CN106358195A - 适用于lte接入层的安全激活优化方法 - Google Patents
适用于lte接入层的安全激活优化方法 Download PDFInfo
- Publication number
- CN106358195A CN106358195A CN201510443810.9A CN201510443810A CN106358195A CN 106358195 A CN106358195 A CN 106358195A CN 201510443810 A CN201510443810 A CN 201510443810A CN 106358195 A CN106358195 A CN 106358195A
- Authority
- CN
- China
- Prior art keywords
- message
- security
- radio resource
- resource control
- control module
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 63
- 230000004913 activation Effects 0.000 title claims abstract description 40
- 238000005457 optimization Methods 0.000 title claims abstract description 25
- 230000008569 process Effects 0.000 claims description 31
- 230000005540 biological transmission Effects 0.000 claims description 26
- 230000006870 function Effects 0.000 claims description 23
- 238000012795 verification Methods 0.000 claims description 23
- 230000007246 mechanism Effects 0.000 claims description 10
- 238000009434 installation Methods 0.000 claims description 3
- 238000012545 processing Methods 0.000 abstract description 5
- 230000008901 benefit Effects 0.000 abstract description 3
- 230000002776 aggregation Effects 0.000 abstract 3
- 238000004220 aggregation Methods 0.000 abstract 3
- 238000005516 engineering process Methods 0.000 description 6
- 230000011664 signaling Effects 0.000 description 6
- 238000010586 diagram Methods 0.000 description 4
- 230000007774 longterm Effects 0.000 description 4
- 239000000203 mixture Substances 0.000 description 4
- 230000004048 modification Effects 0.000 description 4
- 238000012986 modification Methods 0.000 description 4
- 230000004044 response Effects 0.000 description 4
- 238000007726 management method Methods 0.000 description 3
- 238000004891 communication Methods 0.000 description 2
- 238000005111 flow chemistry technique Methods 0.000 description 2
- 238000009472 formulation Methods 0.000 description 2
- 230000006872 improvement Effects 0.000 description 2
- 238000010295 mobile communication Methods 0.000 description 2
- 230000008520 organization Effects 0.000 description 2
- 238000011160 research Methods 0.000 description 2
- 238000012360 testing method Methods 0.000 description 2
- 238000011144 upstream manufacturing Methods 0.000 description 2
- 241000208340 Araliaceae Species 0.000 description 1
- 241000760358 Enodes Species 0.000 description 1
- 235000005035 Panax pseudoginseng ssp. pseudoginseng Nutrition 0.000 description 1
- 235000003140 Panax quinquefolius Nutrition 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 235000008434 ginseng Nutrition 0.000 description 1
- 238000012805 post-processing Methods 0.000 description 1
- 238000003825 pressing Methods 0.000 description 1
- 238000003672 processing method Methods 0.000 description 1
- HSTZMXCBWJGKHG-CUYWLFDKSA-N trans-piceid Chemical compound O[C@@H]1[C@@H](O)[C@H](O)[C@@H](CO)O[C@H]1OC1=CC(O)=CC(\C=C\C=2C=CC(O)=CC=2)=C1 HSTZMXCBWJGKHG-CUYWLFDKSA-N 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/10—Integrity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W24/00—Supervisory, monitoring or testing arrangements
- H04W24/02—Arrangements for optimising operational condition
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本发明涉及一种适用于LTE接入层的安全激活优化方法，其特点是：早于无线资源控制协议模块激活分组数据汇聚协议模块的安全保护机制之前，通过分组数据汇聚协议模块将所有接收到的下行消息及其对应的计数值，一起投递给无线资源控制协议模块进行处理。通过对应的解码获取完整性保护密钥，仅在验证成功后激活分组数据汇聚协议模块的安全保护功能，否则无线资源控制协议模块继续使用原有的安全配置。可有效避免在SMC消息完整性验证时，由于下行消息接收的时序影响而带来的安全验证不确定性隐患。令流程处理能更加快捷简便，减小消息处理的时延，可有效提升UE接入LTE网络的响应速度。
Description
技术领域
本发明涉及一种LTE接入层数据传输安全优化方法，尤其涉及一种适用于LTE接入层的安全激活优化方法。
背景技术
结合现有的通讯应用领域来看，依托于3GPP(Third Generation PartnershipProject，第三代合作伙伴计划)建立的传输机制已日益成熟。该3GPP成立于1998年12月，多个电信标准组织伙伴签署了《第三代伙伴计划协议》。3GPP最初的工作范围是为第三代移动通信***制定全球适用技术规范和技术报告。第三代移动通信***基于的是发展的GSM核心网络和它们所支持的无线接入技术，主要是UMTS。随后3GPP的工作范围得到了改进，增加了对UTRA长期演进***的研究和标准制定。目前欧洲ETSI、美国TIA、日本TTC、ARIB、韩国TTA以及我国CCSA作为3GPP的6个组织伙伴(OP)。目前独立成员有300多家，此外，3GPP还有TD-SCDMA产业联盟(TDIA)、TD-SCDMA论坛、CDMA发展组织(CDG)等13个市场伙伴(MRP)。
同时，3GPP的组织结构中，最上面是项目协调组(PCG)，由ETSI、TIA、TTC、ARIB、TTA和CCSA 6个OP组成，对技术规范组(TSG)进行管理和协调。3GPP共分为4个TSG(之前为5个TSG，后CN和T合并为CT)，分别为TSG GERAN(GSM/EDGE无线接入网)、TSG RAN(无线接入网)、TSG SA(业务与***)、TSG CT(核心网与终端)。每一个TSG下面又分为多个工作组。如负责LTE标准化的TSG RAN分为RAN WG1(无线物理层)、RAN WG2(无线层2和层3)、RAN WG3(无线网络架构和接口)、RAN WG4(射频性能)和RAN WG5(终端一致性测试)5个工作组。
在实际的实施过程中，3GPP制定的标准规范以Release作为版本进行管理，平均一到两年就会完成一个版本的制定，从建立之初的R99，之后到R4，目前已经发展到R10。并且，3GPP对工作的管理和开展以项目的形式，最常见的形式是Study Item和Work Item。3GPP对标准文本采用分系列的方式进行管理，如常见的WCDMA和TD-SCDMA接入网部分标准在25系列中，核心网部分标准在22、23和24等系列中，LTE标准在36系列中等。
进一步来看，目前广泛采纳的3GPP长期演进(Long Term Evolution，简称LTE)***/***构架演进(System Architecture Evolution，简称SAE)的通信接入安全采用分层式安全架构机制。具体来说，其按照层次结构分为非接入层(NonAccess Stratum，简称NAS)、安全机制和接入层(Access Stratum，简称AS)安全机制，其各自拥有自己独立的安全上下文。其中，NAS层的安全上下文由MME(Mobility Management Entity，移动管理实体)负责初始化建立、配置和管理。而AS层安全上下文采用eNB(evolvedNode B，演进节点)负责初始化建立、配置和管理。这些安全上下文包括密钥、安全算法标识符以及上下行序列计数值(COUNT值)。
并且，NAS层和AS层各自独立的安全功能均由各自的安全模式命令(Security Mode Command，简称SMC)激活。具体来说，安全功能包括了完整性保护和机密性保护。其中，NAS层安全功能，是指对NAS信令的完整性保护和机密性保护。AS层安全功能，是指对控制面无线资源控制协议模块(Radio Resource Control，简称RRC)信令的完整性保护和机密性保护，以及用户面(User Plane，简称UP)数据的机密性保护。在具体来看，完整性保护是将消息体作为入参生成一个4字节的MAC-I(Message Authentication Codefor Integrity，完整性消息鉴别码)值，通过对比消息中携带的MAC-I和根据消息本身计算出的XMAC-I来验证消息的完整性。与之对应的是，机密性保护是将消息进行加解密处理。
结合常见安全算法实施来看，当用户设备(User Equipment，简称UE)接入LTE网络后，UE会首先会发起Attach(附着)请求发起网络注册。同时，UE的安全能力参数随着Attach请求消息发到MME。之后，MME根据自身的网络安全配置选择相应的完整性算法和加解密算法。根据选中的安全算法和根密钥KASME在NAS AKA(鉴权和密钥协商)过程中生成。并且，MME会生成NAS的安全密钥，通过NAS SMC消息将选择的NAS安全算法通知给UE。
与此同时，UE涉及的基于KASME以及NAS SMC消息携带的，由MME选择的NAS层安全算法，来生成NAS层安全密钥。其包括完整性保护密钥和加解密密钥。并且，可以根据KASME以及上行NAS COUNT值计算出KeNB。UE基于KeNB以及AS SMC消息携带的、由eNB选择的AS层安全算法生成AS层安全密钥，包括控制面完整性保护密钥(KRRCint)和加解密密钥(KRRCenc)以及用户面加解密密钥(KUPenc)。
在UE生成NAS层和AS层安全密钥后，会基于完整性保护密钥和算法分别对NAS SMC消息和AS SMC消息进行完整性验证。如果验证通过，UE会返回SMC成功的消息。否则，UE返回NAS SMC失败或AS SMC失败的消息给网络侧。
结合图1现有的AS SMC过程的信令流程图来看，其包括了如下的步骤：
步骤11中：通过eNB启动控制面消息完整性保护。
步骤12中：通过eNB向UE发送AS SMC消息，该消息携带了eNB选择的AS安全算法等信息，并基于KeNB生成的AS完整性密钥和本消息中指示的完整性算法进行完整性保护。
步骤13中：通过eNB发送AS SMC消息后，启动控制面和用户面下行消息的加密功能。
步骤14中：通过UE收到AS SMC消息后，对其完整性进行验证。如果验证通过，进入步骤15，否者进入步骤19。
步骤15中：若验证通过，则启动控制面消息完整性保护，以及控制面和用户面消息的下行消息解密。
步骤16中：通过UE向eNB返回经过完整性保护的Security ModeComplete消息。
步骤17中：通过UE启动控制面以及用户面上行消息加密。
步骤18中：通过eNB收到UE发送的Security Mode Complete消息后，启动控制面和用户面上行消息解密。至此，AS SMC流程结束，AS安全功能被激活。
步骤19中：AS SMC消息完整性验证失败，UE返回一条没有经过完整性保护的Security Mode Failure消息给eNB，说明此次AS SMC过程失败。
结合现有的AS SMC过程中，协议要求UE处理AS SMC消息的流程图来看，其主要包括以下步骤：
步骤21为：AS SMC经由底层传到分组数据汇聚协议模块(下文简称为RRC)，经RRC ASN.1解码后，得知是AS SMC消息。
步骤22为：RRC根据KASME以及上行NAS COUNT值计算出KeNB。
步骤23为：根据KeNB以及AS SMC消息中指示的完整性保护算法，演算出完整性保护密钥KRRCint。
步骤24为：将AS SMC消息中指示的完整性保护算法和KRRCint密钥，以及Security Mode Command消息内容，发给AS层分组数据汇聚协议模块(下文简称为PDCP)，请求PDCP验证Security Mode Command消息的完整性。
步骤25为：PDCP在收到RRC验证请求后，根据请求中指示的算法和密钥对SMC消息进行验证，向RRC返回验证结果。如果验证成功，则执行步骤26，否者执行步骤29。
步骤26为：验证通过，RRC根据KeNB以及AS SMC消息中指示的加密算法演算出加解密密钥KRRCenc和KUPenc，
步骤27为：RRC将全部三个密钥以及相关安全算法配给PDCP，激活PDCP安全保护功能。PDCP对随后UE所有接收和发送的消息都进行完整性保护；对除Security Mode Complete消息外所有接收和发送的消息都进行加解密保护。
步骤28为：标识AS安全已激活，RRC将Security Mode Complete消息，提交给底层传输，此流程结束。
步骤29为：RRC继续使用原有的安全配置，而不使用从接收到的SecurityMode Command消息中的配置。也就是说，在此期间：不使用完整性保护，也不进行加解密处理。并将Security Mode Failure消息，提交给底层传输，此流程结束。
再进一步结合实际应用来看，UE收到eNB发送的Security Mode Command消息后，UE RRC需要对其进行完整性保护的验证。其实施的原理如图3所示。并且UE需要首先确定Security Mode Command消息对应的COUNT值。
根据协议的规定，COUNT值由PDCP来进行维护。具体来说，其由消息SN(Sequance Number)序列号和HFN(Hyper Frame Number超帧号)组成。SN号和HFN号初始值都为0。同时，PDCP每处理一条上/下行消息，对应的上/下行SN就会更新加1。当SN已更新到最大值且需要再次更新时，SN回归为0，同时HFN更新加1。
并且，网络侧和UE侧在同一方向上，会同时维护一个COUNT值。对于同一条消息，例如Security Mode Command(SMC)消息，如果此条消息是网络侧发出的第N条下行消息，那么对于UE而言侧，它也就是UE侧接收到的第N条下行消息。因此，对于同一条消息，作为完整性保护算法参数之一的COUNT值，在网络侧和UE侧是相同的。
但是，由于SMC消息在RRC ASN.1解码处理前。由此，PDCP无从判断哪条下行消息是AS SMC消息。此PDCP无法直接记录SMC消息的COUNT值。这就目前常见问题所产生的根源。也就是说，现有的协议对其具体实现并无详细描述。通常的做法是，PDCP可以根据当前维护的COUNT值，倒推出SMC消息对应的COUNT值。同时，在大多数情况下，PDCP接收到的最近一条消息就是SMC消息。因此，将当前的COUNT值，减1就是SMC消息对应的COUNT值。因为按照PDCP协议流程，处理完一个下行PDCP PDU(即SMC消息)后，维护的下行SN即会更新加1。然而，由于协议要求，eNB在发送完Security ModeCommand消息后，会在同一个TTI中传输下行重配消息(RRC ConnectionReconfiguration)。并且在这个过程中，而不必等待UE发送的Security ModeComplete消息或者Security Mode Failure消息。
由此，会导致出现以下的情况：在RRC请求PDCP对Security ModeCommand消息进行完整性验证时，PDCP此时已经收到了下行重配消息。如果此时要还原出接收到Security Mode Command消息时所对应的COUNT值，那么此时PDCP维护的COUNT就需要做两次减一处理。这就给PDCP的安全验证带来了很大的不确定性，而这种不确定性可认为是一种安全隐患。
为了解决可能存在的安全隐患，现有技术201310013744.2提供了一种数据安全传输方法及LTE接入网***。其在实施的时候涉及到了基于长期演进LTE***的异构网络。具体来说，此异构网络包括：LTE核心网、LTE接入网、以及LTE用户设备，所述LTE接入网中部署有一个或多个宏基站MeNB，在所述MeNB的覆盖范围内部署有一个或多个低功率节点LPN。进一步来说：在所述LTE用户设备接入所述MeNB时，所述MeNB从所述LTE核心网获取基站密钥，根据所述基站密钥生成第一接入层密钥，并通过其与所述LTE用户设备之间的控制面接口，使用所述第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给所述LTE用户设备；所述MeNB确定所述LTE用户设备的用户数据的分流策略，并通过其与LPN之间的后向链路接口，向相应的LPN发送为所述LTE用户设备提供多流传输服务的请求消息、所述LPN所需的控制面信息、以及第二接入层密钥；所述MeNB接收所述LPN发送的请求响应，根据所述分流策略将从所述LTE核心网接收到的用户数据中的一部分通过其与所述LTE用户设备之间的用户面接口，使用所述第一接入层密钥对相应用户数据进行加密后发送给所述LTE用户设备，将所述用户数据中的另一部分通过所述后向链路接口发送给所述LPN；所述LPN使用所述第二接入层密钥对相应的用户数据进行加密，并通过其与所述LTE用户设备之间的用户面接口将加密后的用户数据发送给所述LTE用户设备。
简而言之，其通过MeNB从核心网获取基站密钥，可根据基站密钥生成第一接入层密钥，并使用第一接入层密钥对相应控制面信息和用户数据进行加密，并对相应控制面信息进行完整性保护后发送给LTE用户设备；MeNB确定LTE用户设备的用户数据的分流策略，并向相应的LPN发送为LTE用户设备提供多流传输服务的请求消息；MeNB接收LPN发送的请求响应，根据分流策略将从核心网接收到的用户数据中的一部分使用第一接入层密钥对相应用户数据进行加密后发送给LTE用户设备，将用户数据中的另一部分发送给LPN；LPN使用第二接入层密钥对相应的用户数据进行加密，并将加密后的用户数据发送给LTE用户设备。
实施的时候，通过异构接入网中宏基站将密钥传输给LPN，使得LPN与UE间无线链路上的传输可以实现配置的安全保护功能，保障了该***架构的安全性能。但是，这只是针对LPN与UE间无线链路的传输，不能从根本上改善LTE接入层所存在的安全激活机制的隐患。
另有一现有技术，CN200880113207.2，其描述LTE WTRU中的NAS层(L3)的特征，由此允许所述NAS协议层将层3消息路由到正确的NAS实体，并对新的NAS消息类型和信息元素进行编码。提出了启用NAS安全性的新架构。当产生NAS消息时，基于所述NAS消息的协议鉴别符(PD)、所述NAS消息的报头中的指示符字段、所述NAS消息的类型、NAS安全性状态变量以及根据RRC协议的指示中的至少一者来做出是否对所述NAS消息进行加密、解密和/或完整性检查的决定。所述NAS安全性状态变量用于指示NAS安全性当前是否被激活，并且可以包含一个比特。
其实际解决的问题是，允许所述NAS协议层将L3消息路由到正确LTE NAS实体(例如EMM和ESM)。允许新的NAS消息类型和新的NAS IE的编码。提供了新的NAS架构以启用NAS安全性并允许对用于产生相等长度的加密密钥流的NAS PDU的长度的确定。此外，允许所述NAS层在无线电链路失败和切换后处理SN和HFN。
但是，也仅仅是对NAS消息的报头中的指示符字段、所述NAS消息的类型、NAS安全性状态变量以及根据RRC协议的指示中的至少一者来满足后续的加密解密或是完整性检查需要，并不能明确的确定相关消息诸如NAS消息所对应的COUNT值，同样会给安全验证带来隐患。更为重要的是，无法避免在按协议标准实现SMC过程中出现验证失败，既可能会出现应该验证通过但由于协议方法不周全导致失败的情况。
简而言之，按照现有的数据处理方法，在一些情况下，会出现SMC消息验证第两次才通过，即下行消息的时序影响了COUNT值。而更为严重的情况是，一些协议实现没有考虑到下行消息时序的问题，进而没有进行二次验证，使得SMC验证失败，导致链路建立失败。
有鉴于上述的缺陷，本设计人，积极加以研究创新，以期创设一种适用于LTE接入层的安全激活优化方法，使其更具有产业上的利用价值。
发明内容
为解决上述技术问题，本发明的目的是提供一种适用于LTE接入层的安全激活优化方法。
本发明的适用于LTE接入层的安全激活优化方法，其特征在于包括以下步骤：
步骤一，在无线资源控制协议模块(Radio Resource Control，简称RRC)激活分组数据汇聚协议模块(PDCP)的安全保护机制之前，通过分组数据汇聚协议模块将所有接收到的下行消息及其对应的计数值，一起投递给无线资源控制协议模块进行处理。
步骤二，通过无线资源控制协议模块对收到的每条下行消息均进行解码，如果解码后的含义为安全模式命令消息(SMC)，则进入步骤三，否则，流程结束。
步骤三，按照无线资源控制协议模块要求计算出推演密钥(KeNB)，根据安全模式命令消息所指示的完整性保护算法与推演密钥相结合，计算出完整性保护密钥(KRRCint)。
步骤四，通过无线资源控制协议模块将完整性保护密钥与分组数据汇聚协议模块投递消息中所携带的计数值、安全模式命令消息指示的完整性保护算法、安全模式命令消息等完整性验证算法参数，直接传递给安全算法单元(SecurityAlgorithm Unit，简称SAU)。
步骤五，安全算法单元根据无线资源控制协议模块传递的各个参数对，对安全模式命令消息进行完整性验证。验证完毕后，通过安全算法单元将完整性验证结果通知无线资源控制协议模块。
步骤六，无线资源控制协议模块收到完整性验证结果后进行处理，若为验证成功，则激活分组数据汇聚协议模块的安全保护功能，否则无线资源控制协议模块继续使用原有的安全配置。
步骤七，验证通过后，分组数据汇聚协议模块收到无线资源控制协议模块的安全激活指令，开启安全保护功能，分组数据汇聚协议模块投递给无线资源控制协议模块的下行消息中不再携带消息对应的计数值，分组数据汇聚协议模块按照协议要求，自行调用安全算法单元对消息进行安全保护处理。
进一步地，上述的适用于LTE接入层的安全激活优化方法，其中，所述的步骤一中，对应的超帧号(Hyper Frame Number，简称HFN)处于初始值，其值为0。
更进一步地，上述的适用于LTE接入层的安全激活优化方法，其中，所述的计数值为COUNT值(序列计数值)或是为SN(序列号)。
更进一步地，上述的适用于LTE接入层的安全激活优化方法，其中，步骤四所述的传递方法为消息通信方式。
更进一步地，上述的适用于LTE接入层的安全激活优化方法，其中，步骤四所述的安全算法单元是采用硬件构成的算法加速器装置；或是，所述的安全算法单元是通过计算机语言汇编(软件)所构成的软件算法模块。
更进一步地，上述的适用于LTE接入层的安全激活优化方法，其中，步骤六所述的激活分组数据汇聚协议模块的安全保护功能过程如下：
首先，无线资源控制协议模块根据推演密钥以及接入层(AS)安全模式命令消息中指示的加密算法，演算出加解密密钥(KRRCenc)和用户面加解密密钥(KUPenc)。
接着，无线资源控制协议模块将加解密密钥、用户面加解密密钥、控制面完整性保护密钥(KRRCint)三者以及相关安全算法配给分组数据汇聚协议模块。通过激活分组数据汇聚协议模块的安全保护功能，分组数据汇聚协议模块对随后用户设备(User Equipment，简称UE)所有接收和发送的消息均进行完整性保护。对除安全模式完成(Security Mode Complete)消息外的所有接收和发送的消息，均进行加解密保护。
之后，标识接入层安全已激活，无线资源控制协议模块将安全模式完成的消息，提交给底层传输。
再进一步地，上述的适用于LTE接入层的安全激活优化方法，其中，步骤六所述的无线资源控制协议模块继续使用原有的安全配置，无线资源控制协议模块不使用接收到的安全模式命令消息中的配置，不使用完整性保护，不进行加解密处理，将安全模式失效(Security Mode Failure)消息，提交给底层传输。
借由上述方案，本发明至少具有以下优点：
在验证SMC消息时，能够明确的确定SMC消息对应的COUNT值，可有效避免在SMC消息完整性验证时，由于下行消息接收的时序影响而带来的安全验证不确定性隐患。
并且，在激活PDCP安全功能之前，由于RRC直接调用安全算法单元对SMC消息进行完整性验证。这样，就使得流程处理能更加快捷简便，减小消息处理的时延。由此，能够有效提升UE接入LTE网络的响应速度。
以上所述仅是本发明的优选实施方式，并不用于限制本发明，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本发明的保护范围。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，并可依照说明书的内容予以实施，以下以本发明的较佳实施例并配合附图详细说明如后。
附图说明
图1是现有的AS SMC过程的信令流程示意图；
图2是现有的AS SMC过程中，协议要求UE处理AS SMC消息的流程示意图；
图3是完整性保护算法的实施示意图；
图4是适用于LTE接入层的安全激活优化方法的实施流程示意图；
图5是直接调用SAU来获取SMC消息的完整性验证结果的简易示意图。
具体实施方式
下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。
参见图1的适用于LTE接入层的安全激活优化方法，其与众不同之处在于包括以下步骤：
首先，在安全保护机制被激活之前，通过分组数据汇聚协议模块将所有接收到的下行消息及其对应的计数值，一起投递给无线资源控制协议模块进行处理。具体来说，该激活之前是无线资源控制协议模块(Radio Resource Control，简称RRC)激活分组数据汇聚协议模块(PDCP)的安全保护机制之前。并且，在这个过程中对应的超帧号(Hyper Frame Number，简称HFN)处于初始值，其值为0。同时，考虑到能够采用不同的计数方式满足多种实施方式的需要，采用的计数值为COUNT值(序列计数值)，亦可以是SN(序列号)。
之后，通过无线资源控制协议模块对收到的每条下行消息均进行解码。在实际操作时，如果解码后的含义为安全模式命令消息(SMC)，则进入后续的密钥处理步骤。否则，流程结束。也就是说，当收到了其他类型的消息时，按其他消息的特定流程进行处理，(既是转到其他的处理分支)不再继续SMC消息的处理流程。
具体来说，本发明采用的密钥处理步骤如下：为了尽可能匹配现有的协议处理需要，可以按照无线资源控制协议模块要求计算出推演密钥(KeNB)。之后，根据安全模式命令消息所指示的完整性保护算法与推演密钥相结合，计算出完整性保护密钥(KRRCint)。
接着，通过无线资源控制协议模块，将完整性保护密钥与分组数据汇聚协议模块投递消息中所携带的计数值、安全模式命令消息指示的完整性保护算法、安全模式命令消息等完整性验证算法参数，直接传递给安全算法单元(SAUSecurity Algorithm Unit)。为了满足稳定有效的数据传输，本发明采用的传递方法为消息通信方式。当然，考虑到实施方式的多样化以及特殊性需要，亦可以采用SAU模块提供API函数的方式。并且，在实际实施的时候，为了减少后台的软件处理负担，采用的安全算法单元是采用硬件构成的算法加速器装置。当然，如果数据处理效率高，且运算占比不大的情况下，亦可以采用通过计算机语言汇编所构成的软件算法模块来构成软件式的安全算法单元。
紧接着，安全算法单元根据无线资源控制协议模块传递的各个参数对对安全模式命令消息进行完整性验证。待验证完毕后，通过安全算法单元，将完整性验证结果通知无线资源控制协议模块。并且，能够依托于无线资源控制协议模块来对完整性验证结果进行处理。
进一步来看，在实际处理期间，如果验证成功，则激活分组数据汇聚协议模块的安全保护功能。具体来说，本发明所采用的激活分组数据汇聚协议模块的安全保护功能过程为：
步骤一，通过无线资源控制协议模块，根据推演密钥以及接入层(AS)安全模式命令消息中指示的加密算法，演算出加解密密钥(KRRCenc)。同时，依托于次步骤演算获取用户面加解密密钥(KUPenc)。
步骤二，通过无线资源控制协议模块，将加解密密钥、用户面加解密密钥、控制面完整性保护密钥(KRRCint)三者随同相关安全算法配给分组数据汇聚协议模块，以此来激活分组数据汇聚协议模块的安全保护功能。随后，分组数据汇聚协议模块对用户设备(User Equipment UE)所有接收和发送的消息均进行完整性保护。与此同时，对除安全模式完成(Security Mode Complete)消息外的所有接收和发送的消息，均进行加解密保护。结合实际应用来看，这里采用的相关安全算法主要涉及加解密算法和完整性保护算法，而这两种算法有四种实现模式，既一种模式同时对应两种算法。同一时间，只会通过算法模式ID配置一种模式。例如用“001”表示当前只使用模式1的两种算法。
步骤三，通过无线资源控制协议模块，标识接入层安全已激活，同时通过无线资源控制协议模块将安全模式完成的消息，提交给底层传输。
与之对应的是，如果先前验证失败，则无线资源控制协议模块继续使用原有的安全配置即可。具体来说，由于采用了原有的安全配置，则无线资源控制协议模块可以不使用接收到的安全模式命令消息中的配置。同时，也不需要采用完整性保护，不进行加解密处理。并且，考虑到对验证失败的信息进行有效的传输，需要将安全模式失效(Security Mode Failure)消息，提交给底层传输。
最后，待验证通过后，分组数据汇聚协议模块会收到无线资源控制协议模块的安全激活指令，从而开启安全保护功能。并且，分组数据汇聚协议模块投递给无线资源控制协议模块的下行消息中不再携带消息对应的计数值。与此同时，分组数据汇聚协议模块按照协议要求，自行调用安全算法单元对消息进行安全保护处理。
简而言之，采用本发明的方法，在RRC激活AS安全机制的过程中，PDCP会将每一条下行信令消息的COUNT值或是SN值，连同消息本身都传递给了RRC。因此，在RRC解码下行信令消息之后，能够明确的得知验证AS SMC消息完整性的算法参考之一，既可以明确得知验证AS SMC消息完整性对应的COUNT值。然后，通过直接调用SAU算法模块的相关接口，就能得到SMC消息的完整性验证结果，即如图5所示。
通过上述的文字表述并结合附图可以看出，采用本发明后至少包括有如下优点：
1、在验证SMC消息时，能够明确的确定SMC消息对应的COUNT值，可有效避免在SMC消息完整性验证时，由于下行消息接收的时序影响而带来的安全验证不确定性隐患。
2、在激活PDCP安全功能之前，由于RRC直接调用安全算法单元对SMC消息进行完整性验证。这样，就使得流程处理能更加快捷简便，减小消息处理的时延。由此，能够有效提升UE接入LTE网络的响应速度。
以上所述仅是本发明的优选实施方式，并不用于限制本发明，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本发明的保护范围。
Claims (7)
1.适用于LTE接入层的安全激活优化方法，其特征在于包括以下步骤：
步骤一，在无线资源控制协议模块激活分组数据汇聚协议模块的安全保护机制之前，通过分组数据汇聚协议模块将所有接收到的下行消息及其对应的计数值，一起投递给无线资源控制协议模块进行处理；
步骤二，通过无线资源控制协议模块对收到的每条下行消息均进行解码，如果解码后的含义为安全模式命令消息，则进入步骤三，否则，流程结束；
步骤三，按照无线资源控制协议模块要求计算出推演密钥，根据安全模式命令消息所指示的完整性保护算法与推演密钥相结合，计算出完整性保护密钥；
步骤四，通过无线资源控制协议模块将完整性保护密钥与分组数据汇聚协议模块投递消息中所携带的计数值、安全模式命令消息指示的完整性保护算法、安全模式命令消息，直接传递给安全算法单元；
步骤五，安全算法单元对安全模式命令消息进行完整性验证，验证完毕后，通过安全算法单元将完整性验证结果通知无线资源控制协议模块；
步骤六，无线资源控制协议模块收到完整性验证结果后进行处理，若为验证成功，则激活分组数据汇聚协议模块的安全保护功能，否则无线资源控制协议模块继续使用原有的安全配置；
步骤七，验证通过后，分组数据汇聚协议模块收到无线资源控制协议模块的安全激活指令，开启安全保护功能，分组数据汇聚协议模块投递给无线资源控制协议模块的下行消息中不再携带消息对应的计数值，分组数据汇聚协议模块按照协议要求，自行调用安全算法单元对消息进行安全保护处理。
2.根据权利要求1所述的适用于LTE接入层的安全激活优化方法，其特征在于：所述的步骤一中，对应的超帧号处于初始值，其值为0。
3.根据权利要求1所述的适用于LTE接入层的安全激活优化方法，其特征在于：所述的计数值为COUNT值，或是为SN。
4.根据权利要求1所述的适用于LTE接入层的安全激活优化方法，其特征在于：步骤四所述的传递方法为消息通信方式。
5.根据权利要求1所述的适用于LTE接入层的安全激活优化方法，其特征在于：步骤四所述的安全算法单元是采用硬件构成的算法加速器装置；或是，所述的安全算法单元是通过计算机语言汇编所构成的软件算法模块。
6.根据权利要求1所述的适用于LTE接入层的安全激活优化方法，其特征在于：步骤六所述的激活分组数据汇聚协议模块的安全保护功能过程为，
S1，无线资源控制协议模块根据推演密钥以及接入层安全模式命令消息中指示的加密算法，演算出加解密密钥和用户面加解密密钥；
S2，无线资源控制协议模块将加解密密钥、用户面加解密密钥、控制面完整性保护密钥以及相关安全算法配给分组数据汇聚协议模块，激活分组数据汇聚协议模块的安全保护功能，分组数据汇聚协议模块对随后用户设备所有接收和发送的消息，均进行完整性保护，对除安全模式完成消息外的所有接收和发送的消息，均进行加解密保护；
S3，标识接入层安全已激活，无线资源控制协议模块将安全模式完成的消息，提交给底层传输。
7.根据权利要求1所述的适用于LTE接入层的安全激活优化方法，其特征在于：步骤六所述的无线资源控制协议模块继续使用原有的安全配置，无线资源控制协议模块不使用接收到的安全模式命令消息中的配置，不使用完整性保护，不进行加解密处理，将安全模式失效消息，提交给底层传输。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510443810.9A CN106358195B (zh) | 2015-07-24 | 2015-07-24 | 适用于lte接入层的安全激活优化方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510443810.9A CN106358195B (zh) | 2015-07-24 | 2015-07-24 | 适用于lte接入层的安全激活优化方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN106358195A true CN106358195A (zh) | 2017-01-25 |
| CN106358195B CN106358195B (zh) | 2019-08-20 |
Family
ID=57843068
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201510443810.9A Expired - Fee Related CN106358195B (zh) | 2015-07-24 | 2015-07-24 | 适用于lte接入层的安全激活优化方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN106358195B (zh) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109150415A (zh) * | 2017-06-15 | 2019-01-04 | 夏普株式会社 | 基站、用户设备和相关方法 |
| CN109246692A (zh) * | 2017-06-16 | 2019-01-18 | 华为技术有限公司 | 连接管理方法、终端及无线接入网设备 |
| CN113273234A (zh) * | 2019-01-18 | 2021-08-17 | 联想（新加坡）私人有限公司 | 针对小数据业务的密钥刷新 |
| CN113302962A (zh) * | 2019-01-15 | 2021-08-24 | 瑞典爱立信有限公司 | 无线装置的无线电接入能力 |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101835156A (zh) * | 2010-05-21 | 2010-09-15 | 中兴通讯股份有限公司 | 一种用户接入安全保护的方法及*** |
| CN102404721A (zh) * | 2010-09-10 | 2012-04-04 | 华为技术有限公司 | Un接口的安全保护方法、装置和基站 |
| CN104618901A (zh) * | 2007-10-25 | 2015-05-13 | 交互数字专利控股公司 | 在wtru中处理nas消息的方法及wtru |
-
2015
- 2015-07-24 CN CN201510443810.9A patent/CN106358195B/zh not_active Expired - Fee Related
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104618901A (zh) * | 2007-10-25 | 2015-05-13 | 交互数字专利控股公司 | 在wtru中处理nas消息的方法及wtru |
| CN101835156A (zh) * | 2010-05-21 | 2010-09-15 | 中兴通讯股份有限公司 | 一种用户接入安全保护的方法及*** |
| CN102404721A (zh) * | 2010-09-10 | 2012-04-04 | 华为技术有限公司 | Un接口的安全保护方法、装置和基站 |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109150415A (zh) * | 2017-06-15 | 2019-01-04 | 夏普株式会社 | 基站、用户设备和相关方法 |
| CN109150415B (zh) * | 2017-06-15 | 2022-01-21 | 夏普株式会社 | 基站、用户设备和相关方法 |
| CN109246692A (zh) * | 2017-06-16 | 2019-01-18 | 华为技术有限公司 | 连接管理方法、终端及无线接入网设备 |
| CN113302962A (zh) * | 2019-01-15 | 2021-08-24 | 瑞典爱立信有限公司 | 无线装置的无线电接入能力 |
| CN113302962B (zh) * | 2019-01-15 | 2024-04-09 | 瑞典爱立信有限公司 | 无线装置的无线电接入能力 |
| CN113273234A (zh) * | 2019-01-18 | 2021-08-17 | 联想（新加坡）私人有限公司 | 针对小数据业务的密钥刷新 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN106358195B (zh) | 2019-08-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN109104727B (zh) | 一种基于eap-aka’的核心网网元间鉴权流程安全性增强方法 | |
| EP1671511B2 (en) | Enhanced security design for cryptography in mobile communication systems | |
| CN101578893B (zh) | 用于基站自配置的方法和设备 | |
| CN104661216B (zh) | 在wtru中传送nas消息的方法及wtru | |
| CN101511084B (zh) | 一种移动通信***的鉴权和密钥协商方法 | |
| CN101835156B (zh) | 一种用户接入安全保护的方法及*** | |
| CN107196920B (zh) | 一种面向无线通信***的密钥产生分配方法 | |
| US8954739B2 (en) | Efficient terminal authentication in telecommunication networks | |
| CN109041057A (zh) | 一种基于5g aka的核心网网元间鉴权流程安全性增强方法 | |
| CN109194656A (zh) | 一种配电无线终端安全接入的方法 | |
| CN104105091A (zh) | 一种无线发射/接收单元(wtru)及方法 | |
| CN101483865A (zh) | 一种密钥更替方法、***及设备 | |
| CN102833741B (zh) | 一种安全参数修改方法及基站 | |
| CN101304311A (zh) | 密钥生成方法和*** | |
| WO2012031510A1 (zh) | 一种实现安全密钥同步绑定的方法及*** | |
| CN106358195A (zh) | 适用于lte接入层的安全激活优化方法 | |
| CN109479194A (zh) | 加密安全性以及完整性保护 | |
| CN102572819B (zh) | 一种密钥生成方法、装置及*** | |
| CN114503628A (zh) | 管理通信***中的安全密钥 | |
| CN106998537B (zh) | 组呼业务的信息传输方法及装置 | |
| CN107079030A (zh) | 在无线站向认证服务器的重新认证期间的隐私 | |
| CN101355507B (zh) | 更新跟踪区时的密钥生成方法及*** | |
| TWI452887B (zh) | 無線通訊系統之加密保護方法及其相關裝置 | |
| EP3697144B1 (en) | Information interaction method and device | |
| CN107211488A (zh) | 由集成无线通信网络中的wlan节点执行的用于对接收的业务数据应用安全的方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| CF01 | Termination of patent right due to non-payment of annual fee | ||
| CF01 | Termination of patent right due to non-payment of annual fee |
Granted publication date: 20190820 |