CN111819874A

CN111819874A - 避免基于5g服务的架构中plmn间路由和tls问题的方法和解决方案

Info

Publication number: CN111819874A
Application number: CN201980017951.0A
Authority: CN
Inventors: 史雷达·巴斯卡兰
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2018-06-29
Filing date: 2019-06-16
Publication date: 2020-10-23
Anticipated expiration: 2039-06-16
Also published as: WO2020001300A1; CN111819874B

Abstract

本发明提供了一种安全算法协商方法、基站、以及用户设备。该方法包括从目标基站接收指示符和算法标识符，基于该指示符保留第一密钥，其中该第一密钥是为源基站导出的，以及基于该第一密钥和与该算法标识符相对应的算法导出安全密钥。通过使用本公开所提供的解决方案，将减少若干信令。

Description

避免基于5G服务的架构中PLMN间路由和TLS问题的方法和解决方案

技术领域

本公开的实施例涉及通信技术领域。

背景技术

对于移动网络，用户设备装置或终端装置(下文中统称为UE)具有移动性要求。例如，在长期演进(long term evolution，LTE)或第四代(fourth generation，4G)通信系统中，UE可以触发恢复过程，在第五代(fifth generation，5G)通信系统中，UE可以触发从非激活(INACTIVE)状态到连接(CONNECTED)状态的过程。当触发这些过程时，UE可以从源基站(基站可以是eNB或gNB)移动到目标基站(eNB/gNB)。因此，源eNB/gNB将需要向目标eNB/gNB发送UE的上下文。UE的上下文包括UE和源eNB/gNB之间使用的旧密码和完整性保护算法。

当在公共陆地移动网(public land mobile network，PLMN)的边缘处使用安全和边缘保护代理(security and edge protection proxy，SEPP)来对与其他公共陆地移动网(PLMN)交换的消息进行安全保护时，本发明适用于5G分组核心网。

在研究本发明的领域的细节之前，应当注意，在5G核心网中，网络功能之间的所有控制面消息传送都使用以JSON作为序列化协议的HTTP/2协议。基于IETF RFC 7540中规定的“:authority”(授权)伪报头和IETF RFC7230中规定的HTTP路由机制路由HTTP/2消息。

存在要解决的问题：

1.在5G核心网中，当PLMN A中的网络功能NFa尝试与PLMN B中的网络功能NFb通信时，经由PLMN A中的SEPP和PLMN B中的SEPP进行消息交换。

2.特别是当NFa尝试与NFb建立端到端TLS(transport layer security，传输层安全)连接时，因为消息将在NFa和NFb之间进行端到端加密，所以PLMN A和PLMN B中的SEPP不能截取消息。

3.为了按照每个PLMN的策略提供消息的安全和边缘保护，SEPP需要截取消息。为了截取消息，需要终止TLS连接，并且由SEPP在另一侧重新发起，SEPP作用就像中间人代理。

4.如果SEPP将充当中间人TLS代理，则NFa和NFb将看到SEPP而不是对等NF本身的证书。除非NF被配置为信任由SEPP代表每个对等PLMN的NF发布的证书，否则这将导致NF处的证书信任失败。然而，配置每个NF信任由每个SEPP代表其他PLMN的NF发布的证书的列表将是非常繁琐且易出错的。

发明内容

本公开的实施例提供了一种方法，用于通过经由SEPP设置逐跳(hop by hop)TLS并且同时不改变HTTP的路由行为来避免该问题。

解决方案的关键是使用SEPP作为如3GPP SA2定义的服务“中继”。服务“中继”的概念是云计算和通信领域中的公知现有技术。例如参见https://docs.microsoft.com/en-us/azure/ser vice-bus-relay/relay-what-is-it。

主要思想是在SEPP中为远程PLMN的每个服务暴露“汇聚点”(“rendezvouspoints”)，SEPP与该远程PLMN具有运营商间关系。

SEPP中的“汇聚点”通过配置来建立。

然后，在PLMN间场景的NF发现过程期间：

1.VPLMN中的NRF(VNRF)用由VSPEP暴露给NF服务和该特定HPLMN的“汇聚点”的FQDN(fully qualified domain name，全限定域名)替换所发现的NF服务的FQDN。

2.VNRF用特定HPLMN的NF服务的“汇聚点”信息替换所发现的NF服务的{apiRoot}。

附图说明

以下简要描述用于描述实施例的附图。以下描述中的附图仅示出了本公开的一些实施例，本领域的普通技术人员无需创造性劳动就可以从这些附图中导出其他附图。

图1是端到端TLS的示意图；

图2是逐跳TLS的示意图；

图3是用于作为服务中继的SEPP的基于汇聚点暴露的解决方案的示意性流程图；

图4是NRF处的配置表的示意图；

图5是SEPP的配置表的示意图；

图6是SEPP的配置表的示意图；

图7是用于作为服务中继的SEPP的基于汇聚点暴露的解决方案的示意性流程图；

图8是实现为NF服务的3GPP 5G核心网产品的部件的简化框图。

图9是实现为NF服务的3GPP 5G核心网产品的部件的简化框图。

图10是实现为NF服务的3GPP 5G核心网产品的部件的简化框图。

具体实施方式

下面将结合附图对本公开实施例中的技术方案进行描述。

本发明尝试通过经由SEPP设置逐跳TLS并且同时不改变HTTP的路由行为来避免该问题。

图1示出了在NFa和NFb之间端到端发生TLS而SEPP不能截取消息的情况。在3GPPSA3文档S3-181812中详细描述了端到端TLS的问题。

图2示出了逐跳发生TLS且SEPP终止TLS从而能够截取NFa和NFb之间的消息的情况。

本发明解决的技术问题是：

1.允许两个PLMN中的网络功能经由SEPP利用SEPP处的TLS终止进行通信。

2.同时不改变HTTP路由机制或添加SEPP和诸如IPX的其他中介需要用于解释适当HTTP路由的附加的自定义报头/有效载荷。

SEPP作为“服务中继”是一种新的解决方案。图3解释了该解决方案。

该解决方案的关键方面是在不影响HTTP路由、阶段2架构要求、以及CT4 API设计的任何基础的情况下，通过配置和PLMN间协议来实现一切。应当注意，消息被逐跳路由，并且TLS被逐跳终止。由于每个实体使用其自己的证书，并且这里不涉及伪造，因此将不存在任何关于证书的问题。

1.当VPLMN中的NF服务消费者想要与HPLMN中的NF服务生产者通信时，首先发生NF服务发现。当vNRF将请求路由到hNRF时，NF服务发现请求本身需要经过vSEPP和hSEPP。VPLMN中的NF服务消费者将HTTP/2消息中的“:authority”伪报头设置为vNRF主机的FQDN，VPLMN中的NF服务消费者通过配置或者在切片选择期间从NSSF获取该vNRF主机的FQDN。该过程在3GPP TS23.502的条款4.17.6中定义。

2.如下配置vNRF：

a.HPLMN的PLMN ID的hNRF FQDN＝由VSPEP暴露给HPLMN中的NRF的NF发现服务的汇聚点。

b.HPLMN的PLMN ID的hNRF API根URI＝由VSEPP暴露给HPLMN中的NRF的NF发现服务的汇聚点URI路径。图4示出了这种配置。

vNRF认为由VSEPP本身暴露的“汇聚点”是HNRF FQDN。vNRF不知道是VSEPP充当HNRF的汇合点。因此，vNRF将HTTP/2消息中的“:authority”伪报头设置为“汇聚点”地址。

3.当VSEPP在“汇聚点”FQDN和URI路径处接收到请求时，VSEPP通过配置知道中继中的映射下一跳。如下配置VSEPP：

a.HPLMN的NRF的VSEPP中的汇聚点＝＝>映射到HPLMN中的NRF的HSEPP中的汇聚点。

VSEPP发送HTTP/2消息，该HTTP/2消息具有被设置为“由HSEPP暴露给HNRF的汇聚点”的“:authority”伪报头和被设置为由HSEPP暴露给HNRF的NF发现服务的“汇聚点”URI路径的“:path”(路径)伪报头。这在图5中示出。存储上述配置的替代方式在图6中示出。

4.当HSEPP在“汇聚点”处接收到请求时，HSEPP通过配置知道HSEPP需要将消息中继到HPLMN中的哪个NF服务生产者。因此，HSEPP将消息中继到HNRF。

5.HNRF通过在NF发现响应中提供NF服务生产者的FQDN来响应。

6.当响应被中继到VNRF时，VNRF将发现响应中的NF服务生产者FQDN替换为“由VSEPP暴露给在HPLMN中发现的NF服务的汇聚点”，并且将发现响应中的NF服务生产者的APIURI替换为由VSEPP暴露给HPLMN中发现的NF服务的“汇聚点”的URI。当NF服务消费者接收到该响应时，NF服务消费者认为该“汇聚点”FQDN实际上是实际的NF服务生产者FQDN。

在NF发现响应中返回的NFService(NF服务)配置文件的结构在3GPP TS29.510的条款6.2.6.2.4中指定。下面示出了NFService配置文件供参考。突出显示了(由VNRF以“汇聚点”的FQDN和API URI替换的)NF服务配置文件的“fqdn”和“apiPrefix”部分。

请参考下表(NFService类型的定义)：

7.NF服务消费者向NF服务生产者发送服务请求，其中，HTTP/2消息的“:authority”部分被设置为步骤6中返回的“汇聚点”，HTTP/2消息的“:path”部分被设置为步骤6中返回的“汇聚点”URI路径。

8.VSEPP在汇聚点处接收请求，并且通过配置将该请求映射到HSEPP汇聚点。

9.HSEPP在汇聚点处接收对NF服务生产者的请求，并且基于配置，HSEPP知道其需要将该请求中继到哪个NF服务生产者。

HSEPP处的配置类似于图3和图4，不同之处在于，最右列上的不是HSEPP URI/FQDN，而是实际的NF服务生产者的FQDN/URI。

在SEPP之间的IPX对SEPP是还充当暴露汇聚点的“中继”还是充当TLS中的块(bump)的作用取决于IPX部署。

存在一种SEPP作为“服务中继”的新的解决方案。图7解释了该解决方案。

该解决方案的关键方面是在不影响HTTP路由、阶段2架构要求、以及CT4API设计的任何基础的情况下，通过配置和PLMN间协议来实现一切。应当注意，消息被逐跳路由，并且TLS被逐跳终止。由于每个实体使用其自己的证书，并且这里不涉及伪造，因此将不存在任何关于证书的问题。

1.当VPLMN中的NF服务消费者想要与HPLMN中的NF服务生产者通信时，首先发生NF服务发现。当vNRF将请求路由到hNRF时，NF服务发现请求本身需要经过vSEPP和hSEPP。VPLMN中的NF服务消费者将HTTP/2消息中的“authority”伪报头设置为vNRF主机的FQDN，VPLMN中的NF服务消费者通过配置或者在切片选择期间从NSSF获取该vNRF主机的FQDN。

2.如下配置vNRF：

a.HPLMN的PLMNID的hNRFFQDN＝由VSPEP暴露给HPLMN中的NRF的汇聚点。

vNRF认为由VSEPP本身暴露的“汇聚点”是HNRF FQDN。vNRF不知道是VSEPP充当HNRF的汇合点。因此，vNRF将HTTP/2消息中的“authority”伪报头设置为“汇聚点”地址。

3.当VSEPP在“汇聚点”接收到请求时，VSEPP通过配置知道中继中的映射下一跳。如下配置VSEPP：a.HPLMN的NRF的VSEPP中的汇聚点＝＝>映射到HPLMN中的NRF的HSEPP中的汇聚点。VSEPP发送具有“authority”伪报头的HTTP/2消息，该“authority”伪报头被设置为“由HSEPP暴露给HNRF的汇聚点”。

5.HNRF通过在NF发现响应中提供NF服务生产者的FQDN来响应。

6.当响应被中继到VNRF时，VNRF将发现响应中的NF服务生产者FQDN替换为“由VSEPP暴露给在HPLMN中发现的NF服务的汇聚点”。当NF服务消费者接收到该响应时，NF服务消费者认为该“汇聚点”FQDN实际上是实际的NF服务生产者FQDN。

7.NF服务消费者向NF服务生产者发送服务请求，其中，HTTP/2消息的“authority”部分被设置为步骤6中返回的“汇聚点”。

8.VSEPP在汇聚点处接收请求，并且通过配置将该请求映射到HSEPP汇聚点。9.HSEPP在汇聚点处接收对NF服务生产者的请求，并且基于配置，HSEPP知道其需要将该请求中继到哪个NF服务生产者。

在SEPP之间的IPX对SEPP是还充当暴露汇聚点的“中继”还是充当TLS中的块的作用取决于IPX部署。

此外，本发明可应用于5G SEPP和NRF产品。这些产品的关键部件在图8至图10中示出。

此外，本发明可以应用于以下场景。

1.通过使用如3GPPTS23.502的条款4.17.6中指定的Nnrf_NFDiscovery服务来发现另一PLMN中的NF和NF服务。

2.经由VSEPP和/或IPX和/或HSEPP的VPLMN中的NF服务NFa和HPLMN中的NF服务NFb之间的通信，反之亦然。

以下是本发明的益处：

1.当VPLMN中的NF服务想要与HPLMN中的NF服务通信(或反之亦然)时，则应用级的NF服务不需要知道SEPP的存在。NF服务将如同其将向同一PLMN中的NF服务路由那样路由HTTP/2消息。

2.对HTTP/2路由机制没有改变。

3.不需要添加自定义HTTP/2报头或有效载荷来帮助SEPP确定将消息进一步路由到哪里。例如，如上文1.2.1节中提到的SA3描述的“在请求URI中使用本地SEPP FQDN”的解决方案#3(Solution#3)中需要自定义报头或有效载荷。

4.如何实施IPX可以留给IPX提供者决定。该解决方案并不要求IPX也实施“汇聚点”。例如，如果IPX想要，则IPX可以实施“TLS中的块(Bump in TLS)”解决方案。然而，由SA3建议的解决方案#3需要IPX也理解用于HTTP路由的自定义报头/有效载荷3GPP定义。

以下是由本发明做出的权利要求

1.代表HPLMN中的NF服务暴露VSEPP中的“汇聚点”FQDN和API URI。

2.在VSEPP中存储映射表以将“汇聚点”FQDN和API URI映射到下一跳FQDN/APIURI，其中，下一跳可以是IPX或HSEPP。

3.代表HPLMN中的NF服务暴露HSEPP中的“汇聚点”FQDN和API URI，对于该HPLMN中的NF服务，HSEPP为该服务充当服务中继。

4.在HSEPP中存储映射表以将“汇聚点”FQDN和API URI映射到NF服务的FQDN/APIURI。

5.基于每个PLMN ID在VNRF中存储映射表以将另一PLMN的NF服务的FQDN和APIURI映射到由VPLMN中的VSEPP暴露的“汇聚点”FQDN和URI。

6.用“汇聚点”的FQDN和API URI替换由VNRF作为NF发现响应的一部分返回给NF服务消费者的NFService配置文件的“fqdn”和“apiPrefix”参数。

7.用上述权利要求6中提到的由VNRF返回的FQDN和API URI在NF服务消费者中设置“:authority”和“:path”伪报头。

8.由VSEPP基于上述权利要求2中提到的存储的映射表将“:authority”和“:path”伪报头映射到下一跳的FQDN和API URI。

9.由HSEPP基于上述权利要求4中提到的存储的映射表将“:authority”和“:path”伪报头映射到NF服务生产者的FQDN和APIURI。

本领域普通技术人员可以意识到，结合本说明书中公开的实施例描述的示例，能够通过电子硬件、计算机软件、或者其组合来实施单元及算法步骤。为了清楚地说明硬件和软件的可互换性，在上述说明中已经根据功能一般性地描述了各示例的组成及步骤。这些功能是通过硬件还是软件来执行取决于技术方案的具体应用和设计约束条件。本领域的技术人员可以为每个特定应用使用不同的方法来实施所描述的功能，但是不应认为该实施超出了本公开的范围。

本领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置、以及单元的具体工作过程可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解可以通过其他方式实施所公开的系统、装置、以及方法。例如，所描述的装置实施例仅仅是示例。例如，上述单元的划分仅仅为一种逻辑功能划分，实际实施时可能是其他的划分方式。例如，多个单元或部件可以组合或集成到另一个系统中，或者可以忽略或不执行一些特征。另外，所显示或讨论的相互耦合或直接耦合或通信连接可以通过一些接口实施。装置或单元之间的间接耦合或通信连接可以是电、机械、或其他形式。

通过以上描述的实施例，本领域的技术人员可以清楚地了解到本公开可通过硬件、固件、或其组合来实施。当通过软件实施本公开时，上述功能可以存储在计算机可读介质中或者作为计算机可读介质中的一个或多个指令或代码传输。上述计算机可读介质包括计算机存储介质和通信介质，其中，上述通信介质包括使得计算机程序能够从一个位置发送到另一位置的任何介质。存储介质可以是计算机可访问的任何可用介质。

以下举例说明但不仅限于：计算机可读介质可以包括随机存取存储器(randomaccess memory，RAM)、只读存储器(read-only memory，ROM)、电可擦除可编程只读存储器(electrically erasable programmable read-only memory，EEPROM)、光盘只读存储器(compact disc read-only memory，CD-ROM)或其他光盘存储、盘存储介质或其他盘存储、或能用于以指令或数据结构形式承载或存储期望的程序代码且能由计算机访问的任何其他介质。另外，任何连接可以适当地定义为计算机可读介质。

例如，如果使用同轴电缆、光纤/电缆、双绞线、数字用户线(digital subscriberline，DSL)、或者诸如红外线、无线电、以及微波之类的无线技术从网站、服务器、或另一远程源传输软件，则同轴电缆、光纤/电缆、双绞线、DSL、或诸如红外线、无线电、以及微波之类的无线技术被包括在其所属的固定介质中。

例如，由本公开使用的盘和碟包括压缩碟(compact disc，CD)、激光碟、光碟、数字通用碟(digital versatile disc，DVD)、软盘、以及蓝光碟，其中，盘通常通过磁性装置复制数据，碟通过激光装置光学地复制数据。上述组合也应包括在计算机可读介质的保护范围之内。

综上所述，上述仅为本公开的技术方案的实施例的示例，并非用于限定本公开的保护范围。在不脱离本公开的精神和原则所作的任何修改、等同替换、或改进应落入本发明的保护范围之内。

Claims

1.一种用于发现网络功能(NF)服务的方法，包括：

VSEPP向HSEPP发送HTTP/2消息，所述HTTP/2消息具有“:authority”伪报头和“:path”伪报头，所述“:authority”伪报头被设置为“由所述HSEPP暴露给HNRF的汇聚点”，所述“:path”伪报头被设置为由所述HSEPP暴露给所述HNRF的NF发现服务的所述“汇聚点”URI路径；

当在所述汇聚点接收到所述HTTP/2消息时，所述HSEPP基于所述HSEPP的配置将所述HTTP/2消息中继到所述HNRF；以及

所述HNRF在NF发现响应中响应NF服务生产者的FQDN。

2.根据权利要求1所述的方法，其中，所述方法还包括：

所述HSEPP将所述NF发现响应中继到所述VSEPP；

所述VSEPP将所述NF发现响应中继到VNRF；

所述VNRF将所述发现响应中的所述NF服务生产者FQDN替换为所述“由VSEPP暴露给在HPLMN中发现的所述NF服务的汇聚点”；

所述VNRF将所述发现响应中的所述NF服务生产者的API URI替换为由VSEPP暴露给在所述HPLMN中发现的所述NF服务的所述“汇聚点”的URI；以及

所述VNRF将处理的所述NF发现响应发送到NF服务消费者。

3.根据权利要求2所述的方法，其中，所述方法还包括：

所述NF服务消费者向所述NF服务生产者发送服务请求，其中，所述HTTP/2消息的“:authority”部分被设置为从所述VNRF接收的“汇聚点”，并且所述HTTP/2消息的所述“:path”部分被设置为从所述VNRF接收的所述“汇聚点”URI路径。

4.根据权利要求3所述的方法，其中，所述方法还包括：

所述VSEPP在所述汇聚点处接收所述服务请求，并且通过所述VSEPP的配置将所述服务请求映射到HSEPP汇聚点。

5.根据权利要求4所述的方法，其中，所述方法还包括：

所述HSEPP在所述汇聚点接收对所述NF服务生产者的所述服务请求，并且基于所述HSEPP的配置将所述请求中继到所述NF服务生产者。

6.一种用于发现网络功能(NF)服务的系统，包括VSEPP、HSEPP、以及HNRF；

其中，所述VSEPP被配置为向HSEPP发送HTTP/2消息，所述HTTP/2消息具有“:authority”伪报头和“:path”伪报头，所述“:authority”伪报头被设置为“由所述HSEPP暴露给HNRF的汇聚点”，所述“:path”伪报头被设置为由所述HSEPP暴露给所述HNRF的NF发现服务的所述“汇聚点”URI路径；

当在所述汇聚点接收到所述HTTP/2消息时，所述HSEPP被配置为基于所述HSEPP的配置将所述HTTP/2消息中继到所述HNRF；以及

所述HNRF被配置为在NF发现响应中响应NF服务生产者的FQDN。

7.根据权利要求6所述的系统，其中，所述系统还包括VNRF；

其中，所述HSEPP被配置为将所述NF发现响应中继到所述VSEPP；

所述VSEPP被配置为将所述NF发现响应中继到VNRF；

所述VNRF被配置为将所述发现响应中的所述NF服务生产者FQDN替换为所述“由VSEPP暴露给在HPLMN中发现的所述NF服务的汇聚点”；将所述发现响应中的所述NF服务生产者的API URI替换为由VSEPP暴露给在所述HPLMN中发现的所述NF服务的所述“汇聚点”的URI；以及将处理的所述NF发现响应发送到NF服务消费者。

8.根据权利要求7所述的系统，其中，所述系统还包括NF服务消费者；

其中，所述NF服务消费者被配置为向所述NF服务生产者发送服务请求，其中，所述HTTP/2消息的“:authority”部分被设置为从所述VNRF接收的“汇聚点”，并且所述HTTP/2消息的所述“:path”部分被设置为从所述VNRF接收的所述“汇聚点”URI路径。

9.根据权利要求8所述的系统，其中，所述VSEPP被配置为在所述汇聚点接收所述服务请求，并且通过所述VSEPP的配置将所述服务请求映射到HSEPP汇聚点。

10.根据权利要求9所述的系统，其中，所述HSEPP被配置为在所述汇聚点接收对所述NF服务生产者的所述服务请求，并且基于所述HSEPP的配置将所述请求中继到所述NF服务生产者。