保护接口以及用于建立安全通信链路的过程的制作方法

本公开涉及保护接口以及用于在网络实体之间建立安全通信链路的过程。

背景技术：

通用引导架构(GBA)在题为“第三代合作伙伴计划；技术规范组服务和系统方面；通用认证架构(GAA)；通用引导架构(GBA)”，3GPP TS 33.220V12.3.0(2014-06)的文献中标准化和描述。

图1示出了GBA的基本元素，GBA是一种使得能够对用户进行认证的技术。

用户设备(UE)10通过Ub接口连接到引导服务器功能(BSF)20。UE还通过Ua接口连接到网络应用功能(NAF)。NAF 30通过Zn接口50连接到BSF 20。最后，BSF 20通过Zh接口连接到归属用户服务器(HSS)40。在上面提到的标准文献更详细地解释了引导(认证过程的另一个名称)架构以及对每个接口Ub、Ua、Zh和Zn(在标准文献中被称为参考点)的要求。

在历史上，网络应用功能(NAF)和引导服务器功能(BSF)都位于例如运营商的网络的安全区(也称为军事化区)中，并且可在没有重大安全问题的情况下通过Zn接口进行通信。通过安装和使用证书，即分别在NAF和BSF中的私钥和公钥，NAF和BSF使用非对称加密来保护Zn接口。

然而，如今随着物联网(IoT)的出现，NAF被拉出安全区并且被带入例如企业网络，从而将Zn接口暴露于不可信网络。

已经提出了在图2中示出的方案，其使用Zn-代理60以与BSF 20通过不可信网络进行通信。然而，该方案向访问网络添加节点并且不易于扩展。

技术实现要素：

因此，需要另一类型的方案。

提供了一种用于保护接口以及保护用于在应用功能与认证功能之间建立安全通信链路的过程的方法。所述方法包括位于非安全区中的应用功能向认证功能发送认证请求消息；以及应用功能从认证功能接收对认证请求的响应，该响应包括认证质询。所述方法包括应用功能向认证功能发送质询响应；以及在从认证功能接收到指示成功的响应时，应用功能使用在认证质询中包括的秘密认证凭证和信息来生成会话密钥。所述方法包括应用功能与认证功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种用于保护接口以及保护用于在位于非安全区中的应用功能与认证功能之间建立安全通信链路的过程的方法。所述方法包括认证功能从应用功能接收认证请求消息；以及针对在认证请求消息中提供的标识符，认证功能向归属用户服务器(HSS)发送对认证向量的请求。所述方法包括认证功能从HSS接收包括认证向量的响应；以及认证功能向应用功能发送对认证请求的响应，该响应包括从认证向量中获得的认证质询。所述方法包括认证功能从应用功能接收质询响应；以及在验证了质询响应时，认证功能使用认证向量中包括的信息来生成会话密钥。所述方法包括认证功能向应用功能发送指示成功的响应；以及认证功能与应用功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种位于非安全区中的用于保护接口和用于建立到认证功能的安全通信链路的过程的应用功能节点，该应用功能节点包括处理电路和存储器。存储器包含能够由处理电路执行的指令，由此应用功能节点可操作以向认证功能发送认证请求消息；以及从认证功能接收对认证请求的响应，应当响应包括认证质询。应用功能节点可操作以向认证功能发送质询响应；以及在从认证功能接收到指示成功的响应时，使用在认证质询中包括的秘密认证凭证和信息来生成会话密钥。应用功能节点可操作以与认证功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种用于保护接口和用于建立到位于非安全区中的应用功能的安全通信链路的过程的认证功能节点，该认证功能节点包括处理电路和存储器。存储器包含能够由处理电路执行的指令，由此认证功能节点可操作以从应用功能接收认证请求消息；以及针对在认证请求消息中提供的标识符，向归属用户服务器(HSS)发送对认证向量的请求。认证功能节点可操作以从HSS接收包括认证向量的响应；以及向应用功能发送对认证请求的响应，该响应包括从认证向量中获得的认证质询。认证功能节点可操作以从应用功能接收质询响应；以及在验证了质询响应时，使用认证向量中包括的信息来生成会话密钥。认证功能节点可操作以向应用功能发送指示成功的响应；以及与应用功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种位于非安全区中的用于保护接口和用于建立到认证功能的安全通信链路的过程的应用功能节点。应用功能节点包括发送模块，其用于向认证功能发送认证请求消息；以及接收模块，其用于从认证功能接收对认证请求的响应，该响应包括认证质询。发送模块还用于向认证功能发送质询响应。接收模块还用于从认证功能接收指示成功的响应。应用功能节点包括处理模块，其用于在接收到指示成功的响应时，使用在认证质询中包括的秘密认证凭证和信息来生成会话密钥；以及通信模块，其用于与认证功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种用于保护接口和用于建立到位于非安全区中的应用功能的安全通信链路的过程的认证功能节点。认证功能节点包括接收模块，其用于从应用功能接收认证请求消息；以及发送模块，其用于针对在认证请求消息中提供的标识符，向归属用户服务器(HSS)发送对认证向量的请求。接收模块还用于从HSS接收包括认证向量的响应。发送模块还用于向应用功能发送对认证请求的响应，该响应包括从认证向量中获得的认证质询。接收模块还用于从应用功能接收质询响应。认证功能节点包括处理模块，其用于在验证了质询响应时使用认证向量中包括的信息来生成会话密钥。发送模块还用于向应用功能发送指示成功的响应。认证功能节点包括通信模块，其用于与应用功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种其上存储有指令的非暂时性计算机介质，所述指令用于保护接口以及保护用于在位于非安全区中的应用功能与认证功能之间建立安全通信链路的过程。所述指令包括应用功能向认证功能发送认证请求消息；以及应用功能从认证功能接收对认证请求的响应，该响应包括认证质询。所述指令包括应用功能向认证功能发送质询响应；以及在从认证功能接收到指示成功的响应时，应用功能使用在认证质询中包括的秘密认证凭证和信息来生成会话密钥。所述指令包括应用功能与认证功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种其上存储有指令的非暂时性计算机介质，所述指令用于保护接口以及保护用于在位于非安全区中的应用功能与认证功能之间建立安全通信链路的过程。所述指令包括认证功能从应用功能接收认证请求消息；以及针对在认证请求消息中提供的标识符，认证功能向归属用户服务器(HSS)发送对认证向量的请求。所述指令包括认证功能从HSS接收包括认证向量的响应；以及认证功能向应用功能发送对认证请求的响应，该响应包括从认证向量中获得的认证质询。所述指令包括认证功能从应用功能接收质询响应；以及在验证了质询响应时，认证功能使用认证向量中包括的信息来生成会话密钥。所述指令包括认证功能向应用功能发送指示成功的响应；以及认证功能与应用功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种位于云计算环境中的非安全区中的应用功能实例，该云计算环境提供用于运行应用功能实例的处理电路和存储器，存储器包含能够由处理电路执行的指令，由此应用功能实例可操作以向认证功能发送认证请求消息；以及从认证功能接收对认证请求的响应，该响应包括认证质询。应用功能实例可操作以向认证功能发送质询响应；以及在从认证功能接收到指示成功的响应时，使用在认证质询中包括的秘密认证凭证和信息来生成会话密钥。应用功能实例可操作以与认证功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种云计算环境中的认证功能实例，该云计算环境提供用于运行认证功能实例的处理电路和存储器，存储器包含能够由处理电路执行的指令，由此认证功能实例可操作以从位于非安全区的应用功能接收认证请求消息；以及针对在认证请求消息中提供的标识符，向归属用户服务器(HSS)发送对认证向量的请求。认证功能实例可操作以从HSS接收包括认证向量的响应；以及向应用功能发送对认证请求的响应，该响应包括从认证向量中获得的认证质询。认证功能实例可操作以从应用功能接收质询响应；以及在验证了质询响应时，使用认证向量中包括的信息来生成会话密钥。认证功能实例可操作以向应用功能发送指示成功的响应；以及与应用功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种方法，包括以下步骤：发起位于云计算环境中的非安全区中的应用功能的实例化，该云计算环境提供用于运行应用功能的处理电路和存储器。应用功能在被实例化时可操作以向认证功能发送认证请求消息；以及从认证功能接收对认证请求的响应，该响应包括认证质询。应用功能在被实例化时可操作以向认证功能发送质询响应；以及在从认证功能接收到指示成功的响应时，使用在认证质询中包括的秘密认证凭证和信息来生成会话密钥。应用功能在被实例化时可操作以与认证功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

提供了一种方法，包括以下步骤：发起在云计算环境中的认证功能的实例化，该云计算环境提供用于运行认证功能的处理电路和存储器。认证功能在被实例化时可操作以从位于非安全区的应用功能接收认证请求消息；以及针对在认证请求消息中提供的标识符，向归属用户服务器(HSS)发送对认证向量的请求。认证功能在被实例化时可操作以从HSS接收包括认证向量的响应；以及向应用功能发送对认证请求的响应，该响应包括从认证向量中获得的认证质询。认证功能在被实例化时可操作以从应用功能接收质询响应；以及在验证了质询响应时，使用认证向量中包括的信息来生成会话密钥。认证功能在被实例化时可操作以向应用功能发送指示成功的响应；以及与应用功能握手，并使用该会话密钥来建立安全通信链路，从而保护应用功能与认证功能之间的接口。

附图说明

图1是根据现有技术的通用引导架构(GBA)的示意图；

图2是根据现有技术的改进的GBA的示意图；

图3是根据实施例的GBA的示意图；

图4是根据实施例的示出消息交换的示意图；

图5是根据实施例的可由应用功能执行的方法的流程图；

图6是根据实施例的可由认证功能执行的方法的流程图；

图7和图9示出根据一些实施例的应用功能节点；

图8和图10示出根据一些实施例的认证功能节点；

图11至图12是其中能部署实施例的云环境的示意图；

图13和图14是根据一些实施例的方法的流程图；

图15是根据实施例的示例的示意图。

具体实施方式

现在，将参考附图来描述各种特征和实施例，以向本领域的技术人员充分传达本公开的范围。

将根据动作或功能的顺序来描述许多方面。应当认识到在一些实施例中，一些功能或动作可由专用电路、由一个或多个处理器执行的程序指令、或由两者的组合来执行。

此外，一些实施例可以部分或完全地采用包含使处理电路执行在本文中所描述的技术的适当的计算机指令集的计算机可读载体或载波的形式具体化。

在一些替代的实施例中，功能/动作可以不按照动作序列中指示的顺序发生。此外，在一些图示中，一些块、功能或动作可以是可选的，并且可以或可以不被执行。

在当前的通用引导架构(GBA)中，对于网络应用功能(NAF)没有与引导服务器功能(BSF)一起位于也称为军事化区的安全区中的情况，传输层安全(TLS)被定义为一种用于Zn接口(也称为Zn参考点)的传输的安全方法。Zh接口上的这种TLS连接目前只通过安装和使用证书，即分别在应用功能(例如，NAF)和认证功能(例如，BSF)中的私钥和公钥，使用非对称加密来完成。

在非对称加密中，使用密钥对。公钥是公开的并且对其它实体可用。第二私钥是保密的。使用公钥加密的任何消息只能通过使用对应的私钥应用相同的算法来进行解密。反之，使用私钥加密的消息只能使用对应的公钥来进行解密。

非对称加密有几个缺点，尤其是在物联网(IoT)的上下文中。首先，它比对称加密更慢(将在下面进一步描述)。非对称加密需要更多的处理能力以对消息的内容进行加密和解密。

其次，使用非对称加密在不得不使用公钥基础设施(PKI)系统和证书的意义上是限制性的。使用PKI和证书需要证书颁发机构验证证书。在其中将有数百万甚至数十亿的连接设备的IoT的情况下，当不得不使用TLS来保护大量通信链路时，该证书方案将遭受到扩展问题。

因此，对称加密是用于建立传输层安全(TLS)的更灵活和可扩展的方案。对称加密基于共享密钥，即秘密密钥，其可以是在两终端共享和应用以加密和解密消息的数字、单词或者仅仅一串随机字母。

在本文中描述的实施例提供了用于采用安全的方式向网络节点提供共享密钥以及使用该共享密钥在两个网络节点之间的接口上建立安全通信链路的方案。

在一个实施例中，定义一种用于位于非安全区中的应用功能(例如，NAF)以与认证功能(例如，BSF)执行引导过程的方法。提出该方法作为保护在NAF与BSF之间被称为Znb的新接口的手段。一旦引导完成，NAF和BSF就具有预共享密钥(PSK)，其可用于执行TLS-PSK密码，从而创建安全信道而无需公共/私有证书。此外，TLS-PSK基于来自GBA引导方法的时限会话密钥，并且比TLS-PKI(其基于证书)更安全。

为了克服一些所描述的问题，在以下所描述的实施例中，应用功能(例如，NAF)可以配备有用户身份模块(SIM)，或者可替代地，配备有软件SIM凭证(其是与物理SIM等同的软件)。可以在引导期间使用这些凭证以生成GBA会话密钥。然后，NAF可以使用GBA会话密钥以创建与认证功能(例如，BSF)的TLS-PSK隧道。

图3示出了包括设备70的系统100，设备70可以是用户设备(UE)、机器到机器(M2M)设备、需要发送和/或接收数据的任何类型的连接计算设备或任何类型的传感器设备。系统100包括安全区110，也称为军事化区，认证功能20和HSS 40位于其中。认证功能20和HSS 40通常可以在安全区中安全地通信。然而，应当注意，在一些实施例中，认证功能20和HSS 40中的一个或其二者可以位于安全区110之外，例如，位于云端。例如，这些节点20、40可在提供可配置的计算机资源池的数据中心中运行。在这种情况下，可以使用与在本文中给出的类似的方法来保护这些节点之间的通信。系统100还包括非安全区90，应用功能30和应用服务器80位于其中，并且可以在其中彼此通信。这些节点通常但不必由同一实体拥有。系统100包括新的Znb接口55，其在下面将进一步详述。

图4示出了在位于非安全区中的应用功能30、认证功能20和HSS 40之间交换的消息。在这些节点之间交换的消息将关于图5和图6的方法进一步描述。

图5示出了用于保护接口以及保护用于在位于非安全区中的应用功能30与认证功能20之间建立安全通信链路的过程的方法300。方法300包括步骤310，在步骤310中，应用功能30向认证功能20发送认证请求消息120。方法300包括步骤320，在步骤320中，应用功能30从认证功能接收对认证请求150的响应，该响应包括认证质询。方法300包括步骤330，在步骤330中，应用功能30向认证功能20发送质询响应160。方法300包括步骤340，在步骤340中，在从认证功能20接收到指示成功的响应190时，应用功能30使用在认证质询中包括的秘密认证凭证和信息(未示出)来生成会话密钥200。方法300包括步骤350，在步骤350中，应用功能30与认证功能20握手，并使用会话密钥200来建立安全通信链路210，从而保护应用功能30与认证功能20之间的接口55。

如上所述，应用功能可以是网络应用功能(NAF)30，而认证功能可以是如在通用引导架构(GBA)中定义的引导服务器功能(BSF)20。

接口55可被称为NAF 30与BSF 20之间的Znb接口或参考点。然而，实际的“Znb”名称可以不同，只要用于保护接口和用于保护用于建立安全通信链路的过程的方法相同。

在方法300中，认证质询可以是由归属用户服务器(HSS)40生成的认证向量，而会话密钥可以是可用于特定的应用功能30的引导密钥会话(Ksb)。这意味着Ksb可用于保护认证功能20与仅一个应用功能30之间的链路。在认证质询中包括的信息例如可以包括消息认证码(MAC)和随机数(RAND)。

存储在应用功能30中的秘密认证凭证可以包括物理用户身份模块(SIM)、嵌入式SFM或软件SIM。本领域的技术人员将知道，具有类似于SIM卡的安全级别的硬件或软件认证凭证的其它变形也可以互换地使用。

在方法300中，安全通信链路可以是基于预共享密钥密码组(TLS-PSK)隧道的传输层安全。

图6示出了用于保护接口以及保护用于在位于非安全区中的应用功能30与认证功能20之间建立安全通信链路的过程的方法400。方法400包括步骤410，在步骤410中，认证功能20从应用功能30接收认证请求消息120。方法400包括步骤420，在步骤420中，针对在认证请求消息120中提供的标识符，认证功能20向归属用户服务器(HSS)40发送对认证向量130的请求。方法400包括步骤430，在步骤430中，认证功能20从HSS 40接收包括认证向量的响应140。方法400包括步骤440，在步骤440中，认证功能20向应用功能30发送对认证请求150的响应，该响应包括从认证向量中获得的认证质询。方法400包括步骤450，在步骤450中，认证功能20从应用功能30接收质询响应160。方法400包括步骤460，在步骤460中，在验证了质询响应170时，认证功能20使用认证向量中包括的信息来生成会话密钥180。方法400包括步骤470，在步骤470中，认证功能20向应用功能30发送指示成功的响应190。方法400包括步骤480，在步骤480中，认证功能20与应用功能30握手，并使用会话密钥180来建立安全通信链路210，从而保护应用功能30与认证功能20之间的接口。

图7示出了位于非安全区中的用于保护接口和用于建立到认证功能20的安全通信链路的过程的应用功能30节点，如前所述。应用功能节点30包括处理器或处理电路500以及存储器510、520，存储器510是暂时性存储器，而存储器520是非暂时性存储器，存储器510、520包含可由处理电路500执行的指令，由此应用功能30节点可操作以执行如先前关于图5所描述的方法300。应用功能30节点还包括至少一个通信接口530，以能够与网络或与其它节点进行通信，这对于本领域的技术人员是显而易见的。

图8示出了用于保护接口和用于建立到位于非安全区中的应用功能30的安全通信链路的过程的认证功能节点20，如前所述。认证功能20节点包括处理器或处理电路500以及存储器510、520，存储器510是暂时性存储器，而存储器520是非暂时性存储器，存储器510、520包含可由处理电路500执行的指令，由此认证功能20节点可操作以执行如先前关于图6所描述的方法400。认证功能节点20还包括至少一个通信接口530，以能够与网络或与其它节点进行通信，这对于本领域的技术人员是显而易见的。

图9示出了位于非安全区中的用于保护接口和用于建立到认证功能20的安全通信链路的过程的应用功能节点30。应用功能节点30包括发送模块630，其用于向认证功能20发送认证请求消息120。应用功能节点30包括接收模块630，其用于从认证功能20接收对认证请求150的响应，该响应包括认证质询。可替代地，发送和接收模块630可以是单独的模块。发送模块630还用于向认证功能20发送质询响应160。接收模块630还用于从认证功能20接收指示成功的响应190。应用功能节点30包括处理模块600，其用于在接收到指示成功的响应190时，使用在认证质询中包括的秘密认证凭证和信息来生成会话密钥。应用功能节点30包括通信模块640，其用于与认证功能20握手，并使用该会话密钥来建立安全通信链路210，从而保护应用功能节点30与认证功能20之间的接口。应用功能节点30还包括至少一个存储器模块610、620，存储器模块610是暂时性存储器，而存储器620是非暂时性存储器，存储器模块610、620包含可由处理模块执行的指令。应用功能节点30可操作以执行如先前关于图5所描述的方法300。

图10示出了用于保护接口和用于建立到位于非安全区中的应用功能30的安全通信链路的过程的认证功能节点20。认证功能节点20包括接收模块630，其用于从应用功能接收认证请求消息120。认证功能节点20包括发送模块630，其用于针对认证请求消息120中提供的标识符，向归属用户服务器(HSS)40发送对认证向量130的请求。可替代地，发送和接收模块630可以是单独的模块。接收模块630还用于从HSS接收包括认证向量的响应140。发送模块630还用于向应用功能30发送对认证请求的响应150，该响应包括从认证向量中获得的认证质询。接收模块630还用于从应用功能30接收质询响应160。认证功能节点20包括处理模块600，其用于在验证了170质询响应时，使用认证向量中包括的信息来生成会话密钥180。发送模块630还用于向应用功能30发送指示成功的响应190。认证功能节点20包括通信模块640，其用于与应用功能30握手，并使用该会话密钥来建立安全通信链路210，从而保护应用功能30与认证功能节点20之间的接口。认证功能节点20还包括至少一个存储器模块610、620，存储器模块610是暂时性存储器，而存储器620是非暂时性存储器，存储器模块610、620包含可由处理模块执行的指令。认证功能节点20可操作以执行如先前关于图6所描述的方法400。

尽管未示出图7至图10的应用功能节点30和认证功能节点20的所有细节，但是这些节点20、30包括一个或多个通用或专用处理器500、600或者用适合的软件编程指令和/或固件编程的其它微控制器，以执行在本文中描述的节点20、30的一些或全部功能。附加地或可替代地，节点20、30可以包括各种数字硬件块(例如，一个或多个专用集成电路(ASIC)、一个或多个现成的数字或模拟硬件组件或其组合)(未示出)，其被配置为执行在本文中描述的控制器节点20、30的一些或全部功能。处理器或处理电路500、600可使用诸如随机存取存储器(RAM)的存储器510、610来存储数据和编程指令，其在由处理器500、600执行时，执行在本文中描述的全部或部分功能。节点20、30还可以包括一个或多个存储介质520、620，以用于存储执行在本文中描述的功能所需和/或适用于执行在本文中描述的功能的数据，以及用于存储当在处理器500、600上执行时执行在本文中描述的全部或部分功能的编程指令。本公开的一个实施例可以实现为存储在计算机可读存储介质上的计算机程序产品，其包括编程指令，所述编程指令被配置为使处理器500、600执行在本文中描述的步骤。

参考回图7和图9，提供了一种非暂时性计算机介质520、620，其上存储有用于保护接口和用于保护在应用功能30与认证功能20之间建立安全通信链路的过程的指令。所述指令包括如先前关于图5所描述的方法300的步骤。

所图8和10，提供了一种非暂时性计算机介质520、620，其上存储有用于保护接口以及保护用于在应用功能30与认证功能20之间建立安全通信链路的过程的指令。所述指令包括如先前关于图6所描述的方法400的步骤。

参考图11，提供了应用功能实例720，其位于云计算环境700中的非安全区中，云计算环境700提供用于运行应用功能实例720的处理电路760和存储器790。存储器790包含可由所述处理电路760执行的指令795，由此应用功能实例720可操作以执行如先前关于图5所描述的方法300。

云计算环境700包括通用网络设备，其包括硬件730，硬件730包括一组一个或多个处理器或处理电路760，其可以是商用现货(COTS)处理器、专用集成电路(ASIC)或者包括数字或模拟硬件组件或专用处理器的任何其它类型的处理电路，以及也称为网络接口卡的网络接口控制器770(NIC)，其包括物理网络接口780。通用网络设备还包括非暂时性机器可读存储介质790-2，其中存储有可由处理器760执行的软件795和/或指令。在操作期间，处理器760执行软件795以实例化有时称为虚拟机监控器(VMM)的管理程序750，以及由管理程序750运行的一个或多个虚拟机740。虚拟机740是物理机器的软件实现，其运行程序就像它们在物理的非虚拟化机器上执行一样；并且应用通常不知道它们在虚拟机上运行而不是在“裸机”主机电子设备上运行，虽然某些系统为了优化的目的允许操作系统或应用知道虚拟化的存在而提供半虚拟化。每个虚拟机740以及执行该虚拟机的那部分硬件730，是专用于该虚拟机的硬件和/或由该虚拟机暂时与其它的虚拟机740共享的硬件的时间片，形成单独的虚拟网络单元(VNE)。

管理程序750可以呈现看起来像虚拟机740的网络硬件的虚拟操作平台，而虚拟机740可用于实现诸如控制通信和配置模块和转发表的功能，这种硬件的虚拟化有时被称为网络功能虚拟化(NFV)。因此，NFV可用于将多个网络设备类型合并到可位于数据中心中的行业标准高容量服务器硬件、物理交换机和物理存储，以及客户端设备(CPE)上。可以在一个或多个虚拟机740上实现应用功能30和认证功能20实例的不同实施例，并且这些实现可以不同地完成。

仍然参考图11，在云计算环境700中提供认证功能实例720，云计算环境700提供用于运行认证功能实例720的处理电路760和存储器790。存储器790包含可由处理电路760执行的指令795，由此认证功能实例720可操作以执行如先前关于图6所描述的方法400。

参考图12和13，提供了一种方法900，其包括由用户810发起位于云计算环境800中的非安全区中的应用功能的实例化的步骤920，云计算环境800提供用于运行应用功能的处理电路和存储器，该应用功能可操作以执行如先前关于图5所描述的方法300。

仍然参考图12并且参考图14，提供了一种方法950，其包括由用户810发起在云计算环境800中的认证功能的实例化的步骤960，云计算环境800提供用于运行认证功能的处理电路和存储器，该认证功能可操作以执行如先前关于图6所描述的方法400。

图15示出了包括设备70的示例性实施例，设备70可以是但不限于独立设备，诸如传感器、智能仪表、联网汽车、医疗设备、用户设备、手表、头戴式耳机、眼镜、家用电器等。设备70还可以是多个设备，诸如但不限于电网、连接设备的网络，诸如传感器、照相机、麦克风、计算设备、汽车、卡车、公共汽车、火车、飞机、自行车、自动售货机、工业机械、公用设施、智能建筑、仪表、灯具(光、热、冷却)，广告显示器等。

HSS 40具有与位于非安全区中的每个应用功能30有关的秘密认证凭证。在应用功能30中也提供相同的认证凭证。该步骤可以离线(例如，通过插入物理SIM)或在线(例如，如前所述地通过向应用功能30提供软件SIM)完成。该步骤必须采用安全的方式完成，这对于本领域的技术人员是显而易见的。

当应用功能30准备好与用认证功能20进行认证时，它基于共享密钥来执行自引导方法300，如先前关于图5所解释的。验证功能20可以使用密钥导出过程生成会话密钥180、200以用于特定的应用功能30。然后，使用会话密钥180、200在应用功能30与认证功能20之间建立安全的TLS PSK通信隧道210。

然后，设备70和认证功能20可以使用第二代(2G)认证和密钥协商(AKA)协议(如在背景技术部分中提到的标准文献中所描述的)相互认证，并且商定随后被应用于设备70与特定的应用功能30之间的会话密钥1030。然后还可以使用会话密钥1030在设备70与应用功能30之间建立TLS PSK通信隧道1040。

在引导已经完成之后，设备70和应用功能30可以运行一些应用特定的协议，其中，消息的认证基于在设备70与应用功能30之间的相互认证期间生成的会话密钥1030。设备70、应用功能30和应用服务器80然后可以安全地通信。

受益于在前述说明和相关联的附图中给出的教导的本领域的技术人员将会意识到各种修改和其它实施例。因此，应当理解，诸如除了上述实施例之外的特定形式的各种修改和其它实施例旨在被包括在本公开的范围内。所描述的实施例仅仅是说明性的，而不应当以任何方式被认为是限制性的。所要求保护的范围由所附权利要求而不是前述说明给出，并且落入权利要求的范围内的所有变形和等同物旨被包括在其中。尽管在本文中可以采用特定的术语，但是它们仅用于一般性和描述性意义，而不是用于限制的目的。