CN113966625A - 用于核心网络域中的证书处理的技术 - Google Patents

Abstract

提供了一种移动通信网络的核心网络域中的网络存储库功能(NRF)，其中，NRF被配置为注册网络功能(NF)简档以用于NF发现，并且其中，NF证书已经被颁发给NF，每个NF证书包括相应NF的公钥和至少一个认证机构(CA)的至少一个签名。NRF被配置为从具有NF证书的注册NF接收简档信息，该简档信息包括注册NF的NF标识、注册NF的NF类型和至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给注册NF的NF证书。NRF还被配置为将所接收的简档信息存储在存储库中。

Description

用于核心网络域中的证书处理的技术

技术领域

本公开总体上涉及移动通信系统，并且具体地涉及移动通信网络的核心网络域。更详细地，本公开涉及提供核心网络域中的网络存储库功能和网络功能的装置、核心网络域系统、对应的方法和计算机程序产品。

背景技术

第3代合作伙伴计划(3GPP)正在开发针对第5代(5G)通信系统的技术规范(TS)。3GPP TS 23.501 V15.4.0(2018-12)定义了5G基于服务的架构(SBA)的架构方面。根据该SBA，网络功能(NF)使用基于服务的交互来消费来自其他NF的服务。对服务和生产它们的NF的发现由网络存储库功能(NRF)提供。

服务生产NF在NRF中注册、更新或取消注册它们的简档。服务消费NF通过向NRF查询提供给定类型服务的NF实例来发现由NF生产者实例提供的服务。NF可以订阅和取消订阅在NRF中注册的NF状态的改变。基于这种订阅，NRF将向NF通知其他NF的状态改变。

SBA安全机制在3GPP TS 33.501 V15.3.1中规定。例如，该文档的第13.1节定义了NF应支持具有服务器侧和客户端侧证书两者的传输层安全(TLS)。该TLS模式通常被称为双向TLS(mTLS)。

TLS使用包含公钥并由认证机构(CA)进行数字签名的X.509证书。CA具有证书，其可以由另一个CA进行签名。根CA是其证书未由任何其他CA签名的CA。证书链以根CA开始，包括所有中间CA(但不包括根CA)并以客户端或服务器证书结束，每个证书都相对于在前一个证书中编码的公钥被签名。

接收X.509证书的一方必须对其进行验证。验证意味着遍历证书链并验证所有证书签名。当所有签名都有效时，则认为该证书有效。

当服务消费者NF的证书被服务生产者NF成功验证时，服务生产者NF对服务消费者NF进行认证。然后，服务生产者NF需要对服务消费者NF进行授权，即检查服务消费者NF是否有权消费由服务生产者NF提供的服务。

根据TS 33.501，可以可选地使用基于令牌的授权。当不使用时，服务生产者NF应基于本地策略检查服务消费者NF的授权。

当使用mTLS时，必须对CA证书进行生命周期管理。大规模进行这种管理是复杂的任务，需要成本高昂的集成并引入复杂性。另一方面，当不使用基于令牌的授权并且授权基于本地策略时，需要在服务生产者NF中配置访问控制列表(ACL)或等效机制，并且在网络中实例化新的NF实例时，必须更新所有服务生产者NF的ACL，这也是复杂且成本高昂的。

发明内容

需要一种在核心网络域中提供对CA证书的高效处理的技术。

根据第一方面，提供了一种被配置为提供移动通信网络的核心网络域中的网络存储库功能NRF的装置，其中，NRF被配置为注册网络功能NF简档以用于NF发现，并且其中，NF证书已经被颁发给NF，每个NF证书包括相应NF的公钥和至少一个认证机构CA的至少一个签名。该装置被配置为从具有NF证书的注册NF接收简档信息，该简档信息包括注册NF的NF标识、注册NF的NF类型和至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给注册NF的NF证书。该装置还被配置为将所接收的简档信息存储在存储库中。

例如，一些或所有NF的NF简档均可以通过包含一个或多个或所有CA证书的属性进行扩展，这些CA证书需要验证与对应NF简档相关联的NF的证书。验证可以具体地在服务消费者NF和服务生产者NF之间的相互握手过程期间发生。握手过程可以符合TLS协议。

在一个变体中，被颁发给注册NF的NF证书还包括与注册NF的NF标识不同的NF标识符。在该变体中，所接收的简档信息还可以包括NF标识符。例如，一些或所有NF的NF简档均可以通过包含与对应NF简档相关联的NF的NF标识符的另外的属性进行扩展。在服务消费者NF和服务生产者NF之间的相互握手过程期间，NF标识符可用于验证目的。

例如，NF标识符可以是包括在NF证书的主题(subject)字段中的特定标识符。在一些情况下，NF标识符可以采用完全合格域名FQDN和所有人的安全生产标识框架SPIFFE标识符之一的形式。

与NF标识符相反，“常规”NF标识可以使NF(与包括该NF标识的NF简档相关联)在核心网络域中可发现或可区分。

该装置可以被配置为接收指示至少NF类型的发现请求。在这样的实现中，该装置还可以被配置为访问存储库以标识至少匹配所指示的NF类型的一个或多个NF简档并且被配置为发送包括来自该一个或多个匹配的NF简档的发现信息的发现响应。在一些情况下，发现信息至少包括针对相应NF简档存储的一个或多个CA证书。

该装置还可以被配置为从第一NF接收包括更新后的CA证书信息的更新请求。然后，该装置可以基于更新后的CA证书信息来更新第一NF的简档信息。具体地，该装置可以被配置为标识经由通知的订阅与第一NF相关联的一个或多个第二NF并且被配置为向一个或多个所标识的第二NF发送更新后的CA证书信息的至少一部分。

该装置还可以被配置为从第一NF接收包括更新后的NF标识符信息的更新请求。然后，该装置可以基于更新后的NF标识符信息来更新第一NF的简档信息。具体地，该装置可以被配置为标识经由通知的订阅与第一NF相关联的一个或多个第二NF并且被配置为向一个或多个所标识的第二NF发送更新后的NF标识符信息的至少一部分。

根据第二方面，提供了一种被配置为提供移动通信网络的核心网络域中的网络功能NF的装置，其中，NF证书已经被颁发给NF，该NF证书包括NF的公钥和至少一个认证机构CA的至少一个签名。第二方面的装置被配置为获得签名了被颁发给NF的NF证书的至少一个CA的至少一个CA证书，并向网络存储库功能NRF发送简档信息，该NRF被配置为注册NF简档以用于核心网络域中的NF发现，该简档信息包括注册NF的NF标识、注册NF的NF类型和至少一个CA证书。

被颁发给注册NF的NF证书还可以包括与注册NF的NF标识不同的NF标识符。所接收的简档信息还可以包括NF标识符，例如以属性(例如，除了定义至少一个CA证书的属性之外的属性)的形式。

第二方面的装置可以被配置为在与另一个NF的握手过程中向另一个NF发送NF证书。握手过程可以符合TLS(例如，mTLS)。

第二方面的装置可以被配置为向NRF发送指示至少NF类型的发现请求。该装置还可以被配置为从NRF接收发现响应，该发现响应包括来自至少匹配NF类型的一个或多个NF简档的发现信息，该发现信息包括针对相应NF简档存储的至少一个CA证书(以及可选地，相关联的NF标识符)。该装置可以将发现信息存储在存储装置中。

具体地，该装置还可以被配置为：从另一个NF接收针对该另一个NF颁发的NF证书，针对该另一个NF的发现信息先前已经从NRF接收到；从存储装置中读取包括在发现信息中的至少一个CA证书；以及使用从存储装置中读取的CA证书验证NF证书。NF证书可以是在与另一个NF的握手过程(例如，符合TLS)的上下文中接收的。

第二方面的装置可以被配置为从所接收的NF证书中提取第一NF标识符，从简档信息中提取第二NF标识符，以及基于第二NF标识符来验证第一NF标识符。例如，可以验证第一NF标识符和第二NF标识符是相同的。

第二方面的装置可以被配置为从NRF接收针对NF的更新后的CA证书信息的至少一部分，该NF经由通知的订阅与接收NF相关联，并且针对该NF的发现信息先前已经被接收和存储。在这种情况下，该装置还可以被配置为基于所接收的更新后的CA证书信息来更新所存储的发现信息。可以针对更新后的NF标识符信息执行相同的过程。

第二方面的装置可以被配置为确定针对NF的更新后的CA证书信息并且向NRF发送包括针对NF的更新后的CA证书信息的更新消息。可以针对更新后的NF标识符信息执行相同的过程。

在一些实现中，第二方面的装置被配置作为服务消费者NF。在其他实现中，它被配置作为服务生成者NF。

还提供了一种核心网络系统，包括第一方面的装置(即，NRF)和第二方面的装置(即，NF)。

还提出了一种提供移动通信网络的核心网络域中的网络存储库功能NRF的方法，NRF被配置为注册网络功能NF简档以用于NF发现，其中，NF证书已经被颁发给NF，每个NF证书包括相应NF的公钥和至少一个认证机构CA的至少一个签名。该方法包括从具有NF证书的注册NF接收简档信息，该简档信息包括注册NF的NF标识、注册NF的NF类型和至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给注册NF的NF证书。该方法还包括将所接收的简档信息存储在存储库中。

上述方法可由第一方面的装置(即，NRF)执行。

此外，提出了一种提供移动通信网络的核心网络域中的网络功能NF的方法，其中，NF证书已经被颁发给NF，该NF证书包括NF的公钥和至少一个认证机构CA的至少一个签名。该方法包括获得签名了被颁发给NF的NF证书的至少一个CA的至少一个CA证书，并向网络存储库功能NRF发送简档信息，该NRF被配置为注册网络功能NF简档以用于核心网络域中的NF发现，该简档信息包括注册NF的NF标识、注册NF的NF类型和至少一个CA证书。

上述方法可由第二方面的装置(即，NF)执行。

还提供了一种包括程序代码部分在内的计算机程序产品，该程序代码部分被配置为在该程序代码部分由一个或多个处理器执行时执行本文提出的方法。计算机程序产品可以存储在计算机可读记录介质上或者可以被提供以经由网络连接下载。

附图说明

根据以下示例性实施例的详细描述和附图，本公开的其他方面、细节和优点将变得显而易见，在附图中：

图1是示出了本公开的网络系统实施例的图；

图2A、图2B是示出了本公开的两个NRF装置实施例的框图；

图3A、图3B是示出了根据本公开的两个NF装置的实施例的框图；

图4示出了本公开的方法实施例的流程图；以及

图5A至图5D是示出了本公开的另外的实施例的示意性信令图。

具体实施方式

在下面的描述中，出于解释而非限制的目的，阐述了具体细节，以便提供对本公开的全面理解。然而，对本领域技术人员将显而易见的是：本公开可在脱离这些具体细节的其它实施例中实行。

例如，虽然下面的描述集中在根据5G规范的示例性核心网络配置上，但本公开不限于这方面。本公开还可以在具有核心网络域的其他蜂窝或非蜂窝无线通信网络中实现。

因此，虽然将参考5G核心网络实体具体描述实施例，但是应当理解，本公开也可以在其他网络类型中并且由具有类似功能的其他网络实体来实现。此外，虽然将在示例性类型的安全协议和握手过程(例如，TLS)的上下文中说明与证书相关的信息，但显而易见的是，本公开不限于这方面。

本领域技术人员还将意识到，可使用单独的硬件电路、使用与编程的微处理器或通用计算机相结合的软件功能、使用一个或多个专用集成电路(ASIC)和/或使用一个或多个数字信号处理器(DSP)来实现在本文中解释的步骤、服务和功能。还将了解：当按照方法来描述本公开时，本公开也可以以一个或多个处理器和耦接到该一个或多个处理器的一个或多个存储器来体现，其中，该一个或多个存储器存储一个或多个计算机程序，该一个或多个计算机程序在由一个或多个处理器执行时执行本文公开的步骤、服务和功能。

在下面的示例性实施例的描述中，相同的附图标记表示相同或者相似的组件。

图1示出了可以实现本公开的网络系统100的实施例。如图1所示，网络系统100包括由移动网络运营商操作的核心网络域102。不同的终端设备104(例如，UE类型的终端设备104A(例如，智能电话)和两个IoT类型的终端设备104B、104C(例如，汽车和可穿戴设备))由核心网络域102经由接入网域提供服务。接入网域在图1中未示出。

下面将假设核心网络域102符合5G规范。为此，在不将本公开限制于此的情况下，核心网络域102的以下描述将参考典型的5G核心网络元件。接入网域也可以符合5G规范，并可选地附加提供对4G和3G终端设备的兼容性。

核心网络域102包括多个网络实体。在图1中，主要示出了参与NRF相关过程的网络实体。那些网络实体包括不同的NF 107和中央NRF 106，中央NRF 106被配置为在NF服务发现和提供它们的NF 107的发现方面为NF 107提供服务。

在以下实施例的上下文中，NF 107是具有所定义的功能行为和所定义的接口的处理功能。NF 107可以实现为专用硬件上的网络元件，实现为在专用硬件上运行的软件实例，或者实现为在适当的平台(例如，云基础设施)上实例化的虚拟化功能。在下文中，术语“NF”通常表示具有专用NF标识(并且属于专用NF类型)的可识别NF实例。

图1所示的NF 107可以采用各种形式，例如用户平面功能(UPF)107A、107B、107C。每个UPF类型的NF 107A、107B、107C分别与终端设备104A、104B、104C之一相关联，并处理相关联的数据业务。应当理解，取决于网络配置，每个UPF 107A、107B、107C原则上可以处理多个终端设备104A、104B、104C的数据业务。

NF 107A、107B、107C和其他NF 107D、107E可以在NRF 106中注册、更新或取消注册它们各自的NR简档并且在NRF 106处订阅和取消订阅被通知在NRF 106处注册的NF 107的状态改变。对于这些(和其他)过程，NRF 106在示例性5G实现中提供所谓的Nnrf_NFManagement服务(参见3GPP TS 29.510 V15.2.0(2018-12)的第5.2节)。此外，NF 107还可以向NRF 106查询以发现由其他NF 107提供的服务以及如何消费它们。对于这些过程，NRF 106在示例性5G实现中提供所谓的Nnrf_NFDiscovery服务(参见TS 29.510的第5.3节)。

每个NF 107都与NF简档相关联。特定NF的NF简档定义了多个NF属性，例如特定NF107的唯一标识及其类型(将通过例如由该NF提供的服务类型来指示)。NRF 106包括数据存储库106A，用于存储从NF 107接收的简档相关信息。每个NF 107还包括本地数据存储装置。

根据TS 33.501的第13.1节，NF 107应支持具有服务器侧和客户端侧NF证书二者的TLS。如本文所理解的，服务生产者NF 107位于服务器侧，而服务消费者NF 107位于客户端侧。每个NF证书包括相应NF的公钥和至少一个CA的至少一个签名。

图2A和图2B示出了图1的NRF 106的两个实施例。在图2A所示的实施例中，NRF 106包括处理器202和耦接到处理器202的存储器204。NRF 106还包括可选的输入接口206和可选的输出接口208。存储器204存储控制处理器202的操作的程序代码。存储器204或不同的存储装置也存储数据存储库106B。

处理器202适于例如经由输入接口206并且从具有NF证书的注册NF接收简档信息，该简档信息包括注册NF的NF标识、注册NF的NF类型和至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给注册NF的NF证书。处理器202还被配置为将所接收的简档信息存储在如图1所示的数据存储库106A中。

图2B示出了以模块化配置实现NRF 106的实施例。如图2B所示，NRF 106包括接收模块210，该接收模块210被配置为从注册NF接收简档信息，该简档信息包括注册NF的NF标识、注册NF的NF类型和至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给注册NF的NF证书。NRF 106还包括存储模块212，该存储模块212被配置为将所接收的简档信息存储在数据存储库中。

图3A和图3B示出了图1的NF 107的两个实施例，其被配置为在NRF 106处注册其NF简档。在图3A所示的实施例中，NF 107包括处理器302和耦接到处理器302的存储器304。NF107还包括可选的输入接口306和可选的输出接口308。存储器304存储控制处理器302的操作的程序代码。存储器304或不同的存储装置也可以存储针对NF 107自身的或从其他NF107获得的CA证书相关信息。

NF 107的处理器302适于例如经由输入接口306获得至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给NF 107的NF证书。处理器302还适于例如经由输出接口308向NRF 106发送简档信息，NRF 106被配置为注册NF简档以用于核心网络域102中的NF发现。发送的简档信息包括注册NF 107的NF标识、注册NF 107的NF类型和至少一个CA证书。

图3B示出了以模块化配置实现NF 107的实施例。如图3B所示，NF 107包括获得模块310，其被配置为获得至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给NF107的NF证书。NF 107还包括发送模块312，其被配置为向NRF 106发送简档信息，NRF 106被配置为注册NF简档以用于核心网络域102中的NF发现。简档信息包括注册NF 107的NF标识、注册NF 107的NF类型和至少一个CA证书。

图4示出了本公开的方法实施例的两个流程图400、410。流程图400的方法实施例可以由图3A和图3B的任何NF实施例来执行。流程图410的方法实施例可以由图2A和图2B的任何NRF实施例来执行。

流程图400中所示的方法包括步骤402：由注册NF 107获得至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给注册NF 107的NF证书。至少一个CA证书已经由注册NF 107获得作为NF配置的一部分。尽管该配置是供应商特定的，但通常通用配置管理(CM)接口(例如，NETCONF)用于此目的。

在步骤404中，注册NF 107向NRF 106发送简档信息，以便其NF简档可以在那里注册以用于核心网络域102中的NF发现。简档信息包括(至少)注册NF 107的NF标识、注册NF107的NF类型以及在步骤402中获得的至少一个CA证书。

现在转到流程图410，NRF 106在步骤406中从注册NF 107接收在步骤404中发送的简档信息。如上所述，简档信息包括(至少)注册NF 107的NF标识、注册NF 107的NF类型、以及至少一个CA的至少一个CA证书，该至少一个CA签名了被颁发给注册NF 107的NF证书。然后，在步骤408中，NRF 106将所接收的简档信息存储在其数据存储库106A中。

在下文中，将参考图5a至图5D中所示的信令实施例更详细地描述上述一般实施例。这些信令图基于特别是在TS 29.510中定义的示例性5G信令实现。示例性传统NF简档的内容在TS 29.510的第6.1.6.2.2节和6.1.6.2.3节中定义，并且将在以下实施例中通过以下两个属性之一或两者进行扩展：

ca证书属性是可选属性，其包含多达N个CA证书的列表，CA证书应被用于验证NF107所使用的证书。该属性的格式是字符串数组。每个字符串可以包括一个CA证书的内容。

在一个变体中，每个字符串表示PEM(隐私增强电子邮件)Base64编码的DER(区分编码规则)证书，包含在“-----BEGIN CERTIFICATE-----”和“-----ENDCERTIFICATE-----”之间。其他编码格式对于ca证书属性是可能的，只要它们与通常用于NF简档的JSON(JavaScript对象表示)编码兼容。

标识符属性是可选属性，其包含用于在其CA证书中标识NF实例的标识符。格式是字符串。需要注意的是，该标识符属性是与传统NF简档中的nfInstanceID(nf实例ID)属性或serviceInstanceID(服务实例ID)属性不同并且是除此之外被提供的属性。

在一种变体中，标识符属性是FQDN。FQDN可以按照3GPP TS 23.003 V15.6.0(2018-12)的第28.2节构建。FQDN的示例是：

<nf-instance-id>.<nf-instance-type>.5gc.mnc<MNC>.mcc<MCC>.3gppnetwork.org

其中：

-<nf-instance-id>是NF实例的唯一标识符。公共陆地移动网络(PLMN)中的NF类型不应存在两个相同标识符

-<nf-instance-type>是NF类型，例如，统一数据管理(UDM)

-<MNC>和<MCC>对应于运营商的PLMN的移动网络代码(MNC)和移动国家代码(MCC)。

在另一个变体中，标识符属性是SPIFFE标识符。示例SPIFFE标识符如下所示：

spiffe：//5gc.mnc<MNC>.mcc<MCC>.3gppnetwork.org/<nf-instance-type>/<nf-instance-id>

其中：

-<nf-instance-id>是NF实例的唯一标识符。PLMN中的NF类型不应存在两个相同标识符

-<nf-instance-type>是NF类型，例如UDM

-<MNC>和<MCC>对应于运营商的PLMN的MNC和MCC。

在又一个变体中，标识符属性是不透明值。不透明的标识符属性的示例如下所示：

36f01027-4d6f-45e6-8e60-1e14d464344e

图5A描绘了在NRF 106处注册图1所示的任何NF 107的上下文中的信令实施例。图5A中描绘的NF 107可以是服务生产者或服务消费者，或者可以取决于普遍要求同时担任这两种角色。

作为先决条件，假设例如在配置期间NF 107已经被预配置有根CA证书和可选的一个或多个已用于签名NF 107的证书的中间CA证书。该预配置可能已经在图4所示的步骤S402的上下文中发生。

图5A的信令实施例包括以下步骤：

在初始步骤1100中，NF 107创建其NF简档。NF简档尤其包括其NF类型(例如，UDR)、其唯一NF标识(例如，nfInstanceID或serviceInstanceID)以及以下属性中的至少一个：

-ca证书属性：包含验证NF 107的证书所需的根和/或中间CA证书(例如，如上所述编码的)。

-标识符属性：包含NF标识符(例如，如上所述)。在一些变体中，NF标识符与NF 107的证书的主题名称或主题备用名称字段的值匹配。

在一些实现中，可以省略标识符属性。在其他实现中，可以省略ca证书属性。在这些属性之一被省略的情况下，不能执行某些安全过程(如下面参考图5C所讨论的)。因此，为了最大的安全性，可以默认使用这两个属性。

在步骤1101中，NF 107通过发送Nnrf_NFManagement_NFRegister请求在NRF 106中注册自己(参见图4中的步骤S404)。该请求包括先前在步骤1100中创建的NF简档。

NRF 106接收NF简档(参见图4中的步骤S406)并将所接收的NF简档存储在其数据存储库106A中(参见图4中的步骤S408)。

然后，在步骤1102中，NRF 106向NF 107返回Nnrf_NFManagement_NFRegister响应。该响应向NF 107通知NF简档已由NF 106正确接收和存储。

图5B描绘了在由担任服务消费者角色的NF 107进行的NF发现的上下文中的信令实施例。在下文中，将示例性地假设图1的NF 107D充当服务消费者，而NF 107E充当服务生产者。如上文参考图5A所解释的，NRF 106将能够针对其他NF 107充当服务生产者的所有NF107的NF简档(具有相关联的NF类型和CA证书)存储在其数据存储库106A中。

在步骤1200中，服务消费者NF 107D确定它需要与之交互的一个或多个NF类型(即，服务类型)，并且对于它们中的每一个重复步骤1201到1205。

在步骤1201中，服务消费者NF 107D向NRF 107发送Nnrf_NFDiscovery请求。该请求至少指示特定的NF类型作为选择标准。在一些情况下，请求可以包括一个或多个另外的选择标准，或其他信息。

然后，在步骤1202中，NRF 106查阅其数据存储库106A以用于匹配一个或多个服务生产者NF 107E的NF简档并返回Nnrf_NFDiscovery响应。该响应包含与步骤1201中指示的一个或多个标准匹配的NF简档。在步骤1202中返回的NF简档尤其可以包括相应的ca证书和标识符属性。以这种方式，服务消费者NF 107D接收在NRF 106的数据存储库106A中为每个服务生产者NF 107E存储的一个或多个CA证书以供将来使用。

服务消费者NF 107D在步骤1203中处理所接收的NF简档。对于每个NF简档，服务消费者NF 107D：

-提取ca证书属性的内容，并且对于每个CA证书，将所提取的内容存储在TLS实现的安全注册表中；以及

-提取标识符属性的内容并将其存储在内部(通常与从ca证书属性提取的内容分开)。

在进一步的步骤1204中，服务消费者NF 107D向NRF 106发送(可选的)Nnrf_NFManagement_NFStatusSubscribe请求。在该订阅请求中，服务消费者NF 107D指示NF类型，以便接收在步骤1202中已经获得NF简档的NF 107E的状态的改变，并且学习与所指示的NF类型匹配的新的NF简档。

在步骤1205中，NRF 106处理订阅请求并返回Nnrf_NFManagement_NFStatusSubscribe响应。订阅响应向服务消费者NF 107D通知订阅请求已被正确接收和处理。

在图5B所示的信令过程结束时，服务消费者NF 107D具有它可能需要从其消费服务的所有服务生产者NF 107E的所有NF标识、CA证书和NF标识符。相同的信令过程可以由服务生产者NF 107E执行，这次指示服务生产者NF 107E将向其提供服务的NF类型。在对应的信令过程结束时，服务生产者NF 107E具有将消费其服务的所有服务消费者NF 107D的所有NF标识、CA证书和NF标识符。

一些NF 107可以同时具有服务消费者和服务生产者角色，例如，UDM充当针对认证服务器功能(AUSF)的服务生产者，并且充当针对统一数据存储库(UDR)的消费者。在这种情况下，图5B所示的信令过程可以由给定的NF 107执行两次(一次作为服务消费者，一次作为服务生产者)。

图5C描绘了在由服务消费者NF 107D相对于服务生产者NF 107E进行的NF服务调用的上下文中的信令实施例。服务生产者NF 107E先前已由服务消费者NF 107D使用发现/订阅信令发现，如图5B所示。

在步骤1300中，服务消费者NF 107D向服务生产者NF 107E发起超文本传输协议2(HTTP/2)连接。该连接用mTLS保护，因此TLS握手过程开始(参见虚线框)。

在步骤1301中，服务消费者NF 107D向服务生产者NF 107E发送客户端问候消息，并且在步骤1302中，服务生产者NF 107E向服务消费者NF 107E发送服务器问候消息，包括服务生产者NF 107E的证书(图5C中的“服务器证书”)等。

然后，在步骤1303中，服务消费者NF 107D验证由服务生产NF 107E提供的服务器证书。在该上下文中，TLS实现访问安全注册表以获取在图5B的步骤1203中为服务生产者NF107E存储的一个或多个CA证书。这样的验证是根据X.509协议执行的，通常通过从根CA证书经过中间CA证书到NF证书遍历证书链并验证所有证书签名，并且本文中将不更详细的描述。下面将假设验证已成功，因为证书链中的所有签名都可以成功地被验证。

在成功验证之后，服务消费者NF 107D在步骤1304中向服务生产者NF 107E发送消息。该消息包括服务消费者NF 107D的证书(图5C中的“客户端证书”)等。

在步骤1305中，服务生产者NF 107E(成功地)验证由服务消费者NF 107D提供的客户端证书。为此，TLS实现访问安全注册表以获取在图5B的步骤1203中为服务消费者NF107D存储的一个或多个CA证书。服务生产者NF 107E存储客户端证书细节以供以后使用。

在步骤1306中，服务生产者NF 107E向服务消费者NF 107D发送服务器完成消息并终止TLS握手阶段。从这一刻起，HTTP/2连接被保护，并且mTLS认证已成功完成。

在步骤1307中，服务消费者NF 107D向服务生产NF 107E发送NF服务请求以消费其服务之一。

在步骤1308中，服务生产者NF 107E在启用其服务的消费之前授权服务消费者NF107D。为此，服务生产者NF 107E：

-分别从在步骤1304和1305中接收和存储的客户端证书中提取主题名称和主题备用名称字段；以及

-在消费其服务的NF类型的NF简档(例如，如先前在图5B所示的发现信令期间从NRF 106接收的)上进行迭代并将每个NF简档中的标识符属性与客户端证书中的主题名称或主题备用名称字段相匹配

如果找到匹配，则服务消费者NF 107D已被成功授权，并且服务生产者NF 107E在步骤1309中返回服务调用响应。另一方面，如果没有找到匹配，则服务消费者NF 107D未被授权，并且服务生产者NF 107E在步骤1310中返回错误响应。该错误消息指示在步骤1307中接收的服务请求未被授权。

应当理解，步骤1301到1306以及步骤1307到1309分别基于新的ca证书属性和新的标识符属性。在仅实现这些属性中的一个的情况下，与传统实现相比，将仍然存在实现或安全益处。

图5D描绘了在更新CA证书(例如，因为它们到期)的上下文中的信令实施例，其属于生命周期管理(LCM)。如上面参考图5A和图5B所讨论的，需要更新的CA证书先前已经在核心网络域102中传送。每个NF 107将应用相同的信令程序，而与其作为服务消费者或服务生产者的角色无关。作为图5D中所示的信令过程的先决条件，NF 107已被预配置有至少一个更新的或新的根和/或中间CA证书。

下面将假设由于LCM操作，必须为例如服务生产者NF 107E更新CA证书。因此，服务生产者NF 107E在步骤1400中使用ca证书属性的新值更新其NF简档。

在步骤1401中，服务生产者NF 107E向NRF 106发送NFUpdate请求。该请求指示ca证书属性的新值，可能具有已改变的附加NF简档属性。在一些实现中，发送完整的NF简档，在其他实现中，仅发送已经改变的属性的值。

在步骤1402中，NRF 106将更新后的NF简档存储在数据存储库106A中并且向服务生产NF 107E返回NFUpdate响应。

在步骤1403中，NRF 106确定对以下改变具有有效订阅的所有服务消费者NF107D：在步骤1402中发送请求消息的特定服务生产者NF 107E的改变，或通常对在步骤1402中发送请求消息的特定服务生产者NF 107E所属的服务生产者NF类型的改变。

然后，对于在步骤1403中确定的每个服务消费者NF 107D，NRF 106在步骤1404中发送NFStatusNotify请求。该请求包括在步骤1401中接收的修改后的ca证书属性并指示与其相关联的服务生产者NF 107E的标识符属性。

在步骤1405中，特定服务消费者NF 107D接收请求，并向NRF 106返回NFStatusNotify响应。该响应确认请求的正确接收。

此外，在步骤1406中，服务消费者NF 107D从在步骤1405中接收的消息中提取ca证书属性的内容并将它们存储在TLS实现的安全注册表中。

在图5D所示的信令过程结束时，每个相关的服务消费者NF 107D更新了其为发起该过程的服务生产者NF 107E存储的CA证书。在另一个方向，服务消费者NF 107D也更新它们各自的ca证书属性，并且服务生产者NF 107E从NRF 106接收对应的更新通知并相应地更新它们各自的TLS实现的安全注册表。相同的信令过程适用于服务消费者NF 107D的NF简档的标识符属性的改变。

根据图5A至图5D已变得明显的是，使用ca证书和标识符属性之一或两者扩展NF简档导致对传统信令过程的各种修改。这些修改包括：具有ca证书和/或标识符属性的针对NF107的NF简档的创建(图5A中的步骤1100和图5D中的步骤1400)；ca证书属性中包含的CA证书在TLS实现的安全注册表中的存储；以及标识符属性在内部的存储(图5B中的步骤1203和图5D中的步骤1406)；NF简档中的标识符属性与客户端证书的主题名称和/或主题备用名称字段的查找和匹配(图5C中的步骤1308)等。

如将理解的，如果并未小心地完成，则在以上实施例的上下文中发送证书和NF标识符可能暴露安全挑战。然而，NF 107和NRF 106之间的连接使用mTLS进行保护，因此在注册、发现和通知信令期间交换的CA证书和NF标识符被保护免受潜在攻击者的窃听或篡改。此外，NRF 106被认为是受信任的，因此应以其中包含的NF简档不能被潜在的攻击者泄露或篡改的方式实现。

本文提出的技术有助于分发验证所使用的证书所需的加密材料(CA证书)，例如，在使用mTLS保护的连接中。它还提供了一种基于本地策略的简单授权方法(当不使用基于令牌的授权时)，并且通常不需要在不同NF上的配置。因此，促进5G或类似系统的操作，实现轻松调整并降低由于人工干预和配置错误而导致的错误概率。

应当理解，已经参考可以在许多方面变化的示例性实施例描述了本公开。因此，本发明仅由所附权利要求来限定。

Claims (27)

1.一种被配置为提供移动通信网络的核心网络域(102)中的网络存储库功能NRF的装置(106)，所述NRF被配置为注册网络功能NF简档以用于NF发现，其中，NF证书已经被颁发给NF(107)，每个NF证书包括相应NF的公钥和至少一个认证机构CA的至少一个签名，所述装置(106)被配置为：

从具有NF证书的注册NF(107)接收(210)简档信息，所述简档信息包括

-所述注册NF(107)的NF标识，

-所述注册NF(107)的NF类型，以及

-至少一个CA的至少一个CA证书，所述至少一个CA签名了被颁发给所述注册NF(107)的NF证书；以及

将所接收的简档信息存储(212)在存储库(106A)中。

2.根据权利要求1所述的装置，其中，

被颁发给所述注册NF(107)的所述NF证书还包括与所述注册NF(107)的NF标识不同的NF标识符，并且其中，所接收的简档信息还包括所述NF标识符。

3.根据权利要求2所述的装置，其中，

所述NF标识符被包括在所述NF证书的主题字段中。

4.根据权利要求2或3所述的装置，其中，

所述NF标识符采用完全合格域名FQDN和所有人的安全生产标识框架SPIFFE标识符之一的形式。

5.根据前述权利要求中任一项所述的装置，其中，

所述NF标识使所述注册NF(107)在所述核心网络域(102)中能够被发现或能够被区分。

6.根据前述权利要求中任一项所述的装置，被配置为：

接收指示至少NF类型的发现请求；

访问所述存储库(106A)以标识至少匹配所指示的NF类型的一个或多个NF简档；以及

发送包括来自该一个或多个匹配的NF简档的发现信息的发现响应，所述发现信息至少包括针对相应NF简档存储的一个或多个CA证书。

7.根据前述权利要求中任一项所述的装置，被配置为：

从第一NF(107E)接收包括更新后的CA证书信息的更新请求；以及

基于更新后的CA证书信息来更新所述第一NF(107E)的简档信息。

8.根据权利要求7所述的装置，被配置为：

标识经由对通知的订阅与所述第一NF(107E)相关联的一个或多个第二NF(107D)；以及

向一个或多个所标识的第二NF(107D)发送更新后的CA证书信息的至少一部分。

9.一种被配置为提供移动通信网络的核心网络域(102)中的网络功能NF的装置(107)，其中，NF证书已经被颁发给所述NF(107)，所述NF证书包括所述NF(107)的公钥和至少一个认证机构CA的至少一个签名，所述装置被配置为：

获得(310)所述至少一个CA的至少一个CA证书，所述至少一个CA签名了被颁发给所述NF(107)的所述NF证书；

向网络存储库功能NRF(106)发送(312)简档信息，所述网络存储库功能NRF(106)被配置为注册NF简档以用于所述核心网络域中的NF发现，所述简档信息包括：

-所述注册NF(107)的NF标识，

-所述注册NF(107)的NF类型，以及

-所述至少一个CA证书。

10.根据权利要求9所述的装置，其中，

被颁发给所述注册NF(107)的所述NF证书还包括与所述注册NF(107)的NF标识不同的NF标识符，并且其中，所接收的简档信息还包括所述NF标识符。

11.根据权利要求9或10所述的装置，被配置为：

在与另一个NF(107D/E)的握手过程中，向所述另一个NF(107D/E)发送所述NF证书。

12.根据权利要求9至11中任一项所述的装置，被配置为：

向所述NRF(106)发送指示至少NF类型的发现请求；

从所述NRF(106)接收发现响应，所述发现响应包括来自至少匹配所述NF类型的一个或多个NF简档的发现信息，所述发现信息包括针对相应NF简档存储的至少一个CA证书；

将所述发现信息存储在存储装置中。

13.根据权利要求12所述的装置，被配置为：

从另一个NF(107D/E)接收针对所述另一个NF(107D/E)颁发的所述NF证书，针对所述另一个NF(107D/E)的发现信息先前已从所述NRF 106接收到；

从所述存储装置中读取包括在所述发现信息中的至少一个CA证书；以及

使用从所述存储装置中读取的所述CA证书验证所述NF证书。

14.根据权利要求13所述的装置，被配置为：

从所接收的NF证书中提取第一NF标识符；

从所述简档信息中提取第二NF标识符；以及

基于所述第二NF标识符验证所述第一NF标识符。

15.根据权利要求13或14所述的装置，其中，

所述NF证书是在与所述另一个NF(107D/E)的握手过程的上下文中接收的。

16.根据权利要求11或15所述的装置，其中，

所述握手过程基于传输层安全TLS协议。

17.根据权利要求12至16中任一项所述的装置，被配置为：

从所述NRF(106)接收针对NF(107)的更新后的CA证书信息的至少一部分，所述NF(107)经由对通知的订阅与接收NF相关联并且针对所述NF(107)的发现信息先前已经被接收并存储；以及

基于所接收的更新后的CA证书信息来更新所存储的发现信息。

18.根据权利要求10至17中任一项所述的装置，被配置为：

确定针对所述NF(107)的更新后的CA证书信息；以及

向所述NRF(106)发送更新消息，所述更新消息包括针对所述NF(107)的更新后的CA证书信息。

19.根据权利要求10至18中任一项所述的装置，被配置作为服务消费NF(107D)。

20.根据权利要求10至18中任一项所述的装置，被配置作为服务生产NF(107E)。

21.一种核心网络系统，包括根据权利要求1至8中任一项所述的装置(106)和根据权利要求9至20中任一项所述的装置(107)。

22.一种提供移动通信网络的核心网络域(106)中的网络存储库功能NRF(106)的方法，所述NRF被配置为注册网络功能NF简档以用于NF发现，其中，NF证书已经被颁发给NF(107)，每个NF证书包括相应NF(107)的公钥和至少一个认证机构CA的至少一个签名，所述方法包括：

从具有NF证书的注册NF(107)接收(406)简档信息，所述简档信息包括

-所述注册NF(107)的NF标识，

-所述注册NF(107)的NF类型，以及

-至少一个CA的至少一个CA证书，所述至少一个CA签名了被颁发给所述注册NF(107)的NF证书；以及

将所接收的简档信息存储(408)在存储库(106A)中。

23.根据权利要求22所述的方法，由根据权利要求1至8中任一项所述的装置执行。

24.一种提供移动通信网络的核心网络域(102)中的网络功能NF(107)的方法，其中，NF证书已经被颁发给所述NF(107)，所述NF证书包括所述NF(107)的公钥和至少一个认证机构CA的至少一个签名，所述方法包括：

获得(402)所述至少一个CA的至少一个CA证书，所述至少一个CA签名了被颁发给所述NF(107)的所述NF证书；以及

向网络存储库功能NRF(106)发送(404)简档信息，所述网络存储库功能NRF(106)被配置为注册NF简档以用于所述核心网络域(102)中的NF发现，所述简档信息包括：

-所述注册NF(107)的NF标识，

-所述注册NF(107)的NF类型，以及

-所述至少一个CA证书。

25.根据权利要求24所述的方法，由根据权利要求9至20中任一项所述的装置执行。

26.一种计算机程序产品，包括程序代码部分，所述程序代码部分用于在所述程序代码部分由一个或多个处理器(202、302)执行时执行根据权利要求22至25中任一项所述的方法。

27.根据权利要求26所述的计算机程序产品，被存储在计算机可读介质上。

Images