CN114095919B 一种基于车联网的证书授权处理方法及相关设备 （中国移动通信有限公司研究院）

US2020029268A1,2020.一种基于车联网的证书授权处理方法及相本发明实施例公开了一种基于车联网的证一网络设备接收来自V2X设备的第一消息；所述所述第二消息用于申请针对所述业务请求的审消息，第二响应消息用于指示审核授权是否成2第一网络设备接收来自V2X设备的第一消息；所述第一消息用于表示授权证书相关的发送第二消息至第二网络设备；所述第二消息包括所述临时标识和获得所述第二网络设备发送的第二响应消息，第二响应消息用于在所述第二响应消息指示所述授权审核成功时，所述相应的，所述第一网络设备基于所述第二密钥和所述第一密钥3.根据权利要求1所述的方法，其特征在于，在所述第二响应消息指示所述授权审核成功时，所述相应的，所述第一网络设备基于所述第一密钥对所述第一消息进行完整性保护校验4.根据权利要求1至3任一项所述的方法，其特征在于5.根据权利要求1至3任一项所述的方法所述第一网络设备向所述V2X设备发送第一响应消息；所述第一响应消息基于第一密在所述第一消息用于申请假名证书的情况下，所述授权证书相39.根据权利要求1所述的方法，其特征在于，所第二网络设备接收到第一网络设备发送的第二消息；所述第基于所述临时标识获得所述V2X设备对应的共享对称密钥，基于所述共享对称密钥至在所述第二响应消息指示所述授权审核成功时，所述在所述第二响应消息指示所述授权审核成功时，所述基于所述共享对称密钥生成第三密钥，所述第三密钥用于所述第一网络设备与所述在所述第二响应消息指示所述授权审核成功时，所述第二响应基于所述共享对称密钥生成第四密钥，所述第四密钥用于所述第一网络设备与所述在所述第二响应消息指示所述授权审核成功时，所述第二响应V2X设备向第一网络设备发送第一消息，以供所述第一网络设备发送用于申请针对业4所述V2X设备基于共享对称密钥生成第三密钥，基于所述第三密钥，所述所述V2X设备基于共享对称密钥生成第四密钥，基于所述第四密钥，所述所述V2X设备接收所述第一网络设备发送的第一响应消息；所述第一响应消息基于第一密钥和第二密钥进行加密和/或完整性保护；所述第一响应消息中包括授权证书相关信基于所述第二密钥和所述第一密钥对所述第一响应消息进行完整性保护校验和/或解密，基于通过完整性保护校验和/或解密后的所述第一响应消息获得所述授权证书相关信所述V2X设备接收所述第一网络设备发送的第一响应消息；所述第一响应消息基于第基于所述第一密钥对所述第一响应消息进行完整性保护校验和/或解密，基于通过完整性保护校验和/或解密后的所述第一响应消息获得在所述第一消息用于申请假名证书的情况下，所述授权证书相24.根据权利要求21或22所述的方法，其特征在525.根据权利要求15所述的方法，其特征在于所述第二通信单元，用于发送第二消息至第二网络设备；所述第二在所述第二响应消息指示所述授权审核成功时，所述所述网络设备还包括第一处理单元，用于基于所述第二密钥和在所述第二响应消息指示所述授权审核成功时，所述所述网络设备还包括第一处理单元，用于基于所述第一密钥对所述第6在所述第一消息用于申请假名证书的情况下，所述授权证书相所述第四通信单元，用于接收到第一网络设备发送的第二消息；所述第所述第四通信单元，还用于向所述第一网络设备发送第二响应消息，述共享对称密钥至少生成第一密钥和第二密钥；在所述第二响应消息指示所述授权审核成功时，所述述共享对称密钥至少生成第一密钥；在所述第二响应消息指示所述授权审核成功时，所述述共享对称密钥生成第三密钥，所述第三密钥用于所述第一网络设备与所述V2X设备之间在所述第二响应消息指示所述授权审核成功时，所述第二响应述共享对称密钥生成第四密钥，所述第四密钥用于所述第一网络设备与所述V2X设备之间在所述第二响应消息指示所述授权审核成功时，所述第二响应7二网络设备获得所述V2X设备对应的共享对称密钥、基于所述共享对称密钥至少生成第五41.根据权利要求40所述的V2X设备，其特征在于所述第五通信单元，还用于接收所述第一网络设备发送的第一响应消应消息基于第一密钥和第二密钥进行加密和/或完整性保护；所述第一响应消息中包括授所述第三处理单元，用于基于所述第二密钥和所述第一密钥对所述所述第五通信单元，还用于接收所述第一网络设备发送的第一响应消应消息基于第一密钥进行加密和/或完整性保护；所述第一响应消息中包括授权证书相关所述第三处理单元，用于基于所述第一密钥对所述第一响应消息进行完48.根据权利要求46或47所述的V2X设备，其特征在于，在所述第8在所述第一消息用于申请假名证书的情况下，所述授权证书相53.一种V2X设备，包括存储器、处理器及9[0006]第一网络设备接收来自V2X设备的第一消息；所述第一消息用于表示授权证书相述第一密钥和第二密钥；述第一密钥；一响应消息基于第一密钥进行加密和/或完整性保护；所述第一响应消息中包括授权证书[0030]第二网络设备接收到第一网络设备发送的第二消息；所述第二消息包括临时标[0038]基于所述临时标识获得所述V2X设备对应的共享对称密钥，基于所述共享对称密述第一密钥和第二密钥。述第一密钥。[0048]V2X设备向第一网络设备发送第一消息；所述第一消息用于表示授权证书相关的[0055]上述方案中，所述方法还包括：所述V2X设备基于所述共享对称密钥生成第三密[0056]上述方案中，所述方法还包括：所述V2X设备基于所述共享对称密钥生成第四密[0058]基于所述第二密钥和所述第一密钥对所述第一响应消息进行完整性保护校验和/或解密，基于通过完整性保护校验和/或解密后的所述第一响应消息获得所述授权证书相[0060]基于所述第一密钥对所述第一响应消息进行完整性保护校验和/或解密，基于通过完整性保护校验和/或解密后的所述第一响应消息获得所述述第一密钥和第二密钥；述第一密钥；述第一密钥和第二密钥。述第一密钥。述第三密钥用于所述第一网络设备与所述V2X设备之间进行述第四密钥用于所述第一网络设备与所述V2X设备之间建立安一消息基于所述第一密钥和所述第二密钥进行一响应消息基于第一密钥和第二密钥进行加密和/或完整性保护；所述第一响应消息中包一响应消息基于第一密钥进行加密和/或完整性保护；所述第一响应消息中包括授权证书[0125]本发明实施例提供的基于车联网的证书授权处理方法及相关设备，所述方法包PublicKeyInfrastructure)机制确保V2X设备间车辆与车辆(V2V，VehicletotoPedestrians)直连通信安全。基于PKI的CA管理系统对OBU、RSU等V2X设备上使用的注备配置管理器(DCM，DeviceConfigurationManager)、通用引导架构(GBA，General[0140]2、V2X设备利用注册证书向授权证书注册机构(包括假名证书注册机构(PRA，PseudonymCertificateRegistrationAuthority)和/或应用证书注册机构(ARA，ApplicationCertificateRegistrationAuthority))申请相关应用份并根据注册证书中给出的权限范围，进一步向授权证书签发机构(包括假名证书签发机构(PCA，PseudonymCertificateAuthority)或应用证书签发机构(ACA，Application[0143]由上述过程可以看出，上述授权证书的申请在V2X设备与授权证书机构之间独立[0145]图2为本发明实施例的基于车联网的证书授权处理方法应用的系统架构示意图；[0155]参照前述CA管理系统的基本工作流程可以看出，V2X设备需要将包含用户身份隐私的相关信息(如注册证书)发送给PRA和/或ARA进行身份及权限范围审核检验，而这些信[0156]而本申请可通过第五密钥对用户身份信息进行加密保护，第一网络设备(如PRA)络设备为认证授权机构为例，则第一网络设备可获得作为V2X设备的证书申请主体(如OBU和/或RSU)直接发送的第一消息，或者，第一网络设备也可通过与第二网络设备之间的接求的授权审核的相关信息，以通过第二网络设备对第二消息中携带的内容进行授权审核。[0162]在本发明的一些可选实施例中，所述第一消息基于第一密钥进行加密和/或完整[0164]并且，本实施例中通过对用户身份信息进行加密保护(具体采用第五密钥对用户[0165]在本发明的一些可选实施例中，在所述第二响应消息指通过第三密钥进行加密，以使得第一网络设备和V2X设备可通过第三密钥对该消息进行解[0167]在本发明的一些可选实施例中，在所述第二响应消息指消息通过第四密钥进行加密，以使得第一网络设备和V2X设备可通过第四密钥对该消息进备发送第一响应消息；所述第一响应消息基于第一密钥和第二密钥进行加密和/或完整性一消息用于申请假名证书的情况下，所述授权证书相关信息包括所述假名证书的下载时授权证书签发机构(具体可以是ACA)处获得签发的应用证书，并将获得的应用证书通过第第一网络设备发送应用证书下载请求消息；第一网络设备向V2X设备发送应用证书下载响[0176]基于前述实施例，本发明实施例还提供了一种基于车联所述临时标识获得所述V2X设备对应的共享对称密钥，基于所述共享对称密钥至少生成所述第五密钥。认证授权系统可与引导服务功能(BSF，BootstrappingServiceFunction)或归属签约用[0186]示例性的，第二网络设备中预先存储有V2X设备的临时标识对应的安全上下文信权，以确定是否允许向该V2X设备签发所申请的授权证书(包括假名证书和/或应用证书)；应消息中至少包括所述第一密钥。[0195]基于前述实施例，本发明实施例还提供了一种基于车联述第一消息基于所述第一密钥和所述第二密钥进行加密和所述方法还包括：所述V2X设备基于共享对称密钥至少生成第一密钥、第二密钥和第五密述第一消息基于所述第一密钥进行加密和/或完整性保护；所述用户身份信息基于所述第息基于第五密钥进行加密的场景，则第一消息可基于第一密钥和第二密钥进行加密和/或[0207]进一步地，V2X设备可基于共享对称密钥生成第一密钥、或者第一密钥和第二密户身份信息进行加密，并且基于第一密钥和第二密钥对第一消息进行加密和/或完整性保网络设备发送至第二网络设备后，第二网络设备可直接获得第一消息携带的所述临时标应消息基于第一密钥和第二密钥进行加密和/或完整性保护；所述第一响应消息中包括授应消息基于第一密钥进行加密和/或完整性保护；所述第一响应消息中包括授权证书相关[0215]步骤303b：基于所述第一密钥对所述第一响应消息进行完整性保护校验和/或解密，基于通过完整性保护校验和/或解密后的所述第一响应消息获得所述授权证书相关信和第二密钥进行加密和/或完整性保护；因此第二网络设备基于所述第二密钥和所述第一应消息仅基于第一密钥进行加密和/或完整性保护，因此第二网络设备基于所述第一密钥从授权证书签发机构(具体可以是ACA)处获得签发的应用证书，并将获得的应用证书通过向第一网络设备发送应用证书下载请求消息；第一网络设备向V2X设备发送应用证书下载[0220]在本发明的一些可选实施例中，所述V2X设备接收所述第一网络设备发送的第一通过第三密钥进行加密，以使得V2X设备与第一网络设备可通过第三密钥对该消息进行解消息通过第四密钥进行加密，以使得V2X设备与第一网络设备可通过第四密钥对该消息进网络设备无法获得解密后的用户身份信息，用户身份信息仅在第二网络设备处能够获知，[0226]下面结合一个具体的示例对本发明实施例的基于车联网的证书授权处理方法进会话密钥K2对授权证书申请请求分别进行加密和完整性保护。V2X设备可使用第五会话密查找获取V2X设备的安全上下文信息(示例性的，安全上下文消息可包括V2X设备的真实标使用第五密钥K5解密加密后的用户身份信息，根据解密后的用户身份信息，AAA检查PRA/许向该V2X设备签发所申请的授权证书(授权证权证书申请请求消息(即前述实施例中的第一消息)进行完整性保护校验和[0238]步骤409a至步骤409b：PRA/ARA向V2X设备返回授权证书申请响应消息(即上述实用第一密钥K1和第二密钥K2进行加密和完整性保护。该授权证书申请响应消息可以如图中中包括应用证书。该授权证书申请响应消息可使用第一密钥K1和第二密钥K2进行加密和完实施例中，该授权证书申请响应消息也可以不经过AAA的转发，而由ARA直接发送至V2X设行前述的步骤409a至步骤409b。流程应用于授权证书更新流程的情况下，上述流程中的部分消息的名称应做适应性的修传输层协议(TLS，TransportLayerSecurity)、互联网安全协议(IPSec，Internet[0254]若V2X设备没有有效的GBA共享会话密钥(即前述实施例中的共享会话密钥)，V2X设备通过蜂窝网接入GBA认证授权系统，发起认证授权请求。GBA认证授权系统优先采用述第一密钥和第二密钥；[0265]在本发明的一些可选实施例中，所述第一消息基于第一密钥进行加密和/或完整述第一密钥；[0267]在本发明的一些可选实施例中，在所述第二响应消息指所述第二响应消息中还包括第三密钥；[0269]在本发明的一些可选实施例中，在所述第二响应消息指所述第二响应消息中还包括第四密钥；网络设备中的中央处理器(CPU，CentralProcessingUnit)、数字信号处理器(DSP，述第一密钥和第二密钥。述第一密钥。密钥生成第三密钥，所述第三密钥用于所述第一网络设备与所述V2X设备之间进行身份认密钥生成第四密钥，所述第四密钥用于所述第一网络设备与所述V2X设备之间建立安全传[0294]本发明实施例还提供了一种V2X设备，图9为本发明实施例的V2X设备的组成结构[0309]本发明实施例中，所述V2X设备中的第三处理单元72，在实际应用中均可由所述可编程只读存储器(PROM，ProgrammableRead-OnlyMemory)、可擦除可编程只读存储器(EPROM，ErasableProgrammableRead-OnlyMemory)、电可擦除可编程只读存储器磁盘存储器或磁带存储器。易失性存储器可以是随机存取存储器(RAM，RandomAccess静态随机存取存储器(SRA