CN105611527A - 实现点对多点安全通信的方法、核心单元、终端和系统 - Google Patents

Abstract

本发明公开一种实现点对多点安全通信的方法、核心单元、终端和系统，包括：检测出终端组中的第一终端申请点对多点通信时，核心单元将生成的终端组的通信序号发送给终端组中的各终端，核心单元和各终端均利用生成的通信序号获取第二秘钥信息；第一终端利用获得的第二秘钥信息经由核心单元与终端组中的其它终端进行点对多点安全通信。通过本发明提供的技术方案，实现了点对多点安全通信，提高了点对多点通信的安全性。

Description

实现点对多点安全通信的方法、核心单元、终端和系统

技术领域

本发明涉及安全通信技术，尤指一种实现点对多点安全通信的方法、核心单元、终端和系统。

背景技术

众所周知，点对多点安全通信技术广泛应用于多种通信系统如对讲机集群系统和无线通信集群系统。其中，无线通信集群系统可进一步分成模拟无线通信集群系统和数字无线通信集群系统。这里，数字无线通信集群系统可进一步分成第二代(2G)、第三代(3G)和第四代(4G)数字无线通信集群系统。

在上述通信系统中，目前均实现了点对点安全通信，也就是说，实现了通信系统中的两个终端之间的安全性通信；也实现了点对多点通信，也就是说，实现了通信系统中终端组中的各终端之间的通信。其中，点对多点通信是指，几个终端共同构成一个终端组，当检测到终端组中的一个终端申请点对多点通信时，通信系统通过相应处理将终端发送的业务消息发送给终端组中的其他终端，进而实现点对多点通信；其中，上述相应处理的具体实现可以参考长期演进(LTE，LongTermEvolution)协议，此处不再赘述。但在上述实现点对多点通信的系统中，均没有实现各终端之间的点对多点安全通信。随着上述集群系统的广泛应用，点对多点通信的安全性得到了越来越多的重视。现有支持点对多点通信的集群系统中，由于不支持点对多点安全通信，使得点对多点通信的安全性较低，从而无法较好地满足市场需求。

发明内容

为了解决上述技术问题，本发明提供了一种实现点对多点安全通信的方法、核心单元、终端和系统，能够实现点对多点安全通信，提高点对多点通信的安全性。

为了达到本发明目的，本发明公开了一种实现点对多点安全通信的方法，检测出终端组中的第一终端申请点对多点通信时，包括：

核心单元将生成的终端组的通信序号发送给终端组中的各终端，核心单元和各终端均利用生成的通信序号获取第二秘钥信息；

第一终端利用获得的第二秘钥信息经由核心单元与终端组中的其它终端进行点对多点安全通信。

本发明方法之前还包括：

检测出新增由两个或两个以上终端组成的所述终端组时，核心单元将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的各终端。

其中，所述第一秘钥信息是根据所述组标识和生成的随机数获取的。

所述核心单元利用生成的通信序号获取第二秘钥信息包括：利用所述组标识、算法标识信息、第一秘钥信息和通信序号获取所述第二秘钥信息。

所述各终端均利用生成的通信序号获取第二秘钥信息包括：各终端均利用获得的所述组标识、算法标识信息、第一秘钥信息和通信序号获取所述第二秘钥信息。

所述将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的各终端是以点对点安全通信的方式进行的。

所述算法标识信息至少包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息至少包括加密安全秘钥和完保安全秘钥。

本发明还公开了一种实现点对多点安全通信的核心单元，包括检测单元、第一处理单元和第一秘钥获取单元，其中，

检测单元，用于检测终端组中的一个终端是否申请点对多点通信；

第一秘钥获取单元，用于利用来自第一处理单元的通信序号获取第二秘钥信息；

第一处理单元，用于当来自检测单元的检测结果为申请时，将生成的通信序号发送给终端组中的各终端；以及利用来自第一秘钥获取单元的第二秘钥信息与各终端进行安全通信。

所述检测单元还用于：检测是否新增由两个或两个以上终端组成的所述终端组；

所述第一处理单元还用于：当来自所述检测单元的检测结果是新增时，将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的各终端。

所述第一秘钥获取单元还用于：根据所述组标识和生成的随机数获取所述第一秘钥信息。

所述第二秘钥信息是利用组标识、算法标识信息、来自所述第一秘钥获取单元的第一秘钥信息、和来自所述第一处理单元的通信序号获取的。

所述算法标识信息至少包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息至少包括加密安全秘钥和完保安全秘钥。

所述将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的各终端是以点对点安全通信的方式进行的。

本发明还公开了一种实现点对多点安全通信的终端，包括第二秘钥获取单元和第二处理单元，其中，

第二秘钥获取单元，用于根据获得的组标识、第一秘钥信息、算法标识信息和通信序号获取第二秘钥信息；

第二处理单元，用于利用来自第二秘钥获取单元的第二秘钥信息与核心单元进行安全通信。

本发明还公开了一种实现点对多点安全通信的系统，包括所述的核心单元和所述的终端。

与现有技术相比，本发明技术方案包括：检测出终端组中的第一终端申请点对多点通信时，核心单元将生成的终端组的通信序号发送给终端组中的各终端，核心单元和各终端均利用生成的通信序号获取第二秘钥信息；第一终端利用获得的第二秘钥信息经由核心单元与终端组中的其它终端进行点对多点安全通信。通过本发明技术方案，实现了点对多点安全通信，提高了点对多点通信的安全性，从而较好地满足了市场需求。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。

图1为本发明实现点对多点安全通信的方法的流程图；

图2为本发明实现点对多点安全通信的系统的组成结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图1为本发明实现点对多点安全通信的方法的流程图，包括：

步骤101：检测出终端组中的第一终端申请点对多点通信时，核心单元将生成的通信序号发送给终端组中的各终端，核心单元和各终端均利用生成的通信序号获取第二秘钥信息。

在无线通信领域中，核心单元为核心网中的用于各种消息处理的单元；终端为移动终端。

本步骤之前，本发明方法还包括：

检测出新增由两个或两个以上终端组成的终端组时，核心单元将为终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给终端组中的各终端。

其中，检测新增终端组的具体实现，属于本领域技术人员的惯用技术手段，不用于限制本发明的保护范围，此处不再赘述

其中，第一秘钥信息是根据组标识和生成的随机数获取的。这里，可以采用本领域技术公知的技术手段如C语言提供的随机函数，生成随机数。这里，获取第一秘钥信息具体包括：根据组标识和随机数，采用现有LTE协议中的秘钥派生函数(KDF，Keyderivationfunction)获取第一秘钥信息。

其中，KDF根据秘钥(Key)输入参数和字节串(S)输入参数计算出秘钥输出参数即派生秘钥。其中，S由FC、P0、L0、P1、L1、P2和L2等参数组成。参考LTE协议，可知KDF的Key、S、组成S的各参数、和派生秘钥的具体含义，此处不再赘述。

在采用KDF计算第一秘钥信息时，Key为组标识，FC为16，P0为随机数，L0为4，第一秘钥信息为派生秘钥。

其中，将组标识等信息发送给终端组中的各终端是以点对点安全通信的方式进行的。

其中，核心单元如何以点对点安全通信的方式向终端发送信息，是本领域技术人员公知的。

进一步地，

将组标识等信息发送给各终端之后，本发明还包括：

终端接收组标识等信息，并通知核心单元接收到组标识等信息。其中，通知包括：以点对点安全通信的方式将用于确认接收到组标识等信息的消息发送给核心单元。

步骤101中，如何检测终端组中的第一终端申请点对多点通信，属于本领域技术人员的惯用技术手段，不用于限制本发明的保护范围，此处不再赘述。

在本发明方法第一实施例中，步骤101中的将通信序号发送给终端组中的各终端具体包括：

核心单元以广播的方式向终端组中的各终端发送用于指定公共广播信道的信道扰码、以及用于指定通信序号的组呼寻呼消息，并启动计数器；终端接收到组呼寻呼消息时，采用组呼寻呼消息中的信道扰码监听公共广播信道，并保存呼寻呼消息中的通信序号；计数器等于预先设置的计数器阈值时，核心单元采用信道扰码在公共广播信道上广播用于指示终端获取第二秘钥信息的组呼配置消息。其中，

公共广播信道是本领域技术人员公知的。以广播的方式向终端发送消息、采用信道扰码监听公共广播信道、以及采用信道扰码在公共广播信道上广播信息的具体实现，属于本领域技术人员的惯用技术手段，不用于限制本发明的保护范围，此处不再赘述。

步骤101中的通信序号，唯一代表一个终端组的一次点对多点通信，类似于点对点安全通信中的呼叫序号。本步骤中生成通信序号的具体实现类似于点对点安全通信中生成呼叫序号的具体实现，此处不再赘述。

步骤101中核心单元利用生成的通信序号获取第二秘钥信息包括：利用组标识、算法标识信息、第一秘钥信息和通信序号获取第二秘钥信息。

其中，算法标识信息至少包括加密安全秘钥算法标识和完保安全秘钥算法标识。第二秘钥信息至少包括加密安全秘钥和完保安全秘钥。

其中，加密安全秘钥算法用于指示采用哪种算法产生加密安全秘钥；完保安全秘钥算法标识用于指示采用哪种算法产生完保安全秘钥。加密安全秘钥主要用于实现保密性通信；完保安全秘钥主要用于实现完整性通信；也就是说，两者共同用于实现安全性通信。

上述步骤中获取第二秘钥信息具体包括：根据组标识、安全秘钥算法标识，第一秘钥信息和通信序号，采用KDF获取加密安全秘钥；以及根据组标识、完保秘钥算法标识、第一秘钥信息和通信序号，采用KDF获取完保安全秘钥。

在采用KDF获取加密安全秘钥时，Key为第一秘钥信息，FC为21，P0为1，L0为1，P1为安全秘钥算法标识，L1为1，P2为通信序号，L2为4，加密安全秘钥为派生秘钥。在采用KDF获取完保安全秘钥时，Key为第一秘钥信息，FC为21，P0为2，L0为1，P1为完保秘钥算法标识，L1为1，P2为通信序号，L2为4，完保安全秘钥为派生秘钥。其中，安全秘钥算法标识和完保秘钥算法标识的取值范围均为0～3。

步骤101中各终端均利用生成的通信序号获取第二秘钥信息包括：各终端均利用获得的组标识、第一秘钥信息、算法标识信息和通信序号获取第二秘钥信息。

本步骤与核心单元利用组标识、算法标识信息、第一秘钥信息和通信序号获取第二秘钥信息的具体实现相同，此处不再赘述。

需要说明的是，核心单元获得的第二秘钥信息和各终端获得的第二秘钥信息一致。

在第一实施例中，当终端在监听的公共广播信道上接收到组呼配置消息时，各终端执行获取第二秘钥信息的步骤。

步骤102：各终端均利用获得的第二秘钥信息经由核心单元进行点对多点安全通信。

在第一实施例中，步骤102中的进行点对多点通信包括：

第一终端采用第二秘钥信息对获得的待发送给各终端的业务消息进行加密，并发送给核心单元；其中，业务消息中包括消息序号和第一终端发送给终端组中的其它终端的业务信息如语音信息或者图片信息，消息序号设置为第一终端产生的序号；

核心单元采用第二秘钥信息对接收到的第一终端加密后的业务消息进行解密，得到业务消息；将业务消息中的消息序号设置为核心单元产生的序号；采用第二秘钥信息对业务消息进行加密；采用信道扰码在公共广播信道上广播核心单元加密后的业务消息；

各终端在监听的公共广播信道上接收核心单元加密后的业务消息，并采用第二秘钥信息进行解密，得到业务消息。

图2是本发明实现点对多点安全通信的系统的组成结构示意图，包括核心单元和终端；其中，

核心单元包括检测单元、第一处理单元和第一秘钥获取单元；其中，

检测单元，用于检测终端组中的一个终端是否申请点对多点通信；

第一秘钥获取单元，用于利用来自第一处理单元的通信序号获取第二秘钥信息；

第一处理单元，用于当来自检测单元的检测结果为申请时，将生成的通信序号发送给终端组中的各终端；以及利用来自第一秘钥获取单元的第二秘钥信息与各终端进行安全通信；

终端包括第二秘钥获取单元和第二处理单元；其中，

第二秘钥获取单元，用于根据获得的组标识、第一秘钥信息、算法标识信息和通信序号获取第二秘钥信息；

第二处理单元，用于利用来自第二秘钥获取单元的第二秘钥信息与核心单元进行安全通信。

进一步地，

核心单元中的检测单元还用于：检测是否新增由两个或两个以上终端组成的终端组。相应地，

核心单元中的第一处理单元还用于：当来自检测单元的检测结果是新增时，将终端组对应的组标识和算法标识信息、以及来自第一秘钥获取单元的第一秘钥信息发送给终端组中的各终端。相应地，

核心单元中的第一秘钥获取单元还用于：根据组标识和生成的随机数获取第一秘钥信息。

具体来讲，第二秘钥信息是利用组标识、算法标识信息、来自第一秘钥获取单元的第一秘钥信息、和来自第一处理单元的通信序号获取的。

在本发明系统中，算法标识信息至少包括加密安全秘钥算法标识和完保安全秘钥算法标识；第二秘钥信息至少包括加密安全秘钥和完保安全秘钥。

在本发明系统中，将组标识等信息发送给终端组中的各终端是以点对点安全通信的方式进行的。

虽然本发明所揭露的实施方式如上所述，但所述的内容仅为便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属领域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在实施的形式及细节上进行任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (15)

1.一种实现点对多点安全通信的方法，检测出终端组中的第一终端申请点对多点通信时，其特征在于，包括：

核心单元将生成的终端组的通信序号发送给终端组中的各终端，核心单元和各终端均利用生成的通信序号获取第二秘钥信息；

第一终端利用获得的第二秘钥信息经由核心单元与终端组中的其它终端进行点对多点安全通信。

2.根据权利要求1所述的方法，其特征在于，该方法之前还包括：

检测出新增由两个或两个以上终端组成的所述终端组时，核心单元将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的各终端。

3.根据权利要求2所述的方法，其特征在于，所述第一秘钥信息是根据所述组标识和生成的随机数获取的。

4.根据权利要求2所述的方法，其特征在于，所述核心单元利用生成的通信序号获取第二秘钥信息包括：利用所述组标识、算法标识信息、第一秘钥信息和通信序号获取所述第二秘钥信息。

5.根据权利要求2所述的方法，其特征在于，所述各终端均利用生成的通信序号获取第二秘钥信息包括：各终端均利用获得的所述组标识、算法标识信息、第一秘钥信息和通信序号获取所述第二秘钥信息。

6.根据权利要求2所述的方法，其特征在于，所述将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的各终端是以点对点安全通信的方式进行的。

7.根据权利要求2所述的方法，其特征在于，所述算法标识信息至少包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息至少包括加密安全秘钥和完保安全秘钥。

8.一种实现点对多点安全通信的核心单元，其特征在于，包括检测单元、第一处理单元和第一秘钥获取单元，其中，

检测单元，用于检测终端组中的一个终端是否申请点对多点通信；

第一秘钥获取单元，用于利用来自第一处理单元的通信序号获取第二秘钥信息；

第一处理单元，用于当来自检测单元的检测结果为申请时，将生成的通信序号发送给终端组中的各终端；以及利用来自第一秘钥获取单元的第二秘钥信息与各终端进行安全通信。

9.根据权利要求8所述的核心单元，其特征在于，

所述检测单元还用于：检测是否新增由两个或两个以上终端组成的所述终端组；

所述第一处理单元还用于：当来自所述检测单元的检测结果是新增时，将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的各终端。

10.根据权利要求9所述的核心单元，其特征在于，所述第一秘钥获取单元还用于：根据所述组标识和生成的随机数获取所述第一秘钥信息。

11.根据权利要求9所述的核心单元，其特征在于，所述第二秘钥信息是利用组标识、算法标识信息、来自所述第一秘钥获取单元的第一秘钥信息、和来自所述第一处理单元的通信序号获取的。

12.根据权利要求9所述的核心单元，其特征在于，所述算法标识信息至少包括加密安全秘钥算法标识和完保安全秘钥算法标识；所述第二秘钥信息至少包括加密安全秘钥和完保安全秘钥。

13.根据权利要求9所述的核心单元，其特征在于，所述将为所述终端组预先设置的组标识和算法标识信息、以及获得的第一秘钥信息发送给所述终端组中的各终端是以点对点安全通信的方式进行的。

14.一种实现点对多点安全通信的终端，其特征在于，包括第二秘钥获取单元和第二处理单元，其中，

第二秘钥获取单元，用于根据获得的组标识、第一秘钥信息、算法标识信息和通信序号获取第二秘钥信息；

第二处理单元，用于利用来自第二秘钥获取单元的第二秘钥信息与核心单元进行安全通信。

15.一种实现点对多点安全通信的系统，其特征在于，包括权利要求8～13任一项所述的核心单元和权利要求14所述的终端。