CN115567940A

CN115567940A - 一种系统信息的传输方法及装置

Info

Publication number: CN115567940A
Application number: CN202110734570.3A
Authority: CN
Inventors: 项弘禹; 陈磊; 许斌
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2021-06-30
Filing date: 2021-06-30
Publication date: 2023-01-03
Also published as: WO2023273993A1

Abstract

本申请提供一种系统信息的传输方法及装置，用以预防伪基站攻击，保证无线通信安全。该方法包括：终端设备获取第一系统信息和第二系统信息，第二系统信息包括第一签名信息；其中，第一签名信息用于验证第一系统信息；用于生成第一签名信息的参数包括第一系统信息中的部分或者全部内容；终端设备根据第一签名信息，对第一系统信息进行验证。

Description

一种系统信息的传输方法及装置

技术领域

本申请实施例涉及通信技术领域，尤其涉及一种系统信息的传输方法及装置。

背景技术

在无线通信中，通信安全是一个很重要的因素，涉及到用户数据的安全保障。伪基站攻击是一种威胁无线的常见手段。通常网络攻击者会将伪基站放到正常用户设备(userequipment，UE)的附近，以吸引正常UE接入，从而为正常UE提供错误信息乃至传播病毒。除此之外，伪基站还可能截获正常基站和UE之间的通信内容，从而对UE的隐私数据进行监听。以及UE接入到伪基站下，可能会使用不正确的系统消息导致无法被正常网络寻呼到，不能与正常基站通信，从而无法正常工作。

而且在第五代(fifth generation，5G)移动通信技术中，无线通信有一些场景需将5G移动通信技术引入到私有网络中，例如工业互联网中的工业园区、多播业务网或者企业私网等。在这些场景中，UE对通信安全要求更高，伪基站带来的安全问题更加严重。例如工业中的UE如果无法正常通信会带来重大损失和安全事故，另如这些场景中的UE通常移动性低，一旦接入伪基站将长时间无法离开伪基站接入正常基站。

于是，如何识别并避免接入伪基站成为当前无线通信中一个值得研究的问题。

发明内容

本申请实施例提供一种系统信息的传输方法，以期通过构造签名验证系统信息的方式，预防伪基站攻击，保证无线通信安全。

第一方面，本申请实施例提供一种系统信息的传输方法，包括：终端设备获取第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容；所述终端设备根据所述第一签名信息，对所述第一系统信息进行验证。

本申请实施例中，基于系统信息的部分或全部内容生成系统信息的签名信息，通过一个系统信息携带签名信息，终端设备根据签名信息对系统信息验证的结果，判断是否存在伪基站攻击。如在验证不通过时，终端设备可自行避免接入伪基站，从而保证无线通信安全。

在一种可选的实现方式中，所述终端设备可以在到达设定区域时，获取所述第一系统信息和所述第二系统信息。通过配置设定区域这样的设计，有助于终端设备在特定区域如重要区域通过系统信息签名验证发现伪基站的存在，并避免UE在不支持的小区内进行签名验证，能够减少不必要的信令开销。

第二方面，本申请实施例提供一种系统信息的传输方法，包括：网络设备生成第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容，所述网络设备发送所述第一系统信息和所述第二系统信息。

在一种可选的实现方式中，所述网络设备可以在终端设备到达设定区域时，再发送所述第一系统信息和所述第二系统信息，有助于终端设备在特定区域如重要区域通过系统信息签名验证发现伪基站的存在，并避免UE在不支持的小区内进行签名验证，能够减少不必要的信令开销。

第三方面，本申请实施例提供一种系统信息的传输装置，包括：通信模块，用于获取第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容；处理模块，用于根据所述第一签名信息，对所述第一系统信息进行验证。

在一种可选的实现方式中，所述通信模块可以在所述系统信息的传输装置(或可简称为装置)到达设定区域时，获取所述第一系统信息和所述第二系统信息。

第四方面，本申请实施例提供一种系统信息的传输装置，包括：处理模块，用于生成第一系统信息和第二系统信息所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容；通信模块，用于发送所述第一系统信息和所述第二系统信息。

在一种可选的实现方式中，所述通信模块可以在终端设备到达设定区域时，发送所述第一系统信息和所述第二系统信息。

在第一方面至第四方面任一方面的一种可选的实现方式中，所述第一系统信息可以包括主信息块MIB和/或系统信息块SIB。

在第一方面至第四方面任一方面的一种可选的实现方式中，若所述第一系统信息包括主信息块MIB，所述用于生成所述第一签名信息的参数中不包括所述MIB中的时间参数，所述时间参数包括系统帧号SFN。通过这样的设计，简化用于验证系统信息的签名，能够减少信令开销。

在第一方面至第四方面任一方面的一种可选的实现方式中，若所述第一系统信息包括系统信息块SIB，所述用于生成所述第一签名信息的参数中包括所述SIB中的第一信息，所述第一信息用于确定所述第一系统信息的有效性。本申请实施例定义第一系统信息的有效性，控制第一系统信息有效的情况下才可以用于验证，能够进一步加强无线通信安全。

在第一方面至第四方面任一方面的一种可选的实现方式中，所述第一系统信息为一个或多个小区共用的系统信息块SIB，当所述第一系统信息的验证通过时，所述第一系统信息能够被在所述一个或多个小区内使用。通过这样的设计，可以简化系统信息的验证流程，提升通信效率。

第五方面，本申请实施例提供一种通信装置，所述通信装置包括处理器，用于实现上述第一方面所描述的方法。所述通信装置还可以包括存储器，用于存储指令和数据。所述存储器与所述处理器耦合，所述处理器执行所述存储器中存储的指令时，可以实现上述第一方面描述的方法。所述装置还可以包括通信接口，所述通信接口用于该装置与其它设备进行通信，示例性的，通信接口可以是收发器、电路、总线、模块或其它类型的通信接口，其它设备可以为网络设备。

在一种可能的设计中，该装置可以但不限于包括存储器，用于存储计算机程序指令；

处理器，用于基于所述计算机程序指令的执行，利用通信接口，获取第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容。处理器，还用于根据所述第一签名信息，对所述第一系统信息进行验证。

第六方面，本申请实施例提供一种通信装置，所述通信装置包括处理器，用于实现上述第二方面所描述的方法。所述通信装置还可以包括存储器，用于存储指令和数据。所述存储器与所述处理器耦合，所述处理器执行所述存储器中存储的指令时，可以实现上述第二方面描述的方法。所述装置还可以包括通信接口，所述通信接口用于该装置与其它设备进行通信，示例性的，通信接口可以是收发器、电路、总线、模块或其它类型的通信接口，其它设备可以为网络设备。

在一种可能的设计中，该装置可以但不限于包括存储器，用于存储计算机程序指令；处理器，用于基于所述计算机程序指令的执行，生成第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容。处理器，还用于利用通信接口，发送所述第一系统信息和所述第二系统信息。

第七方面，本申请实施例提供了一种通信系统，包括终端设备和网络设备，其中，所述终端设备具有执行上述第一方面提供的方法的功能，所述网络设备具有执行上述第二方面提供的方法的功能。

第八方面，本申请实施例还提供了一种计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机执行上述第一方面或第二方面提供的方法。

第九方面，本申请实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，当所述计算机程序被计算机执行时，使得所述计算机执行上述第一方面或第二方面提供的方法。

第十方面，本申请实施例还提供了一种芯片，所述芯片用于读取存储器中存储的计算机程序，以执行上述第一方面或第二方面提供的方法。

第十一方面，本申请实施例还提供了一种芯片系统，该芯片系统包括处理器，用于支持计算机装置实现上述第一方面或第二方面提供的方法。在一种可能的设计中，所述芯片系统还可以包括存储器，所述存储器用于保存该计算机装置必要的程序和数据。该芯片系统可以由芯片构成，也可以包含芯片和其他分立器件。

另外，第二方面至第十一方面的有益效果可以参见如第一方面及第一方面的各个可选的实现方式所示的有益效果，重复之处不予详述。

附图说明

图1为本申请实施例提供的一种通信系统架构；

图2为一种SI消息的发送周期示意图；

图3为一种伪基站攻击示意图；

图4为一种数字签名生成的示意图；

图5为另一种数字签名生成的示意图；

图6为本申请实施例提供的系统信息的传输方法的流程示意图之一；

图7为本申请实施例提供的区域指示方式的流程示意图之一；

图8为本申请实施例提供的区域指示方式的流程示意图之一；

图9为本申请实施例提供的另一种通信系统架构；

图10为本申请实施例提供的系统信息的传输方法的流程示意图之一；

图11为本申请实施例提供的系统信息的传输方法的流程示意图之一；

图12为本申请实施例提供的一种系统信息的传输装置的结构示意图；

图13为本申请实施例提供的一种通信装置的结构示意图。

具体实施方式

本申请实施例提供的系统信息的传输方法可以应用于各种通信系统，比如应用于无线通信网络，例如4G网络(如LTE)，5G网络或者未来的网络等。通信系统中的一个实体可以向另一个实体发送信号，另一个实体可以接收该实体发送的信号。例如，该通信系统可以是长期演进(long term evolution，LTE)系统、LTE频分双工(frequency divisionduplex，FDD)系统、LTE时分双工(time division duplex，TDD)、5G新无线(New Radio，NR)系统、通用移动通信系统(universal mobile telecommunication system，UMTS)、全球互联微波接入(worldwide interoperability for microwave access，WiMAX)或者无线局域网(wireless local area network，WLAN)系统等。

下面以5G NR系统为例进行说明。

如下图1所示的一种通信系统，该通信系统包括网络设备和终端设备。图1中具体示意出一个网络设备以及两个终端设备，如UE1和UE2。在该通信系统500中，UE1、UE2可以发送上行信息给基站，网络设备可接收UE1、UE2发送的上行信息；网络设备可以发送下行信息给UE1、UE2。

其中，网络设备可以为基站(base station，BS)，基站还可以称为网络设备或者接入节点(access node，AN)。网络设备可以为终端设备提供无线接入服务。网络设备具体可以是LTE系统中的演进型基站(evolutional Node B，简称：eNB或eNodeB)，或者是5G网络中的基站设备(gNB)、小基站设备、无线访问节点(WiFi AP)等，本申请实施例对此并不限定。另外需要说明的是，本申请实施例所提及的网络设备均可理解为正常基站或称合法基站。

终端设备，又称之为终端、用户设备(user equipment，UE)、移动台(mobilestation，MS)、移动终端(mobile terminal，MT)等，是一种向用户提供语音和/或数据连通性的设备，例如，具有无线连接功能的手持式设备、车载设备等。目前，一些终端的举例为：无线网络摄像头、手机(mobile phone)、平板电脑、笔记本电脑、掌上电脑、移动互联网设备(mobile internet device，MID)、可穿戴设备如智能手表、虚拟现实(virtual reality，VR)设备、增强现实(augmented reality，AR)设备、工业控制(industrial control)中的无线终端、无人驾驶(self driving)中的无线终端、智能电网(smart grid)中的无线终端、运输安全(transportation safety)中的无线终端、智慧城市(smart city)中的无线终端、智慧家庭(smart home)中的无线终端等。作为示例，图1中示意的UE1、UE2为手机。但这仅是一种示例，并不代表本申请实施例中的通信系统内的终端设备的类型限于手机。该通信系统中终端设备的类型可以如上述举例，也可以是其它种类的设备。本申请实施例并不对通信系统包括的终端设备在类型上进行限制，也并不限制通信系统所包括网络设备和终端设备的数量。

以下对本申请中提供的部分用语进行解释说明，方便本领域技术人员理解：

(1)系统信息

UE通过小区搜索与小区取得下行同步，可得到小区的物理小区标识(physicalcell identifier，PCI)。接着，UE需要获取到小区的系统信息(system information，SI)，根据小区配置接入该小区并在该小区内正常地工作。在新无线(new radio，NR)接入技术中系统信息主要可分成：主信息块(master information block)、系统信息块(systeminformation block，SIB)以及定位相关系统信息块(positioning SIB，posSIB)。

上述系统信息SI通过广播控制信道(broadcast control channel，BCCH)传输，在分组数据汇聚协议(packet data convergence protocol,PDCP)层不做任何处理。其中，系统信息块在NR的标准协议规定中已经定义了14种类型：系统信息块类型1到系统信息块类型14(System Information Block Type1到System Information Block Type14)。简称：SIB1,SIB2，…，SIB14。

除SIB1之外的SIBs也称其它系统信息(Other System Information，OSI)，OSI或posSIB的发送通过SI消息完成，且每一个OSI或posSIB只能包含在一个SI消息中，但一个SI消息中可以包含相同周期的OSI或posSIB，可以进行周期发送。如图2所示一种SI消息的发送周期示意图，SIB2可以包含在SI1消息以80ms为一个周期进行发送；SIB3、SIB4可以包含在SI2消息以160ms为一个周期进行发送；SIB5可以包含在SI3消息以80ms为一个周期进行发送；posSIB1-1以及posSIB2-6可以包含在SI3消息以320ms为一个周期进行发送。

(2)伪基站

伪基站是一种不合法的基站，又称为非法基站。网络攻击者通常将伪基站放到正常UE附近，吸引正常UE用户接入，以使UE无法与正常基站(或称，合法基站)正常通信。一般地，伪基站攻击时，会通过如下三种方式来吸引正常UE。

方式一：如图3中的(a)示意，伪基站伪造系统信息，构造虚假SI来覆盖正常基站发送的真实SI，使得正常UE收不到正常基站所发送的系统信息，无法给正常基站反馈。造成对终端以及网络的分布式拒绝服务攻击(distributed denial of service attack，DDoS)。

方式二：如图3中的(b)示意，伪基站吸引正常UE驻留。正常UE接入正常基站小区的流程是首先接收小区的同步信号与该基站做下行同步，下行同步完成以后，正常UE就完成了小区驻留，并且可以接收正常基站的广播信息，但同时正常UE在不断对相邻小区进行信号质量测量。假设有一个伪基站放到正常UE附近，由于伪基站的信号质量更好，正常UE就会执行小区重选到伪基站下，而目前正常UE也无法区分驻留的是正常基站还是伪基站。伪基站通过在吸引到正常UE驻留后，伪造系统消息，使得正常UE一直驻留在该伪基站内，无法正常进行通信。正常UE驻留在伪基站，与正常基站失联，无法进行寻呼(paging)。

方式三：如图3中的(c)示意，伪基站可能充当“中间人”，盗取合法UE的身份，进行相关消息拦截。如合法UE发送接入消息，伪基站获取合法UE的接入消息给非法UE，令非法UE冒充合法UE，将接入消息发给合法基站，以获取合法基站原本要给合法UE的回复消息，非法UE将回复消息发给非法基站，非法基站可以对该回复消息进行修改或者直接转发给合法UE。伪基站可拦截到合法UE的用户隐私，对于无线通信的安全造成一定的威胁。

(3)本申请实施例中涉及的多个，是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。另外，应当理解，尽管在本发明实施例中可能采用术语第一、第二等来描述各对象、但这些对象不应限于这些术语。这些术语仅用来将各对象彼此区分开。

(4)本申请实施例的描述中所提到的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括其他没有列出的步骤或单元，或可选地还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。需要说明的是，本申请实施例中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。

以下对相关防御伪基站攻击的技术方案进行说明。

相关技术一：如在TR33.809中，为了对抗伪基站(false base station)和增强网络安全，采用非对称密钥对系统信息进行签名加密。具体的，为了使得UE可以验证接收到的系统信息SI，网络对广播的SI进行数字签名。如图4所示，以系统信息，私钥K-SIG以及时间计数(Time Counter)作为加密算法(security algorithm)的输入，输出数字签名。或者可以理解为基站广播受保护的SI消息，受保护的SI消息中除包含系统信息之外，还包含前述作为加密算法输入的时间计数和加密算法输出的数字签名。则UE在接收到受保护的SI后，可使用网络提供的公钥对数字签名进行验证。但这样的方式会使得各SI消息的信令开销增大。

相关技术二：将数字签名作为鉴权认证信息归类到OSI中。基站以广播的最小系统信息(minimum SI)、私钥K-SIG以及时间计数作为加密算法的输入生成数字签名，在定期或者应UE的请求下在一个单独的SI中提供该数字签名。如图5所示，基站采用一个OSI包含计数时间和最小系统信息对应的数字签名，发送给UE。或者，这里的OSI也可以理解为信元真实性验证(cell authenticity verification)信息/消息。这样的方式只采用最小系统信息作进行签名，相较于相关技术一可以减少基站和UE之间的信令开销。但若UE未收到该OSI，则无法识别基站为正常基站还是伪基站，通常的若默认为正常基站，则还是可能受到伪基站的攻击，仍然存在安全威胁。

基于此，本申请实施例提供一种系统信息的传输方法及装置，能够保证较少信令开销的同时，提升预防伪基站攻击的性能。本申请实施例中，网络设备可以基于系统信息如MIB、SIB1、OSI的部分内容(可变的内容)生成系统信息对应的签名信息。并定义一个签名SIB，采用该签名SIB包含一个或多个系统信息对应的签名信息发送给终端设备。终端设备则可基于该签名SIB验证相关系统信息，从而识别网络设备是否为伪基站，依据识别的结果判断是否要接入该网络设备。参见图6示意一种系统信息的传输方法，该方法可以应用于前述图1所示的通信系统。以下所述的终端设备可以为通信系统中的任意一个终端设备，网络设备可以为基站，如图1所示UE1和UE2中的任意一个。该方法主要包括如下流程：

S601，网络设备发送第一系统信息和第二系统信息，终端设备获取第一系统信息和第二系统信息。

其中，第一系统信息可以包括一个或多个系统信息。具体地，第一系统信息可以包括主信息块MIB和/或系统信息块SIB。其中，系统信息块SIB可以分为SIB1以及其它SIB，即OSI。需要说明的是，虽然第一系统信息中所包括的多个系统信息，但本申请实施例并不限定网络设备需要同时或者采用相同消息载体发送第一系统信息所包括的多个系统信息。例如，第一系统信息包括的MIB可以是广播发送的，MIB中指示SIB1的调度信息；第一系统信息包括的OSI可采用SI消息来进行发送。且本申请实施例对于网络设备发送第一系统信息和第二系统信息的先后顺序也不进行限制。

所述第二系统信息包括一个或多个签名信息，每个签名信息可以用于验证一个或多个系统信息。可选的，第二系统信息可以包括第一签名信息，该第一签名信息用于验证所述第一系统信息。或者可以理解，该第一签名信息用于验证第一系统信息包括的一个或多个系统信息。其中，用于生成所述第一签名信息的参数包括所述第一系统信息中的部分内容或者全部内容。

具体地，网络设备可以采用非对称加密算法，根据私钥和前述用于生成第一签名信息的参数，生成第一签名信息。示例性的，第一系统信息仅包括一个系统信息如SIB1时，用于生成该第一签名信息的参数包括SIB1中的部分内容或者全部内容。第一系统信息包括多个系统信息，用于生成该第一签名信息的参数可以包括第一系统信息中各个系统信息的部分内容或者全部内容。如第一系统信息包括MIB和SIB1时，用于生成该第一签名信息的参数包括MIB中的部分内容或者全部内容以及SIB1中的部分内容或者全部内容。

一种可选的方式中，网络设备可以不将MIB中的时间参数作为生成该MIB对应签名信息的依据。示例性的，若所述第一系统信息包括主信息块MIB，则用于生成所述第一签名信息的参数中不包括所述MIB中的时间参数。具体地，所述时间参数包括系统帧号(systemframe number，SFN)信元。

另一种可选的方式中，网络设备也可以将SIB中的第一信息作为生成该SIB对应签名信息的依据。第一信息用于确定该SIB的有效性，例如在第一信息未变更的情况下，表示该SIB有效；在第一信息变更的情况下，表示该SIB失效。具体地，对于SIB1来说：第一信息可以是SIB1中指示SIB1变更的信元如systemInfoValueTag。对于OSI来说：网络设备可向终端设备发送系统信息变更提示(SI change notification)，终端设备在获得系统信息变更提示时得知存在SI消息变更。第一信息可以是OSI中与SI change notification相关，可变更的信元。示例性的，若所述第一系统信息包括系统信息块SIB，所述用于生成所述第一签名信息的参数中包括所述SIB中的第一信息。

此外，终端设备在收到系统信息变更提示(SI change notification)时，可得知第一系统信息(具体是第一系统信息包括的OSI)需要变更，则终端设备需重新执行对于系统信息的获取步骤，包括MIB、SIB1的重读；接收OSI对应的SI消息，该SI消息包含终端设备需要且变化的OSI；以及对于签名SIB的重新接收。

S602，所述终端设备根据所述第一签名信息，对所述第一系统信息进行验证。

具体地，基于非对称加密算法，终端设备可利用公钥和第一签名信息，对第一系统信息进行签名验证。可选的，可采用如下方式为终端设备配置前述公钥：网络设备将自身的公钥发送给终端设备。进一步地，为避免出现终端设备接收伪基站的公钥而验证失败的情况，网络设备还可将证书发给终端设备，终端设备可通过证书确认公钥是否来自合法基站即网络设备，而不是伪基站。

当证书验证失败、第一签名信息验证失败、未收到第一签名验证信息中的一种或多种情况发生时，终端设备可认为对于第一系统信息的验证不通过。当前述情况均未发生，终端设备可以确认对第一系统信息验证通过时，终端设备可选择接入该网络设备。

当对于第一系统信息的验证不通过时，终端设备还可记录当前驻留小区的小区信息，等到终端设备接入合法基站时，终端设备可通过最小化路测(minimization of drivetests，MDT)上报该小区信息，以向合法基站报告该小区的异常。具体地，若第一系统信息包括MIB和/或SIB1，终端设备还可以将当前驻留小区视为被禁止的小区(cell barring)。

若第一系统信息的类型为SIB且第一系统信息中包括areaScope的信元，第一系统信息为一个或多个小区共用的系统信息块SIB，或可以理解为存在一个或多个小区属于同一个SI区域，可以共用同一个SIB。则在第一系统信息的验证通过的情况下，第一系统信息能够被在前述一个或多个小区内使用。例如，终端设备在小区1收到该第一系统信息并完成验证，小区1和小区2均属于同一个SI区域，则在该第一系统信息未变更的情况下或称在该第一系统信息有效的情况下，小区2中可以使用该第一系统信息，而终端设备无需在小区2重新接收和验证该第一系统信息。通过这样的设计，可以简化系统信息的验证流程，提升通信效率。

本申请实施例提供的上述方案，简化用于验证系统信息的签名，也可减少信令开销。此外，本申请实施例还公开了签名SIB的有效性定义和验证方式，规定了终端设备在未接收到签名SIB或接收到签名SIB后签名验证失败时的处理逻辑，相较于相关技术在处理逻辑上更为完善。终端设备可通过签名SIB有效地识别伪基站，提升预防伪基站攻击的性能。

进一步地，还可以实际情况设计终端设备在特定区域中执行系统信息的验证。例如，可以结合终端设备的验证签名的能力，为终端设备配置特定区域，仅有当终端设备进入该特定区域时，终端设备才可以获取到网络设备发送的第一系统信息和第二系统信息，下述通过图7和图8所示流程示意图进行详细阐述。

参见图7示意一种区域指示方式，主要包括如下流程。

S701，网络设备获取终端设备的能力信息，该能力信息可以用于确定终端设备是否支持验证签名信息。

S702，网络设备将终端设备的签名能力指示上报给核心网中的AMF网元。其中，签名能力指示表示终端设备支持验证签名信息。

S703，AMF根据终端设备的签名能力指示为终端设备配置设定区域，将设定区域指示给终端设备。其中，设定区域也可以称作签名区域，或者其它名称，本申请实施例对此不进行限制。该设定区域可以是一个跟踪区域(tracking area，TA)或者小区列表(celllist)，具体的范围可根据实际需求所配置，本申请实施例对此不进行限制。在终端设备到达该设定区域时，终端设备获取第一系统信息和第二系统信息，需要根据第二系统信息，对第一系统信息进行相关签名信息的验证。具体地，UE在处于该设定区域内时，接收到SI和签名SIB后，利用公钥和接收到的SI生成签名信息，然后利用生成的签名信息与签名SIB中对应的签名信息进行比对验证。

参见图8示意另一种区域指示方式，主要包括如下流程。

S801，终端设备通过非接入层(non-access stratum，NAS)信令将该终端设备的签名能力指示发送给核心网中的AMF网络。其中，签名能力指示表示终端设备支持验证签名信息。

S802，AMF根据终端设备的签名能力指示，为终端设备配置设定区域。其中，设定区域也可以称作签名区域，或者其它名称，本申请实施例对此不进行限制。该设定区域可以是一个跟踪区域(tracking area，TA)或者小区列表(cell list)，具体的范围可根据实际需求所配置，本申请实施例对此不进行限制。在终端设备到达该设定区域内，终端设备获取第一系统信息和第二系统信息，需要根据第二系统信息，对第一系统信息进行相关签名信息的验证。具体地，UE在处于该设定区域内时，接收到SI和签名SIB后，利用公钥和接收到的SI生成签名信息，然后利用生成的签名信息与签名SIB中对应的签名信息进行比对验证。

在上述两种区域指示方式中，AMF根据终端设备的签名能力为其配置签名区域，在签名区域内终端设备需要执行系统信息的签名验证，有助于终端设备在重要区域通过系统信息签名验证发现伪基站的存在，同时避免UE在不支持的小区内进行签名验证，能够减少不必要的信令开销。

此外，参见图9示意另一种系统架构，在上述图1的基础上具体示意出网络设备可包括集中单元(centralized unit，CU)节点和/或分布式单元(distributed unit，DU)节点。其中，多个DU可共用一个CU，以便于节省成本及网络扩展。以网络设备为5G NR系统中gNB为例，在5G NR系统中gNB可以包括gNB-CU和gNB-DU。gNB之间通过Xn接口连接，gNB和核心网5GC之间通过NG接口连接。如图9示意的两个gNB，各gNB内部包括一个gNB-CU和两个gNB-DU；其中，gNB-CU与gNB-DU通过F1接口连接；gNB-CU代表gNB通过NG接口和核心网连接，gNB-CU代表gNB通过Xn接口和其它gNB-CU或gNB连接。本申请实施例中，网络设备中的CU和/或者DU可以具备签名信息的处理能力。网络设备(或称gNB)主要与终端设备/核心网进行通信，作为终端设备与核心网通信的中转节点。终端设备可向网络设备和核心网发送数据，或者接收来自网络设备或者核心网的数据。核心网可以包括接入和移动管理功能(accessand mobility management function，AMF)网元、用户面功能(user plane function，UPF)等，负责数据的处理和中转。

在此结构的基础上，本申请实施例结合图10～图11，还提供两种系统信息的传输方法，具体介绍网络设备侧生成签名信息以及发送签名SIB的方式。

参见图10示意的一种系统信息的传输方法，该方法主要包括如下流程。

S1001，网络设备的CU将私钥推送给DU。

S1002，网络设备的DU将由DU负责编码的系统信息如MIB，SIB以及部分SI消息(或可以理解为部分OSI)发送给终端设备，且根据接收到的私钥生成由DU负责编码的系统信息所对应的签名信息，记为签名信息1。

S1003，网络设备的CU将由CU负责编码的SI消息，通过DU发送给终端设备。同时，网络设备的CU还可根据私钥生成由CU负责编码的SI消息所对应的签名信息，记为签名信息2；网络设备的CU将该签名信息2发送给DU。

S1004，网络设备的DU将所有系统信息的签名信息汇聚到签名SIB，并将签名SIB发送给终端设备。其中，签名SIB中可以包括S1003中DU从CU处接收到的签名信息2，以及S1002中DU自身生成的签名信息1。

本申请实施例适应于CU和DU均具备签名信息的处理能力的网络设备，由网络设备的DU汇聚和生成签名SIB，并发送给终端设备，以辅助终端设备发现伪基站，能够提升无线通信安全，预防伪基站攻击。

参见图11示意的一种系统信息的传输方法，该方法主要包括如下流程。

S1101，网络设备的CU将签名需求告知DU，签名需求包括需要进行签名的系统信息的列表。

S1102，网络设备的DU将由DU负责编码的系统信息如MIB，SIB以及部分SI消息(或可以理解为部分OSI)发送给终端设备，且根据签名需求将前述列表所包含系统信息的内容，如将由DU负责编码的系统信息发送给CU。

S1003，网络设备的CU将由CU负责编码的SI消息，通过DU发送给终端设备。同时，网络设备的CU还可根据私钥、CU负责编码的SI消息以及从DU处收到的系统信息的内容，生成前述一个或多个系统信息对应的签名信息。

S1104，网络设备的CU将其生成的签名信息添加到签名SIB，并通过DU将签名SIB发送给终端设备。

本申请实施例适应于CU具备签名信息的处理能力的网络设备，由网络设备的CU汇聚和生成签名SIB，并通过DU发送给终端设备，以辅助终端设备发现伪基站，能够提升无线通信安全，预防伪基站攻击。

基于同一构思，参见图12，本申请实施例提供了一种系统信息的传输装置1200，该装置1200包括处理模块1201和通信模块1202。该通信装置1200可以是网络设备，也可以是应用于网络设备，能够支持网络设备执行系统信息的传输方法的装置，或者，该通信装置1200可以是终端设备，也可以是应用于终端设备，能够支持终端设备执行系统信息的传输方法的装置。

其中，通信模块也可以称为收发模块、收发器、收发机、收发装置等。处理模块也可以称为处理器，处理单板，处理单元、处理装置等。可选的，可以将通信模块中用于实现接收功能的器件视为接收单元，应理解，通信模块用于执行上述方法实施例中网络设备侧或终端设备侧的发送操作和接收操作，将通信模块中用于实现发送功能的器件视为发送单元，即通信模块包括接收单元和发送单元。该装置1200应用于网络设备时，其通信模块1202包括的接收单元用于执行网络设备侧的接收操作，例如接收来自终端设备的信息；其通信模块1202包括的发送单元用于执行网络设备侧的发送操作，例如向终端设备发送信息。该装置1200应用于终端设备时，其通信模块1202包括的接收单元用于执行终端设备侧的接收操作，例如接收来自网络设备的信息。其通信模块1202包括的发送单元用于执行终端设备侧的发送操作，例如向网络设备发送信息。此外需要说明的是，若该装置采用芯片/芯片电路实现，所述通信模块1202可以是输入输出电路和/或通信接口，执行输入操作(对应前述接收操作)、输出操作(对应前述发送操作)；处理模块1201为集成的处理器或者微处理器或者集成电路。

当该装置1200应用于终端设备时，通信模块1202，用于获取第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容。处理模块1201，用于根据所述第一签名信息，对所述第一系统信息进行验证。

当该装置1200应用于网络设备时，处理模块1201，用于生成第一系统信息和第二系统信息所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容。通信模块1202，用于发送所述第一系统信息和所述第二系统信息。

在一种可选的实施方式中，所述第一系统信息可以包括主信息块MIB和/或系统信息块SIB。

在一种可选的实施方式中，若所述第一系统信息包括主信息块MIB，所述用于生成所述第一签名信息的参数中不包括所述MIB中的时间参数，所述时间参数包括系统帧号SFN。

在一种可选的实施方式中，若所述第一系统信息包括系统信息块SIB，所述用于生成所述第一签名信息的参数中包括所述SIB中的第一信息，所述第一信息用于确定所述第一系统信息的有效性。

在一种可选的实施方式中，所述第一系统信息为一个或多个小区共用的系统信息块SIB，当所述第一系统信息的验证通过时，所述第一系统信息能够被在所述一个或多个小区内使用。

在一种可选的实施方式中，所述通信模块1202应用在网络设备中时，可以在终端设备到达设定区域时，再发送所述第一系统信息和所述第二系统信息。相应的，所述通信模块1202应用在终端设备中时，可以在终端设备到达设定区域时，再获取所述第一系统信息和所述第二系统信息。

本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，另外，在本申请各个实施例中的各功能模块可以集成在一个处理器中，也可以是单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。

基于相同的技术构思，本申请还提供了一种通信装置1300。该通信装置1300可以是芯片或者芯片系统。可选的，在本申请实施例中芯片系统可以由芯片构成，也可以包含芯片和其他分立器件。

通信装置1300可用于实现图1所示的通信系统中终端设备或网络设备的功能。通信装置1300可以包括至少一个处理器1310，该处理器1310与存储器耦合，可选的，存储器可以位于该装置之内，存储器可以和处理器集成在一起，存储器也可以位于该装置之外。例如，通信装置1300还可以包括至少一个存储器1320。存储器1320保存实施上述任一实施例中必要计算机程序、配置信息、计算机程序或指令和/或数据；处理器1310可能执行存储器1320中存储的计算机程序，完成上述任一实施例中的方法。

本申请实施例中的耦合是装置、单元或模块之间的间接耦合或通信连接，可以是电性，机械或其它的形式，用于装置、单元或模块之间的信息交互。处理器1310可能和存储器1320协同操作。本申请实施例中不限定上述收发器1330、处理器1310以及存储器1320之间的具体连接介质。

通信装置1300中还可以包括通信接口1330，通信装置1300可以通过通信接口1330和其它设备进行信息交互。示例性的，所述通信接口1301可以是收发器、电路、总线、模块或其它类型的通信接口。当该通信装置1300为芯片类的装置或者电路时，该装置1300中的通信接口1330也可以是输入输出电路，可以输入信息(或称，接收信息)和输出信息(或称，发送信息)，处理器为集成的处理器或者微处理器或者集成电路或则逻辑电路，处理器可以根据输入信息确定输出信息。

可选的，参见图13，所述通信接口1330、所述处理模块1310以及所述存储器1320之间通过总线1340相互连接。所述总线1340可以是外设部件互连标准(peripheralcomponent interconnect，PCI)总线或扩展工业标准结构(extended industry standardarchitecture，EISA)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图13中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

在本申请实施例中，处理器可以是通用处理器、数字信号处理器、专用集成电路、现场可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。

在本申请实施例中，存储器可以是非易失性存储器，比如硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)等，还可以是易失性存储器(volatilememory)，例如随机存取存储器(random-access memory，RAM)。存储器是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。本申请实施例中的存储器还可以是电路或者其它任意能够实现存储功能的装置，用于存储程序指令和/或数据。

在一种可能的实施方式中，该通信装置1300可以应用于终端设备，具体通信装置1300可以是终端设备，也可以是能够支持终端设备，实现上述涉及的任一实施例中终端设备的功能的装置。存储器1320保存实现上述任一实施例中的终端设备的功能的必要计算机程序、计算机程序或指令和/或数据。处理器1310可执行存储器1320存储的计算机程序，完成上述任一实施例中终端设备执行的方法。应用于终端设备，该通信装置1300中的通信接口可用于与网络设备进行交互，向网络设备发送信息或者接收来自网络设备的信息。

在另一种可能的实施方式中，该通信装置1300可以应用于网络设备，具体通信装置1300可以是网络设备，也可以是能够支持网络设备，实现上述涉及的任一实施例中网络设备的功能的装置。存储器1320保存实现上述任一实施例中的网络设备的功能的必要计算机程序、计算机程序或指令和/或数据。处理器1310可执行存储器1320存储的计算机程序，完成上述任一实施例中网络设备执行的方法。应用于网络设备，该通信装置1300中的通信接口可用于与终端设备进行交互，向终端设备发送信息或者接收来自终端设备的信息。

由于本实施例提供的通信装置1300可应用于终端设备，完成上述终端设备执行的方法，或者应用于网络设备，完成网络设备执行的方法。因此其所能获得的技术效果可参考上述方法实施例，在此不再赘述。

在本申请实施例中，处理器可以是通用处理器、数字信号处理器、专用集成电路、现场可编程门阵列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件，可以实施或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件模块组合执行完成。

在本申请实施例中，存储器可以是非易失性存储器，比如硬盘(hard disk drive，HDD)或固态硬盘(solid-state drive，SSD)等，还可以是易失性存储器(volatilememory)，例如随机存取存储器(random-access memory，RAM)。存储器还可以是能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。本申请实施例中的存储器还可以是电路或者其它任意能够实施存储功能的装置，用于存储计算机程序、计算机程序或指令和/或数据。

基于以上实施例，本申请实施例还提供了一种计算机程序，当所述计算机程序在计算机上运行时，使得所述计算机从终端设备侧或者网络设备侧角度执行图6-11所示的实施例中所提供的系统信息的传输方法。

基于以上实施例，本申请实施例还提供了一种计算机可读存储介质，该计算机可读存储介质中存储有计算机程序，所述计算机程序被计算机执行时，使得计算机从终端设备侧或者网络设备侧角度执行图6-11所示的实施例中所提供的系统信息的传输方法。其中，存储介质可以是计算机能够存取的任何可用介质。以此为例但不限于：计算机可读介质可以包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。

基于以上实施例，本申请实施例提供了一种通信系统，包括终端设备和网络设备，其中，所述终端设备和网络设备可以实现图6-11所示的实施例中所提供的系统信息的传输方法。

基于以上实施例，本申请实施例还提供了一种芯片，所述芯片用于读取存储器中存储的计算机程序，从终端设备侧或者网络设备侧角度实现图6-11所示的实施例中所提供的系统信息的传输方法。

基于以上实施例，本申请实施例提供了一种芯片系统，该芯片系统包括处理器，用于支持计算机装置实现图6-11所示的实施例中终端设备或网络设备所涉及的功能。在一种可能的设计中，所述芯片系统还包括存储器，所述存储器用于保存该计算机装置必要的程序和数据。该芯片系统，可以由芯片构成，也可以包含芯片和其他分立器件。

本申请实施例提供的技术方案可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、网络设备、终端设备或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机可以存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例如，数字视频光盘(digital video disc，DVD))、或者半导体介质等。

在本申请实施例中，在无逻辑矛盾的前提下，各实施例之间可以相互引用，例如方法实施例之间的方法和/或术语可以相互引用，例如装置实施例之间的功能和/或术语可以相互引用，例如装置实施例和方法实施例之间的功能和/或术语可以相互引用。

本申请是参照根据本申请的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims

1.一种系统信息的传输方法，其特征在于，包括：

终端设备获取第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容；

所述终端设备根据所述第一签名信息，对所述第一系统信息进行验证。

2.如权利要求1所述的方法，其特征在于，所述终端设备获取第一系统信息和第二系统信息，包括：

所述终端设备在到达设定区域时，获取所述第一系统信息和所述第二系统信息。

3.一种系统信息的传输方法，其特征在于，包括：

网络设备生成第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容；

所述网络设备发送所述第一系统信息和所述第二系统信息。

4.如权利要求3所述的方法，其特征在于，所述网络设备发送所述第一系统信息和所述第二系统信息，包括：

所述网络设备在终端设备到达设定区域时，发送所述第一系统信息和所述第二系统信息。

5.如权利要求1至4任一所述的方法，其特征在于，所述第一系统信息包括主信息块MIB和/或系统信息块SIB。

6.如权利要求1至5任一所述的方法，其特征在于，若所述第一系统信息包括主信息块MIB，所述用于生成所述第一签名信息的参数中不包括所述MIB中的时间参数，所述时间参数包括系统帧号SFN。

7.如权利要求1至5任一所述的方法，其特征在于，若所述第一系统信息包括系统信息块SIB，所述用于生成所述第一签名信息的参数中包括所述SIB中的第一信息，所述第一信息用于确定所述第一系统信息的有效性。

8.如权利要求1至5、7中任一所述的方法，其特征在于，所述第一系统信息为一个或多个小区共用的系统信息块SIB，当所述第一系统信息验证通过时，所述第一系统信息能够被在所述一个或多个小区内使用。

9.一种系统信息的传输装置，其特征在于，包括：

通信模块，用于获取第一系统信息和第二系统信息，所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容；

处理模块，用于根据所述第一签名信息，对所述第一系统信息进行验证。

10.如权利要求9所述的装置，其特征在于，所述通信模块，具体用于在所述装置所在的终端设备到达设定区域时，获取所述第一系统信息和所述第二系统信息。

11.一种系统信息的传输装置，其特征在于，包括：

处理模块，用于生成第一系统信息和第二系统信息所述第二系统信息包括第一签名信息；其中，所述第一签名信息用于验证所述第一系统信息；用于生成所述第一签名信息的参数包括所述第一系统信息中的部分或者全部内容；

通信模块，用于发送所述第一系统信息和所述第二系统信息。

12.如权利要求11所述的装置，其特征在于，所述通信模块，具体用于在终端设备到达设定区域时，发送所述第一系统信息和所述第二系统信息。

13.如权利要求9至12任一所述的装置，其特征在于，所述第一系统信息包括主信息块MIB和/或系统信息块SIB。

14.如权利要求9至13任一所述的装置，其特征在于，若所述第一系统信息包括主信息块MIB，所述用于生成所述第一签名信息的参数中不包括所述MIB中的时间参数，所述时间参数包括系统帧号SFN。

15.如权利要求9至13任一所述的装置，其特征在于，若所述第一系统信息包括系统信息块SIB，所述用于生成所述第一签名信息的参数中包括所述SIB中的第一信息，所述第一信息用于确定所述第一系统信息的有效性。

16.如权利要求9至13、15任一所述的装置，其特征在于，所述第一系统信息为一个或多个小区共用的系统信息块SIB，当所述第一系统信息验证通过时，所述第一系统信息能够被在所述一个或多个小区内使用。

17.一种通信装置，其特征在于，包括处理器和存储器，所述存储器和所述处理器耦合；

所述存储器，存储有计算机程序指令；

所述处理器用于执行所述计算机程序指令，以使如权利要求1、2、5-8中任一项所述的方法或者如权利要求3-8任一项所述的方法被执行。

18.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括指令，当所述指令在计算机上运行时，使得计算机执行如权利要求1、2、5-8中任一项所述的方法或者执行如权利要求3-8任一项所述的方法。