BR112020006242A2 - método de proteção de segurança, aparelho, e sistema - Google Patents

método de proteção de segurança, aparelho, e sistema Download PDF

Info

Publication number
BR112020006242A2
BR112020006242A2 BR112020006242-1A BR112020006242A BR112020006242A2 BR 112020006242 A2 BR112020006242 A2 BR 112020006242A2 BR 112020006242 A BR112020006242 A BR 112020006242A BR 112020006242 A2 BR112020006242 A2 BR 112020006242A2
Authority
BR
Brazil
Prior art keywords
network device
access network
security policy
protection
user plane
Prior art date
Application number
BR112020006242-1A
Other languages
English (en)
Inventor
He Li
Jing Chen
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of BR112020006242A2 publication Critical patent/BR112020006242A2/pt

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0016—Hand-off preparation specially adapted for end-to-end data sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/16—Discovering, processing access restriction or access information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/08—Mobility data transfer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/08—Upper layer protocols
    • H04W80/10—Upper layer protocols adapted for application session management, e.g. SIP [Session Initiation Protocol]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

  Este pedido refere-se ao campo de tecnologias de comunicações sem fio. Modalidades deste pedido fornecem um método de proteção de segurança, um aparelho, e um sistema, para resolver um problema de baixa eficiência em mudança automática de um terminal entre estações de base de serviço. O método neste pedido inclui: receber, por um primeiro dispositivo de rede de acesso, uma correspondência entre informações de plano de usuário e uma política de segurança a partir de um segundo dispositivo de rede de acesso; e determinar, pelo primeiro dispositivo de rede de acesso com base na correspondência entre informações de plano de usuário e uma política de segurança, um primeiro algoritmo de proteção de plano de usuário que corresponde às informações de plano de usuário, em que o primeiro algoritmo de proteção de plano de usuário inclui um ou ambos dentre um algoritmo de encriptação de plano de usuário e um algoritmo de proteção de integridade de plano de usuário. Este pedido é aplicável a um procedimento no qual o terminal é mudado automaticamente entre estações de base de serviço.

Description

“MÉTODO DE PROTEÇÃO DE SEGURANÇA, APARELHO, E SISTEMA”
[0001] Este pedido reivindica prioridade ao Pedido de Patente Chinês No 201710945254.4, depositado junto ao Escritório de Patentes Chinês em 30 de setembro de 2017, e intitulado “SECURITY PROTECTION METHOD, APPARATUS, AND SYSTEM”, o qual é integralmente incorporado neste relatório à título de referência.
CAMPO TÉCNICO
[0002] Este pedido refere-se ao campo de tecnologias de comunicações sem fio e, em particular, a um método de proteção de segurança, um aparelho e um sistema.
FUNDAMENTOS
[0003] Em um sistema de comunicações, se um terminal sair rapidamente de um faixa de serviço de uma estação de base que serve o terminal, para garantir continuidade da sessão do terminal (por exemplo, para garantir que um serviço sendo realizado pelo terminal não seja interrompido), uma estação de base fonte inicia um procedimento de mudança automática do terminal, de modo que uma estação de base de serviço do terminal seja comutada a partir da estação de base fonte para uma estação de base alvo, e a estação de base alvo continua a suportar o serviço sendo realizado pelo terminal.
[0004] No procedimento de mudança automática do terminal, uma solicitação de mudança automática enviada pela estação de base fonte para a estação de base alvo inclui uma capacidade de segurança do terminal e uma chave em nó B evoluído (key in evolved NodeB, KeNB*) no processo de mudança automática do terminal. A estação de base alvo pode determinar um algoritmo de encriptação de plano de sinalização, um algoritmo de proteção de integridade de plano de sinalização, e um algoritmo de encriptação de plano de usuário com base na capacidade de segurança do terminal recebida e a KeNB* recebida, e a estação de base alvo gera, respectivamente, uma chave de encriptação de plano de sinalização, uma chave de proteção de integridade de plano de sinalização e uma chave de encriptação de plano de usuário. Em seguida, a estação de base alvo envia uma mensagem de comando de mudança automática para o terminal através da estação de base fonte, e a mensagem de comando de mudança automática porta o algoritmo de encriptação de plano de sinalização, o algoritmo de proteção de integridade de plano de sinalização, e o algoritmo de encriptação de plano de usuário que são determinados pela estação de base alvo. Em seguida, o terminal gera a chave de encriptação de plano de sinalização, a chave de proteção de integridade de plano de sinalização, e a chave de encriptação de plano de usuário, de acordo com os algoritmos portados na mensagem de comando de mudança automática. O terminal encripta adicionalmente uma mensagem de confirmação de mudança automática por meio do uso da chave de encriptação de plano de sinalização e da chave de proteção de integridade de plano de sinalização, e envia a mensagem de confirmação de mudança automática encriptada para a estação de base alvo.
[0005] No procedimento de mudança automática do terminal, a estação de base alvo determina o algoritmo de encriptação de plano de sinalização, o algoritmo de proteção de integridade de plano de sinalização, e o algoritmo de encriptação de plano de usuário independentemente se a proteção de segurança de plano de sinalização e a proteção de segurança de plano de usuário precisarem ser realizadas, aumentando as sobrecargas da estação de base alvo, e aumentando um tempo para a estação de base alvo se preparar para a mudança automática do terminal. Consequentemente, a eficiência de mudança automática do terminal é reduzida.
SUMÁRIO
[0006] As modalidades deste pedido fornecem um método de proteção de segurança, um aparelho e um sistema, para resolver um problema de baixa eficiência na mudança automática de um terminal entre as estações de base de serviço.
[0007] Para obter os objetivos anteriores, as seguintes soluções técnicas são usadas nas modalidades deste pedido:
[0008] De acordo com um primeiro aspecto, uma modalidade deste pedido fornece um método de proteção de segurança, onde o método inclui: receber, por um primeiro dispositivo de rede de acesso a partir de um segundo dispositivo de rede de acesso, uma correspondência entre as informações de plano de usuário e uma política de segurança; e, em seguida, determinar, pelo primeiro dispositivo de rede de acesso com base na correspondência, um primeiro algoritmo de proteção de plano de usuário correspondente às informações de plano de usuário, onde o primeiro algoritmo de proteção de plano de usuário inclui um dentre ou ambos um algoritmo de encriptação de plano de usuário e um algoritmo de proteção de integridade de plano de usuário. Na solução desta modalidade deste pedido, o primeiro dispositivo de rede de acesso pode determinar apenas um algoritmo de proteção de plano de usuário, e não precisa habilitar a proteção de plano de sinalização, reduzindo, desse modo, as sobrecargas da rede. Além disso, se a solução for aplicada a um cenário no qual um terminal é mudado automaticamente, um tempo para o primeiro dispositivo de rede de acesso se preparar para a mudança automática do terminal pode ser reduzido, melhorando, desse modo, a eficiência de mudança automática do terminal.
[0009] As informações de plano de usuário podem incluir qualquer uma ou mais dentre as seguintes informações: um identificador de sessão PDU, um parâmetro QoS e um parâmetro de fatia.
[0010] Uma forma de representação da correspondência entre as informações de plano de usuário e uma política de segurança pode ser uma combinação de informações de plano de usuário e uma política de segurança que estão em uma correspondência. Uma pluralidade de partes de informações de plano de usuário pode ser correspondente a uma pluralidade de políticas de segurança por meio do uso de uma correspondência. Por exemplo, em uma correspondência entre uma pluralidade de partes de informações de plano de usuário e uma pluralidade de políticas de segurança, as informações de plano de usuário incluem um identificador de sessão PDU e um parâmetro QoS, e as políticas de segurança incluem uma política de segurança 1 e uma política de segurança 2. Alternativamente, uma parte de informações de plano de usuário é correspondente a uma política de segurança por meio do uso de uma correspondência. Por exemplo, uma correspondência entre informações de plano de usuário e uma política de segurança é uma combinação de um parâmetro QoS e uma política de segurança.
[0011] Em um exemplo, a correspondência entre as informações de plano de usuário e uma política de segurança pode ser {ID de sessão PDU = 1, NIA = 1, NEA = 2}, e isto indica que, para uma sessão cujo identificador de sessão PDU é 1, um algoritmo de proteção de integridade de plano de usuário 1 é usado para realizar proteção de integridade de plano de usuário, e um algoritmo de encriptação de plano de usuário 2 é usado para realizar a proteção de encriptação de plano de usuário.
[0012] Opcionalmente, a solução desta modalidade deste pedido pode ser aplicada a um processo em que o terminal é mudado automaticamente entre as estações de base de serviço. O primeiro dispositivo de rede de acesso pode ser um TgNB, e o segundo dispositivo de rede de acesso pode ser um SgNB. No processo em que o terminal é mudado automaticamente entre as estações de base de serviço, o primeiro dispositivo de rede de acesso pode determinar apenas um algoritmo de proteção de plano de usuário, e não precisa ativar a proteção de plano de sinalização, reduzindo as sobrecargas da rede, e economizando um tempo para o primeiro dispositivo de rede de acesso se preparar para a mudança automática do terminal, melhorando, desse modo, a eficiência de mudança automática do terminal.
[0013] Em um projeto possível, o primeiro dispositivo de rede de acesso determina o primeiro algoritmo de proteção de plano de usuário como um algoritmo de proteção de plano de sinalização.
[0014] Em outro projeto possível, o primeiro dispositivo de rede de acesso determina um algoritmo de proteção de plano de sinalização, onde o algoritmo de proteção de plano de sinalização inclui um dentre ou ambos um algoritmo de encriptação de plano de sinalização e um algoritmo de proteção de integridade de plano de sinalização.
[0015] Em um projeto possível, o primeiro dispositivo de rede de acesso envia as primeiras informações de indicação para um terminal através do segundo dispositivo de rede de acesso, onde as primeiras informações de indicação são usadas para indicar que o primeiro algoritmo de proteção de plano de usuário é o mesmo que o algoritmo de proteção de plano de sinalização, ou as primeiras informações de indicação são usadas para indicar um identificador de algoritmo de proteção de plano de sinalização determinado pelo primeiro dispositivo de rede de acesso.
[0016] De acordo com a solução desta modalidade deste pedido, o primeiro dispositivo de rede de acesso notifica o terminal de um algoritmo de proteção de plano de sinalização disponível depois de determinar o algoritmo de proteção de plano de sinalização, de modo que o terminal ative a proteção de segurança de plano de sinalização de maneira oportuna, para realizar a proteção de segurança em uma mensagem do plano de sinalização, e garantir a segurança da mensagem do plano de sinalização.
[0017] Em um projeto possível, a política de segurança é usada para indicar um tipo de proteção de segurança para ativação, o tipo de proteção de segurança inclui uma dentre ou ambas a proteção de encriptação de plano de usuário e proteção de integridade de plano de usuário, e um método para determinar, pelo primeiro dispositivo de rede de acesso com base na correspondência entre informações de plano de usuário e uma política de segurança, um primeiro algoritmo de proteção de plano de usuário correspondente às informações de plano de usuário é: determinar, pelo primeiro dispositivo de rede de acesso, o primeiro algoritmo de proteção de plano de usuário correspondente ao tipo de proteção de segurança para ativação que é indicado pela política de segurança.
[0018] Cada tipo de proteção de segurança é correspondente a um conjunto de algoritmos. Em uma implementação, o primeiro dispositivo de rede de acesso armazena um conjunto de algoritmos de encriptação de plano de usuário e um conjunto de algoritmos de proteção de integridade de plano de usuário. O primeiro dispositivo de rede de acesso não distingue entre o algoritmo de encriptação de plano de usuário e o algoritmo de encriptação de plano de sinalização nem distingue entre o algoritmo de proteção de integridade de plano de usuário e o algoritmo de proteção de integridade de plano de sinalização. Em outras palavras, o conjunto de algoritmos de encriptação de plano de usuário também pode ser usado como um conjunto de algoritmos de encriptação de plano de sinalização, e o conjunto de algoritmos de proteção de integridade de plano de usuário também pode ser usado como um conjunto de algoritmos de proteção de integridade de plano de sinalização. Em outra implementação, o primeiro dispositivo de rede de acesso distingue entre o algoritmo de encriptação de plano de usuário e o algoritmo de encriptação de plano de sinalização, e distingue entre o algoritmo de proteção de integridade de plano de usuário e o algoritmo de proteção de integridade de plano de sinalização. O primeiro dispositivo de rede de acesso armazena um conjunto de algoritmos de encriptação de plano de usuário, um conjunto de algoritmos de proteção de integridade de plano de usuário, um conjunto de algoritmos de encriptação de plano de sinalização e um conjunto de algoritmos de proteção de integridade de plano de sinalização. Todos os conjuntos de algoritmos anteriores podem existir em uma forma de uma lista de prioridades, e os algoritmos na lista prioridades são organizados em ordem decrescente de prioridades.
[0019] Em outro projeto possível, a política de segurança inclui um identificador de algoritmo de proteção de plano de usuário, e um método para determinar, pelo primeiro dispositivo de rede de acesso com base na correspondência entre informações de plano de usuário e uma política de segurança, um primeiro algoritmo de proteção de plano de usuário correspondente às informações de plano de usuário é especificamente: determinar, pelo primeiro dispositivo de rede de acesso, um segundo algoritmo de proteção de plano de usuário correspondente ao identificador de algoritmo de proteção de plano de usuário; e, se ambos o primeiro dispositivo de rede de acesso e o terminal suportarem o segundo algoritmo de proteção de plano de usuário, determinar, pelo primeiro dispositivo de rede de acesso, o segundo algoritmo de proteção de plano de usuário como o primeiro algoritmo de proteção de plano de usuário; ou se o primeiro dispositivo de rede de acesso ou o terminal não suportar o segundo algoritmo de proteção de plano de usuário, selecionar, pelo primeiro dispositivo de rede de acesso a partir de um conjunto de algoritmos de segurança correspondente a um tipo de proteção de segurança ao qual o segundo algoritmo de proteção de plano de usuário pertence, um algoritmo de proteção de plano de usuário suportado por ambos o primeiro dispositivo de rede de acesso e o terminal como o primeiro algoritmo de proteção de plano de usuário.
[0020] Opcionalmente, o conjunto de algoritmos de segurança correspondente ao tipo de proteção de segurança pode existir em uma forma de uma lista de prioridades, e os algoritmos na lista prioridades são organizados em ordem decrescente de prioridades.
[0021] Opcionalmente, o primeiro dispositivo de rede de acesso pode receber uma capacidade de segurança do terminal do segundo dispositivo de rede de acesso, e a capacidade de segurança do terminal inclui um algoritmo de proteção de plano de usuário suportado pelo terminal. O primeiro dispositivo de rede de acesso pode selecionar, a partir de um conjunto de algoritmos de segurança correspondente a um tipo de proteção de segurança ao qual o segundo algoritmo de proteção de plano de usuário pertence, um algoritmo de proteção de plano de usuário que é suportado pelo terminal e que possui um prioridade mais alta.
[0022] Em um projeto possível, o primeiro dispositivo de rede de acesso gera uma chave de proteção de plano de usuário, de acordo com o primeiro algoritmo de proteção de plano de usuário, onde a chave de proteção de plano de usuário inclui uma dentre ou ambas uma chave de encriptação de plano de usuário e uma chave de proteção de integridade de plano de usuário.
[0023] Em um projeto possível, o primeiro dispositivo de rede de acesso gera uma chave de proteção de plano de sinalização, de acordo com o algoritmo de proteção de plano de sinalização, onde a chave de proteção de plano de sinalização inclui uma dentre ou ambas uma chave de encriptação de plano de sinalização e uma chave de proteção de integridade de plano de sinalização.
[0024] Em um projeto possível, o primeiro dispositivo de rede de acesso envia, para o terminal através do segundo dispositivo de rede de acesso, uma primeira mensagem protegida por meio do uso da chave de proteção de integridade de plano de usuário ou da chave de proteção de integridade de plano de sinalização, onde a primeira mensagem inclui o primeiro algoritmo de proteção de plano de usuário.
[0025] Opcionalmente, a primeira mensagem pode portar adicionalmente um algoritmo de proteção de plano de sinalização se o primeiro dispositivo de rede de acesso tiver determinado o algoritmo de proteção de plano de sinalização.
[0026] Em um projeto possível, o primeiro dispositivo de rede de acesso recebe, a partir do terminal, uma segunda mensagem protegida por meio do uso da chave de proteção de plano de usuário ou da chave de proteção de plano de sinalização, onde a segunda mensagem é uma mensagem de resposta da primeira mensagem.
[0027] Em um projeto possível, o método inclui adicionalmente: enviar, pelo primeiro dispositivo de rede de acesso, a correspondência entre as informações de plano de usuário e uma política de segurança para um nó de Função de Gerenciamento de Mobilidade e Acesso AMF; receber, pelo primeiro dispositivo de rede de acesso, uma ou ambas dentre as segundas informações de indicação e uma política de segurança do nó AMF, onde as segundas informações de indicação são usadas para indicar se uma política de segurança do segundo dispositivo de rede de acesso pode ser usada; e redeterminar o primeiro algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário, de acordo com a política de segurança do nó AMF se o primeiro dispositivo de rede de acesso receber a política de segurança do nó AMF, e a política de segurança do nó AMF for diferente da política de segurança do segundo dispositivo de rede de acesso; ou redeterminar, pelo primeiro dispositivo de rede de acesso, o primeiro algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário, de acordo com uma política de segurança padrão, se o primeiro dispositivo de rede de acesso receber as segundas informações de indicação do nó AMF e não receber política de segurança do nó AMF, e as segundas informações de indicação indicam que o primeiro dispositivo de rede de acesso não pode usar a política de segurança do segundo dispositivo de rede de acesso.
[0028] De acordo com a solução fornecida nesta modalidade deste pedido, o primeiro dispositivo de rede de acesso pode verificar uma política de segurança atualmente usada, para obter uma política de segurança aplicável a um estado de recurso do primeiro dispositivo de rede de acesso. Se o segundo dispositivo de rede de acesso for quebrado por um invasor, e enviar, para o primeiro dispositivo de rede de acesso, uma política de segurança com um nível de segurança reduzido, um nível de capacidade de segurança de um algoritmo de proteção de plano de usuário determinado pelo primeiro dispositivo de rede de acesso, de acordo com a política de segurança é relativamente baixo, e as informações protegidas por meio do uso do algoritmo de proteção de plano de usuário podem ser facilmente quebradas. Portanto, o primeiro dispositivo de rede de acesso usa a política de segurança entregue pelo nó AMF, de modo que essa vulnerabilidade possa ser evitada, e a segurança possa ser adicionalmente melhorada.
[0029] De acordo com um segundo aspecto, uma modalidade deste pedido fornece um método de proteção de segurança, onde o método inclui: obter, por um segundo dispositivo de rede de acesso, uma correspondência entre informações de plano de usuário e uma política de segurança; e enviar, pelo segundo dispositivo de rede de acesso, a correspondência entre informações de plano de usuário e uma política de segurança para um primeiro dispositivo de rede de acesso.
[0030] De acordo com um terceiro aspecto, uma modalidade deste pedido fornece um método de proteção de segurança, onde o método inclui: receber, por um nó de Função de Gerenciamento de Mobilidade e Acesso AMF, informações de plano de usuário de um segundo dispositivo de rede de acesso; em seguida, enviar, pelo nó AMF, as informações de plano de usuário para um nó de Função de Gerenciamento de Sessão SMF; receber, pelo nó AMF, uma política de segurança que é correspondente às informações de plano de usuário e que é do nó SMF; e enviar, pelo nó AMF, a política de segurança correspondente às informações de plano de usuário para um primeiro dispositivo de rede de acesso.
[0031] De acordo com a solução desta modalidade deste pedido, quando não existe interface de comunicações entre o segundo dispositivo de rede de acesso e o primeiro dispositivo de rede de acesso, o segundo dispositivo de rede de acesso pode acionar o nó AMF e o nó SMF para fornecer uma correspondência entre informações de plano de usuário e uma política de segurança para o segundo dispositivo de rede de acesso, de modo que um terminal pode ser mudado automaticamente para o segundo dispositivo de rede de acesso.
[0032] De acordo com um quarto aspecto, uma modalidade deste pedido fornece um método de proteção de segurança, onde o método inclui: receber, por um nó de Função de Gerenciamento de Sessão SMF, informações de plano de usuário a partir de um nó de Função de Gerenciamento de Mobilidade e Acesso AMF; determinar, pelo nó SMF, uma política de segurança correspondente às informações de plano de usuário; enviar, pelo nó SMF, a política de segurança correspondente às informações de plano de usuário para um primeiro dispositivo de rede de acesso através do nó AMF.
[0033] De acordo com a solução fornecida nesta modalidade deste pedido, o nó SMF pode fornecer uma política de segurança aplicável para um estado de recurso do primeiro dispositivo de rede de acesso através do nó AMF. Se o segundo dispositivo de rede de acesso for quebrado por um invasor, e enviar, para o primeiro dispositivo de rede de acesso, uma política de segurança de redução de um nível de segurança, um nível de capacidade de segurança de um algoritmo de proteção de plano de usuário determinado pelo primeiro dispositivo de rede de acesso, de acordo com a política de segurança é relativamente baixo, e as informações protegidas por meio do uso do algoritmo de proteção de plano de usuário podem ser facilmente quebradas. Portanto, o primeiro dispositivo de rede de acesso usa a política de segurança entregue pelo nó AMF, de modo que essa vulnerabilidade possa ser evitada, e a segurança possa ser adicionalmente melhorada.
[0034] De acordo com um quinto aspecto, uma modalidade deste pedido fornece um aparelho, onde o aparelho tem uma função de implementar ações do primeiro dispositivo de rede de acesso nos projetos do método anterior. A função pode ser implementada por hardware, ou pode ser implementada por hardware executando o software correspondente. O hardware ou software inclui um ou mais módulos correspondentes à função anterior. Por exemplo, o aparelho pode ser o primeiro dispositivo de rede de acesso, ou pode ser um chip no primeiro dispositivo de rede de acesso.
[0035] Em um projeto possível, o aparelho é o primeiro dispositivo de rede de acesso. O primeiro dispositivo de rede de acesso inclui um processador, e o processador é configurado para suportar o primeiro dispositivo de rede de acesso realizando uma função correspondente nos métodos anteriores. Além disso, o primeiro dispositivo de rede de acesso pode incluir uma interface de comunicações, e a interface de comunicações é configurada para suportar a comunicação entre o primeiro dispositivo de rede de acesso e um segundo dispositivo de rede de acesso ou um nó AMF. Além disso, o primeiro dispositivo de rede de acesso pode incluir um transceptor. O transceptor é configurado para suportar a comunicação entre o primeiro dispositivo de rede de acesso e um terminal. Além disso, o primeiro dispositivo de rede de acesso pode incluir uma memória. A memória é configurada para ser acoplada ao processador, e armazenar uma instrução e dados do programa que são necessários para o primeiro dispositivo de rede de acesso.
[0036] De acordo com um sexto aspecto, uma modalidade deste pedido fornece um aparelho, onde o aparelho tem uma função de implementar ações do segundo dispositivo de rede de acesso nos projetos do método anterior. A função pode ser implementada por hardware, ou pode ser implementada por hardware executando o software correspondente. O hardware ou software inclui um ou mais módulos correspondentes à função anterior. Por exemplo, o aparelho pode ser o segundo dispositivo de rede de acesso, ou pode ser um chip no segundo dispositivo de rede de acesso.
[0037] Em um projeto possível, o aparelho é o segundo dispositivo de rede de acesso. O segundo dispositivo de rede de acesso inclui um processador, e o processador é configurado para suportar o segundo dispositivo de rede de acesso realizando uma função correspondente nos métodos anteriores. Além disso, o segundo dispositivo de rede de acesso pode incluir uma interface de comunicações, um transmissor e um receptor. A interface de comunicações é configurada para suportar a comunicação entre o segundo dispositivo de rede de acesso e um primeiro dispositivo de rede de acesso ou um nó AMF, e o transmissor e o receptor são configurados para suportar a comunicação entre o segundo dispositivo de rede de acesso e um terminal. Além disso, o segundo dispositivo de rede de acesso pode incluir um transceptor. O transceptor é configurado para suportar a comunicação entre o segundo dispositivo de rede de acesso e o terminal. Além disso, o segundo dispositivo de rede de acesso pode incluir uma memória. A memória é configurada para ser acoplada ao processador, e armazenar uma instrução e dados do programa que são necessários para o segundo dispositivo de rede de acesso.
[0038] De acordo com um sétimo aspecto, uma modalidade deste pedido fornece um aparelho, onde o aparelho tem uma função de implementar ações do nó AMF nos projetos do método anterior. A função pode ser implementada por hardware, ou pode ser implementada por hardware executando o software correspondente. O hardware ou software inclui um ou mais módulos correspondentes à função anterior. Por exemplo, o aparelho pode ser o nó AMF, ou pode ser um chip no nó AMF.
[0039] Em um projeto possível, o aparelho é o nó AMF. O nó AMF inclui um processador, e o processador é configurado para suportar o nó AMF realizando uma função correspondente nos métodos anteriores. Além disso, o nó AMF pode incluir uma interface de comunicações. A interface de comunicações é configurada para suportar a comunicação entre o nó AMF e um primeiro dispositivo de rede de acesso, um segundo dispositivo de rede de acesso ou um nó SMF. Além disso, o nó AMF pode incluir uma memória. A memória é configurada para ser acoplada ao processador, e armazenar uma instrução e dados do programa que são necessários para o nó AMF.
[0040] De acordo com um oitavo aspecto, uma modalidade deste pedido fornece um aparelho, onde o aparelho tem uma função de implementar ações do nó SMF nos projetos do método anterior. A função pode ser implementada por hardware, ou pode ser implementada por hardware executando o software correspondente. O hardware ou software inclui um ou mais módulos correspondentes à função anterior. Por exemplo, o aparelho pode ser o nó SMF, ou pode ser um chip no nó SMF.
[0041] Em um projeto possível, o aparelho é o nó SMF. O nó SMF inclui um processador, e o processador é configurado para suportar o nó SMF realizando uma função correspondente nos métodos anteriores. Além disso, o nó SMF pode incluir uma interface de comunicações. A interface de comunicações é configurada para suportar a comunicação entre o nó SMF e um nó AMF. Além disso, o nó SMF pode incluir uma memória. A memória é configurada para ser acoplada ao processador, e armazenar uma instrução e dados do programa que são necessários para o nó SMF.
[0042] De acordo com um nono aspecto, uma modalidade deste pedido fornece um aparelho, onde o aparelho tem uma função de implementar ações do terminal nos projetos do método anterior. A função pode ser implementada por hardware, ou pode ser implementada por hardware executando o software correspondente. O hardware ou software inclui um ou mais módulos correspondentes à função anterior. Por exemplo, o aparelho pode ser o terminal, ou pode ser um chip no terminal.
[0043] Em um projeto possível, o aparelho é o terminal. O terminal inclui um processador, e o processador é configurado para suportar o terminal realizando uma função correspondente nos métodos anteriores. Além disso, o terminal pode incluir um transmissor e um receptor. O transmissor e o receptor são configurados para suportar a comunicação entre o terminal e um dispositivo de rede de acesso. Além disso, o terminal pode incluir uma memória. A memória é configurada para ser acoplada ao processador, e armazenar uma instrução e dados do programa que são necessários para o terminal.
[0044] De acordo com um décimo aspecto, uma modalidade deste pedido fornece um sistema de comunicações, onde o sistema inclui o primeiro dispositivo de rede de acesso e o segundo dispositivo de rede de acesso, de acordo com os aspectos anteriores; ou o sistema inclui o primeiro dispositivo de rede de acesso, o segundo dispositivo de rede de acesso e o nó AMF, de acordo com os aspectos anteriores; ou o sistema inclui o primeiro dispositivo de rede de acesso, o segundo dispositivo de rede de acesso, o nó AMF e o nó SMF, de acordo com os aspectos anteriores; ou o sistema inclui o primeiro dispositivo de rede de acesso, o segundo dispositivo de rede de acesso, o nó AMF, o nó SMF e o terminal, de acordo com os aspectos anteriores.
[0045] De acordo com um décimo primeiro aspecto, uma modalidade deste pedido fornece uma mídia de armazenamento de computador, configurada para armazenar uma instrução de software de computador usada pelo primeiro dispositivo de rede de acesso anterior, onde a instrução de software de computador inclui um programa projetado para realizar os aspectos anteriores.
[0046] De acordo com um décimo segundo aspecto, uma modalidade deste pedido fornece uma mídia de armazenamento de computador, configurada para armazenar uma instrução de software de computador usada pelo segundo dispositivo de rede de acesso anterior, onde a instrução de software de computador inclui um programa projetado para realizar os aspectos anteriores.
[0047] De acordo com um décimo terceiro aspecto, uma modalidade deste pedido fornece uma mídia de armazenamento de computador, configurada para armazenar uma instrução de software de computador usada pelo nó AMF anterior, onde a instrução de software de computador inclui um programa projetado para realizar os aspectos anteriores.
[0048] De acordo com um décimo quarto aspecto, uma modalidade deste pedido fornece uma mídia de armazenamento de computador, configurada para armazenar uma instrução de software de computador usada pelo nó SMF anterior, onde a instrução de software de computador inclui um programa projetado para realizar os aspectos anteriores.
[0049] De acordo com um décimo quinto aspecto, uma modalidade deste pedido fornece uma mídia de armazenamento de computador, configurada para armazenar uma instrução de software de computador usada pelo terminal anterior, onde a instrução de software de computador inclui um programa projetado para realizar os aspectos anteriores.
[0050] De acordo com um décimo sexto aspecto, uma modalidade deste pedido fornece um produto de programa de computador incluindo uma instrução, onde um computador é habilitado para realizar o método no primeiro aspecto quando o produto de programa de computador é executado no computador.
[0051] De acordo com um décimo sétimo aspecto, uma modalidade deste pedido fornece um produto de programa de computador incluindo uma instrução, onde um computador é habilitado para realizar o método no segundo aspecto quando o produto de programa de computador é executado no computador.
[0052] De acordo com um décimo oitavo aspecto, uma modalidade deste pedido fornece um produto de programa de computador incluindo uma instrução, onde um computador é habilitado para realizar o método no terceiro aspecto quando o produto de programa de computador é executado no computador.
[0053] De acordo com um décimo nono aspecto, uma modalidade deste pedido fornece um produto de programa de computador incluindo uma instrução, onde um computador é habilitado para realizar o método no quarto aspecto quando o produto de programa de computador é executado no computador.
[0054] De acordo com um vigésimo aspecto, uma modalidade deste pedido fornece um sistema de chip, onde o sistema de chip é aplicado a um primeiro dispositivo de rede de acesso, o sistema de chip inclui pelo menos um processador, uma memória, e um circuito de interface, a memória, o circuito de interface, e pelo menos um processador que são conectados um ao outro por meio do uso de uma linha, a memória armazena uma instrução, e o processador executa a instrução, para realizar uma operação do primeiro dispositivo de rede de acesso no método no primeiro aspecto.
[0055] De acordo com um vigésimo primeiro aspecto, uma modalidade deste pedido fornece um sistema de chip, onde o sistema de chip é aplicado a um segundo dispositivo de rede de acesso, o sistema de chip inclui pelo menos um processador, uma memória, e um circuito de interface, a memória, o circuito de interface, e pelo menos um processador são conectados um ao outro por meio do uso de uma linha, a memória armazena uma instrução, e o processador executa a instrução, para realizar uma operação do segundo dispositivo de rede de acesso no método no segundo aspecto.
[0056] De acordo com um vigésimo segundo aspecto, uma modalidade deste pedido fornece um sistema de chip, onde o sistema de chip é aplicado a um nó AMF, o sistema de chip inclui pelo menos um processador,
uma memória, e um circuito de interface, a memória, o circuito de interface, e pelo menos um processador são conectados um ao outro por meio do uso de uma linha, a memória armazena uma instrução, e o processador executa a instrução, para realizar uma operação do nó AMF no método no terceiro aspecto.
[0057] De acordo com um vigésimo terceiro aspecto, uma modalidade deste pedido fornece um sistema de chip, onde o sistema de chip é aplicado a um nó SMF, o sistema de chip inclui pelo menos um processador, uma memória, e um circuito de interface, a memória, o circuito de interface, e pelo menos um processador são conectados um ao outro por meio do uso de uma linha, a memória armazena uma instrução, e o processador executa a instrução, para realizar uma operação do nó SMF no método no quarto aspecto.
[0058] Em comparação com o estado da técnica, nas soluções das modalidades deste pedido, em um processo de mudança automática do terminal, o primeiro dispositivo de rede de acesso pode determinar apenas um algoritmo de proteção de plano de usuário, e não precisa habilitar a proteção de plano de sinalização, reduzindo as sobrecargas da rede, economizando um tempo para o primeiro dispositivo de rede de acesso se preparar para a mudança automática do terminal, melhorando, desse modo, a eficiência de mudança automática do terminal.
BREVE DESCRIÇÃO DOS DESENHOS
[0059] A FIG. 1 é um diagrama esquemático de uma possível arquitetura de rede, de acordo com uma modalidade deste pedido;
[0060] A FIG. 2 é um fluxograma de um método de proteção de segurança, de acordo com uma modalidade deste pedido;
[0061] A FIG. 3A e a FIG. 3B são um fluxograma de outro método de proteção de segurança, de acordo com uma modalidade deste pedido;
[0062] A FIG. 4 é um fluxograma de outro método de proteção de segurança, de acordo com uma modalidade deste pedido;
[0063] A FIG. 5 é um fluxograma de outro método de proteção de segurança, de acordo com uma modalidade deste pedido;
[0064] A FIG. 6 é um fluxograma de outro método de proteção de segurança, de acordo com uma modalidade deste pedido;
[0065] A FIG. 7A e a FIG. 7B são um fluxograma de outro método de proteção de segurança, de acordo com uma modalidade deste pedido;
[0066] A FIG. 8 é um fluxograma de outro método de proteção de segurança, de acordo com uma modalidade deste pedido;
[0067] A FIG. 9 é um fluxograma de outro método de proteção de segurança, de acordo com uma modalidade deste pedido;
[0068] A FIG. 10 é um diagrama de bloco esquemático de um aparelho, de acordo com uma modalidade deste pedido;
[0069] A FIG. 11 é um diagrama de bloco esquemático de outro aparelho, de acordo com uma modalidade deste pedido;
[0070] A FIG. 12 é um diagrama estrutural esquemático de um dispositivo de rede de acesso, de acordo com uma modalidade deste pedido;
[0071] A FIG. 13 é um diagrama de bloco esquemático de outro aparelho, de acordo com uma modalidade deste pedido;
[0072] A FIG. 14 é um diagrama estrutural esquemático de um nó AMF, de acordo com uma modalidade deste pedido;
[0073] A FIG. 15 é um diagrama de bloco esquemático de outro aparelho, de acordo com uma modalidade deste pedido;
[0074] A FIG. 16 é um diagrama estrutural esquemático de um nó SMF, de acordo com uma modalidade deste pedido;
[0075] A FIG. 17 é um diagrama de bloco esquemático de outro aparelho, de acordo com uma modalidade deste pedido; e
[0076] A FIG. 18 é um diagrama estrutural esquemático de um terminal, de acordo com uma modalidade deste pedido.
DESCRIÇÃO DAS MODALIDADES
[0077] O seguinte descreve ainda mais este pedido, em detalhes, com referência aos desenhos anexos. Um método de operação específico nas modalidades do método também pode ser aplicado a uma modalidade de aparelho ou uma modalidade de sistema. Nas descrições deste pedido, a menos que de outro modo especificado, “uma pluralidade de” significa dois ou mais do que dois.
[0078] Uma arquitetura de sistema e um cenário de serviço descritos neste pedido destinam-se a descrever mais claramente as soluções técnicas neste pedido, mas não pretendem limitar as soluções técnicas fornecidas neste pedido. Um técnico no assunto pode saber que, à medida que a arquitetura de sistema evolui e um novo cenário de serviço surge, as soluções técnicas fornecidas neste pedido também são aplicáveis a um problema técnico similar.
[0079] Deve ser observado que, nesta aplicação, um termo, tal como “exemplo” ou “por exemplo”, é usado para representar um exemplo, uma ilustração ou uma descrição. Qualquer modalidade ou solução do projeto descrita como um “exemplo” ou “por exemplo” nesta aplicação, não deve ser explicada como sendo mais preferida ou tendo mais vantagens do que outra modalidade ou solução do projeto. Exatamente, o uso do termo, tal como “exemplo” ou “por exemplo”, é destinado a apresentar um conceito relacionado de uma maneira específica.
[0080] As modalidades deste pedido podem ser aplicadas a um sistema de comunicações sem fio da próxima geração, por exemplo, um sistema de comunicações 5G. A FIG. 1 é um diagrama esquemático de uma possível arquitetura de rede, de acordo com esta aplicação. A arquitetura de rede inclui os seguintes componentes.
[0081] Um nó de Função de Gerenciamento de Mobilidade e Acesso (access and mobility management function, AMF) é um elemento de rede responsável pelo gerenciamento de mobilidade, e pode ser configurado para implementar uma função exceto o gerenciamento de sessão nas funções de entidade de gerenciamento de mobilidade (mobility management entity, MME), por exemplo, uma função, tal como uma função como intercepção legal ou autorização de acesso.
[0082] Um nó de Função de Gerenciamento de Sessão (session management function, SMF) é configurado para alocar um recurso de sessão para um plano de usuário.
[0083] Um nó de Função de Servidor de Autenticação (authentication server function, AUSF) é responsável por verificar e transferir um parâmetro a ser autenticado e autenticar a autenticidade de um terminal quando o nó AUSF realiza a autenticação no terminal. As principais funções incluem o recebimento de uma solicitação de autenticação enviada por um nó de Função de Ancoragem de Segurança (security anchor function, SEAF), e a seleção de um método de autenticação.
[0084] O nó SEAF é atualmente uma parte do nó AMF, e é principalmente responsável por iniciar uma solicitação de autenticação para o nó AUSF, e completar a autenticação no lado da rede no terminal em um processo de autenticação EPS-AKA*.
[0085] Um nó de Função de Plano de Usuário (user plane function, UPF) é uma saída dos dados de plano de usuário, e é configurado para conectar- se a uma rede externa.
[0086] Uma rede de dados (Data Network, DN) é uma rede que fornece dados externos, por exemplo, a Internet (Internet).
[0087] Um nó de rede de acesso por (Rádio) ((radio) access network, (R)AN) pode usar diferentes tecnologias de acesso. Atualmente, existem duas tecnologias de acesso por rádio: uma tecnologia de acesso ao Projeto de Parceria de 3a Geração (3rd generation partnership project, 3GPP) (por exemplo, uma tecnologia de acesso por rádio usada em um sistema 3G, um sistema 4G ou um sistema 5G) e uma tecnologia de acesso a nenhum Projeto de Parceria de 3a Geração (none 3rd geração partnership project, non-3GPP). A tecnologia de acesso 3GPP é uma tecnologia de acesso que está em conformidade com uma especificação padrão 3GPP, e uma rede de acesso que usa a tecnologia de acesso 3GPP é referida como uma rede de acesso por rádio (RAN). Um dispositivo de rede de acesso no sistema 5G é referido como um nó de estação de base da próxima geração (next generation node basestation, gNB). A tecnologia de acesso não-3GPP é uma tecnologia de acesso que não está em conformidade com a especificação padrão 3GPP, por exemplo, uma tecnologia de rádio representada por um ponto de acesso (access point, AP) Wi-Fi.
[0088] O terminal nesta aplicação é um dispositivo tendo uma função de recebimento e envio sem fio, e pode ser implementado em terra, por exemplo, um dispositivo interno ou externo, um dispositivo no veículo ou portátil; ou pode ser implementado em uma superfície de água (por exemplo, em um navio); ou pode ser implementado no ar (por exemplo, em um avião, um balão ou um satélite). O terminal pode incluir vários tipos, tais como equipamento de usuário (user equipment, UE), um telefone móvel (mobile phone), um computador tablet (pad), um computador tendo uma função de recebimento e envio sem fio, um cartão de dados sem fio, um dispositivo terminal de realidade virtual (virtual reality, VR), um dispositivo terminal de realidade aumentada (augmented reality, AR), um dispositivo terminal de comunicação do tipo máquina (machine type communication, MTC), um dispositivo terminal de controle industrial (industrial control), um dispositivo terminal autônomo (self-driving), um dispositivo terminal médico remoto (remote medical), um dispositivo terminal de rede inteligente (smart grid), um dispositivo terminal de segurança de transporte (portation safety), um dispositivo terminal de cidade inteligente (smart city), e um dispositivo vestível (por exemplo, um relógio inteligente, uma banda inteligente e um pedômetro). Os terminais tendo funções de comunicação sem fio similares podem ter diferentes nomes em sistemas em que diferentes tecnologias de acesso por rádio são usadas. Para a facilidade da descrição, nas modalidades deste pedido, os aparelhos anteriores tendo uma função de comunicação de recebimento e envio sem fio são coletivamente referidos como terminais.
[0089] Especificamente, o terminal nesta aplicação armazena uma chave de longo prazo e uma função relacionada. Quando o terminal e um nó de rede principal (por exemplo, o nó AMF ou o nó AUSF) realizam a autenticação bidirecional, o terminal pode verificar a autenticidade da rede por meio do uso da chave de longo prazo e da função relacionada.
[0090] Um dispositivo de rede de acesso nas modalidades deste pedido é um aparelho que é implantado em uma rede de acesso por rádio e que é configurado para fornecer uma função de comunicação sem fio para o terminal. Por exemplo, o dispositivo de rede de acesso pode ser uma estação de base (base station, BS), e a estação de base pode incluir uma estação de base macro, uma estação de base micro, um nó de retransmissão, um ponto de acesso ou semelhantes em várias formas. Um dispositivo tendo uma função de estação de base pode ter diferentes nomes nos sistemas em que diferentes tecnologias de acesso por rádio são usadas. Por exemplo, o dispositivo é referido como um nó de estação de base da próxima geração no sistema 5G, é referido como um nó B evoluído (evolved NodeB, eNB ou eNodeB) em um sistema de Evolução a Longo Prazo (Long Term Evolution, LTE), e é referido como um nó B (NodeB) em um sistema de comunicações de 3a geração (3rd generation, 3G). Para facilidade da descrição, nas modalidades da presente revelação, os aparelhos anteriores que fornecem a função de comunicação sem fio para o terminal são coletivamente referidos como dispositivos de rede de acesso.
[0091] Um nó de Função de Exposição de Rede (network exposure function, NEF) é principalmente configurado para interagir com terceiros, de modo que terceiros possam interagir indiretamente com alguns elementos de rede em uma rede 3GPP.
[0092] Um nó de Função de Repositório de Função de Rede (network function repository function, NRF) é configurado para descobrir e manter uma função de rede (network function, NF) entre os elementos de rede.
[0093] Um nó de Função de Controle de Política (policy control function, PCF) armazena uma regra mais recente de qualidade de serviço (quality of service, QoS). A estação de base pode alocar um recurso apropriado para um canal de transmissão no plano de usuário, de acordo com uma regra de QoS fornecida pelo nó SMF.
[0094] Um nó de Gerenciamento de Dados Unificado (unified data management, UDM) é configurado para armazenar informações de assinatura do usuário.
[0095] Um nó de Função de Aplicação (application function, AF) pode estar localizado dentro da DN, e é um elemento de rede funcional implantado em terceiros. O elemento de rede é usado principalmente para informar o nó PCF de um requisito de serviço mais recente de uma empresa terceirizada em uma aplicação. O nó PCF pode gerar uma regra de QoS correspondente com base no requisito de serviço, para garantir que um serviço fornecido pela rede de dados atenda o requisito proposto por terceiros.
[0096] Em um procedimento existente, em um processo em que o terminal é mudado automaticamente de uma estação de base fonte para uma estação de base alvo, a estação de base alvo determina um algoritmo de encriptação de plano de sinalização, um algoritmo de proteção de integridade de plano de sinalização e um algoritmo de encriptação de plano de usuário. Em outras palavras, a estação de base alvo ativa simultaneamente a proteção de segurança de plano de usuário e a proteção de segurança de plano de sinalização. Para ser específico, em um procedimento em que o terminal é mudado automaticamente entre as estações de base de serviço, independentemente se a proteção de segurança de plano de sinalização precisar ser realizada, a estação de base alvo ativa a proteção de segurança de plano de sinalização, e determina o algoritmo de encriptação de plano de sinalização e o algoritmo de proteção de integridade de plano de sinalização, aumentando as sobrecargas da rede e aumentando um tempo para a estação de base alvo se preparar para a mudança automática do terminal. Consequentemente, a eficiência de mudança automática do terminal é relativamente baixa.
[0097] Para resolver o problema anterior, nas modalidades deste pedido, um processo de ativação da proteção de segurança de plano de usuário pode ser desacoplado a partir de um processo de ativação da proteção de segurança de plano de sinalização. Para ser específico, uma proteção de segurança de plano de usuário pode ser primeiramente ativada e, em seguida, a proteção de segurança de plano de sinalização é ativada quando a proteção de plano de sinalização precisar ser realizada. Portanto, as sobrecargas da rede para ativar a proteção de segurança de plano de sinalização são reduzidas em um processo de mudança automática do terminal, e a eficiência de mudança automática do terminal pode ser melhorada.
[0098] Primeiramente, os termos relacionados nas modalidades deste pedido são explicados.
[0099] Um primeiro dispositivo de rede de acesso pode ser um nó RAN, por exemplo, pode ser um nó de estação de base da próxima geração no sistema 5G. Quando as modalidades deste pedido são aplicadas ao procedimento em que o terminal é mudado automaticamente entre as estações de base de serviço, o primeiro dispositivo de rede de acesso pode ser um nó alvo da estação de base da próxima geração (target next generation node basestation, TgNB).
[0100] Um segundo dispositivo de rede de acesso pode ser um nó RAN, por exemplo, pode ser um nó de estação de base da próxima geração no sistema 5G. Quando as modalidades deste pedido são aplicadas ao procedimento em que o terminal é mudado automaticamente entre as estações de base de serviço, o segundo dispositivo de rede de acesso pode ser um nó fonte da estação de base da próxima geração (source next generation node basestation, SgNB).
[0101] A seguir, são descritas em detalhes as soluções técnicas fornecidas neste pedido.
[0102] Como mostrado na FIG. 2, uma modalidade deste pedido fornece um método de proteção de segurança, e o método inclui as etapas 201 a 203.
[0103] Etapa 201: Um segundo dispositivo de rede de acesso obtém uma correspondência entre informações de plano de usuário e uma política de segurança.
[0104] As informações de plano de usuário podem incluir qualquer um ou mais de um identificador de sessão da unidade de dados por pacote (packet data unit, PDU), um parâmetro da qualidade de serviço (quality of service, QoS) (por exemplo, um identificador de fluxo da qualidade de serviço (quality of service flow identifier, QFI)), um identificador do portador de rádio de dados (data radio bearer, DRB) e um parâmetro de fatia (por exemplo, um identificador de fatia).
[0105] A política de segurança é usada para indicar um tipo de proteção de segurança de plano de usuário para ativação ou é usada para indicar um identificador de algoritmo de proteção de plano de usuário que é recomendado para ser ativado. O tipo de proteção de segurança inclui uma dentre ou ambas a proteção de encriptação de plano de usuário e a proteção de integridade de plano de usuário. O identificador de algoritmo de proteção de plano de usuário pode ser um ou ambos dentre um identificador de algoritmo de encriptação de plano de usuário e um identificador de algoritmo de proteção de integridade de plano de usuário. Especificamente, a política de segurança pode portar um ou mais identificadores de algoritmo de proteção de plano de usuário, por exemplo, pode portar pelo menos um identificador de algoritmo de encriptação de plano de usuário, ou pelo menos um identificador de algoritmo de proteção de integridade de plano de usuário, ou pelo menos um identificador de algoritmo de encriptação de plano de usuário e pelo menos um identificador de algoritmo de proteção de integridade de plano de usuário.
[0106] Especificamente, uma forma de representação da correspondência entre informações de plano de usuário e uma política de segurança pode ser uma combinação de informações de plano de usuário e uma política de segurança que estão em uma correspondência. Tal combinação pode ser referida como uma correspondência entre informações de plano de usuário e uma política de segurança em uma combinação. Opcionalmente, as informações de plano de usuário podem ser correspondentes a uma pluralidade de políticas de segurança por meio do uso de uma correspondência. Por exemplo, as informações de plano de usuário na correspondência entre informações de plano de usuário e uma política de segurança em uma combinação inclui um identificador de sessão PDU, e a política de segurança inclui uma política de segurança 1 e uma política de segurança 2. Pode ser entendido que, um identificador de sessão PDU é correspondente a duas políticas de segurança. Para outro exemplo, as informações de plano de usuário na correspondência entre informações de plano de usuário e uma política de segurança em uma combinação inclui um identificador DRB, e a política de segurança inclui uma política de segurança 1 e uma política de segurança 2. Alternativamente, uma parte de informações de plano de usuário é correspondente a uma política de segurança por meio do uso de uma correspondência. Por exemplo, a correspondência entre informações de plano de usuário e uma política de segurança em uma combinação é uma combinação de um identificador de sessão PDU e uma política de segurança. Para outro exemplo, a correspondência entre informações de plano de usuário e uma política de segurança em uma combinação é uma combinação de um identificador DRB e uma política de segurança.
[0107] As correspondências entre as informações de plano de usuário e as políticas de segurança em uma pluralidade de combinações são uma pluralidade de correspondências. Por exemplo, uma das correspondências é uma combinação de um identificador de sessão PDU, um parâmetro QoS, uma política de segurança 1 e uma política de segurança 2, e outra correspondência é uma combinação de um parâmetro QoS e uma política de segurança 3.
[0108] Especificamente, o segundo dispositivo de rede de acesso determina, com base em informações de configuração de lado de rede, para obter a correspondência entre as informações de plano de usuário e uma política de segurança em uma combinação ou as correspondências entre as informações de plano de usuário e políticas de segurança em uma pluralidade de combinações. Por exemplo, a correspondência entre informações de plano de usuário e uma política de segurança é uma combinação de um identificador de sessão PDU e uma política de segurança. Se as informações de configuração de lado de rede forem que apenas um identificador de sessão PDU de uma sessão que precisa ser mudada automaticamente é transmitido, o segundo dispositivo de rede de acesso obtém apenas uma combinação de um identificador de sessão PDU e uma política de segurança quando apenas uma sessão precisar ser mudada automaticamente; ou quando uma pluralidade de sessões precisar ser mudada automaticamente, o segundo dispositivo de rede de acesso precisa obter cada combinação de um identificador de sessão PDU e uma política de segurança para cada sessão PDU que precisar ser mudada automaticamente; ou o segundo dispositivo de rede de acesso obtém, com base nas informações de configuração de lado de rede, todas as combinações que são de identificadores de sessão PDU e políticas de segurança e que são armazenadas pelo segundo dispositivo de rede de acesso.
[0109] Opcionalmente, o segundo dispositivo de rede de acesso pode obter apenas uma política de segurança, e a política de segurança é aplicável a todas as informações de plano de usuário.
[0110] Opcionalmente, duas partes de informações de bit podem ser usadas para representar o tipo de proteção de segurança para ativação indicado pela política de segurança. Por exemplo, a política de segurança é “XY”. X = 0 indica não ativação da proteção de encriptação de plano de usuário, X = 1 indica ativação da proteção de encriptação de plano de usuário, Y = 0 indica não ativação da proteção de integridade de plano de usuário, e Y = 1 indica ativação da proteção de integridade de plano de usuário.
[0111] Por exemplo, {ID de sessão PDU = 1, 11} indica que o identificador de sessão PDU é 1, e uma política de segurança correspondente ao identificador de sessão PDU está ativando a proteção de encriptação de plano de usuário, e ativando a proteção de integridade de plano de usuário. Alternativamente, {QFI = 1, 11} indica que para um fluxo QoS cujo identificador de fluxo QoS é 1, uma política de segurança correspondente ao fluxo QoS está ativando a proteção de encriptação de plano de usuário, e ativando a proteção de integridade de plano de usuário. Alternativamente, {DRB ID = 1, 11} indica que o identificador DRB é 1, e uma política de segurança correspondente a um DRB cujo identificador DRB é 1 está ativando a proteção de encriptação de plano de usuário, e ativando a proteção de integridade de plano de usuário.
[0112] Para outro exemplo, {ID de sessão PDU = 1, 10, DRB ID = 1} indica que um DRB cujo identificador DRB é 1 está sendo usado para uma sessão cujo identificador de sessão PDU é 1, e uma política de segurança correspondente está ativando a proteção de encriptação de plano de usuário mas não está ativando a proteção de integridade de plano de usuário. Alternativamente, {QFI = 1, 10, DRB ID = 1} indica que um DRB cujo identificador DRB é 1 está sendo usado para um fluxo QoS cujo identificador de fluxo QoS é 1, e uma política de segurança correspondente está ativando a proteção de encriptação de plano de usuário mas não está ativando a proteção de integridade de plano de usuário.
[0113] Para outro exemplo, {ID de sessão PDU = 2, QFI = 1, 01, DRB ID = 2} indica que um DRB cujo identificador DRB é 2 está sendo usado para um fluxo QoS cujo QFI é 1 em uma sessão cujo identificador de sessão PDU é 2, e uma política de segurança correspondente não está ativando a proteção de encriptação de plano de usuário, mas ativando a proteção de integridade de plano de usuário.
[0114] Para outro exemplo, {DRB ID = 1, DRB ID = 2, 01} indica que uma política de segurança correspondente a um DRB cujo identificador DRB é 1 e uma política de segurança correspondente a um DRB cujo identificador DRB é 2 não estão ativando a proteção de encriptação de plano de usuário, mas ativando a proteção de integridade de plano de usuário.
[0115] Opcionalmente, o segundo dispositivo de rede de acesso pode determinar as correspondências entre informações de plano de usuário e políticas de segurança em uma pluralidade de combinações. O segundo dispositivo de rede de acesso precisa obter cada correspondência entre um identificador de sessão PDU de uma sessão PDU que precisa ser mudada automaticamente e uma política de segurança em um procedimento em que um terminal é mudado automaticamente entre as estações de base de serviço. Por exemplo, as correspondências entre informações de plano de usuário e políticas de segurança em uma pluralidade de combinações podem ser {{ID de sessão PDU = 1, 10, DRB ID = 1}, {ID de sessão PDU = 2, QFI = 1, 01, DRB ID = 2}}.
[0116] Opcionalmente, um identificador de algoritmo de proteção de plano de usuário ativado indicado pela política de segurança pode ser representado por meio do uso de um identificador de algoritmo recomendado. Por exemplo, a correspondência entre informações de plano de usuário e uma política de segurança pode ser {ID de sessão PDU = 1, NIA = 1, NEA = 2}, e isto indica que, para uma sessão cujo identificador de sessão PDU é 1, um algoritmo de proteção de integridade de plano de usuário 1 é usado para realizar a proteção de integridade de plano de usuário, e um algoritmo de encriptação de plano de usuário 2 é usado para realizar a proteção de encriptação de plano de usuário. Opcionalmente, a proteção de integridade de plano de usuário não é ativada se um NIA = 0, e a proteção de encriptação de plano de usuário não é ativada se um NEA = 0. Em outro exemplo, {ID de sessão PDU = 1, NIA = 1, NIA
= 2, NEA = 2, NEA = 1} indica que, para uma sessão cujo identificador de sessão PDU é 1, um algoritmo de proteção de integridade de plano de usuário 1 é recomendado preferencialmente para ser usado para realizar a proteção de integridade de plano de usuário, um algoritmo de proteção de integridade de plano de usuário 2 é recomendado em segundo lugar para ser usado para realizar a proteção de integridade de plano de usuário, um algoritmo de encriptação de plano de usuário 2 é recomendado preferencialmente para ser usado para realizar a proteção de encriptação de plano de usuário, e um algoritmo de encriptação de plano de usuário 1 é recomendado em segundo lugar para ser usado para realizar a proteção de encriptação de plano de usuário. Para outro exemplo, a correspondência entre informações de plano de usuário e uma política de segurança pode ser {DRB ID = 1, NIA = 1, NEA = 2}, e isto indica que, para uma sessão cujo identificador DRB é 1, um algoritmo de proteção de integridade de plano de usuário 1 é usado para realizar a proteção de integridade de plano de usuário, e um algoritmo de encriptação de plano de usuário 2 é usado para realizar a proteção de encriptação de plano de usuário.
[0117] Opcionalmente, a correspondência entre informações de plano de usuário e uma política de segurança pode ser {ID de sessão PDU = 1, “1111”, NEA = 2}, e isto indica que, para uma sessão cujo identificador de sessão PDU é 1, a proteção de integridade de plano de usuário não é ativada, e um algoritmo de encriptação de plano de usuário 2 é usado para realizar a proteção de encriptação nos dados de plano de usuário.
[0118] Para outro exemplo, a correspondência entre as informações de plano de usuário e uma política de segurança pode ser {ID de sessão PDU = 1, NIA = 1, “1111”}, e isto indica que, para uma sessão cujo identificador de sessão PDU é 1, um algoritmo de proteção de integridade de plano de usuário 1 é usado para realizar a proteção de integridade de plano de usuário, e a proteção de encriptação de plano de usuário não é ativada.
[0119] “1111” são informações de indicação, e são usados para indicar que a proteção específica não é ativada. Na correspondência entre informações de plano de usuário e uma política de segurança, se “1111” estiver em uma localização que precise portar um identificador de algoritmo de encriptação de plano de usuário identificador, a proteção de encriptação de plano de usuário não é ativada; ou se “1111” estiver em uma localização que precise portar um identificador de algoritmo de proteção de integridade de plano de usuário, a proteção de integridade de plano de usuário não é ativada. Deve ser observado que “1111” é usado como um exemplo na presente revelação, e outras informações de indicação de uma função similar se enquadram no escopo de proteção da presente revelação.
[0120] Etapa 202: O segundo dispositivo de rede de acesso envia a correspondência entre as informações de plano de usuário e uma política de segurança para um primeiro dispositivo de rede de acesso. Correspondentemente, o primeiro dispositivo de rede de acesso recebe a correspondência entre as informações de plano de usuário e uma política de segurança do segundo dispositivo de rede de acesso.
[0121] O segundo dispositivo de rede de acesso pode enviar a correspondência que é entre informações de plano de usuário e uma política de segurança e que é obtida na etapa 201 para o primeiro dispositivo de rede de acesso.
[0122] Opcionalmente, o segundo dispositivo de rede de acesso pode enviar a correspondência entre informações de plano de usuário e uma política de segurança em uma combinação e as correspondências entre informações de plano de usuário e políticas de segurança em uma pluralidade de combinações para o primeiro dispositivo de rede de acesso. Especificamente, uma quantidade de correspondências que são entre informações de plano de usuário e políticas de segurança e que é enviada pelo segundo dispositivo de rede de acesso é a mesma que uma quantidade de correspondências que são entre informações de plano de usuário e políticas de segurança e que é obtida pelo segundo dispositivo de rede de acesso na etapa 201.
[0123] Em uma maneira possível, o segundo dispositivo de rede de acesso pode enviar apenas a política de segurança para o primeiro dispositivo de rede de acesso, e a política de segurança é aplicável a todas as informações de plano de usuário relacionadas ao terminal.
[0124] Etapa 203: O primeiro dispositivo de rede de acesso determina, com base na correspondência entre as informações de plano de usuário e uma política de segurança, um primeiro algoritmo de proteção de plano de usuário correspondente às informações de plano de usuário.
[0125] O primeiro algoritmo de proteção de plano de usuário inclui um dentre ou ambos um algoritmo de encriptação de plano de usuário e um algoritmo de proteção de integridade de plano de usuário.
[0126] Opcionalmente, se a política de segurança na correspondência que é entre as informações de plano de usuário e uma política de segurança e que é recebida pelo primeiro dispositivo de rede de acesso for usada para indicar o tipo de proteção de segurança ativado, o primeiro dispositivo de rede de acesso determina um primeiro algoritmo de proteção de plano de usuário correspondente a cada tipo de proteção de segurança para ativação indicado pela política de segurança.
[0127] Especificamente, cada tipo de proteção de segurança é correspondente a um conjunto de algoritmos. Em uma implementação, o primeiro dispositivo de rede de acesso armazena um conjunto de algoritmos de encriptação de plano de usuário e um conjunto de algoritmos de proteção de integridade de plano de usuário. O primeiro dispositivo de rede de acesso não distingue entre o algoritmo de encriptação de plano de usuário e um algoritmo de encriptação de plano de sinalização não distingue entre o algoritmo de proteção de integridade de plano de usuário e um algoritmo de proteção de integridade de plano de sinalização. Em outras palavras, o conjunto de algoritmos de encriptação de plano de usuário também pode ser usado como um conjunto de algoritmos de encriptação de plano de sinalização, e o conjunto de algoritmos de proteção de integridade de plano de usuário também pode ser usado como um conjunto de algoritmos de proteção de integridade de plano de sinalização. Em outra implementação, o primeiro dispositivo de rede de acesso distingue entre o algoritmo de encriptação de plano de usuário e um algoritmo de encriptação de plano de sinalização, e distingue entre o algoritmo de proteção de integridade de plano de usuário e um algoritmo de proteção de integridade de plano de sinalização. O primeiro dispositivo de rede de acesso armazena um conjunto de algoritmos de encriptação de plano de usuário, um conjunto de algoritmos de proteção de integridade de plano de usuário, um conjunto de algoritmos de encriptação de plano de sinalização e um conjunto de algoritmos de proteção de integridade de plano de sinalização.
[0128] Deve ser observado que cada conjunto de algoritmos descrito acima pode existir em uma forma de uma lista de prioridades. O conjunto de algoritmos de encriptação de plano de usuário é usado como um exemplo. O conjunto de algoritmos de encriptação de plano de usuário pode ser uma lista de prioridades, e os algoritmos de encriptação de plano de usuário na lista de prioridades são organizados em ordem decrescente de prioridades.
[0129] Se o tipo de proteção de segurança para ativação indicado pela política de segurança for a proteção de encriptação de plano de usuário, o primeiro dispositivo de rede de acesso seleciona um algoritmo de encriptação a partir do conjunto de algoritmos de encriptação de plano de usuário, e opcionalmente, pode selecionar, a partir do conjunto de algoritmos de encriptação de plano de usuário, um algoritmo de encriptação de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta. Por exemplo, o terminal suporta um algoritmo de encriptação de plano de usuário 1 e um algoritmo de encriptação de plano de usuário 3, e uma prioridade do algoritmo de encriptação de plano de usuário 1 é maior do que uma prioridade do algoritmo de encriptação de plano de usuário 3 no conjunto de algoritmos de encriptação de plano de usuário. Portanto, o primeiro dispositivo de rede de acesso seleciona o algoritmo de encriptação de plano de usuário 1.
[0130] Se o tipo de proteção de segurança para ativação indicado pela política de segurança for a proteção de integridade de plano de usuário, o primeiro dispositivo de rede de acesso seleciona um algoritmo de proteção de integridade de plano de usuário a partir do conjunto de algoritmos de proteção de integridade de plano de usuário e, opcionalmente, pode selecionar, a partir do conjunto de algoritmos de proteção de integridade de plano de usuário, um algoritmo de proteção de integridade de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta. Por exemplo, o terminal suporta um algoritmo de proteção de integridade de plano de usuário 1 e um algoritmo de proteção de integridade de plano de usuário 3, e uma prioridade do algoritmo de proteção de integridade de plano de usuário 1 é maior do que uma prioridade do algoritmo de proteção de integridade de plano de usuário 3 no conjunto de algoritmos de proteção de integridade de plano de usuário. Portanto, o primeiro dispositivo de rede de acesso seleciona o algoritmo de proteção de integridade de plano de usuário 1.
[0131] Se os tipos de proteção de segurança ativados indicados pela política de segurança forem a proteção de encriptação de plano de usuário e a proteção de integridade de plano de usuário, o primeiro dispositivo de rede de acesso seleciona um algoritmo de encriptação de plano de usuário a partir do conjunto de algoritmos de encriptação de plano de usuário, e seleciona um algoritmo de proteção de integridade de plano de usuário a partir do conjunto de algoritmos de proteção de integridade de plano de usuário.
[0132] Por exemplo, se a correspondência que é entre as informações de plano de usuário e uma política de segurança e que é recebida pelo primeiro dispositivo de rede de acesso for {ID de sessão PDU = 1, 11}, o primeiro dispositivo de rede de acesso determina que a proteção de encriptação de plano de usuário e a proteção de integridade de plano de usuário precisam ser ativadas para uma sessão cujo identificador de sessão PDU é 1, e o primeiro dispositivo de rede de acesso além disso seleciona, a partir do conjunto de algoritmos de encriptação de plano de usuário, um algoritmo de encriptação de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta, e seleciona, a partir do conjunto de algoritmos de proteção de integridade de plano de usuário, um algoritmo de proteção de integridade de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta.
[0133] Opcionalmente, se a política de segurança na correspondência que é entre as informações de plano de usuário e uma política de segurança e que é recebida pelo primeiro dispositivo de rede de acesso inclui o identificador de algoritmo de proteção de plano de usuário recomendado, a etapa 203 pode ser especificamente implementada como a seguir:
[0134] O primeiro dispositivo de rede de acesso determina um segundo algoritmo de proteção de plano de usuário correspondente ao identificador de algoritmo de proteção de plano de usuário; e se ambos o primeiro dispositivo de rede de acesso e um terminal suportarem o segundo algoritmo de proteção de plano de usuário, o primeiro dispositivo de rede de acesso determina que o segundo algoritmo de proteção de plano de usuário é o primeiro algoritmo de proteção de plano de usuário; ou se o primeiro dispositivo de rede de acesso ou um terminal não suportar o segundo algoritmo de proteção de plano de usuário, o primeiro dispositivo de rede de acesso seleciona, a partir de um conjunto de algoritmos de segurança correspondente a um tipo de proteção de segurança ao qual o segundo algoritmo de proteção de plano de usuário pertence, o primeiro algoritmo de proteção de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta.
[0135] Se existir mais do que um identificador de algoritmo de proteção de plano de usuário recomendado, as etapas anteriores são repetidas, para determinar separadamente um primeiro algoritmo de proteção de plano de usuário com base em cada identificador de algoritmo de proteção de plano de usuário recomendado.
[0136] Pode ser entendido que a política de segurança inclui o identificador de algoritmo de proteção de plano de usuário e, portanto, indica implicitamente o tipo de proteção de segurança ativado.
[0137] Por exemplo, a correspondência que é entre as informações de plano de usuário e uma política de segurança e que é recebida pelo primeiro dispositivo de rede de acesso é {ID de sessão PDU = 1, NIA = 1, NEA = 2}. Portanto, o primeiro dispositivo de rede de acesso determina que a proteção de integridade de plano de usuário e a proteção de encriptação de plano de usuário precisam ser ativadas para uma sessão cujo identificador de sessão PDU é 1.
[0138] Em seguida, o primeiro dispositivo de rede de acesso determina se o algoritmo de proteção de integridade de plano de usuário 1 atende às condições:
[0139] Condição 1: O algoritmo de proteção de integridade de plano de usuário 1 é um algoritmo de proteção de integridade de plano de usuário suportado por ambos o primeiro dispositivo de rede de acesso e o terminal.
[0140] Condição 2: O algoritmo de proteção de integridade de plano de usuário 1 é um algoritmo de proteção de integridade de plano de usuário suportado por ambos o primeiro dispositivo de rede de acesso e o terminal, e o algoritmo de proteção de integridade de plano de usuário 1 é o algoritmo de proteção de integridade de plano de usuário que é suportado pelo terminal e que tem a prioridade mais alta no conjunto de algoritmos de proteção de integridade de plano de usuário do primeiro dispositivo de rede de acesso. Por exemplo, se o terminal suportar o algoritmo de proteção de integridade de plano de usuário 1 e um algoritmo de proteção de integridade de plano de usuário 3, ambos os algoritmos estarão no conjunto de algoritmos de proteção de integridade de plano de usuário, e uma prioridade do algoritmo de proteção de integridade de plano de usuário 1 é maior do que uma prioridade do algoritmo de proteção de integridade de plano de usuário 3 no conjunto de algoritmos de proteção de integridade de plano de usuário, é considerado que o algoritmo de proteção de integridade de plano de usuário 1 atende à Condição 2.
[0141] O algoritmo de proteção de integridade de plano de usuário 1 é usado se o algoritmo de proteção de integridade de plano de usuário 1 atender à Condição 1 ou à Condição 2. Se o algoritmo de proteção de integridade de plano de usuário 1 não atender à Condição 1 ou não atender à Condição 2, o primeiro dispositivo de rede de acesso seleciona, a partir do conjunto de algoritmos de proteção de integridade de plano de usuário, o algoritmo de proteção de integridade de plano de usuário que é suportado pelo terminal e que tem a prioridade mais alta.
[0142] O primeiro dispositivo de rede de acesso pode determinar, além disso, se o algoritmo de encriptação de plano de usuário 2 atende as seguintes condições:
[0143] Condição 3: O algoritmo de encriptação de plano de usuário 2 é um algoritmo de encriptação de plano de usuário suportado por ambos o primeiro dispositivo de rede de acesso e o terminal.
[0144] Condição 4: O algoritmo de encriptação de plano de usuário 2 é um algoritmo de encriptação de plano de usuário suportado por ambos o primeiro dispositivo de rede de acesso e o terminal, e o algoritmo de encriptação de plano de usuário 2 é o algoritmo de encriptação de plano de usuário que é suportado pelo terminal e que tem a prioridade mais alta no conjunto de algoritmos de encriptação de plano de usuário do primeiro dispositivo de rede de acesso. Por exemplo, se o terminal suportar o algoritmo de encriptação de plano de usuário 2 e um algoritmo de encriptação de plano de usuário 3, ambos os algoritmos estarão no conjunto de algoritmos de encriptação de plano de usuário, e uma prioridade do algoritmo de encriptação de plano de usuário 2 é maior do que uma prioridade do algoritmo de encriptação de plano de usuário 3 no conjunto de algoritmos de encriptação de plano de usuário, é considerado que o algoritmo de encriptação de plano de usuário 2 atende à Condição 2.
[0145] O algoritmo de encriptação de plano de usuário 2 é usado se o algoritmo de encriptação de plano de usuário 2 atender à Condição 3 ou à Condição 4. Se o algoritmo de encriptação de plano de usuário 2 não atender à Condição 3 ou não atender à Condição 4, o primeiro dispositivo de rede de acesso seleciona, a partir do conjunto de algoritmos de encriptação de plano de usuário, o algoritmo de encriptação de plano de usuário que é suportado pelo terminal e que tem a prioridade mais alta.
[0146] Para outro exemplo, se a correspondência que é entre as informações de plano de usuário e uma política de segurança e que é recebida pelo primeiro dispositivo de rede de acesso for {ID de sessão PDU = 1, “1111”, NEA = 2}, o primeiro dispositivo de rede de acesso determina que a proteção de encriptação de plano de usuário precisa ser ativada para uma sessão cujo identificador de sessão PDU é 1, e a proteção de integridade de plano de usuário não precisa ser ativada. Portanto, o primeiro dispositivo de rede de acesso precisa determinar apenas o algoritmo de encriptação de plano de usuário no método anterior, e não precisa determinar o algoritmo de proteção de integridade de plano de usuário.
[0147] Opcionalmente, em uma implementação possível desta modalidade deste pedido, o primeiro dispositivo de rede de acesso pode ignorar o conteúdo específico da política de segurança recebida, e o primeiro dispositivo de rede de acesso pode determinar o tipo de proteção de segurança para ativação, de acordo com uma política de segurança pré-configurada.
[0148] Por exemplo, se a política de segurança recebida pelo primeiro dispositivo de rede de acesso indicar a não ativação da proteção de encriptação de plano de usuário nem da proteção de integridade de plano de usuário, e a política de segurança pré-configurada indicar a ativação da proteção de encriptação de plano de usuário mas a não ativação da proteção de integridade de plano de usuário, o primeiro dispositivo de rede de acesso ativa a proteção de encriptação de plano de usuário, de acordo com a política de segurança pré- configurada, e seleciona, a partir do conjunto de algoritmos de encriptação de plano de usuário, um algoritmo de encriptação de plano de usuário que é suportada por ambos o primeiro dispositivo de rede de acesso e o terminal e que tem uma prioridade mais alta.
[0149] Deve ser observado que se o primeiro dispositivo de rede de acesso receber as correspondências entre informações de plano de usuário e políticas de segurança em uma pluralidade de combinações, o primeiro dispositivo de rede de acesso precisa determinar separadamente um primeiro algoritmo de proteção de plano de usuário correspondente às informações de plano de usuário em cada combinação.
[0150] De acordo com o método de proteção de segurança fornecido nesta modalidade deste pedido, o primeiro dispositivo de rede de acesso pode determinar apenas um algoritmo de proteção de plano de usuário, e não precisa ativar a proteção de plano de sinalização, reduzindo, desse modo, as sobrecargas da rede, e melhorando a eficiência de mudança automática do terminal.
[0151] Em uma implementação possível desta modalidade deste pedido, que o primeiro dispositivo de rede de acesso determina, com base na correspondência entre as informações de plano de usuário e uma política de segurança, um primeiro algoritmo de proteção de plano de usuário correspondente às informações de plano de usuário na etapa 203 significa que o primeiro dispositivo de rede de acesso determina apenas o algoritmo de proteção de plano de usuário e não determina um algoritmo de proteção de plano de sinalização na etapa 203.
[0152] Em outra implementação possível desta modalidade deste pedido, na etapa 203, o primeiro dispositivo de rede de acesso pode determinar, com base na correspondência entre informações de plano de usuário e uma política de segurança, o primeiro algoritmo de proteção de plano de usuário correspondente às informações de plano de usuário, e determinar o primeiro algoritmo de proteção de plano de usuário como um algoritmo de proteção de plano de sinalização. Em outras palavras, na etapa 203, o primeiro dispositivo de rede de acesso determina um par de algoritmos de proteção de segurança, e o par de algoritmos de proteção de segurança são usados ambos como os algoritmos de proteção de plano de usuário e os algoritmos de proteção de plano de sinalização. Opcionalmente, se o primeiro algoritmo de proteção de plano de usuário for um do algoritmo de encriptação de plano de usuário e o algoritmo de proteção de integridade de plano de usuário, o primeiro algoritmo de proteção de plano de usuário determinado é usado como um algoritmo de proteção de plano de sinalização, e outro algoritmo de proteção de plano de sinalização é, além disso, determinado. Por exemplo, se o primeiro algoritmo de proteção de plano de usuário for um algoritmo de encriptação de plano de usuário, o algoritmo de encriptação de plano de usuário é usado como um algoritmo de encriptação de plano de sinalização, e o algoritmo de proteção de integridade de plano de sinalização precisa, além disso, ser determinado. Um método de determinação é que o primeiro dispositivo de rede de acesso determina o algoritmo de proteção de integridade de plano de sinalização com base em uma capacidade de segurança do terminal (isto é, um algoritmo de proteção de integridade de plano de sinalização suportado pelo terminal) e um conjunto de algoritmos de proteção de integridade de plano de sinalização pré-configurado pelo segundo dispositivo de rede de acesso (uma lista de algoritmos de proteção de integridade de plano de sinalização organizada com base em prioridades).
[0153] Em uma implementação possível, o primeiro dispositivo de rede de acesso pode determinar o algoritmo de proteção de plano de sinalização antes de determinar o primeiro algoritmo de proteção de plano de usuário. Em outras palavras, o primeiro dispositivo de rede de acesso pode determinar primeiro o algoritmo de proteção de plano de sinalização e, em seguida, determinar se o algoritmo de proteção de plano de sinalização pode ser usado como o primeiro algoritmo de proteção de plano de usuário.
[0154] Em outra implementação possível das modalidades deste pedido, um primeiro dispositivo de rede de acesso pode determinar um algoritmo de proteção de plano de sinalização antes de enviar uma mensagem do plano de sinalização. Como mostrado na FIG. 3A e na FIG. 3B, que um algoritmo de proteção de plano de sinalização é determinado depois que um primeiro algoritmo de proteção de plano de usuário é determinado é usado como um exemplo para a descrição na FIG. 3A e na FIG. 3B. O método inclui a etapa 301 a 309.
[0155] Para as etapas 301 a 303, consultar às descrições relacionadas nas etapas 201 a 203. Certamente, esta aplicação não é limitada a elas.
[0156] Opcionalmente, depois de determinar o primeiro algoritmo de proteção de plano de usuário, o primeiro dispositivo de rede de acesso precisa, além disso, gerar uma chave de proteção de plano de usuário, para realizar a proteção de segurança nos dados de plano de usuário, isto é, precisa realizar a etapa 304.
[0157] Etapa 304: O primeiro dispositivo de rede de acesso gera uma chave de proteção de plano de usuário, de acordo com o primeiro algoritmo de proteção de plano de usuário.
[0158] A chave de proteção de plano de usuário inclui uma dentre ou ambas uma chave de encriptação de plano de usuário e uma chave de proteção de integridade de plano de usuário.
[0159] A chave de proteção de plano de usuário inclui apenas a chave de encriptação de plano de usuário se o primeiro dispositivo de rede de acesso determinar apenas um algoritmo de encriptação de plano de usuário na etapa 303; ou a chave de proteção de plano de usuário inclui apenas a chave de proteção de integridade de plano de usuário se o primeiro dispositivo de rede de acesso determinar apenas um algoritmo de proteção de integridade de plano de usuário; ou a chave de proteção de plano de usuário inclui ambas a chave de encriptação de plano de usuário e a chave de proteção de integridade de plano de usuário se o primeiro dispositivo de rede de acesso determinar ambos um algoritmo de encriptação de plano de usuário e um algoritmo de proteção de integridade de plano de usuário.
[0160] Deve ser observado que a etapa 304 não é necessariamente realizada antes da etapa 305 nesta modalidade deste pedido. Depois que o primeiro dispositivo de rede de acesso determina o primeiro algoritmo de proteção de plano de usuário na etapa 303, a etapa 304 pode ser realizada quando os dados de plano de usuário precisam ser enviados, para gerar a chave de proteção de plano de usuário, e realizar a proteção de segurança nos dados de plano de usuário.
[0161] Etapa 305: O primeiro dispositivo de rede de acesso determina um algoritmo de proteção de plano de sinalização.
[0162] O algoritmo de proteção de plano de sinalização inclui um dentre ou ambos um algoritmo de encriptação de plano de sinalização e um algoritmo de proteção de integridade de plano de sinalização.
[0163] Opcionalmente, existem várias ocasiões de acionamento da etapa 305:
[0164] Ocasião 1: A etapa 305 é acionada quando o primeiro dispositivo de rede de acesso precisa enviar uma mensagem do plano de sinalização. Por exemplo, a etapa 305 é acionada quando o primeiro dispositivo de rede de acesso precisa enviar uma mensagem de configuração para um dispositivo terminal.
[0165] Ocasião 2: Se o método mostrado na FIG. 2 for aplicado a um processo em que um terminal é mudado automaticamente entre as estações de base de serviço, a etapa 305 pode ser acionada depois que o primeiro dispositivo de rede de acesso envia os dados de plano de usuário.
[0166] Ocasião 3: A etapa 305 é acionada antes que o primeiro dispositivo de rede de acesso retorne a um estado de suspensão (suspend).
[0167] O estado de suspensão significa que neste estado, um terminal e uma estação de base retêm alguns contextos como, por exemplo, uma chave gerada e um algoritmo determinado.
[0168] Ocasião 4: A etapa 305 é acionada depois que o primeiro dispositivo de rede de acesso recebe os dados do plano de sinalização de enlace ascendente enviados por um terminal, por exemplo, a etapa 305 é acionada depois que o terminal inicia uma solicitação da sessão PDU.
[0169] Etapa 306: O primeiro dispositivo de rede de acesso gera uma chave de proteção de plano de sinalização, de acordo com o algoritmo de proteção de plano de sinalização.
[0170] A chave de proteção de plano de sinalização inclui uma dentre ou ambas uma chave de encriptação de plano de sinalização e uma chave de proteção de integridade de plano de sinalização.
[0171] Opcionalmente, a chave de proteção de plano de sinalização inclui apenas a chave de encriptação de plano de sinalização se o primeiro dispositivo de rede de acesso determinar apenas o algoritmo de encriptação de plano de sinalização na etapa 305; opcionalmente, a chave de proteção de plano de sinalização inclui apenas a chave de proteção de integridade de plano de sinalização se o primeiro dispositivo de rede de acesso determinar apenas o algoritmo de proteção de integridade de plano de sinalização; opcionalmente, a chave de proteção de plano de sinalização inclui ambas a chave de encriptação de plano de sinalização e a chave de proteção de integridade de plano de sinalização se o primeiro dispositivo de rede de acesso determinar ambos o algoritmo de encriptação de plano de sinalização e o algoritmo de proteção de integridade de plano de sinalização.
[0172] Etapa 307: O primeiro dispositivo de rede de acesso envia, para um terminal através do segundo dispositivo de rede de acesso, uma primeira mensagem protegida por meio do uso de uma chave de proteção de integridade de plano de usuário ou uma chave de proteção de integridade de plano de sinalização.
[0173] A primeira mensagem inclui o primeiro algoritmo de proteção de plano de usuário. Opcionalmente, a primeira mensagem além disso inclui o algoritmo de proteção de plano de sinalização.
[0174] Deve ser observado que a etapa 307 pode ser realizada antes de etapa 305 se a primeira mensagem for protegida por meio do uso da chave de proteção de integridade de plano de usuário. Uma sequência de execução da etapa 305, etapa 306 e etapa 307, não é limitada nesta aplicação.
[0175] Opcionalmente, o primeiro dispositivo de rede de acesso pode realizar a proteção de integridade na primeira mensagem por meio do uso da chave de proteção de integridade de plano de usuário; ou o primeiro dispositivo de rede de acesso pode realizar a proteção de integridade na primeira mensagem por meio do uso da chave de proteção de integridade de plano de sinalização; ou se o primeiro dispositivo de rede de acesso gerar ambas a chave de proteção de integridade de plano de usuário e a chave de proteção de integridade de plano de sinalização, o primeiro dispositivo de rede de acesso pode realizar, preferencialmente, a proteção de integridade na primeira mensagem por meio do uso da chave de proteção de integridade de plano de sinalização.
[0176] Opcionalmente, a proteção de integridade de plano de usuário não é realizada na primeira mensagem se o primeiro dispositivo de rede de acesso não gerar a chave de proteção de integridade de plano de sinalização e uma política de segurança recebida pelo primeiro dispositivo de rede de acesso indicar não ativação da proteção de integridade de plano de usuário. Opcionalmente, o primeiro dispositivo de rede de acesso pode gerar um número aleatório, encriptar o número aleatório por meio do uso da chave de encriptação de plano de usuário, adicionar um número aleatório encriptado à primeira mensagem, enviar a primeira mensagem para o terminal, e enviar um número aleatório não encriptado para o terminal. Opcionalmente, a chave de proteção de integridade de plano de sinalização é usada para realizar a proteção de integridade na primeira mensagem se a chave de proteção de integridade de plano de sinalização for gerada e uma política de segurança recebida pelo primeiro dispositivo de rede de acesso indicar não ativação da proteção de integridade de plano de usuário.
[0177] Alternativamente, se o primeiro dispositivo de rede de acesso gerar ambas a chave de proteção de integridade de plano de usuário e a chave de encriptação de plano de usuário, o primeiro dispositivo de rede de acesso pode realizar a proteção de integridade na primeira mensagem por meio do uso da chave de proteção de integridade de plano de usuário. Opcionalmente, o primeiro dispositivo de rede de acesso pode gerar, além disso, um número aleatório, adicionar um número aleatório encriptado por meio do uso da chave de encriptação de plano de usuário à primeira mensagem, enviar a primeira mensagem para o terminal, e enviar um número aleatório não encriptado para o terminal.
[0178] Opcionalmente, a primeira mensagem pode portar as primeiras informações de indicação. As primeiras informações de indicação são usadas para indicar que o primeiro algoritmo de proteção de plano de usuário é o mesmo que o algoritmo de proteção de plano de sinalização, e é especificamente usada para indicar que o algoritmo de proteção de plano de sinalização é reutilizado como o primeiro algoritmo de proteção de plano de usuário. Além disso, depois de receber a correspondência entre as informações de plano de usuário e uma política de segurança, o primeiro dispositivo de rede de acesso determina primeiramente o algoritmo de encriptação de plano de sinalização e o algoritmo de proteção de integridade de plano de sinalização e, em seguida, determina, de acordo com a política de segurança, um algoritmo de proteção de plano de sinalização que é reutilizado como o algoritmo de proteção de plano de usuário. Alternativamente, as primeiras informações de indicação são usadas para indicar um identificador de algoritmo de proteção de plano de sinalização determinado pelo primeiro dispositivo de rede de acesso.
[0179] Opcionalmente, as primeiras informações de indicação podem não ser portadas na primeira mensagem. O primeiro dispositivo de rede de acesso pode enviar uma mensagem dedicada para o terminal através do segundo dispositivo de rede de acesso, e a mensagem dedicada porta as primeiras informações de indicação.
[0180] Pode ser entendido que o primeiro dispositivo de rede de acesso precisa enviar as primeiras informações de indicação para o terminal, independentemente de um usado método de determinação da chave de proteção de plano de sinalização descrito na modalidade anterior, para informar o terminal do algoritmo de proteção de plano de sinalização usado pelo primeiro dispositivo de rede de acesso, de modo que o terminal possa desencriptar uma mensagem protegida por um plano de sinalização.
[0181] Etapa 308: O terminal recebe a primeira mensagem.
[0182] O terminal pode ler o primeiro algoritmo de proteção de plano de usuário na primeira mensagem depois de receber a primeira mensagem. Se o primeiro algoritmo de proteção de plano de usuário incluir um algoritmo de proteção de integridade de plano de usuário, o terminal gera a chave de proteção de integridade de plano de usuário, de acordo com o algoritmo de proteção de integridade de plano de usuário, e realiza a verificação de integridade de plano de usuário na primeira mensagem por meio do uso da chave de proteção de integridade de plano de usuário. Se a verificação falhar, um procedimento de mudança automática não é mais realizado, ou a etapa 309 é realizada.
[0183] Se o primeiro algoritmo de proteção de plano de usuário não incluir um algoritmo de proteção de integridade de plano de usuário, mas incluir um algoritmo de encriptação de plano de usuário, o terminal pode gerar a chave de encriptação de plano de usuário, de acordo com o algoritmo de encriptação de plano de usuário. Opcionalmente, o número aleatório na primeira mensagem é desencriptado por meio do uso da chave de encriptação de plano de usuário, e um número aleatório desencriptado é comparado com o número aleatório não encriptado recebido. Se um resultado de comparação for que os dois números aleatórios são diferentes, um procedimento de mudança automática não é realizado ou a etapa 309 é realizada.
[0184] Se a primeira mensagem porta o algoritmo de proteção de plano de sinalização, e a chave de proteção de integridade de plano de sinalização é usada para realizar a proteção de integridade, o terminal gera a chave de proteção de integridade de plano de sinalização, de acordo com o algoritmo de proteção de integridade de plano de sinalização, e realiza verificação de integridade de plano de sinalização na primeira mensagem por meio do uso da chave de proteção de integridade de plano de sinalização. Se a verificação falhar, uma mensagem é opcionalmente retornada para o segundo dispositivo de rede de acesso, para indicar que a verificação de integridade de plano de sinalização falha ou que um procedimento de mudança automática não é mais realizado.
[0185] Etapa 309: O terminal envia, para o primeiro dispositivo de rede de acesso, uma segunda mensagem protegida por meio do uso da chave de proteção de plano de usuário ou da chave de proteção de plano de sinalização. Correspondentemente, o primeiro dispositivo de rede de acesso recebe a segunda mensagem.
[0186] A segunda mensagem é uma mensagem de resposta da primeira mensagem.
[0187] A segunda mensagem é uma mensagem de reconhecimento da primeira mensagem se a verificação do terminal na primeira mensagem for bem-sucedida na etapa 308. Opcionalmente, o terminal protege a segunda mensagem por meio do uso de um método igual ao método para proteger a primeira mensagem. Para ser específico, o terminal pode realizar a proteção de integridade na segunda mensagem por meio do uso da chave de proteção de integridade de plano de usuário, ou realizar a proteção de integridade de plano de sinalização na segunda mensagem por meio do uso da chave de proteção de integridade de plano de sinalização, ou gerar um número aleatório novamente, encriptar dois números aleatórios por meio do uso da chave de encriptação de plano de usuário, e dois números aleatórios encriptados e dois números aleatórios não encriptados à segunda mensagem. A segunda mensagem é uma mensagem de aviso de erro se a verificação do terminal na primeira mensagem falhar., de acordo com o método fornecido nesta modalidade deste pedido, o primeiro dispositivo de rede de acesso pode ativar apenas a proteção de plano de usuário no procedimento de mudança automática do terminal, e determinar o algoritmo de proteção de plano de sinalização apenas quando o primeiro dispositivo de rede de acesso precisar enviar a mensagem do plano de sinalização, melhorando, desse modo, não apenas a eficiência de mudança automática do terminal, mas também garantindo a segurança da mensagem do plano de sinalização.
[0188] Opcionalmente, depois do procedimento mostrado na FIG. 3A e na FIG. 3B, o primeiro dispositivo de rede de acesso precisa verificar, além disso, a política de segurança recebida do segundo dispositivo de rede de acesso. Como mostrado na FIG. 4, o método inclui as etapas 401 a 404.
[0189] Etapa 401: Um primeiro dispositivo de rede de acesso envia uma correspondência entre as informações de plano de usuário e uma política de segurança para um nó AMF. Correspondentemente, o nó AMF recebe a correspondência entre as informações de plano de usuário e uma política de segurança.
[0190] Etapa 402: O nó AMF envia uma ou ambas dentre as segundas informações de indicação e uma política de segurança para o primeiro dispositivo de rede de acesso. Correspondentemente, o primeiro dispositivo de rede de acesso recebe uma ou ambas dentre as segundas informações de indicação e a política de segurança.
[0191] As segundas informações de indicação são usadas para indicar se o primeiro dispositivo de rede de acesso pode continuar usando uma política de segurança de um segundo dispositivo de rede de acesso.
[0192] Especificamente, opcionalmente, depois de receber a correspondência entre as informações de plano de usuário e uma política de segurança do primeiro dispositivo de rede de acesso, o nó AMF primeiramente determina se o nó AMF armazena cada correspondência entre as informações de plano de usuário e uma política de segurança. Se o nó AMF armazenar a correspondência, o nó AMF determina se uma política de segurança recebida correspondente às informações de plano de usuário é o mesmo que uma política de segurança que é correspondente às informações de plano de usuário e que é armazenada pelo nó AMF. O primeiro dispositivo de rede de acesso pode continuar usando a política de segurança recebida do segundo dispositivo de rede de acesso se as duas políticas de segurança forem as mesmas. Neste caso, o nó AMF pode enviar as segundas informações de indicação para o primeiro dispositivo de rede de acesso, e as segundas informações de indicação são usadas para indicar que o primeiro dispositivo de rede de acesso pode usar a política de segurança recebida do segundo dispositivo de rede de acesso; ou o nó AMF envia a política de segurança para o primeiro dispositivo de rede de acesso, e a política de segurança é a mesma que uma política de segurança enviada pelo primeiro dispositivo de rede de acesso para o nó AMF.
[0193] Alternativamente, o primeiro dispositivo de rede de acesso não pode continuar usando a política de segurança recebida do segundo dispositivo de rede de acesso se uma política de segurança correspondente às informações de plano de usuário recebidas pelo nó AMF for diferente de uma política de segurança que é correspondente às informações de plano de usuário e que é armazenada pelo nó AMF. Neste caso, o nó AMF envia as segundas informações de indicação para o primeiro dispositivo de rede de acesso, e as segundas informações de indicação são usadas para indicar que o primeiro dispositivo de rede de acesso não pode usar a política de segurança do segundo dispositivo de rede de acesso; ou o nó AMF envia a política de segurança para o primeiro dispositivo de rede de acesso, e a política de segurança é a política de segurança que é correspondente às informações de plano de usuário e que é armazenada pelo nó AMF.
[0194] Opcionalmente, se o nó AMF não armazena a correspondência entre as informações de plano de usuário e uma política de segurança, o nó AMF pode encaminhar a correspondência recebida entre as informações de plano de usuário e uma política de segurança do primeiro dispositivo de rede de acesso para um nó SMF. O nó SMF determina se o primeiro dispositivo de rede de acesso pode continuar usando uma correspondência entre as informações de plano de usuário e uma política de segurança do segundo dispositivo de rede de acesso. Um método de determinação específico é o mesmo que um método de determinação realizado pelo nó AMF. Em seguida, o nó AMF envia uma ou ambas dentre as segundas informações de indicação e a política de segurança para o primeiro dispositivo de rede de acesso com base em um resultado de determinação do nó SMF.
[0195] Etapa 403: Redeterminar um primeiro algoritmo de proteção de plano de usuário e uma chave de proteção de plano de usuário, de acordo com a política de segurança do nó AMF se o primeiro dispositivo de rede de acesso receber a política de segurança do nó AMF, e a política de segurança do nó AMF for diferente de uma política de segurança de um segundo dispositivo de rede de acesso.
[0196] Opcionalmente, se a política de segurança do nó AMF for a mesma que a política de segurança do segundo dispositivo de rede de acesso, o nó AMF pode continuar usando a política de segurança do segundo dispositivo de rede de acesso, e não precisa redeterminar o primeiro algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário.
[0197] Etapa 404: O primeiro dispositivo de rede de acesso redetermina um primeiro algoritmo de proteção de plano de usuário e uma chave de proteção de plano de usuário, de acordo com uma política de segurança padrão, se o primeiro dispositivo de rede de acesso receber as segundas informações de indicação do nó AMF e não receber a política de segurança do nó AMF, e as segundas informações de indicação indicam que o primeiro dispositivo de rede de acesso não pode usar uma política de segurança de um segundo dispositivo de rede de acesso.
[0198] Opcionalmente, se as segundas informações de indicação indicarem que o primeiro dispositivo de rede de acesso pode usar a política de segurança do segundo dispositivo de rede de acesso, o primeiro dispositivo de rede de acesso pode continuar usando a política de segurança do segundo dispositivo de rede de acesso, e não precisa redeterminar o primeiro algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário.
[0199] De acordo com o método de proteção de segurança fornecido nesta modalidade deste pedido, depois que um processo de acesso aleatório é concluído, um TgNB pode verificar uma política de segurança atualmente usada, para obter uma política de segurança aplicável para um estado de recurso do TgNB. Se um SgNB é quebrado por um invasor, e envia, para o TgNB, uma política de segurança de redução de um nível de segurança, um nível de capacidade de segurança de um algoritmo de proteção de plano de usuário determinado pelo TgNB, de acordo com a política de segurança é relativamente baixo, e as informações protegidas por meio do uso do algoritmo de proteção de plano de usuário podem ser facilmente quebradas. Portanto, o TgNB usa a política de segurança entregue pelo nó AMF, de modo que essa vulnerabilidade possa ser evitada e a segurança possa ser adicionalmente melhorada.
[0200] Opcionalmente, quando um segundo dispositivo de rede de acesso não pode se comunicar diretamente com um primeiro dispositivo de rede de acesso, o segundo dispositivo de rede de acesso pode determinar o primeiro dispositivo de rede de acesso através de um nó AMF. Por exemplo, se não existir a interface de comunicações direta entre um SgNB e um TgNB em um procedimento em que um terminal é mudado automaticamente entre as estações de base de serviço, o SgNB pode determinar o TgNB através do nó AMF. Como mostrado na FIG. 5, o método inclui as etapas 501 a 504.
[0201] Etapa 501: Um segundo dispositivo de rede de acesso envia as informações de plano de usuário para um nó AMF. Correspondentemente, o nó AMF recebe as informações de plano de usuário.
[0202] Etapa 502: O nó AMF envia as informações de plano de usuário para um nó SMF. Correspondentemente, o nó SMF recebe as informações de plano de usuário.
[0203] Etapa 503: O nó SMF determina uma política de segurança correspondente às informações de plano de usuário.
[0204] Opcionalmente, o nó SMF armazena ou pode obter cada correspondência entre as informações de plano de usuário e uma política de segurança. Depois de receber as informações de plano de usuário, o nó SMF pode procurar a correspondência entre as informações de plano de usuário e uma política de segurança para a política de segurança correspondente às informações de plano de usuário.
[0205] Etapa 504: O nó SMF envia a política de segurança correspondente às informações de plano de usuário para um primeiro dispositivo de rede de acesso através do nó AMF. Correspondentemente, o primeiro dispositivo de rede de acesso recebe a política de segurança correspondente às informações de plano de usuário.
[0206] Deve ser observado que, para um procedimento de processamento depois do primeiro dispositivo de rede de acesso receber a política de segurança correspondente às informações de plano de usuário, consultar os procedimentos de processamento nas modalidades correspondentes às FIG. 2, FIG. 3A e FIG. 3B. Certamente, esta aplicação não é limitada a elas.
[0207] Deve ser observado que todos os procedimentos do método descrito nas modalidades anteriores correspondentes à FIG. 2 a FIG. 5 podem ser aplicados a um processo em que um terminal é mudado automaticamente entre as estações de base de serviço. Um primeiro dispositivo de rede de acesso pode ser um TgNB, e um segundo dispositivo de rede de acesso pode ser um SgNB. Como mostrado na FIG. 6, um cenário no qual um terminal é mudado automaticamente entre as estações de base de serviço é usado para descrever o método de proteção de segurança nesta aplicação na FIG. 6. O método inclui especificamente as etapas 601 à 612.
[0208] Etapa 601: O terminal envia um relatório de medição para um SgNB. Correspondentemente, o SgNB recebe o relatório de medição.
[0209] Etapa 602: O SgNB gera uma chave na estação de base da próxima geração (key in next generation Node Basestation, KgNB*) ao determinar, com base no relatório de medição, que o terminal precisa ser mudado automaticamente entre as estações de base de serviço.
[0210] Etapa 603: O SgNB envia uma mensagem de solicitação de mudança automática (solicitação HO, HO request) para um TgNB. Correspondentemente, o TgNB recebe a mensagem de solicitação de mudança automática.
[0211] A mensagem de solicitação de mudança automática inclui uma correspondência entre as informações de plano de usuário e uma política de segurança, e pode, além disso, incluir um parâmetro relacionado à segurança de plano de usuário.
[0212] As informações de plano de usuário incluem qualquer um ou mais de um identificador de sessão PDU, um QFI, um DRB ID e um parâmetro de fatia. Opcionalmente, as informações de plano de usuário incluem qualquer um ou mais de um identificador de sessão PDU de uma sessão que atualmente precisa ser mudada automaticamente, um QFI da sessão que precisa ser mudado automaticamente, e um DRB ID correspondente à sessão PDU que precisa ser mudado automaticamente. Alternativamente, as informações de plano de usuário incluem os identificadores de sessão PDU de todas as sessões do terminal, e indicam um identificador de sessão PDU de uma sessão que precisa ser mudada automaticamente.
[0213] Por exemplo, as informações de plano de usuário são um identificador de sessão PDU. Cada identificador de sessão PDU é correspondente a uma política de segurança, e a política de segurança é usada para indicar se a proteção de encriptação de plano de usuário e a proteção de integridade de plano de usuário precisam ser ativadas para uma sessão correspondente à política de segurança. Opcionalmente, a política de segurança pode incluir, além disso, um ou ambos dentre um algoritmo de encriptação de plano de usuário identificador e um algoritmo de proteção de integridade de plano de usuário identificador.
[0214] Opcionalmente, a mensagem de solicitação de mudança automática pode portar as políticas de segurança correspondentes a todos os identificadores de sessão PDU do terminal, ou pode portar apenas uma política de segurança correspondente ao identificador de sessão PDU de uma sessão PDU que precisa ser mudada automaticamente.
[0215] Por exemplo, a correspondência que é entre as informações de plano de usuário e uma política de segurança e que é portada na mensagem de solicitação de mudança automática é {{ID de sessão PDU = 1, 10, DRB ID = 1}, {ID de sessão PDU = 2, QFI = 1, 01, DRB ID = 2}}. Isto indica que existem duas sessões que precisam ser mudadas automaticamente: uma sessão 1 e uma sessão 2. Um DRB cujo DRB ID é 1 é usado para a sessão 1, e a proteção de encriptação de plano de usuário é ativada, mas a proteção de integridade de plano de usuário não é ativada para a sessão 1. Um DRB cujo DRB ID é 2 é usado para um fluxo QoS cujo QFI é 1 na sessão 2, e a proteção de encriptação de plano de usuário não é ativada, mas a proteção de integridade de plano de usuário é ativada para o fluxo QoS.
[0216] Para outro exemplo, a correspondência que é entre as informações de plano de usuário e uma política de segurança e que é portada na mensagem de solicitação de mudança automática é {ID de sessão PDU = 1, NIA = 1, NEA = 2}. Isto indica que uma sessão 1 precisa ser mudada automaticamente. Um algoritmo de proteção de integridade de plano de usuário 1 é usado para realizar a proteção de integridade de plano de usuário na sessão 1, e um algoritmo de encriptação de plano de usuário 2 é usado para realizar a proteção de encriptação de plano de usuário.
[0217] Para outro exemplo, o terminal tem três correspondências entre informações de plano de usuário e políticas de segurança em total. A mensagem de solicitação de mudança automática porta as três correspondências entre informações de plano de usuário e políticas de segurança, e um bit é usado para indicar uma correspondência entre as informações de plano de usuário que precisa ser mudada automaticamente e uma política de segurança. Neste relatório, o bit de ativação = 0 indica que uma sessão não precisa ser mudada automaticamente, e o bit de ativação = 1 indica que uma sessão precisa ser mudada automaticamente. Por exemplo, {{ID de sessão PDU = 1, 10, DRB ID = 1, bit de ativação = 0}, {ID de sessão PDU = 2, 11, DRB ID = 1, bit de ativação = 1}, {ID de sessão PDU = 3, 01, DRB ID = 2, bit de ativação = 1}} indicam que o terminal tem uma sessão 1, uma sessão 2 e uma sessão 3, e a sessão 2 e a sessão 3 são sessões que precisam ser mudadas automaticamente.
[0218] Para a eficiência da mudança automática do terminal, a mensagem de solicitação de mudança automática pode portar apenas uma política de segurança correspondente às informações de plano de usuário que precisa ser mudada automaticamente. Pelo fato de que a mensagem de solicitação de mudança automática porta apenas a política de segurança correspondente às informações de plano de usuário que precisa ser mudada automaticamente é usada como um exemplo para a descrição abaixo.
[0219] O parâmetro relacionado à segurança de plano de usuário inclui uma capacidade de segurança do terminal e a KgNB*. Opcionalmente, o parâmetro relacionado à segurança de plano de usuário pode incluir, além disso, as informações, tais como um parâmetro de atualização (por exemplo, um número de sequência ou um valor de contador) que é usado para gerar uma chave, e um identificador de chave que é usado para identificar uma chave atualmente usada.
[0220] A capacidade de segurança do terminal inclui um identificador de algoritmo de proteção de plano de usuário suportado pelo terminal. Por exemplo, a capacidade de segurança do terminal é que o terminal suporta um algoritmo de encriptação de plano de usuário 1, o algoritmo de encriptação de plano de usuário 2, um algoritmo de proteção de integridade de plano de usuário 3 e um algoritmo de proteção de integridade de plano de usuário 5.
[0221] Etapas 604: O TgNB determina um primeiro algoritmo de proteção de plano de usuário.
[0222] Especificamente, o TgNB pode determinar o primeiro algoritmo de proteção de plano de usuário com base na correspondência entre as informações de plano de usuário e uma política de segurança, a capacidade de segurança do terminal, e uma lista de prioridades da capacidade de segurança pré-configurada pelo TgNB.
[0223] A lista de prioridades da capacidade de segurança é uma lista pré-configurada. Um plano de sinalização e um plano de usuário podem compartilhar uma mesma lista de prioridades da capacidade de segurança, ou podem usar diferentes lista de prioridades da capacidade de segurança. O TgNB inclui pelo menos duas listas de prioridades da capacidade de segurança. Pelo fato de que o plano de usuário e o plano de sinalização compartilham uma lista de prioridades da capacidade de segurança são usados como um exemplo. O TgNB inclui uma lista de prioridades do algoritmo de encriptação e uma lista de prioridades do algoritmo de proteção de integridade. Por exemplo, a lista de prioridades do algoritmo de encriptação é a Tabela 1, a lista de prioridades do algoritmo de proteção de integridade é a Tabela 2, e os algoritmos nas Tabelas são organizados em ordem decrescente de prioridades. Tabela 1 Algoritmo de encriptação 1 Algoritmo de encriptação 2 Algoritmo de encriptação 3 Algoritmo de encriptação 4 Algoritmo de encriptação 5 Tabela 2 Algoritmo de proteção de integridade 1 Algoritmo de proteção de integridade 2 Algoritmo de proteção de integridade 3 Algoritmo de proteção de integridade 4 Algoritmo de proteção de integridade 5
[0224] Se a política de segurança for usada para indicar um tipo de proteção de segurança ativado, um método para determinar o primeiro algoritmo de proteção de plano de usuário é como a seguir:
[0225] Por exemplo, a correspondência entre as informações de plano de usuário e uma política de segurança é {{ID de sessão PDU = 1, 10, DRB ID = 1}, {ID de sessão PDU = 2, QFI = 1, 01, DRB ID = 2}}. A capacidade de segurança do terminal é que o terminal suporta um algoritmo de encriptação de plano de usuário 1, um algoritmo de encriptação de plano de usuário 2, um algoritmo de proteção de integridade de plano de usuário 3 e um algoritmo de proteção de integridade de plano de usuário 5.
[0226] Primeiramente, o TgNB determina que a proteção de encriptação de plano de usuário precisa ser ativada para uma sessão 1, e a proteção de integridade de plano de usuário não é ativada, em seguida determina, com base na capacidade de segurança do terminal, que um algoritmo de encriptação de plano de usuário suportado pelo terminal é o algoritmo de encriptação de plano de usuário 1 e o algoritmo de encriptação de plano de usuário 2 e, além disso determina, de acordo com a Tabela 1, que uma prioridade do algoritmo de encriptação de plano de usuário 1 é maior do que uma prioridade do algoritmo de encriptação de plano de usuário 2. Em outras palavras, o algoritmo de encriptação de plano de usuário 1 é um algoritmo de encriptação de plano de usuário que é suportado por ambos o terminal e o TgNB e que tem uma prioridade mais alta. Para ser específico, um primeiro algoritmo de proteção de plano de usuário determinado pelo TgNB para a sessão 1 é o algoritmo de encriptação de plano de usuário 1.
[0227] O TgNB determina que a proteção de encriptação de plano de usuário não é ativada, mas a proteção de integridade de plano de usuário é ativada para uma sessão 2, em seguida determina, com base na capacidade de segurança do terminal, que um algoritmo de proteção de integridade de plano de usuário suportado pelo terminal é o algoritmo de proteção de integridade de plano de usuário 3 e o algoritmo de proteção de integridade de plano de usuário 5 e, além disso determina, de acordo com a Tabela 2, que o algoritmo de proteção de integridade de plano de usuário 3 é um algoritmo de proteção de integridade de plano de usuário que é suportado por ambos o terminal e o TgNB e que tem uma prioridade mais alta. Para ser específico, um primeiro algoritmo de proteção de plano de usuário determinado pelo TgNB para a sessão 2 é o algoritmo de proteção de integridade de plano de usuário 3.
[0228] Se a política de segurança incluir um identificador de algoritmo de proteção de plano de usuário, um método para determinar o primeiro algoritmo de proteção de plano de usuário é como a seguir:
[0229] Por exemplo, a correspondência entre as informações de plano de usuário e uma política de segurança é {ID de sessão PDU = 1, NIA = 1, NEA = 2}.
[0230] Primeiramente, o TgNB determina, de acordo com a política de segurança, que ambas a proteção de encriptação de plano de usuário e a proteção de integridade de plano de usuário precisam ser ativadas para uma sessão 1. Um algoritmo de encriptação de plano de usuário ativado indicado pela política de segurança é um algoritmo de encriptação de plano de usuário 2, e um algoritmo de proteção de integridade de plano de usuário ativado indicado pela política de segurança é um algoritmo de proteção de integridade de plano de usuário 1. Em seguida, é determinado, com base na capacidade de segurança do terminal, que um algoritmo de encriptação de plano de usuário suportado pelo terminal é um algoritmo de encriptação de plano de usuário 1 e o algoritmo de encriptação de plano de usuário 2, e um algoritmo de proteção de integridade de plano de usuário suportado pelo terminal é um algoritmo de proteção de integridade de plano de usuário 3 e um algoritmo de proteção de integridade de plano de usuário 5. Pode ser aprendido que ambos o terminal e o TgNB suportam o algoritmo de encriptação de plano de usuário 2 indicado pela política de segurança, mas o terminal não suporta o algoritmo de proteção de integridade de plano de usuário 1 indicado pela política de segurança. Portanto, o TgNB resseleciona um algoritmo de proteção de integridade de plano de usuário com base na capacidade de segurança do terminal e na Tabela 2. Pode ser determinado, de acordo com a Tabela 2, que o algoritmo de proteção de integridade de plano de usuário 3 é um algoritmo de proteção de integridade de plano de usuário que é suportado por ambos o terminal e o TgNB e que tem uma prioridade mais alta. Em outras palavras, um primeiro algoritmo de proteção de plano de usuário determinado pelo TgNB para a sessão 1 é o algoritmo de encriptação de plano de usuário 2 e o algoritmo de proteção de integridade de plano de usuário 3.
[0231] Opcionalmente, se a política de segurança indicar não ativação da proteção de encriptação de plano de usuário nem da proteção de integridade de plano de usuário, o TgNB pode determinar, opcionalmente, de acordo com uma política de segurança padrão, a ativação da proteção de encriptação de plano de usuário ou da proteção de integridade de plano de usuário, ou a ativação de ambas a proteção de encriptação de plano de usuário e a proteção de integridade de plano de usuário, e determinar um algoritmo de proteção de plano de usuário correspondente.
[0232] Opcionalmente, o TgNB pode ignorar diretamente uma política de segurança recebida, e determinar um algoritmo de proteção de plano de usuário, de acordo com uma política de segurança padrão.
[0233] Em uma implementação possível, o TgNB pode determinar um par de algoritmos, e o par de algoritmos são usados ambos como algoritmos de segurança de plano de usuário e algoritmos de segurança do plano de sinalização. Para ser específico, na etapa 604, o primeiro algoritmo de proteção de plano de usuário determinado pelo TgNB também pode ser usado como um algoritmo de proteção de plano de sinalização, ou um algoritmo de proteção de plano de sinalização determinado pelo TgNB também pode ser usado como o primeiro algoritmo de proteção de plano de usuário.
[0234] Etapa 605: O TgNB gera uma chave de proteção de plano de usuário, de acordo com o primeiro algoritmo de proteção de plano de usuário.
[0235] O TgNB pode gerar uma chave de proteção de plano de usuário para cada algoritmo de proteção de plano de usuário determinado na etapa 604. Por exemplo, o primeiro algoritmo de proteção de plano de usuário determinado pelo TgNB para a sessão 1 é o algoritmo de encriptação de plano de usuário 1, e o primeiro algoritmo de proteção de plano de usuário determinado para a sessão 2 é o algoritmo de proteção de integridade de plano de usuário 3. Neste caso, o TgNB gera uma chave de encriptação de plano de usuário correspondente ao algoritmo de encriptação de plano de usuário 1 para a sessão 1, e gera uma chave de proteção de integridade de plano de usuário correspondente ao algoritmo de proteção de integridade de plano de usuário 3 para a sessão 2.
[0236] O TgNB pode gerar uma chave, de acordo com uma função de derivação de chave (key derive function, KDF), um ID de algoritmo e a KgNB*. Um método de geração de chave é como a seguir: Neste relatório, chave = KDF (ID de algoritmo, KgNB*), ou chave = KDF (ID de algoritmo, chave 1, outros parâmetros), ou chave = função pseudo-aleatória (ID de algoritmo, outros parâmetros). Os outros parâmetros podem ser um parâmetro ou uma pluralidade de parâmetros. Por exemplo, os outros parâmetros podem ser um parâmetro chave, ou os outros parâmetros são um ou mais de um parâmetro chave, um parâmetro de isolamento (por exemplo, um ID de sessão, um DRB ID, um QFI) e um parâmetro de atualização. O método de geração de chave é aplicável a ambos um cenário de mudança automática do terminal e a qualquer cenário no qual uma estação de base gera uma chave.
[0237] Opcionalmente, o TgNB pode gerar uma chave de proteção de plano de sinalização, de acordo com o algoritmo de proteção de plano de sinalização se o TgNB determinar o algoritmo de proteção de plano de sinalização na etapa 604.
[0238] Etapa 606: O TgNB envia uma mensagem de reconhecimento de solicitação de mudança automática (Ack de solicitação HO, HO request Ack) para o SgNB e, correspondentemente, o SgNB recebe a mensagem de reconhecimento de solicitação de mudança automática.
[0239] A mensagem de reconhecimento de solicitação de mudança automática inclui uma mensagem de comando de mudança automática (comando HO, command HO). Opcionalmente, a mensagem de comando de mudança automática inclui uma mensagem de reconfiguração de conexão RRC (RRC connection reconfiguration). A mensagem de reconfiguração de conexão RRC é usada para notificar o terminal de um parâmetro básico de uma estação de base alvo, por exemplo, informações tais como um ID de célula física da estação de base alvo, uma frequência da estação de base alvo e um recurso de sessão. Nesta modalidade deste pedido, a mensagem de reconfiguração de conexão RRC é usada para transferir o primeiro algoritmo de proteção de plano de usuário determinado pelo TgNB. Opcionalmente, a mensagem de reconfiguração de conexão RRC é usada, além disso, para transferir um algoritmo de proteção de plano de sinalização. Além disso, se o primeiro algoritmo de proteção de plano de usuário determinado na etapa 604 incluir um algoritmo de proteção de integridade de plano de usuário, uma chave de proteção de integridade de plano de usuário gerada na etapa 605 precisa ser usada para realizar a proteção de integridade na mensagem de reconfiguração de conexão RRC. Se um algoritmo de proteção de integridade de plano de sinalização também for determinado na etapa 604, uma chave de integridade plano de sinalização gerada na etapa 605 é usada para realizar a proteção de integridade na mensagem de reconfiguração de conexão RRC, independentemente se um algoritmo de proteção de integridade de plano de usuário for determinado.
[0240] Opcionalmente, uma mensagem de reconfiguração de conexão RRC pode incluir uma correspondência que é entre as informações de plano de usuário e uma política de segurança em cada combinação e que é recebida pelo TgNB. Por exemplo, a correspondência que é entre as informações de plano de usuário e uma política de segurança e que é recebida pelo TgNB é {{ID de sessão PDU = 1, 10, DRB ID = 1}, {ID de sessão PDU = 2, QFI = 1, 01, DRB ID = 2}}. Neste caso, a mensagem de reconfiguração de conexão RRC do TgNB inclui uma correspondência entre as informações de plano de usuário e uma política de segurança de uma sessão 1 e uma correspondência entre as informações de plano de usuário e uma política de segurança de uma sessão 2.
[0241] Uma mensagem de reconfiguração de conexão RRC da sessão 1 inclui o primeiro algoritmo de proteção de plano de usuário determinado pelo TgNB para a sessão 1 e um recurso de sessão alocado para a sessão 1. O recurso de sessão pode ser um DRB ID. Se um DRB cujo DRB ID é 1 na correspondência entre as informações de plano de usuário e uma política de segurança não for usado, o DRB ainda pode ser usado para a sessão 1. Se o DRB é usado, o TgNB recria um DRB para a sessão 1, e envia um identificador DRB do DRB criado para o terminal. Opcionalmente, o TgNB recria um DRB para uma sessão se a correspondência entre as informações de plano de usuário e uma política de segurança não portar um DRB ID. Com referência ao primeiro algoritmo de proteção de plano de usuário determinado na etapa 604, a mensagem de reconfiguração de conexão RRC da sessão 1 inclui o algoritmo de encriptação de plano de usuário 1, um DRB ID, e informações usadas para gerar a KgNB*. Do mesmo modo, uma mensagem de reconfiguração de conexão RRC da sessão 2 inclui o algoritmo de proteção de integridade de plano de usuário 3, um DRB ID e informações usadas para gerar a KgNB*.
[0242] Uma política de segurança correspondente à sessão 1 indica que a proteção de integridade de plano de usuário não é ativada e, portanto, a proteção de integridade não é realizada na mensagem de reconfiguração de conexão RRC da sessão 1. Uma política de segurança correspondente à sessão 2 indica ativação da proteção de encriptação de plano de usuário e, portanto, a mensagem de reconfiguração de conexão RRC da sessão 2 pode ser encriptada por meio do uso da chave de proteção de integridade de plano de usuário correspondente ao algoritmo de proteção de integridade de plano de usuário 3.
[0243] Opcionalmente, o TgNB pode gerar um número aleatório nonce-TgNB, e encriptar nonce-TgNB por meio do uso do algoritmo de encriptação de plano de usuário 1. A mensagem de reconfiguração de conexão RRC da sessão 1 inclui, além disso, nonce-TgNB encriptado e nonce-TgNB não encriptado.
[0244] Opcionalmente, se o TgNB determinar o algoritmo de proteção de plano de sinalização na etapa 604, o TgNB pode realizar a proteção de integridade na mensagem de reconfiguração de conexão RRC por meio do uso de uma chave de proteção de integridade de plano de sinalização, ou encriptar nonce-TgNB por meio do uso de uma chave de encriptação de plano de sinalização.
[0245] Opcionalmente, a mensagem de reconfiguração de conexão RRC inclui, além disso, as informações de indicação, para indicar que o algoritmo de proteção de plano de sinalização é o mesmo que o primeiro algoritmo de proteção de plano de usuário, ou indicar um identificador de algoritmo de proteção de plano de sinalização.
[0246] Etapa 607: O SgNB envia uma mensagem de comando de mudança automática para o terminal. Correspondentemente, o terminal recebe a mensagem de comando de mudança automática.
[0247] Pode ser entendido que o SgNB encaminha a mensagem de comando de mudança automática na mensagem de reconhecimento de solicitação de mudança automática para o terminal depois de receber a mensagem de reconhecimento de solicitação de mudança automática.
[0248] Opcionalmente, depois de receber a mensagem de reconhecimento de solicitação de mudança automática, o SgNB pode enviar, para o TgNB, as informações e dados do estado do número de sequência a serem enviados para o terminal, de modo que depois de estabelecer uma ligação de comunicação com o terminal, o TgNB encaminha os dados a serem enviados para o terminal.
[0249] Etapa 608: O terminal gera a chave de proteção de plano de usuário.
[0250] O terminal obtém a mensagem de reconfiguração de conexão RRC a partir da mensagem de comando de mudança automática depois de receber a mensagem de comando de mudança automática. Se a mensagem de reconfiguração de conexão RRC incluir um algoritmo de proteção de integridade de plano de usuário, o terminal gera uma chave de proteção de integridade de plano de usuário, de acordo com o algoritmo de proteção de integridade de plano de usuário, e realiza a verificação de integridade na mensagem de reconfiguração de conexão RRC por meio do uso da chave de proteção de integridade de plano de usuário. Se a verificação falhar, o terminal interrompe uma conexão de comunicação com o TgNB ou realiza a etapa 609; ou se a verificação for bem-sucedida, o terminal gera uma chave de proteção de plano de usuário correspondente a um algoritmo de proteção de plano de usuário na mensagem de reconfiguração de conexão RRC.
[0251] Se a mensagem de reconfiguração de conexão RRC incluir nonce-TgNB encriptado e um algoritmo de encriptação de plano de usuário, o terminal gera uma chave de encriptação de plano de usuário, de acordo com o algoritmo de encriptação de plano de usuário, desencripta nonce-TgNB encriptado por meio do uso do algoritmo de encriptação de plano de usuário, e compara nonce-TgNB obtido através da desencriptação de nonce-TgNB na mensagem de comando de mudança automática. Se nonce-TgNB obtido através de desencriptação for o mesmo que nonce-TgNB na mensagem de comando de mudança automática, o terminal gera uma chave de proteção de plano de usuário correspondente a um algoritmo de proteção de plano de usuário na mensagem de reconfiguração de conexão RRC; ou se nonce-TgNB obtido através de desencriptação for diferente de nonce-TgNB na mensagem de comando de mudança automática, o terminal interrompe uma conexão de comunicação com o TgNB ou realiza a etapa 609.
[0252] Opcionalmente, o terminal gera uma chave de proteção de plano de sinalização, de acordo com um algoritmo de proteção de plano de sinalização se a mensagem de reconfiguração de conexão RRC incluir o algoritmo de proteção de plano de sinalização.
[0253] Etapa 609: O terminal acessa o TgNB.
[0254] Um processo em que o terminal acessa o TgNB inclui que o terminal envia uma solicitação de sincronização para o TgNB, e o TgNB aloca uma janela de tempo para o terminal. Para uma implementação específica, consultar um procedimento existente. Os detalhes não são descritos neste relatório.
[0255] Deve ser observado que a etapa 609 não é realizada se a verificação realizada pelo terminal falhar na etapa 608.
[0256] Etapa 610: O terminal envia uma mensagem de confirmação de mudança automática (confirmação HO, HO confirm) para o TgNB.
[0257] A mensagem de confirmação de mudança automática inclui uma mensagem de conclusão de reconfiguração de conexão RRC (RRC connection reconfiguration complete), e a mensagem é usada para informar o TgNB que o terminal foi mudado automaticamente com êxito.
[0258] Opcionalmente, se a verificação realizada pelo terminal na mensagem de reconfiguração de conexão RRC falhar na etapa 608, a mensagem de conclusão de reconfiguração de conexão RRC é usada para informar o TgNB que o terminal falha ao ser mudado automaticamente e informa o TgNB de uma razão de falha de mudança automática.
[0259] Deve ser observado que, opcionalmente, se o terminal gerar a chave de encriptação de plano de usuário na etapa 608, o terminal encripta a mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de encriptação de plano de usuário; se o terminal gerar a chave de proteção de integridade de plano de usuário, o terminal realiza a proteção de integridade na mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de proteção de integridade de plano de usuário; ou se o terminal gerar ambas a chave de encriptação de plano de usuário e a chave de proteção de integridade de plano de usuário, o terminal pode realizar a proteção na mensagem de conclusão de reconfiguração de conexão RRC, ou não apenas encriptar a mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de encriptação de plano de usuário, mas também realizar a proteção de integridade na mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de proteção de integridade de plano de usuário.
[0260] Se o terminal gerar a chave de proteção de integridade de plano de sinalização, o terminal realiza a proteção de integridade na mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de proteção de integridade de plano de sinalização; ou se o terminal gerar a chave de encriptação de plano de sinalização, o terminal encripta a mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de encriptação de plano de sinalização. Se o terminal gerar ambas a chave de encriptação de plano de sinalização e a chave de proteção de integridade de plano de sinalização, o terminal pode realizar a proteção na mensagem de conclusão de reconfiguração de conexão RRC, ou não apenas realizar a proteção de integridade na mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de proteção de integridade de plano de sinalização, mas também encriptar a mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de encriptação de plano de sinalização.
[0261] Opcionalmente, o terminal pode gerar, além disso, um número aleatório nonce-UE, encriptar nonce-UE||nonce-TgNB por meio do uso da chave de encriptação de plano de usuário, adicionar nonce-UE||nonce-TgNB encriptado e nonce-UE não encriptado para a mensagem de conclusão de reconfiguração de conexão RRC, e enviar a mensagem de conclusão de reconfiguração de conexão RRC para o TgNB.
[0262] Opcionalmente, se o terminal gerar a chave de proteção de plano de usuário, o terminal pode proteger a mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de proteção de plano de usuário.
[0263] Etapa 611: O TgNB recebe a mensagem de confirmação de mudança automática.
[0264] Pode ser entendido que depois que o TgNB recebe a mensagem de confirmação de mudança automática, se a mensagem de conclusão de reconfiguração de conexão RRC na mensagem de confirmação de mudança automática for um texto cifrado, o TgNB desencripta a mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de encriptação de plano de usuário; ou se a mensagem de conclusão de reconfiguração de conexão RRC for uma mensagem protegida por meio do uso do algoritmo de proteção de integridade de plano de usuário, o TgNB realiza a verificação de integridade na mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de proteção de integridade de plano de usuário.
[0265] Opcionalmente, se a mensagem de conclusão de reconfiguração de conexão RRC portar nonce-UE||nonce-TgNB encriptado, o TgNB desencripta nonce-UE||nonce-TgNB encriptado por meio do uso da chave de encriptação de plano de usuário, para obter nonce-UE a partir de nonce- UE||nonce-TgNB encriptado, e comparar nonce-UE com um nonce-UE de texto simples portado na mensagem de conclusão de reconfiguração de conexão RRC. A verificação é bem-sucedida se nonce-UE e o nonce-UE de texto simples forem os mesmos.
[0266] Opcionalmente, se o TgNB informou o terminal do algoritmo de proteção de plano de sinalização, o TgNB realiza a desencriptação ou a verificação de integridade na mensagem de conclusão de reconfiguração de conexão RRC por meio do uso da chave de proteção de plano de sinalização.
[0267] A etapa 612 é realizada se a verificação realizada pelo TgNB na mensagem de conclusão de reconfiguração de conexão RRC for bem- sucedida e a mensagem de conclusão de reconfiguração de conexão RRC for usada para informar o TgNB que o terminal foi mudado automaticamente com êxito.
[0268] Se a verificação realizada pelo TgNB na mensagem de conclusão de reconfiguração de conexão RRC falhar, ou a verificação realizada pelo TgNB na mensagem de conclusão de reconfiguração de conexão RRC for bem-sucedida, mas a mensagem de conclusão de reconfiguração de conexão RRC é usada para informar o TgNB que o terminal falha ao ser mudado automaticamente, o TgNB interrompe uma conexão de comunicação com o terminal, e deleta os dados de enlace descendente armazenados a serem encaminhados para o terminal.
[0269] Etapa 612: O TgNB envia os dados de enlace descendente para o terminal.
[0270] Opcionalmente, se o TgNB não determinar o primeiro algoritmo de proteção de plano de usuário como o algoritmo de proteção de plano de sinalização ou o TgNB não determinar o algoritmo de proteção de plano de sinalização na etapa 604, o TgNB precisa determinar o algoritmo de proteção de plano de sinalização quando o TgNB precisa enviar uma mensagem do plano de sinalização. Como mostrado na FIG. 7A e na FIG. 7B, o método inclui as etapas 701 a 717.
[0271] Para as etapas 701 a 712, consultar as descrições relacionadas nas etapas 601 a 612. Deve ser observado que o TgNB não determina um primeiro algoritmo de proteção de plano de usuário como um algoritmo de proteção de plano de sinalização nem gera uma chave de proteção de plano de sinalização nas etapas 701 a 712.
[0272] 713. O TgNB determina um algoritmo de proteção de plano de sinalização.
[0273] O algoritmo de proteção de plano de sinalização inclui um dentre ou ambos um algoritmo de encriptação de plano de sinalização e um algoritmo de proteção de integridade de plano de sinalização.
[0274] Uma ocasião de acionamento da etapa 713 é descrita na etapa 305, e não é descrita neste relatório novamente.
[0275] 714. O TgNB gera uma chave de proteção de plano de sinalização, de acordo com o algoritmo de proteção de plano de sinalização.
[0276] A chave de proteção de plano de sinalização inclui uma dentre ou ambas uma chave de encriptação de plano de sinalização e uma chave de proteção de integridade de plano de sinalização.
[0277] Pode ser entendido que ao enviar uma mensagem do plano de sinalização, o TgNB pode proteger a mensagem do plano de sinalização por meio do uso da chave de proteção de plano de sinalização e, além disso, enviar a mensagem do plano de sinalização protegida por meio do uso da chave de proteção de plano de sinalização.
[0278] 715. O TgNB envia uma mensagem de comando de modo de segurança de estrato de acesso (access stratum security mode command, AS SMC) para o terminal. Correspondentemente, o terminal recebe a mensagem AS SMC.
[0279] A mensagem AS SMC porta um identificador de algoritmo de proteção de plano de sinalização determinado pelo TgNB na etapa 713.
[0280] Se o TgNB gerar a chave de proteção de integridade de plano de sinalização na etapa 714, a mensagem AS SMC enviada pelo TgNB para o terminal é uma mensagem protegida por meio do uso da chave de integridade de plano de sinalização.
[0281] 716. O terminal gera a chave de proteção de plano de sinalização com base em um identificador de algoritmo de proteção de plano de sinalização portado na mensagem AS SMC.
[0282] A chave de proteção de plano de sinalização gerada pelo terminal inclui uma dentre ou ambas uma chave de encriptação de plano de sinalização e uma chave de proteção de integridade de plano de sinalização. O terminal gera a chave de encriptação de plano de sinalização com base em um identificador de algoritmo de encriptação de plano de sinalização se a mensagem AS SMC portar apenas o identificador de algoritmo de encriptação de plano de sinalização; ou o terminal gera a chave de proteção de integridade de plano de sinalização com base em um identificador de algoritmo de proteção de integridade de plano de sinalização se a mensagem AS SMC portar apenas o identificador de algoritmo de proteção de integridade de plano de sinalização; ou o terminal gera a chave de encriptação de plano de sinalização com base em um identificador de algoritmo de encriptação de plano de sinalização e gera a chave de proteção de integridade de plano de sinalização com base em um identificador de algoritmo de proteção de integridade de plano de sinalização se a mensagem AS SMC portar o identificador de algoritmo de encriptação de plano de sinalização e o identificador de algoritmo de proteção de integridade de plano de sinalização.
[0283] Opcionalmente, o terminal pode realizar a verificação de integridade na mensagem AS SMC com base na chave de proteção de integridade de plano de sinalização gerada se a mensagem AS SMC portar o identificador de algoritmo de proteção de integridade de plano de sinalização.
[0284] 717. O terminal envia uma mensagem de conclusão do modo de segurança (security mode complete, SMP) para o TgNB.
[0285] Opcionalmente, a mensagem SMP é uma mensagem em que o terminal realiza a proteção de integridade por meio do uso da chave de proteção de integridade de plano de sinalização.
[0286] Opcionalmente, as etapas 713 a 717 podem ser realizadas antes da etapa 710. Se as etapas 713 a 717 forem realizadas antes da etapa 710, o terminal envia uma mensagem de confirmação de mudança automática protegida por meio do uso da chave de proteção de integridade de plano de sinalização para o TgNB na etapa 710.
[0287] De acordo com esta modalidade, um processo de ativação da proteção de plano de usuário pode ser desacoplado a partir de um processo de ativação da proteção de plano de sinalização. O TgNB não pode ativar a proteção de plano de sinalização quando o TgNB não precisar enviar uma mensagem do plano de sinalização, para reduzir as sobrecargas da rede do TgNB, e melhorar a eficiência de mudança automática do terminal. Se o TgNB precisar transmitir uma mensagem do plano de sinalização depois que o terminal for mudado automaticamente com êxito, o TgNB pode determinar o algoritmo de proteção de plano de sinalização, gerar a chave de proteção de plano de sinalização, e realizar a proteção de segurança na mensagem do plano de sinalização por meio do uso da chave de proteção de plano de sinalização, para garantir a segurança do plano de sinalização.
[0288] Opcionalmente, em uma implementação possível das modalidades deste pedido, na etapa 611, um processo de mudança automática do terminal é concluído depois que o TgNB recebe a mensagem de confirmação de mudança automática. Além disso, uma política de segurança atualmente usada pelo TgNB pode ser verificada. Como mostrado na FIG. 8, o método descreve especificamente a modalidade correspondente à FIG. 4, e o método inclui as etapas 801 a 810.
[0289] Etapa 801: Um TgNB envia uma mensagem de comutação de trajetória N2 (N2 path switch) para um nó AMF. Correspondentemente, o nó AMF recebe a mensagem de comutação de trajetória N2.
[0290] A mensagem de comutação de trajetória N2 inclui uma correspondência entre as informações de plano de usuário e uma política de segurança de um SgNB.
[0291] Opcionalmente, a mensagem de comutação de trajetória N2 inclui uma política de segurança padrão e informações de plano de usuário se o TgNB determinar um primeiro algoritmo de proteção de plano de usuário por meio do uso da política de segurança padrão em vez da correspondência entre as informações de plano de usuário e uma política de segurança.
[0292] Opcionalmente, a mensagem de comutação de trajetória N2 inclui um recipiente de gerenciamento de sessão (session management, SM). O SM recipiente inclui a correspondência entre informações de plano de usuário e uma política de segurança do SgNB, ou o recipiente SM inclui a política de segurança padrão e as informações de plano de usuário. Apenas um nó SMF pode ler as informações no recipiente SM.
[0293] Etapa 802: O nó AMF verifica uma política de segurança na mensagem de comutação de trajetória N2.
[0294] Quando a mensagem de comutação de trajetória N2 não portar o recipiente SM ou existirem informações de plano de usuário e uma política de segurança for a do recipiente SM, a etapa 802 é realizada apenas se o nó AMF determinar que o nó AMF armazena cada correspondência entre as informações de plano de usuário e uma política de segurança; ou a etapa 802 é pulada e a etapa 803 é realizada diretamente se o nó AMF determinar que o nó AMF não armazena cada correspondência entre as informações de plano de usuário e uma política de segurança.
[0295] Por exemplo, a correspondência que é entre as informações de plano de usuário e uma política de segurança e que é armazenada pelo nó AMF é mostrada na tabela 3. Tabela 3 Informações de plano de usuário Política de segurança ID de sessão PDU = 1 NIA 1, NEA 2 ID de sessão PDU = 2 NIA 3, “1111” ID de sessão PDU = 3 NIA 2, NEA 1
[0296] Um NIA é um algoritmo de proteção de integridade de plano de usuário, e um NEA é um algoritmo de encriptação de plano de usuário. Por exemplo, o NIA 1 representa que um identificador de algoritmo de um algoritmo de proteção de integridade de plano de usuário é 1. “1111” substitui uma localização de NEA, e é usado para indicar que a proteção de encriptação de plano de usuário não é ativada.
[0297] Se a correspondência entre as informações de plano de usuário e uma política de segurança na mensagem de comutação de trajetória N2 for {ID de sessão PDU=1, NIA=1, NEA=2}, o nó AMF procura a Tabela 3 para uma política de segurança cujo ID de sessão PDU é 1. Referindo-se à Tabela 3, uma política de segurança encontrada é “NIA 1, NEA 2”, e é a mesma que uma política de segurança em {ID de sessão PDU = 1, NIA = 1, NEA = 2}. Neste caso, a verificação é bem-sucedida, e indica que o TgNB pode continuar usando um primeiro algoritmo de proteção de plano de usuário determinado com base na correspondência entre as informações de plano de usuário e uma política de segurança. A etapa 806 pode ser realizada para informar o TgNB de um resultado de verificação.
[0298] Se a correspondência entre informações de plano de usuário e uma política de segurança na mensagem de comutação de trajetória N2 for {ID de sessão PDU = 2, NIA = 2, NEA = 2}, o nó AMF procura a Tabela 3 para uma política de segurança cujo ID de sessão PDU é 2. Referindo-se à Tabela 3, uma política de segurança encontrada é “NIA 3, “1111””, e é diferente de uma política de segurança em {ID de sessão PDU = 2, NIA = 2, NEA = 2}. Neste caso, a verificação falha, e indica que o TgNB não pode continuar usando um primeiro algoritmo de proteção de plano de usuário determinado com base na correspondência entre as informações de plano de usuário e uma política de segurança, e precisa atualizar a política de segurança atualmente usada para a política de segurança “NIA 3, “1111”” obtida através da pesquisa na Tabela 3. A etapa 806 pode ser realizada, além disso, para informar o TgNB de um resultado de verificação.
[0299] Por exemplo, a correspondência que é entre as informações de plano de usuário e uma política de segurança e que é armazenada pelo nó AMF também pode ser mostrada na Tabela 4. Tabela 4 Informações de plano de usuário Política de segurança ID de sessão PDU = 1 01 ID de sessão PDU = 2 10 ID de sessão PDU = 3 11
[0300] “01” indica não ativação da proteção de encriptação de plano de usuário, mas ativação da proteção de integridade de plano de usuário; “10” indica ativação da proteção de encriptação de plano de usuário, mas não ativação da proteção de integridade de plano de usuário; e “11” indica ativação da proteção de encriptação de plano de usuário e ativação da proteção de integridade de plano de usuário.
[0301] Se a correspondência entre as informações de plano de usuário e uma política de segurança na mensagem de comutação de trajetória N2 for {ID de sessão PDU = 1, 11}, e uma política de segurança correspondente à “ID de sessão PDU=1” for “01” na Tabela 3, a verificação falha e indica que o TgNB não pode continuar usando um primeiro algoritmo de proteção de plano de usuário determinado com base na correspondência entre as informações de plano de usuário e uma política de segurança. O nó AMF precisa realizar a etapa 806, para informar o TgNB da política de segurança “01” correspondente à “ID de sessão PDU = 1” na Tabela 3.
[0302] Etapa 803: O nó AMF envia uma mensagem de solicitação de informações de gerenciamento de sessão (solicitação de informações SM, SM information request) para um nó SMF. Correspondentemente, o nó SMF recebe a mensagem de solicitação de informações SM a partir do nó AMF.
[0303] A mensagem de solicitação de informações SM inclui informações de identidade de um terminal e a correspondência entre as informações de plano de usuário e uma política de segurança do SgNB, ou inclui informações de identidade de um terminal, as informações de plano de usuário e a política de segurança padrão.
[0304] Opcionalmente, o nó AMF pode adicionar o recipiente SM na mensagem de comutação de trajetória N2 à mensagem de solicitação de informações SM, e enviar a mensagem de solicitação de informações SM para o nó SMF.
[0305] Etapa 804: O nó SMF verifica uma política de segurança na mensagem de solicitação de informações SM.
[0306] Se a mensagem de solicitação de informações SM portar o recipiente SM, o nó SMF lê, a partir do recipiente SM, a correspondência entre informações de plano de usuário e uma política de segurança do SgNB ou das informações de plano de usuário e da política de segurança padrão.
[0307] Opcionalmente, o nó SMF armazena cada correspondência entre as informações de plano de usuário e uma política de segurança, como mostrado na Tabela 3 ou na Tabela 4. Um método para verificar a política de segurança pelo nó SMF é, basicamente, o mesmo que o método para verificar a política de segurança pelo nó AMF na etapa 802. Uma diferença é que o nó SMF envia um resultado de verificação para o nó AMF depois de completar a verificação na política de segurança.
[0308] Etapa 805: O nó SMF envia uma mensagem de resposta de informações SM (SM information response) para o nó AMF.
[0309] A mensagem de resposta de informações SM porta o resultado da verificação realizado pelo nó SMF na política de segurança na etapa 804 e, especificamente, porta uma ou ambas dentre a política de segurança e das segundas informações de indicação.
[0310] Se a verificação for bem-sucedida na etapa 804, a política de segurança na mensagem de resposta de informações SM é a política de segurança na mensagem de solicitação de informações SM, ou as segundas informações de indicação são usadas para indicar que uma política de segurança atualmente usada pode continuar sendo usada. Por exemplo, a política de segurança na mensagem de resposta de informações SM pode ser “NIA = 1, NEA = 2” em {ID de sessão PDU = 1, NIA = 1, NEA = 2}.
[0311] Se a verificação falhar na etapa 804, a política de segurança na mensagem de resposta de informações SM é uma política de segurança resselecionada pelo nó SMF com base nas informações de plano de usuário, ou as segundas informações de indicação são usadas para indicar que uma política de segurança atualmente usada não pode continuar sendo usada. Por exemplo, a política de segurança na mensagem de resposta de informações SM pode ser “NIA 3, “1111””.
[0312] Opcionalmente, a mensagem de resposta de informações SM pode portar adicionalmente as informações de plano de usuário correspondente à política de segurança.
[0313] Etapa 806: O nó AMF envia uma mensagem de reconhecimento de comutação de trajetória (ack de comutação de trajetória, path switch ack) para o TgNB. Correspondentemente, o TgNB recebe a mensagem de reconhecimento de comutação de trajetória.
[0314] Se a etapa 802 for realizada, a mensagem de reconhecimento de comutação de trajetória porta o resultado da verificação realizado pelo nó AMF na política de segurança na etapa 802 e, especificamente, porta uma ou ambas dentre a política de segurança e das segundas informações de indicação.
[0315] Se a verificação for bem-sucedida na etapa 802, a política de segurança na mensagem de reconhecimento de comutação de trajetória é a política de segurança na mensagem de solicitação de informações SM, ou as segundas informações de indicação são usadas para indicar que uma política de segurança atualmente usada pode continuar sendo usada. Por exemplo, a política de segurança na mensagem de reconhecimento de comutação de trajetória pode ser “NIA = 1, NEA = 2” em {ID de sessão PDU = 1, NIA = 1, NEA = 2}.
[0316] Se a verificação falhar na etapa 802, a política de segurança na mensagem de reconhecimento de comutação de trajetória é uma política de segurança resselecionada pelo nó SMF com base nas informações de plano de usuário, ou as segundas informações de indicação são usadas para indicar que uma política de segurança atualmente usada não pode continuar sendo usada. Por exemplo, a política de segurança na mensagem de reconhecimento de comutação de trajetória pode ser “NIA 3, “1111””.
[0317] Opcionalmente, a mensagem de reconhecimento de comutação de trajetória pode portar adicionalmente as informações de plano de usuário correspondente à política de segurança.
[0318] Se a etapa 802 não for realizada, a mensagem de reconhecimento de comutação de trajetória inclui o conteúdo na mensagem de resposta de informações SM enviado pelo nó SMF.
[0319] Etapa 807: O TgNB atualiza um algoritmo de proteção de plano de usuário e uma chave de proteção de plano de usuário, de acordo com uma ou ambas de uma política de segurança recebida e das segundas informações de indicação.
[0320] Depois de receber a política de segurança na mensagem de reconhecimento de comutação de trajetória, o TgNB determina se a política de segurança recebida é a mesmo que uma política de segurança do SgNB. Se a política de segurança recebida for a mesma que a política de segurança do SgNB, o TgNB não precisa atualizar o algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário; ou se a política de segurança recebida for diferente da política de segurança do SgNB, o TgNB resseleciona um algoritmo de proteção de plano de usuário, de acordo com a política de segurança na mensagem de reconhecimento de comutação de trajetória, e gera uma chave de proteção de plano de usuário, de acordo com o algoritmo de proteção de plano de usuário resselecionado.
[0321] Se a mensagem de reconhecimento de comutação de trajetória não portar a política de segurança e portar as segundas informações de indicação, e as segundas informações de indicação indicarem que a política de segurança atualmente usada pode continuar sendo usada, o TgNB não precisa atualizar o algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário; ou se as segundas informações de indicação indicarem que a política de segurança atualmente usada não pode ser usada, o TgNB usa a política de segurança padrão, ou o TgNB interrompe uma conexão, ou o TgNB interrompe uma conexão depois de enviar os dados de enlace descendente.
[0322] Opcionalmente, depois de atualizar o algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário, o TgNB precisa enviar uma mensagem do plano de sinalização para o terminal. Se a proteção de plano de sinalização não for ativada neste caso, as etapas 713 a 717 são realizadas para ativar a proteção de plano de sinalização.
[0323] Etapa 808: O TgNB envia uma mensagem de reconfiguração de conexão RRC para um terminal. Correspondentemente, o terminal recebe a mensagem de reconfiguração de conexão RRC a partir do TgNB.
[0324] A mensagem de reconfiguração de conexão RRC é uma mensagem protegida por meio do uso de uma chave de proteção de plano de sinalização, e a mensagem de reconfiguração de conexão RRC porta um algoritmo de proteção de plano de usuário atualizado do TgNB ou as terceiras informações de indicação. As terceiras informações de indicação são usadas para indicar se o terminal pode continuar usando um algoritmo de proteção de plano de usuário atualmente usado pelo terminal.
[0325] Etapa 809: O terminal gera uma chave de proteção de plano de usuário, de acordo com um algoritmo de proteção de plano de usuário na mensagem de reconfiguração de conexão RRC.
[0326] Pode ser entendido que o terminal pode realizar a verificação de segurança na mensagem de reconfiguração de conexão RRC com base na chave de proteção de plano de sinalização, por exemplo, pode realizar a verificação de integridade na mensagem de reconfiguração de conexão RRC com base em uma chave de proteção de integridade de plano de sinalização. Se a verificação for bem-sucedida, o terminal pode gerar a chave de proteção de plano de usuário, de acordo com o algoritmo de proteção de plano de usuário na mensagem de reconfiguração de conexão RRC e, subsequentemente, encriptar ou desencriptar os dados de plano de usuário por meio do uso da chave de proteção de plano de usuário.
[0327] Etapa 810: O terminal envia uma mensagem de conclusão de reconfiguração de conexão RRC para o TgNB. Correspondentemente, o TgNB recebe a mensagem de conclusão de reconfiguração de conexão RRC.
[0328] Pode ser entendido que, ao receber a mensagem de conclusão de reconfiguração de conexão RRC, o TgNB pode determinar que o algoritmo de proteção de plano de usuário é atualizado com êxito.
[0329] Opcionalmente, em um procedimento de mudança automática de um terminal, se não existir a interface de comunicações entre um SgNB e um TgNB, o procedimento de mudança automática do terminal é mostrado na FIG.
9. O método inclui as etapas 901 a 909.
[0330] Etapa 901: O terminal envia um relatório de medição para o
SgNB. Correspondentemente, o SgNB recebe o relatório de medição.
[0331] Etapa 902: O SgNB envia uma mensagem de solicitação de mudança automática para um nó AMF ao determinar, com base no relatório de medição, que o terminal precisa ser mudado automaticamente entre as estações de base de serviço. Correspondentemente, o nó AMF recebe a mensagem de solicitação de mudança automática.
[0332] A mensagem de solicitação de mudança automática inclui uma correspondência entre as informações de plano de usuário e uma política de segurança, e pode incluir, além disso, uma capacidade de segurança do terminal.
[0333] Opcionalmente, a mensagem de solicitação de mudança automática pode incluir um recipiente SM. O recipiente SM inclui a correspondência entre as informações de plano de usuário e uma política de segurança ou incluir apenas uma política de segurança, ou uma política de segurança está fora do recipiente SM, ou existe uma política de segurança dentro e fora do recipiente SM.
[0334] Opcionalmente, se a correspondência entre informações de plano de usuário e uma política de segurança estiverem fora do recipiente SM na mensagem de solicitação de mudança automática, e o nó AMF armazenar cada correspondência entre as informações de plano de usuário e uma política de segurança, por exemplo, o nó AMF armazena a Tabela 3, o nó AMF pode determinar se uma política de segurança correspondente às informações de plano de usuário na mensagem de solicitação de mudança automática é a mesma que uma política de segurança correspondente às informações de plano de usuário na Tabela 3. O nó AMF pode enviar, diretamente, a política de segurança correspondente às informações de plano de usuário para o TgNB se as duas políticas de segurança forem as mesmas; ou o nó AMF realiza a etapa 903 se as duas políticas de segurança forem diferentes.
[0335] Opcionalmente, a etapa 903 é realizada se não existir correspondência entre as informações de plano de usuário e uma política de segurança fora do recipiente SM na mensagem de solicitação de mudança automática.
[0336] Etapa 903: O nó AMF envia uma sessão mensagem de solicitação de mudança automática para um nó SMF, onde a sessão mensagem de solicitação de mudança automática porta as informações de plano de usuário. Correspondentemente, o nó SMF recebe a mensagem de solicitação de mudança automática de sessão.
[0337] Opcionalmente, a mensagem de solicitação de mudança automática de sessão inclui, além disso, a correspondência entre as informações de plano de usuário e uma política de segurança ou inclui, além disso, o recipiente SM recebido na etapa 902.
[0338] Etapa 904: O nó SMF determina uma política de segurança correspondente às informações de plano de usuário na mensagem de solicitação de mudança automática de sessão.
[0339] O nó SMF armazena ou pode obter a correspondência entre as informações de plano de usuário e uma política de segurança. Por exemplo, consultar a Tabela 3 ou a Tabela 4. A Tabela 3 é usada como um exemplo. Se as informações de plano de usuário na mensagem de solicitação de mudança automática de sessão forem “ID de sessão PDU = 1”, o nó SMF pode determinar que a política de segurança é “NIA 1, NEA 2” (usando um algoritmo de proteção de integridade de plano de usuário 1 e usando um algoritmo de encriptação de plano de usuário 2).
[0340] Opcionalmente, se o nó SMF receber a correspondência entre as informações de plano de usuário e uma política de segurança ou receber o recipiente SM, e o recipiente SM incluir a correspondência entre as informações de plano de usuário e uma política de segurança, o nó SMF pode determinar se a política de segurança correspondente às informações de plano de usuário recebidas é a mesma que uma política de segurança correspondente às informações de plano de usuário na Tabela 3. Se as duas políticas de segurança são as mesmas, é determinado que uma política de segurança do SgNB ainda pode ser usada para um procedimento de mudança automática do terminal subsequente; ou se as duas políticas de segurança forem diferentes, é determinado que a política de segurança correspondente às informações de plano de usuário na Tabela 3 é usada para um procedimento de mudança automática do terminal subsequente.
[0341] Opcionalmente, o nó SMF recebe apenas as informações de plano de usuário ou recebe o recipiente SM, e o recipiente SM inclui apenas as informações de plano de usuário. Neste caso, o nó SMF precisa determinar a política de segurança para as informações de plano de usuário.
[0342] Opcionalmente, o nó SMF recebe a correspondência entre as informações de plano de usuário e uma política de segurança ou recebe o recipiente SM, e o recipiente SM inclui a correspondência entre as informações de plano de usuário e uma política de segurança. Neste caso, o nó SMF ignora uma política de segurança recebida, e redetermina a política de segurança correspondente às informações de plano de usuário com base nas informações de plano de usuário. Especificamente, o nó SMF pode determinar a política de segurança correspondente às informações de plano de usuário com base em cada correspondência que é entre as informações de plano de usuário e uma política de segurança e que é pré-configurada pelo nó SMF ou que é obtida a partir de outro elemento de rede.
[0343] Etapa 905: O nó SMF envia uma mensagem de resposta de mudança automática de sessão para o nó AMF.
[0344] A mensagem de resposta de mudança automática de sessão inclui a política de segurança que é correspondente às informações de plano de usuário e que é determinada pelo nó SMF.
[0345] Etapa 906: O nó AMF envia uma mensagem de solicitação de mudança automática para o TgNB. Correspondentemente, o TgNB recebe a mensagem de solicitação de mudança automática.
[0346] A mensagem de solicitação de mudança automática inclui a política de segurança correspondente às informações de plano de usuário e a capacidade de segurança do terminal. Opcionalmente, o nó AMF precisa, além disso, encaminhar o recipiente SM para o TgNB se o nó AMF receber o recipiente SM.
[0347] Opcionalmente, para melhorar a eficiência de mudança automática do terminal, a mensagem de solicitação de mudança automática pode não incluir a política de segurança correspondente às informações de plano de usuário, e apenas o recipiente SM inclui uma política de segurança correspondente às informações de plano de usuário a partir do SgNB. Portanto, o TgNB pode usar temporariamente a política de segurança no recipiente SM. Depois que o terminal conclui o procedimento de mudança automática, o TgNB pode solicitar o nó AMF ou o nó SMF para entregar uma nova política de segurança em um procedimento de sessão PDU subsequente, ou a SMF entrega uma política de segurança para o TgNB quando o terminal inicia um estabelecimento de sessão ou a solicitação de modificação de sessão.
[0348] Etapas 907: O TgNB determina um primeiro algoritmo de proteção de plano de usuário, e gera uma chave de proteção de plano de usuário, de acordo com o primeiro algoritmo de proteção de plano de usuário.
[0349] Deve ser observado que um método de implementação específico da etapa 907 é o mesmo que as descrições relacionadas nas etapas 604 e 605. Os detalhes não são descritos neste relatório novamente.
[0350] Etapa 908: O TgNB envia uma mensagem de reconhecimento de solicitação de mudança automática para o nó AMF. Correspondentemente, o nó AMF recebe a mensagem de reconhecimento de solicitação de mudança automática a partir do TgNB.
[0351] Etapa 909: O nó AMF envia uma mensagem de comando de mudança automática para o TgNB. Correspondentemente, o TgNB recebe a mensagem de comando de mudança automática a partir do nó AMF.
[0352] Para um procedimento subsequente, consultar as descrições relacionadas nas etapas 608 a 612. Certamente, esta aplicação não é limitada a elas.
[0353] As soluções fornecidas nas modalidades da presente revelação são principalmente descritas acima a partir de uma perspectiva de interação entre diferentes elementos de rede. Pode ser entendido que para implementar as funções anteriores, o primeiro dispositivo de rede de acesso, o segundo dispositivo de rede de acesso, o nó AMF, o nó SMF e o terminal, incluem estruturas de hardware e/ou módulos de software correspondentes para realizar as funções. Com referência às unidades e etapas do algoritmo de cada exemplo descrito nas modalidades reveladas na presente revelação, as modalidades da presente revelação podem ser implementadas em uma forma de hardware ou uma combinação de hardware e software de computador. Se uma função for implementada por hardware ou em uma maneira de direcionar o hardware por um software de computador depende, de uma aplicação particular e, de uma condição de restrição de projeto das soluções técnicas. Um técnico no assunto pode usar diferentes métodos para cada aplicação particular para implementar as funções descritas, mas não deve ser considerado que a implementação vá além do escopo das soluções técnicas das modalidades da presente revelação.
[0354] Nas modalidades da presente revelação, a divisão da unidade funcional pode ser realizada no primeiro dispositivo de rede de acesso, no segundo dispositivo de rede de acesso, no nó AMF, no nó SMF, no terminal e semelhantes com base nos exemplos do método anterior. Por exemplo, cada unidade funcional pode ser obtida através de divisão com base em uma função correspondente, ou duas ou mais funções podem ser integradas em uma unidade de processamento. A unidade integrada pode ser implementada em uma forma de hardware, ou pode ser implementada em uma forma de uma unidade funcional de software. Deve ser observado que a divisão de unidade nas modalidades da presente revelação é um exemplo, e é meramente a divisão de função lógica. Pode haver outra maneira de divisão na implementação real.
[0355] Quando uma unidade integrada é usada, a FIG. 10 é um diagrama de bloco esquemático de um aparelho, de acordo com uma modalidade da presente revelação. O aparelho pode existir em uma forma de software, ou pode ser um primeiro dispositivo de rede de acesso, ou pode ser um chip em um primeiro dispositivo de rede de acesso. O aparelho 1000 inclui uma unidade de processamento 1002 e uma primeira unidade de comunicações
1003. A unidade de processamento 1002 é configurada para controlar e gerenciar uma ação do aparelho 1000. Por exemplo, a unidade de processamento 1002 é configurada para suportar o aparelho 1000 realizando a etapa 203 na FIG. 2, as etapas 303 a 306 na FIG. 3A e na FIG. 3B, as etapas 403 e 404 na FIG. 4, as etapas 604, 605 e 611 na FIG. 6, as etapas 704, 705, 711, 713 e 714 na FIG. 7A e na FIG. 7B, a etapa 807 na FIG. 8, e a etapa 907 na FIG. 9, e/ou é configurada para realizar outro processo da tecnologia descrito nesta especificação. A primeira unidade de comunicações 1003 é configurada para suportar a comunicação entre o aparelho 1000 e outro elemento de rede (por exemplo, um segundo dispositivo de rede de acesso, um nó AMF ou um nó SMF). O aparelho 1000 pode incluir, além disso, uma segunda unidade de comunicações 1004, configurada para suportar a comunicação entre o aparelho 1000 e um terminal. O aparelho 1000 pode incluir, além disso, uma unidade de armazenamento 1001, configurada para armazenar o código de programa e dados do aparelho 1000.
[0356] A unidade de processamento 1002 pode ser um processador ou um controlador, por exemplo, uma unidade de processamento central (Central Processing Unit, CPU), um processador de uso geral, um processador de sinal digital (Digital Signal Processor, DSP), um circuito integrado de aplicação específica (Application-Specific Integrated Circuit, ASIC), um arranjo de portas programáveis em campo (Field Programmable Gate Array, FPGA) ou outro dispositivo lógico programável, um dispositivo lógico do transistor, um componente de hardware ou qualquer combinação dos mesmos. A unidade de processamento 1002 pode implementar ou executar exemplos blocos lógicos, módulos e circuitos que são descritos com referência ao conteúdo revelado na presente revelação. Alternativamente, a unidade de processamento 1002 pode ser uma combinação para implementar uma função de computação, por exemplo, uma combinação de um ou mais microprocessadores ou uma combinação de um DSP e um microprocessador. A primeira unidade de comunicações 1003 pode ser uma interface de comunicações, e a interface de comunicações é um termo geral. Na implementação específica, a interface de comunicações pode incluir uma pluralidade de interfaces, por exemplo, pode incluir uma interface entre os dispositivos de rede de acesso, uma interface entre um dispositivo de rede de acesso e um dispositivo de rede principal, e/ou outra interface. A segunda unidade de comunicações 1004 pode ser um transceptor, um circuito transceptor ou semelhantes. A unidade de armazenamento 1001 pode ser uma memória.
[0357] Quando uma unidade integrada é usada, a FIG. 11 é um diagrama de bloco esquemático de outro aparelho, de acordo com uma modalidade da presente revelação. O aparelho pode existir em uma forma de software, ou pode ser um segundo dispositivo de rede de acesso, ou pode ser um chip em um segundo dispositivo de rede de acesso. O aparelho 1100 inclui uma unidade de processamento 1102, uma primeira unidade de comunicações 1103 e uma segunda unidade de comunicações 1104. A unidade de processamento 1102 é configurada para controlar e gerenciar uma ação do aparelho 1100. Por exemplo, a unidade de processamento 1102 é configurada para suportar o aparelho 1100 realizando a etapa 201 na FIG. 2, a etapa 301 na FIG. 3A, a etapa 602 na FIG. 6 e a etapa 702 na FIG. 7A, e/ou é configurada para realizar outro processo da tecnologia descrito nesta especificação. A primeira unidade de comunicações 1103 é configurada para suportar a comunicação entre o aparelho 1100 e outro dispositivo de rede de acesso, um nó AMF ou um nó SMF. A segunda unidade de comunicações 1104 é configurada para suportar a comunicação entre o aparelho 1100 e um terminal. O aparelho 1100 pode incluir, além disso, uma unidade de armazenamento 1101, configurada para armazenar o código de programa e os dados do aparelho 1100.
[0358] A unidade de processamento 1102 pode ser um processador ou um controlador, por exemplo, uma CPU, um processador de uso geral, um DSP, um ASIC, um FPGA ou outro dispositivo lógico programável, um dispositivo lógico do transistor, um componente de hardware ou qualquer combinação dos mesmos. A unidade de processamento 1102 pode implementar ou executar vários exemplos de blocos lógicos, módulos e circuitos que são descritos com referência ao conteúdo revelado na presente revelação. Alternativamente, o processador pode ser uma combinação para implementar uma função de computação, por exemplo, uma combinação de um ou mais microprocessadores ou uma combinação de um DSP e um microprocessador. A primeira unidade de comunicações 1103 pode ser uma interface de comunicações, e a interface de comunicações é um termo geral. Na implementação específica, a interface de comunicações pode incluir uma pluralidade de interfaces, por exemplo, pode incluir uma interface entre os dispositivos de rede de acesso, uma interface entre um dispositivo de rede de acesso e um dispositivo de rede principal e/ou outra interface. A segunda unidade de comunicações 1104 pode ser um transceptor, um circuito transceptor ou semelhantes. A unidade de armazenamento 1101 pode ser uma memória.
[0359] Quando a unidade de processamento 1002 é um processador, a primeira unidade de comunicações 1003 é uma interface de comunicações, a segunda unidade de comunicações 1004 é um transmissor/receptor, e a unidade de armazenamento 1001 é uma memória, uma estrutura do aparelho 1000 na modalidade da presente revelação pode ser uma estrutura de um dispositivo de rede de acesso mostrada na FIG. 12. Quando a unidade de processamento 1102 é um processador, a primeira unidade de comunicações 1103 é uma interface de comunicações, a segunda unidade de comunicações 1104 é um transmissor/receptor, e a unidade de armazenamento 1101 é uma memória, uma estrutura do aparelho 1100 na modalidade da presente revelação pode ser a estrutura do dispositivo de rede de acesso mostrada na FIG. 12.
[0360] A FIG. 12 é um possível diagrama estrutural esquemático de um dispositivo de rede de acesso, de acordo com uma modalidade da presente revelação.
[0361] O dispositivo de rede de acesso 1200 inclui um processador 1202 e uma interface de comunicações 1204. O processador 1202 também pode ser um controlador, e é indicado como um “controlador/processador 1202” na FIG. 12. A interface de comunicações 1204 é configurada para suportar a comunicação entre um dispositivo de rede de acesso e outro elemento de rede (por exemplo, outro dispositivo de rede de acesso, um nó AMF ou um nó SMF). Além disso, o dispositivo de rede de acesso 1200 pode incluir um transmissor/receptor 1201. O transmissor/receptor 1201 é configurado para suportar o dispositivo de rede de acesso ao receber informações e enviar informações para o terminal na modalidade anterior, e suportar o dispositivo de rede de acesso realizando a comunicação de rádio com outro terminal. O processador 1202 realiza várias funções para a comunicação com o terminal. Em um enlace ascendente, um sinal de enlace ascendente a partir do terminal é recebido por meio do uso de uma antena, é demodulado (por exemplo, um sinal de alta frequência é demodulado em um sinal de banda base) pelo receptor 1201 e é processado, além disso, pelo processador 1202, para restaurar os dados de serviço e informações de sinalização enviadas pelo terminal. Em um enlace descendente, os dados de serviço e uma mensagem de sinalização são processados pelo processador 1202, e são modulados (por exemplo, um sinal de banda base é modulado em um sinal de alta frequência) pelo transmissor 1201, para gerar um sinal de enlace descendente, e o sinal de enlace descendente é transmitido para o terminal por meio do uso da antena. Deve ser observado que a demodulação anterior ou a função de modulação pode ser implementada pelo processador 1202.
[0362] Por exemplo, quando o dispositivo de rede de acesso 1200 é um primeiro dispositivo de rede de acesso, o processador 1202 é configurado, além disso, para realizar os processos de processamento do primeiro dispositivo de rede de acesso nos métodos mostrados na FIG. 2 à FIG. 9 e/ou outro processo das soluções técnicas descritas nesta aplicação; ou quando o dispositivo de rede de acesso 1200 é um segundo dispositivo de rede de acesso, o processador 1202 é configurado, além disso, para realizar os processos de processamento do segundo dispositivo de rede de acesso nos métodos mostrados na FIG. 2, FIG. 3A e FIG. 3B, FIG. 6, FIG. 7A e FIG. 7B, e FIG. 9 e/ou outro processo das soluções técnicas descritas nesta aplicação.
[0363] Além disso, o dispositivo de rede de acesso 1200 pode incluir uma memória 1203, e a memória 1203 é configurada para armazenar o código de programa e os dados do dispositivo de rede de acesso 1200.
[0364] Pode ser entendido que a FIG. 12 mostra apenas um projeto simplificado do dispositivo de rede de acesso 1200. Na aplicação real, o dispositivo de rede de acesso 1200 pode incluir qualquer quantidade de transmissores, receptores, processadores, controladores, memórias, unidades de comunicações e semelhantes, e todos os dispositivos de rede de acesso que podem implementar as modalidades da presente revelação se enquadram no escopo de proteção das modalidades da presente revelação.
[0365] Quando uma unidade integrada é usada, a FIG. 13 é um possível diagrama de bloco de exemplo de outro aparelho, de acordo com uma modalidade da presente revelação. O aparelho 1300 pode existir em uma forma de software, ou pode ser um nó AMF, ou pode ser um chip em um nó AMF. O aparelho 1300 inclui uma unidade de processamento 1302 e uma unidade de comunicações 1303. A unidade de processamento 1302 é configurada para controlar e gerenciar uma ação do aparelho 1300. Por exemplo, a unidade de processamento 1302 é configurada para suportar o aparelho 1300 realizando a etapa 802 na FIG. 8, e/ou é configurada para realizar outro processo da tecnologia descrito nesta especificação. A unidade de comunicações 1303 é configurada para suportar a comunicação entre o aparelho 1300 e outra entidade da rede (por exemplo, um dispositivo de rede de acesso e um nó SMF). O aparelho 1300 pode incluir, além disso, uma unidade de armazenamento 1301, configurada para armazenar o código de programa e os dados do aparelho 1300.
[0366] A unidade de processamento 1302 pode ser um processador ou um controlador, por exemplo, uma CPU, um processador de uso geral, um DSP, um ASIC, um FPGA ou outro dispositivo lógico programável, um dispositivo lógico do transistor, um componente de hardware ou qualquer combinação dos mesmos. A unidade de processamento 1302 pode implementar ou executar vários exemplos de blocos lógicos, módulos e circuitos que são descritos com referência ao conteúdo revelado na presente revelação. Alternativamente, o processador pode ser uma combinação para implementar uma função de computação, por exemplo, uma combinação de um ou mais microprocessadores ou uma combinação de um DSP e um microprocessador. A unidade de comunicações 1303 pode ser uma interface de comunicações, um transceptor, um circuito transceptor ou semelhantes, e a interface de comunicações é um termo geral. Na implementação específica, a interface de comunicações pode incluir uma pluralidade de interfaces, por exemplo, pode incluir uma interface entre um nó AMF e um dispositivo de rede de acesso e/ou outra interface. A unidade de armazenamento 1301 pode ser uma memória.
[0367] Quando a unidade de processamento 1302 é um processador, a unidade de comunicações 1303 é uma interface de comunicações, e a unidade de armazenamento 1301 é uma memória, o aparelho 1300 nesta modalidade da presente revelação pode ser um nó AMF mostrado na FIG. 14.
[0368] Como mostrado na FIG. 14, o nó AMF 1400 inclui um processador 1402, uma interface de comunicações 1403 e uma memória 1401. Opcionalmente, o nó AMF 1400 pode incluir, além disso, um barramento 1404. A interface de comunicações 1403, o processador 1402 e a memória 1401 podem ser conectados um ao outro por meio do uso do barramento 1404. O barramento 1404 pode ser um barramento de interconexão de componentes periféricos (Peripheral Component Interconnect, PCI), um barramento de arquitetura padrão de indústria estendida (Extended Industry Standard Architecture, EISA) ou semelhantes. O barramento 1404 pode ser classificado em um barramento de endereço, um barramento de dados, um barramento de controle e semelhantes. Para facilitar a indicação, o barramento é indicado por meio do uso de apenas uma linha em negrito na FIG. 14. Entretanto, isso não indica que exista apenas um barramento ou apenas um tipo de barramento.
[0369] Quando uma unidade integrada é usada, a FIG. 15 é um possível diagrama de bloco de exemplo de outro aparelho, de acordo com uma modalidade da presente revelação. O aparelho 1500 pode existir em uma forma de software, ou pode ser um nó SMF, ou pode ser um chip em um nó SMF. O aparelho 1500 inclui uma unidade de processamento 1502 e uma unidade de comunicações 1503. A unidade de processamento 1502 é configurada para controlar e gerenciar uma ação do aparelho 1500. Por exemplo, a unidade de processamento 1502 é configurada para suportar o aparelho 1500 realizando a etapa 503 na FIG. 5, a etapa 804 na FIG. 8, e a etapa 904 na FIG. 9, e/ou é configurada para realizar outro processo da tecnologia descrito nesta especificação. A unidade de comunicações 1503 é configurada para suportar a comunicação entre o aparelho 1500 e outra entidade da rede (por exemplo, um dispositivo de rede de acesso e um nó SMF). O aparelho 1500 pode incluir, além disso, uma unidade de armazenamento 1501, configurada para armazenar o código de programa e os dados do aparelho 1500.
[0370] A unidade de processamento 1502 pode ser um processador ou um controlador, por exemplo, uma CPU, um processador de uso geral, um DSP, um ASIC, um FPGA ou outro dispositivo lógico programável, um dispositivo lógico do transistor, um componente de hardware ou qualquer combinação dos mesmos. A unidade de processamento 1502 pode implementar ou executar vários exemplos de blocos lógicos, módulos e circuitos que são descritos com referência ao conteúdo revelado na presente revelação. Alternativamente, o processador pode ser uma combinação para implementar uma função de computação, por exemplo, uma combinação de um ou mais microprocessadores ou uma combinação de um DSP e um microprocessador. A unidade de comunicações 1503 pode ser uma interface de comunicações, um transceptor, um circuito transceptor ou semelhantes, e a interface de comunicações é um termo geral. Na implementação específica, a interface de comunicações pode incluir uma pluralidade de interfaces, por exemplo, pode incluir uma interface entre um nó SMF e um dispositivo de rede de acesso e/ou outra interface. A unidade de armazenamento 1501 pode ser uma memória.
[0371] Quando a unidade de processamento 1502 é um processador, a unidade de comunicações 1503 é uma interface de comunicações, e a unidade de armazenamento 1501 é uma memória, o aparelho 1500 nesta modalidade da presente revelação pode ser um nó SMF mostrado na FIG. 16.
[0372] Como mostrado na FIG. 16, o nó SMF 1600 inclui um processador 1602, uma interface de comunicações 1603 e uma memória 1601. Opcionalmente, o nó SMF 1600 pode incluir, além disso, um barramento 1604. A interface de comunicações 1603, o processador 1602 e a memória 1601 podem ser conectados um ao outro por meio do uso do barramento 1604. O barramento 1604 pode ser um barramento de interconexão de componentes periféricos (Peripheral Component Interconnect, PCI), um barramento de arquitetura padrão de indústria estendida (Extended Industry Standard Architecture, EISA) ou semelhantes. O barramento 1604 pode ser classificado em um barramento de endereço, um barramento de dados, um barramento de controle e semelhantes. Para facilitar a indicação, o barramento é indicado por meio do uso de apenas uma linha em negrito na FIG. 16. Entretanto, isso não indica que exista apenas um barramento ou apenas um tipo de barramento.
[0373] Quando uma unidade integrada é usada, a FIG. 17 é um diagrama de bloco esquemático de ainda outro aparelho, de acordo com uma modalidade da presente revelação. O aparelho 1700 pode existir em uma forma de software, ou pode ser um terminal, ou pode ser um chip em um terminal. O aparelho 1700 inclui uma unidade de processamento 1702 e uma unidade de comunicações 1703. A unidade de processamento 1702 é configurada para controlar e gerenciar uma ação do aparelho 1700. Por exemplo, a unidade de processamento 1702 é configurada para suportar o aparelho 1700 realizando a etapa 308 na FIG. 3B, a etapa 608 na FIG. 6, a etapa 708 na FIG. 7A, e a etapa 809 na FIG. 8, e/ou é configurada para realizar outro processo da tecnologia descrito nesta especificação. A unidade de comunicações 1703 é configurada para suportar a comunicação entre o aparelho 1700 e outra entidade da rede (por exemplo, um dispositivo de rede de acesso). O aparelho 1700 pode incluir, além disso, uma unidade de armazenamento 1701, configurada para armazenar o código de programa e os dados do aparelho 1700.
[0374] A unidade de processamento 1702 pode ser um processador ou um controlador, por exemplo, uma CPU, um processador de uso geral, um DSP, um ASIC, um FPGA ou outro dispositivo lógico programável, um dispositivo lógico do transistor, um componente de hardware ou qualquer combinação dos mesmos. A unidade de processamento 1702 pode implementar ou executar vários exemplos de blocos lógicos, módulos e circuitos que são descritos com referência ao conteúdo revelado na presente revelação. Alternativamente, o processador pode ser uma combinação para implementar uma função de computação, por exemplo, uma combinação de um ou mais microprocessadores ou uma combinação de um DSP e um microprocessador. A unidade de comunicações 1703 pode ser um transceptor, um circuito transceptor, uma interface de comunicações ou semelhantes. A unidade de armazenamento 1701 pode ser uma memória.
[0375] Quando a unidade de processamento 1702 é um processador, a unidade de comunicações 1703 é um transceptor, e a unidade de armazenamento 1701 é uma memória, o terminal nesta modalidade da presente revelação pode ser um terminal mostrado na FIG. 18.
[0376] A FIG. 18 é um diagrama esquemático simplificado de uma possível estrutura de projeto de um terminal em uma modalidade da presente revelação. O terminal 1800 inclui um transmissor 1801, um receptor 1802 e um processador 1803. O processador 1803 também pode ser um controlador, e é indicado como um “controlador/processador 1803” na FIG. 18. Opcionalmente, o terminal 1800 pode incluir, além disso, um processador de modem 1805, e o processador de modem 1805 pode incluir um codificador 1806, um modulador 1807, um decodificador 1808 e um demodulador 1809.
[0377] Em um exemplo, o transmissor 1801 ajusta (por exemplo, realiza a conversão análoga, filtragem, amplificação e conversão ascendente) uma amostra de saída e gera um sinal de enlace ascendente. O sinal de enlace ascendente é transmitido para a estação de base nas modalidades anteriores por meio do uso de uma antena. Em um enlace descendente, a antena recebe um sinal de enlace descendente transmitido pela estação de base nas modalidades anteriores. O receptor 1802 ajusta (por exemplo, realiza a filtragem, amplificação, conversão descendente e digitalização) um sinal recebido a partir da antena e fornece uma amostra de entrada. No processador de modem 1805, o codificador 1807 recebe os dados de serviço e uma mensagem de sinalização que devem ser enviados em um enlace ascendente, e processa (por exemplo, realiza a formatação, codificação e intercalação) os dados de serviço e a mensagem de sinalização. O modulador 1807 processa, além disso (por exemplo, realiza o mapeamento e modulação de símbolos), os dados de serviço codificados e uma mensagem de sinalização codificada, e fornece uma amostra de saída. O demodulador 1809 processa (por exemplo, realiza a demodulação) a amostra de entrada e fornece a estimativa do símbolo. O decodificador 1808 processa (por exemplo, realiza a desintercalação e decodificação) a estimativa do símbolo e fornece os dados e uma mensagem de sinalização que são decodificados e enviados para o terminal 1800. O codificador 1807, o modulador 1807, o demodulador 1809 e o decodificador 1808 podem ser implementados pelo processador de modem integrado 1805. As unidades realizam o processamento com base em uma tecnologia de acesso por rádio (por exemplo, tecnologias de acesso de LTE e outro sistema evoluído) usado em uma rede de acesso por rádio. Deve ser observado que quando o terminal 1800 não inclui o processador de modem 1805, as funções anteriores do processador de modem 1805 podem ser implementadas pelo processador 1803.
[0378] O processador 1803 controla e gerencia uma ação do terminal 1800, e é configurado para realizar os processos de processamento realizados pelo terminal 1800 nas modalidades anteriores da presente revelação. Por exemplo, o processador 1803 é configurado, além disso, para realizar os processos de processamento do terminal nos métodos mostrados na FIG. 3A à FIG. 6 e/ou outro processo das soluções técnicas descritas nesta aplicação.
[0379] Além disso, o terminal 1800 pode incluir uma memória 1804, e a memória 1804 é configurada para armazenar o código de programa e os dados usados para o terminal 1800.
[0380] Os métodos ou etapas do algoritmo descritos com referência ao conteúdo revelado nesta aplicação podem ser implementados em uma maneira de hardware, ou podem ser implementados em uma maneira de execução de uma instrução de software por um processador. A instrução de software pode incluir um modulo de software correspondente. O módulo de software pode ser armazenado em uma memória de acesso aleatório (Random Access Memory, RAM), uma memória flash, uma memória somente de leitura (Read-Only Memory, ROM), uma memória programável apagável somente de leitura (Erasable Programmable ROM, EPROM), uma memória programável apagável eletricamente somente de leitura (Eletrically EPROM, EEPROM), um registro, um disco rígido, um disco rígido removível, uma memória somente de leitura de disco compacto (CD-ROM), ou uma mídia de armazenamento em qualquer outra forma bem conhecida na técnica. Uma mídia de armazenamento de exemplo é acoplada ao processador, de modo que o processador possa ler as informações a partir da mídia de armazenamento, e possa gravar as informações na mídia de armazenamento. Certamente, a mídia de armazenamento pode ser um componente do processador. O processador e a mídia de armazenamento podem estar localizados em um ASIC. Além disso, o ASIC pode estar localizado em um dispositivo de interface de rede principal. Certamente, o processador e a mídia de armazenamento podem existir no dispositivo de interface de rede principal como componentes distintos.
[0381] Nas várias modalidades fornecidas neste pedido, deve ser entendido que o sistema, aparelho e método revelados podem ser implementados de outras maneiras. Por exemplo, a modalidade de aparelho descrita é meramente um exemplo. Por exemplo, a divisão de unidade é meramente a divisão de função lógica e pode ser outra divisão na implementação real. Por exemplo, uma pluralidade de unidades ou componentes pode ser combina ou integrada em outro sistema, ou alguns recursos podem ser ignorados ou não realizados. Além disso, os acoplamentos mútuos exibidos ou discutidos, acoplamentos diretos ou conexões de comunicação podem ser implementados através de algumas interfaces. Os acoplamentos indiretos ou as conexões de comunicação entre os aparelhos ou unidades podem ser implementados em formas eletrônicas ou outras formas.
[0382] As unidades descritas como partes separadas podem ou não podem ser separadas fisicamente, e as partes exibidas como unidades podem ou não podem ser unidades físicas, podem estar localizadas em uma posição, ou podem ser distribuídas em uma pluralidade de dispositivos de rede. Algumas ou todas das unidades podem ser selecionadas com base nas necessidades reais para obter os objetivos das soluções das modalidades.
[0383] Além disso, as unidades funcionais nas modalidades da presente revelação podem ser integradas em uma unidade de processamento, ou cada uma das unidades funcionais pode existir sozinha, ou duas ou mais unidades são integradas em uma unidade. A unidade integrada pode ser implementada em uma forma de hardware, ou pode ser implementada em uma forma de hardware além de uma unidade funcional de software.
[0384] Com base nas descrições anteriores das implementações, um técnico no assunto pode entender claramente que esta aplicação pode ser implementada por software além do hardware universal necessário ou, certamente, apenas por hardware. Na maioria das circunstâncias, o primeiro é uma implementação preferida. Com base em tal entendimento, as soluções técnicas desta aplicação, essencialmente ou a parte que contribui para o estado da técnica, podem ser implementadas em uma forma de um produto de software. O produto de software de computador é armazenado em uma mídia de armazenamento legível, tal como um disquete, um disco rígido ou um disco óptico de um computador, e inclui várias instruções para instruir um dispositivo de computador (que pode ser um computador pessoal, um servidor, um dispositivo de rede ou semelhantes) a realizar os métodos descritos nas modalidades deste pedido.
[0385] As descrições anteriores são meramente implementações específicas desta aplicação, mas não se destinam a limitar o escopo de proteção deste pedido. Qualquer variação ou substituição revelada neste pedido deve estar dentro do escopo de proteção deste pedido. Portanto, o escopo de proteção deste pedido deve estar sujeito ao escopo de proteção das reivindicações.

Claims (49)

REIVINDICAÇÕES
1. Método de proteção de segurança, o método é aplicado a um cenário no qual um terminal é mudado automaticamente de um dispositivo de rede de acesso fonte para um dispositivo de rede de acesso alvo, CARACTERIZADO pelo fato de que compreende: receber (302), pelo dispositivo de rede de acesso alvo a partir do dispositivo de rede de acesso fonte, uma correspondência entre uma política de segurança e um identificador de sessão PDU; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; e determinar (303), pelo dispositivo de rede de acesso alvo com base na correspondência entre a política de segurança e o identificador de sessão PDU, um primeiro algoritmo de proteção de plano de usuário correspondente ao identificador de sessão PDU, em que o primeiro algoritmo de proteção de plano de usuário compreende um ou ambos dentre um algoritmo de encriptação de plano de usuário e um algoritmo de proteção de integridade de plano de usuário.
2. Método, de acordo com a reivindicação 1, CARACTERIZADO pelo fato de que o método compreende adicionalmente: determinar, pelo dispositivo de rede de acesso alvo, um algoritmo de proteção de plano de sinalização, em que o algoritmo de proteção de plano de sinalização compreende um ou ambos dentre um algoritmo de encriptação de plano de sinalização e um algoritmo de proteção de integridade de plano de sinalização.
3. Método, de acordo com a reivindicação 1 ou 2, CARACTERIZADO pelo fato de que o método compreende adicionalmente: determinar, pelo dispositivo de rede de acesso alvo, que o primeiro algoritmo de proteção de plano de usuário é um algoritmo de proteção de plano de sinalização.
4. Método, de acordo com a reivindicação 2 ou 3, CARACTERIZADO pelo fato de que o método compreende adicionalmente: enviar, pelo dispositivo de rede de acesso alvo, primeiras informações de indicação para um terminal por meio do uso do dispositivo de rede de acesso fonte, em que as primeiras informações de indicação são usadas para indicar que o primeiro algoritmo de proteção de plano de usuário é o mesmo que o algoritmo de proteção de plano de sinalização, ou as primeiras informações de indicação são usadas para indicar um identificador do algoritmo de proteção de plano de sinalização determinado pelo dispositivo de rede de acesso alvo.
5. Método, de acordo com qualquer uma das reivindicações 1 a 4, CARACTERIZADO pelo fato de que a política de segurança compreende um identificador de algoritmo de proteção de plano de usuário, e a determinação, pelo dispositivo de rede de acesso alvo com base na correspondência entre informações de plano de usuário e uma política de segurança, de um primeiro algoritmo de proteção de plano de usuário correspondente às informações de plano de usuário compreende: determinar, pelo dispositivo de rede de acesso alvo, um segundo algoritmo de proteção de plano de usuário correspondente ao identificador de algoritmo de proteção de plano de usuário; e se ambos o dispositivo de rede de acesso alvo e um terminal suportarem o segundo algoritmo de proteção de plano de usuário, determinar, pelo dispositivo de rede de acesso alvo, que o segundo algoritmo de proteção de plano de usuário é o primeiro algoritmo de proteção de plano de usuário; ou se o dispositivo de rede de acesso alvo ou um terminal não suportar o segundo algoritmo de proteção de plano de usuário, selecionar, pelo dispositivo de rede de acesso alvo a partir de um conjunto de algoritmos de segurança correspondente a um tipo de proteção de segurança ao qual o segundo algoritmo de proteção de plano de usuário pertence, o primeiro algoritmo de proteção de plano de usuário suportado por ambos o dispositivo de rede de acesso alvo e o terminal.
6. Método, de acordo com qualquer uma das reivindicações 1 a 5, CARACTERIZADO pelo fato de que a determinação, pelo dispositivo de rede de acesso alvo com base na correspondência entre a política de segurança e o identificador de sessão PDU, de um primeiro algoritmo de proteção de plano de usuário correspondente ao identificador de sessão PDU compreende: selecionar, pelo dispositivo de rede de acesso alvo de acordo com um conjunto de algoritmos de encriptação de plano de usuário, um algoritmo de encriptação de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta se a política de segurança indicar que proteção de encriptação de plano de usuário precisa ser ativada para a sessão PDU correspondente ao identificador de sessão PDU; selecionar, pelo dispositivo de rede de acesso alvo de acordo com um conjunto de algoritmos de proteção de integridade de plano de usuário, um algoritmo de proteção de integridade de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta se a política de segurança indicar que proteção de integridade de plano de usuário precisa ser ativada para a sessão PDU correspondente ao identificador de sessão PDU; ou selecionar, pelo dispositivo de rede de acesso alvo de acordo com um conjunto de algoritmos de encriptação de plano de usuário, um algoritmo de encriptação de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta e selecionar, pelo dispositivo de rede de acesso alvo de acordo com um conjunto de algoritmos de proteção de integridade de plano de usuário, um algoritmo de proteção de integridade de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta se a política de segurança indicar que ambas proteção de encriptação de plano de usuário e proteção de integridade de plano de usuário precisam ser ativadas para a sessão PDU correspondente ao identificador de sessão PDU.
7. Método, de acordo com qualquer uma das reivindicações 1 a 6, CARACTERIZADO pelo fato de que o método compreende adicionalmente: gerar (304), pelo dispositivo de rede de acesso alvo, uma chave de proteção de plano de usuário de acordo com o primeiro algoritmo de proteção de plano de usuário, em que a chave de proteção de plano de usuário compreende uma dentre ou ambas uma chave de encriptação de plano de usuário e uma chave de proteção de integridade de plano de usuário.
8. Método, de acordo com a reivindicação 7, CARACTERIZADO pelo fato de que o método compreende adicionalmente: enviar (307), pelo dispositivo de rede de acesso alvo para o terminal através do dispositivo de rede de acesso fonte, uma primeira mensagem protegida por meio do uso da chave de proteção de integridade de plano de usuário, em que a primeira mensagem compreende o primeiro algoritmo de proteção de plano de usuário.
9. Método, de acordo com a reivindicação 8, CARACTERIZADO pelo fato de que o método compreende adicionalmente:
receber (309), pelo dispositivo de rede de acesso alvo a partir do terminal, uma segunda mensagem protegida por meio do uso da chave de proteção de plano de usuário ou da chave de proteção de plano de sinalização, em que a segunda mensagem é uma mensagem de resposta da primeira mensagem.
10. Método, de acordo com qualquer uma das reivindicações 1 a 9, CARACTERIZADO pelo fato de que o método compreende adicionalmente: enviar (401), pelo dispositivo de rede de acesso alvo, a correspondência entre informações de plano de usuário e uma política de segurança para um nó de função de gerenciamento de mobilidade e acesso, AMF; e redeterminar (403), pelo dispositivo de rede de acesso alvo, o primeiro algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário de acordo com uma política de segurança do nó AMF se o dispositivo de rede de acesso alvo receber a política de segurança do nó AMF, e a política de segurança do nó AMF for diferente de uma política de segurança do dispositivo de rede de acesso fonte.
11. Método, de acordo com qualquer uma das reivindicações 1 a 9, CARACTERIZADO pelo fato de que o método compreende adicionalmente: enviar (401), pelo dispositivo de rede de acesso alvo, a correspondência entre informações de plano de usuário e uma política de segurança para um nó de função de gerenciamento de mobilidade e acesso, AMF; e redeterminar (404), pelo dispositivo de rede de acesso alvo, o primeiro algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário de acordo com uma política de segurança padrão se o dispositivo de rede de acesso alvo receber segundas informações de indicação do nó AMF e não receber política de segurança do nó AMF, e as segundas informações de indicação indicam que o dispositivo de rede de acesso alvo não pode usar uma política de segurança do dispositivo de rede de acesso fonte.
12. Método, de acordo com qualquer uma das reivindicações 1 a 9, CARACTERIZADO pelo fato de que o método compreende adicionalmente: enviar, pelo dispositivo de rede de acesso alvo através de um nó de função de gerenciamento de mobilidade e acesso, AMF, a correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso fonte para um nó de função de gerenciamento de sessão, SMF; e se receber uma política de segurança do nó SMF e a política de segurança recebida do nó SMF for diferente da política de segurança recebida do dispositivo de rede de acesso fonte, redeterminar, pelo dispositivo de rede de acesso alvo, um novo primeiro algoritmo de proteção de plano de usuário e uma nova chave de proteção de plano de usuário de acordo com a política de segurança recebida do nó SMF.
13. Método, de acordo com qualquer uma das reivindicações 1 a 9, CARACTERIZADO pelo fato de que o método compreende adicionalmente: enviar, pelo dispositivo de rede de acesso alvo através de um nó de função de gerenciamento de mobilidade e acesso, AMF, a correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso fonte para um nó de função de gerenciamento de sessão, SMF; e redeterminar, pelo dispositivo de rede de acesso alvo, um novo primeiro algoritmo de proteção de plano de usuário e uma nova chave de proteção de plano de usuário de acordo com uma política de segurança padrão se o dispositivo de rede de acesso alvo receber segundas informações de indicação do nó SMF através do nó AMF e não receber política de segurança do nó SMF, e as segundas informações de indicação indicam que o dispositivo de rede de acesso alvo não pode usar uma política de segurança do dispositivo de rede de acesso fonte.
14. Método de proteção de segurança, o método é aplicado a um cenário no qual um terminal é mudado automaticamente de um dispositivo de rede de acesso fonte para um dispositivo de rede de acesso alvo, CARACTERIZADO pelo fato de que compreende: obter (201), pelo dispositivo de rede de acesso fonte, uma correspondência entre uma política de segurança e um identificador de sessão PDU; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; e enviar (202), pelo dispositivo de rede de acesso fonte, a correspondência entre a política de segurança e o identificador de sessão PDU para um dispositivo de rede de acesso alvo.
15. Método, de acordo com a reivindicação 14, CARACTERIZADO pelo fato de que o método compreende adicionalmente: receber (307), pelo dispositivo de rede de acesso fonte a partir do dispositivo de rede de acesso alvo, uma primeira mensagem protegida por meio do uso de uma chave de proteção de integridade de plano de usuário ou de uma chave de proteção de integridade de sinalização, em que a primeira mensagem compreende o primeiro algoritmo de proteção de plano de usuário; enviar, pelo dispositivo de rede de acesso fonte, a primeira mensagem para o terminal.
16. Aparelho, compreendendo uma unidade de comunicações e uma unidade de processamento, CARACTERIZADO pelo fato de que a unidade de comunicações é configurada para receber uma correspondência entre uma política de segurança e um identificador de sessão PDU a partir de um dispositivo de rede de acesso fonte; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; a unidade de processamento é configurada para determinar, com base na correspondência entre a política de segurança e o identificador de sessão PDU, um primeiro algoritmo de proteção de plano de usuário correspondente ao identificador de sessão PDU, em que o primeiro algoritmo de proteção de plano de usuário compreende um dentre ou ambos um algoritmo de encriptação de plano de usuário e um algoritmo de proteção de integridade de plano de usuário.
17. Aparelho, de acordo com a reivindicação 16, CARACTERIZADO pelo fato de que a unidade de processamento é configurada adicionalmente para determinar um algoritmo de proteção de plano de sinalização, em que o algoritmo de proteção de plano de sinalização compreende um dentre ou ambos um algoritmo de encriptação de plano de sinalização e um algoritmo de proteção de integridade de plano de sinalização.
18. Aparelho, de acordo com a reivindicação 16 ou 17, CARACTERIZADO pelo fato de que a unidade de processamento é configurada adicionalmente para determinar que o primeiro algoritmo de proteção de plano de usuário é um algoritmo de proteção de plano de sinalização.
19. Aparelho, de acordo com a reivindicação 17 ou 18, CARACTERIZADO pelo fato de que a primeira unidade de comunicações é configurada adicionalmente para enviar primeiras informações de indicação para um terminal por meio do uso do dispositivo de rede de acesso fonte, em que as primeiras informações de indicação são usadas para indicar que o primeiro algoritmo de proteção de plano de usuário é o mesmo que o algoritmo de proteção de plano de sinalização, ou as primeiras informações de indicação são usadas para indicar um identificador do algoritmo de proteção de plano de sinalização determinado pelo dispositivo de rede de acesso alvo.
20. Aparelho, de acordo com qualquer uma das reivindicações 16 a 19, CARACTERIZADO pelo fato de que a política de segurança compreende um identificador de algoritmo de proteção de plano de usuário, e a unidade de processamento é configurada especificamente para determinar um segundo algoritmo de proteção de plano de usuário correspondente ao identificador de algoritmo de proteção de plano de usuário; e se ambos o aparelho e um terminal suportarem o segundo algoritmo de proteção de plano de usuário, a unidade de processamento determina que o segundo algoritmo de proteção de plano de usuário é o primeiro algoritmo de proteção de plano de usuário; ou se o aparelho ou um terminal não suportar o segundo algoritmo de proteção de plano de usuário, a unidade de processamento seleciona, a partir de um conjunto de algoritmos de segurança correspondente a um tipo de proteção de segurança ao qual o segundo algoritmo de proteção de plano de usuário pertence, o primeiro algoritmo de proteção de plano de usuário suportado por ambos o dispositivo de rede de acesso alvo e o terminal.
21. Aparelho, de acordo com qualquer uma das reivindicações 16 a 20, CARACTERIZADO pelo fato de que a unidade de processamento é configurada especificamente para: selecionar, de acordo com um conjunto de algoritmos de encriptação de plano de usuário, um algoritmo de encriptação de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta se a política de segurança indicar que proteção de encriptação de plano de usuário precisa ser ativada para a sessão PDU correspondente ao identificador de sessão PDU;
selecionar, de acordo com um conjunto de algoritmos de proteção de integridade de plano de usuário, um algoritmo de proteção de integridade de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta se a política de segurança indicar que proteção de integridade de plano de usuário precisa ser ativada para a sessão PDU correspondente ao identificador de sessão PDU; ou selecionar, de acordo com um conjunto de algoritmos de encriptação de plano de usuário, um algoritmo de encriptação de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta e selecionar, de acordo com um conjunto de algoritmos de proteção de integridade de plano de usuário, um algoritmo de proteção de integridade de plano de usuário que é suportado pelo terminal e que tem uma prioridade mais alta se a política de segurança indicar que ambas proteção de encriptação de plano de usuário e proteção de integridade de plano de usuário precisam ser ativadas para a sessão PDU correspondente ao identificador de sessão PDU.
22. Aparelho, de acordo com qualquer uma das reivindicações 16 a 21, CARACTERIZADO pelo fato de que a unidade de processamento é configurada especificamente para: gerar uma chave de proteção de plano de usuário de acordo com o algoritmo de proteção de plano de usuário, em que a chave de proteção de plano de usuário compreende uma dentre ou ambas uma chave de encriptação de plano de usuário e uma chave de proteção de integridade de plano de usuário.
23. Aparelho, de acordo com a reivindicação 22, CARACTERIZADO pelo fato de que a unidade de comunicações é configurada para enviar uma primeira mensagem protegida por meio do uso da chave de proteção de integridade de plano de usuário ou da chave de proteção de integridade de plano de sinalização para o terminal através do dispositivo de rede de acesso fonte, em que a primeira mensagem compreende o primeiro algoritmo de proteção de plano de usuário.
24. Aparelho, de acordo com a reivindicação 23, CARACTERIZADO pelo fato de que o aparelho compreende adicionalmente uma segunda unidade de comunicações, em que a segunda unidade de comunicações é configurada para receber, a partir do terminal, uma segunda mensagem protegida por meio do uso da chave de proteção de plano de usuário ou da chave de proteção de plano de sinalização, em que a segunda mensagem é uma mensagem de resposta da primeira mensagem.
25. Aparelho, de acordo com qualquer uma das reivindicações 16 a 24, CARACTERIZADO pelo fato de que a primeira unidade de comunicações é configurada adicionalmente para enviar, para um nó de função de gerenciamento de mobilidade e acesso, AMF, a correspondência que está entre informações de plano de usuário e uma política de segurança que é recebida pela primeira unidade de comunicações; e a unidade de processamento é configurada adicionalmente para redeterminar o primeiro algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário de acordo com uma política de segurança do nó AMF se a primeira unidade de comunicações receber a política de segurança do nó AMF, e a política de segurança do nó AMF for diferente de uma política de segurança do dispositivo de rede de acesso fonte.
26. Aparelho, de acordo com qualquer uma das reivindicações 16 a 24, CARACTERIZADO pelo fato de que a unidade de processamento é configurada adicionalmente para redeterminar o primeiro algoritmo de proteção de plano de usuário e a chave de proteção de plano de usuário de acordo com uma política de segurança padrão se a primeira unidade de comunicações receber segundas informações de indicação do nó AMF e não receber política de segurança do nó AMF, e as segundas informações de indicação indicam que o dispositivo de rede de acesso alvo não pode usar uma política de segurança do dispositivo de rede de acesso fonte.
27. Aparelho, de acordo com qualquer uma das reivindicações 16 a 24, CARACTERIZADO pelo fato de que a unidade de comunicações é configurada adicionalmente para enviar, através de um nó de função de gerenciamento de mobilidade e acesso, AMF, a correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso fonte para um nó de função de gerenciamento de sessão, SMF; e a unidade de processamento é configurada especificamente para redeterminar um novo primeiro algoritmo de proteção de plano de usuário e uma nova chave de proteção de plano de usuário de acordo com a política de segurança recebida do nó SMF se a unidade de comunicações receber uma política de segurança do nó SMF e a política de segurança recebida do nó SMF for diferente da política de segurança recebida do dispositivo de rede de acesso fonte.
28. Aparelho, de acordo com qualquer uma das reivindicações 16 a 24, CARACTERIZADO pelo fato de que a unidade de comunicações é configurada adicionalmente para enviar, através de um nó de função de gerenciamento de mobilidade e acesso, AMF, a correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso fonte para um nó de função de gerenciamento de sessão, SMF; e a unidade de processamento é configurada especificamente para redeterminar um novo primeiro algoritmo de proteção de plano de usuário e uma nova chave de proteção de plano de usuário de acordo com uma política de segurança padrão se o dispositivo de rede de acesso alvo receber segundas informações de indicação do nó SMF através do nó AMF e não receber política de segurança do nó SMF, e as segundas informações de indicação indicam que o dispositivo de rede de acesso alvo não pode usar uma política de segurança do dispositivo de rede de acesso fonte.
29. Aparelho, compreendendo uma unidade de comunicações e uma unidade de processamento, CARACTERIZADO pelo fato de que: a unidade de processamento é configurada para obter uma correspondência entre uma política de segurança e um identificador de sessão PDU; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; e a unidade de comunicações é configurada para enviar a correspondência entre a política de segurança e o identificador de sessão PDU para um dispositivo de rede de acesso alvo.
30. Aparelho, de acordo com a reivindicação 29, CARACTERIZADO pelo fato de que a unidade de comunicações é configurada para receber, a partir do dispositivo de rede de acesso alvo, uma primeira mensagem protegida por meio do uso de uma chave de proteção de integridade de plano de usuário ou de uma chave de proteção de integridade de sinalização, em que a primeira mensagem compreende o primeiro algoritmo de proteção de plano de usuário; e enviar a primeira mensagem para o terminal.
31. Dispositivo de rede de acesso, CARACTERIZADO pelo fato de que compreende: um processador; e uma memória acoplada ao processador e que tem instruções de programa armazenadas na mesma as quais, quando executadas pelo processador, levam o dispositivo de rede de acesso a realizar o método conforme definido em qualquer uma das reivindicações 1 a 13.
32. Dispositivo de rede de acesso, CARACTERIZADO pelo fato de que compreende: um processador; e uma memória acoplada ao processador e que tem instruções de programa armazenadas na mesma as quais, quando executadas pelo processador, levam o dispositivo de rede de acesso a realizar o método conforme definido na reivindicação 14 ou 15.
33. Mídia de armazenamento legível por computador, CARACTERIZADA pelo fato de que a mídia de armazenamento de computador armazena instruções, quando a instrução é rodada em um computador, o computador é levado a realizar o método conforme definido em qualquer uma das reivindicações 1 a 13.
34. Mídia de armazenamento legível por computador, CARACTERIZADA pelo fato de que a mídia de armazenamento de computador armazena instruções, quando a instrução é rodada em um computador, o computador é levado a realizar o método conforme definido na reivindicação 14 ou 15.
35. Sistema de comunicação aplicado a um cenário no qual um terminal é mudado automaticamente de um dispositivo de rede de acesso fonte para um dispositivo de rede de acesso alvo, CARACTERIZADO pelo fato de que compreende um nó de função de gerenciamento de sessão e um nó de função de gerenciamento de mobilidade e acesso; o nó de função de gerenciamento de mobilidade e acesso é configurado para receber uma correspondência entre uma política de segurança e um identificador de sessão PDU do dispositivo de rede de acesso alvo; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão
PDU associada ao identificador de sessão PDU; enviar a correspondência entre a política de segurança e o identificador de sessão PDU para o nó de função de gerenciamento de sessão; o nó de função de gerenciamento de sessão é configurado para receber a correspondência entre a política de segurança e o identificador de sessão PDU do nó de função de gerenciamento de mobilidade e acesso; determinar se a segurança recebida correspondente ao identificador de sessão PDU é a mesma que uma política de segurança armazenada localmente correspondente ao identificador de sessão PDU; e enviar a política de segurança armazenada localmente correspondente ao identificador de sessão PDU para o dispositivo de rede de acesso alvo através do nó de função de gerenciamento de mobilidade e acesso se a segurança recebida correspondente ao identificador de sessão PDU for diferente da política de segurança armazenada localmente correspondente ao identificador de sessão PDU.
36. Sistema, de acordo com a reivindicação 35, CARACTERIZADO pelo fato de que o sistema compreende adicionalmente o dispositivo de rede de acesso fonte e o dispositivo de rede de acesso alvo; o dispositivo de rede de acesso fonte é configurado para enviar a correspondência entre a política de segurança e o identificador de sessão PDU para o dispositivo de rede de acesso alvo; o dispositivo de rede de acesso alvo é configurado para receber a correspondência entre a política de segurança e o identificador de sessão PDU do dispositivo de rede de acesso fonte; enviar a correspondência entre a política de segurança e o identificador de sessão PDU para o nó de função de gerenciamento de sessão através do nó de função de gerenciamento de mobilidade e acesso; e receber a política de segurança armazenada localmente do nó de função de gerenciamento de sessão através do nó de função de gerenciamento de mobilidade e acesso.
37. Sistema, de acordo com a reivindicação 36, CARACTERIZADO pelo fato de que o dispositivo de rede de acesso alvo é configurado para determinar, com base na correspondência entre a política de segurança e o identificador de sessão PDU, um primeiro algoritmo de proteção de plano de usuário correspondente ao identificador de sessão PDU antes de enviar a correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso fonte para o nó de função de gerenciamento de sessão através do nó de função de gerenciamento de mobilidade e acesso.
38. Sistema, de acordo com a reivindicação 37, CARACTERIZADO pelo fato de que o dispositivo de rede de acesso alvo é configurado para redeterminar um novo primeiro algoritmo de proteção de plano de usuário e uma nova chave de proteção de plano de usuário de acordo com a política de segurança recebida do nó SMF depois de receber a política de segurança armazenada localmente do nó de função de gerenciamento de sessão.
39. Método de proteção de segurança, o método é aplicado a um cenário no qual um terminal é mudado automaticamente de um dispositivo de rede de acesso fonte para um dispositivo de rede de acesso alvo, CARACTERIZADO pelo fato de que compreende: receber, por um nó de função de gerenciamento de sessão através de um nó de função de gerenciamento de mobilidade e acesso, uma correspondência entre uma política de segurança e um identificador de sessão PDU do dispositivo de rede de acesso alvo; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; determinar, pelo nó de função de gerenciamento de sessão, se a segurança recebida correspondente ao identificador de sessão PDU é a mesma que uma política de segurança armazenada localmente correspondente ao identificador de sessão PDU; e enviar, pelo nó de função de gerenciamento de sessão, a política de segurança armazenada localmente correspondente ao identificador de sessão PDU para o dispositivo de rede de acesso alvo através do nó de função de gerenciamento de mobilidade e acesso se a segurança recebida correspondente ao identificador de sessão PDU for diferente da política de segurança armazenada localmente correspondente ao identificador de sessão PDU.
40. Método, de acordo com a reivindicação 39, CARACTERIZADO pelo fato de que o recebimento, através do nó de função de gerenciamento de mobilidade e acesso, da correspondência entre a política de segurança e o identificador de sessão PDU do dispositivo de rede de acesso alvo compreende: receber, pelo nó de função de gerenciamento de sessão a partir do nó de função de gerenciamento de mobilidade e acesso, uma mensagem de solicitação de gerenciamento de sessão, SM, em que a mensagem de solicitação SM compreende informações de identidade do terminal e a correspondência entre a política de segurança e o identificador de sessão PDU; o envio da política de segurança armazenada localmente correspondente ao identificador de sessão PDU para o dispositivo de rede de acesso alvo através do nó de função de gerenciamento de mobilidade e acesso compreende: enviar, pelo nó de função de gerenciamento de sessão para o nó de função de gerenciamento de mobilidade e acesso uma mensagem de resposta SM, em que a mensagem de resposta SM compreende a política de segurança resselecionada pelo nó de função de gerenciamento de sessão de acordo com o identificador de sessão PDU.
41. Método de proteção de segurança, o método é aplicado a um cenário no qual um terminal é mudado automaticamente de um dispositivo de rede de acesso fonte para um dispositivo de rede de acesso alvo, CARACTERIZADO pelo fato de que compreende: receber, por um nó de função de gerenciamento de mobilidade e acesso, uma correspondência entre uma política de segurança e um identificador de sessão PDU do dispositivo de rede de acesso alvo; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; enviar, pelo nó de função de gerenciamento de mobilidade e acesso, a correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso alvo para um nó de função de gerenciamento de sessão; receber, pelo nó de função de gerenciamento de mobilidade e acesso a partir do nó de função de gerenciamento de sessão, uma política de segurança resselecionada pelo nó de função de gerenciamento de sessão de acordo com o identificador de sessão PDU; enviar, pelo nó de função de gerenciamento de mobilidade e acesso,
a política de segurança resselecionada para o dispositivo de rede de acesso alvo.
42. Método, de acordo com a reivindicação 41, CARACTERIZADO pelo fato de: receber, pelo nó de função de gerenciamento de mobilidade e acesso a partir do dispositivo de rede de acesso alvo, uma mensagem de comutação de trajetória N2, em que a mensagem de comutação de trajetória N2 compreende a correspondência entre a política de segurança e o identificador de sessão PDU recebida pelo dispositivo de rede de acesso alvo a partir do dispositivo de rede de acesso fonte; o envio, pelo nó de função de gerenciamento de mobilidade e acesso, da correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso alvo para o nó de função de gerenciamento de sessão compreende: enviar, pelo nó de função de gerenciamento de mobilidade e acesso, uma mensagem de solicitação de gerenciamento de sessão, SM, para o nó de função de gerenciamento de sessão; em que a mensagem de solicitação SM compreende informações de identidade do terminal e a correspondência entre a política de segurança e o identificador de sessão PDU; o recebimento, pelo nó de função de gerenciamento de mobilidade e acesso a partir do nó de função de gerenciamento de sessão, da política de segurança resselecionada por nó de função de gerenciamento de sessão correspondente ao identificador de sessão PDU compreende: receber, pelo nó de função de gerenciamento de mobilidade e acesso a partir do nó de função de gerenciamento de sessão, uma mensagem de resposta SM, em que a mensagem de resposta SM compreende a política de segurança resselecionada pelo nó de função de gerenciamento de sessão de acordo com o identificador de sessão PDU.
43. Aparelho aplicado a um cenário no qual um terminal é mudado automaticamente de um dispositivo de rede de acesso fonte para um dispositivo de rede de acesso alvo, compreendendo uma unidade de comunicações e uma unidade de processamento, CARACTERIZADO pelo fato de que: a unidade de comunicações é configurada para receber, através de um nó de função de gerenciamento de mobilidade e acesso, uma correspondência entre uma política de segurança e um identificador de sessão PDU do dispositivo de rede de acesso alvo; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; a unidade de processamento é configurada para determinar se a segurança recebida correspondente ao identificador de sessão PDU é a mesma que uma política de segurança armazenada localmente correspondente ao identificador de sessão PDU; e a unidade de comunicações é configurada para enviar a política de segurança armazenada localmente correspondente ao identificador de sessão PDU para o dispositivo de rede de acesso alvo através do nó de função de gerenciamento de mobilidade e acesso se a segurança recebida correspondente ao identificador de sessão PDU for diferente da política de segurança armazenada localmente correspondente ao identificador de sessão PDU.
44. Aparelho aplicado a um cenário no qual um terminal é mudado automaticamente de um dispositivo de rede de acesso fonte para um dispositivo de rede de acesso alvo, compreendendo uma unidade de comunicações e uma unidade de processamento, CARACTERIZADO pelo fato de que a unidade de processamento é usada para controlar a unidade de comunicações para realizar as seguintes ações: receber uma correspondência entre uma política de segurança e um identificador de sessão PDU do dispositivo de rede de acesso alvo; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; enviar a correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso alvo para um nó de função de gerenciamento de sessão; receber, a partir do nó de função de gerenciamento de sessão, uma política de segurança resselecionada pelo nó de função de gerenciamento de sessão correspondente ao identificador de sessão PDU; enviar a política de segurança resselecionada para o dispositivo de rede de acesso alvo.
45. Aparelho aplicado a um cenário no qual um terminal é mudado automaticamente de um dispositivo de rede de acesso fonte para um dispositivo de rede de acesso alvo, compreendendo uma unidade de comunicações e uma unidade de processamento, CARACTERIZADO pelo fato de que a unidade de processamento é usada para controlar a unidade de comunicações para realizar as seguintes ações: receber uma correspondência entre uma política de segurança e um identificador de sessão PDU do dispositivo de rede de acesso alvo; em que a política de segurança indica se ativa uma proteção de encriptação de plano de usuário e/ou uma proteção de integridade de plano de usuário para uma sessão PDU associada ao identificador de sessão PDU; enviar a correspondência entre a política de segurança e o identificador de sessão PDU recebida do dispositivo de rede de acesso alvo para um nó de função de gerenciamento de sessão; receber, a partir do nó de função de gerenciamento de sessão, uma política de segurança resselecionada pelo nó de função de gerenciamento de sessão de acordo com o identificador de sessão PDU; enviar a política de segurança resselecionada para o dispositivo de rede de acesso alvo.
46. Nó de função de gerenciamento de sessão, CARACTERIZADO pelo fato de que compreende: um processador; e uma memória acoplada ao processador e que tem instruções de programa armazenadas na mesma as quais, quando executadas pelo processador, levam o nó de função de gerenciamento de sessão a realizar o método conforme definido na reivindicação 39 ou 40.
47. Nó de função de gerenciamento de mobilidade e acesso, CARACTERIZADO pelo fato de que compreende: um processador; e uma memória acoplada ao processador e que tem instruções de programa armazenadas na mesma as quais, quando executadas pelo processador, levam o nó de função de gerenciamento de mobilidade e acesso a realizar o método conforme definido em qualquer uma das reivindicações 41 a
42.
48. Mídia de armazenamento legível por computador, CARACTERIZADA pelo fato de que a mídia de armazenamento de computador armazena instruções, quando a instrução é rodada em um computador, o computador é levado a realizar o método conforme definido na reivindicação 39 ou 40.
49. Mídia de armazenamento legível por computador, CARACTERIZADA pelo fato de que a mídia de armazenamento de computador armazena instruções, quando a instrução é rodada em um computador, o computador é levado a realizar o método conforme definido em qualquer uma das reivindicações 41 a 42.
BR112020006242-1A 2017-09-30 2018-09-29 método de proteção de segurança, aparelho, e sistema BR112020006242A2 (pt)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
CN201710945254.4 2017-09-30
CN201710945254.4A CN109600803B (zh) 2017-09-30 2017-09-30 一种安全保护的方法、装置和系统
PCT/CN2018/108904 WO2019062996A1 (zh) 2017-09-30 2018-09-29 一种安全保护的方法、装置和系统

Publications (1)

Publication Number Publication Date
BR112020006242A2 true BR112020006242A2 (pt) 2020-10-27

Family

ID=65344890

Family Applications (1)

Application Number Title Priority Date Filing Date
BR112020006242-1A BR112020006242A2 (pt) 2017-09-30 2018-09-29 método de proteção de segurança, aparelho, e sistema

Country Status (8)

Country Link
US (3) US10952106B2 (pt)
EP (2) EP3684024B1 (pt)
JP (1) JP7074847B2 (pt)
KR (1) KR102347524B1 (pt)
CN (4) CN117979378A (pt)
AU (1) AU2018339744B2 (pt)
BR (1) BR112020006242A2 (pt)
WO (1) WO2019062996A1 (pt)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117015070A (zh) * 2017-10-13 2023-11-07 三星电子株式会社 用于在无线通信系统中传输和接收数据的方法和装置
CN111641582B (zh) * 2019-03-01 2021-11-09 华为技术有限公司 一种安全保护方法及装置
CN111641944A (zh) * 2019-03-01 2020-09-08 华为技术有限公司 一种通信方法及设备
CN114727290A (zh) 2019-04-28 2022-07-08 华为技术有限公司 通信方法及其装置
CN111417117B (zh) * 2019-04-29 2021-03-02 华为技术有限公司 切换的处理方法和装置
US20210105847A1 (en) 2019-10-02 2021-04-08 Apple Inc. User Plane Integrity Protection Handling Procedures
US20220345889A1 (en) * 2019-10-03 2022-10-27 Telefonaktiebolaget Lm Ericsson (Publ) Security settings for user plane data sent over different accesses of a network
CN113381966B (zh) * 2020-03-09 2023-09-26 维沃移动通信有限公司 信息上报方法、信息接收方法、终端及网络侧设备
WO2021196167A1 (zh) * 2020-04-03 2021-10-07 Oppo广东移动通信有限公司 信息处理方法、装置、设备及存储介质
CN113676907B (zh) * 2020-04-30 2023-08-04 华为技术有限公司 一种确定服务质量流的方法，装置，设备及计算机可读存储介质
CN114079915A (zh) * 2020-08-06 2022-02-22 华为技术有限公司 确定用户面安全算法的方法、系统及装置
CN116158111A (zh) * 2020-08-10 2023-05-23 华为技术有限公司 一种通信的方法及装置
WO2022067841A1 (zh) * 2020-10-01 2022-04-07 华为技术有限公司 一种安全通信方法、装置及系统
KR20230125322A (ko) * 2021-01-08 2023-08-29 후아웨이 테크놀러지 컴퍼니 리미티드 보안 정책 처리 방법 및 통신 디바이스
CN114760623A (zh) * 2021-01-10 2022-07-15 华为技术有限公司 安全策略处理方法以及通信设备
WO2022148568A1 (en) * 2021-01-11 2022-07-14 Telefonaktiebolaget Lm Ericsson (Publ) User plane encryption policy at interworking handover from eps and 5gs
CN115884170A (zh) * 2021-09-29 2023-03-31 华为技术有限公司 通信方法及装置
CN114158041B (zh) * 2021-11-29 2023-12-08 北京航空航天大学 实现5g网络数据机密性和完整性多级安全的方法
CN114374553A (zh) * 2021-12-30 2022-04-19 中国电信股份有限公司 一种时间同步方法及系统
US20230403538A1 (en) * 2022-06-10 2023-12-14 Qualcomm Incorporated Managing group configurations in wireless communications systems
CN115119200B (zh) * 2022-08-29 2022-11-22 深圳慧城智联科技有限公司 一种用于5g通信环境的信息传递方法
CN117668872A (zh) * 2023-12-04 2024-03-08 北京海泰方圆科技股份有限公司 一种数据保护方法及装置

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2815418B1 (fr) * 2000-10-16 2003-05-16 Cit Alcatel Fibre pour la compensation de dispersion chromatique d'une fibre nz-dsf a dispersion chromatique positive
CN101072092B (zh) * 2006-05-11 2010-12-08 华为技术有限公司 一种实现控制面和用户面密钥同步的方法
KR100911481B1 (ko) * 2007-10-31 2009-08-11 주식회사 케이티프리텔 네트워크에서 개시되는 위치 기반 서비스 제공 방법
GB2454204A (en) * 2007-10-31 2009-05-06 Nec Corp Core network selecting security algorithms for use between a base station and a user device
KR101488015B1 (ko) * 2008-01-25 2015-01-29 엘지전자 주식회사 핸드오버 수행방법 및 데이터 생성방법
CN101262337B (zh) * 2008-02-05 2012-06-06 中兴通讯股份有限公司 安全功能控制方法和系统
CN101715188B (zh) * 2010-01-14 2015-11-25 中兴通讯股份有限公司 一种空口密钥的更新方法及系统
CN102137400B (zh) * 2010-01-23 2015-04-01 中兴通讯股份有限公司 一种rrc连接重建立时的安全处理方法和系统
CN102264064A (zh) * 2010-05-27 2011-11-30 中兴通讯股份有限公司 一种实现接入层安全算法同步的方法及系统
US8683424B2 (en) * 2011-10-10 2014-03-25 Telefonaktiebolaget L M Ericsson (Publ) Bridging the gap between high level user requirements and availability management framework configurations
MX362900B (es) * 2014-06-12 2019-02-25 Huawei Tech Co Ltd Dispositivo de control de transferencia de portadora y método de control.
US10455414B2 (en) * 2014-10-29 2019-10-22 Qualcomm Incorporated User-plane security for next generation cellular networks
CN109526252B (zh) * 2016-08-10 2021-09-17 日本电气株式会社 无线接入网节点、无线终端、核心网节点及其方法
CN106851856B (zh) * 2016-12-23 2019-04-09 电信科学技术研究院有限公司 一种基于移动中继的无线通信建立方法及网络设备
RU2744323C2 (ru) * 2017-01-30 2021-03-05 Телефонактиеболагет Лм Эрикссон (Пабл) Способы для защиты целостности данных пользовательской плоскости
US20190014509A1 (en) * 2017-03-17 2019-01-10 Telefonaktiebolaget Lm Ericsson (Publ) Network node for use in a communication network, a communication device and methods of operating the same
CN107018542A (zh) * 2017-03-27 2017-08-04 中兴通讯股份有限公司 网络系统中状态信息的处理方法、装置及存储介质
WO2019003106A1 (en) * 2017-06-26 2019-01-03 Telefonaktiebolaget Lm Ericsson (Publ) REFRESHMENT OF A SECURITY CONTEXT FOR A MOBILE DEVICE

Also Published As

Publication number Publication date
CN109600803A (zh) 2019-04-09
CN109600804A (zh) 2019-04-09
CN109362108A (zh) 2019-02-19
EP4221082A3 (en) 2023-08-30
CN117979378A (zh) 2024-05-03
AU2018339744B2 (en) 2021-10-07
JP2020536424A (ja) 2020-12-10
US20230284103A1 (en) 2023-09-07
KR20200060477A (ko) 2020-05-29
EP3684024B1 (en) 2022-12-07
EP3684024A4 (en) 2020-10-14
CN109600803B (zh) 2024-01-30
CN109362108B (zh) 2019-11-01
KR102347524B1 (ko) 2022-01-04
JP7074847B2 (ja) 2022-05-24
US20210266799A1 (en) 2021-08-26
US10952106B2 (en) 2021-03-16
EP3684024A1 (en) 2020-07-22
AU2018339744A1 (en) 2020-05-14
US20200137643A1 (en) 2020-04-30
EP4221082A2 (en) 2023-08-02
CN109600804B (zh) 2021-04-02
WO2019062996A1 (zh) 2019-04-04
US11589274B2 (en) 2023-02-21

Similar Documents

Publication Publication Date Title
BR112020006242A2 (pt) método de proteção de segurança, aparelho, e sistema
US9930530B2 (en) Methods and apparatuses facilitating synchronization of security configurations
US10904764B2 (en) Security protection method and apparatus
EP3737032B1 (en) Key updating method and apparatus
CN109936444B (zh) 一种密钥生成方法及装置
RU2774435C2 (ru) Способ и устройство обеспечения безопасности
RU2783597C2 (ru) Способ обновления ключа и устройство

Legal Events

Date Code Title Description
B350 Update of information on the portal [chapter 15.35 patent gazette]