[发明专利]安全通信的方法和装置

说明书

本申请提供了一种安全通信的方法和装置。终端从第一网元接收包括第一ID和安全策略的安全信息，其中，该安全策略用于指示所述第一ID进行安全处理所需的动态因子的生成方式。这样终端可以根据该安全策略，将第一ID进行安全处理生成第二ID，以第二ID作为终端标识符随数据包发送，相对于传统方案直接告知终端密钥，能够减少不可信网元的攻击，提高了安全性能。

本申请要求于2019年10月17日提交中国专利局、申请号为201910989435.6、申请名称为“安全通信的方法和装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本申请涉及通信技术领域，更具体地涉及一种安全通信的方法和装置。

背景技术

网络可审计性要求网络系统具备识别、跟踪、溯源、过滤不合法或可疑网络流量的能 力，通常需要基于真实的、长久的终端标识(identity，ID)来进行网络流量的审计追踪。也就是说，数据包的发送者或接收者需要向不可信网元隐藏真实ID，同时还需要使得可 审计网元根据隐藏后的ID可以进行审计。

例如，在5G网络中，终端可以通过用户永久标识符(user permanent identifier，SUPI) 进行标识。为了隐藏该SUPI标识，终端获取可审计网元(例如，统一数据管理(udified data management，UDM))的公钥，并根据该公钥生成一个私钥，通过该公钥和私钥生成一 个共享密钥，再由该共享密钥派生出加密密钥，最后由该加密密钥对SUPI加密生成密文， 进而输出终端的标识为订阅隐藏标识符(subscription concealed identifier，SUCI)，从而 防止SUPI标识的泄露。然而，不可信网元通过关联在一段时间的数据包，仍然能够实现 对SUPI的攻击，使得终端的安全性能依然较低。因此，如何进一步防止不可信网元的攻 击，以进一步提高安全性能亟待解决。

发明内容

本申请提供一种安全通信的方法和装置，能够减少不可信网元的攻击，提高了安全性 能。

第一方面，提供了一种安全通信的方法，该方法包括:从第一网元接收安全信息，该 安全信息包括终端的第一标识ID和安全策略，该安全策略用于指示对该第一ID进行安全 处理所需的动态因子的生成方式；根据该安全策略，对该第一ID进行安全处理得到第二ID；向第二网元发送数据包，该数据包包括该第二ID。

终端从第一网元接收包括第一ID和安全策略的安全信息，并根据安全策略，将第一 ID进行安全处理生成第二ID，以第二ID作为终端标识符随数据包发送。本申请实施例终端通过安全策略指示的生成方式生成动态因子，进而根据该动态因子对第一ID进行安全处理得到第二ID，相对于传统方案直接告知终端密钥，能够减少不可信网元的攻击，提 高了安全性能。

在一些可能的实现方式中，该安全信息还包括密钥，其中，该根据该安全策略，对该 第一ID进行安全处理得到第二ID，包括：根据该安全策略，确定第一时刻的第一动态因子；根据该第一动态因子和该密钥，对该第一ID进行安全处理得到第一时刻对应的该第 二ID。

不同时刻对应不同的动态因子，即动态因子随时间的变化而变化。这样终端在不同时 刻采用不同的动态因子对第一ID进行安全处理，更进一步减少不可信网元的攻击，即更 进一步提高了安全性能。

在一些可能的实现方式中，该安全策略包括初始时刻和更新频率，该根据该安全策略， 确定第一时刻的第一动态因子包括：根据该第一时刻、该初始时刻和该更新频率，确定该 第一动态因子在动态因子序列中的第一序号；根据该第一序号，确定该第一动态因子。

终端可以根据初始时刻和更新频率，以及第一时刻确定该第一时刻对应的动态因子的 第一序号，进而从动态因子序列中找到该第一序号对应的动态因子，即本申请提供了一种 实现确定动态因子的方法，有助于根据不同时刻的动态因子，对第一ID进行不同的安全 处理，从而更进一步提高了安全性能。