本申请涉及通信领域，具体涉及一种移动网络小数据的安全传输方法及装置。
背景技术：
第三代合作伙伴计划(3rdgenerationpartnershipproject，3gpp)提出了一种小数据的安全传输方法，如图1所示：
步骤101：终端ue与网络的连接被源基站挂起，ue和源基站保留了ue的上下文，其中包括安全相关的信息。
步骤102：终端ue在连接被挂起后的某个时刻有数据要发送，于是选择要接入的基站——目标基站，向目标基站发送随机接入请求，比如发起randomaccesspreamble消息。
步骤103：目标基站向ue发送随机接入响应，比如发送randomaccessresponse消息。
步骤104：ue向目标基站发送连接恢复请求，比如发送rrcconnectionresumerequest消息，ue使用上下文中已有的密钥对消息中的内容进行签名运算得到签名1，消息携带ue的标识信息和签名1，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤105：目标基站向根据ue的标识信息找到ue的源基站，向源基站发送ue上下文请求，比如发送x2retrieveuecontextrequest消息，携带ue的标识信息和签名1。
步骤106：源基站验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1，比如kenb*以及可选的ncc(下一跳链数值next-hopchaincount)，然后向目标基站发送ue上下文响应，比如发送x2retrieveuecontextresponse消息，携带密钥材料1。
步骤107：目标基站根据密钥材料1生成新的密钥，然后向ue发送连接恢复消息，比如发送rrcconnectionresume消息，消息使用新的密钥进行签名生成签名2，消息携带签名2，还可能携带密钥材料2，密钥材料2来自密钥材料1，比如ncc，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤108：ue根据上下文中的安全相关信息以及接收到的密钥材料2生成新密钥，该新密钥与网络使用的新密钥相同，然后向目标基站发送连接恢复完成消息，比如发送rrcconnectionresumecomplete消息，消息携带要发送的数据，此时ue和网络启用安全，因此消息使用新密钥进行了签名和加密。
步骤109：ue和目标基站使用新密钥实现数据的双向安全传输。
可以看出，在现有技术中ue要从挂起状态下发送数据，需要进行5个无线消息(ue和基站间)的交互，对ue的资源消耗比较大。
技术实现要素：
本发明的主要目的在于提出一种移动网络小数据的安全传输方法及装置，旨在解决现有技术中存在的上述问题。
根据本发明的另一个方面，还提供了一种移动网络小数据的安全传输方法，应用于第一基站，所述方法包括：
第一基站收到来自终端ue的第一加密数据和第三签名信息，或第一基站收到第一条或第二条来自终端ue的消息，其中携带第三签名信息，或第一基站收到第二条来自终端ue的消息，其中携带第一加密数据；
其中，所述第一加密数据在所述ue侧依据第一密钥加密，所述第一密钥在所述ue侧依据第一密钥材料生成，所述第一密钥材料在所述ue侧依据上下文生成；
所述第三签名信息在所述ue侧依据上下文生成；
所述第一基站执行以下之一操作：
收到来自第二基站的第二密钥材料，或收到来自第二基站的第一签名信息，或收到来自第二基站的第二加密数据并转发给ue；
所述第一基站收到所述第二密钥材料后转发给所述ue；或，所述第二密钥材料在所述第二基站侧依据所述ue的上下文生成；
所述第一基站收到所述第一签名信息后转发给所述ue，所述第一签名信息在所述第二基站侧依据第七密钥生成，所述第七密钥在所述第二基站侧依据第五密钥材料生成，所述第五密钥材料在所述第二基站侧依据所述ue的上下文生成；
所述第二加密数据在所述第二基站侧依据第八密钥加密，所述第八密钥在所述第二基站侧依据所述第五密钥材料生成；
或，
向所述ue发送第二签名信息，或第六密钥材料，或第三加密数据；
所述第二签名信息依据第三密钥计算，所述第三密钥依据第二密钥材料生成，所述第二密钥材料在所述第一基站侧依据所述ue的上下文生成；
所述第六密钥材料在所述第一基站侧的所述ue的上下文中，所述第六密钥材料用于在所述ue侧生成第八密钥材料，所述第八密钥材料用于在所述ue侧生成第五密钥；
所述第三加密数据依据第二密钥加密，所述第二密钥基于第七密钥材料生成，所述第七密钥材料来自所述第二基站并在所述第二基站侧基于所述ue的上下文生成，或所述第七密钥材料在所述第一基站侧依据所述ue的上下文生成。
可选地，所述方法还包括：
所述第二密钥材料用于在所述第一基站侧生成所述第二密钥；
可选地，所述方法还包括：
所述第二密钥用于解密所述第一加密数据。
可选地，所述方法还包括：
所述第二密钥材料用于生成第四密钥，所述第四密钥用于解密所述第一加密数据。
可选地，所述第一基站收到来自第二基站的所述签名信息，或第二加密数据前，还包括：
所述第一基站向所述第二基站转发所述第一加密数据或所述第三签名信息。
可选地，所述方法还包括：
所述第一基站向所述ue发送第三密钥材料，所述第三密钥材料来自所述第二密钥材料，所述第三密钥材料用于在所述ue侧生成第四密钥材料，所述第四密钥材料用于在所述ue侧生成所述第五密钥。
可选地，所述方法还包括：
所述第四密钥材料用于在所述ue侧生成第六密钥，所述第六密钥用于在所述ue侧校验所述第一签名信息或所述第二签名信息。
可选地，所述方法还包括：
所述第一基站收到所述第二条来自所述ue的消息，所述第一基站在收到第三条来自所述ue的消息前，向所述ue发送所述第二加密数据或所述第三加密数据。
可选地，所述方法还包括：
所述第一密钥材料用于在所述ue侧生成第六密钥，所述第六密钥用于在所述ue侧校验所述第一签名信息或所述第二签名信息。
根据本发明的一个方面，提供了一种移动网络小数据的安全传输方法，应用于第二基站，所述方法包括以下之一：
第二基站收到来自第一基站的携带第一加密数据或第三签名信息的消息；
所述第一加密数据由所述第一基站接收自终端ue，所述第一加密数据在所述ue侧依据第一密钥加密，所述第一密钥在所述ue侧依据第一密钥材料生成，所述第一密钥材料在所述ue侧基于上下文生成；
所述第三签名信息有所述第一基站接收自所述ue，所述第三签名信息在所述ue侧依据上下文生成；
所述第二基站向所述第一基站发送第一签名信息，或第六密钥材料，或第二加密数据；
所述第一签名信息用于由所述第一基站转发给所述ue，所述第一签名信息依据第七密钥计算，所述第七密钥基于第五密钥材料生成，所述第五密钥材料基于所述ue的上下文生成；
所述第六密钥材料用于由所述第一基站转发给所述ue；
所述第二加密数据用于由所述第一基站转发给所述ue，所述第二加密数据依据第八密钥加密，所述第八密钥基于所述第五密钥材料生成；
或，第二基站收到来自第一基站的消息，向所述第一基站发送第二密钥材料，所述第二密钥材料用于在所述第一基站侧生成第二密钥和第四密钥，所述第四密钥用于在所述第一基站侧解密第一加密数据，所述第一加密数据由第一基站侧接收自终端ue。
可选地，第二基站收到来自第一基站的携带第一加密数据的消息后，所述方法还包括：
所述第二基站使用所述第八密钥加密发送给所述ue的数据，并通过所述第一基站转发给所述ue；
或者，所述第二基站解密收到的通过所述第一基站转发的来自所述ue的加密数据。
根据本发明的另一个方面，还提供了一种移动网络小数据的安全传输方法，应用于终端ue，所述方法包括以下之一：
终端ue在向第一基站发送的第一条消息中或第二条消息中携带第一加密数据，所述第一加密数据依据第一密钥加密，所述第一密钥基于第一密钥材料生成，所述第一密钥材料基于上下文生成；
或，终端ue向第一基站发送第三签名信息和第一加密数据，所述第一加密数据依据第一密钥加密，所述第一密钥依据第一密钥材料生成，所述第一密钥材料基于上下文生成，所述第三签名信息基于所述上下文生成；
或，终端ue向第一基站发送第三签名信息，所述第三签名信息基于上下文生成；
所述ue收到来自第一基站的第四加密数据，所述第四加密数据依据第九密钥解密，所述第九密钥依据第六密钥材料生成。
可选地，所述方法还包括：
所述ue收到来自第一基站的第四加密数据，所述第四加密数据在所述第一基站发送给所述ue的第二条消息中携带。
可选地，所述方法还包括：
所述第九密钥与所述第一密钥相同，所述第六密钥材料与所述第一密钥材料相同。
可选地，所述方法还包括：
所述ue收到来自所述第一基站的第三密钥材料，所述第三密钥材料用于生成第四密钥材料，所述第四密钥材料用于生成第五密钥，所述第九密钥与所述第五密钥相同，所述第六密钥材料与所述第四密钥材料相同。
可选地，所述方法还包括：
所述ue收到来自所述第一基站的第二签名信息，所述第二签名信息用于所述ue依据第六密钥验证，所述第六密钥基于所述第四密钥材料生成。
可选地，所述方法还包括：
所述ue收到来自所述第一基站的第二签名信息，所述第二签名信息用于所述ue依据第六密钥验证，所述第六密钥基于所述第一密钥材料生成。
根据本发明的另一个方面，还提供了一种移动网络小数据的安全传输装置，应用于第一基站，所述方法包括：
第一接收模块，用于接收到来自终端ue的第一加密数据和第三签名信息，或第一基站收到第一条或第二条来自终端ue的消息，其中携带第三签名信息，或第一基站收到第二条来自终端ue的消息，其中携带第一加密数据；
其中，所述第一加密数据在所述ue侧依据第一密钥加密，所述第一密钥在所述ue侧依据第一密钥材料生成，所述第一密钥材料在所述ue侧依据上下文生成；
所述第三签名信息在所述ue侧依据上下文生成；
所述第一接收模块，还用于收到来自第二基站的第二密钥材料，或收到来自第二基站的第一签名信息，或收到来自第二基站的第二加密数据并转发给ue；
转发模块，用于将收到所述第二密钥材料后转发给所述ue；或，所述第二密钥材料在所述第二基站侧依据所述ue的上下文生成；
所述转发模块，还用于将收到所述第一签名信息后转发给所述ue，所述第一签名信息在所述第二基站侧依据第七密钥生成，所述第七密钥在所述第二基站侧依据第五密钥材料生成，所述第五密钥材料在所述第二基站侧依据所述ue的上下文生成；
所述第二加密数据在所述第二基站侧依据第八密钥加密，所述第八密钥在所述第二基站侧依据所述第五密钥材料生成；
或，
第一发送模块，用于向所述ue发送第二签名信息，或第六密钥材料，或第三加密数据；
所述第二签名信息依据第三密钥计算，所述第三密钥依据第二密钥材料生成，所述第二密钥材料在所述第一基站侧依据所述ue的上下文生成；
所述第六密钥材料在所述第一基站侧的所述ue的上下文中，所述第六密钥材料用于在所述ue侧生成第八密钥材料，所述第八密钥材料用于在所述ue侧生成第五密钥；
所述第三加密数据依据第二密钥加密，所述第二密钥基于第七密钥材料生成，所述第七密钥材料来自所述第二基站并在所述第二基站侧基于所述ue的上下文生成，或所述第七密钥材料在所述第一基站侧依据所述ue的上下文生成。
根据本发明的另一个方面，还提供了一种移动网络小数据的安全传输装置，应用于终端ue，所述方法包括以下之一：
处理模块，用于在向第一基站发送的第一条消息中或第二条消息中携带第一加密数据，所述第一加密数据依据第一密钥加密，所述第一密钥基于第一密钥材料生成，所述第一密钥材料基于上下文生成；
或，第二发送模块，用于向第一基站发送第三签名信息和第一加密数据，所述第一加密数据依据第一密钥加密，所述第一密钥依据第一密钥材料生成，所述第一密钥材料基于上下文生成，所述第三签名信息基于所述上下文生成；
或，第三发送模块，用于向第一基站发送第三签名信息，所述第三签名信息基于上下文生成；
第二接收模块，用于收到来自第一基站的第四加密数据，所述第四加密数据依据第九密钥解密，所述第九密钥依据第六密钥材料生成。
在本发明实施例中，还提供了一种计算机存储介质，该计算机存储介质可以存储有执行指令，该执行指令用于执行上述实施例中的移动网络小数据的安全传输方法的实现。
通过本发明实施例提供的小数据的安全传输方法及装置，ue从挂起状态下传输数据最少只需2条无线消息，最多需要4条无线消息，使得ue的资源消耗减少了，同时还保证了数据的安全传输。
附图说明
图1为现有技术的小数据的安全传输流程示意图1；
图2为本发明实施例一的小数据的安全传输流程示意图(一)；
图3为本发明实施例二的小数据的安全传输流程示意图(二)；
图4为本发明实施例三的小数据的安全传输流程示意图(三)；
图5为本发明实施例四的小数据的安全传输流程示意图(四)；
图6为本发明实施例五的小数据的安全传输流程示意图(五)；
图7为本发明实施例六的小数据的安全传输流程示意图(六)；
图8为本发明实施例七的小数据的安全传输流程示意图(七)；
图9为本发明实施例八的小数据的安全传输流程示意图(八)；
图10为本发明实施例九的小数据的安全传输流程示意图(九)；
图11为本发明实施例十的小数据的安全传输流程示意图(十)；
图12为根据本发明实施例的移动网络小数据的安全传输方法的流程图；
图13是根据本发明实施例的移动网络小数据的安全传输装置的结构框图。
具体实施方式
下面结合附图和具体实施例对本发明作进一步详细说明。
下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
图2是本发明实施例一的小数据的安全传输流程示意图(一)，该流程包括：
步骤201：终端ue与网络的连接被源基站挂起，ue和源基站保留了ue的上下文，其中包括安全相关的信息。
步骤202：终端ue在连接被挂起后的某个时刻有数据要发送，首先根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，其次选择要接入的基站——目标基站，并根据上下文中的安全相关信息(比如kenb)生成新密钥材料(比如kenb*)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新密钥材料生成新的签名密钥i和加解密密钥a，使用密钥a对要发送的数据进行加密得到数据a，最后向目标基站发送随机接入请求，比如发起randomaccesspreamble消息，携带ue的标识信息，签名1，和加密的数据a，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤203：目标基站向根据ue的标识信息找到ue的源基站，向源基站发送转发请求，比如发送x2forwardrequest消息，携带ue的标识信息和加密的数据a，可携带签名1。
步骤204：源基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料(比如kenb*)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新的密钥材料生成新的签名密钥i和加解密密钥a，并使用密钥a对数据a进行解密。
步骤205：源基站向目标基站发送转发响应，比如发送x2forwardresponse消息，使用密钥i对消息内容进行签名得到签名2，消息可携带签名2，如果源基站有数据要发送给ue，则该数据使用密钥a进行加密得到数据b，消息携带数据b。
步骤206：目标基站向ue发送随机接入响应，比如发送randomaccessresponse消息，消息可携带签名2，可携带加密的数据b，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤207：ue使用密钥i验证签名2，使用密钥a解密收到的数据b。
步骤208：ue和源基站通过目标基站的转发使用新密钥a实现数据的双向安全传输。
图3是本发明实施例二的小数据的安全传输流程示意图(二)，该流程包括：
步骤301：终端ue与网络的连接被源基站挂起，ue和源基站保留了ue的上下文，其中包括安全相关的信息。
步骤302：终端ue在连接被挂起后的某个时刻有数据要发送，首先根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，其次选择要接入的基站——目标基站，并根据上下文中的安全相关信息(比如kenb)生成新密钥材料(比如kenb*2)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新密钥材料生成新签名密钥i和加解密密钥a，使用密钥a对要发送的数据进行加密得到数据a，最后向目标基站发送随机接入请求，比如发起randomaccesspreamble消息，携带ue的标识信息，签名1，和加密的数据a，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤303：目标基站向根据ue的标识信息找到ue的源基站，向源基站发送ue上下文请求，比如发送x2retrieveuecontextrequest消息，携带ue的标识信息和签名1。
步骤304：源基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1(比如使用kenb派生出kenb*2，如果有ncc，则使用ncc派生出kenb*1，密钥材料1包含kenb*2，可能包含kenb*1和ncc)，使用该新密钥材料1更新ue上下文中的密钥材料信息(比如没有kenb*1时使用kenb*2更新kenb，有kenb*1时使用kenb*1更新kenb)，然后向目标基站发送ue上下文响应，比如发送x2retrieveuecontextresponse消息，携带密钥材料1。
步骤305：目标基站使用密钥材料1中的信息(比如kenb*2)生成新加解密密钥a，使用密钥a解密数据a，如果密钥材料1中没有kenb*1，则使用kenb*2生成新签名密钥i，如果有kenb*1，则使用kenb*1生成新签名密钥i和加解密密钥b，并用密钥b替换密钥a。
步骤306：目标基站向ue发送随机接入响应，比如发送randomaccessresponse消息，消息使用密钥i签名得到签名2，消息可携带签名2，如果目标基站有数据要发送，则使用密钥a加密数据得到数据b，消息可携带数据b，如果密钥材料1中有ncc，则消息还携带密钥材料2，密钥材料2(比如ncc)来自密钥材料1，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤307：如果ue收到密钥材料2，则使用密钥材料2生成新密钥材料(比如kenb*1)，并使用新密钥材料更新ue上下文中的密钥材料(比如用kenb*1更新kenb)，然后用新密钥材料(比如kenb*1)生成新签名密钥k和新加解密密钥b，并用密钥k替换密钥i，用密钥b替换密钥a，ue使用密钥i验证签名2，使用密钥a解密收到的数据b。
步骤308：ue和目标基站使用新密钥实现数据的双向安全传输。
图4是本发明实施例三的小数据的安全传输流程示意图(三)，该流程包括：
步骤401：终端ue与网络的连接被源基站挂起，ue和源基站保留了ue的上下文，其中包括安全相关的信息。
步骤402：终端ue在连接被挂起后的某个时刻有数据要发送，于是选择要接入的基站——目标基站，向目标基站发送随机接入请求，比如发起randomaccesspreamble消息，消息可携带ue的标识，ue可以根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，并在消息中携带签名1。
步骤403：目标基站向ue发送随机接入响应，比如发送randomaccessresponse消息。
步骤404：ue可以首先根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，其次根据上下文中的安全相关信息(比如kenb)生成新密钥材料(比如kenb*2)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新密钥材料生成新签名密钥i和加解密密钥a，使用密钥a对要发送的数据进行加密得到数据a，最后向目标基站发送连接恢复请求，比如发送rrcconnectionresumerequest消息，消息可以携带ue的标识信息，可以携带签名1，携带加密的数据a，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤405：目标基站向根据ue的标识信息找到ue的源基站，向源基站发送ue上下文请求，比如发送x2retrieveuecontextrequest消息，携带ue的标识信息和签名1。
步骤406：源基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1(比如使用kenb派生出kenb*2，如果有ncc，则使用ncc派生出kenb*1，密钥材料1包含kenb*2，可能包含kenb*1和ncc)，使用该新密钥材料1更新ue上下文中的密钥材料信息(比如没有kenb*1时使用kenb*2更新kenb，有kenb*1时使用kenb*1更新kenb)，然后向目标基站发送ue上下文响应，比如发送x2retrieveuecontextresponse消息，携带密钥材料1。
步骤407：目标基站使用密钥材料1中的信息(比如kenb*2)生成新加解密密钥a，使用密钥a解密数据a，如果密钥材料1中没有kenb*1，则使用kenb*2生成新签名密钥i，如果有kenb*1，则使用kenb*1生成新签名密钥i和加解密密钥b，并用密钥b替换密钥a。
步骤408：目标基站向ue发送连接恢复消息，比如发送rrcconnectionresume消息，消息使用密钥i签名得到签名2，消息可携带签名2，如果目标基站有数据要发送，则使用密钥a加密数据得到数据b，消息可携带数据b，如果密钥材料1中有ncc，则消息还携带密钥材料2，密钥材料2(比如ncc)来自密钥材料1，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤409：如果ue收到密钥材料2，则使用密钥材料2生成新密钥材料(比如kenb*1)，并使用新密钥材料更新ue上下文中的密钥材料(比如用kenb*1更新kenb)，然后用新密钥材料(比如kenb*1)生成新签名密钥k和新加解密密钥b，并用密钥k替换密钥i，用密钥b替换密钥a，ue使用密钥i验证签名2，使用密钥a解密收到的数据b。
步骤410：ue和目标基站使用新密钥实现数据的双向安全传输。
图5是本发明实施例四的小数据的安全传输流程示意图(四)，该流程包括：
步骤501：终端ue与网络的连接被基站挂起，ue和基站保留了ue的上下文，其中包括安全相关的信息。
步骤502：终端ue在连接被挂起后的某个时刻有数据要发送，首先根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，其次选择要接入的基站——步骤501中的基站，并根据上下文中的安全相关信息(比如kenb)生成新密钥材料(比如kenb*)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新密钥材料生成新的签名密钥i和加解密密钥a，使用密钥a对要发送的数据进行加密得到数据a，最后向基站发送随机接入请求，比如发起randomaccesspreamble消息，携带ue的标识信息，签名1，和加密的数据a，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤503：基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料(比如kenb*)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新的密钥材料(比如kenb*)生成新的签名密钥i和加解密密钥a，并使用密钥a对数据a进行解密。
步骤504：基站向ue发送随机接入响应，比如发送randomaccessresponse消息，使用密钥i对消息内容进行签名得到签名2，消息可携带签名2，如果基站有数据要发送给ue，则消息携带该数据，数据使用密钥a进行加密得到数据b，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤505：ue使用密钥i验证签名2，使用密钥a解密收到的数据b。
步骤506：ue和基站使用新密钥a实现数据的双向安全传输。
图6是本发明实施例五的小数据的安全传输流程示意图(五)，该流程包括：
步骤601：终端ue与网络的连接被基站挂起，ue和基站保留了ue的上下文，其中包括安全相关的信息。
步骤602：终端ue在连接被挂起后的某个时刻有数据要发送，首先根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，其次选择要接入的基站——步骤601中的基站，并根据上下文中的安全相关信息(比如kenb)生成新密钥材料(比如kenb*2)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新密钥材料(比如kenb*)生成新签名密钥i和加解密密钥a，使用密钥a对要发送的数据进行加密得到数据a，最后向目标基站发送随机接入请求，比如发起randomaccesspreamble消息，携带ue的标识信息，签名1，和加密的数据a，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤603：基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1(比如使用kenb派生出kenb*2，如果有ncc，则使用ncc派生出kenb*1，密钥材料1包含kenb*2，可能包含kenb*1和ncc)，使用该新密钥材料1更新ue上下文中的密钥材料信息(比如没有kenb*1时使用kenb*2更新kenb，有kenb*1时使用kenb*1更新kenb)，然后使用密钥材料1中的信息(比如kenb*2)生成新加解密密钥a，使用密钥a解密数据a，如果密钥材料1中没有kenb*1，则使用kenb*2生成新签名密钥i，如果有kenb*1，则使用kenb*1生成新签名密钥i和加解密密钥b，并用密钥b替换密钥a。
步骤604：基站向ue发送随机接入响应，比如发送randomaccessresponse消息，消息使用密钥i签名得到签名2，消息可携带签名2，如果基站有数据要发送，则使用密钥a加密数据得到数据b，消息可携带数据b，如果密钥材料1中有ncc，则消息还携带密钥材料2，密钥材料2(比如ncc)来自密钥材料1，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤605：如果ue收到密钥材料2，则使用密钥材料2生成新密钥材料(比如kenb*1)，并使用新密钥材料更新ue上下文中的密钥材料(比如用kenb*1更新kenb)，然后用新密钥材料(比如kenb*1)生成新签名密钥k和新加解密密钥b，并用密钥k替换密钥i，用密钥b替换密钥a，ue使用密钥i验证签名2，使用密钥a解密收到的数据b。
步骤606：ue和基站使用新密钥实现数据的双向安全传输。
图7是本发明实施例六的小数据的安全传输流程示意图(六)，该流程包括：
步骤701：终端ue与网络的连接被基站挂起，ue和基站保留了ue的上下文，其中包括安全相关的信息。
步骤702：终端ue在连接被挂起后的某个时刻有数据要发送，于是选择要接入的基站——步骤701中的基站，向基站发送随机接入请求，比如发起randomaccesspreamble消息。
步骤703：基站向ue发送随机接入响应，比如发送randomaccessresponse消息。
步骤704：ue首先根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，其次根据上下文中的安全相关信息(比如kenb)生成新密钥材料(比如kenb*2)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新密钥材料生成新签名密钥i和加解密密钥a，使用密钥a对要发送的数据进行加密得到数据a，最后向目标基站发送连接恢复请求，比如发送rrcconnectionresumerequest消息，携带ue的标识信息，签名1，和加密的数据a，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤705：基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1(比如使用kenb派生出kenb*2，如果有ncc，则使用ncc派生出kenb*1，密钥材料1包含kenb*2，可能包含kenb*1和ncc)，使用该新密钥材料1更新ue上下文中的密钥材料信息(比如没有kenb*1时使用kenb*2更新kenb，有kenb*1时使用kenb*1更新kenb)，然后使用密钥材料1中的信息(比如kenb*2)生成新加解密密钥a，使用密钥a解密数据a，如果密钥材料1中没有kenb*1，则使用kenb*2生成新签名密钥i，如果有kenb*1，则使用kenb*1生成新签名密钥i和加解密密钥b，并用密钥b替换密钥a。
步骤706：基站向ue发送连接恢复消息，比如发送rrcconnectionresume消息，消息使用密钥i签名得到签名2，消息可携带签名2，如果基站有数据要发送，则使用密钥a加密数据得到数据b，消息可携带数据b，如果密钥材料1中有ncc，则消息还携带密钥材料2，密钥材料2(比如ncc)来自密钥材料1，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤707：如果ue收到密钥材料2，则使用密钥材料2生成新密钥材料(比如kenb*1)，并使用新密钥材料更新ue上下文中的密钥材料(比如用kenb*1更新kenb)，然后用新密钥材料(比如kenb*1)生成新签名密钥k和新加解密密钥b，并用密钥k替换密钥i，用密钥b替换密钥a，ue使用密钥i验证签名2，使用密钥a解密收到的数据b。
步骤708：ue和基站使用新密钥实现数据的双向安全传输。
图8是本发明实施例七的小数据的安全传输流程示意图(七)，该流程包括：
步骤801：终端ue与网络的连接被源基站挂起，ue和源基站保留了ue的上下文，其中包括安全相关的信息。
步骤802：终端ue在连接被挂起后的某个时刻有数据要发送，首先根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，其次选择要接入的基站——目标基站，并根据上下文中的安全相关信息(比如kenb)生成新密钥材料(比如kenb*)，使用该新密钥材料更新ue上下文中的密钥材料信息(比如kenb)，然后基于新密钥材料生成新的签名密钥i和加解密密钥a，使用密钥a对要发送的数据进行加密得到数据a，最后向目标基站发送随机接入请求，比如发起randomaccesspreamble消息，携带ue的标识信息，签名1，和加密的数据a，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤803：目标基站向根据ue的标识信息找到ue的源基站，向源基站发送转发请求，比如发送x2forwardrequest消息，携带ue的标识信息和加密的数据a，可携带签名1。
步骤804：源基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1(比如使用kenb派生出kenb*2，如果有ncc，则使用ncc派生出kenb*1，密钥材料1包含kenb*2，可能包含kenb*1和ncc)，使用该新密钥材料1更新ue上下文中的密钥材料信息(比如没有kenb*1时使用kenb*2更新kenb，有kenb*1时使用kenb*1更新kenb)，然后使用密钥材料1中的信息(比如kenb*2)生成新加解密密钥a，使用密钥a解密数据a，如果密钥材料1中没有kenb*1，则使用kenb*2生成新签名密钥i，如果有kenb*1，则使用kenb*1生成新签名密钥i和加解密密钥b，并用密钥b替换密钥a。
步骤805：源基站向目标基站发送转发响应，比如发送x2forwardresponse消息，如果密钥材料1中有ncc，则消息还携带密钥材料2，密钥材料2(比如ncc)来自密钥材料1，使用密钥i对消息内容进行签名得到签名2，消息可携带签名2，如果源基站有数据要发送给ue，则该数据使用密钥a进行加密得到数据b，消息携带数据b。
步骤806：目标基站向ue发送随机接入响应，比如发送randomaccessresponse消息，消息携带密钥材料2，可携带签名2，可携带加密的数据b，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤807：如果ue收到密钥材料2，则使用密钥材料2生成新密钥材料(比如kenb*1)，并使用新密钥材料更新ue上下文中的密钥材料(比如用kenb*1更新kenb)，然后用新密钥材料(比如kenb*1)生成新签名密钥k和新加解密密钥b，并用密钥k替换密钥i，用密钥b替换密钥a，ue使用密钥i验证签名2，使用密钥a解密收到的数据b。
步骤808：ue和源基站通过目标基站的转发使用新密钥a实现数据的双向安全传输。
图9是本发明实施例八的小数据的安全传输流程示意图(八)，该流程包括：
步骤901：终端ue与网络的连接被源基站挂起，ue和源基站保留了ue的上下文，其中包括安全相关的信息。
步骤902：源基站收到要发送给ue的数据，通过目标基站向ue发送寻呼消息，比如发送paging消息，消息途经目标基站；
步骤903：目标基站转发寻呼消息给ue；
步骤904：终端ue根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，向目标基站发送随机接入请求，比如发起randomaccesspreamble消息，携带ue的标识信息，签名1，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤905：目标基站向根据ue的标识信息找到ue的源基站，向源基站发送ue上下文请求，比如发送x2retrieveuecontextrequest消息，携带ue的标识信息和签名1。
步骤906：源基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1(比如，如果没有ncc则使用kenb派生出kenb*1，如果有ncc，则使用ncc派生出kenb*1，密钥材料1包含kenb*1，可能包含ncc)，使用该新密钥材料1更新ue上下文中的密钥材料信息(比如使用kenb*1更新kenb)，然后向目标基站发送ue上下文响应，比如发送x2retrieveuecontextresponse消息，携带密钥材料1；
步骤907：目标基站将要发送给ue的数据转发给目标基站；
步骤908：目标基站使用密钥材料1中的信息(比如kenb*1)生成新加解密密钥b和新签名密钥i。
步骤909：目标基站向ue发送随机接入响应，比如发送randomaccessresponse消息，使用密钥i签名消息内容得到签名2，消息可携带签名2，使用密钥a加密数据得到数据b，消息可携带数据b，如果密钥材料1中有ncc，则消息还携带密钥材料2，密钥材料2(比如ncc)来自密钥材料1，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤910：如果ue收到密钥材料2，则使用密钥材料2生成新密钥材料(比如kenb*1)，并使用新密钥材料更新ue上下文中的密钥材料(比如用kenb*1更新kenb)，然后用新密钥材料(比如kenb*1)生成新签名密钥i和新加解密密钥b，ue使用密钥i验证签名2，使用密钥b解密收到的数据b。
步骤911：ue和目标基站使用新密钥实现数据的双向安全传输。
图10是本发明实施例九的小数据的安全传输流程示意图(九)，该流程包括：
步骤1001：终端ue与网络的连接被源基站挂起，ue和源基站保留了ue的上下文，其中包括安全相关的信息。
步骤1002：源基站收到要发送给ue的数据，通过目标基站向ue发送寻呼消息，比如发送paging消息，消息途经目标基站；
步骤1003：目标基站转发寻呼消息给ue；
步骤1004：终端ue根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，向目标基站发送随机接入请求，比如发起randomaccesspreamble消息，携带ue的标识信息，签名1，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤1005：目标基站向根据ue的标识信息找到ue的源基站，向源基站发送转发请求，比如发送x2forwardrequest消息，携带ue的标识信息，可携带签名1。
步骤1006：源基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1(比如，如果没有ncc，则使用kenb派生出kenb*1，如果有ncc，则使用ncc派生出kenb*1，密钥材料1包含kenb*2，可能包含ncc)，使用该新密钥材料1更新ue上下文中的密钥材料信息(比如使用kenb*1更新kenb)，然后使用密钥材料1中的信息(比如kenb*1)生成新加解密密钥b和新签名密钥i。
步骤1007：源基站向目标基站发送转发响应，比如发送x2forwardresponse消息，如果密钥材料1中有ncc，则消息携带密钥材料2，密钥材料2(比如ncc)来自密钥材料1，使用密钥i对消息内容进行签名得到签名2，消息可携带签名2，数据使用密钥b进行加密得到数据b，消息携带数据b。
步骤1008：目标基站向ue发送随机接入响应，比如发送randomaccessresponse消息，消息携带可密钥材料2，可携带签名2，可携带加密的数据b，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤1009：如果ue收到密钥材料2，则使用密钥材料2生成新密钥材料(比如kenb*1)，并使用新密钥材料更新ue上下文中的密钥材料(比如用kenb*1更新kenb)，然后用新密钥材料(比如kenb*1)生成新签名密钥i和新加解密密钥b，ue使用密钥i验证签名2，使用密钥b解密收到的数据b。
步骤1010：ue和源基站通过目标基站的转发使用新密钥b实现数据的双向安全传输。
图11是本发明实施例十的小数据的安全传输流程示意图(十)，该流程包括：
步骤1101：终端ue与网络的连接被源基站挂起，ue和源基站保留了ue的上下文，其中包括安全相关的信息。
步骤1102：终端ue有数据要发送，于是根据上下文中已有的密钥对ue的标识或其他信息(ue要传给基站的，或ue和基站都有的)进行签名操作生成签名1，向目标基站发送随机接入请求，比如发起randomaccesspreamble消息，携带ue的标识信息，签名1，此时ue和网络尚未启用安全，因此消息没有加密保护；
步骤1103：目标基站向根据ue的标识信息找到ue的源基站，向源基站发送转发请求，比如发送x2forwardrequest消息，携带ue的标识信息，可携带签名1。
步骤1104：源基站根据ue的标识找到ue的上下文，使用ue上下文中的已有的密钥验证签名1，判断消息合法，于是使用ue上下文中的安全相关信息派生新的密钥材料1(比如，如果没有ncc，则使用kenb派生出kenb*1，如果有ncc，则使用ncc派生出kenb*1，密钥材料1包含kenb*2，可能包含ncc)，使用该新密钥材料1更新ue上下文中的密钥材料信息(比如使用kenb*1更新kenb)，然后使用密钥材料1中的信息(比如kenb*1)生成新加解密密钥b和新签名密钥i。
步骤1105：源基站向目标基站发送转发响应，比如发送x2forwardresponse消息，如果密钥材料1中有ncc，则消息携带密钥材料2，密钥材料2(比如ncc)来自密钥材料1，使用密钥i对消息内容进行签名得到签名2，消息可携带签名2；
步骤1106：目标基站向ue发送随机接入响应，比如发送randomaccessresponse消息，消息携带可密钥材料2，可携带签名2，此时ue和网络尚未启用安全，因此消息没有加密保护。
步骤1107：如果ue收到密钥材料2，则使用密钥材料2生成新密钥材料(比如kenb*1)，并使用新密钥材料更新ue上下文中的密钥材料(比如用kenb*1更新kenb)，然后用新密钥材料(比如kenb*1)生成新签名密钥i和新加解密密钥b，ue使用密钥i验证签名2。
步骤1108：ue和源基站通过目标基站的转发使用新密钥b实现数据的双向安全传输，有可能是ue只上传数据，也可能是基站只下传数据，也可能是双向传输。
图12为根据本发明实施例的移动网络小数据的安全传输方法的流程图，如图12所示，上述方法包括：
步骤s1202：第一基站收到来自终端ue的第一加密数据和第三签名信息，或第一基站收到第一条或第二条来自终端ue的消息，其中携带第三签名信息，或第一基站收到第二条来自终端ue的消息，其中携带第一加密数据；
其中，所述第一加密数据在所述ue侧依据第一密钥加密，所述第一密钥在所述ue侧依据第一密钥材料生成，所述第一密钥材料在所述ue侧依据上下文生成；
所述第三签名信息在所述ue侧依据上下文生成；
步骤s1204：所述第一基站执行以下之一操作：
收到来自第二基站的第二密钥材料，或收到来自第二基站的第一签名信息，或收到来自第二基站的第二加密数据并转发给ue；
所述第一基站收到所述第二密钥材料后转发给所述ue；或，所述第二密钥材料在所述第二基站侧依据所述ue的上下文生成；
所述第一基站收到所述第一签名信息后转发给所述ue，所述第一签名信息在所述第二基站侧依据第七密钥生成，所述第七密钥在所述第二基站侧依据第五密钥材料生成，所述第五密钥材料在所述第二基站侧依据所述ue的上下文生成；
所述第二加密数据在所述第二基站侧依据第八密钥加密，所述第八密钥在所述第二基站侧依据所述第五密钥材料生成；
或，
向所述ue发送第二签名信息，或第六密钥材料，或第三加密数据；
所述第二签名信息依据第三密钥计算，所述第三密钥依据第二密钥材料生成，所述第二密钥材料在所述第一基站侧依据所述ue的上下文生成；
所述第六密钥材料在所述第一基站侧的所述ue的上下文中，所述第六密钥材料用于在所述ue侧生成第八密钥材料，所述第八密钥材料用于在所述ue侧生成第五密钥；
所述第三加密数据依据第二密钥加密，所述第二密钥基于第七密钥材料生成，所述第七密钥材料来自所述第二基站并在所述第二基站侧基于所述ue的上下文生成，或所述第七密钥材料在所述第一基站侧依据所述ue的上下文生成。
通过上述步骤，ue从挂起状态下传输数据最少只需2条无线消息，最多需要4条无线消息，使得ue的资源消耗减少了，同时还保证了数据的安全传输。
可选地，所述方法还包括：
所述第二密钥材料用于在所述第一基站侧生成所述第二密钥；
可选地，所述方法还包括：
所述第二密钥用于解密所述第一加密数据。
可选地，所述方法还包括：
所述第二密钥材料用于生成第四密钥，所述第四密钥用于解密所述第一加密数据。
可选地，所述第一基站收到来自第二基站的所述签名信息，或第二加密数据前，还包括：
所述第一基站向所述第二基站转发所述第一加密数据或所述第三签名信息。
可选地，所述方法还包括：
所述第一基站向所述ue发送第三密钥材料，所述第三密钥材料来自所述第二密钥材料，所述第三密钥材料用于在所述ue侧生成第四密钥材料，所述第四密钥材料用于在所述ue侧生成所述第五密钥。
可选地，所述方法还包括：
所述第四密钥材料用于在所述ue侧生成第六密钥，所述第六密钥用于在所述ue侧校验所述第一签名信息或所述第二签名信息。
可选地，所述方法还包括：
所述第一基站收到所述第二条来自所述ue的消息，所述第一基站在收到第三条来自所述ue的消息前，向所述ue发送所述第二加密数据或所述第三加密数据。
可选地，所述方法还包括：
所述第一密钥材料用于在所述ue侧生成第六密钥，所述第六密钥用于在所述ue侧校验所述第一签名信息或所述第二签名信息。
在本发明实施例中，还根据本发明实施例的又一移动网络小数据的安全传输方法，包括以下步骤：
步骤一，第二基站收到来自第一基站的携带第一加密数据或第三签名信息的消息；
所述第一加密数据由所述第一基站接收自终端ue，所述第一加密数据在所述ue侧依据第一密钥加密，所述第一密钥在所述ue侧依据第一密钥材料生成，所述第一密钥材料在所述ue侧基于上下文生成；
所述第三签名信息有所述第一基站接收自所述ue，所述第三签名信息在所述ue侧依据上下文生成；
步骤二，所述第二基站向所述第一基站发送第一签名信息，或第六密钥材料，或第二加密数据；
所述第一签名信息用于由所述第一基站转发给所述ue，所述第一签名信息依据第七密钥计算，所述第七密钥基于第五密钥材料生成，所述第五密钥材料基于所述ue的上下文生成；
所述第六密钥材料用于由所述第一基站转发给所述ue；
所述第二加密数据用于由所述第一基站转发给所述ue，所述第二加密数据依据第八密钥加密，所述第八密钥基于所述第五密钥材料生成；
或，第二基站收到来自第一基站的消息，向所述第一基站发送第二密钥材料，所述第二密钥材料用于在所述第一基站侧生成第二密钥和第四密钥，所述第四密钥用于在所述第一基站侧解密第一加密数据，所述第一加密数据由第一基站侧接收自终端ue。
可选地，第二基站收到来自第一基站的携带第一加密数据的消息后，所述方法还包括：
所述第二基站使用所述第八密钥加密发送给所述ue的数据，并通过所述第一基站转发给所述ue；
或者，所述第二基站解密收到的通过所述第一基站转发的来自所述ue的加密数据。
本发明实施例提供一种应用于终端侧的移动网络小数据的安全传输方法，所述方法包括以下步骤：
步骤s1，终端ue在向第一基站发送的第一条消息中或第二条消息中携带第一加密数据，所述第一加密数据依据第一密钥加密，所述第一密钥基于第一密钥材料生成，所述第一密钥材料基于上下文生成；
或，终端ue向第一基站发送第三签名信息和第一加密数据，所述第一加密数据依据第一密钥加密，所述第一密钥依据第一密钥材料生成，所述第一密钥材料基于上下文生成，所述第三签名信息基于所述上下文生成；
或，终端ue向第一基站发送第三签名信息，所述第三签名信息基于上下文生成；
步骤s2，所述ue收到来自第一基站的第四加密数据，所述第四加密数据依据第九密钥解密，所述第九密钥依据第六密钥材料生成。
可选地，所述方法还包括：
所述ue收到来自第一基站的第四加密数据，所述第四加密数据在所述第一基站发送给所述ue的第二条消息中携带。
可选地，所述方法还包括：
所述第九密钥与所述第一密钥相同，所述第六密钥材料与所述第一密钥材料相同。
可选地，所述方法还包括：
所述ue收到来自所述第一基站的第三密钥材料，所述第三密钥材料用于生成第四密钥材料，所述第四密钥材料用于生成第五密钥，所述第九密钥与所述第五密钥相同，所述第六密钥材料与所述第四密钥材料相同。
可选地，所述方法还包括：
所述ue收到来自所述第一基站的第二签名信息，所述第二签名信息用于所述ue依据第六密钥验证，所述第六密钥基于所述第四密钥材料生成。
可选地，所述方法还包括：
所述ue收到来自所述第一基站的第二签名信息，所述第二签名信息用于所述ue依据第六密钥验证，所述第六密钥基于所述第一密钥材料生成。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如rom/ram、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例的方法。
在本实施例中还提供了一种移动网络小数据的安全传输装置，应用于第一基站，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。
图13是根据本发明实施例的移动网络小数据的安全传输装置的结构框图，如图13所示，包括：
第一接收模块1302，用于接收到来自终端ue的第一加密数据和第三签名信息，或第一基站收到第一条或第二条来自终端ue的消息，其中携带第三签名信息，或第一基站收到第二条来自终端ue的消息，其中携带第一加密数据；
其中，所述第一加密数据在所述ue侧依据第一密钥加密，所述第一密钥在所述ue侧依据第一密钥材料生成，所述第一密钥材料在所述ue侧依据上下文生成；
所述第三签名信息在所述ue侧依据上下文生成；
所述第一接收模块1302，还用于收到来自第二基站的第二密钥材料，或收到来自第二基站的第一签名信息，或收到来自第二基站的第二加密数据并转发给ue；
转发模块1304，用于将收到所述第二密钥材料后转发给所述ue；或，所述第二密钥材料在所述第二基站侧依据所述ue的上下文生成；
所述转发模块1304，还用于将收到所述第一签名信息后转发给所述ue，所述第一签名信息在所述第二基站侧依据第七密钥生成，所述第七密钥在所述第二基站侧依据第五密钥材料生成，所述第五密钥材料在所述第二基站侧依据所述ue的上下文生成；
所述第二加密数据在所述第二基站侧依据第八密钥加密，所述第八密钥在所述第二基站侧依据所述第五密钥材料生成；
或，
第一发送模块1306，用于向所述ue发送第二签名信息，或第六密钥材料，或第三加密数据；
所述第二签名信息依据第三密钥计算，所述第三密钥依据第二密钥材料生成，所述第二密钥材料在所述第一基站侧依据所述ue的上下文生成；
所述第六密钥材料在所述第一基站侧的所述ue的上下文中，所述第六密钥材料用于在所述ue侧生成第八密钥材料，所述第八密钥材料用于在所述ue侧生成第五密钥；
所述第三加密数据依据第二密钥加密，所述第二密钥基于第七密钥材料生成，所述第七密钥材料来自所述第二基站并在所述第二基站侧基于所述ue的上下文生成，或所述第七密钥材料在所述第一基站侧依据所述ue的上下文生成。
本发明实施例中还提供了一种移动网络小数据的安全传输装置，应用于终端ue，所述装置包括以下之一：
处理模块，用于在向第一基站发送的第一条消息中或第二条消息中携带第一加密数据，所述第一加密数据依据第一密钥加密，所述第一密钥基于第一密钥材料生成，所述第一密钥材料基于上下文生成；
或，第二发送模块，与所述处理模块连接，用于向第一基站发送第三签名信息和第一加密数据，所述第一加密数据依据第一密钥加密，所述第一密钥依据第一密钥材料生成，所述第一密钥材料基于上下文生成，所述第三签名信息基于所述上下文生成；
或，第三发送模块，与所述处理模块连接，用于向第一基站发送第三签名信息，所述第三签名信息基于上下文生成；
第二接收模块，与所述第三发送模块连接，用于收到来自第一基站的第四加密数据，所述第四加密数据依据第九密钥解密，所述第九密钥依据第六密钥材料生成。
在本发明实施例中，又提供了一移动网络小数据的安全传输装置，应用于第二基站，包括以下模块：
第三接收模块，用于收到来自第一基站的携带第一加密数据或第三签名信息的消息；
所述第一加密数据由所述第一基站接收自终端ue，所述第一加密数据在所述ue侧依据第一密钥加密，所述第一密钥在所述ue侧依据第一密钥材料生成，所述第一密钥材料在所述ue侧基于上下文生成；
所述第三签名信息有所述第一基站接收自所述ue，所述第三签名信息在所述ue侧依据上下文生成；
第四发送模块，用于向所述第一基站发送第一签名信息，或第六密钥材料，或第二加密数据；
所述第一签名信息用于由所述第一基站转发给所述ue，所述第一签名信息依据第七密钥计算，所述第七密钥基于第五密钥材料生成，所述第五密钥材料基于所述ue的上下文生成；
所述第六密钥材料用于由所述第一基站转发给所述ue；
所述第二加密数据用于由所述第一基站转发给所述ue，所述第二加密数据依据第八密钥加密，所述第八密钥基于所述第五密钥材料生成；
第四接收模块，用于收到来自第一基站的消息，向所述第一基站发送第二密钥材料，所述第二密钥材料用于在所述第一基站侧生成第二密钥和第四密钥，所述第四密钥用于在所述第一基站侧解密第一加密数据，所述第一加密数据由第一基站侧接收自终端ue。
可见，通过采用上述方案，就能够实现少量的消息交互就能够实现数据的安全传输，减少了ue和网络的信令消耗。
本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例一所提供的页面内容的处理方法所执行的程序代码。
可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。
上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。
在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、只读存储器(rom，read-onlymemory)、随机存取存储器(ram，randomaccessmemory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。