认证方法和认证设备.pdf

《认证方法和认证设备.pdf》由会员分享，可在线阅读，更多相关《认证方法和认证设备.pdf（16页珍藏版）》请在专利查询网上搜索。

1、(10)申请公布号 CN 102612029 A (43)申请公布日 2012.07.25 C N 1 0 2 6 1 2 0 2 9 A *CN102612029A* (21)申请号 201110022021.X (22)申请日 2011.01.19 H04W 12/04(2009.01) H04W 12/06(2009.01) (71)申请人华为技术有限公司 地址 518129 广东省深圳市龙岗区坂田华为 总部办公楼 (72)发明人张冬梅 陈璟 (74)专利代理机构北京同立钧成知识产权代理 有限公司 11205 代理人刘芳 (54) 发明名称 认证方法和认证设备 (57) 摘要 本发明提供。

2、一种认证方法和认证设备。该方 法包括获取签约认证后生成的第一密钥，并获取 平台认证后生成的第二密钥；根据所述第一密钥 和第二密钥进行密钥推演，得到第三密钥，根据所 述第三密钥推演NAS密钥以及AS根密钥，所述 NAS密钥用于保护NAS消息，所述AS根密钥用于 推演AS密钥，所述AS密钥用于保护AS消息和数 据。本发明实施例可以提高安全保护能力。 (51)Int.Cl. 权利要求书3页 说明书7页 附图5页 (19)中华人民共和国国家知识产权局 (12)发明专利申请 权利要求书 3 页 说明书 7 页 附图 5 页 1/3页 2 1.一种认证方法，其特征在于，包括： 获取签约认证后生成的第一密钥。

3、，并获取平台认证后生成的第二密钥； 根据所述第一密钥和第二密钥进行密钥推演，得到第三密钥，根据所述第三密钥推演 非接入层NAS密钥以及接入层AS根密钥，所述NAS密钥用于保护NAS消息，所述AS根密钥 用于推演AS密钥，所述AS密钥用于保护AS消息和数据。 2.根据权利要求1所述的方法，其特征在于，所述获取平台认证后生成的第二密钥，包 括： 接收锚点基站DeNB发送的第二密钥，所述第二密钥为所述DeNB与中继节点RN完成平 台认证后生成的； 或者， 与RN进行平台认证，生成所述第二密钥； 或者， 与DeNB进行平台认证，生成所述第二密钥，所述DeNB在与RN建立安全隧道后将所述 第二密钥发送给。

4、所述RN。 3.根据权利要求2所述的方法，其特征在于，在所述与DeNB进行平台认证，生成所述第 二密钥，所述DeNB在与RN建立安全隧道后将所述第二密钥发送给所述RN之后，所述方法 还包括： 接收所述DeNB发送的指示消息，所述指示消息中包含表明所述设备认证是否成功的 信息，如果所述指示消息包括表明所述设备认证成功的信息，进行所述根据所述第一密钥 和第二密钥进行密钥推演，得到第三密钥。 4.根据权利要求1所述的方法，其特征在于， 在所述根据所述第三密钥推演NAS密钥之后，所述方法还包括： 向RN发送采用所述NAS密钥保护的消息以启动所述RN的NAS密钥，所述消息中至少 包含如下项中的至少一项：。

5、为NAS层选择的安全算法、NAS层安全开启指示信息以及NAS密 钥标识； 和/或， 在所述根据所述第三密钥推演AS根密钥之后，所述方法还包括： 向DeNB发送所述AS根密钥，以便所述DeNB根据所述AS根密钥得到AS密钥，并向所 述RN发送采用所AS密钥保护的消息以启用所述RN的AS密钥，所述消息中至少包含如下 项中的至少一项：为AS层选择的安全算法、AS层安全开启指示信息以及AS密钥标识。 5.根据权利要求1所述的方法，其特征在于，还包括： 当所述第一密钥发生变化，根据变化后的第一密钥，以及所述第二密钥，推演更新后的 第三密钥，并根据所述更新后的第三密钥推演更新后的NAS密钥以及更新后的AS。

6、根密钥； 或者， 当所述第二密钥发生变化，根据变化后的第二密钥，以及所述第一密钥，推演更新后的 第三密钥，并根据所述更新后的第三密钥推演更新后的NAS密钥以及更新后的AS根密钥； 或者， 当所述第一密钥发生变化，且所述第二密钥发生变化，根据变化后的第一密钥以及变 化后的第二密钥，推演更新后的第三密钥，并根据所述更新后的第三密钥推演更新后的NAS 权 利 要 求 书CN 102612029 A 2/3页 3 密钥以及更新后的AS根密钥。 6.根据权利要求2所述的方法，其特征在于，所述与RN进行平台认证，生成所述第二密 钥，包括： 与RN进行平台认证，将生成的随机数作为所述第二密钥，或者，根据认证。

7、生成的共享 密钥得到所述第二密钥。 7.一种认证设备，其特征在于，包括： 获取模块，用于获取签约认证后生成的第一密钥，并获取平台认证后生成的第二密 钥； 推演模块，用于根据所述获取模块获取的第一密钥和第二密钥进行密钥推演，得到第 三密钥，根据所述第三密钥推演非接入层NAS密钥以及接入层AS根密钥，所述NAS密钥用 于保护NAS消息，所述AS根密钥用于推演AS密钥，所述AS密钥用于保护AS消息和数据。 8.根据权利要求7所述的设备，其特征在于， 所述获取模块，具体用于接收锚点基站DeNB发送的第二密钥，所述第二密钥为所述 DeNB与中继节点RN完成平台认证后生成的； 或者， 与RN进行平台认证，。

8、生成所述第二密钥； 或者， 与DeNB进行平台认证，生成所述第二密钥，所述DeNB用于在与RN建立安全隧道后将 所述第二密钥发送给所述RN。 9.根据权利要求8所述的设备，其特征在于，还包括： 接收模块，用于接收所述DeNB发送的指示消息，所述指示消息中包含表明所述设备认 证是否成功的信息； 所述推演模块，具体用于如果所述接收模块接收的指示消息包括表明所述设备认证成 功的信息，进行所述根据所述第一密钥和第二密钥进行密钥推演，得到第三密钥。 10.根据权利要求7所述的设备，其特征在于，还包括： 发送模块，用于在所述推演模块根据所述第三密钥推演NAS密钥之后，向RN发送采用 所述NAS密钥保护的消。

9、息以启动所述RN的NAS密钥，所述消息中至少包含如下项中的至少 一项：为NAS层选择的安全算法、NAS层安全开启指示信息以及NAS密钥标识；和/或，在所 述根据所述第三密钥计算AS根密钥之后，向DeNB发送所述AS根密钥，以便所述DeNB根据 所述AS根密钥得到AS密钥，并向所述RN发送采用所AS密钥保护的消息以启用所述RN的 AS密钥，所述消息中至少包含如下项中的至少一项：为AS层选择的安全算法、AS层安全开 启指示信息以及AS密钥标识。 11.根据权利要求7所述的设备，其特征在于，还包括： 更新模块，用于当获取模块获取的所述第一密钥发生变化，根据变化后的第一密钥，以 及所述获取模块获取的第。

10、二密钥，推演更新后的第三密钥，并根据所述更新后的第三密钥 推演更新后的NAS密钥以及更新后的AS根密钥；或者，当所述第二密钥发生变化，根据变化 后的第二密钥，以及所述第一密钥，推演更新后的第三密钥，并根据所述更新后的第三密钥 推演更新后的NAS密钥以及更新后的AS根密钥；或者，当所述第一密钥发生变化，且所述第 二密钥发生变化，根据变化后的第一密钥以及变化后的第二密钥，推演更新后的第三密钥， 权 利 要 求 书CN 102612029 A 3/3页 4 并根据所述更新后的第三密钥推演更新后的NAS密钥以及更新后的AS根密钥。 12.一种认证方法，其特征在于，包括： 获取签约认证后生成的第一密钥，。

11、并与DeNB进行平台认证，生成第二密钥，所述DeNB 在与中继节点RN建立安全隧道后将所述第二密钥发送给所述RN； 接收所述DeNB发送的指示消息，所述指示消息中包含表明所述设备认证是否成功的 信息，如果所述指示消息包括表明所述设备认证未成功的信息，则释放与所述RN的连接。 13.一种认证设备，其特征在于，包括： 获取模块，用于获取签约认证后生成的第一密钥，并与锚点基站DeNB进行平台认证， 生成所述第二密钥； 释放模块，用于在所述DeNB在与中继节点RN建立安全隧道后将所述获取模块获取的 第二密钥发送给所述RN后，接收所述DeNB发送的指示消息，所述指示消息中包含表明所述 设备认证是否成功的。

12、信息，如果所述指示消息包括表明所述设备认证未成功的信息，则释 放与所述RN的连接。 权 利 要 求 书CN 102612029 A 1/7页 5 认证方法和认证设备 技术领域 0001 本发明涉及移动通信技术，尤其涉及一种认证方法和认证设备。 背景技术 0002 长期演进(Long Term Evolution，LTE)系统中，用户设备(UserEquipment，UE) 入网时需要完成签约认证(subscription authentication)，即完成全球用户身份模块 (Universal Subscriber Identity Module，USIM)认证，该认证由UE的卡和移动管理。

13、实 体(Mobile Management Entity，MME)间执行认证和密钥协商(Authentication and Key Agreement，AKA)过程完成。演进基站(evolution NodeB，eNB)启动时，可以和有接口的网 元间进行基于证书的密钥交换(Internet Key Exchange，IKE)认证，即平台认证(platform authentication)，并建立IPsec安全隧道，或者建立传输层安全协议(Transport Layer Security Protocol，TLS)隧道。中继节点(Relay Node，RN)是长期演进系统的进一步增 强(Lo。

14、ng Term EvolutionAdvanced，LTE-A)中引入的新的接入网节点，RN有双重角色：UE 角色和eNB角色。在引入RN后，对应的eNB和MME(mobility managemententity移动性管 理实体)分别为锚点基站(DeNB，Donor eNB)和MME_RN。 0003 RN在入网过程中，和传统的UE一样，会与MME_RN进行AKA过程，完成对RN卡(即 USIM)的认证。但是，由于RN设备与USIM之间通道的不安全性，单纯进行AKA认证很容易 被攻击者攻击，不能保证安全性。 发明内容 0004 本发明实施例是提供一种认证方法和认证设备，提高安全保护能力。 0。

15、005 本发明实施例提供了一种认证方法，包括： 0006 获取签约认证后生成的第一密钥，并获取平台认证后生成的第二密钥； 0007 根据所述第一密钥和第二密钥进行密钥推演，得到第三密钥，根据所述第三密钥 推演非接入层NAS密钥以及接入层AS根密钥，所述NAS密钥用于保护NAS消息，所述AS根 密钥用于推演AS密钥，所述AS密钥用于保护AS消息和数据。 0008 本发明实施例提供一种认证设备，包括： 0009 获取模块，用于获取签约认证后生成的第一密钥，并获取平台认证后生成的第二 密钥； 0010 推演模块，用于根据所述获取模块获取的第一密钥和第二密钥进行密钥推演，得 到第三密钥，根据所述第三密。

16、钥推演非接入层NAS密钥以及接入层AS根密钥，所述NAS密 钥用于保护NAS消息，所述AS根密钥用于推演AS密钥，所述AS密钥用于保护AS消息和数 据。 0011 本发明实施例提供了一种认证方法，包括： 0012 获取签约认证后生成的第一密钥，并与DeNB进行平台认证，生成第二密钥，所述 DeNB在与中继节点RN建立安全隧道后将所述第二密钥发送给所述RN； 说 明 书CN 102612029 A 2/7页 6 0013 接收所述DeNB发送的指示消息，所述指示消息中包含表明所述设备认证是否成 功的信息，如果所述指示消息包括表明所述设备认证未成功的信息，则释放与所述RN的连 接。 0014 本发。

17、明实施例提供了一种认证设备，包括： 0015 获取模块，用于获取签约认证后生成的第一密钥，并与锚点基站DeNB进行平台认 证，生成所述第二密钥； 0016 释放模块，用于在所述DeNB在与中继节点RN建立安全隧道后将所述获取模块获 取的第二密钥发送给所述RN后，接收所述DeNB发送的指示消息，所述指示消息中包含表明 所述设备认证是否成功的信息，如果所述指示消息包括表明所述设备认证未成功的信息， 则释放与所述RN的连接。 0017 由上述技术方案可知，本发明实施例不仅进行卡认证，还进行设备认证，通过对卡 认证生成的第一密钥和设备认证生成的第二密钥进行密钥推演得到第三密钥，采用第三密 钥得到NAS。

18、密钥和AS密钥并进行安全保护，可以提高安全保护能力。 附图说明 0018 为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使 用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本 领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他 的附图。 0019 图1为本发明第一实施例的方法流程示意图； 0020 图2为本发明第二实施例的方法流程示意图； 0021 图3为本发明第三实施例的方法流程示意图； 0022 图4为本发明第四实施例的方法流程示意图； 0023 图5为本发明第五实施例的设备的结构示意图； 0024 图6为本发。

19、明第六实施例的方法流程示意图； 0025 图7为本发明第七实施例的设备的结构示意图。 具体实施方式 0026 为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例 中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是 本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员 在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。 0027 图1为本发明第一实施例的方法流程示意图，包括： 0028 步骤11：RN的MME(MME_RN)获取签约认证后生成的第一密钥，并获取平台认证后 生成的第二密钥； 002。

20、9 步骤12：MME_RN根据所述第一密钥和第二密钥进行密钥推演，得到第三密钥， 根据所述第三密钥推演非接入层(Non-Access Stratum，NAS)密钥以及接入层(Access Stratum，AS)根密钥，所述NAS密钥用于保护NAS消息，所述AS根密钥用于推演AS密钥， 所述AS密钥用于保护AS消息和数据。 说 明 书CN 102612029 A 3/7页 7 0030 本实施例通过对第一密钥和第二密钥进行密钥推演得到第三密钥，采用第三密钥 推演NAS密钥和AS根密钥，可以避免单纯采用第一密钥造成的不安全问题，提高安全保护 能力。 0031 图2为本发明第二实施例的方法流程示意图。

21、，本实施例以RN与DeNB进行平台认 证生成第二密钥为例。参见图2，本实施例包括： 0032 步骤21：RN与MME_RN进行AKA过程，完成签约认证。 0033 其中，在签约认证完成后，RN和MME_RN都可以生成第一密钥Kasme。 0034 步骤22：RN与DeNB进行IKA过程，完成平台认证，并建立IPsec隧道或者TLS隧 道。 0035 步骤23：平台认证完成后，RN和DeNB生成第二密钥Ko。 0036 具体地，可以是DeNB生成随机数Ko，通过IPsec隧道或者TLS隧道发送给RN；也 可以是，在建立IPsec过程或者TLS过程中通过生成的共享密钥获得Ko。 0037 步骤24。

22、：DeNB通过S1消息将第二密钥Ko发送给MME_RN。 0038 步骤25：MME_RN根据第一密钥Kasme和第二密钥Ko，得到第三密钥Kasme。 0039 其中，MME_RN可以采用密钥推演函数KDF得到新的密钥，即KasmeKDF(Ko， Kasme)。密钥推演函数是一种现有的用于产生密钥的算法。 0040 步骤26：MME_RN向RN发送用于启动RN侧密钥的消息。 0041 例如，上述的启动RN侧密钥可以包括：启动RN侧的NAS密钥，和/或，启动RN侧 的AS层密钥。 0042 其一，为了启动RN侧的NAS密钥，可以是MME_RN向RN发送NAS安全模式命令 (Secure Mod。

23、e Command，SMC)消息。 0043 在一个实施例中，该NAS SMC消息用于启动RN侧的NAS密钥，该消息中可以包含 如下项中的至少一项：安全算法、安全开启指示信息以及NAS密钥标识。 0044 另外，该NAS SMC消息可以用NAS密钥进行保护，MME_RN在计算出第三密钥后，可 以根据第三密钥来计算NAS密钥，其中具体的计算过程可以参见现有技术中用第一密钥计 算NAS密钥的过程。 0045 另外，该用于启动RN侧的NAS密钥的消息也不限于NAS SMC，也可以采用新增的消 息。 0046 在一个实施例中，为了启动RN侧的AS密钥，可以是： 0047 MME_RN根据第三密钥计算A。

24、S根密钥KeNB，并将该AS根密钥KeNB发送给DeNB； DeNB根据该AS根密钥计算AS密钥，并向RN发送AS SMC消息，该AS SMC消息可以用计算 得到的AS密钥进行保护。其中，由AS根密钥计算AS密钥的算法可以采用通常的算法实现。 0048 该AS SMC消息用于启动RN侧的AS密钥，该消息中可以包含如下项中的至少一项： 安全算法、安全开启指示信息以及AS密钥标识。 0049 另外，该用于启动RN侧的AS密钥的消息也不限于AS SMC，也可以采用新增的消 息。 0050 在一个实施例中，可以启动RN侧的NAS密钥，并且，启动RN侧的AS层密钥。 0051 步骤27：RN根据签约认证。

25、生成的第一密钥及平台认证生成的第二密钥，推演计算 第三密钥。 说 明 书CN 102612029 A 4/7页 8 0052 例如，RN在接收到用于启动密钥的消息后，采用自身保存的Ko、Kasme推演密钥， 得到自身推演后的KasmeKDF(Ko，Kasme)，再用该推演后的密钥Kasme得到NAS密钥 以及AS根密钥，根据AS根密钥得到AS密钥。之后，可以采用该NAS密钥以及AS密钥进行 通常的安全相关过程。 0053 本实施例中，当第二密钥Ko和/或第一密钥Kasme更新后，则会引起第三密钥更 新： 0054 1)Kasme更新引发：RN与MME_RN保存Ko，当新的AKA生成的新的Kas。

26、me后，用保 存的Ko与新的Kasme运算，得到更新后的Kasme； 0055 2)Ko的更新引发：当IPsec更新时，生成新的Ko，用新的Ko与Kasme一起运算， 得到新的Kasme； 0056 3)Kasme和Ko同时更新引发：当MME_RN收到DeNB发送过来的新的Ko时，如果判 断出需要马上进行AKA，MME应该先发起AKA过程，生成新的Kasme，然后根据新的Ko，Kasme 计算新的Kasme； 0057 更新后的RN侧密钥的启动： 0058 1)MME_RN触发NAS SMC过程，启动新的NAS密钥； 0059 2)MME_RN根据更新后的Kasme计算AS根密钥KeNB，并将。

27、该AS根密钥发送给 DeNB，DeNB通过AS根密钥计算得到AS密钥，并用AS密钥保护AS SMC发送给RN以启动新 的AS密钥，或者，DeNB在计算出AS密钥后，触发小区内切换(intra-cell HO)以启动RN的 新的AS密钥。 0060 本实施例通过对第一密钥和第二密钥进行混合，可以避免单纯采用第一密钥造成 的NAS层不安全问题，保证NAS层的安全。另外，在平台认证之后将第二密钥由DeNB发送 给MME_RN，可以保证DeNB和MME_RN对RN的认证结果一致。 0061 图3为本发明第三实施例的方法流程示意图，本实施例以RN与MME_RN进行平台 认证生成第二密钥为例，参见图3，本。

28、实施例包括： 0062 步骤31：RN与MME_RN进行AKA过程，完成签约认证。 0063 其中，在签约认证完成后，RN和MME_RN都可以生成第一密钥Kasme。 0064 步骤32：RN与MME_RN进行IKA过程，完成平台认证，并建立IPsec隧道或者TLS 隧道。 0065 步骤33：平台认证完成后，RN和MME_RN生成第二密钥Ko。 0066 具体地，可以是MME_RN生成随机数Ko，通过IPsec隧道或者TLS隧道发送给RN； 也可以是，在建立IPsec过程或者TLS过程中通过生成的共享密钥获得Ko。 0067 步骤34：MME_RN根据第一密钥Kasme和第二密钥Ko，得到第。

29、三密钥Kasme。 0068 步骤35：MME_RN向RN发送用于启动RN侧密钥的消息。 0069 步骤36：RN根据签约认证生成的第一密钥及平台认证生成的第二密钥，推演计算 第三密钥。 0070 上述的步骤34-36的具体内容可以参见步骤25-27。 0071 另外，更新第三密钥以及更新后的第三密钥的启动也可以参见第二实施例的内 容。 0072 本实施例通过对第一密钥和第二密钥进行混合，可以避免单纯采用第一密钥造成 说 明 书CN 102612029 A 5/7页 9 的NAS层不安全问题，保证NAS层的安全。另外，通过RN与MME进行平台认证，可以避免 DeNB引入新的S1消息发送第二密钥。

30、。 0073 图4为本发明第四实施例的方法流程示意图，本实施例以DeNB和MME_RN进行平 台认证生成第二密钥为例，参见图4，本实施例包括： 0074 步骤41：RN与MME_RN进行AKA过程，完成签约认证。 0075 其中，在签约认证完成后，RN和MME_RN都可以生成第一密钥Kasme。 0076 步骤42：MME_RN与DeNB进行IKA过程，完成平台认证，并建立IPsec隧道或者TLS 隧道。 0077 步骤43：平台认证完成后，MME_RN和DeNB生成第二密钥Ko。 0078 具体地，可以是MME_RN生成随机数Ko，通过IPsec隧道或者TLS隧道发送给DeNB； 也可以是，。

31、MME_RN和DeNB在建立IPsec过程或者TLS过程中通过生成的共享密钥获得Ko。 0079 步骤44：RN与DeNB建立IPsec隧道或者TLS隧道，完成平台认证。 0080 步骤45：DeNB将Ko通过IPsec隧道或者TLS隧道发送给RN。 0081 步骤46：DeNB向MME_RN发送指示消息，该指示消息中包含表明平台认证是否成功 的信息以及表明已向RN发送第二密钥的信息。 0082 步骤47：如果指示消息表明RN与DeNB的平台认证成功，则MME_RN根据第一密钥 Kasme和第二密钥Ko，得到第三密钥Kasme。 0083 如果指示消息表明RN与DeNB的平台认证未成功，则MM。

32、E_RN可以释放与RN的连 接。 0084 步骤48：MME_RN向RN发送用于启动RN侧密钥的消息。 0085 步骤49：RN根据签约认证生成的第一密钥及平台认证生成的第二密钥，推演计算 第三密钥。 0086 上述的步骤47-49的具体内容可以参见步骤25-27。 0087 另外，更新第三密钥以及更新后的第三密钥的启动也可以参见第二实施例的内 容。 0088 本实施例通过对第一密钥和第二密钥进行混合，可以避免单纯采用第一密钥造成 的NAS层不安全问题，保证NAS层的安全。另外，在RN获取第二密钥之后通知MME_RN，可以 保证DeNB和MME_RN对RN的认证结果一致。 0089 图5为本发。

33、明第五实施例的设备的结构示意图，包括获取模块51和推演模块52； 获取模块51用于获取签约认证后生成的第一密钥，并获取平台认证后生成的第二密钥；推 演模块52用于根据所述第一密钥和第二密钥进行密钥推演，得到第三密钥，根据所述第三 密钥推演NAS密钥以及AS根密钥，所述NAS密钥用于保护NAS消息，所述AS根密钥用于推 演AS密钥，所述AS密钥用于保护AS消息和数据。 0090 所述获取模块51具体用于：接收DeNB发送的第二密钥，所述第二密钥为所述 DeNB与RN完成平台认证后生成的；或者，与RN进行平台认证，生成所述第二密钥；或者，与 DeNB进行平台认证，生成所述第二密钥，所述DeNB用于。

34、在与RN建立安全隧道后将所述第二 密钥发送给所述RN。 0091 本实施例还可以包括接收模块，用于接收所述DeNB发送的指示消息，所述指示消 息中包含表明所述平台认证是否成功的信息；所述推演模块具体用于如果所述指示消息包 说 明 书CN 102612029 A 6/7页 10 括表明所述设备认证成功的信息，进行所述根据所述第一密钥和第二密钥进行密钥推演， 得到第三密钥。 0092 本实施例还可以包括：发送模块，用于在所述根据所述第三密钥推演NAS密钥之 后，向RN发送采用所述NAS密钥保护的消息以启动所述RN的NAS密钥，所述消息中至少包 含如下项中的至少一项：为NAS层选择的安全算法、NAS。

35、层安全开启指示信息以及NAS密钥 标识；和/或，在所述根据所述第三密钥计算AS根密钥之后，向DeNB发送所述AS根密钥， 以便所述DeNB根据所述AS根密钥得到AS密钥，并向所述RN发送采用所AS密钥保护的消 息以启用所述RN的AS密钥，所述消息中至少包含如下项中的至少一项：为AS层选择的安 全算法、AS层安全开启指示信息以及AS密钥标识。 0093 本实施例还可以包括：更新模块，用于当所述第一密钥发生变化，根据变化后的第 一密钥，以及所述第二密钥，推演更新后的第三密钥，并根据所述更新后的第三密钥推演更 新后的NAS密钥以及更新后的AS根密钥；或者，当所述第二密钥发生变化，根据变化后的第 二密。

36、钥，以及所述第一密钥，推演更新后的第三密钥，并根据所述更新后的第三密钥推演更 新后的NAS密钥以及更新后的AS根密钥；或者，当所述第一密钥发生变化，且所述第二密钥 发生变化，根据变化后的第一密钥以及变化后的第二密钥，推演更新后的第三密钥，并根据 所述更新后的第三密钥推演更新后的NAS密钥以及更新后的AS根密钥。 0094 本实施例不仅进行签约认证，还进行平台认证，通过对签约认证生成的第一密钥 和平台认证生成的第二密钥进行密钥推演得到第三密钥，采用第三密钥得到NAS密钥和AS 密钥并进行安全保护，可以提高安全保护能力。 0095 图6为本发明第六实施例的方法流程示意图，包括： 0096 步骤61。

37、：MME_RN获取签约认证后生成的第一密钥，并与DeNB进行平台认证，生成 所述第二密钥，所述DeNB在与RN建立安全隧道后将所述第二密钥发送给所述RN； 0097 步骤62：MME_RN接收所述DeNB发送的指示消息，所述指示消息中包含表明所述设 备认证是否成功的信息，如果所述指示消息包括表明所述设备认证未成功的信息，则释放 与所述RN的连接。 0098 本实施例在平台认证未成功后释放连接，可以提高安全保护能力。 0099 图7为本发明第七实施例的设备的结构示意图，包括获取模块71和释放模块72； 获取模块71用于获取签约认证后生成的第一密钥，并与DeNB进行平台认证，生成所述第二 密钥；释。

38、放模块72用于在所述DeNB在与RN建立安全隧道后将所述获取模块71获取的第 二密钥发送给所述RN，接收所述DeNB发送的指示消息，所述指示消息中包含表明所述设备 认证是否成功的信息，如果所述指示消息包括表明所述设备认证未成功的信息，则释放与 所述RN的连接。 0100 本实施例在平台认证未成功后释放连接，可以提高安全保护能力。 0101 可以理解的是，上述方法及设备中的相关特征可以相互参考。另外，上述实施例中 的“第一”、“第二”等是用于区分各实施例，而并不代表各实施例的优劣。 0102 本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过 程序指令相关的硬件来完成，前述的。

39、程序可以存储于计算机可读取存储介质中，该程序在 执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光 盘等各种可以存储程序代码的介质。 说 明 书CN 102612029 A 10 7/7页 11 0103 最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽 管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然 可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替 换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精 神和范围。 说 明 书CN 102612029 A 11 1/5页 12 图1 说 明 书 附 图CN 102612029 A 12 2/5页 13 图2 说 明 书 附 图CN 102612029 A 13 3/5页 14 图3 说 明 书 附 图CN 102612029 A 14 4/5页 15 图4 说 明 书 附 图CN 102612029 A 15 5/5页 16 图5 图6 图7 说 明 书 附 图CN 102612029 A 16 。