CN117527280A - 用户终端接入网络的安全认证方法、装置及电子设备 - Google Patents

用户终端接入网络的安全认证方法、装置及电子设备 Download PDF

Info

Publication number
CN117527280A
CN117527280A CN202210909822.6A CN202210909822A CN117527280A CN 117527280 A CN117527280 A CN 117527280A CN 202210909822 A CN202210909822 A CN 202210909822A CN 117527280 A CN117527280 A CN 117527280A
Authority
CN
China
Prior art keywords
security
user terminal
user
authentication
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210909822.6A
Other languages
English (en)
Inventor
李燕
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN202210909822.6A priority Critical patent/CN117527280A/zh
Priority to PCT/CN2023/077193 priority patent/WO2024021580A1/zh
Publication of CN117527280A publication Critical patent/CN117527280A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本申请涉及一种用户终端接入网络的安全认证方法、装置及电子设备，该方法应用于安全算法协商功能SANF网元，该方法包括：在用户终端接入网络的情况下，获取用户终端和接入网络的安全信息，安全信息包括用户终端的终端类型、用户终端的用户订阅标识和接入网络的类型；根据终端类型、用户订阅标识和接入网络的类型，确定用于生成安全配置文件的配置参数；根据配置参数生成安全配置文件，并将安全配置文件传递给用户终端，以供用户终端根据安全配置文件完成接入网络的安全认证流程。这样，可以利用新增的SANF网元，根据不同业务场景下的不同终端类型、不同接入网络类型以及不同用户订阅标识，生成差异化的安全配置文件，从而实现差异化的安全认证。

Description

用户终端接入网络的安全认证方法、装置及电子设备
技术领域
本申请涉及移动通信技术领域，尤其涉及一种用户终端接入网络的安全认证方法、装置及电子设备。
背景技术
第五代移动通信技术(5th Generation Mobile Communication Technology，简称5G)网络引入了三大业务场景，三大业务场景基于自身的特性对安全的需求各有不同，后续演进到第六代移动通信技术(6th Generation Mobile Communication Technology，简称6G)网络将进一步扩展应用场景，因而将进一步加大对安全的个性化需求。
目前，现有的5G安全认证流程是采用相同级别的安全认证和密钥协商流程，其灵活性已不足以应对多种不同的业务场景的个性化安全需要。因此，如何根据用户终端和接入网络的能力和安全需求进行协商实现差异化的安全认证，成为亟待解决的技术问题。
发明内容
本申请提供了一种用户终端接入网络的安全认证方法、装置及电子设备，以解决现有的5G安全认证流程是采用相同级别的安全认证和密钥协商流程，其灵活性已不足以应对多种不同的业务场景的个性化安全需要的问题。
第一方面，本申请提供了一种用户终端接入网络的安全认证方法，应用于安全算法协商功能SANF网元，所述方法包括：
在用户终端接入网络的情况下，获取所述用户终端和接入网络的安全信息，所述安全信息包括所述用户终端的终端类型、所述用户终端的用户订阅标识和所述接入网络的类型；
根据所述终端类型、所述用户订阅标识和所述接入网络的类型，确定用于生成安全配置文件的配置参数；
根据所述配置参数生成所述安全配置文件，并将所述安全配置文件传递给所述用户终端，以供所述用户终端根据所述安全配置文件完成接入网络的安全认证流程。
可选地，所述根据所述终端类型、所述用户订阅标识和所述接入网络的类型，确定用于生成安全配置文件的配置参数，包括：
接收统一数据管理UDM网元发送的用户订阅消息以及所述用户终端和所述接入网络所支持的认证模式类型，其中，所述用户订阅消息是所述UDM网元基于所述用户订阅标识获取得到，所述用户终端和所述接入网络所支持的认证模式类型是所述UDM网元基于所述用户订阅标识从认证凭证仓储ARPF网元获取得到；
根据所述用户订阅消息、所述用户终端和所述接入网络所支持的认证模式类型，以及获取到的所述终端类型和所述接入网络的类型，确定用于生成安全配置文件的配置参数。
可选地，在所述用户订阅标识为用户隐藏订阅标识符类型的情况下，所述UDM网元需要通过订阅标识符解密功能SIDF网元对所述用户订阅标识进行解密，并基于解密后的用户订阅标识获取所述用户订阅消息、所述用户凭证以及所述用户终端和所述接入网络所支持的认证模式类型，其中，所述SIDF网元是基于用户凭证对所述用户订阅标识进行解密，所述用户凭证是所述UDM网元基于所述用户订阅标识从所述ARPF网元获取得到；
在所述用户订阅标识为用户永久订阅标识符的情况下，所述UDM网元直接基于所述用户订阅标识获取所述用户订阅消息、所述用户凭证以及所述用户终端和所述接入网络所支持的认证模式类型。
可选地，所述将所述安全配置文件传递给所述用户终端，包括：
将所述安全配置文件传递给所述UDM网元，其中，所述UDM网元用于将所述安全配置文件作为新增的信息元素字段，并对所述新增的信息元素字段进行完整性保护处理，将完整性保护处理后的信息元素字段依次通过认证服务器功能AUSF网元和安全锚点功能SEAF网元传递给所述用户终端。
可选地，所述UDM网元还用于根据所述安全配置文件生成归属环境认证向量，并将所述归属环境认证向量中的认证令牌与所述完整性保护处理后的信息元素字段依次通过所述AUSF网元和所述SEAF网元传递给所述用户终端；
其中，所述AUSF网元用于根据所述归属环境认证向量确定服务环境认证向量，并将所述服务环境认证向量和所述完整性保护处理后的信息元素字段发送给所述SEAF网元；所述SEAF网元用于将所述服务环境认证向量和所述完整性保护处理后的信息元素字段发送给所述用户终端；所述服务环境认证向量中包括所述认证令牌；所述用户终端用于根据所述认证令牌进行时效性验证并对所述完整性保护处理后的信息元素字段进行完整性验证，在所述时效性验证成功且所述完整性验证成功的情况下，根据完整性验证成功的信息元素字段完成接入网络的安全认证流程。
可选地，所述在用户终端接入网络的情况下，获取所述用户终端和接入网络的安全信息，包括：
在所述用户终端请求接入网络的情况下，接收所述UDM网元发送的所述安全信息，其中，所述UDM网元用于在接收到所述AUSF网元发送的第一认证请求的情况下，对所述第一认证请求进行解析得到所述第一认证请求中携带的所述安全信息，并将所述安全信息发送至所述SANF网元；其中，所述第一认证请求是所述AUSF网元在接收到所述SEAF网元发送的第二认证请求的情况下生成的，所述第二认证请求是所述SEAF网元在接收到所述用户终端发送的注册请求的情况下生成的，所述第二认证请求中携带有所述终端类型、所述用户订阅标识和所述接入网络的类型，所述注册请求是所述用户终端接入网络的情况下生成的，所述注册请求中携带有所述终端类型和所述用户订阅标识。
可选地，所述配置参数包括用于表征认证模式类型的参数、用于表征密钥推演算法的参数和用于表征密钥长度的参数。
第二方面，本申请还提供了一种用户终端接入网络的安全认证装置，应用于安全算法协商功能SANF网元，所述装置包括：
获取模块，用于获取用户终端和接入网络的安全信息，所述安全信息包括所述用户终端的终端类型、所述用户终端的用户订阅标识和所述接入网络的类型；
确定模块，用于根据所述终端类型、所述用户订阅标识和所述接入网络的类型，确定用于生成安全配置文件的配置参数；
传递模块，用于根据所述配置参数生成所述安全配置文件，并将所述安全配置文件传递给所述用户终端，以供所述用户终端根据所述安全配置文件完成接入网络的安全认证流程。
第三方面，本申请还提供了一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；
存储器，用于存放计算机程序；
处理器，用于执行存储器上所存放的程序时，实现第一方面任一项实施例所述的用户终端接入网络的安全认证方法的步骤。
第四方面，本申请还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如第一方面任一项实施例所述的用户终端接入网络的安全认证方法的步骤。
在本申请实施例中，通过在用户终端接入网络的情况下，获取所述用户终端和接入网络的安全信息，所述安全信息包括所述用户终端的终端类型、所述用户终端的用户订阅标识和所述接入网络的类型；根据所述终端类型、所述用户订阅标识和所述接入网络的类型，确定用于生成安全配置文件的配置参数；根据所述配置参数生成所述安全配置文件，并将所述安全配置文件传递给所述用户终端，以供所述用户终端根据所述安全配置文件完成接入网络的安全认证流程。通过这种方式，可以在网络侧新增安全算法协商功能SANF网元，由SANF网元根据用户终端的终端类型、用户终端的用户订阅标识和接入网络的类型，生成符合该用户终端和该接入网络能力和安全需求的安全配置文件，并将该安全配置文件传递给该用户终端，使得用户终端根据该安全配置文件完成接入网络的安全认证流程。这样，可以针对不同业务场景下的不同终端类型、不同接入网络类型，以及不同用户订阅标识，生成差异化的安全配置文件，实现差异化的安全认证。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本申请实施例提供的一种用户终端接入网络的安全认证方法的流程示意图；
图2为本申请实施例提供的一种安全算法协商功能SANF网元的结构示意图；
图3为本申请实施例提供的一种生成安全配置文件的流程示意图；
图4为本申请实施例提供的一种用户终端认证响应的流程示意图；
图5为本申请实施例提供的一种获取安全信息的流程示意图；
图6为本申请实施例提供的一种用户终端接入网络的安全认证装置的结构示意图；
图7为本申请实施例提供的一种电子设备的结构示意图。
具体实施方式
为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。
参见图1，图1为本申请实施例提供的一种用户终端接入网络的安全认证方法的流程示意图。该用户终端接入网络的安全认证方法应用于安全算法协商功能SANF网元，该方法可以包括如下步骤：
步骤101、在用户终端接入网络的情况下，获取用户终端和接入网络的安全信息，安全信息包括用户终端的终端类型、用户终端的用户订阅标识和接入网络的类型。
需要说明的是，该用户终端接入网络的安全认证方法应用于安全算法协商功能(Security Algorithm Negotiation Function，简称为SANF)网元，该SANF网元可以为归属网络侧的统一数据管理(Unified Data Management，简称为UDM)上的逻辑功能，或者为独立于UDM网元的逻辑功能。该SANF网元主要的功能模块可以包括用户和网络安全信息收集模块、安全算法分析及决策模块和安全差异化配置文件传递模块。其中，用户和网络安全信息收集模块，用于收集用户终端(User Equipment，简称为UE)的终端类型、接入网络的类型、用户终端的用户订阅标识等信息。安全算法分析及决策模块，用于对收集到的用户信息和安全能力等，结合网络相关的信息进行分析和判决，选择合适的认证模式、安全算法、密钥长度等安全信息数据。安全差异化配置文件传递模块，用于将选择的安全信息数据生成差异化的安全配置文件，为用户终端后续认证和密钥协商、安全算法协商提供指导和配置。该SANF网元的内部结构如图2所示。
具体地，在用户终端接入网络的情况下，该SANF网元可以获取到用户终端和接入网络的安全信息。此处的安全信息可以包括但不限于用户终端的终端类型、用户终端的用户订阅标识和接入网络的类型等信息。需要说明的是，用户终端的终端类型可以根据终端的能力划分为低能类终端、中能类终端、高能类终端等。用户终端的用户订阅标识可以包括用户永久订阅标识符(Subscription Permanent Identifier，简称为SUPI)和用户隐藏订阅标识符(Subscription Concealed Identifier，简称为SUCI)，其中，SUCI是来自SUPI加密后的输出结果。接入网络的类型可以包括3GPP接入网络和Non-3GPP接入网络，其中，3GPP接入网络是指由3GPP组织所定义的接入网络，如3GPP长期演进技术(Long TermEvolution，简称为LTE)、宽带码分多址(Wideband Code Division Multiple Access，简称为WCDMA)、时分同步码分多址(Time Division-Synchronous Code Division MultipleAccess，简称为TD-SCDMA)、全球移动通信系统(Global System for MobileCommunications，简称为GSM)等，Non-3GPP接入网络是指非3GPP组织所定义的接入网络，如无限局域网(Wireless Local Area Networks，简称为WLAN)、高速分组数据(High RatePacket Data)，简称为HRPD)等。
步骤102、根据终端类型、用户订阅标识和接入网络的类型，确定用于生成安全配置文件的配置参数。
在该步骤中，该SANF网元可以根据终端类型、用户订阅标识和接入网络的类型，确定用户终端和接入网络的能力，以及用户终端的在当前业务场景下的安全需求，进而根据户终端和接入网络的能力，以及用户终端的在当前业务场景下的安全需求进行，确定出该用户终端对应的安全配置文件的配置参数。具体地，该安全配置文件的配置参数可以包括但不限于用于表征认证模式类型的参数、用于表征密钥推演算法的参数和用于表征密钥长度的参数等。需要说明的是，此处的认证模式类型可以包括现有的5G-AKA和EAP-AKA’，也可以将其他认证模式引入进来，如EAP-TLS，甚至是为适应不同的应用场景和不同的安全需求，可以引入轻量化的认证模式或重量化认证模式；此处的密钥推演算法可以包括国密算法SM3、SM4，以及企业或运营商要求或指定的其他密钥推演算法；此处的密钥长度支持128bits、256bits、512bits等。
步骤103、根据配置参数生成安全配置文件，并将安全配置文件传递给用户终端，以供用户终端根据安全配置文件完成接入网络的安全认证流程。
在该步骤中，该SANF网元可以根据配置参数生成安全配置文件(Securityprofile,简称为SP)，并将该安全配置文件传递给用户终端，用户终端根据该安全配置文件进行安全配置生产，生成自身的安全配置文件，并利用自身的安全配置文件生成认证及密钥推演所需的参数，以此完成接入网络的安全认证流程，以及后续的安全处理和安全保护流程，实现用户终端安全接入网络。
在本实施例中，可以在网络侧新增安全算法协商功能SANF网元，由SANF网元根据用户终端的终端类型、用户终端的用户订阅标识和接入网络的类型，生成符合该用户终端和该接入网络能力和安全需求的安全配置文件，并将该安全配置文件传递给该用户终端，使得用户终端根据该安全配置文件完成接入网络的安全认证流程。这样，可以针对不同业务场景下的不同终端类型、不同接入网络类型，以及不同用户订阅标识，生成差异化的安全配置文件，实现差异化的安全认证。
进一步地，上述步骤102、根据终端类型、用户订阅标识和接入网络的类型，确定用于生成安全配置文件的配置参数，包括：
接收统一数据管理UDM网元发送的用户订阅消息以及用户终端和接入网络所支持的认证模式类型，其中，用户订阅消息是UDM网元基于用户订阅标识获取得到，用户终端和接入网络所支持的认证模式类型是UDM网元基于用户订阅标识从认证凭证仓储ARPF网元获取得到；
根据用户订阅消息、用户终端和接入网络所支持的认证模式类型，以及获取到的终端类型和接入网络的类型，确定用于生成安全配置文件的配置参数。
在一实施例中，该SANF网元可以与统一数据管理UDM网元进行数据交互，确定用于生成安全配置文件的配置参数。具体地，UDM网元可以基于用户订阅标识获取到用户订阅消息，UDM网元还可以基于该用户订阅标识从认证凭证仓储(Authentication credentialRepository and Processing Function，简称为ARPF)网元获取到用户终端和接入网络所支持的认证模式类型，之后UDM网元可以将用户订阅消、用户终端和接入网络所支持的认证模式类型，以及获取到的终端类型和接入网络的类型发送给该SANF网元，该SANF网元根据用户订阅消息、用户终端和接入网络所支持的认证模式类型，以及获取到的终端类型和接入网络的类型，确定用于生成安全配置文件的配置参数，如图3所示。需要说明的是，此处的用户订阅消息包括但不限于应用层的认证与密钥管理订阅(即AMKA subscription)、认证订阅(即Authentication subscription)、密钥推导算法订阅(即Key derivationalgorithm subscription)、密钥长度订阅(即Key lenghth subscription)等。
进一步地，在用户订阅标识为用户隐藏订阅标识符类型的情况下，UDM网元需要通过订阅标识符解密功能SIDF网元对用户订阅标识进行解密，并基于解密后的用户订阅标识获取用户订阅消息、用户凭证以及用户终端和接入网络所支持的认证模式类型，其中，SIDF网元是基于用户凭证对用户订阅标识进行解密，用户凭证是UDM网元基于用户订阅标识从ARPF网元获取得到；
在用户订阅标识为用户永久订阅标识符的情况下，UDM网元直接基于用户订阅标识获取用户订阅消息、用户凭证以及用户终端和接入网络所支持的认证模式类型。
继续参见图3，当用户订阅标识为用户隐藏订阅标识符类型(即SUCI)时，UDM网元还可以利用SUCI中的保护计划标识(即protection scheme ID)和归属网络公钥标识(Homenetwork public key ID)等字段信息，从ARPF网元获取用户凭证以及用户终端和接入网络所支持的认证模式类型。UDM网元还可以基于用户凭证从订阅标识符解密功能(Subscription Identifier De-concealing Function，简称为SIDF)网元对用户订阅标识进行解密，然后在利用解密后的用户订阅标识获取到用户订阅消息。
当用户订阅标识为用户永久订阅标识符类型(即SUPI)时，UDM网元还可以直接基于该SUPI从ARPF网元获取用户凭证以及用户终端和接入网络所支持的认证模式类型。UDM网元还可以直接基于用户订阅标识获取到用户订阅消息。
进一步地，上述步骤103、将安全配置文件传递给用户终端，包括：
将安全配置文件传递给UDM网元，其中，UDM网元用于将安全配置文件作为新增的信息元素字段，并对新增的信息元素字段进行完整性保护处理，将完整性保护处理后的信息元素字段依次通过认证服务器功能AUSF网元和安全锚点功能SEAF网元传递给用户终端。
在一实施例中，该SANF网元生成安全配置文件之后，可以将该安全配置文件传递给UDM网元，这样，UDM网元可以将该安全配置文件作为新增的信息元素(InformationElement)字段(即SPIE)，并对新增的信息元素字段进行完整性保护处理，将完整性保护处理后的信息元素字段依次通过认证服务器功能(Authentication Server Function，简称为AUSF)网元和安全锚点功能(SEcurity Anchor Function，简称为SEAF)网元传递给用户终端，如图4所示。这样，用户终端可以根据SP IE的指示生成相关的安全配置文件及后续的密钥推演，并回复网络侧认证响应消息。
进一步地，UDM网元还用于根据安全配置文件生成归属环境认证向量，并将归属环境认证向量中的认证令牌与完整性保护处理后的信息元素字段依次通过AUSF网元和SEAF网元传递给用户终端；
其中，AUSF网元用于根据归属环境认证向量确定服务环境认证向量，并将服务环境认证向量和完整性保护处理后的信息元素字段发送给SEAF网元；SEAF网元用于将服务环境认证向量和完整性保护处理后的信息元素字段发送给用户终端；服务环境认证向量中包括认证令牌；用户终端用于根据认证令牌进行时效性验证并对完整性保护处理后的信息元素字段进行完整性验证，在时效性验证成功且完整性验证成功的情况下，根据完整性验证成功的信息元素字段完成接入网络的安全认证流程。
参见图4，UDM网元还可以根据该安全配置文件生成归属环境认证向量(5G HomeEnvironment Authentication Vector，简称为5G HE AV)，并将归属环境认证向量中的认证令牌((AuthenticationToken,简称为AUTN)与完整性保护处理后的信息元素字段作为认证响应消息(即图4中的Nudm_UEAuthentication_Get Response)传递给AUSF网元。AUSF网元可以根据归属环境认证向量确定服务环境认证向量(5G Service EnvironmentAuthentication Vector，简称为5G SE AV)，并将服务环境认证向量中的认证令牌和完整性保护处理后的信息元素字段作为认证响应消息(即图4中的Nausf_UEAuthentication_Authenticate Response)发送给SEAF网元；SEAF网元可以将服务环境认证向量和完整性保护处理后的信息元素字段作为认证请求(即图4中的Authentication Request)发送给用户终端；最后用户终端可以根据认证令牌进行时效性验证并对完整性保护处理后的信息元素字段进行完整性验证。具体地，在网络侧使用用户终端相关的私钥对SPIE进行完整性保护，用户终端在收到网络侧的认证请求(即Authentication Request)后，通过认证请求中的AUTN来验证认证请求消息的时效性。在确认认证请求消息的时效性可被接受后，通过网络侧的公钥来验证SP IE的完整性，如果完整性验证失败，则向网络侧回复认证失败；如果完整性验证成功，则根据完整性验证成功的信息元素字段生成相关的安全配置文件及后续的密钥推演，并回复网络侧认证响应消息(即图4中的Authentication Response)，以此完成接入网络的安全认证流程。通过这种方式，可以有效防止SP IE在传输过程被篡改，提高了安全配置文件传输的安全性。
进一步地，上述步骤101、在用户终端接入网络的情况下，获取用户终端和接入网络的安全信息，包括：
在用户终端请求接入网络的情况下，接收UDM网元发送的安全信息，其中，UDM网元用于在接收到AUSF网元发送的第一认证请求的情况下，对第一认证请求进行解析得到第一认证请求中携带的安全信息，并将安全信息发送至SANF网元；其中，第一认证请求是AUSF网元在接收到SEAF网元发送的第二认证请求的情况下生成的，第二认证请求是SEAF网元在接收到用户终端发送的注册请求的情况下生成的，第二认证请求中携带有终端类型、用户订阅标识和接入网络的类型，注册请求是用户终端接入网络的情况下生成的，注册请求中携带有终端类型和用户订阅标识。
在一实施例中，当用户终端请求接入网络时，该SANF网元可以从UDM网元获取安全信息。具体地，如图5所示，用户终端UE在接入网络发起注册请求(即图5中的RegisterRequest)，在注册请求消息中携带终端类型UE type、SUCI或5G全球临时UE标识符(5G Globally Unique Temporary UE Identity，简称为5G-GUTI)，注册请求发送到服务网络的安全锚点功能(SEAF,SEcurity Anchor Function)网元。SEAF网元通过发送第二认证请求(即图5中Nausf_UEAuthentication_Authenticate Request消息)给AUSF网元调用Nausf_UEAuthentication服务，第二认证请求中携带SUCI或映射5G-GUTI的SUPI，服务网络名称(Serving NetworkName，简称为SNN)，其中，服务网络名称可以包含服务网络标识(即SN ID)和接入网类型(即access network type)。AUSF网元在收到第二认证消息后，通过对比在第二认证请求消息中携带的服务网络名称与预设的用户终端所在的服务网络的服务网络名称是否一致，以此来验证该服务网络的SEAF网元是否有权使用第二认证请求消息中的服务网络名称，同时验证对应的接入网络的类型。如果该服务网络没有授权使用第二认证请求消息中的服务网络名称，则回复“服务网未被授权”。否则，AUSF网元认为服务网络是被授权使用第二认证请求消息中的服务网名称的。此时，AUSF网元发起第一认证请求(即图5中的Nudm_UEAuthentication_Get Request消息)给UDM网元，该第一认证请求中携带SUCI或SUPI，以及服务网络名称。UDM网元在收到Nudm_UEAuthentication_Get Request消息后，将消息携带的安全信息发送给该SANF网元，该SANF网元生成安全配置文件(Securityprofile)。
需要说明的是，图5是在现有5G安全认证流程作出的改进，例如，在现有流程中增加了SANF网元，且用户终端在接入网络发起注册请求时除了携带有SUCI或5G-GUTI外，还可以携带有UE type，SEAF网元在向AUSF网元发丝第二认证请求以及AUSF网元在向UDM网元发丝第一认证请求时，除了携带有SN ID、SUCI或SUPI外，还可以携带有access networktype。
进一步地，配置参数包括用于表征认证模式类型的参数、用于表征密钥推演算法的参数和用于表征密钥长度的参数。
以下以mMTC密集化的接入场景为例进行说明，在该场景下，5G要求百万每平公里的接入量，6G则要求千万级每平方公里的接入量。如此密集化的终端接入，对网络的接入认证将造成不可忽视的冲击。对现有的5G统一认证架构流程是否能满足后续的移动网络的容量扩展存疑。引入SANF网元可以灵活配置用户的Security Profile，根据终端类型或和用户订阅数据，选择合适的认证模式和安全处理。
具体地，UE在接入网络时，发起注册请求，携带终端类型，为mMTC中某类低能类终端。网络侧在收到UE的注册请求后，根据UE的终端类型和订阅数据信息，为UE选择可匹配的轻量化接入认证模式，简化的密钥推演算法，以及合适的密钥长度等安全配置Securityprofile；网络侧根据生成的Security profile，生成简化的5G HE AV，并将SP信息通过SPIE指示给UE；最后UE侧根据SP IE指示信息和网络侧的认证信息完成与网络侧的相互安全认证流程。
在本申请中，将UE和网络的安全能力协商统一处理，将UE自身的能力和订阅信息等综合考虑，根据UE的能力、UE的分类、用户订阅倾向，形成差异化的自动匹配。通过这种方式，具有如下技术效果：
一、可以将认证模式扩展成多种认证模式，不仅仅包含现有的5G-AKA和EAP-AKA’，也可以将其他认证模式引入进来，如EAP-TLS，甚至是为适应不同的应用场景和不同的安全需求，可以引入轻量化的认证模式或重量化认证模式。
二、可以支持灵活扩展密钥推演算法。当前的密钥推演算法是固化的，通过扩展密钥推演算法，可以将国密算法SM3和SM4引入到密钥推演算法中。甚至为满足行业专网的专用需求，可以引入企业或运营商要求或指定的密钥推演算法。
三、易于密钥长度的向上扩展。当前5G认证与密钥协商所使用的密钥长度是128bits,密钥长度是直接体现安全能力的参数之一。这种固定密钥长度的加密算法无法体现安全需求的差异性。对于高安全要求的场景，如防量子化攻击的应用，128bits不再能满足安全的要求，那么就需要支持更长的密钥长度。可扩展的密钥长度并不是随意指定密钥长度，而是支持多种密钥长度(如支持128bits,256bits等)，根据场景和安全需求，可以进行选择密钥长度来满足当前的需求。
四、灵活支持其他安全能力的扩展。安全能力扩展包括但不限于上述描述的三种参数，可以根据后续需求进行灵活扩展。对于这种安全能力的灵活扩展和多层级安全能力的支持，非常有必要引入一个仲裁协商的功能，来根据安全的需求进行安全能力的匹配和协商，提供最优的安全组合给不同的应用场景。引入全算法协商功能(SANF)可以根据用户的订阅机制，也可以根据终端类型或接入网类型，对上述所描述的参数进行自动匹配。
本申请相较于现有技术并非简单技术的组合，而是运用大数据的概念在收集用户的安全能力、订阅信息等数据，通过综合的分析和判决算法能为不同终端和不同用户倾向提供差异化的安全匹配。
参见图6，图6为本申请实施例提供的一种用户终端接入网络的安全认证装置，应用于安全算法协商功能SANF网元，该装置600包括：
获取模块601，用于获取用户终端和接入网络的安全信息，安全信息包括用户终端的终端类型、用户终端的用户订阅标识和接入网络的类型；
确定模块602，用于根据终端类型、用户订阅标识和接入网络的类型，确定用于生成安全配置文件的配置参数；
传递模块603，用于根据配置参数生成安全配置文件，并将安全配置文件传递给用户终端，以供用户终端根据安全配置文件完成接入网络的安全认证流程。
进一步地，确定模块602包括：
第一接收子模块，用于接收统一数据管理UDM网元发送的用户订阅消息以及用户终端和接入网络所支持的认证模式类型，其中，用户订阅消息是UDM网元基于用户订阅标识获取得到，用户终端和接入网络所支持的认证模式类型是UDM网元基于用户订阅标识从认证凭证仓储ARPF网元获取得到；
确定子模块，用于根据用户订阅消息、用户终端和接入网络所支持的认证模式类型，以及获取到的终端类型和接入网络的类型，确定用于生成安全配置文件的配置参数。
进一步地，在用户订阅标识为用户隐藏订阅标识符类型的情况下，UDM网元需要通过订阅标识符解密功能SIDF网元对用户订阅标识进行解密，并基于解密后的用户订阅标识获取用户订阅消息、用户凭证以及用户终端和接入网络所支持的认证模式类型，其中，SIDF网元是基于用户凭证对用户订阅标识进行解密，用户凭证是UDM网元基于用户订阅标识从ARPF网元获取得到；
在用户订阅标识为用户永久订阅标识符的情况下，UDM网元直接基于用户订阅标识获取用户订阅消息、用户凭证以及用户终端和接入网络所支持的认证模式类型。
进一步地，传递模块603包括：
传递子模块，用于将安全配置文件传递给UDM网元，其中，UDM网元用于将安全配置文件作为新增的信息元素字段，并对新增的信息元素字段进行完整性保护处理，将完整性保护处理后的信息元素字段依次通过认证服务器功能AUSF网元和安全锚点功能SEAF网元传递给用户终端。
进一步地，UDM网元还用于根据安全配置文件生成归属环境认证向量，并将归属环境认证向量中的认证令牌与完整性保护处理后的信息元素字段依次通过AUSF网元和SEAF网元传递给用户终端；
其中，AUSF网元用于根据归属环境认证向量确定服务环境认证向量，并将服务环境认证向量和完整性保护处理后的信息元素字段发送给SEAF网元；SEAF网元用于将服务环境认证向量和完整性保护处理后的信息元素字段发送给用户终端；服务环境认证向量中包括认证令牌；用户终端用于根据认证令牌进行时效性验证并对完整性保护处理后的信息元素字段进行完整性验证，在时效性验证成功且完整性验证成功的情况下，根据完整性验证成功的信息元素字段完成接入网络的安全认证流程。
进一步地，获取模块601包括：
第二接收子模块，用于在用户终端请求接入网络的情况下，接收UDM网元发送的安全信息，其中，UDM网元用于在接收到AUSF网元发送的第一认证请求的情况下，对第一认证请求进行解析得到第一认证请求中携带的安全信息，并将安全信息发送至SANF网元；其中，第一认证请求是AUSF网元在接收到SEAF网元发送的第二认证请求的情况下生成的，第二认证请求是SEAF网元在接收到用户终端发送的注册请求的情况下生成的，第二认证请求中携带有终端类型、用户订阅标识和接入网络的类型，注册请求是用户终端接入网络的情况下生成的，注册请求中携带有终端类型和用户订阅标识。
进一步地，配置参数包括用于表征认证模式类型的参数、用于表征密钥推演算法的参数和用于表征密钥长度的参数。
需要说明的是，该用户终端接入网络的安全认证装置600可以实现如前述任意一个方法实施例提供的用户终端接入网络的安全认证方法的步骤，且能达到相同的技术效果，在此不再一一赘述。
如图7所示，本申请实施例提供了一种电子设备，包括处理器711、通信接口712、存储器713和通信总线714，其中，处理器711，通信接口712，存储器713通过通信总线714完成相互间的通信，
存储器713，用于存放计算机程序；
在本申请一个实施例中，处理器711，用于执行存储器713上所存放的程序时，实现前述任意一个方法实施例提供的用户终端接入网络的安全认证方法，包括：
在用户终端接入网络的情况下，获取用户终端和接入网络的安全信息，安全信息包括用户终端的终端类型、用户终端的用户订阅标识和接入网络的类型；
根据终端类型、用户订阅标识和接入网络的类型，确定用于生成安全配置文件的配置参数；
根据配置参数生成安全配置文件，并将安全配置文件传递给用户终端，以供用户终端根据安全配置文件完成接入网络的安全认证流程。
本申请实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现如前述任意一个方法实施例提供的用户终端接入网络的安全认证方法的步骤。
需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上所述仅是本发明的具体实施方式，使本领域技术人员能够理解或实现本发明。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所申请的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种用户终端接入网络的安全认证方法，其特征在于，应用于安全算法协商功能SANF网元，所述方法包括：
在用户终端接入网络的情况下，获取所述用户终端和接入网络的安全信息，所述安全信息包括所述用户终端的终端类型、所述用户终端的用户订阅标识和所述接入网络的类型；
根据所述终端类型、所述用户订阅标识和所述接入网络的类型，确定用于生成安全配置文件的配置参数；
根据所述配置参数生成所述安全配置文件，并将所述安全配置文件传递给所述用户终端，以供所述用户终端根据所述安全配置文件完成接入网络的安全认证流程。
2.根据权利要求1所述的方法，其特征在于，所述根据所述终端类型、所述用户订阅标识和所述接入网络的类型，确定用于生成安全配置文件的配置参数，包括：
接收统一数据管理UDM网元发送的用户订阅消息以及所述用户终端和所述接入网络所支持的认证模式类型，其中，所述用户订阅消息是所述UDM网元基于所述用户订阅标识获取得到，所述用户终端和所述接入网络所支持的认证模式类型是所述UDM网元基于所述用户订阅标识从认证凭证仓储ARPF网元获取得到；
根据所述用户订阅消息、所述用户终端和所述接入网络所支持的认证模式类型，以及获取到的所述终端类型和所述接入网络的类型，确定用于生成安全配置文件的配置参数。
3.根据权利要求2所述的方法，其特征在于，在所述用户订阅标识为用户隐藏订阅标识符类型的情况下，所述UDM网元需要通过订阅标识符解密功能SIDF网元对所述用户订阅标识进行解密，并基于解密后的用户订阅标识获取所述用户订阅消息、所述用户凭证以及所述用户终端和所述接入网络所支持的认证模式类型，其中，所述SIDF网元是基于用户凭证对所述用户订阅标识进行解密，所述用户凭证是所述UDM网元基于所述用户订阅标识从所述ARPF网元获取得到；
在所述用户订阅标识为用户永久订阅标识符的情况下，所述UDM网元直接基于所述用户订阅标识获取所述用户订阅消息、所述用户凭证以及所述用户终端和所述接入网络所支持的认证模式类型。
4.根据权利要求2所述的方法，其特征在于，所述将所述安全配置文件传递给所述用户终端，包括：
将所述安全配置文件传递给所述UDM网元，其中，所述UDM网元用于将所述安全配置文件作为新增的信息元素字段，并对所述新增的信息元素字段进行完整性保护处理，将完整性保护处理后的信息元素字段依次通过认证服务器功能AUSF网元和安全锚点功能SEAF网元传递给所述用户终端。
5.根据权利要求4所述的方法，其特征在于，所述UDM网元还用于根据所述安全配置文件生成归属环境认证向量，并将所述归属环境认证向量中的认证令牌与所述完整性保护处理后的信息元素字段依次通过所述AUSF网元和所述SEAF网元传递给所述用户终端；
其中，所述AUSF网元用于根据所述归属环境认证向量确定服务环境认证向量，并将所述服务环境认证向量和所述完整性保护处理后的信息元素字段发送给所述SEAF网元；所述SEAF网元用于将所述服务环境认证向量和所述完整性保护处理后的信息元素字段发送给所述用户终端；所述服务环境认证向量中包括所述认证令牌；所述用户终端用于根据所述认证令牌进行时效性验证并对所述完整性保护处理后的信息元素字段进行完整性验证，在所述时效性验证成功且所述完整性验证成功的情况下，根据完整性验证成功的信息元素字段完成接入网络的安全认证流程。
6.根据权利要求4所述的方法，其特征在于，所述在用户终端接入网络的情况下，获取所述用户终端和接入网络的安全信息，包括：
在所述用户终端请求接入网络的情况下，接收所述UDM网元发送的所述安全信息，其中，所述UDM网元用于在接收到所述AUSF网元发送的第一认证请求的情况下，对所述第一认证请求进行解析得到所述第一认证请求中携带的所述安全信息，并将所述安全信息发送至所述SANF网元；其中，所述第一认证请求是所述AUSF网元在接收到所述SEAF网元发送的第二认证请求的情况下生成的，所述第二认证请求是所述SEAF网元在接收到所述用户终端发送的注册请求的情况下生成的，所述第二认证请求中携带有所述终端类型、所述用户订阅标识和所述接入网络的类型，所述注册请求是所述用户终端接入网络的情况下生成的，所述注册请求中携带有所述终端类型和所述用户订阅标识。
7.根据权利要求1所述的方法，其特征在于，所述配置参数包括用于表征认证模式类型的参数、用于表征密钥推演算法的参数和用于表征密钥长度的参数。
8.一种用户终端接入网络的安全认证装置，其特征在于，应用于安全算法协商功能SANF网元，所述装置包括：
获取模块，用于获取用户终端和接入网络的安全信息，所述安全信息包括所述用户终端的终端类型、所述用户终端的用户订阅标识和所述接入网络的类型；
确定模块，用于根据所述终端类型、所述用户订阅标识和所述接入网络的类型，确定用于生成安全配置文件的配置参数；
传递模块，用于根据所述配置参数生成所述安全配置文件，并将所述安全配置文件传递给所述用户终端，以供所述用户终端根据所述安全配置文件完成接入网络的安全认证流程。
9.一种电子设备，其特征在于，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；
存储器，用于存放计算机程序；
处理器，用于执行存储器上所存放的程序时，实现权利要求1-7任一项所述的用户终端接入网络的安全认证方法的步骤。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-7任一项所述的用户终端接入网络的安全认证方法的步骤。
CN202210909822.6A 2022-07-29 2022-07-29 用户终端接入网络的安全认证方法、装置及电子设备 Pending CN117527280A (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202210909822.6A CN117527280A (zh) 2022-07-29 2022-07-29 用户终端接入网络的安全认证方法、装置及电子设备
PCT/CN2023/077193 WO2024021580A1 (zh) 2022-07-29 2023-02-20 用户终端接入网络的安全认证方法、装置及电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210909822.6A CN117527280A (zh) 2022-07-29 2022-07-29 用户终端接入网络的安全认证方法、装置及电子设备

Publications (1)

Publication Number Publication Date
CN117527280A true CN117527280A (zh) 2024-02-06

Family

ID=89705210

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210909822.6A Pending CN117527280A (zh) 2022-07-29 2022-07-29 用户终端接入网络的安全认证方法、装置及电子设备

Country Status (2)

Country Link
CN (1) CN117527280A (zh)
WO (1) WO2024021580A1 (zh)

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108810884B (zh) * 2017-05-06 2020-05-08 华为技术有限公司 密钥配置方法、装置以及系统
CN109474927B (zh) * 2017-09-08 2022-04-01 中国电信股份有限公司 信息交互方法、归属网络、用户终端以及信息交互系统
EP3684088A1 (en) * 2019-01-18 2020-07-22 Thales Dis France SA A method for authentication a secure element cooperating with a mobile equipment within a terminal in a telecommunication network
CN111787532B (zh) * 2020-06-30 2023-08-08 兴唐通信科技有限公司 一种协商5g移动通信网络安全能力的方法

Also Published As

Publication number Publication date
WO2024021580A1 (zh) 2024-02-01

Similar Documents

Publication Publication Date Title
US11228442B2 (en) Authentication method, authentication apparatus, and authentication system
JP5144679B2 (ja) 通信ネットワークにおけるユーザアクセス管理
CN103416082B (zh) 用于使用安全元件对远程站进行认证的方法
JP3869392B2 (ja) 公衆無線ｌａｎサービスシステムにおけるユーザ認証方法および該方法をコンピュータで実行させるためのプログラムを記録した記録媒体
US9467432B2 (en) Method and device for generating local interface key
JP4965671B2 (ja) 無線通信ネットワークにおけるユーザ・プロファイル、ポリシー及びｐｍｉｐキーの配布
US9392453B2 (en) Authentication
US10034169B2 (en) Method to authenticate peers in an infrastructure-less peer-to-peer network
US20080108321A1 (en) Over-the-air (OTA) device provisioning in broadband wireless networks
US11778458B2 (en) Network access authentication method and device
CN110035037B (zh) 安全认证方法、相关设备及系统
US20080160959A1 (en) Method for Roaming User to Establish Security Association With Visited Network Application Server
CN1929371B (zh) 用户和外围设备协商共享密钥的方法
CN114268943A (zh) 授权方法及装置
CN111148094B (zh) 5g用户终端的注册方法、用户终端设备及介质
CN106412901A (zh) 一种防蹭网无线路由方法及路由系统
CN114286342B (zh) 认证方法、系统、电子设备和计算机可读存储介质
CN113302895B (zh) 用于认证无线通信设备群组的方法和装置
CN117527280A (zh) 用户终端接入网络的安全认证方法、装置及电子设备
WO2008148348A1 (fr) Procédé de communication, système et station de base domestique
CN111163466B (zh) 5g用户终端接入区块链的方法、用户终端设备及介质
CN115412909A (zh) 一种通信方法及装置
EP3488627B1 (en) Proof-of-presence indicator
CN113055829B (zh) 一种网络广播信息的隐私保护方法、装置及可读存储介质
CN113316142B (zh) 无线网络接入方法及设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication