KR102263336B1 - 보안 구현 방법, 기기 및 시스템 - Google Patents

보안 구현 방법, 기기 및 시스템 Download PDF

Info

Publication number
KR102263336B1
KR102263336B1 KR1020197023036A KR20197023036A KR102263336B1 KR 102263336 B1 KR102263336 B1 KR 102263336B1 KR 1020197023036 A KR1020197023036 A KR 1020197023036A KR 20197023036 A KR20197023036 A KR 20197023036A KR 102263336 B1 KR102263336 B1 KR 102263336B1
Authority
KR
South Korea
Prior art keywords
security
session
identifier
key
delete delete
Prior art date
Application number
KR1020197023036A
Other languages
English (en)
Other versions
KR20190102068A (ko
Inventor
보 장
룽 우
루 간
Original Assignee
후아웨이 테크놀러지 컴퍼니 리미티드
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 후아웨이 테크놀러지 컴퍼니 리미티드 filed Critical 후아웨이 테크놀러지 컴퍼니 리미티드
Publication of KR20190102068A publication Critical patent/KR20190102068A/ko
Application granted granted Critical
Publication of KR102263336B1 publication Critical patent/KR102263336B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Abstract

본 발명의 실시예는 보안 구현 방법, 기기 및 시스템을 개시한다. 상기 보안 구현 방법은, 제1 기기가 세션의 보안 정책 및 하나 이상의 키를 획득하는 단계; 및 상기 제1 기기가 보호된 데이터를 제2 기기에 전송하는 단계 - 상기 보호된 데이터는 상기 세션의 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 상기 제2 기기는 상기 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 보호된 데이터를 복원하여 상기 세션 데이터를 획득하도록 구성됨 -를 포함하고; 상기 제1 기기가 단말 기기일 때, 상기 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 상기 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 상기 제2 기기는 단말 기기이다.

Description

보안 구현 방법, 기기 및 시스템
본 발명은 통신 분야에 관한 것으로, 특히, 보안 구현 방법, 기기 및 시스템에 관한 것이다.
기존의 네트워크 보안 아키텍처에서, 데이터 보안 보호(data security protection)는 홉바이홉(hop-by-hop) 방식으로 수행된다. 즉, 보안 보호가 세그먼트별로 수행된다. 링크 "단말 기기-기지국-서빙 게이트웨이-PDN 게이트웨이"에서의 데이터 송신을 예로 사용하면, 단말 기기와 기지국 사이에서 보안 보호가 한 번 수행되고, 기지국과 서빙 게이트웨이 사이에서 보안 보호가 한 번 수행되고, 서빙 게이트웨이와 PDN 게이트웨이 사이에서 한 번의 보안 보호가 한 번 수행된다. 알 수 있는 바와 같이, 데이터 송신 프로세스에서, 중간 노드에 문제가 발생하면, 데이터 누설이 야기될 수 있다. 또한, 데이터 송신 프로세스에서, 데이터가 여러 번 암호화되고 복원되는 경우, 자원 낭비 또한 야기된다.
본 발명의 실시예에 의해 해결되어야 할 기술적 문제는 데이터의 단대단 보호를 구현하기 위한 보안 구현 방법, 기기 및 시스템을 제공하는 것이다.
제1 측면에 따르면, 본 발명의 일 실시예는 보안 구현 방법을 제공하며, 상기 보안 구현 방법은, 제1 기기가 세션의 보안 정책 및 하나 이상의 키를 획득하는 단계; 및 상기 제1 기기가 보호된 데이터를 제2 기기에 전송하는 단계 - 상기 보호된 데이터는 상기 세션의 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 상기 제2 기기는 상기 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 보호된 데이터를 복원하여 상기 세션 데이터를 획득하도록 구성됨 -를 포함하고; 상기 제1 기기가 단말 기기일 때, 상기 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 상기 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 상기 제2 기기는 단말 기기이다.
제1 측면을 참조하여, 제1 측면의 제1 가능한 구현예에서, 상기 하나 이상의 키는 제1 키 및 제2 키를 포함하며, 상기 제1 키는 상기 세션의 제1 보안을 보호하는 데 사용되고, 상기 제2 키는 상기 세션의 제2 보안을 보호하는 데 사용된다.
제1 측면의 제1 가능한 구현예를 참조하여, 제1 측면의 제2 가능한 구현예에서, 상기 보안 정책은 상기 세션 데이터의 보호 모드를 지시하는 데 사용되며, 상기 보호 모드는 제1 보안 알고리즘에 기초하여 상기 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하는 것이거나, 제2 보안 알고리즘에 기초하여 상기 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 것이거나, 제1 보안 알고리즘에 기초하여 상기 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하고 상기 제2 보안 알고리즘에 기초하여 상기 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 것이다.
제1 측면의 제2 가능한 구현예를 참조하여, 제1 측면의 제3 가능한 구현예에서, 상기 보안 정책은 추가로, 상기 제1 보안 알고리즘, 상기 제2 보안 알고리즘, 키 길이 및 키 갱신 시간 중 적어도 하나를 지시하는 데 사용된다.
제1 측면의 제3 가능한 구현예를 참조하여, 제1 측면의 제4 가능한 구현예에서, 상기 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함하며, 상기 제1 키 길이는 상기 제1 키의 길이를 나타내는 데 사용되며, 상기 제2 키 길이는 상기 제2 키의 길이를 나타내는 데 사용된다.
제1 측면의 제3 가능한 구현예를 참조하여, 제1 측면의 제5 가능한 구현예에서, 상기 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함하며, 상기 제1 키 갱신 시간은 상기 제1 키의 갱신 시간을 나타내는 데 사용되고, 상기 제2 키 갱신 시간은 상기 제2 키의 갱신 시간을 나타내는 데 사용된다.
제1 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제1 측면의 제6 가능한 구현예에서, 상기 제1 보안은 기밀성(confidentiality)이고, 상기 제2 보안은 무결성(integrity)이다.
제1 측면의 제6 가능한 구현예를 참조하여, 제1 측면의 제7 가능한 구현예에서, 상기 보호된 데이터는 파라미터 필드를 더 포함하며, 상기 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함하고, 상기 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용되고, 상기 제2 식별자 필드는 서비스 식별자, 세션 식별자, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용되고, 상기 제3 식별자는 상기 세션의 보호 모드를 지시하는 데 사용된다.
제1 측면의 제7 가능한 구현예를 참조하여, 제1 측면의 제8 가능한 구현예에서, 상기 파라미터 필드는 길이 필드, 패킷 필드 및 MAC 필드 중 적어도 하나를 더 포함하며, 상기 길이 필드는 상기 파라미터 필드의 길이를 지시하는 데 사용되고, 상기 패킷 필드는 상기 패킷이 암호화되는 경우에 패킷의 길이를 지시하는 데 사용되고, 상기 MAC 필드는 세션의 무결성이 보호됨을 지시하는 데 사용된다.
제1 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제1 측면의 제9 가능한 구현예에서, 상기 제2 기기가 상기 액세스 네트워크 노드일 때, 상기 제1 기기가 상기 보안 정책을 획득하는 것은 구체적으로, 상기 제1 기기가 상기 보안 정책을 정책 제어기로부터 획득하는 것이다.
제1 측면의 제9 가능한 구현예를 참조하여, 제1 측면의 제10 가능한 구현예에서, 상기 제1 기기가 상기 보안 정책을 정책 제어기로부터 획득하는 것은 구체적으로, 상기 제1 기기가 상기 액세스 네트워크 노드에 제1 요청을 전송하는 것 - 상기 제1 요청은 상기 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 및 상기 제1 기기가 상기 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하는 것 - 상기 보안 정책은 상기 액세스 네트워크 노드에 의해 제2 요청을 상기 정책 제어기에 전송함으로써 획득되고, 상기 제2 요청은 상기 액세스 네트워크 노드에 의해 상기 제1 요청에 기초하여 생성되고 상기 제1 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 액세스 네트워크 노드의 보안 요건을 포함함 - 이다.
제1 측면의 제79가능한 구현예를 참조하여, 제1 측면의 제11 가능한 구현예에서, 상기 제1 기기가 상기 보안 정책을 정책 제어기로부터 획득하는 것은 구체적으로, 상기 제1 기기가 상기 액세스 네트워크 노드에 제1 요청을 전송하는 것 - 상기 제1 요청은 상기 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 및 상기 제1 기기가 상기 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하는 것 - 상기 보안 정책은 상기 액세스 네트워크 노드에 의해 하나 이상의 네트워크 요소를 통해 상기 정책 제어기에 제2 요청을 포워딩함으로써 획득되며, 상기 제2 요청은 상기 제1 요청에 기초하여 상기 액세스 네트워크 노드에 의해 생성되고 상기 제1 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 액세스 네트워크 노드의 보안 요건을 포함함 - 이다.
제1 측면의 제11 가능한 구현예를 참조하여, 제1 측면의 제12 가능한 구현예에서, 상기 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소를 포함하거나; 또는 상기 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소나 이동성 관리 엔티티를 포함한다.
제1 측면의 제9 가능한 구현예를 참조하여, 제1 측면의 제13 가능한 구현예에서, 상기 제1 기기가 상기 보안 정책을 정책 제어기로부터 획득하는 것은 구체적으로, 상기 제1 기기가 상기 액세스 네트워크 노드에 제1 요청을 전송하는 것 - 상기 제1 요청은 상기 제1 기기의 보안 능력, 및 서비스 보안 요건을 포함함 -; 및
상기 제1 기기가 상기 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하는 것 - 상기 보안 정책은 상기 액세스 네트워크 노드에 의해 코어 네트워크 보안 정책, 및 상기 액세스 네트워크 노드의 보안 능력에 기초하여 생성되고, 상기 코어 네트워크 보안 정책은 상기 정책 제어기에 의해 상기 액세스 네트워크 노드에 의해 포워딩되는 제1 요청에 기초하여 생성됨 - 이다.
제1 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제1 측면의 제14 가능한 구현예에서, 상기 제2 기기가 상기 액세스 네트워크 노드일 때, 상기 제1 기기가 하나 이상의 키를 획득하는 것은 구체적으로, 상기 제1 기기가 상기 액세스 네트워크 노드를 통해 제3 요청을 인증 노드에 전송하는 것; 상기 제1 기기가 상기 제3 요청에 기초하여 기본 키를 획득하는 것 - 상기 기본 키는 상기 제1 기기 및 상기 인증 노드가 서로 인증한 후에 생성됨 -; 및 상기 제1 기기가 상기 기본 키에 기초하여 상기 하나 이상의 키를 도출하는 것을 포함한다.
제1 측면의 제14 가능한 구현예를 참조하여, 제1 측면의 제15 가능한 구현예에서, 상기 제1 기기가 상기 기본 키에 기초하여 상기 하나 이상의 키를 도출하는 것은 구체적으로, 상기 제1 기기가 상기 기본 키에 기초하여 중간 키를 도출하는 것; 및 상기 제1 기기가 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 것이다.
제1 측면의 제15 가능한 구현예를 참조하여, 제1 측면의 제16 가능한 구현예에서, 상기 제1 기기가 상기 기본 키에 기초하여 중간 키를 도출하는 것은 구체적으로, 상기 제1 기기가 제1 파라미터 및 상기 기본 키에 기초하여 중간 키를 도출하는 것 - 상기 제1 파라미터는 상기 액세스 네트워크 노드의 식별자, NAS 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스(nonce) 1, 상기 베어러 식별자, 상기 흐름 식별자 및 상기 슬라이스 식별자 중 적어도 하나를 포함함 - 이다.
제1 측면의 제16 가능한 구현예를 참조하여, 제1 측면의 제17 가능한 구현예에서, 상기 제1 기기가 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 것은 구체적으로, 상기 제1 기기가 상기 제2 파라미터 및 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 것 - 상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나를 포함함 - 이다.
제1 측면의 제14 가능한 구현예를 참조하여, 제1 측면의 제18 가능한 구현예에서, 상기 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
제1 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제1 측면의 제19 가능한 구현예에서, 상기 보호된 데이터는 헤더 데이터, 또는 페이로드 데이터, 또는 패킷이며, 상기 패킷이 상기 헤더 데이터 및 상기 페이로드 데이터를 포함한다.
제2 측면에 따르면, 보안 구현 방법이 제공되며, 상기 보안 구현 방법은, 제2 기기가 세션의 세션 식별자를 결정하는 단계; 상기 제2 기기가 상기 세션의 보안 정책 및 하나 이상의 키를 획득하는 단계; 및 상기 제2 기기가 상기 세션 식별자에 기초하여, 제1 기기에 의해 전송되는, 상기 세션의 보호된 데이터를 식별하고, 상기 세션의 세션 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 보호된 데이터를 복원하여 세션 데이터를 획득하는 단계 - 상기 보호된 데이터는 상기 제1 기기에 의해 상기 세션의 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 상기 제1 기기는 상기 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 세션 데이터를 암호화하여 상기 보호된 데이터를 획득하도록 구성됨 -를 포함하고, 상기 제1 기기가 단말 기기일 때, 상기 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 상기 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 상기 제2 기기는 단말 기기이다.
제2 측면을 참조하여, 제2 측면의 제1 가능한 구현예에서, 상기 하나 이상의 키는 제1 키 및 제2 키를 포함하며, 상기 제1 키는 상기 세션의 제1 보안을 보호하는 데 사용되고, 상기 제2 키는 상기 세션의 제2 보안을 보호하는 데 사용된다.
제2 측면의 제1 가능한 구현예를 참조하여, 제2 측면의 제2 가능한 구현예에서, 상기 보안 정책은 상기 세션 데이터의 보호 모드를 지시하는 데 사용되며, 상기 보호 모드는 제1 보안 알고리즘에 기초하여 상기 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하는 것이거나, 제2 보안 알고리즘에 기초하여 상기 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 것이거나, 제1 보안 알고리즘에 기초하여 상기 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하고 상기 제2 보안 알고리즘에 기초하여 상기 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 것이다.
제2 측면의 제2 가능한 구현예를 참조하여, 제2 측면의 제3 가능한 구현예에서, 상기 보안 정책은 추가로, 상기 제1 보안 알고리즘, 상기 제2 보안 알고리즘, 키 길이 및 키 갱신 시간 중 적어도 하나를 지시하는 데 사용된다.
제2 측면의 제3 가능한 구현예를 참조하여, 제2 측면의 제4 가능한 구현예에서, 상기 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함하며, 상기 제1 키 길이는 상기 제1 키의 길이를 나타내는 데 사용되며, 상기 제2 키 길이는 상기 제2 키의 길이를 나타내는 데 사용된다.
제2 측면의 제3 가능한 구현예를 참조하여, 제2 측면의 제6 가능한 구현예에서, 상기 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함하며, 상기 제1 키 갱신 시간은 상기 제1 키의 갱신 시간을 나타내는 데 사용되고, 상기 제2 키 갱신 시간은 상기 제2 키의 갱신 시간을 나타내는 데 사용된다.
제2 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제2 측면의 제6 가능한 구현예에서, 상기 제2 기기가 상기 사용자 평면 노드일 때, 상기 제2 기기가 세션의 세션 식별자를 결정하는 단계는 구체적으로, 상기 제2 기기가, 상기 보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 상기 세션의 세션 식별자를 결정하는 단계; 또는 상기 제2 기기가, 상기 보호된 데이터가 위치하는 캡슐화 헤더의 터널 식별자에 기초하여 상기 세션의 세션 식별자를 결정하는 단계; 또는 상기 제2 기기가, 상기 보호된 데이터가 위치하는 외부 IP 패킷 헤더에 기초하여 상기 세션의 세션 식별자를 결정하는 단계; 또는 싱기 제2 기기가, 상기 보호된 데이터가 위치하는 캡슐화 헤더 및 상기 보호된 데이터가 위치하는 외부 IP 패킷 헤더에 기초하여 상기 세션의 세션 식별자를 결정하는 단계; 또는 상기 제2 기기가, 상기 보호된 데이터가 위치하는 프로토콜 데이터 유닛 헤더 및 상기 보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 상기 세션의 세션 식별자를 결정하는 단계; 또는 상기 제2 기기가 상기 보호된 데이터 내의 파라미터 필드에 기초하여 상기 세션의 세션 식별자를 결정하는 단계이다.
제2 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제2의 제7 가능한 구현예에서, 상기 제2 기기가 상기 액세스 네트워크 노드일 때, 상기 제2 기기가 세션의 세션 식별자를 결정하는 단계는 구체적으로, 상기 제2 기기가 상기 세션에 의해 점유되는 무선 인터페이스 자원에 기초하여 상기 세션의 세션 식별자를 결정하는 단계; 또는 상기 제2 기기가 상기 세션에 의해 점유되는 무선 인터페이스의 무선 인터페이스 식별자에 기초하여 상기 세션의 세션 식별자를 결정하는 단계; 또는 상기 제2 기기가 상기 세션에 의해 점유되는 데이터 무선 베어러의 식별자에 기초하여 상기 세션의 세션 식별자를 결정하는 단계; 또는 상기 제2 기기가 상기 보호된 데이터 내의 파라미터 필드에 기초하여 상기 세션의 세션 식별자를 결정하는 단계이다.
제2 측면의 제6 또는 제7 가능한 구현예를 참조하여, 제2 측면의 제8 가능한 구현예에서, 상기 제1 보안은 기밀성이고, 상기 제2 보안은 무결성이다.
제2 측면의 제8 가능한 구현예를 참조하여, 제2 측면의 제9 가능한 구현예에서, 상기 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함하고, 상기 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용되고, 상기 제2 식별자 필드는 서비스 식별자, 상기 세션 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용되고, 상기 제3 식별자는 상기 세션의 보호 모드를 지시하는 데 사용된다.
제2 측면의 제9 가능한 구현예를 참조하여, 제2 측면의 제10 가능한 구현예에서, 상기 파라미터 필드는 길이 필드, 패킷 필드 및 MAC 필드 중 적어도 하나를 더 포함하며, 상기 길이 필드는 상기 파라미터 필드의 길이를 지시하는 데 사용되고, 상기 패킷 필드는 상기 패킷이 암호화되는 경우에 패킷의 길이를 지시하는 데 사용되고, 상기 MAC 필드는 세션의 무결성이 보호됨을 지시하는 데 사용된다.
제2 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제2 측면의 제11 가능한 구현예에서, 상기 제2 기기가 상기 액세스 네트워크 노드일 때, 상기 제2 기기가 상기 보안 정책을 획득하는 것은 구체적으로, 상기 제2 기기가 상기 보안 정책을 제1 네트워크 요소로부터 획득하는 것 - 상기 제1 네트워크 요소는 인증 제어기, 키 관리 제어기, 정책 제어기 및 키 제어기 중 어느 하나임 - 이다,
제2 측면의 제11 가능한 구현예를 참조하여, 제2 측면의 제12 가능한 구현예에서, 상기 제1 네트워크 요소는 상기 정책 제어기일 때, 상기 제2 기기가 상기 보안 정책을 정책 제어기로부터 획득하는 것은 구체적으로, 상기 제2 기기가 상기 제1 기기에 의해 전송되는 제1 요청을 수신하는 것 - 상기 제1 요청은 상기 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 상기 제2 기기가 상기 정책 제어기에 제2 요청을 전송하는 것 - 상기 제2 요청은 상기 제1 요청에 기초하여 생성되고 상기 제1 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 액세스 네트워크 노드의 보안 요건을 포함함 -, 및 상기 제2 기기가 상기 정책 제어기에 의해 회신되는 보안 정책을 수신하는 것 - 상기 보안 정책은 상기 정책 제어기에 의해 상기 제2 요청에 기초하여 생성됨 - 이다.
제2 측면의 제11 가능한 구현예를 참조하여, 제2 측면의 제13 가능한 구현예에서, 상기 제1 네트워크 요소가 상기 정책 제어기일 때, 상기 제2 기기가 상기 보안 정책을 정책 제어기로부터 획득하는 것은 구체적으로, 상기 제2 기기가 상기 제1 기기에 의해 전송되는 제1 요청을 수신하는 것 - 상기 제1 요청은 상기 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 상기 제2 기기가 하나 이상의 네트워크 요소를 통해 상기 정책 제어기에 제2 요청을 전송하는 것 - 상기 제2 요청은 상기 제1 요청에 기초하여 상기 액세스 네트워크 노드에 의해 생성되고 상기 제1 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 액세스 네트워크 노드의 보안 요건을 포함함 -; 및 상기 제2 기기가 상기 정책 제어기에 의해 상기 하나 이상의 네트워크 요소를 통해 회신되는 보안 정책을 수신하는 것 - 상기 보안 정책은 상기 정책 제어기에 의해 상기 제2 요청에 기초하여 생성됨 - 이다.
제2 측면의 제13 가능한 구현예를 참조하여, 제2 측면의 제14 가능한 구현예에서, 상기 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소를 포함하거나; 또는 상기 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소나 이동성 관리 엔티티를 포함한다.
제2 측면의 제11 가능한 구현예를 참조하여, 제2 측면의 제15 가능한 구현예에서, 상기 제2 기기가 상기 보안 정책을 정책 제어기로부터 획득하는 것은 구체적으로, 상기 제2 기기가 상기 제1 기기에 의해 전송되는 제1 요청을 수신하는 것 - 상기 제1 요청은 상기 제1 기기의 보안 능력, 및 서비스 보안 요건을 포함함 -; 상기 제2 기기가 상기 제1 요청을 상기 정책 제어기에 포워딩하는 것; 및 상기 제2 기기가 상기 정책 제어기에 의해 회신되는 코어 네트워크 보안 정책을 수신하고, 상기 코어 네트워크 보안 정책 및 상기 액세스 네트워크 노드의 보안 능력에 기초하여 상기 보안 정책을 생성하는 것이다.
제2 측면의 제8 내지 제15 가능한 구현예 중 어느 하나를 참조하여, 제2 측면의 제16 가능한 구현예에서, 상기 제2 기기가 상기 액세스 네트워크 노드일 때, 상기 제2 기기가 하나 이상의 키를 획득하는 것은 구체적으로, 상기 제2 기기가 제3 요청을 키 관리 센터에 전송하는 것; 상기 제2 기기가 상기 키 관리 센터에 의해 상기 제3 요청에 기초하여 회신되는 중간 키를 수신하는 것 - 상기 중간 키는 기본 키에 기초하여 도출되고, 상기 기본키는 인증 노드에 의해 상기 키 관리 센터에 전송됨 -; 및 상기 제2 기기가 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 것을 포함한다.
제2 측면의 제16 가능한 구현예를 참조하여, 제2 측면의 제17 가능한 구현예에서, 상기 중간 키는 제1 파라미터에 기초하여 도출되고, 상기 제1 파라미터는 상기 액세스 네트워크 노드의 식별자, NAS 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 상기 베어러 식별자, 흐름 식별자 및 상기 슬라이스 식별자 중 적어도 하나를 포함한다.
제2 측면의 제17 가능한 구현예를 참조하여, 제2 측면의 제18 가능한 구현예에서, 상기 제2 기기가 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 것은 구체적으로, 상기 제2 기기가 상기 제2 파라미터 및 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 것 - 상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나임 -이다.
제2 측면의 제16 가능한 구현예를 참조하여, 제2 측면의 제19 가능한 구현예에서, 상기 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
제2 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제2 측면의 제20 가능한 구현예에서, 상기 제2 기기가 상기 사용자 평면 노드일 때, 상기 제2 기기가 하나 이상의 키를 획득하는 것은 구체적으로, 상기 제2 기기가 상기 제1 네트워크 요소로부터 상기 하나 이상의 키를 요청하는 것 - 상기 제1 네트워크 요소는 상기 인증 제어기, 상기 키 관리 제어기, 상기 정책 제어기, 및 상기 키 제어기 중 어느 하나임 -이다.
제2 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제2 측면의 제21 가능한 구현예에서, 상기 보호된 데이터는 헤더 데이터, 또는 페이로드 데이터, 또는 패킷이며, 상기 패킷이 상기 헤더 데이터 및 상기 페이로드 데이터를 포함한다.
제3 측면에 따르면, 보안 정책 생성 방법이 제공되며, 상기 보안 정책 생성 방법은, 정책 제어기가 타깃 네트워크 요소에 의해 전송되는 정책 요청을 수신하는 단계 - 상기 정책 요청은 단말 기기의 보안 능력 및 서비스 보안 요건 그리고 액세스 네트워크 노드의 보안 요건 중 적어도 하나를 포함함 -; 상기 정책 제어기가 타깃 파라미터에 기초하여 보안 정책을 생성하는 단계 -상기 타깃 파라미터는 상기 제1 요청에 기초하여 생성되고 상기 단말 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 상기 액세스 네트워크 노드의 보안 요건 중 적어도 하나를 포함함 -; 및 상기 정책 제어기가 상기 보안 정책을 상기 액세스 네트워크 노드에 전송하는 단계를 포함한다.
제3 측면을 참조하여, 제3 측면의 제1 가능한 구현예에서, 상기 타깃 파라미터는 상기 단말 기기의 미리 설정된 보안 능력을 더 포함하며, 상기 단말 기기의 미리 설정된 보안 능력은 인증 서비스 제어기(authentication service controller, AUSF)로부터 획득된다.
제3 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제3 측면의 제2 가능한 구현예에서. 상기 타깃 파라미터는 서버의 보안 요건을 더 포함하며, 상기 서버의 보안 요건은 상기 서버로부터 획득된다.
제3 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제3 측면의 제3 가능한 구현예에서. 상기 타깃 네트워크 요소는 상기 액세스 네트워크 노드 또는 세션 관리 네트워크 요소이다.
제4 측면에 따르면, 키 생성 방법이 제공되며, 상기 키 생성 방법은, 상기 제1 기기가 액세스 네트워크 노드를 통해 인증 노드에 제3 요청을 전송하는 단계; 상기 제1 기기가 상기 제3 요청에 기초하여 기본 키를 획득하는 단계 - 상기 기본 키는, 상기 제1 기기와 상기 인증 노드가 서로 인증한 후에 생성됨 -; 및 상기 제1 기기가 상기 기본 키에 기초하여 상기 하나 이상의 키를 도출하는 단계를 포함한다.
제4 측면을 참조하여, 제4 측면의 제1 가능한 구현예에서, 상기 단말 기기가 상기 기본 키에 기초하여 상기 하나 이상의 키를 도출하는 단계는 구체적으로, 상기 단말 기기가 상기 기본 키에 기초하여 중간 키를 도출하는 단계; 및 상기 단말 기기가 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 단계를 포함한다.
제4 측면의 제1 가능한 구현예를 참조하여, 제4 측면의 제2 가능한 구현예에서, 상기 제1 기기가 상기 기본 키에 기초하여 중간 키를 도출하는 단계는 구체적으로, 상기 단말 기기가 제1 파라미터에 기초하여 상기 중간 키를 도출하는 단계 - 상기 제1 파라미터는 상기 액세스 네트워크 노드의 식별자, NAS 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 포함함 -이다.
제4 측면의 제1 가능한 구현예를 참조하여, 제4 측면의 제3 가능한 구현예에서, 상기 단말 기기가 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 단계는 구체적으로, 상기 단말 기기가 상기 제2 파라미터 및 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하는 단계 - 상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나를 포함함 - 이다,
제4 측면의 전술한 가능한 구현예를 참조하여, 제4 측면의 제4 가능한 구현예에서, 상기 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
제5 측면에 따르면, 제1 기기가 제공되고 제1 기기는 획득 모듈 및 전송 모듈을 포함하며, 상기 획득 모듈은 세션의 보안 정책 및 하나 이상의 키를 획득하도록 구성되고; 상기 전송 모듈은 보호된 데이터를 제2 기기에 전송하도록 구성되며 - 상기 보호된 데이터는 상기 세션의 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 상기 제2 기기는 상기 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 보호된 데이터를 복원하여 상기 세션 데이터를 획득하도록 구성됨 -; 상기 제1 기기가 단말 기기일 때, 상기 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 상기 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 상기 제2 기기는 단말 기기이다,
제5 측면을 참조하여, 제5 측면의 제1 가능한 구현예에서, 상기 하나 이상의 키는 제1 키 및 제2 키를 포함하며, 상기 제1 키는 상기 세션의 제1 보안을 보호하는 데 사용되고, 상기 제2 키는 상기 세션의 제2 보안을 보호하는 데 사용된다.
제5 측면의 제1 가능한 구현예를 참조하여, 제5 측면의 제2 가능한 구현예에서, 상기 보안 정책은 상기 세션 데이터의 보호 모드를 지시하는 데 사용되며, 상기 보호 모드는 제1 보안 알고리즘에 기초하여 상기 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하는 것이거나, 제2 보안 알고리즘에 기초하여 상기 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 것이거나, 제1 보안 알고리즘에 기초하여 상기 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하고 상기 제2 보안 알고리즘에 기초하여 상기 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 것이다.
제5 측면의 제2 가능한 구현예를 참조하여, 제5 측면의 제3 가능한 구현예에서, 상기 보안 정책은 추가로, 상기 제1 보안 알고리즘, 상기 제2 보안 알고리즘, 키 길이 및 키 갱신 시간 중 적어도 하나를 지시하는 데 사용된다.
제5 측면의 제3 가능한 구현예를 참조하여, 제5 측면의 제4 가능한 구현예에서, 상기 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함하며, 상기 제1 키 길이는 상기 제1 키의 길이를 나타내는 데 사용되며, 상기 제2 키 길이는 상기 제2 키의 길이를 나타내는 데 사용된다.
제5 측면의 제3 가능한 구현예를 참조하여, 제5 측면의 제5 가능한 구현예에서, 상기 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함하며, 상기 제1 키 갱신 시간은 상기 제1 키의 갱신 시간을 나타내는 데 사용되고, 상기 제2 키 갱신 시간은 상기 제2 키의 갱신 시간을 나타내는 데 사용된다.
제5 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제5 측면의 제6 가능한 실시예에서, 상기 제1 보안은 기밀성이고, 상기 제2 보안은 무결성이다.
제5 측면의 제6 가능한 구현예를 참조하여, 제5 측면의 제7 가능한 실시예에서, 상기 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함하고, 상기 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용되고, 상기 제2 식별자 필드는 서비스 식별자, 세션 식별자, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용되고, 상기 제3 식별자는 상기 세션의 보호 모드를 지시하는 데 사용된다.
제5 측면의 제7 가능한 구현예를 참조하여, 제5 측면의 제8 가능한 실시예에서, 상기 파라미터 필드는 길이 필드, 패킷 필드 및 MAC 필드 중 적어도 하나를 더 포함하며, 상기 길이 필드는 상기 파라미터 필드의 길이를 지시하는 데 사용되고, 상기 패킷 필드는 상기 패킷이 암호화되는 경우에 패킷의 길이를 지시하는 데 사용되고, 상기 MAC 필드는 세션의 무결성이 보호됨을 지시하는 데 사용된다.
제5 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제5 측면의 제9 가능한 실시예에서, 상기 획득 모듈은 구체적으로 상기 보안 정책을 정책 제어기로부터 획득하도록 구성된다.
제5 측면의 제9 가능한 구현예를 참조하여, 제5 측면의 제7 가능한 실시예의 제10 가능한 구현예에서, 상기 획득 모듈은 전송 유닛 및 수신 유닛을 포함하고, 상기 전송 유닛은 상기 액세스 네트워크 노드에 제1 요청을 전송하도록 구성되고 - 상기 제1 요청은 상기 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 상기 수신 유닛은 상기 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하도록 구성되며, 상기 보안 정책은 상기 액세스 네트워크 노드에 의해 제2 요청을 상기 정책 제어기에 전송함으로써 획득되고, 상기 제2 요청은 상기 액세스 네트워크 노드에 의해 상기 제1 요청에 기초하여 생성되고 상기 제1 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 액세스 네트워크 노드의 보안 요건을 포함한다.
제5 측면의 제9 가능한 구현예를 참조하여, 제5 측면의 제11 가능한 실시예에서, 상기 획득 모듈은 전송 유닛 및 수신 유닛을 포함하고, 상기 전송 유닛은 상기 액세스 네트워크 노드에 제1 요청을 전송하도록 구성되고 - 상기 제1 요청은 상기 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 상기 수신 유닛은 상기 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하도록 구성되며, 상기 보안 정책은 상기 액세스 네트워크 노드에 의해 하나 이상의 네트워크 요소를 통해 상기 정책 제어기에 제2 요청을 포워딩함으로써 획득되며, 상기 제2 요청은 상기 제1 요청에 기초하여 상기 액세스 네트워크 노드에 의해 생성되고 상기 제1 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 액세스 네트워크 노드의 보안 요건을 포함한다.
제5 측면의 제11 가능한 구현예를 참조하여, 제5 측면의 제12 가능한 실시예에서, 상기 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소를 포함하거나; 또는 상기 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소나 이동성 관리 엔티티를 포함한다.
제5 측면의 제9 가능한 구현예를 참조하여, 제5 측면의 제13 가능한 실시예에서, 상기 획득 모듈은 전송 유닛 및 수신 유닛을 포함하고, 상기 전송 유닛은 상기 액세스 네트워크 노드에 제1 요청을 전송하도록 구성되고 - 상기 제1 요청은 상기 제1 기기의 보안 능력, 및 서비스 보안 요건을 포함함 -; 상기 수신 유닛은 상기 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하도록 구성되며, 상기 보안 정책은 상기 액세스 네트워크 노드에 의해 코어 네트워크 보안 정책, 및 상기 액세스 네트워크 노드의 보안 능력에 기초하여 생성되고, 상기 코어 네트워크 보안 정책은 상기 정책 제어기에 의해 상기 액세스 네트워크 노드에 의해 포워딩되는 제1 요청에 기초하여 생성된다.
제5 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제5 측면의 제14 가능한 실시예에서, 상기 제2 기기가 상기 액세스 네트워크 노드일 때, 상기 획득 모듈은 전송 유닛, 획득 유닛 및 도출 유닛을 포함하고, 상기 전송 유닛은 상기 액세스 네트워크 노드를 통해 제3 요청을 인증 노드에 전송하도록 구성되고; 상기 획득 유닛은 상기 제3 요청에 기초하여 기본 키를 획득하도록 구성되고 - 상기 기본 키는 상기 제1 기기 및 상기 인증 노드가 서로 인증한 후에 생성됨 -; 상기 도출 유닛은 상기 기본 키에 기초하여 상기 하나 이상의 키를 도출하도록 구성된다.
제5 측면의 제14 가능한 구현예를 참조하여, 제5 측면의 제15 가능한 실시예에서, 상기 도출 유닛은 상기 기본 키에 기초하여 중간 키를 도출하고, 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하도록 구성된다.
제5 측면의 제15 가능한 구현예를 참조하여, 제5 측면의 제16 가능한 실시예에서, 상기 도출 유닛은 제1 파라미터 및 상기 기본 키에 기초하여 상기 중간 키를 도출하도록 구성되며, 상기 제1 파라미터는 상기 액세스 네트워크 노드의 식별자, NAS 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스(nonce) 1, 상기 베어러 식별자, 상기 흐름 식별자 및 상기 슬라이스 식별자 중 적어도 하나를 포함한다.
제5 측면의 제15 가능한 구현예를 참조하여, 제5 측면의 제17 가능한 실시예에서, 상기 도출 유닛은 상기 제2 파라미터 및 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하도록 구성되며, 상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나를 포함한다.
제5 측면의 제14 가능한 구현예를 참조하여, 제5 측면의 제18 가능한 실시예에서, 상기 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
제5 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제5 측면의 제19 가능한 실시예에서, 상기 보호된 데이터는 헤더 데이터, 또는 페이로드 데이터, 또는 패킷이며, 상기 패킷이 상기 헤더 데이터 및 상기 페이로드 데이터를 포함한다.
제6 측면에 따르면, 결정 모듈, 획득 모듈 및 식별 모듈을 포함하는 제2 기기가 제공되며, 상기 결정 모듈은 세션의 세션 식별자를 결정하도록 구성되고; 상기 획득 모듈은 상기 세션의 보안 정책 및 하나 이상의 키를 획득하도록 구성되고; 상기 식별 모듈은 상기 세션 식별자에 기초하여, 제1 기기에 의해 전송되는, 상기 세션의 보호된 데이터를 식별하고, 상기 세션의 세션 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 보호된 데이터를 복원하여 세션 데이터를 획득하도록 구성되며, 상기 보호된 데이터는 상기 제1 기기에 의해 상기 세션의 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 상기 제1 기기는 상기 보안 정책에 기초하여 상기 하나 이상의 키를 사용하여 상기 세션 데이터를 암호화하여 상기 보호된 데이터를 획득하도록 구성되고; 상기 제1 기기가 단말 기기일 때, 상기 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 상기 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 상기 제2 기기는 단말 기기이다.
제6 측면을 참조하여, 제6 측면의 제1 가능한 구현예에서, 상기 하나 이상의 키는 제1 키 및 제2 키를 포함하며, 상기 제1 키는 상기 세션의 제1 보안을 보호하는 데 사용되고, 상기 제2 키는 상기 세션의 제2 보안을 보호하는 데 사용된다.
제6 측면의 제1 가능한 구현예를 참조하여, 제6 측면의 제2 가능한 실시예에서, 상기 보안 정책은 상기 세션 데이터의 보호 모드를 지시하는 데 사용되며, 상기 보호 모드는 제1 보안 알고리즘에 기초하여 상기 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하는 것이거나, 제2 보안 알고리즘에 기초하여 상기 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 것이거나, 제1 보안 알고리즘에 기초하여 상기 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하고 상기 제2 보안 알고리즘에 기초하여 상기 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 것이다.
제6 측면의 제2 가능한 구현예를 참조하여, 제6 측면의 제3 가능한 실시예에서, 상기 보안 정책은 추가로, 상기 제1 보안 알고리즘, 상기 제2 보안 알고리즘, 키 길이 및 키 갱신 시간 중 적어도 하나를 지시하는 데 사용된다.
제6 측면의 제3 가능한 구현예를 참조하여, 제6 측면의 제4 가능한 실시예에서, 상기 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함하며, 상기 제1 키 길이는 상기 제1 키의 길이를 나타내는 데 사용되고, 상기 제2 키 길이는 상기 제2 키의 길이를 나타내는 데 사용된다.
제6 측면의 제4 가능한 구현예를 참조하여, 제6 측면의 제5 가능한 실시예에서, 상기 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함하며, 상기 제1 키 갱신 시간은 상기 제1 키의 갱신 시간을 나타내는 데 사용되고, 상기 제2 키 갱신 시간은 상기 제2 키의 갱신 시간을 나타내는 데 사용된다.
제6 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제6 측면의 제6 가능한 실시예에서, 상기 제2 기기가 상기 사용자 평면 노드일 때, 상기 결정 모듈은 구체적으로, 상기 보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 상기 세션의 세션 식별자를 결정하거나; 또는 상기 보호된 데이터가 위치하는 캡슐화 헤더의 터널 식별자에 기초하여 상기 세션의 세션 식별자를 결정하거나; 또는 상기 보호된 데이터가 위치하는 외부 IP 패킷 헤더에 기초하여 상기 세션의 세션 식별자를 결정하거나; 또는 상기 보호된 데이터가 위치하는 캡슐화 헤더 및 상기 보호된 데이터가 위치하는 외부 IP 패킷 헤더에 기초하여 상기 세션의 세션 식별자를 결정하거나; 또는 상기 보호된 데이터가 위치하는 프로토콜 데이터 유닛 헤더 및 상기 보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 상기 세션의 세션 식별자를 결정하거나; 또는 상기 보호된 데이터 내의 파라미터 필드에 기초하여 상기 세션의 세션 식별자를 결정하도록 구성된다.
제6 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제6 측면의 제7 가능한 실시예에서, 상기 제2 기기가 상기 액세스 네트워크 노드일 때, 상기 결정 모듈은 구체적으로, 상기 세션에 의해 점유되는 무선 인터페이스 자원에 기초하여 상기 세션의 세션 식별자를 결정하거나; 또는 상기 제2 기기가 상기 세션에 의해 점유되는 무선 인터페이스의 무선 인터페이스 식별자에 기초하여 상기 세션의 세션 식별자를 결정하거나; 또는 상기 제2 기기가 상기 세션에 의해 점유되는 데이터 무선 베어러의 식별자에 기초하여 상기 세션의 세션 식별자를 결정하거나; 또는 상기 제2 기기가 상기 보호된 데이터 내의 파라미터 필드에 기초하여 상기 세션의 세션 식별자를 결정하도록 구성된다.
제6 측면의 제6 또는 제7 가능한 구현예를 참조하여, 제6 측면의 제8 가능한 실시예에서, 상기 제1 보안은 기밀성이고, 상기 제2 보안은 무결성이다.
제6 측면의 제8 가능한 구현예를 참조하여, 제6 측면의 제9 가능한 실시예에서, 상기 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함하고, 상기 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용되고, 상기 제2 식별자 필드는 서비스 식별자, 상기 세션 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용되고, 상기 제3 식별자는 상기 세션의 보호 모드를 지시하는 데 사용된다.
제6 측면의 제9 가능한 구현예를 참조하여, 제6 측면의 제10 가능한 실시예에서, 상기 파라미터 필드는 길이 필드, 패킷 필드 및 MAC 필드 중 적어도 하나를 더 포함하며, 상기 길이 필드는 상기 파라미터 필드의 길이를 지시하는 데 사용되고, 상기 패킷 필드는 상기 패킷이 암호화되는 경우에 패킷의 길이를 지시하는 데 사용되고, 상기 MAC 필드는 세션의 무결성이 보호됨을 지시하는 데 사용된다.
제6 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제6 측면의 제11 가능한 실시예에서, 상기 제2 기기가 상기 액세스 네트워크 노드일 때, 상기 획득 모듈은 상기 보안 정책을 제1 네트워크 요소로부터 획득하도록 구성되며, 상기 제1 네트워크 요소는 인증 제어기, 키 관리 제어기, 정책 제어기 및 키 제어기 중 어느 하나이다.
제6 측면의 제11 가능한 구현예를 참조하여, 제6 측면의 제12 가능한 실시예에서, 상기 제1 네트워크 요소는 상기 정책 제어기일 때, 상기 획득 모듈은 수신 유닛 및 전송 유닛을 포함하며,상기 수신 유닛은 상기 제1 기기에 의해 전송되는 제1 요청을 수신하도록 구성되고 - 상기 제1 요청은 상기 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 상기 전송 유닛은 상기 정책 제어기에 제2 요청을 전송하도록 구성되고 - 상기 제2 요청은 상기 제1 요청에 기초하여 생성되고 상기 제1 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 액세스 네트워크 노드의 보안 요건을 포함함 -; 상기 수신 유닛은 상기 정책 제어기에 의해 회신되는 보안 정책을 수신하도록 구성되며, 상기 보안 정책은 상기 정책 제어기에 의해 상기 제2 요청에 기초하여 생성된다.
제6 측면의 제11 가능한 구현예를 참조하여, 제6 측면의 제13 가능한 실시예에서, 상기 제1 네트워크 요소가 상기 정책 제어기일 때, 상기 획득 모듈은 수신 유닛 및 전송 유닛을 포함하고, 상기 수신 유닛은 상기 제1 기기에 의해 전송되는 제1 요청을 수신하도록 구성되고 - 상기 제1 요청은 상기 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 상기 전송 유닛은 하나 이상의 네트워크 요소를 통해 상기 정책 제어기에 제2 요청을 전송하도록 구성되고 - 상기 제2 요청은 상기 제1 요청에 기초하여 상기 액세스 네트워크 노드에 의해 생성되고 상기 제1 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 액세스 네트워크 노드의 보안 요건을 포함함 -; 상기 수신 유닛은 상기 정책 제어기에 의해 상기 하나 이상의 네트워크 요소를 통해 회신되는 보안 정책을 수신하도록 구성되며, 상기 보안 정책은 상기 정책 제어기에 의해 상기 제2 요청에 기초하여 생성된다.
제6 측면의 제13 가능한 구현예를 참조하여, 제6 측면의 제14 가능한 실시예에서, 상기 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소를 포함하거나; 또는 상기 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소나 이동성 관리 엔티티를 포함한다.
제6 측면의 제11 가능한 구현예를 참조하여, 제6 측면의 제15 가능한 실시예에서, 상기 획득 모듈은 수신 유닛 및 전송 유닛을 포함하고, 상기 수신 유닛은 상기 제1 기기에 의해 전송되는 제1 요청을 수신하도록 구성되고 - 상기 제1 요청은 상기 제1 기기의 보안 능력, 및 서비스 보안 요건을 포함함 -; 상기 전송 유닛은 상기 제1 요청을 상기 정책 제어기에 포워딩하도록 구성되고; 상기 수신 유닛은 상기 정책 제어기에 의해 회신되는 코어 네트워크 보안 정책을 수신하고, 상기 코어 네트워크 보안 정책 및 상기 액세스 네트워크 노드의 보안 능력에 기초하여 상기 보안 정책을 생성하도록 구성된다.
제6 측면의 전술한 제8 내지 제15 가능한 구현예 중 어느 하나를 참조하여, 제6 측면의 제16 가능한 실시예에서, 상기 제2 기기가 상기 액세스 네트워크일 때, 상기 획득 모듈은 전송 유닛, 수신 유닛 및 도출 유닛을 포함하고, 상기 전송 유닛은 제3 요청을 키 관리 센터에 전송하도록 구성되고; 상기 수신 유닛은 상기 키 관리 센터에 의해 상기 제3 요청에 기초하여 회신되는 중간 키를 수신하도록 구성되고 - 상기 중간 키는 기본 키에 기초하여 도출되고, 상기 기본키는 인증 노드에 의해 상기 키 관리 센터에 전송됨 -; 상기 도출 유닛은 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하도록 구성된다.
제6 측면의 제16 가능한 구현예를 참조하여, 제6 측면의 제17 가능한 실시예에서, 상기 중간 키는 제1 파라미터에 기초하여 도출되고, 상기 제1 파라미터는 상기 액세스 네트워크 노드의 식별자, NAS 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 상기 베어러 식별자, 흐름 식별자 및 상기 슬라이스 식별자 중 적어도 하나를 포함한다.
제6 측면의 제17 가능한 구현예를 참조하여, 제6 측면의 제18 가능한 실시예에서, 상기 도출 유닛은 상기 제2 파라미터 및 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하도록 구성되며, 상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나이다.
제6 측면의 제16 가능한 구현예를 참조하여, 제6 측면의 제19 가능한 실시예에서, 상기 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
제6 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제6 측면의 제20 가능한 실시예에서, 상기 제2 기기가 상기 사용자 평면 노드일 때, 상기 획득 모듈은 상기 제1 네트워크 요소로부터 상기 하나 이상의 키를 요청하도록 구성되며, 상기 제1 네트워크 요소는 상기 인증 제어기, 상기 키 관리 제어기, 상기 정책 제어기, 및 상기 키 제어기 중 어느 하나이다.
제6 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제6 측면의 제21 가능한 실시예에서, 상기 보호된 데이터는 헤더 데이터, 또는 페이로드 데이터, 또는 패킷이며, 상기 패킷이 상기 헤더 데이터 및 상기 페이로드 데이터를 포함한다.
제7 측면에 따르면, 수신 모듈, 생성 모듈 및 전송 모듈을 포함하는 정책 제어기를 제공하며, 상기 수신 모듈은 타깃 네트워크 요소에 의해 전송되는 정책 요청을 수신하도록 구성되고 - 상기 정책 요청은 단말 기기의 보안 능력 및 서비스 보안 요건 그리고 액세스 네트워크 노드의 보안 요건 중 적어도 하나를 포함함 -; 상기 생성 모듈은 타깃 파라미터에 기초하여 보안 정책을 생성하도록 구성되고 - 상기 타깃 파라미터는 상기 제1 요청에 기초하여 생성되고 상기 단말 기기의 보안 능력, 상기 서비스 보안 요건 및 상기 상기 액세스 네트워크 노드의 보안 요건 중 적어도 하나를 포함함 -; 및 상기 전송 모듈은 상기 보안 정책을 상기 액세스 네트워크 노드에 전송하도록 구성된다.
제7 측면을 참조하여, 제7 측면의 제1 가능한 구현예에서, 상기 타깃 파라미터는 상기 단말 기기의 미리 설정된 보안 능력을 더 포함하며, 상기 단말 기기의 미리 설정된 보안 능력은 인증 서비스 제어기(AUSF)로부터 획득된다.
제7 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제7 측면의 제2 가능한 실시예에서, 상기 타깃 파라미터는 서버의 보안 요건을 더 포함하며, 상기 서버의 보안 요건은 상기 서버로부터 획득된다.
제7 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제7 측면의 제3 가능한 실시예에서, 상기 타깃 네트워크 요소는 상기 액세스 네트워크 노드 또는 세션 관리 네트워크 요소이다.
제8 측면에 따르면, 전송 모듈, 획득 모듈 및 도출 모듈을 포함하는 제1 기기가 제공되며, 상기 전송 모듈은 액세스 네트워크 노드를 통해 인증 노드에 제3 요청을 전송하도록 구성되고; 상기 획득 모듈은 상기 제3 요청에 기초하여 기본 키를 획득하도록 구성되고 - 상기 기본 키는, 상기 제1 기기와 상기 인증 노드가 서로 인증한 후에 생성됨 -; 상기 도출 모듈은 상기 기본 키에 기초하여 상기 하나 이상의 키를 도출하도록 구성된다.
제8 측면을 참조하여, 제8 측면의 제1 가능한 실시예에서, 상기 도출 모듈은 상기 기본 키에 기초하여 중간 키를 도출하고, 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하도록 구성된다.
제8 측면의 제1 가능한 구현예를 참조하여, 제8 측면의 제2 가능한 실시예에서, 상기 도출 모듈은 제1 파라미터에 기초하여 상기 중간 키를 도출하도록 구성되며, 상기 제1 파라미터는 상기 액세스 네트워크 노드의 식별자, NAS 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 포함한다.
제8 측면의 제1 가능한 구현예를 참조하여, 제8 측면의 제3 가능한 실시예에서, 상기 도출 모듈은 상기 제2 파라미터 및 상기 중간 키에 기초하여 상기 하나 이상의 키를 도출하도록 구성되며, 상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나를 포함한다.
제8 측면의 전술한 가능한 구현예 중 어느 하나를 참조하여, 제8 측면의 제4 가능한 실시예에서, 상기 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
제9 측면에 따르면, 메모리와, 상기 메모리에 연결된 프로세서, 송신기 및 수신기를 포함하는 제1 기기가 제공되며, 상기 송신기는 외부에 데이터를 전송하도록 구성되고, 상기 수신기는 외부에 의해 전송되는 데이터를 수신하도록 구성되고, 상기 메모리는 제1 측면에서 설명된 방법을 구현하기 위한 코드를 저장하도록 구성되고, 상기 프로세서는 상기 메모리에 저장된 프로그램 코드를 실행하여 제1 측면에서 설명된 방법을 수행하도록 구성된다.
제10 측면에 따르면, 메모리와, 상기 메모리에 연결된 프로세서, 송신기 및 수신기를 포함하는 제2 기기가 제공되며, 상기 송신기는 외부에 데이터를 전송하도록 구성되고, 상기 수신기는 외부에 의해 전송되는 데이터를 수신하도록 구성되고, 상기 메모리는 제2 측면에서 설명된 방법을 구현하기 위한 코드를 저장하도록 구성되고, 상기 프로세서는 상기 메모리에 저장된 프로그램 코드를 실행하여 제2 측면에서 설명된 방법을 수행하도록 구성된다.
제13 측면에 따르면, 메모리와, 상기 메모리에 연결된 프로세서, 송신기 및 수신기를 포함하는 정책 제어기가 제공되며, 상기 송신기는 외부에 데이터를 전송하도록 구성되고, 상기 수신기는 외부에 의해 전송되는 데이터를 수신하도록 구성되고, 상기 메모리는 제3 측면에서 설명된 방법을 구현하기 위한 코드를 저장하도록 구성되고, 상기 프로세서는 상기 메모리에 저장된 프로그램 코드를 실행하여 제3 측면에서 설명된 방법을 수행하도록 구성된다.
제14 측면에 따르면, 메모리와, 상기 메모리에 연결된 프로세서, 송신기 및 수신기를 포함하는 제1 기기가 제공되며, 상기 송신기는 외부에 데이터를 전송하도록 구성되고, 상기 수신기는 외부에 의해 전송되는 데이터를 수신하도록 구성되고, 상기 메모리는 제4 측면에서 설명된 방법을 구현하기 위한 코드를 저장하도록 구성되고, 상기 프로세서는 상기 메모리에 저장된 프로그램 코드를 실행하여 제4 측면에서 설명된 방법을 수행하도록 구성된다.
제15 측면에 따르면, 제1 측면에서의 방법을 구현하기 위한 코드를 저장하도록 구성된 저장 매체가 제공된다.
제16 측면에 따르면, 제2 측면에서의 방법을 구현하기 위한 코드를 저장하도록 구성된 저장 매체가 제공된다.
제17 측면에 따르면, 제3 측면에서의 방법을 구현하기 위한 코드를 저장하도록 구성된 저장 매체가 제공된다.
제18 측면에 따르면, 제4 측면에서의 방법을 구현하기 위한 코드를 저장하도록 구성된 저장 매체가 제공된다.
제19 측면에 따르면, 제1 기기 및 제2 기기를 포함하고, 상기 제1 기기는 상기 제2 기기에 연결되어 있는 컴퓨터 시스템이 제공되며, 상기 제1 기기는 제5 측면 중 어느 하나에 따른 제1 기기이고; 상기 제2 기기는 제6 측면 중 어느 하나에 따른 제2 기기이다.
본 발명의 실시예의 구현 시에, 제1 기기는 보안 정책 및 하나 이상의 키를 사용하여 세션 데이터에 대해 보안 보호를 수행하여 보호된 데이터를 획득하고, 제2 기기는 동일한 보안 정책 및 하나 이상의 키에 기초하여 보호된 데이터를 복원하여 세션 데이터를 획득한다. 본 발명의 실시예에서, 단대단 보호가 구현된다. 세션 데이터가 제1 기기(하나의 단)에서 전송된 후에 그리고 세션 데이터가 제2 기기(다른 단)에 도달하기 전에, 세션 데이터는 항상 보안 보호 상태에 있다. 이는 송신 중에 세션 데이터가 불법적으로 절취되는 것을 방지할 수 있다. 또한, 세션 데이터를 송신하는 과정에서, 세션 데이터가 통과하는 중간 노드에서 암호화 및 복원을 수행할 필요가 없으므로, 자원을 효과적으로 절약할 수 있다.
본 발명의 실시예 또는 배경 기술의 기술적 방안을 보다 명확하게 설명하기 위해, 본 발명의 실시예 또는 배경 기술의 설명에 필요한 첨부도면을 간단히 설명한다.
도 1은 본 발명의 일 실시예에 따른 네트워크 아키텍처의 개략도이다.
도 2는 본 발명의 일 실시예에 따른 보안 구현 방법의 개략 흐름도이다.
도 3a는 본 발명의 일 실시예에 따른 패킷의 제1 개략 구성도이다.
도 3b는 본 발명의 일 실시예에 따른 패킷의 제2 개략 구성도이다.
도 4는 본 발명의 일 실시예에 따른 프로토콜 데이터 유닛의 개략 구성도이다.
도 5는 본 발명의 일 실시예에 따른 프로토콜 스택 및 캡슐화 패킷의 개략도이다.
도 6a는 본 발명의 일 실시예에 따른 정책 제어기로부터 제1 기기 및 제2 기기에 의해 보안 정책을 획득하기 위한 제1 상호작용 도면이다.
도 6b는 본 발명의 일 실시예에 따른 정책 제어기로부터 제1 기기 및 제2 기기에 의해 보안 정책을 획득하기 위한 제2 상호작용 도면이다.
도 6c는 본 발명의 일 실시예에 따른 정책 제어기로부터 제1 기기 및 제2 기기에 의해 보안 정책을 획득하기 위한 제3 상호작용 도면이다.
도 6d는 본 발명의 일 실시예에 따른 정책 제어기로부터 제1 기기 및 제2 기기에 의해 보안 정책을 획득하기 위한 제4 상호작용 도면이다.
도 7은 본 발명의 일 실시예에 따른 인증 서비스 네트워크 요소로부터 제1 기기 및 제2 기기에 의해 하나 이상의 키를 획득하는 방법의 상호작용 도면이다.
도 8은 본 발명의 일 실시예에 따른 캡슐화 헤더의 개략도이다.
도 9는 본 발명의 일 실시예에 따른 외부 IP 헤더의 개략도이다.
도 10은 본 발명의 일 실시예에 따른 세션에 의해 점유되는 무선 인터페이스 자원의 개략도이다.
도 11은 본 발명의 실시예에 따른 세션에 의해 점유되는 무선 베어러의 개략도이다.
도 12는 본 발명의 일 실시예에 따른 제1 기기의 개략 구성도이다.
도 13은 본 발명의 일 실시예에 따른 제1 기기의 획득 모듈의 제1 개략 구성도이다.
도 14는 본 발명의 일 실시예에 따른 제1 기기의 획득 모듈의 제2 개략 구성도이다.
도 15는 본 발명의 일 실시예에 따른 제2 기기의 개략 구성도이다.
도 16은 본 발명의 일 실시예에 따른 제2 기기의 취득 모듈의 제1 개략 구성도이다.
도 17은 본 발명의 일 실시예에 따른 제2 기기의 획득 모듈의 제2 개략 구성도이다.
도 18은 본 발명의 일 실시예에 따른 정책 제어기의 개략 구성도이다.
도 19는 본 발명의 일 실시예에 따른 제1 기기의 개략 구성도이다.
도 20은 본 발명의 일 실시예에 따른 제1 기기의 개략 구성도이다.
도 21은 본 발명의 일 실시예에 따른 제2 기기의 개략 구성도이다.
도 22는 본 발명의 일 실시예에 따른 정책 제어기의 개략 구성도이다.
기술적 방안의 이해를 용이하게 하기 위해, 이하에 첨부도면을 참조로 한 예를 사용하여 본 출원의 실시예의 방안이 적용될 수 있는 네트워크 아키텍처를 먼저 설명한다. 도 1에 도시된 바와 같이, 도 1을 참조하면, 미래의 이동 통신 네트워크 아키텍처는 단말 기기(110), 액세스 네트워크 노드(120) 및 사용자 평면 노드(130)를 포함한다. 단말 기기(110)는 액세스 네트워크 노드(120) 를 사용하여 운영자 네트워크를 액세스하여, 사용자 평면 노드(130)와의 통신을 구현한다.
단말 기기(110)는 논리 엔티티이며, 구체적으로는 사용자 장비, 통신 기기, 사물 인터넷(IoT) 중 어느 하나일 수 있다. 사용자 장비는 스마트 폰, 스마트 워치, 스마트 타블렛 등일 수 있다. 통신 기기는 서버, 게이트웨이(Gateway, GW), 기지국, 제어기 등일 수 있다. 사물 인터넷 기기는 센서, 전기 계량기, 수도 계량기 등일 수 있다.
액세스 네트워크 노드(120)(AN)는 예를 들어 기지국, Wi-Fi(무선 충실도) 액세스 포인트 또는 블루투스 액세스 포인트와 같은 무선 액세스 포인트일 수 있거나; 예를 들어 게이트웨이, 모뎀, x에의 광섬유(fiber to the x) 또는 IP 액세스와 같은 유선 액세스 포인트일 수 있다.
사용자 평면 노드(130)는 게이트웨이, 서버, 제어기, 사용자 평면 기능 네트워크 요소 또는 단말 기기일 수 있다. 사용자 평면 노드(130)는 운영자 네트워크에 배치되거나 운영자 네트워크 외부에 배치될 수 있다. 이해해야 할 것은, 도 1의 운영자 네트워크 외부에 배치된 사용자 평면 노드(130)는 단지 일례이며, 구체적인 한정사항을 구성하지 않는다는 것이다. 또한, 실제 적용 시에, 사용자 평면 노드(130)는 단말 기기일 수 있거나, 게이트웨이, 서버, 제어기 또는 사용자 평면 기능 네트워크 요소와 같은 제어 네트워크 요소일 수도 있다. 이해해야 할 것은, 도 1의 단말 기기로 대표되는 사용자 평면 노드(130)는 단지 일례이며, 구체적인 한정사항을 구성하지 않는다는 것이다.
운영자 네트워크는 정책 제어기(PCF)(140), 키 관리 센터(KMS)(150) 등을 포함한다.
정책 제어기(140)는 네트워크상의 보안 정책을 관리하도록 구성된다. PCF는 독립적인 논리 기능 엔티티로서 배치될 수 있거나, 이동성 관리(MM) 네트워크 요소, 세션 관리(SM) 네트워크 요소, 인증 서비스 제어기(AUSF), 정책 및 과금 규칙 기능(PCRF), 이동성 관리 엔티티(MME), 홈 가입자 서버(HSS), 인증 센터(AuC), 인증 자격 증명 저장소 및 처리 기능(ARPF) 네트워크 요소, 보안 컨텍스트 관리 네트워크 요소(SCMF), 액세스 및 이동성 관리 기능(AMF) 네트워크 요소, 액세스 노드(AN) 또는 사용자 평면 노드(UPF)와 같은 기기에 통합될 수 있다.
키 관리 센터(KMS)(150)는 키 생성, 관리 및 협상을 담당한다. KMS는 독립적인 논리 기능 엔티티로서 배치될 수 있거나, 이동성 관리(MM) 네트워크 요소, 세션 관리(SM) 네트워크 요소, 인증 서비스 제어기(AUSF), 보안 앵커 기능(SEAF) 네트워크 요소, 이동성 관리 엔티티(MME), 홈 가입자 서버(HSS), 인증 센터(AuC), 인증 자격 증명 저장소 및 처리 기능(ARPF) 네트워크 요소, 보안 컨텍스트 관리 네트워크 요소(SCMF), 액세스 및 이동성 관리 기능(AMF) 네트워크 요소, 액세스 노드(AN) 또는 사용자 평면 노드(UPF), 또는 인증 유닛(CP-AU)와 같은 기기에 통합될 수 있다. 이 후에, 키 관리 센터의 기능을 구현하는 물리 엔티티는 키 관리 기기로 지칭될 수 있다.
이동성 관리 네트워크 요소는 단말 기기의 위치 정보, 보안 및 서비스 연속성을 관리하도록 구성된다. 이후에, 이동성 관리 네트워크 요소의 기능을 구현하는 물리 엔티티는 이동성 관리 기기 또는 MM이라고 직접 지칭될 수 있다.
세션 관리 네트워크 요소는 세션, 슬라이스, 흐름 또는 베어러를 확립하고 관리하도록 구성된다. 이후에, 세션 관리 네트워크 요소의 기능을 구현하는 물리 엔티티는 세션 관리 기기 또는 SM으로 지칭될 수 있다. 이동성 관리 네트워크 요소는 슬라이스, 흐름 또는 베어러의 확립 및 관리를 담당한다.
인증 서비스 제어기는 키 생성, 관리 및 협상을 담당한다. AUSF는 독립적인 논리 기능 엔티티로서 배치되거나, 이동성 관리(MM) 네트워크 요소 또는 세션 관리( SM) 네트워크 요소와 같은 기기에 통합될 수 있다.
이동성 관리 엔티티는 보안 및 허가 제어, 이동성 관리, 어태치먼트(attachment) 및 디태치먼트(detachment), 및 세션 관리 기능을 포함한 액세스 제어를 위해 사용되며, 사용자가 데이터 서비스 요청을 가지고 있는 경우, 데이터 게이트웨이 또는 서빙 게이트웨이를 선택하여 사용자의 데이터를 포워딩한다.
홈 가입자 서버는 사용자 데이터베이스를 관리하고 호출하도록 구성된다. 사용자 데이터베이스는 사용자 ID(IDentity, 신원) 및 사용자 구성 파일을 포함하며, 여기서 사용자 구성 파일은 사용자의 루트 키 정보(root key information )를 포함하고, 미리 설정된 보안 능력 및 사용자의 파라미터와 같은 콘텐츠를 더 포함할 수 있다. HSS는 주로 사용자의 가입 데이터 및 모바일 사용자의 위치 정보의 관리를 담당한다.
인증 센터는 인증 알고리즘 및 키를 저장하고, 다양한 기밀성 파라미터의 보안을 보장하고, 홈 사용자 위치 레지스터(HLR, HSS, ARPF, MME 또는 AUSF)에 인증 파라미터를 제공하도록 구성된다.
인증 자격 증명 저장소 및 처리 기능 네트워크 요소는 키 관리 및 생성, 그리고 인증 처리를 수행하도록 구성된다.
보안 콘텍스트 관리 네트워크 요소는 키 관리, 생성 및 배포를 포함한 보안 콘텍스트 관리를 수행하도록 구성된다.
액세스 및 이동성 관리 기능(AMF) 네트워크 요소는 액세스 제어 및 이동성 관리를 담당한다.
유의해야 할 것은, 다양한 네트워크 요소 간의 논리적 관계가 도 1에 반영되어 있다는 것이다. 실제로, 일부 네트워크 요소는 독립적으로 배치될 수도 있거나, 둘 이상의 네트워크 요소가 모두 하나의 엔터티에 통합되어 배치될 수도 있다. 예를 들어 SM과 MM이 하나의 엔티티에 배치되거나; 또는 SM 및 MM은 각각 상이한 엔티티에 배치되거나; 또는 AMF와 SEAF가 함께 배치된다.
도 1의 아키텍처에 기초하여, 단(제1 기기) 대 단(제2 기기) 보안 보호를 구현하기 위해, 본 발명의 일 실시예는 보안 구현 방법을 제공한다. 제1 기기가 단말 기기일 때, 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 제2 기기는 단말 기기이다. 도 2에 도시된 바와 같이, 본 발명의 일 실시예에 따른 보안 구현 방법은 다음과 같은 단계를 포함한다.
210. 제1 기기가 세션의 보안 정책 및 하나 이상의 키를 획득한다.
220. 제2 기기가 세션의 보안 정책 및 하나 이상의 키를 획득한다.
본 발명의 본 실시예에서, 세션은 유일한 세션 식별자를 갖는다. 즉, 세션 식별자는 세션의 신원을 식별하는 데 사용된다. 세션 식별자는 단말 기기, 액세스 네트워크 노드, 이동성 관리 네트워크 요소, 세션 관리 네트워크 요소 및 정책 제어기 중 어느 하나에 의해 생성될 수 있다. 세션 식별자가 단말 기기에 의해 생성되는 경우, 세션 식별자는 단말 기기가 세션의 확립을 준비할 때 생성된다. 세션 식별자가 액세스 네트워크 노드, 이동성 관리 네트워크 요소, 세션 관리 네트워크 요소 및 정책 제어기 중 어느 하나에 의해 생성되는 경우, 세션 식별자는 액세스 네트워크 노드, 이동성 관리 네트워크 요소, 세션 관리 네트워크 요소 및 정책 제어기 중 어느 하나가 다른 네트워크 요소에 의해 전송되는 요청을 수신할 때 생성된다. 세션 식별자는 새로운 식별자일 수 있거나, 예를 들어 무선 인터페이스 식별자, 무선 베어러 식별자, 슬라이스 식별자, 무선 인터페이스 자원 식별자, 영구 기기 식별자(permanent device identity), 임시 기기 ID, 영구 사용자 ID 및 임시 사용자 ID 중 어느 하나와 같은, 재사용되는 다른 식별자일 수 있다.
본 발명의 본 실시예에서, 보안 정책은 세션의 보호 모드를 지시하는 데 사용되며, 예를 들어 세션의 어떤 유형 또는 보안 유형이 보호될 필요가 있는지를 지시한다. 세션의 보안 정책은, 보호되어야 할 세션의 보안 유형을 지시하는 것 외에 각각의 유형의 보안 보호에 사용되는 보안 알고리즘, 사용된 키 길이 및 키 갱신 시간 중 적어도 하나를 더 지시할 수 있다.
본 발명의 본 실시예에서, 세션의 보안은 기밀성, 무결성, 부인 방지(non-repudiation) 등을 포함한다. 세션의 기밀성은 세션 데이터가 불법적으로 절취되거나 읽히는 것을 방지하기 위한 목적을 달성하기 위해, 세션이 알고리즘을 사용하여 처리된 후에 세션이 읽을 수 없는 암호문이 된다는 것을 의미한다. 세션의 무결성은 전송 프로세스에서 세션 데이터가 불법적으로 추가, 삭제 또는 대체되지 않은 것을 의미한다. 세션의 부인 방지는 세션에서의 두 통화 당사자가 세션 내용 및 자신의 세션 전송의 행위를 거부 할 수 없음을 의미한다. 세션의 보안 보호는 보안 알고리즘과 세션 처리를 위한 하나 이상의 키를 사용하여 구현된다.
본 발명의 본 실시예에서, 보안 알고리즘은 null, AES, Snow 3G 및 ZUC와 같은 알고리즘 중 어느 하나일 수 있으며, 여기서 null은 널 알고리즘(null algorithm)을 나타낸다. 키 길이는 64 비트, 96 비트, 128 비트, 192 비트 및 256 비트와 같은 길이 중 하나일 수 있다. 키 갱신 시간은 6 시간, 12 시간, 24 시간 및 48 시간 중 어느 하나일 수 있다. 보안 알고리즘, 키 길이 및 키 갱신 시간은 설명을 위한 일례로 사용된 것이므로, 본 출원의 한정사항을 구성해서는 안된다.
이해할 수 있는 것은, 세션의 복수의 보안 보호는 세션 처리에 대해 동일한 보안 알고리즘, 동일한 키 및 동일한 키 갱신 시간을 사용하여 구현될 수 있거나, 세션 처리에 대해 상이한 보안 알고리즘, 상이한 키 및 상이한 키 갱신 시간을 사용하여 구현될 수 있다는 것이다. 예를 들어, 구체적인 실시예에서, 세션의 기밀성 및 무결성이 보호되는 경우, 기밀성을 위해 사용된 보안 알고리즘은 Snow 3G 알고리즘이고, 키 길이는 64 비트이며, 키 갱신 시간은 6 시간이다. 무결성을 위해 사용된 보안 알고리즘은 Snow 3G 알고리즘이고, 키 길이는 64 비트이며, 키 갱신 시간은 6 시간이다. 다른 구체적인 실시예에서, 세션의 기밀성 및 무결성이 보호되는경우, 기밀성에 대해, 사용된 보안 알고리즘은 Snow 3G 알고리즘이고, 키 길이는 64 비트이며, 키 갱신 시간은 6 시간이다. 무결성에 대해, 사용된 보안 알고리즘은 ZUC 알고리즘이고, 키 길이는 128 비트이며, 키 갱신 시간은 12 시간이다.
구체적인 실시예에서, 세션의 보호 모드는 다음의 3 가지 모드: 제1 보안 알고리즘에 기초한 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하는 모드 : 제2 알고리즘에 기초한 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 모드; 및 제1 보안 알고리즘에 기초한 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하고 또한 제2 알고리즘에 기초한 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 모드를 포함한다. 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함한다. 제1 키 길이는 제1 키의 길이를 나타내는 데 사용되고, 제2 키 길이는 제2 키의 길이를 나타내는 데 사용된다. 제1 키 길이 및 제2 키 길이는 동일하거나 상이할 수 있다. 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함한다. 제1 키 갱신 시간은 제1 키의 갱신 시간을 나타내는 데 사용되며, 제2 키 갱신 시간은 제2 키의 갱신 시간을 나타내는 데 사용된다. 제1 키 갱신 시간과 제2 키 갱신 시간은 동일하거나 상이할 수 있다. 여기서 세션의 제1 보안은 세션의 기밀성이고, 세션의 제2 보안은 세션의 무결성이다. 이에 상응하여, 제1 보안 알고리즘은 null, 3DES, AES, Snow 3G, Blowfish, Serpent, ZUC, HC-256 및 Grain과 같은 알고리즘 중 어느 하나이다. 제2 보안 알고리즘은 null, AES, ZUC, Snow 3G, HMAC, OMAC, CBC-MAC, PMAC, UMAC 및 VMAC와 같은 알고리즘 중 어느 하나이다. 제1 보안 알고리즘과 제2 보안 알고리즘은 동일하거나 상이할 수 있다.
전술한 설명에 기초하여, 세션의 보안 정책의 내용은 알고리즘 식별자, 키 길이 및 키 갱신 시간 중 적어도 하나를 포함할 수 있지만, 이에 한정되지는 않는다는 것을 알 수있다.
제1 알고리즘 식별자 및 제2 알고리즘 식별자는 각각 제1 보안에 사용된 보안 알고리즘 및 제2 보안에 사용되는 보안 알고리즘을 지시하는 데 사용된다. 또는, 제1 보안에 사용된 보안 알고리즘과 제2 보안에 사용된 보안 알고리즘이 다른 경우, 알고리즘 식별자는 제1 알고리즘 식별자 및 제2 알고리즘 식별자를 포함하며, 여기서 제1 알고리즘 식별자는 제1 보안에 사용된 보안 알고리즘을 나타내는 데 사용되고, 제2 알고리즘 식별자는 제2 보안 알고리즘에 사용된 보안 알고리즘을 나타내는 데 사용되거나; 또는 제1 보안에 사용된 보안 알고리즘과 제2 보안에 사용되는 보안 알고리즘이 동일한 경우, 알고리즘 식별자는 제1 알고리즘 식별자와 제2 알고리즘 식별자를 포함할 수 있으며, 여기서 제1 알고리즘 식별자와 제2 알고리즘 식별자는 동일하거나; 또는 단 하나의 알고리즘 식별자가 제1 보안에 사용된 보안 알고리즘 및 제2 보안에 사용된 보안 알고리즘을 나타내는 데 사용되며, 이 경우, 제1 보안에 사용된 보안 알고리즘 및 제2 보안에 사용되는 보안 알고리즘 동일한 보안 알고리즘이다.
제1 키 길이 및 제2 키 길이는 각각 제1 보안에 사용된 키의 길이 및 제2 보안에 사용되는 키의 길이를 나타내는 데 사용된다. 또는, 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 길이와 제2 보안에 대해 알고리즘에 의해 사용되는 키의 길이가 다른 경우, 키 길이는 제1 키 길이 및 제2 키 길이를 포함하며, 제1 키 길이는 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 길이를 지시하는 데 사용되고, 제2 키 길이는 제2 보안을 위한 보안 알고리즘에 의해 사용되는 키의 길이를 지시하는 데 사용된다. 또는 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 길이와 제2 보안에 대해 알고리즘에 의해 사용되는 키의 길이가 동일한 경우, 키 길이는 제1 키 길이 및 제2 키 길이를 포함할 수 있으며, 여기서 제1 키 길이와 제2 키 길이가 같거나, 또는 하나의 키 길이만 사용하여 제1 보안에 사용되는 키의 길이와 제2 보안에 사용되는 키의 길이를 지시하며, 이 경우, 제1 보안에 사용된 키의 길이와 제2 보안에 사용된 키의 길이는 동일하다.
제1 키 갱신 시간 및 제2 키 갱신 시간은 각각 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간 및 제2 보안보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간을 지시하는 데 사용된다. 또는, 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간과 제2 보안을 위한 알고리즘에 의해 사용되는 키의 갱신 시간이 상이한 경우, 키 갱신 시간은 제1 키 갱신 시간 및 제2 키 갱신 시간을 포함하며, 여기서 제1 키 갱신 시간은 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간을 지시하는 데 사용되며, 제2 키 갱신 시간은 제2 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간을 지시하는 데 사용되거나; 또는 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간 및 제2 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간이 동일한 경우, 키 갱신 시간은 제1 키 갱신 시간 및 제2 키 갱신 시간을 포함할 수 있으며, 여기서 제1 키 갱신 시간과 제2 키 갱신 시간이 동일하거나, 또는 단 하나의 키 갱신 시간이 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간과 제2 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간을 지시하는 데 사용되며,이 경우, 제1 보안을 위한 보안 알고리즘에 의해 사용되는 키의 갱신 시간과 제2 보안을 위한 알고리즘에 의해 사용되는 키의 갱신 시간은 동일한다.
또한, 세션의 보안 정책의 내용에서, 제1 비트 및 제2 비트가 추가로 설정될 수 있으며, 여기서 제1 비트는 제1 보안을 보호할 필요가 있는지를 지시하는 데 사용되고, 제2 비트는 제2 보안을 보호할 필요가 있는지를 지시하는 데 사용된다. 예를 들어, 제1 비트가 "0"인 경우, 이는 제1 보안을 보호할 필요가 없음을 지시하는 데 사용된다. 또는 제1 비트가 "1"인 경우, 이는 제1 보안을 보호할 필요가 있음을 지시하는 데 사용된다. 제2 비트가 "0"일 때, 이는 제2 보안을 보호할 필요가 없음을 지시하는 데 사용된다. 또는 제2 비트가 "1"일 때, 제2 보안을 보호할 필요가 있음을 지시하는 데 사용된다.
보안 정책의 포맷은 복수의 형식을 포함한다. 구체적인 실시예에서, 보안 정책의 포맷은, 보안 정책 = 비트 1∥제1 보안 알고리즘 식별자∥제1 키 길이∥제1 키 갱신 시간∥비트 2∥제2 보안 알고리즘 식별자∥제2 키 길이∥제2 키 갱신 시간이며, 여기서 비트 1이 0일 때, 이는 제1 보안을 보호할 필요가 없음을 지시하고, 비트 1이 1일 때, 이는 제1 보안을 보호할 필요가 있음을 지시하며; 제1 보안 알고리즘 식별자는 사용된 제1 보안 알고리즘을 나타내는 데 사용된다. 비트 2이 0일 때, 이는 제2 보안을 보호할 필요가 없음을 지시하고, 비트 2이 1일 때, 이는 제2 보안을 보호할 필요가 있음을 지시하며; 제2 보안 알고리즘 식별자는 사용된 제2 보안 알고리즘을 나타내는 데 사용된다. 또는 방식은 다음이다: 보안 정책 = 제1 보안 알고리즘 식별자∥제1 키 길이∥제2 보안 알고리즘 식별자∥제2 키 길이. 또는 방식은 다음이다: 보안 정책 = 제1보안 알고리즘 식별자∥제2 보안 알고리즘 식별자∥키 길이 ∥이며, 이 경우 두 보안의 키 길이가 동일하다
본 발명의 본 실시예에서, 보안 정책은 무선 인터페이스 보안 정책 또는 세션 보안 정책일 수 있다. 보안 정책이 단말 기기와 액세스 네트워크 노드(업링크 및 다운링크 포함) 사이의 보안을 보호하는 데 사용되는 경우, 보안 정책은 무선 인터페이스 보안 정책이다. 보안 정책이 단말 기기와 사용자 평면 노드(업링크 및 다운링크 포함) 사이의 보안을 보호하는 데 사용되는 경우, 보안 정책은 세션 보안 정책이다. 핵심 네트워크 보안 정책은 세션 보안 정책과 무선 인터페이스 보안 정책을 포함한다.
본 발명의 본 실시예에서, 보안 정책 및 제1 기기에 의해 획득되는 하나 이상의 키는 제2 기기에 의해 획득되는 것과 동일하다. 예를 들어 제1 기기에 의해 획득되는 보안 정책은 "비트∥제1 기기∥제1 보안 알고리즘 식별자∥제1 키 길이∥제1 키 갱신 시간∥비트 2∥제2 보안 알고리즘 식별자∥제2 키 길이∥제2 키 갱신 시간 비트"이고, 제2 기기에 의해 획득되는 보안 정책은 또한 "비트 1∥제1 보안 알고리즘 식별자∥제1 키 길이∥제1 키 갱신 시간∥비트 2∥제2 보안 알고리즘 식별자∥제2 키 길이∥제2 키 갱신 시간 비트"이다. 제1 기기에 의해 획득된 하나 이상의 키는 "0011 0011 1011 1101"이고, 제2 기기에 의해 획득된 하나 이상의 키는 "0011 0011 1011 1101"이다.
본 발명의 본 실시예에서, 제1 기기 및 제2 기기는 정책 제어기로부터 보안 정책을 획득할 수 있고, 제1 기기 및 제2 기기는 인증 서비스 네트워크 요소로부터 하나 이상의 키를 획득할 수 있다. 제1 기기 및 제2 기기에 의해 정책 제어기로부터 보안 정책을 획득하는 방법과, 제1 기기 및 제2 기기에 의해 인증 서비스 네트워크 요소로부터 하나 이상의 키를 획득하는 방법에 대해서는 후술하며, 여기서는 설명하지 않는다.
이해할 수 있는 것은, 제1 기기 및 제2 기기는 추가로 정책 제어기 이외의 다른 네트워크 요소로부터 보안 정책을 획득할 수 있다는 것이다. 예를 들어, 정책 제어기가 보안 정책을 제3자 네트워크 요소에 이미 전송했으면, 제1 기기 및 제2 기기는 제3자 네트워크 요소로부터 보안 정책을 획득할 수 있다. 또는, 정책 제어기가 보안 정책을 제2 기기에 이미 전송했으면, 제1 기기는 제2 기기로부터 보안 정책을 직접 요청할 수 있다.
230. 제1 기기가 세션의 보안 정책에 기초하여 하나 이상의 키를 사용하여 세션의 세션 데이터에 보안 보호를 수행한다.
본 발명의 본 실시예에서, 보호된 데이터는 헤더 데이터, 페이로드 데이터 및 패킷 중 어느 하나일 수 있다. 헤더 데이터는 세션 데이터에 관한 정보를 기록하는 데 사용되고, 페이로드 데이터는 실제 세션 데이터를 기록하는 데 사용되고, 패킷은 헤더 데이터 및 페이로드 데이터를 포함한다. 구체적으로, 보호된 데이터는 패킷의 일부 또는 전체일 수 있다. 제1 기기는 헤더 데이터 또는 페이로드 데이터에 대해서만 보안 보호를 수행한다. 이는 세션의 보안을 보호할 수 있을 뿐만 아니라 전체 패킷에 대해 보안 보호를 수행함으로써 발생하는 엄청난 계산량을 회피할 수 있다. 또한, 일반적으로, 헤더 데이터의 데이터량은 패킷의 데이터량보다 훨씬 적다. 따라서, 헤더 데이터에 대해서만 보안 보호를 수행하면 보안 보호에서의 계산량을 크게 줄일 수 있다. 제1 기기에 의해 전체 패킷에 대해 보안 보호를 수행하면 크래킹(cracking)의 어려움이 증가하고 보안 보호의 신뢰성이 향상될 수 있다. 실제 사용 시에, 보안 보호는 요건에 따라 헤더 데이터, 페이로드 데이터 또는 패킷에 대해 선택적으로 수행될 수 있다.
일부 선택적인 실시예에서, 도 3a 및 도 3b에 도시된 바와 같이, 보호된 데이터는 파라미터 필드를 더 포함하고, 여기서 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함한다. 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용된다. 제2 식별자 필드는 서비스 식별자, 세션 식별자, 베어러 식별자, 흐름(flow) 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용된다. 제3 식별자는 세션의 보호 모드를 지시하는 데 사용된다. 파라미터 필드는 카운터를 더 포함하고, 추가적으로 길이 필드, 패딩 필드, MAC 필드 및 알고리즘 갱신 시간 필드 중 적어도 하나를 더 포함할 수 있다. 카운터는 패킷의 시퀀스 번호를 지시하는 데 사용된다. 길이 필드는 파라미터 필드의 길이 또는 전체 패킷의 길이 또는 페이로드의 길이를 지시하는 데 사용된다. 패딩 필드가 암호화에 사용되는 경우, 패딩 필드는 메시지 길이에 대한 암호화 알고리즘의 요건을 충족시킨다. MAC 필드는 데이터 무결성이 보호된 후의 무결성 보호 파라미터가다. 알고리즘 갱신 시간 필드는 알고리즘을 갱신하는 시간을 지시하는 데 사용된다. 보호된 데이터가 패킷일 때, 보호된 데이터의 포맷은 도 3a에 도시된 것일 수 있다. 보호된 데이터가 페이로드일 때, 보호된 데이터의 포맷은 도 3b에 도시된 것일 수 있다. 도 3a 및 도 3b에 도시된 보호된 데이터의 포맷은 단지 설명을 위한 예일 뿐이며, 본 발명의 실시예에 대한 구체적인 한정사항을 구성해서는 안된다.
이해해야 할 것은, 모든 보호된 데이터는 본질적으로 프로토콜 데이터 유닛(Protocol Data Unit, PDU)이라는 것이다. 도 4는 가능한 보호된 데이터 PDU를 도시한다. 도 4에 도시된 바와 같이, 도 4에 도시된 바와 같이, PDU는 PDU 헤더(PDU header), 0 이상의 서비스 데이터 유닛(Service Data Unit, SDU), 0 이상의 정보 제어 요소(CControl element)를 포함하고, 패딩(Control element) 비트를 더 포함할 수 있다. PDU 헤더는 하나 이상의 서브헤더(subheader)를 포함할 수 있고 서브헤더는 6개의 필드(R/R/E/LCID/F/L) 또는 4개의 필드(R/R/E/LCID)를 포함할 수 있다.
본 발명의 본 실시예에서, 보호된 데이터에 파라미터 필드를 부가하는 구체적인 방식은 방식은 다음과 같을 수 있다:
가능한 구현예에서, 제1 기기는(현재 프로토콜 계층에서 생성됨) 하나 이상의 정보 제어 요소를 PDU에 부가하고, 부가된 정보 제어 요소를 사용하여 파라미터 필드를 실어 전달할 수 있다. 이해해야 할 것은, 파라미터 필드는 하나의 정보 제어 요소에 실려 전달될 수 있거나, 상이한 정보 제어 요소에 실려 각각 전달될 수 있다는 것이다.
다른 가능한 구현예에서, 제1 기기는 보호된 데이터(상위 프로토콜 계층에서 생성됨)에 하나 이상의 SDU를 실어 전달하기 위해 파라미터 필드를 사용할 수 있다. SDU가 상위 계층으로부터 오는 것이기 때문에, 제1 기기는 상위 계층 메시지에 파라미터 필드를 부가할 수 있다. 이해해야 할 것은, 파라미터 필드는 하나의 SDU에 실려 전달될 수 있거나, 상이한 SDU에서 각각 실려 전달될 수 있다는 것이다. 파라미터 필드가 복수의 SDU에 실려 전달되는 경우, 파라미터 필드는 복수의 연속적인 SDU에 실려 전달되거나, 복수의 불연속적인 SDU에 실려 전달될 수 있다. 전술 한 예에서, PDU는 설명을 위한 예로서 사용된다. 실제 사용 시에는 IP 패킷, 이더넷 패킷 또는 다른 비IP 패킷이 대안으로 사용될 수 있다. 이는 본 발명에서 구체적으로 한정되지 않는다.
이해할 수 있는 것은, 카운터는 필수 파라미터 필드이고, 길이 필드는 선택적 파라미터 필드라는 것이다. 보안 정책이 기밀성 보호를 포함하는 경우, 패킷 필드는 선택적 파라미터 필드이다. 보안 정책이 무결성 보호를 포함하는 경우, MAC 필드는 필수 파라미터 필드이고 알고리즘 갱신 시간 필드는 선택적 파라미터 필드이다.
240. 제1 기기는 보호된 데이터를 제2 기기로 전송한다.
본 발명의 본 실시예에서, 제1 기기가 단말 기기이고 제2 기기가 액세스 네트워크 노드이면, 제1 기기가 제2 기기에 보호된 데이터를 전송하는 경우, 보호된 데이터는 송신 링크 "단말 기기-액세스 네트워크 노드"를 통과해야 한다. 제1 기기가 단말 기기이고 제2 기기가 사용자 평면 노드이면, 제1 기기가 보호된 데이터를 제2 기기에 전송하는 경우, 보호된 데이터는 송신 링크 "단말 기기-액세스 네트워크 노드-사용자 평면 노드"를 통과해야 한다. 패킷은 보호된 데이터를 전송하는 기본 단위이다. 패킷이 대응하는 프로토콜 스택을 통해 송신될 수 있도록, 패킷은 프로토콜 스택에 기초하여 패킷 스택의 포맷을 따르는 캡슐화 패킷으로 캡슐화될 필요가 있다. 송신 프로토콜 스택은 LTE에서의 프로토콜 스택 포맷이 수 있으며, MAC(Media Access Control, 미디어 액세스 제어), RLC(Radio Link Control, 무선 링크 제어),및 PDCP(Packet Data Convergence Protocol, 패킷 데이터 컨버전스 프로토콜) 계층을 포함할 수 있거나; 차세대 이동 통신에서의 프로토콜 스택 포맷일 수 있다. 여기서는 이를 한정하지 않는다. 예를 들어, 패킷이 송신 링크 "단말 기기-액세스 네트워크 노드"에서 송신될 수 있도록, 패킷은 프로토콜 스택에 기초하여 도 5의 왼쪽에 도시된 포맷의 캡슐화 포맷으로 캡슐화될 필요가 있다. 도 5의 왼쪽에 도시된 바와 같이, 캡슐화 패킷은 L1 헤더(L1 header), 전송 프로토콜 스택(AN protocol stack) 헤더 및 패킷을 포함한다. 패킷은 PDU 헤더(PDU header)와 PDU 페이로드(PDU payload)를 포함한다. 패킷이 송신 링크 "액세스 네트워크 노드-사용자 평면 노드"에서 송신될 수 있도록, 패킷은 프로토콜 스택에 기초하여 도 5의 오른쪽에 도시된 포맷의 캡슐화 패킷으로 캡슐화될 필요가 있다. 도 5의 오른쪽에 도시된 바와 같이, 캡슐화 패킷은 L1/L2 헤더, 외부 IP 헤더, 캡슐화 헤더, PDU 헤더 및 패킷을 포함한다. 패킷은 PDU 헤더와 PDU 페이로드를 포함한다
250. 제2 기기가 제1 기기에 의해 전송되는, 세션의 보호된 데이터를 수신한다.
260. 제2 기기가 세션의 세션 식별자를 결정하고, 세션의 세션 식별자에 기초하여 제1 기기에 의해 전송되는, 세션의 보호된 데이터를 식별한다.
본 발명의 본 실시예에서, 제2 기기가 액세스 네트워크 노드일 때 제2 기기가 세션의 세션 식별자를 결정하는 방식은, 제2 기기가 사용자 평면 노드일 때 제2 기기가 세션의 세션 식별자를 결정하는 방식과 다르다. 제2 기기가 액세스 네트워크 노드일 때 제2 기기가 세션의 세션 식별자를 결정하는 방식 및 제2 기기가 사용자 노드일 때 제2 기기가 세션의 세션 식별자를 결정하는 방식은 상세하게 후술하며, 여기서는 일시적으로 설명하지 않는다.
이해할 수 있는 것은, 세션 식별자를 결정하는 방법은 제2 기기에 전송되는 캡슐화 패킷의 포맷과 관련되어 있다는 것이다. 자세한 내용은 이하의 설명을 참조한다. 여기서는 일시적으로 설명하지 않는다.
270. 제2 기기가 세션의 보안 정책에 기초하여 하나 이상의 키를 사용하여 보호된 데이터를 복원하여 세션 데이터를 획득하고, 및/또는 무결성 검사를 수행한다.
유의해야 할 것은, 본 출원에서의 단대단 통신 보호는 세션의 단대단 보호를 포함하고, 슬라이스, 흐름(flow), 또는 베어러(bearer)에 기초한 단대단 보호를 포함한다는 것이다. 예를 들어, 슬라이스 프로시저에서, 제2 기기는 슬라이스 내의 네트워크 요소를 처리하는 사용자 평면일 수 있다.
이하에 도 6a 내지 도 6를 참조하여 본 발명의 실시예에 따른 정책 제어기로부터 제1 기기 및 제2 기기에 의한 보안 정책을 획득하는 몇 가지 주요 구현예를 설명한다.
제1 방식에서, 도 6a에 도시된 바와 같이, 제1 기기가 단말 기기이고 제2 기기가 액세스 네트워크 노드인 경우, 제1 기기 및 제2 기기에 의해 정책 제어기로부터 보안 정책을 획득하는 방법은 다음과 같은 단계를 포함한다.
310. 제1 기기가 제1 요청을 제2 기기에 전송하며, 여기서 제1 요청은 제1 기기 ID, 및 제1 기기의 보안 능력 및 서비스 보안 요건을 포함하고, 제1 요청은 선택적으로 비스 식별자 등을 더 포함할 수 있다. 이에 상응하여, 제2 기기는 제1 기기에 의해 전송되는 제1 요청을 수신한다.
본 발명의 본 실시예에서, 제1 기기 ID는 제1 요청을 전송하는 제1 기기 또는 사용자의 신원을 나타내는 데 사용된다. 예를 들어, 제1 기기 ID로는 미디어 액세스 제어(Media Access Control, MAC) 주소, 인터넷 프로토콜(Internet Protocol, IP) 주소, 이동 전화 번호, 국제 이동 장비 ID(International Mobile Equipment Identity, IMEI), IP 멀티미디어 사설 ID(IP Multimedia Private Identity, IMPI), 임시 모바일 가입자 ID(Temporary Mobile Subscriber Identity, TMSI), IP 멀티미디어 공개 ID(IP Multimedia Public Identity, IMPU) 또는 글로벌 유일 임시 UE ID(Globally Unique Temporary UE Identity, GUTI)를 포함할 수 있다.
본 발명의 본 실시예에서, 제1 기기의 보안 능력은 제1 기기에 의해 지원될 수 있는 보안 알고리즘, 키 길이 및 키 갱신 주기 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 기기는 상이한 저장 용량 및 동작 속도를 갖기 때문에, 상이한 기기는 상이한 보안 알고리즘, 키 길이 및 키 갱신 주기를 지원한다는 것이다. 예를 들어, IoT 기기의 저장 용량이 크지 않고 그 동작 속도가 높지 않기 때문에, IoT 기기는 비교적 복잡도가 높은 보안 알고리즘을 지원할 수 없다. 스마트 폰은 저장 용량이 크고 동작 속도도 빠르기 때문에, 비교적 복잡도가 높은 보안 알고리즘을 지원할 수 있다. 따라서, 제1 기기는 제1 기기의 보안 능력을 정책 제어기에 통지할 필요가 있으므로, 정책 제어기는 제1 기기의 보안 능력을 참조하여 보안 정책을 생성할 수 있다.
본 발명의 본 실시예에서, 서비스 보안 요건은 서비스에 의해 수용 가능한 보안 알고리즘, 키 길이 및 키 갱신 기간 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 서비스는 보안 알고리즘, 키 길이, 및 키 갱신 기간에 대해 상이한 요건을 갖는다는 것이다. 예를 들어 금융 서비스는 보안 알고리즘에 대한 요건이 비교적 높지만 비디오 다운로드 서비스는 보안 알고리즘에 대한 요건이 비교적 낮다. 따라서, 제1 기기는 정책 제어기에 서비스 보안 요건을 통지할 필요가 있으므로, 정책 제어기는 서비스 보안 요건을 참조하여 보안 정책을 생성할 수 있다.
본 발명의 본 실시예에서, 제1 요청은 액세스 요청일 수 있거나, 세션 요청일 수 있다. 액세스 요청의 기능은 랜덤 액세스 프로세스를 트리거하는 데 사용되어, 제1 기기가 랜덤 액세스 프로세스를 수행함으로써 운영자 네트워크에 액세스할 수 있도록 하지만, 이에 한정되는 것은 아니다. 랜덤 액세스 프로세스 전에, 제1 기기는 RRC 유휴 모드(idle mode)(RRC_IDLE)에있다. 초기 랜덤 액세스 프로세스를 수행한 후, 제1 기기는 RRC 유휴 모드(RRC_IDLE)에서 RRC 연결 모드(RRC_CONNECTED)로 변경된다. 세션 요청은 제1 기기와 제2 기기 사이의 세션을 확립하도록 요청하는 데 사용된다. 예를 들어 세션은 세션 확립 프로토콜을 사용하여 확립된다. 이 경우, 세션 요청은 세션 설정 요청 시그널링이다.
320. 제2 기기가 정책 제어기에 제2 요청을 전송한다. 제2 요청은 제1 기기 ID, 제1 기기의 보안 능력 및 서비스 보안 요건, 및 액세스 네트워크 노드의 보안 능력을 포함한다. 이에 상응하여, 정책 제어기는 제2 기기에 의해 전송되는 제2 요청을 수신한다.
본 발명의 본 실시예에서, 제2 요청은 제1 기기 ID, 및 제1 기기의 보안 능력 및 서비스 보안 요건에 더하여 액세스 네트워크 노드의 보안 요건을 더 포함한다. 제1 요청이 서비스 식별자를 더 포함하면, 제2 요청도 또한 서비스 식별자를 포함하는 것으로 이해될 수 있다. 제2 요청은 제1 요청에 기초하여 생성된다. 따라서 제1 요청이 액세스 요청일 때, 제2 요청도 액세스 요청이다. 또는 제1 요청이 세션 요청일 때, 제2 요청도 세션 요청이다. 또한 제1 요청은 액세스 요청이지만 제2 요청은 세션 요청일 수도 있다. 이해할 수 있는 것은, 제1 요청과 제2 요청의 구체적인 명칭은 한정되지 않는다는 것이다.
본 발명의 본 실시예에서, 액세스 네트워크 노드의 보안 능력은 액세스 네트워크 노드에 의해 제공될 수 있는 보안 알고리즘, 키 길이 및 키 갱신 기간 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 액세스 네트워크 노드는 상이한 저장 용량 및 동작 속도를 가지므로, 상이한 액세스 네트워크 노드는 상이한 보안 알고리즘, 키 길이 및 키 갱신 기간을 지원한다는 것이다. 예를 들어 액세스 네트워크 노드가 Wi-Fi 핫스폿인 경우, Wi-Fi 핫 스폿은 비교적 높은 복잡도의 보안 알고리즘을 지원할 수 없다. 액세스 네트워크 노드가 기지국인 경우, 기지국은 비교적 높은 복잡도의 보안 알고리즘을 지원할 수 있다.
330. 정책 제어기가 제2 요청에 기초하여 무선 인터페이스 보안 정책을 생성한다.
본 발명의 본 실시예에서, 정책 제어기는 제1 기기의 보안 능력 및 서비스 보안 요건, 및 액세스 네트워크 노드의 보안 능력에 기초하여, 무선 인터페이스 보안 정책을 생성할 수 있거나, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 능력 중 적어도 하나에만 기초하여 무선 인터페이스 보안 정책을 생성할 수 있다.
또한, 정책 제어기는 미리 설정된 보안 능력을 참조하여 무선 인터페이스 보안 정책을 생성할 수 있다. 미리 설정된 보안 능력은 정책 제어기에 의해 전송되는 제1 기기 ID 및/또는 서비스 식별자에 기초하여 AUSF 또는 인증 자격 증명 저장소 및 처리 기능(ARPF)에 의해 정책 제어기에 회신된다
또한, 정책 제어기는 추가로 서버의 보안 요건을 참조하여 무선 인터페이스 보안 정책을 생성할 수 있다. 서버의 보안 요건은 정책 제어기에 의해 전송되는 제1 기기 ID 및/또는 서비스 식별자에 기초하여 서버에 의해 정책 제어기에 회신된다. 서버는 단말 기기에 서비스를 제공하는 기기이다. 서버에는 애플리케이션 서버, 프린트 서버, 웹 서버, FTP 서버, 전자 상거래 서버, 데이터베이스 서버, 실시간 통신 서버, 파일 서버, 전자 메일 서버 등을 포함하지만 이에 한정되는 것은 아니다.
구체적인 실시예에서, 구체적으로, 무선 인터페이스 보안 정책은 다음의 미리 설정된 규칙에 따라 결정된다: 하나 이상의 보안 요건의 내용에 기초하여 보안 정책이 결정된다. 보안 정책이 하나의 보안 요건의 내용만을 기초로 결정되면, 보안 정책의 내용은 보안 요건의 내용과 동일하다. 보안 정책이 복수의 보안 요건의 내용에 기초하여 결정되면, 다음의 원칙들이 준수될 수 있다:
1. 보다 높은 보안의 원칙을 준수하여, 즉 보안 정책의 내용으로서 복수의 보안 요건의 내용에서 보다 높은 보안의 내용을 사용하여, 보안 정책을 결정한다.
예를 들어, 보안 요건 1의 내용에서의 보호 키 길이는 64이지만, 보안 요건 2의 내용에서의 보호 키 길이가 128이면, 보안 정책의 보호 키 길이로서 128이 사용된다.
2. 더 많은 자원을 절약하는 원리를 준수하여, 즉 보안 정책의 내용으로서 복수의 보안 요건의 내용에서 더 많은 자원을 절약하는 내용을 사용하여 보안 정책을 결정한다. 예를 들어, 각각의 보안 요건의 내용에 암호화 알고리즘이 포함되어 있지만 일부 보안 요건 내용에서의 무결성 보호 알고리즘이 null이면, 보안 정책의 내용은 암호화 알고리즘을 포함하지만 무결성 보호 알고리즘은 포함하지 않는다.
3. 보안 요건의 우선순위를 준수하여 보안 정책을 결정한다. 구체적으로, 보안 요건이 알고리즘 우선순위를 지정하면 알고리즘 우선순위가 보안 알고리즘 협상의 기본으로 사용되고, 마지막으로 선택된 알고리즘은 모든 보안 요건에 의해 지원되는 알고리즘이며, 이 알고리즘이 가장 높은 우선순위를 가지며, 이것이 보안 정책의 내용으로서 사용된다.
또는, 보안 정책은 주로 보안 요건의 우선순위에 기초하여 협상된다. 예를 들어, 보안 요건 2에 몇 개의 암호 알고리즘의 우선순위가 지정되어 있고, 우선순위의 지정에 기초하여 보안 정책에서 사용될 암호 알고리즘이 결정된다.
또는, 복수의 보안 요건 모두가 알고리즘의 우선순위를 지정하면, 보안 요건의 알고리즘 우선순위가 주요 우선순위로서 사용될 수 있다. 예를 들어, 보안 요건 2의 우선순위가 주요 우선순위이다.
340. 정책 제어기가 무선 인터페이스 보안 정책을 제2 기기에 회신한다. 이에 상응하여, 제2 기기는 정책 제어기에 의해 전송되는 무선 인터페이스 보안 정책을 수신한다.
350. 제2 기기가 무선 인터페이스 보안 정책을 제1 기기에 회신한다. 이에 상응하여, 제1 기기는 제2 기기에 의해 전송되는 무선 인터페이스 보안 정책을 수신한다.
제2 방식에서, 도 6b에 도시된 바와 같이, 제1 기기가 단말 기기이고 제2 기기가 액세스 네트워크 노드인 경우, 제1 기기 및 제2 기기에 의해 정책 제어기로부터 보안 정책을 획득하는 방법은 다음과 같은 단계를 포함한다.
410. 제1 기기는 제1 요청을 제2 기기에 전송하며, 여기서 제1 요청은 제1 기기 ID, 제1 기기의 보안 능력 및 서비스 보안 요건을 포함하고, 제1 요청은 선택적으로 서비스 식별자 등을 더 포함할 수 있다. 이에 상응하여, 제2 기기는 제1 기기에 의해 전송되는 제1 요청을 수신한다.
본 발명의 본 실시예에서, 제1 기기 ID는 제1 요청을 전송하는 제1 기기 또는 사용자의 신원을 나타내는 데 사용된다. 예를 들어, 제1 기기 ID로는 미디어 액세스 제어(Media Access Control, MAC) 주소, 인터넷 프로토콜(Internet Protocol, IP) 주소, 이동 전화 번호, 국제 이동 장비 ID(International Mobile Equipment Identity, IMEI), IP 멀티미디어 사설 ID(IP Multimedia Private Identity, IMPI), 임시 모바일 가입자 ID(Temporary Mobile Subscriber Identity, TMSI), IP 멀티미디어 공개 ID(IP Multimedia Public Identity, IMPU) 또는 글로벌 유일 임시 UE ID(Globally Unique Temporary UE Identity, GUTI)를 포함할 수 있다.
본 발명의 본 실시예에서, 제1 기기의 보안 능력은 제1 기기에 의해 지원될 수 있는 보안 알고리즘, 키 길이 및 키 갱신 주기 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 기기는 상이한 저장 용량 및 동작 속도를 갖기 때문에, 상이한 기기는 상이한 보안 알고리즘, 키 길이 및 키 갱신 주기를 지원한다는 것이다. 예를 들어, IoT 기기의 저장 용량이 크지 않고 그 동작 속도가 높지 않기 때문에, IoT 기기는 비교적 복잡도가 높은 보안 알고리즘을 지원할 수 없다. 스마트 폰은 저장 용량이 크고 동작 속도도 빠르기 때문에, 비교적 복잡도가 높은 보안 알고리즘을 지원할 수 있다. 따라서, 제1 기기는 제1 기기의 보안 능력을 정책 제어기에 통지할 필요가 있으므로, 정책 제어기는 제1 기기의 보안 능력을 참조하여 보안 정책을 생성할 수 있다.
본 발명의 본 실시예에서, 서비스 보안 요건은 서비스에 의해 수용 가능한 보안 알고리즘, 키 길이 및 키 갱신 기간 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 서비스는 보안 알고리즘, 키 길이, 및 키 갱신 기간에 대해 상이한 요건을 갖는다는 것이다. 예를 들어 금융 서비스는 보안 알고리즘에 대한 요건이 비교적 높지만 비디오 다운로드 서비스는 보안 알고리즘에 대한 요건이 비교적 낮다. 따라서, 제1 기기는 정책 제어기에 서비스 보안 요건을 통지할 필요가 있으므로, 정책 제어기는 서비스 보안 요건을 참조하여 보안 정책을 생성할 수 있다.
본 발명의 본 실시예에서, 제1 요청은 액세스 요청일 수 있거나, 세션 요청일 수 있다. 액세스 요청의 기능은 랜덤 액세스 프로세스를 트리거하는 데 사용되어, 제1 기기가 랜덤 액세스 프로세스를 수행함으로써 운영자 네트워크에 액세스할 수 있도록 하지만, 이에 한정되는 것은 아니다. 랜덤 액세스 프로세스 전에, 제1 기기는 RRC 유휴 모드(idle mode)(RRC_IDLE)에있다. 초기 랜덤 액세스 프로세스를 수행한 후, 제1 기기는 RRC 유휴 모드(RRC_IDLE)에서 RRC 연결 모드(RRC_CONNECTED)로 변경된다. 세션 요청은 제1 기기와 제2 기기 사이의 세션을 확립하도록 요청하는 데 사용된다. 예를 들어 세션은 세션 확립 프로토콜을 사용하여 확립된다. 이 경우, 세션 요청은 세션 설정 요청 시그널링이다.
420. 제2 기기가 제2 요청을 세션 관리 네트워크 요소에 전송한다. 제2 요청은 제1 기기 ID, 제1 기기의 보안 성능 및 서비스 보안 요건, 그리고 액세스 네트워크 노드의 보안 성능을 포함한다. 이에 상응하여, 세션 관리 네트워크 요소는 제2 기기에 의해 전송되는 제2 요청을 수신한다.
본 발명의 본 실시예에서, 제2 요청은 제1 요청에 기초하여 생성된다. 제1 요청이 액세스 요청일 때, 제2 요청도 또한 액세스 요청이거나; 또는 제1 요청이 세션 요청일 때, 제2 요청도 세션 요청이다. 또한 제1 요청은 액세스 요청이지만 제2 요청은 세션 요청일 수도 있다. 이해할 수 있는 것은, 제1 요청과 제2 요청의 구체적인 명칭은 한정되지 않는다는 것이다. 제2 요청은 제1 기기 ID, 및 제1 기기의 보안 능력 및 서비스 보안 요건에 더하여 액세스 네트워크 노드의 보안 요건을 더 포함한다. 제1 요청이 서비스 식별자를 더 포함하면, 제2 요청도 또한 서비스 식별자를 포함하는 것으로 이해될 수 있다. 이해할 수 있는 것은, 제1 요청과 제2 요청의 구체적인 명칭은 한정되지 않는다는 것이다.
본 발명의 본 실시예에서, 액세스 네트워크 노드의 보안 능력은 액세스 네트워크 노드에 의해 제공될 수 있는 보안 알고리즘, 키 길이 및 키 갱신 기간 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 액세스 네트워크 노드는 상이한 저장 용량 및 동작 속도를 가지므로, 상이한 액세스 네트워크 노드는 상이한 보안 알고리즘, 키 길이 및 키 갱신 기간을 지원한다는 것이다. 예를 들어 액세스 네트워크 노드가 Wi-Fi 핫스폿인 경우, Wi-Fi 핫 스폿은 비교적 높은 복잡도의 보안 알고리즘을 지원할 수 없다. 액세스 네트워크 노드가 기지국인 경우, 기지국은 비교적 높은 복잡도의 보안 알고리즘을 지원할 수 있다.
430. 세션 관리 네트워크 요소가 제2 요청을 정책 제어기에 포워딩한다. 이에 상응하여, 정책 제어기는 세션 관리 네트워크 요소에 의해 전송되는 제2 요청을 수신한다.
440. 정책 제어기가 제2 요청에 기초하여 무선 인터페이스 보안 정책을 생성한다.
본 발명의 본 실시예에서, 정책 제어기는 제1 기기의 보안 능력 및 서비스 보안 요건, 및 액세스 네트워크 노드의 보안 능력에 기초하여, 무선 인터페이스 보안 정책을 생성할 수 있거나, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 능력 중 적어도 하나에만 기초하여 무선 인터페이스 보안 정책을 생성할 수 있다.
또한, 정책 제어기는 미리 설정된 보안 능력을 참조하여 무선 인터페이스 보안 정책을 생성할 수 있다. 미리 설정된 보안 능력은 정책 제어기에 의해 전송되는 제1 기기 ID 및/또는 서비스 식별자에 기초하여 AUSF 또는 인증 자격 증명 저장소 및 처리 기능(ARPF)에 의해 정책 제어기에 회신된다
또한, 정책 제어기는 추가로 서버의 보안 요건을 참조하여 무선 인터페이스 보안 정책을 생성할 수 있다. 서버의 보안 요건은 정책 제어기에 의해 전송되는 제1 기기 ID 및/또는 서비스 식별자에 기초하여 서버에 의해 정책 제어기에 회신된다. 서버는 단말 기기에 서비스를 제공하는 기기이다. 서버에는 애플리케이션 서버, 프린트 서버, 웹 서버, FTP 서버, 전자 상거래 서버, 데이터베이스 서버, 실시간 통신 서버, 파일 서버, 전자 메일 서버 등을 포함하지만 이에 한정되는 것은 아니다.
구체적인 실시예에서, 무선 인터페이스 보안 정책은 다음의 미리 설정된 규칙에 따라 결정된다: 하나 이상의 보안 요건의 내용에 기초하여 보안 정책이 결정된다. 보안 정책이 하나의 보안 요건의 내용만을 기초로 결정되면, 보안 정책의 내용은 보안 요건의 내용과 동일하다. 보안 정책이 복수의 보안 요건의 내용에 기초하여 결정되면, 다음의 원칙들이 준수될 수 있다:
1. 보다 높은 보안의 원칙을 준수하여, 즉 보안 정책의 내용으로서 복수의 보안 요건의 내용에서 보다 높은 보안의 내용을 사용하여, 보안 정책을 결정한다.
예를 들어, 보안 요건 1의 내용에서의 보호 키 길이는 64이지만, 보안 요건 2의 내용에서의 보호 키 길이가 128이면, 보안 정책의 보호 키 길이로서 128이 사용된다.
2. 더 많은 자원을 절약하는 원리를 준수하여, 즉 보안 정책의 내용으로서 복수의 보안 요건의 내용에서 더 많은 자원을 절약하는 내용을 사용하여 보안 정책을 결정한다. 예를 들어, 각각의 보안 요건의 내용에 암호화 알고리즘이 포함되어 있지만 일부 보안 요건 내용에서의 무결성 보호 알고리즘이 null이면, 보안 정책의 내용은 암호화 알고리즘을 포함하지만 무결성 보호 알고리즘은 포함하지 않는다.
3. 보안 요건의 우선순위를 준수하여 보안 정책을 결정한다. 구체적으로, 보안 요건이 알고리즘 우선순위를 지정하면 알고리즘 우선순위가 보안 알고리즘 협상의 기본으로 사용되고, 마지막으로 선택된 알고리즘은 모든 보안 요건에 의해 지원되는 알고리즘이며, 이 알고리즘이 가장 높은 우선순위를 가지며, 이것이 보안 정책의 내용으로서 사용된다.
또는, 보안 정책은 주로 보안 요건의 우선순위에 기초하여 협상된다. 예를 들어, 보안 요건 2에 몇 개의 암호 알고리즘의 우선순위가 지정되어 있고, 우선순위의 지정에 기초하여 보안 정책에서 사용될 암호 알고리즘이 결정된다.
또는, 복수의 보안 요건 모두가 알고리즘의 우선순위를 지정하면, 보안 요건의 알고리즘 우선순위가 주요 우선순위로서 사용될 수 있다. 예를 들어, 보안 요건 2의 우선순위가 주요 우선순위이다.
450. 정책 제어기가 무선 인터페이스 보안 정책을 세션 관리 네트워크 요소에 전송한다. 이에 상응하여, 세션 관리 네트워크 요소는 정책 제어기에 의해 전송 되는 무선 인터페이스 보안 정책을 수신한다.
460. 세션 관리 네트워크 요소가 무선 인터페이스 보안 정책을 제2 기기에 전송한다. 이에 상응하여, 제2 기기는 세션 관리 네트워크 요소에 의해 전송되는 무선 인터페이스 보안 정책을 수신한다.
470. 제2 기기가 무선 인터페이스 보안 정책을 제1 기기에 회신한다. 이에 상응하여, 제1 기기는 제2 기기에 의해 회신되는 무선 인터페이스 보안 정책을 수신한다.
제3 방식에서, 도 6c에 도시된 바와 같이, 제1 기기가 단말 기기이고 제2 기기가 액세스 네트워크 노드인 경우, 제1 기기 및 제2 기기에 의해 정책 제어기로부터 보안 정책을 획득하는 방법은 다음과 같은 단계를 포함한다.
510. 제1 기기가 제1 요청을 제2 기기에 전송하며, 여기서 제1 요청은 제1 기기 ID, 제1 기기의 보안 능력 및 서비스 보안 요건을 포함하고, 제1 요청은 선택적으로 서비스 식별자 등을 더 포함할 수 있다. 이에 따라, 제2 기기는 제1 기기에 의해 전송되는 제1 요청을 수신한다.
본 발명의 본 실시예에서, 제1 기기 ID는 제1 요청을 전송하는 제1 기기 또는 사용자의 신원을 나타내는 데 사용된다. 예를 들어, 제1 기기 ID로는 미디어 액세스 제어(Media Access Control, MAC) 주소, 인터넷 프로토콜(Internet Protocol, IP) 주소, 이동 전화 번호, 국제 이동 장비 ID(International Mobile Equipment Identity, IMEI), IP 멀티미디어 사설 ID(IP Multimedia Private Identity, IMPI), 임시 모바일 가입자 ID(Temporary Mobile Subscriber Identity, TMSI), IP 멀티미디어 공개 ID(IP Multimedia Public Identity, IMPU) 또는 글로벌 유일 임시 UE ID(Globally Unique Temporary UE Identity, GUTI)를 포함할 수 있다.
본 발명의 본 실시예에서, 제1 기기의 보안 능력은 제1 기기에 의해 지원될 수 있는 보안 알고리즘, 키 길이 및 키 갱신 주기 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 기기는 상이한 저장 용량 및 동작 속도를 갖기 때문에, 상이한 기기는 상이한 보안 알고리즘, 키 길이 및 키 갱신 주기를 지원한다는 것이다. 예를 들어, IoT 기기의 저장 용량이 크지 않고 그 동작 속도가 높지 않기 때문에, IoT 기기는 비교적 복잡도가 높은 보안 알고리즘을 지원할 수 없다. 스마트 폰은 저장 용량이 크고 동작 속도도 빠르기 때문에, 비교적 복잡도가 높은 보안 알고리즘을 지원할 수 있다. 따라서, 제1 기기는 제1 기기의 보안 능력을 정책 제어기에 통지할 필요가 있으므로, 정책 제어기는 제1 기기의 보안 능력을 참조하여 보안 정책을 생성할 수 있다.
본 발명의 본 실시예에서, 서비스 보안 요건은 서비스에 의해 수용 가능한 보안 알고리즘, 키 길이 및 키 갱신 기간 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 서비스는 보안 알고리즘, 키 길이, 및 키 갱신 기간에 대해 상이한 요건을 갖는다는 것이다. 예를 들어 금융 서비스는 보안 알고리즘에 대한 요건이 비교적 높지만 비디오 다운로드 서비스는 보안 알고리즘에 대한 요건이 비교적 낮다. 따라서, 제1 기기는 정책 제어기에 서비스 보안 요건을 통지할 필요가 있으므로, 정책 제어기는 서비스 보안 요건을 참조하여 보안 정책을 생성할 수 있다.
본 발명의 본 실시예에서, 제1 요청은 액세스 요청일 수 있거나, 세션 요청일 수 있다. 액세스 요청의 기능은 랜덤 액세스 프로세스를 트리거하는 데 사용되어, 제1 기기가 랜덤 액세스 프로세스를 수행함으로써 운영자 네트워크에 액세스할 수 있도록 하지만, 이에 한정되는 것은 아니다. 랜덤 액세스 프로세스 전에, 제1 기기는 RRC 유휴 모드(idle mode)(RRC_IDLE)에있다. 초기 랜덤 액세스 프로세스를 수행한 후, 제1 기기는 RRC 유휴 모드(RRC_IDLE)에서 RRC 연결 모드(RRC_CONNECTED)로 변경된다. 세션 요청은 제1 기기와 제2 기기 사이의 세션을 확립하도록 요청하는 데 사용된다. 예를 들어 세션은 세션 확립 프로토콜을 사용하여 확립된다. 이 경우, 세션 요청은 세션 설정 요청 시그널링이다.
520. 제2 기기가 제2 요청을 이동성 관리 네트워크 요소에 전송한다. 제2 요청은 제1 기기 ID, 제1 기기의 보안 성능 및 서비스 보안 요건, 그리고 액세스 네트워크 노드의 보안 요건을 포함한다. 이에 상응하여, 이동성 관리 네트워크 요소는 제2 기기에 의해 전송되는 제2 요청을 수신한다.
본 발명의 본 실시예에서, 제2 요청은 제1 요청에 기초하여 생성된다. 제1 요청이 액세스 요청일 때, 제2 요청도 또한 액세스 요청이거나; 또는 제1 요청이 세션 요청일 때, 제2 요청도 액세스 요청이다. 또한 제1 요청은 액세스 요청이지만 제2 요청은 세션 요청일 수도 있다. 이해할 수 있는 것은, 제1 요청과 제2 요청의 구체적인 명칭은 한정되지 않는다는 것이다. 제2 요청은 제1 기기 ID, 및 제1 기기의 보안 능력 및 서비스 보안 요건에 더하여 액세스 네트워크 노드의 보안 요건을 더 포함한다. 제1 요청이 서비스 식별자를 더 포함하면, 제2 요청도 또한 서비스 식별자를 포함하는 것으로 이해될 수 있다. 이해할 수 있는 것은, 제1 요청과 제2 요청의 구체적인 명칭은 한정되지 않는다는 것이다.
본 발명의 본 실시예에서, 액세스 네트워크 노드의 보안 능력은 액세스 네트워크 노드에 의해 제공될 수 있는 보안 알고리즘, 키 길이 및 키 갱신 기간 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 액세스 네트워크 노드는 상이한 저장 용량 및 동작 속도를 가지므로, 상이한 액세스 네트워크 노드는 상이한 보안 알고리즘, 키 길이 및 키 갱신 기간을 지원한다는 것이다. 예를 들어 액세스 네트워크 노드가 Wi-Fi 핫스폿인 경우, Wi-Fi 핫 스폿은 비교적 높은 복잡도의 보안 알고리즘을 지원할 수 없다. 액세스 네트워크 노드가 기지국인 경우, 기지국은 비교적 높은 복잡도의 보안 알고리즘을 지원할 수 있다.
530. 이동성 관리 네트워크 요소가 제2 요청을 세션 관리 네트워크 요소에 포워딩한다. 이에 상응하여, 세션 관리 네트워크 요소는 이동성 관리 네트워크 요소에 의해 전송되는 제2 요청을 수신한다.
540. 세션 관리 네트워크 요소가 제2 요청을 정책 제어기에 포워딩한다. 이에 상응하여, 정책 제어기는 세션 관리 네트워크 요소에 의해 전송되는 제2 요청을 수신한다.
550. 정책 제어기가 제2 요청에 기초하여 무선 인터페이스 보안 정책을 생성한다.
본 발명의 본 실시예에서, 정책 제어기는 제1 기기의 보안 능력 및 서비스 보안 요건, 및 액세스 네트워크 노드의 보안 능력에 기초하여, 무선 인터페이스 보안 정책을 생성할 수 있거나, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 능력 중 적어도 하나에만 기초하여 무선 인터페이스 보안 정책을 생성할 수 있다.
또한, 정책 제어기는 미리 설정된 보안 능력을 참조하여 무선 인터페이스 보안 정책을 생성할 수 있다. 미리 설정된 보안 능력은 정책 제어기에 의해 전송되는 제1 기기 ID 및/또는 서비스 식별자에 기초하여 AUSF 또는 인증 자격 증명 저장소 및 처리 기능(ARPF)에 의해 정책 제어기에 회신된다
또한, 정책 제어기는 추가로 서버의 보안 요건을 참조하여 무선 인터페이스 보안 정책을 생성할 수 있다. 서버의 보안 요건은 정책 제어기에 의해 전송되는 제1 기기 ID 및/또는 서비스 식별자에 기초하여 서버에 의해 정책 제어기에 회신된다. 서버는 단말 기기에 서비스를 제공하는 기기이다. 서버에는 애플리케이션 서버, 프린트 서버, 웹 서버, FTP 서버, 전자 상거래 서버, 데이터베이스 서버, 실시간 통신 서버, 파일 서버, 전자 메일 서버 등을 포함하지만 이에 한정되는 것은 아니다.
구체적인 실시예에서, 구체적으로, 무선 인터페이스 보안 정책은 다음의 미리 설정된 규칙에 따라 결정된다: 하나 이상의 보안 요건의 내용에 기초하여 보안 정책이 결정된다. 보안 정책이 하나의 보안 요건의 내용만을 기초로 결정되면, 보안 정책의 내용은 보안 요건의 내용과 동일하다. 보안 정책이 복수의 보안 요건의 내용에 기초하여 결정되면, 다음의 원칙들이 준수될 수 있다:
1. 보다 높은 보안의 원칙을 준수하여, 즉 보안 정책의 내용으로서 복수의 보안 요건의 내용에서 보다 높은 보안의 내용을 사용하여, 보안 정책을 결정한다.
예를 들어, 보안 요건 1의 내용에서의 보호 키 길이는 64이지만, 보안 요건 2의 내용에서의 보호 키 길이가 128이면, 보안 정책의 보호 키 길이로서 128이 사용된다.
2. 더 많은 자원을 절약하는 원리를 준수하여, 즉 보안 정책의 내용으로서 복수의 보안 요건의 내용에서 더 많은 자원을 절약하는 내용을 사용하여 보안 정책을 결정한다. 예를 들어, 각각의 보안 요건의 내용에 암호화 알고리즘이 포함되어 있지만 일부 보안 요건 내용에서의 무결성 보호 알고리즘이 null이면, 보안 정책의 내용은 암호화 알고리즘을 포함하지만 무결성 보호 알고리즘은 포함하지 않는다.
3. 보안 요건의 우선순위를 준수하여 보안 정책을 결정한다. 구체적으로, 보안 요건이 알고리즘 우선순위를 지정하면 알고리즘 우선순위가 보안 알고리즘 협상의 기본으로 사용되고, 마지막으로 선택된 알고리즘은 모든 보안 요건에 의해 지원되는 알고리즘이며, 이 알고리즘이 가장 높은 우선순위를 가지며, 이것이 보안 정책의 내용으로서 사용된다.
또는, 보안 정책은 주로 보안 요건의 우선순위에 기초하여 협상된다. 예를 들어, 보안 요건 2에 몇 개의 암호 알고리즘의 우선순위가 지정되어 있고, 우선순위의 지정에 기초하여 보안 정책에서 사용될 암호 알고리즘이 결정된다.
또는, 복수의 보안 요건 모두가 알고리즘의 우선순위를 지정하면, 보안 요건의 알고리즘 우선순위가 주요 우선순위로서 사용될 수 있다. 예를 들어, 보안 요건 2의 우선순위가 주요 우선순위이다.
560. 정책 제어기가 무선 인터페이스 보안 정책을 세션 관리 네트워크 요소에 전송한다. 이에 상응하여, 세션 관리 네트워크 요소는 정책 제어기에 의해 전송 되는 무선 인터페이스 보안 정책을 수신한다.
570. 세션 관리 네트워크 요소가 무선 인터페이스 보안 정책을 이동성 관리 네트워크 요소에 회신한다. 이에 상응하여, 이동성 관리 네트워크 요소는 세션 관리 네트워크 요소에 의해 전송되는 무선 인터페이스 보안 정책을 수신한다.
580. 이동성 관리 네트워크 요소가 무선 인터페이스 보안 정책을 제2 기기에 회신한다. 이에 상응하여, 제2 기기는 이동성 관리 네트워크 요소에 의해 전송되는 무선 인터페이스 보안 정책을 수신한다.
590. 제2 기기가 무선 인터페이스 보안 정책을 제1 기기에 회신한다. 이에 상응하여, 제1 기기는 제2 기기에 의해 회신되는 무선 인터페이스 보안 정책을 수신한다.
제4 방식에서, 도 6d에 도시된 바와 같이, 제1 기기가 단말 기기이고 제2 기기가 액세스 네트워크 노드인 경우, 제1 기기 및 제2 기기에 의해 정책 제어기로부터 보안 정책을 획득하는 방법은 다음과 같은 단계를 포함한다.
610. 제1 기기가 제1 요청을 제2 기기에 전송하며, 여기서 제1 요청은 제1 기기 ID, 제1 기기의 보안 능력 및 서비스 보안 요건을 포함하고, 제1 요청은 선택적으로 서비스 식별자 등을 더 포함할 수 있다. 이에 따라, 제2 기기는 제1 기기에 의해 전송되는 제1 요청을 수신한다.
본 발명의 본 실시예에서, 제1 기기 ID는 제1 요청을 전송하는 제1 기기 또는 사용자의 신원을 나타내는 데 사용된다. 예를 들어, 제1 기기 ID로는 미디어 액세스 제어(Media Access Control, MAC) 주소, 인터넷 프로토콜(Internet Protocol, IP) 주소, 이동 전화 번호, 국제 이동 장비 ID(International Mobile Equipment Identity, IMEI), IP 멀티미디어 사설 ID(IP Multimedia Private Identity, IMPI), 임시 모바일 가입자 ID(Temporary Mobile Subscriber Identity, TMSI), IP 멀티미디어 공개 ID(IP Multimedia Public Identity, IMPU) 또는 글로벌 유일 임시 UE ID(Globally Unique Temporary UE Identity, GUTI)를 포함할 수 있다.
본 발명의 본 실시예에서, 제1 기기의 보안 능력은 제1 기기에 의해 지원될 수 있는 보안 알고리즘, 키 길이 및 키 갱신 주기 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 기기는 상이한 저장 용량 및 동작 속도를 갖기 때문에, 상이한 기기는 상이한 보안 알고리즘, 키 길이 및 키 갱신 주기를 지원한다는 것이다. 예를 들어, IoT 기기의 저장 용량이 크지 않고 그 동작 속도가 높지 않기 때문에, IoT 기기는 비교적 복잡도가 높은 보안 알고리즘을 지원할 수 없다. 스마트 폰은 저장 용량이 크고 동작 속도도 빠르기 때문에, 비교적 복잡도가 높은 보안 알고리즘을 지원할 수 있다. 따라서, 제1 기기는 제1 기기의 보안 능력을 정책 제어기에 통지할 필요가 있으므로, 정책 제어기는 제1 기기의 보안 능력을 참조하여 보안 정책을 생성할 수 있다.
본 발명의 본 실시예에서, 서비스 보안 요건은 서비스에 의해 수용 가능한 보안 알고리즘, 키 길이 및 키 갱신 기간 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 서비스는 보안 알고리즘, 키 길이, 및 키 갱신 기간에 대해 상이한 요건을 갖는다는 것이다. 예를 들어 금융 서비스는 보안 알고리즘에 대한 요건이 비교적 높지만 비디오 다운로드 서비스는 보안 알고리즘에 대한 요건이 비교적 낮다. 따라서, 제1 기기는 정책 제어기에 서비스 보안 요건을 통지할 필요가 있으므로, 정책 제어기는 서비스 보안 요건을 참조하여 보안 정책을 생성할 수 있다.
본 발명의 본 실시예에서, 제1 요청은 액세스 요청일 수 있거나, 세션 요청일 수 있다. 액세스 요청의 기능은 랜덤 액세스 프로세스를 트리거하는 데 사용되어, 제1 기기가 랜덤 액세스 프로세스를 수행함으로써 운영자 네트워크에 액세스할 수 있도록 하지만, 이에 한정되는 것은 아니다. 랜덤 액세스 프로세스 전에, 제1 기기는 RRC 유휴 모드(idle mode)(RRC_IDLE)에있다. 초기 랜덤 액세스 프로세스를 수행한 후, 제1 기기는 RRC 유휴 모드(RRC_IDLE)에서 RRC 연결 모드(RRC_CONNECTED)로 변경된다. 세션 요청은 제1 기기와 제2 기기 사이의 세션을 확립하도록 요청하는 데 사용된다. 예를 들어 세션은 세션 개시 프로토콜에 의해 확립된다. 이 경우, 세션 요청은 인바이트(invite) 시그널링이다.
620. 제2 기기가 제1 요청을 정책 제어기에 전송한다. 제2 요청은 제1 기기 ID, 제1 기기의 보안 성능 및 서비스 보안 요건을 포함한다. 이에 상응하여, 정책 제어기는 제2 기기에 의해 전송되는 제2 요청을 수신한다.
본 발명의 본 실시예에서, 제2 요청은 제1 요청에 기초하여 생성된다. 제1 요청이 액세스 요청일 때, 제2 요청도 또한 액세스 요청이거나; 또는 제1 요청이 세션 요청일 때, 제2 요청도 액세스 요청이다. 또한 제1 요청은 액세스 요청이지만 제2 요청은 세션 요청일 수도 있다. 이해할 수 있는 것은, 제1 요청과 제2 요청의 구체적인 명칭은 한정되지 않는다는 것이다.
630. 정책 제어기가 제2 요청에 기초하여 코어 네트워크 봔 정책을 생성한다.
본 발명의 본 실시예에서, 정책 제어기는 제1 기기의 보안 능력 및 서비스 보안 요건에 기초하여, 무선 인터페이스 보안 정책을 생성할 수 있거나, 서비스 보안 요건에만 기초하여 무선 인터페이스 보안 정책을 생성할 수 있다.
또한, 정책 제어기는 미리 설정된 보안 능력을 참조하여 코어 네트워크 보안 정책을 생성할 수 있다. 미리 설정된 보안 능력은 정책 제어기에 의해 전송되는 제1 기기 ID 및/또는 서비스 식별자에 기초하여 AUSF 또는 인증 자격 증명 저장소 및 처리 기능(ARPF)에 의해 정책 제어기에 회신된다
또한, 정책 제어기는 추가로 서버의 보안 요건을 참조하여 코어 네트워크 보안 정책을 생성할 수 있다. 서버의 보안 요건은 정책 제어기에 의해 전송되는 제1 기기 ID 및/또는 서비스 식별자에 기초하여 서버에 의해 정책 제어기에 회신된다. 서버는 단말 기기에 서비스를 제공하는 기기이다. 서버에는 애플리케이션 서버, 프린트 서버, 웹 서버, FTP 서버, 전자 상거래 서버, 데이터베이스 서버, 실시간 통신 서버, 파일 서버, 전자 메일 서버 등을 포함하지만 이에 한정되는 것은 아니다.
구체적인 실시예에서, 구체적으로, 무선 인터페이스 보안 정책은 다음의 미리 설정된 규칙에 따라 결정된다: 하나 이상의 보안 요건의 내용에 기초하여 보안 정책이 결정된다. 보안 정책이 하나의 보안 요건의 내용만을 기초로 결정되면, 보안 정책의 내용은 보안 요건의 내용과 동일하다. 보안 정책이 복수의 보안 요건의 내용에 기초하여 결정되면, 다음의 원칙들이 준수될 수 있다:
1. 보다 높은 보안의 원칙을 준수하여, 즉 보안 정책의 내용으로서 복수의 보안 요건의 내용에서 보다 높은 보안의 내용을 사용하여, 보안 정책을 결정한다.
예를 들어, 보안 요건 1의 내용에서의 보호 키 길이는 64이지만, 보안 요건 2의 내용에서의 보호 키 길이가 128이면, 보안 정책의 보호 키 길이로서 128이 사용된다.
2. 더 많은 자원을 절약하는 원리를 준수하여, 즉 보안 정책의 내용으로서 복수의 보안 요건의 내용에서 더 많은 자원을 절약하는 내용을 사용하여 보안 정책을 결정한다. 예를 들어, 각각의 보안 요건의 내용에 암호화 알고리즘이 포함되어 있지만 일부 보안 요건 내용에서의 무결성 보호 알고리즘이 null이면, 보안 정책의 내용은 암호화 알고리즘을 포함하지만 무결성 보호 알고리즘은 포함하지 않는다.
3. 보안 요건의 우선순위를 준수하여 보안 정책을 결정한다. 구체적으로, 보안 요건이 알고리즘 우선순위를 지정하면 알고리즘 우선순위가 보안 알고리즘 협상의 기본으로 사용되고, 마지막으로 선택된 알고리즘은 모든 보안 요건에 의해 지원되는 알고리즘이며, 이 알고리즘이 가장 높은 우선순위를 가지며, 이것이 보안 정책의 내용으로서 사용된다.
또는, 보안 정책은 주로 보안 요건의 우선순위에 기초하여 협상된다. 예를 들어, 보안 요건 2에 몇 개의 암호 알고리즘의 우선순위가 지정되어 있고, 우선순위의 지정에 기초하여 보안 정책에서 사용될 암호 알고리즘이 결정된다.
또는, 복수의 보안 요건 모두가 알고리즘의 우선순위를 지정하면, 보안 요건의 알고리즘 우선순위가 주요 우선순위로서 사용될 수 있다. 예를 들어, 보안 요건 2의 우선순위가 주요 우선순위이다.
640. 정책 제어기가 코어 네트워크 보안 정책을 제2 기기에 회신한다. 이에 상응하여, 제2 기기가 정책 제어기에 의해 전송되는 코어 네트워크 보안 정책을 수신한다.
650. 제2 기기가 코어 네트워크 보안 정책 및 액세스 네트워크 노드의 보안 능력을 참조하여 무선 인터페이스 보안 정책을 결정한다.
본 발명의 본 실시예에서, 액세스 네트워크 노드의 보안 능력은 액세스 네트워크 노드에 의해 제공될 수 있는 보안 알고리즘, 키 길이 및 키 갱신 기간 중 적어도 하나를 나타내는 데 사용된다. 이해할 수 있는 것은, 상이한 액세스 네트워크 노드는 상이한 저장 용량 및 동작 속도를 가지므로, 상이한 액세스 네트워크 노드는 상이한 보안 알고리즘, 키 길이 및 키 갱신 기간을 지원한다는 것이다. 예를 들어 액세스 네트워크 노드가 Wi-Fi 핫스폿인 경우, Wi-Fi 핫 스폿은 비교적 높은 복잡도의 보안 알고리즘을 지원할 수 없다. 액세스 네트워크 노드가 기지국인 경우, 기지국은 비교적 높은 복잡도의 보안 알고리즘을 지원할 수 있다.
660. 제2 기기가 무선 인터페이스 보안 정책을 제1 기기에 회신한다. 이에 상응하여, 제1 기기는 제2 기기에 의해 전송되는 무선 인터페이스 보안 정책을 수신한다.
도 7을 참조하여, 이하에 본 발명의 일 실시예에 따른 인증 서비스 네트워크 요소로부터 제1 기기 및 제2 기기에 의해 하나 이상의 키를 획득하는 방법의 구현예를 설명한다. 제1 기기가 단말 기기이고 제2 기기가 액세스 네트워크 노드인 경우, 인증 서비스 네트워크 요소로부터 제1 기기 및 제2 기기에 의해 하나 이상의 키를 획득하는 방법은 구체적으로 다음 단계를 포함한다.
710. 제1 기기가 제3 요청을 제2 기기에 전송한다. 이에 상응하여, 제2 기기는 제1 기기에 의해 전송되는 제3 요청을 수신한다.
본 발명의 본 실시예에서, 제3 요청은 제1 기기가 네트워크에 액세스하고 MM과 컨텍스트를 확립하는 프로세스 전에 전송될 수 있거나; 또는 제1 기기가 네트워크에 액세스하고 MM과 컨텍스트를 설정할 때 전송될 수 있거나; 또는 제1 기기가 양방향 인증 및 AUSF를 수행할 때 전송될 수 있다. 선택적으로, 제3 요청은 액세스 요청일 수 있다.
본 발명의 본 실시예에서, 제3 요청은 제1 기기 ID 또는 사용자 ID를 포함하며, 제1 기기 ID는 제1 요청을 전송하는 제1 기기 또는 사용자의 신원을 나타내는 데 사용된다. 예를 들어, 제1 기기 ID로는 미디어 액세스 제어(Media Access Control, MAC) 주소, 인터넷 프로토콜(Internet Protocol, IP) 주소, 이동 전화 번호, 국제 이동 장비 ID(International Mobile Equipment Identity, IMEI), IP 멀티미디어 사설 ID(IP Multimedia Private Identity, IMPI), 임시 모바일 가입자 ID(Temporary Mobile Subscriber Identity, TMSI), IP 멀티미디어 공개 ID(IP Multimedia Public Identity, IMPU) 또는 글로벌 유일 임시 UE ID(Globally Unique Temporary UE Identity, GUTI)를 포함할 수 있다.
720. 제2 기기가 제3 요청을 인증 노드(AUSF 또는 SEAF와 같은 노드)에 전송한다. 이에 상응하여, 인증 노드는 제2 기기에 의해 전송되는 제3 요청을 수신한다.
730. 제1 기기와 인증 노드는 서로를 인증한다.
선택적 인증 모드에서, 인증 전에, 인증 노드는 제1 기기 ID를 루트 키 저장 센터(예: ARPF)에 전송하고, 루트 키 저장 센터로부터 인증 벡터를 획득할 수 있다. 인증 벡터에 기초하여, 제1 기기와 인증 노드는 서로의 인증을 완료한다.
본 발명의 본 실시예에서, 제1 기기와 인증 노드는 양방향 인증을 성공적으로 수행한 후, 제1 기기와 인증 노드는 각각 하나의 도출 또는 복수의 도출을 수행하여 기본 키 또는 기본 키들을 획득한다.
인증 노드는 기본 키를 KMS에 전송한다.
KMS는 독립적으로 배치될 수 있거나, 다른 네트워크 요소와 함께 배치될 수도 있다. 예를 들어, KMS는 인증 센터, AUSF, ARPF, SEAF, SCMF, AMF, SMF, AN(제2 기기), MME 등과 함께 배치된다.
740. 제1 기기기 기본 키에 기초하여 액세스 키를 도출한다.
본 발명의 본 실시예에서, 보안 정책의 내용은 암호화 알고리즘 및 무결성 보호 알고리즘 중 적어도 하나를 포함할 수 있기 때문에, 키는 보안 정책에 기초하여 계산될 수 있고 암호화 및/또는 무결성 보호에 사용될 수 있거나, 기밀성 보호에 사용되는 키와 무결성 보호에 사용되는 키는 별도로 계산될 수 있다. 또한, 키가 무선 인터페이스 시그널링을 보호하는 데 사용되는지 사용자 평면 데이터를 보호하는 데 사용되는지에 따라, 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 정보 무결성 키, 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키로 더 분류될 수 있다.
본 발명의 본 실시예에서, 제1 기기는 제1 파라미터 및 기본 키에 기초하여 중간 키를 도출한다. 그 다음, 제1 기기는 제2 파라미터 및 중간 키에 기초하여 하나 이상의 키를 생성한다. 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS 카운터, 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 베어러 식별자, 흐름 식별자, 정책 세트 및 슬라이스 식별자 중 적어도 하나를 포함한다. 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 흐름 식별자, 슬라이스 식별자, 정책 세트 및 세션 식별자 중 적어도 하나를 포함하고, 상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나이다.
구체적인 실시예에서, 제1 기기가 제1 파라미터 및 기본 키에 기초하여 중간 키 Kan을 도출하는 것은 구체적으로,
Kan = KDF (액세스 네트워크 노드의 식별자, NAS 카운터, 중간 키를 생성하기위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 베어러 식별자, 흐름 식별자, 정책 집합, 세션 식별자 및 슬라이스 식별자)이다.
정책 세트는 보안 정책이고, Kkms는 기본 키이고, nonce 1은 랜덤 파라미터이다.
구체적인 실시예에서, 제1 기기는 제2 파라미터에 기초하여 암호화 키(K1)를 도출하고 중간 키는 구체적으로,
K1 = KDF(Kan, (무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나), 정책 세트)이거나; 또는
K1 = KDF(Kan, (무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나))이거나; 또는
K1 = KDF(Kan, 암호화 알고리즘 ID, (무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자, 세션 식별자))이거나; 또는
K1 = KDF(Kan, 암호화 식별자, (무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나)이거나 ; 또는
K1 = KDF(Kan, 암호화 알고리즘 ID)이다.
정책 세트는 보안 정책이고, Kan은 중간 키이다.
전술한 바와 같이, 암호화 식별자는 도출된 결과가 암호화 키임을 식별하는 데 사용되는 문자열일 수 있다. 논스 2는 랜덤 파라미터이며, KMS에서 선택될 수 있거나, 제1 기기에 의해 세션 요청에 부가될 수 있다. 계산에 랜덤 파라미터를 사용하는 목적은, 키의 보안 및 임의성(randomicity)을 향상시키는 것이다. 또한 두 개의 논스 중 하나는 키 도출에 포함되고, 여기서 하나의 논스(KMS에 의해 선택되고 제1 기기에 직접 전송되거나, SM을 통해 제1 기기에 전송됨)는 KMS로부터 오고, 다른 논스는 제1 기기로 부터 온다(제1 기기에 의해 세션 요청에 부가됨).
구체적인 실시예에서, 제1 기기가 제2 파라미터 및 중간 키에 기초하여
무결성 키(K2)를 도출하는 것은 구체적으로,
K2 = KDF(Kan,(무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나), 정책 세트)이거나; 또는
K2 = KDF(Kan,(무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 중 적어도 하나))이거나; 또는
K2 = KDF(Kan, (무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자))이거나; 또는
K2 = KDF(Kan, 무결성 보호 식별자, (무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나))이거나; 또는
K2 = KDF(Kan, 무결성 보호 알고리즘 ID)이다.
무결성 보호 식별자는 도출된 결과가 무결성 보호 키임을 식별하기 위해 사용되는 문자열일 수 있다.
KDF는 키 도출 기능이고, 다음의 키 도출 기능: HMAC(예: HMAC-SHA256 및 HMAC-SHA1), NMAC, CMAC, OMAC, CBC-MAC, PMAC, UMAC, VMAC 및 HASH 알고리즘 등을 포함하지만 이에 한정되는 것은 아니다. 또한 보안 정책의 요구 사항은 상이하다. 예를 들어, 보안 정책 1에서의 보호 키 길이는 256 비트여야 하지만, 보안 정책 2에서의 보호 키 길이는 128 비트여야 한다. 이 경우, 제1 기기는 상이한 보호 키 길이에 대해 상이한 보안 정책의 요건을 충족시키기 위해 상이한 키 도출 알고리즘을 사용할 수 있다(예: HMAC-SHA1을 사용하여 128비트 보호 키 생성하고, HMAC-SHA256을 사용하여 256비트 보호 키를 생성함). 또한 KMS는 하나의 알고리즘만 사용하여 키를 생성한 다음 자르기(truncate) 또는 연장(prolonging)과 같은 다른 방식으로 다른 길이의 키를 생성할 수 있다. 제1 기기에 의한 키 길이의 처리는 전술한 처리 방식을 포함하지만 이에 한정되는 것은 아니다.
이해될 수 있는 것은, 중간 키는 기본 키에 기초하여 도출 또는 복수의 도출을 수행함으로써 획득될 수 있으며, 하나 이상의 키는 중간 키에 기초하여 도출 또는 복수의 도출을 수행함으로써 획득될 수도 있다.
750. KMS가 기본 키에 기초하여 중간 키를 도출한다.
본 발명의 본 실시예에서, KMS는 제1 파라미터 및 기본 키에 기초하여 중간 키를 도출한다. 세부사항은 단계 740을 참조하기 바란다. 여기서는 세부사항을 다시 설명하지 않는다.
760. KMS가 중간 키를 제2 기기에 전송한다. 이에 상응하여, 제2 기기는 AUSF에 의해 전송되는 중간 키를 수신한다.
770. 제2 기기가 중간 키에 기초하여 하나 이상의 키를 도출한다.
본 발명의 본 실시예에서, 제2 기기는 제2 파라미터 및 중간 키에 기초하여 하나 이상의 키를 도출한다. 세부사항은 단계 740를 참조하기 바란다. 여기서는 세부사항을 다시 설명하지 않는다.
유의해야 할 것은, 전술한 실시예에서, 주로 제1 기기 및 제2 기기가 하나 이상의 키를 도출하는 예를 설명을 위해 사용되었고; 또한, 하나 이상의 키가 MM, KMS, SM, AAA 또는 정책 제어와 같은, 네트워크 요소에 의해 추가로 도출될 수 있다. 본 출원에서는 이를 한정하지 않는다.
또한, 제2 기기가 무선 인터페이스 보호 보안 정책을 포함하는 요청을 KMS에 전송하고, KMS가 암호화 키 및 무결성 보호 키를 도출한 다음, 제2 기기에 키를 전송하는 것도 가능하다 .
이하에 본 발명의 일 실시예에 따른 제2 기기에 의한 세션의 세션 식별자를 결정하는 몇 가지 주요 구현예를 설명한다.
제2 기기가 사용자 평면 노드 인 경우, 제2 기기에 의한 세션의 세션 식별자를 결정하는 방식은 다음과 같은 몇 가지 방식을 포함한다:
제1 구현예에서, 제2 기기는 보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 세션의 세션 식별자를 결정한다. 캡슐화 헤더 내의 식별자와 세션 식별자 사이에 매핑 관계가 존재하기 때문에, 제2 기기는 캡슐화 헤더 내의 식별자에 기초하여 세션 식별자를 결정할 수 있다. 캡슐화 헤더 내의 식별자는 QoS 식별자, 터널 식별자 및 MAC 식별자 중 적어도 하나를 포함한다. 예를 들어, 캡슐화 헤더가 GTP(GPRS Tunneling Protocol, GPRS 터널링 프로토콜) 캡슐화 포맷이면, 도 8에 도시된 바와 같이, 캡슐화 헤더는 버전(Version), 프로토콜(Protocol type), 예약 비트(Reserved), 확장 헤더 플래그(Extension Header Flag), 시퀀스 번호 플래그(Sequence Number Flag), 비PDU 번호 플래그(N-PDU Number Flag), 메시지 유형(Message Type), 메시지 길이(Message Length), 터널 식별자(GTP 터널 종점 ID), 시퀀스 번호(Sequence number), 비PDU 번호 N-PDU 번호) 및 다음 확장 헤더 유형(Next extension header type)을 포함한다. 제2 기기는 캡슐화 헤더 내의 터널 식별자에 기초하여 세션 식별자를 결정할 수 있다.
제2 구현예에서, 제2 기기는 보호된 데이터가 위치하는 외부 IP 헤더에 기초하여 세션의 세션 식별자를 결정한다. 도 9에 도시된 바와 같이, 외부 IP 헤더는 버전(Version), 패킷 길이(Internet Header Length, IHL), 서비스 유형(Service Type, TOS), 전체 길이, 식별자, 플래그, 세그먼트 오프셋, 프로토콜, 헤더 체크섬, 근원지 주소(source address), 목적지 주소, 옵션 및 데이터를 포함할 수 있다. 근원지 주소 및/또는 목적지 주소9destination address)와 세션 식별자 사이에 매핑 관계가 존재하고, 세션의 세션 식별자는 외부 IP 헤더 내의 근원지 주소 및/또는 목적지 주소에 기초하여 결정될 수 있다.
제3 구현예에서, 제2 기기는 보호된 데이터가 위치하는 캡슐화 헤더 내의 식별자 및 보호된 데이터가 위치하는 외부 IP 헤더 내의 근원지 주소 및/또는 목적지 주소에 기초하여 세션의 세션 식별자를 결정한다.
제4 구현예에서, 제2 기기는 보호된 데이터가 위치하는 프로토콜 데이터 유닛 헤더 내의 식별자 및/또는 보호된 데이터가 위치하는 캡슐화 헤더 내의 식별자에 기초하여 세션의 세션 식별자를 결정한다. 프로토콜 데이터 유닛 헤더 내의 식별자는 IP 주소, MAC 주소 및 다른 식별자 중 적어도 하나일 수 있다. 프로토콜 데이터 유닛 헤더 내의 식별자와 세션 식별자 사이에 매핑 관계가 존재하거나, 또는 캡슐화 헤더 내의 식별자와 세션의 세션 식별자 사이에 매핑 관계가 존재하거나, 또는 프로토콜 데이터 유닛 헤더 내의 식별자와 캡슐화 헤더 내의 식별자와 세션 식별자의 조합 사이에 매핑 관계가 존재한다. 따라서, 세션 식별자는 프로토콜 데이터 유닛 헤더 및 캡슐화 헤더에 기초하여 결정될 수 있다. 유의해야 할 것은, 프로토콜 데이터 유닛 헤더의 포맷은 외부 IP 헤더의 포맷과 유사하다. 자세한 것은 도 9 및 관련 설명을 참조한다.
매핑 방법은 다음의 방식을 포함하지만 이에 한정되는 것은 아니다: 제2 기기는 프로토콜 데이터 유닛 헤더의 식별자를 필터에 입력하고, 필터는 세션 식별자를 출력한다. 필터는 프로토콜 데이터 유닛 헤더 내의 식별자와 세션 식별자 간의 매핑 관계를 나타낼 수 있다. 구체적으로, 프로토콜 데이터 유닛 헤더 내의 식별자가 필터에 입력되는 경우, 필터는 세션 식별자를 출력한다.
제5 구현예에서, 제2 기기는 보호된 데이터 내의 파라미터 필드에 기초하여 세션의 세션 식별자를 결정한다. 도 3a 또는 도 3b는 파라미터 필드를 도시한다. 구체적인 구현예에서, 세션 식별자는 파라미터 필드 내의 제2 식별자 필드의 내용에 기초하여 결정될 수 있다. 예를 들어, 파라미터 필드 내의 제2 식별자 필드가 세션 식별자이면, 제2 기기는 세션 식별자를 직접 획득할 수 있다. 파라미터 필드의 제2 식별자 필드가 서비스 식별자, 베어러 식별자, 흐름(flow) 식별자 및 슬라이스 식별자 중 적어도 하나인 경우, 세션 식별자는 서비스 식별자, 베어러 식별자, 흐름(flow) 식별자 및 슬라이스 식별자와 세션 식별자 사이의 매핑 관계에 기초하여 획득될 수 있다.
제2 기기가 액세스 네트워크 노드인 경우, 제2 기기에 의한 세션의 세션 식별자를 결정하는 방식은 다음의 몇 가지 방식을 포함한다:
제1 구현예에서, 제2 기기는 세션에 의해 점유되는 무선 인터페이스 자원에 기초하여 세션의 세션 식별자를 결정한다. 도 10은 세션에 의해 점유되는 무선 인터페이스 자원을 도시한다. 구체적인 구현예에서, 세션의 세션 식별자는 세션에 의해 점유되는 무선 인터페이스 자원을 구별함으로써 결정될 수 있다. 예를 들어, 도 10에 도시된 바와 같이, 세션은 타임 슬롯이 S1인 무선 인터페이스 자원을 점유하고(도면에서 음영 부분), 세션의 세션 식별자는 세션에 의해 점유되는 무선 인터페이스 자원(S1)에 기초하여 결정될 수 있다. 이 예는 단지 본 발명의 실시예를 설명하기 위해 사용된 것으로서 한정사항으로 해석되어서는 안된다.
제2 구현예에서, 제2 기기는 세션에 의해 점유되는 무선 인터페이스의 무선 인터페이스 식별자에 기초하여 세션의 세션 식별자를 결정한다. 무선 인터페이스 식별자는 무선 인터페이스 베어러 식별자(예: 시그널링 베어러 식별자 또는 데이터 베어러 식별자), 무선 인터페이스 자원 식별자 또는 셀 무선 네트워크 임시 식별자(CRNTI: Cell Radio Network Temporary Identify)와 같은 식별자일 수 있다. 무선 인터페이스 식별자와 세션 식별자 사이에 매핑 관계가 존재하기 때문에, 세션 식별자는 무선 인터페이스 식별자와 세션 식별자 사이의 매핑 관계에 기초하여 결정될 수 있다. 도 11은 세션에 의해 점유되는 데이터 무선 베어러의 확률을 도시하며, 여기서 세션의 세션 식별자는 세션에 의해 점유되는 데이터 무선 베어러의 식별자를 구별함으로써 결정될 수 있다. 도 11에 도시된 바와 같이, 세션은 데이터 무선 베어러를 확립하기 위해 음영 영역 "1", "2" 및 "3"으로 표시된 자원을 점유하고, 세션의 세션 식별자는 세션에 의해 점유되는 무선 베어러의 식별자에 기초하여 결정될 수 있다. 이 예는 단지 본 발명의 본 실시예를 설명하기 위해 사용된 것으로서 한정사항으로서 해석되어서는 안된다.
제3 구현예에서, 제2 기기는 보호된 데이터 내의 파라미터 필드에 기초하여 세션의 세션 식별자를 결정한다. 도 3a 또는 도 3b는 파라미터 필드를 도시한다. 구체적인 구현예에서, 세션 식별자는 파라미터 필드 내의 제2 식별자 필드의 내용에 기초하여 결정될 수 있다. 예를 들어, 파라미터 필드 내의 제2 식별자 필드가 세션 식별자이면, 제2 기기는 세션 식별자를 직접 획득할 수 있다. 파라미터 필드의 제2 식별자 필드가 서비스 식별자, 베어러 식별자, 흐름(flow) 식별자 및 슬라이스 식별자 중 적어도 하나인 경우, 세션 식별자는 서비스 식별자, 베어러 식별자, 흐름(flow) 식별자 및 슬라이스 식별자와 세션 식별자 사이의 매핑 관계에 기초하여 획득될 수 있다.
이상은 본 발명의 실시예에서의 방법을 상세하게 설명한 것이다. 이하는 본 발명의 실시예에서의 장치를 제공한다.
도 12는 본 발명의 일 실시예에 따른 제1 기기의 개략 구성도이다. 제1 기기는 획득 모듈(810) 및 송신 모듈(820)을 포함할 수 있으며, 여기서 유닛에 관한 상세한 설명은 다음과 같다:
획득 모듈(810)은 세션의 보안 정책 및 하나 이상의 키를 획득하도록 구성된다.
전송 모듈(820)은 보호된 데이터를 제2 기기에 전송하도록 구성되며, 여기서 보호된 데이터는 세션의 보안 정책에 기초하여 하나 이상의 키를 사용하여 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 제2 기기는 보안 정책에 기초하여 하나 이상의 키를 사용하여 보호된 데이터를 복원하여 세션 데이터를 획득하도록 구성된다.
제1 기기가 단말 기기일 때, 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 제2 기기는 단말 기기이다.
선택적으로, 하나 이상의 키는 제1 키 및 제2 키를 포함하며, 제1 키는 세션의 제1 보안을 보호하는 데 사용되고, 제2 키는 세션의 제2 보안을 보호하는 데 사용된다.
선택적으로, 보안 정책은 세션 데이터의 보호 모드를 지시하는 데 사용되며, 보호 모드는 제1 보안 알고리즘에 기초하여 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하는 것이거나, 제2 보안 알고리즘에 기초하여 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 것이거나, 제1 보안 알고리즘에 기초하여 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하고 제2 보안 알고리즘에 기초하여 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 것이다.
선택적으로, 보안 정책은 추가로, 제1 보안 알고리즘, 제2 보안 알고리즘, 키 길이 및 키 갱신 시간 중 적어도 하나를 지시하는 데 사용된다.
선택적으로, 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함하며, 제1 키 길이는 제1 키의 길이를 나타내는 데 사용되며, 제2 키 길이는 제2 키의 길이를 나타내는 데 사용된다.
선택적으로, 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함하며, 제1 키 갱신 시간은 제1 키의 갱신 시간을 나타내는 데 사용되고, 제2 키 갱신 시간은 제2 키의 갱신 시간을 나타내는 데 사용된다.
선택적으로, 제1 보안은 기밀성이고, 제2 보안은 무결성이다.
선택적으로, 보호된 데이터는 파라미터 필드를 더 포함하며, 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함하고, 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용되고, 제2 식별자 필드는 서비스 식별자, 세션 식별자, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용되고, 제3 식별자는 세션의 보호 모드를 지시하는 데 사용된다.
선택적으로, 파라미터 필드는 길이 필드, 패킷 필드 및 MAC 필드 중 적어도 하나를 더 포함하며, 길이 필드는 파라미터 필드의 길이를 지시하는 데 사용되고, 패킷 필드는 패킷이 암호화되는 경우에 패킷의 길이를 지시하는 데 사용되고, MAC 필드는 세션의 무결성이 보호됨을 지시하는 데 사용된다.
선택적으로, 획득 모듈(810)은 구체적으로 보안 정책을 정책 제어기로부터 획득하도록 구성된다.
선택적으로, 도 13에 도시된 바와 같이, 획득 모듈(810)은 전송 유닛(811) 및 수신 유닛(813)을 포함하고,
전송 유닛(811)은 액세스 네트워크 노드에 제1 요청을 전송하도록 구성되고 - 여기서 제1 요청은 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -;
수신 유닛(813)은 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하도록 구성되며, 보안 정책은 액세스 네트워크 노드에 의해 제2 요청을 정책 제어기에 전송함으로써 획득되고, 제2 요청은 액세스 네트워크 노드에 의해 제1 요청에 기초하여 생성되고 제1 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건을 포함한다.
선택적으로, 전송 유닛(811)은 액세스 네트워크 노드에 제1 요청을 전송하도록 구성되고 - 여기서 제1 요청은 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 수신 유닛은 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하도록 구성되며, 여기서 보안 정책은 액세스 네트워크 노드에 의해 하나 이상의 네트워크 요소를 통해 정책 제어기에 제2 요청을 포워딩함으로써 획득되며, 제2 요청은 제1 요청에 기초하여 액세스 네트워크 노드에 의해 생성되고 제1 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건을 포함한다.
선택적으로, 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소를 포함하거나; 또는 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소나 이동성 관리 엔티티를 포함한다.
선택적으로, 전송 유닛(811)은 액세스 네트워크 노드에 제1 요청을 전송하도록 구성되고 - 여기서 제1 요청은 제1 기기의 보안 능력, 및 서비스 보안 요건을 포함함 -; 수신 유닛(813)은 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하도록 구성되며, 여기서 보안 정책은 액세스 네트워크 노드에 의해 코어 네트워크 보안 정책, 및 액세스 네트워크 노드의 보안 능력에 기초하여 생성되고, 코어 네트워크 보안 정책은 정책 제어기에 의해 액세스 네트워크 노드에 의해 포워딩되는 제1 요청에 기초하여 생성된다.
선택적으로, 도 14에 도시된 바와 같이, 제2 기기가 액세스 네트워크 노드일 때, 획득 모듈(810)은 전송 유닛(812), 획득 유닛(814) 및 도출 유닛(816)을 포함하고,
전송 유닛(812)은 액세스 네트워크 노드를 통해 제3 요청을 인증 노드에 전송하도록 구성되고;
획득 유닛(814)은 제3 요청에 기초하여 기본 키를 획득하도록 구성되고 - 기본 키는 제1 기기 및 인증 노드가 서로 인증한 후에 생성됨 -;
도출 유닛(816)은 기본 키에 기초하여 하나 이상의 키를 도출하도록 구성된다.
선택적으로, 도출 유닛(816)은 기본 키에 기초하여 중간 키를 도출하고, 중간 키에 기초하여 하나 이상의 키를 도출하도록 구성된다.
선택적으로, 도출 유닛(816)은 제1 파라미터 및 기본 키에 기초하여 중간 키를 도출하도록 구성되며, 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS 카운터, 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스(nonce) 1, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 포함한다.
선택적으로, 도출 유닛(816)은 제2 파라미터 및 중간 키에 기초하여 하나 이상의 키를 도출하도록 구성되며, 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나를 포함한다.
선택적으로, 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
선택적으로, 보호된 데이터는 헤더 데이터, 또는 페이로드 데이터, 또는 패킷이며, 패킷이 헤더 데이터 및 페이로드 데이터를 포함한다.
유의해야 할 것은, 각각의 유닛의 구현에 대해서는, 이에 상응하여 도 2에 도시된 방법 실시예에 관한 대응하는 설명을 더 참조할 수 있다는 것이다.
도 15는 본 발명의 일 실시예에 따른 제2 기기의 개략 구성도이다. 제2 기기는 결정 모듈(910), 획득 모듈(920) 및 식별 모듈(930)을 포함할 수 있으며, 유닛들에 관한 상세한 설명은 다음과 같다 :
결정 모듈(910)은 세션의 세션 식별자를 결정하도록 구성된다.
획득 모듈(920)은 세션의 보안 정책 및 하나 이상의 키를 획득하도록 구성된다.
식별 모듈(930)은 세션 식별자에 기초하여, 제1 기기에 의해 전송되는, 세션의 보호된 데이터를 식별하고, 세션의 세션 정책에 기초하여 하나 이상의 키를 사용하여 보호된 데이터를 복원하여 세션 데이터를 획득하도록 구성되며, 보호된 데이터는 제1 기기에 의해 세션의 보안 정책에 기초하여 하나 이상의 키를 사용하여 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 제1 기기는 보안 정책에 기초하여 하나 이상의 키를 사용하여 세션 데이터를 암호화하여 보호된 데이터를 획득하도록 구성된다.
제1 기기가 단말 기기일 때, 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 제2 기기는 단말 기기이다.
선택적으로, 하나 이상의 키는 제1 키 및 제2 키를 포함하며, 제1 키는 세션의 제1 보안을 보호하는 데 사용되고, 제2 키는 세션의 제2 보안을 보호하는 데 사용된다.
선택적으로, 보안 정책은 세션 데이터의 보호 모드를 지시하는 데 사용되며, 보호 모드는 제1 보안 알고리즘에 기초하여 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하는 것이거나, 제2 보안 알고리즘에 기초하여 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 것이거나, 제1 보안 알고리즘에 기초하여 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하고 제2 보안 알고리즘에 기초하여 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 것이다.
선택적으로, 보안 정책은 추가로, 제1 보안 알고리즘, 제2 보안 알고리즘, 키 길이 및 키 갱신 시간 중 적어도 하나를 지시하는 데 사용된다.
선택적으로, 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함하며, 제1 키 길이는 제1 키의 길이를 나타내는 데 사용되고, 제2 키 길이는 제2 키의 길이를 나타내는 데 사용된다.
선택적으로, 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함하며, 제1 키 갱신 시간은 제1 키의 갱신 시간을 나타내는 데 사용되고, 제2 키 갱신 시간은 제2 키의 갱신 시간을 나타내는 데 사용된다.
선택적으로, 제2 기기가 사용자 평면 노드일 때, 결정 모듈(910)은 구체적으로,
보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터가 위치하는 캡슐화 헤더의 터널 식별자에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터가 위치하는 외부 IP 패킷 헤더에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터가 위치하는 캡슐화 헤더 및 보호된 데이터가 위치하는 외부 IP 패킷 헤더에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터가 위치하는 프로토콜 데이터 유닛 헤더 및 보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터 내의 파라미터 필드에 기초하여 세션의 세션 식별자를 결정하도록 구성된다.
선택적으로, 제2 기기가 액세스 네트워크 노드일 때, 결정 모듈(910)은 구체적으로,
세션에 의해 점유되는 무선 인터페이스 자원에 기초하여 세션의 세션 식별자를 결정하거나; 또는
제2 기기가 세션에 의해 점유되는 무선 인터페이스의 무선 인터페이스 식별자에 기초하여 세션의 세션 식별자를 결정하거나; 또는
제2 기기가 세션에 의해 점유되는 데이터 무선 베어러의 식별자에 기초하여 세션의 세션 식별자를 결정하거나; 또는
제2 기기가 보호된 데이터 내의 파라미터 필드에 기초하여 세션의 세션 식별자를 결정하도록 구성된다.
선택적으로, 제1 보안은 기밀성이고, 제2 보안은 무결성이다.
선택적으로, 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함하고, 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용되고, 제2 식별자 필드는 서비스 식별자, 세션 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용되고, 제3 식별자는 세션의 보호 모드를 지시하는 데 사용된다.
선택적으로, 파라미터 필드는 길이 필드, 패킷 필드 및 MAC 필드 중 적어도 하나를 더 포함하며, 길이 필드는 파라미터 필드의 길이를 지시하는 데 사용되고, 패킷 필드는 패킷이 암호화되는 경우에 패킷의 길이를 지시하는 데 사용되고, MAC 필드는 세션의 무결성이 보호됨을 지시하는 데 사용된다.
선택적으로, 제2 기기가 액세스 네트워크 노드일 때, 획득 모듈(920)은 보안 정책을 제1 네트워크 요소로부터 획득하도록 구성되며, 제1 네트워크 요소는 인증 제어기, 키 관리 제어기, 정책 제어기 및 키 제어기 중 어느 하나이다.
선택적으로, 도 16에 도시된 바와 같이, 제1 네트워크 요소가 정책 제어기일 때, 획득 모듈(920)은 수신 유닛(921) 및 전송 유닛(923) 포함하며,
수신 유닛(921)은 제1 기기에 의해 전송되는 제1 요청을 수신하도록 구성되고 - 여기서 제1 요청은 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -;
전송 유닛(923)은 정책 제어기에 제2 요청을 전송하도록 구성되고 - 여기서 제2 요청은 제1 요청에 기초하여 생성되고 제1 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건을 포함함 -;
수신 유닛(921)은 정책 제어기에 의해 회신되는 보안 정책을 수신하도록 구성되며, 여기서 보안 정책은 정책 제어기에 의해 제2 요청에 기초하여 생성된다.
선택적으로, 수신 유닛(921)은 제1 기기에 의해 전송되는 제1 요청을 수신하도록 구성되고 - 여기서 제1 요청은 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -;
전송 유닛(923)은 하나 이상의 네트워크 요소를 통해 정책 제어기에 제2 요청을 전송하도록 구성되고 - 여기서 제2 요청은 제1 요청에 기초하여 액세스 네트워크 노드에 의해 생성되고 제1 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건을 포함함 -; 및
수신 유닛(921)은 정책 제어기에 의해 하나 이상의 네트워크 요소를 통해 회신되는 보안 정책을 수신하도록 구성되며, 여기서 보안 정책은 정책 제어기에 의해 제2 요청에 기초하여 생성된다.
선택적으로, 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소를 포함하거나; 또는 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소나 이동성 관리 엔티티를 포함한다.
선택적으로, 수신 유닛(921)은 제1 기기에 의해 전송되는 제1 요청을 수신하도록 구성되고 - 여기서 제1 요청은 제1 기기의 보안 능력, 및 서비스 보안 요건을 포함함 -;
전송 유닛(923)은 제1 요청을 정책 제어기에 포워딩하도록 구성되고;
수신 유닛(921)은 정책 제어기에 의해 회신되는 코어 네트워크 보안 정책을 수신하고, 코어 네트워크 보안 정책 및 액세스 네트워크 노드의 보안 능력에 기초하여 보안 정책을 생성하도록 구성된다.
선택적으로, 도 17에 도시된 바와 같이, 제2 기기가 액세스 네트워크일 때, 획득 모듈(920)은 전송 유닛(922), 수신 유닛(924) 및 도출 유닛(926)을 포함하고,
전송 유닛(922)은 제3 요청을 키 관리 센터에 전송하도록 구성되고;
수신 유닛(924)은 키 관리 센터에 의해 제3 요청에 기초하여 회신되는 중간 키를 수신하도록 구성되고 - 중간 키는 기본 키에 기초하여 도출되고, 기본키는 인증 노드에 의해 키 관리 센터에 전송됨 -;
도출 유닛(926)은 중간 키에 기초하여 하나 이상의 키를 도출하도록 구성된다.
선택적으로, 중간 키는 제1 파라미터에 기초하여 도출되고, 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS 카운터, 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 포함한다.
선택적으로, 도출 유닛(926)은 제2 파라미터 및 중간 키에 기초하여 하나 이상의 키를 도출하도록 구성되며, 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나이다.
선택적으로, 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
선택적으로, 제2 기기가 사용자 평면 노드일 때, 획득 모듈(920)은 제1 네트워크 요소로부터 하나 이상의 키를 요청하도록 구성되며, 여기서 제1 네트워크 요소는 인증 제어기, 키 관리 제어기, 정책 제어기, 및 키 제어기 중 어느 하나이다.
선택적으로, 보호된 데이터는 헤더 데이터, 또는 페이로드 데이터, 또는 패킷이며, 패킷이 헤더 데이터 및 페이로드 데이터를 포함한다.
유의해야 할 것은, 각각의 유닛의 구현에 대해서는, 이에 상응하여, 도 2에 도시된 방법 실시예에 관한 대응하는 설명을 참조할 수 있다는 것이다.
도 18은 본 발명의 일 실시예에 따른 정책 제어기의 개략 구성도이다. 정책 제어기는 수신 모듈(1110), 생성 모듈(1120), 및 송신 모듈(1130)을 포함할 수 있으며, 여기서 유닛들에 대한 상세한 설명은 다음과 같다:
수신 모듈(1110)은 타깃 네트워크 요소에 의해 전송되는 정책 요청을 수신하도록 구성되며, 여기서 정책 요청은 단말 기기의 보안 능력 및 서비스 보안 요건 그리고 액세스 네트워크 노드의 보안 요건 중 적어도 하나를 포함한다.
생성 모듈(1120)은 타깃 파라미터에 기초하여 보안 정책을 생성하도록 구성되며, 여기서 타깃 파라미터는 제1 요청에 기초하여 생성되고 단말 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건 중 적어도 하나를 포함한다.
전송 모듈(1130)은 보안 정책을 액세스 네트워크 노드에 전송하도록 구성된다.
선택적으로, 타깃 파라미터는 단말 기기의 미리 설정된 보안 능력을 더 포함하며, 단말 기기의 미리 설정된 보안 능력은 인증 서비스 제어기(AUSF)로부터 획득된다.
선택적으로, 타깃 파라미터는 서버의 보안 요건을 더 포함하며, 서버의 보안 요건은 서버로부터 획득된다.
선택적으로, 타깃 네트워크 요소는 액세스 네트워크 노드 또는 세션 관리 네트워크 요소이다.
유의해야 할 것은, 각각의 유닛의 구현에 대해서는 이에 상응하여,도 2에 도시된 방법 실시에에 관한 대응하는 설명을 더 참조할 수 있다는 것이다.
도 19는 본 발명의 일 실시예에 따른 제1 기기의 개략 구성도이다. 제1 기기는 전송 모듈(1210), 획득 모듈(1220) 및 도출 모듈(1230)을 포함할 수 있다.
전송 모듈(1210)은 액세스 네트워크 노드를 통해 인증 노드에 제3 요청을 전송하도록 구성된다.
획득 모듈(1220)은 제3 요청에 기초하여 기본 키를 획득하도록 구성되며, 여기서 기본 키는 제1 기기와 인증 노드가 서로 인증한 후에 생성된다.
도출 모듈(1230)은 기본 키에 기초하여 하나 이상의 키를 도출하도록 구성된다.
선택적으로, 도출 모듈(1230)은 기본 키에 기초하여 중간 키를 도출하고, 중간 키에 기초하여 하나 이상의 키를 도출하도록 구성된다.
선택적으로, 도출 모듈(1230)은 제1 파라미터에 기초하여 중간 키를 도출하도록 구성되며, 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS 카운터, 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 포함한다.
선택적으로, 도출 모듈(1230)은 제2 파라미터 및 중간 키에 기초하여 하나 이상의 키를 도출하도록 구성되며, 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나를 포함한다.
선택적으로, 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
유의해야 할 것은, 각각의 유닛의 구현에 대해서는 도 2에 도시된 방법 실시예에 관한 대응하는 설명을 더 참조할 수 있다는 것이다.
도 20은 본 발명의 실시예에 따른 제1 기기이다. 제1 기기는 프로세서(1301), 메모리(1302) 및 송수신기(1303)를 포함한다. 프로세서(1301), 메모리(1302) 및 송수신기(1303)는 버스에 의해 상호 연결된다.
메모리(1302)는 랜덤 액세스 메모리(Random Access Memory, 약칭하여 RAM), 판독 전용 메모리(Read-Only Memory, 약칭하여 ROM), 소거 가능한 프로그래머블 판독 전용 메모리(Erasable Programmable Read Only Memory, 약칭하여 EPROM) 또는 컴팩트 디스크 판독 전용 메모리(Compact Disc Read-Only Memory, CD-ROM)를 포함하고, 메모리(1302)는 관련 명령어 및 데이터를 저장하도록 구성된다. 송수신기(1303)는 데이터를 수신하고 전송하도록 구성된다.
프로세서(1301)는 하나 이상의 중앙 처리 장치(Central Processing Unit, 약칭하여 CPU)일 수 있다. 프로세서(1301)가 하나의 CPU인 경우, CPU는 단일 코어 CPU일 수도 있고, 멀티코어 CPU일 수도 있다.
제1 기기의 프로세서(1301)는 메모리(1302)에 저장된 프로그램 코드를 판독하여 다음의 작업(operation)을 수행하도록 구성된다:
프로세서(1301)는 세션의 보안 정책 및 하나 이상의 키를 획득하고;
송수신기(1303)는 보호된 데이터를 제2 기기에 전송하며 - 보호된 데이터는 세션의 보안 정책에 기초하여 하나 이상의 키를 사용하여 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 제2 기기는 보안 정책에 기초하여 하나 이상의 키를 사용하여 보호된 데이터를 복원하여 세션 데이터를 획득하도록 구성됨 -;
제1 기기가 단말 기기일 때, 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 제2 기기는 단말 기기이다.
선택적으로, 하나 이상의 키는 제1 키 및 제2 키를 포함하며, 제1 키는 세션의 제1 보안을 보호하는 데 사용되고, 제2 키는 세션의 제2 보안을 보호하는 데 사용된다.
선택적으로, 보안 정책은 세션 데이터의 보호 모드를 지시하는 데 사용되며, 보호 모드는 제1 보안 알고리즘에 기초하여 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하는 것이거나, 제2 보안 알고리즘에 기초하여 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 것이거나, 제1 보안 알고리즘에 기초하여 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하고 제2 보안 알고리즘에 기초하여 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 것이다.
선택적으로, 보안 정책은 추가로, 제1 보안 알고리즘, 제2 보안 알고리즘, 키 길이 및 키 갱신 시간 중 적어도 하나를 지시하는 데 사용된다.
선택적으로, 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함하며, 제1 키 길이는 제1 키의 길이를 나타내는 데 사용되며, 제2 키 길이는 제2 키의 길이를 나타내는 데 사용된다.
선택적으로, 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함하며, 제1 키 갱신 시간은 제1 키의 갱신 시간을 나타내는 데 사용되고, 제2 키 갱신 시간은 제2 키의 갱신 시간을 나타내는 데 사용된다.
선택적으로, 제1 보안은 기밀성이고, 제2 보안은 무결성이다.
선택적으로, 보호된 데이터는 파라미터 필드를 더 포함하며, 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함하고, 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용되고, 제2 식별자 필드는 서비스 식별자, 세션 식별자, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용되고, 제3 식별자는 세션의 보호 모드를 지시하는 데 사용된다.
선택적으로, 파라미터 필드는 길이 필드, 패킷 필드 및 MAC 필드 중 적어도 하나를 더 포함하며, 길이 필드는 파라미터 필드의 길이를 지시하는 데 사용되고, 패킷 필드는 패킷이 암호화되는 경우에 패킷의 길이를 지시하는 데 사용되고, MAC 필드는 세션의 무결성이 보호됨을 지시하는 데 사용된다.
선택적으로, 송수신기(1303)는 보안 정책을 정책 제어기로부터 획득한다.
선택적으로, 송수신기(1303)는 액세스 네트워크 노드에 제1 요청을 전송하도록 하고 - 여기서 제1 요청은 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 송수신기(1303)는 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하며, 여기서 보안 정책은 액세스 네트워크 노드에 의해 제2 요청을 정책 제어기에 전송함으로써 획득되고, 제2 요청은 액세스 네트워크 노드에 의해 제1 요청에 기초하여 생성되고 제1 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건을 포함한다.
선택적으로, 송수신기(1303)는 액세스 네트워크 노드에 제1 요청을 전송하며 - 여기서 제1 요청은 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -; 송수신기(1303)는 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하며, 여기서 보안 정책은 액세스 네트워크 노드에 의해 하나 이상의 네트워크 요소를 통해 정책 제어기에 제2 요청을 포워딩함으로써 획득되며, 제2 요청은 제1 요청에 기초하여 액세스 네트워크 노드에 의해 생성되고 제1 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건을 포함한다.
선택적으로, 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소를 포함하거나; 또는 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소나 이동성 관리 엔티티를 포함한다.
선택적으로, 송수신기(1303)는 액세스 네트워크 노드에 제1 요청을 전송하고 - 여기서 제1 요청은 제1 기기의 보안 능력, 및 서비스 보안 요건을 포함함 -; 송수신기(1303)는 액세스 네트워크 노드에 의해 회신되는 보안 정책을 수신하며, 여기서 보안 정책은 액세스 네트워크 노드에 의해 코어 네트워크 보안 정책, 및 액세스 네트워크 노드의 보안 능력에 기초하여 생성되고, 코어 네트워크 보안 정책은 정책 제어기에 의해 액세스 네트워크 노드에 의해 포워딩되는 제1 요청에 기초하여 생성된다.
선택적으로, 송수신기(1303)은 액세스 네트워크 노드를 통해 제3 요청을 인증 노드에 전송하고; 송수신기(1303)은 제3 요청에 기초하여 기본 키를 획득하며 - 여기서 기본 키는 제1 기기 및 인증 노드가 서로 인증한 후에 생성됨 -; 프로세서(1301)는 기본 키에 기초하여 하나 이상의 키를 도출한다.
선택적으로, 프로세서(1301)는 기본 키에 기초하여 중간 키를 도출하고, 중간 키에 기초하여 하나 이상의 키를 도출한다.
선택적으로, 프로세서(1301)는 제1 파라미터 및 기본 키에 기초하여 중간 키를 도출하며, 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS 카운터, 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스(nonce) 1, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 포함한다.
선택적으로, 프로세서(1301)는 제2 파라미터 및 중간 키에 기초하여 하나 이상의 키를 도출하며, 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나를 포함한다.
선택적으로, 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
택적으로, 보호된 데이터는 헤더 데이터, 또는 페이로드 데이터, 또는 패킷이며, 패킷이 헤더 데이터 및 페이로드 데이터를 포함한다.
또한, 제1 기기의 프로세서(1301)는 메모리(1302)에 저장된 프로그램 코드를 판독하여 다음의 작업을 수행하도록 구성될 수 있다:
선택적으로, 송수신기(1303)는 액세스 네트워크 노드를 통해 제3 요청을 인증 노드에 전송하고; 프로세서(1301)는 제3 요청에 기초하여 기본 키를 획득하며 - 여기서 기본 키는 제1 기기 및 인증 노드가 서로 인증한 후에 생성됨 -; 프로세서(1301)는 기본 키에 기초하여 하나 이상의 키를 도출한다.
선택적으로, 프로세서(1301)는 기본 키에 기초하여 중간 키를 도출하고, 중간 키에 기초하여 하나 이상의 키를 도출한다.
선택적으로, 프로세서(1301)는 제1 파라미터 및 기본 키에 기초하여 중간 키를 도출하며, 여기서 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS 카운터, 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스(nonce) 1, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 포함한다.
선택적으로, 프로세서(1301)는 제2 파라미터 및 중간 키에 기초하여 하나 이상의 키를 도출하며, 여기서 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나를 포함한다.
선택적으로, 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
유의해야 할 것은, 각각의 유닛의 구현에 대해서는 이에 상응하여, 도 2에 도시된 방법 실시예에 관한 대응하는 설명을 더 참조할 수 있다는 것이다.
도 21은 본 발명의 일 실시예에 따른 제2 기기이다. 제2 기기는 프로세서(1401), 메모리(1402) 및 송수신기(1403)를 포함한다. 프로세서(1401), 메모리(1402) 및 송수신기(1403)는 버스에 의해 상호 연결된다.
메모리(1402)는 랜덤 액세스 메모리(Random Access Memory, 약칭하여 RAM), 판독 전용 메모리(Read-Only Memory, 약칭하여 ROM), 소거 가능한 프로그래머블 판독 전용 메모리(Erasable Programmable Read Only Memory, 약칭하여 EPROM) 또는 컴팩트 디스크 판독 전용 메모리(Compact Disc Read-Only Memory, CD-ROM)를 포함하고, 메모리(1402)는 관련 명령어 및 데이터를 저장하도록 구성된다. 송수신기(1403)는 데이터를 수신하고 전송하도록 구성된다.
프로세서(1401)는 하나 이상의 중앙 처리 장치(Central Processing Unit, 약칭하여 CPU)일 수 있다. 프로세서(1401)가 하나의 CPU인 경우, CPU는 단일 코어 CPU일 수도 있고, 멀티코어 CPU일 수도 있다.
제2 기기의 프로세서(1401)는 메모리(1402)에 저장된 프로그램 코드를 판독하여 다음의 작업을 수행하도록 구성된다:
프로세서(1401)는 세션의 세션 식별자를 결정하고;
프로세서(1401)는 세션의 보안 정책 및 하나 이상의 키를 획득하고;
프로세서(1401)는 세션 식별자에 기초하여, 제1 기기에 의해 전송되는, 세션의 보호된 데이터를 식별하고, 세션의 세션 정책에 기초하여 하나 이상의 키를 사용하여 보호된 데이터를 복원하여 세션 데이터를 획득하며, 보호된 데이터는 제1 기기에 의해 세션의 보안 정책에 기초하여 하나 이상의 키를 사용하여 세션의 세션 데이터의 보안을 보호함으로써 획득되고, 제1 기기는 보안 정책에 기초하여 하나 이상의 키를 사용하여 세션 데이터를 암호화하여 보호된 데이터를 획득하며;
제1 기기가 단말 기기일 때, 제2 기기는 액세스 네트워크 노드 또는 사용자 평면 노드이거나, 또는 제1 기기가 액세스 네트워크 노드 또는 사용자 평면 노드일 때, 제2 기기는 단말 기기이다.
선택적으로, 하나 이상의 키는 제1 키 및 제2 키를 포함하며, 제1 키는 세션의 제1 보안을 보호하는 데 사용되고, 제2 키는 세션의 제2 보안을 보호하는 데 사용된다.
선택적으로, 보안 정책은 세션 데이터의 보호 모드를 지시하는 데 사용되며, 보호 모드는 제1 보안 알고리즘에 기초하여 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하는 것이거나, 제2 보안 알고리즘에 기초하여 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 것이거나, 제1 보안 알고리즘에 기초하여 제1 키를 사용하여 세션 데이터의 제1 보안을 보호하고 제2 보안 알고리즘에 기초하여 제2 키를 사용하여 세션 데이터의 제2 보안을 보호하는 것이다.
선택적으로, 보안 정책은 추가로, 제1 보안 알고리즘, 제2 보안 알고리즘, 키 길이 및 키 갱신 시간 중 적어도 하나를 지시하는 데 사용된다.
선택적으로, 키 길이는 제1 키 길이 및/또는 제2 키 길이를 포함하며, 제1 키 길이는 제1 키의 길이를 나타내는 데 사용되고, 제2 키 길이는 제2 키의 길이를 나타내는 데 사용된다.
선택적으로, 키 갱신 시간은 제1 키 갱신 시간 및/또는 제2 키 갱신 시간을 포함하며, 제1 키 갱신 시간은 제1 키의 갱신 시간을 나타내는 데 사용되고, 제2 키 갱신 시간은 제2 키의 갱신 시간을 나타내는 데 사용된다.
선택적으로, 제2 기기가 사용자 평면 노드일 때, 프로세서(1401)는,
보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터가 위치하는 캡슐화 헤더의 터널 식별자에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터가 위치하는 외부 IP 패킷 헤더에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터가 위치하는 캡슐화 헤더 및 보호된 데이터가 위치하는 외부 IP 패킷 헤더에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터가 위치하는 프로토콜 데이터 유닛 헤더 및 보호된 데이터가 위치하는 캡슐화 헤더에 기초하여 세션의 세션 식별자를 결정하거나; 또는
보호된 데이터 내의 파라미터 필드에 기초하여 세션의 세션 식별자를 결정하도록 구성된다.
선택적으로, 제2 기기가 액세스 네트워크 노드일 때, 프로세서(1401)는,
세션에 의해 점유되는 무선 인터페이스 자원에 기초하여 세션의 세션 식별자를 결정하거나; 또는
제2 기기가 세션에 의해 점유되는 무선 인터페이스의 무선 인터페이스 식별자에 기초하여 세션의 세션 식별자를 결정하거나; 또는
제2 기기가 세션에 의해 점유되는 데이터 무선 베어러의 식별자에 기초하여 세션의 세션 식별자를 결정하거나; 또는
제2 기기가 보호된 데이터 내의 파라미터 필드에 기초하여 세션의 세션 식별자를 결정하도록 구성된다.
선택적으로, 제1 보안은 기밀성이고, 제2 보안은 무결성이다.
선택적으로, 파라미터 필드는 제1 식별자 필드, 제2 식별자 필드 및 제3 식별자 필드 중 적어도 하나를 포함하고, 제1 식별자 필드는 현재 메시지가 세션 메시지임을 지시하는 데 사용되고, 제2 식별자 필드는 서비스 식별자, 세션 식별자 및 슬라이스 식별자 중 적어도 하나를 지시하는 데 사용되고, 제3 식별자는 세션의 보호 모드를 지시하는 데 사용된다.
선택적으로, 파라미터 필드는 길이 필드, 패킷 필드 및 MAC 필드 중 적어도 하나를 더 포함하며, 길이 필드는 파라미터 필드의 길이를 지시하는 데 사용되고, 패킷 필드는 패킷이 암호화되는 경우에 패킷의 길이를 지시하는 데 사용되고, MAC 필드는 세션의 무결성이 보호됨을 지시하는 데 사용된다.
선택적으로, 송수신기(1403)는 제1 네트워크 요소로부터 획득하며, 제1 네트워크 요소는 인증 제어기, 키 관리 제어기, 정책 제어기 및 키 제어기 중 어느 하나이다.
선택적으로, 제1 네트워크 요소가 정책 제어기일 때,
송수신기(1403)는 제1 기기에 의해 전송되는 제1 요청을 수신하고 - 여기서 제1 요청은 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -;
송수신기(1403)는 정책 제어기에 제2 요청을 전송하고 - 여기서 제2 요청은 제1 요청에 기초하여 생성되고 제1 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건을 포함함 -;
송수신기(1403)는 정책 제어기에 의해 회신되는 보안 정책을 수신하며, 여기서 보안 정책은 정책 제어기에 의해 제2 요청에 기초하여 생성된다.
선택적으로, 제1 네트워크 요소가 정책 제어기일 때,
송수신기(1403)는 제1 기기에 의해 전송되는 제1 요청을 수신하고 - 여기서 제1 요청은 제1 기기의 보안 능력 및 서비스 보안 요건을 포함함 -;
송수신기(1403)는 하나 이상의 네트워크 요소를 통해 정책 제어기에 제2 요청을 전송하고 - 여기서 제2 요청은 제1 요청에 기초하여 액세스 네트워크 노드에 의해 생성되고 제1 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건을 포함함 -; 및
송수신기(1403)는 정책 제어기에 의해 하나 이상의 네트워크 요소를 통해 회신되는 보안 정책을 수신하며, 여기서 보안 정책은 정책 제어기에 의해 제2 요청에 기초하여 생성된다.
선택적으로, 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소를 포함하거나; 또는 하나 이상의 네트워크 요소는 세션 관리 네트워크 요소나 이동성 관리 엔티티를 포함한다.
선택적으로, 송수신기(1403)는 제1 기기에 의해 전송되는 제1 요청을 수신하고 - 여기서 제1 요청은 제1 기기의 보안 능력, 및 서비스 보안 요건을 포함함 -; 송수신기(1403)는 제1 요청을 정책 제어기에 포워딩하고; 송수신기(1403)는 정책 제어기에 의해 회신되는 코어 네트워크 보안 정책을 수신하고, 코어 네트워크 보안 정책 및 액세스 네트워크 노드의 보안 능력에 기초하여 보안 정책을 생성한다.
선택적으로, 제2 기기가 액세스 네트워크일 때,
송수신기(1403)는 제3 요청을 키 관리 센터에 전송하고;
송수신기(1403)는 키 관리 센터에 의해 제3 요청에 기초하여 회신되는 중간 키를 수신하고 - 중간 키는 기본 키에 기초하여 도출되고, 기본키는 인증 노드에 의해 키 관리 센터에 전송됨 -;
프로세서(1401)는 중간 키에 기초하여 하나 이상의 키를 도출한다.
선택적으로, 중간 키는 제1 파라미터에 기초하여 도출되고, 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS 카운터, 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스 1, 베어러 식별자, 흐름 식별자 및 슬라이스 식별자 중 적어도 하나를 포함한다.
선택적으로, 프로세서(1401)는 제2 파라미터 및 중간 키에 기초하여 하나 이상의 키를 도출하며, 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2 , 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 슬라이스 식별자 및 세션 식별자 중 적어도 하나를 포함하고, 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나이다.
선택적으로, 하나 이상의 키는 무선 인터페이스 시그널링 암호화 키, 무선 인터페이스 시그널링 무결성 암호화 키, 사용자 평면 키, 및 사용자 평면 무결성 암호화 키 중 적어도 하나를 포함한다.
선택적으로, 제2 기기가 사용자 평면 노드일 때, 송수신기(1403)는 제1 네트워크 요소로부터 하나 이상의 키를 요청하며, 여기서 제1 네트워크 요소는 인증 제어기, 키 관리 제어기, 정책 제어기, 및 키 제어기 중 어느 하나이다.
선택적으로, 보호된 데이터는 헤더 데이터, 또는 페이로드 데이터, 또는 패킷이며, 패킷이 헤더 데이터 및 페이로드 데이터를 포함한다.
유의해야 할 것은, 각각의 작업의 구현에 대해서는, 이에 상응하여 도 2에 도시된 방법 실시예에 관한 대응하는 설명을 더 참조할 수 있다는 것이다.
도 22는 본 발명의 일 실시예에 따른 정책 제어기이다. 정책 제어기는 프로세서(1501), 메모리(1502) 및 송수신기(1503)를 포함한다. 프로세서(1501), 메모리(1502) 및 송수신기(1503)는 버스에 의해 상호 연결된다.
메모리(1502)는 랜덤 액세스 메모리(Random Access Memory, 약칭하여 RAM), 판독 전용 메모리(Read-Only Memory, 약칭하여 ROM), 소거 가능한 프로그래머블 판독 전용 메모리(Erasable Programmable Read Only Memory, 약칭하여 EPROM) 또는 컴팩트 디스크 판독 전용 메모리(Compact Disc Read-Only Memory, CD-ROM)를 포함하고, 메모리(1502)는 관련 명령어 및 데이터를 저장하도록 구성된다. 송수신기(1503)는 데이터를 수신하고 전송하도록 구성된다.
프로세서(1501)는 하나 이상의 중앙 처리 장치(Central Processing Unit, 약칭하여 CPU)일 수 있다. 프로세서(1501)가 하나의 CPU인 경우, CPU는 단일 코어 CPU일 수도 있고, 멀티코어 CPU일 수도 있다.
제1 기기의 프로세서(1501)는 메모리(1502)에 저장된 프로그램 코드를 판독하여 다음의 작업을 수행하도록 구성된다:
송수신기(1503)는 타깃 네트워크 요소에 의해 전송되는 정책 요청을 수신하고 - 여기서 정책 요청은 단말 기기의 보안 능력 및 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건 중 적어도 하나를 포함함 -;
프로세서(1501)는 타깃 파라미터에 기초한 보안 정책을 생성하며 - 여기서 타깃 파라미터는 제1 요청에 기초하여 생성되고 단말 기기의 보안 능력, 서비스 보안 요건 및 액세스 네트워크 노드의 보안 요건 중 적어도 하나를 포함함 -;
송수신기(1503)는 보안 정책을 액세스 네트워크 노드에 전송한다.
선택적으로, 타깃 파라미터는 단말 기기의 미리 설정된 보안 능력을 더 포함하며, 단말 기기의 미리 설정된 보안 능력은 인증 서비스 제어기(AUSF)로부터 획득된다.
선택적으로, 타깃 파라미터는 서버의 보안 요건을 더 포함하며, 서버의 보안 요건은 서버로부터 획득된다.
선택적으로, 타깃 네트워크 요소는 액세스 네트워크 노드 또는 세션 관리 네트워크 요소이다.
유의해야 할 것은, 각각의 작업의 구현에 대해서는, 이에 상응하여 도 2에 도시된 방법 실시예에 관한 대응하는 설명을 더 참조할 수 있다는 것이다.
당업자라면 실시예에서의 방법의 프로세스 중 일부 또는 전부가 관련 하드웨어에 명령하는 컴퓨터 프로그램에 의해 구현될 수 있다는 것을 이해할 수 있을 것이다. 프로그램은 컴퓨터로 판독 가능한 저장 매체에 저장될 수 있다. 프로그램이 실행될 때, 실시예에서의 방법의 프로세스가 수행된다. 전술한 저장 매체는 ROM, RAM, 자기 디스크 또는 광학 디스크와 같은, 프로그램 코드를 저장할 수 있은 임의의 매체를 포함한다.

Claims (103)

  1. 보안 구현 방법으로서,
    사용자 장비가 세션의 보안 정책을 획득하는 단계 - 상기 세션의 보안 정책은 상기 사용자 장비와 액세스 네트워크 노드 사이의 세션의 보호 모드를 지시하는 데 사용됨 -;
    상기 사용자 장비가 적어도 하나의 키를 획득하는 단계;
    상기 사용자 장비가, 상기 세션의 보안 정책에 기초하여 상기 적어도 하나의 키를 사용하여 상기 세션의 세션 데이터에 보안 보호를 수행하여 보호된 데이터를 획득하는 단계; 및
    상기 사용자 장비가 상기 세션의 보호된 데이터를 상기 액세스 네트워크 노드에 전송하는 단계
    를 포함하고,
    상기 세션의 보호 모드는 다음의 3 가지 모드:
    제1 보안 알고리즘에 기초한 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하는 모드;
    제2 보안 알고리즘에 기초한 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 모드; 및
    제1 보안 알고리즘에 기초한 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하고 또한 제2 보안 알고리즘에 기초한 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 모드
    를 포함하는, 보안 구현 방법.
  2. 제1항에 있어서,
    상기 세션의 제1 보안은 세션의 기밀성(confidentiality)이고, 상기 세션의 제2 보안은 세션의 무결성(integrity)인, 보안 구현 방법.
  3. 제1항 또는 제2항에 있어서,
    상기 세션의 보안 정책은 제1 비트 및 제2 비트를 포함하고, 상기 제1 비트는 상기 제1 보안을 보호할 필요가 있는지를 지시하는 데 사용되고, 상기 제2 비트는 상기 제2 보안을 보호할 필요가 있는지를 지시하는 데 사용되는, 보안 구현 방법.
  4. 제1항 또는 제2항에 있어서,
    상기 사용자 장비가 적어도 하나의 키를 획득하는 단계는,
    상기 사용자 장비가 제1 파라미터 및 기본 키에 기초하여 중간 키를 도출하는 단계; 및
    상기 사용자 장비가 제2 파라미터 및 상기 중간 키에 기초하여 상기 적어도 하나의 키를 생성하는 단계
    를 포함하는, 보안 구현 방법.
  5. 제4항에 있어서,
    상기 기본 키는, 상기 사용자 장비 및 인증 노드 사이에서 양방향 인증이 성공적으로 수행된 후에 획득되는, 보안 구현 방법.
  6. 제4항에 있어서,
    상기 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS(non-access stratum) 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스(nonce) 1, 베어러 식별자, 흐름 식별자, 정책 세트, 및 슬라이스 식별자 중 적어도 하나를 포함하는, 보안 구현 방법.
  7. 제4항에 있어서,
    상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 흐름 식별자, 슬라이스 식별자, 정책 세트, 및 세션 식별자 중 적어도 하나를 포함하는, 보안 구현 방법.
  8. 제7항에 있어서,
    상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나인, 보안 구현 방법.
  9. 사용자 장비로서,
    송수신기에 연결된 프로세서; 및
    명령어를 저장하는 메모리를 포함하고,
    상기 명령어는 상기 프로세서에 의해 실행될 때, 상기 프로세서로 하여금,
    세션의 보안 정책을 획득하고 - 상기 세션의 보안 정책은 상기 사용자 장비와 액세스 네트워크 노드 사이의 세션의 보호 모드를 지시하는 데 사용됨 -;
    적어도 하나의 키를 획득하고;
    상기 세션의 보안 정책에 기초하여 상기 적어도 하나의 키를 사용하여 상기 세션의 세션 데이터에 보안 보호를 수행하여 보호된 데이터를 획득하고; 그리고
    상기 세션의 보호된 데이터를 상기 액세스 네트워크 노드에 전송하게 하며,
    상기 세션의 보호 모드는 다음의 3 가지 모드:
    제1 보안 알고리즘에 기초한 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하는 모드;
    제2 보안 알고리즘에 기초한 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 모드; 및
    제1 보안 알고리즘에 기초한 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하고 또한 제2 보안 알고리즘에 기초한 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 모드를 포함하는, 사용자 장비.
  10. 제9항에 있어서,
    상기 세션의 제1 보안은 세션의 기밀성(confidentiality)이고, 상기 세션의 제2 보안은 세션의 무결성(integrity)인, 사용자 장비.
  11. 제9항 또는 제10항에 있어서,
    상기 세션의 보안 정책은 제1 비트 및 제2 비트를 포함하고, 상기 제1 비트는 상기 제1 보안을 보호할 필요가 있는지를 지시하는 데 사용되고, 상기 제2 비트는 상기 제2 보안을 보호할 필요가 있는지를 지시하는 데 사용되는, 사용자 장비.
  12. 제9항 또는 제10항에 있어서,
    상기 명령어는 상기 프로세서로 하여금 추가로,
    제1 파라미터 및 기본 키에 기초하여 중간 키를 도출하고; 그리고
    제2 파라미터 및 상기 중간 키에 기초하여 상기 적어도 하나의 키를 생성하게 하는, 사용자 장비.
  13. 제12항에 있어서,
    상기 기본 키는, 상기 사용자 장비 및 인증 노드 사이에서 양방향 인증이 성공적으로 수행된 후에 획득되는, 사용자 장비.
  14. 제12항에 있어서,
    상기 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS(non-access stratum) 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스(nonce) 1, 베어러 식별자, 흐름 식별자, 정책 세트, 및 슬라이스 식별자 중 적어도 하나를 포함하는, 사용자 장비.
  15. 제12항에 있어서,
    상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 흐름 식별자, 슬라이스 식별자, 정책 세트, 및 세션 식별자 중 적어도 하나를 포함하는, 사용자 장비.
  16. 제15항에 있어서,
    상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나인, 사용자 장비.
  17. 명령어를 저장하는, 컴퓨터로 판독 가능한 저장 매체로서,
    상기 명령어는 프로세서에 의해 실행될 때, 상기 프로세서로 하여금,
    세션의 보안 정책을 획득하고 - 상기 세션의 보안 정책은 사용자 장비와 액세스 네트워크 노드 사이의 세션의 보호 모드를 지시하는 데 사용됨 - ;
    적어도 하나의 키를 획득하며;
    상기 세션의 보안 정책에 기초하여 상기 적어도 하나의 키를 사용하여 상기 세션의 세션 데이터에 보안 보호를 수행하여 보호된 데이터를 획득하고; 그리고
    상기 세션의 보호된 데이터를 상기 액세스 네트워크 노드에 전송하게 하며,
    상기 세션의 보호 모드는 다음의 3 가지 모드:
    제1 보안 알고리즘에 기초한 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하는 모드;
    제2 보안 알고리즘에 기초한 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 모드; 및
    제1 보안 알고리즘에 기초한 제1 키를 사용하여 상기 세션 데이터의 제1 보안을 보호하고 또한 제2 보안 알고리즘에 기초한 제2 키를 사용하여 상기 세션 데이터의 제2 보안을 보호하는 모드
    를 포함하는, 저장 매체.
  18. 제17항에 있어서,
    상기 세션의 제1 보안은 세션의 기밀성(confidentiality)이고, 상기 세션의 제2 보안은 세션의 무결성(integrity)인, 저장 매체.
  19. 제17항 또는 제18항에 있어서,
    상기 세션의 보안 정책은 제1 비트 및 제2 비트를 포함하고, 상기 제1 비트는 상기 제1 보안을 보호할 필요가 있는지를 지시하는 데 사용되고, 상기 제2 비트는 상기 제2 보안을 보호할 필요가 있는지를 지시하는 데 사용되는, 저장 매체.
  20. 제17항 또는 제18항에 있어서,
    상기 명령어는 상기 프로세서로 하여금 추가로,
    제1 파라미터 및 기본 키에 기초하여 중간 키를 도출하고; 그리고
    제2 파라미터 및 상기 중간 키에 기초하여 상기 적어도 하나의 키를 생성하게 하는, 저장 매체.
  21. 제20항에 있어서,
    상기 기본 키는, 상기 사용자 장비 및 인증 노드 사이에서 양방향 인증이 성공적으로 수행된 후에 획득되는, 저장 매체.
  22. 제20항에 있어서,
    상기 제1 파라미터는 액세스 네트워크 노드의 식별자, NAS(non-access stratum) 카운터, 상기 중간 키를 생성하기 위한 시퀀스 번호, 패킷의 시퀀스 번호, 논스(nonce) 1, 베어러 식별자, 흐름 식별자, 정책 세트, 및 슬라이스 식별자 중 적어도 하나를 포함하는, 저장 매체.
  23. 제20항에 있어서,
    상기 제2 파라미터는 무선 인터페이스 보안 정책 식별자, 보안 알고리즘 식별자, NAS 카운터, 논스 2, 무선 인터페이스 자원 식별자, 무선 인터페이스 베어러 식별자, 흐름 식별자, 슬라이스 식별자, 정책 세트, 및 세션 식별자 중 적어도 하나를 포함하는, 저장 매체.
  24. 제23항에 있어서,
    상기 보안 알고리즘 식별자는 무선 인터페이스 시그널링 암호화 알고리즘 식별자, 무선 인터페이스 정보 무결성 보호 알고리즘 식별자, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 적어도 하나인, 저장 매체.
  25. 삭제
  26. 삭제
  27. 삭제
  28. 삭제
  29. 삭제
  30. 삭제
  31. 삭제
  32. 삭제
  33. 삭제
  34. 삭제
  35. 삭제
  36. 삭제
  37. 삭제
  38. 삭제
  39. 삭제
  40. 삭제
  41. 삭제
  42. 삭제
  43. 삭제
  44. 삭제
  45. 삭제
  46. 삭제
  47. 삭제
  48. 삭제
  49. 삭제
  50. 삭제
  51. 삭제
  52. 삭제
  53. 삭제
  54. 삭제
  55. 삭제
  56. 삭제
  57. 삭제
  58. 삭제
  59. 삭제
  60. 삭제
  61. 삭제
  62. 삭제
  63. 삭제
  64. 삭제
  65. 삭제
  66. 삭제
  67. 삭제
  68. 삭제
  69. 삭제
  70. 삭제
  71. 삭제
  72. 삭제
  73. 삭제
  74. 삭제
  75. 삭제
  76. 삭제
  77. 삭제
  78. 삭제
  79. 삭제
  80. 삭제
  81. 삭제
  82. 삭제
  83. 삭제
  84. 삭제
  85. 삭제
  86. 삭제
  87. 삭제
  88. 삭제
  89. 삭제
  90. 삭제
  91. 삭제
  92. 삭제
  93. 삭제
  94. 삭제
  95. 삭제
  96. 삭제
  97. 삭제
  98. 삭제
  99. 삭제
  100. 삭제
  101. 삭제
  102. 삭제
  103. 삭제
KR1020197023036A 2017-01-24 2018-01-08 보안 구현 방법, 기기 및 시스템 KR102263336B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
CN201710055275.9 2017-01-24
CN201710055275.9A CN108347410B (zh) 2017-01-24 2017-01-24 安全实现方法、设备以及系统
PCT/CN2018/071818 WO2018137488A1 (zh) 2017-01-24 2018-01-08 安全实现方法、设备以及系统

Publications (2)

Publication Number Publication Date
KR20190102068A KR20190102068A (ko) 2019-09-02
KR102263336B1 true KR102263336B1 (ko) 2021-06-09

Family

ID=62962052

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020197023036A KR102263336B1 (ko) 2017-01-24 2018-01-08 보안 구현 방법, 기기 및 시스템

Country Status (6)

Country Link
US (2) US11025597B2 (ko)
EP (2) EP3557840B1 (ko)
KR (1) KR102263336B1 (ko)
CN (2) CN108347410B (ko)
RU (1) RU2728893C1 (ko)
WO (1) WO2018137488A1 (ko)

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2018201506A1 (zh) 2017-05-05 2018-11-08 华为技术有限公司 一种通信方法及相关装置
WO2019212619A1 (en) * 2018-05-02 2019-11-07 Hewlett-Packard Development Company, L.P. Document security keys
CN109087100B (zh) * 2018-08-02 2021-01-26 中国联合网络通信集团有限公司 密钥分发方法、装置、设备及存储介质
CN114071466A (zh) * 2018-08-10 2022-02-18 华为技术有限公司 用户面完整性保护方法、装置及设备
US11224093B2 (en) * 2018-08-13 2022-01-11 Ofinno, Llc Network initiated UPF sessions transfer
CN114286337A (zh) * 2018-08-13 2022-04-05 华为技术有限公司 分配ebi的方法和装置
CN110856175A (zh) * 2018-08-21 2020-02-28 华为技术有限公司 一种用户面安全的授权方法及装置
WO2020042037A1 (zh) * 2018-08-29 2020-03-05 Oppo广东移动通信有限公司 无线通信方法和通信设备
CN110913389B (zh) 2018-09-15 2022-04-05 华为技术有限公司 获取安全上下文的方法和装置
US11563536B2 (en) * 2018-11-30 2023-01-24 Nokia Technologies Oy Method and apparatus for enabling concurrent transport via control plane
CN111464572B (zh) * 2019-01-18 2021-09-07 华为技术有限公司 一种会话配置方法及装置
CN111641582B (zh) * 2019-03-01 2021-11-09 华为技术有限公司 一种安全保护方法及装置
WO2020240265A1 (en) * 2019-05-31 2020-12-03 Telefonaktiebolaget Lm Ericsson (Publ) Towards robust notification mechanism in 5g sba
CN113225176B (zh) * 2020-02-04 2022-09-16 华为技术有限公司 密钥获取方法及装置
CN115004634B (zh) * 2020-04-03 2023-12-19 Oppo广东移动通信有限公司 信息处理方法、装置、设备及存储介质
WO2022021258A1 (zh) * 2020-07-30 2022-02-03 华为技术有限公司 一种通信方法及装置
WO2022021197A1 (zh) * 2020-07-30 2022-02-03 华为技术有限公司 通信方法及其装置
CN114301613B (zh) * 2020-09-22 2023-08-22 华为技术有限公司 安全通信的方法和装置
US11863535B2 (en) * 2020-12-21 2024-01-02 U-Blox Ag Methods, devices, and systems for secure communications over a network
JP2022114391A (ja) * 2021-01-26 2022-08-05 京セラドキュメントソリューションズ株式会社 電子機器
CN114866991A (zh) * 2021-02-03 2022-08-05 维沃移动通信有限公司 核心网系统
KR20220139638A (ko) * 2021-04-08 2022-10-17 삼성전자주식회사 전자 장치의 네트워크 보안 정책 처리 방법
EP4075721A1 (en) * 2021-04-16 2022-10-19 Nokia Technologies Oy Apparatus, method, and computer program
CN113630390B (zh) * 2021-07-23 2023-09-01 国网湖北省电力有限公司荆州供电公司 基于大数据的终端设备的网络安全通信方法及装置
US11843689B2 (en) 2021-08-06 2023-12-12 Samsung Electronics Co., Ltd. Methods and systems for reducing propagation delays in hardware implementation of ZUC cryptographic algorithms
CN113872752B (zh) * 2021-09-07 2023-10-13 哲库科技(北京)有限公司 安全引擎模组、安全引擎装置和通信设备
US11941266B2 (en) 2021-10-20 2024-03-26 Samsung Electronics Co., Ltd. Resource isolation in computational storage devices

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001175606A (ja) * 1999-12-20 2001-06-29 Sony Corp データ処理装置、データ処理機器およびその方法
TW514844B (en) * 2000-01-26 2002-12-21 Sony Corp Data processing system, storage device, data processing method and program providing media
US7213144B2 (en) * 2001-08-08 2007-05-01 Nokia Corporation Efficient security association establishment negotiation technique
US8910241B2 (en) * 2002-04-25 2014-12-09 Citrix Systems, Inc. Computer security system
AU2003286146A1 (en) * 2003-10-31 2005-06-08 Telefonaktiebolaget Lm Ericsson (Publ) Method and devices for the control of the usage of content
US9794237B2 (en) * 2005-01-31 2017-10-17 Unisys Corporation Secured networks and endpoints applying internet protocol security
US7913289B2 (en) * 2005-05-23 2011-03-22 Broadcom Corporation Method and apparatus for security policy and enforcing mechanism for a set-top box security processor
US20070248085A1 (en) * 2005-11-12 2007-10-25 Cranite Systems Method and apparatus for managing hardware address resolution
US20080052539A1 (en) * 2006-07-29 2008-02-28 Macmillan David M Inline storage protection and key devices
US8948395B2 (en) * 2006-08-24 2015-02-03 Qualcomm Incorporated Systems and methods for key management for wireless communications systems
CN101188851B (zh) * 2006-11-17 2011-03-02 中兴通讯股份有限公司 移动终端准入控制的方法
CN1996860A (zh) * 2006-12-31 2007-07-11 华为技术有限公司 策略控制的方法、装置及系统
US8467527B2 (en) * 2008-12-03 2013-06-18 Intel Corporation Efficient key derivation for end-to-end network security with traffic visibility
US8699711B2 (en) * 2007-07-18 2014-04-15 Interdigital Technology Corporation Method and apparatus to implement security in a long term evolution wireless device
FI20075776L (fi) * 2007-10-31 2009-05-01 Eads Secure Networks Oy Päästä-päähän salattu viestintä
US8532303B2 (en) * 2007-12-14 2013-09-10 Intel Corporation Symmetric key distribution framework for the internet
US20090262683A1 (en) * 2008-04-18 2009-10-22 Amit Khetawat Method and Apparatus for Setup and Release of User Equipment Context Identifiers in a Home Node B System
US10454674B1 (en) * 2009-11-16 2019-10-22 Arm Limited System, method, and device of authenticated encryption of messages
CN102958052B (zh) * 2011-08-29 2017-07-14 华为技术有限公司 一种数据安全传输方法及相关设备
CN103874059B (zh) * 2012-12-10 2018-06-05 华为终端（东莞）有限公司 报文处理方法及装置、系统
US9716728B1 (en) 2013-05-07 2017-07-25 Vormetric, Inc. Instant data security in untrusted environments
EP3014915A1 (en) 2013-06-28 2016-05-04 Nec Corporation Secure system and method of making secure communication
US20150032905A1 (en) 2013-07-24 2015-01-29 Qualcomm Incorporated Method and system for associating internet protocol (ip) address, media access control (mac) address and location for a user device
CN103763697B (zh) * 2013-10-29 2018-01-16 上海斐讯数据通信技术有限公司 一种无线接入点多密钥支持系统及方法
CN104954125A (zh) * 2014-03-25 2015-09-30 华为技术有限公司 密钥协商方法、用户设备、路由器及位置服务器
JP6850530B2 (ja) * 2014-10-20 2021-03-31 タタ コンサルタンシー サービシズ リミテッドＴＡＴＡ Ｃｏｎｓｕｌｔａｎｃｙ Ｓｅｒｖｉｃｅｓ Ｌｉｍｉｔｅｄ セキュアセッションの確立と暗号化データ交換のためのコンピュータ利用システム及びコンピュータ利用方法
CN107251476A (zh) * 2015-02-13 2017-10-13 维萨国际服务协会 保密通信管理
US10454686B2 (en) * 2015-04-08 2019-10-22 Telefonaktiebolaget Lm Ericsson (Publ) Method, apparatus, and system for providing encryption or integrity protection in a wireless network
US10341239B2 (en) * 2015-05-21 2019-07-02 Qualcomm Incorporated Efficient policy enforcement for downlink traffic using network access tokens—control-plane approach

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
3GPP TSG SA WG3(Security) Meeting #84, S3-161002, 25-29 July 2016 Chennai(India) 1부.*
Ericsson et. al.,: "GPRS Kc handling", 3GPP Draft; S3-100248, 3GPP, Mobile Competence Centre; 650, Route Des Lucioles; F-06921 Sophia-Antipolis Cedex; France, vol. SA WG3, no. China; 2010-02-05

Also Published As

Publication number Publication date
KR20190102068A (ko) 2019-09-02
CN108347410B (zh) 2021-08-31
EP3934199A1 (en) 2022-01-05
CN108347410A (zh) 2018-07-31
WO2018137488A1 (zh) 2018-08-02
US20190349340A1 (en) 2019-11-14
US11695742B2 (en) 2023-07-04
US11025597B2 (en) 2021-06-01
CN113630773B (zh) 2023-02-14
EP3557840B1 (en) 2021-05-26
RU2728893C1 (ru) 2020-08-03
US20210273923A1 (en) 2021-09-02
NZ755869A (en) 2021-03-26
EP3557840A4 (en) 2019-11-27
CN113630773A (zh) 2021-11-09
EP3557840A1 (en) 2019-10-23

Similar Documents

Publication Publication Date Title
KR102263336B1 (ko) 보안 구현 방법, 기기 및 시스템
KR102144303B1 (ko) 키 구성 방법, 보안 정책 결정 방법 및 장치
US20200084631A1 (en) Key Configuration Method, Apparatus, and System
WO2020029938A1 (zh) 安全会话方法和装置
US10455414B2 (en) User-plane security for next generation cellular networks
JP4397818B2 (ja) モバイル通信システムにおける保安メッセージを処理する方法
JP2018526869A (ja) 暗号化されたクライアントデバイスコンテキストを用いたネットワークアーキテクチャおよびセキュリティ
US20200228977A1 (en) Parameter Protection Method And Device, And System
CN110891269B (zh) 一种数据保护方法、设备及系统
TW201703556A (zh) 網路安全架構
JP2006514466A5 (ko)
JP7456635B2 (ja) ユーザ装置の通信方法、５ｇネットワークノードの通信方法、ユーザ装置、及び５ｇネットワークノード
CN112887970A (zh) 机器到机器的蜂窝通信安全性
CN106211100A (zh) 机器到机器的蜂窝通信安全性
CN106797560B (zh) 用于配置安全参数的方法、服务器、基站和通信系统
WO2018176187A1 (zh) 数据传输方法、用户设备和控制面节点
NZ755869B2 (en) Security implementation method, device and system
WO2023215918A1 (en) Communicating pdu sets in a wireless communication system

Legal Events

Date Code Title Description
A201 Request for examination
AMND Amendment
E902 Notification of reason for refusal
AMND Amendment
E601 Decision to refuse application
AMND Amendment
X701 Decision to grant (after re-examination)
GRNT Written decision to grant