專(zhuān)利名稱(chēng)：更新跟蹤區(qū)時(shí)的密鑰生成方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域中密鑰生成技術(shù)，具體地，涉及在不同系統(tǒng)間更新 跟蹤區(qū)時(shí)的密鑰生成方法及系統(tǒng)。
背景技術(shù)：
第三代合作伙伴計(jì)劃(3rd Generation Partnership Project,筒稱(chēng)3GPP )演 進(jìn)的分組系統(tǒng)(Evolved Packet System ，簡(jiǎn)稱(chēng)EPS)由演進(jìn)的陸地?zé)o線接入 網(wǎng)(Evolved UMTS Terrestrial Radio Access Network,簡(jiǎn)稱(chēng)EUTRAN)和EPS 演進(jìn)的分組核心網(wǎng)(Evolved Packet Core,簡(jiǎn)稱(chēng)EPC)組成。EPC能夠支持用 戶從全球移動(dòng)通訊系統(tǒng)增強(qiáng)型數(shù)據(jù)速率GSM演進(jìn)實(shí)體無(wú)線接入網(wǎng)(Global System for Mobile Communication Enhanced Data Rate for GSM Evolution radio access network,簡(jiǎn)稱(chēng)GERAN)和通用陸地?zé)o線4妄入網(wǎng)(Universal Terrestrial Radio Access Network,簡(jiǎn)稱(chēng)UTRAN)的接入。
EPC分組核心網(wǎng)包含移動(dòng)管理實(shí)體(Mob服y Management Entity,簡(jiǎn)稱(chēng) MME) ， MME負(fù)責(zé)移動(dòng)性的管理、非接入層信令的處理、以及用戶安全模 式的管理等控制面相關(guān)的工作。其中，MME保存EUTRAN的根密鑰——^婁 入安全管理實(shí)體密鑰(Key Access Security Management Entity,簡(jiǎn)寫(xiě)為KASME )。 在EUTRAN中，基站設(shè)備為演進(jìn)的基站(evolved Node-B，簡(jiǎn)稱(chēng)eNB)，主 要負(fù)責(zé)無(wú)線通信、無(wú)線通信管理、和移動(dòng)性上下文的管理。供eNB使用的接 入層的根密鑰是演進(jìn)的基站密鑰(KeyeNB，簡(jiǎn)寫(xiě)為IQNB)。
3GPP通用移動(dòng)通信系統(tǒng)(Universal Mobile Telecommunication System,筒 稱(chēng)UMTS)系統(tǒng)中負(fù)責(zé)移動(dòng)性上下文的管理、和/或用戶安全才莫式的管理的設(shè) 備是服務(wù)通用分組無(wú)線業(yè)務(wù)支持節(jié)點(diǎn)(Serving General Packet Radio Service Support Node，簡(jiǎn)稱(chēng)SGSN) 。 SGSN還負(fù)責(zé)認(rèn)證用戶設(shè)備(User Equipment, 簡(jiǎn)稱(chēng)UE) 。 SGSN將密鑰IK (Integrity Key,完整性保護(hù)密鑰)，CK (CipheringKey,加密密鑰)分發(fā)給3GPPUMTS系統(tǒng)中負(fù)責(zé)無(wú)線通信管理的設(shè)備的無(wú)線 網(wǎng)絡(luò)控制器(Radio Network Controller,筒稱(chēng)RNC)。
UE從UTRAN到EUTRAN的更新跟蹤區(qū)過(guò)程中，如果UE或者M(jìn)ME
沒(méi)有緩存的EPS安全上下文(security context) , UE和MME使用UE生成 的隨機(jī)數(shù)NONCEue和MME生成的隨機(jī)數(shù)NONCEmme以及IK， CK生成 KASME。如圖1所示。
101， UE生成NONCEue;
102， UE判斷沒(méi)有緩存的EPS安全上下文；
103， UE向新跟蹤區(qū)內(nèi)的MME發(fā)送更新跟蹤區(qū)請(qǐng)求消息，同時(shí)發(fā)送 NONCEue 。
104，新跟蹤區(qū)內(nèi)的MME從SGSN獲取IK、 CK;
105, MME生成NONCEmme;
106, MME使用NONCEue, NONCE畫(huà)以及DC， CK生成Kas嫌；
107, MME向UE發(fā)送更新跟蹤區(qū)接受消息，同時(shí)發(fā)送NONCEmme和 NONCEIJR,以讓UE驗(yàn)證NONCEue是否被篡改；
108， UE使用NONCEue ， NONCE國(guó)以及IK， CK生成Kas嫌；
109， UE向新跟蹤區(qū)內(nèi)的MME發(fā)送更新跟蹤區(qū)完成消息。
此時(shí)，如果激活標(biāo)識(shí)(Active Flag )是有效狀態(tài)，UE和MME在生成KASME
時(shí)還需進(jìn)一步生成KeNB。
如果生成KeNB的參數(shù)被篡改，將帶來(lái)較大的通信延時(shí)、系統(tǒng)處理負(fù)荷， 甚至導(dǎo)致通信失敗。所以生成K^NB的參數(shù)必須是纟皮完整性保護(hù)的。
本發(fā)明要解決的技術(shù)問(wèn)題是提供一種更新跟蹤區(qū)時(shí)的密鑰生成方法及系統(tǒng)。
為了解決上述技術(shù)問(wèn)題，本發(fā)明提供了一種更新跟蹤區(qū)時(shí)的密鑰生成方

發(fā)明內(nèi)容
法，在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀態(tài)時(shí)，用戶設(shè)備和移動(dòng)管 理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密 鑰。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述用戶設(shè)備和移動(dòng)管理實(shí)體 根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰具體
包含
所述移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生 成演進(jìn)的基站密鑰，發(fā)送受保護(hù)的下行非接入層消息給用戶設(shè)備，消息中攜 帶所述下行非接入層計(jì)數(shù)器；
所述用戶設(shè)備接收所述下行非接入層消息，根據(jù)接入安全管理實(shí)體密鑰 和從所述移動(dòng)管理實(shí)體接收到的所述下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密 鑰。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述下行非接入層消息為更新 跟蹤區(qū)接受消息。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述移動(dòng)管理實(shí)體和用戶設(shè)備 生成所述演進(jìn)的基站密鑰時(shí)使用的接入安全管理實(shí)體密鑰是在本次更新跟蹤 區(qū)過(guò)程中根據(jù)原有密鑰生成的。
本發(fā)明還提出 一種更新跟蹤區(qū)時(shí)的密鑰生成方法，在更新跟蹤區(qū)過(guò)程中， 如果激活標(biāo)識(shí)為有效狀態(tài)時(shí)，用戶設(shè)備和移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí) 體密鑰和移動(dòng)管理實(shí)體產(chǎn)生的隨機(jī)數(shù)生成演進(jìn)的基站密鑰。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述用戶設(shè)備和移動(dòng)管理實(shí)體 根據(jù)接入安全管理實(shí)體密鑰和移動(dòng)管理實(shí)體產(chǎn)生的隨機(jī)數(shù)生成演進(jìn)的基站密 鑰具體包含
所述移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和移動(dòng)管理實(shí)體生成的隨 機(jī)數(shù)生成演進(jìn)的基站密鑰，發(fā)送受保護(hù)的下行非接入層消息給用戶設(shè)備，消 息中攜帶所述隨機(jī)數(shù)；
所述用戶設(shè)備接收所述下行非接入層消息，根據(jù)接入安全管理實(shí)體密鑰
和從所述移動(dòng)管理實(shí)體接收到的所述隨機(jī)數(shù)生成演進(jìn)的基站密鑰。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述下行非接入層消息為更新 跟蹤區(qū)接受消息。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述移動(dòng)管理實(shí)體和用戶設(shè)備 生成所述演進(jìn)的基站密鑰時(shí)使用的接入安全管理實(shí)體密鑰是在本次更新跟蹤 區(qū)過(guò)程中根據(jù)原有密鑰生成的。
本發(fā)明還提出 一種更新跟蹤區(qū)時(shí)的密鑰生成方法，在更新跟蹤區(qū)過(guò)程中， 如果激活標(biāo)識(shí)為有效狀態(tài)時(shí)，用戶設(shè)備和移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí) 體密鑰和一常數(shù)生成演進(jìn)的基站密鑰。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述用戶設(shè)備和所述移動(dòng)管理 實(shí)體事先約定該常數(shù)，或者，所述移動(dòng)管理實(shí)體將所述常數(shù)發(fā)送給所述用戶 設(shè)備。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述用戶設(shè)備和移動(dòng)管理實(shí)體 根據(jù)接入安全管理實(shí)體密鑰和一常數(shù)生成演進(jìn)的基站密鑰具體包含
所述移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和所述常數(shù)生成演進(jìn)的基 站密鑰，發(fā)送受保護(hù)的下行非接入層消息給用戶設(shè)備，消息中攜帶所述常數(shù)；
所述用戶設(shè)備接收所述下行非接入層消息，根據(jù)接入安全管理實(shí)體密鑰 和從所迷移動(dòng)管理實(shí)體接收到的常數(shù)生成演進(jìn)的基站密鑰。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述下行非接入層消息為更新 跟蹤區(qū)接受消息。
進(jìn)一步的，上述方法還可具有以下特點(diǎn)，所述移動(dòng)管理實(shí)體和用戶設(shè)備 生成所述演進(jìn)的基站密鑰時(shí)使用的接入安全管理實(shí)體密鑰是在本次更新跟蹤 區(qū)過(guò)程中根據(jù)原有密鑰生成的。
本發(fā)明提供一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體，用
戶設(shè)備，其中
所述移動(dòng)管理實(shí)體包含
第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰；
發(fā)送單元，用于通過(guò)受保護(hù)的下行非接入層消息發(fā)送下行非接入層計(jì)數(shù) 器給用戶設(shè)備；
所述用戶設(shè)備包含
接收單元，用于從移動(dòng)管理實(shí)體接收下行接入層消息，獲取下行非接入 層計(jì)數(shù)器；
第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述下行非接入層計(jì)數(shù)器生成演進(jìn)的基站 密鑰。
本發(fā)明還提供一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體， 用戶設(shè)備，其中
所述移動(dòng)管理實(shí)體包含
隨機(jī)數(shù)產(chǎn)生單元，用于生成隨機(jī)數(shù)；
第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和隨機(jī)數(shù)生成演進(jìn)的基站密鑰；
隨機(jī)數(shù)發(fā)送單元，用于將所述隨機(jī)數(shù)發(fā)送給用戶設(shè)備；
所述用戶設(shè)備包含
隨機(jī)數(shù)接收單元，用于接收移動(dòng)管理實(shí)體產(chǎn)生的隨機(jī)數(shù)；
第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述隨機(jī)數(shù)生成演進(jìn)的基站密鑰。
本發(fā)明還提供一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體， 用戶設(shè)備，其中
所述移動(dòng)管理實(shí)體包含第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，
如果激活標(biāo)識(shí)為有效狀態(tài)，根據(jù)接入安全管理實(shí)體密鑰和一常數(shù)生成演進(jìn)的
基站密鑰；
所述用戶設(shè)備包含第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果 激活標(biāo)識(shí)為有效狀態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述常數(shù)生成演進(jìn)的基 站密鑰。
本發(fā)明提供的密鑰生成方法和系統(tǒng)，能在激活標(biāo)識(shí)是有效狀態(tài)時(shí)，生成
KeNB，而且能夠保證MME和UE生成的KeNB 一致。


圖1為如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活標(biāo) 識(shí)是有效狀態(tài)的時(shí)候，UE從UTRAN到EUTRAN的更新跟蹤區(qū)過(guò)程的信令 流程圖。
圖2為如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活標(biāo) 識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的流程圖1。
圖3為如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活標(biāo) 識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的實(shí)施例信令流程圖1 。
圖4為如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活標(biāo) 識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的流程圖2。
圖5為如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活標(biāo) 識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的實(shí)施例信令流程圖2。
圖6為如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活標(biāo) 識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的流程圖3。
圖7為如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活標(biāo) 識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的實(shí)施例信令流程圖3。
具體實(shí)施例方式
本發(fā)明中，更新跟蹤區(qū)時(shí)，MME使用KASME和下行非接入層計(jì)數(shù)器
(Downlink NAS COUNT)生成KeNB。 MME發(fā)送下行非接入層消息(例如更 新跟蹤區(qū)接受消息)和下行非接入層計(jì)數(shù)器給UE, l正在收到該下行非接入
層消息(如更新跟蹤區(qū)接受消息)后，使用KASME和在該消息中發(fā)送的下行 非接入層計(jì)數(shù)器生成KeNB。
由于下行非接入層消息是被完整性保護(hù)的，所以下行非接入層計(jì)數(shù)器不
會(huì)被攻擊者篡改，從而能夠保證MME和UE生成的KeNB是一致的。
或者，MME使用KASME和NONCEMME生成KeNB。 MME發(fā)送下行非接
入層消息(例如更新跟蹤區(qū)接受消息)和隨機(jī)數(shù)NONCEmme給UE， UE在收
到該下行非接入層消息(如更新跟蹤區(qū)接受消息)后，使用kasme和在該消
息中發(fā)送的NONCEmme生成KeNB。
由于下行非接入層消息是被完整性保護(hù)的，所以NONCEmme不會(huì)被攻擊 者篡改，從而能夠保證MME和UE生成的KeNB是一致的。
或者，MME使用KASME和一常數(shù)C生成KeNB。 UE使用KASME和所述常 數(shù)C生成KeNB。所述常數(shù)C由MME通過(guò)受保護(hù)的下行非接入層消息(例如 更新跟蹤區(qū)接受消息)發(fā)送給UE，或者由UE和MME預(yù)先約定。
由于常數(shù)C由UE和MME預(yù)先約定，且下行非接入層消息是#1完整性 保護(hù)的，從而能夠保證MME和UE生成的KeNB是一致的。
上述各實(shí)施方式種，所述MME和UE生成所述KeNB時(shí)使用的Kasme是 在本次更新跟蹤區(qū)過(guò)程中根據(jù)原有密鑰生成的。
圖2為本發(fā)明實(shí)施例一，如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下 文，并且在激活標(biāo)識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的流程圖。
步驟202, MME和/或UE判斷激活標(biāo)識(shí)是否為有效狀態(tài)，如果是，轉(zhuǎn)到 步驟204，如果否，轉(zhuǎn)到步驟208。
步驟204， MME使用KASME和下行非接入層計(jì)數(shù)器生成Kcnb。
步驟206， MME發(fā)送受保護(hù)的下行非接入層消息給UE，該消息包含下 行非接入層計(jì)數(shù)器的值。
步驟207, l正使用KASME和該下行非接入層計(jì)數(shù)器生成KeNB。步驟208,結(jié)束。
圖3為，如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活 標(biāo)識(shí)是有效狀態(tài)的時(shí)候，l正和MME生成KeNB的實(shí)施例信令流程圖1 。
步驟302, UE生成隨機(jī)數(shù)NONCEUK。 步驟304, UE判斷沒(méi)有緩存的EPS安全上下文。
步驟306 ， UE向MME發(fā)送更新跟蹤區(qū)請(qǐng)求消息，消息中攜帶NONCEue， 和需要生成新的Kasme的信息。
步驟308, MME向SGSN獲取生成KASME所需的IK, CK。 步驟310, MME生成NONCEmme。
步驟312， MME使用NONCEmme， NONCEuh ， IK, CK生成Kasme。
步驟314, MME使用KASME和下行非接入層計(jì)數(shù)器生成KeNB。
步驟316， MME向UE發(fā)送更新跟蹤區(qū)接受消息，消息中攜帶 NONCEmme， NONCEun和下行非接入層計(jì)數(shù)器。以上信息是被完整性保護(hù)的， 即，UE可以驗(yàn)證以上信息是否在傳遞過(guò)程中被篡改。其中，所述更新跟蹤區(qū) 接受消息也可以是其他下行非接入層消息。
步驟318， UE使用NONCE麗，NONCEue, IK， CK生成Kasme。
步驟320， UE使用KASME和下行非接入層計(jì)數(shù)器生成KeNB。
步驟322, UE發(fā)送更新跟蹤區(qū)完成消息， 步驟324, MME將KeNB發(fā)給eNB。
圖4為，如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活 標(biāo)識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的流程圖2 。
步驟402，判斷激活標(biāo)識(shí)是否為有效狀態(tài)，如果是，轉(zhuǎn)到步驟404，如果 否，轉(zhuǎn)到步驟408;
步驟404 ， MME使用Kas匿和NONCE畫(huà)生成&仰。
步驟406， MME發(fā)送受保護(hù)的下行非接入層消息給UE,該消息中包含NONCE畫(huà)。
步驟407, UE使用Kasme和NONCE國(guó)生成KeNB。 步驟408，結(jié)束。
圖5為，如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活 標(biāo)識(shí)是有效狀態(tài)的時(shí)候，l正和MME生成KeNB的實(shí)施例信令流程圖2。
步驟502, UE生成隨機(jī)數(shù)NONCEue。 步驟504， UE判斷沒(méi)有緩存的EPS安全上下文。
步驟506， UE向MME發(fā)送更新跟蹤區(qū)請(qǐng)求消息，包括NONCEue,和 需要生成新的Kasme的信息。
步驟508， MME從SGSN荻取生成Kasme所需的IK， CK。 步驟510, MME生成NONCEmme。
步驟512， MME使用NONCE羅，NONCEUE和TK， CK生成KASME。 步驟514 ， MME使用KASME和NONCEmme生成KeNB 。
步驟516， MME向UE發(fā)送更新跟蹤區(qū)接受消息，消息中攜帶 NONCEmme ， NONCEue。以上信息是凈皮完整性保護(hù)的，即，UE可以驗(yàn)證以 上信息是否在傳遞過(guò)程中被篡改。其中，所述更新跟蹤區(qū)接受消息也可以是 其他下行非接入層消息。
步驟518, UE使用NONCE,, NONCEue和IK， CK生成KASMk。
步驟520, UE使用KASME和NONCEmme生成K^nb 。
步驟522, UE發(fā)送更新跟蹤區(qū)完成消息。
步驟524, MME將KeNB發(fā)給eNB。
圖6為，如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活 標(biāo)識(shí)是有效狀態(tài)的時(shí)候，UE和MME生成KeNB的流程圖3 。
步驟602，判斷激活標(biāo)識(shí)是否為有效狀態(tài)，如果是，轉(zhuǎn)到步驟604，如果
否，轉(zhuǎn)到步驟608;
步驟604, MME使用Kasme和一常數(shù)C生成KeNB。該常數(shù)C由MME 和UE事先約定，或者由MME通過(guò)受保護(hù)的下行非接入層消息發(fā)送給UE。
步驟606, UE使用Kasme和所述常數(shù)C生成1^nb。 步驟608,結(jié)束。 所述常數(shù)C可以為0。
圖7為，如果UE或者M(jìn)ME沒(méi)有緩存的EPS安全上下文，并且在激活 標(biāo)識(shí)是有效狀態(tài)的時(shí)候，l正和MME生成KeNB的實(shí)施例信令流程圖2。 步驟702, UE生成隨機(jī)數(shù)NONCEue。 步驟704, UE判斷沒(méi)有緩存的EPS安全上下文。
步驟706, UE向MME發(fā)送更新跟蹤區(qū)請(qǐng)求消息，包括NONCEue，和 需要生成新的Kasme的信息。
步驟708， MME從SGSN獲取生成KASME所需的IK, CK。
步驟710， MME生成NONCEmme。
步驟712， MME使用NONCE匿，NONCEue和IK， CK生成Kasme。
步驟714, MME使用KASME和O生成KeNB。
步驟716, MME向UE發(fā)送更新跟蹤區(qū)接受消息，消息中攜帶 NONCEmme, NONCEue。以上信息是被完整性保護(hù)的，即，UE可以驗(yàn)證以 上信息是否在傳遞過(guò)程中被篡改。其中，該更新跟蹤區(qū)接受消息也可以是其 他下行非接入層消息。
步驟718, UE使用NONCE匿，NONCEue和IK， CK生成Kasme。
步驟720， UE使用Kasme和0生成KeND。
步驟722, UE發(fā)送更新跟蹤區(qū)完成消息。
步驟724， MME將KeNB發(fā)給eNB。
在本發(fā)明另一實(shí)施例中，步驟714中，MME使用Kasme和常數(shù)C生成
KeNB。步驟720中，UE使用KASME和常數(shù)C生成KeNB。其中，常數(shù)C可以
由MME發(fā)送給UE,例如在步驟716中，MME向UE發(fā)送更新跟蹤區(qū)接受 消息，消息中還攜帶常數(shù)C，或者，常數(shù)C可以由MME和UE事先約定。
本發(fā)明還提供一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體， 用戶設(shè)備，其中，
所述移動(dòng)管理實(shí)體包含
第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰；
發(fā)送單元，用于通過(guò)受保護(hù)的下行非接入層消息發(fā)送下行非接入層計(jì)數(shù) 器給用戶設(shè)備；
所述用戶設(shè)備包含
接收單元，用于從移動(dòng)管理實(shí)體接收下行接入層消息，獲取下行非接入 層計(jì)數(shù)器；
第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰。
本發(fā)明提供另一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體， 用戶設(shè)備，其中
所述移動(dòng)管理實(shí)體包含
隨機(jī)數(shù)產(chǎn)生單元，用于生成隨機(jī)數(shù)NONCEmme;
第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和隨機(jī)數(shù)NONCEmme生成演進(jìn)的基站密鑰；
隨機(jī)數(shù)發(fā)送單元，用于通過(guò)受保護(hù)的下行非接入層消息將所述隨機(jī)數(shù) NONCEmme發(fā)送給用戶設(shè)備； 所述用戶設(shè)備包含
隨機(jī)數(shù)接收單元，用于接收移動(dòng)管理實(shí)體發(fā)送的下行非接入層消息，獲
取所述的隨機(jī)數(shù)NONCEmme;
第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述隨機(jī)數(shù)NONCEMME生成演進(jìn)的基站密 鑰。
本發(fā)明還提供一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體， 用戶設(shè)備，其中
所述移動(dòng)管理實(shí)體包含第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中， 如果激活標(biāo)識(shí)為有效狀態(tài)，根據(jù)接入安全管理實(shí)體密鑰和一常數(shù)生成演進(jìn)的 基站密鑰。
所述用戶設(shè)備包含第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果 激活標(biāo)識(shí)為有效狀態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述常數(shù)生成演進(jìn)的基 站密鑰。
權(quán)利要求
1、一種更新跟蹤區(qū)時(shí)的密鑰生成方法，其特征在于，在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀態(tài)時(shí)，用戶設(shè)備和移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰。
2、 如權(quán)利要求l所迷的方法，其特征在于，所述用戶設(shè)備和移動(dòng)管理實(shí) 體根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰具 體包含所述移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生 成演進(jìn)的基站密鑰，發(fā)送受保護(hù)的下行非接入層消息給用戶設(shè)備，消息中攜 帶所述下行非接入層計(jì)數(shù)器；所述用戶設(shè)備接收所述下行非接入層消息，根據(jù)接入安全管理實(shí)體密鑰 和從所述移動(dòng)管理實(shí)體接收到的所述下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰。
3、 如權(quán)利要求2所述的方法，其特征在于，所述下行非接入層消息為更 新跟蹤區(qū)接受消息。
4、 如權(quán)利要求1或2所述的方法，其特征在于，所述移動(dòng)管理實(shí)體和用 戶設(shè)備生成所述演進(jìn)的基站密鑰時(shí)使用的接入安全管理實(shí)體密鑰是在本次更 新跟蹤區(qū)過(guò)程中根據(jù)原有密鑰生成的。
5、 一種更新跟蹤區(qū)時(shí)的密鑰生成方法，其特征在于，在更新跟蹤區(qū)過(guò)程 中，如果激活標(biāo)識(shí)為有效狀態(tài)時(shí)，用戶設(shè)備和移動(dòng)管理實(shí)體根據(jù)接入安全管 理實(shí)體密鑰和移動(dòng)管理實(shí)體產(chǎn)生的隨機(jī)數(shù)生成演進(jìn)的基站密鑰。
6、 如權(quán)利要求5所述的方法，其特征在于，所述用戶設(shè)備和移動(dòng)管理實(shí) 體根據(jù)接入安全管理實(shí)體密鑰和移動(dòng)管理實(shí)體產(chǎn)生的隨機(jī)數(shù)生成演進(jìn)的基站 密鑰具體包含所述移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和所述移動(dòng)性管理實(shí)體產(chǎn) 生的隨機(jī)數(shù)生成演進(jìn)的基站密鑰，發(fā)送受保護(hù)的下行非接入層消息給用戶設(shè) 備，消息中攜帶所述隨機(jī)數(shù)； 所述用戶設(shè)備接收所述下行非接入層消息，根據(jù)接入安全管理實(shí)體密鑰 和從所述移動(dòng)管理實(shí)體接收到的所述隨機(jī)數(shù)生成演進(jìn)的基站密鑰。
7、 如權(quán)利要求6所述的方法，其特征在于，所述下行非接入層消息為更 新跟蹤區(qū)接受消息。
8、 如權(quán)利要求5或6所述的方法，其特征在于，所述移動(dòng)管理實(shí)體和用 戶設(shè)備生成所述演進(jìn)的基站密鑰時(shí)使用的接入安全管理實(shí)體密鑰是在本次更 新跟蹤區(qū)過(guò)程中根據(jù)原有密鑰生成的。
9、 一種更新跟蹤區(qū)時(shí)的密鑰生成方法，其特征在于，在更新跟蹤區(qū)過(guò)程 中，如果激活標(biāo)識(shí)為有效狀態(tài)時(shí)，用戶設(shè)備和移動(dòng)管理實(shí)體根據(jù)接入安全管 理實(shí)體密鑰和一常數(shù)生成演進(jìn)的基站密鑰。
10、 如權(quán)利要求9所述的方法，其特征在于，所述用戶設(shè)備和所述移動(dòng) 管理實(shí)體事先約定該常數(shù)，或者，所述移動(dòng)管理實(shí)體將所述常數(shù)發(fā)送給所述用戶設(shè)備。
11、 如權(quán)利要求9所述的方法，其特征在于，所述用戶設(shè)備和移動(dòng)管理 實(shí)體根據(jù)接入安全管理實(shí)體密鑰和一常數(shù)生成演進(jìn)的基站密鑰具體包含所述移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和所述常數(shù)生成演進(jìn)的基 站密鑰，發(fā)送受保護(hù)的下行非接入層消息給用戶設(shè)備，消息中攜帶所述常數(shù);所述用戶設(shè)備接收所述下行非接入層消息，根據(jù)接入安全管理實(shí)體密鑰 和從所述移動(dòng)管理實(shí)體接收到的常數(shù)生成演進(jìn)的基站密鑰。
12、 如權(quán)利要求11所述的方法，其特征在于，所述下行非接入層消息為 更新跟蹤區(qū)接受消息。
13、 如權(quán)利要求9或10或11所述的方法，其特征在于，所述移動(dòng)管理 實(shí)體和用戶設(shè)備生成所述演進(jìn)的基站密鑰時(shí)使用的接入安全管理實(shí)體密鑰是 在本次更新跟蹤區(qū)過(guò)程中根據(jù)原有密鑰生成的。
14、 一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體，用戶設(shè)備， 其特征在于，所述移動(dòng)管理實(shí)體包含 第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀態(tài)，根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰；發(fā)送單元，用于通過(guò)受保護(hù)的下行非接入層消息發(fā)送下行非接入層計(jì)數(shù) 器給用戶設(shè)備；所述用戶設(shè)備包含接收單元，用于從移動(dòng)管理實(shí)體接收下行接入層消息，獲取下行非接入 層計(jì)數(shù)器；第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述下行非接入層計(jì)數(shù)器生成演進(jìn)的基站 密鑰。
15、 一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體，用戶設(shè)備， 其特征在于，所述移動(dòng)管理實(shí)體包含 隨機(jī)數(shù)產(chǎn)生單元，用于生成隨機(jī)數(shù)；第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述隨機(jī)數(shù)生成演進(jìn)的基站密鑰；隨機(jī)數(shù)發(fā)送單元，用于通過(guò)受保護(hù)的下行非接入層消息將所述隨機(jī)數(shù)發(fā) 送給用戶設(shè)備；所述用戶設(shè)備包含隨機(jī)數(shù)接收單元，用于接收移動(dòng)管理實(shí)體發(fā)送的下行非接入層消息，獲 取所述的隨機(jī)數(shù)；第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀 態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述隨機(jī)數(shù)生成演進(jìn)的基站密鑰。
16、 一種更新跟蹤區(qū)時(shí)的密鑰生成系統(tǒng)，包含移動(dòng)管理實(shí)體，用戶設(shè)備， 其特征在于，所述移動(dòng)管理實(shí)體包含第一密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中， 如果激活標(biāo)識(shí)為有效狀態(tài)，根據(jù)接入安全管理實(shí)體密鑰和一常數(shù)生成演進(jìn)的基站密鑰；所述用戶設(shè)備包含第二密鑰生成單元，用于在更新跟蹤區(qū)過(guò)程中，如果 激活標(biāo)識(shí)為有效狀態(tài)，根據(jù)接入安全管理實(shí)體密鑰和所述常數(shù)生成演進(jìn)的基 站密鑰。
全文摘要
本發(fā)明提供了一種更新跟蹤區(qū)時(shí)的密鑰生成方法，在更新跟蹤區(qū)過(guò)程中，如果激活標(biāo)識(shí)為有效狀態(tài)且沒(méi)有緩存的演進(jìn)分組系統(tǒng)安全上下文時(shí)，用戶設(shè)備和移動(dòng)管理實(shí)體根據(jù)接入安全管理實(shí)體密鑰和下行非接入層計(jì)數(shù)器生成演進(jìn)的基站密鑰、或者根據(jù)接入安全管理實(shí)體密鑰和移動(dòng)管理實(shí)體產(chǎn)生的隨機(jī)數(shù)生成演進(jìn)的基站密鑰，或者根據(jù)接入安全管理實(shí)體密鑰和常數(shù)生成演進(jìn)的基站密鑰。本發(fā)明提供的密鑰生成方法和系統(tǒng)，能在激活標(biāo)識(shí)是有效狀態(tài)時(shí)，生成K_eNB，而且能夠保證MME和UE生成的K_eNB一致。
文檔編號(hào)H04L9/18GK101355507SQ20081016086
公開(kāi)日2009年1月28日 申請(qǐng)日期2008年9月12日 優(yōu)先權(quán)日2008年9月12日
發(fā)明者露 甘 申請(qǐng)人:中興通訊股份有限公司