[发明专利]一种数据加密的方法、装置和系统

说明书

技术领域

本发明涉及通信安全技术领域，特别是数据加密的方法、装置和系统。

背景技术

基于业务流的安全机制的实现方法对于实现安全通信具有重要的意义，现有技术中的实现方法是基于终端粒度的。

如图1所示，是一个分组移动通讯网络的架构示意图。终端通过基站系统接入网络，在移动管理实体中登记，其用户面数据经过接入网关汇聚后，通过数据网关接到业务网络。策略控制功能实体连接业务网络和承载网络，将业务的QoS(Quality of Service，服务质量)和策略控制规则下发到承载网络执行。

在不同的网络实现中，上述示意图中逻辑实体映射到不同的物理网元，例如：

在UMTS(Universal Mobile Telecommunications System，通用移动通信系统)网络中，基站系统对应NodeB(基站)和RNC(Radio Network Controller，无线网络控制器)，移动管理实体和接入网关合一为SGSN(Serving GPRSSupport Node，服务GPRS支持节点)，数据网关为GGSN(Gateway GPRSSupport Node，网关GPRS支持节点)，用户签约数据库为HLR(Home LocationRegister，位置归属移位寄存器)；

在下一代演进网络EPS(Evolved Packet System)中，基站系统为eNodeB(Evolved NodeB，演进基站)，移动管理实体为MME(Mobility ManagementEntity，移动管理实体)，接入网关为Serving GW(Serving Gateway，服务网关)，数据网关为PDN GW(Packet Data Network Gateway，数据网关)，用户签约数据库为HSS(Home Subscriber Server，归属地用户服务器)；

在WiMax(World Interoperability for Microwave Access，微波存取全球互通技术)网络中，基站系统为BS(Base Station)，移动管理实体和接入网关合一为ASN GW(Access Service Network Gateway，接入网关)，数据网关为HA(Home Agent，家乡代理)，用户签约数据库为AAA Server(Authentication，Authorization and Accounting Server，鉴权、授权和计费服务器)；

由于无线系统中，空口传输的数据存在被窃听和篡改的可能性，因此一般移动通讯网络都提供空口数据加密的功能(本文后文中所指加密特制空口数据加密，同时也包括数据完整性保护)，在有的系统中，加密通道建立在终端和基站系统之间，也有建立在终端和接入网关之间的。

以现有UMTS系统为例，其基于终端粒度的加密协商的流程如下：

1)终端附着到网络上，附着消息中携带自己的加密能力；

2)SGSN根据网络配置，与终端协商加密算法；

3)如果协商结果为需要加密，SGSN将确定的加密算法通知给终端和RNC，在终端和RNC之间建立加密通道保护用户的用户面数据。

上述UMTS网络的加密配置是基于终端粒度的，即如果网络中配置了打开加密功能，而终端又支持加密，则协商结果为需要加密。上述技术方案是也可以在用户签约数据中指示对该用户是否进行空口数据加密，网络根据该指示与终端协商是否加密。

现有技术对数据安全性的需求并不一定只有某些重要用户才有要求，任何人都不希望自己的通讯机密被窃听或篡改，如果普通用户的某些业务(如语音业务)由于缺少安全保护而产生泄密，同样可能造成重大损失，其结果是或者大多数用户都签约要求网络提供空口数据加密，甚至因某些原因，如法律强制要求网络必须对所有用户的某些基本业务(如语音业务)提供加密保护，运营商因此不得不仍然对大多数甚至所有用户的用户面数据进行加密保护。