專利名稱：空口密鑰更新的方法及系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信領(lǐng)域，具體而言，涉及一種空口密鑰更新的方法及系統(tǒng)。
背景技術(shù)：
電子電機工程協(xié)會(institute of Electrical and Electronic Engineers，簡稱 IEEE) 802. 16標(biāo)準(zhǔn)體系主要針對城域網(wǎng)，其主要目標(biāo)是開發(fā)工作于2 66GHz (吉赫茲)頻帶的無線接入系統(tǒng)空中接口物理層(PHY)和媒質(zhì)接入控制層(Media Access Control，簡稱 MAC)規(guī)范，同時還涉及與空中接口協(xié)議相關(guān)的一致性測試以及不同無線接入系統(tǒng)之間的共存規(guī)范。根據(jù)是否支持移動特性，IEEE 802. 16標(biāo)準(zhǔn)可以分為固定寬帶無線接入空中接口標(biāo)準(zhǔn)和移動寬帶無線接入空中接口標(biāo)準(zhǔn)，其中802. 16d是屬于固定無線接入空中接口標(biāo)準(zhǔn)，已經(jīng)于2004年6月在IEEE 802委員會獲得通過，以IEEE 802. 16-2004的名稱發(fā)布；而802. 16e屬于移動寬帶無線接入空中接口標(biāo)準(zhǔn)，于2005年11月在IEEE 802 委員會獲得通過，以IEEE802. 16-2005的名稱發(fā)布。微波接入全球互操作性認證聯(lián)盟 (fforldwidelnteroperability for Microwave Access,簡稱 WiMAX)基于 IEEE 802. 16 空中接口規(guī)范，目前已成為國際上影響力最大的寬帶無線接入技術(shù)。目前IEEE正在制訂802. 16m標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)是為了研究WiMAX下一步演進路線，目標(biāo)是成為下一代移動通信技術(shù)標(biāo)準(zhǔn)，并最終向國際電信聯(lián)盟(International Telecommunication Unit,簡稱 ITU)的高級國際移動電信(International Mobile Telecommunications Advanced,簡稱IMTAdvanced)的標(biāo)準(zhǔn)之一，該標(biāo)準(zhǔn)將兼容現(xiàn)有的 802. 16e 規(guī)范。目前，已經(jīng)出現(xiàn)了先進基站(Advanced Base Mation，簡稱為ABS，即支持802. 16m 協(xié)議的基站)，先進基站能夠兼容傳統(tǒng)終端(Yardstick Mobile Mation，簡稱為YMS)，同樣地，先進終端(Advanced Mobile Mation，以下簡稱為AMS或者終端)也應(yīng)該能夠接入傳統(tǒng)基站(Yardstick Base Station,簡稱為YBS，僅支持802. 16e協(xié)議的基站)。先進基站的時間區(qū)域(Time Zone)可以分成兩個區(qū)域，即，第一區(qū)域(也稱為先進區(qū)域，16m Zone，與具有802. 16m功能的終端進行通信，簡稱為MZone)和第二區(qū)域(也稱為傳統(tǒng)區(qū)域，Legacy Zone,與具有802. 16e功能的終端進行通信，簡稱為LZone)。Lhne是一個正整數(shù)的連續(xù)子幀，其中ABS與具有802. 16e功能的終端進行通信；Mhne是一個正整數(shù)的連續(xù)子幀，其中 ABS與具有802. 16m功能的終端進行通信。由于終端可以采用先進通信協(xié)議或傳統(tǒng)通信協(xié)議，因此，先進終端就可以工作在 MZone 或 LZone0一般來說，當(dāng)系統(tǒng)中的基站從傳統(tǒng)基站演進到先進基站時，基站所位于的網(wǎng)絡(luò) (也稱為接入服務(wù)網(wǎng)絡(luò)，Access Service Network，簡稱ASN，包括基站和網(wǎng)關(guān)Gateway)也會相應(yīng)的從傳統(tǒng)網(wǎng)絡(luò)演進到先進網(wǎng)絡(luò)。但是，在實際的系統(tǒng)中，由于基站和網(wǎng)關(guān)的發(fā)展速度不一定同步，或者，市場發(fā)展要求盡快使用先進技術(shù)，就會出現(xiàn)基站是先進基站，而接入服務(wù)網(wǎng)絡(luò)中的網(wǎng)關(guān)是傳統(tǒng)網(wǎng)關(guān)，即接入服務(wù)網(wǎng)絡(luò)是傳統(tǒng)網(wǎng)絡(luò)的情況，這種接入服務(wù)網(wǎng)絡(luò)稱為傳統(tǒng)ASN網(wǎng)絡(luò)。當(dāng)引入傳統(tǒng)ASN網(wǎng)絡(luò)這種網(wǎng)絡(luò)模型后，為了支持這種模型，通信安全方面需要做相應(yīng)的改動，以使不支持802. 16m安全功能的傳統(tǒng)接入服務(wù)網(wǎng)絡(luò)能夠使用802. 16m定義的相關(guān)安全功能。在IEEE 802. 16m系統(tǒng)中定義的空口密鑰包括主會話密鑰(Masterkssion Key, 簡稱為MSK)、成對主密鑰(Pairwise Master Key，簡稱為PMK)、授權(quán)密鑰(Authorization Key,簡稱為AK)、消息完整性保護密鑰(CMAC KEYs,包括CMAC_KEY_U及CMAC_KEY_D，其中 CMAC_KEY_U用于對上行鏈路管理消息進行完整性保護，CMAC_KEY_D用于對下行鏈路管理消息進行完整性保護)、業(yè)務(wù)流加密密鑰(Traffic Encryption Key，簡稱TEK)。下面具體介紹各密鑰在現(xiàn)有IEEE 802. 16e標(biāo)準(zhǔn)和針對傳統(tǒng)ASN網(wǎng)絡(luò)提出的 802. 16m標(biāo)準(zhǔn)安全方案中的生成方法MSK是IEEE 802. 16定義的所有其它密鑰的根密鑰，是終端和認證授權(quán)計費服務(wù)器(Authentication Authorization Accounting Server,簡禾爾為 AAA Server)在可擴展的認證協(xié)議(Extensible Authentication Protocol，簡稱為ΕΑΡ)認證和授權(quán)過程中各自產(chǎn)生的，用于派生出PMK等其它的密鑰。PMK由MSK推導(dǎo)而出，用于派生出ΑΚ。PMK = Truncate(MSK,160)；其中，Z= Truncate (x, y)的定義如 IEEE 802. 16-2005 中所述僅當(dāng) y 彡 x，Z 為 χ的最后y位。引號內(nèi)的內(nèi)容代表字符串。AK是授權(quán)密鑰，由PMK推導(dǎo)而出。它用于派生出消息完整性保護密鑰。IEEE 802. 16e標(biāo)準(zhǔn)中AK的計算方法為AK = Dotl6KDF(PMK, MSID | BSID “AK”，160)現(xiàn)有方案中提出的針對IEEE 802. 16m標(biāo)準(zhǔn)的AK的計算方法為AK = Dotl6KDF (PMK, MSID O BSID "AK", 160)其中，Dotl6KDF為IEEE802. 16定義的安全算法，具體定義可參考802. 16-2005。 BSID是基站標(biāo)識的縮寫。MSIDO代表MSID或者MSID*，當(dāng)先進基站連接到傳統(tǒng)的接入服務(wù)網(wǎng)網(wǎng)關(guān)(ASN-GW)時，使用MSID進行推導(dǎo)，當(dāng)先進基站連接到先進的ASN-GW時，使用MSID* 進行推導(dǎo)，其中，MSID*是MSID的哈希運算值。MSID是IEEE 802. 16e中終端標(biāo)識(Mobile Station identifier，簡稱MSID，一般為終端MAC地址)的縮寫。MSID*是為了保護終端標(biāo)識(MSID)在空口明文傳輸，以避免攻擊者可以獲得該地址從而威脅終端的私密性而在 802. 16m中引入的。MSID*的計算方法如下MSID* = Dotl6KDF(MSID I 80-bit zero padding,N0NCE_MS, 48)其中，N0NCE_MS 是初始入網(wǎng)時，終端生成的一個隨機數(shù)，該隨機數(shù)在稍后的三次握手過程中會由終端發(fā)送給基站。AK*是AK的一個變形，其計算方法如下AK* = Dotl6KDF (AK, AK_C0UNT | ” AK*", 160)其中，AK_C0UNT和下述的CMAC_KEY_C0UNT是一個計數(shù)器，前者用于16m系統(tǒng)中， 后者用于16e系統(tǒng)中。二者作用基本相同，用于確保在切換或重入網(wǎng)或位置更新時，同一個BS-MS對生成不同的密鑰。當(dāng)成功完成重認證后，該計數(shù)器置零。CMAC KEYs由AK派生而來，用于管理消息的完整性保護。IEEE 802. 16e標(biāo)準(zhǔn)中CMAC KEYs的計算方法為CMAC_KEY_U = AEScmac ρεεκευ π (CMAC_KEY_C0UNT)；CMAC_KEY_D = AEScmac peekey d (CMAC_KEY_C0UNT)；其中，CMAC_PREKEY_U| CMAC_PREKEY_D | KEK < = Dot 16KDF (AK, MSID | BSID | “CMAC_ KEYS+KEK",384)；其中，KEK是密鑰加密密鑰(Key Encryption Key)，僅在16e中用于加密TEK，以保護TEK在空口的傳輸。CMAC_KEY_C0UNT是802. 16e中使用的重入網(wǎng)計數(shù)器，作用同802. 16m 中的AK_C0UNT相同。IEEE 802. 16m標(biāo)準(zhǔn)中CMAC KEYs的計算方法為CMAC_KEY_U | CMAC_KEY_D = Dot 16KDF (AK*, “ CMAC_KEYS ”，256)；TEK用于對用戶數(shù)據(jù)進行加密，以保護在終端和基站之間傳輸?shù)臄?shù)據(jù)的機密性。在 16e中，TEK是基站生成的一個隨機數(shù)，基站用KEK對TEK進行加密，然后發(fā)送給終端。在 IEEE 802. 16m標(biāo)準(zhǔn)中，TEK是終端和基站分別生成的，計算如下TEKi = Dotl6KDF (AK*, SAID | C0UNTER_TEK = i | ” TEK", 128)；其中，SAID是該TEK關(guān)聯(lián)的安全聯(lián)盟標(biāo)識。C0UNTER_TEK是一個計數(shù)器，用于推導(dǎo)屬于同一個安全聯(lián)盟的TEK，當(dāng)推導(dǎo)出一個新的AK時，C0UNTER_TEK置為0，此后，每生成一個新的TEK，該計數(shù)器遞增1。發(fā)明人發(fā)現(xiàn)當(dāng)引入傳統(tǒng)ASN網(wǎng)絡(luò)，且802. 16m的密鑰推導(dǎo)做了相應(yīng)修改后，如果終端在傳統(tǒng)網(wǎng)絡(luò)和/或先進網(wǎng)絡(luò)的基站之間進行切換，相關(guān)標(biāo)準(zhǔn)中沒有給出如何進行空口密鑰的更新，如果仍延用原有的空口密鑰，系統(tǒng)將存在一定的安全隱患。并且針對此安全隱患問題，目前尚未提出有效的解決方案。

發(fā)明內(nèi)容
本發(fā)明的主要目的在于提供一種空口密鑰更新的方法及系統(tǒng)，以至少解決上述問題。根據(jù)本發(fā)明的一個方面，提供了一種空口密鑰更新的方法，包括以下步驟當(dāng)終端將要切換到使用先進空口的設(shè)備時，終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰 AK* ；根據(jù)AK*更新空口密鑰；當(dāng)終端將要切換到使用傳統(tǒng)空口的設(shè)備時，終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK更新空口密鑰；空口密鑰包括消息完整性保護密鑰CMAC KEk。根據(jù)本發(fā)明的另一方面，提供了一種空口密鑰更新的系統(tǒng)，包括終端和目標(biāo)基站， 第一變形授權(quán)密鑰生成模塊，用于根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK*;第一空口密鑰更新模塊，用于根據(jù)AK*更新空口密鑰，空口密鑰包括消息完整性保護密鑰CMACKEk ；以及目標(biāo)基站包括第二變形授權(quán)密鑰生成模塊，用于根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK* ； 第二空口密鑰更新模塊，用于根據(jù)AK*更新空口密鑰，空口密鑰包括消息完整性保護密鑰 CMAC KEYs0根據(jù)本發(fā)明的再一方面，提供了一種空口密鑰更新的系統(tǒng)，包括終端和目標(biāo)基站， 目標(biāo)基站為傳統(tǒng)基站，或目標(biāo)基站為混合模式的先進基站，且終端將要切換到先進基站的傳統(tǒng)區(qū)域，終端和目標(biāo)基站，用于根據(jù)授權(quán)密鑰AK更新空口密鑰；空口密鑰包括消息完整性保護密鑰CMAC KEk。通過本發(fā)明，采用終端在傳統(tǒng)網(wǎng)絡(luò)和/或先進網(wǎng)絡(luò)之間進行切換時，對空口密鑰進行更新，增強了系統(tǒng)的安全性。


此處所說明的附圖用來提供對本發(fā)明的進一步理解，構(gòu)成本申請的一部分，本發(fā)明的示意性實施例及其說明用于解釋本發(fā)明，并不構(gòu)成對本發(fā)明的不當(dāng)限定。在附圖中圖1是根據(jù)本發(fā)明實施例提供的空口密鑰更新的系統(tǒng)結(jié)構(gòu)框圖；圖2是根據(jù)本發(fā)明實施例提供的空口密鑰更新的方法流程圖；圖3是根據(jù)本發(fā)明實施例一提供的空口密鑰更新的方法流程圖；圖4是根據(jù)本發(fā)明實施例二提供的空口密鑰更新的方法流程圖；圖5是根據(jù)本發(fā)明實施例三提供的空口密鑰更新的方法流程圖；圖6是根據(jù)本發(fā)明實施例四提供的空口密鑰更新的方法流程圖；圖7是根據(jù)本發(fā)明實施例五提供的空口密鑰更新的方法流程圖；圖8是根據(jù)本發(fā)明實施例六提供的空口密鑰更新的方法流程圖；圖9是根據(jù)本發(fā)明實施例七提供的空口密鑰更新的方法流程圖；圖10是根據(jù)本發(fā)明實施例八提供的空口密鑰更新的方法流程圖；圖11是根據(jù)本發(fā)明實施例九提供的空口密鑰更新的方法流程圖；圖12是根據(jù)本發(fā)明實施例十提供的空口密鑰更新的方法流程圖；圖13是根據(jù)本發(fā)明實施例十一提供的空口密鑰更新的方法流程圖；圖14是根據(jù)本發(fā)明實施例十二提供的空口密鑰更新的方法流程圖；以及圖15是根據(jù)本發(fā)明實施例十三提供的空口密鑰更新的方法流程圖。
具體實施例方式下文中將參考附圖并結(jié)合實施例來詳細說明本發(fā)明。需要說明的是，在不沖突的情況下，本申請中的實施例及實施例中的特征可以相互組合。本發(fā)明實施例提供了一種空口密鑰更新的系統(tǒng)，參見圖1，為本實施例提供的空口密鑰更新的系統(tǒng)結(jié)構(gòu)框圖，該系統(tǒng)包括終端、服務(wù)基站和目標(biāo)基站。其中，該終端包括第一變形授權(quán)密鑰生成模塊10，用于根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK* ；第一空口密鑰更新模塊12，用于根據(jù)AK*更新空口密鑰，該空口密鑰包括消息完整性保護密鑰CMAC KEYs ；該目標(biāo)基站包括第二變形授權(quán)密鑰生成模塊20，用于根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK* ；第二空口密鑰更新模塊22，用于根據(jù)AK*更新空口密鑰，該空口密鑰包括消息完整性保護密鑰CMAC KEk。上述目標(biāo)基站為先進基站，或該目標(biāo)基站為混合模式的先進基站，此時，上述終端將要切換到該先進基站的先進區(qū)域。本發(fā)明實施例還提供了一種空口密鑰更新的系統(tǒng)，該系統(tǒng)包括終端、服務(wù)基站和目標(biāo)基站。該目標(biāo)基站為傳統(tǒng)基站，或目標(biāo)基站為混合模式的先進基站，且該終端將要切換到該先進基站的傳統(tǒng)區(qū)域，此時，該終端和該目標(biāo)基站，用于根據(jù)授權(quán)密鑰AK更新空口密鑰；其中，空口密鑰包括消息完整性保護密鑰CMAC KEk。本發(fā)明實施例中的基站可對應(yīng)于WiMAX論壇網(wǎng)絡(luò)工作組定義的接入服務(wù)網(wǎng)絡(luò) ASN(包括基站和接入服務(wù)網(wǎng)絡(luò)網(wǎng)關(guān))，或者可以認為基站后的網(wǎng)關(guān)對終端是透明的，終端可見的只是基站。由于在IEEE標(biāo)準(zhǔn)中只涉及到空口，因而可以將接入服務(wù)網(wǎng)絡(luò)ASN中的網(wǎng)關(guān)稱為網(wǎng)絡(luò)實體。終端和目標(biāo)基站的功能與下述方法中描述的功能相對應(yīng)。本實施例的終端和目標(biāo)基站根據(jù)AK*更新空口密鑰，增強了系統(tǒng)的安全性，進而使系統(tǒng)更具有實用性。在本發(fā)明實施例中，對應(yīng)于上述系統(tǒng)，本實施例提供了一種空口密鑰更新的方法， 參見圖2，為空口密鑰更新的方法流程圖，該方法包括以下步驟步驟30，當(dāng)終端將要切換到使用先進空口的設(shè)備時，該終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK* ；根據(jù)AK*更新空口密鑰；或者步驟32，當(dāng)終端將要切換到使用傳統(tǒng)空口的設(shè)備時，該終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK更新空口密鑰；其中，使用先進空口的設(shè)備包括先進基站或使用先進區(qū)域的混合模式的先進基站；使用傳統(tǒng)空口的設(shè)備包括傳統(tǒng)基站或使用傳統(tǒng)區(qū)域的混合模式的先進基站；上述空口密鑰包括消息完整性保護密鑰CMAC KEk。上述終端和目標(biāo)基站進行空口密鑰更新的觸發(fā)條件包括以下切換之一終端在傳統(tǒng)接入服務(wù)網(wǎng)絡(luò)ASN與先進ASN網(wǎng)絡(luò)之間切換；終端的服務(wù)基站和目標(biāo)基站所連接的ASN 網(wǎng)絡(luò)都是傳統(tǒng)ASN網(wǎng)絡(luò)；終端的服務(wù)基站和目標(biāo)基站所連接的ASN網(wǎng)絡(luò)都是先進ASN網(wǎng)絡(luò)； 終端在先進網(wǎng)絡(luò)的先進區(qū)域MZone與傳統(tǒng)區(qū)域Lhne之間切換。本發(fā)明實施例生成各密鑰使用的公式可以參考相關(guān)技術(shù)中的公式，這里不再詳述。上述方法中的終端和目標(biāo)基站根據(jù)AK或AK*更新空口密鑰，增強了終端和目標(biāo)基站之間通信的安全性，進而使其對應(yīng)的系統(tǒng)更具有實用性。下面通過具體實施例對本發(fā)明實施例提供的技術(shù)方案進行詳細描述。實施例一本實施例提供了一種空口密鑰更新的方法，該方法應(yīng)用在無線通信系統(tǒng)中，終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換，該方法同樣也適用于終端的服務(wù)基站和目標(biāo)基站所連接的ASN網(wǎng)絡(luò)都是傳統(tǒng)ASN網(wǎng)絡(luò)；終端的服務(wù)基站和目標(biāo)基站所連接的ASN網(wǎng)絡(luò)都是先進ASN網(wǎng)絡(luò)；本實施例中，目標(biāo)基站為先進基站，終端切換到目標(biāo)基站時使用的AK不需要更新，直接使用原服務(wù)網(wǎng)絡(luò)的AK。在AK的基礎(chǔ)上，推導(dǎo)AK*。使用AK*來推導(dǎo)消息完整性保護密鑰CMAC KEYs和業(yè)務(wù)流加密密鑰TEK。參見圖3，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟101，當(dāng)切換由終端發(fā)起時，終端向服務(wù)基站發(fā)送切換請求消息(AAI_ H0-REQ)，請求進行切換。該步驟僅適用于切換由終端發(fā)起時。步驟102，當(dāng)切換由服務(wù)基站發(fā)起時，或服務(wù)基站收到終端發(fā)送的切換請求消息后，服務(wù)基站向目標(biāo)基站(該目標(biāo)基站可能為多個)發(fā)送切換請求消息。該消息攜帶部分該終端的上下文信息，包括AK及其AK上下文，重入網(wǎng)計數(shù)器AK_C0UNT或CMAC_KEY_C0UNT。該消息可能需要經(jīng)過接入服務(wù)網(wǎng)絡(luò)中網(wǎng)關(guān)的轉(zhuǎn)發(fā)，因為傳統(tǒng)的網(wǎng)關(guān)只能識別 CMAC_KEY_C0UNT，所以根據(jù)服務(wù)基站和目標(biāo)基站所處的具體網(wǎng)絡(luò)環(huán)境，需要進行以下處理1)對于服務(wù)基站和目標(biāo)基站都位于傳統(tǒng)ASN網(wǎng)絡(luò)，即服務(wù)基站和目標(biāo)基站都與傳統(tǒng)網(wǎng)關(guān)相連，服務(wù)基站發(fā)送CMAC_KEY_C0UNT給目標(biāo)ASN網(wǎng)絡(luò)，目標(biāo)基站需要將接收到的 CMAC_KEY_C0UNT再次轉(zhuǎn)換回AK_C0UNT，再進行使用；2)對于服務(wù)基站和目標(biāo)基站都位于先進ASN網(wǎng)絡(luò)，即服務(wù)基站和目標(biāo)基站都與先進網(wǎng)關(guān)相連，服務(wù)基站和目標(biāo)基站之間直接傳輸AK_C0UNT，不用轉(zhuǎn)換；3)對于服務(wù)基站位于傳統(tǒng)ASN網(wǎng)絡(luò)，目標(biāo)基站位于先進ASN網(wǎng)絡(luò)，即服務(wù)基站與傳統(tǒng)網(wǎng)關(guān)相連，目標(biāo)基站與先進網(wǎng)關(guān)相連，則服務(wù)基站發(fā)送CMAC_KEY_C0UNT給目標(biāo)基站，目標(biāo)基站將其轉(zhuǎn)換為AK_C0UNT ；4)對于服務(wù)基站位于先進ASN網(wǎng)絡(luò)，目標(biāo)基站位于傳統(tǒng)ASN網(wǎng)絡(luò)，即服務(wù)基站與先進網(wǎng)關(guān)相連，目標(biāo)基站與傳統(tǒng)網(wǎng)關(guān)相連，則服務(wù)基站需要先將AK_C0UNT轉(zhuǎn)換為CMAC_KEY_ COUNT,再發(fā)送給目標(biāo)ASN網(wǎng)絡(luò)；目標(biāo)基站需要將接收到的CMAC_KEY_C0UNT再次轉(zhuǎn)換回AK_ COUNT，再進行使用。步驟103，目標(biāo)基站向服務(wù)基站發(fā)送切換響應(yīng)消息，其中可選攜帶向終端指示目標(biāo)基站是先進ASN網(wǎng)絡(luò)還是傳統(tǒng)ASN網(wǎng)絡(luò)的指示信息。步驟104，服務(wù)基站向終端發(fā)送切換命令消息(AAI_H0-CMD)，其中可攜帶向終端指示目標(biāo)基站是連接到先進ASN網(wǎng)關(guān)還是傳統(tǒng)ASN網(wǎng)關(guān)的指示信息，或者指示目標(biāo)基站是使用兼容先進ASN的終端(尋址)標(biāo)識還是兼容傳統(tǒng)ASN的終端(尋址)標(biāo)識。步驟105，終端向服務(wù)基站發(fā)送切換指示消息(AAI_H0-IND)，確認要進行切換的目標(biāo)先進基站標(biāo)識。該步驟可選。步驟106，服務(wù)基站和目標(biāo)基站進行切換確認消息交互過程。該步驟可選。上述步驟中可能會觸發(fā)錨定認證器重定向過程。在該重定向過程中，原錨定認證器將該終端的安全上下文轉(zhuǎn)發(fā)給目標(biāo)的錨定認證器。步驟107，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值，根據(jù)AK和AK_C0UNT計算AK*， 根據(jù)AK*計算CMAC KEYs和TEK ；目標(biāo)基站根據(jù)接收到的AK和AK_C0UNT計算AK*，根據(jù)AK* 計算 CMAC KEYs 和 TEK。其中，步驟107中目標(biāo)基站的操作也可以在步驟102或步驟103或步驟108之后進行。步驟108，終端向目標(biāo)基站發(fā)送測距請求消息(AAI_RNG_REQ)，其中攜帶由生成的CMAC KEY計算得到的該消息的摘要CMAC。步驟109，目標(biāo)基站用生成的CMAC KEY對接收到的測距請求消息中的摘要CMAC進行驗證，如果驗證成功，則目標(biāo)基站向終端發(fā)送測距響應(yīng)消息(AAI_RNG-RSP)。該消息既可以用CMACKEY做完整性保護(此時該消息攜帶由目標(biāo)先進基站生成的CMACKEY計算得到的該消息的摘要CMAC)，也可以用TEK對該消息進行加密和完整性保護。該步驟中還可包括目標(biāo)基站同步終端側(cè)和基站側(cè)AK_C0UNT值的操作。該操作同協(xié)議802. 16m中的定義，稍有不同的是，若目標(biāo)基站連接的認證器是傳統(tǒng)ASN網(wǎng)關(guān)，則目標(biāo)基站在從認證器處接收重入網(wǎng)計數(shù)器值時，需要將CMAC_KEY_C0UNT值轉(zhuǎn)換為AK_C0UNT值； 且目標(biāo)基站向認證器發(fā)送重入網(wǎng)計數(shù)器值時需要將AK_C0UNT值轉(zhuǎn)換為CMAC_KEY_C0UNT 值。其他操作不變，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證，或做解密和驗證。若驗證成功，則終端和目標(biāo)ABS的密鑰更新成功，繼續(xù)以下的切換流程。本實施例中的終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。實施例二本實施例提供了一種空口密鑰更新的方法，該方法應(yīng)用在無線通信系統(tǒng)中，終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換，本實施例中的服務(wù)基站和目標(biāo)基站都是先進基站，服務(wù)基站與傳統(tǒng)網(wǎng)關(guān)相連，目標(biāo)基站與先進網(wǎng)關(guān)相連；該實施例與實施例一的區(qū)別在于該實施例中終端切換到目標(biāo)基站后使用的AK需要更新，在更新后的AK的基礎(chǔ)上推導(dǎo) AK*。使用 AK* 來推導(dǎo) CMAC KEYs 和 TEK。參見圖4，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟201-206，同實施例1中的步驟101-106。步驟207，終端生成第一隨機數(shù)，本實施例為終端側(cè)隨機數(shù)N0NCE_AMS，并根據(jù)終端側(cè)隨機數(shù)N0NCE_AMS，生成終端標(biāo)識的哈希值A(chǔ)MSID*。該步驟與步驟205、206沒有嚴(yán)格的時間先后順序。步驟208，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT，根據(jù)AMSID*和目標(biāo)基站標(biāo)識BSID計算出AK，根據(jù)AK和遞增的AK_C0UNT計算AK*，根據(jù)AK*計算CMAC KEYs和TEK。該步驟中遞增重入網(wǎng)計數(shù)器與步驟207沒有嚴(yán)格的時間順序。該步驟中終端和/或目標(biāo)基站可能需要將重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT值轉(zhuǎn)換為AK_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。步驟208中的遞增重入網(wǎng)計數(shù)器AK_C0UNT也可以替換為令A(yù)K_C0UNT值為0或1。步驟209，終端向目標(biāo)基站發(fā)送測距請求消息(AAI_RNG_REQ)，其中攜帶終端側(cè)隨機數(shù)N0NCE_AMS，或終端標(biāo)識哈希值A(chǔ)MSID*，以及由生成的CMAC KEY計算得到的該消息的摘要CMAC。步驟210，若終端發(fā)送給目標(biāo)基站的是N0NCE_AMS，則目標(biāo)基站根據(jù)收到的N0NCE_ AMS，計算AMSID* ；若終端發(fā)送給目標(biāo)基站的是AMSID*，則目標(biāo)基站無須再推導(dǎo)AMSID*。目標(biāo)基站根據(jù)AMSID*和/或目標(biāo)基站標(biāo)識計算AK，根據(jù)AK和AK_C0UNT計算AK*，根據(jù)AK*計算 CMAC KEYs 禾口 TEK0此處計算AK的操作可以發(fā)生在網(wǎng)絡(luò)實體，如ASN網(wǎng)關(guān)處。AK*和CMAC KEk和TEK 的推導(dǎo)發(fā)生于ASN基站處。步驟211，目標(biāo)基站用生成的CMAC KEY對接收到的測距請求消息中的摘要CMAC進行驗證，如果驗證成功，則目標(biāo)基站向終端發(fā)送測距響應(yīng)消息(AAI_RNG-RSP)。該消息既可以用CMAC KEY做完整性保護(此時該消息攜帶由目標(biāo)先進基站生成的CMAC KEY計算得到的該消息的摘要CMAC)，也可以用TEK對該消息進行加密和完整性保護。若終端接收到的測距響應(yīng)消息僅做了完整性保護，則終端對接收到的測距響應(yīng)消息用生成的消息完整性保護密鑰進行CMAC驗證；若接收到的測距響應(yīng)消息同時做了加密和完整性保護，則終端對該消息用業(yè)務(wù)流加密密鑰進行解密，并驗證該消息的完整性。若驗證成功，則終端和目標(biāo)ABS的密鑰更新成功，繼續(xù)以下的切換流程。在該實施例中，基站生成的隨機數(shù)N0NCE_AMS也可以在步驟205前生成，并在步驟 205中通過服務(wù)基站攜帶給目標(biāo)基站。此時，目標(biāo)基站側(cè)的操作210也可以發(fā)生于步驟209
> . 、r -本實施例中的終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。實施例三本實施例提供了一種空口密鑰更新的方法，該方法應(yīng)用在無線通信系統(tǒng)中，終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換，本實施例中的服務(wù)基站和目標(biāo)基站都是先進基站，服務(wù)基站與傳統(tǒng)網(wǎng)關(guān)相連，目標(biāo)基站與先進網(wǎng)關(guān)相連；該實施例與實施例二的區(qū)別在于本實施例中AMSID*的生成參數(shù)使用的是目標(biāo)基站生成的隨機數(shù)N0NCE_ABS。參見圖5，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟301-302，同實施例1中的步驟101-102。步驟303 先進ASN網(wǎng)絡(luò)的目標(biāo)基站生成基站側(cè)隨機數(shù)N0NCE_ABS。步驟304-307，同實施例1中的步驟103-106。唯一的區(qū)別在于步驟304和305中的消息要攜帶參數(shù)基站側(cè)隨機數(shù)N0NCE_ABS。步驟308，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT。終端和目標(biāo)基站分別根據(jù)基站側(cè)隨機數(shù)N0NCE_ABS，生成AMSID*，然后根據(jù)AMSIDH十算出AK。終端和目標(biāo)基站分別根據(jù)AK和 AK_C0UNT 計算 AK*，根據(jù) AK* 計算 CMAC KEYs 和 TEK。該步驟中終端和/或目標(biāo)基站可能需要將重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT值轉(zhuǎn)換為AK_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。步驟308中的遞增重入網(wǎng)計數(shù)器AK_C0UNT也可以替換為終端和目標(biāo)基站將AK_ COUNT設(shè)置為0或1。步驟308中的目標(biāo)基站進行的處理也可發(fā)生于步驟303或304或309之后。步驟309，終端向目標(biāo)基站發(fā)送測距請求消息(AAI_RNG_REQ)，其中攜帶由生成的CMAC KEY計算得到的該消息的摘要CMAC。步驟310，該步驟同實施例一中的步驟109。本實施例中的終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。實施例四本實施例提供了一種空口密鑰更新的方法，該方法應(yīng)用在無線通信系統(tǒng)中，終端在先進ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行空口密鑰更新，該方法同樣也適用于傳統(tǒng) ASN網(wǎng)絡(luò)與傳統(tǒng)ASN網(wǎng)絡(luò)之間。本實施例中基于BSID對AK進行更新。該實施例與實施例二的區(qū)別在于該實施例中終端切換到目標(biāo)基站后使用的AK 基于目標(biāo)基站標(biāo)識更新，在更新后的AK的基礎(chǔ)上，推導(dǎo)AK*。使用AK*來推導(dǎo)完整性密鑰 CMAC KEYs和加密密鑰TEK。如圖6所示，為本實施例提供的空口密鑰更新的方法流程圖。具體包括如下步驟
步驟3001-3006，同實施例1中的步驟101-106。步驟3007，終端和目標(biāo)基站分別根據(jù)目標(biāo)基站標(biāo)識ABSID和AMSIDO推導(dǎo)新的 AK。當(dāng)目標(biāo)基站為連接到先進網(wǎng)絡(luò)的先進基站，推導(dǎo)AK時，使用AMSID*，當(dāng)目標(biāo)基站為連接到傳統(tǒng)網(wǎng)絡(luò)的先進基站，推導(dǎo)AK時，使用AMSID。目標(biāo)基站處計算AK的操作可以在網(wǎng)絡(luò)實體例如網(wǎng)關(guān)處進行。步驟3008，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT (或令A(yù)K_C0UNT值為0或1)，根據(jù)AK 和遞增的AK_C0UNT計算AK*，根據(jù)AK*計算CMAC KEYs和TEK。目標(biāo)基站直接使用AK_C0UNT，或令A(yù)K_C0UNT值為0或1，根據(jù)AK和AK_C0UNT計算AK*，根據(jù)AK*計算CMAC KEYs和TEK。目標(biāo)基站側(cè)的該操作也可發(fā)生于步驟3002、3003 或3009之后。步驟3009，終端向目標(biāo)基站發(fā)送測距請求消息(AAI_RNG_REQ)，其中攜帶由生成的CMAC KEYs計算得到的該消息的摘要CMAC。步驟3010，目標(biāo)基站用生成的CMAC KEYs對接收到的測距請求消息中的摘要CMAC 進行驗證，如果驗證成功，則目標(biāo)基站向終端發(fā)送測距響應(yīng)消息(AAI_RNG-RSP)。該消息既可以用CMACKEk做完整性保護(此時該消息攜帶由目標(biāo)先進基站生成的CMAC KEYs計算得到的該消息的摘要CMAC)，也可以用TEK對該消息進行加密和完整性保護。若終端接收到的測距響應(yīng)消息僅做了完整性保護，則終端對接收到的測距響應(yīng)消息用生成的消息完整性保護密鑰進行CMAC驗證；若接收到的測距響應(yīng)消息同時做了加密和完整性保護，則終端對該消息用業(yè)務(wù)流加密密鑰進行解密，并驗證該消息的完整性。若驗證成功，則終端和目標(biāo)ABS的密鑰更新成功，繼續(xù)以下的切換流程。本實施例中的終端在先進ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。實施例五本實施例提供了一種空口密鑰更新的方法，該方法應(yīng)用在無線通信系統(tǒng)中，終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換，本實施例中的服務(wù)基站和目標(biāo)基站都是先進基站，服務(wù)基站與先進網(wǎng)關(guān)相連，目標(biāo)基站與傳統(tǒng)網(wǎng)關(guān)相連；本實施例中根據(jù)終端MAC地址更新AK。參見圖7，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟401-406，同實施例1中的步驟101-106。步驟407，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值，目標(biāo)基站直接使用接收到或轉(zhuǎn)換的AK_C0UNT值。終端根據(jù)終端MACADDRESS(MAC地址)重新計算AK，再根據(jù)AK和AK_ COUNT計算AK*，根據(jù)AK*計算CMAC KEYs和TEK ；目標(biāo)基站根據(jù)終端MAC ADDRESS計算AK， 再根據(jù)AK和AK_C0UNT計算AK*，根據(jù)AK*計算CMAC KEYs和TEK。該步驟中終端和/或目標(biāo)基站可能需要將重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT值轉(zhuǎn)換為AK_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。此處目標(biāo)基站的操作也可以在步驟402或步驟403或步驟408之后進行。步驟407中的遞增重入網(wǎng)計數(shù)器AK_C0UNT也可以替換為終端和目標(biāo)基站將AK_ COUNT設(shè)置為0或1。
步驟408-409，同實施例一中的步驟108-109。本實施例中的終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。以上實施例一至四的密鑰更新方式可以根據(jù)當(dāng)前服務(wù)基站連接到的網(wǎng)關(guān)和目標(biāo)基站連接到的網(wǎng)關(guān)類型是否一致進行選擇和組合，若當(dāng)前服務(wù)基站和目標(biāo)基站一個連接到傳統(tǒng)的網(wǎng)關(guān)，另一個連接到先進的網(wǎng)關(guān)，則需要更新AK(即使用實施例二或?qū)嵤├驅(qū)嵤├牡姆桨?。特別地，終端可以根據(jù)AAI_H0-CMD消息中所指示的目標(biāo)基站連接到的網(wǎng)關(guān)類型進行相應(yīng)地密鑰更新處理。實施例六本實施例提供了一種空口密鑰更新的方法，該方法中的終端按照傳統(tǒng)協(xié)議從服務(wù) YBS切換到目標(biāo)ABS的LZone，完成網(wǎng)絡(luò)接入后才開始區(qū)域轉(zhuǎn)換(Zone Switch)。以上兩步統(tǒng)稱為越區(qū)切換。服務(wù)YBS和目標(biāo)ABS的LZone可以連接到同一個接入服務(wù)網(wǎng)網(wǎng)關(guān)，也可以連接到不同網(wǎng)關(guān)。但是服務(wù)YBS和目標(biāo)ABS的Lhne連接的服務(wù)網(wǎng)網(wǎng)關(guān)都是支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)。目標(biāo)ABS的MZone連接的服務(wù)網(wǎng)網(wǎng)關(guān)可以是支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)，也可以是支持先進協(xié)議的網(wǎng)關(guān)。在區(qū)域轉(zhuǎn)換中，終端可以先斷開與目標(biāo)ABS的LZone的連接，再與目標(biāo)ABS的 MZone建立連接(Break Before Establishment，縮寫為BBE)，如實施例六所示；也可以保持與目標(biāo)ABS的LZone的連接直到區(qū)域轉(zhuǎn)換結(jié)束(Establish Before Break，縮寫為EBB) 如實施例五所示。下列描述中不再涉及這兩種方式的區(qū)別，只描述相同的地方參見圖8，為本實施例提供的空口密鑰更新的方法流程圖。該實施例中終端從 LZone到MZone轉(zhuǎn)換時使用的AK不需要更新，直接使用Uone的AK。在AK的基礎(chǔ)上，推導(dǎo) AK*。使用AK*來推導(dǎo)消息完整性保護密鑰CMAC KEk和業(yè)務(wù)流加密密鑰TEK。該方法包括如下步驟步驟501，終端、服務(wù)TOS和目標(biāo)ABS的LZone進行切換準(zhǔn)備階段的消息交互過程。 該過程同802. 16e的切換準(zhǔn)備過程相同，此處不再贅述。步驟502，終端向目標(biāo)ABS的Lhne發(fā)送測距請求消息(RNG-REQ)。步驟503，目標(biāo)ABS在LZone向終端發(fā)送測距響應(yīng)消息(RNG-RSP)。步驟504，終端與目標(biāo)ABS的LZone建立數(shù)據(jù)通道。步驟505，終端向目標(biāo)ABS的Lhne發(fā)送測距請求消息(RNG-REQ)，其中攜帶區(qū)域轉(zhuǎn)換請求，該步驟為可選。步驟506，目標(biāo)ABS在LZone向終端發(fā)送測距響應(yīng)消息(RNG-RSP)，其中攜帶區(qū)域轉(zhuǎn)換命令消息(Zone Switch TLV)。其中可選攜帶向終端指示目標(biāo)ABS的MZone是連接到先進ASN網(wǎng)絡(luò)還是傳統(tǒng)ASN網(wǎng)絡(luò)的指示信息，或者指示目標(biāo)ABS的MZone是使用兼容先進 ASN的終端(尋址)標(biāo)識還是兼容傳統(tǒng)ASN的終端(尋址)標(biāo)識。具體的,Lhne和MZone可以屬于同一個接入服務(wù)網(wǎng)關(guān)，也可以屬于不同的接入服務(wù)網(wǎng)關(guān)。在LZone和MZone屬于同一個接入服務(wù)網(wǎng)關(guān)時，該網(wǎng)關(guān)為支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)；在 LZone和MZone屬于不同的接入服務(wù)網(wǎng)關(guān)時，LZone屬于支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)，MZone屬于支持先進協(xié)議的網(wǎng)關(guān)或者支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)。步驟507，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值(AK_C0UNT = AK_C0UNT+1)。終端和目標(biāo)ABS根據(jù)AK和AK_C0UNT計算AK*，根據(jù)AK*計算CMAC KEYs和TEK。該步驟中終端和/或目標(biāo)基站可能需要將重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT值轉(zhuǎn)換為AK_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。步驟507中的遞增重入網(wǎng)計數(shù)器AK_C0UNT也可以替換為終端和目標(biāo)基站將AK_ COUNT設(shè)置為0或1。上述終端和目標(biāo)ABS的計算互相獨立。此處的CMAC KEYs和TEK的推導(dǎo)式與16m 中的定義一致。步驟508，終端與目標(biāo)ABS的MZone建立下行同步；步驟509，終端向MZone發(fā)送測距請求消息(AAI_RNG_REQ)，其中攜帶由生成的 CMAC KEYs計算得到的該消息的摘要CMAC。步驟510，目標(biāo)ABS在MZone用生成的CMAC KEYs對接收到的測距請求消息中的摘要CMAC進行驗證，如果驗證成功，則目標(biāo)ABS在MZone向終端發(fā)送測距響應(yīng)消息(AAI_ RNG-RSP)。該消息既可以用CMAC KEk做完整性保護(此時該消息攜帶由目標(biāo)ABS生成的 CMAC KEYs計算得到的該消息的摘要CMAC)，也可以用TEK對該消息進行加密和完整性保護。該步驟中還可包括目標(biāo)ABS同步終端側(cè)和基站側(cè)AK_C0UNT值的操作。除了可能會有AK_C0UNT與CMAC_KEY_C0UNT的名稱轉(zhuǎn)換外，該操作同協(xié)議802. 16m中的定義，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證，或做解密和驗證。若驗證成功，則終端和目標(biāo)ABS的密鑰更新成功，繼續(xù)以下的切換流程。步驟511，終端與目標(biāo)ABS的MZone建立數(shù)據(jù)連接。本實施例中的終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。實施例七本實施例中，終端按照傳統(tǒng)協(xié)議從服務(wù)YBS切換到目標(biāo)ABS的Lhne，還沒有完成網(wǎng)絡(luò)接入后就開始區(qū)域轉(zhuǎn)換(Zone Switch) 0以上兩步統(tǒng)稱為越區(qū)切換。服務(wù)YBS和目標(biāo) ABS的LZone可以連接到同一個接入服務(wù)網(wǎng)網(wǎng)關(guān)，也可以連接到不同網(wǎng)關(guān)。但是服務(wù)YBS和目標(biāo)ABS的Lhne連接的服務(wù)網(wǎng)網(wǎng)關(guān)都是支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)。目標(biāo)ABS的MZone連接的服務(wù)網(wǎng)網(wǎng)關(guān)可以是支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)，也可以是支持先進協(xié)議的網(wǎng)關(guān)。本實施例中終端從Uone到MZone轉(zhuǎn)換時使用的AK不需要更新，直接使用Uone 的AK。在AK的基礎(chǔ)上，推導(dǎo)AK*。使用AK*來推導(dǎo)消息完整性保護密鑰CMAC KEYS和業(yè)務(wù)流加密密鑰TEK。參見圖9，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟601，終端、服務(wù)YBS和目標(biāo)ABS的Lhne進行切換準(zhǔn)備階段的消息交互過程。 該過程同802. 16e的切換準(zhǔn)備過程相同，此處不再贅述。步驟602，終端向目標(biāo)ABS的Lhne發(fā)送測距請求消息(RNG-REQ)。步驟603，目標(biāo)ABS在LZone向終端發(fā)送測距響應(yīng)消息(RNG-RSP)，其中攜帶區(qū)域轉(zhuǎn)換命令信息(Zone Switch TLV)。其中可選攜帶向終端指示目標(biāo)ABS的MZone是連接到先進ASN網(wǎng)絡(luò)還是傳統(tǒng)ASN網(wǎng)絡(luò)的指示信息，或者指示目標(biāo)ABS的MZone是使用兼容先進 ASN的終端(尋址)標(biāo)識還是兼容傳統(tǒng)ASN的終端(尋址)標(biāo)識。具體的,Lhne和MZone可以屬于同一個接入服務(wù)網(wǎng)關(guān)，也可以屬于不同的接入服務(wù)網(wǎng)關(guān)。在LZone和MZone屬于同一個接入服務(wù)網(wǎng)關(guān)時，該網(wǎng)關(guān)為支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)；在 LZone和MZone屬于不同的接入服務(wù)網(wǎng)關(guān)時，LZone屬于支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)，MZone屬于支持先進協(xié)議的網(wǎng)關(guān)或者支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)。步驟604，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值(AK_C0UNT = AK_C0UNT+1)。終端和目標(biāo)ABS根據(jù)AK和AK_C0UNT計算AK*，根據(jù)AK*計算CMAC KEYs和TEK。步驟604中的終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值可替換為終端和目標(biāo)ABS分別令A(yù)K_C0UNT的值為O或1。基站側(cè)更新密鑰的操作也可發(fā)生于步驟606后。上述終端和目標(biāo)ABS的計算互相獨立。此處的CMAC KEYs和TEK的推導(dǎo)式與16m 中的定義一致，這里不再詳述。步驟605，終端與目標(biāo)ABS的MZone建立下行同步。步驟606，終端向Mzone發(fā)送測距請求消息(AAI_RNG_REQ)，其中攜帶由生成的 CMAC KEYs計算得到的該消息的摘要CMAC。步驟607，先進基站在MZone用生成的CMAC KEYs對接收到的測距請求消息中的摘要CMAC進行驗證，如果驗證成功，則先進基站在MZone向終端發(fā)送測距響應(yīng)消息(AAI_ RNG-RSP)。該消息既可以用CMAC KEk做消息完整性保護(此時該消息攜帶由先進基站生成的CMAC KEYs計算得到的該消息的摘要CMAC)，也可以用TEK對該消息進行加密和完整性保護。該步驟中還可包括目標(biāo)ABS同步終端側(cè)和基站側(cè)AK_C0UNT值的操作。除了可能會有AK_C0UNT與CMAC_KEY_COUNT的名稱轉(zhuǎn)換外，該操作同協(xié)議802. 16m中的定義，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證，或做解密和驗證。若驗證成功，則終端和目標(biāo)ABS的密鑰更新成功，繼續(xù)以下的切換流程。步驟608，終端與目標(biāo)ABS的MZone建立數(shù)據(jù)通道。本實施例中的終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。實施例八本實施例中的終端按照傳統(tǒng)協(xié)議從服務(wù)YBS切換到目標(biāo)ABS的LZone，完成網(wǎng)絡(luò)接入后才開始區(qū)域轉(zhuǎn)換(Zone Switch) 0以上兩步統(tǒng)稱為越區(qū)切換。服務(wù)YBS和目標(biāo)ABS 的LZone可以連接到同一個接入服務(wù)網(wǎng)網(wǎng)關(guān)，也可以連接到不同網(wǎng)關(guān)。但是服務(wù)YBS和目標(biāo)ABS的Lhne連接的服務(wù)網(wǎng)網(wǎng)關(guān)都是支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)。目標(biāo)ABS的MZone連接的服務(wù)網(wǎng)網(wǎng)關(guān)是支持先進協(xié)議的網(wǎng)關(guān)。本實施例中，終端從Lhne到MZone轉(zhuǎn)換時使用的AK需要重新推導(dǎo)。并在AK的基礎(chǔ)上，推導(dǎo)AK*。使用AK*來推導(dǎo)消息完整性保護密鑰CMAC KEk和業(yè)務(wù)流加密密鑰TEK。參見圖10，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟701-706，同實施例五中的步驟501至506。
步驟707，終端生成終端側(cè)隨機數(shù)N0NCE_AMS，并根據(jù)N0NCE_AMS推導(dǎo)終端標(biāo)識哈希值A(chǔ)MSID*。該步驟當(dāng)終端從傳統(tǒng)基站切換到先進ASN網(wǎng)絡(luò)的先進基站時執(zhí)行。步驟708，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值(AK_C0UNT = AK_C0UNT+1)，終端根據(jù)AMSID O重新推導(dǎo)AK，然后根據(jù)AK和AK_C0UNT計算AK*，根據(jù)AK*計算CMACKEk和 TEK ；該步驟中當(dāng)終端是從傳統(tǒng)基站切換到傳統(tǒng)ASN網(wǎng)絡(luò)的先進基站時，AK推導(dǎo)時使用 AMSID ；當(dāng)終端是從傳統(tǒng)基站切換到先進ASN網(wǎng)絡(luò)的先進基站時，AK推導(dǎo)時使用AMSID* ；該步驟中終端可能需要將重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT值轉(zhuǎn)換為AK_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。步驟708中的終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值也可以替換為終端令A(yù)K_ COUNT的值為0或1。此處的AMSID*，AK, AK*, CMAC KEYs和TEK的推導(dǎo)式可以采用相關(guān)技術(shù)的公式，這里不再詳述。步驟709，終端與目標(biāo)ABS的MZone建立下行同步。步驟710，終端向Mzone發(fā)送測距請求消息(AAI_RNG_REQ)，其中攜帶由生成的 CMAC KEY計算得到的該消息的摘要CMAC，和/或終端隨機數(shù)N0NCE_AMS，和/或終端標(biāo)識哈希值 AMSID*。步驟711，目標(biāo)ABS在MZone接收到測距請求消息后，若終端向目標(biāo)ABS發(fā)送了 N0NCE_AMS,則目標(biāo)ABS根據(jù)消息中攜帶的終端側(cè)隨機數(shù)N0NCE_AMS生成AMSID*。該步驟可選。步驟712，目標(biāo)ABS根據(jù)AMSIDO和/或目標(biāo)基站標(biāo)識重新推導(dǎo)AK，并根據(jù)AK和 AK_C0UNT 計算 AK*，根據(jù) AK* 計算 CMAC KEYs 和 TEK。該步驟中當(dāng)終端是從傳統(tǒng)基站切換到傳統(tǒng)ASN網(wǎng)絡(luò)的先進基站時，AK推導(dǎo)時使用 AMSID ；當(dāng)終端是從傳統(tǒng)基站切換到先進ASN網(wǎng)絡(luò)的先進基站時，AK推導(dǎo)時使用AMSID* ；此處目標(biāo)ABS在更新AK*前，可以遞增重入網(wǎng)計數(shù)器AK_C0UNT的值(AK_C0UNT = AK_C0UNT+1)。目標(biāo)ABS用生成的CMAC KEYs對接收到的測距請求消息中的摘要CMAC進行驗證， 如果驗證成功，則執(zhí)行步驟712，否則區(qū)域轉(zhuǎn)換失敗，目標(biāo)ABS發(fā)送測距響應(yīng)消息指示拒絕接入。步驟713，目標(biāo)ABS在MZone向終端發(fā)送測距響應(yīng)消息(AAI_RNG_RSP)。該消息既可以用CMAC KEk做完整性保護(此時該消息攜帶由目標(biāo)ABS生成的CMAC KEk計算得到的該消息的摘要CMAC)，也可以用TEK對該消息進行加密和完整性保護。該步驟中還可包括目標(biāo)ABS同步終端側(cè)和基站側(cè)AK_C0UNT值的操作。除了可能會有AK_C0UNT與CMAC_KEY_C0UNT的名稱轉(zhuǎn)換外，該操作同協(xié)議802. 16m中的定義，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證，或做解密和驗證。若驗證成功，則終端和目標(biāo)ABS的密鑰更新成功，繼續(xù)以下的切換流程。步驟714，終端與目標(biāo)ABS的MZone建立數(shù)據(jù)通道。本實施例中的終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。
實施例九本實施例中，終端按照傳統(tǒng)協(xié)議從服務(wù)YBS切換到目標(biāo)ABS的Lhne，還沒有完成網(wǎng)絡(luò)接入后就開始區(qū)域轉(zhuǎn)換(Zone Switch) 0以上兩步統(tǒng)稱為越區(qū)切換。服務(wù)YBS和目標(biāo) ABS的LZone可以連接到同一個接入服務(wù)網(wǎng)網(wǎng)關(guān)，也可以連接到不同網(wǎng)關(guān)。但是服務(wù)YBS和目標(biāo)ABS的Lhne連接的服務(wù)網(wǎng)網(wǎng)關(guān)都是支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)。目標(biāo)ABS的MZone連接的服務(wù)網(wǎng)網(wǎng)關(guān)是支持先進協(xié)議的網(wǎng)關(guān)。參見圖11，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟801-803，同實施例六中的步驟601-603。步驟804，終端生成終端側(cè)隨機數(shù)N0NCE_AMS，并根據(jù)N0NCE_AMS推導(dǎo)終端標(biāo)識哈希值A(chǔ)MSID*。該步驟當(dāng)終端從傳統(tǒng)基站切換到先進ASN網(wǎng)絡(luò)的先進基站時執(zhí)行。步驟805，終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值(AK_C0UNT = AK_C0UNT+1)，根據(jù) AMSID O和/或目標(biāo)ABS標(biāo)識重新推導(dǎo)AK，然后根據(jù)AK和AK_C0UNT計算AK*，根據(jù)AK*計算 CMAC KEYs 禾口 TEK ；該步驟中當(dāng)終端是從傳統(tǒng)基站切換到傳統(tǒng)ASN網(wǎng)絡(luò)的先進基站時，AK推導(dǎo)時使用 AMSID ；當(dāng)終端是從傳統(tǒng)基站切換到先進ASN網(wǎng)絡(luò)的先進基站時，AK推導(dǎo)時使用AMSID* ；該步驟中終端可能需要將重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT值轉(zhuǎn)換為AK_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。步驟805中的終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值也可以替換為終端和目標(biāo)ABS 令A(yù)K_C0UNT的值為0或1。此處的AMSID*，AK，AK*，CMAC KEYs和TEK的推導(dǎo)式可以采用相關(guān)技術(shù)的公式，這里不再詳述。步驟806，終端與目標(biāo)ABS的MZone建立下行同步。步驟807，終端向Mzone發(fā)送測距請求消息(AAI_RNG_REQ)，其中攜帶由生成的 CMAC KEYs計算得到的該消息的摘要CMACjn /或終端側(cè)隨機數(shù)N0NCE_AMS，和/或終端標(biāo)識哈希值A(chǔ)MSID*。步驟808，目標(biāo)ABS在MZone接收到測距請求消息后，若終端發(fā)送給目標(biāo)ABS的是 N0NCE_AMS,則目標(biāo)ABS根據(jù)消息中攜帶的終端側(cè)隨機數(shù)N0NCE_AMS生成AMSID*。該步驟可選。步驟809，目標(biāo)ABS根據(jù)AMSIDO和/或目標(biāo)基站標(biāo)識重新推導(dǎo)AK，并根據(jù)AK和 AK_C0UNT 計算 AK*，根據(jù) AK* 計算 CMACKEk 和 TEK。該步驟中當(dāng)終端是從傳統(tǒng)基站切換到傳統(tǒng)ASN網(wǎng)絡(luò)的先進基站時，AK推導(dǎo)時使用 AMSID ；當(dāng)終端是從傳統(tǒng)基站切換到先進ASN網(wǎng)絡(luò)的先進基站時，AK推導(dǎo)時使用AMSID* ；此處目標(biāo)ABS在更新AK*前，可以遞增重入網(wǎng)計數(shù)器AK_C0UNT的值(AK_C0UNT = AK_C0UNT+1)。目標(biāo)ABS用生成的CMAC KEY對接收到的測距請求消息中的摘要CMAC進行驗證， 如果驗證成功，則執(zhí)行步驟809，否則先進基站發(fā)送測距響應(yīng)消息(AAI_RNG-REQ)指示拒絕接入。步驟810，目標(biāo)ABS在MZone向終端發(fā)送測距響應(yīng)消息(AAI_RNG_RSP)。該消息既可以用CMAC KEk做完整性保護(此時該消息攜帶由目標(biāo)ABS生成的CMAC KEk計算得到的該消息的摘要CMAC)，也可以用TEK對該消息進行加密和完整性保護。該步驟中還可包括目標(biāo)ABS同步終端側(cè)和基站側(cè)AK_C0UNT值的操作。除了可能會有AK_C0UNT與CMAC_KEY_C0UNT的名稱轉(zhuǎn)換外，該操作同協(xié)議802. 16m中的定義，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證，或做解密和驗證。若驗證成功，則終端和目標(biāo)ABS的密鑰更新成功，繼續(xù)以下的切換流程。步驟811，終端與目標(biāo)ABS的MZone建立數(shù)據(jù)通道。本實施例中的終端在傳統(tǒng)ASN網(wǎng)絡(luò)與先進ASN網(wǎng)絡(luò)之間切換時，進行了空口密鑰的更新，增加了通信的安全性。實施例十本實施例提供了一種空口密鑰更新的方法，該方法應(yīng)用在終端從先進基站切換到傳統(tǒng)基站時，先進基站可能是16m-only的基站，也可能是含Uone和MZone的mixed-mode 混合模式的基站，16m-only的基站連接到先進的網(wǎng)關(guān)，混合模式的基站的Lhne連接到傳統(tǒng)的網(wǎng)關(guān)，MZone可能連接到支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)，也可能連接到支持先進協(xié)議的網(wǎng)關(guān)。參見圖12，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟901-906同實施例一的步驟101-106相同，這里不再詳述。步驟907，終端遞增重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT的值，根據(jù)CMAC_KEY_C0UNT和存儲的AK計算CMAC KEYs和/或KEK ；目標(biāo)基站根據(jù)AK計算CMAC KEYs和/或KEK。目標(biāo)基站處的該操作也可以在步驟902或步驟903或步驟908之后進行。該步驟中終端和/或目標(biāo)基站可能需要將重入網(wǎng)計數(shù)器AK_C0UNT值轉(zhuǎn)換為CMAC_ KEY_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。步驟908，終端向目標(biāo)基站發(fā)送測距請求消息(RNG-REQ)，其中攜帶由生成的 CMAC KEY計算得到的該消息的摘要CMAC。步驟909，目標(biāo)基站用生成的CMAC KEYs對接收到的測距請求消息中的摘要CMAC 進行驗證，如果驗證成功，則目標(biāo)基站向終端發(fā)送測距響應(yīng)消息(RNG-RSP)。該消息用CMAC KEk做完整性保護(此時該消息攜帶由目標(biāo)先進基站生成的CMAC KEk計算得到的該消息的摘要CMAC)。該步驟中還可包括目標(biāo)基站同步終端側(cè)和基站側(cè)CMACKEY_C0UNT值的操作。該操作同協(xié)議802. 16e中的定義，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證。若驗證成功，則終端和目標(biāo)基站的密鑰更新成功，繼續(xù)以下的切換流程。本實施例中的終端在先進基站切換到傳統(tǒng)基站時，進行了空口密鑰的更新，增加了通信的安全性。實施例i^一本實施例提供了一種空口密鑰更新的方法，本實施例中的目標(biāo)基站為先進基站， 該方法的終端從先進基站的MZone轉(zhuǎn)換到LZone時，進行空口密鑰更新。該先進基站的 MZone可能連接到支持傳統(tǒng)協(xié)議的網(wǎng)關(guān)，也可能連接到支持先進協(xié)議的網(wǎng)關(guān)。
參見圖13，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟1001，終端向先進基站的MZone發(fā)送切換請求消息(AAI_H0_REQ)，指示從先進基站的MZone轉(zhuǎn)換到該基站下的LZone，即從MZone到LZone的區(qū)域轉(zhuǎn)換(zone switch)， 該步驟為可選。步驟1002，先進基站主動地或者基于終端的切換請求發(fā)送切換命令消息(AAI_ H0-CMD)。步驟1003，終端向先進基站的MZone發(fā)送切換指示消息，指示從先進基站的MZone 轉(zhuǎn)換到該基站下的LZone，即從MZone到Uone的區(qū)域轉(zhuǎn)換(zone switch)，該步驟為可選。步驟1004，終端遞增重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT的值，根據(jù)CMAC_KEY_C0UNT和 AK計算CMAC KEYs和/或KEK ；先進基站根據(jù)AK計算CMAC KEYs和/或KEK?；咎幍脑摬僮饕部梢栽诓襟E1002或步驟1003或步驟1005之后進行。該步驟中終端和/或目標(biāo)基站可能需要將重入網(wǎng)計數(shù)器AK_C0UNT值轉(zhuǎn)換為CMAC_ KEY_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。步驟1005，終端向先進基站的Lhne發(fā)送測距請求消息(RNG-REQ)，其中攜帶由生成的CMAC KEYs計算得到的該消息的摘要CMAC。步驟1006，先進基站用生成的CMAC KEYs對在Lhne接收到的測距請求消息中的摘要CMAC進行驗證，如果驗證成功，則先進基站向終端發(fā)送測距響應(yīng)消息(RNG-RSP)。該消息用CMACKEk做完整性保護(此時該消息攜帶由基站生成的CMAC KEk計算得到的該消息的摘要CMAC)。該步驟中還可包括先進基站同步終端側(cè)和基站側(cè)CMACKEY_C0UNT值的操作。該操作同協(xié)議802. 16e中的定義，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證。若驗證成功，則終端和BS的密鑰更新成功，繼續(xù)以下的切換流程。本實施例中的終端在先進基站的先進區(qū)域切換到傳統(tǒng)區(qū)域時，進行了空口密鑰的更新，增加了通信的安全性。實施例十二本實施例提供了一種空口密鑰更新的方法，本實施例中的目標(biāo)基站為傳統(tǒng)基站， 服務(wù)基站為先進基站，該方法的終端從先進基站切換到傳統(tǒng)基站時，進行空口密鑰更新。先進基站可能是16m-0nly的基站，也可能是含Uone和MZone的mixed-mode混合模式的基站，16m-only的基站連接到先進的網(wǎng)關(guān)，混合模式的基站的Lhne連接到傳統(tǒng)的網(wǎng)關(guān)， MZone連接到支持先進協(xié)議的網(wǎng)關(guān)。參見圖14，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟1101-1106，同實施例一的步驟101-106。步驟1107，終端遞增重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT的值。終端根據(jù)MAC ADDRESS (MAC 地址)重新計算 AK，并根據(jù) CMAC_KEY_C0UNT 和 AK 計算 CMAC KEYs 和 / 或 KEK ； 目標(biāo)基站根據(jù)終端的MAC ADDRESS和PMK計算AK，并根據(jù)AK和重入網(wǎng)計數(shù)器CMAC_KEY_COUNT 計算 CMAC KEYs 禾口 / 或 KEK0該步驟中終端和/或目標(biāo)基站可能需要將重入網(wǎng)計數(shù)器AK_C0UNT值轉(zhuǎn)換為CMAC_ KEY_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。本步驟中目標(biāo)基站的操作也可以在步驟1102或步驟1103或步驟1108之后進行。步驟1107中的終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值也可以替換為終端和目標(biāo)基站令A(yù)K_C0UNT的值為0或1。此處的AK，CMAC KEYs和KEK的推導(dǎo)式可以采用相關(guān)技術(shù)的公式，這里不再詳述。步驟1108，終端向目標(biāo)基站發(fā)送測距請求消息(RNG-REQ)，其中攜帶由生成的 CMAC KEYs計算得到的該消息的摘要CMAC。步驟1109，目標(biāo)基站用生成的CMAC KEYs對接收到的測距請求消息中的摘要CMAC 進行驗證，如果驗證成功，則目標(biāo)基站向終端發(fā)送測距響應(yīng)消息(RNG-RSP)。該消息用CMAC KEk做完整性保護(此時該消息攜帶由目標(biāo)先進基站生成的CMAC KEk計算得到的該消息的摘要CMAC)。該步驟中還可包括目標(biāo)基站同步終端側(cè)和基站側(cè)CMACKEY_C0UNT值的操作。該操作同協(xié)議802. 16e中的定義，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證。若驗證成功，則終端和目標(biāo)BS的密鑰更新成功，繼續(xù)以下的切換流程。本實施例中的終端由先進基站切換到傳統(tǒng)基站時，進行了空口密鑰的更新，增加了通信的安全性。實施例十三本實施例提供了一種空口密鑰更新的方法，本實施例中的目標(biāo)基站為先進基站， 該方法的終端從先進基站的MZone轉(zhuǎn)換到Lhne時，進行了空口密鑰更新。本實施例中的該先進基站的MZone連接到支持先進協(xié)議的網(wǎng)關(guān)。參見圖15，為本實施例提供的空口密鑰更新的方法流程圖，該方法包括如下步驟步驟1201，終端向目標(biāo)基站的MZone發(fā)送切換請求消息(AAI_H0_REQ)，指示從目標(biāo)基站的MZone轉(zhuǎn)換到該基站下的LZone，即從MZone到LZone的zone switch,該步驟為可選。步驟1202，目標(biāo)基站主動地或者基于終端的切換請求發(fā)送切換命令消息(AAI_ H0-CMD)。步驟1203，終端向目標(biāo)基站的MZone發(fā)送切換指示消息，指示從目標(biāo)基站的MZone 轉(zhuǎn)換到該基站下的LZone，即從MZone到LZone的zone switch,該步驟為可選。步驟1204，終端遞增重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT的值，終端根據(jù)MAC ADDRESS 計算AK，然后根據(jù)CMAC_KEY_C0UNT和AK計算CMAC KEYs和/或KEK ；目標(biāo)基站根據(jù)終端 MACADDRESS計算AK，然后根據(jù)AK和重入網(wǎng)計數(shù)器CMAC_KEY_C0UNT值計算CMAC KEYs和/ 或 KEK。該步驟中終端和/或目標(biāo)基站可能需要將重入網(wǎng)計數(shù)器AK_C0UNT值轉(zhuǎn)換為CMAC_ KEY_C0UNT。該轉(zhuǎn)換終端可以在遞增重入網(wǎng)計數(shù)器之前進行，也可以在遞增重入網(wǎng)計數(shù)器之后進行。本步驟中目標(biāo)基站的操作也可以在步驟1202或步驟1203或步驟1205之后進行。步驟1204中的終端遞增重入網(wǎng)計數(shù)器AK_C0UNT的值也可以替換為終端和目標(biāo)基站令A(yù)K_C0UNT的值為0或1。此處的AK，CMAC KEYs和KEK的推導(dǎo)式可以采用相關(guān)技術(shù)的公式，這里不再詳述。步驟1205，終端向目標(biāo)基站的LZone發(fā)送測距請求消息(RNG-REQ)，其中攜帶由生成的CMAC KEY計算得到的該消息的摘要CMAC。步驟1206，目標(biāo)基站用生成的CMAC KEY對在LZone接收到的測距請求消息中的摘要CMAC進行驗證，如果驗證成功，則目標(biāo)基站向終端發(fā)送測距響應(yīng)消息(RNG-RSP)。該消息用CMAC KEY做完整性保護(此時該消息攜帶由基站生成的CMAC KEY計算得到的該消息的摘要CMAC)。該步驟中還可包括目標(biāo)基站同步終端側(cè)和基站側(cè)CMACKEY_C0UNT值的操作。該操作同協(xié)議802. 16e中的定義，此處不再贅述。終端對接收到的測距響應(yīng)消息做驗證。若驗證成功，則終端和目標(biāo)基站的密鑰更新成功，繼續(xù)以下的切換流程。本實施例中的終端在先進基站的先進區(qū)域切換到傳統(tǒng)區(qū)域時，進行了空口密鑰的更新，增加了通信的安全性。以上所述僅為本發(fā)明的優(yōu)選實施例而已。本發(fā)明方案并不限于IEEE 802. 16系統(tǒng)，可以將它的相關(guān)模式應(yīng)用于其它無線通信系統(tǒng)中。從以上的描述中可以看出，本發(fā)明實現(xiàn)了如下技術(shù)效果本實施例中的終端在先進網(wǎng)絡(luò)和/或傳統(tǒng)網(wǎng)絡(luò)間切換時，進行了空口密鑰的更新，增加了通信的安全性。顯然，本領(lǐng)域的技術(shù)人員應(yīng)該明白，上述的本發(fā)明的各模塊或各步驟可以用通用的計算裝置來實現(xiàn)，它們可以集中在單個的計算裝置上，或者分布在多個計算裝置所組成的網(wǎng)絡(luò)上，可選地，它們可以用計算裝置可執(zhí)行的程序代碼來實現(xiàn)，從而，可以將它們存儲在存儲裝置中由計算裝置來執(zhí)行，并且在某些情況下，可以以不同于此處的順序執(zhí)行所示出或描述的步驟，或者將它們分別制作成各個集成電路模塊，或者將它們中的多個模塊或步驟制作成單個集成電路模塊來實現(xiàn)。這樣，本發(fā)明不限制于任何特定的硬件和軟件結(jié)合。以上所述僅為本發(fā)明的優(yōu)選實施例而已，并不用于限制本發(fā)明，對于本領(lǐng)域的技術(shù)人員來說，本發(fā)明可以有各種更改和變化。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進等，均應(yīng)包含在本發(fā)明的保護范圍之內(nèi)。
2權(quán)利要求
1.一種空口密鑰更新的方法，其特征在于，包括以下步驟當(dāng)終端將要切換到使用先進空口的設(shè)備時，所述終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK* ；根據(jù)AK*更新空口密鑰；當(dāng)終端將要切換到使用傳統(tǒng)空口的設(shè)備時，所述終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK更新空口密鑰；所述空口密鑰包括消息完整性保護密鑰CMAC KEk。
2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述使用先進空口的設(shè)備包括先進基站或使用先進區(qū)域的混合模式的先進基站；所述使用傳統(tǒng)空口的設(shè)備包括傳統(tǒng)基站或使用傳統(tǒng)區(qū)域的混合模式的先進基站。
3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述空口密鑰更新的觸發(fā)條件包括以下切換之一終端在傳統(tǒng)接入服務(wù)網(wǎng)絡(luò)ASN與先進ASN網(wǎng)絡(luò)之間切換；終端的服務(wù)基站和目標(biāo)基站所連接的ASN網(wǎng)絡(luò)都是傳統(tǒng)ASN網(wǎng)絡(luò)；終端的服務(wù)基站和目標(biāo)基站所連接的ASN網(wǎng)絡(luò)都是先進ASN網(wǎng)絡(luò)；終端在先進網(wǎng)絡(luò)的先進區(qū)域MZone與傳統(tǒng)區(qū)域Lhne之間切換。
4.根據(jù)權(quán)利要求1所述的方法，其特征在于，終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK*包括所述終端遞增AK_C0UNT，根據(jù)遞增的AK_C0UNT和AK生成變形授權(quán)密鑰AK* ；所述目標(biāo)基站根據(jù)AK和AK_C0UNT生成變形授權(quán)密鑰AK*。
5.根據(jù)權(quán)利要求1所述的方法，其特征在于，終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK*包括所述終端和目標(biāo)基站將AK_C0UNT設(shè)置為O或設(shè)置為1，根據(jù)設(shè)置后的AK_C0UNT和AK 生成變形授權(quán)密鑰AK*。
6.根據(jù)權(quán)利要求1所述的方法，其特征在于，終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK*包括所述終端遞增CMAC_KEY_COUNT，將遞增后的CMAC_KEY_COUNT的值賦給AK_C0UNT，根據(jù)設(shè)置后的AK_C0UNT和AK生成變形授權(quán)密鑰AK*。
7.根據(jù)權(quán)利要求1任一權(quán)利要求所述的方法，其特征在于，當(dāng)終端將要切換到使用先進空口的設(shè)備時，所述空口密鑰還包括業(yè)務(wù)流加密密鑰TEK。
8.根據(jù)權(quán)利要求1-7任一權(quán)利要求所述的方法，其特征在于，所述終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK*的步驟之前還包括所述終端和所述目標(biāo)基站更新授權(quán)密鑰AK ；相應(yīng)地，所述終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK*的步驟中的AK為更新后的AK。
9.根據(jù)權(quán)利要求8所述的方法，其特征在于，所述終端和所述目標(biāo)基站更新授權(quán)密鑰 AK包括所述終端和所述目標(biāo)基站根據(jù)所述終端的標(biāo)識哈希值，和/或所述目標(biāo)基站標(biāo)識生成授權(quán)密鑰AK。
10.根據(jù)權(quán)利要求9所述的方法，其特征在于，所述終端的標(biāo)識哈希值根據(jù)所述終端的標(biāo)識和隨機數(shù)生成，所述隨機數(shù)包括所述終端生成的第一隨機數(shù)和/或所述目標(biāo)基站生成的第二隨機數(shù)。
11.根據(jù)權(quán)利要求10所述的方法，其特征在于，所述第一隨機數(shù)由所述終端生成，在切換實施階段，所述終端向所述目標(biāo)基站發(fā)送的測距請求消息，所述測距請求消息中攜帶所述第一隨機數(shù)；所述第二隨機數(shù)由所述目標(biāo)基站生成，在切換準(zhǔn)備階段，所述目標(biāo)基站向服務(wù)基站發(fā)送切換響應(yīng)消息，所述切換響應(yīng)消息攜帶所述第二隨機數(shù)；所述服務(wù)基站通過切換命令消息或切換響應(yīng)消息將所述第二隨機數(shù)轉(zhuǎn)發(fā)給所述終端。
12.根據(jù)權(quán)利要求8所述的方法，其特征在于，所述終端和所述目標(biāo)基站更新授權(quán)密鑰 AK包括所述終端和所述目標(biāo)基站根據(jù)所述終端的標(biāo)識和/或所述目標(biāo)基站的標(biāo)識生成授權(quán)密鑰AK。
13.根據(jù)權(quán)利要求1所述的方法，其特征在于，當(dāng)終端將要切換到使用傳統(tǒng)空口的設(shè)備時，所述空口密鑰還包括密鑰加密密鑰KEK。
14.一種空口密鑰更新的系統(tǒng)，其特征在于，包括終端和目標(biāo)基站，所述終端包括第一變形授權(quán)密鑰生成模塊，用于根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK* ；第一空口密鑰更新模塊，用于根據(jù)AK*更新空口密鑰，所述空口密鑰包括消息完整性保護密鑰CMAC KEYs ；以及所述目標(biāo)基站包括第二變形授權(quán)密鑰生成模塊，用于根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK* ；第二空口密鑰更新模塊，用于根據(jù)AK*更新空口密鑰，所述空口密鑰包括消息完整性保護密鑰CMAC KEYs0
15.根據(jù)權(quán)利要求14所述的系統(tǒng)，其特征在于，所述目標(biāo)基站為先進基站，或所述目標(biāo)基站為混合模式的先進基站，且所述終端將要切換到所述先進基站的先進區(qū)域。
16.一種空口密鑰更新的系統(tǒng)，其特征在于，包括終端和目標(biāo)基站，所述目標(biāo)基站為傳統(tǒng)基站，或所述目標(biāo)基站為混合模式的先進基站，且所述終端將要切換到所述先進基站的傳統(tǒng)區(qū)域，所述終端和所述目標(biāo)基站，用于根據(jù)授權(quán)密鑰AK更新空口密鑰；所述空口密鑰包括消息完整性保護密鑰CMAC KEk。
全文摘要
本發(fā)明公開了一種空口密鑰更新的方法及系統(tǒng)。所述方法包括當(dāng)終端將要切換到使用先進空口的設(shè)備時，所述終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK生成變形授權(quán)密鑰AK*；根據(jù)AK*更新空口密鑰；當(dāng)終端將要切換到使用傳統(tǒng)空口的設(shè)備時，所述終端和目標(biāo)基站根據(jù)授權(quán)密鑰AK更新空口密鑰；所述空口密鑰包括消息完整性保護密鑰CMAC KEYs。本發(fā)明通過終端切換過程中，進行空口密鑰更新操作，增強了系統(tǒng)的安全性。
文檔編號H04W92/10GK102196427SQ20101014346
公開日2011年9月21日 申請日期2010年3月5日 優(yōu)先權(quán)日2010年3月5日
發(fā)明者馮成燕, 劉揚, 江輝, 甘露, 謝峰, 陳玉芹, 陳琳 申請人:中興通訊股份有限公司