[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

CN110536289A - 密钥发放方法及其装置、移动终端、通信设备和存储介质 - Google Patents

密钥发放方法及其装置、移动终端、通信设备和存储介质 Download PDF

Info

Publication number
CN110536289A
CN110536289A CN201811583792.4A CN201811583792A CN110536289A CN 110536289 A CN110536289 A CN 110536289A CN 201811583792 A CN201811583792 A CN 201811583792A CN 110536289 A CN110536289 A CN 110536289A
Authority
CN
China
Prior art keywords
key
information
verification
authentication
mobile terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201811583792.4A
Other languages
English (en)
Inventor
谢振华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201811583792.4A priority Critical patent/CN110536289A/zh
Publication of CN110536289A publication Critical patent/CN110536289A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例提供一种密钥发放方法及其装置、移动终端、通信设备和存储介质，该方法根据接收到的认证调度提取认证信息和用户密钥，并按照密钥生成规则生成第一验证密钥，以及向所述移动网络侧返回认证响应消息，移动网络侧在接收到认证响应消息后，也获取对应的认证信息和用户密钥生成第二验证密钥，并对第一密钥信息加密，得到第三密钥并返回给移动终端，移动终端根据第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息，基于这种相互的方式来实现密钥的发放来保证移动终端在接入移动网络时的安全性问题，同时也保证了密钥的实时更新，降低了密钥的篡改，也进一步提高的安全性，也大大提高了系统的安全性能。

Description

密钥发放方法及其装置、移动终端、通信设备和存储介质
技术领域
本发明实施例涉及但不限于通信技术领域，具体而言，涉及但不限于一种密钥发放方法及其装置、移动终端、通信设备和存储介质。
背景技术
第三代合作伙伴计划(3rd Generation Partnership Project，3GPP)制定了各种移动网络的规范，而依据这些规范部署的移动网络也正遭受各种伪基站的攻击，导致攻击能够实施的一大主要原因就是移动终端无法对基站进行真伪鉴别，从而接受了伪基站发送的各种指示。
为了对基站进行鉴别(authentic)，必须在基站及移动终端上发放密钥信息，从而使基站依据这些密钥信息对发送的消息或消息中的部分内容进行保护，从而使得移动终端可以依据密钥信息对基站发送的消息进行鉴别，进而能够对基站进行真伪鉴别，使得伪基站无法接入移动网络获得这些密钥信息。
3GPP制定了移动网络与移动终端间的认证与密钥协商(Authentication and KeyAgreement，AKA)规范，但该规范只能使得移动网络可以向移动终端发放与签约用户关联的密钥信息以保护用户的各种通讯，而不能发放与基站关联的密钥信息，无法实现移动终端对基站的真伪鉴别，也即是目前的真伪鉴别是在建立相互通信之后才能实现，在其之前没有，这样的方式会出现安全性的问题。
发明内容
本发明实施例提供的一种密钥发放方法及其装置、移动终端、通信设备和存储介质，以解决现有技术中移动终端接入移动网络时，无法获取得知鉴权密钥而导致通信安全性较低的技术问题。
为解决上述技术问题，本发明实施例提供了一种密钥发放方法，应用于移动终端侧，该方法包括：
接收所述移动网络侧发送的第三密钥信息；所述第三密钥信息为所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得；所述第二验证密钥为由所述移动网络侧基于网络用户密钥生成或由所述移动网络侧基于解密第三验证密钥的结果获得；所述第三验证密钥由所述移动终端基于加密所述第二验证密钥的结果获得，并发送给所述移动网络侧；
基于使用第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成所述第一密钥信息，所述第一验证密钥为所述移动终端基于终端用户密钥生成；
所述网络用户密钥为用户密钥在所述移动网络侧的备份，所述终端用户密钥为所述用户密钥在所述移动终端的备份。
为解决上述技术问题，本发明实施例还提供了一种密钥发放方法，应用于移动终端侧的安全功能，所述方法包括：
收到来自所述移动终端侧的终端设备的第一调用，并返回所述第一调用的结果；所述第一调用的结果不包含第一验证密钥，或所述第一调用的结果包含第二派生信息，或所述第一调用的结果包含第三验证密钥；其中，所述第一验证密钥基于终端用户密钥生成，所述第二派生信息用于与所述终端用户密钥一起生成第一验证密钥，所述第三验证密钥为基于加密第二验证密钥的结果获得，所述终端用户密钥为用户密钥在所述移动终端侧的安全功能上的备份；收到来自所述移动终端侧的终端设备的第二调用，并返回所述第二调用的结果；所述第二调用包含第三密钥信息，所述第二调用的结果不包含第一密钥信息；其中，所述第一密钥信息为基于使用所述第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成。
为解决上述技术问题，本发明实施例还提供了一种密钥发放方法，应用于移动终端侧的终端设备，所述方法包括：
接收来自移动网络侧的第三密钥信息，向所述移动终端侧的安全功能发起第二调用，所述第二调用包含所述第三密钥信息；
所述第三密钥信息是所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得，所述第二验证密钥是所述移动网络侧基于网络用户密钥生成，或所述第二验证密钥是所述移动网络侧基于解密第三验证密钥的结果获得，所述第三验证密钥由所述移动终端发送给所述移动网络侧，所述网络用户密钥为用户密钥在所述移动网络侧的备份。
为解决上述技术问题，本发明实施例还提供了一种密钥发放方法，应用于移动网络侧的第一核心网功能，所述方法包括：
向移动终端发送第三密钥信息；或，
向第二核心网功能发送第一密钥信息，接收到来自所述第二核心网功能发送的第三密钥信息，发送所述第三密钥信息给移动终端；
其中，所述第三密钥信息基于第二验证密钥以及第一密钥信息生成；所述第二验证密钥为通过解密第三验证密钥生成，或由所述第二核心网功能基于网络用户密钥生成；所述第三验证密钥接收自所述移动终端，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
为解决上述技术问题，本发明实施例还提供了一种密钥发放方法，应用于第二核心网功能，所述方法包括：
接收到来自第一核心网功能的第一密钥信息，向所述第一核心网功能发送第三密钥信息，所述第三密钥信息基于所述第一密钥信息和第二验证密钥生成，所述第二验证密钥基于网络用户密钥生成，或基于解密第三验证密钥生成，所述第三验证密钥接收自所述第一核心网功能；或，
接收到来自第一核心网功能的第二派生信息，向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第二派生信息与网络用户密钥生成；或，
向第一核心网功能发送第一派生信息，以及，向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第一派生信息与网络用户密钥生成；
所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
为解决上述技术问题，本发明实施例还提供了一种移动终端，包括：
第一接收模块，用于接收所述移动网络侧发送的第三密钥信息；所述第三密钥信息为所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得；所述第二验证密钥为由所述移动网络侧基于网络用户密钥生成或由所述移动网络侧基于解密第三验证密钥的结果获得；所述第三验证密钥由所述移动终端基于加密所述第二验证密钥的结果获得，并发送给所述移动网络侧；
第一密钥生成模块，用于基于使用第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成所述第一密钥信息，所述第一验证密钥为所述移动终端基于终端用户密钥生成，其中所述网络用户密钥为用户密钥在所述移动网络侧的备份，所述终端用户密钥为所述用户密钥在所述移动终端的备份。
为解决上述技术问题，本发明实施例还提供了一种密钥发放装置，包括：
第一调用模块，用于收到来自所述移动终端侧的终端设备的第一调用，并返回所述第一调用的结果；所述第一调用的结果不包含第一验证密钥，或所述第一调用的结果包含第二派生信息，或所述第一调用的结果包含第三验证密钥；其中，所述第一验证密钥基于终端用户密钥生成，所述第二派生信息用于与所述终端用户密钥一起生成第一验证密钥，所述第三验证密钥为基于加密第二验证密钥的结果获得，所述终端用户密钥为用户密钥在所述移动终端侧的安全功能上的备份；
第二调用模块，用于收到来自所述移动终端侧的终端设备的第二调用，并返回所述第二调用的结果；所述第二调用包含第三密钥信息，所述第二调用的结果不包含第一密钥信息；其中，所述第一密钥信息为基于使用所述第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成。
为解决上述技术问题，本发明实施例还提供了一种移动终端，包括：
第二接收模块，用于接收来自移动网络侧的第三密钥信息，并向密钥发放装置发起第二调用，所述第二调用包含所述第三密钥信息；
所述第三密钥信息是所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得，所述第二验证密钥是所述移动网络侧基于网络用户密钥生成，或所述第二验证密钥是所述移动网络侧基于解密第三验证密钥的结果获得，所述第三验证密钥由所述移动终端发送给所述移动网络侧，所述网络用户密钥为用户密钥在所述移动网络侧的备份。
为解决上述技术问题，本发明实施例还提供了一种通信设备，包括：
第一发送模块，用于向移动终端发送第三密钥信息；或，向第二核心网功能发送第一密钥信息；
第三接收模块，用于接收到来自所述第二核心网功能发送的第三密钥信息，发送所述第三密钥信息给移动终端；
其中，所述第三密钥信息基于第二验证密钥以及第一密钥信息生成；所述第二验证密钥为通过解密第三验证密钥生成，或由所述第二核心网功能基于网络用户密钥生成；所述第三验证密钥接收自所述移动终端，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
为解决上述技术问题，本发明实施例还提供了一种通信设备，包括：第四接收模块和第二发送模块；
所述第四接收模块用于接收到来自第一核心网功能的第一密钥信息，所述第二发送模块用于向所述第一核心网功能发送第三密钥信息，所述第三密钥信息基于所述第一密钥信息和第二验证密钥生成，所述第二验证密钥基于网络用户密钥生成，或基于解密第三验证密钥生成，所述第三验证密钥接收自所述第一核心网功能；或，
所述第四接收模块用于接收到来自第一核心网功能的第二派生信息，所述第二发送模块用于向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第二派生信息与网络用户密钥生成；或，
所述第二发送模块用于向第一核心网功能发送第一派生信息，以及，所述第二发送模块向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第一派生信息与网络用户密钥生成，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
为解决上述技术问题，本发明实施例还提供了一种通信设备，包括处理器、存储器、通信单元和通信总线；
所述通信总线用于实现所述处理器、所述通信单元和所述存储器之间的无线通信连接；
一种通信设备，其特征在于，包括：处理器、存储器、通信单元和通信总线；
所述通信总线用于实现所述处理器、所述通信单元和所述存储器之间的无线通信连接；
所述处理器用于执行存储器中存储的一个或者多个第一程序，以实现如上所述的密钥发放方法的步骤；
所述处理器用于执行存储器中存储的一个或者多个第二程序，以实现如上所述的密钥发放方法的步骤；
所述处理器用于执行存储器中存储的一个或者多个第三程序，以实现如上所述的密钥发放方法的步骤
所述处理器用于执行存储器中存储的一个或者多个第四程序，以实现如上所述的密钥发放方法的步骤；
所述处理器用于执行存储器中存储的一个或者多个第五程序，以实现如上所述的密钥发放方法的步骤。
为解决上述技术问题，本发明实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个第一计算机程序、第二计算机程序、第三计算机程序、第四计算机程序和第二计算机程序，所述一个或者多个第一计算机程序可被一个或者多个处理器执行，以实现如上所述的密钥发放方法的步骤；
所述一个或者多个第二计算机程序可被一个或者多个处理器执行，以实现如上所述的密钥发放方法的步骤；
所述一个或者多个第三计算机程序可被一个或者多个处理器执行，以实现如上所述的密钥发放方法的步骤
所述一个或者多个第四计算机程序可被一个或者多个处理器执行，以实现如上所述的密钥发放方法的步骤；
所述一个或者多个第五计算机程序可被一个或者多个处理器执行，以实现如上所述的密钥发放方法的步骤。
本发明的有益效果是：
根据本发明实施例提供的密钥发放方法及其装置、移动终端、通信设备和计算机可读存储介质，该方法根据接收到的认证调度提取认证信息和用户密钥，并按照密钥生成规则生成第一验证密钥，以及向所述移动网络侧返回认证响应消息，移动网络侧在接收到认证响应消息后，也获取对应的认证信息和用户密钥生成第二验证密钥，并对第一密钥信息加密，得到第三密钥并返回给移动终端，移动终端根据第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息，基于这种相互的方式来实现密钥的发放来保证移动终端在接入移动网络时的安全性问题，同时也保证了密钥的实时更新，降低了密钥的篡改，也进一步提高的安全性，也大大提高了系统的安全性能。
本发明其他特征和相应的有益效果在说明书的后面部分进行阐述说明，且应当理解，至少部分有益效果从本发明说明书中的记载变的显而易见。
附图说明
图1为本发明实施例一提供的密钥发放方法的流程图；
图2为本发明实施例二提供的密钥发放方法的另一种流程图；
图3为本发明实施例三提供的移动终端的第一种结构示意图；
图4为本发明实施例三提供的移动终端的第二种结构示意图；
图5为本发明实施例三提供的移动终端的第三种结构示意图；
图6为本发明实施例四提供的通信设备的第一种结构示意图；
图7为本发明实施例四提供的通信设备的第二种结构示意图；
图8为本发明实施例四提供的通信设备的第三种结构示意图；
图9为本发明实施例五提供的通信系统的结构示意图；
图10为本发明实施例提供的移动终端密钥分发架构示意图；
图11为本发明实施例六提供的一种移动终端密钥发放流程示意图；
图12为本发明实施例七提供的一种移动终端密钥发放流程示意图；
图13为本发明实施例八提供的一种移动终端密钥发放流程示意图；
图14为本发明实施例九提供的一种移动终端密钥发放流程示意图；
图15为本发明实施例十提供的一种移动终端密钥发放流程示意图；
图16为本发明实施例十一提供的一种移动终端密钥发放流程示意图；
图17为本发明实施例十二提供的移动终端密钥更新流程示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，下面通过具体实施方式结合附图对本发明实施例作进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
实施例一：
请参见图1，为本实施例提供的密钥发放方法，该方法主要是应用在移动终端上，具体实现步骤如下：
S11，根据接收到的认证调度提取认证信息和用户密钥。
在实际应用中，该认证信息包括随机字符串RAND、认证参数AUTN、挑战响应RES和会话密钥中的至少一种，甚至还可以是由移动终端直接生成的机密密钥。所述用户密钥是同时存储在移动终端、基站和移动网络上。
S12，根据所述认证信息和用户密钥生成第一验证密钥。
在该步骤中，还需要结合一定的算法来计算得到，优选的该算法可以是一些密钥的计算算法，也可以是一些加密算法，具体的，在以认证信息和用户密码作为输入参数，按照密钥生成规则生成第一验证密钥。
进一步的，在生成第一验证密钥之后，便于实现移动终端和移动网络侧两端的密钥对应实现，还需要向所述移动网络侧返回认证响应消息。
在实际应用中，该响应消息可以是认证请求、密钥提供请求、挑战响应中的至少一种，而正对于不同的消息会携带有不同的信息，这个可以根据实际情况使用提供。
S13，接收所述移动网络侧发送的第三密钥信息。
所述第三密钥信息为所述移动网络侧根据所述认证响应消息和所述密钥生成规则生成的第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息加密后，所得到的密钥信息。
在本实施例中，在移动网络侧接收到认证响应消息后，会获取认证信息和用户密钥作为输入参数，结合与移动终端相同的密钥生成规则生成第二验证密钥，通过第二验证密钥和第一密钥信息生成对应的第三密钥信息，该生成过程可以是一种密钥的生成过程，也可以是一种加密的过程，其中密钥是第二验证密钥。
S14，根据所述第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息。
在本实施例中，一个验证密钥并不是一直都有效的，在一定的情况或者是特殊条件下会出现更新，也即是在根据所述第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息之后，还包括：
将所述第一密钥信息存储于所述移动终端中，并设置密钥更新时间；
在检测到所述密钥更新时间到达时，执行密钥更新步骤，从所述移动网络侧获取新的第一密钥信息。
在本实施例中，对于生成第一验证密钥或者第二验证密钥的认证信息具体是可以通过两种方式获取到，一种是由移动终端自己产生，然后再发送给移动网络侧的设备；另一种是由移动网络上的设备产生，然后再返回会给移动终端。
在本实施例中，若所述认证信息由所述移动网络侧生成时，所述方法还包括：
所述移动终端侧向所述移动网络侧发送密钥提供请求；所述密钥提供请求中携带有指示表示获取验证密钥的指示信息，所述密钥提供请求用于控制所述移动网络侧生成认证信息，所述认证信息至少包括随机字符串RAND、认证参数AUTN、挑战响应和会话密钥；
所述根据接收到的认证调度提取认证信息包括：
接收所述移动网络侧根据所述密钥提供请求返回的认证请求；
提取所述认证请求中携带的认证信息，所述认证信息包括随机字符串RAND、认证参数AUTN、挑战响应RES和会话密钥。
在本实施例中，所述根据所述认证信息和用户密钥，按照密钥生成规则生成第一验证密钥，并向所述移动网络侧返回认证响应消息包括：
以随机字符串RAND为输入参数，依据所述用户密钥与所述随机字符串按照密钥生成规则生成第一保护密钥和挑战响应；
将所述挑战响应携带在认证响应消息中发送至所述移动网络侧。
进一步的，所述移动网络侧根据所述认证响应消息和所述密钥生成规则生成的第二验证密钥对第一密钥信息加密后，所得到的密钥信息包括：
所述移动网络侧从第一核心网中获取第一密钥信息；
根据所述认证信息中的随机字符串和所述用户密钥生成第二保护密钥；
基于所述第二保护密钥和所述第一密钥信息生成第三密钥信息。
所述根据所述第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息包括：根据所述第一保护密码对所述第三密钥信息进行解密，得到第一密钥信息。
在本实施例中，若所述认证信息由所述移动终端生成时，所述根据接收到的认证调度提取认证信息包括：
根据所述移动终端自身发起的接入网络请求；
基于所述接入网络请求生成认证信息，该认证信息包括随机字符串RAND，或机密密钥。
基于认证信息由移动终端生成时，若基于所述接入网络请求生成的是随机字符串RAND时，所述根据所述认证信息和用户密钥，按照密钥生成规则生成第一验证密钥，并向所述移动网络侧返回认证响应消息包括：
以随机字符串为输入参数，依据所述用户密钥与所述随机字符串按照密钥生成规则生成第一保护密钥；
所述移动终端向所述移动网络侧发送密钥提供请求，所述密钥提供请求携带有所述随机字符串；
若基于所述接入网络请求生成的是机密密钥时，所述根据所述认证信息和用户密钥，按照密钥生成规则生成第一验证密钥，并向所述移动网络侧返回认证响应消息包括：
基于预设的公钥对所述机密密钥进行加密，得到传输密钥；
将所述传输密钥携带在密钥提供请求中发送给所述移动网络侧，所述密钥提供请求作为所述认证响应消息。
在本实施例中，若所述移动终端依据所述用户密钥与所述随机字符串按照密钥生成规则生成的是第一保护密钥时，所述移动终端侧接收到的第三密钥信息为：所述移动网络侧根据所述移动终端发送过来的随机字符串和所述密钥生成规则生成的第二保护密钥对第一密钥信息加密后，所得到的密钥信息。
若所述移动终端根据所述认证信息和用户密钥，按照密钥生成规则生成的是传输密钥时，所述移动网络侧根据所述认证响应消息和所述密钥生成规则生成的第二验证密钥对第一密钥信息加密后，所得到的密钥信息包括：
所述移动网络侧通过与所述公钥对应的私钥解密所述传输密钥得到所述机密密钥；
基于所述机密密钥对第一密钥信息进行加密，所得所述第三密钥信息。
在实际应用中，所述移动终端还分为安全功能和终端设备功能来中模块，其中安全功能指的是UIM卡、SIM卡等等的电话卡，而终端设备可以理解为是目前的通信手机之类的，对于安全功能上的密钥发放方法具体实现如下：
安全功能收到来自所述移动终端侧的终端设备的第一调用，并返回所述第一调用的结果；所述第一调用的结果不包含第一验证密钥，或所述第一调用的结果包含第二派生信息，或所述第一调用的结果包含第三验证密钥；其中，所述第一验证密钥基于终端用户密钥生成，所述第二派生信息用于与所述终端用户密钥一起生成第一验证密钥，所述第三验证密钥为基于加密第二验证密钥的结果获得，所述终端用户密钥为用户密钥在所述移动终端侧的安全功能上的备份；收到来自所述移动终端侧的终端设备的第二调用，并返回所述第二调用的结果；所述第二调用包含第三密钥信息，所述第二调用的结果不包含第一密钥信息；其中，所述第一密钥信息为基于使用所述第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成。
其中所述第一调用的结果包含第一派生信息和第二派生信息，而当包含第一派生信息时，所述第一验证密钥基于所述终端用户密钥和所述第一派生信息生成。这里的第一派生信息为终端设备发给USIM的，可以是终端设备生成的也可以是收到网络发来的。
若所述第一调用的结果包含第二派生信息，所述第一验证密钥基于所述终端用户密钥和所述第二派生信息生成。
对于所述第三验证密钥基于保密密钥加密第二验证密钥的结果获得，所述保密密钥为移动网络侧的公钥或与移动网络侧共享的对称密钥。
在本实施例中，所述安全功能还用于存储与所述第一密钥信息相对应的网络信息。
在安全功能上的密钥发放方法还包括收到来自所述终端设备的第三调用；所述第三调用的输入参数包含验证信息和部分或全部第三密钥信息，或所述第三调用的输入参数包含验证信息和基于部分或全部第三密钥信息生成的计算结果；
所述安全功能返回所述第三调用的结果，所述第三调用的结果包含使用所述第一验证密钥或所述第二验证密钥基于所述输入参数校验所述验证信息的结果；
其中，所述第三密钥信息用于使用所述第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成第一密钥信息。
对于在终端设备上实现的密钥发放方法时，其具体实现步骤如下：
所述终端设备接收来自移动网络侧的第三密钥信息，向所述安全功能发起第二调用，所述第二调用包含所述第三密钥信息；
所述第三密钥信息是所述移动网络侧根据第二验证密钥加密第一密钥信息获得，所述第二验证密钥是所述移动网络侧基于网络用户密钥生成，或所述第二验证密钥是所述移动网络侧解密第三验证密钥获得，所述第三验证密钥由所述移动终端发送给所述移动网络侧。
进一步的，所述终端设备还用于向安全功能发起第一调用，接收所述第一调用的结果，所述第一调用的结果包含所述第三验证密钥。
进一步的，所述终端设备还用于向所述安全功能发起第三调用，所述第三调用的输入参数包含验证信息和部分或全部所述第三密钥信息，或所述第三调用的输入参数包含验证信息和基于部分或全部所述第三密钥信息生成的计算结果；
接收所述安全功能返回的验证结果，所述验证结果为使用所述第一验证密钥或所述第二验证密钥基于所述输入参数校验所述验证信息的结果。
在本实施例中，所述终端设备还用于向安全功能发起第一调用，接收所述第一调用的结果，所述第一调用包含第一派生信息，所述第一派生信息用于与终端用户密钥一起生成第一验证密钥，并由所述终端设备生成，或接收自所述移动网络侧，所述第一验证密钥用于解密所述第三密钥信息。
在本实施例中，所述终端设备还用于向所述移动网络侧发送所述第一派生信息，所述第一派生信息用于与终端用户密钥一起生成第一验证密钥，并由所述终端设备生成，所述第一验证密钥用于解密所述第三密钥信息。
在本实施例中，所述终端设备还用于向安全功能发起第一调用，接收所述第一调用的结果，所述第一调用的结果包含第二派生信息，所述第二派生信息用于与终端用户密钥一起生成第一验证密钥，所述第一验证密钥用于解密所述第三密钥信息；以及向所述移动网络侧发送所述第二派生信息。
在本实施例中，对于终端设备上的密钥发放方法具体实现如下：
接收来自移动网络侧的第三密钥信息，向所述移动终端侧的安全功能发起第二调用，所述第二调用包含所述第三密钥信息；
所述第三密钥信息是所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得，所述第二验证密钥是所述移动网络侧基于网络用户密钥生成，或所述第二验证密钥是所述移动网络侧基于解密第三验证密钥的结果获得，所述第三验证密钥由所述移动终端发送给所述移动网络侧，所述网络用户密钥为用户密钥在所述移动网络侧的备份。
在本实施例中，所述方法还包括：
向所述移动终端侧的安全功能发起第一调用，接收所述第一调用的结果，所述第一调用的结果包含所述第三验证密钥。
在本实施例中，所述方法还包括：
向所述移动终端侧的安全功能发起第三调用，所述第三调用的输入参数包含验证信息和部分或全部所述第三密钥信息，或所述第三调用的输入参数包含验证信息和基于部分或全部所述第三密钥信息生成的计算结果；
接收所述移动终端侧的安全功能返回的验证结果，所述验证结果为使用所述第一验证密钥或所述第二验证密钥基于所述输入参数校验所述验证信息的结果。
在本实施例中，所述方法还包括：
向所述移动终端侧的安全功能发起第一调用，接收所述第一调用的结果，所述第一调用包含第一派生信息，所述第一派生信息用于与终端用户密钥一起生成第一验证密钥，并由所述移动终端侧的终端设备生成，或接收自所述移动网络侧，所述第一验证密钥用于解密所述第三密钥信息，所述终端用户密钥为所述用户密钥在所述移动终端侧的备份。
在本实施例中，所述方法还包括：
向所述移动网络侧发送所述第一派生信息。
进一步的，所述方法还包括：
向所述移动终端侧的安全功能发起第一调用，接收所述第一调用的结果，所述第一调用的结果包含第二派生信息，所述第二派生信息用于与终端用户密钥一起生成第一验证密钥，所述第一验证密钥用于解密所述第三密钥信息，所述终端用户密钥为所述用户密钥在所述移动终端侧的备份；
向所述移动网络侧发送所述第二派生信息。
综上，本实施例提供的密钥发放方法，该方法根据接收到的认证调度提取认证信息和用户密钥，并按照密钥生成规则生成第一验证密钥，以及向所述移动网络侧返回认证响应消息，移动网络侧在接收到认证响应消息后，也获取对应的认证信息和用户密钥生成第二验证密钥，并对第一密钥信息加密，得到第三密钥并返回给移动终端，移动终端根据第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息，基于这种相互的方式来实现密钥的发放来保证移动终端在接入移动网络时的安全性问题，同时也保证了密钥的实时更新，降低了密钥的篡改，也进一步提高的安全性，也大大提高了系统的安全性能。
实施例二：
请参见图2，为本实施例提供的密钥发放方法，该方法主要是应用在移动网络一端上，所述移动网络侧包括第一核心网和第二核心网，具体实现步骤如下：
S21，接收来自移动终端侧的密钥提供请求。
S22，根据所述密钥提供请求和用户密钥，按照密钥生成规则生成的第二验证密钥。
S23，基于所述第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息进行加密，得到的第三密钥信息。
S24，将所述第三密钥信息返回给所述移动终端。
在本实施例中，对于生成第二验证密钥的认证信息具体是可以通过两种方式获取到，一种是由移动终端产生，然后再发送给移动网络侧的设备；另一种是由移动网络上的设备自己产生，然后再返回会给移动终端。
若是由移动网络自己产生时，所述根据所述密钥提供请求和用户密钥，按照密钥生成规则生成的第二验证密钥包括：
提取所述密钥提供请求中携带的用于指示获取验证密钥的指示信息；
根据所述指示信息生成认证信息，所述认证信息包括随机字符串RAND；
基于所述随机字符串和用户密钥，按照密钥生成规则生成的第二验证密钥。
进一步的，在所述根据所述指示信息生成认证信息之后，还包括：
向所述移动终端发送携带有所述认证信息的认证请求；以及接收来自所述移动终端基于所述认证请求返回的认证响应消息。
在实际应用中，由于移动网络本身可以回存在两种情况，一种是同时包含两种核心网络，即是第一核心网和第二核心网，另一种是只包含第一核心络，对于包含两个核心网络时，并且第二验证密钥是保护密钥时，所述基于所述第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息进行加密，得到的第三密钥信息包括：
所述第一核心网根据所述第二核心网基于所述随机字符串和用户密钥生成的第二保护密钥对所述第一密钥信息进行加密，得到所述第三密钥信息；
或者，
所述第一核心网在接收到所述认证响应消息时，获取第一密钥信息发送给所述第二核心网；所述第二核心网根据所述到第二保护密钥对所述第一密钥信息进行加密，得到所述第三密钥信息。
在本实施例中，对于第一密钥信息具体可以通过两种形式存在，一种是直接以第一密钥信息存在，而该形式则是存储在第一核心网上，另一种是以第二密钥信息的形式存在，而该形式则是存储在基站上的，该第二密钥信息是基于第一密钥信息生成的，当第一核心网获取不到直接的第一密钥信息时，其会选择通过另一种密钥信息生成，即是该密钥发放方法还包括：
当所述第一核心网获取不到所述第一密码信息时，从基站侧获取第二密钥信息，根据所述随机字符串和所述用户密钥生成第二保护密钥，基于所述第二保护密钥和所述第二密钥信息生成第三密钥信息；所述第二密钥信息与所述第一密钥信息向关联，由所述第一密钥信息和基站的共同参数生成。
在本实施例中，当所述认证信息是通过移动终端产生时，所述认证信息会携带在移动终端发送的请求中发送过来，即是，所述根据所述密钥提供请求和用户密钥，按照密钥生成规则生成的第二验证密钥包括：
提取所述密钥提供请求中携带的认证信息；所述认证信息由所述移动终端生成，且至少包括随机字符串RAND；
基于所述随机字符串和用户密钥，按照密钥生成规则生成的第二验证密钥。
在实际应用中，所述移动终端发送过来的认证信息可以是一种随机字符串，也可以是机密密钥，而这时移动终端发送过来的认证信息则是基于移动终端产生的机密密钥生成的传输密钥。
在移动网络侧接收到认证信息后，根据接收到信息生成第二验证密钥，该第二验证密钥可以是保护密钥，也可以是机密密钥。
若所述第二验证密钥为机密密钥时，所述基于所述第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息进行加密，得到的第三密钥信息包括：
所述第一核心网接收所述第二核心网基于所述随机字符串和用户密钥生成的机密密钥，根据所机密密钥对所述第一密钥信息进行加密，得到所述第三密钥信息。
这时，所述根据所述密钥提供请求和用户密钥，按照密钥生成规则生成的第二验证密钥包括：
所述第一核心网提取所述密钥提供请求中携带的传输密钥；所述传输密钥为所述移动终端基于预设的公钥对移动终端的机密密钥进行加密得到；
通过与所述公钥对应的私钥解密所述传输密钥得到所述移动终端的机密密钥；
所述基于所述第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息进行加密，得到的第三密钥信息包括：根据所述移动终端的机密密钥对所述第一密钥信息进行加密，所得所述第三密钥信息。
在本实施例中，从安全性上考虑，对于第二验证密钥还是会存在更新修改的，即是在所述将所述第三密钥信息返回给所述移动终端之后，所述方法还包括：
检测所述第一密钥信息是否存在更新；
若存在，则向所述移动终端重新发送所述第三密钥信息；
其中，所述第三密钥信息依据所述第二验证密钥以及所述更新后的第一密钥信息生成，或，所述第三密钥信息依据移动终端的机密密钥以及所述更新后的第一密钥信息生成。
在本实施例中，该密钥发放方法在所述移动网络侧的第一核心网功能上实现时，具体如下：
向移动终端发送第三密钥信息；或，
向第二核心网功能发送第一密钥信息，接收到来自所述第二核心网功能发送的第三密钥信息，发送所述第三密钥信息给移动终端；
其中，所述第三密钥信息基于第二验证密钥以及第一密钥信息生成；所述第二验证密钥为通过解密第三验证密钥生成，或由所述第二核心网功能基于网络用户密钥生成；所述第三验证密钥接收自所述移动终端，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
进一步的，在与第二核心网功能交互时，还包括向第二核心网功能发送密钥请求；
接收来自所述第二核心网功能的所述第二验证密钥。
在本实施例中，所述密钥请求包含第三派生信息；所述第三派生信息接收自所述移动终端，用于与网络用户密钥一起生成所述第二验证密钥。其中所述第三派生信息包括上述的第二派生信息+部分或者全部的第一派生信息(终端生成)。
进一步的，所述密钥请求还包含所述第三验证密钥，所述第三验证密钥接收自所述移动终端。
进一步的，在于移动终端交互时，还包括：向所述移动终端发送第一派生信息；所述第一派生信息接收自所述第二核心网功能，用于与网络侧用户密钥一起生成所述第二验证密钥。
进一步的，还可以向所述移动终端发送验证信息；
其中，所述验证信息是基于所述第二验证密钥与部分或全部所述第三密钥信息生成；或基于所述第二验证密钥与第一计算结果生成，所述第一计算结果基于部分或全部所述第三密钥信息生成；或基于所述第二验证密钥与部分或全部所述第一密钥信息生成；或基于所述第二验证密钥与第二计算结果生成，所述第二计算结果基于部分或全部所述第一密钥信息生成。
对于在第二核心网功能上实现时，具体为：接收到来自第一核心网功能的第一密钥信息，向所述第一核心网功能发送第三密钥信息，所述第三密钥信息基于所述第一密钥信息和第二验证密钥生成，所述第二验证密钥基于网络用户密钥生成，或基于解密第三验证密钥生成，所述第三验证密钥接收自所述第一核心网功能；或，
接收到来自第一核心网功能的第二派生信息，向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第二派生信息与网络用户密钥生成；或，
向第一核心网功能发送第一派生信息，以及，向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第一派生信息与网络用户密钥生成；
所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
进一步的，所述第二验证密钥基于解密第三验证密钥生成，所述第三验证密钥接收自所述第一核心网功能。
综上，本实施例供的密钥发放方法，该方法根据接收到的认证调度提取认证信息和用户密钥，并按照密钥生成规则生成第一验证密钥，以及向所述移动网络侧返回认证响应消息，移动网络侧在接收到认证响应消息后，也获取对应的认证信息和用户密钥生成第二验证密钥，并对第一密钥信息加密，得到第三密钥并返回给移动终端，移动终端根据第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息，基于这种相互的方式来实现密钥的发放来保证移动终端在接入移动网络时的安全性问题，同时也保证了密钥的实时更新，降低了密钥的篡改，也进一步提高的安全性，也大大提高了系统的安全性能。
实施例三：
本实施例提供了一种移动终端，参见图3所示，该移动终端包括调用模块31、第一密钥生成模块32、第一通信模块33和解密模块34，其中
调用模块31，用于根据接收到的认证调度提取认证信息和用户密钥；
第一密钥生层模块32，用于根据所述认证信息和用户密钥，按照密钥生成规则生成第一验证密钥；
第一通信模块33，用于向所述移动网络侧返回认证响应消息；以及接收所述移动网络侧发送的第三密钥信息，所述第三密钥信息为所述移动网络侧根据所述认证响应消息和所述密钥生成规则生成的第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息加密后，所得到的密钥信息；
解密模块34，用于根据所述第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息。
在本实施例中，所述调用模块31、第一密钥生成模块32、第一通信模块33和解密模块34还用于实现上述实施例一提供的密钥发放方法的各个步骤的功能，其各个步骤的具体实现过程参照上述各实施例的说明，这里就不再赘述了。
进一步的，本发明实施例还提供了另一种移动终端的结构，如图4所示，该移动终端包括安全功能模块41和终端设备模块42，其中，
所述终端设备模块42向所述安全功能模块41发送认证调度；
所述安全功能模块41根据接收到的认证调度提取认证信息和用户密钥；根据所述认证信息和用户密钥，按照密钥生成规则生成第一验证密钥，并向所述移动网络侧返回认证响应消息；
所述终端设备模块42接收所述移动网络侧发送的第三密钥信息，并其发送给所述安全功能模块41，所述第三密钥信息为所述移动网络侧根据所述认证响应消息和所述密钥生成规则生成的第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息加密后，所得到的密钥信息；
所述安全功能模块41根据所述第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息。
在本实施例中，所述安全功能模块41和终端设备模块42还用于实现上述实施例一提供的密钥发放方法的各个步骤的功能，其各个步骤的具体实现过程参照上述各实施例的说明，这里就不再赘述了。
在本实际应用中，对于安全功能模块41具体用于接收到来自终端设备的调用，所述调用至少以随机字符串RAND为输入参数，依据用户密钥与所述随机字符串生成保护密钥和挑战响应，并返回所述调用，返回的信息中包含所述挑战响应，不包含所述保护密钥；或，
接收到来自终端设备的调用，返回随机字符串RAND，所述RAND用于与用户密钥一起生成保护密钥；或，
接收到来自终端设备的调用，返回随机字符串传输密钥，所述传输密钥基于机密密钥与公钥生成。
进一步的，所述安全功能模块41还用于接收到来自终端设备的调用，所述调用的输入参数包含部分或全部第三密钥信息；
依据所述保护密钥和所述输入参数生成第一密钥；或，
依据所述保护密钥和所述输入参数生成第二密钥；或，
依据所述保护密钥和所述输入参数生成第一密钥后再基于所述第一密钥生成第二密钥。
进一步的，所述安全功能模块41还用于依据机密密钥与所述第一密钥或所述第二密钥生成第四密钥；
返回所述第四密钥给所述终端设备。
进一步的，所述安全功能模块41还用于存储所述第一密钥，或存储所述第二密钥，并存储与所述第一密钥或所述第二密钥相对应的网络信息。
进一步的，在返回所述RAND前所述安全功能模块41还用于生成所述RAND，或读取存储的所述RAND；
基于所述RAND和用户密钥生成保护密钥。
进一步的，在返回所述传输密钥前，所述安全功能模块41还用于生成所述机密密钥，或读取存储的机密密钥；
基于所述机密密钥和所述公钥生成所述传输密钥。
在实际应用中，所述终端设备模块42具体用于接收来自移动网络的携带第三密钥信息的消息；
存储所述第三密钥信息，或调用安全功能，所述调用的输入参数包含部分或全部的所述第三密钥信息；
其中，所述第三密钥信息基于保护密钥以及第一密钥信息或第二密钥信息生成，或所述第三密钥信息基于机密密钥以及第一密钥信息或第二密钥信息生成；
其中，所述保护密钥基于用户密钥生成，所述第二密钥信息基于所述第一密钥信息生成或与所述第一密钥信息相配套，所述机密密钥由所述安全功能生成或存储于所述安全功能中。
进一步的，所述终端设备42还用于接收所述安全功能返回的第四密钥信息，所述第四密钥信息基于机密密钥以及所述第一密钥信息或所述第二密钥信息生成。
进一步的，在接收来自所述移动网络的携带所述第三密钥信息的消息前，所述终端设备42还用于向所述移动网络发送密钥提供请求，所述密钥提供请求携带指示信息，所述指示信息表示初始化或更新。
进一步的，所述终端设备42还用于存储与所述第三密钥相对应的网络信息。
进一步的，所述终端设备42还用于向所述移动网络发送随机字符串RAND，所述RAND接收自安全功能，用于与用户密钥一起生成所述保护密钥；或，
向所述移动网络发送传输密钥，所述传输密钥接收自安全功能。
进一步的，本发明实施例还提供了另一种移动终端的结构，如图5所示，该移动终端，包括：第一处理器51、第一存储器52、第一通信单元53和第一通信总线54；
所述第一通信总线54用于实现所述第一处理器51、所述第一通信单元53和所述第一存储器52之间的无线通信连接；
所述第一处理器51用于执行第一存储器52中存储的一个或者多个第一程序，以实现如上实施例一提供的密钥发放方法的步骤，其各个步骤的具体实现过程参照上述各实施例的说明，这里不再重复赘述。
在本实施例中，所述移动终端的结构还可以是通过第一接收模块和第一密钥生成模块来实现，具体的：
第一接收模块，用于接收所述移动网络侧发送的第三密钥信息；所述第三密钥信息为所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得；所述第二验证密钥为由所述移动网络侧基于网络用户密钥生成或由所述移动网络侧基于解密第三验证密钥的结果获得；所述第三验证密钥由所述移动终端基于加密所述第二验证密钥的结果获得，并发送给所述移动网络侧；
第一密钥生成模块，用于基于使用第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成所述第一密钥信息，所述第一验证密钥为所述移动终端基于终端用户密钥生成，其中所述网络用户密钥为用户密钥在所述移动网络侧的备份，所述终端用户密钥为所述用户密钥在所述移动终端的备份。
进一步的，移动终端的结构还可以是包括第二接收模块，其中第二接收模块，用于接收来自移动网络侧的第三密钥信息，并向密钥发放装置发起第二调用，所述第二调用包含所述第三密钥信息；
所述第三密钥信息是所述移动网络侧根据第二验证密钥加密第一密钥信息获得，所述第二验证密钥是所述移动网络侧基于网络用户密钥生成，或所述第二验证密钥是所述移动网络侧解密第三验证密钥获得，所述第三验证密钥由所述移动终端发送给所述移动网络侧。
在本实施例中，还可以是一种密钥发放装置的方式设置在移动终端中，该密钥发放装置包括：
第一调用模块，用于收到来自所述移动终端侧的终端设备的第一调用，并返回所述第一调用的结果；所述第一调用的结果不包含第一验证密钥，或所述第一调用的结果包含第二派生信息，或所述第一调用的结果包含第三验证密钥；其中，所述第一验证密钥基于终端用户密钥生成，所述第二派生信息用于与所述终端用户密钥一起生成第一验证密钥，所述第三验证密钥为基于加密第二验证密钥的结果获得，所述终端用户密钥为用户密钥在所述移动终端侧的安全功能上的备份；
第二调用模块，用于收到来自所述移动终端侧的终端设备的第二调用，并返回所述第二调用的结果；所述第二调用包含第三密钥信息，所述第二调用的结果不包含第一密钥信息；其中，所述第一密钥信息为基于使用所述第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成。
在本实施例中，还可以是一种移动终端，包括：
第二接收模块，用于接收来自移动网络侧的第三密钥信息，并向密钥发放装置发起第二调用，所述第二调用包含所述第三密钥信息；
所述第三密钥信息是所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得，所述第二验证密钥是所述移动网络侧基于网络用户密钥生成，或所述第二验证密钥是所述移动网络侧基于解密第三验证密钥的结果获得，所述第三验证密钥由所述移动终端发送给所述移动网络侧，所述网络用户密钥为用户密钥在所述移动网络侧的备份。
实施例四：
本实施例提供了一种通信设备，参见图6所示，该通信设备包括第二通信模块61、第二密钥生成模块62和加密模块63，其中
第二通信模块61，用于接收来自移动终端侧的密钥提供请求；
第二密钥生成模块62，用于根据所述密钥提供请求和用户密钥，按照密钥生成规则生成的第二验证密钥；
加密模块63，用于基于所述第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息进行加密，得到的第三密钥信息；
第二通信模块61，还用于将所述第三密钥信息返回给所述移动终端。
在本实施例中，所述第二通信模块61、第二密钥生成模块62和加密模块63还用于实现上述实施例二提供的密钥发放方法的各个步骤的功能，其各个步骤的具体实现过程参照上述各实施例的说明，这里就不再赘述了。
进一步的，本发明实施例还提供了另一种通信设备的结构，如图7所示，该通信设备包括认证功能模块71、基站保护功能模块72和认证与签约数据管理功能模块73，其中，
所述认证功能模块71接收移动终端发送的密钥提供请求；
所述基站保护功能模块72将所述密钥提供请求转发给所述认证与签约数据管理功能模块73；
所述认证与签约数据管理功能模块73根据所述密钥提供请求和用户密钥，按照密钥生成规则生成的第二验证密钥；基于所述第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息进行加密，得到的第三密钥信息；
所述认证功能模块71将所述第三密钥信息返回给所述移动终端。
在本实施例中，所述认证功能模块71、基站保护功能模块72和认证与签约数据管理功能模块73还用于实现上述实施例二提供的密钥发放方法的各个步骤的功能，其各个步骤的具体实现过程参照上述各实施例的说明，这里就不再赘述了。
在本实施例中，所述认证功能模块71和基站保护功能模块72合设为一个功能模块。
在实际应用中，对于认证功能模块71、基站保护功能模块72和认证与签约数据管理功能模块73在实现实施例二提供的密钥发放方法时，还可以通过以下的步骤顺序实现，具体为：
所述认证功能模块71接收移动终端发送的密钥提供请求；
所述基站保护功能模块72将所述密钥提供请求转发给所述认证与签约数据管理功能模块；
所述认证与签约数据管理功能模块73根据所述密钥提供请求和用户密钥，按照密钥生成规则生成的第二验证密钥；
所述基站保护功能模块72基于所述第二验证密钥对存储于所述移动网络侧的第一核心网中的第一密钥信息进行加密，得到的第三密钥信息；
所述认证功能模块71将所述第三密钥信息返回给所述移动终端。
在实际应用中，所述通信设备包括第一核心网和第二核心网，其中
在第一核心网上的认证功能模块71和基站保护功能模块72具体实现可以如下：
向移动终端发送第三密钥信息；或，
向第二核心网功能发送第一密钥信息或第二密钥信息，接收到来自所述第二核心网功能发送的第三密钥信息，发送所述第三密钥信息给移动终端；
其中，所述第三密钥信息基于保护密钥以及第一密钥信息或第二密钥信息生成，或所述第三密钥信息基于机密密钥以及第一密钥信息或第二密钥信息生成；
其中，所述保护密钥基于所述移动终端的用户密钥生成，所述第二密钥信息基于所述第一密钥信息生成或与所述第一密钥信息相配套，所述机密密钥由所述移动终端生成或存储于所述移动终端中。
进一步的，所述通信设备还用于接收到所述保护密钥或所述机密密钥后，向所述移动终端发送所述第三密钥信息；
其中，所述第三密钥信息依据所述保护密钥以及所述第一密钥信息或所述第二密钥信息生成，或，所述第三密钥信息依据所述机密密钥以及所述第一密钥信息或所述第二密钥信息生成。
所述通信设备还用于所述第一密钥信息或所述第二密钥信息更新后，向所述移动终端发送所述第三密钥信息；
其中，所述第三密钥信息依据所述保护密钥以及所述更新后的第一密钥信息或所述更新后的第二密钥信息生成，或，所述第三密钥信息依据所述机密密钥以及所述更新后的第一密钥信息或所述更新后的第二密钥信息生成。
所述通信设备还用于接收到来自终端的密钥提供请求，向第二核心网功能发送第二消息，所述消息携带指示信息，所述指示信息指示请求所述保护密钥或所述机密密钥，其中，所述密钥提供请求经过所述第二核心网功能，或不经过所述第二核心网功能。
所述通信设备还用于向所述第二核心网功能发送随机字符串RAND，所述RAND接收自所述移动终端，用于与所述移动终端的用户密钥一起生成所述保护密钥。
所述通信设备还用于向所述第二核心网功能发送传输密钥，所述传输密钥接收自所述移动终端，用于生成所述机密密钥。
对于在第二核心网上的认证与签约数据管理功能模块73具体用于接收到携带指示信息的第二消息，向第一核心网功能发送保护密钥，所述保护密钥基于用户密钥生成。
在实际应用中，所述通信设备还可以包括第三核心网，这时，所述通信设备还用于接收到携带第一密钥信息或第二密钥信息的第三消息，向移动终端发送第三密钥信息，其中，所述第三密钥信息基于保护密钥及所述第一密钥信息或所述第二密钥信息生成，或，所述第三密钥信息基于机密密钥及所述第一密钥信息或所述第二密钥信息生成；
其中，所述保护密钥基于所述移动终端的用户密钥生成，所述机密密钥由所述移动终端生成或存储于所述移动终端，所述第二密钥信息基于所述第一密钥信息生成或与所述第一密钥信息相配套。
所述通信设备还用于接收到请求认证向量的第四消息，基于随机字符串RAND计算新随机字符串RAND’，基于所述RAND’生成会话密钥并发送，或，接收到请求认证向量的第四消息，消息携带随机字符串RAND，基于所述RAND生成会话密钥并发送，或，接收到请求认证向量的第四消息，消息携带传输密钥，基于所述传输密钥和私钥生成机密密钥并发送；
其中，所述会话密钥用于生成保护密钥，所述保护密钥或所述机密密钥用于处理第一密钥信息或第二密钥信息生成第三密钥信息，所述第二密钥信息基于所述第一密钥信息生成或与所述第一密钥信息相配套。
进一步的，本发明实施例还提供了另一种通信设备的结构，如图8所示，该移动终端，包括：第二处理器81、第二存储器82、第二通信单元83和第二通信总线84；
所述第二通信总线84用于实现所述第二处理器81、所述第二通信单元83和所述第二存储器82之间的无线通信连接；
所述第二处理器81用于执行第二存储器82中存储的一个或者多个第一程序，以实现如上实施例二提供的密钥发放方法的步骤，其各个步骤的具体实现过程参照上述各实施例的说明，这里不再重复赘述。
实施例五：
本实施例提供了一种通信设备，参见图9所示，该通信设备包括移动终端91和通信装置92，所述移动终端91与所述通信装置92之间通过基站建立通信；
所述移动终端91向所述通信装置92发送密钥提供请求；
所述通信装置92根据所述密钥提供请求生成认证信息，并返回给所述移动终端91；
所述移动终端91根据所述认证信息和用户密钥，按照密钥生成规则生成第一验证密钥，并向所述通信装置92返回认证响应消息；
所述通信装置92在接收到所述认证响应消息后，根据所述认证信息和用户密钥，以及所述密钥生成规则生成的第二验证密钥对存储于所述通信设备中的第一密钥信息加密，得到的第三密钥信息，并将所述第三密钥信息返回给所述移动终端91；
所述移动终端91根据所述第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息。
在实际应用中，该通信系统的各个设备三元还可以通过以下的顺序实现实施例一和二提供的密钥发放方法，即是先由所述移动终端91发起接入网络的请求，并生成认证信息，根据所述认证信息和用户密钥生成第一验证密钥，将所述认证信息发送给所述通信装置92；
所述通信装置92根据所述认证信息和用户密钥，以及所述密钥生成规则生成的第二验证密钥对存储于所述通信设备中的第一密钥信息加密，得到的第三密钥信息，并将所述第三密钥信息返回给所述移动终端91；
所述移动终端91根据所述第一验证密钥对所述第三密钥信息进行解密，得到第一密钥信息。
在本实施例中，所述移动终端91和通信装置92还用于实现上述实施例一和二提供的密钥发放方法的各个步骤的功能，其各个步骤的具体实现过程参照上述各实施例的说明，这里就不再赘述了。
在实际应用中，所述移动终端91和通信装置92具体还可以采用上述实施例三至四中提供的移动终端和通信设备来实现。
在本实施例中，还提供了另一中通信设备的结构，该通信设备包括：
第一发送模块，用于向移动终端发送第三密钥信息；或，向第二核心网功能发送第一密钥信息；
第三接收模块，用于接收到来自所述第二核心网功能发送的第三密钥信息，发送所述第三密钥信息给移动终端；
其中，所述第三密钥信息基于第二验证密钥以及第一密钥信息生成；所述第二验证密钥为通过解密第三验证密钥生成，或由所述第二核心网功能基于网络用户密钥生成；所述第三验证密钥接收自所述移动终端，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
在本实施例中，还提供了另一中通信设备的结构，该通信设备包括：
所述第四接收模块用于接收到来自第一核心网功能的第一密钥信息，所述第二发送模块用于向所述第一核心网功能发送第三密钥信息，所述第三密钥信息基于所述第一密钥信息和第二验证密钥生成，所述第二验证密钥基于网络用户密钥生成，或基于解密第三验证密钥生成，所述第三验证密钥接收自所述第一核心网功能；或，
所述第四接收模块用于接收到来自第一核心网功能的第二派生信息，所述第二发送模块用于向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第二派生信息与网络用户密钥生成；或，
所述第二发送模块用于向第一核心网功能发送第一派生信息，以及，所述第二发送模块向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第一派生信息与网络用户密钥生成，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
实施例六：
下面结合具体的具体的应用场景来对本发明实施例提供的密钥发放方法进行详细说明，具体的结合图10中的系统结构来说明，该结构中基本可以分为以下几部分组成，移动终端、基站和移动网络，而移动网络中又包括了第一核心网和第二核心网。
图10为本发明的密钥分发的系统设备的架构示意图，包括如下功能和接口：
安全功能F1：位于移动终端F3中，用于通过移动终端F3的内部器件接口S10与终端设备F2交互，以获取网络提供的被保护的密钥信息，并对其进行处理，安全功能F1还可以防止终端设备F2获取密钥信息。该功能可以是运行于终端设备F2上的软件功能，或运行于USIM卡(Universal Subscriber Identity Module，全球用户识别卡)、或UICC卡等独立于终端设备F2并与终端设备F2一同组成移动终端F3的安全硬件中；
终端设备F2(相当于移动终端中的处理器、通信模块等模块)：为移动终端F3的通讯、计算、存储等硬件设备，
终端设备F2用于通过空中信令与数据接口S1与基站F4交互，并通过信令接口S8与认证功能F5交互，以接受移动网络提供的各项通讯服务，信令接口S8上的消息通过信令接口S1和信令接口S3传输，
终端设备F2还可以直接通过信令接口S9与基站保护功能F6交互，以接受密钥分发与维护方面的服务，信令接口S9上的消息可以通过信令接口S8和信令接口S4传输；
移动终端F3：包含安全功能F1和终端设备F2；
基站F4：为移动网络的接入网软件功能或硬件设备，用于与移动终端F3通过控制信令与数据接口S1交互，为移动终端F1提供通讯等各项移动网络提供的服务，比如eNB(4G基站)或gNB(5G基站)；
认证功能F5：为移动网络的核心网的软件功能或硬件设备，用于通过信令接口S3与基站F4交互，使得移动网络移动终端F3可以实现相互认证，比如MME(MobilityManagement Entity，网络节点)，或SEAF(安全锚点功能)，或AMF(F接入及移动管理功能，Access and Mobility Management Function)；
基站保护功能(Base Station Protection Function——BSPF)F5：用于通过信令接口S5与认证服务功能F7交互(直接交互)，或经由认证功能F5通过信令接口S4及S6与认证服务功能F7交互(间接交互)，从而获取保护密钥信息的保护信息；并经由基站F4通过信令接口S2及信令接口S1向移动终端F3发送被保护的密钥信息，或经由认证功能F5和基站F4通过信令接口S4、信令接口S3、和信令接口S1向移动终端F3发送被保护的密钥信息；信令接口S5上的消息可以经由信令接口S4和信令接口S6传输，信令接口S2上的消息可以经由信令接口S4和信令接口S3传输；基站保护功能F6可以是认证功能F5中的部分功能(即两个功能合设为一个功能)，此时没有信令接口S4，信令接口S2与信令接口S3等同，信令接口S5与信令接口S6等同；
认证服务功能F7：用于与签约数据管理功能F8通过信令接口S7交互，获取与用户相关的密钥信息，并将该信息通过信令接口S6提供给认证功能F5，或通过信令接口S5提供给基站保护功能F6，或经由认证功能F5通过信令接口S6和信令接口S4提供给基站保护功能F6。该功能可以是AUSF(Authentication Server Function)，该功能也可以与签约数据管理功能F8合设；
签约数据管理功能F8：存储并处理用户相关的数据，基于用户相关数据生成用于认证用户的信息和用户相关的密钥信息，并通过信令接口S7提供给认证服务功能F7，如果签约数据管理功能F8与认证服务功能F7合设则没有信令接口S8。该功能可以是UDM或HSS。
在本实施例中，基于上述图10提供的硬件结构实现本申请的密钥发放方法的流程，具体流程步骤如图11所示，该流程包括：
S201：基站保护功能F6存储有第一密钥信息，第一密钥信息包含一个或多个密钥，还可以包含密钥有效期，以方便密钥的更新。密钥为网络的私钥，或网络的对称共享密钥。基站F4存储有第二密钥信息，该第二密钥信息与第一密钥信息有关联，比如第一密钥信息中的密钥为一个或多个私钥时，第二密钥信息中的密钥为与这些私钥相对应的一个或多个公钥，或者第一密钥信息中的密钥为网络的一个或多个对称共享密钥信息时，第二密钥信息中的密钥与第一密钥信息中的密钥相同，或派生自第一密钥信息中的密钥(比如基于第一密钥信息中的密钥和一个常量字符串生成第二密钥信息中的密钥，常用生成方式为使用HMAC-SHA-256这样的散列函数)，基站保护功能F6还可以存储全部或部分第二密钥信息(只存储第二密钥信息中的密钥，或存储全部第二密钥信息内容)。第二密钥信息中还可以包含密钥有效期，其不大于第一密钥信息中的密钥有效期(可以相同)。
S202：可选的，移动终端F3向认证功能F5发送密钥提供请求，比如发送KeyProvisioning Request消息或Registration Request消息，可携带指示信息，指示信息表示初始化，更具体的，可以是终端设备F2发送该请求；
S203：认证功能F5收到密钥提供请求，或被基站保护功能F6触发认证功能F5以向指定用户提供密钥，认证功能F5向认证服务功能F7发送认证请求，比如发送Authentication Request消息，消息可以携带指示信息，指示信息显示表示需要获取保护密钥，认证服务功能F7向签约数据管理功能F8请求用户认证信息，包括随机字符串RAND、认证参数AUTN、挑战响应、和会话密钥，请求消息中可以携带指示信息。签约数据管理功能F8生成RAND、基于RAND生成AUTN、会话密钥、和期望挑战响应XRES。
在本实施例中，所述会话密钥和XRES的生成方式包括：
方式一、以用户密钥生成会话密钥及XRES；
方式二、基于用户密钥的派生密钥作为输入，调用密钥派生函数KDF或散列函数生成会话密钥及XRES，会话密钥包括机密性保护密钥CKp和/或完整性保护密钥IKp，KDF函数或散列函数可以是HMAC-SHA-256函数或其他散列(HASH)函数，生成会话密钥和XRES的函数的输入参数还可以有RAND、AUTN、服务网络标识、或服务网络名称等其他参数，生成XRES的参数包含RAND，且生成XRES的参数或函数与生成会话密钥的参数或函数要不完全相同。如果签约数据管理功能F8收到指示信息，生成的会话密钥应与没收到指示信息时生成的会话密钥不同，比如生成的参数除RAND外，其他参数不完全相同，或生成函数不同，或RAND值增加或减少一个常量作为RAND输入参数。
S204：认证服务功能F7向认证功能F5发送认证响应，比如发送AuthenticationResponse，携带认证信息，比如携带RAND和AUTN，还可以携带用户密钥，或携带派生密钥，该派生密钥派生自用户密钥。
S205：认证功能F5向移动终端F3发送认证请求，比如发送User AuthenticationRequest消息，消息携带认证信息，比如RAND和AUTN，更具体的，可以是终端设备F2接收来自认证功能F5的认证请求。
S206：终端设备F2调用安全功能F1的认证操作，输入认证信息作为参数，比如输入RAND和AUTN，还可以输入网络标识等。如果安全功能F1是运行于终端设备F2上的软件功能，则此步骤的调用和后续步骤207～208的过程为终端设备F2的内部操作。
S207：安全功能F1依据认证信息和存储于其中的用户密钥生成会话密钥与挑战响应RES，会话密钥和RES的生成的方式与步骤203中描述的签约数据管理功能F8生成会话密钥和XRES的方式相同。安全功能F1基于会话密钥生成保护密钥，比如保护密钥等于会话密钥，或保护密钥基于会话密钥或网络名称等参数派生，或使用会话密钥的一部分。保护密钥可以是一个，也可以是多个，比如机密性保护密钥和完整性保护密钥。
S208：安全功能F1向终端设备F2返回调用结果，返回的调用结果为挑战响应RES。
S209：终端设备F2向认证功能F5发送认证响应，比如发送User AuthenticationResponse消息，消息携带挑战响应RES。
S210：认证功能F5向认证服务功能F7发送认证执行，比如发送AuthenticationConfirmation消息，携带挑战响应RES。
S211：认证服务功能F7依据会话密钥和其他参数，比如RAND、AUTN、或网络标识等，生成保护密钥或中间会话密钥，实施例如果采用生成保护密钥，则生成保护密钥的方式与安全功能F1生成保护密钥的方式相同，实施例如果采用生成中间会话密钥，则该会话密钥为安全功能F1生成保护密钥步骤中某个中间状态的结果(比如安全功能F1采用基于会话密钥生成第二会话密钥，以此类推，最终再基于第n会话密钥生成保护密钥这样的方式，则中间会话密钥可以采用安全功能F1生成第二会话密钥的方式，或是第n会话密钥的方式，以此类推)。认证服务功能F7也可请求签约数据管理功能F8返回保护密钥或中间会话密钥。中间会话密钥可以包含一个或多个密钥。
S212：认证服务功能F7向认证功能F5发送认证确认，比如发送AuthenticationAcknowledge消息，消息携带保护密钥或中间会话密钥。
S213：实施例如果采用发送中间会话密钥方式，则认证功能F5可以基于收到的中间会话密钥生成另一个中间密钥(比如安全功能F1采用基于用户密钥生成第一会话密钥，在基于第一会话密钥生成第二会话密钥，以此类推，直到生成保护密钥这样的方式，则收到的中间密钥可以是与第k会话密钥相同的密钥，另一个中间密钥可以是与第n会话密钥相同的密钥)，或生成保护密钥，实施例如果采用发送保护密钥的方式，则认证功能F5直接使用该保护密钥。认证功能F5向基站保护功能F6发送保护请求，比如发送Key Request消息，消息携带中间密钥或保护密钥。实施例如果采用发送中间密钥的方式，则基站保护功能基于收到的中间密钥派生保护密钥，实施例如果采用发送保护密钥的方式，则基站保护功能F6直接使用收到的保护密钥。基站保护功能F6可以存储保护密钥，以方便后续更新过程的操作。如果基站保护功能F6与认证功能F5合设，则此步骤过程和后续步骤214～215的过程为认证功能F5的内部操作。
S214：基站保护功能F6基于保护密钥与第一密钥信息生成第三密钥信息，或者基站保护功能F6基于保护密钥与第二密钥信息生成第三密钥信息。采用整体处理方式或分批处理方式，比如以机密性保护密钥CKp整体加密第一或第二密钥信息，和/或，以完整性保护密钥IKp对整体第一或第二密钥信息或加密后的整体第一或第二密钥信息做完整性保护，最终生成第三密钥信息。或者基站保护功能F6基于保护密钥与第一或第二密钥信息中的密钥生成第三密钥信息中的密钥，第三密钥信息中除密钥外其他信息与第一密钥信息中的对应信息相同或经过处理——比如使用保护密钥加密和/或完保。或者以机密性保护密钥CKp逐个加密第一或第二密钥信息中的密钥，并基于加密结果生成第三密钥信息，基于第三密钥信息(等同于使用相等计算生成的计算结果)和IKp生成验证信息，比如以第三密钥信息和IKp进行HASH计算(比如使用HMAC-SHA-256)，又比如对第三密钥信息进行散列计算后(比如使用SHA-256)，以计算结果和IKp生成验证信息(比如使用HMAC-SHA-256)。
S215：基站保护功能F6向认证功能F5发送保护响应，比如发送Key Response消息，携带第三密钥信息。
S216：认证功能F5向移动终端F3发送密钥提供响应，比如发送Key ProvisioningResponse消息，消息携带第三密钥信息，更具体的，可以是终端设备F2接收来自认证功能F5的密钥提供响应。
一种实施例是：终端设备F2可以存储收到的第三密钥信息，同时存储对应的网络标识或网络名称信息，从而可以后续为多个网络提供防伪基站功能。
另一种实施例是继续执行S217～S218。
S217：终端设备F2调用安全功能F1的密钥存储操作，输入全部或部分第三密钥信息作为参数，还可以输入网络标识或网络名称，输入的参数可以用于获取第一密钥信息中的密钥(实施例为第三密钥信息基于第一密钥信息生成)或第二密钥信息中的密钥(实施例为第三密钥信息基于第二密钥信息生成)。安全功能F1同时还可存储对应的网络标识或网络名称信息，从而可以后续为多个网络提供防伪基站功能。如果安全功能F1是运行于终端设备F2上的软件功能，则此步骤的调用和后续步骤218的过程为终端设备F2的内部操作。
S218：安全功能F1依据生成的保护密钥和输入参数生成第一密钥信息中的密钥，比如用CKp解密输入参数，和/或，用IKp验证解密后的信息或验证输入参数。或者，安全功能F1依据生成的保护密钥和输入参数生成第二密钥信息，比如用CKp解密输入参数，和/或，用IKp验证解密后的信息或验证输入参数。或者安全功能F1按上述操作生成第一密钥信息中的密钥后，依据第一密钥信息中的密钥生成第二密钥信息中的密钥。安全功能F1可以存储第一密钥信息中的密钥，或存储第二密钥信息中的密钥，或存储输入参数以便后续需要的时候再执行上述操作获取第一密钥信息中的密钥或第二密钥信息中的密钥。
另一个实施例是在执行完步骤217～218后，安全功能F1生成加密密钥，并基于加密密钥以及第一密钥信息或第二密钥信息生成第四密钥信息，并返回给终端设备F2，终端设备F2存储第四密钥信息。
另一个实施例是：步骤202、步骤205、步骤209、和步骤216中的消息为移动终端F3与基站保护功能F6直接交互(通过接口S1和接口S2，或接口S1、接口S3、和接口S4)，从而步骤203、步骤204、步骤210、和步骤212为基站保护功能F6与认证服务功能F7直接交互(通过接口S5，或接口S4和接口S6)，步骤213和步骤215则不需要了。
另一个实施例是：步骤202、步骤205、步骤209、和步骤216中的消息为移动终端F3与基站保护功能F6直接交互(通过接口S1和接口S2，或接口S1、接口S3、和接口S4)，从而步骤203、步骤204、步骤210、和步骤212为基站保护功能F6与认证服务功能F7直接交互(通过接口S5，或接口S4和接口S6)，步骤213和步骤215则不需要了。
另一个实施例是：步骤216之后，步骤217之前，终端设备F2存储第三密钥信息，步骤217和步骤218此时不需要执行，而是在需要的时候再执行，从而获取第一密钥信息对基站F4发送的消息进行鉴别。
另一个实施例是：不执行217～218，而是终端设备F2将部分或全部第三密钥信息或基于部分或全部第三密钥信息的计算结果(比如使用SHA-256)与收到的验证信息(来自步骤214中的验证信息通过认证功能F5发下来)一起发送给安全功能F1，安全功能F1基于输入参数和验证信息进行校验，比如基于输入参数与IKp计算期望验证信息(比如使用HMAC-SHA-256)，然后比较期望验证信息与输入的验证信息，安全功能F1将验证结果返回给终端设备F2。
自此，在使用非对称密钥体系的情况下，移动终端F3有了移动网络私钥，基站F4有了移动网络公钥，基站可以使用移动网络公钥对发送给移动终端F3的消息全部内容或消息中的部分内容进行数字签名，移动终端F3可以使用移动网络私钥对数字签名进行校验，从而可以判断消息是否被篡改(对全部内容进行数字签名)，还可以判断基站是否为伪基站(对全部或部分内容进行数字签名)。在使用对称密钥体系的情况下，移动终端F3有了第一密钥信息，可以基于第一密钥信息获得第二密钥信息，或者有了第二密钥信息，基站F4基于发送给移动终端F3的消息全部内容或消息中的部分内容生成消息认证码MAC，移动终端F3可以使用第二密钥信息对MAC进行校验，从而可以判断消息是否被篡改(以全部内容生成MAC)，还可以判断基站是否为伪基站(以全部或部分内容生成MAC)。
实施例七：
图12是本发明实施例的移动终端密钥发放流程示意图，该流程包括：
S301～S309：与图11中的S201～S209描述相同。
S310：认证功能F5向基站保护功能F6发送保护请求，比如发送Key Request。如果基站保护功能F6与认证功能F5合设，则此步骤过程和后续步骤311的过程为认证功能F5的内部操作。
S311：基站保护功能F6向认证功能F5发送保护响应，比如发送Key Response消息，携带第一密钥信息或第二密钥信息。
S312：认证功能F5向认证服务功能F7发送认证执行，比如发送AuthenticationConfirmation消息，消息携带挑战响应和第一密钥信息，或携带挑战响应和第二密钥信息。
S313：认证服务功能F7依据会话密钥和其他参数，比如RAND、AUTN、或网络标识等生成保护密钥，生成方法与步骤307中安全功能F1生成保护密钥的方式相同。认证服务功能F7也可请求签约数据管理功能F8生成保护密钥，并将保护密钥返回给认证服务功能F7，签约数据管理功能F8生成保护密钥的方式与安全功能F1生成保护密钥的方式相同。认证服务功能F7基于保护密钥与第一密钥信息生成第三密钥信息，比如以机密性保护密钥CKp加密第一密钥信息，和/或，以完整性保护密钥IKp对第一密钥信息或加密后的第一密钥信息做完整性保护，最终生成第三密钥信息。或者认证服务功能F7基于保护密钥与第二密钥信息生成第三密钥信息，比如以机密性保护密钥CKp加密第二密钥信息，和/或，以完整性保护密钥IKp对第二密钥信息或加密后的第二密钥信息做完整性保护，最终生成第三密钥信息。认证服务功能F7也可以将第一密钥信息或第二密钥信息发送给签约数据管理功能F8，由签约数据管理功能F8执行以上操作生成第三密钥信息，然后将第三密钥信息返回给认证服务功能F7。
S314：认证服务功能F7向认证功能F5发送认证确认，比如发送AuthenticationAcknowledge消息，携带第三密钥信息。
S315～S317：与图11中的步骤216～218的描述相同。
另一个实施例是：步骤302、步骤305、步骤309、和步骤316中的消息为移动终端F3与基站保护功能F6直接交互(通过接口S1和接口S2，或接口S1、接口S3、和接口S4)，从而步骤303、步骤304、步骤312、和步骤314为基站保护功能F6与认证服务功能F7直接交互(通过接口S5，或接口S4和接口S6)，步骤310和步骤311则不需要了。
另一个实施例是：步骤315之后，步骤316之前，终端设备F2存储第三密钥信息，步骤316和步骤317此时不需要执行，而是在需要的时候再执行，从而获取第一密钥信息对基站F4发送的消息进行鉴别。
实施例八：
图13是本发明实施例的移动终端密钥发放流程示意图，该实施例基站保护功能F6与认证功能F5分设，该流程包括：
S401：与图11中的S201描述相同。
S402：移动终端F3向基站保护功能F6发送密钥提供请求，比如发送KeyProvisioning Request消息，更具体的，可以是终端设备F2发送该请求。
S403：基站保护功能F6向认证功能F5发送认证请求，比如发送AuthenticationRequired消息。
S404～S413：与图11中的S203～S212描述相同。
S414：认证功能F5向基站保护功能F6发送认证响应，比如发送AuthenticationAcknowledge消息，消息携带保护密钥，基站保护功能F6可以存储保护密钥，以方便后续更新过程的操作。
S415：与图11中的S214描述相同。
S416：基站保护功能F6向移动终端F3发送密钥提供响应，比如发送KeyProvisioning Response消息，消息携带第三密钥信息，更具体的，可以是终端设备F2接收来自基站保护功能F6的密钥提供响应。
S417～S418：与图11中的S217～S218描述相同。
另一个实施例是：步骤416之后，步骤417之前，终端设备F2存储第三密钥信息，步骤417和步骤418此时不需要执行，而是在需要的时候再执行，从而获取第一密钥信息对基站F4发送的消息进行鉴别。
实施例九：
图14是本发明实施例的移动终端密钥发放流程示意图，该流程包括：
S501：与图11中的S201描述相同。
S502：移动终端F3要发起接入网络的请求，具体的是终端设备F2要发起接入网络的请求，于是调用安全功能F1的密钥生成操作，操作中可以包含随机字符串RANDue。
S503：如果安全功能F1没有保护密钥，则生成随机字符串RANDue，或读取随机字符串RANDue，或使用终端设备F2调用的密钥生成操作中的RANDue，安全功能F1基于用户密钥和RANDue生成保护密钥。
S504：安全功能F1返回RANDue给终端设备F2。
S505：终端设备F2向认证功能F5发起密钥提供请求，比如发送Key ProvisioningRequest消息，或发送Registration Request消息，消息携带RANDue。
S506：认证功能F5向认证服务功能F7发送认证请求，比如发送AuthenticationRequest消息，消息携带RANDue。
S507：认证服务功能F7向签约数据管理功能请求认证向量，携带RANDue，认证服务功能F7获得认证向量后，触发后续标准的网络与终端相互认证的过程，比如标准的EPS AKA或5G AKA或EAP-AKA’过程。
S508：签约数据管理功能F8基于收到的RANDue和相应用户的用户密钥生成保护密钥，比如使用HMAC-SHA-256这样的散列函数。
S509～S515：与图11中的步骤S212～S218描述相同。
另一个实施例是：步骤513之后，步骤514之前，终端设备F2存储第三密钥信息，步骤514和步骤515此时不需要执行，而是在需要的时候再执行，从而获取第一密钥信息对基站F4发送的消息进行鉴别。
实施例十：
图15是本发明实施例的移动终端密钥发放流程示意图，该流程包括：
S601：与图11中的步骤S201描述相同。
S602：移动终端F3要发起接入网络的请求，具体的是终端设备F2要发起接入网络的请求，于是调用安全功能F1的密钥生成操作。
S603：如果安全功能F1没有针对该移动网络发送过机密密钥(与用户密钥无关)，则生成机密密钥，或读取存储的机密密钥，安全功能F1基于归属网公钥和机密密钥生成传输密钥，比如使用归属网公钥加密机密密钥，或基于归属网共享密钥和机密密钥生成传输密钥，比如基于归属网共享密钥派生加密密钥，再使用加密密钥加密机密密钥生成传输密钥。
S604：安全功能F1返回传输密钥给终端设备F2。
S605：终端设备F2向认证功能F5发起密钥提供请求，比如发送Key ProvisioningRequest消息，或发送Registration Request消息，消息携带传输密钥。
S606：认证功能F5向认证服务功能F7发送认证请求，比如发送AuthenticationRequest消息，消息携带传输密钥。
S607：认证服务功能F7向签约数据管理功能请求认证向量，携带传输密钥，认证服务功能F7获得认证向量后，触发后续标准的网络与终端相互认证的过程，比如标准的EPSAKA或5G AKA或EAP-AKA’过程。
S608：签约数据管理功能F8基于收到的传输密钥，使用归属网私钥(与归属网公钥配套)生成机密密钥，比如使用归属网私钥解密传输密钥获得机密密钥，或使用归属网共享密钥生成机密密钥，比如使用归属网共享密钥派生加密密钥，在使用加密密钥解密传输密钥获得机密密钥。
S609～S615：与图11中的步骤S212～S218描述相同，只是保护密钥替换为机密密钥。
另一个实施例是：步骤613之后，步骤614之前，终端设备F2存储第三密钥信息，步骤614和步骤615此时不需要执行，而是在需要的时候再执行，从而获取第一密钥信息对基站F4发送的消息进行鉴别。
另一个实施例是：不执行614～615，而是终端设备F2将部分或全部第三密钥信息或基于部分或全部第三密钥信息的计算结果(比如使用SHA-256)与收到的验证信息(来自步骤611中的验证信息通过认证功能F5发下来)一起发送给安全功能F1，安全功能F1基于输入参数和验证信息进行校验，比如基于输入参数与机密密钥计算期望验证信息(比如使用HMAC-SHA-256)，然后比较期望验证信息与输入的验证信息，安全功能F1将验证结果返回给终端设备F2。
实施例十一：
图16是本发明实施例六的移动终端密钥发放流程示意图6，该流程包括：
S701：与图11中的步骤S201描述相同。
S702：移动终端F3要发起接入网络的请求，具体的是终端设备F2要发起接入网络的请求，于是调用安全功能F1的密钥生成操作。
S703：如果安全功能F1没有机密密钥(与用户密钥无关)，则生成机密密钥，安全功能F1基于拜访网公钥和机密密钥生成传输密钥，比如使用拜访网公钥加密机密密钥。
S704：安全功能F1返回传输密钥给终端设备F2。
S705：终端设备F2向基站保护功能F6发起密钥提供请求，比如发送KeyProvisioning Request消息，或发送Registration Request消息，消息携带传输密钥。
S706：基站保护功能F6基于收到的传输密钥和拜访网私钥(与拜访网公钥配套)生成机密密钥，比如使用拜访网私钥解密传输密钥获得机密密钥。然后按图11中的步骤S214描述的方式执行操作，只是将保护密钥替换为机密密钥。
另一实施例为，步骤705经过认证功能F5，则步骤706可以是认证功能F5先获得机密密钥，然后将机密密钥再传输给基站保护功能F6，而后F6再执行图2中步骤214描述的操作，只是将保护密钥替换为机密密钥。
S707～S709：与图13的步骤S416～S418描述相同，只是保护密钥替换为机密密钥。
另一实施例为，步骤705经过认证功能F5，则步骤706可以是认证功能F5先获得机密密钥，而后F6再将第一密钥信息或第二密钥信息传输给认证功能F5后，有认证功能F5执行图2中步骤214描述的操作，只是将保护密钥替换为机密密钥。
另一个实施例是：步骤707之后，步骤708之前，终端设备F2存储第三密钥信息，步骤708和步骤709此时不需要执行，而是在需要的时候再执行，从而获取第一密钥信息对基站F4发送的消息进行鉴别。
实施例十二：
图17是本发明实施例的移动终端密钥更新流程示意图，该流程包括：
S801：与图11中的步骤S201描述相同，只是基站保护功能F6中的第一密钥信息已被更新过，因此相应的基站F4中的第二密钥信息也被更新了，并且如果携带有指示信息，指示信息表示更新。
S802：可选的，移动终端F3向基站保护功能F6发送密钥提供请求，比如发送KeyProvisioning Request消息，更具体的，可以是终端设备F2发送该请求。另一个实施例是基站保护功能F6因密钥更新而触发后续步骤803～806的过程。第一密钥信息或第二密钥信息中可以包含密钥更新时间，或者第三密钥信息中包含密钥更新时间，移动终端F3可以根据其中的密钥更新时间，在超期后发送密钥提供请求。
S803～S806：与图13中的步骤S415～418描述相同。
另一实施例为，步骤S803基于机密密钥与第一密钥信息或第二密钥信息生成第三密钥信息，步骤S806中基于机密密钥与部分或全部第三密钥信息生成第一密钥信息中的密钥或第二密钥信息中的密钥。
在本实施例中，除了上述的实现方式之外，还存在以下的方式实现：安全功能F1中存储的第一密钥信息或第二密钥信息，或终端设备F2中存储的第三密钥信息，以及安全功能F1中的保护密钥，可采用图11～图14中描述的相同或类似方法获取，也可采用其他方法获取，比如OTA机制，即由基站保护功能F6将相关信息传输给签约数据管理，在其他机制下，比如OTA机制，保护密钥可以与用户密钥无关，因此以下实施例的方案与图11～图14描述的方案没有相关性。
实施例十三：
本实施例提供了本实施例还提供了一种计算机可读存储介质，该计算机可读存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、计算机程序模块或其他数据)的任何方法或技术中实施的易失性或非易失性、可移除或不可移除的介质。计算机可读存储介质包括但不限于RAM(Random Access Memory，随机存取存储器)，ROM(Read-OnlyMemory，只读存储器)，EEPROM(Electrically Erasable Programmable read onlymemory，带电可擦可编程只读存储器)、闪存或其他存储器技术、CD-ROM(Compact DiscRead-Only Memory，光盘只读存储器)，数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。
在一种示例中，本实施例中的计算机可读存储介质可用于存储一个或者多个第一计算机程序、第二计算机程序、第三计算机程序、第四计算机程序和第二计算机程序，所述一个或者多个上述计算机程序可被一个或者多个处理器执行，以实现如上述各个实施例所述的密钥发放方法的步骤。
本实施例还提供了一种计算机程序(或称计算机软件)，该计算机程序可以分布在计算机可读介质上，由可计算装置来执行，以实现如上各实施例所示的密钥发放方法的至少一个步骤；并且在某些情况下，可以采用不同于上述实施例所描述的顺序执行所示出或描述的至少一个步骤。
本实施例还提供了一种计算机程序产品，包括计算机可读装置，该计算机可读装置上存储有如上所示的计算机程序。本实施例中该计算机可读装置可包括如上所示的计算机可读存储介质。
可见，本领域的技术人员应该明白，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件(可以用计算装置可执行的计算机程序代码来实现)、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。
此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、计算机程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。所以，本发明不限制于任何特定的硬件和软件结合。
以上内容是结合具体的实施方式对本发明实施例所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims (32)

1.一种密钥发放方法，应用于移动终端侧，其特征在于，该方法包括：
接收所述移动网络侧发送的第三密钥信息；所述第三密钥信息为所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得；所述第二验证密钥为由所述移动网络侧基于网络用户密钥生成或由所述移动网络侧基于解密第三验证密钥的结果获得；所述第三验证密钥由所述移动终端基于加密所述第二验证密钥的结果获得，并发送给所述移动网络侧；
基于使用第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成所述第一密钥信息，所述第一验证密钥为所述移动终端基于终端用户密钥生成；
所述网络用户密钥为用户密钥在所述移动网络侧的备份，所述终端用户密钥为所述用户密钥在所述移动终端的备份。
2.如权利要求1所述的密钥发放方法，其特征在于，所述方法还包括：
所述第一密钥信息或所述第三密钥信息中包含密钥更新时间；
在所述密钥更新时间超期后，向所述移动网络侧发送请求所述第三密钥信息的消息。
3.如权利要求1所述的密钥发放方法，其特征在于，所述方法还包括：
基于所述终端用户密钥和派生信息生成所述第一验证密钥，其中，所述派生信息由所述移动终端发送给所述移动网络侧，或由所述移动终端接收自所述移动网络侧。
4.如权利要求1所述的密钥发放方法，其特征在于，所述方法还包括：
存储与所述第一密钥信息相对应的网络信息，或存储与所述第三密钥信息相对应的网络信息。
5.如权利要求1所述的密钥发放方法，其特征在于，所述方法还包括：
接收所述移动网络侧发送的验证信息；
基于所述第一验证密钥或所述第二验证密钥以及所述第三密钥信息校验所述验证信息，或，基于所述第一验证密钥或所述第二验证密钥以及所述第一密钥信息校验所述验证信息。
6.如权利要求1所述的密钥发放方法，其特征在于，所述第三验证密钥由所述移动终端基于加密所述第二验证密钥的结果获得的步骤还包括：
所述移动终端基于保密密钥加密所述第二验证密钥的结果获得，所述保密密钥为所述移动网络侧的公钥或与所述移动网络侧共享的对称密钥。
7.一种密钥发放方法，应用于移动终端侧的安全功能，其特征在于，所述方法包括：
收到来自所述移动终端侧的终端设备的第一调用，并返回所述第一调用的结果；所述第一调用的结果不包含第一验证密钥，或所述第一调用的结果包含第二派生信息，或所述第一调用的结果包含第三验证密钥；其中，所述第一验证密钥基于终端用户密钥生成，所述第二派生信息用于与所述终端用户密钥一起生成第一验证密钥，所述第三验证密钥为基于加密第二验证密钥的结果获得，所述终端用户密钥为用户密钥在所述移动终端侧的安全功能上的备份；收到来自所述移动终端侧的终端设备的第二调用，并返回所述第二调用的结果；所述第二调用包含第三密钥信息，所述第二调用的结果不包含第一密钥信息；其中，所述第一密钥信息为基于使用所述第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成。
8.根据权利要求7所述的密钥发放方法，其特征在于，所述第一调用包含第一派生信息，所述第一验证密钥基于所述终端用户密钥和所述第一派生信息生成。
9.根据权利要求7所述的密钥发放方法，其特征在于，所述第一调用的结果包含第二派生信息，所述第一验证密钥基于所述终端用户密钥和所述第二派生信息生成。
10.根据权利要求7所述的密钥发放方法，其特征在于，所述方法还包括：
存储与所述第一密钥信息相对应的网络信息。
11.根据权利要求7所述的密钥发放方法，其特征在于，所述第三验证密钥基于加密第二验证密钥的结果获得包括：
所述第三验证密钥基于保密密钥加密第二验证密钥的结果获得，所述保密密钥为移动网络侧的公钥或与移动网络侧共享的对称密钥。
12.根据权利要求7所述的方法，其特征在于，所述方法还包括：
收到来自所述移动终端侧的终端设备的第三调用；所述第三调用的输入参数包含验证信息和部分或全部第三密钥信息，或所述第三调用的输入参数包含验证信息和基于部分或全部第三密钥信息生成的计算结果；
返回所述第三调用的结果，所述第三调用的结果包含使用所述第一验证密钥或所述第二验证密钥基于所述输入参数校验所述验证信息的结果；
其中，所述第三密钥信息用于使用所述第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成第一密钥信息。
13.一种密钥发放方法，应用于移动终端侧的终端设备，其特征在于，所述方法包括：
接收来自移动网络侧的第三密钥信息，向所述移动终端侧的安全功能发起第二调用，所述第二调用包含所述第三密钥信息；
所述第三密钥信息是所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得，所述第二验证密钥是所述移动网络侧基于网络用户密钥生成，或所述第二验证密钥是所述移动网络侧基于解密第三验证密钥的结果获得，所述第三验证密钥由所述移动终端发送给所述移动网络侧，所述网络用户密钥为用户密钥在所述移动网络侧的备份。
14.根据权利要求13所述的密钥发放方法，其特征在于，所述方法还包括：
向所述移动终端侧的安全功能发起第一调用，接收所述第一调用的结果，所述第一调用的结果包含所述第三验证密钥。
15.根据权利要求13所述的密钥发放方法，其特征在于，所述方法还包括：
向所述移动终端侧的安全功能发起第三调用，所述第三调用的输入参数包含验证信息和部分或全部所述第三密钥信息，或所述第三调用的输入参数包含验证信息和基于部分或全部所述第三密钥信息生成的计算结果；
接收所述移动终端侧的安全功能返回的验证结果，所述验证结果为使用所述第一验证密钥或所述第二验证密钥基于所述输入参数校验所述验证信息的结果。
16.根据权利要求13所述的密钥发放方法，其特征在于，所述方法还包括：
向所述移动终端侧的安全功能发起第一调用，接收所述第一调用的结果，所述第一调用包含第一派生信息，所述第一派生信息用于与终端用户密钥一起生成第一验证密钥，并由所述移动终端侧的终端设备生成，或接收自所述移动网络侧，所述第一验证密钥用于解密所述第三密钥信息，所述终端用户密钥为所述用户密钥在所述移动终端侧的备份。
17.根据权利要求16所述的密钥发放方法，其特征在于，所述方法还包括：
向所述移动网络侧发送所述第一派生信息。
18.根据权利要求13所述的密钥发放方法，其特征在于，所述方法还包括：
向所述移动终端侧的安全功能发起第一调用，接收所述第一调用的结果，所述第一调用的结果包含第二派生信息，所述第二派生信息用于与终端用户密钥一起生成第一验证密钥，所述第一验证密钥用于解密所述第三密钥信息，所述终端用户密钥为所述用户密钥在所述移动终端侧的备份；
向所述移动网络侧发送所述第二派生信息。
19.一种密钥发放方法，应用于移动网络侧的第一核心网功能，其特征在于，所述方法包括：
向移动终端发送第三密钥信息；或，
向第二核心网功能发送第一密钥信息，接收到来自所述第二核心网功能发送的第三密钥信息，发送所述第三密钥信息给移动终端；
其中，所述第三密钥信息基于第二验证密钥以及第一密钥信息生成；所述第二验证密钥为通过解密第三验证密钥生成，或由所述第二核心网功能基于网络用户密钥生成；所述第三验证密钥接收自所述移动终端，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
20.根据权利要求19所述的密钥发放方法，其特征在于，所述方法还包括：
向第二核心网功能发送密钥请求；
接收来自所述第二核心网功能的所述第二验证密钥。
21.根据权利要求20所述的密钥发放方法，其特征在于，所述密钥请求包含第三派生信息；所述第三派生信息接收自所述移动终端，用于与所述网络用户密钥一起生成所述第二验证密钥。
22.根据权利要求21所述的密钥发放方法，其特征在于，所述密钥请求还包含所述第三验证密钥，所述第三验证密钥接收自所述移动终端。
23.根据权利要求19所述的密钥发放方法，其特征在于，所述方法还包括：
向所述移动终端发送第一派生信息；所述第一派生信息接收自所述第二核心网功能，用于与所述网络用户密钥一起生成所述第二验证密钥。
24.根据权利要求19所述的密钥发放方法，其特征在于，所述方法还包括：
向所述移动终端发送验证信息；
其中，所述验证信息是基于所述第二验证密钥与部分或全部所述第三密钥信息生成；或基于所述第二验证密钥与第一计算结果生成，所述第一计算结果基于部分或全部所述第三密钥信息生成；或基于所述第二验证密钥与部分或全部所述第一密钥信息生成；或基于所述第二验证密钥与第二计算结果生成，所述第二计算结果基于部分或全部所述第一密钥信息生成。
25.一种密钥发放方法，应用于第二核心网功能，其特征在于，所述方法包括：
接收到来自第一核心网功能的第一密钥信息，向所述第一核心网功能发送第三密钥信息，所述第三密钥信息基于所述第一密钥信息和第二验证密钥生成，所述第二验证密钥基于网络用户密钥生成，或基于解密第三验证密钥生成，所述第三验证密钥接收自所述第一核心网功能；或，
接收到来自第一核心网功能的第二派生信息，向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第二派生信息与网络用户密钥生成；或，
向第一核心网功能发送第一派生信息，以及，向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第一派生信息与网络用户密钥生成；
所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
26.一种移动终端，其特征在于，包括：
第一接收模块，用于接收所述移动网络侧发送的第三密钥信息；所述第三密钥信息为所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得；所述第二验证密钥为由所述移动网络侧基于网络用户密钥生成或由所述移动网络侧基于解密第三验证密钥的结果获得；所述第三验证密钥由所述移动终端基于加密所述第二验证密钥的结果获得，并发送给所述移动网络侧；
第一密钥生成模块，用于基于使用第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成所述第一密钥信息，所述第一验证密钥为所述移动终端基于终端用户密钥生成，其中所述网络用户密钥为用户密钥在所述移动网络侧的备份，所述终端用户密钥为所述用户密钥在所述移动终端的备份。
27.一种密钥发放装置，其特征在于，包括：
第一调用模块，用于收到来自所述移动终端侧的终端设备的第一调用，并返回所述第一调用的结果；所述第一调用的结果不包含第一验证密钥，或所述第一调用的结果包含第二派生信息，或所述第一调用的结果包含第三验证密钥；其中，所述第一验证密钥基于终端用户密钥生成，所述第二派生信息用于与所述终端用户密钥一起生成第一验证密钥，所述第三验证密钥为基于加密第二验证密钥的结果获得，所述终端用户密钥为用户密钥在所述移动终端侧的安全功能上的备份；
第二调用模块，用于收到来自所述移动终端侧的终端设备的第二调用，并返回所述第二调用的结果；所述第二调用包含第三密钥信息，所述第二调用的结果不包含第一密钥信息；其中，所述第一密钥信息为基于使用所述第一验证密钥或所述第二验证密钥解密所述第三密钥信息的结果生成。
28.一种移动终端，其特征在于，包括：
第二接收模块，用于接收来自移动网络侧的第三密钥信息，并向密钥发放装置发起第二调用，所述第二调用包含所述第三密钥信息；
所述第三密钥信息是所述移动网络侧基于第二验证密钥加密第一密钥信息的结果获得，所述第二验证密钥是所述移动网络侧基于网络用户密钥生成，或所述第二验证密钥是所述移动网络侧基于解密第三验证密钥的结果获得，所述第三验证密钥由所述移动终端发送给所述移动网络侧，所述网络用户密钥为用户密钥在所述移动网络侧的备份。
29.一种通信设备，其特征在于，包括：
第一发送模块，用于向移动终端发送第三密钥信息；或，向第二核心网功能发送第一密钥信息；
第三接收模块，用于接收到来自所述第二核心网功能发送的第三密钥信息，发送所述第三密钥信息给移动终端；
其中，所述第三密钥信息基于第二验证密钥以及第一密钥信息生成；所述第二验证密钥为通过解密第三验证密钥生成，或由所述第二核心网功能基于网络用户密钥生成；所述第三验证密钥接收自所述移动终端，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
30.一种通信设备，其特征在于，包括：第四接收模块和第二发送模块；
所述第四接收模块用于接收到来自第一核心网功能的第一密钥信息，所述第二发送模块用于向所述第一核心网功能发送第三密钥信息，所述第三密钥信息基于所述第一密钥信息和第二验证密钥生成，所述第二验证密钥基于网络用户密钥生成，或基于解密第三验证密钥生成，所述第三验证密钥接收自所述第一核心网功能；或，
所述第四接收模块用于接收到来自第一核心网功能的第二派生信息，所述第二发送模块用于向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第二派生信息与网络用户密钥生成；或，
所述第二发送模块用于向第一核心网功能发送第一派生信息，以及，所述第二发送模块向所述第一核心网功能发送第二验证密钥，所述第二验证密钥基于所述第一派生信息与网络用户密钥生成，所述网络用户密钥为用户密钥在所述第二核心网功能侧的备份。
31.一种通信设备，其特征在于，包括：处理器、存储器、通信单元和通信总线；
所述通信总线用于实现所述处理器、所述通信单元和所述存储器之间的无线通信连接；
所述处理器用于执行存储器中存储的一个或者多个第一程序，以实现如权利要求1至6任一项所述的密钥发放方法的步骤；
所述处理器用于执行存储器中存储的一个或者多个第二程序，以实现如权利要求7至12任一项所述的密钥发放方法的步骤；
所述处理器用于执行存储器中存储的一个或者多个第三程序，以实现如权利要求13至18任一项所述的密钥发放方法的步骤
所述处理器用于执行存储器中存储的一个或者多个第四程序，以实现如权利要求19至24任一项所述的密钥发放方法的步骤；
所述处理器用于执行存储器中存储的一个或者多个第五程序，以实现如权利要求25所述的密钥发放方法的步骤。
32.一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个第一计算机程序、第二计算机程序、第三计算机程序、第四计算机程序和第二计算机程序，所述一个或者多个第一计算机程序可被一个或者多个处理器执行，以实现如权利要求1至6任一项所述的密钥发放方法的步骤；
所述一个或者多个第二计算机程序可被一个或者多个处理器执行，以实现如权利要求7至12任一项所述的密钥发放方法的步骤；
所述一个或者多个第三计算机程序可被一个或者多个处理器执行，以实现如权利要求13至18任一项所述的密钥发放方法的步骤
所述一个或者多个第四计算机程序可被一个或者多个处理器执行，以实现如权利要求19至24任一项所述的密钥发放方法的步骤；
所述一个或者多个第五计算机程序可被一个或者多个处理器执行，以实现如权利要求25所述的密钥发放方法的步骤。
CN201811583792.4A 2018-12-24 2018-12-24 密钥发放方法及其装置、移动终端、通信设备和存储介质 Pending CN110536289A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811583792.4A CN110536289A (zh) 2018-12-24 2018-12-24 密钥发放方法及其装置、移动终端、通信设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811583792.4A CN110536289A (zh) 2018-12-24 2018-12-24 密钥发放方法及其装置、移动终端、通信设备和存储介质

Publications (1)

Publication Number Publication Date
CN110536289A true CN110536289A (zh) 2019-12-03

Family

ID=68659365

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811583792.4A Pending CN110536289A (zh) 2018-12-24 2018-12-24 密钥发放方法及其装置、移动终端、通信设备和存储介质

Country Status (1)

Country Link
CN (1) CN110536289A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230061362A1 (en) * 2021-08-31 2023-03-02 International Business Machines Corporation Message delivery in cellular roaming scenarios

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001022685A1 (en) * 1999-09-20 2001-03-29 Telefonaktiebolaget Lm Ericsson (Publ) Method and arrangement for communications security
CN1848995A (zh) * 2005-04-11 2006-10-18 华为技术有限公司 一种移动终端和网络设备之间的鉴权方法
CN101552668A (zh) * 2008-03-31 2009-10-07 展讯通信（上海）有限公司 用户设备接入网络时的认证方法、用户设备及基站
CN101990201A (zh) * 2009-07-31 2011-03-23 中国移动通信集团公司 生成gba密钥的方法及其系统和设备
CN102932784A (zh) * 2011-08-12 2013-02-13 华为技术有限公司 终端的通信方法和设备
CN104010305A (zh) * 2014-05-09 2014-08-27 中国人民解放军信息工程大学 基于物理层密钥的终端和接入网的双向认证增强方法
CN105792194A (zh) * 2016-04-25 2016-07-20 中国联合网络通信集团有限公司 基站合法性的认证方法、认证装置、网络设备、认证系统
CN108076460A (zh) * 2016-11-15 2018-05-25 中国移动通信有限公司研究院 一种进行鉴权的方法及终端
CN108092958A (zh) * 2017-12-05 2018-05-29 成都市共维科技有限公司 信息认证方法、装置、计算机设备及存储介质

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001022685A1 (en) * 1999-09-20 2001-03-29 Telefonaktiebolaget Lm Ericsson (Publ) Method and arrangement for communications security
CN1848995A (zh) * 2005-04-11 2006-10-18 华为技术有限公司 一种移动终端和网络设备之间的鉴权方法
CN101552668A (zh) * 2008-03-31 2009-10-07 展讯通信（上海）有限公司 用户设备接入网络时的认证方法、用户设备及基站
CN101990201A (zh) * 2009-07-31 2011-03-23 中国移动通信集团公司 生成gba密钥的方法及其系统和设备
CN102932784A (zh) * 2011-08-12 2013-02-13 华为技术有限公司 终端的通信方法和设备
CN104010305A (zh) * 2014-05-09 2014-08-27 中国人民解放军信息工程大学 基于物理层密钥的终端和接入网的双向认证增强方法
CN105792194A (zh) * 2016-04-25 2016-07-20 中国联合网络通信集团有限公司 基站合法性的认证方法、认证装置、网络设备、认证系统
CN108076460A (zh) * 2016-11-15 2018-05-25 中国移动通信有限公司研究院 一种进行鉴权的方法及终端
CN108092958A (zh) * 2017-12-05 2018-05-29 成都市共维科技有限公司 信息认证方法、装置、计算机设备及存储介质

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
HUAWEI ; HISILICON: "S3-170042 "Network lying about its public key; Is it a security issue?"", 3GPP TSG_SA\\WG3_SECURITY, no. 3, 29 January 2017 (2017-01-29) *
田野;刘斐;徐海东;: "新型伪基站安全分析研究", 电信工程技术与标准化, no. 08, 15 August 2013 (2013-08-15) *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230061362A1 (en) * 2021-08-31 2023-03-02 International Business Machines Corporation Message delivery in cellular roaming scenarios
US12137341B2 (en) * 2021-08-31 2024-11-05 International Business Machines Corporation Message delivery in cellular roaming scenarios

Similar Documents

Publication Publication Date Title
RU2480925C2 (ru) Генерация криптографического ключа
US10638321B2 (en) Wireless network connection method and apparatus, and storage medium
US10742418B2 (en) Authentication method, authentication apparatus, and authentication system
KR102018971B1 (ko) 네트워크 액세스 디바이스가 무선 네트워크 액세스 포인트를 액세스하게 하기 위한 방법, 네트워크 액세스 디바이스, 애플리케이션 서버 및 비휘발성 컴퓨터 판독가능 저장 매체
KR101315670B1 (ko) 보안인증 디바이스에 접근하는 스마트폰 등록 방법 및 등록된 스마트폰의 접근 권한 인증방법
CN114268943B (zh) 授权方法及装置
KR20190139203A (ko) 서버와 사용자 장비 사이의 통신을 관리하기 위한 방법
US20110271330A1 (en) Solutions for identifying legal user equipments in a communication network
US20130080779A1 (en) Indentifiers in a communication system
EP2879421B1 (en) Terminal identity verification and service authentication method, system, and terminal
Khan et al. Defeating the downgrade attack on identity privacy in 5G
CN110519753B (zh) 访问方法、装置、终端和可读存储介质
CN108353279B (zh) 一种认证方法和认证系统
CN108012266B (zh) 一种数据传输方法及相关设备
US11652625B2 (en) Touchless key provisioning operation for communication devices
CN112566119A (zh) 终端认证方法、装置、计算机设备及存储介质
Noh et al. Secure authentication and four-way handshake scheme for protected individual communication in public wi-fi networks
CN103368735A (zh) 应用接入智能卡的认证方法、装置和系统
CN111586023A (zh) 一种认证方法、设备和存储介质
US10700854B2 (en) Resource management in a cellular network
CN110536289A (zh) 密钥发放方法及其装置、移动终端、通信设备和存储介质
CN114079924B (zh) 消息的处理方法、装置、相关设备及存储介质
KR101298216B1 (ko) 복수 카테고리 인증 시스템 및 방법
CN117479154A (zh) 基于统一多域标识认证的办公终端数据处理方法与系统
WO2008069627A1 (en) Generation method and update method of authorization key for mobile communication

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination