CN114867020A - 完整性保护方法、装置及通信设备 - Google Patents

Abstract

本申请公开了一种完整性保护方法、装置及通信设备，属于通信技术领域，能够解决onboarding场景中，存在的UE收到被篡改的信息的问题。该方法包括：第一通信设备向第二通信设备发送第一消息；第一通信设备从第二通信设备接收第二消息；其中，上述第一消息用于指示需要对目标对象进行完整性保护；上述目标对象用于UE通过当前接入网络获取其他网络的证书和/或签约信息；上述第二消息包括经过完整性保护的目标对象，或者，上述第二消息用于指示完整性保护失败。

Description

完整性保护方法、装置及通信设备

技术领域

本申请属于通信技术领域，具体涉及一种完整性保护方法、装置及通信设备。

背景技术

目前，当用户设备(User Equipment，UE)通过O-SNPN进行注册、且通过用户面的远程配置(remote provisioning)下载鉴权(credential)时，需要从SMF获取onboarding配置信息，例如，PS address等。为了保证UE接收到的onboarding配置信息没有被篡改，SMF通过O-SNPN传递给UE的onboarding配置信息需要经过完整性保护。

然而，在onboarding场景中，由于onboarding UE可能没有配置默认鉴权(defaultcredential)，从而只能使用一种类似紧急注册(emergency registration)或rlos注册的方式，使得AMF不能对SMF发给UE的onboarding配置信息执行完整性保护，从而导致UE收到被篡改的onboarding配置信息。

发明内容

本申请实施例的目的是提供一种完整性保护方法、装置及通信设备，能够解决onboarding场景中，存在的UE收到被篡改的配置信息的问题。

为了解决上述技术问题，本申请是这样实现的：

第一方面，提供了一种完整性保护方法，所述方法包括：第一通信设备向第二通信设备发送第一消息；第一通信设备从第二通信设备接收第二消息；其中，上述第一消息用于指示需要对目标对象进行完整性保护；上述目标对象用于UE通过当前接入网络获取其他网络的证书和/或签约信息；上述第二消息包括经过完整性保护的目标对象，或者，上述第二消息用于指示完整性保护失败。

第二方面，提供了一种完整性保护方法，所述方法包括：第二通信设备从第一通信设备接收第一消息；第一消息用于指示需要对目标对象进行完整性保护；如果第二通信设备能够进行完整性保护，则向UE或第一通信设备发送经过完整性保护的目标对象；或者，如果第二通信设备不能进行完整性保护，则向UE发送PDU会话建立响应消息；该PDU会话建立响应消息中不包含目标对象中的第一配置信息；该第一配置信息用于UE通过当前接入网络获取其他网络的证书和/或签约信息。

第三方面，提供了一种完整性保护装置，该装置包括：发送模块，用于向第二通信设备发送第一消息；接收模块，用于从第二通信设备接收第二消息；其中，上述第一消息用于指示需要对目标对象进行完整性保护；上述目标对象用于UE通过当前接入网络获取其他网络的证书和/或签约信息；上述第二消息包括经过完整性保护的目标对象，或者，上述第二消息用于指示完整性保护失败。

第四方面，提供了一种完整性保护装置，该装置包括：接收模块，用于从第一通信设备接收第一消息；第一消息用于指示需要对目标对象进行完整性保护；发送模块，用于如果第二通信设备能够进行完整性保护，则向UE或第一通信设备发送经过完整性保护的目标对象；或者，如果第二通信设备不能进行完整性保护，则向UE发送PDU会话建立响应消息；该PDU会话建立响应消息中不包含目标对象中的第一配置信息；该第一配置信息用于UE通过当前接入网络获取其他网络的证书和/或签约信息。

第五方面，提供了一种通信设备，该终端包括处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如第一方面或第二方面所述的方法的步骤。

第六方面，提供了一种可读存储介质，所述可读存储介质上存储程序或指令，所述程序或指令被处理器执行时实现如第一方面所述的方法的步骤，或者实现如第一方面或第二方面所述的方法的步骤。

第七方面，提供了一种芯片，所述芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行网络侧设备程序或指令，实现如如第一方面或第二方面所述的方法。

在本申请实施例中，第一通信设备通过向第二通信设备发送第一消息，以指示需要对目标对象进行完整性保护，而第二通信设备接收到该第一消息后，如果该第二通信设备能够进行完整性保护，则会向UE或第一通信设备反馈经过完整性保护的目标对象，如果该第二通信设备不能进行完整性保护，则会向UE发送PDU会话建立响应消息，由于该PDU会话建立响应消息中不包含目标对象中的第一配置信息(用于UE通过当前接入网络获取其他网络的证书和/或签约信息)，因此，保证了UE接收到的信息没有被篡改。

附图说明

图1是为本申请实施例提供的一种通信系统的系统架构图；

图2为本申请实施例提供的完整性保护方法的方法流程图之一；

图3为本申请实施例提供的完整性保护方法的方法流程图之二；

图4为本申请实施例提供的完整性保护方法的方法流程图之三；

图5为本申请实施例提供的完整性保护方法的方法流程图之四；

图6为本申请实施例提供的完整性保护方法的方法流程图之五；

图7为本申请实施例提供的完整性保护装置的结构示意图之一；

图8为本申请实施例提供的完整性保护装置的结构示意图之二；

图9为本申请实施例提供的通信设备的结构示意图之一；

图10为本申请实施例提供的网络侧设备的结构示意图之二。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请的说明书和权利要求书中的术语“第一”、“第二”等是用于区别类似的对象，而不用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施，且“第一”、“第二”所区别的对象通常为一类，并不限定对象的个数，例如第一对象可以是一个，也可以是多个。此外，说明书以及权利要求中“和/或”表示所连接对象的至少其中之一，字符“/”一般表示前后关联对象是一种“或”的关系。

值得指出的是，本申请实施例所描述的技术不限于长期演进型(Long TermEvolution，LTE)/LTE的演进(LTE-Advanced，LTE-A)系统，还可用于其他无线通信系统，诸如码分多址(Code Division Multiple Access，CDMA)、时分多址(Time DivisionMultiple Access，TDMA)、频分多址(Frequency Division Multiple Access，FDMA)、正交频分多址(Orthogonal Frequency Division Multiple Access，OFDMA)、单载波频分多址(Single-carrier Frequency-Division Multiple Access，SC-FDMA)和其他系统。本申请实施例中的术语“系统”和“网络”常被可互换地使用，所描述的技术既可用于以上提及的系统和无线电技术，也可用于其他系统和无线电技术。然而，以下描述出于示例目的描述了新空口(New Radio，NR)系统，并且在以下大部分描述中使用NR术语，尽管这些技术也可应用于NR系统应用以外的应用，如第6代(6^th Generation，6G)通信系统。

图1示出本申请实施例可应用的一种无线通信系统的框图。无线通信系统包括第一通信设备11和第二通信设备12。其中，上述第二通信设备12与UE连接。上述第一通信设备11和上述第二通信设备12可以为网络侧设备。

其中，UE也可以称作终端设备，UE可以是手机、平板电脑(Tablet PersonalComputer)、膝上型电脑(Laptop Computer)或称为笔记本电脑、个人数字助理(PersonalDigital Assistant，PDA)、掌上电脑、上网本、超级移动个人计算机(ultra-mobilepersonal computer，UMPC)、移动上网装置(Mobile Internet Device，MID)、可穿戴式设备(Wearable Device)或车载设备(VUE)、行人终端(PUE)等终端侧设备，可穿戴式设备包括：手环、耳机、眼镜等。需要说明的是，在本申请实施例并不限定UE的具体类型。

网络侧设备可以是基站或核心网设备，其中，基站可被称为节点B、演进节点B、接入点、基收发机站(Base Transceiver Station，BTS)、无线电基站、无线电收发机、基本服务集(Basic Service Set，BSS)、扩展服务集(Extended Service Set，ESS)、B节点、演进型B节点(eNB)、家用B节点、家用演进型B节点、WLAN接入点、WiFi节点、发送接收点(Transmitting Receiving Point，TRP)或所述领域中其他某个合适的术语，只要达到相同的技术效果，所述基站不限于特定技术词汇。上述核心网设备可以包括：SMF、AMF等。

示例性的，第一通信设备可以为SMF，对应第二通信设备可以为AMF。

示例性的，本申请实施例提供的完整性保护方法可以应用于onboarding的场景(即UE需要从网络获取证书和/或签约信息的场景)中。

下面结合附图，通过具体的实施例及其应用场景对本申请实施例提供的完整性保护方法、装置及通信设备进行详细地说明。

本申请实施例提供的一种完整性保护方法，如图2所示，该完整性保护方法可以包括如下步骤201至步骤204：

步骤201：第一通信设备向第二通信设备发送第一消息。

步骤202：第二通信设备从第一通信设备接收第一消息。

步骤203：如果第二通信设备能够进行完整性保护，则第二通信设备向UE或第一通信设备发送经过完整性保护的目标对象。

步骤204：如果第二通信设备不能进行完整性保护，则第二通信设备向UE发送PDU会话建立响应消息。

在本申请实施例中，上述第一消息用于指示需要对目标对象进行完整性保护。示例性的，上述第一消息包括以下至少一项：第一指示信息，目标对象。其中，上述第一指示信息用于指示需要对目标对象进行完整性保护。

可选地，在本申请实施例中，上述第一消息可以为PDU会话建立响应消息。

在本申请实施例中，上述目标对象用于UE通过当前接入网络获取其他网络的证书和/或签约信息。示例性的，上述其他网络可以是非公共网络(non-public network，NPN)。

示例性的，上述目标对象包括以下任一项：第一配置信息，扩展协议配置选项(extended Protocol Configuration Options，ePCO)，会话管理容器(SM container)。进一步的，上述第一配置信息中包含以下至少一项：PS地址信息，NPN标识。其中，上述PS地址信息包含以下至少一项：互联网协议地址信息，端口号信息，统一资源定位系统URL，全限定域名FQDN，服务器识别码。需要说明的是，上述ePCO是对PCO的扩展，即上述ePCO可以称为extended PCO，其与PCO的功能是一样的，可以通过一个container下发参数，这些参数对第二通信设备透明，即ePCO内部的内容对第二通信设备透明。

在本申请实施例中，上述PDU会话建立响应消息中不包含目标对象中的第一配置信息；该第一配置信息用于UE通过当前接入网络获取其他网络的证书和/或签约信息。

可选地，在本申请实施例中，上述PDU会话建立响应消息包含PDU会话建立拒绝消息，或者，PDU会话建立接受消息。

可选地，在本申请实施例中，UE在接收到经过完整性保护的目标对象后，会验证该经过完整性保护的目标对象中的第一配置信息是否被篡改。

可选地，在本申请实施例中，如果第二通信设备能够进行完整性保护，则第二通信设备会对目标对象进行完整性保护。

可选地，在本申请实施例中，如果第二通信设备不能进行完整性保护，则第二通信设备可以选择不向第一通信设备发送任何信息，而是直接向UE发送PDU会话建立响应消息。

可选地，在本申请实施例中，如图2所示，第二通信设备在接收到第一消息后，可以选择向第一通信设备发送第二消息。具体的，如果第二通信设备能够进行完整性保护，则该第二消息中包含经过完整性保护的目标对象，如果第二通信设备不能进行完整性保护，则上述第二消息用于指示完整性保护失败，或者说，此时的第二消息为一个完整性保护失败指示消息。

示例性的，在上述步骤203之后，本申请实施例提供的完整性保护方法可以包括如下步骤A1：

步骤A1：如果上述第二消息包括经过完整性保护的目标对象，则第一通信设备发送上述经过完整性保护的目标对象。

示例性的，如果第一通信设备接收到经过完整性保护的目标对象，则可以选择直接向UE发送上述经过完整性保护的目标对象。或者，也可以通过第二通信设备将上述经过完整性保护的目标对象发送至UE，本申请实施例对此不做限定。

如此，通过向第二通信设备发送第一消息，以指示需要对目标对象进行完整性保护，而第二通信设备接收到该第一消息后，如果该第二通信设备能够进行完整性保护，则会第一通信设备反馈经过完整性保护的目标对象，如果该第二通信设备不能进行完整性保护，则会向第一通信设备指示完整性保护失败，从而使得第一通信设备可以获知第二通信设备是否对目标对象进行了完整性保护，进而可以保证UE接收到的信息没有被篡改。

可选地，在本申请实施例中，在上述步骤201之前，本申请实施例提供的完整性保护方法可以包括如下步骤A21和步骤A22：

步骤A21：第二通信设备向第一通信设备发送第二指示信息。其中，上述第二指示信息用于指示第二通信设备是否能够进行完整性保护。

步骤A22：第一通信设备接收第二通信设备发送第二指示信息。

进一步可选地，在本申请实施例中，如果上述第二指示信息指示第二通信设备能够进行完整性保护，则第一消息中包含第一配置信息；如果上述第二指示信息指示第二通信设备不能够进行完整性保护，则第一消息中不包含第一配置信息。其中，上述第一配置信息用于UE从网络获取证书和/或签约信息。

进一步可选地，在本申请实施例中，如果上述第二指示信息指示第二通信设备能够进行完整性保护，在上述目标对象为ePCO的情况下，该ePCO中包含第一配置信息；或者，在上述目标对象为SM container的情况下，该SM container中包含第一配置信息。

进一步可选地，在本申请实施例中，上述第二指示信息包含在PDU会话建立请求中。

可选地，在本申请实施例中，第一通信设备或第二通信设备均可向UE发送第一配置信息。

在一种示例中，第一通信设备可以将第一配置信息发送给第二配置信息进行完整性保护，第二通信设备再将经过完整性保护的第一配置信息返回给第一通信设备，此时第一通信设备可以将经过完整性保护的第一配置信息包含在PCO或ePCO中发送给UE。

在另一种示例中，第一通信设备可以将ePCO(包含第一配置信息)包含在PDU会话建立响应中发送给第二通信设备，第二通信设备根据指示对ePCO进行完整性保护，将经过完整性保护的ePCO包含在PDU会话建立响应中发送给UE。

在另一种示例中，UE注册完成后，在PDU会话建立过程中，第二通信设备可以选择第一通信设备，并向第一通信设备转发PDU会话建立请求时，提供用于指示“完保是否能够执行”的指示信息(即上述第二指示信息)。第一通信设备可以根据该指示信息确定是否向UE发送第一配置信息。

在另一种示例中，第一通信设备在向UE发送第一配置信息时，将第一配置信息放在第二通信设备与第一通信设备间接口消息中发送，而不是PCO，第二通信设备接收到第一配置信息后，根据是否能够执行完整性保护，确定是否向UE发送第一配置信息。

以下将对本申请实施例提供的完整性保护方法进行示例性说明。具体的，以下示例将以第一通信设备为SMF，第二通信设备为AMF为例进行说明。

示例1(如图3所示)：

步骤1：SMF向AMF发送完整性保护请求(即上述第一信息)，该完整性保护请求中包含以下至少一项：完整性保护指示(即上述第一指示信息)，Onboarding配置信息(即上述第一配置信息)。其中，上述完整性保护请求用于请求AMF对该Onboarding配置信息进行完整性保护。

步骤2a：如果AMF未开启完整性保护，在接收到完整性保护请求以后，则向SMF发送完整性保护响应(即上述第二信息)，该完整性保护响应中包含完整性保护失败指示，以指示完整性保护失败，此时，跳过下述步骤2b～5。

步骤2b：如果AMF可以进行完整性保护，在接收到完整性保护请求以后，对Onboarding配置信息进行完整性保护。

步骤3：AMF向SMF发送经过完整性保护的Onboarding配置信息(即上述第二信息)。

步骤4：SMF将经过完整性保护的Onboarding配置信息包含在ePCO中，并通过PDU会话建立响应发送给UE。

步骤5：UE验证收到的经过完整性保护的Onboarding配置信息是否被篡改。

示例2(如图4所示)：

步骤1：SMF向AMF发送PDU会话建立响应(即上述第一信息)，该PDU会话建立响应中包含以下至少一项：SM container完整性保护指示，SM container。其中，上述SMcontainer完整性保护指示表示需要对SM container进行完整性保护。上述SM container中可以包含onboarding配置信息(即上述第一配置信息)。

应注意的是，下述步骤2a～3a为完保失败流程，步骤2b～4b为完保成功流程。

步骤2a：如果AMF未开启完整性保护，则向SMF发送完整性保护响应(即上述第二信息)，其中包含完整性保护失败指示，以指示完整性保护失败。

步骤3a：AMF向UE发送PDU会话建立拒绝消息，其中不包含onboarding配置信息。

步骤2b：如果AMF可以进行完整性保护，在接收到完整性保护请求以后，对SMcontainer(其中包含onboarding配置信息)进行完整性保护。

步骤3b：AMF将经过完整性保护的SM container包含在PDU会话建立响应中，并发送给UE。

步骤4b：UE验证收到的经过完整性保护的SM container是否被篡改，从而推断SMcontainer中的onboarding配置信息是否被篡改。

示例3(如图5所示)：

步骤1：AMF向SMF发送PDU会话建立请求时，根据AMF当前能否进行完整性保护，在PDU会话建立请求消息中包含完整性保护能力的指示(即上述第二指示信息)，该指示可以表示以下至少一项：AMF能够进行完整性保护，AMF不能够进行完整性保护。

步骤2：SMF接收到PDU会话建立请求消息时，根据接收到的完整性保护能力的指示信息决定是否向UE发送onboarding配置信息(即上述第一配置信息)。

步骤3a：如果接收到的完整性保护能力的指示信息指示AMF不能执行完整性保护指示，则SMF向UE发送的PDU会话建立响应消息中的ePCO不包含onboarding配置信息。

步骤3b：如果接收到完整性保护能力的指示信息指示AMF能够进行完整性保护指示，则SMF将onboarding配置信息发送给AMF，该onboarding配置信息可以通过PDU会话建立响应消息发送，即PDU会话建立响应消息中的ePCO包含onboarding配置信息。

步骤4b：AMF对接收到的onboarding配置信息进行完整性保护，生成经过完整性保护的onboarding配置信息。

步骤5b：AMF将经过完整性保护的ePCO包含在PDU会话建立响应消息发送给UE。

步骤6b：UE验证收到的经过完整性保护的ePCO中的onboarding配置信息是否被篡改。

示例4(如图6所示)：

步骤1：SMF向AMF发送onboarding配置信息完整性保护指示(即上述第一指示信息)，onboarding配置信息(即上述第一配置信息)，上述onboarding配置信息完整性保护指示和onboarding配置信息可以包含在PDU会话建立响应消息中。上述onboarding配置信息完整性保护指示表示需要对onboarding配置信息进行完保。

步骤2：AMF根据能否对onboarding配置信息进行完整性保护决定。具体的，如果不能进行完整性保护，则不发送onboarding配置信息；如果能够进行完整性保护，则发送经完整性保护后的onboarding配置信息。

步骤3a：如果AMF不能进行完整性保护，则不向UE发送onboarding配置信息，即，PDU会话建立响应消息中不包含onboarding配置信息。

步骤3b：如果AMF能够进行完整性保护，则将onboarding配置信息进行完整性保护，并将经过完整性保护的onboarding配置信息发送给UE。其中，上述经过完整性保护的onboarding配置信息可以包含在PDU会话建立响应消息中。

步骤4：UE验证收到的onboarding配置信息是否被篡改。

在本申请实施例提供的完整性保护方法中，第一通信设备通过向第二通信设备发送第一消息，以指示需要对目标对象进行完整性保护，而第二通信设备接收到该第一消息后，如果该第二通信设备能够进行完整性保护，则会向UE或第一通信设备反馈经过完整性保护的目标对象，如果该第二通信设备不能进行完整性保护，则会向UE发送PDU会话建立响应消息，由于该PDU会话建立响应消息中不包含目标对象中的第一配置信息(用于UE通过当前接入网络获取其他网络的证书和/或签约信息)，因此，保证了UE接收到的信息没有被篡改。

需要说明的是，本申请实施例提供的完整性保护方法，执行主体可以为完整性保护装置，或者该完整性保护装置中的用于执行完整性保护方法的控制模块。本申请实施例中以完整性保护装置执行完整性保护方法为例，说明本申请实施例提供的完整性保护装置。但实际应用中上述完整性保护方法的执行主体还可以是其他可以执行该完整性保护方法的设备或装置，本申请实施例对此不作限定。

本申请实施例提供一种完整性保护装置，应用于第一通信设备，如图7所示，该完整性保护装置包括：发送模块401和接收模块402，其中：

发送模块401，用于向第二通信设备发送第一消息。

接收模块402，用于从第二通信设备接收第二消息。

其中，上述第一消息用于指示需要对目标对象进行完整性保护；上述目标对象用于UE通过当前接入网络获取其他网络的证书和/或签约信息；上述第二消息包括经过完整性保护的上述目标对象，或者，上述第二消息用于指示完整性保护失败。

可选地，上述发送模块402，还用于如果上述第二消息包括经过完整性保护的上述目标对象，则发送该经过完整性保护的上述目标对象。

可选地，上述第一消息包括以下至少一项：第一指示信息，上述目标对象；其中，上述第一指示信息用于指示需要对上述目标对象进行完整性保护。

可选地，上述接收模块401，还用于接收第二通信设备发送第二指示信息；其中，上述第二指示信息用于指示上述第二通信设备是否能够进行完整性保护。

可选地，如果上述第二指示信息指示上述第二通信设备能够进行完整性保护，则上述第一消息中包含上述第一配置信息；如果上述第二指示信息指示上述第二通信设备不能够进行完整性保护，则上述第一消息中不包含上述第一配置信息；其中，上述第一配置信息用于上述UE从网络获取证书和/或签约信息。

可选地，如果上述第二指示信息指示上述第二通信设备能够进行完整性保护，在上述目标对象为ePCO的情况下，上述ePCO中包含上述第一配置信息；或者，在上述目标对象为SM container的情况下，上述SM container中包含上述第一配置信息。

可选地，上述第二指示信息包含在PDU会话建立请求中。

可选地，上述第一消息为PDU会话建立响应消息。

可选地，上述第二消息中包含完整性保护失败指示信息。

可选地，上述目标对象包括以下任一项：第一配置信息，ePCO，SM container会话管理容器；

可选地，上述第一配置信息中包含以下至少一项：PS地址信息，NPN标识；其中，上述PS地址信息包含以下至少一项：互联网协议地址信息；端口号信息；URL；FQDN；服务器识别码。

在本申请实施例提供的完整性保护装置中，通过向第二通信设备发送第一消息，以指示需要对目标对象(用于UE通过当前接入网络获取其他网络的证书和/或签约信息)进行完整性保护，而第二通信设备接收到该第一消息后，如果该第二通信设备能够进行完整性保护，则会向UE或第一通信设备反馈经过完整性保护的目标对象，如果该第二通信设备不能进行完整性保护，则会向第一通信设备指示完整性保护失败，从而使得第一通信设备可以获知第二通信设备是否对目标对象进行了完整性保护，进而可以保证UE接收到的信息没有被篡改。

本申请实施例提供一种完整性保护装置，应用于第二通信设备，如图8所示，该完整性保护装置包括：接收模块501和发送模块502，其中：

接收模块501，用于从第一通信设备接收第一消息。

发送模块502，用于如果上述第二通信设备能够进行完整性保护，则向UE或上述第一通信设备发送经过完整性保护的上述目标对象；或者，如果上述第二通信设备不能进行完整性保护，则向UE发送PDU会话建立响应消息；上述PDU会话建立响应消息中不包含上述目标对象中的第一配置信息；上述第一配置信息用于上述UE通过当前接入网络获取其他网络的证书和/或签约信息。

可选地，上述发送模块502，还用于如果上述第二通信设备不能进行完整性保护，则向上述第一通信设备发送用于指示完整性保护失败的第二消息。

可选地，上述PDU会话建立响应消息包括：PDU会话建立拒绝消息或PDU会话建立接受消息。

可选地，上述第一消息包括以下至少一项：第一指示信息，上述目标对象；其中，上述第一指示信息用于指示需要对上述目标对象进行完整性保护。

可选地，上述发送模块502，还用于向上述第一通信设备发送第二指示信息；其中，上述第二指示信息用于指示上述第二通信设备是否能够进行完整性保护。

可选地，如果上述第二指示信息指示上述第二通信设备能够进行完整性保护，在上述目标对象为ePCO的情况下，上述ePCO中包含第一配置信息；或者，在上述目标对象为SMcontainer的情况下，上述SM container中包含上述第一配置信息。

可选地，上述第二指示信息包含在PDU会话建立请求中。

可选地，上述第一消息为PDU会话建立响应消息。

可选地，上述目标对象包括以下任一项：第一配置信息，ePCO，SM container。

可选地，上述第一配置信息中包含以下至少一项：PS地址信息，NPN标识；其中，上述PS地址信息包含以下至少一项：互联网协议地址信息；端口号信息；URL；FQDN；服务器识别码。

在本申请实施例提供的完整性保护装置中，在接收到第一通信设备发送的第一消息后，可以获知目标对象(用于UE通过当前接入网络获取其他网络的证书和/或签约信息)需要进行完整性保护，然后，如果该第二通信设备能够进行完整性保护，则会向UE或第一通信设备反馈经过完整性保护的目标对象，如果该第二通信设备不能进行完整性保护，则会向UE发送PDU会话建立响应消息，由于该PDU会话建立响应消息中不包含目标对象中的第一配置信息(用于UE从网络获取证书和/或签约信息)，因此，保证了UE接收到的信息没有被篡改。

本申请实施例中的完整性保护装置可以是装置，也可以是终端中的部件、集成电路、或芯片。该装置可以是移动终端，也可以为非移动终端。示例性的，移动终端可以包括但不限于上述所列举的终端11的类型，非移动终端可以为服务器、网络附属存储器(NetworkAttached Storage，NAS)、个人计算机(personal computer，PC)、电视机(television，TV)、柜员机或者自助机等，本申请实施例不作具体限定。

本申请实施例中的完整性保护装置可以为具有操作系统的装置。该操作系统可以为安卓(Android)操作系统，可以为ios操作系统，还可以为其他可能的操作系统，本申请实施例不作具体限定。

本申请实施例提供的完整性保护装置能够实现上述方法实施例实现的各个过程，为避免重复，这里不再赘述。

本实施例中各种实现方式具有的有益效果具体可以参见上述方法实施例中相应实现方式所具有的有益效果，为避免重复，此处不再赘述。

可选的，如图9所示，本申请实施例还提供一种通信设备600，包括处理器601，存储器602，存储在存储器602上并可在所述处理器601上运行的程序或指令，例如，该通信设备600为第一通信设备时，该程序或指令被处理器601执行时实现上述方法实施例中第一通信设备执行的各个过程，且能达到相同的技术效果。该通信设备600为第二通信设备时，该程序或指令被处理器601执行时实现上述方法实施例中第二通信设备执行的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

本申请实施例还提供了一种网络侧设备，能够实现上述方法实施例的细节，并达到相同的效果。如图10所示，该网络侧设备700包括：处理器701、收发机702、存储器703和总线接口，其中：

在本发明实施例中，网络侧设备700还包括：存储在存储器上703并可在处理器701上运行的计算机程序，计算机程序被处理器701、执行时实现上述方法实施例的步骤。

在图10中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器701代表的一个或多个处理器和存储器703代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机702可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元。

处理器701负责管理总线架构和通常的处理，存储器703可以存储处理器701在执行操作时所使用的数据。处理器701负责管理总线架构和通常的处理，存储器703可以存储处理器701在执行操作时所使用的数据。

收发机702用于执行图7、图8中的发送模块和接收模块所执行的方法，并达到相同的技术效果，为避免重复，故不在此赘述。

本申请实施例还提供一种可读存储介质，所述可读存储介质上存储有程序或指令，该程序或指令被处理器执行时实现上述完整性保护方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

其中，所述处理器为上述实施例中所述的终端中的处理器。所述可读存储介质，包括计算机可读存储介质，如计算机只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等。

本申请实施例另提供了一种芯片，所述芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行网络侧设备程序或指令，实现上述完整性保护方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

应理解，本申请实施例提到的芯片还可以称为系统级芯片，系统芯片，芯片系统或片上系统芯片等。

本申请实施例提供了一种计算机程序产品，该程序产品被存储在非易失的存储介质中，该程序产品被至少一个处理器执行以实现上述完整性保护方法的方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。此外，需要指出的是，本申请实施方式中的方法和装置的范围不限按示出或讨论的顺序来执行功能，还可包括根据所涉及的功能按基本同时的方式或按相反的顺序来执行功能，例如，可以按不同于所描述的次序来执行所描述的方法，并且还可以添加、省去、或组合各种步骤。另外，参照某些示例所描述的特征可在其他示例中被组合。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本申请各个实施例所述的方法。

上面结合附图对本申请的实施例进行了描述，但是本申请并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本申请的启示下，在不脱离本申请宗旨和权利要求所保护的范围情况下，还可做出很多形式，均属于本申请的保护之内。

Claims (33)

1.一种完整性保护方法，其特征在于，所述方法包括：

第一通信设备向第二通信设备发送第一消息；

所述第一通信设备从所述第二通信设备接收第二消息；

其中，所述第一消息用于指示需要对目标对象进行完整性保护；

所述目标对象用于用户设备UE通过当前接入网络获取其他网络的证书和/或签约信息；

所述第二消息包括经过完整性保护的所述目标对象，或者，所述第二消息用于指示完整性保护失败。

2.根据权利要求1所述的方法，其特征在于，所述第一通信设备从所述第二通信设备接收第二消息之后，所述方法还包括：

如果所述第二消息包括经过完整性保护的所述目标对象，则发送所述经过完整性保护的所述目标对象。

3.根据权利要求1所述的方法，其特征在于，所述第一消息包括以下至少一项：第一指示信息，所述目标对象；

其中，所述第一指示信息用于指示需要对所述目标对象进行完整性保护。

4.根据权利要求1所述的方法，其特征在于，所述第一通信设备向第二通信设备发送第一消息之前，所述方法还包括：

所述第一通信设备接收第二通信设备发送第二指示信息；

其中，所述第二指示信息用于指示所述第二通信设备是否能够进行完整性保护。

5.根据权利要求4所述的方法，其特征在于，

如果所述第二指示信息指示所述第二通信设备能够进行完整性保护，则所述第一消息中包含第一配置信息；

如果所述第二指示信息指示所述第二通信设备不能够进行完整性保护，则所述第一消息中不包含所述第一配置信息；

其中，所述第一配置信息用于所述UE通过当前接入网络获取其他网络的证书和/或签约信息。

6.根据权利要求5所述的方法，其特征在于，

如果所述第二指示信息指示所述第二通信设备能够进行完整性保护，

在所述目标对象为扩展协议配置选项ePCO的情况下，所述ePCO中包含所述第一配置信息；

或者，在所述目标对象为会话管理容器SM container的情况下，所述SM container中包含所述第一配置信息。

7.根据权利要求4所述的方法，其特征在于，所述第二指示信息包含在PDU会话建立请求中。

8.根据权利要求1所述的方法，其特征在于，所述第一消息为PDU会话建立响应消息。

9.根据权利要求1所述的方法，其特征在于，所述第二消息中包含完整性保护失败指示信息。

10.根据权利要求1至8任一项所述的方法，其特征在于，所述目标对象为以下任一项：第一配置信息，ePCO，SM container会话管理容器；

其中，所述ePCO中包含所述第一配置信息，所述SM container中包含所述第一配置信息。

11.根据权利要求10所述的方法，其特征在于，所述第一配置信息中包含以下至少一项：PS地址信息，NPN标识；

其中，所述PS地址信息包含以下至少一项：

互联网协议地址信息；

端口号信息；

统一资源定位系统URL；

全限定域名FQDN；

服务器识别码。

12.一种完整性保护方法，其特征在于，所述方法包括：

第二通信设备从第一通信设备接收第一消息；所述第一消息用于指示需要对目标对象进行完整性保护；

如果所述第二通信设备能够进行完整性保护，则向UE或所述第一通信设备发送经过完整性保护的所述目标对象；

或者，如果所述第二通信设备不能进行完整性保护，则向UE发送PDU会话建立响应消息；

所述PDU会话建立响应消息中不包含所述目标对象中的第一配置信息；所述第一配置信息用于所述UE通过当前接入网络获取其他网络的证书和/或签约信息。

13.根据权利要求12所述的方法，其特征在于，所述第二通信设备从第一通信设备接收第一消息之后，所述方法还包括：

如果所述第二通信设备不能进行完整性保护，则向所述第一通信设备发送用于指示完整性保护失败的第二消息。

14.根据权利要求12所述的方法，其特征在于，所述PDU会话建立响应消息包括：PDU会话建立拒绝消息或PDU会话建立接受消息。

15.根据权利要求12所述的方法，其特征在于，所述第一消息包括以下至少一项：第一指示信息，所述目标对象；

其中，所述第一指示信息用于指示需要对所述目标对象进行完整性保护。

16.根据权利要求12所述的方法，其特征在于，所述第二通信设备从第一通信设备接收第一消息之前，所述方法还包括：

所述第二通信设备向所述第一通信设备发送第二指示信息；

其中，所述第二指示信息用于指示所述第二通信设备是否能够进行完整性保护。

17.根据权利要求16所述的方法，其特征在于，

如果所述第二指示信息指示所述第二通信设备能够进行完整性保护，

在所述目标对象为ePCO的情况下，所述ePCO中包含第一配置信息；

或者，在所述目标对象为SM container会话管理容器的情况下，所述SM container中包含所述第一配置信息。

18.根据权利要求16所述的方法，其特征在于，所述第二指示信息包含在PDU会话建立请求中。

19.根据权利要求12所述的方法，其特征在于，所述第一消息为PDU会话建立响应消息。

20.根据权利要求12所述的方法，其特征在于，所述目标对象为以下任一项：第一配置信息，ePCO，SM container；

其中，所述ePCO中包含所述第一配置信息，所述SM container中包含所述第一配置信息。

21.根据权利要求12所述的方法，其特征在于，所述第一配置信息中包含以下至少一项：PS地址信息，NPN标识；

其中，所述PS地址信息包含以下至少一项：

互联网协议地址信息；

端口号信息；

URL；

FQDN；

服务器识别码。

22.一种完整性保护装置，其特征在于，所述装置包括：

发送模块，用于向第二通信设备发送第一消息；

接收模块，用于从所述第二通信设备接收第二消息；

其中，所述第一消息用于指示需要对目标对象进行完整性保护；

所述目标对象用于用户设备UE通过当前接入网络获取其他网络的证书和/或签约信息；

所述第二消息包括经过完整性保护的所述目标对象，或者，所述第二消息用于指示完整性保护失败。

23.根据权利要求22所述的完整性保护装置，其特征在于，所述发送模块，还用于：

如果所述第二消息包括经过完整性保护的所述目标对象，则发送所述经过完整性保护的所述目标对象。

24.根据权利要求22所述的完整性保护装置，其特征在于，所述第一消息包括以下至少一项：第一指示信息，所述目标对象；

其中，所述第一指示信息用于指示需要对所述目标对象进行完整性保护。

25.根据权利要求22所述的完整性保护装置，其特征在于，所述接收模块，还用于接收第二通信设备发送第二指示信息；

其中，所述第二指示信息用于指示所述第二通信设备是否能够进行完整性保护。

26.根据权利要求25所述的完整性保护装置，其特征在于，

如果所述第二指示信息指示所述第二通信设备能够进行完整性保护，则所述第一消息中包含第一配置信息；

如果所述第二指示信息指示所述第二通信设备不能够进行完整性保护，则所述第一消息中不包含所述第一配置信息；

其中，所述第一配置信息用于所述UE通过当前接入网络获取其他网络的证书和/或签约信息。

27.根据权利要求26所述的完整性保护装置，其特征在于，

如果所述第二指示信息指示所述第二通信设备能够进行完整性保护，

在所述目标对象为ePCO的情况下，所述ePCO中包含所述第一配置信息；

或者，在所述目标对象为SM container会话管理容器的情况下，所述SM container中包含所述第一配置信息。

28.一种完整性保护装置，其特征在于，所述装置包括：

接收模块，用于从第一通信设备接收第一消息；

发送模块，用于如果第二通信设备能够进行完整性保护，则向UE或所述第一通信设备发送经过完整性保护的目标对象；或者，如果所述第二通信设备不能进行完整性保护，则向UE发送PDU会话建立响应消息；

所述PDU会话建立响应消息中不包含所述目标对象中的第一配置信息；所述第一配置信息用于所述UE通过当前接入网络获取其他网络的证书和/或签约信息。

29.根据权利要求28所述的完整性保护装置，其特征在于，所述发送模块，还用于如果所述第二通信设备不能进行完整性保护，则向所述第一通信设备发送用于指示完整性保护失败的第二消息。

30.根据权利要求28所述的完整性保护装置，其特征在于，所述PDU会话建立响应消息包括：PDU会话建立拒绝消息或PDU会话建立接受消息。

31.根据权利要求28所述的完整性保护装置，其特征在于，所述发送模块，还用于向所述第一通信设备发送第二指示信息；

其中，所述第二指示信息用于指示所述第二通信设备是否能够进行完整性保护。

32.一种通信设备，其特征在于，包括处理器，存储器及存储在所述存储器上并可在所述处理器上运行的程序或指令，所述程序或指令被所述处理器执行时实现如权利要求1至11任一项所述的完整性保护方法的步骤，或者，实现如权利要求12至22任一项所述的完整性保护方法的步骤。

33.一种可读存储介质，其特征在于，所述可读存储介质上存储程序或指令，所述程序或指令被处理器执行时实现如权利要求1至11任一项所述的完整性保护方法的步骤，或者，实现如权利要求12至22任一项所述的完整性保护方法的步骤。

Images