CN101155424A

CN101155424A - 不进行用户面加密的方法

Info

Publication number: CN101155424A
Application number: CNA2007101515630A
Authority: CN
Inventors: 甘露
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2007-09-28
Filing date: 2007-09-28
Publication date: 2008-04-02
Anticipated expiration: 2027-09-28
Also published as: CN101155424B

Abstract

本发明公开了一种不进行用户加密的方法。在该不进行用户面加密的方法中，通过在用户签约数据中添加用于指示是否需要对用户面进行加密的用户面加密信息，通知移动管理单元不需要对用户面进行加密的情况，进而使移动管理单元或演进基站作出不进行用户面加密的决定。本发明可以减小演进分组系统功能实体eNB的处理负载；并可以使运营商将用户面加密作为一种业务提供给有需要的用户，因此丰富了运营商的业务选择。

Description

不进行用户面加密的方法

技术领域

本发明涉及通信领域，更具体地涉及一种不进行用户面加密的方法。

背景技术

如图1所示，3GPP演进的分组系统(Evolved Packet System，简称EPS)由演进的陆地无线接入网(Evolved UMTS TerrestrialRadio Access Network，简称EUTRAN)和EPS核心网(EvolvedPacket Core，简称EPC)组成。其中，EPS核心网由移动管理单元(Mobility Management Entity，简称MME)、服务网关(ServingGateway，简称S-GW)、分组数据网网关(Packet Data NetworkGateway，简称PDN GW)、归属用户服务器(Home Subscriber Server，简称HSS)、以及其他支撑节点组成。EUTRAN与移动管理单元之间的接口为S1-MME、与服务网关之间的接口为S1-U，移动管理单元与归属用户服务器之间的接口为S6a、与服务网关之间的接口为S11，服务网关与分组数据网网关之间的接口为S5。分组数据网网关到外部网络的接口为SGi。

其中，移动管理单元负责移动性的管理、非接入层信令的处理、以及用户安全模式的管理等控制面相关工作。归属用户服务器主要负责存储用户的签约数据、用户在网络中的位置、以及网络的配置等。

在演进的UTRAN中，基站设备为演进的基站(evolved Node-B，简称eNB)，主要负责无线通讯、移动性上下文的管理、和/或用户安全模式的管理。

在归属用户服务器中保存的用户签约数据包括该用户是否签约某个运营商的网络服务、和该用户是否签约某项业务的数据等。

在EPS中，用户设备(User Equipment，简称UE)和MME之间需要进行非接入层(Non Access Stratum，简称NAS)信令的完整性保护和加密。UE和UTRAN的eNB之间需要进行接入层(AccessStratum，简称AS)信令的加密和完整性保护。UE和eNB之间还需要进行用户面的加密。UE将UE的安全能力(security capability)，即UE支持的算法列表，包括UE支持的用户面加密算法列表发送给演进分组系统。对于用户面的加密，由演进分组系统的eNB或MME将UE支持的用户面加密算法列表和eNB支持的用户面算法列表进行比较，如果支持相同的用户面算法，则演进分组系统的eNB或MME选择一个相同的用户面算法发送给UE。

在UE的移动性状态由空闲(IDLE)变为活跃(ACTIVE)时，需要对用户面的加密算法重新进行协商。

其中，如图2所示，由MME选择用户面加密算法的流程包括以下步骤：

S202，UE向eNB发送层3消息(即，NAS业务请求消息)。同时发送UE安全能力(即，UE所支持的用户面加密算法列表)。

S204，eNB向MME转发层3消息，并且同时发送eNB的安全能力(即，eNB支持的用户面加密算法列表)。

S206，UE和MME之间可选地进行认证。

S208，MME根据UE的安全能力和eNB的安全能力选择一个UE和eNB都支持的用户面加密算法。

S210，MME发送演进的无线接入网应用协议(evolved RadioAccess Network Application Protocol，简称eRANAP)消息给eNB，包含所选的用户面加密算法。

S212，eNB发送接入层安全模式命令(Security Mode Command，简称SMC)消息给UE，包含所选择的用户面加密算法。

S214，UE开始用户面加密。

S216，UE向eNB返回安全模式命令完成(SMC complete)消息。

S218，收到安全模式命令完成消息后，eNB开始用户面加密。

另外，如图3所示，由MME选择用户面加密算法的流程包括以下步骤：

S302，UE向eNB发送层3消息(即，NAS业务请求消息)。同时发送UE安全能力(即，UE支持的用户面加密算法列表)。

S304，eNB向MME转发层3消息。

S306，UE和MME之间可选地进行认证。

S308，MME发送演进的无线接入网应用协议消息给eNB，包含UE的安全能力。

S310，eNB根据UE的安全能力和eNB的安全能力选择一个UE和eNB都支持的用户面加密算法。

S312，eNB发送接入层安全模式命令消息给UE，包含所选择的用户面加密算法。

S314，UE开始用户面加密。

S316，UE向eNB返回安全模式命令完成消息。

S318，收到安全模式命令完成消息后，eNB开始用户面加密。

在UE的移动性状态由IDLE变为ACTIVE时，因为NAS算法已经存在，所以不用进行NAS算法协商。

在用户设备的状态处于IDLE或ACTIVE时，HSS有可能向MME发送新的用户签约数据，那么MME中保存的用户上下文会根据用户签约数据的变化发生变化。

用户面的加密主要是对用户面的内容进行加密，对于某些用户，仅用移动通讯系统进行普通的通讯，没有牵涉到需要保密的内容，那么就没有必要对用户面的内容进行加密。比如说，某用户只使用终端打电话进行普通的聊天或联络，那么他的通话内容没有必要进行加密。

对于eNB来说，如果对每一个用户都进行用户面的加密，那么会给eNB带来较大的处理负载(processing load)。如果能根据特定用户的需求对用户面进行加密，则能大大减少演进分组系统功能实体eNB的处理负载。更进一步地，运营商可以将用户面加密作为一种业务提供给有需要的用户。

同时，作为提供给某些网络的一种可选的方法，对现有网络的设备配置和流程的影响必须减到最低。不影响不需要这种方法的网络对现有技术的使用。

发明内容

鉴于以上所述的一个或多个问题，本发明提供了一种不进行用户面加密的方法。

在根据本发明的不进行用户面加密的方法中，通过在用户签约数据中添加用于指示是否需要对用户面进行加密的用户面加密信息，通知移动管理单元不需要对用户面进行加密的情况，进而使移动管理单元或演进基站作出不进行用户面加密的决定。

其中，当移动管理单元获知不需要对用户面进行加密的情况时，移动管理单元作出不进行用户面加密的决定，并通过演进基站将不进行用户面加密的决定通知给用户设备。同时，移动管理单元也不对用户面加密算法进行选择。

可选地，当移动管理单元获知不需要对用户面进行加密的情况时，移动管理单元将不需要对用户面进行加密的情况通知给演进基站，由演进基站作出不进行用户面加密的决定并将不进行用户面加密的决定通知给用户设备。同时，演进基站也不对用户面加密算法进行选择。

根据本发明的不进行用户加密的方法包括以下步骤：在用户签约数据中添加用于指示是否需要对用户面进行加密的用户面加密信息；在用户设备的移动性状态发生改变时，移动管理单元对其自身是否具有识别用户面加密信息的能力进行检查；在移动管理单元具有所述识别能力的情况下，移动管理单元根据用户面加密信息判断是否需要进行用户面加密；如果不需要进行用户面加密，演进基站对其自身是否具有支持不进行用户面加密的能力进行检查；以及在演进基站具有所述支持能力的情况下，移动管理单元或演进基站决定不进行用户面加密，并将不进行用户面加密的决定发送至用户设备。

其中，决定不进行用户面加密的步骤具体可以包括以下步骤：移动管理单元决定不进行用户面加密，并将不进行用户面加密的决定通知给演进基站；以及演进基站将不进行用户面加密的决定转发至用户设备。

可选地，决定不进行用户面加密的步骤具体可以包括以下步骤：移动管理单元将不需要进行用户面加密的情况通知给演进基站；以及演进基站决定不进行用户面加密，并将不进行用户面加密的决定通知给用户设备。

其中，移动管理单元通过演进的无线接入网应用协议消息将不进行用户面加密的决定或不需要进行用户面加密的情况通知给演进基站。演进基站通过接入层安全模式命令完成消息将不进行用户面加密的决定发送至用户设备。

其中，在移动管理单元决定不进行用户面加密的情况下，移动管理单元不进行用户面加密算法的选择。在演进基站决定不进行用户面加密的情况下，演进基站也不进行用户面加密算法的选择。

其中，在用户面加密信息指示需要进行用户面加密和/或移动管理单元不具有识别用户面加密信息的能力和/或演进基站不具有支持不进行用户面加密的能力的情况下，移动管理单元或演进基站对用户面加密算法进行选择，并将所选择的用户面加密算法发送至用户设备。

通过本发明，运营商可以根据用户的选择而实行对部分用户不进行用户面加密，因此减小了演进分组系统功能实体eNB的处理负载；并且可以将用户面加密作为一种业务提供给有需要的用户，因此丰富了运营商的业务选择。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是现有技术中的EPS系统的架构图；

图2是现有技术中的UE移动性状态转换时MME选择用户面加密算法时的加密算法协商的信令流程图；

图3是现有技术中的UE移动性状态转换时eNB选择用户面加密算法时的加密算法协商的信令流程图；

图4是根据本发明实施例的不进行用户面加密的方法的流程图；

图5是应用图4所示方法实现不进行用户面加密的一个实施例的流程示意图；以及

图6是应用图4所示方法实现不进行用户面加密的另一个实施例的流程示意图。

具体实施方式

下面参考附图，详细说明本发明的具体实施方式。

参考图4，说明根据本发明实施例的不进行用户面加密的方法。如图4所示，该不进行用户面加密的方法包括以下步骤：

S402，在用户设备处于IDLE状态时，可能发生路由区(TrackingArea，简称TA)更新。当发生TA更新时，MME会变化，新的MME会获取到用户的签约数据。如果能够配置新的MME是否具备识别出用于指示是否需要对用户面进行加密的用户面加密信息的能力，并且配置为可以识别该用户面信息，则进入S404；如果新的MME没有此功能，或者此功能配置为不能识别该用户面加密信息，则进入S410。

S404，如果用户签约数据中包含是否需要对用户面进行加密的用户面加密信息，则MME根据该信息进行判断。如果不需要对用户面进行加密，则转步骤S406，如果户签约数据中不包含是否需要对用户面进行加密的用户面加密信息，或者包含该信息但该信息指示需要用户面加密，则转步骤S410。

S406，由于当用户设备为IDLE状态时可能发生TA更新，即用户设备有可能在转换为ACTIVE时连接到新的eNB，所以需要新的eNB对其自身的支持不进行用户面加密的能力进行重新检查。

S408，如果eNB具有支持不进行用户面加密的能力，并配置为支持，则MME或eNB决定不进行用户面加密，不进行算法选择，并向UE发送不进行用户面加密的消息。如果是由移动管理单元选择用户面加密算法，则由移动管理单元决定并发送，如果是由演进基站选择用户面加密算法，则由演进基站决定并发送。

S410，如果MME不具备配置自身是否具备识别出是用户面加密信息的能力，或者具备该能力但配置为不能识别该用户面加密信息、或用户签约数据中没有用户面加密信息、或户签约数据中有用户面加密信息但用户面加密信息指示需要进行用户面加密、或eNB不具有支持不进行用户面加密的能力，或者具有该功能但配置为不支持，则MME或eNB选择用户面加密算法，并将所选择的用户面加密算法发送给UE。

其中，在移动管理单元决定不进行用户面加密的情况下，移动管理单元将不进行用户面加密的决定通知给演进基站，由演进基站将不进行用户面加密的决定转发至用户设备。

在移动管理单元将不需要进行用户面加密的情况通知给演进基站的情况下，演进基站决定不进行用户面加密，并将不进行用户面加密的决定通知给用户设备。

在移动管理单元不具备识别出用户不需要进行用户面加密的能力的情况下，MME不能识别用户不需要进行用户面加密的信息，因此MME就忽略该信息，并且进入需要对用户面进行加密的流程。

在移动管理单元具备识别出用户不需要进行用户面加密的能力，但是演进基站本身并不具备支持对用户面不加密的能力的情况下，MME或eNB判断还是需要对用户面进行加密，并进行算法选择。

在运营商对MME连接的所有eNB都配置为具备支持对用户面不加密的能力的情况下，不需要另外对eNB的能力进行判断。在MME具有识别能力，但是用户签约数据中不包含是否需要对用户面进行加密的指示信息的情况下，MME判断需要进行用户面加密。

参考图5，说明应用图4所示方法实现不进行用户面加密的一个实施例的流程。这里假设用户签约数据中标识了用户不需要进行用户面加密，而且MME具备根据用户需要来识别用户面是否需要加密的能力，并且eNB具备选择是否对用户面加密的支持能力。如图5所示，由MME决定是否需要对用户面进行加密的流程包括以下步骤：

S502，UE向eNB发送层3消息(即，NAS业务请求消息)。同时发送UE安全能力(即，UE支持的用户面加密算法列表)。

S504，eNB向MME转发层3消息，同时发送eNB的安全能力(即，eNB支持的用户面加密算法列表以及eNB是否具备支持对用户面不加密的能力)。

S506，UE和MME之间可选的进行认证。

S508，由于MME具备识别出用户签约数据中的是否需要对用户面进行加密的指示信息的识别能力，并且该指示信息指示不需要加密，所以MME根据该信息判断出用户不需要进行用户面加密。

S510，由于eNB具备支持对用户面不加密的能力，因此MME决定不进行用户面加密的过程，并且MME也不进行用户面算法选择。

S512，MME向eNB发送eRANAP消息，该消息中包括不需要进行用户面加密的通知信息。

S514，eNB向UE发送接入层安全模式命令消息，该命令消息中包含不需要进行用户面加密的通知信息。

S516，UE不启动用户面加密。

S518，UE向eNB回复接入层安全模式命令完成消息。

S520，收到接入层安全模式命令完成后，eNB不启动用户面加密。

参考图6是应用图4所示方法实现不进行用户面加密的另一个实施例的流程示意图。这里假设用户签约数据中标识了用户不需要进行用户面加密，而且MME具备根据用户需要来识别用户面是否需要加密的能力，并且eNB具备选择是否对用户面加密的支持能力。如图6所示，由eNB决定是否需要对用户面进行加密的流程包括以下步骤：

S602，UE向eNB发送层3消息(即，NAS业务请求消息)。同时发送UE安全能力(即，UE支持的用户面加密算法列表)。

S604，eNB向MME转发层3消息。

S606，UE和MME之间可选地进行认证。

S608，由于MME具备识别出用户签约数据中的是否需要对用户面进行加密的指示信息的识别能力，并且该指示信息指示不需要加密，所以MME根据该信息判断出用户不需要进行用户面加密。

S610，MME向eNB发送eRANAP消息，该消息中包括不需要用户面加密的通知信息。

S612，由于eNB具备支持对用户面不加密的能力，因此eNB决定不进行用户面加密的过程，并且eNB也不进行用户面算法选择。

S614，eNB向UE发送接入层安全模式命令消息，该命令消息中包含不需要用户面加密的通知信息。

S616，UE不启动用户面加密。

S618，UE向eNB回复接入层安全模式命令完成消息。

S620，收到接入层安全模式命令完成后，eNB不启动用户面加密。

在本发明的其他应用实例当中，如果用户签约数据中标识了用户需要进行用户面加密，则无论演进分组系统功能实体是否具备识别用户面是否需要加密的能力，以及是否具备根据用户需要来选择是否对用户面加密的支持能力，都需要对用户面进行加密。加密的流程与现有技术相同，此处不再赘述。

以上所述仅为本发明的实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims

1.一种不进行用户面加密的方法，其特征在于，通过在用户签约数据中添加用于指示是否需要对用户面进行加密的用户面加密信息，通知移动管理单元不需要对用户面进行加密的情况，进而使所述移动管理单元或演进基站作出不进行用户面加密的决定。

2.根据权利要求1所述的不进行用户面加密的方法，其特征在于，当所述移动管理单元获知不需要对用户面进行加密的情况时，所述移动管理单元作出所述不进行用户面加密的决定，并通过所述演进基站将所述不进行用户面加密的决定通知给用户设备。

3.根据权利要求2所述的不进行用户面加密的方法，其特征在于，当所述移动管理单元获知不需要对用户面进行加密的情况时，所述移动管理单元不对用户面加密算法进行选择。

4.根据权利要求1所述的不进行用户面加密的方法，其特征在于，当所述移动管理单元获知不需要对用户面进行加密的情况时，所述移动管理单元将不需要对用户面进行加密的情况通知给所述演进基站，由所述演进基站作出所述不进行用户面加密的决定并将所述不进行用户面加密的决定通知给用户设备。

5.根据权利要求4所述的不进行用户面加密的方法，其特征在于，当所述移动管理单元获知不需要对用户面进行加密的情况时，所述演进基站不对用户面加密算法进行选择。

6.一种不进行用户面加密的方法，其特征在于，包括以下步骤：

在用户签约数据中添加用于指示是否需要对用户面进行加密的用户面加密信息；

在用户设备的移动性状态发生改变时，移动管理单元对其自身是否具有识别所述用户面加密信息的能力进行检查；

在所述移动管理单元具有所述识别能力的情况下，所述移动管理单元根据所述用户面加密信息判断是否需要进行用户面加密；

如果不需要进行用户面加密，则演进基站对其自身是否具有支持不进行用户面加密的能力进行检查；以及

在所述演进基站具有所述支持能力的情况下，所述移动管理单元或所述演进基站决定不进行用户面加密，并将不进行用户面加密的决定发送至所述用户设备。

7.根据权利要求6所述的方法，其特征在于，决定不进行用户面加密的步骤具体包括以下步骤：

所述移动管理单元决定不进行用户面加密，并将所述不进行用户面加密的决定通知给所述演进基站；以及

所述演进基站将所述不进行用户面加密的决定转发至所述用户设备。

8.根据权利要求6所述的方法，其特征在于，决定不进行用户面加密的步骤具体包括以下步骤：

所述移动管理单元将不需要进行用户面加密的情况通知给所述演进基站；以及

所述演进基站决定不进行用户面加密，并将所述不进行用户面加密的决定通知给所述用户设备。

9.根据权利要求7或8所述的方法，其特征在于，所述移动管理单元通过演进的无线接入网应用协议消息将所述不进行用户面加密的决定或所述不需要进行用户面加密的情况通知给所述演进基站。

10.根据权利要求9所述的方法，其特征在于，所述演进基站通过接入层安全模式命令完成消息将所述不进行用户面加密的决定发送至所述用户设备。

11.根据权利要求10所述的方法，其特征在于，在所述移动管理单元决定不进行用户面加密的情况下，所述移动管理单元也不进行用户面加密算法的选择，在所述演进基站决定不进行用户面加密的情况下，所述演进基站也不进行用户面加密算法的选择。

12.根据权利要求11所述的方法，其特征在于，在所述用户面加密信息指示需要进行用户面加密和/或所述移动管理单元不具有识别用户面加密信息的能力和/或所述演进基站不具有支持不进行用户面加密的能力的情况下，所述移动管理单元或所述演进基站对用户面加密算法进行选择，并将所选择的用户面加密算法发送至所述用户设备。