CN102833739A

CN102833739A - 一种初始非接入层消息的传输方法、装置及系统

Info

Publication number: CN102833739A
Application number: CN2012103067926A
Authority: CN
Inventors: 吴鹏程
Original assignee: Datang Mobile Communications Equipment Co Ltd
Current assignee: Datang Mobile Communications Equipment Co Ltd
Priority date: 2012-08-24
Filing date: 2012-08-24
Publication date: 2012-12-19
Anticipated expiration: 2032-08-24
Also published as: CN102833739B

Abstract

本申请提供了一种初始非接入层消息的传输方法、装置及系统，以保护初始非接入层消息，防止初始非接入层消息中的信息被截获。其中，所述一种初始非接入层消息的传输方法包括：ENB接收UE发送的连接请求消息；ENB向所述UE发送携带MME公钥的连接建立消息；ENB接收所述UE发送的连接建立完成消息，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息；ENB将所述MME公钥加密的初始NAS消息通过初始UE消息发送给MME。本申请可以对LTE网络中多个初始过程的NAS消息进行保护，有利于保证网络安全，对于真实组网有非常重要的意义。

Description

一种初始非接入层消息的传输方法、装置及系统

技术领域

本申请涉及移动通信技术领域，特别是涉及一种初始非接入层消息的传输方法、装置及系统。

背景技术

在长期演进(LTE，Long Term Evolvement)网络内，移动管理实体(MME，Mobility Management Entity)和用户终端(UE，User Equipment)之间进行的初始过程包括：附着过程(Attach procedure)、位置区域更新过程(TrackingArea Update procedures)、服务请求过程(Service Request procedures)、去附着过程(Detach procedure)。

在上述过程中都存在UE从空闲状态到连接状态的转变，此时UE向MME发送的初始非接入层(Non Access Stratum，NAS)消息需要携带UE的相关标识(国际移动签约标识(IMSI，International Mobile SubscriberIdentity)或全球唯一临时标识(GUTI，Globally Unique Temporary UEIdentity))等重要信息。这些信息是不加密的，容易被攻击者截获。攻击者可以通过很多手段获取到这些用户标识，比如监听空口信息，攻击演进基站(ENB，evolved NodeB)等。攻击者获取到UE的相关标识后，可以跟踪UE、或者进行强制切换等攻击。在LTE系统内，目前对初始NAS消息的保护措施还比较薄弱，尚无有效地方法防止初始NAS消息中的信息被截获。

发明内容

本申请提供一种初始非接入层消息的传输方法、装置及系统，以保护初始非接入层消息，防止初始非接入层消息中的信息被截获。

为了解决上述问题，本申请公开了一种初始非接入层消息的传输方法，包括：

ENB接收UE发送的连接请求消息；

ENB向所述UE发送携带MME公钥的连接建立消息；

ENB接收所述UE发送的连接建立完成消息，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息；

ENB将所述MME公钥加密的初始NAS消息通过初始UE消息发送给MME。

优选地，所述ENB接收UE发送的连接请求消息之前，还包括：

ENB向MME发送建立请求消息；

ENB接收MME发送的建立响应消息，所述建立响应消息中携带MME公钥，ENB保存所述MME公钥。

优选地，在MME向ENB发送的建立响应消息中携带MME公钥，包括：

在建立响应消息中添加MME公钥的信息元素。

优选地，所述ENB接收UE发送的连接请求消息之前，还包括：

ENB接收MME发送的配置更新请求消息，所述配置更新请求消息中携带新的MME公钥；

ENB保存所述新的MME公钥，并向MME发送配置更新应答消息。

优选地，在MME向ENB发送的配置更新请求消息中携带新的MME公钥，包括：

在配置更新请求消息中添加新的MME公钥的信息元素。

优选地，其特征在于，在ENB向UE发送的连接建立消息中携带MME公钥，包括：

在连接建立消息中添加MME公钥的信息元素。

优选地，通过以下方式使用MME公钥加密初始NAS消息：

在初始NAS消息结构中，在第1个字节中增加安全头类型；

对所述初始NAS消息结构中从第2个字节开始的内容使用MME公钥加密。

优选地，所述增加安全头类型包括：

当所述初始NAS消息为附着请求消息，或者为去附着请求消息，或者为位置区域更新请求消息时，所述安全头类型置为“0101”；

当所述初始NAS消息为服务请求消息时，所述安全头类型置为“0110”。

优选地，所述ENB将MME公钥加密的初始NAS消息通过初始UE消息发送给MME之后还包括：

MME接收所述初始UE消息并使用对应的MME私钥对所述初始UE消息中加密的初始NAS消息进行解密。

本申请还公开了一种初始非接入层消息的传输装置，其特征在于，包括：

第一接收模块，用于接收UE发送的连接请求消息；

第一发送模块，用于向所述UE发送携带MME公钥的连接建立消息；

第二接收模块，用于接收所述UE发送的连接建立完成消息，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息；

第二发送模块，用于将所述MME公钥加密的初始NAS消息通过初始UE消息发送给MME。

优选地，所述装置还包括：

第三发送模块，用于向MME发送建立请求消息；

第三接收模块，用于接收MME发送的建立响应消息，所述建立响应消息中携带MME公钥；

存储模块，用于保存所述MME公钥。

优选地，所述装置还包括：

第四接收模块，用于接收MME发送的配置更新请求消息，所述配置更新请求消息中携带新的MME公钥；

第四发送模块，用于向MME发送配置更新应答消息。

本申请还公开了一种初始非接入层消息的传输系统，其特征在于，包括：ENB和UE，

其中，所述ENB包括：

第一接收模块，用于接收UE发送的连接请求消息；

第二发送模块，用于将所述MME公钥加密的初始NAS消息通过初始UE消息发送给MME；

其中，所述UE包括：

第三发送模块，用于向ENB发送连接请求消息；

第三接收模块，用于接收ENB发送的连接建立消息，所述连接建立消息中携带MME公钥；

第三发送模块，用于向ENB发送连接建立完成消息，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息。

优选地，所述系统还包括：MME，

所述MME包括：

接收模块，用于接收所述ENB发送的建立请求消息；

发送模块，用于向所述ENB发送建立响应消息，所述建立响应消息中携带MME公钥。

优选地，所述MME还包括：

配置更新模块，用于向ENB发送配置更新请求消息，所述配置更新请求消息中携带新的MME公钥。

与现有技术相比，本申请包括以下优点：

首先，本申请通过ENB向UE发送MME公钥，使得UE可以使用MME的公钥加密NAS消息，加密的NAS消息保护了UE的相关标识，有效防止了攻击者对初始NAS消息中的UE相关标识进行的截获，保证了初始非接入层消息中用户标识等重要信息的安全。

而且，当上述加密的NAS消息发送到MME后，MME可以使用对应的私钥对消息进行解密，这样传输过程中传输的是用公钥加密的NAS消息，而解密的时候使用私钥，这样只公开公钥的加密方法，更好的防止了初始NAS消息被截获而解密的可能性，因为即使初始NAS消息被截获，由于攻击者无法获知私钥，仍然无法解密所述的用公钥加密的NAS消息。

其次，本申请中当MME的公钥发生更新时，主动向ENB发送携带新的MME公钥的配置更新请求消息，主动将更新的MME公钥发送给ENB，这样即使MME的公钥因为时间周期等原因需要更新，也可以及时将更新的MME公钥传递给ENB，使得后续UE对初始NAS消息进行加密时使用的是最新的MME公钥。

再次，本申请规定了MME向ENB、UE传递基于PKI体系公钥的方法，对MME、ENB和UE之间的公钥的使用做出了规定。在普通NAS消息结构中，增加安全头类型，当MME收到消息后根据安全头类型对应填写的内容使用MME私钥进行解密。

总之，本申请对LTE网络中多个初始过程的NAS消息进行保护，对LTE网络安全体系的薄弱环节提出了有效的解决办法，有利于保证网络安全，对于真实组网有非常重要的意义。

附图说明

图1是本申请实施例一所述一种初始非接入层消息的传输方法的流程图；

图2是本申请实施例二所述S1建立过程的流程图；

图3是本申请实施例二所述一种初始非接入层消息的传输方法的流程图；

图4是本申请实施例三所述MME配置更新过程的示意图；

图5是本申请实施例四所述在初始NAS消息中增加安全头类型的示意图；

图6是本申请实施例四所述初始NAS消息结构示意图；

图7是本申请实施例五所述一种初始非接入层消息的传输装置的结构框图；

图8是本申请实施例六所述一种初始非接入层消息的传输系统的结构框图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。

本申请提出一种初始非接入层消息的传输方法，通过对初始NAS消息使用MME公钥进行加密后传输，保证了初始NAS消息的安全传输。

实施例一：

参照图1，示出了本申请一种初始非接入层消息的传输方法的流程图，本实施例具体可以包括以下步骤：

步骤S101，ENB接收UE发送的连接请求消息(RRC ConnectionRequest)；

需要说明的是，UE从空闲状态到连接状态转变的过程中，需要向MME发送携带UE标识等重要信息。在初始NAS消息传输之前，UE和ENB之间会先进行连接。

步骤S102，ENB向所述UE发送携带MME公钥的连接建立消息(RRCConnection Setup)；

需要说明的是，ENB向所述UE发送携带MME公钥的连接建立消息之前，需要选择合适的MME公钥，并将选择的MME公钥通过连接建立消息发送给UE。

ENB向UE发送的连接建立消息(RRC Connection Setup)中携带MME公钥包括：在连接建立消息中添加MME公钥的信息元素，如下所示。

步骤S103，ENB接收所述UE发送的连接建立完成消息(RRC ConnectionSetup Complete)，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息。

步骤S104，ENB将所述MME公钥加密的初始NAS消息通过初始UE消息(Initial UE message)发送给MME。

需要说明的是，本申请通过ENB向UE发送MME公钥，使得UE可以使用MME的公钥加密NAS消息，加密的NAS消息保护了UE的相关标识，有效防止了攻击者对初始NAS消息中的UE相关标识进行的截获，保证了初始非接入层消息中用户标识等重要信息的安全。

实施例二：

参照图2，在实施例一所述ENB接收UE发送的连接请求消息之前，还包括：

步骤S201，ENB向MME发送建立请求消息(S1 Setup Request)；

步骤S202，ENB接收MME发送的建立响应消息(S1 Setup Response)，所述建立响应消息中携带MME公钥，ENB保存所述MME公钥。

MME向ENB发送的建立响应消息中携带MME公钥包括：在建立响应消息中添加MME公钥的信息元素之前，在3GPP TS 36.413 V10.3.0协议中，新增MME公钥(MME Public Key)的信息元素(IE)定义，如表1所示。

表1新增MME公钥的信息元素定义

添加MME公钥的信息元素后的建立响应消息的信息元素如表2所示。

表2添加MME公钥的信息元素后的建立响应消息的信息元素

需要说明的是，MME能从证书授权中心获取对应设备的公钥和私钥。

如图3所示，是本申请实施例二所述一种初始非接入层消息的传输方法的完整流程图。

S301，ENB向MME发送建立请求消息(S1 Setup Request)；S302，ENB接收MME发送的建立响应消息(S1 Setup Response)，所述建立响应消息中携带MME公钥，ENB保存所述MME公钥；

通过S301和S302，S1建立过程完成。

S303，ENB接收UE发送的连接请求消息(RRC Connection Request)；

S304，ENB接收UE发送的连接请求消息后，选择MME，并将选择的MME的公钥通过连接建立消息(RRC Connection Setup)发送给UE；

S305，ENB接收所述UE发送的连接建立完成消息(RRC ConnectionSetup Complete)，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息；

S306，ENB将所述MME公钥加密的初始NAS消息通过初始UE消息(Initial UE message)发送给MME。

需要说明的是，在ENB和UE之间传输消息时，任何一方都可以作为发送方，也可以作为接收方。在ENB和MME之间传输消息时，同样任何一方都可以作为发送方，也可以作为接收方。

实施例三：

参照图4，在实施例一所述ENB接收UE发送的连接请求消息之前，还包括：

步骤S401，ENB接收MME发送的配置更新请求消息(MMECONFIGURATION UPDATE)，所述配置更新请求消息中携带新的MME公钥；

步骤S402，ENB保存所述新的MME公钥，并向MME发送配置更新应答消息(MME CONFIGURATION UPDATE ACKNOWLEDGE)。

需要说明的是所述在MME向ENB发送的配置更新请求消息中携带新的MME公钥，包括：在配置更新请求消息中添加新的MME公钥的信息元素。添加新的MME公钥的配置更新请求消息的信息元素如表3所示。

表3添加新的MME公钥的信息元素后配置更新请求消息的信息元素

需要进一步说明的是，本实施例中如果MME的公钥因为时间周期等原因需要更新，使用MME配置更新过程进行更新。本申请实施例中当MME的公钥发生更新时，主动向ENB发送携带新的MME公钥的配置更新请求消息，主动将更新的MME公钥发送给ENB，这样即使MME的公钥因为时间周期等原因需要更新，也可以及时将更新的MME公钥传递给ENB，使得后续UE对初始NAS消息进行加密时使用的是最新的MME公钥。

实施例四：

本实施例对实施例一中的使用MME公钥加密初始NAS消息和对应的解密过程进行详细说明。

在实施例一中所述使用MME公钥加密初始NAS消息包括：在初始NAS消息结构中，在第1个字节中增加安全头类型；对所述初始NAS消息结构中从第2个字节开始的内容使用MME公钥加密。

如图5所示，是在初始NAS消息结构中，在第1个字节中增加安全头类型。当所述初始NAS消息为附着请求(Attach request)消息，或者为去附着请求(Detach request)消息，或者为位置区域更新请求(Tracking area updaterequest)消息时，所述安全头类型(Security header type)置为“0101”，表示使用MME公钥加密(Ciphered with MME public Key)，并对从第2个字节开始的内容使用MME的公钥加密；当所述初始NAS消息为服务请求(Servicerequest)消息时，所述安全头类型置为“0110”，表示使用MME公钥加密，并对从第2个字节开始的内容使用MME的公钥加密。

需要说明的是，对所述初始NAS消息结构中从第2个字节开始的内容使用MME公钥加密，参考图6初始NAS消息结构示意图可以清楚的看出，所述安全头类型是存储在消息的第1字节的，分别用第1字节的bit8,bit7.bit6,bit5表示。在NAS消息中，字节1(octer 1)由安全头类型(Securityheader type)和协议鉴别符(Protocol discriminator)组成。字节2表示消息类型(Message type)，字节3至字节n表示其他被要求的消息元素(Otherinformation elements as required)。因此对第2个字节开始的内容是用MME公钥进行加密。

与此对应的是，在实施例一所述ENB将MME公钥加密的初始NAS消息通过初始UE消息发送给MME之后，还包括：MME接收所述初始UE消息并使用对应的MME私钥对所述初始UE消息中加密的初始NAS消息进行解密。

具体地，对于MME来说，当NAS消息使用初始UE消息携带NAS-PDU的时候，需要先使用MME的私钥对消息先进行解密。MME收到消息后，如果安全头类型是“0101”表示使用MME公钥加密(Ciphered with MMEpublic Key)，则表示该消息为附着请求消息、或为去附着请求消息、或为位置区域更新请求消息，并对从第2个字节开始的NAS消息使用MME私钥进行解密。MME收到消息后，如果安全头类型是“0110”，表示使用MME公钥加密了服务请求消息(Ciphered SERVICE REQUEST message with MMEpublic Key)，则表示该消息为服务请求消息，并从第2个字节开始的NAS消息使用MME私钥进行解密。

需要进一步说明的是，本申请实施例传输过程中传输的是用公钥加密的NAS消息，而解密的时候使用私钥，这样只公开公钥的加密方法，更好的防止了初始NAS消息被截获而解密的可能性，因为即使初始NAS消息被截获，由于攻击者无法获知私钥，仍然无法解密所述的用公钥加密的NAS消息。

实施例五：

参照图7，示出了本申请实施例所述一种初始非接入层消息的传输装置的结构框图，本实施例具体可以包括如下模块：

第一接收模块701，用于接收UE发送的连接请求消息(RRC ConnectionRequest)；

第一发送模块702，用于向所述UE发送携带MME公钥的连接建立消息；

第二接收模块703，用于接收所述UE发送的连接建立完成消息，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息；

第二发送模块704，用于将所述MME公钥加密的初始NAS消息通过初始UE消息发送给MME。

需要说明的是，在本申请的一种优选实施例中，上述装置还包括：

第三发送模块，用于向MME发送建立请求消息；

存储模块，用于保存所述MME公钥。

第四发送模块，用于保存所述新的MME公钥，并向MME发送配置更新应答消息。

需要说明的是，本实施例中以上模块是安装在ENB中的。对于图7所示的装置实施例而言，由于其与图1所示的方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

实施例六：

参照图8，示出了本申请的一种初始非接入层消息的传输系统实施例的结构框图，本实施例具体可以包括：ENB和UE，

其中，所述ENB包括：

第一接收模块801，用于接收UE发送的连接请求消息；

第一发送模块802，用于向所述UE发送携带MME公钥的连接建立消息；

第二接收模块803，用于接收所述UE发送的连接建立完成消息，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息；

第二发送模块804，用于将所述MME公钥加密的初始NAS消息通过初始UE消息发送给MME；

其中，所述UE包括：

第三发送模块805，用于向ENB发送连接请求消息(RRC ConnectionRequest)；

第三接收模块806，用于接收ENB发送的连接建立消息，所述连接建立消息中携带MME公钥；

第四发送模块807，用于向ENB发送连接建立完成消息，所述连接建立完成消息中携带所述MME公钥加密的初始NAS消息。

需要说明的是，在本申请的一种优选实施例中，上述系统还包括：MME，

所述MME包括：

接收模块，用于接收所述ENB发送的建立请求消息；

在本申请的另一种优选实施例中，上述MME还包括：

对于图8所示的系统实施例而言，由于其与图1所示的方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

综上所述，本申请对LTE网络中多个初始过程的NAS消息进行保护，对LTE网络安全体系的薄弱环节提出了有效的解决办法，有利于保证网络安全，对于真实组网有非常重要的意义。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域技术人员易于想到的是：上述各个实施例的任意组合应用都是可行的，故上述各个实施例之间的任意组合都是本申请的实施方案，但是由于篇幅限制，本说明书在此就不一一详述了。

以上对本申请所提供的一种初始非接入层消息的传输方法、装置及系统进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims

1.一种初始非接入层消息的传输方法，其特征在于，包括：

ENB接收UE发送的连接请求消息；

ENB向所述UE发送携带MME公钥的连接建立消息；

2.根据权利要求1所述的方法，其特征在于，所述ENB接收UE发送的连接请求消息之前，还包括：

ENB向MME发送建立请求消息；

3.根据权利要求2所述的方法，其特征在于，在MME向ENB发送的建立响应消息中携带MME公钥，包括：

在建立响应消息中添加MME公钥的信息元素。

4.根据权利要求1所述的方法，其特征在于，所述ENB接收UE发送的连接请求消息之前，还包括：

ENB保存所述新的MME公钥，并向MME发送配置更新应答消息。

5.根据权利要求4所述的方法，其特征在于，在MME向ENB发送的配置更新请求消息中携带新的MME公钥，包括：

在配置更新请求消息中添加新的MME公钥的信息元素。

6.根据权利要求1所述的方法，其特征在于，在ENB向UE发送的连接建立消息中携带MME公钥，包括：

在连接建立消息中添加MME公钥的信息元素。

7.根据权利要求1所述的方法，其特征在于，通过以下方式使用MME公钥加密初始NAS消息：

在初始NAS消息结构中，在第1个字节中增加安全头类型；

8.根据权利要求7所述的方法，其特征在于，所述增加安全头类型包括：

9.根据权利要求1所述的方法，其特征在于，所述ENB将MME公钥加密的初始NAS消息通过初始UE消息发送给MME之后还包括：

10.一种初始非接入层消息的传输装置，其特征在于，包括：

第一接收模块，用于接收UE发送的连接请求消息；

11.根据权利要求10所述的装置，其特征在于，所述装置还包括：

第三发送模块，用于向MME发送建立请求消息；

存储模块，用于保存所述MME公钥。

12.根据权利要求10所述的装置，其特征在于，所述装置还包括：

第四发送模块，用于向MME发送配置更新应答消息。

13.一种初始非接入层消息的传输系统，其特征在于，包括：ENB和UE，

其中，所述ENB包括：

第一接收模块，用于接收UE发送的连接请求消息；

其中，所述UE包括：

第三发送模块，用于向ENB发送连接请求消息；

14.根据权利要求13所述的系统，其特征在于，还包括：MME，

所述MME包括：

接收模块，用于接收所述ENB发送的建立请求消息；

15.根据权利要求14所述的系统，其特征在于，所述MME还包括：