[發明專利]秘鑰管理方法和裝置

有效

• 申請號: 201910304043.1
• 申請日: 2017-09-29
• 公開（公告）號: CN110166230B
• 公開（公告）日: 2020-10-16
• 發明（設計）人: 王海光;康鑫;雷中定;劉斐
• 申請（專利權）人: 華為國際有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;G06F21/46
• 代理公司: 北京龍雙利達知識產權代理有限公司 11329
• 代理人: 王君;肖鸝

本申請提供一種秘鑰管理方法和裝置，該秘鑰管理方法包括：用戶設備根據第一公鑰對用戶身份信息進行加密；用戶設備向第一網絡設備發送第一用戶身份消息；其中，第一用戶身份消息包括用戶身份信息，用于表示是否加密的指示標識及用于索引第一公鑰的參考標識，并通過第一網絡設備向第二網絡設備發送包括用戶身份信息及用于索引第一公鑰的參考標識的第三用戶身份消息，使得第二網絡設備在接收到該第三用戶身份消息時，可以根據預先存儲的公私鑰對及參考標識之間的映射表，確定第一公鑰對應的第一私鑰，從而通過該第一私鑰對加密的用戶身份信息進行解密，提高了數據的解密效率。

技術領域

本申請涉及通信技術領域，尤其涉及一種秘鑰管理方法和裝置。

背景技術

為了提高用戶身份信息的安全性，在發送用戶身份信息之前，通常使用家鄉網絡的公鑰對用戶身份信息進行加密，從而發送加密的用戶身份信息。

現有的公鑰加密系統可以包括用戶設備、接入與移動性管理功能(Access andMobility Function，AMF)設備、認證單元功能(Authentication Unit Function，AUSF)設備及認證信息功能(Authentication Repository Function，ARPF)設備，用戶設備在發送用戶永久身份(Subscriber Permnent Information(SUPI))信息之前，先使用公鑰對用戶身份信息進行加密處理，并將加密的用戶身份信息發送給存放所述公鑰對應的私鑰的AMF設備，AMF設備在接收到加密的用戶身份信息之后，將加密的用戶身份信息發送至AUSF設備，使得AUSF或者其它解密設備使用該公鑰對應的私鑰對加密的用戶身份信息進行解密，從而得到解密后的用戶身份信息，再將得到的用戶身份信息發送給ARPF設備，以根據用戶身份信息進行認證。

然而，在現有的網絡系統中，任何一個用于加解密的公私鑰對都是有生命周期的，在一個公私鑰對的生命周期結束前，新的公私鑰對分發需要一個過程，因此，現有的公鑰加密系統同時允許至少一套公私鑰對用戶身份信息進行加解密操作，當存在至少一套公私鑰對時，AUSF設備無法確定用戶設備使用哪個公私鑰對中的公鑰對用戶身份信息進行加密，從而無法確定使用哪個公私鑰對中的私鑰對加密的用戶身份信息進行解密，從而降低了數據的解密效率。

發明內容

本申請涉及一種秘鑰管理方法和裝置，以提高數據的解密效率。

第一方面，本申請實施例提供一種秘鑰管理方法，該秘鑰管理方法可以包括：

用戶設備根據第一公鑰對用戶身份信息進行加密；

用戶設備向第一網絡設備發送第一用戶身份消息；其中，第一用戶身份消息包括用戶身份信息，用于表示是否加密的指示標識及用于索引第一公鑰的參考標識，以使得第一網絡設備根據指示標識和參考標識對第一用戶身份消息進行處理。

可以理解的是，第一公鑰可以預存的，也可以是使用時臨時獲取的。

可以理解的是，用戶設備中存儲有很多公鑰，用哪個公鑰加密，就需用使用參考標識進行標識?？梢哉f，公鑰和參考標識是一一對應的關系；比如有100個公鑰，那么參考標識的取值范圍就是0-99。當然，參考標識還可以是截取的部分公鑰，還可以是公鑰某些位上的值的組合。比如公鑰長度為50位，那么參考標識可以是第1，2，4，8，16，32上值的組合。

其中，需要指出的是，雖然第一用戶身份消息中包括三個參數，但是可以用兩個值來表示，第一個值為用戶身份信息，第二個值可以表示參考標識，也可以表示指示標識。

舉例來說，比如指示標識為0，表示用戶身份信息沒有被加密，那么參考標識此時也為0，表示公鑰的標識空。比如指示標識為非0的數值(比如大于0的值)，非0的數值表示用戶身份信息被加密，那么該非0數值可以表示用于加密的公鑰的索引。比如該非0數值是100，那么標識該用戶標識被加密，用于加密的公鑰的參考標識為100。