CN105340310A

CN105340310A - 基于邻近服务通信中的安全群组创建

Info

Publication number: CN105340310A
Application number: CN201480036527.8A
Authority: CN
Inventors: 张晓维; 阿南德·罗迦沃·普拉萨德
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2013-06-28
Filing date: 2014-06-13
Publication date: 2016-02-17
Also published as: US20170324754A1; EP3014916A1; WO2014208034A1; US20240224036A1; US20200099697A1; US20160149928A1; JP2016530732A; JP6512111B2; US20200228543A1; CN108990063A

Abstract

一种在ProSe通信中形成安全群组的方法，包括：从请求设备(21)向ProSe服务器请求服务请求，该服务请求指示来自请求设备(21)的与接收设备(22)通信的请求；通过ProSe服务器24执行对请求和接收设备(21)和(22)的验证；将ProSe服务结果发送到请求和接收设备(21)和(22)以通知以被允许群组成员；以及开始包括请求和接收设备(21)和(22)的群组的群组安全建立。

Description

基于邻近服务通信中的安全群组创建

技术领域

本发明涉及安全系统和形成安全群组的方法，更加具体地，涉及提供在基于邻近服务(ProSe)通信中形成安全群组的方法的安全系统。

背景技术

3GPP(第三代合作伙伴计划)已经开始研究用于商业和公共安全用途两者的基于邻近的服务(ProSe)。3GPPSA1(服务工作组)已经发起了对安全通信、UE(用户设备)识别以及隐私保护的一些安全要求。

ProSe代表最近的和巨大的社会技术趋势。这些应用的原理是要发现在彼此邻近的设备中运行的应用的实例，并且最终也交换与应用有关的数据。与此同时，对公共安全社区中的基于邻近的发现和通信引起了人们的关注。

ProSe通信能够经由eNB(演进的节点B)或者在没有eNB的情况下将服务提供给邻近的UE。SA1要求在具有或者不具有网络覆盖的情况下将ProSe服务提供给UE。UE能够发现附近的其他UE或者被其他UE发现，并且它们能够相互通信。在NPL1中能够找到一些应用实例。ProSe服务器是如在3GPPSA2#97到NPL2中达成一致的网络元件。

引用列表

非专利文献

NPL1：3GPPTR22.803用于邻近服务(ProSe)的可行性研究，(版本12)

NPL2：3GPPTR23.703支持邻近服务(ProSe)的架构增强的研究(版本12)

发明内容

技术问题

然而，尽管安全问题涉及授权以及隐私问题，但是3GPPSA3没有提供安全解决方案。

[技术方案]

本发明提出一种针对上述安全问题的整体安全解决方案。

在一个实施例中，提供了一种通过请求通信的请求设备和接收来自请求设备的通信请求的接收设备在基于邻近服务(ProSe)通信中形成安全群组的方法，其中请求和接收设备已经订阅了ProSe服务，该方法包括：从请求设备向ProSe服务器请求服务请求，该服务请求指示来自请求设备的与接收设备通信的请求；通过ProSe服务器执行对请求设备和接收设备的验证；将ProSe服务结果发送到请求设备和接收设备以通知以被允许的群组成员；以及开始包括请求设备和接收设备的群组的群组安全建立。

在另一实施例中，提供了一种安全系统，包括多个用户设备(UE)和基于邻近服务(ProSe)的服务器，包括：请求设备，该请求设备请求通信；和接收设备，该接收设备接收来自请求设备的通信请求。请求设备和接收设备已经订阅了ProSe服务。请求设备向ProSe服务器请求服务请求，该服务请求指示来自请求设备的与接收设备通信的请求。ProSe服务器执行对请求设备和接收设备的验证。ProSe服务器将ProSe服务结果发送到请求设备和接收设备以通知以被允许群组成员。请求设备和接收设备开始包括请求设备和接收设备的群组的群组安全建立。

本发明的有益效果

在基于邻近服务(ProSe)通信中形成安全群组的方法和安全系统能够提出针对安全问题的解决方案。

附图说明

结合附图，从下面某些优选实施例的描述中，本发明的以上和其它的目的、优点和特征将会更加显而易见，其中：

图1A是示出在NPL1中的ProSe通信场景的示意图；

图1B是示出在NPL1中的ProSe通信场景的示意图；

图2是示出根据本发明的示例性实施例的提供进行安全通信的方法的系统的示例的示意图；

图3是示出根据本发明的示例性实施例的安全系统的示意图；

图4是解释本发明的示例性实施例的进行安全通信的方法的时序图；

图5A是示出一对一会话的示意图；

图5B是示出一对多会话的示意图；以及

图5C是示出多对多会话的示意图。

图6是示出示例性实施例的执行情况1C的群组管理的方法的流程图。

具体实施方式

下文中，处于描述的目的，，当在附图中定向时，术语“上”、“下”、“右”、“左”、“垂直”、“水平”、“顶部”、“底部”、“横向”、“纵向”以及其派生词将会与本发明有关。然而，应该理解的是，本发明可以假定可替选的变化和步骤顺序，除了明确地相反地指定之外。还应该理解的是，在附图中图示并且在下面的说明书中描述的特定的设备和过程仅是本发明的示例性实施例。因此，与在此公开的示例性实施例有关的特定尺寸和其它的物理特性没有被视为限制的。

在示例性实施例中，尽管将会解释具体地着重于直接通信、发现以及通信的安全解决方案，但是该解决方案也能够被应用于其它的通信。

首先，将会解释在3GPPTR21.905：“用于3GPP规范的词汇”中给出的定义。

ProSe直接通信：

经由没有穿过(traverse)任何网络节点的路径、使用E-UTRAN技术通过用户平面传输的、在ProSE使能的邻近的两个或者多个UE之间的通信。

ProSe使能的UE：

支持ProSe要求和相关联的过程的UE。除非另有明确声明，ProSe使能的UE指的是非公共安全UE和公共安全UE两者。

ProSe使能的公共安全UE：

还支持对于公共安全特定的能力和ProSe过程的ProSe使能的UE。

ProSe使能的非公共安全UE：

支持ProSe过程但是不支持特定于公共安全的能力的UE。

ProSe直接发现：

利用版本12E-UTRA技术，由ProSe使能的UE采用的仅使用两个UE的能力来发现其附近的其他ProSe使能的UE的过程。

EPC级ProSe发现：

EPC用来确定两个ProSe使能的UE的邻近并且向其通知他们的邻近的过程。

图1A和图1B是示出在NPL1中的ProSe通信场景的示意图。当由相同的eNB19服务所涉及ProSe通信的UE11和UE12，并且网络覆盖范围可用时，系统100a能够决定使用如由图1A中的实线箭头示出的、在UE11、12、eNB19以及EPC(演进的分组核心)14之间交换的控制信息(例如，会话管理、授权、安全)来执行ProSe通信。出于费用的考虑，对于现有的架构的修改应当被最小化。另外，UE11和12能够经由如通过图1A中的虚线箭头所示的ProSe通信路径来交换控制信令。

当由不同的eNB19、20服务ProSe通信中所涉及的UE11和12，并且网络覆盖范围可用时，系统100b能够决定使用如由图1B中的实线箭头所示的、在UE11、12、eNB19和EPC14之间交换的控制信息(例如，会话管理、授权、安全)来执行ProSe通信。在此配置中，eNB11和12可以通过EPC14相互协调，或者如由图1B中的eNB11和12之间的虚线箭头所示，针对无线电资源管理进行直接通信。出于费用的考虑，对于现有的架构的信令修改应当被最小化。另外，UE11和12能够经由如在图1B中的在UE11和UE12之间的虚线箭头所示的ProSe通信路径交换控制信令。

如果网络覆盖范围可用于UE的子集，则一个或者多个公共安全UE可以为不具有网络覆盖的其他UE中继无线电资源管理控制信息。

如果网络覆盖不是可用的，则控制路径能够直接存在于公共安全UE之间。在此配置下，公共安全UE能够依赖于预先配置的无线电资源来建立和保持ProSe通信。可替选地，能够驻留在公共安全UE中的公共安全无线电资源管理功能能够管理用于公共安全ProSe通信的无线电资源的分配。

图2是示出根据本发明的示例性实施例的提供进行安全通信的方法的系统的示例的示意图。如在图2中所示，系统10包括UE11、UE12、E-UTERN13、EPC14、ProSe功能15、ProSeAPP服务器16、ProSeAPP17、以及ProSeAPP18。

UE11和UE12能够通过PC5进行通信，UE11和E-UTERN13通过LTE-Uul进行通信，并且UE12能够通过LTE-Uu2和PC3分别与E-UTERN13和ProSe功能15进行通信。EPC14和ProSe功能15能够通过PC4进行通信，ProSeAPP服务器16能够通过SG1和PC1分别与EPC14和ProSeAPP18进行通信，并且ProSe功能15能够通过PC6与自身通信。

如上所述，当使用基础设施时，即，经由e节点B，能够使用现有的密钥。然而，对于设备对设备直接发现和通信，需要新的解决方案；例如，密钥能够从网络被发送到通信方，密钥能够在通信方之间被创建，或者类似的用于协商的算法能够直接地或者经由网络来使用。此外，对于非许可(unlicensed)频谱上的安全性也需要新的解决方案。

支持用于ProSe直接通信一对一的两种不同的模式：

网络独立的直接通信：该用于ProSe直接通信的操作的模式不要求任何网络辅助来授权连接，并且仅使用UE本地的功能性和信息来执行通信。不论UE是否由E-UTRAN服务，该模式都仅可应用于预授权的ProSe使能的公共安全UE。

网络授权的直接通信：该用于ProSe直接通信的操作的模式总是要求网络辅助，并且当对于公共安全UE，仅一个UE“由E-UTRAN服务”时，也是可应用的。对于非公共安全UE，两个UE必须“由E-UTRAN服务”。

PC1：

这是UE12中的ProSeAPP18和ProSeAPP服务器16中之间的参考点。其用于定义应用级要求。

PC2：

这是在ProSeAPP服务器16和ProSe功能15之间的参考点。其用于定义在ProSe应用服务器16和3GPPEPS经由ProSe功能15提供的ProSe功能之间的交互作用。其使用的一个示例可以用于在ProSe功能15中的对ProSe数据库的应用数据更新。其使用的另一示例可以是由ProSe应用服务器16用于在3GPP功能性和应用数据之间的交互的数据，例如，名称转换。

PC3：

这是在UE12和ProSe功能15之间的参考点。其用于定义在UE12和ProSe功能15之间的交互作用。其使用的示例是用于对于ProSe发现和通信的配置。

PC4：

这是在EPC14和ProSe功能15之间的参考点。其用于定义在EPC14和ProSe功能15之间的交互。其可能的使用情况可以是当建立UE之间的一对一通信路径时、或者当实时验证用于会话管理或者移动性管理的ProSe服务(授权)时。

PC5：

这是在用于控制的UE11至UE12之间的参考点、以及用于发现和通信的用户平面，用于中继和一对一通信(直接在UE之间以及经由LTE-Uu在UE之间)。

PC6：

该参考点可以用于订阅到不同PLMN的用户之间的诸如ProSe发现的功能。

SGi：

除了经由SGi在TS29.061[10]中定义的有关功能，其可以被用于应用数据和应用级控制信息交换。

图3是示出本发明的示例性实施例的安全系统的示意图。如图3所示，本发明的示例性实施例的安全系统1包括一个或者多个请求UEL01、运营商网络L02、以及一个或者多个接收UEL03。执行安全通信的方法包括下述步骤：在与或者不与运营商网络L02的交互的情况下，在UE(请求UEL01、接收UEL03)之间执行的安全组管理L1、安全发现L2、初始授权L3、鉴权L4、授权L5、安全关联建立L6、安全通信L7以及终止L8。

假定网络覆盖范围可用于UE，作在本示例性实施例中广播作为示例被描述，但是该示例性实施例还应用于多播和一对一通信，如在图1A、图1B以及图2中所示。

从组的建立到通信终止，在下所述，在每个步骤中都需要安全性。注意，根据服务或者应用，步骤L1-L4能够采用不同的次序。

L1：安全组管理

成员能够安全地加入，成员能够安全地离开，并且服务的授权等级和成员中的每一个以及任何其他所要求的信息能够被安全地修改。

L2：安全发现应当发生

如果没有确保发现的安全，则设备可能开始与错误方或者流氓设备的通信，结果伪装攻击可能发生，这进而可能导致欺诈性收费。为此，必须确保与发现有关的通信的安全，即，UE对邻近的其他UE的身份进行鉴权；发现的完整性保护和设备应当能够对消息进行鉴权。

L3：初始授权

基于安全发现的初始授权将会导致被发现的设备属于组的决定，并且因此下一个步骤能够启动。

L4：鉴权

一旦设备被发现并且授权为组的一部分，就应当进行相互鉴权；否则依然存在一定范围的攻击。

L5：授权

授权的下一级将发现在属于相同组的设备之间能够使用什么服务。例如，允许UE发送和接收不同类型的消息或者仅允许其接收广播消息。

L6：安全关联建立(密钥导出和管理)

属于相同组的UE应当具有密钥，以保护其通信使得不属于该组的其他UE或者攻击者无法窃听或者更改消息。

L7：安全通信

UE之间的通信能够根据订阅服务类型，利用完整性和/或机密性保护来通过安全关联进行保护。

L8：终止

当UE挂起(suspend)或者终止通信时，或者当整个组通信被终止时，安全终止能够提供安全性。

在下面的部分中将会解释满足安全要求的本发明的示例性实施例的执行安全通信的具体方法。图4是解释本发明的示例性实施例的在UE100和网络200之间进行安全通信的方法的序列图。

[1]组设置和管理(L1)

组能够是

(1)相互(一对一)通信的两个设备；或者

(2)一个UE能够与其他的设备通信的两个以上的设备(一对多)。

(3)能够相互通信的两个以上的设备(多对多)。

组能够出于不同的通信目的而被建立，并且组成员能够被改变。为了形成组，运营商网络L02能够检查向其想要与之通信的UEL03发出请求的请求UEL01，如果它们能够相互通信则验证设备，并且向两侧的验证的设备(请求UEL01和接收UEL03)通知该请求和形成。

在下文中，将解释创建组的一个示例。如图4所示，UE100请求对网络200的ProSe订阅，并且创建组(步骤1)。在步骤1中，UE100需要满足条件，即，策略，例如，兴趣、特定位置等。而且，网络200需要验证UE是否满足条件，即，策略，例如，邻近范围、订阅、在漫游UE的情况下的家庭网络、WiFi与否、ProSe使能等。组被严格地形成，例如，组的成员应当被登记在白名单中，或者根据来自UE100的请求或者在网络200知道所有UE条件时通过网络200，动态地形成组。

为了创建安全组，UE100必须同意成为组的一部分，并且仅“同意的”UE100称为组成员。组管理包括添加组成员、移除组成员、结束组以及添加临时组成员。每个UE100能够从例如社交网络应用和对于ProSe服务的请求中看到谁是邻近的，并且ProSe服务器需要执行授权，但是不必执行发现。

[2]发现-邻近的UE的安全检测(L2)

[1]中的发现和组创建能够同时发生或者是独立的过程。

能够存在UE(请求UEL01)可以发现邻近的其他UE(接收UEL03)的下述三种手段：(1)基于广播，(2)基于网络，以及(3)基于设备服务级信息。将如下描述能够如何进行安全发现。

[2-1]基于广播的解决方案

在基于广播的解决方案中存在六种方式(s1-s6)：

(s1)令牌

广播消息能够包含仅给定UE能够具有的令牌。令牌应当仅被使用一次以防止接收侧重用该令牌。为了实现该情况，每次接收广播消息，UE都能够计算令牌，或者网络能够向所有UE通知接下来要使用的令牌。因为接收侧能够重用令牌，所以对于这种使用情况，这能够被用作信息通知类型的服务。

(s2)签名消息

广播消息能够通过可以由接收UE或者由用于接收UE的网络验证的密钥进行签名。签名能够通过不同的密钥管理技术方案发生，或者其能够使用用于与基础设施网络通信的当前密钥(或者来自于当前密钥的导出)发生——这里可能需要新密钥层级。

(s3)消息ID

广播消息能够具有在鉴权期间被验证的ID并且初始地仅用于授权。

(s4)随机值

广播消息能够包含仅能够由网络和UE产生的随机值。随机值的验证能够由网络代表通信UE来进行。

(s5)密钥

每个UE具有属于其他设备的特定密钥，并且因此每个UE发送可能长的广播或者新类型的广播，其通过用于组中的每个UE的加密的/受完整性保护的部分来以片段发送。

(s6)戳

广播消息能够用时间戳和寿命来签名。注意，该寿命可以是非常短的时段，或者能够持续直到下一个广播。

[2-2]基于网络的解决方案

网络能够提供信息。为此，网络能够使用从UE(请求UEL01)接收到的位置信息，并且能够通过现有的网络安全机制能够来保护位置信息。

[2-3]基于设备服务等级信息的解决方案

请求UEL01能够使用由社交网络或者其他服务提供的位置信息。在应用层中能够确保安全性。

将会解释发现的具体示例。UE100能够设置在D2D(设备对设备通信)服务器中的发现/可发现的特征和/或能力。

情况1A：

如果UE100不知道其他UE是否邻近，则UE100能够向ProSe服务器请求ProSe服务，并且ProSe服务器能够发出对于ProSe服务的请求并且同时得到其他UE的位置信息。

情况2A：

如果UE100能够从例如社交网络应用看到谁是邻近的并且请求服务，则ProSe服务器需要执行授权，但是不必执行发现。

如果ProSe服务器执行授权，则UE100使能ProSe，并且/或者允许UE100得到给定的服务/通信手段。

如果基于UE100的邻近进行发现，则UE100发送由单播安全上下文周期性保护的位置信息。网络200在需要时或者周期性地请求位置信息。能够广播请求(步骤3)，并且广播的消息要求安全性。响应(步骤4)能够由单播安全上下文来保护。

网络存储用于邻近的条件，其也能够由请求和接收UE给出。网络200能够向附近的允许被发现的接收UE进行广播，并且UE用受保护的消息进行响应。在第一次通信和/或登记时，或者当任何变化发生时，UE100向网络200通知其条件和能力。

通过网络200或者UE100的基于广播的解决方案要求下述要求中的一个或多个。即，接收侧应当能够验证源，不应当重用广播消息，接收响应的网络200应当能够对其进行验证，或者如果过长则应当丢弃响应。UE100能够使用用于执行安全发现的一个或者多个解决方案。解决方案包括令牌、签名、消息、消息ID、随机值、密钥和戳。注意，该解决方案能够在步骤5(相互鉴权，鉴权L4)中使用、在步骤6(授权，授权L5)中使用，并且在步骤7(产生密钥和协商算法，安全通信L7)中使用，如在图4中所示。步骤5至7能够一起发生，并且可能与广播安全有关。

[3]初始授权(L3)

初始授权根据上述发现解决方案而变化。

[3-1]基于广播：

是否允许请求UEL01与接收UEL03进行通信可以通过网络或者通过具有由网络提供的证明的接收UEL03来检查。

[3-2]基于网络：

请求UEL01和接收UEL03能够经由直接无线接口执行相互鉴权。

[3-3]基于设备服务等级信息：

接收UEL03在用于ProSe服务目的的设备组的成员当中检查由用户或者在UE中保持的列表。

[4]鉴权(L4)

一旦请求UEL01被识别为属于相同的组，则鉴权发生。鉴权可以本地地或者通过与网络交互来执行。

[4-1]请求UEL01的鉴权

这能够通过网络或具有来自于网络的证据的UE对请求UEL01的成功识别来执行。

[4-2]接收UEL03的鉴权：

这可以通过下述来执行

[4-2-i]使用在请求UEL01和接收UEL03之间共享的密钥

[4-2-ii]使用当前网络安全密钥或者新密钥

[4-2-iii]向请求UEL01通知来自接收UEL03的传入的鉴权请求的网络。

[5]授权-服务接入控制(L5)

对请求UEL01和接收UEL03(下文中也被称为“UE”)能够在组内使用的服务的接入控制应当存在不同的等级。

[5-1]允许UE接收和/或发送广播消息。

[5-2]允许UE接收和/或发送多个消息。

[5-3]允许UE接收和/或发送用于一对一通信的消息。

[5-4]根据订阅信息和用于ProSe服务的策略UE设置的UE授权。

网络能够根据UE能力和用户订阅来建立策略并且向包括请求UEL01和接收UEL03的组成员提供该策略。

网络200对想要加入组的UE100执行授权。UE100的组成员通过使用会话密钥来验证网络是否授权其他UE。用于执行验证的授权的另一方法由网络通过下述来进行：(1)由网络将授权值发送到各个UE100并且各个UE100使用该值来对彼此执行授权，或者(2)用于执行验证的授权的又一方法，该方法通过将来自请求UE的授权值发送到接收UE，并且然后接收UE请求网络验证该授权值和接收结果来进行。

[6]新密钥层级和密钥管理(L6)

在本发明的本示例性实施例中提出新密钥层级。密钥Kp是与组有关的密钥并且还可以与ProSe服务有关。密钥Kp具有与其有关的指示符KSI_p。能够从ProSe服务器发送Kp以供使用。

密钥Kpc和Kpi是在UE处从Kp导出的会话密钥。Kpc是机密性密钥并且Kpi是完整性保护密钥。会话密钥由UE用于执行对彼此的授权和ProSe通信建立，并且在其之间具有直接通信。

在授权和鉴权之后，包括请求UEL01和接收UEL03的通信设备能够开始会话以相互通信。当请求UEL01和接收UEL03相互通信时，应当共享通信密钥。密钥能够是组密钥和/或每个通信设备的唯一的密钥以及每个会话的会话密钥。

密钥能够由网络管理并且在安全通信信道上通过网络被发送。可替选地，密钥能够由请求UEL01管理，并且在鉴权或者验证期间，通过能够由网络确保安全的安全单播通信信道被发送到通信中的包括接收UEL03的其他设备。

UE100在会话开始时彼此鉴权(S5)。鉴权与授权相关联(S6)。图5A至图5C是分别示出一对一、一对多、以及多对多会话的示意图。如在图5A至图5C中所示，UEa21和UEa31指示请求UEL01，并且UEb22、UEb32、UEc33以及UEn_33n指示接收UEL03。

当开始会话时，首先生成会话密钥。在本示例性实施例中，请求UEL01(UEa21、UEa31)和接收UEL03(UEb22、UEb32、UEc33、UEn_33n)使用包括会话密钥的两种密钥。

情况1B：

各个组具有用于各个服务的密钥Kp(Kp用作服务密钥)，并且针对各个会话创建新的会话密钥。

情况2B：

各个组具有密钥Kp(Kp用作组密钥)，并且针对各个会话创建新的会话密钥。

在各个情况下，ProSe服务器或者请求UEL01发送密钥。例如，ProSe服务器将密钥Kp发送到请求UEL01和接收UEL03，并且每次会话，请求UEL01都将会话密钥发送到接收UEL03。替选地，ProSe服务器将密钥Kp和会话密钥两者发送到请求UEL0和接收UEL03，或者请求UEL01将密钥Kp和会话密钥两者发送到接收UEL03。

此外，当组在有人离开或者被添加时而改变时、当会话结束或者密钥超时时、或者当ProSe服务器已经做出决定时，例如，密钥Kp和/或会话密钥应被改变。

如果ProSe服务器将密钥Kp分配给UE，则UE从其导出会话密钥以用于授权和通信。能够利用用于密钥导出的算法来预先配置UE，或者密钥Kp与KSI(密钥集标识符)和服务有关。因为它们，在UE的鉴权和授权期间的安全问题或者用于直接通信的密钥的安全问题可以被解决。

注意，密钥集标识符(KSI)是与在鉴权期间导出的密码和完整性密钥相关联的数字。密钥集标识符能够由网络分配，并且通过鉴权请求消息被发送到移动站，在移动站处，密钥集标识符与所计算的密码密钥CK和完整性密钥IK一起被存储。密钥集标识符的目的是，使其能够用于使网络在不调用鉴权过程的情况下，识别存储在移动站中的密码密钥CK和完整性密钥IK。这用于允许在后续连接(会话)期间对密码密钥CK和完整性密钥IK的重用。

[7]安全通信(L7)

安全通信能够提供在组成员UE之间的消息传输可用性，并且防止消息由不属于该组的UE窃听或者更改。而且，安全通信能够防止UE使用未被授权的服务。

组内的通信应当具有完整性和/或机密性保护。在安全关联被建立之后，所有的通信都可以通过上述会话密钥来保护。

在具有或者不具有运营商网络L02的支持的情况下，安全策略能够是组内的协商和协议。所有的组成员应当遵循安全策略。

接下来，将会解释在UE的位置改变发生的情况下的安全性。如果没有UE具有位置变化，则不存在安全问题。此外，如果所有的UE具有改变的位置，但是保持彼此邻近，则仍然不存在安全问题。

如果UE的一部分(一个或者多个UE)已经从其他UE的邻近移出并且其不使用ProSe服务，则需要针对组中的剩余UE来更新组和安全管理。可替选地，如果一个或者多个UE已经从UE邻近移出，并且它们想要保持与彼此的ProSe服务，则需要针对组中的剩余UE更新组和安全管理，并且针对旅行者(traveler)需要新的组和安全。

注意，ProSe服务器应当周期性地从GMLC(网关移动位置中心)得到UE位置信息，以比较和计算所有UE的位置差异。

[8]终止(L8)

当通信要被挂起时，设备应当移除会话密钥，同时保持鉴权和授权的信息。

当通信要被终止时，设备能够保持历史信息，或者具有用于下一次使用时间的寿命的分配的令牌，以防止再次用于鉴权和授权的信令。

从基础设施到直接模式的平滑切换(handover)将会要求在切换发生之前在通信方(请求UEL01和接收UEL03)之间的密钥的创建。例如，如果通信方正在使用WiFi，则密钥应被分配给WiFiAP和UE。WiFiAP和UE应相互授权和鉴权。密钥应具有有限的寿命。网络能够识别UE能够与哪个WiFiAP通信。UE能够发现附近存在WiFiAP，并且网络验证WiFiAP。当UE连接到WiFiAP时，UE与ProSe服务器进行鉴权。一个选项是ProSe功能能够分配用于使UE与ProSeAPP服务器进行通信的密钥。

为了总结上面的描述，示例性实施例的进行安全通信的方法包括下述特征：

(1)运营商网络L02确定请求UEL01是否能够与由请求UEL01所请求的接收UEL03通信。

(2)能够通过使用由网络提供的令牌、密钥以及签名来提供邻近UE的发现中的安全性。

(3)能够通过使用由运营商网络L02提供的位置来提供邻近UE的发现中的安全性。

(4)利用在应用层中提供的安全性，能够通过使用由社交网络服务提供的位置信息来提供邻近UE的发现中的安全性。

(5)能够通过网络或者设备直接验证来执行设备的授权。

(6)同意在组L03中的请求UEL01和接收UE之间的相互鉴权能够由网络来执行，并且也能够向两个UE通知结果。

(7)在请求UEL01和接收UEL03之间的相互鉴权能够通过其之间共享的密钥来由两端执行。

(8)能够使用作为组密钥和唯一会话密钥的用于确保ProSe通信安全的新密钥。

(9)用于安全通信的组中的安全策略被协商和设置。

(10)能够执行终止管理以防止相同的密钥被使用，并且建立用于其他通信的安全上下文。

根据示例性实施例的安全系统，运营商网络L02能够确定请求UEL01能够与其通信的接收UEL03，并且能够通过将安全参数提供给请求UEL01或者接收UEL03，并且将接收UEL03的位置信息提供给请求UEL01，来确保安全发现的安全。此外，运营商网络L02能够执行对于请求UEL01和接收UEL03的鉴权和授权，并且能够支持UE之间的安全关联以确保ProSe通信的安全。

[9]执行群组管理L1的具体方法

接下来，将会解释执行群组管理L1的更具体的方法。如上所述，ProSe服务器是按照在3GPPSA2#97至NPL2中达成一致的网络元件。在基于邻近的服务中，用户/UE的订阅数据指示UE是否被是ProSe使能的，并且如果是，则订阅数据还指示UE的ProSe能力，该UE的ProSe能力：

1)能够发现其它UE；

2)能够被其它UE发现；或者

3)满足1)和2)两者。

订阅数据被存储在与诸如HSS的其它网络元件交互的ProSe服务器中。根据运营商政策，还能够从HSS检索订阅数据。

UE能够设置用于被发现和/或发现的触发事件，并且将其策略简档登记在ProSe服务器中。当存在对UE的ProSe服务请求时，ProSe服务器能够指示UE或者相应地丢弃对UE的ProSe服务请求。触发事件可以是：

1)在位置上：当其进入某地以接收诸如优惠券的信息。

2)VIP成员：当给定的UE在附近时；并且

3)时间等。

在接收到来UE的ProSe服务请求时，ProSe服务器在发起发现过程之前应当验证下述。

1)请求UE和接收UE是否都是ProSe使能的UE，并且它们是否已经订阅了ProSe服务，

2)请求UE是否被允许用于发现服务，

3)接收UE是否是ProSe使能的UE并且被允许被发现，或者

4)UE是否被允许以具有所请求的服务和通信。

在验证之后，ProSe服务器向请求UE通知接收到的请求和未决(pending)。ProSe服务器应当执行上述发现。ProSe服务器能够请求对这些过程的网络支持。ProSe服务器通知发现的结果，包含被接受的UE的列表、被允许的服务、被允许的通信手段以及任何其它必要参数。

如果不存在，则请求UE能够自动地成为群组管理者，并且开始执行在群组中的鉴权、授权以及安全关联建立。

存在两种情况：

情况1C：请求UE想要与一些UE通信，但是不知道他们是否在附近和/或可用，

情况2C：使用示出附近存在一些UE的一些应用的请求UE选择一些UE来与之ProSe。

在此，将会描述每种情况下的过程的详情如下。注意，UE能够被订阅到相同的ProSe服务器或者不同的ProSe服务器。

[[情况1C]]：UE不具有接收UE是否处于邻近的知识。

图6是示出示例性实施例的执行情况1C的群组管理的方法的流程图。如图6所示，系统包括用作请求UE的UEa21、用作接收UE的UEb22、ProSe服务器24以及HSS25。该方法包括下述九个步骤SP1至SP9。

SP1：ProSe服务器24存储UE的订阅数据。

SP2：请求UE21将ProSe服务请求发送到ProSe服务器24，该ProSe服务请求包含请求UEID、接收UEID的列表、请求服务类型、请求通信类型、如果之前已经形成群组或者请求UE想要命名群组ID的可选的群组ID以及可选的范围。

SP3：如有需要，ProSe服务器24能够针对鉴权信息而与HSS25交互。

SP4：ProSe服务器24执行对请求和接收UE21和22的验证。

SP5：ProSe服务器24将包括未决的状态的ProSe服务ACK发送到请求UE21。

SP6：ProSe服务器24执行发现过程。

SP7：在发现过程之后，ProSe服务器24将ProSe服务结果发送到请求UE21，ProSe服务结果具有群组ID、被接受的UE、被允许的服务类型、被允许的通信类型以及安全参数(可选的)。

SP8：ProSe服务器24还能够将相同的ProSe服务结果发送到接收UE22。

SP9：一旦请求和接收UE21和22知道被允许的群组成员，就可以开始群组安全建立。

[[情况2C]]：UE识别一些其它UE在附近。

在此情况2C下，假定订户运行示出哪些UE在邻近的应用。订户能够选择想要与哪个UE具有ProSe服务。因此，不需要发现过程。ProSe服务器24通过接收UE22以与在情况1C中描述的相同方式来验证请求UE21是否能够具有ProSe服务。

为了总结上面的描述，示例性实施例的执行安全群组管理的方法包括下述特征：

(1)ProSe服务器被配置有UE的订阅数据，包含ProSe服务的UE能力、能够具有ProSe服务的UE的信息以及UE设置的策略；

(2)ProSe服务器执行对请求UE的授权，以验证：其是否能够具有所请求的具有通信类型的ProSe服务，并且请求UE是否能够具有与给定接收UE的ProSe服务；

(3)ProSe服务器执行对接收UE的授权，以验证其是否能够具有与请求UE的ProSe服务；

(4)UE能够通过网络授权设置用于发现或者被发现的事件触发；

(5)ProSe服务器向请求UE发送具有未决的状态的ProSe服务ACK；并且

(6)ProSe服务器将ProSe服务结果发送到请求UE以及接收UE，ProSe服务结果具有群组ID、被接受的UE、被允许的服务类型和通信类型以及安全参数(选项)。

根据本发明的示例性实施例的安全系统，网络控制请求和接收UE是否能够具有相互的ProSe服务。请求UE能够选择请求UE想要具有与其ProSe服务的接收UE，并且请求网络执行授权。此外，请求UE和接收UE能够设置用于发现和被发现的事件触发，使得其能够具有被定制的设置。

此软件能够被存储在各种类型的非易失性计算机可读介质中并且从而被供应到计算机。非易失性计算机可读介质包括各种类型的有形存储介质。非易失性计算机可读介质的示例包括磁记录介质(诸如软盘、磁带以及硬盘驱动)、磁光记录介质(诸如磁光盘)、CD-ROM(只读存储器)、CD-R以及CD-R/W和半导体存储器(诸如掩模ROM、PROM(可编程ROM)、EPROM(可擦除PROM)、闪存ROM以及RAM(随机接入存储器))。此外，通过使用各种类型的瞬态计算机可读介质，程序能够被供应给计算机。瞬态计算机可读介质的示例包括电信号、光信号以及电磁波。瞬态计算机可读介质能够被用于经由诸如电线和光纤的有线通信路径、或者无线通信路径将程序供应给计算机。

此申请基于并且要求来自于2013年6月28日提交的日本专利申请No.2013137291的优先权的权益，其全部内容通过引用被整体合并进本文。

[附图标记列表]

1安全系统

10系统

11UE

12UE

13E-UTERN

14EPC

15ProSe功能

16ProSeAPP服务器

17ProSeAPP

18ProSeAPP

19eNB

20eNB

21UEa

22UEb

24ProSe服务器

25HSS

31UEa

32UEb

33UEc

33nUEn

100UE

100a系统

100b系统

200网络

L01请求UE

L02运营商网络

L03接收UE

L1安全群组管理

L2安全发现

L3初始授权

L4鉴权

L5授权

L6安全关联建立

L7安全通信

L8终止

Claims

1.一种通过请求设备和接收设备在基于邻近服务(ProSe)通信中形成安全群组的方法，所述请求设备请求通信，所述接收设备接收来自所述请求设备的通信请求，其中，所述请求设备和所述接收设备已经订阅ProSe服务，所述方法包括：

从所述请求设备向ProSe服务器请求服务请求，所述服务请求指示来自所述请求设备的与所述接收设备通信的请求；

通过所述ProSe服务器执行对所述请求设备和所述接收设备的验证；

将ProSe服务结果发送到所述请求设备和所述接收设备，以通知被允许的群组成员；以及

开始包括所述请求设备和所述接收设备的群组的群组安全建立。

2.根据权利要求1所述的在ProSe通信中形成安全群组的方法，其中，

所述服务请求包含请求设备ID、接收设备的列表、请求服务类型以及请求通信类型。

3.根据权利要求1或者2所述的在ProSe通信中形成安全群组的方法，进一步包括：

在所述请求设备不知道所述接收设备是否在距所述请求设备的预定区域和/或可用于通信的情况下，通过所述ProSe服务器执行发现过程，以获得所述接收设备的位置信息。

4.根据权利要求3所述的在ProSe通信中形成安全群组的方法，其中，

所述执行发现验证所述请求设备和所述接收设备是否都是ProSe使能的设备、是否允许所述请求设备用于发现服务、所述接收设备是否是ProSe使能的设备并且允许被发现、以及所述请求设备和所述接收设备是否被允许具有请求服务和通过所述服务请求的请求通信。

5.根据权利要求1至4中的任意一项所述的在ProSe通信中形成安全群组的方法，其中，所述请求设备和所述接收设备的订阅的数据被存储在所述ProSe服务器和/或其它服务器中，所述其它服务器能够从所述ProSe服务器被访问。

6.根据权利要求5所述的在ProSe通信中形成安全群组的方法，其中，所述订阅数据指示所述请求设备是否是ProSe使能的，

其中，所述ProSe使能指示所述请求设备和所述接收设备的ProSe能力，所述能力包括设备是否能够发现其它设备和/或设备是否能够被其它设备发现。

7.根据权利要求3或者4所述的在ProSe通信中形成安全群组的方法，进一步包括：

设置用于被发现和/或发现的触发事件，并且将所述触发事件的策略简档登记在所述ProSe服务器中，

其中，所述触发事件是下述情况中的任何一个或多个：所述请求设备和/或所述接收设备移动到给定位置或者区域、特定设备接近或者在距所述请求设备和/或所述接收设备的预定距离内被接近、以及设置的时间到来。

8.一种安全系统，所述安全系统包括多个用户设备(UE)和基于邻近服务(ProSe)服务器，所述安全系统包括：

请求设备，所述请求设备请求通信；以及

接收设备，所述接收设备接收来自所述请求设备的通信请求，

其中，所述请求设备和所述接收设备已经订阅ProSe服务；

所述请求设备向所述ProSe服务器请求服务请求，所述服务请求指示来自所述请求设备的与所述接收设备通信的请求；

其中，

所述ProSe服务器执行对所述请求设备和所述接收设备的验证；

所述ProSe服务器将ProSe服务结果发送到所述请求设备和所述接收设备，以通知被允许的群组成员；并且

所述请求设备和所述接收设备开始包括所述请求设备和所述接收设备的群组的群组安全建立。