CN110913389A - 获取安全上下文的方法和装置 - Google Patents

获取安全上下文的方法和装置 Download PDF

Info

Publication number
CN110913389A
CN110913389A CN201811077345.1A CN201811077345A CN110913389A CN 110913389 A CN110913389 A CN 110913389A CN 201811077345 A CN201811077345 A CN 201811077345A CN 110913389 A CN110913389 A CN 110913389A
Authority
CN
China
Prior art keywords
security
user plane
pdu session
plane gateway
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201811077345.1A
Other languages
English (en)
Other versions
CN110913389B (zh
Inventor
吴�荣
谭帅帅
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN201811077345.1A priority Critical patent/CN110913389B/zh
Priority to EP19860091.8A priority patent/EP3820182A4/en
Priority to PCT/CN2019/105019 priority patent/WO2020052531A1/zh
Publication of CN110913389A publication Critical patent/CN110913389A/zh
Priority to US17/179,820 priority patent/US11722888B2/en
Application granted granted Critical
Publication of CN110913389B publication Critical patent/CN110913389B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0433—Key management protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/16—Gateway arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/12—Reselecting a serving backbone network switching or routing node

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本申请提供了一种获取安全上下文的方法和装置。该方法包括：用户面网关接收来自UE的PDU会话建立请求，该PDU会话建立请求用于请求建立用户面网关与UE之间的PDU会话，该PDU会话承载于UE与数据网络的业务服务器之间；用户面网关和UE分别获取用于该PDU会话的安全上下文，并基于该安全上下文激活用户面安全保护。因此，在PDU会话重建的情况下，例如由用户面网关、会话管理网元等切换触发的PDU会话重建，用户面网关和UE能够获取新的安全上下文，实现UE与用户面网关之间的端到端保护。

Description

获取安全上下文的方法和装置
技术领域
本申请涉及无线通信领域，并且更具体地，涉及获取安全上下文的方法和装置。
背景技术
移动通信的安全问题正越来越多地受到关注。在数据传输过程中，发送端可以对传输的数据进行加密保护和完整性保护，接收端可以对接收到的加密数据进行解密和完整性验证。从而可以保证数据的私密性和完整性。
以上行传输为例，UE可以在完成对数据的加密和完整性保护后发送至接入网设备，接入网设备可以负责数据解密和完整性验证。接入网设备在完成对数据的解密和完整性验证后，再通过接入网设备与核心网设备，如用户面网关，之间的安全通道传输数据。核心网设备完成IP地址分配、计费等操作，并将数据发送至互联网服务器。
然而，数据在接入网设备被解密后再通过安全通道传输，存在一定的安全隐患。并且，在某些情况下，由于网络负载、业务需求等原因可能需要切换用户面网关或其他核心网网元，这更不利于数据的安全传输。
发明内容
本申请提供一种获取安全上下文的方法和装置，以提高数据传输的安全性。
第一方面，提供了一种获取安全上下文的方法。该方法包括：用户面网关接收来自会话管理网元的第三分组数据单元(packet data unit，PDU)会话建立请求，该第三PDU会话建立请求用于请求建立用户面网关与用户设备(user equipment，UE)之间的PDU会话，该PDU会话承载于UE与数据网络的业务服务器之间；用户面网关获取用于PDU会话的安全上下文；用户面网关基于安全上下文激活用户面安全保护。
其中，用户面网关的一端可以为UE，另一端可以为数据网络的业务服务器。因此，UE传输至用户面网关的数据可以被输出至该数据网络的业务服务器，数据网络的业务服务器传输至用户面网关的数据也可以被输出至UE。
基于上述方法，UE和网络侧完成了用户面网关的切换和PDU会话的重建。UE和网络侧完成了用户面网关和会话管理网元的切换以及PDU会话的重建。基于新建的PDU会话，UE和新的用户面网关之间可以基于新的安全上下文进行安全的数据传输，实现了UE和用户面网关之间的端到端的安全保护。
需要说明的是，本申请实施例仅为示例，以部署在UE和用户面网关之间的用户面安全保护为例来详细说明用户面网关切换的情况下获取安全上下文的具体过程。该用户面网关例如也可以替换为服务网关(serving gateway，SGW)、公共数据网(public datanetwork，PDN)网关(PDN gateway，PGW)、PDU会话锚节点(PDU Session anchor)会话代理、本地分流服务器(local breakout(LBO)server)等可用来传输或路由用户面数据的网元以及其他可用于实现相同或相似功能的网元。
结合第一方面，在第一方面的某些可能的实现方式中，所述用户面网关获取用于PDU会话的安全上下文，包括：用户面网关从会话管理网元获取共享安全上下文，该共享安全上下文为与UE对应的安全上下文；用户面网关将该共享安全上下文确定为安全上下文。
其中，共享安全上下文可以是基于UE粒度生成的。也就是说，该共享安全上下文与UE对应。在UE不变的情况下，各网元可以共享一套安全上下文，而不需要基于每一次PDU会话重建生成一套新的安全上下文，比较方便。
结合第一方面，在第一方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述用户面网关获取用于PDU会话的安全上下文，包括：用户面网关从会话管理网元接收安全密钥。
该安全密钥可以由接入和移动管理网元或会话管理网元生成并发送给该用户面网关。
结合第一方面，在第一方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述用户面网关获取用于PDU会话的安全上下文，包括：用户面网关接收用于生成安全密钥的UPF传输根密钥；用户面网关基于UPF传输根密钥生成安全密钥。
该安全密钥也可以由用户面网关生成。接入和移动管理网元或会话管理网元可以生成UPF传输根密钥，并将该UPF传输根密钥发送给用户面网关，以便于用户面网关生成安全密钥。
结合第一方面，在第一方面的某些可能的实现方式中，安全上下文包括安全密钥。其中，所述用户面网关获取用于PDU会话的安全上下文，包括：用户面网关接收密钥和输入参数；用户面网关基于该中间密钥和输入参数生成UPF传输根密钥，并基于UPF传输根密钥生成安全密钥。
该安全密钥也可以由用户面网关生成。接入和移动管理网元可以将用于生成UPF传输根密钥的中间密钥和输入参数发送给用户面网关，以便于用户面网关生成UPF传输根密钥，进而生成安全密钥。
第二方面，提供了一种获取安全上下文的方法。该方法包括：UE向接入和移动管理网元发送第一PDU会话建立请求，该第一PDU会话建立请求用于请求建立用户面网关与UE之间的目标PDU会话，该目标PDU会话承载于UE与数据网络的业务服务器之间；UE获取用户目标PDU会话的安全上下文；UE基于安全上下文激活用户面安全保护。
其中，用户面网关的一端可以为UE，另一端可以为数据网络的业务服务器。因此，UE传输至用户面网关的数据可以被输出至该数据网络的业务服务器，数据网络的业务服务器传输至用户面网关的数据也可以被输出至UE。
基于上述方法，UE和网络侧完成了用户面网关的切换和PDU会话的重建。UE和网络侧完成了用户面网关和会话管理网元的切换以及PDU会话的重建。基于新建的PDU会话，UE和新的用户面网关之间可以基于新的安全上下文进行安全的数据传输，实现了UE和用户面网关之间的端到端的安全保护。
需要说明的是，本申请实施例仅为示例，以部署在UE和用户面网关之间的用户面安全保护为例来详细说明用户面网关切换的情况下获取安全上下文的具体过程。该用户面网关例如也可以替换为SGW、PGW、PDU会话锚节点会话代理、本地分流服务器等可用来传输或路由用户面数据的网元以及其他可用于实现相同或相似功能的网元。
结合第二方面，在第二方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述UE获取安全密钥，包括：UE接收安全密钥的索引；UE基于该索引，从预先生成的多套安全密钥中确定安全密钥。
即，UE可以预先生成多套安全密钥，并根据接入和移动管理网元指示的索引，确定用于该目标PDU会话的安全密钥。
结合第二方面，在第二方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述UE获取安全密钥，包括：UE接收输入参数；UE基于该输入参数生成UPF传输根密钥，并基于UPF传输根密钥生成安全密钥。
UE也可以基于每一次PDU会话重建，生成新的安全密钥，安全性更高。
结合第二方面，在第二方面的某些可能的实现方式中，该安全上下文为预先生成的共享安全上下文，共享安全上下文与UE对应。
共享安全上下文可以是基于UE粒度生成的。也就是说，该共享安全上下文与UE对应。在UE不变的情况下，各网元可以共享一套安全上下文，而不需要基于每一次PDU会话重建生成一套新的安全上下文，比较方便。
结合第二方面，在第二方面的某些可能的实现方式中，该方法还包括：UE接收来自接入和移动管理网元的非接入层(non-access stratum，NAS)消息，该NAS消息用于指示重建PDU会话。
可选地，该NAS消息携带PDU会话修改命令(PDU Session ModificationCommand)。
可选地，该NAS消息携带PDU会话释放命令(PDU Session Release Command)。
结合第二方面，在第二方面的某些可能的实现方式中，该方法还包括：UE删除用于源PDU会话的安全上下文；其中，承载目标PDU会话的链路与承载源PDU会话的链路之间存在以下至少一项不同：用户面网关、会话管理网元和接入和移动管理网元。
由于删除了源PDU会话相关的安全上下文，可以避免旧的PDU会话相关的安全上下文信息被第三方获取，安全性更高。
第三方面，提供了一种获取安全上下文的方法。该方法包括：接入和移动管理网元接收来自UE的第一PDU会话建立请求，该第一PDU会话建立请求用于请求建立用户面网关与UE之间的目标PDU会话，该目标PDU会话承载于UE与数据网络的业务服务器之间；接入和移动管理网元基于第一PDU会话建立请求，向会话管理网元发送第二PDU会话建立请求，该第二PDU会话建立请求用于请求建立该PDU会话；接入和移动管理网元发送安全上下文的信息，该安全上下文为用于目标PDU会话的安全上下文。
其中，用户面网关的一端可以为UE，另一端可以为数据网络的业务服务器。因此，UE传输至用户面网关的数据可以被输出至该数据网络的业务服务器，数据网络的业务服务器传输至用户面网关的数据也可以被输出至UE。
基于上述方法，UE和网络侧完成了用户面网关的切换和PDU会话的重建。UE和网络侧完成了用户面网关和会话管理网元的切换以及PDU会话的重建。基于新建的PDU会话，UE和新的用户面网关之间可以基于新的安全上下文进行安全的数据传输，实现了UE和用户面网关之间的端到端的安全保护。
需要说明的是，本申请实施例仅为示例，以部署在UE和用户面网关之间的用户面安全保护为例来详细说明用户面网关切换的情况下获取安全上下文的具体过程。该用户面网关例如也可以替换为SGW、PGW、PDU会话锚节点会话代理、本地分流服务器等可用来传输或路由用户面数据的网元以及其他可用于实现相同或相似功能的网元。
结合第三方面，在第三方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述接入和移动管理网元发送安全上下文的信息，包括：接入和移动管理网元从预先生成的多套安全密钥中确定用于目标PDU会话的安全密钥；接入和移动管理网元向UE发送安全密钥的索引；接入和移动管理网元向用户面网关发送安全密钥。
即，接入和移动管理网元可以预先生成多套安全密钥，并从该多套安全密钥中确定用于该目标PDU会话的安全密钥，经由会话管理网元向用户面网关发送该安全密钥。同时，向UE发送该安全密钥的索引，以便于UE确定用于该目标PDU会话的安全密钥。
结合第三方面，在第三方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述接入和移动管理网元发送安全上下文的信息，包括：接入和移动管理网元生成安全密钥；接入和移动管理网元向用户面网关发送安全密钥；接入和移动管理网元向UE发送用于生成UPF传输根密钥的输入参数，该UPF传输根密钥用于生成安全密钥。
结合第三方面，在第三方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述接入和移动管理网元发送安全上下文的信息，包括：接入和移动管理网元向UE发送用于生成UPF传输根密钥的输入参数，UPF传输根密钥用于生成安全密钥；接入和移动管理网元向用户面网关发送用于生成UPF传输根密钥的中间密钥和输入参数。
接入和移动管理网元也可以基于每一次PDU会话重建，生成或者确定用于生成新的安全密钥的输入参数，并通知UE和用户面网关，以便UE和用户面网关生成安全密钥。
结合第三方面，在第三方面的某些可能的实现方式中，该方法还包括：接入和移动管理网元接收来自会话管理网元的切换请求，该切换请求用于请求切换用户面网关。
即，会话管理网元可以在确定需要切换用户面网关后，向接入和移动管理网元切换请求，以触发PDU会话重建。
结合第三方面，在第三方面的某些可能的实现方式中，该方法还包括：接入和移动管理网元接收来自会话管理网元的切换请求，该切换请求用于请求切换会话管理网元和用户面网关。
即，会话管理网元可以在确定需要会话管理网元和切换用户面网关后，向接入和移动管理网元切换请求，以触发PDU会话重建。
应理解，会话管理网元也可以通过切换请求请求切换会话管理网元而不切换用户面网关，本申请对此不作限定。
结合第三方面，在第三方面的某些可能的实现方式中，该方法还包括：接入和移动管理网元向UE发送NAS消息，该NAS消息用于指示需要重建PDU会话。
可选地，该NAS消息携带PDU会话修改命令(PDU Session ModificationCommand)。
可选地，该NAS消息携带PDU会话释放命令(PDU Session Release Command)。
结合第三方面，在第三方面的某些可能的实现方式中，该方法还包括：接入和移动管理网元接收来自接入网设备的切换请求，该切换请求用于请求切换接入和移动管理网元。
接入网设备可以根据运营商策略和/或网络部署覆盖情况确定是否需要切换接入和移动管理网元，并在需要切换的情况下，向源接入和移动管理网元发送切换请求。因此能够基于UE的移动选择合适的接入和移动管理网元，为UE提供更好的服务。
结合第三方面，在第三方面的某些可能的实现方式中，接入和移动管理网元为源接入和移动管理网元；该方法还包括：接入和移动管理网元向目标接入和移动管理网元发送源安全上下文。
其中，源接入和移动管理网元为切换前的接入和移动管理网元，目标接入和移动管理网元为切换后的接入和移动管理网元。
结合第三方面，在第三方面的某些可能的实现方式中，该方法还包括：接入和移动管理网元删除用于源PDU会话的安全上下文。其中，承载目标PDU会话的链路与承载源PDU会话的链路之间，存在以下至少一项不同：用户面网关、会话管理网元和接入和移动管理网元。
由于删除了源PDU会话相关的安全上下文，可以避免旧的PDU会话相关的安全上下文信息被第三方获取，安全性更高。
第四方面，提供了一种获取安全上下文的方法。该方法包括：会话管理网元接收来自接入和移动管理网元的第二PDU会话建立请求，该第二PDU会话建立请求用于请求建立用户面网关与UE之间的目标PDU会话，该目标PDU会话承载于UE与数据网络的业务服务器之间；会话管理网元基于该第二PDU会话建立请求，向用户网关发送第三PDU会话建立请求，该第三PDU会话建立请求用于请求建立该PDU会话；会话管理网元接收来自接入和移动管理网元的安全上下文的信息，该安全上下文为用于目标PDU会话的安全上下文；会话管理网元向用户面网关发送安全上下文的信息。
其中，用户面网关的一端可以为UE，另一端可以为数据网络的业务服务器。因此，UE传输至用户面网关的数据可以被输出至该数据网络的业务服务器，数据网络的业务服务器传输至用户面网关的数据也可以被输出至UE。
基于上述方法，用户面网关可以基于会话管理网元发送的安全上下文的信息获取安全上下文。由此，UE和网络侧完成了用户面网关的切换和PDU会话的重建。UE和网络侧完成了用户面网关和会话管理网元的切换以及PDU会话的重建。基于新建的PDU会话，UE和新的用户面网关之间可以基于新的安全上下文进行安全的数据传输，实现了UE和用户面网关之间的端到端的安全保护。
需要说明的是，本申请实施例仅为示例，以部署在UE和用户面网关之间的用户面安全保护为例来详细说明用户面网关切换的情况下获取安全上下文的具体过程。该用户面网关例如也可以替换为SGW、PGW、PDU会话锚节点会话代理、本地分流服务器等可用来传输或路由用户面数据的网元以及其他可用于实现相同或相似功能的网元。
结合第四方面，在第四方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述会话管理网元接收来自接入和移动管理网元的安全上下文的信息，包括：会话管理网元接收来自接入和移动管理网元的安全密钥；所述会话管理网元向用户面网关发送安全上下文的信息，包括：会话管理网元向用户面网关发送该安全密钥。
该安全密钥可以是基于新的PDU会话建立流程生成的，也可以是从预先生成的多套安全密钥中选择的，本申请对此不作限定。
结合第四方面，在第四方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述会话管理网元接收来自接入和移动管理网元的安全上下文的信息，包括：会话管理网元接收来自接入和移动管理网元的UPF传输根密钥；所述会话管理网元向用户面网关发送安全上下文的信息，包括：会话管理网元向用户面网关发送该UPF传输根密钥；或者，会话管理网元基于该UPF传输根密钥生成安全密钥，并向用户面网关发送该安全密钥。
结合第四方面，在第四方面的某些可能的实现方式中，该安全上下文包括安全密钥。其中，所述会话管理网元接收来自接入和移动管理网元的安全上下文的信息，包括：会话管理网元接收来自接入和移动管理网元的中间密钥和输入参数，该中间密钥和输入参数用于生成UPF传输根密钥；所述会话管理网元向用户面网关发送安全上下文的信息，包括：会话管理网元向用户面网关发送该中间密钥和输入参数；或者，会话管理网元基于该中间密钥和输入参数生成UPF传输根密钥，并向用户面网关发送该UPF传输根密钥；或者，会话管理网元基于该中间密钥和输入参数生成UPF传输根密钥，并基于该UPF传输根密钥生成安全密钥，并向用户面网关发送该安全密钥。
因此，用户面网关可以基于每一次PDU会话建立生成新的安全密钥，安全性较高。
结合第四方面，在第四方面的某些可能的实现方式中，该方法还包括：会话管理网元向接入和移动管理网元发送切换请求，该切换请求用于请求切换用户面网关。
即，会话管理网元可以在确定需要切换用户面网关后，向接入和移动管理网元切换请求，以触发PDU会话重建。
结合第四方面，在第四方面的某些可能的实现方式中，该方法还包括：会话管理网元向接入和移动管理网元发送切换请求，该切换请求用于请求切换会话管理网元和用户面网关。
即，会话管理网元可以在确定需要会话管理网元和切换用户面网关后，向接入和移动管理网元切换请求，以触发PDU会话重建。
应理解，会话管理网元也可以通过切换请求，请求切换会话管理网元而不切换用户面网关，本申请对此不作限定。
结合第四方面，在第四方面的某些可能的实现方式中，该方法还包括：会话管理网元删除用于源PDU会话的安全上下文。其中，承载目标PDU会话的链路与承载源PDU会话的链路之间，存在以下至少一项不同：用户面网关、会话管理网元和接入和移动管理网元。
由于删除了源PDU会话相关的安全上下文，可以避免旧的PDU会话相关的安全上下文信息被第三方获取，安全性更高。
第五方面，提供了一种获取安全上下文的装置，包括用于执行上述第一至第四方面中任一种可能实现方式中的方法的各个模块或单元。
第六方面，提供了一种获取安全上下文的设备，包括处理器。该处理器与存储器耦合，可用于执行存储器中的指令，以实现上述第一至第四方面中任一种可能实现方式中的方法。可选地，该获取安全上下文的设备还包括存储器。可选地，该获取安全上下文的设备还包括通信接口，处理器与通信接口耦合。
在一种实现方式中，该获取安全上下文的设备为通信设备，如本申请实施例中的UE、用户面网关、会话管理网元或接入和移动管理网元。当该获取安全上下文的设备为通信设备时，所述通信接口可以是收发器，或，输入/输出接口。
在另一种实现方式中，该获取安全上下文的设备为配置于通信设备中的芯片，如配置于如本申请实施例中的UE、用户面网关、会话管理网元或接入和移动管理网元中的芯片。当该获取安全上下文的设备为配置于通信设备中的芯片时，所述通信接口可以是输入/输出接口。
可选地，所述收发器可以为收发电路。可选地，所述输入/输出接口可以为输入/输出电路。
第七方面，提供了一种处理器，包括：输入电路、输出电路和处理电路。所述处理电路用于通过所述输入电路接收信号，并通过所述输出电路发射信号，使得所述处理器执行上述第一至第四方面任一种可能实现方式中的方法。
在具体实现过程中，上述处理器可以为芯片，输入电路可以为输入管脚，输出电路可以为输出管脚，处理电路可以为晶体管、门电路、触发器和各种逻辑电路等。输入电路所接收的输入的信号可以是由例如但不限于接收器接收并输入的，输出电路所输出的信号可以是例如但不限于输出给发射器并由发射器发射的，且输入电路和输出电路可以是同一电路，该电路在不同的时刻分别用作输入电路和输出电路。本申请实施例对处理器及各种电路的具体实现方式不做限定。
第八方面，提供了一种处理装置，包括处理器和存储器。该处理器用于读取存储器中存储的指令，并可通过接收器接收信号，通过发射器发射信号，以执行上述第一至第四方面任一种可能实现方式中的方法。
可选地，所述处理器为一个或多个，所述存储器为一个或多个。
可选地，所述存储器可以与所述处理器集成在一起，或者所述存储器与处理器分离设置。
在具体实现过程中，存储器可以为非瞬时性(non-transitory)存储器，例如只读存储器(read only memory，ROM)，其可以与处理器集成在同一块芯片上，也可以分别设置在不同的芯片上，本申请实施例对存储器的类型以及存储器与处理器的设置方式不做限定。
应理解，相关的数据交互过程例如发送指示信息可以为从处理器输出指示信息的过程，接收能力信息可以为处理器接收输入能力信息的过程。具体地，处理输出的数据可以输出给发射器，处理器接收的输入数据可以来自接收器。其中，发射器和接收器可以统称为收发器。
上述第八方面中的处理装置可以是一个芯片，该处理器可以通过硬件来实现也可以通过软件来实现，当通过硬件实现时，该处理器可以是逻辑电路、集成电路等；当通过软件来实现时，该处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实现，该存储器可以集成在处理器中，可以位于该处理器之外，独立存在。
第九方面，提供了一种计算机程序产品，所述计算机程序产品包括：计算机程序(也可以称为代码，或指令)，当所述计算机程序被运行时，使得计算机执行上述第一至第四方面中任一种可能实现方式中的方法。
第十方面，提供了一种计算机可读介质，所述计算机可读介质存储有计算机程序(也可以称为代码，或指令)当其在计算机上运行时，使得计算机执行上述第一至第四方面中任一种可能实现方式中的方法。
第十一方面，提供了一种通信系统，包括前述的UE、用户面网关、会话管理网元、接入、移动管理网元以及接入网设备。
附图说明
图1是适用于本申请实施例提供的方法的网络架构的示意图；
图2示出了小数据快速通道(small data fast path communication，SDFP)传输方案的示意图；
图3是本申请实施例提供的获取安全上下文的方法的示意性流程图；
图4是本申请另一实施例提供的获取安全上下文的方法的示意性流程图；
图5是本申请实施例提供的获取安全上下文的装置的示意性框图；
图6是本申请实施例提供的获取安全上下文的设备的示意性框图。
具体实施方式
下面将结合附图，对本申请中的技术方案进行描述。
本申请实施例的技术方案可以应用于各种通信系统，例如：全球移动通信(globalsystem for mobile communications，GSM)系统、码分多址(code division multipleaccess，CDMA)系统、宽带码分多址(wideband code division multiple access，WCDMA)系统、通用分组无线业务(general packet radio service，GPRS)、长期演进(long termevolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分双工(time division duplex，TDD)、通用移动通信系统(universal mobiletelecommunication system，UMTS)、全球互联微波接入(worldwide interoperabilityfor microwave access，WiMAX)通信系统、未来的第五代(5th generation，5G)系统或新无线(new radio，NR)等。
应理解，本申请实施例并未对本申请实施例提供的方法的执行主体的具体结构特别限定，只要能够通过运行记录有本申请实施例的提供的方法的代码的程序，以根据本申请实施例提供的方法进行通信即可，例如，本申请实施例提供的方法的执行主体可以是用户设备(user equipment，UE)或网络设备，或者，是UE或网络设备中能够调用程序并执行程序的功能模块。
为便于理解本申请实施例，首先结合图1详细说明本申请实施例的一个应用场景。
图1是适用于本申请实施例提供的方法的网络架构的示意图。如图所示，该网络架构例如可以是非漫游(non-roaming)架构。该网络架构具体可以包括下列网元：
1、用户设备(UE)：可以称终端设备、终端、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、无线通信设备、用户代理或用户装置。UE还可以是蜂窝电话、无绳电话、会话启动协议(session initiation protocol，SIP)电话、无线本地环路(wireless local loop，WLL)站、个人数字助理(personal digital assistant，PDA)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、可穿戴设备，未来5G网络中的终端设备或者未来演进的公用陆地移动通信网络(public land mobile network，PLMN)中的终端设备等，还可以是端设备，逻辑实体，智能设备，如手机，智能终端等终端设备，或者服务器，网关，基站，控制器等通信设备，或者物联网设备，如传感器，电表，水表等物联网(Internet of things，IoT)设备。本申请实施例对此并不限定。
在本申请实施例中，UE存储有长期密钥(long term key)。UE在与核心网网元(例如下文所述的AMF实体、AUSF实体)进行双向鉴权的时候，会使用长期密钥和相关函数验证网络的真实性，从而可以保证数据传输的安全性。
2、接入网(access network，AN)：为特定区域的授权用户提供入网功能，并能够根据用户的级别，业务的需求等使用不同质量的传输隧道。接入网络可以为采用不同接入技术的接入网络。目前的无线接入技术有两种类型：第三代合作伙伴计划(3rd GenerationPartnership Project，3GPP)接入技术(例如3G、4G或5G系统中采用的无线接入技术)和非第三代合作伙伴计划(non-3GPP)接入技术。3GPP接入技术是指符合3GPP标准规范的接入技术，采用3GPP接入技术的接入网络称为无线接入网络(Radio Access Network，RAN)，其中，5G系统中的接入网设备称为下一代基站节点(next generation Node Base station，gNB)。非3GPP接入技术是指不符合3GPP标准规范的接入技术，例如，以wifi中的接入点(access point，AP)为代表的空口技术。
基于无线通信技术实现接入网络功能的接入网可以称为无线接入网(radioaccess network，RAN)。无线接入网能够管理无线资源，为终端提供接入服务，进而完成控制信号和用户数据在终端和核心网之间的转发。
无线接入网例如可以是基站(NodeB)、演进型基站(evolved NodeB，eNB或eNodeB)、5G移动通信系统中的基站(gNB)、未来移动通信系统中的基站或WiFi系统中的AP等，还可以是云无线接入网络(cloud radio access network，CRAN)场景下的无线控制器，或者该接入网设备可以为中继站、接入点、车载设备、可穿戴设备以及未来5G网络中的网络设备或者未来演进的PLMN网络中的网络设备等。本申请的实施例对无线接入网设备所采用的具体技术和具体设备形态不做限定。
3、接入和移动管理功能(access and mobility management function，AMF)实体：主要用于移动性管理和接入管理等，可以用于实现移动性管理实体(mobilitymanagement entity，MME)功能中除会话管理之外的其它功能，例如，合法监听、或接入授权(或鉴权)等功能。在本申请实施例中，可用于实现接入和移动管理网元的功能。
4、会话管理功能(session management function，SMF)实体：主要用于会话管理、UE的网际协议(Internet Protocol，IP)地址分配和管理、选择可管理用户平面功能、策略控制、或收费功能接口的终结点以及下行数据通知等。在本申请实施例中，可用于实现会话管理网元的功能。
5、用户平面功能(User Plane Function，UPF)实体：即，数据面网关。可用于分组路由和转发、或用户面数据的服务质量(quality of service，QoS)处理等。用户数据可通过该网元接入到数据网络(data network，DN)。在本申请实施例中，可用于实现用户面网关的功能。
6、数据网络(DN)：用于提供传输数据的网络。例如，运营商业务的网络、因特(Internet)网、第三方的业务网络等。
7、认证服务功能(authentication server function，AUSF)实体：主要用于用户鉴权等。
8、网络开放功能(network exposure function，NEF)实体：用于安全地向外部开放由3GPP网络功能提供的业务和能力等。
9、网络存储功能((network function(NF)repository function，NRF)实体：用于保存网络功能实体以及其提供服务的描述信息，以及支持服务发现，网元实体发现等。
10、策略控制功能(policy control function，PCF)实体：用于指导网络行为的统一策略框架，为控制平面功能网元(例如AMF，SMF网元等)提供策略规则信息等。
11、统一数据管理(unified data management，UDM)实体：用于处理用户标识、接入鉴权、注册、或移动性管理等。
12、应用功能(application function，AF)实体：用于进行应用影响的数据路由，接入网络开放功能网元，或，与策略框架交互进行策略控制等。
在该网络架构中，N1接口为终端与AMF实体之间的参考点；N2接口为AN和AMF实体的参考点，用于非接入层(non-access stratum，NAS)消息的发送等；N3接口为(R)AN和UPF实体之间的参考点，用于传输用户面的数据等；N4接口为SMF实体和UPF实体之间的参考点，用于传输例如N3连接的隧道标识信息，数据缓存指示信息，以及下行数据通知消息等信息；N6接口为UPF实体和DN之间的参考点，用于传输用户面的数据等。
应理解，上述应用于本申请实施例的网络架构仅是举例说明的从传统点到点的架构和服务化架构的角度描述的网络架构，适用本申请实施例的网络架构并不局限于此，任何能够实现上述各个网元的功能的网络架构都适用于本申请实施例。
还应理解，图1中所示的AMF实体、SMF实体、UPF实体、NSSF实体、NEF实体、AUSF实体、NRF实体、PCF实体、UDM实体可以理解为核心网中用于实现不同功能的网元，例如可以按需组合成网络切片。这些核心网网元可以各自独立的设备，也可以集成于同一设备中实现不同的功能，本申请对此不做限定。
下文中，为便于说明，将用于实现AMF的实体记作接入和移动管理网元，将用于实现SMF的实体记作会话管理网元，将用于实现UPF的实体记作用户面网关，将用于实现UDM功能的实体记作统一数据管理网元，将用于实现PCF的实体记作策略控制网元。应理解，上述命名仅为用于区分不同的功能，并不代表这些网元分别为独立的物理设备，本申请对于上述网元的具体形态不作限定，例如，可以集成在同一个物理设备中，也可以分别是不同的物理设备。此外，上述命名仅为便于区分不同的功能，而不应对本申请构成任何限定，本申请并不排除在5G网络以及未来其它的网络中采用其他命名的可能。例如，在6G网络中，上述各个网元中的部分或全部可以沿用5G中的术语，也可能采用其他名称等。在此进行统一说明，以下不再赘述。
还应理解，图1中的各个网元之间的接口名称只是一个示例，具体实现中接口的名称可能为其他的名称，本申请对此不作具体限定。此外，上述各个网元之间的所传输的消息(或信令)的名称也仅仅是一个示例，对消息本身的功能不构成任何限定。
图2示出了小数据传输的示意图。具体地，图2示出小数据快速通道(SDFP)传输方案的示意图。小数据可以快速地在终端→接入网→用户面网关专用通道上通过N3和N6接口传输。
然而，在当前技术中，小数据在终端侧被加密和完整性保护后被传输至接入网设备，接入网设备对加密后的数据进行解密和完整性验证后，可通过安全通道传输至用户面网关。被传输至用户面网关的小数据被用户面网关路由转发到公共数据网络(public datanetwork，PDN)。
由于在小数据的传输过程中，通常由接入网设备负责小数据的解密和完整性验证，用户面网关负责小数据的路由分发。因此，小数据在从接入网到用户面网关的传输过程中，就有被篡改的风险，因此安全性不高。接入网设备在完成对小数据的解密和完整性验证后，再通过接入网设备与核心网设备，如用户面网关，之间的安全通道传输数据。
然而，小数据在接入网设备被解密后再通过安全通道传输，存在一定的安全隐患，例如，数据可能在通过安全通道被传至核心网之前被篡改或窃取。因此，安全性不高。并且，在某些情况下，由于网络负载、业务需求等原因可能需要切换用户面网关或其他核心网网元，这更不利于数据的安全传输。
有鉴于此，本申请提供一种方法，以实现UE与用户面网关之间的用户面安全保护，提高数据传输的安全性。应理解，本申请所提供的方法并不仅限于SDFP传输，也不仅限于小数据传输。本申请实施例提供的方法可以适用于所有在UE和用户面网关之间的数据传输，且用户面网关作为用户数据传输的安全终结点的场景。例如包括但不限于增强移动带宽(enhanced mobile broadband，eMBB)业务、超可靠低延迟通信(ultra-reliable and lowlatency communication，URLLC)业务、IoT业务等。
为便于理解，在描述本申请实施例之前，首先对本申请涉及的几个术语做简单介绍。
1、小数据(small data)：小数据传输主要应用于蜂窝物联网(cellular Internetof things，CIoT)中，可以用于低复杂性、能量受限且低传输速率的终端。在某些场景中，终端可能是低移动性的，例如，测距仪、水表、电表、传感器等物联网设备。
2、鉴权与密钥协商(authentication and key agreement，AKA)：用户可以在开机发起注册过程中，与网络进行AKA过程。通过AKA过程可以实现终端和网络端的双向鉴权，使终端和网络端密钥达成一致，这样才能保证两者之间安全地通信。
3、中间密钥：可用于生成UPF传输根密钥的KUPF的中间密钥。在本申请实施例中，中间密钥可以包括第一中间密钥KAMF和第二中间密钥KSMF。
其中，第一中间密钥KAMF可以是在UE注册过程中UE和AMF分别获取到的密钥。KAMF与5G中的密钥集标识符(KSI in 5G，ngKSI)相关。例如，UE和AMF可以分别预先保存至少一个KAMF与至少一个ngKSI的一一对应关系。因此每个ngKSI可用于唯一地指示一个KAMF。KAMF可用于后续生成UPF传输根密钥KUPF。
第二中间密钥KSMF：可以是由KAMF派生出来的密钥。例如，可以基于KAMF、由密钥派生函数(key derivation function，KDF)等算法生成，具体可以如下式所示：
KSMF＝KDF(KAMF，其他参数)，其中，其他参数也可以称为输入参数(inputparameter)，简称入参，例如可以包括会话标识、切片标识、会话类型、新鲜参数和SMF标识中的至少一项。KSMF也可用于后续生成UPF传输根密钥KUPF。
4、UPF传输根密钥KUPF：UE与UPF之间数据传输使用的根密钥。具体地，该根密钥可用于后续生成加密密钥和完整性保护密钥，该加密密钥和完整性保护密钥可用于UE和UPF之间的数据传输。KUPF可以基于上述KAMF或KSMF生成。例如，KUPF可以基于KAMF(或KSMF)由密钥派生函数(key derivation function，KDF)等算法生成，具体可以如下式所示：
KUPF＝KDF(KAMF，其他参数)，其中，其他参数例如可以包括UPF标识、会话标识(session ID)、网络标识、字符串、新鲜参数中的至少一项。
在用于生成第二中间密钥KSMF或用于生成UPF传输根密钥KUPF的参数中，各类参数所包含的具体内容列举如下：
新鲜参数例如可以包括但不限于：一个只被使用一次的任意或非重复的随机数值(number once，Nonce)、随机数(random number)、计数器(counter)、NAS消息计数器(NAScount，例如可以包括上行(uplink，UL)NAS count和下行(downlink，DL)NAS count)，下一跳(next hop，NH)、时间戳、下一跳链计数器(next hop chaining counter，NCC)。
UPF标识例如可以包括但不限于：UPF的标识(identity，ID)、UPF的索引(index)、UPF的下行/上行隧道标识(UPF DL/UL tunnel endpoint(TE)ID)或UPF的计数值。其中，UPF的计数值可用于表明第几个UPF。
SMF标识例如可以包括但不限于：SMF的ID、SMF的index、SMF的MAC地址、与SMF连接的可以用来区分SMF的标识或SMF的计数值。其中，SMF的计数值可用于表明第几个SMF，如可以标识为SMF1，SMF2等，则Count值可以为1，2，3等。会话标识例如可以包括但不限于：分组数据单元(packet data unit，PDU)会话ID(PDU session ID)、会话对应的业务ID或业务类型。
网络标识例如可以包括但不限于：运营商标识(例如，公共陆地移动网络(PublicLand Mobile Network，PLMN)ID)、接入网络标识(access network ID)、服务网络标识(serving network ID)、小区标识(cell ID)、基站标识(gNB ID)、局域网网络ID、切片ID、承载(bearer)ID、服务质量(quality of service，QoS)ID、流(flow)ID、网络切片选择辅助信息(network slice selection assistance information，NSSAI)。
字符串可以是表示该密钥适用场景的字符，例如可以包括但不限于：“SD”、“SDFP”|或“small data”，“CIOT”等。
应理解，以上列举的参数仅为示例，不应对本申请构成任何限定。本申请对于UPF标识、会话标识、网络标识、字符串以及新鲜参数的具体内容并不做限定。同时，本申请也并不排除采用其他的信息作为用于生成根密钥的参数的可能。
还应理解，上文列举的中间密钥、根密钥的名称仅为便于区分而命名，不应对本申请构成任何限定，本申请并不排除采用其他的名称来替代上述中间密钥或根密钥以实现相同或相似功能的可能。
5、安全密钥：在本申请实施例中，安全密钥可以包括加密密钥和完整性保护密钥。
其中，加密密钥可以是发送端根据加密算法对明文进行加密以生成密文时输入的参数。若使用对称加密的方法，加密密钥和解密密钥是相同的。接收端可以根据相同的加密算法和加密密钥对密文进行解密。换句话说，发送端和接收端可以基于同一个密钥去加密和解密。
在本实施例中，该加密密钥可以简称为KUPFenc。加密密钥KUPFenc可以基于UPF传输根密钥KUPF由KDF等密钥生成算法生成，，具体可以如下式所示：
KUPFenc＝KDF(KUPF，其他参数)，其中，其他参数可以是字符串，如，“SD”、“SDFP”、”“Small data”、“CIoT”等，其他参数还可以是加密算法的类型、加密算法类型的长度、加密算法的标识、加密算法标识的长度或上文所提及的参数。例如，KUPFenc＝KDF(KUPF，“SD”，加密算法的类型)。
完整性保护密钥可以是发送端根据完整性保护算法对明文或密文进行完整性保护时输入的参数。接收端可以根据相同的完整性保护算法和完整性保护密钥对进行了完整性保护的数据进行完整性验证。
在本实施例中，该完整性保护密钥可以简称为KUPFint。完整性保护密钥KUPFint可以基于UPF传输根密钥KUPF由KDF等密钥生成算法生成，具体可以如下式所示：
KUPFint＝KDF(KUPF，其他参数)，其中，其他参数可以是字符串，如，“SD”、“SDFP”、”“Small data”、“CIoT”等，其他参数还可以是完整性保护算法的类型、完整性保护算法类型的长度、完整性保护算法的标识、完整性保护算法标识的长度或上文所提及的参数。例如，KUPFint＝KDF(KUPF，“SD”，完整性保护算法的类型)。
6、安全能力：包括但不限于：安全算法、安全参数、密钥等。在本申请实施例中，安全能力例如可以包括UE的安全能力和用户面网关的安全能力等。
7、安全算法：用于在对数据安全保护时使用的算法。例如可包括：加/解密算法、完整性保护算法等。
8、安全上下文：可以用于实现数据加解密和/或完整性保护的信息。安全上下文例如可以包括：加/解密密钥、完整性保护密钥、新鲜参数(比如NAS Count)、ngKSI以及安全算法。
安全上下文例如可以包括但不限于：中间密钥、UPF传输根密钥、加/解密密钥、完整性保护密钥、密钥的生存周期、密钥标识、密钥的索引、UE的安全能力、完整性算法、完整性保护算法标识、加密算法、加密算法标识、用于计算安全密钥的计数值中的一项或多项：如，Nas count、NH、时间戳、NCC、重放保护的counters等。
9、安全终结点(termination point)：本申请实施例中涉及的终结点为用户面安全保护的终结点，或简称用户面安全的终结点、安全终结点等。本实施例中的用户面安全建立在UE和用户面网关之间，因此用户面安全保护的终结点为UE和用户面网关。作为用户面安全保护的终结点，UE和用户面网关可以负责数据的加解密和/或完整性保护。
10、激活用户面安全保护：在本实施例中，激活用户面安全保护包括激活加/解密保护，和/或，完整性保护/验证，也就是可以包括仅激活加/解密保护，或仅激活完整性保护/验证，或激活加/解密保护和完整性保护/验证这三种情况中的一种。下文实施例中，“是否激活加密保护和/或完整性保护”可以包括：是否仅激活加/解密保护、是否仅激活完整性保护/验证，或是否激活加/解密保护和完整性保护/验证这三种情况中的一种。
可以理解的是，在本申请实施例中，对于下行传输来说，用户面网关可以是加密端，激活用户面安全保护可以包括激活加密保护；UE可以是解密端，激活用户面安全保护可以包括激活解密保护；用户面网关可以是完整性保护端，激活用户面安全保护可以包括激活完整性保护；UE可以是完整性验证端，激活用户面安全保护可以包括激活完整性验证。对于上行传输来说，UE可以是加密端，激活用户面安全保护可以包括激活加密保护；用户面网关可以是解密端，激活用户面安全保护可以包括激活解密保护；UE可以是完整性保护端，激活用户面安全保护可以包括激活完整性保护；用户面网关可以是完整性验证端，激活用户面安全保护可以包括激活完整性验证。
因此在数据传输过程中，UE可以同时作为加密端和解密端，也可以同时作为完整性保护端和完整性验证端；用户面网关可以同时作为加密端和解密端，也可以同时作为完整性保护端和完整性验证端。若激活加/解密保护，则UE和用户面网关可以均激活加密保护和解密保护；若激活完整性保护/验证，则UE和用户面网关可以均激活完整性保护和完整性验证。
因此，下文中在未作出特别说明的情况下，“激活加密保护”和“激活加/解密保护”所表达的含义是一致的，或者说，可替换的；“激活完整性保护”和“激活完整性保护/验证”所表达的含义是一致的，或者说，可替换的。
需要说明的是，激活用户面安全保护可理解为开启了安全保护功能，例如激活加/解密保护，即开启了加解密功能。相反，不激活加/解密保护，即不开启加解密功能。但应理解，不激活加解密保护并不代表不生成加密密钥和解密密钥，也不代表不协商加密算法。在本实施例中，用户面安全的终结点可以预先获取加解密密钥和完整性保护密钥，并可预先协商加/解密算法和完整性保护算法。在确定激活某种安全保护的情况下可直接开启相应的安全保护。例如，激活加/解密保护，则可以直接基于加密算法和加密密钥进行加密保护，也可以直接基于解密算法和解密密钥解密数据。
11、安全策略：在本实施例中，涉及多个安全策略，例如可以包括UE的签约信息中的用户面安全策略、会话管理网元生成的第一安全策略以及用户面网关生成的第二安全策略。安全策略至少可用于指示是否激活加密保护和/或完整性保护。在一种实现方式中，安全策略可以指示安全保护的偏好，例如，可以指示需要的(required)、推荐的(preferred)和不需要的(not needed)安全保护。基于该安全保护的偏好可以确定是否激活加密保护和/或完整性保护。
可选地，安全策略还可用于指示用户面安全的终结点或者对于用户面安全终结点的偏好建议。各安全策略还可以指示其他更多的信息，比如安全算法的强度建议等，其具体内容在后文实施例中分别举例说明，这里暂且省略对各安全策略所包含内容的详细说明。
12、会话与服务连续性(session and service continuity，SSC)模式：为了保证会话的连续性，会话的过程中引入用户面网关切换的场景可以包括以下三种模式：
SSC模式1：用户面网关不变；
SSC模式2：会话先断后建，会引起用户面网关变化；
SSC模式3：会话先建后断，会引起用户面网关变化。
在以上三种模式中，除了SSC模式1不会引起用户面网关变化，其余两种模式都会引起用户面网关变化。可决定是否切换用户面网关的核心网网元例如可以为接入和移动管理网元或者会话管理网元。接入和移动管理网元或会话管理网元例如可以根据当前网络负载、业务类型的需求、本地策略以及运营商策略等中的一项或多项，确定是否需要切换用户面网关。
此外，会话管理网元也有可能变化。例如，接入和移动管理网元可以根据网络负载、业务类型的需求、本地策略和运营商策略中的一项或多项确定是否切换会话管理网元；又例如，会话管理网元根据自己的负载、业务类型的需求、本地策略和运营商策略中的一项或多项确定是否需要切换会话管理网元，并在需要切换的情况下通知接入和移动管理网元。
此外，接入和移动管理网元也有可能变化。例如，接入网设备可以根据运营商策略和/或网络部署覆盖情况判断是否需要切换接入和移动管理网元。
换句话说，在用户面网关切换的场景中，用户面网关、会话管理网元以及接入和移动管理网元这三者中的任意一个都有可能发生变化。
在本申请实施例中，为方便区分和说明，将用于当前PDU会话的接入和会话管理网元记作源接入和会话管理网元，将用于新建的PDU会话的接入和会话管理网元记作目标接入和会话管理网元；将用于当前PDU会话的会话管理网元记作源会话管理网元，将用作新建的PDU会话的会话管理网元记作目标会话管理网元；将用于当前PDU会话的用户面网关记作源用户面网关，将用于新建的PDU会话的用户面网关记作目标用户面网关。
下面结合附图详细说明本申请实施例提供获取安全上下文的方法。
需要说明的是，在下文中结合附图描述实施例的过程中，图中仅为便于理解而示意，不应对本申请构成任何限定。此外，图中示出的RAN可对应于接入网设备，AMF可对应于接入和移动管理网元，SMF可对应于会话管理网元，UPF可对应于用户面网关。各网元名称仅为区分不同的功能而定义，不应对本申请构成任何限定。本申请并不排除定义其他网元来实现相同或相似功能的可能。
还需要说明的是，可用于实现上述UPF的网元并不仅限于用户面网关，例如还可以是服务网关(serving gateway，SGW)、公共数据网(public data network，PDN)网关(PDNgateway，PGW)、PDU会话锚节点(PDU session anchor)会话代理、本地分流服务器(localbreakout server，LBO server)等用来传输或路由用户面数据的网元。
下文的实施例仅为示例，以部署在UE和用户面网关之间的用户面安全保护为例来详细说明本申请实施例。该用户面网关也可以替换为PGW以及其他可用于实现相同或相似功能的网元。
为便于理解本申请实施例，首先详细说明在PDU会话重建的过程中，仅用户面网关切换的场景下获取安全上下文的具体过程。因此，本实施例中涉及的网元可以包括接入和移动管理网元(或者称，源接入和移动管理网元)、会话管理网元(或者称，源会话管理网元)、源用户面网关以及目标用户面网关。
图3是从设备交互的角度示出的本申请实施例提供的获取安全上下文的方法200的示意性流程图。如图所示，图3中所示的方法200可以包括步骤201至步骤217。下面结合图3详细说明方法200中的各个步骤。在步骤201中，UE接收来自接入和移动管理网元的NAS消息，该NAS消息用于指示需要重建PDU会话。相应地，接入和移动管理网元向UE发送该NAS消息。
在一种实现方式中，该NAS消息包含PDU会话修改命令(PDU SessionModification Command)。该PDU会话修改命令中携带源PDU会话的会话标识(identifier，ID)和PDU会话重建原因(cause)。该NAS消息可以是在SSC模式3会话先建后断的场景中发送给UE，以用于指示UE重建PDU会话的消息。
在另一种实现方式中，该NAS消息包含PDU会话释放命令(PDU Session ReleaseCommand)。该PDU会话释放命令中携带源PDU会话的会话标识和PDU会话释放原因。该NAS消息可以是在SSC模式2会话先断后建的场景中发送给UE，以用于指示UE重建PDU会话的消息。
在本实施例中，为便于区分和说明，将用于当前的数据传输的PDU会话称为源PDU会话，该源PDU会话的标识可以简称为源PDU会话标识(PDU Session ID)。与此对应地，将后文中UE基于该NAS消息重建的PDU会话称为目标PDU会话，该目标PDU会话的标识可以简称为目标PDU会话标识。简单地说，源PDU会话可以为旧的PDU会话，源PDU会话标识可以为旧的PDU会话标识；目标PDU会话可以为新的PDU会话，目标PDU会话标识可以为新的PDU会话标识。
由于每个PDU会话标识可用于唯一地指示一个PDU会话连接，因此核心网网元可通过在用户面网关的切换请求中携带源PDU会话标识来指示需要释放的PDU会话连接以及用于该源PDU会话的安全上下文。
UE可经由接入网设备接收来自接入和移动管理网元的NAS消息，基于该NAS消息中携带的源PDU会话标识，确定源PDU会话标识所指示的PDU会话需要迁移；并可基于PDU会话重建原因或PDU会话释放原因，确定需要重建一个可连接至同一数据网络(data network，DN)的目标PDU会话。换句话说，PDU会话重建原因或PDU会话释放原因，均可用于指示需要重建一个可连接至同一DN的目标PDU会话。下文中为方便说明，将PDU会话重建原因和PDU会话释放原因统称为PDU会话重建原因。
应理解，在PDU会话重建的场景中，PDU会话修改命令中的PDU会话重建原因和PDU会话释放命令中的PDU会话释放原因的作用可以是相同的，但这不应对本申请构成任何限定。在其他场景中，PDU会话修改命令中的PDU会话重建原因与PDU会话释放命令中的PDU会话释放原因也可用于指示不同的信息，本申请对此不作限定。
需要说明的是，PDU会话重建可以包括以下一项或多项：用户面网关切换、会话管理网元切换、接入和移动管理网元切换、接入网设备切换以及该会话对应的IP地址变化。
若会话管理网元决定发起用户面网关切换，则会话管理网元可以向接入和移动管理网元发送用户面网关切换请求，以便于接入和移动管理网元向接入网设备发送上述NAS消息。则可选地，在步骤201之前，该方法200还包括步骤202：接入和移动管理网元接收来自会话管理网元的用户面网关的切换请求(reallocation request)，该用户面网关的切换请求中携带源PDU会话标识和PDU会话重建原因。相应地，会话管理网元向接入和移动管理网元发送该用户面网关的切换请求。
可选地，该用户面网关切换请求携带在接入和移动管理网元与会话管理网元之间的通信消息(Namf_Communication_N1N2MessageTransfer)中。
可选地，会话管理网元获取可作为安全终结点的用户面网关的信息。会话管理网元可以根据可用作安全终结点的用户面网关的信息，确定用于目标PDU会话的目标用户面网关。
会话管理网元可以通过上述用户面网关的切换请求向接入和移动管理网元请求获取可作为安全终结点的用户面网关的信息，也可以从统一数据管理网元或策略控制网元获取可用作安全终结点的用户面网关的信息。会话管理网元自身可以保存配置信息，该配置信息中可以包含可用作安全终结点的用户面网关的信息，此情况下，会话管理网元不需要从其他网元获取可用作安全终结点的用户面网关的信息。
此外，接入网设备还可以预先保存该配置信息，该配置信息中可以包含可用作安全终结点的用户面网关的信息。当PDU会话建立在可用作安全终结点的用户面网关与UE之间时，接入网设备可以确定自己不作为安全终结点。
可选地，会话管理网元还可以通过该用户面网关的切换请求向接入和移动管理网元请求获取UE的安全能力。
UE的安全能力例如可以包括该UE支持的安全算法的名称、标识或者其他可用于指示安全算法的信息，该UE的安全能力信息例如还可以包括UE支持的安全算法的优先级列表。
该UE的安全能力例如可以是UE在发送注册请求、会话请求等消息中所指示的安全能力，该安全能力可以被发送至接入网设备和/或核心网网元，比如接入和移动管理网元。因此，该UE所指示的安全能力可以从UE获取，也可以从接入和移动管理网元获取。但应理解，该UE的安全能力并不一定仅仅由UE指示，还可以是在源PDU会话建立过程中，或者此前的PDU会话建立过程中根据UE所指示的安全能力和从统一数据管理网元或策略控制网元获取的UE的签约信息确定。因此，该UE的安全能力也可以由UE所指示的安全能力确定，也可以是由UE所指示的安全能力以及UE的签约信息中所指示的UE的安全能力确定。可选地，会话管理网元还可以通过该用户面网关的切换请求向接入和移动管理网元请求获取UE的传输能力。
在本实施例中，UE的传输能力可以是指UE支持UE与用户面网关之间的快速数据传输，而不需要处理过多的信令交互。特别地，在UE从空闲(idle)态转到连接(connected)态时不需要处理过多信令消息。UE支持UE与用户面网关之间的快速数据传输，也可以理解为接入网设备和/或接入和移动管理网元可以不用存储用于数据传输的上下文，例如包括安全上下文。作为示例而非限定，该数据例如可以是普通数据、小数据、具体的业务对应的数据等。
例如，该数据可以是小数据，该小数据的传输例如可以基于小数据快速通道(SDFP)传输。小数据快速通道传输可以为CIoT中处于上下文管理(context management，CM)空闲态的UE之间的用户面数据的传输提供快速通道，以避免由CM空闲态和CM连接态的模式转换带来的信令交互。从而使得CIoT中CM空闲态的UE之间的数据传输得以优化。若接入和移动管理网元决定发起用户面网关切换，则接入和移动管理网元可以直接通过接入网设备向UE发送上述PDU会话修改命令。
在步骤203中，UE向接入和移动管理网元发送第一PDU会话建立请求。相应地，接入和移动管理网元接收来自UE的第一PDU会话建立请求。
在本实施例中，为便于区分和说明，将UE向接入和移动管理网元发送的PDU会话建立请求记作第一PDU会话建立请求，将后文中提及的接入和移动管理网元向会化管理网元发送的PDU会话建立请求记作第二PDU会话建立请求。应理解，第一PDU会话建立请求、第二PDU会话建立请求以及后文提及的第三PDU会话建立请求均为请求建立目标PDU会话而发送，或者说，第一PDU会话建立请求、第二PDU会话建立请求和第三PDU会话建立请求分别为目标PDU会话建立请求的一例。
具体地，UE可以基于在步骤201中接收到的NAS消息，确定发起会话建立流程。因此，UE可以基于该NAS消息，生成目标PDU会话标识，并将该目标PDU会话标识通过上述第一PDU会话建立请求发送给接入和移动管理网元。可选地，该第一PDU会话建立请求中还携带源PDU会话标识。
需要说明的是，接入和移动管理网元在分别接收到来自会话管理网元的用户面网关的切换请求和来自UE的第一PDU会话建立请求时，可以根据用户面网关的切换请求中携带的源PDU会话标识和第一PDU会话建立请求中携带的源PDU会话标识，确定UE所发送的第一PDU会话建立请求是否基于用户面网关的切换请求而发送。例如，当两者携带的源PDU会话标识相同，则认为UE所发起的第一PDU会话建立请求是基于上述用户面网关的切换请求而发送；当两者携带的源PDU会话标识不同，则认为UE所发送的第一PDU会话建立请求并不是基于上述用户面网关的切换请求而发送，例如有可能是对其他用户面网关的切换请求而发起的PDU会话重建流程，本申请对此不作限定。此外，源PDU会话标识还可以用于确定需要释放的源PDU会话。
还需要说明的是，接入和移动管理网元在接收到PDU会话建立请求时，可以根据UE在PDU会话建立请求中携带的PDU会话标识，以及所选择的会话管理网元，在本地保存PDU会话标识与会话管理网元的映射关系。例如，在本实施例中，接入和移动管理网元在此前的源PDU会话建立的流程中，可以记录源PDU会话标识与会话管理网元的映射关系，例如记作第一映射关系；接入和移动管理网元还可以在接收到第一PDU会话建立请求时，根据该第一PDU会话建立请求中携带的目标PDU会话标识，记录目标PDU会话标识与该会话管理网元的映射关系，例如记作第二映射关系。换句话说，当UE发起了PDU会话重建流程之后，接入和移动管理网元可以根据目标PDU会话标识将上述第一映射关系更新为第二映射关系。
在一种实现方式中，在PDU会话建立过程中，接入和移动管理网元可以在本地保存PDU会话标识和选择的会话管理网元的标识的对应关系。可选地，接入和移动管理网元可以在本地保存PDU会话标识、唯一网络切片选择辅助信息(single NSSAI，S-NSSAI)和选择的会话管理网元的标识的对应关系。在PDU会话释放过程中，接入和移动管理网元可以删除本地保存的PDU会话标识和选择的会话管理网元的标识的对应关系，或者，删除本地保存的PDU会话标识、S-NSSAI和选择的会话管理网元的标识的对应关系。
此外，当接入和移动管理网元先后接收到来自会话管理网元的用户面网关的切换请求和/或来自UE的第一PDU会话建立请求时，可以根据源PDU会话标识确定需要释放的PDU会话连接。该PDU会话连接可以理解为用于PDU会话的资源，例如可以包括与该PDU会话相关的IP地址、隧道ID等等，本申请对此不做限定。
需要说明的是，释放源PDU会话的原因并不限于上文所述，例如，UE将数据传输转移到新的PDU会话中，或者，旧的PDU会话不再需要，或者，网络侧(如会话管理网元)的会话时间周期到期等原因也可能触发源PDU会话的释放。源PDU会话的释放甚至还可以由策略控制网元等其他网元触发，本申请对此不作限定。
可选地，该第一PDU会话建立请求中还携带该UE的标识。该UE的标识例如可以包括但不限于：国际移动设备识别码(international mobile equipment identity，IMEI)、国际移动用户识别码(international mobile subscriber identification number，IMSI)、IP多媒体子系统私有用户标识(IMS(IP multimedia subsystem)private user identity，IMPI)、临时移动用户标识(temporary mobile subscriber identity，TMSI)、IP多媒体公共标识(IP multimedia public identity，IMPU)、媒体接入控制(media access control，MAC)地址、IP地址、手机号码、全球唯一UE标识(globally unique temporary UEidentity，GUTI)(例如对于5G来说，具体可以是5G GUTI)、永久身份标识(subscriptionpermanent identifier，SUPI)、隐藏的身份标识(subscriber concealed identifier，SUCI)或永久设备标识(permanent equipment identifier，PEI)。
应理解，该第一PDU会话建立请求消息中也可以不携带该UE的标识。接入和移动管理网元也可以为UE分配临时标识，如GUTI。或者，在此前的注册请求消息中已经携带了UE的标识，如，SUCI、5G GUTI或PEI等。
可选地，该第一PDU会话建立请求中还携带业务类型的指示。例如，该业务类型的指示可以是业务类型的标识，或者其他可用于指示业务类型的信息。本申请对于业务类型的指示的具体形式不作限定。
可选地，该第一PDU会话建立请求中还携带业务的安全需求信息，该业务的安全需求信息用于指示该会话业务的安全需求。在本实施例中，该业务的安全需求信息与业务类型可以是对应的。例如，该第一PDU会话建立请求中可以携带某一业务类型所需要的安全算法的信息。可以理解，不同的业务类型所对应的安全算法可能不同。例如，URLLC业务所需要的安全算法和IoT业务所需要的安全算法就有可能不同。如，IoT业务可能需要轻量级的安全算法，URLLC业务可能需要安全强度较高的安全算法等。
在步骤204中，接入和移动管理网元基于接收到的第一PDU会话建立请求，向会话管理网元发送第二PDU会话建立请求。相应地，会话管理网元接收来自接入和移动管理网元的第二PDU会话建立请求。
接入和移动管理网元在确定需要进行PDU会话重建之后，便可以将该第二PDU会话建立请求发送给会话管理网元，以便于会话管理网元在步骤205中，向目标用户面网关发送第三PDU会话建立请求。相应地，目标用户面网关接收来自会话管理网元的第三PDU会话建立请求。
目标用户面网关在接收到该第三PDU会话建立请求之后，可以确定需要作为用户面安全的终结点。因此用户面网关可以在步骤206中获取目标安全上下文。
在本实施例中，为便于区分和说明，将用于源PDU会话的安全上下文记作源安全上下文，将用于目标PDU会话的安全上下文记作目标安全上下文。简单地说，源安全上下文可用来保护UE和源用户面网关之间的数据传输，目标安全上下文可用来保护UE和目标用户面网关之间的数据传输。
具体地，安全上下文具体可以包括但不限于：安全算法、安全密钥以及安全策略。例如，源安全上下文可以包括但不限于：源安全算法、源安全密钥以及源安全策略。目标安全上下文可以包括但不限于：目标安全算法、目标安全密钥以及目标安全策略。其中，目标安全算法可以基于UE的安全能力以及目标用户面网关的安全能力确定。目标安全密钥可以基于源安全上下文、目标PDU会话和目标安全算法中的一项或多项生成。目标安全策略可以是根据用于源安全策略确定。应理解，本申请对于源安全上下文的确定方式不作限定。
上述列举的源安全算法和源安全密钥可以由会话管理网元生成或确定，也可以由会话管理网元从其他网元，如接入和移动管理网元或目标用户面网关获取，本申请对此不作限定。上述列举的源安全策略可以由源用户面网关基于源用户面安全策略确定，例如，结合自身能力确定。本申请对于源安全策略的确定方式不作限定。
下面详细说明目标安全上下文的生成与分发过程。
一、目标安全算法：
目标安全算法可以由UE的安全能力和目标用户面网关的安全能力确定。在本实施例中，目标安全算法可以由接入和移动管理网元确定，或者，也可以由会话管理网元确定，或者，还可以由目标用户面网关确定，本申请对此不作限定。
下面分别说明由上述不同的网元确定目标安全算法的具体实现方式。
实现方式一、接入和移动管理网元确定目标安全算法
由于接入和移动管理网元预先记录有UE的安全能力，可以不需要通过额外的信令获取UE的安全能力。
目标用户面网关的安全能力可以由接入和移动管理网元预先获取。具体地，会话管理网元在确定了目标用户面网关之后，可以向目标用户面网关或统一数据管理网元请求获取该目标用户面网关的安全能力；或者，会话管理网元在确定了目标用户面网关之后，可以向接入和移动管理网元指示该目标用户面网关，例如通过用户面的切换请求请求携带目标用户面网关的指示信息，以便于该接入和移动管理网元从统一数据管理网元获取该目标用户面网关的安全能力；或者，该目标用户面网关的安全能力还可以是预先配置并保存在接入和移动管理网元中的，本申请对此不作限定。
接入和移动管理网元可以根据UE的安全能力和目标用户面网关的安全能力确定目标安全算法。
进一步地，接入和移动管理网元还可以结合业务类型或业务的安全需求信息确定目标安全算法。其中，业务类型与业务的安全需求信息对应，业务的安全需求信息可用于指示业务类型对应的安全算法等信息。接入和移动管理网元可以根据接收到的第一PDU会话建立请求中携带的业务的安全需求信息确定与业务类型对应的安全算法，以进一步确定目标安全算法。此情况下，该目标安全算法可以是由UE的安全能力、目标用户面网关的安全能力以及业务的安全需求信息确定。因此，该目标安全算法可以是UE支持的安全算法、用户面网关支持的安全算法以及业务类型对应的安全算法的交集。
在有些情况下，用户面网关(包括上述目标用户面网关)能够支持所有的安全算法。此时，接入和移动管理网元可以直接根据UE的安全能力，或，UE的安全能力和业务的安全需求信息确定目标安全算法。
接入和移动管理网元在确定了目标安全算法之后，可以通过会话管理网元向目标用户面网关指示该目标安全算法。该目标安全算法的指示例如可以是该目标安全算法的名称、标识或者其他可用于指示该目标安全算法的信息。本申请对此不作限定。
可选地，接入和移动管理网元可以通过第二PDU会话建立请求携带该目标安全算法的指示。可选地，会话管理网元可以通过第三PDU会话建立请求携带该目标安全算法的指示。
实现方式二、会话管理网元确定目标安全算法
UE的安全能力可以基于源PDU会话获取。例如，UE的安全能力可以记录并保存在接入和移动管理网元，会话管理网元可以在上述步骤202中向接入和移动管理网元请求获取；又例如，UE的安全能力可以记录并保存在会话管理网元中，会话管理网元可以直接基于第二PDU会话建立请求，从本地获取UE的安全能力；再例如，UE的安全能力还可以记录并保存在源用户面网关，会话管理网元例如可以通过N4接口消息从源用户面网关获取。本申请对于会话管理网元获取UE的安全能力的具体方式不作限定。
会话管理网元在确定了目标用户面网关之后，可以从目标用户面网关或同一数据管理网元获取目标用户面网关的安全能力。会话管理网元可以根据UE的安全能力和目标用户面网关的安全能力确定目标安全算法。
进一步地，会话管理网元还可以结合业务类型或业务的安全需求信息确定目标安全算法。情况一中对结合业务类型或业务的安全需求信息确定目标安全算法的具体过程做了详细说明，为了简洁，这里不再赘述。
在有些情况下，用户面网关(包括上述目标用户面网关)能够支持所有的安全算法。此时，会话管理网元可以直接根据UE的安全能力，或，UE的安全能力和业务的安全需求信息确定目标安全算法。
会话管理网元在确定了目标安全算法之后，可以向目标用户面网关指示该目标安全算法。该目标安全算法的指示例如可以是该目标安全算法的名称、标识或者其他可用于指示该目标安全算法的信息。本申请对此不作限定。
可选地，会话管理网元可以通过第三PDU会话建立请求携带该目标安全算法的指示。
实现方式三、目标用户面网关确定目标安全算法
会话管理网元可以将UE的安全能力发送给目标用户面网关，以便于目标用户面网关根据UE的安全能力和自身的安全能力确定目标安全算法。
进一步地，目标用户面网关还可以结合业务类型或业务的安全需求信息确定目标安全算法。此情况下，目标用户面网关可以预先从接入和管理网元、会话管理网元等获取业务类型的指示或业务的安全需求信息。情况一中对结合业务类型或业务的安全需求信息确定目标安全算法的具体过程做了详细说明，为了简洁，这里不再赘述。
基于上文列举的可能的实现方式，目标用户面网关可以确定目标安全算法。但应理解，目标用户面网关确定目标安全算法的具体方式并不限于上文所列举，本申请对于目标用户面网关确定目标安全算法的具体方式不作限定。
二、目标安全密钥：
目标安全密钥可以包括加密密钥和完整性保护密钥。在本实施例中，该目标安全密钥可以由接入和移动管理网元、会话管理网元以及目标用户面网关中的任意一个网元生成。下面分别说明由上述不同的网元生成目标安全密钥的具体实现方式。
实现方式A、接入和移动管理网元生成目标安全密钥
接入和移动管理网元可以可以预先生成UPF传输根密钥，也可以基于上述第一PDU会话建立请求生成UPF传输根密钥，并可以基于该UPF传输根密钥生成目标安全密钥。该UPF传输根密钥可以基于第一中间密钥由KDF算法生成，具体可以如下式所示：
KUPF＝KDF(KAMF，其他参数)。其中，其他参数例如可以包括目标用户面网关的信息、目标PDU会话标识、网络标识、字符串和新鲜参数中的至少一项。
可选地，该UPF传输根密钥可以由下式确定：KUPF＝KDF(KAMF，“CIOT”，新鲜参数)，或，KUPF＝KDF(KAMF，“CIOT”，新鲜参数，计数值)，或，KUPF＝KDF(KAMF，“CIOT”，目标用户面网关的信息，新鲜参数)。
其中，目标用户面网关的信息例如可以包括但不限于：目标用户面网关的标识、目标用户面网关的索引、目标用户面网关的下行/上行隧道标识或用户面网关的计数值。其中，用户面网关的计数值可用于表明第几个用户面网关。接入和移动管理网元可以通过会话管理网元或统一数据管理网元获取上述列举的目标用户面网关的信息中的一项或多项。
接入和移动管理网元可以根据接收到的第一PDU会话建立请求获取目标会话标识。网络标识、字符串和新鲜参数所包含的内容在上文中已经一一列举说明，为了简洁，这里不再赘述。
基于UPF传输根密钥生成目标安全密钥的具体方法在上文中已经做了详细说明，为了简洁，这里不再赘述。
接入和移动管理网元在生成目标安全密钥之后，可以通过会话管理网元向目标用户面网关发送该目标安全密钥。
实现方式B、会话管理网元生成目标安全密钥
可选地，接入和移动管理网元可以基于实现方式一中所述的方法生成UPF传输根密钥，并将该UPF传输根密钥发送给会话管理网元。会话管理网元可以基于该UPF传输根密钥生成目标安全密钥。
可选地，接入和移动管理网元可将与该UPF传输根密钥对应的密钥标识，如密钥集标识(key set identifi，KSI)，发送给会话管理网元。
由于UPF传输根密钥可能会变化，接入和移动管理网元在生成UPF传输根密钥的过程中，可以同时派生出另一参数KSI，该KSI与UPF传输根密钥具有一一对应关系。会话管理网元若能获知KSI，便可以获知UPF传输根密钥。
可选地，接入和移动管理网元可以将中间密钥(例如可以为前述第一中间密钥或第二中间密钥)和输入参数发送给会话管理网元，会话管理网元可以基于接收到的中间密钥和输入参数生成UPF传输根密钥，进而生成目标安全密钥。会话管理网元生成UPF传输根密钥的具体方法与实现方式一中描述的方法相同，为了简洁，这里不再赘述。
可选地，接入和移动管理网元可以将与第一中间密钥对应的密钥标识，如5G中的密钥集标识(KSI in 5G，ngKSI)，发送给会话管理网元。
由于第一中间密钥有可能变化，而UPF传输根密钥可以基于第一中间密钥生成。因此当第一中间密钥变化时，UPF传输根密钥也会随之变化。如前所述，ngKSI与第一中间密钥可以具有一一对应关系。由于UPF传输根密钥基于第一中间密钥生成，第一中间密钥与ngKSI一一对应。因此，若能获知ngKSI，便可以获知第一中间密钥，也就可以计算确定出UPF传输根密钥。
会话管理网元可以将生成的目标安全密钥发送给目标用户面网关。
实现方式C、目标用户面网关生成目标安全密钥
可选地，接入和移动管理网元可以基于实现方式一中所述的方法生成UPF传输根密钥，并将该UPF传输根密钥经由会话管理网元发送给目标用户面网关。目标用户面网关可以基于该UPF传输根密钥生成目标安全密钥。
可选地，接入和移动管理网元可将与该UPF传输根密钥对应的密钥标识，如KSI，经由会话管理网元发送给目标用户面网关。
可选地，接入和移动管理网元可以将中间密钥(如前述第一中间密钥或第二中间密钥)和输入参数经由会话管理网元发送给目标用户面网关。目标用户面网关可以基于接收到的中间密钥和输入参数生成UPF传输根密钥，进而生成目标安全密钥。目标用户面网关生成UPF传输根密钥的具体方法与实现方式一中描述的方法相同，为了简洁，这里不再赘述。
可选地，接入和移动管理网元可以将与第一中间密钥对应的密钥标识，如ngKSI，经由会话管理网元发送给目标用户面网关。
实现方式D、接入和移动管理网元预先生成多套安全密钥
在一种可能的设计中，接入和移动管理网元可以预先生成多套安全密钥，该多套安全密钥与多个索引一一对应。接入和移动管理网元可以在生成多套安全密钥后，将用于生成该多套安全密钥的输入参数以及所对应的索引通知UE，例如通过无线资源控制(radioresource control，RRC)消息发送给UE，以便于UE基于接收到的输入参数生成相同的多套安全密钥，并基于用于生成每套安全密钥的输入参数所对应的索引，记录该多套安全密钥与多个索引的一一对应关系。
接入和移动管理网元可以在接收到第一PDU会话建立请求时，从多套安全密钥中选择一套作为目标安全密钥。接入和移动管理网元可以将目标安全密钥经由会话管理网元发送给目标用户面网关。同时，接入和移动管理网元可以将该目标安全密钥的索引通知UE，以使得UE使用的目标安全密钥与目标用户面网关使用的目标安全密钥一致。
在另一种可能的设计中，接入和移动管理网元可以以预先生成多套UPF传输根密钥，该多套UPF传输根密钥可以与多个索引一一对应。可选地，UPF传输根密钥的索引为KSI或ngKSI。接入和移动管理网元可以在生成多套UPF传输根密钥后，将用于生成该多套UPF传输根密钥的输入参数以及所对应的索引通知UE，以便于UE基于相同的输入参数生成相同的多套UPF传输根密钥，并基于每套UPF传输根密钥的索引，记录该多套UPF传输根密钥与多个索引的一一对应关系。
接入和移动管理网元可以在接收到第一PDU会话建立请求时，从多套UPF传输根密钥中选择一套作为用于生成目标安全密钥的UPF传输根密钥。接入和移动管理网元可以基于该UPF传输根密钥生成目标安全密钥，并将目标安全密钥经由会话管理网元发送给目标用户面网关。同时，接入和移动管理网元可以将用于生成该目标安全密钥的UPF传输根密钥的索引通知UE，以使得UE生成的目标安全密钥与目标用户面网关使用的目标安全密钥一致。
实现方式E、会话管理网元预先生成多套安全密钥
在一种可能的设计中，接入和移动管理网元可以预先确定用于生成多套安全密钥的中间密钥和输入参数以及所对应的索引。接入和移动管理网元可以将该多套安全密钥的中间密钥和输入参数以及所对应的索引发送给会话管理网元，并可以将用于生成该多套安全密钥的输入参数以及所对应的索引发送给UE，以便于会话管理网元和UE基于相同的中间密钥和输入参数生成相同的多套安全密钥，并记录该多套安全密钥与多个索引的一一对应关系。
会话管理网元可以在接收到第二PDU会话建立请求时，从多套安全密钥中选择一套作为目标安全密钥。会话管理网元可以将该目标安全密钥发送给目标用户面网关。同时，会话管理网元可以将目标安全密钥的索引发送给UE，以使得UE使用的目标安全密钥与目标用户面网关使用的目标安全密钥一致。
在另一种可能的设计中，接入和移动管理网元可以预先确定用于生成多套UPF传输根密钥的中间密钥和输入参数以及所对应的索引。接入和移动管理网元可以将该多套UPF传输根密钥的中间密钥和输入参数以及所对应的索引发送给会话管理网元，并可以将用于生成该多套UPF传输根密钥的输入参数以及所对应的索引发送给UE，以便于会话管理网元和UE基于相同的中间密钥和输入参数生成相同的多套UPF传输根密钥，并记录该多套UPF传输根密钥与多个索引的一一对应关系。
可选地，UPF传输根密钥的索引为KSI或ngKSI。
会话管理网元可以在接收到第二PDU会话建立请求时，从多套UPF传输根密钥中选择一套作为用于生成目标安全密钥的UPF传输根密钥，并生成目标安全密钥。会话管理网元可以将该目标安全密钥发送给目标用户面网关。同时，会话管理网元可以将用于生成该目标安全密钥的UPF传输根密钥的索引发送给UE，以使得UE生成的目标安全密钥与目标用户面网关使用的目标安全密钥一致。应理解，上文中列举了几种生成目标安全密钥的实现方式，但这不应对本申请构成任何限定。本申请对于生成目标安全密钥的具体方法不作限定。例如，在实现方式D中，接入和移动管理网元也可以将用于生成目标安全密钥的UPF传输根密钥确定出来后直接发送给会话管理网元或目标用户面网关，由会话管理网元或目标用户面网关生成目标安全密钥。又例如，在实现方式E中，会话管理网元也可以将用于生成目标安全密钥的UPF传输根密钥确定出来后直接发送给目标用户面网关，由目标用户面网关生成目标安全密钥。
三：目标安全策略：
为便于理解，这里先对源用户面安全策略、源安全策略、目标用户面安全策略以及目标安全策略做简单说明。
源用户面安全策略可以由会话管理网元根据UE的签约信息获取的用户面安全策略和源会话管理网元的本地配置中的至少一项确定。
源安全策略可以是源用户面网关基于源用户面安全策略和源用户面网关自身的安全能力确定并发送给UE的安全策略。
目标用户面安全策略可以由源用户面安全策略确定。在会话管理网元不变的情况下，可以将源用户面安全策略作为目标用户面安全策略，也可以根据源用户面安全策略、目标PDU会话的业务对应的用户面安全策略以及目标侧的运营商策略要求的用户面安全策略中的一项或多项确定目标用户面安全策略；在会话管理网元变化的情况下，目标用户面安全策略可以由源用户面安全策略和目标会话管理网元的本地配置中的至少一项确定，或者，也可以根据源用户面安全策略、目标PDU会话的业务对应的用户面安全策略、目标的运营商策略要求的用户面安全策略以及目标会话管理网元的本地配置中的一项或多项确定。其中，可选地，目标PDU会话的业务对应的用户面安全策略可以根据UE发送的第一PDU会话建立请求携带。可选地，目标的运营商策略要求的用户面安全策略可以从统一数据管理网元或策略控制网元获取。
目标安全策略可以是目标用户面网关基于目标用户面安全策略和自身安全能力确定并发送给UE的安全策略。
在源PDU会话建立的过程中，会话管理网元已经获取了源用户面安全策略。例如，会话管理网元可以来自统一数据管理网元或者策略控制网元的UE的签约信息中获取用户面安全策略，将UE的签约信息中的用户面安全策略作为源用户面安全策略；会话管理网元中也可以预先配置有用户面安全策略，将该预先配置的用户面安全策略作为源用户面安全策略；会话管理网元还可以根据UE的签约信息中获取的用户面安全策略和预先配置的用户面安全策略确定源用户面安全策略。本申请对于会话管理网元获取源用户面安全策略的具体方法不作限定。
在本实施例中，由于会话管理网元不变，可以根据源用户面安全策略、目标PDU会话的业务对应的用户面安全策略以及目标的运营商策略要求的用户面安全策略中的一项或多项确定目标用户面安全策略。会话管理网元可以将该目标用户面安全策略发送给目标用户面网关。可选地，会话管理网元可以通过上述第三PDU会话建立请求携带该目标用户面安全策略。
目标用户面网关可以进一步基于接收到的目标用户面安全策略，确定目标安全策略。该目标安全策略是用于UE和目标用户面网关之间的用户面安全保护的策略，可用于指示需要激活的安全保护，例如，加密保护和/或完整性保护。
具体地，目标用户面网关可以根据目标用户面安全策略中指示的需要激活的安全保护，并结合自身的能力，确定需要激活的安全保护。例如，当目标用户面安全策略中指示激活加密保护和完整性保护时，目标用户面网关可以根据自身能力，确定是否可同时激活加密保护和完整性保护。在自身能力不足的情况下，可以择一激活，例如，激活加密保护或完整性保护。又例如，当目标用户面安全策略中指示激活加密保护或完整性保护时，而用户面网关能力较强，则目标用户面网关可以根据自身能力，确定可同时激活加密保护和完整性保护。
因此目标用户面安全策略中所指示的具体内容与目标安全策略中所指示的具体内容可能相同，也可能不同。
以上，结合不同的实现方式详细说明了目标用户面网关获取目标安全上下文的具体过程。基于上述方法，目标用户面网关可以基于新的PDU会话获取新的安全上下文，以通过新的安全上下文来保护新的PDU会话。因此，具有较高的安全性。
应理解，上文列举的目标用户面网关获取目标安全上下文的具体方法仅为示例，但这不应对本申请构成任何限定，本申请对于目标用户面网关获取目标安全上下文的具体方法不作限定。下文中还提供了一种目标用户面网关获取目标安全上下文的方法。
UE和核心网网元(例如，接入和移动管理网元或会话管理网元或源用户面网关)可以预先生成安全上下文。该安全上下文可以是与UE对应的，或者说，是以UE粒度生成的。不同的用户面网关可以共享相同的安全上下文。也就是说，在UE不变的情况下，各网元可以共享同一套安全上下文。此时，可以将源安全上下文直接作为目标安全上下文。
相比于上文所列举的几种获取目标安全上下文的方法而言，共享安全上下文的方法更加方便，不需要基于每一次PDU会话建立重新生成安全上下文。
在步骤207中，UE获取目标安全上下文。
如前所述，目标安全上下文具体可包括目标安全算法、目标安全密钥以及目标安全策略。下面详细说明UE获取目标安全上下文的具体过程。
一、目标安全算法：
如前所述，目标安全算法可以由接入和移动管理网元、会话管理网元和目标用户面网关中的任意一个核心网网元确定。当上文列举的核心网网元确定了目标安全算法之后，可以向UE发送该目标安全算法的指示信息，以便于UE使用相同的目标安全算法进行用户面安全保护。
二、目标安全密钥：
UE获取目标安全密钥的具体方式与网络侧获取目标安全密钥的实现方式相关。
若目标用户面网关基于上文中所列举的实现方式A至C中的任意一种方式获取目标安全密钥，接入和移动管理网元可以确定用于生成UPF传输根密钥的输入参数发送给UE。UE可以基于预先获取的第一中间密钥和接收到的输入参数由KDF算法生成UPF传输根密钥，进而生成目标安全密钥。
若目标用户面网关基于上文中所列举的实现方式D或E获取目标安全密钥，接入和移动管理网元可以将预先确定的用于生成多套安全密钥的输入参数以及每套安全密钥的索引发送给UE。UE可以基于预先获取的中间密钥和输入参数，生成多套安全密钥。此后，接入和移动管理网元或会话管理网元可以将目标安全密钥的索引发送给UE，以便于UE从多套安全密钥中确定目标安全密钥。
三、目标安全策略
如前所述，目标安全策略可以由目标用户面网关基于目标用户面安全策略确定。目标用户面网关在确定了目标安全策略之后，可以将该目标安全策略发送给UE。
可选地，UE基于将上述共享的安全上下文作为目标安全上下文。在这种情况下，UE可以不用基于每一次PDU会话建立生成新的安全上下文。
在步骤208中，目标用户面网关向UE发送安全激活指示。
目标用户面网关在获取了目标安全上下文之后，便可以向UE发送安全激活指示，以通知UE激活用户面安全保护。可选地，目标用户面网关可以在发送安全激活指示的同时，向UE发送目标安全策略。若目标安全算法由目标用户面网关确定，则可选地，目标用户面网关可以在发送安全激活指示的同时，向UE发送目标安全算法的指示。
目标用户面网关可以经由会话管理网元、接入和移动管理网元以及接入网设备向UE转发该安全激活指示。若UE基于接入和移动管理网元发送的中间密钥和输入参数生成目标安全密钥，则该安全激活指示在被转发至接入和移动管理网元时，接入和移动管理网元可以将用于生成目标安全密钥的中间密钥和输入参数与安全激活指示一同发送给UE；若UE基于接入和移动管理网元发送的索引确定目标安全密钥，则该安全激活指示在被转发至接入和移动管理网元时，接入和移动管理网元可以将该索引与安全激活指示一同发送给UE；若UE基于会话管理网元发送的索引确定目标安全密钥，则该安全激活指示在被转发至会话管理网元时，会话管理网元可以将该索引与安全激活指示一同发送给UE。
为方便说明，下文中将用于确定目标安全密钥的中间密钥、输入参数以及索引中的一项或多项统称为用于确定目标安全密钥的信息。
此后，接入网设备可以基于接收到的安全激活指示生成RRC消息，并向UE发送该RRC消息。即，该RRC消息中携带安全激活指示。该RRC消息例如可以是RRC重配消息。
可选地，该RRC消息中还携带以下一项或多项：目标安全策略、目标安全算法的指示以及用于确定目标安全密钥的信息。也就是说，步骤207和步骤208可以合成一个步骤执行。当然，步骤207和步骤208也可以分为不同的步骤执行，例如，UE可以预先获取目标安全上下文，本申请对此不作限定。
在步骤209中，UE基于安全激活指示，激活用户面安全保护。
UE可以基于步骤208中接收到的安全激活指示，根据步骤207中获取的目标安全上下文，激活UE侧的用户面安全保护。
可选地，该方法200还包括：步骤210，UE向目标用户面网关发送安全激活完成指示，以通知目标用户面网关该UE已经激活了用户面安全保护。相应地，在步骤210中，目标用户面网关接收来自UE的安全激活完成指示。
可选地，该安全激活完成指示携带在RRC响应消息中。该RRC响应消息例如可以是RRC重配响应消息。接入网设备可以经由接入和移动管理网元和会话管理网元将该安全激活完成指示发送至目标用户面网关。
在步骤211中，目标用户面网关激活用户面安全保护。
目标用户面网关可以基于在步骤210中接收到的安全激活完成指示，激活目标用户面网关侧的用户面安全保护。目标用户面网关也可以在步骤206获取目标安全上下文之后直接激活用户面安全保护。本申请对于步骤211与步骤210的执行先后顺序不作限定。
基于上述步骤，UE和目标用户面网关都分别激活了用户面安全保护，即，目标PDU会话建立流程完成。UE和目标用户面网关之间可以基于新建的目标PDU会话进行安全的数据传输。
可选地，该方法200还包括：步骤212，UE删除源PDU会话相关的安全上下文。
其中，源PDU会话相关的安全上下文可以是用于源PDU会话的保护的信息，例如可以包括但不限于：源安全算法、源用户面安全策略、源安全密钥、密钥标识、用于计算源安全密钥的计数值，如Nas count，NCC等。
可选地，该方法200还包括：步骤213，接入和移动管理网元删除源PDU会话相关的安全上下文。
可选地，该方法200还包括：步骤214，会话管理网元删除源PDU会话相关的安全上下文。
可选地，该方法200还包括：步骤215，源用户面网关删除源PDU会话相关的安全上下文。
应理解，步骤212至步骤215并不一定要同时执行，UE和核心网网元可以在目标PDU会话建立流程完成之后，自行决定删除源PDU会话相关的安全上下文的时机。本申请对于各网元删除源PDU会话相关的安全上下文的时机不作限定。
可选地，该方法200还包括：步骤216，接入和移动管理网元释放源PDU会话连接的资源。
可选地，在步骤212之前，该方法200还包括：步骤217，UE将源PDU会话中的服务质量(quality of service，QoS)流(flow)转移至目标PDU会话中。
应理解，步骤212至步骤217的具体过程可以与现有技术相同，为了简洁，这里省略对其具体过程的详细说明。
还应理解，步骤212之步骤217可以在步骤211之后执行，也可以在步骤201之后执行，如在步骤203之前执行。若步骤212至步骤217在步骤211之后执行，即先建立了目标PDU会话，再释放源PDU会话，可对应于SSC模式3；若步骤212至步骤217在步骤201之后执行，即先释放了源PDU会话，再建立目标PDU会话，可对应于SSC模式2。
基于上述方法，UE和网络侧完成了用户面网关的切换和PDU会话的重建。UE和网络侧完成了用户面网关和会话管理网元的切换以及PDU会话的重建。基于新建的PDU会话，UE和新的用户面网关之间可以基于新的安全上下文进行安全的数据传输，实现了UE和用户面网关之间的端到端的安全保护。并且在用户面网关切换的情况下，删除了旧的PDU会话相关的安全上下文，可以避免旧的PDU会话相关的安全上下文信息被第三方获取，安全性更高。
然而，在PDU会话重建的过程中，并不仅限于用户面网关的切换，会话管理网元和/或接入和移动管理网元也有可能切换。下面结合附图详细说明会话管理网元切换和接入和移动管理网元切换的情况下PDU会话重建和获取安全上下文的过程。
图4是从设备交互的角度示出的本申请另一实施例的获取安全上下文的方法300的示意性流程图。如图所示，该方法300可以包括步骤301至步骤317。
需要说明的是，方法300所描述的PDU会话重建的过程中，会话管理网元和用户面网关发生变化。因此，本实施例中涉及的核心网网元可以包括接入和移动管理网元、源会话管理网元、目标会话管理网元、源用户面网关和目标用户面网关。但应理解，这不应对本申请构成任何限定。在会话管理网元发生变化的情况下，用户面网关可以变化，也可以不变，本申请对此不作限定。当用户面网关不变时，本实施例中的源用户面网关和目标用户面网关为同一用户面网关。
下面结合图4详细说明方法300中的各个步骤。
在步骤301中，UE接收来自接入和移动管理网元的NAS消息，该NAS消息用于指示需要重建PDU会话。相应地，接入和移动管理网元向UE发送该NAS消息。
步骤301的具体过程与步骤201的具体过程相同。由于上文中方法200中已经对步骤201做了详细说明，为了简洁，这里不再赘述。
如前所述，用户面网关的切换和会话管理网元的切换可以由源会话管理网元确定，也可以由接入和移动管理网元确定。若源会话管理网元确定切换用户面网关和/或会话管理网元，则可选地，在步骤301之前，该方法还包括步骤302，接入和移动管理网元接收来自源会话管理网元的切换请求，该切换请求中携带源PDU会话标识和PDU会话重建原因。相应地，源会话管理网元向接入和移动管理网元发送该切换请求。
可选地，该切换请求中携带目标会话管理网元的指示和/或目标用户面网关的指示。换句话说，该切换请求可用于请求切换用户面网关和/或会话管理网元。该切换请求可以为用户面网关和/或会话管理网元的切换请求。
其中，目标会话管理网元的指示例如可以是目标会话管理网元的标识，或者其他可用于指示目标会话管理网元的信息；目标用户面网关的指示例如可以是目标用户面网关的标识，或者其他可用于指示目标用户面网关的信息。本申请对于目标会话管理网元的指示以及目标用户面网关的指示的具体形式不作限定。
由于会话管理网元和用户面网关的切换也可以由接入和移动管理网元来决定。因此，源会话管理网元可以通过切换请求来请求切换会话管理网元和用户面网关中的一项或多项。当然，源会话管理网元也可以不做决定，由接入和移动管理网元来确定是否需要切换会话管理网元和用户面网关。在此情况下，接入和移动管理网元可以进一步确定目标会话管理网元和目标用户面网关。本申请对此不作限定。
在步骤303中，UE向接入和移动管理网元发送第一PDU会话建立请求。相应地，接入和移动管理网元接收来自UE的第一PDU会话建立请求。
步骤303的具体过程与步骤203的具体过程相同。由于上文中方法200中已经对步骤203做了详细说明，为了简洁，这里不再赘述。
在步骤304中，接入和移动管理网元基于第一PDU会话建立请求，向目标会话管理网元发送第二PDU会话建立请求。相应地，目标会话管理网元接收来自接入和移动管理网元的第二PDU会话建立请求。
在本实施例中，接入和移动管理网元可以基于自身的决定或者源会话管理网元的切换请求，向目标会话管理网元发送第二PDU会话建立请求。若目标用户面网关由接入和移动管理网元确定，则可选地，该第二PDU会话建立请求中携带目标用户面网关的指示。
在步骤305中，目标用户面网关接收目标会话管理网元的第三PDU会话建立请求。相应地，目标会话管理网元向目标用户面网关发送第三PDU会话建立请求。
目标会话管理网元可以基于自身的决定或者接入和移动管理发送的第二PDU会话建立请求中携带的目标用户面网关的指示，向目标用户面网关发送该第三PDU会话建立请求。该目标用户面网关在接收到该第三PDU会话建立请求之后，可以确定需要作为用户面安全的终结点。因此目标用户面网关在步骤306中获取目标安全上下文。
下面详细说明目标用户面网关获取目标安全上下文的过程。
一、目标安全算法：
目标安全算法可以由UE的安全能力和目标用户面网关的安全能力确定。更进一步地，目标安全算法还可结合业务类型或业务的安全需求信息确定。如果用户面网关(包括目标用户面网关)能够支持所有的安全算法，则目标安全算法可以直接根据UE的安全能力确定，或者，根据UE的安全能力和业务的安全需求信息确定。
在本实施例中，目标安全算法可以由接入和移动管理网元确定，或者，也可以由目标会话管理网元确定，或者，还可以由目标用户面网关确定，本申请对此不作限定。
若目标安全算法由接入和移动管理网元确定，接入和移动管理网元可基于上文方法200中实现方式一所描述的方法确定目标安全算法。
若目标安全算法由目标会话管理网元确定，目标会话管理网元可以预先获取UE的安全能力，例如从向接入和移动管理网元获取，如接入和移动管理网元通过上述第二PDU会话建立请求携带，和/或，从统一数据管理网元或策略控制网元获取，并向目标用户面网关请求获取目标用户面网关的安全能力，如通过N4接口消息从目标用户面网关获取。目标会话管理网元可以基于UE的安全能力和目标用户面网关的安全能力确定目标安全算法。
目标会话管理网元还可以进一步获取业务类型或业务的安全需求信息，如接入和移动管理网元通过上述第二PDU会话建立请求携带，以进一步根据UE的安全能力、业务的安全需求信息和目标用户面网关的安全能力确定目标安全算法。
若目标安全算法由目标用户面网关确定，目标会话管理网元可以预先将UE的安全能力发送给目标用户面网关，例如通过上述第三PDU会话建立请求携带。目标用户面网关可以基于UE的安全能力和自身的安全能力确定目标安全算法。
目标用户面网关还可以进一步获取业务类型或业务的安全需求信息，如目标会话管理网元通过上述第三PDU会话建立请求携带，以进一步根据UE的安全能力、业务的安全需求信息和自身的安全能力确定目标安全算法。
各核心网网元确定目标安全算法的具体方法在上文方法200中已经结合实现方式一至三做了详细说明，为了简洁，这里不再赘述。
二、目标安全密钥：
在本实施例中，目标安全密钥可以由接入和移动管理网元生成，或者，也可以由目标会话管理网元生成，或者，还可以由目标用户面网关生成。本申请对此不作限定。
若目标安全密钥由接入和移动管理网元生成，接入和移动管理网元可基于上文方法200中实现方式A所描述的方法生成目标安全密钥，并将生成的目标安全密钥发送给目标用户面网关。
或者，接入和移动管理网元也可以基于上文中实现方式D生成多套安全密钥，并从多套安全密钥中选择一套作为目标安全密钥，将该目标安全密钥发送给目标用户面网关。
或者，接入和移动管理网元还可以生成多套UPF传输根密钥，并从多套UPF传输根密钥中选择一套作为用于生成目标安全密钥的UPF传输根密钥，进而生成目标安全根密钥，或，将该UPF传输根密钥发送给目标会话管理网元，由后续网元(如目标会话管理网元或目标用户面网关)生成目标安全密钥。
若目标安全密钥由会话管理网元生成，目标会话管理网元可以基于上文方法200中实现方式B所描述的方法生成目标安全密钥，并将生成的目标安全密钥发送给目标用户面网关。
或者，目标会话管理网元也可以从源会话管理网元获取预先生成的多套安全密钥，并从多套安全密钥中选择一套作为目标安全密钥，将该目标安全密钥发送给目标用户面网关。或者，目标会话管理网元可以自行生成多套安全密钥，并从该多套安全密钥中选择一套作为目标安全密钥，将该目标安全密钥发送给目标用户面网关。
或者，目标会话管理网元还可以根据从源会话管理网元获取源安全上下文，生成新的多套安全密钥。例如，基于源安全上下文中源会话的信息和/或会话管理相关的信息，例如UPF传输根密钥、源安全密钥、源PDU会话中基于流的密钥等，生成新的多套安全密钥。目标会话管理网元可以从该新的多套安全密钥中选择一套作为目标安全密钥，将该目标安全密钥发送给目标用户面网关。
或者，目标会话管理网元还可以生成多套UPF传输根密钥，并从多套UPF传输根密钥中选择一套作为用于生成目标安全密钥的UPF传输根密钥，进而生成目标安全根密钥，或，将该UPF传输根密钥发送给用户面网关。
若目标安全密钥由目标用户面网关生成，目标用户面网关可以基于上文方法200中实现方式C所描述的方法生成目标安全密钥。
此外，安全上下文可以是基于UE粒度的。不同的用户面网关和不同的会话管理网元也可以共享相同的安全上下文。也就是说，在UE不变的情况下，源安全上下文可以直接作为目标安全上下文。
在步骤307中，UE获取目标安全上下文。
步骤307的具体过程与步骤207的具体过程相同。由于上文中方法200中已经对步骤207做了详细说明，为了简洁，这里不再赘述。
在步骤308中，目标用户面网关向UE发送安全激活指示。
在步骤309中，UE基于安全激活指示，激活用户面安全保护。
在步骤310中，UE向目标用户面网关发送安全激活完成指示，以通知目标用户面网关该UE已经激活了用户面安全保护。相应地，在步骤310中，目标用户面网关接收来自UE的安全激活完成指示。
在步骤311中，目标用户面网关激活用户面安全保护。
可选地，该方法300还包括：步骤312，UE删除源PDU会话相关的安全上下文。
可选地，该方法300还包括：步骤313，接入和移动管理网元删除源PDU会话相关的安全上下文。
可选地，该方法300还包括：步骤314，源会话管理网元删除源PDU会话相关的安全上下文。
可选地，该方法300还包括：步骤315，源用户面网关删除源PDU会话相关的安全上下文。
可选地，该方法300还包括：步骤316，接入和移动管理网元释放源PDU会话连接的资源。
可选地，在步骤312之前，该方法300还包括：步骤317，UE将源PDU会话中的QoSflow转移至目标PDU会话中。
应理解，步骤307至步骤317的具体过程与方法200中步骤207至步骤217的具体过程相同，为了简洁，这里不再赘述。
还应理解，步骤312至步骤315并不一定要同时执行，UE和核心网网元可以在目标PDU会话建立流程完成之后，自行决定删除源PDU会话相关的安全上下文的时机。本申请对于各网元删除源PDU会话相关的安全上下文的时机不作限定。
还应理解，步骤312之步骤317可以在步骤311之后执行，也可以在步骤301之后执行，如在步骤303之前执行。若步骤312至步骤313在步骤311之后执行，即先建立了目标PDU会话，再释放源PDU会话，可对应于SSC模式3；若步骤312至步骤317在步骤301之后执行，即先释放了源PDU会话，再建立目标PDU会话，可对应于SSC模式2。
基于上述方法，UE和网络侧完成了用户面网关和会话管理网元的切换以及PDU会话的重建。基于新建的PDU会话，UE和新的用户面网关之间可以基于新的安全上下文进行安全的数据传输，实现了UE和用户面网关之间的端到端的安全保护。并且在用户面网关和会话管理网元切换的情况下，删除了旧的PDU会话相关的安全上下文，安全性更高。
需要说明的是，上文所描述的方法200和300详细说明了在接入和移动管理网元未发生变化的情况下进行PDU会话重建并获取安全上下文的具体过程，但这不应对本申请构成任何限定。在接入和移动管理网元发生变化的情况下，上文所提供的方法仍可以适用。在完成了接入和移动管理网元的切换之后，可以基于上文提供的方法200或300的流程来切换用户面网关和/或会话管理网元。
下面简单说明接入和移动管理网元切换的过程。此过程涉及的核心网网元可以包括源接入和移动管理网元、目标接入和移动管理网元、会话管理网元和用户面网关。应理解，该会话管理网元和用户面网关可以为承载源PDU会话的链路中的会话管理网元和用户面网关，即又可以称为，源会话管理网元和源用户面网关。
首先，源接入和移动管理网元接收来自接入网设备的切换请求，该切换请求用于指示需要切换接入和移动管理网元。相应地，该接入网设备向源接入和移动管理网元发送该切换请求。
如前所述，接入网设备可以根据运营商策略和/或网络部署覆盖情况确定是否需要切换接入和移动管理网元，并在需要切换的情况下，向源接入和移动管理网元发送切换请求。
此后，源接入和移动管理网元确定目标接入和移动管理网元。
源接入和移动管理网元可以基于接收到的切换请求，确定目标接入和移动管理网元。或者，接入网设备也可以在切换请求中指示目标接入和移动管理网元，以便于源接入和移动管理网元基于该切换请求确定目标接入和移动管理网元。本申请对此不作限定。
此后，源接入和移动管理网元向目标接入和移动管理网元发送源安全上下文。相应地，目标接入和移动管理网元接收来自源接入和移动管理网元的源安全上下文。
该源安全上下文例如可以包括但不限于：源安全算法(包括加密算法和完整性保护算法)、算法标识、UE的安全能力、源安全密钥(包括加/解密密钥和完整性保护密钥)、用于生成源安全密钥的中间密钥、UPF传输密钥、密钥的索引、密钥标识、密钥的生存周期、用于计算源安全密钥的计数值中的一项或多项(如，NAS count、NH、时间戳、NCC等)、源安全策略。
源安全上下文还可以包括由源接入和移动管理网元生成的多套安全密钥。或者，源安全上下文可以包括源会话的信息、会话管理相关的安全上下文，以便于目标接入和移动管理网元生成新的多套安全密钥。
源安全上下文也可以是与UE对应的共享安全上下文。
可选地，源接入和移动管理网元通过Namf接口通信创建UE上下文请求(Namf_Communication_CreateUEContext Request)发送源安全上下文。
该Namf_Communication_CreateUEContext Request中还可以包括PDU会话标识与会话管理网元的映射关系和/或该PDU会话对应的SMF标识，以便于目标接入和移动管理网元根据该映射关系确定承载源PDU会话的链路中的会话管理网元。
此后，目标接入和移动管理网元向会话管理网元发送Nsmf接口PDU会话更新会话管理上下文请求(Nsmf_PDUSession_UpdateSMContext Request)，该Nsmf_PDUSession_UpdateSMContext Request中携带源安全上下文。
如果在此后的流程中，用户面网关或会话管理网元不发生变化，该会话管理网元可以按照现有技术的流程来完成该会话更新。会话管理网元可以基于接收到的Nsmf_PDUSession_UpdateSMContext Request，通过N4接口会话修改请求(N4SessionModification Request)向用户面网关发送源安全上下文，或者会话管理网元根据源安全上下文和目标用户面网关的安全能力等信息来确定目标安全上下文的信息，如果会话管理网元变化则目标SMF可以经由目标AMF从源AMF和/或源SMF获取源安全上下文，或者其他可用于确定目标安全上下文的信息，如用于生成目标安全密钥的输入参数、UPF传输根密钥或中间密钥等，以帮助用户面网关获取目标安全上下文。
此后，接入网设备接收来自源接入和移动管理网元的UE上下文释放命令(UEContext Release Command)。
此后，接入网设备释放资源，并向源接入和移动管理网元发送UE上下文释放完成(UE Context Release Command Complete)。
此后，UE可以获取目标安全上下文。UE可以从用户面网关获取目标安全策略和目标安全算法的指示。
UE可以基于目标接入和移动管理网元发送的输入参数生成目标安全密钥；UE也可以基于目标接入和移动管理网元发送的索引，从预先生成的多套安全密钥中确定目标安全密钥；UE还可以直接将共享安全上下文用作目标安全上下文。UE获取目标安全密钥的具体方法与用户面网关获取目标安全密钥的方法相对应。
用户面网关和UE获取目标安全上下文的具体方法在上文中已经做了详细说明，为了简洁，这里不再赘述。
如果在此后的流程中，用户面网关或会话管理网元发生变化，则基于方法200或方法300中的流程来完成目标PDU会话的重建。
基于上述方法，目标接入和移动管理网元可以从源接入和移动管理网元获取源安全上下文以及源PDU会话的相关信息，以便于用户面网关和UE获取目标安全上下文。基于新建的PDU会话，UE和用户面网关之间可以基于新的安全上下文进行安全的数据传输，实现了UE和用户面网关之间的端到端的安全保护。
应理解，在上述各实施例中，各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。
以上，结合图3和图4详细说明了本申请实施例提供的获取安全上下文的方法。以下，结合图5和图6详细说明本申请实施例提供的获取安全上下文的装置和设备。
图5是本申请实施例提供的获取安全上下文的装置500的示意性框图。如图所示，该装置500可以包括：收发单元510和处理单元520。
在一种可能的设计中，该装置500可以是上文方法实施例中的用户面网关，也可以是用于实现上文方法实施例中用户面网关的功能的芯片。具体地，该装置500可对应于根据本申请实施例的方法200和300中的用户面网关，该装置500可以包括用于执行图3中的方法200和图4中的方法300中的用户面网关执行的方法的单元。并且，该装置500中的各单元和上述其他操作和/或功能分别为了实现图3中的方法200或图4中的方法300的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
在另一种可能的设计中，该装置500可以是上文方法实施例中的UE，也可以是用于实现上文方法实施例中UE的功能的芯片。具体地，该装置500可对应于根据本申请实施例的方法200和300中的UE，该装置500可以包括用于执行图3中的方法200和图4中的方法300中的UE执行的方法的单元。并且，该装置500中的各单元和上述其他操作和/或功能分别为了实现图3中的方法200或图4中的方法300的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
在另一种可能的设计中，该装置500可以是上文方法实施例中的接入和移动管理网元，也可以是用于实现上文方法实施例中接入和移动管理网元的功能的芯片。具体地，该装置500可对应于根据本申请实施例的方法200和300中的接入和移动管理网元，该装置500可以包括用于执行图3中的方法200和图4中的方法300中的接入和移动管理网元执行的方法的单元。并且，该装置500中的各单元和上述其他操作和/或功能分别为了实现图3中的方法200或图4中的方法300的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
在另一种可能的设计中，该装置500可以是上文方法实施例中的会话管理网元，也可以是用于实现上文方法实施例中会话管理网元的功能的芯片。具体地，该装置500可对应于根据本申请实施例的方法200和300中的会话管理网元，该装置500可以包括用于执行图3中的方法200和图4中的方法300中的会话管理网元执行的方法的单元。并且，该装置500中的各单元和上述其他操作和/或功能分别为了实现图3中的方法200或图4中的方法300的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
应理解，该装置500中的收发单元可对应于图6中示出的设备600中的收发器610，该装置500中的处理单元520可对应于图6中示出的设备600中的收发器620。
图6是本申请实施例提供的获取安全上下文的设备600的示意性框图。如图所示，该设备600包括：处理器610和收发器620。该处理器610与存储器耦合，用于执行存储器中存储的指令，以控制收发器620发送信号和/或接收信号。可选地，该设备600还包括存储器630，用于存储指令。
应理解，上述处理器610和存储器630可以合成一个处理装置，处理器610用于执行存储器630中存储的程序代码来实现上述功能。具体实现时，该存储器630也可以集成在处理器610中，或者独立于处理器610。
还应理解，收发器620可以包括接收器(或者称，接收机)和发射器(或者称，发射机)。收发器还可以进一步包括天线，天线的数量可以为一个或多个。
在一种可能的设计中，该设备600可以是上文方法实施例中的用户面网关，也可以是用于实现上文方法实施例中用户面网关的功能的芯片。具体地，该设备600可对应于根据本申请实施例的方法200和300中的用户面网关，该设备600可以包括用于执行图3中的方法200和图4中的方法300中的用户面网关执行的方法的单元。并且，该设备600中的各单元和上述其他操作和/或功能分别为了实现图3中的方法200或图4中的方法300的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
在另一种可能的设计中，该设备600可以是上文方法实施例中的UE，也可以是用于实现上文方法实施例中UE的功能的芯片。具体地，该设备600可对应于根据本申请实施例的方法200和300中的UE，该设备600可以包括用于执行图3中的方法200和图4中的方法300中的UE执行的方法的单元。并且，该设备600中的各单元和上述其他操作和/或功能分别为了实现图3中的方法200或图4中的方法300的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
在另一种可能的设计中，该设备600可以是上文方法实施例中的接入和移动管理网元，也可以是用于实现上文方法实施例中接入和移动管理网元的功能的芯片。具体地，该设备600可对应于根据本申请实施例的方法200和300中的接入和移动管理网元，该设备600可以包括用于执行图3中的方法200和图4中的方法300中的接入和移动管理网元执行的方法的单元。并且，该设备600中的各单元和上述其他操作和/或功能分别为了实现图3中的方法200或图4中的方法300的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
在另一种可能的设计中，该设备600可以是上文方法实施例中的会话管理网元，也可以是用于实现上文方法实施例中会话管理网元的功能的芯片。具体地，该设备600可对应于根据本申请实施例的方法200和300中的会话管理网元，该设备600可以包括用于执行图3中的方法200和图4中的方法300中的会话管理网元执行的方法的单元。并且，该设备600中的各单元和上述其他操作和/或功能分别为了实现图3中的方法200或图4中的方法300的相应流程。应理解，各单元执行上述相应步骤的具体过程在上述方法实施例中已经详细说明，为了简洁，在此不再赘述。
根据本申请实施例提供的方法，本申请还提供一种计算机程序产品，该计算机程序产品包括：计算机程序代码，当该计算机程序代码在计算机上运行时，使得该计算机执行图3和图4所示实施例中任意一个实施例的获取安全上下文的方法。
根据本申请实施例提供的方法，本申请还提供一种计算机可读介质，该计算机可读介质存储有程序代码，当该程序代码在计算机上运行时，使得该计算机执行图3和图4所示实施例中任意一个实施例的获取安全上下文的方法。
根据本申请实施例提供的方法，本申请还提供一种系统，其包括前述的用户面网关、会话管理网元、接入和移动管理网元、接入网设备以及UE。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例如，高密度数字视频光盘(digital video disc，DVD))、或者半导体介质(例如，固态硬盘(solid state disk，SSD))等。
上述各个装置实施例中各网元可以和方法实施例中的各网元完全对应，由相应的模块或单元执行相应的步骤，例如收发单元(收发器)执行方法实施例中接收或发送的步骤，除发送、接收外的其它步骤可以由处理单元(处理器)执行。具体单元的功能可以参考相应的方法实施例。其中，处理器可以为一个或多个。
本申请中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A、B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a、b或c中的至少一项(个)，可以表示：a，或b，或c，或a和b，或a和c，或b和c，或a、b和c，其中a、b或c分别可以是单个，也可以是多个。
应理解，说明书通篇中提到的“一个实施例”或“一实施例”意味着与实施例有关的特定特征、结构或特性包括在本申请的至少一个实施例中。因此，在整个说明书各处出现的“在一个实施例中”或“在一实施例中”未必一定指相同的实施例。此外，这些特定的特征、结构或特性可以任意适合的方式结合在一个或多个实施例中。应理解，在本申请的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。
在本说明书中使用的术语“部件”、“模块”、“系统”等用于表示计算机相关的实体、硬件、固件、硬件和软件的组合、软件、或执行中的软件。例如，部件可以是但不限于，在处理器上运行的进程、处理器、对象、可执行文件、执行线程、程序和/或计算机。通过图示，在计算设备上运行的应用和计算设备都可以是部件。一个或多个部件可驻留在进程和/或执行线程中，部件可位于一个计算机上和/或分布在两个或更多个计算机之间。此外，这些部件可从在上面存储有各种数据结构的各种计算机可读介质执行。部件可例如根据具有一个或多个数据分组(例如来自与本地系统、分布式系统和/或网络间的另一部件交互的二个部件的数据，例如通过信号与其它系统交互的互联网)的信号通过本地和/或远程进程来通信。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各种说明性逻辑块(illustrative logical block)和步骤(step)，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
在上述实施例中，各功能单元的功能可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令(程序)。在计算机上加载和执行所述计算机程序指令(程序)时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘(solid state disk，SSD))等。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (20)

1.一种获取安全上下文的方法，其特征在于，包括：
用户面网关接收分组数据单元PDU会话建立请求，所述PDU会话建立请求用于请求建立所述用户面网关与用户设备UE之间的PDU会话，所述PDU会话承载于所述UE与数据网络的业务服务器之间；
所述用户面网关获取用于所述PDU会话的安全上下文；
所述用户面网关基于所述安全上下文激活用户面安全保护。
2.如权利要求1所述的方法，其特征在于，所述用户面网关获取用于所述PDU会话的安全上下文，包括：
所述用户面网关从所述会话管理网元获取共享安全上下文，所述共享安全上下文为与UE对应的安全上下文；
所述用户面网关将所述共享安全上下文确定为所述安全上下文。
3.如权利要求1所述的方法，其特征在于，所述安全上下文包括安全密钥；以及
所述用户面网关获取用于所述PDU会话的安全上下文，包括：
所述用户面网关从所述会话管理网元接收所述安全密钥。
4.如权利要求1所述的方法，其特征在于，所述安全上下文包括安全密钥；以及
所述用户面网关获取用于所述PDU会话的安全上下文，包括：
所述用户面网关接收用于生成所述安全密钥的用户面功能UPF传输根密钥；
所述用户面网关基于所述UPF传输根密钥生成所述安全密钥。
5.如权利要求1所述的方法，其特征在于，所述安全上下文包括安全密钥；以及
所述用户面网关获取用于所述PDU会话的安全上下文，包括：
所述用户面网关接收中间密钥和输入参数；
所述用户面网关基于所述中间密钥和所述输入参数生成所述UPF传输根密钥，并基于所述UPF传输根密钥生成所述安全密钥。
6.一种获取安全上下文的方法，其特征在于，包括：
用户设备UE发送分组数据单元PDU会话建立请求，所述PDU会话建立请求用于请求建立用户面网关与所述UE之间的目标PDU会话，所述目标PDU会话承载于所述UE与数据网络的业务服务器之间；
所述UE获取用户所述目标PDU会话的安全上下文；
所述UE基于所述安全上下文激活用户面安全保护。
7.如权利要求6所述的方法，其特征在于，所述安全上下文包括安全密钥；以及
所述UE获取所述安全密钥，包括：
所述UE接收所述安全密钥的索引；
所述UE基于所述索引，从预先生成的多套安全密钥中确定所述安全密钥。
8.如权利要求6所述的方法，其特征在于，所述安全上下文包括安全密钥；以及
所述UE获取所述安全密钥，包括：
所述UE接收用于生成输入参数；
所述UE基于所述输入参数生成所述UPF传输根密钥，并基于所述UPF传输根密钥所述安全密钥。
9.如权利要求6所述的方法，其特征在于，所述安全上下文为预先生成的共享安全上下文，所述共享安全上下文与UE对应。
10.如权利要求6所述的方法，其特征在于，所述方法还包括：
所述UE删除用于源PDU会话的安全上下文；其中，承载所述目标PDU会话的链路与承载所述源PDU会话的链路之间存在以下至少一项不同：用户面网关、会话管理网元和接入和移动管理网元。
11.一种获取安全上下文的装置，其特征在于，包括：
收发单元，用于接收分组数据单元PDU会话建立请求，所述PDU会话建立请求用于请求建立所述用户面网关与用户设备UE之间的PDU会话，所述PDU会话承载于所述UE与数据网络的业务服务器之间；
处理单元，用于获取用于所述PDU会话的安全上下文；并用于基于所述安全上下文激活用户面安全保护。
12.如权利要求11所述的装置，其特征在于，所述安全上下文包括安全密钥；
所述处理单元具体用于从所述会话管理网元获取共享安全上下文，所述共享安全上下文为与UE对应的安全上下文；并用于将所述共享安全上下文确定为所述安全上下文。
13.如权利要求11所述的装置，其特征在于，所述安全上下文包括安全密钥；
所述收发单元还用于从所述会话管理网元接收所述安全密钥。
14.如权利要求11所述的装置，其特征在于，所述安全上下文包括安全密钥；
所述收发单元还用于接收用于生成所述安全密钥的用户面功能UPF传输根密钥；
所述处理单元具体用于基于所述UPF传输根密钥生成所述安全密钥。
15.如权利要求11所述的装置，其特征在于，所述安全上下文包括安全密钥；
所述收发单元还用于接收中间密钥和输入参数；
所述处理单元具体用于基于所述中间密钥和所述输入参数生成所述UPF传输根密钥，并基于所述UPF传输根密钥生成所述安全密钥。
16.一种获取安全上下文的装置，其特征在于，包括：
收发单元，用于发送分组数据单元PDU会话建立请求，所述PDU会话建立请求用于请求建立用户面网关与所述UE之间的目标PDU会话，所述目标PDU会话承载于所述UE与数据网络的业务服务器之间；
处理单元，用于获取用户所述目标PDU会话的安全上下文；并用于基于所述安全上下文激活用户面安全保护。
17.如权利要求16所述的装置，其特征在于，所述安全上下文包括安全密钥；
所述收发单元还用于接收所述安全密钥的索引；
所述处理单元具体用于基于所述索引，从预先生成的多套安全密钥中确定所述安全密钥。
18.如权利要求16所述的装置，其特征在于，所述安全上下文包括安全密钥；
所述收发单元还用于接收用于生成输入参数；
所述处理单元具体用于基于所述输入参数生成所述UPF传输根密钥，并基于所述UPF传输根密钥所述安全密钥。
19.如权利要求16所述的装置，其特征在于，所述安全上下文为预先生成的共享安全上下文，所述共享安全上下文与UE对应。
20.如权利要求16至19中任一项所述的装置，其特征在于，所述处理单元还用于删除用于源PDU会话的安全上下文；其中，承载所述目标PDU会话的链路与承载所述源PDU会话的链路之间存在以下至少一项不同：用户面网关、会话管理网元和接入和移动管理网元。
CN201811077345.1A 2018-09-15 2018-09-15 获取安全上下文的方法和装置 Active CN110913389B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201811077345.1A CN110913389B (zh) 2018-09-15 2018-09-15 获取安全上下文的方法和装置
EP19860091.8A EP3820182A4 (en) 2018-09-15 2019-09-10 METHOD AND APPARATUS FOR ACQUIRING A SECURITY CONTEXT
PCT/CN2019/105019 WO2020052531A1 (zh) 2018-09-15 2019-09-10 获取安全上下文的方法和装置
US17/179,820 US11722888B2 (en) 2018-09-15 2021-02-19 Security context obtaining method and apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811077345.1A CN110913389B (zh) 2018-09-15 2018-09-15 获取安全上下文的方法和装置

Publications (2)

Publication Number Publication Date
CN110913389A true CN110913389A (zh) 2020-03-24
CN110913389B CN110913389B (zh) 2022-04-05

Family

ID=69776975

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811077345.1A Active CN110913389B (zh) 2018-09-15 2018-09-15 获取安全上下文的方法和装置

Country Status (4)

Country Link
US (1) US11722888B2 (zh)
EP (1) EP3820182A4 (zh)
CN (1) CN110913389B (zh)
WO (1) WO2020052531A1 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113613248A (zh) * 2020-04-20 2021-11-05 华为技术有限公司 认证事件处理方法及装置、系统
WO2021244342A1 (zh) * 2020-05-30 2021-12-09 华为技术有限公司 一种确定用户面安全执行信息的方法、装置及系统
WO2022032646A1 (zh) * 2020-08-14 2022-02-17 北京小米移动软件有限公司 信息传输方法、装置及通信设备
CN114448819A (zh) * 2021-12-24 2022-05-06 固安县艾拉信息科技有限公司 基于网络实时数据的密码分析和实现方法
CN114640988A (zh) * 2022-05-17 2022-06-17 成都信息工程大学 基于隐式指示加密的信息处理方法及装置
WO2022134089A1 (zh) * 2020-12-25 2022-06-30 华为技术有限公司 一种安全上下文生成方法、装置及计算机可读存储介质

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110149651B (zh) * 2018-02-13 2021-09-14 华为技术有限公司 一种确定ssc模式的方法及装置
CN112333784B (zh) * 2020-11-05 2023-03-24 中国联合网络通信集团有限公司 安全上下文的处理方法、第一网元、终端设备及介质
CN114697989A (zh) * 2020-12-31 2022-07-01 大唐移动通信设备有限公司 一种通信传输的方法、设备及系统
US20220377061A1 (en) * 2021-05-20 2022-11-24 Zebra Technonolgies Corporation Accelerated Reconnection in Authenticated Networks
CN115943673A (zh) * 2021-08-04 2023-04-07 北京小米移动软件有限公司 共享会话建立方法、装置及通信设备

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080176572A1 (en) * 2006-12-28 2008-07-24 Nokia Corporation Method of handoff
WO2010069402A1 (en) * 2008-12-19 2010-06-24 Telefonaktiebolaget L M Ericsson (Publ) Gre user-plane
CN107666666A (zh) * 2016-07-27 2018-02-06 中兴通讯股份有限公司 密钥的衍生方法及装置
CN107820283A (zh) * 2016-09-13 2018-03-20 华为技术有限公司 一种网络切换保护方法、相关设备及系统
WO2018111029A1 (ko) * 2016-12-15 2018-06-21 엘지전자(주) 무선 통신 시스템에서 핸드오버 수행 방법 및 이를 위한 장치
WO2018127190A1 (en) * 2017-01-09 2018-07-12 Huawei Technologies Co., Ltd. System and methods for session management
CN108347416A (zh) * 2017-01-24 2018-07-31 华为技术有限公司 一种安全保护协商方法及网元
CN108347410A (zh) * 2017-01-24 2018-07-31 华为技术有限公司 安全实现方法、设备以及系统
CN108370600A (zh) * 2017-05-09 2018-08-03 华为技术有限公司 一种会话管理方法、终端及系统

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10681541B2 (en) * 2016-04-29 2020-06-09 Nokia Technologies Oy Security key usage across handover that keeps the same wireless termination
CN107888498A (zh) * 2016-09-29 2018-04-06 中兴通讯股份有限公司 实现用户面功能管理的方法及装置和网元及装置
WO2018132050A1 (en) * 2017-01-10 2018-07-19 Telefonaktiebolaget Lm Ericsson (Publ) Pdu session management
US10681072B2 (en) * 2017-08-31 2020-06-09 Blackberry Limited Method and system for user plane traffic characteristics and network security
CN110830991B (zh) 2018-08-10 2023-02-03 华为技术有限公司 安全会话方法和装置

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080176572A1 (en) * 2006-12-28 2008-07-24 Nokia Corporation Method of handoff
WO2010069402A1 (en) * 2008-12-19 2010-06-24 Telefonaktiebolaget L M Ericsson (Publ) Gre user-plane
CN107666666A (zh) * 2016-07-27 2018-02-06 中兴通讯股份有限公司 密钥的衍生方法及装置
CN107820283A (zh) * 2016-09-13 2018-03-20 华为技术有限公司 一种网络切换保护方法、相关设备及系统
WO2018111029A1 (ko) * 2016-12-15 2018-06-21 엘지전자(주) 무선 통신 시스템에서 핸드오버 수행 방법 및 이를 위한 장치
WO2018127190A1 (en) * 2017-01-09 2018-07-12 Huawei Technologies Co., Ltd. System and methods for session management
CN108347416A (zh) * 2017-01-24 2018-07-31 华为技术有限公司 一种安全保护协商方法及网元
CN108347410A (zh) * 2017-01-24 2018-07-31 华为技术有限公司 安全实现方法、设备以及系统
CN108370600A (zh) * 2017-05-09 2018-08-03 华为技术有限公司 一种会话管理方法、终端及系统

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
ERICSSON: "PCR 23.724: Infrequent Small Data user plane transmission for CIoT", 《SA WG2 MEETING #126 S2-183041》 *
SA WG2 SECRETARY: "S2-171626 "Draft Report of SA WG2 meeting #119"", 《3GPP TSG_SA\WG2_ARCH》 *
ZTE: "Update for Solution 5: Small Data Fast Path communication", 《SA WG2 MEETING #128 S2-186602》 *

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113613248A (zh) * 2020-04-20 2021-11-05 华为技术有限公司 认证事件处理方法及装置、系统
CN113613248B (zh) * 2020-04-20 2023-06-16 华为技术有限公司 认证事件处理方法及装置、系统
WO2021244342A1 (zh) * 2020-05-30 2021-12-09 华为技术有限公司 一种确定用户面安全执行信息的方法、装置及系统
WO2022032646A1 (zh) * 2020-08-14 2022-02-17 北京小米移动软件有限公司 信息传输方法、装置及通信设备
WO2022134089A1 (zh) * 2020-12-25 2022-06-30 华为技术有限公司 一种安全上下文生成方法、装置及计算机可读存储介质
CN114448819A (zh) * 2021-12-24 2022-05-06 固安县艾拉信息科技有限公司 基于网络实时数据的密码分析和实现方法
CN114448819B (zh) * 2021-12-24 2024-03-22 固安县艾拉信息科技有限公司 基于网络实时数据的密码分析和实现方法
CN114640988A (zh) * 2022-05-17 2022-06-17 成都信息工程大学 基于隐式指示加密的信息处理方法及装置
CN114640988B (zh) * 2022-05-17 2023-03-14 成都信息工程大学 基于隐式指示加密的信息处理方法及装置

Also Published As

Publication number Publication date
US11722888B2 (en) 2023-08-08
US20210185524A1 (en) 2021-06-17
WO2020052531A1 (zh) 2020-03-19
CN110913389B (zh) 2022-04-05
EP3820182A4 (en) 2021-09-08
EP3820182A1 (en) 2021-05-12

Similar Documents

Publication Publication Date Title
CN110913389B (zh) 获取安全上下文的方法和装置
CN110830991B (zh) 安全会话方法和装置
US11653199B2 (en) Multi-RAT access stratum security
CN111182539B (zh) 通信方法与设备
US20200084631A1 (en) Key Configuration Method, Apparatus, and System
CN108366369B (zh) 一种数据安全传输的方法及接入网、终端、核心网设备
US20230319549A1 (en) Privacy of relay selection in cellular sliced networks
US10959091B2 (en) Network handover protection method, related device, and system
JP2018526869A (ja) 暗号化されたクライアントデバイスコンテキストを用いたネットワークアーキテクチャおよびセキュリティ
CN105874766B (zh) 在用户设备之间提供受控证书的方法和设备
CN111641947B (zh) 密钥配置的方法、装置和终端
CN109246696B (zh) 密钥处理方法以及相关装置
CN108632022B (zh) 一种秘钥更新方法、设备及计算机可读存储介质
CN110913393B (zh) 切换方法和终端设备
US11882445B2 (en) Authentication system
US20220377541A1 (en) Key Management Method and Communication Apparatus
CN112789896B (zh) 切换传输路径的方法及装置
CN111988782B (zh) 安全会话方法和装置
EP4030800A1 (en) Privacy of relay selection in cellular sliced networks
CN114501590A (zh) 无线通信的方法和终端设备
WO2019019121A1 (zh) 小区切换方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant