BR112021002402A2

BR112021002402A2 - método e aparelho para realização segura de conexões através de redes de acesso heterogêneas

Info

Publication number: BR112021002402A2
Application number: BR112021002402-6A
Authority: BR
Inventors: Jennifer Liu
Original assignee: Nokia Technologies Oy
Priority date: 2018-08-09
Filing date: 2019-08-02
Publication date: 2021-05-04
Also published as: JP2024095698A; EP3834519A1; SG11202100720PA; KR20210025678A; CA3234868A1; AU2019319095A1; JP2023123430A; AU2022252749A1; CL2021000337A1; AU2019319095B2; MX2021001601A; JP7320598B2; SA521421213B1; KR102571312B1; PH12021550155A1; WO2020030851A1; EP3834519A4; CO2021002942A2; CN118433706A; JP2021533680A

Abstract

método e aparelho para realização segura de conexões através de redes de acesso heterogêneas. este pedido se refere a estabelecimento de sessão por equipamento de usuário através de uma pluralidade de redes de acesso heterogêneas. em um aspecto, as redes de acesso heterogêneas podem incluir redes de acesso 3gpp e não 3gpp (106). as redes de acesso não 3gpp (106) podem incluir uma ou mais redes de acesso confiável não 3gpp (108) ou uma ou redes de acesso não confiável não 3gpp (110).

Description

“MÉTODO E APARELHO PARA REALIZAÇÃO SEGURA DE CONEXÕES ATRAVÉS DE REDES DE ACESSO HETEROGÊNEAS” CAMPO TÉCNICO

[0001] Este pedido se refere geralmente a redes de acesso e, mais especificamente, a estabelecimento de sessão por equipamento de usuário através de uma pluralidade de redes de acesso heterogêneas.

DESCRIÇÃO DA TÉCNICA RELACIONADA

[0002] As declarações nesta seção fornecem uma descrição da técnica relacionada e não são admissões de técnica anterior. Equipamentos de usuário (UE), tal como smartphones, tablets inteligentes, laptops, computadores, relógios inteligentes, etc., frequentemente incluem capacidade para conectividade de rede de área local sem fio (WLAN) (tal como conectividade WLAN compatível com IEEE 802.11x) e conectividade de rede de acesso de rádio (tal como tecnologias totalmente ou parcialmente compatíveis com o conjunto de padrões do projeto de parceria de 3a geração (3GPP) incluindo EVDO, UMTS, HSPA e LTE). O UE pode, assim, conectar à rede de núcleo de pacote evolvida (EPC) 3GPP usando dois tipos de tecnologias de acesso compostos de redes de acesso 3GPP e redes de acesso não 3GPP.

[0003] Em geral, redes de acesso 3GPP são totalmente ou parcialmente compatíveis com as tecnologias especificadas pelo conjunto de padrões 3GPP que inclui, por exemplo, GPRS, UMTS, EDGE, HSPA, LTE e LTE Advanced. Redes de acesso não 3GPP são totalmente ou parcialmente compatíveis com tecnologias que não são especificadas pelo conjunto de padrões 3GPP. Elas incluem tecnologias como cdma2000, WLAN (tal como WLAN compatível com IEEE 802.11x) ou redes fixas.

[0004] O conjunto de padrões 3GPP especifica tecnologias de acesso “não 3GPP” com diferentes mecanismos de segurança: redes de acesso não confiáveis e redes de acesso confiáveis. Redes de acesso não confiáveis incluem redes de acesso que podem representar um risco de segurança mais alto (por exemplo, uma WLAN pública ou rede de acesso femtocell). Redes de acesso confiáveis incluem redes de acesso que a operadora de rede considera ter um nível de confiança de um ponto de vista de segurança e podem interfacear diretamente com a rede EPC.

[0005] No novo conjunto de padrões 5G, uma das características mais importantes do Sistema 5G é que ele oferece uma rede de núcleo convergida que é independente de acesso. Diferentes tipos de rede de acesso, incluindo acesso 3GPP e acesso não 3GPP, podem ser suportados via uma rede de acesso comum e interfaces de rede de núcleo. Uma Rede de Acesso Não 3GPP (N3AN) é considerada como uma Rede de Acesso 5G e parte do Sistema 5G (5GS).

[0006] Para acesso não 3GPP não confiável, uma N3IWF de nó de acesso N3G fornece terminação de interfaces de sinalização para plano de controle e plano de usuário, respectivamente, o mesmo que um nó NG-RAN. Assim, UEs capazes de 5G podem acessar rede de núcleo 5G conectando a Rede de Acesso não 3GPP como uma rede de acesso 5G via a N3IWF. A N3IWF retransmite a sinalização de plano de controle de uplink e downlink entre o UE e a AMF, de modo que o UE tenha uma conexão de sinalização de plano de controle direta em direção à AMF. Além disso, a N3IWF fornece conexão de plano de usuário entre o UE e a UPF para sessões através de PDU através de rede de acesso não 3GPP.

[0007] Quando um UE é registrado no núcleo de 5G através de redes de acesso 3GPP e de acesso não 3GPP, múltiplas conexões Non- Access Stratum (NAS) podem estar ativas ao mesmo tempo. O UE pode ser registrado na mesma PLMN ou em PLMN diferente. Se o UE estiver acessando uma PLMN através de um tipo de acesso (por exemplo, acesso 3GPP) e acessando outra PLMN através de outro tipo de acesso (por exemplo, acesso não 3GPP), então, diferentes autenticações primárias são realizadas. Após registro, as conexões NAS servem a diferentes AMFs utilizando diferentes contextos de segurança. No entanto, se o UE solicitar registro na mesma rede de serviço através de diferentes tipos de redes de acesso, um contexto de segurança de NAS 5G comum é criado durante o procedimento de registro através do primeiro tipo de acesso e todas as conexões NAS são servidas pela mesma AMF.

[0008] Atualmente, para acesso 3GPP, é assumido que o identificador de conexão NAS é "0". Para acesso não 3GPP, é assumido que o identificador de conexão NAS é "1". Um problema surge quando tipos de redes de acesso não 3GPP adicionais são adicionados em versões futuras, por exemplo, acesso WLAN confiável, acesso com fio, acesso MuLteFire, etc. Esses diferentes tipos de redes de acesso não 3GPP precisariam cada um estabelecer conexões NAS separadas. No entanto, atualmente existe apenas um identificador de conexão NAS de “1” para conexões NAS através de diferentes tipos de redes de acesso não 3GPP.

[0009] Portanto, existe uma necessidade de fornecer um sistema e método que suporte conexões NAS através de uma pluralidade de diferentes tipos de redes de acesso não 3GPP. Outras necessidades e outros benefícios também são fornecidos com modalidades aqui descritas.

DESCRIÇÃO DETALHADA

[0010] A descrição e os desenhos meramente ilustram os princípios de várias modalidades. Será assim apreciado que aqueles versados na técnica serão capazes de contemplar vários arranjos que, embora não explicitamente descritos ou mostrados neste documento, incorporam os princípios deste documento e das reivindicações e caem dentro do espírito e escopo da divulgação. Além disso, todos os exemplos recitados aqui são principalmente destinados expressamente a serem apenas para fins pedagógicos para auxiliar o leitor na compreensão dos princípios das modalidades e dos conceitos contribuídos pelos inventores para aprofundar a técnica e serão interpretados como sendo sem limitação a tais exemplos e condições especificamente recitados. Além disso, todas as declarações neste documento recitando princípios, aspectos e modalidades, bem como seus exemplos específicos da mesma, se destinam a englobar equivalentes dos mesmos.

[0011] Algumas das abreviaturas que são aqui descritas são expandidas abaixo por conveniência: 5GC Núleo 5G 5GS Sistema 5G 5G-AN Rede de Acesso 5G 5G-GUTI Identificador Temporário Globalmente Único 5G 5G-S-TMSI Identificador de Assinatura Móvel Temporária 5G S 5QI Identificador de QoS 5G AKA Autenticação e Acordo de Chave AMF Função de Gerenciamento de Acesso de Núcleo e Mobilidade AUSF Função de Servidor de Autenticação EAP Protocolo de Autenticação Extensível HPLMN Rede Móvel Terrestre Pública Doméstica IKEv2 Internet Key Exchange v2 IMSI Identidade Internacional de Assinante Móvel IMEI Identidade Internacional de Equipamento Móvel IPsec Segurança do protocolo de Internet MCC Código de País Móvel MCM Modo Multiconexão MNC Código de Rede Móvel N3IWF Função de Interoperação não 3GPP NAI Identificador de Acesso de Rede NAS Estrato de não Acesso ngKSI Identificador de Conjunto de Chaves em Sistema 5G NHN-ID ID de Rede Hospedeira Neutro PDN Rede de Dados de Pacote PLMN Rede Móvel Terrestre Pública

QoS Qualidade de serviço SA Associação de Segurança SCM Modo de Conexão Simples SMC Comando de Modo de Segurança SUCI Identificador Oculto de Assinatura SUPI Identificador Permanente de Assinatura UDM Gerenciamento de Dados Unificado UE Equipamento de Usuário UICC Placa de Circuito Integrado Universal USIM Móvel de Identidade de Assinante UMTS

[0012] Uma ou mais modalidades são descritas neste documento que fornecem um sistema e método para fornecer serviços de rede para equipamento de usuário não autenticado. Por exemplo, vários métodos são descritos para estabelecimento de sessão para um UE não autenticado em uma rede de acesso não 3GPP.

[0013] FIG. 1 ilustra um diagrama de blocos esquemático de uma modalidade de tipos de redes de acesso para um núcleo de pacote evolvido que é totalmente ou parcialmente compatível com o conjunto de padrões do 3rd Generation Partnership Project (3GPP) ou outro tipo de padrões de rede de núcleo de pacote de dados de protocolo de internet (IP). Essa arquitetura é descrita em mais detalhes no padrão técnico 3GPP TS 23.402 V14.2.0 (dezembro de 2016) intitulado “3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Architecture enhancements for non-3GPP accesses”, que é por meio deste incorporado por referência neste documento.

[0014] Em arquitetura 3GPP, a rede EPC 100 é acoplada comunicativamente a uma ou mais redes de acesso 102. Em uma modalidade, as redes de acesso 102 podem incluir uma ou mais redes de acesso 3GPP 104 ou uma ou mais redes de acesso não 3GPP 106. As redes de acesso 3GPP 104 são totalmente ou parcialmente compatíveis com tecnologias especificadas pelo conjunto de padrões 3GPP e incluem, por exemplo, GPRS, UMTS, EDGE, HSPA, LTE e LTE Advanced. As redes de acesso não 3GPP 106 são totalmente ou parcialmente compatíveis com tecnologias que não são especificadas pelo conjunto de padrões 3GPP. As redes de acesso não 3GPP 106 podem ser assim especificadas no conjunto de padrões 3GPP. As redes de acesso não 3GPP 106 podem incluir uma ou mais redes de acesso confiáveis não 3GPP 108 ou uma ou mais redes de acesso não confiáveis não 3GPP 110.

[0015] As redes de acesso não 3GPP confiáveis 108 são redes de área local sem fio (WLAN) construídas por operadora ou suportadas por operadora, tal como uma rede WLAN compatível com IEEE 802.11x, com criptografia e um método de autenticação seguro. Em uma modalidade, a rede de acesso não 3GPP confiável 108 suporta as seguintes características de exemplo: autenticação baseada em 802.1x que por sua vez também requer criptografia da rede de acesso de rádio (RAN), acesso de rede baseada em 3GPP usando método EAP para autenticação e protocolos IPv4 e/ou IPv6. No entanto, uma operadora pode determinar que outros tipos de redes de acesso não 3GPP com diferentes tipos de segurança seão considerados confiáveis. As redes de acesso não 3GPP não confiáveis 110 incluem redes de acesso não 3GPP que são desconhecidas para uma operadora ou não incluem padrões de autenticação suportados. Por exemplo, uma rede de acesso não 3GPP não confiável pode incluir uma WLAN doméstica ou pública, tal como uma rede WLAN compatível com IEEE 802.11x que é aberta a WLAN pública doméstica ou outra originada e gerenciada não pela operadora.

[0016] Outro conjunto de protocolos para sem fio de Quinta Geração, ou 5G, é a mais recente iteração de tecnologia celular, engenheiraa para aumentar grandemente a velocidade e a responsividade de redes sem fio. Otermo 5G foi inicialmente definido pelo padrão ITU IMT-2020, que exigia uma capacidade de download de pico teórica de 20 gigabits. Mais recentemente, o grupo de padrões da indústria 3GPP está definindo a arquitetura e os protocolos 5G. For example, Technical Specification (TS) 23,501 definee Stage-2 System Architecture para o Sistema 5G o qual inclui Fatiamento de Rede. Technical Specification (TS) 23.502 define procedimentos para o Sistema 5G. Technical Specification (TS) 23.503 define Estrutura de Política e Controle de Cobrança para o Sistema 5G.

[0017] Em sistemas 5G, a rede de acesso 5G pode incluir, por exemplo, uma Next Generation (NG) Radio Access Network (NG-RAN) conforme descrito em 3GPP TS 38.300. Além disso, uma rede de acesso 5G pode incluir uma Rede de Acesso não 3GPP não confiável na qual o UE pode conectar à rede de núcleo 5G, por exemplo, via um túnel IPSec/IKE seguro terminado em uma Non-3GPP Interworking Function (N3IWF). A non-3GPP Access Network (N3AN) é considerada como uma Rede de Acesso 5G e parte do Sistema 5G (5GS).

[0018] Para acesso não 3GPP não confiável, o nó de acesso incluindo N3IWF fornece terminação de interfaces de sinalização N2 e N3 para plano de controle e plano de usuário, respectivamente. Os UEs capazes de 5G acessam a rede de núcleo 5G conectando a Non-3GPP Access Network (como uma Rede de Acesso 5G) via a N3IWF. A N3IWF retransmite a sinalização NAS (N1) de plano de controle de uplink e downlink entre o UE e a rede de núcleo 5G, torna possível para o UE ter uma conexão de sinalização NAS em direção à rede de núcleo. Além disso, a N3IWF fornece conexão de plano de usuário entre o UE e a rede de núcleo para sessões de PDU através da rede de acesso não 3GPP.

[0019] FIG. 2 ilustra um diagrama de blocos esquemático de uma modalidade de uma Arquitetura de Sistema 5G para acesso não 3GPP. Essa arquitetura é descrita em mais detalhes no padrão técnico 3GPP TS 23.501, Versão 15 (dezembro de 2017), intitulado “System Architecture for the 5G System,” que é incorporado neste documento por referência.

[0020] Redes de acesso não 3GPP são conectadas à Rede de Núcleo 5G via uma Non-3GPP Interworking Function (N3IWF). A N3IWF faz interface com as funções de plano de controle (CP) e plano de usuário (UP) da Rede de Núcleo 5G via interfaces N2 e N3, respectivamente. Um UE estabelece um túnel IPSec com a N3IWF para fixar à Rede de Núcleo 5G através da rede de acesso não 3GPP não confiável. O UE é autenticado e fixado à Rede de Núceo 5G durante o procedimento de estabelecimento de túnel IPSec. Detalhes adicionais para fixação de UE à Rede de Núcleo 5G através de acesso não 3GPP não confiável são descritos em 3GPP TS 23.502, Versão 15 (dezembro de 2017) intitulada, “Procedures for the 5G System”, que é aqui incorporada por referência.

[0021] O Sistema 5G inclui uma Home Public Land Mobile Network ou Equivalent Home PLMN (HPLMN-5G) incluindo uma Access and Mobility Management function (AMF). A AMF fornece a terminação da interface de plano de controle de RAN (N2) e terminação de conjunto de protocolos de NAS (N1) e criptografia e proteção de integridade de NAS. A AMF também fornece gerenciamento de registro e conexão. A AMF pode incluir várias funcionalidades para suportar redes de acesso não 3GPP. Por exemplo, a AMF pode fornecer suporte de protocolos de controle de interface N2 com a N3IWF, bem como suporte de sinalização de NAS com um UE através da N3IWF. Além disso, a AMF pode fornecer suporte de autenticação de UEs conectado através da N3IWF e gerenciamento de mobilidade, autenticação e estado(s) de contexto de segurança separado(s) de um UE conectado via o acesso não 3GPP ou conectado via acessos 3GPP e não 3GPP simultaneamente.

[0022] A Session Management function (SMF) inclui funcionalidade de gerenciamento de sessão, por exemplo, estabelecimento, modificação e liberação de sessão, incluindo manutenção de túnel entre a UPF e o nó AN. A SMF também fornece ao UE alocação e gerenciamento de endereço IP (incluindo Autorização opcional) e funções DHCPv4 (servidor e cliente) e DHCPv6 (servidor e cliente).

[0023] A função de plano de Usuário (UPF) fornece um ponto de Sessão de PDU externo de interconexão à Rede de Dados e roteamento e encaminhamento de Pacote. A UPF também suporta a parte de Plano de Usuário de validação de regras de política, por exemplo, Gating, Redirecionamento, Orientação de tráfego, etc.

[0024] A Policy Control Function (PCF) suporta a uma estrutura de política unificada para governar comportamento de rede. O Unified Data Management (UDM) inclui suporte para geração de Credenciais de Autenticação AKA de 3GPP, Autorização de acesso com base em dados de assinatura (por exemplo, restrições de roaming) e Gerenciamento de Registro de NF Servindo a UE (por exemplo, armazenando AMF de serviço para UE, armazenando SMF de serviço para Sessão de PDU de UE). Ele também fornece gerenciamento de SMS e assinatura. Para fornecer essa funcionalidade, o UDM usa dados de assinatura (incluindo dados de autenticação) que podem ser armazenados no UDR. A AUSF fornece Authentication Server Function (AUSF).

[0025] A funcionalidade de N3IWF no caso de acesso não 3GPP não confiável inclui o suporte de estabelecimento de túnel de IPsec com o UE. A N3IWF termina os protocolos IKEv2/IPsec com o UE através de NWu e retransmite através de N2 as informações necessárias para autenticar o UE e autorizar seu acesso à Rede de Núcleo 5G. A N3IWF fornece terminação de interfaces N2 e N3 para Rede de Núcleo 5G para plano de controle e plano de usuário, respectivamente. A N3IWF retransmite sinalização de NAS (N1) de plano de controle de uplink e downlink entre o UE e a AMF. A N3IWF fornece manipulação de sinalização N2 de SMF (retransmitida pela AMF) relativa a Sessões de PDU e QoS. A N3IWF fornece ainda o estabelecimento de IPsec Security Association (IPsec SA) para suportar tráfego de sessão de PDU. A N3IWF também fornece retransmissão de pacotes de plano de usuário de uplink e downlink entre o UE e a UPF.

[0026] FIG. 3 ilustra um diagrama de blocos esquemático de uma modalidade de um UE acessando o sistema 5G através de múltiplas redes de acesso heterogêneas. As múltiplas redes de acesso heterogêneas incluem,

por exemplo, acesso 3GPP, acesso WLAN não confiável e acesso não 3GPP. Quando o UE é registrado no núcleo 5G através de ambas as redes de acesso 3GPP e acesso não 3GPP, múltiplas conexões de sinalização NAS de plano de controle estão ativas entre o UE e o AMF ao mesmo tempo.

[0027] Quando o UE estabelece uma conexão segura, ele envia uma mensagem de "Registration Request" para o AMF/SEAL. A mensagem de solicitação de Registro inclui IE de identidade móvel 5GS que contém ou SUCI, 5G-GUTI ou IMEI. Depois de receber a mensagem de solicitação de registro do UE, o AMF/SEAF prepara uma mensagem de "Authentication Initiation Request" (5G-AIR) para o AUSF. A SEAF também inclui o nome de rede de serviço na mensagem 5G-AIR. Após receber a mensagem 5G-AIR da SEAF, a AUSF prepara a mensagem "Auth-Info-Req" e envia para o UDM/ARPF. O UDM/ARPF primeiro gera um vetor de autenticação com o bit de separação de Authentication Management Field (AMF) = 1. O UDM/ARPF, então, computa CK 'e IK'. Depois disso, ARPF envia (RAND, AUTN, XRES, CK', IK') para o AUSF usando a mensagem Auth-Info-Rsp. O AUSF responde ao SEAF enviando a mensagem 5G-AIA que, por sua vez, inclui a mensagem EAP- Request/AKA'-Challenge message. A SEAF encaminha de forma transparente a mensagem EAP-Request/AKA'-Challenge para o UE em uma mensagem NAS Auth-Req message. Depois de receber uma resposta do UE para a mensagem Auth-Req, o SEAF encaminha a Resposta EAP para o AUSF e o AUSF valida a mesma com a informação armazenada. Em caso de verificação bem-sucedida, o AUSF envia EAP-SUCCESS e a chave de Âncora para a SEAF e, em seguida, a SEAF responde ao UE com EAP-SUCCESS. Se o AUSF recebeu SUCI de SEAF quando a autenticação foi iniciada, o AUSF também inclui o SUPI ao enviar a mensagem EAP-SUCCESS.

[0028] Se o UE estiver acessando uma PLMN através de um tipo de acesso (por exemplo, acesso 3GPP) e acessando outra PLMN através de outro tipo de acesso (por exemplo, acesso não 3GPP), então, diferentes autenticações primárias são realizadas. Após registro, as conexões NAS são atendidas por diferentes AMFs utilizando diferentes contextos de segurança. No entanto, como mostrado na FIG. 3, o UE pode solicitar registro na mesma rede de serviço (por exemplo, mesma HPLMN-5G) em diferentes tipos de acesso. Todas as conexões NAS para o UE são, então, atendidas pela mesma AMF.

[0029] Atualmente, quando o UE é registrado em uma rede de serviço através de diferentes tipos de acesso, a atribuição de identificadores de conexão NAS é codificada permanentemente. Por exemplo, a 3GPP TSG #80 Plenary Meeting aprovou a conclusão das especificações standalone (SA) Release 15, 5G, com data de 15 de julho de 2018 (REL-15) e incorporadas aqui por referência. Em REL-15, é assumido que o identificador de conexão NAS é "0" para acesso 3GPP. Para acesso não 3GPP, é assumido que o identificador de conexão NAS é "1". Esta atribuição de identificadores de conexão codificados permenentemente não apresentou um problema em Rel- 15, pois apenas um tipo de acesso não 3GPP era suportado, por exemplo, acesso WLAN não confiável. No entanto, está previsto que tipos de rede de acesso não 3GPP adicionais serão adicionados em versões futuras, por exemplo, acesso WLAN confiável, acesso com fio, acesso MuLteFire, etc. Cada tipo diferente de rede de acesso não 3GPP precisa estabelecer conexões NAS separadas. Dependendo da configuração de rede e da assinatura de serviço de UE, o UE pode ser conectado simultaneamente a múltiplas redes de acesso, por exemplo, para acesso 3GPP e múltiplas redes de acesso não 3GPP como mostrado na Figura 2. Nessa situação, usar o mesmo identificador de conexão NAS para conexões através de diferentes redes de acesso não 3GPP não funcionaria.

[0030] Além disso, diferentes tipos de acesso podem ser ativados em diferentes sequências. Por exemplo, é possível que o UE receba autenticação através de uma das redes de acesso não 3GPP primeiro e estabeleça um contexto de segurança NAS antes de o UE se registrar através de uma rede de acesso 3GPP. Em outra possibilidade, o UE se registra via múltiplas redes de acesso não 3GPP, mas não através de uma rede de acesso 3GPP. Como tal, é desejada uma ligação mais flexível entre a rede de serviço e o par de tipo de acesso e a conexão NAS.

[0031] A fim de que o UE verifique se ele está conectado a uma rede de serviço que está autorizada a fornecer serviços ao UE, a rede de serviço precisa ser verificada pela rede doméstica durante procedimentos de autenticação (AKA). A verificação é implícita, uma vez que se assume que, se a autenticação primária e o procedimento de acordo de chave forem concluídos com êxito, a rede de serviço está autorizada. No entanto, o caso de falha não deve ser implícito e precisa ser definido explicitamente.

[0032] Finalmente, em um sistema 5G, um identificador de assinante é chamado de Subscription permanent identifier (SUPI). O SUPI pode ser definido em qualquer formato IMSI ou NAI. Para assegurar privacidade de Assinante, o SUPI não deve ser transferido em texto claro através de uma RAN 5G e é ocultado pelo ar usando o Subscription Concealed Identifier (SUCI). O SUCI é gerado usando um esquema de proteção com a chave pública bruta que foi provisionada com segurança no controle da rede doméstica. Apenas a parte de identificador de assinatura do SUPI é ocultada, enquanto a parte de identificador de rede doméstica do SUPI precisa permanecer limpa para fins de roteamento.

[0033] As informações de roteamento podem ser diferentes para diferentes tipos de rede de acesso. Para uma rede de acesso 3GPP, Mobile Country Code (MCC) e Mobile Network Code (MNC) podem ser parte das informações de roteamento. No entanto, para uma rede de acesso não 3GPP, um identificador de rede e informações de roteamento diferentes podem ser usados. Por exemplo, para rede de acesso tipo MuLteFire, o identificador de rede e as informações de roteamento são baseados em um Neutral Host Network ID (NHN-ID), Participating Service Provider ID (PSP-ID) e Neutral Host Access Mode Indicator (NHAMI). NHAMI é um valor global reservado que é o mesmo para todas as redes MuLteFire habilitando o modo de Acesso NHN. Há uma necessidade de definir a codificação do elemento de informação SUCI de uma forma genérica para o SUCI suportar outros tipos de redes e formatos de identificador de assinante a serem usados como uma identidade móvel durante o procedimento de autenticação.

[0034] Também é dado que ambos os formatos IMSI e NAI podem ser usados para SUPI, para a saída de esquema SUCI, MSIN corresponde à representação em caso do identificador de assinatura estar em formato IMSI e o nome de usuário corresponder à representação em caso do identificador de assinatura estar em formato NAI. Para NAI baseado em IMSI, a parte de identificador de assinante de NAI também é feita de dígitos, então, regras de codificação adicionais são necessárias para distinguir o formato IMSI, formato NAI e potencialmente outros tipos de formatos de identificador de assinante dentro da definição de elemento de informação SUCI.

[0035] Uma ou mais modalidades aqui descritas fornecem sistemas e métodos para permitir conexões seguras simultâneas através de múltiplas redes de acesso heterogêneas. Novos métodos e novas intensificações de protocolo são descritos para permitir que o UE inclua um tipo de acesso durante registro e rastreie mapeamento de conexões NAS simultâneas através de redes de acesso heterogêneas. Novos sistemas e métodos para manipular falha de verificação de rede de serviço também são descritos. Novos sistemas e métodos e intensificações de protocolo são descritos adicionalmente para suportar uso de NAI como um tipo de identificador de assinatura, bem como futura extensibilidade de identificador de assinatura para suporte de redes de acesso MuLteFire e redes privadas.

1. Modalidade - UE inclui tipo de acesso durante registro e Capacidade para rastrear mapeamento de conexões NAS simultâneas através de redes de acesso heterogêneas a) UE inicia registro inicial através de Acesso Tipo A.

[0036] FIG. 4 ilustra um diagrama de fluxo lógico de uma modalidade de um método para fluxo de mensagem de autenticação e acordo de chave entre UE e funções de rede de núcleo quando o UE inicia registro inicial através de Rede de Acesso Tipo A. As mensagens NAS mostradas entre o UE e a AMF podem ser tuneladas via um túnel IPsec em caso de a Rede de Acesso Tipo A ser um acesso não-3GPP não confiável. Por exemplo, o UE pode estabelecer uma IPsec Security Association (SA) com a N3IWF selecionada iniciando uma troca inicial de protocolo Internet Key exchange (IKE), por exemplo, conforme descrito em IETF RFC 7296, “Internet Key Exchange Protocol Version 2 (IKEv2)” (outubro de 2014). Neste exemplo, a Rede de Acesso Tipo A é um primeiro tipo de uma pluralidade de tipos de redes, incluindo acesso 3GPP, acesso não-3GPP confiável, acesso não-3GPP não confiável, acesso WLAN não confiável, acesso WLAN confiável, acesso MuLteFire, etc.

[0037] Quando o UE inicia o registro inicial através da Rede de Acesso Tipo A, o UE inclui o Tipo de Acesso na mensagem de solicitação de registro. A mensagem de solicitação de registro é enviada pelo UE à AMF. A AMF é colocada junto com a SEcurity Anchor Function (SEAF), que serve como a âncora para segurança em sistemas 5G. Ao receber a mensagem de solicitação de registro, a AMF/SEAF invoca o serviço Nausf_UEAuthentication enviando uma mensagem Nausf_UEAuthentication_Authenticate Request para o AUSF iniciar uma autenticação. O SEAF inclui o Id de Assinante, o nome da rede de Serviço e tipo de Acesso na Nausf_UEAuthentication_Authenticate Request.

[0038] Depois de receber a mensagem de Nausf_UEAuthentication_Authenticate Request, o AUSF compara o nome de rede de Serviço recebido com o nome de rede de serviço esperado. Se o SEAF solicitante na rede servidora estiver autorizado a usar o nome da rede de serviço, o AUSF envia a Nudm_UEAuthentication_Get Request ao UDM incluindo a Id de Assinatura, o nome de rede se Serviço e o tipo de Acesso.

[0039] Após recebimento da Nudm_UEAuthentication_Get

Request, o UDM/ARPF escolhe o método de autenticação, com base nos dados de assinatura. Por exemplo, um protocolo de tipo de autenticação mútua EAP-AKA' conforme modificado neste documento pode ser executado entre o UE e AUSF (tal como EAP-AKA' descrito em IETF RFC 5448, “Improved Extensible Authentication Protocol Method for 3rd Generation Authentication and Key Agreement (EAP-AKA'), 5 de março de 2018 e aqui incorporado por referência).

[0040] O UDM/ARPF gera um vetor de autenticação e envia este vetor de autenticação AV' (RAND, AUTN, XRES, CK', IK') para o AUSF do qual ele recebeu a Nudm_UEAuthentication_Get Request. O UDM/ARPF também transmite uma indicação de que o vetor de autenticação AV' deve ser usado para EAP-AKA' usando uma mensagem de Resposta Nudm_UEAuthentication_Get.

[0041] O AUSF e o UE prosseguem, então, com troca EAP- Request/AKA'-Challenge. O AUSF deriva as chaves KAUSF e KSEAF e ele inclui uma mensagem de EAP Success e a KSEAF dentro da mensagem de Resposta Nausf_UEAuthentication_Authenticate e a envia para a AMF/SEAF.

[0042] Depois de receber a mensagem de Resposta Nausf_UEAuthentication_Authenticate, a AMF/SEAF deriva a chave KAMF. A AMF, então, inicia o procedimento de comando do modo de Segurança para enviar o contexto de segurança e as informações de algoritmo de segurança para o UE. O UE recebe o comando de modo de Segurança e deriva contextos de segurança NAS e envia uma mensagem completa de comando de modo de segurança para a AMF.

[0043] Na conclusão do procedimento, a Rede de Serviço e o Tipo de Acesso para a tabela de mapeamento de conexões NAS são atualizados para incluir informações de conexão para a Rede de Acesso Tipo A, como mostrado na FIG. 5 abaixo.

[0044] FIG. 5 ilustra um diagrama de blocos esquemático de uma modalidade de uma Rede de Serviço e Tipo de Acesso para tabela de mapeamento de conexões NAS. Neste exemplo, a tabela de mapeamento é atualizada para incluir informações de conexão para um primeiro tipo de rede de acesso, por exemplo, Rede de Acesso Tipo A. A tabela de mapeamento é atualizada após o registro por um UE através de uma rede de acesso. A tabela inclui o tipo de rede de acesso, identificador de rede e identificador de rede de acesso. A tabela de mapeamento também inclui o identificador de conexão NAS para a conexão NAS entre a Rede de Acesso Tipo A e o UE. A tabela de mapeamento, assim, armazena para cada conexão NAS, o identificador de conexão NAS, o tipo de rede de acesso, identificador de rede e identificador de rede de acesso.

[0045] FIG. 6 ilustra um diagrama de blocos esquemático de uma modalidade de conteúdo de uma mensagem de solicitação de registro. A mensagem de pedido de registo é transmitida pelo UE ao AMF através de uma rede de acesso para iniciar um registo inicial. A mensagem de solicitação de registro inclui um elemento de informação “Tipo de Acesso” da rede de acesso. O objetivo do elemento de informação de tipo de acesso é indicar o tipo de acesso através do qual a sinalização de downlink, ou dados de usuário, serão enviados para o UE.

[0046] FIG. 7 ilustra um diagrama de blocos esquemático de uma modalidade do elemento de informação de tipo de acesso em uma mensagem de solicitação de registro. O tipo de acesso é um elemento de informação tipo

1.

[0047] FIG. 8 ilustra um diagrama de blocos esquemático de uma modalidade dos valores de tipo de acesso para o elemento de informação de tipo de acesso em uma mensagem de solicitação de registro. Em uma modalidade, os tipos de acesso incluem acesso 3GPP, acesso não 3GPP não confiável, acesso não 3GPP confiável, acesso WLAN não confiável, acesso WLAN confiável e acesso MuLteFire. Tipos de acesso alternativos ou adicionais podem ser incluídos no elemento de informação de tipo de acesso na mensagem de registro.

b1) UE inicia registro subsequente através de tipo de acesso C e contexto de segurança NAS existente é reutilizado

[0048] Quando o UE inicia registro subsequente através de outro tipo de rede de acesso, por exemplo, tipo de acesso C, e o UE já está autenticado pela rede e é servido pela mesma AMF na mesma rede de serviço, a AMF pode decidir não executar uma nova autenticação se ela tiver um contexto de segurança disponível para usar.

[0049] FIG. 9 ilustra um diagrama de fluxo lógico de uma modalidade de um método para registro por um UE através de uma Rede de Acesso Tipo C quando o contexto de segurança NAS existente é reutilizado. É assumido neste exemplo, que o UE estabeleceu uma conexão NAS com Rede de Acesso Tipo A e Rede de Acesso Tipo B. Observe que mensagens NAS mostradas entre o UE e AMF são tuneladas via túnel IPsec no caso da Rede de Acesso Tipo C ser um acesso não 3GPP não confiável.

[0050] Quando o UE inicia registo subsequente através de outra rede de acesso com Rede de Acesso Tipo C, ele inclui o Tipo de Acesso na mensagem de solicitação de registo. A AMF pode decidir reusar o contexto de segurança existente. Uma nova conexão NAS é criada usando o contexto de segurança NAS 5G comum disponível. O contexto de segurança NAS é atualizado com parâmetros específicos para a nova conexão NAS. Na conclusão do procedimento, a tabela de mapeamento de Rede de Serviço e conexões de Tipo de Acesso a NAS é atualizada para incluir informações de conexão para Rede de Acesso C, como mostrado na FIG. 10.

[0051] FIG. 10 ilustra um diagrama de blocos esquemático de uma modalidade de uma tabela de mapeamento de Rede de Serviço e conexões de Tipo de Acesso a NAS após o registro com um tipo de acesso A, tipo de acesso B e tipo de acesso C. Neste exemplo, a tabela de mapeamento é atualizada para incluir informação de conexão para o tipo de acesso C. A tabela de mapeamento é atualizada após registro pelo UE através de uma rede de acesso. A tabela inclui o tipo de rede de acesso, identificador de rede e identificador de rede de acesso. A tabela de mapeamento também inclui o identificador de conexão NAS para a conexão NAS entre a Rede de Acesso Tipo C e o UE. O identificador de conexão NAS é “2”. A tabela de mapeamento pode ser armazenada no UE e AMF e/ou em outras funções ou nós, tal como o AUSF. b2) UE inicia registro subsequente na Rede de Acesso Tipo C e nova autenticação é iniciada

[0052] Quando o UE inicia registro subsequente através de tipo de acesso C, se o UE já estiver autenticado pela rede para a mesma rede de serviço, a AMF pode decidir executar o procedimento de autenticação e acordo de chave novamente seja porque o UE é servido por uma AMF diferente ou devido ao algoritmo de segurança ter mudado.

[0053] Figura 11 é um fluxograma lógico de uma modalidade de um método para registo pelo UE através de uma rede de acesso tipo C quando é iniciada nova autenticação. Presume-se neste exemplo, que o UE estabeleceu uma conexão NAS com Rede de Acesso Tipo A e Rede de Acesso Tipo B. Observe que as mensagens NAS mostradas entre o UE e AMF são tuneladas via túnel IPsec se a Rede de Acesso Tipo C não for acesso não 3GPP não confiável.

[0054] Quando o UE inicia registro subsequente através da Rede de Acesso Tipo C, ele inclui o tipo de Acesso na mensagem de solicitação de registro. A AMF decide executar o procedimento de autenticação e acordo de chave novamente. A AMF pode decidir executar o procedimento de autenticação e acordo de chave novamente seja porque o UE é servido por uma AMF diferente ou devido ao algoritmo de segurança ter mudado. Quando o procedimento de autenticação e acordo de chave termina, o novo comando de modo de segurança NAS é iniciado pela AMF para o UE para ativar o novo contexto de segurança NAS 5G derivado em Tipo de Acesso C.

[0055] Uma nova conexão NAS é criada usando o contexto de segurança NAS 5G recém-derivado. O contexto de segurança NAS é atualizado com parâmetros específicos para a nova conexão NAS. A AMF, então, dispara procedimentos SMC NAS adicionais para todos os outros Tipos de Acesso, a fim de ativar o novo contexto de segurança NAS 5G para cada Tipo de Acesso existente. Após procedimentos SMC NAS bem-sucedidos através dos outros tipos de acesso, tanto o UE quanto a AMF deletam o contexto de segurança NAS antigo. Na conclusão do procedimento, a tabela de mapeamento de conexões de Rede de Serviço e Tipo de Acesso a NAS é atualizada para incluir informações de conexão para Rede de Acesso Tipo C, como mostrado na FIG. 12.

[0056] FIG. 12 ilustra um diagrama de blocos esquemático de uma modalidade de uma tabela de mapeamento de Rede de Serviço e conexões de Tipo de Acesso a NAS após o registro com um tipo de acesso A, tipo de acesso B e tipo de acesso C. Neste exemplo, a tabela de mapeamento é atualizada para incluir informação de conexão para o tipo de acesso C. A tabela de mapeamento é atualizada após registro pelo UE através de uma rede de acesso. A tabela inclui o tipo de rede de acesso, identificador de rede e identificador de rede de acesso. A tabela de mapeamento também inclui o identificador de conexão NAS para a conexão NAS entre a Rede de Acesso Tipo C e o UE. O identificador de conexão NAS é “2”. A tabela de mapeamento pode ser armazenada no UE e AMF e/ou em outras funções ou nós, tal como o AUSF.

2. Modalidade - Falha de Autorização de Rede de Serviço

[0057] A fim de que o UE verifique se ele está conectado a uma rede de serviço que está autorizada a fornecer serviços ao UE, a rede de serviço precisa ser verificada pela rede doméstica durante os procedimentos AKA. Se a rede de serviço for autorizada, o procedimento AKA continuará e se autenticação primária e procedimento de acordo de chave forem concluídos com sucesso, isso significaria que a rede de serviço está autorizada.

[0058] No entanto, se a rede de serviço não for autorizada, o procedimento de autenticação pararia e o AUSF enviaria uma resposta de

Claims

REIVINDICAÇÕES

1. Equipamento de usuário (UE) caracterizado pelo fato de que compreende: um ou mais transceptores configurados para acessar uma rede de serviço através de uma pluralidade de tipos de rede de acesso; um dispositivo de memória configurado para armazenar uma tabela de mapeamento; e um dispositivo de processamento configurado para: gerar uma solicitação de registro para a rede de serviço através de uma primeira rede de acesso, em que a solicitação inclui um primeiro tipo de rede de acesso da primeira rede de acesso; receber uma resposta indicando que estabelecimento de conexão NAS é aceito pela rede de serviço, em que a resposta inclui o primeiro tipo de rede de acesso e o identificador de conexão NAS; e atualizar a tabela de mapeamento para incluir o primeiro tipo de rede de acesso e o identificador de conexão NAS.

2. UE, de acordo com a reivindicação 1, caracterizado pelo fato de que o primeiro tipo de rede de acesso inclui um valor indicando pelo menos um de: acesso 3GPP, acesso não 3GPP não confiável, acesso não 3GPP confiável, acesso WLAN não confiável, acesso WLAN confiável ou acesso MuLteFire.

3. UE, de acordo com a reivindicação 2, caracterizado pelo fato de que o dispositivo de processamento é ainda configurado para: atualizar a tabela de mapeamento para incluir o primeiro tipo de rede de acesso, identificador de conexão NAS, identificador de rede de acesso e identificador de rede de serviço.

4. UE, de acordo com a reivindicação 3, caracterizado pelo fato de que o dispositivo de processamento é ainda configurado para: gerar uma segunda solicitação de registro para a rede de serviço através de uma segunda rede de acesso tendo um segundo tipo de rede de acesso, em que a segunda solicitação inclui o segundo tipo de rede de acesso da segunda rede de acesso; receber uma resposta indicando que estabelecimento de conexão é aceito pela rede de serviço, em que a resposta inclui o segundo tipo de rede de acesso e um segundo identificador de conexão NAS; e atualizar a tabela de mapeamento para incluir o segundo tipo de rede de acesso e o segundo identificador de conexão NAS.

5. UE, de acordo com a reivindicação 4, caracterizado pelo fato de que o segundo tipo de rede de acesso é diferente do primeiro tipo de rede de acesso e em que o segundo tipo de rede de acesso indica um segundo diferente de: acesso 3GPP, acesso não 3GPP não confiável, acesso não 3GPP confiável, acesso WLAN não confiável, acesso WLAN confiável ou acesso MuLteFire.

6. UE, de acordo com a reivindicação 5, caracterizado pelo fato de que o dispositivo de processamento é ainda configurado para: gerar uma terceira solicitação de registo para a rede de serviço através de uma terceira rede de acesso tendo um terceiro tipo de rede de acesso, em que a terceira solicitação inclui o terceiro tipo de rede de acesso da terceira rede de acesso; receber uma resposta indicando que o estabelecimento de conexão é aceito pela rede de serviço, em que a resposta inclui o terceiro tipo de rede de acesso e um terceiro identificador de conexão NAS; e atualizar a tabela de mapeamento para incluir o terceiro tipo de rede de acesso e o terceiro identificador de conexão NAS.

7. UE, de acordo com a reivindicação 6, caracterizado pelo fato de que o terceiro tipo de rede de acesso é diferente do primeiro e do segundo tipos de rede de acesso e em que o terceiro tipo de rede de acesso indica um terceiro diferente de: acesso 3GPP, acesso não 3GPP não confiável, acesso não 3GPP confiável, acesso WLAN não confiável, acesso WLAN confiável ou acesso MuLteFire.

8. UE, de acordo com a reivindicação 7, caracterizado pelo fato de que o dispositivo de processamento é ainda configurado para: usar contexto de segurança NAS existente estabelecido na primeira rede de acesso com a rede de serviço.

9. UE, de acordo com a reivindicação 7, caracterizado pelo fato de que o dispositivo de processamento é ainda configurado para: receber uma solicitação para realizar autenticação para conexão através da terceira rede de acesso; obter um novo contexto de segurança NAS da rede de serviço através da terceira rede de acesso; estabelecer a conexão NAS usando o novo contexto de segurança NAS na terceira rede de acesso; ativar o novo contexto de segurança NAS para a primeira e a segunda redes de acesso;e deletar o contexto de segurança NAS anterior.

10. Equipamento de usuário (UE) caracterizado pelo fato de que compreende: um ou mais transceptores configurados para acessar uma rede de serviço através de uma pluralidade de tipos de rede de acesso; um dispositivo de processamento configurado para: gerar uma solicitação de registro para a rede de serviço através de uma rede de acesso; e receber uma mensagem de rejeição de registro, em que a mensagem de rejeição de registro indica que a rede de serviço não está autorizada.

11. UE, de acordo com a reivindicação 10, caracterizado pelo fato de que a mensagem de rejeição de registro inclui um elemento de informação de causa, em que o elemento de informação de causa inclui um valor correspondente a “Serving Network Not Authorized.”

12. UE, de acordo com a reivindicação 10, caracterizado pelo fato de que o dispositivo de processamento é ainda configurado para:

abortar registro na rede de serviço; armazenar uma identidade da rede de serviço em uma lista de redes de serviço não autorizadas [a "forbideen PLMN list"].

13. UE, de acordo com a reivindicação 12, caracterizado pelo fato de que o dispositivo de processamento é ainda configurado para selecionar outra rede de serviço para registro.

14. Função de servidor de autenticação em um nó de uma rede de núcleo, caracterizada pelo fato de que compreende: um transceptor configurado para comunicar com um ou mais nós na rede de núcleo; um dispositivo de processamento configurado para: receber uma solicitação de autenticação para um UE solicitando acesso a uma rede de serviço, em que a solicitação de autenticação inclui um identificador da rede de serviço e uma identidade de assinante; e determinar se a rede de serviço não está autorizada; e gerar uma resposta de autenticação, em que a resposta de autenticação indica que a rede de serviço não está autorizada.

15. Função de servidor de autenticação no nó da rede de núcleo, de acordo com a reivindicação 14, caracterizada pelo fato de que a resposta de autenticação inclui um elemento de informação de causa, em que o elemento de informação de causa inclui um valor correspondente a “Serving Network Not Authorized.”

16. Equipamento de usuário (UE) caracterizado pelo fato de que compreende: um transceptor configurado para comunicar com um ou mais tipos de redes de acesso; um dispositivo de processamento configurado para gerar um SUCI por: determinar um de uma pluralidade de formatos SUPI; determinar um de uma pluralidade de tipos de identidade para um identificador de assinante; determinar uma saída de esquema do identificador de assinante usando um esquema de proteção; e construir o SUCI incluindo um valor de formato SUPI, um tipo de valor de identidade e o esquema de saída.

17. UE, de acordo com a reivindicação 16, caracterizado pelo fato de que o um da pluralidade de tipos de identidade para o identificador de assinante inclui um de: SUCI, 5G-GUTI, IMEI, 5G-S-TMSI, IMEISV, endereço MAC ou uma identificação de dispositivo.

18. UE, de acordo com a reivindicação 16, caracterizado pelo fato de que o um da pluralidade de formatos SUPI inclui pelo menos um de: IMSI, NAI baseado em IMSI, NAI baseado em NON-IMSI ou MF-NAI.

19. UE, de acordo com a reivindicação 16, caracterizado pelo fato de que o dispositivo de processamento é ainda configurado para gerar o SUCI selecionando um de uma pluralidade de tipos de rede e incluindo um indicador de tipo de rede para o tipo de rede selecionado na estrutura SUCI.

Rede de Acesso 3GPP

Petição 870210013340, de 08/02/2021, pág. 165/234 104

Rede de Acesso não Rede EPC Redes de Acesso 3GPP Confiável 100 102 108

Rede de Acesso não 3GPP 106

Rede de Acesso não 3GPP não Confiável 110 1/23

Redes de Acesso não 3GPP (N3AN)

Petição 870210013340, de 08/02/2021, pág. 166/234 Acesso 3GPP 2/23

Rede de Dados

Redes não 3GPP Sinalização de autenticação (EAP-AKA’ Acesso não 3GPP não ou 5G-AKA) confiável Mensagens plano controle Pacotes plano usuário

Arquitetura de um Sistema 5G através de Redes de Acesso Múltiplas

Petição 870210013340, de 08/02/2021, pág. 167/234 Acesso 3GPP #1

Rede de Dados 3/23

Acesso WLAN não confiável #2

Acesso não 3GPP #3

UE Acessando Sistema 4G através de Redes de Acesso Múltiplas

Rede de Acesso Tipo A Não Regist. 5GMM Não Regist. 5GMM (Tipo de Acesso A) (Tipo de Acesso A) Sol.

Registro (ID Assinante, Tipo Acesso A) UE inicia registro através de Rede Construir ANID=SNN de Acesso Tipo A usando Identificador Rede Serviço (ID Assinante, ANID=Nome Rede Serviço, Tipo Acesso A) Algoritmo EAP- AKA’ selecionado Gerar EAP-AKA’ Solicitação Autenticação

Calcular Esp.

Aut. (RES) Resposta Autenticação Verificar resposta

Comando Modo Seguro (Tipo Acesso C, Identificador Derivar contexto Conexão NAS = 0, algoritmos segurança NAS selecionados, ngKSI, mensagem EAP) Derivar seg.

NAS Contexto Segurança NAS (ngKSI, KAMF, par contagem Contexto Segurança NAS NAS UL/DL [A], ...) (ngKSI, KAMF, par contagem NAS UL/DL [A], ...) Comando Modo Seguro Concluído Atualizar <Rede Serviço, Tipo Acesso> para Atualizar <Rede Serviço, Tipo Aceitação Registro Tabela Mapeamento Acesso> para Tabela Conexão NAS Mapeamento Conexão NAS Registro Completo

Regist. 5GMM Regist. 5GMM (Tipo de (Tipo de Acesso A) Acesso A)

ID Rede Acesso Identifica Rede de Cód. Tipo Rede Identificador dor Acesso Serviço Acesso Rede Conexão

NAS Tipo de Acesso A A Rede de Serviço e Tipo de Acesso a Tabela de mapeamento de conexões NAS após registro inicial de UE através de Tipo de Acesso A

Conteúdo de mensagem SOLICITAÇÃO DE REGISTRO

Petição 870210013340, de 08/02/2021, pág. 170/234 Elemento Informação Tipo / Referência Presença Formato Comprimento

Identidade mensagem solicitação registro Tipo mensagem 9.7

Tipo registro 5GS Tipo registro 5GS 9.10.3.7

Identificador conjunto chave NAS 9.10.3.29

Tipo acesso Tipo acesso

Identidade móvel 5G5 Identidade móvel 5G5 9.10.3.4 6/23

Tipo acesso IEI Tipo acesso Octeto 1

Petição 870210013340, de 08/02/2021, pág. 171/234 Elemento de informação de tipo de acesso 7/23

Elemento de informação de tipo de acesso

Valor de tipo de acesso (octeto 1, bit 1 a bit 2)

Acesso 3GPP

Petição 870210013340, de 08/02/2021, pág. 172/234 Acesso não 3GPP não confiável Acesso não 3GPP confiável Acesso WLAN não confiável Acesso WLAN confiável Acesso MuLtoFire

Todos os outros valores são reservados. 8/23

Rede de Acesso Tipo C

Não Regist. 5GMM (Tipo de Não Regist. 5GMM (Tipo de Acesso C) Acesso C)

Petição 870210013340, de 08/02/2021, pág. 173/234 Contexto Segurança NAS (ngKSI, KAMF, Contexto Segurança NAS (ngKSI, KAMF, par par contagem NAS UL/DL [A],[B] ...) contagem NAS UL/DL [A],[B] ...)

Contexto segurança Contexto segurança NAS nativo completo NAS nativo completo disponível disponível Solicitação Registro (ID Assinante, Tipo Acesso C) UE inicia registro através de Rede de Acesso Tipo C Reusar contexto segurança NAS existente

Comando Modo Seguro (Tipo Acesso C, Identificador Conexão NAS = 9/23

2) SMC para Tipo de Atualizar <Rede Serviço, Acesso C Comando Modo Seguro Concluído Tipo Acesso> para Tabela Mapeamento Conexão NAS Aceitação Registro Atualizar <Rede Serviço, Tipo Acesso> para Tabela Mapeamento Conexão NAS

Contexto Segurança NAS Contexto Segurança NAS (ngKSI, KAMF, par contagem (ngKSI, KAMF, par contagem NAS UL/DL [A],[B] ...) NAS UL/DL [A],[B] ...)

Registro Completo

Regist. 5GMM Regist. 5GMM (Tipo de Acesso C) (Tipo de Acesso C)

UE inicia registro através de novo Tipo de Acesso C – reusar contexto de segurança NAS

A Rede de Serviço e Tipo de Acesso a mapeamento de conexões NAS após registro subsequente através de Tipo de Acesso C

Tipo de ID de Rede de Acesso Rede Identificador de Identificador Código Rede de Rede de Conexão Serviço de Acesso NAS Acesso

Tipo de Acesso A

Tipo de Acesso B

Tipo de Acesso C

Rede de Acesso Tipo C Não Regist. 5GMM (Tipo de Não Regist. 5GMM (Tipo de Acesso C) Acesso C)

Contexto Segurança NAS (ngKSI, KAMF, par Contexto Segurança NAS (ngKSI, KAMF, par contagem NAS UL/DL [A],[B] ...)

Petição 870210013340, de 08/02/2021, pág. 175/234 contagem NAS UL/DL [A],[B] ...)

Sol.

Registro (ID Assinante, Tipo Acesso C) UE inicia registro através de Rede de Autenticação completa (mostrada na Figura 3), nova Acesso Tipo C Comando Modo Seguro (Tipo Acesso C, Identificador Conexão NAS = 2, algoritmos de segurança NAS selecionados, ngKSI’, Atualizar <Rede Serviço, SMC para Tipo de Tipo Acesso> para Tabela mensagem EAP) Acesso C Mapeamento Conexão Comando Modo Seguro Concluído NAS Comando Modo Seguro (Tipo Acesso C, Identificador Conexão NAS = 2, algoritmos de segurança NAS selecionados, ngKSI’, mensagem SMC para Tipo de EAP) Acesso A Comando Modo Seguro Concluído Iniciar a usar este novo Comando Modo Seguro (Tipo Acesso C, Identificador Conexão NAS contexto de segurança, 11/23

= 2, algoritmos de segurança NAS selecionados, ngKSI’, mensagem SMC para Tipo de deletar contexto antigo EAP) referenciado por ngKSI Acesso B Comando Modo Seguro Concluído Atualizar <Rede de Serviço, Tipo de Acesso> para Tabela de Aceitação Registro mapeamento de Conexão NAS Iniciar uso deste novo Contexto Segurança NAS Contexto Segurança NAS contexto de segurança, (ngKSI, KAMF, par contagem (ngKSI, KAMF, par contagem deletar contexto antigo NAS UL/DL [A],[B] ...) NAS UL/DL [A],[B] ...) referenciado por ngKSI

Registro Completo

Regist. 5GMM Regist. 5GMM (Tipo (Tipo de Acesso C) de Acesso C)

UE inicia registro através de novo Tipo de Acesso C – nova autenticação iniciada

Rede de Código Tipo de Identificador de ID de Rede de Acesso Identificador de Rede de Rede de Conexão Acesso Serviço Acesso NAS

Petição 870210013340, de 08/02/2021, pág. 176/234 Tipo de Acesso A

Tipo de Acesso B

Tipo de Acesso C 12/23

Rede de Acesso Tipo A

Não Regist. 5GMM (Tipo Não Regist. 5GMM (Tipo de Acesso A) de Acesso A)

Petição 870210013340, de 08/02/2021, pág. 177/234 Rejeição de Registro (ID se assinante, Tipo Acesso A) UE inicia registro inicial através de Redede Acesso Tipo A Construir ANID=SNN usando Identificador de Rede de Serviço (ID Assinante, ANID = Nome Rede Serviço, Tipo Acesso A)

Rejeição usando novo Rejeição de Registro (código causa 5GMM = 13/23 código de causa 5GMM

Rejeição de Registro Ou Rejeição usando (código causa 5GMM = código de causa 5GMM existente

Falha de autorização de rede de serviço

IEI causa 5GMM octeto 1 octeto 2 Valor de causa

Elemento de informação de causa 5GMM

Valor de causa (octeto 2)

Rede de Serviço não Autorizada

Qualquer outro valor recebido pela estação móvel será tratado como 0110 1111, “erro protocolo, não especificado”. Qualquer outro valor recebido pela rede será tratado como 0110 1111, “erro de protocolo, não especificado”.

Formato SUPI (octeto 3, bits 5-7)

IMSI NAI baseado em IMSI NAI baseado não em IMSI MF-NAI Todos os outros valores são interpretados como IMSI por esta versão do protocolo.

Um novo campo “Formato SUCI” Tipo de identidade (octeto 1) número de série, etc.) Tipo de identidade de assinante pode incluir endereço MAC, UDI, ODIN, Bluetooth, número de série:

octeto 1 IEI identidade móvel 5GS Comprimento conteúdo identidade móvel 5GS octeto 2 Ímpar

Petição 870210013340, de 08/02/2021, pág. 180/234 Par Tipo de identidade Reserva Formato SUPI indic octeto 3

Identificador de tipo de Rede octeto 4 (NTI) (valor global reservado) Tipo de Rede octeto 5 octeto 6 Identificador de rede doméstica ID de Rede octeto 7-u 16/23 octeto u+1 - v Tipo de Roteamento Identificador de roteamento octeto v+1 Identific.

Chave pública rede doméstica Id esquema proteção

Identificador de assinante Identificador de chave pública rede doméstica (continuação) octeto v+2 - x oculto Saída de esquema octeto x+1 - y

Formato de identidade de assinante SUCI genérico

IEI identidade móvel 5GS octeto 1 Comprimento conteúdo identidade móvel 5GS octeto 2 Ímpar Tipo de identidade Reserva Formato SUPI Par octeto 3 indic octeto 4 ID PLMN dígito2 dígito1 dígito3 dígito3 octeto 5 dígito2 dígito1 octeto 6 octeto 7 Dígito indicador roteamento 2 Dígito indicador roteamento 1 Dígito indicador roteamento 4 Dígito indicador roteamento 3 octeto 8 Identificador de chave Identificador de esquema de pública de rede doméstica proteção octeto 9 octeto 10 - x Identificador de assinante oculto Identificador de chave pública rede doméstica (continuação) octeto x+1 - y Saída de esquema Tipo de identidade (octeto 1) número de série, etc.) Formato SUPI (octeto 3, bits 5-7)

IMSI NAI baseado em IMSI NAI baseado não em IMSI MF-NAI Elemento de informação de identidade móvel 5GS para tipo de identidade “SUCI” e formato SUCI é “IMSI” ou “NAI baseado em IMSI”

IEI identidade móvel 5GS Comprimento conteúdo identidade móvel 5GS octeto 1 Ímpar Formato SUPI Par Tipo de identidade octeto 2 Reserva indic octeto 3 Identificador de tipo de Rede (NTI) (valor global Tipo de Rede octeto 4 reservado) octeto 5 octeto 6 Identificador de ID de Rede rede octeto 7-u octeto u+1 - v Identificador de Tipo de Roteamento octeto v+1 roteamento Identific. Ch. pública rede dom. Id esquema proteção octeto v+2 - x Identificador de Identificador de chave pública rede doméstica (continuação) octeto x+1 - y assinante oculto Saída de esquema Tipo de identidade (octeto 1) número de série, etc.) Formato SUPI (octeto 3, bits 5-7)

IMSI NAI baseado em IMSI NAI baseado não em IMSI MF-NAI Elemento de informação de identidade móvel 5GS para tipo de identidade “SUCI” e formato SUCI é “NAI baseado não em IMSI”

IEI identidade móvel 5GS Comprimento conteúdo identidade móvel 5GS octeto 1 Formato SUPI Ímpar Tipo de identidade Reserva octeto 2 Indicador de Tipo de Rede Par (NTI) indic octeto 3 (usando valor MCC/MNC dígito2 dígito1 global reservado) dígito3 dígito3 octeto 4 dígito2 dígito1 octeto 5 Identificador de Rede ID de Rede octeto 6 octeto 7-u ID de Roteamento octeto u+1 - v Identificador de Roteador octeto v+1 Identific. Ch. pública rede dom. Id esquema proteção octeto v+2 - x Identificador de Identificador de chave pública rede doméstica (continuação) assinante oculto octeto x+1 - y Saída de esquema Tipo de identidade (octeto 1) número de série, etc.) Formato SUPI (octeto 3, bits 5-7)

IMSI NAI baseado em IMSI NAI baseado não em IMSI MF-NAI Elemento de informação de identidade móvel 5GS para tipo de identidade “SUCI” e formato SUCI é “NAI baseado não em IMSI” e NTI é ID de PLMN

IEI identidade móvel 5GS octeto 1 Comprimento conteúdo identidade móvel 5GS octeto 2 Ímpar octeto 3 Formato SUPI Tipo de identidade Acesso Hospedeiro Neutro Reserva Par Indicador de Modo (NHAMI) indic (usando valor MCC/MNC dígito2 dígito1 octeto 4 global reservado) dígito3 dígito3 dígito2 octeto 5 dígito1 octeto 6 octeto 4 ID Rede Hospedeira Neutra octeto 5 octeto 6 ID Provedor de Serviço de Participação octeto 6 Dígito indic.roteamento2 Dígito indic.roteamento1 Dígito indic. Roteamento4 Dígito indic. Roteamento3 octeto 7 Identificador de chave Id de esquema de pública rede doméstica proteção octeto 8 octeto 9 Identificador de Identificador de chave pública rede doméstica (continuação) assinante oculto Saída de esquema octeto 10 -x octeto x+1 - y Formato SUPI (octeto 3, bits 5-7)

IMSI NAI baseado em IMSI NAI for dispositivo MuLteFire NAI baseado não em IMSI (Identificador de Assinante MF-NAI Hospedeiro Neutro) Elemento de informação de identidade móvel 5GS para tipo de identidade “SUCI” e formato SUCI é “MF-NAI”

Codificação de Identificador SUCI Dígito de identidade (octeto 3 bits 5 a 8, octeto 4 etc.) Para o IMEI, campo de dígito de Identidade é codificado usando codificação BCD. Se o número de dígitos de identidade for par, então, bits 5 a 8 do último octeto serão preenchidos com uma marca final codificada como “1111”. O formato do IMEI é descrito em 3GPP TS 23.003 [4]. Para o IMEISV, campo de dígito de Identidade é codificado usando codificação BCD. Bits 5 a 8 do último octeto serão preenchidos com uma marca final codificada como “1111”. O formato do IMEISV é descrito em 3GPP TS 23.003 [4]. Para o SUCI, bit 5 do octeto 3 é o formato SUPI e codificado como mostrado abaixo. Bits 6 a 8 do octeto 3 são reserva, octetos 4 a 6 contêm os valores de MCC e MNC como especificado abaixo e bit 8 do octeto 7 é o bit mais significativo e bit 1 do último octeto o bit menos significativo para os campos subsequente. Os campos requeridos para o SUCI são como definidos em 3GPP TS 23.003 [4]. Formato de SUPI (octeto 3, bits 5-7) Bit 7 6 5 0 0 0 IMSI 0 0 1 NAI baseado em IMSI 0 1 0 NAI não baseado em IMSI 0 1 1 MF-NAI Outros valores são reserva MCC, Código de país móvel (octeto 4, octeto 5 bits 1 a 4) O campo MCC é codificado como em ITU-T Recommendation E.212 [42], anexo A.

MNC, Código de rede móvel (octeto 5 bits 5 a 8, octeto 6) A codificação deste campo é a responsabilidade de cada administração, mas codificação BCD será usada. O MNC consistirá em 2 ou 3 dígitos. Se uma operadora de rede decidir usar apenas dois dígitos no MNC, bits 5 a 8 do octeto 5 serão codificados como “1111”.

O conteúdo dos dígitos de MCC e MNC são codificados como octetos 6 a 8 do IE de identidade de grupo móvel temporário na figura 10.5.154 de 3GPP TS 24.008 [12].

Indicador de roteamento (octetos 7-8) Indicador de roteamento consistirá em 1 a 4 dígitos. A codificação desse campo é a responsabilidade da operadora de rede doméstica, mas codificação BCD será usada. Se uma operadora de rede decidir atribuir menos de 4 dígitos ao Indicador de Roteamento, os dígitos restantes serão codificados como “1111” e inseridos na lado esquerdo para preencher os 4 dígitos codificando o Indicador de Roteamento, Identificador de esquema de proteção (octeto 9 bits 1 a 4) Bits 4 3 2 1 0 0 0 0 Esquema nulo 0 0 0 1 Perfil de esquema ECIES A 0 0 1 0 Perfil de esquema ECIES B 0 0 1 1 a 1 0 1 1 Reservados 1 0 1 1 1 1 0 0 a 1 1 1 1 Esquema de proteção específico da operadora Identificador de chave pública de rede doméstica é codificado como definido em 3GPP TS 23.003 [4]. Saída de esquema (octeto 1 x+1 a y) A saída de esquema é codificada como definido em 3GPP TS 23.003 [4].

Controlador Alto-falante Câmera Digital Tela de Toque 2634 Microfone 2636 2630 2632

Dispositivo de Processamento 2600

Transceptor Interfaces de Dispositivo de Usuário 2618 Bluetooth 2610 Memória 2602

Transceptor WLAN 2612 Tabela de Adaptador CA 2620 Mapeamento 2650 Transceptor RF Móvel 2614 Módulo de Bateria 2622 Objeto Gerenciado 2604 Transceptor USB 2624

Porta Ethernet 2628 Unidade de Gerenciamento de Energia 2638

Dispositivo de Processamento 2700

Dispositivo de Memória 2702

Interface de Rede 2704

Nó de AMF 202

Dispositivo de Processamento 2800

Dispositivo de Memória 2802

Interface de Rede 2804

Interface WLAN 2806

Interface RF Móvel 2808