安全能力协商方法和系统、业务服务器、用户终端的制作方法
【专利摘要】本发明公开一种安全能力协商方法和系统、业务服务器、用户终端。其中在安全能力协商方法中，通过将用户终端的安全能力信息发送给业务服务器，由业务服务器产生与用户终端的安全能力信息相匹配的安全配置参数，并将安全配置参数发送给用户终端，从而用户终端利用安全配置参数进行安全配置。由于通过用户终端与业务服务器协商安全传输所需要的安全配置参数，从而将业务逻辑与安全配置相分离，降低了用户安全应用的开发和部署成本。
【专利说明】安全能力协商方法和系统、业务服务器、用户终端
【技术领域】
[0001]本发明涉及通信领域，特别是涉及一种安全能力协商方法和系统、业务服务器、用户终端。
【背景技术】
[0002]物联网被普遍认可的定义是:它是一个由感知层、网络层、应用层共同构成的庞大的社会信息系统。感知层负责感知收集信息，而网络层负责将信息传输到应用层，应用层通过感知和传输来的信息进行分析和处理，实现物与物、人与物之间的感知。物联网将各种信息传感设备，如射频识别(Radio Frequency Identif ication,简称:RFID)装置、红外感应器、全球定位系统、激光扫描器、家用电器、安防设备等与互联网结合起来形成的一个巨大网络，让所有物品与网络连接在一起，方便识别、管理和监控，在此基础上实现融合的应用，最终为人们提供无所不在的全方位服务。
[0003]目前物联网行业应用中使用的普通M2M (Machine toMachine，机器到机器)终端，数据以明文传输，部分敏感数据定义了应用层加密的方案，但其密钥的分发是在注册流程中通过短信方式完成。而涉及金融、电力、安防等领域的物联网行业应用对数据传输的安全性要求高，上述方案不能满足要求。
[0004]对于安全性要求高的行业应用，目前的做法是按照每个项目的应用场景定制加密方案和M2M终端，终端厂商需花费大量人力成本用于专门实现密钥管理和数据的加解密算法，开发门槛高、难度大。
【发明内容】
[0005]本发明要解决的技术问题是提供一种安全能力协商方法和系统、业务服务器、用户终端。通过分别在用户终端和业务服务器设置安全模块，用户终端与业务服务器协商安全传输所需要的安全配置参数，从而将业务逻辑与安全配置相分离，降低了用户安全应用的开发和部署成本。
[0006]根据本发明的一个方面，提供一种安全能力协商方法，包括:
[0007]生成第一注册请求信息；
[0008]在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息；
[0009]利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息；
[0010]将安全能力注册请求信息发送给业务服务器；
[0011]接收业务服务器发送的安全能力注册响应信息，其中业务服务器利用与用户终端相关联的身份密钥对安全能力注册请求信息进行解密，在解密成功后从解密的安全能力注册请求信息中获取用户终端的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数，并利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息；[0012]利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数；
[0013]利用安全配置参数进行安全配置。
[0014]根据本发明的另一方面，提供一种安全能力协商方法，包括:
[0015]接收用户终端发送的安全能力注册请求消息；
[0016]利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密；
[0017]在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息；
[0018]验证用户终端的身份认证信息是否合法；
[0019]在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数；
[0020]利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息；
[0021]将安全能力注册响应信息发送给用户终端，以便用户终端利用身份密钥对安全能力注册响应信息进行解密以得到安全配置参数，并利用安全配置参数进行安全配置。
[0022]根据本发明的另一方面，提供一种安全能力协商的用户终端，包括:
[0023]业务模块，用于生成第一注册请求信息，接收第一安全模块发送的注册响应信息；
[0024]第一安全模块，用于在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息；利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息；利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数；利用安全配置参数进行安全配置；向业务模块发送注册响应信息；
[0025]网络接入模块，用于将安全能力注册请求信息发送给业务服务器；接收业务服务器发送的安全能力注册响应信息，其中业务服务器利用与用户终端相关联的身份密钥对安全能力注册请求信息进行解密，在解密成功后从解密的安全能力注册请求信息中获取用户终端的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数，并利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息；
[0026]用户识别模块，用于提供用户终端的身份密钥。
[0027]根据本发明的另一方面，提供一种安全能力协商的业务服务器，包括:
[0028]网络通信模块，用于接收用户终端发送的安全能力注册请求消息；将安全能力注册响应信息发送给用户终端，以便用户终端利用身份密钥对安全能力注册响应信息进行解密以得到安全配置参数，并利用安全配置参数进行安全配置；
[0029]第二安全模块，用于利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密；在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息；验证用户终端的身份认证信息是否合法；在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数；利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息。
[0030]根据本发明的另一方面，提供一种安全能力协商系统，包括用户终端和业务服务器，其中:[0031]用户终端，用于生成第一注册请求信息；在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息；利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息；将安全能力注册请求信息发送给业务服务器；接收业务服务器发送的安全能力注册响应信息；利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数；利用安全配置参数进行安全配置；
[0032]业务服务器，用于接收用户终端发送的安全能力注册请求消息；利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密；在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息；验证用户终端的身份认证信息是否合法；在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数；利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息；将安全能力注册响应信息发送给用户终端。
[0033]本发明通过将用户终端的安全能力信息发送给业务服务器，由业务服务器产生与用户终端的安全能力信息相匹配的安全配置参数，并将安全配置参数发送给用户终端，从而用户终端利用安全配置参数进行安全配置。由于通过用户终端与业务服务器协商安全传输所需要的安全配置参数，从而将业务逻辑与安全配置相分离，降低了用户安全应用的开发和部署成本。
【专利附图】
【附图说明】
[0034]图1为本发明安全能力协商方法一个实施例的示意图。
[0035]图2为本发明更新会话密钥一个实施例的示意图。
[0036]图3为本发明变更安全能力一个实施例的示意图。
[0037]图4为本发明安全能力协商方法另一实施例的示意图。
[0038]图5为本发明更新会话密钥另一实施例的示意图。
[0039]图6为本发明变更安全能力另一实施例的示意图。
[0040]图7为本发明用户终端一个实施例的实体图。
[0041]图8为本发明业务服务器一个实施例的示意图。
[0042]图9为本发明安全能力协商系统一个实施例的示意图
[0043]图10为本发明安全配置参数匹配方法一个实施例的示意图。
【具体实施方式】
[0044]下面参照附图对本发明进行更全面的描述，其中说明本发明的示例性实施例。
[0045]图1为本发明安全能力协商方法一个实施例的示意图。如图1所示:
[0046]步骤101，生成第一注册请求信息。
[0047]步骤102，在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息。
[0048]步骤103，利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息。
[0049]步骤104，将安全能力注册请求信息发送给业务服务器。
[0050]步骤105，接收业务服务器发送的安全能力注册响应信息。[0051]其中业务服务器利用与用户终端相关联的身份密钥对安全能力注册请求信息进行解密，在解密成功后从解密的安全能力注册请求信息中获取用户终端的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数，并利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息。
[0052]步骤106，利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数。
[0053]步骤107，利用安全配置参数进行安全配置。
[0054]基于本发明上述实施例提供的安全能力协商方法，通过将用户终端的安全能力信息发送给业务服务器，由业务服务器产生与用户终端的安全能力信息相匹配的安全配置参数，并将安全配置参数发送给用户终端，从而用户终端利用安全配置参数进行安全配置。由于通过用户终端与业务服务器协商安全传输所需要的安全配置参数，从而将业务逻辑与安全配置相分离，降低了用户安全应用的开发和部署成本。
[0055]优选的，安全配置参数包括会话密钥、会话密钥长度、会话密钥更新周期、加密算法、数据类型和加密算法绑定关系。
[0056]优选的，安全能力包括所能支持的安全处理能力，例如支持的加密算法、加密解密数据处理能力等，以及应用配置信息，例如安全级别、数据率、时延、优先级等要求。
[0057]通过安全能力协商，用户终端可与业务服务器利用协商得到的安全能力信息进行交互。
[0058]图2为本发明更新会话密钥一个实施例的示意图。如图2所示:
[0059]步骤201，根据会话密钥更新周期判断是否需要对会话密钥进行更新。
[0060]步骤202，若判断需要对会话密钥进行更新，则生成第一更新请求信息，其中第一更新请求信息包括会话密钥标识信息。
[0061]步骤203，利用身份密钥对第一更新请求信息进行加密，以得到会话密钥更新请求信息。
[0062]步骤204，将会话密钥更新请求信息发送给业务服务器。
[0063]步骤205，接收业务服务器发送的会话更新响应信息。
[0064]其中业务服务器利用与用户终端相关联的身份密钥对会话密钥更新请求信息进行解密，在解密成功后从解密的会话密钥更新请求信息中获取会话密钥标识信息，对与会话密钥标识信息相关联的会话密钥进行更新，以获得更新后的会话密钥，利用与用户终端相关联的身份密钥对更新后的会话密钥进行加密，以生成会话更新响应信息。
[0065]步骤206，利用身份密钥对会话更新响应信息进行解密，以获得更新后的会话密钥，从而利用更新后的会话密钥进行信息交互。
[0066]从而，当超过预定时间，对会话密钥进行更新，因此提高了系统的安全性。
[0067]图3为本发明变更安全能力一个实施例的示意图。如图3所示:
[0068]步骤301，当用户终端变更安全能力时，生成第一变更请求信息，其中第一变更请求信息包括用户终端的身份认证信息以及用户终端变更后的安全能力信息。
[0069]步骤302，利用身份密钥对第一变更请求信息进行加密，以生成安全能力变更请求信息。[0070]步骤303，将安全能力变更请求信息发送给业务服务器。
[0071]步骤304，接收业务服务器发送的安全能力变更响应信息。
[0072]其中业务服务器利用与用户终端相关联的身份密钥对安全能力变更请求信息进行解密，在解密成功后从解密的安全能力变更请求信息中获取用户终端变更后的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端变更后的安全能力信息相匹配的变更安全配置参数，并利用与用户终端相关联的身份密钥对变更安全配置参数进行加密，以得到安全能力变更响应信息。
[0073]步骤305，利用身份密钥对安全能力变更响应信息进行解密，以得到变更安全配置参数。
[0074]步骤306，利用变更安全配置参数进行安全配置。
[0075]当安全能力变化时，用户终端与业务服务器重新进行安全能力协商，从而能够为用户提供适当的安全能力，提高了用户体验。
[0076]图4为本发明安全能力协商方法另一实施例的示意图。如图4所示:
[0077]步骤401，接收用户终端发送的安全能力注册请求消息。
[0078]步骤402，利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密。
[0079]步骤403，在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息。
[0080]步骤404，验证用户终端的身份认证信息是否合法。
[0081]步骤405，在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数。
[0082]步骤406，利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息。
[0083]步骤407，将安全能力注册响应信息发送给用户终端，以便用户终端利用身份密钥对安全能力注册响应信息进行解密以得到安全配置参数，并利用安全配置参数进行安全配置。
[0084]基于本发明上述实施例提供的安全能力协商方法，通过将用户终端的安全能力信息发送给业务服务器，由业务服务器产生与用户终端的安全能力信息相匹配的安全配置参数，并将安全配置参数发送给用户终端，从而用户终端利用安全配置参数进行安全配置。由于通过用户终端与业务服务器协商安全传输所需要的安全配置参数，从而将业务逻辑与安全配置相分离，降低了用户安全应用的开发和部署成本。
[0085]优选的，安全配置参数包括会话密钥、会话密钥长度、会话密钥更新周期、加密算法、数据类型和加密算法绑定关系。
[0086]图5为本发明更新会话密钥另一实施例的不意图。如图5所不:
[0087]步骤501，接收用户终端发送的会话密钥更新请求信息。
[0088]步骤502，利用与用户终端相关联的身份密钥对会话密钥更新请求信息进行解密。
[0089]步骤503，在解密成功后，从解密后的会话密钥更新请求信息中获得会话密钥标识信息。
[0090]步骤504，对与会话密钥标识信息相关联的会话密钥进行更新，以获得更新后的会话密钥。[0091]步骤505，利用与用户终端相关联的身份密钥对更新后的会话密钥进行加密，以生成会话更新响应信息。
[0092]步骤506，将会话更新响应信息发送给用户终端，以便用户终端利用更新后的会话密钥进行信息交互。
[0093]从而，当超过预定时间，对会话密钥进行更新，因此提高了系统的安全性。
[0094]图6为本发明变更安全能力另一实施例的示意图。如图6所示:
[0095]步骤601，接收用户终端发送的安全能力变更请求信息。
[0096]步骤602，利用与用户终端相关联的身份密钥对安全能力变更请求信息进行解密。
[0097]步骤603，在解密成功后，从解密的安全能力变更请求信息中获取用户终端的身份认证信息以及用户终端变更后的安全能力信息。
[0098]步骤604，验证用户终端的身份认证信息是否合法。
[0099]步骤605，在验证用户终端的身份认证信息合法时，产生与用户终端变更的安全能力信息相匹配的变更安全配置参数。
[0100]步骤606，利用与用户终端相关联的身份密钥对变更安全配置参数进行加密，以得到安全能力变更响应信息。
[0101]步骤607，将安全能力变更响应信息发送给用户终端，以便用户终端利用变更安全配置参数进行安全配置。
[0102]当安全能力变化时，用户终端与业务服务器重新进行安全能力协商，从而能够为用户提供适当的安全能力，提高了用户体验。
[0103]图7为本发明用户终端一个实施例的实体图。如图7所示，用户终端包括:
[0104]业务模块701，用于生成第一注册请求信息，接收第一安全模块702发送的注册响
应信息。
[0105]第一安全模块702，用于在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息；利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息；利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数；利用安全配置参数进行安全配置；向业务模块701发送注册响应信息。
[0106]网络接入模块703，用于将安全能力注册请求信息发送给业务服务器；接收业务服务器发送的安全能力注册响应信息，其中业务服务器利用与用户终端相关联的身份密钥对安全能力注册请求信息进行解密，在解密成功后从解密的安全能力注册请求信息中获取用户终端的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数，并利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息。
[0107]用户识别模块704，用于提供用户终端的身份密钥。
[0108]基于本发明上述实施例提供的用户终端，通过将用户终端的安全能力信息发送给业务服务器，由业务服务器产生与用户终端的安全能力信息相匹配的安全配置参数，并将安全配置参数发送给用户终端，从而用户终端利用安全配置参数进行安全配置。由于通过用户终端与业务服务器协商安全传输所需要的安全配置参数，从而将业务逻辑与安全配置相分离，降低了用户安全应用的开发和部署成本。
[0109]优选的，安全配置参数包括会话密钥、会话密钥长度、会话密钥更新周期、加密算法、数据类型和加密算法绑定关系。
[0110]优选的，用户识别模块704为HM(User Identity Model，用户识别模块)卡。ΠΜ卡中的身份密钥由业务服务器统一分发。
[0111]优选的，第一安全模块702还用于根据会话密钥更新周期判断是否需要对会话密钥进行更新，若判断需要对会话密钥进行更新，则生成第一更新请求信息，其中第一更新请求信息包括会话密钥标识信息；利用身份密钥对第一更新请求信息进行加密，以得到会话密钥更新请求信息；利用身份密钥对会话更新响应信息进行解密，以获得更新后的会话密钥，从而利用更新后的会话密钥进行信息交互；
[0112]网络接入模块703还用于将会话密钥更新请求信息发送给业务服务器；接收业务服务器发送的会话更新响应信息，其中业务服务器利用与用户终端相关联的身份密钥对会话密钥更新请求信息进行解密，在解密成功后从解密的会话密钥更新请求信息中获取会话密钥标识信息，对与会话密钥标识信息相关联的会话密钥进行更新，以获得更新后的会话密钥，利用与用户终端相关联的身份密钥对更新后的会话密钥进行加密，以生成会话更新响应信息。
[0113]优选的，第一安全模块702还用于在当用户终端变更安全能力时，生成第一变更请求信息，其中第一变更请求信息包括用户终端的身份认证信息以及用户终端变更后的安全能力信息；利用身份密钥对第一变更请求信息进行加密，以生成安全能力变更请求信息；利用身份密钥对安全能力变更响应信息进行解密，以得到变更安全配置参数；利用变更安全配置参数进行安全配置。
[0114]网络接入模块703还用于将安全能力变更请求信息发送给业务服务器；接收业务服务器发送的安全能力变更响应信息，其中业务服务器利用与用户终端相关联的身份密钥对安全能力变更请求信息进行解密，在解密成功后从解密的安全能力变更请求信息中获取用户终端变更后的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端变更后的安全能力信息相匹配的变更安全配置参数，并利用与用户终端相关联的身份密钥对变更安全配置参数进行加密，以得到安全能力变更响应信息。
[0115]图8为本发明业务服务器一个实施例的示意图。如图8所示，业务服务器包括:
[0116]网络通信模块801，用于接收用户终端发送的安全能力注册请求消息；将安全能力注册响应信息发送给用户终端，以便用户终端利用身份密钥对安全能力注册响应信息进行解密以得到安全配置参数，并利用安全配置参数进行安全配置。
[0117]第二安全模块802，用于利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密；在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息；验证用户终端的身份认证信息是否合法；在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数；利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息。
[0118]基于本发明上述实施例提供的业务服务器，通过将用户终端的安全能力信息发送给业务服务器，由业务服务器产生与用户终端的安全能力信息相匹配的安全配置参数，并将安全配置参数发送给用户终端，从而用户终端利用安全配置参数进行安全配置。由于通过用户终端与业务服务器协商安全传输所需要的安全配置参数，从而将业务逻辑与安全配置相分离，降低了用户安全应用的开发和部署成本。[0119]优选的，安全配置参数包括会话密钥、会话密钥长度、会话密钥更新周期、加密算法、数据类型和加密算法绑定关系。
[0120]优选的，网络通信模块801还用于接收用户终端发送的会话密钥更新请求信息；将会话更新响应信息发送给用户终端，以便用户终端利用更新后的会话密钥进行信息交互。
[0121]第二安全模块802还利用与用户终端相关联的身份密钥对会话密钥更新请求信息进行解密；在解密成功后，从解密后的会话密钥更新请求信息中获得会话密钥标识信息；对与会话密钥标识信息相关联的会话密钥进行更新，以获得更新后的会话密钥；利用与用户终端相关联的身份密钥对更新后的会话密钥进行加密，以生成会话更新响应信息。
[0122]优选的，网络通信模块801还用于接收用户终端发送的安全能力变更请求信息；将安全能力变更响应信息发送给用户终端，以便用户终端利用变更安全配置参数进行安全配置。
[0123]第二安全模块802还利用与用户终端相关联的身份密钥对安全能力变更请求信息进行解密；在解密成功后，从解密的安全能力变更请求信息中获取用户终端的身份认证信息以及用户终端变更后的安全能力信息；验证用户终端的身份认证信息是否合法；在验证用户终端的身份认证信息合法时，产生与用户终端变更的安全能力信息相匹配的变更安全配置参数；利用与用户终端相关联的身份密钥对变更安全配置参数进行加密，以得到安全能力变更响应信息。
[0124]图9为本发明安全能力协商系统一个实施例的示意图。如图9所示，安全能力协商系统包括用户终端901和业务服务器902，其中:
[0125]用户终端901，用于生成第一注册请求信息；在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息；利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息；将安全能力注册请求信息发送给业务服务器；接收业务服务器发送的安全能力注册响应信息；利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数；利用安全配置参数进行安全配置。
[0126]业务服务器902，用于接收用户终端发送的安全能力注册请求消息；利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密；在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息；验证用户终端的身份认证信息是否合法；在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数；利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息；将安全能力注册响应信息发送给用户终端。
[0127]基于本发明上述实施例提供的安全能力协商系统，通过将用户终端的安全能力信息发送给业务服务器，由业务服务器产生与用户终端的安全能力信息相匹配的安全配置参数，并将安全配置参数发送给用户终端，从而用户终端利用安全配置参数进行安全配置。由于通过用户终端与业务服务器协商安全传输所需要的安全配置参数，从而将业务逻辑与安全配置相分离，降低了用户安全应用的开发和部署成本。
[0128]为了简明起见，在图9所示实施例中仅示出了一个用户终端，本领域技术人员可以了解的是，该系统中可设有多个用户终端。
[0129]优选的，用户终端901为图7所示任一实施例涉及的用户终端，业务服务器为图8所示任一实施例涉及的业务服务器。
[0130]通过用户终端901与业务服务器902的安全能力协商，用户终端901中的业务模块可与业务服务器902中的业务模块(在图中没有示出)进行交互。
[0131]图10为本发明安全配置参数匹配方法一个实施例的示意图。如图10所示:
[0132]步骤1001，采集用户终端上报的安全能力信息和应用配置信息。
[0133]安全能力信息包括用户终端支持的加密算法、各算法的性能指标等信息。应用配置信息包括安全级别、数据率、时延、优先级别等要求。
[0134]步骤1002，根据安全级别需求筛选合格的加密算法。
[0135]步骤1003，根据合格的加密算法的性能指标和业务数据类型计算不同组合方案的安全性能指标。
[0136]步骤1004，筛选满足性能要求的方案。
[0137]步骤1005，根据性能优先或安全优先确定安全方案。
[0138]所确定的安全方案包括会话密钥、会话密钥长度、更新周期、加密算法等信息。
[0139]通过应用本发明，可具有以下优点:
[0140]1、通过用户识别模块以及用户终端和业务服务器上的安全模块可全面控制安全传输通道；
[0141]2、同样的平台可使用不同的安全应用，可根据安全需求适配不同的加密方案；
[0142]3、用户终端和业务服务器上的安全模块通过会话协商确定安全方案，并可进行动态调整；
[0143]4、用户终端不用关心安全功能的具体实现方式，只需专注于业务逻辑本身；
[0144]5、用户终端只需加载安全模块和用户识别模块即可用于安全应用，并可通过远程配置适应不同的安全应用需求。
[0145]本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。
【权利要求】
1.一种安全能力协商方法，其特征在于，包括: 生成第一注册请求信息； 在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息； 利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息； 将安全能力注册请求信息发送给业务服务器； 接收业务服务器发送的安全能力注册响应信息，其中业务服务器利用与用户终端相关联的身份密钥对安全能力注册请求信息进行解密，在解密成功后从解密的安全能力注册请求信息中获取用户终端的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数，并利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息； 利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数； 利用安全配置参数进行安全配置。
2.根据权利要求1所述的方法，其特征在于: 安全配置参数包括会话密钥、会话密钥长度、会话密钥更新周期、加密算法、数据类型和加密算法绑定关系。
3.根据权利要求2所述的方法，其特征在于: 根据会话密钥更新周期判断是否需要对会话密钥进行更新，若判断需要对会话密钥进行更新，则生成第一更新请求信息，其中第一更新请求信息包括会话密钥标识信息； 利用身份密钥对第一更新请求信息进行加密，以得到会话密钥更新请求信息； 将会话密钥更新请求信息发送给业务服务器； 接收业务服务器发送的会话更新响应信息，其中业务服务器利用与用户终端相关联的身份密钥对会话密钥更新请求信息进行解密，在解密成功后从解密的会话密钥更新请求信息中获取会话密钥标识信息，对与会话密钥标识信息相关联的会话密钥进行更新，以获得更新后的会话密钥，利用与用户终端相关联的身份密钥对更新后的会话密钥进行加密，以生成会话更新响应信息； 利用身份密钥对会话更新响应信息进行解密，以获得更新后的会话密钥，从而利用更新后的会话密钥进行信息交互。
4.根据权利要求2或3所述的方法，其特征在于: 当用户终端变更安全能力时，生成第一变更请求信息，其中第一变更请求信息包括用户终端的身份认证信息以及用户终端变更后的安全能力信息； 利用身份密钥对第一变更请求信息进行加密，以生成安全能力变更请求信息； 将安全能力变更请求信息发送给业务服务器； 接收业务服务器发送的安全能力变更响应信息，其中业务服务器利用与用户终端相关联的身份密钥对安全能力变更请求信息进行解密，在解密成功后从解密的安全能力变更请求信息中获取用户终端变更后的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端变更后的安全能力信息相匹配的变更安全配置参数，并利用与用户终端相关联的身份密钥对变更安全配置参数进行加密，以得到安全能力变更响应信息； 利用身份密钥对安全能力变更响应信息进行解密，以得到变更安全配置参数；利用变更安全配置参数进行安全配置。
5.一种安全能力协商方法，其特征在于，包括: 接收用户终端发送的安全能力注册请求消息； 利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密； 在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息； 验证用户终端的身份认证信息是否合法； 在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数； 利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息； 将安全能力注册响应信息发送给用户终端，以便用户终端利用身份密钥对安全能力注册响应信息进行解密以得到安全配置参数，并利用安全配置参数进行安全配置。
6.根据权利要求5所述的方法，其特征在于: 安全配置参数包括会话密钥、会话密钥长度、会话密钥更新周期、加密算法、数据类型和加密算法绑定关系。
7.根据权利要求6所述的方法，其特征在于: 接收用户终端发送的会话密钥更新请求信息； 利用与用户终端相关联的身份密钥对会话密钥更新请求信息进行解密； 在解密成功后，从解密后的会话密钥更新请求信息中获得会话密钥标识信息； 对与会话密钥标识信息相关联的会话密钥进行更新，以获得更新后的会话密钥； 利用与用户终端相关联的身份密钥对更新后的会话密钥进行加密，以生成会话更新响应信息； 将会话更新响应信息发送给用户终端，以便用户终端利用更新后的会话密钥进行信息交互。
8.根据权利要求6或7所述的方法，其特征在于: 接收用户终端发送的安全能力变更请求信息； 利用与用户终端相关联的身份密钥对安全能力变更请求信息进行解密； 在解密成功后，从解密的安全能力变更请求信息中获取用户终端的身份认证信息以及用户终端变更后的安全能力信息； 验证用户终端的身份认证信息是否合法； 在验证用户终端的身份认证信息合法时，产生与用户终端变更的安全能力信息相匹配的变更安全配置参数； 利用与用户终端相关联的身份密钥对变更安全配置参数进行加密，以得到安全能力变更响应信息； 将安全能力变更响应信息发送给用户终端，以便用户终端利用变更安全配置参数进行安全配置。
9.一种安全能力协商的用户终端，其特征在于，包括: 业务模块，用于生成第一注册请求信息，接收第一安全模块发送的注册响应信息；第一安全模块，用于在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息；利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息；利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数；利用安全配置参数进行安全配置；向业务模块发送注册响应信息； 网络接入模块，用于将安全能力注册请求信息发送给业务服务器；接收业务服务器发送的安全能力注册响应信息，其中业务服务器利用与用户终端相关联的身份密钥对安全能力注册请求信息进行解密，在解密成功后从解密的安全能力注册请求信息中获取用户终端的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数，并利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息； 用户识别模块，用于提供用户终端的身份密钥。
10.根据权利要求9所述的用户终端，其特征在于: 安全配置参数包括会话密钥、会话密钥长度、会话密钥更新周期、加密算法、数据类型和加密算法绑定关系。
11.根据权利要求10所述的用户终端，其特征在于: 第一安全模块还用于根据会话密钥更新周期判断是否需要对会话密钥进行更新，若判断需要对会话密钥进行更新，则生成第一更新请求信息，其中第一更新请求信息包括会话密钥标识信息；利用身份密钥对第一更新请求信息进行加密，以得到会话密钥更新请求信息；利用身份密钥对会话更新响应信息进行解密，以获得更新后的会话密钥，从而利用更新后的会话密钥进行信息交互； 网络接入模块还用于将会话密钥更新请求信息发送给业务服务器；接收业务服务器发送的会话更新响应信息，其中业务服务器利用与用户终端相关联的身份密钥对会话密钥更新请求信息进行解密，在解密成功后从解密的会话密钥更新请求信息中获取会话密钥标识信息，对与会话密钥标识信息相关联的会话密钥进行更新，以获得更新后的会话密钥，利用与用户终端相关联的身份密钥对更新后的会话密钥进行加密，以生成会话更新响应信息。
12.根据权利要求10或11所述的用户终端，其特征在于: 第一安全模块还用于在当用户终端变更安全能力时，生成第一变更请求信息，其中第一变更请求信息包括用户终端的身份认证信息以及用户终端变更后的安全能力信息；利用身份密钥对第一变更请求信息进行加密，以生成安全能力变更请求信息；利用身份密钥对安全能力变更响应信息进行解密，以得到变更安全配置参数；利用变更安全配置参数进行安全配置； 网络接入模块还用于将安全能力变更请求信息发送给业务服务器；接收业务服务器发送的安全能力变更响应信息，其中业务服务器利用与用户终端相关联的身份密钥对安全能力变更请求信息进行解密，在解密成功后从解密的安全能力变更请求信息中获取用户终端变更后的安全能力信息和身份认证信息，在验证身份认证信息合法时，产生与用户终端变更后的安全能力信息相匹配的变更安全配置参数，并利用与用户终端相关联的身份密钥对变更安全配置参数进行加密，以得到安全能力变更响应信息。
13.一种安全能力协商的业务服务器，其特征在于，包括: 网络通信模块，用于接收用户终端发送的安全能力注册请求消息；将安全能力注册响应信息发送给用户终端，以便用户终端利用身份密钥对安全能力注册响应信息进行解密以得到安全配置参数，并利用安全配置参数进行安全配置； 第二安全模块，用于利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密；在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息；验证用户终端的身份认证信息是否合法；在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数；利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息。
14.根据权利要求13所述的业务服务器，其特征在于: 安全配置参数包括会话密钥、会话密钥长度、会话密钥更新周期、加密算法、数据类型和加密算法绑定关系。
15.根据权利要求12所述的业务服务器，其特征在于: 网络通信模块还用于接收用户终端发送的会话密钥更新请求信息；将会话更新响应信息发送给用户终端，以便用户终端利用更新后的会话密钥进行信息交互； 第二安全模块还利用与用户终端相关联的身份密钥对会话密钥更新请求信息进行解密；在解密成功后，从解密后的会话密钥更新请求信息中获得会话密钥标识信息；对与会话密钥标识信息相关联的会话密钥进行更新，以获得更新后的会话密钥；利用与用户终端相关联的身份密钥对更新后的会话密钥进行加密，以生成会话更新响应信息。
16.根据权利要求14或15所述的业务服务器，其特征在于: 网络通信模块还用于接收用户终端发送的安全能力变更请求信息；将安全能力变更响应信息发送给用户终端，以便用户终端利用变更安全配置参数进行安全配置； 第二安全模块还利用与用户终端相关联的身份密钥对安全能力变更请求信息进行解密；在解密成功后，从解密的安全能力变更请求信息中获取用户终端的身份认证信息以及用户终端变更后的安全能力信息；验证用户终端的身份认证信息是否合法；在验证用户终端的身份认证信息合法时，产生与用户终端变更的安全能力信息相匹配的变更安全配置参数；利用与用户终端相关联的身份密钥对变更安全配置参数进行加密，以得到安全能力变更响应信息。
17.一种安全能力协商系统，其特征在于，包括用户终端和业务服务器，其中: 用户终端，用于生成第一注册请求信息；在第一注册请求信息中加入用户终端的安全能力信息和身份认证信息，以生成第二注册请求信息；利用身份密钥对第二注册请求信息进行加密，以生成安全能力注册请求信息；将安全能力注册请求信息发送给业务服务器；接收业务服务器发送的安全能力注册响应信息；利用身份密钥对安全能力注册响应信息进行解密，以得到安全配置参数；利用安全配置参数进行安全配置； 业务服务器，用于接收用户终端发送的安全能力注册请求消息；利用与用户终端相关联的身份密钥对安全能力注册请求消息进行解密；在解密成功后，从解密的用户终端注册请求消息中获得用户终端的安全能力信息和身份认证信息；验证用户终端的身份认证信息是否合法；在验证用户终端的身份认证信息合法时，产生与用户终端的安全能力信息相匹配的安全配置参数；利用与用户终端相关联的身份密钥对安全配置参数进行加密，以得到安全能力注册响应信息；将安全能力注册响应信息发送给用户终端。
18.根据权利要求17所述的安全能力协商系统，其特征在于:用户终端为权利要求9-12中任一项所述的用户终端；业务服务器为权利 要求13-16中任一项所述的业务服务器。
【文档编号】H04L29/06GK103841082SQ201210478607
【公开日】2014年6月4日 申请日期:2012年11月22日 优先权日:2012年11月22日
【发明者】黄海昆, 成建波, 夏艳 申请人:中国电信股份有限公司