CN112154684B - 一种验证网络合法性的方法及装置、计算机存储介质 - Google Patents

一种验证网络合法性的方法及装置、计算机存储介质 Download PDF

Info

Publication number
CN112154684B
CN112154684B CN201980034407.7A CN201980034407A CN112154684B CN 112154684 B CN112154684 B CN 112154684B CN 201980034407 A CN201980034407 A CN 201980034407A CN 112154684 B CN112154684 B CN 112154684B
Authority
CN
China
Prior art keywords
base station
information
terminal
message
rrc
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201980034407.7A
Other languages
English (en)
Other versions
CN112154684A (zh
Inventor
杨宁
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangdong Oppo Mobile Telecommunications Corp Ltd
Original Assignee
Guangdong Oppo Mobile Telecommunications Corp Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangdong Oppo Mobile Telecommunications Corp Ltd filed Critical Guangdong Oppo Mobile Telecommunications Corp Ltd
Publication of CN112154684A publication Critical patent/CN112154684A/zh
Application granted granted Critical
Publication of CN112154684B publication Critical patent/CN112154684B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H04W12/0471—Key exchange
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/18—Management of setup rejection or failure
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H04W76/27—Transitions between radio resource control [RRC] states
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/16—Interfaces between hierarchically similar devices
    • H04W92/20—Interfaces between hierarchically similar devices between access points

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种验证网络合法性的方法及装置、计算机存储介质，所述方法包括：第一基站接收终端发送的RRC恢复请求消息；所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入且请求激活UE安全；所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的。

Description

一种验证网络合法性的方法及装置、计算机存储介质
技术领域
本发明涉及无线通信技术领域，尤其涉及一种验证网络合法性的方法及装置、计算机存储介质。
背景技术
为了满足人们对业务的速率、延迟、高速移动性、能效的追求，以及未来生活中业务的多样性、复杂性，第三代合作伙伴计划(3GPP，3rd Generation Partnership Project)国际标准组织开始研发第五代(5G，5thGeneration)移动通信技术。
5G移动通信技术的主要应用场景为：增强型移动宽带(eMBB，Enhance MobileBroadband)、低时延高可靠通信(URLLC，Ultra Reliable Low Latency Communication)、大规模机器类通信(mMTC，massive Machine Type Communication)。
在5G网络环境中，为了降低空口信令和快速恢复无线连接，快速恢复数据业务的目的，定义一个新的RRC状态，即RRC非激活(RRC_INACTIVE)状态。这种状态有别于RRC空闲(RRC_IDLE)状态和RRC连接(RRC_CONNECTED)状态。
当用户设备(UE，User Equipment)处于RRC_INACTIVE状态时，网络侧会通过专用信令给UE配置无线接入网(RAN，Radio Access Network)的寻呼区域，该RAN寻呼区域可以是一个小区或者多个小区。当UE在该区域内移动时不用通知网络侧，遵循空闲(idle)下移动性行为，即小区选择重选原则。当UE移动出RAN配置的寻呼区域时，会触发UE恢复RRC连接并重新获取RAN配置的寻呼区域。当UE有下行数据到达时，为UE保持RAN和核心网(CN，CoreNetwork)之间连接的基站(如gNB)会触发RAN寻呼区域内的所有小区发送寻呼消息给UE，使得INACTIVCE状态的UE能够恢复RRC连接，进行数据接收。
所以UE从INACTIVE状态进入RRC连接状态，有三种情况：
一是，UE有下行数据到达，网络侧发起RAN侧的寻呼，促使UE进入连接状态；
二是，UE自身发起RAN位置区域更新，例如周期性RAN位置更新或者跨区域位置更新；
三是，UE有上行数据发送需求，促使UE进入连接状态。
当然，网络侧也会在某些情况下，例如负荷拥塞情况，对于UE发送的RRC恢复请求消息(RRC Resume Request)回复RRC拒绝消息(RRC Reject)，其中RRC拒绝消息中会携带一个时间信息，即waittimer，UE收到该waittimer就启动定时器，定时器超时前，UE不会在该小区尝试发送RRC恢复请求消息，直到定时器超时。
考虑到网络安全问题，可能存在假基站总是对尝试恢复或者建立RRC连接的UE，回复RRC Reject消息，并携带配置时长较长的waittimer，导致UE脱网。
发明内容
为解决上述技术问题，本发明实施例提供了一种验证网络合法性的方法及装置、计算机存储介质。
本发明实施例提供的验证网络合法性的方法，包括：
第一基站接收终端发送的RRC恢复请求消息；
所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入且请求激活UE安全；
所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的。
在一实施方式中，所述RRC拒绝消息的完整性保护通过所述第一基站实现；
所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，包括：
所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述安全信息包括第一密钥和第一安全算法；
如果所述第一基站支持所述第一安全算法，则所述第一基站通过第一信令承载(SRB)向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的；如果所述第一基站不支持所述第一安全算法，则所述第一基站通过第二SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是非完整性保护的。
在一实施方式中，所述方法还包括：
如果所述第一基站支持所述第一安全算法，则所述第一基站配置等待定时器的第一时长信息，并携带在所述RRC拒绝消息中发送给所述终端；
如果所述第一基站不支持所述第一安全算法，则所述第一基站配置等待定时器的第二时长信息，并携带在所述RRC拒绝消息中发送给所述终端；其中，所述第二时长信息小于等于第一时长门限值。
在一实施方式中，所述安全信息中的所述第一密钥为：所述第二基站侧使用的密钥，或者，基于所述第一基站的小区标识信息生成的密钥；
所述安全信息中的所述第一安全算法为：所述第二基站侧使用的整性保护算法和加密算法。
在一实施方式中，所述第一基站接收终端发送的RRC恢复请求消息，包括：
第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的完整性保护校验码(MAC-I)信息。
在一实施方式中，所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则将所述安全信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：全球小区识别码(CGI，Cell GlobalIdentifier)、物理小区标识(PCI，Physical Cell Identifier)、频率信息、射频信道(AFRCN)。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述方法还包括：
所述第一基站发送所述RRC拒绝消息后，释放所述终端的UE相关信息，所述终端的UE相关信息包括来自所述终端侧的UE相关信息和来自所述第二基站侧的UE相关信息。
在一实施方式中，所述RRC拒绝消息的完整性保护通过所述第二基站实现；
所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，包括：
所述第一基站接收所述第二基站发送的第二消息，所述第二消息包括TB数据块，所述TB数据块为所述第二基站通过以下方式生成：激活终端的AS安全，构造RRC拒绝消息并对所述RRC拒绝消息进行完整性保护，生成所述TB数据块；
所述第一基站将所述TB数据块通过RRC拒绝消息发送给所述终端，并向所述终端指示所述TB数据块为所述第二基站生成的。
在一实施方式中，所述第一基站接收终端发送的RRC恢复请求消息，包括：
第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、等待定时器的时长信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成所述TB数据块。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本发明实施例提供的验证网络合法性的方法，包括：
第一基站接收终端发送的RRC恢复请求消息；
所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入；
所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法。
在一实施方式中，所述第一安全戳信息通过所述第二基站生成；
所述第二基站基于第一计算参数以及第二配置函数生成第一安全戳信息；或者，所述第二基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，生成第一安全戳信息；
相应地，所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带所述第一安全戳信息和所述第一计算参数，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第二基站侧的所述第二配置函数通过以下方式配置：
通过操作管理维护设备(OAM，Operation Administration and Maintenance)为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第二基站。
在一实施方式中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
在一实施方式中，所述第一基站接收终端发送的RRC恢复请求消息，包括：
第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成第一安全戳信息，并将所述第一安全戳信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述第一安全戳信息通过所述第一基站生成；
相应地，所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述第一基站基于所述安全信息生成第一安全戳信息，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述安全信息包括第一计算参数；相应地，所述第一基站基于所述第一计算参数以及第二配置函数生成第一安全戳信息；或者，
所述安全信息包括安全密钥和安全算法；相应地，所述第一基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，采用所述安全密钥和安全算法生成第一安全戳信息；或者，
所述安全信息包括第一计算参数、安全密钥和安全算法；相应地，所述第一基站基于所述第一计算参数以及第二配置函数，采用所述安全密钥和安全算法生成第一安全戳信息。
在一实施方式中，所述第一基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第一基站；或者，
通过所述所述第二基站配置所述第二配置函数。
在一实施方式中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
在一实施方式中，所述第一基站接收终端发送的RRC恢复请求消息，包括：
第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过将安全信息和/或所述第二基站的小区标识信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本发明实施例提供的验证网络合法性的方法，包括：
第一基站接收终端发送的RRC连接建立请求消息；
所述第一基站确定拒绝所述终端的接入，向第一核心网网元发送第三消息，所述第三消息用于向所述第一核心网网元指示所述第一基站确定拒绝所述终端的接入；
所述第一基站接收所述第一核心网网元发送的第四消息，基于所述第四消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法。
在一实施方式中，所述第一安全戳信息通过所述第一基站生成；
所述第一基站接收所述第一核心网网元发送的第四消息，基于所述第四消息向所述终端发送RRC拒绝消息，包括：
所述第一基站接收所述第一核心网网元发送的第四消息，所述第四消息携带第一计算参数；
所述第一基站基于所述第一计算参数以及第三配置函数生成第一安全戳信息；所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第一基站侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第三配置函数，所述至少一个基站包括所述第一基站。
在一实施方式中，所述终端侧的所述第三配置函数通过以下方式配置：
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
在一实施方式中，所述第一基站接收终端发送的RRC连接建立请求消息，包括：
第一基站接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
在一实施方式中，所述第一基站确定拒绝所述终端的接入，向第一核心网网元发送第三消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带所述第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一计算参数通过所述第四消息发送给所述第一基站。
在一实施方式中，所述第一安全戳信息通过所述第一核心网网元生成；
所述第一核心网网元基于第一计算参数以及第三配置函数生成第一安全戳信息；或者，所述第一核心网网元基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，生成第一安全戳信息；
相应地，所述第一基站接收所述第一核心网网元发送的第四消息，所述第四消息携带第一安全戳信息和第一计算参数，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第一核心网网元侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个核心网网元配置用于计算安全戳信息的第三配置函数，所述至少一个核心网网元包括所述第一核心网网元。
在一实施方式中，所述终端侧的所述第三配置函数通过以下方式配置：
所述终端向网络注册时，所述第一核心网网元为所述终端配置用于计算安全戳信息的第三配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
在一实施方式中，所述第一基站接收终端发送的RRC连接建立请求消息，包括：
第一基站接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
在一实施方式中，所述第一基站确定拒绝所述终端的接入，向第一核心网网元发送第三消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带所述第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一安全戳信息和所述第一计算参数通过所述第四消息发送给所述第一基站。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本发明实施例提供的验证网络合法性的装置，包括：
第一接收单元，用于接收终端发送的RRC恢复请求消息；
第一发送单元，用于确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入且请求激活UE安全；
第二接收单元，用于接收所述第二基站发送的第二消息；
第二发送单元，用于基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的。
在一实施方式中，所述RRC拒绝消息的完整性保护通过所述第一基站实现；
所述第二接收单元，用于接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述安全信息包括第一密钥和第一安全算法；
所述第二发送单元，用于如果所述第一基站支持所述第一安全算法，则通过第一SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的；如果所述第一基站不支持所述第一安全算法，则通过第二SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是非完整性保护的。
在一实施方式中，所述装置还包括：
配置单元，用于如果所述第一基站支持所述第一安全算法，则配置等待定时器的第一时长信息，并携带在所述RRC拒绝消息中发送给所述终端；如果所述第一基站不支持所述第一安全算法，则配置等待定时器的第二时长信息，并携带在所述RRC拒绝消息中发送给所述终端；其中，所述第二时长信息小于等于第一时长门限值。
在一实施方式中，所述安全信息中的所述第一密钥为：所述第二基站侧使用的密钥，或者，基于所述第一基站的小区标识信息生成的密钥；
所述安全信息中的所述第一安全算法为：所述第二基站侧使用的整性保护算法和加密算法。
在一实施方式中，所述第一接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则将所述安全信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述装置还包括：
释放单元，用于释放所述终端的UE相关信息，所述终端的UE相关信息包括来自所述终端侧的UE相关信息和来自所述第二基站侧的UE相关信息。
在一实施方式中，所述RRC拒绝消息的完整性保护通过所述第二基站实现；
所述第二接收单元，用于接收所述第二基站发送的第二消息，所述第二消息包括TB数据块，所述TB数据块为所述第二基站通过以下方式生成：激活终端的AS安全，构造RRC拒绝消息并对所述RRC拒绝消息进行完整性保护，生成所述TB数据块；
所述第二发送单元，用于将所述TB数据块通过RRC拒绝消息发送给所述终端，并向所述终端指示所述TB数据块为所述第二基站生成的。
在一实施方式中，所述第一接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、等待定时器的时长信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成所述TB数据块。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本发明实施例提供的验证网络合法性的装置，包括：
第一接收单元，用于接收终端发送的RRC恢复请求消息；
第一发送单元，用于确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入；
第二接收单元，用于接收所述第二基站发送的第二消息；
第二发送单元，用于基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法。
在一实施方式中，所述第一安全戳信息通过所述第二基站生成；
所述第二基站基于第一计算参数以及第二配置函数生成第一安全戳信息；或者，所述第二基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，生成第一安全戳信息；
所述第二接收单元，用于接收所述第二基站发送的第二消息，所述第二消息携带所述第一安全戳信息和所述第一计算参数；
所述第二发送单元，用于向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第二基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第二基站。
在一实施方式中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
在一实施方式中，所述第一接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成第一安全戳信息，并将所述第一安全戳信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述第一安全戳信息通过所述第一基站生成；
所述第二接收单元，用于接收所述第二基站发送的第二消息，所述第二消息携带安全信息；
所述第二发送单元，用于基于所述安全信息生成第一安全戳信息，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述安全信息包括第一计算参数；相应地，所述第一基站基于所述第一计算参数以及第二配置函数生成第一安全戳信息；或者，
所述安全信息包括安全密钥和安全算法；相应地，所述第一基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，采用所述安全密钥和安全算法生成第一安全戳信息；或者，
所述安全信息包括第一计算参数、安全密钥和安全算法；相应地，所述第一基站基于所述第一计算参数以及第二配置函数，采用所述安全密钥和安全算法生成第一安全戳信息。
在一实施方式中，所述第一基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第一基站；或者，
通过所述所述第二基站配置所述第二配置函数。
在一实施方式中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
在一实施方式中，所述第一接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过将安全信息和/或所述第二基站的小区标识信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本发明实施例提供的验证网络合法性的装置，包括：
第一接收单元，用于接收终端发送的RRC连接建立请求消息；
第三发送单元，用于向第一核心网网元发送第三消息，所述第三消息用于向所述第一核心网网元指示所述第一基站确定拒绝所述终端的接入；
第三接收单元，用于接收所述第一核心网网元发送的第四消息；
第二发送单元，用于基于所述第四消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法。
在一实施方式中，所述第一安全戳信息通过所述第一基站生成；
所述第三接收单元，用于接收所述第一核心网网元发送的第四消息，所述第四消息携带第一计算参数；
所述第二发送单元，用于基于所述第一计算参数以及第三配置函数生成第一安全戳信息；向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第一基站侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第三配置函数，所述至少一个基站包括所述第一基站。
在一实施方式中，所述终端侧的所述第三配置函数通过以下方式配置：
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
在一实施方式中，所述第一接收单元，用于接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
在一实施方式中，所述第三发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带所述第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一计算参数通过所述第四消息发送给所述第一基站。
在一实施方式中，所述第一安全戳信息通过所述第一核心网网元生成；
所述第一核心网网元基于第一计算参数以及第三配置函数生成第一安全戳信息；或者，所述第一核心网网元基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，生成第一安全戳信息；
所述第三接收单元，用于接收所述第一核心网网元发送的第四消息，所述第四消息携带第一安全戳信息和第一计算参数；
所述第二发送单元，用于向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第一核心网网元侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个核心网网元配置用于计算安全戳信息的第三配置函数，所述至少一个核心网网元包括所述第一核心网网元。
在一实施方式中，所述终端侧的所述第三配置函数通过以下方式配置：
所述终端向网络注册时，所述第一核心网网元为所述终端配置用于计算安全戳信息的第三配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
在一实施方式中，所述第一接收单元，用于接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
在一实施方式中，所述第三发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带所述第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一安全戳信息和所述第一计算参数通过所述第四消息发送给所述第一基站。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本发明实施例提供的计算机存储介质，其上存储有计算机可执行指令，该计算机可执行指令被处理器执行时实现上述的验证网络合法性的方法。
本发明实施例的技术方案中，通过对RRC Reject消息进行完整性保护或者在RRCReject消息中携带安全验证信息(即安全戳信息)，实现UE对网络侧的合法性进行验证，保证了网络的安全性，避免了UE处于脱网状态。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1为RAN范围中UE在gNB小区的示意图；
图2为RRC连接恢复过程的示意图一；
图3为RRC连接恢复过程的示意图二；
图4为本发明实施例的验证网络合法性的方法的流程示意图一；
图5为本发明实施例的验证网络合法性的方法的流程示意图二；
图6为本发明实施例的验证网络合法性的方法的流程示意图三；
图7为本发明实施例的验证网络合法性的方法的流程示意图四；
图8为本发明实施例的验证网络合法性的方法的流程示意图五；
图9为本发明实施例的验证网络合法性的方法的流程示意图六；
图10为本发明实施例的验证网络合法性的方法的流程示意图七；
图11为本发明实施例的验证网络合法性的方法的流程示意图八；
图12为本发明实施例的验证网络合法性的方法的流程示意图九；
图13为本发明实施例的验证网络合法性的装置的结构组成示意图一；
图14为本发明实施例的验证网络合法性的装置的结构组成示意图二；
图15为本发明实施例的验证网络合法性的装置的结构组成示意图三；
图16为本发明实施例的计算机设备的结构组成示意图。
具体实施方式
为了能够更加详尽地了解本发明实施例的特点与技术内容，下面结合附图对本发明实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明实施例。
本发明实施例的技术方案主要应用于5G移动通信系统，当然，本发明实施例的技术方案并不局限于5G移动通信系统，还可以应用于其他类型的移动通信系统。以下对5G移动通信系统中的主要应用场景进行说明：
1)eMBB场景：eMBB以用户获得多媒体内容、服务和数据为目标，其业务需求增长十分迅速。由于eMBB可能部署在不同的场景中，例如室内、市区、农村等，其业务能力和需求的差别也比较大，所以必须结合具体的部署场景对业务进行分析。
2)URLLC场景：URLLC的典型应用包括：工业自动化、电力自动化、远程医疗操作、交通安全保障等。
3)mMTC场景：URLLC的典型特点包括：高连接密度、小数据量、时延不敏感业务、模块的低成本和长使用寿命等。
以下对5G网络环境中的三种RRC状态进行说明：
1)RRC_IDLE状态：移动性为基于UE的小区选择重选，寻呼由CN发起，寻呼区域由CN配置。基站侧不存在UE AS上下文。不存在RRC连接。
2)RRC_CONNECTED状态：存在RRC连接，基站和UE存在UE AS上下文。网络侧知道UE的位置是具体小区级别的。移动性是网络侧控制的移动性。UE和基站之间可以传输单播数据。
3)RRC_INACTIVE状态：移动性为基于UE的小区选择重选，存在CN和RAN之间的连接，UE AS上下文存在某个基站上，寻呼由RAN触发，基于RAN的寻呼区域由RAN管理，网络侧知道UE的位置是基于RAN的寻呼区域级别的。
图1为RAN范围中UE在gNB小区的示意图，UE处于INACTIVE状态下，想要恢复RRC连接，可以通过以下RRC连接恢复过程来实现。
图2为RRC连接恢复过程的示意图一，如图2所示，RRC连接恢复过程包括以下流程：
步骤201：UE处于INACTIVE状态，要恢复RRC连接。
步骤202：UE向gNB发送前导码(preamble)。
步骤203：gNB向UE发送随机接入响应(RAR，Random Access Response)。
步骤204：UE向gNB发送RRC恢复请求消息(RRC Resume Request)。
步骤205：gNB向锚gNB(anchor gNB)索要UE上下文信息。
步骤206：gNB向UE发送RRC恢复消息(RRC Resume)。
步骤207：UE向gNB发送RRC恢复完成消息(RRC Resume Complete)。
图3为RRC连接恢复过程的示意图二，如图3所示，RRC连接恢复过程包括以下流程：
步骤301：UE处于INACTIVE状态，要恢复RRC连接。
步骤302：UE向gNB发送前导码(preamble)。
步骤303：gNB向UE发送随机接入响应(RAR，Random Access Response)。
步骤304：UE向gNB发送RRC恢复请求消息(RRC Resume Request)。
步骤305：gNB向UE发送RRC拒绝消息(RRC Reject)。
图4为本发明实施例的验证网络合法性的方法的流程示意图一，如图4所示，所述验证网络合法性的方法包括以下步骤：
步骤401：第一基站接收终端发送的RRC恢复请求消息。
本发明实施例中，第一基站是指服务终端的目标基站，相对而言，第二基站是指服务终端的源基站。这里，所述第一基站和所述第二基站为不同的基站；或者，所述第一基站和所述第二基站为同一个基站，所述第二基站为保存UE上下文信息的基站。
本发明实施例中，终端可以是手机、平板电脑、笔记本电脑等任意能够与网络侧进行通信的设备。进一步，在终端处于非激活状态下，向所述第一基站发送RRC恢复请求消息。
步骤402：所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入且请求激活UE安全。
步骤403：所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的。
本发明实施例中，所述RRC拒绝消息的完整性保护可以通过所述第一基站实现，也可以通过所述第二基站实现，以下分别进行举例说明。
1)所述RRC拒绝消息的完整性保护通过所述第一基站实现
所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述安全信息包括第一密钥和第一安全算法；如果所述第一基站支持所述第一安全算法，则所述第一基站通过第一SRB(如SRB0)向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的；如果所述第一基站不支持所述第一安全算法，则所述第一基站通过第二SRB(其他SRB)向所述终端发送RRC拒绝消息，所述RRC拒绝消息是非完整性保护的。
这里，所述安全信息中的所述第一密钥为：所述第二基站侧使用的密钥，或者，基于所述第一基站的小区标识信息生成的密钥；所述安全信息中的所述第一安全算法为：所述第二基站侧使用的整性保护算法和加密算法。
在一实施方式中，如果所述第一基站支持所述第一安全算法，则所述第一基站配置等待定时器的第一时长信息，并携带在所述RRC拒绝消息中发送给所述终端；如果所述第一基站不支持所述第一安全算法，则所述第一基站配置等待定时器的第二时长信息，并携带在所述RRC拒绝消息中发送给所述终端；其中，所述第二时长信息小于等于第一时长门限值(如16s)。
具体实现的过程中：第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则将所述安全信息发送给所述第一基站。进一步，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
这里，如果所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述第一基站发送所述RRC拒绝消息后，释放所述终端的UE相关信息，所述终端的UE相关信息包括来自所述终端侧的UE相关信息和来自所述第二基站侧的UE相关信息。
基于上述过程，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
2)所述RRC拒绝消息的完整性保护通过所述第二基站实现
所述第一基站接收所述第二基站发送的第二消息，所述第二消息包括TB数据块，所述TB数据块为所述第二基站通过以下方式生成：激活终端的AS安全，构造RRC拒绝消息并对所述RRC拒绝消息进行完整性保护，生成所述TB数据块；所述第一基站将所述TB数据块通过RRC拒绝消息发送给所述终端，并向所述终端指示所述TB数据块为所述第二基站生成的。
具体实现的过程中：第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、等待定时器的时长信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成所述TB数据块。进一步，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
这里，如果所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
基于上述过程，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
以下结合图5对本发明实施例的所述RRC拒绝消息的完整性保护通过所述第一基站实现进行描述，在图5中，Target-gNB为第一基站，Anchor-gNB为第二基站。如图5所示：
1.UE发送RRC Resume Request消息给网络侧，携带UE的标识I-RNTI以及验证UE合法性的ShortMAC-I信息等。
2.Target-gNB决定拒绝该UE，和/或配置较大的等待定时器时长，则Target-gNB根据I-RNTI寻址Anchor-gNB，并携带一个指示信息，UE的标识I-RNTI以及验证UE合法性的ShortMAC-I信息，Target-gNB的小区标识信息等。其中指示信息用于指示Anchor-gNB，Target-gNB要拒绝该UE且请求激活UE的安全。其中Target-gNB的小区标识信息可以包含目标小区的CGI、PCI以、频率及AFRCN等。
3.Anchor-gNB根据Target-gNB提供的信息，对UE进行合法性验证，验证通过则将安全信息发送给Target-gNB。其中安全信息包括密钥和算法等信息。其中密钥可是原侧小区使用的密钥，也可以是基于目标小区的PCI、ARFCN水平衍生的密钥KgNB*。算法为原侧小区使用的完整性保护算法和加密算法。验证不通过，则指示Target-gNB拒绝该UE。
4.如果Target-gNB支持来自原侧服务基站配置的算法，则原侧基站通过SRB0回复RRC Reject消息给UE。否则Target-gNB通过SRB消息回复RRC Reject消息给UE，此时RRCReject消息至少是完整性保护的。
5.回复完RRC Reject消息后，Target-gNB释放所有关于该终端的信息，包括来自UE的信息以及来自Anchor-gNB的信息。
6.UE收到RRC Reject消息后，验证网络侧的合法性，如果不是假基站，则接受RRCReject消息以及其中的所有配置，包括waittimer。否则不理会该RRC Reject消息，并认为当前服务小区为被禁止(barred)状态，重新选择小区并再次尝试发起RRC连接恢复。
以下结合图6对本发明实施例的所述RRC拒绝消息的完整性保护通过所述第二基站实现进行描述，在图6中，Target-gNB为第一基站，Anchor-gNB为第二基站。如图6所示：
1.UE发送RRC Resume Request消息给网络侧，携带UE的标识I-RNTI以及验证UE合法性的ShortMAC-I信息等。
2.Target-gNB决定拒绝该UE，和/或配置较大的等待定时器时长，则Target-gNB根据I-RNTI寻址Anchor-gNB，并携带一个指示信息，waittimer时长，UE的标识I-RNTI以及验证UE合法性的ShortMAC-I信息，Target-gNB的小区标识信息等。其中指示信息用于指示Anchor-gNB，Target-gNB要拒绝该UE且请求激活UE的安全。其中Target-gNB的小区标识信息可以包含目标小区的CGI、PCI以、频率及AFRCN等。Waittimer时长指Target-gNB预计给UE配置的定时器时长。
3.Anchor-gNB根据Target-gNB提供的信息，对UE进行合法性验证，验证通过则激活UE的AS安全，构造RRC Reject消息并对其进行完整性保护，生成最后的TB数据块。并将该数据块发送给Target-gNB。验证不通过，则指示Target-gNB拒绝该UE。
4.Target-gNB将该数据块通过RRC Reject消息发送给UE，并指示UE该数据块为Anchor-gNB给出的TB数据块。
5.UE收到RRC Reject消息后，验证网络侧的合法性，如果不是假基站，则接受RRCReject消息以及其中的所有配置，包括waittimer。否则不理会该RRC Reject消息，并认为当前服务小区为barred状态，重新选择小区并再次尝试发起RRC连接恢复。
图7为本发明实施例的验证网络合法性的方法的流程示意图四，如图7所示，所述验证网络合法性的方法包括以下步骤：
步骤701：第一基站接收终端发送的RRC恢复请求消息。
本发明实施例中，第一基站是指服务终端的目标基站，相对而言，第二基站是指服务终端的源基站。这里，所述第一基站和所述第二基站为不同的基站；或者，所述第一基站和所述第二基站为同一个基站，所述第二基站为保存UE上下文信息的基站。
本发明实施例中，终端可以是手机、平板电脑、笔记本电脑等任意能够与网络侧进行通信的设备。进一步，在终端处于非激活状态下，向所述第一基站发送RRC恢复请求消息。
步骤702：所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入。
步骤703：所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法。
本发明实施例中，所述RRC拒绝消息中携带的第一安全戳信息可以通过所述第二基站生成，也可以通过所述第一基站生成，以下分别进行举例说明。
1)所述第一安全戳信息通过所述第二基站生成：所述第二基站基于第一计算参数以及第二配置函数生成第一安全戳信息；或者，所述第二基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，生成第一安全戳信息。
基于此，所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带所述第一安全戳信息和所述第一计算参数，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
这里，所述第二基站侧的所述第二配置函数通过以下方式配置：通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第二基站。
这里，所述终端侧的所述第二配置函数通过以下方式配置：所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
具体实现的过程中：第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成第一安全戳信息，并将所述第一安全戳信息发送给所述第一基站。进一步，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
这里，如果所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
基于上述过程，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
2)所述第一安全戳信息通过所述第一基站生成
所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述第一基站基于所述安全信息生成第一安全戳信息，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
这里，所述安全信息具有如下三种情况：
>所述安全信息包括第一计算参数；相应地，所述第一基站基于所述第一计算参数以及第二配置函数生成第一安全戳信息；或者，
>所述安全信息包括安全密钥和安全算法；相应地，所述第一基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，采用所述安全密钥和安全算法生成第一安全戳信息；或者，
>所述安全信息包括第一计算参数、安全密钥和安全算法；相应地，所述第一基站基于所述第一计算参数以及第二配置函数，采用所述安全密钥和安全算法生成第一安全戳信息。
这里，所述第一基站侧的所述第二配置函数通过以下方式配置：通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第一基站；或者，通过所述所述第二基站配置所述第二配置函数。
这里，所述终端侧的所述第二配置函数通过以下方式配置：所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
具体实现的过程中：第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过将安全信息和/或所述第二基站的小区标识信息发送给所述第一基站。进一步，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
这里，如果所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
基于上述过程，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
以下结合图8对本发明实施例的所述RRC拒绝消息中携带的第一安全戳信息可以通过所述第二基站生成进行描述，在图8中，Target-gNB为第一基站，Anchor-gNB为第二基站。如图8所示：
1.在网络侧负责处理RRC Reject消息之前，网络侧通过如下三个方案方案获取生成安全戳信息的预配置信息。
Option 1：通过OAM给所有基站配置生成安全戳的函数，该函数用于生成安全戳，函数的原型可以是function(Counter，I-RNTI，ShortMAC-I)或者function(Counter，I-RNTI)。输入参数不限于这几个参数。UE获取该函数信息是通过USIM卡中预配置获取。
Option 2：Anchor-gNB生成安全戳，例如shortMAC-I，该shortMAC-I将会配置在RRC Reject消息中，用于UE验证网络侧的合法性。网络侧生成ShortMAC-I的输入可以是：Anchor-gNB和目标测基站小区的标识信息，UE标识信息，以及其他一些常量信息，例如BEARER，COUNT，DIRECTION，例如都设置为0或者2等。安全密钥和算法采用Anchor-gNB的使用的密钥和算法。
Option 3：当原侧服务基站释放UE到INACTIVE状态时，给UE配置用于计算安全戳的函数信息，并将该函数信息作为UE的上下文保存。
2.UE发送RRC Resume Request消息给网络侧，携带UE的标识I-RNTI以及验证UE合法性的ShortMAC-I信息等。
3.Target-gNB决定拒绝该UE，和/或配置较大的等待定时器时长，则Target-gNB根据I-RNTI寻址Anchor-gNB，并携带一个指示信息，UE的标识I-RNTI以及验证UE合法性的ShortMAC-I信息，Target-gNB的小区标识信息等。其中指示信息用于指示Anchor-gNB，Target-gNB要拒绝该UE。其中Target-gNB的小区标识信息可以包含目标小区的CGI、PCI以、频率及AFRCN等。
4.Anchor-gNB根据Target-gNB提供的信息，对UE进行合法性验证，验证通过则计算安全戳信息。并将安全戳信息以及COUNTER发送给Target-gNB。验证不通过，则指示Target-gNB拒绝该UE。
5.Target-gNB将在RRC Reject消息中携带Anchor-gNB发送的安全戳信息以及COUNTER信息，并发给UE。
6.UE收到RRC Reject消息后，将根据COUNTER信息以及预配置的计算安全戳函数计算新的安全戳，并与网络侧配置的安全戳进行对比判断是否Target-gNB为假基站。如果不是假基站，则接受RRC Reject消息以及其中的所有配置，包括waittimer。否则不理会该RRC Reject消息，并认为当前服务小区为barred状态，重新选择小区并再次尝试发起RRC连接恢复。
以下结合图9对本发明实施例的所述RRC拒绝消息中携带的第一安全戳信息可以通过所述第一基站生成进行描述，在图9中，Target-gNB为第一基站，Anchor-gNB为第二基站。如图9所示：
1.在网络侧负责处理RRC Reject消息之前，网络侧通过如下三个方案方案获取生成安全戳信息的预配置信息。
Option 1：通过OAM给所有基站配置生成安全戳的函数，该函数用于生成安全戳，函数的原型可以是function(Counter，I-RNTI，ShortMAC-I)或者function(Counter，I-RNTI)。输入参数不限于这几个参数。UE获取该函数信息是通过USIM卡中预配置获取。
Option 2：Target-gNB生成安全戳，例如shortMAC-I，该shortMAC-I将会配置在RRC Reject消息中，用于UE验证网络侧的合法性。网络侧生成ShortMAC-I的输入可以是：Anchor-gNB和目标测基站小区的标识信息，UE标识信息，以及其他一些常量信息，例如BEARER，COUNT，DIRECTION，例如都设置为0或者2等。安全密钥和算法采用Anchor-gNB的使用的密钥和算法。
Option 3：当原侧服务基站释放UE到INACTIVE状态时，给UE配置用于计算安全戳的函数信息，并将该函数信息作为UE的上下文保存。
2.UE发送RRC Resume Request消息给网络侧，携带UE的标识I-RNTI以及验证UE合法性的ShortMAC-I信息等。
3.Target-gNB决定拒绝该UE，和/或配置较大的等待定时器时长，则Target-gNB根据I-RNTI寻址Anchor-gNB，并携带一个指示信息，UE的标识I-RNTI以及验证UE合法性的ShortMAC-I信息，Target-gNB的小区标识信息等。其中指示信息用于指示Anchor-gNB，Target-gNB要拒绝该UE。其中Target-gNB的小区标识信息可以包含目标小区的CGI、PCI以、频率及AFRCN等。
4.Anchor-gNB根据Target-gNB提供的信息，对UE进行合法性验证，验证通过则将安全信息，和/或原侧小区标识信息发送给Target-gNB。验证不通过，则指示Target-gNB拒绝该UE。
如果步骤1中选择option 1：其中安全信息包Counter。
如果步骤1中选择option 2：其中安全信息包括密钥和算法等信息。其中密钥可是原侧小区使用的密钥，也可以是基于目标小区的PCI、ARFCN水平衍生的密钥KgNB*。算法为原侧小区使用的完整性保护算法和加密算法。原侧小区标识信息包括目标小区的CGI、PCI以、频率及AFRCN等。
如果步骤1中选择option 3：其中安全信息包括密钥和算法等信息，Counter。其中密钥可是原侧小区使用的密钥，也可以是基于目标小区的PCI、ARFCN水平衍生的密钥KgNB*。算法为原侧小区使用的完整性保护算法和加密算法。原侧小区标识信息包括目标小区的CGI、PCI以、频率及AFRCN等。同时原侧服务基站还要将预配置给UE的计算安全戳的函数发送给Target-gNB。
5.Target-gNB计算安全戳，并且Target-gNB将在RRC Reject消息中携带安全戳信息以及COUNTER信息，并发给UE。
6.UE收到RRC Reject消息后，将根据COUNTER信息以及预配置的计算安全戳函数计算新的安全戳，并与网络侧配置的安全戳进行对比判断是否Target-gNB为假基站。如果不是假基站，则接受RRC Reject消息以及其中的所有配置，包括waittimer。否则不理会该RRC Reject消息，并认为当前服务小区为barred状态，重新选择小区并再次尝试发起RRC连接恢复。
对于上述图7至图9所述的方案中，每当UE进入RRC连接状态或者进行AS密钥更新，Counter可以进行重置为0。
图10为本发明实施例的验证网络合法性的方法的流程示意图七，如图10所示，所述验证网络合法性的方法包括以下步骤：
步骤1001：第一基站接收终端发送的RRC连接建立请求消息。
本发明实施例中，第一基站是指服务终端的目标基站。
本发明实施例中，终端可以是手机、平板电脑、笔记本电脑等任意能够与网络侧进行通信的设备。进一步，在终端处于非激活状态下，向所述第一基站发送RRC连接建立请求消息。
本发明实施例中，在5G系统中，第一核心网网元是指AMF。不局限次，第一核心网网根据不同的无线系统而具有不同的名称。
步骤1002：所述第一基站确定拒绝所述终端的接入，向第一核心网网元发送第三消息，所述第三消息用于向所述第一核心网网元指示所述第一基站确定拒绝所述终端的接入。
步骤1003：所述第一基站接收所述第一核心网网元发送的第四消息，基于所述第四消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法。
本发明实施例中，所述RRC拒绝消息中携带的第一安全戳信息可以通过所述第一基站生成，也可以通过所述第一核心网网元生成，以下分别进行举例说明。
1)所述第一安全戳信息通过所述第一基站生成
所述第一基站接收所述第一核心网网元发送的第四消息，所述第四消息携带第一计算参数；所述第一基站基于所述第一计算参数以及第三配置函数生成第一安全戳信息；所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
这里，所述第一基站侧的所述第三配置函数通过以下方式配置：通过OAM为至少一个基站配置用于计算安全戳信息的第三配置函数，所述至少一个基站包括所述第一基站。
这里，所述终端侧的所述第三配置函数通过以下方式配置：在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
具体实现过程中：第一基站接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带所述第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一计算参数通过所述第四消息发送给所述第一基站。
基于上述过程，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
2)所述第一安全戳信息通过所述第一核心网网元生成：所述第一核心网网元基于第一计算参数以及第三配置函数生成第一安全戳信息；或者，所述第一核心网网元基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，生成第一安全戳信息。
基于此，所述第一基站接收所述第一核心网网元发送的第四消息，所述第四消息携带第一安全戳信息和第一计算参数，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
这里，所述第一核心网网元侧的所述第三配置函数通过以下方式配置：通过OAM为至少一个核心网网元配置用于计算安全戳信息的第三配置函数，所述至少一个核心网网元包括所述第一核心网网元。
这里，所述终端侧的所述第三配置函数通过以下方式配置：所述终端向网络注册时，所述第一核心网网元为所述终端配置用于计算安全戳信息的第三配置函数；或者，在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
具体实现过程中：第一基站接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带所述第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一安全戳信息和所述第一计算参数通过所述第四消息发送给所述第一基站。
基于上述过程，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
以下结合图11对本发明实施例的所述RRC拒绝消息中携带的第一安全戳信息可以通过所述第一基站生成进行描述，在图11中，Target-gNB为第一基站，AMF为第一核心网网元。如图11所示：
1.在网络侧负责处理RRC Reject消息之前，通过OAM给所有基站配置生成安全戳的函数，该函数用于生成安全戳，函数的原型可以是function(S-TMSI，Counter)，输入参数不限于这几个参数。
2.UE发送RRC Connection Request消息给网络侧，携带UE的标识S-TMSI信息等。
3.Target-gNB决定拒绝该UE，和/或配置较大的等待定时器时长，则Target-gNB根据S-TMSI寻址目标AMF，并向AMF发送一个消息，消息指示AMF，该基站要拒绝UE连接请求，AMF配置Counter。
4.Target-gNB根据预配置计算安全戳的函数以及来自AMF的counter计算安全戳，并在RRC Reject消息中携带给UE，RRC Reject消息中携带安全戳，counter，waittimer等信息。
5.UE收到RRC Reject消息后，将根据COUNTER信息以及预配置的计算安全戳函数计算新的安全戳，并与网络侧配置的安全戳进行对比判断是否Target-gNB为假基站。如果不是假基站，则接受RRC Reject消息以及其中的所有配置，包括waittimer。否则不理会该RRC Reject消息，并认为当前服务小区为barred状态，重新选择小区并再次尝试发起RRC连接恢复。
以下结合图12对本发明实施例的所述RRC拒绝消息中携带的第一安全戳信息可以通过所述第一核心网网元生成进行描述，在图12中，Target-gNB为第一基站，AMF为第一核心网网元。如图12所示：
1.在网络侧负责处理RRC Reject消息之前，AMF侧通过如下三个方案方案获取生成安全戳信息的预配置信息。
Option 1：通过OAM给所有基站配置生成安全戳的函数，该函数用于生成安全戳，函数的原型可以是function(Counter，S-TMSI)，输入参数不限于这几个参数。UE获取该函数信息是通过USIM卡中预配置获取。
Option 2：AMF生成安全戳，例如AMF基于NAS层的安全密钥和算法生成shortMAC-I，该shortMAC-I将会配置在RRC Reject消息中，用于UE验证网络侧的合法性。网络侧生成ShortMAC-I的输入可以是但不限于：Anchor-gNB和目标测基站小区的标识信息，UE标识信息，以及其他一些常量信息，例如BEARER，COUNT，DIRECTION，例如都设置为0或者2等。安全密钥和算法采用Anchor-gNB的使用的密钥和算法。
Option 3：当UE注册网络侧，AMF给UE配置用于计算安全戳的函数信息，并将该函数信息作为UE的上下文保存。
2.UE发送RRC Connection Request消息给网络侧，携带UE的标识S-TMSI信息等。
3.Target-gNB决定拒绝该UE，和/或配置较大的等待定时器时长，则Target-gNB根据S-TMSI寻址目标AMF，并向AMF发送一个消息，消息指示AMF，该基站要拒绝UE连接请求，AMF计算安全戳，并配置安全戳和Counter给Target-gNB。
4.Target-gNB将来自AMF的counter和安全戳，配置在RRC Reject消息中携带给UE，RRC Reject消息中携带安全戳，counter，waittimer等信息。
5.UE收到RRC Reject消息后，将根据COUNTER信息以及预配置的计算安全戳函数计算新的安全戳，并与网络侧配置的安全戳进行对比判断是否Target-gNB为假基站。如果不是假基站，则接受RRC Reject消息以及其中的所有配置，包括waittimer。否则不理会该RRC Reject消息，并认为当前服务小区为barred状态，重新选择小区并再次尝试发起RRC连接恢复。
对于上述图10至图12所述的方案中，当UE的S-TMSI或者NAS密钥进行安全更新时，Counter可以重置为0。
图13为本发明实施例的验证网络合法性的装置的结构组成示意图一，如图13所示，所述装置包括：
第一接收单元1301，用于接收终端发送的RRC恢复请求消息；
第一发送单元1302，用于确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入且请求激活UE安全；
第二接收单元1303，用于接收所述第二基站发送的第二消息；
第二发送单元1304，用于基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的。
在一实施方式中，所述RRC拒绝消息的完整性保护通过所述第一基站实现；
所述第二接收单元1303，用于接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述安全信息包括第一密钥和第一安全算法；
所述第二发送单元1304，用于如果所述第一基站支持所述第一安全算法，则通过第一SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的；如果所述第一基站不支持所述第一安全算法，则通过第二SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是非完整性保护的。
在一实施方式中，所述装置还包括：
配置单元1305，用于如果所述第一基站支持所述第一安全算法，则配置等待定时器的第一时长信息，并携带在所述RRC拒绝消息中发送给所述终端；如果所述第一基站不支持所述第一安全算法，则配置等待定时器的第二时长信息，并携带在所述RRC拒绝消息中发送给所述终端；其中，所述第二时长信息小于等于第一时长门限值。
在一实施方式中，所述安全信息中的所述第一密钥为：所述第二基站侧使用的密钥，或者，基于所述第一基站的小区标识信息生成的密钥；
所述安全信息中的所述第一安全算法为：所述第二基站侧使用的整性保护算法和加密算法。
在一实施方式中，所述第一接收单元1301，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一发送单元1302，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则将所述安全信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述装置还包括：
释放单元1306，用于释放所述终端的UE相关信息，所述终端的UE相关信息包括来自所述终端侧的UE相关信息和来自所述第二基站侧的UE相关信息。
在一实施方式中，所述RRC拒绝消息的完整性保护通过所述第二基站实现；
所述第二接收单元1303，用于接收所述第二基站发送的第二消息，所述第二消息包括TB数据块，所述TB数据块为所述第二基站通过以下方式生成：激活终端的AS安全，构造RRC拒绝消息并对所述RRC拒绝消息进行完整性保护，生成所述TB数据块；
所述第二发送单元1304，用于将所述TB数据块通过RRC拒绝消息发送给所述终端，并向所述终端指示所述TB数据块为所述第二基站生成的。
在一实施方式中，所述第一接收单元1301，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一发送单元1302，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、等待定时器的时长信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成所述TB数据块。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本领域技术人员应当理解，图13所示的验证网络合法性的装置中的各单元的实现功能可参照前述验证网络合法性的方法的相关描述而理解。图13所示的验证网络合法性的装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
图14为本发明实施例的验证网络合法性的装置的结构组成示意图二，如图14所示，所述装置包括：
第一接收单元1401，用于接收终端发送的RRC恢复请求消息；
第一发送单元1402，用于确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入；
第二接收单元1403，用于接收所述第二基站发送的第二消息；
第二发送单元1404，用于基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法。
在一实施方式中，所述第一安全戳信息通过所述第二基站生成；
所述第二基站基于第一计算参数以及第二配置函数生成第一安全戳信息；或者，所述第二基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，生成第一安全戳信息；
所述第二接收单元1403，用于接收所述第二基站发送的第二消息，所述第二消息携带所述第一安全戳信息和所述第一计算参数；
所述第二发送单元1404，用于向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第二基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第二基站。
在一实施方式中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
在一实施方式中，所述第一接收单元1401，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一发送单元1402，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成第一安全戳信息，并将所述第一安全戳信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述第一安全戳信息通过所述第一基站生成；
所述第二接收单元1403，用于接收所述第二基站发送的第二消息，所述第二消息携带安全信息；
所述第二发送单元1404，用于基于所述安全信息生成第一安全戳信息，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述安全信息包括第一计算参数；相应地，所述第一基站基于所述第一计算参数以及第二配置函数生成第一安全戳信息；或者，
所述安全信息包括安全密钥和安全算法；相应地，所述第一基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，采用所述安全密钥和安全算法生成第一安全戳信息；或者，
所述安全信息包括第一计算参数、安全密钥和安全算法；相应地，所述第一基站基于所述第一计算参数以及第二配置函数，采用所述安全密钥和安全算法生成第一安全戳信息。
在一实施方式中，所述第一基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第一基站；或者，
通过所述所述第二基站配置所述第二配置函数。
在一实施方式中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
在一实施方式中，所述第一接收单元1401，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
在一实施方式中，所述第一发送单元1402，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过将安全信息和/或所述第二基站的小区标识信息发送给所述第一基站。
在一实施方式中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
在一实施方式中，所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过，则向所述第一基站发送第二指示信息，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本领域技术人员应当理解，图14所示的验证网络合法性的装置中的各单元的实现功能可参照前述验证网络合法性的方法的相关描述而理解。图14所示的验证网络合法性的装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
图15为本发明实施例的验证网络合法性的装置的结构组成示意图三，如图15所示，所述装置包括：
第一接收单元1501，用于接收终端发送的RRC连接建立请求消息；
第三发送单元1502，用于向第一核心网网元发送第三消息，所述第三消息用于向所述第一核心网网元指示所述第一基站确定拒绝所述终端的接入；
第三接收单元1503，用于接收所述第一核心网网元发送的第四消息；
第二发送单元1504，用于基于所述第四消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法。
在一实施方式中，所述第一安全戳信息通过所述第一基站生成；
所述第三接收单元1503，用于接收所述第一核心网网元发送的第四消息，所述第四消息携带第一计算参数；
所述第二发送单元1504，用于基于所述第一计算参数以及第三配置函数生成第一安全戳信息；向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第一基站侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第三配置函数，所述至少一个基站包括所述第一基站。
在一实施方式中，所述终端侧的所述第三配置函数通过以下方式配置：
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
在一实施方式中，所述第一接收单元1501，用于接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
在一实施方式中，所述第三发送单元1502，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带所述第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一计算参数通过所述第四消息发送给所述第一基站。
在一实施方式中，所述第一安全戳信息通过所述第一核心网网元生成；
所述第一核心网网元基于第一计算参数以及第三配置函数生成第一安全戳信息；或者，所述第一核心网网元基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，生成第一安全戳信息；
所述第三接收单元1503，用于接收所述第一核心网网元发送的第四消息，所述第四消息携带第一安全戳信息和第一计算参数；
所述第二发送单元1504，用于向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
在一实施方式中，所述第一核心网网元侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个核心网网元配置用于计算安全戳信息的第三配置函数，所述至少一个核心网网元包括所述第一核心网网元。
在一实施方式中，所述终端侧的所述第三配置函数通过以下方式配置：
所述终端向网络注册时，所述第一核心网网元为所述终端配置用于计算安全戳信息的第三配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
在一实施方式中，所述第一接收单元1501，用于接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
在一实施方式中，所述第三发送单元1502，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带所述第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一安全戳信息和所述第一计算参数通过所述第四消息发送给所述第一基站。
在一实施方式中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
本领域技术人员应当理解，图15所示的验证网络合法性的装置中的各单元的实现功能可参照前述验证网络合法性的方法的相关描述而理解。图15所示的验证网络合法性的装置中的各单元的功能可通过运行于处理器上的程序而实现，也可通过具体的逻辑电路而实现。
本发明实施例上述验证网络合法性的装置如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read OnlyMemory)、磁碟或者光盘等各种可以存储程序代码的介质。这样，本发明实施例不限制于任何特定的硬件和软件结合。
相应地，本发明实施例还提供一种计算机存储介质，其中存储有计算机可执行指令，该计算机可执行指令被处理器执行时实现本发明实施例的上述验证网络合法性的方法。
图16为本发明实施例的计算机设备的结构组成示意图，如图16所示，计算机设备100可以包括一个或多个(图中仅示出一个)处理器1002(处理器1002可以包括但不限于微处理器(MCU，Micro Controller Unit)或可编程逻辑器件(FPGA，Field ProgrammableGate Array)等的处理装置)、用于存储数据的存储器1004、以及用于通信功能的传输装置1006。本领域普通技术人员可以理解，图16所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机设备100还可包括比图16中所示更多或者更少的组件，或者具有与图16所示不同的配置。
存储器1004可用于存储应用软件的软件程序以及模块，如本发明实施例中的方法对应的程序指令/模块，处理器1002通过运行存储在存储器1004内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器1004可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器1004可进一步包括相对于处理器1002远程设置的存储器，这些远程存储器可以通过网络连接至计算机设备100。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
传输装置1006用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机设备100的通信供应商提供的无线网络。在一个实例中，传输装置1006包括一个网络适配器(NIC，Network Interface Controller)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置1006可以为射频(RF，Radio Frequency)模块，其用于通过无线方式与互联网进行通讯。
本发明实施例所记载的技术方案之间，在不冲突的情况下，可以任意组合。
在本发明所提供的几个实施例中，应该理解到，所揭露的方法和智能设备，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。
上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。
另外，在本发明各实施例中的各功能单元可以全部集成在一个第二处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。

Claims (85)

1.一种验证网络合法性的方法，所述方法包括：
第一基站接收终端发送的RRC恢复请求消息；
所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入且请求激活UE安全；
所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的；
其中，所述RRC拒绝消息的完整性保护通过所述第一基站实现；
所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，包括：
所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述安全信息包括第一密钥和第一安全算法；
如果所述第一基站支持所述第一安全算法，则所述第一基站通过第一SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的；如果所述第一基站不支持所述第一安全算法，则所述第一基站通过第二SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是非完整性保护的。
2.根据权利要求1所述的方法，其中，所述方法还包括：
如果所述第一基站支持所述第一安全算法，则所述第一基站配置等待定时器的第一时长信息，并携带在所述RRC拒绝消息中发送给所述终端；
如果所述第一基站不支持所述第一安全算法，则所述第一基站配置等待定时器的第二时长信息，并携带在所述RRC拒绝消息中发送给所述终端；其中，所述第二时长信息小于等于第一时长门限值。
3.根据权利要求1所述的方法，其中，
所述安全信息中的所述第一密钥为：所述第二基站侧使用的密钥，或者，基于所述第一基站的小区标识信息生成的密钥；
所述安全信息中的所述第一安全算法为：所述第二基站侧使用的完整性保护算法和加密算法。
4.根据权利要求1至3任一项所述的方法，其中，所述第一基站接收终端发送的RRC恢复请求消息，包括：
第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
5.根据权利要求4所述的方法，其中，所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则将所述安全信息发送给所述第一基站。
6.根据权利要求5所述的方法，其中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
7.根据权利要求5所述的方法，还包括：
从第二基站接收第二指示信息，其中，所述第二指示信息在所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过时被发送给所述第一基站，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
8.根据权利要求1至3任一项所述的方法，其中，所述方法还包括：
所述第一基站发送所述RRC拒绝消息后，释放所述终端的UE相关信息，所述终端的UE相关信息包括来自所述终端侧的UE相关信息和来自所述第二基站侧的UE相关信息。
9.根据权利要求1所述的方法，其中，所述RRC拒绝消息的完整性保护通过所述第二基站实现；
所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，包括：
所述第一基站接收所述第二基站发送的第二消息，所述第二消息包括TB数据块，所述TB数据块为所述第二基站通过以下方式生成：激活终端的AS安全，构造RRC拒绝消息并对所述RRC拒绝消息进行完整性保护，生成所述TB数据块；
所述第一基站将所述TB数据块通过RRC拒绝消息发送给所述终端，并向所述终端指示所述TB数据块为所述第二基站生成的。
10.根据权利要求9所述的方法，其中，所述第一基站接收终端发送的RRC恢复请求消息，包括：
第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
11.根据权利要求10所述的方法，其中，所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、等待定时器的时长信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成所述TB数据块。
12.根据权利要求11所述的方法，其中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
13.根据权利要求11所述的方法，还包括：
从所述第二基站接收第二指示信息，其中，所述第二指示信息在所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过时被发送给所述第一基站，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
14.根据权利要求1至3任一项所述的方法，其中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
15.一种验证网络合法性的方法，所述方法包括：
第一基站接收终端发送的RRC恢复请求消息；
所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示所述第一基站确定拒绝所述终端的接入；
所述第一基站接收所述第二基站发送的第二消息，基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法；
其中，所述第一安全戳信息由所述第二基站基于第一计算参数以及第二配置函数生成；或者，所述第一安全戳信息由所述第二基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个生成；
所述第一基站接收所述第二基站发送的所述第二消息，基于所述第二消息向所述终端发送所述RRC拒绝消息包括：
所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带所述第一安全戳信息和所述第一计算参数，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
16.根据权利要求15所述的方法，其中，所述第二基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第二基站。
17.根据权利要求15所述的方法，其中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
18.根据权利要求15至17任一项所述的方法，其中，所述第一基站接收终端发送的RRC恢复请求消息，包括：
第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
19.根据权利要求18所述的方法，其中，所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成第一安全戳信息，并将所述第一安全戳信息发送给所述第一基站。
20.根据权利要求19所述的方法，其中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
21.根据权利要求19所述的方法，其中，还包括：
从所述第二基站接收第二指示信息，其中，所述第二指示信息在所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过时被发送给所述第一基站，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
22.根据权利要求15所述的方法，其中，所述第一安全戳信息通过所述第一基站生成；
所述第一基站接收所述第二基站发送的所述第二消息，基于所述第二消息向所述终端发送所述RRC拒绝消息包括：
所述第一基站接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述第一基站基于所述安全信息生成第一安全戳信息，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
23.根据权利要求22所述的方法，其中，
所述安全信息包括第一计算参数；相应地，所述第一基站基于所述第一计算参数以及第二配置函数生成第一安全戳信息；或者，
所述安全信息包括安全密钥和安全算法；相应地，所述第一基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，采用所述安全密钥和安全算法生成第一安全戳信息；或者，
所述安全信息包括第一计算参数、安全密钥和安全算法；相应地，所述第一基站基于所述第一计算参数以及第二配置函数，采用所述安全密钥和安全算法生成第一安全戳信息。
24.根据权利要求23所述的方法，其中，所述第一基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第一基站；或者，
通过所述第二基站配置所述第二配置函数。
25.根据权利要求22至24任一项所述的方法，其中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
26.根据权利要求22至24任一项所述的方法，其中，所述第一基站接收终端发送的RRC恢复请求消息，包括：
第一基站接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
27.根据权利要求26所述的方法，其中，所述第一基站确定拒绝所述终端的接入，向第二基站发送第一消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过将安全信息和/或所述第二基站的小区标识信息发送给所述第一基站。
28.根据权利要求27所述的方法，其中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
29.根据权利要求27所述的方法，还包括：
从所述第二基站接收第二指示信息，其中，所述第二指示信息在所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过被发送给所述第一基站，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
30.根据权利要求15至17任一项所述的方法，其中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
31.一种验证网络合法性的方法，所述方法包括：
第一基站接收终端发送的RRC连接建立请求消息；
所述第一基站确定拒绝所述终端的接入，向第一核心网网元发送第三消息，所述第三消息用于向所述第一核心网网元指示所述第一基站确定拒绝所述终端的接入；
所述第一基站接收所述第一核心网网元发送的第四消息，基于所述第四消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法；
其中，所述第一安全戳信息通过所述第一基站生成；
所述第一基站接收所述第一核心网网元发送的第四消息，基于所述第四消息向所述终端发送RRC拒绝消息，包括：
所述第一基站接收所述第一核心网网元发送的第四消息，所述第四消息携带第一计算参数；
所述第一基站基于所述第一计算参数以及第三配置函数生成第一安全戳信息；所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
32.根据权利要求31所述的方法，其中，所述第一基站侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第三配置函数，所述至少一个基站包括所述第一基站。
33.根据权利要求31所述的方法，其中，所述终端侧的所述第三配置函数通过以下方式配置：
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
34.根据权利要求31至33任一项所述的方法，其中，所述第一基站接收终端发送的RRC连接建立请求消息，包括：
第一基站接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
35.根据权利要求34所述的方法，其中，所述第一基站确定拒绝所述终端的接入，向第一核心网网元发送第三消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一计算参数通过所述第四消息发送给所述第一基站。
36.根据权利要求31所述的方法，其中，所述第一安全戳信息由所述第一核心网网元基于第一计算参数以及第三配置函数生成；或者，所述第一安全戳信息由所述第一核心网网元基于所述第一基站的小区标识信息、第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个生成；
所述第一基站接收所述第一核心网网元发送的所述第四消息，基于所述第四消息向所述终端发送所述RRC拒绝消息，包括：
所述第一基站接收所述第一核心网网元发送的第四消息，所述第四消息携带所述第一安全戳信息和所述第一计算参数;
所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
37.根据权利要求36所述的方法，其中，所述第一核心网网元侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个核心网网元配置用于计算安全戳信息的第三配置函数，所述至少一个核心网网元包括所述第一核心网网元。
38.根据权利要求36所述的方法，其中，所述终端侧的所述第三配置函数通过以下方式配置：
所述终端向网络注册时，所述第一核心网网元为所述终端配置用于计算安全戳信息的第三配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
39.根据权利要求36至38任一项所述的方法，其中，所述第一基站接收终端发送的RRC连接建立请求消息，包括：
第一基站接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
40.根据权利要求39所述的方法，其中，所述第一基站确定拒绝所述终端的接入，向第一核心网网元发送第三消息，包括：
如果所述第一基站确定拒绝所述终端的接入，则所述第一基站基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一安全戳信息和所述第一计算参数通过所述第四消息发送给所述第一基站。
41.根据权利要求31至33任一项所述的方法，其中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
42.一种验证网络合法性的装置，所述装置包括：
第一接收单元，用于接收终端发送的RRC恢复请求消息；
第一发送单元，用于确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示第一基站确定拒绝所述终端的接入且请求激活UE安全；
第二接收单元，用于接收所述第二基站发送的第二消息；
第二发送单元，用于基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的；
其中，所述RRC拒绝消息的完整性保护通过所述第一基站实现；
所述第二接收单元，用于接收所述第二基站发送的第二消息，所述第二消息携带安全信息，所述安全信息包括第一密钥和第一安全算法；
所述第二发送单元，用于如果所述第一基站支持所述第一安全算法，则通过第一SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是完整性保护的；如果所述第一基站不支持所述第一安全算法，则通过第二SRB向所述终端发送RRC拒绝消息，所述RRC拒绝消息是非完整性保护的。
43.根据权利要求42所述的装置，其中，所述装置还包括：
配置单元，用于如果所述第一基站支持所述第一安全算法，则配置等待定时器的第一时长信息，并携带在所述RRC拒绝消息中发送给所述终端；如果所述第一基站不支持所述第一安全算法，则配置等待定时器的第二时长信息，并携带在所述RRC拒绝消息中发送给所述终端；其中，所述第二时长信息小于等于第一时长门限值。
44.根据权利要求42所述的装置，其中，
所述安全信息中的所述第一密钥为：所述第二基站侧使用的密钥，或者，基于所述第一基站的小区标识信息生成的密钥；
所述安全信息中的所述第一安全算法为：所述第二基站侧使用的完整性保护算法和加密算法。
45.根据权利要求42至44任一项所述的装置，其中，所述第一接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
46.根据权利要求45所述的装置，其中，所述第一发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则将所述安全信息发送给所述第一基站。
47.根据权利要求46所述的装置，其中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
48.根据权利要求46所述的装置，其中，所述第二接收单元用于从所述第二基站接收第二指示信息，所述第二指示信息在所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过时被发送给所述第一基站，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
49.根据权利要求42至44任一项所述的装置，其中，所述装置还包括：
释放单元，用于释放所述终端的UE相关信息，所述终端的UE相关信息包括来自所述终端侧的UE相关信息和来自所述第二基站侧的UE相关信息。
50.根据权利要求42所述的装置，其中，所述RRC拒绝消息的完整性保护通过所述第二基站实现；
所述第二接收单元，用于接收所述第二基站发送的第二消息，所述第二消息包括TB数据块，所述TB数据块为所述第二基站通过以下方式生成：激活终端的AS安全，构造RRC拒绝消息并对所述RRC拒绝消息进行完整性保护，生成所述TB数据块；
所述第二发送单元，用于将所述TB数据块通过RRC拒绝消息发送给所述终端，并向所述终端指示所述TB数据块为所述第二基站生成的。
51.根据权利要求50所述的装置，其中，所述第一接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
52.根据权利要求51所述的装置，其中，所述第一发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、等待定时器的时长信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成所述TB数据块。
53.根据权利要求52所述的装置，其中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
54.根据权利要求52所述的装置，其中，所述第二接收单元还用于从所述第二基站接收第二指示信息，所述第二指示信息在所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过时被发送给所述第一基站，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
55.根据权利要求42至44任一项所述的装置，其中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
56.一种验证网络合法性的装置，所述装置包括：
第一接收单元，用于接收终端发送的RRC恢复请求消息；
第一发送单元，用于确定拒绝所述终端的接入，向第二基站发送第一消息，所述第一消息携带第一指示信息，所述第一指示信息用于向所述第二基站指示第一基站确定拒绝所述终端的接入；
第二接收单元，用于接收所述第二基站发送的第二消息；
第二发送单元，用于基于所述第二消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法；
其中，所述第一安全戳信息由所述第二基站基于第一计算参数以及第二配置函数生成；或者，所述第一安全戳信息由所述第二基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个生成；
所述第二接收单元，用于接收所述第二基站发送的第二消息，所述第二消息携带所述第一安全戳信息和所述第一计算参数；
所述第二发送单元，用于向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
57.根据权利要求56所述的装置，其中，所述第二基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第二基站。
58.根据权利要求56所述的装置，其中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
59.根据权利要求56至58任一项所述的装置，其中，所述第一接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
60.根据权利要求59所述的装置，其中，所述第一发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过则生成第一安全戳信息，并将所述第一安全戳信息发送给所述第一基站。
61.根据权利要求60所述的装置，其中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
62.根据权利要求60所述的装置，其中，所述第二接收单元还用于从所述第二基站接收第二指示信息，所述第二指示信息在所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过时被发送给所述第一基站，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
63.根据权利要求56所述的装置，其中，所述第一安全戳信息通过所述第一基站生成；
所述第二接收单元，用于接收所述第二基站发送的第二消息，所述第二消息携带安全信息；
所述第二发送单元，用于基于所述安全信息生成第一安全戳信息，所述第一基站向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和第一计算参数，从而所述终端基于所述第一计算参数以及第二配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
64.根据权利要求63所述的装置，其中，
所述安全信息包括第一计算参数；相应地，所述第一基站基于所述第一计算参数以及第二配置函数生成第一安全戳信息；或者，
所述安全信息包括安全密钥和安全算法；相应地，所述第一基站基于所述第一基站的小区标识信息、所述第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个，采用所述安全密钥和安全算法生成第一安全戳信息；或者，
所述安全信息包括第一计算参数、安全密钥和安全算法；相应地，所述第一基站基于所述第一计算参数以及第二配置函数，采用所述安全密钥和安全算法生成第一安全戳信息。
65.根据权利要求64所述的装置，其中，所述第一基站侧的所述第二配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第二配置函数，所述至少一个基站包括所述第一基站；或者，
通过所述第二基站配置所述第二配置函数。
66.根据权利要求63至65任一项所述的装置，其中，所述终端侧的所述第二配置函数通过以下方式配置：
所述第二基站释放所述终端到非激活状态时，为所述终端配置用于计算安全戳信息的第二配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第二配置函数。
67.根据权利要求63至65任一项所述的装置，其中，所述第一接收单元，用于接收终端发送的RRC恢复请求消息，所述RRC恢复请求消息中携带所述终端的第一UE标识信息以及用于验证所述终端合法性的MAC-I信息。
68.根据权利要求67所述的装置，其中，所述第一发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第一UE标识信息寻址所述第二基站，并向所述第二基站发送第一消息，所述第一消息中携带所述第一指示信息、所述终端的第一UE标识信息、所述MAC-I信息，从而所述第二基站基于所述MAC-I信息对所述终端的合法性进行验证，验证通过将安全信息和/或所述第二基站的小区标识信息发送给所述第一基站。
69.根据权利要求68所述的装置，其中，所述第一消息还携带所述第一基站的小区标识信息，所述第一基站的小区标识信息包括以下至少之一：CGI、PCI、频率信息、AFRCN。
70.根据权利要求68所述的装置，其中，所述第二接收单元还用于从所述第二基站接收第二指示信息，所述第二指示信息在所述第二基站基于所述MAC-I信息对所述终端的合法性验证不通过时被发送给所述第一基站，所述第二指示信息用于向所述第一基站指示所述终端的合法性验证不通过。
71.根据权利要求56至58任一项所述的装置，其中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
72.一种验证网络合法性的装置，所述装置包括：
第一接收单元，用于接收终端发送的RRC连接建立请求消息；
第三发送单元，用于向第一核心网网元发送第三消息，所述第三消息用于向所述第一核心网网元指示第一基站确定拒绝所述终端的接入；
第三接收单元，用于接收所述第一核心网网元发送的第四消息；
第二发送单元，用于基于所述第四消息向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带第一安全戳信息，从而所述终端基于所述第一安全戳信息验证所述第一基站是否合法；
其中，所述第一安全戳信息通过所述第一基站生成；
所述第三接收单元，用于接收所述第一核心网网元发送的第四消息，所述第四消息携带第一计算参数；
所述第二发送单元，用于基于所述第一计算参数以及第三配置函数生成第一安全戳信息；向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
73.根据权利要求72所述的装置，其中，所述第一基站侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个基站配置用于计算安全戳信息的第三配置函数，所述至少一个基站包括所述第一基站。
74.根据权利要求72所述的装置，其中，所述终端侧的所述第三配置函数通过以下方式配置：
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
75.根据权利要求72至74任一项所述的装置，其中，所述第一接收单元，用于接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
76.根据权利要求75所述的装置，其中，所述第三发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一计算参数通过所述第四消息发送给所述第一基站。
77.根据权利要求72所述的装置，其中，所述第一安全戳信息由所述第一核心网网元基于第一计算参数以及第三配置函数生成；或者，所述第一安全戳信息由所述第一核心网网元基于所述第一基站的小区标识信息、第二基站的小区标识信息、所述终端的UE标识信息以及常量信息中的至少一个生成；
所述第三接收单元，用于接收所述第一核心网网元发送的第四消息，所述第四消息携带第一安全戳信息和第一计算参数；
所述第二发送单元，用于向所述终端发送RRC拒绝消息，所述RRC拒绝消息携带所述第一安全戳信息和所述第一计算参数，从而所述终端基于所述第一计算参数以及第三配置函数生成第二安全戳信息，并将所述第二安全戳信息与所述第一安全戳信息进行比较以验证所述第一基站是否合法。
78.根据权利要求77所述的装置，其中，所述第一核心网网元侧的所述第三配置函数通过以下方式配置：
通过OAM为至少一个核心网网元配置用于计算安全戳信息的第三配置函数，所述至少一个核心网网元包括所述第一核心网网元。
79.根据权利要求77所述的装置，其中，所述终端侧的所述第三配置函数通过以下方式配置：
所述终端向网络注册时，所述第一核心网网元为所述终端配置用于计算安全戳信息的第三配置函数；或者，
在所述终端的用户识别模块中配置用于计算安全戳信息的第三配置函数。
80.根据权利要求77至79任一项所述的装置，其中，所述第一接收单元，用于接收终端发送的RRC连接建立请求消息，所述RRC连接建立请求消息中携带所述终端的第二UE标识信息。
81.根据权利要求80所述的装置，其中，所述第三发送单元，用于如果所述第一基站确定拒绝所述终端的接入，则基于所述终端的第二UE标识信息寻址所述第一核心网网元，并向所述第一核心网网元发送第三消息，所述第三消息中携带第一指示信息、所述终端的第二UE标识信息，从而所述第一核心网网元将所述第一安全戳信息和所述第一计算参数通过所述第四消息发送给所述第一基站。
82.根据权利要求72至74任一项所述的装置，其中，所述终端接收到所述RRC拒绝消息后，验证所述第一基站的合法性；验证通过，则接受所述RRC拒绝消息以及所述RRC拒绝消息中的配置信息，所述RRC拒绝消息中的配置信息包括等待定时器的时长信息；验证不通过，则重新选择小区并再次发起RRC连接恢复过程。
83.一种计算机存储介质，其上存储有计算机可执行指令，该计算机可执行指令被处理器执行时实现权利要求1至14任一项所述的方法步骤，或者权利要求15至30任一项所述的方法步骤，或者权利要求31至41任一项所述的方法步骤。
84.一种网络设备，包括处理器、存储器、通信接口，所述存储器中存储有一个或多个程序，所述一个或多个程序被配置由所述处理器执行，所述一个或多个程序包括用于执行如权利要求1至14任一项所述的方法步骤的指令，或者用于执行权利要求15至30任一项所述的方法步骤的指令，或者用于执行权利要求31至41任一项所述的方法步骤的指令。
85.一种芯片，包括处理器，所述处理器用于从存储器中调用并运行计算机程序，使得安装有所述芯片的设备执行如权利要求1至14或15至30或31至41中任一项所述的方法。
CN201980034407.7A 2018-06-05 2019-06-05 一种验证网络合法性的方法及装置、计算机存储介质 Active CN112154684B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
CN2018105709807 2018-06-05
CN201810570980 2018-06-05
PCT/CN2019/090088 WO2019233432A1 (zh) 2018-06-05 2019-06-05 一种验证网络合法性的方法及装置、计算机存储介质

Publications (2)

Publication Number Publication Date
CN112154684A CN112154684A (zh) 2020-12-29
CN112154684B true CN112154684B (zh) 2023-03-17

Family

ID=68769615

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201980034407.7A Active CN112154684B (zh) 2018-06-05 2019-06-05 一种验证网络合法性的方法及装置、计算机存储介质

Country Status (7)

Country Link
US (1) US20210084496A1 (zh)
EP (1) EP3799461B1 (zh)
JP (1) JP2021525987A (zh)
KR (1) KR20210015878A (zh)
CN (1) CN112154684B (zh)
AU (1) AU2019281606A1 (zh)
WO (1) WO2019233432A1 (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110636572A (zh) * 2018-06-21 2019-12-31 华为技术有限公司 通信方法及装置
WO2023087191A1 (zh) * 2021-11-17 2023-05-25 北京小米移动软件有限公司 无线资源控制rrc拒绝消息的传输方法及装置
WO2023102926A1 (zh) * 2021-12-10 2023-06-15 北京小米移动软件有限公司 信息传输方法、装置、通信设备和存储介质
CN114205881B (zh) * 2021-12-31 2024-02-09 中国信息通信研究院 一种基站间切换方法和设备

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103546989A (zh) * 2013-10-10 2014-01-29 大唐移动通信设备有限公司 一种建立无线资源控制连接的方法与设备
AU2017202066A1 (en) * 2008-11-04 2017-04-27 Mitsubishi Electric Corporation Mobile communication system

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3855805B1 (en) * 2015-02-06 2023-12-20 Huawei Technologies Co., Ltd. Signaling optimization method and device
EP3351031B1 (en) * 2015-09-14 2019-10-09 Telefonaktiebolaget LM Ericsson (publ) Radio access nodes and terminal devices in a communication network
CN109756900B (zh) * 2018-06-05 2021-02-23 Oppo广东移动通信有限公司 一种提高ue标识安全性的方法及装置、计算机存储介质

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2017202066A1 (en) * 2008-11-04 2017-04-27 Mitsubishi Electric Corporation Mobile communication system
CN103546989A (zh) * 2013-10-10 2014-01-29 大唐移动通信设备有限公司 一种建立无线资源控制连接的方法与设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
Security of REJECT message;ZTE Corporation, Sanechips;《GPP TSG-RAN WG2 Meeting#101bis R2-1804460》;20180505;第1-5页 *

Also Published As

Publication number Publication date
WO2019233432A1 (zh) 2019-12-12
AU2019281606A1 (en) 2021-01-21
KR20210015878A (ko) 2021-02-10
CN112154684A (zh) 2020-12-29
JP2021525987A (ja) 2021-09-27
EP3799461B1 (en) 2022-03-30
US20210084496A1 (en) 2021-03-18
EP3799461A1 (en) 2021-03-31
EP3799461A4 (en) 2021-07-07

Similar Documents

Publication Publication Date Title
CN112154684B (zh) 一种验证网络合法性的方法及装置、计算机存储介质
US11641601B2 (en) Method, apparatus and device for allowing terminal to move between 4G and 5G networks
CN112040567B (zh) 一种恢复rrc连接的方法及装置、计算机存储介质
CN109756900B (zh) 一种提高ue标识安全性的方法及装置、计算机存储介质
CN111132380B (zh) 一种rrc状态的控制方法及装置、计算机存储介质
CN108293259B (zh) 一种nas消息处理、小区列表更新方法及设备
KR102027717B1 (ko) 허위 기지국으로부터의 공격 방지
CN112166645B (zh) 一种提高寻呼可靠性的方法及装置、计算机存储介质
US20220104021A1 (en) Method and device for determining security algorithm, and computer storage medium
KR20200087226A (ko) 액세스 거부 방법, 장치, 및 시스템, 및 저장 매체 및 프로세서
WO2022262611A1 (zh) 一种通信方法及装置
KR20240064005A (ko) 주 인증 방법 및 장치
WO2021110278A1 (en) Apparatus, method, and computer program

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant