CN103503411A - 针对移动用户的安全机制 - Google Patents

Abstract

一种在蜂窝网络中使用的无线通信设备。该设备包括：无线电接口，用于实现该设备和蜂窝网络的基站之间通过无线电链路的通信；以及，传送实体，用于经由所述无线电链路，通过非接入层中的信令连接，与所述蜂窝网络的核心网节点交换用户数据分组。所述设备还包括：数据传输验证实体，用于使用通过非接入层中的信令连接从所述核心网节点接收的可验证应答，来确认通过信令连接发送到核心网节点的用户数据分组的送达，所述数据传输验证实体被配置为：在通过信令连接发送到所述核心网节点的用户数据分组中选择性地包括向所述设备返回针对所发送的用户数据分组的可验证应答的请求。

Description

针对移动用户的安全机制

技术领域

本发明涉及针对蜂窝网络的移动用户的安全机制。具体来说，尽管非必要，本发明涉及用于检测通信链路中伪基站的存在的装置和方法。

背景技术

当前蜂窝通信网络向用户提供高度安全性。安全性确保用户到网络的认证以及网络到用户的认证，并保护防止窃听。安全性还提供完整性保护，允许(可能在网络中)数据的接收方应答发送数据的完整性。这可能涉及发送方向消息中添加完整性校验和，并且该完整性校验和是使用安全密钥计算得到的。知道安全密钥的接收方可以验证完整性校验和，并从而确保消息的确是由可信发送方发送的并且在传输时未被篡改。

已经开发了已知的安全性机制，以高效地用于传统蜂窝网络使用情况。拥有移动设备(例如，移动电话、智能电话和其他具有无线能力的设备)和使用语音服务和数据服务的用户倾向于关心这些。这些服务涉及向用户设备和来自用户设备的大量数据的传送。与传送的数据量相比，与这些场景相关联的信令业务量不大。因此，与安全机制(例如，客户端和网络认证)相关联的信令开销相对较小。

近年来，预期使用蜂窝网络设施的被称为机器到机器(M2M)应用将快速增长。这些应用涉及通常不需要人直接操作而与其他设备或网络服务器进行通信的设备(例如，传感器和致动器)。示例应用可以涉及家庭电表，家庭电表被配置为周期性地向供电公司所拥有的服务器发送耗电读数。M2M应用预期大量增加与蜂窝网络一起使用的无线连接的设备的数目。Ericsson^TM预测到2020年将有500亿这种设备。

将M2M应用与传统蜂窝网络服务区分的特征是与前者相关联的相对较小量的数据业务。电表读取应用可能例如仅需要每月仅发送几字节的数据。然而，由于存在大量预期将使用的设备，将增加到网络的总业务量将非常大。包括与安全性相关联的信令机制在内的现有信令机制不一定很好地适用于M2M应用，而仅给网络添加负荷。

由于与单个M2M交互相关联的相对小的数据量，期望经由非接入层(NAS)中的信令从设备连接向核心网发送数据。此方案可以避免尤其针对数据业务建立单独承载的需要。此外，当向核心网认证了设备时，在移动节点和RAN中的基站之间不进行认证，正如使用数据承载发送数据的情况一样(在移动节点和基站之间预建立安全关联的情况下则需要)。然而，这可能打开了“伪”基站吸引设备的可能性，导致例如对设备拒绝服务。将理解，从客户端设备发送的完整性保护消息自身不足以防止拒绝服务攻击。

可以通过要求核心网中的接收节点(例如，3G网络的服务GPRS支持节点(SGSN)或LTE网络的移动性管理实体(MME))针对从移动节点所接收的每个分组返回应答，来减轻此问题。重要的是，在应答允许移动节点验证应答是由预期接收节点发出的意义上，应答是可验证的。然而如上所述，给定可能与M2M应用相关联的相对少量数据，期望最小化信令开销，以避免使蜂窝网络超负荷。

3GPP TS 23.272描述了通过NAS信令传递短消息服务(SMS)消息的机制。核心网利用完整性保护应答来应答每个SMS消息。然而，这再次导致相对高的信令量，并且不适用于广泛使用的M2M服务。

发明内容

本发明的目的是提供一种轻量级安全机制，为通过蜂窝网络发送数据的客户端设备提供一定程度的安全性。这特别可应用于M2M设备和应用，尽管其还可应用于其他设备和服务。

根据本发明的第一方案，提供了在蜂窝网络中使用的无线通信设备。该设备包括：无线电接口，用于实现该设备和蜂窝网络的基站之间通过无线电链路的通信；以及，传送实体，用于经由所述无线电链路，通过非接入层中的信令连接，与所述蜂窝网络的核心网节点交换用户数据分组。所述设备还包括：数据传输验证实体，用于使用通过非接入层中的信令连接从所述核心网节点接收的可验证应答，来确认通过信令连接发送到核心网节点的用户数据分组的送达，所述数据传输验证实体被配置为：在通过信令连接发送到所述核心网节点的用户数据分组中选择性地包括向所述设备返回针对所发送的用户数据分组的可验证应答的请求。

本发明的实施例提供用于在无线通信设备和核心网之间交换数据的超轻量级机制。可以向目的地(例如，外部应用服务器)中继所述数据。具体来说，不需要在无线通信设备和无线接入网的基站之间建立安全关联。此方案对机器到机器应用特别有用。

根据本发明的第二方案，提供了被配置为在蜂窝通信网络的核心网中使用的装置。所述装置包括：传送实体，用于经由无线电链路，通过非接入层中的信令连接，与用户终端交换用户数据分组；以及，数据传输验证实体，用于通过所述信令连接，选择性地将与从用户终端接收的用户数据分组有关的可验证应答发送到用户终端。所述数据传输验证实体被配置为：响应于从用户终端接收到包含针对可验证应答的请求的用户数据分组，向该用户终端发送可验证应答。

根据本发明的第三方案，提供了从无线通信设备向蜂窝网络中的核心网节点发送数据的方法。所述方法包括：经由无线电链路，通过非接入层中的信令连接，在所述无线通信设备和所述核心网节点之间交换用户数据分组；以及，在通过所述信令连接发送到所述核心网节点的用户数据分组中，包括向所述设备返回针对所发送的用户数据分组的可验证应答的请求。在所述无线通信设备处，使用通过所述信令连接从所述核心网节点接收的可验证应答来确认通过所述信令连接发送到所述核心网节点的数据分组的送达。

根据本发明的第四方案，提供了被配置为在蜂窝通信网络的核心网中使用的装置。所述装置包括传送实体，所述传送实体用于：经由无线电链路，通过非接入层中的信令连接，与用户终端交换用户数据分组。所述装置还包括数据传输验证实体，所述数据传输验证实体用于：通过所述信令连接，选择性地将与从用户终端接收的用户数据分组有关的可验证应答发送到用户终端，所述数据传输验证实体被配置为：响应于内部或核心网产生的指示针对用户终端的移动性事件的触发，向该用户终端发送可验证应答。

附图说明

图1示出了用于确保通过蜂窝网络的数据传送的基于请求的方案；

图2示意性地示出了用于M2M应用的蜂窝网络架构；

图3示意性地示出了移动设备，该移动设备被配置用于向核心网的安全数据传送；

图4示意性地示出了网络单元，该网络单元被配置用于向核心网的安全数据传送；以及

图5是示出了用于向核心网提供安全数据传递的方法的流程图。

具体实施方式

以上已经讨论了使用网络接入层(NAS)信令连接，确保从客户端设备向蜂窝网络的核心网节点发送数据的送达的问题，因为已经有伪基站引入客户端设备和核心网节点之间通信路径的有关危险。可以通过要求核心网节点应答接收到客户端设备向其发送的每个分组，来减轻该问题/危险。然而，可以通过认识到以下情况来得到更佳的解决方案：一旦核心网节点向客户端成功地应答接收到一个或少量分组，客户端设备可以合理地假定其自身和核心网节点之间的通信路径是可靠的。具体来说，其可以假定：路径上的基站正在正确地操作，并且核心网(节点)很可能已经认证了该基站。伪基站能够与核心网节点建立“连接”，例如导致原始分组以及相关联应答的成功送达的情况不太可能发生。因此，核心网节点仅周期性地或根据特定预定义事件来应答分组可能是合适的。

通信发送方“A”(客户端设备)可以明确指示其何时需要来自接收方“B”(核心网节点)的完整性保护的应答。该指示与完整性保护的数据一起从A发送到B。当指示了这种应答请求时，接收方B向发送方A发回应答。该应答在A和B之间是完整性保护的。当尽管有显式应答请求，发送方A未从B获得应答时，发送方A可以重传该数据。在已经达到预定数目的重传而没有成功应答之后，发送方可以推断该发送方不再与接收方连接。当可应用时，可以记录并报告此事件。图1示出了此方案的基本概念，其中“AckReq”指示针对显式完整性保护应答的发送方请求。可以使用A和B之间共享的秘密来实现应答的完整性保护。(注意，本解决方案不排除在发送方和接收方之间工作的其他非密码重传方案的可能性。)

作为具体示例，考虑图2中示出的M2M应用场景。这里，记作“MD”(即，机器设备，例如，传感器、致动器等)并由附图标记1标识的终端包括无线电接口，该无线电接口允许该终端与蜂窝网络2的无线接入网(例如，3G网络或LTE网络)进行通信。在蜂窝网络2中，核心网络单元或节点(NE)3处理针对终端1的非接入层(NAS)。[3GPP TS 21.905将NAS定义为非终止于UTRAN的UE和核心网络之间的协议。然而，该定义不是限制性的，因为该术语可应用于具有不同无线接入网技术(例如，LTE的E-UTRAN)的网络架构。]具体而言，NE3负责移动性管理，并且终端1具有与网络实体NE的安全性关联。在3G网络中，NE3可以是服务GPRS支持节点(SGSN)，而在LTE网络中，NE3可以是移动性管理实体(MME)。应用服务器4容纳M2M服务，并例如通过蜂窝网络运营商的IP骨干网和/或经由因特网与NE3进行通信。

在这里所考虑的场景中，在通过信令信道(即，NAS中)发送的分组中，在终端1和应用服务器4之间发送少量数据。[此数据传送与例如在UE和NE之间发送的现有NAS跟踪区域更新(TAU)信令类似，尽管当然TAU信令本身不携带数据。]NE接收的数据可以当需要时转发给外部服务器(例如，应用服务器4)。首先，终端1附着到第一基站BS15。[在3G网络的情况下，基站是节点B，而在LTE网络的情况下，基站是演进节点B。]由于比特错误或拥塞导致的分组丢失由终端1和当前基站BS1之间以及基站和NE之间的重传机制来处理。此外，可以在NE3和应用服务器4之间使用重传机制。重传机制用于从分组丢失中恢复，但不抵御丢弃分组的伪基站的攻击，因为这种基站可以完全像真基站一样，向终端应答接收。

根据标准行为，当终端1移动时(例如，因为其位于移动车辆中时)，其可以被切换到另一基站(在本示例中的BS2 6)。在此情况下，终端1应确保BS2确实是真基站(即，其连接到移动运营商的网络)。当终端1检测到其已经移动到新基站时，可以通过终端1向NE3请求来自NE3的完整性保护应答来获得这种确保。这种应答不能由伪基站产生，因为伪基站不可获得必需的安全密钥(即，仅网络单元NE3可获得该安全密钥)。当终端保持附着至相同基站BS2时，该终端不需要针对所有上行链路分组的完整性保护应答，因为另一伪基站难以在当前交换期间取代通信路径中的BS2。

根据非限制性示例，终端1通过将“AckReq”字段作为1比特标志包括在消息首部中，来向NE3请求应答。每个消息首部包含序列号(Seq)，对于每个发送的消息，发送方增加序列号。消息首部还可以包括数据(Data)字段，该数据字段是指示在消息中是否存在任何数据的标志。完整性保护应答然后可以将序列号包括在首部中(AckSeq)。接收方使用AckSeq，以指示有效消息的最高序列号Seq。可以使用发送方和接收方之间的共享秘密对包括首部的整个应答消息进行完整性保护。为了进一步阐述此方案，考虑终端A向网络实体B发送具有Data＝是、Seq＝1、AckReq＝是和实际数据的消息。B接收到此消息，并发送具有Data＝否、AckSeq＝1的应答。此方案可以对称地在上行链路和下行链路中实现，或备选地能够仅在上行链路中实现该AckReq机制。

不仅在基站之间切换之后立即需要完整性保护应答，而且终端可以作出周期性但不频繁的针对应答的请求。另一场景涉及在特定数量的消息之后需要完整性保护应答。使用这种不频繁的完整性应答可以保护不受理论上可能但实际上不太可能的攻击(例如，当攻击者在真基站运行时毁坏真基站，并立即安装新的伪基站)。这些方案表示出抵御攻击者的安全性和通信开销之间的权衡。

终端能够控制何时请求完整性保护应答，或可以预设该要求。备选地，网络可以指示终端：应当何时请求完整性保护应答。在一些情况下，可以关闭该要求，使得从不请求完整性保护应答，或者可以设置该要求，使得可以针对每个发送的分组，请求完整性保护应答。

作为使终端请求完整性保护应答的备选，网络可以自己决定何时要发送这种应答。这可以包括当终端已经切换到新基站时(网络当然已经知晓这种事件)的情况。网络可以使用其他参数(例如，订阅或设备能力)来确定发送完整性保护应答的条件。例如，网络可以确定：对于具有“M2M”订阅和指示“电池约束”的设备能力的终端，应当仅在切换之后以及每天一次地发送完整性保护应答。对于具有指示“无电池约束”的能力的另一M2M设备，网络可以确定：应当针对所有分组发送完整性保护应答。允许网络决定发送完整性保护应答的条件，为终端减轻了此任务。然而，这将意味着终端再不能影响发送完整性应答的频率，尽管事实是终端最终要求该应答。

图3示意性地示出了M2M终端1。M2M终端1包括用于通过蜂窝(3G或LTE)网络2的无线电接口来发送和接收数据的标准无线电接口和控制器7。此外，该终端包括经由NAS中的信令信道向核心网节点发送少量数据的传送实体8。此实体8被配置为：在所发送的分组中选择性地包括针对完整性保护应答的请求。该终端包括数据传输验证实体9，该数据传输验证实体9被配置为：接收(所请求)的应答，并例如使用共享秘密来验证这些应答。

图4示意性地示出了网络实体(NE)3(可以是例如，SGSN或MME)。NE在蜂窝网络核心网的NAS中操作，并一般处理用户终端的移动性。NE包括传送实体10，该传送实体10被配置为：经由NAS中的信令连接从移动设备接收(并可能发送)少量数据。NE还包括数据传输验证实体11，该数据传输验证实体11被配置为：当从传送实体接收到指令时，向MD发送可验证的完整性保护应答。该应答可以使用与MD共享的秘密产生(例如，并且可以由NE从归属订户服务器获得)。如本文中其他地方所讨论，数据传输验证实体11可以备选地或附加地响应于内部或核心网产生的指示涉及用户的移动性事件的触发，发送应答。

图5是示意性地示出了方法的流程图，在移动设备(MD)执行该方法，以保护发送到UE的业务。在步骤S1，在MD和NE之间建立信令连接(在NAS中)。在步骤S2，该信令连接可以用于在MD和NE之间传输数据，以由NE向外部应用服务器转发。在步骤S3，由如BS切换或定时器到期之类的事件产生触发。在步骤S4，该触发使针对应答的请求被包括在MD所发送的下一分组中。在步骤S5，MD检查应答的接收。如果接收到这种应答，在步骤S6，例如使用共享秘密来验证该应答，并且处理返回步骤S2。[当然，在实践中，当等待和验证应答时，可以发送其他分组。]如果未接收到应答，可以在步骤S7重新发送具有应答请求的分组。同样，可以并行地继续其他分组的发送。

本领域技术人员将理解，在不脱离本发明的范围的前提下，可以对上述实施例作出各种修改。

Claims (15)

1.一种用于在蜂窝网络中使用的无线通信设备，所述设备包括：

无线电接口，用于实现所述设备和蜂窝网络的基站之间通过无线电链路的通信；

传送实体，用于经由所述无线电链路，通过非接入层中的信令连接，与所述蜂窝网络的核心网节点交换用户数据分组；以及

数据传输验证实体，用于使用通过非接入层中的信令连接从所述核心网节点接收的可验证应答，来确认通过信令连接发送到核心网节点的用户数据分组的送达，所述数据传输验证实体被配置为：在通过信令连接发送到所述核心网节点的用户数据分组中选择性地包括向所述设备返回针对所发送的用户数据分组的可验证应答的请求。

2.根据权利要求1所述的设备，其中，所述设备被配置为与3G蜂窝通信网络一起使用，并且所述传送实体通过非接入层与服务GPRS支持节点SGSN交换所述用户数据分组。

3.根据权利要求1所述的设备，其中，所述设备被配置为与长期演进通信网络一起使用，并且所述传送实体通过非接入层与移动性管理实体MME交换所述用户数据分组。

4.根据前述权利要求中任一项所述的设备，其中，所述数据传输验证实体被配置为：使用所述设备和所述核心网节点之间共享的秘密来验证应答。

5.根据前述权利要求中任一项所述的设备，其中，所述传送实体被配置为：在所发送的用户数据分组中包括所述核心网节点应当将用户数据分组转发至的目的地实体的标识。

6.根据前述权利要求中任一项所述的设备，所述数据传输验证实体被配置为：仅在所发送的用户数据分组的一部分中包括所述请求。

7.根据权利要求6所述的设备，包括：

切换控制器，用于向所述数据传输验证实体通知已经执行了向新基站的切换，

从而，在切换时，所述数据传输验证实体被配置为：与至少一个输出用户数据分组一起发送所述请求。

8.根据权利要求6所述的设备，所述数据传输验证实体被配置为：周期性地在所发送的用户数据分组中包括所述请求。

9.一种被配置为在蜂窝通信网络的核心网中使用的装置，所述装置包括：

传送实体，用于经由无线电链路，通过非接入层中的信令连接，与用户终端交换用户数据分组；以及

数据传输验证实体，用于通过所述信令连接，选择性地将与从用户终端接收的用户数据分组有关的可验证应答发送到用户终端，所述数据传输验证实体被配置为：响应于从用户终端接收到包含针对可验证应答的请求的用户数据分组，向该用户终端发送可验证应答。

10.根据权利要求9所述的装置，所述装置被配置为：针对用户终端提供移动性管理。

11.根据权利要求10所述的装置，其中，所述装置被配置为用作以下各项之一：3G网络的服务GPRS支持节点SGSN和长期演进LTE网络的移动性管理实体MME。

12.根据权利要求9至11中任一项所述的装置，其中，所述数据传输验证实体被配置为：响应于内部产生的触发，或在所述蜂窝网络中的另一节点处产生的触发，向用户终端发送可验证应答。

13.一种从无线通信设备向蜂窝网络中的核心网节点发送数据的方法，所述方法包括：

经由无线电链路，通过非接入层中的信令连接，在所述无线通信设备和所述核心网节点之间交换用户数据分组；

在通过所述信令连接发送到所述核心网节点的用户数据分组中，包括向所述设备返回针对所发送的用户数据分组的可验证应答的请求；以及

在所述无线通信设备处，使用通过所述信令连接从所述核心网节点接收的可验证应答来确认通过所述信令连接发送到所述核心网节点的数据分组的送达。

14.根据权利要求13所述的方法，包括：仅在所发送的用户数据分组的一部分中包括所述请求。

15.一种被配置为在蜂窝通信网络的核心网中使用的装置，所述装置包括：

传送实体，用于经由无线电链路，通过非接入层中的信令连接，与用户终端交换用户数据分组；以及

数据传输验证实体，用于通过所述信令连接，选择性地将与从用户终端接收的用户数据分组有关的可验证应答发送到用户终端，所述数据传输验证实体被配置为：响应于内部或核心网产生的指示用户终端的移动性事件的触发，向该用户终端发送可验证应答。

Images