[發(fā)明專利]初始安全配置方法、安全模塊及終端

有效

• 申請?zhí)枺?/td>: 201911218999.6
• 申請日: 2019-12-03
• 公開（公告）號: CN113015159B
• 公開（公告）日: 2023-05-09
• 發(fā)明（設(shè)計）人: 田野;任曉明
• 申請（專利權(quán)）人: 中國移動通信有限公司研究院;中國移動通信集團(tuán)有限公司
• 主分類號: H04W12/041
• 分類號: H04W12/041;H04W12/0431;H04W12/069;H04W12/106;H04L9/40;H04L9/32;H04L9/08;H04W4/40
• 代理公司: 北京銀龍知識產(chǎn)權(quán)代理有限公司 11243
• 代理人: 許靜;安利霞

本發(fā)明提供一種初始安全配置方法、安全模塊及終端，涉及車聯(lián)網(wǎng)技術(shù)領(lǐng)域。該初始安全配置方法，應(yīng)用于安全模塊，包括：在終端與網(wǎng)絡(luò)側(cè)設(shè)備進(jìn)行GBA認(rèn)證完成的情況下，接收終端發(fā)送的證書申請請求，所述證書申請請求中攜帶終端的標(biāo)識信息；基于GBA認(rèn)證協(xié)商的會話密鑰，對證書申請請求消息進(jìn)行加密和/或完整性保護(hù)；向終端反饋進(jìn)行了加密和/或完整性保護(hù)的證書申請請求消息；其中，所述安全模塊用于實現(xiàn)USIM的功能。上述方案，能夠保證初始安全配置的信息安全，提高了消息傳輸?shù)陌踩浴?/p>

技術(shù)領(lǐng)域

本發(fā)明涉及車聯(lián)網(wǎng)技術(shù)領(lǐng)域，特別涉及一種初始安全配置方法、安全模塊及終端。

背景技術(shù)

由于車到萬物(V2X)終端設(shè)備初始化過程涉及終端密碼公私鑰對的產(chǎn)生以及設(shè)備登記注冊證書的申請，現(xiàn)有初始安全配置方案對汽車廠商、V2X終端廠商有較高的安全生產(chǎn)要求，企業(yè)不得不投入大量的時間、資金和精力對生產(chǎn)線進(jìn)行改造，對員工進(jìn)行培訓(xùn)，以滿足安全生產(chǎn)合規(guī)、安全審計、安全成本管控等多方面要求。

目前，國外品牌的車企通常已具備在產(chǎn)線上安全生產(chǎn)的能力，能夠通過生產(chǎn)線灌裝的方式來實現(xiàn)車載單元(On?board?Unit，OBU)的初始安全配置。然而，對于大多數(shù)中國自主品牌車企而言，他們目前不具備安全的生產(chǎn)環(huán)境來實現(xiàn)密鑰、證書等敏感參數(shù)的初始配置。如果同樣采用產(chǎn)線灌裝的方式，給企業(yè)帶來較大的成本開銷，因此需要尋求更加簡便易行的安全解決方案。

5GAA提出的基于通用引導(dǎo)架構(gòu)(Generic?Bootstrapping?Architecture，GBA)的解決方案能夠避免采用產(chǎn)線灌裝的方式來實現(xiàn)V2X終端設(shè)備的初始安全配置，降低企業(yè)產(chǎn)線改造成本。然而，5GAA僅提出了一種思路，并沒有給出實現(xiàn)初始安全配置的業(yè)務(wù)流程和方法，無法指導(dǎo)V2X終端設(shè)備生產(chǎn)實踐。除此之外，該方案建立的傳輸層安全(TransportLayer?Security，TLS)安全通道在V2X終端側(cè)終止于硬件安全模塊(Hardware?SecurityModule，HSM)，并未終止于生成GBA會話密鑰Ks_NAF的全球用戶識別模塊(UniversalSubscriber?Identity?Module，USIM)上，因此存在會話密鑰或數(shù)據(jù)信息泄露的安全風(fēng)險。

發(fā)明內(nèi)容

本發(fā)明實施例提供一種初始安全配置方法、安全模塊及終端，以解決現(xiàn)有的5GAA中并沒有定義V2X終端設(shè)備的初始安全配置的具體方案，無法保證消息傳輸可靠性以及初始安全配置的信息安全的問題。

為了解決上述技術(shù)問題，本發(fā)明實施例提供一種初始安全配置方法，應(yīng)用于安全模塊，包括：

在終端與網(wǎng)絡(luò)側(cè)設(shè)備進(jìn)行通用引導(dǎo)架構(gòu)GBA認(rèn)證完成的情況下，接收終端發(fā)送的證書申請請求，所述證書申請請求中攜帶終端的標(biāo)識信息；

基于GBA認(rèn)證協(xié)商的會話密鑰，對證書申請請求消息進(jìn)行加密和/或完整性保護(hù)；

向終端反饋進(jìn)行了加密和/或完整性保護(hù)的證書申請請求消息；

其中，所述安全模塊用于實現(xiàn)全球用戶識別模塊USIM的功能。

可選地，所述基于GBA認(rèn)證協(xié)商的會話密鑰，對證書申請請求消息進(jìn)行加密和/或完整性保護(hù)，包括：

若基于所述會話密鑰成功生成第一密鑰，根據(jù)所述第一密鑰，對證書申請請求消息進(jìn)行加密和/或完整性保護(hù)；或者

若基于所述會話密鑰未生成第一密鑰，根據(jù)所述會話密鑰，對證書申請請求消息進(jìn)行加密和/或完整性保護(hù)；

其中，所述第一密鑰包括：加密密鑰和/或完整性保護(hù)密鑰

可選地，在所述向終端反饋進(jìn)行了加密和/或完整性保護(hù)的證書申請請求消息之后，還包括：

接收終端發(fā)送的證書寫入請求，所述證書寫入請求中攜帶進(jìn)行加密和/或完整性保護(hù)的證書申請響應(yīng)消息，所述證書申請響應(yīng)消息中攜帶數(shù)字證書；