[发明专利]密钥获取方法及装置

说明书

本申请公开了一种密钥获取方法和装置，其中方法包括：用户设备UE生成密钥标识KID，其中，所述KID包括归属网络标识,路由信息和输出结果；以及所述UE向应用功能网元AF发送应用会话建立请求，其中，所述应用会话建立请求中包括所述KID。本申请实施例公开了生成KID的方法，以便根据KID寻址到对应的网元，使得AF获取到密钥信息，并根据获取到的密钥信息完成与用户设备建立应用会话，提升建立应用会话的效率。

技术领域

本申请涉及通信技术领域，尤其涉及一种密钥获取方法及装置。

背景技术

在应用的认证和密钥管理(Authentication and Key Management forApplications,AKMA)的密钥架构中，用户设备(User Equipment,UE)和网络侧各自生成各个密钥。在网络侧，在UE完成主认证之后，认证服务器功能(Authentication SeverFunction,AUSF)可根据主认证过程中生成的AUSF密钥K_AUSF生成AKMA密钥K_AKMA，K_AKMA是perUE粒度的密钥(即每个UE有其专有的K_AKMA)。AUSF将生成的K_AKMA传递给AKMA锚点功能(AKMAAnchor Function,AAnF)。AAnF再根据K_AKMA为一个应用功能(Application Function，AF)生成应用密钥K_AF。K_AF是一个per UE、per application粒度的密钥(即一个UE在访问一个AF时使用专有的K_AF)。在UE侧，在认证过程中，UE采用与网络侧相同的参数和算法生成K_AUSF。认证成功之后，UE可根据K_AUSF，采用与网络侧相同的参数和算法生成K_AKMA，并根据K_AKMA，采用与网络侧相同的参数和算法生成K_AF。然后UE侧与网络侧基于K_AF进行UE与AF之间的流量保护。

在这个过程中，每个K_AKMA由一个唯一密钥标识K_AKMA ID(在该发明中称为KID)来标识。当UE访问AF时，UE向AF发送KID，用于指示UE使用的K_AKMA。AF接收到KID之后，向AAnF发送该KID，AAnF从正确的AUSF中获取KID对应的K_AKMA，以便使用K_AKMA生成K_AF，并将K_AF发送给AF。这样就保证了UE和AF使用相同的K_AF，即该K_AF是由KID标识的K_AKMA生成的，从而完成了UE和AF之间的密钥协商，完成UE和AF的会话建立的过程。现有技术中缺乏关于如何寻址到正确的AUSF的方法，造成上述UE和AF之间的密钥协商过程效率低下。

发明内容

本申请实施例提供了一种密钥获取方法及装置，以使得AF正确寻址到网元，并从网元中获取密钥，提升AF与UE建立应用会话的效率。

第一方面，提供了一种密钥获取方法，包括：

用户设备UE生成密钥标识KID，其中，所述KID包括输出结果；以及

所述UE向应用功能网元AF发送应用会话建立请求，其中，所述应用会话建立请求中包括所述KID。

在本申请实施例中，UE生成的KID中包括归属网络标识，路由信息和输出结果，其中归属网络标识用于寻址目标AAnF，路由信息用于寻址目标UDM，输出结果用于UDM匹配到目标AUSF，并从目标AUSF中获取到UE对应的K_AKMA，该过程解决了如何寻址到正确的AUSF的方法，提升了UE和AF之间密钥协商的效率。

在一种可能的设计中，所述输出结果为对用户永久标识符SUPI加密后的密文。