密钥Kewc主要用于AS层的安全性保 护密钥Kckc。。。和完整性保护密钥K cKCht的生成，其生成方式与NAS层相同，其中，通过改变安 全性算法中输入的标志位BEARER则得到用户层密钥Kup。。。。
[0037] 作为本发明的进一步改进，该鉴权和密钥衍生系统还包括密钥生成单元，该密钥 生成单元包括：
[003引 CK和IK实现模块；IK和IV是初始密钥和向量，代入邸F算法得到K，K为邸F算法 得到的初始密钥，根据用户的算法选择来选择使用的安全算法，K分别代入EEA模块和EIA 模块中得到安全性密钥CK和完整性IK ;
[0039] 基于用户安全等级的密钥K模块；用户安全等级高时，将K带入到KDF函数中进行 衍生得到复杂度高的K，当用户安全等级低时，直接将初始的K，通过衍生次数得到不同复 杂度的K来表示用户安全等级；
[0040] Kasme实现模块，将K代入到KDF算法中再截取后32位得到K ASME;
[0041] KwASiM，lUe。。实现模块：根据用户的算法选择来选择使用的安全算法，将K ASME分别 代入到邸4算法和EIA算法中得到KwASht，lUe。。；
[0042] K。^实现模块：将K asme代入到邸F算法中再截取后32位可W得到K cw;
[0043] Kup。。。，IWht和K cKe。。。实现模块：根据用户的算法选择来选择使用的安全算法，将 分别代入到EEA算法和EIA算法中得到K we。。。和K cKUDt，Kup。。。是用户层使用的保密性密 钥，IWe。。是控制层使用的保密性密钥，区别是设置不同的标志位炬EARER = 0,1)。
[0044] 本发明的有益效果是：本发明提出的密钥衍生机制加入了不同衍生次数的初始密 钥K，通过K的衍生次数实现了支持不同安全等级要求用户的初始密钥处理，从而实现了支 持安全等级的密钥衍生机制，LTE的安全密钥层次更复杂，能实现AS层和NAS层的分层安 全密钥加密和完整性保护。
【附图说明】
[0045] 图1是本发明的LTE网络鉴权示意图。
[0046] 图2是本发明的密钥等级架构图。
[0047] 图3是本发明基于用户安全等级的初始密钥衍生模块图。
[0048] 图4是本发明鉴权过程中的密钥衍生机制图。
[0049] 图5是本发明密钥衍生流程图。
[0化0] 图6是本发明的CK，IK仿真结果图。
[0051]图7是本发明的K壓，lUe。。，仿真结果图。
[005引图8是本发明的Kcwb，IWe。。，IWiM仿真结果图。
【具体实施方式】
[0化3] 本发明公开了一种基于TD-LTE网络的鉴权和密钥衍生方法，包括LTE鉴权方法， 鉴权的目的是确定对象的合法性，在集群系统网络内的实体之间、用户与服务之间在建立 通信和服务之前相互间的确认，W保障通信和服务的安全性。
[0054] LTE鉴权是一个基于四元组的鉴权；根密钥（Kasme)、鉴权特征向量（AUTN)、随机 数（RAND) W及预期用户响应狂RE巧。
[0化5] 1.在LTE鉴权方法中包括如下步骤；
[0056] 鉴权请求发起步骤，用户（肥）向非接入层（NA巧移动管理实体MME发起鉴权请 求；
[0化7] 索要鉴权向量步骤，MME则向归属用户服务器HSS索要鉴权向量；
[0化引返回步骤，HSS返回一套或多套通用分组核屯、演进EPS鉴权向量{随机数RAND，鉴 权令牌AUTN，预期响应XRES，根密钥Kasme}给MME，其中包含AMF分隔符，"1"代表LTE/ SAE, " 0"代表非 LTE/SAE,如 GSM, UMTS ;
[0059] 发送步骤，MME收到后保存XRES、Kasme并将随机数RAND和鉴权令牌AUTN发送给 肥；
[0060] 用户端鉴权步骤，肥通过AUTN对网络进行鉴权，该是网络端的鉴权，肥根据 AUTN&RAND计算出RES&CK/IK，进一步计算出Kasme,肥将鉴权响应RES发送到MME，MME将 RES和XRES进行对比，该是用户端鉴权；
[0061] 推导步骤，肥与MME根据Kasme推导出NAS层与接入层AS层所需的加密密钥和 完整性保护密钥。当肥从活动态ACTIVE到空闲状态IDLE态时，将删除该些密钥。
[0062] 2. TD-LTE系统中的密钥生成过程；
[0063] LTE系统中，为了对不同信息流进行合适的安全保护标准中引入了密钥分层：图1 中K是固定的私有密钥，存储在USIM和认证中屯、AuC中。它是所有密钥生成算法的基础。 USIM ;用户身份识别模块。
[0064] IK，IV是当建立安全协商时在AuC和USIM生成的一对密钥（分别表示加密和完 整性密钥）。Kasme是一个中间密钥，是终端和HSS在AKA过程中根据CK和IK生成的。ASME 是一个网络实体，根据接收到的HSS发送的密钥，负责建立和维持HSS与终端的安全协商。 Kewe也是一个中间密钥，是终端和MME根据KASME生成的。K的值取决于eNodeB识别码， 用于eNodeB为RRC业务和UP业务生成密钥。最后，为了 NAS信令、AS信令和用户平面数 据进行完整性保护和机密性保护，还要生成如下5个密钥；K。^，IWsht，Kup。。。，Keeum和 K邸Cenc °
[0065] AKA ;认证与密钥协商；RRC ;接入控制；UP ;用户层；NAS ;非接入层；AS ;接入层。
[0066] 3.密钥等级及生成
[0067] 3. 1密钥等级；
[0068] LTE/SAE系统中的密钥应包括接入层和非接入层的加密和完整性保护密钥，长度 为128比特。为长远发展，网络接口还应准备支持256位的密钥。保护UP、NAS和AS的密 钥的推衍W它们各自使用的安全算法为输入参数。LTE系统中应使用密钥等级（见图2)， 包括W下密钥：演进型基站密钥K,wb，接入层完整性密钥KwAsiM，接入层安全性密钥Kms。。。，用 户层安全密钥Kup。。。，接入控制完整性密钥Kwum和接入控制安全性密钥Kecc。。。。
[0069] K。^是由ME和MME从K asme推衍产生的密钥，或是由me和目标eNB产生的密钥。
[0070] 非接入层通信密钥：
[0071] KwAsint是由ME和MME从Kasme和完整性算法标识推衍广生的对非接入层倍令进行完 整性保护的密钥。
[007引 KwASe。。是由ME和MME从Kasme和加密算法标识推衍产生的对非接入层信令进行加密 保护的密钥。
[0073] 用户平面通信密钥：
[0074] Kup。。。是由ME和eNB从K和加密算法标识推衍产生的对用户平面数据进行加密 保护的密钥。
[0075] RRC通信密钥；
[0076] IWht是由ME和eNB从K和完整性算法标识推衍产生的对无线资源控制平面信 令进行完整性保护的密钥。
[0077] K邸Cenc是由ME和eNB从K 6皿和加密算法标识推衍产生的对无线资源控制平面信令 进行加密保护的密钥。
[007引本发明引入用户安全等级的密钥衍生机制，其中密钥K的复杂度表示用户的安全 等级。如图3所示，当用户安全等级较高时，需要系统使用更高的安全机制来保证用户的安 全，密钥生成时高安全等级用户专用的复杂密钥K如K3,安全等级要求低的用户可W通过 使用K1作为初始密钥。通过衍生次数在系统的密钥衍生机制中体现出更高的安全性。 [0079] 密钥从私有的初始密钥开始在鉴权过程中进行密钥的衍生，如图4所示，具体过 程如下：
[0080] 用户在鉴权过程中AS层和AS层密钥将由初始密钥K进行KDF算法处理后得出根 密钥IW;
[0081] 根密钥Kasme在NAS层进行衍生出NAS层使用的安全性密钥K wAse。。和完整性保护密 钥Kmsim，其中安全性密钥和完整性密钥的生成是根据用户所支持的安全算法，通过选择不 同的安全算法组合生成不同的安全性保护密钥和完整性保护密钥（表1);
[00間根密钥Kasme通过衍生得出中间密钥K。^，中间密钥Kewc主要用于AS层的安全性保 护密钥Kckc。。。和完整性保护密钥K cKCht的生成，其生成方式与NAS层相同，其中，通过改变安 全性算法中输入的标志位BEARER则得到用户层密钥Kup。。。。
[0083] 表1算法选择表
[0084]
【主权项】
1. 一种基于TD-LTE网络的鉴权和密钥衍生方法，其特征在于，包括LTE鉴权方法，在 LTE鉴权方法中包括如下步骤： 鉴权请求发起步骤，用户向非接入层移动管理实体发起鉴权请求； 索要鉴权向量步骤，移动管理实体向归属用户服务器索要鉴权向量； 返回步骤，归属用户服务器返回一套