密钥生成方法和设备的制作方法

专利名称：密钥生成方法和设备的制作方法
技术领域：
本发明实施例涉及通信技术领域，尤其涉及一种密钥生成方法和设备。
背景技术：
随着长期演进(Long Term Evolution ;以下简称LTE)的发展,将会出现LTE系统与通用移动通信系统(Universal MobileTelecommunications System;以下简称UMTS)混合组网的场景，在LTE系统与UMTS混合组网的场景下可以利用LTE系统和UMTS联合对用户的业务进行传输，从而提高传输速率。在以基站(evolved NodeB ；以下简称eNB)为锚点的UMTS与LTE系统资源聚合(UMTS LTE Boosting ;以下简称UL Boosting)场景中，LTE系统不变，UMTS的接入网节点无线网络控制器(Radio Network Controller ;以下简称RNC)通过eNB接入到LTE系统的核心网。这种场景中存在UMTS和LTE系统这两个系统的接入网，但是只存在LTE这ー个系统的核心网，用户设备(User Equipment ;以下简称UE)可以同时通过UMTS和LTE系统这两个系统的接入网元将数据传送给核心网，从而提高业务的传输速率。在以eNB为锚点的UL Boosting场景中，RNC和eNB较完整的保留了现存协议，LTE系统和UMTS的数据汇聚于分组数据聚合协议(PacketData Convergence Protocol;以下简称H)CP)层之上。现有技术中，LTE系统和UMTS采用各自的安全协议层对业务数据进行安全保护。但是在以eNB为锚点的UL Boosting场景中，UE通过LTE系统，与核心网进行认证与密钥协商(Authentication and Key Agreement ;以下简称AKA),生成LTE系统的密钥。但是在以eNB为锚点的UL Boosting场景中只存在UMTS的接入网，不存在UMTS的核心网，因此UMTS不能通过与核心网的认证来生成UMTS密钥。如果UMTS没有安全密钥，则在UMTS上传输的数据将不受安全保护，容易被攻击者窃听，安全性较低。

发明内容
本发明实施例提供一种密钥生成方法和设备，以实现在以eNB为锚点的ULBoosting场景中生成UMTS的密钥，提高UMTS上传输的数据的安全性。本发明实施例提供一种密钥生成方法，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括根据所述LTE系统的根密钥和所述LTE系统的计数值，或者根据随机数和所述LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥；将所述UMTS的完整性密钥和加密密钥发送给UMTS的控制节点，以使所述UMTS的控制节点通过所述UMTS的完整性密钥和加密密钥进行加密和完整性保护。本发明实施例还提供一种密钥生成方法，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括LTE系统的接入网节点向UMTS的控制节点发送UMTS密钥推衍指示消息，所述UMTS密钥推衍指示消息携带所述接入网节点生成的随机数，以使所述UMTS的控制节点根据因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥；所述LTE系统的接入网节点根据所述因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥本发明实施例还提供一种密钥生成方法，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括用户设备接收UMTS密钥推衍指示消息；所述用户设备根据所述LTE系统的计数值和所述LTE系统的根密钥，或者根据所述LTE系统的根密钥和所述UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥。本发明实施例还提供一种消息发送方法，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括UMTS的控制节点接收LTE系统的接入网节点发送的所述UMTS的完整性密钥和加密密钥，以及用户设备的安全能力；所述UMTS的控制节点通过所述LTE系统的接入网节点向所述用户设备发送受完整性保护的安全模式命令消息，所述安全模式命令消息携带所述控制节点根据所述用户设备的安全能力选择的完整性算法和加密算法、所述用户设备的安全能力和所述控制节点生成的参数值，以及所述控制节点根据所述UMTS的完整性密钥、所述控制节点生成的参数值、完整性序列号、所述安全模式命令消息和方向标识生成的完整性信息鉴权码。本发明实施例还提供一种核心网节点设备，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括第一生成模块，用于根据所述LTE系统的非接入层根密钥和所述LTE系统当前的非接入层计数值，或者根据所述LTE系统的非接入层根密钥和所述核心网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥；第一发送模块，用于将所述第一生成模块生成的UMTS的完整性密钥和加密密钥发送给UMTS的控制节点设备，以使所述UMTS的控制节点设备通过所述UMTS的完整性密钥和加密密钥进行加密和完整性保护。本发明实施例还提供一种接入网节点设备，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括第二生成模块，用于根据所述LTE系统的接入层根密钥和所述LTE系统的分组数据聚合协议计数值，或者根据所述LTE系统的接入层根密钥和所述接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥；第二发送模块，用于将所述第二生成模块生成的UMTS的完整性密钥和加密密钥发送给UMTS的控制节点设备，以使所述UMTS的控制节点设备通过所述UMTS的完整性密钥和加密密钥进行加密和完整性保护。本发明实施例还提供一种接入网节点设备，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括第三发送模块，用于向UMTS的控制节点设备发送UMTS密钥推衍指示消息，所述UMTS密钥推衍指示消息携带所述接入网节点设备生成的随机数，以使所述UMTS的控制节点设备根据因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥；第三生成模块，用于根据所述因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥。

本发明实施例还提供一种用户设备，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括第四接收模块，用于接收UMTS密钥推衍指示消息；第四生成模块，用于根据所述LTE系统的计数值和所述LTE系统的根密钥，或者根据所述LTE系统的根密钥和所述UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥。本发明实施例还提供一种控制节点设备，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括第五接收模块，用于接收LTE系统的接入网节点设备发送的所述UMTS的完整性密钥和加密密钥，以及用户设备的安全能力；第四发送模块，用于通过所述LTE系统的接入网节点设备向所述用户设备发送受完整性保护的安全模式命令消息，所述安全模式命令消息携带所述控制节点设备根据所述用户设备的安全能力选择的完整性算法和加密算法、所述用户设备的安全能力和所述控制节点设备生成的参数值，以及所述控制节点设备根据所述UMTS的完整性密钥、所述控制节点设备生成的参数值、完整性序列号、所述安全模式命令消息和方向标识生成的完整性信息鉴权码。本发明实施例可以根据LTE系统的根密钥和LTE系统的计数值，或者根据随机数和该LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥；也可以根据因特网协议安全密钥和LTE系统的接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥；从而可以实现在以eNB为锚点的ULBoosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。


为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。图I为本发明密钥生成方法实施例一的流程图；图2为本发明密钥生成方法实施例二的流程图；图3为本发明消息发送方法实施例一的流程图；图4为本发明密钥生成方法实施例三的流程图；图5为本发明密钥生成方法实施例四的流程图；图6为本发明密钥生成方法实施例五的流程图；图7为本发明密钥生成方法实施例六的流程图；图8为本发明密钥生成方法实施例七的流程图9为本发明密钥生成方法实施例八的流程图；图10为本发明消息发送方法实施例ニ的流程图；图11为本发明核心网节点设备实施例一的结构示意图；图12为本发明核心网节点设备实施例ニ的结构示意图；图13为本发明接入网节点设备实施例一的结构示意图；图14为本发明接入网节点设备实施例ニ的结构示意图；图15为本发明接入网节点设备实施例三的结构示意图；图16为本发明接入网节点设备实施例四的结构示意图；图17为本发明用户设备实施例一的结构示意图；图18为本发明控制节点设备实施例一的结构示意图。
具体实施例方式为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。图1为本发明密钥生成方法实施例一的流程图，本实施例提供的密钥生成方法可以应用在UL Boosting场景中。如图I所示，该密钥生成方法可以包括步骤101，根据LTE系统的根密钥和LTE系统的计数值，或者根据随机数和该LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥。步骤102，将UMTS的完整性密钥和加密密钥发送给UMTS的控制节点，以使该UMTS的控制节点通过UMTS的完整性密钥和加密密钥进行加密和完整性保护。本实施例的一种实现方式中，LTE系统的根密钥可以为LTE系统的非接入层根密钥，LTE系统的计数值可以为该LTE系统当前的非接入层计数值，则根据LTE系统的根密钥和LTE系统的计数值，或者根据随机数和该LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥之前，核心网节点可以接收LTE系统的接入网节点发送的UMTS密钥推衍指示消息；根据LTE系统的根密钥和LTE系统的计数值，或者根据随机数和该LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥可以为核心网节点根据LTE系统当前的非接入层计数值和LTE系统的非接入层根密钥，或者根据LTE系统的非接入层根密钥和核心网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。本实现方式中，核心网节点接收LTE系统的接入网节点发送的UMTS密钥推衍指示消息之后，核心网节点可以向用户设备发送UMTS密钥推衍指示消息，以使该用户设备根据LTE系统当前的非接入层计数值和LTE系统的非接入层根密钥，或者根据LTE系统的非接入层根密钥和UMTS密钥推衍指示消息中携帯的随机数推衍生成UMTS的完整性密钥和加密密钥。另外，本实现方式中，核心网节点根据LTE系统当前的非接入层计数值和LTE系统的非接入层根密钥，或者根据LTE系统的非接入层根密钥和核心网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥之后，该核心网节点也可以通过非接入层消息将UMTS的完整性密钥和加密密钥发送给用户设备，以使该用户设备存储UMTS的完整性密钥和加密密钥。本实现方式中，将UMTS的完整性密钥和加密密钥发送给UMTS的控制节点可以为核心网节点将UMTS的完整性密钥和加密密钥发送给LTE系统的接入网节点，以使该LTE系统的接入网节点将UMTS的完整性密钥和加密密钥发送给UMTS的控制节点，再由UMTS的控制节点保存该UMTS的完整性密钥和加密密钥。本实现方式中，当UMTS密钥生命周期达到预设的阈值时，核心网节点可以在接收到用户设备发送的UMTS密钥更新请求消息之后，根据LTE系统当前的非接入层计数值和该LTE系统的非接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者，当UMTS密钥生命周期达到预设的阈值时，核心网节点可以在接收到用户设备发送的UMTS密钥更新请求消息之后，生成新的随机数，并根据新的随机数和LTE系统的非接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者，当UMTS密钥生命周期达到预设的阈值时，接收到用户设备的通知之后，可以通过重新进行认证与密钥协商过程，重新推衍生成UMTS的完整性密钥和加密密钥。本实施例的另ー种实现方式中，LTE系统的根密钥可以为LTE系统的接入层根密钥，LTE系统的计数值可以为LTE系统的分组数据聚合协议计数值，根据LTE系统的根密钥和该LTE系统的计数值，或者根据随机数和该LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥可以为LTE系统的接入网节点根据LTE系统的接入层根密钥和该LTE系统的分组数据聚合协议计数值，或者根据LTE系统的接入层根密钥和该接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。本实现方式中，根据LTE系统的根密钥和该LTE系统的计数值，或者根据随机数和该LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥之前，LTE系统的接入网节点可以向用户设备发送UMTS密钥推衍指示消息，以使该用户设备可以根据LTE系统的接入层根密钥和该LTE系统的分组数据聚合协议计数值，或者根据LTE系统的接入层根密钥和UMTS密钥推衍指示消息中携帯的接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。本实现方式中，LTE系统的接入网节点根据LTE系统的接入层根密钥和该LTE系统的分组数据聚合协议计数值，或者根据LTE系统的接入层根密钥和该接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥之后，LTE系统的接入网节点也可以通过受加密和完整性保护的接入层消息将上述UMTS的完整性密钥和加密密钥发送给用户设备，以使该用户设备存储UMTS的完整性密钥和加密密钥。本实现方式中，将UMTS的完整性密钥和加密密钥发送给UMTS的控制节点可以为LTE系统的接入网节点将UMTS的完整性密钥和加密密钥发送给UMTS的控制节点，以使该UMTS的控制节点保存UMTS的完整性密钥和加密密钥。本实现方式中，当分组数据聚合协议计数值溢出或者用户设备从空闲状态进入连接状态时，该LTE系统的接入网节点可以根据LTE系统的分组数据聚合协议计数值和该接入网节点更新后的接入层根密钥，或者根据接入网节点更新后的接入层根密钥和该接入网节点新生成的随机数推衍生成UMTS 的完整性密钥和加密密钥；或者，当UMTS密钥生命周期达到预设的阈值时，该LTE系统的接入网节点可以在接收到用户设备发送的UMTS密钥更新请求消息之后，生成新的随机数，并根据新的随机数和接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者，
当UMTS密钥生命周期达到预设的阈值时，可以在接收到用户设备的通知之后，通过重新进行认证与密钥协商过程，重新推衍生成UMTS的完整性密钥和加密密钥。本实施例上述两种实现方式中，UMTS的控制节点可以在接收UMTS的完整性密钥和加密密钥的过程中，还接收用户设备的安全能力，然后UMTS的控制节点可以向用户设备发送受完整性保护的安全模式命令消息，该安全模式命令消息携带该控制节点根据该用户设备的安全能力选择的完整性算法和加密算法、用户设备的安全能力和该控制节点生成的参数值，以及该控制节点根据UMTS的完整性密钥、该控制节点生成的参数值、完整性序列号、该安全模式命令消息和方向标识生成的完整性信息鉴权码。然后，控制节点可以接收用户设备发送的受完整性保护的安全模式命令完成消息，该安全模式命令完成消息是用户设备接收到安全模式命令消息之后，根据用户设备的UMTS的完整性密钥、完整性序列号、方向标识、上述安全模式命令消息和该安全模式命令消息中携带的参数值生成完整性信息鉴权码，并在确定用户设备生成的完整性信息鉴权码与上述安全模式命令消息中携带的完整性信息鉴权码一致，且该安全模式命令消息中携带的用户设备的安全能力与该用户设备自身的安全能力一致后发送给上述控制节点的。另外，UMTS的控制节点可以在接收UMTS的完整性密钥和加密密钥的过程中，还接收用户设备的安全能力，然后UMTS的控制节点可以通过LTE系统的接入网节点向用户设备发送受完整性保护的安全模式命令消息，该安全模式命令消息携带该控制节点根据用户设备的安全能力选择的完整性算法和加密算法、用户设备的安全能力和该控制节点生成的参数值，以及该控制节点根据UMTS的完整性密钥、该控制节点生成的参数值、完整性序列号、该安全模式命令消息和方向标识生成的完整性信息鉴权码。然后，控制节点可以接收用户设备通过LTE系统的接入网节点发送的受完整性保护的安全模式命令完成消息，该安全模式命令完成消息是用户设备接收到安全模式命令消息之后，根据用户设备的UMTS的完整性密钥、完整性序列号、方向标识、上述安全模式命令消息和该安全模式命令消息中携带的参数值生成完整性信息鉴权码，并在确定用户设备生成的完整性信息鉴权码与上述安全模式命令消息中携带的完整性信息鉴权码一致，且该安全模式命令消息中携带的用户设备的安全能力与该用户设备自身的安全能力一致后通过LTE系统的接入网节点发送给UMTS的控制节点的。上述实施例中，核心网节点或接入网节点可以根据LTE系统的根密钥和LTE系统的计数值，或者根据随机数和该LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥，从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。本发明实施例中，接入网节点可以为具有接入功能的节点，例如基站等，其中该基站可以包括eNB，该eNB可以为普通的宏基站，也可以是一些小型基站，包括家庭基站(Home enhanced NodeB ;以下简称HeNB/HomeNodeB ;以下简称HNB)或中继站(RelayNode ;以下简称RN)等等；核心网节点可以为提供核心网功能的节点，例如移动管理实体(MobilityManagement Entity ;以下简称MME)等；UMTS的控制节点可以为具有控制功能的实体，例如=RNC等；本发明实施例对接入网节点、UMTS的控制节点和核心网节点的具体形式不作限定。但本发明以下实施例以LTE系统的接入网节点为eNB、核心网节点为MME、UMTS的控制节点为RNC为例进行说明；本发明以下实施例提供的方法均可应用于UL Boosting场景中。图2为本发明密钥生成方法实施例二的流程图，如图2所示，该密钥生成方法可以包括 步骤201，UE向MME发送附着请求消息，请求接入LTE网络。步骤202，UE与MME之间进行LTE AKA的流程，完成UE与MME之间的双向认证，生成LTE系统的密钥。其中，该LTE系统的密钥可以包括LTE系统的非接入层(Non AccessStratum ;以下简称NAS)根密钥，该NAS根密钥保存在UE与MME中。步骤203，UE与MME认证成功之后，MME向eNB分配演进通用陆地无线接入网无线接入7承载(Evolved Universal Terrestrial Radio Access NetworkRadio AccessBearer ;以下简称E_RAB)。步骤204，eNB根据分配的E-RAB选择LTE系统和UMTS的无线接入技术(RadioAccess Technology ;以下简称RAT)。步骤205，建立UE与eNB之间的演进通用陆地无线接入网无线承载(EvolvedUniversal Terrestrial Radio Access Network Radio Bearer ;以下简称E-RB)。步骤206，UE对可能协作的UMTS小区进行测量，获得测量报告，并将测量报告发送给 eNB ο步骤207，eNB根据UE上报的UMTS小区的测量结果，选择参与聚合的RNC。步骤208，eNB向RNC发送重配置请求消息。步骤209，建立UE与RNC之间的无线承载(Radio Bearer ；以下简称RB)。 步骤210，eNB向MME发送UMTS密钥推衍指示消息。步骤211，接收到UMTS密钥推衍指示消息之后，MME推衍UMTS的完整性密钥(Integrity Key;以下简称IK)和加密密钥(Cipher Key ;以下简称CK)。具体可以采用如下几种方法a)根据NAS根密钥(Kasme)和LTE系统当前的非接入层计数值(NonAccessStratum Count+1 ;以下简称NAS Count+1)推衍生成 UMTS 密钥 IK 和 CK,即 IK| |CK =KDF (Kasme, NAS Count+1),其中 KDF 为密钥推衍函数(Key Derivation Function)的缩写；或者，b) MME生成一个随机数(Nonce)，然后根据Kasme和Nonce推衍生成UMTS密钥IK和CK，即IK CK = KDF (Kasme, Nonce);然后在步骤212中，MME将Nonce值附带在UMTS密钥推衍指示消息中发送给UE。另外，本实施例步骤211中，MME收到来自eNB的UMTS密钥推衍指示消息之后，也可以不进行任何处理。步骤212，MME向UE发送UMTS密钥推衍指示消息。具体地，如果MME在步骤211中未进行任何处理，则MME在发送UMTS密钥推衍指示消息给UE后，还需要在本地推衍UMTS密钥IK和CK,即IK | | CK = KDF (Kasme, NAS Count)。步骤213，UE收到UMTS密钥推衍指示消息后，推衍UMTS密钥CK和IK。具体可以采用以下两种方法
a)根据Kasme和LTE系统当前的非接入层计数值(NAS Count)推衍生成UMTS密钥 IK 和 CK,即 IK CK = KDF (Kasme, NAS Count);或者，b) UE 根据 Kasme 和 Nonce 推衍生成 UMTS 密钥 IK 和 CK,即 IK | | CK = KDF (Kasme,Nonce)；需要说明的是，如果MME在步骤211中推衍UMTS密钥时使用的非接入层计数值是(NAS Count+1)，则UE在步骤213中推衍UMTS密钥时需要使用非接入层计数值(NASCount)，这样可以使得MME和UE在推衍UMTS密钥时使用相同的非接入层计数值，可以使MME和UE推衍的UMTS密钥保持同步。步骤214，MME将推衍生成的IK和CK发送给eNB。步骤215, eNB 将 IK、CK 和 UE 安全能力(UE security capability)发送给 RNC。步骤216，RNC存储接收到的IK和CK。步骤217, RNC向UE发送安全模式命令(Security Mode Command ;以下简称SMC)消息，该SMC消息中携带有RNC根据UE安全能力选择的加密和完整性算法、该RNC生成的参数值(Fresh)和UE安全能力，以及根据IK、完整性序列号、SMC消息、方向标识(direction)和Fresh,通过F9算法计算生成的完整性信息鉴权码(Message Authentication Code forIntegrity ；以下简称MAC_I)，该SMC消息受完整性保护。步骤218，UE收到SMC消息后，检查MAC-I和UE安全能力。具体地，UE接收到SMC消息之后，可以根据该UE的IK、完整性序列号、方向标识、该SMC消息和该SMC消息中携带的参数值(Fresh)，通过F9算法生成完整性信息鉴权码(XMessage Authentication Code for Integrity ;以下简称XMAC_I),然后通过比较XMAC-I与SMC消息中携带的MAC-I是否相等来确定该SMC消息是否完整，当XMAC-I与SMC消息中携带的MAC-I相等时，UE可以确定该SMC消息完整。并且UE还会检查该SMC消息中携带的UE安全能力和该UE自身的安全能力是否一致。当UE确定SMC消息完整，且该SMC消息中携带的UE安全能力和该UE自身的安全能力一致之后，执行步骤219 ;如果UE确定SMC消息不完整，或者该SMC消息中携带的UE安全能力和该UE自身的安全能力不一致，则结束本次流程。步骤219，UE向MME发送SMC完成消息，该SMC完成消息受完整性保护。本实施例中，在以下情况下，UMTS密钥需要进行更新I)当UMTS密钥生命周期(START)值达到预设的阈值时，UE通知网络侧进行新的AKA过程，重新推衍UMTS密钥IK和CK ；2)当UMTS密钥生命周期(START)值达到预设的阈值时，UE向MME发送UMTS密钥更新请求消息，MME收到该UMTS密钥更新请求消息之后，根据LTE系统当前的非接入层计数值(NAS Count/(NAS Count+1))和 Kasme 生成新的 UMTS 密钥 IK 和 CK ；3)当UMTS密钥生命周期(START)值达到预设的阈值时，UE向MME发送UMTS密钥更新请求消息，MME收到该UMTS密钥更新请求消息之后，生成新的随机数Nonce，并根据这个新的Nonce和Kasme生成新的UMTS密钥IK和CK。
上述实施例中，MME和UE可以根据LTE系统当前的非接入层计数值和LTE系统的非接入层根密钥(Kasme)，或者根据LTE系统的非接入层根密钥(Kasme)和MME生成的随机数推衍生成UMTS密钥IK和CK，从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得UE可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。本发明图2所示实施例中，LTE系统和UMTS各自有各自的无线信令承载(Signaling Radio Bearer ；以下简称SRB)，当 LTE 系统和 UMTS 共用ー个 SRB 时，SMC 消息的发送流程如图3所示 ，图3为本发明消息发送方法实施例一的流程图，如图3所示，可以包括步骤301，RNC向eNB发送SMC消息，该SMC消息中携带有RNC根据UE安全能力选择的加密和完整性算法、该RNC生成的參数值(Fresh)和UE安全能力，以及根据IK、完整性序列号、SMC消息、方向标识和Fresh，通过F9算法计算生成的MAC-I ;其中，该SMC消息受完整性保护。步骤302，eNB将上述SMC消息发送给UE，该SMC消息中携带有RNC根据UE安全能力选择的加密和完整性算法、该RNC生成的參数值(Fresh)和UE安全能力，以及根据IK、完整性序列号、SMC消息、方向标识和Fresh，通过F9算法计算生成的MAC-I。步骤303，UE检查MAC-I和UE安全能力。具体地，UE接收到SMC消息之后，可以根据该UE的IK、完整性序列号、方向标识、该SMC消息和该SMC消息中携带的參数值(Fresh)，通过F9算法生成XMAC-I，然后通过比较XMAC-I与SMC消息中携带的MAC-I是否相等来确定该SMC消息是否完整，当XMAC-I与SMC消息中携带的MAC-I相等吋，UE可以确定该SMC消息完整。并且UE还会检查该SMC消息中携帯的UE安全能力和该UE自身的安全能力是否一致。当UE确定SMC消息完整，且该SMC消息中携带的UE安全能力和该UE自身的安全能力一致之后，执行步骤304及其后续步骤；如果UE确定SMC消息不完整，或者该SMC消息中携帯的UE安全能力和该UE自身的安全能力不一致，则结束本次流程。 步骤304，UE向eNB发送SMC完成消息，该SMC完成消息受完整性保护。步骤305，eNB将SMC完成消息发送给RNC，该SMC完成消息受完整性保护。上述实施例中，RNC通过eNB向UE发送SMC消息，并接收UE通过eNB发送的SMC完成消息，从而可以实现当LTE系统和UMTS共用ー个SRB时，RNC与UE之间可以进行SMC流程，协商加密和完整性算法。图4为本发明密钥生成方法实施例三的流程图，本实施例中，MME将推衍生成的UMTS密钥IK和CK通过NAS消息直接发送给UE，UE无须再推衍UMTS密钥。如图4所示，该密钥生成方法可以包括步骤401，UE向MME发送附着请求消息，请求接入LTE网络。步骤402，UE与MME之间进行LTE AKA的流程，完成UE与MME之间的双向认证，生成LTE系统的密钥。其中，LTE系统的密钥可以包括LTE系统的NAS根密钥，该NAS根密钥保存在UE与MME 中。步骤403，认证成功后，MME向eNB分配E-RAB。
步骤404，eNB根据分配的E-RAB选择LTE系统和UMTS的RAT。步骤405，建立UE与eNB之间的E-RB。步骤406，UE对可能协作的UMTS小区进行测量，获得测量报告，并将测量报告发送给 eNB ο步骤407，eNB根据UE上报的UMTS小区的测量结果，选择参与聚合的RNC。步骤408，eNB向RNC发送重配置请求消息。步骤409，建立UE与RNC之间的RB。 步骤410，eNB向MME发送UMTS密钥推衍指示消息。步骤411，接收到UMTS密钥推衍指示消息之后，MME推衍UMTS密钥IK和CK。具体可以采用如下几种方法a)根据NAS根密钥(Kasme)和当前的非接入层计数值(NAS Count)推衍生成UMTS密钥 IK 和 CK,即 IK CK = KDF (Kasme, NAS Count);或者，b) MME生成一个随机数(Nonce)，然后根据Kasme和Nonce推衍生成UMTS密钥IK和 CK,即 IKI I CK = KDF (Kasme, Nonce)。步骤412，MME通过NAS消息将UMTS密钥IK和CK发送给UE，该NAS消息受加密和完整性保护。步骤413，UE收到NAS消息后，存储UMTS密钥IK和CK。步骤414，MME将推衍生成的UMTS密钥IK和CK发送给eNB。步骤415，eNB将UMTS密钥IK、CK和UE安全能力发送给RNC。步骤416，RNC存储接收到的UMTS密钥IK和CK。步骤417，RNC向UE发送SMC消息，该SMC消息中携带有RNC选择的加密和完整性算法、该RNC生成的参数值(Fresh)和UE安全能力，以及根据IK、完整性序列号、SMC消息、方向标识和Fresh，通过F9算法计算生成的MAC-I，该SMC消息受完整性保护。步骤418，UE收到SMC消息后，检查MAC-I和UE安全能力。具体地，UE接收到SMC消息之后，可以根据该UE的IK、完整性序列号、方向标识、该SMC消息和该SMC消息中携带的参数值(Fresh)，通过F9算法生成XMAC-I，然后通过比较XMAC-I与SMC消息中携带的MAC-I是否相等来确定该SMC消息是否完整，当XMAC-I与SMC消息中携带的MAC-I相等时，UE可以确定该SMC消息完整。并且UE还会检查该SMC消息中携带的UE安全能力和该UE自身的安全能力是否一致。当UE确定SMC消息完整，且该SMC消息中携带的UE安全能力和该UE自身的安全能力一致之后，执行步骤419 ;如果UE确定SMC消息不完整，或者该SMC消息中携带的UE安全能力和该UE自身的安全能力不一致，则结束本次流程。步骤419，UE向MME发送SMC完成消息，该SMC完成消息受完整性保护。本实施例在以下情况下，UMTS密钥需要进行更新I)当UMTS密钥生命周期(START)值达到预设的阈值时，UE通知网络侧进行新的AKA过程，重新推衍UMTS密钥IK和CK ；2)当UMTS密钥生命周期值达到预设的阈值时，UE向MME发送UMTS密钥更新请求消息，MME收到该UMTS密钥更新请求消息之后，根据LTE系统当前的非接入层计数值(NASCount)和Kasme生成新的UMTS密钥IK和CK ；
3)当UMTS密钥生命周期值达到预设的阈值吋，UE向MME发送UMTS密钥更新请求消息，MME收到该UMTS密钥更新请求消息之后，生成新的随机数Nonce，并根据这个新的Nonce和Kasme生成新的UMTS密钥IK和CK。本发明图4所示实施例中，LTE和UMTS各自有各自的SRB，当LTE和UMTS共用一个SRB吋，SMC消息的发送流程可以如图3所示，在此不再赘述。上述实施例中，MME可以根据LTE系统当前的非接入层计数值和LTE系统的非接入层根密钥(Kasme)，或者 根据LTE系统的非接入层根密钥(Kasme)和MME生成的随机数推衍生成UMTS密钥IK和CK，然后MME可以将UMTS密钥IK和CK发送给UE’从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得UE可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图5为本发明密钥生成方法实施例四的流程图，如图5所示，该密钥生成方法可以包括步骤501，UE向MME发送附着请求消息，请求接入LTE网络。步骤502，UE与MME之间进行LTE AKA的流程，完成UE与MME之间的双向认证，生成LTE系统的密钥。本实施例中，该LTE系统的密钥可以包括LTE系统的接入层根密钥。步骤503，认证成功后，MME向eNB分配E-RAB。 步骤504，eNB根据分配的E-RAB选择LTE系统和UMTS的MT。步骤505，建立UE与eNB之间的E-RB。步骤506，UE对可能协作的UMTS小区进行测量，获得测量报告，并将測量报告发送给 eNB ο步骤507，eNB根据UE上报的UMTS小区的测量结果，选择參与聚合的RNC。步骤508，eNB向RNC发送重配置请求消息。步骤509，建立UE与RNC之间的RB。步骤510，eNB向UE发送UMTS密钥推衍指示消息，指示UE开始推衍UMTS密钥。可选地，eNB可以通过UMTS密钥推衍指示消息将该eNB生成的Nonce值发送给UE。步骤511，eNB推衍UMTS密钥IK和CK。具体可以采用以下几种方法a)根据LTE系统的接入层根密钥(KeNB)和TOCP计数值(H)CP Count)推衍生成UMTS 密钥 IK 和 CK，即 IKI I CK = KDF (KeNB, PDCP Count)；b) eNB生成ー个Nonce值，然后根据KeNB和Nonce值推衍生成UMTS的密钥IK和CK,即 IKI I CK = KDF (KeNB, Nonce)。步骤512，接收到UMTS密钥推衍指示消息之后，UE推衍UMTS密钥IK和CK。具体可以采用以下几种方法a)根据 KeNB 和 PDCP Count 值推衍生成 UMTS 密钥 IK 和 CK,即 IK | | CK = KDF (KeNB，PDCP Count);或者，b)根据 KeNB 和 Nonce 值推衍生成 UMTS 密钥 IK 和 CK，即 IK | | CK = KDF (KeNB，Nonce)。步骤513，eNB将推衍生成的UMTS密钥IK、CK和UE安全能力发送给RNC。步骤514，RNC 存储 UMTS 密钥 IK 和 CK。步骤515，RNC向UE发送SMC消息，该SMC消息中携带有RNC根据UE安全能力选择的加密和完整性算法、该RNC生成的参数值(Fresh)和UE安全能力，以及根据IK、完整性序列号、SMC消息、方向标识和Fresh，通过F9算法计算生成的MAC-I，该SMC消息受完整性保护。步骤516，UE收到SMC消息之后，检查MAC-I和UE安全能力。具体地，UE接收到SMC消息之后，可以根据该UE的IK、完整性序列号、方向标识、该SMC消息和该SMC消息中携带的参数值(Fresh)，通过F9算法生成XMAC-I，然后通过比较XMAC-I与SMC消息中携带的MAC-I是否相等来确定该SMC消息是否完整，当XMAC-I与SMC消息中携带的MAC-I相等时，UE可以确定该SMC消息完整。并且UE还会检查该SMC消息中携带的UE安全能力和该UE自身的安全能力是否一致。当UE确定SMC消息完整，且该SMC消息中携带的UE安全能力和该U E自身的安全能力一致之后，执行步骤517 ;如果UE确定SMC消息不完整，或者该SMC消息中携带的UE安全能力和该UE自身的安全能力不一致，则结束本次流程。 步骤517，UE向RNC发送SMC完成消息，该SMC完成消息受完整性保护。本实施例以下情况下，UMTS密钥需要更新I)当UMTS密钥生命周期(START)值达到预设的阈值时，UE通知网络侧进行新的AKA过程，重新推衍UMTS密钥IK和CK ；2)当LTE系统的HXP Count值溢出时，KeNB需要更新，此时UMTS密钥也进行更新；3) UE从空闲(Idle)状态进入连接(connected)状态时，LTE系统的KeNB需要进行更新，此时UMTS密钥也进行更新；4)当UMTS密钥生命周期值达到预设的阈值时，UE向eNB发送UMTS密钥更新请求消息，eNB收到该UMTS密钥更新请求消息之后生成新的Nonce值，然后根据新的Nonce值和ΚεΝΒ重新推衍生成新的UMTS密钥IK和CK。上述实施例中，eNB和UE可以根据TOCP计数值和LTE系统的接入层根密钥(KeNB)，或者根据LTE系统的接入层根密钥(KeNB)和eNB生成的随机数推衍生成UMTS密钥IK和CK，从而可以实现在以eNB为锚点的ULBoosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得UE可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。本发明图5所示实施例中，eNB和UE可以分别推衍生成UMTS密钥IK和CK，也可以在eNB中推衍出UMTS密钥IK和CK，然后通过接入层(AccessStratum ;以下简称AS)消息下发给UE，如图6所示，图6为本发明密钥生成方法实施例五的流程图，该密钥生成方法可以包括步骤601，eNB根据LTE系统的接入层根密钥(KeNB)推衍生成UMTS密钥IK和CK。具体地，eNB在推衍UMTS密钥IK和CK时有如下几种方法 a)根据KeNB和PDCP计数值(PDCP Count)推衍生成UMTS密钥IK和CK,即IK | | CK=KDF (KeNB, PDCP Count)；b) eNB生成一个Nonce值，然后根据KeNB和Nonce值推衍生成UMTS的密钥IK和CK,即 IKI I CK = KDF (KeNB, Nonce)。步骤602，eNB通过AS消息将推衍生成的UMTS密钥IK和CK发送给UE，该AS消息受加密和完整性保护。
步骤603，UE存储UMTS密钥IK和CK。步骤604，eNB将推衍生成的UMTS密钥IK、CK和UE安全能力发送给RNC。步骤605，RNC 存储 UMTS 密钥 IK 和 CK。本实施例中，步骤602 步骤603与步骤604 步骤605可以先后执行，也可以并行执行。步骤606 步骤608，同步骤515 步骤517，在此不再赘述。本发明图5和图6所示实施例中，LTE系统和UMTS各自有各自的SRB，当LTE系统和UMTS共用一个SRB时，SMC消息的发送流程可以如图3所示，在此不再赘述。上述实施例中，eNB可以根据TOCP计数值和LTE系统的接入层根密钥(KeNB)，或者根据LTE系统的接入层根密钥(KeNB)和eNB生成的随机数推衍生成UMTS密钥IK和CK，然后eNB可以将UMTS密钥IK和CK发送给UE’从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得UE可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图7为本发明密钥生成方法实施例六的流程图，如图7所示，该密钥生成方法可以包括步骤701，LTE系统的接入网节点向UMTS的控制节点发送UMTS密钥推衍指示消息，该UMTS密钥推衍指示消息携带接入网节点生成的随机数，以使该控制节点根据因特网协议安全密钥和上述随机数推衍生成UMTS的完整性密钥和加密密钥。步骤702，LTE系统的接入网节点根据该因特网协议安全密钥和上述随机数推衍生成UMTS的完整性密钥和加密密钥。本实施例中，LTE系统的接入网节点根据因特网协议安全密钥和上述随机数推衍生成UMTS的完整性密钥和加密密钥之后，该LTE系统的接入网节点还可以通过受加密和完整性保护的接入层消息将上述UMTS的完整性密钥和加密密钥发送给用户设备，以使该用户设备存储上述UMTS的完整性密钥和加密密钥。本实施例中，接入网节点向UMTS的控制节点发送UMTS密钥推衍指示消息之前，该LTE系统的接入网节点还可以与UMTS的控制节点进行基于证书的认证过程，以生成上述因特网协议安全密钥和随机数。本实施例中，当UMTS密钥生命周期(START)值达到预设的阈值时，LTE系统的接入网节点可以在接收到用户设备发送的UMTS密钥更新请求消息之后，生成新的随机数，然后根据新的随机数和因特网协议安全密钥重新推衍生成UMTS的完整性密钥和加密密钥。另外，本实施例中，接入网节点通过接入层消息将上述UMTS的完整性密钥和加密密钥发送给用户设备之后，UMTS的控制节点可以向用户设备发送安全模式命令消息，该安全模式命令消息携带该控制节点根据用户设备的安全能力选择的完整性算法和加密算法、用户设备的安全能力和该控制节点生成的参数值，以及该控制节点根据UMTS的完整性密钥、该控制节点生成的参数值、完整性序列号、该安全模式命令消息和方向标识生成的完整性信息鉴权码；其中，上述安全模式命令消息受完整性保护。然后，控制节点可以接收用户设备发送的安全模式命令完成消息，该安全模式命令完成消息是用户设备接收到安全模式命令消息之后，根据用户设备的UMTS的完整性密钥、完整性序列号、方向标识、上述安全模式命令消息和该安全模式命令消息中携带的参数值生成完整性信息鉴权码，并在确定用户设备生成的完整性信息鉴权码与上述安全模式命令消息中携帯的完整性信息鉴权码一致，且该安全模式命令消息中携帯的用户设备的安全能力与该用户设备自身的安全能力一致后发送给上述控制节点的；其中，该安全模式命令完成消息受完整性保护另外，本实施例中，接入网节点通过接入层消息将上述UMTS的完整性密钥和加密密钥发送给用户设备之后，UMTS的控制节点也可以通过LTE系统的接入网节点向用户设备发送安全模式命令消息，该安全模式命令消息携带该控制节点根据用户设备的安全能力选择的完整性算法和加密算法、用户设备的安全能力和该控制节点生成的參数值，以及该控制节点根据UMTS的完整性密钥、该控制节点生成的參数值、完整性序列号、该安全模式命令消息和方向标识生成的完整性信息鉴权码；其中，上述安全模式命令消息受完整性保护。然后，UMTS的控制节点可以接收用户设备通过LTE系统的接入网节点发送的安全模式命令完成消息，该安全模式命令完成消息是用户设备接收到安全模式命令消息之后，根据用户设备的UMTS的完整性密钥、完整性序列号、方向标识、上述安全模式命令消息和该安全模式命令消息中携帯的參数值生成完整性信息鉴权码，并在确定用户设备生成的完整性信息鉴权码与上述安全模式命令消息中携帯的完整性信息鉴权码一致，且该安全模式命令消息中携帯的用户设备的安全能力与该用户设备自身的安全能力一致后通过LTE系统的接入网节点发送给控制节点的；其中，该安全模式命令完成消息受完整性保护。上述实施例中，LTE系统的接入网节点可以根据因特网协议安全密钥和该LTE系统的接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥，从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图8为本发明密钥生成方法实施例七的流程图，本实施例假设eNB和RNC之间的连接是不安全的，需要基于证书的认证，进而建立安全通道，产生因特网协议安全密钥
KlPsec °如图8所示，该密钥生成方法可以包括步骤801，UE向MME发送附着请求消息，请求接入LTE网络。步骤802，UE与MME之间进行LTE AKA的流程，完成UE与MME之间的双向认证，生成LTE系统的密钥。步骤803，认证成功后，MME向eNB分配E-RAB。步骤804，eNB根据分配的E-RAB选择LTE系统和UMTS的MT。步骤805，建立UE与eNB之间的E-RB。步骤806，UE对可能协作的UMTS小区进行测量，获得测量报告，并将測量报告发送给 eNB ο步骤807，eNB根据UE上报的UMTS小区的测量结果，选择參与聚合的RNC。步骤808，eNB和RNC之间需要进行基于证书的认证过程，以保证eNB和RNC之间的通道是安全的。步骤809，通过eNB和RNC之间的认证过程，eNB生成因特网协议安全密钥(Kipsec)，并生成一个随机数Nonce。步骤810，通过eNB和RNC之间的认证过程，RNC也生成KIPsec。
本实施例中，步骤809与步骤810可以先后执行，也可以并行执行。
步骤811，建立UE与RNC之间的RB。步骤812，eNB向RNC发送UMTS密钥推衍指示消息，该UMTS密钥推衍指示消息中携带有随机数Nonce。步骤813，RNC收到随机数Nonce后，根据Kipsee和随机数Nonce推衍生成UMTS密钥 IK 和 CK，即 IKI I CK = KDF (KIPsec, Nonce)。步骤814，eNB根据Kipsee和随机数Nonce推衍生成UMTS密钥IK和CK。步骤815，eNB将推衍生成的UMTS密钥IK和CK通过AS消息发送给UE，该AS消息受加密和完整性保护。步骤816，UE存储接收到的UMTS密钥IK和CK。步骤817，RNC向UE发送SMC消息，该SMC消息中携带有RNC根据UE安全能力选择的加密和完整性算法、生成的参数值(Fresh)和UE安全能力，以及根据IK、完整性序列号、SMC消息、方向标识和Fresh，通过F9算法计算生成的MAC-I，同时该SMC消息受完整性保护。步骤818，UE收到SMC消息后，检查MAC-I和UE安全能力。具体地，UE接收到SMC消息之后，可以根据该UE的IK、完整性序列号、方向标识、该SMC消息和该SMC消息中携带的参数值(Fresh)，通过F9算法生成XMAC-I，然后通过比较XMAC-I与SMC消息中携带的MAC-I是否相等来确定该SMC消息是否完整，当XMAC-I与SMC消息中携带的MAC-I相等时，UE可以确定该SMC消息完整。并且UE还会检查该SMC消息中携带的UE安全能力和该UE自身的安全能力是否一致。当UE确定SMC消息完整，且该SMC消息中携带的UE安全能力和该UE自身的安全能力一致之后，执行步骤819 ;如果UE确定SMC消息不完整，或者该SMC消息中携带的UE安全能力和该UE自身的安全能力不一致，则结束本次流程。步骤819，UE向MME发送SMC完成消息，该SMC完成消息受完整性保护。本实施例在以下情况下，UMTS密钥需要进行更新I)当UMTS密钥生命周期(START)值达到预设的阈值时，UE向eNB发送UMTS密钥更新请求消息，eNB接收到该UMTS密钥更新请求消息后生成新的Nonce，然后根据该新的Nonce和Kipsee重新推衍生成新的UMTS密钥IK和CK。本发明图8所示实施例中，LTE和UMTS各自有各自的SRB，当LTE和UMTS共用一个SRB时，SMC消息的发送流程可以如图3所示，在此不再赘述。上述实施例中，eNB和RNC可以根据Kipsee和该eNB生成的随机数推衍生成UMTS密钥IK和CK，然后eNB可以将生成的UMTS密钥IK和CK发送给UE’从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得UE可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图9为本发明密钥生成方法实施例八的流程图，如图9所示，该密钥生成方法可以包括步骤901，用户设备接收UMTS密钥推衍指示消息。步骤902，用户设备根据LTE系统的计数值和该LTE系统的根密钥，或者根据LTE系统的根密钥和UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥。本实施例的一种实现方式中，LTE系统的根密钥包括LTE系统的非接入层根密钥，LTE系统的计数值包括LTE系统当前的非接入层计数值，该UMTS密钥推衍指示消息携帯的随机数包括核心网节点生成的随机数；则用户设备接收UMTS密钥推衍指示消息可以为用户设备接收核心网节点发送的UMTS密钥推衍指示消息；用户设备根据LTE系统的计数值和该LTE系统的根密钥，或者根据LTE系统的根密钥和UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥可以为用户设备根据LTE系统当前的非接入层计数值和LTE系统的非接入层根密钥，或者根据LTE系统的非接入层根密钥和核心网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。本实施例的另ー种实现方式中，LTE系统的根密钥包括LTE系统的接入层根密钥，LTE系统的计数值包括LTE系统的分组数据聚合协议计数值，UMTS密钥推衍指示消息携帯的随机数包括LTE系统的接入网节点生成的随机数；则用户设备接收UMTS密钥推衍指示消息可以为用户设备接收LTE系统的接入网节点发送的UMTS密钥推衍指示消息，该UMTS密钥推衍指示消息携帯LTE系统的接入网节点生成的随机数；用户设备根据LTE系统的计数值和该LTE系统的根密钥，或者根据LTE系统的根密钥和UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥可以为用户设备根据LTE系统的分组数据聚合协议计数值和LTE系统的接入层根密钥，或者根据LTE系统的接入层根密钥和LTE系统的接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。上述实施例中，用户设备可以根据LTE系统的计数值和该LTE系统的根密钥，或者根据LTE系统的根密钥和UMTS密钥推衍指示消息携帯的随机数推衍生成UMTS的完整性密钥和加密密钥，从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得UE可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图10为本发明消息发送方法实施例ニ的流程图，如图10所示，该消息发送方法可以包括步骤1001，UMTS的控制节点接收LTE系统的接入网节点发送的UMTS的完整性密钥和加密密钥，以及用户设备的安全能力。步骤1002，UMTS的控制节点通过LTE系统的接入网节点向用户设备发送受完整性保护的安全模式命令消息，该安全模式命令消息携带该控制节点根据用户设备的安全能力选择的完整性算法和加密算法、用户设备的安全能力和该控制节点生成的參数值，以及控制节点根据UMTS的完整性密钥、该控制节点生成的參数值、完整性序列号、安全模式命令消息和方向标识生成的完整性信息鉴权码。本实施例中，UMTS的控制节点通过LTE系统的接入网节点向用户设备发送受完整性保护的安全模式命令消息之 后，该UMTS的控制节点还可以接收用户设备通过LTE系统的接入网节点发送的受完整性保护的安全模式命令完成消息，该安全模式命令完成消息是用户设备接收到安全模式命令消息之后，根据用户设备的UMTS的完整性密钥、完整性序列号、方向标识、安全模式命令消息和该安全模式命令消息中携帯的參数值生成完整性信息鉴权码，并在确定用户设备生成的完整性信息鉴权码与安全模式命令消息中携带的完整性信息鉴权码一致，且安全模式命令消息中携带的用户设备的安全能力与该用户设备自身的安全能力一致后通过LTE系统的接入网节点发送给所述UMTS的控制节点的。上述实施例中，UMTS的控制节点可以通过LTE系统的接入网节点向用户设备发送安全模式命令消息，并接收用户设备通过LTE系统的接入网节点发送的安全模式命令完成消息，从而可以实现当LTE系统和UMTS共用一个SRB时，UMTS的控制节点与用户设备之间可以进行SMC流程，协商加密和完整性算法。 本领域普通技术人员可以理解实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括R0M、RAM、磁碟或者光盘等各种可以存储程序代码的介质。图11为本发明核心网节点设备实施例一的结构示意图，本实施例中的核心网节点设备可以应用在以基站为锚点的UL Boosting场景中，实现本发明图I所示实施例的流程。如图11所示，该核心网节点设备可以包括第一生成模块1101和第一发送模块1102 ；其中，第一生成模块1101，用于根据LTE系统的非接入层根密钥和LTE系统当前的非接入层计数值，或者根据LTE系统的非接入层根密钥和该核心网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥；第一发送模块1102，用于将第一生成模块1101生成的UMTS的完整性密钥和加密密钥发送给UMTS的控制节点设备，以使该UMTS的控制节点设备通过上述UMTS的完整性密钥和加密密钥进行加密和完整性保护。本实施例中的核心网节点设备可以为提供核心网功能的节点设备，例如MME等，但本实施例对核心网节点设备的具体形式不作限定。上述核心网节点设备中，第一生成模块1101可以根据LTE系统的非接入层根密钥和LTE系统当前的非接入层计数值，或者根据LTE系统的非接入层根密钥和该核心网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥，从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图12为本发明核心网节点设备实施例二的结构示意图，与图11所示的核心网节点设备相比，不同之处在于，图12所示的核心网节点设备还可以包括第一接收模块1103，用于接收LTE系统的接入网节点设备发送的UMTS密钥推衍指示消息，该UMTS密钥推衍指示消息用于触发第一生成模块1101生成UMTS的完整性密钥和加密密钥。本实施例的一种实现方式中，第一发送模块1102还可以向用户设备发送UMTS密钥推衍指示消息，以使该用户设备根据LTE系统当前的非接入层计数值和LTE系统的非接入层根密钥，或者根据LTE系统的非接入层根密钥和UMTS密钥推衍指示消息中携带的随机数推衍生成UMTS的完整性密钥和加密密钥。本实施例的另一种实现方式中，第一发送模块1102还可以通过非接入层消息将第一生成模块1101生成的UMTS的完整性密钥和加密密钥发送给用户设备，以使该用户设备存储UMTS的完整性密钥和加密密钥。
本实施例中，第一发送模块1102可以将UMTS的完整性密钥和加密密钥发送给LTE系统的接入网节点设备，以使该接入网节点设备将上述UMTS的完整性密钥和加密密钥发送给UMTS的控制节点设备进ー步地，本实施例中的第一接收模块1103还可以当UMTS密钥生命周期达到预设的阈值时，接收用户设备发送的UMTS密钥更新请求消息或通知。这时，第一生成模块1101还可以在第一接收模块1103接收到UMTS密钥更新请求消息之后，根据LTE系统当前的非接入层计数值和该LTE系统的非接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者，第一生成模块1101还可以在第一接收模块1103接收到UMTS密钥更新请求消息之后，生成新的随机数，井根据该新的随机数和LTE系统的非接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者，第一生成模块1101还可以在第一接收模块1103接收到上述通知之后，通过重新进行认证与密钥协商过程，重新推衍生成UMTS的完整性密钥和加密密钥。上述核心网节点设备可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图13为本发明接入网节点设备实施例一的结构示意图，本实施例中的接入网节点设备可以应用在以基站为锚点的UL Boosting场景中，实现本发明图I所示实施例的流程。如图13所示，该接入网节点设备可以包括第二生成模块1301，用于根据LTE系统的接入层根密钥和LTE系统的分组数据聚合协议计数值，或者根据LTE系统的接入层根密钥和接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥；第二发送模块1302，用于将第二生成模块1301生成的UMTS的完整性密钥和加密密钥发送给UMTS的控制节点设备，以使UMTS的控制节点设备通过UMTS的完整性密钥和加密密钥进行加密和完整性保护。本实施例中的接入网节点设备可以为具有接入功能的节点设备，例如基站等，其中该基站可以包括eNB，该eNB可以为普通的宏基站，也可以是ー些小型基站，包括HeNB/HNB或RN等等。但本实施例对接入网节点设备的具体形式不作限定。上述接入网节点设备中，第二生成模块1301可以根据LTE系统的接入层根密钥和LTE系统的分组数据聚合协议计数值，或者根据LTE系统的接入层根密钥和接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥；从而可以实现在以eNB为锚点的ULBoosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图14为本发明接入网节点设备实施例ニ的结构示意图，与图13所示的接入网节点设备相比，不同之处在于，图14所示接入网节点设备的一种实现方式中，第二发送模块1302还可以向用户设备发送UMTS密钥推衍指示消息，以使该用户设备根据LTE系统的接入层根密钥和LTE系统的分组数据聚合协议计数值，或者根据LTE系统的接入层根密钥和UMTS密钥推衍指示消息中携帯的接入网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
本实施例的另一种实现方式中，第二发送模块1302还可以通过受加密和完整性保护的接入层消息将第二生成模块1301生成的UMTS的完整性密钥和加密密钥发送给用户设备，以使该用户设备存储UMTS的完整性密钥和加密密钥。

进一步地，本实施例中的接入网节点设备还可以包括第二接收模块1303，用于当UMTS密钥生命周期达到预设的阈值时，接收用户设备发送的UMTS密钥更新请求消息或通知。这时，第二生成模块1301还可以当LTE系统的分组数据聚合协议计数值溢出或者用户设备从空闲状态进入连接状态时，根据LTE系统的分组数据聚合协议计数值和该接入网节点设备更新后的接入层根密钥，或者根据接入网节点设备更新后的接入层根密钥和该接入网节点设备新生成的随机数推衍生成UMTS的完整性密钥和加密密钥；或者，第二生成模块1301还可以在第二接收模块1303接收到UMTS密钥更新请求消息之后，生成新的随机数，并根据该新的随机数和接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者，第二生成模块1301还可以在第二接收模块1303接收到上述通知之后，通过重新进行认证与密钥协商过程，重新推衍生成UMTS的完整性密钥和加密密钥。上述接入网节点设备可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图15为本发明接入网节点设备实施例三的结构示意图，本实施例中的接入网节点设备可以应用在以基站为锚点的UL Boosting场景中，实现本发明图7所示实施例的流程，如图15所示，该接入网节点设备可以包括第三发送模块1501，用于向UMTS的控制节点设备发送UMTS密钥推衍指示消息，该UMTS密钥推衍指示消息携带接入网节点设备生成的随机数，以使UMTS的控制节点设备根据因特网协议安全密钥和上述随机数推衍生成UMTS的完整性密钥和加密密钥；第三生成模块1502，用于根据该因特网协议安全密钥和上述随机数推衍生成UMTS的完整性密钥和加密密钥。本实施例中的接入网节点设备可以为具有接入功能的节点设备，例如基站等，其中该基站可以包括eNB，该eNB可以为普通的宏基站，也可以是一些小型基站，包括HeNB/HNB或RN等等。但本实施例对接入网节点设备的具体形式不作限定。上述接入网节点设备中，第三生成模块1502可以根据因特网协议安全密钥和该接入网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥，从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图16为本发明接入网节点设备实施例四的结构示意图，与图15所示的接入网节点设备相比，不同之处在于，图16所示的接入网节点设备中，第三发送模块1501还可以通过受加密和完整性保护的接入层消息将UMTS的完整性密钥和加密密钥发送给用户设备，以使该用户设备存储上述UMTS的完整性密钥和加密密钥。进一步地，本实施例中的接入网节点设备还可以包括
认证模块1503，用干与上述UMTS的控制节点设备进行基于证书的认证过程，以生成上述因特网协议安全密钥和随机数。
第三接收模块1504，用于当UMTS密钥生命周期达到预设的阈值时，接收用户设备发送的UMTS密钥更新请求消息；这时，第三生成模块1502还可以在第三接收模块1504接收到上述UMTS密钥更新请求消息之后，生成新的随机数，根据该新的随机数和因特网协议安全密钥重新推衍生成UMTS的完整性密钥和加密密钥。上述接入网节点设备可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图17为本发明用户设备实施例一的结构示意图，本实施例中的用户设备可以应用在以基站为锚点的UL Boosting场景中，实现本发明图9所示实施例的流程。如图17所示，该用户设备可以包括第四接收模块1701，用于接收UMTS密钥推衍指示消息；第四生成模块1702，用于根据LTE系统的计数值和LTE系统的根密钥，或者根据LTE系统的根密钥和UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥。本实施例的一种实现方式中，第四接收模块1701可以在LTE系统的根密钥为LTE系统的非接入层根密钥，LTE系统的计数值为LTE系统当前的非接入层计数值，该UMTS密钥推衍指示消息携帯的随机数为核心网节点设备生成的随机数时，接收核心网节点设备发送的UMTS密钥推衍指示消息；这时，第四生成模块1702可以根据LTE系统当前的非接入层计数值和该LTE系统的非接入层根密钥，或者根据LTE系统的非接入层根密钥和核心网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥。本实施例的另ー种实现方式中，第四接收模块1701可以在根密钥为LTE系统的接入层根密钥，LTE系统的计数值为LTE系统的分组数据聚合协议计数值，UMTS密钥推衍指示消息携带的随机数为LTE系统的接入网节点生成的随机数时，接收LTE系统的接入网节点设备发送的UMTS密钥推衍指示消息；这时，第四生成模块1702可以根据LTE系统的分组数据聚合协议计数值和LTE系统的接入层根密钥，或者根据LTE系统的接入层根密钥和LTE系统的接入网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥。上述用户设备中，第四生成模块1702可以根据LTE系统的计数值和该LTE系统的根密钥，或者根据LTE系统的根密钥和UMTS密钥推衍指示消息携帯的随机数推衍生成UMTS的完整性密钥和加密密钥，从而可以实现在以eNB为锚点的UL Boosting场景中推衍生成UMTS的完整性密钥和加密密钥，使得UE可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。图18为本发明控制节点设备实施例一的结构示意图，本实施例中的控制节点设备可以应用在以基站为锚点的UL Boosting场景中，实现本发明图3或图10所示实施例的流程。如图18所示，该控制节点设备可以包括
第五接收模块1801，用于接收LTE系统的接入网节点设备发送的UMTS的完整性密钥和加密密钥，以及用户设备的安全能力；第四发送模块1802，用于通过LTE系统的接入网节点设备向用户设备发送受完整性保护的安全模式命令消息，该安全模式命令消息携带控制节点设备根据用户设备的安全能力选择的完整性算法和加密算法、用户设备的安全能力和控制节点设备生成的参数值，以及控制节点设备根据UMTS的完整性密钥、该控制节点设备生成的参数值、完整性序列号、安全模式命令消息和方向标识生成的完整性信息鉴权码。本实施例中，第五接收模块1801 还可以在第四发送模块1802向用户设备发送安全模式命令消息之后，接收用户设备通过LTE系统的接入网节点设备发送的受完整性保护的安全模式命令完成消息，该安全模式命令完成消息是用户设备接收到安全模式命令消息之后，根据用户设备的UMTS的完整性密钥、完整性序列号、方向标识、安全模式命令消息和该安全模式命令消息中携带的参数值生成完整性信息鉴权码，并在确定用户设备生成的完整性信息鉴权码与安全模式命令消息中携带的完整性信息鉴权码一致，且安全模式命令消息中携带的用户设备的安全能力与该用户设备自身的安全能力一致后通过LTE系统的接入网节点设备发送给控制节点设备的。本实施例中的控制节点设备可以作为UMTS的控制节点设备，该控制节点设备可以为具有控制功能的实体设备，例如RNC等。上述控制节点设备中，第四发送模块1802可以通过LTE系统的接入网节点向用户设备发送安全模式命令消息，第五接收模块1801可以接收用户设备通过LTE系统的接入网节点发送的安全模式命令完成消息，从而可以实现当LTE系统和UMTS共用一个SRB时，控制节点设备与用户设备之间可以进行SMC流程，协商加密和完整性算法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。最后应说明的是以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。
权利要求
1.一种密钥生成方法，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 根据所述LTE系统的根密钥和所述LTE系统的计数值，或者根据随机数和所述LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥； 将所述UMTS的完整性密钥和加密密钥发送给UMTS的控制节点，以使所述UMTS的控制节点通过所述UMTS的完整性密钥和加密密钥进行加密和完整性保护。
2.根据权利要求I所述的方法，其特征在于，所述LTE系统的根密钥包括所述LTE系统的非接入层根密钥，所述LTE系统的计数值包括所述LTE系统当前的非接入层计数值； 所述根据所述LTE系统的根密钥和所述LTE系统的计数值，或者根据随机数和所述LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥之前，还包括 核心网节点接收所述LTE系统的接入网节点发送的UMTS密钥推衍指示消息； 所述根据所述LTE系统的根密钥和所述LTE系统的计数值，或者根据随机数和所述LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥包括 所述核心网节点根据所述LTE系统当前的非接入层计数值和所述LTE系统的非接入层根密钥，或者根据所述LTE系统的非接入层根密钥和所述核心网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
3.根据权利要求2所述的方法，其特征在于，所述核心网节点接收所述LTE系统的接入网节点发送的UMTS密钥推衍指示消息之后，还包括 所述核心网节点向用户设备发送UMTS密钥推衍指示消息，以使所述用户设备根据所述LTE系统当前的非接入层计数值和所述LTE系统的非接入层根密钥，或者根据所述LTE系统的非接入层根密钥和所述UMTS密钥推衍指示消息中携带的随机数推衍生成UMTS的完整性密钥和加密密钥。
4.根据权利要求2所述的方法，其特征在于，所述核心网节点根据所述LTE系统当前的非接入层计数值和所述LTE系统的非接入层根密钥，或者根据所述LTE系统的非接入层根密钥和所述核心网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥之后，还包括 所述核心网节点通过非接入层消息将所述UMTS的完整性密钥和加密密钥发送给用户设备，以使所述用户设备存储所述UMTS的完整性密钥和加密密钥。
5.根据权利要求2、3或4所述的方法，其特征在于，所述将所述UMTS的完整性密钥和加密密钥发送给UMTS的控制节点包括 所述核心网节点将所述UMTS的完整性密钥和加密密钥发送给所述LTE系统的接入网节点，以使所述LTE系统的接入网节点将所述UMTS的完整性密钥和加密密钥发送给所述UMTS的控制节点。
6.根据权利要求5所述的方法，其特征在于，还包括 当UMTS密钥生命周期达到预设的阈值时，所述核心网节点接收到用户设备发送的UMTS密钥更新请求消息之后，根据所述LTE系统当前的非接入层计数值和所述LTE系统的非接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者， 当UMTS密钥生命周期达到预设的阈值时，所述核心网节点接收到用户设备发送的UMTS密钥更新请求消息之后，生成新的随机数，并根据所述新的随机数和所述LTE系统的非接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者， 当UMTS密钥生命周期达到预设的阈值时，接收到用户设备的通知之后，通过重新进行认证与密钥协商过程，重新推衍生成UMTS的完整性密钥和加密密钥。
7.根据权利要求I所述的方法，其特征在于，所述LTE系统的根密钥包括所述LTE系统的接入层根密钥，所述LTE系统的计数值包括所述LTE系统的分组数据聚合协议计数值； 所述根据所述LTE系统的根密钥和所述LTE系统的计数值，或者根据随机数和所述LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥包括 所述LTE系统的接入网节点根据所述LTE系统的接入层根密钥和所述LTE系统的分组数据聚合协议计数值，或者根据所述LTE系统的接入层根密钥和所述接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
8.根据权利要求7所述的方法，其特征在于，所述根据所述LTE系统的根密钥和所述LTE系统的计数值，或者根据随机数和所述LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥之前，还包括 所述LTE系统的接入网节点向用户设备发送UMTS密钥推衍指示消息，以使所述用户设备根据所述LTE系统的接入层根密钥和所述LTE系统的分组数据聚合协议计数值，或者根据所述LTE系统的接入层根密钥和所述UMTS密钥推衍指示消息中携带的所述接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
9.根据权利要求7所述的方法，其特征在于，所述LTE系统的接入网节点根据所述LTE系统的接入层根密钥和所述LTE系统的分组数据聚合协议计数值，或者根据所述LTE系统的接入层根密钥和所述接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥之后，还包括 所述LTE系统的接入网节点通过受加密和完整性保护的接入层消息将所述UMTS的完整性密钥和加密密钥发送给用户设备，以使所述用户设备存储所述UMTS的完整性密钥和加密密钥。
10.根据权利要求7、8或9所述的方法，其特征在于，所述将所述UMTS的完整性密钥和加密密钥发送给UMTS的控制节点包括 所述LTE系统的接入网节点将所述UMTS的完整性密钥和加密密钥发送给所述UMTS的控制节点。
11.根据权利要求10所述的方法，其特征在于，还包括 当所述LTE系统的分组数据聚合协议计数值溢出或者用户设备从空闲状态进入连接状态时，所述LTE系统的接入网节点根据所述LTE系统的分组数据聚合协议计数值和所述接入网节点更新后的接入层根密钥，或者根据所述接入网节点更新后的接入层根密钥和所述接入网节点新生成的随机数推衍生成UMTS的完整性密钥和加密密钥；或者， 当UMTS密钥生命周期达到预设的阈值时，所述LTE系统的接入网节点接收到用户设备发送的UMTS密钥更新请求消息之后，生成新的随机数，根据所述新的随机数和所述接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者， 当UMTS密钥生命周期达到预设的阈值时，接收到用户设备的通知之后，通过重新进行认证与密钥协商过程，重新推衍生成UMTS的完整性密钥和加密密钥。
12.根据权利要求I所述的方法，其特征在于，还包括所述UMTS的控制节点接收所述UMTS的完整性密钥和加密密钥的过程中，还接收用户设备的安全能力； 所述UMTS的控制节点通过所述LTE系统的接入网节点向所述用户设备发送受完整性保护的安全模式命令消息，所述安全模式命令消息携带所述控制节点根据所述用户设备的安全能力选择的完整性算法和加密算法、所述用户设备的安全能力和所述控制节点生成的参数值，以及所述控制节点根据所述UMTS的完整性密钥、所述控制节点生成的参数值、完整性序列号、所述安全模式命令消息和方向标识生成的完整性信息鉴权码； 所述UMTS的控制节点接收所述用户设备通过所述LTE系统的接入网节点发送的受完整性保护的安全模式命令完成消息，所述安全模式命令完成消息是所述用户设备接收到所述安全模式命令消息之后，根据所述用户设备的UMTS的完整性密钥、完整性序列号、方向标识、所述安全模式命令消息和所述安全模式命令消息中携带的参数值生成完整性信息鉴权码，并在确定所述用户设备生成的完整性信息鉴权码与所述安全模式命令消息中携带的完整性信息鉴权码一致，且所述安全模式命令消息中携带的所述用户设备的安全能力与所述用户设备自身的安全能力一致后通过所述LTE系统的接入网节点发送给所述UMTS的控制节点的。
13.—种密钥生成方法，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 LTE系统的接入网节点向UMTS的控制节点发送UMTS密钥推衍指示消息，所述UMTS密钥推衍指示消息携带所述接入网节点生成的随机数，以使所述UMTS的控制节点根据因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥； 所述LTE系统的接入网节点根据所述因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥。
14.根据权利要求13所述的方法，其特征在于，所述LTE系统的接入网节点根据所述因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥之后，还包括 所述LTE系统的接入网节点通过受加密和完整性保护的接入层消息将所述UMTS的完整性密钥和加密密钥发送给用户设备，以使所述用户设备存储所述UMTS的完整性密钥和加密密钥。
15.根据权利要求13或14所述的方法，其特征在于，所述LTE系统的接入网节点向UMTS的控制节点发送UMTS密钥推衍指示消息之前，还包括 所述LTE系统的接入网节点与所述UMTS的控制节点进行基于证书的认证过程，以生成所述因特网协议安全密钥和所述随机数。
16.根据权利要求15所述的方法，其特征在于，还包括 当UMTS密钥生命周期达到预设的阈值时，所述LTE系统的接入网节点接收到用户设备发送的UMTS密钥更新请求消息之后，生成新的随机数，根据所述新的随机数和所述因特网协议安全密钥重新推衍生成UMTS的完整性密钥和加密密钥。
17.—种密钥生成方法，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 用户设备接收UMTS密钥推衍指示消息； 所述用户设备根据所述LTE系统的计数值和所述LTE系统的根密钥，或者根据所述LTE系统的根密钥和所述UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥。
18.根据权利要求17所述的方法，其特征在于，所述LTE系统的根密钥包括所述LTE系统的非接入层根密钥，所述LTE系统的计数值包括所述LTE系统当前的非接入层计数值，所述UMTS密钥推衍指示消息携带的随机数包括核心网节点生成的随机数； 所述用户设备接收UMTS密钥推衍指示消息包括 所述用户设备接收所述核心网节点发送的所述UMTS密钥推衍指示消息； 所述用户设备根据LTE系统的计数值和所述LTE系统的根密钥，或者根据所述LTE系统的根密钥和所述UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥包括 所述用户设备根据所述LTE系统当前的非接入层计数值和所述LTE系统的非接入层根密钥，或者根据所述LTE系统的非接入层根密钥和所述核心网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
19.根据权利要求17所述的方法，其特征在于，所述LTE系统的根密钥包括所述LTE系统的接入层根密钥，所述LTE系统的计数值包括所述LTE系统的分组数据聚合协议计数值，所述UMTS密钥推衍指示消息携带的随机数包括所述LTE系统的接入网节点生成的随机数； 所述用户设备接收UMTS密钥推衍指示消息包括 所述用户设备接收所述LTE系统的接入网节点发送的所述UMTS密钥推衍指示消息，所述UMTS密钥推衍指示消息携带所述LTE系统的接入网节点生成的随机数； 所述用户设备根据LTE系统的计数值和所述LTE系统的根密钥，或者根据所述LTE系统的根密钥和所述UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥包括 所述用户设备根据所述LTE系统的分组数据聚合协议计数值和所述LTE系统的接入层根密钥，或者根据所述LTE系统的接入层根密钥和所述LTE系统的接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
20.一种消息发送方法，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 UMTS的控制节点接收LTE系统的接入网节点发送的所述UMTS的完整性密钥和加密密钥，以及用户设备的安全能力； 所述UMTS的控制节点通过所述LTE系统的接入网节点向所述用户设备发送受完整性保护的安全模式命令消息，所述安全模式命令消息携带所述控制节点根据所述用户设备的安全能力选择的完整性算法和加密算法、所述用户设备的安全能力和所述控制节点生成的参数值，以及所述控制节点根据所述UMTS的完整性密钥、所述控制节点生成的参数值、完整性序列号、所述安全模式命令消息和方向标识生成的完整性信息鉴权码。
21.根据权利要求20所述的方法，其特征在于，所述UMTS的控制节点通过所述LTE系统的接入网节点向所述用户设备发送受完整性保护的安全模式命令消息之后，还包括 所述UMTS的控制节点接收所述用户设备通过所述LTE系统的接入网节点发送的受完整性保护的安全模式命令完成消息，所述安全模式命令完成消息是所述用户设备接收到所述安全模式命令消息之后，根据所述用户设备的UMTS的完整性密钥、完整性序列号、方向标识、所述安全模式命令消息和所述安全模式命令消息中携带的参数值生成完整性信息鉴权码，并在确定所述用户设备生成的完整性信息鉴权码与所述安全模式命令消息中携带的完整性信息鉴权码一致，且所述安全模式命令消息中携带的所述用户设备的安全能力与所述用户设备自身的安全能力一致后通过所述LTE系统的接入网节点发送给所述UMTS的控制节点的。
22.—种核心网节点设备，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 第一生成模块，用于根据所述LTE系统的非接入层根密钥和所述LTE系统当前的非接入层计数值，或者根据所述LTE系统的非接入层根密钥和所述核心网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥； 第一发送模块，用于将所述第一生成模块生成的UMTS的完整性密钥和加密密钥发送给UMTS的控制节点设备，以使所述UMTS的控制节点设备通过所述UMTS的完整性密钥和加密密钥进行加密和完整性保护。
23.根据权利要求22所述的设备，其特征在于，还包括 第一接收模块，用于接收所述LTE系统的接入网节点设备发送的UMTS密钥推衍指示消息，所述UMTS密钥推衍指示消息用于触发所述第一生成模块生成所述UMTS的完整性密钥和加密密钥。
24.根据权利要求23所述的设备，其特征在于， 所述第一发送模块，还用于向用户设备发送UMTS密钥推衍指示消息，以使所述用户设备根据所述LTE系统当前的非接入层计数值和所述LTE系统的非接入层根密钥，或者根据所述LTE系统的非接入层根密钥和所述UMTS密钥推衍指示消息中携带的随机数推衍生成UMTS的完整性密钥和加密密钥。
25.根据权利要求23所述的设备，其特征在于， 所述第一发送模块，还用于通过非接入层消息将所述第一生成模块生成的UMTS的完整性密钥和加密密钥发送给用户设备，以使所述用户设备存储所述UMTS的完整性密钥和加密密钥。
26.根据权利要求22-25任意一项所述的设备，其特征在于，所述第一发送模块具体用于将所述UMTS的完整性密钥和加密密钥发送给所述LTE系统的接入网节点设备，以使所述接入网节点设备将所述UMTS的完整性密钥和加密密钥发送给UMTS的控制节点设备。
27.根据权利要求23所述的设备，其特征在于， 所述第一接收模块，还用于当UMTS密钥生命周期达到预设的阈值时，接收用户设备发送的UMTS密钥更新请求消息或通知； 所述第一生成模块，还用于在所述第一接收模块接收到所述UMTS密钥更新请求消息之后，根据所述LTE系统当前的非接入层计数值和所述LTE系统的非接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者， 所述第一生成模块，还用于在所述第一接收模块接收到所述UMTS密钥更新请求消息之后，生成新的随机数，并根据所述新的随机数和所述LTE系统的非接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者，所述第一生成模块，还用于在所述第一接收模块接收到所述通知之后，通过重新进行认证与密钥协商过程，重新推衍生成UMTS的完整性密钥和加密密钥。
28.一种接入网节点设备，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 第二生成模块，用于根据所述LTE系统的接入层根密钥和所述LTE系统的分组数据聚合协议计数值，或者根据所述LTE系统的接入层根密钥和所述接入网节点生成的随机数推衍生成UMTS的完整性密钥和加密密钥； 第二发送模块，用于将所述第二生成模块生成的UMTS的完整性密钥和加密密钥发送给UMTS的控制节点设备，以使所述UMTS的控制节点设备通过所述UMTS的完整性密钥和加密密钥进行加密和完整性保护。
29.根据权利要求28所述的设备，其特征在于， 所述第二发送模块，还用于向用户设备发送UMTS密钥推衍指示消息，以使所述用户设备根据所述LTE系统的接入层根密钥和所述LTE系统的分组数据聚合协议计数值，或者根据所述LTE系统的接入层根密钥和所述UMTS密钥推衍指示消息中携带的所述接入网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
30.根据权利要求28所述的设备，其特征在于， 所述第二发送模块，还用于通过受加密和完整性保护的接入层消息将所述第二生成模块生成的UMTS的完整性密钥和加密密钥发送给用户设备，以使所述用户设备存储所述UMTS的完整性密钥和加密密钥。
31.根据权利要求28-30任意一项所述的设备，其特征在于，还包括第二接收模块； 所述第二接收模块，用于当UMTS密钥生命周期达到预设的阈值时，接收用户设备发送的UMTS密钥更新请求消息或通知； 所述第二生成模块，还用于当所述LTE系统的分组数据聚合协议计数值溢出或者用户设备从空闲状态进入连接状态时，根据所述LTE系统的分组数据聚合协议计数值和所述接入网节点设备更新后的接入层根密钥，或者根据所述接入网节点设备更新后的接入层根密钥和所述接入网节点设备新生成的随机数推衍生成UMTS的完整性密钥和加密密钥；或者， 所述第二生成模块，还用于在所述第二接收模块接收到所述UMTS密钥更新请求消息之后，生成新的随机数，根据所述新的随机数和所述接入层根密钥重新推衍生成UMTS的完整性密钥和加密密钥；或者， 所述第二生成模块，还用于在所述第二接收模块接收到所述通知之后，通过重新进行认证与密钥协商过程，重新推衍生成UMTS的完整性密钥和加密密钥。
32.—种接入网节点设备，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 第三发送模块，用于向UMTS的控制节点设备发送UMTS密钥推衍指示消息，所述UMTS密钥推衍指示消息携带所述接入网节点设备生成的随机数，以使所述UMTS的控制节点设备根据因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥； 第三生成模块，用于根据所述因特网协议安全密钥和所述随机数推衍生成UMTS的完整性密钥和加密密钥。
33.根据权利要求32所述的设备，其特征在于，所述第三发送模块，还用于通过受加密和完整性保护的接入层消息将所述第三生成模块生成的UMTS的完整性密钥和加密密钥发送给用户设备，以使所述用户设备存储所述UMTS的完整性密钥和加密密钥；所述接入层消息。
34.根据权利要求32或33所述的设备，其特征在于，还包括 认证模块，用于与所述UMTS的控制节点设备进行基于证书的认证过程，以生成所述因特网协议安全密钥和所述随机数。
35.根据权利要求34所述的设备，其特征在于，还包括第三接收模块； 所述第三接收模块，用于当UMTS密钥生命周期达到预设的阈值时，接收用户设备发送的UMTS密钥更新请求消息； 所述第三生成模块，还用于在所述第三接收模块接收到所述UMTS密钥更新请求消息之后，生成新的随机数，根据所述新的随机数和所述因特网协议安全密钥重新推衍生成UMTS的完整性密钥和加密密钥。
36.一种用户设备，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 第四接收模块，用于接收UMTS密钥推衍指示消息； 第四生成模块，用于根据所述LTE系统的计数值和所述LTE系统的根密钥，或者根据所述LTE系统的根密钥和所述UMTS密钥推衍指示消息携带的随机数推衍生成UMTS的完整性密钥和加密密钥。
37.根据权利要求36所述的用户设备，其特征在于，所述第四接收模块具体用于在所述LTE系统的根密钥为所述LTE系统的非接入层根密钥，所述LTE系统的计数值为所述LTE系统当前的非接入层计数值，所述UMTS密钥推衍指示消息携带的随机数为核心网节点设备生成的随机数时，接收所述核心网节点设备发送的所述UMTS密钥推衍指示消息； 所述第四生成模块具体用于根据所述LTE系统当前的非接入层计数值和所述LTE系统的非接入层根密钥，或者根据所述LTE系统的非接入层根密钥和所述核心网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
38.根据权利要求36所述的用户设备，其特征在于，所述第四接收模块具体用于在所述根密钥为所述LTE系统的接入层根密钥，所述LTE系统的计数值为所述LTE系统的分组数据聚合协议计数值，所述UMTS密钥推衍指示消息携带的随机数为所述LTE系统的接入网节点生成的随机数时，接收所述LTE系统的接入网节点设备发送的所述UMTS密钥推衍指示消息； 所述第四生成模块具体用于根据所述LTE系统的分组数据聚合协议计数值和所述LTE系统的接入层根密钥，或者根据所述LTE系统的接入层根密钥和所述LTE系统的接入网节点设备生成的随机数推衍生成UMTS的完整性密钥和加密密钥。
39.一种控制节点设备，其特征在于，应用在以基站为锚点的通用移动通信系统(UMTS)与长期演进(LTE)系统资源聚合的场景中，包括 第五接收模块，用于接收LTE系统的接入网节点设备发送的所述UMTS的完整性密钥和加密密钥，以及用户设备的安全能力； 第四发送模块，用于通过所述LTE系统的接入网节点设备向所述用户设备发送受完整性保护的安全模式命令消息，所述安全模式命令消息携带所述控制节点设备根据所述用户设备的安全能力选择的完整性算法和加密算法、所述用户设备的安全能力和所述控制节点设备生成的参数值，以及所述控制节点设备根据所述UMTS的完整性密钥、所述控制节点设备生成的参数值、完整性序列号、所述安全模式命令消息和方向标识生成的完整性信息鉴权码。
40.根据权利要求39所述的设备，其特征在于， 所述第五接收模块，还用于在所述第四发送模块向所述用户设备发送所述安全模式命令消息之后，接收所述用户设备通过所述LTE系统的接入网节点设备发送的受完整性保护的安全模式命令完成消息，所述安全模式命令完成消息是所述用户设备接收到所述安全模式命令消息之后，根据所述用户设备的UMTS的完整性密钥、完整性序列号、方向标识、所述安全模式命令消息和所述安全模式命令消息中携带的参数值生成完整性信息鉴权码，并在确定所述用户设备生成的完整性信息鉴权码与所述安全模式命令消息中携带的完整性信息鉴权码一致，且所述安全模式命令消息中携带的所述用户设备的安全能力与所述用户设备自身的安全能力一致后通过所述LTE系统的接入网节点设备发送给所述控制节点设备的。
全文摘要
本发明实施例提供一种密钥生成方法和设备，该密钥生成方法应用在以基站为锚点的UMTS与LTE系统资源聚合的场景中，包括根据所述LTE系统的根密钥和所述LTE系统的计数值，或者根据随机数和所述LTE系统的根密钥推衍生成UMTS的完整性密钥和加密密钥；将所述UMTS的完整性密钥和加密密钥发送给UMTS的控制节点，以使所述UMTS的控制节点通过所述UMTS的完整性密钥和加密密钥进行加密和完整性保护。本发明实施例可以实现在在以基站为锚点的UMTS与LTE系统资源聚合的场景中推衍生成UMTS的完整性密钥和加密密钥，使得用户设备可以通过UMTS进行安全通信，进而可以提高UMTS上传输的数据的安全性。
文档编号H04W12/04GK102625300SQ20111003192
公开日2012年8月1日 申请日期2011年1月28日 优先权日2011年1月28日
发明者刘晓寒, 张丽佳, 张冬梅, 陈新依 申请人:华为技术有限公司