KR102604283B1

KR102604283B1 - 정보 보안을 위한 장치 및 방법

Info

Publication number: KR102604283B1
Application number: KR1020180119297A
Authority: KR
Inventors: 서경주; 문상준; 권기석; 백영교
Original assignee: 삼성전자주식회사
Priority date: 2018-10-05
Filing date: 2018-10-05
Publication date: 2023-11-20
Also published as: WO2020071862A1; US11930355B2; US20210352473A1; KR20200039400A

Abstract

본 개시(disclosure)는 LTE(Long Term Evolution)와 같은 4G(4^th generation) 통신 시스템 이후 보다 높은 데이터 전송률을 지원하기 위한 5G(5^th generation) 또는 pre-5G 통신 시스템에 관련된 것이다. 본 개시의 다양한 실시 예들에 따르면, 무선 통신 시스템에서 제1 셀룰러 네트워크를 위한 UDM(user data management)의 장치는, 적어도 하나의 송수신기와, 적어도 하나의 송수신기와 동작적으로 결합되는 적어도 하나의 프로세서를 포함하고, 상기 적어도 하나의 프로세서는, 상기 제1 셀룰러 네트워크를 위한 AMF(access and mobility management function)로부터 제2 셀룰러 네트워크의 보안을 위한 요청 메시지를 수신하고, 상기 제2 셀룰러 네트워크의 eNB에 대한 보안 키를 상기 eNB에게 전송하기 위한 응답 메시지를 상기 AMF에게 전송하도록 구성되고, 상기 보안 키는, 상기 제2 셀룰러 네트워크의 상기 기본 보안 키로부터 획득될 수 있다.

Description

정보 보안을 위한 장치 및 방법 {APPARATUS AND METHOD FOR INFORMATION PROTECTION}

본 개시는 일반적으로 통신 시스템에 관한 것으로 보다 구체적으로 통신 시스템에서 정보 보안을 위한 장치 및 방법에 관한 것이다.

4G(4^th generation) 통신 시스템 상용화 이후 증가 추세에 있는 무선 데이터 트래픽 수요를 충족시키기 위해, 개선된 5G(5^th generation) 통신 시스템 또는 pre-5G 통신 시스템을 개발하기 위한 노력이 이루어지고 있다. 이러한 이유로, 5G 통신 시스템 또는 pre-5G 통신 시스템은 4G 네트워크 이후(Beyond 4G Network) 통신 시스템 또는 LTE(Long Term Evolution) 시스템 이후(Post LTE) 시스템이라 불리어지고 있다.

높은 데이터 전송률을 달성하기 위해, 5G 통신 시스템은 초고주파(mmWave) 대역(예를 들어, 60기가(60GHz) 대역과 같은)에서의 구현이 고려되고 있다. 초고주파 대역에서의 전파의 경로손실 완화 및 전파의 전달 거리를 증가시키기 위해, 5G 통신 시스템에서는 빔포밍(beamforming), 거대 배열 다중 입출력(massive MIMO), 전차원 다중입출력(Full Dimensional MIMO, FD-MIMO), 어레이 안테나(array antenna), 아날로그 빔형성(analog beam-forming), 및 대규모 안테나(large scale antenna) 기술들이 논의되고 있다.

또한 시스템의 네트워크 개선을 위해, 5G 통신 시스템에서는 진화된 소형 셀, 개선된 소형 셀(advanced small cell), 클라우드 무선 액세스 네트워크(cloud radio access network, cloud RAN), 초고밀도 네트워크(ultra-dense network), 기기 간 통신(Device to Device communication, D2D), 무선 백홀(wireless backhaul), 이동 네트워크(moving network), 협력 통신(cooperative communication), CoMP(Coordinated Multi-Points), 및 수신 간섭제거(interference cancellation) 등의 기술 개발이 이루어지고 있다.

이 밖에도, 5G 시스템에서는 진보된 코딩 변조(Advanced Coding Modulation, ACM) 방식인 FQAM(Hybrid Frequency Shift Keying and Quadrature Amplitude Modulation) 및 SWSC(Sliding Window Superposition Coding)과, 진보된 접속 기술인 FBMC(Filter Bank Multi Carrier), NOMA(Non Orthogonal Multiple Access), 및 SCMA(Sparse Code Multiple Access) 등이 개발되고 있다.

5G 통신 시스템에서 정보 보안을 위한 다양한 방식들이 논의되고 있다.

상술한 바와 같은 논의를 바탕으로, 본 개시(disclosure)는 무선 통신 시스템에서, 서로 다른 모바일 네트워크가 공존하는 환경에서 정보 보안을 위한 장치 및 방법을 제공한다.

또한, 본 개시는 무선 통신 시스템에서 이동성을 관리하는 엔티티와 세션을 관리하는 엔티티가 분리됨에 따른 정보 보안을 위한 장치 및 방법을 제공한다.

본 개시의 다양한 실시 예들에 따르면, 무선 통신 시스템에서 제1 통신 시스템을 위한 AMF(access and mobility management function)의 동작 방법은, 상기 제2 통신 시스템의 보안을 위한 요청 메시지를 UDM(user data management)에게 전송하는 과정과, 상기 UDM으로부터 응답 메시지를 수신하는 과정과, 상기 응답 메시지에 기반하여, 상기 제2 통신 시스템의 eNB에 대한 보안 키를 상기 eNB에게 전송하는 과정을 포함하고, 상기 보안 키는, 상기 제2 통신 시스템의 상기 기본 보안 키로부터 획득되고, 상기 기본 보안 키는, 제1 통신 시스템의 보안 키와 연관될 수 있다.

본 개시의 다양한 실시 예들에 따르면, 무선 통신 시스템에서 제1 통신 시스템을 위한 UDM(user data management)의 동작 방법은, 상기 제1 통신 시스템을 위한 AMF(access and mobility management function)로부터 제2 통신 시스템의 보안을 위한 요청 메시지를 수신하는 과정과, 상기 제2 통신 시스템의 eNB에 대한 보안 키를 상기 eNB에게 전송하기 위한 응답 메시지를 상기 AMF에게 전송하는 과정을 포함하고, 상기 보안 키는, 상기 제2 통신 시스템의 상기 기본 보안 키로부터 획득될 수 있다.

본 개시의 다양한 실시 예들에 따르면, 무선 통신 시스템에서 제1 통신 시스템을 위한 AMF(access and mobility management function)의 장치는 적어도 하나의 송수신기와, 적어도 하나의 송수신기와 동작적으로 결합되는 적어도 하나의 프로세서를 포함하고, 상기 적어도 하나의 프로세서는, 상기 제2 통신 시스템의 보안을 위한 요청 메시지를 UDM(user data management)에게 전송하고, 상기 UDM으로부터 응답 메시지를 수신하고, 상기 응답 메시지에 기반하여, 상기 제2 통신 시스템의 eNB에 대한 보안 키를 상기 eNB에게 전송하도록 구성되고, 상기 보안 키는, 상기 제2 통신 시스템의 상기 기본 보안 키로부터 획득되고, 상기 기본 보안 키는, 제1 통신 시스템의 보안 키와 연관될 수 있다.

본 개시의 다양한 실시 예들에 따르면, 무선 통신 시스템에서 제1 통신 시스템을 위한 UDM(user data management)의 장치는, 적어도 하나의 송수신기와, 적어도 하나의 송수신기와 동작적으로 결합되는 적어도 하나의 프로세서를 포함하고, 상기 적어도 하나의 프로세서는, 상기 제1 통신 시스템을 위한 AMF(access and mobility management function)로부터 제2 통신 시스템의 보안을 위한 요청 메시지를 수신하고, 상기 제2 통신 시스템의 eNB에 대한 보안 키를 상기 eNB에게 전송하기 위한 응답 메시지를 상기 AMF에게 전송하도록 구성되고, 상기 보안 키는, 상기 제2 통신 시스템의 상기 기본 보안 키로부터 획득될 수 있다.

본 개시의 다양한 실시 예들에 따른 장치 및 방법은, 5G (5^th generation) 통신 시스템 및 4G (4^th generation)통신 시스템이 가 공존하는 환경에서 5G 통신 시스템의 보안을 강화함으로써, 단말 및 네트워크 간 안정적이고 효율적으로 통신을 수행할 수 있게 한다.

본 개시에서 얻을 수 있는 효과는 이상에서 언급한 효과들로 제한되지 않으며, 언급하지 않은 또 다른 효과들은 아래의 기재로부터 본 개시가 속하는 기술 분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.

도 1은 본 개시의 다양한 실시 예들에 따른 네트워크 환경의 예를 도시한다.
도 2는 본 개시의 다양한 실시 예들에 따른 AMF(access and mobility management function)의 기능적 구성을 도시한다.
도 3은 본 개시의 다양한 실시 예들에 따른 UDM(user data management)의 기능적 구성을 도시한다.
도 4는 본 개시의 다양한 실시 예들에 따른 보안(security)을 위한 네트워크 엔티티들 간 신호 흐름을 도시한다.
도 5 는 본 개시의 다양한 실시 예들에 따른 보안을 위한 네트워크 엔티티들 간 다른 신호 흐름을 도시한다.
도 6 은 본 개시의 다양한 실시 예들에 따른 보안을 위한 네트워크 엔티티들 간 또 다른 신호 흐름을 도시한다.

본 개시에서 사용되는 용어들은 단지 특정한 실시 예를 설명하기 위해 사용된 것으로, 다른 실시 예의 범위를 한정하려는 의도가 아닐 수 있다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함할 수 있다. 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 용어들은 본 개시에 기재된 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가질 수 있다. 본 개시에 사용된 용어들 중 일반적인 사전에 정의된 용어들은, 관련 기술의 문맥상 가지는 의미와 동일 또는 유사한 의미로 해석될 수 있으며, 본 개시에서 명백하게 정의되지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다. 경우에 따라서, 본 개시에서 정의된 용어일지라도 본 개시의 실시 예들을 배제하도록 해석될 수 없다.

이하에서 설명되는 본 개시의 다양한 실시 예들에서는 하드웨어적인 접근 방법을 예시로서 설명한다. 하지만, 본 개시의 다양한 실시 예들에서는 하드웨어와 소프트웨어를 모두 사용하는 기술을 포함하고 있으므로, 본 개시의 다양한 실시 예들이 소프트웨어 기반의 접근 방법을 제외하는 것은 아니다.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시 예들을 상세히 설명한다. 이 때, 첨부된 도면에서 동일한 구성 요소는 가능한 동일한 부호로 나타내고 있음에 유의해야 한다. 또한 본 발명의 요지를 흐리게 할 수 있는 공지 기능 및 구성에 대한 상세한 설명은 생략할 것이다.

본 명세서에서 실시 예를 설명함에 있어서 본 발명이 속하는 기술 분야에 익히 알려져 있고 본 발명과 직접적으로 관련이 없는 기술 내용에 대해서는 설명을 생략한다. 이는 불필요한 설명을 생략함으로써 본 발명의 요지를 흐리지 않고 더욱 명확히 전달하기 위함이다.

마찬가지 이유로 첨부 도면에 있어서 일부 구성요소는 과장되거나 생략되거나 개략적으로 도시되었다. 또한, 각 구성요소의 크기는 실제 크기를 전적으로 반영하는 것이 아니다. 각 도면에서 동일한 또는 대응하는 구성요소에는 동일한 참조 번호를 부여하였다.

본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시 예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시 예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시 예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이다. 명세서 전체에 걸쳐 동일 참조 부호는 동일 구성 요소를 지칭한다.

이하 설명에서 사용되는 접속 노드(node)를 식별하기 위한 용어, 망 객체(network entity)들을 지칭하는 용어, 메시지들을 지칭하는 용어, 망 객체들 간 인터페이스를 지칭하는 용어, 다양한 식별 정보들을 지칭하는 용어 등은 설명의 편의를 위해 예시된 것이다. 따라서, 본 발명이 후술되는 용어들에 한정되는 것은 아니며, 동등한 기술적 의미를 가지는 대상을 지칭하는 다른 용어가 사용될 수 있다.

이하 설명의 편의를 위하여, 본 발명은 5G (5^th generation)통신 시스템(NR(new radio)), LTE(long term evolution) 시스템에 대한 규격에서 정의하는 용어와 명칭들을 사용한다. 하지만, 본 발명이 상기 용어 및 명칭들에 의해 한정되는 것은 아니며, 다른 규격에 따르는 시스템에도 동일 하게 적용될 수 있다.

즉, 본 발명의 실시 예들을 구체적으로 설명함에 있어서, 3GPP(3^rd generation partnership project)가 규격을 정한 통신 규격을 주된 대상으로 할 것이지만, 본 발명의 주요한 요지는 유사한 기술적 배경을 가지는 여타의 통신 시스템에도 본 발명의 범위를 크게 벗어나지 아니하는 범위에서 약간의 변형으로 적용 가능하며, 이는 본 발명의 기술 분야에서 숙련된 기술적 지식을 가진 자의 판단으로 가능할 것이다.

본 개시는 5G (5^th generation) 통신 시스템(예: 3GPP의 NR)과 4G(4^th generation) 통신 시스템(예: 3GPP의 LTE가 공존하는 환경에 관한 것이다. 구체적으로, 본 개시는 차세대 5G 통신 시스템과 4G LTE 통신이 공존하는 환경에서, 4G 의 LTE 의 네트워크 엔티티(network entity)를 이용하여 통신을 수행하는 비독립형(non stand alone) 5G 통신, 독립형(stand alone) 5G 통신 등에 있어서 보안을 강화하는 방안 또는 이러한 기능을 수행하는 장치에 대한 것이다.

5G 이동 통신 네트워크가 도입 되면서 단말의 이동성을 관리하는 관리 엔티티인 AMF(access and mobility management function)와 세션을 관리하는 엔티티인 SMF(session management function)가 분리 되었다. 이에 따라 기존의 통신 시스템(예: 4G LTE 통신)에서 MME(mobile management entity)가 함께 관리하던 운영 방식과는 달리 이동성 관리와, 세션을 관리하는 엔티티가 분리됨에 따라, 단말과 네트워크 엔티티 간에 통신 방안과 통신 관리 방안이 변경이 되었다.

5G 통신이 되면서 비-3GPP 액세스(non 3GPP access) 에 대해서 N3IWF(non-3GPP inter-working function)를 거쳐 AMF 에 의해 이동성 관리(mobility management)가 수행되고, SMF 를 통해 세션 관리(session management)가 수행된다. 또한 AMF에 의해 이동성 관리 뿐만 아니라, 이동성 관리에 있어서 중요한 요소인 보안 관련 정보도 다루게 된다. 한편 4G 통?? 시스템(예: LTE)에서는 MME에 의해 이동성 관리와 세션 관리가 수행된다.

5G 통신 시스템(예: NR)은, 5G 통신 시스템의 독립적인 형태인 경우 뿐만 아니라, 4G 통신 시스템과 5G 통신 시스템을 위한 엔티티들이 존재하고, 5G 통신 시 4G 통신의 엔티티들 중 일부를 이용하여 5G 통신을 비독립적인 구조(non stand alone architecture)의 형태가 존재할 수도 있다.

이하, 본 개시에서는 차세대 5G 통신 시스템(예: NR)과 4G 통신 시스템(예: LTE)이 공존하는 환경에서, 5G 통신 시스템 중 4G 통신 시스템의 일부 엔티티를 이용하는 비독립형 5G 통신 방식, 독립형 5G 통신 방식 등에 있어서 데이터 손실을 줄이고, 보안을 강화하는 방안에 대해 제안한다. 즉, 본 개시에서는 5G 통신 시스템과 4G 통신 시스템이 공존하는 환경에서 5G 통신 방식의 보안을 강화하기 위한 다양한 실시 예들이 서술된다.

도 1은 본 개시의 다양한 실시 예들에 따른 네트워크 환경의 예를 도시한다. 도 1을 통해 5G 통신 네트워크와 4G 통신 네트워크에서 4G 혹은 5G 네트워크를 구성하는 엔티티들 중 일부를 이용하여 안전한 통신하기 위한 장치, 방법, 및 시스템이 서술된다.

도 1을 참고하면, 네트워크 환경은 4G네트워크(예: LTE)를 포함할 수 있다. 4G 네트워크는, 네트워크 엔티티로서 eNB(eNodeB) 181, MME 183, 서빙 게이트 웨이(serving gateway, S-GW) 185, 패킷 데이터 네트워크 게이트 웨이(packet data network-gateway, P-GW) 187, HSS(home subscriber server) 189를 포함할 수 있다.

네트워크 환경은 5G 네트워크(예: NR)를 포함할 수 있다. 5G 네트워크는, 네트워크 엔티티로서 UPF(user plane function) 131, SMF(session management function) , AMF(access and mobility management function) 111, 5G RAN(radio access network) 103, UDM(user data management) 151, PCF(policy control function) 등을 포함할 수 있다. 또한, 각 엔티티의 인증(authentication)을 위하여, 5G 네트워크는 AUSF(authentication server function) 141, AAA (authentication, authorization and accounting) 1171를 포함할 수도 있다.

한편 비3GPP 액세스(non 3GPP access)를 통해서 UE 가 통신하는 경우를 위한 N3IWF이 존재하고, 비3GPP 액세스를 통하여 통신하는 경우 세션 관리(session management) 는 UE, 비3GPP 액세스, N3IWF, SMF 에 의해 제어(control)되고, 이동성 관리(mobility management ) 는 UE, 비3GPP 액세스,, N3IWF, AMF 에 의해 제어될 수 있다.

한편 본 개시의 일 실시예에서는 5G 통신 시스템과 4G 통신 시스템이 공존하고 있는 상황이 전제된다. LTE 통신 시스템에서는 이동성 관리 및 세션 관리를 수행하는 MME 가 존재한다. MME는 UE 의 통신에 있어서 제어를 담당한다. 5G 통신 시스템에서는 LTE 통신 시스템과 단리, 이동성 관리를 위한 엔티티와 세션 관리를 위한 엔티티가 AMF, SMF 로 분리 되어 있다. 5G 통신을 위해 5G 통신 엔티티들로만 통신을 수행하는 독립형 배치(stand alone deployment) 구조 또는 5G 통신을 위해 4G 통신 엔티티들 및 5G 통신 엔티티 들을 사용하는 비독립형 배치(non stand alone deployment) 구조들이 고려될 수 있다.

도 1을 참고하면, UE 가 네트워크와 통신 수행 시, 제어(control) 시그널링(경로 193)은 eNB 를 사용하면서, 코어 네트워크(core network, CN)의 5G 엔티티를 사용하는 형태의 배치(deployment)가 가능하다. 여기서, 3 계층(layer 3)인 NAS(non-access statrum)에서는 UE 와 AMF 가 이동성 관리(경로 191)를 담당하고, UE 와 SMF 가 세션 관리(경로 195)를 담당하는 반면, 제2 계층(layer 2)인 AS 는 UE 와 eNB 를 통해서 전달된다 (경로 193). 이에 따라 보안 컨텍스트(security context)를 생성하고, 관리하는 방안이 필요하다. 이에 본 개시에서는 이러한 배치 상황에도 적용할 수 있는 보안 컨텍스트 생성, 관리, 프로토콜 교환에 대해서 설명하고자 한다.

본 개시의 통신 네트워크는 5G 망(예: NR 망) 및/또는 4G 망(예: LTE 망)을 가정하고 있으나, 통상의 기술력을 가진 자가 이해 할 수 있는 범주안에서 다른 통신 시스템에서도 같은 개념이 적용되는 경우에, 본 개시의 실시 예들이 동일 또는 유사한 방식으로 적용될 수 있다.

본 개시의 네트워크에서, 두 개의 통신 시스템들이 서브-시스템(sub-system)으로서 동작할 수 있다. 예를 들어, 두 개의 통신 시스템들은 LTE와 NR을 포함할 수 있다. 본 개시의 실시 예들에 따른 시스템은, LTE 통신 시스템에서 제공되는 일부 네트워크 엔티티들과 NR 통신 시스템에서 제공되는 일부 네트워크 엔티티들을 포함하여 구성될 수 있다.

도 2는 본 개시의 다양한 실시 예들에 따른 AMF의 기능적 구성을 도시한다. 도 2에 예시된 구성은 도 1의 AMF 111으로서 이해될 수 있다. 이하 사용되는 '...부', '...기' 등의 용어는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하드웨어나 소프트웨어, 또는, 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다.

도 2를 참고하면, AMF는 통신부 210, 저장부 220, 및 제어부 230을 포함할 수 있다.

통신부 210은 유선 통신 환경에서, 신호를 송수신하기 위한 기능들을 수행할 수 있다. 통신부 210은, 전송 매체(transmission medium)(예: 구리선, 광섬유)를 통해 장치와 장치간의 직접적인 연결을 제어하기 위한, 유선 인터페이스를 포함할 수 있다. 예를 들어, 통신부 210은 구리선을 통해 다른 장치에게 전기적 신호를 전달하거나, 전기적 신호와 광신호간 변환을 수행할 수 있다. 통신부 210은 유선 통신 인터페이스 규격에 따라 코어 네트워크를 형성하는 네트워크 엔티티들 간 신호를 송수신할 수 있다.

통신부 210은 무선 채널을 통해 신호를 송수신하기 위한 기능들을 수행할 수 있다. 예를 들어, 통신부 210은 시스템의 물리 계층 규격에 따라 기저대역 신호 및 비트열 간 변환 기능을 수행한다. 예를 들어, 데이터 송신 시, 통신부 210은 송신 비트열을 부호화 및 변조함으로써 복소 심벌들을 생성한다. 또한, 데이터 수신 시, 통신부 210은 기저대역 신호를 복조 및 복호화를 통해 수신 비트열을 복원한다. 또한, 통신부 210은 기저대역 신호를 RF 대역 신호로 상향변환한 후 안테나를 통해 송신하고, 안테나를 통해 수신되는 RF 대역 신호를 기저대역 신호로 하향변환한다. 예를 들어, 통신부 210은 송신 필터, 수신 필터, 증폭기, 믹서, 오실레이터, DAC, ADC 등을 포함할 수 있다.

또한, 통신부 210은 다수의 송수신 경로(path)들을 포함할 수 있다. 나아가, 통신부 210은 다수의 안테나 요소들로 구성된 적어도 하나의 안테나 어레이를 포함할 수 있다. 하드웨어의 측면에서, 통신부 210은 디지털 회로 및 아날로그 회로(예: RFIC(radio frequency integrated circuit))로 구성될 수 있다. 여기서, 디지털 회로 및 아날로그 회로는 하나의 패키지로 구현될 수 있다. 또한, 통신부 210은 다수의 RF 체인들을 포함할 수 있다. 나아가, 통신부 210은 빔포밍을 수행할 수 있다.

또한, 통신부 210은 서로 다른 주파수 대역의 신호들을 처리하기 위해 서로 다른 통신 모듈들을 포함할 수 있다. 나아가, 통신부 210은 서로 다른 다수의 무선 접속 기술들을 지원하기 위해 다수의 통신 모듈들을 포함할 수 있다. 예를 들어, 서로 다른 무선 접속 기술들은 블루투스 저 에너지(bluetooth low energy, BLE), Wi-Fi(Wireless Fidelity), WiGig(WiFi Gigabyte), 셀룰러 망(예: LTE(Long Term Evolution) 등을 포함할 수 있다. 또한, 서로 다른 주파수 대역들은 극고단파(SHF:super high frequency)(예: 2.5GHz, 5Ghz) 대역, mm파(millimeter wave)(예: 60GHz) 대역을 포함할 수 있다.

통신부 210은 상술한 바와 같이 신호를 송신 및 수신한다. 이에 따라, 통신부 210의 전부 또는 일부는 '송신부', '수신부' 또는 '송수신부'로 지칭될 수 있다. 또한, 이하 설명에서 무선 채널을 통해 수행되는 송신 및 수신은 통신부 210에 의해 상술한 바와 같은 처리가 수행되는 것을 포함하는 의미로 사용된다.

저장부 220은 네트워크 엔티티의 동작을 위한 기본 프로그램, 응용 프로그램, 설정 정보 등의 데이터를 저장한다. 저장부 220은 휘발성 메모리, 비휘발성 메모리 또는 휘발성 메모리와 비휘발성 메모리의 조합으로 구성될 수 있다. 그리고, 저장부 220은 제어부 230의 요청에 따라 저장된 데이터를 제공한다.

제어부 230은 AMF의 전반적인 동작들을 제어한다. 예를 들어, 제어부 230은 통신부 210을 통해 신호를 송신 및 수신한다. 또한, 제어부 230은 저장부 220에 데이터를 기록하고, 읽는다. 그리고, 제어부 230은 통신 규격에서 요구하는 프로토콜 스택(protocol stack)의 기능들을 수행할 수 있다. 다른 구현 예에 따라, 프로토콜 스텍은 통신부 210에 포함될 수 있다. 이를 위해, 제어부 230은 적어도 하나의 프로세서(processor)를 포함할 수 있다.

다양한 실시 예들에 따라, 제어부 230는 AMF가 본 개시의 다양한 실시 예들에 따른 동작들을 수행하도록 제어할 수 있다. 예를 들어, 제어부 230은 UDM으로부터 수신되는 메시지를 그대로 eNB 또는 UE에게 전달하거나, Security mode command, Resisratiaon accept 메시지를 전송하도록 통신부를 제어할 수 있다.

도 3은 본 개시의 다양한 실시 예들에 따른 UDM의 기능적 구성을 도시한다. 도 3에 예시된 구성은 도 1의 UDM 151로서 이해될 수 있다. 이하 사용되는 '...부', '...기' 등의 용어는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하드웨어나 소프트웨어, 또는, 하드웨어 및 소프트웨어의 결합으로 구현될 수 있다.

도 3을 참고하면, UDM은 통신부 310, 저장부 320, 및 제어부 330을 포함할 수 있다.

통신부 310은 유선 통신 환경에서, 신호를 송수신하기 위한 기능들을 수행할 수 있다. 통신부 210은, 전송 매체(transmission medium)(예: 구리선, 광섬유)를 통해 장치와 장치간의 직접적인 연결을 제어하기 위한, 유선 인터페이스를 포함할 수 있다. 예를 들어, 통신부 210은 구리선을 통해 다른 장치에게 전기적 신호를 전달하거나, 전기적 신호와 광신호간 변환을 수행할 수 있다. 통신부 210은 유선 통신 인터페이스 규격에 따라 코어 네트워크를 형성하는 네트워크 엔티티들 간 신호를 송수신할 수 있다.

통신부 310은 무선 채널을 통해 신호를 송수신하기 위한 기능들을 수행한다. 통신부 310은 다수의 송수신 경로(path)들을 포함할 수 있다. 통신부 310은 서로 다른 주파수 대역의 신호들을 처리하기 위해 서로 다른 통신 모듈들을 포함할 수 있다. 통신부 210에 대한 기능적인 설명은, 도 3의 통신부 210에 동일 또는 유사하게 적용될 수 있다.

저장부 320은 네트워크 엔티티의 동작을 위한 기본 프로그램, 응용 프로그램, 설정 정보 등의 데이터를 저장한다. 저장부 320은 휘발성 메모리, 비휘발성 메모리 또는 휘발성 메모리와 비휘발성 메모리의 조합으로 구성될 수 있다. 그리고, 저장부 320은 제어부 330의 요청에 따라 저장된 데이터를 제공한다.

제어부 330은 UDM의 전반적인 동작들을 제어한다. 예를 들어, 제어부 330은 통신부 310을 통해 신호를 송신 및 수신한다. 또한, 제어부 330은 저장부 320에 데이터를 기록하고, 읽는다. 그리고, 제어부 330은 통신 규격에서 요구하는 프로토콜 스택(protocol stack)의 기능들을 수행할 수 있다. 다른 구현 예에 따라, 프로토콜 스텍은 통신부 310에 포함될 수 있다. 이를 위해, 제어부 330은 적어도 하나의 프로세서(processor)를 포함할 수 있다.

다양한 실시 예들에 따라, 제어부 330는 UDM이 본 개시의 다양한 실시 예들에 따른 동작들을 수행하도록 제어할 수 있다. 예를 들어, 제어부 330은 AMF로부터 수신되는 요청 메시지에 기반하여,서로 다른 모바일 네트워크 간 식별자의 매핑을 수행하거나, 다른 셀룰러 네트워크에 대한 식별자를 획득 및 다른 엔티티에게 획득된 식별자를 전송하도록 통신부를 제어할 수 있다.

도 4는 본 개시의 다양한 실시 예들에 따른 보안(security)을 위한 네트워크 엔티티들 간 신호 흐름을 도시한다. 도 4를 통해, 5G 통신 시스템에 따른 네트워크 엔티티와 4G 통신 시스템에 따른 네트워크 엔티티가 공존하는 네트워크 환경에서 보안을 위한 통신 절차 및 방안들이 서술된다. 네트워크 엔티티들로서, 도 1의 UE 101, eNB 181, 5G RAN 103, MME 183, AMF 111, UDM 151, PDN GW 187, SMF 121, UPF 131이 예시된다.

도 4를 참고하면, 401 단계에서 UE 는 eNB에게 Registration Request 메시지를 전송할 수 있다. eNB는 AMF에게 Registration Request 메시지를 전송할 수 있다. 즉, UE는 eNB를 거쳐 AMF 에게 Registration Request 메시지를 전송할 수 있다.

일부 실시 예들에서, AMF 및 UDM은 405 단계, 407 단계, 408 단계, 및 409 단계를 수행할 수 있다. 다른 일부 실시 예들에서, AMF 및 UDM은, 405 단계, 407 단계, 408 단계, 409 단계를 수행하지 아니한 경우, 431 단계, 433 단계, 434 단계, 및 435 단계를 수행할 수 있다. 이하, 405 단계 내지 409 단계의 동작들이 서술된다.

405 단계에서 AMF 는 UDM 으로 보안 키(security key)를 요청할 수 있다. 여기서 보안 키를 요청하는 동작은 UE 와 eNB 사이의 통신을 위해 사용될 키(key)를 요청하는 과정이다. AMF 는 K_SEAF 로부터 획득되는 K_AMF 를 가지고 있다. UE 또한 K_AMF 를 가지고 있으므로 UE와 AMF 간 통신이 가능할 수 있다. 하지만 UE 와 eNB 의 통신을 위해서는 K_eNB 가 요구되는데, 이를 얻기(derive) 위해서는 K_ASME 가 요구되므로, AMF가 UDM으로 보안 키를 요청한 것이다. 여기서, K_ASME는 인증 키로 ASME(access security management entity)로부터 획득될 수 있다. LTE 네트워크의 경우, EPS에서 ASME 역할은 HSS가 수행한다.

407 단계에서 UDM 은 5G(예: NR)의 보안 키인 K_SEAF 와 4G(예: LTE)의 보안키인 K_ASME 간 매핑(mapping)을 수행할 수 있다. UE 와 AMF 간 통신인 NAS의 경우, 5G CN 을 이용함으로써 K_SEAF는 UE 와 AMF 가 K_AMF 로부터 K_NASint, K_NASenc를 생성(generation)하는 시드(seed)로 사용될 수 있다. UE 와 eNB 간의 AS(access stratum)의 경우, UE 와 eNB 는 K_ASME 를 시드로 하여 UE와 MME가 일반적으로 생성하나, 본 실시 예에서는 UE와 UDM이 K_eNB 를 생성하기 때문에, K_SEAF 와 K_ASME 간 매핑이 수행될 수 있다.

본 개시의 다양한 실시 예들에 따를 때, K_SEAF 와 K_ASME 간 매핑이 수행되고, 상기 매핑에 대한 인덱스(index)를 관리하는 방안이 고려될 수 있다. 즉, 상기 매핑 관계를 지시하기 위한 인덱스-키(index-key)가 정의될 수 있다. 인덱스-키는 K_SEAF 와 K_ASME 의 매핑 관계를 식별하기 위한 식별자(identifier)이고, 이들 페어(pair)는 각각 NAS 보안(NAS security), AS 보안(AS security)를 위해 이용될 수 있다.

본 개시의 다양한 실시 예들에 따를 때, 또 다른 일 실시 예로서, UE 및 AMF 의 통신인 NAS 의 경우 ngKSI와 UE 및 eNB 통신에서 사용될 컨텍스트(context) 와 관련된 eKSI 를 매핑하는 방안이 사용될 수 있다. ngKSI는 5G 통신 시스템에서 사용되는 키 셋 식별자(key set identifier)일 수 있다. eKSI는 E-UTRAN에서 사용되는 키 셋 식별자일 수 있다.

408 단계에서 UDM 은 eNB 에서 사용될 K_eNB 를 생성할 수 있다. UDM은 eKSI 와K_eNB를 생성하기 위해 사용된 K_ASME를 매핑할 수 있다. UDM은, eKSI 와K_eNB를 생성하는 데 사용된 K_ASME를 매핑함으로써, eKSI와 K_eNB 를 매핑할 수 있다. 이를 통해, UDM은 해당 eKSI 에 대해서 K_eNB 가 사용됨을 지시할 수 있다.

409 단계에서, UDM 은 eNB 에 전달된 K_eNB 를 AMF 로 우회(bypass)하여 전달할 수 있다. 따라서, K_eNB는 AMF에 대하여 투명(transparent)하게 eNB에 전달될 수 있다.

411 단계에서, AMF는 Security Mode Command를 eNB에게 전송할 수 있다. 413 단계에서 eNB는 Security Mode Command 를 UE에게 전송할 수 있다. 즉, AMF 는 eNB 를 거쳐 Security Mode Command 를 UE에게 전송할 수 있다. 이때 AMF는 NAS 와 관련된 키의 인덱스인 ngKSI 와 K_eNB와 관련된 eKSI 를 함께 전송할 수 있다. 따라서 NAS 와 관련된 K_AMF 는 ngKSI 로 UE 와 AMF 가 동기(synchronization, sync)를 맞출 수 있고, K_eNB와 관련된 K_ASME, 즉 K_eNB를 얻기 위한 K_ASME를 가리키는 eKSI 를 통해 UE 와 AMF 뿐만 아니라 나아가 UE 와 eNB 에서도 동기를 맞출 수 있다. 이하, 본 개시에서 동기를 맞춘다는 것은, 보안을 위해 사용되는 키 셋에서, 두 엔티티 간(예: UE와 AMF, 또는 UE와 eNB) 동일한 키를 식별할 수 있음을 가리킨다.

415 단계에서, UE 는 K_AMF와 연관된 ngKSI, K_ASME와 연관된 eKSI 를 통해 K_AMF 와 K_ASME 를 매핑할 수 있다.

421 단계에서 UE는 eNB에게 Security Mode Complete 를 전송할 수 있다. 423 단계에서, eNB는 AMF에게 Security Mode Complete 를 전송할 수 있다. 즉, UE 는 eNB 를 거쳐 AMF 로 Security Mode Complete 를 전송할 수 있다.

전술한 바와 같이, 405 단계 내지 409 단계를 수행하지 않는 경우, 431 단계 내지 435 단계가 수행될 수 있다. 즉, 하기의 431 단계 내지 435 단계는 상기의 405 단계 내지 409 단계에서 해당 동작들이 수행되지 않은 경우 실시할 수 있는 실시 예이다. 이하, 431 내지 435 단계의 동작들이 서술된다.

431 단계에서 AMF 는 UDM 으로 보안 키를 요청할 수 있다. 여기서 보안 키의 요청은 UE 와 eNB 사이의 통신을 위해 사용될 키를 요청하는 과정이다. AMF 는 K_SEAF 로부터 K_AMF 를 획득할 수 있다. UE 도 K_AMF 를 가질 수 있으므로, UE와 AMF 간 통신이 가능하다. 하지만 UE 와 eNB 간 통신을 위해서는 K_eNB가 있어야 하므로, K_eNB 를 요청한 것이다. 혹은 K_eNB를 얻기 위해서는 K_ASME가 있어야 하므로, AMF가 UDM에 K_ASME를 요청할 수도 있다. 일 실시 예에 따라, K_ASME를 요청하는 경우, AMF는 K_ASME를 받아서 K_eNB를 생성할 수 있다.

433 과정에서 UDM 은 5G 통신 시스템의 보안 키인 K_SEAF 와 4G 통신 시스템의 보안 키인 K_ASME 를 매핑할 수 있다. 이러한 매핑은 UE 와 AMF 간 통신인 NAS 의 경우, 5G CN 을 이용함으로써 K_SEAF는 UE 와 AMF 가 K_AMF 로부터 K_NASint, K_NASenc를 생성하기 위한 시드로서 사용될 수 있다. UE 와 eNB 간의 AS 의 경우, UE 와 eNB 는 K_ASME를 시드로 하여 K_eNB를 생성 하기 때문에, K_SEAF 와 K_ASME 간 매핑을 수행하는 것이다.

본 개시의 다양한 실시 예들에 따를 때, K_SEAF 와 K_ASME 간 매핑이 수행될 수 있다. 또한, 매핑에 따른 인덱스를 관리하는 방안이 고려될 수 있다. 즉 매핑을 나타내는 인덱스-키는 K_SEAF 와 K_ASME 의 매핑을 식별하는 식별자이고 이들 pair 는 각각 NAS 보안 및 AS 보안을 위해 관리될 수 있다.

본 개시의 다양한 실시 예들에 따를 때, 다른 방식으로서 UE 및 AMF 간 통신인 NAS 의 경우 ngKSI와, UE와 eNB 에서 사용될 컨텍스트와 관련된 K_eNB와 관련된 eKSI 를 매핑하는 방안도 고려될 수 있다.

434 단계에서, UDM 은 eNB 에서 사용될 K_eNB 를 생성할 수 있다. 그리고 UDM 은 K_eNB를 생성하는데 사용된 K_ASME를 지시하는 eKSI 와 K_eNB 를 매핑함으로써, 해당 eKSI 에 대해 K_eNB 가 사용됨을 지시할 수 있다.

435 단계에서, UDM 은 eNB 에 전달된 K_eNB 를 AMF 로 우회하여 전달할 수 있다. 즉, K_eNB는 AMF에 투명하게 eNB에 전달될 수 있다.

437 단계에서, AMF는 K_eNB 를 eNB에게 전송할 수 있다. 이때 K_eNB는AMF 에게 투명(transparent)하게 되도록 전달될 것이 요구될 수 있다. 즉 AMF 로 우회함으로써 AMF에 의해 해당 보안 키(security key)를 가지고 어떤 동작(action)이 수행되지 않도록, K_eNB는AMF 에 투명하게 전달될 것이 요구될 수 있다.

439 단계에서 UE 는 K_ASME 로부터 K_eNB 를 생성할 수 있다.

481 단계에서 eNB 는 UE 에게 AS (access stratum) Security Mode Command 메시지를 전송할 수 있다.

483 단계에서 UE 는 eNB 에게 Security Mode Complete 메시지를 전송할 수 있다.

491단계에서 AMF는 eNB에게 Registration Accept 를 전송할 수 있다. 493 단계에서 eNB는 UE에게 Registration Accept 를 전송할 수 있다. 즉, AMF 로부터 eNB 를 거쳐 UE 에게 Registration Accept 가 전송될 수 있다

도 5 는 본 개시의 다양한 실시 예들에 따른 보안을 위한 네트워크 엔티티들 간 다른 신호 흐름을 도시한다. 도 5를 통해, 5G 통신 시스템에 따른 네트워크 엔티티와 4G 통신 시스템에 따른 네트워크 엔티티가 공존하는 네트워크 환경에서 보안을 위한 통신 절차 및 방안들이 서술된다. 네트워크 엔티티들로서, 도 1의 UE 101, eNB 181, 5G RAN 103, MME 183, AMF 111, UDM 151, PDN GW 187, SMF 121, UPF 131이 예시된다.

도 5를 참고하면, 501 단계에서, UE는 eNB에게 Registration Request 메시지를 전송할 수 있다. eNB는 AMF에게 Registration Request 메시지를 전송할 수 있다. 즉, UE 는 eNB을 거쳐 AMF 로 Registration Request 메시지를 전송할 수 있다.

일부 실시 예들에서, AMF 및 UDM은 505단계, 507 단계, 509 단계를 수행할 수 있다. 다른 일부 실시 예들에서, AMF 및 UDM은, 505 단계, 507 단계, 509 단계를 수행하지 아니한 경우, 531 단계, 533 단계, 541 단계, 543 단계, 및 545 단계 를 수행할 수 있다. 이하, 505 단계 내지 509 단계의 동작들이 서술된다.

505 단계에서 AMF 는 UDM 으로 보안 키를 요청할 수 있다. 여기서 보안 키의 요청은 UE 와 eNB 사이의 통신을 위해 사용될 키를 위한 시드를 요청하는 과정이다. AMF 는 K_SEAF 로부터 K_AMF 가지고 있고, UE 도 K_AMF를 가지고 있으므로, AMF와 UE는 서로 통신을 수행할 수 있다. 하지만 UE 와 eNB 의 통신을 위해서는 K_eNB 가 있어야 하고, 이를 얻기 위해서는 K_ASME 가 있어야 하므로, AMF가 UDM으로 보안 키를 요청한 것이다.

507 단계에서 UDM 은 K_ASME를 AMF 로 전송할 수 있다.

509 단계에서 AMF는 5G의 보안키인 K_AMF 와 4G의 보안 키인 K_ASME 의 매핑을 수행할 수 있다. UE 와 AMF 간 통신인 NAS 의 경우, 5G CN 을 이용함으로써, K_AMF는 UE 와 AMF 가 K_AMF 로부터 K_NASint, K_NASenc를 생성하는 시드로 사용될 수 있다. UE 와 eNB 간 통신인 AS의 경우, UE 와 eNB 가 K_ASME를 시드로 하여 K_eNB가 생성되므로, K_ASME와 K_AMF 간 매핑이 수행될 수 있다.

본 개시의 다양한 실시 예들에 따를 때, K_AMF 와 K_ASME 간 매핑이 수행되고, 상기 매핑에 대한 인덱스를 관리하는 방안이 고려될 수 있다. 인덱스-키는 K_AMF 와 K_ASME 의 매핑 관계를 식별하기 위한 식별자이고, 이들 pair 는 각각 NAS 보안, AS 보안을 위해 이용될 수 있다.

본 개시의 다양한 실시 예들에 따를 때, 또 다른 일 실시 예로서, UE 및 AMF 간 통신인 NAS 의 경우는 ngKSI와, UE 에서 사용될 컨텍스트와 관련된 eKSI 를 매핑하는 방안이 사용될 수 있다.

511 단계에서, AMF는 Security Mode Command를 eNB에게 전송할 수 있다. 513 단계에서 eNB는 Security Mode Command를 UE에게 전송할 수 있다. 즉, AMF 는 eNB 를 거쳐 Security Mode Command 를 UE에게 전송할 수 있다. 이 때 AMF는 NAS 와 관련된 키의 인덱스인 ngKSI 와 K_eNB 와 관련된 eKSI 를 함께 전송할 수 있다. 따라서 NAS 와 관련된 K_AMF는 ngKSI 로 UE 와 AMF 가 동기를 맞출 수 있고, K_eNB와 관련된 K_ASME, 즉 K_eNB를 얻기 위한 K_ASME 를 가리키는 eKSI 를 통해 UE 와 AMF, 나아가 UE 와 eNB 에서도 동기를 맞출 수 있다.

515 단계에서 UE 는 K_AMF와 연관된 ngKSI, K_ASME 와 연관된 eKSI 를 통해서 K_AMF 와 K_ASME 를 매핑할 수 있다.

521 단계에서, UE는 eNB에게 Security Mode Complete 를 전송할 수 있다. 523 단계에서 eNB는 AMF에게 Security Mode Complete 를 전송할 수 있다. 즉, UE 는 eNB 를 거쳐 AMF 에게 Security Mode Complete 를 전송할 수 있다.

전술한 바와 같이, 505 단계 내지 509 단계를 수행하지 않은 경우, 531 단계 내지 545 단계가 수행될 수 있다. 즉, 하기의 531 단계에서 545 단계는 상기의 505 단계, 507 단계, 509 단계에서 505 단계, 507 단계, 509 단계와 같은 동작들이 수행되지 않는 경우, 실시 가능한 또 하나의 실시 예이다. 이하, 531 내지 545 단계의 동작들이 서술된다.

531 단계에서 AMF 는 UDM 으로 보안 키를 요청할 수 있다. 여기서 보안 키의 요청은 UE 와 eNB 사이의 통신을 위해 사용될 키를 위한 시드를 요청하는 과정이다. 즉 AMF 는 K_SEAF 로부터 K_AMF를 가지고 있고, UE 도 K_AMF 를 가지고 있어, AMF와 UE 간 통신이 가능하다. 하지만 UE 와 eNB 의 통신을 위해서는 K_eNB 가 있어야 하므로, 이를 얻기 위해서는 K_ASME 가 있어야 함으로 이를 요청한 것이다.

533 단계에서 UDM 은 K_ASME 를 AMF 로 전송할 수 있다.

541 단계에서 AMF는 5G의 보안 키인 K_AMF 와 4G LTE 보안키인 K_ASME 의 매핑을 수행할 수 있다. 이러한 매핑은 UE 와 AMF 간 통신인 NAS 의 경우, 5G CN 을 이용함으로써 K_AMF를 UE 와 AMF 가 K_AMF 로부터 K_NASint, K_NASenc를 생성하는 시드로서 사용하고, UE 와 eNB 간 통신인 AS의 경우, UE 와 eNB 가 K_ASME 를 시드로 하여 K_eNB를 생성하기 때문에, K_AMF와 K_ASME 간 매핑을 수행하는 것이다.

본 개시의 다양한 실시 예들에 따를 때, K_AMF 와 K_ASME 간 매핑이 수행되고, 매핑에 따른 인덱스를 관리하는 방안이 고려될 수 있다. 이 때, 사용되는 인덱스-키는 K_AMF와 K_ASME 의 매핑을 식별하는 식별자이고 이들 pair 는 각각 NAS 보안 및 AS 보안을 위해서 관리될 수 있다.

본 개시의 다양한 실시 예들에 따를 때, 다른 방식으로서 543 단계에서 보는 바와 같이 UE 및 AMF 간 통신인 NAS 의 경우 사용되는 ngKSI와, UE 에서 사용할 컨텍스트와 관련된 eKSI 를 매핑하는 방안이 사용될 수도 있다.

545 단계에서 AMF는 eNB 에서 사용될 K_eNB 를 생성할 수 있다. 그리고 AMF는 eKSI 와K_ASME를 매핑할 수 있다. K_ASME가 K_eNB를 생성하기 위해 이용되므로, AMF는 eKSI와 K_eNB 를 매핑하여 해당 eKSI 에 대해서 K_eNB 가 사용 됨을 매핑할 수 있다.

551 단계에서, AMF에서 생성된 K_eNB 가 AMF 에서 eNB 로 전송될 수 있다. 즉, AMF는 K_eNB를 eNB로 전송할 수 있다.

571 단계에서 UE는 K_ASME 로부터 K_eNB 를 생성할 수 있다.

581 단계에서 eNB 는 UE 로 AS (access stratum) Security Mode Command 메시지를 전송할 수 있다.

583 단계에서 UE 는 eNB 로 Security Mode Complete 메시지를 전송할 수 있다.

이후 591단계에서, AMF는 eNB로 Registration Accept 를 전송할 수 있다. 593 단계에서, eNB는 UE 에게 Registration Accept 를 전송할 수 있다. 즉, AMF 로부터 eNB 를 거쳐 UE 로 Registration Accept 가 전송된다.

도 6 은 본 개시의 다양한 실시 예들에 따른 보안을 위한 네트워크 엔티티들 간 다른 신호 흐름을 도시한다. 도 6을 통해, 5G 통신 시스템에 따른 네트워크 엔티티와 4G 통신 시스템에 따른 네트워크 엔티티가 공존하는 네트워크 환경에서 보안을 위한 통신 절차 및 방안들이 서술된다. 네트워크 엔티티들로서, 도 1의 UE 101, eNB 181, 5G RAN 103, MME 183, AMF 111, UDM 151, PDN GW 187, SMF 121, UPF 131이 예시된다.

도 6을 참고하면, 601 단계에서, UE는 eNB에게 Registration Request 메시지를 전송할 수 있다. 603 단계에서, eNB는 AMF에게 Registration Request 메시지를 전송할 수 있다. 즉, UE 는 eNB을 거쳐 AMF 로 Registration Request 메시지를 전송할 수 있다.

일부 실시 예들에서, AMF 및 UDM은 605 단계, 607 단계, 608 단계, 609 단계를 수행할 수 있다. 다른 일부 실시 예들에서, AMF 및 UDM은 605 단계, 607 단계, 608 단계, 609 단계를 수행하지 아니한 경우, 631 단계, 633 단계, 634 단계, 635 단계를 수행할 수 있다. 이하, 605 단계 내지 609 단계의 동작들이 서술된다.

605 단계에서 AMF 는 UDM 으로 보안 키를 요청할 수 있다. 여기서 보안 키의 요청은 UE 와 eNB 사이의 통신을 위해 사용될 키를 요청하는 과정이다. 즉 AMF 는 K_SEAF 로부터 K_AMF 를 가지고 있고, UE 도 K_AMF를 가지고 있어, UE와 AMF 간 통신이 가능하다. 하지만 UE 와 eNB 의 통신을 위해서는 K_eNB 가 있어야 하고, 이를 얻기 위해서는 K_ASME 가 있어야하므로, AMF가 UDM에게 보안 키(즉, UE와 eNB 사이의 AS 통신을 위한 키를 eNB를 대신해 UDM에게 요청한 것이다.

607 단계에서 UDM 은 5G의 보안 키인 K_SEAF 와 4G LTE 보안 키인 K_ASME의 매핑을 수행할 수 있다. UE 와 AMF 간 통신인 NAS 의 경우, 5G CN 을 이용함으로써 K_SEAF는 UE 와 AMF 가 K_AMF 로부터 K_NASint, K_NASenc를 생성하는 시드로서 사용된다. UE 와 eNB 간 통신인 AS의 경우, UE 와 eNB 가 K_ASME를 시드로 하여 K_eNB 를 생성하기 때문에, K_SEAF 와 K_ASME 간 매핑이 수행되는 것이다.

본 개시의 다양한 실시 예들에 따를 때, 일 실시 예로서 K_SEAF 와 K_ASME간 매핑을 수행하고 이에 대한 인덱스를 관리하는 방안이 고려될 수 있다. 인덱스 관리 시 이용되는 인덱스-키는 K_SEAF 와 K_ASME의 매핑을 식별하는 식별자이고 이들 pair 는 각각 NAS 보안, AS 보안을 위해서 관리될 수 있다.

본 개시의 다양한 실시 예들에 따를 때, 다른 일 실시 예로서, UE 및 AMF 간 통신인 NAS 의 경우는 ngKSI와, UE와 eNB 에서 사용될 컨텍스트, K_eNB를 생성하는데 관련된 eKSI 를 매핑하는 방안이 사용될 수 있다.

608 단계에서, UDM 은 eNB 에서 사용될 K_eNB를 생성할 수 있다. 그리고 UDM 은 eKSI 와 K_ASME를 매핑함으로써, eKSI 와 K_eNB 를 매핑하여 해당 eKSI 에 대해서 K_eNB 가 사용 됨을 지시할 수 있다.

609 단계에서, UDM 은 eNB 에 전달될 K_eNB 를 AMF 로 투명하게(transparent하게) 전달해준다. 즉, AMF는 K_eNB를 사용하지 않고, eNB에게 전달해주기 위해 거쳐가는 포인트(혹은 네트워크 엔티티)일 수 있다. 한편, 다른 일 실시 예에 따라 K_eNB는 AMF에 게 투명하게 전달되지 않을 수도 있다.

611 단계에서, AMF는eNB에게 Security Mode Command 를 전송할 수 있다. 613 단계에서 eNB는 UE에게 Security Mode Command 를 전송할 수 있다. 즉, AMF 는 eNB 를 거쳐 UE에게 Security Mode Command 를 전송할 수 있다. 이때 AMF는 NAS 와 관련된 키의 인덱스인 ngKSI 와, K_eNB를 얻기 위해 사용된 K_ASME와 관련된 eKSI, 즉, K_eNB 와 관련된 eKSI 를 함께 전송할 수 있다. 따라서 NAS 와 관련된 K_AMF는 ngKSI 로 UE 와 AMF 가 동기를 맞출 수 있고, K_eNB와 관련된 K_ASME, 즉 K_eNB를 얻기 위한 K_ASME 는 eKSI를 이용하여, 나아가 UE 와 eNB 에서 동기를 맞출 수 있다. 즉, K_ASME를 가리키는 eKSI 가 UE 와 AMF, 나아가 UE 와 eNB 에서 동기를 맞출 수 있다.

615 단계에서, UE 는 K_AMF와 연관된 ngKSI, K_ASME와 연관된 eKSI 를 통해서 K_AMF 와 K_ASME 를 매핑할 수 있다.

621 단계에서, UE는 eNB에게 Security Mode Complete 를 전송할 수 있다. 623 단계에서, eNB는 AMF에게 Security Mode Complete 를 전송할 수 있다. 즉, UE 는 eNB 를 거쳐 AMF 로 Security Mode Complete 를 전송할 수 있다.

전술한 바와 같이, 605 단계 내지 609 단계를 수행하지 않는 경우, 631 단계 내지 635 단계가 수행될 수 있다. 즉, 하기의 631 단계에서 635 단계는 상기의 605 단계, 607 단계, 609 단계에서 605 단계, 607 단계, 609 단계의 동작들이 수행되지 않은 경우, 실시할 수 있는 실시 예이다. 이하, 631 내지 635 단계의 동작들이 서술된다.

631 단계에서 AMF 는 UDM 으로 보안 키를 요청할 수 있다. 여기서 보안 키의 요청 과정은, UE 와 eNB 사이의 통신을 위해 사용될 키를 요청하는 과정이다. 즉 AMF 는 K_SEAF로부터 K_AMF를 가지고 있고, UE 도 K_AMF를 가지고 있어, UE와 AMF 간 통신이 가능하다. 하지만 UE 와 eNB 의 통신을 위해서는 K_eNB가 있어야 하므로, 이를 요청한 것이다. 일 실시 예에 따라, K_eNB를 얻기 위해서는 K_ASME가 있어야하므로, AMF가 UDM에 K_ASME를 요청할 수도 있다. K_ASME를 요청하는 경우, AMF가 K_ASME를 받아서 K_eNB를 생성하는 것이 일 실시 예로서 고려될 수 있다.

633 단계에서 UDM 은 5G (예: NR)의 보안 키인 K_SEAF 와 4G LTE 보안 키인 K_ASME의 매핑을 수행할 수 있다. UE 와 AMF 간 통신인 NAS 의 경우, 5G CN 을 이용함으로써 K_SEAF는 UE 와 AMF 가 K_AMF로부터 K_NASint, K_NASenc를 생성하는 시드로 사용되고, UE 와 eNB 간 통신인 AS의 경우, K_ASME 가 UE 와 eNB에 의해 K_eNB 를 생성하기 위한 시드로서 사용되기 때문에, K_SEAF 와 K_ASME 간 매핑이 수행되는 것이다.

본 개시의 다양한 실시 예들에 따를 때, 일 실시 예로서, K_SEAF와 K_ASME간 매핑이 수행되고 이에 대한 인덱스를 관리하는 방안이 고려될 수 있다. 인덱스-키는 K_SEAF 와 K_ASME 의 매핑을 식별하는 식별자이고 이들 pair 는 각각 NAS 보안, AS 보안을 위해서 관리될 수 있다.

본 개시의 다양한 실시 예들에 따를 때, 다른 일 실시 예로서 UE 및 AMF 간 통신인 NAS 의 경우 사용되는 ngKSI와, UE와 eNB에서 사용되는 K_eNB를 얻기 위해 사용되는 K_ASME를 지시하는 eKSI 를 매핑하는 방안이 사용될 수도 있다.

634 단계에서, UDM 은 eNB 에서 사용될 K_eNB를 K_ASME로부터 생성할 수 있다. UDM은 K_ASME와 eKSI를 매핑할 수 있다. UDM 은 K_eNB를 생성하기 위해 사용된 KASME와 eKSI 를 매핑함으로써, eKSI와 와 K_eNB 를 매핑하여 해당 eKSI 에 대해서 K_eNB 가 사용됨을 지시할 수 있다.

635 단계에서, UDM 은 eNB 에 전달된 K_eNB를 AMF 로 우회(bypass)하여, K_eNB를 AMF에게 전달할 수 있다.

661 단계에서, AMF는 UE에게 K_eNB를 전송할 수 있다. AMF를 거쳐온 K_eNB 가 AMF 에서 UE 로 전송될 수 있다. 이 때 K_eNB가 AMF 에게는 투명하도록, 즉 AMF 는 bypass 해서 AMF 가 해당 보안 키를 가지고 어떤 동작 또는 처리를 수행 하지 않도록AMF 에는 투명 하게 전달되어야 한다. 또한, 이렇게 K_eNB가 AMF를 거쳐 eNB로 전달되는 경우에는 (UDM→AMF→UE→eNB 를 거쳐 전달되는 경우), K_eNB는 UE에도 투명하게eNB에 전달될 수 있다. 즉, 663 과정에서 UE 는 투명하게 전달된 K_eNB 를 eNB 에게 전달할 수 있다.

671 단계에서 UE 도 K_ASME 로부터 K_eNB 를 생성할 수 있다.

681 단계에서, eNB 는 UE 에게 AS (access stratum) Security Mode Command 메시지를 전송할 수 있다.

683 단계에서, UE 는 eNB 에게 Security Mode Complete 메시지를 전송할 수 있다.

이후 691단계에서, AMF는 eNB에게 Registration Accept 를 전송할 수 있다. 693 단계에서, eNB는 UE에게 Registration Accept 를 전송할 수 있다. 즉, AMF 로부터 eNB 를 거쳐 UE 로 Registration Accept 가 전송될 수 있다.

상술한 본 발명의 구체적인 실시 예들에서, 발명에 포함되는 구성 요소는 제시된 구체적인 실시 예에 따라 단수 또는 복수로 표현되었다. 그러나, 단수 또는 복수의 표현은 설명의 편의를 위해 제시한 상황에 적합하게 선택된 것으로서, 본 발명이 단수 또는 복수의 구성 요소에 제한되는 것은 아니며, 복수로 표현된 구성 요소라 하더라도 단수로 구성되거나, 단수로 표현된 구성 요소라 하더라도 복수로 구성될 수 있다.

한편 본 발명의 상세한 설명에서는 구체적인 실시 예에 관해 설명하였으나, 본 발명의 범위에서 벗어나지 않는 한도 내에서 여러 가지 변형이 가능함은 물론이다. 그러므로 본 발명의 범위는 설명된 실시 예에 국한되어 정해져서는 아니 되며 후술하는 특허청구의 범위뿐만 아니라 이 특허청구의 범위와 균등한 것들에 의해 정해져야 한다.

Claims

무선 통신 시스템에서, 제1 통신 시스템을 위한 AMF(access and mobility management function)의 동작 방법에 있어서,
UDM(user data management)에게 제2 통신 시스템의 보안을 위한 요청 메시지를 전송하는 과정과,
상기 UDM으로부터 상기 제2 통신 시스템의 eNB(eNode B)에 대한 보안 키를 포함하는 응답 메시지를 수신하는 과정과,
상기 응답 메시지에 기반하여, 상기 eNB에게 상기 제2 통신 시스템의 eNB에 대한 보안 키를 전송하는 과정을 포함하고,
상기 보안 키는, 상기 제2 통신 시스템의 기본 보안 키로부터 획득되고,
상기 기본 보안 키는, 제1 통신 시스템의 보안 키와 연관된 방법.
청구항 1에 있어서, 상기 보안 키를 상기 eNB에게 전송하는 과정은,
상기 응답 메시지를 상기 eNB에게 전송하는 과정을 포함하고,
상기 eNB에 대한 보안 키는 상기 UDM에 의해 결정되는 방법.
청구항 1에 있어서,
상기 응답 메시지는 상기 기본 보안 키를 포함하는 방법.
청구항 1에 있어서,
상기 제2 통신 시스템의 eNB에 대한 보안 키는 eKSI에 기반하여 식별되고,
상기 eKSI는 상기 제1 통신 시스템의 보안 키를 포함하는 ngKSI와 연관된 방법.
청구항 1에 있어서,
상기 제1 통신 시스템은 NR(new radio) 기반 네트워크이고, 상기 제2 통신 시스템은 LTE(long term evolution) 기반 네트워크이고,
상기 제1 통신 시스템의 보안 키는 KAMF 또는 KSEAF이고,
상기 기본 보안 키는 KASME이고,
상기 eNB에 대한 보안 키는 KeNB인 방법.
무선 통신 시스템에서, 제1 통신 시스템을 위한 UDM(user data management)의 동작 방법에 있어서,
AMF(access and mobility management function)로부터 상기 제1 통신 시스템을 위한 제2 통신 시스템의 보안을 위한 요청 메시지를 수신하는 과정과,
상기 AMF에게 상기 제2 통신 시스템의 eNB(eNode B)에 대한 보안 키를 포함하는 응답 메시지를 전송하는 과정을 포함하고,
상기 보안 키는, 상기 제2 통신 시스템의 기본 보안 키로부터 획득되고,
상기 기본 보안 키는, 제1 통신 시스템의 보안 키와 연관된 방법.
청구항 6에 있어서, 상기 응답 메시지를 전송하는 과정은,
상기 기본 보안 키로부터, 상기 eNB에 대한 보안 키를 결정하는 과정을 포함하는, 방법.
청구항 6에 있어서,
상기 응답 메시지는 상기 기본 보안 키를 포함하는 방법.
청구항 6에 있어서,
상기 제2 통신 시스템의 eNB에 대한 보안 키는 eKSI에 기반하여 식별되고,
상기 eKSI는 상기 제1 통신 시스템의 보안 키를 포함하는 ngKSI와 연관된 방법.
청구항 6에 있어서,
상기 제1 통신 시스템은 NR(new radio) 기반 네트워크이고, 상기 제2 통신 시스템은 LTE(long term evolution) 기반 네트워크이고,
상기 제1 통신 시스템의 보안 키는 KAMF 또는 KSEAF이고,
상기 기본 보안 키는 KASME이고,
상기 eNB에 대한 보안 키는 KeNB인 방법.
무선 통신 시스템에서, 제1 통신 시스템을 위한 AMF(access and mobility management function)의 장치에 있어서,
적어도 하나의 송수신기와,
적어도 하나의 송수신기와 동작적으로 결합되는 적어도 하나의 프로세서를 포함하고,
상기 적어도 하나의 프로세서는, UDM(user data management)에게 제2 통신 시스템의 보안을 위한 요청 메시지를 전송하고,
상기 UDM으로부터 상기 제2 통신 시스템의 eNB(eNode B)에 대한 보안 키를 포함하는 응답 메시지를 수신하고,
상기 응답 메시지에 기반하여, 상기 eNB에게 상기 제2 통신 시스템의 eNB에 대한 보안 키를 전송하도록 구성되고,
상기 보안 키는, 상기 제2 통신 시스템의 기본 보안 키로부터 획득되고,
상기 기본 보안 키는, 제1 통신 시스템의 보안 키와 연관된 장치.
청구항 11에 있어서, 상기 적어도 하나의 프로세서는, 상기 보안 키를 상기 eNB에게 전송하기 위해,
상기 응답 메시지를 상기 eNB에게 전송하도록 구성되고,
상기 eNB에 대한 보안 키는 상기 UDM에 의해 결정되는 장치.
청구항 11에 있어서,
상기 응답 메시지는 상기 기본 보안 키를 포함하는 장치.
청구항 11에 있어서,
상기 제2 통신 시스템의 eNB에 대한 보안 키는 eKSI에 기반하여 식별되고,
상기 eKSI는 상기 제1 통신 시스템의 보안 키를 포함하는 ngKSI와 연관된 장치.
청구항 11에 있어서,
상기 제1 통신 시스템은 NR(new radio) 기반 네트워크이고, 상기 제2 통신 시스템은 LTE(long term evolution) 기반 네트워크이고,
상기 제1 통신 시스템의 보안 키는 KAMF 또는 KSEAF이고,
상기 기본 보안 키는 KASME이고,
상기 eNB에 대한 보안 키는 KeNB인 장치.
무선 통신 시스템에서, 제1 통신 시스템을 위한 UDM(user data management)의 장치에 있어서,
적어도 하나의 송수신기와,
적어도 하나의 송수신기와 동작적으로 결합되는 적어도 하나의 프로세서를 포함하고,
상기 적어도 하나의 프로세서는,
AMF(access and mobility management function)로부터 상기 제1 통신 시스템을 위한 제2 통신 시스템의 보안을 위한 요청 메시지를 수신하고,
상기 AMF에게 상기 제2 통신 시스템의 eNB(eNode B)에 대한 보안 키를 포함하는 응답 메시지를 전송하도록 구성되고,
상기 보안 키는, 상기 제2 통신 시스템의 기본 보안 키로부터 획득되고,
상기 기본 보안 키는, 제1 통신 시스템의 보안 키와 연관되는 장치.
청구항 16에 있어서, 상기 적어도 하나의 프로세서는, 상기 응답 메시지를 전송하기 위해,
상기 기본 보안 키로부터, 상기 eNB에 대한 보안 키를 결정하도록 구성되는 장치.
청구항 16에 있어서,
상기 응답 메시지는 상기 기본 보안 키를 포함하는 장치.
청구항 16에 있어서,
상기 제2 통신 시스템의 eNB에 대한 보안 키는 eKSI에 기반하여 식별되고,
상기 eKSI는 상기 제1 통신 시스템의 보안 키를 포함하는 ngKSI와 연관된 장치.
청구항 16에 있어서,
상기 제1 통신 시스템은 NR(new radio) 기반 네트워크이고, 상기 제2 통신 시스템은 LTE(long term evolution) 기반 네트워크이고,
상기 제1 통신 시스템의 보안 키는 K_AMF 또는 K_SEAF이고,
상기 기본 보안 키는 K_ASME이고,
상기 eNB에 대한 보안 키는 K_eNB인 장치.