以根据Device〗的用户标识符User ID在SLS中查询得到与该用户的共享密钥K。其中，每一个用户都有唯一的共享密钥K，由UIP网络与用户共享，这里就是用户与SLS共享。在SLS中，保存有User ID与K的对应关系。
[0164]409、位置服务器根据共享密钥、终端设备标识符以及随机值获取设备密钥，并将设备密钥携带在接入响应消息中发送给路由器。
[0165]具体的，SLS在获取了与用户的共享密钥K后，可以根据共享密钥K、Device ID(Device2)以及随机值nonce推导得出设备密钥Kdev，即设备密钥Kdev由共享密钥K进行推导。而后，SLS向DR发送接入响应Access Response消息,该接入响应消息包括设备密钥 Kdev。
[0166]其中SLS推导设备密钥可以基于单向性密钥生成算法，例如利用Hash函数算法得到，这里不对设备密钥的推导过程进行限定，也可以为其它推导方法。
[0167]410、路由器根据设备密钥和计数器的计数信息获取临时设备密钥，进而根据临时设备密钥、域的标识符以及路由器的标识符获取会话密钥。
[0168]具体的，DR在从SLS接收到设备密钥后，可以根据设备密钥和计数器counter推导出临时设备密钥Kdev’，也就是说，临时设备密钥Kdev’由设备密钥Kdev推导得出，其中，计数器是ΠΡ协议内置的计数器，DR与用户总是能保持该计数器同步。而后，DR可以根据临时设备密钥推导得出会话密钥Ksess1n，会话密钥用于发生设备切换后Device〗与DR进行通信时的密钥协商，具体可以根据临时设备密钥Kdev’、Domain ID以及DR ID推导出会话密钥Ksess1n。
[0169]411、终端设备根据共享密钥、终端设备标识符以及随机值获取设备密钥。
[0170]具体的，Device2在向DR返回认证响应消息后,可以根据共享密钥K、Device ID(DeviCe2)以及SLS生成的随机值获取设备密钥Kdev，其中，共享密钥由User与SLS共享，是保存在User的每个终端设备中的。
[0171]412、终端设备根据设备密钥和计数器的计数信息获取临时设备密钥。
[0172]具体的，Device2可以根据设备密钥Kdev’和计数器counter推导得出临时设备密钥Kdev’，这里的计数器便是与DR所保持同步的计数器，也就是说临时设备密钥是由设备密钥推导得出的。
[0173]413、终端设备根据临时设备密钥、域的标识符以及路由器的标识符获取会话密钥。
[0174]具体的，Device〗在获取了临时设备密钥后，进一步可以根据临时设备密钥推导与DR进行通信所使用的会话密钥Ksess1n,具体可以根据临时设备密钥Kdev’、Domain ID以及DR ID进行推导。
[0175]这样，在步骤410和步骤413完成后，Device2和DR都获取了进行通信时的会话密钥。而后，Devicel上的业务状态就可以传递给Device2,使Devicel上承载的业务切换到Device〗上，设备切换就完成了，DR就可以将从另一用户接收到的报文转发给Device2，以便于Device2与DR进行继续通信，也就是在保证业务不中断的情况下完成设备切换。
[0176]上述过程中各个设备间的通信交互图可以如图7所示。
[0177]因此可以知道，用户在发生设备切换时都需要重新推导会话密钥，而且会话密钥的总体架构可以分为四级:K是根密钥，每个User有唯一的K，由ΠΡ网络(例如SLS)与UE共享，Kdev是设备相关密钥，由K推导得到，Kdev’是临时设备密钥，由Kdev推导得到，Ksess1n是会话密钥，由Kdev’推导得到，这样，可以为DR与UE间的数据传输提供机密性、完整性的保护。
[0178]而在上述密钥的总体架构中，会话密钥的推导涉及到了 DeviceID、Domain ID以及DR ID，当会话密钥的推导与Device ID绑定时，可以保证一个用户多台设备的场景下，同一用户的某一终端设备的密钥被攻破，不会影响到该用户的其它终端设备的安全；当会话密钥的推导与Domain ID绑定时,一个domain使用的密钥被攻破,不会影响到其它domain的安全；当会话密钥的推导与DR ID绑定时，可以保证一个DR使用的会话密钥被攻破，不会影响到其它DR的安全，可以为UE与DR间的通信提供机密性、完整性的保护，防止数据被窃听或者窜改，从而增强了用户身份协议网络架构中设备之间进行通信的安全性。
[0179]其中，在上述密钥架构中，可替换的，SLS和终端设备Device2推导设备密钥Kdev的参数除了共享密钥K、Device ID以及随机值外，还可以包括Domain ID以及DR ID，这样，DR和Device2推导会话密钥Kess1n的参数就可以只有Kdev’，不包括Domain ID以及DRID ；
[0180]可替换的，DR和Device2推导临时设备密钥Kdev’的参数除了设备密钥Kdev和counter之外，还可以包括Domain ID以及DR ID,这样，DR和Device2推导会话密钥Kess1n的参数就可以只有Kdev’，不包括Domain ID以及DR ID ；
[0181]可替换的，SLS和终端设备Device〗推导设备密钥Kdev的参数除了共享密钥K、Device ID以及随机值外，还可以包括Domain ID和DR ID，DR和Device2推导临时设备密钥Kdev’的参数只有设备密钥Kdev,不包括counter, DR和Device2推导会话密钥Kess1n的参数除了 Kdev’之外,还可以包括counter ；
[0182]可替换的，DR和Device2推导临时设备密钥Kdev’的参数除了设备密钥Kdev之夕卜，还可以包括Domain ID以及DR ID,但不包括counter,这样,DR和Device2推导会话密钥Kess1n的参数除了 Kdev’之外,还可以包括counter,但不包括Domain ID以及DR ID ；
[0183]可替换的，DR和Device2推导临时设备密钥Kdev’的参数只有设备密钥Kdev，这样，在DR和Device2推导会话密钥Kess1n的参数除了 Kdev’、Domain ID以及DR ID之夕卜，还可以包括counter。
[0184]也就是说，Domain ID与DR ID的在密钥架构中的推导顺序可以不同。
[0185]本发明实施例提供一种终端切换时密钥协商的方法，当用户的用户设备要发生设备切换时，路由器和用户设备可以根据共享密钥、用户设备的标识符以及随机值获取设备密钥，进而根据设备密钥和计数器的计数信息获取临时设备密钥，再根据临时设备密钥和域的标识符以及路由器的标识符获取会话密钥，当设备切换完成后，路由器将根据新生成的会话密钥与切换后的用户设备进行通信，这样，用户在发生设备切换时需要重新推导会话密钥，同时使得会话密钥与域的标识符、路由器的标识符以及用户设备的标识符绑定，能够保证域、路由器以及用户设备的安全，提高用户身份协议网络架构中设备之间进行通信的安全性。
[0186]本发明实施例提供一种位置服务器01，如图8所示，包括:
[0187]接收单元011，用于接收路由器发送的接入请求消息，接入请求消息包括用户标识符和终端设备的标识符。
[0188]发送单元012，用于在接收到所述接入请求消息后生成随机值，并向路由器发送第一认证请求消息，以使得在路由器接收到第一认证请求消息后，向终端设备发送第二认证请求消息，其中第一认证请求消息、第二认证请求消息均包含位置服务器生成的随机值。
[0189]具体而言，位置服务器SLS在接收到路由器DR发送的接入请求消息后，生成一个随机值nonce，该随机值用于SLS对终端设备进行认证以及后续生成设备密钥Kdev。而后，SLS向DR发送第一认证请求(Authenticat1n Request)消息,该认证请求消息包括SLS生成的随机值，DR再向终端设备发送第二认证请求消息,其中携带随机值,还可以携带SLS所在域的标识符Domain ID, DR的域标识符DRID，其中Domain ID和DR ID可以通过SLS发送的第一认证请求消息发送至DR, DR再通过第二认证请求消息将Domain ID和DR ID发送至终端设备Device2,这里的Domain ID和DR ID也可以通过预先配置在DR中实现,这里不做限定。
[0190]生成单元013，用于根据随机值、共享密钥、以及终端设备标识符生成设备密钥，共享密钥与用户标识符对应。
[0191]发送单元012，还用于向路由器发送接入响应消息，其中，接入响应消息包括设备密钥，以使路由器根据设备密钥生成会话密钥。
[0192]其中，在路由器DR向位置服务器SLS发送接入请求消息之前，DR确定切换后的用户设备的过程可以为:在用户与至少两个用户设备关联的情况下，若用户当前与第一用户设备Devicel关联，即当前业务流量在第一用户设备上，如果与该用户关联的第二用户设备Device〗的状态发生变化，譬如第二用户设备的通信优先级高于了第一用户设备，比如第二用户设备与ΠΡ网络之间的通讯成本低于第一用户设备，这里的第二用户设备就可以理解为终端设备，该终端设备为用户发生设备切换情况所切换后的用户设备，终端设备就可以向SLS发送注册消息，该注册消息就包括了终端设备的Device ID和状态信息，而后SLS可以向该用户所属的DR发送通知消息，通知DR可以进行设备切换，使得DR在收到与该用户进行业务通信的其它用户的用户设备发送的报文时，触发进入设备切换，这时，DR需要确定接收报文的用户设备，确定的方法可以是向SLS查询，查询新注册到SLS的用户设备的标识信息，也可以向该用户的所有关联的用户设备逐个进行查询，例如可以按照信号质量查询得到通信优先级最高的用户设备的Device ID。
[0193]可选的，域的标识符和路由器的标识符是位置服务器通过第一认证请求消息发送至路由器的；
[0194]可选的，域的标识符和路由器的标识符是预先配置在路由器中的。
[0195]可选的，生成单元013可以具体为:
[0196]根据随机值、共享密钥、终端设备的标识符、位置服务器所在域的标识符以及路由器的标识符生成设备密钥。
[0197]可替换的，SLS和用户设备Device〗推导设备密钥Kdev的参数除了共享密钥K、Device ID以及随机值外，还可以包括Domain ID以及DR ID,这样，DR和Device2推导会话密钥Kess1n的参数就可以只有Kdev’，不包括Domain ID以及DR ID ；
[0198]可替换的，DR和Device2推导临时设备密钥Kdev’的参数除了设备密钥Kdev和counter之外，还可以包括Domain ID以及DR ID,这样，DR和Device2推导会话密钥Kess1n的参数就可以只有Kdev’，不包括Domain ID以及DR ID ；
[0199]可替换的，SLS和终端设备Device〗推导设备密钥Kdev的参数除了共享密钥K、Device ID以及随机值外，还可以包括Domain ID和DR ID，DR和Device2推导临时设备密钥Kdev’的参数只有设备密钥Kdev,不包括counter, DR和Device2推导会话密钥Kess1n的参数除了 Kdev’之外,还可以包括counter ；
[0200]可替换的，DR和Device2推导临时设备密钥Kdev’的参数除了设备密钥Kdev之夕卜，还可以包括Domain ID以及DR ID,但不包括counter,这样,DR和Device2推导会话密钥Kess1n的参数除了 Kdev’之外,还可以包括counter,但不包括Domain ID以及DR ID ；
[0201]可替换的，DR和Device2推导临时设备密钥Kdev’的参数只有设备密钥Kdev，这样，在DR和Device2推导会话密钥Kess1n的参数除了 Kdev’、Domain ID以及DR ID之夕卜，还可以包括counter。
[0202]本发明实施例提供一种位置服务器，位置服务器通过接收路由器发送的接入请求消息，接入请求消息包括用户标识符和终端设备标识符，向路由器发送第一认证请求消息，以使得在路由器接收到第一认证请求消息后，向终端设备发送第二认证请求消息，其中第一认证请求消息、第二认证请求消息均包括位置服务器生成的随机值，根据随机值、共享密钥、以及终端设备标识符生成设备密钥，共享密钥与用户标识符对应，进而向路由器发送接入响应消息，其中，接入响应消息包括设备密钥，以使路由器根据设备密钥生成会话密钥，其中，在生成会话密钥时还包括位置服务器所在域的标识符以及路由器的标识符，这样，在将密钥协商所生成的会话密钥和终端设备标识符、域标识符以及路由器的标识符进行绑定后，当用户发生设备切换时能够提高用户身份协议网络架构中设备之间进行通信的安全性。
[0203]本发明实施例提供一种路由器02，如图9所示，包括:
[0204]发送单元021，用于向位置服务器发送接入请求消息该接入请求消息包括用户标识符和终端设备标识符。
[0205]具体而言，在同一用户有多个设备的情况下，假设用户当前使用的设备为Devicel,当另一用户设备Device2将新的状态注册到了当前用户所属的SLS, SLS就可以通知该用户所属的DR进行设备切换，于是当该DR在接收到与当前用户通信连接的另一用户的用户设备发送的报文时，先确定接收报文的用户设备，具体可以向SLS进行查询得到新注册到SLS的用户设备，也可以向用户的各个用户设备查询得到新注册的用户设备，以获取新注册的设备也就是终端设备的Device ID。这里的终端设备即为Device ID为DeviCe2的用户设备。
[0206]而后，DR便可以向SLS发送接入请求Access Request消息，以使得所述位置服务器在接收所述接入请求消息完成时生成随机值，消息中携带用户的用户标识符User ID和终端设备的标识符Device ID，例如为上述Device2。
[0207]接收单元022，用于接收位置服务器发送的第一认证请求消息，在接收到第一认证请求消息后，向终端设备发送第二认证请求消息，其中第一认证请求消息、第二认证请求消息均包括位置服务器在接收到所述接入请求消息后生成的随机值。
[0208]接收单元022，还可以用于接收位置服务器发送的接入响应消息，其中，接入响应消息包括设备密钥；
[0209]生成单元023，用于根据设备密钥生成会话会话密钥，以便于通过会话密钥和终端设备交互。
[0210]可选的，生成单元023可以具体用于:
[0211]根据设备密钥生成临时设备密钥；
[0212]根据临时设备密钥生成会话密钥。
[0213]可选的，生成单元023可以具体用于:
[0214]根据设备密钥和第一参数生成临时设备密钥，第一参数包括第一计数值、位置服务器所在域的标识符以及路由器的标识符中至少一个参数，第一计数值从路