专利名称：生成蜂窝无线电系统中的无线电基站密钥的方法和设备的制作方法
技术领域：
本发明涉及用于提供蜂窝无线电系统中的安全通信的方法和装置。
背景技术：
演进分组系统(EPS)是在第三代合作伙伴项目(3GPP)中进行标准化的标准化蜂窝电信标准。EPS是设计成满足更高用户比特率的需求的第三代蜂窝系统的长期演进(LTE)的一部分。在EPS中，接入层(AS)业务受到密码部件保护。具体来说，用户平面受到保密性保护，并且无线电资源控制(RRC)信令受到保密性以及完整性保护。用于提供加密的密钥从称作K_eNB的密码密钥(cryptographic key)得出。在又称作用户设备(UE)的移动台从一个基站切换时，始发源基站的K_eNB在传递到目标eNB之前在源演进节点(eNB)、即基站中变换成称作K_eNB*的经变换密钥。当前，目标eNB将K_eNB*连同用户目标eNB小区无线电网络临时标识符(C-RNTI) —起进行变换。由此能够使用经变换的密码密钥来提供UE与目标基站之间的持续加密。此外已经判定，不仅预计目标小区应当准备接受特定移动台，而且其它基站也将能够这样做。根本原因是帮助从无线电链路故障、特别是出故障的切换恢复。为了便于由目标基站之外的其它基站接受，源基站eNB向“待准备”基站的集合发送密钥信息和终端识别码标记(Terminal Identity Token) (TeIT)。源基站eNB通常向位置接近目标基站和/或接近源基站的基站发送密钥信息和终端识别码标记(TeIT)。但是，如果同一个安全标记由待准备集合中的所有eNB共享，则它们的任一个可冒充为移动台，至少直到启用AS保护。现有的建议标准中的一个问题在于，同一经变换的密钥K_eNB*不应当由所有基站使用，因为这会允许待准备集合中的所有基站生成由基站在切换之后最终使用的K_eNB。，参见 SA3 的文献 Td S3a070975 (contribution to SA3，Td S3a070975)。一种所建议的解决方案在于，系统生成在基站的待准备集合中给定基站eNB的K_eNB的变换中使用的初始数据。然后，将这个初始数据连同对应基站密钥K_eNB* —起转发给基站eNB。同样，文献“Keyrefreshin SAE/LTE，S3-070234”，XP_002445697 描述了其中当生成新基站密钥时通过空中接口发送数据从而生成输入的方法。但是，存在现有电信系统中降低复杂度和增强安全性的持续需求。因此，存在对用于提供蜂窝无线电系统中的安全通信的改进方法的需要。
发明内容
本发明的一个目的是提供一种用于提供蜂窝无线电系统中的安全通信的改进方法。这个目的和其它目的通过所附权利要求书中提出的方法、无线电系统节点和用户设备来实现。因此，通过使用移动台和无线电基站均已知的数据来创建无线电基站密钥和/或終端识别码标记，安全通信可被建立和增强，而无需提供附加安全网络组件或者附加信令。根据ー个实施例，生成蜂窝无线电系统中的所得出无线电基站密钥。响应所确定公用数据位的集合和用于无线电基站与用户设备之间的安全通信的现有密码密钥而创建所得出无线电基站密钥。公用数据例如可以是与无线电接入技术关联的数据位，例如标识物理小区识别码的数据位。由此，为各无线电基站得出各无线电基站特定的密码基站密钥，因而提高系统中的安全性。此外，在没有附加信令和/或对得出各无线电基站特定的密码密钥时生成特定输入数据的需要的情况下，可得出特定密码密钥，这降低复杂度并且提供高级安全性。根据ー个实施例，创建用于识别连接到无线电系统中的无线电基站的用户设备UE的終端识别码标记。UE适合经由与现有加密密钥关联的安全通信与无线电系统进行通信。当创建终端识别码标记时，确定UE和源无线电基站均已知的数据位的集合。然后响应所确定数据位的集合、終端识别码和现有密钥而生成終端识别码标记。由此，得出各无线电基站特定的終端识别码标记，因而提高系统中的安全性。根据ー个实施例，提供一种识别无线电系统中的用户设备UE的方法。UE经由与现有加密密钥关联的安全通信与无线电系统进行通信。在用户设备当前与其连接的无线电基站中生成第一終端识别码标记。然后，将第一终端识别码标记分发给无线电系统的多个其它无线电基站。还在用户设备中生成第二終端识别码标记。将第二标记传送给其它无线电基站其中之一。当第二标记由无线电站接收时，通过比较第一終端识别码标记和第二終端识别码标记来识别UE。第一終端识别码标记和第二終端识别码标记均响应终端识别码和现有密钥而创建。由此，断开连接的終端可经由安全识别过程重新连接到系统。本发明还扩展到适合实现上述方法的节点和用户设备。使用根据本发明的方法、节点和用户设备将提供用于提供无线电系统中的安全通信的更有效且安全的过程。这通过在得出密码密钥或终端识别码标记时使用无线电基站和用户设备可用的数据来实现。
现在作为非限制性示例并且參照附图更详细地描述本发明，附图包括:图1是示出蜂窝无线电系统的视图，图2是示出在用于创建无线电基站密钥的过程中执行的步骤的流程图，图3是示出当准备验证正移动的移动台的可靠性时、在源无线电基站中执行的步骤的流程图，图4是示出当验证移动台的可靠性时、在目标无线电基站中执行的步骤的流程图，图5是示出当对于蜂窝无线电系统验证移动台的可靠性时、在移动台中执行的步骤的流程图，图6是无线电基站的视图，以及图7是用户设备的视图。
具体实施例方式下面在所述的示范实施例中参照LTE系统。但是，本发明并不局限于LTE系统，而是可适用于使用无线电基站密钥来保护向关联无线电基站的移动台传送以及从关联无线电基站的移动台传送的数据的任何无线电系统。图1中，示出为又称作用户设备(UE)IOl的移动台提供加密通信的蜂窝无线电系统100的示意图。UElOl向无线电基站103传送数据并且从无线电基站103接收数据。在蜂窝无线电系统是LTE系统的情况下，无线电基站103通常称作演进NodeB (eNB)。当UElOl在由蜂窝无线电系统100所覆盖的地理区域中来回移动时，有时必须将连接从一个无线电基站切换到另一个无线电基站。有时，UE也可能丢失到蜂窝无线电系统100的连接，并且然后可能需要重新连接到蜂窝无线电系统。在这两种情况下，希望保持蜂窝无线电系统100与UElOl之间的安全连接。在UE从无线电基站103所覆盖的区域朝无线电基站105所覆盖的区域移动的情况下，蜂窝无线电系统准备从源无线电基站103到目标无线电基站105的切换。又因为有时可能难以预测移动台101将被切换到哪一个无线电基站，所以多个其它无线电基站也可准备用于切换。“待准备”无线电基站在图1中由单个无线电基站107来表示。在切换期间，需要得出新的无线电基站密钥，可用于移动台101与切换之后将连接转移到的无线电基站105、107之间的持续安全通信。新的基站密钥可称作经变换或所得出的基站密钥。在蜂窝无线电系统是LTE系统的情况下，经变换的密钥可标记为K_eNB*。根据本发明的一个方面，用于创建待准备集合中的唯一经变换基站密钥K_eNB*的信息可基于移动台UE和无线电基站eNB均已知(或者使它们已知)的识别码的最低有效位。例如，可使用这里表示为PhyCell_ID的9位E-UTRAN物理小区识别码或者通过无线电接入技术(RAT)上下文所确定另外某个小区特定数据。根据一个实施例，变换可利用伪随机函数(PRF)或哈希函数，其中源基站密钥K_eNB和例如PhyCell_ID位等小区数据作为输入。也可包括其它输入参数。其它参数的示例可以是C-RNTI或者任何其它用户特定信息、标识可使用密钥的时间的数据等等。移动台将从其无线电接入技术(RAT)上下文知道PhyCell_ID位。在上述示范实施例中，用于具有PhyCell_ID的给定基站eNB的目标基站密钥K_eNB*的得出在一个示范实施例中可写作:K_eNB* = PRF(K_eNB_Source)，PhyCcl1_ID bits.0ther_parameters)根据本发明的另一个方面，终端识别码标记TeIT可按照对应方式来形成，并且可使它成为每个基站eNB是唯一的，即，它也可通过对移动台识别码、源的基站密钥K_eNB和接收基站eNB的PhyCell_ID位应用PRF来得出。也可包括其它输入参数。其它参数的示例可以是C-RNTI或者任何其它用户特定信息、标识可使用密钥的时间的数据等等。此外，当要求移动台证明其识别码时，它可适合生成对应识别码标记。在切换期间，当用户设备连接到新的无线电基站并且系统需要验证用户设备的识别码时，或者如果到用户设备的连接丢失，并且用户设备需要重新连接到系统时，情况通常是这样。根据一个实施例，终端识别码标记I (TeITl)可定义为:TeITl = PRF(K_eNB_Source,Terminal_ID,PhyCel1_ID bits,Other_parameters)图2中，示出用于说明当安全连接从一个源无线电基站103切换到目标无线电基站105、107时，在生成用于移动台101与蜂窝无线电系统100之间的安全连接的基站加密密钥时执行的步骤的流程图。首先，在步骤201，系统检测到可能存在切换。例如，系统可根据无线电测量来确定移动台101接近源无线电基站的小区边界。随后，在步骤203，源无线电基站生成经变换的基站密钥，并且将它传送给目标基站105。在步骤203，源基站103还可向“待准备”无线电基站107的集合发送经变换的基站密钥。经变换的基站密钥可根据以上所述得出。根据一个实施例，源基站还在步骤205传送终端识别码标记。终端识别码标记例如可以是作为如上所述标记TeITl所生成的标记。于是切换可按照由步骤207所示的常规方式来执行。根据本发明的另一个实施例，源基站eNB可适合向待准备集合中的所有基站分发公共标记TeIT3。这个标记可以是来自应用于来自第二 PRF的输出的PRF的输出，第二 PRF至少以终端识别码和K_eNB作为输入。还可提供其它输入参数。其它参数的示例可以是C-RNTI或者任何其它用户特定信息、标识可使用密钥的时间的数据等等。根据一个示范实施例，当移动台传送其识别码标记信息TeIT2时，它传送基站密钥K_eNB和终端识别码的PRF。接收基站可对于从终端接收的TeIT2应用外部PRF(outerPRF)，并且将结果与从源基站接收的识别码标记、即TeIT3进行比较。如果两个实体对应，则终端识别码被确定为已经建立。以不同方式表达，终端识别码标记2和3可写作:TeIT2 = PRF(K_eNB_Source.Terminal_ID.0ther_parameters)TeIT3 = PRF(TeIT2, 0ther_parameters2)从移动台接收的TeIT2和从源 eNB接收的TeIT3在基站中的比较可按照如下方式执行:TeIT3 = = PRF(TeIT2, Other parameters〗)，其中，= =表示比较运算。在以上描述中，Terminal_ID例如可以是在源基站eNB中指配给终端的C-RNTI或者任何其它用户特定信息、标识可使用密钥的时间的数据等等。因此，如果例如UElOl的连接丢失并且UElOl需要重新连接到蜂窝无线电系统100，则有权访问TeIT3识别码标记信息的所有无线电基站均可验证传送识别码标记TeIT2的移动台的可靠性。根据一个实施例，用于目标基站eNB的经变换基站密钥K_eNB*可按照与待准备集合中的无线电基站eNB相同的方式来得出。然后，目标基站eNB可接收与所有其它准备基站eNB相同类型的信息，因为切换可能出故障，并且移动台则将设法重新连接到预计目标基站eNB。图3中，示出用于说明当准备验证正移动的移动台的可靠性时、在源无线电基站中执行的步骤的流程图。首先，在步骤301，源无线电基站确定向多个其它无线电基站传送终端识别码标记。传送终端识别码标记的原因例如可以是存在进行中的切换过程。终端识别码标记例如可在步骤303作为如上所述TeIT3标记来生成。随后，在步骤305将标记传送给其它无线电基站。其它无线电基站通常可以是移动台在不久的将来可能连接到的相邻无线电基站。图4中，示出当验证移动台的可靠性时、在目标无线电基站中执行的步骤的流程图。首先，在步骤401，目标无线电基站从源无线电基站接收标记识别码TeIT3。随后，在步骤403，目标无线电基站从移动台接收终端识别码标记TeIT2。于是，在步骤405，目标基站将标记识别码TeIT3与終端标记识别码TeIT2进行比较。最后，在步骤407，目标无线电基站根据在步骤405的比较来验证移动台的可靠性。图5中，示出当对于蜂窝无线电系统验证移动台的可靠性时、在移动台中执行的步骤的流程图。首先，在步骤501，触发移动台以发送认证消息。例如，在切换期间或者当连接丢失时，移动台可能需要向蜂窝无线电系统的无线电基站(重新)认证自身。随后，在步骤503，移动台生成終端识别码标记。終端识别码标记可作为如上所述的终端识别码标记TeIT2来生成。最后，移动台在步骤505向蜂窝无线电网络的无线电基站传送认证消息，蜂窝无线电系统可根据它来认证移动台。图6中，示出适合根据以上所述来生成经变换的密码无线电基站密钥的示范无线电基站103。无线电基站包括模块601，用于选择在根据以上所述来创建密码密钥或终端识别码标记时使用的数据。模块601连接到适合根据以上所述来生成密码密钥或终端识别码标记的模块603。示范无线电基站103还可包括识别器模块(identifier module)605,适合使用如上所述的终端识别码标记来识别连接到无线电基站的UE。图7中，示出适合根据以上所述来生成終端识别码标记的示范用户设备(UE) 101。UE包括模块701，用于选择在根据以上所述来创建終端识别码标记时使用的数据。模块701连接到适合根据以上所述来生成終端识别码标记的模块703。在模块703中生成的终端识别码标记可由连接到模块703的标记发送器705来传送。使用本文所述的方法和系统将提供用于在切換情形以及在要求认证移动台的情形下提供蜂窝无线电系统中的安全通信的更有效过程。
权利要求
1.一种创建用于识别连接到无线电系统中的无线电基站的用户设备UE的终端识别码标记的方法，其中，所述UE经由与现有加密密钥关联的安全通信与无线电基站进行通信，其特征在于以下步骤: -响应于所述UE和所述无线电基站均已知的数据位集合、所述终端识别码和所述现有密钥而创建(303)所述终端识别码标记。
2.按权利要求1所述的方法，其特征在于，在创建所述终端识别码标记时附加输入参数被用作输入数据。
3.按权利要求1至2中的任一项所述的方法，其特征在于，使用伪随机函数来创建所述终端识别码标记。
4.按权利要求1至3中的任一项所述的方法，其特征在于，由用户设备UE执行所述方法。
5.按权利要求4所述的方法，其特征在于以下步骤: -将所述终端识别码标记作为所述UE的识别码传送(505)给所述无线电系统的无线电基站其中之一。
6.按权利要求5所述的方法，其特征在于使用所述终端识别码和所述现有密钥以及附加参数作为输入、按照伪随机函数来生成所述终端识别码标记的步骤。
7.按权利要求1-3中任一项所述的方法，其特征在于，所述方法由充当源无线电基站的无线电基站来执行。
8.按权利要求7所述的方法，其特征在于以下步骤: -向所述无线电系统的多个目标无线电基站分发(205)所述终端识别码标记。
9.一种由充当目标基站的无线电基站执行的用于识别用户设备UE的方法，其中，所述UE经由与现有加密密钥关联的安全通信与源无线电基站进行通信，其特征在于以下步骤: -从所述源基站接收(401)第一终端识别码标记，所述终端识别码标记由所述源基站响应于所述UE和所述无线电基站均已知的数据位集合、所述终端识别码和所述现有密钥而生成， -从UE接收(403)第二终端识别码标记，所述终端识别码标记由所述UE响应于所述UE和所述无线电基站均已知的数据位集合、所述终端识别码和所述现有密钥而生成， -通过比较(405)所述第一终端识别码标记和所述第二终端识别码标记，在所述目标无线电基站中识别所述用户设备，其中所述第一终端识别码标记和所述第二终端识别码标记均响应所述终端识别码和所述现有密钥而被创建。
10.按权利要求9所述的方法，其特征在于，使用所述终端识别码和所述现有密钥以及还有其它参数作为输入、按照伪随机函数来生成所述第二终端识别码标记。
11.按权利要求9或10所述的方法，其特征在于，使用所述第二终端识别码标记和其它参数作为输入、按照伪随机函数来生成所述第一终端识别码标记。
12.一种适合识别自身的用户设备UE (101)，所述UE可连接到无线电系统中的无线电基站，其中所述UE适合经由与现有加密密钥关联的安全通信与所述无线电系统的基站进行通信，其特征在于: -用于响应于所述UE和所述无线电基站均已知的数据位集合、所述终端识别码和所述现有密钥而创建所述终端识别码标记的部件(703)，以及-用于将所述终端识别码标记作为所述UE的识别码传送给所述无线电系统的无线电基站其中之一的部件(705)。
13.按权利要求12所述的UE，其特征在于，用于当创建所述终端识别码标记时使用附加输入參数作为输入数据的部件。
14.按权利要求12至13中的任一项所述的UE，其特征在于，用于使用伪随机函数来创建所述终端识别 码标记的部件。
全文摘要
本发明的名称是“生成蜂窝无线电系统中的无线电基站密钥的方法和设备”。在用于提供蜂窝无线电系统中安全通信的方法和系统中，通过确定UE和无线电基站均已知的数据位集合，并且响应所确定数据集合而创建无线电基站密钥，来生成无线电基站密钥。
文档编号H04W12/04GK103096313SQ201310063170
公开日2013年5月8日 申请日期2008年7月1日 优先权日2007年12月11日
发明者R.布洛姆, K.诺尔曼, M.林德斯特伦 申请人:爱立信电话股份有限公司