通信方法及通信装置与流程

本技术涉及通信，具体地，涉及一种通信方法及通信装置。

背景技术：

1、运营商网络可以为用户持有的终端设备签发用户身份模块(subscriberidentity module，sim)卡，为终端设备签发sim卡的运营商网络称为该终端设备的归属公共陆地移动网(home public land mobile network，hplmn)。sim卡中存储了终端设备与hplmn之间的共享密钥，终端设备安装sim卡后，可以根据sim卡中的共享密钥实现和hplmn之间的双向验证，验证成功后，终端设备可以接入hplmn，获取hplmn提供的服务。

2、如果终端设备漫游至hplmn没有覆盖的区域，终端设备可以通过与hplmn存在漫游协议的拜访公用陆地移动网(visited public land mobile network，vplmn)来获取服务，vplmn与终端设备之间的验证也是通过hplmn实现的，即hplmn与终端设备根据sim卡中的共享密钥进行双向验证，vplmn根据验证的结果确定是否允许终端接入vplmn。

3、当终端设备没有sim卡，例如运营商网络没有为终端设备签发sim卡，或者终端设备无法安装sim卡时，如何在漫游场景下，实现终端设备和vplmn的双向验证是目前需要解决的问题。

技术实现思路

1、本技术提供了一种通信方法、通信装置、通信系统、计算机可读存储介质和计算机程序产品，以实现终端设备和vplmn之间的双向验证。

2、第一方面，提供了一种通信方法，该方法包括：接收第一请求消息，该第一请求消息包括来自通信装置的挑战信息和第二数字身份，该第二数字身份是通信装置的hplmn为通信装置签发的，根据第一请求消息获取hplmn的公钥，根据hplmn的公钥对第二数字身份进行验证；在对第二数字身份的验证通过的情况下，发送挑战响应和第一数字身份，第一数字身份是hplmn为第一网元签发的，挑战响应和第一数字身份用于通信装置对vplmn的验证。

3、示例性的，该通信方法可以由通信装置的vplmn中的第一网元实现，也可以由第一网元包括的模块、单元、处理器、电路、芯片或芯片系统来实现。例如，该第一网元为身份管理网元(identity management，idm)网元，或者该第一网元还可以是实现相同功能的其他网元，本技术实施例对第一网元的名称不作具体限定。

4、本技术提供的方法，该第一请求消息中的第二数字身份(通信装置的数字身份)是通信装置的hplmn为通信装置签发的，第一网元利用第一请求消息获取hplmn的公钥，利用hplmn的公钥对第二数字身份进行验证，如果对第二数字身份的验证通过，则第一网元对通信装置的验证成功，即第一网元允许通信装置接入vplmn。接着，第一网元根据第一网元的私钥对挑战信息进行签名，得到挑战响应，第一网元发送挑战响应和第一数字身份(第一网元的数字身份)，该第一数字身份是hplmn为第一网元签发的，该挑战响应和第一数字身份可以用于通信装置对vplmn进行验证，该方法可以在无需通信装置和网络之间拥有共享密钥的情况下实现通信装置和vplmn之间的双向验证，从而使得没有sim卡或无法安装sim卡的通信装置也能够成功接入vplmn。

5、示例性的，该第一请求消息可以是通信装置向第一网元发送的，该第一请求消息可以用于通信装置请求接入vplmn。

6、第二数字身份包括通信装置的标识信息(也可以称为通信装置的第一标识信息)、通信装置的公钥以及签名，该签名是使用hplmn的私钥对通信装置的标识信息和通信装置的公钥进行签名得到的。

7、可选的，第二数字身份中还可以包含hplmn的公钥，hplmn的公钥用于对由hplmn的私钥得到的签名进行验证，例如通信装置可以使用第二数字身份中的hplmn的公钥对第一网元的第一数字身份中的由hplmn的私钥得到的签名进行验证。

8、其中，通信装置的标识信息用于标识通信装置，例如该标识信息可以是通信装置的id(identifier)；可选的，通信装置的标识信息中还可以包括hplmn的标识信息，其中，该hplmn的标识信息用于标识通信装置的hplmn。该通信装置的公钥可以用于vplmn对通信装置发送的第一请求消息进行验证，从而确定通信装置是否是第一请求消息的发送方；第二数字身份中的签名用于证明该第二数字身份是hplmn签发的。

9、第一数字身份包括第一网元的标识信息、第一网元的公钥以及签名，该签名是使用hplmn的私钥对第一网元的标识信息和第一网元的公钥进行签名得到的。

10、可选的，第一数字身份中还可以包含hplmn的公钥，hplmn的公钥用于对由hplmn的私钥得到的签名进行验证，如第一网元可以使用第一数字身份中的hplmn的公钥对第二数字身份中的由hplmn的私钥得到的签名进行验证。

11、其中，第一网元的标识信息用于标识第一网元，例如该标识信息可以是第一网元的id；该第一网元的公钥用于通信装置对vplmn进行验证；hplmn的私钥对第一网元的标识信息和第一网元的公钥的签名用于证明该第一数字身份是hplmn签发的，该第一数字身份中的第一网元的公钥是可信的，能用于对vplmn进行验证。

12、可选的，第一网元的标识信息中还可以包括vplmn的标识信息，该vplmn的标识信息用于表示第一网元是vplmn中的网元。

13、可选的，在发送所述挑战响应和第一数字身份之前，上述方法还包括：使用第一网元的私钥对挑战信息进行签名，得到挑战响应。

14、在第一方面一些可能的实施例中，上述方法还包括：根据第一请求消息获取hplmn的标识信息；根据hplmn的标识信息获取第一数字身份。

15、在该种实现方式中，由于不同的通信装置的hplmn为第一网元签发的数字身份不同，在第一请求消息中包括hplmn的标识信息的情况下，第一网元可以根据hplmn的标识信息准确获取通信装置的hplmn为第一网元签发的第一数字身份。

16、在第一方面一些可能的实施例中，根据第一请求消息获取hplmn的公钥，包括根据第一请求消息获取hplmn的标识信息，根据hplmn的标识信息获取hplmn的公钥。

17、可选的，第一请求消息携带的第二数字身份中的通信装置的标识信息中包括hplmn的标识信息的情况下，第一网元根据通信装置的标识信息中包含的hplmn的标识信息获取通信装置的hplmn为第一网元签发的第一数字身份，该第一数字身份中包括hplmn的公钥。

18、可选的，第一请求消息中包括hplmn的标识信息的情况下，第一网元根据hplmn的标识信息可以获取通信装置的hplmn为第一网元签发的第一数字身份，该第一数字身份中包括hplmn的公钥。

19、可选的，第一请求消息中包括hplmn的标识信息的情况下，第一网元以hplmn的标识信息为参数向vplmn中的安全边缘保护代理(security edge protection proxy，sepp)请求获取hplmn的公钥。

20、在第一方面一些可能的实施例中，在接收第一请求消息之前，上述方法还包括：接收来自hplmn的第一数字身份，保存第一数字身份和hplmn的标识信息的对应关系；根据hplmn的标识信息和对应关系，获取第一数字身份。

21、在该种实现方式中，由于不同的通信装置的hplmn为第一网元签发的数字身份不同，第一网元中保存有第一数字身份和hplmn的标识信息的对应关系，则第一网元可以基于hplmn的标识信息和该对应关系获取通信装置的hplmn为第一网元签发的第一数字身份。

22、在第一方面一些可能的实施例中，第一请求消息还包括漫游信息，该漫游信息用于指示通信装置允许漫游的至少一个公共陆地移动网络(public land mobile network，plmn)，上述方法还包括：根据hplmn的公钥对漫游信息进行验证，在对第二数字身份的验证通过的情况下，发送挑战响应和第一数字身份，包括：在对第二数字身份的验证通过，且对漫游信息的验证通过的情况下，发送挑战响应和第一数字身份。

23、在该种实现方式中，漫游信息用于确定通信装置是否允许接入vplmn，第一网元还可以对漫游信息进行验证，如果验证该漫游信息通过，表示通信装置是可信任的装置，则第一网元使用第一网元的私钥对挑战信息进行签名，表示第一网元允许通信装置接入该vplmn。

24、需要说明的是，该漫游信息中包括：通信装置的标识信息(也可以称为通信装置的第二标识信息)、至少一个plmn的标识信息、以及签名，该签名是使用hplmn的私钥对通信装置的标识信息和至少一个plmn的标识信息进行签名得到的。

25、其中，通信装置的标识信息表示该漫游信息针对通信装置，即漫游信息中包括的至少一个plmn的标识信息所标识的是通信装置允许漫游的plmn，而非其他装置允许漫游的plmn。其中，通信装置允许漫游的plmn可以标识允许该通信装置漫游到该plmn，也可以标识允许该通信装置接入该plmn，还可以标识该plmn与通信装置的hplmn之间存在漫游协议，用于表示允许该通信装置漫游的plmn，上述漫游信息中的签名表示该漫游信息是由通信装置的hplmn签发的。

26、应理解，该漫游信息可以称为漫游控制属性，本技术实施例对漫游信息的名称不作具体限定。

27、在第一方面一些可能的实施例中，漫游信息包括根据hplmn的公钥对应的私钥得到的签名，上述根据hplmn的公钥对漫游信息进行验证，包括：根据hplmn的公钥对该签名进行验证。

28、在该种实现方式中，根据hplmn的公钥对该签名进行验证，验证通过的情况下，表示该漫游信息是hplmn签发的。

29、其中，对漫游信息的验证通过包括：至少一个plmn中包括vplmn。

30、在第一方面一些可能的实施例中，第二数字身份包括通信装置的第一标识信息，漫游信息包括通信装置的第二标识信息，上述方法还包括：确定第一标识信息和第二标识信息是否匹配。

31、在该种实现方式中，第二数字身份中的第一标识信息和漫游信息中的第二标识信息用于确定对漫游信息的验证是否通过，在第一标识信息和第二标识信息匹配的情况下，漫游信息的验证通过。

32、通过漫游信息可以确定hplmn授权了通信装置对vplmn的访问，或者通过漫游信息可以确定hplmn授权了通信装置接入vplmn中的服务，防止通信装置未经授权接入vplmn，超出hplmn对通信装置的授权范围，从而增强了通信装置接入vplmn的安全性。

33、在第一方面一些可能的实施例中，第一请求消息中还包括第一服务的信息，在对第二数字身份的验证通过的情况下，使用第一网元的私钥对挑战信息进行签名，包括：在对第二数字身份的验证通过，且确定允许在vplmn使用第一服务的情况下，使用第一网元的私钥对挑战信息进行签名。

34、在该种实现方式中，第一请求消息中包括第一服务的信息，表示通信装置请求在vplmn中使用第一服务，当确定允许在vplmn上使用第一服务时，表示通信装置可以接入该vplmn。

35、在一些可能的实现方式中，该第一服务的信息可以是第一服务的标识信息，或者可以是第一服务的名称，该第一服务的信息还可以是统一资源符(uniform resourceidentifier，uri)、统一资源定位符(uniform resource locator，url)、统一资源名称(uniform resource name，urn)、完全限定域名(full qualified domain name，fqdn)等，本技术实施例对第一服务的信息的类型不作具体限定。

36、在第一方面一些可能的实施例中，上述方法还包括：发送第二请求消息，第二请求消息包括：vplmn的标识信息和第一服务的信息；接收第二响应消息，第二响应消息用于指示允许在vplmn使用第一服务。

37、在该种实现方式中，第一网元通过向第二网元发送第二请求消息，以确认是否允许在vplmn使用第一服务，当第二网元确定允许在vplmn上使用第一服务时，第一网元接收第二网元发送的第二响应消息，通过第二响应消息，第一网元可以确定允许在vplmn上使用第一服务。

38、需要说明的是，第二请求消息中第一服务的信息和第一请求消息中第一服务的信息可以是相同的，也可以是不同的。

39、例如，第一请求消息中第一服务的信息可以是第一服务的标识信息，第二请求消息中第一服务的信息可以是第一服务的名称。

40、在第一方面一些可能的实施例中，在所述发送第二请求消息之前，上述方法还包括：接收第三请求消息，第三请求消息用于请求向hplmn开通在vplmn可用的漫游服务，漫游服务包括第一服务；基于第三请求消息，向第二网元发送注册消息，注册消息用于注册在vplmn可用的漫游服务，注册消息包括vplmn的标识信息和第一服务的信息。

41、在该种实现方式中，第一网元接收向hplmn开通在vplmn可用的漫游服务后，向第二网元发送注册消息，注册在vplmn中可用的漫游服务，以使得第二网元判断在vplmn中可以使用的漫游服务。

42、在第一方面一些可能的实施例中，上述方法还包括，第一网元发送第五请求消息，该第五请求消息用于请求hplmn为第一网元签发第一数字身份，该第五请求消息中包括第一网元的公钥。

43、在第一方面一些可能的实施例中，根据hplmn的公钥对第二数字身份进行验证，包括计算第二数字身份内容的散列值，得到第一结果，利用hplmn的公钥解密第二数字身份中的hplmn的私钥对第二数字身份内容的签名得到第二结果。其中，第二数字身份内容是指第二数字身份内包括的通信装置的标识信息和通信装置的公钥。在第一结果和第二结果相同的情况下，对第二数字身份验证通过。

44、在第一方面一些可能的实施例中，根据hplmn的公钥对漫游信息进行验证，包括计算漫游信息内容的散列值，得到第三结果，利用hplmn的公钥解密漫游信息中的hplmn的私钥对漫游信息内容的签名得到第四结果。在第三结果和第四结果相同的情况下，对漫游信息验证通过。其中，漫游信息内容是指漫游信息中除hplmn的私钥签名之外的其它部分，例如漫游信息内容包括通信装置的标识信息和允许通信装置漫游的至少一个plmn的标识信息。

45、第二方面，提供了一种通信方法，该方法包括：发送第一请求消息，该第一请求消息用于请求接入vplmn，所述第一请求消息包括挑战信息和通信装置的hplmn为通信装置签发的第二数字身份；接收第一响应消息，该第一响应消息包括挑战响应和第一数字身份，该第一数字身份是hplmn为vplmn中的第一网元签发的，根据hplmn的公钥对第一数字身份进行验证，在对第一数字身份的验证通过的情况下，从第一数字身份中获取第一网元的私钥对应的公钥，根据第一网元的公钥对挑战响应进行验证。

46、示例性的，该通信方法可以由通信装置实现，也可以由通信装置包括的模块、单元、处理器、电路、芯片或芯片系统来实现。

47、在一些实施例中，该通信装置可以是没有sim卡的装置，例如运营商网络没有为该通信装置签发sim卡，或者该通信装置无法安装sim卡，通信装置可以是机器人、云端个人助理、或者云端代码实例等，该通信装置还可以是其他的装置，本技术实施例对该通信装置的具体形态不作限定。

48、本技术提供的方法，通信装置向vplmn中的第一网元发送第一请求消息，该第一请求消息用于请求接入vplmn，该第一请求消息中的挑战信息用于通信装置对vplmn进行验证，第一请求消息中的第二数字身份用于vplmn对通信装置进行验证，vplmn对通信装置的身份验证通过后，对挑战信息进行签名得到挑战响应，通信装置可以接收来自第一网元的挑战响应和第一数字身份，通信装置对第一数字身份进行验证，验证通过后获取可以信任的第一网元的公钥，最后利用第一网元的公钥对该挑战响应进行验证，如果验证通过则表示通信装置对vplmn验证也通过，该方法可以实现通信装置和vplmn的双向验证。

49、在第二方面一些可能的实施例中，第一请求消息中还可以包括通信装置的私钥对第一请求消息的签名，其中通信装置的私钥对第一请求消息的签名用于vplmn验证通信装置的身份。

50、在第二方面一些可能的实施例中，第一数字身份中包括第一网元的私钥对应的公钥。

51、在该种实现方式中，当通信装置对第一数字身份验证通过的情况下，通信装置可以获取第一网元的私钥对应的公钥，利用该公钥对挑战响应进行验证。

52、在第二方面一些可能的实施例中，第二数字身份中包括hplmn的公钥。

53、在该种实现方式中，利用hplmn的公钥可以对第一数字身份进行验证，从而验证第一数字身份是否是hplmn签发的。

54、或者，通信装置中存储有hplmn的公钥，本技术实施例对hplmn的公钥的获取方式不作具体限定。

55、在第二方面一些可能的实施例中，第一请求消息中包括漫游信息，该漫游信息用于指示通信装置允许漫游的至少一个plmn，该至少一个plmn包括vplmn。

56、在该种实现方式中，通信装置发送的第一请求消息中携带漫游信息，根据漫游信息vplmn可以确定通信装置是否允许接入。

57、在第二方面一些可能的实施例中，漫游信息还包括：基于hplmn的公钥对应的私钥得到的签名。

58、在该种实现方式中，该签名用于vplmn对漫游信息进行验证，即vplmn利用该签名验证漫游信息是否是hplmn签发的。

59、在第二方面一些可能的实施例中，第二数字身份包括通信装置的第一标识信息，漫游信息包括通信装置的第二标识信息。

60、在该种实现方式中，第一标识信息和第二标识信息用于vplmn确定是否允许通信装置接入。

61、在第二方面一些可能的实施例中，第一请求消息还用于请求在vplmn中使用第一服务。

62、在第二方面一些可能的实施例中，第一请求消息中还包括第一服务的信息。

63、可选的，该第一服务的信息可以是第一服务的名称，或者第一服务的标识信息，本技术实施例对第一服务的信息不作具体限定。

64、在该种实现方式中，第一服务的信息用于确定是否允许通信装置在vplmn中使用第一服务。

65、第三方面，提供了一种通信方法，该方法包括：接收来自vplmn中的第一网元的第二请求消息，该第二请求消息中包括vplmn的标识信息和第一服务的信息，发送第二响应消息，该第二响应消息用于指示允许在vplmn使用第一服务。

66、示例性的，该通信方法可以由第二网元实现，也可以由第二网元包括的模块、单元、处理器、电路、芯片或芯片系统来实现。

67、例如，该第二网元可以是统一数据管理功能(unified data management，udm)网元，或者第二网元还可以是实现相同功能的网元，本技术实施例对第二网元的名称不作具体限定。

68、本技术提供的方法，第二网元可以接收来自vplmn中的第一网元的第二请求消息，该第二请求消息中的vplmn的标识信息用于标识信息通信装置漫游的vplmn，第二请求消息中第一服务的信息用于指示通信装置要接入的vplmn中的服务，第二网元基于该第二请求消息发送第二响应消息，该第二响应消息用于指示是否允许在vplmn中使用第一服务，该方法可以为通信装置确定可以使用的vplmn的服务。

69、在第三方面一些可能的实施例中，根据vplmn的标识信息和第一服务的信息，确定允许在vplmn中使用第一服务。

70、示例性的，第二网元可以在本地查找是否保存有vplmn的标识信息和第一服务的信息的对应关系，如果在本地保存有vplmn的标识信息和第一服务的信息的对应关系的情况下，确定允许在vplmn使用第一服务。

71、在第三方面一些可能的实施例中，在接收来自vplmn中的第一网元的第二请求消息之前，上述方法还包括：接收来自第一网元的注册消息，该注册消息用于注册在vplmn可用的漫游服务，该注册消息包括vplmn的标识信息和第一服务的信息。

72、在该种实现方式中，在第一网元确定向hplmn开通在vplmn可用的漫游服务的情况下，第二网元接收来自第一网元发送注册消息，该注册消息中包括vplmn的标识信息和第一服务的信息，第二网元可以保存vplmn的标识信息和第一服务的信息，第二网元根据保存的信息可以确定在vplmn中是否可以使用该第一服务。

73、第四方面，提供了一种通信方法，该方法包括：接收第四请求消息，第四请求消息包括通信装置的标识信息；响应于第四请求消息，发送漫游信息，漫游信息用于指示通信装置允许漫游的至少一个plmn。

74、示例性的，该通信方法可以由通信装置的hplmn中的第三网元实现，也可以由第三网元包括的模块、单元、处理器、电路、芯片或芯片系统来实现。例如，该第三网元为hplmn中的idm网元，或者该第三网元还可以是实现相同功能的其他网元，本技术实施例对第一网元的名称不作具体限定。

75、本技术提供的方法，第三网元可以基于第四请求消息中的通信装置的标识信息，为通信装置获取漫游信息，以使得通信装置利用该漫游信息在vplmn侧进行验证。

76、在第四方面一些可能的实施例中，第四请求消息中包括第一plmn列表，该第一plmn列表包括至少一个plmn的标识信息，上述发送漫游信息之前，该方法还包括：根据第一plmn列表确定漫游信息，该漫游信息中包括第一plmn列表。

77、在该种实现方式中，第一plmn列表表示用户指定的允许通信装置漫游的plmn的列表，第三网元可以基于第四请求消息中携带的第一plmn列表确定漫游信息，该漫游信息中具体可以包括通信装置的标识信息、允许漫游的至少一个plmn的标识信息以及hplmn的私钥对通信装置的标识信息和允许漫游的至少一个plmn的标识信息的签名。

78、在第四方面一些可能的实施例中，第四请求消息中包括终端设备的标识信息，该终端设备用于为通信装置请求漫游信息，发送漫游信息之前，上述方法还包括：基于终端设备的标识信息从第二网元获取第二plmn列表，第二plmn列表包括至少一个plmn的标识信息，根据第二plmn列表确定漫游信息，漫游信息中包括第二plmn列表。

79、在该种实现方式中，第四请求消息中没有携带第一plmn列表时，第三网元可以基于终端设备的标识信息从第二网元获取该终端设备允许漫游的plmn列表，将终端设备允许漫游的plmn列表作为通信装置允许漫游的plmn列表。

80、可选的，终端设备的标识信息可以是终端设备的号码、或者是终端设备的用户永久标识信息(subscription permanent identifier，supi)，当然，还可以是其他标识信息终端设备的信息，本技术实施例对此不作具体限定。

81、在第四方面一些可能的实施例中，第四请求消息中还包括第一指示信息，基于终端设备的标识信息从第二网元获取允许通信装置漫游的第二plmn列表，包括：响应于第一指示信息，基于终端设备的标识信息从第二网元获取允许通信装置漫游的第二plmn列表。

82、在该种实现方式中，第三网元可以基于该第一指示信息向第二网元获取允许通信装置漫游的第二plmn列表。

83、可选的，第一指示信息可以不包含在第四请求消息中，即第三网元接收第一指示信息，该第一指示信息用于指示基于终端设备的标识信息从第二网元获取允许通信装置漫游的第二plmn列表。

84、第五方面，提供了一种通信方法，该方法包括：发送第四请求消息，第四请求消息包括通信装置的标识信息；接收漫游信息，漫游信息用于指示通信装置允许漫游的至少一个plmn；向通信装置发送漫游信息。

85、示例性的，该通信方法可以由终端设备实现，也可以由终端设备包括的模块、单元、处理器、电路、芯片或芯片系统来实现。

86、本技术提供的方法，终端设备可以为通信装置获取漫游信息，以使得通信装置利用该漫游信息在vplmn侧进行验证，从而确定该通信装置是否可以接入vplmn。

87、应理解，该终端设备可以和通信装置归属于同一用户，也可以归属于不同的用户，本技术实施例对此不作具体限定。

88、在第五方面一些可能的实施例中，第四请求消息中包括第一plmn列表，第一plmn列表包括至少一个plmn的标识信息，漫游信息中包括第一plmn列表。

89、在第五方面一些可能的实施例中，第四请求消息中包括终端设备的标识信息，所述终端设备用于为所述通信装置请求所述漫游信息，所述标识信息用于获取第二plmn列表，所述第二plmn列表包括所述至少一个plmn的标识信息，所述漫游信息中包括所述第二plmn列表。

90、在第五方面一些可能的实施例中，发送第一指示信息，所述第一指示信息用于指示为所述通信装置请求漫游服务。

91、在该种实现方式中，该第一指示信息用于触发第三网元基于终端设备的标识信息为通信装置请求漫游服务。

92、第六方面，提供了一种通信方法，该方法包括：接收第一请求消息，该第一请求消息包括来自通信装置的挑战信息和第二数字身份，第二数字身份是通信装置的hplmn为通信装置签发的；根据第一请求消息获取hplmn的公钥，根据hplmn的公钥对第二数字身份进行验证；在对第二数字身份验证通过的情况下，向第一网元发送挑战信息；接收来自第一网元的挑战响应和第一数字身份，第一数字身份是hplmn为第一网元签发的，挑战响应是由第一网元的私钥对挑战信息进行签名得到的，挑战响应和第一数字身份用于通信装置对vplmn的验证。

93、示例性的，该通信方法可以由第四网元实现，也可以由第四网元包括的模块、单元、处理器、电路、芯片或芯片系统来实现。

94、例如，该第四网元可以是接入网关(access gateway，agw)，或者第四网元还可以是实现相同功能的网元，本技术实施例对第四网元的名称不作具体限定。

95、本技术提供的方法，第四网元接收来自通信装置的第一请求消息，该第一请求消息用于请求接入vplmn。该第一请求消息中包含第二数字身份(通信装置的数字身份)，挑战信息(通信装置对vplmn的挑战信息)。该第一请求消息中的第二数字身份是通信装置的hplmn为通信装置签发的，第四网元利用第一请求消息获取hplmn的公钥，利用hplmn的公钥对第二数字身份进行验证，在对第二数字身份验证通过的情况下，第四网元向第一网元发送挑战信息，以使得第一网元对挑战信息进行签名，得到挑战响应，该挑战响应用于通信装置对vplmn进行验证，该方法可以在无需通信装置和网络之间拥有共享密钥的情况下实现通信装置和vplmn之间的双向验证，从而使得没有sim卡或无法安装sim卡的通信装置也能够成功接入vplmn。

96、可选的，第一请求消息中还可以包括签名，该签名是使用通信装置的私钥对第二数字身份和挑战信息进行签名得到的。

97、可选的，在对第二数字身份验证通过的情况下，第四网元使用第二数字身份中的通信装置的公钥对签名进行验证，在对签名的验证通过的情况下，表示第四网元允许通信装置接入vplmn。

98、可选的，第四网元还可以向第一网元发送通信装置的标识信息和/或hplmn的标识信息，该通信装置的标识信息和/或hplmn的标识信息用于第一网元获得通信装置的hplmn为第一网元签发的第一数字身份。

99、可选的，第四网元还可以向第一网元发送第二指示信息，该第二指示信息用于指示第四网元对第二数字身份验证通过。

100、第七方面，提供了一种通信方法，该方法包括：接收来自第四网元的挑战信息；使用所述第一网元的私钥对所述挑战信息进行签名，得到挑战响应；发送所述挑战响应和第一数字身份，所述第一数字身份是所述hplmn为所述第一网元签发的，所述挑战响应和所述第一数字身份用于所述通信装置对所述vplmn的验证。

101、示例性的，该通信方法可以由第一网元实现，也可以由第一网元包括的模块、单元、处理器、电路、芯片或芯片系统来实现。

102、例如，该第一网元可以是vplmn中的idm网元，或者第一网元还可以是实现相同功能的网元，本技术实施例对第一网元的名称不作具体限定。

103、本技术提供的方法，第一网元接收来自第四网元发送的通信装置对vplmn的挑战信息，表示vplmn对通信装置的数字身份(第二数字身份)验证通过，则第一网元使用自己的私钥对挑战信息进行签名得到挑战响应，并发送挑战响应和第一网元的数字身份(第一数字身份)，以使得通信装置可以基于挑战响应和第一数字身份对vplmn进行验证，该方法可以在无需通信装置和网络之间拥有共享密钥的情况下实现通信装置和vplmn之间的双向验证，从而使得没有sim卡或无法安装sim卡的通信装置也能够成功接入vplmn。

104、可选的，当第四网元向第一网元发送hplmn的标识信息的情况下，第一网元可以根据hplmn的标识信息获取hplmn为第一网元签发的第一数字身份，并使用第一数字身份中的第一网元的公钥对应的私钥对挑战信息进行签名。

105、可选的，当第四网元向第一网元发送通信装置的标识信息的情况下，第一网元可以根据通信装置的标识信息确定通信装置的hplmn，并进一步确定hplmn为第一网元签发的第一数字身份，并使用第一数字身份中的第一网元的公钥对应的私钥对挑战信息进行签名。

106、可选的，第一网元在接收到第四网元发送的第二指示信息后，使用第一网元的私钥对所述挑战信息进行签名，得到挑战响应。

107、第八方面，提供了一种通信装置，该装置用于执行以上第一方面或第一方面的任意可能的实现方式中的通信方法。示例性的，该装置包括用于执行以上第一方面或第一方面的任意可能的实现方式中的各个步骤的模块(例如包括处理模块和通信模块)。或者，该装置用于执行以上第二方面或第二方面的任意可能的实现方式中的通信方法。示例性的，该装置包括用于执行以上第二方面或第二方面的任意可能的实现方式中的各个步骤的模块(例如包括处理模块和通信模块)；或者，该装置用于执行以上第三方面或第三方面的任意可能的实现方式中的通信方法。示例性的，该装置包括用于执行以上第三方面或第三方面的任意可能的实现方式中的各个步骤的模块(例如包括处理模块和通信模块)；或者，该装置用于执行以上第四方面或第四方面的任意可能的实现方式中的通信方法。示例性的，该装置包括用于执行以上第四方面或第四方面的任意可能的实现方式中的各个步骤的模块(例如包括处理模块和通信模块)；或者，该装置用于执行以上第五方面或第五方面的任意可能的实现方式中的通信方法。示例性的，该装置包括用于执行以上第五方面或第五方面的任意可能的实现方式中的各个步骤的模块(例如包括处理模块和通信模块)，或者，该装置用于执行以上第六方面或第六方面的任意可能的实现方式中的通信方法。示例性的，该装置包括用于执行以上第六方面或第六方面的任意可能的实现方式中的各个步骤的模块(例如包括处理模块和通信模块)，或者，该装置用于执行以上第七方面或第七方面的任意可能的实现方式中的通信方法。示例性的，该装置包括用于执行以上第七方面或第七方面的任意可能的实现方式中的各个步骤的模块(例如包括处理模块和通信模块)。

108、第九方面，提供了一种通信装置，该装置包括至少一个处理器，至少一个处理器用于执行：以上第一方面或第一方面的任意可能的实现方式中的方法，或者以上第二方面或第二方面的任意可能的实现方式中的方法，或者，用于执行以上第三方面或第三方面的任意可能的实现方式中的方法，或者，用于执行以上第四方面或第四方面的任意可能的实现方式中的方法，或者，用于执行以上第五方面或第五方面的任意可能的实现方式中的方法，或者，用于执行以上第六方面或第六方面的任意可能的实现方式中的方法，或者，用于执行以上第七方面或第七方面的任意可能的实现方式中的方法。

109、一种可能的实现方式中，该通信装置还可以包括存储器，存储器中存储计算机程序，至少一个处理器通过执行存储器中存储的计算机程序执行以上第一方面或第一方面的任意可能的实现方式中的方法，或者用于执行第二方面或第二方面的任意可能的实现方式中的方法，或者用于执行第三方面或第三方面的任意可能的实现方式中的方法，或者，用于执行以上第四方面或第四方面的任意可能的实现方式中的方法，或者，用于执行以上第五方面或第五方面的任意可能的实现方式中的方法，或者，用于执行以上第六方面或第六方面的任意可能的实现方式中的方法，或者，用于执行以上第七方面或第七方面的任意可能的实现方式中的方法。可选的，处理器和存储器可以集成在一起。

110、一种可能的实现方式中，至少一个处理器通过逻辑电路或者处理电路执行以上第一方面或第一方面的任意可能的实现方式中的方法，或者用于执行第二方面或第二方面的任意可能的实现方式中的方法，或者用于执行第三方面或第三方面的任意可能的实现方式中的方法，或者，用于执行以上第四方面或第四方面的任意可能的实现方式中的方法，或者，用于执行以上第五方面或第五方面的任意可能的实现方式中的方法，或者，用于执行以上第六方面或第六方面的任意可能的实现方式中的方法，或者，用于执行以上第七方面或第七方面的任意可能的实现方式中的方法。

111、一种可能的实现方式中，该通信装置还可以包括接口电路，接口电路用于执行具体的信号收发。例如，该通信装置可以是第一网元，也可以是第一网元中的组件(芯片、芯片系统、或处理器)，或者，也可以是能实现全部或部分第一网元的逻辑模块或软件等。

112、又例如，该通信装置可以是通信装置，也可以是通信装置中的组件(芯片、芯片系统、或处理器)，或者还可以是能实现全部或部分通信装置功能的逻辑节点、逻辑模块或软件等。

113、第十方面，提供了一种计算机程序产品，该计算机程序产品包括计算机程序，该计算机程序在被通信装置中的处理器执行时，使得该通信装置执行以上第一方面或者第一方面的任意一方面可能的实现方式中的方法；或者，使得该通信装置执行以上第二方面或者第二方面的任意一方面可能的实现方式中的方法；或者，使得该通信装置执行第三方面或第三方面的任意可能的实现方式中的方法，或者，使得该通信装置执行以上第四方面或第四方面的任意可能的实现方式中的方法，或者，使得该通信装置执行以上第五方面或第五方面的任意可能的实现方式中的方法，或者，使得该通信装置执行以上第六方面或第六方面的任意可能的实现方式中的方法，或者，使得该通信装置执行以上第七方面或第七方面的任意可能的实现方式中的方法。

114、第十一方面，提供了一种计算机可读存储介质，该计算机可读存储介质中存储有计算机程序，当该计算机程序被通信装置执行时，使得该通信装置执行以上第一方面或者第一方面的任意一方面可能的实现方式中的方法；或者，使得该通信装置执行以上第二方面或者第二方面的任意一方面可能的实现方式中的方法；或者，使得该通信装置执行第三方面或第三方面的任意可能的实现方式中的方法，或者，使得该通信装置执行以上第四方面或第四方面的任意可能的实现方式中的方法，或者，使得该通信装置执行以上第五方面或第五方面的任意可能的实现方式中的方法，或者，使得该通信装置执行以上第六方面或第六方面的任意可能的实现方式中的方法，或者，使得该通信装置执行以上第七方面或第七方面的任意可能的实现方式中的方法。

115、第十二方面，提供了一种芯片，该芯片包括：处理器，用于从存储器中调用并运行计算机程序，使得安装有该芯片的通信装置执行以上第一方面或者第一方面的任意一方面可能的实现方式中的方法；或者，执行以上第二方面或者第二方面的任意一方面可能的实现方式中的方法；或者，执行第三方面或第三方面的任意可能的实现方式中的方法，或者，执行以上第四方面或第四方面的任意可能的实现方式中的方法，或者，执行以上第五方面或第五方面的任意可能的实现方式中的方法，或者，执行以上第六方面或第六方面的任意可能的实现方式中的方法，或者，执行以上第七方面或第七方面的任意可能的实现方式中的方法。

116、第十三方面，提供了一种通信系统，该通信系统包括上述的第一网元，该第一网元用于执行以上第一方面或第一方面的任一可能的实现方式中的方法。

117、第十四方面，提供了一种通信系统，该通信系统包括上述的第一网元和第四网元，第一网元用于执行以上第七方面或第七方面的任一可能的实现方式中的方法，第四网元用于执行以上第六方面或第六方面的任一可能的实现方式中的方法。

118、第十五方面，提供了一种通信系统，该通信系统包括上述的第二网元和第三网元，第二网元用于执行以上第三方面或第三方面的任一可能的实现方式中的方法，第三网元用于执行以上第四方面或第四方面的任一可能的实现方式中的方法。