信息处理方法及装置与流程

本发明涉及无线通信领域技术，尤其涉及一种信息处理方法及装置。

背景技术：

在现有技术中为了提升信息安全性，确保用户的隐私性。会在用户设备(User Equiment,UE)分配一个临时身份用于接入网络，以隐藏UE的第二身份信息。但是在UE首次接入到网络的过程中，还是可能会被窃取到UE发送给网络侧的第二身份信息，导致UE的第二身份信息的泄漏，进而导致用户的隐私的安全性差的问题。

技术实现要素：

有鉴于此，本发明实施例期望提供一种信息处理方法及装置，可以至少部分解决上述问题。

为达到上述目的，本发明的技术方案是这样实现的：

本发明实施例提供了一种信息处理方法，包括：

接收用户设备UE发送的附着请求；

判断所述附着请求中是否有携带第一身份信息；

当所述附着请求中未携带有第一身份信息时，与所述UE进行密钥协商；其中，所述密钥协商用于获得对所述UE的第二身份信息加密的加密密钥；

接收所述UE利用所述加密密钥加密的发送的第二身份信息；

利用所述加密密钥解密所述第二身份信息；其中，所述第二身份信息用于为所述UE分配第一身份信息。

基于上述方案，所述方法，还包括：

判断所述UE是否完成共享密钥的协商；其中，所述共享密钥用于会话密钥的生成；

所述当所述附着请求中未携带有第一身份信息时，与所述UE进行密钥协商，包括：

当所述附着请求中未携带有第一身份信息时且所述UE未完成共享密钥的协商时，与所述UE进行所述共享密钥的协商；基于所述共享密钥的协商生成所述加密密钥。

基于上述方案所述当所述附着请求中未携带有第一身份信息时且所述UE未完成共享密钥的协商时，与所述UE进行所述共享密钥的协商，包括：

基于与所述UE的共享密钥的协商，生成所述共享密钥；

其中，所述共享密钥和随机产生的第一随机数，共同用于生成所述加密密钥。

基于上述方案所述共享密钥和随机产生的第二随机数，共同用于生成完整性密钥；所述完整性密钥用于对所述第二身份信息进行完整性保护。

基于上述方案所述方法还包括：

根据所述共享密钥生成所述第一会话密钥；

通过与所述UE进行信息交互，验证所述第一会话密钥和所述UE根据所述共享密钥生成的第二会话密钥是否一致。

基于上述方案，所述方法还包括：

确定当前是否有受到预定类型的攻击；

当受到预定类型的攻击时，向所述UE发送哈希挑战指示；

接收所述UE基于所述哈希挑战指示返回的哈希挑战响应；

所述当所述附着请求中未携带有第一身份信息时，与所述UE进行密钥协商，包括：

当所述哈希挑战响应指示哈希挑战成功时，与所述UE进行密钥协商。

基于上述方案所述方法还包括：

根据受到所述预定类型的攻击的严重程度信息，确定所述哈希挑战的难易程度。

本发明实施例还提供了一种信息处理方法，包括：

向网络侧发送附着请求；

与网络侧进行密钥协商；其中，所述密钥协商是在所述网络侧确定出所述附着请求中未携带有用户设备UE的第一身份信息时发送的，且所述密钥协商用于获得对用户设备UE的第二身份信息加密的加密密钥；

将利用所述加密密钥加密所述UE的第二身份信息，发送给所述网络侧。

基于上述方案所述与网络侧进行密钥协商，包括：

与所述网络侧进行共享密钥的协商；其中，所述共享密钥用于会话密钥的生成。

基于上述方案所述方法还包括：

生成第一随机数；

基于所述共享密钥和所述第一随机数，生成所述加密密钥。

基于上述方案所述方法还包括：

生成第二随机数；

基于所述共享密钥和所述第二随机数，生成完整性密钥；

所述方法还包括：

利用所述完整性密钥，对所述第二身份信息进行完整性保护。

基于上述方案所述方法还包括：

根据所述共享密钥生成第二会话密钥；

通过与所述网络侧进行信息交互，验证所述第二会话密钥和所述网络侧根据所述共享密钥生成的第一会话密钥是否一致。

基于上述方案所述方法还包括：

接收网络侧在确定出有受到预定类型的攻击时，发送的哈希挑战指示；

响应所述哈希挑战指示，向所述网络侧返回哈希挑战响应；

所述与网络侧进行密钥协商，包括：

当所述哈希挑战响应确定出哈希挑战成功时，与所述网络侧进行密钥协商。

本发明实施例提供了一种信息处理装置，包括第一接收单元、判断单元、第一协商单元及解密单元：

所述第一接收单元，用于接收用户设备UE发送的附着请求；

所述判断单元，用于判断所述附着请求中是否有携带第一身份信息；

所述第一协商单元，用于当所述附着请求中未携带有第一身份信息时，与所述UE进行密钥协商；其中，所述密钥协商用于获得对所述UE的第二身份信息加密的加密密钥；

所述第一接收单元，用于接收所述UE利用所述加密密钥加密的发送的第二身份信息；

所述解密单元，用于利用所述加密密钥解密所述第二身份信息；其中，所述第二身份信息用于为所述UE分配第一身份信息。

基于上述方案，所述判断单元，还用于判断所述UE是否完成共享密钥的协商；其中，所述共享密钥用于会话密钥的生成；

所述第一协商单元，具体用于当所述附着请求中未携带有第一身份信息时且所述UE未完成共享密钥的协商时，与所述UE进行所述共享密钥的协商；基于所述共享密钥的协商生成所述加密密钥。

基于上述方案，所述第一协商单元，具体用于基于与所述UE的共享密钥的协商，生成所述共享密钥；

其中，所述共享密钥和随机产生的第一随机数，共同用于生成所述加密密钥。

基于上述方案，所述共享密钥和随机产生的第二随机数，共同用于生成完整性密钥；所述完整性密钥用于对所述第二身份信息进行完整性保护。

基于上述方案，所述装置还包括第一生成单元及验证单元：

所述第一生成单元，用于根据所述共享密钥生成所述第一会话密钥；

所述第一验证单元，用于通过与所述UE进行信息交互，验证所述第一会话密钥和所述UE根据所述共享密钥生成的第二会话密钥是否一致。

基于上述方案，所述装置还包括确定单元及第一发送单元：

所述确定单元，用于确定当前是否有受到预定类型的攻击；

所述第一发送单元，用于当受到预定类型的攻击时，向所述UE发送哈希挑战指示；

所述第一接收单元，用于接收所述UE基于所述哈希挑战指示返回的哈希挑战响应；

所述第一协商单元，用于当所述哈希挑战响应指示哈希挑战成功时，与所述UE进行密钥协商。

基于上述方案，所述确定单元，还用于根据受到所述预定类型的攻击的严重程度信息，确定所述哈希挑战的难易程度。

本发明实施例还提供了另一种信息处理装置，包括：

第二发送单元，用于向网络侧发送附着请求；

第二协商单元，用于与网络侧进行密钥协商；其中，所述密钥协商是在所述网络侧确定出所述附着请求中未携带有用户设备UE的第一身份信息时发送的，且所述密钥协商用于获得对用户设备UE的第二身份信息加密的加密密钥；

所述第二发送单元，还用于将利用所述加密密钥加密所述UE的第二身份信息，发送给所述网络侧。

基于上述方案，所述第二协商单元，具体用于与所述网络侧进行共享密钥的协商；其中，所述共享密钥用于会话密钥的生成。

基于上述方案，所述装置还包括：

第二生成单元，用于生成第一随机数；基于所述共享密钥和所述第一随机数，生成所述加密密钥。

基于上述方案，所述第二生成单元，还用于生成第二随机数；基于所述共享密钥和所述第二随机数，生成完整性密钥；

所述装置还包括：

完整性保护单元，用于利用所述完整性密钥，对所述第二身份信息进行完整性保护。

基于上述方案，所述第二生成单元，用于根据所述共享密钥生成第二会话密钥；

所述装置还包括：

第二验证单元，用于通过与所述网络侧进行信息交互，验证所述第二会话密钥和所述网络侧根据所述共享密钥生成的第一会话密钥是否一致。

基于上述方案，所述第二接收单元，用于接收网络侧在确定出有受到预定类型的攻击时，发送的哈希挑战指示；

所述装置还包括：

响应单元，用于响应所述哈希挑战指示，向所述网络侧返回哈希挑战响应；

所述第二协商单元，用于当所述哈希挑战响应确定出哈希挑战成功时，与所述网络侧进行密钥协商。

本发明实施例提供的信息处理方法及装置，在判断出附着请求中没有携带一身份信息时，将进行密钥协商，形成加密第二身份信息的加密密钥，这样可以使UE加密向网络侧加密传输第二身份信息，这样可以减少以明文传输第二身份信息导致的信息泄露问题，提升第二身份信息的使用安全性。

附图说明

图1为本发明实施例提供的第一种信息处理方法的流程示意图；

图2为本发明实施例提供的第二种信息处理方法的流程示意图；

图3为本发明实施例提供的第一种信息处理装置的结构示意图；

图4为本发明实施例提供的第二种信息处理装置的结构示意图；

图5为本发明实施例提供的第三种信息处理装置的结构示意图。

具体实施方式

以下结合说明书附图及具体实施例对本发明的技术方案做进一步的详细阐述。

如图1所示，本实施例提供一种信息处理方法，包括：

步骤S110：接收用户设备UE发送的附着请求；

步骤S120：判断所述附着请求中是否有携带第一身份信息；

步骤S130：当所述附着请求中未携带有第一身份信息时，与所述UE进行密钥协商；其中，所述密钥协商用于获得对所述UE的第二身份信息加密的加密密钥；

步骤S140：接收所述UE利用所述加密密钥加密的发送的第二身份信息；

步骤S150：利用所述加密密钥解密所述第二身份信息；其中，所述第二身份信息用于为所述UE分配第一身份信息。

本实施例所述的信息处理方法可为应用于网络侧任意一个网元中的方法，LIRU例如应用于移动管理实体(Mobility Management Entity，MME)或归属签约用户服务器(Home Subscriber Server，HSS)等网元中的方法。在本实施例中这些网元可以统称为控制面认证单元(Control Plane-Authentication Unit，CP-AU)。这些实体可以通过基站与用户设备进行信息交互。

在本实施例中接收到用户设备发送的附着请求之后，先判断附着请求中是否携带有第一身份信息，若UE已经被分配了第一身份信息，则UE的附着请求中就会携带第一身份信息，若UE还未分配第一身份信息，则所述附着请求中将不会携带所述第一身份信息，或者，若所述UE被分配了第一身份信息，且该第一身份信息可用，则所述附着请求中会携带所述第一身份信息，否则就不会携带，需要网络侧重新分配所述第一身份信息。这里的第一身份信息可为临时分配给UE使用的临时身份信息，例如，所述第一身份信息可包括全球唯一临时UE标识(Globally Unique Temporary UE Identity，GUTI)。当然，这里的第二身份信息可为网络侧生成所述第一身份信息的参考因素，例如，需要建立所述第一身份信息和所述第二身份信息的对应关系，方便网络侧根据所述第一身份信息识别各个UE。

而在分配第一身份信息的过程中，为了方便后续用户设备的识别，需要建立该UE的第二身份信息与第一身份信息的对应关系，故需要获取该UE的第二身份信息。在现有技术中，可能就会直接向UE发送指示，让UE上报第二身份信息。通常此时，所述UE就会明文上报所述第二身份信息，这样显然为窃取所述UE的第二身份信息的非法者提供了可趁之机，导致了UE的第二身份信息的泄漏。而在本实施例中首先会执行所述步骤S130将进行密钥协商，生成加密密钥。在本实施例中所述密钥协商可包括与UE进行多次数据交互，以生成加密密钥。

在本实施例中所述步骤S130中的密钥交互，可以为任意一种密钥协商，例如，可以是对称密钥协商，也可以是非对称密钥的协商，总之，密钥协商生成的密钥在本实施例中都称为加密密钥。

在步骤S140中将接收到利用加密密钥加密后的第二身份信息。这样在传输过程中，UE的第二身份信息不会以明文传输，非法者窃取到之后不一定知道当前窃取的为UE的第二身份信息，即便知道也不一定能够正确解读出UE的第二身份信息，显然避免了在网络中以明文传输所述UE的第二身份信息导致的第二身份信息的泄漏，减少了UE的第二身份信息的泄漏可能性，提升了UE的第二身份信息的安全性。这里的第二身份信息可为与所述第一身份信息不同的另一个可以唯一标识所述UE的身份信息，可为正式身份信息，可认为是永久分配给所述UE的身份信息，例如，所述UE的国际移动用户识别码(International Mobile Subscriber Identification Number，IMSI)。当然在本实施例中所述第二身份信息还可以是分配给UE的网络切片标识以及网络接入标识符等。

在一些实施例中，所述方法，还包括：

判断所述UE是否完成共享密钥的协商；其中，所述共享密钥用于会话密钥的生成；

所述当所述附着请求中未携带有第一身份信息时，与所述UE进行密钥协商，包括：

当所述附着请求中未携带有第一身份信息时且所述UE未完成共享密钥的协商时，与所述UE进行所述共享密钥的协商；基于所述共享密钥的协商生成所述加密密钥。

在本实施例中所述共享密钥可为利用迪菲赫尔曼(Diffie-Hellman，DH)密钥协商，生成的共享密钥DH密钥或称为K_DH。通常所述共享密钥是用于安全模式命令阶段用于导出确定所述UE当前是否有受到预定类型的攻击的中间信息。在本实施例中所述DH密钥协商可包括各种类型的DH密钥协商，例如，普通的DH密钥协商以及椭圆曲线DH密钥协商。且在本实施例中所述共享密钥还用于生成所述会话密钥，这样就改变了现有技术中仅依据根密钥推导所述会话密钥，由于根密钥的泄露导致的推导出的密钥容易被破解及安全性不高的问题。此外，生成所述会话密钥的过程中，还会使用到认证向量；若认证向量在不安全的链路传输，则可能会导致认证向量的泄露，而在本实施例中由于引入了共享密钥作为所述会话密钥的生成依据，即便所述认证向量泄露了，非法攻击者也无法直接获得所述会话密钥，显然增大了会话密钥被窃取的难度，提升了会话密钥的安全性。

在现有技术中，通常密钥协商是在进入安全模式命令阶段之后进行的，在本实施例中将其提前到UE的附着请求触发的附着流程中。这样后续在安全模式命令阶段，就不用再进行所述共享密钥的协商了，这样就减少了UE与网络侧交互的信令，简化信息交互流程，减少了UE的功耗。且在本实施例中所述共享密钥还用于生成所述会话密钥，这样就改变了现有技术中仅依据根密钥推导所述会话密钥，导致的推导出的密钥容易被破解及安全性不高的问题。此外，在本实施例中在附着请求触发了密钥协商，一方面可以对所述UE的第二身份信息进行加密保护，与此同时UE和CP-AU都会保存着所述共享密钥，另外下一次发送附着请求时，可以利用首次协商保存的共享密钥生成所述加密密钥，以进行下一次所述第二身份信息的加密保护，以简化下一次的密钥协商。

进一步地，所述步骤S130可包括：

基于与所述UE的共享密钥的协商，生成所述共享密钥；

其中，所述共享密钥和随机产生的第一随机数，共同用于生成所述加密密钥。

完成所述共享密钥的协商之后，UE将随机产生一个第一随机数，该第一随机数和共享密钥，共同生成所述加密密钥。当然在具体实现时，所述CP-AU还会接收到所述第一随机数，以结合所述共享密钥生成所述加密密钥，方便后续利用所述加密密钥解密所述UE的第二身份信息。解密出的第二身份信息可用于进行各种认证，从而获得所述UE的第一身份信息。例如，利用所述第二身份信息进行认证与密钥协商协议(Authentication and Key Agreement,，AKA)认证。

为了确保信息在传输过程中的完整性，在本实施例中，所述共享密钥和随机产生的第二随机数，共同用于生成完整性密钥；所述完整性密钥用于对所述第二身份信息进行完整性保护。这里的第二随机数也可以是UE随机产生的，后续网络侧会从UE发送的信息中接收到，并结合所述共享密钥生成完整性密钥，对UE发送的第二身份信息进行完整性验证，以确保第二身份信息在传输中没有被篡改或泄漏。此外，所述方法还包括：

根据所述共享密钥生成所述第一会话密钥；

通过与所述UE进行信息交互，验证所述第一会话密钥和所述UE根据所述共享密钥生成的第二会话密钥是否一致。

具体的验证方法，可包括：利用所述第一会话密钥对第一信息进行完整性计算，得到第一信息验证码；

将所述第一信息及第一信息验证码发送给所述UE；其中，所述第一信息用于触发所述UE利用自身生成的第二会话密钥对第一信息进行完整性计算得到第二信息验证码，并将所述第二信息验证码与所述第一信息验证码进行比对，验证所述第一会话密钥和所述第二会话密钥是否相同；所述第二会话密钥是基于所述共享密钥生成的，这样就在UE侧完成了两个会话密钥的验证；

接着，所述UE可以将验证的结果告知网络侧即可；这样的话，验证双方就都知道了验证结果。当然，本实施例所述的方法还可包括：UE侧利用第二会话密钥对第二信息进行完整性验证，得到第三信息验证码；这样网络侧接收到UE侧发送的第二信息及第三信息验证码，网络侧的CP-AU将利用第一会话密钥对所述第二信息完整性计算，得第四信息验证验证码，将计算得到的验证码与第三信息验证码比对，比对出一致可认为网络侧完成两个会话密钥的验证且验证通过。当然验证的方法还有很多，例如可以通过加密解密的方式进行验证，例如，有第一会话密钥解密所述第一信息，UE侧利用第二会话密钥进行解密，若解密后不是乱码则可认为验证通过。总之，验证的方式有多种，不局限于上述任意一种。

在本实施例中所述DH密钥协商过程中，还引入了网络侧和UE生成的会话密钥的验证过程，以确保UE侧和网络侧生成的会话密钥的一致性，从而可以减少现有技术中由于网络侧和UE生成的会话密钥的不一致导致的后续会话失败的问题。UE侧，发现验证不同过时，可种终止附着请求触发的附着流程，若验证通过，可继续后续步骤，例如在本实施例中还会进行网络侧的验证，若网络侧验证不同，也可以终止所述附着流程，否则继续后续验证。

此外，所述方法还包括：

确定当前所述是否有受到预定类型的攻击；

当受到预定类型的攻击时，向所述UE发送哈希挑战指示；

接收所述UE基于所述哈希挑战指示返回的哈希挑战响应；

所述步骤S130可包括：

当所述哈希挑战响应指示哈希挑战成功时，与所述UE进行密钥协商。

在本实施例中所述网络侧会检测是否收到预定类型的攻击，例如，检测是否收到拒绝服务(Denial of Service，DoS)攻击。不同类型的攻击，具有不同的确定方法。例如，所述DoS攻击，可以判断网络侧的资源使用率是否超过预设的阈值，若超过，可认为当前受到所述DoS攻击。为了避免所述预定类型的攻击导致的问题，例如，所述DoS攻击导致的反复发起附着流程的问题。在本实施例中会发送哈希挑战指示。若UE能够完成哈希挑战，则可认为与当前UE进行真实信息交互是不存在问题的，故将进入步骤S130进行加密密钥的协商。例如，所述哈希挑战指示可包括哈希值，该哈希值是一个n位的数x与附着请求经过预定哈希处理得到的。UE接收到哈希值之后，将利用预定哈希处理，得到另一个数y，并将该y通过所述哈希挑战响应发送给网络侧，网络侧比对x和y，若y等于x可认为哈希挑战成功，否则失败。当然，哈希挑战的方法还很多，不局限于上述方法。例如，还可以将n位的x与某一个预定消息哈希得到所述哈希值。在本实施例利用x与附着请求，由于不同的UE发送的附着请求中携带的消息可能不同，从而相对于静态设置的预定消息，可以提升安全性。

所述方法还包括：

根据受到所述预定类型的攻击的严重程度信息，确定所述哈希挑战的难易程度。

例如，在本实施例中可以决定所述n的值，若n越大，则哈希挑战的难度越大。例如，可以根据目前服务器的资源使用率的高低，确定所述n。在本实施例中所述服务器的资源使用率的高低与所述n的取值大小，可呈正比。这里的服务器的资源使用率可为处理器的使用率、带宽的使用率和/或存储资源的使用率等。故在本实施例中将结合预定类型的攻击的严重程度信息，确定哈希挑战的难易程度，这样实现了哈希挑战与受到的攻击的验证程度的匹配，更好的实现了攻击防御。

如图2所示，本实施例提供一种信息处理方法，包括：

步骤S210：向网络侧发送附着请求；

步骤S220：与网络侧进行密钥协商；其中，所述密钥协商是在所述网络侧确定出所述附着请求中未携带有用户设备UE的第一身份信息时发送的，且所述密钥协商用于获得对用户设备UE的第二身份信息加密的加密密钥；

步骤S230：将利用所述加密密钥加密所述UE的第二身份信息，发送给所述网络侧。

本实施例所述的信息处理方法可为应用于UE中的信息处理方法。在步骤S210中所述UE在需要附着到网络时，向网络侧的基站发送所述附着请求。且UE在发送附着请求时，若发现自身已经被分配了第一身份信息或不仅分配了第一身份信息且分配的第一身份信息可用时，则会将所述第一身份信息携带在所述附着请求中。

这样方便网络侧接收到所述附着请求之后，判断所述UE是否已经被分配了第一身份信息和/或分配给UE的第一身份信息是否可用。

在步骤S220中若UE被网络侧确定出未分配第一身份信息和/或第一身份信息不可用，网络侧需要获得UE的第二身份信息，但是为了提升第二身份信息的安全性，则需要和UE首先进行密钥协商，协商出可以加密所述UE的第二身份信息传输的加密密钥。故在步骤S220中UE将与网络侧进行密钥协商，这里的密钥协商可包括数据交互，从而各自生成可以加密所述第二身份信息的密钥。在本实施例中所述密钥协商可以为对称密钥协商和非对称密钥协商。

在步骤S230中，将会利用加密密钥加密的UE的第二身份信息发送给网络侧，显然这样提升第二身份信息在传输过程中的安全性。

在一些实施例中，所述步骤S220可包括：与所述网络侧进行共享密钥的协商；其中，所述共享密钥用于会话密钥的生成。

在本实施例中所述步骤S220中的密钥生成，可为前述DH密钥的协商，这样的话，后续在安全模式命令阶段就不用在进行DH密钥的协商和计算，可以减少UE与网络侧的数据交互量及信息计算量，减少UE因此消耗的硬件资源和功耗等。这里的DH密钥的生成，是通过DH密钥协商实现的，这里的DH密钥协商可为各种形式的DH密钥。

在一些实施例中，所述方法还包括：

生成第一随机数；

基于所述共享密钥和所述第一随机数，生成所述加密密钥。

在本实施例中所述UE可以采用随机算法生成第一随机数，利用第一随机数和共享密钥生成所述加密密钥。在具体的实现过程中，还可以引入其他常数来生成所述加密密钥。

进一步地，所述方法还包括：

生成第二随机数；

基于所述共享密钥和所述第二随机数，生成完整性密钥；

所述方法还包括：

利用所述完整性密钥，对所述第二身份信息进行完整性保护。

这里的第二随机数，也可以UE采用随机算法生成的，在后续与网络侧的信息交互过程中，所述UE会将所述第一随机数和所述第二随机数分别发送给网络侧，方便网络侧也结合随机数和共享密钥生成加密密钥和完整性密钥。当然在生成完整性密钥生成的过程中，也可以引入其他生成因素，例如，引入另一个常数，利用密钥生成算法生成所述完整性密钥。

在一些实施例中，所述方法还包括：

根据所述共享密钥生成第二会话密钥；

通过与所述网络侧进行信息交互，验证所述第二会话密钥和所述网络侧根据所述共享密钥生成的第一会话密钥是否一致。

在本实施例中UE通过与网络侧的认证请求消息及验证的结果的交互，可以实现会话密钥的验证，可以避免网络侧和UE生成的会话密钥的不一致导致的会话失败的问题。这里的会话密钥的验证详细描述，可以参见前述实施例。

此外，所述方法还包括：

接收网络侧在确定出有受到预定类型的攻击时，发送的哈希挑战指示；

响应所述哈希挑战指示，向所述网络侧返回哈希挑战响应；

所述步骤S220可包括：

当所述哈希挑战响应确定出哈希挑战成功时，与所述网络侧进行密钥协商。

在本实施例中所述预定类型的攻击，可为前述DoS攻击。在本实施例中UE通过所述哈希挑战指示的接收，以及哈希挑战的处理，形成哈希挑战响应的成功时，才进行所述步骤S220，可以防御所述DoS攻击等。

如图3所示，本实施例提供一种信息处理装置，包括第一接收单元110、判断单元120、第一协商单元130及解密单元140：

所述第一接收单元110，用于接收用户设备UE发送的附着请求；

所述判断单元120，用于判断所述附着请求中是否有携带第一身份信息；

所述第一协商单元130，用于当所述附着请求中未携带有第一身份信息时，与所述UE进行密钥协商；其中，所述密钥协商用于获得对所述UE的第二身份信息加密的加密密钥；

所述第一接收单元110，用于接收所述UE利用所述加密密钥加密的发送的第二身份信息；

所述解密单元140，用于利用所述加密密钥解密所述第二身份信息；其中，所述第二身份信息用于为所述UE分配第一身份信息。

本实施例提供了一种信息处理装置，该信息处理装置可为应用于MME或HSS等CP-AU中的信息处理结构。

所述第一接收单元110及所述第一协商单元130对应的物理结构可包括通信接口。该通信接口可用于接收UE发送的数据。

所述第一协商单元130对应的硬件结构还可包括处理器或处理电路。

所述判断单元120和所述解密单元140同样可对应于处理器或处理电路。所述处理器可包括中央处理器CPU、数字信号处理器DSP、微处理器MCU、数字信号处理器DSP或应用处理器AP或可编程阵列PLC等。所述处理电路可包括专用集成电路。所述处理器或处理电路可通过预定代码的执行，可以实现上述判断单元120、第一协商单元130及解密单元140的数据处理，从而通过密钥的协商，避免所述UE的第二身份信息的明文传输，提升UE的第二身份信息的保护。

在一些实施例中，所述判断单元120，还用于判断所述UE是否完成共享密钥的协商；其中，所述共享密钥用于会话密钥的生成；

所述第一协商单元130，具体用于当所述附着请求中未携带有第一身份信息时且所述UE未完成共享密钥的协商时，与所述UE进行所述共享密钥的协商；基于所述共享密钥的协商生成所述加密密钥。

在本实施例中所述判断单元120，具体用于进行共享密钥的协商，在本实施例将共享密钥的协商作为所述加密密钥的协商，这样可以利用共享密钥的协商，完成加密密钥的协商，后续也不用再重复所述共享密钥的协商，简化了与UE之间的信息交互，减少密钥的计算量。在本实施例中所述协商可为前述任意一种DH密钥协商。

在一些实施例中，所述第一协商单元130，还用于基于与所述UE的共享密钥的协商，生成所述共享密钥；其中，所述共享密钥和随机产生的第一随机数，共同用于生成所述加密密钥。在本实施例中所述共享密钥用于和第一随机数，共同生成加密密钥。

在一些实施例中，所述共享密钥和随机产生的第二随机数，共同用于生成完整性密钥；所述完整性密钥用于对所述第二身份信息进行完整性保护。

在本实施例中同时利用共享密钥生成加密密钥和完整性密钥，这样利用加密密钥可以对第二身份信息进行加密保护，还可以利用完整性密钥对第二身份信息进行保证性保护。

在一些实施例中，所所述装置还包括第一生成单元及第一验证单元：所述第一生成单元，用于根据所述共享密钥生成所述第一会话密钥；所述第一验证单元，用于通过与所述UE进行信息交互，验证所述第一会话密钥和所述UE根据所述共享密钥生成的第二会话密钥是否一致。

在本实施例中还会对进行网络侧和UE侧，分别基于共享密钥生成的会话密钥进行密钥的验证，可以通过验证减少因为网络侧和UE侧生成的会话密钥不一致导致后续的会话失败的现象。

在一些实施例中，所述装置还包括确定单元及第一发送单元：

所述确定单元，用于确定当前是否有受到预定类型的攻击；所述第一发送单元，用于当受到预定类型的攻击时，向所述UE发送哈希挑战指示；所述第一接收单元110，用于接收所述UE基于所述哈希挑战指示返回的哈希挑战响应；所述第一协商单元130，用于当所述哈希挑战响应指示哈希挑战成功时，与所述UE进行密钥协商。

在本实施例中还会在检测到受到预定类型的攻击时，可以进行哈希挑战的处理，从而防御所述预定类型的攻击。进一步地，所述确定单元，还用于根据受到所述预定类型的攻击的严重程度信息，确定所述哈希挑战的难易程度。这样可以针对不同严重程度预定类型的攻击，实现不同难度的哈希挑战的处理，以平衡计算量和安全性的处理。

如图4所示，本实施例还提供了一种信息处理装置，包括：

第二发送单元210，用于向网络侧发送附着请求；

第二协商单元220，用于与网络侧进行密钥协商；其中，所述密钥协商是在所述网络侧确定出所述附着请求中未携带有用户设备UE的第一身份信息时发送的，且所述密钥协商用于获得对用户设备UE的第二身份信息加密的加密密钥；

所述第二发送单元220，还用于将利用所述加密密钥加密所述UE的第二身份信息，发送给所述网络侧。

本实施例所述信息处理装置，可为运行在UE中的信息处理装置，通过在附着请求触发的密钥协商，可以减少UE以明文的形式向网络侧发送第二身份信息，减少第二身份信息暴露的风险，提升第二身份信息的安全性。

所述第二发送单元220可对应于UE中的发送天线等通信接口。所述第二协商单元220可包括处理器或处理电路。这里的处理器或处理电路可参见前述实施例中，此处就不在重复了。同样所述处理器或处理电路可通过预定代码的执行，完成所述密钥协商。

在一些实施例中，所述第二协商单元220，具体用于与所述网络侧进行共享密钥的协商；其中，所述共享密钥用于会话密钥的生成。例如，通过DH密钥协商，获得所述共享密钥。

在一些实施例中，所述装置还包括：第二生成单元，用于生成第一随机数；基于所述共享密钥和所述第一随机数，生成所述加密密钥。

这里的第一随机数可为随机生成的任意的一个数值，所述共享密钥和第一随机数生成加密密钥。

在一些实施例中，所述第二生成单元，还用于生成第二随机数；基于所述共享密钥和所述第二随机数，生成完整性密钥；所述装置还包括：完整性保护单元，用于利用所述完整性密钥，对所述第二身份信息进行完整性保护。

所述第一随机数和所述第二随机数都是随机生成的，可以相同，也可以不同，在具体的实现过程中，所述第一随机数和所述第二随机优选为不同。所述第二生成单元在生成随机数，发现两个随机数相同，则可以至少重新生成第一随机数和第二随机数中的一个，从而可以方便生成不同的加密密钥和完整性密钥。但是在一些实施例中，生成所述加密密钥和所述完整性密钥的算法可以相同，也可以不同，在本实施例中优选为不同，以提升第二身份信息的安全性和隐私性。

在一些实施例中，所述第二生成单元，用于根据所述共享密钥生成第二会话密钥；所述装置还包括第二验证单元，用于通过与所述网络侧进行信息交互，验证所述第二会话密钥和所述网络侧根据所述共享密钥生成的第一会话密钥是否一致。

这里的第二生成单元，还会生成第二会话密钥。所述第二验证单元对应的物理结构同样可为处理器或处理电路，处理器或处理电路通过预定代码的执行，可以实现会话密钥的验证，避免网络侧和UE侧生成的会话密钥的不同导致的问题。

在一些实施例中，所述第二接收单元，用于接收网络侧在确定出有受到预定类型的攻击时，发送的哈希挑战指示；所述装置还包括：响应单元，用于响应所述哈希挑战指示，向所述网络侧返回哈希挑战响应；所述第二协商单元220，用于当所述哈希挑战响应确定出哈希挑战成功时，与所述网络侧进行密钥协商。

在本实施例中所述装置还引入了响应单元，该响应单元的物理结构同样可对应于处理器或处理电路。所述处理器或处理电路可通过代码执行，实现哈希挑战的处理。所述第二协商单元，将在哈希挑战成功时，才进行密钥协商；这样可以避免在收到预定类型的攻击时，还进行密钥协商导致协商的密钥被泄漏，从而导致的UE的第二身份信息的泄漏的问题。

以下结合上述实施例提供一个具体的示例：

本示例提供一种信息处理方法，可分为多个阶段；如图5所示，所述阶段可包括身份管理阶段、AKA阶段及安全模式命令阶段。在图5中身份管理阶段可包括步骤1-5；所述AKA阶段可包括步骤6-8；安全模式命令阶段可包括步骤9、10。本示例提供的信息处理方法可具体包括：

1：UE向CP-AU发送附着请求，以发起附着流程。

2：CP-AU发送身份请求，并携带有哈希挑战指示，具体可包括：CP-AU判断出附着请求中未携带GUTI等临时身份信息，并检测到CP-AU与UE是否已将建立了DH密钥KDH。若附着请求中未携带GUTI等临时身份信息且未与UE建立DH密钥，则发送身份请求。CP-AU将进入第6步。否则，CP-AU发送身份请求返回给UE，其可选地包括用以挫败DoS攻击的哈希挑战指示。如果附着请求消息中不含有临时身份，CP-AU同样也发身份请求消息给UE。如果CP-AU确定自己受到DoS攻击，CP-AU就会把哈希挑战指示嵌入到身份请求里。哈希挑战的构造方法如下：CP-AU随机生成与二进制长度为n的正整数x，并计算x和附着请求的哈希值，即hash(x，附着请求)，其中n是由CP-AU使用资源的程度确定的，使用资源程度越高，n值越大。hash(x，附着请求)和n构成哈希挑战。

2a：UE解出哈希挑战，生成DH私钥KU_pri，并计算DH公钥KU_pub。步骤2a具体可包括：UE在收到身份请求消息，如果哈希挑战指示存在，UE将首先尝试找到正确的整数x`，通过比较hash(x`，附着请求)是否与hash(x，附着请求)相等得出。整数x`作为哈希响应。UE生成DH私钥KU_pri，并计算相应的DH公钥KU_pub。

3：UE将DH公钥KU_pub及哈希挑战响应发送给CP-AU。

3a：验证哈希挑战响应，生成DH私钥KC pri并计算DH公钥KC_pub推导UE和CP-AU间的共享密钥K_DH。步骤3a具体可包括：接收来自UE的响应后，如果哈希响应包括在该消息中，CP-AU把它与x进行比较。CP-AU将中止附着流程，如果哈希响应不等于x。否则，CP-AU生成DH私钥KC_pri，并计算相关的DH公钥KC_pub。此外，CP-AU通过使用其私钥KC_pri和UE的公钥KU_pub派生出与UE之间的共享密钥K_DH。

4：CP-AU向UE发送DH公钥KC_pub，具体可包括正常进行DH密钥协商。

4a：UE推到出和CP-AU间共享密钥K_DH，生成随机数nonce，使用nonce和K_DH计算加密密钥K_E。步骤4a具体可包括：接收KC_pub后，UE通过使用其私钥KU_pri和CP-AU的公钥KC_pub派生出与CP-AU之间的共享密钥K_DH。为了加密UE的正式身份信息，UE产生一个随机数nonce，并导出加密密钥K_E和完整性密钥K_M。K_E和K_M的计算方法如下：

K_E＝KDF(nonce,K_DH,C1)；

K_M＝KDF(nonce,K_DH,C2)；

这里KDF是密钥推导函数。如果采用认证加密方法用于加密UE的身份，只要生成加密密钥K_E。所述C1和C2为两个常数。所述随机数nonce、K_DH,C1为生成加密密钥的已知量。所述nonce,K_DH及C2为生成完整性密性密钥的已知量。这里的K_M用于进行完整性验证。在本示例中，所述完整性密钥和所述加密密钥的生成都可以采用同一个所述随机数nonce。

5：UE将nonce以及K_E加密后的正式身份信息及MAC0发送给CP-AU。所述步骤5可包括：UE推导出加密密钥K_E和完整性密钥K_M。UE首先利用K_E加密正式身份信息，并利用K_M计算该消息的验证码MAC0，并传输给CP-AU。这里的正式身份信息对应于前述的第二身份信息。

6：CP-AU向认证授权记账(Authentication Authorization Accounting，AAA)服务器发送认证数据请求。该认证数据请求携带有所述UE的正式身份信息。所述步骤6可具体包括：以UE同样的方式，CP-AU导出加密密钥K_E和完整性密钥K_M。CP-AU它首先验证MAC0，如果验证成功，则CP-AU用K_E解密消息的加密部分，以获得UE的正式身份信息，否则，CP-AU终止附着流程。

7：AAA服务器向CP-AU发送认证向量，具体可包括：AAA服务器根据UE的正式身份信息查找UE的根密钥Ki，并依据根密钥Ki计算出认证向量。然后AAA服务器发送认证向量给CP-AU。

8：CP-AU与UE相互认证，具体可包括：基于AAA服务器发送的认证向量，计算出中间密钥K_mid，包括：UE和CP-AU分别推到K_mid并使用K_mid和K_DH计算会话密钥Ks。例如，可利用Ks＝KDF(K_DH,K_mid)计算得到所述会话密钥Ks。

9：CP-AU向UE发送安全模式命令消息及MAC1，具体可包括：CP-AU发送安全模式命令消息给UE，该安全模式命令消息的认证码MAC1是通过使用会话密钥Ks来计算。

10：UE向CP-AU发送安全模式完成消息及MAC2给CP-AU，可具体包括：UE通过使用会话密钥Ks验证所接收的MAC1。如果验证失败，则UE终止附着流程。否则，UE用安全模式完成消息响应CP-AU，其消息认证码MAC2是通过使用会话密钥Ks来计算。接到安全模式完成消息后，CP-AU检查MAC2的正确性。如果检查失败，CP-AU中止附着流程。否则，UE和CP-AU完成附着流程。这里的MAC2和MAC1可相当于前述会话密钥验证过程中的信息验证码。

UE和CP-AU在分别成功验证MAC1和MAC2后可以保证他们拥有相同的会话密钥Ks。这进一步意味着，他们已经拥有相同的共享密钥K_DH。最后密钥K_DH被存储分别在UE和CP-AU里，以用于在下一次附着流程中生成新的会话密钥。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个处理模块中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。