本发明涉及通信领域，尤其涉及一种密钥生成的方法、设备及系统。
背景技术：
长期以来，网际协议地址（Internet Protocol Address，简称IP地址）担任了标识符（即主机身份标识）和定位符（即网络位置标识）的双重角色，这使得在TCP/IP协议体系架构中传输层与网络层的分离不够彻底，对实现终端主机的移动以及保证通信安全等方面带来一定的局限性；为了解决上述问题需要将IP地址的标识符和定位符进行分离，其中，用户身份协议（User Identity Protocol，UIP）就是实现将IP地址的标识符和定位符分离的一种方案。
图1为UIP的网络架构示意图，如图1所示，UIP网络由一个或多个UIP域组成，一个UIP域由一个用户位置服务器（Subscriber Location Server，简称SLS）、一个或多个路由器（Domain Router，简称DR）组成，其中，UIP域内及不同UIP域之间的路由器相互链接，UIP域内位置服务器与路由器之间相互链接，其中，路由器保存用户设备的用户标识符（User ID）与用户设备的定位符（Locator）的映射关系、实现用户数据转发及报文地址变换；位置服务器保存User ID与用户设备当前路由器（即源路由器）的映射关系；用户设备（User Equipment，UE）通过无线接入网接入UIP域，如图1所示，实线表示的是UIP网络的用户面（User Plane，UP），传输的是业务数据，虚线表示的是UIP网络的控制面（Control Plane，CP），传输的是控制信令。
但是，在UIP网络中，用户设备与路由器之间直接进行数据传输，不能为用户设备与路由器之间的数据传输提供机密性、完整性。
技术实现要素：
本发明的实施例提供一种密钥生成的方法、设备及系统，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性。
为达到上述目的，本发明的实施例采用如下技术方案：
第一方面，本发明实施例提供一种密钥生成的方法，包括：
目的路由器接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符；
所述目的路由器向位置服务器发送接入请求消息，其中，所述接入请求包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符；
所述目的路由器接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的标识符，所述目的路由器的标识符；所述随机值由所述位置服务器生成，用于认证所述用户设备以及生成设备相关密钥；所述根密钥由位置服务器根据所述用户标识符获取；
所述目的路由器根据所述接入响应消息中的设备相关密钥派生出会话密钥。
结合第一方面，在第一方面的第一种可能的实现方式中，所述目的路由器根据所述接入响应消息中的设备相关密钥派生出会话密钥，包括：
所述目的路由器根据所述接入响应消息中的设备相关密钥派生出临时密钥；
所述目的路由器根据所述临时密钥派生出会话密钥。
结合第一方面或第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及所述用户设备的设备标识符派生；
所述目的路由器根据所述接入响应消息中的设备相关密钥派生出会话密钥，包括：
所述目的路由器根据所述设备相关密钥以及计数值派生出临时密钥；其中，所述计数值有所述目的路由器获取；
根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥；
或者，
所述目的路由器根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥；
根据所述临时密钥派生出会话密钥；
或者，
所述目的路由器根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥；
根据所述临时密钥以及计数值派生出会话密钥；
或者，
所述目的路由器根据所述设备相关密钥派生出临时密钥；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥。
结合第一方面或第一方面的第一种可能的实现方式，在第一方面的第三种可能的实现方式中，所述设备相关密钥由所述位置服务器根据随机值，根密钥，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生；
所述目的路由器根据所述接入响应消息中的所述设备相关密钥派生出会话密钥，包括：
所述目的路由器根据所述设备相关密钥以及计数值派生出临时密钥；
根据所述临时密钥派生出会话密钥;
或者，
所述目的路由器根据所述设备相关密钥派生出临时密钥；
根据所述临时密钥以及计数值派生出会话密钥。
结合第一方面至第一方面的第三种可能的实现方式中的任一种实现方式，在第一方面的第四种可能的实现方式中，所述方法还包括：
所述目的路由器接收所述位置服务器发送的认证请求消息；其中，所述认证请求消息包含所述随机值和所述位置服务器所处域的标识符；
所述目的路由器向所述用户设备发送认证请求消息，其中，所述认证请求消息中包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符，以使得所述用户设备返回认证响应消息及生成设备相关密钥以及会话密钥。
第二方面，本发明实施例提供一种密钥生成的方法，包括：
位置服务器接收目的路由器发送的接入请求消息，其中，所述接入请求消息包含用户设备的用户标识符，用户设备的设备标识符和所述目的路由器的标识符；
所述位置服务器向所述目的路由器发送认证请求消息，其中，所述认证请求消息包含随机值和所述位置服务器所处域的标识符，所述随机值由所述位置服务器生成，用于认证所述用户设备以及生成设备相关密钥；
所述位置服务器接收所述目的路由器发送的认证响应消息，根据根密钥，所述随机值以及下述参数中的一种或几种派生出所述设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符；所述根密钥由位置服务器根据所述用户标识符获取；
所述位置服务器向所述目的路由器发送接入响应消息，其中，所述接入响应消息包含所述设备相关密钥。
结合第二方面，在第二方面的第一种可能的实现方式中，所述位置服务器根据根密钥，所述随机值以及下述参数中的一种或几种派生出所述设备相关密钥：所述用户设备的设备标识符,所述位置服务器所处域的标识符以及所述目的路由器的标识符，包括：
所述位置服务器根据根密钥，所述随机值以及所述用户设备的设备标识符派生出所述设备相关密钥；
或者，
所述位置服务器根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出所述设备相关密钥。
第三方面，本发明实施例提供一种密钥生成的方法，包括：
用户设备接收目的路由器发送的认证请求消息，其中，所述认证请求消息包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符；
所述用户设备根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出会话密钥。
结合第三方面，在第三方面的第一种可能的实现方式中，所述用户设备根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出会话密钥，包括：
所述用户设备根据根密钥，所述随机值以及所述用户设备的设备标识符派生出设备相关密钥；
所述用户设备根据所述设备相关密钥以及计数值派生出临时密钥；
所述用户设备根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥；
或者，
所述用户设备根据根密钥，所述随机值以及所述用户设备的设备标识符派生出设备相关密钥；
所述用户设备根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥；
所述用户设备根据所述临时密钥派生出会话密钥；
或者，
所述用户设备根据根密钥，所述随机值以及所述用户设备的设备标识符派生出设备相关密钥；
所述用户设备根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥；
所述用户设备根据所述临时密钥以及计数值派生出会话密钥；
或者，
所述用户设备根据根密钥，所述随机值以及所述用户设备的设备标识符派生出设备相关密钥；
所述用户设备根据所述设备相关密钥派生出临时密钥；
所述用户设备根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥；
或者，
所述用户设备根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥；
所述用户设备根据所述设备相关密钥以及计数值派生出临时密钥；
所述用户设备根据所述临时密钥派生出会话密钥；
或者，
所述用户设备根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥；
所述用户设备根据所述设备相关密钥派生出临时密钥；
所述用户设备根据所述临时密钥以及计数值派生出会话密钥。
第四方面，本发明实施例提供一种目的路由器，包括：
接收模块，用于接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符；
发送模块，用于在所述接收模块接收到切换请求消息时，向位置服务器发送接入请求消息，其中，所述接入请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符；
所述接收模块，还用于接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的标识符，所述目的路由器的标识符；
生成模块：用于在所述接收模块接收到接入响应消息时，根据所述设备相关密钥派生出会话密钥。
结合第四方面，在第四方面的第一种可能的实现方式中，所述生成模块具体用于：
根据所述设备相关密钥派生出临时密钥；
根据所述临时密钥派生出会话密钥。
结合第四方面或第四方面的第一种可能的实现方式，在第四方面的第二种可能的实现方式中，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及所述用户设备的设备标识符派生；
相应的，所述生成模块具体用于：
根据所述设备相关密钥以及计数值派生出临时密钥；其中，所述计数值有所述目的路由器获取；
根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥；
或者，
根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥；
根据所述临时密钥派生出会话密钥；
或者，
根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥；
根据所述临时密钥以及计数值派生出会话密钥；
或者，
根据所述设备相关密钥派生出临时密钥；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥。
结合第四方面或第四方面的第一种可能的实现方式，在第四方面的第三种可能的实现方式中，所述设备相关密钥由所述位置服务器根据随机值，根密钥，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生，
相应的，所述生成模块具体用于：
根据所述设备相关密钥以及计数值派生出临时密钥；
根据所述临时密钥派生出会话密钥;
或者，
根据所述设备相关密钥派生出临时密钥；
根据所述临时密钥以及计数值派生出会话密钥。
结合第四方面至第四方面的第三种可能的实现方式中的任一种实现方式，在第四方面的第四种可能的实现方式中，
所述接收模块还用于：接收所述位置服务器发送的认证请求消息；其中，所述认证请求消息包含所述随机值和所述位置服务器所处域的标识符；
所述发送模块还用于：在所述接收模块接收到认证请求消息时，向所述用户设备发送认证请求消息，其中，所述认证请求消息包含所述随机值、所述位置服务器所处域的标识符以及所述目的路由器的标识符，以使得所述用户设备返回认证响应消息及生成设备相关密钥以及会话密钥。
第五方面，本发明实施例提供一种位置服务器，包括：
接收模块，用于接收目的路由器发送的接入请求消息，其中，所述接入请求消息包含用户设备的用户标识符，用户设备的设备标识符和所述目的路由器的标识符；
发送模块，用于在所述接收模块接收到接入请求消息时，向所述目的路由器发送认证请求消息，其中，所述认证请求消息包含随机值和所述位置服务器所处域的标识符；所述随机值由所述位置服务器生成，用于认证所述用户设备及生成设备相关密钥；
所述接收模块，还用于接收所述目的路由器发送的认证响应消息；
生成模块，用于在所述接收模块接收到认证响应消息时，根据根密钥，所述随机值以及下述参数中的一种或几种派生出所述设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符；所述根密钥由位置服务器根据所述用户标识符获取；
所述发送模块，还用于在所述生成模块生成设备相关密钥时，向所述目的路由器发送接入响应消息，其中，所述接入响应消息包含所述设备相关密钥。
结合第五方面，在第五方面的第一种可能的实现方式中，
所述生成模块具体用于：
根据根密钥，所述随机值以及所述用户设备的设备标识符派生出所述设备相关密钥；
或者，
根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出所述设备相关密钥。
第六方面，本发明实施例提供一种用户设备，包括：
接收模块：用于接收目的路由器发送的认证请求消息，其中，所述认证请求消息包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符；
生成模块：用于在所述接收模块接收到认证请求消息时，根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出会话密钥。
结合第六方面，在第六方面的第一种可能的实现方式中，
所述生成模块具体用于：
根据根密钥，所述随机值以及所述用户设备的设备标识符派生出设备相关密钥；
根据所述设备相关密钥以及计数值派生出临时密钥；
根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥；
或者，
根据根密钥，所述随机值，以及所述用户设备的设备标识符派生出设备相关密钥；
根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥；
根据所述临时密钥派生出会话密钥；
或者，
根据根密钥，所述随机值以及所述用户设备的设备标识符派生出设备相关密钥；
根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥；
根据所述临时密钥以及计数值派生出会话密钥；
或者，
根据根密钥，所述随机值以及所述用户设备的设备标识符派生出设备相关密钥；
根据所述设备相关密钥派生出临时密钥；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥；
或者，
根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥；
根据所述设备相关密钥以及计数值派生出临时密钥；
根据所述临时密钥派生出会话密钥；
或者，
根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥；
根据所述设备相关密钥派生出临时密钥；
根据所述临时密钥以及计数值派生出会话密钥。
第七方面，本发明实施例提供一种密钥生成系统，包括：源路由器，如第四方面至第四方面的第四种可能的实现方式中的任一项所述的目的路由器，如第五方面至第五方面的第一种可能的实现方式中的任一项所述的位置服务器以及如第六方面至第六方面的第一种可能的实现方式中的任一项所述的用户设备。
由上可知，本发明实施例提供一种密钥生成的方法、设备及系统，目的路由器接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符；所述目的路由器向位置服务器发送接入请求消息，其中，所述接入请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符；所述目的路由器接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的标识符，所述目的路由器的标识符；所述随机值由所述位置服务器生成，用于认证所述用户设备以及生成设备相关密钥；所述根密钥由位置服务器根据所述用户标识符获取；所述目的路由器根据所述接入响应消息中的设备相关密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以用这些附图获得其他的附图。
图1为UIP的网络架构的示意图；
图2为UIP网络的ID模型示意图；
图3为UIP网路的移动性管理的示意图；
图4为本发明实施例提供的UIP网络密钥等级的结构示意图；
图5为本发明实施例提供的一种密钥生成的方法的流程图；
图6为本发明实施例提供的一种密钥生成的方法的流程图；
图7为本发明实施例提供的一种密钥生成的方法的流程图；
图8为本发明实施例提供的另一种密钥生成的方法的流程图；
图9为本发明实施例提供的另一种密钥生成的方法的流程图；
图10为本发明实施例提供的另一种密钥生成的方法的流程图；
图11为本发明实施例提供的另一种密钥生成的方法的流程图；
图12为本发明实施例提供的另一种密钥生成的方法的流程图；
图13为本发明实施例提供的另一种密钥生成的方法的流程图；
图14为本发明实施例提供的另一种密钥生成的方法的流程图；
图15为本发明实施例提供的另一种密钥生成的方法的流程图；
图16为本发明实施例提供的另一种密钥生成的方法的流程图；
图17为本发明实施例提供的另一种密钥生成的方法的流程图；
图18为本发明实施例提供的另一种密钥生成的方法的流程图；
图19为本发明实施例提供的另一种密钥生成的方法的流程图；
图20为本发明实施例提供的一种目的路由器的结构图；
图21为本发明实施例提供的一种位置服务器的结构图；
图22为本发明实施例提供的一种用户设备的结构图；
图23为本发明实施例提供的另一种目的路由器的结构图；
图24为本发明实施例提供的另一种位置服务器的结构图；
图25为本发明实施例提供的另一种用户设备的结构图；
图26为本发明实施例提供的一种密钥生成系统的结构图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例提供的密钥生成的方法适用于用户身份协议网络（User Identity Protocol，简称UIP网络），还可以适用于任意一个实现数据安全传输的网路中；本发明实施例对此不进行限制，本发明实施例仅以UIP网络为例进行说明。
实施例一
图5为本发明实施例提供的一种密钥生成的方法的流程图，如图5所示，可以包括以下步骤：
501：目的路由器接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符。
其中，源路由器和目的路由器是相对的概念，根据用户设备（User Equipment，UE）的切换情况确定，源路由器为所述UE切换前与所述UE进行数据通信的路由器，目的路由器为所述UE切换后与所述UE进行数据通信的路由器；其中，所述切换为UE从一个路由器的覆盖区域移动到另一个路由器的覆盖区域；本发明实施例中，源路由器和目的路由器可以在同一个UIP域内或不同的UIP域内，当源路由器和目的路由器处于同一个UIP域内时，UE处于域内移动的状态；当源路由器和目的路由器处于不同的UIP域内时，UE处于域间移动的状态；例如，图2为UIP网络中用户设备移动性管理的示意图，如图2所示，连接UIP网络的UE的移动情况可以有下述两种：（1）域内移动，如UE从路由器2的覆盖区域移动到路由器1的覆盖区域，其中，路由器2为源路由器，路由器1为目的路由器；（2）域间移动，如UE从路由器2的覆盖区域移动到路由器3的覆盖区域，其中，路由器2为源路由器，路由器3为目的路由器。
在本发明的一个实施例中，当UE从源路由器的覆盖区域移动到目的路由器的覆盖区域时，目的路由器接收源路由器发送的切换请求消息，其中，所述切换请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符，或者，所述切换请求包含所述用户设备的用户标识符，所述用户设备的设备标识符以及定位符。
其中，所述用户设备的用户标识符（User ID），所述用户设备的设备标识符（Device ID）以及定位符（Locator）是UIP网络协议划分的三个标识符（identification，ID）；User ID由运营商分配，永久不变；Device ID由设备制造商或运营商分配，如国际移动设备辨识码（International Mobile Station Equipment Identity，IMEI），一个User ID可以关联多个Device ID；Loctaor通常为IP地址，由运营商分配或用户设备指定，一个Device ID可以关联多个Locator；所述用户设备的用户标识符，所述用户设备的设备标识符以及定位符可以在UE与源路由器进行数据通信的初始化过程中保存在源路由器中；例如，图3为UIP网络的ID模型的示意图，如图3所示，对于一个用户多台设备的场景，UIP网络的ID可以分为一个用户标识符（User ID），多个设备标识符（Device ID）以及多个定位符（Locator）。
502：所述目的路由器向位置服务器发送接入请求消息，其中，所述接入请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符。
其中，所述目的路由器的标识符保存在所述目的路由器中，用于标识所述目的路由器。
所述位置服务器为所述用户设备的归属位置服务器和/或拜访位置服务器；所述用户设备的归属位置服务器为归属域内的位置服务器，所述拜访位置服务器为拜访域内的位置服务器；其中，所述归属域为用户与运营商签约时约定的用户所属的UIP域，在用户设备的通信过程中归属域是唯一不变的；所述拜访域为UE处于漫游状态时所处的域；所述漫游状态是指UE当前所处的UIP域不是归属域；例如，如图2所示，假设UE的归属域为UIP域-1，则位置服务器SLS-1为归属位置服务器，当UE移动到UIP域-2内的路由器3的覆盖区域，即离开归属域时，UE处于漫游状态，UIP域-2为拜访域，位置服务器SLS-2为拜访位置服务器。
在本发明的一个实施例中，目的路由器可以根据所述UE当前所处域的情况，向所述用户设备的归属位置服务器和/或拜访位置服务器发送接入请求消息；
其中，根据图2所示的UIP网络中UE的移动性以及UIP域的情况可知，UE的移动情况可以为下述五种移动情况中的任一种情况：归属域的域内移动，拜访域的域间移动，拜访域到归属域的域间移动，归属域到拜访域的域间移动，拜访域到拜访域的域间移动，因此，所述UE当前所处域可以为归属域或者拜访域。
示例性的，当所述UE当前所处域是归属域时，
所述目的路由器向归属位置服务器发送接入请求信息。
示例性的，当所述UE当前所处域是拜访域时，
所述目的路由器向拜访位置服务器发送接入请求信息，以使得所述拜访位置服务器向所述归属位置服务器发送所述接入请求信息。
503：所述目的路由器接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的标识符，所述目的路由器的标识符；所述随机值由所述位置服务器生成，用于认证所述用户设备以及生成设备相关密钥。
其中，所述根密钥为UE与UIP网络中所述UE和所述UE的归属位置服务器的共享密钥，保存在所述UE和所述归属位置服务器中，且所述根密钥与所述UE的用户标识符（User ID）相对应，每个UE有唯一的根密钥，由位置服务器根据所述用户标识符查询得到，用于派生出设备相关密钥，所述根密钥K可以由运营商预先设定，本发明实施例对此不进行限定。
所述位置服务器所处域的标识符为归属位置服务器所处域的标识符，保存在所述UE的归属位置服务器中，用于标识所述UE的归属域；在本发明的一个实施例中，所述位置服务器所处域的标识符可以由所述用户设备的归属位置服务器发送给所述目的路由器，还可以由所述目的路由器通过其他的配置方式获得，本发明实施例对此不进行限定。
在本发明的一个实施例中，所述设备相关密钥（Kdev）可以由所述UE的归属服务器根据随机值（nonce），根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符（Device ID），所述位置服务器所处域的标识符（Domain ID），所述目的路由器的标识符（DR ID），实现在一个用户多设备的场景下，不同的设备具有不同的设备相关密钥Kdev。
示例性的，所述设备相关密钥Kdev可以由所述归属位置服务器根据随机值，根密钥以及所述用户设备的设备标识符（Domain ID），采用密钥派生函数（Key derivation function，KDF）派生，例如，Kdev=KDF(K，Device ID，nonce)；
或者，由所述归属位置服务器根据所述随机值nonce，根密钥K，所述用户设备的设备标识符（Device ID），位置服务器所处域的标识符（Domain ID）以及目的路由器的标识符（DR ID），采用密钥派生函数（Key derivation function，KDF）派生，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)。
在本发明的一个实施例中，所述目的路由器可以根据根据所述UE当前所处域的情况，接收所述用户设备的归属位置服务器和/或拜访位置服务器发送的接入响应消息。
示例性的，当所述UE当前所处域是归属域时，
所述目的路由器接收所述归属位置服务器发送的接入响应消息。
示例性的，当所述UE当前所处域是拜访域时，
所述目的路由器接收所述拜访位置服务器发送的接入响应消息；其中，所述接入响应消息为所述归属位置服务器发送给所述拜访位置服务器的。
504：所述目的路由器根据所述接入响应消息中的设备相关密钥派生出会话密钥。
在本发明的一个实施例中，所述目的路由器根据所述接入响应消息中的设备相关密钥派生出临时密钥；根据所述临时密钥派生出会话密钥。例如，图4为本发明实施例提供的UIP网络密钥等级的结构示意图，如图4所示，UIP网络的密钥包含根密钥K，设备相关密钥Kdev，临时密钥Kdev’以及会话密钥Ksession；所述设备相关密钥Kdev由根密钥K派生，所述临时密钥Kdev’由所述设备相关密钥Kdev派生，所述会话密钥Ksession由所述临时密钥Kdev’派生，逐级派生出会话密钥，为目的路由器与用户设备之间的数据传输提供机密性、完整性保护。
示例性的，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及所述用户设备的设备标识符派生；例如，所述设备相关密钥Kdev=KDF(K，Device ID，nonce)；
相应的，所述目的路由器可以通过下述（1）-（4）所述的方法派生出会话密钥，下面对这四种方法分别进行说明：
（1）所述目的路由器根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；其中，所述计数值有所述目的路由器获取，计数值counter为UIP系统网络中路由器与用户设备维护的一个计数器产生的；
根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，Domain ID，DR ID)。
（2）所述目的路由器根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，counter，Domain ID，DR ID)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)。
（3）所述目的路由器根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，Domain ID，DR ID)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)；
（4）所述目的路由器根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，counter，Domain ID，DR ID)。
示例性的，所述设备相关密钥由所述位置服务器根据随机值，根密钥，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生；例如，所述设备相关密钥Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)，
相应的，所述目的路由器可以通过下述（1）-（2）两种方法派生出会话密钥，下面对这两种方法分别进行说明：
（1）所述目的路由器根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’);
（2）所述目的路由器根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)。
进一步的，上述方法还包括：
所述目的路由器接收所述位置服务器发送的认证请求消息；其中，所述认证请求消息包含所述随机值和所述位置服务器所处域的标识符；
所述目的路由器向所述用户设备发送认证请求消息，其中，所述认证请求消息包含所述随机值、所述位置服务器所处域的标识符以及所述目的路由器的标识符，以使得所述用户设备返回认证响应消息及生成设备相关密钥以及会话密钥。
由上可知，本发明实施例提供一种密钥生成的方法，目的路由器接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符；所述目的路由器向位置服务器发送接入请求消息，其中，所述接入请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符；所述目的路由器接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的标识符，所述目的路由器的标识符；所述随机值由所述位置服务器生成，用于认证所述用户设备以及生成设备相关密钥；所述根密钥由位置服务器根据所述用户标识符获取；所述目的路由器根据所述接入响应消息中的设备相关密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例二
图6为本发明实施例提供的一种密钥生成的方法流程图，如图6所示，可以包括以下步骤：
601：位置服务器接收目的路由器发送的接入请求消息，其中，所述接入请求消息包含用户设备的用户标识符，用户设备的设备标识符和所述目的路由器的标识符。
其中，所述位置服务器包含归属位置服务器和/或拜访位置服务器；
在本发明的一个实施例中，当所述UE当前所处域是归属域时，所述位置服务器为用户设备的归属位置服务器；
归属位置服务器接收目的路由器发送的接入请求消息。
当UE当前所处域是拜访域时，所述位置服务器为用户设备的归属位置器和拜访位置服务器；
拜访位置服务器接收目的路由器发送的接入请求消息，以使得所述拜访位置服务器向归属位置服务器发送所述接入请求消息。
602：所述位置服务器向所述目的路由器发送认证请求消息，其中，所述认证请求消息包含随机值和所述位置服务器所处域的标识符；所述随机值由所述位置服务器生成，用于认证所述用户设备及生成设备相关密钥；
在本发明的一个实施例中，当所述UE当前所处域是归属域时，所述位置服务器为用户设备的归属位置服务器；
归属位置服务器向所述目的路由器发送认证请求消息。
当所述UE当前所处域是拜访域时，所述位置服务器为用户设备的归属位置器和拜访位置服务器；
拜访位置服务器向目的路由器发送所述认证请求；其中，所述认证请求消息由归属位置服务器向拜访位置服务器发送。
603：所述位置服务器接收所述目的路由器发送的认证响应消息，根据根密钥，所述随机值以及下述参数中的一种或几种派生出所述设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符。
在本发明的一个实施例中，当所述UE当前所处域是归属域时，所述位置服务器为用户设备的归属位置服务器；
所述归属位置服务器接收所述目的路由器发送的认证响应消息，根据下述（1）-（2）两种方式派生设备相关密钥。
当所述UE当前所处域是拜访域时，所述位置服务器为用户设备的归属位置器和拜访位置服务器；
所述拜访位置服务器接收所述目的路由器发送的认证响应消息；
所述拜访位置服务器向所述归属位置服务器发送所述认证响应消息；
所述归属位置服务器接收所述拜访位置服务器发送的认证响应消息，根据下述（1）-（2）两种方式派生设备相关密钥。
下面对这两种方式分别进行说明：
（1）归属位置服务器根据根密钥，所述随机值以及所述用户设备的设备标识符派生出所述设备相关密钥，例如，设备相关密钥Kdev=KDF(K，Device ID，nonce)；
（2）归属位置服务器根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出所述设备相关密钥，例如，设备相关密钥Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)。
604：所述位置服务器向所述目的路由器发送接入响应消息，其中，所述接入响应消息中包含所述设备相关密钥。
在本发明的一个实施例中，当所述UE当前所处域是归属域时，所述位置服务器为用户设备的归属位置服务器；
所述归属位置服务器向所述目的路由器发送接入响应消息。
当所述UE当前所处域是拜访域时，所述位置服务器为用户设备的归属位置器和拜访位置服务器；
所述归属位置服务器向所述拜访位置服务器发送接入响应消息；
所述拜访位置服务器接收所述归属位置服务器发送的接入响应消息，向所述目的路由器发送所述接入响应消息。
由上可知，本发明实施例提供一种密钥协商的方法，位置服务器接收目的路由器发送的接入请求消息，其中，所述接入请求消息包含用户设备的用户标识符和用户设备的设备标识符；所述位置服务器向所述目的路由器发送认证请求消息，其中，所述认证请求消息包含随机值和所述位置服务器所处域的标识符，所述随机值由所述位置服务器生成，用于认证所述用户设备及生成设备相关密钥；所述位置服务器接收所述目的路由器发送的认证响应消息，根据根密钥，所述随机值以及下述参数中的一种或几种派生出所述设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符。如此，位置服务器派生成设备相关密钥，以使得目的路由器根据所述设备相关密钥生成会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为终端用户与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例三
图7为本发明实施例提供的一种密钥生成的方法流程图，如图7所示，可以包括以下步骤：
701：用户设备接收目的路由器发送的认证请求消息，其中，所述认证请求消息包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符。
702：所述用户设备根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出会话密钥。
在本发明的一个实施例中，用户设备可以根据下述（1）-（6）六种方式派生出会话密钥；下面对这六种方式分别进行说明：
（1）用户设备根据随机值，根密钥以及所述用户设备的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
所述用户设备根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
所述用户设备根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，Domain ID，DR ID)；
（2）用户设备根据随机值，根密钥，以及所述用户设备的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev,counter,DomainID,DR ID)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)；
（3）用户设备根据随机值，根密钥，以及所述用户设备的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，Domain ID，DR ID)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)；
（4）用户设备根据随机值，根密钥，以及所述用户设备的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，counter，Domain ID，DR ID)；
（5）用户设备根据随机值，根密钥，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)；
（6）用户设备根据随机值，根密钥，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)。
由上可知，本发明实施例提供一种密钥生成的方法，用户设备接收目的路由器发送的认证请求消息，其中，所述认证请求消息包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符；所述用户设备根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网路中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为终端用户与路由器之间的数据传输提供机密性，完整性的缺陷。
下面对本发明实施例提供的一种密钥生成方法进行具体说明，其中，在下述的实施例中，路由器用DR表示，位置服务器用SLS表示，用户设备用UE表示。
实施例四
图8为本发明实施例提供的一种密钥生成方法流程图，所述方法应用于UE处于归属域的场景下，图8所示的SLS为归属SLS，如图8所示，可以包括以下步骤:
801：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
802：目的DR向SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
803：SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
804：SLS向目的DR发送认证请求消息；其中，所述认证请求消息包含nonce，Domain ID；所述Domain ID保存在SLS内；
805：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
806：UE向目的DR发送认证响应消息，以使得目的DR将认证响应消息反馈给SLS；
807：目的DR向SLS发送认证响应消息；其中，所述认证响应消息用于通知SLS完成认证过程；
808：SLS根据UE的User ID查询得到SLS与UE共享的根密钥K；
809：SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce）；
810：SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
811：目的DR生成临时密钥Kdev’=KDF（Kdev，counter）及会话密钥Ksession=KDF（Kdev’，Domain ID，DR ID）；
812：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce），临时密钥Kdev’=KDF（Kdev，counter）及会话密钥Ksession=KDF（Kdev’，Domain ID，DR ID）；
进一步的，由于当UE移动到目的DR的覆盖范围时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
813：目的DR向SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
814：SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
815：SLS向目的DR发送更新响应消息；其中，所述更新响应消息用于通知目的DR信息更新已完成；
816：目的DR保存UE的User ID与Locator的映射关系；
817：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤812为UE生成密钥的过程，步骤809-811为目的DR生成密钥的过程，步骤812和步骤809-811不分先后顺序。
由上可知，本发明实施例提供一种密钥生成的方法、设备及系统，目的DR接收源DR发送的切换请求消息，其中，所述切换请求消息包含UE的用户标识符，所述UE的设备标识符；所述目的DR向SLS发送接入请求消息，其中，所述接入请求中包含所述UE的用户标识符和所述UE的设备标识符，所述SLS为所述UE的归属SLS，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述SLS根据随机值，根密钥以及下述参数中的一种或几种派生：所述UE的设备标识符，目的DR所处域的域标识，目的DR的标识符；所述目的DR根据所述接入响应消息中的设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中UE与DR之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例五
图9为本发明实施例提供的一种密钥生成方法流程图，所述方法应用于UE处于归属域的场景下，此时，图9所示的SLS为归属SLS，如图9所示，可以包括以下步骤:
901：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
902：目的DR向SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
903：SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
904：SLS向目的DR发送认证请求消息；其中，所述认证请求消息包含nonce，Domain ID，所述Domain ID保存在SLS内；
905：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
906：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给SLS；
907：目的DR向SLS发送认证响应消息；其中，所述认证响应消息用于通知SLS完成认证过程；
908：SLS根据UE的User ID查询得到SLS与UE共享的根密钥K；
909：SLS生成设备相关密钥Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
910：SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
911：目的DR生成临时密钥Kdev’=KDF（Kdev，counter）及会话密钥Ksession=KDF(Kdev’)；
912：UE生成设备相关密钥Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)，临时密钥Kdev’=KDF（Kdev，counter）及会话密钥Ksession=KDF(Kdev’)；
进一步的，由于当UE移动到目的DR的覆盖区域时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
913：目的DR向SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
914：SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
915：SLS向目的DR发送更新响应消息；其中，所述更新响应消息用于通知目的DR信息更新已完成；
916：目的DR保存User ID与Locator的映射关系；
917：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤912为UE生成密钥的过程，步骤909-911为目的DR生成密钥的过程，步骤912和步骤909-911不分先后顺序。
由上可知，本发明实施例提供一种密钥生成的方法、设备及系统，目的DR接收源DR发送的切换请求消息，其中，所述切换请求消息包含UE的用户标识符，所述UE的设备标识符；所述目的DR向SLS发送接入请求消息，其中，所述接入请求中包含所述UE的用户标识符和所述UE的设备标识符，所述SLS为所述UE的归属SLS，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述SLS根据随机值，根密钥以及下述参数中的一种或几种派生：所述UE的设备标识符，目的DR所处域的域标识，目的DR的标识符；所述目的DR根据所述接入响应消息中的设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中UE与DR之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例六
图10为本发明实施例提供的另一种密钥生成方法流程图，所述方法应用于UE处于归属域的场景下，此时，图10所示的SLS为归属SLS，如图10所示，可以包括以下步骤:
1001：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1002：目的DR向SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1003：SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1004：SLS向目的DR发送认证请求消息；其中，所述认证请求消息包含nonce，Domain ID；所述Domain ID保存在SLS内；
1005：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1006：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给SLS；
1007：目的DR向SLS发送认证响应消息；其中，所述认证响应消息用于通知SLS完成认证过程；
1008：SLS根据UE的User ID查询得到SLS与UE共享的根密钥K；
1009：SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce）；
1010：SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1011：目的DR生成临时密钥Kdev’=KDF（Kdev，counter，Domain ID，DR ID）及会话密钥Ksession=KDF（Kdev’）；
1012：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce），临时密钥Kdev’=KDF（Kdev，counter，Domain ID，DR ID）及会话密钥Ksession=KDF（Kdev’）；
进一步的，由于当UE移动到目的DR的移动范围时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括：
1013：目的DR向SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1014：SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1015：SLS向目的DR发送更新响应消息；其中，所述更新响应消息用于通知目的DR信息更新已完成；
1016：目的DR保存User ID与Locator的映射关系；
1017：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1012为UE生成密钥的过程，步骤1009-1011为目的DR生成密钥的过程，步骤1012和步骤1009-1011不分先后顺序。
由上可知，本发明实施例提供一种密钥生成的方法，目的DR接收源DR发送的切换请求消息，其中，所述切换请求消息包含UE的用户标识符，所述UE的设备标识符；所述目的DR向SLS发送接入请求消息，其中，所述接入请求中包含所述UE的用户标识符和所述UE的设备标识符，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述SLS根据随机值，根密钥以及下述参数中的一种或几种派生：所述UE的设备标识符，目的DR所处域的域标识，目的DR的标识符；所述目的DR根据所述接入响应消息中的设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中UE与DR之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为终端用户与DR之间的数据传输提供机密性，完整性的缺陷。
实施例七
图11为本发明实施例提供的另一种密钥生成方法流程图，所述方法应用于UE处于归属域的场景下，此时，图11所示的SLS为归属SLS，如图11所示，可以包括以下步骤:
1101：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1102：目的DR向SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1103：SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1104：SLS向目的DR发送认证请求消息；其中，所述认证请求消息包含nonce，Domain ID；所述Domain ID保存在SLS内；
1105：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1106：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给SLS；
1107：目的DR向SLS发送认证响应消息；其中，所述认证响应消息用于通知SLS完成认证过程；
1108：SLS根据UE的User ID查询得到SLS与UE共享的根密钥K；
1109：SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce，Domain ID，DR ID）；
1110：SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1111：目的DR生成临时密钥Kdev’=KDF（Kdev）及会话密钥Ksession=KDF（Kdev’，counter）；
1112：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce，Domain ID，DR ID），临时密钥Kdev’=KDF（Kdev）及会话密钥Ksession=KDF（Kdev’，counter）；
进一步的，由于当UE移动到目的DR的覆盖区域时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1113：目的DR向SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1114：SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1115：SLS向目的DR发送更新响应消息；其中，所述更新响应消息用于通知目的DR信息更新已完成；
1116：目的DR保存User ID与Locator的映射关系；
1117：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1112为UE生成密钥的过程，步骤1109-1111为目的DR生成密钥的过程，步骤1112和步骤1109-1111不分先后顺序。
由上可知，本发明实施例提供一种密钥生成的方法、设备及系统，目的DR接收源DR发送的切换请求消息，其中，所述切换请求消息包含UE的用户标识符，所述UE的设备标识符；所述目的DR向SLS发送接入请求消息，其中，所述接入请求中包含所述UE的用户标识符和所述UE的设备标识符，所述SLS为所述UE的归属SLS，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述SLS根据随机值，根密钥以及下述参数中的一种或几种派生：所述UE的设备标识符，目的DR所处域的域标识，目的DR的标识符；所述目的DR根据所述接入响应消息中的设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中UE与DR之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为终端用户与DR之间的数据传输提供机密性，完整性的缺陷。
实施例八
图12为本发明实施例提供的另一种密钥生成方法流程图，所述方法应用于UE处于归属域的场景下，此时，图12所示的SLS为归属SLS，如图12所示，可以包括以下步骤:
1201：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1202：目的DR向SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1203：SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1204：SLS向目的DR发送认证请求消息；其中，所述认证请求消息包含nonce，Domain ID；所述Domain ID保存在SLS内；
1205：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1206：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给SLS；
1207：目的DR向SLS发送认证响应消息；其中，所述认证响应消息用于通知SLS完成认证过程；
1208：SLS根据UE的User ID查询得到SLS与UE共享的根密钥K；
1209：SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce）；
1210：SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1211：目的DR生成临时密钥Kdev’=KDF（Kdev，Domain ID，DR ID）及会话密钥Ksession=KDF（Kdev’，counter）；
1212：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce），临时密钥Kdev’=KDF（Kdev，Domain ID，DR ID）及会话密钥Ksession=KDF（Kdev’，counter）；
进一步的，由于当UE移动到目的DR的覆盖范围时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1213：目的DR向SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1214：SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1215：SLS向目的DR发送更新响应消息；其中，所述更新响应消息用于通知目的DR信息更新已完成；
1216：目的DR保存User ID与Locator的映射关系；
1217：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1212为UE生成密钥的过程，步骤1209-1211为目的DR生成密钥的过程，步骤1212和步骤1209-1211不分先后顺序。
由上可知，本发明实施例提供一种密钥生成的方法、设备及系统，目的DR接收源DR发送的切换请求消息，其中，所述切换请求消息包含UE的用户标识符，所述UE的设备标识符；所述目的DR向SLS发送接入请求消息，其中，所述接入请求中包含所述UE的用户标识符和所述UE的设备标识符，所述SLS为所述UE的归属SLS，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述SLS根据随机值，根密钥以及下述参数中的一种或几种派生：所述UE的设备标识符，目的DR所处域的域标识，目的DR的标识符；所述目的DR根据所述接入响应消息中的设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中UE与DR之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为UE与DR之间的数据传输提供机密性，完整性的缺陷。
实施例九
图13为本发明实施例提供的另一种密钥生成方法流程图，所述方法应用于UE处于归属域的场景下，此时，图13所示的SLS为归属SLS，如图13所示，可以包括以下步骤:
1301：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1302：目的DR向SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1303：SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1304：SLS向目的DR发送认证请求消息；其中，所述认证请求消息包含nonce，Domain ID；所述Domain ID保存在SLS内；
1305：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1306：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给SLS；
1307：目的DR向SLS发送认证响应消息；其中，所述认证响应消息用于通知SLS完成认证过程；
1308：SLS根据UE的User ID查询得到SLS与UE共享的根密钥K；
1309：SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce）；
1310：SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1311：目的DR生成临时密钥Kdev’=KDF（Kdev）及会话密钥Ksession=KDF（Kdev’，counter，Domain ID，DR ID）；
1312：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce），临时密钥Kdev’=KDF（Kdev）及会话密钥Ksession=KDF（Kdev’，counter，Domain ID，DR ID）；
进一步的，由于当UE移动到目的DR的移动范围时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1313：目的DR向SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1314：SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1315：SLS向目的DR发送更新响应消息；其中，所述更新响应消息用于通知目的DR信息更新已完成；
1316：目的DR保存User ID与Locator的映射关系；
1317：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1312为UE生成密钥的过程，步骤1309-1311为目的DR生成密钥的过程，步骤1312和步骤1309-1311不分先后顺序。
由上可知，本发明实施例提供另一种密钥生成的方法，由上可知，本发明实施例提供一种密钥生成的方法、设备及系统，目的DR接收源DR发送的切换请求消息，其中，所述切换请求消息包含UE的用户标识符，所述UE的设备标识符；所述目的DR向SLS发送接入请求消息，其中，所述接入请求中包含所述UE的用户标识符和所述UE的设备标识符，所述SLS为所述UE的归属SLS；所述目的DR接收所述SLS发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述SLS根据随机值，根密钥以及下述参数中的一种或几种派生：所述UE的设备标识符，目的DR所处域的域标识，目的DR的标识符；所述目的DR根据所述接入响应消息中的设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中UE与DR之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为UE与DR之间的数据传输提供机密性，完整性的缺陷。
实施例十
图14为本发明实施例提供的另一种密钥生成的方法流程图，所述方法适用于UE处于拜访域，即UE处于漫游状态的场景下，如图14所示，包括以下步骤：
1401：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1402：目的DR向拜访SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；所述拜访SLS为所述目的DR所处域的SLS；
1403：拜访SLS向归属SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1404：归属SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1405：归属SLS向拜访SLS发送认证请求消息；其中，所述认证请求消息包含所述随机值nonce，Domain ID；所述Domain ID保存在归属SLS内；
1406：拜访SLS向目的DR发送认证请求消息；所述认证请求消息包含nonce，Domain ID；
1407：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1408：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给拜访SLS；
1409：目的DR向拜访SLS发送认证响应消息；以使得拜访SLS将认证响应消息反馈给归属SLS；
1410：拜访SLS向归属SLS发送认证响应消息；其中，所述认证响应消息用于通知归属SLS完成认证过程；
1411：归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；
1412：归属SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce）；
1413：归属SLS向拜访SLS发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1414：拜访SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1415：目的DR生成临时密钥Kdev’=KDF（Kdev，counter）及会话密钥Ksession=KDF（Kdev’，Domain ID，DR ID）；
1416：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce），临时密钥Kdev’=KDF（Kdev，counter）及会话密钥Ksession=KDF（Kdev’，Domain ID，DR ID）；
进一步的，由于当UE移动到目的DR的覆盖范围时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1417：目的DR向拜访SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1418：目的DR向归属SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1419：归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1420：归属SLS向拜访SLS发送更新响应消息，其中，所述更新响应消息用于通知目的DR信息更新已完成；
1421：拜访SLS向目的DR发送更新响应消息；
1422：目的DR保存User ID与Locator的映射关系；
1423：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1416为UE生成密钥的过程，步骤1411-1415为目的DR生成密钥的过程，步骤1416和步骤1411-1415不分先后顺序。
由上可知，本发明实施例提供另一种密钥生成的方法，源DR向目的DR发送切换请求消息；目的DR向拜访SLS发送接入请求消息；拜访SLS向归属SLS发送接入请求消息；归属SLS生成一个随机值nonce；归属SLS向拜访SLS发送认证请求消息；拜访SLS向目的DR发送认证请求消息；目的DR向UE发送认证请求消息；UE向目的DR发送认证响应消息；目的DR向拜访SLS发送认证响应消息；拜访SLS向归属SLS发送认证响应消息；归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；归属SLS生成设备相关密钥；归属SLS向拜访SLS发送接入响应消息；拜访SLS向目的DR发送接入响应消息；目的DR生成临时密钥及会话密钥；UE生成设备相关密钥，临时密钥及会话密钥；目的DR向拜访SLS发送更新请求消息；目的DR向归属SLS发送更新请求消息；归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；归属SLS向拜访SLS发送更新响应消息，拜访SLS向目的DR发送更新响应消息；目的DR保存User ID与Locator的映射关系；目的DR向源DR发送切换响应消息。如此，逐级派生出会话密钥，为UIP网络中UE与DR之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为UE与DR之间的数据传输提供机密性，完整性的缺陷。
实施例十一
图15为本发明实施例提供的另一种密钥生成的方法流程图，所述方法适用于UE处于拜访域，即UE处于漫游状态的场景下，如图15所示，包括以下步骤：
1501：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1502：目的DR向拜访SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；所述拜访SLS为所述目的DR所处域的SLS；
1503：拜访SLS向归属SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1504：归属SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1505：归属SLS向拜访SLS发送认证请求消息；其中，所述认证请求消息包含所述随机值nonce，Domain ID；所述Domain ID保存在归属SLS内；
1506：拜访SLS向目的DR发送认证请求消息；所述认证请求消息包含nonce，Domain ID；
1507：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1508：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给拜访SLS；
1509：目的DR向拜访SLS发送认证响应消息；以使得拜访SLS将认证响应消息反馈给归属SLS；
1510：拜访SLS向归属SLS发送认证响应消息；其中，所述认证响应消息用于通知归属SLS完成认证过程；
1511：归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；
1512：归属SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce，Domain ID，DR ID）；
1513：归属SLS向拜访SLS发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1514：拜访SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1515：目的DR生成临时密钥Kdev’=KDF（Kdev，counter）及会话密钥Ksession=KDF（Kdev’）；
1516：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce，Domain ID，DR ID），临时密钥Kdev’=KDF（Kdev，counter）及会话密钥Ksession=KDF（Kdev’）；
进一步的，由于UE移动到目的DR的覆盖区域时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1517：目的DR向拜访SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1518：目的DR向归属SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1519：归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1520：归属SLS向拜访SLS发送更新响应消息，其中，所述更新响应消息用于通知目的DR信息更新已完成；
1521：拜访SLS向目的DR发送更新响应消息；
1522：目的DR保存User ID与Locator的映射关系；
1523：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1516为UE生成密钥的过程，步骤1511-1515为目的DR生成密钥的过程，步骤1516和步骤1511-1515不分先后顺序。
由上可知，本发明实施例提供另一种密钥生成的方法，源DR向目的DR发送切换请求消息；目的DR向拜访SLS发送接入请求消息；拜访SLS向归属SLS发送接入请求消息；归属SLS生成一个随机值nonce；归属SLS向拜访SLS发送认证请求消息；拜访SLS向目的DR发送认证请求消息；目的DR向UE发送认证请求消息；UE向目的DR发送认证响应消息；目的DR向拜访SLS发送认证响应消息；拜访SLS向归属SLS发送认证响应消息；归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；归属SLS生成设备相关密钥；归属SLS向拜访SLS发送接入响应消息；拜访SLS向目的DR发送接入响应消息；目的DR生成临时密钥及会话密钥；UE生成设备相关密钥，临时密钥及会话密钥；目的DR向拜访SLS发送更新请求消息；目的DR向归属SLS发送更新请求消息；归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；归属SLS向拜访SLS发送更新响应消息，拜访SLS向目的DR发送更新响应消息；目的DR保存User ID与Locator的映射关系；目的DR向源DR发送切换响应消息。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例十二
图16为本发明实施例提供的另一种密钥生成的方法，所述方法适用于UE处于拜访域，即UE处于漫游状态的场景下，如图16所示，包括以下步骤：
1601：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1602：目的DR向拜访SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；所述拜访SLS为所述目的DR所处域的SLS；
1603：拜访SLS向归属SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1604：归属SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1605：归属SLS向拜访SLS发送认证请求消息；其中，所述认证请求消息包含所述随机值nonce,Domain ID；所述Domain ID保存在归属SLS内；
1606：拜访SLS向目的DR发送认证请求消息；所述认证请求消息包含nonce，Domain ID；
1607：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1608：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给拜访SLS；
1609：目的DR向拜访SLS发送认证响应消息；以使得拜访SLS将认证响应消息反馈给归属SLS；
1610：拜访SLS向归属SLS发送认证响应消息；其中，所述认证响应消息用于通知归属SLS完成认证过程；
1611：归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；
1612：归属SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce）；
1613：归属SLS向拜访SLS发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1614：拜访SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1615：目的DR生成临时密钥Kdev’=KDF（Kdev，counter，Domain ID，DR ID）及会话密钥Ksession=KDF（Kdev’）；
1616：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce），临时密钥Kdev’=KDF（Kdev，counter，Domain ID，DR ID）及会话密钥Ksession=KDF（Kdev’）；
进一步的，由于UE移动到目的DR的覆盖范围时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1617：目的DR向拜访SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1618：目的DR向归属SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1619：归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1620：归属SLS向拜访SLS发送更新响应消息，其中，所述更新响应消息用于通知目的DR信息更新已完成；
1621：拜访SLS向目的DR发送更新响应消息；
1622：目的DR保存User ID与Locator的映射关系；
1623：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1616为UE生成密钥的过程，步骤1611-1615为目的DR生成密钥的过程，步骤1616和步骤1611-1615不分先后顺序。
由上可知，本发明实施例提供另一种密钥生成的方法，源DR向目的DR发送切换请求消息；目的DR向拜访SLS发送接入请求消息；拜访SLS向归属SLS发送接入请求消息；归属SLS生成一个随机值nonce；归属SLS向拜访SLS发送认证请求消息；拜访SLS向目的DR发送认证请求消息；目的DR向UE发送认证请求消息；UE向目的DR发送认证响应消息；目的DR向拜访SLS发送认证响应消息；拜访SLS向归属SLS发送认证响应消息；归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；归属SLS生成设备相关密钥；归属SLS向拜访SLS发送接入响应消息；拜访SLS向目的DR发送接入响应消息；目的DR生成临时密钥及会话密钥；UE生成设备相关密钥，临时密钥及会话密钥；目的DR向拜访SLS发送更新请求消息；目的DR向归属SLS发送更新请求消息；归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；归属SLS向拜访SLS发送更新响应消息，拜访SLS向目的DR发送更新响应消息；目的DR保存User ID与Locator的映射关系；目的DR向源DR发送切换响应消息。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例十三
图17为本发明实施例提供的另一种密钥生成的方法流程图，所述方法适用于UE处于拜访域，即UE处于漫游状态的场景下，如图17所示，包括以下步骤：
1701：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1702：目的DR向拜访SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；所述拜访SLS为所述目的DR所处域的SLS；
1703：拜访SLS向归属SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1704：归属SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1705：归属SLS向拜访SLS发送认证请求消息；其中，所述认证请求消息包含所述随机值nonce，Domain ID；所述Domain ID保存在归属SLS内；
1706：拜访SLS向目的DR发送认证请求消息；所述认证请求消息包含nonce，Domain ID；
1707：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1708：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给拜访SLS；
1709：目的DR向拜访SLS发送认证响应消息；以使得拜访SLS将认证响应消息反馈给归属SLS；
1710：拜访SLS向归属SLS发送认证响应消息；其中，所述认证响应消息用于通知归属SLS完成认证过程；
1711：归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；
1712：归属SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce，Domain ID，DR ID）；
1713：归属SLS向拜访SLS发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1714：拜访SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1715：目的DR生成临时密钥Kdev’=KDF（Kdev）及会话密钥Ksession=KDF（Kdev’，counter）；
1716：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce，Domain ID，DR ID），临时密钥Kdev’=KDF（Kdev）及会话密钥Ksession=KDF（Kdev’，counter）；
进一步的，由于当UE移动到目的DR的覆盖区域时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1717：目的DR向拜访SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1718：目的DR向归属SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1719：归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1720：归属SLS向拜访SLS发送更新响应消息，其中，所述更新响应消息用于通知目的DR信息更新已完成；
1721：拜访SLS向目的DR发送更新响应消息；
1722：目的DR保存User ID与Locator的映射关系；
1723：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1716为UE生成密钥的过程，步骤1711-1715为目的DR生成密钥的过程，步骤1716和步骤1711-1715不分先后顺序。
由上可知，本发明实施例提供另一种密钥生成的方法，源DR向目的DR发送切换请求消息；目的DR向拜访SLS发送接入请求消息；拜访SLS向归属SLS发送接入请求消息；归属SLS生成一个随机值nonce；归属SLS向拜访SLS发送认证请求消息；拜访SLS向目的DR发送认证请求消息；目的DR向UE发送认证请求消息；UE向目的DR发送认证响应消息；目的DR向拜访SLS发送认证响应消息；拜访SLS向归属SLS发送认证响应消息；归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；归属SLS生成设备相关密钥；归属SLS向拜访SLS发送接入响应消息；拜访SLS向目的DR发送接入响应消息；目的DR生成临时密钥及会话密钥；UE生成设备相关密钥，临时密钥及会话密钥；目的DR向拜访SLS发送更新请求消息；目的DR向归属SLS发送更新请求消息；归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；归属SLS向拜访SLS发送更新响应消息，拜访SLS向目的DR发送更新响应消息；目的DR保存User ID与Locator的映射关系；目的DR向源DR发送切换响应消息。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例十四
图18为本发明实施例提供的另一种密钥生成的方法流程图，所述方法适用于UE处于拜访域，即UE处于漫游状态的场景下，如图18所示，包括以下步骤：
1801：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1802：目的DR向拜访SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；所述拜访SLS为所述目的DR所处域的SLS；
1803：拜访SLS向归属SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID；
1804：归属SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1805：归属SLS向拜访SLS发送认证请求消息；其中，所述认证请求消息包含所述随机值nonce，Domain ID；所述Domain ID保存在归属SLS内；
1806：拜访SLS向目的DR发送认证请求消息；所述认证请求消息包含nonce，Domain ID；
1807：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1808：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给拜访SLS；
1809：目的DR向拜访SLS发送认证响应消息；以使得拜访SLS将认证响应消息反馈给归属SLS；
1810：拜访SLS向归属SLS发送认证响应消息；其中，所述认证响应消息用于通知归属SLS完成认证过程；
1811：归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；
1812：归属SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce）；
1813：归属SLS向拜访SLS发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1814：拜访SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1815：目的DR生成临时密钥Kdev’=KDF（Kdev，Domain ID，DR ID）及会话密钥Ksession=KDF（Kdev’，counter）；
1816：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce），临时密钥Kdev’=KDF（Kdev，Domain ID，DR ID）及会话密钥Ksession=KDF（Kdev’，counter）；
进一步的，由于当UE移动到目的DR的覆盖范围时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1817：目的DR向拜访SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1818：目的DR向归属SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1819：归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1820：归属SLS向拜访SLS发送更新响应消息，其中，所述更新响应消息用于通知目的DR信息更新已完成；
1821：拜访SLS向目的DR发送更新响应消息；
1822：目的DR保存User ID与Locator的映射关系；
1823：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1816为UE生成密钥的过程，步骤1811-1815为目的DR生成密钥的过程，步骤1816和步骤1811-1815不分先后顺序。
由上可知，本发明实施例提供另一种密钥生成的方法，源DR向目的DR发送切换请求消息；目的DR向拜访SLS发送接入请求消息；拜访SLS向归属SLS发送接入请求消息；归属SLS生成一个随机值nonce；归属SLS向拜访SLS发送认证请求消息；拜访SLS向目的DR发送认证请求消息；目的DR向UE发送认证请求消息；UE向目的DR发送认证响应消息；目的DR向拜访SLS发送认证响应消息；拜访SLS向归属SLS发送认证响应消息；归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；归属SLS生成设备相关密钥；归属SLS向拜访SLS发送接入响应消息；拜访SLS向目的DR发送接入响应消息；目的DR生成临时密钥及会话密钥；UE生成设备相关密钥，临时密钥及会话密钥；目的DR向拜访SLS发送更新请求消息；目的DR向归属SLS发送更新请求消息；归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；归属SLS向拜访SLS发送更新响应消息，拜访SLS向目的DR发送更新响应消息；目的DR保存User ID与Locator的映射关系；目的DR向源DR发送切换响应消息。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例十五
图19为本发明实施例提供的另一种密钥生成的方法流程图，所述方法适用于UE当前处于拜访域，即UE处于漫游状态的场景下，如图19所示，包括以下步骤：
1901：源DR向目的DR发送切换请求消息；其中，所述切换请求信息包含User ID，Device ID；
1902：目的DR向拜访SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；所述拜访SLS为所述目的DR所处域的SLS；
1903：拜访SLS向归属SLS发送接入请求消息；其中，所述接入请求消息包含User ID，Device ID，DR ID；
1904：归属SLS生成一个随机值nonce；其中，所述随机值nonce用于认证UE及生成设备相关密钥Kdev；
1905：归属SLS向拜访SLS发送认证请求消息；其中，所述认证请求消息包含所述随机值nonce，Domain ID；所述Domain ID保存在归属SLS内；
1906：拜访SLS向目的DR发送认证请求消息；所述认证请求消息包含nonce，Domain ID；
1907：目的DR向UE发送认证请求消息；其中，认证请求消息包含nonce，Domain ID，DR ID，以使得UE根据nonce，Domain ID，DR ID，根密钥K以及计数值counter派生出设备相关密钥Kdev，临时密钥Kdev’，会话密钥Ksession；
1908：UE向目的DR发送认证响应消息；以使得目的DR将认证响应消息反馈给拜访SLS；
1909：目的DR向拜访SLS发送认证响应消息；以使得拜访SLS将认证响应消息反馈给归属SLS；
1910：拜访SLS向归属SLS发送认证响应消息；其中，所述认证响应消息用于通知归属SLS完成认证过程；
1911：归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；
1912：归属SLS生成设备相关密钥Kdev=KDF（K，Device ID，nonce）；
1913：归属SLS向拜访SLS发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1914：拜访SLS向目的DR发送接入响应消息；其中，所述接入响应消息包含所述设备相关密钥Kdev；
1915：目的DR生成临时密钥Kdev’=KDF（Kdev）及会话密钥Ksession=KDF（Kdev’，counter，Domain ID，DR ID）；
1916：UE生成设备相关密钥Kdev=KDF（K，Device ID，nonce），临时密钥Kdev’=KDF（Kdev）及会话密钥Ksession=KDF（Kdev’，counter，Domain ID，DR ID）；
进一步的，由于当UE移动到目的DR的覆盖范围时，目的DR中没有所述UE的User ID与Locator的映射关系，UE与目的DR还没有建立联系，因此，为了使所述UE与目的DR建立联系，所述方法还包括以下步骤：
1917：目的DR向拜访SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1918：目的DR向归属SLS发送更新请求消息；其中，所述更新请求消息包含目的DR的DR ID；
1919：归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；
1920：归属SLS向拜访SLS发送更新响应消息，其中，所述更新响应消息用于通知目的DR信息更新已完成；
1921：拜访SLS向目的DR发送更新响应消息；
1922：目的DR保存User ID与Locator的映射关系；
1923：目的DR向源DR发送切换响应消息；其中，所述切换响应消息用于通知源DR切换已完成。
其中，需要说明的是，步骤1916为UE生成密钥的过程，步骤1911-1915为目的DR生成密钥的过程，步骤1916和步骤1911-1915不分先后顺序。
由上可知，本发明实施例提供另一种密钥生成的方法，源DR向目的DR发送切换请求消息；目的DR向拜访SLS发送接入请求消息；拜访SLS向归属SLS发送接入请求消息；归属SLS生成一个随机值nonce；归属SLS向拜访SLS发送认证请求消息；拜访SLS向目的DR发送认证请求消息；目的DR向UE发送认证请求消息；UE向目的DR发送认证响应消息；目的DR向拜访SLS发送认证响应消息；拜访SLS向归属SLS发送认证响应消息；归属SLS根据UE的User ID查询得到归属SLS与UE共享的根密钥K；归属SLS生成设备相关密钥；归属SLS向拜访SLS发送接入响应消息；拜访SLS向目的DR发送接入响应消息；目的DR生成临时密钥及会话密钥；UE生成设备相关密钥，临时密钥及会话密钥；目的DR向拜访SLS发送更新请求消息；目的DR向归属SLS发送更新请求消息；归属SLS保存UE与当前DR ID（即目的DR的DR ID）的映射关系；归属SLS向拜访SLS发送更新响应消息，拜访SLS向目的DR发送更新响应消息；目的DR保存User ID与Locator的映射关系；目的DR向源DR发送切换响应消息。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例十六
图20为本发明实施例提供的一种目的路由器200，如图20所示，包括：
接收模块2001：用于接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符。
其中，源路由器和目的路由器是相对的概念，根据用户设备（User Equipment，UE）的切换情况确定，源路由器为所述UE切换前与所述UE进行数据通信的路由器，目的路由器为所述UE切换后与所述UE进行数据通信的路由器；其中，所述切换为UE从一个路由器的覆盖区域移动到另一个路由器的覆盖区域；本发明实施例中，源路由器和目的路由器可以在同一个UIP域内或不同的UIP域内，当源路由器和目的路由器处于同一个UIP域内时，UE处于域内移动的状态；当源路由器和目的路由器处于不同的UIP域内时，UE处于域间移动的状态；例如，图2为UIP网络中用户设备移动性管理的示意图，如图2所示，连接UIP网络的UE的移动情况可以有下述两种：域内移动，如UE从路由器2的覆盖区域移动到路由器1的覆盖区域，其中路由器2为源路由器，路由器1为目的路由器；域间移动，如UE从路由器2的覆盖区域移动到路由器3的覆盖区域，其中，路由器2为源路由器，路由器3为目的路由器。
在本发明的一个实施例中，当UE从源路由器的覆盖区域移动到目的路由器200的覆盖区域时，接收模块2001接收源路由器发送的切换请求消息，其中，所述切换请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符，或者，所述切换请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符以及定位符。
其中，所述用户设备的用户标识符（User ID），所述用户设备的设备标识符（Device ID）以及定位符（Locator）是UIP网络协议划分的三个标识符（identification，ID）；User ID由运营商分配，永久不变；Device ID由设备制造商或运营商分配，如国际移动设备辨识码（International Mobile Station Equipment Identity，IMEI），一个User ID可以关联多个Device ID；Loctaor通常为IP地址，由运营商分配或用户设备指定，一个Device ID可以关联多个Locator；所述用户设备的用户标识符，所述用户设备的设备标识符以及定位符可以在UE与源路由器进行数据通信的初始化过程中保存在源路由器中；例如，图3为UIP网络的ID模型的示意图，如图3所示，对于一个用户多台设备的场景，UIP网络的ID可以分为一个用户标识符（User ID），多个设备标识符（Device ID）以及多个定位符（Locator）。
发送模块2002：用于在所述接收模块接收到切换请求消息时，向位置服务器发送接入请求消息，其中，所述接入请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符。
其中，所述目的路由器的标识符保存在所述目的路由器中，用于标识所述目的路由器。
所述位置服务器为所述用户设备的归属位置服务器和/或拜访位置服务器；所述用户设备的归属位置服务器为归属域内的位置服务器，所述拜访位置服务器为拜访域内的位置服务器；其中，所述归属域为用户与运营商签约时约定的用户所属的UIP域，在用户设备的通信过程中归属域是唯一不变的；所述拜访域为UE处于漫游状态时所处的域；所述漫游状态是指UE当前所处的UIP域不是归属域；例如，如图2所示，假设UE的归属域为UIP域-1，则位置服务器SLS-1为归属位置服务器，当UE移动到UIP域-2内的路由器3的覆盖区域，即离开归属域时，UE处于漫游状态，UIP域-2为拜访域，位置服务器SLS-2为拜访位置服务器。
所述接收模块2001还用于，接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的域标识，所述目的路由器的标识符。
其中，所述随机值由所述位置服务器生成，用于认证所述用户设备以及生成设备相关密钥；
所述根密钥为UE与UIP网络中所述UE和所述UE的归属位置服务器的共享密钥，保存在所述UE和所述归属位置服务器中，且所述根密钥与所述UE的用户标识符（User ID）相对应，每个UE有唯一的根密钥，由位置服务器根据所述用户标识符查询得到，用于派生出设备相关密钥，所述根密钥K可以由运营商预先设定，本发明实施例对此不进行限定。
所述位置服务器所处域的标识符为归属位置服务器所处域的标识符，保存在所述UE的归属位置服务器中，用于标识所述UE的归属域；在本发明的一个实施例中，所述位置服务器所处域的标识符可以由所述用户设备的归属位置服务器发送给所述目的路由器，还可以由所述目的路由器通过其他的配置方式获得，本发明实施例对此不进行限定。
所述设备相关密钥（Kdev）可以由所述UE的归属服务器根据随机值（nonce），根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符（Device ID），所述位置服务器所处域的标识符（Domain ID），所述目的路由器的标识符（DR ID），实现在一个用户多设备的场景下，不同的设备具有不同的设备相关密钥Kdev。
在本发明的一个实施例中，所述设备相关密钥Kdev可以由所述归属位置服务器根据随机值，根密钥以及所述用户设备的设备标识符（Domain ID），采用密钥派生函数（Key derivation function，KDF）派生，例如，Kdev=KDF(K，Device ID，nonce)；
或者，由所述归属位置服务器根据所述随机值nonce，根密钥K，所述用户设备的设备标识符（Device ID），位置服务器所处域的标识符（Domain ID）以及目的路由器的标识符（DR ID），采用密钥派生函数（Key derivation function，KDF）派生，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)。
生成模块2003，用于在所述接收单元2001接收到接入响应消息时，根据所述设备相关密钥派生出会话密钥。
进一步的，发送模块2001具体用于，根据所述UE当前所处域的情况，向所述用户设备的归属位置服务器和/或拜访位置服务器发送接入请求消息。
本发明实施例中，根据图2所示的UIP网络中UE的移动性以及UIP域的情况可知，UE的移动情况可以为下述五种移动情况中的任一种情况：归属域的域内移动，拜访域的域间移动，拜访域到归属域的域间移动，归属域到拜访域的域间移动，拜访域到拜访域的域间移动，因此，所述UE当前所处域可以为归属域或者拜访域。
示例性的，当所述UE当前所处域是归属域时，发送模块2001向归属位置服务器发送接入请求信息。
示例性的，当所述UE当前所处域是拜访域时，发送模块2001向拜访位置服务器发送接入请求信息，以使得所述拜访位置服务器向所述归属位置服务器发送所述接入请求信息。
进一步的，生成模块2003具体用于，根据所述接入响应消息中的设备相关密钥派生出临时密钥；根据所述临时密钥派生出会话密钥。例如，图4为本发明实施例提供的UIP网络密钥等级的结构示意图，如图4所示，UIP网络的密钥包含根密钥K，设备相关密钥Kdev，临时密钥Kdev’以及会话密钥Ksession；所述设备相关密钥Kdev由根密钥K派生，所述临时密钥Kdev’由所述设备相关密钥Kdev派生，所述会话密钥Ksession由所述临时密钥Kdev’派生，逐级派生出会话密钥，为目的路由器与用户设备之间的数据传输提供机密性、完整性保护。
示例性的，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及所述用户设备的设备标识符派生；例如，所述设备相关密钥Kdev=KDF(K，Device ID，nonce)；
所述生成模块2003具体用于，通过下述（1）-（4）四种方法派生出会话密钥，下面对这四种方法分别进行说明：
（1）根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；其中，计数值counter为UIP系统网络中路由器与用户设备维护的一个计数器产生的计数值；
根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，Domain ID，DR ID)。
（2）根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，counter，Domain ID，DR ID)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)。
（3）根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，Domain ID，DR ID)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)；
（4）根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，counter，Domain ID，DR ID)。
示例性的，所述设备相关密钥由所述位置服务器根据随机值，根密钥，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生；例如，所述设备相关密钥Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
所述生成模块2003具体用于，通过下述（1）-（2）两种方法派生出会话密钥，下面对这两种方法分别进行说明：
（1）根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’);
（2）根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)。
进一步的，所述接收模块2001还用于，接收所述位置服务器发送的认证请求消息；其中认证请求消息包含所述随机值和所述位置服务器所处域的标识符；
所述发送模块2002还用于，在所述接收模块2001接收到认证请求消息时，向所述用户设备发送认证请求消息，其中，认证请求消息包含所述随机值、所述位置服务器所处域的标识符以及所述目的路由器的标识符，以使得所述用户设备返回认证响应消息及生成设备相关密钥以及会话密钥。
由上可知，本发明实施例提供一种目的路由器200，接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符；向位置服务器发送接入请求消息，其中，所述接入请求中包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符；接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥由位置服务器根据所述随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的标识符，所述目的路由器的标识符；根据所述接入响应消息中的设备相关密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例十七
图21为本发明实施例提供的一种位置服务器210，如图21所示，包括：
接收模块2101，用于接收目的路由器发送的接入请求消息，其中，所述接入请求消息包含用户设备的用户标识符，用户设备的设备标识符和所述目的路由器的标识符。
发送模块2102，用于在所述接收模块接收到接入请求信息时，向所述目的路由器发送认证请求消息，其中，所述认证请求中包含随机值和所述位置服务器所处域的标识符；所述随机值由所述位置服务器生成，用于认证所述用户设备及生成设备相关密钥。
所述接收模块2101还用于，接收所述目的路由器发送的认证响应消息，
生成模块2103，用于在所述接收模块接收到所述目的路由器发送的认证响应消息时，根据根密钥，所述随机值以及下述参数中的一种或几种派生出所述设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符。
所述发送模块2102，还用于在所述生成模块生成设备相关密钥时，向所述目的路由器发送接入响应消息，其中，所述接入响应消息中包含所述设备相关密钥。
进一步的，所述生成模块2103具体用于，通过下述（1）-（2）两种方式派生设备相关密钥，下面对这两种方式分别进行说明：
（1）根据根密钥，所述随机值以及所述用户设备的设备标识符派生出所述设备相关密钥，例如，设备相关密钥Kdev=KDF(K，Device ID，nonce)；
（2）根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出所述设备相关密钥，例如，设备相关密钥Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)。
由上可知，本发明实施例提供一种目的路由器230，接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符；向位置服务器发送接入请求消息，其中，所述接入请求中包含所述用户设备的用户标识符和所述用户设备的设备标识符，所述位置服务器为所述用户设备的归属位置服务器和/或拜访位置服务器；接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，目的路由器所处域的域标识，目的路由器的标识符；根据所述接入响应消息中的设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络的通信过程中没有会话密钥，不能为终端用户与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例十八
图22为本发明实施例提供的一种用户设备220，如图22所示，包括：
接收模块2201：用于接收目的路由器发送的认证请求消息，其中，所述认证请求消息包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符。
生成模块2202：用于在所述接收模块接收到认证请求消息时，根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出会话密钥。
进一步的，所述生成模块2202具体用于，根据所述设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。
示例性的，所述生成模块2202通过下述（1）-（6）六种方式派生出会话密钥，下面对这六种方式分别进行说明：
（1）根据随机值，根密钥以及的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，Domain ID，DR ID)；
（2）根据随机值，根密钥，以及的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev,counter,DomainID,DR ID)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)；
（3）根据随机值，根密钥，以及的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，Domain ID，DR ID)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)；
（4）根据随机值，根密钥，以及的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，counter，Domain ID，DR ID)；
（5）根据随机值，根密钥，的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)；
（6）根据随机值，根密钥，的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)。
由上可知，本发明实施例提供一种用户设备220，接收目的路由器发送的认证请求消息，其中，所述认证请求消息中包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符；根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例十九
参见图23，为本发明实施例提供的另一种目的路由器230，如图23所示，该设备包括：处理器2301、存储器2302、通信单元2303，至少一个通信总线2304，用于实现这些装置之间的连接和相互通信；
处理器2301可能是一个中央处理器（英文：central processing unit，简称为CPU）；
存储器2302，可以是易失性存储器（英文：volatile memory），例如随机存取存储器（英文：random-access memory，缩写：RAM）；或者非易失性存储器（英文：non-volatile memory），例如只读存储器（英文：read-only memory，缩写：ROM），快闪存储器（英文：flash memory），硬盘（英文：hard disk drive，缩写：HDD）或固态硬盘（英文：solid-state drive，缩写：SSD）；或者上述种类的存储器的组合，并向处理器1001提供指令和数据；
所述通信单元2303，用于接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符。
其中，源路由器和目的路由器是相对的概念，根据用户设备（User Equipment，UE）的切换情况确定，源路由器为所述UE切换前与所述UE进行数据通信的路由器，目的路由器为所述UE切换后与所述UE进行数据通信的路由器；其中，所述切换为UE从一个路由器的覆盖区域移动到另一个路由器的覆盖区域；本发明实施例中，源路由器和目的路由器可以在同一个UIP域内或不同的UIP域内，当源路由器和目的路由器处于同一个UIP域内时，UE处于域内移动的状态；当源路由器和目的路由器处于不同的UIP域内时，UE处于域间移动的状态；例如，图2为UIP网络中用户设备移动性管理的示意图，如图2所示，连接UIP网络的UE的移动情况可以有下述两种：域内路由器间移动，如UE从路由器2的覆盖区域移动到路由器1的覆盖区域，其中路由器2为源路由器，路由器1为目的路由器；域间路由器间移动，如UE从路由器2的覆盖区域移动到路由器3的覆盖区域，其中，路由器2为源路由器，路由器3为目的路由器。
在本发明的一个实施例中，当UE从源路由器的覆盖区域移动到目的路由器200的覆盖区域时，接收模块2001接收源路由器发送的切换请求消息，其中，所述切换请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符，或者，所述切换请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符以及定位符。
其中，所述用户设备的用户标识符（User ID），所述用户设备的设备标识符（Device ID）以及定位符（Locator）是UIP网络协议划分的三个标识符（identification，ID）；User ID由运营商分配，永久不变；Device ID由设备制造商或运营商分配，如国际移动设备辨识码（International Mobile Station Equipment Identity，IMEI），一个User ID可以关联多个Device ID；Loctaor通常为IP地址，由运营商分配或用户设备指定，一个Device ID可以关联多个Locator；所述用户设备的用户标识符，所述用户设备的设备标识符以及定位符可以在UE与源路由器进行数据通信的初始化过程中保存在源路由器中；例如，图3为UIP网络的ID模型的示意图，如图3所示，对于一个用户多台设备的场景，UIP网络的ID可以分为一个用户标识符（User ID），多个设备标识符（Device ID）以及多个定位符（Locator）。
所述通信单元2303，还用于在接收到切换请求消息时，向位置服务器发送接入请求消息，其中，所述接入请求消息包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符。
其中，所述目的路由器的标识符保存在所述目的路由器中，用于标识所述目的路由器。
所述位置服务器为所述用户设备的归属位置服务器和/或拜访位置服务器；所述用户设备的归属位置服务器为归属域内的位置服务器，所述拜访位置服务器为拜访域内的位置服务器；其中，所述归属域为用户与运营商签约时约定的用户所属的UIP域，在用户设备的通信过程中归属域是唯一不变的；所述拜访域为UE处于漫游状态时所处的域；所述漫游状态是指UE当前所处的UIP域不是归属域；例如，如图2所示，假设UE的归属域为UIP域-1，则位置服务器SLS-1为归属位置服务器，当UE移动到UIP域-2内的路由器3的覆盖区域，即离开归属域时，UE处于漫游状态，UIP域-2为拜访域，位置服务器SLS-2为拜访位置服务器。
所述通信单元2303，还用于接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的域标识，所述目的路由器的标识符。
其中，所述随机值由所述位置服务器生成，用于认证所述用户设备以及生成设备相关密钥；
所述根密钥为UE与UIP网络中所述UE和所述UE的归属位置服务器的共享密钥，保存在所述UE和所述归属位置服务器中，且所述根密钥与所述UE的用户标识符（User ID）相对应，每个UE有唯一的根密钥，由位置服务器根据所述用户标识符查询得到，用于派生出设备相关密钥，所述根密钥K可以由运营商预先设定，本发明实施例对此不进行限定。
所述位置服务器所处域的标识符为归属位置服务器所处域的标识符，保存在所述UE的归属位置服务器中，用于标识所述UE的归属域；在本发明的一个实施例中，所述位置服务器所处域的标识符可以由所述用户设备的归属位置服务器发送给所述目的路由器，还可以由所述目的路由器通过其他的配置方式获得，本发明实施例对此不进行限定。
所述设备相关密钥（Kdev）可以由所述UE的归属服务器根据随机值（nonce），根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符（Device ID），所述位置服务器所处域的标识符（Domain ID），所述目的路由器的标识符（DR ID），实现在一个用户多设备的场景下，不同的设备具有不同的设备相关密钥Kdev。
在本发明的一个实施例中，所述设备相关密钥Kdev可以由所述归属位置服务器根据随机值，根密钥以及所述用户设备的设备标识符（Domain ID），采用密钥派生函数（Key derivation function，KDF）派生，例如，Kdev=KDF(K，Device ID，nonce)；
或者，由所述归属位置服务器根据所述随机值nonce，根密钥K，所述用户设备的设备标识符（Device ID），位置服务器所处域的标识符（Domain ID）以及目的路由器的标识符（DR ID），采用密钥派生函数（Key derivation function，KDF）派生，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)。
处理器2301，用于在所述通信单元2303接收到接入响应消息时，根据所述设备相关密钥派生出会话密钥。
进一步的，所述处理器2301，具体用于根据所述接入响应消息中的设备相关密钥派生出临时密钥；根据所述临时密钥派生出会话密钥。
示例性的，所述设备相关密钥由所述位置服务器根据随机值，根密钥以及所述用户设备的设备标识符派生；例如，所述设备相关密钥Kdev=KDF(K，Device ID，nonce)；
所述处理器2301具体用于，通过下述（1）-（4）四种方法派生出会话密钥，下面对这四种方法分别进行说明：
（1）根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；其中，计数值counter为UIP系统网络中路由器与用户设备维护的一个计数器产生的计数值；
根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，Domain ID，DR ID)。
（2）根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，counter，Domain ID，DR ID)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)。
（3）根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，Domain ID，DR ID)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)；
（4）根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，counter，Domain ID，DR ID)。
示例性的，所述设备相关密钥由所述位置服务器根据随机值，根密钥，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生；例如，所述设备相关密钥Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
所述处理器2301具体用于，通过下述（1）-（2）两种方法派生出会话密钥，下面对这两种方法分别进行说明：
（1）根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’);
（2）根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)。
进一步的，所述通信单元2303还用于，接收所述位置服务器发送的认证请求消息；其中认证请求消息包含所述随机值和所述位置服务器所处域的标识符；
所述通信单元2303还用于，在所述通信单元2303接收到认证请求消息时，向所述用户设备发送认证请求消息，其中，认证请求消息包含所述随机值、所述位置服务器所处域的标识符以及所述目的路由器的标识符，以使得所述用户设备返回认证响应消息及生成设备相关密钥以及会话密钥。
由上可知，本发明实施例提供另一种目的路由器230，接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符；向位置服务器发送接入请求消息，其中，所述接入请求中包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符；接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥由位置服务器根据所述随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的标识符，所述目的路由器的标识符；根据所述接入响应消息中的设备相关密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例二十
图24为本发明实施例提供的另一种位置服务器240，如图24所示，该设备包括：处理器2401、存储器2402、通信单元2403，至少一个通信总线2404，用于实现这些装置之间的连接和相互通信；
处理器2401可能是一个中央处理器（英文：central processing unit，简称为CPU）；
存储器2402，可以是易失性存储器（英文：volatile memory），例如随机存取存储器（英文：random-access memory，缩写：RAM）；或者非易失性存储器（英文：non-volatile memory），例如只读存储器（英文：read-only memory，缩写：ROM），快闪存储器（英文：flashmemory），硬盘（英文：hard disk drive，缩写：HDD）或固态硬盘（英文：solid-state drive，缩写：SSD）；或者上述种类的存储器的组合，并向处理器1001提供指令和数据；
所述通信单元2403，用于接收目的路由器发送的接入请求消息，其中，所述接入请求消息包含用户设备的用户标识符，用户设备的设备标识符和所述目的路由器的标识符。
所述通信单元2403，还用于在接收到接入请求消息时，向所述目的路由器发送认证请求消息，其中，所述认证请求消息包含随机值和所述位置服务器所处域的标识符；所述随机值由所述位置服务器生成，用于认证所述用户设备及生成设备相关密钥。
所述通信单元2403，还用于接收所述目的路由器发送的认证响应消息。
所述处理器2401，用于在通信单元2403接收到认证响应消息时，根据根密钥，所述随机值以及下述参数中的一种或几种派生出所述设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符。
所述通信单元2403，还用于在所述处理器2401生成设备相关密钥时，向所述目的路由器发送接入响应消息，其中，所述接入响应消息包含所述设备相关密钥。
进一步的，所述处理器2401具体用于，通过下述（1）-（2）两种方式派生设备相关密钥，下面对这两种方式分别进行说明：
（1）根据根密钥，所述随机值以及所述用户设备的设备标识符派生出所述设备相关密钥，例如，设备相关密钥Kdev=KDF(K，Device ID，nonce)。
（2）根据根密钥，所述随机值，所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出所述设备相关密钥，例如，设备相关密钥Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)。
由上可知，本发明实施例提供另一种位置服务器240，接收目的路由器发送的接入请求，其中，所述接入请求中包含用户设备的用户标识符，用户设备的设备标识符和所述目的路由器的标识符，向所述目的路由器发送认证请求，其中，所述认证请求中包含随机值和所述位置服务器所处域的标识符，所述随机值由所述位置服务器生成，用于认证所述用户设备及生成设备相关密钥；接收所述目的路由器发送的认证响应消息，根据根密钥，所述随机值以及下述参数中的一种或几种派生出所述设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例二十一
图25为本发明实施例提供的另一种用户设备250，如图25所示，该设备包括：处理器2501、存储器2502、通信单元2503，至少一个通信总线2504，用于实现这些装置之间的连接和相互通信；
处理器2501可能是一个中央处理器（英文：central processing unit，简称为CPU）；
存储器2502，可以是易失性存储器（英文：volatile memory），例如随机存取存储器（英文：random-access memory，缩写：RAM）；或者非易失性存储器（英文：non-volatile memory），例如只读存储器（英文：read-only memory，缩写：ROM），快闪存储器（英文：flash memory），硬盘（英文：hard disk DRive，缩写：HDD）或固态硬盘（英文：solid-state DRive，缩写：SSD）；或者上述种类的存储器的组合，并向处理器1001提供指令和数据；
所述通信单元2503，用于接收目的路由器发送的认证请求消息，其中，所述认证请求消息中包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符。
所述处理器2501，用于在所述通信单元2503接收到认证请求消息时，根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出会话密钥。
进一步的，所述处理器2501具体用于：根据所述设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。
示例性的，所述处理器2501通过下述（1）-（6）六种方式派生出会话密钥，下面对这六种方式分别进行说明：
（1）根据随机值，根密钥以及的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
根据所述临时密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，Domain ID，DR ID)；
（2）根据随机值，根密钥，以及的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev,counter,DomainID,DR ID)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)；
（3）根据随机值，根密钥，以及的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出临时密钥，例如，Kdev’=KDF(Kdev，Domain ID，DR ID)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)；
（4）根据随机值，根密钥，以及的设备标识符派生出设备相关密钥，例如，Kdev=KDF(K，DeviceID，nonce)；
根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥，计数值，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出会话密钥，例如，Ksession=KDF(Kdev’，counter，Domain ID，DR ID)；
（5）根据随机值，根密钥，的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
根据所述设备相关密钥以及计数值派生出临时密钥，例如，Kdev’=KDF(Kdev，counter)；
根据所述临时密钥派生出会话密钥，例如，Ksession=KDF(Kdev’)；
（6）根据随机值，根密钥，的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符派生出设备相关密钥，例如，Kdev=KDF(K，Device ID，nonce，Domain ID，DR ID)；
根据所述设备相关密钥派生出临时密钥，例如，Kdev’=KDF(Kdev)；
根据所述临时密钥以及计数值派生出会话密钥，例如，Ksession=KDF(Kdev’，counter)。
由上可知，本发明实施例提供另一种用户设备250，接收目的路由器发送的认证请求消息，其中，所述认证请求消息中包含所述随机值，所述位置服务器所处域的标识符以及所述目的路由器的标识符；根据根密钥，所述随机值以及下述参数中的一种或几种派生出设备相关密钥：所述用户设备的设备标识符，所述位置服务器所处域的标识符以及所述目的路由器的标识符，根据所述设备相关密钥派生出临时密钥，根据所述临时密钥派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
实施例二十二
图26为本发明实施例提供的一种密钥生成系统26，如图26所示，包括：用户设备261，源路由器262，目的路由器263以及位置服务器264。
其中，源路由器262和目的路由器263具有相同的功能，用户设备261，目的路由器263以及位置服务器264的功能如前面用户设备250，目的路由器230以及位置服务器240所述，在此不再赘述。
由上可知，本发明实施例提供一种密钥生成系统26，目的路由器接收源路由器发送的切换请求消息，其中，所述切换请求消息包含用户设备的用户标识符，所述用户设备的设备标识符；所述目的路由器向位置服务器发送接入请求消息，其中，所述接入请求中包含所述用户设备的用户标识符，所述用户设备的设备标识符和所述目的路由器的标识符；所述目的路由器接收所述位置服务器发送的接入响应消息，其中，所述接入响应消息包含设备相关密钥，所述设备相关密钥所述位置服务器根据随机值，根密钥以及下述参数中的一种或几种派生：所述用户设备的设备标识符，所述位置服务器所处域的域标识，所述目的路由器的标识符；所述目的路由器根据所述接入响应消息中的设备相关密钥派生出派生出会话密钥。如此，逐级派生出会话密钥，为UIP网络中用户设备与路由器之间的数据传输提供机密性、完整性；避免了现有UIP网络不能为用户设备与路由器之间的数据传输提供机密性，完整性的缺陷。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的单元和系统的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统，设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理包括，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。
上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器（Read-Only Memory，简称ROM）、随机存取存储器（Random Access Memory，简称RAM）、磁碟或者光盘等各种可以存储程序代码的介质。
本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件（例如处理器）来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器、随机存储器、磁盘或光盘等。
最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。