CN108810884A - 密钥配置方法、装置以及系统 - Google Patents

密钥配置方法、装置以及系统 Download PDF

Info

Publication number
CN108810884A
CN108810884A CN201710314224.3A CN201710314224A CN108810884A CN 108810884 A CN108810884 A CN 108810884A CN 201710314224 A CN201710314224 A CN 201710314224A CN 108810884 A CN108810884 A CN 108810884A
Authority
CN
China
Prior art keywords
user plane
algorithm
equipment
user
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201710314224.3A
Other languages
English (en)
Other versions
CN108810884B (zh
Inventor
张博
吴�荣
甘露
李岩
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN201710314224.3A priority Critical patent/CN108810884B/zh
Priority to CN201910640768.8A priority patent/CN110493774B/zh
Priority to PCT/CN2017/091511 priority patent/WO2018205394A1/zh
Priority to CN201780090099.0A priority patent/CN110574406B/zh
Priority to BR112019023236A priority patent/BR112019023236A2/pt
Priority to EP17909068.3A priority patent/EP3611949A4/en
Priority to PCT/CN2017/095301 priority patent/WO2018205427A1/zh
Publication of CN108810884A publication Critical patent/CN108810884A/zh
Priority to US16/674,697 priority patent/US20200084631A1/en
Application granted granted Critical
Publication of CN108810884B publication Critical patent/CN108810884B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/37—Managing security policies for mobile devices or for controlling mobile applications

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Bioethics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种密钥配置方法、装置与系统，该方法包括：策略功能网元接收用户设备与网络设备之间通信的请求；基于所述请求，以及UE注册信息、签约业务数据、业务安全需求确定用户面保护机制；当网络设备为CN设备时，策略功能网元向算法网元发送用户面保护机制；算法网元基于用户面保护机制确定安全保护算法，基于安全保护算法生成第一用户面保护密钥，将第一用户面保护密钥发送至CN设备，将安全保护算法发送至用户设备，用户设备基于安全保护算法生成第二用户面保护密钥。实施本发明实施例能够实现在5G通信中用户设备与网络设备分别完成用户面保护密钥的配置，提高用户面数据传输的安全性，实现网络安全保护。

Description

密钥配置方法、装置以及系统
技术领域
本发明涉及通信领域，尤其涉及密钥配置方法、装置以及系统。
背景技术
在现有的网络安全架构中，数据的安全性保护采用的是hop-by-hop方式，即分段进行安全性保护。以数据从终端设备—基站—服务网关—PDN网关的传输链路为例，终端设备-基站之间执行一次安全性保护，基站—服务网关之间执行一次安全性保护，服务网关—PDN网关之间执行一次安全性保护在数据传输的过程中，如果中间节点出现了问题，则可能会导致数据的泄露。
此外，在现有的网络安全架构中，终端设备和基站之间采用PDCD空口保护机制。PDCD空口保护机制仅支持一套用户数据保护机制，也就是说，即使终端设备与基站之间传输多种类型的业务数据，这些多种类型的业务数据也只能采用同一种加密算法和完整性保护算法进行安全保护。可以看到，现有技术不支持差异化的安全保护，在基站侧所有的业务数据均需进行统一的安全保护。
另外，在未来的5G规划中，要求5G网络中的网元支持基于业务的安全策略协商，而目前LTE中的安全算法协商仅用于用户面或者控制面的安全算法协商。不支持基于业务的安全策略协商，所以，现有的LTE的协商机制不能够直接应用于未来5G通信中。
发明内容
本发明实施例公开了一种密钥配置方法、装置以及系统，能够实现在5G通信中用户设备与网络设备分别完成用户面保护密钥的配置，提高用户面数据传输的安全性，实现网络安全保护。
第一方面，本发明实施例提供了一种密钥配置方法，应用于通信系统的策略功能网元侧，该方法包括：
策略功能网元接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，和/或，是否需要完整性保护。
当所述网络设备为接入网AN设备时，所述策略功能网元向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，所述策略功能网元向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
其中，当所述第一用户面保护密钥用于对用户面数据进行安全性保护时，所述第二用户面保护密钥用于对用户面数据进行还原；当所述第二用户面保护密钥用于对用户面数据进行安全性保护时，所述第一用户面保护密钥用于对用户面数据进行还原；其中，所述安全性保护为所述用户面保护机制所指示是否加密，和/或，是否完整性保护。
结合第一方面，在可能的实施方式中，所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制；
结合第一方面，在可能的实施方式中，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
其中，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、CN设备中的一个。
其中，所述CN设备为用户面节点UPF；所述算法网元包括所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的至少一个。
结合第一方面，在可能的实施方式中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、所述用户设备安全能力、所述AN设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
结合第一方面，在可能的实施方式中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、所述用户设备安全能力、所述CN设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
结合第一方面，在可能的实施方式中，当所述网络设备为接AN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述AN设备从所述AMF获得所述K_AN；
当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_算法网元，UP算法ID)，其中，所述K_算法网元为认证成功后，所述AMF或所述AUSF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述算法网元从所述AMF或所述AUSF获得所述K_算法网元；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
结合第一方面，在可能的实施方式中，所述用户面数据通过服务质量流Qos flow传输通道承载；
在确定用户面保护机制之前，包括：确定所述Qos flow传输通道对应的服务质量流标识QoS flow ID；
确定用户面保护机制，包括：确定所述QoS flow ID对应的用户面保护机制；其中，所述QoS flow ID与所述用户面保护机制具有映射关系。
结合第一方面，在可能的实施方式中，确定所述Qos flow传输通道对应的QoSflow ID，包括：
基于安全需求，和/或，Qos需求，选择预设的Qos flow传输通道对应的QoS flowID；
或者，基于安全需求，和/或Qos需求，新建Qos flow传输通道，并生成与该Qosflow传输通道对应的QoS flow ID。
其中，所述安全需求为所述指示信息、所述UE注册信息、所述签约业务数据、所述AF反馈的业务安全需求中的至少一个所指示的安全需求；所述Qos需求为对通信网络中服务质量参数的需求。
结合第一方面，在可能的实施方式中，所述用户面数据通过数据无线承载DRB传输通道承载；
在确定用户面保护机制之前，包括：确定所述DRB传输通道对应的数据无线承载标识DRB ID；
确定用户面保护机制，包括：确定所述DRB ID对应的用户面保护机制；其中，所述DRB ID与所述用户面保护机制具有映射关系。
结合第一方面，在可能的实施方式中，确定所述DRB传输通道对应的DRB ID，包括：
基于所述安全需求，和/或，所述Qos需求，选择预设的DRB传输通道对应的DRB ID；
或者，基于所述安全需求，和/或，所述Qos需求，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID。
其中，所述安全需求为所述指示信息、所述UE注册信息、所述签约业务数据、所述AF反馈的业务安全需求中的至少一个所指示的安全需求；所述Qos需求为对通信网络中服务质量参数的需求。
结合第一方面，在可能的实施方式中，所述用户面数据通过会话session传输通道承载；
在确定用户面保护机制之前，包括：确定所述session传输通道对应的会话标识session ID；
确定用户面保护机制，包括：确定所述session ID对应的用户面保护机制；其中，所述session ID与所述用户面保护机制具有映射关系。
在可能的实施例中，确定用户面保护机制，还包括：
建立所述session ID和所述QoS flow ID至所述DRB ID的映射，将具有相同的用户面保护机制的QoS flow映射到同一个DRB。
结合第一方面，在可能的实施方式中，当所述网络设备为接AN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,session ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,DRB ID)；
当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,session ID)；或者，所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,DRB ID)；
结合第一方面，在可能的实施方式中，确定用户面保护机制之前，还包括：
基于所述会话请求，所述用户设备与数据网络DN进行二次认证，并将认证结果反馈至所述策略功能网元，以便于所述策略功能网元参考所述认证结果来确定用户面保护机制。
第二方面，本发明实施例提供了一种策略功能网元，用于实现第一方面所述的方法，策略功能网元包括：接收模块、策略模块和发送模块，其中：
所述接收模块用于接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述策略模块用于基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护。
所述发送模块用于，当所述网络设备为接入网AN设备时，向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
所述发送模块还用于，当所述网络设备为核心网CN设备时，向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
第三方面，本发明实施例提供了又一种策略功能网元，该策略功能网元包括处理器、存储器和发射器以及接收器，所述处理器、存储器和发射器以及接收器相连接(如通过总线相互连接)。该处理器用于读取所述存储器中存储的程序代码，执行以下步骤：
通过接收器接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
处理器基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护。
当所述网络设备为接入网AN设备时，利用发射器向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，利用发射器向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
结合第三方面，在可能的实施例中，所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
结合第三方面，在可能的实施例中，所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
结合第三方面，在可能的实施例中，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
结合第三方面，在可能的实施例中，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
结合第三方面，在可能的实施例中，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
结合第三方面，在可能的实施例中，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
结合第三方面，在可能的实施例中，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
其中，所述CN设备为用户面节点UPF；所述算法网元包括所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的至少一个。
结合第三方面，在可能的实施例中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、所述用户设备安全能力、所述AN设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
结合第三方面，在可能的实施例中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、所述用户设备安全能力、所述CN设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
结合第三方面，在可能的实施例中，当所述网络设备为接AN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述AN设备从所述AMF获得所述K_AN；
当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_算法网元，UP算法ID)，其中，所述K_算法网元为认证成功后，所述AMF或所述AUSF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述算法网元从所述AMF或所述AUSF获得所述K_算法网元；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
结合第三方面，在可能的实施例中，所述用户面数据通过服务质量流Qos flow传输通道承载；
若已存在Qos flow传输通道对应的服务质量流标识QoS flow ID，所述QoS flowID对应QoS flow满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该Qos flow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
若已存在Qos flow传输通道对应的QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，则选择该Qos flow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
其中，所述Qos需求为对通信网络中服务质量参数的需求。
结合第三方面，在可能的实施例中，所述用户面数据通过数据无线承载DRB传输通道承载；
若已存在DRB传输通道对应的数据无线承载标识DRB ID，所述DRB ID对应DRB满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
或者，若已存在DRB传输通道对应的DRB ID，所述DRB ID对应DRB满足用户面保护机制，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID。
其中，所述DRB ID与所述用户面保护机制具有映射关系。
可选的所述用户面数据通过会话session传输通道承载；
若已存在session传输通道对应的会话标识session ID，所述session ID对应session满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID。
或者，若已存在session传输通道对应的session ID，所述session ID对应session满足用户面保护机制，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID。
其中，所述session ID与所述用户面保护机制具有映射关系。
结合第三方面，在可能的实施例中，建立所述session ID和所述QoS flow ID至所述DRB ID的映射，将具有相同的用户面保护机制的QoS flow映射到同一个DRB。
结合第三方面，在可能的实施例中，当所述网络设备为AN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,session ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,DRB ID)。
结合第三方面，在可能的实施例中，当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,session ID)；或者，所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,DRB ID)。
第四方面，本发明实施例提供了一种通信系统，该通信系统包括：用户设备、策略功能网元、网络设备、统一数据管理网元UDM、应用功能网元AF、算法网元，所述策略功能网元与所述用户设备、所述网络设备连接，所述策略功能网元还与所述UDM、所述AF连接，所述算法网元与所述策略功能网元、网络设备连接，其中：
所述策略功能网元用于接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述策略功能网元还用于基于所述请求，以及所述UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、所述AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护。
当所述网络设备为接入网AN设备时，所述策略功能网元还用于向所述AN设备发送所述用户面保护机制；所述AN设备用于基于所述用户面保护机制确定安全保护算法；所述AN设备还用于基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备；所述用户设备用于基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，所述策略功能网元用于向算法网元发送所述用户面保护机制；所述算法网元还用于基于所述用户面保护机制确定安全保护算法；所述算法网元还用于基于所述安全保护算法生成第一用户面保护密钥；所述算法网元还用于将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备；所述用户设备用于基于所述安全保护算法生成第二用户面保护密钥。
第五方面，本发明实施例提供了一种密钥配置方法，包括：
用户设备发送请求，所述请求中包括所述用户设备的标识；
所述用户设备接收响应，所述响应中携带安全保护算法，所述安全保护算法由用户面保护机制确定，所述用户面保护机制由策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一种所确定；其中，所述用户面保护机制用于指示所述用户设备与网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
所述用户设备基于所述安全保护算法确定用户面保护密钥，所述用户面保护密钥用于对所述用户设备与所述网络设备之间传输的用户面数据进行安全性保护。
可选的，所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
可选的，所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
可选的，根据权利要求40至42任一项所述的方法，其特征在于，
所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
可选的，根据权利要求40至43任一项所述的方法，其特征在于，
所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
可选的，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
可选的，根据权利要求40至45任一项所述的方法，其特征在于，
所述用户设备基于所述安全保护算法确定用户面保护密钥，包括：
用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述AN设备从所述AMF获得所述K_AN；
当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
用户面保护密钥＝KDF(K_算法网元，UP算法ID)，其中，所述K_算法网元为认证成功后，所述用户设备根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
可选的，所述网络设备为接入网AN设备或者用户面节点UPF。
第六方面，本发明实施例提供了一种密钥配置方法，包括：
用户面节点接收响应，所述响应中携带安全保护算法，所述安全保护算法由用户面保护机制确定，所述用户面保护机制由策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一种所确定；其中，所述用户面保护机制用于指示用户设备与所述用户面节点之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
所述用户面节点基于所述安全保护算法确定用户面保护密钥，所述用户面保护密钥用于对用户设备与所述用户面节点之间传输的用户面数据进行安全性保护。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
可选的，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
第七方面，本发明实施例提供了一种密钥配置方法，包括：
接入网设备接收用户面保护机制，所述用户面保护机制由策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一种所确定；其中，所述用户面保护机制用于指示所述用户设备与网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
所述接入网设备基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；
所述接入网设备将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
可选的，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
可选的，所述接入网设备用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、接入网设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
可选的，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述接入网设备从所述AMF获得所述K_AN；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数
第八方面，本发明实施例提供了一种一种密钥配置方法，包括：
会话管理网元接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述会话管理网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
当所述网络设备为接入网AN设备时，所述会话管理网元向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，所述会话管理网元向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
可选的，所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
可选的，所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
可选的，所述会话管理网元确定所述用户面数据通过服务质量流Qos flow传输通道承载；
若已存在Qos flow传输通道对应的服务质量流标识QoS flow ID，所述QoS flowID对应QoS flow满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该Qos flow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
若已存在Qos flow传输通道对应的QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，则选择该Qos flow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
其中，所述Qos需求为对通信网络中服务质量参数的需求。
可选的，所述会话管理网元确定所述用户面数据通过数据无线承载DRB传输通道承载；
若已存在DRB传输通道对应的数据无线承载标识DRB ID，所述DRB ID对应DRB满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
或者，若已存在DRB传输通道对应的DRB ID，所述DRB ID对应DRB满足用户面保护机制，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID。
其中，所述DRB ID与所述用户面保护机制具有映射关系。
可选的，所述会话管理网元确定所述用户面数据通过会话session传输通道承载；
若已存在session传输通道对应的会话标识session ID，所述session ID对应session满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID。
或者，若已存在session传输通道对应的session ID，所述session ID对应session满足用户面保护机制，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID。
其中，所述session ID与所述用户面保护机制具有映射关系。
第九方面，本发明实施例提供了一种存储计算机指令的可读非易失性存储介质，包括计算机指令，所述计算机指令被执行以实现上述第一方面描述的方法。
第十方面，本发明实施例提供了一种存储计算机指令的可读非易失性存储介质，包括计算机指令，所述计算机指令被执行以实现上述第五方面描述的方法。
第十一方面，本发明实施例提供了一种存储计算机指令的可读非易失性存储介质，包括计算机指令，所述计算机指令被执行以实现上述第六方面描述的方法。
第十二方面，本发明实施例提供了一种存储计算机指令的可读非易失性存储介质，包括计算机指令，所述计算机指令被执行以实现上述第七方面描述的方法。
第十三方面，本发明实施例提供了一种存储计算机指令的可读非易失性存储介质，包括计算机指令，所述计算机指令被执行以实现上述第八方面描述的方法。
第十四方面，本发明实施例提供了一种计算机程序产品，当计算机程序产品运行于计算机时，被执行以实现上述第一方面、或第五方面、或第六方面、或第七方面、或第八方面描述的方法。
通过实施本发明实施例，可实现基于未来5G的通信架构，在用户设备与网络设备(接入网设备或者核心网设备)的通信中，需要传输用户面数据时，用户设备与网络设备完成策略协商，确定用户面保护机制后，用户设备与网络设备分别完成用户面保护密钥的配置，从而实现对用户面数据的安全保护。实施本发明实施例可实现基于Qos flow、DRB、session粒度的网络安全保护，避免hop-by-hop分段保护方式的弊端，提高用户面数据传输的安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。
图1是本发明实施例提供的一种移动通信网络架构示意图；
图2是本发明实施例提供的一种数据传输通道示意图；
图3-图15是本发明实施例提供的密钥配置方法的流程示意图；
图16是本发明实施例提供的一种策略功能网元结构示意图；
图17是本发明实施例提供的又一种策略功能网元结构示意图。
具体实施方式
下面将结合附图对本发明实施例中的技术方案进行清楚地描述。
为便于方案理解，首先结合相关附图来举例介绍本申请实施例的方案可能应用到的网络架构。图1为未来的移动通信的网络架构，该网络架构包括用户设备和运营商网络，运营商网络又包括核心网和数据网，用户设备通过接入网节点接入运营商网络。具体如下：
用户设备(User Equipment，UE)，UE为逻辑实体，具体的，UE可以是终端设备(Terminal Equipment)、通信设备(Communication Device)、物联网(Internet ofThings，IoT)设备中的任意一种。其中，终端设备可以是智能手机(smart phone)、智能手表(smart watch)，智能平板(smart tablet)等等。通信设备可以是服务器、网关(Gateway，GW)、控制器等等。物联网设备可以是传感器，电表以及水表等等。
接入网(access network，AN，)，AN负责用户设备的接入，AN可以是无线接入点，例如：基站、无线保真(Wireless Fidelity，Wi-Fi)接入点、以及蓝牙接入点等等，也可以是有线接入点，例如：网关，调制解调器，光纤接入，IP接入等等。
数据网络(Data network，DN)，数据网络可以为运营商外部网络，也可以为运营商控制的网络，用于向用户提供业务服务。
核心网(core network，CN)，CN作为承载网络提供到DN的接口，为UE提供通信连接、认证、管理、策略控制以及对数据业务完成承载等。其中，CN又包括：接入和移动管理网元、会话管理网元，认证服务器网元、策略控制节点、应用功能网元、用户面节点等，相关描述具体如下：
接入与移动管理网元(Access and Mobility Management Function，AMF)，用于管理UE的接入和移动性。
会话管理网元(Session Management Function，SMF)，用于进行会话管理，执行会话(session)、流(flow)或者承载(bearer)的建立和管理。.
认证服务器网元(Authentication Server Function，AUSF)，UE与运营商网络执行双向认证的节点。AUSF可以作为一个独立的逻辑功能实体单独部署，也可以集合在AMF/SMF等设备中。
统一数据管理网元(Unified Data Manager，UDM)，用于存储UE注册信息，也可能存储签约业务数据。
策略控制节点(Policy control Function，PCF)，所述PCF部署有策略控制的功能，所述策略控制的功能是指根据安全需求完成用户面保护机制的协商，确定网络中的用户面保护机制的功能。需要说明的是，PCF可以作为一个独立的逻辑功能实体，也可以集合在其他的网元中。也就是说，在具体的实现上，可以将策略控制的功能部署在PCF中，也可以部署在其他网元中，例如部署在移动性管理(Mobility Management，MM)网元、会话管理网元(Session Management，SM)、认证服务器节点(Authentication Server Function，AUSF)、策略和计费规则功能(Policy charging and rules function，PCRF)、移动性管理实体(Mobility Management Entity，MME)、归属签约用户服务器(Home SubscriberServer，HSS)、鉴权中心(AUthentication Center，AuC)、认证信任状存储和处理功能网元(Authentication Credential Repository and Processing Function，ARPF)、安全上下文管理网元(Security Context Management Function (SCMF)、接入与移动管理功能网元(Access and Mobility management Function，AMF)、会话管理网元(Session ManagementFunction，SMF)、接入网节点(Access network，AN)、用户面节点(User plane function，UPF)等网元中。本发明实施例中，部署策略控制的功能的网元(如PCF)可能会与DN的AAAserver(外部的AAA server)，APP server，或者service server交互获得DN侧的安全需求。
应用功能网元(Application Function，AF)：用于存储业务安全需求，为PCF提供策略判定的信息。
用户面节点(User Plane Function，UPF):UPF可以是网关、服务器、控制器、用户面功能网元等。UPF可以设置在运营网内部，也可以设置在运营网外部。
还需要说明的是，图1中体现的是各个网元之间的逻辑关系，在实际中，有些网元可以单独部署，也可以两两或多个网元集成部署在一个实体中。例如，AMF和SMF可部署在一个实体中；或者AMF和SMF也可分别部署在不同的实体中。
基于上述移动通信的网络架构，下面分析在通信过程中所涉及的数据传输通道。
从纵向角度来看，当用户设备需要与运营商网络进行通信时，至少包括两个方面的通信：(1)用户设备与接入网的通信，简称UE-AN通信，UE-AN通信属于直接的通信，UE通过空中接口与AN进行通信连接。为了实现UE-AN通信的安全，需要在UE与AN间建立用户面保护机制。(2)用户设备与核心网的通信，简称UE-CN通信。UE-CN通信属于间接的通信，UE通过接入网与CN进行通信连接，在这个过程中，接入网起着透传或转发的作用。为了实现UE-CN通信的安全，需要在UE与CN间建立用户面保护机制。
从横向角度来看，通信网络中的硬件基础设施可切分出多个虚拟的端到端网络，称为网络切片，每个网络切片从用户设备到接入网到核心网的过程在逻辑上隔离，以适配各种类型服务的不同需求。其中，1个网络切片可包括1个或多个会话。数据传输过程中，不同类型服务可能会采用不同的承载，在用户设备与接入网或核心网进行通信连接时，在同一个通信连接里可以同时存在多个承载，所述承载为UE-AN之间或UE-CN之间提供一条逻辑的传输通道，每一个承载关联到描述这个传输通道属性的服务质量(Quality of Service，QoS)参数集,例如比特率、时延、差错率等等。所述传输通道包括会话(如PDU session)，无线承载(如Data Radio Bearer)和流(如QoS flow)等。为方便表述，下文将采用PDUsession，Data Radio Bearer，和QoS flow为例进行描述。
参见图2，图2是本发明实施例提供的一种数据传输通道的简单示意图。如图2所示，UE可与AN进行通信连接，UE也可与处于核心网的UPF进行通信连接。所述通信连接中的网络切片具有多种传输通道，包括逻辑设置于UE与UPF之间的一个PDU session和一个或多个QoS flow，逻辑设置于UE与AN之间的一个或多个Radio Bearer，逻辑设置于AN与UPF之间的一个N3隧道，具体描述如下：
PDU session为UE与UPF之间粗粒度的数据传输通道，PDU session又包括无线承载(Radio Bearer)段和N3隧道段，在PDU session内还包括更细粒度的QoS flow。在图2中，PUD session包括N3隧道，多个Radio Bearer(Radio Bearer1，Radio Bearer2)，多个QoSflow(QoS flow1，QoS flow2，QoS flow3)。
Radio Bearer为UE与AN之间的承载通道，Radio Bearer支持信令无线承载和数据无线承载(Data radio bearer，DRB)，并且不同的Radio Bearer可包括不同的QoS flow，图2中，Radio Bearer1包括QoS flow1和QoS flow2，Radio Bearer2只包括QoS flow3。
N3隧道为AN与UPF之间的数据传输通道，可用于传输用户设备的QoS flow数据，图2中，N3隧道包括QoS flow1，QoS flow2和QoS flow3。
QoS flow为贯穿UE与UPF之间细粒度的数据传输通道，QoS flow具有统一的QoS需求，不同的QoS flow具有不同的Qos flow标识(QFI ID)。
为了解决现有技术的缺陷，基于图1所示的网络架构和图2所示的数据传输通道架构，本发明实施例提供一种密钥配置方法，该方法简要描述如下：
1、策略功能网元接收用户设备与网络设备之间通信的请求；
其中，所述策略功能网元为策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、CN设备中的一个。
其中，所述请求为附着请求；或者，所述请求为会话请求；或者，所述为策略请求；
其中，所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；所述请求还可以包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
2、所述策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；
其中，所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，和/或，是否需要完整性保护。所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
3、当所述网络设备为接入网AN设备时，所述策略功能网元向所述AN设备发送所述用户面保护机制；
所述AN设备基于所述用户面保护机制确定安全保护算法；
所述AN设备基于所述安全保护算法生成第一用户面保护密钥；
所述AN设备将所述安全保护算法发送至所述用户设备；
所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
4、当所述网络设备为核心网CN设备(比如为用户面节点UPF)时，所述策略功能网元向算法网元发送所述用户面保护机制；
其中，所述算法网元为所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的一个。
所述算法网元基于所述用户面保护机制确定安全保护算法；
所述算法网元基于所述安全保护算法生成第一用户面保护密钥；
所述算法网元将所述第一用户面保护密钥发送至所述CN设备；
所述算法网元将所述安全保护算法发送至所述用户设备；
所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
可以理解的，在完成上述策略协商以及密钥配置流程后，当用户面数据需要上行传输时，所述用户设备使用所述第二用户面保护密钥对所述用户面数据的安全性保护，而得到受保护用户面数据，然后向网络设备发送受保护用户面数据；所述网络设备可根据所述第一用户面保护密钥对所述受保护用户面数据进行还原，以获得所述用户面数据。
当用户面数据需要下行传输时，所述网络设备使用所述第一用户面保护密钥对所述用户面数据的安全性保护，而得到受保护用户面数据，然后向用户设备发送受保护用户面数据，所述用户设备根据所述第二用户面保护密钥对所述受保护用户面数据进行还原，以获得所述用户面数据。
下面，本发明实施例将根据图1的网络架构，分别基于UE-AN和UE-CN，从不区分粒度的角度和区分粒度的角度描述本发明实施例提供的密钥配置方法。
首先，基于UE-AN，从不区分粒度的角度描述本发明实施例提供的一种密钥配置方法，如图3所示，本发明实施例提供的密钥配置方法包括如下步骤：
1、在附着网络的过程中，UE发送附着请求(attach request)至AN，AN再发送所述附着请求至AMF。
本发明实施例中，其中，所述附着请求包括用户设备标识(UE ID)、用户设备安全能力、安全需求的指示信息(indicator)，所述安全需求的指示信息用于指示所述设备安全需求和/或业务安全需求；此外，所述附着请求还可以包括业务ID和UE业务ID。所述附着请求可能还包括数据网络标识(Data Network Name，DNN)，所述DNN代表UE希望接入的数据网络标识。其中：
具体的，用户设备标识(UE ID)用于表征发出附着请求的用户设备的身份。例如：UE ID可以是媒体访问控制(Media Access Control，MAC)地址、网络协议(InternetProtocol，IP)地址、手机号码、国际移动设备标识(International Mobile EquipmentIdentity，IMEI)、国际移动用户识别码(International Mobile Subscriber Identity，IMSI)、IP多媒体私有标识(IP Multimedia Private Identity，IMPI)、临时移动用户标识符(Temporary Mobile Subscriber Identity，TMSI)、IP多媒体公共标识(IP MultimediaPublic Identity，IMPU)、全球唯一临时UE标识(Globally Unique Temporary UEIdentity，GUTI)等等中的一项或多项。
具体的，用户设备安全能力用于表征用户设备可以支持的安全保护算法、可以支持的密钥长度、可以支持的密钥更新周期等。可以理解的是，不同用户设备的存储容量，运算速度各不相同，所以，不同用户设备支持的安全保护算法、支持的密钥长度以及支持的密钥更新周期各不相同。例如，物联网(Internet of Things，IoT)设备的存储容量不大，运算速度也不高，不能支持复杂度较高的安全保护算法；智能手机的存储容量大，运算速度也比较高，可以支持复杂度较高的安全保护算法。故此，用户设备需要将所述用户设备安全能力告知AMF，以便于AMF结合用户设备安全能力确定用户面保护机制。
其中，在本发明实施例中，安全保护算法包括加密算法和完整性保护算法，举例来说，安全保护算法可以是null、AES、Snow 3G、ZUC等等算法中的任意一种，其中null代表空算法。密钥长度可以是64位、96位、128位、192位、和256位等等长度中的任意一种。密钥更新时间可以是6小时、12小时、24小时和48小时等等时间中的任意一种。上述安全算法、密钥长度以及密钥更新时间只是作为一种举例说明，不应构成对本申请的限定。
具体的，设备安全需求用于指示所述用户设备侧的安全需求，也就是说，所述设备安全需求用于向AMF指示UE需要怎么样的用户面保护机制。在本发明实施例中，所述用户面保护机制用于指示用户面数据传输的保护方式，例如指示UE是否需要对用户面数据进行加密和/或完整性保护。用户面保护机制可以为“需要加密+不需要完整性保护”；或者为“需要加密+不需要完整性保护”；或者为“需要加密+需要完整性保护”。其中，所述加密是指用户面数据通过加密算法处理之后，成为不可阅读的密文，达到避免数据被非法窃取、阅读的目的。所述完整性保护是指用户面数据通过完整性保护算法处理之后，数据在传输过程中没有被非法添加、删除、替换等。另外，本发明可能的实施例中，所述用户面保护机制还可用于指示安全保护算法、UE可接受的密钥长度、UE可接受的密钥更新周期等。
举例来说，所述用户面保护机制还可用于指示安全保护算法，包括指示加密算法和指示完整性保护算法，指示加密算法具体为：规定采用包括但不限于null(空算法，表示不进行加密)、AES、Snow 3G或ZUC中的哪种加密算法对用户面数据进行加密保护；指示完整性保护算法具体为：规定采用包括但不限于null(空算法，指不进行完整性保护)、AES、Snow3G、ZUC、HMAC、CMAC中的哪种完整性保护算法对用户面数据进行完整性保护。可能一个安全需求中安全保护的算法包括多个加密算法和/或多个完整性保护算法；在此情况下，安全需求中，还包含算法的优先级排序，即指明优先使用哪一个算法。
又举例来说，所述用户面保护机制指示的UE可接受的密钥长度包括64、128、256，或者512比特等。又举例来说，所述用户面保护机制指示的UE可接受的密钥更新周期可以是6小时、12小时、24小时和48小时等等。
具体的，业务安全需求用于表征业务可接受的安全性算法、可接受的密钥长度和可接受的密钥更新周期中至少一项。可以理解的是，不同业务对于安全性算法、密钥长度以及密钥更新周期的要求是不相同的。例如，金融业务对于安全性算法的要求比较高，而视频下载业务对于安全性算法的要求比较低。故此，第一设备需要将业务安全需求告知AMF，以便于AMF结合业务安全需求生成用户面保护机制。
具体的，业务ID用于表征UE支持的业务，例如所述业务为微信，则所述业务ID为微信标识(微信ID)。
具体的，UE业务ID用于表征在UE支持的业务中，UE具体所需要传输的业务的标识，例如所述业务为微信，则所述UE业务ID为微信用户标识(微信用户ID)。
在通信架构中，UE在进行实际的业务传输之前，首先需要附着(attach)到签约网络，获得签约网络上的授权。在具体的应用场景中，UE可以在开机时触发附着过程，向AN发送附着请求；UE也可以在完全离开网络一段时间后，在需要连接到网络时，重新触发附着过程，向AN发送附着请求。AN接收到所述附着请求后，将附着请求转发至AMF。
2、AMF发送UE ID至AUSF。
在一具体的实施例中，AMF识别出附着请求中的UE ID，并将UE ID发送至AUSF；在另一具体实施例中，AMF将认证请求直接发送至AUSF，所述AUSF接收到认证请求后识别所述认证请求中的UE ID。
3、UE与AUSF双向认证。
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
4、AMF确定用户面保护机制。
在本发明实施例中，策略控制的功能部署在AMF中，AMF可以通过多种方式确定用户面保护机制：
方式一，AMF可根据indicator确定用户面保护机制。包括：(1)AMF基于indicator获得用户设备侧的安全需求(即用户设备安全需求)，那么，AMF可根据用户设备安全需求确定用户面保护机制。(2)AMF基于indicator获得业务的安全需求(即业务安全需求)，那么，AMF可根据业务安全需求确定用户面保护机制。
方式二，AMF可根据UE注册信息确定用户面保护机制。其中，UE注册信息是AMF从UDM获得的。具体的，AMF接收到UE的附着请求后，发送UE ID至UDM，进而从UDM获得的UE注册信息，或者，通过AUSF从UDM获得的UE注册信息。所述注册信息预置于于UDM中，所述UE注册信息包括预置的UE安全需求。所述UE安全需求用于表示UE是否需要加密，或者UE是否需要进行完整性保护，或者UE是否同时需要加密和完整性保护。
方式三，AMF可根据签约业务数据确定用户面保护机制。具体的，AMF发送业务ID至UDM，或者发送数据网络标识(DNN)至UDM；UDM基于业务ID或DNN确认其中预置的签约业务数据，并将相关的签约业务数据发送至AMF，其中，所述签约业务数据包括预置的业务安全需求，所述预置的业务安全需求用于指示业务需要什么样的用户面保护机制，例如指示业务是否需要加密，或者业务是否需要进行完整性保护，或者业务是否同时需要加密和完整性保护。
方式四，AMF可根据AF反馈的业务安全需求确定用户面保护机制。具体的，PCF向AF发送请求，AF基于请求向PCF反馈业务安全需求，其中，所述请求可包括UE ID，业务ID，业务UE ID，或DNN的至少一项，PCF将所述业务安全需求发送给AMF，进而，AMF获得业务安全需求。所述业务安全需求用于指示业务需要什么样的用户面保护机制，例如指示业务是否需要加密，或者是否需要进行完整性保护，或者是否同时需要加密和完整性保护。
在本发明具体实施例中，AMF可根据indicator(用户设备安全需求和/或业务安全需求)、UE注册信息、签约业务数据和AF反馈的业务安全需求中的至少一项确定用户面保护机制。也就是说，AMF可根据用户设备侧所需要的安全需求和网络侧所预置的安全需求或者或者业务的安全需求综合确定用户面保护机制。
5、AMF发送用户面保护机制至AN，相应的，AN接收用户面保护机制。
6、AN确定安全保护算法以及确定用户面保护密钥。
在一种具体实施例中，AN获取用户面保护机制后，确定UE-AN之间的用户面保护机制为是否需要加密、是否需要完整性保护；然后，AN根据UE安全能力，AN支持的算法优先级列表确定安全保护算法，例如，当用户面保护机制为“需要加密+需要完整性保护”时，AN根据UE安全能力，AN支持的算法优先级列表确定加密算法为AES，完整性保护算法为AES。
在另一种具体实施例中，用户面保护机制直接制定了指定了安全保护算法，则AN可从用户面保护机制直接获取安全保护算法。在步骤5中，在确定了用户面保护机制后，AMF可获取AN支持的算法优先级列表，并基于AN支持的算法优先级列表以及UE支持的算法和用户设备安全能力确定空口保护算法，例如，在“需要加密+需要完整性保护”的用户面保护机制下,AMF进一步确定加密算法为AES，完整性保护算法为AES，并在用户面保护机制中携带上述安全保护算法。在这种情况下，由于用户面保护机制直接指定了加密算法和完整性保护算法，所以AN获得用户面保护机制后，可从用户面保护机制直接获取加密算法和完整性保护算法。
另外，在具体应用场景实施用户面保护机制过程中，当用户面保护机制包括“需要加密+需要完整性保护”时，采用相同的安全保护算法、相同的密钥长度以及相同的密钥更新时间对用户面数据进行加密和完整性保护，也可以采用不同的安全保护算法、采用不同的密钥长度和采用不同的密钥更新时间对用户面数据进行加密和完整性保护。例如，在一具体的实施例中，当对会话的加密性和完整性进行保护时，对于加密性，采用的安全保护算法为Snow 3G算法，密钥长度为64位，密钥更新时间为6小时；对于完整性，采用的安全保护算法为Snow 3G算法，密钥长度为64位，密钥更新时间为6小时。在另一具体的实施例中，当对会话的加密性和完整性进行保护时，对于加密性，采用的安全保护算法为Snow 3G算法，密钥长度为64位，密钥更新时间为6小时；对于完整性，AN/UE采用的安全保护算法为ZUC算法，密钥长度为128位，密钥更新时间为12小时。
在本发明实施例中，AN可基于安全保护算法生成用户面保护密钥。具体的，AN基于所确定的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，AN基于所确定的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第一空口用户面保护密钥。
在具体的实现中，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID)，其中，K_AN为认证成功后，AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥(K_AN又可称为中间密钥)，所述K_AN是AMF发送直接发送至AN的，或者所述K_AN是携带于用户面保护机制中由AMF发送至AN的；UP算法ID可以为加密算法的标识，也可以为完整性保护算法的标识；KDF为密钥推衍函数(Key Derivation Function，KDF)，包括但不限于以下密码推衍函数：HMAC(如HMAC-SHA256，HMAC-SHA1)，NMAC，CMAC，OMAC，CBC-MAC，PMAC，UMAC和VMAC以及HASH算法等等。另外，由于用户面保护机制所针对的安全需求不同，例如，用户面保护机制1要求保护密钥长度为256bit；而用户面保护机制2要求保护密钥长度要求为128bit；此时第一设备可以采用不同的密钥推衍算法，来满足不同用户面保护机制对于不同保护密钥长度的需求(例如，采用HMAC-SHA1来生成128bit的保护密钥，采用HMAC-SHA256生成256bit保护密钥)。
7、AN发送安全保护算法至UE，相应的，UE接收用户面安全保护算法。
在一具体实施例中，AN在步骤6中确定了安全保护算法，那么此时AN直接发送所述安全保护算法至UE。
在另一具体实施例中，可能用户面保护机制本身就包括安全保护算法，那么此时AN可发送用户面保护机制至UE，UE接收用户面保护机制后，获取用户面保护机制中的安全保护算法。
8、UE根据用户面安全算法和K_AN生成用户面保护密钥。
在本发明实施例中，UE可基于安全保护算法生成用户面保护密钥。具体的，UE基于所接收的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，UE基于所接收的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第二空口用户面保护密钥。
在具体的实现中，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID)，其中，K_AN为UE根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥；UP算法ID可以为加密算法的标识，也可以为完整性保护算法的标识；KDF为密钥推衍函数(KeyDerivation Function，KDF)，包括但不限于以下密码推衍函数：HMAC(如HMAC-SHA256，HMAC-SHA1)，NMAC，CMAC，OMAC，CBC-MAC，PMAC，UMAC和VMAC以及HASH算法等等。
可以理解的，在具体应用场景实施用户面保护机制过程中，所述第一空口用户面保护密钥和第二空口用户面保护密钥可以是相同的密钥。在上行传输中，UE可基于第二空口用户面保护密钥对用户面数据进行加密性保护和/或进行完整性保护，AN接收到UE发送的上述用户面数据后，基于第一空口用户面保护密钥对用户面数据解密和/或完整性检验。在下行传输中，AN基于第一空口用户面保护密钥对用户面数据进行加密性保护和/或进行完整性保护，UE接收到AN发送的上述用户面数据后，基于第二空口用户面保护密钥对用户面数据解密和/或完整性检验。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：若AMF在确定用户面保护机制过程中不需要indicator的信息，那么UE可以不发送indicator至网络侧(或者附着请求中可以不包括indicator)。
可能性2：本实施例对上述流程步骤的先后顺序不做限定，例如，AMF可以在双向认证之前确定用户面保护机制(即步骤4可以放在步骤3之前)。
还需要说明的是，上述图3实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，实施本发明实施例，可实现基于未来5G的通信架构，在附着网络过程中，UE-AN完成策略协商，通过AMF根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制，UE和AN分别确定安全保护算法与密钥，从而实现对用户面数据的安全保护。
下面基于UE-AN，从不区分粒度的角度描述本发明实施例提供的又一种密钥配置方法，如图4所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE发送附着请求(attach request)至AN，AN再发送所述附着请求至AMF，AMF再发送UE ID至AUSF。
本发明实施例中，其中，所述附着请求包括用户设备标识(UE ID)，用户设备安全能力，安全需求的指示信息(indicator)；此外，所述附着请求还可以包括业务ID、UE业务ID和DNN。关于UE ID、用户设备安全能力、indicator、业务ID、UE业务ID、DNN的详细内容可参考图3实施例中的相关描述，这里不再赘述。
在一具体的实施例中，AMF识别出附着请求中的UE ID，并将UE ID发送至AUSF；在另一具体实施例中，AMF将认证请求直接发送至AUSF，所述AUSF接收到认证请求后识别所述认证请求中的UE ID，其中，所述认证请求包括UE ID。
另外，在可能的实施例中，根据AUSF的需要，AMF可将用户设备安全能力、安全需求的指示信息(indicator)、业务ID、UE业务ID和DNN发送至AUSF；或者，AMF直接将附着请求的内容进一步转发至AUSF。
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
4、AUSF确定用户面保护机制。
在本发明具体实施例中，AUSF可根据indicator(用户设备安全需求和/或业务安全需求)、UE注册信息、签约业务数据和AF反馈的业务安全需求中的至少一项确定用户面保护机制。也就是说，AUSF可根据用户设备侧所需要的安全需求和网络侧所预置的安全需求或业务安全需求综合确定用户面保护机制。关于AUSF确定用户面保护机制的详细内容可类似地参考图3实施例中AMF确定用户面保护机制的相关内容描述，这里不再赘述。
5、AUSF发送用户面保护机制至AMF，AMF再发送用户面保护机制至AN，相应的，AN接收用户面保护机制。
6、AN确定安全保护算法以及确定用户面保护密钥。
详细情况可参考图3实施例中步骤6的描述，这里不再赘述。
7、AN发送安全保护算法至UE，相应的，UE接收用户面安全保护算法。
8、UE根据用户面安全算法和K_AN生成用户面保护密钥。
详细情况可参考图3实施例中步骤8的描述，这里不再赘述。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：若AUSF在确定用户面保护机制过程中不需要indicator的信息，那么UE可以不发送indicator至网络侧(或者附着请求中可以不包括indicator)。
可能性2：本实施例对上述流程步骤的先后顺序不做限定，例如，AUSF可以在双向认证之前确定用户面保护机制。
还需要说明的是，图4实施例中没有详细描述的地方可参考图3实施例的相关描述，上述图4实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，图4实施例与图3实施例的主要区别在于，AUSF在附着网络过程中根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制。
实施本发明实施例，可实现基于未来5G的通信架构，在附着网络过程中，UE-AN完成策略协商，通过AUSF确定用户面保护机制后，UE和AN分别确定安全保护算法与密钥，从而实现对用户面数据的安全保护。
下面基于UE-AN，从不区分粒度的角度描述本发明实施例提供的又一种密钥配置方法，如图5所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE发送附着请求(attach request)至AN，AN再发送所述附着请求至AMF，AMF再发送UE ID至AUSF。
本发明实施例中，其中，所述附着请求包括用户设备标识(UE ID)，用户设备安全能力，安全需求的指示信息(indicator)；此外，所述附着请求还可以包括业务ID、UE业务ID和DNN。
在一具体的实施例中，AMF识别出附着请求中的UE ID，并将UE ID发送至AUSF；在另一具体实施例中，AMF将认证请求直接发送至AUSF，所述AUSF接收到认证请求后识别所述认证请求中的UE ID，其中，所述认证请求包括UE ID。
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
4、AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
会话请求用于请求在于AMF和SMF之间建立会话。例如，如果会话是通过会话建立协议建立的，那么，所述会话请求即为会话建立请求信令。
所述会话请求至少包括会话标识(会话ID)。
5、SMF将SMF响应信息发送至AMF，AMF再将SMF响应信息发送至AN，相应的，AN接收所述SMF响应信息。
其中，所述SMF响应信息可以包括网络侧预设置的安全需求，例如，包括UDM反馈的UE注册信息、或者UDM反馈的签约业务数据，或者AF反馈的业务安全需求等等，此外，所述SMF响应信息还可以包括UE与数据网络DN二次认证的认证结果，例如，基于所述会话请求，所述UE通过SMF与数据网络DN进行二次认证后，SMF将认证结果写入所述SMF响应信息中，再将SMF响应信息发送至AN，AN获知认证结果后，如果发现认证结果为正确(即通过认证)，那么将执行后面的确定用户面保护机制流程；如果发现认证结果为错误(即通过认证)，那么将不执行后面的确定用户面保护机制流程。
6、AN确定用户面保护机制。
在本发明具体实施例中，AN可根据indicator(用户设备安全需求和/或业务安全需求)、UE注册信息、签约业务数据和AF反馈的业务安全需求中的至少一项确定用户面保护机制。也就是说，AN可根据用户设备侧所需要的安全需求和网络侧所预置的安全需求或业务安全需求综合确定用户面保护机制。关于AN确定用户面保护机制的详细内容可类似地参考图3实施例中AMF确定用户面保护机制的相关内容描述，这里不再赘述。
7、AN确定安全保护算法以及确定用户面保护密钥。
详细情况可参考图3实施例中步骤6的描述，这里不再赘述。
8、AN发送安全保护算法至UE，相应的，UE接收用户面安全保护算法。
9、UE根据用户面安全算法和K_AN生成用户面保护密钥。
详细情况可参考图3实施例中步骤8的描述，这里不再赘述。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：若AN在确定用户面保护机制过程中不需要indicator的信息，那么UE可以不发送indicator至网络侧(或者附着请求中可以不包括indicator)。
可能性2：本实施例对上述流程步骤的先后顺序不做限定，例如，AN可以在步骤4(AMF向SMF发送会话请求)之前确定用户面保护机制。
可能性3：步骤4中，会话建立流程也可能是由UE发起的，即UE通过AMF向SMF发送会话请求。
还需要说明的是，图5实施例中没有详细描述的地方可参考图3实施例的相关描述，上述图5实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，图5实施例与图3实施例的主要区别在于，AN在会话建立的相关流程中根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制。
实施本发明实施例，基于未来5G的通信架构，在会话建立流程中，UE-AN完成策略协商，通过AN确定用户面保护机制后，UE和AN分别确定安全保护算法与密钥，从而实现对用户面数据的安全保护。
下面基于UE-AN，从不区分粒度的角度描述本发明实施例提供的又一种密钥配置方法，如图6所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE发送附着请求(attach request)至AN，AN再发送所述附着请求至AMF，AMF再发送UE ID至AUSF。
本发明实施例中，其中，所述附着请求包括用户设备标识(UE ID)，用户设备安全能力，安全需求的指示信息(indicator)；此外，所述附着请求还可以包括业务ID、UE业务ID和DNN。
在一具体的实施例中，AMF识别出附着请求中的UE ID，并将UE ID发送至AUSF；在另一具体实施例中，AMF将认证请求直接发送至AUSF，所述AUSF接收到认证请求后识别所述认证请求中的UE ID，其中，所述认证请求包括UE ID。
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
4、AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
会话请求用于请求在于AMF和SMF之间建立会话。例如，如果会话是通过会话建立协议建立的，那么，所述会话请求即为会话建立请求信令。
所述会话请求至少包括会话标识(会话ID)。
5、UE与DN进行二次认证。
具体的，基于所述会话请求，UE通过SMF与DN进行二次认证，如认证通过，则认证结果为正确，若认证不通过，则认证结果为错误，SMF可获得所述认证结果。
需要说明的是，本步骤为可选的步骤。
6、SMF将SMF响应信息发送至AMF。
具体的，SMF生成SMF响应信息。
其中，所述SMF响应信息可以包括网络侧预设置的安全需求，例如，包括UDM反馈的UE注册信息、或者UDM反馈的签约业务数据，或者AF反馈的业务安全需求等等，以便AMF获得所述SMF响应信息后可进一步根据SMF响应信息中的安全需求确定用户面保护机制。
此外，所述SMF响应信息还可以包括UE与数据网络DN二次认证的认证结果，例如，基于所述会话请求，所述UE通过SMF与数据网络DN进行二次认证后，SMF将认证结果写入所述SMF响应信息中，再将SMF响应信息发送至AMF，AMF获知认证结果后，如果发现认证结果为正确(即通过认证)，那么将执行后面的确定用户面保护机制流程；如果发现认证结果为错误(即通过认证)，那么将不执行后面的确定用户面保护机制流程。
7、AMF确定用户面保护机制。
在本发明具体实施例中，AMF可根据indicator(用户设备安全需求和/或业务安全需求)、UE注册信息、签约业务数据和AF反馈的业务安全需求中的至少一项确定用户面保护机制。也就是说，AMF可根据用户设备侧所需要的安全需求和网络侧所预置的安全需求或业务安全需求综合确定用户面保护机制。另外，AMF也可能根据SMF响应信息(包括认证结果)，确定是否可以根据相关的安全需求(如AF反馈的业务安全)确定用户面保护机制，确定是否执行确定用户面保护机制的步骤等等。关于本实施例AMF确定用户面保护机制的详细内容还可参考图3实施例中AMF确定用户面保护机制的相关内容描述，这里不再赘述。
8、AMF将用户面保护机制发送至AN。
9、AN确定安全保护算法以及确定用户面保护密钥。
详细情况可参考图3实施例中步骤6的描述，这里不再赘述。
10、AN发送安全保护算法至UE，相应的，UE接收用户面安全保护算法。
11、UE根据用户面安全算法和K_AN生成用户面保护密钥。
详细情况可参考图3实施例中步骤8的描述，这里不再赘述。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：若AMF在确定用户面保护机制过程中不需要indicator的信息，那么UE可以不发送indicator至网络侧(或者附着请求中可以不包括indicator)。
可能性2：本实施例对上述流程步骤的先后顺序不做限定，例如，AMF可以在步骤4之前确定用户面保护机制。
可能性3：步骤4中，会话建立流程也可能是由UE发起的，即UE通过AMF向SMF发送会话请求。
还需要说明的是，图6实施例中没有详细描述的地方可参考图3实施例的相关描述，上述图4实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，图6实施例与图3实施例的主要区别在于，AMF在会话建立的相关流程中根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立流程中，UE-AN完成策略协商，通过AMF确定用户面保护机制后，UE和AN分别确定安全保护算法与密钥，从而实现对用户面数据的安全保护。
下面基于UE-AN，从不区分粒度的角度描述本发明实施例提供的又一种密钥配置方法，如图7所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE发送附着请求(attach request)至AN，AN再发送所述附着请求至AMF，AMF再发送UE ID至AUSF。
本发明实施例中，其中，所述附着请求包括用户设备标识(UE ID)，用户设备安全能力，安全需求的指示信息(indicator)；此外，所述附着请求还可以包括业务ID、UE业务ID和DNN。
在一具体的实施例中，AMF识别出附着请求中的UE ID，并将UE ID发送至AUSF；在另一具体实施例中，AMF将认证请求直接发送至AUSF，所述AUSF接收到认证请求后识别所述认证请求中的UE ID，其中，所述认证请求包括UE ID。
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
4、UE通过AN、AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
会话请求用于请求在于UE和SMF之间建立会话。例如，如果会话是通过会话建立协议建立的，那么，所述会话请求即为会话建立请求信令。
所述会话请求至少包括会话标识(会话ID)，可选的，所述会话请求还可能还包括用户设备标识(UE ID)、安全需求的指示信息(indicator)，或者DNN、业务ID、UE业务ID等。其中，所述用户设备标识(UE ID)，安全需求的指示信息(indicator)，或者DNN、业务ID，UE业务ID可以是UE建立会话时被携带于会话请求中的。
5、可选的，UE与DN进行二次认证。
6、SMF确定用户面保护机制。
在本发明具体实施例中，SMF可根据indicator(用户设备安全需求和/或业务安全需求)、UE注册信息、签约业务数据和AF反馈的业务安全需求中的一项，或者两项，或者三项，或者全部信息确定用户面保护机制。也就是说，SMF可根据用户设备侧所需要的安全需求、网络侧所预置的安全需求或者业务的安全需求综合确定用户面保护机制。具体的，SMF可以通过向UDM发送UE ID，业务ID，业务UE ID，或DNN的至少一项，从UDM获得UE注册信息。SMF可以通过向UDM发送UE ID，业务ID，业务UE ID，或DNN的至少一项，从UDM获得签约业务数据。SMF向PCF发送请求，PCF向AF发送请求，AF基于请求向PCF反馈业务安全需求，其中，所述请求可包括UE ID，业务ID，业务UE ID，或DNN的至少一项，PCF将所述业务安全需求发送给SMF，进而，SMF获得业务安全需求。所述业务安全需求用于指示业务需要什么样的用户面保护机制，例如指示业务是否需要加密，或者是否需要进行完整性保护，或者是否同时需要加密和完整性保护。
7、SMF将用户面保护机制发送至AMF，AMF将用户面保护机制发送至AN，相应的，AN接收所述用户面保护机制。
8、AN确定安全保护算法以及确定用户面保护密钥。
详细情况可参考图3实施例中步骤6的描述，这里不再赘述。
9、AN发送安全保护算法至UE，相应的，UE接收用户面安全保护算法。
10、UE根据用户面安全算法和K_AN生成用户面保护密钥。
详细情况可参考图3实施例中步骤8的描述，这里不再赘述。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：若SMF在确定用户面保护机制过程中不需要indicator的信息，那么UE可以不发送indicator至网络侧(或者附着请求中可以不包括indicator)。
可能性2：本实施例对上述流程步骤的先后顺序不做限定，例如，SMF可以在步骤5之前确定用户面保护机制。
可能性3：步骤4中，会话建立流程也可能是由AMF发起的，即AMF向SMF发送会话请求。这种情况下，所述会话请求至少包括会话标识(会话ID)，可选的，所述会话请求还可能还包括用户设备标识(UE ID)、安全需求的指示信息(indicator)，或者DNN、业务ID，UE业务ID等。所述用户设备标识(UE ID)、安全需求的指示信息(indicator)，或者DNN、业务ID，UE业务ID可以是AMF从接收到的附着请求中获取的，所述附着请求携带上述信息。
还需要说明的是，图7实施例中没有详细描述的地方可参考图3实施例的相关描述，上述图7实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，图7实施例与图3实施例的主要区别在于，SMF在会话建立流程中根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立流程中，UE-AN完成策略协商，通过SMF确定用户面保护机制后，UE和AN分别确定安全保护算法与密钥，从而实现对用户面数据的安全保护。
下面基于UE-CN，从不区分粒度的角度描述本发明实施例提供的一种密钥配置方法，如图8所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE发送附着请求(attach request)至AN，AN再发送所述附着请求至AMF，AMF再发送UE ID至AUSF。
本发明实施例中，其中，所述附着请求包括用户设备标识(UE ID)，用户设备安全能力，安全需求的指示信息(indicator)；此外，所述附着请求还可以包括业务ID、UE业务ID和DNN。
在一具体的实施例中，AMF识别出附着请求中的UE ID，并将UE ID发送至AUSF；在另一具体实施例中，AMF将认证请求直接发送至AUSF，所述AUSF接收到认证请求后识别所述认证请求中的UE ID，其中，所述认证请求包括UE ID。
AUSF基于附着请求中的UE ID执行与UE的认证，确定UE为合法用户。
4、AMF确定用户面保护机制。
在本发明具体实施例中，AMF可根据indicator(用户设备安全需求和/或业务安全需求)、UE注册信息、签约业务数据和AF反馈的业务安全需求中的至少一项确定用户面保护机制。也就是说，AMF可根据用户设备侧所需要的安全需求和网络侧所预置的安全需求或业务安全需求综合确定用户面保护机制。关于本实施例AMF确定用户面保护机制的详细内容可参考图3实施例中AMF确定用户面保护机制的相关内容描述，这里不再赘述。
5、AMF向SMF发送会话请求、用户面保护机制，相应的，SMF接收所述会话请求、用户面保护机制。
会话请求用于请求在于AMF和SMF之间建立会话。例如，如果会话是通过会话建立协议建立的，那么，所述会话请求即为会话建立请求信令。所述会话请求至少包括会话标识(会话ID)。
具体实现上，在一实施例中，所述用户面保护机制被携带于所述会话请求中，也就是说，AMF将会话请求发送至SMF，所述会话请求包括用户面保护机制。
在另一实施例中，AMF分别向SMF发送会话请求和用户面保护机制。
6、UE与DN进行二次认证。
7、SMF确定安全保护算法以及确定用户面保护密钥。
在一种具体实施例中，若用户面保护机制中仅包含是否加密/是否完整性保护的描述，则SMF确定UE-CN之间的用户面保护机制为是否需要加密、是否需要完整性保护，然后，SMF根据接收到的UE安全能力、UPF支持的算法优先级列表确定安全保护算法，其中，所述UPF支持的算法优先级列表可以预置于SMF，也可以是预置于UPF中，SMF从UPF获取所述UPF支持的算法优先级列表。例如，当用户面保护机制为“需要加密+需要完整性保护”时，SMF根据UE安全能力、UPF支持的算法优先级列表、UE支持的算法确定加密算法为AES，完整性保护算法为AES。
在另一种具体实施例中，用户面保护机制直接制定了指定了安全保护算法，则SMF可从用户面保护机制直接获取安全保护算法。在步骤4中，在确定了用户面保护机制后，AMF可基于UPF支持的算法优先级列表、UE支持的算法和用户设备安全能力确定空口保护算法，其中，所述UPF支持的算法优先级列表可以预置于AMF，也可以是预置于UPF中，AMF从UPF获取所述UPF支持的算法优先级列表。例如，在“需要加密+需要完整性保护”的用户面保护机制下,AMF进一步确定加密算法为AES，完整性保护算法为AES，并在用户面保护机制中携带上述安全保护算法。在这种情况下，由于用户面保护机制直接指定了加密算法和完整性保护算法，所以SMF获得用户面保护机制后，可从用户面保护机制直接获取加密算法和完整性保护算法。
在可能的实施例中，在确定安全保护算法后，SMF可进一步确定用户面保护密钥，具体的：
用户面保护密钥＝KDF(K_SMF,UP算法ID)，
或者，用户面保护密钥＝KDF(K_SMF,UP算法ID,flow ID)，
或者，用户面保护密钥＝KDF(K_SMF,UP算法ID,session ID)，
或者，用户面保护密钥＝KDF(K_SMF,UP算法ID,DRB ID)；
其中K_SMF为认证成功后，AMF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥。具体的，AMF发送K_SMF至SMF；或者，K_SMF为认证成功后，AUSF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，AUSF发送K_SMF至SMF。UP算法ID可以为加密算法ID，也可以为完整性保护算法ID。
8、SMF向UPF发送安全保护算法或用户面保护密钥，相应的，UPF接收安全保护算法或用户面保护密钥。
在可能的实施例中，如果UPF仅接收到安全保护算法，没有收到用户面保护密钥，则UPF可基于安全保护算法和K_SMF计算获得用户面保护密钥(可参考上述相关描述)，该用户面保护密钥即为UPF的用户面保护密钥。其中，K_SMF为认证成功后，AMF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，具体的，AMF发送K_SMF至UPF；或者，K_SMF为认证成功后，AUSF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，AUSF发送K_SMF至UPF。
在可能的实施例中，如果UPF接收到用户面保护密钥，则将用户面保护密钥作为UPF的用户面保护密钥。
9、SMF向AMF发送安全保护算法。
需要说明的是，如果所述安全保护算法是SMF根据接收到的UE安全能力、UPF支持的算法优先级列表等确定的，那么SMF将向AMF发送安全保护算法；
可选的，SMF向AMF发送安全保护算法，具体为：SMF向AMF发送会话响应，所述会话响应中携带有安全保护算法。
需要说明的是，如果安全保护算法是AMF可基于UPF支持的算法优先级列表、UE支持的算法和用户设备安全能力等确定的，那么SMF就不需要向AMF发送安全保护算法。
10、AMF向AN发送安全保护算法、用户面保护机制，其中，用户面保护机制为可选。
11、AN向UE发送安全保护算法、用户面保护机制，其中，用户面保护机制为可选。
12、UE根据用户面安全算法、用户面保护机制和K_SMF生成用户面保护密钥。或者UE根据用户面安全算法和K_SMF生成用户面保护密钥。
在可能的实施例中，在收到安全保护算法后，UE可进一步确定用户面保护密钥，该用户面保护密钥即为UE的用户面保护密钥，具体的：
用户面保护密钥＝KDF(K_SMF,UP算法ID)，
或者，用户面保护密钥＝KDF(K_SMF,UP算法ID,flow ID)，
或者，用户面保护密钥＝KDF(K_SMF,UP算法ID,session ID)，
或者，用户面保护密钥＝KDF(K_SMF,UP算法ID,DRB ID)；
或者在上述推衍函数输入中添加用户面保护机制参数。其中，K_SMF为认证成功后，UE根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，具体的，AMF发送K_SMF至UE；或者，K_SMF为认证成功后，AUSF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，AUSF发送K_SMF至UE。UP算法ID可以为加密算法ID，也可以为完整性保护算法ID。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：若AMF在确定用户面保护机制过程中不需要indicator的信息，那么UE可以不发送indicator至网络侧(或者附着请求中可以不包括indicator)。
可能性2：本实施例对上述流程步骤的先后顺序不做限定，例如，步骤8和步骤9可以同时进行，步骤8也可以放在步骤9之前或者之后。
可能性3：步骤4中，会话建立流程也可能是由UE发起的，即UE通过AMF向SMF发送会话请求。
可能性4：若用户面保护机制包括具体安全保护算法，那么AMF也可以通过SMF发送用户面保护机制至UPF，UPF获取用户面保护机制中的安全保护算法。
可能性5：若用户面保护机制中未包含安全保护算法，那么步骤7-步骤12还可以通过以下方式实现安全保护：
(替换步骤7、8)SMF计算第一K_UP，K_UP＝KDF(K_SMF,会话ID)；或者K_UP＝KDF(K_SMF,QoS flow ID)；
(替换步骤9)SMF发送会话ID，QFI和用户面保护机制至AMF。
(替换步骤10)AMF发送会话ID，QFI和用户面保护机制至AN；
(替换步骤11)AN发送会话ID，QFI和用户面保护机制至UE；
(替换步骤12)UE基于K_SMF生成第二K_UP。K_SMF为认证成功后，UE根据认证后密钥，或认证后再次推衍得到的密钥，推衍出的密钥。
(增加步骤13)UPF与UE基于会话ID，QFI和用户面保护机制协商安全保护算法，再分别基于第一K_UP和第二K_UP生成UPF的用户面保护密钥和UE的用户面保护密钥。
还需要说明的是，图8实施例中没有详细描述的地方可参考图3实施例的相关描述，上述图8实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，图8实施例与图3实施例的主要区别在于，在UE-CN的应用场景中，AMF在会话建立的相关流程中根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立流程中，UE-CN完成策略协商，通过AMF确定用户面保护机制后，UE和CN分别确定用户面保护密钥，从而实现对用户面数据的安全保护。实施本发明实施例可实现UE与核心网之间网络安全保护，避免hop-by-hop分段保护方式的弊端，提高用户面数据传输的安全性。
下面基于UE-CN，从不区分粒度的角度描述本发明实施例提供的一种密钥配置方法，如图9所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE发送附着请求(attach request)至AN，AN再发送所述附着请求至AMF，AMF再发送UE ID至AUSF。
本发明实施例中，其中，所述附着请求包括用户设备标识(UE ID)，用户设备安全能力，安全需求的指示信息(indicator)；此外，所述附着请求还可以包括业务ID、UE业务ID和DNN。
在一具体的实施例中，AMF识别出附着请求中的UE ID，并将UE ID发送至AUSF；在另一具体实施例中，AMF将认证请求直接发送至AUSF，所述AUSF接收到认证请求后识别所述认证请求中的UE ID，其中，所述认证请求包括UE ID。
AUSF基于附着请求中的UE ID执行与UE的认证，确定UE为合法用户。
4、AUSF确定用户面保护机制。
在本发明具体实施例中，AUSF可根据indicator(用户设备安全需求和/或业务安全需求)、UE注册信息、签约业务数据和AF反馈的业务安全需求中的至少一项确定用户面保护机制。也就是说，AUSF可根据用户设备侧所需要的安全需求和网络侧所预置的安全需求或业务安全需求综合确定用户面保护机制。关于本实施例AUSF确定用户面保护机制的详细内容可参考图3实施例中AMF确定用户面保护机制的相关内容描述，这里不再赘述。
5、AUSF向SMF发送用户面保护机制，相应的，SMF接收所述用户面保护机制。
6、AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
会话请求用于请求在于AMF和SMF之间建立会话。例如，如果会话是通过会话建立协议建立的，那么，所述会话请求即为会话建立请求信令。所述会话请求至少包括会话标识(会话ID)。
7、可选的，UE与DN进行二次认证。
8、SMF确定安全保护算法以及确定用户面保护密钥。
详细内容可参考图8实施例步骤7的相关描述。
9、SMF向UPF发送安全保护算法、用户面保护密钥，相应的，UPF接收安全保护算法、用户面保护密钥。其中，安全保护算法为可选。
10、SMF向AMF发送安全保护算法、用户面保护机制。其中，用户面保护机制为可选。
11、AMF向AN发送安全保护算法、用户面保护机制。其中，用户面保护机制为可选。
12、A N向UE发送安全保护算法、用户面保护机制。其中，用户面保护机制为可选。
13、UE根据用户面安全算法、用户面保护机制和K_SMF生成用户面保护密钥。或者，UE根据用户面安全算法和K_SMF生成用户面保护密钥。
本实施例中没有详细描述的地方可参考图8实施例的相关描述。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：若AMF在确定用户面保护机制过程中不需要indicator的信息，那么UE可以不发送indicator至网络侧(或者附着请求中可以不包括indicator)。
可能性2：本实施例对上述流程步骤的先后顺序不做限定，例如，步骤9和步骤10可以同时进行，步骤8也可以放在步骤9之前或者之后。
可能性3：步骤4中，会话建立流程也可能是由UE发起的，即UE通过AMF向SMF发送会话请求。
可能性4：若用户面保护机制包括具体安全保护算法，那么AUSF也可通过SMF发送用户面保护机制至UPF，UPF获取用户面保护机制中的安全保护算法。
可能性5：若用户面保护机制中未包含安全保护算法，那么步骤7-步骤12还可以通过以下方式实现安全保护：
(替换步骤8和9)SMF发送会话ID，QFI，以及用户面保护密钥至UPF；此外，UPF还获取第一K_SMF，其中，其中第一K_SMF为认证成功后，AMF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥。具体的，AMF发送K_SMF至UPF；或者，K_SMF为认证成功后，AUSF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，AUSF发送K_SMF至UPF。
(替换步骤10)SMF发送会话ID，QFI和用户面保护机制至AMF；
(替换步骤11)AMF发送会话ID，QFI和用户面保护机制至AN；
(替换步骤12)AN发送会话ID，QFI和用户面保护机制至UE；
(替换步骤13)UPF与UE基于会话ID，QFI和用户面保护机制协商安全保护算法，再分别基于第一K_SMF和第二K_SMF生成UPF的用户面保护密钥和UE的用户面保护密钥。其中，其中第二K_SMF为认证成功后，AMF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥。具体的，AMF发送K_SMF至UE；或者，K_SMF为认证成功后，AUSF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，AUSF发送K_SMF至UE。
还需要说明的是，图8实施例中没有详细描述的地方可参考图3实施例的相关描述，上述图8实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，图9实施例与图8实施例的主要区别在于，AUSF在会话建立的相关流程中根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立流程中，UE-CN完成策略协商，通过AUSF确定用户面保护机制后，UE和CN分别确定用户面保护密钥，从而实现对用户面数据的安全保护。实施本发明实施例可实现UE与核心网之间网络安全保护，避免hop-by-hop分段保护方式的弊端，提高用户面数据传输的安全性。
下面基于UE-CN，从不区分粒度的角度描述本发明实施例提供的一种密钥配置方法，如图10所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE发送附着请求(attach request)至AN，AN再发送所述附着请求至AMF，AMF再发送UE ID至AUSF。
本发明实施例中，其中，所述附着请求包括用户设备标识(UE ID)，用户设备安全能力，安全需求的指示信息(indicator)；此外，所述附着请求还可以包括业务ID、UE业务ID和DNN。
在一具体的实施例中，AMF识别出附着请求中的UE ID，并将UE ID发送至AUSF；在另一具体实施例中，AMF将认证请求直接发送至AUSF，所述AUSF接收到认证请求后识别所述认证请求中的UE ID，其中，所述认证请求包括UE ID。
AUSF基于附着请求中的UE ID执行与UE的认证，确定UE为合法用户。
4、AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
会话请求用于请求在于UE和SMF之间建立会话。例如，如果会话是通过会话建立协议建立的，那么，所述会话请求即为会话建立请求信令。
所述会话请求至少包括会话标识(会话ID)，可选的，所述会话请求还可能还包括用户设备标识(UE ID)、安全需求的指示信息(indicator)，或者DNN、业务ID、UE业务ID等。其中，所述用户设备标识(UE ID)，安全需求的指示信息(indicator)，或者DNN、业务ID，UE业务ID可以是UE建立会话时被携带于会话请求中的。
5、可选的，UE与DN进行二次认证。
6、SMF确定用户面保护机制。
在本发明具体实施例中，SMF可根据indicator(用户设备安全需求和/或业务安全需求)、UE注册信息、签约业务数据和AF反馈的业务安全需求中的至少一项确定用户面保护机制。也就是说，SMF可根据用户设备侧所需要的安全需求和网络侧所预置的安全需求或业务安全需求综合确定用户面保护机制。关于SMF确定用户面保护机制的详细内容可类似地参考图3实施例中AMF确定用户面保护机制的相关内容描述，这里不再赘述。
7、SMF确定安全保护算法以及确定用户面保护密钥。
详细内容可参考图8实施例步骤7的描述。
8、SMF向UPF发送安全保护算法或用户面保护密钥，相应的，UPF接收安全保护算法或用户面保护密钥。
9、SMF向AMF发送安全保护算法。
10、AMF向AN发送安全保护算法、用户面保护机制。其中用户面保护机制可选。
11、AN向UE发送安全保护算法、用户面保护机制。其中用户面保护机制可选。
12、UE根据用户面安全算法、用户面保护机制和K_SMF生成用户面保护密钥。或者，UE根据用户面安全算法和K_SMF生成用户面保护密钥。
需要说明的是，本实施例中没有详细描述的地方可参考图8实施例的相关描述.
还需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：若SMF在确定用户面保护机制过程中不需要indicator的信息，那么UE可以不发送indicator至网络侧(或者附着请求中可以不包括indicator)。
可能性2：本实施例对上述流程步骤的先后顺序不做限定，例如，SMF可以在步骤5之前确定用户面保护机制。例如，步骤8和步骤9可以同时进行，步骤8也可以放在步骤9之前或者之后。
可能性3：步骤4中，会话建立流程也可能是由UE发起的，即UE通过AMF向SMF发送会话请求。
可能性4：若用户面保护机制包括具体安全保护算法，那么SMF也可以发送用户面保护机制至UPF，进而，UPF获取用户面保护机制中的安全保护算法。
图10实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，图10实施例与图8实施例的主要区别在于，SMF在会话建立的相关流程中根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立流程中，UE-CN完成策略协商，通过SMF确定用户面保护机制后，UE和CN分别确定用户面保护密钥，从而实现对用户面数据的安全保护。实施本发明实施例可实现UE与核心网之间网络安全保护，避免hop-by-hop分段保护方式的弊端，提高用户面数据传输的安全性。
下面基于UE-AN，从区分粒度的角度描述本发明实施例提供的一种基于flow的密钥配置方法，如图11所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE通过AN、AMF将附着请求发送至AUSF，
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
4、UE通过AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
会话请求用于请求在于UE和SMF之间建立会话。例如，如果会话是通过会话建立协议建立的，那么，所述会话请求即为会话建立请求信令。
5、SMF向PCF发送策略请求。
在本发明实施例中，策略控制的功能部署在PCF中，SMF向PCF发送策略请求，以便于PCF根据策略请求确定相应的用户面保护机制。具体的，所述策略请求至少包括会话标识(会话ID)，可能还包括用户设备标识(UE ID)、安全需求的指示信息(indicator)、用户设备安全能力、业务ID、UE业务ID、DNN。其中，所述安全需求的指示信息(indicator)用于指示所述设备安全需求和/或业务安全需求；其中，所述会话ID、UE ID、indicator、用户设备安全能力、业务ID、UE业务ID、DNN可以是SMF从所接收到的会话请求中获取到的；其中：
具体的，会话标识(会话ID)用于识别会话的身份，会话具有唯一的会话标识。可选的，会话标识可以是UE、AN、AMF、SMF中的任意一种生成的。其中，当会话标识是UE生成时，会话标识在UE准备新建会话时生成；当会话标识是AN、AMF、SMF中的任意一种生成时，会话标识在AN、AMF、SMF中任意一种接收到其他网元发送的请求时生成。例如，SMF接收到从AN发送过来的会话请求时，基于会话请求生成会话ID。
另外，会话标识可以是新建的标识，也可以复用其他的标识，例如，已有的会话标识、空口标识、无线承载标识、切片标识、空口资源标识、设备永久标识、设备临时标识、用户永久标识、用户临时标识等等中的任意一种。
具体的，用户设备标识(UE ID)用于表征发出会话请求的用户设备的身份。例如：UE ID可以是媒体访问控制(Media Access Control，MAC)地址、网络协议(InternetProtocol，IP)地址、手机号码、国际移动设备标识(International Mobile EquipmentIdentity，IMEI)、国际移动用户识别码(International Mobile Subscriber Identity，IMSI)、IP多媒体私有标识(IPMultimedia Private Identity，IMPI)、临时移动用户标识符(Temporary Mobile Subscriber Identity，TMSI)、IP多媒体公共标识(IP MultimediaPublic Identity，IMPU)、全球唯一临时UE标识(Globally Unique Temporary UEIdentity，GUTI)等等中的一项或多项。
具体的，用户设备安全能力用于表征用户设备可以支持的安全保护算法、可以支持的密钥长度、可以支持的密钥更新周期等。可以理解的是，不同用户设备的存储容量，运算速度各不相同，所以，不同用户设备支持的安全保护算法、支持的密钥长度以及支持的密钥更新周期各不相同。例如，物联网(Internet of Things，IoT)设备的存储容量不大，运算速度也不高，不能支持复杂度较高的安全保护算法；智能手机的存储容量大，运算速度也比较高，可以支持复杂度较高的安全保护算法。故此，用户设备需要将所述用户设备安全能力告知PCF，以便于PCF结合用户设备安全能力确定用户面保护机制。
具体的，设备安全需求用于指示所述用户设备的所需要的安全需求，也就是说，所述设备安全需求用于向PCF指示UE需要怎么样的用户面保护机制，例如，指示“需要加密+不需要完整性保护”；或者“需要加密+不需要完整性保护”；或者“需要加密+需要完整性保护”等等，还可以指示UE所需要的安全保护算法、UE可接受的密钥长度、UE可接受的密钥更新周期等。
具体的，业务安全需求用于表征业务可接受的安全性算法、可接受的密钥长度和可接受的密钥更新周期中至少一项。可以理解的是，不同业务对于安全性算法、密钥长度以及密钥更新周期的要求是不相同的。例如，金融业务对于安全性算法的要求比较高，而视频下载业务对于安全性算法的要求比较低。故此，第一设备需要将业务安全需求告知PCF，以便于PCF结合业务安全需求生成用户面保护机制。
6、PCF确定用户面保护机制。
在本发明具体实施例中，PCF可通过多种方式确定用户面保护机制。具体的，PCF可根据策略请求、UE注册信息、签约业务数据、AF反馈的业务安全需求中的至少一项确定用户面保护机制，即，PCF可根据indicator、业务安全需求、UE注册信息、签约业务数据、AF反馈的业务安全需求中的至少一项确定用户面保护机制。
其中，所述注册信息预置于UDM中，PCF从UDM获得所述UE注册信息。例如，PCF发送策略请求中的UE ID至UDM，进而从UDM获得的UE注册信息。所述UE注册信息包括预置的UE安全需求。所述UE安全需求用于表示UE是否需要加密，或者UE是否需要进行完整性保护，或者UE是否同时需要加密和完整性保护。SMF也可以将UE注册信息发送至PCF，此时SMF通过向UDM发送UE ID，进而获得UE注册信息。
其中，所述签约业务数据预置于UDM中，PCF从UDM获得所述签约业务数。例如，PC发送策略请求中的业务ID至UDM，或者发送策略请求中的DNN至UDM；UDM基于业务ID或DNN确认其中预置的签约业务数据，并将相关的签约业务数据发送至PCF。或者PCF发送策略请求中的UEID和业务ID至UDM，或者发送策略请求中的UE ID和DNN至UDM；UDM基于UE ID和业务ID，或UE ID和DNN确认其中预置的签约业务数据，并将相关的签约业务数据发送至PCF。也可能，在上述基础上，PCF将业务UE ID发送至UDM，以使UDM进行判断。其中，所述签约业务数据包括预置的业务安全需求，所述预置的业务安全需求用于指示业务需要什么样的用户面保护机制，例如指示业务是否需要加密，或者业务是否需要进行完整性保护，或者业务是否同时需要加密和完整性保护。
其中，所述AF反馈的业务安全需求预置于AF中，具体的，PCF向AF发送请求，AF基于请求向PCF反馈业务安全需求，其中，所述请求可包括UE ID，业务ID，业务UE ID，或DNN的至少一项。所述AF反馈的业务安全需求用于指示业务需要什么样的用户面保护机制，例如指示业务是否需要加密，或者是否需要进行完整性保护，或者是否同时需要加密和完整性保护。
在本发明实施例中，所述用户面保护机制用于指示用户面数据传输的保护方式，例如指示UE是否需要对用户面数据进行加密和/或完整性保护。用户面保护机制可以为“需要加密+不需要完整性保护”；或者为“需要加密+不需要完整性保护”；或者为“需要加密+需要完整性保护”。另外，本发明具体实施例中，所述用户面保护机制还可用于指示安全保护算法、UE可接受的密钥长度、UE可接受的密钥更新周期等。
具体的，在本发明实施例的具体实现中，用户面保护机制可以是服务数据流安全机制(Service Data Flow Security Protection，SDFSP。以下将以用户面保护机制为SDFSP为例进行阐述。
7、PCF向SMF发送用户面保护机制(SDFSP)，相应的，SMF获取所述用户面保护机制(SDFSP)。
在一具体实施例中，PCF直接向SMF发送SDFSP。
在另一具体实施例中，PCF将SDFSP封装在特定参数中，并将特定参数发送至SMF。例如，PCF将SDFSP封装在PCC rule中，PCF向SMF发送PCC rule，相应的，SMF获取所述PCCrule后，从PCC rule中获取SDFSP。
8、SMF基于用户面保护机制(SDFSP)确定QoS flow保护机制。
本发明实施例中，当用户面数据需要采用QoS flow传输通道进行数据传输时，为了获得基于QoS flow的安全机制(细粒度)，SMF需要确定该用户面数据对应的QoS flow(QFI)，进而需要确定该QoS flow对应的安全机制，后文将此QoS flow对应的安全机制称为QFI安全机制(QFI security protection)，简称为QFISP，其中QFI为QoS flow ID。
可选的，SMF可根据SDFSP需求和PCC rule中QoS需求确定QoS flow，其中，所述SDFSP需求为用户面保护机制所涉及的安全需求，所述QoS需求为对通信网络中时延、带宽、差错率等服务质量参数的需求。
可选的，SMF可根据SDFSP需求确定QoS flow，其中，所述SDFSP需求为用户面保护机制所涉及的安全需求。
在具体的实现中，在通信架构中预设有QoS flow通道，例如预设的QoS flow通道对应的标识为QoS flow ID1，QoS flow ID2，QoS flow ID3，QoS flow ID4。那么，(1)SMF可能根据SDFSP需求和PCC rule中QoS需求确定已有的QoS flow来传输用户面数据，例如选择QoS flow ID2；(2)SMF也可能根据SDFSP需求和PCC rule中QoS需求发现不能采用QoS flowID1或QoS flow ID2或QoS flow ID3或QoS flow ID4来传输用户面数据，故需要新建一个QoS flow通道，例如生成QoS flow ID5来传输用户面数据。仅根据SDFSP选择QoS flow的方式与上述类似。
需要说明的是，对于用户面数据为服务数据流(Service Data Flow，SDF)，如果不同的SDF具有相同的安全需求，那么可对具有相同的安全需求的SDF采用同一套QFISP进行安全保护。例如QoS flow包括SDF1和SDF2，SDF1对应的SDFSP1和SDF2对应的SDFSP2都是仅支持加密/不需要完整性保护。此时QoS flow的数据可以采用一套QFISP进行保护。此时QFISP与SDFSP相同。
可以理解的，SDFSP可以包括多种QFISP。例如，对于通信系统中四种服务数据流SDF1、SDF2、SDF3、SDF4，具有相同安全需求的SDF1、SDF2采用QFISP1(对应QoS flow ID1)作为安全机制，具有相同安全需求的SDF3、SDF4采用QFISP2(对应QoS flow ID2)作为安全机制。
还可以理解的，当所有的服务数据流都具有相同安全需求时(例如SDF1、SDF2、SDF3、SDF4具有相同安全需求时)，这些服务数据流对应的QFISP等同于SDFSP。
可选的，SMF可仅根据SDFSP需求进行QoS flow的选择，确定QoS flow，若存在满足SDFSP需求的QoS flow ID，则使用此QoS flow ID对应的QoS flow；否则重新生成QoSflow。
在具体的实施例中，在确定与用户面数据对应的QFISP后，SMF生成QoS rule，所述QoS rule中包括该QFISP。其中，QoS rule是一种参数，该参数用于向UE提供用户面数据对应的QFISP。
在具体的实施例中，在确定与用户面数据对应的QFISP后，SMF生成QoS profile，所述QoS profile中包括该QFISP。其中，QoS profile是一种参数，该参数用于向AN提供用户面数据对应的QFISP。
9、SMF通过AMF向AN发送QoS flow保护机制(QFISP)、QoS flow ID。
其中，在一具体实施例中，SMF通过AMF向AN直接发送QFISP、QoS flow ID。
在另一具体实施例中，SMF通过AMF向AN发送QoS rule、QoS profile和QoS flowID。其中QoS profile中包含QFISP。
可选的，SMF还可通过AMF向AN发送会话ID。
10、AN确定安全保护算法以及保护密钥。
具体的，AN根据QoS profile，建立会话ID和QoS flow ID至DRB的映射。AN在选择DRB时，可将具有相同的安全保护需求的QoS flow映射到同一个DRB。那么，AN可以通过确定DRB ID，确定此DRB内数据(即具有相同DRB ID的数据)的用户面保护机制相同。可选的，AN在确定用户面保护机制后，就可以采用密钥对用户面数据进行加密或者完整性保护。
在一种具体实施例中，若QFISP为是否加密/是否完整性保护，且QFISP不直接指定安全保护算法，那么，AN根据UE安全能力，AN支持的算法优先级列表和用户面保护机制确定安全保护算法，例如，当用户面保护机制为“需要加密+需要完整性保护”时，AN根据UE安全能力，AN支持的算法优先级列表确定加密算法为AES，完整性保护算法为AES。
又例如，若不需要加密，则加密算法为空。若不需要完整性保护，则完整性保护算法为空。
在另一种具体实施例中，若QFISP为是否加密/是否完整性保护，且QFISP直接指定安全保护算法，包括指定了加密算法和完整性保护算法，则AN可从QFISP中直接获取安全保护算法。例如在步骤6中，在确定了用户面保护机制后，PCF可获取AN支持的算法优先级列表，并基于AN支持的算法优先级列表以及UE支持的算法和用户设备安全能力确定空口保护算法，例如，在“需要加密+需要完整性保护”的用户面保护机制下,PCF进一步确定加密算法为AES，完整性保护算法为AES，并在用户面保护机制中携带上述安全保护算法。在这种情况下，由于用户面保护机制(QFISP)直接指定了加密算法和完整性保护算法，所以AN获得QFISP后，可从QFISP直接获取加密算法和完整性保护算法。
在本发明实施例中，AN可基于安全保护算法生成用户面保护密钥。具体的，AN基于所确定的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，AN基于所确定的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第一空口用户面保护密钥。
在具体的实现中，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID)，
或者，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)；
或者，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID,DRBID)；
或者，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID,session ID，flow ID)；
其中，K_AN为认证成功后，AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥(K_AN又可称为中间密钥)，AMF发送K_AN至AN；UP算法ID可以为加密算法ID，也可以为完整性保护算法ID；所述加密算法ID用于指示对应的加密算法，所述完整性保护算法ID用于指示对应的完整性保护算法。
11、AN向UE发送会话ID，QoS flow ID，安全保护算法，QoS flow保护机制(QFISP)。
其中，所述QFISP可以是携带于Qos rule中发送至UE的。
另外，QoS flow保护机制为可选。
12、UE确定用户面保护密钥。
具体的，UE获取会话ID，QFI，用户面安全算法和K_AN，并相应生成用户面保护密钥，其中，K_AN为认证成功后，UE根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥。
具体的，UE基于所接收的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，UE基于所接收的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第二空口用户面保护密钥。
在具体的实现中，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID)；
或者，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)；
或者，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID,DRBID)；
或者，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID,session ID，flow ID)；
其中，UP算法ID可以为加密算法ID，也可以为完整性保护算法ID；KDF为密钥推衍函数(Key Derivation Function，KDF)，包括但不限于以下密码推衍函数：HMAC(如HMAC-SHA256，HMAC-SHA1)，NMAC，CMAC，OMAC，CBC-MAC，PMAC，UMAC和VMAC以及HASH算法等等。
可以理解的，在具体应用场景实施用户面保护机制过程中，所述第一空口用户面保护密钥和第二空口用户面保护密钥可以是相同的密钥。在上行传输中，UE可基于第二空口用户面保护密钥对用户面数据进行加密性保护和/或进行完整性保护，AN接收到UE发送的上述用户面数据后，基于第一空口用户面保护密钥对用户面数据解密和/或完整性检验。在下行传输中，AN基于第一空口用户面保护密钥对用户面数据进行加密性保护和/或进行完整性保护，UE接收到AN发送的上述用户面数据后，基于第二空口用户面保护密钥对用户面数据解密和/或完整性检验。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：步骤4中，会话建立流程也可能是由AMF发起的，即AMF向SMF发送会话请求。这种情况下，所述会话请求中的用户设备标识(UE ID)、用户设备安全能力、indicator，或者DNN、业务ID、UE业务ID等等可以是AMF从接收到的附着请求中获取的，所述附着请求携带上述信息。
可能性2：在可能的实施例中，步骤7和步骤8的内容可以替换为：PCF直接确定QoSflow保护机制，将QoS flow保护机制发送至SMF。
可能性3：flow ID和session ID可能是在SMF发送策略请求前生成的。
还需要说明的是，上述图11实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，实施本发明实施例，可实现基于未来5G的通信架构，在会话建立的相关流程中，UE-AN完成基于flow传输通道粒度的策略协商，通过PCF根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制，UE和AN分别确定安全保护算法与密钥，从而实现对用户面数据的安全保护。
为了便于理解本发明实施例的方案，下面基于UE-AN，举例说明用户面数据在上行传输和下行传输过程中，应用上述图11基于flow的密钥配置方法的一些操作流程，具体描述如下：
(1)用户面数据基于flow的密钥配置方法的上行传输过程。
在UE侧，当用户面数据需要进行上行传输时，UE根据用户数据确定会话ID，进而确认QoS flow ID。例如，UE确定上行用户数据(IP packet)采用会话ID1(PDU session1)，进而确认QFI为QoS flow ID1，那么，通过UE-AN基于图11所示方法流程的协商，UE确定QoSflow ID1所对应安全保护机制(QFISP)，获得安全保护算法，包括加密算法和完整性保护算法；所以，UE基于加密算法和完整性保护算法采用相应保护密钥执行用户面数据的安全保护。
在AN侧，AN根据空口标识RB ID1(或DRB ID1)确认QoS flow ID1，那么，通过UE-AN基于图11所示方法流程的协商，UE确定QoS flow ID1所对应安全保护机制(QFISP)，获得安全保护算法，包括加密算法和完整性保护算法，在AN获取到UE上传的用户面数据后，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。需要说明的是，AN可以直接根据协议栈中QFI确定安全保护机制，或者UE根据空口协议栈中marking确定QFI，再确定安全机制。
(2)用户面数据基于flow的密钥配置方法的下行传输过程。
在AN侧，AN需要将用户面数据进行下行传输时，AN可根据QFI基于图11所示方法流程确认安全保护机制，例如确定QFI为QoS flow ID3，确定QoS flow ID3对应空口标识RBID3(DRB ID3)，进而确定QoS flow ID3对应的安全保护机制(QFISP)，获得安全保护算法，包括加密算法和完整性保护算法，基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
在UE侧，UE根据DRB ID3确认QFI为QoS flow ID3，AN可根据QFI基于图11所示方法流程确认QoS flow ID3对应的安全保护机制(QFISP)，获得安全保护算法，包括加密算法和完整性保护算法，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。需要说明的是，UE也可以直接根据协议栈中QFI确定安全保护机制，或者UE根据空口协议栈中marking确定QFI，再确定安全机制。
下面基于UE-AN，从区分粒度的角度描述本发明实施例提供的一种基于DRB的密钥配置方法，如图12所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE通过AN、AMF将附着请求发送至AUSF，
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
本发明实施例中，其中，所述附着请求至少包括用户设备标识(UE ID)。此外，可选的，所述附着请求还可以包括业务ID，UE业务ID，或者DNN，可选的，所述附着请求还可以包括安全需求的指示信息(indicator)。
4、UE通过AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
5、SMF向PCF发送策略请求。
6、PCF确定用户面保护机制。
7、PCF向SMF发送用户面保护机制(SDFSP)，相应的，SMF获取所述用户面保护机制(SDFSP)。
8、SMF基于用户面保护机制(SDFSP)确定QoS flow保护机制。
9、SMF通过AMF向AN发送QoS flow保护机制(QFISP)、QoS flow ID。
其中，在一具体实施例中，SMF通过AMF向AN直接发送QFISP；
在另一具体实施例中，SMF通过AMF向AN发送QoS rule和QoS profile。所述QoSrule中包括该QFISP，QoS rule用于向UE提供用户面数据对应的QFISP。所述QoS profile中包括该QFISP，QoS profile用于向AN提供用户面数据对应的QFISP。
可选的，SMF还可通过AMF向AN发送会话ID。
10、AN确定DRB，以及确定DRB保护机制。
本发明实施例中，用户面数据可以基于DRB实现数据传输中的安全保护机制。
具体的，为了获得基于DRB的安全保护机制(细粒度)，AN需要确定QoS flow对应的DRB，建立会话ID和QoS flow ID至DRB ID的映射，进而需要确定该DRB ID对应的安全机制，后文将DRB ID对应的安全机制称为DRB安全机制(DRB security protection)，简称为DRBSP。
可选的，AN可根据QFISP需求和QoS的需求确定DRB ID，所述DRB ID既需满足QoSprofile中对于QoS的需求，同时满足QFISP需求。其中，所述QFISP需求为QoS flow所涉及的安全需求(例如，仅加密，不需要完整性保护)，所述QoS的需求为对通信网络中时延、带宽、差错率等服务质量参数的需求。
可选的，AN可根据QFISP需求确定DRB ID，所述DRB ID需满足QFISP需求。
在具体的实现中，在通信架构中预设有DRB通道，例如预设的DRB通道对应的标识为DRB ID1，DRB ID2，DRB ID3，DRB ID4。那么，(1)SMF可能根据QFISP需求和profile中对于QoS的需求确定已有的DRB来承载QoS flow或用户面数据，例如选择DRB ID1；(2)SMF也可能根据QFISP需求和profile中对于QoS的需求发现不能采用DRB ID1或DRB ID2或DRB ID3或DRB ID4来承载QoS flow或用户面数据，故需要新建一个DRB通道，例如生成DRB ID5来承载QoS flow或用户面数据。
需要说明的是，如果不同QoS flow(或不同的SDF)具有相同的安全需求，那么可对具有相同的安全需求的QoS flow采用同一套DRBSP进行安全保护。例如DRB包括QoS flow1和QoS flow2，QoS flow1对应的QFISP1和QoS flow2对应的QFISP2都是仅支持加密/不需要完整性保护。此时DRB承载的数据可以采用一套DRBSP进行保护。
可以理解的，不同的DRB可具有不同的DRBSP。例如，对于通信系统中四种服务数据流QoS flow1、QoS flow2、QoS flow3、QoS flow4，具有相同安全需求的QoS flow1、QoSflow2采用DRBSP1(对应DRB ID1)作为安全机制，具有相同安全需求的QoS flow3、QoSflow4采用DRBSP2(对应DRB ID2)作为安全机制。
可选的，AN可仅根据QFISP需求进行DRB ID的选择，确定DRB，若存在满足QFISP需求的DRB ID，则使用此DRB ID对应的DRB；否则重新生成DRB。
11、AN确定安全保护算法以及用户面保护密钥。
在一种具体实施例中，若DRBSP为是否加密/是否完整性保护，且DRBSP不直接指定安全保护算法，那么，AN根据UE安全能力，AN支持的算法优先级列表和用户面保护机制确定安全保护算法例如，DRBSP要求加密，但不要求完整性保护，另外，UE安全能力支持AES加密/ZUC加密，但AN支持AES加密为第一优先级，则AN选择加密算法AES，完整性保护算法为空算法。
在另一种具体实施例中，若DRBSP为是否加密/是否完整性保护，且DRBSP直接指定安全保护算法，包括指定了加密算法和完整性保护算法，则AN可从DRBSP中直接获取安全保护算法。
在本发明实施例中，AN可基于安全保护算法生成用户面保护密钥。具体的，AN基于所确定的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，AN基于所确定的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第一空口用户面保护密钥。
在具体的实现中，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID)，
或者，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID,DRB ID)，
或者，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)，
或者，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID,session ID，flow ID)，
或者，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID,session ID，DRB ID)，
其中，K_AN为认证成功后，AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，AMF发送K_AN至AN；UP算法ID可以为加密算法ID，也可以为完整性保护算法ID；所述加密算法ID用于指示对应的加密算法，所述完整性保护算法ID用于指示对应的完整性保护算法。
12、AN向UE发送会话ID，QoS flow ID，安全保护算法，QoS flow保护机制(QFISP)，DRB保护机制(DRBSP)。
其中，所述QFISP和/或DRBSP可以是携带于Qos rule中发送至UE的。
其中，QFISP为可选。
其中，DRBSP为可选。
13、UE确定用户面保护密钥。
UE获取会话ID，QFI，用户面安全算法，QFISP，DRBSP和K_AN，并相应生成用户面保护密钥；
或者UE获取会话ID，QFI和用户面安全算法。UE根据获取的会话ID，QFI，用户面安全算法和K_AN生成用户面保护密钥。
具体的，UE基于所接收的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，UE基于所接收的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第二空口用户面保护密钥。
在具体的实现中，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID)，
或者，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID,DRB ID)，
或者，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)，
或者，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID,session ID，flow ID)，
或者，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID,session ID，DRB ID)。
其中，K_AN为认证成功后，UE根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥；UP算法ID可以为加密算法ID，也可以为完整性保护算法ID；KDF为密钥推衍函数(Key Derivation Function，KDF)，包括但不限于以下密码推衍函数：HMAC(如HMAC-SHA256，HMAC-SHA1)，NMAC，CMAC，OMAC，CBC-MAC，PMAC，UMAC和VMAC以及HASH算法等等。
需要说明的是，对于图13实施例中没有详细描述的步骤，可以参考图11实施例中的相关描述。上述图12实施例仅作为一种示例，不应视为对本发明的限制。
还需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：步骤4中，会话建立流程也可能是由AMF发起的，即AMF向SMF发送会话请求。这种情况下，所述会话请求中的用户设备标识(UE ID)、用户设备安全能力、indicator，或者DNN、业务ID、UE业务ID等等可以是AMF从接收到的附着请求中获取的，所述附着请求携带上述信息。
可能性2：在可能的实施例中，步骤7和步骤8的内容可以替换为：PCF直接确定QoSflow保护机制，将QoS flow保护机制发送至SMF。
可能性3：flow ID和session ID可能是在SMF发送策略请求前生成的。
可以看出，图12实施例和图11实施例区别在于，UE-AN之间采用基于DRB传输通道粒度进行策略协商。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立的相关流程中，UE-AN完成基于DRB传输通道粒度的策略协商，通过PCF根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制，UE和AN分别确定安全保护算法与密钥，从而实现对用户面数据的安全保护。
下面基于UE-AN，举例简单说明用户面数据在上行传输和下行传输过程中，应用上述图12基于DRB的密钥配置方法的一些操作流程，描述如下：
(1)用户面数据基于DRB的密钥配置方法的上行传输过程。
在UE侧，UE根据用户数据确定会话ID，进而确认QFI，以及DRB ID，根据DRB ID进一步确定安全保护机制(DRBSP)，在确定了加密算法和完整性保护算法后，采用相应的用户面保护密钥执行用户面数据的安全性保护。
在AN侧，AN根据DRB ID确认，确定对应的安全保护机制(DRBSP)，)，获得安全保护算法，包括加密算法和完整性保护算法，在AN获取到UE上传的用户面数据后，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
(2)用户面数据基于DRB的密钥配置方法的下行传输过程。
在AN侧，AN需要将用户面数据进行下行传输时，AN根据QFI确认DRB，之后确定DRB对应安全保护机制(DRBSP)，获得安全保护算法，包括加密算法和完整性保护算法，基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
在UE侧，UE根据DRB ID确认，对应安全保护机制(DRBSP)，获得安全保护算法，包括加密算法和完整性保护算法，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
下面基于UE-AN，从区分粒度的角度描述本发明实施例提供的一种基于session的密钥配置方法，如图13所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE通过AN、AMF将附着请求发送至AUSF，
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
本发明实施例中，其中，所述附着请求至少包括用户设备标识(UE ID)。此外，可选的，所述附着请求还可以包括业务ID，UE业务ID，或者DNN，可选的，所述附着请求还可以包括安全需求的指示信息(indicator)。
4、UE通过AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
5、SMF向PCF发送策略请求。
6、PCF确定用户面保护机制。
7、PCF向SMF发送用户面保护机制(SDFSP)，相应的，SMF获取所述用户面保护机制(SDFSP)。
8、SMF确定会话保护机制。
本发明实施例中，当用户面数据需要采用session传输通道或者DRB传输通道或者QoS flow传输通道进行数据传输时，还可以基于session实现数据传输中的安全保护机制。
具体的，SMF可基于不同PCC rule中SDFSP确定会话保护机制。或者SMF直接从PCF处接收到会话保护机制。
9、SMF通过AMF向AN发送QFISP、会话保护机制、QoS flow ID。
其中，在一具体实施例中，SMF通过AMF向AN直接发送会话ID，会话保护机制、QoSflow ID；
在另一具体实施例中，SMF通过AMF向AN发送QoS rule、QoS profile、QoS flowID。所述QoS rule中包括会话保护机制，QoS rule用于向UE提供用户面数据对应的会话保护机制。所述QoS profile中包括该会话保护机制，QoS profile用于向AN提供用户面数据对应的会话保护机制。
可选的，SMF还可通过AMF向AN发送会话ID。
10、AN确定确定安全保护算法以及用户面保护密钥。
在一种具体实施例中，若会话保护机制为是否加密/是否完整性保护，且会话保护机制不直接指定安全保护算法，那么，AN根据UE安全能力，AN支持的算法优先级列表和用户面保护机制确定安全保护算法。例如，会话保护机制要求加密，但不要求完整性保护，另外，UE安全能力支持AES加密/ZUC加密，但AN支持AES加密为第一优先级，则AN选择加密算法AES，完整性保护算法为空算法。
在另一种具体实施例中，若会话保护机制为是否加密/是否完整性保护，且会话保护机制直接指定安全保护算法，包括指定了加密算法和完整性保护算法，则AN可从会话保护机制中直接获取安全保护算法。
在本发明实施例中，AN可基于安全保护算法生成用户面保护密钥。具体的，AN基于所确定的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，AN基于所确定的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第一空口用户面保护密钥。
在具体的实现中，第一空口用户面保护密钥＝KDF(K_AN,UP算法ID)，
或者，第一空口用户面保护密钥＝KDF(K_SMF,UP算法ID,flow ID)，
或者，KDF(K_SMF,UP算法ID,session ID)，
或者，KDF(K_SMF,UP算法ID,DRB ID)；
其中，K_AN为认证成功后，AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，AMF发送K_AN至AN；UP算法ID可以为加密算法ID，也可以为完保算法ID；DRB ID可以为AN为此项业务分配的DRB标识。
11、AN向UE发送会话ID，QoS flow ID，安全保护算法，会话保护机制。
其中，所述会话保护机制可以是携带于Qos rule中发送至UE的。
另外，会话保护机制为可选。
12、UE确定保护密钥。
UE获取会话ID，QFI，用户面安全算法，会话保护机制和K_AN，并相应生成用户面保护密钥；
具体的，UE基于所接收的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，UE基于所接收的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第二空口用户面保护密钥。
在具体的实现中，第二空口用户面保护密钥＝KDF(K_AN,UP算法ID)，
或者，第二空口用户面保护密钥＝KDF(K_SMF,UP算法ID,flow ID)，
或者，第二空口用户面保护密钥＝KDF(K_SMF,UP算法ID,session ID)，
或者，第二空口用户面保护密钥＝KDF(K_SMF,UP算法ID,DRB ID)；
其中，其中，K_AN为认证成功后，AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，UE发送K_AN至UE。；UP算法ID可以为加密算法ID，也可以为完保算法ID；DRB ID可以为AN为此项业务分配的DRB标识。KDF为密钥推衍函数(KeyDerivation Function，KDF)，包括但不限于以下密码推衍函数：HMAC(如HMAC-SHA256，HMAC-SHA1)，NMAC，CMAC，OMAC，CBC-MAC，PMAC，UMAC和VMAC以及HASH算法等等。
需要说明的是，对于图13实施例中没有详细描述的步骤，可以参考图11实施例中的相关描述。上述图13实施例仅作为一种示例，不应视为对本发明的限制。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：步骤4中，会话建立流程也可能是由AMF发起的，即AMF向SMF发送会话请求。这种情况下，所述会话请求中的用户设备标识(UE ID)、用户设备安全能力、indicator，或者DNN、业务ID、UE业务ID等等可以是AMF从接收到的附着请求中获取的，所述附着请求携带上述信息。
可能性2：flow ID和session ID可能是在SMF发送策略请求前生成的。
可以看出，图13实施例和图11实施例区别在于，UE-AN之间采用基于PDU session传输通道粒度进行策略协商。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立的相关流程中，UE-AN完成基于PDU session传输通道粒度的策略协商，通过PCF根据用户设备侧所需要的安全需求(包括不同业务的安全需求)和网络侧所预置的安全需求确定用户面保护机制，UE和AN分别确定安全保护算法与密钥，从而实现对用户面数据的安全保护。
为了便于理解本发明实施例的方案，下面基于UE-AN，举例说明用户面数据在上行传输和下行传输过程中，应用上述图13基于session的密钥配置方法的一些操作流程，具体描述如下：
(1)用户面数据基于session的密钥配置方法的上行传输过程。
在UE侧，UE根据用户数据确定会话ID，进而确认会话ID对应安全保护机制(会话保护机制)，获得安全保护算法，包括加密算法和完整性保护算法；所以，UE基于加密算法和完整性保护算法采用相应保护密钥执行用户面数据的安全保护。
在AN侧，AN根据DRB ID确认QoS flow ID，进而确认会话ID，最终确定会话ID对应安全保护机制(会话保护机制)，在AN获取到UE上传的用户面数据后，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。或者，根据DRB ID直接确定会话ID；或者AN根据协议栈的QFI，或者根据协议栈中marking确定QFI。
(2)用户面数据基于session的密钥配置方法的下行传输过程。
在AN侧，AN需要将用户面数据进行下行传输时，AN根据QFI确认会话ID，进而确认安全保护机制(会话保护机制)，获得安全保护算法，包括加密算法和完整性保护算法，基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。或者，根据DRB ID直接确定会话ID；或者，根据协议栈中会话ID，确认安全保护机制(会话保护机制)。
在UE侧，UE根据DRB ID确认QoS flow ID，进而确认会话ID，最终确定会话ID对应安全保护机制(会话保护机制)，获得安全保护算法，包括加密算法和完整性保护算法，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
下面基于UE-CN，从区分粒度的角度描述本发明实施例提供的一种基于flow的密钥配置方法，如图14所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE通过AN、AMF将附着请求发送至AUSF，
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
4、UE通过AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
会话请求用于请求在于UE和SMF之间建立会话。例如，如果会话是通过会话建立协议建立的，那么，所述会话请求即为会话建立请求信令。
5、SMF向PCF发送策略请求。
可参考图11实施例步骤5的描述，这里不再赘述。
6、PCF确定用户面保护机制。
可参考图11实施例步骤6的描述，这里不再赘述。
7、PCF向SMF发送用户面保护机制(SDFSP)，相应的，SMF获取所述用户面保护机制(SDFSP)。
可参考图11实施例步骤7的描述，这里不再赘述。
8、SMF基于用户面保护机制(SDFSP)确定QoS flow保护机制(QFISP)。
可参考图11实施例步骤8的描述，这里不再赘述。
9、所述SMF确定安全保护算法，确定用户面保护密钥。
在一种具体实施例中，若QFISP为是否加密/是否完整性保护，且QFISP不直接指定安全保护算法，那么，SMF根据UE安全能力、UPF支持的算法优先级列表、QFISP确定安全保护算法，其中，所述UPF支持的算法优先级列表可以预置于SMF，也可以是预置于UPF中，SMF从UPF获取所述UPF支持的算法优先级列表。例如，当用户面保护机制为“需要加密+需要完整性保护”时，SMF根据UE安全能力、UPF支持的算法优先级列表、UE支持的算法确定加密算法为AES，完整性保护算法为AES。若不需要加密，则加密算法为空。若不需要完整性保护，则完整性保护算法为空。
在另一种具体实施例中，若QFISP为是否加密/是否完整性保护，且QFISP直接指定安全保护算法，包括指定了加密算法和完整性保护算法，则SMF可从QFISP中直接获取安全保护算法。例如在步骤6中，在确定了用户面保护机制后，PCF可获取UPF支持的算法优先级列表，其中，所述UPF支持的算法优先级列表可以预置于AMF，也可以是预置于UPF中，AMF从UPF获取所述UPF支持的算法优先级列表。PCF基于UE安全能力、UPF支持的算法优先级列表、QFISP确定空口保护算法，例如，在“需要加密+需要完整性保护”的用QFISP下,PCF进一步确定加密算法为AES，完整性保护算法为AES，并在QFISP中携带上述安全保护算法。在这种情况下，用户面保护机制(QFISP)直接指定了加密算法和完整性保护算法，SMF直接确定加密算法和完整性保护算法。
在本发明实施例中，SMF可基于安全保护算法生成用户面保护密钥。具体的，SMF基于所确定的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，SMF基于所确定的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第一空口用户面保护密钥。
在具体的实现中，第一空口用户面保护密钥＝KDF(K_SMF,UP算法ID)，
或者，第一空口用户面保护密钥＝KDF(K_SMF,UP算法ID,flow ID)；
或者，第二空口用户面保护密钥＝KDF(K_SMF,UP算法ID,DRBID)；
或者，第一空口用户面保护密钥＝KDF(K_SMF,UP算法ID,session ID)；
其中，K_SMF为认证成功后，AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，AMF发送K_SMF至SMF；也可能，K_SMF为认证成功后，AUSF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，AUSF发送K_SMF至SMF。UP算法ID可以为加密算法ID，也可以为完整性保护算法ID；所述加密算法ID用于指示对应的加密算法，所述完整性保护算法ID用于指示对应的完整性保护算法。
10、所述SMF向UPF发送安全保护算法、或用户面保护密钥。相应的，UPF接收安全保护算法或用户面保护密钥。
在可能的实施例中，如果UPF接收到用户面保护密钥，则将用户面保护密钥作为UPF的用户面保护密钥。
在可能的实施例中，如果UPF仅接收到安全保护算法，没有收到用户面保护密钥，则UPF可基于安全保护算法和K_SMF计算获得用户面保护密钥(可参考上述相关描述)，该用户面保护密钥即为UPF的用户面保护密钥。其中，K_SMF为认证成功后，AMF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，具体的，AMF发送K_SMF至UPF；或者，K_SMF为认证成功后，AUSF根据认证后密钥或认证后再次推衍得到的密钥，推衍出的密钥，AUSF发送K_SMF至UPF。
11、SMF通过AMF向AN发送发送会话ID，QoS flow ID，安全保护算法，QoS flow保护机制(QFISP)。
其中，所述QFISP可以是携带于Qos rule中发送至UE的。
另外，QoS flow保护机制为可选。
12、AN向UE发送发送会话ID，QoS flow ID，安全保护算法，QoS flow保护机制(QFISP)。
13、UE确定用户面保护密钥。
可参考图11实施例步骤12的描述，这里不再赘述。
需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：步骤4中，会话建立流程也可能是由AMF发起的，即AMF向SMF发送会话请求。这种情况下，所述会话请求中的用户设备标识(UE ID)、用户设备安全能力、indicator，或者DNN、业务ID、UE业务ID等等可以是AMF从接收到的附着请求中获取的，所述附着请求携带上述信息。
可能性2：在可能的实施例中，步骤7和步骤8的内容可以替换为：PCF直接确定QoSflow保护机制，将QoS flow保护机制发送至SMF。
可能性3：flow ID和session ID可能是在SMF发送策略请求前生成的。
可能性4：若QFISP包括具体安全保护算法，那么SMF也可发送QFISP至UPF，UPF获取QFISP中的安全保护算法。
可能性5：若QFISP中未包含安全保护算法，那么步骤9步骤13还可以通过以下方式实现安全保护：
(替换步骤9)SMF计算第一K_UP，K_UP＝KDF(K_SMF,会话ID)；或者K_UP＝KDF(K_SMF,QoS flow ID)；
(替换步骤10)SMF发送会话ID，QFI和第一K_UP至UPF。
(替换步骤11)SMF通过AMF向AN发送会话ID，QFI和QFISP。
(替换步骤12)AN发送会话ID，QFI和QFISP至UE；
(替换步骤13)UE基于K_SMF生成第二K_UP。K_SMF为认证成功后，UE根据认证后密钥，或认证后再次推衍得到的密钥，推衍出的密钥。
(增加步骤14)UPF与UE再协商安全保护算法，再分别基于第一K_UP和第二K_UP生成UPF的用户面保护密钥和UE的用户面保护密钥。
还需要说明的是，图14实施例中没有详细描述的地方可参考图11实施例的相关描述，上述图14实施例仅作为一种示例，不应视为对本发明的限制。
可以看出，图14实施例与图11实施例的主要区别在于，UE-CN之间采用基于flow传输通道粒度进行策略协商，这个过程中AN不需要安全设置。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立流程中，UE-CN完成基于flow传输通道粒度的策略协商，通过PCF确定用户面保护机制后，UE和CN分别确定用户面保护密钥，从而实现对用户面数据的安全保护。实施本发明实施例可实现UE与核心网之间网络安全保护，避免hop-by-hop分段保护方式的弊端，提高用户面数据传输的安全性。
为了便于理解本发明实施例的方案，下面基于UE-CN，举例说明用户面数据在上行传输和下行传输过程中，应用上述图14基于flow的密钥配置方法的一些操作流程，具体描述如下：
(1)用户面数据基于flow的密钥配置方法的上行传输过程。
在UE侧，UE根据用户数据确定会话ID，进而确认QFI，再确定对应安全保护机制(QFISP)，获得安全保护算法，包括加密算法和完整性保护算法；所以，UE基于加密算法和完整性保护算法采用相应保护密钥执行用户面数据的安全保护。
在UPF侧，UPF在根据QoS flow ID，确定QFI对应安全保护机制(QFISP)后，UPF获得安全保护算法，包括加密算法和完整性保护算法，在UPF获取到UE上传的用户面数据后，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
(2)用户面数据基于flow的密钥配置方法的下行传输过程。
在UPF侧，在需要将用户面数据进行下行传输时，UPF根据可根据QFI基于图14所示方法流程确认安全保护机制(QFISP)，获得安全保护算法，包括加密算法和完整性保护算法，基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
在UE侧，UE根据DRB ID确认QoS flow ID，最终确定QFI对应安全保护机制，获得安全保护算法，包括加密算法和完整性保护算法，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
下面基于UE-CN，从区分粒度的角度描述本发明实施例提供的一种基于session的密钥配置方法，如图15所示，本发明实施例提供的密钥配置方法包括如下步骤：
1-3、在附着网络的过程中，UE通过AN、AMF将附着请求发送至AUSF，
AUSF基于UE ID执行与UE的认证，确定UE为合法用户。
本发明实施例中，其中，所述附着请求至少包括用户设备标识(UE ID)。此外，可选的，所述附着请求还可以包括业务ID，UE业务ID，或者DNN，可选的，所述附着请求还可以包括安全需求的指示信息(indicator)。
4、UE通过AMF向SMF发送会话请求，相应的，SMF接收所述会话请求。
5、SMF向PCF发送策略请求。
6、PCF确定用户面保护机制。
7、PCF向SMF发送用户面保护机制(SDFSP)，相应的，SMF获取所述用户面保护机制(SDFSP)。
8、SMF确定会话保护机制。
9、SMF确定安全保护算法以及用户面保护密钥。
在一种具体实施例中，若会话保护机制为是否加密/是否完整性保护，且会话保护机制不直接指定安全保护算法，那么，SMF根据UE安全能力、UPF支持的算法优先级列表、会话保护机制确定安全保护算法，其中，所述UPF支持的算法优先级列表可以预置于SMF，也可以是预置于UPF中，SMF从UPF获取所述UPF支持的算法优先级列表。例如，当用户面保护机制为“需要加密+需要完整性保护”时，SMF根据UE安全能力、UPF支持的算法优先级列表、UE支持的算法确定加密算法为AES，完整性保护算法为AES。若不需要加密，则加密算法为空。若不需要完整性保护，则完整性保护算法为空。
在另一种具体实施例中，若会话保护机制为是否加密/是否完整性保护，且会话保护机制直接指定安全保护算法，包括指定了加密算法和完整性保护算法，则SMF可从会话保护机制中直接获取安全保护算法。
在本发明实施例中，SMF可基于安全保护算法生成用户面保护密钥。具体的，SMF基于所确定的加密算法计算出用于加密性保护的密钥，获得空口用户面加密密钥；或者，SMF基于所确定的完整性保护算法计算出用于完整性保护的密钥，获得空口用户面完整性保护密钥。上述空口用户面加密密钥和空口用户面完整性保护密钥可统称为第一空口用户面保护密钥。
在具体的实现中，第一空口用户面保护密钥＝KDF(K_SMF,UP算法ID)，
或者，第一空口用户面保护密钥＝KDF(K_SMF,UP算法ID,flow ID)；
或者，第二空口用户面保护密钥＝KDF(K_SMF,UP算法ID,DRBID)；
或者，第一空口用户面保护密钥＝KDF(K_SMF,UP算法ID,session ID)；
其中，K_SMF为认证成功后，AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，AMF发送K_SMF至SMF；也可能，K_SMF为认证成功后，AUSF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，AUSF发送K_SMF至SMF。UP算法ID可以为加密算法ID，也可以为完整性保护算法ID；所述加密算法ID用于指示对应的加密算法，所述完整性保护算法ID用于指示对应的完整性保护算法。
10、SMF向UPF发送用户面保护密钥，或安全保护算法；相应的，UPF接收用户面保护密钥，或安全保护算法。
11、SMF通过AMF向AN发送会话ID，QoS flow ID，安全保护算法，QFISP，会话保护机制。
12、AN向UE发送会话ID，QoS flow ID，安全保护算法，QFISP，会话保护机制。
13、UE确定用户面保护密钥。
需要说明的是，本实施例没有详细描述的部分，可以参考图13实施例的相关描述。
还需要说明的是，在本实施例上述方法流程中，可能存在以下实施方式：
可能性1：步骤4中，会话建立流程也可能是由AMF发起的，即AMF向SMF发送会话请求。这种情况下，所述会话请求中的用户设备标识(UE ID)、用户设备安全能力、indicator，或者DNN、业务ID、UE业务ID等等可以是AMF从接收到的附着请求中获取的，所述附着请求携带上述信息。
可能性2：在可能的实施例中，步骤7和步骤8的内容可以替换为：PCF直接确定会话保护机制，将会话保护机制发送至SMF。
可能性3：flow ID和session ID可能是在SMF发送策略请求前生成的。
可能性4：若会话保护机制包括具体安全保护算法，那么SMF也可发送会话保护机制至UPF，UPF获取会话保护机制中的安全保护算法。
可能性5：若QFISP中未包含安全保护算法，那么步骤9步骤13还可以通过以下方式实现安全保护：
(替换步骤9)SMF计算第一K_UP，K_UP＝KDF(K_SMF,会话ID)；或者K_UP＝KDF(K_SMF,QoS flow ID)；
(替换步骤10)SMF发送会话ID，QFI和第一K_UP至UPF。
(替换步骤11)SMF通过AMF向AN发送会话ID，QFI，会话保护机制和QFISP。
(替换步骤12)AN发送会话ID，QFI，会话保护机制和QFISP至UE；
(替换步骤13)UE基于K_SMF生成第二K_UP。K_SMF为认证成功后，UE根据认证后密钥，或认证后再次推衍得到的密钥，推衍出的密钥。
(增加步骤14)UPF与UE再协商安全保护算法，再分别基于第一K_UP和第二K_UP生成UPF的用户面保护密钥和UE的用户面保护密钥。
可以看出，图15实施例与图11实施例的主要区别在于，UE-CN之间采用基于session传输通道粒度进行策略协商，这个过程中AN不需要安全设置。
实施本发明实施例，可实现基于未来5G的通信架构，在会话建立流程中，UE-CN完成基于session传输通道粒度的策略协商，通过PCF确定用户面保护机制后，UE和CN分别确定用户面保护密钥，从而实现对用户面数据的安全保护。实施本发明实施例可实现UE与核心网之间网络安全保护，避免hop-by-hop分段保护方式的弊端，提高用户面数据传输的安全性。
为了便于理解本发明实施例的方案，下面基于UE-CN，举例说明用户面数据在上行传输和下行传输过程中，应用上述图15基于session的密钥配置方法的一些操作流程，具体描述如下：
(1)用户面数据基于session的密钥配置方法的上行传输过程。
在UE侧，当用户面数据需要进行上行传输时，UE根据用户数据确定会话ID，进而确认会话ID对应安全保护机制(会话保护机制)，获得安全保护算法，包括加密算法和完整性保护算法；所以，UE基于加密算法和完整性保护算法采用相应保护密钥执行用户面数据的安全保护。
在UPF侧，UPF根据QFI确认确认会话ID，最终确定会话ID对应安全保护机制(会话保护机制)，获得安全保护算法，包括加密算法和完整性保护算法，在UPF获取到UE上传的用户面数据后，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
(2)用户面数据基于session的密钥配置方法的下行传输过程。
在UPF侧，需要将用户面数据进行下行传输时，UPF根据会话ID确认安全保护机制(会话保护机制)，获得安全保护算法，包括加密算法和完整性保护算法，基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。
在UE侧，UE根据DRB ID确认QoS flow ID，进而确认会话ID，最终确定会话ID对应安全保护机制(会话保护机制)，获得安全保护算法，包括加密算法和完整性保护算法，可基于加密算法和完整性保护算法采用相应密钥执行用户面数据的安全保护。其中，可选的，可以根据DRB ID直接确定会话ID；或者，可选的，UE根据数据格式确定会话ID。
在本文上述实施例中，需要说明的是：二次认证可以为可选步骤。若二次认证执行了，SMF或者AMF可以根据二次认证的结果，确定是否授权UE接入此会话。认证成功，代表允许UE接入此会话，进而执行用户面安全机制的判定。也可能SMF或者AMF可以根据二次认证的结果，确定是否执行用户面安全机制的判定。
在本文上述实施例中，还需要说明的是：UE，AN或者UPF在用户面保护密钥推衍中用到的ID和参数，部分ID和需求可以通过核心网网元(例如，AMF，SMF，SEAF等)发送至UE，AN或者UPF，以使UE，AN或者UPF可以正确的推衍用户面保护密钥。另外，UE中用到的ID和参数，也可以通过AN或者UPF发送至UE。
在本文上述实施例中，还需要说明的是，用户面安全机制可以为算法的优先级列表。此时AN或UPF之后，可以根据用户面安全机制，UE安全能力和AN/UPF支持的安全算法，确定用户面安全算法。例如，选择用户面安全机制中优先级最高的算法，同时UE和AN/UPF同时支持的安全算法作为用户面安全算法。
在本文上述实施例中，还需要说明的是：
(1)针对采用SMF确定用户面安全机制的实施例，需要支持以下可能性：
SMF首先根据UE的注册信息判断是否需要请求PCF(或者是否需要动态的用户面安全机制)，进而获得PCF响应的用户面安全机制。
若不需要请求PCF(或者不需要动态的用户面安全机制)，此时SMF根据UE注册信息中预置的用户面安全机制确定UE的用户面保护机制。或者SMF通过向UDM发送DNN，或业务ID，或DNN和业务ID，从UDM获得签约业务数据，SMF根据签约业务数据中预置的用户面安全机制确定UE的用户面保护机制。
若需要请求PCF(或者需要动态的用户面安全机制)，SMF则发送策略请求，进而从PCF获得用户面安全机制。此方式与上述实施例中请求PCF的流程相同。
(2)针对采用AMF确定用户面安全机制的实施例，需要支持以下可能性：
AMF首先根据UE的注册信息判断是否需要请求PCF(或者是否需要动态的用户面安全机制)，进而获得PCF响应的用户面安全机制。
若不需要请求PCF(或者不需要动态的用户面安全机制)，此时AMF根据UE注册信息中预置的用户面安全机制确定UE的用户面保护机制。或者AMF通过向UDM发送DNN，或业务ID，或DNN和业务ID，从UDM获得签约业务数据，AMF根据签约业务数据中预置的用户面安全机制确定UE的用户面保护机制。
若需要请求PCF(或者需要动态的用户面安全机制)，AMF则发送策略请求，进而从PCF获得用户面安全机制。此方式与上述实施例中请求PCF的流程相同。
上述详细阐述了本发明实施例的方法，为了便于更好地实施本发明实施例的上述方案，相应地，下面提供了本发明实施例的其中一些装置。
请参见图16，图16是本发明实施例提供的一种策略功能网元的结构示意图，该策略功能网元可以包括接收模块110、策略模块120以及发送模块130，其中，各个单元的详细描述如下：
所述接收模块110用于接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述策略模块120用于基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护。
所述发送模块130用于，当所述网络设备为接入网AN设备时，向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
所述发送模块130还用于，当所述网络设备为核心网CN设备时，向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
可选的，所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
可选的，所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
具体的，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
具体的，所述CN设备为用户面节点UPF；
其中，具体的，所述算法网元包括所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的至少一个。
需要说明的是，各个模块单元的实现还可以对应参照图3-图5所示的方法实施例的相应描述，这里不再赘述。
参见图17，本发明实施例提供又一种策略功能网元，该策略功能网元包括处理器210、存储器220和发射器230以及接收器240，所述处理器210、存储器220和发射器230以及接收器240相连接(如通过总线相互连接)。
存储器220包括但不限于是随机存储记忆体(英文：Random Access Memory，简称：RAM)、只读存储器(英文：Read-Only Memory，简称：ROM)、可擦除可编程只读存储器(英文：Erasable Programmable Read Only Memory，简称：EPROM)、或便携式只读存储器(英文：Compact Disc Read-Only Memory，简称：CD-ROM)，该存储器1302用于相关指令及数据。收发器1303用于接收和发送数据。
发射器230用于发射数据或信令，接收器240用于接收数据或信令。
处理器210可以是一个或多个中央处理器(英文：Central Processing Unit，简称：CPU)，在处理器210是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。
该处理器210用于读取所述存储器220中存储的程序代码，执行以下操作：
通过接收器240接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
处理器210基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护。
当所述网络设备为接入网AN设备时，利用发射器230向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，利用发射器230向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
可选的，所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
可选的，所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
具体的，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
其中，所述CN设备为用户面节点UPF；所述算法网元包括所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的至少一个。
可选的所述AN设备用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、所述用户设备安全能力、所述AN设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
可选的所述算法网元用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、所述用户设备安全能力、所述CN设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
可选的，当所述网络设备为接AN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述AN设备从所述AMF获得所述K_AN；
当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_算法网元，UP算法ID)，其中，所述K_算法网元为认证成功后，所述AMF或所述AUSF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述算法网元从所述AMF或所述AUSF获得所述K_算法网元；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
可选的，所述用户面数据通过服务质量流Qos flow传输通道承载；
若已存在Qos flow传输通道对应的服务质量流标识QoS flow ID，所述QoS flowID对应QoS flow满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该Qos flow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
若已存在Qos flow传输通道对应的QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，则选择该Qos flow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
其中，所述Qos需求为对通信网络中服务质量参数的需求。
可选的，所述用户面数据通过数据无线承载DRB传输通道承载；
若已存在DRB传输通道对应的数据无线承载标识DRB ID，所述DRB ID对应DRB满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
或者，若已存在DRB传输通道对应的DRB ID，所述DRB ID对应DRB满足用户面保护机制，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID。
其中，所述DRB ID与所述用户面保护机制具有映射关系。
可选的所述用户面数据通过会话session传输通道承载；
若已存在session传输通道对应的会话标识session ID，所述session ID对应session满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID。
或者，若已存在session传输通道对应的session ID，所述session ID对应session满足用户面保护机制，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID。
其中，所述session ID与所述用户面保护机制具有映射关系。
可选的，建立所述session ID和所述QoS flow ID至所述DRB ID的映射，将具有相同的用户面保护机制的QoS flow映射到同一个DRB。
具体的，当所述网络设备为AN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,session ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,DRB ID)。
具体的，当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,session ID)；或者，所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,DRB ID)。
另外，本发明实施例还提供了一种通信系统，该通信系统包括：用户设备、策略功能网元、网络设备、统一数据管理网元UDM、应用功能网元AF、算法网元，所述策略功能网元与所述用户设备、所述网络设备连接，所述策略功能网元还与所述UDM、所述AF连接，所述算法网元与所述策略功能网元、网络设备连接，其中：
所述策略功能网元用于接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述策略功能网元还用于基于所述请求，以及所述UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、所述AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护。
当所述网络设备为接入网AN设备时，所述策略功能网元还用于向所述AN设备发送所述用户面保护机制；所述AN设备用于基于所述用户面保护机制确定安全保护算法；所述AN设备还用于基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备；所述用户设备用于基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，所述策略功能网元用于向算法网元发送所述用户面保护机制；所述算法网元还用于基于所述用户面保护机制确定安全保护算法；所述算法网元还用于基于所述安全保护算法生成第一用户面保护密钥；所述算法网元还用于将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备；所述用户设备用于基于所述安全保护算法生成第二用户面保护密钥。
其中，所述UDM用于存储UE的注册信息，还用于存储签约业务数据；所述AF用于存储业务安全需求。
可选的，所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
可选的，所述系统还包括认证服务器网元AUSF、会话管理网元SMF、接入与移动管理网元AMF中的一个或多个；
可选的，所述请求为附着请求；所述附着请求为所述用户设备向所述AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向所述SMF发起的，或者为所述AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
可选的，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
具体的，所述策略功能网元为策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
具体的，所述CN设备为用户面节点UPF；所述算法网元包括所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的至少一个。
可选的，所述AN设备用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则所述AN设备用于基于所述用户面保护机制、所述用户设备安全能力、所述AN设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则所述AN设备用于直接获取所述用户面保护机制中的安全保护算法。
可选的，所述算法网元用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则所述算法网元用于基于所述用户面保护机制、所述用户设备安全能力、所述CN设备支持的算法优先级列表中的至少一项确定安全保护算法。
如果用户面保护机制包括安全保护算法，则所述算法网元用于直接获取所述用户面保护机制中的安全保护算法。
具体的，当所述网络设备为AN设备时，所述AN设备用于基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥；所述AN设备用于从所述AMF获得所述K_AN；
当所述网络设备为CN设备时，所述算法网元用于基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_算法网元，UP算法ID)，其中，所述K_算法网元为认证成功后，所述AMF或所述AUSF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥；所述算法网元用于从所述AMF或所述AUSF获得所述K_算法网元；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
可选的：所述SMF还用于确定用户面数据通过服务质量流Qos flow传输通道承载；
若已存在Qos flow传输通道对应的服务质量流标识QoS flow ID，所述QoS flowID对应QoS flow满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则所述SMF用于选择该Qos flow传输通道传输用户面数据；否则，所述SMF用于新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
若已存在Qos flow传输通道对应的QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，则所述SMF用于选择该Qos flow传输通道传输用户面数据；否则，所述SMF用于新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
其中，所述Qos需求为对通信网络中服务质量参数的需求。
可选的：所述SMF还用于确定所述用户面数据通过数据无线承载DRB传输通道承载；
若已存在DRB传输通道对应的数据无线承载标识DRB ID，所述DRB ID对应DRB满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则所述SMF用于选择该DRB传输通道传输用户数据；否则，所述SMF用于新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
或者，若已存在DRB传输通道对应的DRB ID，所述DRB ID对应DRB满足用户面保护机制，则所述SMF用于选择该DRB传输通道传输用户数据；否则，所述SMF用于新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID。
其中，所述DRB ID与所述用户面保护机制具有映射关系。
可选的：所述SMF用于确定所述用户面数据通过会话session传输通道承载；
若已存在session传输通道对应的会话标识session ID，所述session ID对应session满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则所述SMF用于选择该session传输通道传输用户数据；否则，所述SMF用于新建session传输通道，并生成与该session传输通道对应的session ID。
或者，若已存在session传输通道对应的session ID，所述session ID对应session满足用户面保护机制，则所述SMF用于选择该session传输通道传输用户数据；否则，所述SMF用于新建session传输通道，并生成与该session传输通道对应的session ID。
其中，所述session ID与所述用户面保护机制具有映射关系。
可选的，确定用户面保护机制，还包括：
建立所述session ID和所述QoS flow ID至所述DRB ID的映射，将具有相同的用户面保护机制的QoS flow映射到同一个DRB。
具体的，当所述网络设备为AN设备时，所述AN设备用于基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,session ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,DRB ID)。
具体的，当所述网络设备为CN设备时，所述算法网元用于基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,session ID)；或者，所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,DRB ID)。
需要说明的是，所述通信系统中各个网元的实现方式可参考图3-图15方法实施例的描述，这里不再赘述。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，该流程可以由计算机程序来指令相关的硬件完成，该程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法实施例的流程。而前述的存储介质包括：ROM或随机存储记忆体RAM、磁碟或者光盘等各种可存储程序代码的介质。

Claims (67)

1.一种密钥配置方法，其特征在于，包括：
策略功能网元接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
当所述网络设备为接入网AN设备时，所述策略功能网元向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，所述策略功能网元向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
2.根据权利要求1所述的方法，其特征在于，
所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
3.根据权利要求1或2所述的方法，其特征在于，
所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
4.根据权利要求1至3任一项所述的方法，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
5.根据权利要求1至4任一项所述的方法，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
6.根据权利要求1至5任一项所述的方法，其特征在于，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
7.根据权利要求1至6任一项所述的方法，其特征在于，
所述CN设备为用户面节点UPF；
所述算法网元包括所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的至少一个。
8.根据权利要求1至7任一项所述的方法，其特征在于，
所述AN设备用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、所述用户设备安全能力、所述AN设备支持的算法优先级列表中的至少一项确定安全保护算法；
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
9.根据权利要求1至7任一项所述的方法，其特征在于，
所述算法网元用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、所述用户设备安全能力、所述CN设备支持的算法优先级列表中的至少一项确定安全保护算法；
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
10.根据权利要求3至9任一项所述的方法，其特征在于，
当所述网络设备为接AN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述AN设备从所述AMF获得所述K_AN；
当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_算法网元，UP算法ID)，其中，所述K_算法网元为认证成功后，所述AMF或所述AUSF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述算法网元从所述AMF或所述AUSF获得所述K_算法网元；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
11.根据权利要求1至9任一项所述的方法，其特征在于，包括：所述用户面数据通过服务质量流Qos flow传输通道承载；
若已存在Qos flow传输通道对应的服务质量流标识QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该Qosflow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
若已存在Qos flow传输通道对应的QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，则选择该Qos flow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
其中，所述Qos需求为对通信网络中服务质量参数的需求。
12.根据权利要求1至9任一项所述的方法，其特征在于，包括：所述用户面数据通过数据无线承载DRB传输通道承载；
若已存在DRB传输通道对应的数据无线承载标识DRB ID，所述DRB ID对应DRB满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
或者，若已存在DRB传输通道对应的DRB ID，所述DRB ID对应DRB满足用户面保护机制，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
其中，所述DRB ID与所述用户面保护机制具有映射关系。
13.根据权利要求1至9任一项所述的方法，其特征在于，包括：所述用户面数据通过会话session传输通道承载；
若已存在session传输通道对应的会话标识session ID，所述session ID对应session满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID；
或者，若已存在session传输通道对应的session ID，所述session ID对应session满足用户面保护机制，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID；
其中，所述session ID与所述用户面保护机制具有映射关系。
14.根据权利要求11至13任一项所述的方法，其特征在于，确定用户面保护机制，还包括：
建立所述session ID和所述QoS flow ID至所述DRB ID的映射，将具有相同的用户面保护机制的QoS flow映射到同一个DRB。
15.根据权利要求11至14任一项所述的方法，其特征在于，当所述网络设备为AN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,session ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,DRB ID)。
16.根据权利要求11至14任一项所述的方法，其特征在于，当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,session ID)；或者，所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,DRB ID)。
17.一种策略功能网元，其特征在于，包括：接收模块、策略模块和发送模块，其中：
所述接收模块用于接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述策略模块用于基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
所述发送模块用于，当所述网络设备为接入网AN设备时，向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
所述发送模块还用于，当所述网络设备为核心网CN设备时，向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
18.根据权利要求17所述的策略功能网元，其特征在于，
所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
19.根据权利要求17或18所述的策略功能网元，其特征在于，
所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
20.根据权利要求17至19任一项所述的策略功能网元，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
21.根据权利要求17至20任一项所述的策略功能网元，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
22.根据权利要求17至21任一项所述的策略功能网元，其特征在于，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
23.根据权利要求17至22任一项所述的策略功能网元，其特征在于，
所述CN设备为用户面节点UPF；
所述算法网元包括所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的至少一个。
24.一种通信系统，包括：用户设备、策略功能网元、网络设备、统一数据管理网元UDM、应用功能网元AF、算法网元，所述策略功能网元与所述用户设备、所述网络设备连接，所述策略功能网元还与所述UDM、所述AF连接，所述算法网元与所述策略功能网元、网络设备连接，其中：
所述策略功能网元用于接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述策略功能网元还用于基于所述请求，以及所述UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、所述AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
当所述网络设备为接入网AN设备时，所述策略功能网元还用于向所述AN设备发送所述用户面保护机制；所述AN设备用于基于所述用户面保护机制确定安全保护算法；所述AN设备还用于基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备；所述用户设备用于基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，所述策略功能网元用于向算法网元发送所述用户面保护机制；所述算法网元还用于基于所述用户面保护机制确定安全保护算法；所述算法网元还用于基于所述安全保护算法生成第一用户面保护密钥；所述算法网元还用于将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备；所述用户设备用于基于所述安全保护算法生成第二用户面保护密钥；
其中，所述UDM用于存储UE的注册信息，还用于存储签约业务数据；所述AF用于存储业务安全需求。
25.根据权利要求24所述的系统，其特征在于，
所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
26.根据权利要求24或25所述的系统，其特征在于，所述系统还包括认证服务器网元AUSF、会话管理网元SMF、接入与移动管理网元AMF中的一个或多个；
所述请求为附着请求；所述附着请求为所述用户设备向所述AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向所述SMF发起的，或者为所述AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
27.根据权利要求24至26任一项所述的系统，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
28.根据权利要求24至27任一项所述的系统，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
29.根据权利要求24至28任一项所述的系统，其特征在于，所述策略功能网元为策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
30.根据权利要求24至29任一项所述的系统，其特征在于，
所述CN设备为用户面节点UPF；
所述算法网元包括所述PCF、所述AUSF、所述AMF、所述SMF、所述AN设备中的至少一个。
31.根据权利要求24至30任一项所述的系统，其特征在于，
所述AN设备用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则所述AN设备用于基于所述用户面保护机制、所述用户设备安全能力、所述AN设备支持的算法优先级列表中的至少一项确定安全保护算法；
如果用户面保护机制包括安全保护算法，则所述AN设备用于直接获取所述用户面保护机制中的安全保护算法。
32.根据权利要求24至30任一项所述的系统，其特征在于，
所述算法网元用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则所述算法网元用于基于所述用户面保护机制、所述用户设备安全能力、所述CN设备支持的算法优先级列表中的至少一项确定安全保护算法；
如果用户面保护机制包括安全保护算法，则所述算法网元用于直接获取所述用户面保护机制中的安全保护算法。
33.根据权利要求26至32任一项所述的系统，其特征在于，
当所述网络设备为AN设备时，所述AN设备用于基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥；所述AN设备用于从所述AMF获得所述K_AN；
当所述网络设备为CN设备时，所述算法网元用于基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_算法网元，UP算法ID)，其中，所述K_算法网元为认证成功后，所述AMF或所述AUSF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥；所述算法网元用于从所述AMF或所述AUSF获得所述K_算法网元；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
34.根据权利要求24至32所述的系统，其特征在于，包括：所述SMF还用于确定用户面数据通过服务质量流Qos flow传输通道承载；
若已存在Qos flow传输通道对应的服务质量流标识QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则所述SMF用于选择该Qos flow传输通道传输用户面数据；否则，所述SMF用于新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
若已存在Qos flow传输通道对应的QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，则所述SMF用于选择该Qos flow传输通道传输用户面数据；否则，所述SMF用于新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
其中，所述Qos需求为对通信网络中服务质量参数的需求。
35.根据权利要求24至32任一项所述的系统，其特征在于，包括：所述SMF还用于确定所述用户面数据通过数据无线承载DRB传输通道承载；
若已存在DRB传输通道对应的数据无线承载标识DRB ID，所述DRB ID对应DRB满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则所述SMF用于选择该DRB传输通道传输用户数据；否则，所述SMF用于新建DRB传输通道，并生成与该DRB传输通道对应的DRBID；
或者，若已存在DRB传输通道对应的DRB ID，所述DRB ID对应DRB满足用户面保护机制，则所述SMF用于选择该DRB传输通道传输用户数据；否则，所述SMF用于新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
其中，所述DRB ID与所述用户面保护机制具有映射关系。
36.根据权利要求24至32任一项所述的系统，其特征在于，包括：所述SMF用于确定所述用户面数据通过会话session传输通道承载；
若已存在session传输通道对应的会话标识session ID，所述session ID对应session满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则所述SMF用于选择该session传输通道传输用户数据；否则，所述SMF用于新建session传输通道，并生成与该session传输通道对应的session ID；
或者，若已存在session传输通道对应的session ID，所述session ID对应session满足用户面保护机制，则所述SMF用于选择该session传输通道传输用户数据；否则，所述SMF用于新建session传输通道，并生成与该session传输通道对应的session ID；
其中，所述session ID与所述用户面保护机制具有映射关系。
37.根据权利要求34至36任一项所述的系统，其特征在于，确定用户面保护机制，还包括：
建立所述session ID和所述QoS flow ID至所述DRB ID的映射，将具有相同的用户面保护机制的QoS flow映射到同一个DRB。
38.根据权利要求34至37任一项所述的系统，其特征在于，当所述网络设备为AN设备时，所述AN设备用于基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,session ID)；或者，
所述第一用户面保护密钥＝KDF(K_AN,UP算法ID,DRB ID)。
39.根据权利要求34至37任一项所述的系统，其特征在于，当所述网络设备为CN设备时，所述算法网元用于基于所述安全保护算法生成第一用户面保护密钥，包括：
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,flow ID)；或者，
所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,session ID)；或者，所述第一用户面保护密钥＝KDF(K_算法网元,UP算法ID,DRB ID)。
40.一种密钥配置方法，其特征在于，包括：
用户设备发送请求，所述请求中包括所述用户设备的标识；
所述用户设备接收响应，所述响应中携带安全保护算法，所述安全保护算法由用户面保护机制确定，所述用户面保护机制由策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一种所确定；其中，所述用户面保护机制用于指示所述用户设备与网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
所述用户设备基于所述安全保护算法确定用户面保护密钥，所述用户面保护密钥用于对所述用户设备与所述网络设备之间传输的用户面数据进行安全性保护。
41.根据权利要求40所述的方法，其特征在于，
所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
42.根据权利要求40或41所述的方法，其特征在于，
所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
43.根据权利要求40至42任一项所述的方法，其特征在于，
所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
44.根据权利要求40至43任一项所述的方法，其特征在于，
所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
45.根据权利要求40至44任一项所述的方法，其特征在于，
所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
46.根据权利要求40至45任一项所述的方法，其特征在于，
所述用户设备基于所述安全保护算法确定用户面保护密钥，包括：
用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述AN设备从所述AMF获得所述K_AN；
当所述网络设备为CN设备时，基于所述安全保护算法生成第一用户面保护密钥，包括：
用户面保护密钥＝KDF(K_算法网元，UP算法ID)，其中，所述K_算法网元为认证成功后，所述用户设备根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
47.根据权利要求40至46任一项所述的方法，其特征在于，
所述网络设备为接入网AN设备或者用户面节点UPF。
48.一种密钥配置方法，其特征在于，包括：
用户面节点接收响应，所述响应中携带安全保护算法，所述安全保护算法由用户面保护机制确定，所述用户面保护机制由策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一种所确定；其中，所述用户面保护机制用于指示用户设备与所述用户面节点之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
所述用户面节点基于所述安全保护算法确定用户面保护密钥，所述用户面保护密钥用于对用户设备与所述用户面节点之间传输的用户面数据进行安全性保护。
49.根据权利要求48所述的方法，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
50.根据权利要求48或49所述的方法，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
51.根据权利要求48至50任一项所述的方法，其特征在于，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
52.一种密钥配置方法，其特征在于，包括：
接入网设备接收用户面保护机制，所述用户面保护机制由策略功能网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一种所确定；其中，所述用户面保护机制用于指示所述用户设备与网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
所述接入网设备基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；
所述接入网设备将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
53.根据权利要求52所述的方法，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
54.根据权利要求52或53所述的方法，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
55.根据权利要求52至54任一项所述的方法，其特征在于，所述策略功能网元包括策略控制节点PCF、认证服务器网元AUSF、接入与移动管理功能网元AMF、会话管理网元SMF、AN设备中的一个。
56.根据权利要求52至55任一项所述的方法，其特征在于，
所述接入网设备用于基于所述用户面保护机制确定安全保护算法，包括：
如果用户面保护机制不包括安全保护算法，则基于所述用户面保护机制、接入网设备支持的算法优先级列表中的至少一项确定安全保护算法；
如果用户面保护机制包括安全保护算法，则直接获取所述用户面保护机制中的安全保护算法。
57.根据权利要求52至56任一项所述的方法，其特征在于，
基于所述安全保护算法生成第一用户面保护密钥，包括：
第一用户面保护密钥＝KDF(K_AN，UP算法ID)，其中，K_AN为认证成功后，所述AMF根据认证后的基础密钥或认证后再次推衍得到的密钥，推衍出的基站密钥，所述接入网设备从所述AMF获得所述K_AN；
其中，所述UP算法ID为加密算法的标识，或者为完整性保护算法的标识；所述KDF为密钥推衍函数。
58.一种密钥配置方法，其特征在于，包括：
会话管理网元接收用户设备与网络设备之间通信的请求；所述请求包括会话标识、用户设备标识、以及安全需求的指示信息，所述安全需求的指示信息用于指示用户设备安全需求和/或业务安全需求；
所述会话管理网元基于所述请求，以及统一数据管理网元UDM反馈的UE注册信息、所述UDM反馈的签约业务数据、应用功能网元AF反馈的业务安全需求中的至少一个，确定用户面保护机制；所述用户面保护机制用于指示所述用户设备与所述网络设备之间传输的用户面数据是否需要加密，或是否需要完整性保护，或是否同时需要加密和完整性保护；
当所述网络设备为接入网AN设备时，所述会话管理网元向所述AN设备发送所述用户面保护机制；其中，所述AN设备用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥；所述AN设备还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥；
当所述网络设备为核心网CN设备时，所述会话管理网元向算法网元发送所述用户面保护机制；其中，所述算法网元用于基于所述用户面保护机制确定安全保护算法，基于所述安全保护算法生成第一用户面保护密钥，以及将所述第一用户面保护密钥发送至所述CN设备；所述算法网元还用于将所述安全保护算法发送至所述用户设备，以便于所述用户设备基于所述安全保护算法生成第二用户面保护密钥。
59.根据权利要求58所述的方法，其特征在于，
所述请求还包括业务标识、用户设备业务标识、数据网络标识DNN、用户设备安全能力中的至少一项。
60.根据权利要求58或59所述的方法，其特征在于，
所述请求为附着请求；所述附着请求为所述用户设备向认证服务器网元AUSF发起的；所述附着请求用于所述网络设备与所述AUSF之间进行双向认证，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为会话请求；所述会话请求为所述用户设备向会话管理网元SMF发起的，或者为接入与移动管理网元AMF向所述SMF发起的；所述会话请求用于网络设备和所述SMF之间建立会话，还用于触发所述策略功能网元确定用户面保护机制；
或者，所述请求为策略请求；所述策略请求为所述SMF向所述策略功能网元发起的，所述策略请求用于触发所述策略功能网元确定用户面保护机制。
61.根据权利要求58至60任一项所述的方法，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据需要采用的安全保护算法、密钥长度、密钥更新周期中的至少一项。
62.根据权利要求58至61任一项所述的方法，其特征在于，所述用户面保护机制还用于指示所述用户设备与所述网络设备之间传输的用户面数据可以采用的具有优先级的安全保护算法列表。
63.根据权利要求58至62任一项所述的方法，其特征在于，包括：所述会话管理网元确定所述用户面数据通过服务质量流Qos flow传输通道承载；
若已存在Qos flow传输通道对应的服务质量流标识QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该Qosflow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
若已存在Qos flow传输通道对应的QoS flow ID，所述QoS flow ID对应QoS flow满足用户面保护机制，则选择该Qos flow传输通道传输用户面数据；否则，新建Qos flow传输通道，并生成与该Qos flow传输通道对应的QoS flow ID；
其中，所述Qos需求为对通信网络中服务质量参数的需求。
64.根据权利要求58至62任一项所述的方法，其特征在于，包括：所述会话管理网元确定所述用户面数据通过数据无线承载DRB传输通道承载；
若已存在DRB传输通道对应的数据无线承载标识DRB ID，所述DRB ID对应DRB满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
或者，若已存在DRB传输通道对应的DRB ID，所述DRB ID对应DRB满足用户面保护机制，则选择该DRB传输通道传输用户数据；否则，新建DRB传输通道，并生成与该DRB传输通道对应的DRB ID；
其中，所述DRB ID与所述用户面保护机制具有映射关系。
65.根据权利要求58至62任一项所述的方法，其特征在于，包括：所述会话管理网元确定所述用户面数据通过会话session传输通道承载；
若已存在session传输通道对应的会话标识session ID，所述session ID对应session满足用户面保护机制，或Qos需求，或用户面保护机制和QoS需求，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID。
或者，若已存在session传输通道对应的session ID，所述session ID对应session满足用户面保护机制，则选择该session传输通道传输用户数据；否则，新建session传输通道，并生成与该session传输通道对应的session ID；
其中，所述session ID与所述用户面保护机制具有映射关系。
66.一种存储计算机指令的可读非易失性存储介质，其特征在于，包括计算机指令，所述计算机指令被执行以实现权利要求1-16任一项描述的方法。
67.一种计算机程序产品，其特征在于，当计算机程序产品运行于计算机时，被执行以实现权利要求1-16任一项描述的方法。
CN201710314224.3A 2017-05-06 2017-05-06 密钥配置方法、装置以及系统 Active CN108810884B (zh)

Priority Applications (8)

Application Number Priority Date Filing Date Title
CN201710314224.3A CN108810884B (zh) 2017-05-06 2017-05-06 密钥配置方法、装置以及系统
CN201910640768.8A CN110493774B (zh) 2017-05-06 2017-05-06 密钥配置方法、装置以及系统
PCT/CN2017/091511 WO2018205394A1 (zh) 2017-05-06 2017-07-03 密钥配置方法、装置以及系统
BR112019023236A BR112019023236A2 (pt) 2017-05-06 2017-07-31 método, aparelho e sistema de configuração de chave
CN201780090099.0A CN110574406B (zh) 2017-05-06 2017-07-31 密钥配置方法、装置以及系统
EP17909068.3A EP3611949A4 (en) 2017-05-06 2017-07-31 KEY CONFIGURATION METHOD, DEVICE AND SYSTEM
PCT/CN2017/095301 WO2018205427A1 (zh) 2017-05-06 2017-07-31 密钥配置方法、装置以及系统
US16/674,697 US20200084631A1 (en) 2017-05-06 2019-11-05 Key Configuration Method, Apparatus, and System

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201710314224.3A CN108810884B (zh) 2017-05-06 2017-05-06 密钥配置方法、装置以及系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN201910640768.8A Division CN110493774B (zh) 2017-05-06 2017-05-06 密钥配置方法、装置以及系统

Publications (2)

Publication Number Publication Date
CN108810884A true CN108810884A (zh) 2018-11-13
CN108810884B CN108810884B (zh) 2020-05-08

Family

ID=64054643

Family Applications (3)

Application Number Title Priority Date Filing Date
CN201710314224.3A Active CN108810884B (zh) 2017-05-06 2017-05-06 密钥配置方法、装置以及系统
CN201910640768.8A Active CN110493774B (zh) 2017-05-06 2017-05-06 密钥配置方法、装置以及系统
CN201780090099.0A Active CN110574406B (zh) 2017-05-06 2017-07-31 密钥配置方法、装置以及系统

Family Applications After (2)

Application Number Title Priority Date Filing Date
CN201910640768.8A Active CN110493774B (zh) 2017-05-06 2017-05-06 密钥配置方法、装置以及系统
CN201780090099.0A Active CN110574406B (zh) 2017-05-06 2017-07-31 密钥配置方法、装置以及系统

Country Status (5)

Country Link
US (1) US20200084631A1 (zh)
EP (1) EP3611949A4 (zh)
CN (3) CN108810884B (zh)
BR (1) BR112019023236A2 (zh)
WO (2) WO2018205394A1 (zh)

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020038375A1 (zh) * 2018-08-21 2020-02-27 华为技术有限公司 一种用户面安全的授权方法及装置
CN111436077A (zh) * 2019-01-14 2020-07-21 电信科学技术研究院有限公司 一种业务建立方法、实体及装置、介质
WO2020151614A1 (zh) * 2019-01-27 2020-07-30 华为技术有限公司 用户面安全保护的方法和装置
CN111641947A (zh) * 2019-03-01 2020-09-08 华为技术有限公司 密钥配置的方法、装置和终端
CN111757389A (zh) * 2019-03-29 2020-10-09 大唐移动通信设备有限公司 一种通信装置和方法
CN111865872A (zh) * 2019-04-26 2020-10-30 大唐移动通信设备有限公司 一种网络切片内终端安全策略实现方法及设备
CN111865623A (zh) * 2019-03-28 2020-10-30 华为技术有限公司 计费规则绑定的方法、设备及系统
WO2021036704A1 (zh) * 2019-08-23 2021-03-04 华为技术有限公司 终端设备和用户面网元之间的安全通信方法、装置及系统
CN112738799A (zh) * 2020-12-29 2021-04-30 中盈优创资讯科技有限公司 一种基于策略的数据安全传输的实现方法
CN112738800A (zh) * 2020-12-25 2021-04-30 中盈优创资讯科技有限公司 一种网络切片的数据安全传输实现方法
CN112788593A (zh) * 2019-11-04 2021-05-11 阿里巴巴集团控股有限公司 安全策略的更新方法及装置、系统
CN112788594A (zh) * 2020-06-03 2021-05-11 中兴通讯股份有限公司 数据传输方法、装置和系统、电子设备、存储介质
CN112838925A (zh) * 2020-06-03 2021-05-25 中兴通讯股份有限公司 数据传输方法、装置和系统、电子设备、存储介质
WO2021109151A1 (zh) * 2019-12-06 2021-06-10 华为技术有限公司 一种事件上报的方法、装置及系统
CN113316138A (zh) * 2021-04-27 2021-08-27 中盈优创资讯科技有限公司 一种应用层加密实现方法及其实现装置
WO2021196818A1 (zh) * 2020-03-31 2021-10-07 大唐移动通信设备有限公司 密钥生成方法和装置、设备及计算机可读存储介质
TWI754950B (zh) * 2020-06-02 2022-02-11 鴻海精密工業股份有限公司 物聯網設備、伺服器及軟體更新方法
WO2022160314A1 (zh) * 2021-01-30 2022-08-04 华为技术有限公司 一种安全参数的获取方法、装置及系统

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108810884B (zh) * 2017-05-06 2020-05-08 华为技术有限公司 密钥配置方法、装置以及系统
US10440159B2 (en) * 2017-08-03 2019-10-08 T-Mobile Usa, Inc. Header modification for supplementary services
WO2019223005A1 (en) * 2018-05-25 2019-11-28 Qualcomm Incorporated Mixed mode multicast architecture
WO2020093247A1 (en) * 2018-11-06 2020-05-14 Zte Corporation A method and apparatus for attaching user equipment to a network slice
EP3903444A1 (en) * 2019-01-29 2021-11-03 Google LLC Integrity protection with message authentication codes having different lengths
CN113676907B (zh) * 2020-04-30 2023-08-04 华为技术有限公司 一种确定服务质量流的方法，装置，设备及计算机可读存储介质
CN113872752B (zh) * 2021-09-07 2023-10-13 哲库科技(北京)有限公司 安全引擎模组、安全引擎装置和通信设备
CN117527280A (zh) * 2022-07-29 2024-02-06 中兴通讯股份有限公司 用户终端接入网络的安全认证方法、装置及电子设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1941695A (zh) * 2005-09-29 2007-04-04 华为技术有限公司 初始接入网络过程的密钥生成和分发的方法及系统
CN102045210A (zh) * 2009-10-10 2011-05-04 中兴通讯股份有限公司 一种支持合法监听的端到端会话密钥协商方法和系统
WO2015144042A1 (zh) * 2014-03-27 2015-10-01 西安西电捷通无线网络通信股份有限公司 一种网络鉴权认证的方法及设备
CN106487501A (zh) * 2015-08-27 2017-03-08 华为技术有限公司 密钥分发和接收方法、密钥管理中心、第一和第二网元

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7233671B2 (en) * 2003-02-13 2007-06-19 Innovative Sonic Limited Method for storing a security start value in a wireless communications system
CN101188492B (zh) * 2006-11-17 2010-08-18 中兴通讯股份有限公司 实现安全业务的系统和方法
CN101242629B (zh) * 2007-02-05 2012-02-15 华为技术有限公司 选择用户面算法的方法、系统和设备
CN101128061B (zh) * 2007-09-27 2013-02-27 中兴通讯股份有限公司 移动管理单元、演进基站、确定用户面是否加密的方法和系统
CN101232442A (zh) * 2008-01-09 2008-07-30 中兴通讯股份有限公司 一种策略控制的方法
CN101488847B (zh) * 2008-01-18 2011-09-14 华为技术有限公司 一种数据加密的方法、装置和系统
CN101499959B (zh) * 2008-01-31 2012-08-08 华为技术有限公司 配置密钥的方法、装置及系统
CN101262337B (zh) * 2008-02-05 2012-06-06 中兴通讯股份有限公司 安全功能控制方法和系统
CN102149088A (zh) * 2010-02-09 2011-08-10 工业和信息化部电信传输研究所 一种保护移动用户数据完整性的方法
US8699708B2 (en) * 2010-06-29 2014-04-15 Alcatel Lucent Light-weight security solution for host-based mobility and multihoming protocols
US9386045B2 (en) * 2012-12-19 2016-07-05 Visa International Service Association Device communication based on device trustworthiness
GB2509937A (en) * 2013-01-17 2014-07-23 Nec Corp Providing security information to a mobile device in which user plane data and control plane signalling are communicated via different base stations
US10455414B2 (en) * 2014-10-29 2019-10-22 Qualcomm Incorporated User-plane security for next generation cellular networks
CN105900503B (zh) * 2014-11-27 2020-05-15 上海朋邦实业有限公司 寻呼方法、基站及寻呼系统
PL3596953T3 (pl) * 2017-03-17 2023-10-09 Telefonaktiebolaget Lm Ericsson (Publ) Rozwiązanie dotyczące bezpieczeństwa włączania i wyłączania zabezpieczeń dla danych up pomiędzy ue a ran w 5g
WO2018201506A1 (zh) * 2017-05-05 2018-11-08 华为技术有限公司 一种通信方法及相关装置
CN108810884B (zh) * 2017-05-06 2020-05-08 华为技术有限公司 密钥配置方法、装置以及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1941695A (zh) * 2005-09-29 2007-04-04 华为技术有限公司 初始接入网络过程的密钥生成和分发的方法及系统
CN102045210A (zh) * 2009-10-10 2011-05-04 中兴通讯股份有限公司 一种支持合法监听的端到端会话密钥协商方法和系统
WO2015144042A1 (zh) * 2014-03-27 2015-10-01 西安西电捷通无线网络通信股份有限公司 一种网络鉴权认证的方法及设备
CN106487501A (zh) * 2015-08-27 2017-03-08 华为技术有限公司 密钥分发和接收方法、密钥管理中心、第一和第二网元

Cited By (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020038375A1 (zh) * 2018-08-21 2020-02-27 华为技术有限公司 一种用户面安全的授权方法及装置
CN111436077A (zh) * 2019-01-14 2020-07-21 电信科学技术研究院有限公司 一种业务建立方法、实体及装置、介质
WO2020151614A1 (zh) * 2019-01-27 2020-07-30 华为技术有限公司 用户面安全保护的方法和装置
CN111491394A (zh) * 2019-01-27 2020-08-04 华为技术有限公司 用户面安全保护的方法和装置
CN111491394B (zh) * 2019-01-27 2022-06-14 华为技术有限公司 用户面安全保护的方法和装置
CN111641947A (zh) * 2019-03-01 2020-09-08 华为技术有限公司 密钥配置的方法、装置和终端
US11792676B2 (en) 2019-03-28 2023-10-17 Huawei Technologies Co., Ltd. Charging rule binding method, device, and system
CN111865623B (zh) * 2019-03-28 2021-12-03 华为技术有限公司 计费规则绑定的方法、设备及系统
CN111865623A (zh) * 2019-03-28 2020-10-30 华为技术有限公司 计费规则绑定的方法、设备及系统
CN111757389A (zh) * 2019-03-29 2020-10-09 大唐移动通信设备有限公司 一种通信装置和方法
CN111757389B (zh) * 2019-03-29 2022-03-25 大唐移动通信设备有限公司 一种通信装置和方法
CN111865872A (zh) * 2019-04-26 2020-10-30 大唐移动通信设备有限公司 一种网络切片内终端安全策略实现方法及设备
CN111865872B (zh) * 2019-04-26 2021-08-27 大唐移动通信设备有限公司 一种网络切片内终端安全策略实现方法及设备
CN112492584A (zh) * 2019-08-23 2021-03-12 华为技术有限公司 终端设备和用户面网元之间的安全通信方法、装置及系统
CN112492584B (zh) * 2019-08-23 2022-07-22 华为技术有限公司 终端设备和用户面网元之间的安全通信方法、装置及系统
WO2021036704A1 (zh) * 2019-08-23 2021-03-04 华为技术有限公司 终端设备和用户面网元之间的安全通信方法、装置及系统
CN112788593A (zh) * 2019-11-04 2021-05-11 阿里巴巴集团控股有限公司 安全策略的更新方法及装置、系统
WO2021109151A1 (zh) * 2019-12-06 2021-06-10 华为技术有限公司 一种事件上报的方法、装置及系统
CN113543127B (zh) * 2020-03-31 2023-02-17 大唐移动通信设备有限公司 一种密钥生成方法、装置、设备及计算机可读存储介质
WO2021196818A1 (zh) * 2020-03-31 2021-10-07 大唐移动通信设备有限公司 密钥生成方法和装置、设备及计算机可读存储介质
CN113543127A (zh) * 2020-03-31 2021-10-22 大唐移动通信设备有限公司 一种密钥生成方法、装置、设备及计算机可读存储介质
TWI754950B (zh) * 2020-06-02 2022-02-11 鴻海精密工業股份有限公司 物聯網設備、伺服器及軟體更新方法
CN112838925A (zh) * 2020-06-03 2021-05-25 中兴通讯股份有限公司 数据传输方法、装置和系统、电子设备、存储介质
WO2021244509A1 (zh) * 2020-06-03 2021-12-09 中兴通讯股份有限公司 数据传输方法和系统、电子设备及计算机可读存储介质
WO2021244569A1 (zh) * 2020-06-03 2021-12-09 中兴通讯股份有限公司 数据传输方法、系统、电子设备、存储介质
CN112788594A (zh) * 2020-06-03 2021-05-11 中兴通讯股份有限公司 数据传输方法、装置和系统、电子设备、存储介质
CN112738800A (zh) * 2020-12-25 2021-04-30 中盈优创资讯科技有限公司 一种网络切片的数据安全传输实现方法
CN112738799A (zh) * 2020-12-29 2021-04-30 中盈优创资讯科技有限公司 一种基于策略的数据安全传输的实现方法
WO2022160314A1 (zh) * 2021-01-30 2022-08-04 华为技术有限公司 一种安全参数的获取方法、装置及系统
CN113316138A (zh) * 2021-04-27 2021-08-27 中盈优创资讯科技有限公司 一种应用层加密实现方法及其实现装置
CN113316138B (zh) * 2021-04-27 2023-04-07 中盈优创资讯科技有限公司 一种应用层加密实现方法及其实现装置

Also Published As

Publication number Publication date
CN110493774A (zh) 2019-11-22
CN108810884B (zh) 2020-05-08
CN110574406A (zh) 2019-12-13
EP3611949A4 (en) 2020-04-22
BR112019023236A2 (pt) 2020-05-19
WO2018205427A1 (zh) 2018-11-15
CN110493774B (zh) 2023-09-26
US20200084631A1 (en) 2020-03-12
WO2018205394A1 (zh) 2018-11-15
EP3611949A1 (en) 2020-02-19
CN110574406B (zh) 2021-04-20

Similar Documents

Publication Publication Date Title
CN108810884A (zh) 密钥配置方法、装置以及系统
US11025597B2 (en) Security implementation method, device, and system
CN109314638B (zh) 密钥配置及安全策略确定方法、装置
JP6903006B2 (ja) 次世代セルラーネットワークのためのユーザプレーンセキュリティ
CN106717044B (zh) 服务网络认证
CN110891269B (zh) 一种数据保护方法、设备及系统
CN110830991A (zh) 安全会话方法和装置
EP3691316B1 (en) Parameter protection method, device and system
CN106134231B (zh) 密钥生成方法、设备及系统
CN104160777B (zh) 数据的传输方法、装置和系统
CN110830993B (zh) 一种数据处理的方法、装置和计算机可读存储介质
CN109361655B (zh) 一种安全保护的方法及装置
CN108377495A (zh) 一种数据传输方法、相关设备及系统
WO2018000936A1 (zh) 密钥配置及安全策略确定方法、装置
CN109560919A (zh) 一种密钥衍生算法的协商方法及装置
CN106998549A (zh) IPSec隧道的建立方法及装置、终端和网络侧设备
CN113518315B (zh) 一种配置无线承载的方法、装置及系统
Fujdiak et al. Security in low-power wide-area networks: State-of-the-art and development toward the 5G
WO2022025566A1 (en) Methods and systems for deriving cu-up security keys for disaggregated gnb architecture

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant