WO2019066720A1 - 秘钥管理方法和装置 - Google Patents

秘钥管理方法和装置 Download PDF

Info

Publication number
WO2019066720A1
WO2019066720A1 PCT/SG2017/050492 SG2017050492W WO2019066720A1 WO 2019066720 A1 WO2019066720 A1 WO 2019066720A1 SG 2017050492 W SG2017050492 W SG 2017050492W WO 2019066720 A1 WO2019066720 A1 WO 2019066720A1
Authority
WO
WIPO (PCT)
Prior art keywords
user identity
network device
identifier
public key
public
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/SG2017/050492
Other languages
English (en)
French (fr)
Inventor
王海光
康鑫
雷中定
刘斐
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei International Pte Ltd
Original Assignee
Huawei International Pte Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei International Pte Ltd filed Critical Huawei International Pte Ltd
Priority to PCT/SG2017/050492 priority Critical patent/WO2019066720A1/zh
Priority to CN201910304043.1A priority patent/CN110166230B/zh
Priority to CN201780060472.8A priority patent/CN109845187B/zh
Priority to EP17926402.3A priority patent/EP3557815A4/en
Publication of WO2019066720A1 publication Critical patent/WO2019066720A1/zh
Priority to US16/688,729 priority patent/US11159311B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G06F21/46—Structures or tools for the administration of authentication by designing passwords or checking the strength of passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic

Definitions

  • the present application relates to the field of communications technologies, and in particular, to a key management method and apparatus. Background technique
  • the user identity information is usually encrypted using the public key of the home network before the user identity information is sent, thereby transmitting the encrypted user identity information.
  • Existing public key cryptosystems can include user equipment, access and mobility management functions (Access and Mobility)
  • AMF Access Management Function
  • AUSF Authentication Unit Function
  • ARPF Authentication Repository Function
  • the user device uses the Subscriber Permnent Information (SUPI) information before sending it.
  • the public key encrypts the user identity information, and sends the encrypted user identity information to the AMF device that stores the private key corresponding to the public key.
  • the AMF device encrypts the user identity information. Sending to the AUSF device, so that the AUSF or other decryption device decrypts the encrypted user identity information by using the private key corresponding to the public key, thereby obtaining the decrypted user identity information, and then sending the obtained user identity information to the ARPF device, Authenticate based on user identity information.
  • SUPI Subscriber Permnent Information
  • any public-private key pair used for encryption and decryption has a life cycle. Before the end of the life cycle of a public-private key pair, a new public-private key pair distribution process is required. Therefore, The existing public key cryptosystem allows at least one set of public and private keys to encrypt and decrypt user identity information. When there is at least one set of public and private key pairs, the AUSF device cannot determine which public-private key pair is used by the user equipment. The identity information is encrypted, so that it is impossible to determine which public-private key pair is used to decrypt the encrypted user identity information, thereby reducing the data decryption efficiency.
  • the present application relates to a secret key management method and apparatus to improve data decryption efficiency.
  • the embodiment of the present application provides a secret key management method, where the user key management method includes: the user equipment encrypts the user identity information according to the first public key;
  • the user equipment sends a first user identity message to the first network device, where the first user identity message includes user identity information, an indication identifier for indicating whether to encrypt, and a reference identifier for indexing the first public key, so that the first
  • the network device processes the first user identity message according to the indication identifier and the reference identifier.
  • the first public key can be pre-stored or temporarily acquired during use.
  • the reference identifier there are many public keys stored in the user equipment, and which public key is used for encryption, and the reference identifier is used for identification. It can be said that the public key and the reference identifier are one-to-one correspondence; for example, there are 100 public keys, and the reference identifier has a value range of 0-99.
  • the reference identifier can also be a partial public key intercepted, or some bits of the public key. A combination of values on. For example, if the public key length is 50 bits, then the reference identifier can be a combination of values on the first, 2, 4, 8, 16, 32.
  • the first user identity message includes three parameters, it can be represented by two values, the first value is the user identity information, the second value can represent the reference identifier, and the indication can also be indicated. logo.
  • the reference identifier is also 0 at this time, indicating that the public key identifier is empty.
  • the indication is a value other than 0 (such as a value greater than 0)
  • a value other than 0 indicates that the user identity information is encrypted
  • the non-zero value may represent an index of the public key used for encryption. For example, if the non-zero value is 100, then the user identifier is identified as being encrypted, and the reference identifier of the public key used for encryption is 100.
  • the first user identity message includes three parameters, which can be represented by three values, the first value is user identity information, the second identifier represents an indication identifier, and the third value can represent a reference identifier. .
  • the invention is not limited thereto.
  • the user equipment encrypts the user identity information according to the first public key, and sends the encrypted user identity information to the second network device by using the first network device, and is used for Indexing the third user identity message of the reference identifier of the first public key, so that when receiving the third user identity message, the second network device may determine, according to a mapping table between the public-private key pair and the reference identifier stored in advance A first private key corresponding to a public key, thereby decrypting the encrypted user identity information by the first private key, thereby improving data decryption efficiency.
  • the method may further include:
  • the user equipment determines whether to encrypt the user identity information
  • the user equipment When it is determined that the user identity information is not encrypted, the user equipment sends a second user identity message to the first network device; the second user identity message includes unencrypted user identity information and an indication identity.
  • the user equipment before the user equipment encrypts the user identity information according to the first public key, the user equipment may further include:
  • the user equipment determines whether the first public key is in a valid period
  • the user equipment encrypts the user identity information according to the first public key, including:
  • the user equipment When the first public key is in the valid period, the user equipment encrypts the user identity information according to the first public key, thereby improving the security of the user identity information.
  • each public key has a corresponding generation date and expiration date, and the current date and the expiration date can be compared to determine whether the public key is in the validity period.
  • the indication identifier when the indication identifier is 0, it indicates that the user identity information is in an unencrypted state.
  • the indicator may be represented by a number or a string. Use a different number or string to distinguish whether it is encrypted. For example, 0 means that the user identity information is in an unencrypted state; 1 means that the user identity information is in an encrypted state;
  • the embodiment of the present application provides a method for managing a key, and the method may include:
  • the first network device Receiving, by the first network device, the first user identity message sent by the user equipment, where the first user identity message includes user identity information, an indication identifier for indicating whether to encrypt, and a reference identifier for indexing the first public key;
  • the first network device sends the second network according to the reference identifier.
  • the network device sends a third user identity message, where the third user identity message includes the user identity information and the reference identifier, so that the second network device processes the user identity information according to the reference identifier.
  • the first network device after receiving the first user identity message sent by the user equipment, the first network device sends, to the second network device, a third user identity including the encrypted user identity information and the reference identifier used to index the first public key.
  • the message when the second network device receives the third user identity message, may determine the first private key corresponding to the first public key according to the mapping table between the public-private key pair and the reference identifier stored in advance, thereby The first private key decrypts the encrypted user identity information, thereby improving the data decryption efficiency.
  • the sending, by the first network device, the third user identity message to the second network device according to the reference identifier may include:
  • the sending, by the first network device, the third user identity message to the second network device according to the reference identifier may include:
  • the method may further include:
  • the first network device receives the fourth identity message sent by the second network device;
  • the fourth user identity message includes the decrypted user identity information and the first public key;
  • the first network device encrypts the decrypted user identity information by using the first public key to generate user identity information to be verified;
  • the first network device compares the user identity information to be verified with the user identity information
  • the first network device sends the indication information to the third network device, where the indication message includes the decrypted user identity information, where the indication information is used to indicate that the third network device decrypts the User identity information is processed.
  • the first network device compares the user identity information to be verified with the encrypted user identity information, and determines whether to register and authenticate the user identity information according to the comparison result, thereby satisfying the lawful interception for the encrypted identity verification. demand.
  • the receiving, by the first network device, the fourth user identity information of the second network device may include:
  • the first network device receives a fourth user identity message forwarded by the third network device.
  • the first network device before the determining, by the first network device, the identifier information of the second network device corresponding to the first public key, the first network device may further include:
  • the first network device receives a mapping table between the identifier information of the second network device sent by the second network device and the N reference identifiers; the N reference identifiers are used to index the N public keys in a one-to-one correspondence, and the first public key pair N is an integer greater than 0 for any of the N public keys;
  • Determining, by the first network device, the identifier information of the second network device corresponding to the first public key according to the reference identifier includes: determining, by the first network device, the first mapping manner according to the mapping table between the identifier information of the second network device and the N reference identifiers The identification information of the second network device corresponding to the public key.
  • the embodiment of the present application provides a method for managing a key, and the method may include: Receiving, by the second network device, a third user identity message sent by the first network device, where the third user identity message includes user identity information, and a reference identifier used to index the first public key;
  • the second network device Determining, by the second network device, the first private key corresponding to the first public key according to the reference identifier; the first public key and the first private key are the first public private key pair;
  • the second network device decrypts the user identity information according to the first private key, and obtains the decrypted user identity information; the second network device sends the decrypted user identity information to the third network device, so that the third network device decrypts the User identity information is processed.
  • the second network device receives the third user identity message including the encrypted user identity information and the reference identifier used to index the first public key, and can be mapped according to the pre-stored public-private key pair and the reference identifier. a table, determining a first private key corresponding to the first public key, thereby decrypting the encrypted user identity information by using the first private key, thereby improving data decryption efficiency.
  • the receiving, by the second network device, the third user identity message sent by the first network device may include:
  • the second network device receives the third user identity message forwarded by the third network device.
  • the second network device may further include:
  • the second network device determines whether the first public key is in a valid period
  • Determining, by the second network device, the first private key corresponding to the first public key according to the reference identifier including:
  • the second network device determines, according to the reference identifier, the first private key corresponding to the first public key. It can be seen that, by determining whether the first public key is in the validity period, when the first public key is in the validity period, the second network device determines the first private key corresponding to the first public key according to the reference identifier, thereby improving data decryption efficiency.
  • the second network device may further include:
  • the second network device acquires an N-pair public-private key pair and N reference identifiers, and the N reference identifiers are used to index N public-private key pairs one by one, and the first public-private key pair is any pair of N-pair public-private key pairs, N is an integer greater than zero.
  • the second network device acquires the N-pair public-private key pair and the N reference identifiers, and may include: - the second network device generates an N-pair public-private key pair;
  • the second network device allocates a reference identifier for the public key in the N-pair public-private key pair.
  • the second network device acquires the N-pair public-private key pair and the N reference identifiers, and may include: - the second network device generates an N-pair public-private key pair;
  • the second network device sends a reference identifier request message to the fourth network device, where the reference identifier request message includes a public key in the N-pair public-private key pair, and the reference identifier request message is used to request the fourth network device to be the N-pair public-private key pair.
  • Key assignment reference identifier
  • the second network device receives the public key and the N reference identifiers of the N pairs of public and private key pairs sent by the fourth network device.
  • the second network device acquiring the N-pair public-private key pair and the N reference identifiers may include: - the second network device receives the N-pair public-private key pair and the N reference identifiers sent by the fourth network device.
  • the second network device may further include:
  • the second network device obtains the first public key from the N public-private key pairs, and obtains the reference identifier from the N reference identifiers; the second network device sends the first public key and the reference identifier to the user equipment.
  • the second network device may further include:
  • the second network device sends a fourth user identity message to the first network device, where the fourth user identity message includes the decrypted user identity information and the first public key, so that the first network device is fourth according to the first public key pair.
  • User identity messages are processed.
  • the sending, by the second network device, the fourth user identity message to the first network device may include:
  • the second network device forwards the fourth user identity message to the first network device by using the third network device.
  • the method may further include:
  • the second network device sends a public key update request message to the user equipment, where the public key update request message is used to indicate that the user equipment updates the first public key to use the valid public key to identify the user.
  • Information is encrypted to improve data security.
  • the second network device may further include:
  • the second network device sends, to the first network device, a mapping table between the identifier information of the second network device and the N reference identifiers; the N reference identifiers are used to index the N public keys in a one-to-one correspondence, where the first public key pair is Any one of N public keys, N is an integer greater than 0;
  • the receiving, by the second network device, the third user identity message sent by the first network device may include:
  • the second network device receives the third network identity message sent by the first network device according to the mapping table between the identification information of the second network device and the N reference identifiers.
  • the embodiment of the present application provides a method for managing a key, and the method may include:
  • the third network device receives the first user identity message sent by the first network device, where the first user identity message includes user identity information, an indication identifier for indicating whether to encrypt, and a reference identifier for indexing the first public key;
  • the third network device determines, according to the reference identifier, identifier information of the second network device corresponding to the reference identifier;
  • the second network device processes the third user identity message according to the reference identifier.
  • the third network device after receiving the first user identity message sent by the user equipment, the third network device sends, to the second network device, the third user identity including the encrypted user identity information and the reference identifier used to index the first public key.
  • the message when the second network device receives the third user identity message, may determine the first private key corresponding to the first public key according to the mapping table between the public-private key pair and the reference identifier stored in advance, thereby The first private key decrypts the encrypted user identity information, thereby improving the data decryption efficiency.
  • the method further includes:
  • the third network device sends a fourth user identity message to the first network device to cause the first network device to process the fourth user identity message according to the first public key.
  • the method further includes:
  • the third network device receives the indication information sent by the first network device; the indication message includes the decrypted user identity information, and the indication information is used to instruct the third network device to process the decrypted user identity information.
  • the third network device may further include:
  • the third network device receives a mapping table between the identifier information of the second network device sent by the second network device and the N reference identifiers; the N reference identifiers are used to index the N public keys in a one-to-one correspondence, and the first public key pair N is an integer greater than 0 for any of the N public keys;
  • Determining, by the third network device, the identifier information of the second network device corresponding to the reference identifier according to the reference identifier includes: determining, by the third network device, the mapping identifier corresponding to the reference identifier according to the mapping table between the identifier information of the second network device and the N reference identifiers Identification information of the second network device.
  • the third network device may further include:
  • the third network device sends, to the first network device, a mapping table between the identification information of the third network device and the N reference identifiers;
  • Receiving, by the third network device, the first user identity message sent by the first network device including:
  • the third network device receives the first user identity message of the user equipment that is forwarded by the first network device according to the mapping table between the identifier information of the third network device and the N reference identifiers.
  • the embodiment of the present application provides a method for managing a key, and the method may include:
  • the fourth network device acquires N public keys, where N is an integer greater than 0;
  • the fourth network device allocates N reference identifiers for the N public keys, and the N reference identifiers are used to index the N public keys in one-to-one correspondence;
  • the fourth network device sends N public keys and N reference identifiers to the second network device, so that the second network device acquires N public keys and N reference identifiers.
  • the fourth network device by sending the N public keys and the N reference identifiers to the second network device, when the second network device receives the third user identity message, may determine the first public key according to the reference identifier. Corresponding the first private key, thereby decrypting the encrypted user identity information by using the first private key, thereby improving data decryption efficiency.
  • the fourth network device acquiring the N public keys may include:
  • the fourth network device generates N public-private key pairs, each public-private key pair includes a public key and a private key, and the N public keys are public keys in N public-private key pairs;
  • the fourth network device sends the N public keys and the N reference identifiers to the second network device, including:
  • the fourth network device sends N public-private key pairs and N reference identifiers to the second network device.
  • the fourth network device acquiring the N public keys may include:
  • the fourth network device receives the reference identifier request message sent by the second network device, where the reference identifier request message includes a public key in the N pair public-private key pair, and the reference identifier request message is used to request the fourth network device to be in the N-pair public-private key pair.
  • Public key Assign a reference ID
  • the method may further include:
  • the fourth network device obtains the first public key from the N public keys, and obtains a reference identifier for indexing the first public key from the N reference identifiers;
  • the fourth network device sends the first public key and the reference identifier to the user equipment.
  • the embodiment of the present application provides a key management apparatus, where the apparatus may include:
  • An encryption unit configured to encrypt user identity information according to the first public key
  • a sending unit configured to send a first user identity message to the first network device, where the first user identity message includes user identity information, an indication identifier indicating whether to encrypt, and a reference identifier used to index the first public key,
  • the first network device is caused to process the first user identity message according to the indication identifier and the reference identifier.
  • the encryption unit is further configured to determine whether to encrypt the user identity information
  • the sending unit is further configured to: when determining that the user identity information is not encrypted, the user device sends the second device to the first network device.
  • the second user identity message includes unencrypted user identity information and an indication identity.
  • the device may further include:
  • a determining unit configured to determine whether the first public key is in a valid period
  • the encryption unit is specifically configured to encrypt the user identity information according to the first public key when the first public key is in the validity period.
  • the embodiment of the present application provides a key management apparatus, where the apparatus may include:
  • a receiving unit configured to receive a first user identity message sent by the user equipment, where the first user identity message includes user identity information, an indication identifier indicating whether to encrypt, and a reference identifier used to index the first public key;
  • a sending unit configured to: if the indication identifier indicates that the user identity information is in an encrypted state, send a third user identity message to the second network device according to the reference identifier; where the third user identity message includes the user identity information and the reference identifier, so that the The second network device processes the user identity information according to the reference identifier.
  • the sending unit is configured to send, according to the reference identifier, a first user identity message to the third network device, to enable the third network device, when the indication identifier indicates that the user identity information is in an encrypted state,
  • the second network device sends a third user identity message.
  • the sending unit is specifically configured to determine, according to the reference identifier, identifier information of the second network device corresponding to the first public key, and send, according to the identifier information of the second network device, the second network device Three user identity messages.
  • the device may further include:
  • the receiving unit is further configured to receive a fourth identity message sent by the second network device, where the fourth user identity message includes the decrypted user identity information and the first public key;
  • An encryption unit configured to encrypt the decrypted user identity information by using the first public key to generate user identity information to be verified
  • a comparing unit configured to compare user identity information to be verified with user identity information
  • the sending unit is further configured to send, to the third network device, the indication information, where the user identity information to be verified is the same as the user identity information, where the indication message includes the decrypted user identity information, where the indication information is used to indicate the third network device pair The decrypted user identity information is processed.
  • the receiving unit is specifically configured to receive the fourth user identity message forwarded by the third network device.
  • the method may further include:
  • the receiving unit is further configured to receive a mapping table between the identifier information of the second network device sent by the second network device and the N reference identifiers; the N reference identifiers are used to index the N public keys in a one-to-one correspondence, the first public The key pair is any one of N public keys, and N is an integer greater than 0;
  • a determining unit configured to determine, according to the reference identifier, identifier information of the second network device corresponding to the first public key, where: the determining unit is further configured to: according to the mapping table between the identifier information of the second network device and the N reference identifiers, Determining identification information of the second network device corresponding to the first public key.
  • the embodiment of the present application provides a key management apparatus, where the apparatus may include:
  • a receiving unit configured to receive a third user identity message sent by the first network device, where the third user identity message includes user identity information, and a reference identifier used to index the first public key;
  • a determining unit configured to determine, according to the reference identifier, a first private key corresponding to the first public key; the first public key and the first private key are first public-private key pairs;
  • a decryption unit configured to decrypt the user identity information according to the first private key, and obtain the decrypted user identity information
  • the sending unit configured to send the decrypted user identity information to the third network device, so that the third network device pair The decrypted user identity information is processed.
  • the receiving unit is specifically configured to receive a third user identity message forwarded by the third network device.
  • the device may further include:
  • a determining unit configured to determine whether the first public key is in a valid period
  • the method may further include:
  • An acquiring unit configured to acquire an N-pair public-private key pair and N reference identifiers, where the N reference identifiers are used to index N public-private key pairs one-to-one, and the first public-private key pair is any pair of N-pair public-private key pairs.
  • N is an integer greater than zero.
  • the obtaining unit is specifically configured to generate an N-pair public-private key pair, and assign a reference identifier to the public key in the N-pair public-private key pair.
  • the acquiring unit is specifically configured to generate an N-pair public-private key pair.
  • the sending unit is further configured to send a reference identifier request message to the fourth network device, where the reference identifier request message includes the N-pair public-private key pair.
  • Public key the reference identifier request message is used to request the fourth network device to allocate a reference identifier for the public key in the N pair public-private key pair;
  • the receiving unit is further configured to receive the public key and the N reference identifiers of the N pairs of public and private key pairs sent by the fourth network device. In a possible implementation manner, the receiving unit is further configured to receive the N pairs of public and private key pairs and the N reference identifiers sent by the fourth network device.
  • the acquiring unit is further configured to obtain the first public key from the N public-private key pairs, and obtain the reference identifier from the N reference identifiers;
  • the sending unit is further configured to send the first public key and the reference identifier to the user equipment.
  • the sending unit is further configured to send a fourth user identity message to the first network device, where the fourth user identity message includes the decrypted user identity information and the first public key, so that A network device processes the fourth user identity message according to the first public key.
  • the sending unit is further configured to forward the fourth user identity message to the first network device by using the third network device.
  • the sending unit is further configured to: when the first public key is not in the validity period, send a public key update request message to the user equipment, where the public key update request message is used to indicate that the user equipment updates the first public key. .
  • the sending unit is further configured to send, to the first network device, a mapping table between the identifier information of the second network device and the N reference identifiers; the N reference identifiers are used to index the one-to-one correspondence N public keys, the first public key pair is any one of N public keys, and N is an integer greater than 0;
  • the receiving unit is configured to receive, by the first network device, a third user identity message according to the mapping table between the identifier information of the second network device and the N reference identifiers.
  • the embodiment of the present application provides a key management apparatus, where the apparatus may include:
  • a receiving unit configured to receive a first user identity message sent by the first network device, where the first user identity message includes user identity information, an indication identifier indicating whether to encrypt, and a reference identifier used to index the first public key; a determining unit, configured to determine, according to the reference identifier, identifier information of the second network device corresponding to the reference identifier, if the indication identifier indicates that the user identity information is in an encrypted state;
  • a sending unit configured to send, according to the identifier information of the second network device, a third user identity message to the second network device, where the third user identity message includes using the user identity information, and a reference identifier used to index the first public key;
  • the second network device is caused to process the third user identity message according to the reference identifier.
  • the receiving unit is further configured to receive a fourth user identity message sent by the second network device, where the fourth user identity message includes the decrypted user identity information and the first public key;
  • the sending unit is further configured to send a fourth user identity message to the first network device, so that the first network device processes the fourth user identity message according to the first public key.
  • the receiving unit is further configured to receive the indication information sent by the first network device, where the indication message includes the decrypted user identity information, where the indication information is used to indicate the third network device to the decrypted user identity. Information is processed.
  • the receiving unit is further configured to receive a mapping table between the identifier information of the second network device and the N reference identifiers sent by the second network device, where the N reference identifiers are used for one-to-one correspondence Indexing N public keys, the first public key pair is any one of N public keys, and N is an integer greater than 0;
  • a determining unit configured to determine, according to a mapping table between the identifier information of the second network device and the N reference identifiers, the identifier information of the second network device corresponding to the reference identifier.
  • the sending unit is further configured to send, to the first network device, a mapping table between the identifier information of the third network device and the N reference identifiers;
  • the receiving unit is configured to receive a first user identity message of the user equipment that is forwarded by the first network device according to the mapping table between the identifier information of the third network device and the N reference identifiers.
  • the embodiment of the present application provides a key management apparatus, where the apparatus may include:
  • the obtaining unit is configured to obtain N public keys, where N is an integer greater than 0;
  • An allocation unit configured to allocate N reference identifiers for N public keys, and N reference identifiers are used to index N public keys in one-to-one correspondence;
  • a sending unit configured to send N public keys and N reference identifiers to the second network device, so that the second network device obtains N public keys and N reference identifiers.
  • the acquiring unit is specifically configured to generate N public-private key pairs, each public-private key pair includes a public key and a private key, and the N public keys are public keys in N public-private key pairs;
  • the sending unit is further configured to send N public-private key pairs and N reference identifiers to the second network device.
  • the receiving unit is further configured to receive a reference identifier request message sent by the second network device, where the reference identifier request message includes a public key in the N pair public-private key pair, and the reference identifier request message is used to request the first
  • the fourth network device allocates a reference identifier for the public key in the N pair public-private key pair.
  • the acquiring unit is further configured to obtain a first public key from the N public keys, and obtain a reference identifier used to obtain the first public key from the N reference identifiers;
  • the sending unit is further configured to send the first public key and the reference identifier to the user equipment.
  • an apparatus provided by the embodiment of the present application includes a processor and a memory.
  • the memory is for storing instructions
  • the processor is for executing instructions stored in the memory
  • the apparatus is for performing the method of any one of the first to fifth aspects described above.
  • the embodiment of the present application provides a readable storage medium, where the readable storage medium stores an instruction, when the at least one processor of the user equipment executes the instruction, the user equipment performs the foregoing first to fifth aspects.
  • the secret key management method provided in the method embodiment.
  • the embodiment of the present application provides a readable storage medium, where the readable storage medium stores instructions, when the at least one processor of the network device executes the instruction, the network device performs the foregoing first to fifth aspects The secret key management method provided in the method embodiment.
  • the method and device for managing a key when determining to encrypt the user identity information, the user device encrypts the user identity information according to the first public key, and sends the first user identity message to the first network device.
  • the first user identity message includes user identity information, an indication identifier for indicating whether to encrypt, and a reference identifier for indexing the first public key, so that the first network device determines, according to the indication identifier, when receiving the first user identity information.
  • the first network device determines, according to the reference identifier, identifier information of the second network device corresponding to the first public key, and sends the identifier information to the second network device.
  • the third user identity message when the second network device receives the third user identity message of the user equipment, decrypts the user identity information according to the first private key, and obtains the decrypted user identity information, to obtain the identity information of the user through the ARPF device. Certify.
  • the user equipment encrypts the user identity information according to the first public key, and sends the encrypted user identity information to the second network device by using the first network device.
  • the first private key corresponding to the first public key may be determined according to a mapping table between the public-private key pair and the reference identifier stored in advance, so that the encrypted user is authenticated by the first private key pair
  • the identity information is decrypted, thereby improving the decryption efficiency of the data.
  • FIG. 1 is a system architecture diagram provided by an embodiment of the present application
  • 5 is a schematic diagram of the public-key management method provided by the present application.
  • FIG. 7 is a schematic diagram of a public-public key management method provided for this application.
  • FIG. 8 is a schematic diagram of a public key management method provided by the present application.
  • FIG. 9 is a schematic diagram of the public-key management method provided by the present application.
  • FIG. 10 is a schematic diagram of a public key management device provided by the present application.
  • FIG. 11 is a schematic diagram of a public public key management device provided for this application.
  • FIG. 12 is a schematic diagram of a public key management device provided by the present application.
  • FIG. 13 is a schematic diagram of a public public key management device provided by the present application.
  • FIG. 14 is a schematic diagram of a public key management device provided by the present application.
  • 15 is a schematic diagram of a public-public key management device provided for this application.
  • 16 is a schematic diagram of a public key management device provided by the present application.
  • 17 is a schematic diagram of a public key management device provided by the present application.
  • FIG. 1 is a system architecture diagram of an embodiment of the present application.
  • a first network device is an Access and Mobility Management Function (AMF) device.
  • the second network device is a Subscription Identifier De-concealing Function (SIDF) device
  • the third network device is an Authentication Unit Function (AUSF) device
  • the fourth network device is integrated with a public key management function.
  • the public key management function device includes a user equipment, an AMF device, an AUSF device, an SIDF device, a public key management function device, and an authentication server as an Authentication Repository Function (ARPF) device.
  • ARPF Authentication Repository Function
  • the user equipment can interact with the SIDF equipment through the AMF device and the AUSF device; or it can interact with the SIDF device through only the AMF device.
  • the user equipment may be a mobile phone (or "cellular" phone) or a computer with a mobile terminal, for example, a portable, pocket, handheld, computer built-in or in-vehicle mobile device or the like.
  • the user equipment may also be referred to as a terminal device, a mobile station (MS), a terminal, and may also include a subscriber unit, a cellular phone, a smart phone, and none.
  • Line data card personal digital assistant (PDA) computer, tablet computer, wireless modem (modem), handheld device, laptop computer, cordless phone or wireless Local loop (WLL) station, machine type communication (MTC) terminal, etc.
  • PDA personal digital assistant
  • modem wireless modem
  • WLL wireless Local loop
  • MTC machine type communication
  • the AMF device is used to forward messages between the user equipment and the AUSF device, and is also responsible for mobility management in the mobile network, such as user location update, user registration network, user switching, and the like.
  • the AUSF device is used to forward the message exchanged between the AMF device and the SIDF device. It is also used to authenticate the interaction with the ARPF device and authenticate the user identity information through the ARPF device.
  • the SIDF device is used to generate a public-private key pair and assign a reference identifier to the public-private key pair. It is also used to decrypt the user identity information using the private key stored by itself, and interact with the AUSF device and the public key management function device.
  • the public key management function device is configured to generate a public-private key pair, and assign a reference identifier to the public-private key pair, and generate a public-private key pair and a reference identifier to send to the SIDF device to decrypt the user identity information by using the private key by the SIDF device.
  • the ARPF device is mainly used to interact with the AUSF device and is responsible for authenticating user identity information.
  • the existing public key cryptosystem at least one set of public and private keys is allowed to encrypt and decrypt the user identity information.
  • the AUSF device cannot determine which public-private key pair the user equipment uses.
  • the key encrypts the user identity information, so that it is impossible to determine which public-private key pair is used to decrypt the encrypted user identity information, thereby reducing the data decryption efficiency.
  • the present application provides a public key management method.
  • the user equipment When determining to encrypt the user identity information, the user equipment encrypts the user identity information according to the first public key, and sends the first user to the AMF device.
  • the identity message because the first user identity message includes user identity information, an indication identifier for indicating whether to encrypt or not, and a reference identifier for indexing the first public key, so that the AMF device adds the encrypted user identity according to the indication identifier and the reference identifier.
  • the information and the reference identifier send the encrypted user identity information and the reference identifier to the SIDF device.
  • the SIDF device may also search for the first private key corresponding to the first public key of the reference identifier index according to the reference identifier, and pass the first private key.
  • the user identity information is decrypted, thereby improving the decryption efficiency of the data.
  • the AMF device when the AMF device sends the user identity information and the reference identifier (ie, the third user identity message in this application) to the SIDF device according to the reference identifier, the ADF device may directly directly refer to the SIDF device according to the reference identifier.
  • the third user identity message is sent, and the third user identity message may also be forwarded to the SIDF device by using the AUSF device according to the reference identifier.
  • the main process shown in the public key management management method of the present application can be divided into two processes: the process of decrypting the user identity information encrypted by using the public key, and the generation of the public key. And the process of issuing.
  • the process of decrypting the user identity information encrypted by the public key refer to the embodiment shown in FIG. 2-6.
  • the process of generating and delivering a public key refer to the embodiment shown in Figures 7-9.
  • FIG. 2 is a schematic diagram 1 of a method for managing a key provided by the present application.
  • the AMF device forwards a third user identity message to the SIDF device through the AUSF device, as shown in FIG. 2 .
  • the key management method can include:
  • the user equipment encrypts the user identity information according to the first public key.
  • the user equipment may first receive the SIDF design.
  • the first public key sent by the standby or public key management function device and the reference identifier used to index the first public key, so as to obtain the first public key and the corresponding reference identifier for encrypting the user identity information.
  • the user equipment can encrypt the user identity information according to the first public key.
  • the user identity information may be directly encrypted by using the first public key, or the user identity information may be encrypted by using the temporary public key, and then the first Public key encryption uses the temporary public key to encrypt user identity information.
  • the user equipment may first determine whether the first public key is in a valid period. When the first public key is in the validity period, the user equipment uses the first public key to identify the user identity information. Encrypt.
  • the user equipment determines whether the first public key is in the valid period
  • the user equipment also needs to receive the expiration date of the first public key sent by the SIDF device or the public key management function device, so that the user equipment according to the first public
  • the expiration date of the key determines whether the first public key is in the validity period.
  • the expiration date of the first public key may be represented by the production date and the expiration date of the first public key; or may be expressed by the production date and the expiration date of the first public key.
  • the user equipment sends a first user identity message to the AMF device.
  • the first user identity message includes user identity information (that is, encrypted user identity information), an indication identifier for indicating whether to encrypt, and a reference identifier for indexing the first public key.
  • the first user identity message may further include an encryption protocol supported by the first public key.
  • the first user identity message may be carried in a non-access stratum (NAS) data packet and sent to the AMF device, that is, user identity information, an indication identifier for indicating whether to encrypt or not, and used for indexing the first
  • NAS non-access stratum
  • the reference identifier of the public key can be carried in the NAS packet.
  • the reference identifier used to index the first public key may be a pre-assigned number, may be the geographic information that implies the identity management network device, and may also be the first public key itself.
  • the indication identity indicates that the user identity information is encrypted
  • the indication identifier is greater than 0
  • the user identity may be in an encrypted state.
  • the indication identifier is 0, the user identity information is in an unencrypted state.
  • the reference identifier is 0, the user identity information may also be in an unencrypted state.
  • the AMF device determines, according to the reference identifier, identifier information of the AUSF device corresponding to the first public key.
  • the AMF device forwards the first user identity message to the AUSF device according to the identifier information of the AUSF device.
  • the AMF device determines, according to the indication identifier that is included in the first user identity message, whether the user identity is in an encrypted state, and determines that the user identity information is in an encrypted state. And determining, according to the reference identifier, an identifier of the AUSF device corresponding to the first public key, to forward the first user identity message to the AUSF device according to the identifier information of the AUSF device.
  • the steps S203 and S204 the AMF device determines, according to the reference identifier, the identifier of the AUSF device corresponding to the first public key, and forwards the user identity message to the AUSF device according to the identifier information of the AUSF device, where The method includes: the AMF device pre-receives and stores a mapping table between the identifier information of the AUSF device and the N reference identifiers sent by the AUSF device, so that after receiving the first user identity message sent by the user equipment, the identifier information of the AUSF device may be used.
  • the N reference identifiers are used to index N public keys in a one-to-one correspondence.
  • the first public key pair is any one of N public keys, and N is an integer greater than 0.
  • the AUSF device determines, according to the reference identifier, identifier information of the SIDF device corresponding to the reference identifier. 5206.
  • the AUSF device sends a third user identity message to the SIDF device according to the identifier information of the SIDF device.
  • the third user identity message includes user identity information (ie, encrypted user identity information), and a reference identifier used to index the first public key.
  • the AUSF device receives the first user identity message of the user equipment, it determines whether the user identity is in an encrypted state according to the indication identifier used to identify whether the user is encrypted in the first user identity message, and determines that the user identity information is in an unencrypted state.
  • the user identity information is directly sent to the ARPF device for authentication.
  • the reference identifier may be configured to enable the SIDF to directly search for the first private key corresponding to the first public key according to the reference identifier, thereby decrypting the encrypted user identity information by using the first private key, without sending an indication for identifying whether to encrypt.
  • the third user identity message may further include an encryption protocol supported by the first public key.
  • the AUSF device After receiving the first user identity message forwarded by the AMF device, the AUSF device determines whether the user identity is in an encrypted state according to the indication identifier used to indicate whether the encryption is included in the first user identity message, and determines that the user identity information is in an encrypted state. And determining, according to the reference identifier, identifier information of the SIDF device corresponding to the reference identifier, to forward the third user identity message to the SIDF device according to the identifier information of the SIDF device.
  • the AUSF device determines the identifier information of the SIDF device corresponding to the reference identifier according to the reference identifier, and sends the third user identity message to the SIDF device according to the identifier information of the SIDF device, where
  • the AUSF device presets to receive and store a mapping table between the identifier information of the SIDF device and the N reference identifiers sent by the SIDF device, so that after receiving the first user identity message sent by the user equipment, the identifier of the SIDF device may be The mapping table between the information and the N reference identifiers determines the identification information of the SIDF device corresponding to the reference identifier, thereby transmitting the third user identity message to the SIDF device.
  • the SIDF device determines, according to the reference identifier, a first private key corresponding to the first public key.
  • the first public key and the first private key are the first public-private key pair.
  • the SIDF device may pre-store a mapping table between the N public-private key pairs and the N reference identifiers, so that after receiving the third user identity message, the SIDF may be included in the third user identity message.
  • the reference identifier searches for a first private key corresponding to the first public key, thereby decrypting the encrypted user identity information according to the first private key.
  • the SIDF device decrypts the user identity information according to the first private key, and obtains the decrypted user identity information.
  • the SIDF device sends the decrypted user identity information to the AUSF device, so that the AUSF device processes the decrypted user identity information.
  • the SIDF device sends the decrypted user identity information to the AUSF device, and sends the decrypted user identity information to the ARPF device through the AUSF device, so that the ARPF device performs authentication according to the user identity information.
  • S203-S206 may also be replaced by the following S211-S212: that is, the AMF device reference identifier directly sends a third user identity message to the SIDF device, as shown in the figure.
  • FIG. 3 is a schematic diagram 2 of a secret key management method provided by the present application.
  • the AMF device determines, according to the reference identifier, identifier information of the SIDF device corresponding to the first public key.
  • the S210 AMF device may further include: The AMF device receives a mapping table between the identification information of the SIDF and the N reference identifiers sent by the SIDF device.
  • the N reference identifiers are used to index N public keys in a one-to-one correspondence, the first public key pair is any one of N public keys, and N is an integer greater than 0; and according to the identification information of the SIDF device and the N
  • the mapping table between the reference identifiers determines the identification information of the SIDF device corresponding to the first public key. It should be noted that the mapping table between the identifier information of the SIDF device and the N reference identifiers may also be generated by the AMF device according to the system configuration information.
  • the AMF device forwards the third user identity message to the SIDF device according to the identifier information of the SIDF device.
  • the user equipment when determining to encrypt the user identity information, the user equipment encrypts the user identity information according to the first public key, and sends a first user identity message to the AMF device, where the first user The identity message includes user identity information, an indication identifier for indicating whether to encrypt, and a reference identifier for indexing the first public key, so that when the first user identity information is received, the AMF device determines whether the user identity information is encrypted according to the indication identifier.
  • the AMF device determines the identifier information of the AUSF device corresponding to the first public key according to the reference identifier; and sends the first user identity message to the AUSF device; for the same reason, the AUSF device receives When the first user identity information is obtained, determining whether the user identity information is in an encrypted state according to the indication identifier, and if the indication identifier indicates that the user identity information is in an encrypted state, the AUSF device determines, according to the reference identifier, identifier information of the SIDF device corresponding to the reference identifier, and SIDF device sends the first And the third user identity message, when the third user identity message of the user equipment is received, the SIDF device decrypts the user identity information according to the first private key, and obtains the decrypted user identity information; and sends the decrypted user identity to the ARPF device.
  • the public key management method provided by the embodiment of the present application, the user equipment encrypts the user identity information according to the first public key, and sends the encrypted user identity information and the reference for indexing the first public key to the SIDF device.
  • the identifier of the third user identity message so that the SIDF device can determine the first private key corresponding to the first public key according to the mapping table between the public-private key pair and the reference identifier stored in advance when the third user identity message is received. Therefore, the encrypted user identity information is decrypted by the first private key, thereby improving data decryption efficiency.
  • the method further includes:
  • the SIDF device determines whether the first public key is in the validity period. When the first public key is in the validity period, the S208 SIDF device determines the first private key corresponding to the first public key according to the reference identifier.
  • FIG. 4 is a schematic diagram 3 of a public key management method provided by the present application.
  • the SIDF device sends a public key update request message to the user equipment.
  • the public key update request message is used to indicate that the user equipment updates the first public key.
  • the S208 SID device determines whether the first public key is a valid public key before determining the first private key corresponding to the first public key according to the reference identifier, and if the first public key is a valid public key, Directly determining the corresponding first private key according to the first public key, thereby decrypting the encrypted user identity information according to the first private key, and sending the public key update to the user equipment if the first public key is a non-valid public key The message is requested to enable the user equipment to update the first public key, thereby improving the security of the user identity information.
  • the S208 SIDF device may decrypt the user identity information according to the first private key. After obtaining the decrypted user identity information, the decrypted user identity information and the first public key may also be sent to the AMF. The device is configured to determine whether to register and authenticate the user identity information by using the AMF device. For details, refer to FIG. 5.
  • FIG. 5 is a schematic diagram 4 of a public key management method according to an embodiment of the present disclosure, where the public key management method may further include :
  • the SIDF device sends a fourth user identity message to the AMF device.
  • the fourth user identity message includes the decrypted user identity information and the first public key.
  • the fourth user identity information may further include an encryption protocol of the first public key and other parameters used in encryption.
  • the SIDF device may send the fourth user identity message directly to the AMF device, or forward the fourth user identity message by using the AUSF device, that is, the SIDF device may first The fourth user identity message is sent to the AUSF device, and the fourth user identity message is forwarded by the AUSF device to the AMF device.
  • the AMF device can directly receive the fourth user identity information sent by the SIDF device, and can also receive the fourth user identity information through the AUSF device.
  • the AMF device encrypts the decrypted user identity information by using the first public key to generate user identity information to be verified.
  • the AMF device compares the user identity information to be verified with the user identity information.
  • the S202 user equipment sends a first user identity message to the AMF device.
  • the first user identity message includes user identity information, an indication identifier for indicating whether to encrypt, and a reference identifier for indexing the first public key, that is, the AMF device obtains user identity information in advance, and generates user identity information to be verified. After that, the user identity information to be verified can be compared with the user identity information to determine whether to register and authenticate the user identity information.
  • the AMF device sends an indication message to the AUSF device.
  • the indication information may include the decrypted user identity information, and the indication information is used to instruct the third network device to process the decrypted user identity information.
  • the AUSF device processes the decrypted user identity information.
  • the AUSF device processes the decrypted user identity information, and the AUSF device sends the decrypted user identity information to the ARPF device to authenticate the user identity information by using the ARPF device.
  • the S215 may further include: if the user identity information to be verified is different from the user identity information, indicating that the user identity information is an illegal user identity, the AMF device may send a registration process interruption message to the AUSF device, so that the AUSF device is configured according to the The registration process interruption message stops registering and authenticating the user identity information, and it is not necessary to execute S217.
  • the SIDF device after obtaining the decrypted user identity information, sends the user identity information to the AMF device, so that the AMF device encrypts the decrypted user identity information according to the first public key.
  • the user identity information to be verified is generated, and the user identity information to be verified is compared with the user identity information, thereby determining whether to register and authenticate the user identity information according to the comparison result, thereby satisfying the requirement of the lawful interception for the encrypted identity verification.
  • FIG. 6 is a schematic diagram 5 of a public key management method provided by the present application.
  • the public key management method may include: S601. The user equipment determines whether to encrypt the user identity information.
  • the user equipment Before transmitting the user identity information, the user equipment determines whether to encrypt the user identity information. If it is determined that the user identity information is encrypted, the foregoing S201 is performed. If it is determined that the user identity information is not encrypted, the following S602 is performed.
  • the user equipment When it is determined that the user identity information is not encrypted, the user equipment sends a second user identity message to the AMF device.
  • the second user identity message includes unencrypted user identity information and an indication flag for indicating whether to encrypt. It should be noted that when the indication identifier is 0, it indicates that the user identity information is in an unencrypted state.
  • the second user identity message may be carried in the NAS data packet and sent to the AMF device, that is, the unencrypted user identity information and the indication identifier used to indicate whether the encryption is encrypted may be carried in the NAS data packet.
  • the AMF device determines, according to the user identity information, identifier information of the corresponding AUSF device.
  • the AMF device forwards the second user identity message to the AUSF device according to the identifier information of the AUSF device.
  • the AMF device determines whether the user identity information is in an unencrypted state according to the indication identifier used to identify whether the encryption is included in the second user identity message, and determines that the user identity information is not in the In the encryption state, the identification information of the corresponding AUSF device is determined according to the user identity information.
  • the AUSF device sends the user identity information to the ARPF device.
  • the AUSF device determines whether the user identity information is in an unencrypted state according to the indication identifier used to identify whether the encryption is included in the second user identity message, and determines that the user identity information is unencrypted. In the status, the user identity information is directly sent to the ARPF device, so that the ARPF device performs authentication according to the user identity information.
  • the public key management method determines whether the user identity information is encrypted.
  • the user equipment sends a second user identity message to the AMF device;
  • the second user identity message includes Un-encrypted user identity information and an indication identifier for indicating whether to encrypt or not;
  • the AMF device receives the second user identity information, if the indication identifier indicates that the user identity information is in an unencrypted state, determining the corresponding AUSF according to the user identity information
  • the second user identity message is forwarded to the AUSF device, so that when the AUSF device receives the second user identity message forwarded by the AMF device, if the indication identifier indicates that the user identity information is in an unencrypted state, the device sends the message to the ARPF device.
  • the public key management method when the user equipment sends the second user identity message to the AUSF device, the second user identity message includes an indication identifier for identifying whether to encrypt, so that the AUSF device receives
  • the user identity information may be determined to be in an unencrypted state according to the indication identifier.
  • the user identity information is directly sent to the ARPF device, so that the ARPF device is based on the user.
  • the identity information is authenticated, thereby improving the efficiency of data decryption.
  • FIG. 7 is a schematic diagram 6 of a public key management method provided by the present application, where the public key management method may include:
  • the SIDF device generates an N-pair public-private key pair.
  • the first public private key pair shown in the foregoing embodiment is any pair of N pairs of public and private key pairs, and N is an integer greater than 0.
  • Each public-private key pair of the N-pair public-private key pair includes a public key and a corresponding private key, wherein the user identity information can be encrypted by the public key, and the user identity information for encrypting the public key can be encrypted by the private key. Decrypt.
  • the SIDF device allocates a reference identifier for the public key in the N pair public-private key pair.
  • the reference identifier used to index the public key may be a pre-assigned number, which may be the geographic information of the identity management network device, or the public key itself.
  • the indication identity indicates that the user identity information is encrypted
  • the indication identifier is greater than 0
  • the user identity may be in an encrypted state.
  • the indication identifier is 0, the user identity information is in an unencrypted state.
  • the SIDF device allocates reference identifiers for each of the N public-private key pairs, and has N reference identifiers, and the N reference identifiers are used to index N public-private key pairs in a one-to-one correspondence.
  • each public-private key pair is a pair of private key pairs.
  • the public key allocation is used to index the reference identifier of the public key, so that when the SIDF device receives the user identity information and the reference identifier, the first public key may be determined according to a mapping table between the public-private key pair and the reference identifier stored in advance. Corresponding the first private key, thereby decrypting the user identity information by using the first private key, thereby improving data decryption efficiency.
  • the SIDF device obtains a first public key from the N public-private key pairs, and obtains a reference identifier from the N reference identifiers.
  • the reference identifier refers to a reference identifier used to index the first public key.
  • the SIDF device sends the first public key and the reference identifier to the user equipment.
  • the SIDF device can send the first public key and the reference identifier to the trusted storage environment on the user device in an offline or online (OTP) manner. It should be noted that when the reference identifier is the first public key itself, the SIDF device can only send the first public key to the user equipment.
  • OTP offline or online
  • the SIDF device may further send, to the user equipment, an encryption protocol supported by the first public key, so that the user equipment encrypts the user equipment information according to the first public key.
  • the SIDF device may simultaneously send the first public key to the user equipment when the first public key and the reference identifier for indexing the first public key are sent to the user equipment, so that the user equipment can be based on the first
  • the expiration date of the public key determines whether the first public key is in the validity period.
  • the period of use may be expressed by the date of manufacture and the expiration date of the first public key; or may be expressed by the date of manufacture and the period of expiration of the first public key.
  • the SIDF device After the SIDF device generates the N-pair public-private key pair, and the public key in each public-private key pair in the N-pair private key pair is assigned a reference identifier for indexing the public key,
  • the first public key is obtained from the N public-private key pairs, and the reference identifier is obtained from the N reference identifiers, and the first public key and the reference identifier are sent to the user equipment, so that the user equipment can use the first public key to identify the user identity information.
  • FIG. 8 is a schematic diagram of a public key management method provided by the present application.
  • the public key management method may include:
  • the SIDF device generates an N-pair public-private key pair.
  • the first public private key pair shown in the foregoing embodiment is any pair of N pairs of public and private key pairs, and N is an integer greater than 0.
  • the SIDF device sends a reference identifier request message to the public key management function device.
  • the reference identifier request message includes a public key in the N-pair public-private key pair, and the reference identifier request message is used to request the public key management function device to assign a reference identifier to the public key in the public-key pair.
  • the SIDF device After generating the N-pair public-private key pair, the SIDF device sends a reference identifier request message to the public key management function device, so that the public key management function device assigns a reference identifier to the public key in the public-key pair.
  • the public key management function device allocates N reference identifiers for the N public keys.
  • the N reference identifiers are used to index N public keys in a one-to-one correspondence. It should be noted that the reference identifier used for indexing the public key may be a pre-assigned number, which may be the geographic information implying the identity management network device, and may also be the public key itself.
  • the indication identifier indicates that the user identity information is encrypted, when the indication identifier is greater than 0, the user identity may be in an encrypted state. When the indication identifier is 0, the user identity information is in an unencrypted state.
  • the public key management function device sends N public keys and N reference identifiers to the SIDF device.
  • the public key management function device After the N key identifiers are assigned to the N public keys, the public key management function device sends N public keys and N reference identifiers to the SIDF device, so that the SIDF device acquires N public keys and N reference identifiers, and stores N. a mapping table between the public-private key pair and the N reference identifiers, so that after receiving the first user identity message, finding a corresponding first according to the reference identifier included in the first user identity message for indexing the first public key The private key, thereby decrypting the encrypted user identity information by the first private key.
  • the public key management function device obtains the first public key from the N public keys, and obtains a reference identifier for indexing the first public key from the N reference identifiers.
  • the public key management function device sends the first public key and the reference identifier to the user equipment.
  • the public key management function device can send the first public key and the reference identifier to the trusted storage environment on the user equipment in an offline or online (OTP) manner. It should be noted that when the reference identifier is the first public key itself, the SIDF device may only send the first public key to the user equipment.
  • OTP offline or online
  • the public key management function device may further send, to the user equipment, an encryption protocol supported by the first public key, and the user equipment encrypts the user equipment information according to the first public key according to the encryption protocol.
  • the public key management function device may obtain the first public key from the N public keys, and obtain a reference identifier for indexing the first public key from the N reference identifiers. And sending the first public key and the reference identifier to the user equipment, so that when the user equipment determines to encrypt the user identity information, the user identity information may be encrypted according to the first public key, and the user identity information is encrypted by using the reference identifier.
  • the first public key may be obtained from the N public keys, and obtain a reference identifier for indexing the first public key from the N reference identifiers.
  • the SIDF device generates an N-pair public-private key pair, and sends a reference identifier request message to the public key management function device, so that the public key management function device is a public key distribution in the N-pair public-private key pair.
  • the public key management function device may obtain the first public key from the N public keys, and obtain the first public key from the N reference identifiers.
  • Reference identifier and send the first public key to the user equipment and
  • the reference identifier is configured to enable the user equipment to encrypt the user identity information according to the first public key when determining the user identity information
  • the public key management function device sends the N public key and the N reference identifiers to the SIDF device. So that the SIDF device acquires N public keys and N reference identifiers, and stores a mapping table between the N public-private key pairs and the N reference identifiers, so that the SIDF device receives the third user identity message, according to the third
  • the reference identifier for indexing the first public key included in the user identity message finds the corresponding first private key, thereby decrypting the encrypted user identity information by using the first private key, thereby improving data decryption efficiency.
  • FIG. 9 is a schematic diagram of a public key management method provided by the present application.
  • the public key management method may include:
  • the public key management function device generates N public and private key pairs, and allocates N reference identifiers for the N public keys.
  • Each public-private key pair includes a public key and a private key, and the N public keys are public keys in N public-private key pairs.
  • the first public-private key pair shown in the foregoing embodiment is any one of N-pair public-private key pairs. Yes, N is an integer greater than zero.
  • the N reference identifiers are used to index N public keys in a one-to-one correspondence. It can be understood that the reference identifier can be a string, a number, or the like.
  • the public key assignment identifier may be 0-99; of course, the length of the reference identifier may also be limited, for example, the length is 6 bits or 8 bits or 15 or 100 bits, of course, according to the scale of the service. Make a decision.
  • the public key management function device sends the public key and the N reference identifiers in the N-pair public-private key pair to the SIDF device.
  • the reference identifier used to index the public key may be a pre-assigned number, which may be the geographic information of the identity management network device, or the public key itself.
  • the indication identifier when the indication identifier is a number greater than 0, it may indicate that the user identity is in an encrypted state, and when the indication flag is 0, it indicates that the user identity information is in an unencrypted state. For example, if the indication identifier is 1, the user identity is in an encrypted state; the indication identifier is 0, indicating that the user identity information is in an unencrypted state;
  • the indication identifier can be a preset character string.
  • the first preset string indicates that the user identity is in an encrypted state; and the second preset string identifies that the user identity is in an unencrypted state. It can be understood that the first preset character string is different from the second preset character string, and the present invention does not limit the format of the character string here.
  • the public key management function device After the N key identifiers are assigned to the N public keys, the public key management function device sends N public keys and N reference identifiers to the SIDF device, so that the SIDF device acquires N public keys and N reference identifiers, and stores N. a mapping table between the public-private key pair and the N reference identifiers, so that after receiving the first user identity message, finding a corresponding first according to the reference identifier included in the first user identity message for indexing the first public key The private key, thereby decrypting the encrypted user identity information by the first private key.
  • the public key management function device obtains a first public key from the N public keys, and obtains a reference identifier used to index the first public key from the N reference identifiers.
  • the public key management function device sends the first public key and the reference identifier to the user equipment.
  • the public key management function device can send the first public key and the reference identifier to the trusted storage environment on the user equipment in an offline or online (OTP) manner.
  • OTP offline or online
  • the SIDF device may send the first public key to the user equipment.
  • the public key management function device may further send, to the user equipment, an encryption protocol supported by the first public key, and the user equipment encrypts the user equipment information according to the first public key according to the encryption protocol.
  • the public key management function device may obtain the first public key from the N public keys, and obtain a reference identifier for indexing the first public key from the N reference identifiers. And sending, to the user equipment, the first public key and the reference identifier, so that the user equipment can perform the encryption according to the first public key when determining to encrypt the user identity information.
  • the user identity information is encrypted, and the first public key used to encrypt the user identity information is indicated by a reference identifier. It should be noted that, in the application embodiment, there is no order between S902 and S903.
  • the public key management function device generates N public and private key pairs, and allocates N reference identifiers for the N public keys, and after assigning N reference identifiers to the N public keys, Obtaining a first public key from the N public keys, and obtaining a reference identifier for indexing the first public key from the N reference identifiers; and sending the first public key and the reference identifier to the user equipment, so that the user equipment determines
  • the public key management function device sends the public-private key and the N reference identifiers in the N-pair public-private key pair to the SIDF device, so that the SIDF device is enabled.
  • the SIDF device or the public key management function device obtains the first public key from the N public-private key pairs, and after the reference identifier, in order to perform the subsequent decryption process (as shown in FIG. In the embodiment shown in 2), the AUSF device can be made to find the SIDF device for decrypting the first private key, and the AMF device can find the first public key to drink the AUSF device, and the following S905 and S906 can be performed. .
  • the SIDF device sends a mapping table between the identifier information of the SIDF device and the N reference identifiers to the AUSF device.
  • the identification information of the SIDF device may be the geographical information of the SIDF device or the name information of the SIDF device, and the SIDF device may be found according to the identification information of the SIDF device.
  • the SIDF device sends a mapping table between the identification information of the SIDF device and the N reference identifiers to the AUSF device, so that the AUSF device acquires and stores a mapping table between the identification information of the SIDF device and the N reference identifiers, so that the AUSF device is in the
  • After receiving the second user identity information of the user equipment sending the second user identity information of the user equipment to the SIDF device according to the mapping table between the identifier information of the SIDF device and the N reference identifiers, which are stored in advance, to pass the SIDF device. Decrypt the encrypted user identity information.
  • the SIDF device only needs to send N reference identifiers to the AUSF device without sending the identification information of the SIDF device.
  • the reference identifier is the area information of the SIDF device and the SIDF device
  • the SIDF device only needs to send the N reference identifiers to the AUSF device, and the identifier information of the SIDF device does not need to be sent, and the AUSF device can obtain the regional information according to the SIDF device. Find the SIDF device.
  • the AUSF device sends a mapping table between the identification information of the AUSF device and the N reference identifiers to the AMF device.
  • the information of the AUSF device can be the local information of the AUSF device or the name of the AUSF device. You can find the AUSF device based on the identification information of the AUSF device.
  • the AUSF device sends a mapping table between the identifier information of the AUSF device and the N reference identifiers to the AMF device, so that the AMF device obtains and stores a mapping table between the identifier information of the AUSF device and the N reference identifiers, so that the AMF device is in the AMF device.
  • the first user identity information of the user equipment is sent to the AUSF device according to the mapping table between the identifier information of the AUSF device and the N reference identifiers stored in advance.
  • the AUSF device when an AUSF device is included in the communication system, the AUSF device only needs to send N reference identifiers to the AMF device, and does not need to send the identifier information of the AUSF device.
  • the reference identifier is the area information of the AUSF device and the AUSF device
  • the AUSF device only needs to send the N reference identifiers to the AMF device, and the identifier information of the AUSF device does not need to be sent, and the AMF device can be based on the regional information of the AUSF device. Find the AUSF device.
  • the public key management method provided by the embodiment of the present application sends a mapping table between the identifier information of the SIDF device and the N reference identifiers to the AUSF device, and the AUSF device sends the identifier information of the AUSF device and the N reference identifiers to the AMF device.
  • the mapping table is configured to enable the user equipment to encrypt the user identity information according to the first public key, and after the first user identity message is sent to the AMF device, the AMF device may use the identifier information of the AUSF device and the N reference stored in advance.
  • the mapping table between the identifiers sends the first user identity information of the user equipment to the AUSF device, so that the AUSF device can set the user equipment according to the mapping table between the identification information of the SIDF device and the N reference identifiers stored in advance.
  • the two user identity information is sent to the SIDF device to decrypt the encrypted user identity information by the SIDF device, thereby improving data decryption efficiency.
  • FIG. 10 is a first schematic diagram of a public key management apparatus 100 provided by the present application.
  • the public key management apparatus 100 may include:
  • the encryption unit 1001 is configured to encrypt user identity information according to the first public key.
  • the sending unit 1002 is configured to send a first user identity message to the first network device, where the first user identity message user identity information is used to indicate whether the encrypted identifier is used and the reference identifier used to index the first public key,
  • the first network device is caused to process the first user identity message according to the indication identifier and the reference identifier.
  • the encryption unit 1001 is further configured to determine whether to encrypt the user identity information.
  • the sending unit 1002 is further configured to: when it is determined that the user identity information is not encrypted, the user equipment sends the second user identity message to the first network device; the second user identity message includes the unencrypted user identity information and the indication identifier.
  • the public key management apparatus 100 further includes a determining unit 1003.
  • FIG. 11 is a schematic diagram 2 of a public key management apparatus 100 provided by the present application.
  • the determining unit 1003 is configured to determine whether the first public key is in a valid period.
  • the encryption unit 1001 is specifically configured to encrypt the user identity information according to the first public key when the first public key is in the validity period.
  • FIG. 12 is a schematic diagram 3 of a public key management apparatus 120 provided by the present application.
  • the public key management apparatus 120 may include:
  • the receiving unit 1201 is configured to receive a first user identity message sent by the user equipment, where the first user identity is The information includes user identity information, an indication identifier for indicating whether to encrypt, and a reference identifier for indexing the first public key.
  • the sending unit 1202 is configured to: if the indication identifier indicates that the user identity information is in an encrypted state, send a third user identity message to the second network device according to the reference identifier; where the third user identity message includes the user identity information and the reference identifier, so that The second network device processes the user identity information according to the reference identifier.
  • the sending unit 1202 is specifically configured to send, by using the reference identifier, the first user identity message to the third network device, to enable the third network device to send, to the second network device, when the indication identifier indicates that the user identity information is in an encrypted state.
  • Third user identity message is specifically configured to send, by using the reference identifier, the first user identity message to the third network device, to enable the third network device to send, to the second network device, when the indication identifier indicates that the user identity information is in an encrypted state.
  • Third user identity message is specifically configured to send, by using the reference identifier, the first user identity message to the third network device, to enable the third network device to send, to the second network device, when the indication identifier indicates that the user identity information is in an encrypted state.
  • the sending unit 1202 is configured to determine, according to the reference identifier, the identifier information of the second network device corresponding to the first public key, and send the third user identity message to the second network device according to the identifier information of the second network device. .
  • the key management device 120 may further include an encryption unit 1203 and a comparison unit 1204, see the figure.
  • the public key management apparatus 120 may include:
  • the receiving unit 1201 is further configured to receive a fourth identity message sent by the second network device.
  • the fourth user identity message includes the decrypted user identity information and the first public key.
  • the encryption unit 1203 is configured to encrypt the decrypted user identity information by using the first public key to generate user identity information to be verified.
  • the comparing unit 1204 is configured to compare the user identity information to be verified with the user identity information.
  • the sending unit 1202 is further configured to: if the user identity information to be verified is the same as the user identity information, send the indication information to the third network device, where the indication message includes the decrypted user identity information, where the indication information is used to indicate the third network device pair The decrypted user identity information is processed.
  • the receiving unit 1201 is specifically configured to receive a fourth user identity message that is forwarded by the third network device.
  • the key management device 120 may further include a determining unit 1205.
  • the receiving unit 1201 is further configured to receive a mapping table between the identifier information of the second network device sent by the second network device and the N reference identifiers; the N reference identifiers are used to index the N public keys in a one-to-one correspondence, first
  • the public key pair is any one of N public keys, and N is an integer greater than zero.
  • the determining unit 1205 is configured to determine, according to the reference identifier, identifier information of the second network device corresponding to the first public key, where the determining unit 1205 is further configured to perform mapping according to the identifier information of the second network device and the N reference identifiers The table determines the identifier information of the second network device corresponding to the first public key.
  • FIG. 14 is a schematic diagram 5 of a public key management apparatus 140 provided by the present application.
  • the public key management apparatus 140 may include:
  • the receiving unit 1401 is configured to receive a third user identity message sent by the first network device, where the third user identity message includes user identity information, and a reference identifier used to index the first public key.
  • the determining unit 1402 is configured to determine, according to the reference identifier, a first private key corresponding to the first public key; the first public key and the first private key are first public-private key pairs.
  • the decrypting unit 1403 is configured to decrypt the user identity information according to the first private key, and obtain the decrypted user identity. Information.
  • the sending unit 1404 is configured to send the decrypted user identity information to the third network device, so that the third network device processes the decrypted user identity information.
  • the receiving unit 1401 is specifically configured to receive a third user identity message that is forwarded by the third network device.
  • the key management device 140 may further include a determining unit 1405. Referring to FIG. 15, FIG. 15 is a schematic diagram 6 of a public key management apparatus 140 provided by the present application.
  • the determining unit 1405 is configured to determine whether the first public key is in a valid period
  • the determining unit 1402 is specifically configured to determine, according to the reference identifier, the first private key corresponding to the first public key when the first public key is in the validity period.
  • the key management device 140 may further include:
  • the obtaining unit 1406 is configured to obtain an N-pair public-private key pair and N reference identifiers, where the N reference identifiers are used to index N public-private key pairs in a one-to-one correspondence, and the first public-private key pair is any one of N-pair public-private key pairs. Yes, N is an integer greater than zero.
  • the obtaining unit 1406 is specifically configured to generate an N-pair public-private key pair, and assign a reference identifier to the public key in the N-pair public-private key pair.
  • the obtaining unit 1406 is specifically configured to generate an N-pair public-private key pair.
  • the sending unit 1404 is further configured to send a reference identifier request message to the fourth network device, where the reference identifier request message includes a public key in the N-pair public-private key pair. And the reference identifier request message is used to request the fourth network device to allocate a reference identifier for the public key in the N pair public-private key pair;
  • the receiving unit 1401 is further configured to receive a public key and N reference identifiers in the N pairs of public and private key pairs sent by the fourth network device.
  • the receiving unit 1401 is further configured to receive an N-pair public-private key pair and N reference identifiers sent by the fourth network device.
  • the obtaining unit 1406 is further configured to obtain the first public key from the N public-private key pairs, and obtain the reference identifier from the N reference identifiers.
  • the sending unit 1404 is further configured to send the first public key and the reference identifier to the user equipment.
  • the sending unit 1404 is further configured to send a fourth user identity message to the first network device, where the fourth user identity message includes the decrypted user identity information and the first public key, so that the first network device is configured according to the first The first public key processes the fourth user identity message.
  • the sending unit 1404 is further configured to forward, by using the third network device, the fourth user identity message to the first network device.
  • the sending unit 1404 is further configured to: when the first public key is not in the validity period, send a public key update request message to the user equipment, where the public key update request message is used to instruct the user equipment to update the first public key.
  • the sending unit 1404 is further configured to send, to the first network device, a mapping table between the identifier information of the second network device and the N reference identifiers; the N reference identifiers are used to index the N public keys in a one-to-one correspondence
  • the first public key pair is any one of N public keys, and N is an integer greater than 0.
  • the receiving unit 1401 is configured to receive, by the first network device, a third user identity message according to a mapping table between the identifier information of the second network device and the N reference identifiers.
  • FIG. 16 is a schematic diagram VII of a public key management apparatus 160 provided by the present application.
  • the public key management apparatus 160 may include:
  • the receiving unit 1601 is configured to receive a first user identity message sent by the first network device, where the first user identity message includes user identity information, an indication identifier used to indicate whether to encrypt, and a reference identifier used to index the first public key. .
  • the determining unit 1602 is configured to determine, according to the reference identifier, identifier information of the second network device corresponding to the reference identifier, if the indication identifier indicates that the user identity information is in an encrypted state.
  • the sending unit 1603 is configured to send, according to the identifier information of the second network device, a third user identity message to the second network device, where the third user identity message includes using the user identity information, and a reference identifier used to index the first public key. So that the second network device processes the third user identity message according to the reference identifier.
  • the receiving unit 1601 is further configured to receive a fourth user identity message sent by the second network device, where the fourth user identity message includes the decrypted user identity information and the first public key;
  • the sending unit 1603 is further configured to send a fourth user identity message to the first network device, so that the first network device processes the fourth user identity message according to the first public key.
  • the receiving unit 1601 is further configured to receive the indication information sent by the first network device, where the indication message includes the decrypted user identity information, where the indication information is used to instruct the third network device to process the decrypted user identity information.
  • the receiving unit 1601 is further configured to receive a mapping table between the identifier information of the second network device and the N reference identifiers sent by the second network device, where the N reference identifiers are used to index N public one-to-one correspondences.
  • the first public key pair is any one of N public keys, and N is an integer greater than 0;
  • the determining unit 1602 is specifically configured to determine, according to a mapping table between the identifier information of the second network device and the N reference identifiers, identifier information of the second network device corresponding to the reference identifier.
  • the sending unit 1603 is further configured to send, to the first network device, a mapping table between the identifier information of the third network device and the N reference identifiers;
  • the receiving unit 1601 is specifically configured to receive a first user identity message of the user equipment that is forwarded by the first network device according to the mapping table between the identifier information of the third network device and the N reference identifiers.
  • FIG. 17 is a schematic diagram of a public key management apparatus 170 provided by the present application.
  • the public key management apparatus 170 may include:
  • the obtaining unit 1701 is configured to acquire N public keys, where N is an integer greater than 0.
  • the allocating unit 1702 is configured to allocate N reference identifiers for the N public keys, and the N reference identifiers are used to index the N public keys in a one-to-one correspondence.
  • the sending unit 1703 is configured to send, by the second network device, N public keys and N reference identifiers, so that the second network device acquires N public keys and N reference identifiers.
  • the obtaining unit 1701 is specifically configured to generate N public-private key pairs, where each public-private key pair includes a public key and a private key.
  • N public keys are public keys in N public-private key pairs
  • the sending unit 1703 is further configured to send N public-private key pairs and N reference identifiers to the second network device.
  • the receiving unit is further configured to receive a reference identifier request message sent by the second network device, where the reference identifier request message includes a public key in the N-pair public-private key pair, and the reference identifier request message is used to request the fourth network device to be the N Public and private The public key in the key pair is assigned a reference identifier.
  • the obtaining unit 1701 is further configured to obtain a first public key from the N public keys, and obtain a reference identifier used to obtain the first public key from the N reference identifiers.
  • the sending unit 1703 is further configured to send the first public key and the reference identifier to the user equipment.
  • FIG. 18 is a block diagram of a device 180 provided by the present application.
  • the device 180 includes a processor 1801 and a memory 1802.
  • the memory 1802 is configured to store instructions, and the processor 1801 is configured to execute instructions stored in the memory 1802.
  • the apparatus 180 is configured to perform the method as described in any of the above embodiments of FIG. 2-9. Methods.
  • the processor 1801 may be a central processing unit (CPU), or may be another general-purpose processor 1801, a digital signal processor (1801), or an application-specific integrated circuit (Application Specific Integrated). Circuit, ASIC), etc.
  • the general purpose processor 1801 may be the microprocessor 1801 or the processor 1801 may be any conventional processor 1801 or the like. The steps of the method disclosed in connection with the present application may be directly embodied by the completion of the hardware processor 1801 or by a combination of hardware and software modules in the processor 1801.
  • All or part of the steps of implementing the above method embodiments may be performed by hardware associated with the program instructions.
  • the aforementioned program can be stored in a readable memory 1802.
  • the program when executed, performs the steps including the foregoing method embodiments; and the foregoing memory 1802 (storage medium) includes: a read-only memory (ROM), a RAM, a flash memory 1802, a hard disk, and a solid state. Hard disk, magnetic tape, floppy disk, optical disc, and any combination thereof.
  • the application also provides a readable storage medium in which instructions are stored in a readable storage medium.
  • the user equipment When the at least one processor of the user equipment executes the instruction, the user equipment performs the key management method provided in the method embodiments of Figures 2-9 above.
  • the application further provides a readable storage medium, where the readable storage medium stores instructions, when the at least one processor of the network device executes the instruction, the network device executes the key provided in the foregoing method embodiment of FIG. 2-9 Management method.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本申请提供一种秘钥管理方法和装置，该秘钥管理方法包括：用户设备根据第一公钥对用户身份信息进行加密；用户设备向第一网络设备发送第一用户身份消息；其中，第一用户身份消息包括用户身份信息，用于表示是否加密的指示标识及用于索引第一公钥的参考标识，并通过第一网络设备向第二网络设备发送包括用户身份信息及用于索引第一公钥的参考标识的第三用户身份消息，使得第二网络设备在接收到该第≡用户身份消息时，可以根据预先存储的公私钥对及参考标识之间的硖射表，确定第一公钥对应的第一私钥，从而通过该第一私钥对加密的用户身份信息迸行解密，提高了数据的解密效率。

Description

秘钥管理方法和装置 技术领域
本申请涉及通信技术领域， 尤其涉及一种秘钥管理方法和装置。 背景技术
为了提高用户身份信息的安全性， 在发送用户身份信息之前， 通常使用家乡网络的公 钥对用户身份信息进行加密， 从而发送加密的用户身份信息。
现有的公钥加密系统可以包括用户设备、接入与移动性管理功能（Access and Mobility
Function, AMF) 设备、 认证单元功能 (Authentication Unit Function, AUSF) 设备及认证 信息功能（Authentication Repository Function， ARPF)设备， 用户设备在发送用户永久身 份 （ Subscriber Permnent Information (SUPI) ) 信息之前， 先使用公钥对用户身份信息进 行加密处理，并将加密的用户身份信息发送给存放所述公钥对应的私钥的 AMF设备， AMF 设备在接收到加密的用户身份信息之后， 将加密的用户身份信息发送至 AUSF设备， 使得 AUSF或者其它解密设备使用该公钥对应的私钥对加密的用户身份信息进行解密， 从而得 到解密后的用户身份信息， 再将得到的用户身份信息发送给 ARPF设备， 以根据用户身份 信息进行认证。
然而， 在现有的网络系统中， 任何一个用于加解密的公私钥对都是有生命周期的， 在 一个公私钥对的生命周期结束前， 新的公私钥对分发需要一个过程， 因此， 现有的公钥加 密系统同时允许至少一套公私钥对用户身份信息进行加解密操作， 当存在至少一套公私钥 对时， AUSF设备无法确定用户设备使用哪个公私钥对中的公钥对用户身份信息进行加密， 从而无法确定使用哪个公私钥对中的私钥对加密的用户身份信息进行解密， 从而降低了数 据的解密效率。 发明内容
本申请涉及一种秘钥管理方法和装置， 以提高数据的解密效率。
第一方面， 本申请实施例提供一种秘钥管理方法， 该秘钥管理方法可以包括： 用户设备根据第一公钥对用户身份信息进行加密；
用户设备向第一网络设备发送第一用户身份消息； 其中， 第一用户身份消息包括用户 身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识， 以使得第一网 络设备根据指示标识和参考标识对第一用户身份消息进行处理。
可以理解的是， 第一公钥可以预存的， 也可以是使用时临时获取的。
可以理解的是， 用户设备中存储有很多公钥， 用哪个公钥加密， 就需用使用参考标识 进行标识。 可以说， 公钥和参考标识是一一对应的关系； 比如有 100个公钥， 那么参考标 识的取值范围就是 0-99。 当然， 参考标识还可以是截取的部分公钥， 还可以是公钥某些位 上的值的组合。 比如公钥长度为 50位， 那么参考标识可以是第 1， 2， 4， 8， 16， 32上值 的组合。
其中， 需要指出的是， 虽然第一用户身份消息中包括三个参数， 但是可以用两个值来 表示， 第一个值为用户身份信息， 第二个值可以表示参考标识， 也可以表示指示标识。
举例来说， 比如指示标识为 0， 表示用户身份信息没有被加密， 那么参考标识此时也 为 0， 表示公钥的标识空。 比如指示标识为非 0的数值 （比如大于 0的值） ， 非 0的数值 表示用户身份信息被加密， 那么该非 0数值可以表示用于加密的公钥的索引。 比如该非 0 数值是 100， 那么标识该用户标识被加密， 用于加密的公钥的参考标识为 100。
另外， 需要指出的是， 第一用户身份消息中包括三个参数， 可以用三个值来表示， 第 一个值为用户身份信息， 第二标识表示指示标识， 第三个值可以表示参考标识。 本发明在 此不做限制。 由此可见， 本申请实施例提供的公钥管理方法， 用户设备根据第一公钥对用户身份信 息进行加密， 并通过第一网络设备向第二网络设备发送包括加密的用户身份信息及用于索 引第一公钥的参考标识的第三用户身份消息， 使得第二网络设备在接收到该第三用户身份 消息时， 可以根据预先存储的公私钥对及参考标识之间的映射表， 确定第一公钥对应的第 一私钥， 从而通过该第一私钥对加密的用户身份信息进行解密， 从而提高了数据的解密效 率。
在一种可能的实现方式中， 用户设备根据第一公钥对用户身份信息进行加密之前， 该 方法还可以包括：
用户设备确定是否对用户身份信息进行加密；
当确定不对用户身份信息进行加密时， 用户设备向第一网络设备发送第二用户身份消 息； 第二用户身份消息包括未加密的用户身份信息以及指示标识。
在一种可能的实现方式中， 用户设备根据第一公钥对用户身份信息进行加密之前， 还 可以包括：
用户设备判断第一公钥是否处于有效期；
用户设备根据第一公钥对用户身份信息进行加密， 包括：
当第一公钥处于有效期时， 用户设备根据第一公钥对用户身份信息进行加密， 从而提 高了用户身份信息的安全性。
可以理解的是， 每个公钥都有对应的生成日期和失效日期， 可以比较当前日期和失效 日期确定该公钥是否位于有效期。
在一种可能的实现方式中， 指示标识为 0时， 表示用户身份信息处于未加密状态。 可选的， 指示标识可以用数字表示， 也可以用字符串表示。 用不同的数字或字符串区 分是否处于加密状态即可。 比如 0表示用户身份信息处于未加密状态； 1表示用户身份信 息处于加密状态； 反之亦可。
第二方面， 本申请实施例提供一种秘钥管理方法， 该方法可以包括：
第一网络设备接收用户设备发送的第一用户身份消息； 其中， 第一用户身份消息包括 用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识；
若指示标识表示用户身份信息处于加密状态， 则第一网络设备根据参考标识向第二网 络设备发送第三用户身份消息； 其中， 第三用户身份消息包括用户身份信息和参考标识， 以使第二网络设备根据参考标识对用户身份信息进行处理。
由此可见， 第一网络设备在接收到用户设备发送的第一用户身份消息之后， 向第二网 络设备发送包括加密的用户身份信息及用于索引第一公钥的参考标识的第三用户身份消 息， 使得第二网络设备在接收到该第三用户身份消息时， 可以根据预先存储的公私钥对及 参考标识之间的映射表， 确定第一公钥对应的第一私钥， 从而通过该第一私钥对加密的用 户身份信息进行解密， 从而提高了数据的解密效率。
在一种可能的实现方式中， 第一网络设备根据参考标识向第二网络设备发送第三用户 身份消息， 可以包括：
第一网络设备根据参考标识向第三网络设备发送第一用户身份消息； 以使第三网络设 备在指示标识表示用户身份信息处于加密状态时， 向第二网络设备发送第三用户身份消息 在一种可能的实现方式中， 第一网络设备根据参考标识向第二网络设备发送第三用户 身份消息， 可以包括：
第一网络设备根据参考标识确定第一公钥对应的第二网络设备的标识信息； 第一网络设备根据第二网络设备的标识信息， 向第二网络设备发送第三用户身份消息 在一种可能的实现方式中， 该方法还可以包括：
第一网络设备接收第二网络设备发送的第四身份消息； 第四用户身份消息包括解密后 的用户身份信息和第一公钥；
第一网络设备利用第一公钥对解密后的用户身份信息进行加密， 以生成需验证的用户 身份信息；
第一网络设备将需验证的用户身份信息与用户身份信息进行比较；
若需验证的用户身份信息与用户身份信息相同， 则第一网络设备向第三网络设备发送 指示信息， 指示消息包括解密后的用户身份信息， 指示信息用于指示第三网络设备对解密 后的用户身份信息进行处理。
由此可见， 第一网络设备通过将需验证的用户身份信息与加密的用户身份信息进行比 较， 从而根据比较结果确定是否对用户身份信息进行注册和认证， 进而满足了合法监听对 加密身份验证的需求。
在一种可能的实现方式中， 第一网络设备接收第二网络设备的第四用户身份信息， 可 以包括：
第一网络设备接收通过第三网络设备转发的第四用户身份消息。
在一种可能的实现方式中， 第一网络设备根据参考标识确定第一公钥对应的第二网络 设备的标识信息之前， 还可以包括：
第一网络设备接收第二网络设备发送的第二网络设备的标识信息与 N个参考标识之间 的映射表； N个参考标识用于一一对应地索引 N个公钥，第一公钥对为 N个公钥中的任一 个， N为大于 0的整数；
第一网络设备根据参考标识确定第一公钥对应的第二网络设备的标识信息， 包括： 第一网络设备根据第二网络设备的标识信息与 N个参考标识之间的映射表，确定第一 公钥对应的第二网络设备的标识信息。
第三方面， 本申请实施例提供一种秘钥管理方法， 该方法可以包括： 第二网络设备接收第一网络设备发送的第三用户身份消息； 其中， 第三用户身份消息 包括用户身份信息， 及用于索引第一公钥的参考标识；
第二网络设备根据参考标识确定第一公钥对应的第一私钥； 第一公钥和第一私钥为第 一公私钥对；
第二网络设备根据第一私钥对用户身份信息进行解密， 获取解密后的用户身份信息； 第二网络设备向第三网络设备发送解密后的用户身份信息， 以使第三网络设备对解密 后的用户身份信息进行处理。
由此可见， 第二网络设备在接收到包括加密的用户身份信息及用于索引第一公钥的参 考标识的第三用户身份消息， 可以根据预先存储的公私钥对及参考标识之间的映射表， 确 定第一公钥对应的第一私钥， 从而通过该第一私钥对加密的用户身份信息进行解密， 从而 提高了数据的解密效率。
在一种可能的实现方式中， 第二网络设备接收第一网络设备发送的第三用户身份消息， 可以包括：
第二网络设备接收通过第三网络设备转发的第三用户身份消息。
在一种可能的实现方式中， 第二网络设备根据参考标识确定第一公钥对应的第一私钥 之前， 还可以包括：
第二网络设备判断第一公钥是否处于有效期；
第二网络设备根据参考标识确定第一公钥对应的第一私钥， 包括：
当第一公钥处于有效期时， 第二网络设备根据参考标识确定第一公钥对应的第一私钥。 由此可见， 通过判断第一公钥是否处于有效期， 当第一公钥处于有效期时， 第二网络 设备根据参考标识确定第一公钥对应的第一私钥， 从而提高了数据的解密效率。
在一种可能的实现方式中， 第二网络设备接收第一网络设备发送的第三用户身份消息 之前， 还可以包括：
第二网络设备获取 N对公私钥对及 N个参考标识， N个参考标识用于一一对应地索引 N个公私钥对， 第一公私钥对为 N对公私钥对中的任一对， N为大于 0的整数。
在一种可能的实现方式中，第二网络设备获取 N对公私钥对及 N个参考标识，可以包 括- 第二网络设备生成 N对公私钥对；
第二网络设备为 N对公私钥对中的公钥分配参考标识。
在一种可能的实现方式中，第二网络设备获取 N对公私钥对及 N个参考标识，可以包 括- 第二网络设备生成 N对公私钥对；
第二网络设备向第四网络设备发送参考标识请求消息，参考标识请求消息包括 N对公 私钥对中的公钥，参考标识请求消息用于请求第四网络设备为 N对公私钥对中的公钥分配 参考标识；
第二网络设备接收第四网络设备发送的 N对公私钥对中的公钥及 N个参考标识。
在一种可能的实现方式中，第二网络设备获取 N对公私钥对及 N个参考标识，可以包 括- 第二网络设备接收第四网络设备发送的 N对公私钥对及 N个参考标识。 在一种可能的实现方式中， 第二网络设备接收第一网络设备发送的第三用户身份消息 之前， 还可以包括：
第二网络设备从 N个公私钥对中获取第一公钥，以及从 N个参考标识中获取参考标识; 第二网络设备向用户设备发送第一公钥及参考标识。
在一种可能的实现方式中， 第二网络设备根据第一私钥对用户身份信息进行解密， 获 取解密后的用户身份信息之后， 还可以包括：
第二网络设备向第一网络设备发送第四用户身份消息； 其中， 第四用户身份消息包括 解密后的用户身份信息和第一公钥， 以使第一网络设备根据第一公钥对第四用户身份消息 进行处理。
在一种可能的实现方式中， 第二网络设备向第一网络设备发送第四用户身份消息， 可 以包括：
第二网络设备通过第三网络设备向第一网络设备转发第四用户身份消息。
在一种可能的实现方式中， 还可以包括：
当第一公钥不处于有效期时， 则第二网络设备向用户设备发送公钥更新请求消息， 公 钥更新请求消息用于指示用户设备更新第一公钥， 以通过有效的公钥对用户身份信息进行 加密， 从而提高了数据的安全性。
在一种可能的实现方式中， 第二网络设备接收第一网络设备发送的第三用户身份消息 之前， 还可以包括：
第二网络设备向第一网络设备发送第二网络设备的标识信息与 N个参考标识之间的映 射表； N个参考标识用于一一对应地索引 N个公钥， 第一公钥对为 N个公钥中的任一个， N为大于 0的整数；
第二网络设备接收第一网络设备发送的第三用户身份消息， 可以包括：
第二网络设备接收第一网络设备根据第二网络设备的标识信息与 N个参考标识之间的 映射表发送第三用户身份消息。
第四方面， 本申请实施例提供一种秘钥管理方法， 该方法可以包括：
第三网络设备接收第一网络设备发送的第一用户身份消息； 其中， 第一用户身份消息 包括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识；
若指示标识表示用户身份信息处于加密状态， 则第三网络设备根据参考标识确定参考 标识对应的第二网络设备的标识信息；
第三网络设备根据第二网络设备的标识信息， 向第二网络设备发送第三用户身份消息 第三用户身份消息包括使用用户身份信息， 及用于索引第一公钥的参考标识； 以使第二网 络设备根据参考标识对第三用户身份消息进行处理。
由此可见， 第三网络设备在接收到用户设备发送的第一用户身份消息之后， 向第二网 络设备发送包括加密的用户身份信息及用于索引第一公钥的参考标识的第三用户身份消 息， 使得第二网络设备在接收到该第三用户身份消息时， 可以根据预先存储的公私钥对及 参考标识之间的映射表， 确定第一公钥对应的第一私钥， 从而通过该第一私钥对加密的用 户身份信息进行解密， 从而提高了数据的解密效率。
在一种可能的实现方式中， 方法还包括：
第三网络设备接收第二网络设备发送的第四用户身份消息， 其中， 第四用户身份消息 包括解密后的用户身份信息和第一公钥；
第三网络设备向第一网络设备发送第四用户身份消息， 以使第一网络设备根据第一公 钥对第四用户身份消息进行处理。
在一种可能的实现方式中， 第三网络设备向第一网络设备发送第四用户身份消息之后， 还包括：
第三网络设备接收第一网络设备发送的指示信息； 指示消息包括解密后的用户身份信 息， 指示信息用于指示第三网络设备对解密后的用户身份信息进行处理。
在一种可能的实现方式中， 第三网络设备根据参考标识确定参考标识对应的第二网络 设备的标识信息之前， 还可以包括：
第三网络设备接收第二网络设备发送的第二网络设备的标识信息与 N个参考标识之间 的映射表； N个参考标识用于一一对应地索引 N个公钥，第一公钥对为 N个公钥中的任一 个， N为大于 0的整数；
第三网络设备根据参考标识确定参考标识对应的第二网络设备的标识信息， 包括： 第三网络设备根据第二网络设备的标识信息与 N个参考标识之间的映射表，确定参考 标识对应的第二网络设备的标识信息。
在一种可能的实现方式中， 第三网络设备接收第二网络设备发送的第二网络设备的标 识信息与 N个参考标识之间的映射表之后， 还可以包括：
第三网络设备向第一网络设备发送第三网络设备的标识信息与 N个参考标识之间的映 射表；
第三网络设备接收第一网络设备发送的第一用户身份消息， 包括：
第三网络设备接收第一网络设备根据第三网络设备的标识信息与 N个参考标识之间的 映射表转发的用户设备的第一用户身份消息。
第五方面， 本申请实施例提供一种秘钥管理方法， 该方法可以包括：
第四网络设备获取 N个公钥， N为大于 0的整数；
第四网络设备为 N个公钥分配 N个参考标识， N个参考标识用于一一对应地索引 N 个公钥；
第四网络设备向第二网络设备发送 N个公钥和 N个参考标识，以使第二网络设备获取 N个公钥和 N个参考标识。
由此可见，第四网络设备通过向第二网络设备发送 N个公钥和 N个参考标识，使得第 二网络设备在接收到该第三用户身份消息时， 可以根据参考标识确定第一公钥对应的第一 私钥，从而通过该第一私钥对加密的用户身份信息进行解密，从而提高了数据的解密效率。
在一种可能的实现方式中， 第四网络设备获取 N个公钥， 可以包括：
第四网络设备生成 N个公私钥对，每个公私钥对包括公钥和私钥， N个公钥为 N个公 私钥对中的公钥；
第四网络设备向第二网络设备发送 N个公钥和 N个参考标识， 包括：
第四网络设备向第二网络设备发送 N个公私钥对及 N个参考标识。
在一种可能的实现方式中， 第四网络设备获取 N个公钥， 可以包括：
第四网络设备接收第二网络设备发送的参考标识请求消息， 参考标识请求消息包括 N 对公私钥对中的公钥，参考标识请求消息用于请求第四网络设备为 N对公私钥对中的公钥 分配参考标识。
在一种可能的实现方式中， 该方法还可以包括：
第四网络设备从 N个公钥中获取第一公钥，以及从 N个参考标识中获取用于索引第一 公钥的参考标识；
第四网络设备向用户设备发送第一公钥及参考标识。
第六方面， 本申请实施例提供一种秘钥管理装置， 该装置可以包括：
加密单元， 用于根据第一公钥对用户身份信息进行加密；
发送单元， 用于向第一网络设备发送第一用户身份消息； 其中， 第一用户身份消息包 括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识， 以使得 第一网络设备根据指示标识和参考标识对第一用户身份消息进行处理。
在一种可能的实现方式中， 加密单元， 还用于确定是否对用户身份信息进行加密； 发送单元， 还用于当确定不对用户身份信息进行加密时， 用户设备向第一网络设备发 送第二用户身份消息； 第二用户身份消息包括未加密的用户身份信息以及指示标识。
在一种可能的实现方式中， 该装置还可以包括：
判断单元， 用于判断第一公钥是否处于有效期；
加密单元， 具体用于当第一公钥处于有效期时， 根据第一公钥对用户身份信息进行加 密。
本实施例提供的秘钥管理装置中的各个单元的实现原理和有益效果可参照第一方面 提供的秘钥管理方法的实施例， 此处不再赘述。
第七方面， 本申请实施例提供一种秘钥管理装置， 该装置可以包括：
接收单元， 用于接收用户设备发送的第一用户身份消息； 其中， 第一用户身份消息包 括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识；
发送单元， 用于若指示标识表示用户身份信息处于加密状态， 则根据参考标识向第二 网络设备发送第三用户身份消息；其中，第三用户身份消息包括用户身份信息和参考标识， 以使第二网络设备根据参考标识对用户身份信息进行处理。
在一种可能的实现方式中， 发送单元， 具体用于根据参考标识向第三网络设备发送第 一用户身份消息； 以使第三网络设备在指示标识表示用户身份信息处于加密状态时， 向第 二网络设备发送第三用户身份消息。
在一种可能的实现方式中， 发送单元， 具体用于根据参考标识确定第一公钥对应的第 二网络设备的标识信息； 并根据第二网络设备的标识信息， 向第二网络设备发送第三用户 身份消息。
在一种可能的实现方式中， 该装置还可以包括：
接收单元， 还用于接收第二网络设备发送的第四身份消息； 第四用户身份消息包括解 密后的用户身份信息和第一公钥；
加密单元， 用于利用第一公钥对解密后的用户身份信息进行加密， 以生成需验证的用 户身份信息；
比较单元， 用于将需验证的用户身份信息与用户身份信息进行比较；
发送单元， 还用于若需验证的用户身份信息与用户身份信息相同， 则向第三网络设备 发送指示信息， 指示消息包括解密后的用户身份信息， 指示信息用于指示第三网络设备对 解密后的用户身份信息进行处理。
在一种可能的实现方式中， 接收单元， 具体用于接收通过第三网络设备转发的第四用 户身份消息。
在一种可能的实现方式中， 还可以包括：
接收单元，还用于接收第二网络设备发送的第二网络设备的标识信息与 N个参考标识 之间的映射表； N个参考标识用于一一对应地索引 N个公钥，第一公钥对为 N个公钥中的 任一个， N为大于 0的整数；
确定单元， 用于根据参考标识确定第一公钥对应的第二网络设备的标识信息， 包括: 确定单元， 还用于根据第二网络设备的标识信息与 N个参考标识之间的映射表， 确定 第一公钥对应的第二网络设备的标识信息。
本实施例提供的秘钥管理装置中的各个单元的实现原理和有益效果可参照第二方面 提供的秘钥管理方法的实施例， 此处不再赘述。
第八方面， 本申请实施例提供一种秘钥管理装置， 该装置可以包括：
接收单元， 用于接收第一网络设备发送的第三用户身份消息； 其中， 第三用户身份消 息包括用户身份信息， 及用于索引第一公钥的参考标识；
确定单元， 用于根据参考标识确定第一公钥对应的第一私钥； 第一公钥和第一私钥为 第一公私钥对；
解密单元，用于根据第一私钥对用户身份信息进行解密，获取解密后的用户身份信息; 发送单元， 用于向第三网络设备发送解密后的用户身份信息， 以使第三网络设备对解 密后的用户身份信息进行处理。
在一种可能的实现方式中， 接收单元， 具体用于接收通过第三网络设备转发的第三用 户身份消息。
在一种可能的实现方式中， 该装置还可以包括：
判断单元， 用于判断第一公钥是否处于有效期；
确定单元， 具体用于当第一公钥处于有效期时， 根据参考标识确定第一公钥对应的第 一私钥。
在一种可能的实现方式中， 还可以包括：
获取单元，用于获取 N对公私钥对及 N个参考标识， N个参考标识用于一一对应地索 引 N个公私钥对， 第一公私钥对为 N对公私钥对中的任一对， N为大于 0的整数。
在一种可能的实现方式中， 获取单元， 具体用于生成 N对公私钥对， 并为 N对公私钥 对中的公钥分配参考标识。
在一种可能的实现方式中， 获取单元， 具体用于生成 N对公私钥对； 发送单元， 还用 于向第四网络设备发送参考标识请求消息，参考标识请求消息包括 N对公私钥对中的公钥， 参考标识请求消息用于请求第四网络设备为 N对公私钥对中的公钥分配参考标识；
接收单元， 还用于接收第四网络设备发送的 N对公私钥对中的公钥及 N个参考标识。 在一种可能的实现方式中， 接收单元， 还用于接收第四网络设备发送的 N对公私钥对 及 N个参考标识。
在一种可能的实现方式中， 获取单元， 还用于从 N个公私钥对中获取第一公钥， 以及 从 N个参考标识中获取参考标识； 发送单元， 还用于向用户设备发送第一公钥及参考标识。
在一种可能的实现方式中，发送单元，还用于向第一网络设备发送第四用户身份消息； 其中， 第四用户身份消息包括解密后的用户身份信息和第一公钥， 以使第一网络设备根据 第一公钥对第四用户身份消息进行处理。
在一种可能的实现方式中， 发送单元， 还用于通过第三网络设备向第一网络设备转发 第四用户身份消息。
在一种可能的实现方式中， 发送单元， 还用于当第一公钥不处于有效期时， 向用户设 备发送公钥更新请求消息， 公钥更新请求消息用于指示用户设备更新第一公钥。
在一种可能的实现方式中， 发送单元， 还用于向第一网络设备发送第二网络设备的标 识信息与 N个参考标识之间的映射表； N个参考标识用于一一对应地索引 N个公钥，第一 公钥对为 N个公钥中的任一个， N为大于 0的整数；
接收单元，具体用于接收第一网络设备根据第二网络设备的标识信息与 N个参考标识 之间的映射表发送第三用户身份消息。
本实施例提供的秘钥管理装置中的各个单元的实现原理和有益效果可参照第三方面 提供的秘钥管理方法的实施例， 此处不再赘述。
第九方面， 本申请实施例提供一种秘钥管理装置， 该装置可以包括：
接收单元， 用于接收第一网络设备发送的第一用户身份消息； 其中， 第一用户身份消 息包括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识； 确定单元， 用于若指示标识表示用户身份信息处于加密状态， 则根据参考标识确定参 考标识对应的第二网络设备的标识信息；
发送单元， 用于根据第二网络设备的标识信息， 向第二网络设备发送第三用户身份消 息， 第三用户身份消息包括使用用户身份信息， 及用于索引第一公钥的参考标识； 以使第 二网络设备根据参考标识对第三用户身份消息进行处理。
在一种可能的实现方式中， 接收单元， 还用于接收第二网络设备发送的第四用户身份 消息， 其中， 第四用户身份消息包括解密后的用户身份信息和第一公钥；
发送单元， 还用于向第一网络设备发送第四用户身份消息， 以使第一网络设备根据第 一公钥对第四用户身份消息进行处理。
在一种可能的实现方式中， 接收单元， 还用于接收第一网络设备发送的指示信息； 指 示消息包括解密后的用户身份信息， 指示信息用于指示第三网络设备对解密后的用户身份 信息进行处理。
在一种可能的实现方式中， 接收单元， 还用于接收第二网络设备发送的第二网络设备 的标识信息与 N个参考标识之间的映射表； N个参考标识用于一一对应地索引 N个公钥， 第一公钥对为 N个公钥中的任一个， N为大于 0的整数；
确定单元， 具体用于根据第二网络设备的标识信息与 N个参考标识之间的映射表， 确 定参考标识对应的第二网络设备的标识信息。
在一种可能的实现方式中， 发送单元， 还用于向第一网络设备发送第三网络设备的标 识信息与 N个参考标识之间的映射表；
接收单元，具体用于接收第一网络设备根据第三网络设备的标识信息与 N个参考标识 之间的映射表转发的用户设备的第一用户身份消息。 本实施例提供的秘钥管理装置中的各个单元的实现原理和有益效果可参照第四方面 提供的秘钥管理方法的实施例， 此处不再赘述。
第十方面， 本申请实施例提供一种秘钥管理装置， 该装置可以包括：
获取单元， 用于获取 N个公钥， N为大于 0的整数；
分配单元， 用于为 N个公钥分配 N个参考标识， N个参考标识用于一一对应地索引 N 个公钥；
发送单元，用于向第二网络设备发送 N个公钥和 N个参考标识， 以使第二网络设备获 取 N个公钥和 N个参考标识。
在一种可能的实现方式中， 获取单元， 具体用于生成 N个公私钥对， 每个公私钥对包 括公钥和私钥， N个公钥为 N个公私钥对中的公钥；
发送单元， 还用于向第二网络设备发送 N个公私钥对及 N个参考标识。
在一种可能的实现方式中， 接收单元， 还用于接收第二网络设备发送的参考标识请求 消息， 参考标识请求消息包括 N对公私钥对中的公钥， 参考标识请求消息用于请求第四网 络设备为 N对公私钥对中的公钥分配参考标识。
在一种可能的实现方式中， 获取单元， 还用于从 N个公钥中获取第一公钥， 以及从 N 个参考标识中获取用于索弓 I第一公钥的参考标识；
发送单元， 还用于向用户设备发送第一公钥及参考标识。
本实施例提供的秘钥管理装置中的各个单元的实现原理和有益效果可参照第一方面 提供的秘钥管理方法的实施例， 此处不再赘述。
第十一方面， 本申请实施例还提供的一种设备， 包括处理器和存储器。
存储器用于存储指令， 处理器用于执行存储器存储的指令， 当处理器执行存储器存储 的指令时， 该设备用于执行如上述第一方面至第五方面任意一个实施例所述的方法。
第十二方面， 本申请实施例提供一种可读存储介质， 可读存储介质中存储有指令， 当用户设备的至少一个处理器执行该指令时， 用户设备执行上述第一方面至第五方面 方法实施例中提供的秘钥管理方法。
第十三方面， 本申请实施例提供一种可读存储介质， 可读存储介质中存储有指令， 当 网络设备的至少一个处理器执行该指令时， 网络设备执行上述第一方面至第五方面方法实 施例中提供的秘钥管理方法。
本申请实施例提供的秘钥管理方法和装置， 在确定对用户身份信息进行加密时， 用户 设备根据第一公钥对用户身份信息进行加密， 并向第一网络设备发送第一用户身份消息， 该第一用户身份消息包括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公 钥的参考标识， 使得第一网络设备在接收到第一用户身份信息时， 根据指示标识判断用户 身份信息是否处于加密状态， 若指示标识表示用户身份信息处于加密状态， 则第一网络设 备根据参考标识确定第一公钥对应的第二网络设备的标识信息， 并向第二网络设备发送第 三用户身份消息， 使得第二网络设备在接收用户设备的第三用户身份消息时， 根据第一私 钥对用户身份信息进行解密， 获取解密后的用户身份信息， 以通过 ARPF设备根据用户身 份信息进行认证。 由此可见， 本申请实施例提供的公钥管理方法和装置， 用户设备根据第 一公钥对用户身份信息进行加密， 并通过第一网络设备向第二网络设备发送包括加密的用 户身份信息及用于索引第一公钥的参考标识的第三用户身份消息， 使得第二网络设备在接 收到该第三用户身份消息时， 可以根据预先存储的公私钥对及参考标识之间的映射表， 确 定第一公钥对应的第一私钥， 从而通过该第一私钥对加密的用户身份信息进行解密， 从而 提高了数据的解密效率。 附图说明
图 1为本申请实施例提供的一种系统架构图
2为本申请提供的 种秘钥管理方法的示意图
3为本申请提供的 -种公钥管理方法的示意图二
4为本申请提供的 种公钥管理方法的示意图三
5为本申请提供的 -种公公钥管理方法的示意图四
6为本申请提供的 种公钥管理方法的示意图五
7为本申请提供的 -种公公钥管理方法的示意图六
8为本申请提供的 种公钥管理方法的示意图七
9为本申请提供的 -种公公钥管理方法的示意图八
10为本申请提供的 种公钥管理装置的示意图
11为本申请提供的 种公公钥管理装置的示意图二
12为本申请提供的 种公钥管理装置的示意图三
13为本申请提供的 种公公钥管理装置的示意图四
14为本申请提供的 种公钥管理装置的示意图五
15为本申请提供的 种公公钥管理装置的示意图六
16为本申请提供的 种公钥管理装置的示意图七
17为本申请提供的 种公钥管理装置的示意图八
18为本申请提供的 种设备的框图。 具体实施方式
图 1为本申请实施例提供的一种系统架构图， 请参见图 1所示， 在该通信系统中， 第 一网络设备为接入和移动性管理功能 （Access and Mobility Management Function, AMF) 设备， 第二网络设备为签约身份解密功能 （Subscription Identifier De-concealing Function, SIDF)设备， 第三网络设备为认证单元功能（Authentication Unit Function, AUSF)设备， 第四网络设备为集成有公钥管理功能的公钥管理功能设备， 则该通信系统中包括用户设备、 AMF设备、 AUSF设备、 SIDF设备、 公钥管理功能设备及认证服务器为认证信息数据库 (Authentication Repository Function, ARPF) 设备。 在图 1所示的系统架构中， 用户设备 可以通过 AMF设备及 AUSF设备与 SIDF设备进行交互；也可以通过只 AMF设备与 SIDF 设备之间进行交互。
其中， 用户设备可以为移动电话 （或称为"蜂窝"电话） 或具有移动终端的计算机， 例 如， 可以是便携式、 袖珍式、 手持式、 计算机内置的或者车载的移动装置等。 用户设备也 可以称为终端设备， 移动台 （mobile station, 简称 MS ) ， 终端 （terminal) ， 还可以包括 用户单元 ( subscriber unit) 、 蜂窝电话 (cellular phone) 、 智能电话 ( smart phone) 、 无 线数据卡、 个人数字助理 （personal digital assistant, 简称 PDA) 电脑、 平板型电脑、 无线 调制解调器 （modem) 、 手持设备 （handheld) 、 膝上型电脑 （laptop computer) 、 无绳电 话 （cordless phone) 或者无线本地环路 （wireless local loop, 简称 WLL) 台、 机器类型通 信 (machine type communication, 简称 MTC) 终端等。
AMF设备用于转发用户设备与 AUSF设备之间交互的消息，还用于负责移动网络中的 移动性管理， 如用户位置更新、 用户注册网络、 用户切换等。
AUSF设备用于转发 AMF设备与 SIDF设备之间交互的消息， 还用于负责与 ARPF设 备之间进行认证交互， 并通过 ARPF设备对用户身份信息进行认证。
SIDF设备用于生成公私钥对，并为公私钥对分配参考标识，还用于使用自身存储的私 钥对用户身份信息进行解密， 并与 AUSF设备及公钥管理功能设备进行交互。
公钥管理功能设备用于生成公私钥对， 并为公私钥对分配参考标识， 将生成公私钥对 及参考标识发送给 SIDF设备， 以通过 SIDF设备使用私钥对用户身份信息进行解密。
ARPF设备主要用于与 AUSF设备之间进行交互，主要负责对用户身份信息进行认证。 在现有的公钥加密系统中， 同时允许至少一套公私钥对用户身份信息进行加解密操作， 当存在至少一套公私钥对时， AUSF设备无法确定用户设备使用哪个公私钥对中的公钥对 用户身份信息进行加密， 从而无法确定使用哪个公私钥对中的私钥对加密的用户身份信息 进行解密， 从而降低了数据的解密效率。 为了提高数据的解密效率， 本申请提供了一种公 钥管理方法， 在确定对用户身份信息进行加密时， 用户设备根据第一公钥对用户身份信息 进行加密， 并向 AMF设备发送第一用户身份消息， 由于该第一用户身份消息包括用户身 份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识， 使得 AMF设备 根据指示标识和参考标识， 将加密的用户身份信息和参考标识向 SIDF设备发送加密的用 户身份信息和参考标识，相应的， SIDF设备也可以根据参考标识査找该参考标识索引的第 一公钥对应的第一私钥， 并通过第一私钥对用户身份信息进行解密， 从而提高了数据的解 密效率。
需要说明的是， 本申请提供的公钥管理方法， AMF设备根据参考标识向 SIDF设备发 送用户身份信息和参考标识 （即本申请中第三用户身份消息） 时， 可以直接根据参考标识 向 SIDF设备发送第三用户身份消息，也可以根据参考标识通过 AUSF设备向 SIDF设备转 发第三用户身份消息。 下面， 通过具体实施例， 对本申请所示的技术方案进行详细说明。 需要说明的是， 下面几个具体实施例可以相互结合， 对于相同或相似的内容， 在不同的实 施例中不再进行重复说明。
需要说明的是， 本申请的公钥管理管理方法所示的主要过程可以分为两个， 这两个过 程分别为： 对使用公钥加密的用户身份信息进行解密的过程， 以及公钥的生成和下发的过 程。具体的，使用公钥加密的用户身份信息进行解密的过程请参见图 2-图 6所示的实施例。 公钥的生成和下发的过程请参见图 7-图 9所示的实施例。
图 2为本申请提供的一种秘钥管理方法的示意图一， 在该图 2所示的实施例中， AMF 设备是通过 AUSF设备向 SIDF设备转发第三用户身份消息， 请参见图 2所示， 该秘钥管 理方法可以包括：
S201、 用户设备根据第一公钥对用户身份信息进行加密。
示例的， 用户设备根据第一公钥对用户身份信息进行加密之前， 可以先接收 SIDF设 备或公钥管理功能设备发送的第一公钥及用于索引第一公钥的参考标识， 从而获取用于加 密用户身份信息的第一公钥及对应的参考标识。
在获取到第一公钥之后， 用户设备就可以根据第一公钥对用户身份信息进行加密。 示 例的， 在根据第一公钥对用户身份信息进行加密时， 可以直接使用该第一公钥对用户身份 信息进行加密， 也可以先使用临时公钥对用户身份信息进行加密， 再使用第一公钥加密使 用临时公钥加密后的用户身份信息。 可选的， 用户设备根据第一公钥对用户身份信息进行 加密之前， 可以先判断第一公钥是否处于有效期， 当第一公钥处于有效期时， 用户设备根 据第一公钥对用户身份信息进行加密。 需要说明的是， 当用户设备判断第一公钥是否处于 有效期时， 用户设备还需要接收 SIDF设备或公钥管理功能设备发送的第一公钥的使用期 限， 以使用户设备根据该第一公钥的使用期限判断第一公钥是否处于有效期。 示例的， 第 一公钥的使用期限可以以第一公钥的生产日期及失效日期表示； 也可以以第一公钥的生产 日期及可使用期限表示。
5202、 用户设备向 AMF设备发送第一用户身份消息。
其中， 第一用户身份消息包括用户身份信息 （即为加密后的用户身份信息） ， 用于表 示是否加密的指示标识及用于索引第一公钥的参考标识。 可选的， 第一用户身份消息还可 以包括第一公钥支持的加密协议。 示例的， 第一用户身份消息可以携带在非接入层 (Non-Access Stratum, NAS)数据包中发送给 AMF设备， 即用户身份信息， 用于表示是否 加密的指示标识及用于索引第一公钥的参考标识可以携带在 NAS数据包中。
需要说明的是， 用于索引第一公钥的参考标识可以为一个预先分配的数字， 可以为隐 含该身份管理网络设备的地域信息， 还可以为第一公钥本身。 在通过指示标识表示用户身 份信息是否加密时， 当指示标识为大于 0的数时， 可以表示用户身份处于加密状态， 当指 示标识为 0时， 表示用户身份信息处于未加密状态。 可选的， 当参考标识为 0时， 也可以 表示用户身份信息处于未加密状态。
5203、 若指示标识表示用户身份信息处于加密状态， 则 AMF设备根据参考标识确定 第一公钥对应的 AUSF设备的标识信息。
5204、 AMF设备根据 AUSF设备的标识信息， 向 AUSF设备转发第一用户身份消息。 AMF设备在接收到用户设备发送的第一用户身份消息时，根据第一用户身份消息中包 括的用于表示是否加密的指示标识判断用户身份是否处于加密状态， 在确定用户身份信息 处于加密状态时， 根据参考标识确定第一公钥对应的 AUSF设备的标识， 以根据 AUSF设 备的标识信息， 向 AUSF设备转发第一用户身份消息。
可选的， 在本申请实施例中， S203和 S204步骤： AMF设备根据参考标识确定第一 公钥对应的 AUSF设备的标识， 并根据 AUSF设备的标识信息， 向 AUSF设备转发用户身 份消息， 可以包括： AMF设备预先接收并存储 AUSF设备发送的 AUSF设备的标识信息 与 N个参考标识之间的映射表， 使得在接收到用户设备发送的第一用户身份消息之后， 可 以根据 AUSF设备的标识信息与 N个参考标识之间的映射表， 确定第一公钥对应的 AUSF 设备的标识信息， 从而将第一用户身份消息发送给 AUSF设备。 其中， N个参考标识用于 一一对应地索引 N个公钥， 第一公钥对为 N个公钥中的任一个， N为大于 0的整数。
5205、 若指示标识表示用户身份信息处于加密状态， 则 AUSF设备根据参考标识确定 参考标识对应的 SIDF设备的标识信息。 5206、 AUSF设备根据 SIDF设备的标识信息， 向 SIDF设备发送第三用户身份消息。 其中， 第三用户身份消息包括用户身份信息 （即加密的用户身份信息） ， 及用于索引 第一公钥的参考标识。 由于 AUSF设备在接收到用户设备的第一用户身份消息之后， 会根 据第一用户身份消息中的用于标识是否加密的指示标识判断用户身份是否处于加密状态， 在确定用户身份信息处于未加密状态时，直接将用户身份信息发送给 ARPF设备进行认证， 在确定用户身份信息处于加密状态时， 只需要向 SIDF设备发送使用第一公钥加密的用户 身份信息， 及用于索引第一公钥的参考标识即可， 以使 SIDF直接根据参考标识査找第一 公钥对应的第一私钥， 从而通过第一私钥对加密的用户身份信息进行解密， 而无需再发送 用于标识是否加密的指示标识。 可选的， 第三用户身份消息还可以包括第一公钥支持的加 密协议。
AUSF设备在接收到 AMF设备转发的第一用户身份消息之后，根据第一用户身份消息 中包括的用于表示是否加密的指示标识判断用户身份是否处于加密状态， 在确定用户身份 信息处于加密状态时， 根据参考标识确定参考标识对应的 SIDF设备的标识信息， 以根据 SIDF设备的标识信息， 向 SIDF设备转发第三用户身份消息。
可选的， 在本申请实施例中， S205和 S206: AUSF设备根据参考标识确定参考标识 对应的 SIDF设备的标识信息， 并根据 SIDF设备的标识信息， 向 SIDF设备发送第三用户 身份消息， 可以包括： AUSF设备预设接收并存储 SIDF设备发送的 SIDF设备的标识信息 与 N个参考标识之间的映射表， 使得在接收到用户设备发送的第一用户身份消息之后， 可 以根据 SIDF设备的标识信息与 N个参考标识之间的映射表， 确定参考标识对应的 SIDF 设备的标识信息， 从而将第三用户身份消息发送给 SIDF设备。
5207、 SIDF设备根据参考标识确定第一公钥对应的第一私钥。
其中， 第一公钥和第一私钥为第一公私钥对。
在本申请实施例中， SIDF设备可以预先存储 N个公私钥对与 N个参考标识之间的映 射表， 使得 SIDF在接收到第三用户身份消息之后， 可以根据第三用户身份消息中包括的 参考标识査找第一公钥对应的第一私钥， 从而根据该第一私钥对加密的用户身份信息进行 解密。
5208、 SIDF设备根据第一私钥对用户身份信息进行解密，获取解密后的用户身份信息。
5209、 SIDF设备向 AUSF设备发送解密后的用户身份信息， 以使 AUSF设备对解密 后的用户身份信息进行处理。
示例的， 在本申请实施例中， SIDF设备将解密后的用户身份信息发送给 AUSF设备， 并通过 AUSF设备将解密后的用户身份信息发送给 ARPF设备， 以使 ARPF设备根据用户 身份信息进行认证。
需要说明的是， 在上述图 2所示的实施例中， S203-S206也可以通过下述 S211-S212 进行替换： 即 AMF设备参考标识直接向 SIDF设备发送第三用户身份消息， 具体请参见图 3所示， 图 3为本申请提供的一种秘钥管理方法的示意图二。
5210、 若指示标识表示用户身份信息处于加密状态， 则 AMF设备根据参考标识确定 第一公钥对应的 SIDF设备的标识信息。
可选的， S210AMF设备根据参考标识确定第一公钥对应的 SIDF设备的标识信息之前， 还可以包括： AMF设备接收 SIDF设备发送的 SIDF的标识信息与 N个参考标识之间的映射表。 其 中， N个参考标识用于一一对应地索引 N个公钥， 第一公钥对为 N个公钥中的任一个， N 为大于 0的整数； 并根据 SIDF设备的标识信息与 N个参考标识之间的映射表， 确定第一 公钥对应的 SIDF设备的标识信息。 需要说明的是， SIDF设备的标识信息与 N个参考标识 之间的映射表也可以由 AMF设备根据系统配置信息生成。
S211、 AMF设备根据 SIDF设备的标识信息， 向 SIDF设备转发第三用户身份消息。 本申请实施例提供的公钥管理方法， 在确定对用户身份信息进行加密时， 用户设备根 据第一公钥对用户身份信息进行加密， 并向 AMF设备发送第一用户身份消息， 该第一用 户身份消息包括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考 标识， 使得 AMF设备在接收到第一用户身份信息时， 根据指示标识判断用户身份信息是 否处于加密状态， 若指示标识表示用户身份信息处于加密状态， 则 AMF设备根据参考标 识确定第一公钥对应的 AUSF设备的标识信息； 并向 AUSF设备发送第一用户身份消息； 同理， AUSF设备在接收到第一用户身份信息时， 根据指示标识判断用户身份信息是否处 于加密状态， 若指示标识表示用户身份信息处于加密状态， 则 AUSF设备根据参考标识确 定参考标识对应的 SIDF设备的标识信息， 并向 SIDF设备发送第三用户身份消息， 使得 SIDF设备在接收用户设备的第三用户身份消息时，根据第一私钥对用户身份信息进行解密， 获取解密后的用户身份信息； 并向 ARPF设备发送解密后的用户身份信息， 以使 ARPF设 备根据用户身份信息进行认证。 由此可见， 本申请实施例提供的公钥管理方法， 用户设备 根据第一公钥对用户身份信息进行加密， 并向 SIDF设备发送包括加密的用户身份信息及 用于索引第一公钥的参考标识的第三用户身份消息， 使得 SIDF设备在接收到该第三用户 身份消息时， 可以根据预先存储的公私钥对及参考标识之间的映射表， 确定第一公钥对应 的第一私钥， 从而通过该第一私钥对加密的用户身份信息进行解密， 从而提高了数据的解 密效率。
基于图 2和图 3所示的实施例， 可选的， 在本申请实施例中， S208SIDF设备根据参考 标识确定第一公钥对应的第一私钥之前， 还包括：
SIDF设备判断第一公钥是否处于有效期；当第一公钥处于有效期时，则执行 S208SIDF 设备根据参考标识确定第一公钥对应的第一私钥。
相反的， 当第一公钥不处于有效期时， 则直接执行 S210， 具体请参见图 4所示， 图 4 为本申请提供的一种公钥管理方法的示意图三。
S212、 SIDF设备向用户设备发送公钥更新请求消息。
其中， 公钥更新请求消息用于指示用户设备更新第一公钥。
由此可见， 在本申请中， S208 SID设备根据参考标识确定第一公钥对应的第一私钥之 前， 先确定第一公钥是否为有效公钥， 若第一公钥为有效公钥， 则直接根据该第一公钥确 定对应的第一私钥， 从而根据第一私钥对加密的用户身份信息进行解密， 若第一公钥为非 有效公钥， 则向用户设备发送公钥更新请求消息， 以使用户设备更新第一公钥， 从而提高 了用户身份信息的安全性。
进一步地， 基于图 2和图 3所示的实施例， 为了满足合法监听 （Law for Interception) 对加密身份验证的需求，可选的， S208 SIDF设备根据第一私钥对用户身份信息进行解密， 获取解密后的用户身份信息之后，还可以将解密后的用户身份信息和第一公钥发送给 AMF 设备， 以通过 AMF设备判断是否对用户身份信息进行注册和认证， 具体请参见图 5， 图 5 为本申请实施例提供的一种公钥管理方法的示意图四， 该公钥管理方法还可以包括：
5213、 SIDF设备向 AMF设备发送第四用户身份消息。
其中， 第四用户身份消息包括解密后的用户身份信息和第一公钥。 可选的， 第四用户 身份信息还可以包括第一公钥的加密协议以及加密时使用的其它参数等。
可选的， SIDF设备在向 AMF设备发送第四用户身份消息时， SIDF设备可以直接向 AMF设备发送第四用户身份消息，也可以通过 AUSF设备转发第四用户身份消息，即 SIDF 设备可以先将第四用户身份消息发送给 AUSF设备， 再由 AUSF设备将第四用户身份消息 转发给 AMF设备。 换句话说， AMF设备可以直接接收 SIDF设备发送的第四用户身份信 息， 也可以通过 AUSF设备接收第四用户身份信息。
5214、 AMF设备利用第一公钥对解密后的用户身份信息进行加密， 以生成需验证的用 户身份信息。
5215、 AMF设备将需验证的用户身份信息与用户身份信息进行比较。
结合图 2和图 3所示的实施例， S202用户设备向 AMF设备发送第一用户身份消息。 其中， 第一用户身份消息包括用户身份信息， 用于表示是否加密的指示标识及用于索引第 一公钥的参考标识， 即 AMF设备预先获取了用户身份信息， 在生成需验证的用户身份信 息之后， 就可以将需验证的用户身份信息与用户身份信息进行比较， 从而判断是否对用户 身份信息进行注册和认证。
5216、 若需验证的用户身份信息与用户身份信息相同， 则 AMF设备向 AUSF设备发 送指示信息。
其中， 指示信息可以包括解密后的用户身份信息， 指示信息用于指示第三网络设备对 解密后的用户身份信息进行处理。
5217、 AUSF设备对解密后的用户身份信息进行处理。
示例的，在本申请实施例中， AUSF设备对解密后的用户身份信息进行处理，是指 AUSF 设备将解密后的用户身份信息发送给 ARPF设备， 以通过 ARPF设备对用户身份信息进行 认证。
可选的， S215之后还可以包括： 若需验证的用户身份信息与用户身份信息不相同， 说 明用户身份信息为非法用户身份，则 AMF设备可以向 AUSF设备发送注册流程中断消息， 使得 AUSF设备根据该注册流程中断消息停止对用户身份信息进行注册和认证， 则无需执 行 S217。
由此可见， 在本申请实施例中， SIDF设备在得到解密后的用户身份信息之后， 将用户 身份信息发送给 AMF设备，使得 AMF设备根据第一公钥对解密后的用户身份信息进行加 密， 生成需验证的用户身份信息， 并将需验证的用户身份信息与用户身份信息进行比较， 从而根据比较结果确定是否对用户身份信息进行注册和认证， 进而满足了合法监听对加密 身份验证的需求。
上述图 2-图 5所示的实施例详细地说明了用户设备在确定对用户身份信息加密时， 对 使用公钥加密的用户身份信息进行解密过程， 若用户设备对用户身份信息不加密时， 请参 见图 6所示， 图 6为本申请提供的一种公钥管理方法的示意图五， 该公钥管理方法可以包 括- S601、 用户设备确定是否对用户身份信息进行加密。
用户设备在发送用户身份信息之前， 先确定是否对用户身份信息进行加密， 若确定对 用户身份信息进行加密， 则执行上述 S201， 若确定不对用户身份信息进行加密时， 则执行 下述 S602。
S602、 当确定不对用户身份信息进行加密时， 用户设备向 AMF设备发送第二用户身 份消息。
其中， 第二用户身份消息包括未加密的用户身份信息以及用于表示是否加密的指示标 识。 需要说明的是， 指示标识为 0时， 表示用户身份信息处于未加密状态。 示例的， 第二 用户身份消息可以携带在 NAS数据包中发送给 AMF设备， 即未加密的用户身份信息以及 用于表示是否加密的指示标识可以携带在 NAS数据包中， 。
5603、 若指示标识表示用户身份信息处于未加密状态， 则 AMF设备根据用户身份信 息确定对应的 AUSF设备的标识信息。
5604、 AMF设备根据 AUSF设备的标识信息， 向 AUSF设备转发第二用户身份消息。 AMF设备在接收到用户设备发送的第二用户身份消息时，根据第二用户身份消息中包 括的用于标识是否加密的指示标识确定用户身份信息是否处于未加密状态， 在确定用户身 份信息处于未加密状态时， 则根据用户身份信息确定对应的 AUSF设备的标识信息。
5605、 若指示标识表示用户身份信息处于未加密状态， 则 AUSF设备向 ARPF设备发 送用户身份信息。
AUSF设备接收到 AMF设备转发的第二用户身份消息时，根据第二用户身份消息中包 括的用于标识是否加密的指示标识确定用户身份信息是否处于未加密状态， 在确定用户身 份信息处于未加密状态时， 则直接向 ARPF设备发送用户身份信息， 以使 ARPF设备根据 用户身份信息进行认证。
本申请实施例提供的公钥管理方法， 通过确定是否对用户身份信息进行加密， 当确定 不对用户身份信息进行加密时， 用户设备向 AMF设备发送第二用户身份消息； 该第二用 户身份消息包括未加密的用户身份信息以及用于表示是否加密的指示标识； 使得 AMF设 备在接收到第二用户身份信息时， 若指示标识表示用户身份信息处于未加密状态， 则根据 用户身份信息确定对应的 AUSF设备的标识信息；并向 AUSF设备转发第二用户身份消息， 使得 AUSF设备在接收到 AMF设备转发的第二用户身份消息时， 若指示标识表示用户身 份信息处于未加密状态， 则向 ARPF设备发送用户身份信息。 由此可见， 本申请实施例提 供的公钥管理方法， 用户设备向 AUSF设备发送第二用户身份消息时， 由于第二用户身份 消息中包括用于标识是否加密的指示标识，使得 AUSF设备接收到该第二用户身份消息时， 可以根据该指示标识确定用户身份信息是否处于未加密状态， 在确定用户身份信息处于未 加密状态时， 则直接向 ARPF设备发送用户身份信息， 以使 ARPF设备根据用户身份信息 进行认证， 从而提高了数据的解密效率。
基于图 2和图 3所示的实施例， 用户设备在将加密的用户身份信息发送给 SIDF设备 进行解密时， SIDF设备需要预先存储 N对公私钥对及 N个参考标识， 并在个公私钥对中 获取第一公钥， 以及从 N个参考标识中获取用于索引第一公钥的参考标识， 之后， 再将第 一公钥和第一索引下发给用户设备， 即公钥的生成和下发的过程， 具体可以通过以下三种 可能的实现方法实现， 请参见图 7-图 9所示； 在第一种可能的实现方式中， 请参见图 7所示， 图 7为本申请提供的一种公钥管理方 法的示意图六， 该公钥管理方法可以包括：
5701、 SIDF设备生成 N对公私钥对。
其中， 上述实施例所示的第一公私钥对为 N对公私钥对中的任一对， N为大于 0的整 数。 N对公私钥对中每一个公私钥对均包括一个公钥及对应的一个私钥， 其中， 通过公钥 可以对用户身份信息进行加密， 通过私钥可以对使得该公钥加密的用户身份信息进行解密。
5702、 SIDF设备为 N对公私钥对中的公钥分配参考标识。
需要说明的是， 用于索引公钥的参考标识可以为一个预先分配的数字， 可以为隐含该 身份管理网络设备的地域信息， 还可以为公钥本身。 在通过指示标识表示用户身份信息是 否加密时， 当指示标识为大于 0的数时， 可以表示用户身份处于加密状态， 当指示标识为 0时， 表示用户身份信息处于未加密状态。
SIDF设备为 N对公私钥对中的每一个公钥分配参考标识， 则对应有 N个参考标识， 且 N个参考标识用于一一对应地索引 N个公私钥对。
为了避免存在多个公私钥对时， 无法确定使用哪个公私钥对中的私钥对加密的用户身 份信息进行解密， 在本申请实施例中， 通过为 N对私钥对中每一个公私钥对中的公钥分配 用于索引公钥的参考标识， 以使 SIDF设备接收到用户身份信息及参考标识时， 可以根据 预先存储的公私钥对及参考标识之间的映射表， 确定第一公钥对应的第一私钥， 从而通过 该第一私钥对用户身份信息进行解密， 从而提高了数据的解密效率。
5703、 SIDF设备从 N个公私钥对中获取第一公钥， 以及从 N个参考标识中获取参考 标识。
其中， 该参考标识是指用于索引第一公钥的参考标识。
S904、 SIDF设备向用户设备发送第一公钥及参考标识。
示例的， SIDF设备可以通过离线或者在线（OTP) 的方式向用户设备上的可信存储环 境发送第一公钥及参考标识。 需要说明的是， 当参考标识为第一公钥本身时， SIDF设备可 以只向用户设备发送第一公钥。
可选的， SIDF设备还可以向用户设备发送第一公钥支持的加密协议， 以使用户设备基 于该加密协议， 根据第一公钥对用户设备信息进行加密。
此外， SIDF设备在向用户设备发送第一公钥和用于索引第一公钥的参考标识时，还可 以同时将第一公钥的使用期限发送给用户设备， 使得用户设备可以根据该第一公钥的使用 期限判断第一公钥是否处于有效期。 示例的， 使用期限可以以第一公钥的生产日期及失效 日期表示； 也可以以第一公钥的生产日期及可使用期限表示。
由此可见， 在本申请实施例中， SIDF设备在生成 N对公私钥对， 且为 N对私钥对中 每一个公私钥对中的公钥分配用于索引公钥的参考标识之后，从 N个公私钥对中获取第一 公钥， 以及从 N个参考标识中获取参考标识， 并向用户设备发送第一公钥及参考标识， 以 使用户设备可以根据第一公钥对用户身份信息进行加密， 并通过 AMF设备和 AUSF设备 将包含用户身份信息及参考标识的第三用户身份消息发送给 SIDF设备，使得 SIDF设备接 收到第三用户身份消息时， 可以根据预先存储的公私钥对及参考标识之间的映射表， 确定 第一公钥对应的第一私钥， 从而通过该第一私钥对用户身份信息进行解密， 从而提高了数 据的解密效率。 在第二种可能的实现方式中， 请参见图 8所示， 图 8为本申请提供的一种公钥管理方 法的示意图七， 该公钥管理方法可以包括：
5801、 SIDF设备生成 N对公私钥对。
其中， 上述实施例所示的第一公私钥对为 N对公私钥对中的任一对， N为大于 0的整 数。
5802、 SIDF设备向公钥管理功能设备发送参考标识请求消息。
其中， 参考标识请求消息包括 N对公私钥对中的公钥， 参考标识请求消息用于请求公 钥管理功能设备为 N对公私钥对中的公钥分配参考标识。
SIDF设备在生成 N对公私钥对之后， 向公钥管理功能设备发送参考标识请求消息， 以使公钥管理功能设备为 N对公私钥对中的公钥分配参考标识。
5803、 公钥管理功能设备为 N个公钥分配 N个参考标识。
其中， N个参考标识用于一一对应地索引 N个公钥。 需要说明的是， 用于索引公钥的 参考标识可以为一个预先分配的数字， 可以为隐含该身份管理网络设备的地域信息， 还可 以为公钥本身。 在通过指示标识表示用户身份信息是否加密时， 当指示标识为大于 0的数 时， 可以表示用户身份处于加密状态， 当指示标识为 0时， 表示用户身份信息处于未加密 状态。
5804、 公钥管理功能设备向 SIDF设备发送 N个公钥和 N个参考标识。
公钥管理功能设备在分 N个公钥分配 N个参考标识之后，向 SIDF设备发送 N个公钥 和 N个参考标识， 以使 SIDF设备获取 N个公钥和 N个参考标识， 并存储 N个公私钥对 和 N个参考标识之间的映射表， 从而在接收到第一用户身份消息之后， 根据第一用户身份 消息中包括的用于索引第一公钥的参考标识找到对应的第一私钥， 从而通过该第一私钥对 加密的用户身份信息进行解密。
5805、 公钥管理功能设备从 N个公钥中获取第一公钥， 以及从 N个参考标识中获取 用于索引第一公钥的参考标识。
S806、 公钥管理功能设备向用户设备发送第一公钥及参考标识。
示例的， 公钥管理功能设备可以通过离线或者在线 （OTP) 的方式向用户设备上的可 信存储环境发送第一公钥及参考标识。需要说明的是，当参考标识为第一公钥本身时， SIDF 设备可以只向用户设备发送第一公钥。
可选的， 公钥管理功能设备还可以向用户设备发送第一公钥支持的加密协议， 以使用 户设备基于该加密协议， 根据第一公钥对用户设备信息进行加密。
公钥管理功能设备在为 N个公钥分配 N个参考标识之后， 可以从 N个公钥中获取第 一公钥， 以及从 N个参考标识中获取用于索引第一公钥的参考标识； 并向用户设备发送第 一公钥及参考标识， 使得用户设备在确定对用户身份信息进行加密时， 可以根据第一公钥 对用户身份信息进行加密， 并通过参考标识表示用于加密用户身份信息的第一公钥。
需要说明的是， 在申请实施例中， S804和 S805之间并无先后顺序。
由此可见， 在本申请实施例中， SIDF设备生成 N对公私钥对,向公钥管理功能设备发 送参考标识请求消息， 以使公钥管理功能设备为 N对公私钥对中的公钥分配参考标识； 公 钥管理功能设备在分 N个公钥分配 N个参考标识之后，可以从 N个公钥中获取第一公钥， 以及从 N个参考标识中获取用于索引第一公钥的参考标识；并向用户设备发送第一公钥及 参考标识， 使得用户设备在确定对用户身份信息进行加密时， 可以根据第一公钥对用户身 份信息进行加密， 此外， 公钥管理功能设备向 SIDF设备发送 N个公钥和 N个参考标识， 以使 SIDF设备获取 N个公钥和 N个参考标识， 并存储 N个公私钥对和 N个参考标识之 间的映射表， 从而使得 SIDF设备在接收到第三用户身份消息之后， 根据第三用户身份消 息中包括的用于索引第一公钥的参考标识找到对应的第一私钥， 从而通过该第一私钥对加 密的用户身份信息进行解密， 从而提高了数据的解密效率。
在第三种可能的实现方式中， 请参见图 9所示， 图 9为本申请提供的一种公钥管理方 法的示意图八， 该公钥管理方法可以包括：
S901、 公钥管理功能设备生成 N个公私钥对， 并为 N个公钥分配 N个参考标识。 其中， 每个公私钥对包括公钥和私钥， N个公钥为 N个公私钥对中的公钥， 上述实施 例所示的第一公私钥对为 N对公私钥对中的任一对， N为大于 0的整数。 N个参考标识用 于一一对应地索引 N个公钥。 可以理解的是， 该参考标识可以是字符串、 数字等。 比如有 100个公私钥对， 那么公钥分配的标识可以是 0-99; 当然， 也可以限定参考标识的长度， 比如长度为 6位或 8位或 15或 100位， 当然可以根据业务的规模进行确定。
S902、 公钥管理功能设备向 SIDF设备发送 N对公私钥对中的公钥及 N个参考标识。 需要说明的是， 用于索引公钥的参考标识可以为一个预先分配的数字， 可以为隐含该 身份管理网络设备的地域信息， 还可以为公钥本身。
举例来说， 当指示标识为大于 0的数时， 可以表示用户身份处于加密状态， 当指示标 识为 0时， 表示用户身份信息处于未加密状态。 比如， 指示标识为 1， 表示用户身份处于 加密状态； 指示标识为 0， 表示用户身份信息处于未加密状态；
举例来说， 指示标识可以是预设的字符串。 比如第一预设字符串表示用户身份处于加 密状态； 第二预设字符串标识用户身份处于未加密状态。 可以理解的是， 第一预设字符串 与第二预设字符串不同， 本发明在此不对字符串的格式做限制。
公钥管理功能设备在分 N个公钥分配 N个参考标识之后，向 SIDF设备发送 N个公钥 和 N个参考标识， 以使 SIDF设备获取 N个公钥和 N个参考标识， 并存储 N个公私钥对 和 N个参考标识之间的映射表， 从而在接收到第一用户身份消息之后， 根据第一用户身份 消息中包括的用于索引第一公钥的参考标识找到对应的第一私钥， 从而通过该第一私钥对 加密的用户身份信息进行解密。
5903、 公钥管理功能设备从 N个公钥中获取第一公钥， 以及从 N个参考标识中获取 用于索引第一公钥的参考标识。
5904、 公钥管理功能设备向用户设备发送第一公钥及参考标识。
示例的， 公钥管理功能设备可以通过离线或者在线 （OTP) 的方式向用户设备上的可 信存储环境发送第一公钥及参考标识。需要说明的是，当参考标识为第一公钥本身时， SIDF 设备可以向用户设备发送第一公钥。
可选的， 公钥管理功能设备还可以向用户设备发送第一公钥支持的加密协议， 以使用 户设备基于该加密协议， 根据第一公钥对用户设备信息进行加密。
公钥管理功能设备在为 N个公钥分配 N个参考标识之后， 可以从 N个公钥中获取第 一公钥， 以及从 N个参考标识中获取用于索引第一公钥的参考标识； 并向用户设备发送第 一公钥及参考标识， 使得用户设备在确定对用户身份信息进行加密时， 可以根据第一公钥 对用户身份信息进行加密， 并通过参考标识表示用于加密用户身份信息的第一公钥。 需要说明的是， 在申请实施例中， S902和 S903之间并无先后顺序。
由此可见， 在本申请实施例中， 公钥管理功能设备生成 N个公私钥对， 并为 N个公钥 分配 N个参考标识， 并在分 N个公钥分配 N个参考标识之后， 可以从 N个公钥中获取第 一公钥， 以及从 N个参考标识中获取用于索引第一公钥的参考标识； 并向用户设备发送第 一公钥及参考标识， 使得用户设备在确定对用户身份信息进行加密时， 可以根据第一公钥 对用户身份信息进行加密， 此外， 公钥管理功能设备向 SIDF设备发送 N对公私钥对中的 公私钥及 N个参考标识， 以使 SIDF设备获取 N对公私钥对中的公钥及 N个参考标识， 并 存储 N个公私钥对和 N个参考标识之间的映射表， 从而使得 SIDF设备在接收到第三用户 身份消息之后， 根据第三用户身份消息中包括的用于索引第一公钥的参考标识找到对应的 第一私钥， 从而通过该第一私钥对加密的用户身份信息进行解密， 从而提高了数据的解密 效率。
基于图 7-图 9任一附图所示的实施例， SIDF设备或者公钥管理功能设备从 N个公私 钥对中获取第一公钥，及参考标识之后，为了在后续解密过程（如图 2所示的实施例）中， 使得 AUSF设备可以找对用于解密的第一私钥的 SIDF设备，且使得 AMF设备可以找到第 一公钥对饮的 AUSF设备， 可以执行下述 S905和 S906。
5905、 SIDF设备向 AUSF设备发送 SIDF设备的标识信息与 N个参考标识之间的映射 表。
其中， SIDF设备的标识信息可以为 SIDF设备的地域信息， 也可以为 SIDF设备的名 称信息， 只要根据 SIDF设备的标识信息可以査找到该 SIDF设备即可。
SIDF设备向 AUSF设备发送 SIDF设备的标识信息与 N个参考标识之间的映射表，使 得 AUSF设备获取并存储该 SIDF设备的标识信息与 N个参考标识之间的映射表， 从而使 得 AUSF设备在接收到用户设备的第二用户身份信息之后， 根据预先存储的该 SIDF设备 的标识信息与 N个参考标识之间的映射表将用户设备的第二用户身份信息发送给 SIDF设 备， 以通过 SIDF设备对加密的用户身份信息进行解密。
需要说明的是， 当通信系统中包括一个 SIDF设备时， 则 SIDF设备只需要向 AUSF 设备发送 N个参考标识即可，而无需发送 SIDF设备的标识信息。或者，当参考标识为 SIDF 设备和 SIDF设备的地域信息，则 SIDF设备只需要向 AUSF设备发送 N个参考标识即可， 而无需发送 SIDF设备的标识信息， AUSF设备根据 SIDF设备的地域信息就可以査找到该 SIDF设备。
5906、 AUSF设备向 AMF设备发送 AUSF设备的标识信息与 N个参考标识之间的映 射表。
其中， AUSF设备的标识信息可以为 AUSF设备的地域信息， 也可以为 AUSF设备的 名称信息， 只要根据 AUSF设备的标识信息可以査找到该 AUSF设备即可。
AUSF设备向 AMF设备发送 AUSF设备的标识信息与 N个参考标识之间的映射表， 使得 AMF设备获取并存储该 AUSF设备的标识信息与 N个参考标识之间的映射表， 从而 使得 AMF设备在接收到用户设备发送的第一用户身份消息之后，根据预先存储的该 AUSF 设备的标识信息与 N 个参考标识之间的映射表将用户设备的第一用户身份信息发送给 AUSF设备。 需要说明的是， 当通信系统中包括一个 AUSF设备时， 则 AUSF设备只需要向 AMF 设备发送 N个参考标识即可， 而无需发送 AUSF设备的标识信息。 或者， 当参考标识为 AUSF设备和 AUSF设备的地域信息， 则 AUSF设备只需要向 AMF设备发送 N个参考标 识即可， 而无需发送 AUSF设备的标识信息， AMF设备根据 AUSF设备的地域信息就可 以査找到该 AUSF设备。
需要说明的是， 在图 7所示的实施例中， S704和 S905-S906之间并无先后顺序， 图 7 所示的实施例只是以先执行 S905-S906, 再执行 S704为例进行说明。 同理， 在图 8所示的 实施例中， S806 和 S905-S906 之间并无先后顺序， 图 8 所示的实施例只是以先执行 S905-S906,再执行 S806为例进行说明。同理，在图 9所示的实施例中， S904和 S905-S906 之间并无先后顺序， 图 9所示的实施例只是以先执行 S905-S906, 再执行 S904为例进行说 明。
本申请实施例提供的公钥管理方法， 通过向 AUSF设备发送 SIDF设备的标识信息与 N个参考标识之间的映射表， 且 AUSF设备向 AMF设备发送 AUSF设备的标识信息与 N 个参考标识之间的映射表， 使得用户设备根据第一公钥对用户身份信息进行加密， 且将第 一用户身份消息发送给 AMF设备之后， AMF设备可以根据预先存储的该 AUSF设备的标 识信息与 N个参考标识之间的映射表将用户设备的第一用户身份信息发送给 AUSF设备， 从而使得 AUSF设备可以根据预先存储的该 SIDF设备的标识信息与 N个参考标识之间的 映射表将用户设备的第二用户身份信息发送给 SIDF设备，以通过 SIDF设备对加密的用户 身份信息进行解密， 从而提高了数据的解密效率。
图 10为本申请提供的一种公钥管理装置 100的示意图一， 该公钥管理装置 100可以 包括：
加密单元 1001， 用于根据第一公钥对用户身份信息进行加密。
发送单元 1002， 用于向第一网络设备发送第一用户身份消息； 其中， 第一用户身份消 息用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识， 以使得 第一网络设备根据指示标识和参考标识对第一用户身份消息进行处理。
可选的， 加密单元 1001， 还用于确定是否对用户身份信息进行加密。
发送单元 1002， 还用于当确定不对用户身份信息进行加密时， 用户设备向第一网络设 备发送第二用户身份消息； 第二用户身份消息包括未加密的用户身份信息以及指示标识。
可选的， 该公钥管理装置 100还可以包括判断单元 1003， 请参见图 11所示， 图 11为 本申请提供的一种公钥管理装置 100的示意图二。
判断单元 1003， 用于判断第一公钥是否处于有效期。
加密单元 1001， 具体用于当第一公钥处于有效期时， 根据第一公钥对用户身份信息进 行加密。
前述图 2-图 9所示实施例中的秘钥管理装置对秘钥的管理方法和具体实例同样适用于 本实施例的秘钥管理装置， 通过前述对秘钥的管理方法的详细描述， 本领域技术人员可以 清楚的知道本实施例秘钥管理装置的实施方法， 所以为了说明书的简洁， 在此不再详述。
图 12为本申请提供的一种公钥管理装置 120的示意图三， 该公钥管理装置 120可以 包括：
接收单元 1201， 用于接收用户设备发送的第一用户身份消息； 其中， 第一用户身份消 息包括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识。 发送单元 1202， 用于若指示标识表示用户身份信息处于加密状态， 则根据参考标识向 第二网络设备发送第三用户身份消息； 其中， 第三用户身份消息包括用户身份信息和参考 标识， 以使第二网络设备根据参考标识对用户身份信息进行处理。
可选的， 发送单元 1202， 具体用于根据参考标识向第三网络设备发送第一用户身份消 息； 以使第三网络设备在指示标识表示用户身份信息处于加密状态时， 向第二网络设备发 送第三用户身份消息。
可选的， 发送单元 1202， 具体用于根据参考标识确定第一公钥对应的第二网络设备的 标识信息； 并根据第二网络设备的标识信息， 向第二网络设备发送第三用户身份消息。
可选的， 该秘钥管理装置 120还可以包括加密单元 1203和比较单元 1204， 请参见图
13所示， 图 13为本申请提供的一种公钥管理装置 120的示意图四， 该公钥管理装置 120 可以包括：
接收单元 1201， 还用于接收第二网络设备发送的第四身份消息； 第四用户身份消息包 括解密后的用户身份信息和第一公钥。
加密单元 1203， 用于利用第一公钥对解密后的用户身份信息进行加密， 以生成需验证 的用户身份信息。
比较单元 1204， 用于将需验证的用户身份信息与用户身份信息进行比较。
发送单元 1202， 还用于若需验证的用户身份信息与用户身份信息相同， 则向第三网络 设备发送指示信息， 指示消息包括解密后的用户身份信息， 指示信息用于指示第三网络设 备对解密后的用户身份信息进行处理。
可选的， 接收单元 1201， 具体用于接收通过第三网络设备转发的第四用户身份消息。 可选的， 该秘钥管理装置 120还可以包括确定单元 1205。
接收单元 1201，还用于接收第二网络设备发送的第二网络设备的标识信息与 N个参考 标识之间的映射表； N个参考标识用于一一对应地索引 N个公钥，第一公钥对为 N个公钥 中的任一个， N为大于 0的整数。
确定单元 1205， 用于根据参考标识确定第一公钥对应的第二网络设备的标识信息， 包 括- 确定单元 1205， 还用于根据第二网络设备的标识信息与 N个参考标识之间的映射表， 确定第一公钥对应的第二网络设备的标识信息。
前述图 2-图 9所示实施例中的秘钥管理装置对秘钥的管理方法和具体实例同样适用于 本实施例的秘钥管理装置， 通过前述对秘钥的管理方法的详细描述， 本领域技术人员可以 清楚的知道本实施例秘钥管理装置的实施方法， 所以为了说明书的简洁， 在此不再详述。
图 14为本申请提供的一种公钥管理装置 140的示意图五， 该公钥管理装置 140可以 包括：
接收单元 1401， 用于接收第一网络设备发送的第三用户身份消息； 其中， 第三用户身 份消息包括用户身份信息， 及用于索引第一公钥的参考标识。
确定单元 1402， 用于根据参考标识确定第一公钥对应的第一私钥； 第一公钥和第一私 钥为第一公私钥对。
解密单元 1403， 用于根据第一私钥对用户身份信息进行解密， 获取解密后的用户身份 信息。
发送单元 1404， 用于向第三网络设备发送解密后的用户身份信息， 以使第三网络设备 对解密后的用户身份信息进行处理。
可选的， 接收单元 1401， 具体用于接收通过第三网络设备转发的第三用户身份消息。 可选的， 该秘钥管理装置 140还可以包括判断单元 1405。 请参见图 15所示， 图 15为 本申请提供的一种公钥管理装置 140的示意图六。
判断单元 1405， 用于判断第一公钥是否处于有效期；
确定单元 1402， 具体用于当第一公钥处于有效期时， 根据参考标识确定第一公钥对应 的第一私钥。
可选的， 该秘钥管理装置 140还可以包括：
获取单元 1406， 用于获取 N对公私钥对及 N个参考标识， N个参考标识用于一一对 应地索引 N个公私钥对， 第一公私钥对为 N对公私钥对中的任一对， N为大于 0的整数。
可选的， 获取单元 1406， 具体用于生成 N对公私钥对， 并为 N对公私钥对中的公钥 分配参考标识。
可选的， 获取单元 1406， 具体用于生成 N对公私钥对； 发送单元 1404， 还用于向第 四网络设备发送参考标识请求消息， 参考标识请求消息包括 N对公私钥对中的公钥， 参考 标识请求消息用于请求第四网络设备为 N对公私钥对中的公钥分配参考标识；
接收单元 1401， 还用于接收第四网络设备发送的 N对公私钥对中的公钥及 N个参考 标识。
可选的， 接收单元 1401， 还用于接收第四网络设备发送的 N对公私钥对及 N个参考 标识。
可选的， 获取单元 1406， 还用于从 N个公私钥对中获取第一公钥， 以及从 N个参考 标识中获取参考标识。
发送单元 1404， 还用于向用户设备发送第一公钥及参考标识。
可选的， 发送单元 1404， 还用于向第一网络设备发送第四用户身份消息； 其中， 第四 用户身份消息包括解密后的用户身份信息和第一公钥， 以使第一网络设备根据第一公钥对 第四用户身份消息进行处理。
可选的， 发送单元 1404， 还用于通过第三网络设备向第一网络设备转发第四用户身份 消息。
可选的， 发送单元 1404， 还用于当第一公钥不处于有效期时， 向用户设备发送公钥更 新请求消息， 公钥更新请求消息用于指示用户设备更新第一公钥。
可选的， 发送单元 1404， 还用于向第一网络设备发送第二网络设备的标识信息与 N 个参考标识之间的映射表； N个参考标识用于一一对应地索引 N个公钥， 第一公钥对为 N 个公钥中的任一个， N为大于 0的整数。
接收单元 1401，具体用于接收第一网络设备根据第二网络设备的标识信息与 N个参考 标识之间的映射表发送第三用户身份消息。
前述图 2-图 9所示实施例中的秘钥管理装置对秘钥的管理方法和具体实例同样适用于 本实施例的秘钥管理装置， 通过前述对秘钥的管理方法的详细描述， 本领域技术人员可以 清楚的知道本实施例秘钥管理装置的实施方法， 所以为了说明书的简洁， 在此不再详述。 图 16为本申请提供的一种公钥管理装置 160的示意图七， 该公钥管理装置 160可以 包括：
接收单元 1601， 用于接收第一网络设备发送的第一用户身份消息； 其中， 第一用户身 份消息包括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识。
确定单元 1602， 用于若指示标识表示用户身份信息处于加密状态， 则根据参考标识确 定参考标识对应的第二网络设备的标识信息。
发送单元 1603， 用于根据第二网络设备的标识信息， 向第二网络设备发送第三用户身 份消息， 第三用户身份消息包括使用用户身份信息， 及用于索引第一公钥的参考标识； 以 使第二网络设备根据参考标识对第三用户身份消息进行处理。
可选的， 接收单元 1601， 还用于接收第二网络设备发送的第四用户身份消息， 其中， 第四用户身份消息包括解密后的用户身份信息和第一公钥；
发送单元 1603， 还用于向第一网络设备发送第四用户身份消息， 以使第一网络设备根 据第一公钥对第四用户身份消息进行处理。
可选的， 接收单元 1601， 还用于接收第一网络设备发送的指示信息； 指示消息包括解 密后的用户身份信息， 指示信息用于指示第三网络设备对解密后的用户身份信息进行处理。
可选的， 接收单元 1601， 还用于接收第二网络设备发送的第二网络设备的标识信息与 N个参考标识之间的映射表； N个参考标识用于一一对应地索引 N个公钥， 第一公钥对为 N个公钥中的任一个， N为大于 0的整数；
确定单元 1602，具体用于根据第二网络设备的标识信息与 N个参考标识之间的映射表， 确定参考标识对应的第二网络设备的标识信息。
可选的， 发送单元 1603， 还用于向第一网络设备发送第三网络设备的标识信息与 N 个参考标识之间的映射表；
接收单元 1601，具体用于接收第一网络设备根据第三网络设备的标识信息与 N个参考 标识之间的映射表转发的用户设备的第一用户身份消息。
前述图 2-图 9所示实施例中的秘钥管理装置对秘钥的管理方法和具体实例同样适用于 本实施例的秘钥管理装置， 通过前述对秘钥的管理方法的详细描述， 本领域技术人员可以 清楚的知道本实施例秘钥管理装置的实施方法， 所以为了说明书的简洁， 在此不再详述。
图 17为本申请提供的一种公钥管理装置 170的示意图八， 该公钥管理装置 170可以 包括：
获取单元 1701， 用于获取 N个公钥， N为大于 0的整数。
分配单元 1702， 用于为 N个公钥分配 N个参考标识， N个参考标识用于一一对应地 索引 N个公钥。
发送单元 1703， 用于向第二网络设备发送 N个公钥和 N个参考标识， 以使第二网络 设备获取 N个公钥和 N个参考标识。
可选的，获取单元 1701，具体用于生成 N个公私钥对，每个公私钥对包括公钥和私钥，
N个公钥为 N个公私钥对中的公钥；
发送单元 1703， 还用于向第二网络设备发送 N个公私钥对及 N个参考标识。
可选的， 接收单元， 还用于接收第二网络设备发送的参考标识请求消息， 参考标识请 求消息包括 N对公私钥对中的公钥，参考标识请求消息用于请求第四网络设备为 N对公私 钥对中的公钥分配参考标识。
可选的， 获取单元 1701， 还用于从 N个公钥中获取第一公钥， 以及从 N个参考标识 中获取用于索弓 I第一公钥的参考标识；
发送单元 1703， 还用于向用户设备发送第一公钥及参考标识。
前述图 2-图 9所示实施例中的秘钥管理装置对秘钥的管理方法和具体实例同样适用于 本实施例的秘钥管理装置， 通过前述对秘钥的管理方法的详细描述， 本领域技术人员可以 清楚的知道本实施例秘钥管理装置的实施方法， 所以为了说明书的简洁， 在此不再详述。
图 18为本申请提供的一种设备 180的框图， 请参见图 18所示， 该设备 180包括处理 器 1801和存储器 1802。
存储器 1802用于存储指令， 处理器 1801用于执行存储器 1802存储的指令， 当处理 器 1801执行存储器 1802存储的指令时， 该设备 180用于执行如上述图 2-图 9任意一个实 施例所述的方法。
应理解的是， 处理器 1801可以是中央处理单元 （Central Processing Unit, CPU) ， 还 可以是其他通用处理器 1801、 数字信号处理器 1801 (Digital Signal Processor, DSP) 、 专 用集成电路（Application Specific Integrated Circuit, ASIC)等。 通用处理器 1801可以是微 处理器 1801或者该处理器 1801也可以是任何常规的处理器 1801等。 结合本申请所公开 的方法的步骤可以直接体现为硬件处理器 1801执行完成， 或者用处理器 1801中的硬件及 软件模块组合执行完成。
实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。 前述 的程序可以存储于一可读取存储器 1802 中。 该程序在执行时， 执行包括上述各方法实施 例的步骤； 而前述的存储器 1802 (存储介质）包括： 只读存储器 1802 (read-only memory, ROM) 、 RAM、 快闪存储器 1802、 硬盘、 固态硬盘、 磁带（magnetic tape) 、 软盘（floppy disk) 、 光盘 (optical disc) 及其任意组合。
本申请还提供一种可读存储介质， 可读存储介质中存储有指令。
当用户设备的至少一个处理器执行该指令时， 用户设备执行上述图 2-图 9方法实施例 中提供的秘钥管理方法。
本申请还提供一种可读存储介质， 可读存储介质中存储有指令， 当网络设备的至少一 个处理器执行该指令时， 网络设备执行上述图 2-图 9方法实施例中提供的秘钥管理方法。
以上所述， 仅为本申请的具体实施方式， 但本申请的保护范围并不局限于此， 任何熟 悉本技术领域的技术人员在本申请揭露的技术范围内， 可轻易想到变化或替换， 都应涵盖 在本申请的保护范围之内。 因此， 本申请的保护范围应以所述权利要求的保护范围为准。

Claims

1、 一种秘钥管理方法， 其特征在于， 所述方法包括：
用户设备根据第一公钥对用户身份信息进行加密；
所述用户设备向第一网络设备发送第一用户身份消息； 其中， 所述第一用户身份消息 包括用户身份信息， 用于表示是否加密的指示标识及用于索引所述第一公钥的参考标识， 以使得所述第一网络设备根据所述指示标识和参考标识对所述第一用户身份消息进行处 理。
2、 根据权利要求 1 所述的方法， 其特征在于， 所述用户设备根据第一公钥对用户身 份信息进行加密之前， 所述方法还包括：
所述用户设备确定是否对用户身份信息进行加密；
当确定不对所述用户身份信息进行加密时， 所述用户设备向所述第一网络设备发送第 二用户身份消息； 所述第二用户身份消息包括所述未加密的用户身份信息以及所述指示标 识。
3、 根据权利要求 2所述的方法， 其特征在于， 所述用户设备根据第一公钥对用户身 份信息进行加密之前， 还包括：
所述用户设备判断所述第一公钥是否处于有效期；
所述用户设备根据第一公钥对用户身份信息进行加密， 包括：
当所述第一公钥处于有效期时， 所述用户设备根据第一公钥对用户身份信息进行加密 (
4、 根据权利要求 1-3任一项所述的方法， 其特征在于，
所述指示标识为 0时， 表示所述用户身份信息处于未加密状态。
5、 一种秘钥管理方法， 其特征在于， 所述方法包括：
第一网络设备接收用户设备发送的第一用户身份消息； 其中， 所述第一用户身份消息 包括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识；
若所述指示标识表示用户身份信息处于加密状态， 则所述第一网络设备根据所述参考 标识向所述第二网络设备发送第三用户身份消息； 其中， 所述第三用户身份消息包括所述 用户身份信息和所述参考标识， 以使所述第二网络设备根据所述参考标识对所述用户身份 信息进行处理。
6、 根据权利要求 5 所述的方法， 其特征在于， 所述第一网络设备根据所述参考标识 向所述第二网络设备发送第三用户身份消息， 包括：
所述第一网络设备根据所述参考标识向第三网络设备发送所述第一用户身份消息； 以 使所述第三网络设备在所述指示标识表示用户身份信息处于加密状态时， 向所述第二网络 设备发送所述第三用户身份消息。
7、 根据权利要求 5或 6所述的方法， 其特征在于， 还包括：
所述第一网络设备接收所述第二网络设备发送的第四身份消息； 所述第四用户身份消 息包括解密后的用户身份信息和所述第一公钥；
所述第一网络设备利用所述第一公钥对解密后的用户身份信息进行加密， 以生成需验 证的用户身份信息；
所述第一网络设备将所述需验证的用户身份信息与所述用户身份信息进行比较； 若所述需验证的用户身份信息与所述用户身份信息相同， 则所述第一网络设备向所述 第三网络设备发送指示信息， 所述指示消息包括所述解密后的用户身份信息， 所述指示信 息用于指示所述第三网络设备对所述解密后的用户身份信息进行处理。
8、 一种秘钥管理方法， 其特征在于， 所述方法包括：
第二网络设备接收第一网络设备发送的第三用户身份消息； 其中， 所述第三用户身份 消息包括用户身份信息， 及用于索引第一公钥的参考标识；
所述第二网络设备根据所述参考标识确定所述第一公钥对应的第一私钥； 所述第一公 钥和所述第一私钥为第一公私钥对；
所述第二网络设备根据所述第一私钥对所述用户身份信息进行解密， 获取解密后的用 户身份信息；
所述第二网络设备向第三网络设备发送所述解密后的用户身份信息， 以使所述第三网 络设备对所述解密后的用户身份信息进行处理。
9、 根据权利要求 8 所述的方法， 其特征在于， 所述第二网络设备根据所述参考标识 确定所述第一公钥对应的第一私钥之前， 还包括：
所述第二网络设备判断所述第一公钥是否处于有效期；
所述第二网络设备根据所述参考标识确定所述第一公钥对应的第一私钥， 包括： 当所述第一公钥处于有效期时， 所述第二网络设备根据所述参考标识确定所述第一公 钥对应的第一私钥。
10、 根据权利要求 8或 9所述的方法， 其特征在于， 所述第二网络设备接收第一网络 设备发送的第三用户身份消息之前， 还包括：
所述第二网络设备获取 N对公私钥对及 N个参考标识， 所述 N个参考标识用于一一 对应地索引所述 N个公私钥对，所述第一公私钥对为所述 N对公私钥对中的任一对，所述 N为大于 0的整数。
11、 根据权利要求 8-10任一项所述的方法， 其特征在于， 所述第二网络设备接收第一 网络设备发送的第三用户身份消息之前， 还包括：
所述第二网络设备从所述 N个公私钥对中获取所述第一公钥，以及从所述 N个参考标 识中获取所述参考标识；
所述第二网络设备向所述用户设备发送所述第一公钥及所述参考标识。
12、 根据权利要求 8-11任一项所述的方法， 其特征在于， 所述第二网络设备接收第一 网络设备发送的第三用户身份消息之前， 还包括：
所述第二网络设备向所述第一网络设备发送所述第二网络设备的标识信息与 N个参考 标识之间的映射表；所述 N个参考标识用于一一对应地索引 N个公钥，所述第一公钥对为 所述 N个公钥中的任一个， 所述 N为大于 0的整数；
所述第二网络设备接收第一网络设备发送的第三用户身份消息， 包括：
所述第二网络设备接收所述第一网络设备根据所述第二网络设备的标识信息与所述 N 个参考标识之间的映射表发送所述第三用户身份消息。
13、 一种秘钥管理方法， 其特征在于， 所述方法包括：
第三网络设备接收第一网络设备发送的第一用户身份消息； 其中， 所述第一用户身份 消息包括用户身份信息， 用于表示是否加密的指示标识及用于索引所述第一公钥的参考标 识；
若所述指示标识表示用户身份信息处于加密状态， 则所述第三网络设备根据所述参考 标识确定所述参考标识对应的第二网络设备的标识信息；
所述第三网络设备根据所述第二网络设备的标识信息， 向所述第二网络设备发送第三 用户身份消息， 所述第三用户身份消息包括使用所述用户身份信息， 及用于索引所述第一 公钥的参考标识； 以使所述第二网络设备根据所述参考标识对所述第三用户身份消息进行 处理。
14、 根据权利要求 13 所述的方法， 其特征在于， 所述第三网络设备根据所述参考标 识确定所述参考标识对应的第二网络设备的标识信息之前， 还包括：
所述第三网络设备接收所述第二网络设备发送的所述第二网络设备的标识信息与 N个 参考标识之间的映射表；所述 N个参考标识用于一一对应地索引 N个公钥，所述第一公钥 对为所述 N个公钥中的任一个， 所述 N为大于 0的整数；
所述第三网络设备根据所述参考标识确定所述参考标识对应的第二网络设备的标识 信息， 包括- 所述第三网络设备根据所述第二网络设备的标识信息与 N个参考标识之间的映射表， 确定所述参考标识对应的第二网络设备的标识信息。
15、 根据权利要求 13或 14所述的方法， 其特征在于， 所述第三网络设备接收第二网 络设备发送的所述第二网络设备的标识信息与 N个参考标识之间的映射表之后， 还包括： 所述第三网络设备向第一网络设备发送所述第三网络设备的标识信息与所述 N个参考 标识之间的映射表；
所述第三网络设备接收第一网络设备发送的第一用户身份消息， 包括：
所述第三网络设备接收所述第一网络设备根据所述第三网络设备的标识信息与所述 N 个参考标识之间的映射表转发的所述用户设备的第一用户身份消息。
16、 一种秘钥管理方法， 其特征在于， 所述方法包括：
第四网络设备获取 N个公钥， 所述 N为大于 0的整数；
所述第四网络设备为所述 N个公钥分配 N个参考标识， 所述 N个参考标识用于一一 对应地索引所述 N个公钥；
所述第四网络设备向第二网络设备发送所述 N个公钥和所述 N个参考标识，以使所述 第二网络设备获取所述 N个公钥和所述 N个参考标识。
17、 根据权利要求 15所述的方法， 其特征在于， 还包括：
所述第四网络设备从所述 N个公钥中获取第一公钥，以及从所述 N个参考标识中获取 用于索引所述第一公钥的参考标识；
所述第四网络设备向所述用户设备发送所述第一公钥及所述参考标识。
18、 一种秘钥管理装置， 其特征在于， 所述装置包括：
加密单元， 用于根据第一公钥对用户身份信息进行加密；
发送单元， 用于向第一网络设备发送第一用户身份消息； 其中， 所述第一用户身份消 息包括用户身份信息， 用于表示是否加密的指示标识及用于索引所述第一公钥的参考标识， 以使得所述第一网络设备根据所述指示标识和参考标识对所述第一用户身份消息进行处 理。
19、 根据权利要求 18所述的装置， 其特征在于，
所述加密单元， 还用于确定是否对用户身份信息进行加密；
所述发送单元， 还用于当确定不对所述用户身份信息进行加密时， 所述用户设备向所 述第一网络设备发送第二用户身份消息； 所述第二用户身份消息包括所述未加密的用户身 份信息以及所述指示标识。
20、 根据权利要求 19所述的装置， 其特征在于， 还包括：
判断单元， 用于判断所述第一公钥是否处于有效期；
所述加密单元， 具体用于当所述第一公钥处于有效期时， 根据第一公钥对用户身份信 息进行加密。
21、 一种秘钥管理装置， 其特征在于， 所述装置包括：
接收单元， 用于接收用户设备发送的第一用户身份消息； 其中， 所述第一用户身份消 息包括用户身份信息， 用于表示是否加密的指示标识及用于索引第一公钥的参考标识； 发送单元， 用于若所述指示标识表示用户身份信息处于加密状态， 则根据所述参考标 识向所述第二网络设备发送第三用户身份消息； 其中， 所述第三用户身份消息包括所述用 户身份信息和所述参考标识， 以使所述第二网络设备根据所述参考标识对所述用户身份信 息进行处理。
22、 根据权利要求 21所述的装置， 其特征在于，
所述发送单元， 具体用于根据所述参考标识向第三网络设备发送所述第一用户身份消 息； 以使所述第三网络设备在所述指示标识表示用户身份信息处于加密状态时， 向所述第 二网络设备发送所述第三用户身份消息。
23、 根据权利要求 21或 22所述的装置， 其特征在于， 还包括：
所述接收单元， 还用于接收所述第二网络设备发送的第四身份消息； 所述第四用户身 份消息包括解密后的用户身份信息和所述第一公钥；
加密单元， 用于利用所述第一公钥对解密后的用户身份信息进行加密， 以生成需验证 的用户身份信息；
比较单元， 用于将所述需验证的用户身份信息与所述用户身份信息进行比较； 所述发送单元， 还用于若所述需验证的用户身份信息与所述用户身份信息相同， 则向 所述第三网络设备发送指示信息， 所述指示消息包括所述解密后的用户身份信息， 所述指 示信息用于指示所述第三网络设备对所述解密后的用户身份信息进行处理。
24、 一种秘钥管理装置， 其特征在于， 所述装置包括：
接收单元， 用于接收第一网络设备发送的第三用户身份消息； 其中， 所述第三用户身 份消息包括用户身份信息， 及用于索引第一公钥的参考标识；
确定单元， 用于根据所述参考标识确定所述第一公钥对应的第一私钥； 所述第一公钥 和所述第一私钥为第一公私钥对；
解密单元， 用于根据所述第一私钥对所述用户身份信息进行解密， 获取解密后的用户 身份信息；
发送单元， 用于向第三网络设备发送所述解密后的用户身份信息， 以使所述第三网络 设备对所述解密后的用户身份信息进行处理。
25、 根据权利要求 24所述的装置， 其特征在于， 还包括： 判断单元， 用于判断所述第一公钥是否处于有效期；
所述确定单元， 具体用于当所述第一公钥处于有效期时， 根据所述参考标识确定所述 第一公钥对应的第一私钥。
26、 根据权利要求 24或 25所述的装置， 其特征在于， 还包括：
获取单元， 用于获取 N对公私钥对及 N个参考标识， 所述 N个参考标识用于一一对 应地索引所述 N个公私钥对，所述第一公私钥对为所述 N对公私钥对中的任一对，所述 N 为大于 0的整数。
27、 根据权利要求 26所述的装置， 其特征在于，
所述获取单元，还用于从所述 N个公私钥对中获取所述第一公钥， 以及从所述 N个参 考标识中获取所述参考标识；
所述发送单元， 还用于向所述用户设备发送所述第一公钥及所述参考标识。
28、 根据权利要求 24-27任一项所述的装置， 其特征在于，
所述发送单元，还用于向所述第一网络设备发送所述第二网络设备的标识信息与 N个 参考标识之间的映射表；所述 N个参考标识用于一一对应地索引 N个公钥，所述第一公钥 对为所述 N个公钥中的任一个， 所述 N为大于 0的整数；
所述接收单元， 具体用于接收所述第一网络设备根据所述第二网络设备的标识信息与 所述 N个参考标识之间的映射表发送所述第三用户身份消息。
29、 一种秘钥管理装置， 其特征在于， 所述装置包括：
接收单元， 用于接收第一网络设备发送的第一用户身份消息； 其中， 所述第一用户身 份消息包括用户身份信息， 用于表示是否加密的指示标识及用于索引所述第一公钥的参考 标识；
确定单元， 用于若所述指示标识表示用户身份信息处于加密状态， 则根据所述参考标 识确定所述参考标识对应的第二网络设备的标识信息；
发送单元， 用于根据所述第二网络设备的标识信息， 向所述第二网络设备发送第三用 户身份消息， 所述第三用户身份消息包括使用所述用户身份信息， 及用于索引所述第一公 钥的参考标识； 以使所述第二网络设备根据所述参考标识对所述第三用户身份消息进行处 理。
30、 根据权利要求 29所述的装置， 其特征在于，
所述接收单元， 还用于接收所述第二网络设备发送的所述第二网络设备的标识信息与 N个参考标识之间的映射表；所述 N个参考标识用于一一对应地索引 N个公钥，所述第一 公钥对为所述 N个公钥中的任一个， 所述 N为大于 0的整数；
所述确定单元，具体用于根据所述第二网络设备的标识信息与 N个参考标识之间的映 射表， 确定所述参考标识对应的第二网络设备的标识信息。
31、 根据权利要求 29或 30所述的装置， 其特征在于，
所述发送单元，还用于向第一网络设备发送所述第三网络设备的标识信息与所述 N个 参考标识之间的映射表；
所述接收单元， 具体用于接收所述第一网络设备根据所述第三网络设备的标识信息与 所述 N个参考标识之间的映射表转发的所述用户设备的第一用户身份消息。
32、 一种秘钥管理装置， 其特征在于， 所述装置包括： 获取单元， 用于获取 N个公钥， 所述 N为大于 0的整数；
分配单元， 用于为所述 N个公钥分配 N个参考标识， 所述 N个 考标识用于一一对 应地索引所述 N个公钥；
发送单元，用于向第二网络设备发送所述 N个公钥和所述 N个参考标识， 以使所述第 二网络设备获取所述 N个公钥和所述 N个参考标识。
33、 根据权利要求 32所述的装置， 其特征在于，
所述获取单元，还用于从所述 N个公钥中获取第一公钥， 以及从所述 N个参考标识中 获取用于索弓 I所述第一公钥的参考标识；
所述发送单元， 还用于向所述用户设备发送所述第一公钥及所述参考标识。
PCT/SG2017/050492 2017-09-29 2017-09-29 秘钥管理方法和装置 Ceased WO2019066720A1 (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
PCT/SG2017/050492 WO2019066720A1 (zh) 2017-09-29 2017-09-29 秘钥管理方法和装置
CN201910304043.1A CN110166230B (zh) 2017-09-29 2017-09-29 秘钥管理方法和装置
CN201780060472.8A CN109845187B (zh) 2017-09-29 2017-09-29 秘钥管理方法和装置
EP17926402.3A EP3557815A4 (en) 2017-09-29 2017-09-29 KEY MANAGEMENT PROCESS AND DEVICE
US16/688,729 US11159311B2 (en) 2017-09-29 2019-11-19 Encryption key management method and apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/SG2017/050492 WO2019066720A1 (zh) 2017-09-29 2017-09-29 秘钥管理方法和装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/688,729 Continuation US11159311B2 (en) 2017-09-29 2019-11-19 Encryption key management method and apparatus

Publications (1)

Publication Number Publication Date
WO2019066720A1 true WO2019066720A1 (zh) 2019-04-04

Family

ID=65903480

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/SG2017/050492 Ceased WO2019066720A1 (zh) 2017-09-29 2017-09-29 秘钥管理方法和装置

Country Status (4)

Country Link
US (1) US11159311B2 (zh)
EP (1) EP3557815A4 (zh)
CN (2) CN109845187B (zh)
WO (1) WO2019066720A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2023515339A (ja) * 2020-02-21 2023-04-13 テレフオンアクチーボラゲット エルエム エリクソン（パブル） 認証および鍵管理における認証サーバー機能の選択
US20240244427A1 (en) * 2023-01-12 2024-07-18 Samsung Electronics Co., Ltd. Method and apparatus for protecting privacy issue for authentication and key management for applications

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12003957B2 (en) * 2018-10-04 2024-06-04 Google Llc Distributed network cellular identity management
EP4169278A4 (en) * 2020-07-23 2023-12-06 Samsung Electronics Co., Ltd. METHODS AND SYSTEMS FOR IDENTIFYING EXHIBITS AND ACCESSING RELATED KEYS IN 5G PROSE
CN117062051A (zh) * 2022-05-06 2023-11-14 华为技术有限公司 密钥管理方法及通信装置
EP4581791A4 (en) * 2022-08-31 2026-02-25 Entrust Corp DISTRIBUTION OF SINGLE-USE PASSWORDS VIA AN UNAUTHENTICATED CHANNEL IN THE BAND
WO2024177348A1 (en) * 2023-02-22 2024-08-29 Samsung Electronics Co., Ltd. Method and apparatus for dynamic data encryption in a communication system with forward secrecy

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101739525B (zh) * 2009-11-30 2012-02-22 飞天诚信科技股份有限公司 安全校验的方法、编译装置、可运行.net程 序的装置和系统

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7921290B2 (en) * 2001-04-18 2011-04-05 Ipass Inc. Method and system for securely authenticating network access credentials for users
US20050154887A1 (en) * 2004-01-12 2005-07-14 International Business Machines Corporation System and method for secure network state management and single sign-on
US8347090B2 (en) * 2006-10-16 2013-01-01 Nokia Corporation Encryption of identifiers in a communication system
US8601600B1 (en) * 2010-05-18 2013-12-03 Google Inc. Storing encrypted objects
US8631460B2 (en) * 2011-03-23 2014-01-14 CipherPoint Software, Inc. Systems and methods for implementing transparent encryption
US9491146B2 (en) * 2011-09-07 2016-11-08 Elwha Llc Computational systems and methods for encrypting data for anonymous storage
US8694771B2 (en) * 2012-02-10 2014-04-08 Connect In Private Panama Corp. Method and system for a certificate-less authenticated encryption scheme using identity-based encryption
JP6218841B2 (ja) 2012-10-15 2017-10-25 コーニンクレッカ フィリップス エヌ ヴェＫｏｎｉｎｋｌｉｊｋｅ Ｐｈｉｌｉｐｓ Ｎ．Ｖ． ワイヤレス通信システム
US9106412B2 (en) * 2013-03-08 2015-08-11 Mcafee, Inc. Data protection using programmatically generated key pairs from a master key and a descriptor
US20160036786A1 (en) * 2014-08-02 2016-02-04 Hardik Prakash GANDHI System and method facilitating enhanced inter-object and human-object interactivity using networked electronic devices
CN106330442B (zh) * 2015-06-17 2020-04-28 中兴通讯股份有限公司 身份认证方法、装置及系统
GB2543072B (en) 2015-10-07 2021-02-10 Enclave Networks Ltd Public key infrastructure & method of distribution
CN108667608B (zh) * 2017-03-28 2021-07-27 阿里巴巴集团控股有限公司 数据密钥的保护方法、装置和系统

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101739525B (zh) * 2009-11-30 2012-02-22 飞天诚信科技股份有限公司 安全校验的方法、编译装置、可运行.net程 序的装置和系统

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
"Skeleton Proposal for Privacy Related Sub-clauses S3-171777", 3GPP TSG SA WG3 (SECURITY) MEETING #88, 31 July 2017 (2017-07-31), Dali, China, XP051311058 *
"Subscriber Identity Privacy and Its Management S3-171953", 3GPPTSG SA WG3 (SECURITY) MEETING #88, 31 July 2017 (2017-07-31), pages S3, XP051311058, Retrieved from the Internet <URL:http://www.3gpp.org/ftp/tsg sa/WG3 Security/TSGS3 _88_ Dali/Docs> *
"Technical Specification, 3rd Generation Partnership Project Technical Specification Group Services and System Aspects ; Security Architecture and Procedures for 5G System (Release 15", 3GPP TS 33.501 V0.3.0 (08.2017 S3-172147, 21 August 2017 (2017-08-21), pages 3, XP051336125, Retrieved from the Internet <URL:http://www.3gpp.org/ftp/tsg sa/WG3_ Security/TSGS3_ 88_ Dali/Docs> [retrieved on 20171115] *
See also references of EP3557815A4 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2023515339A (ja) * 2020-02-21 2023-04-13 テレフオンアクチーボラゲット エルエム エリクソン（パブル） 認証および鍵管理における認証サーバー機能の選択
JP2024026380A (ja) * 2020-02-21 2024-02-28 テレフオンアクチーボラゲット エルエム エリクソン（パブル） 認証および鍵管理における認証サーバー機能の選択
JP7455217B2 (ja) 2020-02-21 2024-03-25 テレフオンアクチーボラゲット エルエム エリクソン（パブル） 認証および鍵管理における認証サーバー機能の選択
JP7706533B2 (ja) 2020-02-21 2025-07-11 テレフオンアクチーボラゲット エルエム エリクソン（パブル） 認証および鍵管理における認証サーバー機能の選択
US12470919B2 (en) 2020-02-21 2025-11-11 Telefonaktiebolaget Lm Ericsson (Publ) Authentication server function selection in authentication and key management
US20240244427A1 (en) * 2023-01-12 2024-07-18 Samsung Electronics Co., Ltd. Method and apparatus for protecting privacy issue for authentication and key management for applications

Also Published As

Publication number Publication date
US20200084028A1 (en) 2020-03-12
EP3557815A1 (en) 2019-10-23
CN110166230A (zh) 2019-08-23
EP3557815A4 (en) 2019-10-23
US11159311B2 (en) 2021-10-26
CN109845187B (zh) 2023-06-02
CN110166230B (zh) 2020-10-16
CN109845187A (zh) 2019-06-04

Similar Documents

Publication Publication Date Title
CN105050081B (zh) 网络接入设备接入无线网络接入点的方法、装置和系统
WO2019066720A1 (zh) 秘钥管理方法和装置
US11178125B2 (en) Wireless network connection method, wireless access point, server, and system
US11246033B2 (en) Authentication method, and related device and system
TW201709764A (zh) 自動建立無線網路連線的方法及閘道器裝置與客戶端裝置
CN108012266B (zh) 一种数据传输方法及相关设备
CN109728913B (zh) 一种设备合法性验证方法、相关设备以及系统
US20220400006A1 (en) Touchless key provisioning operation for communication devices
CN105553932A (zh) 智能家电设备的远程控制安全绑定方法、装置和系统
CN102273239A (zh) 用于在通信网络中标识合法用户设备的解决方案
CN105516103A (zh) 绑定智能家电设备的方法、装置和系统
JP5380583B1 (ja) デバイス認証方法及びシステム
CN104365127B (zh) 用于在远程显示单元上追踪移动设备的方法
CN103096301A (zh) 无线局域网接入点验证的方法及站点
WO2018045842A1 (zh) 入网认证处理方法及装置
CN108323229A (zh) 用于基于位置的服务的安全ble广播系统
CN111918289A (zh) 终端接入方法、装置和服务器
WO2014194818A1 (zh) 一种用于发现设备的用户的方法和用户设备
JP2023549951A (ja) 端末測位方法、端末測位システム、記憶媒体及び電子装置
KR20140033824A (ko) 스마트 디바이스에서 해쉬값 기반 대칭키 암호화 시스템 및 방법
CN111901795A (zh) 接入方法及核心网设备、微基站管理服务器
CN111148098A (zh) 5g终端设备注册方法、设备及存储介质
JP5721183B2 (ja) 無線ｌａｎ通信システム、無線ｌａｎ親機、通信接続確立方法、及びプログラム
IL254758B2 (en) Method, equipment and computer software product for code encryption
WO2014201783A1 (zh) 一种自组网的加密鉴权方法、系统及终端

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17926402

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017926402

Country of ref document: EP

Effective date: 20190716

NENP Non-entry into the national phase

Ref country code: DE