CN112601222A - 一种空口信息的安全保护方法及装置 - Google Patents
一种空口信息的安全保护方法及装置 Download PDFInfo
- Publication number
- CN112601222A CN112601222A CN201910974006.1A CN201910974006A CN112601222A CN 112601222 A CN112601222 A CN 112601222A CN 201910974006 A CN201910974006 A CN 201910974006A CN 112601222 A CN112601222 A CN 112601222A
- Authority
- CN
- China
- Prior art keywords
- terminal
- air interface
- interface information
- core network
- base station
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/10—Integrity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
- H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
本申请实施例公开了一种空口信息的安全保护方法及装置，用以保护终端向基站发送的空口信息的安全性能。该方法为：终端根据安全密钥和空口信息，确定第一消息认证码MAC值，其中，所述安全密钥为所述终端与核心网设备之间的非接入层NAS安全密钥；所述终端向基站发送所述空口信息和所述第一MAC值。
Description
本申请要求在2019年9月16日提交中国专利局、申请号为201910870247.1、发明名称为“一种空口信息的安全保护方法及装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请实施例涉及通信技术领域，尤其涉及一种空口信息的安全保护方法及装置。
背景技术
基站会向终端请求或查询一些空口信息，终端向基站发送空口信息。例如第三代移动通信标准化组织(3rd generation partnership project，3GPP)定义了用户设备(user equipment，终端)的无线能力(终端radio capability)。空口信息可以是无线能力。终端的无线能力包括终端的功率等级、频带等参数。基站会向终端查询终端的无线能力，终端将终端的无线能力发送给基站。但是终端在向基站发送自身的无线能力时，该无线能力易被攻击者篡改，导致基站收到的终端的无线能力不准确。基于此，需要对终端向基站发送的无线能力进行完整性保护，以保证终端发送的无线能力不被攻击者篡改。
现有技术中，为了保证终端向基站发送的无线能力不被篡改，需要终端与基站建立接入层(access stratum,AS)安全。在终端与基站建立AS安全之后，基站才会向终端查询该终端的无线能力。终端使用与基站建立的AS安全上下文保护该无线能力，从而防止终端的无线能力被攻击者篡改。
但是，有些类型的终端无法与基站建立AS安全，因此这些终端无法使用AS安全上下文保护无线能力，从而存在被攻击者攻击的风险。
发明内容
本申请实施例提供一种空口信息的安全保护方法及装置，以期保护终端向基站发送的空口信息的安全性能。
本申请实施例提供的具体技术方案如下：
第一方面，提供一种空口信息的安全保护方法，该方法可以通过以下步骤实现：终端根据与核心网设备之间的非接入层NAS安全密钥，确定第一消息认证码MAC值，终端向基站发送所述空口信息和所述第一MAC值；或者，终端向核心网设备发送所述空口信息和所述第一MAC值。当终端向核心网设备发送所述空口信息和所述第一MAC值时，终端先向基站发送该NAS消息，基站向核心网设备转发NAS消息，NAS消息中携带空口信息和所述第一MAC值。第一MAC值用于保护空口信息的安全性。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，保证空口信息的安全性。
在一个可能的设计中，终端根据安全密钥、空口信息或输入参数中的至少两项，确定第一消息认证码MAC值，其中，所述安全密钥为所述终端与核心网设备之间的非接入层NAS安全密钥；所述终端向基站发送所述空口信息和所述第一MAC值。本申请实施例提供的空口信息的安全保护方法可以适用于任何类型的终端，有助于保证终端与基站之间交互空口信息时保证空口信息的安全性。
在一个可能的设计中，所述核心网设备包括4G中的移动管理实体MME或5G接入和移动管理功能AMF；所述安全密钥为以下任意一种密钥或根据以下任意一种密钥推演得到的密钥：所述终端与所述MME之间的密钥Kasme、所述终端与所述AMF之间的密钥Kamf、所述终端与所述核心网设备之间的NAS完整性保护密钥或所述终端与所述核心网设备之间的NAS机密性保护密钥。
在一个可能的设计中，所述输入参数包括新鲜参数和/或小区标识；所述新鲜参数包括以下任意一种或多种：上行链路NAS计数值count的部分或全部比特、下行链路NAS计数值count的部分或全部比特、或随机数。输入参数还可以包括其他参数。
在一个可能的设计中，所述终端向基站发送所述空口信息和所述第一MAC值，通过以下方式实现：所述终端向所述基站发送第一无线资源控制RRC消息，所述第一RRC消息中携带所述空口信息和所述第一MAC值；
或者，所述终端向基站发送所述空口信息和所述第一MAC值，通过以下方式实现：所述终端向所述基站发送第二RRC消息，所述第二RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值。
在一个可能的设计中，所述终端从所述基站接收请求消息，所述请求消息携带第二MAC值，所述请求消息用于请求所述空口信息；所述终端校验所述第二MAC值。这样，终端能够根据第二MAC值来校验基站是否合法，在终端与基站之间未建立AS安全的情况下保证信息传输的安全性，实现双向校验。
在一个可能的设计中，所述空口信息为无线能力或无线能力标识。
第二方面，提供一种空口信息的安全保护方法，该方法可以通过以下步骤实现：基站从终端接收无线资源控制RRC消息，所述RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值；所述基站向核心网设备发送所述NAS消息；所述基站从所述核心网设备接收所述空口信息的完整性验证结果和/或所述空口信息。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，保证空口信息的安全性。
第三方面、提供一种空口信息的安全保护方法，该方法可以通过以下步骤实现：基站从终端接收空口信息和第一消息认证码MAC值；所述基站向核心网设备发送所述空口信息和所述第一消息认证码MAC值；所述基站从所述核心网设备接收所述空口信息的完整性验证结果。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，保证空口信息的安全性。
在第二方面和第三方面的基础上，还可以有以下可能的设计。
在一个可能的设计中，所述方法还包括：所述基站向所述核心网设备发送第一请求消息；所述基站从所述核心网设备接收所述第一请求消息的第二响应消息，所述第二响应消息携带第二MAC值；所述基站向所述终端发送第二请求消息，所述第二请求消息用于请求所述空口信息，所述第二请求消息携带所述第二MAC值。这样，终端能够根据第二MAC值来校验基站是否合法，在终端与基站之间未建立AS安全的情况下保证信息传输的安全性，实现双向校验。
在一个可能的设计中，在所述基站向所述核心网设备发送第一请求消息之前，所述基站确定所述终端为控制面蜂窝物联网优化终端。
在一个可能的设计中，所述空口信息为无线能力或无线能力标识。
第四方面，提供一种空口信息的安全保护方法，该方法可以通过以下步骤实现：核心网设备从基站接收第一请求消息，所述第一请求消息携带空口信息和第一消息认证码MAC值；所述核心网设备根据所述第一MAC值校验所述空口信息的完整性；所述核心网设备向所述基站发送所述第一请求的第一响应消息，所述第一响应消息中包括所述空口信息的完整性验证结果和/或所述空口信息。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，保证空口信息的安全性。
在一个可能的设计中，所述核心网设备从所述基站接收第二请求消息；所述核心网设备根据安全密钥确定第二MAC值；所述核心网设备向所述基站发送所述第二请求消息的第二响应消息，所述第二响应消息携带所述第二MAC值。这样，基站可以向终端发送RRC消息时携带第二MAC值，终端能够根据第二MAC值来校验基站是否合法，在终端与基站之间未建立AS安全的情况下保证信息传输的安全性，实现双向校验。
在一个可能的设计中，所述安全密钥包括以下任意一种密钥或根据以下任意一种密钥推演得到的密钥：所述终端与所述核心网设备之间的共享密钥、所述终端与所述核心网设备之间的完整性保护密钥或所述终端与所述核心网设备之间的机密性保护密钥。
在一个可能的设计中，所述核心网设备根据安全密钥确定第二MAC值，根据以下方式实现：所述核心网设备根据安全密钥、输入参数和空口信息，确定第二MAC值；其中，所述输入参数包括新鲜参数和/或小区标识；所述新鲜参数包括以下任意一种或多种：上行链路NAS计数值count的部分或全部比特、下行链路NAS计数值count的部分或全部比特、或随机数。
在一个可能的设计中，所述空口信息为无线能力或无线能力标识。
第五方面，提供一种空口信息的安全保护方法，该方法可以通过以下步骤实现：终端从核心网设备接收请求消息，所述请求消息用于请求所述终端的空口信息；所述终端向所述核心网发送响应消息，所述响应消息携带所述终端的空口信息。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，通过核心网向终端获取空口信息，保证空口信息的安全性。
可选的，所述空口信息为无线能力或无线能力标识。
可选的，终端建立与核心网设备的非接入层NAS安全。这样，终端向核心网设备发送空口信息可以使用NAS安全上下文保护。
第六方面，提供一种空口信息的安全保护方法，该方法可以通过以下步骤实现：核心网设备向终端发送第一请求消息，所述第一请求消息用于请求所述终端的空口信息；所述核心网设备从所述终端接收所述第一请求消息的第一响应消息，所述第一响应消息携带所述终端的空口信息。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，通过核心网向终端获取空口信息，保证空口信息的安全性。
在一个可能的设计中，在所述核心网设备向所述终端发送请求消息之前，所述核心网设备确定所述终端为控制面蜂窝物联网优化终端。
在一个可能的设计中，在所述核心网设备向所述终端发送请求消息之前，所述核心网设备从基站接收第二请求消息，所述第二请求消息用于请求所述终端的空口信息。
在一个可能的设计中，所述第二请求消息用于指示所述终端为控制面蜂窝物联网优化终端。
在一个可能的设计中，所述核心网设备向所述基站返回所述第二请求消息的第二响应消息，所述第二响应消息携带所述终端的空口信息。
在一个可能的设计中，所述空口信息为无线能力或无线能力标识。
可选的，核心网设备事先建立与终端的非接入层NAS安全。这样，终端向核心网设备发送空口信息可以使用NAS安全上下文保护。
第七方面，提供一种空口信息的安全保护方法，该方法可以通过以下步骤实现：基站向核心网设备发送请求消息，所述请求消息用于请求终端的空口信息；所述基站从所述核心网设备接收所述请求消息的响应消息，所述响应消息携带所述终端的空口信息。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，通过核心网来获取空口信息，保证空口信息的安全性。
在一个可能的设计中，在基站向核心网设备发送请求消息之前，所述基站确定所述终端为控制面蜂窝物联网优化终端。
第八方面，提供一种装置，该装置可以是终端，也可以是终端中的装置，或者是能够和终端匹配使用的装置。一种设计中，该装置可以包括执行第一方面中所描述的终端执行的方法/操作/步骤/动作所一一对应的模块，或者，该装置可以包括执行第五方面中所描述的终端执行的方法/操作/步骤/动作所一一对应的模块。该模块可以是硬件电路，也可是软件，也可以是硬件电路结合软件实现。一种设计中，该装置可以包括处理模块和通信模块。
示例性地，当该装置用于执行第一方面中的终端所执行的操作时：
处理模块，用于根据安全密钥和空口信息，确定第一消息认证码MAC值，其中，所述安全密钥为所述终端与核心网设备之间的非接入层NAS安全密钥；通信模块，用于向基站发送所述空口信息和所述第一MAC值。
在一个可能的设计中，所述核心网设备包括移动管理实体MME或接入和移动管理功能AMF；所述安全密钥为以下任意一种密钥或根据以下任意一种密钥推演得到的密钥：所述终端与所述MME之间的密钥Kasme、所述终端与所述AMF之间的密钥Kamf、所述终端与所述核心网设备之间的NAS完整性保护密钥或所述终端与所述核心网设备之间的NAS机密性保护密钥。
在一个可能的设计中，所述处理模块用于：根据安全密钥、空口信息和输入参数，确定第一MAC值；其中，所述输入参数包括新鲜参数和/或小区标识；所述新鲜参数包括以下任意一种或多种：上行链路NAS计数值count的部分或全部比特、下行链路NAS计数值count的部分或全部比特、或随机数。
在一个可能的设计中，所述通信模块用于：向所述基站发送第一无线资源控制RRC消息，所述第一RRC消息中携带所述空口信息和所述第一MAC值；或者，向所述基站发送第二RRC消息，所述第二RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值。
在一个可能的设计中，所述通信模块还用于：从所述基站接收请求消息，所述请求消息携带第二MAC值，所述请求消息用于请求所述空口信息；所述处理模块还用于校验所述第二MAC值。
在一个可能的设计中，所述空口信息为无线能力或无线能力标识。
示例性地，当该装置用于执行第五方面中的终端所执行的操作时：通信模块，用于从核心网设备接收请求消息，所述请求消息用于请求所述终端的空口信息；以及用于向所述核心网发送响应消息，所述响应消息携带所述终端的空口信息。这样，对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，通过核心网向终端获取空口信息，保证空口信息的安全性。
可选的，所述空口信息为无线能力或无线能力标识。
可选的，处理模块，用于建立与核心网设备的非接入层NAS安全。这样，终端向核心网设备发送空口信息可以使用NAS安全上下文保护。
第九方面，提供一种装置，该装置可以是基站，也可以是基站中的装置，或者是能够和基站匹配使用的装置。一种设计中，该装置可以包括执行第二方面、第三方面或第七方面中所描述的基站执行的方法/操作/步骤/动作所一一对应的模块。一种设计中，该装置可以包括处理模块和通信模块。
示例性地，当该装置用于执行第二方面中的基站所执行的操作时：
通信模块，用于从终端接收无线资源控制RRC消息，所述RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值；以及，用于向核心网设备发送所述NAS消息；所述通信模块，还用于从所述核心网设备接收所述空口信息的完整性验证结果和/或所述空口信息。
示例性地，当该装置用于执行第三方面中的基站所执行的操作时：
通信模块，用于从终端接收空口信息和第一消息认证码MAC值；以及用于向核心网设备发送所述空口信息和所述第一消息认证码MAC值；
所述通信模块，还用于从所述核心网设备接收所述空口信息的完整性验证结果。
当该装置用于执行第二方面或第三方面中的基站所执行的操作时，可选的，通信模块和处理模块还可以执行以下操作。
在一个可能的设计中所述通信模块还用于：向所述核心网设备发送第一请求消息；从所述核心网设备接收所述第一请求消息的第二响应消息，所述第二响应消息携带第二MAC值；向所述终端发送第二请求消息，所述第二请求消息用于请求所述空口信息，所述第二请求消息携带所述第二MAC值。
在一个可能的设计中，处理模块，用于在所述基站向所述核心网设备发送第一请求消息之前，确定所述终端为控制面蜂窝物联网优化终端。
示例性地，当该装置用于执行第七方面中的基站所执行的操作时：
通信模块，用于向核心网设备发送请求消息，所述请求消息用于请求终端的空口信息；从所述核心网设备接收所述请求消息的响应消息，所述响应消息携带所述终端的空口信息。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，通过核心网来获取空口信息，保证空口信息的安全性。
在一个可能的设计中，在基站向核心网设备发送请求消息之前，处理模块用于确定所述终端为控制面蜂窝物联网优化终端。
第十方面，提供一种装置，该装置可以是核心网设备，也可以是核心网设备中的装置，或者是能够和核心网设备匹配使用的装置。一种设计中，该装置可以包括执行第四方面、第六方面中所描述的核心网设备执行的方法/操作/步骤/动作所一一对应的模块。一种设计中，该装置可以包括处理模块和通信模块。
示例性地，当该装置用于执行第四方面中的核心网设备所执行的操作时：
通信模块，用于从基站接收第一请求消息，所述第一请求消息携带空口信息和第一消息认证码MAC值；处理模块，用于根据所述第一MAC值校验所述空口信息的完整性；所述通信模块，还用于向所述基站发送所述第一请求的第一响应消息，所述第一响应消息中包括所述空口信息的完整性验证结果和/或所述空口信息。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，保证空口信息的安全性。
在一个可能的设计中，所述通信模块用于从所述基站接收第二请求消息；所述处理模块用于根据安全密钥确定第二MAC值；所述通信模块用于向所述基站发送所述第二请求消息的第二响应消息，所述第二响应消息携带所述第二MAC值。这样，基站可以向终端发送RRC消息时携带第二MAC值，终端能够根据第二MAC值来校验基站是否合法，在终端与基站之间未建立AS安全的情况下保证信息传输的安全性，实现双向校验。
在一个可能的设计中，所述安全密钥包括以下任意一种密钥或根据以下任意一种密钥推演得到的密钥：所述终端与所述核心网设备之间的共享密钥、所述终端与所述核心网设备之间的完整性保护密钥或所述终端与所述核心网设备之间的机密性保护密钥。
在一个可能的设计中，所述处理模块用于根据安全密钥、输入参数和空口信息，确定第二MAC值；其中，所述输入参数包括新鲜参数和/或小区标识；所述新鲜参数包括以下任意一种或多种：上行链路NAS计数值count的部分或全部比特、下行链路NAS计数值count的部分或全部比特、或随机数。
示例性地，当该装置用于执行第六方面中的核心网设备所执行的操作时：
通信模块，用于向终端发送第一请求消息，所述第一请求消息用于请求所述终端的空口信息；以及用于从所述终端接收所述第一请求消息的第一响应消息，所述第一响应消息携带所述终端的空口信息。对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，通过核心网向终端获取空口信息，保证空口信息的安全性。
在一个可能的设计中，处理模块，用于在所述核心网设备向所述终端发送请求消息之前，确定所述终端为控制面蜂窝物联网优化终端。
在一个可能的设计中，所述通信模块，还用于在所述核心网设备向所述终端发送请求消息之前，从基站接收第二请求消息，所述第二请求消息用于请求所述终端的空口信息。
在一个可能的设计中，所述第二请求消息用于指示所述终端为控制面蜂窝物联网优化终端。
在一个可能的设计中，所述通信模块，还用于向所述基站返回所述第二请求消息的第二响应消息，所述第二响应消息携带所述终端的空口信息。
在一个可能的设计中，所述空口信息为无线能力或无线能力标识。
可选的，处理模块，还用于事先建立与终端的非接入层NAS安全。这样，终端向核心网设备发送空口信息可以使用NAS安全上下文保护。
第十一方面，本申请实施例提供一种装置，所述装置包括通信接口和处理器，所述通信接口用于该装置与其它设备进行通信，例如数据或信号的收发。示例性的，通信接口可以是收发器、电路、总线、模块或其它类型的通信接口；其它设备可以为其它基站或者核心网设备。处理器用于执行上述第一方面或第五方面描述的终端执行的方法。所述装置还可以包括存储器，用于存储处理器调用的指令。所述存储器与所述处理器耦合，所述处理器执行所述存储器中存储的指令时，可以实现上述第一方面或第二方面描述的终端执行的方法。
第十二方面，本申请实施例提供一种装置，所述装置包括通信接口和处理器，所述通信接口用于该装置与其它设备进行通信，例如数据或信号的收发。示例性的，通信接口可以是收发器、电路、总线、模块或其它类型的通信接口；其它设备可以为其它终端或者核心网设备。处理器用于执行上述第二方面、第三方面或第七方面描述的基站执行的方法。所述装置还可以包括存储器，用于存储处理器调用的指令。所述存储器与所述处理器耦合，所述处理器执行所述存储器中存储的指令时，可以实现上述第二方面、第三方面或第七方面描述的基站执行的方法。
第十三方面，本申请实施例提供一种装置，所述装置包括通信接口和处理器，所述通信接口用于该装置与其它设备进行通信，例如数据或信号的收发。示例性的，通信接口可以是收发器、电路、总线、模块或其它类型的通信接口；其它设备可以为其它基站或者终端。处理器用于执行上述第四方面或第六方面描述的核心网设备执行的方法。所述装置还可以包括存储器，用于存储处理器调用的指令。所述存储器与所述处理器耦合，所述处理器执行所述存储器中存储的指令时，可以实现上述第四方面或第六方面描述的核心网设备执行的方法。
第十四方面，本申请实施例中还提供一种计算机可读存储介质，所述计算机存储介质中存储有计算机可读指令，当所述计算机可读指令在计算机上运行时，使得计算机执行如各方面所述的方法。
第十五方面，本申请实施例中还提供一种计算机程序产品，包括指令，当其在计算机上运行时，使得计算机执行如各方面所述的方法。
第十六方面，本申请实施例提供了一种芯片系统，该芯片系统包括处理器，还可以包括存储器，用于实现上述任一方面所述的方法。该芯片系统可以由芯片构成，也可以包含芯片和其他分立器件。
第十七方面，本申请实施例提供了一种通信系统，所述通信系统包括第八方面所述的装置、第九方面所述的装置和第十方面所述的装置。
附图说明
图1为本申请实施例中通信系统架构示意图；
图2为本申请实施例中空口信息的安全保护方法的流程示意图之一；
图3为本申请实施例中下行安全保护方法流程示意图之一；
图4为本申请实施例中下行安全保护方法流程示意图之二；
图5为本申请实施例中空口信息的安全保护方法的流程示意图之二；
图6为本申请实施例中空口信息的安全保护方法的流程示意图之三；
图6a为本申请实施例中空口信息的安全保护方法的流程示意图之四；
图7为本申请实施例中空口信息的安全保护方法的流程示意图之五；
图8为本申请实施例中装置结构示意图之一；
图9为本申请实施例中装置结构示意图之二；
图10为本申请实施例中空口信息的安全保护方法的流程示意图之六。
具体实施方式
下面将结合附图，对本申请实施例进行详细描述。
本申请实施例提供一种空口信息的安全保护方法及装置，以期保护终端向基站发送的空口信息的安全性能。其中，方法和装置是基于同一技术构思的，由于方法及装置解决问题的原理相似，因此装置与方法的实施可以相互参见，重复之处不再赘述。本申请实施例的描述中，“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。本申请中所涉及的至少一个是指一个或多个；多个，是指两个或两个以上。另外，需要理解的是，在本申请的描述中，“第一”、“第二”、“第三”等词汇，仅用于区分描述的目的，而不能理解为指示或暗示相对重要性，也不能理解为指示或暗示顺序。
本申请实施例提供的空口信息的安全保护方法可以应用于第四代(4thgeneration，4G)通信系统，例如长期演进(long term evolution，LTE)系统；第五代(5thgeneration，5G)通信系统，例如新无线(new radio，NR)系统；或未来的各种通信系统，例如第六代(6th generation，6G)通信系统。
图1示出了本申请实施例提供的空口信息的安全保护方法适用的一种可能的通信系统的架构。参阅图1所示，通信系统100中包括终端、接入网设备和核心网设备。接入网设备可以为覆盖范围内的终端提供服务，接入网设备与接入网设备之间通过X2接口相连以进行通信，接入网设备与核心网设备之间通过S1接口相连。例如，如图1中所示，通信系统100中包括基站101和基站101’，基站101的覆盖范围内的终端用终端102来表示，基站101’的覆盖范围内的终端用终端102’来表示。通信系统100中还包括核心网设备103和核心网设备103’。以下对通信系统中包括的接入网设备、终端和核心网设备的形态进行举例说明。以基站101、终端102和核心网设备103进行说明。
基站101为无线接入网(radio access network，RAN)中的节点，又可以称为接入网设备，还可以称为RAN节点(或设备)。目前，一些基站101的举例为：gNB/NR-NB、传输接收点(transmission reception point，TRP)、演进型节点B(evolved Node B，eNB)、无线网络控制器(radio network controller，RNC)、节点B(Node B，NB)、基站控制器(base stationcontroller，BSC)、基站收发台(base transceiver station,BTS)、家庭基站(例如，homeevolved NodeB，或home Node B，HNB)、基带单元(base band unit，BBU)，或无线保真(wireless fidelity，Wifi)接入点(access point，AP)，或5G通信系统或者未来可能的通信系统中的网络侧设备等。本申请实施例中，用于实现基站的功能的装置可以是基站；也可以是能够支持基站实现该功能的装置，例如芯片系统，该装置可以被安装在基站中。本申请实施例提供的技术方案中，以用于实现基站的功能的装置是基站为例，来描述本申请实施例提供的技术方案。
终端102，又称之为用户设备(user equipment，UE)、移动台(mobile station，MS)、移动终端(mobile terminal，MT)等，是一种向用户提供语音或数据连通性的设备，也可以是物联网设备。例如，终端102包括具有无线连接功能的手持式设备、车载设备等。目前，终端102可以是：手机(mobile phone)、平板电脑、笔记本电脑、掌上电脑、移动互联网设备(mobile internet device，MID)、可穿戴设备(例如智能手表、智能手环、计步器等)，车载设备(例如，汽车、自行车、电动车、飞机、船舶、火车、高铁等)、虚拟现实(virtualreality，VR)设备、增强现实(augmented reality，AR)设备、工业控制(industrialcontrol)中的无线终端、智能家居设备(例如，冰箱、电视、空调、电表等)、智能机器人、车间设备、无人驾驶(self driving)中的无线终端、远程手术(remote medical surgery)中的无线终端、智能电网(smart grid)中的无线终端、运输安全(transportation safety)中的无线终端、智慧城市(smart city)中的无线终端，或智慧家庭(smart home)中的无线终端、飞行设备(例如，智能机器人、热气球、无人机、飞机)等。本申请实施例中，用于实现终端的功能的装置可以是终端；也可以是能够支持终端实现该功能的装置，例如芯片系统，该装置可以被安装在终端中。本申请实施例中，芯片系统可以由芯片构成，也可以包括芯片和其他分立器件。本申请实施例提供的技术方案中，以用于实现终端的功能的装置是终端或UE为例，来描述本申请实施例提供的技术方案。
核心网设备103，用于基站101与IP网络之间的通信，IP网络可以是因特网(internet)，私有的IP网，或其它数据网等。以长期演进(long term evolution，LTE)通信系统为例，核心网设备103包括移动管理实体(mobile management entity，MME)/服务网关(service-network gateway，S-GW)。以5G系统为例，核心网设备103为接入和移动管理功能(access and mobility management function，AMF)。
可以理解的是，通信系统100还可以包括更多数量的终端101、基站102或核心网设备103。
本申请实施例中，空口信息是基站从终端通过空口获取的信息。
举例来说，空口信息可以是终端的无线能力，或者是无线能力的标识。该无线能力的标识用于标识特定的无线能力。以下以空口信息为无线能力为例进行介绍。可以理解的是，本申请实施例中所描述的空口信息的相关方案可以替换为无线能力或者无线能力的标识。终端的无线能力如终端的功率等级、频带等一些参数。在一个可能的实现方式中，在终端初始注册时，终端不会携带无线能力给核心网设备，所以基站也不能从核心网的N2消息中(如初始上下文建立(initial context setup)消息)获取到终端的无线能力。在这种情况下，基站只能向终端发起无线能力查询消息，终端从基站接收到无线能力查询消息，将无线能力返回给基站。由于终端的无线能力数据量比较大，为了避免终端频繁向基站发送该能力，故基站会将查询获取到的无线能力发送给核心网设备进行保存。该无线能力将被长期保存在核心网设备，直到终端进行去注册。终端的无线能力保存在核心网设备，在终端移动发生基站切换，或终端由空闲态进入连接态时，基站均可以直接从核心网设备获取终端的无线能力，不需要再向终端查询。
为了保证终端在向基站发送空口信息时的安全性，3GPP规定终端在于基站建立AS安全之后，终端使用AS安全上下文保护空口信息。随着通信系统中终端类型的演变，有些类型的终端不支持或者不需要与基站建立AS安全。例如一些物联网(internet of thing，IoT)设备无法与基站建立AS安全。比如控制面(control plane)蜂窝物联网(cellularIoT，CIoT)优化(optimisation)终端，该控制面CIoT优化终端包括控制面CIoT 4G优化(control plane CIoT EPS optimisation)终端或控制面CIoT 5G优化(control planeCIoT 5GS optimisation)终端。其中，EPS为演进分组系统(evolved packet system)。对于不支持或者无法与基站建立AS安全的终端，当终端向基站发送空口信息时，就不能使用AS上下文对空口信息进行加密保护，从而存在被攻击者攻击的风险。
本申请实施例提供的空口信息的安全保护方法能够适用于任何类型的终端，有助于保证终端与基站之间交互空口信息时保证空口信息的安全性。可选的，对于不支持或者无法与基站建立AS安全的终端，使用本申请实施例提供的方法，能够在终端与基站没有建立AS安全的情况下，保证空口信息的安全性。
如图2所示，本申请实施例提供的空口信息的安全保护方法的过程如下所述。
S201、终端根据安全密钥和空口信息，确定第一消息认证码(messageauthentication code，MAC)值。
其中，安全密钥为终端与核心网设备之间的非接入层(non-access stratum，NAS)安全密钥。
终端可事先与核心网设备之间建立NAS安全。本申请实施例中凡是涉及终端与核心网设备建立NAS安全的步骤，均可参照图2实施例对该部分的描述。
如果该核心网设备是4G中的MME，则终端与MME之间建立NAS安全时，终端与MME之间会共享NAS安全密钥，该NAS安全密钥可以是终端与MME之间的密钥Kasme；如果该核心网设备是5G中的AMF，则终端与AMF之间建立NAS安全时，终端与AMF之间会共享安全密钥，该NAS安全密钥可以是终端与AMF之间的密钥Kamf。终端与核心网设备之间的NAS安全密钥还可以是完整性保护密钥Kansint或机密性保护密钥Knasenc。
终端与核心网设备之间的NAS安全密钥可能是Kasme、Kamf、Kansint或Knasenc中的任意一种或多种。或者，终端与核心网设备之间的NAS安全密钥可以是根据上述Kasme、Kamf、Kansint或Knasenc中的一种或多种推演得到的密钥。
可选的，在S201之前包括S200。
S200、基站向终端发送请求消息，记为第一请求消息，终端从基站接收该第一请求消息。
该第一请求消息用于请求终端的空口信息。当终端接收到基站发送的请求消息后，对空口信息进行完整性保护。
具体地，终端根据与核心网设备之间的NAS安全密钥和该空口信息，确定MAC值，记为第一MAC值。确定MAC值也可以理解为计算MAC值。
可选的，终端根据安全密钥和空口信息确定第一MAC值时，还可以结合输入参数确定第一MAC值。例如，终端可以根据安全密钥、输入参数和空口信息进行哈希计算，得到第一MAC值。其中，安全密钥和/或输入参数可以根据终端与核心网设备之间的NAS安全上下文确定。输入参数可以包括小区标识和/或新鲜参数。新鲜参数可以是以下任意一种或多种：上行链路NAS计数值(uplink NAS count)的部分或全部比特、下行链路NAS计数值(downlinkNAS count)的部分或全部比特、或随机数。本申请中对计算第一MAC值的输入参数不作限定。
S202、终端向基站发送空口信息和第一MAC值。
终端可以向基站发送无线资源控制(radio resource control，RRC)消息，在RRC消息中携带该空口信息和第一MAC值。这种情况下，基站从终端接收RRC消息后，可以从RRC消息中获取该空口信息和第一MAC值。
或者，终端也可以在向基站发送的RRC消息中携带NAS消息，例如，RRC消息中携带NAS消息，NAS消息中携带该空口信息和第一MAC值。基站会将NAS消息转发至核心网设备。
基于上面两种情况，基站侧执行的动作通过S203和S203a来描述。
S203、基站从终端接收空口信息和第一MAC值后，基站向核心网设备发送该空口信息和第一MAC值，核心网设备从基站接收该空口信息和第一MAC值。
该空口信息和第一MAC值可以携带于RRC消息中。基站从终端接收RRC消息，从RRC消息中获取空口信息和第一MAC值。
可选的，基站可以向核心网设备发送请求消息，记为第二请求消息，在第二请求消息中携带该空口信息和第一MAC值。
该第二请求消息用于请求核心网设备校验空口信息的完整性。
S203a、基站从终端接收RRC消息，RRC消息中携带NAS消息，NAS消息中携带该空口信息和第一MAC值。基站向核心网设备发送该NAS消息，核心网设备从基站接收该NAS消息。
该RRC消息可以理解是一种响应消息，该响应消息用于响应基站向终端发送的用于请求终端的空口信息的请求消息的。基站可以将从终端接收的NAS消息直接转发至核心网设备。
可选的，基站向核心网发送的NAS消息为第二请求消息，或者，基站向核心网设备发送第二请求消息，在第二请求消息中携带该NAS消息。该第二请求消息用于请求核心网设备校验空口信息的完整性和/或返回空口信息。
基站在向核心网设备发送空口信息和第一MAC值之前，还可以判断终端的类型。具体基站判断终端是否为无法建立AS安全的终端，或者说基站判断终端是否为控制面蜂窝物联网优化终端。
S204、核心网设备从基站接收第二请求消息后，根据第一MAC值校验空口信息的完整性。
具体地，核心网设备和终端事先建立NAS安全，核心网设备使用NAS安全上下文和第一MAC值来校验空口信息的完整性。
S205、核心网设备向基站发送空口信息的完整性验证结果和/或空口信息。
例如，若核心网设备从基站接收第二请求消息，第二请求消息中携带空口信息和第一MAC值。则核心网设备向基站发送第二请求消息的响应消息，记为第二响应消息。该第二响应消息中携带空口信息的完整性验证结果。
若核心网设备从基站接收第二请求消息，第二请求消息中携带NAS消息，NAS消息中携带空口信息和第一MAC值，则核心网设备向基站返回第二请求消息的第二响应消息，在第二响应消息中携带空口信息的完整性验证结果和/或空口信息。这样基站能够获得终端的空口信息以及该空口信息的完整性验证结果。可选的若该空口信息校验不通过，核心网设备也可以只反馈空口信息的完整性验证结果而不反馈空口信息。
综上，终端通过核心网设备的NAS安全密钥实现对空口信息的安全保护。能够在终端与基站无法建立AS安全的情况下保证终端发送的空口信息的安全性能。
基于同一技术构思，终端还可以校验基站是否合法，如图3所示，具体方法如下所述。
S301、基站向核心网设备发送请求消息，为作区分，这里的请求消息记为第三请求消息。核心网设备从基站接收第三请求消息。
可选的，基站在向核心网设备发送第三请求消息之前，判断终端的类型。具体基站判断终端是否为无法建立AS安全的终端，或者说基站判断终端是否为控制面蜂窝物联网优化终端。
S302、核心网设备从基站接收第三请求消息之后，确定第二MAC值。
核心网设备可事先与终端之间建立NAS安全。核心网设备根据NAS安全上下文确定第二MAC值。
S303、核心网设备向基站发送该第三请求消息的第三响应消息，该第三响应消息中携带该第二MAC值。基站从核心网设备接收该第三响应消息。
基站从第三响应消息中获取该第二MAC值。
S304、基站向终端发送第一请求消息，终端从基站接收该第一请求消息。
第一请求消息中携带第二MAC值。该第二MAC值用于终端对基站进行验证。该第一请求消息用于请求空口信息。该第一请求消息可以为RRC消息。
S305、终端从基站接收第一请求消息后，校验第二MAC值的正确性。若校验通过，则确定第一MAC值并继续后面的步骤。
这样，终端能够根据第二MAC值来校验基站是否合法，在终端与基站之间未建立AS安全的情况下保证信息传输的安全性，实现双向校验。
基于同一技术构思，终端校验基站是否合法的另一种方法如图4所示。
S401、基站向核心网设备发送第三请求消息，核心网设备从基站接收该第三请求消息，其中该第三请求消息中携带第一请求消息。
例如，第一请求消息为基站欲向终端发送的一条用于请求空口信息的RRC消息。
可选的，基站在向核心网设备发送第三请求消息之前，判断终端的类型。具体基站判断终端是否为无法建立AS安全的终端，或者说基站判断终端是否为控制面蜂窝物联网优化终端。
S402、核心网确定第二MAC值。
该第二MAC值用于对第三请求消息中携带的第一请求消息进行NAS保护。核心网设备可事先与终端之间建立NAS安全。核心网设备根据NAS安全上下文确定第二MAC值。
S403、核心网设备向基站发送NAS保护的第一请求消息，基站从核心网设备接收NAS保护的第一请求消息。
所谓NAS保护的第一请求消息，即第一请求消息中携带第二MAC值。
S404、基站向终端发送NAS保护的第一请求消息，终端从基站接收NAS保护的第一请求消息。
这样，通过核心网对第一请求消息进行NAS保护，能够在终端与基站之间未建立AS安全的情况下保证信息传输的安全性，实现双向校验。
如图5所示，下面以终端的空口信息为无线能力为例，对空口信息的安全保护方法做更进一步详细的描述。以下描述中任意多个连续或不连续的步骤均可以形成本申请要保护的技术方案，其余步骤为可选步骤。
S501、终端与核心网设备之间建立NAS安全。
S502、基站向核心网设备发送请求消息1，核心网设备从基站接收请求消息1。
S503、核心网设备确定MAC1值。
核心网设备根据与终端之间的NAS安全上下文计算MAC1的值。
S504、核心网设备向基站发送响应消息1，基站从核心网设备接收响应消息1。
响应消息1用于响应请求消息1，响应消息1中携带MAC1的值。
S505、基站向终端发送请求消息2，终端从基站接收请求消息2。
请求消息2用于请求终端的无线能力。可选的，请求消息2中携带MAC1。
S506、终端确定MAC2的值。
终端可以根据与核心网设备之间建立的NAS安全上下文确定MAC2的值。
可选的，终端首先校验MAC1的正确性，若校验通过，再确定MAC2的值。
S507、终端向基站发送无线能力的信息，该无线能力的信息中可以携带MAC2。基站从终端接收该无线能力的信息。
S508、基站向核心网设备发送请求消息2，核心网设备从基站接收请求消息2。
该请求消息2中携带无线能力和MAC2，用于请求验证该无线能力的完整性。
S509、核心网设备根据MAC2和NAS安全上下文，验证无线能力的完整性。
S510、核心网设备向基站返回验证结果，基站从核心网设备接收无线能力的验证结果。
在一个可能的实施方式中，S502基站向核心网设备发送的请求消息1中携带请求消息2。S503中核心网设备对请求消息2进行NAS安全保护，S504中核心网设备向基站返回NAS安全保护的请求消息2。S505中基站向终端发送NAS安全保护的请求消息2。
类似的，在一个可能的实施方式中，S507中终端向基站发送的无线能力可以封装一个NAS消息中，S508基站向核心网设备转发该NAS消息。S509中核心网解析NAS消息中的无线能力和MAC2，向基站返回验证结果和/或终端的无线能力。
基于同一技术构思，如图6所示，本申请实施例还提供了另一种空口信息的安全保护方法。
S601、核心网设备向终端发送请求消息，终端从核心网设备接收请求消息。
该请求消息用于请求终端的空口信息。
S602、终端向核心网设备返回该请求消息的响应消息，核心网设备从终端接收该响应消息。
其中，该响应消息携带终端的空口信息。该响应消息为NAS消息，通过NAS安全保护的消息。
在S601之前，还可以包括以下步骤，终端与核心网之间建立NAS安全。核心网设备向终端发送请求消息之前，确定终端的类型为控制面蜂窝物联网优化终端。也就是说，核心网设备确定终端与基站之间无法建立AS安全，终端向基站直接发送空口信息可能会受到攻击无法保证安全性。则核心网设备直接通过NAS安全上下文向终端请求空口信息，终端根据NAS安全上下文向核心网设备返回空口信息。这样，当基站需要获取终端的空口信息时，可以向核心网请求该终端的空口信息即可。
核心网设备可以在终端向核心网设备注册后，便执行S601的操作。
在一个可能的实施方式中。在S601之前还包括S600。
S600、基站向核心网设备发送请求消息。核心网从基站接收该请求消息。
该请求消息用于请求查询终端的空口信息。可选的，基站判断终端的类型，当基站确定终端的类型为控制面蜂窝物联网优化终端时，向核心网设备发送请求消息。基站确定终端无法通过AS安全上报空口信息，向核心网请求该终端的空口信息。
在S602之后，还包括S604。
S604、核心网设备向基站发送终端的空口信息，基站从核心网设备接收终端的空口信息。
可选的，根据S601和S602，核心网从终端获取终端的空口信息，核心网设备可以存储该终端的空口信息。当接收到基站发送的请求该终端的空口信息时，核心网设备向基站发送已经存储的终端的空口信息。
综上，通过核心网从终端获取终端的空口信息，终端的空口信息能够通过NAS安全上下文进行保护，在终端与基站无法建立AS安全时保护终端的空口信息的安全性能。
基于同一技术构思，如图6a所示，本申请实施例还提供了另一种空口信息的安全保护方法。
S601a、终端确定自身的类型。
终端确定自身的类型为控制面蜂窝物联网优化终端，或者为无法建立AS安全的终端。
S602a、终端向核心网设备发送空口信息，核心网设备从终端接收空口信息。
在S601a之前，还可以包括以下步骤：终端与核心网之间建立NAS安全。终端确定自身的类型后，得知终端与基站之间无法建立AS安全，终端向基站直接发送空口信息可能会受到攻击无法保证安全性。则终端通过NAS消息向核心网设备发送空口信息，这样，当基站需要获取终端的空口信息时，可以向核心网请求该终端的空口信息即可。
基于同一技术构思，如图7所示，本申请实施例提供的空口信息的安全保护方法还可以通过如下步骤实现。以下描述中任意多个连续或不连续的步骤均可以形成本申请要保护的技术方案，其余步骤为可选步骤。
S701、终端和核心网设备建立NAS安全。
S702、基站向核心网设备发送请求消息，核心网设备从基站接收该请求消息。
该请求消息用于请求安全参数，例如请求查询空口信息时使用的MAC值或安全密钥。
可选的，基站在发送请求消息之前，判断终端的类型。具体基站判断终端是否为无法建立AS安全的终端，或者说基站判断终端是否为控制面蜂窝物联网优化终端。若基站确定终端为无法建立AS安全的终端或为控制面蜂窝物联网优化终端，则基站向核心网设备发送该请求消息。
S703、核心网设备推演基站密钥Key*,该密钥可以用Kamf或Kasme推演获取，不作限定。
S704、核心网设备将Key*返回给基站，基站从核心网设备接收Key*。
可选的还可以将新鲜参数一并返回给基站。可以通过N2消息返回。
S705、基站利用Key*保护与UE的RRC消息。
S706、基站向终端发送请求消息，用于请求查询终端的空口信息。
该请求消息用Key*保护，该请求消息中可以携带MAC3值和/或新鲜参数等。
S707、终端从基站接收请求消息后，采用与核心网设备相同的方式计算Key*。
检验S706中请求消息携带的MAC3值，校验通过则执行S708。
S708、终端向基站发送Key*保护的终端的空口信息，基站从终端接收空口信息。
终端发送空口信息可以一并携带MAC4和/或新鲜参数。
S709、基站从终端接收到空口信息后，利用Key*校验MAC4。
在校验通过后获得终端的空口信息。
需要说明的是，本申请实施例中所涉及的一些消息或信令的名称只是示例性的称呼，还可以称作其它名称，本申请不作限定。例如请求消息1、请求消息2、密钥请求、响应消息1、响应消息2或密钥响应等均可以称为其它名称。另外，上述是围绕车联网场景密钥协商做的描述，也可以为具体密钥协商的场景，不做限制。
上述本申请提供的实施例中，分别从终端、基站和核心网设备之间交互的角度对本申请实施例提供的方法进行了介绍。为了实现上述本申请实施例提供的方法中的各功能，终端、基站和核心网设备可以包括硬件结构和/或软件模块，以硬件结构、软件模块、或硬件结构加软件模块的形式来实现上述各功能。上述各功能中的某个功能以硬件结构、软件模块、还是硬件结构加软件模块的方式来执行，取决于技术方案的特定应用和设计约束条件。
如图8所示，基于同一技术构思，本申请实施例还提供了一种装置800，该装置800可以是终端、基站或核心网设备，也可以是终端、基站或核心网设备中的装置，或者是能够和终端、基站或核心网设备匹配使用的装置。一种设计中，该装置800可以包括执行上述方法实施例中终端、基站或核心网设备执行的方法/操作/步骤/动作所一一对应的模块，该模块可以是硬件电路，也可是软件，也可以是硬件电路结合软件实现。一种设计中，该装置可以包括处理模块801和通信模块802。
当用于执行终端执行的方法时：
处理模块801，用于根据安全密钥和空口信息，确定第一消息认证码MAC值，其中，所述安全密钥为所述终端与核心网设备之间的非接入层NAS安全密钥；
通信模块802，用于向基站发送所述空口信息和所述第一MAC值。
当用于执行基站执行的方法时：
通信模块802，用于从终端接收无线资源控制RRC消息，所述RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值；以及，用于向核心网设备发送所述NAS消息；
所述通信模块802，还用于从所述核心网设备接收所述空口信息的完整性验证结果和/或所述空口信息。
或者，当用于执行基站执行的方法时：
通信模块802，用于从终端接收空口信息和第一消息认证码MAC值；以及用于向核心网设备发送所述空口信息和所述第一消息认证码MAC值；
所述通信模块802，还用于从所述核心网设备接收所述空口信息的完整性验证结果。
可选的，处理模块801，用于在所述基站向所述核心网设备发送第一请求消息之前，确定所述终端为控制面蜂窝物联网优化终端。
当用于执行核心网设备执行的方法时：
通信模块802，用于从基站接收第一请求消息，所述第一请求消息携带空口信息和第一消息认证码MAC值；
处理模块801，用于根据所述第一MAC值校验所述空口信息的完整性；
所述通信模块802，还用于向所述基站发送所述第一请求的第一响应消息，所述第一响应消息中包括所述空口信息的完整性验证结果和/或所述空口信息。
处理模块801和通信模块802还可以用于执行上述方法实施例终端、基站或核心网设备执行的其它对应的步骤或操作，在此不再一一赘述。
本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，另外，在本申请各个实施例中的各功能模块可以集成在一个处理器中，也可以是单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。
如图9所示为本申请实施例提供的装置900，用于实现上述方法中终端、基站或核心网设备的功能。该装置900可以是终端、基站或核心网设备，也可以是终端、基站或核心网设备中的装置，或者是能够和终端、基站或核心网设备匹配使用的装置。
其中，该装置可以为芯片系统。本申请实施例中，芯片系统可以由芯片构成，也可以包含芯片和其他分立器件。装置900包括至少一个处理器920，用于实现本申请实施例提供的方法中终端、基站或核心网设备的功能。装置900还可以包括通信接口910。
在本申请实施例中，通信接口可以是收发器、电路、总线、模块或其它类型的通信接口，用于通过传输介质和其它设备进行通信。例如，通信接口910用于装置900中的装置可以和其它设备进行通信。
示例性地，装置900是终端时，该其它设备可以是基站或核心网设备。装置900是基站时，该其它装置可以是终端或核心网设备。装置900是核心网设备时，该其它设备可以是终端或基站。处理器920利用通信接口910收发数据，并用于实现上述方法实施例所述的方法。
示例性地，当实现终端的功能时，处理器920用于根据安全密钥和空口信息，确定第一消息认证码MAC值，其中，所述安全密钥为所述终端与核心网设备之间的非接入层NAS安全密钥。通信接口910用于向基站发送所述空口信息和所述第一MAC值。
当实现基站的功能时，通信接口910用于从终端接收无线资源控制RRC消息，所述RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值；以及，用于向核心网设备发送所述NAS消息；还用于从所述核心网设备接收所述空口信息的完整性验证结果和/或所述空口信息。
或者，当实现基站的功能时，通信接口910用于从终端接收空口信息和第一消息认证码MAC值；以及用于向核心网设备发送所述空口信息和所述第一消息认证码MAC值；或者还用于从所述核心网设备接收所述空口信息的完整性验证结果。
当实现核心网设备的功能时，通信接口910用于接从基站接收第一请求消息，所述第一请求消息携带空口信息和第一消息认证码MAC值；处理器920，用于根据所述第一MAC值校验所述空口信息的完整性；通信接口910还用于向所述基站发送所述第一请求的第一响应消息，所述第一响应消息中包括所述空口信息的完整性验证结果和/或所述空口信息。
处理器920和通信接口910还可以用于执行上述方法实施例终端、基站或核心网设备执行的其它对应的步骤或操作，在此不再一一赘述。
装置900还可以包括至少一个存储器930，用于存储程序指令和/或数据。存储器930和处理器920耦合。本申请实施例中的耦合是装置、单元或模块之间的间接耦合或通信连接，可以是电性，机械或其它的形式，用于装置、单元或模块之间的信息交互。处理器920可能和存储器930协同操作。处理器920可能执行存储器930中存储的程序指令。所述至少一个存储器中的至少一个可以包括于处理器中。
本申请实施例中不限定上述通信接口910、处理器920以及存储器930之间的具体连接介质。本申请实施例在图9中以存储器930、通信接口920以及收发器910之间通过总线940连接，总线在图9中以粗线表示，其它部件之间的连接方式，仅是进行示意性说明，并不引以为限。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图9中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
在本申请实施例中，处理器可以是通用处理器、数字信号处理器、专用集成电路、现场可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。
在本申请实施例中，存储器可以是非易失性存储器，比如硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)等，还可以是易失性存储器(volatilememory)，例如随机存取存储器(random-access memory，RAM)。存储器是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。本申请实施例中的存储器还可以是电路或者其它任意能够实现存储功能的装置，用于存储程序指令和/或数据。
基于同一技术构思，如图10所示，本申请实施例提供的空口信息的安全保护方法还可以通过如下步骤实现。以下描述中任意多个连续或不连续的步骤均可以形成本申请要保护的技术方案，其余步骤为可选步骤。
S1001、终端向基站发送该终端的空口信息，基站从终端接收该终端的空口信息。
空口信息的解释可以参照上文中的描述。可选的，终端还可以向基站或核心网设备发送该终端的空口信息的哈希值，为作区分，这里记为第一哈希值。或者，终端还可以向基站或核心网设备发送该终端的空口信息的校验值，为作区分，这里记为第一校验值。
S1002、基站向核心网设备发送请求消息，核心网设备从基站接收该请求消息。
记为第一请求消息，该第一请求消息可以用于请求校验该终端的空口信息，或者该第一请求消息可以用于请求与校验该终端的空口信息相关的参数。
若S1001中基站从终端收到该终端的空口信息的第一哈希值或第一校验值，则基站还可以向核心网设备发送该终端的空口信息的第一哈希值或第一校验值。核心网设备从基站接收该第一哈希值或第一校验值。
本申请实施例中，终端与核心网之间事先建立NAS安全。
核心网设备从基站接收该请求消息后，可以有几种可选的操作方式来实现对终端的空口信息的校验。如下所述。
若核心网设备未获取到该终端的空口信息的第一哈希值或第一校验值，则执行S1003和S1004。
若核心网设备已经获取到该终端的空口信息的第一哈希值或第一校验值，则省略执行S1003和S1004，执行后续步骤。
S1003、核心网设备向终端发送请求消息，为了跟S1002中的请求消息做区分，这里记为第二请求消息。终端从核心网设备接收第二请求消息。
第二请求消息用于请求终端的空口信息的第一哈希值或第一校验值。
S1004、终端向核心网设备返回该终端的空口信息的第一哈希值或第一校验值，核心网设备从终端接收该终端的空口信息的第一哈希值或第一校验值。
S1005、核心网设备对终端的空口信息进行校验，获得校验结果。
具体的，核心网设备可以根据终端的空口信息计算第二哈希值，将第二哈希值与第一哈希值进行比较，若一致，则证明该终端的空口信息没有被篡改，否则，说明该终端的空口信息可能被篡改。
或者，核心网设备可以根据终端的空口信息计算第二校验值，将第二校验值与第一校验值进行比较，若一致，则证明该终端的空口信息没有被篡改，否则，说明该终端的空口信息可能被篡改。
S1006、核心网设备向基站发送校验结果，基站从核心网设备接收该校验结果。
S1007、基站根据校验结果判断终端的空口信息是否可靠。
若校验结果为校验成功(例如第一哈希值和第二哈希值一致，或第一校验值和第二校验值一致)，则基站确定该终端的空口信息未被篡改，若校验结果为校验失败(例如第一哈希值和第二哈希值不一致，或第一校验值和第二校验值不一致)，则基站确定该终端的空口信息可能被篡改，该空口信息存在风险，不使用该空口信息。
可选的，在一种可能的实现方式中，若S1002中第一请求消息用于请求与校验该终端的空口信息相关的参数，则执行以下步骤。
S1003*、核心网设备向基站发送与校验该终端的空口信息相关的参数，基站从核心网设备接收该参数。
S1004*、基站判断终端的空口信息是否可靠。
与校验该终端的空口信息相关的参数可能是终端的空口信息的第一哈希值。基站可以根据终端的空口信息计算第二哈希值，将第二哈希值与第一哈希值进行比较，若一致，则证明该终端的空口信息没有被篡改，否则，说明该终端的空口信息可能被篡改。
或者，与校验该终端的空口信息相关的参数可能是终端的空口信息的第一校验值。基站可以根据终端的空口信息计算第二校验值，将第二校验值与第一校验值进行比较，若一致，则证明该终端的空口信息没有被篡改，否则，说明该终端的空口信息可能被篡改。
由于终端与基站之间没有建立AS安全，通过向核心网设备请求验证终端的空口信息，能够保证终端的空口信息的安全性。
图10所示的实施例可以用图8或图9所示的装置来实现。
在本申请上述实施例提供的方法中，所描述的终端、基站或核心网设备所执行的操作和功能中的部分或全部，可以用芯片或集成电路来完成。
为了实现上述图8或图9所述的装置的功能，本申请实施例还提供一种芯片，该芯片包括处理器，用于支持该装置实现上述方法实施例中终端、基站或核心网设备所涉及的功能。在一种可能的设计中，该芯片与存储器连接或者该芯片包括存储器，该存储器用于保存该装置必要的程序指令和数据。
本申请实施例提供了一种计算机存储介质，存储有计算机程序，该计算机程序包括用于执行上述实施例提供的方法实施例的指令。
本申请实施例提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例提供的方法实施例。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。
显然，本领域的技术人员可以对本申请实施例进行各种改动和变型而不脱离本申请实施例的精神和范围。这样，倘若本申请实施例的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。
Claims (30)
1.一种空口信息的安全保护方法，其特征在于，包括：
终端根据安全密钥和空口信息，确定第一消息认证码MAC值，其中，所述安全密钥为所述终端与核心网设备之间的非接入层NAS安全密钥；
所述终端向基站发送所述空口信息和所述第一MAC值；或者，所述终端向核心网设备发送所述空口信息和所述第一MAC值。
2.如权利要求1所述的方法，其特征在于，所述核心网设备包括移动管理实体MME或接入和移动管理功能AMF；
所述安全密钥为以下任意一种密钥或根据以下任意一种密钥推演得到的密钥：所述终端与所述MME之间的密钥Kasme、所述终端与所述AMF之间的密钥Kamf、所述终端与所述核心网设备之间的NAS完整性保护密钥或所述终端与所述核心网设备之间的NAS机密性保护密钥。
3.如权利要求1或2所述的方法，其特征在于，终端根据安全密钥和空口信息，确定第一消息认证码MAC值，包括：
所述终端根据安全密钥、空口信息和输入参数，确定第一MAC值；
其中，所述输入参数包括新鲜参数和/或小区标识；所述新鲜参数包括以下任意一种或多种：上行链路NAS计数值count的部分或全部比特、下行链路NAS计数值count的部分或全部比特、或随机数。
4.如权利要求1～3任一项所述的方法，其特征在于，所述终端向基站发送所述空口信息和所述第一MAC值，包括：
所述终端向所述基站发送第一无线资源控制RRC消息，所述第一RRC消息中携带所述空口信息和所述第一MAC值；或者，
所述终端向所述基站发送第二RRC消息，所述第二RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值。
5.如权利要求1～4任一项所述的方法，其特征在于，所述方法还包括：
所述终端从所述基站接收请求消息，所述请求消息携带第二MAC值，所述请求消息用于请求所述空口信息；
所述终端校验所述第二MAC值。
6.如权利要求1～5任一项所述的方法，其特征在于，所述空口信息为无线能力或无线能力标识。
7.一种空口信息的安全保护方法，其特征在于，包括：
基站从终端接收无线资源控制RRC消息，所述RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值；
所述基站向核心网设备发送所述NAS消息；
所述基站从所述核心网设备接收所述空口信息的完整性验证结果和/或所述空口信息。
8.一种空口信息的安全保护方法，其特征在于，包括：
基站从终端接收空口信息和第一消息认证码MAC值；
所述基站向核心网设备发送所述空口信息和所述第一消息认证码MAC值；
所述基站从所述核心网设备接收所述空口信息的完整性验证结果。
9.如权利要求7或8所述的方法，其特征在于，所述方法还包括：
所述基站向所述核心网设备发送第一请求消息；
所述基站从所述核心网设备接收所述第一请求消息的第二响应消息，所述第二响应消息携带第二MAC值；
所述基站向所述终端发送第二请求消息，所述第二请求消息用于请求所述空口信息，所述第二请求消息携带所述第二MAC值。
10.如权利要求9所述的方法，其特征在于，在所述基站向所述核心网设备发送第一请求消息之前，所述方法还包括：
所述基站确定所述终端为控制面蜂窝物联网优化终端。
11.一种空口信息的安全保护方法，其特征在于，包括：
核心网设备从基站接收第一请求消息，所述第一请求消息携带空口信息和第一消息认证码MAC值；
所述核心网设备根据所述第一MAC值校验所述空口信息的完整性；
所述核心网设备向所述基站发送所述第一请求的第一响应消息，所述第一响应消息中包括所述空口信息的完整性验证结果和/或所述空口信息。
12.如权利要求11所述的方法，其特征在于，所述方法还包括：
所述核心网设备从所述基站接收第二请求消息；
所述核心网设备根据安全密钥确定第二MAC值；
所述核心网设备向所述基站发送所述第二请求消息的第二响应消息，所述第二响应消息携带所述第二MAC值。
13.如权利要求12所述的方法，其特征在于，所述安全密钥包括以下任意一种密钥或根据以下任意一种密钥推演得到的密钥：所述终端与所述核心网设备之间的共享密钥、所述终端与所述核心网设备之间的完整性保护密钥或所述终端与所述核心网设备之间的机密性保护密钥。
14.如权利要求12或13所述的方法，其特征在于，所述核心网设备根据安全密钥确定第二MAC值，包括：
所述核心网设备根据安全密钥、输入参数和空口信息，确定第二MAC值；
其中，所述输入参数包括新鲜参数和/或小区标识；所述新鲜参数包括以下任意一种或多种：上行链路NAS计数值count的部分或全部比特、下行链路NAS计数值count的部分或全部比特、或随机数。
15.一种空口信息的安全保护装置，该装置为终端或应用于终端，其特征在于，包括：
处理模块，用于根据安全密钥和空口信息，确定第一消息认证码MAC值，其中，所述安全密钥为所述终端与核心网设备之间的非接入层NAS安全密钥；
通信模块，用于向基站发送所述空口信息和所述第一MAC值。
16.如权利要求15所述的装置，其特征在于，所述核心网设备包括移动管理实体MME或接入和移动管理功能AMF；
所述安全密钥为以下任意一种密钥或根据以下任意一种密钥推演得到的密钥：所述终端与所述MME之间的密钥Kasme、所述终端与所述AMF之间的密钥Kamf、所述终端与所述核心网设备之间的NAS完整性保护密钥或所述终端与所述核心网设备之间的NAS机密性保护密钥。
17.如权利要求15或16所述的装置，其特征在于，所述处理模块用于：
根据安全密钥、空口信息和输入参数，确定第一MAC值；
其中，所述输入参数包括新鲜参数和/或小区标识；所述新鲜参数包括以下任意一种或多种：上行链路NAS计数值count的部分或全部比特、下行链路NAS计数值count的部分或全部比特、或随机数。
18.如权利要求15～17任一项所述的装置，其特征在于，所述通信模块用于：
向所述基站发送第一无线资源控制RRC消息，所述第一RRC消息中携带所述空口信息和所述第一MAC值；或者，
向所述基站发送第二RRC消息，所述第二RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值。
19.如权利要求15～18任一项所述的装置，其特征在于，所述通信模块还用于：
从所述基站接收请求消息，所述请求消息携带第二MAC值，所述请求消息用于请求所述空口信息；
所述处理模块还用于校验所述第二MAC值。
20.如权利要求15～19任一项所述的装置，其特征在于，所述空口信息为无线能力或无线能力标识。
21.一种空口信息的安全保护装置，其特征在于，包括：
通信模块，用于从终端接收无线资源控制RRC消息，所述RRC消息携带NAS消息，所述NAS消息中包括所述空口信息和所述第一MAC值；以及，用于向核心网设备发送所述NAS消息；
所述通信模块，还用于从所述核心网设备接收所述空口信息的完整性验证结果和/或所述空口信息。
22.一种空口信息的安全保护装置，其特征在于，包括：
通信模块，用于从终端接收空口信息和第一消息认证码MAC值；以及用于向核心网设备发送所述空口信息和所述第一消息认证码MAC值；
所述通信模块，还用于从所述核心网设备接收所述空口信息的完整性验证结果。
23.如权利要求21或22所述的装置，其特征在于，所述通信模块还用于：
向所述核心网设备发送第一请求消息；
从所述核心网设备接收所述第一请求消息的第二响应消息，所述第二响应消息携带第二MAC值；
向所述终端发送第二请求消息，所述第二请求消息用于请求所述空口信息，所述第二请求消息携带所述第二MAC值。
24.如权利要求23所述的装置，其特征在于，所述装置还包括处理模块，用于在所述通信模块向所述核心网设备发送第一请求消息之前，确定所述终端为控制面蜂窝物联网优化终端。
25.一种空口信息的安全保护装置，所述装置为核心网设备或应用于核心网设备，其特征在于，包括：
通信模块，用于从基站接收第一请求消息，所述第一请求消息携带空口信息和第一消息认证码MAC值；
处理模块，用于根据所述第一MAC值校验所述空口信息的完整性；
所述通信模块，还用于向所述基站发送所述第一请求的第一响应消息，所述第一响应消息中包括所述空口信息的完整性验证结果和/或所述空口信息。
26.如权利要求25所述的装置，其特征在于，所述通信模块还用于：从所述基站接收第二请求消息；
所述处理模块还用于根据安全密钥确定第二MAC值；
所述通信模块还用于向所述基站发送所述第二请求消息的第二响应消息，所述第二响应消息携带所述第二MAC值。
27.如权利要求26所述的装置，其特征在于，所述安全密钥包括以下任意一种密钥或根据以下任意一种密钥推演得到的密钥：所述终端与所述核心网设备之间的共享密钥、所述终端与所述核心网设备之间的完整性保护密钥或所述终端与所述核心网设备之间的机密性保护密钥。
28.如权利要求26或27所述的装置，其特征在于，所述处理模块用于：
根据安全密钥、输入参数和空口信息，确定第二MAC值；
其中，所述输入参数包括新鲜参数和/或小区标识；所述新鲜参数包括以下任意一种或多种：上行链路NAS计数值count的部分或全部比特、下行链路NAS计数值count的部分或全部比特、或随机数。
29.一种通信系统，其特征在于，包括终端、基站和核心网设备中的至少两项；
其中，所述终端用于执行如权利要求1～6任一项所述的方法；
所述基站用于执行如权利要求7～10任一项所述的方法；
所述核心网设备用于执行如权利要求11～14任一项所述的方法。
30.一种计算机可读存储介质，其特征在于，所述计算机存储介质中存储有计算机可读指令，当所述计算机可读指令在计算机上运行时，使得计算机执行权利要求1至14任一项所述的方法。
Priority Applications (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| EP20866765.9A EP4024930A4 (en) | 2019-09-16 | 2020-07-13 | SECURITY PROTECTION METHOD AND DEVICE FOR AIR INTERFACE INFORMATION |
| JP2022516690A JP2022548137A (ja) | 2019-09-16 | 2020-07-13 | エアインターフェース情報セキュリティ保護方法および装置 |
| PCT/CN2020/101714 WO2021051974A1 (zh) | 2019-09-16 | 2020-07-13 | 一种空口信息的安全保护方法及装置 |
| US17/695,145 US20220210648A1 (en) | 2019-09-16 | 2022-03-15 | Air interface information security protection method and apparatus |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910870247 | 2019-09-16 | ||
| CN2019108702471 | 2019-09-16 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN112601222A true CN112601222A (zh) | 2021-04-02 |
| CN112601222B CN112601222B (zh) | 2022-04-22 |
Family
ID=75180039
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201910974006.1A Active CN112601222B (zh) | 2019-09-16 | 2019-10-14 | 一种空口信息的安全保护方法及装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112601222B (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2024031724A1 (zh) * | 2022-08-12 | 2024-02-15 | 北京小米移动软件有限公司 | 终端设备能力指示方法及装置 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108307389A (zh) * | 2016-09-26 | 2018-07-20 | 中兴通讯股份有限公司 | 数据安全保护方法、网络接入设备及终端 |
| CN109041057A (zh) * | 2018-08-08 | 2018-12-18 | 兴唐通信科技有限公司 | 一种基于5g aka的核心网网元间鉴权流程安全性增强方法 |
| CN109104727A (zh) * | 2018-08-08 | 2018-12-28 | 兴唐通信科技有限公司 | 一种基于eap-aka’的核心网网元间鉴权流程安全性增强方法 |
| CN109788474A (zh) * | 2017-11-14 | 2019-05-21 | 华为技术有限公司 | 一种消息保护的方法及装置 |
| US20190159025A1 (en) * | 2017-11-20 | 2019-05-23 | Telefonaktiebolaget Lm Ericsson (Publ) | Security Context Handling in 5g During Handover |
| CN110048988A (zh) * | 2018-01-15 | 2019-07-23 | 华为技术有限公司 | 消息的发送方法和装置 |
-
2019
- 2019-10-14 CN CN201910974006.1A patent/CN112601222B/zh active Active
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108307389A (zh) * | 2016-09-26 | 2018-07-20 | 中兴通讯股份有限公司 | 数据安全保护方法、网络接入设备及终端 |
| CN109788474A (zh) * | 2017-11-14 | 2019-05-21 | 华为技术有限公司 | 一种消息保护的方法及装置 |
| US20190159025A1 (en) * | 2017-11-20 | 2019-05-23 | Telefonaktiebolaget Lm Ericsson (Publ) | Security Context Handling in 5g During Handover |
| CN110048988A (zh) * | 2018-01-15 | 2019-07-23 | 华为技术有限公司 | 消息的发送方法和装置 |
| CN109041057A (zh) * | 2018-08-08 | 2018-12-18 | 兴唐通信科技有限公司 | 一种基于5g aka的核心网网元间鉴权流程安全性增强方法 |
| CN109104727A (zh) * | 2018-08-08 | 2018-12-28 | 兴唐通信科技有限公司 | 一种基于eap-aka’的核心网网元间鉴权流程安全性增强方法 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2024031724A1 (zh) * | 2022-08-12 | 2024-02-15 | 北京小米移动软件有限公司 | 终端设备能力指示方法及装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN112601222B (zh) | 2022-04-22 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN110312305B (zh) | 终端设备的位置确定方法和设备 | |
| CN109587688B (zh) | 系统间移动性中的安全性 | |
| US10798082B2 (en) | Network authentication triggering method and related device | |
| CN108605225B (zh) | 一种安全处理方法及相关设备 | |
| KR102419048B1 (ko) | 임시 식별자를 송신하는 방법 및 시스템 | |
| CN111328112B (zh) | 一种安全上下文隔离的方法、装置及系统 | |
| EP2846569B1 (en) | Method for establishing direct link, and key updating method and device | |
| CN112512045B (zh) | 一种通信系统、方法及装置 | |
| JP7255949B2 (ja) | 通信方法および装置 | |
| US20220210648A1 (en) | Air interface information security protection method and apparatus | |
| CN110392998A (zh) | 一种数据包校验方法及设备 | |
| JP6651613B2 (ja) | ワイヤレス通信 | |
| WO2021180209A1 (zh) | 传输寻呼信息的方法和通信装置 | |
| CN112601222B (zh) | 一种空口信息的安全保护方法及装置 | |
| CN110831247A (zh) | 一种通信方法及装置 | |
| WO2021088471A1 (zh) | 连接恢复方法及装置 | |
| CN116866900A (zh) | 一种基于信道秘钥的加密方法及装置 | |
| CN111865569B (zh) | 一种密钥协商方法及装置 | |
| CN115515130A (zh) | 一种会话密钥生成的方法及装置 | |
| WO2023072271A1 (zh) | 管理安全上下文的方法和装置 | |
| CN114208240B (zh) | 数据传输方法、装置及系统 | |
| WO2023213191A1 (zh) | 安全保护方法及通信装置 | |
| WO2023098209A1 (zh) | 一种数据传输保护方法、设备及系统 | |
| WO2022147838A1 (zh) | 无线通信的方法和装置 | |
| WO2020047724A1 (zh) | 一种数据传输方法及装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |