安全上下文处理方法及装置制造方法
【专利摘要】本发明提供了一种安全上下文处理方法及装置，该方法包括：确定当前状态由第一制式待机迁移到第二制式待机；依据在第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文；向网络侧发送请求信息，其中，请求信息中携带有用于标识终端由第一制式待机迁移到第二制式待机的标识信息，以及用于对终端侧安全上下文进行校验的校验信息，网络侧依据标识信息以及校验信息确定用于数据传输的安全上下文，通过本发明，解决了多模制式终端间进行制式的迁移时，存在安全性低，迁移效率低，影响网络性能的问题，进而达到了降低非法用户或者非法网络入侵几率，保证终端和网络安全功能延续性的效果。
【专利说明】安全上下文处理方法及装置
【技术领域】
[0001]本发明涉及通信领域，具体而言，涉及一种安全上下文处理方法及装置。
【背景技术】
[0002]基于无线通信传输的内容需要经过安全认证，用以保护用户数据的安全性以及避免入侵者伪装成合法用户获取通信内容。所以完备的商用网络和终端，在双方信令交互过程中对信令进行完整性保护和加密，对数据进行加密传输，达到安全传输目的。一套完整的安全上下文具体包括完整性保护密钥IK (integrity key)、加密密钥CK (cipheringkey)、双方协商均支持的完整性保护算法(integrity algorithm)和加密算法(cipheringalgorithm)。
[0003]通常情况下，在终端UE (User Equipment)开机进行位置登记或附着过程中，网络部分中的移动性管理实体(Mobile Management Entity，简称为MME)会与鉴权中心(Authenticat1n Centre,简称为AuC)进行交互，终端部分中的移动台与用户识别模块USIM (Subscriber Identity Module)进行交互，各自产生相同内容的完整性保护密钥和加密密钥。后续通过启动安全模式命令(Security Mode Command),协商双方支持的安全算法并投入使用。此后，终端和网络可以使用上述过程产生的安全上下文对信令和数据进行安全保护。
[0004]当单卡双待多模终端，在当前待机侧出现丢失覆盖或受限服务等情况导致分组交换PS (Packet Switched)业务无法继续使用时,转换到另一个待机侧时,此时处于迁移后的制式的终端需要再次与网络侧进行信令的交互生成相同的安全上下文实现数据的安全性保护，然而，再次与新制式下的网络进行信令交互时需要重新激活安全过程，网元之间交互负担重，非法入侵概率大。
[0005]因此，在相关技术中，在多模制式终端间进行制式的迁移时，存在安全性低，迁移效率低，影响网络性能的问题。
【发明内容】
[0006]本发明提供了一种安全上下文处理的方法及装置，以至少解决相关技术中在多模制式终端间进行制式的迁移时，存在安全性低，迁移效率低，影响网络性能的问题。
[0007]根据本发明的一个方面，提供了一种安全上下文处理方法，包括:确定当前状态由第一制式待机迁移到第二制式待机；依据在所述第一制式待机状态的安全上下文参数生成第二制式待机的终端侧安全上下文；向网络侧发送请求信息，其中，所述请求信息中携带有用于标识所述终端由第一制式待机迁移到第二制式待机的标识信息，以及用于对所述终端侧安全上下文进行校验的校验信息，所述网络侧依据所述标识信息以及所述校验信息确定用于数据传输的安全上下文。
[0008]优选地，依据在所述第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文包括:获取所述第一制式待机状态下的终端侧安全上下文参数；根据所述终端侧的安全上下文参数生成完整性保护密钥IK和加密密钥CK ;依据所述完整性保护密钥IK和加密密钥CK生成第二制式待机状态下的所述终端侧安全上下文。
[0009]优选地，所述第一制式待机、所述第二制式待机为以下至少之一:频分复用长期演进FDD-LTE、时分复用长期演进TDD-LTE、时分同步码分多址接入TD-SCDMA、全球移动通信GSM。
[0010]根据本发明的另一方面，还提供了一种安全上下文处理方法，包括:接收来自终端UE的请求信息，其中，所述请求信息中携带有用于标识所述UE由第一制式待机迁移到第二制式待机的标识信息，以及用于对所述终端侧安全上下文进行校验的校验信息；依据所述标识信息，生成网络侧安全上下文；依据所述校验信息以及所述网络侧安全上下文，确定用于数据传输的安全上下文。
[0011]优选地，依据所述标识信息，生成网络侧安全上下文包括:依据所述标识信息获取所述UE在所述第一制式待机状态下的网络侧安全上下文参数；依据所述网络侧安全上下文参数生成在所述第二制式待机状态下的所述网络侧安全上下文。
[0012]优选地，依据所述校验信息以及所述网络侧安全上下文，确定用于数据传输的安全上下文包括:判断所述校验信息与依据所述网络侧安全上下文生成的校验信息是否一致；在判断结果为是的情况下，确定相同校验信息对应的安全上下文为用于数据传输的所述安全上下文。
[0013]优选的，在确定用于数据传输的所述安全上下文之后，还包括:依据确定的所述安全上下文进行上下文数据传输。
[0014]根据本发明的再一方面，提供了一种安全上下文处理装置，包括:第一确定模块，用于确定当前状态由第一制式待机迁移到第二制式待机；第一生成模块，用于依据在所述第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文；发送模块，用于向网络侧发送请求信息，其中，所述请求信息中携带有用于标识所述终端由第一制式待机迁移到第二制式待机的标识信息，以及用于对所述终端侧安全上下文进行校验的校验信息，所述网络侧依据所述标识信息以及所述校验信息确定用于数据传输的安全上下文。
[0015]优选地，所述第一生成模块包括:第一获取单元，用于获取所述第一制式待机状态下的终端侧安全上下文参数；第一生成单元，用于根据所述终端侧安全上下文参数生成完整性保护密钥IK和加密密钥CK ;第二生成单元，用于依据所述完整性保护密钥IK和加密密钥CK生成第二制式待机状态下的所述终端侧安全上下文。
[0016]根据本发明的又一方面，提供了一种安全上下文处理装置，包括:接收模块，用于接收来自终端UE的请求信息，其中，所述请求信息中携带有用于标识所述UE由第一制式待机迁移到第二制式待机的标识信息，以及用于对所述终端侧安全上下文进行校验的校验信息；第二生成模块，用于依据所述标识信息，生成网络侧安全上下文；第二确定模块，用于依据所述校验信息以及所述网络侧安全上下文，确定用于数据传输的安全上下文。
[0017]优选地，所述第二生成模块包括:第二获取单元，用于依据所述标识信息获取所述UE在所述第一制式待机状态下的网络侧安全上下文参数；第三生成单元，用于依据所述网络侧安全上下文参数生成在所述第二制式待机状态下的所述网络侧安全上下文。
[0018]优选地，所述第二确定模块包括:判断单元，用于判断所述校验信息与依据所述网络侧安全上下文生成的校验信息是否一致；确定单元，用于在所述判断单元的判断结果为是的情况下，确定相同校验信息对应的安全上下文为用于数据传输的所述安全上下文。
[0019]优选地，所述安全上下文处理装置还包括:传输模块，用于依据确定的所述安全上下文进行上下文数据传输。
[0020]通过本发明，采用确定当前状态由第一制式待机迁移到第二制式待机；依据在所述第一制式待机状态的安全上下文参数生成用于第二制式待机业务的终端侧安全上下文；向网络侧发送请求信息，其中，所述请求信息中包括所述终端侧安全上下文，以及用于标识所述终端由第一制式迁移到所述第二制式的标识信息，解决了相关技术中在多模制式终端间进行制式的迁移时，存在安全性低，迁移效率低，影响网络性能的问题，进而达到了在不改变现有标准接口的情况下，不必通过显式信令进行交互采用安全上下文，减少了网元之间的交互，不仅提高了迁移效率，而且增强了网络安全性的效果。
【专利附图】
【附图说明】
[0021]此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中:
[0022]图1是根据本发明实施例的安全上下文处理方法的流程图一；
[0023]图2是根据本发明实施例的安全上下文处理方法的流程图二 ；
[0024]图3是根据本发明实施例的安全上下文处理装置的结构框图一；
[0025]图4是根据本发明实施例的安全上下文处理装置中第一生成模块34的结构框图；
[0026]图5是根据本发明实施例的安全上下文处理装置的结构框图二 ；
[0027]图6是根据本发明实施例的安全上下文处理装置的第二生成模块54的结构框图；
[0028]图7是根据本发明实施例的安全上下文处理装置的第二确定模块56的结构框图；
[0029]图8是根据本发明实施例的安全上下文处理装置的优选结构框图；
[0030]图9是根据本发明优选实施方式的隐藏文件夹处理方法流程图。
【具体实施方式】
[0031]下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
[0032]在本实施例中提供了一种安全上下文处理的方法，图1是根据本发明实施例的安全上下文处理方法的流程图一，如图1所示，该流程包括如下步骤:
[0033]步骤S102，确定当前状态由第一制式待机迁移到第二制式待机；
[0034]步骤S104，依据在上述第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文；
[0035]步骤S106，向网络侧发送请求信息，其中，上述请求信息中携带有用于标识该终端由第一制式待机迁移到第二制式待机的标识信息，以及用于对该终端侧安全上下文进行校验的校验信息，网络侧依据该标识信息以及校验信息确定用于数据传输的安全上下文。
[0036]通过上述步骤，在迁移至第二制式时，终端直接采用第一制式的安全上下文参数生成终端侧的安全上下文，不仅解决了相关技术中在多模制式终端间进行制式的迁移时，需要重新通过显式的信令进行安全上下文的交互，不仅存在安全性低，迁移效率低，影响网络性能的问题，进而达到了在不改变现有标准接口的情况下，不必通过显式信令进行交互采用安全上下文，减少了网元之间的交互，不仅提高了迁移效率，而且增强了网络安全性、提闻了终端和网络安全功能延续性，提闻用户体验。
[0037]在上述第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文包括以下方面，获取该第一制式待机状态下的终端侧安全上下文参数；根据该终端侧安全上下文参数生成完整性保护密钥IK和加密密钥CK ;依据该完整性保护密钥IK和加密密钥CK，采用对应的完整性保护算法和加密算法生成第二制式待机状态下的该终端侧安全上下文。
[0038]需要说明的是，上述第一制式待机、第二制式待机可以为以下至少之一:频分复用长期演进(Frequency Divis1n Duplexing-Long-Term Evolut1n,简称为 FDD-LTE)、时分复用长期演进(Time Divis1n Duplex-Long-Term Evolut1n,简称为 TDD-LTE)、时分同步码分多址接入(Time Divis1n-Synchronized Code Divis1n Multiple Access,简称为 TD-SCDMA)、全球移动通信(Global System for Mobile communicat1n,简称为GSM)。例如，由第一制式待机迁移到到第二制式待机时，第一制式待机可以为以下至少之一:FDD-LTE、TDD-LTE、TD-SCDMA，第二制式待机可以为以下至少之一:TD-SCDMA、GSM。
[0039]图2是根据本发明实施例的安全上下文处理方法的流程图二，如图2所示，该流程包括如下步骤:
[0040]步骤S202，接收来自终端UE的请求信息，其中，该请求信息中携带有用于标识该UE由第一制式待机迁移到第二制式待机的标识信息，以及用于对该终端侧安全上下文进行校验的校验信息；
[0041]步骤S204，依据上述标识信息，生成网络侧安全上下文；
[0042]步骤S206，依据该校验信息以及该网络侧安全上下文，确定用于数据传输的安全上下文。
[0043]通过上述步骤，在终端由第一制式待机迁移至第二制式待机时，在接收到终端直接采用第一制式的安全上下文参数生成终端侧的安全上下文后发送的请求消息时，依据终端传送过来的制式迁移标识，在网络侧生成安全上下文，不仅解决了相关技术中在多模制式终端间进行制式的迁移时，网络侧需要重新与终端侧通过显式的信令进行安全上下文的交互，不仅存在安全性低，迁移效率低，影响网络性能的问题，进而达到了在不改变现有标准接口的情况下，不必通过显式信令进行交互采用安全上下文，减少了网元之间的交互，不仅提高了迁移效率，而且增强了网络安全性、提高了终端和网络安全功能延续性，提高用户体验。
[0044]较优地，依据该标识信息，生成网络侧安全上下文可以采用以下处理:依据该标识信息获取UE在上述第一制式待机状态下的网络侧安全上下文参数，即第二制式网元可以依据该标识信息从第一制式网元处获取到该网络侧安全上下文参数；依据该网络侧安全上下文参数依据预先存储的生成安全上下文的算法生成在上述第二制式待机状态下的网络侧安全上下文。
[0045]在依据该校验信息以及上述网络侧安全上下文，确定用于数据传输的安全上下文时，可以先依据生成的网络侧安全上下文生成该网络侧安全上下文的校验信息，之后，判断上述请求信息中携带的校验信息与依据上述网络侧安全上下文生成的校验信息是否一致；在判断结果为是的情况下，即两者一致的情况下，确定该相同的校验信息对应的安全上下文为用于数据传输的安全上下文。较佳地，在确定用于数据传输的上述安全上下文之后，还可以包括:依据确定的上述安全上下文进行上下文数据传输。
[0046]在本实施例中还提供了一种安全上下文处理装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。
[0047]图3是根据本发明实施例的安全上下文处理装置的结构框图一，如图3所示，该装置包括:第一确定模块32，第一生成模块34和发送模块36，下面对该装置进行说明。
[0048]第一确定模块32，用于确定当前状态由第一制式待机迁移到第二制式待机；第一生成模块34，连接至上述第一确定模块32，用于依据在上述第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文；发送模块36，连接至上述第一生成模块34，用于向网络侧发送请求信息，其中，该请求信息中携带有用于标识终端由第一制式待机迁移到第二制式待机的标识信息，以及用于对该终端侧安全上下文进行校验的校验信息，上述网络侧依据标识信息以及校验信息确定用于数据传输的安全上下文。
[0049]图4是根据本发明实施例的安全上下文处理装置中第一生成模块34的结构框图，如图4所示，该第一生成模块34包括:第一获取单元42，第一生成单元44和第二生成单元46，下面对该模块进行说明。
[0050]第一获取单元42，用于获取该第一制式待机状态下的终端侧安全上下文参数；第一生成单元44，连接至上述第一获取单元42，用于根据该终端侧安全上下文参数生成完整性保护密钥IK和加密密钥CK ;第二生成单元46，连接至上述第一生成单元44，用于依据该完整性保护密钥IK和加密密钥CK生成第二制式待机状态下的该终端侧安全上下文。
[0051]图5是根据本发明实施例的安全上下文处理装置的结构框图二，如图5所示，该装置包括:接收模块52，第二生成模块54和第二确定模块56，下面对该模块进行说明。
[0052]接收模块52，用于接收来自终端UE的请求信息，其中，该请求信息中携带有用于标识该UE由第一制式待机迁移到第二制式待机的标识信息，以及用于对终端侧安全上下文进行校验的校验信息；第二生成模块54，连接至上述接收模块52，用于依据该标识信息，生成网络侧安全上下文；第二确定模块56，连接至上述第二生成模块54，用于依据该校验信息以及该网络侧安全上下文，确定用于数据传输的安全上下文。
[0053]图6是根据本发明实施例的安全上下文处理装置的第二生成模块54的结构框图，如图6所示，该第二生成模块54包括:第二获取单元62和第三生成单元64，下面对该模块进行说明。
[0054]第二获取单元62，用于依据上述标识信息获取该UE在上述第一制式待机状态下的网络侧安全上下文参数；第三生成单元64，连接至上述第二获取单元62，用于依据该网络侧安全上下文参数生成在上述第二制式待机状态下的网络侧安全上下文。
[0055]图7是根据本发明实施例的安全上下文处理装置的第二确定模块56的结构框图，如图7所示，该第二确定模块56包括:判断单元72和确定单元74，下面对该模块进行说明。
[0056]判断模块72，用于判断上述校验信息与依据上述网络侧安全上下文生成的校验信息是否一致；确定单元74，连接至上述判断单元72，用于在上述判断单元的判断结果为是的情况下，确定相同校验信息对应的安全上下文为用于数据传输的安全上下文。
[0057]图8是根据本发明实施例的安全上下文处理装置的优选结构框图，如图8所示，该处理装置除了包括图5所有模块外，还包括传输模块82。下面对传输模块82进行说明。
[0058]传输模块82，连接至上述第二确定模块56，用于依据确定的安全上下文进行上下文数据传输。
[0059]通过上述实施例及优选实施方式，单卡双待多模终端在分组数据业务在不同待机侧迁移时，不需要通过显式的信令鉴权和安全模式命令，在终端新的待机侧和新的网络系统下生成可用的安全上下文。缩短因用户业务迁移过程中因重新激活安全过程而导致的时延，新的安全上下文生成方式简化网元间的交互和维护负担，降低非法用户或者非法网络入侵的机率。在不需要更新和新增目前现有的标准接口，便能保证终端和网络安全功能的延续性。
[0060]需要指出的是，上述终端例如可以为单卡双待多模(支持FDD-LTE/TDD-LTE/TD-SCDMA/GSM制式)终端，针对在当前待机侧(支持TDD-LTE/FDD-LTE制式)出现丢失覆盖或受限服务等情况导致PS业务无法继续使用时，转换到另一个待机侧(支持TD-SCDMA/GSM)时，在本实施例中提供了一种能够生成在当前待机侧可以投入使用的安全上下文的方法。该方法包括如下处理:
[0061]当LTE待机侧丢失覆盖或者受限服务时导致PS业务无法在LTE待机侧使用而需要迁移到TDS待机侧，TDS待机侧使用LTE待机侧保持的安全上下文参数RAND和Kasme，根据密钥衍生算法计算出TDS待机侧使用的密钥CK和IK，进而根据UE和网络已经协商好的通用移动通信系统(Universal Mobile Telecommunicat1n System,简称为 UMTS)算法，形成一套完整的安全上下文。TDS待机侧首先计算出分组域用户临时移动用户识别码(Packet Temperate Mobile Subscript1n Identity,简称为 P-TMSI) Signature,且在Routing Area Update Request消息中携带用以服务通用分组无线业务支持节点(ServingGeneral Packet Rad1 Service Supporting Node,简称为 SGSN)本地生成安全上下文后用以验证双方是否一致，并且该消息中携带CSKN来标识TDS待机侧已经生成的安全上下文。当SGSN收到Routing Area Update Request中，根据CKSN指不信息从MME处获取RAND和Kasme，相同方式计算出CK和IK，与UMTS安全算法合并成当前安全上下文。SGSN本地计算出P-TMSI Signature，与UE侧计算的结果进行匹配。若匹配成功，说明当前安全上下文可投入使用，后续不必通过鉴权加密过程，即可立即对上下行数据安全保护传输。
[0062]安全上下文是由终端和网络在各自系统下生成的。一个网络下的合法用户，在归属用户服务器(Home Subscriber Server,简称为HSS) /鉴权中心AuC和用户识别模块USIMCSubscriber Identity Module)中配置具有相同的 K 值、源点码(Originating PointCode，简称为0PC)码和基础密钥生成算法，这些都是生成安全上下文的基础数据。
[0063]下面结合附图对本发明实施例的优选实施方式进行说明。
[0064]图9是根据本发明优选实施方式的隐藏文件夹处理方法流程图，如图9所示，该流程包括如下步骤:
[0065]SI，处于TDS和LTE覆盖下的单卡双待多模终端开机时，两个待机侧分别驻留到TDS小区和LTE小区，并且分别向各自的核心网发送位置登记请求(Locat1n UpdateRequest)和附着请求(Attach Request),其中携带的身份标识信息国际移动用户识别码(Internat1nal Mobie Subscriber Identity,简称为IMSI)是相同的，并且分别将终端支持的LTE安全算法和TDS安全算法携带给网络。
[0066]S2，当MME收到终端的Attach Request后，本地产生一个随机数RAND和AUTN，通过与HSS/Auc的交互，产生LTE安全上下文的基础密钥Kasme并本地保存，且用MSI识别属于哪个终端。MME向终端发起鉴权过程，将RAND和AUTN携带给终端。
[0067]S3，终端使用接收到的RAND和AUTN，并且通过USIM的计算，生成与MME相同的Kasme，终端本地保存RAND和Kasme，并且通过鉴权响应回复给MME。MME通过比较鉴权响应中的结果，用以确认双方维护的基础密钥是否相同。
[0068]S4，当MME确认双方维护了相同的基础密钥，根据从Attach Request中提出终端支持的安全算法，匹配MME支持的算法，并且选取公共算法，使用Kasme、完整性保护算法 EIA、加密算法 EEA,通过公式(Hash-Base Message Authenticat1n Code,简称为HMAC)-安全散列算法(Secure Hash Algorithm,简称为 SHA)_256(Key, AlgId)(33401A.7)生成完整性保护密钥Knasint和加密密钥Knasenc，并且本地存储。通过安全模式命令Security Mode Command将网络选择的算法通知终端。
[0069]S5，终端确认安全激活使用的算法后，根据本地存储的Kasme，生成完整性保护密钥和加密密钥，并且回复Security Mode Complete通知网络安全上下文生成完成并投入使用。至此，网络和终端维护相同的安全上下文，包括RAND、Kasme、Knasint、Knasenc、EIA和EEA。
[0070]S6，与以上五步并发的，TDS待机侧完成位置登记过程，终端保存可用的UMTS加密算法UEA和完整性保护算法UIA。终端的电路域业务分流到TDS待机侧完成，分组数据业务分流到LTE待机侧完成。
[0071]S7，当终端离开LTE的覆盖区域导致LTE待机侧丢失覆盖或进入受限服务导致分组数据业务不可用时，终端进行分组数据业务迁移，在LTE待机侧恢复之前，在TDS待机侧进行分组数据。首先生成TDS待机侧所需要的安全上下文，具体的，TDS待机侧首先从LTE待机侧获取RAND和Kasme。这两个参数是PS域最新的安全参数之一，并且在网络侧MME处也有存储。终端根据密钥生成算法(Hash-Base Message Authenticat1n Code-Secure HashAlgorithm,简称为HMAC-SHA)，利用RAND和Kasme，生成TDS待机侧的完整性保护密钥IK和加密密钥CK。然后在根据c3函数，引入已生成的CK和IK，进而计算出通用分组无线业务(General Packet Rad1 Service 简称为 GPRS,加密键 Kc (ciphering Key) (TS33.102)。
[0072]S8，由于双待终端在TDS小区已经正常驻留并且能够获取电路交换域(CircuitSwitchedDomain，简称为CS)业务，通过前面位置登记过程，得知TDS的网络和多模终端共同支持的UMTS加密算法和完整性保护算法。终端可以将此类安全算法继续在PS业务中投入使用。此时，终端根据新生成的安全上下文，在TDS系统下发起路由更新过程，其中参数PTMSI可由LTE下的标识符⑶TI映射，用以表明终端发生系统间改变，PS业务是由LTE制式迁移过来的。其中终端根据当前安全上下文中存在的IK、CK、UIA和UEA等参数，组合出CK |IK、UEA |UIA，进一步计算出P-TMSI Signature，提供给SGSN用以检验双方生成的安全上下文是否一致。其中参数GPRS CKSN，用来标识终端当前使用的安全上下文所生成的方式。
[0073]S9,服务通用分组无线业务支撑节点(Serving General packet rad1 servicesupport node,简称为SGSN)收到终端的路由更新请求消息(Routing Area UpdateRequest),首先根据P-TMSI能够映射出⑶TI，确认出哪个MME维护该MSI下的RAND和Kasme,并且保存无线网络控制器(Rad1 Network Controller,简称为RNC)提供的当前CS域使用的UMTS安全算法。SGSN通过UE Context Request向所识别的MME处获取它所维护的RAND和Kasme，其中需要携带P-TMSI映射出的能够代表终端唯一身份认证的⑶TI。
[0074]S10, MME根据收到的⑶TI身份标识，查找本地存储的终端信息，并且将RAND、Kasme以及EPS承载信息等通过UE Context Response反馈给SGSN。
[0075]Sll，SGSN根据获取得到的RAND和Kasme，计算出UMTS下安全上下文中的完整性保护密钥IK和加密密钥CK，然后结合保存的RNC在用的UMTS安全算法，利用CK | | IK和UEA IUIA,本地计算出 Local P-TMSI Signature,与 Routing Area Update Request 中终端计算的P-TMSI Signature进行比较。
[0076](a)若两者一致，说明SGSN和终端分别生成的可用的并且有效的安全上下文。后续SGSN和终端的信令交互以及上下行数据可以进行安全保护。
[0077](b)若两者不一致，说明SGSN和终端维护的安全上下文存在差异或者遭到非法用户的入侵，SGSN放弃当前生成的安全上下文，重新通过现有方式，通过鉴权加密过程和安全模式过程，触发终端生成可用的安全上下文。
[0078]S12，LTE待机侧恢复覆盖或者能够提供正常服务，终端便不在维护当前TDS待机侧的安全上下文，继续使用先前存储的LTE待机侧可用的安全上下文。若后续发生鉴权过程，需要终端和MME删除旧的并且保存新的RAND和Kasme。
[0079]通过上述提供的生成安全上下文和分散式管理安全上下文方法。在不改变标准接口的情况下，达到了与现有技术具有相同的生成和校验安全上下文的功能。只要终端和网络侧设备安全该发明约定的规则，结合成熟的安全密钥衍生算法，使用新方式生成安全上下文，可以不必在通过显式的信令交互生成新安全上下文，减少了网元之间的交互，降低非法用户或非法网络入侵的机会。此外，能够利用双待终端同时且独立待机，但分组数据业务不会同时进行的特点，分散式的管理LTE待机侧和TDS待机侧安全上下文信息，两者不会造成相互干扰和影响。
[0080]显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
[0081]以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
【权利要求】
1.一种安全上下文处理方法，其特征在于，包括: 确定当前状态由第一制式待机迁移到第二制式待机； 依据在所述第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文； 向网络侧发送请求信息，其中，所述请求信息中携带有用于标识所述终端由第一制式待机迁移到第二制式待机的标识信息，以及用于对所述终端侧安全上下文进行校验的校验信息，所述网络侧依据所述标识信息以及所述校验信息确定用于数据传输的安全上下文。
2.根据权利要求1所述的方法，其特征在于，依据在所述第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文包括: 获取所述第一制式待机状态下的终端侧安全上下文参数； 根据所述终端侧安全上下文参数生成完整性保护密钥IK和加密密钥CK ； 依据所述完整性保护密钥IK和加密密钥CK生成第二制式待机状态下的所述终端侧安全上下文。
3.根据权利要求1所述的方法，其特征在于，所述第一制式待机、所述第二制式待机为以下至少之一: 频分复用长期演进FDD-LTE、时分复用长期演进TDD-LTE、时分同步码分多址接入TD-SCDMA、全球移动通信GSM。
4.一种安全上下文处理方法，其特征在于，包括: 接收来自终端UE的请求信息，其中，所述请求信息中携带有用于标识所述UE由第一制式待机迁移到第二制式待机的标识信息，以及用于对所述终端侧安全上下文进行校验的校验信息； 依据所述标识信息，生成网络侧安全上下文； 依据所述校验信息以及所述网络侧安全上下文，确定用于数据传输的安全上下文。
5.根据权利要求4所述的方法，其特征在于，依据所述标识信息，生成网络侧安全上下文包括: 依据所述标识信息获取所述UE在所述第一制式待机状态下的网络侧安全上下文参数； 依据所述网络侧安全上下文参数生成在所述第二制式待机状态下的所述网络侧安全上下文。
6.根据权利要求4所述的方法，其特征在于，依据所述校验信息以及所述网络侧安全上下文，确定用于数据传输的安全上下文包括: 判断所述校验信息与依据所述网络侧安全上下文生成的校验信息是否一致； 在判断结果为是的情况下，确定相同校验信息对应的安全上下文为用于数据传输的所述安全上下文。
7.根据权利要求4至6中任一项所述的方法，其特征在于，在确定用于数据传输的所述安全上下文之后，还包括: 依据确定的所述安全上下文进行上下文数据传输。
8.一种安全上下文处理装置，其特征在于，包括: 第一确定模块，用于确定当前状态由第一制式待机迁移到第二制式待机； 第一生成模块，用于依据在所述第一制式待机状态的安全上下文参数生成第二制式待机状态下的终端侧安全上下文； 发送模块，用于向网络侧发送请求信息，其中，所述请求信息中携带有用于标识所述终端由第一制式待机迁移到第二制式待机的标识信息，以及用于对所述终端侧安全上下文进行校验的校验信息，所述网络侧依据所述标识信息以及所述校验信息确定用于数据传输的安全上下文。
9.根据权利要求8所述的装置，其特征在于，所述第一生成模块包括: 第一获取单元，用于获取所述第一制式待机状态下的终端侧安全上下文参数； 第一生成单元，用于根据所述终端侧安全上下文参数生成完整性保护密钥IK和加密密钥CK ； 第二生成单元，用于依据所述完整性保护密钥IK和加密密钥CK生成第二制式待机状态下的所述终端侧安全上下文。
10.一种安全上下文处理装置，其特征在于，包括: 接收模块，用于接收来自终端UE的请求信息，其中，所述请求信息中携带有用于标识所述UE由第一制式待机迁移到第二制式待机的标识信息，以及用于对所述终端侧安全上下文进行校验的校验信息； 第二生成模块，用于依据所述标识信息，生成网络侧安全上下文； 第二确定模块，用于依据所述校验信息以及所述网络侧安全上下文，确定用于数据传输的安全上下文。
11.根据权利要求10所述的装置，其特征在于，所述第二生成模块包括: 第二获取单元，用于依据所述标识信息获取所述UE在所述第一制式待机状态下的网络侧安全上下文参数； 第三生成单元，用于依据所述网络侧安全上下文参数生成在所述第二制式待机状态下的所述网络侧安全上下文。
12.根据权利要求10所述的装置，其特征在于，所述第二确定模块包括: 判断单元，用于判断所述校验信息与依据所述网络侧安全上下文生成的校验信息是否一致； 确定单元，用于在所述判断单元的判断结果为是的情况下，确定相同校验信息对应的安全上下文为用于数据传输的所述安全上下文。
13.根据权利要求10至12中任一项所述的装置，其特征在于，还包括: 传输模块，用于依据确定的所述安全上下文进行上下文数据传输。
【文档编号】H04W48/08GK104427584SQ201310362040
【公开日】2015年3月18日 申请日期:2013年8月19日 优先权日:2013年8月19日
【发明者】于冬岩 申请人:中兴通讯股份有限公司