CN111465060A - 一种确定安全保护方式的方法、装置及系统 - Google Patents

Abstract

一种确定安全保护方式的方法、装置及系统，用于确定所使用的安全保护方式，避免安全流程的执行产生混乱。该方法由终端执行，包括：接收来自基站的指示信息，指示信息用于指示基站或终端所在小区连接的一个或多个核心网的类型；根据指示信息，选择请求接入的核心网；根据请求接入的核心网，确定安全保护方式。

Description

一种确定安全保护方式的方法、装置及系统

技术领域

本申请涉及通信技术领域，尤其涉及一种确定安全保护方式的方法、装置及系统。

背景技术

在第五代(5th Generation，5G)系统中，演进型基站(evolutional NodeB，eNB或eNodeB)既可以与5G核心网连接，又可以与第四代(4th Generation，4G)核心网连接。终端设备在5G系统中使用的安全保护方式和终端设备在4G系统中使用的安全保护方式有相同之处也有不同之处。

不同之处的例如，在4G系统中，移动管理实体(mobility management entity，MME)生成基站根密钥KeNB(key evolutional NodeB)并发送给基站。基站使用KeNB，进一步生成保护基站和终端之间传递的消息的密钥。相应的，终端使用与MME相同的方法生成KeNB，并进一步生成保护终端与基站之间传递的消息的密钥。具体的，KeNB的生成方法为：使用密钥导出函数KDF＝HMAC-SHA-256(Kasme,S)。Kasme(key access securitymanagement entity)为接入安全管理实体密钥，S为输入参数，其构成为S＝FC||P0||L0，其中FC为单字节，以区分不同算法，P0为输入参数编码，L0为相关P参数的长度表示。在5G系统中，接入和移动性管理功能(access and mobility management function，AMF)和终端使用相同的方法生成基站根密钥KgNB(key generation NodeB)，使得基站和终端进一步生成保护基站和终端之间传递的消息的密钥。与4G系统不同的是，KgNB的生成方法为：使用密钥导出函数KDF＝HMAC-SHA-256(Kamf,S)。Kamf(key access and mobility managementfunction)为接入和移动性管理功能密钥，S为输入参数，其构成为S＝FC||P0||L0||P1||L1，其中FC为单字节，以区分不同算法，P0、P1为输入参数编码，L0、L1为相关P参数的长度表示。

不同之处的又例如，在4G系统中，会对非接入层(non-access stratum，NAS)消息进行完整性保护和加密保护。具体的，NAS消息的完整性保护方法为：发送方使用完整性保护算法EIA，根据输入参数(KEY、BEARER、DIRECTION、COUNT、MESSAGE)计算出NAS消息的MAC-I(message authentication code for integrity)，MAC-I和数据一起发送给接收方。接收方使用相同的完整性保护算法EIA计算出X-MAC(expected MAC-I)，与MAC-I进行比较：如果X-MAC与MAC-I相同，认为数据没有被篡改；如果不相同，认为数据被篡改。具体的，NAS消息的加密保护为：发送方使用加密算法EEA，根据输入参数(KEY、BEARER、DIRECTION、COUNT和LENGTH)将明文数据转换成密文数据，保证数据不被泄露。接收方根据上述参数对密文进行解密。其中，BEARER的取值皆为0x00。在5G系统中，也对NAS消息进行完整性保护和加密保护。与4G系统不同的是，BEARER被赋予了具体的值，比如，当BEARER值为0x01时，代表UE从3GPP网络接入；当BEARER为0x02时，代表UE从非3GPP网络接入。

在现有技术中，当终端设备既可以接入3G核心网，又可以接入4G核心网的时候，终端设备可以仅仅通过空口类型就判断出来即将接入的是哪种核心网类型。比如当终端接入的是3G空口技术的时候，终端会直接使用3G核心网相对的安全保护方式。但是，当终端设备既可以接入4G核心网，又可以接入5G核心网，并且LTE(long term evolution)基站连接既可以连接4G核心网，也可以连接5G核心网时，若此终端设备选择接入该LTE基站，此时，从终端的角度看，终端能获知的是LTE基站，但并不清楚LTE基站所连接的是4G核心网还是5G核心网。因此，终端无法知晓应该使用与4G核心网对应的安全保护方式还是与5G核心网对应的安全保护方式。比如，终端无法知晓应该生成KeNB，还是KgNB；对于NAS消息的完整性保护和加密保护，终端无法知晓NAS消息是4G网络的，还是5G网络的。

发明内容

本申请提供一种确定安全保护方式的方法、装置及系统，用于确定使用的安全保护方式，避免安全流程的执行产生混乱。

第一方面，本申请提供一种确定安全保护方式的方法，该方法包括：终端接收来自基站的指示信息，所述指示信息用于指示所述基站或所述终端所在小区连接的一个或多个核心网的类型；根据所述指示信息，选择请求接入的核心网；根据所述请求接入的核心网，确定安全保护方式。

通过上述方法，终端接收来自基站的指示信息，根据该指示信息，选择请求接入的核心网，并根据该请求接入的核心网，确定安全保护方式。该方法使得终端使用与基站和核心网对应的安全保护方式，避免终端使用与基站和核心网不同的安全保护方式，导致安全流程的执行产生混乱。

在一个可能的设计中，一个或多个核心网包括4G核心网和5G核心网。

在上述可能的设计中，在所述请求接入的核心网为4G核心网的情况下，所述安全保护方式包括以下任意一个或多个：4G NAS消息的保护方式，4G空口信令面激活方式，4G空口用户面激活方式，4G鉴权方法。

在上述可能的设计中，在所述请求接入的核心网为5G核心网的情况下，所述安全保护方式包括以下任意一个或多个：5G NAS消息的保护方式，5G空口信令面激活方式，5G空口用户面激活方式，5G鉴权方法。

在一个可能的设计中，所述终端确定与所述请求接入的核心网对应的接入层密钥。

在上述可能的设计中，在所述请求接入的核心网为4G核心网的情况下，所述终端确定与所述请求接入的核心网对应的接入层密钥包括：所述终端根据接入安全管理实体密钥Kasme以及第一输入参数，确定基站根密钥KeNB，其中，所述第一输入参数包括所述终端的上行NAS计数值以及所述上行NAS计数值的长度。

在上述可能的设计中，在所述请求接入的核心网为5G核心网的情况下，所述终端确定与所述请求接入的核心网对应的接入层密钥包括：所述终端根据接入和移动管理功能密钥Kamf以及第二输入参数，确定基站根密钥KgNB，其中，所述第二输入参数包括所述终端的上行NAS计数值、所述上行NAS计数值的长度、接入类型识别符F1以及接入类型识别符的长度L1。

在一个可能的设计中，在所述终端从源核心网切换至所述请求接入的核心网的场景下，所述终端确定与所述源核心网对应的安全保护方式，其中，所述源核心网是所述一个或多个核心网中除所述请求的核心网之外的任一核心网；使用与所述源核心网对应的安全保护方式对第一NAS消息或者第一NAS消息中的一部分内容进行安全保护，得到第一消息；将所述第一消息或者所述第一消息中的一部分发送给所述源核心网中的网元。

在上述可能的设计中，所述终端确定与所述请求接入的核心网对应的安全保护方式；使用与所述请求接入的核心网对应的安全保护方式对第二NAS消息或者第二NAS消息中的一部分内容进行安全保护，得到第二消息；将所述第二消息或者所述第二消息中的一部分发送给所述请求接入的核心网中的网元。

在一个可能的设计中，所述终端向所述基站发送所述请求接入的核心网对应的类型信息。

第二方面，本申请提供一种确定安全保护方式的方法，该方法包括：基站向终端发送指示信息，所述指示信息用于指示所述基站或所述终端所在小区连接的一个或多个核心网的类型；接收来自所述终端的请求接入的核心网对应的类型信息；所述请求接入的核心网为所述一个或者多个核心网中的一个；根据所述请求接入的核心网的类型信息，确定安全保护方式。

通过上述方法，基站根据请求接入的核心网的类型信息，确定安全保护方式。该方法使得基站使用与终端和核心网对应的安全保护方式，避免基站使用与终端和核心网不同的安全保护方式，导致安全流程的执行产生混乱。

在一个可能的设计中，所述一个或多个核心网包括4G核心网和5G核心网。

在上述可能的设计中，在所述请求接入的核心网为4G核心网的情况下，所述安全保护方式包括以下任意一个或者多个：4G空口信令面激活方式，4G空口用户面激活方式。

在上述可能的设计中，在所述请求接入的核心网为5G核心网的情况下，所述安全保护方式包括下面中的一个或者多个：5G空口信令面激活方式，5G空口用户面激活方式。

第三方面，本申请提供一种确定安全保护方式的方法，该方法包括：在终端从源核心网切换到目标核心网的过程中，终端使用源核心网对应的安全保护方式和/或目标核心网网元对应的安全保护方式对第一NAS消息或第一NAS消息的一部分内容进行安全保护；终端接收来自目标核心网网元的第二NAS消息或第二NAS消息的一部分内容；终端使用目标核心网对应的安全保护方式对第二NAS消息或第二NAS消息的一部分内容进行安全保护。

第四方面，本申请提供一种终端，该终端具有实现上述第一方面或第三方面中所述方法的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件和软件包括一个或多个与上述功能相对应的模块。

在一个可能的设计中，终端的结构中包括处理器和收发器，所述处理器被配置为支持终端执行上述第一方面中所述的方法，所述收发器用于支持终端与其他设备之间的通信。该终端还可以包括存储器，所述存储器用于与处理器耦合，其保存该终端必要的程序指令和数据。

第五方面，本申请提供了一种基站，该基站具有实现上述第二方面所述方法的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件和软件包括一个或多个与上述功能相对应的模块。

在一个可能的设计中，基站的结构中包括处理器和收发器，所述处理器被配置为支持基站执行上述第二方面中所述的方法，所述收发器用于支持基站与其他设备之间的通信。该基站还可以包括存储器，所述存储器用于与处理器耦合，其保存该基站必要的程序指令和数据。

第六方面，本申请提供了一种装置(例如，该装置可以是芯片系统)，该装置包括处理器，可以执行上述第一方面至第三方面中所述的任意一种或多种方法。

在一个可能的设计中，该装置还包括存储器，用于保存必要的程序指令和数据。

第七方面，本申请提供了一种计算机程序产品，当其在计算机上运行时，使得计算机可以执行上述第一方面至第三方面中所述的任意一种或多种方法。

第八方面，本申请提供了一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机可以执行上述第一方面至第三方面中所述的任意一种或多种方法。

第九方面，本申请提供了一种通信系统，该系统包括上述第一方面所涉及的终端，第三方面所涉及的终端，第二方面所涉及的基站中的一个或多个。

在一个可能的设计中，该系统还包括与第一方面所涉及的终端，或第三方面所涉及的终端，或第二方面所涉及的基站进行交互的其他设备，例如核心网网元等等。

附图说明

图1为本申请实施例提供的一种网络架构示意图；

图2为本申请实施例提供的一种确定安全保护方式的方法的流程图；

图3为本申请实施例提供的又一种确定安全保护方式的方法的流程图；

图4为本申请实施例提供的又一种确定安全保护方式的方法的流程图；

图5为本申请实施例提供的又一种确定安全保护方式的方法的流程图；

图6为本申请实施例提供的又一种确定安全保护方式的方法的流程图；

图7为本申请实施例提供的又一种确定安全保护方式的方法的流程图；

图8为本申请实施例提供的一种通信设备的结构示意图；

图8a为本申请实施例提供的一种终端的结构示意图；

图8b为本申请实施例提供的一种基站的结构示意图；

图9为本申请实施例提供的又一种通信设备的结构示意图。

具体实施方式

为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施例的技术方案进行描述。在本申请的描述中，除非另有说明，“/”表示前后关联的对象是一种“或”的关系，例如，A/B可以表示A或B；本申请中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况，其中A，B可以是单数或者复数。并且，在本申请的描述中，除非另有说明，“多个”是指两个或多于两个。“一个或多个”或其类似的表达，是指这些项中的任意组合，包括单项(个)或复数项(个)的任意组合，例如a、b和c中的一个或多个，可以表示：a，b，c，a-b，a-c，b-c，或a-b-c，其中，a，b，c可以是单个，也可以是多个。另外，为了便于清楚描述本申请实施例的技术方案，在本申请的实施例中，采用了“第一”、“第二”等字样对功能和作用进行区分。本领域技术人员可以理解“第一”、“第二”等字样并不对数量和执行次序进行限定，并且“第一”、“第二”等字样也并不限定一定不同。

本申请实施例的技术方案可以应用于各种通信系统，例如：全球移动通信(globalsystem for mobile communications，GSM)系统、码分多址(code division multipleaccess，CDMA)系统、宽带码分多址(wideband code division multiple access，WCDMA)系统、通用分组无线业务(general packet radio service，GPRS)、长期演进(long termevolution，LTE)系统、LTE频分双工(frequency division duplex，FDD)系统、LTE时分双工(time division duplex，TDD)、通用移动通信系统(universal mobiletelecommunication system，UMTS)、全球互联微波接入(worldwide interoperabilityfor microwave access，WiMAX)通信系统、未来的第五代(5th generation，5G)系统或新无线(new radio，NR)等。

图1示例性地示出了本申请实施例适用的一种系统架构示意图，如图1所示，在该系统架构中，包括终端设备110。终端设备110，简称终端，可以经无线接入网(Radio AccessNetwork，(R)AN)与一个或多个核心网进行通信。终端设备110可以指用户设备、接入终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、终端、无线通信设备、用户代理或用户装置。终端设备还可以是蜂窝电话、无绳电话、会话启动协议(session initiation protocol，SIP)电话、无线本地环路(wireless local loop，WLL)站、个人数字助理(personal digital assistant，PDA)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、可穿戴设备，未来5G网络中的终端设备或者未来演进的公用陆地移动通信网络(public land mobile network，PLMN)中的终端设备等，本申请实施例对此并不限定。

下面对该网络架构中涉及的各个网元分别进行说明：

1、(无线)接入网络(radio access network，(R)AN)网元：用于为特定区域的授权用户提供入网功能，并能够根据用户的级别，业务的需求等使用不同质量的传输隧道。(R)AN网元能够管理无线资源，为终端设备提供接入服务，进而完成控制信号和用户数据在终端设备和核心网之间的转发，(R)AN网元也可以理解为传统网络中的基站。例如，可以是GSM系统或CDMA中的基站(base transceiver station，BTS),也可以是WCDMA系统中的基站(NodeB，NB)，还可以是LTE系统中的演进型基站(evolutional node B，eNB或eNodeB)，还可以是5G基站(generation Node B，gNB)或者可以为中继站、接入点、车载设备、可穿戴设备以及未来5G网络中的网络侧设备或未来演进的PLMN网络中的网络设备等。

2、用户面网元：用于分组路由和转发以及用户面数据的服务质量(quality ofservice，QoS)处理等。在5G网络中，该用户面网元可以是用户面功能(user planefunction，UPF)网元。在未来通信系统中，用户面网元仍可以是UPF网元，或者，还可以有其它的名称，本申请不做限定。

3、数据网络网元：用于提供传输数据的网络。在5G网络中，该数据网络网元可以是数据网络(data network，DN)网元。在未来通信系统中，数据网络网元仍可以是DN网元，或者，还可以有其它的名称，本申请不做限定。

4、鉴权服务网元：用于实现对用户的鉴权和认证等。在5G网络中，该鉴权服务网元可以是认证服务器功能(authentication server function，AUSF)网元。在未来通信系统中，鉴权服务网元仍可以是AUSF网元，或者，还可以有其它的名称，本申请不做限定。

5、移动管理网元：主要用于终端的接入和移动性管理。在4G网络中，该移动管理网元可以是移动性管理实体(mobility management entity，MME)，在5G网络中，该移动管理网元可以是接入管理功能(access and mobility management function，AMF)网元。在未来通信系统中，移动管理网元仍可以是AMF网元，或者，还可以有其它的名称，本申请不做限定。

6、会话管理网元：主要用于会话管理、终端设备的网络互连协议(internetprotocol，IP)地址分配和管理、选择可管理用户平面功能、策略控制和收费功能接口的终结点以及下行数据通知等。在5G网络中，该会话管理网元可以是会话管理功能(SessionManagement Function，SMF)网元。在未来通信系统中，会话管理网元仍可以是SMF网元，或者，还可以有其它的名称，本申请不做限定。

7、网络开放网元：用于安全地向外部开放由3GPP网络功能网元提供的业务和能力等。在4G网络中，该网络开放网元可以是业务能力开放功能(service capabilityexposure function，SCEF)网元。在5G网络中，该网络开放网元可以是网络开放功能(network exposure function，NEF)网元。在未来通信系统中，网络开放网元仍可以是NEF网元，或者，还可以有其它的名称，本申请不做限定。

8、网络存储网元：用于存储核心网中部署的网络功能的信息，提供网络功能和服务的发现等。在5G网络中，该网络存储网元可以是网络存储功能(network repositoryfunction，NRF)网元，在未来通信系统中，网络存储网元仍可以是NRF网元，还可以有其它的名称，本申请不做限定。

9、策略控制网元：用于指导网络行为的统一策略框架，为控制面功能网元(例如AMF，SMF网元等)提供策略规则信息等。在5G网络中，该策略控制网元可以是策略控制功能(policy control function，PCF)网元。在未来通信系统中，策略控制网元仍可以是PCF网元，或者，还可以有其它的名称，本申请不做限定。

10、数据管理网元：用于处理用户标识，接入鉴权，注册以及移动性管理等。在4G网络中，该数据管理网元可以是归属用户服务器(home subscriber server，HSS)，在5G网络中，该数据管理网元可以是统一数据管理(unified data management，UDM)网元。在未来通信系统中，统一数据管理仍可以是UDM网元，或者，还可以有其它的名称，本申请不做限定。

11、应用网元：用于进行应用影响的数据路由，接入网络开放功能网元，与策略框架交互进行策略控制等。在5G网络中，该应用网元可以是应用功能(ApplicationFunction，AF)网元。在未来通信系统中，应用网元仍可以是AF网元，或者，还可以有其它的名称，本申请不做限定。

可以理解的是，上述网元或者功能既可以是硬件设备中的网络元件,也可以是在专用硬件上运行软件功能，或者是平台(例如,云平台)上实例化的虚拟化功能。

在该网络架构中，Nausf为AUSF网元105展现的基于服务的接口，Namf为AMF网元106展现的基于服务的接口，Nsmf为SMF107网元展现的基于服务的接口，Nnef为NEF网元108展现的基于服务的接口，Nnrf为NRF网元109展现的基于服务的接口，Npcf为PCF网元110展现的基于服务的接口，Nudm为UDM网元111展现的基于服务的接口，Naf为AF网元112展现的基于服务的接口。N1为UE101和AMF网元106之间的参考点，N2为(R)AN网元102和AMF网元106的参考点，用于非接入层(Non-access stratum，NAS)消息的发送等；N3为(R)AN网元102和UPF网元103之间的参考点，用于传输用户面的数据等；N4为SMF网元107和UPF网元103之间的参考点，用于传输例如N3连接的隧道标识信息，数据缓存指示信息，以及下行数据通知消息等信息；N6接口为UPF网元103和DN网元104之间的参考点，用于传输用户面的数据等。

应理解，上述应用于本申请实施例的网络架构仅是举例说明的从服务化架构的角度描述的网络架构，适用本申请实施例的网络架构并不局限于此，任何能够实现上述各个网元的功能的网络架构都适用于本申请实施例。

图2示例性地示出了本申请实施例提供的一种确定安全保护方式的方法，主要涉及终端、基站以及核心网网元之间的交互，该方法包括以下步骤：

S201：基站向终端发送指示信息，以使得终端接收来自基站的指示信息。该指示信息用于指示该基站或者小区连接的一个或多个核心网的类型，或者连接的多个核心网的类型中的至少一个。

其中，小区为终端当前所在的小区，且该小区包括在该基站覆盖的区域内。基站可以是3G基站、4G基站、5G基站或者未来的演进的网络的基站，本申请对此不作限定。连接的一个或多个核心网可以是3G核心网、4G核心网、5G核心网、未来的演进的核心网，本申请对此不作限定。

需要说明的是，基站可以定向向终端发送指示信息，比如通过无线资源控制(radio resource control，RRC)消息。基站也可以通过广播消息和/或多播消息向终端发送指示信息。相应的，终端可以通过基站的单播消息接收指示信息；终端也可以通过基站发送的广播消息和/或多播消息接收指示信息。其中，广播消息可以是系统消息广播(systeminformation broadcast，SIB)消息，多播消息可以是多媒体广播多播业务(multimediabroadcast multicast service，MBMS)发送的多播消息。

下面，本申请实施例以基站连接两个核心网(4G核心网和5G核心网)，且两个核心网的类型不同为例。需要说明的是，基站连接的核心网的类型可以多于两个，本申请对基站连接的核心网的数量及核心网的类型的数量不作限定。

在一个示例中，指示信息可以为以下三种情况中的任意一种：

情况1：包括第一接入相关信息，例如广播消息中的cell access related info，用于指示基站或者小区连接的是4G核心网。

情况2：包括第二接入相关信息，例如广播消息中的cell access related info-5G，用于指示基站或者小区连接的是5G核心网。

情况3：包括第三接入相关信息，用于指示基站或者小区连接的是4G核心网和5G核心网。

其中，第三接入相关信息包括了指示基站或者小区连接的核心网的类型的信息。具体可以为：第三接入相关信息包括第一接入相关信息和第二接入相关信息，也就是说，第一接入相关信息和第二接入相关信息同时被包括在基站向终端发送的消息中；或者第三接入相关信息与第一接入相关信息和第二接入相关信息无直接关系，比如可以通过代表核心网的类型的字符、比特位、字符串等形式指示基站或者小区连接的核心网的类型的信息；或者基站通过列出一个或多个信息，该一个或多个信息可以携带或者分别携带连接的核心网和/或终端应该进行的相关操作，终端可以查看收到的消息中所包括的该一个或多个信息，判断出基站连接的核心网的类型。

可以理解的是，基站可以通过直接的方法告知终端该基站或该小区连接的核心网的类型；也可以通过隐示的方法告知终端该基站或该小区连接的核心网的类型。

需要说明的是，本申请实施例中所涉及的核心网的类型作为示例，并不构成对申请的限定，可以理解的是，无论是现有的或是未来的核心网的类型，只要包括在本申请技术方案的范畴内，都在本申请的保护范围内。

S202：终端根据指示信息，选择请求接入的核心网。

在一个示例中，终端根据指示信息，选择请求接入的核心网，例如：指示信息包括第一接入相关信息，终端根据第一接入相关信息，获知请求接入的是4G核心网；指示信息包括第二接入信息，终端根据第二接入相关信息，获知请求接入的是5G核心网；指示信息包括第三接入信息，终端根据自身的配置，选择想要请求接入的核心网(例如4G核心网或者5G核心网)，或者根据网络的状况，选择能够请求接入的核心网(例如4G核心网或者5G核心网)。

其中，第一接入相关信息指示基站连接的4G核心网，不管基站当前是否接入5G核心网，终端选择请求接入的核心网为4G核心网；第二接入相关信息指示基站连接的5G核心网，不管基站当前是否接入4G核心网，终端选择请求接入的核心网为5G核心网；第三接入相关信息指示基站连接的4G核心网和5G核心网，终端选择核心网的类型的原则可以是：最新的网络优先，因为5G核心网比4G核心网新，所以终端优先选择5G核心网。

需要说明的是，终端接入所请求接入的核心网的能力可以提前配置在终端上，也可以在终端接入该核心网前或接入该核心网过程中或接入该核心网后获得，本申请对此不作限定。

S203：终端根据请求接入的核心网，确定安全保护方式。

在一个示例中，安全保护方式可以与请求接入的核心网相对应，例如请求接入的核心网为4G核心网，则确定的安全保护方式为4G安全中的保护方式；请求接入的核心网为5G核心网，则确定的安全保护方式为5G安全中的保护方式。

其中，4G安全中的保护方式定义主要在3GPP标准TS33.401中。可以理解为，4G标准有很多，4G相关安全标准中的所有内容都适用。5G安全中的保护方式主要定义在3GPP标准33.501中。可以理解的是，5G标准将来也会有很多，5G安全标准规定的所有内容都适用。如果某些标准中的内容既可以用于4G又可以用于5G，或者某些场合既要用到4G安全标准，又要用到5G安全标准，那么终端根据该标准或该场景的判断依据，确定相应的安全保护方式。

当安全保护方式为4G安全中的保护方式，即请求接入的核心网为4G核心网时，安全保护方式可以包括以下任意一个或多个：4G NAS消息的保护方式，4G空口信令面激活方式，4G空口用户面激活方式，4G鉴权方法。其中，4G NAS消息保护，4G空口信令面激活方式，4G空口用户面激活方式，4G鉴权方法主要定义在3GPP标准TS33.401中，具体分别为：

4G NAS消息的保护方式：使用BEARER为0x00，对NAS消息进行完整性保护和/或加密保护；

4G空口信令面激活方式：通过AS SMC流程激活。

4G空口用户面激活方式：通过AS SMC流程激活。

4G鉴权方法：若终端通过3GPP接入技术接入，只支持EPS AKA鉴权方法，并且鉴权过程经过MME和HSS。若终端通过non-3GPP接入技术接入，则支持EAP-AKA或EAP-AKA’鉴权方法，并且此时EAP-AKA或EAP-AKA’鉴权方法经过的网元是AAA和HSS。

4G密钥架构：具体可参考标准TS33.401中第6.2张所列出了密钥架构。并且标准TS33.401附录A中给出了各个密钥的生成方法。

除此之外，终端还确定与4G核心网对应的接入层密钥，具体为：

终端将接入安全管理实体密钥Kasme以及第一输入参数作为密钥导出函数KDF的输入参数，推演得到自身与4G核心网对应的接入层密钥KeNB。其中第一输入参数包括：FC＝0x11，P0＝上行NAS计数值以及L0＝上行NAS计数值的长度。

当安全保护方式为5G安全中的保护方式，即请求接入的核心网为5G核心网时，安全保护方式可以包括以下任意一个或多个：5G NAS消息的保护方式，5G空口信令面激活方式，5G空口用户面激活方式，5G鉴权方法，5G密钥架构。其中，5G NAS消息的保护方式，5G空口信令面激活方式，5G空口用户面激活方式，5G鉴权方法主要定义在3GPP标准33.501中，具体分别为：

5G NAS消息的保护方式：根据3GPP标准33.5011版本15.3.1的规定，使用BEARER为0x01或0x02，对NAS消息进行完整性保护和/或加密保护；

5G空口信令面激活方式：通过AS SMC流程激活。

5G空口用户面激活方式：通过RRC重配置流程激活。

5G鉴权方法：若终端通过3GPP接入技术和non-3GPP接入技术接入，都可以使用5GAKA和EAP-AKA’鉴权方法，需要用到的核心网至少包括AMF、AUSF和UD。

其中，5G AKA鉴权方法是EPS AKA鉴权方法的升级，终端在这两种鉴权方法下的处理行为基本一致。

5G密钥架构：具体可参考标准TS33.501中的6.2节所给出的5G密钥架构。并且标准TS 33.501附录A中给出了各个密钥的生成方法。

除此之外，终端还确定与5G核心网对应的接入层密钥，具体为：

终端将接入与移动管理功能密钥Kamf以及第二输入参数作为密钥导出函数KDF的输入参数，推演得到自身与5G核心网对应的接入层密钥KgNB。其中第二输入参数包括：FC＝0x11，P0＝上行NAS计数值，L0＝上行NAS计数值的长度(即0x00 0x04)，P1＝接入类型识别符以及L1＝接入类型识别符的长度。接入类型识别符用于表征终端是通过什么样的方式接入基站的，例如当P1＝0X01时，表示UE通过3GPP接入基站；当P1＝0X02时，表示UE通过non-3GPP接入基站。

需要说明的是，接入层密钥是指保护终端和基站之间通信的密钥。

在一个示例中，除了请求接入的核心网，终端在确定安全保护方式时，还可以参考其他因素。其他因素可以是对终端决定最终使用什么样的安全保护方法有决定作用的因素，比如终端当前所处的流程、终端当前的状态等。终端当前所处的流程具体可以是不同类型核心网的切换流程。

在一个示例中，终端根据请求接入的核心网，确定安全保护方式，具体可通过以下4种方式中的任意一种或多种。可以理解的是，终端确定安全保护方式可以在不同的安全流程中采用不同的方式，从而确定出该安全流程中的安全保护方式，因此终端确定安全保护方式可以通过以下多种方式，本申请对此不作限定。

方式1：终端确定与请求接入的核心网对应的安全保护方式。

具体的，确定4G安全中的保护方式，或者5G安全中的保护方式。

方式2：终端首先确定安全保护方式在4G和5G中是否存在区别，进一步确定安全保护方式。

具体的，当终端确定安全保护方式在4G和5G中无区别时，终端确定使用该安全保护方式；当终端确定安全保护方式在4G和5G中有区别时，终端进一步确定请求接入的核心网的类型对应的安全保护方式。例如：

针对NAS消息，终端确定NAS消息保护在4G和5G中有区别，终端进一步确定请求接入的核心网的类型对应的安全保护方式为：请求接入的核心网为4G网络时，使用BEARER值为0x00对NAS消息进行保护；请求接入的核心网为5G网络时，根据3GPP标准33.5011版本15.3.1种规定，使用BEARER值为0x01或0x02对NAS消息进行保护。

针对空口信令面激活方式，终端确定空口信令面激活方式在4G和5G中无区别，终端确定使用该安全保护方式为：激活空口的信令面加密安全和完整性保护安全。针对空口用户面激活方式，终端确定空口用户面激活方式在4G和5G中有区别，终端进一步确定请求接入的核心网的类型对应的安全保护方式为：请求接入的核心网为4G网络时，收到AS SMC后，激活用户面加密安全；请求接入的核心网为5G网络时，收到RRC重配置消息后，根据消息中的用户面加密指示信息、用户完整性保护指示信息，确定用户面安全激活方法。

方式3：终端根据请求接入的核心网，首先确定安全类型，进一步根据安全类型，确定对应的安全保护方式。

具体的，若请求接入的核心网为5G核心网，则安全类型为5G安全，终端进一步根据5G安全，确定3GPP标准TS33.501、TS23.501、TS24.501、TS23.02、TS38.413、TS38.331等5G标准中定义的安全相关的流程及其对应的安全保护方式；若请求接入的核心网为4G核心网，则安全类型为4G安全，终端进一步根据4G安全，确定并采用3GPP标准TS33.401、TS33.402、TS23.301、TS24.301、TS36.331、TS36.300等4G标准中定义的安全相关的流程及其对应的安全保护方式。

方式4：终端首先确定安全流程，再根据安全流程，确定安全流程中与请求接入的核心网对应的安全保护方式。

其中，安全流程可以按照NAS安全和空口安全进行划分，也可以按照协议栈进行划分，也可以按照目前连接的是接入网还是核心网进行划分，本申请对安全流程的划分不作限定。例如：

按照NAS安全和空口安全划分安全流程时，当安全流程为NAS安全，且终端请求接入的是4G核心网时，则终端确定的安全保护方式为：使用BEARER值为0x00对NAS消息进行保护；终端请求接入的是5G核心网时，则根据3GPP标准33.5011版本15.3.1的规定，终端确定的安全保护方式为：使用BEARER值为0x01或0x02对NAS消息进行保护。当安全流程为空口安全时，且终端请求接入的是4G核心网时，则终端确定的安全保护方式可为：生成KeNB；终端请求接入的是5G核心网时，则终端确定的安全保护方式可为：生成KgNB。

按照协议栈划分安全流程时，安全流程可以包括NAS层、无线资源控制(radioresource control，RRC)层、分组数据汇聚层协议(packet data convergence protocol，PDCP)层、无线链路控制(radio link control，RLC)层、媒体接入控制(media accesscontrol，MAC)以及物理层的安全。当安全流程为NAS层的安全时，终端根据请求接入的是4G核心网或5G核心网确定NAS层的安全保护方式；当安全流程为RRC层的安全时，终端根据请求接入的是4G核心网或5G核心网确定RRC层的安全保护方式。

S204：终端根据确定的安全保护方式，对第一NAS消息或者第一NAS消息中的部分内容进行安全保护，得到第一消息。

在一个示例中，第一NAS消息具体可以为附着请求(attach request)消息、注册请求(registration request)消息、跟踪区更新请求(tracking area update request，TAUrequest)中的任意一个。其中，终端请求接入的核心网为4G网络时，第一NAS消息可以为附着请求消息或TAU request，终端请求接入的核心网为5G网络时，第一NAS消息可以为注册请求消息。

当终端和终端请求接入的核心网中的移动管理网元保存了共享的安全上下文，且终端请求接入的核心网为4G网络，则终端使用BEARER值为0x00，对第一NAS消息进行完整性保护。终端请求接入的核心网为5G网络，则终端使用BEARER值为0x01或0x02，对第一NAS消息中的部分内容(具体可以为信元TAU request)进行完整性保护和加密保护，对第一NAS消息进行完整性保护。

当终端和终端请求接入的核心网中的移动管理网元没有保存共享的安全上下文，且终端请求接入的核心网为4G网络，则终端使用空保护对第一NAS消息进行完整性保护或加密保护。其中，空保护可以指终端有具体的安全保护执行动作，但是安全保护执行的结果与原第一NAS消息一样。该空保护还可以指不执行任何安全保护动作，即不对消息进行任何改动。终端请求接入的核心网为5G网络，则终端使用向基站发送必要信息(例如路由信息、可以对终端设备进行鉴权的信息)，不发送用户隐私的相关信息(例如终端的切片信息)的方式保护第一NAS消息。

在一个示例中，第一消息为安全保护后的第一NAS消息。具体的，终端请求接入的核心网为4G网络时，第一消息可以为安全保护后的附着请求消息或安全保护后的TAUrequest，终端请求接入的核心网为5G网络时，第一消息可以为安全保护后的注册请求消息。

S205：终端向基站发送第一消息以及类型信息，以使得基站接收来自终端第一消息以及类型信息。

其中，类型信息用于指示终端请求接入的核心网的类型。

S206：基站根据类型信息，确定核心网网元，将第一消息发送给该核心网网元，以使得核心网网元接收来自基站的第一消息。

其中，终端请求接入的核心网为4G核心网时，核心网网元为MME，为5G核心网时，核心网网元为AMF。

S207：核心网网元对第一消息执行相应的安全流程，并向终端发送第二NAS消息，以使得终端接收来自核心网网元的第二NAS消息。

核心网网元对第一消息执行相应的安全流程是固定的。例如，若终端请求接入的核心网为5G核心网，且第一消息是经过安全保护的初始NAS消息，则AMF触发鉴权流程。

其中，第二NAS消息与第一消息可以有关联，也可以没关联。比如，当第一消息是经过安全保护的注册请求消息，第二NAS消息是NAS安全模式命令(NAS security modecommand，NAS SMC)消息，则二者无关联。当第一消息是经过安全保护的注册请求消息，第二NAS消息为注册完成消息，则第二NAS消息与第一消息有关联。

在一个示例中，第二NAS消息可以为NAS SMC、鉴权请求(authenticationrequest)消息、鉴权结果消息(N1message)中的任意一个。其中，第二NAS消息为核心网网元会经过安全保护后得到的。例如，MME使用BEARER值为0x00进行完整性保护后，得到NAS SMC消息，AMF使用BEARER值为0x01进行完整性保护后，得到NAS SMC消息。

S208：终端对第二NAS消息或者第二NAS消息中的一部分内容进行验证。

在一个示例中，当第二NAS消息为NAS SMC，则终端验证该NAS SMC是否被篡改；当第二NAS消息为鉴权请求消息，则终端验证发送该鉴权请求消息的网络是否真实；当第二NAS消息为鉴权结果消息，则终端验证该鉴权结果消息的安全保护是否正确的。

需要说明的是，在未来演进的网络中，终端可以对第二NAS消息或第二NAS消息中的一部分内容进行验证，该情况也包括在本申请的保护范围中。

在一个示例中，终端查看S203中确定的安全保护方式或安全类型后，对第二NAS消息进行相应的验证。例如，S203中终端确定的安全保护方式为4G安全中的保护方式，则终端查看S203中确定的安全保护方式后，确定第二NAS消息为4G网络的第二NAS消息，进而按照4G网络中NAS消息的验证方式对第二NAS消息进行验证；同样的，S203中终端确定的安全保护方式为5G安全中的保护方式，则终端查看之后，按照5G网络中NAS消息的验证方式对第二NAS消息进行验证。

可以理解的是，终端也可以无需查看S203中确定的安全保护方式或安全类型，直接根据S203中确定的安全保护方式或安全类型，执行安全保护的分支路径。在本步骤中，安全保护的分支路径即为对第二NAS消息进行验证。例如，S203中终端确定的安全保护方式为4G安全中的保护方式，则终端可以直接按照4G网络的安全保护方式对第二NAS消息进行验证；同样的，S203中终端确定的安全保护方式为5G安全中的保护方式，则终直接按照5G网络中NAS消息的验证方式对第二NAS消息进行验证。

S209：终端向核心网网元回复第二消息，以使得核心网网元接收来自终端的第二消息。

其中，第二消息为终端对第二NAS消息或者第二NAS消息中的一部分内容进行验证后得到的。具体的，第二消息可以用于响应第二NAS消息，例如第二NAS消息为NAS SMC，第三NAS消息可以是NAS安全模式完成消息(NAS security mode complete，NAS SMP)；第二NAS消息为鉴权请求消息，第三NAS消息可以是鉴权响应消息。

需要说明的是，上述的S207-S209为可选步骤，本申请实施例的方案可以执行S207-S209，也可以根据实际情况，不执行S207-S209。

S210：核心网网元生成基站根密钥，并将基站根密钥发送给基站，以使得基站接收来自核心网网元的基站根密钥。

其中，基站根密钥用于生成基站和终端之间保护空口的信令面安全保护密钥和用户面安全保护密钥。当终端请求接入的核心网为4G核心网时，核心网网元生成的基站根密钥为KeNB；当终端请求接入的核心网为5G核心网时，核心网网元生成的基站根密钥为KgNB。

S211：基站确定安全保护方式后，发起空口安全的激活流程。

需要说明的是，基站需要确认执行什么样的安全流程，即基站需要确定与终端所确定的安全保护方式相应的安全保护方式。具体的，基站通过以下方式确定安全保护方式：根据来自终端的类型信息，确定安全保护方式，该安全保护方式对应于类型信息指示的核心网的类型；根据消息来源，确定安全保护方式，例如基站接收的消息来源于核心网网元，基站根据该核心网网元所在的核心网的类型，确定对应于该核心网的安全保护方式。若基站确定的安全保护方式为4G安全的保护方式，则基站执行AS SMC流程，激活空口信令面安全保护和用户面安全保护；若基站确定的安全保护方式为5G安全的保护方式，则基站执行AS SMC流程，仅激活空口信令面安全保护。

其中，AS SMC流程具体可为：基站向终端发送AS SMC消息，以使得终端接收来自基站的AS SMC消息。

可以理解的是，基站确定安全保护方式前，可确定安全类型，具体可为4G安全或5G安全，基站确定安全类型可以在S205中执行，也可以在本步骤中执行。如果在S205中执行，则本步骤可以执行，也可以不执行。

其中，若基站在S205中确定安全类型，则基站查看S205中确定的安全类型后，执行AS SMC流程。例如S205中基站确定的安全类型4G安全，则基站查看S205中确定的4G安全之后，激活空口信令面安全保护和用户面安全保护执行AS SMC流程。

其中，若基站在S205中确定安全类型，则基站可以无需查看S205中确定的安全类型后，直接根据S205中确定的安全类型，执行安全保护的分支路径，在本步骤中，安全保护的分支路径即为执行AS SMC流程。例如S204中基站确定的安全类型为4G安全，则基站可以直接激活空口信令面安全保护和用户面安全保护执行AS SMC流程。

S212：终端生成基站根密钥，验证完整性保护正确之后，向基站回复AS SMP消息，以使得基站接收来自终端的AS SMP消息。

在一个示例中，终端查看S203或S208中确定的安全保护方式或安全类型后，对ASSMC消息进行完整性保护的验证。例如，S203中终端确定的安全保护方式为4G安全的保护方式，则终端查看S203中确定的安全保护方式后，确定AS SMC消息为4G网络的AS SMC消息，按照4G网络中AS消息的验证方式对AS SMC消息进行验证。

可以理解的是，终端也可以无需查看S203或S208中确定的安全保护方式或安全类型。直接根据S203中确定的安全保护方式或安全类型，执行安全保护的分支路径，在本步骤中，安全保护的分支路径即为对AS SMC消息进行验证。例如，S203中终端确定的安全保护方式为4G安全的保护方式，则终端可以直接按照G网络中AS消息的验证方式对AS SMC消息进行验证。

通过本申请实施例提供的确定安全保护方式的方法，终端接收来自基站的指示信息，根据该指示信息，选择请求接入的核心网，并根据该请求接入的核心网，确定安全保护方式。该方法使得终端使用与基站和核心网对应的安全保护方式，避免终端使用与基站和核心网不同的安全保护方式，导致安全流程的执行产生混乱。此外，该方法还使得基站使用与终端和核心网对应的安全保护方式，避免基站使用与终端和核心网不同的安全保护方式，导致安全流程的执行产生混乱。

下面结合具体实施例图3-图4，对上述图2所提供的确定安全保护方式的方法进行详细说明。可以理解的是，后续实施例中所描述的MME网元、AMF网元、eNB、gNB只是举例说明，并不构成对本申请实施例的限定，且MME网元简称为MME，AMF网元简称为AMF。

图3为本申请实施例所提供的一种确定安全保护方式的方法，且终端选择请求接入的4G核心网，该方法包括以下步骤：

S301：eNB向终端发送指示信息，以使得终端接收来自eNB的指示信息。该指示信息用于指示eNB或者小区连接4G核心网。

其中，该小区为终端当前所在的小区，且该小区包括在eNB覆盖的区域内。

需要说明的是，eNB可以定向向终端发送指示信息，比如通过RRC消息。eNB也可以通过广播消息和/或多波消息向终端发送指示信息，具体可参考S201的描述，不作赘述。

在一个示例中，指示信息可以为以下两种情况中的任意一种：

情况1：包括第一接入相关信息，例如广播消息中的cell access related info，用于指示eNB或者小区连接4G核心网。

情况2：包括第三接入相关信息，用于指示eNB或者小区连接4G核心网和5G核心网。

其中，第三接入相关信息包括了指示eNB或者小区连接4G核心网和5G核心网的信息。具体可参考S201中的描述，不作赘述。

可以理解的是，eNB可以通过直接的方法告知终端该eNB或该小区连接4G核心网；也可以通过隐示的方法告知终端该eNB或该小区连接4G核心网。

S302：终端根据指示信息，选择请求接入的核心网。

具体的，终端根据指示信息，选择请求接入4G核心网。例如：指示信息包括第一接入相关信息，终端根据第一接入相关信息，获知请求接入的是4G核心网；指示信息包括第三接入信息，终端根据自身的配置，选择想要请求接入的是4G核心网，或者根据网络的状况(例如5G网络信号弱、4G网络信号强)，选择能够请求接入的是4G网络。

其中，第一接入相关信息和第三接入信息具体可参考S202中的描述，不作赘述。

需要说明的是，终端接入4G核心网的能力可以提前配置在终端上，也可以在终端接入4G核心网前或接入4G核心网过程中或接入4G核心网后获得，本申请对此不作限定。

S303：终端根据请求接入的4G核心网，确定安全保护方式。

在一个示例中，安全保护方式可以与4G核心网相对应。

其中，4G安全中的保护方式定义主要在3GPP标准TS33.401中。可以理解为，4G标准有很多，4G相关安全标准中的所有内容都适用。具体可参考S203中的描述，不作赘述。

安全保护方式为4G安全中的保护方式，可以包括以下任意一个或多个：4G NAS消息的保护方式，4G空口信令面激活方式，4G空口用户面激活方式，4G鉴权方法。其中，4G NAS消息的保护方式，4G空口信令面激活方式，4G空口用户面激活方式，4G鉴权方法主要定义在3GPP标准TS33.401中。具体可参考S203中的描述，不作赘述。

在一个示例中，除了请求接入的是4G核心网，终端在确定安全保护方式时，还可以参考其他因素。具体可参考S203中的描述，不作赘述。

在一个示例中，终端根据请求接入的是4G核心网，确定安全保护方式，具体可通过4种方式中的任意一种或多种。具体可参考S203中的描述，不作赘述。

S304：终端根据确定的安全保护方式，对第一NAS消息进行安全保护，得到第一消息。

在一个示例中，第一NAS消息具体可以为附着请求消息或TAU request。

当终端和MME保存了共享的安全上下文，则终端使用BEARER值为0x00，对第一NAS消息进行完整性保护。当终端和终端请求接入的核心网中的移动管理网元没有保存共享的安全上下文，则终端使用空保护对第一NAS消息进行完整性保护或加密保护。具体可参考S204中的描述，不作赘述。

在一个示例中，第一消息可以为安全保护后的附着请求消息或安全保护后的TAUrequest。

S305：终端向基站发送第一消息以及类型信息，以使得基站接收来自终端第一消息以及类型信息。

其中，类型信息用于指示终端请求接入的的是4G核心网。

S306：eNB根据类型信息，确定MME，将第一消息发送给MME，以使得MME接收来自eNB的第一消息。

S307：MME对第一消息执行相应的安全流程，并向终端发送第二NAS消息，以使得终端接收来自MME的第二NAS消息。

MME对第一消息执行相应的安全流程是固定的。

其中，第二NAS消息与第一消息可以有关联，也可以没关联。比如，当第一消息是附着请求消息，第二NAS消息是NAS SMC消息，则二者无关联。当第一消息是附着请求消息，第二NAS消息为附着完成消息，则第二NAS消息与第一消息有关联。

在一个示例中，第二NAS消息可以为NAS SMC消息或鉴权请求消息。其中，第二NAS消息为MME会经过安全保护后得到的。例如，MME使用BEARER值为0x00进行完整性保护后，得到NAS SMC消息

S308：终端对第二NAS消息进行验证。

在一个示例中，当第二NAS消息为NAS SMC，则终端验证该NAS SMC是否被篡改；当第二NAS消息为鉴权请求消息，则终端验证发送该鉴权请求消息的网络是否真实。

在一个示例中，终端查看S303中确定的安全保护方式或安全类型后，对第二NAS消息进行相应的验证。例如，S303中终端确定的安全保护方式为4G安全中的保护方式，则终端查看S303中确定的安全保护方式后，确定第二NAS消息为4G网络的第二NAS消息，进而按照4G网络中NAS消息的验证方式对第二NAS消息进行验证。又例如，S303中终端确定安全流程为NAS安全，进而确定安全保护方式为使用BEARER值为0x00对NAS消息进行完整性保护，则终端查看S303中确定的安全保护方式后，使用BEARER值为0x00对第二NAS消息进行完整性保护。

可以理解的是，终端也可以无需查看S303中确定的安全保护方式或安全类型。具体可参考S208中的描述，不作赘述。

S309：终端向MME回复第二消息，以使得MME接收来自终端的第二消息。

关于第二消息，具体可参考S209中的描述，不作赘述。

需要说明的是，上述的S307-S309为可选步骤，本申请实施例的方案可以执行S307-S309，也可以根据实际情况，不执行S307-S309。

S310：MME生成KeNB，并将KeNB发送给eNB，以使得eNB接收来自MME的KeNB。

其中，KeNB用于生成eNB和终端之间保护空口的信令面安全保护密钥和用户面安全保护密钥。

S311：eNB确定安全保护方式后，发起空口安全的激活流程。

具体的，eNB确定激活空口信令面安全保护和用户面安全保护执行AS SMC流程，其中，AS SMC流程具体可为：向终端发送AS SMC消息，以使得终端接收来自eNB的AS SMC消息。

可以理解的是，eNB确定安全保护方式前，可确定安全类型，具体可为4G安全，eNB确定4G安全可以在S305中执行，也可以在本步骤中执行。如果在S305中执行，则本步骤可以执行，也可以不执行。

其中，若eNB在S305中确定安全类型为4G安全，则eNB查看S305中确定的安全类型后，激活空口信令面安全保护和用户面安全保护执行AS SMC流程。

其中，若eNB在S305中确定安全类型为4G安全，则eNB可以无需查看S305中确定的安全类型后，直接激活空口信令面安全保护和用户面安全保护执行AS SMC流程。

S312：终端生成KeNB，验证完整性保护正确之后，向eNB回复AS SMP消息，以使得eNB接收来自终端的AS SMP消息。

在一个示例中，终端查看S303或S308中确定的安全保护方式或安全类型后，对ASSMC消息进行完整性保护的验证。例如，S303中终端确定的安全保护方式为4G安全的保护方式，则终端查看S303中确定的安全保护方式后，确定AS SMC消息为4G网络的AS SMC消息，按照4G网络中AS消息的验证方式对AS SMC进行验证。又例如，S303中终端确定安全流程为空口安全，进而确定安全保护方式为使用KeNB对AS消息进行完整性保护，则终端查看S303中确定的安全保护方式后，按照4G网络中AS消息的验证方式对AS SMC进行验证。

可以理解的是，终端也可以无需查看S303或S308中确定的安全保护方式或安全类型。具体可参考S212中的描述，不作赘述。

通过本申请实施例提供的确定安全保护方式的方法，终端接收来自eNB的指示信息，根据该指示信息，选择请求接入的4G核心网，并根据该请求接入的4G核心网，确定安全保护方式。该方法使得终端使用与eNB和4G核心网对应的安全保护方式，避免终端使用与eNB和4G核心网不同的安全保护方式，导致安全流程的执行产生混乱。此外，该方法还使得eNB使用与终端和4G核心网对应的安全保护方式，避免eNB使用与终端和4G核心网不同的安全保护方式，导致安全流程的执行产生混乱。

图4为本申请实施例所提供的一种确定安全保护方式的方法，且终端选择请求接入的5G核心网，该方法包括以下步骤：

S401：eNB向终端发送指示信息，以使得终端接收来自eNB的指示信息。该指示信息用于指示eNB或者小区可以连接5G网络。

其中，该小区为终端当前所在的小区，且该小区包括在eNB覆盖的区域内。

需要说明的是，eNB可以定向向终端发送指示信息，比如通过RRC消息。eNB也可以通过广播消息和/或多波消息向终端发送指示信息，具体可参考S201的描述，不作赘述。

在一个示例中，指示信息可以为以下两种情况中的任意一种：

情况1：包括第二接入相关信息，例如广播消息中的cell access related info-5G，用于指示eNB或者小区连接5G核心网。

情况2：包括第三接入相关信息，用于指示eNB或者小区连接4G核心网和5G核心网。

其中，第三接入相关信息包括了指示eNB或者小区连接4G核心网和5G核心网的信息。具体可参考S201中的描述，不作赘述。

可以理解的是，eNB可以通过直接的方法告知终端该eNB或该小区连接5G核心网；也可以通过隐示的方法告知终端该eNB或该小区连接5G核心网。

S402：终端根据指示信息，选择请求接入的核心网。

具体的，终端根据指示信息，选择请求接入5G核心网。例如：指示信息包括第二接入相关信息，终端根据第二接入相关信息，获知请求接入的是5G核心网；指示信息包括第三接入信息，终端根据自身的配置，选择想要请求接入的是5G核心网，或者根据网络的状况(例如4G网络信号弱、5G网络信号强)，选择能够请求接入的是5G网络。

其中，第二接入相关信息和第三接入信息具体可参考S202中的描述，不作赘述。

需要说明的是，终端接入5G核心网的能力可以提前配置在终端上，也可以在终端接入5G核心网前或接入5G核心网过程中或接入5G核心网后获得，本申请对此不作限定。

S403：终端根据请求接入的5G核心网，确定安全保护方式。

在一个示例中，安全保护方式可以与5G核心网相对应。5G安全中的保护方式主要定义在3GPP标准33.501中。可以理解的是，5G标准将来也会有很多，5G安全标准规定的所有内容都适用。具体可参考S203中的描述，不作赘述

安全保护方式为5G安全中的保护方式，可以包括以下任意一个或多个：5G NAS消息的保护方式，5G空口信令面激活方式，5G空口用户面激活方式，5G鉴权方法。其中，5G NAS消息的保护方式，5G空口信令面激活方式，5G空口用户面激活方式以及5G鉴权方法主要定义在3GPP标准33.501中。具体可参考S203中的描述，不作赘述。

在一个示例中，除了请求接入的是5G核心网，终端在确定安全保护方式时，还可以参考其他因素。具体可参考S203中的描述，不作赘述。

在一个示例中，终端根据请求接入的是5G核心网，确定安全保护方式，具体可通过4种方式中的任意一种或多种。具体可参考S203中的描述，不作赘述。

S404：终端根据确定的安全保护方式，对第一NAS消息或者第一NAS消息中的部分内容进行安全保护，得到第一消息。

在一个示例中，第一NAS消息具体可以为注册请求消息。

当终端和终端请求接入的核心网中的移动管理网元保存了共享的安全上下文，终端使用BEARER值为0x01或0x02，对第一NAS消息中的部分内容(具体可以为信元TAUrequest)进行完整性保护和加密保护，对第一NAS消息进行完整性保护。当终端和终端请求接入的核心网中的移动管理网元没有保存共享的安全上下文，终端使用向基站发送必要信息(例如路由信息、可以对终端设备进行鉴权的信息)，不发送用户隐私的相关信息(例如终端的切片信息)的方式保护第一NAS消息。

在一个示例中，第一消息为安全保护后的注册请求消息。

S405：终端向基站发送第一消息以及类型信息，以使得基站接收来自终端第一消息以及类型信息。

其中，类型信息用于指示终端请求接入的的是5G核心网。

S406：eNB根据类型信息，确定AMF，将第一消息发送给AMF，以使得AMF接收来自eNB的第一消息。

S407：AMF对第一消息执行相应的安全流程，并向终端发送第二NAS消息，以使得终端接收来自AMF的第二NAS消息。

AMF对第一消息执行相应的安全流程是固定的。例如，若第一消息是经过安全保护的初始NAS消息，则AMF触发鉴权流程。

其中，第二NAS消息与第一消息可以有关联，也可以没关联。比如，当第一消息是经过安全保护的注册请求消息，第二NAS消息是NAS安全模式命令(NAS security modecommand，NAS SMC)消息，则二者无关联。当第一消息是经过安全保护的注册请求消息，第二NAS消息为注册完成消息，则第二NAS消息与第一消息有关联。

在一个示例中，第二NAS消息可以为NAS SMC、鉴权请求(authenticationrequest)消息、鉴权结果消息(N1message)中的任意一个。其中，第二NAS消息为核心网网元会经过安全保护后得到的。例如，AMF使用BEARER值为0x01进行完整性保护后，得到NAS SMC消息。

S408：终端对第二NAS消息或者第二NAS消息中的一部分内容进行验证。

在一个示例中，当第二NAS消息为NAS SMC，则终端验证该NAS SMC是否被篡改；当第二NAS消息为鉴权请求消息，则终端验证发送该鉴权请求消息的网络是否真实；当第二NAS消息为鉴权结果消息，则终端验证该鉴权结果消息的安全保护是否正确的。

在一个示例中，终端查看S403中确定的安全保护方式或安全类型后，对第二NAS消息进行相应的验证。例如，S403中终端确定的安全保护方式为5G安全中的保护方式，则终端查看S503中确定的安全保护方式后，确定第二NAS消息为5G网络的第二NAS消息，进而按照5G网络中NAS消息的验证方式对第二NAS消息进行验证。又例如，S403中终端确定安全流程为NAS安全，进而确定安全保护方式为使用BEARER值为0x01或0x02对NAS消息进行完整性保护，则终端查看S403中确定的安全保护方式后，使用BEARER值为0x01或0x02对第二NAS消息进行完整性保护。

可以理解的是，终端也可以无需查看S403中确定的安全保护方式或安全类型。具体可参考S208中的描述，不作赘述。

S409：终端向AMF回复第二消息，以使得AMF接收来自终端的第二消息。

关于第二消息，具体可参考S209中的描述，不作赘述。

需要说明的是，上述的S407-S409为可选步骤，本申请实施例的方案可以执行S407-S409，也可以根据实际情况，不执行S407-S409。

S410：AMF生成KgNB，并将KgNB发送给eNB，以使得eNB接收来自AMF的KgNB。

其中，KgNB用于生成eNB和终端之间保护空口的信令面安全保护密钥和用户面安全保护密钥。

S411：eNB确定安全保护方式后，发起空口安全的激活流程。

具体的，eNB确定激活空口信令面安全保护。其中，AS SMC流程具体可为：基站向终端发送AS SMC消息，以使得终端接收来自基站的AS SMC消息。

可以理解的是，eNB确定安全保护方式前，可确定安全类型，具体可为5G安全，eNB确定5G安全可以在S405中执行，也可以在本步骤中执行。如果在S405中执行，则本步骤可以执行，也可以不执行。

其中，若eNB在S405中确定安全类型为5G安全，则eNB查看S405中确定的安全类型后，激活空口信令面安全保护执行AS SMC流程。

其中，若eNB在S405中确定安全类型为5G安全，则eNB可以无需查看S405中确定的安全类型后，直接激活空口信令面安全保护执行AS SMC流程。

S412：终端生成KgNB，验证完整性保护正确之后，向eNB回复AS SMP消息，以使得eNB接收来自终端的AS SMP消息。

在一个示例中，终端查看S403或S408中确定的安全保护方式或安全类型后，对ASSMC消息进行完整性保护的验证。例如，S403中终端确定的安全保护方式为5G安全的保护方式，则终端查看S403中确定的安全保护方式后，确定AS SMC消息为5G网络的AS SMC消息，按照5G网络中AS消息的验证方式对AS SMC进行验证。又例如，S403中终端确定安全流程为空口安全，进而确定安全保护方式为使用KgNB对AS消息进行完整性保护，则终端查看S403中确定的安全保护方式后，按照5G网络中AS消息的验证方式对AS SMC进行验证。

可以理解的是，终端也可以无需查看S403或S408中确定的安全保护方式或安全类型。具体可参考S212中的描述，不作赘述。

通过本申请实施例提供的确定安全保护方式的方法，终端接收来自eNB的指示信息，根据该指示信息，选择请求接入的5G核心网，并根据该请求接入的5G核心网，确定安全保护方式。该方法使得终端使用与eNB和5G核心网对应的安全保护方式，避免终端使用与eNB和5G核心网不同的安全保护方式，导致安全流程的执行产生混乱。此外，该方法还使得eNB使用与终端和5G核心网对应的安全保护方式，避免eNB使用与终端和5G核心网不同的安全保护方式，导致安全流程的执行产生混乱。

基于图2的实施例，图5为本申请实施例所提供的一种确定安全保护方式方法，在本申请实施例中，除了请求接入的核心网，终端还需要结合其他因素确定安全保护方式，下述以其他因素为终端从源核心网切换到请求接入的核心网(为方便说明，下述称之为目标核心网)为例，该方法包括以下步骤：

S501：基站向终端发送指示信息，以使得终端接收来自基站的指示信息。该指示信息用于指示该基站或者小区连接的一个或多个核心网的类型，或者连接的多个核心网的类型中的至少一个。

其中，小区为终端当前所在的小区，且该小区包括在该基站覆盖的区域内，一个或多个核心网包括源核心网和下述终端请求接入的核心网，即源核心网是所述一个或多个核心网中除所述请求的核心网之外的任一核心网。其他内容具体可参考S201中的描述，不作赘述。

S502：终端根据指示信息，选择请求接入的核心网。

具体可参考S202中的描述，不作赘述。

需要说明的是，终端在本步骤中选择请求接入的是目标核心网，但因为终端当前处于空闲态，并且在源核心网切换到目标核心网的过程中，因此后续终端需要根据源核心网和/或目标核心网确定安全保护方式。具体的，可参见下述步骤中的描述。

S503：终端根据请求接入的核心网，确定安全保护方式。

在一个示例中，终端根据请求接入的核心网，确定的安全保护方式对应于目标核心网。进一步的，终端根据请求接入的核心网，确定在源核心网切换到目标核心网的过程中，进而确定安全保护方式对应于源核心网，或者，终端根据接收的消息中包含需要给源核心网解析的信息，确定该信息相关的安全保护方式与源核心网对应。其中所确定的安全保护方式为4G安全中的保护方式或5G安全中的保护方式。

其中，4G安全中的保护方式和5G安全中的保护方式具体可参考S203中的描述，不作赘述。

其中，根据请求接入的核心网，确定安全保护方式对应于源核心网或者目标核心网，具体可通过以下4种方式中的一种或多种：

方式1：终端确定与目标核心网对应的安全保护方式，或者与源核心网对应的安全保护方式。类似描述可参考S203，不作赘述。

方式2：终端首先确定安全保护方式在源核心网和目标核心网中是否存在区别，进一步确定安全保护方式。类似描述可参考S203，不作赘述。

方式3：终端首先确定安全类型，进一步根据安全类型，确定对应的安全保护方式。其中安全类型可以对应于源核心网或目标核心网。类似描述可参考S203，不作赘述。

方式4：终端首先确定安全流程，再根据安全流程，确定安全流程中与源核心网或目标核心网对应的安全保护方式。类似描述可参考S203，不作赘述。

S504：终端根据确定的安全保护方式生成映射的安全上下文。

在一个示例中，终端根据确定的安全保护方式生成映射的安全上下文可分为以下两种情况：

情况1：终端请求接入4G核心网，确定安全保护方式为4G安全的保护方式，则终端根据4G安全的保护方式生成映射的4G安全上下文。具体的，终端生成映射的EPS的全球唯一临时标识(global unique temporary identity，GUTI)以及E-UTRAN的密钥组标识(keyset identifier for E-UTRAN，eKSI)。

情况2：终端请求接入5G核心网，确定安全保护方式为5G安全的保护方式，则终端根据5G安全的保护方式生成映射的5G安全上下文和4G安全上下文。具体的，终端生成映射的5G的GUTI、5G的GUTI以及5G的密钥组标识(key set identifier in 5G，ngKSI)。

S505：终端使用与源核心网对应的安全保护方式对第一NAS消息或者第一NAS消息中的一部分内容进行安全保护，得到第一消息。

在一个示例中，终端使用与源核心网对应的安全保护方式对第一NAS消息或者第一NAS消息中的一部分内容进行安全保护可分为以下两种情况：

情况1：在终端从源核心网(例如5G核心网)切换到目标核心网(例如4G核心网)的过程中，第一NAS消息为附着请求消息或者TAU request，终端使用5G安全对应的保护方式对第一NAS消息进行完整性保护，具体为：使用BEARER值为0x01，计算出NAS消息的MAC(可以标记为5G-NAS-MAC)对第一NAS消息进行完整性保护。

情况2：在终端从源核心网(例如4G核心网)切换到目标核心网(例如5G核心网)的过程中，第一NAS消息为注册请求消息，第一NAS消息的部分为信元TAU request，终端使用4G安全对应的保护方式，对信元TAU request进行保护，具体为：使用BEARER值为0x00，计算出信元TAU request的MAC(可以标记为4G-NAS-MAC)对TAU request进行保护。终端还使用5G安全对应的保护方式，对注册请求消息进行保护，具体为：计算出5G-NAS-MAC对注册请求消息进行完整性保护和加密保护。

在一个示例中，第一消息具体可以为经过安全保护的附着请求消息、经过安全保护的注册请求消息、经过安全保护的TAU request中的任意一个。其中，若终端从源核心网(例如4G核心网)切换到目标核心网(例如5G核心网)，第一消息为经过安全保护的的注册请求消息；若终端从源核心网(例如5G核心网)切换到目标核心网(例如4G核心网)，第一消息可以为经过安全保护的附着请求消息或经过安全保护的TAU request。

S506：终端通过目标核心网对应的基站，向目标核心网网元发送第一消息或第一消息的一部分内容，以使得目标核心网网元接收来自终端的第一消息或第一消息的一部分内容。

其中，若目标核心网为4G核心网，则目标核心网对应的基站为eNB，若目标核心网为5G核心网，则目标核心网对应的基站为gNB。

同样的，目标核心网网元与核心网的类型相对应，为接收第一消息的核心网网元。若目标核心网为4G核心网，则目标核心网网元为MME，若目标核心网为5G核心网，则目标核心网网元为为AMF。

其中，第一消息具体可为以下两种情况中的任意一种：

情况1：若目标核心网为4G核心网，终端向目标核心网网元发送第一消息，则第一消息具体可为经过安全保护的附着请求消息或经过安全保护的TAU request，包括映射的EPS的GUTI、eKSI以及5G-NAS-MAC。

情况2：若目标核心网为5G核心网，终端向目标核心网网元发送第一消息或第一消息的一部分内容，则第一消息具体可为经过安全保护的的注册请求消息，第一消息的一部分内容具体可为经过安全保护的信元TAU request，第一消息可包括映射的5G的GUTI、5G的GUTI、5G-NAS-MAC以及经过安全保护的信元TAU request，经过安全保护的信元TAUrequest包括4G-NAS-MAC。

S507：目标核心网网元根据第一消息或第一消息的一部分内容，获知源核心网网元，并向源核心网网元发送上下文请求(context request)消息，以使得源核心网网元接收来自目标核心网网元的上下文请求消息。

其中，上下文请求消息包括第一消息或者第一消息中的一部分。具体的，目标核心网为4G核心网时，目标核心网网元向源核心网网元发送第一消息；目标核心网为5G核心网时，目标核心网网元向源核心网网元发送第一消息或第一消息的一部分内容，第一消息的一部分内容可为经过安全保护的信元TAU request。

源核心网网元接收到第一消息或第一消息的一部分内容后，对该第一消息或第一消息的一部分内容进行验证。

在一个示例中，目标核心网网元根据第一消息中的映射的GUTI，获知源核心网网元。

其中，若目标核心网为4G网络，映射的GUTI可以是映射的EPS的GUTI；若目标核心网为5G网络，映射的GUTI可以是映射的5G的GUTI。相对的，若源核心网为5G核心网，则源核心网网元为AMF；若源核心网为4G核心网，则源核心网网元为MME。

在一个示例中，上下文请求消息包括映射的GUTI。

S508：源核心网网元根据上下文请求消息，向目标核心网网元回复上下文响应消息(context response)，以使得目标核心网网元接收来自源核心网网元的上下文响应消息。

其中，上下文响应消息包括终端的安全上下文。

S509：目标核心网网元向终端发送第二NAS消息或第二NAS消息中的一部分内容，以使得终端接收来自目标核心网网元的第二NAS消息或第二NAS消息中的一部分内容。

其中，第二NAS消息或第二NAS消息中的一部分内容包括目标核心网网元所选择的算法。若目标核心网为4G核心网，则MME所选择的算法为EPS的算法；若目标核心网为5G核心网，则AMF所选择的算法为5G的算法。

在一个示例中，第二NAS消息可以为NAS SMC、鉴权请求消息、鉴权结果消息中的任意一个。

S510：终端根据第二NAS消息或第二NAS消息中的一部分内容，进行相应的验证。

具体的，终端根据第二NAS消息或第二NAS消息中一部分内容所包含的算法，确定目标核心网，进而确定使用目标核心网对应的安全保护方式对第二NAS消息或第二NAS消息中一部分进行验证。

在一个示例中，第二NAS消息为NAS SMC，则终端确定使用目标核心网对应的安全保护方式，验证该NAS SMC是否被篡改。例如目标核心网为4G核心网，终端使用BEARER值为0x00，对第二NAS消息进行完整性保护；目标核心网为5G核心网，根据3GPP标准33.5011版本15.3.1种规定，终端使用BEARER值为0x01或0x02，对第二NAS消息进行完整性保护。

在一个示例中，第二NAS消息为鉴权请求消息，则终端确定使用目标核心网对应的安全保护方式，验证发送该鉴权请求消息的网络是否真实。

在一个示例中，第二NAS消息为鉴权结果消息，则终端确定使用目标核心网对应的安全保护方式，验证该鉴权结果消息的安全保护是否正确的。

S511：终端向目标核心网网元回复第二消息或者第二消息中的一部分内容，以使得目标核心网网元接收来自终端的第二消息或者第二消息中的一部分内容。

具体可参考S209中的描述，不作赘述。

需要说明的是，上述的S509-S511为可选步骤，本申请实施例的方案可以执行S509-S511，也可以根据实际情况，不执行S509-S511。

S512：目标核心网网元向终端发送注册完成消息，或者跟踪区更新接收(trackingarea update accept，TAU accept)消息，以使得终端接受来自目标核心网网元的注册完成消息或TAU accept。

具体的，目标核心网为4G核心网时，目标核心网网元发送的消息为TAU accept；目标核心网为5G核心网时，目标核心网网元发送的消息为注册完成消息。

通过本申请实施例提供的确定安全保护方式方法，在终端从源核心网切换到目标核心网的过程中，终端根据选择请求接入的目标核心网，使用相应的安全保护方式。该方法使得终端使用与目标核心网对应的基站和目标核心网对应的安全保护方式，避免终端使用与目标核心网对应的基站和目标核心网不同的安全保护方式，导致安全流程的执行产生混乱。

下面结合具体实施例图6-图7，对上述图5所提供的确定安全保护方式的方法进行详细说明。

图6为本申请实施例所提供的一种确定安全保护方式的方法，且在终端从4G核心网(源核心网)切换到5G核心网(目标核心网)的过程中，该方法包括以下步骤：

S601：eNB向终端发送指示信息，以使得终端接收来自eNB的指示信息。该指示信息用于指示eNB或者小区可以连接5G网络。该小区为终端当前所在的小区，且该小区包括在该eNB覆盖的区域。具体可参考S401中的描述，不作赘述。

S602：终端根据指示信息，选择请求接入的核心网。

具体可参考S402中的描述，不作赘述。

S603：终端根据请求接入的5G核心网，确定安全保护方式。

在一个示例中，终端根据请求接入的5G核心网，确定应该使用5G核心网对应的安全保护方法。进一步地，终端可以确定初始注册请求消息中含有需要给4G核心网解析的信息，因此，对应于需要给4G核心网解析的信息，终端确定的安全保护方式对应于4G核心网；具体可参考S503中的描述，不作赘述。

S604：终端根据确定的安全保护方式生成映射的安全上下文。

在一个示例中，终端确定安全保护方式为5G安全的保护方式，则终端根据5G安全的保护方式生成映射的5G安全上下文。具体的，终端生成映射的5G的GUTI、5G的GUTI以及ngKSI。

S605：终端使用与4G核心网对应的安全保护方式对第一NAS消息或者第一NAS消息中的一部分内容进行安全保护，得到第一消息。

在一个示例中，第一NAS消息具体可以为注册请求消息，第一NAS消息的部分内容为信元TAU request。终端使用4G安全对应的保护方式，对信元TAU request进行保护，具体为：使用BEARER值为0x00，计算出信元TAU request的MAC(可以标记为4G-NAS-MAC)对TAUrequest进行保护。终端还使用5G安全对应的保护方式，对注册请求消息进行保护，具体为：计算出5G-NAS-MAC对注册请求消息进行完整性保护和加密保护。

在一个示例中，第一消息为经过安全保护的的注册请求消息。

S606：终端通过gNB，向AMF发送第一消息或第一消息的一部分内容，以使得AMF接收来自终端的第一消息或第一消息的一部分内容。

具体的，终端向目标核心网网元发送第一消息或第一消息的一部分内容，则第一消息具体可为经过安全保护的的注册请求消息，第一消息的一部分内容具体可为经过安全保护的信元TAU request，第一消息可包括映射的5G的GUTI、5G的GUTI、5G-NAS-MAC以及经过安全保护的信元TAU request，经过安全保护的信元TAU request包括4G-NAS-MAC。

S607：AMF根据第一消息或第一消息的一部分内容，获知4G核心网的MME，并向MME发送上下文请求消息，以使得MME接收来自AMF的上下文请求消息。

其中，上下文请求消息包括第一消息或第一消息的一部分内容，第一消息的一部分内容可为经过安全保护的信元TAU request。

在一个示例中，AMF根据第一消息中的映射的5G的GUTI，获知4G网络的MME。

在一个示例中，上下文请求消息包括映射的5G的GUTI。

S608：MME根据上下文请求消息，向AMF回复上下文响应消息，以使得AMF接收来自MME的上下文响应消息。

其中，上下文响应消息包括终端的安全上下文。

S609：AMF向终端发送第二NAS消息或第二NAS消息中的一部分内容，以使得终端接收来自AMF的第二NAS消息或第二NAS消息中的一部分内容。

其中，第二NAS消息或第二NAS消息中的一部分内容包括AMF所选择的5G的算法。

在一个示例中，第二NAS消息可以为NAS SMC、鉴权请求消息、鉴权结果消息中的任意一个。

S610：终端根据第二NAS消息或第二NAS消息中的一部分内容，进行相应的验证。

具体的，终端根据第二NAS消息或第二NAS消息中一部分内容中所包含中的算法，确定5G网络，进而确定使用5G网络对应的安全保护方式对第二NAS或第二NAS消息中一部分内容消息进行验证。

在一个示例中，第二NAS消息为NAS SMC，则终端确定使用5G网络对应的安全保护方式，验证该NAS SMC是否被篡改，根据3GPP标准33.5011版本15.3.1种规定，具体为：终端使用BEARER值为0x01或0x02，对第二NAS消息进行完整性保护。

在一个示例中，第二NAS消息为鉴权请求消息，则终端确定使用5G网络对应的安全保护方式，验证发送该鉴权请求消息的网络是否真实。

在一个示例中，第二NAS消息为鉴权结果消息，则终端确定使用5G网络对应的安全保护方式，验证该鉴权结果消息的安全保护是否正确的。

需要说明的是，从这步开始，终端设备不再使用4G核心网的安全上下文。终端开始只使用与5G核心网对应的安全上下文。安全上下文包括NAS密钥和NAS算法。其中，5G核心网的密钥可以是由4G核心网的密钥做映射得到的，也可以是由5G核心网自己生成的，即原生的。

S611：终端向AMF回复第二消息，以使得AMF接收来自终端的第二消息。

具体可参考S409中的描述，不作赘述。

需要说明的是，上述的S609-S611为可选步骤，本申请实施例的方案可以执行S609-S611，也可以根据实际情况，不执行S609-S611。

S612：AMF向终端发送注册完成消息，以使得终端接收来自AMF的注册完成消息。

对应的，终端设备接收注册完成消息。终端设备使用与5G核心网相对应的安全保护方法验证注册完成消息。如果步骤S609-S611没有执行，则终端设备从此步开始只使用5G的安全上下文，不再使用4G的安全上下文。其中，5G核心网的密钥可以是由4G核心网的密钥做映射得到的，也可以是由5G核心网自己生成的，即原生的。

通过本申请实施例提供的确定安全保护方式的方法，在终端从4G网络切换到5G网络的过程中，终端根据选择请求接入的5G网络，使用相应的安全保护方式。该方法使得终端使用与gNB和AMF对应的安全保护方式，避免gNB和AMF使用与终端不同的安全保护方式，导致安全流程的执行产生混乱。

图7为本申请实施例所提供的一种确定安全保护方式的方法，且在终端从5G核心网(源核心网)切换到4G核心网(目标核心网)的过程中，该方法包括以下步骤：

S701：eNB向终端发送指示信息，以使得终端接收来自eNB的指示信息。该指示信息用于指示eNB或者小区可以连接4G核心网。其中，小区为终端当前所在的小区，且该小区包括在该eNB覆盖的区域。具体可参考S301中的描述，不作赘述。

S702：终端根据指示信息，选择请求接入的核心网。

具体可参考S302中的描述，不作赘述。

S703：终端根据请求接入的4G核心网，确定安全保护方式。

在一个示例中，终端根据请求接入的4G核心网，则确定使用4G核心网对应的安全保护方法。进一步地，终端确定在5G核心网切换到4G核心网的过程中，进而确定第一条NAS消息的安全保护方式应采用5G核心网对应的保护方法。

S704：终端根据确定的安全保护方式生成映射的安全上下文。

在一个示例中，终端确定安全保护方式为4G安全的保护方式，则终端根据4G安全的保护方式生成映射的4G安全上下文。具体的，终端生成映射的EPS GUTI以及eKSI。

S705：终端使用与5G核心网对应的安全保护方式对第一NAS消息进行安全保护，得到第一消息。

在一个示例中，第一NAS消息具体可以为附着请求消息或TAU request。

具体的，终端使用BEARER值为0x01，计算出5G-NAS-MAC对第一NAS消息进行完整性保护和加密保护。

在一个示例中，第一消息可以为经过安全保护的附着请求消息或经过安全保护的TAU request。

S706：终端通过eNB，向MME发送第一消息，以使得MME接收来自终端的第一消息。

具体的，第一消息包括映射的EPS的GUTI、eKSI以及5G-NAS-MAC。

S707：MME根据第一消息，获知5G核心网的AMF，并向AMF发送上下文请求消息，以使得AMF接收来自MME的上下文请求消息。

其中，上下文请求消息包括第一消息。

在一个示例中，MME根据第一消息中的映射的EPS的GUTI，获知5G网络的AMF。

在一个示例中，上下文请求消息包括映射的EPS的GUTI。

S708：AMF根据上下文请求消息，向MME回复上下文响应消息，以使得MME接收来自AMF的上下文响应消息。

其中，上下文响应消息包括终端的安全上下文。

S709：MME向终端发送第二NAS消息，以使得终端接收来自MME的第二NAS消息。

其中，第二NAS消息包括MME所选择的EPS的算法。

在一个示例中，第二NAS消息可以为NAS SMC、鉴权请求消息中的任意一个。

S710：终端根据第二NAS消息，进行相应的验证。

具体的，终端根据第二NAS消息中的算法，确定4G核心网，进而确定使用4G核心网对应的安全保护方式对第二NAS消息进行验证。

在一个示例中，第二NAS消息为NAS SMC，则终端确定使用4G核心网对应的安全保护方式，验证该NAS SMC是否完整，具体为：终端使用BEARER值为0x00，对第二NAS消息进行完整性保护。

在一个示例中，第二NAS消息为鉴权请求消息，则终端确定使用4G核心网对应的安全保护方式，验证发送该鉴权请求消息的网络是否真实。

需要说明的是，从此步开始，终端设备只使用EPS安全上下文保护NAS消息，不再使用5G安全山下文保护NAS消息。EPS安全上下文至少包括终端和MME之间使用的NAS密钥和NAS算法。其中，4G核心网的密钥可以是由5G核心网的密钥做映射得到的，也可以是由4G核心网自己生成的，即原生的。

S711：终端向MME回复第二消息，以使得MME接收来自终端的第二消息。

具体可参考S309中的描述，不作赘述。

需要说明的是，上述的S709-S711为可选步骤，本申请实施例的方案可以执行S709-S711，也可以根据实际情况，不执行S709-S711。

S712：MME向终端发送TAU accept，以使得终端接收来自MME的TAU accept。

对应的，终端接收TAU accept消息。终端使用与4G核心网相对应的安全保护方法验证TAU accept消息。如果步骤S709-S711没有执行，则终端设备从此步开始只使用4G的安全上下文，不再使用5G的安全上下文。其中，4G核心网的密钥可以是由5G核心网的密钥做映射得到的，也可以是由4G核心网自己生成的，即原生的。

通过本申请实施例提供的确定安全保护方式的方法，在终端从5G网络切换到4G网络的过程中，终端根据选择请求接入的4G网络，使用相应的安全保护方式。该方法使得终端使用与eNB和MME对应的安全保护方式，避免eNB和MME使用与终端不同的安全保护方式，导致安全流程的执行产生混乱。

上述主要从各个装置之间交互的角度对本申请实施例提供的方案进行了介绍，可以理解的是，上述终端、基站、核心网网元为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应超过本申请的范围。

本申请实施例可以根据上述方法示例对终端、基站、核心网网元进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中，上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

例如，上述装置可以通过图8的通信设备实现。如图8所示，该通信设备800可以为终端、基站和核心网网元。该通信设备包括处理单元801、发送单元802和接收单元803，可选的，还包括存储单元804。其中，发送单元802和接收单元803可以为同一个单元，例如通信单元。

处理单元801用于对上述装置的动作进行控制，例如支持上述装置执行本申请实施例所提供的方法及步骤。发送单元802用于支持上述装置向其他网络实体发送信息，例如本申请实施例中，上述装置向其他网络实体发送信息的步骤。接收单元803用于支持上述装置接收其他网络实体发送的信息，例如本申请实施例中，上述装置接收其他网络实体发送的信息的步骤。存储单元803用于存储上述装置的数据和代码。

通信装置800可以为终端设备，图8a示出了一种终端设备810的结构示意图，该终端包括处理单元811、发送单元812和接收单元813，可选的，还包括存储单元814。

接收单元，用于接收来自基站的指示信息，指示信息用于指示基站或小区连接的一个或多个核心网的类型。具体可参考图2中的S201。

处理单元，用于选择请求接入的核心网。具体可参考图2中的S202。

以及用于根据请求接入的核心网，确定安全保护方式。具体可参考图2中的S203。

进一步地，该终端还可以用于执行图2、3、4、5、6以及7中相应的步骤，具体可参考上述方法实施例中的描述。

除此之外，为了使得终端设备的功能更加完善，终端设备810还可以包括输入单元、显示单元、音频电路、摄像头和传感器等中的一个或多个。音频电路还可以包括扬声器、麦克风等。

通信装置800还可以为基站，图8b示出了一种基站820的结构示意图，该基站包括处理单元821、发送单元822和接收单元823，可选的，还包括存储单元824。

发送单元，用于向终端发送指示信息，指示信息用于指示基站或终端所在小区连接的一个或多个核心网的类型。具体可参考图2中的S201。

接收单元，用于接收来自终端的请求接入的核心网对应的类型信息；请求接入的核心网为一个或者多个核心网中的一个。具体可参考图2中的S205。

处理单元，用于根据请求接入的核心网的类型信息，确定安全保护方式。具体可参考图2中的S211。

进一步地，该基站还可以用于执行图2、3、4、5、6以及7中相应的步骤，具体可参考上述方法实施例中的描述。

除此之外，为了使得基站的功能更加完善，基站820还可以包括天线等。

当上述的处理单元801、811、821可以为一个或多个处理器，发送单元802、812、822和接收单元803、813、823为收发器，存储单元804、814、824为存储器时，本申请实施例涉及的终端和基站可以为图9所示的结构。

参阅图9所示，该通信设备900包括：处理器901、收发器902，可选的，可以包括存储器903以及总线904。处理器901、收发器902以及存储器903通过总线904连接。其中，处理器901例如可以是中央处理器(central processing unit，CPU)，通用处理器，数字信号处理器(digital signal processor，DSP)，专用集成电路(application-specific integratedcircuit，ASIC)，现场可编程门阵列(field programmable gate array，FPGA)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或其任意组合。其可以实现或执行结合本申请所描述的各个示例性的逻辑方框、模块和电路。处理器也可以是实现计算功能的组合，例如包括一个或多个微处理器组合，DSP和微处理器的组合等等。总线904可以是外设部件互联标准(peripheral component interconnect，简称PCI)总线或扩展工业标准结构(extendedindustry standard architecture，简称EISA)总线等。总线可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

本申请实施例还提供的一种芯片系统1000，包括至少一个处理器1001、接口电路1002，处理器1001和接口电路1002相连。

处理器1001可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器1001中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器1001可以是通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其它可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

接口电路1002可以完成数据、指令或者信息的发送或者接收，处理器1001可以利用接口电路1002接收的数据、指令或者其它信息，进行加工，可以将加工完成信息通过接口电路1002发送出去。

可选的，芯片系统还包括存储器1003，存储器1003可以包括只读存储器和随机存取存储器，并向处理器提供操作指令和数据。存储器1003的一部分还可以包括非易失性随机存取存储器(NVRAM)。

可选的，存储器1003存储了可执行软软件模块或者数据结构，处理器1003可以通过调用存储器存储的操作指令(该操作指令可存储在操作系统中)，执行相应的操作。

可选的，芯片系统可以使用在本申请实施例涉及的终端、基站、核心网网元中。可选的，接口电路1002用于执行图2至图7所示的实施例中终端、基站、核心网网元的接收和发送的步骤。处理器1001用于执行图2至图7所示的实施例中的终端、基站、核心网网元处理的步骤。存储器1003用于存储图2至图7所示的实施例中的终端、基站、核心网网元的数据和指令。

本申请实施例还提供了一种计算机可读存储介质。上述方法实施例中描述的方法可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。如果在软件中实现，则功能可以作为一个或多个指令或代码存储在计算机可读介质上或者在计算机可读介质上传输。计算机可读介质可以包括计算机存储介质和通信介质，还可以包括任何可以将计算机程序从一个地方传送到另一个地方的介质。存储介质可以是可由计算机访问的任何可用介质。

作为一种可选的设计，计算机可读介质可以包括RAM，ROM，EEPROM，CD-ROM或其它光盘存储器，磁盘存储器或其它磁存储设备，或可用于承载的任何其它介质或以指令或数据结构的形式存储所需的程序代码，并且可由计算机访问。而且，任何连接被适当地称为计算机可读介质。例如，如果使用同轴电缆，光纤电缆，双绞线，数字用户线(DSL)或无线技术(如红外，无线电和微波)从网站，服务器或其它远程源传输软件，则同轴电缆，光纤电缆，双绞线，DSL或诸如红外，无线电和微波之类的无线技术包括在介质的定义中。如本文所使用的磁盘和光盘包括光盘(CD)，激光盘，光盘，数字通用光盘(DVD)，软盘和蓝光盘，其中磁盘通常以磁性方式再现数据，而光盘利用激光光学地再现数据。上述的组合也应包括在计算机可读介质的范围内。

本申请实施例还提供了一种计算机程序产品。上述方法实施例中描述的方法可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。如果在软件中实现，可以全部或者部分得通过计算机程序产品的形式实现。计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行上述计算机程序指令时，全部或部分地产生按照上述方法实施例中描述的流程或功能。上述计算机可以是通用计算机、专用计算机、计算机网络、网络设备、用户设备或者其它可编程装置。

以上的具体实施方式，对本申请的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上仅为本申请的具体实施方式而已，并不用于限定本申请的保护范围，凡在本申请的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本申请的保护范围之内。

Claims (30)

1.一种确定安全保护方式的方法，其特征在于，包括：

终端接收来自基站的指示信息，所述指示信息用于指示所述基站或所述终端所在小区连接的一个或多个核心网的类型；

根据所述指示信息，选择请求接入的核心网；

根据所述请求接入的核心网，确定安全保护方式。

2.如权利要求1所述的方法，其特征在于，所述一个或多个核心网包括4G核心网和5G核心网。

3.如权利要求2所述的方法，其特征在于，在所述请求接入的核心网为4G核心网的情况下，所述安全保护方式包括以下任意一个或多个：

4G非接入层NAS消息的保护方式，

4G空口信令面激活方式，

4G空口用户面激活方式，

4G鉴权方法。

4.如权利要求2所述的方法，其特征在于，在所述请求接入的核心网为5G核心网的情况下，所述安全保护方式包括以下任意一个或多个：

5G非接入层NAS消息的保护方式，

5G空口信令面激活方式，

5G空口用户面激活方式，

5G鉴权方法。

5.如权利要求2-4任一所述的方法，其特征在于，所述方法还包括：

确定与所述请求接入的核心网对应的接入层密钥。

6.如权利要求5所述的方法，其特征在于，在所述请求接入的核心网为4G核心网的情况下，所述确定与所述请求接入的核心网对应的接入层密钥，包括：

根据接入安全管理实体密钥Kasme以及第一输入参数，确定基站根密钥KeNB，其中，所述第一输入参数包括所述终端的上行NAS计数值以及所述上行NAS计数值的长度。

7.如权利要求5所述的方法，其特征在于，在所述请求接入的核心网为5G核心网的情况下，所述确定与所述请求接入的核心网对应的接入层密钥，包括：

根据接入和移动管理功能密钥Kamf以及第二输入参数，确定基站根密钥KgNB，其中，所述第二输入参数包括所述终端的上行NAS计数值、所述上行NAS计数值的长度、接入类型识别符F1以及接入类型识别符的长度L1。

8.如权利要求1所述的方法，其特征在于，在所述终端从源核心网切换至所述请求接入的核心网的场景下，所述方法还包括：

确定与所述源核心网对应的安全保护方式，其中，所述源核心网是所述一个或多个核心网中除所述请求的核心网之外的任一核心网；

使用与所述源核心网对应的安全保护方式对第一NAS消息或者第一NAS消息中的一部分内容进行安全保护，得到第一消息；

将所述第一消息或者所述第一消息中的一部分发送给所述源核心网中的网元。

9.如权利要求8所述的方法，其特征在于，所述方法还包括：

确定与所述请求接入的核心网对应的安全保护方式；

使用与所述请求接入的核心网对应的安全保护方式对第二NAS消息或者第二NAS消息中的一部分内容进行验证，得到第二消息；

将所述第二消息或者所述第二消息中的一部分发送给所述请求接入的核心网中的网元。

10.如权利要求1-9任一所述的方法，其特征在于，所述方法还包括：

向所述基站发送所述请求接入的核心网对应的类型信息。

11.一种确定安全保护方式的方法，其特征在于，包括：

基站向终端发送指示信息，所述指示信息用于指示所述基站或所述终端所在小区连接的一个或多个核心网的类型；

接收来自所述终端的请求接入的核心网对应的类型信息；所述请求接入的核心网为所述一个或者多个核心网中的一个；

根据所述请求接入的核心网的类型信息，确定安全保护方式。

12.如权利要求11所述的方法，其特征在于，所述一个或多个核心网包括4G核心网和5G核心网。

13.如权利要求12所述的方法，其特征在于，在所述请求接入的核心网为4G核心网的情况下，所述安全保护方式包括以下任意一个或者多个：

4G空口信令面激活方式，

4G空口用户面激活方式。

14.如权利要求12所述的方法，其特征在于，在所述请求接入的核心网为5G核心网的情况下，所述安全保护方式包括下面中的一个或者多个：

5G空口信令面激活方式，

5G空口用户面激活方式。

15.一种终端，其特征在于，包括：接收单元和处理单元；

所述接收单元，用于接收来自基站的指示信息，所述指示信息用于指示所述基站或所述终端所在小区连接的一个或多个核心网的类型；

所述处理单元，用于选择请求接入的核心网；

以及根据所述请求接入的核心网，确定安全保护方式。

16.如权利要求15所述的终端，其特征在于，所述一个或多个核心网包括4G核心网和5G核心网。

17.如权利要求16所述的终端，其特征在于，在所述请求接入的核心网为4G核心网的情况下，所述安全保护方式包括以下任意一个或多个：

4G NAS消息的保护方式，

4G空口信令面激活方式，

4G空口用户面激活方式，

4G鉴权方法。

18.如权利要求16所述的终端，其特征在于，在所述请求接入的核心网为5G核心网的情况下，所述安全保护方式包括以下任意一个或多个：

5G NAS消息的保护方式，

5G空口信令面激活方式，

5G空口用户面激活方式，

5G鉴权方法。

19.如权利要求16-18任一所述的终端，其特征在于，

所述处理单元，还用于确定与所述请求接入的核心网对应的接入层密钥。

20.如权利要求19所述的终端，其特征在于，在所述请求接入的核心网为4G核心网的情况下，所述处理单元用于确定与所述请求接入的核心网对应的接入层密钥，包括：

所述处理单元，用于根据接入安全管理实体密钥Kasme以及第一输入参数，确定基站根密钥KeNB，其中，所述第一输入参数包括所述终端的上行NAS计数值以及所述上行NAS计数值的长度。

21.如权利要求19所述的终端，其特征在于，在所述请求接入的核心网为5G核心网的情况下，所述处理单元用于确定与所述请求接入的核心网对应的接入层密钥，包括：

所述处理单元，用于根据接入和移动管理功能密钥Kamf以及第二输入参数，确定基站根密钥KgNB，其中，所述第二输入参数包括所述终端的上行NAS计数值、所述上行NAS计数值的长度、接入类型识别符F1以及接入类型识别符的长度L1。

22.如权利要求1所述的终端，其特征在于，在所述终端从源核心网切换至所述请求接入的核心网的场景下，还包括发送单元；

所述处理单元，用于确定与所述源核心网对应的安全保护方式，其中，所述源核心网是所述一个或多个核心网中除所述请求的核心网之外的任一核心网；

以及使用与所述源核心网对应的安全保护方式对第一NAS消息或者第一NAS消息中的一部分内容进行安全保护，得到第一消息；

所述发送单元，用于将所述第一消息或者所述第一消息中的一部分发送给所述源核心网中的网元。

23.如权利要求22所述的终端，其特征在于，

所述处理单元，还用于确定与所述请求接入的核心网对应的安全保护方式；

以及使用与所述请求接入的核心网对应的安全保护方式对第二NAS消息或者第二NAS消息中的一部分内容进行安全保护，得到第二消息；

所述发送单元，还用于将所述第二消息或者所述第二消息中的一部分发送给所述请求接入的核心网中的网元。

24.如权利要求15-21任一所述的终端，其特征在于，还包括发送单元；

所述发送单元，用于向所述基站发送所述请求接入的核心网对应的类型信息。

25.一种基站，其特征在于，包括：发送单元、接收单元以及处理单元；

所述发送单元，用于向终端发送指示信息，所述指示信息用于指示所述基站或所述终端所在小区连接的一个或多个核心网的类型；

所述接收单元，用于接收来自终端的请求接入的核心网对应的类型信息；所述请求接入的核心网为所述一个或者多个核心网中的一个；

所述处理单元，用于根据所述请求接入的核心网的类型信息，确定安全保护方式。

26.如权利要求25所述的基站，其特征在于，所述一个或多个核心网包括4G核心网和5G核心网。

27.如权利要求26所述的基站，其特征在于，在所述请求接入的核心网为4G核心网的情况下，所述安全保护方式包括以下任意一个或者多个：

4G空口信令面激活方式，

4G空口用户面激活方式。

28.如权利要求26所述的基站，其特征在于，在所述请求接入的核心网为5G核心网的情况下，所述安全保护方式包括以下任意一个或者多个：

5G空口信令面激活方式，

5G空口用户面激活方式。

29.一种确定安全保护方式系统，其特征在于，包括：基站和终端；

所述基站，用于：

向终端发送指示信息，所述指示信息用于指示所述基站或所述终端所在小区连接的一个或多个核心网的类型；

接收来自终端的请求接入的核心网对应的类型信息；所述请求接入的核心网为所述一个或者多个核心网中的一个；

根据所述请求接入的核心网的类型信息，确定安全保护方式。

所述终端，用于：

接收所述基站发送的指示信息；

根据所述指示信息，选择请求接入的核心网；

根据所述请求接入的核心网，确定安全保护方式；

向所述基站发送所述请求接入的核心网对应的类型信息。

30.如权利要求29所述的系统，还包括源核心网中的网元和所述请求接入的核心网中的网元，所述源核心网是所述一个或多个核心网中除所述请求的核心网之外的任一核心网，

所述源核心网中的网元，用于：

接收来自所述请求接入的核心网中的网元的上下文请求消息，所述上下文请求消息包括第一消息或者所述第一消息中的一部分，所述第一消息为对第一NAS消息或者第一NAS消息中的一部分内容进行安全保护得到的；

对所述第一消息或者所述第一消息中的一部分进行验证；

向所述请求接入的核心网返回上下文响应消息，所述上下文响应消息包括安全上下文。

所述请求接入的核心网中的网元，用于：

接收来自终端的第一消息或者所述第一消息中的一部分，所述第一消息为对第一NAS消息或者第一NAS消息中的一部分内容进行安全保护得到的；

向所述源核心网中的网元发送上下文请求消息，所述上下文请求消息包括所述第一消息或者所述第一消息中的一部分；

接收来自源核心网中的网元的上下文响应消息，所述上下文响应消息包括安全上下文；

向所述终端发送第二NAS消息或第二NAS消息中的一部分内容；

接收来自终端的第二消息或者所述第二消息中的一部分内容，所述第二消息为对第二NAS消息或者第二NAS消息中的一部分内容进行安全保护得到的。

Images