CN113170369A - 用于在***间改变期间的安全上下文处理的方法和装置 - Google Patents

用于在***间改变期间的安全上下文处理的方法和装置 Download PDF

Info

Publication number
CN113170369A
CN113170369A CN201880099980.1A CN201880099980A CN113170369A CN 113170369 A CN113170369 A CN 113170369A CN 201880099980 A CN201880099980 A CN 201880099980A CN 113170369 A CN113170369 A CN 113170369A
Authority
CN
China
Prior art keywords
security context
eps
nas
amf
mobility management
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201880099980.1A
Other languages
English (en)
Other versions
CN113170369B (zh
Inventor
元盛焕
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Technologies Oy
Original Assignee
Nokia Technologies Oy
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Technologies Oy filed Critical Nokia Technologies Oy
Publication of CN113170369A publication Critical patent/CN113170369A/zh
Application granted granted Critical
Publication of CN113170369B publication Critical patent/CN113170369B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/24—Reselection being triggered by specific parameters
    • H04W36/32—Reselection being triggered by specific parameters by location or mobility data, e.g. speed data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/108—Source integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W60/00—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration
    • H04W60/06—De-registration or detaching

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Computer And Data Communications (AREA)

Abstract

一种方法和***，用于当满足条件a)到d)中的一个或多个条件被满足时，在空闲模式***间改变中从现有安全上下文中得到用于目标网络的新的初始非接入层NAS消息的密码保护，以及当条件1)到4)中的一个或多个条件被满足时，可选地在接收到无安全性保护和加密的注册请求消息之后，在空闲模式***间改变中从源蜂窝网络中得到作为由EPS的源MME维护的EPS安全上下文的经映射的5G NAS安全上下文。

Description

用于在***间改变期间的安全上下文处理的方法和装置
技术领域
各种示例实施例涉及***间改变期间的安全上下文处理。
背景技术
本部分说明有用的背景信息，而并非承认这里描述的任何技术代表最新的现有技术。
蜂窝电话已经从移动语音传输设备演变为全能计算机。无线数据传输，特别是因特网用途，需要高数据传输容量。这一趋势推动了从具有GSM的2G向5G的新蜂窝电信标准的发展，5G将具有极快的数据传输，并且现在还用作彼此通信的服务。
与前几代一样，在5G中，蜂窝电信的隐私和责任仍然至关重要。这些已经通过使用密码术来认证订户、授权电信(和相关联的收费)以及保护通信而得到了防护。这些措施需要在包含和管理蜂窝网络基础设施的核心网络中的信令，也需要在移动站与蜂窝网络之间的无线电接口上的信令。所有这些信令都伴随着计算成本和有限信令资源的使用。信令资源在无线电接口中特别有价值，在无线电接口中，用于除了传输用户数据之外的每个符号都会降低传输用户数据的容量。
3GPP 5G还将通过减小小区大小来提高无线数据传输速度，这在小区之间固有地留下更多间隙。4G技术将作为一种回退，以在5G不可用的情况下提供足够的数据接入。在5G小区的边缘，4G和5G网络之间可能会有重复的切换，因此核心网络和无线电接入中的信令可能都会迅速倍增。此外，5G网络可能不提供应急服务，而4G网络能够支持应急服务，特别是在5G网络部署的早期阶段。在这种情况下，使用4G技术作为回退是可取的。
发明内容
本发明的示例的各个方面在权利要求中被陈述。
根据本发明的第一示例方面，提供了一种用户设备UE中在UE处于单一注册模式下的空闲模式***间改变的方法，包括：
如果以下条件中的任何一个或多个条件被满足，则在空闲模式***间改变中从现有安全上下文中得到针对目标网络的新的初始非接入层NAS消息的密码保护：
条件a)源蜂窝网络是演进通用陆地无线电接入网络e-UTRAN；并且目标蜂窝网络是5G***5GS的下一代无线电接入网络ng-RAN；并且UE没有有效的本地5G NAS安全上下文；并且UE具有用于紧急承载业务的分组数据网络PDN连接；并且UE具有当前演进分组***EPS安全上下文，该当前EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法；并且UE已经接收到源蜂窝网络不支持在EPS和5GS的移动性管理实体之间无信令通道的情况下，与目标蜂窝网络互通的指示。
条件b)源蜂窝网络是ng-RAN；并且目标蜂窝网络是e-UTRAN；并且UE已经接收到源蜂窝网络不支持在EPS和5GS的移动性管理实体之间无信令通道的情况下，与目标蜂窝网络互通的指示；
条件c)源蜂窝网络是ng-RAN；并且目标蜂窝网络是e-UTRAN；并且UE不支持发送附接请求消息，该附接请求消息包含请求类型被设置为“切换”以将协议数据单元PDU会话从N1模式转换到S1模式的PDN连接请求消息；
条件d)源蜂窝网络是ng-RAN；并且目标蜂窝网络是e-UTRAN；并且UE已经接收到源蜂窝网络支持在EPS和5GS的移动性管理实体之间无信令通道的情况下，与目标蜂窝网络互通的指示；并且UE支持发送附接请求消息，该附接请求消息包含请求类型被设置为“切换”以将PDU会话从N1模式转换到S1模式的PDN连接请求消息；并且UE具有有效的本地EPS安全上下文。
第一示例方面的方法可以排除以下条件中的任一项：a)；b)；c)；d)；a)和b)；a)和c)；a)和d)；b)和c)；b)和d)；a)和b)和c)；a)和c)和d)；b)和c)和d)。
S1模式是UE允许经由4G接入网络接入4G核心网络的模式。N1模式是UE允许经由5G接入网络接入5G核心网络的模式。
源蜂窝网络和目标蜂窝网络的移动性管理实体之间的信令通道可以是N26接口。5G网络中的移动性管理实体可以对应于接入和移动性管理功能AMF。
在条件a)的情况下，密码保护可以是利用从当前EPS安全上下文映射的5G NAS安全上下文来完整性保护(以及部分加密，其可以是可选的)注册请求消息。条件a)中定义的指示可以从以下任一项接收：源蜂窝网络；目标蜂窝网络；或源蜂窝网络和目标蜂窝网络两者。空完整性保护算法可以是EIA0。空加密算法可以是EEA0。
在条件b)的情况下，密码保护可以是利用当前5G NAS安全上下文来完整性保护追踪区域更新请求消息。条件b)中定义的指示可以从以下任一项接收：源蜂窝网络；目标蜂窝网络；或源蜂窝网络和目标蜂窝网络两者。
在条件c)的情况下，密码保护可以是利用当前5G NAS安全上下文来完整性保护追踪区域更新请求消息。
在条件d)的情况下，密码保护可以是利用有效的本地EPS安全上下文来完整性保护附接请求消息。条件d)中定义的指示可以从以下任一项接收：源蜂窝网络；目标蜂窝网络；或源蜂窝网络和目标蜂窝网络两者。
ng-RAN可以符合3GPP 5G版本15。
根据本发明的第二示例方面，提供了一种接入和移动性管理功能AMF中的方法，用于在用户设备UE处于单一注册模式连接时，处理UE从演进通用陆地无线电接入网络e-UTRAN到下一代无线电接入网络ng-RAN的空闲模式***间改变，包括：
如果以下条件中的任何一个或多个条件被满足，则在空闲模式***间改变中从源蜂窝网络得到经映射的5G非接入层NAS安全上下文，经映射的5G非接入层NAS安全上下文是由演进分组***EPS的源移动性管理实体维护的EPS安全上下文：
条件1)AMF已经从UE接收到无完整性保护和加密的注册请求消息；并且注册请求消息包括用于下一代无线电接入网络的密钥集标识符ngKSI，该密钥集标识符指示经映射的5G NAS安全上下文值“000”；
条件2)在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从EPS的移动性管理实体MME接收到的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法，诸如，EIA0和EEA0；
条件3)在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从源MME接收的EPS安全上下文不包括被设置为空完整性保护算法和空加密算法的NAS安全算法；
条件4)在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从源MME接收的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法
该方法可以包括：在得到经映射的安全上下文之前，接收无完整性保护和加密的注册请求消息。
该方法还可以包括：在接收到无完整性保护和加密的注册请求消息之后，AMF创建新的经映射的5G NAS安全上下文，或者触发主要认证和密钥协商程序以创建新的本地5GNAS安全上下文。具体地，如果条件1)和3)被满足，则AMF在创建新的经映射的5G NAS安全上下文和触发主要认证和密钥协商程序之间选择，以创建新的本地5G NAS安全上下文。
第二示例方面的方法可以排除以下条件中的任一项：1)；2)；3)；4)；1)和2)；1)和3)；1)和4)；2)和3)；2)和4)；1)和2)和3)；1)和3)和4)；2)和3)和4)。
根据第三示例方面，提供了一种包括第一示例方面和第二示例方面的过程。
根据第四示例方面，提供了一种用户设备，包括至少一个处理器和包括计算机可执行程序代码的存储器，计算机可执行程序代码在由至少一个处理器执行时，被配置为使用户设备执行第一示例方面的方法。
根据第五示例方面，提供了一种接入和移动性管理功能AMF，包括至少一个处理器和包括计算机可执行程序代码的存储器，计算机可执行程序代码在由至少一个处理器执行时，被配置为使AMF执行第二示例方面的方法。
根据第六示例方面，提供了一种接入和移动性管理功能AMF，被配置为在用户设备UE处于单一注册模式连接时，处理UE从演进通用陆地无线电接入网络e-UTRAN到下一代无线电接入网络ng-RAN的空闲模式***间改变，AMF包括：
用于与包括e-UTRAN的演进分组***EPS通信并且用于与UE通信的部件；以及
用于如果以下条件中的任何一个或多个条件被满足，则在空闲模式***间改变中从源蜂窝网络得到经映射的下一代无线电接入网络ng-RAN非接入层NAS安全上下文的部件，经映射的ng-RAN非接入层NAS安全上下文是由演进分组***EPS的源移动性管理实体维护的EPS安全上下文：
条件1)AMF已经从UE接收到无完整性保护和加密的注册请求消息；并且注册请求消息包括用于下一代无线电接入网络的密钥集标识符ngKSI，密钥集标识符指示经映射的5G NAS安全上下文值“000”；
条件2)在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从EPS的移动性管理实体MME接收到的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法；
条件3)在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从源MME接收的EPS安全上下文不包括被设置为空完整性保护算法和空加密算法的NAS安全算法；
条件4)在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从源MME接收的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法。
第五示例方面或第六示例方面的AMF可以使用虚拟化来实现。实现AMF的至少一些结构可以由虚拟化服务器提供。
第五示例方面或第六示例方面的AMF可以使用集群处理来实现。实现AMF的至少一些结构可以由集群处理设备提供。
第五示例方面或第六示例方面的AMF可以使用云计算来实现。实现AMF的至少一些结构可以由云计算***提供。
根据本发明的第七示例方面，提供了一种包括第四示例方面的UE和第五或第六示例方面的AMF的***。
该***还可以包括演进通用陆地无线电接入网络的移动性管理实体。
根据本发明的第八示例方面，提供了一种包括计算机可执行程序代码的计算机程序，该计算机可执行程序代码被配置为执行第一或第二示例方面的任何方法。
计算机程序可以存储在计算机可读存储介质中。
任何前述存储介质可以包括数字数据存储器，诸如，数据盘或软盘、光存储设备、磁存储设备、全息存储设备、光磁存储设备、相变存储设备、电阻式随机存取存储器、磁随机存取存储器、固体电解质存储器、铁电随机存取存储器、有机存储器或聚合物存储器。存储介质可以形成到除了存储存储器之外没有其他实质功能的设备中，或者它可以形成为具有其他功能的设备的一部分，包括但不限于计算机的存储器、芯片组和电子设备的子组件。
本发明的不同非绑定示例方面和实施例已在上文中说明。前述实施例仅用于解释可以在本发明的实现中使用的选定方面或步骤。可以仅参考本发明的某些示例方面来呈现一些实施例。应当理解，相应的实施例也可以应用于其他示例方面。
附图说明
为了更完整地理解本发明的示例实施例，现在参考结合附图进行的以下描述，其中：
图1示出了示例实施例的***的体系结构图；
图2示出了用户设备中的示例实施例的过程的流程图；
图3示出了接入和移动性管理功能中的示例实施例的过程的流程图；
图4示出了示例实施例的装置的框图。
具体实施方式
通过参考附图的图1至图4来理解本发明的示例实施例及其潜在优势。在本文档中，相似的附图标记表示相似的部件或步骤。
图1示出了示例实施例的***100的体系结构图。图1示出了用于5GS和EPC/E-UTRAN之间互通的非漫游体系结构，但是适当地展示了对解释一些示例实施例有用的各种网络部件和接口。图1示出了演进分组***EPS 160和第五代***5GS 170的与EPS和5GS互通有关的相应部件。应当理解，例如，在实践中，EPS和5GS不需要包括彼此的功能，尽管也可以通过共享执行平台来实现共享功能。
在图1中，用户设备110无线电接入各个蜂窝网络，该蜂窝网络包括演进通用陆地无线电接入网络(e-UTRAN)120和下一代无线电接入网络(ng-RAN)130。EPS包括e-UTRAN120和演进核心网络(EPC)部件，诸如，移动性管理实体(MME)140。
5GS 170包括ng-RAN 130和包括例如接入和移动性管理功能(AMF)150的5G核心网络。
图2示出了当用户设备(UE)处于单一注册模式时，UE中关于空闲模式***间改变的示例实施例的过程200的流程图，包括：
如果以下条件中的任何一个或多个条件被满足，则在空闲模式***间改变中从现有安全上下文中得到210针对目标网络的新的初始非接入层(NAS)消息的密码保护：
条件a)220源蜂窝网络是e-UTRAN；并且目标蜂窝网络是ng-RAN；并且UE没有有效的本地5G NAS安全上下文；并且UE具有用于紧急承载业务的分组数据网络(PDN)连接；并且UE具有包括被设置为空完整性保护算法和空加密算法的NAS安全算法的当前EPS安全上下文；并且UE已经接收到源蜂窝网络不支持在源和目标蜂窝网络的移动性管理实体之间无信令通道的情况下，与目标蜂窝网络互通的指示。
条件b)230源蜂窝网络是ng-RAN；并且目标蜂窝网络是e-UTRAN；并且UE已经接收到源蜂窝网络不支持在源和目标蜂窝网络的移动性管理实体之间无信令通道的情况下，与目标蜂窝网络互通的指示；
条件c)240源蜂窝网络是ng-RAN；并且目标蜂窝网络是e-UTRAN；并且UE不支持发送附接请求(ATTACH REQUEST)消息，该附接请求消息包含请求类型被设置为“切换”以将PDU会话从N1模式转移到S1模式的PDN连接请求(PDN CONNECTIVITY REQUEST)消息；
条件d)250源蜂窝网络是ng-RAN；并且目标蜂窝网络是e-UTRAN；并且UE已经接收到源蜂窝网络支持在源和目标蜂窝网络的移动性管理实体之间无信令通道的情况下，与目标蜂窝网络互通的指示；并且UE支持发送附接请求消息，该附接请求消息包含请求类型被设置为“切换”以将PDU会话从N1模式转移到S1模式的PDN连接请求消息；并且UE具有有效的本地EPS安全上下文。
图3示出了当UE处于单一注册模式连接时，AMF中用于处理UE从e-UTRAN到ng-RAN的空闲模式***间改变的示例实施例的过程的流程图，包括：
如果以下条件中的任何一个或多个条件被满足，则在空闲模式***间改变中从源蜂窝网络得到310作为由EPS的源MME维护的EPS安全上下文的经映射的5G NAS安全上下文：
条件1)320AMF已经从UE接收到没有完整性保护和加密的注册请求(REGISTRATIONREQUEST)消息；并且该注册请求消息包括用于下一代无线电接入网络的密钥集标识符(ngKSI)，该密钥集标识符指示经映射的5G NAS安全上下文值“000”；
条件2)330在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从EPS的MME接收到的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法，诸如EIA0和EEA0；
条件3)340在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从源MME接收的EPS安全上下文不包括被设置为空完整性保护算法和空加密算法的NAS安全算法；
条件4)350在EPS和5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从源MME接收的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法。
该方法可以包括，在得到经映射的安全上下文之前，在没有完整性保护和加密的情况下接收360注册请求消息。
图4示出了根据本发明实施例的装置300的框图。
装置400包括存储器440，存储器440包括永久计算机程序代码450。装置400还包括用于使用计算机程序代码440控制装置400的操作的处理器420、用于与其他节点通信的通信单元410。通信单元410包括例如局域网(LAN)端口；无线局域网(WLAN)单元；蓝牙单元；蜂窝数据通信单元；或卫星数据通信单元。处理器420包括例如以下各项中的任何一项或多项：主控制单元(MCU)；微处理器；数字信号处理器(DSP)；专用集成电路(ASIC)；现场可编程门阵列；以及微控制器。该装置还可以包括用户接口(U/I)430。
接下来，在3GPP TS 24.501V15.1.0第4.4.2.5节，建立NAS消息的安全交换(Establishment of secure exchange of NAS messages)的上下文中描述一些非限制性示例用例。经由NAS信令连接的NAS消息安全交换通常由AMF在注册过程期间通过启动安全模式控制程序来建立。在安全模式控制程序成功完成之后，UE与AMF之间交换的所有NAS消息在使用当前5G安全算法进行完整性保护的情况下被发送，并且除了诸如注册请求和安全模式命令(SECURITY MODE COMMAND)消息的消息之外，UE与AMF之间交换的所有NAS消息都在使用当前5G安全算法进行加密的情况下被发送。
在5GMM-连接(5GMM-CONNECTED)模式下从S1模式到N1模式的***间改变期间，通过以下方式在AMF与UE之间建立NAS消息的安全交换：
a)封装在AS信令中的NAS安全相关参数从AMF传输到UE，触发5GMM-连接模式下的***间改变。UE使用这些参数生成经映射的5G NAS安全上下文；以及
b)在5GMM-连接模式下***间改变之后，注册请求消息从UE传输到AMF。UE应当发送使用经映射的5G NAS安全上下文进行完整性保护、但不加密的该消息。从此时起，UE与AMF之间交换的所有NAS消息都在使用经映射的5G NAS安全上下文进行完整性保护的情况下被发送，并且除了诸如注册请求和安全模式命令消息的消息之外，UE与AMF之间交换的所有NAS消息都在使用经映射的5G NAS安全上下文进行加密的情况下被发送。
在5GMM-空闲(5GMM-IDLE)模式下从S1模式到N1模式的***间改变期间，如果UE在单一注册模式下操作，并且：
a)如果UE具有有效的本地5G NAS安全上下文，则UE应当发送利用本地5G NAS安全上下文进行完整性保护的注册请求消息。UE应当在注册请求消息中包括指示本地5G NAS安全上下文值的ngKSI。
在接收到包括指示本地5G NAS安全上下文值的ngKSI的注册请求消息之后，AMF应当检查该注册请求消息中包括的ngKSI是否属于AMF中可用的5G NAS安全上下文，并且应对该注册请求消息的MAC进行验证。如果验证成功，则AMF删除从源MME接收到的EPS安全上下文(如果有的话)，并且AMF通过以下任一方式重新建立NAS消息的安全交换：
i)利用注册接受(REGISTRATION ACCEPT)消息进行回复，该注册接受消息使用本地5G NAS安全上下文进行完整性保护并加密。从此时起，UE与AMF之间交换的所有NAS消息都在经完整性保护的情况下被发送，并且除了注册请求和安全模式命令消息的消息之外，UE与AMF之间交换的所有NAS消息都在经加密的情况下被发送；或者
ii)启动安全模式控制程序。AMF可以使用它来利用非当前的5G NAS安全上下文，或者通过选择新的NAS安全算法来修改当前的5G NAS安全上下文。
b)如果UE没有有效的本地5G NAS安全上下文，并且：
i)如果UE没有用于紧急承载业务的PDN连接，或者UE当前的EPS安全上下文不包括被设置为EIA0和EEA0的NAS安全算法，或者UE从网络接收到“支持无N26的互通”指示，则UE应当发送无完整性保护和加密的注册请求消息。
在接收到无完整性保护和加密的注册请求消息之后：
1)如果不支持无N26的互通，则AMF应当创建新的经映射的5G NAS安全上下文或触发主要认证和密钥协商程序以创建新的本地5G NAS安全上下文；或者
2)如果支持无N26的互通，则AMF应当触发主要认证和密钥协商程序。
通过启动安全模式控制程序来使用新创建的5G NAS安全上下文，并且该上下文成为UE和AMF中的当前5G NAS安全上下文。这重新建立了NAS消息的安全交换；或者
ii)如果UE具有用于紧急承载服务的PDN连接，则UE具有包括被设置为EIA0和EEA0的NAS安全算法的当前EPS安全上下文，并且UE从网络接收到“不支持无N26的互通”指示，UE应当从当前EPS安全上下文得到经映射的5G NAS安全，并发送利用经映射的5G NAS安全上下文进行完整性保护的注册请求消息。UE应当在注册请求消息中包括指示经映射的5G NAS安全上下文值的ngKSI。
在接收到包括指示经映射的5G NAS安全上下文值“000”的ngKSI的注册请求消息之后，不支持无N26的互通的AMF应当从EPS安全上下文得到经映射的5G NAS安全上下文，并检查包括在注册请求消息中的ngKSI是否与经映射的5G NAS安全上下文的ngKSI匹配。如果检查成功，则AMF通过利用注册接受消息进行回复来重新建立NAS消息的安全交换，该注册接受消息是进行完整性保护的，并且使用经映射的5G NAS安全上下文来加密。
b)如果运行在单一注册模式下的UE没有有效的本地5G NAS安全上下文，则UE应当发送无完整性保护和加密的注册请求消息。
在接收到无完整性保护和加密的注册请求消息之后：
i)如果不支持无N26的互通，并且：
1)如果从源MME接收到的EPS安全上下文不包括被设置为EIA0和EEA0的NAS安全算法，则AMF应当创建新的经映射的5G NAS安全上下文或触发主要认证和密钥协商程序以创建新的本地5G NAS安全上下文；或者
2)如果从源MME接收到的EPS安全上下文包括被设置为EIA0和EEA0的NAS安全算法，则AMF应当创建新的经映射的5G NAS安全；或者
ii)如果支持无N26的互通，则AMF应当触发主要认证和密钥协商程序。
通过启动安全模式控制程序来使用新创建的5G NAS安全上下文，并且该上下文成为UE和AMF中的当前5G NAS安全上下文。这将重新建立NAS消息的安全交换。
在5GMM-连接模式下从N1模式到S1模式的***间切换期间，通过以下方式在MME与UE之间建立NAS消息的安全交换：
a)封装在AS信令中的NAS安全相关参数从AMF传输到UE，触发5GMM-连接模式下的***间改变。UE使用这些参数生成经映射的EPS安全上下文；以及
b)在5GMM-连接模式下***间改变之后，追踪区域更新请求(TRACKING AREAUPDATE REQUEST)消息从UE传输到MME。UE应当发送使用经映射的EPS安全上下文进行完整性保护、但未加密的该消息。从此时起，UE与AMF之间交换的所有NAS消息都在使用经映射的EPS安全上下文进行完整性保护的情况下被发送，并且除了诸如注册请求和安全模式命令消息的消息之外，UE与AMF之间交换的所有NAS消息都在使用经映射的EPS安全上下文进行加密的情况下被发送。
在5GMM-空闲模式下从N1模式到S1模式的***间改变期间，如果UE在单一注册模式下操作，并且：
a)如果UE从网络接收到“不支持无N26的互通”指示，或者UE不支持发送附接请求消息，该附接请求消息包含请求类型设置为“切换”以将PDU会话从N1模式转换到S1模式的PDN连接请求消息，则UE应当发送利用当前5G NAS安全上下文进行完整性保护的追踪区域更新请求消息，并且UE应当得到经映射的EPS安全上下文。UE应当在追踪区域更新请求消息中包括指示经映射的EPS安全上下文值的eKSI。
在接收到包括eKSI的追踪区域更新请求消息之后，MME向源AMF转发追踪区域更新请求消息。源AMF应当使用eKSI值字段来标识AMF中可用的5G NAS安全上下文，并应当使用5G NAS安全上下文验证追踪区域更新请求消息的MAC。如果验证成功，AMF应从5G NAS安全上下文得到经映射的EPS安全上下文，并将经映射的EPS安全上下文发送给MME。MME通过以下任一方式重新建立NAS消息的安全交换：
i)利用追踪区域更新接受消息进行回复，该追踪区域更新接受消息是进行完整性保护的，并且使用经映射的5G NAS安全上下文进行加密。从此时起，UE与MME之间交换的所有NAS消息都在经完整性保护的情况下被发送，并且除了诸如附接请求和追踪区域更新请求消息的消息之外，UE与MME之间交换的所有NAS消息都在经加密的情况下被发送；或者
ii)启动安全模式控制程序。这可以被MME用来使用非当前EPS安全上下文，或者通过选择新的NAS安全算法来修改当前EPS安全上下文。
b)如果UE从网络接收到“支持无N26的互通”指示，并且UE支持发送附接请求消息，该附接请求消息包含请求类型被设置为“切换”以将PDU会话从N1模式转换到S1模式的PDN连接请求消息，并且：
i)如果UE具有有效的本地EPS安全上下文，则UE应当发送利用本地EPS安全上下文进行完整性保护的附接请求消息。UE应当在附接请求消息中包括指示本地EPS安全上下文值的eKSI。
ii)如果UE没有有效的本地EPS安全上下文，则UE应当发送无完整性保护和加密的附接请求消息。
在接收到附接请求消息之后，MME应继续进行附接程序。
在N1模式到N1模式的切换期间，通过以下方式在AMF与UE之间建立NAS消息的安全交换：
a)将封装在AS信令中的NAS安全相关参数从目标AMF传输到UE，从而触发N1模式到N1模式的切换。UE使用这些参数创建新的5G NAS安全上下文。
NAS消息的安全交换应当在N1模式到N1模式的切换之后继续进行。其在5GMM-连接模式下从N1模式到S1模式的***间改变之后终止或当NAS信令连接被释放时终止。
当处于5GMM-空闲模式下的UE建立新的NAS信令连接并且具有有效的当前5G NAS安全上下文时，UE应当发送利用当前5G NAS安全上下文进行完整性保护但未经加密的初始NAS消息。UE应当在初始NAS消息中包括指示当前5G NAS安全上下文值的ngKSI。AMF应当检查初始NAS消息中包括的ngKSI是否属于AMF中可用的5G NAS安全上下文，并应当验证NAS消息的MAC。如果验证成功，则AMF可以重新建立NAS消息的安全交换：
a)通过使用当前5G NAS安全上下文进行完整性保护并加密的NAS消息进行回复。从此时起，UE与AMF之间交换的所有NAS消息都在经完整性保护的情况下被发送，并且除了诸如注册请求和安全模式命令消息的消息之外，UE与AMF之间交换的所有NAS消息都在经加密的情况下被发送；或者
b)通过启动安全模式控制程序。AMF可以使用它来使用非当前5G NAS安全上下文，或者通过选择新的NAS安全算法来修改当前5G NAS安全上下文。
如在本申请中使用的，术语“电路”可以指以下各项中的一项或多项或全部：
(a)仅硬件电路实现(例如，仅在模拟和/或数字电路中实现)以及；
(b)硬件电路和软件的组合，诸如(如适用)
(i)(多个)模拟和/或数字硬件电路与软件/固件的组合；以及
(ii)具有软件的(多个)硬件处理器的任何部分(包括(多个)数字信号处理器)、软件以及(多个)存储器，它们协同工作以使诸如移动电话或服务器的装置执行各种功能；以及
(c)(多个)硬件电路和/或(多个)处理器，诸如(多个)微处理器或(多个)微处理器的一部分，其需要软件(例如，固件)用于操作，但是当不需要软件用于操作时，软件可以不存在。
电路的该定义适用于本申请中该术语的所有使用，包括在任何权利要求中。作为另一示例，如本申请中使用的，术语电路还涵盖仅硬件电路或处理器(或多个处理器)或硬件电路或处理器的一部分及它(或它们)附带的软件和/或固件的实现。术语电路还包括，例如并且如果适用于特定权利要求元素，用于移动设备的基带集成电路或处理器集成电路或者服务器、蜂窝网络设备或其他计算或网络设备中的类似集成电路。
在不以任何方式限制下面出现的权利要求的范围、解释或应用的情况下，这里公开的一个或多个示例实施例的技术效果是其可以避免启动导致关键呼叫的用户体验恶化的不必要的5GMM程序。这里公开的一个或多个示例实施例的另一个技术效果是可以减少无线电接口和/或核心网络信令。这里公开的一个或多个示例实施例的又一个技术效果是，通过增加使用先前建立的安全上下文来提高安全性，使得可以减少通过无线电接口和/或在一个或多个核心网络中的数据的明文传输。
本发明的实施例可以用软件、硬件、应用逻辑或软件、硬件和应用逻辑的组合来实现。在示例实施例中，应用逻辑、软件或指令集被维护在各种传统计算机可读介质中的任何一个上。在本文档的上下文中，“计算机可读介质”可以是任何非瞬态介质或部件，其可以包含、存储、通信、传播或传输指令，以供指令执行***、装置或设备(诸如，计算机)使用或与之连接，图4中描述和描绘了计算机的一个示例。计算机可读介质可以包括计算机可读存储介质，该计算机可读存储介质可以是可以包含或存储指令，以供指令执行***、装置或设备(诸如，计算机)使用或与之连接的任何介质或部件。
如果需要，这里讨论的不同功能可以以不同的顺序和/或彼此同时执行。此外，如果需要，前述功能中的一个或多个可以是可选的或可以组合的。
尽管在独立权利要求中陈述了本发明的各个方面，但是本发明的其他方面包括来自所描述实施例和/或从属权利要求的特征与独立权利要求的特征的其他组合，而不仅仅是权利要求中明确陈述的组合。
这里还应当注意，尽管前文描述了本发明的示例实施例，但这些描述不应被视为限制性的。相反，在不脱离所附权利要求中定义的本发明的范围的情况下，可以进行若干变化和修改。

Claims (18)

1.一种用户设备UE中在所述UE处于单一注册模式下的空闲模式***间改变的方法，包括：
如果以下条件中的任何一个或多个条件被满足，则在空闲模式***间改变中从现有安全上下文中得到针对目标网络的新的初始非接入层NAS消息的密码保护：
条件a)源蜂窝网络是演进通用陆地无线电接入网络e-UTRAN；并且目标蜂窝网络是5G***5GS的下一代无线电接入网络ng-RAN；并且所述UE没有有效的本地5G NAS安全上下文；并且所述UE具有用于紧急承载业务的分组数据网络PDN连接；并且所述UE具有当前演进分组***EPS安全上下文，所述当前EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法；并且所述UE已经接收到所述源蜂窝网络不支持在EPS和5GS的移动性管理实体之间无信令通道的情况下，与所述目标蜂窝网络互通的指示。
条件b)所述源蜂窝网络是所述ng-RAN；并且所述目标蜂窝网络是所述e-UTRAN；并且所述UE已经接收到所述源蜂窝网络不支持在所述EPS和所述5GS的移动性管理实体之间无信令通道的情况下，与所述目标蜂窝网络互通的指示；
条件c)所述源蜂窝网络是所述ng-RAN；并且所述目标蜂窝网络是所述e-UTRAN；并且所述UE不支持发送附接请求消息，所述附接请求消息包含请求类型被设置为“切换”以将协议数据单元PDU会话从N1模式转换到S1模式的PDN连接请求消息；
条件d)所述源蜂窝网络是所述ng-RAN；并且所述目标蜂窝网络是所述e-UTRAN；并且所述UE已经接收到所述源蜂窝网络支持在所述EPS和所述5GS的移动性管理实体之间无信令通道的情况下，与所述目标蜂窝网络互通的指示；并且所述UE支持发送附接请求消息，所述附接请求消息包含请求类型被设置为“切换”以将PDU会话从N1模式转换到S1模式的PDN连接请求消息；并且所述UE具有有效的本地EPS安全上下文。
2.根据权利要求1所述的方法，其中所述S1模式是所述UE允许经由4G接入网络接入4G核心网络的模式，并且所述N1模式是所述UE允许经由5G接入网络接入5G核心网络的模式。
3.根据权利要求1或2所述的方法，其中所述EPS和所述5GS的移动性管理实体之间的信令通道是N26接口。
4.根据前述权利要求中任一项所述的方法，其中在条件a)的情况下，所述密码保护包括利用从当前EPS NAS安全上下文映射的5G NAS安全上下文来完整性保护注册请求消息。
5.根据前述权利要求中任一项所述的方法，其中在条件a)的情况下，所述密码保护包括利用从当前EPS NAS安全上下文映射的5G NAS安全上下文来部分地加密注册请求消息。
6.根据前述权利要求中任一项所述的方法，其中在条件b)和c)中的任一项的情况下，所述密码保护是利用当前5G NAS安全上下文来完整性保护追踪区域更新请求消息。
7.根据前述权利要求中任一项所述的方法，其中在条件d)的情况下，所述密码保护是利用所述有效的本地EPS安全上下文来完整性保护附接请求消息。
8.一种5G***5GS的接入和移动性管理功能AMF中的方法，用于在用户设备UE处于单一注册模式连接时，处理所述UE从演进通用陆地无线电接入网络e-UTRAN到下一代无线电接入网络ng-RAN的空闲模式***间改变，包括：
如果以下条件中的任何一个或多个条件被满足，则在空闲模式***间改变中从源蜂窝网络得到经映射的下一代无线电接入网络ng-RAN非接入层NAS安全上下文，经映射的所述ng-RAN非接入层NAS安全上下文是由演进分组***EPS的源移动性管理实体维护的EPS安全上下文：
条件1)所述AMF已经从UE接收到无完整性保护和加密的注册请求消息；并且所述注册请求消息包括用于下一代无线电接入网络的密钥集标识符ngKSI，所述密钥集标识符指示经映射的5G NAS安全上下文值“000”；
条件2)在所述EPS和所述5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从所述EPS的移动性管理实体MME接收到的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法；
条件3)在所述EPS和所述5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从所述源MME接收的EPS安全上下文不包括被设置为空完整性保护算法和空加密算法的所述NAS安全算法；
条件4)在所述EPS和所述5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从所述源MME接收的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的所述NAS安全算法。
9.根据权利要求8所述的方法，还包括：在所述得到经映射的所述安全上下文之前，接收无完整性保护和加密的所述注册请求消息。
10.根据权利要求8或9所述的方法，还包括：在接收到无完整性保护和加密的所述注册请求消息之后，所述AMF创建新的经映射的5G NAS安全上下文，或者触发主要认证和密钥协商程序以创建新的本地5G NAS安全上下文。
11.根据权利要求8至10中任一项所述的方法，其中如果条件1)和3)被满足，则所述AMF在创建新的经映射的5G NAS安全上下文和触发主要认证和密钥协商程序之间选择，以创建新的本地5G NAS安全上下文。
12.一种过程，包括权利要求1至7中任一项和权利要求8至11中任一项所述的方法。
13.一种用户设备，包括至少一个处理器和存储器，所述存储器包括计算机可执行程序代码，所述计算机可执行程序代码当由所述至少一个处理器执行时，被配置为使所述用户设备执行根据权利要求1至7中任一项所述的方法。
14.一种接入和移动性管理功能AMF，包括至少一个处理器和存储器，所述存储器包括计算机可执行程序代码，所述计算机可执行程序代码当由所述至少一个处理器执行时，被配置为使所述AMF执行权利要求8至11中任一项所述的方法。
15.一种5G***5GS的接入和移动性管理功能AMF；其中所述AMF被配置为在用户设备UE处于单一注册模式连接时，处理所述UE从演进通用陆地无线电接入网络e-UTRAN到下一代无线电接入网络ng-RAN的空闲模式***间改变，所述AMF包括：
用于与包括所述e-UTRAN的演进分组***EPS通信并且用于与所述UE通信的部件；以及
用于如果以下条件中的任何一个或多个条件被满足，则在空闲模式***间改变中从源蜂窝网络得到经映射的下一代无线电接入网络ng-RAN非接入层NAS安全上下文的部件，经映射的所述ng-RAN非接入层NAS安全上下文是由演进分组***EPS的源移动性管理实体维护的EPS安全上下文：
条件1)所述AMF已经从UE接收到无完整性保护和加密的注册请求消息；并且所述注册请求消息包括用于下一代无线电接入网络的密钥集标识符ngKSI，所述密钥集标识符指示经映射的5G NAS安全上下文值“000”；
条件2)在所述EPS和所述5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从所述EPS的移动性管理实体MME接收到的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的NAS安全算法；
条件3)在所述EPS和所述5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从所述源MME接收的EPS安全上下文不包括被设置为空完整性保护算法和空加密算法的所述NAS安全算法；
条件4)在所述EPS和所述5GS的移动性管理实体之间无信令通道的情况下的互通不被支持；并且从所述源MME接收的EPS安全上下文包括被设置为空完整性保护算法和空加密算法的所述NAS安全算法。
16.根据权利要求15所述的AMF，包括用于使所述AMF执行根据权利要求9至11中任一项所述的方法的部件。
17.一种***，包括权利要求13所述的UE和权利要求14至16中任一项所述的AMF。
18.根据权利要求17所述的***，还包括所述EPS的所述MME。
CN201880099980.1A 2018-10-04 2018-10-04 用于在***间改变期间的安全上下文处理的方法和装置 Active CN113170369B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/FI2018/050714 WO2020070371A1 (en) 2018-10-04 2018-10-04 Method and apparatus for security context handling during inter-system change

Publications (2)

Publication Number Publication Date
CN113170369A true CN113170369A (zh) 2021-07-23
CN113170369B CN113170369B (zh) 2024-06-14

Family

ID=70054692

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201880099980.1A Active CN113170369B (zh) 2018-10-04 2018-10-04 用于在***间改变期间的安全上下文处理的方法和装置

Country Status (7)

Country Link
US (1) US20210385722A1 (zh)
EP (1) EP3861791A4 (zh)
JP (1) JP7192107B2 (zh)
CN (1) CN113170369B (zh)
BR (1) BR112021006297A2 (zh)
PH (1) PH12021550731A1 (zh)
WO (1) WO2020070371A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021027439A1 (en) * 2019-08-14 2021-02-18 Mediatek Singapore Pte. Ltd. Apparatuses and methods for delivery of inter-system non-access stratum (nas) security algorithms
US20220338079A1 (en) * 2019-08-19 2022-10-20 Telefonaktiebolaget Lm Ericsson (Publ) AMF Re-Allocation Due to Slicing
CN113260015B (zh) * 2021-05-11 2022-11-18 中国联合网络通信集团有限公司 任务处理方法及接入和移动性管理功能实体

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102067642A (zh) * 2008-06-13 2011-05-18 诺基亚公司 用于在***间移动性期间提供新的安全性上下文的方法、设备和计算机程序产品
CN102187599A (zh) * 2008-08-15 2011-09-14 三星电子株式会社 在移动通信***中安全保护的非接入层面协议操作支持方法
US20180199302A1 (en) * 2017-01-12 2018-07-12 Lg Electronics Inc. Method and user equipment device for registering in wireless communication system
WO2018138348A1 (en) * 2017-01-30 2018-08-02 Telefonaktiebolaget Lm Ericsson (Publ) Security context handling in 5g during idle mode
WO2018137824A1 (en) * 2017-01-30 2018-08-02 Telefonaktiebolaget Lm Ericsson (Publ) Methods, apparatuses, computer programs and carriers for security management before handover from 5g to 4g system

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102067642A (zh) * 2008-06-13 2011-05-18 诺基亚公司 用于在***间移动性期间提供新的安全性上下文的方法、设备和计算机程序产品
CN102187599A (zh) * 2008-08-15 2011-09-14 三星电子株式会社 在移动通信***中安全保护的非接入层面协议操作支持方法
US20180199302A1 (en) * 2017-01-12 2018-07-12 Lg Electronics Inc. Method and user equipment device for registering in wireless communication system
WO2018138348A1 (en) * 2017-01-30 2018-08-02 Telefonaktiebolaget Lm Ericsson (Publ) Security context handling in 5g during idle mode
WO2018137824A1 (en) * 2017-01-30 2018-08-02 Telefonaktiebolaget Lm Ericsson (Publ) Methods, apparatuses, computer programs and carriers for security management before handover from 5g to 4g system

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
3GPP: ""23501-110-rm"", 3GPP SPECS\\23_SERIES *
3GPP: ""24501-f10"", 3GPP SPECS\\24_SERIES *

Also Published As

Publication number Publication date
EP3861791A4 (en) 2022-05-04
JP2022501973A (ja) 2022-01-06
JP7192107B2 (ja) 2022-12-19
CN113170369B (zh) 2024-06-14
BR112021006297A2 (pt) 2021-07-06
US20210385722A1 (en) 2021-12-09
PH12021550731A1 (en) 2021-10-25
EP3861791A1 (en) 2021-08-11
WO2020070371A1 (en) 2020-04-09

Similar Documents

Publication Publication Date Title
EP3576446B1 (en) Key derivation method
US11290974B2 (en) Connection processing method and apparatus in multi-access scenario
EP3574669B1 (en) Security context handling in 5g during connected mode
US11856402B2 (en) Identity-based message integrity protection and verification for wireless communication
US8707045B2 (en) Method and apparatus for traffic count key management and key count management
WO2019062996A1 (zh) 一种安全保护的方法、装置和***
JP5238066B2 (ja) ハンドオーバーのためのマルチホップ暗号分離を与える方法、装置及びコンピュータプログラム手順
WO2019062920A1 (zh) 数据安全处理方法及装置
US20170359719A1 (en) Key generation method, device, and system
KR20100114927A (ko) 무선 통신 시스템에서 핸드오버를 실행하는 동안 키 관리를 실행하기 위한 시스템 및 방법
WO2009152755A1 (zh) 密钥身份标识符的生成方法和***
CN101841810B (zh) 空中接口密钥的更新方法、核心网节点及无线接入***
WO2009152759A1 (zh) 防止网络安全失步的方法和装置
KR102205625B1 (ko) 사이퍼링 및 무결성 보호의 보안
US11751160B2 (en) Method and apparatus for mobility registration
CN110583036B (zh) 网络认证方法、网络设备及核心网设备
CN113170369B (zh) 用于在***间改变期间的安全上下文处理的方法和装置
WO2021244569A1 (zh) 数据传输方法、***、电子设备、存储介质
EP2648437B1 (en) Method, apparatus and system for key generation
WO2022134089A1 (zh) 一种安全上下文生成方法、装置及计算机可读存储介质
CN110830996B (zh) 一种密钥更新方法、网络设备及终端
KR20100092371A (ko) 트래픽 카운트 키 및 키 카운트 관리 방법 및 장치
CN113784351B (zh) 切片服务验证方法、实体及设备
WO2022133764A1 (en) A method for key transfer
WO2018201440A1 (zh) 通信方法、装置以及***

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant