CN109890032B - 网络中服务节点的操作 - Google Patents

Abstract

本发明提供了用于修复损坏的安全信息的系统和方法。当终端向服务节点登记时在通信网络中的服务节点(1；500)处接收终端(5)的安全能力(S201)。存储接收到的安全能力。在从源基站(3)向目标基站发送的用于终端切换的X2切换请求(S205)后，从目标基站(4)接收路径切换请求消息(S210)，所述路径切换请求包括终端的安全能力。服务节点确定(S312；S611)是否应当将存储在存储介质中的终端的安全能力发送到目标基站。如果是，则服务节点将所存储的终端的安全能力发送到目标基站(S313；S612)，用于在切换后重新选择要在目标基站与终端之间的通信中使用的安全算法(S314；S614)。

Description

网络中服务节点的操作

本申请是申请日为2012年4月24日、进入中国国家阶段日2014年7月22日、申请号为201280067720.9(“网络中服务节点的操作”)的中国专利申请的分案申请。

技术领域

本发明涉及在网络中操作服务节点和基站的方法和装置。特别地，本发明涉及损坏的上下文信息的修复。

背景技术

长期演进(LTE)是目前正在由第三代伙伴计划(3GPP)开发的通信网络技术。LTE需要被称为演进的通用陆地无线接入网(E-UTRAN)的新的无线接入技术，其设计目的在于提高网络容量，降低网络中的延迟，从而改进终端用户的体验。系统架构演进(SAE)是用于LTE通信网络的核心网络架构。

参照图1，LTE/SAE架构包括移动性管理实体(MME)1，其负责控制信令。SAE网关(SAE-GW)2负责用户数据。所述SAE-GW2由两个不同的部分组成，即，路由用户数据分组的服务网关，以及提供用户设备与外部数据网络之间附接的PDN网关。在3GPP技术规范(TS)23.401中详细描述了这些节点。所有这些节点通过IP网络互连。另外的节点是eNodeB(eNB)3、4，其在网络中充当基站并与终端(UE)5、6通信。在这些节点类型之间存在三种主要协议和接口。它们是(在eNB 3、4与MME 1之间的)S1-MME、(在eNB 3、4与SAE-GW 2之间、或者更准确地，在eNB 3、4与服务网关之间的)S1-U、以及(在eNB 3、4之间的)X2。在这些接口中使用的相应的协议是S1AP(S1应用协议)和X2AP(X2应用协议)。所有这些协议和接口都是基于IP的。此外，所述网络可以包括属于上述接口的一部分的其它节点，例如，在网络中的家庭eNB(HeNB)和其余节点之间的家庭eNB网关(HeNB GW)。所述MME通常位于核心网中，并且eNB通常位于无线接入网中。

所述LTE系统为网络与终端之间传输的数据提供保密性和完整性保护。这些安全服务是通过使用加密以及完整性保护算法提供的。这些算法在下文中统一描述为安全算法。为了使得加密和完整性保护能在LTE中起作用，网络和终端必须使用相同的安全算法来处理数据。由MME和eNB执行使用安全算法的处理。

WO 2009/120122描述了一种系统，用于使LTE网络与终端能够协商安全算法以用于保护它们之间的通信。这种想法后来被LTE规范采纳并包括在TS 33.401中。

图2示出了在TS 33.401中更详细地描述的安全算法协商的一部分。该网络元件与图1中所示的网络元件相对应。

终端或者(如在TS 33.401中所称的)用户设备(UE)5支持一组特定的安全算法，这可以被称为是UE安全能力。当UE 5向MME 1登记时，例如作为附接过程或者跟踪区域更新过程的一部分，UE通知MME关于它的UE安全能力。这以安全的方式进行，以使得MME可以确定其接收到的UE安全能力是正确的。因此MME可以信任接收到的信息。图2中的第一附接消息S201表示这个步骤。

当UE 5连接到源eNB 3时，MME 1通知源eNB 3关于UE 5的UE安全能力。这是通过使用UE上下文建立消息S202实现的。在步骤S203中，源eNB3使用这一消息来选择当它与UE 5通信时使用哪些安全算法。例如，如果安全算法存在于UE的安全能力中，则源eNB当然只会选择该安全算法。一旦源eNB做出了选择，它使用安全模式命令S204通知UE这一选择。此后，UE和源eNB可以使用所选择的安全算法安全地通信。

如果使用X2-切换过程将UE 5从源eNB 3切换到eNB 4，则源eNB3在切换请求消息S205中把从MME接收到的UE安全能力转发至目标eNB4。然后在步骤S206中，目标eNB4基于接收到的UE安全能力，选择在与UE通信时使用哪些安全算法。目标eNB 4向UE5发送切换命令消息S207，该切换命令消息包括所选择的安全算法的详情。在步骤S208中，UE 5基于在所述切换命令消息中所提供的信息，激活所选安全算法，并在步骤S209中由目标eNB4激活相同的安全算法。

此后，目标eNB 4将路径切换请求消息S210发送到MME 1，MME1返回确认消息S211。路径切换请求消息S210包括由目标eNB 4从源eNB 3接收到的UE安全能力的详情。这使得MME 1能够将在路径切换请求S210中接收到的UE安全能力与当UE 5第一次向MME 1登记时在附接消息S210中接收到的UE安全能力进行比较。任何差异都将提高已经发生了安全降级攻击的可能性，那么MME 1开启警报会是适合的。

如设想的那样当设计了上述的机制时，安全降级攻击的一个示例是：攻击者可能闯入源eNB 3。在已经在步骤S22中从MME 1处接收到UE安全能力之后，源eNB 3可以从UE安全能力中删除最强的安全算法(或甚至所有的安全算法)。当X2切换S25发生时，目标eNB4将从源eNB3接收修改后的UE安全能力，但是由于UE安全能力不再包括任何强安全算法，迫使目标eNB 4在识别其与UE 5共有的最强安全算法时做出较不安全的选择。

上述(且在TS33.401中指定)的协商存在缺点。即使MME1会检测到降级攻击，系统也直到UE 5进入空闲状态或者直到UE 5执行S1切换时才能从攻击中恢复。即使在X2切换到目标eNB 4之后，保持连接了较长时间的UE也因此会成为源eNB 3受到攻击的受害者。即便网络已经检测到该攻击，尽管UE现在已经连接到诚实且安全未受危及的eNB，依然保持该效果。

UE保持长时间连接的这种情况的示例包括：用户正在收听流媒体互联网广播或收看流媒体视频。这会是非常常见的。此外，除了流媒体视频或广播之外，用户可能具有其他的数据会话，这可能会被攻击者窃听。

此外，3GPP目前的讨论涉及在两个家庭eNB之间以及在家庭eNB和常规宏eNB之间使用直接X2接口。所描述的问题因而会变得更加普遍。

众所周知，黑客和安全爱好者闯入客户端设备。存在黑客闯入UMTS家庭基站的示例。很有可能类似的攻击将可能针对在LTE家庭基站(家庭eNB)的特定实施方式。

如果以直接接口连接到宏eNB的家庭eNB的安全受到(例如，受到使用与针对UMTS家庭基站相类似的技术的它的托管方的)危及，则攻击者可以容易地对连接到其家庭eNB的任何UE执行上述降级攻击。当用户继而经由直接接口切换移动到宏网络中时，攻击者可以收听受害者的无线电，并且降级攻击导致所有数据以明文或采用攻击者能够破解的弱安全算法加密的方式传输。

这与上述攻击是相同的类型，但是这里家庭eNB方面显示在这里更可能发生基站安全受到危及。攻击者也可以在他自己的家里不间断的工作。

除了上述的安全隐患，现有布置的其他问题涉及在网络节点中的安全算法升级。当新的安全算法被引入规范时，不能总是假设它将立即在网络中的所有节点中执行。例如，MME 1可以实现新算法，然而与UE 5连接的源eNB 3不能。这不是问题。MME 1在步骤S22中通知源eNB 3关于UE 5的安全能力。如果这些安全能力比eNB3支持的更好，则源eNB 3将会正好忽略其他算法。

当源eNB 3向目标eNB 4转发该UE安全能力时出现问题。即使源eNB 3的安全未受危及，在步骤S203中将(在步骤S202中从MME处接收到的)UE安全能力信息重新编码为不同的格式。这是必要的，因为MME 1和eNB 3之间使用的协议与两个eNB之间使用的协议不同。因此，源eNB 3忽略UE支持新的安全算法的信息，并且在步骤S205中向目标eNB 4发送UE安全能力信息时不包括该信息。所以，即便目标eNB 4已经升级并且支持新的安全算法，目标eNB 4也将不会接收到UE 5也支持新算法的信息，并且新的算法将不能被目标eNB4使用。

因此正如上所述，当发生了攻击时，该系统直到S1切换发生或在UE进入IDLE状态时才能自愈。并且，如先前所讨论的，这可能需要相当长的时间。

这也导致了其他问题。每一次X2切换之后，目标eNB 4在步骤S210中向MME 1报告UE安全能力信息，并且MME 1将发现该UE安全能力信息与登记(步骤S201)时从UE 5接收的UE安全能力信息不匹配。MME1将采取某些行动(例如发出警报)，并继续重复在每次从目标eNB处接收到报告时指定的动作。换句话说，目标eNB 4已经升级但是源eNB 3尚未升级的事实将导致每次这种类型的切换发生时响起警报，无论是否已经存在安全漏洞。

因此，有效地，尚未以新算法升级的eNB将阻止已升级的eNB使用最佳可能算法。

发明内容

本发明的目的是减少上述问题。

根据本发明的一方面，提供了一种在通信网络中使用的服务节点。所述服务节点包括用于发送和接收数据的通信单元，用于存储数据的存储介质，以及用于控制通信单元和存储介质的操作的控制单元。通信单元被配置为：当终端(例如使用附接消息或跟踪区域更新请求)向服务节点处登记时接收终端的安全能力。所述存储介质被配置为存储安全能力。所述通信单元被配置为(通常在由目标基站接收的用于切换终端的X2切换请求之后)接收路径切换请求消息，所述路径切换请求包括终端安全能力的另一指示。作为响应，通信单元被配置为向目标基站发送所存储的安全能力，使能用于目标基站和终端之间的通信的安全算法的重新选择。

路径切换请求将通常在源基站发送给目标基站的X2切换请求之后从目标基站接收。

控制单元可以被配置为确定是否应将所存储的安全能力发送给目标基站，并且通信单元可以被配置为在由控制单元执行所述确定的基础上，发送所存储的安全能力。

关于是否应将所存储的安全能力发送给目标基站的确定可以取决于若干因素。在一个实施例中存储介质被配置为存储网络中基站的安全升级详情，并且控制单元被配置为如果网络中一些基站的安全性已经升级了但是源基站的安全性未升级，则指示通信单元向目标基站发送所存储的安全能力。源基站安全性的升级将会导致与终端选择改进的安全性参数。

备选地或另外地，控制单元可以被配置为：如果目标基站的安全性已经被升级，则指示通信单元向目标基站发送所存储的安全能力。

另一备选(其又可以是前述可选项的补充或者添加)将会是控制单元被配置为：如果终端在路径切换请求消息中接收到的终端的安全能力指示与所存储的安全能力不匹配，则指示通信单元向目标基站发送所存储的安全能力。

另一可选项将会是：通信单元在每次接收到路径切换请求消息时均向目标基站发送所存储的安全能力，而不考虑是否已经发生了升级和/或存在不匹配。

通信单元被配置为：在上下文修改请求或者路径切换请求确认消息中向目标基站发送所存储的安全能力。

网络可以是LTE网络并且服务节点可以是MME。

根据本发明的另一方面，提供了一种在通信网络中使用的基站。所述基站包括用于发送和接收数据的通信单元，用于存储数据的存储介质，以及用于控制通信单元和存储介质的操作的控制单元。通信单元被配置为从源基站接收用于终端切换的X2切换请求，所述X2切换请求包括终端的安全能力。所述控制单元被配置为在切换之后选择在基站和终端之间的通信中使用的安全算法，所述安全算法的选择基于接收到的终端的安全能力。通信单元可以向终端发送切换命令消息，所述切换命令消息包括所选安全算法的指示。通信单元被配置为向服务节点发送路径切换请求，所述路径切换请求包括接收到的安全能力。通信单元被配置为(可选地，从服务节点)接收包括终端的替换安全能力的消息。控制单元被配置为至少基于替换安全能力来为基站与终端之间的通信选择新的安全算法。通信单元被配置为向终端发送新的所选安全算法的指示。

包含替换安全能力的消息可以是上下文修改请求或者是路径切换请求确认消息。

控制单元可以被配置为确定从服务节点接收的替换安全能力与在X2切换请求中接收的安全能力是否存在不同，并且仅当存在不同时选择新的安全算法。

根据本发明的另一方面，提供了一种在通信网络中操作服务节点的方法。所述方法包括当终端向服务节点登记时，接收终端的安全能力，并且存储接收到的安全能力。在从源基站向目标基站发送的用于终端切换的X2切换请求之后，可选地，从目标基站接收路径切换请求消息。该路径切换请求包括终端的安全能力。所述方法还包括：向目标基站发送所存储的安全能力。

所存储的终端安全能力可以在上下文修改请求中或路径切换请求确认消息中发送给目标基站。

根据本发明的另一方面，提供了一种在通信网络中操作基站的方法。该方法包括从源基站接收用于终端切换的X2切换请求，所述X2切换请求包括终端的安全能力。在切换后选择用于基站与终端之间通信的安全算法，安全算法的选择基于接收到的终端的安全能力。向终端发送切换命令消息，所述切换命令消息包括所选安全算法的指示。向服务节点发送路径切换请求，所述路径切换请求包括终端的安全能力。可选地，从服务节点接收包括终端的替换安全能力的消息。至少基于所述替换安全能力来选择在基站和终端之间通信使用的新的安全算法。向终端指示新的安全算法的选择。

根据本发明的另一方面，提供了一种操作通信网络的方法。所述方法包括向服务节点登记终端。作为登记过程的一部分，将终端的安全能力从终端发送到服务节点，并且在服务节点处存储所述安全能力。源基站向目标基站发送用于终端自源基站的切换的X2切换请求，所述X2切换请求包括终端的安全能力的附加指示。在切换后，目标基站选择在目标基站和终端之间的通信中使用的安全算法，所述安全算法的选择基于接收到的终端安全能力的附加指示。目标基站向终端发送切换命令消息，所述切换命令消息包括所选安全算法的指示。目标基站向服务节点发送路径切换请求，所述路径切换请求包括终端安全能力的附加指示。服务节点向目标基站发送所存储的安全能力，所述目标基站至少基于在服务节点处存储并从服务节点发送的安全能力来选择在基站和终端之间的通信中使用的新的安全算法。目标基站向终端发送选择新的安全算法的指示。

根据本发明的另一方面，提供了一种包括适于在通信网络中的服务节点上执行的代码的计算机程序产品。所述代码操作用于使服务节点在终端向服务节点登记时接收终端的安全能力，并存储接收到的安全能力。所述代码还可以使服务节点在从源基站向目标基站发送的用于终端切换的X2切换请求后接收路径切换请求，所述路径切换请求包括终端的安全能力。所述代码还操作用于使服务节点向目标基站发送所存储的安全能力。

根据本发明的另一方面，提供了一种包括适于在通信网络中的基站上运行的代码的计算机程序产品。所述代码操作用于使基站从源基站接收用于终端切换的X2切换请求，所述X2切换请求包括终端的安全能力，并且用于在切换之后选择用于基站和终端之间的通信的安全算法，安全算法的选择基于接收到的终端的安全能力。所述代码还可操作用于使基站向终端发送切换命令消息，所述切换命令消息包括所选安全算法的指示。所述代码还可操作用于使基站向服务节点发送路径切换请求，所述路径切换请求包括终端的安全能力，并用于接收包括替换安全能力的消息。所述代码还可操作用于使基站至少基于所述替换安全能力来选择用于基站和终端之间通信的新的安全算法，并向终端指示新的安全算法。

本发明还提供了上述计算机程序产品，由例如RAM、ROM、EPPROM、闪存、磁带或类似的承载介质承载。

本发明还提供了一种包括计算机可读代码的计算机程序，当由通信网络中的服务节点或者基站操作时，使服务节点或基站执行上述方法。本发明还提供了一种包括如上所述的计算机可读介质和计算机程序的计算机程序产品，其中所述计算机程序存储在计算机可读介质中。

附图说明

图1是LTE/SAE网络架构的框图的示意性说明；

图2是示出了根据TS 33.401中X2切换的信令图；

图3是示出了在切换后使已升级的eNB能够使用更新的安全算法的过程的信令图；

图4是更详细地示出了在执行图3中所示的过程中由MME执行的步骤的流程图；

图5是被配置为执行图3和图4中所示的过程的示例性服务网络节点的示意性说明；

图6是示出了在切换之后使已升级的eNB能够使用更新的安全算法的备选过程的信令图；

图7是更详细地示出了在执行图6所示的过程中由MME执行的步骤的流程图；

图8是被配置为执行图6和图7中所示过程的示例性基站的示意性说明；以及

图9是两个连续切换的示意性说明。

具体实施方式

如上所述，升级网络中的某些eNB可能会导致切换的问题，导致不必要地使用过时的安全算法，并且可能发出错误的警报。在当前的形式下，使用LTE规范有两种解决方案是可行的。

一种备选可以是同时升级所有的eNB。在引入安全算法时，在LTE早期(例如，当没有传统eNB和MME或传统eNB和MME非常少时)，这种方式是可行的。然而从长远来看，随着网络的发展，这种解决方案很可能导致高开销并且被认为不实际。

另一种备选可以是配置网络，使得没有以新的安全算法升级的eNB仅使用S1切换。这种配置可以解决问题的原因在于，在S1切换过程中，两个eNB不直接通信，而是通过MME发送它们所有的消息。MME有效地充当代理。由于MME已经知道正确的UE安全能力，MME将这些正确的UE安全能力发送给目标eNB。目标eNB因此将获知UE支持新的安全算法，即使源eNB未转发这一信息。

在一些情况下，像这样的配置解决方案是可行的，但是随着eNB的部署变得密集，由于与S1切换相比，X2切换导致核心网中载荷的减少，X2切换将越来越频繁。另外，网络拓扑可能变得太过复杂以致于改变配置使用S1切换而非X2切换是不可行的。尤其，如果意图是仅在等待区域中的所有eNB升级期间临时改变配置，则系统很可能由于这种配置的高成本而导致反而处于易受攻击的配置，将会存在导致掉落连接的错误配置的风险。

返回参见图2，可以看出在目标eNB做出关于应当使用哪些安全算法的选择(在步骤S206中)之前，在MME 1与目标eNB 4之间没有信令发生。这种选择是基于在步骤S205中从源eNB 3处接收的安全能力信息。对于X2切换过程，目标eNB因而不能确定UE 5是否支持新算法，并且如果不是所有的节点都已经升级，则目标eNB不能假设UE 5支持新算法。

应当注意，为了上面的讨论，源eNB是否已经升级确定它是否可以转发对UE安全能力中的新安全算法的支持。“已升级的”eNB不需在与UE通信时能够自己选择和使用新的安全算法。因此这里的术语“已升级的”用来表示源eNB 3能够向目标eNB 4发信号通知：UE 5在S1AP和X2AP中支持新的安全算法。

下面的讨论说明了解决上述问题的可能性。在讨论中，MME用作核心网中的代表性节点。然而，应当理解，家庭eNB网关或者其他节点也可以充当这一角色。

图3是示出了使已升级的eNB能够在切换后使用最新的安全算法的适合过程(第一方式)的信令图。与图2中的共同的网络节点和信令的步骤由相同的参考标号表示，并且可以假设UE 5与源eNB 3之间的附接过程已经发生。和以前一样，当发起切换时，将包括UE安全能力的切换请求S205和以前一样从源eNB 3发送到目标eNB 4。目标eNB 4在步骤S206中基于由源eNB提供的UE能力的详情以及自身的能力来选择安全算法，并利用所选安全算法向UE返回切换命令S207。UE和目标eNB激活安全算法S208、S209，并将包含这些安全算法的路径切换请求S210发送给MME 1，路径切换请求在步骤S211中进行确认。

该过程现在提供附加的步骤便得MME 1能够作用于路径切换请求S210中包含的信息。在这种方法中，MME 1被配置有关于哪些eNB已经升级且哪些尚未升级的信息。当MME 1检测到已经发生自尚未升级的eNB 3(在这种情况下为源eNB 3)的X2切换时，MME 1在步骤S312中决定是否应当向目标eNB 4提供正确的UE安全能力。实现这一点的一种方式是对于MME 1与目标eNB 4运行S1UE上下文修改过程S313。在这一过程当中，MME使用承载UE安全能力的信息元素(其存在于目前的信令中)来向目标eNB提供正确的UE安全能力。结果，目标eNB与UE运行进行中的密钥改变。这一过程的主要目的是在eNB与UE之间建立新的密钥。然而，这一过程是通过RRC重配置过程S313发起的，RRC重配置过程可以改变在UE和eNB中的安全配置。作为改变安全配置的一部分，建立了新密钥并且重新选择安全算法。此刻将会基于从MME 1接收到的正确的UE安全能力做出选择。

在图4中示出了提供步骤S312中更多细节的流程图。在步骤S210和S211中，MME 1从目标eNB处接收并确认路径切换请求。MME 1中的逻辑在步骤S411中在与MME相关联的存储介质中查找源eNB 3是否已升级。如果是，则应该不存在在切换请求S205中已经向目标eNB 4发送了过时的UE安全能力的危险，并且(至少在一些实施例中)，可以假设由目标eNB选择的安全算法是目标eNB最近可用的。当然，如果源eNB 3已经升级但是目标eNB 4还未升级，则目标eNB仍然可以仅使用升级前的算法，但是这并不会导致冲突。在这种情况下，不需要向目标eNB 4发送附加信息，并且可以继续常规操作S414。

如果源eNB还未升级，则MME1在存储介质中检查(步骤S412)在由UE 5在附接进程S201中原始提供的安全能力与由目标eNB 4在路径切换请求S210中提供的安全能力之间是否存在UE安全能力的不匹配。如果没有不匹配，则不存在问题，则再次，可以继续常规操作S414。

如果用户安全能力不匹配，则MME 1可选地检查(步骤S413)来验证哪些eNB已经升级，并且识别目标eNB 4自身是否已经升级。如果目标eNB已经被升级，则向目标eNB发送具有由MME 1持有的UE安全能力的S1上下文修改请求S313。

在MME中非常简单的逻辑可以是：在自未升级的源eNB的X2切换已经发生时，决定应当总是运行S1UE上下文修改过程S313。这将更容易实现，但是将会导致网络中eNB与UE之间的额外信令。

另一种备选可以是：如果存在UE安全能力的不匹配，则MME可以始终决定应当运行S1UE上下文修改过程S313，以确保能即时地处理任何服务攻击。

图5是可以作为图3中所示的MME1示例的示例性服务网络节点500的示意性说明。节点500包括用于发送和接收数据的通信单元501，用于存储数据的存储介质502，以及用于控制通信单元501和存储单元502的操作的控制单元503。可以理解，控制单元503可以通过硬件或软件操作。控制单元503使得服务网络节点500能够执行上述的操作。

为了使得服务节点能够执行上述的操作，存储介质502包含关于哪些eNB已经升级和哪些还未升级的信息。存储介质502还包含关于每个UE的UE安全能力的信息。控制单元包括逻辑，用于在必要时与目标eNB发起S1UE上下文修改，以向目标eNB提供正确的UE安全能力并因此允许目标eNB选择新的安全算法。这可以是安装在处理器上的程序，或者经由处理器连接到载体介质，例如RAM、ROM、EPPROM、闪存、磁盘或者在其上保存合适程序的类似介质(未示出)。载体介质可以被包括在服务节点中，或者可以是便携的以使得程序可以被带到服务节点。

应当注意，eNB 3、4不需要被修改以执行上述过程。当目标eNB4从MME 1接收S1UE上下文修改请求消息S313时，目标eNB 4被触发以依据TS 33.401在eNB 4与UE 5之间执行安全算法的重新选择。

第二方式消除了对S1UE上下文修改消息的需要。而是，增强来自MME1的S1路径切换请求确认消息S211，以使能包括用于承载UE安全能力的信息元素。MME 1在X2切换之后使用这一信息元素为目标eNB 4提供正确的安全能力。在图6中从信令角度描述了这种备选方式第二实施例，在图7中从处理角度描述了这种备选方式第二实施例。

图6示出事件的序列，并且直至MME 1接收路径切换请求S210这一点均与图3相同。在这一点上，MME1首先在步骤S611中识别是否需要向目标eNB提供正确的UE安全能力，而不是立即确认路径切换请求。这一决定涉及的逻辑可以与上述第一方式基本相同，即，与选择是否运行S1UE上下文修改过程S313所需的逻辑相同。

MME在S1路径切换请求确认中包括正确的用户安全能力的逻辑可以与第一实施例中描述的用于选择运行S1UE上下文修改过程的逻辑相同。因此图7与图4是相同的，除了步骤S313(发起S1上下文修改过程)被步骤S612(在S1路径切换确认消息中包括所存储的UE安全能力)替换。

可选地，可以增强所述S1路径切换请求确认消息S612，以无条件地包括UE安全能力-即，无论是否存在UE安全能力不匹配或是否源eNB目标或eNB已经升级。这种选择的优点在于协议规范和实现变得简单。这也减小了对规范误解(将导致来自不同供应商的eNB与MME之间可能的互操作问题)的机会。

第二方式的MME 1的配置再次是如图5所示的服务节点500的配置：不同之处在于，控制单元503被配置为修改路径切换确认消息以包括UE安全能力，而不是发送单独的S1内容修改消息。

然而，对于第二方式，也应升级eNB，以便它们可以考虑从MME接收到的UE安全能力，因为不存在将触发它们采取行动的上下文修改消息。图8示出了能够参与该过程的基站(eNB)800的示意图。基站包括用于发送和接收数据的通信单元801，用于存储数据的存储介质802，以及用于控制通信单元801和存储单元802的操作的控制单元803。应当理解的是，所述控制单元803可以由硬件或软件来操作，并且可以包括具有在其上安装的合适代码的处理器，或者连接到载体介质(例如RAM、ROM、EPPROM、闪存、磁带或其中包含合适的程序的类似介质(未示出))的处理器。载体介质可以包括在基站中，或者可以是便携的以便使得程序能被带入到基站。控制单元803使得eNB 800能够执行所要求的操作，并且包括处理在S1路径切换请求确认消息中接收到的UE安全能力信息的逻辑。该逻辑可以包括重新选择用于与UE通信的当前使用的安全算法，并使该重新选择基于从MME接收的UE安全能力。

控制单元803会使目标eNB4与UE 5运行RRC重新配置过程S614，以基于从MME1接收的UE安全能力与UE重新选择安全算法。这个过程是可选的：作为替代，从MME1接收的UE安全能力可以存储在存储介质802中替代从源eNB 3接收的(可能不正确的)UE安全能力。如果目标eNB 4的控制单元803选择存储从MME 1接收的UE安全能力，无需与UE 5重新选择安全算法，则目标eNB将(如果已升级)在接下来的到新目标eNB(在图6中未示出)的X2切换中包括这些UE安全能力。

这可以参照图9来理解，图9示意性地示出了UE 900从第一eNB(eNB 1)901到第二eNB(eNB 2)902的切换，然后切换到第三eNB(eNB 3)903。UE 900最初连接到eNB1 901。UE900支持新的安全算法。eNB1 901没有升级。消息911表示到eNB2902的切换。由于eNB1没有升级，eNB 1不在消息911中向eNB2转发UE 900支持UE安全能力中的新安全算法的事实。eNB2902被升级并且既支持信令也支持使用新的安全算法。由于eNB2902无法根据从eNB1接收到的UE安全能力导出UE支持新的算法，eNB2无法选择新的安全算法。在X2切换后，eNB2在消息912(对应于S1路径切换请求S210)中将(从eNB 1接收的)UE安全能力报告给MME 904。MME 904向eNB2902发送S1路径切换请求确认913(对应于步骤S612)，该消息包括UE安全能力。例如，MME 904可能已经选择了包括该UE安全能力，因为MME 904检测到了接收到的UE安全能力与所存储的UE安全能力之间的不匹配。eNB2902不与UE重新选择安全算法。然而，此后eNB2决定将UE 900切换到eNB 903并发送切换消息914。因为eNB 2升级了，它在发送至eNB3903中的切换消息914中包括从MME 904接收的UE安全能力。如果eNB3升级，则它将注意到UE支持新的安全算法并可以选择该新的安全算法。

上述方式给出这样的事实，即当新算法被引入LTE时，当前的安全算法选择机制没有提供良好的方式来混合已升级的与未升级的eNB，而当安全受危及的eNB已经为UE修改了UE安全能力时，系统在所有的情况下可能直至经过相当长的时间才能自愈。

上述过程有助于在存在已升级的与未升级的eNB混合时防止LTE中新安全算法的引入在MME产生大量的错误警报等。此外，在具有已升级的与未升级的eNB的混合的无线网络中，一旦UE连接到已升级的eNB时便可以选择最佳的安全能力算法，而不必先进入空闲状态。即使对于长时间处于已连接状态(例如收听流媒体互联网广播)中的UE也是如此。

此外，当系统受到攻击时，一旦UE与安全未受危及的eNB连接便可以自愈。没有这些系统，在UE与安全未受危及的eNB连接之后，攻击者仍然能够访问用户数据。

将会理解，上述实施例的变型可仍然落在本发明的保护范围内。例如，已经参照LTE解释了上述方法和机制，但是将会理解，它们可以应用到WCDMA，或者任何其他类似的基于分组的无线电技术中。

本发明既适用于上行链路传输也适用于下行链路传输。

受益于前面的描述和相关联的附图的教导，本领域技术人员能够想到所公开的解决方案的修改以及其它实施例。因此，应当理解，所述解决方案不限于所公开的特定实施例，并且其修改以及其他实施例旨在包含在本公开的范围内。尽管在此可能使用了特定术语，但是仅通用地和描述性地、而非限制性地使用这些特定术语。

Claims (12)

1.一种在通信网络中使用的第一基站(902)，包括：

通信单元，用于发送和接收数据；

存储介质，用于存储数据；以及

控制单元，用于控制所述通信单元和所述存储介质的操作；其中

所述通信单元被配置为：从源基站(901)接收用于切换终端(900)的切换请求，所述切换请求包括所述终端(900)的安全能力；

所述控制单元被配置为：在切换之后选择在所述第一基站(902)和所述终端(900)之间的通信中使用的安全算法，对所述安全算法的选择基于接收到的所述终端(900)的安全能力；

所述通信单元被配置为：向服务节点(904)发送路径切换请求，所述路径切换请求包括所接收的安全能力；

所述通信单元被配置为：从所述服务节点(904)接收包括所述终端(900)的替换安全能力在内的第一消息；以及

所述通信单元被配置为：向第二基站(903)发送第二消息，其中，所述第二消息包括所述终端(900)的替换安全能力。

2.根据权利要求1所述的第一基站(902)，其中，所述第二基站(903)被配置为：至少基于所述替换安全能力来选择在所述第二基站(903)和所述终端(900)之间的通信中使用的新的安全算法。

3.根据权利要求1所述的第一基站(902)，其中，所述控制单元被配置为：确定从所述服务节点(904)接收的所述替换安全能力是否与在所述切换请求中接收到的安全能力不同。

4.根据权利要求1至3中任一项所述的第一基站(902)，其中，所述通信单元被配置为：接收来自所述服务节点(904)的上下文修改请求中的所述替换安全能力；和/或所述通信单元被配置为：接收路径切换请求确认消息中的所述替换安全能力。

5.根据权利要求1至3中任一项所述的第一基站(902)，其中，所述通信单元被配置为：在向所述服务节点(904)发送路径切换请求之前，向所述终端(900)发送切换命令消息，所述切换命令消息包括对所选安全算法的指示。

6.根据权利要求1所述的第一基站(902)，其中，所述网络是长期演进“LTE”网络以及所述第一基站(902)是eNodeB“eNB”。

7.一种在通信网络中操作第一基站(902)的方法，包括：

从源基站(901)接收用于终端切换的切换请求，所述切换请求包括终端(900)的安全能力；

在切换之后选择在所述第一基站(902)和所述终端(900)之间的通信中使用的安全算法，对所述安全算法的选择基于接收到的所述终端(900)的安全能力；

向服务节点(904)发送路径切换请求，所述路径切换请求包括所述终端(900)的安全能力；

从所述服务节点(904)接收包括所述终端(900)的替换安全能力在内的第一消息；以及

向第二基站(903)发送第二消息，其中，所述第二消息包括所述终端(900)的替换安全能力。

8.根据权利要求7所述的方法，其中，所述第二基站(903)被配置为：至少基于所述替换安全能力来选择在所述第二基站(903)和所述终端(900)之间的通信中使用的新的安全算法。

9.根据权利要求7所述的方法，还包括：

确定从所述服务节点(904)接收的所述替换安全能力是否与在所述切换请求中接收到的安全能力不同。

10.根据权利要求7至9中任一项所述的方法，还包括以下至少一项：

接收来自所述服务节点(904)的上下文修改请求中的所述替换安全能力；以及

接收路径切换请求确认消息中的所述替换安全能力。

11.根据权利要求7所述的方法，还包括：

在向所述服务节点(904)发送路径切换请求之前向所述终端(900)发送切换命令消息，所述切换命令消息包括对所选安全算法的指示。

12.根据权利要求7所述的方法，其中，所述网络是LTE网络以及所述第一基站(902)是eNB。

Images