CN110121168B - 安全协商方法及装置 - Google Patents

安全协商方法及装置 Download PDF

Info

Publication number
CN110121168B
CN110121168B CN201810119888.9A CN201810119888A CN110121168B CN 110121168 B CN110121168 B CN 110121168B CN 201810119888 A CN201810119888 A CN 201810119888A CN 110121168 B CN110121168 B CN 110121168B
Authority
CN
China
Prior art keywords
identification
integrity protection
terminal
user plane
protection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810119888.9A
Other languages
English (en)
Other versions
CN110121168A (zh
Inventor
吴�荣
张博
谭帅帅
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority to CN201810119888.9A priority Critical patent/CN110121168B/zh
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to EP22169394.8A priority patent/EP4096273A1/en
Priority to EP19751573.7A priority patent/EP3735018B1/en
Priority to BR112020015946-8A priority patent/BR112020015946A2/pt
Priority to PCT/CN2019/070712 priority patent/WO2019153994A1/zh
Publication of CN110121168A publication Critical patent/CN110121168A/zh
Priority to US16/937,107 priority patent/US11765578B2/en
Application granted granted Critical
Publication of CN110121168B publication Critical patent/CN110121168B/zh
Priority to US18/448,235 priority patent/US20240040376A1/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/08—Access point devices
    • H04W88/085—Access point devices with remote components
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本申请提供一种安全协商方法及装置，该方法包括：终端接收CU‑CP/CU‑UP发送的安全协商信息，所述安全协商信息包括：CU‑UP的完整性保护指示标识；终端根据所述CU‑UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。实现了在CU‑CP和CU‑UP分离的场景下，可以完成与终端的用户面安全协商。

Description

安全协商方法及装置
技术领域
本申请涉及无线通信领域，尤其涉及一种安全协商方法及装置。
背景技术
未来网络在接入网侧的基础处理单元拆分成集中式单元(Centralized Unit，CU)和分布式单元(Distributed Unit，DU)，其中集中式单元又可以拆分为控制面功能实体和用户面功能实体，相对应的会有控制面功能网元设备和用户面功能网元设备。具体来说，这种功能解耦主要是针对接入网设备的集中式单元进行进一步的功能拆分。为了保证在此种场景下的通信的安全性，需要提供有效的接入安全协商机制。
但是，目前的安全协商机制主要还是长期演进(Long Term Evolution，LTE)技术中的认证服务器(Authentication Server，AS)SMC过程，即终端和基站之间的交互过程。现有技术这种安全协商机制并不适用于控制面功能实体和用户面功能实体分离的场景。
发明内容
本申请提供一种安全协商方法及装置，用于实现控制面功能实体和用户面功能实体分离场景下的安全协商。
第一方面，本申请提供一种安全协商方法，包括：
终端接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；
所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述终端接收所述CU-CP发送的空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述终端根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
可选地，所述方法还包括：
所述终端向会话管理功能实体SMF发送第一会话建立请求，所述第一会话建立请求包括下述参数中的一项或多项：S-NSSAI(s)、DNN、PDU Session ID、请求类型(RequestType)、Old PDU Session ID、N1 SM container(PDU Session Establishment Request)。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
所述终端向所述SMF发送第一会话建立请求之后，根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端基于会话的用户面完整性保护。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端的用户面完整性保护。
可选地，所述终端确定开启所述终端的完整性保护之后，所述方法还包括：
所述终端向所述CU-CP发送完整性保护参数。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，所述终端确定不开启所述终端的完整性保护。
可选地，所述终端确定不开启所述终端的完整性保护之后，所述方法还包括：
所述终端向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。
可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：
所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。
可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：
所述终端向所述SMF发送第一会话建立请求之后，根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。
可选地，所述方法还包括：
所述终端根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。
可选地，所述安全协商信息还包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
第二方面，本申请提供一种安全协商方法，包括：
终端接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的加密保护指示标识；
所述终端根据所述CU-UP的加密保护指示标识确定是否开启终端的用户面加密保护。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述终端接收所述CU-CP发送的空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述终端根据所述密钥生成参数生成CU-UP的加密保护密钥。
可选地，所述安全协商信息还包括：CU-UP的完整性保护指示标识；
所述方法还包括：
所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端的用户面完整性保护。
可选地，所述方法还包括：
所述终端向会话管理功能实体SMF发送第一会话建立请求，所述第一会话建立请求包括下述参数中的一项或多项：S-NSSAI(s)、DNN、PDU Session ID、请求类型(RequestType)、Old PDU Session ID、N1SM container(PDU Session Establishment Request)。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
所述终端向所述SMF发送第一会话建立请求之后，根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端基于会话的用户面完整性保护。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端的用户面完整性保护。
可选地，所述终端确定开启所述终端的完整性保护之后，所述方法还包括：
所述终端向所述CU-CP发送完整性保护参数。
可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，所述终端确定不开启所述终端的完整性保护。
可选地，所述终端确定不开启所述终端的完整性保护之后，所述方法还包括：
所述终端向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。
可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；
所述方法还包括：
所述终端向所述SMF发送第一会话建立请求之后，根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。
第三方面，本申请提供一种安全协商方法，包括：
终端接收用户面集中式单元CU-UP发送的安全协商信息，所述安全协商信息包括：所述CU-UP的完整性保护指示标识；
所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述终端接收所述CU-UP发送的空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述终端根据所述密钥生成参数生成CU-UP的完整性保护密钥。
可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：
所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。
可选地，所述方法还包括：
所述终端根据所述密钥生成参数生成CU-UP的加密保护密钥。
第四方面，本申请提供一种安全协商方法，包括：
终端接收用户面集中式单元CU-UP发送的安全协商信息，所述安全协商信息包括：所述CU-UP的加密保护指示标识；
所述终端根据所述CU-UP的加密保护指示标识确定是否开启终端的用户面加密保护。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，其特征在于，所述方法还包括：
所述终端接收所述CU-UP发送的空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述终端根据所述密钥生成参数生成CU-UP的完整性保护密钥。
可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：
所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。
可选地，所述方法还包括：
所述终端根据所述密钥生成参数生成CU-UP的加密保护密钥。
第五方面，本申请提供一种安全协商方法，包括：
控制面集中式单元CU-CP确定安全协商信息，所述安全协商信息包括：所述CU-UP的完整性保护指示标识；
所述CU-CP向终端发送所述安全协商信息。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述CU-CP向终端发送空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述CU-CP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
可选地，所述CU-CP根据所述密钥生成参数生成CU-UP的完整性保护密钥之后，还包括：
所述CU-CP向所述CU-UP发送所述CU-UP的用户面完整性保护密钥。
可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识。
可选地，所述方法还包括：
所述CU-CP根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。
可选地，所述方法还包括：
所述CU-CP向所述CU-UP发送所述CU-UP的用户面加密保护密钥。
可选地，所述方法还包括：
所述CU-CP生成基础密钥；
所述CU-CP将所述基础密钥发送给所述CU-UP。
可选地，所述方法还包括：
所述CU-CP接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求；
所述CU-CP向所述SMF发送会话建立响应。
可选地，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。
第六方面，本申请提供一种安全协商方法，包括：
CU-CP确定安全协商信息，所述安全协商信息包括：所述CU-UP的加密保护指示标识；
所述CU-CP向终端发送所述安全协商信息。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述CU-CP向终端发送空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述CU-CP根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。
可选地，所述方法还包括：
所述CU-CP向所述CU-UP发送所述CU-UP的用户面加密保护密钥。
可选地，所述安全协商信息还包括：所述CU-UP的完整性保护指示标识。
可选地，所述方法还包括：
所述CU-CP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
可选地，所述CU-CP根据所述密钥生成参数生成CU-UP的完整性保护密钥之后，还包括：
所述CU-CP向所述CU-UP发送所述CU-UP的用户面完整性保护密钥。
可选地，所述方法还包括：
所述CU-CP生成基础密钥；
所述CU-CP将所述基础密钥发送给所述CU-UP。
可选地，所述方法还包括：
所述CU-CP接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求；
所述CU-CP向所述SMF发送会话建立响应。
可选地，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。
第七方面，本申请提供一种安全协商方法，包括：
用户面集中式单元CU-UP确定安全协商信息，所述安全协商信息包括：所述CU-UP的完整性保护指示标识；
所述CU-UP向终端发送所述安全协商信息。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述CU-UP向终端发送空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述CU-UP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识。
可选地，所述方法还包括：
所述CU-UP根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。
第八方面，本申请提供一种安全协商方法，包括：
用户面集中式单元CU-UP确定安全协商信息，所述安全协商信息包括：所述CU-UP的加密保护指示标识；
所述CU-UP向终端发送所述安全协商信息。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述CU-UP向终端发送空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
可选地，所述方法还包括：
所述CU-UP根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。
可选地，所述安全协商信息还包括所述CU-UP的完整性保护指示标识。
可选地，所述方法还包括：
所述CU-UP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
第九方面，本申请提供一种安全协商装置，所述装置包括用于执行上述第一至第八方面以及第一至第八方面的各种实现方式所提供的方法的模块或手段(means)。
第十方面，本申请提供一种安全协商装置，所述装置包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行本申请第一方面～第四方面中任一个提供的方法，所述装置可以为终端，也可以为终端上的芯片。
第十一方面，本申请提供一种安全协商装置，所述装置包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行本申请第五方面或第六方面提供的方法，所述装置可以为CU-CP，也可以为CU-CP上的芯片。
第十二方面，本申请提供一种安全协商装置，所述装置包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行本申请第七方面或第八方面提供的方法，所述装置可以为CU-UP，也可以为CU-UP上的芯片。
第十三方面，本申请提供一种计算机存储介质，该计算机存储介质用于存储程序，该程序用于执行以上第一至第八方面所述的任意一种方法。
本申请提供的安全协商方法及装置中，CU-CP或CU-UP确定安全协商信息，并向终端发送安全协商信息，终端收到安全协商信息后，根据安全协商信息的指示，可以确定是否开启终端的用户面完整性保护。实现了在CU-CP和CU-UP分离的场景下，可以完成与终端的用户面安全协商。
附图说明
图1为一种通信系统示意图；
图2为另一种通信系统场景示意图；
图3为再一种通信系统场景示意图；
图4为又一种通信系统场景示意图；
图5为本申请一实施例提供的安全协商方法流程示意图；
图6为本申请另一实施例提供的安全协商方法流程示意图；
图7为本申请中一种密钥生成示意图；
图8为本申请中另一种密钥生成示意图；
图9为本申请中再一种密钥生成示意图；
图10为本申请另一实施例提供的安全协商方法流程示意图；
图11为本申请又一实施例提供的安全协商方法流程示意图；
图12为本申请一实施例提供的安全协商装置结构示意图；
图13为本申请另一实施例提供的安全协商装置结构示意图；
图14为本申请另一实施例提供的安全协商装置结构示意图；
图15为本申请另一实施例提供的安全协商装置结构示意图；
图16为本申请再一实施例提供的安全协商装置结构示意图；
图17为本申请又一实施例提供的安全协商装置结构示意图；
图18为本申请另一实施例提供的安全协商装置结构示意图；
图19为本申请另一实施例提供的安全协商装置结构示意图；
图20为本申请一实施例提供的终端结构示意图；
图21为本申请一实施例提供的CU-CP结构示意图；
图22为本申请一实施例提供的CU-UP结构示意图。
具体实施方式
图1为一种通信系统示意图。如图1所示，该系统包括：DU、集中单元的控制面(CU-Control Plane，CU-CP)、集中单元的用户面(CU-User Plane，CU-UP)。
如图1所示，该系统可以是网络设备系统，由一个CU-CP，多个DU，多个CU-UP组成。其中，CU-CP和DU可以通过F1-C接口连接，CU-UP和DU之间可以通过F1-U接口连接，CU-UP和CU-CP之间可以通过E1接口相连。
其中，DU涵盖了基带处理的物理层以及介质访问控制(Media Access Control，MAC)层/无线链路控制(Radio Link Control，RLC)层部分功能。考虑到射频拉远单元(Radio Remote Unit，RRU)与DU的传输资源，部分DU的物理层功能可以上移到RRU。伴随RRU的小型化，甚至更激进的DU可以与RRU进行合并。DU布放取决实际网络环境，例如：核心城区、话务密度较高、站间距较小、机房资源受限的区域，像高校、大型演出场馆等，DU可以集中式布放；而话务较稀疏、站间距较大等区域，像郊县、山区等区域，DU可以采取分布式的布放方式。
CU涵盖了无线接入网高层协议栈以及核心网的一部分功能，例如无线资源控制(Radio Resource Control，RRC)层，分组数据汇聚协议(Packet Data ConvergenceProtocol，PDCP)层等部分功能，甚至也能够支持部分核心网功能下沉至接入网，可以称作边缘计算网络，能够满足未来通信网络对于新兴业务例如视频，网购，虚拟/增强现实对于网络时延的更高要求。
进一步拆分后，CU-CP涵盖了RRC和PDCP协议层部分功能，主要对DU和CU-UP进行资源的管理和调度，以及控制信令的管理和中转。
CU-UP主要涵盖PDCP协议层部分功能，主要对用户数据(UP Traffic)进行传输，在会话到来的时候进行数据传输。
未来第五代(5G)网络中，尤其是在云化技术支持下，用户面和控制面解耦可以实现不同制式网络的同时连接，与业务会话相关的控制面的信令承载在传统已经实现连续覆盖的网络上，数据面调度则在有5G网络覆盖区域调度高速数据承载在5G网络上，没有5G覆盖区域承载在传统网络上。这样5G网络完全可以按需部署，而不需要考虑连续覆盖问题。
具体布放时，一个DU可以连到一个CU-UP，一个CU-UP连到一个CU-CP。特殊情况下，一个CU-UP可能可以连到多个CU-CP；多个CU-UP可以连接到一个DU；多个DU可以连接到一个CU-UP。本申请不作限制。下面介绍几种比较典型的场景，适用于本申请提供的方法：
图2为另一种通信系统场景示意图。
如图2所示，CU-CP和CU-UP处于集中式部署的位置，如部署在机房。
这样更好的利用云技术，CU-CP和CU-UP都可以通过虚拟化实现。CU-CP位于中心更好的为DU提供负载均衡和资源协调。
图3为再一种通信系统场景示意图。
如图3所示，CU-CP和DU一样，部署在室外，同时一个CU-CP管理一个DU，应用于信令操作多的场景。CU-CP管理单个DU，如关键(critical)通信，需要定期更换密钥的场景。但CU-UP可以通过云实现，即通过云服务器(cloud)实现。
增大了CU-CP和CU-UP之间的时延。适用于链接重建、切换和状态转换较多的场景。特别的，如移动性场景：车联网等。
图4为又一种通信系统场景示意图。
如图4所示，该场景可以如高可靠通信(Ultra Reliable&Low LatencyCommunication，URLLC)场景URLLC场景，一次中心交互之后的UP传输(traffic)；也可以进行在UP侧的云实现，实现数据传输的低时延，如关键(critical)任务关键通信(MissionCritical Communication，MTC)。
本申请提供一种安全协商方法，应用于CU-CP和CU-UP分离的场景，例如上述场景，但不以上述场景为限。
在本申请实施例中，终端(terminal device)包括但不限于移动台(MS，MobileStation)、移动终端(Mobile Terminal)、移动电话(Mobile Telephone)、手机(handset)及便携设备(portable equipment)等，该终端可以经无线接入网(RAN，Radio AccessNetwork)与一个或多个核心网进行通信，例如，终端可以是移动电话(或称为“蜂窝”电话)、具有无线通信功能的计算机等，终端还可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置或设备。
网络设备可以是用于与终端进行通信的设备。例如，可以是GSM系统或CDMA系统中的基站(Base Transceiver Station，BTS)，也可以是WCDMA系统中的基站(NodeB，NB)，还可以是LTE系统中的演进型基站(Evolved Node B，eNB或eNodeB)或未来5G网络中的gNB等。
图5为本申请一实施例提供的安全协商方法流程示意图，如图5所示，该方法包括：
S501、CU-CP确定安全协商信息。
S502、CU-CP向终端发送该安全协商信息。
该安全协商信息包括：CU-UP的完整性保护指示标识(UP integrityindication)。
该CU-UP的完整性保护指示标识用于指示CU-UP的完整性保护是否开启。
该安全协商信息可以通过AS安全模式命令(AS Security Mode Command)携带，或者，通过CP安全模式命令(Security Mode Command)携带，或者通过空口重配消息(RRCReconfiguration Request)等命令携带，本申请不作限制。
可选地一种实施方式中，S501之前，CU-CP获取所有CU-UP的密钥，可以是CU-CP自己生成所有CU-UP的密钥，也可以是CU-UP把自己的密钥发送给CU-CP，在此不作限定。
CU-UP的完整性保护指示标识可以是1bit或者1字节的数值或文本符，例如“0”标识未开启，“1”标识开启，也可以是文本符，如“TRUE”代表开启，“FALSE”代表不开启。
可选地，可以预先规定CU-UP的加密保护默认为开启，例如在标准中规定，或者预先配置好。
S503、终端根据上述安全协商信息确定是否开启终端的用户面完整性保护。
终端收到安全协商信息后，根据安全协商信息的指示，可以确定是否开启终端的用户面完整性保护。具体地，可以根据预设规则来确定。
本实施例中，CU-CP确定安全协商信息，并向终端发送安全协商信息，终端收到安全协商信息后，根据安全协商信息的指示，可以确定是否开启终端的用户面完整性保护。实现了在CU-CP和CU-UP分离的场景下，可以完成与终端的用户面安全协商。
可选地，上述安全协商信息还可以包括：CU-UP的加密保护标识(UPConfidentiality indication)。CU-UP的加密保护标识用于指示CU-UP的加密保护是否开启。
类似地，CU-UP的加密保护标识也可以是1bit或者1字节的数值或文本符，例如“0”标识未开启，“1”标识开启，也可以是文本符，如“TRUE”代表开启，“FALSE”代表不开启。
CU-UP的加密保护标识指示CU-UP的加密保护开启时，终端确定开启终端的用户面加密保护。否则终端不开启终端的用户名加密保护。
图6为本申请另一实施例提供的安全协商方法流程示意图，如图6所示，该方法包括：
S601、CU-CP确定安全协商信息。
S602、CU-CP向终端发送该安全协商信息，该安全协商信息包括：CU-UP的加密保护标识。
CU-UP的加密保护标识用于指示CU-UP的加密保护是否开启。
S603、终端根据安全协商信息确定是否开启终端的用户面加密保护。
可选地，安全协商信息包括“CU-UP的加密保护指示标识”时，可以预先规定CU-UP的完整性保护默认为开启，例如在标准中规定，或者预先配置好。
可选地，安全协商信息还包括：CU-UP的完整性保护指示标识。
一种实施方式中，上述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。
具体地，CU-CP的完整性保护算法标识可以是CU-CP的控制面完整性保护算法标识，CU-CP的加密保护算法标识可以是CU-CP的控制面加密保护算法标识。CU-UP的完整性保护算法标识可以是CU-UP的用户面完整性保护算法标识，CU-UP的加密保护算法标识可以是CU-UP的用户面加密保护算法标识。
可选地，一种场景下，CU-CP和CU-UP的完整性保护算法相同，那么安全协商信息可以就指示一个完整性保护算法标识。和/或，CU-CP和CU-UP的加密保护算法相同，那么安全协商信息可以就指示一个加密保护算法标识。
需要说明的是，CU-CP和CU-UP可以预先协商好完整性保护算法和/或加密保护算法。
例如，CU-CP向CU-UP发送算法协商信息，CU-UP确定CU-UP的完整性保护算法和/或CU-UP加密保护算法，并向CU-CP发送算法协商响应，该算法协商响应指示CU-UP的完整性保护算法和/或CU-UP加密保护算法。进而CU-CP根据算法协商响应，确定CU-CP和CU-UP的完整性保护算法，和/或，CU-CP和CU-UP的加密保护算法。
需要说明的是完整性保护算法有控制面完整性保护算法和用户面完整性保护算法，加密算法有控制面的加密算法和用户面的加密算法。
控制面的完整性保护算法是对信令进行完整性保护时用到的算法，控制面的加密保护算法是对信令进行加密保护的时候用到的算法。
用户面完整性保护算法是在对用户数据进行完整性保护时用到的算法，用户面加密保护算法是在对数据进行加密保护的时候用到的算法。
其中CU-CP处理的算法主要为控制面完整性保护算法和加密算法，也包括用户面完整性保护算法和加密算法。CU-UP主要处理用户面完整性保护算法和加密算法。不排除后续DU也需要处理控制面和/或控制面和用户面的完整性保护算法和加密算法。
终端收到上述安全协商信息后，可以先验证安全协商信息的完整性后，先开启控制面无线资源控制(Radio Resource Control，RRC)消息的下行解密和RRC消息的完整性保护，然后确定CU-UP的完整性保护、CU-UP的加密保护是否开启。
可选地，终端根据上述安全协商信息确定是否开启终端的加密保护和/或终端的完整性保护可以包括下述至少一种情况：
1)安全协商信息包括：CU-UP的完整性保护指示标识，且CU-UP的完整性保护指示标识指示CU-UP的完整性保护开启，那么终端确定开启终端的用户面完整性保护。
如果CU-UP的完整性保护指示标识指示CU-UP的完整性保护未开启，则终端不开启终端的用户面完整性保护。
2)安全协商信息包括：CU-UP的加密保护指示标识，且CU-UP的加密保护指示标识指示所述CU-UP的加密保护开启，那么终端确定开启终端的用户面加密保护。
如果CU-UP的加密保护指示标识指示所述CU-UP的加密保护未开启，则终端不开启终端的用户面加密保护。
进一步地，终端向CU-CP发送安全协商响应。
若终端确定开启终端的完整性保护，该安全协商响应包括：完整性保护参数。
若终端确定不开启完整性保护，该安全协商响应包括：终端的完整性保护指示标识和完整性保护参数等。其中，终端的完整性保护指示标识用于指示终端是否开启完整性保护。
完整性保护参数可以是消息完整性保护码(Message Authentication Code forIntegrity，MAC-I)。
需要说明的是，如果终端确定开启终端的用户面加密保护，那么上述终端可以在收到安全协商信息后，开启终端的用户面加密保护。
和/或，如果终端确定开启终端的用户面完整性保护，那么上述终端可以在收到安全协商信息后，开启终端的用户面完整性保护。
另一种方式中，如果终端确定开启加密保护，那么上述终端可以在发送安全协商响应时，开启终端的加密保护。
和/或，如果终端确定开启终端的完整性保护，那么上述终端可以在发送安全协商响应时，开启终端的完整性保护。
可选地，CU-CP确定安全协商信息之前，还可以包括：CU-CP判断CU-UP的完整性保护指示标识是否激活。
若CU-UP的完整性保护指示标识激活，则确定开启CU-UP的下行解密保护。另外，CU-CP和/或CU-UP还记录该CU-UP的完整性保护指示标识当前的值。
进一步地，CU-CP自己设置CU-CP的标识值，记为“CU-CP标识(CP indication)”。CU-CP确定终端和CU-UP都开启加密保护后，设置该CU-CP标识的值为激活，例如CU-CP标识为“1”标识激活，为“0”标识未激活，也可以是文本符，如“TRUE”代表开启，“FALSE”代表不开启。或者，CU-CP标识可以包括CU-CP的加密保护标识和CU-CP的完整性保护标识。可以是CU-CP一开始激活就通知终端，也可以是CU-CP将一些相关信息(例如配置的CP-UP实例信息，CU-UP的隧道ID及相关的保护信息)告诉终端，终端自己判断CU-CP是不是激活，本申请不做限制。
可选地另一种方式中，CU-CP将CU-CP标识发送给终端，终端根据CU-CP标识确定是否开启终端的控制面加密保护。例如，CU-CP标识指示激活时，终端开启终端的控制面加密保护；若CU-CP标识指示未激活时，终端不开启终端的控制面加密保护。
在上述实施例的基础上，CU-CP和终端都需要生成密钥，具体地，生成CU-UP的用户面完整性保护密钥、CU-UP的用户面加密保护密钥等。
CU-CP及终端可以基于接入网(Access Network，AN)的安全密钥(记为K-AN)生成完整性保护密钥、加密密钥等。接入网可以是上述网络设备中的一种，在此不再赘述。该安全密钥可以是网络设备、终端等共享的安全密钥。
需要说明的是，生成密钥的算法可以选择密钥导出函数(Key DerivationFunction，KDF)或者HMAC-SHA256算法，但不以此为限。将需要用到的参数带入生成密钥的算法即可生成密钥。
图7为本申请中一种密钥生成示意图。
一种实施方式中，如图1所示，CU-CP根据CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、K-AN生成CU-UP的用户面完整性保护密钥。
和/或，CU-CP根据CU-UP的加密保护算法类型标识、CU-UP的用户面加密保护算法标识、K-AN生成CU-UP的用户面加密保护密钥。
类似地，CU-CP根据CU-CP的控制面完整性保护算法类型标识、CU-CP的控制面完整性保护算法标识、K-AN生成CU-CP的完整性保护密钥。CU-CP根据CU-CP的控制面加密保护算法类型标识、CU-CP的控制面加密保护算法标识、K-AN生成CU-CP的加密保护密钥。
算法类型标识指示算法所属的类型，比如：用户面加密保护算法为“UP-enc-alg”，其类型值为0x05。其标识输入可以为文本标识符“UP-enc-alg”，也可能为对应数值0x05，或者数值的文本符。
终端根据CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、K-AN生成CU-UP的完整性保护密钥。
和/或，终端根据CU-UP的用户面加密保护算法类型标识、CU-UP的用户面加密保护算法标识、K-AN生成用户面的加密密钥。
可选地，终端根据CU-CP的控制面完整性保护算法类型标识、CU-CP的控制面完整性保护算法标识、K-AN生成CU-CP的控制面完整性保护密钥，根据CU-CP的控制面加密保护算法类型标识、CU-CP的控制面加密保护算法标识、K-AN生成CU-CP的控制面加密保护密钥。
进一步地，终端和CU-CP之间还可以协商生成密钥的相关信息：
一种实施方式中，通过上述安全协商信息携带密钥生成参数。
另一种实施方式中，CU-CP向终端发送密钥生成参数。
密钥生成参数可以为实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度等。
CU-UP标识可以为隧道标识，如TEID。实例标识可以为CU-CP实例标识、CU-UP实例标识、DU实例标识
上述新鲜参数可以为随机数Nonce，random number等。承载标识可以为：DRB ID或BEARER ID。
例如完整性保护算法可以为空算法“NIA0”，对应值为2进制的“0000”；完整性保护算法可以为基于128-bit SNOW 3G的算法“128-NIA1”，对应值为2进制的“0001”；完整性保护算法可以为基于128-bit AES的算法“128-NIA2”，对应值为2进制的“0010”。其标识输入可以为算法名字文本标识符，也可能为对应数值或者数值的文本符。
或者，加密保护算法可以为空加密算法“NEA0”，对应值为2进制的“0000”；加密保护算法可以为基于128-bit SNOW 3G的算法“128-NEA1”，对应值为2进制的“0001”；加密保护算法可以为基于128-bit AES的算法“128-NEA2”，对应值为2进制的“0010”；加密保护算法可以为基于128-bit ZUC的算法“128-NEA3”，对应值为2进制的“0011”。其标识输入可以为算法名字文本标识符，也可能为对应数值或者数值的文本符。
图8为本申请中另一种密钥生成示意图。
终端在确定CU-UP的完整性保护算法和/或CU-UP的加密保护算法后，还可以结合上述密钥生成参数生成密钥。
具体地，终端根据上述密钥生成参数、CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、K-AN生成CU-UP的完整性保护密钥。
和/或，终端根据上述密钥生成参数、CU-UP的用户面加密保护算法类型标识、CU-UP的用户面加密保护算法标识、K-AN生成CU-UP的加密保护密钥。
类似地，CU-CP也可以根据上述密钥生成参数、CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、K-AN生成CU-UP的完整性保护密钥。
和/或，CU-CP根据上述密钥生成参数、CU-UP的用户面加密保护算法类型标识、CU-UP的用户面加密保护算法标识、K-AN生成CU-UP的加密保护密钥。
图9为本申请中再一种密钥生成示意图。
生成密钥的过程中还可以考虑不同CU-UP的标识，这样每个CU-UP对应的密钥不同。
对应的可以理解为，CU-UP对应的用户面的密钥不同。比如，若CU-UP对应的是会话建立流程，则可能用户面加密保护密钥和用户面完整性保护密钥是基于会话粒度的，两条会话的用户面保护密钥不同，即一个会话与另一个会话的加密密钥不同，同时完整性保护密钥也不同。若CU-UP对应的是承载建立流程，如bear或者DRB，则可能用户面加密保护密钥和用户面完整性保护密钥是承载粒度的，两条承载的用户面保护密钥不同，即一条承载与另一个承载的加密密钥不同，同时完整性保护密钥也不同。
如图9所示，终端根据上述密钥生成参数、CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、CU-UP的标识、K-AN生成CU-UP的用户面完整性保护密钥。
和/或，终端根据上述密钥生成参数、CU-UP的用户面加密保护算法类型标识、CU-UP的用户面加密保护算法标识、CU-UP的标识、K-AN生成CU-UP的用户面加密保护密钥。
参见图9，终端可以先根据密钥生成参数、K-AN生成初始密钥，再代入CU-UP的标识、完整性保护算法类型标识、完整性保护算法标识、(可选地还包括密钥生成参数)等，生成完整性保护密钥。类似的，终端可以先根据密钥生成参数、K-AN生成初始密钥，再代入CU-UP的标识、加密保护算法类型标识、加密保护算法标识、(可选地还包括密钥生成参数)等，生成加密保护密钥。
本实施例中，CU-CP获取CU-UP的标识后，还会将CU-UP的标识发送给终端。
CU-UP标识可以是隧道(Tunnel)ID等与CU-UP的实体区分相关的标识
可选地，密钥可以由CU-UP自己生成。具体地，CU-CP生成基础密钥发送给CU-UP，CU-UP根据自己的CU-UP的标识、基础密钥、密钥生成完整性保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、密钥生成参数生成CU-UP的完整性保护密钥。可选地，CU-CP发送基础密钥时，也将CU-UP的完整性保护算法、密钥生成参数发送给CU-UP。
基础密钥可以为就是K-AN，或者与终端共享的一个安全密钥，或者为CU-CP基于K-AN生成的安全密钥等。
类似地，CU-UP根据自己的CU-UP的标识、基础密钥、CU-UP的加密保护算法类型标识、加密算法标识、生成CU-UP的加密保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、CU-UP的加密保护算法类型标识、密钥生成参数生成CU-UP的加密保护密钥。
需要补充的是，还可能CU-UP和DU分布式部署在一起，则DU也可能具有生成密钥的能力，此时需要考虑加上DU的标识。
在上述实施例的基础上，还包括会话建立流程或者承载建立过程。
图10为本申请另一实施例提供的安全协商方法流程示意图，如图10所示，该方法包括：
S111、终端向会话管理功能实体(Session Management Function，SMF)发送第一会话建立请求。
即由终端发起会话建立，当然，本申请不以此为限，也可以由网络侧设备，例如SMF发起会话建立请求，即SMF向终端发送第一会话建立请求，在此不作限制。
该第一会话建立请求包括下述参数中的一项或多项：服务网络切片选择辅助信息(Serving-Network Slice Selection Assistance Information，S-NSSAI(s))、数据网络名字(Data Network Name，DNN)、协议数据单元(Protocol Data Unit，PDU)会话(Session)ID、请求类型(Request Type)、Old PDU Session ID、N1会话管理(Session Management，SM)container (PDU会话建立请求PDU Session Establishment Request)。其中，N1:为终端和AMF之间的接口名字。N1SM Container指终端和AMF之间会话相关的容器。
S112、SMF向CU-CP发送第二会话建立请求。
该第二会话建立请求包括下述参数中的一项或多项：AMF和RAN之间的会话管理信息(N2SM information)，非接入层(Non-Access Stratum，NAS)message(PDU Session ID，N1SM container(PDU Session Establishment Accept))。N2为AMF和无线接入网(RAN)之间的接口名字。
可选地，SMF通过移动性控制功能(Access and Mobility Function，AMF)实体将第二会话建立请求透传给CU-CP。
S113、CU-CP选择目标CU-UP。目标CU-UP可以有一个或多个。
可选地，CU-CP在收到第二会话建立请求后，先选择目标CU-UP，即要建立会话连接的目标CU-UP。
对于承载建立过程，CU-CP选择并向目标CU-UP发送承载建立请求，在承载建立请求中完成下述用户面安全的激活和协商。
一种实施例中，S113在CU-CP确定安全协商信息之前执行。CU-CP选择目标CU-UP后，根据目标CU-UP的标识，获取所述目标CU-UP基于该会话的用户面完整性保护指示标识、和/或所述CU-UP的加密保护指示标识。前提是CU-CP先获取所有CU-UP的完整性保护指示标识、和/或所述CU-UP的加密保护指示标识，根据目标CU-UP的标识从中选择目标CU-UP的CU-UP的完整性保护指示标识、和/或所述目标CU-UP的加密保护指示标识。
可选地，也可以不查找目标CU-UP的CU-UP的完整性保护指示标识、CU-UP的加密保护指示标识。可以在会话建立过程中默认CU-UP的完整性保护未开启、CU-UP的加密保护未开启，具体地可以预先配置或者在标准或协议中规定，本申请不作限制。
S114、CU-CP根据该目标CU-UP的标识生成CU-UP的加密保护密钥、CU-UP的完整性保护密钥。
即可以在会话建立过程中采用如图9所示的方法生成CU-UP的加密保护密钥、CU-UP的完整性保护密钥。但不以此为限，如果采用图7、图8不引入CU-UP标识的方式生成密钥，也可以在安全协商之前就生成密钥，具体生成密钥的时机本申请不作限制。如果CU-CP在会话建立发起之前就生成了CU-UP的加密保护密钥、CU-UP的完整性保护密钥，后续过程中确定CU-UP的完整性保护是否开始标识激活即可。
上述目标CU-UP标识可以是Tunnel ID等与CU-UP的实体区分相关的标识。
或者，CU-CP在生成CU-CP的加密保护密钥、CU-CP的完整性保护密钥时，也生成CU-UP的加密保护密钥、CU-UP的完整性保护密钥。
在有多个目标CU-UP时，CU-CP分别生成各CU-UP的加密保护密钥、完整性保护密钥。
S115、CU-CP向该目标CU-UP发送安全指令，该安全指令包括：CU-UP的加密保护密钥、CU-UP的完整性保护密钥以及CU-UP的完整性保护指示标识。
可选地，安全指令还可以包括：会话标识(ID)和/或CU-UP的加密保护指示标识，CU-UP的用户面加密和完整性保护算法。
需要说明的是，如果会话建立过程之前CU-CP已经有了CU-UP的加密保护密钥、CU-UP的完整性保护密钥，那么可以不执行S114，且安全指令中不包含CU-UP的加密保护密钥、CU-UP的完整性保护密钥。
S116、目标CU-UP向CU-CP发送安全响应，该安全响应携带CU-UP的完整性保护指示标识，指示CU-UP当前是否开启完整性保护。
CU-CP收到安全响应后，记录当前的CU-UP的完整性保护指示标识。
安全响应中也可以不携带完整性保护指示标识，CU-CP默认CU-UP的完整性保护已开启。
S116之后，CU-CP可以向终端发送上述安全协商信息。前述实施例中的CU-UP即为CU-CP选中的目标CU-UP。
终端收到上述安全协商信息后，可以根据CU-UP的完整性保护算法和加密保护算法，生成相应的CU-UP的加密保护密钥和CU-UP的完整性保护密钥。
进而，上述实施例中，终端和CU-UP都开启了上下行加密、解密或者开启了完整性保护，其中，这些保护是基于会话还是基于承载，取决于终端和SMF和/或CU-UP之间进行交互的流程是会话建立流程还是承载建立流程(与空口无线承载(Data Radio Bear，DRB)有关)，两种情况下都适用。
需要说明的是，如果在会话建立之前，终端根据CU-UP的完整性保护指示标识确定开启终端的用户面完整性保护，终端开启的是基于终端的用户面完整性保护和密钥生成与协商。生成的密钥也是基于终端粒度的。
如果在会话建立过程中，例如终端先发起会话建立，即终端在发送第一会话建立请求或者收到第一会话建立请求之后，根据CU-UP的完整性保护指示标识确定开启终端的用户面完整性保护，那么终端开启的是基于会话的用户面完整性保护和密钥生成与协商。生成的密钥是基于会话粒度的。
如果在终端在发送第一会话建立请求或者收到第一会话建立请求之后，且第一会话建立请求中包含了DRB标识，那么终端开启的是基于DRB的用户面完整性保护和密钥生成与协商。生成的密钥是基于DRB粒度的。
如果终端和CU-UP执行的是承载(Bearer)建立过程，那么终端开启和协商的是基于DRB的用户面完整性保护以及密钥协商。生成的密钥是基于Bearer粒度的。
可选地，在上述实施例的基础上，CU-CP还可以向接入和移动性控制功能(Accessand Mobility Function，AMF)实体发送第二会话建立响应。
图11为本申请又一实施例提供的安全协商方法流程示意图，与前述实施例不同是，可以由CU-UP和终端进行安全协商。本实施例中，CU-UP具有一定的消息处理能力，可以自行配置CU-UP安全算法列表，或者收到由CU-CP发送过来的安全算法列表，或者自行生成保护密钥，包括完整性保护密钥和加密密钥，并具有和终端协商的能力，从而做到控制面和用户面的安全解耦。
如图11所示，该方法包括：
S1101、CU-UP确定安全协商信息。
S1102、CU-UP向终端发送该安全协商信息。
该安全协商信息包括：CU-UP的完整性保护指示标识(UP confidentialityindication)。CU-UP的完整性保护标识指示CU-UP的完整性保护是否开启。
S1103、终端根据上述安全协商信息确定是否开启终端的用户面完整性保护。
本实施例中，CU-UP确定安全协商信息，并向终端发送该安全协商信息，终端收到安全协商信息后，根据安全协商信息的指示，可以确定是否开启终端的完整性保护。实现了在CU-CP和CU-UP分离的场景下，可以完成与终端的安全协商。
一种可选地实施方式中，如果CU-UP的完整性保护标识指示CU-UP的完整性保护开启，那么终端确定开启终端的用户面完整性保护。
否则，终端不开启终端的用户面完整性保护。
可选地，安全协商信息中还可以包括：CU-UP的加密保护标识。CU-UP的加密保护标识用于指示CU-UP的加密保护是否开启。
CU-UP的加密保护标识指示CU-UP的加密保护开启时，终端确定开启终端的用户面加密保护。否则终端不开启终端的用户名加密保护。
可替换地，图11所示实施例中，上述安全协商信息包括：CU-UP的加密保护标识。
S1103可以为终端根据上述安全协商信息确定是否开启终端的用户面加密保护。
相应地，上述安全协商信息也可以包括：CU-UP的完整性保护指示标识。
一种实施方式中，上述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。
可选地，一种场景下，CU-CP和CU-UP的完整性保护算法相同，那么安全协商信息可以就指示一个完整性保护算法标识。和/或，CU-CP和CU-UP的加密保护算法相同，那么安全协商信息可以就指示一个加密保护算法标识。
另一种场景下，CU-UP和CU-CP可以分别向终端发送自己的算法，例如CU-UP向终端发送CU-UP的加密保护算法，CU-UP向终端发送CU-UP的完整性保护算法；CU-CP向终端发送CU-CP的加密保护算法，CU-CP向终端发送CU-CP的完整性保护算法。本申请不具体限制。
在上述实施例的基础上，CU-UP生成完整性保护密钥、CU-UP的加密保护密钥等。
具体地，CU-CP生成基础密钥发送给CU-UP，CU-UP根据自己的CU-UP的标识、基础密钥、完整性算法类型标识、完整性算法标识生成完整性保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、密钥生成参数生成CU-UP的完整性保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、密钥生成参数、完整性算法类型标识、完整性算法标识生成CU-UP的完整性保护密钥。可选地，CU-CP发送基础密钥时，也将CU-UP的完整性保护算法、密钥生成参数发送给CU-UP。
基础密钥可以为就是K-AN，或者与终端共享的一个安全密钥，或者为CU-CP基于K-AN生成的安全密钥等。
类似地，CU-UP根据自己的CU-UP的标识、基础密钥、CU-UP的加密保护算法类型标识、加密算法标识、生成CU-UP的加密保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、CU-UP的加密保护算法类型标识、密钥生成参数生成CU-UP的加密保护密钥。
需要补充的是，还可能CU-UP和DU分布式部署在一起，则DU也可能具有生成密钥的能力，此时需要考虑加上DU的标识。
具体地密钥生成过程也可以参照前述图7-图9实施例，在此不再赘述。
另一种实施方式中，CU-UP接收CU-CP发送的CU-UP的加密保护密钥、CU-UP的完整性保护密钥。具体地，CU-CP生成CU-UP的加密保护密钥、CU-UP的完整性保护密钥的方法参照前述实施例，在此不再赘述。
具体地，会话建立过程可以参见前述方法实施例，可以参照图10所示的实施例，在此不再赘述。
即可以由终端发起会话建立，也可以由网络侧例如SMF发起会话建立。
图12为本申请一实施例提供的安全协商装置结构示意图，如图12所示，该装置包括：接收模块121、确定模块122，其中：
接收模块121，用于接收CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识。
确定模块122，用于根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。
可选地，安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、新鲜参数。
可选地，接收模块121，还用于接收所述CU-CP发送的空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、新鲜参数。
图13为本申请另一实施例提供的安全协商装置结构示意图，如图13所示，在图12的基础上，该装置还包括：生成模块131，用于根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
图14为本申请另一实施例提供的安全协商装置结构示意图，如图14所示，该装置还可以包括：发送模块141，用于向会话管理功能实体SMF发送第一会话建立请求，所述第一会话建立请求包括下述参数中的一项或多项：S-NSSAI(s)、DNN、PDU Session ID、请求类型、Old PDU Session ID、N1SM container。
可选地，确定模块122，具体用于向所述SMF发送第一会话建立请求之后，根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护。
进一步地，确定模块122，具体用于当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，确定开启所述终端基于会话的用户面完整性保护。
进一步地，确定模块122，具体用于当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，确定开启所述终端的用户面完整性保护。
一种实施方式中，发送模块141，用于向所述CU-CP发送完整性保护参数。
确定模块122，具体用于当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，确定不开启所述终端的完整性保护。相应地，发送模块141，用于向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。
可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；
确定模块122，还用于根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。
另一实施方式中，安全协商信息还包括所述CU-UP的加密保护指示标识。
相应地，确定模块122，具体用于向所述SMF发送第一会话建立请求之后，根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。
可选地，生成模块131，用于根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。
可选地，安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。
上述装置可以集成于上述终端，或者终端的芯片，上述实施例中终端执行的方法由该装置实现，实现原理和技术效果类似，在此不再赘述。
图15为本申请另一实施例提供的安全协商装置结构示意图，如图15，该装置包括：确定模块151、发送模块152，其中：
确定模块151，用于确定安全协商信息，所述安全协商信息包括：所述CU-UP的完整性保护指示标识。
发送模块152，用于向终端发送所述安全协商信息。
可选地，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、新鲜参数。
可选地，发送模块152，还用于向终端发送空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、新鲜参数。
图16为本申请再一实施例提供的安全协商装置结构示意图，如图16所示，该装置还包括：生成模块161，用于根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
发送模块152，还用于向所述CU-UP发送所述CU-UP的完整性保护密钥。
一种实施方式中，安全协商信息还包括所述CU-UP的加密保护指示标识。
相应地，生成模块161，用于根据所述密钥生成参数生成CU-UP的加密保护密钥。
可选地，发送模块152，还用于向所述CU-UP发送所述CU-UP的用户面加密保护密钥。
进一步地，一种实施方式中，生成模块161，用于生成基础密钥。
发送模块152，还用于将所述基础密钥发送给所述CU-UP。
图17为本申请又一实施例提供的安全协商装置结构示意图，如图17所示，该装置还包括：接收模块171，用于接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求。
发送模块152，还用于向所述SMF发送会话建立响应。
可选地，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。
上述装置可以集成于上述CU-CP，或者CU-CP的芯片，上述实施例中CU-CP执行的方法由该装置实现，实现原理和技术效果类似，在此不再赘述。
图18为本申请另一实施例提供的安全协商装置结构示意图，如图18所示，该装置包括：确定模块181、发送模块182，其中：
确定模块181，用于确定安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识。
发送模块182，用于向终端发送所述安全协商信息。
可选地，安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、新鲜参数。
发送模块182，还用于向终端发送空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、新鲜参数。
图19为本申请另一实施例提供的安全协商装置结构示意图，如图19所示，该装置可以包括：生成模块191，用于根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
可选地，安全协商信息还包括所述CU-UP的加密保护指示标识。
相应地，生成模块191，用于根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。
上述装置可以集成于上述CU-UP，或者CU-UP的芯片，上述实施例中CU-CP执行的方法由该装置实现，实现原理和技术效果类似，在此不再赘述。
需要说明的是，应理解以上装置的各个模块的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且这些模块可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现；还可以部分模块通过处理元件调用软件的形式实现，部分模块通过硬件的形式实现。例如，确定模块可以为单独设立的处理元件，也可以集成在上述装置的某一个芯片中实现，此外，也可以以程序代码的形式存储于上述装置的存储器中，由上述装置的某一个处理元件调用并执行以上确定模块的功能。其它模块的实现与之类似。此外这些模块全部或部分可以集成在一起，也可以独立实现。这里所述的处理元件可以是一种集成电路，具有信号的处理能力。在实现过程中，上述方法的各步骤或以上各个模块可以通过处理器元件中的硬件的集成逻辑电路或者软件形式的指令完成。
例如，以上这些模块可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个特定集成电路(Application Specific Integrated Circuit，ASIC)，或，一个或多个微处理器(digital signal processor，DSP)，或，一个或者多个现场可编程门阵列(Field Programmable Gate Array，FPGA)等。再如，当以上某个模块通过处理元件调度程序代码的形式实现时，该处理元件可以是通用处理器，例如中央处理器(CentralProcessing Unit，CPU)或其它可以调用程序代码的处理器。再如，这些模块可以集成在一起，以片上系统(system-on-a-chip，SOC)的形式实现。
图20为本申请一实施例提供的终端结构示意图，如图20所示，该终端可以包括：存储器201和处理器202。
存储器201可以是独立的物理单元，与处理器202可以通过总线连接。存储器201、处理器202也可以集成在一起，通过硬件实现等。
存储器201用于存储实现以上方法实施例，处理器202调用该程序，执行以上终端执行的方法实施例的操作。
图21为本申请一实施例提供的CU-CP结构示意图，如图21所示，该CU-CP可以包括：存储器211和处理器212。
存储器211可以是独立的物理单元，与处理器2102可以通过总线连接。存储器211、处理器212也可以集成在一起，通过硬件实现等。
存储器211用于存储实现以上方法实施例，处理器212调用该程序，执行以上CU-CP执行的方法实施例的操作。
图22为本申请一实施例提供的CU-UP结构示意图，如图22所示，该CU-UP可以包括：存储器221和处理器222。
存储器221可以是独立的物理单元，与处理器222可以通过总线连接。存储器201、处理器222也可以集成在一起，通过硬件实现等。
存储器221用于存储实现以上方法实施例，处理器222调用该程序，执行以上CU-UP执行的方法实施例的操作。
可选地，当上述实施例的安全协商方法中的部分或全部通过软件实现时，安全协商装置也可以只包括处理器。用于存储程序的存储器位于上述装置之外，处理器通过电路/电线与存储器连接，用于读取并执行存储器中存储的程序。
处理器可以是中央处理器(central processing unit，CPU)，网络处理器(network processor，NP)或者CPU和NP的组合。
处理器还可以进一步包括硬件芯片。上述硬件芯片可以是专用集成电路(application-specific integrated circuit，ASIC)，可编程逻辑器件(programmablelogic device，PLD)或其组合。上述PLD可以是复杂可编程逻辑器件(complexprogrammable logic device，CPLD)，现场可编程逻辑门阵列(field-programmable gatearray，FPGA)，通用阵列逻辑(generic array logic,GAL)或其任意组合。
存储器可以包括易失性存储器(volatile memory)，例如随机存取存储器(random-access memory，RAM)；存储器也可以包括非易失性存储器(non-volatilememory)，例如快闪存储器(flash memory)，硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)；存储器还可以包括上述种类的存储器的组合。

Claims (52)

1.一种安全协商方法，其特征在于，包括：
终端接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；
所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。
2.根据权利要求1所述的方法，其特征在于，所述安全协商信息还包括：密钥生成参数；
所述终端根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥；其中，所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：
所述终端向会话管理功能实体SMF发送第一会话建立请求；
所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端基于会话的用户面完整性保护。
4.根据权利要求1或2所述的方法，其特征在于，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端的用户面完整性保护。
5.根据权利要求4所述的方法，其特征在于，所述终端确定开启所述终端的完整性保护之后，所述方法还包括：
所述终端向所述CU-CP发送完整性保护参数。
6.根据权利要求1所述的方法，其特征在于，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：
当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，所述终端确定不开启所述终端的完整性保护。
7.根据权利要求6所述的方法，其特征在于，所述终端确定不开启所述终端的完整性保护之后，所述方法还包括：
所述终端向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。
8.根据权利要求5-7任一所述的方法，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：
所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。
9.根据权利要求5-7任一所述的方法，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：
所述终端向SMF发送第一会话建立请求；
所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。
10.一种安全协商方法，其特征在于，包括：
控制面集中式单元CU-CP向目标用户面集中单元CU-UP发送安全指令，所述安全指令包括所述CU-UP的第一完整性保护指示标识；
所述CU-CP接收所述目标CU-UP发送的安全响应，所述安全响应携带所述CU-UP的第二完整性保护指示标识，所述CU-UP的第二完整性保护指示标识用于指示所述CU-UP是否开启完整性保护；
所述CU-CP记录所述CU-UP的第二完整性保护指示标识；以及
所述CU-CP向终端发送所述安全协商信息，所述安全协商信息包括第三完整性保护指示标识，所述第三完整性保护指示标识用于指示所述终端是否开启完整性保护。
11.根据权利要求10所述的方法，其特征在于，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
12.根据权利要求10所述的方法，其特征在于，所述方法还包括：
所述CU-CP向终端发送空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
13.根据权利要求11或12所述的方法，其特征在于，所述方法还包括：
所述CU-CP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
14.根据权利要求13所述的方法，其特征在于，所述CU-CP根据所述密钥生成参数生成CU-UP的完整性保护密钥之后，还包括：
所述CU-CP向所述CU-UP发送所述CU-UP的完整性保护密钥。
15.根据权利要求11或12所述的方法，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识。
16.根据权利要求15所述的方法，其特征在于，所述方法还包括：
所述CU-CP根据所述密钥生成参数生成CU-UP的加密保护密钥。
17.根据权利要求16所述的方法，其特征在于，所述方法还包括：
所述CU-CP向所述CU-UP发送所述CU-UP的用户面加密保护密钥。
18.根据权利要求10所述的方法，其特征在于，所述方法还包括：
所述CU-CP生成基础密钥；
所述CU-CP将所述基础密钥发送给所述CU-UP。
19.根据权利要求16-18任一项所述的方法，其特征在于，所述方法还包括：
所述CU-CP接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求；
所述CU-CP向所述SMF发送会话建立响应。
20.根据权利要求16-18任一项所述的方法，其特征在于，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。
21.一种安全协商方法，其特征在于，包括：
目标用户面集中式单元CU-UP接收控制面集中式单元CU-CP发送的安全指令，所述安全指令包括所述CU-UP的第一完整性保护指示标识；
所述目标CU-UP向所述CU-CP发送安全响应，所述安全响应携带所述CU-UP的第二完整性保护指示标识，所述CU-UP的第二完整性保护指示标识用于指示所述CU-UP是否开启完整性保护。
22.根据权利要求21所述的方法，其特征在于，所述安全响应还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
23.根据权利要求21所述的方法，其特征在于，所述安全响应还包括所述CU-UP的加密保护指示标识。
24.一种安全协商装置，其特征在于，包括：
接收模块，用于接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；
确定模块，用于根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。
25.根据权利要求24所述的装置，其特征在于，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
26.根据权利要求24或25所述的装置，其特征在于，还包括：
发送模块，用于向会话管理功能实体SMF发送第一会话建立请求；
所述确定模块，具体用于当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，确定开启所述终端基于会话的用户面完整性保护。
27.根据权利要求24或25所述的装置，其特征在于，所述确定模块，具体用于当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，确定开启所述终端的用户面完整性保护。
28.根据权利要求27所述的装置，其特征在于，还包括：
发送模块，用于向所述CU-CP发送完整性保护参数。
29.根据权利要求24所述的装置，其特征在于，所述确定模块，具体用于当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，确定不开启所述终端的完整性保护。
30.根据权利要求29所述的装置，其特征在于，还包括：
发送模块，用于向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。
31.根据权利要求28-30任一项所述的装置，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识；
所述确定模块，还用于根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。
32.根据权利要求28-30任一项所述的装置，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识；
所述装置还包括：
发送模块，用于向SMF发送第一会话建立请求；
所述确定模块，具体用于向所述SMF发送第一会话建立请求之后，根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。
33.一种安全协商装置，其特征在于，包括：
发送模块，用于向目标用户面集中单元CU-UP发送安全指令，所述安全指令包括所述CU-UP的第一完整性保护指示标识；
接收模块，用于所述目标CU-UP发送的安全响应，所述安全响应携带所述CU-UP的第二完整性保护指示标识，所述CU-UP的第二完整性保护指示标识用于指示所述CU-UP是否开启完整性保护；确定模块，用于记录所述CU-UP的第二完整性保护指示标识；
发送模块，用于向终端发送所述安全协商信息，所述安全协商信息包括第三完整性保护指示标识，所述第三完整性保护指示标识用于指示所述终端是否开启完整性保护。
34.根据权利要求33所述的装置，其特征在于，所述安全协商信息还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
35.根据权利要求34所述的装置，其特征在于，所述发送模块，还用于向终端发送空口信息，所述空口信息包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
36.根据权利要求34或35所述的装置，其特征在于，还包括：
生成模块，用于根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。
37.根据权利要求36所述的装置，其特征在于，所述发送模块，还用于向所述CU-UP发送所述CU-UP的完整性保护密钥。
38.根据权利要求34或35所述的装置，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识。
39.根据权利要求38所述的装置，其特征在于，还包括：
生成模块，用于根据所述密钥生成参数生成CU-UP的加密保护密钥。
40.根据权利要求39所述的装置，其特征在于，所述发送模块，还用于向所述CU-UP发送所述CU-UP的用户面加密保护密钥。
41.根据权利要求34所述的装置，其特征在于，还包括：
生成模块，用于生成基础密钥；
所述发送模块，还用于将所述基础密钥发送给所述CU-UP。
42.根据权利要求39-41任一项所述的装置，其特征在于，还包括：
接收模块，用于接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求；
所述发送模块，还用于向所述SMF发送会话建立响应。
43.根据权利要求39-41任一项所述的装置，其特征在于，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。
44.一种安全协商装置，其特征在于，包括：
确定模块，用于接收控制面集中式单元CU-CP发送的安全指令，所述安全指令包括所述CU-UP的第一完整性保护指示标识；
发送模块，用于向所述CU-CP发送安全响应，所述安全响应携带所述CU-UP的第二完整性保护指示标识，所述CU-UP的第二完整性保护指示标识用于指示所述CU-UP是否开启完整性保护。
45.根据权利要求44所述的装置，其特征在于，所述安全响应还包括：密钥生成参数；
所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。
46.根据权利要求45所述的装置，其特征在于，所述安全响应还包括所述CU-UP的加密保护指示标识。
47.一种安全协商方法，其特征在于，包括：
控制面集中式单元CU-CP向目标用户面集中单元CU-UP发送安全指令，所述安全指令包括所述CU-UP的第一完整性保护指示标识；
所述目标CU-UP向所述CU-CP发送安全响应，所述安全响应携带所述CU-UP的第二完整性保护指示标识，所述CU-UP的第二完整性保护指示标识用于指示所述CU-UP是否开启完整性保护；
所述CU-CP记录所述CU-UP的第二完整性保护指示标识；以及
所述CU-CP向终端发送安全协商信息，所述安全协商信息包括第三完整性保护指示标识，所述第三完整性保护指示标识用于指示所述终端是否开启完整性保护。
48.根据权利要求47所述的方法，其特征在于，所述安全指令还包括所述CU-UP的第一加密指示标识。
49.根据权利要求47或48所述的方法，其特征在于，所述安全指令还包括所述CU-UP的加密保护密钥和CU-UP的完整性保护密钥。
50.一种安全协商系统，其特征在于，包括：
控制面集中式单元CU-CP，用于向目标用户面集中单元CU-UP发送安全指令，所述安全指令包括所述CU-UP的第一完整性保护指示标识；
所述目标CU-UP，用于向所述CU-CP发送安全响应，所述安全响应携带所述CU-UP的第二完整性保护指示标识，所述CU-UP的第二完整性保护指示标识用于指示所述CU-UP是否开启完整性保护；
所述CU-CP，还用于记录所述CU-UP的第二完整性保护指示标识；以及向终端发送安全协商信息，所述安全协商信息包括第三完整性保护指示标识，所述第三完整性保护指示标识用于指示所述终端是否开启完整性保护。
51.根据权利要求50所述的系统，其特征在于，所述安全指令还包括所述CU-UP的第一加密指示标识。
52.根据权利要求50或51所述的系统，其特征在于，所述安全指令还包括所述CU-UP的加密保护密钥和CU-UP的完整性保护密钥。
CN201810119888.9A 2018-02-06 2018-02-06 安全协商方法及装置 Active CN110121168B (zh)

Priority Applications (7)

Application Number Priority Date Filing Date Title
CN201810119888.9A CN110121168B (zh) 2018-02-06 2018-02-06 安全协商方法及装置
EP19751573.7A EP3735018B1 (en) 2018-02-06 2019-01-07 Security negotiation method and apparatus
BR112020015946-8A BR112020015946A2 (pt) 2018-02-06 2019-01-07 Método e aparelho de negociação de segurança
PCT/CN2019/070712 WO2019153994A1 (zh) 2018-02-06 2019-01-07 安全协商方法及装置
EP22169394.8A EP4096273A1 (en) 2018-02-06 2019-01-07 Security negotiation method and apparatus
US16/937,107 US11765578B2 (en) 2018-02-06 2020-07-23 Security negotiation method and apparatus
US18/448,235 US20240040376A1 (en) 2018-02-06 2023-08-11 Security Negotiation Method and Apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810119888.9A CN110121168B (zh) 2018-02-06 2018-02-06 安全协商方法及装置

Publications (2)

Publication Number Publication Date
CN110121168A CN110121168A (zh) 2019-08-13
CN110121168B true CN110121168B (zh) 2021-09-21

Family

ID=67519983

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810119888.9A Active CN110121168B (zh) 2018-02-06 2018-02-06 安全协商方法及装置

Country Status (5)

Country Link
US (2) US11765578B2 (zh)
EP (2) EP4096273A1 (zh)
CN (1) CN110121168B (zh)
BR (1) BR112020015946A2 (zh)
WO (1) WO2019153994A1 (zh)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109040322B (zh) * 2018-10-08 2021-05-11 腾讯科技（深圳）有限公司 车辆通信方法、装置、计算机可读介质及电子设备
CN111641944A (zh) * 2019-03-01 2020-09-08 华为技术有限公司 一种通信方法及设备
CN112399422B (zh) * 2019-08-16 2022-08-05 大唐移动通信设备有限公司 一种安全算法配置方法、控制平面中心节点及终端
CN112492584B (zh) * 2019-08-23 2022-07-22 华为技术有限公司 终端设备和用户面网元之间的安全通信方法、装置及系统
JP2022548137A (ja) * 2019-09-16 2022-11-16 華為技術有限公司 エアインターフェース情報セキュリティ保護方法および装置
CN112543450A (zh) * 2019-09-23 2021-03-23 大唐移动通信设备有限公司 密钥推衍方法及装置
CN113381966B (zh) * 2020-03-09 2023-09-26 维沃移动通信有限公司 信息上报方法、信息接收方法、终端及网络侧设备
CN113455034B (zh) * 2020-07-30 2022-06-10 华为技术有限公司 一种通信方法及装置
CN114079915A (zh) * 2020-08-06 2022-02-22 华为技术有限公司 确定用户面安全算法的方法、系统及装置
KR20230024779A (ko) * 2021-08-12 2023-02-21 삼성전자주식회사 무선 통신 시스템에서 사용자 평면에서 송수신되는 정보를 보호하는 방법 및 장치
CN114598500B (zh) * 2022-01-29 2024-06-14 奇安信科技集团股份有限公司 一种安全服务提供方法、平台、电子设备、介质及程序
US20230254342A1 (en) * 2022-02-09 2023-08-10 Nbcuniversal Media, Llc Cryptographic binding of data to network transport
WO2023229316A1 (en) * 2022-05-23 2023-11-30 Samsung Electronics Co., Ltd. Method and system for designing security protocol for 6g network architecture

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2001221632A1 (en) 2000-11-28 2002-06-11 Nokia Corporation System and method for authentication of a roaming subscriber
CN1855924A (zh) * 2005-04-27 2006-11-01 华为技术有限公司 网络层安全报文穿越地址变换设备的方法
US7647508B2 (en) * 2005-06-16 2010-01-12 Intel Corporation Methods and apparatus for providing integrity protection for management and control traffic of wireless communication networks
US8220042B2 (en) * 2005-09-12 2012-07-10 Microsoft Corporation Creating secure interactive connections with remote resources
CN100463391C (zh) * 2006-09-23 2009-02-18 西安西电捷通无线网络通信有限公司 一种网络密钥管理及会话密钥更新方法
CN102209320B (zh) * 2007-05-15 2014-04-02 华为技术有限公司 不同无线接入技术间切换时安全协商的方法和装置
CN102014381B (zh) 2009-09-08 2012-12-12 华为技术有限公司 加密算法协商方法、网元及移动台
CN101702818B (zh) * 2009-11-02 2012-12-12 上海华为技术有限公司 无线链路控制连接重建立中的算法协商方法、系统及设备
CN101835156B (zh) * 2010-05-21 2014-08-13 中兴通讯股份有限公司南京分公司 一种用户接入安全保护的方法及系统
CN102448058B (zh) 2011-01-10 2014-04-30 华为技术有限公司 一种Un接口上的数据保护方法与装置
US9078130B2 (en) * 2012-04-10 2015-07-07 Qualcomm Incorporated Secure reception reporting
CN104244247B (zh) * 2013-06-07 2019-02-05 华为技术有限公司 非接入层、接入层安全算法处理方法及设备
CN104994503B (zh) * 2015-07-17 2019-01-01 上海瑞狮网络科技有限公司 一种移动应用访问方法
CN106375989B (zh) * 2015-07-20 2019-03-12 中兴通讯股份有限公司 实现接入层安全的方法及用户设备和无线接入小节点
RU2697645C1 (ru) 2015-08-13 2019-08-15 Хуавэй Текнолоджиз Ко., Лтд. Способ защиты сообщений и соответствующее устройство и система
DK3371950T3 (da) * 2015-11-02 2021-03-22 Ericsson Telefon Ab L M Trådløs kommunikation
CN106102106B (zh) * 2016-06-20 2020-03-24 电信科学技术研究院 一种终端接入的方法、装置及网络架构
CN107567018B (zh) * 2016-07-01 2022-10-11 中兴通讯股份有限公司 消息处理方法及装置、终端、消息处理系统
KR102358918B1 (ko) * 2016-07-04 2022-02-07 삼성전자 주식회사 무선 통신 시스템에서 서비스에 따른 보안 관리 방법 및 장치
EP3482602B1 (en) * 2016-07-05 2023-10-18 Apple Inc. Systems, methods and devices for control-user plane separation for 5g radio access networks
CN106162730B (zh) * 2016-07-12 2019-11-15 上海华为技术有限公司 一种通信的方法、设备及系统
US20180083972A1 (en) * 2016-09-20 2018-03-22 Lg Electronics Inc. Method and apparatus for security configuration in wireless communication system
CN106792676B (zh) * 2017-02-10 2018-03-20 北京浩瀚深度信息技术股份有限公司 一种lte系统内部nas消息的解密方法及装置
CN115396927A (zh) * 2018-12-29 2022-11-25 华为技术有限公司 通信方法和装置
KR20210010358A (ko) * 2019-07-17 2021-01-27 한국전자통신연구원 네트워크에서 up 연결을 비활성화하는 방법 및 네트워크에서 up 연결에 대한 비활성화를 제어하는 네트워크 엔터티

Also Published As

Publication number Publication date
EP4096273A1 (en) 2022-11-30
EP3735018A4 (en) 2021-02-24
EP3735018A1 (en) 2020-11-04
BR112020015946A2 (pt) 2020-12-15
WO2019153994A1 (zh) 2019-08-15
US20200359208A1 (en) 2020-11-12
US11765578B2 (en) 2023-09-19
EP3735018B1 (en) 2022-05-11
US20240040376A1 (en) 2024-02-01
CN110121168A (zh) 2019-08-13

Similar Documents

Publication Publication Date Title
CN110121168B (zh) 安全协商方法及装置
EP3691316B1 (en) Parameter protection method, device and system
US11533610B2 (en) Key generation method and related apparatus
CN108307407B (zh) 一种通信方法及装置
EP4142327A1 (en) Method and apparatus for protecting communication
EP3840518B1 (en) Rrc connection method and terminal
EP3863314A1 (en) Method and apparatus for determining security protection mode
WO2021244447A1 (zh) 信息保护方法、系统及通信装置
US20230337002A1 (en) Security context generation method and apparatus, and computer-readable storage medium
CN108702303B (zh) 一种为无线承载进行安全配置方法和设备
CN115362692B (zh) 一种通信方法、装置及系统
CN113747367B (zh) 一种通信方法及通信装置
CN115484615A (zh) 通信方法及通信装置
WO2023213191A1 (zh) 安全保护方法及通信装置
CN114208240B (zh) 数据传输方法、装置及系统
EP4231751A1 (en) Wireless communication method, device, and system
WO2023098209A1 (zh) 一种数据传输保护方法、设备及系统
WO2023083346A1 (zh) 卫星通信系统、方法、装置、接收方网元及存储介质
CN108370607A (zh) 数字单元、无线单元、基站及数据传输方法
CN115884173A (zh) 一种通信方法及装置
CN118118161A (zh) 建立安全关联的方法、设备、装置及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant