生成密钥标识的方法和通信装置与流程

1.本技术涉及通信领域，并且更具体地，涉及一种生成密钥标识的方法和通信装置。


背景技术：

2.在两个终端设备(例如记为终端设备#1和终端设备#2)建立单播连接的过程中，终端设备#1和终端设备#2可以在节点认证和密钥建立流程中生成pc5接口密钥，并进一步生成pc5接口密钥标识。其中，pc5接口密钥标识由终端设备#1和终端设备#2分别提供的pc5接口密钥标识的最高有效位(most significant bits，msb)和最低有效位(least significant bits，lsb)生成。pc5接口密钥标识用于唯一索引终端设备#1和终端设备#2在单播连接建立过程中生成的pc5接口密钥。
3.在现有的单播连接建立流程中，pc5接口密钥标识的msb和lsb中的至少一个是在明文中传输的，因此很容易被第三方攻击者获取到。在终端设备#1和终端设备#2再次建立单播连接的过程中，携带在直连通信请求消息中的pc5接口密钥标识也是明文传输的，同样很容易被第三方攻击者获取到。在第三方攻击者同时获取到前次单播连接建立过程中的pc5接口密钥的msb和/或lsb、以及再次单播连接建立过程中携带在直连通信请求消息中的pc5接口密钥标识的情况下，可以将终端设备#1和终端设备#2之间的两次单播连接关联起来，从而导致潜在的隐私泄漏风险。


技术实现要素：

4.本技术提供一种生成密钥标识的方法，可以避免两个终端设备在建立单播连接过程中出现隐私泄漏的问题。
5.第一方面，提供了一种生成密钥标识的方法，该方法可以由终端设备执行，或者，也可以由配置于终端设备中的部件(如芯片或芯片系统等)执行。本技术对此不做限定。下文中以终端设备执行为例描述了本技术实施例提供的方法。
6.具体地，该方法包括：第一终端设备与第二终端设备协商加密密钥(encryption key，ek)；该第一终端设备接收来自该第二终端设备的第一消息；该第一终端设备基于该ek解密该第一消息，以获取该第一消息中包括的第一参数；该第一终端设备向该第二终端设备发送基于该ek加密后的第二消息，该第二消息中包括第二参数；该第一终端设备基于该第一参数和该第二参数生成密钥标识，该密钥标识用于索引该第一终端设备与该第二终端设备在建立第一单播连接过程中生成的密钥。
7.其中，加密密钥可用来对明文消息进行加密以获取密文消息，也可用来对密文消息进行解密以获取明文消息。
8.基于上述技术方案，在第二终端设备和第一终端设备都生成用于对信令加密和解密的加密密钥之后，第二终端设备和第一终端设备之间再交互组成密钥标识的第一参数和第二参数。在此情况下，第二终端设备和第一终端设备之间交互的信令都是使用的加密密钥加密的信令，因此，攻击者将无法获取第二终端设备和第一终端设备之间交互的信令中
携带第一参数和第二参数。进一步地，即使第二终端设备在下一次发送的直连通信请求消息中明文携带了本次单播连接建立过程中生成的密钥标识，攻击者获取到密钥标识之后，也无法将本次的第二终端设备和第一终端设备之间的单播连接与下一次第二终端设备和第一终端设备之间的单播连接关联起来，从而可以避免出现隐私泄漏的问题。
9.可选地，第一消息可以是安全模式激活过程中的直连安全模式完成消息。
10.可选地，第二消息是：单播连接建立过程中的直连通信接受消息、或安全模式激活过程中的直连安全模式确认消息。
11.其中，第一参数可以是密钥标识的msb，第二参数可以是密钥标识的lsb；或者，第一参数可以是密钥标识的lsb，第二参数可以是密钥标识的msb。第一参数可以唯一索引到第二终端设备保存的密钥，第一参数可以唯一索引到第一终端设备保存的密钥。
12.结合第一方面，在第一方面的某些实现方式，该第一终端设备保持该第一单播连接的情况下，该方法还包括：该第一终端设备接收来自该第二终端设备的第一请求消息，该第一请求消息用于请求与至少一个终端设备建立单播连接，该第一请求消息中包括该密钥标识；该第一终端设备在确定不可复用该第一单播连接的情况下，向该第二终端设备发送第一响应消息，该第一响应消息用于发起该第一终端设备与该第二终端设备之间的第二单播连接的安全协商流程；其中，该第一响应消息中包括该密钥标识，该密钥标识用于指示在第二单播连接中重用该密钥。
13.基于上述技术方案，第二终端设备在建立新的业务的单播连接的过程中，若希望第一终端设备有意向与第二终端设备再次建立单播连接，则第二终端设备在广播的直连通信请求消息中携带密钥标识。相应地，第一终端设备根据直连通信请求消息中携带的密钥标识可以索引到保存的现有的单播连接(即第一单播连接)的密钥，进而确定在再次建立单播连接的过程中可以重用现有的单播连接的密钥。因此可以省掉单播连接建立过程中的节点认证和密钥建立流程，从而加快连接建立速度。
14.结合第一方面，在第一方面的某些实现方式中，该第一终端设备保持该第一单播连接的情况下，该方法还包括：该第一终端设备接收来自该第二终端设备的第一请求消息，该第一请求消息用于请求与至少一个终端设备建立单播连接，该第一请求消息中包括该密钥标识；该第一终端设备在确定可复用该第一单播连接的情况下，向该第二终端设备发送第二请求消息，该第二请求消息用于请求修改该第一单播连接。
15.结合第一方面，在第一方面的某些实现方式中，在该第一终端设备接收来自该第二终端设备的第一请求消息之前，该方法还包括：该第一终端设备接收来自该第二终端设备的连接标识更新请求消息；该第一终端设备基于该ek解密该连接标识更新请求消息，以获取该连接标识更新请求消息中包括的第三参数；该第一终端设备向该第二终端设备发送基于该ek加密后的连接标识更新响应消息，该连接标识更新响应消息中包括第四参数；该第一终端设备基于该第三参数和该第四参数更新该密钥标识。
16.在本技术实施例中，第二终端设备向第一终端设备再次发起单播连接之前，发起连接标识更新流程，使得第一终端设备和第二终端设备可以生成一个新的密钥标识。并且第一终端设备和第二终端设备使用ek对连接标识修改流程中交互的信令进行了加密，因此用于生成该新的密钥标识的第三参数和第四参数都未在明文中传输过。因此，即使在第二终端设备向第一终端设备发起第二次单播建立连接的过程中，第二终端设备发送的直连通
信请求消息中明文携带了密钥标识，第三方攻击者获取到该密钥标识之后也无法将第一终端设备与第二终端设备之间的两次单播连接关联起来。
17.其中，第三参数可以是密钥标识的msb，第四参数可以是密钥标识的lsb；或者，第三参数可以是密钥标识的lsb，第四参数可以是密钥标识的msb。第三参数可以唯一索引到第二终端设备保存的密钥，第四参数可以唯一索引到第一终端设备保存的密钥。
18.第二方面，提供了一种生成密钥标识的方法，该方法可以由终端设备执行，或者，也可以由配置于终端设备中的部件(如芯片或芯片系统等)执行。本技术对此不做限定。下文中以终端设备执行为例描述了本技术实施例提供的方法。
19.具体地，该方法包括：第二终端设备与第一终端设备协商ek；该第二终端设备向该第一终端设备发送基于该ek加密的第一消息，该第一消息中包括第一参数；该第二终端设备接收来自该第一终端设备的第二消息；该第二终端设备基于该ek解密该第二消息，以获取该第二消息中包括的第二参数；该第二终端设备基于该第一参数和该第二参数生成密钥标识，该密钥标识用于索引该第二终端设备与该第一终端设备在建立第一单播连接的过程中生成的密钥。
20.其中，加密密钥可用来对明文消息进行加密以获取密文消息，也可用来对密文消息进行解密以获取明文消息。
21.基于上述技术方案，在第二终端设备和第一终端设备都生成用于对信令加密和解密的加密密钥之后，第二终端设备和第一终端设备之间再交互组成密钥标识的第一参数和第二参数。在此情况下，第二终端设备和第一终端设备之间交互的信令都是使用的加密密钥加密的信令，因此，攻击者将无法获取第二终端设备和第一终端设备之间交互的信令中携带第一参数和第二参数。进一步地，即使第二终端设备在下一次发送的直连通信请求消息中明文携带了本次单播连接建立过程中生成的密钥标识，攻击者获取到密钥标识之后，也无法将本次的第二终端设备和第一终端设备之间的单播连接与下一次第二终端设备和第一终端设备之间的单播连接关联起来，从而可以避免出现隐私泄漏的问题。
22.可选地，第一消息可以是安全模式激活过程中的直连安全模式完成消息；第二消息是：单播连接建立过程中的直连通信接受消息、或全模式激活过程中的直连安全模式确认消息。
23.其中，第一参数可以是密钥标识的msb，第二参数可以是密钥标识的lsb；或者，第一参数可以是密钥标识的lsb，第二参数可以是密钥标识的msb。第一参数可以唯一索引到第二终端设备保存的密钥，第一参数可以唯一索引到第一终端设备保存的密钥。
24.结合第二方面，在第二方面的某些实现方式，该第二终端设备保持第一单播连接的情况下，该方法还包括：该第二终端设备发送第一请求消息，该第一请求消息用于请求与至少一个终端设备建立单播连接，该第一请求消息中包括该密钥标识；该第二终端设备接收来自该第一终端设备的第一响应消息，该第一响应消息用于发起该第一终端设备与该第二终端设备之间的第二单播连接的安全协商流程；其中，该第一响应消息中包括该密钥标识，该密钥标识用于指示在第二单播连接中重用该密钥。
25.基于上述技术方案，第二终端设备在建立新的业务的单播连接的过程中，若希望第一终端设备有意向与第二终端设备再次建立单播连接，则第二终端设备在广播的直连通信请求消息中携带密钥标识。相应地，第一终端设备根据直连通信请求消息中携带的密钥
标识可以索引到保存的现有的单播连接(即第一单播连接)的密钥，进而确定在再次建立单播连接的过程中可以重用现有的单播连接的密钥。因此可以省掉单播连接建立过程中的节点认证和密钥建立流程，从而加快连接建立速度。
26.结合第二方面，在第二方面的某些实现方式，该第二终端设备保持第一单播连接的情况下，该方法还包括：该第二终端设备发送第一请求消息，该第一请求消息用于请求与至少一个终端设备建立单播连接，该第一请求消息中包括该密钥标识；该第二终端设备接收来自该第一终端设备的第二请求消息，该第二请求消息用于请求修改该第一单播连接。
27.结合第二方面，在第二方面的某些实现方式，在该第二终端设备发送第一请求消息之前，该方法还包括：该第二终端设备向该第一终端设备发送基于该ek加密的连接标识更新请求消息，该连接标识更新请求消息中包括第三参数；该第二终端设备接收来自该第一终端设备的连接标识更新响应消息；该第二终端设备基于该ek解密该连接标识更新响应消息，以获取该连接标识更新响应消息中的第四参数；该第二终端设备基于该第三参数和该第四参数更新该密钥标识。
28.在本技术实施例中，第二终端设备向第一终端设备再次发起单播连接之前，发起连接标识更新流程，使得第一终端设备和第二终端设备可以生成一个新的密钥标识。并且第一终端设备和第二终端设备使用ek对连接标识修改流程中交互的信令进行了加密，因此用于生成该新的密钥标识的第三参数和第四参数都未在明文中传输过。因此，即使在第二终端设备向第一终端设备发起第二次单播建立连接的过程中，第二终端设备发送的直连通信请求消息中明文携带了密钥标识，第三方攻击者获取到该密钥标识之后也无法将第一终端设备与第二终端设备之间的两次单播连接关联起来。
29.其中，第三参数可以是密钥标识的msb，第四参数可以是密钥标识的lsb；或者，第三参数可以是密钥标识的lsb，第四参数可以是密钥标识的msb。第三参数可以唯一索引到第二终端设备保存的密钥，第四参数可以唯一索引到第一终端设备保存的密钥。
30.第三方面，提供了一种通信装置，包括用于执行第一方面以及第一方面中任一种可能实现方式中的方法的各个模块或单元。
31.第四方面，提供了一种通信装置，包括处理器。该处理器与存储器耦合，可用于执行存储器中的指令，以实现上述第一方面以及第一方面中任一种可能实现方式中的方法。可选地，该通信装置还包括存储器。可选地，该通信装置还包括通信接口，处理器与通信接口耦合。
32.在一种实现方式中，该通信装置为第一终端设备。当该通信装置为第一终端设备时，所述通信接口可以是收发器，或，输入/输出接口。
33.在另一种实现方式中，该通信装置为配置于第一终端设备中的芯片。当该通信装置为配置于第一终端设备中的芯片时，所述通信接口可以是输入/输出接口。
34.可选地，所述收发器可以为收发电路。可选地，所述输入/输出接口可以为输入/输出电路。
35.第五方面，提供了一种通信装置，包括用于执行第二方面以及第二方面中任一种可能实现方式中的方法的各个模块或单元。
36.第六方面，提供了一种通信装置，包括处理器。该处理器与存储器耦合，可用于执行存储器中的指令，以实现上述第二方面以及第二方面中任一种可能实现方式中的方法。
可选地，该通信装置还包括存储器。可选地，该通信装置还包括通信接口，处理器与通信接口耦合。
37.在一种实现方式中，该通信装置为第二终端设备。当该通信装置为第二终端设备时，所述通信接口可以是收发器，或，输入/输出接口。
38.在另一种实现方式中，该通信装置为配置于第二终端设备中的芯片。当该通信装置为配置于第二终端设备中的芯片时，所述通信接口可以是输入/输出接口。
39.可选地，所述收发器可以为收发电路。可选地，所述输入/输出接口可以为输入/输出电路。
40.第七方面，提供了一种处理器，包括：输入电路、输出电路和处理电路。所述处理电路用于通过所述输入电路接收信号，并通过所述输出电路发射信号，使得所述处理器执行上述第一方面至第二方面以及第一方面至第二方面中任一种可能实现方式中的方法。
41.在具体实现过程中，上述处理器可以为芯片，输入电路可以为输入管脚，输出电路可以为输出管脚，处理电路可以为晶体管、门电路、触发器和各种逻辑电路等。输入电路所接收的输入的信号可以是由例如但不限于接收器接收并输入的，输出电路所输出的信号可以是例如但不限于输出给发射器并由发射器发射的，且输入电路和输出电路可以是同一电路，该电路在不同的时刻分别用作输入电路和输出电路。本技术实施例对处理器及各种电路的具体实现方式不做限定。
42.第八方面，提供了一种处理装置，包括处理器和存储器。该处理器用于读取存储器中存储的指令，并可通过接收器接收信号，通过发射器发射信号，以执行第一方面至第二方面以及第一方面至第二方面中任一种可能实现方式中的方法。
43.可选地，所述处理器为一个或多个，所述存储器为一个或多个。
44.可选地，所述存储器可以与所述处理器集成在一起，或者所述存储器与处理器分离设置。
45.在具体实现过程中，存储器可以为非瞬时性(non-transitory)存储器，例如只读存储器(read only memory，rom)，其可以与处理器集成在同一块芯片上，也可以分别设置在不同的芯片上，本技术实施例对存储器的类型以及存储器与处理器的设置方式不做限定。
46.应理解，相关的数据交互过程例如发送指示信息可以为从处理器输出指示信息的过程，接收能力信息可以为处理器接收输入能力信息的过程。具体地，处理输出的数据可以输出给发射器，处理器接收的输入数据可以来自接收器。其中，发射器和接收器可以统称为收发器。
47.上述第八方面中的处理装置可以是芯片，该处理器可以通过硬件来实现也可以通过软件来实现，当通过硬件实现时，该处理器可以是逻辑电路、集成电路等；当通过软件来实现时，该处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实现，该存储器可以集成在处理器中，可以位于该处理器之外，独立存在。
48.第九方面，提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序(也可以称为代码，或指令)，当所述计算机程序被运行时，使得计算机执行上述第一方面至第二方面以及第一方面至第二方面中任一种可能实现方式中的方法。
49.第十方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计
算机程序(也可以称为代码，或指令)当其在计算机上运行时，使得计算机执行上述第一方面至第二方面以及第一方面至第二方面中任一种可能实现方式中的方法。
50.第十一方面，提供了一种通信系统，包括前述的第一终端设备和第二终端设备。
附图说明
51.图1是适用于本技术实施例提供的方法的通信系统的示意图。
52.图2是两个终端设备建立单播连接的方法的示意性流程图。
53.图3是本技术实施例提供的生成密钥标识的方法的示意性流程图。
54.图4是本技术实施例提供的两个终端设备再次建立单播连接的方法的示意性流程图。
55.图5是本技术实施例提供的生成密钥标识的方法的示意性流程图。
56.图6是本技术另一实施例提供的生成密钥标识的方法的示意性流程图。
57.图7是本技术又一实施例提供的生成密钥标识的方法的示意性流程图。
58.图8本技术实施例提供的通信装置的示意性框图。
59.图9是本技术实施例提供的终端设备的结构示意图。
具体实施方式
60.下面将结合附图，对本技术中的技术方案进行描述。
61.本技术实施例的技术方案可以应用于各种通信系统，例如：长期演进(long term evolution，lte)系统、lte频分双工(frequency division duplex，fdd)系统、lte时分双工(time division duplex，tdd)、通用移动通信系统(universal mobile telecommunication system，umts)、全球互联微波接入(worldwide interoperability for microwave access，wimax)通信系统、第五代(5th generation，5g)移动通信系统或新无线接入技术(new radio access technology，nr)或者下一代通信，比如6g。其中，5g移动通信系统可以是非独立组网(non-standalone，nsa)或独立组网(standalone，sa)。
62.本技术提供的技术方案还可以应用于机器类通信(machine type communication，mtc)、机器间通信长期演进技术(long term evolution-machine，lte-m)、设备到设备(device to device，d2d)网络、机器到机器(machine to machine，m2m)网络、物联网(internet of things，iot)网络或者其他网络。其中，iot网络例如可以包括车联网。其中，车联网系统中的通信方式统称为车到其他设备(vehicle to x，v2x，x可以代表任何事物)，例如，该v2x可以包括：车辆到车辆(vehicle to vehicle，v2v)通信，车辆与基础设施(vehicle to infrastructure，v2i)通信、车辆与行人之间的通信(vehicle to pedestrian，v2p)或车辆与网络(vehicle to network，v2n)通信等。
63.本技术提供的技术方案还可以应用于未来的通信系统，如第六代移动通信系统等。本技术对此不做限定。
64.在本技术实施例中，终端设备可以称之为用户设备(user equipment，ue)、终端(terminal)、移动台(mobile station，ms)和移动终端(mobile terminal)等；该终端设备还可以经无线接入网(radio access network，ran)与一个或多个核心网进行通信。该终端设备还可称为接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、
用户终端、终端、无线通信设备、用户代理或用户装置。终端设备还可以是蜂窝电话、无绳电话、会话启动协议(session initiation protocol，sip)电话、无线本地环路(wireless local loop，wll)站、个人数字处理(personal digital assistant，pda)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、具有通信功能的车辆、可穿戴设备以及5g网络中的终端设备等。本技术实施例对此不做限定。
65.图1是适用于本技术实施例提供的方法的通信系统的示意图。
66.如图1所示，该通信系统100可以至少包括两个终端设备，例如图1所示的终端设备110和终端设备120。终端设备110和终端设备120之间可以通过pc5接口实现通信。终端设备110和终端设备120之间形成的无线直连通信链路可以定义为侧行链路(sidelink，sl)。
67.应理解，图中仅为示意，示出了两个终端设备，但这不应对本技术构成任何限定。在该通信系统中，还可以包括更多数量的终端设备，该通信系统中的至少两个终端设备之间都可以通过pc5接口实现通信。该通信系统还可以包括一个或多个网络设备，该通信系统中的终端设备与网络设备之间还可以通过uu接口实现通信。
68.终端设备可以在sl上进行单播通信以及广播通信。所谓单播通信即两个终端设备之间进行一对一的数据传输，例如图1中，终端设备110采用单播的方式向终端设备120发送数据，此情况下，只有终端设备120能接收到终端设备110发送的数据。所谓广播通信即某一个终端设备发送的数据能够被一定范围内的所有终端设备接收到。例如图1中，终端设备110采用广播的方式发送数据，当终端设备120与终端设备110之间的距离在一定范围内时，终端设备120可以接收到终端设备110发送的数据。应理解，图1中虽然仅示出了两个终端设备110和120，但在广播场景下，一个终端设备组中可以包括更多终端设备。也就是说，终端设备121发送的数据可以被更多的终端设备接收到。图中虽未予以示出，但这不应对本技术构成任何限定。
69.两个终端设备之间在进行单播通信之间会先进行单播连接。在建立单播连接的过程中，两端ue根据连接建立由谁发起分为初始ue(initiation ue)和对端ue(peer ue)。如图2所示，ue#1可以称为初始ue，ue#2可以称为对端ue。初始ue在发送直连通信请求(direct communication request，dcr)消息时，可以指定与特定的某个ue进行单播连接，例如，图2所示，ue#1指定与ue#2进行单播连接。初始ue也可以不感知对端ue的身份，即可以请求与一个或多个ue进行单播连接。
70.下面结合图2以ue#1指定与ue#2建立单播连接为例说明两个ue之间进行单播连接的过程。
71.s210，ue#1向ue#2发送dcr消息。
72.dcr消息中可以包括ue#1生成的随机数(nonce)#1、ue#1的应用层标识(application layer identifier)、ue#2的应用层标识以及新空口pc5(new radio pc5，nrp)接口的会话密钥(session key)的标识(identifier，id)的msb。下文中为便于理解，将新空口pc5接口的会话密钥记为k
nrp-sess
，将新空口pc5接口的会话密钥的标识记为k
nrp-sess id。
73.其中，k
nrp-sess id的msb用于生成k
nrp-sess id。
74.可以理解，应用层标识可以唯一标识一个ue。
75.可以理解，若ue#1以广播的方式发送dcr消息，则dcr消息中不携带对端ue的应用
层标识。
76.若在本次单播连接建立之前，ue#1与ue#2已经建立过单播连接，则dcr消息中还可以携带前次单播连接过程中生成的新空口pc5接口密钥(key)的标识。下文中为便于理解，将新空口pc5接口密钥记为k
nrp
，将新空口pc5接口密钥的标识记为k
nrp id。
77.其中，k
nrp id用于指示重用前次单播连接过程中的k
nrp
，从而可以省掉本次单播连接过程中的认证和密钥建立流程。
78.s220，ue#1与ue#2之间进行直连认证和密钥建立。
79.若ue#1与ue#2之间是初次执行单播建立流程，或者不重用前次单播连接建立过程中的安全上下文，则ue#2收到来自ue#1的dcr消息之后，触发与ue#1之间的直连认证和密钥建立流程。
80.在ue#1与ue#2执行完认证和密钥建立流程之后，ue#1和ue#2生成在后续单播通信中所使用的k
nrp
。
81.进一步地，ue#2随机生成k
nrp id的msb、k
nrp-sess id的lsb和nonce#2，并使用k
nrp
、nonce#1和nonce#2计算会话密钥k
nrp-sess
。再进一步地，ue#2使用会话密钥k
nrp-sess
计算nrp加密密钥(nrp encryption key，nrpek)和nrp完整性保护密钥(nrp integrity key，nrpik)。其中，ue#2生成的k
nrp id的msb和k
nrp-sess id的lsb可以分别唯一索引到ue#2保存的k
nrp
和k
nrp-sess
。
82.s230，ue#2向ue#1发送直连安全模式命令(direct security mode command)消息。
83.直连安全模式命令消息中可以携带k
nrp id的msb、k
nrp-sess id的lsb和nonce#2。并且，ue#2可以使用nrpik对直连安全模式请求消息进行完整性保护。
84.由于ue#2只对直连模式安全请求消息进行了完整性保护，而没有进行加密保护，因此，k
nrp id的msb很容易被第三方节点，或者被攻击者(attacker)获取。
85.s240，ue#1向ue#2发送直连安全模式完成(direct security mode complete)消息。
86.ue#1接收到直连安全模式命令消息之后，使用nonce#1、nonce#2和k
nrp
计算k
nrp-sess
，然后进一步使用k
nrp-sess
计算nrpek和nrpik。
87.进一步地，ue#1随机生成k
nrp id的lsb，并将k
nrp id的lsb通过直连安全模式完成消息发送给ue#2。其中，k
nrp id的lsb可以唯一索引到ue#1保存的k
nrp
。
88.如上文所述，若攻击者监听到ue#1与ue#2之间的单播建立流程，则攻击者可以从直连安全模式请求消息中获取到k
nrp id的msb。
89.之后，攻击者继续监听ue#1和ue#2之间的通信过程，直到ue#1或ue#2再次发送的直连通信请求消息中携带了本次单播连接过程中生成的k
nrp id，则攻击者可以基于之前获取的k
nrp id的msb和当前获取的k
nrp id作比较。如果msb位置相同，则攻击者可以认为ue#1和ue#2再次建立了单播连接，从而使得ue#1与ue#2之间的两次单播连接有了相关性，进一步可导致ue#1与ue#2之间的通信数据被攻击者获取，即导致隐私泄漏问题。
90.有鉴于此，本技术实施例提供了一种生成密钥标识的方法，可以避免单播通信过程中出现隐私泄漏的问题。
91.下面将结合附图说明本技术实施例提供的方法。
92.下文结合图3至图7所描述的各个方法实施例中，以第一终端设备和第二终端设备的交互为例，描述了各个方法实施例的流程。其中，第一终端设备例如可以对应于图1中所示的通信系统中的终端设备110，第二终端设备例如可以对应于图2中所示的通信系统中的终端设备120。
93.需要说明的是，下文示出的实施例并未对本技术实施例提供的方法的执行主体的具体结构特别限定，只要能够通过运行记录有本技术实施例提供的方法的代码的程序，以根据本技术实施例提供的方法进行通信即可，例如，本技术实施例提供的方法的执行主体可以是终端设备，或者是终端设备中能够调用程序并执行程序的功能模块。
94.图3示出了本技术实施例提供的建立单播连接的方法的示意性流程图。如图3所示，该方法300可以包括s310至s340，下面详述说明各个步骤。
95.s310，第二终端设备和第一终端设备分别生成加密密钥(encrypted key，ek)。
96.ek用于对第二终端设备和第一终端设备之间交互的信令加密，即第二终端设备可以使用ek对发送给第一终端设备的信令加密，第一终端设备可以使用ek对发送给第二终端设备的信令加密。
97.第二终端设备和第一终端设备可以根据会话密钥生成ek。
98.其中，会话密钥例如可以是k
nrp-sess
。k
nrp-sess
是第一终端设备和第二终端设备使用新空口pc5接口密钥k
nrp
、第一终端生成的第一随机数(下文中以nonce#1为例进行说明)和第二终端设备生成的第二随机数(下文中以nonce#2为例进行说明)计算生成的。其中，新空口pc5接口密钥k
nrp
是第二终端设备和第一终端设备在直连认证和密钥建立流程中生成的。由上文可知，第一终端设备接收到来自第二终端设备的dcr消息之后，若对第二终端设备发起的单播业务感兴趣，则第一终端设备可以发起与第二终端设备之间的直连认证和密钥建立流程。
99.其中，第二终端设备可以将nonce#2携带在dcr消息中发送给第一终端设备。
100.第一终端设备可以将nonce#1携带在直连安全模式命令消息中发送给第二终端设备。
101.由上可知，第一终端设备在接收到来自第二终端设备的dcr消息并执行直连认证和密钥建立流程之后，就可以生成ek。第二终端设备在接收到来自第一终端设备的直连安全模式命令消息之后，就可以生成ek。在第二终端设备和第一终端设备都生成ek的情况下，也就是说，在第一终端设备向第二终端设备发送直连安全模式安全命令消息之后，第二终端设备和第一终端设备之间交互的信令，都可以使用ek加密。
102.第二终端设备和第一终端设备还可以分别生成完整性保护密钥(integrity key，ik)。
103.ik用于对第二终端设备和第一终端设备之间交互的信令进行完整性保护，即第二终端设备使用ik对发送给第一终端设备的信令进行完整性保护，第一终端设备使用ik对发送给第二终端设备的信令进行完整性保护。
104.第二终端设备和第一终端设备可以根据会话密钥生成ik。其中，会话密钥例如可以是k
nrp-sess
，k
nrp-sess
可以是根据k
nrp
、nonce#1和nonce#2计算生成的。
105.s320，第二终端设备向第一终端设备发送基于ek加密的第一消息。
106.可以理解，在第二终端设备生成ek之后，第二终端设备向第一终端设备发送的第
一消息是使用ek加密的消息。
107.第一消息中包括第一参数，第一参数用于生成密钥标识。密钥例如可以是k
nrp
，密钥标识例如可以是k
nrp id。k
nrp id用于唯一索引第一终端设备和第二终端设备在建立第一单播连接过程中生成的k
nrp
，也可以说，k
nrp id用于指示第二终端设备与第一终端设备之间的安全上下文，k
nrp
是第二终端设备和第一终端设备在直连认证和密钥建立流程中生成的。
108.第一消息可以是安全模式激活过程中的直连安全模式完成消息。
109.由上文所述，在第二终端设备接收到直连安全模式命令消息之后，第二终端设备和第一终端设备之间交互的信令都可以使用ek加密。
110.因此，第二终端设备发送的直连安全模式完成消息是使用ek加密的消息。
111.本技术实施例对第一参数的具体内容不做限定。
112.在一种实现方式中，第一参数可以是k
nrp id的msb。
113.在另一种实现方式中，第一参数可以是k
nrp id的lsb。
114.可以理解，不论是第一参数是k
nrp id的msb还是lsb，第一参数都可以唯一索引到第二终端设备保存的k
nrp
。
115.相应地，在s320中，第一终端设备接收来自第二终端设备的第一消息，并基于ek解密第一消息，以获取第一消息中包括的第一参数。
116.s330，第一终端设备向第二终端设备发送基于ek加密的第二消息。
117.可以理解，在第一终端设备生成ek之后，第一终端设备向第二终端设备发送的第二消息是使用ek加密的消息。
118.第二消息中包括第二参数，第二参数用于生成k
nrp id。
119.在一种实现方式中，第二消息可以是单播连接建立过程中的直连通信接受(direct communication accept)消息。
120.由上文所述，在第一终端设备向第二终端设备发送的直连安全模式命令消息之后，第二终端设备和第一终端设备之间交互的信令都可以使用ek加密。
121.因此，第一终端设备发送的直连通信接受消息可以是使用ek加密的消息。
122.在另一种实现方式中，第二消息还可以是安全模式激活过程中的直连安全模式确认(direct security mode confirm)消息。
123.本技术实施例在现有的安全模式激活过程中，新增了直连安全模式确认消息。第一终端设备可以将第二参数携带在直连安全模式确认消息中发送给第二终端设备。
124.同样地，第一终端设备发送的直连安全模式确认消息可以是使用ek加密的消息。
125.本技术实施例对第二参数的具体内容不做限定。
126.在一种实现方式中，第二参数可以是k
nrp id的msb。
127.在另一种实现方式中，第二参数可以是k
nrp id的lsb。
128.可以理解，不论是第二参数是k
nrp id的msb还是lsb，第二参数都可以唯一索引到第一终端设备保存的k
nrp
。
129.相应地，在s330中，第二终端设备接收来自第一终端设备的第二消息，并基于ek解密第二消息，以获取第二消息中包括的第二参数。
130.s340，第二终端设备和第一终端设备使用第一参数和第二参数生成k
nrp id。
131.应理解，第一参数和第二参数不能同为k
nrp id的msb和lsb。也就是说，若第一参数
是k
nrp id msb，则第二参数是k
nrp id的lsb；若第一参数是k
nrp id的lsb，则第二参数是k
nrp id的msb。
132.还应理解，若第二终端设备和第一终端设备获取了多个第一参数或第二参数，则第二终端设备和第一终端设备使用最新获取的第一参数和第二参数生成k
nrp id。
133.例如，第一参数是k
nrp id的lsb，第二参数是k
nrp id的msb。第一终端设备在发送给第二终端设备的直连安全模式命令消息中携带了k
nrp id的msb#1(即第一个第二参数)；第二终端设备在发送给第一终端设备的直连安全模式完成消息中携带了k
nrp id的lsb#1(即第一个第一参数)。进一步地，第一终端设备在发送给第二终端设备的直连通信接受消息中携带了k
nrp id的msb#2(即第二个第二参数)。在此情况下，第二终端设备和第一终端设备都获取到了k
nrp id的msb#1和msb#2(即两个第二参数)，以及获取到了k
nrp id的lbs#1。可以理解，第一终端设备和第二终端设备先获取到了第一个第二参数(k
nrp id的msb#1)，后获取到了第二个第二参数(k
nrp id的msb#2)，即k
nrp id的msb#2是第一终端设备和第二终端设备最新获取到的，因此第二终端设备和第二终端使msb#2和lsb#1生成k
nrp id。
134.在本技术实施例中，在第二终端设备和第一终端设备都生成用于对信令加密的加密密钥之后，第二终端设备和第一终端设备之间再交互组成密钥标识的最高有效位和最低有效位。在此情况下，第二终端设备和第一终端设备之间交互的信令都是使用的加密密钥加密的信令，因此，攻击者将无法获取第二终端设备和第一终端设备之间交互的信令中携带的密钥标识的最高有效位和最低有效位。进一步地，即使第二终端设备在下一次发送的直连通信请求消息中明文携带了本次单播连接建立过程中生成的密钥标识，攻击者获取到密钥标识之后，也无法将本次的第二终端设备和第一终端设备之间的单播连接与下一次第二终端设备和第一终端设备之间的单播连接关联起来。
135.图4示出了第二终端设备再次与第一终端设备建立单播连接的方法的示意性流程图。如图4所示，该方法400可以包括s410至s450，下面详细说明各个步骤。应理解，图4中仅以第二终端设备发起单播连接为例进行说明，不应对本技术实施例构成限定。第一终端设备也可以主动发起与第二终端设备再一次建立单播连接。
136.s410，第二终端设备以广播的方式发送第一请求消息。
137.第一请求消息用于请求与至少一个其他终端设备建立单播连接。第一请求消息中包括第二终端设备和第一终端设备在上一次单播连接建立过程中生成的k
nrp id。第一请求消息可以是dcr消息。
138.应理解，在第二终端设备发送第一请求消息之前，第二终端设备与第一终端设备已经建立了一次单播连接，且第二终端设备仍然保持与第一终端设备之间的单播连接(第一单播连接的一例)，也就是说，第二终端设备和第一终端设备之间仍然通过在先建立的单播链路传输数据或业务。
139.为了便于理解，下文中将第二终端设备发送第一请求消息之前，与第一终端设备之间建立的单播连接记为第一单播连接，将第二终端设备与第一终端设备之间基于第一请求消息再次建立的单播连接记为第二单播连接。
140.在第二终端设备保持与第一终端设备的第一单播连接的情况下，第二终端设备发起第二单播连接的单播连接请求。此时，第二终端设备不感知第一终端设备是否对新的业务请求感兴趣，但又希望如果第一终端设备对新的业务请求感兴趣则重用第一单播连接中
的生成的密钥，则第二终端设备在广播的dcr消息中携带第一单播连接中生成的k
nrp id。
141.相对应地，第一终端设备接收到来自第二终端设备的dcr消息之后，根据dcr消息中的k
nrp id可以关联到与第二终端设备在第一单播连接中使用的k
nrp
。
142.进一步地，第一终端设备根据dcr消息中携带的其他的参数，可以确定是否可以复用第一单播连接，即确定是否可以在第一单播连接过程中建立的单播链路上传输新的数据或业务。
143.若第一终端设备确定不可以复用第一单播连接，则执行s420a。
144.若第一终端设备确定可以复用第一单播连接，则执行s420b。
145.s420a，第一终端设备向第二终端设备发送第一响应消息。
146.第一响应消息用于发起与第二终端设备之间的单播连接安全协商流程。第一响应消息中可以包括第一单播连接过程中生成的k
nrp id。k
nrp id用于指示第二终端设备可以在第二单播连接中重用第一单播连接中的k
nrp
。第一响应消息可以是安全模式激活过程中的直连安全模式命令消息。
147.在第一终端设备确定不可以复用第一单播连接的情况下，则发起与第二终端设备之间的第二单播连接的安全协商流程。第一终端设备在向第二终端设备发送的直连安全模式命令消息中，可以包括第一单播连接中的k
nrp id，k
nrp id用于指示第二终端设备可以在第二单播连接中重用第一单播连接中的k
nrp
。
148.在第二终端设备和第一终端设备重用第一单播连接的k
nrp
的情况下，第二终端设备与第一终端设备在第二单播连接的安全协商流程中，可以不执行直连认证和密钥建立流程。即第二终端设备和第一终端设备在第二单播连接中使用第一单播连接建立过程中生成的k
nrp
。
149.s420b，第一终端设备向第二终端设备发送第二请求消息。
150.第二请求消息用于请求修改第一单播连接，即请求修改第一单播连接中建立的单播链路。
151.在第一终端设备确定可以复用第一单播连接的情况下，则发起对第一单播连接中建立的单播链路的修改流程，以使得在第一单播连接中建立的单播链路上，同时传输新的业务和之前的业务。
152.在本技术实施例中，第二终端设备在建立新的业务的单播连接的过程中，若希望第一终端设备有意向与第二终端设备再次建立单播连接，则第二终端设备在广播的直连通信请求消息中携带密钥标识。相应地，第一终端设备根据直连通信请求消息中携带的密钥标识可以索引到保存的现有的单播连接(即第一单播连接)的密钥，进而确定在再次建立单播连接的过程中可以重用现有的单播连接的密钥。因此可以省掉单播连接建立过程中的节点认证和密钥建立流程，从而加快连接建立速度。
153.可选地，在第二终端设备发送直连通信请求消息之前，即在第二终端设备向第一终端设备发起第二次单播连接建立之前，第二终端设备可以发起连接标识更新流程，以更新密钥标识。
154.应理解，图4中仅以第二终端设备向第一终端设备发起第二单播连接建立之前，发起连接标识更新流程为例进行说明。
155.在一些可能实现方式中，第二终端设备还可以在与第一终端设备建立第一单播连
接之后，立即发起连接标识更新流程，以更新密钥标识。
156.在另一些可能的实现方式中，第二终端设备可以在与第一终端设备建立第一单播连接之后、建立第二单播连接之前的任意时刻，发起连接标识更新流程，以更新密钥标识。
157.第二终端设备发起连接标识更新流程，以更新密钥标识的步骤可以包括s430至s450。
158.s430，第二终端设备向第一终端设备发送连接标识更新请求(link identifier update request)消息。
159.可以理解，第二终端设备在第一单播连接过程中可以生成ek，因此，在第二终端设备仍然保持第一单播连接的情况下，第二终端设备可以使用ek对连接标识更新请求消息加密。
160.连接标识更新请求消息中可以包括第三参数，第三参数用于生成k
nrp id。
161.本技术实施例对第三参数的具体内容不做限定。
162.在一种实现方式中，第三参数可以是k
nrp id的msb。
163.在另一种实现方式中，第三参数可以是k
nrp id的lsb。
164.可以理解，不论是第三参数是k
nrp id的msb还是lsb，第三参数都可以唯一索引到第二终端设备保存的k
nrp
。
165.相应地，在s430中，第一终端设备接收到来自第二终端设备的连接标识更新请求消息之后，可以基于ek解密连接标识更新请求消息，以获取连接标识更新请求消息中包括的第三参数。
166.s440，第一终端设备向第二终端设备发送基于ek加密的连接标识更新响应(link identifier update response)。
167.连接标识更新响应消息中可以包括第四参数，第四参数用于生成k
nrp id。
168.本技术实施例对第四参数的具体内容不做限定。
169.在一种实现方式中，第四参数可以是k
nrp id的msb。
170.在另一种实现方式中，第四参数可以是k
nrp id的lsb。
171.可以理解，不论是第四参数是k
nrp id的msb还是lsb，第四参数都可以唯一索引到第一终端设备保存的k
nrp
。
172.相应地，在s440中，第二终端设备接收到来自第一终端设备的连接标识更新响应消息之后，可以基于ek解密连接标识更新响应消息，以获取连接标识更新响应消息中包括的第四参数。
173.s450，第一终端设备和第二终端设备基于第三参数和第四参数生成密钥标识。
174.应理解，第三参数和第四参数不能同为k
nrp id的msb和lsb。也就是说，若第三参数是k
nrp id msb，则第四参数是k
nrp id的lsb；若第三参数是k
nrp id的lsb，则第四参数是k
nrp id的msb。
175.还应理解，若第二终端设备和第一终端设备获取了多个第三参数或第四参数，则第二终端设备和第一终端设备使用最新获取的第三参数和第四参数生成密钥标识。
176.在本技术实施例中，第二终端设备向第一终端设备再次发起单播连接之前，发起连接标识更新流程，使得第一终端设备和第二终端设备可以生成一个新的密钥标识。并且第一终端设备和第二终端设备使用ek对连接标识修改流程中交互的信令进行了加密，因此
用于生成该新的密钥标识的msb和lsb都未在明文中传输过。因此，即使在第二终端设备向第一终端设备发起第二次单播建立连接的过程中，第二终端设备发送的直连通信请求消息中明文携带了密钥标识，第三方攻击者获取到该密钥标识之后也无法将第一终端设备与第二终端设备之间的两次单播连接关联起来。
177.图5示出了本技术实施例提供的方法的示意性流程图。如图5所示，该方法500可以包括s501至s515，下面详述说明各个步骤。
178.s501，第二终端设备发送直连通信请求消息#1。相应地，在s501中，第一终端设备接收来自第二终端设备的直连通信请求消息#1。
179.作为示例而非限定，直连通信请求消息#1中可以包括以下参数：nonce#2、第二终端设备的应用层标识以及k
nrp-sess id
的msb。
180.在第二终端设备指定请求与第一终端设备建立单播连接的情况下，直连通信请求消息#1中还可以包括第一终端设备的应用层标识。
181.假设第二终端设备和第一终端设备基于直连通信请求消息#1初次建立单播连接，则在s501之后，方法500还可以包括s502。
182.s502，第二终端设备和第一终端设备之间执行直连认证和密钥建立流程。
183.具体地，第二终端设备和第一终端设备之间执行直连认证和密钥建立流程的具体步骤可以参考现有技术，为了简洁，本技术实施例不再详述。
184.可以理解，在直连认证和密钥建立流程之后，第二终端设备和第一终端设备之间可以协商出在后续单播通信过程中使用的k
nrp
。
185.进一步地，第一终端设备可以根据从直连通信请求消息中获得的nonce#2、第一终端设备生成的nonce#1以及k
nrp
生成k
nrp-sess
。再进一步地，第一终端设备可以使用k
nrp-sess
生成ek和ik。ek和ik用于对第二终端设备和第一终端设备之间交互的信令进行加密和完整性保护。
186.s503，第一终端设备向第二终端设备发送直连安全模式命令消息#1。相应地，在s503中，第二终端设备接收来自第一终端设备的直连安全模式命令消息#1。
187.作为示例而非限定，直连安全模式命令消息#1中可以包括以下参数：k
nrp-sess id的lsb和nonce#2。
188.可选地，直连安全模式命令消息#1中还可以包括k
nrp id的msb#1(记为k
nrp id msb#1)。可以理解，由于直连安全模式命令消息#1未加密，因此第三方攻击者很容易获得直连安全模式命令消息#1中的k
nrp id msb#1。
189.第二终端设备接收到直连安全模式命令消息#1之后，可以根据nonce#1、nonce#2以及k
nrp
生成k
nrp-sess
。进一步地，第二终端设备使用k
nrp-sess
生成ek和ik。
190.可以理解，在第二终端设备接收到直连安全模式命令消息#1之后，第二终端设备和第一终端设备都可以生成ek和ik，因此，第二终端设备和第一终端设备可以使用ek和ik对后续交互的信令进行加密和完整性保护。
191.s504，第二终端设备向第一终端设备发送基于ek加密的直连安全模式完成消息#1(第一消息的一例)。
192.直连安全模式完成消息#1中可以包括k
nrp id的lsb#1(第一参数的一例，记为k
nrp id lsb#1)。
193.相应地，在s504中，第一终端设备接收来自第二终端设备的直连安全模式完成消息#1，并且可以基于ek解密直连安全模式完成消息#1，以获取直连安全模式完成消息#1中包括的k
nrp id lsb#1。
194.s505，第一终端设备向第二终端设备发送基于ek加密的直连通信接受消息#1(第二消息的一例)。
195.直连通信接受消息#1中可以包括k
nrp id的msb#2(第二参数的一例，记为k
nrp id msb#2)。应理解，k
nrp id msb#2不同于k
nrp id msb#1。
196.相应地，在s505中，第二终端设备接收来自第一终端设备的直连通信接受消息#1，并且可以基于ek解密直连通信接受消息#1，以获取直连通信接受消息#1中包括的k
nrp id msb#2。
197.可以理解，第二终端设备接收到来自第一终端设备的直连通信接受消息#1之后，表示第一终端设备和第二终端设备之间的单播连接(即图5中示出的连接1，第一单播连接的一例)已成功建立。
198.s506，第一终端设备和第二终端设备生成k
nrp id(密钥标识的一例)。
199.应理解，第一终端设备和第二终端设备基于最新获取的k
nrp id的lsb和msb生成k
nrp id。即第一终端设备和第二终端设备基于k
nrp id msb#2和k
nrp id lsb#1生成k
nrp id。
200.可以理解，在s506中，第一终端设备和第二终端设备生成k
nrp id所使用的k
nrp id msb#2和k
nrp id lsb#1都未在明文中传输。因此，第三方攻击者无法获取到k
nrp id msb#2和k
nrp id lsb#1。
201.在第一终端设备与第二终端设备建立连接1之后，第一终端设备或第二终端设备可以再次发起单播连接请求。下面以第二终端设备再次发起单播连接请求为例进行说明。
202.s507，第二终端设备发送直连通信请求消息#2(第一请求消息的一例)。
203.直连通信请求消息#2中可以包括第二终端设备的应用层标识、第二终端设备在建立连接1的过程中生成的k
nrp id。
204.由上文可知，用于生成k
nrp id的k
nrp id msb#2和k
nrp id lsb#1都未在明文中传输过，因此，即使第三方攻击者从直连通信请求消息#2中获取了k
nrp id，也无法将连接1和本次单播连接(图5中示出的连接2，第二单播连接的一例)关联起来。
205.第二终端设备在直连通信请求消息#2中携带k
nrp id的情况例如有以下两种：
206.情况一：
207.第二终端设备仍然保持与第一终端设备之间建立的连接1的情况下，以广播的方式发起新业务的单播连接，即以广播的方式发送直连通信请求消息#2。第二终端设备虽然不指定与那个终端设备建立单播连接，但是希望如果第一终端设备对新的业务请求感兴趣的情况下，重用建立连接1的过程中生成的k
nrp
，因此，第二终端设备在发送的直连通信请求消息中携带k
nrp id。
208.情况二：
209.第二终端设备和第一终端设备都释放了连接1，但是仍然保存连接1的安全上下文的情况下，第二终端设备指定与第一终端设备再次建立单播连接。在此情况下，直连通信请求消息#2中还可以包括第一终端设备应用层标识。
210.相应地，在s507中，第一终端设备接收来自第二终端设备的直连通信请求消息#2。
211.在第一终端设备仍然保持与第二终端设备之间建立的连接1的情况下，第一终端设备接收到来自第二终端设备的直连通信请求消息#2之后，根据直连通信请求消息中携带的其他参数确定是否可以复用连接1，即确定是否可以在连接1中建立的单播链路上传输新的数据或业务。
212.若第一终端设备确定可以复用连接1，则在s507之后执行s511至s515。
213.若第一终端设备确定不可以复用连接1，则在s507之后执行s508a至s510、以及s515。
214.在第一终端设备释放了连接1的情况下，第一终端设备接收到来自第二终端设备的直连通信请求消息#2之后，根据第二终端设备的应用层标识可以识别第二终端设备的身份，根据k
nrp id确定可以复用连接1的k
nrp
。因此，第一终端设备和第二终端设备在建立连接2的过程中，可以省略直连认证和密钥建立流程。进一步地，在s507之后执行s508b至s510、以及s515。
215.s508a，第一终端设备向第二终端设备发送直连安全模式命令消息#2(第一响应消息的一例)。
216.直连安全模式命令消息#2中可以包括k
nrp id。
217.如上所述，第一终端设备在确定不可以复用连接1的情况下，向第二终端设备发送直连安全模式命令消息#2，以发起与第二终端设备之间的新的单播连接的安全协商流程。直连安全模式命令消息#2中携带的k
nrp id用于指示第二终端设备可以重用连接1中的k
nrp
。
218.可选地，直连安全模式命令消息#2中还可以包括k
nrp id的msb#3(记为k
nrp id msb#3)。
219.s508b，第一终端设备向第二终端设备发送直连安全模式命令消息#3。
220.直连安全模式命令消息#3中可以包括k
nrp id的msb#3(记为k
nrp id msb#3)。
221.s509，第二终端设备向第一终端设备发送基于ek加密的直连安全模式完成消息#2。
222.直连安全模式消息#2中可以包括k
nrp id的lsb#2(记为k
nrp id lsb#2)。
223.相应地，在s509中，第一终端设备接收来自第二终端设备的直连安全模式完成消息#2，并基于ek解密直连安全模式完成消息#2，以获取直连安全模式完成消息#2中包括的k
nrp id lsb#2。
224.s510，第一终端设备向第二终端设备发送基于ek加密的直连通信接受消息#2。
225.直连通信接受消息#2中可以包括k
nrp id的msb#4(记为k
nrp id msb#4)。
226.相应地，在s510中，第二终端设备接收来自第一终端设备的直连通信接受消息#2，并基于ek解密直连通信接受消息#2，以获取直连通信接受消息#2中包括的k
nrp id msb#4。
227.s511，第一终端设备和第二终端设备执行连接修改流程。
228.在第一终端设备确定可以复用连接1的情况下，则发起对连接1的单播链路的修改流程，以使得在连接1中建立的单播链路上，同时传输新的业务和之前的业务。
229.具体地，第一终端设备和第二终端设备执行连接修改流程的步骤可以参考现有技术，为了简洁，本技术实施例不再详述。
230.s512，第一终端设备向第二终端设备发送基于ek加密的连接标识更新请求消息(第二请求消息的一例)。
msb#1)。
250.s604，第二终端设备向第一终端设备发送基于ek加密的直连安全模式完成消息#1(第一消息的一例)。
251.直连安全模式完成消息#1中可以包括k
nrp id的lsb#1(第一参数的一例，记为k
nrp id lsb#1)。
252.相应地，在s604中，第一终端设备接收来自第二终端设备的直连安全模式完成消息#1，并且可以基于ek解密直连安全模式完成消息#1，以获取直连安全模式完成消息#1中包括的k
nrp id lsb#1。
253.其中，第一终端设备和第二终端设备生成ek的方式可以参考上文s502至s503中的描述，为了简洁，本技术实施例不再赘述。
254.s605，第一终端设备向第二终端设备发送基于ek加密的直连安全模式确认消息#1(第二消息的一例)。
255.直连安全模式确认消息#1中可以包括k
nrp id的msb#2(第二参数的一例，记为k
nrp id msb#2)。
256.相应地，在s605中，第二终端设备接收来自第一终端设备的直连安全模式确认消息#1，并且可以基于ek解密直连安全模式确认消息#1，以获取直连安全模式确认消息#1中包括的k
nrp id msb#2。
257.s606，第二终端设备向第一终端设备发送基于ek加密的直连通信接受消息#1。
258.可以理解，第二终端设备接收到来自第一终端设备的直连通信接受消息#1之后，表示第一终端设备和第二终端设备之间的单播连接(即图6中示出的连接1，第一单播连接的一例)已成功建立。
259.s607，第一终端设备和第二终端设备生成k
nrp id(密钥标识的一例)。
260.应理解，第一终端设备和第二终端设备基于最新获取的k
nrp id的lsb和msb生成k
nrp id。即第一终端设备和第二终端设备基于k
nrp id msb#2和k
nrp id lsb#1生成k
nrp id。
261.可以理解，在s607中，第一终端设备和第二终端设备生成k
nrp id所使用的k
nrp id msb#2和k
nrp id lsb#1都不是在明文中传输的。因此，第三方攻击者无法获取到k
nrp id msb#2和k
nrp id lsb#1。
262.在第一终端设备与第二终端设备建立连接1之后，第一终端设备或第二终端设备可以再次发起单播连接请求。下面以第二终端设备再次发起单播连接请求为例进行说明。
263.s608，第二终端设备发送直连通信请求消息#2(第一请求消息的一例)。
264.直连通信请求消息#2中可以包括第二终端设备的应用层标识、第二终端设备在建立连接1的过程中生成的k
nrp id。
265.由上文可知，用于生成k
nrp id的k
nrp id msb#2和k
nrp id lsb#1都未在明文中传输过，因此，即使第三方攻击者从直连通信请求消息#2中获取了k
nrp id，也无法将连接1和本次单播连接(图6中示出的连接2，第二单播连接的一例)关联起来。
266.相应地，在s608中，第一终端设备接收来自第二终端设备的直连通信请求消息#2。
267.在第一终端设备仍然保持与第二终端设备之间建立的连接1的情况下，第一终端设备接收到来自第二终端设备的直连通信请求消息#2之后，根据直连通信请求消息中携带的其他参数确定是否可以复用连接1，即确定是否可以在连接1中建立的单播链路上传输新
msb#3。
289.s615，第二终端设备向第一终端设备发送基于ek加密的连接标识更新响应消息。
290.连接标识更新响应消息中可以包括k
nrp id msb#3和k
nrp id的lsb#2(记为k
nrp id lsb#2)。
291.相应地，在s615中，第一终端设备接收来自第二终端设备的连接标识更新响应消息，并基于ek解密连接标识更新响应消息，以获取连接标识更新请求消息中包括的k
nrp id msb#3和k
nrp id lsb#2。
292.s616，第一终端设备向第二终端设备发送基于ek加密的连接标识更新确认(link identifier update ack)消息。
293.连接标识更新确认消息中可以包括k
nrp id lsb#2。
294.相应地，在s616中，第二终端设备接收来自第一终端设备的连接标识更新确认消息，并基于ek解密连接标识更新确认消息，以获取连接标识更新确认消息中包括的k
nrp id lsb#2。
295.s617，第一终端设备和第二终端设备生成k
nrp id。
296.应理解，第一终端设备和第二终端设备基于最新获取的k
nrp id的lsb和msb生成k
nrp id。
297.若在s608之后，方法600执行了s609a至s612，则在s617中，第一终端设备和第二终端设备基于k
nrp id msb#4和k
nrp id lsb#2生成k
nrp id。
298.若在s608之后，方法800执行了s609b至s612，则在s617中，第一终端设备和第二终端设备基于k
nrp id msb#4和k
nrp id lsb#2生成k
nrp id。
299.若在s608之后，方法600执行了s613至s616，则在s617中，第一终端设备和第二终端设备基于k
nrp id msb#3和k
nrp id lsb#2生成k
nrp id。
300.在本技术实施例中，在第一终端设备和第二终端设备建立连接1的过程中，第二终端设备在直连通信确认消息#1中携带用于生成k
nrp id的msb#2，从而保证了用于生成k
nrp id的lsb#1和msb#2都未在明文中传输过。在第一终端设备和第二终端设备建立连接2的过程中，即使第二终端设备在dcr消息中携带了k
nrp id，第三方攻击者也无法将之前获得的msb#1与dcr消息中携带的k
nrp id关联起来，从而保护了第一终端设备和第二终端设备的连接隐私性。
301.图7示出了本技术实施例提供的方法的示意性流程图。如图7所示，该方法700可以包括s701至s718，下面详述说明各个步骤。
302.s701，第二终端设备发送直连通信请求消息#1。相应地，在s701中，第一终端设备接收来自第二终端设备的直连通信请求消息#1。
303.s702，第二终端设备和第一终端设备之间执行直连认证和密钥建立流程。
304.s703，第一终端设备向第二终端设备发送直连安全模式命令消息#1。相应地，在s503中，第二终端设备接收来自第一终端设备的直连安全模式命令消息#1。
305.可选地，直连安全模式命令消息#1中还可以包括k
nrp id的msb#1(记为k
nrp id msb#1)。
306.s704，第二终端设备向第一终端设备发送基于ek加密的直连安全模式完成消息#1。
307.直连安全模式完成消息#1中可以包括k
nrp id的lsb#1。
308.相应地，在s704中，第一终端设备接收来自第二终端设备的直连安全模式完成消息#1，并且可以基于ek解密直连安全模式完成消息#1，以获取直连安全模式完成消息#1中包括的k
nrp id lsb#1。
309.其中，第一终端设备和第二终端设备生成ek的方式可以参考上文s502至s503中的描述，为了简洁，本技术实施例不再赘述。
310.s705，第一终端设备向第二终端设备发送基于ek加密的直连通信接受消息#1。
311.可以理解，第二终端设备接收到来自第一终端设备的直连通信接受消息#1之后，表示第一终端设备和第二终端设备之间的单播连接(即图5中示出的连接1，第一单播连接的一例)已成功建立。
312.s706，第二终端设备向第一终端设备发送基于ek加密的连接标识更新请求消息#1。
313.连接标识更新请求消息#1中可以包括k
nrp id的msb#2(第三参数的一例，记为k
nrp id msb#2)。
314.相应地，在s706中，第一终端设备接收来自第二终端设备的连接标识更新请求消息#1，并且可以基于ek解密连接标识更新请求消息#1，以获取连接标识更新请求消息#1中包括的k
nrp id msb#2。
315.s707，第一终端设备向第二终端设备发送基于ek加密的连接标识更新响应消息#1。
316.连接标识更新响应消息#1中可以包括k
nrp id msb#2和k
nrp id的lsb#2(第四参数的一例，记为k
nrp id lsb#2)。
317.相应地，在s707中，第二终端设备接收来自第一终端设备的连接标识更新响应消息#1，并且可以基于ek解密连接标识更新响应消息#1，以获取连接标识更新响应消息#1中包括的k
nrp id lsb#2。
318.s708，第二终端设备向第一终端设备发送基于ek加密的连接标识更新确认消息#1。
319.连接标识更新确认消息#1中可以包括k
nrp id lsb#2。
320.相应地，在s708中，第二终端设备接收来自第一终端设备的连接标识更新确认消息#1，并基于ek解密连接标识更新确认消息#1，以获取连接标识更新确认消息#1中包括的k
nrp id lsb#2。
321.s709，第一终端设备和第二终端设备生成k
nrp id(密钥标识的一例)。
322.应理解，第一终端设备和第二终端设备基于最新获取的k
nrp id的lsb和msb生成k
nrp id。即第一终端设备和第二终端设备基于k
nrp id msb#2和k
nrp id lsb#2生成k
nrp id。
323.可以理解，在s709中，第一终端设备和第二终端设备生成k
nrp id所使用的k
nrp id msb#2和k
nrp id lsb#2都不是在明文中传输的。因此，第三方攻击者无法获取到k
nrp id msb#2和k
nrp id lsb#2。
324.在第一终端设备与第二终端设备建立连接1之后，第一终端设备或第二终端设备可以再次发起单播连接请求。下面以第二终端设备再次发起单播连接请求为例进行说明。
325.s710，第二终端设备发送直连通信请求消息#2(第一请求消息的一例)。
326.直连通信请求消息#2中可以包括第二终端设备的应用层标识、第二终端设备在建立连接1的过程中生成的k
nrp id。
327.由上文可知，用于生成k
nrp id的k
nrp id msb#2和k
nrp id lsb#1都未在明文中传输过，因此，即使第三方攻击者从直连通信请求消息#2中获取了k
nrp id，也无法将连接1和本次单播连接(图7中示出的连接2，第二单播连接的一例)关联起来。
328.相应地，在s710中，第一终端设备接收来自第二终端设备的直连通信请求消息#2。
329.在第一终端设备仍然保持与第二终端设备之间建立的连接1的情况下，第一终端设备接收到来自第二终端设备的直连通信请求消息#2之后，根据直连通信请求消息中携带的其他参数确定是否可以复用连接1，即确定是否可以在连接1中建立的单播链路上传输新的数据或业务。
330.若第一终端设备确定可以复用连接1，则在s710之后执行s714至s718。
331.若第一终端设备确定不可以复用连接1，则在s710之后执行s711a至s713、以及s718。
332.在第一终端设备释放了连接1的情况下，第一终端设备接收到来自第二终端设备的直连通信请求消息#2之后，根据第二终端设备的应用层标识可以识别第二终端设备的身份，根据k
nrp id确定可以重用连接1的k
nrp
。因此，第一终端设备和第二终端设备在建立连接2的过程中，可以省略直连认证和密钥建立流程。进一步地，在s710之后执行s711b至s713、以及s718。
333.s711a，第一终端设备向第二终端设备发送直连安全模式命令消息#2(第一响应消息的一例)。
334.直连安全模式命令消息#2中可以包括k
nrp id。
335.可选地，直连安全模式命令消息#2中还可以包括k
nrp id的msb#3(记为k
nrp id msb#3)。
336.s711b，第一终端设备向第二终端设备发送直连安全模式命令消息#3。
337.直连安全模式命令消息#3中可以包括k
nrp id的msb#3(记为k
nrp id msb#3)。
338.s712，第二终端设备向第一终端设备发送基于ek加密的直连安全模式完成消息#2。
339.直连安全模式消息#2中可以包括k
nrp id的lsb#3(记为k
nrp id lsb#3)。
340.相应地，在s712中，第一终端设备接收来自第二终端设备的直连安全模式完成消息#2，并基于ek解密直连安全模式完成消息#2，以获取直连安全模式完成消息#2中包括的k
nrp id lsb#3。
341.s713，第一终端设备向第二终端设备发送基于ek加密的直连通信接受消息#2。
342.s714，第一终端设备和第二终端设备执行连接修改流程。
343.在第一终端设备确定可以复用连接1的情况下，则发起对连接1的单播链路的修改流程，以使得在连接1中建立的单播链路上，同时传输新的业务和之前的业务。
344.具体地，第一终端设备和第二终端设备执行连接修改流程的步骤可以参考现有技术，为了简洁，本技术实施例不再详述。
345.s715，第一终端设备向第二终端设备发送基于ek加密的连接标识更新请求消息#2(第二请求消息的一例)。
346.连接标识更新请求消息#2中可以包括k
nrp id的msb#4(记为k
nrp id msb#4)。
347.相应地，在s715中，第二终端设备接收来自第一终端设备的连接标识更新请求消息#2，并基于ek解密连接标识更新请求消息#2，以获取连接标识更新请求消息#2中包括的k
nrp id msb#4。
348.s716，第二终端设备向第一终端设备发送基于ek加密的连接标识更新响应消息#2。
349.连接标识更新响应消息#2中可以包括k
nrp id msb#4和k
nrp id的lsb#4(记为k
nrp id lsb#4)。
350.相应地，在s716中，第一终端设备接收来自第二终端设备的连接标识更新响应消息#2，并基于ek解密连接标识更新响应消息#2，以获取连接标识更新请求消息#2中包括的k
nrp id msb#4和k
nrp id lsb#4。
351.s717，第一终端设备向第二终端设备发送基于ek加密的连接标识更新确认消息#2。
352.连接标识更新确认消息#2中可以包括k
nrp id lsb#4。
353.相应地，在s717中，第二终端设备接收来自第一终端设备的连接标识更新确认消息#2，并基于ek解密连接标识更新确认消息#2，以获取连接标识更新确认消息#2中包括的k
nrp id lsb#4。
354.s718，第一终端设备和第二终端设备生成k
nrp id。
355.应理解，第一终端设备和第二终端设备基于最新获取的k
nrp id的lsb和msb生成k
nrp id。
356.若在s710之后，方法700执行了s711a至s713，则在s718中，第一终端设备和第二终端设备基于k
nrp id msb#3和k
nrp id lsb#3生成k
nrp id。
357.若在s710之后，方法700执行了s711b至s713，则在s718中，第一终端设备和第二终端设备基于k
nrp id msb#3和k
nrp id lsb#3生成k
nrp id。
358.可选地，在s713之后，第二终端设备可以主动发起连接标识修改流程，以更新密钥标识。
359.若在s710之后，方法700执行了s714至s717，则在s718中，第一终端设备和第二终端设备基于k
nrp id msb#4和k
nrp id lsb#4生成k
nrp id。
360.在本技术实施例中，在第一终端设备和第二终端设备建立连接1的过程中，第二终端设备通过触发连接标识更新流程的方式更新用于生成k
nrp id的msb#2和lsb#2，从而保证了用于生成k
nrp id的lsb#2和msb#2都未在明文中传输过。在第一终端设备和第二终端设备建立连接2的过程中，即使第二终端设备在dcr消息中携带了k
nrp id，第三方攻击者也无法将之前获得的msb#1与dcr消息中携带的k
nrp id关联起来，从而保护了第一终端设备和第二终端设备的连接隐私性。
361.以上，结合图3至图7详细说明了本技术实施例提供的方法。以下，结合图8至图9详细说明本技术实施例提供的装置。
362.图8是本技术实施例提供的通信装置的示意性框图。如图8所示，该通信装置2000可以包括处理单元2100和收发单元2200。
363.在一种可能的设计中，该通信装置2000可对应于上文方法实施例中的第一终端设
备，例如，可以为第一终端设备，或者配置于第一终端设备中的部件(如芯片或芯片系统)。
364.应理解，该通信装置2000可对应于根据本技术实施例的方法300、方法400、方法500、方法600、方法700中的第一终端设备，该通信装置2000可以包括用于执行图3中的方法300、图4中的方法400、图5中的方法500、图6中方法600、图7中的方法700中的第一终端设备执行的方法的单元。并且，该通信装置2000中的各单元和上述其他操作和/或功能分别为了实现图3中的方法300、图4中的方法400、图5中的方法500、图6中方法600、图7中的方法700的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
365.还应理解，该通信装置2000为第一终端设备时，该通信装置2000中的收发单元2200可以通过收发器实现，例如可对应于图9中示出的终端设备3000中的收发器3020，该通信装置2000中的处理单元2100可通过至少一个处理器实现，例如可对应于图9中示出的终端设备3000中的处理器3010。
366.还应理解，该通信装置2000为配置于第一终端设备中的芯片或芯片系统时，该通信装置2000中的收发单元2200可以通过输入/输出接口实现，该通信装置2000中的处理单元2100可以通过该芯片或芯片系统上集成的处理器、微处理器或集成电路等实现。
367.在另一种可能的设计中，该通信装置2000可对应于上文方法实施例中的第二终端设备，例如，可以为第二终端设备，或者配置于第二终端设备中的部件(如芯片或芯片系统)。
368.应理解，该通信装置2000可对应于根据本技术实施例的方法300、方法400、方法500、方法600、方法700中的第二终端设备，该通信装置2000可以包括用于执行图3中的方法300、图4中的方法400、图5中的方法500、图6中方法600、图7中的方法700中的第二终端设备执行的方法的单元。并且，该通信装置2000中的各单元和上述其他操作和/或功能分别为了实现图3中的方法300、图4中的方法400、图5中的方法500、图6中方法600、图7中的方法700的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
369.还应理解，该通信装置2000为第二终端设备时，该通信装置2000中的收发单元2200可以通过收发器实现，例如可对应于图9中示出的终端设备3000中的收发器3020，该通信装置2000中的处理单元2100可通过至少一个处理器实现，例如可对应于图9中示出的终端设备3000中的处理器3010。
370.还应理解，该通信装置2000为配置于第二终端设备中的芯片或芯片系统时，该通信装置2000中的收发单元2200可以通过输入/输出接口实现，该通信装置2000中的处理单元2100可以通过该芯片或芯片系统上集成的处理器、微处理器或集成电路等实现。
371.图9是本技术实施例提供的终端设备3000的结构示意图。该终端设备3000可应用于如图1所示的系统中，执行上述方法实施例中终端设备的功能。如图所示，该终端设备3000包括处理器3010和收发器3020。可选地，该终端设备3000还包括存储器3030。其中，处理器3010、收发器3002和存储器3030之间可以通过内部连接通路互相通信，传递控制和/或数据信号，该存储器3030用于存储计算机程序，该处理器3010用于从该存储器3030中调用并运行该计算机程序，以控制该收发器3020收发信号。可选地，终端设备3000还可以包括天线3040，用于将收发器3020输出的上行数据或上行控制信令通过无线信号发送出去。
372.上述处理器3010可以和存储器3030可以合成一个处理装置，处理器3010用于执行存储器3030中存储的程序代码来实现上述功能。具体实现时，该存储器3030也可以集成在处理器3010中，或者独立于处理器3010。该处理器3010可以与图8中的处理单元2100对应。
373.上述收发器3020可以与图8中的收发单元2200对应，也可以称为收发单元。收发器2020可以包括接收器(或称接收机、接收电路)和发射器(或称发射机、发射电路)。其中，接收器用于接收信号，发射器用于发射信号。
374.应理解，图9所示的终端设备3000能够实现图3至图7中所示方法实施例中涉及第一终端设备的各个过程。终端设备3000中的各个模块的操作和/或功能，分别为了实现上述方法实施例中的相应流程。具体可参见上述方法实施例中的描述，为避免重复，此处适当省略详细描述。
375.上述处理器3010可以用于执行前面方法实施例中描述的由第一终端设备内部实现的动作，如与第二终端设备协商加密密钥、生成密钥标识等。收发器3020可以用于执行前面方法实施例中描述的第一终端设备发送或从第二终端设备接收的动作，如发送第二消息，接收第一消息等。具体请见前面方法实施例中的描述，此处不再赘述。
376.还应理解，图9所示的终端设备3000能够实现图3至图7中所示方法实施例中涉及第二终端设备的各个过程。终端设备3000中的各个模块的操作和/或功能，分别为了实现上述方法实施例中的相应流程。具体可参见上述方法实施例中的描述，为避免重复，此处适当省略详细描述。
377.上述处理器3010可以用于执行前面方法实施例中描述的由第二终端设备内部实现的动作，如与第一终端设备协商加密密钥、生成密钥标识等。收发器3020可以用于执行前面方法实施例中描述的第二终端设备向第一终端设备发送或从第一终端设备接收的动作，如发送第一消息，接收第二消息等。具体请见前面方法实施例中的描述，此处不再赘述。
378.其中，上述终端设备3000还可以包括电源3050，用于给终端设备中的各种器件或电路提供电源。
379.除此之外，为了使得终端设备的功能更加完善，该终端设备3000还可以包括输入单元3060、显示单元3070、音频电路3080、摄像头3090和传感器3100等中的一个或多个，所述音频电路还可以包括扬声器3082、麦克风3084等。
380.本技术实施例还提供了一种处理装置，包括处理器和接口；所述处理器用于执行上述任一方法实施例中的方法。
381.应理解，上述处理装置可以是一个或多个芯片。例如，该处理装置可以是现场可编程门阵列(field programmable gate array，fpga)，可以是专用集成芯片(application specific integrated circuit，asic)，还可以是系统芯片(system on chip，soc)，还可以是中央处理器(central processor unit，cpu)，还可以是网络处理器(network processor，np)，还可以是数字信号处理电路(digital signal processor，dsp)，还可以是微控制器(micro controller unit，mcu)，还可以是可编程控制器(programmable logic device，pld)或其他集成芯片。
382.在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。结合本技术实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储
器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。为避免重复，这里不再详细描述。
383.应注意，本技术实施例中的处理器可以是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法实施例的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器、数字信号处理器(dsp)、专用集成电路(asic)、现场可编程门阵列(fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本技术实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本技术实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
384.可以理解，本技术实施例中的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(read-only memory，rom)、可编程只读存储器(programmable rom，prom)、可擦除可编程只读存储器(erasable prom，eprom)、电可擦除可编程只读存储器(electrically eprom，eeprom)或闪存。易失性存储器可以是随机存取存储器(random access memory，ram)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的ram可用，例如静态随机存取存储器(static ram，sram)、动态随机存取存储器(dynamic ram，dram)、同步动态随机存取存储器(synchronous dram，sdram)、双倍数据速率同步动态随机存取存储器(double data rate sdram，ddr sdram)、增强型同步动态随机存取存储器(enhanced sdram，esdram)、同步连接动态随机存取存储器(synchlink dram，sldram)和直接内存总线随机存取存储器(direct rambus ram，dr ram)。应注意，本文描述的系统和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。
385.根据本技术实施例提供的方法，本技术还提供一种计算机程序产品，该计算机程序产品包括：计算机程序代码，当该计算机程序代码在计算机上运行时，使得该计算机执行图3至图7所示实施例中第一终端设备和第二终端设备分别执行的方法。
386.根据本技术实施例提供的方法，本技术还提供一种计算机可读存储介质，该计算机可读存储介质存储有程序代码，当该程序代码在计算机上运行时，使得该计算机执行图3至图7所示实施例中第一终端设备和第二终端设备分别执行的方法。
387.根据本技术实施例提供的方法，本技术还提供一种系统，其包括前述的一个或多个终端设备。
388.上述各个装置实施例中策略控制网元与终端设备和方法实施例中的策略控制网元或终端设备完全对应，由相应的模块或单元执行相应的步骤，例如通信单元(收发器)执行方法实施例中接收或发送的步骤，除发送、接收外的其它步骤可以由处理单元(处理器)执行。具体单元的功能可以参考相应的方法实施例。其中，处理器可以为一个或多个。
389.在本说明书中使用的术语“部件”、“模块”、“系统”等用于表示计算机相关的实体、硬件、固件、硬件和软件的组合、软件、或执行中的软件。例如，部件可以是但不限于，在处理
器上运行的进程、处理器、对象、可执行文件、执行线程、程序和/或计算机。通过图示，在计算设备上运行的应用和计算设备都可以是部件。一个或多个部件可驻留在进程和/或执行线程中，部件可位于一个计算机上和/或分布在2个或更多个计算机之间。此外，这些部件可从在上面存储有各种数据结构的各种计算机可读介质执行。部件可例如根据具有一个或多个数据分组(例如来自与本地系统、分布式系统和/或网络间的另一部件交互的二个部件的数据，例如通过信号与其它系统交互的互联网)的信号通过本地和/或远程进程来通信。
390.本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各种说明性逻辑块(illustrative logical block)和步骤(step)，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本技术的范围。
391.所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
392.在本技术所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
393.所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
394.另外，在本技术各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
395.在上述实施例中，各功能单元的功能可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令(程序)。在计算机上加载和执行所述计算机程序指令(程序)时，全部或部分地产生按照本技术实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，dsl))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，高密度数字视频光盘(digital video disc，dvd))、或者半导体介质(例如固态硬盘(solid state disk，ssd))等。
396.所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以
存储在一个计算机可读取存储介质中。基于这样的理解，本技术的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本技术各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(read-only memory，rom)、随机存取存储器(random access memory，ram)、磁碟或者光盘等各种可以存储程序代码的介质。
397.以上所述，仅为本技术的具体实施方式，但本技术的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本技术揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本技术的保护范围之内。因此，本技术的保护范围应以所述权利要求的保护范围为准。