WO2010019020A9 - 이동 통신 시스템의 보안화된 비계층 프로토콜 처리 방법 - Google Patents

이동 통신 시스템의 보안화된 비계층 프로토콜 처리 방법 Download PDF

Info

Publication number
WO2010019020A9
WO2010019020A9 PCT/KR2009/004570 KR2009004570W WO2010019020A9 WO 2010019020 A9 WO2010019020 A9 WO 2010019020A9 KR 2009004570 W KR2009004570 W KR 2009004570W WO 2010019020 A9 WO2010019020 A9 WO 2010019020A9
Authority
WO
WIPO (PCT)
Prior art keywords
key
new
terminal
mme
request message
Prior art date
Application number
PCT/KR2009/004570
Other languages
English (en)
French (fr)
Other versions
WO2010019020A3 (ko
WO2010019020A2 (ko
Inventor
서경주
최성호
김중현
유재천
배은희
Original Assignee
삼성전자주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 삼성전자주식회사 filed Critical 삼성전자주식회사
Priority to EP19175614.7A priority Critical patent/EP3554113A1/en
Priority to JP2011522916A priority patent/JP5390611B2/ja
Priority to US13/059,227 priority patent/US8638936B2/en
Priority to CN200980140975.1A priority patent/CN102187599B/zh
Priority to EP09806882.8A priority patent/EP2315371A4/en
Publication of WO2010019020A2 publication Critical patent/WO2010019020A2/ko
Publication of WO2010019020A3 publication Critical patent/WO2010019020A3/ko
Publication of WO2010019020A9 publication Critical patent/WO2010019020A9/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W60/00—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration

Definitions

  • the present invention relates to a method for managing a terminal of a mobile communication system, and more particularly, to a method for efficiently supporting mobility management, location management, and registration management of a terminal through a NAS protocol.
  • the 3rd Generation Partnership Project (3GPP) which is representative of general mobile communication systems, defines an Evolved Packet System (EPS) for next generation communication and introduces an MME as a mobility management entity of a network.
  • EPS Evolved Packet System
  • an improvement method for providing a high speed communication service in the next generation mobile communication by improving the NAS protocol used in the 3GPP of the conventional mobile communication system, in particular 3GPP.
  • the methods of mobility management, location management, and registration management have been improved, and the security management method was strengthened by introducing the concept of secured NAS protocol at the NAS layer.
  • the present invention uses secured NAS messages in the mobility management, location management, registration management and management procedures of the terminal in an evolved mobile communication system including 3GPP EPS, thereby making it possible to secure mobility management, location management, and registration management. To provide effective and efficient support.
  • the present invention also defines how the NAS protocol operates by utilizing NAS messages, which are protocols between the terminal and the mobility manager (MME). Accordingly, the present invention provides a method for supporting mobility management, location management, and registration management for a terminal using a NAS even when moving to a wireless access technology other than 3GPP EPS, that is, another access network.
  • the present invention provides a mobility, idle mode management, registration management (attachment management) of the terminal using a non-access-stratum (network layer: NAS) protocol in the mobile communication network detach management, location management (tracking area management). That is, the present invention provides a method for managing mobility, idle mode, registration, and location management of a terminal using a NAS protocol, that is, a NAS message in a mobile communication system.
  • the mobile communication system of the present invention includes a terminal (hereinafter referred to as UE) and a mobility manager (MME, referred to as a mobility management entity (hereinafter referred to as MME)).
  • a method for processing status information of a terminal includes: transmitting, by a terminal, a state change request message secured to a previous key to a new MME; Receiving the previous key information of the terminal and transmitting the response message to the terminal after the new MME interprets the request message using the previous key information.
  • the previous key information received by the new MME from the previous MME includes KSIasme and Kasme.
  • the new key information generated by the new MME includes NAS encryption key KNASenc and integrity key KNASint
  • the NAS security mode command message includes a security key identifier (KSI), a UE security capability, and an encryption algorithm to be used. (ciphering algorithm), integrity algorithm (integrity algorithm) to be used, etc.
  • KASME basic security key
  • KNASenc an encryption key
  • KNASint an integrity key
  • the new MME when the new MME fails to interpret the request message using a previous key, the new MME transmits a user authentication request message to the terminal, and the terminal further responds to the user authentication request.
  • the user authentication request message may include an authentication vector (AUTN) and a security key identifier (KSIASME).
  • the state change request message may be one of a handover request message, a TAU request message, or a registration (release) request message.
  • the terminal transmits a state change request message secured to the new key to the new MME
  • the new MME is a user to the terminal
  • Transmitting an authentication request message the terminal responding to the user authentication request, the new MME generating a new key, and transmitting a NAS security mode command message including the generated new key information to the terminal
  • the previous MME transmits a message (forward relocation request message) including the previous key information of the terminal to the new MME, the terminal the new MME And transmitting the TAU request message secured by the previous key to the new MME, and interpreting and processing the TAU request message as the previous key. If the new MME fails to interpret the TAU request message as a previous key, the new MME transmits a user authentication request message to a terminal, the terminal responds to the user authentication request, and the new MME is a new key.
  • a message forward relocation request message
  • the terminal transmits a TAU request message secured by the previous key to the new MME
  • the new MME is the previous MME Requesting information related to the previous key of the terminal, receiving previous key information
  • the new MME interprets the TAU request message as the previous key
  • the terminal transmits a registration request message secured by a previous key to the new MME, the new MME terminal to the previous MME Requesting information related to a previous key of, receiving previous key information, and transmitting the registration approval message secured with the previous key to the terminal after the new MME interprets the registration request message as the previous key; Characterized in that made. If the new MME fails to interpret the registration request message as a previous key, the new MME transmits a user authentication request message to a terminal, the terminal responds to the user authentication request, and the new MME is a new key.
  • the present invention provides mobility, idle mode management, and registration management of a terminal using a non-access-stratum (network layer: NAS) protocol in a mobile communication network.
  • NAS network layer
  • a method for managing mobility, idle mode, registration management, and location of a terminal using a NAS protocol includes a UE and a mobility manager (hereinafter referred to as MME).
  • FIG. 1 and 2 are diagrams for explaining the configuration and operation of performing a handover in a mobile communication system according to an embodiment of the present invention
  • 3 and 4 are diagrams for explaining the configuration and operation of performing location management in a mobile communication system according to an embodiment of the present invention.
  • 5 and 6 are diagrams for explaining a configuration and operation of performing a registration procedure of a terminal in a mobile communication system according to an embodiment of the present invention
  • FIG. 7 to 9 are flowcharts illustrating a process of MME performing procedures of mobility management, location management, registration management, etc. according to an embodiment of the present invention.
  • FIG. 10 is a flowchart illustrating a process in which a terminal performs procedures such as mobility management, location management, and registration management according to an embodiment of the present invention.
  • the term “status change request message” may be hand over, tracking area update (TAU), attach (detach) request message, or the like.
  • the term “old key” refers to security key-related information used in the old MME (old MME, serving MME) to which the terminal is connected
  • the term “new key” refers to a new MME (the terminal is connected by a state change) new MME, target MME).
  • old key information received from the old MME includes a basic security key identifier (KSIASME) and a basic security key (KASME), which are security information of the terminal, and the key access security management entity (KASME).
  • KSIASME basic security key identifier
  • KASME basic security key
  • KASME key access security management entity
  • the "user authentication request" message is an authentication message between a new MME and a UE when a new key is generated, and may include an authentication vector, an authentication token (AUTN) and a security key identifier (KSIASME).
  • AUTN authentication token
  • KSIASME security key identifier
  • the "NAS Security mode command message” is a message that a new MME generates a new key and transmits to the UE.
  • the information includes information on a security key identifier and a security algorithm supported by the terminal.
  • UE security capability UE security capability
  • the encryption algorithm ciphering algorithm
  • the integrity algorithm integrated algorithm
  • the present invention provides a method for supporting mobility management, location management, and registration management in a mobile system using a NAS protocol, which is a protocol between a terminal and an MME of a mobile communication system.
  • a NAS protocol which is a protocol between a terminal and an MME of a mobile communication system.
  • FIG. 1 of the present invention the embodiment of FIG. 1 has been described using two 3GPP EPS networks as an example, but not only a handover from 3GPP EPS to EPS but also 3GPP UMTS, 3GPP GPRS network, WiMAX, 3GPP2, etc. Even if the terminal is moved to a network using another wireless access technology, a modified NAS will be available. Therefore, the method for supporting mobility management, location management, and registration management using the NAS protocol, which is a basic object of the present invention, is applicable to other mobile communication systems having a similar technical background and channel form without departing from the scope of the present invention. It can be seen that.
  • FIG. 1 is a block diagram illustrating a handover environment in a mobile communication system environment according to an embodiment of the present invention.
  • the 3GPP EPS system structure is illustrated as an example.
  • an Evolved Node Base Station (E Node B: hereinafter referred to as eNB) 112 is a UE (User Equipment: hereinafter referred to as UE or UE) located in a cell which is each service area 110. Set up a wireless connection with and perform communications.
  • the UE 110 refers to a terminal that accesses a packet data network such as the Internet through a serving gateway (hereinafter, referred to as a Serving GW, or SGW) 116.
  • a serving gateway hereinafter, referred to as a Serving GW, or SGW
  • PDN GW Packed Data Network Gateway
  • HA home agent
  • An interface and a data path exist between the eNBs 112 and 132, the serving GWs 116 and 136, the MMEs 114 and 134, and the serving GWs 116 and 136 to manage mobility of the terminal.
  • the UE 110 and the MME 114, 134 communicate with each other with a NAS protocol stack to perform mobility management, location management, registration management, and session management.
  • the UE 110 may handover from NW1 141 to NW2 143 or vice versa. Meanwhile, in the present invention, an interface may exist between the MME 114 and the MME 134 for mobility management, location management, and registration management of the UE 110, and an interface may exist between the eNB 112 and the eNB 132. .
  • the present invention focuses on the NAS protocol, which is a protocol between the MME 114 and the terminal 110, which are entities introduced for mobility management, location management, and session management of the UE 110.
  • the NAS protocol introduced between the terminal 110 and the MME 114 for mobility management and location and session management becomes an EPS system, thereby enhancing security, changing location management functions, and changing session management functions. It became.
  • FIG. 2 is a diagram illustrating a procedure for performing a handover function using a NAS protocol between an MME and a UE in a mobile communication system environment according to an embodiment of the present invention in a mobile communication system having the structure as shown in FIG. 1.
  • the new MME 134 may perform three kinds of operations. That is, in an exemplary embodiment of the present invention, when the operation is performed as in steps 151 to 157 of FIG. 2, that is, in case 2, the new MME 134: new MME is received from the old MME 114. This is the case using relevant information.
  • case 1 which includes the procedures of steps 151 to 153, steps 171 to 179, 181, 191 to 193 of FIG. 2, and steps 171 to 173. It includes a procedure of interpreting a message using new security-related information, including an authentication procedure of steps and a security mode command procedure of steps 175 to 181.
  • steps 151 to 153, steps 161 to 163, 163, and 171 to 181 are performed, which is to perform steps 151 to 153 and 161 to 163.
  • steps 163 when a tracking area update (TAU request) message is interpreted as a previous security key and the security verification fails, steps 171 to 181 are performed.
  • TAU request tracking area update
  • case 2 case 2
  • the serving MME 114 serves as a target MME (target relocation request message).
  • the transmission relocation request message includes UE security context information.
  • the target MME 134 then sends a forward relocation response message to the serving MME 114.
  • the terminal 110 transmits a tracking area update (TAU) request message to the target MME 134, and the TAU request message is protected by a previous security key. key).
  • TAU tracking area update
  • the target MME analyzes the received TAU request message using the previous security key in step 163. (interprets TAU request message using old key).
  • the serving MME (ie, old MME before handover) 114 transmits security related information to the target MME (ie, new MME) 134 (UE security context). Transmit a forward relocation request message including a). And security related information of the terminal. The new MME 134 then forwards a forward relocation response message to the old MME 114. Then, in the UE 110, when a tracking area update (Tracking Area UpdateRequest: TAU request) message, which is a location registration message secured by the previous security key, is transmitted to the new MME 134, the target MME (target MME). 134 interprets the TAU request message using the old security key.
  • TAU request Tracking Area UpdateRequest
  • case 1 case 1
  • the serving MME 114 and the target MME 134 perform steps 151 and 153 and transmit and respond to a transmission relocation request message. Send a message.
  • the target MME 134 transmits a user authentication request message to the terminal 110.
  • the user authentication request message includes an authentication vector (AUTN) and a security key identifier (KSIASME).
  • the terminal 110 transmits a user authentication response message to the target MME 134 in step 173.
  • the target MME 134 generates an encryption key KNASenc and an integrity key KNASint in response to the terminal.
  • the target MME 134 is a security key identifier (key set index KSI), UE security capability (UE security capability) that is information about a security algorithm supported by the terminal (ciphering algorithm) to be used,
  • a NAS security mode command including an integrity algorithm and the like is transmitted to the terminal 110.
  • the terminal 110 generates an encryption key KNASenc and an integrity key KNASint based on the key KASME indexed by the security key identifier KSI (Generate KNASenc and KNASint based on KASME indexed by KSI).
  • the target MME 134 and the terminal 110 share the same key value.
  • the terminal 110 transmits a security mode complete message to the target MME, thereby terminating the NAS security mode command process.
  • the terminal 110 transmits a TAU request message protected by a new security key, that is, a new encryption key (KNASenc) or an integrity key (KNASint), to the target MME 134 in step 191.
  • a new security key that is, a new encryption key (KNASenc) or an integrity key (KNASint)
  • KNASenc new encryption key
  • KNASint integrity key
  • the target MME 134 analyzes the received TAU request message by the new key (interprets TAU request using new key).
  • the old MME 114 and the new MME 134 transmit a transmission relocation request message and a response message accordingly.
  • the new MME 134 transmits a user authentication request message to the terminal, and the user authentication request message includes an authentication vector (AUTN) and a security key identifier (KSIASME).
  • the terminal 110 transmits a user authentication response of the user authentication request message.
  • the new MME 134 then generates an encryption key (KNASenc) and integrity key (KNASint), and sends a NAS Security mode command message to the UE.
  • KNASenc encryption key
  • KNASint integrity key
  • the information included in the NAS security mode command may include a key set index, a UE security capability that is information about a security algorithm supported by the terminal, a ciphering algorithm to be used, and an integrity to be used. Algorithms, and the like.
  • the UE 110 generates an encryption key KNASenc and an integrity key KNASint based on the key KASME indexed by the security key identifier KSI, and thus the new MNE 134 and the terminal. 110 will own the same key value.
  • the UE 110 sends a security mode complete message to the MME 134, thereby completing the NAS security mode command process, and then the UE 110 sends a new security to the MME 134.
  • case 3 may be a case where security verification of the TAU request message fails in case 1 (case 1). That is, after performing steps 151 to 153 and 161, when the target MME 134 fails to verify security in the process of analyzing the TAU request message using the previous security key in step 163, the target MME ( 134) and the NAS 110 generate a new security key while performing the steps 171 to 181 in the same manner as the case 2 is performed in case 2 (NAS security mode) Do this. Thereafter, the terminal 110 transmits a TAU request message protected by a new security key, that is, a new encryption key (KNASenc) or an integrity key (KNASint), to the target MME 134 in step 191. The target MME 134 analyzes the received TAU request message by the new key (interprets TAU request using new key).
  • KNASenc new encryption key
  • KNASint integrity key
  • TAU request tracking area update
  • the new MME 134 is connected to the new MME 134.
  • the terminal 110 generates a new security key and shares it, and then processes the TAU request message with the new security key.
  • FIG. 3 is a diagram illustrating a location management environment in a mobile communication system environment according to a preferred embodiment of the present invention.
  • the mobile communication system is a 3GPP EPS.
  • a configuration entity and a configuration environment of a mobile communication system have a structure similar to that of FIG. 1.
  • the focus on the location management function will be described. That is, in the situation as shown in FIG. 3, the UE 110 is not activated as an active mode as shown in FIG. 1, and the UE 110 operates in an idle mode for power consumption. Or when the location of the UE is changed from a tracking area TA 1 (241) to TA 2 243 after handover in the active mode. In this case, location management of the terminal is required.
  • the tracking area TA is a concept used to manage an approximate location, although the location of the terminal is not as precise as a cell unit.
  • FIG. 4 is a diagram illustrating a method of operating an MME in a location management situation in a mobile communication system environment according to an embodiment of the present invention as shown in FIG. 3.
  • the new MME 234 is capable of three operations, and the three cases are as follows.
  • case 2 is a case where a new MME 234: new MME utilizes security related information received from an old MME while performing step 251 259 of FIG. 4.
  • case 1 includes steps 251 to 257, steps 261 to 269, steps 271 and 281. That is, the case 1 (case 1) is a message using the new security-related information, including the authentication procedure (step 261-263) and the security mode command (step 265-271). Include procedures for interpretation. That is, in case 1, an attempt is made to interpret a message with security-related information (old security context) received from the previous MME 214, but fails in security verification.
  • case 3 is a case that the security verification of the message failed by performing steps 251 to 257, unlike case 1 (case 1), authentication during the execution of steps 261 to 271 due to the need for a new security authentication procedure If the procedure or the security procedure fails, it is a case where a location registration reject message of step 291 is transmitted from the MME 234 to the UE (UE: 210) with respect to the location registration request in step 251.
  • case 2 case 2
  • the UE UE 210 transmits a TAU request message to a new MME (hereinafter, referred to as a new MME) by securing a TAU request message with a previous security key value.
  • the new MME 234 then delivers a context request message to the previous MME (hereinafter referred to as old MME) 214 to know the information of the terminal.
  • the old MME 214 generates an information response message for the information request message and transmits the information response message to the new MME 234.
  • the context response message includes a basic security key identifier (KSIASME) and a basic security key (KASME) which are security information of the terminal.
  • KSIASME basic security key identifier
  • KASME basic security key
  • the basic access key (KASME) is used to protect an encryption key (KNASenc) used for encrypting NAS messages, a NAS integrity key (KNASint) used for integrity protection, and a wireless section AS (Access Stratum) message. It is used to generate an Innodeby key (KeNB).
  • the new MME 234 interprets the TAU request message received from the UE 210 in step 251 using the old key.
  • TAU request Tracking Area Update Request
  • the new MME 234 interprets the TAU request message with the old security key.
  • the old security key includes a NAS encryption key (KNASenc) and NAS integrity key (KNASint) used for NAS message security used in the communication between the UE 210 and the previous MME 214.
  • the new MME 234 secures a tracking area update accept (TAU accept) message, which is a location registration response message, by using an old key (TAU accept message using old key). Transmit to the UE 210.
  • KNASenc NAS encryption key
  • KNASint NAS integrity key
  • case 2 case 2 for location management of the terminal as described above
  • the new MME 234 is an old MME 214.
  • the old MME 214 In order to know the information of the UE (110).
  • the old MME 214 generates a context response message including KSI asme and Kasme, which are security information of the terminal, and transmits it to the new MME 234.
  • the new MME 234 interprets the TAU request message of the UE 110 using the old key according to the information response of the old MME 214, and secures the resulting TAU accept message using the old key. And transmit to the UE 110.
  • the new MME 234 when the new MME 234 receives the TAU request message secured by the old key, the new MME 234 requests the old key information of the UE 210 from the old MME 214, and according to the information response of the old MME 214.
  • the received TAU request message is interpreted to register a location, and the resulting TAU accept message is secured with an old key and transmitted to the UE 210.
  • case 1 In the case of location management of the UE 110, the operation of case 1 (case 1) will be described. In the case of operation 1, operations 251 to 257 in the case 1 proceed in the same manner as the operation of case 2 (case 2). do.
  • the new MME 234 transmits a user authentication request message to the UE 210 in step 261.
  • the user authentication request message includes an authentication vector (AUTN) and a security key identifier (KSIASME).
  • the UE 210 generates a user authentication response message according to the user authentication request message in step 263 and transmits it to the new MME 234.
  • the new MME 234 In step 265, the new MME 234 generates an encryption key (KNASenc) and an integrity key (KNASint), which are new security information.
  • the new MME 234 transmits a NAS security mode command message to the UE 210.
  • information included in the NAS Security mode command message includes a key set index, a UE security capability that is information about a security algorithm supported by the terminal, and a ciphering algorithm to be used. Integrity algorithm.
  • the UE 210 generates an encryption key (KNASenc) and an integrity key (KNASint) based on the basic security key KASME indexed by the security key identifier (KSI) in step 269 (generate KNASenc and KNASint based on KASME indexed by KSI). Accordingly, when performing step 269, the new MME 234 and the UE 210 possess the same security key value. Thereafter, the UE 210 transmits a security mode complete message to the MME in step 271 to complete the NAS security mode command process. The new MME 234 then transmits a TAU accept message, which is a location registration response message protected by the new security key, that is, the new encryption key KNASenc or the integrity key KNASint, to the UE 210 in step 281.
  • KNASenc an encryption key
  • KNASint integrity key
  • the new MME 234 may obtain a new security key (KNASenc and KNASint). ), And transmits a NAS Security mode command message to the UE 210 to allow the UE 210 to generate a new security key (KNASenc and KNASint). Therefore, when the NAS Security mode is performed, the new MME 234 and the UE 210 share the same security key.
  • step 3 performs steps 251 to 257 and steps 261 to 271, which perform steps 251 to 257. If the security verification fails as a result of interpreting the tracking area update (TAU request) message with the previous security key in step 257, steps 261 to 217 are performed.
  • the SMC performs an authentication process in steps 261 to 263 or an authentication process in steps 261 to 263 succeeds, but performs steps 271 to 271 in steps 267 to 271. If there is a failure during the security mode command) process, the UE 210 and the new MME 234 own different security keys. In this case, the new MME 234 transmits a tracking area update reject message to the UE 210 in step 291.
  • FIG. 5 is a diagram illustrating a registration environment of a terminal in a mobile communication system environment according to an embodiment of the present invention.
  • the UE 310 may perform an attach process when first accessing a network. Meanwhile, when the UE 310 no longer accesses the EPS network, the UE 310 may perform a registration detach, or the UE 310 may not communicate with the MME 314 for a long time or may contact the network operator. Even if the registration is terminated by the UE, the UE 110 may perform a registration process.
  • FIG. 6 is a flowchart illustrating a registration and release procedure of a terminal in a mobile communication system having the configuration as shown in FIG. 5.
  • a new MME (new MME) 334 may be operated in three ways, and the three cases (case1 to case 3) will be described below.
  • case 2 may perform steps 351, 361 to 365 and 371, and utilizes the security-related information that the new MME (334: new MME) received from the old MME (old MME: 314). This is the case.
  • case 1 (case 1) can perform steps 351, 361-365, 381-391, 395, step 381-383 authentication procedure (step 381-383) and step 385-391 It includes a procedure for interpreting a message using new security-related information, including a security mode command procedure.
  • case 1 attempts to interpret a message with security-related security information (old security context) received from the previous MME 314, but failed in the security verification, etc., authentication and security of steps 381 to 391
  • the procedure includes sending a message with new security information obtained by performing the procedure, and then decrypting the received message.
  • case 3 is a case where security verification of the message fails after performing steps 351 and 361-365 and step 381 due to the necessity of a new security authentication procedure unlike case 1 (case 1). This is the case where the MME sends an attach reject message to the UE (UE: 310) due to a failure in the authentication procedure or the security procedure while performing step 391. .
  • the UE UE 310 transmits an Attach request message secured by the old security key (old key) to the new MME 334.
  • the new MME 334 transmits an identification request message to the old MME 314 to know information of the UE.
  • the old MME 314 transmits an identification response message to the new MME 334 in step 713.
  • the identification response message may include a basic security key identifier (KSIASME) and a basic security key (KASME), which are security information of the terminal.
  • KSIASME basic security key identifier
  • KASME basic security key
  • a key access security management entity KASME is used to encrypt NAS messages.
  • the new MME 334 interprets the attach request message transmitted by the UE 310 in step 351 with the old key.
  • the old security key includes a NAS encryption key (KNASenc) and NAS integrity key (KNASint) used in the NAS message security used in the communication between the UE 310 and the previous MME 314.
  • the new MME 334 transmits an attach accept message, which is an attach registration response message, to the UE 310 in step 371, wherein the registration response message is old. Secured by key.
  • case 1 case 1
  • the new MME 334 transmits a user authentication request message to the UE 310 in step 381.
  • the user authentication request message includes an authentication vector (AUTN) and a security key identifier (KSIASME).
  • AUTN authentication vector
  • KSIASME security key identifier
  • the new MME 334 When the user authentication is performed by the user authentication request and the response according to the above, the new MME 334 generates an encryption key KNASenc and an integrity key KNASint in step 385. In operation 387, the new MME 334 transmits a NAS security mode command message to the UE 310.
  • the information included in the NAS Security mode command message includes a key set index, UE security capability which is information on a security algorithm supported by the terminal, a ciphering algorithm to be used, and an integrity to be used. Algorithms, and the like.
  • the UE 310 generates an encryption key KNASenc and an integrity key KNASint based on the default security key KASME indexed by the security key identifier KSI in step 389. 310 and new MME 334 will own the same key value. Thereafter, the UE 310 transmits a security mode complete message to the new MME 334 in step 391 to complete the NAS security mode command process. In operation 395, the new MME 334 transmits an Attach accept message, which is a connection registration response message protected by a new security key, that is, a new encryption key KNASenc or an integrity key KNASint, to the UE 310.
  • an Attach accept message which is a connection registration response message protected by a new security key, that is, a new encryption key KNASenc or an integrity key KNASint
  • Step 3 is a case in which steps 351, 361-365, 381-391 are performed, while steps 351, 361-365 are performed.
  • steps 371 to 391 are performed. That is, in case 3, unlike in the case 2, the authentication procedure fails while performing steps 381 to 383, or the authentication process of steps 381 to 383 succeeds but is performed in steps 367 to 391. If there is a failure during the security mode command (SMC) process, the UE 310 and the new MME 334 possess different security keys. In step 399, the new MME 334 transmits an attach reject message to the UE 310.
  • SMC security mode command
  • the new MME when receiving a state change message (here, handover, TAU, attach (detach) request message), the new MME is first described as a method of receiving an old key from the old MME and interpreting the corresponding request message.
  • the new key may be generated and processed immediately by omitting the process of interpreting the old key, that is, when receiving the state change message (here, handover, TAU, attach (detach) request message), the new MME is added to the old key.
  • Request message analysis procedure of the terminal steps 151, 153, 163 in FIG. 2, steps 253, 255, 257, 259 in FIG. 4, and 361, 363, 365, 371 in FIG. 6), and new You can also generate a key to process the request message.
  • 7 and 9 are flowcharts illustrating a procedure for performing mobility management, location management, and registration management of an MME in a mobile communication system according to an embodiment of the present invention.
  • 10 is a flowchart illustrating a procedure of performing mobility management, location management, and registration management of a terminal in a mobile communication system according to an exemplary embodiment of the present invention.
  • 7 to 9 and 10 mainly describe the process of the UE transmits the message and the MME interprets the message transmitted from the UE to operate, but also applies in the opposite direction unless the operation characteristics are significantly different. It will be possible.
  • the form of the message other than the context (context) to be transmitted for the operation of the MME and the UE as shown in FIGS. 7 to 9 and 10 will be omitted.
  • the NAS protocol is used between the terminal and the MME to support the above management.
  • These NAS protocols include secure NAS protocols and unsecured NAS protocols, and EPS mobility management Evolved Mobility Management (hereinafter referred to as EMM) NAS messages and EPS session management Evolved Session Management (hereinafter referred to as ESM) to support the EPS NAS protocol.
  • EMM Evolved Mobility Management
  • ESM EPS session management Evolved Session Management
  • a request message (handover request, TAU request or attach (detach) request) is generated from the UE
  • the MME analyzes the request type in step 401 and operates differently according to handover, location management, and registration request.
  • step 401 If it is determined in step 401 that the handover request is made, in case of handover, the MME proceeds to step 411 to perform a handover related process.
  • the UE 110 moves from the NW 1 141 managed by the MME 114 to the NW2 143 managed by the MME 134 in the situation as shown in FIG. 1. .
  • the case may be changed to the Serving Gateway of the handover, but the Serving Gateway may not be changed and only the MME may be changed.
  • the serving MME (old MME: 114 here) transmits information on the UE that the Serving MME has to the target MME through a message such as FORWARD RELOCATION REQUEST / RESPONSE in step 411.
  • the important information transmitted may include security-related parameters such as key set identifier (KSI), authentication parameter (authentication parameter or authentication vector), NAS key set identifier (KSI), NAS encryption key KNASenc or integrity key KNASint.
  • KKI key set identifier
  • KNAS key set identifier NAS key set identifier
  • NAS encryption key KNASenc or integrity key KNASint.
  • the target MME checks whether a new user authentication and / or secure mode command process should be performed.
  • a security key includes a key set identifier (KSI), an authentication parameter (authentication parameter or authentication vector), a NAS key set identifier (KSI), a NAS encryption key KNASenc, or an integrity key KNASint.
  • the target MME is a security key including a new NAS key set identifier (NAS KSI), NAS encryption key KNASenc or integrity key KNASint from the UE in step 415 Receive a secured TRACKING AREA UPDATE REQUEST (hereinafter referred to as TAU REQUEST) NAS message.
  • TAU REQUEST a secured TRACKING AREA UPDATE REQUEST
  • the MME sets a new security-related parameter, that is, a key set identifier (KSI), an authentication parameter (authentication parameter or authentication vector), a NAS key set identifier (KSI), and a NAS encryption key KNASenc.
  • the TAU REQUEST is decrypted with the security key including the integrity key KNASint.
  • the MME uses a security parameter previously used by the MME and the UE from the UE in step 419, that is, a previous security related parameter, that is, an OLD KSI (key set identifier).
  • a previous security related parameter that is, an OLD KSI (key set identifier).
  • TAU REQUEST generated by UE with OLD security key including OLD authentication parameter or authentication vector, OLD NAS KSI (key set identifier), OLD NAS encryption key KNASenc or OLD integrity key KNASint Receive the message.
  • the MME itself uses a previous security parameter previously used by the MME and the UE, that is, an OLD KSI (key set identifier), an OLD authentication parameter or an authentication vector, and an OLD NAS KSI (key).
  • a previous security parameter previously used by the MME and the UE that is, an OLD KSI (key set identifier), an OLD authentication parameter or an authentication vector, and an OLD NAS KSI (key).
  • OLD KSI key set identifier
  • an OLD authentication parameter or an authentication vector an OLD NAS KSI (key).
  • the target MME receives a secured TRACKING AREA UPDATE REQUEST (hereinafter referred to as TAU REQUEST) from the UE in step 431.
  • TAU REQUEST is a previous security-related parameter used by the previous Serving MME and the UE 110, that is, an OLD KSI (key set identifier), an OLD authentication parameter, or an authentication vector authentication vector, OLD. It is generated with an OLD security key including a NAS key set identifier (NAS KSI), an OLD NAS encryption key KNASenc, or an OLD integrity key KNASint.
  • the new MME receives security-related parameters from the old MME through a CONTEXT RESPONSE message.
  • the new MME needs to know the old MME and the corresponding terminal in order to receive the security parameters from the old MME. That is, when the new MME receives the TAU REQUEST in step 431, in order to find out the old MME and the corresponding terminal, the last visited registered tracking area identity (TAI) and the previous temporary terminal which is the identifier of the terminal A globally unique temporary identifier (GUTI), or OLD GUTI, must be known, and at least this information is protected, but not encrypted, so that the new MME can request security parameter information from the old MME.
  • TAI tracking area identity
  • GUI globally unique temporary identifier
  • OLD GUTI globally unique temporary identifier
  • step 433 new MME receives the security parameters from the old MME in step 433 (new MME receive NAS KSI, key, authentication parameter, KSI from old MME through context response message), in step 435 using the previous security parameters Read the TAU REQUEST message (new MME ingterprets TAU request with old MME's NAS key, authentication parameters, KSI).
  • the new MME decides whether to perform the authentication process in step 437. (new MME decide do authentication or not (if integrity check failed, THEN do authentication) In particular, if the security verification fails in step 435, the new MME determines. If the authentication process of step 439, NAS SMC, SMC process is performed, the new MME transmits a TAU ACCEPT message to the UE using the new security parameter in step 441. If the authentication process, the NAS SMC, or the SMC process is not performed in step 439, the new MME transmits a secured TAU ACCEPT message to the UE using the previous security parameter in step 443.
  • the new MME receives a secured ATTACH REQUEST NAS message from the UE in step 461.
  • the received ATTACH REQUEST is a previous security-related parameter used by the old MME and the UE, that is, OLD KSI (key set identifier), OLD authentication parameter (authentication parameter or authentication vector authentication vector), OLD NAS KSI (key set identifier) , OLD security key including OLD NAS encryption key KNASenc or OLD integrity key KNASint.
  • the new MME determines whether it has security parameters for the UE 110 in step 463, and if so, the new MME reads the ATTACH REQUEST with the security parameters in step 469. In this case, the process proceeds from step 463 to step 469 when the UE has previously registered with the new MME but has been terminated for some reason (DETACH), and the UE and the MME have security-related parameters. On the other hand, if the new MME does not have UE-related security information in step 463, the new MME determines whether or not the security-related parameters from the old MME in step 465.
  • the new MME fails to read the message in step 479 and transmits an error message to the UE. This is to allow the UE to transmit an unsecured message or retransmit the secured message in a later step.
  • the new MME reads the ATTACH REQUEST message using the security parameter information transmitted from the old MME in step 469.
  • the new MME needs to know the old MME and the corresponding terminal when the new MME receives the ATTACH REQUEST in step 461. This information must know the Last Visited Registered Tracking Area Identifier (TAI) and the former Temporary Terminal Identifier (GUTI), which is the terminal's identifier, or OLD GUTI, and at least this information should be encrypted, even if integrity protected.
  • TAI Last Visited Registered Tracking Area Identifier
  • GUI Temporary Terminal Identifier
  • the new MME can request security parameter information from the old MME.
  • the new MME determines whether to perform the authentication process as in step 471 and 473. In particular, when the security verification fails in step 469, the new MME must perform the authentication process in step 473.
  • the new MME transmits and receives NAS messages using the new security parameters in step 475. If the authentication process, the NAS SMC, or the SMC process is not performed at step 473, the new MME may transmit and receive a secured NAS message using a previous security parameter (OLD) at step 477.
  • OLD previous security parameter
  • FIG. 10 is a flowchart illustrating a procedure for supporting mobility management, location management, and registration management of a terminal according to an embodiment of the present invention. This support procedure will be described focusing on the process of generating, sending, and verifying NA messages.
  • the terminal may use a key setidentifier (KSI), an authentication parameter (authentication parameter or authentication vector), a NAS key set identifier (KSI), a NAS encryption key KNASenc, or an integrity key KNASint. It is determined whether or not a security key including a key is included.
  • KSI serves as an identifier for keys used in the authentication process between the terminal and the MME
  • an authentication parameter or an authentication vector means authentication parameters or vector values necessary for authentication.
  • NAS KSI is an identifier for distinguishing the keys used to secure the NAS message
  • Key is a security-related key, as well as a key related to the UE security and the NAS security required for the UE and the MME to communicate with the NAS message. It can be a key, that is, a NAS encryption key KNASenc or an integrity key KNASint.
  • KSI is the same as NAS KSI. This KSI may refer to KSISGSN values used in KSIASME or handover situations.
  • KSIASME default security key identifier is used to identify KASME, which is the default security key, and KSI and NAS KSI are the same because NAS encryption key KNASenc or integrity key KNASint is generated from KASME, the default security key.
  • KSISGSN used in the handover situation from GERAN / UTRAN to 3GPP LTE network, E-UTRAN, where KSI is not KSIASME, K'ASME generated from encryption key (CK: cipher key) and authentication key (IK: integrity key).
  • CK cipher key
  • IK integrity key
  • step 501 if there are no such security-related values in step 501, in particular, if there is no NAS KSI or NAS-related security key, that is, NAS encryption key KNASenc or integrity key KNASint, the terminal creates and transmits an unsecured NAS message in step 513. If there is a NAS KSI or NAS-related security key, the terminal determines whether to transmit the secured message in step 503, and if the terminal does not want to send the secured message, the terminal proceeds to step 513.
  • NAS KSI or NAS-related security key that is, NAS encryption key KNASenc or integrity key KNASint
  • the terminal has its own key set identifier (KSI), authentication parameter (authentication parameter or authentication vector), NAS KSI (key set) Create a NAS message by using an identifier, a security key, etc. and send the generated message.
  • the UE then receives a new security related parameter from the MME in step 507.
  • the security parameters may include a security key including a key set identifier (KSI), an authentication parameter or an authentication vector authentication vector, a NAS key set identifier (KSI), a NAS encryption key KNASenc, or an integrity key KNASint. Can be.
  • the security-related parameters as described above may be received from the MME through an authentication process or a security mode command.
  • the terminal receives a new security related parameter, that is, a key set identifier (KSI), an authentication parameter (authentication parameter or authentication vector), NAS key set identifier (NAS), and NAS encryption key received in step 509. Verifies the security key including KNASenc or integrity key KNASint.
  • the terminal After performing the verification process, the terminal generates and transmits a message with new security-related parameters in step 511.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 발명은 이동통신 네트워크에서 비접속 계층(non- Access -Stratum, 즉 네트웍 계층 : 이하 NAS로 표기) 프로토콜을 이용하여 단말의 이동성, 아이들 모드(idle mode)를 관리, 등록 관리(registration management : Attach, detach 관리), 위치 관리(location management : tracking area 관리)하는 방법 및 시스템에 대한 것이다. 이를 위하여 본 발명의 실시예에 따른 NAS 프로토콜, 즉 메시지를 이용하여 단말의 이동성, 아이들 모드(idle mode) 관리, 등록 관리, 위치 관리 하기 위한 방법은 단말(이하 UE로 표기)과 이동 관리자(MME, mobility management entity : 이하 MME로 표기)를 포함하며, 단말이 동작 모드(active mode)에서 핸드오버(handover)하는 경우와, 아이들 모드(idle mode) 에서 위치 관리(location management)를 하는 경우, 단말이 네트웍에 등록하는 경우에 있어서, 3GPP의 EPS(Evolved Packet System)와 같은 네트워크에서 이동성 관리 메시지인 EMM(EPS Mobility Management) 중 상기와 같은 역할을 하는 메시지를 보내고 혹은 받는 경우 받은 메시지가 보안화된 NAS 메시지인 경우 보안화된 NAS 메시지를 효율적으로 처리하기 위한 방법을 제기함으로써 단말의 이동성과 위치 관리, 그리고 등록 관리를 효율적으로 하는 이점이 있다.

Description

[규칙 제26조에 의한 보정 18.11.2009]　이동 통신 시스템의 보안화된 비계층 프로토콜 처리 방법
본 발명은 이동 통신 시스템의 단말의 관리방법에 대한 것으로서, 특히 NAS 프로토콜을 통한 단말의 이동성 관리, 위치 관리, 등록 관리를 효율적으로 지원하기 위한 방법에 관한 것이다.
일반적인 이동 통신 시스템들 중 대표적인 3GPP(3rd Generation Partnership Project) 에서는 차세대 통신을 위하여 EPS(Evolved Packet System)를 정의하고, MME를 네트워크의 이동성 관리 엔티티로 도입하였다. 상기와 같은 이동 통신 시스템에서는 종래의 이동 통신 시스템, 특히 3GPP의 3G에서 사용하던 NAS 프로토콜을 개선하여 차세대 이동 통신에서의 고속의 통신 서비스 제공을 위하여 개선 방안을 제시하였다. 이에 이동성 관리, 위치 관리, 등록 관리의 방법을 개선하고 또한 이와 아울러 NAS 계층에서 보안화된 NAS 프로토콜 개념을 도입하여 보안 관리 방안을 강화하였다.
하지만, 현재 NAS 프로토콜 정의 및 이동성 관리, 위치 관리, 등록 관리 방법에 대한 정의는 초기 단계로 상기와 같은 기능을 지원하기 위한 정확한 절차 및 속성이 정의 되어 있지 않다. 또한 현재 정의된 절차 및 정의된 메시지로는 실제 동작에 있어서 이동성 관리, 위치 관리, 혹은 등록 관리에 있어서 NAS 프로토콜 동작에 있어서 동작 불가 혹은 동작의 불분명의 문제점이 발생하였다. 따라서, NAS 프로토콜이 이동성 관리, 위치 관리, 등록 관리 및 보안성 지원을 효율적으로 지원하기 위한 절차 및 단말 및 MME 의 역할을 명시해야 할 필요가 있다.
본 발명은 3GPP EPS를 비롯한 진화된 이동 통신 시스템에서 단말의 이동성 관리, 위치 관리, 등록 관리 및 이러한 관리 절차에 있어 보안화된 NAS 메시지를 사용하며, 이로인해 이동성 관리, 위치 관리, 등록 관리를 안전하고 효율적으로 지원하는 방법을 제공한다. 또한 본 발명은 단말과 이동성 관리자(MME) 간의 프로토콜인 NAS 메시지를 활용하여 NAS 프로토콜이 어떻게 동작하는 지를 정의한다. 따라서 3GPP EPS 내에서 뿐만 아니라 3GPP EPS가 아닌 다른 무선 접속 기술, 즉 다른 액세스 네트웍으로 이동하는 경우에도 NAS를 이용하는 단말에게 이동성 관리, 위치 관리, 및 등록 관리를 지원하는 방법 등을 제공한다.
본 발명은 이동통신 네트워크에서 비접속 계층(non-Access-Stratum, 즉 네트웍 계층 : 이하 NAS로 표기) 프로토콜을 이용하여 단말의 이동성, 아이들 모드(idle mode) 관리, 등록 관리(registration management : Attach, detach 관리), 위치 관리(location management : tracking area 관리)하는 방법에 관한 것이다. 즉, 본 발명은 이동통신 시스템에서 NAS 프로토콜, 즉 NAS 메시지를 이용하여 단말의 이동성, 아이들 모드(idle mode) 관리, 등록 관리, 위치 관리 하기 위한 방법을 제공한다. 본 발명의 이동통신 시스템은 단말(이하 UE로 표기)과 이동 관리자(MME , mobility management entity : 이하 MME 로 표기)를 포함하며, 단말이 동작 모드(active mode)에서 핸드오버(handover)하는 경우, , 아이들 모드(idle mode)에서 위치 관리(location management)를 하는 경우 및 단말이 네트웍에 등록하는 경우에 3GPP의 EPS(Evolved Packet System)와 같은 네트워크에서 보안화된 NAS 메시지를 효율적으로 사용하기 위한 방법을 제안한다.
본 발명의 실시예에 따른 이동통신시스템에서 단말의 상태 정보를 처리하는 방법은, 단말이 이전 키에 보안화된 상태 변경 요청 메시지를 뉴 MME에 전송하는 과정과, 상기 뉴 MME가 이전 MME에서 상기 단말의 이전 키 정보를 수신하는 과정과, 상기 뉴 MME가 상기 이전 키정보를 이용하여 상기 요청 메시지를 해석한 후 상기 단말에 응답 메시지를 전송하는 과정으로 이루어짐을 특징으로 한다. 여기서 상기 뉴 MME가 이전 MME로부터 수신하는 이전 키 정보는 KSIasme 및 Kasme 등을 포함한다.
그리고 상기 뉴 MME가 이전 키로 상기 요청 메시지의 해석 실패시 뉴 키를 성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과, 기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정을 더 구비함을 특징으로 한다.
또한 상기 뉴 MME가 생성하는 뉴 키 정보는 NAS 암호화 키 KNASenc 및 무결성 키 KNASint 등을 포함하며, 상기 NAS 보안 모드 명령 메시지는 보안키 식별자(KSI), 단말 보안 능력(UE security capability), 사용될 암호화 알고리즘(ciphering algorithm), 사용될 무결성 알고리즘(integrity algorithm) 등을 포함하며, 상기 단말이 생성하는 뉴 키 정보는 상기 NAS 보안모드 명령 메시지의 보안키 식별자(KSI)에 의해 색인되는 기본 보안키(KASME)에 기초하여 생성되는 암호화 키(KNASenc)와 무결성 키(KNASint)등을 포함하는 것을 특징으로 한다.
그리고 상기 뉴 MME가 이전 키로 상기 요청 메시지의 해석 실패시 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정을 더 구비하는 것을 특징으로 한다. 여기서 상기 사용자 인증 요청 메시지는 인증 벡터(AUTN)와 보안키 식별자(KSIASME)를 포함할 수 있다.
여기서 상기 상태 변경 요청 메시지는 핸드오버 요청 메시지, TAU 요청 메시지 또는 등록(해제) 요청 메시지 중의 하나가 될 수 있다.
또한 본 발명의 실시예에 따른 이동통신시스템에서 단말의 상태 정보를 처리하는 방법은, 단말이 뉴 키에 보안화된 상태 변경 요청 메시지를 뉴 MME에 전송하는 과정과, 상기 뉴 MME가 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정과, 상기 뉴 MME가 뉴 key를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과, 상기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정으로 이루어짐을 특징으로 한다.
또한 본 발명의 실시예에 따른 이동통신시스템의 핸드오버 처리 방법은, 이전 MME가 뉴 MME에 단말의 이전 키 정보를 포함하는 메시지(forward relocation request message)를 전송하는 과정과, 단말이 상기 뉴 MME에 이전 키에 의해 보안화된 TAU 요청 메시지를 전송하는 과정과, 상기 뉴 MME가 상기 TAU 요청 메시지를 이전 키로 해석하여 처리하는 과정으로 이루어짐을 특징으로 한다. 그리고 상기 뉴 MME가 상기 TAU 요청 메시지를 이전 키로 해석을 실패하면, 상기 뉴 MME가 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정과, 상기 뉴 MME가 뉴 키를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과, 상기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정과, 상기 단말이 뉴 키에 의해 보안화된 TAU 요청 메시지를 상기 뉴 MME에 전송하며, 상기 뉴 MME가 뉴 key에 의해 상기 메시지를 처리하는 과정을 더 구비함을 특징으로 한다.
또한 본 발명의 실시예에 따른 이동통신시스템에서 단말의 위치 갱신을 처리하는 방법은, 단말이 뉴 MME에 이전 키에 의해 보안화된 TAU 요청 메시지를 전송하는 과정과, 상기 뉴 MME가 상기 이전 MME에 단말의 이전 키에 관련된 정보을 요청하며, 이전 키 정보를 수신하는 과정과, 상기 뉴 MME가 상기 TAU 요청 메시지를 상기 이전 키로 해석한 후, 상기 단말에 상기 이전 키로 보안화된 TAU 승인 메시지를 전송하는 과정으로 이루어짐을 특징으로 한다. 그리고 상기 뉴 MME가 상기 TAU 요청 메시지를 이전 키로 해석을 실패하면, 상기 뉴 MME가 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정과, 상기 뉴 MME가 뉴 키를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과, 상기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정과, 상기 단말이 뉴 키에 의해 보안화된 TAU 요청 메시지를 상기 뉴 MME에 전송하며, 상기 뉴 MME가 뉴 키에 의해 상기 메시지를 처리하는 과정을 더 구비함을 특징으로 한다.
또한 본 발명의 실시예에 따른 이동통신시스템에서 단말의 등록처리하는 방법은, 단말이 뉴 MME에 이전 키에 의해 보안화된 등록 요청 메시지를 전송하는 과정과, 상기 뉴 MME가 상기 이전 MME에 단말의 이전 키에 관련된 정보을 요청하며, 이전 키 정보를 수신하는 과정과, 상기 뉴 MME가 상기 등록 요청 메시지를 상기 이전 키로 해석한 후, 상기 단말에 상기 이전 키로 보안화된 등록 승인 메세지를 전송하는 과정으로 이루어짐을 특징으로 한다. 그리고 상기 뉴 MME가 상기 등록 요청 메시지를 이전 키로 해석을 실패하면, 상기 뉴 MME가 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정과, 상기 뉴 MME가 뉴 키를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과, 상기 단말이 상기 뉴 MME의 뉴 key 정보에 따라 단말의 뉴 key를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정과, 상기 단말이 뉴 키에 의해 보안화된 등록 요구 메시지를 상기 뉴 MME에 전송하며, 상기 뉴 MME가 뉴 키에 의해 상기 메시지를 처리하는 과정을 더 구비함을 특징으로 한다.
상술한 바와 같이 본 발명은 이동통신 네트워크에서 비접속 계층(non- Access - Stratum 즉 네트웍 계층 : 이하 NAS 로 표기) 프로토콜을 이용하여 단말의 이동성, 아이들 모드(idle mode) 관리, 등록 관리(registration management : Attach , detach 관리), 위치 관리(location management : tracking area 관리)하는 방법 및 시스템에 대한 것이다. NAS 프로토콜을 이용하여 단말의 이동성, 아이들 모드(idle mode) 관리, 등록 관리, 위치 관리하기 위한 방법은 단말(UE)과 이동 관리자(MME, mobility management entity : 이하 MME로 표기)를 포함하며, 단말이 동작 모드(active mode) 에서 핸드오버(handover)하는 경우와, 아이들 모드(idle mode)에서 위치 관리(location management)를 하는 경우, 단말이 네트웍에 등록하는 경우에 있어서, 3GPP의 EPS(Evolved Packet System)와 같은 네트워크에서 이동성 관리 메시지인 EMM(EPS Mobility Management) 중 상기와 같은 역할을 하는 메시지를 보내고 혹은 받는 경우 받은 메시지가 보안화된 NAS 메시지인 경우 보안화된 NAS 메시지를 효율적으로 처리하기 위한 방법을 제기함으로써 단말의 이동성과 위치 관리, 그리고 등록 관리를 효율적으로 하는 이점이 있다.
도 1 및 도 2는 본 발명의 실시예에 따라 이동통신 시스템에서의 핸드오버를 수행하는 구성 및 동작을 설명하기 위한 도면
도 3 및 도 4는 본 발명의 실시예에 따라 이동통신 시스템에서의 위치관리를 수행하는 구성 및 동작을 설명하기 위한 도면
도 5 및 도 6은 본 발명의 실시예에 따라 이동통신 시스템에서의 단말의 등록 절차를 수행하는 구성 및 동작을 설명하기 위한 도면
도 7 - 도 9는 본 발명의 실시예에 따라 MME가 이동성관리, 위치관리, 등록 관리 등의 절차를 수행하는 과정을 도시하는 흐름도
도 10은 본 발명의 실시예에 따라 단말기가 이동성관리, 위치관리, 등록 관리 등의 절차를 수행하는 과정을 도시하는 흐름도
이하 첨부된 도면을 참조하여 본 발명의 바람직한 실시예에 대한 동작 원리를 상세히 설명한다. 하기에서 본 발명을 설명함에 있어 관련된 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 것으로서 이는 사용자 및 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
하기의 설명에서 "상태 변경 요구 메시지"라는 용어는 hand over, TAU(Tracking area update), attach(detach) request message 등이 될 수 있다. 또한 "old key"라는 용어는 단말이 연결되었던 이전 MME(old MME, serving MME)에서 사용된 보안 키 관련 정보들을 의미하며, "new key"라는 용어는 단말이 상태 변경에 의해 연결되는 새로운 MME(new MME, target MME)에서 사용할 보안 키 관련 정보를 의미한다.
그리고 old MME에서 수신되는 "old key 정보"라는 용어는 단말의 보안 정보인 기본 보안키 식별자(KSIASME)와 기본 보안키(KASME)를 포함하며, 상기 기 기본 보안키(KASME : Key access security management entity)는 NAS 메시지의 암호화에 쓰이는 암호화키(KNASenc), 무결성 보호에 쓰이는 NAS 무결성 키(KNASint), 그리고 무선구간 AS(Access Stratum) 메시지의 보호에 쓰이는 이노드비 키(KeNB)를 생성하는데 사용되는 보안키 등을 포함할 수 있다.
그리고 "사용자 인증 요청(user authentication request) 메시지"는 new key 생성시 new MME와 UE간의 인증 메시지로써, 인증 벡터인 AUTN(authentication token)과 보안키 식별자(KSIASME)를 포함할 수 있다.
그리고 "NAS 보안 모드 명령(NAS Security mode command) 메시지"는 new MME가 new key 를 생성한 후 UE에 전송하는 메시지로써, 보안키 식별자(key set index), 단말에 의해 지원되는 보안 알고리즘에 대한 정보인 단말 보안 능력(UE security capability), 사용될 암호화 알고리즘(ciphering algorithm)과 사용될 무결성 알고리즘(integrity algorithm) 등을 포함할 수 있다.
본 발명은 이동 통신 시스템의 단말과 MME 간의 프로토콜인 NAS 프로토콜을 이용하여 이동시스템에 이동성 관리, 위치 관리, 등록 관리를 지원하는 방법을 제공하는 것이다. 이하 본 발명을 구체적으로 설명하는데 있어, 3GPP를 기반으로 하는 EPS 시스템을 이용할 것이며, 본 발명은 NAS를 사용하는 다른 이동통신 시스템에서도 이용 가능할 것이다.
한편 본 발명의 도 1에서 보는 바와 같이 도1 의 실시예는 두개의 3GPP EPS 네트웍을 예로 들어 설명하였으나 3GPP EPS에서 EPS로의 핸드오버 뿐만 아니라 3GPP EPS에서 3GPP UMTS, 3GPP GPRS 네트웍, WiMAX, 3GPP2와 같은 다른 무선 접속 기술을 사용하는 네트웍 망으로 단말이 이동하는 경우에도 NAS를 이용한다면 변형하여 이용 가능할 것이다. 따라서 본 발명의 기본 목적인 NAS 프로토콜을 이용하여 이동성 관리, 위치 관리, 등록 관리를 지원하는 방법은 유사한 기술적 배경 및 채널 형태를 가지는 여타의 이동통신 시스템에서도 본 발명의 범위를 크게 벗어나지 아니하는 범위에서 적용 가능함을 알 수 있다.
도 1은 본 발명의 실시예에 따른 이동 통신 시스템 환경에서의 핸드오버 환경을 도시한 블록도이다. 여기에서는 일 예로서 3GPP EPS 시스템 구조를 도시하였다.
도 1을 참조하면, 기지국(Evolved Node Base Station: E Node B : 이하 eNB이라 칭함)(112)는 각각의 서비스 영역인 셀 내에 위치하는 단말(User Equipment : 이하 단말 혹은 UE 라 칭함)(110)과 무선 접속을 설정하고 통신을 수행한다. UE(110)는 서빙 게이트웨이(Serving Gateway: 이하 Serving GW, 또는 SGW라 칭함)(116)를 통해 인터넷과 같은 패킷 데이터 네트워크에 접속하는 단말을 칭한다. 본 명세서에서는 패킷 데이터 네트워크의 주요한 네트워크 개체로서 패킷 데이터 네트웍 게이트 웨이(Packet Data Network Gate Way : 이하 PDN GW 로 칭함)(118)가 홈 에이전트(Home Agent: 이하 HA라 칭함)의 역할을 수행한다.
eNB(112, 132)와Serving GW(116, 136), MME(114, 134)와Serving GW(116, 136) 사이에는 단말의 이동성을 관리하기 위한 인터페이스와 데이터 경로(data path)가 존재한다. 본 발명에서의 UE(110)과 MME(114, 134)는 NAS 프로토콜 스택을 가지고 서로 통신함으로써 이동성 관리, 위치 관리, 등록 관리, 세션 관리를 수행한다.
본 발명에서는 UE(110)은 NW1(141)에서 NW2(143) 혹은 그 반대 방향으로 핸드오버 할 수 있다. 한편 본 발명에서 UE(110)의 이동성 관리, 위치 관리, 등록 관리를 위해서 MME(114)와 MME(134) 간에는 인터페이스가 존재할 수 있으며, eNB(112) 와 eNB(132) 간에도 인터페이스가 존재할 수 있다.
본 발명에서는 UE(110)의 이동성 관리, 위치 관리, 세션 관리를 위해서 도입한 개체인 MME(114)와 단말(110)사이의 프로토콜인 NAS 프로토콜에 그 초점을 둔다. 즉 이동성 관리와, 위치 및 세션 관리를 위하여 단말(110)과 MME(114) 사이에 도입된 NAS 프로토콜은 EPS 시스템으로 되면서 보안성이 강화되고, 위치 관리 관련 기능이 변경되고, 세션 관리 기능 또한 변경되었다.
도 2는 도 1과 같은 구조를 가지는 이동통신 시스템에서 본 발명의 실시예에 따른 이동 통신 시스템 환경에서 MME와 UE 간에 NAS 프로토콜을 이용하여 핸드오버 기능을 수행하는 절차를 도시하는 도면이다.
상기 도 1 및 도 2를 참조하면, 핸드오버 상황에서 새로운 MME(134)는 3가지의 동작이 가능하며, 3 가지 경우를 보면 다음과 같다. 즉 일 실시예는 상기 도 2의 151 단계 - 157 단계와 같이 동작하는 경우즉 경우 2(case 2) 의 경우로 새로운 MME(134 : new MME)가 이전의 MME(114: old MME)로부터 받은 보안 관련 정보를 활용하는 경우이다. 다른 일 실시예는, 경우 1(case 1)로, 상기 도 2의 151단계 - 153단계, 171단계 - 179단계, 181단계, 191단계 - 193단계의 절차를 포함하는 예로서, 171단계- 173단계의 인증 절차(authentication procedure)와 175단계 - 181단계까지의 보안 모드 명령(security mode command) 절차를 포함하여 새로운 보안 관련 정보를 활용하여 메시지를 해석하는 절차를 포함한다. 또 다른 일 실시예의 경우는 경우 3(case 3)로서 151단계 - 153단계, 161단계 - 163단계, 171단계 - 181단계를 시행하는 예로서 이는 151단계 - 153단계, 161단계 - 163단계를 수행한 후, 163 단계에서 트래킹 에어리어 갱신(tracing area update : TAU request) 메시지를 이전의 보안키로 해석한 결과 보안 검증에 실패한 경우, 171단계 - 181단계를 수행하는 경우이다.
먼저 상기 도 2를 참조하여 경우 2(case 2)의 동작을 살펴보면, 서빙 MME(serving MME; old MME)(114)는 151단계에서 전송 재위치 요청 메시지(forward relocation request message)를 타겟 MME(target MME; new MME)(134)에 전송한다. 이때 상기 전송 재위치 요청 메시지는 단말의 보안 관련 정보(UE security context)를 포함한다. 그러면 상기 타겟 MME(134)는 상기 서빙 MME(114)에 응답 메시지(forward relocation response message)를 전송한다. 이후 상기 단말(110)은 161단계에서 상기 타겟 MME(134)에 TAU 요구 메시지(TAU(tracking area update) request message)를 전송하며, 상기 TAU 요구 메시지는 이전 보안키에 의해 보호(security protected by old key)된다. 이때 상기 단말로부터 TAU 요구 메시지를 수신하면, 상기 타겟 MME는 163단계에서 이전 보안 키를 사용하여 수신된 TAU 요구 메시지를 분석한다.(interprets TAU request message using old key).
상기한 바와 같이 상기 도 2에서 경우 2(case 2)의 경우, 서빙 MME(즉 핸드오버 이전에 old MME)(114)가 타켓 MME(즉 new MME)(134)에 보안 관련 정보(UE security context)를 포함하는 전송 재위치 요청(forward relocation request) 메시지를 전송한다. 그리고 단말의 보안 관련 정보(UE security context)를 포함할 수 있다. 그러면 상기 new MME(134)는 old MME(114)에 전송 재위치 응답(forward relocation response) 메시지를 전달한다. 이후 상기 UE(110)에서 이전 보안키에 의해 보안화된 위치 등록 메시지인 트래킹 에어리어 갱신(Tracking Area UpdateRequest : 이하 TAU request로 표기) 메시지가 new MME(134)로 전송되면, 상기 타켓 MME(target MME: 134)는 TAU request 메시지를 이전 보안키(old key)를 이용하여 해석한다.
두번째로 상기 도 2를 참조하여 경우 1(case 1)의 동작을 살펴보면, 먼저 서빙 MME(114) 및 타겟 MME(134)는 151단계 및 153단계를 수행하면서 전송 재위치 요구 메시지 전송 및 이에 대한 응답 메시지를 전송한다. 이후 상기 타겟MME(134)는 171단계에서 상기 단말(110)에 사용자 인증 요청 메시지(user authentication request message)를 전송한다. 상기 사용자인증 요청 메시지는 인증 벡터인 AUTN(authentication token)과 보안키 식별자(KSIASME)를 포함한다. 그러면 상기 단말(110)은 이에 응답하여 173단계에서 응답 메시지(user authentication response message)를 상기 타겟 MME(134)에 전송한다. 그리고 상기 타겟 MME(134)는 상기 단말의 응답에 의해 암호화 키(KNASenc) 과 무결성 키(KNASint)를 생성한다.
이후 상기 타겟 MME(134)는 177단계에서 보안키 식별자(key set index KSI), 단말에 의해 지원되는 보안 알고리즘에 대한 정보인 단말 보안 능력(UE security capability), 사용될 암호화 알고리즘(ciphering algorithm), 사용될 무결성 알고리즘(integrity algorithm) 등을 포함하는 NAS 보안 모드 명령어(NAS security mode command)를 단말(110)에 전송한다. 그러면 상기 단말(110)은 179단계에서 상기 보안키 식별자 KSI 에 의해 인덱스되는 키(KASME)에 기초하여 암호화 키(KNASenc) 및 무결성 키(KNASint)를 생성한다(Generate KNASenc and KNASint based on KASME indexed by KSI). 상기 179단계를 수행하면 상기 타겟 MME(134)와 단말(110)은 같은 키 값을 공유하게 된다. 그리고 상기 단말(110)은 181단계에서 타겟 MME에 보안 모드 완성(Security mode complete) 메시지를 전송하므로써, NAS 보안 모드 과정(security mode command) 과정을 종료한다.
이후 상기 단말(110)은 191단계에서 타겟 MME(134)에 새로운 보안 키, 즉 새로운 암호화 키(KNASenc) 또는 무결성 키(KNASint)에 의해 보호(security protected by new key)되는 TAU request 메시지를 전송하며, 타겟 MME(134)는 수신되는 TAU 요청 메시지를 새로운 키에 의해 분석한다(interprets TAU request using new key).
상기한 바와 같이 상기 도 2에서 경우 1(case 1)의 경우, old MME(114)와 new MME(134)는 각각 전송 재위치 요청 메시지 및 이에 따른 응답 메시지를 전송한다. 이후 new MME(134)는 사용자 인증 요청(user authentication request) 메시지를 단말에 전송하며, 상기 사용자 인증 요청 메시지는 인증 벡터인 AUTN(authentication token)과 보안키 식별자(KSIASME)를 포함한다. 그리고 상기 단말(110)은 상기 사용자 인증 요청 메시지의 응답 메시지(user authentication response)를 전송한다. 그러면 새로운 MME(134)는 암호화 키(KNASenc) 과 무결성 키(KNASint)를 생성하며, NAS 보안 모드 명령(NAS Security mode command) 메시지를 UE로 전송한다. 이때 상기 NAS 보안 모드 명령에 포함되는 정보는 보안키 식별자(key set index), 단말에 의해 지원되는 보안 알고리즘에 대한 정보인 단말 보안 능력(UE security capability), 사용될 암호화 알고리즘(ciphering algorithm)과 사용될 무결성 알고리즘(integrity algorithm) 등이 있다. 그러면 상기 UE(110)는 상기 보안키 식별자(KSI)에 의해 색인되는 키 KASME에 기초하여 암호화 키(KNASenc)와 무결성 키(KNASint)를 생성하며, 이로인해 상기 새로운 게 됨으로써 MME(134)와 단말(110)은 같은 키 값을 소유하게 된다. 이후 UE(110)는 MME(134)에 보안 모드 완성(Security mode complete) 메시지를 보내게 됨으로써 NAS 보안 모드 과정(security mode command) 과정을 마치며, 이후 UE(110)는 MME(134)에 새로운 보안 키, 즉 새로운 암호화 키(KNASenc) 또는 무결성 키(KNASint)에 의해 보호되는 TAU request 메시지를 전송한다..
세번째로 상기 도 2를 참조하여 경우 3(case 3)은 상기 경우 1(case 1)에서 TAU 요청 메시지의 보안 검증에 실패한 경우가 될 수 있다. 즉, 상기 151단계 - 153단계 및 161단계를 수행한 후, 상기 타겟 MME(134)가 163단계에서 이전 보안 키를 사용하여 TAU 요청 메시지를 분석하는 과정에서 보안 검증에 실패한 경우, 상기 타겟 MME(134)와 단말(110)은 상기 경우 2(case 2)에서 수행되는 방법과 동일하게 상기 171단계 - 181단계를 수행하면서 새로운 보안 키를 생성한 후 이를 공유하는 NAS 보안 모드 과정(NAS security mode)을 수행한다. 이후 상기 단말(110)은 191단계에서 타겟 MME(134)에 새로운 보안 키, 즉 새로운 암호화 키(KNASenc) 또는 무결성 키(KNASint)에 의해 보호(security protected by new key)되는 TAU request 메시지를 전송하며, 타겟 MME(134)는 수신되는 TAU 요청 메시지를 새로운 키에 의해 분석한다(interprets TAU request using new key).
상기한 바와 같이 상기 도 2에서 경우 3(case 3)의 경우, 트래킹 에어리어 갱신(tracking area update : TAU request) 메시지를 이전의 보안키로 해석한 결과 보안 검증에 실패한 경우, 상기 new MME(134)와 단말(110)은 새로운 보안 키를 생성하여 이를 공유하고, 이후 TAU 요청 메시지를 새로운 보안 키에 의해 처리한다.
도 3은 본 발명의 바람직한 실시예에 따른 이동 통신 시스템 환경에서의 위치 관리 환경을 도시하는 도면이다. 본 발명의 실시예에서는 상기 이동통신 시스템이 3GPP EPS인 경우를 가정하여 설명하기로 한다.
상기 도 3을 참조하면, 이동통신 시스템의 구성 엔티티 및 구성 환경은 상기 도 1과 유사한 구조를 가진다. 단 도 3에서는 위치 관리 기능에 주안점을 두어서 설명하기로 한다. 즉, 도 3과 같은 상황은 도 1에서와 같이 UE(110)이 액티브 모드(active mode)로서 활성화되어 있는 상태가 아니고, UE(110)가 파워 소모를 위하여 아이들 모드(idle mode)로 동작하는 경우이거나, 혹은 액티브 모드에서 핸드오버한 이후에 UE의 위치(location)가 트랙킹 에어리어(tracking area : 이하 TA) TA 1(241)에서 TA 2(243)로 변경된 경우이다. 이러한 경우 단말의 위치 관리가 필요하다. 트랙킹 에어리어 TA는 단말의 위치를 셀 단위처럼 정밀하지는 않으나, 대략적인 위치를 관리하기 위해 사용하는 개념이다.
도 4는 상기 도 3과 같은 본 발명의 실시예에 따른 이동 통신 시스템 환경에서 MME 의 동작을 위치 관리 상황에서 동작하는 방법을 보여주는 도면(procedure)이다. 위치 관리 상황에서 새로운 MME(234)는 3가지의 동작이 가능하며, 그 3가지 경우는 다음과 같다.
먼저 위치 관리 상황의 경우 2(case 2)는 도 4의251단계 259단계를 수행하면서 새로운 MME(234 : new MME)가 이전의 MME(old MME)로부터 받은 보안 관련 정보를 활용하는 경우 이다. 두번째로 위치 관리 상황의 경우 1(case 1)은 251단계 - 257단계, 261단계 - 269단계, 271 및 281단계를 포함한다. 즉, 상기 경우 1(case 1)은 261단계 - 263단계의 인증 절차(authentication procedure)와 265단계 - 271단계의 보안 모드 명령(security mode command) 절차를 포함하여 새로운 보안 관련 정보를 활용하여 메시지를 해석하는 절차를 포함한다. 즉, 경우 1의 경우는 이전 MME(214)로부터 받은 보안 이전의 보안 관련 정보(old security context)를 가지고 메시지를 해석하려 하였으나 보안 검증 등에서 실패한 경우로써, 상기와 같이 보안 검증에 실패하면 new MME(234) 및 UE(210)은 261단계 - 271단계의 인증 및 보안 절차 수행하여 새로운 보안 정보를 생성 및 공유하며, 이후 새로운 보안정보를 이용하여 메시지를 전송 및 수신한 메시지를 해독하는 절차를 포함한다. 한편, 경우 3(case 3)은 251단계 - 257단계를 수행하여 메시지의 보안 검증이 실패한 경우로써, 경우 1(case 1)와는 달리 새로운 보안 인증 절차의 필요에 의해 261단계 - 271단계 수행중에 인증 절차 혹은 보안 절차가 실패하면, 251단계의 위치 등록 요청에 대해 291단계의 위치 등록 거절(reject) 메시지를 MME(234)로부터 단말(UE : 210)로 보내는 경우이다.
상기 단말의 위치 관리를 위한 단말과 MME 동작에 따른 3가지 경우(case 1, case 2, case 3)에 대한 그 구체적인 절차를 살펴보면 하기와 같다.먼저 상기 경우2(case 2)의 동작을 살펴보면, 단말 UE(210)은 251단계에서 TAU request 메시지를 이전 보안 키 값에 의해 보안화하여(security protected by old key) 새로운 MME(이하 new MME라 칭한다)(234)에 전송한다. 그러면 상기 new MME(234)는 이전 MME(이하 old MME라 칭한다)(214)로 단말의 정보를 알기 위하여 정보 요청(context reqeust) 메시지를 전달한다. 그러면 old MME(214)는 257단계에서 상기 정보 요청 메시지에 대한 정보 응답 메시지를 생성하여 new MME(234)에 전송한다. 이때 상기 정보 응답(context response) 메시지는 단말의 보안 정보인 기본 보안키 식별자(KSIASME)와 기본 보안키(KASME)를 포함한다. 여기서 상기 기본 보안키(KASME : Key access security management entity)는 NAS 메시지의 암호화에 쓰이는 암호화키(KNASenc)와 무결성 보호에 쓰이는 NAS 무결성 키(KNASint), 그리고 무선구간 AS(Access Stratum) 메시지의 보호에 쓰이는 이노드비 키(KeNB)를 생성하는데 사용된다.
이후 상기 new MME(234)는 257단계에서 old key를 이용하여 상기 251단계에서 UE(210)로부터 수신한 TAU 요청 메시지(TAU request message)를 해석한다.(interprets TAU request message using old key). 즉, 상기 UE(210)로부터 new MME(234)로 전송된 위치 등록 메시지인 트래킹 에어리어 갱신(Tracking Area Update Request : TAU request) 메시지가 이전 보안 키(즉, old key)에 의해 보안화 되어 전송되었다면, 상기 new MME(234)는 257단계에서 TAU request 메시지를 이전 보안키(old key)를 가지고 해석하게 된다. 여기서 이전 보안키(old key)란 UE(210)와 이전 MME(214)와의 통신에서 사용하던 NAS 메시지 보안시 사용되는 NAS 암호화 키(KNASenc)와 NAS 무결성 키(KNASint)를 포함한다. 이후 new MME(234)는 259단계에서 위치 등록 응답 메시지인 트래킹 에어리어 갱신 응답(tracking area update accept: TAU accept) 메시지를 이전 키(old key)에 의해 보안화하여(TAU accept message using old key) 상기 UE(210)에 전송한다.
상기한 바와 같이 단말의 위치 관리를 위한 경우2(case 2)의 동작을 살펴보면, UE(210)이old key에 의해 보안화된 TAU request message를 발생하면, new MME(234)는 old MME(214)에 UE(110)의 정보를 알기 위하여 context request 메시지를 전송한다. 그러면 상기 old MME(214)는 단말의 보안 정보인 KSI asme 및 Kasme를 포함하는 context response 메시지를 생성하여 new MME(234)에 전송한다. 그러면 상기 new MME(234)는 상기 old MME(214)의 정보 응답에 따른 old key를 사용하여 상기 UE(110)의TAU request 메시지를 해석하며, 그 결과의 TAU accept 메시지를 old key를 사용하여 보안화하여 UE(110)에 전송한다. 즉, new MME(234)는 old key에 의해 보안화된 TAU request 메시지를 수신하면 old MME(214)에 UE(210)의 old key 정보를 요청하고, 상기old MME(214)의 정보 응답에 따라 상기 수신된 TAU request 메시지를 해석하여 위치를 등록하고 그 결과의 TAU accept 메시지를 old key로 보안화하여 UE(210)에 전송한다.
두번째로 UE(110)의 위치관리의 경우1(case 1)의 동작을 살펴보면, 상기 경우 1의 동작에서 251단계 - 257단계까지의 동작은 상기 경우2(case 2)의 동작과 동일한 방법으로 진행된다. 이때 상기 257단계에서 old key를 사용하여 TAU request 메시지의 해석을 실패하면, 상기 new MME(234)는 261단계에서 사용자 인증 요청(user authentication request) 메시지를 UE(210)에 전송한다. 이때 상기 사용자 인증 요청 메시지에는 인증 벡터인AUTN(authentication token)과 보안키 식별자(KSIASME)가 포함된다. 그러면 상기UE(210)은 263단계에서 상기 사용자 인증 요청 메시지에 따른 사용자 인증 응답(user authentication response) 메시지를 생성하여 new MME(234)에 전송한다.
그러면 상기 new MME(234)는 265단계에서 새로은 보안정보인 암호화 키(KNASenc)과 무결성 키(KNASint)를 생성한다. 이후 상기 new MME(234)는 267단계에서 NAS 보안 모드 명령(NAS Security mode command) 메시지를 UE(210)에 전송한다. 이때 NAS Security mode command message에 포함되는 정보로는 보안키 식별자(key set index), 단말에 의해 지원되는 보안 알고리즘에 대한 정보인 단말 보안 능력(UE security capability), 사용될 암호화 알고리즘(ciphering algorithm)과 사용될 무결성 알고리즘(integrity algorithm) 등이 있다. 그러면 상기 UE(210)는 269단계에서 보안키 식별자(KSI)에 의해 색인 되는 기본 보안키 KASME에 기초하여 암호화 키(KNASenc)과 무결성 키(KNASint)를 생성한다(generate KNASenc and KNASint based on KASME indexed by KSI). 따라서 상기 269단계를 수행하게 되면, 상기 new MME(234)와 UE(210)는 같은 보안 키 값을 소유하게 된다. 이후 상기 UE(210)는 271단계에서 MME로 보안 모드 완성(Security mode complete) 메시지를 전송하여 NAS 보안 모드 과정(security mode command) 과정을 마치게 된다. 그러면 new MME(234)는 281단계에서 UE(210)에 새로운 보안 키, 즉 새로운 암호화 키(KNASenc) 또는 무결성 키(KNASint)에 의해 보호되는 위치 등록 응답 메시지인 TAU accept 메시지를 전송한다.
상기한 바와 같이 상기new MME(234)가 old key에 의해 보안화된 TAU request message의 해석에 실패하거나 또는 old key를 획득할 수 없는 경우, 상기new MME(234)는 새로운 보안 키(KNASenc and KNASint)를 생성하며, UE(210)에 NAS Security mode command message를 전송하여 UE(210)도 새로운 보안키(KNASenc and KNASint)를 생성하도록 한다. 따라서 상기 NAS Security mode를 수행하면 상기 new MME(234) 및 UE(210)은 같은 보안키를 공유하게 된다.
세번째로 UE(210)의 위치 관리의 경우 3(case 3)의 동작을 살펴보면, 상기 경우 3은 251단계- 257단계, 261단계 - 271단계의 과정을 수행하며, 이는 251단계 - 257단계를 수행한 후 257단계에서 트래킹 에어리어 갱신(tracking area update : TAU request) 메시지를 이전의 보안키로 해석한 결과 보안 검증에 실패한 경우, 261단계 - 217단계를 수행하는 경우이다. 여기서 상기 case 3은 상기 case 2의 경우와는 달리 261단계 - 263단계에서 인증 절차가 실패하거나 혹은 상기 261단계 - 263단계의 인증과정은 성공하였으나 267단계 -271단계에서 271단계를 수행하는 SMC(security mode command) 과정 중에 실패가 있는 경우, UE(210)와 new MME(234)가 다른 보안키를 소유하게 된다. 이런 경우, new MME(234)는 291단계에서 UE(210)에 위치 등록 갱신 거절(Tracking area update reject) 메시지를 전송한다.
상기한 바와 같이 위치 관리 동작에서 경우 3은 old key에 의해 TAU 요청 메시지를 해석할 수 없는 상태에서 new MME와 UE 간의 사용자 인증에 실패하거나 NAS 보안 모드의 실패가 발생되는 경우, new MME와 UE는 서로 다른 보안 키를 가지는 상태가 되며, 이런 경우new MME는 UE에 TAU reject message를 전송한다.
도 5는 본 발명의 실시예에 따른 이동 통신 시스템 환경에서 단말의 등록 환경을 도시하는 도면이다.
상기 도 5를 참조하면, UE(310)는 처음 네트웍에 접속하는 경우에 등록 과정(attach)을 수행할 수 있다. 한편 UE(310)은 더 이상 EPS 네트웍에 접속하지 않을 경우 등록 해지(detach)를 수행할 수 있으며, 혹은 UE(310)가 MME(314)와 오래 동안 통신이 없거나, 혹은 네트웍 운영자(operator)에 의해서 등록 해지(detach)된 경우에도 UE(110)는 등록 과정을 수행할 수 있다.
도 6은 도 5와 같은 구성을 가지는 이동통신 시스템에서 단말의 등록 및 해제 절차를 도시하는 흐름도이다.
상기 도 5 및 도 6을 참조하면, 단말 등록 상황에서 새로운 MME(new MME : 334)는 3가지의 동작이 가능하며 그 3 가지 경우(case1 - case 3)를 보면 다음과 같다.
먼저 경우2(case 2)는 351단계, 361단계 - 365단계, 371단계를 수행할 수 있으며, 새로운 MME(334 : new MME)가 이전의 MME(old MME :314)로부터 받은 보안 관련 정보를 활용하는 경우이다. 두번째로 경우 1(case 1)은 351단계, 361단계 - 365단계, 381단계 - 391단계, 395단계를 수행할 수 있으며, 381단계 - 383단계의 인증 절차(authentication procedure)와 385단계 - 391단계까지의 보안 모드 명령(security mode command) 절차를 포함하여 새로운 보안 관련 정보를 활용하여 메시지를 해석하는 절차를 포함한다. 상기 경우 1(case 1)은 이전 MME(314)로부터 받은 보안 이전의 보안 관련 정보(old security context)를 가지고 메시지를 해석하려 하였으나 보안 검증 등에서 실패한 경우로써, 381단계 - 391단계까지의 인증 및 보안 절차 수행하여 얻은 새로운 보안 정보를 가지고 메시지를 보내고 이후 수신한 메시지를 해독하는 절차를 포함한다. 세 번째로 경우 3(case 3)은 351단계, 361단계 - 365단계 수행 후에 메시지의 보안 검증이 실패한 경우로서, 상기 경우 1(case 1)과는 달리 새로운 보안 인증 절차의 필요에 의해 381단계 - 391단계를 수행하는 중에 인증 절차 혹은 보안 절차에 실패가 발생되어 MME가 UE의등록(attach, 또는 해지 detach)) 요청에 대해 등록 거절(attach reject) 메시지를 단말(UE : 310)로 보내는 경우이다.
상기 3가지 경우들에 대한 그 구체적인 절차를 살펴보면 하기와 같다.
먼저 경우2(case 2)의 동작 절차를 살펴보면, 단말 UE(310)가 351단계에서 이전 보안 키(old key)에 의해 보안화된 등록 요청(Attach request) 메시지를 new MME(334)에 전송된다. 그러면 상기 new MME(334)는 361단계에서 단말의 정보를 알기 위하여 old MME(314)에 식별 요청(identification reqeust) 메시지를 전달한다. old MME(314)는 713단계에서 new MME(334)에 식별 응답(identification response) 메시지를 전송한다. 이때 상기 식별 응답 메시지에는 단말의 보안 정보인 기본 보안키 식별자(KSIASME)와 기본 보안키(KASME)가 포함될 수 있다.ㅣ 여기서 기본 보안키(KASME : Key access security management entity)는 NAS 메시지의 암호화에 쓰이는 암호화키(KNASenc)와 무결성 보호에 쓰이는 NAS 무결성 키(KNASint), 그리고 무선구간 AS(Access Stratum) 메시지의 보호에 쓰이는 이노드비 키(KeNB)를 생성하는데 사용된다. 그러면 상기 new MME(334)는 365단계에서 상기 UE(310)가 351단계에서 전송한 attach request 메시지를 old key를 가지고 해석(interprets attach request message using old key)하게 된다. 여기서 이전 보안키(old key)란 UE(310)와 이전 MME(314)와의 통신에서 사용하던 NAS 메시지 보안시 사용되는 NAS 암호화 키(KNASenc)와 NAS 무결성 키(KNASint)를 포함한다. old key를 상기 attach request message를 해석한 후, 상기 new MME(334)는 371단계에서 UE(310)에 접속 등록 응답 메시지인 등록 응답(attach accept) 메시지를 전송하며, 이때 상기 등록응답 메시지는 old key에 의해 보안화된다.
두번째로 경우 1(case 1)의 동작을 살펴보면, 상기 경우 1의 상기 351단계, 361단계 - 365단계의 동작은 상기 경우 2의 동작과 동일하게 수행된다. 그러나 상기 365단계에서 old key에 의해 보안화된 attach request message의 해석에 실패한 경우, 상기 new MME(334)는 381단계에서 사용자 인증 요청(user authentication request) 메시지를 UE(310)에 전송한다. 이때 상기 사용자 인증 요청 메시지는 인증 벡터인AUTN(authentication token)과 보안키 식별자(KSIASME)를 포함한다. 그러면 UE(310)은 383단계에서 상기 사용자 인증 요청에 사용자 인증 응답(user authentication response) 메시지를 new MME(334)에 전송한다.
상기와 같이 사용자 인증 요청 및 이에 따른 응답에 의해 사용자 인증이 이루어지면, 상기 new MME(334)는 385단계에서 암호화 키(KNASenc)와 무결성 키(KNASint)를 생성한다. 그리고 상기 new MME(334)는 387단계에서 NAS 보안 모드 명령(NAS Security mode command) 메시지를 UE(310)에 전송한다. 이때 NAS Security mode command message에 포함되는 정보는 보안키 식별자(key set index), 단말에 의해 지원되는 보안 알고리즘에 대한 정보인 단말 보안 능력(UE security capability), 사용될 암호화 알고리즘(ciphering algorithm)과 사용될 무결성 알고리즘(integrity algorithm) 등이 있다. 그러면 상기 UE(310)는 389단계에서 보안키 식별자(KSI)에 의해 색인되는 기본 보안키 KASME에 기초하여 암호화 키(KNASenc)와 무결성 키(KNASint)를 생성하며, 상기 389단계를 수행하면 상기 UE(310)와 new MME(334)는 같은 키 값을 소유하게 된다. 이후 UE(310)는 391단계에서 new MME(334)에 보안 모드 완성(Security mode complete) 메시지를 전송하여, NAS 보안 모드 과정(security mode command) 과정을 마치게 된다. 그리고 new MME(334)는 395단계에서 새로운 보안 키, 즉 새로운 암호화 키(KNASenc) 또는 무결성 키(KNASint)에 의해 보호되는 접속 등록 응답 메시지인 Attach accept 메시지를 UE(310)에 전송한다.
세 번째로 경우 3(case 3)의 동작을 살펴보면, 상기 경우 3은 351단계, 361단계 - 365단계, 381단계 - 391단계를 수행하는 경우로써, 351단계, 361단계 - 365단계를 수행하는 중에 365단계에서 new MME(334)가 접속 등록 요청(attach request) 메시지를 이전의 보안키로 해석한 결과 보안 검증에 실패한 경우, 371단계 - 391단계를 수행하는 경우이다. 즉, 상기 case 3은 상기 case 2 의 경우와는 달리 381단계 - 383단계를 수행하는 중에 인증 절차가 실패하거나, 혹은 상기 381단계- 383단계의 인증과정은 성공하였으나 367단계 - 391단계에서 수행하는 SMC(security mode command) 과정 중에 실패가 있는 경우 UE(310)와 new MME(334)는 다른 보안 키를 소유하게 된다. 그러면 상기 new MME(334)는 399단계에서 접속 등록 거절(attach reject) 메시지를 상기 UE(310)에 전송한다.
상기와 같이 상태변경 메시지(여기서는 handover, TAU, attach(detach) request message 수신시 상기 new MME는 먼저 old MME로부터 old key를 수신하여 해당 request message를 해석하는 방법으로 설명되고 있다. 그러나 상기 new MME는 상기 old key로 해석하는 절차를 생략하고 바로 new key를 생성하여 처리할 수도 있다. 즉, 상기 상태변경 메시지(여기서는 handover, TAU, attach(detach) request message 수신시, 상기 new MME는 상기 old key에 의한 단말의 request message 해석절차(도 2의 경우 151, 153, 163 단계, 도 4의 경우 253, 255, 257, 259단계, 도 6의 경우 361, 363, 365, 371단계)를 생략하고, new key를 생성하여 해당 request 메시지를 처리할 수도 있다.
도 7 -도 9는 본 발명의 실시 예에 따른 이동통신 시스템에서 MME의 이동성 관리, 위치관리, 등록 관리를 수행하는 절차를 도시하는 흐름도이다. 그리고 도 10은 본 발명의 실시 예에 따른 이동통신 시스템에서 단말의 이동성 관리, 위치관리, 등록 관리를 수행하는 절차를 도시하는 흐름도이다. 도 7 - 도 9 및 도 10은 UE가 메시지를 전송하고 MME가 UE로부터 전송된 메시지를 해석하여 동작하는 과정을 주로하여 설명하고 있지만, 그 동작 특성이 크게 다르지 않는 한 반대 방향의 경우에도 적용하는 것이 가능할 것이다. 또한 상기 도 7 - 도 9 및 도 10과 같은 MME 및 UE의 동작을 위한 전송되어야 할 컨텍스트(context) 이외의 메시지의 형태는 생략하기로 한다.
상기 도 7 - 도 9를 참조하면, 단말 및 MME 사이에는 상기와 같은 관리를 지원하기 위하여 NAS 프로토콜을 사용하고 있다. 이러한 NAS 프로토콜은 보안화된 NAS 프로토콜, 보안화 되지 않는 NAS 프로토콜이 있고, EPS NAS 프로토콜을 지원하기 위하여 EPS 이동성 관리 Evolved Mobility Management(이하 EMM 으로 표기) NAS 메시지, EPS 세션 관리 Evolved Session Management(이하 ESM 으로 표기) NAS 메시지가 있다. UE로부터 요청 메시지(handover request, TAU request 또는attach(detach) request)가 발생되면, MME는 401단계에서 요청의 종류를 분석하여 핸드오버, 위치 관리, 등록 요청에 따라 다르게 동작 한다.
먼저 상기 401단계에서 핸드오버 요청으로 판단되면, 핸드오버의 경우 상기 MME는 411 단계로 진행하여 핸드오버 관련 과정을 수행한다. 본 발명에서의 실시예는 상기 도 1과 같은 상황에서 UE(110)가 MME(114)가 관리하는 NW 1(141)에서 MME(134)가 관리하는 NW2(143)로 이동한 경우를 가정한다. 이때 상기 핸드오버의 Serving Gateway까지 변경이 되는 경우도 있을 수 있으나, Serving Gateway는 변경되지 않고, MME만 변경되는 경우도 있을 수 있다.
핸드오버인 경우, serving MME(old MME : 여기서는 114)는 411단계에서 FORWARD RELOCATION REQUEST/ RESPONSE 등의 메시지를 통하여 Serving MME가 가지고 있는 UE에 대한 정보를 target MME로 전송한다. 이때 전송되는 중요한 정보로는 보안 관련 파라미터, 즉 KSI(key set identifier), 인증 파라미터(authentication parameter 혹은 인증 벡터authentication vector), NAS KSI(key set identifier), NAS 암호화 키 KNASenc 또는 무결성 키 KNASint 등을 포함하는 보안 Key 등이 될 수 있다. 그러면 상기 타겟 MME는 413단계에서 UE와 새로운 사용자 인증 및/또는 보안모드 명령 과정을 수행하여야하는가 검사한다. 이때 상기 타켓 MME가 UE에게 새로이 인증(authentication) 과정이나 보안 모드 명령(security mode command: SMC)을 수행을 하도록 한다면 인증(authentication) 과정이나 보안 모드 명령(security mode command)를 통해서 새로운 보안 관련 파라미터 즉 KSI(key set identifier), 인증 파라미터(authentication parameter 혹은 인증 벡터 authentication vector), NAS KSI(key set identifier), NAS 암호화 키 KNASenc 또는 무결성 키 KNASint 등을 포함하는 보안 Key를 가지게 된다.
따라서 상기 413 단계에서 인증이나 SMC 과정, NAS SMC 과정을 수행하는 경우, 상기 타겟 MME는 415 단계에서 UE로부터 새로운 NAS KSI(key set identifier), NAS 암호화 키 KNASenc 또는 무결성 키 KNASint 등을 포함하는 보안 Key를 가지고 보안화된 TRACKING AREA UPDATE REQUEST(이후 TAU REQUEST로 표기) NAS 메시지를 수신한다. 그리고 상기 TAU request NAS message를 수신하면 417 단계에서 MME는 새로운 보안 관련 파라미터 즉 KSI(key set identifier), 인증 파라미터(authentication parameter 혹은 인증 벡터 authentication vector), NAS KSI(key set identifier), NAS 암호화 키 KNASenc 또는 무결성 키 KNASint 등을 포함하는 보안 Key를 가지고 TAU REQUEST를 해독하게 된다.
한편 413 단계에서 인증 과정이나 SMC 과정, NAS SMC 과정을 거치지 않는 경우, 상기 MME는 419 단계에서 UE로부터 이전에 MME와 UE가 이용하던 보안 파라미터 즉 이전의 보안 관련 파라미터, 즉 OLD KSI(key set identifier), OLD 인증 파라미터(authentication parameter 혹은 인증 벡터 authentication vector), OLD NAS KSI(key set identifier), OLD NAS 암호화 키 KNASenc 또는 OLD 무결성 키 KNASint 등을 포함하는 OLD 보안 Key 등을 가지고 UE가 생성한 TAU REQUEST 메시지를 수신한다. 이후 MME는 421 단계에서 MME 자신이 이전에 MME와 UE가 이용하던 이전의 보안 파라미터, 즉 OLD KSI(key set identifier) , OLD 인증 파라미터(authentication parameter 혹은 인증 벡터(authentication vector), OLD NAS KSI(key set identifier), OLD NAS 암호화 키 KNASenc 또는 OLD 무결성 키 KNASint 등을 포함하는 OLD 보안 Key 등을 가지고 TAU REQUEST 메시지를 해독한다..
또한 상기 401단계에서 위치 관리 즉 TRACKING AREA UPDATE(이하 TAU 로 표기) 요청인 경우, 타켓 MME는 431단계에서 UE로부터 보안화된 TRACKING AREA UPDATE REQUEST(이하 TAU REQUEST로 표기)를 수신한다. 이때 상기 수신되는 TAU REQUEST는 이전의 Serving MME와 UE(110)가 사용하던 이전의 보안 관련 파라미터, 즉 OLD KSI(key set identifier), OLD 인증 파라미터(authentication parameter), 혹은 인증 벡터 authentication vector), OLD NAS KSI(key set identifier), OLD NAS 암호화 키 KNASenc 또는 OLD 무결성 키 KNASint 등을 포함하는 OLD 보안 Key 등을 가지고 생성되었다. 따라서 이러한 경우 new MME는 보안 관련 파라미터를old MME로부터 CONTEXT RESPONSE 메시지를 통해서 받게 된다. 이때 new MME가 old MME로부터 보안 파라미터를 받아오기 위해서는 old MME와 해당되는 단말을 알아야 한다. 즉, 431 단계에서new MME가 TAU REQUEST를 받았을 때 old MME와 해당되는 단말을 알아내기 위하여, 최종 방문 등록(Last visited registered) 트랙킹 에어리어 식별자(tracking area identity : TAI)와 단말의 식별자인 이전 임시 단말 식별자(GUTI: : globally unique temporary identifier), 즉 OLD GUTI를 알아야 하며, 최소한 이러한 정보는 무결성 보호는 되더라도, 암호화되지는 않아야 new MME가 old MME 로 보안 파라미터 정보를 요청하는 것이 가능해진다. 따라서 타켓 MME(new MME)는 433단계에서old MME로부터 보안 파라미터를 수신하면(new MME receive NAS KSI, key, authentication parameter, KSI from old MME through context response message), 435 단계에서 이전 보안 파라미터를 이용하여 TAU REQUEST 메시지를 판독한다(new MME ingterprets TAU request with old MME’s NAS key, authentication parameters, KSI).
이후 new MME는 437 단계에서 인증 과정을 수행 할지 여부를 결정한다.(new MME decide do authentication or not(if integrity check failed , THEN do authentication) 특히 상기 435 단계에서 보안 검증이 실패한 경우는 new MME는 439 단계의 인증 과정을 수행하여야 한다. 439 단계의 인증 과정이나, NAS SMC, SMC 과정을 수행하는 경우, 상기 new MME는 441 단계에서 새로운 보안 파라미터를 이용하여 TAU ACCEPT 메시지를 UE로 전송하게 된다. 그러나 439 단계에서 인증 과정이나, NAS SMC, 혹은 SMC 과정을 수행하지 않는 경우, 상기 new MME는 443 단계에서 이전 보안 파라미터를 이용하여 보안화된 TAU ACCEPT 메시지를 UE로 전송한다.
한편 상기 401단계에서 등록(attach) 요청인 경우,new MME는 461단계에서 상기 UE로부터 보안화된 ATTACH REQUEST NAS 메시지를 수신한다. 이때 상기 수신되는 ATTACH REQUEST는 old MME와 UE가 사용하던 이전의 보안 관련 파라미터, 즉 OLD KSI(key set identifier), OLD 인증 파라미터(authentication parameter 혹은 인증 벡터 authentication vector), OLD NAS KSI(key set identifier), OLD NAS 암호화 키 KNASenc 또는 OLD 무결성 키 KNASint 등을 포함하는 OLD 보안 Key 등을 이용하여 생성되었다. 따라서 이러한 경우 new MME는 463단계에서 자신이 해당 UE(110)를 위한 보안 파라미터를 가지고 있는지를 판단하며, 가지고 있는 경우 new MME는 469 단계에서 가지고 있는 보안 파라미터를 가지고 ATTACH REQUEST를 판독한다. 이처럼 463 단계에서 469 단계로 진행하는 경우는 UE가 기존에 new MME에 등록하였으나 어떠한 이유로 해지(DETACH) 되었었으며, 상기 UE 및 MME가 보안 관련 파라미터를 가지고 있는 경우이다. 한편 463 단계에서 new MME가 UE 관련 보안 정보를 가지고 있지 않다면, 상기 new MME는 465 단계에서 old MME로부터 보안 관련 파라미터를 가져올 수 있는지 여부를 판단한다. 이때 상기 old MME로부터 보안 파라미터를 가져올 수 없으면, new MME는 479 단계에서 메시지 판독에 실패하고 에러 메시지를 UE로 전송한다. 이는 UE가 이후 단계에서 보안화 되지 않은 메시지를 전송하거나 보안화 된 메시지를 재 전송 하도록 하기 위함이다.
한편 467 단계에서 new MME가 보안 관련 파라미터를 old MME로부터 IDENTIFICATION REQPONSE 메시지를 통해서 받게 되면, new MME는 469 단계에서old MME에서 전송되는 보안 파라미터 정보를 이용하여 ATTACH REQUEST 메시지를 판독한다. 이때 상기 new MME가 469 단계에서 old MME로부터 보안 파라미터를 받아오기 위해서는 상기 461 단계에서 new MME가 ATTACH REQUEST를 받았을 때 old MME와 해당되는 단말을 알아야 한다. 이런 정보는 최종 방문 등록(Last visited registered) 트랙킹 에어리어 식별자(TAI)와 단말의 식별자인 이전 임시 단말 식별자(GUTI), 즉 OLD GUTI를 알아야하며, 최소한 이러한 정보는 무결성 보호는 되더라도, 암호화되지는 않아야 new MME가 old MME로 보안 파라미터 정보를 요청하는 것이 가능해진다.
이후 new MME는 471 단계에서 473 단계와 같은 인증 과정을 수행 할지 여부를 결정하게 되고, 특히 469 단계에서 보안 검증이 실패한 경우는 new MME는 473 단계의 인증 과정을 수행하여야 한다. 상기 479단계의 인증 과정이나 NAS SMC 과정, 혹은 SMC 과정을 수행하는 경우, 상기 new MME는 475 단계에서새로운 보안 파라미터를 이용하여 NAS 메시지를 송수신 하게 된다. 그리고 473 단계에서 인증 과정이나, NAS SMC, 혹은 SMC 과정을 수행하지 않는 경우, new MME는 477 단계에서 이전 보안 파라미터(OLD)를 이용하여 보안화된 NAS 메시지 송수신이 가능하다.
도 10은 본 발명의 실시 예에 따른 단말의 이동성 관리, 위치관리, 등록 관리를 지원하기 위한 절차를 나타낸 흐름도 이다. 이러한 지원 절차는 NA 메시지를 생성하고 송수신, 검증 하는 과정에 주안점을 두어 설명하기로 한다.
상기 도 10을 참조하면, 단말은 501 단계에서 단말이 사용 가능한 KSI(key setidentifier), 인증 파라미터(authentication parameter 혹은 인증 벡터 authentication vector), NAS KSI(key set identifier), NAS 암호화 키 KNASenc 또는 무결성 키 KNASint 등을 포함하는 보안 Key를 가지고 있는지 여부를 판단한다. 여기서 KSI는 단말과 MME 간에 인증 과정에서 사용하는 키들에 대한 식별자 역할을 하는 것이고, 인증 파라미터 혹은 인증 벡터는 인증하는데 필요한 인증 파라미터 혹은 벡터 값들을 의미한다. 그리고, NAS KSI는 NAS 메시지를 보안화 하기-위해 사용되는 키들을 구별하기 위한 식별자이고, Key는 보안 관련 키로서 UE, MME가 가진 키 뿐아니라 UE, MME가 NAS 메시지로 통신하는데 필요한 NAS 보안 관련 키, 즉 NAS 암호화 키 KNASenc 또는 무결성 키 KNASint가 될 수 있다. 여기서, KSI는 NAS KSI와 같다. 이러한 KSI는 KSIASME 나 핸드 오버 상황에서 사용되는 KSISGSN 값을 가리킬 수 있다. 즉, KSIASME 기본 보안키 식별자의 경우 기본 보안키인 KASME 를 식별하는데 쓰이며, 기본 보안키인 KASME 로부터 NAS 암호화 키 KNASenc 또는 무결성 키 KNASint가 생성되므로 KSI와 NAS KSI는 같다. 한편 KSI 가 KSIASME가 아닌 GERAN/ UTRAN에서 3GPP LTE 망인 E-UTRAN으로의 핸드 오버 상황에서 사용되는 KSISGSN의 경우 암호화 키(CK : cipher key), 인증키(IK : integrity key)로부터 생성된 K’ASME와 관련된 값으로 즉 새로운 인증 절차의 수행이나 혹은 EPS 보안 컨텍스트(EPS SECURITY CONTEXT)로부터 매핑(mapping)에 의해 생성된 키인 K’ASME와 관련된 값이다. 따라서 상기 501 단계에서 이러한 보안 관련 값들이 없다면, 특히 NAS KSI나 NAS 관련 보안 key 즉 NAS 암호화 키 KNASenc 또는 무결성 키 KNASint가 없다면, 상기 단말은 513단계에서 보안화 되지 않은 NAS 메시지를 만들어 전송한다. 한편 NAS KSI나 NAS 관련 보안 key가 있다면, 상기 단말은 503 단계에서 보안화된 메시지의 전송 여부를 결정하며, 보안화 메시지를 보내기 원하지 않는 경우 상기 단말은 상기 513 단계로 진행한다.
그러나 상기 503 단계에서 보안화 된 메시지를 보내기를 원하는 경우, 상기 UE는 505 단계에서 단말이 자신이 가진 KSI(key set identifier), 인증 파라미터(authentication parameter 혹은 인증 벡터authentication vector), NAS KSI(key set identifier), 보안 Key 등을 이용하여 NAS 메시지를 생성하고 생성된 메시지를 전송한다. 이후 상기 UE는 507 단계에서MME로부터 새로운 보안 관련 파라미터를 수신한다. 여기서 상기 보안관련 파라미터는 KSI(key set identifier), 인증 파라미터(authentication parameter) 혹은 인증 벡터 authentication vector), NAS KSI(key set identifier), NAS 암호화 키 KNASenc 또는 무결성 키 KNASint 등을 포함하는 보안 Key등이 될 수 있다. 그리고 상기와 같은 보안관련 파라미터는 상기 MME로부터 인증 과정이나 보안 모드 명령(security mode command) 등을 통해서 받을 수 있다. 상기 507단계 수행 후, 상기 단말은 509단계에서 수신되는 새로운 보안 관련 파라미터, 즉 KSI(key set identifier), 인증 파라미터(authentication parameter 혹은 인증 벡터 authentication vector), NAS KSI(key set identifier), NAS 암호화 키 KNASenc 또는 무결성 키 KNASint 등을 포함하는 보안 Key 등을 검증하는 과정을 수행한다. 그리고 상기 검증 과정 수행 후, 상기 단말은 511 단계에서 새로운 보안 관련 파라미터를 가지고 메시지를 생성하여 전송하게 된다.
한편 본 발명의 상세한 설명에서는 구체적인 실시예에 관해 설명하였으나, 본 발명의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능함은 물론이다. 그러므로 본 발명의 범위는 설명된 실시예에 국한되지 않으며, 후술되는 특허청구의 범위뿐만 아니라 이 특허청구의 범위와 균등한 것들에 의해 정해져야 한다.

Claims (16)

  1. 이동통신시스템에서 단말의 상태 정보를 처리하는 방법에 있어서,
    단말이 이전 키에 보안화된 상태 변경 요청 메시지를 뉴 MME에 전송하는 과정과,
    상기 뉴 MME가 이전 MME에서 상기 단말의 이전 키 정보를 수신하는 과정과,
    상기 뉴 MME가 상기 이전 키정보를 이용하여 상기 요청 메시지를 해석한 후 상기 단말에 응답메시지를 전송하는 과정으로 이루어짐을 특징으로 하는 상기 방법.
  2. 제1항에 있어서, 상기 뉴 MME가 이전 MME로부터 수신하는 이전 키 정보는 KSIasme 및 Kasme 등을 포함하는 것을 특징으로 하는 상기 방법.
  3. 제1항에 있어서,
    상기 뉴 MME가 이전 키로 상기 요청 메시지의 해석 실패시 뉴 키를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과,
    상기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정으로 이루어짐을 특징으로 하는 상기 방법.
  4. 제3항에 있어서,
    상기 뉴 MME가 생성하는 뉴 키 정보는 NAS 암호화 키 KNASenc 및 무결성 키 KNASint 등을 포함하며, 상기 NAS 보안 모드 명령 메시지는 보안키 식별자(KSI), 단말 보안 능력(UE security capability), 사용될 암호화 알고리즘(ciphering algorithm), 사용될 무결성 알고리즘(integrity algorithm) 등을 포함하며,
    상기 단말이 생성하는 뉴 키 정보는 상기 NAS 보안모드 명령 메시지의 보안키 식별자(KSI)에 의해 색인되는 기본 보안키(KASME)에 기초하여 생성되는 암호화 키(KNASenc)와 무결성 키(KNASint)등을 포함하는 것을 특징으로 하는 상기 방법.
  5. 제3항에 있어서,
    상기 뉴 MME가 이전 키로 상기 요청 메시지의 해석 실패시 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정을 더 구비하는 것을 특징으로 하는 상기 방법.
  6. 제5항에 있어서, 상기 사용자 인증 요청 메시지는 인증 벡터(AUTN)와 보안키 식별자(KSIASME)를 포함하는 것을 특징으로 하는 상기 방법.
  7. 제1항 또는 제3항 또는 제5항 중의 어느 한 항에 있어서,
    상기 상태 변경 요청 메시지는 핸드오버 요청 메시지, TAU 요청 메시지 또는 등록(해제) 요청 메시지 중의 하나인 것을 특징으로 하는 상기 방법.
  8. 이동통신시스템에서 단말의 상태 정보를 처리하는 방법에 있어서,
    단말이 뉴 키에 보안화된 상태 변경 요청 메시지를 뉴 MME에 전송하는 과정과,
    상기 뉴 MME가 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정과,
    상기 뉴 MME가 뉴 key를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과,
    상기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정으로 이루어짐을 특징으로 하는 상기 방법.
  9. 제8항에 있어서,
    상기 뉴 MME가 생성하는 뉴 키 정보는 NAS 암호화 키 KNASenc 및 무결성 키 KNASint 등을 포함하며, 상기 NAS 보안 모드 명령 메시지는 보안키 식별자(KSI), 단말 보안 능력(UE security capability), 사용될 암호화 알고리즘(ciphering algorithm), 사용될 무결성 알고리즘(integrity algorithm) 등을 포함하며,
    상기 단말이 생성하는 뉴 키 정보는 상기 NAS 보안모드 명령 메시지의 보안키 식별자(KSI)에 의해 색인 되는 기본 보안키(KASME)에 기초하여 생성되는 암호화 키(KNASenc)와 무결성 키(KNASint)등을 포함하는 것을 특징으로 하는 상기 방법.
  10. 제9항에 있어서, 상기 사용자 인증 요청 메시지는 인증 벡터(AUTN)와 보안키 식별자(KSIASME)를 포함하는 것을 특징으로 하는 상기 방법.
  11. 이동통신시스템의 핸드오버 처리 방법에 있어서,
    이전 MME가 뉴 MME에 단말의 이전 키 정보를 포함하는 메시지(forward relocation request message)를 전송하는 과정과,
    단말이 상기 뉴 MME에 이전 키에 의해 보안화된 TAU 요청 메시지를 전송하는 과정과,
    상기 뉴 MME가 상기 TAU 요청 메시지를 이전 키로 해석하여 처리하는 과정으로 이루어짐을 특징으로 하는 상기 방법.
  12. 제11항에 있어서, 상기 뉴 MME가 상기 TAU 요청 메시지를 이전 키로 해석 실패시,
    상기 뉴 MME가 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정과,
    상기 뉴 MME가 뉴 키를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과,
    상기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정과,
    상기 단말이 뉴 키에 의해 보안화된 TAU 요청 메시지를 상기 뉴 MME에 전송하며, 상기 뉴 MME가 뉴 키에 의해 상기 메시지를 처리하는 과정을 더 구비함을 특징으로 하는 상기 방법.
  13. 이동통신시스템에서 단말의 위치 갱신을 처리하는 방법에 있어서,
    단말이 뉴 MME에 이전 키에 의해 보안화된 TAU 요청 메시지를 전송하는 과정과,
    상기 뉴 MME가 상기 이전 MME에 단말의 이전 키에 관련된 정보을 요청하며, 이전 키 정보를 수신하는 과정과,
    상기 새롱누 MME가 상기 TAU 요청 메시지를 상기 이전 키로 해석한 후, 상기 단말에 상기 이전 키로 보안화된 TAU 승인 메시지를 전송하는 과정으로 이루어짐을 특징으로 하는 상기 방법.
  14. 제13항에 있어서, 상기 뉴 MME가 상기 TAU 요청 메시지를 이전 키로 해석 실패시,
    상기 뉴 MME가 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정과,
    상기 뉴 MME가 뉴 키를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과,
    상기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정과,
    상기 단말이 뉴 키에 의해 보안화된 TAU 요청 메시지를 상기 뉴 MME에 전송하며, 상기 뉴 MME가 뉴 키에 의해 상기 메시지를 처리하는 과정을 더 구비함을 특징으로 하는 상기 방법.
  15. 이동통신시스템에서 단말의 등록처리하는 방법에 있어서,
    단말이 뉴 MME에 이전 키에 의해 보안화된 등록 요청 메시지를 전송하는 과정과,
    상기 뉴 MME가 상기 이전 MME에 단말의 이전 키에 관련된 정보을 요청하며, 이전 키 정보를 수신하는 과정과,
    상기 뉴 MME가 상기 등록 요청 메시지를 상기 이전 키로 해석한 후, 상기 단말에 상기 이전 키로 보안화된 등록 승인 메세지를 전송하는 과정으로 이루어짐을 특징으로 하는 상기 방법.
  16. 제15항에 있어서, 상기 뉴 MME가 상기 등록 요청 메시지를 이전 키로 해석 실패시, 상기 뉴 MME가 단말에 사용자 인증 요청 메시지를 전송하며, 상기 단말이 상기 사용자 인증 요청에 응답하는 과정과,
    상기 뉴 MME가 뉴 키를 생성하며, 상기 생성된 뉴 키 정보를 포함하는 NAS 보안 모드 명령 메시지를 단말에 전송하는 과정과,
    상기 단말이 상기 뉴 MME의 뉴 키 정보에 따라 단말의 뉴 키를 생성하고, 상기 뉴 MME에 NAS 보안 모드 명령에 응답하는 과정과,
    상기 단말이 뉴 키에 의해 보안화된 등록 요구 메시지를 상기 뉴 MME에 전송하며, 상기 뉴 MME가 뉴 키에 의해 상기 메시지를 처리하는 과정을 더 구비함을 특징으로 하는 상기 방법.
PCT/KR2009/004570 2008-08-15 2009-08-14 이동 통신 시스템의 보안화된 비계층 프로토콜 처리 방법 WO2010019020A2 (ko)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP19175614.7A EP3554113A1 (en) 2008-08-15 2009-08-14 Security protected non-access stratum protocol operation supporting method in a mobile telecommunication system
JP2011522916A JP5390611B2 (ja) 2008-08-15 2009-08-14 移動通信システムの保安化された非接続階層プロトコル処理方法
US13/059,227 US8638936B2 (en) 2008-08-15 2009-08-14 Security protected non-access stratum protocol operation supporting method in a mobile telecommunication system
CN200980140975.1A CN102187599B (zh) 2008-08-15 2009-08-14 在移动通信***中安全保护的非接入层面协议操作支持方法
EP09806882.8A EP2315371A4 (en) 2008-08-15 2009-08-14 SAFETY PROTECTED METHOD FOR SUPPORTING NON-ACCESSIBLE LAYER PROTOCOL OPERATION IN A MOBILE TELECOMMUNICATIONS SYSTEM

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2008-0080205 2008-08-15
KR20080080205 2008-08-15

Publications (3)

Publication Number Publication Date
WO2010019020A2 WO2010019020A2 (ko) 2010-02-18
WO2010019020A3 WO2010019020A3 (ko) 2010-07-22
WO2010019020A9 true WO2010019020A9 (ko) 2010-09-10

Family

ID=41669507

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2009/004570 WO2010019020A2 (ko) 2008-08-15 2009-08-14 이동 통신 시스템의 보안화된 비계층 프로토콜 처리 방법

Country Status (6)

Country Link
US (1) US8638936B2 (ko)
EP (2) EP3554113A1 (ko)
JP (1) JP5390611B2 (ko)
KR (1) KR101579757B1 (ko)
CN (1) CN102187599B (ko)
WO (1) WO2010019020A2 (ko)

Families Citing this family (49)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10341910B2 (en) 2009-06-16 2019-07-02 Blackberry Limited Method for accessing a service unavailable through a network cell
US8861433B2 (en) 2009-06-16 2014-10-14 Blackberry Limited Method for accessing a service unavailable through a network cell
ES2694393T3 (es) 2009-06-16 2018-12-20 Blackberry Limited Método para acceder a un servicio no disponible a través de una celda de red
DE102009029828B4 (de) * 2009-06-18 2011-09-01 Gigaset Communications Gmbh DEFAULT Verschlüsselung
EP2567499B1 (en) 2010-05-04 2016-10-26 Qualcomm Incorporated Shared circuit switched security context
WO2011152665A2 (en) * 2010-06-01 2011-12-08 Samsung Electronics Co., Ltd. Method and system of securing group communication in a machine-to-machine communication environment
JP4892084B2 (ja) * 2010-06-16 2012-03-07 株式会社エヌ・ティ・ティ・ドコモ 移動通信方法
KR101737425B1 (ko) * 2010-06-21 2017-05-18 삼성전자주식회사 응급 콜을 지원하는 이동 통신 시스템에서 보안 관리 방법 및 장치와 그 시스템
KR101712865B1 (ko) * 2010-09-09 2017-03-08 삼성전자주식회사 이동 통신 시스템에서 비계층 프로토콜을 이용한 통신 지원 방법 및 장치
US8929334B2 (en) 2010-11-16 2015-01-06 Qualcomm Incorporated Systems and methods for non-optimized handoff
US8743828B2 (en) 2010-11-16 2014-06-03 Qualcomm Incorporated Systems and methods for non-optimized handoff
CN102340754B (zh) * 2011-09-23 2014-07-23 电信科学技术研究院 数据发送和接收方法及设备
CN102572816B (zh) * 2011-12-27 2014-08-06 电信科学技术研究院 一种移动切换的方法及装置
EP3606001A1 (en) * 2013-01-10 2020-02-05 NEC Corporation Mtc key management for key derivation at both ue and network
WO2015015714A1 (en) * 2013-07-31 2015-02-05 Nec Corporation Devices and method for mtc group key management
CN104581652B (zh) 2013-10-15 2018-12-07 华为技术有限公司 消息处理方法、选择mme的方法和装置
US9955393B2 (en) * 2014-05-08 2018-04-24 Interdigital Patent Holdings, Inc. Methods and apparatus for selection of dedicated core network
KR102102858B1 (ko) * 2014-05-13 2020-04-23 주식회사 케이티 Lte망으로 천이시 인증 과정을 간소화한 시스템
US10104603B2 (en) 2014-05-30 2018-10-16 Nec Corporation Apparatus, system and method for dedicated core network
CN105578456B (zh) * 2014-10-14 2019-01-25 成都鼎桥通信技术有限公司 Td-lte集群通信***的端到端加密方法、设备及***
US9693219B2 (en) 2014-10-24 2017-06-27 Ibasis, Inc. User profile conversion to support roaming
US9585013B2 (en) * 2014-10-29 2017-02-28 Alcatel Lucent Generation of multiple shared keys by user equipment and base station using key expansion multiplier
EP3547739A1 (en) * 2015-02-13 2019-10-02 NEC Corporation Apparatus, system and method for security management
RU2017132104A (ru) * 2015-02-16 2019-03-18 Нек Корпорейшн Система связи, устройство узла, терминал связи, способ управления ключами и энергонезависимый читаемый компьютером носитель, на котором хранится программа
US9686675B2 (en) * 2015-03-30 2017-06-20 Netscout Systems Texas, Llc Systems, methods and devices for deriving subscriber and device identifiers in a communication network
US9883385B2 (en) 2015-09-15 2018-01-30 Qualcomm Incorporated Apparatus and method for mobility procedure involving mobility management entity relocation
US10334435B2 (en) 2016-04-27 2019-06-25 Qualcomm Incorporated Enhanced non-access stratum security
EP3479614A4 (en) * 2016-07-01 2019-11-27 Nokia Technologies Oy SECURE COMMUNICATIONS
US20170013651A1 (en) * 2016-09-22 2017-01-12 Mediatek Singapore Pte. Ltd. NAS Security And Handling Of Multiple Initial NAS Messages
JP6763435B2 (ja) * 2016-10-26 2020-09-30 日本電気株式会社 ソースコアネットワークのノード、端末、及び方法
WO2018139910A1 (en) 2017-01-27 2018-08-02 Samsung Electronics Co., Ltd. Method for providing end-to-end security over signaling plane in mission critical data communication system
EP3574669B1 (en) * 2017-01-30 2021-10-13 Telefonaktiebolaget LM Ericsson (Publ) Security context handling in 5g during connected mode
CN108924841B (zh) * 2017-03-20 2021-11-19 ***通信有限公司研究院 安全保护方法、装置、移动终端、基站和mme设备
CN109314861B (zh) * 2017-05-04 2021-09-07 华为技术有限公司 获取密钥的方法、设备和通信***
CN116866905A (zh) * 2017-09-27 2023-10-10 日本电气株式会社 通信终端和通信终端的方法
CN109586913B (zh) * 2017-09-28 2022-04-01 ***通信有限公司研究院 安全认证方法、安全认证装置、通信设备及存储介质
CN109803333B (zh) * 2017-11-17 2022-04-19 中兴通讯股份有限公司 偶联重定向方法及装置
US10542428B2 (en) 2017-11-20 2020-01-21 Telefonaktiebolaget Lm Ericsson (Publ) Security context handling in 5G during handover
CN110099382B (zh) * 2018-01-30 2020-12-18 华为技术有限公司 一种消息保护方法及装置
KR102405412B1 (ko) * 2018-04-06 2022-06-07 삼성전자주식회사 무선 통신 시스템에서 정보 보안을 위한 장치 및 방법
KR102425582B1 (ko) * 2018-05-11 2022-07-26 삼성전자주식회사 무선통신 시스템에서 정보 보호 방법 및 장치
KR102449988B1 (ko) * 2018-06-29 2022-10-05 삼성전자주식회사 무선 통신 시스템에서 통신 방법 및 장치
US11689920B2 (en) * 2018-09-24 2023-06-27 Nokia Technologies Oy System and method for security protection of NAS messages
JP7192107B2 (ja) * 2018-10-04 2022-12-19 ノキア テクノロジーズ オーユー システム間変更中のセキュリティ・コンテキストを扱う方法及び装置
US20220338071A1 (en) * 2019-09-25 2022-10-20 Samsung Electronics Co., Ltd. Method and device for performing communication in wireless communication system
CN110933669A (zh) * 2019-11-21 2020-03-27 北京长焜科技有限公司 一种跨rat用户的快速注册的方法
EP4064748A4 (en) * 2019-12-13 2022-11-16 Huawei Technologies Co., Ltd. COMMUNICATION METHOD, DEVICE AND SYSTEM
CN115362702A (zh) * 2020-04-07 2022-11-18 苹果公司 认证请求处理期间的跟踪区域标识符(tai)改变
KR102279293B1 (ko) 2020-08-07 2021-07-20 한국인터넷진흥원 비암호화 채널 탐지 방법 및 장치

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR19990004237A (ko) * 1997-06-27 1999-01-15 김영환 비동기 전송 모드망에서의 데이터 암호화/복호화 장치 및 방법
FI111423B (fi) * 2000-11-28 2003-07-15 Nokia Corp Järjestelmä kanavanvaihdon jälkeen tapahtuvan tietoliikenteen salauksen varmistamiseksi
US8127136B2 (en) * 2004-08-25 2012-02-28 Samsung Electronics Co., Ltd Method for security association negotiation with extensible authentication protocol in wireless portable internet system
JP2009525681A (ja) * 2006-01-31 2009-07-09 インターデイジタル テクノロジー コーポレーション ＷＴＲＵ（ＷｉｒｅｌｅｓｓＴｒａｎｓｍｉｔＲｅｃｅｉｖｅＵｎｉｔ：無線送受信ユニット）が待機状態にある間にセル更新およびＲＡ（ＲｏｕｔｉｎｇＡｒｅａ：経路制御領域）更新の手続きを実行するための方法およびシステム
JP5059096B2 (ja) * 2006-03-31 2012-10-24 サムスン エレクトロニクス カンパニー リミテッド アクセスシステム間のハンドオーバー時の認証手順を最適化するシステム及び方法
EP2036382B1 (en) * 2006-06-16 2019-07-24 Nokia Technologies Oy An apparatus and method for transferring pdp context information for a terminal in the case of intersystem handover
GB0619409D0 (en) * 2006-10-02 2006-11-08 Vodafone Plc Telecommunications networks
EP1914930A1 (en) * 2006-10-17 2008-04-23 Matsushita Electric Industrial Co., Ltd. User plane entity selection in a mobile communication system having overlapping pool areas
CA2665452C (en) * 2006-10-31 2016-01-05 Qualcomm Incorporated Inter-enode b handover procedure
FI20075297A0 (fi) * 2007-04-27 2007-04-27 Nokia Siemens Networks Oy Menetelmä, radiojärjestelmä ja tukiasema

Also Published As

Publication number Publication date
JP2012500511A (ja) 2012-01-05
EP2315371A2 (en) 2011-04-27
US20110142239A1 (en) 2011-06-16
WO2010019020A3 (ko) 2010-07-22
KR101579757B1 (ko) 2015-12-24
US8638936B2 (en) 2014-01-28
CN102187599A (zh) 2011-09-14
EP3554113A1 (en) 2019-10-16
WO2010019020A2 (ko) 2010-02-18
JP5390611B2 (ja) 2014-01-15
KR20100021385A (ko) 2010-02-24
CN102187599B (zh) 2015-04-01
EP2315371A4 (en) 2015-10-14

Similar Documents

Publication Publication Date Title
WO2010019020A9 (ko) 이동 통신 시스템의 보안화된 비계층 프로토콜 처리 방법
EP1713289B1 (en) A method for establishing security association between the roaming subscriber and the server of the visited network
US9071962B2 (en) Evolved packet system non access stratum deciphering using real-time LTE monitoring
EP1707024B1 (en) Improvements in authentication and authorization in heterogeneous networks
WO2011162538A2 (ko) 응급 콜을 지원하는 이동 통신 시스템에서 보안 관리 방법 및 장치와 그 시스템
WO2011081311A2 (ko) 이동 통신 시스템에서 보안을 지원하는 방법 및 시스템
KR101159441B1 (ko) Ｌｔｅ 모바일 유닛에서의 비접속 계층(ｎａｓ) 보안을 가능하게 하는 방법 및 장치
KR101490243B1 (ko) 이종망간 핸드오버시 빠른 보안연계 설정방법
US8731194B2 (en) Method of establishing security association in inter-rat handover
TWI482479B (zh) 用於交遞保全之方法、裝置、系統及相關電腦程式產品
WO2011052995A2 (en) Method and system for managing security in mobile communication system
US20070105549A1 (en) Mobile communication system using private network, relay node, and radio network controller
WO2011081242A1 (ko) 바이너리 cdma에서 키 인증 방법
WO2015105402A1 (ko) 이동 통신 시스템에서 서비스 발견 및 그룹 통신을 위한 보안 지원방법 및 시스템
WO2017078459A1 (en) Method, ue and network node for protecting user privacy in networks
WO2015065165A1 (ko) 이동 통신 시스템 환경에서 프락시미티 기반 서비스 단말 간 발견 및 통신을 지원하기 위한 보안 방안 및 시스템
KR20120026178A (ko) 이동 통신 시스템에서 비계층 프로토콜을 이용한 통신 지원 방법 및 장치
CN101627644A (zh) 用于漫游环境的基于令牌的动态密钥分配方法
KR20170097487A (ko) 통합 코어 망 서비스 이용방법과 이를 위한 통합 제어장치 및 그 시스템
WO2010019021A9 (ko) 이동 통신 시스템의 비계층 프로토콜 처리 방법 및 이동통신 시스템
WO2022025566A1 (en) Methods and systems for deriving cu-up security keys for disaggregated gnb architecture
WO2015105401A1 (ko) 이동 통신에서 prose그룹 통신 또는 공공 안전을 지원하기 위한 보안 방안 및 시스템
WO2019194642A1 (en) Apparatus and method for information security in wireless communication
CN115915315A (zh) 一种wapi无线网络快速漫游方法
WO2021249512A1 (zh) 安全通信方法、相关装置及***

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980140975.1

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09806882

Country of ref document: EP

Kind code of ref document: A2

ENP Entry into the national phase

Ref document number: 2011522916

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 13059227

Country of ref document: US

Ref document number: 2009806882

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE