通信方法及装置与流程

本技术涉及通信领域，尤其涉及一种通信方法及装置。

背景技术：

1、在目前的非接入层(non-access stratum，nas)协议中，用户设备(userequipment，ue)通常只和接入和移动性管理功能(access and mobility managementfunction，amf)建立端到端的nas保护，即ue将nas消息传输到amf后，先由amf对nas进行解密和完整性保护校验，再将从nas消息中解析出的消息通过服务化接口转发给对应的网元。

2、然而，这种端到端的nas保护可能无法满足未来网络中更灵活的安全需求。

技术实现思路

1、本技术实施例提供一种通信方法及装置，以保障终端与各网元之间的端到端通信安全，从而满足网络更灵活的安全需求。

2、为达到上述目的，本技术采用如下技术方案：

3、第一方面，提供一种通信方法，应用于第一锚点，包括：根据第一锚点的密钥和第一网络中的第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第一网络中的第二网元的信息，为第二网元生成第二密钥，并将第一密钥和第二密钥分别发送给第一网元和第二网元。第一锚点的密钥是根据第一终端关联的密钥生成的。

4、由此可知，在第一终端与多个网元(如第一网元和第二网元)都有通信需求的情况下，第一锚点可以根据第一锚点的密钥和第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第二网元的信息，为第二网元生成第二密钥，这样，第一终端与多个网元的通信便能够通过对应的密钥来进行安全保护，如第一终端与第一网元的通信能够使用第一密钥来进行安全保护，第一终端与第二网元的通信能够使用第二密钥来进行安全保护，以保障终端与各网元之间的端到端通信安全，从而满足网络更灵活的安全需求。

5、一种可能的设计方案中，在根据第一锚点的密钥和第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第二网元的信息，为第二网元生成第二密钥之前，该方法还包括：确定需要服务于第一终端的第一网元和第二网元；以及，确定第一终端与第一网元以及第一终端与第二网元之间通信采用的安全保护方式为分布式安全保护，以避免为不相关的网元推衍密钥而浪费网络的开销。

6、可选地，确定需要服务于第一终端的第一网元和第二网元，包括：接收第一终端的服务信息，并根据服务信息，确定需要服务于第一终端的第一网元和第二网元，以避免为不需要提供服务的网元推衍密钥而浪费网络的开销。其中，服务信息指示第一终端期望或支持的网元，或者服务信息指示第一终端需要获取的服务。

7、进一步的，服务信息指示第一终端需要获取的服务，即第一终端的意图。由此，根据服务信息，确定需要服务于第一终端的第一网元和第二网元，可以包括：向分析网元发送服务信息，并接收分析网元针对服务信息返回的结果信息，结果信息指示提供第一终端需要获取的服务的网元为第一网元和第二网元。如此，相较于由第一锚点自行根据第一终端的意图，确定需要服务于第一终端的网元，可以降低第一锚点的处理开销，提高运行效率。

8、可选地，该方法还包括：向第一终端发送第一网元的信息和第二网元的信息，使得终端侧也能够推衍对应的密钥，用以对后续的通信进行安全保护。

9、可选地，该方法还包括：根据服务信息，确定第二网络中需要服务于第一终端的第三网元，向第二网络和第一终端发送第三网元的信息。例如，第二网络可以是第一终端的拜访网络，如此就不需要拜访网络中的锚点确定第二网络中需要服务于第一终端的网元，以降低第二网络的开销。另外，可以建立第一终端和归属地网络(即家乡网络)之间的安全，防止信息在拜访地(即拜访网络)被泄露或者篡改。

10、可选地，在确定第一终端与第一网元以及第一终端与第二网元之间通信采用的安全保护方式为分布式安全保护之前，该方法还包括：确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护。由此，确定第一终端与第一网元以及第一终端与第二网元之间通信采用的安全保护方式为分布式安全保护，包括：响应于第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，确定第一终端与第一网元以及第一终端与第二网元之间通信采用的安全保护方式为分布式安全保护，以避免为无关的网元推衍密钥而浪费网络的开销。

11、进一步的，确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，包括：接收第一终端的安全能力信息，并根据安全能力信息，确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护。安全能力信息指示第一终端支持的与同一网络中的多个网元之间通信采用分布式安全保护。由此，该方法还包括：向第一终端发送保护方式指示信息，保护方式指示信息指示第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，用以终端侧能够与网络侧对齐安全保护方式，避免因安全保护方式不对齐而导致安全保护失败。

12、进一步的，第一终端支持与同一网络中的多个网元之间通信采用至少一种安全保护方式，至少一种安全保护方式包括分布式安全保护。根据安全能力信息，确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，包括：从至少一种安全保护方式中，确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，以避免由其他网元确定而带来额外的通信开销；或者，根据安全能力信息，确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，包括：向服务于第一终端的数据管理网元发送第一终端的安全能力信息，并接收数据管理网元返回的信息，数据管理网元返回的信息指示第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，如此可以避免由第一锚点自行确定安全保护方式所带来的处理开销，能够提高第一锚点的运行效率。

13、进一步的，在第一终端漫游到第二网络的情况下，该方法还包括：向第二网络发送保护方式指示信息，用以拜访网络(或者说第二网络)中的锚点也能够与第一终端对齐安全保护方式，避免因安全保护方式不对齐而导致安全保护失败。

14、进一步的，确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，包括：接收来自第一终端的保护方式指示信息，保护方式指示信息指示第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，也就是说，第一终端可以自行确定安全保护方式并指示给网络侧，如此可以降低网络侧的处理复杂度和开销。或者，第一锚点属于第一网络，第一网络为第一终端的家乡网络，第一终端漫游到第二网络，确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，包括：接收来自第二网络的保护方式指示信息。也就是说，如果由拜访网络(第二网络)中的锚点选择安全保护方式，则拜访网络中的锚点还要向家乡网络中的锚点(第一锚点)发送保护方式指示信息，将安全保护方式告知给家乡网络中的锚点，用以第一锚点能够与第一终端对齐安全保护方式，避免因安全保护方式不对齐而导致安全保护失败。

15、一种可能的设计方案中，该方法还包括：接收认证请求消息，认证请求消息用于请求对第一终端进行认证，响应于认证请求消息，触发第一网络对第一终端的认证。由此，根据第一锚点的密钥和第一网络中的第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第一网络中的第二网元的信息，为第二网元生成第二密钥，包括：响应于第一网络对第一终端的认证通过，根据第一锚点的密钥和第一网络中的第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第一网络中的第二网元的信息，为第二网元生成第二密钥。也就是说，第一锚点在第一终端的认证通过的情况下才生成与网元关联的密钥，反之，如果第一终端的认证失败，则第一锚点不生成与网元关联的密钥，以避免产生冗余的开销。

16、可选地，该方法还包括：在触发第一网络对第一终端的认证的情况下，生成第一锚点的密钥关联的第一锚点的密钥标识，并向第一终端发送第一锚点的密钥标识，以通过第一锚点的密钥标识指示第一锚点的密钥，以避免密钥使用出错。

17、进一步的，第一锚点的密钥标识包括如下至少一项：第一锚点的信息、或第一网络的标识。例如，第一锚点的信息包括如下至少一项：第一锚点的标识、第一锚点的名称、第一锚点的类型、或指示第一锚点能提供的服务的信息，以通过上述的信息区分第一锚点与其他网元关联的密钥。

18、可选地，若第一终端漫游到第二网络，则该方法还包括：在触发第一网络对第一终端的认证的情况下，根据第一锚点的密钥，生成第二锚点的密钥，并向第二锚点发送第二锚点的密钥，用以通过第二锚点的密钥为第二网络中的网元生成密钥，从而对第一终端与第二网络中网元的通信进行安全保护。

19、可选地，该方法还包括：在触发第一网络对第一终端的认证的情况下，生成第二锚点的密钥标识，并向第二锚点发送第二锚点的密钥标识，这样，第二锚点就可以不用自行生成第二锚点的密钥标识，能够降低第二锚点的开销。

20、进一步的，第二锚点的密钥标识包括如下至少一项：第二锚点的信息、或第二网络的标识。例如，第二锚点的信息包括如下至少一项：第二锚点的标识、第二锚点的名称、第二锚点的类型、或指示第二锚点能提供的服务的信息，以通过上述的信息区分第二锚点与其他网元关联的密钥。

21、一种可能的设计方案中，该方法还包括：接收来自第二网络的认证指示信息；认证指示信息指示第二网络对第一终端的认证通过。由此，根据第一锚点的密钥和第一网络中的第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第一网络中的第二网元的信息，为第二网元生成第二密钥，包括：响应于第二网络对第一终端的认证通过，根据第一锚点的密钥和第一网络中的第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第一网络中的第二网元的信息，为第二网元生成第二密钥。也就是说，第一锚点在第一终端的认证通过的情况下才生成与网元关联的密钥，反之，如果第一终端的认证失败，则第一锚点不生成与网元关联的密钥，以避免产生冗余的开销。

22、可选地，该方法还包括：接收来自第二网络的第一锚点的密钥。

23、可选地，该方法还包括：响应于第二网络对第一终端的认证通过，生成第一锚点的密钥关联的第一锚点的密钥标识，并向第一终端发送第一锚点的密钥标识；或者，该方法还包括：接收来自第二网络的第一锚点的密钥和第一锚点的密钥标识，将第一锚点的密钥与第一锚点的密钥标识关联，并向第一终端发送第一锚点的密钥标识。

24、进一步的，第一锚点的密钥标识包括如下至少一项：第一锚点的信息、或第一网络的标识。例如，第一锚点的信息包括如下至少一项：第一锚点的标识、第一锚点的名称、第一锚点的类型、或指示第一锚点能提供的服务的信息。

25、一种可能的设计方案中，在根据第一锚点的密钥和第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第二网元的信息，为第二网元生成第二密钥之前，该方法还包括：接收来自第一网元的第一密钥请求，第一密钥请求包括第一网元的信息；以及，还可以接收来自第二网元的第二密钥请求，第二密钥请求包括第二网元的信息。可以看出，在这种情况下，第一锚点就不需要事先生成网元关联的密钥，而是根据第一终端的需求按需生成，以避免生成无关的冗余密钥。

26、可选地，第一密钥请求还包括密钥标识，在根据第一锚点的密钥和第一网元的信息，为第一网元生成第一密钥，以及根据第一锚点的密钥和第二网元的信息，为第二网元生成第二密钥之前，该方法还包括：确定密钥标识与第一锚点的密钥关联，以便第一锚点能够使用第一锚点的密钥生成对应的密钥，避免密钥生成出错。

27、一种可能的设计方案中，第一网元的信息包括如下至少一项：第一网元的标识、第一网元的名称、第一网元的类型、或第一网元能提供的服务的信息；第二网元的信息包括如下至少一项：第二网元的标识、第二网元的名称、第二网元的类型、或第二网元能提供的服务的信息，以通过上述的信息区分第一网元与第二网元关联的密钥，避免密钥使用出错。

28、一种可能的设计方案中，该方法还包括：确定第一密钥关联的第一密钥标识，以及第二密钥关联的第二密钥标识，将第一密钥标识和第二密钥标识分别发送给第一网元和第二网元。这样，第一网元和第二网元就可以不用自行生成密钥标识，能够降低第一网元和第二网元的开销。

29、可选地，第一密钥标识包括如下至少一项：第一网元的信息、或第一网络的标识，第二密钥标识包括如下至少一项：第二网元的信息、或第一网络的标识，以通过上述的信息区分第一网元与第二网元关联的密钥，避免密钥使用出错。

30、第二方面，提供一种通信方法，应用于第一终端或第一终端的芯片，包括：确定第一终端需要由第一网络中的第一网元和第一网络中的第二网元服务；在第一终端与第一网元以及第一终端与第二网元之间通信采用的安全保护方式为分布式安全保护的情况下，根据第一锚点的密钥和第一网元的信息，生成与第一网元关联的第一密钥，以及根据第一锚点的密钥和第二网元的信息，生成与第二网元关联的第二密钥，第一锚点的密钥是根据第一终端关联的密钥生成的。

31、一种可能的设计方案中，该方法还包括：发送第一终端的服务信息，并接收针对服务信息返回的第一网元的信息和第二网元的信息。确定第一终端需要由第一网络中的第一网元和第一网络中的第二网元服务，包括：响应于接收到第一网元的信息和第二网元的信息，确定第一终端需要由第一网元和第二网元服务。

32、应理解，服务信息可以指示第一终端需要获取的服务，第一终端需要获取的服务可以理解为第一终端的意图，也就是说，第一终端可以不需要知道自身的服务需要由哪些网元来提供，仅提供自身的意图即可，从而能够降低第一终端的处理开销，便于第一终端节能。或者，服务信息可以指示第一终端期望的网元，以网络侧能够直接确定对应的网元，从而能够提升网络侧的处理效率。或者，服务信息可以指示第一终端支持的网元，用以网络侧能够从中灵活选择适合为第一终端提供服务的网元。

33、可选地，发送第一终端的服务信息，包括：向第一终端接入的网络中的路由网元发送服务信息；接收第一网元的信息和第二网元的信息，包括：接收路由网元针对服务信息返回的第一网元的信息和第二网元的信息。

34、进一步的，第一终端在拜访网络漫游，向第一终端接入的网络中的路由网元发送第一终端的服务信息，包括：向路由网元发送服务信息和路由指示信息，路由指示信息指示终端发送的信息在被路由过程中是否经过拜访网络中的锚点。

35、可选地，发送第一终端的服务信息，包括：获取第一终端的家乡网络中的锚点的地址，根据该地址，向家乡网络中的锚点发送第一终端的服务信息。

36、一种可能的设计方案中，方法还包括：

37、第一终端确定第一终端与第一网元以及第一终端与第二网元之间通信采用的安全保护方式为分布式安全保护。

38、可选地，第一终端确定第一终端与第一网元以及第一终端与第二网元之间通信采用的安全保护方式为分布式安全保护，包括：确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护；响应于第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护，确定第一终端与第一网元以及第一终端与第二网元之间通信采用的安全保护方式为分布式安全保护。

39、进一步的，在确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护之前，该方法还包括：发送第一终端的安全能力信息，接收针对安全能力信息返回的保护方式指示信息，保护方式指示信息指示第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护。安全能力信息指示第一终端支持与同一网络中的多个网元之间通信采用分布式安全保护。

40、例如，发送第一终端的安全能力信息，包括：向第一终端接入的网络中的路由网元发送安全能力信息；接收针对安全能力信息返回的保护方式指示信息，包括：接收路由网元针对安全能力信息返回的保护方式指示信息。

41、进一步的，第一终端在拜访网络漫游，向第一终端接入的网络中的路由网元发送第一终端的服务信息，包括：向路由网元发送保护方式指示信息和路由指示信息，路由指示信息指示终端发送的信息在被路由的过程中是否经过拜访网络中的锚点。

42、进一步的，发送第一终端的安全能力信息，包括：获取第一终端的家乡网络中的锚点的地址，根据家乡网络中的锚点的地址，向家乡网络中的锚点发送安全能力信息。

43、进一步的，在确定第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护的情况下，该方法还包括：发送保护方式指示信息，保护方式指示信息指示第一终端与同一网络中多个网元之间通信采用的安全保护方式为分布式安全保护。

44、一种可能的设计方案中，该方法还包括：从第一锚点接收第一锚点的密钥标识，将第一锚点的密钥标识与第一锚点的密钥关联。

45、可选地，第一锚点的密钥标识包括如下至少一项：第一锚点的信息、或第一网络的信息。

46、可选地，该方法还包括：向第一网元发送第一服务请求，以及向第二网元发送第二服务请求，第一服务请求用于请求第一网元为第一终端提供服务，第二服务请求用于请求第二网元为第一终端提供服务，第一服务请求和第二服务请求都包括第一锚点的密钥标识。

47、一种可能的设计方案中，该方法还包括：接收第一密钥标识和第二密钥标识，并将第一密钥标识与第一密钥关联，以及将第二密钥标识与第二密钥关联。

48、可选地，接收第一密钥标识和第二密钥标识，包括：接收来自第一锚点的第一密钥标识和第二密钥标识；或者，接收来自第一网元的第一密钥标识，以及接收来自第二网元的第二密钥标识。

49、此外，第二方面所述的方法的技术效果也可以参考第一方面所述的方法的相关介绍，不再赘述。

50、第三方面，提供一种通信装置。该通信装置用于执行第一方面或第二方面中任意一种实现方式所述的通信方法。

51、在本技术中，第三方面所述的通信装置可以为终端设备或网络设备，或者芯片(系统)或其他部件或组件，或者包含该终端设备或网络设备的装置。其中，上述芯片(系统)或其他部件或组件均可以设置于终端设备或网络设备中。

52、应理解，第三方面所述的通信装置包括实现上述第一方面或第二方面中任一方面所述的通信方法相应的模块、单元、或手段(means)，该模块、单元、或手段可以通过硬件实现，软件实现，或者通过硬件执行相应的软件实现。该硬件或软件包括一个或多个用于执行上述通信方法所涉及的功能的模块或单元。

53、第四方面，提供一种通信装置。该通信装置包括：处理器，该处理器用于执行第一方面或第二方面中任意一种可能的实现方式所述的通信方法。

54、在一种可能的设计方案中，第四方面所述的通信装置还可以包括收发器。该收发器可以为收发电路或接口电路。该收发器可以用于第四方面所述的通信装置与其他通信装置通信。

55、在一种可能的设计方案中，第四方面所述的通信装置还可以包括存储器。该存储器可以与处理器集成在一起，也可以分开设置。该存储器可以用于存储第一方面或第二方面中任一方面所述的通信方法所涉及的计算机程序和/或数据。

56、在本技术中，第四方面所述的通信装置可以为终端设备或网络设备，或者芯片(系统)或其他部件或组件，或者包含该终端设备或网络设备的装置。其中，上述芯片(系统)或其他部件或组件均可以设置于该终端设备或网络设备中。例如，该通信装置在执行上述的第一方面所述的方法时，该通信装置可以是网络设备，该通信装置在执行上述的第二方面所述的方法时，该通信装置可以是终端设备。

57、第五方面，提供一种通信装置。该通信装置包括：处理器，该处理器与存储器耦合，该处理器用于执行存储器中存储的计算机程序，以使得该通信装置执行第一方面或第二方面中任意一种可能的实现方式所述的通信方法。

58、在一种可能的设计方案中，第五方面所述的通信装置还可以包括收发器。该收发器可以为收发电路或接口电路。该收发器可以用于第五方面所述的通信装置与其他通信装置通信。

59、在本技术中，第五方面所述的通信装置可以为终端设备或网络设备，或者芯片(系统)或其他部件或组件，或者包含该终端设备或网络设备的装置。其中，上述芯片(系统)或其他部件或组件均可以设置于该终端设备或网络设备中。例如，该通信装置在执行上述的第一方面所述的方法时，该通信装置可以是网络设备，该通信装置在执行上述的第二方面所述的方法时，该通信装置可以是终端设备。

60、第六方面，提供了一种通信装置，包括：处理器和存储器；该存储器用于存储计算机程序，当该处理器执行该计算机程序时，以使该通信装置执行第一方面或第二方面中的任意一种实现方式所述的通信方法。

61、在一种可能的设计方案中，第六方面所述的通信装置还可以包括收发器。该收发器可以为收发电路或接口电路。该收发器可以用于第六方面所述的通信装置与其他通信装置通信。

62、在本技术中，第六方面所述的通信装置可以为终端设备或网络设备，或者芯片(系统)或其他部件或组件，或者包含该终端设备或网络设备的装置。其中，上述芯片(系统)或其他部件或组件均可以设置于该终端设备或网络设备中。例如，该通信装置在执行上述的第一方面所述的方法时，该通信装置可以是网络设备，该通信装置在执行上述的第二方面所述的方法时，该通信装置可以是终端设备。

63、第七方面，提供了一种通信装置，包括：处理器；所述处理器用于与存储器耦合，并读取存储器中的计算机程序之后，根据该计算机程序执行如第一方面或第二方面中的任意一种实现方式所述的通信方法。

64、在一种可能的设计方案中，第七方面所述的通信装置还可以包括收发器。该收发器可以为收发电路或接口电路。该收发器可以用于第七方面所述的通信装置与其他通信装置通信。

65、在本技术中，第七方面所述的通信装置可以为终端设备或网络设备，或者芯片(系统)或其他部件或组件，或者包含该终端设备或网络设备的装置。其中，上述芯片(系统)或其他部件或组件均可以设置于该终端设备或网络设备中。例如，该通信装置在执行上述的第一方面所述的方法时，该通信装置可以是网络设备，该通信装置在执行上述的第二方面所述的方法时，该通信装置可以是终端设备。

66、第八方面，提供一种处理器。其中，处理器用于执行第一方面或第二方面中任意一种可能的实现方式所述的通信方法。

67、第九方面，提供一种通信系统。该通信系统包括如下至少一项：用于执行上述第一方面所述的方法的第一锚点、或用于执行上述第二方面所述的第一终端。

68、第十方面，提供一种计算机可读存储介质，计算机可读存储介质包括计算机程序或指令，当计算机程序或指令被运行时，使得如上述第一方面或第二方面中任意一种可能的实现方式所述的通信方法被执行。

69、第十一方面，提供一种计算机程序产品，计算机程序产品包括：计算机程序或指令，当计算机程序或指令被运行时，使得如上述第一方面或第二方面中任意一种可能的实现方式所述的通信方法被执行。

70、此外，上述通信装置及通信系统的技术效果可以参考上述通信方法的技术效果，不再赘述。