終端接收所述系統(tǒng)側(cè)下發(fā)的組呼安全參數(shù)；[0031]所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，基于所述非接入層密鑰和所述接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
[0032]上述方法還可具有以下特點，所述終端接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰前還包括:所述終端與所述系統(tǒng)側(cè)建立非接入層和接入層的安全通道；
[0033]所述終端接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰包括:所述終端通過所述安全通道接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰。
[0034]上述方法還可具有以下特點，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰，所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
[0035]上述方法還可具有以下特點，所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括:
[0036]所述終端基于所述組根密鑰和所述組呼安全參數(shù)使用KDF函數(shù)生成非接入層密鑰和演進(jìn)的基站密鑰，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
[0037]上述方法還可具有以下特點，所述方法還包括:
[0038]所述終端接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰時，還獲取與所述組根密鑰一起下發(fā)的密鑰編號，保存所述組根密鑰和所述密鑰編號；
[0039]組呼建立時，所述終端還接收與所述組呼安全參數(shù)一起下發(fā)的密鑰編號；
[0040]所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰前還包括:判斷所述組呼建立時接收到的密鑰編號與本地保存的密鑰編號是否一致，如果一致，才基于所述組根密鑰和所述組呼安全參數(shù)生成所述非接入層密鑰和所述接入層密鑰；否則，所述終端向所述系統(tǒng)側(cè)發(fā)起組根密鑰同步請求，從所述系統(tǒng)側(cè)獲取新的組根密鑰和密鑰編號，并基于所述新的組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰。
[0041]本發(fā)明還提供一種寬帶集群系統(tǒng)的組密鑰分層管理系統(tǒng)，包括:系統(tǒng)側(cè)網(wǎng)元，所述系統(tǒng)側(cè)網(wǎng)元用于:
[0042]為群組生成組根密鑰，將所述組根密鑰下發(fā)給所述群組中的終端；以及，
[0043]在組呼建立時，生成組呼安全參數(shù)，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端；以及，基于所述非接入層密鑰和接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
[0044]上述系統(tǒng)還可具有以下特點，所述系統(tǒng)側(cè)網(wǎng)元還用于，將所述組根密鑰下發(fā)給所述群組中的終端前，與所述群組中的終端建立非接入層和接入層的安全通道；
[0045]所述系統(tǒng)側(cè)網(wǎng)元是用于通過所述安全通道將所述組根密鑰下發(fā)給所述群組中的終端。
[0046]上述系統(tǒng)還可具有以下特點，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰，所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
[0047]上述系統(tǒng)還可具有以下特點，所述系統(tǒng)側(cè)網(wǎng)元包括:核心網(wǎng)和演進(jìn)的基站，其中:
[0048]所述核心網(wǎng)用于，基于所述組根密鑰和所述組呼安全參數(shù)使用密鑰推導(dǎo)函數(shù)KDF生成所述非接入層密鑰和演進(jìn)的基站密鑰；以及，將所述演進(jìn)的基站密鑰下發(fā)給所述組呼相關(guān)的所述演進(jìn)的基站，
[0049]所述演進(jìn)的基站用于，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
[0050]上述系統(tǒng)還可具有以下特點，所述系統(tǒng)側(cè)網(wǎng)元為不同群組生成不同的組根密鑰。
[0051]上述系統(tǒng)還可具有以下特點，所述組呼安全參數(shù)為一隨機數(shù)，或者為一計數(shù)值。
[0052]上述系統(tǒng)還可具有以下特點，所述系統(tǒng)側(cè)網(wǎng)元還用于:在滿足更新觸發(fā)條件時，更新所述群組的組根密鑰，將更新后的組根密鑰下發(fā)給所述群組中的終端。
[0053]上述系統(tǒng)還可具有以下特點，所述更新觸發(fā)條件包括:
[0054]所述群組中的成員變動或者安全周期到達(dá)。
[0055]上述系統(tǒng)還可具有以下特點，所述系統(tǒng)側(cè)網(wǎng)元還用于:為所述群組生成組根密鑰時，生成密鑰編號；將所述組根密鑰下發(fā)給所述群組中的終端時，還將所述密鑰編號下發(fā)給所述群組中的終端；以及，在組呼建立時，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端時，還將所述密鑰編號下發(fā)給所述群組中的聽用戶終端。
[0056]本發(fā)明實施例還提供一種終端，所述終端包括:
[0057]交互單元，用于接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰；以及，組呼建立時，接收所述系統(tǒng)側(cè)下發(fā)的組呼安全參數(shù)；
[0058]密鑰生成單元，用于基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰；
[0059]保護(hù)單元，用于基于所述非接入層密鑰和所述接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
[0060]上述終端還可具有以下特點，所述交互單元還用于，接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰前，與所述系統(tǒng)側(cè)建立非接入層和接入層的安全通道；
[0061]所述交互單元是用于通過所述安全通道接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰。
[0062]上述終端還可具有以下特點，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰；所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
[0063]上述終端還可具有以下特點，所述密鑰生成單元基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括:
[0064]所述密鑰生成單元基于所述組根密鑰和所述組呼安全參數(shù)使用KDF函數(shù)生成非接入層密鑰和演進(jìn)的基站密鑰，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
[0065]上述終端還可具有以下特點，所述交互單元還用于:接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰時，還獲取與所述組根密鑰一起下發(fā)的密鑰編號，保存所述組根密鑰和所述密鑰編號；以及，組呼建立時，還接收與所述組呼安全參數(shù)一起下發(fā)的密鑰編號;
[0066]所述密鑰生成單元還用于，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰前，判斷所述組呼建立時接收到的密鑰編號與本地保存的密鑰編號是否一致，如果一致，才基于所述組根密鑰和所述組呼安全參數(shù)生成所述非接入層密鑰和所述接入層密鑰；否則，向所述系統(tǒng)側(cè)發(fā)起組根密鑰同步請求，從所述系統(tǒng)側(cè)獲取新的組根密鑰和密鑰編號，并基于所述新的組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰。
[0067]本發(fā)明還提供一種寬帶集群系統(tǒng)的組密鑰分層管理系統(tǒng)，包括上述系統(tǒng)側(cè)網(wǎng)元和終端。
[0068]本發(fā)明實施例提供的組密鑰分層管理方法，實現(xiàn)簡單，密鑰架構(gòu)分層設(shè)置，在保證了安全程度的同時，對現(xiàn)有LTE安全協(xié)議架構(gòu)改動較小，在終端側(cè)的改動不涉及SIM卡的軟件接口變化，容易做到后向兼容。
【專利附圖】

【附圖說明】
[0069]圖1是本發(fā)明實施例中所采用的組密鑰架構(gòu)圖；
[0070]圖2是組呼密鑰KDF派生關(guān)系圖；
[0071]圖3是實現(xiàn)本發(fā)明實施例的分層管理方法時，寬帶集群系統(tǒng)和UE應(yīng)用組根密鑰kg和組呼安全參數(shù)派生各級密鑰的過程示意圖；
[0072]圖4是本發(fā)明實施例組根密鑰同步更新的示意圖；
[0073]圖5是本發(fā)明實施例組呼加解密密鑰產(chǎn)生的示意圖；
[0074]圖6是本發(fā)明實施例基于LTE集群通信系統(tǒng)的組根密鑰同步更新流程圖；
[0075]圖7是本發(fā)明實施例終端框圖。
【具體實施方式】
[0076]為使本發(fā)明的目的、技術(shù)方案和優(yōu)點更加清楚明白，下文中將結(jié)合附圖對本發(fā)明的實施例進(jìn)行詳細(xì)說明。需要說明的是，在不沖突的情況下，本申請中的實施例及實施例中的特征可以相互任意組合。
[0077]另外，雖然在流程圖中示出了邏輯順序，但是在某些情況下，可以以不同于此處的順序執(zhí)行所示出或描述的步驟。
[0078]本發(fā)明實施例提供一種寬帶集群系統(tǒng)的組密鑰分層管理方法，包括:
[0079]系統(tǒng)側(cè)為群組生成組根密鑰，將所述組根密鑰下發(fā)給所述群組中的終端；
[0080]在組呼建立時，所述系統(tǒng)側(cè)生成組呼安全參數(shù)，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端；
[0081]所述系統(tǒng)側(cè)基于所述非接入層密鑰和接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
[0082]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端前，還包括:
[0083]所述系統(tǒng)側(cè)與所述群組中的終端建立非接入層和接入層的安全通道；
[0084]所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端包括:所述系統(tǒng)側(cè)通過所述安全通道將所述組根密鑰下發(fā)給所述群組中的終端。
[0085]在本實施例的一種備選方案中，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰，所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。當(dāng)然，非接入層密鑰和接入層密鑰也可根據(jù)需要包括其他類型的密鑰。
[0086]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括:
[0087]核心網(wǎng)基于所述組根密鑰和所述組呼安全參數(shù)使用密鑰推導(dǎo)函數(shù)KDF生成所述非接入層密鑰和演進(jìn)的基站密鑰；
[0088]所述核心網(wǎng)將所述演進(jìn)的基站密鑰下發(fā)給所述組呼相關(guān)的演進(jìn)的基站，由所述演進(jìn)的基站基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
[0089]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)為不同群組生成不同的組根密鑰。
[0090]在本實施例的一種備選方案中，所述組呼安全參數(shù)為一隨機數(shù)，或者為一計數(shù)值。
[0091]在本實施例的一種備選方案中，還包括:在滿足更新觸發(fā)條件時，所述系統(tǒng)側(cè)更新所述群組的組根密鑰，將更新后的組根密鑰下發(fā)給所述群組中的終端。所述更新觸發(fā)條件包括但不限于:所述群組中的成員變動或者安全周期到達(dá)。
[0092]在本實施例的一種備選方案中，還包括:所述系統(tǒng)側(cè)為所述群組生成組根密鑰時，還生成密鑰編號；所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端時，還將所述密鑰編號下發(fā)給所述群組中的終端；
[0093]在組呼建立時，所述系統(tǒng)側(cè)將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端時，還將所述密鑰編號下發(fā)給所述群組中的聽用戶終端。
[0094]在本實施例的一種備選方案中，還包括:所述系統(tǒng)側(cè)每個安全周期更新一次所述組根密鑰，同時更新所述密鑰編號，并將所述更新后的組根密鑰和更新后的密鑰編號下發(fā)給所述群組中的終端。
[0095]本發(fā)明實施例還提供一種寬帶集群系統(tǒng)的組密鑰分層管理方法，包括:
[0096]終端接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰；
[0097]組呼建立時，所述終端接收所述系統(tǒng)側(cè)下發(fā)的組呼安全參數(shù)；
[0098]所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，基于所述非接入層密鑰和所述接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
[0099]在本實施例的一種備選方案中，所述終端接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰前還包括:所述終端與所述系統(tǒng)側(cè)建立非接入層和接入層的安全通道；所述終端是通過所述安全通道接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰。
[0100]在本實施例的一種備選方案中，所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括:
[0101]所述終端基于所述組根密鑰和所述組呼安全參數(shù)使用KDF函數(shù)生成非接入層密鑰和演進(jìn)的基站密鑰，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
[0102]在本實施例的一種備選方案中，還包括:
[0103]所述終端接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰時，還獲取與所述組根密鑰一起下發(fā)的密鑰編號，保存所述組根密鑰和所述密鑰編號；
[0104]組呼建立時，所述終端還接收與所述組呼安全參數(shù)一起下發(fā)的密鑰編號；
[0105]所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰前還包括:判斷所述組呼建立時接收到的密鑰編號與本地保存的密鑰編號是否一致，如果一致，才基于所述組根密鑰和所述組呼安全參數(shù)生成所述非接入層密鑰和所述接入層密鑰；否則，所述終端向所述系統(tǒng)側(cè)發(fā)起組根密鑰同步請求，從所述系統(tǒng)側(cè)獲取新的組根密鑰和密鑰編號，并基于所述新的組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰。
[0106]本發(fā)明實施例提供一種寬帶集群系統(tǒng)的組密鑰分層管理方法，包括:
[0107]步驟101，在群組建立時，由寬帶集群核心網(wǎng)生成組根密鑰Kg ；
[0108]其中，每個群組的Kg可以互不重復(fù)，以保證群組通信的私密性和安全性；
[0109]步驟102，集群終端與寬帶集群系統(tǒng)建立點到點的安全連接，終端使用保存在終端上的密鑰K，與系統(tǒng)建立NAS和AS的安全通道；
[0110]步驟103，集群系統(tǒng)通過安全通道將終端所屬群組的根密鑰1下發(fā)給集群終端。當(dāng)一個集群終端屬于多個群組時，該下發(fā)過程可能要進(jìn)行多次。
[0111]步驟104，組呼建立過程中，組呼主叫用戶與寬帶集群系統(tǒng)之間建立點到點的連接，組呼主叫用戶的安全管理過程，仍使用存儲在核心網(wǎng)和終端上的密鑰K派生的各級密鑰；
[0112]步驟105，組呼建立時，系統(tǒng)中存在多個聽用戶，系統(tǒng)與聽用戶之間是一點到多點的連接，系統(tǒng)應(yīng)用組呼的密鑰架構(gòu)進(jìn)行共享信道的安全管理，此時先由寬帶集群核心網(wǎng)生成一個組呼安全參數(shù)，如隨機變量，計數(shù)器等；
[0113]步驟106,寬帶集群核心網(wǎng)使用KDF(key derivation function,密鑰推導(dǎo)函數(shù))，由Kg和組呼安全參數(shù)派生組呼共享信道使用的NAS加密密鑰，NAS完整性保護(hù)密鑰以及eNB常鑰KgeNB ；
[0114]步驟107，在組呼建立過程中，寬帶集群核心網(wǎng)將KgeNB通知到相關(guān)的eNB，eNB使用KgeNB派生出組呼共享信道使用的RRC信令加密密鑰，RRC信令完整性保護(hù)密鑰以及UP數(shù)據(jù)加密密鑰；
[0115]步驟108，在組呼建立過程中，系統(tǒng)側(cè)將組呼安全參數(shù)通知到組內(nèi)的各聽用戶終端。聽用戶終端收到組呼安全參數(shù)后，結(jié)合之前保存的Kg，使用KDF函數(shù)可以分層派生出本次組呼的各級密鑰。對于該次組呼，由于終端側(cè)與系統(tǒng)保存的Kg和組呼安全參數(shù)完全相同，因此在終端上派生得到的各級密鑰，與系統(tǒng)側(cè)也完全相同；
[0116]步驟109，核心網(wǎng)在派生出NAS層的密鑰，將組呼安全參數(shù)發(fā)送給終端，并將KgeNB成功發(fā)送給eNB之后，啟動組呼共享信道的NAS加密保護(hù)和NAS完整性保護(hù)；eNB在成功收到Kgdffi并派生出AS層的密鑰后，啟動組呼共享信道的RRC加密保護(hù)，RRC完整性保護(hù)以及UP數(shù)據(jù)加密保護(hù)；組聽用戶終端在收到組呼安全參數(shù)后，派生出NAS層和AS層的各級密鑰，啟動組呼共享信道的NAS加密保護(hù)，NAS完整性保護(hù)，RRC加密保護(hù)，RRC完整性保護(hù)和UP數(shù)據(jù)加密保護(hù)。
[0117]該方法進(jìn)一步還包括:
[0118]在群組建立之后，通常情況下，組根密鑰Kg —直保持不變，在涉及到組根密鑰可能會泄漏導(dǎo)致安全隱患時，例如當(dāng)群組成員發(fā)生變化時，可由系統(tǒng)側(cè)重新生成新的Kg，并由集群寬帶系統(tǒng)核心網(wǎng)加密發(fā)送給終端，此過程重復(fù)步驟101至步驟103 ;每次在新的組呼建立時，重復(fù)步驟104至步驟108。
[0119]使用上述方法，不需要在終端上預(yù)置組根密鑰，而是將組根密鑰Kg通過加密通道下發(fā)給終端，因此組根密鑰的靈活性和安全性可以得到保證；同時在每次新的組呼建立時，系統(tǒng)側(cè)和終端使用組根密鑰Kg結(jié)合新的組呼安全參數(shù)，來重新生成該次組呼使用的加密密鑰和完整性保護(hù)密鑰，使系統(tǒng)的安全程度得到進(jìn)一步提高。
[0120]本發(fā)明實施例提供了一種在LTE系統(tǒng)上實現(xiàn)的寬帶集群業(yè)務(wù)的安全管理方法:當(dāng)組用戶與寬帶集群系統(tǒng)建立點到點的連接時，例如組呼主叫用戶發(fā)起連接建立請求，或者當(dāng)UE初始附著到寬帶集群系統(tǒng)時，UE與寬帶集群系統(tǒng)建立點對點的單呼連接，此種場景下，UE與寬帶集群系統(tǒng)使用單呼的密鑰架構(gòu)進(jìn)行安全管理，基于保存在核心網(wǎng)和UE上的密鑰K值來派生各級密鑰，該架構(gòu)在LTE安全管理協(xié)議中有專門規(guī)定，本發(fā)明對于該密鑰派生過程不做重點描述。
[0121]組呼業(yè)務(wù)中可能存在多個被叫用戶，此種場景下，系統(tǒng)與多個聽用戶建立一點到多點的連接，采取的密鑰架構(gòu)是組密 鑰架構(gòu)，如圖1所示，圖中各級密鑰的功能如下:
[0122]Kg:寬帶集群系統(tǒng)的組根密鑰，用于組安全管理，是一點對多點連接中各級密鑰產(chǎn)生的基礎(chǔ)；
[0123]GroupCallRand:組呼變量。為了加強安全，每次新的組呼建立時，群組使用的加密密鑰和完整性保護(hù)密鑰要進(jìn)行變化，引入GroupCallRand作為密鑰的派生函數(shù)輸入變量。
[0124]KgNASEnc:組呼NAS信令加密密鑰；
[0125]KgNASInt:組呼NAS信令完整性保護(hù)密鑰；
[0126]KgeNB:eNB密鑰，需要說明的是，一個群組對應(yīng)的所有eNB都具有相同的KgeNB ；
[0127]KgUPEnc:是組呼用戶面數(shù)據(jù)的加密密鑰，即UP數(shù)據(jù)加密密鑰；
[0128]KgEECEnc:是組呼RRC信令的加密密鑰；
[0129]Kgmiant:是組呼RRC信令的完整性保護(hù)密鑰。
[0130]圖1 中系統(tǒng)側(cè)的 PHR(Push to Talk Home Register,簡稱 PTT Home Register, 一按即說歸屬寄存器)/roS(PTT Dispatch Server，PTT調(diào)度服務(wù)器)使用KDF函數(shù)，由Kg和組呼安全參數(shù)GroupCallRand派生組呼共享信道使用的NAS加密密鑰KgNASEn。，NAS完整性保
護(hù)密鑰 KgNASInt
以及eNB密鑰KgeNB。
[0131]下面通過具體實施進(jìn)一步闡述本發(fā)明所述的實現(xiàn)方法，但不作為本發(fā)明的限定。
[0132]如圖2所示,為本發(fā)明具體實施例中各密鑰的KDF派生關(guān)系示意圖,本示意圖僅是一個示例，本發(fā)明具體的KDF派生函數(shù)的各輸入?yún)?shù)并不局限于圖中的示例:圖中KgNASEn。，KgNASInt，KgeNB均使用Kg作為輸入密鑰，由組呼安全參數(shù)GroupCalIRand參與構(gòu)造KDF函數(shù)的輸入字節(jié)串；由 Kgeffi3 派生 KgUPEnc, KgEECEnc, KgKKCInt。圖 2 中，SN id 為 Serving Networkidentity (服務(wù)網(wǎng)絡(luò)標(biāo)識)，Enc-Alg-1D 為 Encryption Algorithm Identity (加密算法標(biāo)識)，NAS-enc-alg 為 NAS Encryption Algorithm(NAS 加密算法)，Int-Alg-1D 為(Integrity Algorithm Identity (完整性保護(hù)算法標(biāo)識)，NAS-1nt-alg 為 NASIntegrityAlgorithm (NAS 完整性保護(hù)算法)，RRC-enc-alg 為 RRC Encryption Algorithm (RRC 加密算法)，RRC-1nt-alg 為 RRC Integrity Algorithm(RRC 完整性保護(hù)算法),UP-enc-alg 為UP Encryption Algorithm (UP 加密算法)。
[0133]由圖2可以看出，當(dāng)組呼安全參數(shù)GroupCallRand發(fā)生變化時，派生密鑰都將發(fā)生變化，這種實現(xiàn)方式使得每次組呼建立時，只要使用新的組呼安全參數(shù)GroupCallRand,就可以得到一組新的密鑰進(jìn)行組呼安全管理。[0134]如圖3所示，本發(fā)明實施中寬帶集群系統(tǒng)進(jìn)行組密鑰管理的過程如下:該實施例中PHR
[0135]步驟301，PHR為每個群組都生成一個組根密鑰Kg，Kg的構(gòu)造方法可以直接使用隨機數(shù)發(fā)生器生成，也可以使用組標(biāo)識GID與隨機數(shù)使用KDF函數(shù)產(chǎn)生，也可以通過人工設(shè)置的方式生成，但不限于這些具體的方法；
[0136]步驟302，集群終端初始附著到寬帶集群系統(tǒng)，集群終端與寬帶集群系統(tǒng)建立點到點的連接，應(yīng)用單呼密鑰架構(gòu)，在UE通過寬帶集群系統(tǒng)的認(rèn)證鑒權(quán)，并成功激活安全模式之后，UE與寬帶集群系統(tǒng)之間成功建立了點到點的NAS和AS安全通道，之后在寬帶集群和UE之間傳輸?shù)臄?shù)據(jù)可以得到加密和完整性保護(hù)。寬帶集群系統(tǒng)將該UE所屬的組的根密鑰Kg以及加密算法ID和完整新保護(hù)算法ID在組信息更新消息中加密發(fā)送給UE,當(dāng)UE屬于多個群組時，此過程根據(jù)信令的長度不同，可能要重復(fù)多次。UE保存收到的Kg，加密算法ID和完整性保護(hù)算法ID，用于后續(xù)組呼建立時的具體安全管理過程。
[0137]步驟303，當(dāng)一次新的組呼建立時，寬帶集群核心網(wǎng)生成一個組呼安全參數(shù)GroupCallRand,并使用 KDF 函數(shù)由 Kg 和 GroupCallRand 派生出 KgNASEn。，KgNASInt 和 KgeNB。
[0138]步驟304，PDS將KgeNB通知到該次組呼相關(guān)的所有eNB，各eNB應(yīng)用KDF函數(shù)由KgeNB派生出 KgRRCEn。，KgEECInt 和 KgUPEnc。
[0139]步驟305，寬帶集群核心網(wǎng)將GroupCallRand通過控制信道發(fā)送給所有的聽用戶UE’ UE使用KDF函數(shù)由 Kg和GroupCallRand派生出安全管理所需要用到的各級密鑰:KgNASEnc ? KgNASInt，KgeNB，KgRRCEnc , KgRRCInt 和 KgUpEnc。 UE上生成各密鑰的KDF算法的參數(shù)，與寬帶集群系統(tǒng)側(cè)完全一致，因此UE上派生出的各級密鑰與系統(tǒng)側(cè)也完全相同。
[0140]為進(jìn)一步提高組根密鑰的安全性，在上述方案基礎(chǔ)上，引入安全周期，每個安全周期更新一次組根密鑰，并通過密鑰編號保證系統(tǒng)側(cè)和終端側(cè)的組根密鑰的一致，具體的，包括:
[0141]步驟401，在集群組呼建立之前，核心網(wǎng)為每個群組產(chǎn)生并保存一個組根密鑰，此組根密鑰作為組呼的基礎(chǔ)密鑰，基于該組根密鑰可以通過KDF派生出多個對信令或用戶面報文進(jìn)行加解密的密鑰和完整性保護(hù)密鑰；同時還為組根密鑰產(chǎn)生一個密鑰編號，在一個安全周期內(nèi)組根密鑰不發(fā)生變化，密鑰編號也不發(fā)生變化，在超出一個安全周期之后密鑰管理中心為群組產(chǎn)生一個新的組根密鑰時，同步產(chǎn)生一個新的密鑰編號。
[0142]步驟402，由系統(tǒng)側(cè)向群組內(nèi)的終端發(fā)送單呼尋呼，并在系統(tǒng)與群組內(nèi)的終端間建立起點對點的單呼呼叫，單呼呼叫啟用現(xiàn)有標(biāo)準(zhǔn)的安全機制，以在群組內(nèi)的終端與系統(tǒng)間建立起安全的通信通道。
[0143]步驟403，系統(tǒng)啟用標(biāo)準(zhǔn)的單呼加密密鑰對組根密鑰和密鑰編號進(jìn)行加密，然后通過系統(tǒng)與終端間已建立起的單呼安全通道把加密后的組根密鑰和密鑰編號發(fā)送給終端。
[0144]步驟404，終端接收到已加密的組根密鑰和密鑰編號報文后，啟用標(biāo)準(zhǔn)的單呼解密密鑰對報文進(jìn)行解密，從而得到組根密鑰和密鑰編號，并把得到的組根密鑰和密鑰編號存儲于終端中。
[0145]步驟405，終端向系統(tǒng)側(cè)反饋組根密鑰更新成功信息。
[0146]步驟406，釋放系統(tǒng)與組成員終端間點對點的單呼呼叫。
[0147]步驟407，重復(fù)步驟402~步驟406，以對群組中其他組成員進(jìn)行組根密鑰和密鑰編號的同步和更新。
[0148]步驟S208，當(dāng)群組中所有成員都成功完成了組根密鑰的同步更新后，則結(jié)束本次組根密鑰的同步更新流程。
[0149]上述步驟401?408參見圖4，當(dāng)系統(tǒng)側(cè)的密鑰管理中心為一個群組產(chǎn)生一個新的組根密鑰時，按圖4所示步驟對群組內(nèi)所有成員進(jìn)行組根密鑰更新同步。
[0150]步驟409,組呼建立時，由系統(tǒng)側(cè)為本次組呼產(chǎn)生一組呼安全參數(shù),如隨機數(shù)或計數(shù)器等，并通過組呼尋呼消息或廣播消息把密鑰編號連同本次組呼產(chǎn)生的組呼安全參數(shù)廣播給群組內(nèi)的所有成員。
[0151]步驟410，系統(tǒng)側(cè)利用組根密鑰以及本次組呼產(chǎn)生的組呼安全參數(shù)作入?yún)ⅲㄟ^KDF函數(shù)派生出多個加密密鑰和完整性保護(hù)密鑰，并以派生出的加密密鑰和完整性保護(hù)密鑰對本次組呼的信令或用戶面報文進(jìn)行加密和完整性保護(hù)。
[0152]該步驟中，具體如何根據(jù)組根密鑰和組呼安全參數(shù)進(jìn)行派生可參考前述實施例，此處不再贅述。
[0153]步驟411，群組內(nèi)的成員終端接收到系統(tǒng)側(cè)發(fā)送的組呼尋呼消息或廣播消息后，判斷接收到的密鑰編號與終端保存的密鑰編號是否一致，以確定終端保存的組根密鑰與系統(tǒng)在本次組呼時使用的組根密鑰是否一致。
[0154]步驟412，若判斷結(jié)果表明組根密鑰一致，則利用保存在終端中的組根密鑰以及從組呼尋呼消息或廣播消息接收到的組呼安全參數(shù)作入?yún)?，通過KDF派生出多個本次組呼的解密密鑰和完整性保護(hù)密鑰，并以派生出的解密密鑰和完整性保護(hù)密鑰對本次組呼的信令或用戶面報文進(jìn)行完整性判斷和解密。
[0155]步驟413，若判斷結(jié)果表明組根密鑰不一致，成員終端則向系統(tǒng)側(cè)發(fā)起根密鑰同步請求，之后通過執(zhí)行步驟402?步驟406以完成組根密鑰同步更新。
[0156]上述步驟409?413參見圖5，組呼建立時，按圖5所示步驟完成加解密密鑰生成，對組成員終端與系統(tǒng)組根密鑰不一致情況時，也按圖5所示步驟完成組根密鑰的同步。
[0157]下面結(jié)合附圖對本發(fā)明在LTE集群系統(tǒng)中的具體實施作進(jìn)一步說明。
[0158]如圖6所示，在LTE集群系統(tǒng)實施中包括以下步驟進(jìn)行組根密鑰更新:
[0159]步驟601，核心網(wǎng)的密鑰管理中心為一個群組產(chǎn)生一個組根密鑰，并同時產(chǎn)生一個密鑰編號。
[0160]步驟602，核心網(wǎng)通過基站向群組的成員終端發(fā)送單呼尋呼。
[0161]步驟603，在終端、基站、核心網(wǎng)間完成單呼呼叫建立，并啟用標(biāo)準(zhǔn)的安全機制建立起安全的通信通道。
[0162]步驟604，核心網(wǎng)利用單呼時產(chǎn)生的NAS加密密鑰對組根密鑰、密鑰編號、組呼加密算法ID等信息進(jìn)行加密，并使用NAS直傳消息通過基站發(fā)送給終端，終端利用單呼時產(chǎn)生的NAS解密密鑰對NAS內(nèi)容進(jìn)行解密，獲取到組根密鑰、密鑰編號、組呼加密算法ID等信
肩、O
[0163]步驟605，成員終端在解密成功后，通過基站向核心網(wǎng)反饋成功信息。
[0164]步驟606，終端、基站、核心網(wǎng)完成單呼呼叫釋放。
[0165]本發(fā)明實施例還提供一種寬帶集群系統(tǒng)的組密鑰分層管理系統(tǒng)，包括:系統(tǒng)側(cè)網(wǎng)元，所述系統(tǒng)側(cè)網(wǎng)元用于:[0166]為群組生成組根密鑰，將所述組根密鑰下發(fā)給所述群組中的終端；以及，
[0167]在組呼建立時，生成組呼安全參數(shù)，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端；以及，基于所述非接入層密鑰和接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
[0168]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)網(wǎng)元還用于，將所述組根密鑰下發(fā)給所述群組中的終端前，與所述群組中的終端建立非接入層和接入層的安全通道；所述系統(tǒng)側(cè)網(wǎng)元是用于通過所述安全通道將所述組根密鑰下發(fā)給所述群組中的終端。
[0169]在本實施例的一種備選方案中，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰，所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
[0170]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)網(wǎng)元包括:核心網(wǎng)和演進(jìn)的基站，其中:
[0171]所述核心網(wǎng)用于，基于所述組根密鑰和所述組呼安全參數(shù)使用密鑰推導(dǎo)函數(shù)KDF生成所述非接入層密鑰和演進(jìn)的基站密鑰；以及，將所述演進(jìn)的基站密鑰下發(fā)給所述組呼相關(guān)的所述演進(jìn)的基站，
[0172]所述演進(jìn)的基站用于，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
[0173]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)網(wǎng)元為不同群組生成不同的組根密鑰。
[0174]在本實施例的一種備選方案中，所述組呼安全參數(shù)為一隨機數(shù)，或者為一計數(shù)值。
[0175]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)網(wǎng)元還用于:在滿足更新觸發(fā)條件時，更新所述群組的組根密鑰，將更新后的組根密鑰下發(fā)給所述群組中的終端。所述更新觸發(fā)條件包括但不限于:所述群組中的成員變動或者安全周期到達(dá)。
[0176]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)網(wǎng)元還用于:為所述群組生成組根密鑰時，生成密鑰編號；將所述組根密鑰下發(fā)給所述群組中的終端時，還將所述密鑰編號下發(fā)給所述群組中的終端；以及，在組呼建立時，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端時，還將所述密鑰編號下發(fā)給所述群組中的聽用戶終端。
[0177]在本實施例的一種備選方案中，所述系統(tǒng)側(cè)網(wǎng)元還用于，每個安全周期更新一次所述組根密鑰，同時更新所述密鑰編號，并將所述更新后的組根密鑰和更新后的密鑰編號下發(fā)給所述群組中的終端。
[0178]本發(fā)明實施例還提供一種終端，如圖7所示，所述終端包括:
[0179]交互單元701，用于接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰；以及，組呼建立時，接收所述系統(tǒng)側(cè)下發(fā)的組呼安全參數(shù)；
[0180]密鑰生成單元702，用于基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰；
[0181]保護(hù)單元703，用于基于所述非接入層密鑰和所述接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
[0182]在本實施例的一種備選方案中，所述交互單元701還用于，接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰前，與所述系統(tǒng)側(cè)建立非接入層和接入層的安全通道；所述交互單元701是用于通過所述安全通道接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰。
[0183]在本實施例的一種備選方案中，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰；所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
[0184]在本實施例的一種備選方案中，所述密鑰生成單元702基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括:
[0185]所述密鑰生成單元702基于所述組根密鑰和所述組呼安全參數(shù)使用KDF函數(shù)生成非接入層密鑰和演進(jìn)的基站密鑰，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
[0186]在本實施例的一種備選方案中，所述交互單元701還用于:接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰時，還獲取與所述組根密鑰一起下發(fā)的密鑰編號，保存所述組根密鑰和所述密鑰編號；以及，組呼建立時，還接收與所述組呼安全參數(shù)一起下發(fā)的密鑰編號；
[0187]所述密鑰生成單元702還用于，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰前，判斷所述組呼建立時接收到的密鑰編號與本地保存的密鑰編號是否一致，如果一致，才基于所述組根密鑰和所述組呼安全參數(shù)生成所述非接入層密鑰和所述接入層密鑰；否則，向所述系統(tǒng)側(cè)發(fā)起組根密鑰同步請求，從所述系統(tǒng)側(cè)獲取新的組根密鑰和密鑰編號，并基于所述新的組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰。
[0188]本發(fā)明實施例還提供一種包括上述系統(tǒng)側(cè)網(wǎng)元和終端的系統(tǒng)。
[0189]本領(lǐng)域普通技術(shù)人員可以理解上述方法中的全部或部分步驟可通過程序來指令相關(guān)硬件完成，所述程序可以存儲于計算機可讀存儲介質(zhì)中，如只讀存儲器、磁盤或光盤等?？蛇x地，上述實施例的全部或部分步驟也可以使用一個或多個集成電路來實現(xiàn)。相應(yīng)地，上述實施例中的各模塊/單元可以采用硬件的形式實現(xiàn)，也可以采用軟件功能模塊的形式實現(xiàn)。本發(fā)明不限制于任何特定形式的硬件和軟件的結(jié)合。
【權(quán)利要求】
1.一種寬帶集群系統(tǒng)的組密鑰分層管理方法，其特征在于，包括: 系統(tǒng)側(cè)為群組生成組根密鑰，將所述組根密鑰下發(fā)給所述群組中的終端； 在組呼建立時，所述系統(tǒng)側(cè)生成組呼安全參數(shù)，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端; 所述系統(tǒng)側(cè)基于所述非接入層密鑰和接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
2.如權(quán)利要求1所述的方法，其特征在于，所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端前，還包括: 所述系統(tǒng)側(cè)與所述群組中的終端建立非接入層和接入層的安全通道； 所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端包括:所述系統(tǒng)側(cè)通過所述安全通道將所述組根密鑰下發(fā)給所述群組中的終端。
3.如權(quán)利要求1所述的方法，其特征在于，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰，所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
4.如權(quán)利要求1或 3所述的方法，其特征在于，所述系統(tǒng)側(cè)基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括: 核心網(wǎng)基于所述組根密鑰和所述組呼安全參數(shù)使用密鑰推導(dǎo)函數(shù)KDF生成所述非接入層密鑰和演進(jìn)的基站密鑰； 所述核心網(wǎng)將所述演進(jìn)的基站密鑰下發(fā)給所述組呼相關(guān)的演進(jìn)的基站，由所述演進(jìn)的基站基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
5.如權(quán)利要求1所述的方法，其特征在于，所述系統(tǒng)側(cè)為不同群組生成不同的組根密鑰。
6.如權(quán)利要求1所述的方法，其特征在于，所述組呼安全參數(shù)為一隨機數(shù)，或者為一計數(shù)值。
7.如權(quán)利要求1所述的方法，其特征在于，所述方法還包括:在滿足更新觸發(fā)條件時，所述系統(tǒng)側(cè)更新所述群組的組根密鑰，將更新后的組根密鑰下發(fā)給所述群組中的終端。
8.如權(quán)利要求7所述的方法，其特征在于，所述更新觸發(fā)條件包括: 所述群組中的成員變動或者安全周期到達(dá)。
9.如權(quán)利要求1或7所述的方法，其特征在于，所述方法還包括:所述系統(tǒng)側(cè)為所述群組生成組根密鑰時，還生成密鑰編號；所述系統(tǒng)側(cè)將所述組根密鑰下發(fā)給所述群組中的終端時，還將所述密鑰編號下發(fā)給所述群組中的終端； 在組呼建立時，所述系統(tǒng)側(cè)將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端時，還將所述密鑰編號下發(fā)給所述群組中的聽用戶終端。
10.一種寬帶集群系統(tǒng)的組密鑰分層管理方法，其特征在于，包括: 終端接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰； 組呼建立時，所述終端接收所述系統(tǒng)側(cè)下發(fā)的組呼安全參數(shù)； 所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，基于所述非接入層密鑰和所述接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
11.如權(quán)利要求10所述的方法，其特征在于，所述終端接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰前還包括:所述終端與所述系統(tǒng)側(cè)建立非接入層和接入層的安全通道； 所述終端接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰包括:所述終端通過所述安全通道接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰。
12.如權(quán)利要求10所述的方法，其特征在于，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰，所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
13.如權(quán)利要求10至12任一所述的方法，其特征在于，所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括: 所述終端基于所述組根密鑰和所述組呼安全參數(shù)使用KDF函數(shù)生成非接入層密鑰和演進(jìn)的基站密鑰，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
14.如權(quán)利要求10至12任一所述的方法，其特征在于，所述方法還包括: 所述終端接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰時，還獲取與所述組根密鑰一起下發(fā)的密鑰編號，保存所述組根密鑰和所述密鑰編號； 組呼建立時，所述終端還接收與所述組呼安全參數(shù)一起下發(fā)的密鑰編號； 所述終端基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰前還包括:判斷所述組呼建立時接收到的密鑰編號與本地保存的密鑰編號是否一致，如果一致，才基于所述組根密鑰和所述組呼安全參數(shù)生成所述非接入層密鑰和所述接入層密鑰；否則，所述終端向所述系統(tǒng)側(cè)發(fā)起組根密鑰同步請求，從所述系統(tǒng)側(cè)獲取新的組根密鑰和密鑰編號，并基于所述新的組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰。
15.一種寬帶集群系統(tǒng)的組密鑰分層管理系統(tǒng)，其特征在于，包括:系統(tǒng)側(cè)網(wǎng)元，所述系統(tǒng)側(cè)網(wǎng)元用于: 為群組生成組根密鑰，將所述組根密鑰下發(fā)給所述群組中的終端；以及， 在組呼建立時，生成組呼安全參數(shù)，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端；以及，基于所述非接入層密鑰和接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
16.如權(quán)利要求15所述的系統(tǒng)，其特征在于，所述系統(tǒng)側(cè)網(wǎng)元還用于，將所述組根密鑰下發(fā)給所述群組中的終端前，與所述群組中的終端建立非接入層和接入層的安全通道； 所述系統(tǒng)側(cè)網(wǎng)元是用于通過所述安全通道將所述組根密鑰下發(fā)給所述群組中的終端。
17.如權(quán)利要求15所述的系統(tǒng)，其特征在于，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰，所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
18.如權(quán)利要求15至17任一所述的系統(tǒng)，其特征在于，所述系統(tǒng)側(cè)網(wǎng)元包括:核心網(wǎng)和演進(jìn)的基站，其中: 所述核心網(wǎng)用于，基于所述組根密鑰和所述組呼安全參數(shù)使用密鑰推導(dǎo)函數(shù)KDF生成所述非接入層密鑰和演進(jìn)的基站密鑰；以及，將所述演進(jìn)的基站密鑰下發(fā)給所述組呼相關(guān)的所述演進(jìn)的基站， 所述演進(jìn)的基站用于，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
19.如權(quán)利要求15所述的系統(tǒng)，其特征在于，所述系統(tǒng)側(cè)網(wǎng)元為不同群組生成不同的組根密鑰。
20.如權(quán)利要求15所述的系統(tǒng)，其特征在于，所述組呼安全參數(shù)為一隨機數(shù)，或者為一計數(shù)值。
21.如權(quán)利要求15所述的系統(tǒng)，其特征在于，所述系統(tǒng)側(cè)網(wǎng)元還用于:在滿足更新觸發(fā)條件時，更新所述群組的組根密鑰，將更新后的組根密鑰下發(fā)給所述群組中的終端。
22.如權(quán)利要求21所述的系統(tǒng)，其特征在于，所述更新觸發(fā)條件包括: 所述群組中的成員變動或者安全周期到達(dá)。
23.如權(quán)利要求15或21所述的系統(tǒng)，其特征在于，所述系統(tǒng)側(cè)網(wǎng)元還用于:為所述群組生成組根密鑰時，生成密鑰編號；將所述組根密鑰下發(fā)給所述群組中的終端時，還將所述密鑰編號下發(fā)給所述群組中的終端；以及，在組呼建立時，將所述組呼安全參數(shù)下發(fā)給所述群組中的聽用戶終端時，還將所述密鑰編號下發(fā)給所述群組中的聽用戶終端。
24.一種終端，其特征在于，所述終端包括: 交互單元，用于接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰；以及，組呼建立時，接收所述系統(tǒng)側(cè)下發(fā)的組呼安全參數(shù)； 密鑰生成單元，用 于基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰； 保護(hù)單元，用于基于所述非接入層密鑰和所述接入層密鑰對所述組呼的組呼共享信道進(jìn)行保護(hù)。
25.如權(quán)利要求24所述的終端，其特征在于，所述交互單元還用于，接收系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰前，與所述系統(tǒng)側(cè)建立非接入層和接入層的安全通道； 所述交互單元是用于通過所述安全通道接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰。
26.如權(quán)利要求24所述的終端，其特征在于，所述非接入層密鑰包括:非接入層加密密鑰和非接入層完整性保護(hù)密鑰；所述接入層密鑰包括:無線資源控制加密密鑰、無線資源控制完整性保護(hù)密鑰和用戶面數(shù)據(jù)加密密鑰。
27.如權(quán)利要求24至26任一所述的終端，其特征在于，所述密鑰生成單元基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰包括: 所述密鑰生成單元基于所述組根密鑰和所述組呼安全參數(shù)使用KDF函數(shù)生成非接入層密鑰和演進(jìn)的基站密鑰，基于所述演進(jìn)的基站密鑰使用KDF函數(shù)生成所述接入層密鑰。
28.如權(quán)利要求24至26任一所述的終端，其特征在于， 所述交互單元還用于:接收所述系統(tǒng)側(cè)下發(fā)的所述終端所屬群組的組根密鑰時，還獲取與所述組根密鑰一起下發(fā)的密鑰編號，保存所述組根密鑰和所述密鑰編號；以及，組呼建立時，還接收與所述組呼安全參數(shù)一起下發(fā)的密鑰編號； 所述密鑰生成單元還用于，基于所述組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰前，判斷所述組呼建立時接收到的密鑰編號與本地保存的密鑰編號是否一致，如果一致，才基于所述組根密鑰和所述組呼安全參數(shù)生成所述非接入層密鑰和所述接入層密鑰；否則，向所述系統(tǒng)側(cè)發(fā)起組根密鑰同步請求，從所述系統(tǒng)側(cè)獲取新的組根密鑰和密鑰編號，并基于所述新的組根密鑰和所述組呼安全參數(shù)生成非接入層密鑰和接入層密鑰。
29.一種寬帶集群系統(tǒng)的組密鑰分層管理系統(tǒng)，其特征在于，包括如權(quán)利要求23所述的系統(tǒng)側(cè)網(wǎng)元和 權(quán)利要求28所述的終端。
【文檔編號】H04W84/08GK104010276SQ201310061843
【公開日】2014年8月27日 申請日期:2013年2月27日 優(yōu)先權(quán)日:2013年2月27日
【發(fā)明者】李宗政, 張志輝, 趙洪坤, 翟來國, 甘露 申請人:中興通訊股份有限公司