CN108293259B - 一种nas消息处理、小区列表更新方法及设备 - Google Patents

Abstract

一种NAS消息处理、小区列表更新方法及设备，用于解决用户设备会受到伪网络设备的DoS攻击的技术问题；用户设备在向服务网络设备发送NAS消息后，如果接收的NAS拒绝消息没有经过完整性保护，则用户设备可以确定服务网络设备为伪网络设备，则用户设备可以选择其他小区重新发起NAS消息，这样，如果拒绝消息是伪网络设备伪造的，用户设备可以重新选择到其他小区发起NAS消息，从而获得正常的网络服务，也尽量避免用户设备受到DoS攻击，避免影响用户设备的正常使用。

Description

一种NAS消息处理、小区列表更新方法及设备

技术领域

本发明涉及移动通信技术领域，尤其涉及一种NAS消息处理、小区列表更新方法及设备。

背景技术

在演进分组系统(Evolved Packet System，EPS)网络中，对于用户设备(UserEquipment，UE)从空闲态发起的非接入层(Non Access Stratum，NAS)请求消息一般是不进行加密保护的。但是，若UE与核心网设备之间已经协商有合法的NAS安全上下文，则对于所有UE发起的NAS消息，都会进行完整性保护，一般来说，如果UE发送的NAS消息经过了完整性保护，则网络设备向UE回复NAS拒绝消息时，NAS拒绝消息也应进行完整性保护，但在某些情况下，比如网络设备因为故障重启而导致协商好的NAS安全上下文丢失等，则网络设备可能会向UE发送未经过完整性保护的NAS拒绝消息。那么，利用UE发送的NAS消息没有加密的特点，伪网络设备可以截获在空口传递的没有加密的NAS消息，然后构造对应的NAS拒绝消息发送给UE，显然，构造的NAS拒绝消息是未经完整性保护的。然而目前，UE无法区分收到的未进行完整性保护的NAS拒绝消息是由真实的网络设备发送的，还是由伪网络设备发送的，因此UE会采用一致的处理方式，即都会认为网络设备不能提供服务，从而影响了UE的正常使用。

发明内容

本申请提供一种NAS消息处理、小区列表更新方法及设备，用以解决用户设备会受到伪网络设备的DoS攻击的技术问题。

第一方面，提供一种NAS消息处理方法，包括：

用户设备向所述用户设备的服务网络设备发送NAS消息；所述服务网络设备包括为所述用户设备提供服务的接入网设备，或为所述用户设备提供服务的移动管理网元；

所述用户设备接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息，所述NAS拒绝消息未进行完整性保护；

所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，所述用户设备选择除当前的服务小区之外的其它小区重新发起所述NAS消息。

用户设备在向服务网络设备发送NAS消息后，如果接收的NAS拒绝消息没有经过完整性保护，则用户设备可以确定服务网络设备为伪网络设备，则用户设备可以选择其他小区重新发起NAS消息，这样，如果拒绝消息是伪网络设备伪造的，用户设备可以重新选择到其他小区发起NAS消息，从而获得正常的网络服务，也尽量避免用户设备受到DoS攻击，避免影响用户设备的正常使用。

结合第一方面，在第一方面的第一种可能的实现方式中，所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，包括：

若所述用户设备接收所述服务网络设备发送的所述NAS拒绝消息的次数大于或等于预定次数，则所述用户设备确定所述服务网络设备为伪网络设备。

一般来说，如果服务网络设备是真实的网络设备，即使前几次向用户设备回复NAS拒绝消息时没有进行完整性保护，但在用户设备反复的请求下，后面回复的NAS拒绝消息也会进行完整性保护，而伪网络设备回复的NAS拒绝消息则始终不会进行完整性保护，那么，用户设备可以多次向服务网络设备发送NAS消息(比如发预定次数)，如果服务网络设备每次回复的NAS拒绝消息都没有进行完整性保护，则用户设备可以确定服务网络设备是伪网络设备。通过这种方式可以比较简单地辨认伪网络设备，尽量避免用户受到DoS攻击。

结合第一方面，在第一方面的第二种可能的实现方式中，

在所述用户设备接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息之后，还包括：

所述用户设备为所述NAS拒绝消息选择第一概率值，所述第一概率值是所述用户设备接收到所述服务网络设备发送的所述NAS拒绝消息时在预定数值范围内随机选择的；其中，所述预定数值范围的上限为预先设定的数值M1，若所述NAS拒绝消息为所述用户设备第N次接收到所述服务网络设备发送的所述NAS拒绝消息，则所述预定数值范围的下限为所述用户设备第N-1次接收到所述服务网络设备发送的所述NAS拒绝消息时选择的第二概率值，若所述NAS拒绝消息为所述用户设备第一次接收到所述服务网络设备发送的所述NAS拒绝消息，则所述预定数值范围的下限为预先设定的数值M2；M2小于M1，N为大于1的整数；

所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，包括：

若所述第一概率值大于或等于预设的第三概率值，所述用户设备确定所述服务网络设备为伪网络设备。

同样是利用了伪网络设备回复的NAS拒绝消息始终不会进行完整性保护的原理，用户设备每次为接收的未进行完整性保护的NAS拒绝消息选择伪网络概率值，如果某一次选择的伪网络概率值大于或等于预设的第三概率值，则用户设备也可以认为已经发送了足够多次的NAS消息，这么多次回复的NAS拒绝消息都未进行完整性保护，则可以认为服务网络设备是伪网络设备。本申请提供了几种可以用于确认服务网络设备究竟是否是伪网络设备的方式，在实施时可根据需求选择不同的方式，较为灵活。

结合第一方面的第一种可能的实现方式或第二种可能的实现方式，在第一方面的第三种可能的实现方式中，

用户设备向所述用户设备的服务网络设备发送NAS消息，包括：

所述用户设备向所述服务网络设备发送N次所述NAS消息；N为大于1的整数；

所述用户设备接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息，包括：

所述用户设备N次接收所述服务网络设备发送的所述NAS拒绝消息；

在所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备之前，还包括：

若所述用户设备第i次接收所述NAS拒绝消息，所述用户设备向所述服务网络设备重新发送所述NAS消息；其中，i为小于N的正整数；

所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，包括：

若所述用户设备第N次接收所述NAS拒绝消息，所述用户设备确定所述服务网络设备为伪网络设备。

用户设备在第i次接收服务网络设备发送的未经过完整性保护的NAS拒绝消息时，可以重新向服务网络设备发送NAS消息，从而用户设备可以通过多次向服务网络设备发送NAS消息来确定服务网络设备是否是伪网络设备。

结合第一方面或第一方面的第一种可能的实现方式至第三种可能的实现方式中的任一种可能的实现方式，在第一方面的第四种可能的实现方式中，在所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备之后，还包括：

所述用户设备将所述服务网络设备提供服务的小区的标识加入黑名单小区列表。

用户设备如果确定服务网络设备是伪网络设备，则可以将服务网络设备提供服务的小区的标识加入黑名单小区列表，服务网络设备提供服务的小区例如就是当前的服务小区，这样避免用户下次再选择该小区进行接入，尽量避免用户设备受到伪网络设备的攻击。

结合第一方面或第一方面的第一种可能的实现方式至第四种可能的实现方式中的任一种可能的实现方式，在第一方面的第五种可能的实现方式中，所述用户设备选择除当前的服务小区之外的其它小区重新发起所述NAS消息，包括：

所述用户设备在当前位置区域选择除所述当前的服务小区之外的其它小区重新发起所述NAS消息；或者

所述用户设备在新的位置区域选择除所述当前的服务小区之外的其它小区重新发起所述NAS消息。

用户设备既可以在当前位置区域重新选择其它小区，也可以在新的位置区域选择其它小区，选择范围较为广泛，更利于用户设备选择到合适的小区。

结合第一方面的第五种可能的实现方式，在第一方面的第六种可能的实现方式中，所述用户设备选择其它小区重新发起所述NAS消息，还包括：

所述用户设备将所述服务网络设备提供服务的小区的标识发送给为所述其它小区服务的接入网设备；

所述用户设备接收所述接入网设备发送的黑名单小区列表；其中，所述黑名单小区列表中包括所述服务网络设备提供服务的小区的标识。

一般来说，接入网设备可以维护黑名单小区列表，则用户设备还可以将服务网络设备提供服务的小区的标识(即当前的服务小区的标识)发送给为其它小区服务的接入网设备，便于该接入网设备更新黑名单小区列表，且该接入网设备可以将更新后的黑名单小区列表发送给用户设备，这样用户设备可以得到比较全面的黑名单小区列表，从而能更好地避免接入黑名单小区列表中的小区。

结合第一方面或第一方面的第一种可能的实现方式至第六种可能的实现方式中的任一种可能的实现方式，在第一方面的第七种可能的实现方式中，

所述NAS消息包括附着请求消息，所述NAS拒绝消息包括附着拒绝消息；或者

所述NAS消息包括位置更新请求消息，所述NAS拒绝消息包括位置更新拒绝消息；或者

所述NAS消息包括业务请求消息，所述NAS拒绝消息包括业务拒绝消息；或者

所述NAS消息包括鉴权响应消息，所述NAS拒绝消息包括鉴权拒绝消息；或者

所述NAS消息包括鉴权与加密响应消息，所述NAS拒绝消息包括鉴权与加密拒绝消息。

第二方面，提供一种小区列表更新方法，包括：

接入网设备接收用户设备发送的服务小区的标识；其中，所述服务小区为所述用户设备确定为伪网络设备所提供服务的小区；

所述接入网设备将所述服务小区的标识加入到黑名单小区列表中，并将添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

一般来说，接入网设备可以维护黑名单小区列表，则用户设备可以将伪网络设备提供服务的小区的标识发送给接入网设备，便于该接入网设备更新黑名单小区列表，且该接入网设备可以将更新后的黑名单小区列表发送给用户设备，这样用户设备可以得到比较全面的黑名单小区列表，从而能更好地避免接入黑名单小区列表中的小区。

结合第二方面，在第二方面的第一种可能的实现方式中，将添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备，包括：

所述接入网设备通过系统信息广播所述添加了所述服务小区的标识的黑名单小区列表；或者

所述接入网设备通过专用空口信令将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

接入网设备可以广播更新后的黑名单小区列表，可以使得更多的用户设备接收更新后的黑名单小区列表，这样多个用户设备都可以知道哪些小区是伪网络设备提供的小区，从而可以避免更多的用户设备受到DoS攻击。或者，可能黑名单小区列表不是对每个用户设备都有意义，比如可能其他的用户设备位置比较远，可能本身就不容易选择到黑名单小区列表中的小区，或者可能因为其他的一些原因等，接入网设备可以通过专用空口信令将更新后的黑名单小区列表发送给该用户设备，这样可以提高传输可靠性，尽量保证该用户设备能够接收到更新后的小区列表。

结合第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述接入网设备通过专用空口信令将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备，包括：

所述接入网设备通过无线资源控制连接重配置消息将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

提供了一种接入网设备向该用户设备发送更新后的黑名单小区列表的方式。

第三方面，提供一种用户设备，包括：

发送器，用于向所述用户设备的服务网络设备发送NAS消息；所述服务网络设备包括为所述用户设备提供服务的接入网设备，或所述服务网络设备包括为所述用户设备提供服务的移动管理网元；

接收器，用于接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息，所述NAS拒绝消息未进行完整性保护；

处理器，用于根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，选择除当前的服务小区之外的其它小区重新发起所述NAS消息。

结合第三方面，在第三方面的第一种可能的实现方式中，所述处理器用于：

若所述用户设备接收所述服务网络设备发送的所述NAS拒绝消息的次数大于或等于预定次数，则确定所述服务网络设备为伪网络设备。

结合第三方面，在第三方面的第二种可能的实现方式中，所述处理器用于：

在所述接收器接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息之后，为所述NAS拒绝消息选择第一概率值，所述第一概率值是所述用户设备接收到所述服务网络设备发送的所述NAS拒绝消息时在预定数值范围内随机选择的；其中，所述预定数值范围的上限为预先设定的数值M1，若所述NAS拒绝消息为所述用户设备第N次接收到所述服务网络设备发送的所述NAS拒绝消息，则所述预定数值范围的下限为所述用户设备第N-1次接收到所述服务网络设备发送的所述NAS拒绝消息时选择的第二概率值，若所述NAS拒绝消息为所述用户设备第一次接收到所述服务网络设备发送的所述NAS拒绝消息，则所述预定数值范围的下限为预先设定的数值M2；M2小于M1，N为大于1的整数；

若所述第一概率值大于或等于预设的第三概率值，确定所述服务网络设备为伪网络设备。

结合第三方面的第一种可能的实现方式或第二种可能的实现方式，在第三方面的第三种可能的实现方式中，

所述发送器用于：向所述服务网络设备发送N次所述NAS消息；N为大于1的整数；

所述接收器用于：N次接收所述服务网络设备发送的所述NAS拒绝消息；

所述处理器还用于：若所述接收器第i次接收所述NAS拒绝消息，通过所述发送器向所述服务网络设备重新发送所述NAS消息；其中，i为小于N的正整数；

所述处理器用于：若所述接收器第N次接收所述NAS拒绝消息，确定所述服务网络设备为伪网络设备。

结合第三方面或第三方面的第一种可能的实现方式至第三种可能的实现方式中的任一种可能的实现方式，在第三方面的第四种可能的实现方式中，所述处理器还用于：

在根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备之后，将所述服务网络设备提供服务的小区的标识加入黑名单小区列表。

结合第三方面或第三方面的第一种可能的实现方式至第四种可能的实现方式中的任一种可能的实现方式，在第三方面的第五种可能的实现方式中，所述处理器还用于：

在当前位置区域选择除所述当前的服务小区之外的其它小区重新发起所述NAS消息；或者

在新的位置区域选择除所述当前的服务小区之外的其它小区重新发起所述NAS消息。

结合第三方面的第五种可能的实现方式，在第三方面的第六种可能的实现方式中，所述处理器还用于：

通过所述发送器将所述服务网络设备提供服务的小区的标识发送给为所述其它小区服务的接入网设备；

通过所述接收器接收所述接入网设备发送的黑名单小区列表；其中，所述黑名单小区列表中包括所述服务网络设备提供服务的小区的标识。

结合第三方面或第三方面的第一种可能的实现方式至第六种可能的实现方式中的任一种可能的实现方式，在第三方面的第七种可能的实现方式中，

所述NAS消息包括附着请求消息，所述NAS拒绝消息包括附着拒绝消息；或者

所述NAS消息包括位置更新请求消息，所述NAS拒绝消息包括位置更新拒绝消息；或者

所述NAS消息包括业务请求消息，所述NAS拒绝消息包括业务拒绝消息；或者

所述NAS消息包括鉴权响应消息，所述NAS拒绝消息包括鉴权拒绝消息；或者

所述NAS消息包括鉴权与加密响应消息，所述NAS拒绝消息包括鉴权与加密拒绝消息。

第四方面，提供一种接入网设备，包括：

接收器，用于接收用户设备发送的服务小区的标识；其中，所述服务小区为所述用户设备确定为伪网络设备所提供服务的小区；

处理器，用于将所述服务小区的标识加入到黑名单小区列表，并通过发送器将添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

结合第四方面，在第四方面的第一种可能的实现方式中，所述处理器用于：

通过所述发送器、以系统信息广播所述添加了所述服务小区的标识的黑名单小区列表；或者

通过所述发送器、以专用空口信令将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

结合第四方面的第一种可能的实现方式，在第四方面的第二种可能的实现方式中，所述处理器用于：

通过所述发送器、以无线资源控制连接重配置消息将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

第五方面，提供另一种用户设备，该用户设备包括用于执行第一方面的方法的模块。

第六方面，提供另一种接入网设备，该接入网设备包括用于执行第二方面的方法的模块。

通过本申请提供的技术方案，用户设备能够较好地识别伪网络设备，从而可以尽量避免受到伪网络设备发起的DoS攻击，尽量使得用户设备能够得到正常的网络服务。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍，显而易见地，下面所介绍的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为用户设备遭受DoS攻击的场景1的流程图；

图2为用户设备遭受DoS攻击的场景2下的子场景1的流程图；

图3为用户设备遭受DoS攻击的场景2下的子场景2的流程图；

图4为本发明实施例中的NAS消息处理方法的流程图；

图5为本发明实施例中的小区列表更新方法的流程图；

图6-图10为本发明实施例中NAS消息处理方法的几种示意图；

图11为本发明实施例中用户设备的结构示意图；

图12为本发明实施例中接入网设备的结构示意图；

图13为本发明实施例中用户设备的结构框图；

图14为本发明实施例中接入网设备的结构框图。

具体实施方式

本文中描述的技术可用于各种通信系统，例如第二代移动通信系统(2G)，第三代移动通信系统(3G)或下一代通信系统，例如全球移动通信系统(Global System forMobile communications，GSM)，码分多址(Code Division Multiple Access，CDMA)系统，时分多址(Time Division Multiple Access，TDMA)系统，宽带码分多址(Wideband CodeDivision Multiple Access Wireless，WCDMA)，频分多址(Frequency Division MultipleAddressing，FDMA)系统，正交频分多址(Orthogonal Frequency-Division MultipleAccess，OFDMA)系统，单载波频分多址(SC-FDMA)系统，通用分组无线业务(General PacketRadio Service，GPRS)系统，长期演进(Long Term Evolution，LTE)系统，以及其他此类通信系统。

以下，对本发明实施例中的部分用语进行解释说明，以便于本领域技术人员理解。

1)用户设备，是指向用户提供语音和/或数据连通性的设备，例如可以包括具有无线连接功能的手持式设备、或连接到无线调制解调器的处理设备。该用户设备可以经无线接入网(Radio Access Network，RAN)与核心网进行通信，与RAN交换语音和/或数据。该用户设备还可以包括无线终端设备、移动终端设备、订户单元(Subscriber Unit)、订户站(Subscriber Station)，移动站(Mobile Station)、移动台(Mobile)、远程站(RemoteStation)、接入点(Access Point，AP)、远程终端设备(Remote Terminal)、接入终端设备(Access Terminal)、用户终端设备(User Terminal)、用户代理(User Agent)、或用户装备(User Device)等。该用户设备还可以包括移动电话(或称为“蜂窝”电话)，具有移动终端设备的计算机，便携式、袖珍式、手持式、计算机内置的或者车载的移动装置。例如，个人通信业务(Personal Communication Service，PCS)电话、无绳电话、会话发起协议(SIP)话机、无线本地环路(Wireless Local Loop，WLL)站、个人数字助理(Personal DigitalAssistant，PDA)、用户单元(Subscriber Unit)、个人电脑(Personal Computer)、膝上型电脑(Laptop Computer)、平板电脑(Tablet Computer)、上网本(Netbook)、手持设备(Handheld)、数据卡(Data Card)、USB插入设备、移动WiFi热点设备(MiFi Devices)、智能手表/智能眼镜等可穿戴设备(Wearable Devices)等设备。

2)网络设备，例如包括接入网设备和核心网设备，接入网设备比如包括基站(例如，接入点)，具体可以是指接入网中在空中接口上通过一个或多个扇区与无线终端设备通信的设备。基站可用于将收到的无线帧与网际协议(IP)分组进行相互转换，作为无线终端设备与接入网的其余部分之间的路由器，其中接入网的其余部分可包括IP网络。基站还可协调对空中接口的属性管理。例如，基站可以是无线网络控制器(Radio NetworkController，RNC)或基站控制器(Base Station Controller，BSC)，或者也可以是演进的LTE系统(LTE-Advanced，LTE-A)中的演进型基站(NodeB或eNB或e-NodeB，evolutionalNode B)，本发明实施例并不限定。

核心网设备比如包括移动管理网元，移动管理网元比如包括移动管理实体(Mobility Management Entity，MME)或服务通用分组无线服务技术支持节点(ServingGeneral Packet Radio Service Support Node，SGSN)或移动交换中心(MobileSwitching Centre，MSC)/拜访位置寄存器(Visitors Location Register，VLR)，其中，MSC与VLR通常合设为同一网元，称为MSC/VLR，或简称为VLR，或者移动管理网元还可以包括其他设备类型等。

3)伪网络设备，可以是伪基站，比如可以是伪eNodeB或伪RNC等，或者伪网络设备也可以是伪移动管理网元，比如可以是伪MME或伪SGSN或伪MSC/VLR，或者是伪造的具有基站与移动管理网元功能的其他设备类型。

4)EPS网络，是第三代合作伙伴项目(3rd Generation Partnership Project，3GPP)在第二代移动通信系统(The Second Generation，2G)/第三代移动通信系统(TheThird Generation，3G)网络基础上推出的，包括演进的通用移动通信系统陆地无线接入网(Evolved Universal Mobile Telecommunication System Territorial Radio AccessNetwork，E-UTRAN)和演进分组核心网(Evolved Packet Core Network，EPC)，EPS网络只能提供分组交换(Packet Switched，PS)业务。类似于3G网络，EPS网络也采用了双向身份认证机制来实现网络设备与用户设备之间合法性的相互认证，并采用了加密保护机制与完整性保护机制来实现用户设备与网络设备之间通信的保密性与完整性。所不同的是，EPS网络中引入了独立的两层安全机制：用户设备与接入网设备之间的接入层(Access Stratum，AS)安全机制与用户设备与核心网设备之间的非接入层(Non Access Stratum，NAS)安全机制，这两层安全机制并行独立存在，并采用不同的安全上下文。

5)本发明实施例中的术语“系统”和“网络”可被互换使用。“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，字符“/”，如无特殊说明，一般表示前后关联对象是一种“或”的关系。

下面介绍本发明实施例的应用场景。本发明实施例大概有两个比较典型的应用场景，场景1下用户设备与核心网设备之间已经协商有合法的NAS安全上下文，场景2下用户设备与核心网设备之间未协商合法的NAS安全上下文，其中，根据拒绝服务(Denial ofService，DoS)攻击在NAS流程中发起的时间点不同，又可以将场景2细分为子场景1和子场景2。在各场景中，均以伪网络设备是伪基站为例，以下分别介绍。需要说明的是，本发明实施例的应用场景可适用于2G网络、3G网络、EPS网络以及未来的5G网络中，为描述方便，该应用场景以EPS网络为例进行描述。

场景1

请参见图1，用户设备存储了与核心网设备协商好的有效(valid)的NAS安全上下文(或者称为EPS安全上下文(EPS security context))。

1、用户设备向核心网设备(例如为MME)发送经过完整性保护的NAS请求消息，该NAS请求消息没有加密。

2、伪基站截获了用户设备发送的NAS请求消息，伪基站对NAS请求消息进行解析，获知NAS请求消息的内容，然后伪基站伪造针对该NAS请求消息的NAS拒绝消息，伪造的NAS拒绝消息里可以携带拒绝原因值。

3、伪基站将伪造的NAS拒绝消息发送给用户设备，伪造的NAS拒绝消息没经过完整性保护。则，用户设备就受到了DoS攻击。

场景2下的子场景1：

请参见图2，用户设备未存储有效的NAS安全上下文，可能是用户设备还未与核心网设备协商好NAS安全上下文。

1、用户设备向核心网设备(例如为MME)发送未经过完整性保护的NAS请求消息，该NAS请求消息没有加密。

2、核心网设备向用户设备发送鉴权请求(Authentication Request)消息，用于对用户设备进行认证。

3、用户设备向核心网设备发送鉴权响应(Authentication Response)消息，该鉴权响应消息未进行完整性保护与加密。

4、伪基站向用户设备发送鉴权拒绝(Authentication Reject)消息，拒绝认证用户设备，伪造的认证拒绝消息没经过完整性保护。则用户设备受到了DoS攻击。

其中，伪基站截获了用户设备发送的鉴权响应消息，伪基站对鉴权响应消息进行解析，获知鉴权响应消息的内容，然后伪基站伪造针对该鉴权响应消息的鉴权拒绝消息。此时，鉴权拒绝消息里可以不携带拒绝原因值。当然，鉴权响应消息也是NAS消息的一种，鉴权拒绝消息也是NAS拒绝消息的一种。

场景2下的子场景2：

请参见图3，用户设备未存储有效的NAS安全上下文，比如用户设备还未与核心网设备协商好NAS安全上下文。

1、用户设备向核心网设备(例如为MME)发送未经过完整性保护的NAS请求消息，该NAS请求消息没有加密。

2、伪基站截获了用户设备发送的NAS请求消息，伪基站对NAS请求消息进行解析，获知NAS请求消息的内容，然后伪基站伪造针对该NAS请求消息的NAS拒绝消息，伪造的拒绝消息里可以携带拒绝原因值。

3、伪基站将伪造的NAS拒绝消息发送给用户设备，伪造的NAS拒绝消息没经过完整性保护。则，用户设备就受到了DoS攻击。

4、核心网设备向用户设备发送鉴权请求消息，用于对用户设备进行鉴权。但用户设备已经接收了伪基站伪造的NAS拒绝消息，可能不会再正常进行鉴权。比如用户设备可能会响应NAS拒绝消息，将客户识别模块(Subscriber Identity Module，SIM)或全球客户识别模块(Universal Subscriber Identity Module，USIM)设置为无效。

在场景1和子场景2下，伪网络可以截获用户设备发送的NAS请求消息，在子场景1下，伪网络可以截获用户设备发送的认证响应消息，即伪网络都可以截获用户设备发送的NAS消息，从而对用户设备发起DoS攻击。

为解决该问题，本发明实施例中，用户设备在向服务网络设备发送NAS消息后，如果接收的NAS拒绝消息没有经过完整性保护，则用户设备可以确定服务网络设备为伪网络设备，则用户设备可以不执行NAS拒绝消息所指示的行为，即用户设备可以不响应NAS拒绝消息，这样，如果拒绝消息是伪网络设备伪造的，用户设备拒绝响应，可以避免用户设备受到攻击，避免影响用户设备的正常使用。且用户设备可以选择其他服务小区重新发起NAS消息，以重新接入其他服务小区，获得正常的网络服务。

下面结合附图介绍本发明实施例提供的技术方案。

请参见图4，提供一种NAS消息处理方案，该方案的流程描述如下。

步骤401：用户设备向用户设备的服务网络设备发送NAS消息；服务网络设备包括为用户设备提供服务的接入网设备，或服务网络设备包括为用户设备提供服务的移动管理网元；

步骤402：用户设备接收服务网络设备发送的NAS消息对应的NAS拒绝消息，NAS拒绝消息未进行完整性保护；

步骤403：用户设备根据NAS拒绝消息确定服务网络设备为伪网络设备，用户设备选择其它小区重新发起NAS消息。

请参见图5，提供一种小区列表更新方案，该方案的流程描述如下。

步骤501：接入网设备接收用户设备发送的服务小区的标识；其中，服务小区为用户设备确定为伪网络设备所提供的小区；

步骤502：接入网设备将服务小区的标识加入到黑名单小区列表中，并将添加了服务小区的标识的黑名单小区列表发送给用户设备。

图4与图5为相应的方案，下面通过几个不同的例子来一起进行介绍。

首先，针对如前提到的场景1和子场景2，介绍下面的例子。

例1：

请参见图6。

1、处于空闲态的用户设备在当前的服务小区向该服务小区的接入网设备(比如该服务小区的基站)发起无线资源控制(Radio Resource Control，RRC)连接建立流程，在该流程中，用户设备将初始NAS请求(Initial NAS request)消息发送给接入网设备，接入网设备将该初始NAS请求消息转发给移动管理网元，该初始NAS请求消息比如可以包括附着请求(Attach Request)消息、位置更新请求消息、或业务请求(Service Request)消息等不同的消息。

可选的，对于2G或3G的电路交换域(Circuit Switching Domain，CS)，位置更新请求消息可以包括位置域更新请求(Location Area Update Request)消息，对于2G或3G的分组交换域(Packet Switching Domain，PS)，位置更新请求消息可以包括路由域更新请求(Routing Area Update Request)消息，对于LTE系统，位置更新请求消息可以包括跟踪域更新请求(Tracking Area Update Request)消息。

其中，若用户设备保存有与移动管理网元(比如MME或SGSN等)协商的合法的NAS安全上下文，则用户设备可以对初始NAS请求消息进行完整性保护，之后再发送，但是不进行加密。若用户设备未保存有合法的NAS安全上下文，则用户设备对发送的初始NAS请求消息既不进行完整性保护，也不加密。

2、在发送初始NAS请求消息后，用户设备可以重置计数器，该计数器保存在用户设备中，为本发明实施例所提供的，例如可以称为伪网络计数器，比如用户设备可以将伪网络计数器重置为0。该伪网络计数器表明了当前服务网络设备是伪网络设备的可能性，该伪网络计数器的值越大，当前的服务网络设备为伪网络设备的可能性就越大，反之亦然。

可选的，该步骤也可以发生在步骤1之前，即用户设备在当前服务小区第一次执行步骤1之前，用户设备将该计数器重置为0。

可选的，伪网络计数器一次的计数值可以适用于一个服务小区，若用户设备在一个新的服务小区发送新的初始NAS请求消息，则用户设备也可以先重置伪网络计数器。

3、伪网络设备(以伪网络设备为提供该服务小区的基站为例)截获未加密的初始NAS请求消息，从而获知初始NAS请求消息的类型，并构造对应的NAS拒绝消息，在NAS拒绝消息中，伪网络设备会携带拒绝原因值。

可选的，如果初始NAS请求消息包括附着请求消息，则NAS拒绝消息可以包括附着拒绝(Attach Reject)消息，如果初始NAS请求消息包括位置更新请求消息，则NAS拒绝消息可以包括位置更新拒绝消息，如果初始NAS请求消息包括业务请求消息，则NAS拒绝消息可以包括业务拒绝消息(Service Reject)。

可选的，对于2G或3G的CS域，位置更新请求消息可以包括位置域更新请求消息，则NAS拒绝消息可以包括位置域更新拒绝(Location Area Update Reject)消息，对于2G或3G的PS域，位置更新请求消息可以包括路由域更新请求消息，则NAS拒绝消息可以包括位置域更新拒绝(Routing Area Update Reject)消息，对于4G(第四代移动通信技术)系统，比如LTE系统，位置更新请求消息可以包括跟踪域更新请求(Tracking Area Update Request)消息，则NAS拒绝消息可以包括位置域更新拒绝(Tracking Area Update Reject)消息。

按照现有技术，处于空闲态的用户设备发送的初始NAS请求消息封装在空口信令消息中的一个数据单元中，由于初始NAS请求消息未加密，则伪网络设备可以截获该初始NAS请求消息，从而获知该初始NAS请求消息的类型，比如获知该初始NAS请求消息为附着请求消息，然后构造对应的NAS拒绝消息，比如构造附着拒绝消息，且伪网络设备可以根据想要发起的DoS攻击的类型选择不同的拒绝原因值。可选的，不同的拒绝原因值造成的DoS攻击见表1：

表1

4、伪网络设备将构造的NAS拒绝消息发送给用户设备，该拒绝消息未进行完整性保护，拒绝消息中携带了伪网络设备选择的拒绝原因值。

5、用户设备收到未完整性保护的拒绝消息后，将伪网络计数器加1，停止正在运行的NAS定时器，并立即重新发起相同的初始NAS请求消息，即重新通过接入网设备向移动管理网元发送初始NAS请求消息。需要说明的是，用户设备不会执行NAS拒绝消息中携带的拒绝原因值所指示的行为。从用户设备所执行的任务(即重新通过接入网设备向移动管理网元发送初始NAS请求消息)也可知，用户设备没有执行NAS拒绝消息中携带的拒绝原因值所指示的行为，这样可以避免用户受到DoS攻击。

其中，NAS定时器是为NAS流程服务的，用户设备在向移动管理网元发送初始NAS请求消息的同时或之后就可以启动NAS定时器，以等待移动管理网元的反馈。本发明实施例中，用户设备重新发送初始NAS请求消息时可以暂停NAS定时器，从而避免NAS定时器超时导致NAS流程失败。

6-8、分别同步骤1、3、4。

9、步骤5-8连续重复执行直到满足步骤10的条件。

10、若伪网络计数器的值达到预先配置的值，例如为N，则用户设备可以认为当前的服务网络设备为伪网络设备，即确定当前的服务小区为伪网络设备提供的小区。N可以为大于1的整数，N的值可由系统自行设定，或者通过协议规定，或者也可以由用户设定，比如N可以是5，或者也可以是其他的数值。

一般来说，如果是真实的网络设备，即使第一次(或前几次)向用户设备发送NAS拒绝消息时都没进行完整性保护，而用户设备一再重新发送初始NAS请求消息时，真实的网络设备就会对NAS拒绝消息进行完整性保护后再发送，那么，如果用户设备接收的NAS拒绝消息始终是没经过完整性保护的拒绝消息，用户设备就可以认为发送该NAS拒绝消息的是伪网络设备，因为伪网络设备没有保存进行完整性保护所需的完整性密钥等信息，无论发送多少次都是无法对NAS拒绝消息进行完整性保护的，通过这种方式，用户设备就可以检验当前的服务网络设备究竟是不是伪网络设备，即可以检验当前的服务小区是不是伪网络设备提供的小区，从而尽量避免影响用户设备的正常使用。而如果用户设备在伪网络计数器的值还未到达N时接收到了至少一个(可选的，只要接收一个就可以，当然为了保险起见也可以接收多个后再确定)经过完整性保护的NAS拒绝消息，则用户设备就可以认为当前的服务网络设备是真实的网络设备，可以响应该服务网络设备的指示。

可选的，用户设备如果确定当前的服务网络设备为伪网络设备，则用户设备可以将当前的服务小区的标识(Cell ID)加到黑名单小区列表(black cell list)中，并可以尝试在当前位置区域或新的位置区域重新选择其它的合适小区(Suitable cell)进行接入，比如可以在当前位置区域或新的位置区域选择其它的合适小区重新发起初始NAS请求消息。需要说明的是，加入黑名单小区列表中的小区是用户设备确定为伪网络设备所提供服务的小区。其它的合适小区，可以理解为除当前的服务小区之外的其它小区中的合适小区。需要说明的是，如果确定当前的服务网络设备为伪网络设备，用户设备不会执行NAS拒绝消息中携带的拒绝原因值所指示的行为。从用户设备所执行的任务(即尝试在当前位置区域或新的位置区域重新选择其它的合适小区)也可知，用户设备没有执行NAS拒绝消息中携带的拒绝原因值所指示的行为，这样可以避免用户受到DoS攻击。

可选的，合适小区可以是用户设备能够驻留并能够获取正常业务(NormalService)的小区，该合适小区可以属于用户设备当前注册的网络RPLMN(RegisteredPLMN)，或者可以属于用户设备当前注册的网络RPLMN的等价网络列表中的等价网络EPLMN(Equivalent PLMN)，或者可以属于用户设备当前选择的网络(Selected PLMN)。

可选的，位置区域可以包括：2G或3G中CS域的位置区域(Location Area，LA)，2G或3G中PS域的位置区域(Routing Area，RA)，以及4G中的位置区域(Trackting TA)中的至少一种。

一般来说，因为各个位置区域之间可能会有重叠区域，因此用户设备可以检测到多个位置区域，则用户设备可以在新的位置区域下选择小区进行接入，这样可以尽量避免用户设备再次选择到伪网络提供的小区。但也不排除极端情况，比如用户设备刚好处于一个位置区域的中心位置，则此时用户设备可能无法获取其他的位置区域，在这种情况下，用户设备可以在当前的位置区域下重新选择合适小区进行接入。因为一般来说，伪网络设备为了节省硬件成本，都不会提供很多小区，比如大部分伪网络设备可能就提供一个小区，而一个位置区域的覆盖范围比较大，可能覆盖多个小区，那么如果用户设备确定第一小区是伪网络设备提供的小区，则用户设备还可以继续在当前的位置区域下选择其它的合适小区进行接入，用户设备也无需再选择新的位置区域，减少用户设备的工作量。

用户设备在后续的小区选择与小区重选等过程中，不会选择标识位于该黑名单小区列表中的小区，从而防止用户设备重新回到伪网络设备提供的小区。

可选的，用户设备可能会移动，因此黑名单小区列表中的小区的标识可能在用户设备移动后对于终端设备的意义就不大了，因为用户设备移动之后可能本身就不会再选择这些小区进行接入，因此，为了节省用户设备的存储空间，用户设备还可以定时或周期性地(比如12-24小时)删除黑名单小区列表中的小区的标识。

例2：

请参见图7。

其中，例2中的步骤1、3、4、及6-9的内容均可参考例1对应步骤的描述，为避免重复，下面仅介绍与例1中不同的步骤。

2、在发送初始NAS请求消息后，用户设备重置当前的伪网络概率值，比如可以重置为0。

可选的，该步骤也可以发生在步骤1之前，即在当前的服务小区第一次执行步骤1之前，用户设备将该伪网络概率值重置为0。

典型的，伪网络概率值可以适用于一个服务小区，若用户设备在一个新的服务小区发起新的初始NAS请求消息，则用户设备也可以先重置伪网络概率值。

5、用户设备收到未完整性保护的NAS拒绝消息后，更新当前的伪网络概率值。若更新后的伪网络概率值小于预设的第三概率值(比如预先设定第三概率值为0.9)，则用户设备可以停止正在运行的NAS定时器，并立即重新发起相同的初始NAS请求消息。需要说明的是，这里用户设备不会执行接收的NAS拒绝消息携带的拒绝原因值所指示的行为。该伪网络概率值表明了当前服务网络设备是伪网络设备的可能性，该概率值越大，当前服务网络设备为伪网络设备的可能性就越大，反之亦然。

在例2中，用户设备可以存储伪网络概率值，首先伪网络概率值可重置为0。用户设备在第一次接收NAS拒绝消息后，如果NAS拒绝消息未经过完整性保护，则用户设备就可以更新存储的伪网络概率值，例如，可以在用户设备中预先设定数值范围(例如称为预定数值范围)以选择伪网络概率值，比如初始的预定数值范围(即在伪网络概率值重置为0的前提下对应的预定数值范围)可以是[M2，M1]，M2和M1均为正数，数值可随意选择，或可以根据经验设定，比如预定数值范围为[0，1]、[0，100]、[50，500]或[2.5，102.5]，等等。为了解释更为清楚，以具体数值为例，比如M2＝0，M1＝1。那么用户设备在第一次接收未经过完整性保护的NAS拒绝消息后，可以从[0，1]中随机地、且均匀地选择一个数值，作为本次接收的NAS拒绝消息的伪网络概率值，比如用户设备选择了0.5。之后，可执行步骤5、6-8，那么用户设备可能再次接收NAS拒绝消息，如果再次接收的NAS拒绝消息依然未经过完整性保护，则用户设备可以继续更新伪网络概率值，在本次更新伪网络概率值时，预定数值范围的下限不再是0，而是当前存储的伪网络概率值，即为0.5，预定数值范围的上限不变，还是1，即此时的数值范围变成了[0.5，1]，用户设备要从[0.5，1]中随机地、且均匀地选择一个数值，作为再次接收的NAS拒绝消息的伪网络概率值，比如用户设备选择了0.7，那么又可以继续执行步骤5、6-8，等等。以此类推，每次接收NAS拒绝消息后，如果NAS拒绝消息未经过完整性保护，则用户设备都可以选择一个对应的伪网络概率值，用于选择伪网络概率值的预定数值范围的上限始终不变，而下限都是上次更新后的伪网络概率值，即上次选择的伪网络概率值。用户设备中还可以预先设定概率值(例如称为第三概率值)，比如第三概率值为0.9，如果用户设备在某一次(比如第N次)接收NAS拒绝消息后，为该NAS拒绝消息所选择的伪网络概率值大于或等于0.9，则用户设备就可以确定当前的服务网络设备为伪网络设备。

可选的，设定的第三概率值可以较为靠近预定数值范围的上限，因为每次都会更新用于选择伪网络概率值的预定数值范围的下限，因此，如果用户设备选择的伪网络概率值大于或等于第三概率值，就可以认为用户设备尝试了足够多次，这么多次接收的NAS拒绝消息都未经过完整性保护，基本可以确定这些NAS拒绝消息是伪网络设备所伪造的，从而就识别出了伪网络设备。

10、若更新后的伪网络概率值等于或大于第三概率值，则用户设备认为当前的服务网络设备为伪网络设备，即确定当前的服务小区为伪网络设备提供的小区。

可选的，用户设备如果确定当前的服务网络设备为伪网络设备，则用户设备的后续处理过程可参考例1中介绍的在确定当前的服务网络设备为伪网络设备之后的内容。

例3：

请参见图8。

其中，例3中的步骤1-9的内容均可参考例1对应步骤的描述，为避免重复，下面仅介绍与例1中不同的步骤。另外，图8也只示出了以下所提到的步骤，至于步骤1-9可参考图6对应步骤的描述。

10、若伪网络计数器的值达到预先配置的值N，则用户设备可以认为当前的服务网络设备为伪网络设备，即确定当前的服务小区为伪网络设备提供的小区。用户设备保存当前的服务小区的标识，并可以尝试在当前的位置区域或新的位置区域重新选择其它的合适小区进行接入。用户设备不执行NAS拒绝消息携带的拒绝原因值所指示的行为。

11、用户设备在所选择的新的小区发起无线资源控制(Radio Resource Control，RRC)连接建立请求到为新的小区提供服务的接入网设备(比如为服务基站)，以便在新的小区重新发起初始NAS请求。即图8中的接入网设备是为用户设备重新选择的小区提供服务的接入网设备。

另外，根据步骤2的描述，在执行步骤11之前，用户设备可以重置伪网络计数器，则用户设备会执行与例1相同的处理，即使新的小区也是伪网络设备提供的小区，用户设备也可以通过与例1类似的方法进行检测。可选的，一般来说一个伪网络设备的覆盖区域就一个小区，因此这里用户设备选择的新的小区认为是真实网络设备所提供的小区，即用户设备在新的小区发送的RRC连接请求是发送给真实的服务基站的。

12、用户设备在RRC连接请求消息里携带当前步骤10中识别出的伪网络设备提供的小区的标识，并指示具有该标识的小区为伪网络提供的小区。

13、当前的服务基站可以通过以下两种可选方式(分别为13a和13b)将用户设备上报的伪网络设备提供的小区的标识加入黑名单小区列表，且将添加了伪网络提供的小区的标识的黑名单小区列表通知给用户设备:

13a：广播方式。比如，服务基站通过系统消息(可选的，比如可以是系统消息类型4(System Information Block Type 4，SIB4)或系统消息类型5(System InformationBlock Type5，SIB5)等)将包含伪网络设备提供的小区的标识的黑名单小区列表广播给当前服务区域内的所有用户设备；

13b：单播方式。比如，服务基站通过发起专有空口信令(可选的，比如可以是RRC连接重配置(RRC Connection Reconfiguration)消息)将包含伪网络设备提供的小区的标识的黑名单小区列表发送给该用户设备。

14、用户设备保存接收到的黑名单小区列表，该黑名单小区列表包含了用户设备之前保存的伪网络设备提供的小区的标识，从而避免在后续的小区选择或小区重选等过程中用户设备重新回到伪网络设备提供的小区，造成再次的DoS攻击。可选的，为了节省用户设备的存储空间，用户设备可以定时或周期性地删除黑名单小区列表中的小区的标识。

例4：

请参见图9。

其中，例4中的步骤1-9的内容可参考例2对应步骤的描述，步骤11-14可参考例3对应步骤的描述，为避免重复，下面仅介绍与例4中有变化的步骤。另外，图9示出了步骤10-步骤14，至于步骤1-9可参考图7对应步骤的描述。

10、若更新后的伪网络概率值等于或大于第三概率值，则用户设备认为当前的服务网络设备为伪网络设备，即确定当前的服务小区为伪网络设备提供的小区。用户设备保存当前的服务小区的标识，并可以尝试在当前位置区域或新的位置区域重新选择其它的合适小区进行接入。用户设备不执行NAS拒绝消息携带的拒绝原因值所指示的行为。

以上都是针对如前提到的场景1和子场景2介绍的例子，下面介绍针对如前提到的子场景1的例子。

例5：

请参见图10。

与前面的例1-例4不同的是，例5适用于伪网络设备通过发送鉴权拒绝消息或鉴权与加密拒绝消息来发起DoS攻击(鉴权拒绝消息或鉴权与加密拒绝消息中可以不携带拒绝原因值)，而不是通过发送对应初始NAS请求消息的NAS拒绝消息并携带拒绝原因值来发起DoS攻击，但是前面例1-例4的技术方案均可以适用于例5。

其中，例5中的步骤1、2可分别参考例1中的步骤1、2，例5中的步骤9可参考例1中的步骤10。下面介绍例5中不同的步骤。

3、在收到用户设备发送的初始NAS请求消息后，移动管理网元决定发起鉴权流程(即发送鉴权请求(Authentication Request)消息或发送鉴权与加密请求(Authentication and Ciphering Request)消息)来对用户设备重新进行鉴权，并生成新的NAS安全上下文。其中，图10以发送鉴权请求消息为例。

可选的，该步骤是移动管理网元在不能获取之前与用户设备协商的NAS安全上下文，或者移动管理网元没有保存之前与用户设备协商的NAS安全上下文，或者移动管理网元对初始NAS请求消息进行完整性验证失败后发起的。

4、若收到的是移动管理网元发起的鉴权请求消息，用户设备发送鉴权响应消息(Authentication Response)给移动管理网元(图10以此为例)，若收到的是移动管理网元发起的鉴权与加密请求消息，用户设备发送鉴权与加密响应消息(Authentication andCiphering Response)给移动管理网元。由于安全交互没有激活，鉴权请求消息与鉴权响应消息均未加密，也未进行完整性保护，或鉴权与加密请求消息及鉴权与加密响应消息均未加密，也未进行完整性保护。

5、伪网络设备截获未加密的鉴权响应消息(或鉴权与加密响应消息)，从而获知鉴权响应消息(或鉴权与加密响应消息)的类型，并伪造对应的鉴权拒绝消息(或鉴权与加密拒绝消息)。

6、伪网络设备将伪造的鉴权拒绝消息(或鉴权与加密拒绝消息)发送给用户设备，该鉴权拒绝消息(或鉴权与加密拒绝消息)未加密，也未进行完整性保护，且未携带任何拒绝原因值。

7、用户设备收到未完整性保护的鉴权拒绝消息(或鉴权与加密拒绝消息)后，将伪网络计数器加1，停止正在运行的NAS定时器，并立即重新发起相同的初始NAS请求消息，即重新向移动管理网元发送初始NAS请求消息。需要说明的是，用户设备不会执行鉴权拒绝消息(或鉴权与加密拒绝消息)所指示的行为。

8、循环执行步骤1、3-6，直到满足步骤9的条件。

或者，例5中的步骤7也可以是：用户设备收到未完整性保护的鉴权拒绝消息(或鉴权与加密拒绝消息)后，更新当前的伪网络概率值。若更新后的伪网络概率值小于预设概率值(比如预设概率值为0.9)，则用户设备可以停止正在运行的NAS定时器，并立即重新发起相同的初始NAS请求消息。需要说明的是，这里用户设备不会执行接收的鉴权拒绝消息(或鉴权与加密拒绝消息)所指示的行为。那么在这种情况下，例5中的步骤9也可以参考例2中的步骤10。

可选的，在例5的步骤9之后，还可以执行例3或者例4中的步骤11-步骤14，此处不再重复描述。

可选的，例1-例4中的初始NAS请求消息可以是图4中的NAS消息的一种，例1-例4中的针对NAS请求消息的NAS拒绝消息可以是图4中的NAS拒绝消息的一种，例5中的鉴权响应消息或鉴权与加密响应消息可以是图4中的NAS消息的一种，例5中的鉴权拒绝消息或鉴权与加密拒绝消息可以是图4中的NAS拒绝消息的一种，只是这些消息适用于不同的NAS流程。

下面结合附图介绍本发明实施例中的设备。

请参见图11，基于同一发明构思，本发明实施例提供一种用户设备，该用户设备可以包括处理器1101、发送器1102和接收器1103。

其中，处理器1101可以包括中央处理器(CPU)或特定应用集成电路(ApplicationSpecific Integrated Circuit，ASIC)，可以包括一个或多个用于控制程序执行的集成电路，可以包括使用现场可编程门阵列(Field Programmable Gate Array，FPGA)开发的硬件电路，可以包括基带芯片。

发送器1102和接收器1103可以属于射频系统，用于与外部设备进行网络通信，比如可以通过以太网、无线接入网、无线局域网等网络与外部设备进行通信。发送器1102和接收器1103可以是同一实体模块，例如可以是能够实现收发功能的实体模块，比如可以称为收发器，或者发送器1102和接收器1103也可以是单独的实体模块。

这些发送器1102和接收器1103可以通过总线与处理器1101相连接(图11以此为例)，或者也可以通过专门的连接线分别与处理器1101连接。

通过对处理器1101进行设计编程，将前述所示的方法所对应的代码固化到芯片内，从而使芯片在运行时能够执行前述图4-图10所示的方法。如何对处理器1101进行设计编程为本领域技术人员所公知的技术，这里不再赘述。

该用户设备可以用于执行上述图4-图10所述的方法，例如可以是如前所述的用户设备。因此，对于该用户设备中的各单元所实现的功能等，可参考如前方法部分的描述，不多赘述。

请参见图12，基于同一发明构思，本发明实施例提供一种接入网设备，该接入网设备可以包括处理器1201、发送器1202和接收器1203。

其中，处理器1201可以包括CPU或ASIC，可以包括一个或多个用于控制程序执行的集成电路，可以包括使用FPGA开发的硬件电路，可以包括基带芯片。

发送器1202和接收器1203可以属于射频系统，用于与外部设备进行网络通信，比如可以通过以太网、无线接入网、无线局域网等网络与外部设备进行通信。发送器1202和接收器1203可以是同一实体模块，例如可以是能够实现收发功能的实体模块，比如可以称为收发器，或者发送器1202和接收器1203也可以是单独的实体模块。

这些发送器1202和接收器1203可以通过总线与处理器1201相连接(图12以此为例)，或者也可以通过专门的连接线分别与处理器1201连接。

通过对处理器1201进行设计编程，将前述所示的方法所对应的代码固化到芯片内，从而使芯片在运行时能够执行前述图4-图10所示的方法。如何对处理器1201进行设计编程为本领域技术人员所公知的技术，这里不再赘述。

该接入网设备可以用于执行上述图5、图8-图9所述的方法，例如可以是如前所述的接入网设备。因此，对于该接入网设备中的各单元所实现的功能等，可参考如前方法部分的描述，不多赘述。

请参见图13，基于同一发明构思，本发明实施例提供另一种用户设备，该用户设备可以包括发送模块1301、处理模块1302和接收模块1303。

在实际应用中，发送模块1301对应的实体设备可以是图11中的发送器1102，处理模块1302对应的实体设备可以是图11中的处理器1101，接收模块1303对应的实体设备可以是图11中的接收器1103。

该用户设备可以用于执行上述图4-图10所述的方法，例如可以是如前所述的用户设备。因此，对于该用户设备中的各单元所实现的功能等，可参考如前方法部分的描述，不多赘述。

请参见图14，基于同一发明构思，本发明实施例提供另一种接入网设备，该接入网设备可以包括发送模块1401、处理模块1402和接收模块1403。

在实际应用中，发送模块1401对应的实体设备可以是图12中的发送器1202，处理模块1402对应的实体设备可以是图12中的处理器1201，接收模块1403对应的实体设备可以是图12中的接收器1203。

该接入网设备可以用于执行上述图5、图8-图9所述的方法，例如可以是如前所述的接入网设备。因此，对于该接入网设备中的各单元所实现的功能等，可参考如前方法部分的描述，不多赘述。

本发明实施例中，用户设备在向服务网络设备发送NAS消息后，如果接收的NAS拒绝消息没有经过完整性保护，则用户设备可以确定服务网络设备为伪网络设备，则用户设备可以不执行NAS拒绝消息所指示的行为，即用户设备可以不响应NAS拒绝消息，这样，如果拒绝消息是伪网络设备伪造的，用户设备拒绝响应，可以避免用户设备受到DoS攻击，避免影响用户设备的正常使用。且用户设备可以选择其他服务小区重新发起NAS消息，以重新接入其他服务小区，获得正常的网络服务。

在本发明中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例。

在本发明实施例中的各功能单元可以集成在一个处理单元中，或者各个单元也可以均是独立的物理模块。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：通用串行总线闪存盘(Universal Serial Bus flash drive)、移动硬盘、只读存储器(Read Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以对本发明的技术方案进行了详细介绍，但以上实施例的说明只是用于帮助理解本发明实施例的方法，不应理解为对本发明实施例的限制。本技术领域的技术人员可轻易想到的变化或替换，都应涵盖在本发明实施例的保护范围之内。

Claims (20)

1.一种非接入层NAS消息处理方法，其特征在于，包括：

用户设备向所述用户设备的服务网络设备发送NAS消息；所述服务网络设备包括为所述用户设备提供服务的接入网设备，或为所述用户设备提供服务的移动管理网元；

所述用户设备接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息，所述NAS拒绝消息未进行完整性保护；

所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，所述用户设备选择除当前的服务小区之外的其它小区重新发起所述NAS消息，且所述用户设备将所述服务网络设备提供服务的小区的标识加入黑名单小区列表。

2.如权利要求1所述的方法，其特征在于，所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，包括：

若所述用户设备接收所述服务网络设备发送的所述NAS拒绝消息的次数大于或等于预定次数，则所述用户设备确定所述服务网络设备为伪网络设备。

3.如权利要求1所述的方法，其特征在于，

在所述用户设备接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息之后，还包括：

所述用户设备为所述NAS拒绝消息选择第一概率值，所述第一概率值是所述用户设备接收到所述服务网络设备发送的所述NAS拒绝消息时在预定数值范围内随机选择的；其中，所述预定数值范围的上限为预先设定的数值M1，若所述NAS拒绝消息为所述用户设备第N次接收到所述服务网络设备发送的所述NAS拒绝消息，则所述预定数值范围的下限为所述用户设备第N-1次接收到所述服务网络设备发送的所述NAS拒绝消息时选择的第二概率值，若所述NAS拒绝消息为所述用户设备第一次接收到所述服务网络设备发送的所述NAS拒绝消息，则所述预定数值范围的下限为预先设定的数值M2；M2小于M1，N为大于1的整数；

所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，包括：

若所述第一概率值大于或等于预设的第三概率值，所述用户设备确定所述服务网络设备为伪网络设备。

4.如权利要求2或3所述的方法，其特征在于，

用户设备向所述用户设备的服务网络设备发送NAS消息，包括：

所述用户设备向所述服务网络设备发送N次所述NAS消息；N为大于1的整数；

所述用户设备接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息，包括：

所述用户设备N次接收所述服务网络设备发送的所述NAS拒绝消息；

在所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备之前，还包括：

若所述用户设备第i次接收所述NAS拒绝消息，所述用户设备向所述服务网络设备重新发送所述NAS消息；其中，i为小于N的正整数；

所述用户设备根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，包括：

若所述用户设备第N次接收所述NAS拒绝消息，所述用户设备确定所述服务网络设备为伪网络设备。

5.如权利要求1-3任一所述的方法，其特征在于，所述用户设备选择除当前的服务小区之外的其它小区重新发起所述NAS消息，包括：

所述用户设备在当前位置区域选择除所述当前的服务小区之外的其它小区重新发起所述NAS消息；或者

所述用户设备在新的位置区域选择除所述当前的服务小区之外的其它小区重新发起所述NAS消息。

6.如权利要求5所述的方法，其特征在于，所述用户设备选择其它小区重新发起所述NAS消息，还包括：

所述用户设备将所述服务网络设备提供服务的小区的标识发送给为所述其它小区服务的接入网设备；

所述用户设备接收所述接入网设备发送的黑名单小区列表；其中，所述黑名单小区列表中包括所述服务网络设备提供服务的小区的标识。

7.如权利要求1-3任一所述的方法，其特征在于，

所述NAS消息包括附着请求消息，所述NAS拒绝消息包括附着拒绝消息；或者

所述NAS消息包括位置更新请求消息，所述NAS拒绝消息包括位置更新拒绝消息；或者

所述NAS消息包括业务请求消息，所述NAS拒绝消息包括业务拒绝消息；或者

所述NAS消息包括鉴权响应消息，所述NAS拒绝消息包括鉴权拒绝消息；或者

所述NAS消息包括鉴权与加密响应消息，所述NAS拒绝消息包括鉴权与加密拒绝消息。

8.一种小区列表更新方法，其特征在于，包括：

接入网设备接收用户设备发送的服务小区的标识；其中，所述服务小区为所述用户设备确定为伪网络设备的原服务网络设备所提供服务的小区；

所述接入网设备接收所述用户设备发送的NAS消息；所述NAS消息是所述用户设备在确定所述原服务网络设备为伪网络设备后重新向所述接入网设备发起的，所述用户设备是在向所述原服务网络设备发送所述NAS消息后，根据来自所述原服务网络设备的NAS拒绝消息未进行完整性保护，确定所述原服务网络设备为伪网络设备，且所述接入网设备是所述用户设备在确定所述原服务网络设备为伪网络设备后所选择的、除所述服务小区外的其他小区所对应的接入网设备；

所述接入网设备将所述服务小区的标识加入到黑名单小区列表中，并将添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

9.如权利要求8所述的方法，其特征在于，将添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备，包括：

所述接入网设备通过系统信息广播所述添加了所述服务小区的标识的黑名单小区列表；或者

所述接入网设备通过专用空口信令将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

10.如权利要求9所述的方法，其特征在于，所述接入网设备通过专用空口信令将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备，包括：

所述接入网设备通过无线资源控制连接重配置消息将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

11.一种用户设备，其特征在于，包括：

发送器，用于向所述用户设备的服务网络设备发送NAS消息；所述服务网络设备包括为所述用户设备提供服务的接入网设备，或所述服务网络设备包括为所述用户设备提供服务的移动管理网元；

接收器，用于接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息，所述NAS拒绝消息未进行完整性保护；

处理器，用于根据所述NAS拒绝消息确定所述服务网络设备为伪网络设备，选择除当前的服务小区之外的其它小区重新发起所述NAS消息，且将所述服务网络设备提供服务的小区的标识加入黑名单小区列表。

12.如权利要求11所述的用户设备，其特征在于，所述处理器用于：

若所述用户设备接收所述服务网络设备发送的所述NAS拒绝消息的次数大于或等于预定次数，则确定所述服务网络设备为伪网络设备。

13.如权利要求11所述的用户设备，其特征在于，所述处理器用于：

在所述接收器接收所述服务网络设备发送的所述NAS消息对应的NAS拒绝消息之后，为所述NAS拒绝消息选择第一概率值，所述第一概率值是所述用户设备接收到所述服务网络设备发送的所述NAS拒绝消息时在预定数值范围内随机选择的；其中，所述预定数值范围的上限为预先设定的数值M1，若所述NAS拒绝消息为所述用户设备第N次接收到所述服务网络设备发送的所述NAS拒绝消息，则所述预定数值范围的下限为所述用户设备第N-1次接收到所述服务网络设备发送的所述NAS拒绝消息时选择的第二概率值，若所述NAS拒绝消息为所述用户设备第一次接收到所述服务网络设备发送的所述NAS拒绝消息，则所述预定数值范围的下限为预先设定的数值M2；M2小于M1，N为大于1的整数；

若所述第一概率值大于或等于预设的第三概率值，确定所述服务网络设备为伪网络设备。

14.如权利要求12或13所述的用户设备，其特征在于，

所述发送器用于：向所述服务网络设备发送N次所述NAS消息；N为大于1的整数；

所述接收器用于：N次接收所述服务网络设备发送的所述NAS拒绝消息；

所述处理器还用于：若所述接收器第i次接收所述NAS拒绝消息，通过所述发送器向所述服务网络设备重新发送所述NAS消息；其中，i为小于N的正整数；

所述处理器用于：若所述接收器第N次接收所述NAS拒绝消息，确定所述服务网络设备为伪网络设备。

15.如权利要求11-13任一所述的用户设备，其特征在于，所述处理器还用于：

在当前位置区域选择除所述当前的服务小区之外的其它小区重新发起所述NAS消息；或者

在新的位置区域选择除所述当前的服务小区之外的其它小区重新发起所述NAS消息。

16.如权利要求15所述的用户设备，其特征在于，所述处理器还用于：

通过所述发送器将所述服务网络设备提供服务的小区的标识发送给为所述其它小区服务的接入网设备；

通过所述接收器接收所述接入网设备发送的黑名单小区列表；其中，所述黑名单小区列表中包括所述服务网络设备提供服务的小区的标识。

17.如权利要求11-13任一所述的用户设备，其特征在于，

所述NAS消息包括附着请求消息，所述NAS拒绝消息包括附着拒绝消息；或者

所述NAS消息包括位置更新请求消息，所述NAS拒绝消息包括位置更新拒绝消息；或者

所述NAS消息包括业务请求消息，所述NAS拒绝消息包括业务拒绝消息；或者

所述NAS消息包括鉴权响应消息，所述NAS拒绝消息包括鉴权拒绝消息；或者

所述NAS消息包括鉴权与加密响应消息，所述NAS拒绝消息包括鉴权与加密拒绝消息。

18.一种接入网设备，其特征在于，包括：

接收器，用于接收用户设备发送的服务小区的标识；其中，所述服务小区为所述用户设备确定为伪网络设备的原服务网络设备所提供服务的小区；

所述接收器，还用于接收所述用户设备发送的NAS消息；所述NAS消息是所述用户设备在确定所述原服务网络设备为伪网络设备后重新向所述接入网设备发起的，所述用户设备是在向所述原服务网络设备发送所述NAS消息后，根据来自所述原服务网络设备的NAS拒绝消息未进行完整性保护，确定所述原服务网络设备为伪网络设备，且所述接入网设备是所述用户设备在确定所述原服务网络设备为伪网络设备后所选择的、除所述服务小区外的其他小区所对应的接入网设备；

处理器，用于将所述服务小区的标识加入到黑名单小区列表，并通过发送器将添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

19.如权利要求18所述的接入网设备，其特征在于，所述处理器用于：

通过所述发送器、以系统信息广播所述添加了所述服务小区的标识的黑名单小区列表；或者

通过所述发送器、以专用空口信令将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

20.如权利要求19所述的接入网设备，其特征在于，所述处理器用于：

通过所述发送器、以无线资源控制连接重配置消息将所述添加了所述服务小区的标识的黑名单小区列表发送给所述用户设备。

Images