一种通信系统、方法及装置制造方法及图纸

一种通信系统、方法及装置，涉及通信技术领域。其中，该通信系统包括移动管理网元、认证服务网元和数据管理网元；终端设备用于向移动管理网元发送接入请求；接入请求包括第一用户标识；移动管理网元用于响应于接入请求，向认证服务网元发送第一用户认证请求；第一用户认证请求包括第一用户标识；认证服务网元用于响应于第一用户认证请求，向数据管理网元发送第二用户认证请求，第二用户认证请求包括第一用户标识；数据管理网元用于响应于第二用户认证请求，向认证服务网元返回第二用户认证响应，第二用户认证响应包括第二用户标识；第二用户标识为终端设备的匿名化身份标识。这种技术方案通过引入第二用户标识，有助于提高通信的安全性和可靠性。

【技术实现步骤摘要】
一种通信系统、方法及装置本申请中要求在2019年08月27日提交中国专利局、申请号为201910795258.8、申请名称为“一种通信系统、方法及装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
本申请涉及通信
，特别涉及一种通信系统、方法及装置。
技术介绍
第五代(5thgeneration，5G)通信中，通常用户永久标识符(subscriptionpermanentidentifier，SUPI)应用于密钥KAMF的计算，因此SUPI属于敏感信息。而核心网中的各网元之间通信是采用用户永久标识符(subscriptionpermanentidentifier，SUPI)标识终端设备的，如果核心网中网元被攻击或网元中的数据被盗取，容易导致SUPI泄露，影响用户通信隐私性。
技术实现思路
本申请实施例提供一种通信系统、方法及装置，有助于提高通信的安全性和可靠性。第一方面，本申请实施例提供的一种通信系统，包括移动管理网元、认证服务网元和数据管理网元；终端设备用于向所述移动管理网元发送接入请求；所述接入请求包括第一用户标识，所述第一用户标识是对SUPI加密得到的，所述SUPI为所述终端设备的身份标识；所述移动管理网元用于响应于所述接入请求，向所述认证服务网元发送第一用户认证请求；所述第一用户认证请求包括所述第一用户标识；所述认证服务网元用于响应于所述第一用户认证请求，向所述数据管理网元发送第二用户认证请求，所述第二用户认证请求包括所述第一用户标识；所述数据管理网元用于响应于所述第二用户认证请求，向所述认证服务网元返回第二用户认证响应，所述第二用户认证响应包括第二用户标识；所述第二用户标识为所述终端设备的匿名化身份标识；所述认证服务网元还用于响应于所述第二用户认证响应，向所述移动管理网元返回第一用户认证响应。本申请实施例通过引入第二用户标识，使得核心网中各网元可以通过第二用户标识标识终端设备，而第二用户标识为终端设备的匿名化身份标识，与现有技术中核心网中各网元通过SUPI标识终端设备相比，有助于提高通信的安全性和可靠性。在一种可能的设计中，所述第一用户认证响应还包括所述第二用户标识。有助于简化移动管理网元获取第二用户标识的方式。在一种可能的设计中，所述移动管理网元还用于响应于所述第一用户认证响应，从所述认证服务网元获取所述第二用户标识。便于移动管理网元获取第二用户标识。在一种可能的设计中，所述第一用户认证请求还包括第一指示信息，则所述认证服务网元响应于所述第一用户认证请求，向所述数据管理网元发送的所述第二用户认证请求还包括所述第一指示信息；所述第一指示信息用于指示所述移动管理网元支持用户身份匿名化处理。有助于数据管理网元确定服务网络支持用户匿名化处理，从而返回第二用户标识。需要说明的是，所述移动管理网元支持用户身份匿名化处理，还可以理解为：所述移动管理网元所在的网络支持用户身份匿名化处理，其中，所述移动管理网络所在的网络为终端设备请求接入的网络，用于为终端设备提供服务。其中该网络可以称之为服务网络。在一种可能的设计中，所述第二用户认证响应还包括第二指示信息，则所述认证服务网元响应于所述第二用户认证响应，向所述移动管理网元返回的所述第一用户认证响应还包括所述第二指示信息；所述第二指示信息用于指示所述数据管理网元支持用户身份匿名化处理。有助于移动管理网元确定归属网络支持用户身份匿名化处理，从而获取第二用户标识。需要说明的是，所述数据管理网元支持用户身份匿名化处理，还可以理解为：所述数据管理网元所在的网络支持用户身份匿名化处理，其中，所述数据管理网络所在的网络为用于提供终端设备注册相关信息(例如注册状态等)的网络。其中该网络可以称之为归属网络。在一种可能的设计中，所述通信系统还包括第一网元；所述数据管理网元还用于：向所述第一网元发送匿名化用户标识获取请求，所述匿名化用户标识获取请求包括所述第一用户标识，以及接收所述第一网元返回的所述第二用户标识；所述第一网元用于响应于所述匿名化用户标识获取请求，对所述第一用户标识解密，以得到所述SUPI；根据所述SUPI，获取所述第二用户标识，以及向所述数据管理网元返回所述第二用户标识。有助于简化实现方式。在一种可能的设计中，所述通信系统还包括第一网元；所述数据管理网元还用于：对所述第一用户标识解密，以得到所述SUPI，并向所述第一网元发送匿名化用户标识获取请求，所述匿名化用户标识获取请求包括所述SUPI，以及接收所述第一网元返回的所述第二用户标识；所述第一网元用于响应于所述匿名化用户标识获取请求，根据所述SUPI，获取所述第二用户标识，以及向所述数据管理网元返回所述第二用户标识。有助于简化实现方式。在一种可能的设计中，所述认证服务网元还用于：向所述第一网元发送密钥获取请求，所述密钥获取请求包括所述第二用户标识；并接收所述第一网元返回的密钥KAMF，以及向所述移动管理网元发送所述密钥KAMF；所述密钥KAMF为所述终端设备与所述移动管理网元之间的密钥；所述第一网元用于响应于所述密钥获取请求，根据所述第二用户标识，生成所述密钥KAMF，并向所述认证服务网元返回所述密钥KAMF；所述移动管理网元还用于：接收所述认证服务网元发送的所述密钥KAMF。以便于移动管理网元能够通过密钥KAMF实现与终端设备之间的安全通信。在一种可能的设计中，所述第一网元用于根据所述第二用户标识获取所述SUPI，并根据所述SUPI生成所述密钥KAMF。以便于移动管理网元能够通过密钥KAMF实现与终端设备之间的安全通信。在一种可能的设计中，所述移动管理网元，还用于向所述认证服务器发送第一参数；所述认证服务网元，还用于向所述第一网元发送所述第一参数；所述第一网元用于根据所述SUPI和所述第一参数生成所述密钥KAMF。有助于简化密钥KAMF的生成方式。在一种可能的设计中，所述数据管理网元还用于对所述第一用户标识解密，以得到所述SUPI；根据所述SUPI，获取所述第二用户标识。有助于简化实现方式。在一种可能的设计中，所述移动管理网元还用于：根据所述第二用户标识，生成密钥KAMF；所述密钥KAMF为所述终端设备与移动管理网元之间的密钥。有助于简化实现方式。在一种可能的设计中，所述认证服务网元还用于向所述数据管理网元发送密钥获取请求，所述密钥获取请求包括所述第二用户标识；并接收所述数据管理网元返回的密钥KAMF，以及向所述移动管理网元发送所述密钥KAMF；所述密钥KAMF为所述终端设备与所述移动管理网元之间的密钥；所述数据管理网元，还用于响应于所述密钥获取请求，根据所述第二用户标识，生成所述密钥KAMF，并向所述认证服务网元返回所述密钥KAMF；所述移动管理网元还用于接收所述认证服务网元发送的所述密钥KAMF。有助于简化实现方式。第二方面，本申请实施例提供的一种通信方法，所述方法包括：移动管理网元接收到终端设备发送的接入请求，本文档来自技高网...

【技术保护点】
1.一种通信系统，其特征在于，包括移动管理网元、认证服务网元和数据管理网元；/n所述移动管理网元用于接收终端设备发送的接入请求；所述接入请求包括第一用户标识，所述第一用户标识是对用户标识SUPI加密得到的，所述SUPI为所述终端设备的身份标识；/n所述移动管理网元用于响应于所述接入请求，向所述认证服务网元发送第一用户认证请求；所述第一用户认证请求包括所述第一用户标识；/n所述认证服务网元用于响应于所述第一用户认证请求，向所述数据管理网元发送第二用户认证请求，所述第二用户认证请求包括所述第一用户标识；/n所述数据管理网元用于响应于所述第二用户认证请求，向所述认证服务网元返回第二用户认证响应，所述第二用户认证响应包括第二用户标识；所述第二用户标识为所述终端设备的匿名化身份标识；/n所述认证服务网元还用于响应于所述第二用户认证响应，向所述移动管理网元返回第一用户认证响应。/n

【技术特征摘要】
20190827 CN 20191079525881.一种通信系统，其特征在于，包括移动管理网元、认证服务网元和数据管理网元；
所述移动管理网元用于接收终端设备发送的接入请求；所述接入请求包括第一用户标识，所述第一用户标识是对用户标识SUPI加密得到的，所述SUPI为所述终端设备的身份标识；
所述移动管理网元用于响应于所述接入请求，向所述认证服务网元发送第一用户认证请求；所述第一用户认证请求包括所述第一用户标识；
所述认证服务网元用于响应于所述第一用户认证请求，向所述数据管理网元发送第二用户认证请求，所述第二用户认证请求包括所述第一用户标识；
所述数据管理网元用于响应于所述第二用户认证请求，向所述认证服务网元返回第二用户认证响应，所述第二用户认证响应包括第二用户标识；所述第二用户标识为所述终端设备的匿名化身份标识；
所述认证服务网元还用于响应于所述第二用户认证响应，向所述移动管理网元返回第一用户认证响应。


2.如权利要求1所述的通信系统，其特征在于，所述第一用户认证响应还包括所述第二用户标识。


3.如权利要求1或2所述的通信系统，其特征在于，所述移动管理网元还用于：
响应于所述第一用户认证响应，从所述认证服务网元获取所述第二用户标识。


4.如权利要求1至3任一所述的通信系统，其特征在于，所述第一用户认证请求还包括第一指示信息，则所述认证服务网元响应于所述第一用户认证请求，向所述数据管理网元发送的所述第二用户认证请求还包括所述第一指示信息；所述第一指示信息用于指示所述移动管理网元支持用户身份匿名化处理。


5.如权利要求1至4任一所述的通信系统，其特征在于，所述第二用户认证响应还包括第二指示信息，则所述认证服务网元响应于所述第二用户认证响应，向所述移动管理网元返回的所述第一用户认证响应还包括所述第二指示信息；所述第二指示信息用于指示所述数据管理网元支持用户身份匿名化处理。


6.如权利要求1至5任一所述的通信系统，其特征在于，还包括第一网元；
所述数据管理网元还用于：
向所述第一网元发送匿名化用户标识获取请求，所述匿名化用户标识获取请求包括所述第一用户标识，以及接收所述第一网元返回的所述第二用户标识；
所述第一网元用于响应于所述匿名化用户标识获取请求，对所述第一用户标识解密，以得到所述SUPI；根据所述SUPI，获取所述第二用户标识，以及向所述数据管理网元返回所述第二用户标识。


7.如权利要求1至5任一所述的通信系统，其特征在于，还包括第一网元；
所述数据管理网元还用于：
对所述第一用户标识解密，以得到所述SUPI，并向所述第一网元发送匿名化用户标识获取请求，所述匿名化用户标识获取请求包括所述SUPI，以及接收所述第一网元返回的所述第二用户标识；
所述第一网元用于响应于所述匿名化用户标识获取请求，根据所述SUPI，获取所述第二用户标识，以及向所述数据管理网元返回所述第二用户标识。


8.如权利要求6或7所述的通信系统，其特征在于，所述认证服务网元还用于：
向所述第一网元发送密钥获取请求，所述密钥获取请求包括所述第二用户标识；并接收所述第一网元返回的密钥KAMF，以及向所述移动管理网元发送所述密钥KAMF；所述密钥KAMF为所述终端设备与所述移动管理网元之间的密钥；
所述第一网元用于响应于所述密钥获取请求，根据所述第二用户标识，生成所述密钥KAMF，并向所述认证服务网元返回所述密钥KAMF；
所述移动管理网元还用于：接收所述认证服务网元发送的所述密钥KAMF。


9.如权利要求8所述的通信系统，其特征在于，所述第一网元用于根据所述第二用户标识获取所述SUPI，并根据所述SUPI生成所述密钥KAMF。


10.如权利要求9所述的通信系统，其特征在于，
所述移动管理网元，还用于向所述认证服务器发送第一参数；
所述认证服务网元，还用于向所述第一网元发送所述第一参数；
所述第一网元用于根据所述SUPI和所述第一参数生成所述密钥KAMF。


11.如权利要求1至5任一所述的通信系统，其特征在于，所述数据管理网元，还用于：
对所述第一用户标识解密，以得到所述SUPI；根据所述SUPI，获取所述第二用户标识。


12.如权利要求11所述的通信系统，其特征在于，所述认证服务网元还用于：
向所述数据管理网元发送密钥获取请求，所述密钥获取请求包括所述第二用户标识；并接收所述数据管理网元返回的密钥KAMF，以及向所述移动管理网元发送所述密钥KAMF；所述密钥KAMF为所述终端设备与所述移动管理网元之间的密钥；
所述数据管理网元，还用于：
响应于所述密钥获取请求，根据所述第二用户标识，生成所述密钥KAMF，并向所述认证服务网元返回所述密钥KAMF；
所述移动管理网元还用于：接收所述认证服务网元发送的所述密钥KAMF。


13.如权利要求11所述的通信系统，其特征在于，所述移动管理网元还用于：
根据所述第二用户标识，生成密钥KAMF；所述密钥KAMF为所述终端设备与移动管理网元之间的密钥。


14.一种通信方法，其特征在于，所述方法包括：
移动管理网元接收到终端设备发送的接入请求，所述接入请求包括第一用户标识，所述第一用户标识是对用户标识SUPI加密得到的，所述SUPI为所述终端设备的身份标识；
所述移动管理网元响应于所述接入请求，向所述认证服务网元发送第一用户认证请求，所述第一用户认证请求包括所述第一用户标识；
所述移动管理网元接收认证服务网元响应于所述第一用户认证请求，返回的第一用户认证响应；
其中，所述第一用户认证响应包括第二用户标识，所述第二用户标识为所述终端设备的匿名化身份标识；或者，所述移动管理网元响应于所述第一用户认证响应，从所述认证服务网元获取所述第二用户标识。


15.如权利要求14所述的方法，其特征在于，所述第一用户认证请求还包括第一指示信息，所述第一指示信息用于指示所述移动管理网元支持用户身份匿名化处理。


16.如权利要求14或15所述的方法，其特征在于，第一用户认证响应还包括第二指示信息，所述第二指示信息用于指示数据管理网元支持用户身份匿名化处理。


17.如权利要求14至15任一所述的方法，其特征在于，所述方法还包括：
所述移动管理网元根据所述第二用户标识，生成密钥KAMF；或者，
所述移动管理网元接收所述认证服务网元返回的密钥KAMF；
所述密钥KAMF为所述终端设备与移动管理网元之间的密钥。


18.如权利要求17所述的方法，其特征在于，所述方法还包括：
所述移动管理网元还向所述认证服务网元发送第一参数；所述第一参数用于生成所述密钥KAMF。


...

【专利技术属性】
技术研发人员：李飞，张博，何承东，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：广东;44