CN116156499A - 网元的安全认证方法、系统和相关设备 - Google Patents
网元的安全认证方法、系统和相关设备 Download PDFInfo
- Publication number
- CN116156499A CN116156499A CN202111385344.5A CN202111385344A CN116156499A CN 116156499 A CN116156499 A CN 116156499A CN 202111385344 A CN202111385344 A CN 202111385344A CN 116156499 A CN116156499 A CN 116156499A
- Authority
- CN
- China
- Prior art keywords
- network element
- data set
- subscription data
- user subscription
- card
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 44
- 238000007726 management method Methods 0.000 claims description 129
- 230000006870 function Effects 0.000 claims description 19
- 238000004590 computer program Methods 0.000 claims description 10
- 238000012795 verification Methods 0.000 claims description 8
- 230000000977 initiatory effect Effects 0.000 claims description 3
- 238000013523 data management Methods 0.000 claims description 2
- 230000006855 networking Effects 0.000 claims description 2
- 238000010586 diagram Methods 0.000 description 20
- 230000003993 interaction Effects 0.000 description 4
- 239000002071 nanotube Substances 0.000 description 4
- 238000012545 processing Methods 0.000 description 4
- 230000011664 signaling Effects 0.000 description 4
- 230000008901 benefit Effects 0.000 description 3
- 238000005516 engineering process Methods 0.000 description 3
- 230000008569 process Effects 0.000 description 2
- 238000004891 communication Methods 0.000 description 1
- 230000014509 gene expression Effects 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
- H04W12/069—Authentication using certificates or pre-shared keys
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/08—Access security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/40—Security arrangements using identity modules
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明公开了一种网元的安全认证方法、系统和相关设备，涉及网络安全领域。网元的安全认证方法包括：接入管理网关接收具有嵌入式芯片卡的网元发送的用户签约数据集下载请求，包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识；接入管理网关在对卡证书信息的合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系；接入管理网关指示网元下载用户签约数据集到嵌入式芯片卡中；接入管理网关接收网元发起的核心网访问请求，包括卡标识、设备标识和用户签约数据集的证书信息；接入管理网关在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证；在认证通过的情况下，允许网元接入核心网。
Description
技术领域
本发明涉及网络安全领域，特别涉及一种网元的安全认证方法、系统和相关设备。
背景技术
在运营商5G网络中，5G下沉的边缘网元接入网络，可直接访问电信5G核心网。目前，未对这类网元进行准入认证和安全纳管。当网络攻击来临，会给5G网络带来巨大的安全风险，影响电信5G网络服务。
发明内容
本发明实施例所要解决的一个技术问题是：如何提高网络的安全性。
根据本发明一些实施例的第一个方面，提供一种网元的安全认证方法，包括：接入管理网关接收具有嵌入式芯片卡的网元发送的用户签约数据集下载请求，其中，用户签约数据集下载请求包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识；接入管理网关对卡证书信息进行合法性校验；接入管理网关在合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系；接入管理网关指示网元下载用户签约数据集到嵌入式芯片卡中；接入管理网关接收网元发起的核心网访问请求，其中，核心网访问请求包括卡标识、设备标识和用户签约数据集的证书信息；接入管理网关在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证；在对证书信息的认证通过的情况下，接入管理网关允许网元接入核心网。
在一些实施例中，接入管理网关指示网元设备下载用户签约数据集到嵌入式芯片卡中包括：接入管理网关向网元发送安全通道建立请求，安全通道建立请求中包括用户签约数据集的启用指示和下载通知，以便网元与接入管理网关建立安全通道、并通过安全通道下载和启用用户签约数据集。
在一些实施例中，安全认证方法还包括：接入管理网关判断网元是否已加载用户签约数据集、以及网元加载的用户签约数据集是否有效，以便在网元未加载用户签约数据集、或者网元加载的用户签约数据集过期的情况下，指示网元设备下载用户签约数据集到嵌入式芯片卡中。
在一些实施例中，核心网为5G SA核心网。
根据本发明一些实施例的第二个方面，提供一种网元的安全认证方法，包括：具有嵌入式芯片卡的网元向接入管理网关发送用户签约数据集下载请求，其中，用户签约数据集下载请求包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识，以便接入管理网关对卡证书信息进行合法性校验，并在合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系；网元从接入管理网关下载用户签约数据集，存储到嵌入式芯片卡中；网元向接入管理网关发起核心网访问请求，其中，核心网访问请求包括卡标识、设备标识和用户签约数据集的证书信息，以便接入管理网关在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证，并在对证书信息的认证通过的情况下，允许网元接入核心网。
在一些实施例中，网元从接入管理网关下载用户签约数据集，存储到嵌入式芯片卡中包括：网元接收接入管理网关发送的安全通道建立请求，其中，安全通道建立请求中包括用户签约数据集的启用指示和下载通知；网元与接入管理网关建立安全通道；网元通过安全通道下载用户签约数据集到嵌入式芯片卡中、并启用下载的用户签约数据集。
在一些实施例中，安全认证方法还包括：在网元中存在过期的用户签约数据集的情况下，网元删除过期的用户签约数据集，以启用下载的用户签约数据集。
在一些实施例中，网元为5G下沉边缘接入网元。
在一些实施例中，网元为UPF、AMF、SMF、PCF或UDM。
根据本发明一些实施例的第三个方面，提供一种接入管理网关，包括：下载请求接收模块，被配置为接收具有嵌入式芯片卡的网元发送的用户签约数据集下载请求，其中，用户签约数据集下载请求包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识；卡证书校验模块，被配置为对卡证书信息进行合法性校验；绑定关系记录模块，被配置为在合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系；下载指示模块，被配置为指示网元下载用户签约数据集到嵌入式芯片卡中；访问请求接收模块，被配置为接收网元发起的核心网访问请求，其中，核心网访问请求包括卡标识、设备标识和用户签约数据集的证书信息；用户签约数据集认证模块，被配置为在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证；接入允许模块，被配置为在对证书信息的认证通过的情况下，允许网元接入核心网。
在一些实施例中，下载指示模块进一步被配置为向网元发送安全通道建立请求，安全通道建立请求中包括用户签约数据集的启用指示和下载通知，以便网元与接入管理网关建立安全通道、并通过安全通道下载和启用用户签约数据集。
在一些实施例中，接入管理网关还包括：判断模块，被配置为判断网元是否已加载用户签约数据集、以及网元加载的用户签约数据集是否有效，以便下载指示模块在网元未加载用户签约数据集、或者网元加载的用户签约数据集过期的情况下，指示网元设备下载用户签约数据集到嵌入式芯片卡中。
根据本发明一些实施例的第四个方面，提供一种接入管理网关，包括：存储器；以及耦接至存储器的处理器，处理器被配置为基于存储在存储器中的指令，执行前述安全认证方法。
根据本发明一些实施例的第五个方面，提供一种网元，具有嵌入式芯片卡，包括：下载请求发送模块，被配置为向接入管理网关发送用户签约数据集下载请求，其中，用户签约数据集下载请求包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识，以便接入管理网关对卡证书信息进行合法性校验，并在合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系；下载模块，被配置为从接入管理网关下载用户签约数据集，存储到嵌入式芯片卡中；访问请求发起模块，被配置为向接入管理网关发起核心网访问请求，其中，核心网访问请求包括卡标识、设备标识和用户签约数据集的证书信息，以便接入管理网关在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证，并在对证书信息的认证通过的情况下，允许网元接入核心网。
在一些实施例中，下载模块进一步被配置为接收接入管理网关发送的安全通道建立请求，其中，安全通道建立请求中包括用户签约数据集的启用指示和下载通知；与接入管理网关建立安全通道；通过安全通道下载用户签约数据集到嵌入式芯片卡中、并启用下载的用户签约数据集。
在一些实施例中，网元还包括：用户签约数据集管理模块，被配置为在网元中存在过期的用户签约数据集的情况下，删除过期的用户签约数据集，以启用下载的用户签约数据集。
在一些实施例中，网元为5G下沉边缘接入网元。
在一些实施例中，网元为UPF、AMF、SMF、PCF或UDM。
在一些实施例中，网元上的嵌入式芯片卡为UICC卡。
根据本发明一些实施例的第六个方面，提供一种网元，包括：存储器；以及耦接至存储器的处理器，处理器被配置为基于存储在存储器中的指令，执行前述安全认证方法。
根据本发明一些实施例的第七个方面，提供一种安全认证系统，包括：前述任意一种接入管理网关；以及前述任意一种网元。
根据本发明一些实施例的第八个方面，提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现前述任意一种安全认证方法。
上述发明中的一些实施例具有如下优点或有益效果。本发明的实施例通过引入接入管理网关，利用嵌入式UICC远程配置管理技术，网元设备接入核心网进行安全认证和纳管。从而在通过安全认证后，网元设备可以通过网关透传信令数据给核心网，有效降低了网元对核心网的安全交互风险，提高系统及整体网络的安全性。
通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1示出了根据本发明一些实施例的网元的安全认证方法的流程示意图。
图2示出了根据本发明一些实施例的安全认证方法的流程示意图。
图3示出了根据本发明一些实施例的接入管理网关的结构示意图。
图4示出了根据本发明一些实施例的网元的结构示意图。
图5示出了根据本发明一些实施例的安全认证系统的结构示意图。
图6示出了根据本发明一些实施例的5G下沉网元的安全认证的应用场景示意图。
图7示出了根据本发明一些实施例的安全认证装置的结构示意图。
图8示出了根据本发明另一些实施例的安全认证装置的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。
同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。
对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。
在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。
应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。
图1示出了根据本发明一些实施例的网元的安全认证方法的流程示意图。如图1所示，该实施例的网元的安全认证方法包括步骤S102～S114。
在步骤S102中，接入管理网关接收具有嵌入式芯片卡的网元发送的用户签约数据集下载请求，其中，用户签约数据集下载请求包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识。
在一些实施例中，网元中的嵌入式芯片卡是由接入管理设备签发的。
在一些实施例中，网元上的嵌入式芯片卡为通用集成电路卡(UniversalIntegrated Circuit Card，简称：UICC)。从而，可以利用嵌入式UICC的远程配置管理体系和安全技术辅助认证过程。
在一些实施例中，卡标识为EID(Electronic Identity，电子身份标识)。
在一些实施例中，网元为5G下沉边缘接入网元，例如用户面功能(User planeFunction，简称：UPF)、接入和移动性管理功能(Access and Mobility ManagementFunction，简称：AMF)、会话管理功能(Session Management Function，简称：SMF)、策略控制功能(Policy Control Function，简称：PCF)或UDM(Unified Data Management，统一数据管理)等等。
在步骤S104中，接入管理网关对卡证书信息进行合法性校验。
在一些实施例中，卡证书信息为UICC卡的根证书的信息，从而可以利用UICC卡的校验机制完成对网元的校验。
在步骤S106中，接入管理网关在合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系。
在步骤S108中，接入管理网关指示网元下载用户签约数据集(Profile)到嵌入式芯片卡中。
在一些实施例中，接入管理网关向网元发送安全通道建立请求，安全通道建立请求中包括用户签约数据集的启用指示和下载通知；然后，网元与接入管理网关建立安全通道、并通过安全通道下载和启用用户签约数据集。
在步骤S110中，接入管理网关接收网元发起的核心网访问请求，其中，核心网访问请求包括卡标识、设备标识和用户签约数据集的证书信息。
在步骤S112中，接入管理网关在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证。
在步骤S114中，在对证书信息的认证通过的情况下，接入管理网关允许网元接入核心网。
上述实施例通过引入接入管理网关，利用嵌入式UICC远程配置管理技术，对网元设备接入核心网进行安全认证和纳管。从而在通过安全认证后，网元设备可以通过网关透传信令数据给核心网，有效降低了网元对核心网的安全交互风险，提高系统及整体网络的安全性。
在一些实施例中，可以将认证过程划分为用户签约数据集加载预置阶段和网元访问认证阶段。在加载预置阶段，如果发现网元已具备最新的用户签约数据集，则可以直接跳转到网元访问认证阶段。下面参考图2描述本发明安全认证方法的实施例。
图2示出了根据本发明一些实施例的安全认证方法的流程示意图。如图2所示，该实施例的安全认证方法包括步骤S202～S222。
步骤S202～S214为加载预置阶段。
在步骤S202中，接入管理网关接收具有嵌入式芯片卡的网元发送的用户签约数据集下载请求，其中，用户签约数据集下载请求包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识。
在步骤S204中，接入管理网关对卡证书信息进行合法性校验。
在步骤S206中，接入管理网关在合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系。
在步骤S208中，接入管理网关判断网元是否已加载用户签约数据集、以及网元加载的用户签约数据集是否有效。
在网元未加载用户签约数据集、或者网元加载的用户签约数据集过期的情况下，执行步骤S210。
在网元已加载最新的用户签约数据集的情况下，执行步骤S216，即直接跳转到网元访问认证阶段。
例如，某网元在完成用户签约数据集的启用后掉电。在该重新与接入管理网关连接后，接入管理网关检测到网元已具备最新的用户签约数据集，则此时可以跳过加载预置阶段，以进行网元访问认证。
在步骤S210中，接入管理网关向网元发送安全通道建立请求，安全通道建立请求中包括用户签约数据集的启用指示和下载通知。
在步骤S212中，网元与接入管理网关建立安全通道，并通过安全通道下载用户签约数据集到嵌入式芯片卡中、并启用下载的用户签约数据集。
在一些实施例中，在网元中存在过期的用户签约数据集的情况下，网元删除过期的用户签约数据集，以启用下载的用户签约数据集。
在步骤S214中，网元向接入管理网关发送用户签约数据集启用成功的通知。
步骤S216～S220为网元访问认证阶段。
在步骤S216中，接入管理网关接收网元发起的核心网访问请求，其中，核心网访问请求包括卡标识、设备标识和用户签约数据集的证书信息。
在步骤S218中，接入管理网关在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证。
在步骤S220中，在对证书信息的认证通过的情况下，接入管理网关允许网元接入核心网。
在步骤S222中，用户接入网络，网元与核心网设备交互，例如建立会话并进行正常的通信过程。
上述实施例通过引入接入管理网关，利用嵌入式UICC远程配置管理技术，对下沉接入网元设备接入核心网进行安全认证和纳管。从而在通过安全认证后，网元设备可以通过网关透传信令数据给核心网，从而有效降低网元对核心网的安全交互风险，提高系统及整体网络的安全性。
下面参考图3描述本发明接入管理网关的实施例。
图3示出了根据本发明一些实施例的接入管理网关的结构示意图。如图3所示，该实施例的接入管理网关300包括：下载请求接收模块3100，被配置为接收具有嵌入式芯片卡的网元发送的用户签约数据集下载请求，其中，用户签约数据集下载请求包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识；卡证书校验模块3200，被配置为对卡证书信息进行合法性校验；绑定关系记录模块3300，被配置为在合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系；下载指示模块3400，被配置为指示网元下载用户签约数据集到嵌入式芯片卡中；访问请求接收模块3500，被配置为接收网元发起的核心网访问请求，其中，核心网访问请求包括卡标识、设备标识和用户签约数据集的证书信息；用户签约数据集认证模块3600，被配置为在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证；接入允许模块3700，被配置为在对证书信息的认证通过的情况下，允许网元接入核心网。
在一些实施例中，下载指示模块3400进一步被配置为向网元发送安全通道建立请求，安全通道建立请求中包括用户签约数据集的启用指示和下载通知，以便网元与接入管理网关建立安全通道、并通过安全通道下载和启用用户签约数据集。
在一些实施例中，接入管理网关300还包括：判断模块3800，被配置为判断网元是否已加载用户签约数据集、以及网元加载的用户签约数据集是否有效，以便下载指示模块3400在网元未加载用户签约数据集、或者网元加载的用户签约数据集过期的情况下，指示网元设备下载用户签约数据集到嵌入式芯片卡中。
下面参考图4描述本发明网元的实施例。
图4示出了根据本发明一些实施例的网元的结构示意图。如图4所示，该实施例的网元400具有嵌入式芯片卡，包括：下载请求发送模块4100，被配置为向接入管理网关发送用户签约数据集下载请求，其中，用户签约数据集下载请求包括嵌入式芯片卡的卡标识和卡证书信息、以及网元的设备标识，以便接入管理网关对卡证书信息进行合法性校验，并在合法性校验通过的情况下，记录卡标识和设备标识之间的绑定关系；下载模块4200，被配置为从接入管理网关下载用户签约数据集，存储到嵌入式芯片卡中；访问请求发起模块4300，被配置为向接入管理网关发起核心网访问请求，其中，核心网访问请求包括卡标识、设备标识和用户签约数据集的证书信息，以便接入管理网关在卡标识和设备标识的绑定关系正确的情况下，基于用户签约数据集的证书信息进行认证，并在对证书信息的认证通过的情况下，允许网元接入核心网。
在一些实施例中，下载模块4200进一步被配置为接收接入管理网关发送的安全通道建立请求，其中，安全通道建立请求中包括用户签约数据集的启用指示和下载通知；与接入管理网关建立安全通道；通过安全通道下载用户签约数据集到嵌入式芯片卡中、并启用下载的用户签约数据集。
在一些实施例中，网元400还包括：用户签约数据集管理模块4400，被配置为在网元中存在过期的用户签约数据集的情况下，删除过期的用户签约数据集，以启用下载的用户签约数据集。
在一些实施例中，网元400为5G下沉边缘接入网元。
在一些实施例中，网元400为UPF、AMF、SMF、PCF或UDM。
图5示出了根据本发明一些实施例的安全认证系统的结构示意图。如图5所示，该实施例的安全认证系统50包括接入管理网关300和网元400。
图6示出了根据本发明一些实施例的5G下沉网元的安全认证的应用场景示意图。如图6所示，5G定制网61中包括5G下沉网元UPF611，5G定制网62中包括5G下沉网元AMF 621、SMF 622、UPF 623，5G定制网63中包括包括5G下沉网元AMF 631、SMF 632、UPF 633、PCF634和UDM635。这些5G下沉网元通过承载网接入核心网。每个5G下沉网元用于为用户提供边缘接入和企业定制化网络服务，需与5G SA核心网交互进行鉴权和策略数据交互。
每个5G下沉网元上装载有嵌入式UICC卡，其可以进行远程配置且出厂后可编辑。嵌入式UICC卡可存储卡文件、数据和应用，可远程下载用户签约数据集，用户签约数据集(Profile)，包含用户识别信息和业务信息等
在5G下沉网元与核心网中的网元之间，设置有接入管理网关64，通过N4、N8、N10、N12、N14等接口与各个定制网连接。接入管理网关64的具体实施方式参见图3实施例。接入管理网关64具有网元认证鉴权、嵌入式UICC远程管理、信令代理等功能，从而可以利用嵌入式UICC远程管理的安全能力，提供5G下沉边缘接入网元的认证管理。
5G下沉网元中放置的嵌入式UICC卡与接入管理网关中的嵌入式UICC远程管理功能构成了嵌入式UICC远程配置体系。嵌入式UICC远程管理功能用于嵌入式UICC卡数据的管理和下载，可进行用户Profile数据应用的组装，并与嵌入式UICC卡交互，将数据下载到嵌入式UICC卡上，实现用户数据的远程配置。因而满足了用户安全、灵活地配置管理用户嵌入式UICC卡数据的需求。
接入管理网关64通过N4、N8、N10、N12和N14等接口与5G SA核心网中的网元AMF651、UPF 652、NRF 653、SMF 654、PCF 655等连接。5G SA核心网中的网元提供5G终端的接入和移动性管理、认证鉴权管理、会话管理、策略控制等网络服务能力，以为用户提供5G网络服务。
图7示出了根据本发明一些实施例的安全认证装置的结构示意图。如图7所示，该实施例的安全认证装置70包括：存储器710以及耦接至该存储器710的处理器720，处理器720被配置为基于存储在存储器710中的指令，执行前述任意一个实施例中的安全认证方法。
其中，存储器710例如可以包括系统存储器、固定非易失性存储介质等。系统存储器例如存储有操作系统、应用程序、引导装载程序(Boot Loader)以及其他程序等。
图8示出了根据本发明另一些实施例的安全认证装置的结构示意图。如图8所示，该实施例的安全认证装置80包括：存储器810以及处理器820，还可以包括输入输出接口830、网络接口840、存储接口850等。这些接口830，840，850以及存储器810和处理器820之间例如可以通过总线860连接。其中，输入输出接口830为显示器、鼠标、键盘、触摸屏等输入输出设备提供连接接口。网络接口840为各种联网设备提供连接接口。存储接口850为SD卡、U盘等外置存储设备提供连接接口。
本发明的实施例还提供一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现前述任意一种安全认证方法。
本领域内的技术人员应当明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用非瞬时性存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解为可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
Claims (22)
1.一种网元的安全认证方法，包括：
接入管理网关接收具有嵌入式芯片卡的网元发送的用户签约数据集下载请求，其中，所述用户签约数据集下载请求包括所述嵌入式芯片卡的卡标识和卡证书信息、以及所述网元的设备标识；
所述接入管理网关对所述卡证书信息进行合法性校验；
所述接入管理网关在所述合法性校验通过的情况下，记录所述卡标识和所述设备标识之间的绑定关系；
所述接入管理网关指示所述网元下载用户签约数据集到所述嵌入式芯片卡中；
所述接入管理网关接收所述网元发起的核心网访问请求，其中，所述核心网访问请求包括所述卡标识、所述设备标识和所述用户签约数据集的证书信息；
所述接入管理网关在所述卡标识和所述设备标识的绑定关系正确的情况下，基于所述用户签约数据集的证书信息进行认证；
在对所述证书信息的认证通过的情况下，所述接入管理网关允许所述网元接入核心网。
2.根据权利要求1所述的安全认证方法，其中，所述接入管理网关指示所述网元设备下载用户签约数据集到所述嵌入式芯片卡中包括：
所述接入管理网关向所述网元发送安全通道建立请求，所述安全通道建立请求中包括用户签约数据集的启用指示和下载通知，以便所述网元与所述接入管理网关建立安全通道、并通过所述安全通道下载和启用用户签约数据集。
3.根据权利要求1所述的安全认证方法，还包括：
所述接入管理网关判断所述网元是否已加载用户签约数据集、以及所述网元加载的用户签约数据集是否有效，以便在所述网元未加载用户签约数据集、或者所述网元加载的用户签约数据集过期的情况下，指示所述网元设备下载用户签约数据集到所述嵌入式芯片卡中。
4.根据权利要求1所述的安全认证方法，其中，所述核心网为5G独立组网SA核心网。
5.一种网元的安全认证方法，包括：
具有嵌入式芯片卡的网元向接入管理网关发送用户签约数据集下载请求，其中，所述用户签约数据集下载请求包括所述嵌入式芯片卡的卡标识和卡证书信息、以及所述网元的设备标识，以便所述接入管理网关对所述卡证书信息进行合法性校验，并在所述合法性校验通过的情况下，记录所述卡标识和所述设备标识之间的绑定关系；
所述网元从所述接入管理网关下载用户签约数据集，存储到所述嵌入式芯片卡中；
所述网元向所述接入管理网关发起核心网访问请求，其中，所述核心网访问请求包括所述卡标识、所述设备标识和所述用户签约数据集的证书信息，以便所述接入管理网关在所述卡标识和所述设备标识的绑定关系正确的情况下，基于所述用户签约数据集的证书信息进行认证，并在对所述证书信息的认证通过的情况下，允许所述网元接入核心网。
6.根据权利要求5所述的安全认证方法，其中，所述网元从所述接入管理网关下载用户签约数据集，存储到所述嵌入式芯片卡中包括：
所述网元接收所述接入管理网关发送的安全通道建立请求，其中，所述安全通道建立请求中包括用户签约数据集的启用指示和下载通知；
所述网元与所述接入管理网关建立安全通道；
所述网元通过所述安全通道下载用户签约数据集到所述嵌入式芯片卡中、并启用下载的所述用户签约数据集。
7.根据权利要求5所述的安全认证方法，还包括：
在所述网元中存在过期的用户签约数据集的情况下，所述网元删除所述过期的用户签约数据集，以启用下载的所述用户签约数据集。
8.根据权利要求5～7中任一项所述的安全认证方法，其中，所述网元为5G下沉边缘接入网元。
9.根据权利要求8所述的安全认证方法，其中，所述网元为用户面功能UPF、接入和移动性管理功能AMF、会话管理功能SMF、策略控制功能PCF或统一数据管理UDM。
10.一种接入管理网关，包括：
下载请求接收模块，被配置为接收具有嵌入式芯片卡的网元发送的用户签约数据集下载请求，其中，所述用户签约数据集下载请求包括所述嵌入式芯片卡的卡标识和卡证书信息、以及所述网元的设备标识；
卡证书校验模块，被配置为对所述卡证书信息进行合法性校验；
绑定关系记录模块，被配置为在所述合法性校验通过的情况下，记录所述卡标识和所述设备标识之间的绑定关系；
下载指示模块，被配置为指示所述网元下载用户签约数据集到所述嵌入式芯片卡中；
访问请求接收模块，被配置为接收所述网元发起的核心网访问请求，其中，所述核心网访问请求包括所述卡标识、所述设备标识和所述用户签约数据集的证书信息；
用户签约数据集认证模块，被配置为在所述卡标识和所述设备标识的绑定关系正确的情况下，基于所述用户签约数据集的证书信息进行认证；
接入允许模块，被配置为在对所述证书信息的认证通过的情况下，允许所述网元接入核心网。
11.根据权利要求10所述的接入管理网关，其中，所述下载指示模块进一步被配置为向所述网元发送安全通道建立请求，所述安全通道建立请求中包括用户签约数据集的启用指示和下载通知，以便所述网元与所述接入管理网关建立安全通道、并通过所述安全通道下载和启用用户签约数据集。
12.根据权利要求10所述的接入管理网关，还包括：
判断模块，被配置为判断所述网元是否已加载用户签约数据集、以及所述网元加载的用户签约数据集是否有效，以便所述下载指示模块在所述网元未加载用户签约数据集、或者所述网元加载的用户签约数据集过期的情况下，指示所述网元设备下载用户签约数据集到所述嵌入式芯片卡中。
13.一种接入管理网关，包括：
存储器；以及
耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行如权利要求1～4中任一项所述的安全认证方法。
14.一种网元，具有嵌入式芯片卡，包括：
下载请求发送模块，被配置为向接入管理网关发送用户签约数据集下载请求，其中，所述用户签约数据集下载请求包括所述嵌入式芯片卡的卡标识和卡证书信息、以及所述网元的设备标识，以便所述接入管理网关对所述卡证书信息进行合法性校验，并在所述合法性校验通过的情况下，记录所述卡标识和所述设备标识之间的绑定关系；
下载模块，被配置为从所述接入管理网关下载用户签约数据集，存储到所述嵌入式芯片卡中；
访问请求发起模块，被配置为向所述接入管理网关发起核心网访问请求，其中，所述核心网访问请求包括所述卡标识、所述设备标识和所述用户签约数据集的证书信息，以便所述接入管理网关在所述卡标识和所述设备标识的绑定关系正确的情况下，基于所述用户签约数据集的证书信息进行认证，并在对所述证书信息的认证通过的情况下，允许所述网元接入核心网。
15.根据权利要求14所述的网元，其中，所述下载模块进一步被配置为接收所述接入管理网关发送的安全通道建立请求，其中，所述安全通道建立请求中包括用户签约数据集的启用指示和下载通知；与所述接入管理网关建立安全通道；通过所述安全通道下载用户签约数据集到所述嵌入式芯片卡中、并启用下载的所述用户签约数据集。
16.根据权利要求14所述的网元，还包括：
用户签约数据集管理模块，被配置为在所述网元中存在过期的用户签约数据集的情况下，删除所述过期的用户签约数据集，以启用下载的所述用户签约数据集。
17.根据权利要求14～16中任一项所述网元，其中，所述网元为5G下沉边缘接入网元。
18.根据权利要求17所述的安全认证方法，其中，所述网元为UPF、AMF、SMF、PCF或UDM。
19.根据权利要求14～16中任一项所述网元，其中，所述网元上的嵌入式芯片卡为通用集成电路卡UICC。
20.一种网元，包括：
存储器；以及
耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行如权利要求5～9中任一项所述的安全认证方法。
21.一种安全认证系统，包括：
权利要求10～13中任一项所述的接入管理网关；以及
权利要求14～20中任一项所述的网元。
22.一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现权利要求1～9中任一项所述的安全认证方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111385344.5A CN116156499B (zh) | 2021-11-22 | 2021-11-22 | 网元的安全认证方法、系统和相关设备 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111385344.5A CN116156499B (zh) | 2021-11-22 | 2021-11-22 | 网元的安全认证方法、系统和相关设备 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN116156499A true CN116156499A (zh) | 2023-05-23 |
| CN116156499B CN116156499B (zh) | 2024-04-26 |
Family
ID=86352979
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202111385344.5A Active CN116156499B (zh) | 2021-11-22 | 2021-11-22 | 网元的安全认证方法、系统和相关设备 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN116156499B (zh) |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106899540A (zh) * | 2015-12-17 | 2017-06-27 | 中国电信股份有限公司 | 用户签约数据的更新方法、管理系统、eUICC以及终端 |
| CN107846663A (zh) * | 2016-09-21 | 2018-03-27 | 中国电信股份有限公司 | 实现用户签约数据集远程管理的方法、装置和系统 |
| CN110178393A (zh) * | 2017-01-13 | 2019-08-27 | 华为技术有限公司 | 一种签约数据集的下载方法、设备及服务器 |
| WO2021056448A1 (zh) * | 2019-09-27 | 2021-04-01 | 华为技术有限公司 | 通信处理方法和通信处理装置 |
| CN112911596A (zh) * | 2018-05-22 | 2021-06-04 | 华为技术有限公司 | 网络接入方法、相关装置及系统 |
-
2021
- 2021-11-22 CN CN202111385344.5A patent/CN116156499B/zh active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106899540A (zh) * | 2015-12-17 | 2017-06-27 | 中国电信股份有限公司 | 用户签约数据的更新方法、管理系统、eUICC以及终端 |
| CN107846663A (zh) * | 2016-09-21 | 2018-03-27 | 中国电信股份有限公司 | 实现用户签约数据集远程管理的方法、装置和系统 |
| CN110178393A (zh) * | 2017-01-13 | 2019-08-27 | 华为技术有限公司 | 一种签约数据集的下载方法、设备及服务器 |
| CN112911596A (zh) * | 2018-05-22 | 2021-06-04 | 华为技术有限公司 | 网络接入方法、相关装置及系统 |
| WO2021056448A1 (zh) * | 2019-09-27 | 2021-04-01 | 华为技术有限公司 | 通信处理方法和通信处理装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN116156499B (zh) | 2024-04-26 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP3429243B1 (en) | Remote management method and device | |
| US9497620B2 (en) | Method and system for implementing smart card remote operation based on smart card web server | |
| DK2640005T3 (en) | Method for terminal configuration and management as well as terminal device | |
| EP3337219B1 (en) | Carrier configuration processing method, device and system, and computer storage medium | |
| CN109716805B (zh) | 一种签约数据集的安装方法、终端及服务器 | |
| CN111148088B (zh) | 管理移动终端的方法、装置、设备和存储介质以及系统 | |
| CN109391673B (zh) | 一种管理更新文件的方法、系统及终端设备 | |
| EP2389630A1 (en) | Provisioned firmware updates using object identifiers | |
| KR20080037450A (ko) | 소프트웨어 실행모듈의 업데이트 시스템 및 방법 | |
| CN109196891B (zh) | 一种签约数据集的管理方法、终端及服务器 | |
| CN109792604A (zh) | 一种eUICC配置文件管理方法及相关装置 | |
| CN109495874B (zh) | Profile下载的方法和装置 | |
| CN111163467A (zh) | 5g用户终端接入5g网络的方法、用户终端设备及介质 | |
| CN112822678A (zh) | 一种服务化架构授权的方法 | |
| CN116156499B (zh) | 网元的安全认证方法、系统和相关设备 | |
| CN110650014B (zh) | 一种基于hessian协议的签名认证方法、系统、设备及存储介质 | |
| CN112887199A (zh) | 网关和云平台及其配置方法、装置、计算机可读存储介质 | |
| JP2013513986A (ja) | サーバにおけるスマートカード・セキュリティ機能プロファイル | |
| CN113852958A (zh) | 5g鉴权方法、5g自动开户方法、设备、系统和存储介质 | |
| CN114866970A (zh) | 策略控制方法、系统和相关设备 | |
| JP6969676B2 (ja) | 排他制御システム及び排他制御方法 | |
| CN108200046B (zh) | 终端设备的注册方法、装置、终端设备和代理服务器 | |
| CN114339716A (zh) | 签约数据传输方法、系统和服务器 | |
| CN114095491B (zh) | 一种web网页应用文件上传的方法、装置、设备及可读介质 | |
| CN114978888B (zh) | 一种报文转发方法、装置、电子设备及存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |