KR20200060477A - 보안 보호를 위한 방법, 장치 및 시스템 - Google Patents

보안 보호를 위한 방법, 장치 및 시스템 Download PDF

Info

Publication number
KR20200060477A
KR20200060477A KR1020207012357A KR20207012357A KR20200060477A KR 20200060477 A KR20200060477 A KR 20200060477A KR 1020207012357 A KR1020207012357 A KR 1020207012357A KR 20207012357 A KR20207012357 A KR 20207012357A KR 20200060477 A KR20200060477 A KR 20200060477A
Authority
KR
South Korea
Prior art keywords
user plane
network device
access network
security policy
protection
Prior art date
Application number
KR1020207012357A
Other languages
English (en)
Other versions
KR102347524B1 (ko
Inventor
헤 리
징 천
Original Assignee
후아웨이 테크놀러지 컴퍼니 리미티드
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 후아웨이 테크놀러지 컴퍼니 리미티드 filed Critical 후아웨이 테크놀러지 컴퍼니 리미티드
Publication of KR20200060477A publication Critical patent/KR20200060477A/ko
Application granted granted Critical
Publication of KR102347524B1 publication Critical patent/KR102347524B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H04W12/0013—
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/1006—
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0016—Hand-off preparation specially adapted for end-to-end data sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/16—Discovering, processing access restriction or access information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/08—Mobility data transfer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/08—Upper layer protocols
    • H04W80/10—Upper layer protocols adapted for application session management, e.g. SIP [Session Initiation Protocol]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 출원은 무선 통신 기술 분야에 관한 것이다. 본 출원의 실시 예들은, 단말이 서비스 기지국들 사이를 스위칭하는 경우 저효율의 문제를 해결하기 위한 보안 보호를 위한 방법, 장치 및 시스템을 제공한다. 본 출원의 상기 방법은, 제1 액세스 네트워크 디바이스가 제2 액세스 네트워크 디바이스로부터 사용자 평면 정보와 보안 전략 사이의 대응 관계를 수신하고; 제1 액세스 네트워크 디바이스가, 사용자 평면 정보와 보안 전략 사이의 대응 관계에 따라, 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하되, 제1 사용자 평면 보호 알고리즘은, 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함한다. 본 출원은 서비스 기지국들 사이의 단말기 스위칭 프로세스에 적용 가능하다.

Description

보안 보호를 위한 방법, 장치 및 시스템
본 출원은 2017년 9월 30일에 중국 특허청에 출원된 "SECURITY PROTECTION METHOD, APPARATUS, AND SYSTEM"이라는 명칭의 중국 특허 출원 제201710945254.4호에 대한 우선권을 주장하며, 그 내용 전부는 참조에 의해 본 명세서에 포함된다.
본 출원은 무선 통신 기술 분야, 특히, 보안 보호 방법, 장치 및 시스템에 관한 것이다.
통신 시스템에서, 단말이, 단말을 서빙하는 기지국의 서비스 범위 밖으로 빠르게 이동하는 경우, 단말의 세션 연속성을 보장하기 위해(예를 들어, 단말에 의해 수행되는 서비스가 중단되지 않도록 하기 위해), 소스 기지국은 단말의 핸드오버 절차를 개시하여, 단말의 서빙 기지국이 소스 기지국에서 타깃 기지국으로 스위칭되고, 타깃 기지국이 단말에 의해 수행되는 서비스를 계속 지원할 수 있다.
단말의 핸드오버 절차에서, 소스 기지국에 의해 타깃 기지국으로 송신되는 핸드오버 요청은, 단말의 핸드오버 프로세스에서 진화된 NodeB(evolved NodeB)의 키(key in evolved NodeB, KeNB*) 및 단말 보안 능력(terminal security capability)을 포함한다. 타깃 기지국은, 수신된 단말 보안 능력 및 수신된 KeNB*에 기초하여, 시그널링 평면 암호화 알고리즘, 시그널링 평면 무결성 보호 알고리즘 및 사용자 평면 암호화 알고리즘을 결정할 수 있고, 타깃 기지국은, 시그널링 평면 암호화 키, 시그널링 평면 무결성 보호 키 및 사용자 평면 암호화 키를 각각 생성한다. 그 후, 타깃 기지국은 소스 기지국을 통해 핸드오버 명령 메시지를 단말에 송신하고, 핸드오버 명령 메시지는, 타깃 기지국에 의해 결정된 시그널링 평면 암호화 알고리즘, 시그널링 평면 무결성 보호 알고리즘 및 사용자 평면 암호화 알고리즘을 전달한다. 그 후, 단말은, 핸드오버 명령 메시지로 전달된 알고리즘에 따라 시그널링 평면 암호화 키, 시그널링 평면 무결성 보호 키 및 사용자 평면 암호화 키를 생성한다. 단말은 또한 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키를 이용하여 핸드오버 확인 메시지를 암호화하고, 암호화된 핸드오버 확인 메시지를 타깃 기지국에 송신한다.
단말의 핸드오버 절차에서, 타깃 기지국은, 시그널링 평면 보안 보호 및 사용자 평면 보안 보호가 수행되어야 하는지 여부에 관계없이, 시그널링 평면 암호화 알고리즘, 시그널링 평면 무결성 보호 알고리즘 및 사용자 평면 암호화 알고리즘을 결정하여, 타깃 기지국의 오버헤드를 증가시키고, 타깃 기지국이 단말의 핸드오버를 준비하는 시간을 증가시킨다. 결과적으로, 단말의 핸드오버 효율이 감소한다.
본 출원의 실시 예들은, 서빙 기지국들 사이의 단말의 핸드오버에서 저효율의 문제를 해결하기 위한 보안 보호 방법, 장치 및 시스템을 제공한다.
전술한 목적을 달성하기 위해, 다음의 기술적 해결 방안이 본 출원의 실시 예에서 사용된다.
제1 측면에 따르면, 본 출원의 일 실시 예는 보안 보호 방법을 제공하며, 보안 보호 방법은, 제1 액세스 네트워크 디바이스에 의해, 제2 액세스 네트워크 디바이스로부터 사용자 평면 정보와 보안 정책 사이의 대응(correspondence)을 수신하는 단계; 제1 액세스 네트워크 디바이스에 의해, 대응에 기초하여, 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 단계 - 여기서, 제1 사용자 평면 보호 알고리즘은, 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 - 를 포함한다. 본 출원의 본 실시 예의 해결 방안에서, 제1 액세스 네트워크 디바이스는 사용자 평면 보호 알고리즘만을 결정할 수 있고, 시그널링 평면 보호를 인에이블(enable)할 필요가 없으므로, 네트워크 오버헤드를 감소시킬 수 있다. 또한, 단말이 핸드오버되는 시나리오에 해당 해결 방안을 적용하면, 제1 액세스 네트워크 디바이스가 단말의 핸드오버를 준비하는 시간을 단축할 수 있으므로, 단말의 핸드오버 효율을 향상시킬 수 있다.
사용자 평면 정보는 PDU 세션 식별자, QoS 파라미터 및 슬라이스 파라미터 중 임의의 하나 이상을 포함할 수 있다.
사용자 평면 정보와 보안 정책 사이의 대응에 대한 표현 형태는, 대응하는 사용자 평면 정보와 보안 정책의 조합일 수 있다. 복수의 사용자 평면 정보는 하나의 대응을 이용하여 복수의 보안 정책에 대응할 수 있다. 예를 들어, 복수의 사용자 평면 정보와 복수의 보안 정책 사이의 대응에서, 사용자 평면 정보는 PDU 세션 식별자 및 QoS 파라미터를 포함하고, 보안 정책은 보안 정책 1 및 보안 정책 2를 포함한다. 대안적으로, 하나의 사용자 평면 정보는, 하나의 대응을 이용하여 하나의 보안 정책에 대응한다. 예를 들어, 사용자 평면 정보와 보안 정책 사이의 대응은 하나의 QoS 파라미터와 하나의 보안 정책의 조합이다.
일 예에서, 사용자 평면 정보와 보안 정책 사이의 대응은 {PDU 세션 ID=1, NIA=1, NEA=2}일 수 있으며, 이는, PDU 세션 식별자가 1인 세션에 대해, 사용자 평면 무결성 보호 알고리즘 1이 사용자 평면 무결성 보호를 수행하기 위해 사용되고, 사용자 평면 암호화 알고리즘 2가 사용자 평면 암호화 보호를 수행하기 위해 사용됨을 표시한다.
선택적으로, 본 출원의 본 실시 예의 해결 방안은, 단말이 서빙 기지국들 사이에서 핸드오버되는 프로세스에 적용될 수 있다. 제1 액세스 네트워크 디바이스는 TgNB일 수 있고, 제2 액세스 네트워크 디바이스는 SgNB일 수 있다. 서빙 기지국들 사이에서 단말이 핸드오버되는 프로세스에서, 제1 액세스 네트워크 디바이스는 사용자 평면 보호 알고리즘만을 결정할 수 있고, 시그널링 평면 보호를 활성화할 필요가 없어서, 네트워크 오버헤드를 감소시키고, 제1 액세스 네트워크 디바이스가 단말의 핸드오버를 준비하기 위한 시간을 절약할 수 있으므로, 단말의 핸드오버 효율을 향상시킬 수 있다.
가능한 설계에서, 제1 액세스 네트워크 디바이스는, 제1 사용자 평면 보호 알고리즘을 시그널링 평면 보호 알고리즘으로 결정한다.
다른 가능한 설계에서, 제1 액세스 네트워크 디바이스는 시그널링 평면 보호 알고리즘을 결정하되, 시그널링 평면 보호 알고리즘은 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함한다.
가능한 설계에서, 제1 액세스 네트워크 디바이스는 제2 액세스 네트워크 디바이스를 통해 제1 표시 정보를 단말에 송신하며, 제1 표시 정보는, 제1 사용자 평면 보호 알고리즘이 시그널링 평면 보호 알고리즘과 동일함을 표시하기 위해 사용되거나, 제1 표시 정보는, 제1 액세스 네트워크 디바이스에 의해 결정된 시그널링 평면 보호 알고리즘의 식별자를 표시하기 위해 사용된다.
본 출원의 본 실시 예의 해결 방안에 따르면, 제1 액세스 네트워크 디바이스는, 시그널링 평면 보호 알고리즘을 결정한 후, 이용 가능한 시그널링 평면 보호 알고리즘을 단말에 통지하여, 단말이 적시에 시그널링 평면 보안 보호를 활성화하여, 시그널링 평면 메시지에 대한 보안 보호를 수행하고, 시그널링 평면 메시지의 보안을 보장한다.
가능한 설계에서, 보안 정책은, 활성화를 위한 보안 보호 유형을 표시하기 위해 사용되고, 보안 보호 유형은, 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호 중 하나 또는 모두를 포함하고, 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 대응에 기초하여, 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 방법은, 제1 액세스 네트워크 디바이스에 의해, 보안 정책에 의해 표시되는 활성화를 위한 보안 보호 유형에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 단계를 포함한다.
각 보안 보호 유형은 하나의 알고리즘 세트에 대응한다. 일 구현에서, 제1 액세스 네트워크 디바이스는 사용자 평면 암호화 알고리즘 세트 및 사용자 평면 무결성 보호 알고리즘 세트를 저장한다. 제1 액세스 네트워크 디바이스는, 사용자 평면 암호화 알고리즘과 시그널링 평면 암호화 알고리즘을 구별하거나, 사용자 평면 무결성 보호 알고리즘과 시그널링 평면 무결성 보호 알고리즘을 구별하지 않는다. 다시 말해서, 사용자 평면 암호화 알고리즘 세트는 또한 시그널링 평면 암호화 알고리즘 세트로서 사용될 수도 있고, 사용자 평면 무결성 보호 알고리즘 세트는 또한 시그널링 평면 무결성 보호 알고리즘 세트로서 사용될 수도 있다. 다른 구현에서, 제1 액세스 네트워크 디바이스는, 사용자 평면 암호화 알고리즘과 시그널링 평면 암호화 알고리즘을 구별하고, 사용자 평면 무결성 보호 알고리즘과 시그널링 평면 무결성 보호 알고리즘을 구별한다. 제1 액세스 네트워크 디바이스는 사용자 평면 암호화 알고리즘 세트, 사용자 평면 무결성 보호 알고리즘 세트, 시그널링 평면 암호화 알고리즘 세트 및 시그널링 평면 무결성 보호 알고리즘 세트를 저장한다. 전술한 모든 알고리즘 세트는 우선 순위 리스트의 형태로 존재할 수 있으며, 우선 순위 리스트의 알고리즘은 우선 순위의 내림차순으로 배열된다.
다른 가능한 설계에서, 보안 정책은 사용자 평면 보호 알고리즘 식별자를 포함하고, 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 대응에 기초하여, 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 방법은 구체적으로, 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 보호 알고리즘 식별자에 대응하는 제2 사용자 평면 보호 알고리즘을 결정하는 단계, 제1 액세스 네트워크 디바이스 및 단말 모두가 제2 사용자 평면 보호 알고리즘을 지원하는 경우, 제1 액세스 네트워크 디바이스에 의해, 제2 사용자 평면 보호 알고리즘을 제1 사용자 평면 보호 알고리즘으로 결정하는 단계, 또는, 제1 액세스 네트워크 디바이스 또는 단말 중 어느 하나가 제2 사용자 평면 보호 알고리즘을 지원하지 않는 경우, 제1 액세스 네트워크 디바이스에 의해, 제2 사용자 평면 보호 알고리즘이 속하는 보안 보호 유형에 대응하는 보안 알고리즘 세트로부터, 제1 액세스 네트워크 디바이스 및 단말 모두에 의해 지원되는 사용자 평면 보호 알고리즘을 제1 사용자 평면 보호 알고리즘으로 선택하는 단계이다.
선택적으로, 보안 보호 유형에 대응하는 보안 알고리즘 세트는 우선 순위 리스트의 형태로 존재할 수 있으며, 우선 순위 리스트의 알고리즘은 우선 순위의 내림차순으로 배열된다.
선택적으로, 제1 액세스 네트워크 디바이스는 제2 액세스 네트워크 디바이스로부터 단말 보안 능력을 수신할 수 있고, 단말 보안 능력은 단말에 의해 지원되는 사용자 평면 보호 알고리즘을 포함한다. 제1 액세스 네트워크 디바이스는, 제2 사용자 평면 보호 알고리즘이 속하는 보안 보호 유형에 대응하는 보안 알고리즘 세트로부터, 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 보호 알고리즘을 선택할 수 있다.
가능한 설계에서, 제1 액세스 네트워크 디바이스는, 제1 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성하며, 사용자 평면 보호 키는, 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키 중 하나 또는 모두를 포함한다.
가능한 설계에서, 제1 액세스 네트워크 디바이스는, 시그널링 평면 보호 알고리즘에 따라 시그널링 평면 보호 키를 생성하며, 시그널링 평면 보호 키는, 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키 중 하나 또는 모두를 포함한다.
가능한 설계에서, 제1 액세스 네트워크 디바이스는, 제2 액세스 네트워크 디바이스를 통해 단말에, 사용자 평면 무결성 보호 키 또는 시그널링 평면 무결성 보호 키를 사용하여 보호되는 제1 메시지를 송신하며, 제1 메시지는 제1 사용자 평면 보호 알고리즘을 포함한다.
선택적으로, 제1 액세스 네트워크 디바이스가 시그널링 평면 보호 알고리즘을 결정한 경우, 제1 메시지는 시그널링 평면 보호 알고리즘을 추가로 전달할 수 있다.
가능한 설계에서, 제1 액세스 네트워크 디바이스는, 단말로부터, 사용자 평면 보호 키 또는 시그널링 평면 보호 키를 사용하여 보호되는 제2 메시지를 수신하며, 제2 메시지는 제1 메시지에 대한 응답 메시지이다.
가능한 설계에서, 방법은, 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 대응을, 액세스 및 이동성 관리 기능(access and mobility management function, AMF) 노드에 송신하는 단계; 제1 액세스 네트워크 디바이스에 의해, AMF 노드로부터 제2 표시 정보 및 보안 정책 중 하나 또는 모두를 수신하는 단계 - 여기서, 제2 표시 정보는, 제2 액세스 네트워크 디바이스로부터의 보안 정책이 사용될 수 있는지 여부를 표시하기 위해 사용됨-; 및 제1 액세스 네트워크 디바이스가 AMF 노드로부터 보안 정책을 수신한 경우, AMF 노드로부터의 보안 정책에 따라 제1 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 재결정하는 단계 - 여기서, AMF 노드로부터의 보안 정책은, 제2 액세스 네트워크 디바이스로부터의 보안 정책과 상이함 -; 또는, 제1 액세스 네트워크 디바이스가 AMF 노드로부터 제2 표시 정보를 수신하고, AMF 노드로부터 보안 정책을 수신하지 않는 경우, 제1 액세스 네트워크 디바이스에 의해, 디폴트(default) 보안 정책에 따라 제1 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 재결정하는 단계 - 여기서, 제2 표시 정보는 제1 액세스 네트워크 디바이스가 제2 액세스 네트워크 디바이스로부터의 보안 정책을 사용할 수 없음을 표시함 - 를 더 포함한다.
본 출원의 본 실시 예에서 제공되는 해결 방안에 따르면, 제1 액세스 네트워크 디바이스는 현재 사용되는 보안 정책을 검증하여, 제1 액세스 네트워크 디바이스의 자원 상태에 적용 가능한 보안 정책을 획득할 수 있다. 제2 액세스 네트워크 디바이스가 공격자에 의해 크래킹되고(cracked), 제1 액세스 네트워크 디바이스에, 감소된 보안 레벨의 보안 정책을 송신하는 경우, 해당 보안 정책에 따라 제1 액세스 네트워크 디바이스에 의해 결정되는 사용자 평면 보호 알고리즘의 보안 능력 레벨은 상대적으로 낮으며, 사용자 평면 보호 알고리즘을 사용하여 보호되는 정보는 쉽게 크래킹될 수 있다. 따라서, 제1 액세스 네트워크 디바이스는 AMF 노드에 의해 전달되는 보안 정책을 사용하여, 취약점을 회피하고, 보안을 더욱 향상시킬 수 있다.
제2 측면에 따르면, 본 출원의 일 실시 예는 보안 보호 방법을 제공하며, 보안 보호 방법은, 제2 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 대응을 획득하는 단계; 및 제2 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 대응을 제1 액세스 네트워크 디바이스에 송신하는 단계를 포함한다.
제3 측면에 따르면, 본 출원의 일 실시 예는 보안 보호 방법을 제공하며, 보안 보호 방법은, 액세스 및 이동성 관리 기능(AMF) 노드에 의해, 제2 액세스 네트워크 디바이스로부터 사용자 평면 정보를 수신하는 단계; AMF 노드에 의해, 사용자 평면 정보를 세션 관리 기능(Session Management Function, SMF) 노드에 송신하는 단계; AMF 노드에 의해, SMF 노드로부터, 사용자 평면 정보에 대응하는 보안 정책을 수신하는 단계; 및 AMF 노드에 의해, 사용자 평면 정보에 대응하는 보안 정책을 제1 액세스 네트워크 디바이스에 송신하는 단계를 포함한다.
본 출원의 본 실시 예의 해결 방안에 따르면, 제2 액세스 네트워크 디바이스와 제1 액세스 네트워크 디바이스 사이에 통신 인터페이스가 존재하지 않는 경우, 제2 액세스 네트워크 디바이스는 AMF 노드 및 SMF 노드를 트리거하여, 제2 액세스 네트워크 디바이스에 대해 보안 정책과 사용자 평면 정보 사이의 대응을 제공하여, 단말이 제2 액세스 네트워크 디바이스로 핸드오버될 수 있도록 할 수 있다.
제4 측면에 따르면, 본 출원의 일 실시 예는 보안 보호 방법을 제공하며, 보안 보호 방법은, 세션 관리 기능(SMF) 노드에 의해, 액세스 및 이동성 관리 기능(AMF) 노드로부터 사용자 평면 정보를 수신하는 단계; SMF 노드에 의해, 사용자 평면 정보에 대응하는 보안 정책을 결정하는 단계; SMF 노드에 의해, 사용자 평면 정보에 대응하는 보안 정책을, AMF 노드를 통해 제1 액세스 네트워크 디바이스에 송신하는 단계를 포함한다.
본 출원의 본 실시 예에서 제공되는 해결 방안에 따르면, SMF 노드는, AMF 노드를 통해 제1 액세스 네트워크 디바이스의 자원 상태에 적용 가능한 보안 정책을 제공할 수 있다. 제2 액세스 네트워크 디바이스가 공격자에 의해 크래킹되고, 제1 액세스 네트워크 디바이스에, 감소된 보안 레벨의 보안 정책을 송신하는 경우, 해당 보안 정책에 따라 제1 액세스 네트워크 디바이스에 의해 결정되는 사용자 평면 보호 알고리즘의 보안 능력 레벨은 상대적으로 낮으며, 사용자 평면 보호 알고리즘을 사용하여 보호되는 정보는 쉽게 크래킹될 수 있다. 따라서, 제1 액세스 네트워크 디바이스는 AMF 노드에 의해 전달되는 보안 정책을 사용하여, 취약점을 회피하고, 보안을 더욱 향상시킬 수 있다.
제5 측면에 따르면, 본 출원의 일 실시 예는 장치를 제공하며, 장치는, 전술한 방법 설계에서 제1 액세스 네트워크 디바이스의 동작을 구현하는 기능을 갖는다. 해당 기능은 하드웨어에 의해 구현될 수 있거나, 대응하는 소프트웨어를 실행하는 하드웨어에 의해 구현될 수 있다. 하드웨어 또는 소프트웨어는 전술한 기능에 대응하는 하나 이상의 모듈을 포함한다. 예를 들어, 장치는 제1 액세스 네트워크 디바이스일 수 있거나, 제1 액세스 네트워크 디바이스의 칩일 수 있다.
가능한 설계에서, 장치는 제1 액세스 네트워크 디바이스이다. 제1 액세스 네트워크 디바이스는 프로세서를 포함하고, 프로세서는 전술한 방법에서 대응하는 기능을 수행함에 있어서 제1 액세스 네트워크 디바이스를 지원하도록 구성된다. 또한, 제1 액세스 네트워크 디바이스는 통신 인터페이스를 포함할 수 있고, 통신 인터페이스는 제1 액세스 네트워크 디바이스와 제2 액세스 네트워크 디바이스 또는 AMF 노드 사이의 통신을 지원하도록 구성된다. 또한, 제1 액세스 네트워크 디바이스는 트랜시버를 포함할 수 있다. 트랜시버는 제1 액세스 네트워크 디바이스와 단말 사이의 통신을 지원하도록 구성된다. 또한, 제1 액세스 네트워크 디바이스는 메모리를 포함할 수 있다. 메모리는 프로세서에 연결되고, 제1 액세스 네트워크 디바이스에 필요한 프로그램 인스트럭션 및 데이터를 저장하도록 구성된다.
제6 측면에 따르면, 본 출원의 일 실시 예는 장치를 제공하며, 장치는, 전술한 방법 설계에서 제2 액세스 네트워크 디바이스의 동작을 구현하는 기능을 갖는다. 해당 기능은 하드웨어에 의해 구현될 수 있거나, 대응하는 소프트웨어를 실행하는 하드웨어에 의해 구현될 수 있다. 하드웨어 또는 소프트웨어는 전술한 기능에 대응하는 하나 이상의 모듈을 포함한다. 예를 들어, 장치는 제2 액세스 네트워크 디바이스일 수 있거나, 제2 액세스 네트워크 디바이스의 칩일 수 있다.
가능한 설계에서, 장치는 제2 액세스 네트워크 디바이스이다. 제2 액세스 네트워크 디바이스는 프로세서를 포함하고, 프로세서는 전술한 방법에서 대응하는 기능을 수행함에 있어서 제2 액세스 네트워크 디바이스를 지원하도록 구성된다. 또한, 제2 액세스 네트워크 디바이스는 통신 인터페이스, 전송기 및 수신기를 포함할 수 있다. 통신 인터페이스는 제2 액세스 네트워크 디바이스와 제1 액세스 네트워크 디바이스 또는 AMF 노드 사이의 통신을 지원하도록 구성되고, 전송기 및 수신기는 제2 액세스 네트워크 디바이스와 단말 사이의 통신을 지원하도록 구성된다. 또한, 제2 액세스 네트워크 디바이스는 트랜시버를 포함할 수 있다. 트랜시버는 제2 액세스 네트워크 디바이스와 단말 사이의 통신을 지원하도록 구성된다. 또한, 제2 액세스 네트워크 디바이스는 메모리를 포함할 수 있다. 메모리는 프로세서에 연결되고, 제2 액세스 네트워크 디바이스에 필요한 프로그램 인스트럭션 및 데이터를 저장하도록 구성된다.
제7 측면에 따르면, 본 출원의 일 실시 예는 장치를 제공하며, 장치는, 전술한 방법 설계에서 AMF 노드의 동작을 구현하는 기능을 갖는다. 해당 기능은 하드웨어에 의해 구현될 수 있거나, 대응하는 소프트웨어를 실행하는 하드웨어에 의해 구현될 수 있다. 하드웨어 또는 소프트웨어는 전술한 기능에 대응하는 하나 이상의 모듈을 포함한다. 예를 들어, 장치는 AMF 노드일 수 있거나, AMF 노드의 칩일 수 있다.
가능한 설계에서, 장치는 AMF 노드이다. AMF 노드는 프로세서를 포함하고, 프로세서는 전술한 방법에서 대응하는 기능을 수행함에 있어서 AMF 노드를 지원하도록 구성된다. 또한, AMF 노드는 통신 인터페이스를 포함할 수 있다. 통신 인터페이스는 AMF 노드와 제1 액세스 네트워크 디바이스, 제2 액세스 네트워크 디바이스 또는 SMF 노드 사이의 통신을 지원하도록 구성된다. 또한, AMF 노드는 메모리를 포함할 수 있다. 메모리는 프로세서에 연결되고, AMF 노드에 필요한 프로그램 인스트럭션 및 데이터를 저장하도록 구성된다.
제8 측면에 따르면, 본 출원의 일 실시 예는 장치를 제공하며, 장치는, 전술한 방법 설계에서 SMF 노드의 동작을 구현하는 기능을 갖는다. 해당 기능은 하드웨어에 의해 구현될 수 있거나, 대응하는 소프트웨어를 실행하는 하드웨어에 의해 구현될 수 있다. 하드웨어 또는 소프트웨어는 전술한 기능에 대응하는 하나 이상의 모듈을 포함한다. 예를 들어, 장치는 SMF 노드일 수 있거나, SMF 노드의 칩일 수 있다.
가능한 설계에서, 장치는 SMF 노드이다. SMF 노드는 프로세서를 포함하고, 프로세서는 전술한 방법에서 대응하는 기능을 수행함에 있어서 SMF 노드를 지원하도록 구성된다. 또한, SMF 노드는 통신 인터페이스를 포함할 수 있다. 통신 인터페이스는 SMF 노드와 AMF 노드 간의 통신을 지원하도록 구성된다. 또한, SMF 노드는 메모리를 포함할 수 있다. 메모리는 프로세서에 연결되고, SMF 노드에 필요한 프로그램 인스트럭션 및 데이터를 저장하도록 구성된다.
제9 측면에 따르면, 본 출원의 실시 예는 장치를 제공하며, 장치는, 전술한 방법 설계에서 단말의 동작을 구현하는 기능을 갖는다. 해당 기능은 하드웨어에 의해 구현될 수 있거나, 대응하는 소프트웨어를 실행하는 하드웨어에 의해 구현될 수 있다. 하드웨어 또는 소프트웨어는 전술한 기능에 대응하는 하나 이상의 모듈을 포함한다. 예를 들어, 장치는 단말일 수 있거나 단말 내의 칩일 수 있다.
가능한 설계에서, 장치는 단말이다. 단말은 프로세서를 포함하고, 프로세서는 전술한 방법에서 대응하는 기능을 수행함에 있어서 단말을 지원하도록 구성된다. 또한, 단말은 전송기 및 수신기를 포함할 수 있다. 전송기와 수신기는 단말과 액세스 네트워크 디바이스 사이의 통신을 지원하도록 구성된다. 또한, 단말은 메모리를 포함할 수 있다. 메모리는 프로세서에 연결되고, 단말에 필요한 프로그램 인스트럭션 및 데이터를 저장하도록 구성된다.
제10 측면에 따르면, 본 출원의 일 실시 예는 통신 시스템을 제공하며, 통신 시스템은 전술한 측면에 따른 제1 액세스 네트워크 디바이스 및 제2 액세스 네트워크 디바이스를 포함하거나; 통신 시스템은 전술한 측면에 따른 제1 액세스 네트워크 디바이스, 제2 액세스 네트워크 디바이스 및 AMF 노드를 포함하거나; 통신 시스템은 전술한 측면에 따른 제1 액세스 네트워크 디바이스, 제2 액세스 네트워크 디바이스, AMF 노드 및 SMF 노드를 포함하거나; 통신 시스템은 전술한 측면에 따른 제1 액세스 네트워크 디바이스, 제2 액세스 네트워크 디바이스, AMF 노드, SMF 노드 및 단말을 포함한다.
제11 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 저장 매체를 제공하며, 컴퓨터 저장 매체는 전술한 제1 액세스 네트워크 디바이스에 의해 사용되는 컴퓨터 소프트웨어 인스트럭션을 저장하도록 구성되고, 컴퓨터 소프트웨어 인스트럭션은 전술한 측면들을 수행하도록 설계된 프로그램을 포함한다.
제12 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 저장 매체를 제공하며, 컴퓨터 저장 매체는 전술한 제2 액세스 네트워크 디바이스에 의해 사용되는 컴퓨터 소프트웨어 인스트럭션을 저장하도록 구성되고, 컴퓨터 소프트웨어 인스트럭션은 전술한 측면들을 수행하도록 설계된 프로그램을 포함한다.
제13 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 저장 매체를 제공하며, 컴퓨터 저장 매체는 전술한 AMF 노드에 의해 사용되는 컴퓨터 소프트웨어 인스트럭션을 저장하도록 구성되고, 컴퓨터 소프트웨어 인스트럭션은 전술한 측면들을 수행하도록 설계된 프로그램을 포함한다.
제14 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 저장 매체를 제공하며, 컴퓨터 저장 매체는 전술한 SMF 노드에 의해 사용되는 컴퓨터 소프트웨어 인스트럭션을 저장하도록 구성되고, 컴퓨터 소프트웨어 인스트럭션은 전술한 측면들을 수행하도록 설계된 프로그램을 포함한다.
제15 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 저장 매체를 제공하며, 컴퓨터 저장 매체는 전술한 단말에 의해 사용되는 컴퓨터 소프트웨어 인스트럭션을 저장하도록 구성되고, 컴퓨터 소프트웨어 인스트럭션은 전술한 측면들을 수행하도록 설계된 프로그램을 포함한다.
제16 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 프로그램 제품을 제공하며, 컴퓨터 프로그램 제품이 컴퓨터 상에서 실행될 때, 컴퓨터는 제1 측면의 방법을 수행하도록 인에이블 된다.
제17 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 프로그램 제품을 제공하며, 컴퓨터 프로그램 제품이 컴퓨터 상에서 실행될 때, 컴퓨터는 제2 측면의 방법을 수행하도록 인에이블 된다.
제18 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 프로그램 제품을 제공하며, 컴퓨터 프로그램 제품이 컴퓨터 상에서 실행될 때, 컴퓨터는 제3 측면의 방법을 수행하도록 인에이블 된다.
제19 측면에 따르면, 본 출원의 일 실시 예는 컴퓨터 프로그램 제품을 제공하며, 컴퓨터 프로그램 제품이 컴퓨터 상에서 실행될 때, 컴퓨터는 제4 측면의 방법을 수행하도록 인에이블 된다.
제20 측면에 따르면, 본 출원의 일 실시 예는 칩 시스템을 제공하며, 칩 시스템은 제1 액세스 네트워크 디바이스에 적용되고, 칩 시스템은 적어도 하나의 프로세서, 메모리 및 인터페이스 회로, 메모리를 포함하고, 인터페이스 회로, 및 적어도 하나의 프로세서는 라인(line)을 사용하여 서로 연결되고, 메모리는 인스트럭션을 저장하고, 프로세서는 인스트럭션을 실행하여, 제1 측면의 방법에서 제1 액세스 네트워크 디바이스의 동작을 수행한다.
제21 측면에 따르면, 본 출원의 일 실시 예는 칩 시스템을 제공하며, 칩 시스템은 제2 액세스 네트워크 디바이스에 적용되고, 칩 시스템은 적어도 하나의 프로세서, 메모리 및 인터페이스 회로, 메모리를 포함하고, 인터페이스 회로, 및 적어도 하나의 프로세서는 라인을 사용하여 서로 연결되고, 메모리는 인스트럭션을 저장하고, 프로세서는 인스트럭션을 실행하여, 제2 측면의 방법에서 제2 액세스 네트워크 디바이스의 동작을 수행한다.
제22 측면에 따르면, 본 출원의 일 실시 예는 칩 시스템을 제공하며, 칩 시스템은 AMF 노드에 적용되고, 칩 시스템은 적어도 하나의 프로세서, 메모리 및 인터페이스 회로, 메모리를 포함하고, 인터페이스 회로, 및 적어도 하나의 프로세서는 라인을 사용하여 서로 연결되고, 메모리는 인스트럭션을 저장하고, 프로세서는 인스트럭션을 실행하여, 제3 측면의 방법에서 AMF 노드의 동작을 수행한다.
제23 측면에 따르면, 본 출원의 일 실시 예는 칩 시스템을 제공하며, 칩 시스템은 SMF 노드에 적용되고, 칩 시스템은 적어도 하나의 프로세서, 메모리 및 인터페이스 회로, 메모리를 포함하고, 인터페이스 회로, 및 적어도 하나의 프로세서는 라인을 사용하여 서로 연결되고, 메모리는 인스트럭션을 저장하고, 프로세서는 인스트럭션을 실행하여, 제4 측면의 방법에서 SMF 노드의 동작을 수행한다.
종래 기술과 비교하여, 본 출원의 실시 예들의 해결 방안에서, 단말의 핸드오버 프로세스에서, 제1 액세스 네트워크 디바이스는 사용자 평면 보호 알고리즘만을 결정할 수 있고, 시그널링 평면 보호를 인에이블할 필요가 없으므로, 네트워크 오버헤드를 감소시키고, 제1 액세스 네트워크 디바이스가 단말의 핸드오버를 준비하는 시간을 절약할 수 있으므로, 단말의 핸드오버 효율을 향상시킬 수 있다.
도 1은 본 출원의 일 실시 예에 따른 가능한 네트워크 아키텍처의 개략도이다.
도 2는 본 출원의 일 실시 예에 따른 보안 보호 방법의 흐름도이다.
도 3a 및 도 3b는 본 출원의 일 실시 예에 따른 다른 보안 보호 방법의 흐름도이다.
도 4는 본 출원의 일 실시 예에 따른 다른 보안 보호 방법의 흐름도이다.
도 5는 본 출원의 일 실시 예에 따른 다른 보안 보호 방법의 흐름도이다.
도 6은 본 출원의 일 실시 예에 따른 다른 보안 보호 방법의 흐름도이다.
도 7a 및 도 7b는 본 출원의 일 실시 예에 따른 다른 보안 보호 방법의 흐름도이다.
도 8은 본 출원의 일 실시 예에 따른 다른 보안 보호 방법의 흐름도이다.
도 9는 본 출원의 일 실시 예에 따른 다른 보안 보호 방법의 흐름도이다.
도 10은 본 출원의 일 실시 예에 따른 장치의 개략 블록도이다.
도 11은 본 출원의 일 실시 예에 따른 다른 장치의 개략 블록도이다.
도 12는 본 출원의 일 실시 예에 따른 액세스 네트워크 디바이스의 개략 구조도이다.
도 13은 본 출원의 일 실시 예에 따른 다른 장치의 개략 블록도이다.
도 14는 본 출원의 일 실시 예에 따른 AMF 노드의 개략 구조도이다.
도 15는 본 출원의 일 실시 예에 따른 다른 장치의 개략 블록도이다.
도 16은 본 출원의 일 실시 예에 따른 SMF 노드의 개략 구조도이다.
도 17은 본 출원의 일 실시 예에 따른 다른 장치의 개략 블록도이다.
도 18은 본 출원의 일 실시 예에 따른 단말의 개략 구조도이다.
이하에서는 첨부된 도면을 참조하여 본 출원을 더욱 상세히 설명한다. 방법 실시 예들에서의 특정 동작 방법은 장치 실시 예 또는 시스템 실시 예에도 적용될 수 있다. 본 출원의 설명에서, 달리 명시되지 않는 한, "복수의"는 2 또는 3 이상을 의미한다.
본 출원에서 설명되는 시스템 아키텍처 및 서비스 시나리오는 본 출원의 기술적 해결 방안을 보다 명확하게 설명하기 위한 것이고, 본 출원에서 제공되는 기술적 해결 방안을 제한하려는 것이 아니다. 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 시스템 아키텍처가 발전하고 새로운 서비스 시나리오가 등장함에 따라, 본 출원에서 제공되는 기술적 해결 방안도 유사한 기술적 문제에 적용 가능함을 알 수 있다.
본 출원에서, "예" 또는 "예를 들어"와 같은 용어는 예, 묘사 또는 설명을 제공하기 위해 사용된다는 점에 유의해야 한다. 본 출원에서 "예" 또는 "예를 들어"로서 설명되는 임의의 실시 예 또는 설계 해결 방안은, 다른 실시 예 또는 설계 해결 방안보다 더 바람직하거나 더 많은 이점을 갖는 것으로 설명되어서는 안된다. 정확하게, "예" 또는 "예를 들어"와 같은 용어의 사용은, 특정 방식으로 관련 개념을 제시하도록 의도된다.
본 출원의 실시 예들은 차세대 무선 통신 시스템, 예를 들어, 5G 통신 시스템에 적용될 수 있다. 도 1은 본 출원에 따른 가능한 네트워크 아키텍처의 개략도이다. 네트워크 아키텍처에는 다음과 같은 구성 요소가 포함된다.
액세스 및 이동성 관리 기능(access and mobility management function, AMF) 노드는 이동성 관리를 담당하는 네트워크 요소이며, 이동성 관리 엔티티(mobility management entity, MME) 기능에서 세션 관리 이외의 기능, 예를 들어, 합법적 차단 또는 액세스 권한 부여와 같은 기능을 구현하도록 구성될 수 있다.
세션 관리 기능(session management function, SMF) 노드는 세션 자원을 사용자 평면에 할당하도록 구성된다.
인증 서버 기능(authentication server function, AUSF) 노드는, AUSF 노드가 단말에 대해 인증을 수행하는 경우, 인증될 파라미터를 검증 및 전송하고 단말의 진위를 인증하는 것을 담당한다. 주요 기능으로는 보안 앵커 기능(security anchor function, SEAF) 노드에 의해 송신되는 인증 요청을 수신하고, 인증 방법을 선택하는 것이 있다.
SEAF 노드는 현재 AMF 노드의 일부이며, 주로 AUSF 노드에 대한 인증 요청을 개시하고, EPS-AKA* 인증 프로세스에서 단말에 대해 네트워크 측 인증을 완료하는 것을 담당한다.
사용자 평면 기능(user plane function, UPF) 노드는 사용자 평면 데이터의 출구이며, 외부 네트워크에 연결하도록 구성된다.
데이터 네트워크(Data Network, DN)는, 예를 들어 인터넷(Internet)과 같은, 외부 데이터를 제공하는 네트워크이다.
(무선) 액세스 네트워크((radio) access network,(R)AN) 노드는 다른 액세스 기술을 사용할 수 있다. 현재, 3GPP(3rd generation partnership project) 액세스 기술(예를 들어, 3G 시스템, 4G 시스템 또는 5G 시스템에 사용되는 무선 액세스 기술) 및 비 3GPP(none 3rd generation partnership project, non-3GPP) 액세스 기술의 2 가지 무선 액세스 기술이 존재한다. 3GPP 액세스 기술은 3GPP 표준 사양을 준수하는 액세스 기술이며, 3GPP 액세스 기술을 사용하는 액세스 네트워크를 무선 액세스 네트워크(RAN)라고 한다. 5G 시스템에서 액세스 네트워크 디바이스는 차세대 기지국 노드(next generation node basestation, gNB)로 지칭된다. 비 3GPP 액세스 기술은 3GPP 표준 사양을 준수하지 않는 액세스 기술, 예를 들어, Wi-Fi 액세스 포인트(access point, AP)로 제시되는 무선 기술이다.
본 출원에서의 단말은, 무선 수신 및 송신 기능을 갖는 디바이스이며, 육상, 예를 들어, 실내 또는 실외 디바이스, 핸드 헬드 또는 차량 내 디바이스에 배치될 수 있거나; 수면(예를 들어, 선박) 상에 배치될 수 있거나; 또는 공중(예를 들어, 비행기, 풍선 또는 위성)에 배치될 수 있다. 단말은, 사용자 기기(user equipment, UE), 이동 전화(mobile phone), 태블릿 컴퓨터(pad), 무선 수신 및 송신 기능을 구비한 컴퓨터, 무선 데이터 카드, 가상 현실(virtual reality, VR) 단말 디바이스, 증강 현실(augmented reality, AR) 단말 디바이스, 머신 유형 통신(machine type communication, MTC) 단말 디바이스, 산업용 제어(industrial control) 단말 디바이스, 자율 주행(self-driving) 단말 디바이스, 원격 의료(remote medical) 단말 디바이스, 스마트 그리드(smart grid) 단말 디바이스, 교통 안전(transportation safety) 단말 디바이스, 스마트 시티(smart city) 단말 디바이스 및 웨어러블 디바이스(예를 들어, 스마트 워치, 스마트 밴드 및 보수계)와 같은 다양한 유현을 포함할 수 있다. 유사한 무선 통신 기능을 갖는 단말은, 상이한 무선 액세스 기술이 사용되는 시스템에서 상이한 명칭을 가질 수 있다. 설명의 용이성을 위해, 본 출원의 실시 예들에서, 무선 수신 및 송신 통신 기능을 갖는 전술한 장치를 총칭하여 단말이라고 한다.
구체적으로, 본 출원의 단말은 장기 키(long-term key) 및 관련 기능을 저장한다. 단말 및 코어 네트워크 노드(예를 들어, AMF 노드 또는 AUSF 노드)가 양방향 인증을 수행하는 경우, 단말은 장기 키 및 관련 기능을 사용하여 네트워크 인증을 검증할 수 있다.
본 출원의 실시 예들에서 액세스 네트워크 디바이스는 무선 액세스 네트워크에 배치되고 단말에 무선 통신 기능을 제공하도록 구성된 장치이다. 예를 들어, 액세스 네트워크 디바이스는 기지국(Base Station, BS)일 수 있고, 기지국은 매크로 기지국, 마이크로 기지국, 중계 노드, 액세스 포인트 등을 다양한 형태로 포함할 수 있다. 기지국 기능을 갖는 디바이스는 상이한 무선 액세스 기술이 사용되는 시스템에서 상이한 명칭을 가질 수 있다. 예를 들어, 디바이스는 5G 시스템에서 차세대 기지국 노드라고 하며, LTE(Long Term Evolution, LTE) 시스템에서 진화된 NodeB(evolved NodeB, eNB 또는 eNodeB)라고 하고, 3세대(3rd generation, 3G) 통신 시스템에서 NodeB라고 한다. 설명의 용이성을 위해, 본 개시의 실시 예들에서, 단말에 대한 무선 통신 기능을 제공하는 전술한 장치는 집합적으로 액세스 네트워크 디바이스로 지칭된다.
NEF(network exposure function) 노드는 주로 서드 파티(third party)와 상호 작용하도록 구성되어, 서드 파티가 3GPP 네트워크의 일부 네트워크 요소와 간접적으로 상호 작용할 수 있다.
NRF(network function repository function) 노드는 네트워크 요소 사이의 네트워크 기능(network function, NF)을 발견하고 유지하도록 구성된다.
정책 제어 기능(policy control function, PCF) 노드는 최신 서비스 품질(quality of service, QoS) 규칙을 저장한다. 기지국은 SMF 노드에 의해 제공되는 QoS 규칙에 따라 사용자 평면 전송 채널에 적절한 자원을 할당할 수 있다.
통합 데이터 관리(unified data management, UDM) 노드는 사용자 가입 정보를 저장하도록 구성된다.
애플리케이션 기능(application function, AF) 노드는 DN 내부에 위치할 수 있고, 서드 파티에 전개되는 기능적인 네트워크 요소이다. 네트워크 요소는 주로 애플리케이션에서 서드 파티 엔터프라이즈의 최신 서비스 요구 사항을 PCF 노드에 알리기 위해 사용된다. PCF 노드는. 데이터 네트워크에 의해 제공되는 서비스가 서드 파티에 의해 제안되는 요구 사항을 만족하는 것을 보장하기 위해, 서비스 요구 사항에 기초하여 대응하는 QoS 규칙을 생성할 수 있다.
기존의 절차에서, 단말이 소스 기지국으로부터 타깃 기지국으로 핸드오버되는 프로세스에서, 타깃 기지국은 시그널링 평면 암호화 알고리즘, 시그널링 평면 무결성 보호 알고리즘 및 사용자 평면 암호화 알고리즘을 결정한다. 즉, 타깃 기지국은 사용자 평면 보안 보호 및 시그널링 평면 보안 보호를 동시에 활성화시킨다. 구체적으로, 시그널링 평면 보안 보호가 수행될 필요가 있는지 여부에 관계없이, 서빙 기지국들 사이에서 단말이 핸드오버되는 절차에서, 타깃 기지국은 시그널링 평면 보안 보호를 활성화하고, 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘을 결정하여, 네트워크 오버헤드를 증가시키고, 타깃 기지국이 단말의 핸드오버를 준비하는 시간을 증가시킨다. 결과적으로, 단말의 핸드오버 효율은 상대적으로 낮다.
전술한 문제를 해결하기 위해, 본 출원의 실시 예들에서, 사용자 평면 보안 보호 활성화 프로세스는, 시그널링 평면 보안 보호 활성화 프로세스로부터 분리될 수 있다. 구체적으로, 사용자 평면 보안 보호가 먼저 활성화될 수 있고, 이후 시그널링 평면 보호가 수행될 필요가 있을 때 시그널링 평면 보안 보호가 활성화된다. 따라서, 단말의 핸드오버 프로세스에서 시그널링 평면 보안 보호를 활성화하기 위한 네트워크 오버헤드가 감소되고, 단말의 핸드오버 효율이 향상될 수 있다.
먼저, 본 출원의 실시 예들에서의 관련 용어가 설명된다.
제1 액세스 네트워크 디바이스는 RAN 노드일 수 있고, 예를 들어, 5G 시스템의 차세대 기지국 노드일 수 있다. 본 출원의 실시 예들이, 단말이 서빙 기지국들 사이에서 핸드오버되는 절차에 적용되는 경우, 제1 액세스 네트워크 디바이스는 타깃 차세대 기지국 노드(target next generation node stations, TgNB)일 수 있다.
제2 액세스 네트워크 디바이스는 RAN 노드일 수 있고, 예를 들어 5G 시스템의 차세대 기지국 노드일 수 있다. 본 출원의 실시 예들이, 단말이 서빙 기지국들 사이에서 핸드오버되는 절차에 적용되는 경우, 제2 액세스 네트워크 디바이스는 소스 차세대 기지국 노드(source next generation node basestation, SgNB)일 수 있다.
이하에서는 본 출원에서 제공되는 기술적 해결 방안에 대해 상세히 설명한다.
도 2에 도시된 바와 같이, 본 출원의 일 실시 예는 보안 보호 방법을 제공하고, 보안 보호 방법은 단계 201 내지 203을 포함한다.
단계 201: 제2 액세스 네트워크 디바이스는 사용자 평면 정보와 보안 정책 사이의 대응을 획득한다.
사용자 평면 정보는 패킷 데이터 유닛(packet data unit, PDU) 세션 식별자, 서비스 품질(quality of service, QoS) 파라미터(예를 들어, 서비스 품질 흐름 식별자(quality of service flow identifier, QFI), 데이터 무선 베어러(data radio bearer, DRB) 식별자 및 슬라이스 파라미터(예를 들어, 슬라이스 식별자) 중 임의의 하나 이상을 포함할 수 있다..
보안 정책은, 활성화를 위한 사용자 평면 보안 보호 유형을 표시하기 위해 사용되거나, 활성화될 것을 권장하는 사용자 평면 보호 알고리즘 식별자를 표시하기 위해 사용된다. 보안 보호 유형에는 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호 중 하나 또는 모두가 포함된다. 사용자 평면 보호 알고리즘 식별자는, 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 하나 또는 모두일 수 있다. 구체적으로, 보안 정책은 하나 이상의 사용자 평면 보호 알고리즘 식별자를 전달할 수 있고, 예를 들어, 적어도 하나의 사용자 평면 암호화 알고리즘 식별자, 또는 적어도 하나의 사용자 평면 무결성 보호 알고리즘 식별자, 또는 적어도 하나의 사용자 평면 암호화 알고리즘 식별자 및 적어도 하나의 사용자 평면 무결성 보호 알고리즘 식별자를 전달할 수 있다.
구체적으로, 사용자 평면 정보와 보안 정책 사이의 대응의 표현 형태는, 대응하는 사용자 평면 정보와 보안 정책의 조합일 수 있다. 이러한 조합은, 사용자 평면 정보와 보안 정책 사이의 대응을 하나의 조합으로서 지칭될 수 있다. 선택적으로, 사용자 평면 정보는 하나의 대응을 사용함으로써 복수의 보안 정책에 대응할 수 있다. 예를 들어, 하나의 조합의 사용자 평면 정보와 보안 정책 사이의 대응에서 사용자 평면 정보는 PDU 세션 식별자를 포함하고, 보안 정책은 보안 정책 1 및 보안 정책 2를 포함한다. 하나의 PDU 세션 식별자는 2 개의 보안 정책에 대응하는 것으로 이해될 수 있다. 다른 예에서, 하나의 조합의 사용자 평면 정보와 보안 정책 사이의 대응에서 사용자 평면 정보는 DRB 식별자를 포함하고, 보안 정책은 보안 정책 1 및 보안 정책 2를 포함한다. 대안적으로, 하나의 사용자 평면 정보는 하나의 대응을 사용함으로써 하나의 보안 정책에 대응한다. 예를 들어, 하나의 조합의 사용자 평면 정보와 보안 정책 사이의 대응은 하나의 PDU 세션 식별자와 하나의 보안 정책의 조합이다. 다른 예에서, 하나의 조합의 사용자 평면 정보와 보안 정책 사이의 대응은 하나의 DRB 식별자와 하나의 보안 정책의 조합이다.
복수의 조합에서 사용자 평면 정보와 보안 정책 사이의 대응은 복수의 대응이다. 예를 들어, 대응 중 하나는 PDU 세션 식별자, QoS 파라미터, 보안 정책 1 및 보안 정책 2의 조합이고, 다른 대응은 QoS 파라미터 및 보안 정책 3의 조합이다.
구체적으로, 제2 액세스 네트워크 디바이스는, 네트워크 측 구성 정보에 기초하여, 하나의 조합의 사용자 평면 정보와 보안 정책 사이의 대응 또는 복수의 조합의 사용자 평면 정보와 보안 정책 사이의 대응을 획득하도록 결정한다. 예를 들어, 사용자 평면 정보와 보안 정책 사이의 대응은 PDU 세션 식별자와 보안 정책의 조합이다. 네트워크 측 구성 정보가, 핸드오버되어야할 필요가 있는 세션의 PDU 세션 식별자 만이 전송되는 것인 경우, 하나의 세션만이 핸드오버될 필요가 있는 경우 제2 액세스 네트워크 디바이스는 PDU 세션 식별자 및 보안 정책의 하나의 조합만을 획득하거나; 복수의 세션이 핸드오버될 필요가 있는 경우, 제2 액세스 네트워크 디바이스는, 핸드오버되어야할 필요가 있는 각 PDU 세션에 대한 PDU 세션 식별자 및 보안 정책의 각각의 조합을 획득할 필요가 있거나; 제2 액세스 네트워크 디바이스는, 네트워크 측 구성 정보에 기초하여, PDU 세션 식별자 및 보안 정책의 모든 조합으로서, 제2 액세스 네트워크 디바이스에 의해 저장되는 모든 조합을 획득한다.
선택적으로, 제2 액세스 네트워크 디바이스는 하나의 보안 정책만을 획득할 수 있으며, 보안 정책은 모든 사용자 평면 정보에 적용 가능하다.
선택적으로, 보안 정책에 의해 표시되는 활성화를 위한 보안 보호 유형을 나타내기 위해 2 개의 비트 정보가 사용될 수 있다. 예를 들어, 보안 정책은 "XY"이다. X=0은 사용자 평면 암호화 보호를 활성화하지 않음을 표시하고, X=1은 사용자 평면 암호화 보호를 활성화함을 표시하고, Y=0은 사용자 평면 무결성 보호를 활성화하지 않음을 표시하고, Y=1은 사용자 평면 무결성 보호를 활성화함을 표시한다.
예를 들어, {PDU 세션 ID=1, 11}은 PDU 세션 식별자가 1이고 PDU 세션 식별자에 대응하는 보안 정책이 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화함을 표시한다. 대안적으로, {QFI=1, 11}은 QoS 흐름 식별자가 1인 QoS 흐름에 대해, QoS 흐름에 대응하는 보안 정책이 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화함을 표시한다. 대안적으로, {DRB ID=1, 11}은 DRB 식별자가 1이고, DRB 식별자가 1인 DRB에 대응하는 보안 정책이 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화함을 표시한다.
다른 예에서, {PDU 세션 ID=1, 10, DRB ID=1}은 DRB 식별자가 1인 DRB가, PDU 세션 식별자가 1인 세션에 사용되고, 대응하는 보안 정책이 사용자 평면 암호화 보호를 활성화하지만, 사용자 평면 무결성 보호를 활성화하지 않음을 표시한다. 대안적으로, {QFI=1, 10, DRB ID=1}은 DRB 식별자가 1인 DRB가 QoS 흐름 식별자가 1인 QoS 흐름에 사용되고, 대응하는 보안 정책이 사용자 평면 암호화 보호를 활성화하지만, 사용자 평면 무결성 보호를 활성화하지 않음을 표시한다.
다른 예에서, {PDU 세션 ID=2, QFI=1, 01, DRB ID=2}는 PDU 세션 식별자가 2인 세션에서 DRB 식별자가 2인 DRB가 QFI가 1인 QoS 흐름에 사용되고, 대응하는 보안 정책이 사용자 평면 암호화 보호를 활성화하지 않지만, 사용자 평면 무결성 보호를 활성화함을 표시한다.
다른 예에서, {DRB ID=1, DRB ID=2, 01}은 DRB 식별자가 1인 DRB에 대응하는 보안 정책과, DRB 식별자가 2인 DRB에 대응하는 보안 정책이 사용자 평면 암호화 보호를 활성화하지 않지만, 사용자 평면 무결성 보호를 활성화함을 표시한다.
선택적으로, 제2 액세스 네트워크 디바이스는, 복수의 조합으로 사용자 평면 정보와 보안 정책 사이의 대응을 결정할 수 있다. 제2 액세스 네트워크 디바이스는, 핸드오버될 필요가 있는 PDU 세션의 PDU 세션 식별자와, 서빙 기지국 사이에서 단말이 핸드오버되는 절차에서 보안 정책 사이의 각각의 대응을 획득할 필요가 있다. 예를 들어, 복수의 조합에서 사용자 평면 정보와 보안 정책 사이의 대응은 {{PDU 세션 ID=1, 10, DRB ID=1}, {PDU 세션 ID=2, QFI=1, 01, DRB ID=2}}일 수 있다.
선택적으로, 보안 정책에 의해 표시되는 활성화된 사용자 평면 보호 알고리즘 식별자는, 권장되는 알고리즘 식별자를 사용하여 표현될 수 있다. 예를 들어, 사용자 평면 정보와 보안 정책 사이의 대응은 {PDU 세션 ID=1, NIA=1, NEA=2}일 수 있고, 이는, PDU 세션 식별자가 1인 세션에 대해, 사용자 평면 무결성 보호 알고리즘 1은 사용자 평면 무결성 보호를 수행하기 위해 사용되고, 사용자 평면 암호화 알고리즘 2는 사용자 평면 암호화 보호를 수행하기 위해 사용됨을 표시한다. 선택적으로, NIA=0이면 사용자 평면 무결성 보호가 활성화되지 않고, NEA=0이면 사용자 평면 암호화 보호가 활성화되지 않는다. 다른 예에서, {PDU 세션 ID=1, NIA=1, NIA=2, NEA=2, NEA=1}은, PDU 세션 식별자가 1인 세션에 대해, 사용자 평면 무결성 보호 알고리즘 1은 사용자 평면 무결성 보호를 수행하기 위해 우선적으로 권장되고, 사용자 평면 무결성 보호 알고리즘 2는 사용자 평면 무결성 보호를 수행하기 위해 이차적으로 권장되고, 사용자 평면 암호화 알고리즘 2는 사용자 암호화 보호를 수행하기 위해 우선적으로 권장되고, 사용자 평면 암호화 1은 사용자 평면 암호화 보호를 수행하기 위해 이차적으로 권장됨을 표시한다. 다른 예에서, 사용자 평면 정보와 보안 정책 사이의 대응은 {DRB ID=1, NIA=1, NEA=2}일 수 있으며, 이는, DRB 식별자가 1인 세션에 대해, 사용자 평면 무결성 보호 알고리즘 1은 사용자 평면 무결성 보호를 수행하기 위해 사용되고, 사용자 평면 암호화 알고리즘 2는 사용자 평면 암호화 보호를 수행하기 위해 사용됨을 표시한다.
선택적으로, 사용자 평면 정보와 보안 정책 사이의 대응은 {PDU 세션 ID=1, "1111", NEA=2}일 수 있으며, 이는, PDU 세션 식별자가 1인 세션에 대해, 사용자 평면 무결성 보호가 활성화되지 않으며, 사용자 평면 암호화 알고리즘 2는 사용자 평면 데이터에 대한 암호화 보호를 수행하기 위해 사용된다.
다른 예에서, 사용자 평면 정보와 보안 정책 사이의 대응은 {PDU 세션 ID=1, NIA=1, "1111"}일 수 있으며, 이는, PDU 세션 식별자가 1인 세션에 대해, 사용자 평면 무결성 보호 알고리즘 1은 사용자 평면 무결성 보호를 수행하기 위해 사용되고, 사용자 평면 암호화 보호는 활성화되지 않음을 표시한다.
"1111"은 표시 정보이고, 특정 보호가 활성화되지 않음을 표시하기 위해 사용된다. 사용자 평면 정보와 보안 정책 사이의 대응에서, "1111"이 사용자 평면 암호화 알고리즘 식별자를 전달할 필요가 있는 위치에 있는 경우, 사용자 평면 암호화 보호는 활성화되지 않거나; "1111"이 사용자 평면 무결성 보호 알고리즘 식별자를 전달할 필요가 있는 위치에 있은 경우, 사용자 평면 무결성 보호는 활성화되지 않는다. "1111"은 본 개시의 일 예로서 사용되며, 유사한 기능의 다른 표시 정보는 본 개시의 보호 범위 내에 속한다는 것에 유의해야 한다.
단계 202: 제2 액세스 네트워크 디바이스는 사용자 평면 정보와 보안 정책 사이의 대응을 제1 액세스 네트워크 디바이스에 송신한다. 대응적으로, 제1 액세스 네트워크 디바이스는, 제2 액세스 네트워크 디바이스로부터 사용자 평면 정보와 보안 정책 사이의 대응을 수신한다.
제2 액세스 네트워크 디바이스는 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서, 단계 201에서 획득된 대응을 제1 액세스 네트워크 디바이스에 송신할 수 있다.
선택적으로, 제2 액세스 네트워크 디바이스는 사용자 평면 정보와 보안 정책 사이의 대응을 하나의 조합으로, 사용자 평면 정보와 보안 정책 사이의 대응을 복수의 조합으로 제1 액세스 네트워크 디바이스에 송신할 수 있다. 구체적으로, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서, 제2 액세스 네트워크 디바이스에 의해 송신된 대응의 양은, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서, 단계 201의 제2 액세스 네트워크 디바이스에 의해 획득된 양과 동일하다.
가능한 방식에서, 제2 액세스 네트워크 디바이스는 보안 정책만을 제1 액세스 네트워크 디바이스에 송신할 수 있고, 보안 정책은 단말과 관련된 모든 사용자 평면 정보에 적용 가능하다.
단계 203: 제1 액세스 네트워크 디바이스는, 사용자 평면 정보와 보안 정책 사이의 대응에 기초하여, 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정한다.
제1 사용자 평면 보호 알고리즘은, 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함한다.
선택적으로, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 제1 액세스 네트워크 디바이스에 의해 수신된 대응의 보안 정책이, 활성화된 보안 보호 유형을 표시하기 위해 사용되는 경우, 제1 액세스 네트워크 디바이스는, 보안 정책에 의해 표시되는 활성화를 위한 각 보안 보호 유형에 대응하는 제1 사용자 평면 보호 알고리즘을 결정한다.
특히, 각 보안 보호 유형은 하나의 알고리즘 세트에 대응한다. 일 구현에서, 제1 액세스 네트워크 디바이스는 사용자 평면 암호화 알고리즘 세트 및 사용자 평면 무결성 보호 알고리즘 세트를 저장한다. 제1 액세스 네트워크 디바이스는, 사용자 평면 암호화 알고리즘과 시그널링 평면 암호화 알고리즘을 구별하거나, 사용자 평면 무결성 보호 알고리즘과 시그널링 평면 무결성 보호 알고리즘을 구별하지 않는다. 다시 말해서, 사용자 평면 암호화 알고리즘 세트는 또한 시그널링 평면 암호화 알고리즘 세트로서 사용될 수도 있고, 사용자 평면 무결성 보호 알고리즘 세트는 또한 시그널링 평면 무결성 보호 알고리즘 세트로서 사용될 수도 있다. 다른 구현에서, 제1 액세스 네트워크 디바이스는, 사용자 평면 암호화 알고리즘과 시그널링 평면 암호화 알고리즘을 구별하고, 사용자 평면 무결성 보호 알고리즘과 시그널링 평면 무결성 보호 알고리즘을 구별한다. 제1 액세스 네트워크 디바이스는 사용자 평면 암호화 알고리즘 세트, 사용자 평면 무결성 보호 알고리즘 세트, 시그널링 평면 암호화 알고리즘 세트 및 시그널링 평면 무결성 보호 알고리즘 세트를 저장한다.
상술한 각각의 알고리즘 세트는 우선 순위 리스트의 형태로 존재할 수 있음에 유의해야 한다. 사용자 평면 암호화 알고리즘 세트가 일 예로 사용된다. 사용자 평면 암호화 알고리즘 세트는 우선 순위 리스트일 수 있고, 우선 순위 리스트의 사용자 평면 암호화 알고리즘은 우선 순위의 내림차순으로 배열된다.
보안 정책에 의해 표시되는 활성화를 위한 보안 보호 유형이 사용자 평면 암호화 보호인 경우, 제1 액세스 네트워크 디바이스는 사용자 평면 암호화 알고리즘 세트로부터 하나의 암호화 알고리즘을 선택하고, 선택적으로, 사용자 평면 암호화 알고리즘 세트로부터, 단말에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘을 선택할 수 있다. 예를 들어, 단말은 사용자 평면 암호화 알고리즘 1 및 사용자 평면 암호화 알고리즘 3을 지원하고, 사용자 평면 암호화 알고리즘 1의 우선 순위는 사용자 평면 암호화 알고리즘 세트에서 사용자 평면 암호화 알고리즘 3의 우선 순위보다 높다. 따라서, 제1 액세스 네트워크 디바이스는 사용자 평면 암호화 알고리즘 1을 선택한다.
보안 정책에 의해 표시되는 활성화를 위한 보안 보호 유형이 사용자 평면 무결성 보호인 경우, 제1 액세스 네트워크 디바이스는 사용자 평면 무결성 보호 알고리즘 세트로부터 하나의 사용자 평면 무결성 보호 알고리즘을 선택하고, 선택적으로, 사용자 평면 무결성 보호 알고리즘 세트로부터, 단말에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 무결성 보호 알고리즘을 선택할 수 있다. 예를 들어, 단말은 사용자 평면 무결성 보호 알고리즘 1 및 사용자 평면 무결성 보호 알고리즘 3을 지원하고, 사용자 평면 무결성 보호 알고리즘 1의 우선 순위는 사용자 평면 무결성 보호 알고리즘 세트에서 사용자 평면 무결성 보호 알고리즘 3의 우선 순위보다 높다. 따라서, 제1 액세스 네트워크 디바이스는 사용자 평면 무결성 보호 알고리즘 1을 선택한다.
보안 정책에 의해 표시되는 활성화된 보안 보호 유형이 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호인 경우, 제1 액세스 네트워크 디바이스는, 사용자 평면 암호화 알고리즘 세트로부터 하나의 사용자 평면 암호화 알고리즘을 선택하고, 사용자 평면 무결성 보호 알고리즘 세트로부터 하나의 사용자 평면 무결성 보호 알고리즘을 선택한다.
예를 들어, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 제1 액세스 네트워크 디바이스에 의해 수신된 대응이 {PDU 세션 ID=1, 11}이면, 제1 액세스 네트워크 디바이스는, 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호가, PDU 세션 식별자가 1인 세션에 대해 활성화될 필요가 있는 것으로 결정하고, 제1 액세스 네트워크 디바이스는 추가로, 사용자 평면 암호화 알고리즘 세트로부터, 단말에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘을 선택하고, 사용자 평면 무결성 보호 알고리즘 세트로부터, 단말에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 무결성 보호 알고리즘을 선택한다.
선택적으로, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 제1 액세스 네트워크 디바이스에 의해 수신된 대응의 보안 정책이, 권장된 사용자 평면 보호 알고리즘 식별자를 포함하는 경우, 단계 203은 구체적으로 다음과 같이 구현될 수 있다.
제1 액세스 네트워크 디바이스는, 사용자 평면 보호 알고리즘 식별자에 대응하는 제2 사용자 평면 보호 알고리즘을 결정하고;
제1 액세스 네트워크 디바이스 및 단말 모두가 제2 사용자 평면 보호 알고리즘을 지원하는 경우, 제1 액세스 네트워크 디바이스는, 제2 사용자 평면 보호 알고리즘이 제1 사용자 평면 보호 알고리즘인 것으로 결정하거나; 제1 액세스 네트워크 디바이스 또는 단말 중 어느 하나가 제2 사용자 평면 보호 알고리즘을 지원하지 않는 경우, 제1 액세스 네트워크 디바이스는, 제2 사용자 평면 보호 알고리즘이 속하는 보안 보호 유형에 대응하는 보안 알고리즘 세트로부터, 단말에 의해 지원되고 가장 높은 우선 순위를 갖는 제1 사용자 평면 보호 알고리즘을 선택한다.
2 이상의 권장된 사용자 평면 보호 알고리즘 식별자가 존재하는 경우, 전술한 단계들은, 각각의 권장된 사용자 평면 보호 알고리즘 식별자에 기초하여 제1 사용자 평면 보호 알고리즘을 개별적으로 결정하기 위해 반복된다.
보안 정책은 사용자 평면 보호 알고리즘 식별자를 포함하므로, 활성화된 보안 보호 유형을 암시적으로 표시하는 것으로 이해될 수 있다.
예를 들어, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 제1 액세스 네트워크 디바이스에 의해 수신되는 대응은 {PDU 세션 ID=1, NIA=1, NEA=2}이다. 따라서, 제1 액세스 네트워크 디바이스는, PDU 세션 식별자가 1인 세션에 대해 사용자 평면 무결성 보호 및 사용자 평면 암호화 보호가 활성화될 필요가 있는 것으로 결정한다.
그 후, 제1 액세스 네트워크 디바이스는, 사용자 평면 무결성 보호 알고리즘 1이 다음 조건을 만족하는지 여부를 판정한다:
조건 1: 사용자 평면 무결성 보호 알고리즘 1은, 제1 액세스 네트워크 디바이스 및 단말 모두에 의해 지원되는 사용자 평면 무결성 보호 알고리즘이다.
조건 2: 사용자 평면 무결성 보호 알고리즘 1은, 제1 액세스 네트워크 디바이스 및 단말 모두에 의해 지원되는 사용자 평면 무결성 보호 알고리즘이고, 사용자 평면 무결성 보호 알고리즘 1은, 단말에 의해 지원되고, 제1 액세스 네트워크 디바이스의 사용자 평면 무결성 보호 알고리즘 세트에서 가장 높은 우선 순위를 갖는 사용자 평면 무결성 보호 알고리즘이다. 예를 들어, 단말이 사용자 평면 무결성 보호 알고리즘 1 및 사용자 평면 무결성 보호 알고리즘 3을 지원하는 경우, 두 알고리즘 모두는 사용자 평면 무결성 보호 알고리즘 세트에 있으며, 사용자 평면 무결성 보호 알고리즘 1의 우선 순위는 사용자 평면 무결성 보호 알고리즘 세트에서 사용자 평면 무결성 보호 알고리즘 3의 우선 순위보다 높고, 사용자 평면 무결성 보호 알고리즘 1은 조건 2를 만족하는 것으로 간주된다.
사용자 평면 무결성 보호 알고리즘 1은, 사용자 평면 무결성 보호 알고리즘 1이 조건 1 또는 조건 2를 만족하는 경우 사용된다. 사용자 평면 무결성 보호 알고리즘 1이 조건 1을 만족하지 않거나 조건 2를 만족하지 않는 경우, 제1 액세스 네트워크 디바이스는, 사용자 평면 무결성 보호 알고리즘 세트로부터, 단말에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 무결성 보호 알고리즘을 선택한다.
제1 액세스 네트워크 디바이스는, 사용자 평면 암호화 알고리즘 2이 다음 조건을 만족하는지 여부를 추가로 판정할 수 있다.
조건 3: 사용자 평면 암호화 알고리즘 2는, 제1 액세스 네트워크 디바이스 및 단말 모두에 의해 지원되는 사용자 평면 암호화 알고리즘이다.
조건 4: 사용자 평면 암호화 알고리즘 2는, 제1 액세스 네트워크 디바이스 및 단말 모두에 의해 지원되는 사용자 평면 암호화 알고리즘이고, 사용자 평면 암호화 알고리즘 2는, 단말에 의해 지원되고, 제1 액세스 네트워크 디바이스의 사용자 평면 암호화 알고리즘 세트에서 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘이다. 예를 들어, 단말이 사용자 평면 암호화 알고리즘 2 및 사용자 평면 암호화 알고리즘 3을 지원하는 경우, 두 알고리즘 모두는 사용자 평면 암호화 알고리즘 세트에 있으며, 사용자 평면 암호화 알고리즘 2의 우선 순위는 사용자 평면 암호화 알고리즘 세트에서 사용자 평면 암호화 알고리즘 3의 우선 순위보다 높고, 사용자 평면 암호화 알고리즘 2는 조건 2를 만족하는 것으로 간주된다.
사용자 평면 암호화 알고리즘 2는, 사용자 평면 암호화 알고리즘 2가 조건 3 또는 조건 4를 만족하는 경우에 사용된다. 사용자 평면 암호화 알고리즘 2가 조건 3을 만족하지 않거나 조건 4를 만족하지 않는 경우, 제1 액세스 네트워크 디바이스는, 사용자 평면 암호화 알고리즘 세트로부터, 단말에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘을 선택한다.
다른 예에서, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 제1 액세스 네트워크 디바이스에 의해 수신된 대응이 {PDU 세션 ID=1, "1111", NEA=2}이면, 제1 액세스 네트워크 디바이스는, PDU 세션 식별자가 1인 세션에 대해 사용자 평면 암호화 보호가 활성화될 필요가 있고, 사용자 평면 무결성 보호는 활성화될 필요가 없는 것으로 결정할 수 있다. 따라서, 제1 액세스 네트워크 디바이스는, 전술한 방법에서 사용자 평면 암호화 알고리즘만을 결정할 필요가 있고, 사용자 평면 무결성 보호 알고리즘을 결정할 필요는 없다.
선택적으로, 본 출원의 본 실시 예의 가능한 구현에서, 제1 액세스 네트워크 디바이스는 수신된 보안 정책의 특정 컨텐츠를 무시할 수 있고, 제1 액세스 네트워크 디바이스는 사전 구성된 보안 정책에 따라 활성화를 위한 보안 보호 유형을 결정할 수 있다.
예를 들어, 제1 액세스 네트워크 디바이스에 의해 수신된 보안 정책이 사용자 평면 암호화 보호 또는 사용자 평면 무결성 보호 중 어떤 것도 활성화하지 않음을 표시하고, 미리 구성된 보안 정책이 사용자 평면 암호화 보호를 활성화하지만 사용자 평면 무결성 보호를 활성화하지 않음을 표시하는 경우, 제1 액세스 네트워크 디바이스는 미리 구성된 보안 정책에 따라 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 암호화 알고리즘 세트로부터, 제1 액세스 네트워크 디바이스 및 단말 모두에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘을 선택한다.
제1 액세스 네트워크 디바이스가 복수의 조합으로 사용자 평면 정보와 보안 정책 사이의 대응을 수신하는 경우, 제1 액세스 네트워크 디바이스는, 각각의 조합에서 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 별도로 결정할 필요가 있다 .
본 출원의 본 실시 예에서 제공되는 보안 보호 방법에 따르면, 제1 액세스 네트워크 디바이스는 사용자 평면 보호 알고리즘만을 결정할 수 있고, 시그널링 평면 보호를 활성화할 필요가 없으므로, 네트워크 오버헤드를 감소시키고, 단말의 핸드오버 효율을 향상시킬 수 있다.
본 출원의 본 실시 예의 가능한 구현에서, 제1 액세스 네트워크 디바이스는, 사용자 평면 정보와 보안 정책 사이의 대응에 기초하여, 단계 203에서 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 것은, 제1 액세스 네트워크 디바이스가 단계 203에서 사용자 평면 보호 알고리즘만을 결정하고 시그널링 평면 보호 알고리즘은 결정하지 않는 것을 의미한다.
본 출원의 본 실시 예의 다른 가능한 구현에서, 단계 203에서, 제1 액세스 네트워크 디바이스는, 사용자 평면 정보와 보안 정책 사이의 대응에 기초하여, 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정할 수 있고, 제1 사용자 평면 보호 알고리즘을 시그널링 평면 보호 알고리즘으로서 결정할 수 있다. 다시 말해, 단계 203에서, 제1 액세스 네트워크 디바이스는 한 쌍의 보안 보호 알고리즘을 결정하고, 한 쌍의 보안 보호 알고리즘은 사용자 평면 보호 알고리즘 및 시그널링 평면 보호 알고리즘 모두로서 사용된다. 선택적으로, 제1 사용자 평면 보호 알고리즘이 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘 중 하나인 경우, 결정된 제1 사용자 평면 보호 알고리즘은 시그널링 평면 보호 알고리즘으로서 사용되고, 다른 시그널링 평면 보호 알고리즘이 추가로 결정된다 . 예를 들어, 제1 사용자 평면 보호 알고리즘이 사용자 평면 암호화 알고리즘인 경우, 사용자 평면 암호화 알고리즘은 시그널링 평면 암호화 알고리즘으로서 사용되고, 시그널링 평면 무결성 보호 알고리즘은 추가로 결정될 필요가 있다. 결정 방법은, 제1 액세스 네트워크 디바이스가 단말 보안 능력(즉, 단말에 의해 지원되는 시그널링 평면 무결성 보호 알고리즘) 및 제2 액세스 네트워크 디바이스에 의해 사전 구성된 시그널링 평면 무결성 보호 알고리즘(우선 순위에 따라 배열된 시그널링 평면 무결성 보호 알고리즘의 리스트)에 기초하여 시그널링 평면 무결성 보호 알고리즘을 결정하는 것이다..
가능한 구현에서, 제1 액세스 네트워크 디바이스는, 제1 사용자 평면 보호 알고리즘을 결정하기 전에 시그널링 평면 보호 알고리즘을 결정할 수 있다. 다시 말해서, 제1 액세스 네트워크 디바이스는 먼저 시그널링 평면 보호 알고리즘을 결정한 다음, 시그널링 평면 보호 알고리즘이 제1 사용자 평면 보호 알고리즘으로서 사용될 수 있는지 여부를 판정할 수 있다.
본 출원의 실시 예들의 다른 가능한 구현에서, 제1 액세스 네트워크 디바이스는, 시그널링 평면 메시지를 송신하기 전에 시그널링 평면 보호 알고리즘을 결정할 수 있다. 도 3a 및 도 3b에 도시된 바와 같이, 제1 사용자 평면 보호 알고리즘이 결정된 후 시그널링 평면 보호 알고리즘이 결정되는 것은, 도 3a 및 도 3b의 설명을 위한 일 예로서 사용된다. 방법은 단계 301 내지 309를 포함한다.
단계 301 내지 303에 대해서는, 단계 201 내지 203의 관련 설명을 참조할 수 있다. 물론, 본 출원은 이에 제한되지 않는다.
선택적으로, 제1 사용자 평면 보호 알고리즘을 결정한 후, 제1 액세스 네트워크 디바이스는, 사용자 평면 데이터에 대한 보안 보호를 수행하기 위해, 사용자 평면 보호 키를 추가로 생성할 필요, 즉 단계 304를 수행할 필요가 있다.
단계 304: 제1 액세스 네트워크 디바이스는, 제1 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성한다.
사용자 평면 보호 키는, 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키 중 하나 또는 모두를 포함한다.
단계 303에서, 제1 액세스 네트워크 디바이스가 사용자 평면 암호화 알고리즘만을 결정하는 경우, 사용자 평면 보호 키는 사용자 평면 암호화 키만을 포함하거나; 제1 액세스 네트워크 디바이스가 사용자 평면 무결성 보호 알고리즘만을 결정하는 경우, 사용자 평면 보호 키는 사용자 평면 무결성 보호 키만을 포함하거나; 제1 액세스 네트워크 디바이스가 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘을 모두 결정하는 경우, 사용자 평면 보호 키는 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키를 모두 포함한다.
단계 304는 본 출원의 본 실시 예에서 단계 305 이전에 반드시 수행될 필요는 없음에 유의해야 한다. 단계 303에서 제1 액세스 네트워크 디바이스가 제1 사용자 평면 보호 알고리즘을 결정한 후, 단계 304는, 사용자 평면 데이터가 송신될 필요가 있을 때 수행되어, 사용자 평면 보호 키를 생성하고, 사용자 평면 데이터에 대한 보안 보호를 수행할 수 있다.
단계 305: 제1 액세스 네트워크 디바이스는 시그널링 평면 보호 알고리즘을 결정한다.
시그널링 평면 보호 알고리즘은 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함한다.
선택적으로, 단계 305의 몇몇 트리거 경우가 있다:
경우 1: 단계 305는 제1 액세스 네트워크 디바이스가 시그널링 평면 메시지를 송신할 필요가 있을 때 트리거된다. 예를 들어, 단계 305는 제1 액세스 네트워크 디바이스가 구성 메시지를 단말 디바이스에 송신할 필요가 있을 할 때 트리거된다.
경우 2: 도 2에 도시된 방법이, 서빙 기지국들 사이에서 단말이 핸드오버되는 프로세스에 적용되는 경우, 단계 305는 제1 액세스 네트워크 디바이스가 사용자 평면 데이터를 송신한 후에 트리거될 수 있다.
경우 3: 단계 305는 제1 액세스 네트워크 디바이스가 일시 중단(suspend) 상태로 돌아가기 전에 트리거된다.
일시 중단 상태는, 이 상태에서, 단말과 기지국이 일부 AS 컨텍스트, 예를 들어, 생성된 키 및 결정된 알고리즘을 유지함을 의미한다.
경우 4: 단계 305는 제1 액세스 네트워크 디바이스가 단말에 의해 송신된 업링크 시그널링 평면 데이터를 수신한 후에 트리거되고, 예를 들어, 단계 305는 단말이 PDU 세션 요청을 개시한 후에 트리거된다.
단계 306: 제1 액세스 네트워크 디바이스는 시그널링 평면 보호 알고리즘에 따라 시그널링 평면 보호 키를 생성한다.
시그널링 평면 보호 키는 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키 중 하나 또는 모두를 포함한다.
선택적으로, 시그널링 평면 보호 키는, 단계 305에서 제1 액세스 네트워크 디바이스가 시그널링 평면 암호화 알고리즘만을 결정하는 경우, 시그널링 평면 암호화 키만을 포함하고; 선택적으로, 시그널링 평면 보호 키는, 제1 액세스 네트워크 디바이스가 시그널링 평면 무결성 보호 알고리즘만을 결정하는 경우, 시그널링 평면 무결성 보호 키만을 포함하고; 선택적으로, 시그널링 평면 보호 키는, 제1 액세스 네트워크 디바이스가 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘 모두를 결정하는 경우, 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키를 모두 포함한다.
단계 307: 제1 액세스 네트워크 디바이스는, 사용자 평면 무결성 보호 키 또는 시그널링 평면 무결성 보호 키를 사용하여 보호되는 제1 메시지를, 제2 액세스 네트워크 디바이스를 통해 단말에 송신한다.
제1 메시지는 제1 사용자 평면 보호 알고리즘을 포함한다. 선택적으로, 제1 메시지는 시그널링 평면 보호 알고리즘을 더 포함한다.
단계 307은, 제1 메시지가 사용자 평면 무결성 보호 키를 사용하여 보호되는 경우, 단계 305 전에 수행될 수 있음에 유의해야 한다. 단계 305, 단계 306 및 단계 307의 실행 순서는 본 출원에서 제한되지 않는다.
선택적으로, 제1 액세스 네트워크 디바이스는, 사용자 평면 무결성 보호 키를 사용하여 제1 메시지에 대한 무결성 보호를 수행할 수 있거나; 제1 액세스 네트워크 디바이스는, 시그널링 평면 무결성 보호 키를 사용하여 제1 메시지에 대한 무결성 보호를 수행할 수 있거나; 제1 액세스 네트워크 디바이스가 사용자 평면 무결성 보호 키 및 시그널링 평면 무결성 보호 키 모두를 생성하는 경우, 제1 액세스 네트워크 디바이스는 시그널링 평면 무결성 보호 키를 사용하여 제1 메시지에 대해 무결성 보호를 우선적으로 수행할 수 있다.
선택적으로, 제1 액세스 네트워크 디바이스가 시그널링 평면 무결성 보호 키를 생성하지 않고, 제1 액세스 네트워크 디바이스에 의해 수신된 보안 정책이 사용자 평면 무결성 보호를 활성화하지 않음을 표시하는 경우, 사용자 평면 무결성 보호는 제1 메시지에 대해 수행되지 않는다. 선택적으로, 제1 액세스 네트워크 디바이스는 난수를 생성하고, 사용자 평면 암호화 키를 사용하여 난수를 암호화하고, 제1 메시지에 암호화된 난수를 추가하고, 제1 메시지를 단말에 송신하고, 암호화되지 않은 난수를 단말에 송신할 수 있다. 선택적으로, 시그널링 평면 무결성 보호 키는, 시그널링 평면 무결성 보호 키가 생성되고, 제1 액세스 네트워크 디바이스에 의해 수신된 보안 정책이 사용자 평면 무결성 보호를 활성화하지 않음을 표시하는 경우, 제1 메시지에 대한 무결성 보호를 수행하기 위해 사용된다.
대안적으로, 제1 액세스 네트워크 디바이스가, 사용자 평면 무결성 보호 키 및 사용자 평면 암호화 키를 모두 생성하면, 제1 액세스 네트워크 디바이스는 사용자 평면 무결성 보호 키를 사용하여 제1 메시지에 대해 무결성 보호를 수행할 수 있다. 선택적으로, 제1 액세스 네트워크 디바이스는 추가로, 난수를 생성하고, 사용자 평면 암호화 키를 사용하여 암호화된 난수를 제1 메시지에 추가하고, 제1 메시지를 단말에 송신하고, 암호화되지 않은 난수를 단말에 송신할 수 있다.
선택적으로, 제1 메시지는 제1 표시 정보를 전달할 수 있다. 제1 표시 정보는, 제1 사용자 평면 보호 알고리즘이 시그널링 평면 보호 알고리즘과 동일하다는 것을 표시하기 위해 사용되며, 특히 시그널링 평면 보호 알고리즘이 제1 사용자 평면 보호 알고리즘으로 재사용됨을 표시하기 위해 사용된다. 또한, 사용자 평면 정보와 보안 정책 사이의 대응을 수신한 후, 제1 액세스 네트워크 디바이스는 먼저 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘을 결정한 다음, 보안 정책에 따라, 사용자 평면 보호 알고리즘으로 재사용되는 시그널링 평면 보호 알고리즘을 결정한다. 대안적으로, 제1 표시 정보는 제1 액세스 네트워크 디바이스에 의해 결정되는 시그널링 평면 보호 알고리즘 식별자를 표시하기 위해 사용된다.
선택적으로, 제1 표시 정보는 제1 메시지로 전달되지 않을 수 있다. 제1 액세스 네트워크 디바이스는 제2 액세스 네트워크 디바이스를 통해 전용 메시지를 단말에 송신할 수 있고, 전용 메시지는 제1 표시 정보를 전달한다.
제1 액세스 네트워크 디바이스는, 전술한 실시 예에서 설명된, 사용된 시그널링 평면 보호 키 결정 방법에 관계없이, 단말이 시그널링 평면에 의해 보호되는 메시지를 복호화할 수 있도록, 제1 표시 정보를 단말에 송신하여, 제1 액세스 네트워크 디바이스에 의해 사용되는 시그널링 평면 보호 알고리즘을 단말에 통지할 필요가 있음을 이해할 수 있다.
단계 308: 단말은 제1 메시지를 수신한다.
단말은 제1 메시지를 수신한 후 제1 메시지에서 제1 사용자 평면 보호 알고리즘을 읽을 수 있다. 제1 사용자 평면 보호 알고리즘이 사용자 평면 무결성 보호 알고리즘을 포함하는 경우, 단말은 사용자 평면 무결성 보호 알고리즘에 따라 사용자 평면 무결성 보호 키를 생성하고, 사용자 평면 무결성 보호 키를 사용하여 제1 메시지에 대한 사용자 평면 무결성 검증을 수행한다. 검증이 실패하면, 핸드오버 절차는 더 이상 수행되지 않거나 단계 309가 수행된다.
제1 사용자 평면 보호 알고리즘이 사용자 평면 무결성 보호 알고리즘을 포함하지 않고 사용자 평면 암호화 알고리즘을 포함하는 경우, 단말은 사용자 평면 암호화 알고리즘에 따라 사용자 평면 암호화 키를 생성할 수 있다. 선택적으로, 제1 메시지의 난수는 사용자 평면 암호화 키를 사용하여 복호화되고, 복호화된 난수는, 수신된 암호화되지 않은 난수와 비교된다. 비교 결과 두 난수가 다르면, 핸드오버 절차가 더 이상 수행되지 않거나 단계 309가 수행된다.
제1 메시지가 시그널링 평면 보호 알고리즘을 전달하고 시그널링 평면 무결성 보호 키가 무결성 보호를 수행하기 위해 사용되는 경우, 단말은 시그널링 평면 무결성 보호 알고리즘에 따라 시그널링 평면 무결성 보호 키를 생성하고, 시그널링 평면 무결성 보호 키를 사용하여 제1 메시지에 대해 시그널링 평면 무결성 검증을 수행한다. 검증이 실패하면, 시그널링 평면 무결성 검증이 실패하거나, 핸드오버 절차가 더 이상 수행되지 않음을 표시하는 메시지가, 제2 액세스 네트워크 디바이스로 선택적으로 리턴된다.
단계 309: 단말은 사용자 평면 보호 키 또는 시그널링 평면 보호 키를 사용하여 보호되는 제2 메시지를 제1 액세스 네트워크 디바이스에 송신한다. 이에 대응하여, 제1 액세스 네트워크 디바이스는 제2 메시지를 수신한다.
제2 메시지는 제1 메시지에 대한 응답 메시지이다.
제2 메시지는 단계 308에서 제1 메시지에 대한 단말의 검증이 성공한 경우 제1 메시지의 승인 메시지이다. 선택적으로, 단말은 제1 메시지를 보호하기 위한 방법과 동일한 방법을 사용하여 제2 메시지를 보호한다. 구체적으로, 단말은 사용자 평면 무결성 보호 키를 사용하여 제2 메시지에 대한 무결성 보호를 수행하거나, 시그널링 평면 무결성 보호 키를 사용하여 제2 메시지에 대한 시그널링 평면 무결성 보호를 수행하거나, 난수를 다시 생성하고, 사용자 평면 암호화 키를 사용하여 2 개의 난수를 암호화하고. 2 개의 암호화된 난수와 2 개의 암호화되지 않은 난수를 제2 메시지에 추가할 수 있다. 제2 메시지는 제1 메시지에 대한 단말의 검증이 실패한 경우 에러 프롬프트 메시지이다. 본 출원의 본 실시 예에서 제공되는 방법에 따르면, 제1 액세스 네트워크 디바이스는 단말의 핸드오버 절차에서 사용자 평면 보호만을 활성화할 수 있고, 제1 액세스 네트워크 디바이스가 시그널링 평면 메시지를 송신할 필요가 있는 경우에만 시그널링 평면 보호 알고리즘을 결정할 수 있으므로, 단말의 핸드오버 효율을 향상시킬뿐만 아니라, 시그널링 평면 메시지의 보안을 보장할 수 있다.
선택적으로, 도 3a 및 도 3b에 도시된 절차 후에, 제1 액세스 네트워크 디바이스는 또한 제2 액세스 네트워크 디바이스로부터 수신된 보안 정책을 검증할 필요가 있다. 도 4에 도시된 바와 같이, 방법은 단계 401 내지 404를 포함한다.
단계 401: 제1 액세스 네트워크 디바이스는 사용자 평면 정보와 보안 정책 사이의 대응을 AMF 노드에 송신한다. 이에 대응하여, AMF 노드는 사용자 평면 정보와 보안 정책 사이의 대응을 수신한다.
단계 402: AMF 노드는 제2 표시 정보 및 보안 정책 중 하나 또는 모두를 제1 액세스 네트워크 디바이스에 송신한다. 이에 대응하여, 제1 액세스 네트워크 디바이스는 제2 표시 정보 및 보안 정책 중 하나 또는 모두를 수신한다.
제2 표시 정보는, 제1 액세스 네트워크 디바이스가 제2 액세스 네트워크 디바이스로부터의 보안 정책을 계속 사용할 수 있는지 여부를 표시하기 위해 사용된다.
구체적으로, 선택적으로, 제1 액세스 네트워크 디바이스로부터 사용자 평면 정보와 보안 정책 사이의 대응을 수신한 후, AMF 노드는 먼저 AMF 노드가 사용자 평면 정보와 보안 정책 사이의 각각의 대응을 저장하는지 여부를 판정한다. AMF 노드가 대응을 저장하는 경우, AMF 노드는, 사용자 평면 정보에 대응하는 수신된 보안 정책이, 사용자 평면 정보에 대응하고 AMF 노드에 의해 저장된 보안 정책과 동일한지 여부를 판정한다. 두 보안 정책이 동일한 경우, 제1 액세스 네트워크 디바이스는 제2 액세스 네트워크 디바이스로부터 수신한 보안 정책을 계속 사용할 수 있다. 이 경우, AMF 노드는 제2 표시 정보를 제1 액세스 네트워크 디바이스에 송신할 수 있고, 제2 표시 정보는, 제1 액세스 네트워크 디바이스가 제2 액세스 네트워크 디바이스로부터 수신된 보안 정책을 사용할 수 있음을 표시하기 위해 사용되거나; AMF 노드는 보안 정책을 제1 액세스 네트워크 디바이스에 송신하고, 보안 정책은 제1 액세스 네트워크 디바이스에 의해 AMF 노드에 송신된 보안 정책과 동일하다.
대안적으로, AMF 노드에 의해 수신된 사용자 평면 정보에 대응하는 보안 정책이, 사용자 평면 정보에 대응하는 보안 정책으로서 AMF 노드에 의해 저장된 보안 정책과 상이한 경우, 제1 액세스 네트워크 디바이스는 제2 액세스 네트워크 디바이스로부터 수신된 보안 정책을 계속 사용할 수 없다. 이 경우, AMF 노드는 제2 표시 정보를 제1 액세스 네트워크 디바이스에 송신하고, 제2 표시 정보는, 제1 액세스 네트워크 디바이스가 제2 액세스 네트워크 디바이스로부터의 보안 정책을 사용할 수 없음을 표시하기 위해 사용되거나; AMF 노드는 보안 정책을 제1 액세스 네트워크 디바이스에 송신하고, 보안 정책은 사용자 평면 정보에 대응하는 보안 정책으로서 AMF 노드에 의해 저장된 보안 정책이다.
선택적으로, AMF 노드가 사용자 평면 정보와 보안 정책 사이의 대응을 저장하지 않는 경우, AMF 노드는, 사용자 평면 정보와 보안 정책 사이의 수신된 대응을 제1 액세스 네트워크 디바이스로부터 SMF 노드로 포워딩할 수 있다. SMF 노드는, 제1 액세스 네트워크 디바이스가, 제2 액세스 네트워크 디바이스로부터의 보안 정책과 사용자 평면 정보 사이의 대응을 계속 사용할 수 있는지 여부를 판정한다. 구체적인 결정 방법은, AMF 노드에 의해 수행되는 결정 방법과 동일하다. 그 후, AMF 노드는, SMF 노드의 결정 결과에 기초하여 제2 표시 정보 및 보안 정책 중 하나 또는 모두를 제1 액세스 네트워크 디바이스에 송신한다.
단계 403: 제1 액세스 네트워크 디바이스가 AMF 노드로부터 보안 정책을 수신하고, AMF 노드로부터의 보안 정책이 제2 액세스 네트워크 디바이스로부터의 보안 정책과 상이한 경우, AMF 노드로부터의 보안 정책에 따라 제1 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 재결정한다.
선택적으로, AMF 노드의 보안 정책이 제2 액세스 네트워크 디바이스로부터의 보안 정책과 동일한 경우, AMF 노드는 제2 액세스 네트워크 디바이스로부터의 보안 정책을 계속 사용할 수 있고, 제1 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 재결정할 필요가 없다.
단계 404: 제1 액세스 네트워크 디바이스가 AMF 노드로부터 제2 표시 정보를 수신하고, AMF로부터 보안 정책을 수신하지 않은 경우, 제1 액세스 네트워크 디바이스는 디폴트 보안 정책에 따라 제1 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 재결정하고, 제2 표시 정보는 제1 액세스 네트워크 디바이스가 제2 액세스 네트워크 디바이스로부터의 보안 정책을 사용할 수 없음을 표시한다.
선택적으로, 제2 표시 정보가, 제1 액세스 네트워크 디바이스가 제2 액세스 네트워크 디바이스로부터의 보안 정책을 사용할 수 있음을 표시하는 경우, 제1 액세스 네트워크 디바이스는 제2 액세스 네트워크 디바이스로부터의 보안 정책을 계속 사용할 수 있으며, 제1 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 재결정할 필요가 없다.
본 출원의 본 실시 예에서 제공되는 보안 보호 방법에 따르면, 랜덤 액세스 프로세스가 완료된 후, TgNB는 현재 사용되는 보안 정책을 검증하여, TgNB의 자원 상태에 적용 가능한 보안 정책을 획득할 수 있다. SgNB가 공격자에 의해 크래킹되고, TgNB에, 감소된 보안 레벨의 보안 정책을 송신하는 경우, 보안 정책에 따라 TgNB에 의해 결정되는 사용자 평면 보호 알고리즘의 보안 능력 레벨은 상대적으로 낮으며, 사용자 평면 보호 알고리즘을 사용하여 보호되는 정보는 쉽게 크래킹될 수 있다 따라서, TgNB는 AMF 노드에 의해 전달되는 보안 정책을 사용하여, 취약점을 회피하고, 보안을 더욱 향상시킬 수 있다.
선택적으로, 제2 액세스 네트워크 디바이스가 제1 액세스 네트워크 디바이스와 직접 통신할 수 없는 경우, 제2 액세스 네트워크 디바이스는 AMF 노드를 통해 제1 액세스 네트워크 디바이스를 결정할 수 있다. 예를 들어, 서빙 기지국들 사이에서 단말이 핸드오버되는 절차에서 SgNB와 TgNB 사이에 직접 통신 인터페이스가 존재하지 않는 경우, SgNB는 AMF 노드를 통해 TgNB를 결정할 수 있다. 도 5에 도시된 바와 같이, 방법은 단계 501 내지 504를 포함한다.
단계 501: 제2 액세스 네트워크 디바이스는 사용자 평면 정보를 AMF 노드에 송신한다. 이에 대응하여, AMF 노드는 사용자 평면 정보를 수신한다.
단계 502: AMF 노드는 사용자 평면 정보를 SMF 노드에 송신한다. 이에 대응하여, SMF 노드는 사용자 평면 정보를 수신한다.
단계 503: SMF 노드는 사용자 평면 정보에 대응하는 보안 정책을 결정한다.
선택적으로, SMF 노드는 사용자 평면 정보와 보안 정책 사이의 각각의 대응을 저장하거나 획득할 수 있다. 사용자 평면 정보를 수신한 후, SMF 노드는, 사용자 평면 정보에 대응하는 보안 정책에 대해, 사용자 평면 정보와 보안 정책 사이의 대응을 검색할 수 있다.
단계 504: SMF 노드는 사용자 평면 정보에 대응하는 보안 정책을 AMF 노드를 통해 제1 액세스 네트워크 디바이스에 송신한다. 이에 대응하여, 제1 액세스 네트워크 디바이스는 사용자 평면 정보에 대응하는 보안 정책을 수신한다.
제1 액세스 네트워크 디바이스가 사용자 평면 정보에 대응하는 보안 정책을 수신한 후의 처리 절차에 대해서는, 도 2, 도 3a 및 도 3b에 대응하는 실시 예에서의 처리 절차를 참조할 수 있다. 물론, 본 출원은 이에 제한되지 않는다.
도 2 내지 도 5에 대응하는 전술한 실시 예들에서 설명된 모든 방법 절차는 서빙 기지국들 사이에 단말이 핸드오버되는 프로세스에 적용될 수 있다. 제1 액세스 네트워크 디바이스는 TgNB일 수 있고, 제2 액세스 네트워크 디바이스는 SgNB일 수 있다. 도 6에 도시된 바와 같이, 서빙 기지국들 사이에서 단말이 핸드오버되는 시나리오가 도 6의 본 출원의 보안 보호 방법을 설명하기 위해 사용된다. 방법은 구체적으로 단계 601 내지 612를 포함한다.
단계 601: 단말은 측정 보고를 SgNB에 송신한다. 이에 대응하여, SgNB는 측정 보고를 수신한다.
단계 602: SgNB는, 측정 보고에 기초하여, 단말이 서빙 기지국들 사이에서 핸드오버될 필요가 있는 것으로 결정한 경우, 차세대 기지국에서 키(차세대 노드 기지국의 키(key in next generation Node Basestation), KgNB*)를 생성한다.
단계 603: SgNB는 핸드오버 요청(HO 요청) 메시지를 TgNB에 송신한다. 이에 대응하여, TgNB는 핸드오버 요청 메시지를 수신한다.
핸드오버 요청 메시지는, 사용자 평면 정보와 보안 정책 사이의 대응을 포함하고, 사용자 평면 보안 관련 파라미터를 더 포함할 수 있다.
사용자 평면 정보는 PDU 세션 식별자, QFI, DRB ID 및 슬라이스 파라미터 중 임의의 하나 이상을 포함한다. 선택적으로, 사용자 평면 정보는, 현재 핸드오버될 필요가 있는 세션의 PDU 세션 식별자, 핸드오버될 필요가 있는 세션의 QFI, 및 핸드오버될 필요가 있는 PDU 세션에 대응하는 DRB ID 중 임의의 하나 이상을 포함한다. 대안적으로, 사용자 평면 정보는 단말의 모든 세션의 PDU 세션 식별자를 포함하고, 핸드오버될 필요가 있는 세션의 PDU 세션 식별자를 표시한다.
예를 들어, 사용자 평면 정보는 PDU 세션 식별자이다. 각 PDU 세션 식별자는 하나의 보안 정책에 대응하며, 보안 정책은, 보안 정책에 대응하는 세션에 대해 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호가 활성화될 필요가 있는지 하는지 여부를 표시하기 위해 사용된다. 선택적으로, 보안 정책은 사용자 평면 암호화 알고리즘 식별자 및 사용자 평면 무결성 보호 알고리즘 식별자 중 하나 또는 모두를 더 포함할 수 있다.
선택적으로, 핸드오버 요청 메시지는 단말의 모든 PDU 세션 식별자에 대응하는 보안 정책을 전달할 수 있거나, 핸드오버될 필요가 있는 PDU 세션의 PDU 세션 식별자에 대응하는 보안 정책만을 전달할 수 있다.
예를 들어, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 핸드오버 요청 메시지에서 전달되는 대응은 {{PDU 세션 ID=1, 10, DRB ID=1}, {PDU 세션 ID=2, QFI=1, 01, DRB ID=2}}이다. 이는 핸드오버될 필요가 있는 2 개의 세션, 세션 1 및 세션 2가 존재함을 표시한다. DRB ID가 1인 DRB는 세션 1에 대해 사용되고, 사용자 평면 암호화 보호는 활성화되지만 사용자 평면 무결성 보호는 세션 1에 대해 활성화되지 않는다. DRB ID가 2 인 DRB는, 세션 2에서 QFI가 1인 QoS 흐름에 대해 사용되며, 사용자 평면 암호화 보호는 활성화되지 않지만 사용자 평면 무결성 보호는 QoS 흐름에 대해서는 활성화된다.
다른 예에서, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 핸드오버 요청 메시지에서 전달되는 대응은 {PDU 세션 ID=1, NIA=1, NEA=2}이다. 이는 세션 1이 핸드오버될 필요가 있음을 표시한다. 사용자 평면 무결성 보호 알고리즘 1은 세션 1에 대해 사용자 평면 무결성 보호를 수행하기 위해 사용되고, 사용자 평면 암호화 알고리즘 2는 사용자 평면 암호화 보호를 수행하기 위해 사용된다.
다른 예에서, 단말은 사용자 평면 정보와 보안 정책 사이에 총 3 가지의 대응을 갖는다. 핸드오버 요청 메시지는 사용자 평면 정보와 보안 정책 사이의 3 가지 대응을 전달하고, 하나의 비트는 핸드오버될 필요가 있는 사용자 평면 정보와 보안 정책 사이의 대응을 표시하기 위해 사용된다. 여기서, 활성화 비트=0은 세션이 핸드오버될 필요가 없음을 표시하고, 활성화 비트=1은 세션이 핸드오버될 필요가 있음을 표시한다. 예를 들어, {{PDU 세션 ID=1, 10, DRB ID=1, 활성화 비트=0}, {PDU 세션 ID=2, 11, DRB ID=1, 활성화 비트=1}, {PDU 세션 ID=3 , 01, DRB ID=2, 활성화 비트=1}}은 단말이 세션 1, 세션 2 및 세션 3을 포함하고, 세션 2 및 세션 3은 핸드오버될 필요가 있는 세션임을 표시한다.
단말의 핸드오버 효율을 위해, 핸드오버 요청 메시지는, 핸드오버될 필요가 있는 사용자 평면 정보에 대응하는 보안 정책만을 전달할 수 있다. 핸드오버 요청 메시지는 핸드오버될 필요가 있는 사용자 평면 정보에 대응하는 보안 정책만을 전달한다는 것이 아래에서 설명을 위한 예로서 사용된다.
사용자 평면 보안 관련 파라미터는 단말 보안 기능 및 KgNB*를 포함한다. 선택적으로, 사용자 평면 보안 관련 파라미터는 키를 생성하기 위해 사용되는 프레시니스(freshness) 파라미터(예를 들어, 시퀀스 번호 또는 카운터 값) 및 현재 사용된 키를 식별하기 위해 사용되는 키 식별자와 같은 정보를 더 포함할 수 있다 .
단말 보안 능력은 단말에 의해 지원되는 사용자 평면 보호 알고리즘 식별자를 포함한다. 예를 들어, 단말 보안 능력은, 단말이 사용자 평면 암호화 알고리즘 1, 사용자 평면 암호화 알고리즘 2, 사용자 평면 무결성 보호 알고리즘 3 및 사용자 평면 무결성 보호 알고리즘 5를 지원한다는 것이다.
단계 604: TgNB는 제1 사용자 평면 보호 알고리즘을 결정한다.
구체적으로, TgNB는 사용자 평면 정보와 보안 정책 사이의 대응, 단말 보안 능력, 및 TgNB에 의해 미리 구성된 보안 능력 우선 순위 리스트에 기초하여 제1 사용자 평면 보호 알고리즘을 결정할 수 있다.
보안 기능 우선 순위 리스트는 사전 구성된 리스트이다. 시그널링 평면 및 사용자 평면은 동일한 보안 능력 우선 순위 리스트를 공유할 수 있거나, 상이한 보안 능력 우선 순위 리스트를 사용할 수 있다. TgNB는 2 개 이상의 보안 기능 우선 순위 리스트를 포함한다. 사용자 평면과 시그널링 평면이 보안 능력 우선 순위 리스트를 공유한다는 것이 예로서 사용된다. TgNB는 암호화 알고리즘 우선 순위 리스트 및 무결성 보호 알고리즘 우선 순위 리스트를 포함한다. 예를 들어, 암호화 알고리즘 우선 순위 리스트는 표 1이고, 무결성 보호 알고리즘 우선 순위 리스트는 표 2이며, 표들의 알고리즘은 우선 순위의 내림차순으로 정렬된다.
[표 1]
Figure pct00001
[표 2]
Figure pct00002
보안 정책이, 활성화된 보안 보호 유형을 표시하기 위해 사용되는 경우, 제1 사용자 평면 보호 알고리즘을 결정하는 방법은 다음과 같다.
예를 들어, 사용자 평면 정보와 보안 정책 사이의 대응은 {{PDU 세션 ID=1, 10, DRB ID=1}, {PDU 세션 ID=2, QFI=1, 01, DRB ID=2}}이다. 단말 보안 능력은, 단말이, 사용자 평면 암호화 알고리즘 1, 사용자 평면 암호화 알고리즘 2, 사용자 평면 무결성 보호 알고리즘 3 및 사용자 평면 무결성 보호 알고리즘 5를 지원한다는 것이다.
먼저, TgNB는 세션 1에 대해 사용자 평면 암호화 보호가 활성화될 필요가 있고, 사용자 평면 무결성 보호는 활성화되지 않는 것으로 결정한 다음, 단말 보안 능력에 기초하여, 단말에 의해 지원되는 사용자 평면 암호화 알고리즘이 사용자 평면 암호화 알고리즘 1 및 사용자 평면 암호화 알고리즘 2인 것으로 결정하고, 표 1에 따라, 사용자 평면 암호화 알고리즘 1의 우선 순위가 사용자 평면 암호화 알고리즘 2의 우선 순위보다 높은 것으로 추가로 결정한다. 다시 말해서, 사용자 평면 암호화 알고리즘 1은 단말 및 TgNB 모두에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘이다. 구체적으로, 세션 1에 대해 TgNB에 의해 결정된 제1 사용자 평면 보호 알고리즘은 사용자 평면 암호화 알고리즘 1이다.
TgNB는 사용자 평면 암호화 보호가 활성화되지 않았지만 사용자 평면 무결성 보호가 세션 2에 대해 활성화된 것으로 결정한 다음, 단말 보안 기능에 기초하여, 단말에 의해 지원되는 사용자 평면 무결성 보호 알고리즘이 사용자 평면 무결성 보호 알고리즘 3 및 사용자 평면 무결성 보호 알고리즘 5인 것으로 결정하고, 표 2에 따라, 사용자 평면 무결성 보호 알고리즘 3은 단말 및 TgNB 모두에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 무결성 보호 알고리즘인 것으로 추가로 결정한다. 구체적으로, 세션 2에 대해 TgNB에 의해 결정된 제1 사용자 평면 보호 알고리즘은 사용자 평면 무결성 보호 알고리즘 3이다.
보안 정책이 사용자 평면 보호 알고리즘 식별자를 포함하는 경우, 제1 사용자 평면 보호 알고리즘을 결정하는 방법은 다음과 같다.
예를 들어, 사용자 평면 정보와 보안 정책 사이의 대응은 {PDU 세션 ID=1, NIA=1, NEA=2}이다.
먼저, TgNB는, 보안 정책에 따라, 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호 모두가 세션 1에 대해 활성화될 필요가 있는 것으로 결정한다. 보안 정책으로 표시되는 활성화된 사용자 평면 암호화 알고리즘은 사용자 평면 암호화 알고리즘 2이고, 보안 정책으로 표시되는 활성화된 사용자 평면 무결성 보호 알고리즘은 사용자 평면 무결성 보호 알고리즘 1이다. 그리고, 단말 보안 능력에 기초하여, 단말에 의해 지원되는 사용자 평면 암호화 알고리즘은 사용자 평면 암호화 알고리즘 1 및 사용자 평면 암호화 알고리즘 2이고, 단말에 의해 지원되는 사용자 평면 무결성 보호 알고리즘은 사용자 평면 무결성 보호 알고리즘 3 및 사용자 평면 무결성 보호 알고리즘 5인 것으로 결정된다. 단말 및 TgNB는 모두 보안 정책에 의해 표시되는 사용자 평면 암호화 알고리즘 2를 지원하지만, 단말은 보안 정책에 의해 표시되는 사용자 평면 무결성 보호 알고리즘 1을 지원하지 않음을 알 수 있다. 따라서, TgNB는 단말 보안 기능 및 표 2에 기초하여 사용자 평면 무결성 보호 알고리즘을 재선택할 필요가 있다. 표 2에 따르면, 사용자 평면 무결성 보호 알고리즘 3은, 단말 및 TgNB 모두에 의해 지원되고 가장 높은 우선 순위를 갖는 사용자 평면 무결성 보호 알고리즘인 것으로 결정될 수 있다. 즉, 세션 1에 대해 TgNB에 의해 결정된 제1 사용자 평면 보호 알고리즘은 사용자 평면 암호화 알고리즘 2 및 사용자 평면 무결성 보호 알고리즘 3이다.
선택적으로, 보안 정책이 사용자 평면 암호화 보호 또는 사용자 평면 무결성 보호 중 어느 것도 활성화하지 않는 것으로 표시하는 경우, TgNB는, 디폴트 보안 정책에 따라, 사용자 평면 암호화 보호 또는 사용자 평면 무결성 보호를 활성화하거나, 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호 모두를 활성화하는 것을 선택적으로 결정하고, 대응하는 사용자 평면 보호 알고리즘을 결정할 수 있다.
선택적으로, TgNB는 수신된 보안 정책을 바로 무시하고, 디폴트 보안 정책에 따라 사용자 평면 보호 알고리즘을 결정할 수 있다.
가능한 구현에서, TgNB는 한 쌍의 알고리즘을 결정할 수 있고, 한 쌍의 알고리즘은 사용자 평면 보안 알고리즘 및 시그널링 평면 보안 알고리즘 모두로서 사용된다. 구체적으로, 단계 604에서, TgNB에 의해 결정된 제1 사용자 평면 보호 알고리즘은 또한 시그널링 평면 보호 알고리즘으로서 사용될 수 있거나, TgNB에 의해 결정된 시그널링 평면 보호 알고리즘은 또한 제1 사용자 평면 보호 알고리즘으로서 사용될 수 있다.
단계 605: TgNB는 제1 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성한다.
TgNB는 단계 604에서 결정된 각각의 사용자 평면 보호 알고리즘에 대한 사용자 평면 보호 키를 생성할 수 있다. 예를 들어, 세션 1에 대해 TgNB에 의해 결정된 제1 사용자 평면 보호 알고리즘은 사용자 평면 암호화 알고리즘 1이고, 세션 2에 대해 결정된 제1 사용자 평면 보호 알고리즘은 사용자 평면 무결성 보호 알고리즘 3이다. 이 경우, TgNB는 세션 1에 대한 사용자 평면 암호화 알고리즘 1에 대응하는 사용자 평면 암호화 키를 생성하고, 세션 2에 대한 사용자 평면 무결성 보호 알고리즘 3에 대응하는 사용자 평면 무결성 보호 키를 생성한다.
TgNB는 키 유도 함수(key derive function, KDF), 알고리즘 ID 및 KgNB*에 따라 키를 생성할 수 있다. 키 생성 방법은 다음과 같다: 여기서, 키=KDF(알고리즘 ID, KgNB*) 또는 키=KDF(알고리즘 ID, 키 1, 기타 파라미터) 또는 키=의사 난수 함수(알고리즘 ID, 기타 파라미터) . 다른 파라미터는 하나의 파라미터 또는 복수의 파라미터일 수 있다. 예를 들어, 다른 파라미터는 키 파라미터일 수 있거나, 또는 다른 파라미터는 키 파라미터, 격리 파라미터(isolation parameter)(예를 들어, 세션 ID, DRB ID, QFI) 및 프레시니스 파라미터 중 하나 이상이다. 키 생성 방법은, 단말의 핸드오버 시나리오 및 기지국이 키를 생성하는 임의의 시나리오 모두에 적용 가능하다.
선택적으로, TgNB가 단계 604에서 시그널링 평면 보호 알고리즘을 결정하는 경우, TgNB는 시그널링 평면 보호 알고리즘에 따라 시그널링 평면 보호 키를 생성할 수 있다.
단계 606: TgNB는 핸드오버 요청 승인(HO 요청 Ack) 메시지를 SgNB에 송신하고, 이에 대응하여, SgNB는 핸드오버 요청 승인 메시지를 수신한다.
핸드오버 요청 승인 메시지는 핸드오버 명령(HO 명령) 메시지를 포함한다. 선택적으로, 핸드오버 명령 메시지는 RRC 연결 재구성(RRC connection reconfiguration) 메시지를 포함한다. RRC 연결 재구성 메시지는 타깃 기지국의 기본 파라미터, 예를 들어, 타깃 기지국의 물리 셀 ID, 타깃 기지국의 주파수, 및 세션 자원과 같은 정보를 단말에 통지하기 위해 사용된다. 본 출원의 본 실시 예에서, RRC 연결 재구성 메시지는 TgNB에 의해 결정된 제1 사용자 평면 보호 알고리즘을 전송하기 위해 사용된다. 선택적으로, RRC 연결 재구성 메시지는 시그널링 평면 보호 알고리즘을 전송하기 위해 추가로 사용된다. 또한, 단계 604에서 결정된 제1 사용자 평면 보호 알고리즘이 사용자 평면 무결성 보호 알고리즘을 포함하는 경우, 단계 605에서 생성된 사용자 평면 무결성 보호 키는 RRC 연결 재구성 메시지에 대해 무결성 보호를 수행하기 위해 사용될 필요가 있다. 시그널링 평면 무결성 보호 알고리즘이 단계 604에서 또한 결정된 경우, 단계 605에서 생성된 시그널링 평면 무결성 키는, 사용자 평면 무결성 보호 알고리즘의 결정 여부에 관계없이 RRC 연결 재구성 메시지에 대한 무결성 보호를 수행하기 위해 사용된다.
선택적으로, 하나의 RRC 연결 재구성 메시지는, 각각의 조합에서 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 TgNB에 의해 수신되는 대응을 포함할 수 있다. 예를 들어, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 TgNB에 의해 수신되는 대응은 {{PDU 세션 ID=1, 10, DRB ID=1}, {PDU 세션 ID=2, QFI=1, 01, DRB ID=2}}이다. 이 경우, TgNB의 RRC 연결 재설정 메시지는, 사용자 평면 정보와 세션 1의 보안 정책 사이의 대응 및 사용자 평면 정보와 세션 2의 보안 정책 사이의 대응을 포함한다.
세션 1의 RRC 연결 재구성 메시지는 세션 1에 대한 TgNB에 의해 결정된 제1 사용자 평면 보호 알고리즘 및 세션 1에 할당된 세션 자원을 포함한다. 세션 자원은 DRB ID일 수 있다. 사용자 평면 정보와 보안 정책 사이의 대응에서 DRB ID가 1인 DRB가 사용되지 않는 경우, DRB는 여전히 세션 1에 대해 사용될 수 있다. DRB가 사용되는 경우, TgNB는 세션 1에 대한 DRB를 재생성하고, 생성된 DRB의 DRB 식별자를 단말에 송신한다. 선택적으로, TgNB는 사용자 평면 정보와 보안 정책 사이의 대응이 DRB ID를 전달하지 않는 경우, 세션에 대한 DRB를 다시 재생성한다. 단계 604에서 결정된 제1 사용자 평면 보호 알고리즘을 참조하면, 세션 1의 RRC 연결 재구성 메시지는 사용자 평면 암호화 알고리즘 1, DRB ID 및 KgNB*를 생성하기 위해 사용되는 정보를 포함한다. 마찬가지로, 세션 2의 RRC 연결 재구성 메시지는 사용자 평면 무결성 보호 알고리즘 3, DRB ID 및 KgNB*를 생성하기 위해 사용되는 정보를 포함한다.
세션 1에 대응하는 보안 정책은, 사용자 평면 무결성 보호가 활성화되지 않았으므로 세션 1의 RRC 연결 재구성 메시지에 대해 무결성 보호가 수행되지 않음을 표시한다. 세션 2에 대응하는 보안 정책은 사용자 평면 암호화 보호를 활성화함을 표시하므로, 세션 2의 RRC 연결 재구성 메시지는, 사용자 평면 무결성 보호 알고리즘 3에 대응하는 사용자 평면 무결성 보호 키를 사용하여 암호화될 수 있다.
선택적으로, TgNB는 난수 nonce-TgNB를 생성하고, 사용자 평면 암호화 알고리즘 1을 사용하여 nonce-TgNB를 암호화할 수 있다. 세션 1의 RRC 연결 재구성 메시지는, 암호화된 nonce-TgNB 및 암호화되지 않은 nonce-TgNB를 더 포함한다.
선택적으로, 단계 604에서 TgNB가 시그널링 평면 보호 알고리즘을 결정하는 경우, TgNB는 시그널링 평면 무결성 보호 키를 사용하여 RRC 연결 재구성 메시지에 대한 무결성 보호를 수행하거나, 시그널링 평면 암호화 키를 사용하여 nonce-TgNB를 암호화할 수 있다.
선택적으로, RRC 연결 재구성 메시지는, 시그널링 평면 보호 알고리즘이 제1 사용자 평면 보호 알고리즘과 동일함을 표시하거나 시그널링 평면 보호 알고리즘 식별자를 표시하는 표시 정보를 더 포함한다.
단계 607: SgNB는 핸드오버 명령 메시지를 단말에 송신한다. 이에 대응하여, 단말은 핸드오버 명령 메시지를 수신한다.
SgNB는 핸드오버 요청 승인 메시지를 수신한 후 핸드오버 요청 승인 메시지의 핸드오버 명령 메시지를 단말에 포워딩하는 것으로 이해될 수 있다.
선택적으로, 핸드오버 요청 승인 메시지를 수신한 후, SgNB는, TgNB에, 시퀀스 번호 상태 정보 및 단말에 송신될 데이터를 송신할 수 있어서, 단말과의 통신 링크를 설정한 후, TgNB는 송신될 데이터를 단말에 포워딩할 수 있다.
단계 608: 단말이 사용자 평면 보호 키를 생성한다.
단말은 핸드오버 명령 메시지를 수신한 후, 핸드오버 명령 메시지로부터 RRC 연결 재구성 메시지를 획득한다. RRC 연결 재설정 메시지가 사용자 평면 무결성 보호 알고리즘을 포함하는 경우, 단말은 사용자 평면 무결성 보호 알고리즘에 따라 사용자 평면 무결성 보호 키를 생성하고, 사용자 평면 무결성 보호 키를 이용하여 RRC 연결 재구성 메시지에 대한 무결성 검증을 수행한다 . 검증이 실패하는 경우, 단말은 TgNB와의 통신 연결을 끊거나 단계 609를 수행하거나; 검증이 성공하는 경우, 단말은 RRC 연결 재구성 메시지에서 사용자 평면 보호 알고리즘에 대응하는 사용자 평면 보호 키를 생성한다.
RRC 연결 재설정 메시지가, 암호화된 nonce-TgNB 및 사용자 평면 암호화 알고리즘을 포함하는 경우, 단말은 사용자 평면 암호화 알고리즘에 따라 사용자 평면 암호화 키를 생성하고, 사용자 평면 암호화 알고리즘을 사용하여 암호화된 nonce-TgNB를 복호화하고, 복호화를 통해 획득한 nonce-TgNB와 핸드오버 명령 메시지의 nonce-TgNB를 비교한다. 복호화를 통해 획득한 nonce-TgNB가 핸드오버 명령 메시지의 nonce-TgNB와 동일한 경우, 단말은 RRC 연결 재구성 메시지에서 사용자 평면 보호 알고리즘에 대응하는 사용자 평면 보호 키를 생성하거나; 복호화를 통해 획득한 nonce-TgNB가 핸드오버 명령 메시지의 nonce-TgNB와 상이한 경우, 단말은 TgNB와의 통신 연결을 끊거나 단계 609를 수행한다.
선택적으로, RRC 연결 재구성 메시지가 시그널링 평면 보호 알고리즘을 포함하는 경우, 단말은 시그널링 평면 보호 알고리즘에 따라 시그널링 평면 보호 키를 생성한다.
단계 609: 단말은 TgNB에 액세스한다.
단말이 TgNB에 액세스하는 프로세스는, 단말이 동기화 요청을 TgNB에 송신하고, TgNB가 시간 윈도우(time window)를 단말에 할당하는 것을 포함한다. 구체적인 구현에 대해서는 기존의 절차를 참조할 수 있다. 상세한 내용에 대해서는 여기에서 설명되지 않는다.
단계 608에서 단말에 의해 수행된 검증이 실패한 경우 단계 609는 수행되지 않음에 유의해야 한다.
단계 610: 단말은 핸드오버 확인(HO 확인) 메시지를 TgNB에 송신한다.
핸드오버 확인 메시지는 RRC 연결 재구성 완료(RRC connection reconfiguration complete) 메시지를 포함하고, 해당 메시지는 단말이 성공적으로 핸드오버되었음을 TgNB에 알리기 위해 사용된다.
선택적으로, 단계 608에서 RRC 연결 재구성 메시지에 대해 단말에 의해 수행된 검증이 실패한 경우, RRC 연결 재구성 완료 메시지는, 단말이 핸드오버되지 않았음을 TgNB에 알리고 핸드오버 실패 이유를 TgNB에 알리기 위해 사용된다.
선택적으로, 단계 608에서 단말이 사용자 평면 암호화 키를 생성하는 경우, 단말은 사용자 평면 암호화 키를 사용하여 RRC 연결 재구성 완료 메시지를 암호화하거나; 단말이 사용자 평면 무결성 보호 키를 생성하는 경우, 단말은 사용자 평면 무결성 보호 키를 사용하여 RRC 연결 재구성 완료 메시지에 대해 무결성 보호를 수행하거나; 단말이 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키 모두를 생성하는 경우, 단말은 RRC 연결 재구성 완료 메시지에 대한 보호를 수행하거나, 사용자 평면 암호화 키를 사용하여 RRC 연결 재구성 완료 메시지를 암호화할뿐만 아니라 사용자 평면 무결성 보호 키를 사용하여 RRC 연결 재구성 완료 메시지에 대해 무결성 보호를 수행함을 유의해야 한다.
단말이 시그널링 평면 무결성 보호 키를 생성하는 경우, 단말은 시그널링 평면 무결성 보호 키를 사용하여 RRC 연결 재구성 완료 메시지에 대해 무결성 보호를 수행하거나; 단말이 시그널링 평면 암호화 키를 생성하는 경우, 단말은 시그널링 평면 암호화 키를 사용하여 RRC 연결 재구성 완료 메시지를 암호화한다. 단말이 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키를 모두 생성하는 경우, 단말은 RRC 연결 재구성 완료 메시지에 대한 보호를 수행하거나, 시그널링 평면 무결성 보호 키를 이용하여 RRC 연결 재구성 완료 메시지에 대해 무결성 보호를 수행할뿐만 아니라, 시그널링 평면 암호화 키를 사용하여 RRC 연결 재구성 완료 메시지를 암호화한다.
선택적으로, 단말은 추가적으로, 난수 nonce-UE를 생성하고, 사용자 평면 암호화 키를 사용하여 nonce-UE||nonce-TgNB를 암호화하고, 암호화된 nonce-UE||nonce-TgNB 및 암호화되지 않은 nonce-UE를 RRC 연결 재구성 완료 메시지에 추가하고, RRC 연결 재구성 완료 메시지를 TgNB에 송신할 수 있다.
선택적으로, 단말이 사용자 평면 보호 키를 생성하는 경우, 단말은 사용자 평면 보호 키를 사용하여 RRC 연결 재구성 완료 메시지를 보호할 수 있다.
단계 611: TgNB가 핸드오버 확인 메시지를 수신한다.
TgNB가 핸드오버 확인 메시지를 수신한 후, 핸드오버 확인 메시지의 RRC 연결 재구성 완료 메시지가 암호문(ciphertext)인 경우, TgNB는 사용자 평면 암호화 키를 사용하여 RRC 연결 재구성 완료 메시지를 복호화하거나; RRC 연결 재구성 완료 메시지가 사용자 평면 무결성 보호 알고리즘을 사용하여 보호되는 메시지인 경우, TgNB는 사용자 평면 무결성 보호 키를 사용하여 RRC 연결 재구성 완료 메시지에 대해 무결성 검증을 수행한다.
선택적으로, RRC 연결 재구성 완료 메시지가 암호화된 nonce-UE||nonce-TgNB를 전달하는 경우, TgNB는 사용자 평면 암호화 키를 사용하여 암호화된 nonce-UE||nonce-TgNB를 복호화하여, 암호화된 nonce-UE||nonce-TgNB로부터 nonce-UE를 획득하고, nonce-UE를 RRC 연결 재구성 완료 메시지로 전달된 평문(plaintext) nonce-UE와 비교한다. nonce-UE와 평문 nonce-UE가 동일한 경우 검증에 성공한다.
선택적으로, TgNB가 단말에 시그널링 평면 보호 알고리즘을 통지한 경우, TgNB는 시그널링 평면 보호 키를 사용하여 RRC 연결 재구성 완료 메시지에 대해 복호화 또는 무결성 검증을 수행한다.
단계 612는, RRC 연결 재구성 완료 메시지에 대해 TgNB에 의해 수행된 검증이 성공하고, RRC 연결 재구성 완료 메시지가, 단말이 성공적으로 핸드오버되었음을 TgNB에 알리기 위해 사용되는 경우에 수행된다.
RRC 연결 재구성 완료 메시지에 대해 TgNB에 의해 수행된 검증이 실패하거나, RRC 연결 재구성 완료 메시지에 대해 TgNB에 의해 수행된 검증이 성공하지만, RRC 연결 재구성 완료 메시지는 단말이 핸드오버에 실패했음을 TgNB에 알리기 위해 사용되는 경우, TgNB는 단말과의 통신 연결을 끊고, 저장된 다운링크 데이터를 삭제하여 단말에 포워딩한다.
단계 612: TgNB가 다운링크 데이터를 단말에 송신한다.
선택적으로, TgNB가 제1 사용자 평면 보호 알고리즘을 시그널링 평면 보호 알고리즘으로 결정하지 않거나, TgNB가 단계 604에서 시그널링 평면 보호 알고리즘을 결정하지 않으면, TgNB가 시그널링 평면 보호 알고리즘을 송신해야 할 필요가 있는 경우, TgNB는 시그널링 평면 보호 알고리즘을 결정할 필요가 있다. 도 7a 및 도 7b에 도시된 바와 같이, 방법은 단계 701 내지 717을 포함한다.
단계 701 내지 712에 대해서는 단계 601 내지 612의 관련 설명을 참조할 수 있다. TgNB는 단계 701 내지 712에서 제1 사용자 평면 보호 알고리즘을 시그널링 평면 보호 알고리즘으로서 결정하거나 시그널링 평면 보호 키를 생성하지 않는다는 점을 유의해야 한다.
713. TgNB는 시그널링 평면 보호 알고리즘을 결정한다.
시그널링 평면 보호 알고리즘은 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함한다.
단계 713의 트리거 경우는 단계 305에서 설명되며, 여기서는 다시 설명되지 않는다.
714. TgNB는 시그널링 평면 보호 알고리즘에 따라 시그널링 평면 보호 키를 생성한다.
시그널링 평면 보호 키는 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키 중 하나 또는 모두를 포함한다.
시그널링 평면 메시지를 송신하는 경우, TgNB는 시그널링 평면 보호 키를 사용하여 시그널링 평면 메시지를 보호하고, 시그널링 평면 보호 키를 사용하여 보호되는 시그널링 평면 메시지를 추가로 송신할 수 있음을 이해할 수 있다.
715. TgNB는 액세스 계층 보안 모드 명령(access stratum security mode command, AS SMC) 메시지를 단말에 송신한다. 이에 대응하여, 단말은 AS SMC 메시지를 수신한다.
AS SMC 메시지는 단계 713에서 TgNB에 의해 결정된 시그널링 평면 보호 알고리즘의 식별자를 전달한다.
단계 714에서 TgNB가 시그널링 평면 무결성 보호 키를 생성하는 경우, TgNB에 의해 단말에 송신된 AS SMC 메시지는 시그널링 평면 무결성 키를 사용하여 보호되는 메시지이다.
716. 단말은 AS SMC 메시지로 전달되는 시그널링 평면 보호 알고리즘 식별자에 기초하여 시그널링 평면 보호 키를 생성한다.
단말에 의해 생성된 시그널링 평면 보호 키는 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키 중 하나 또는 모두를 포함한다. AS SMC 메시지가 시그널링 평면 암호화 알고리즘 식별자만을 전달하는 경우, 단말은 시그널링 평면 암호화 알고리즘 식별자에 기초하여 시그널링 평면 암호화 키를 생성하거나; AS SMC 메시지가 시그널링 평면 무결성 보호 알고리즘 식별자만을 전달하는 경우, 단말은 시그널링 평면 무결성 보호 알고리즘 식별자에 기초하여 시그널링 평면 무결성 보호 키를 생성하거나; AS SMC 메시지가 시그널링 평면 암호화 알고리즘 식별자 및 시그널링 평면 무결성 보호 알고리즘 식별자를 전달하는 경우, 단말은 시그널링 평면 암호화 알고리즘 식별자에 기초하여 시그널링 평면 암호화 키를 생성하고, 시그널링 평면 무결성 보호 알고리즘 식별자에 기초하여 시그널링 평면 무결성 보호 키를 생성한다.
선택적으로, AS SMC 메시지가 시그널링 평면 무결성 보호 알고리즘 식별자를 전달하는 경우, 단말은, 생성된 시그널링 평면 무결성 보호 키에 기초하여 AS SMC 메시지에 대한 무결성 검증을 수행할 수 있다.
717. 단말은 보안 모드 완료(security mode complete, SMP) 메시지를 TgNB에 송신한다.
선택적으로, SMP 메시지는, 단말이 시그널링 평면 무결성 보호 키를 사용하여 무결성 보호를 수행하는 메시지이다.
선택적으로, 단계 713 내지 717은 단계 710 전에 수행될 수 있다. 단계 713 내지 단계 717이 단계 710 전에 수행되는 경우, 단말은 단계 710에서 시그널링 평면 무결성 보호 키를 사용하여 보호되는 핸드오버 확인 메시지를 TgNB에 송신한다.
본 실시 예에 따르면, 사용자 평면 보호 활성화 프로세스는 시그널링 평면 보호 활성화 프로세스로부터 분리될 수 있다. TgNB의 네트워크 오버헤드를 감소시키고 단말의 핸드오버 효율을 향상시키기 위해 TgNB가 시그널링 평면 메시지를 송신할 필요가 없는 경우, TgNB는 시그널링 평면 보호를 활성화하지 않을 수 있다. 단말이 성공적으로 핸드오버된 후 TgNB가 시그널링 평면 메시지를 전송할 필요가 있는 경우, TgNB는 시그널링 평면 보호 알고리즘을 결정하고, 시그널링 평면 보호 키를 생성하고, 시그널링 평면 보호를 사용하여 시그널링 평면 메시지에 대한 보안 보호를 수행하여, 시그널링 평면 보안을 보장할 수 있다.
선택적으로, 본 출원의 실시 예들의 가능한 구현에서, 단계 611에서, TgNB가 핸드오버 확인 메시지를 수신한 후에 단말의 핸드오버 프로세스가 완료된다. 또한, TgNB에 의해 현재 사용되는 보안 정책이 검증될 수 있다. 도 8에 도시된 바와 같이, 방법은 구체적으로 도 4에 대응하는 실시 예를 설명하며, 방법은 단계 801 내지 810을 포함한다.
단계 801: TgNB는 N2 경로 스위치(N2 path switch) 메시지를 AMF 노드에 송신한다. 이에 대응하여, AMF 노드는 N2 경로 스위치 메시지를 수신한다.
N2 경로 스위치 메시지는 사용자 평면 정보와 SgNB로부터의 보안 정책 사이의 대응을 포함한다.
선택적으로, TgNB가, 사용자 평면 정보와 보안 정책 사이의 대응 대신에 디폴트 보안 정책을 사용하여 제1 사용자 평면 보호 알고리즘을 결정하는 경우, N2 경로 스위치 메시지는 디폴트 보안 정책 및 사용자 평면 정보를 포함한다.
선택적으로, N2 경로 스위치 메시지에는 세션 관리(session management, SM) 컨테이너가 포함된다. SM 컨테이너는 사용자 평면 정보와 SgNB로부터의 보안 정책 사이의 대응을 포함하거나, SM 컨테이너는 디폴트 보안 정책 및 사용자 평면 정보를 포함한다. SMF 노드 만이 SM 컨테이너에서 정보를 읽을 수 있다.
단계 802: AMF 노드는 N2 경로 스위치 메시지에서 보안 정책을 검증한다.
N2 경로 스위치 메시지가 SM 컨테이너를 전달하지 않거나, SM 컨테이너 외부에 사용자 평면 정보 및 보안 정책이 존재하는 경우, 단계 802는, AMF 노드가, AMF 노드가 사용자 평면 정보와 보안 정책 사이의 각각의 대응을 저장하는 경우에만 수행되거나; AMF 노드가, AMF 노드가 사용자 평면 정보와 보안 정책 사이의 각각의 대응을 저장하지 않는 것으로 결정하는 경우, 단계 802는 생략되고 단계 803이 바로 수행된다.
예를 들어, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 AMF 노드에 의해 저장되는 대응이 표 3에 도시되어 있다.
[표 3]
Figure pct00003
NIA는 사용자 평면 무결성 보호 알고리즘이고, NEA는 사용자 평면 암호화 알고리즘이다. 예를 들어, NIA 1은 사용자 평면 무결성 보호 알고리즘의 알고리즘 식별자가 1임을 나타낸다. "1111"은 NEA 위치를 대체하며, 사용자 평면 암호화 보호가 활성화되지 않았음을 표시하기 위해 사용된다.
N2 경로 스위치 메시지에서 사용자 평면 정보와 보안 정책 사이의 대응이 {PDU 세션 ID=1, NIA=1, NEA=2}인 경우, AMF 노드는 PDU 세션 ID가 1인 보안 정책을 표 3에서 검색한다. . 표 3을 참조하면, 발견된 보안 정책은 "NIA 1, NEA 2"이며, {PDU 세션 ID=1, NIA=1, NEA=2}의 보안 정책과 동일하다. 이 경우, 검증에 성공하고, 이는 TgNB가 사용자 평면 정보와 보안 정책 사이의 대응에 기초하여 결정된 제1 사용자 평면 보호 알고리즘을 계속 사용할 수 있음을 표시한다. 단계 806은 검증 결과를 TgNB에 통지하기 위해 수행될 수 있다.
N2 경로 스위치 메시지에서 사용자 평면 정보와 보안 정책 사이의 대응이 {PDU 세션 ID=2, NIA=2, NEA=2}인 경우, AMF 노드는 PDU 세션 ID가 2 인 보안 정책을 표 3에서 검색한다. . 표 3을 참조하면, 발견된 보안 정책은 "NIA 3,"1111""이며 {PDU 세션 ID=2, NIA=2, NEA=2}의 보안 정책과 상이하다. 이 경우, 검증에 실패하고, 이는 TgNB가 사용자 평면 정보와 보안 정책 사이의 대응에 기초하여 결정된 제1 사용자 평면 보호 알고리즘을 계속 사용할 수 없으며, 현재 사용되는 보안 정책을, 표 3을 검색하여 획득한 보안 정책 "NIA 3, "1111""로 업데이트할 필요가 있음을 표시한다. 단계 806은 검증 결과를 TgNB에 통지하기 위해 추가로 수행될 수 있다.
예를 들어, 사용자 평면 정보와 보안 정책 사이에 있는 대응으로서 AMF 노드에 의해 저장되는 대응이 또한 표 4에 도시될 수 있다.
[표 4]
Figure pct00004
"01"은 사용자 평면 암호화 보호를 활성화하지 않고 사용자 평면 무결성 보호를 활성화함을 표시하고; "10"은 사용자 평면 암호화 보호는 활성화하지만 사용자 평면 무결성 보호는 활성화하지 않음을 표시하고; "11"은 사용자 평면 암호화 보호 활성화를 활성화하고 사용자 평면 무결성 보호도 활성화함을 표시한다.
N2 경로 스위치 메시지에서 사용자 평면 정보와 보안 정책 사이의 대응이 {PDU 세션 ID=1, 11}이고, "PDU 세션 ID=1"에 해당하는 보안 정책이 표 3에서 "01"인 경우, 검증은 실패하고, 이는 TgNB가 사용자 평면 정보와 보안 정책 사이의 대응에 기초하여 결정된 제1 사용자 평면 보호 알고리즘을 계속 사용할 수 없음을 표시한다. AMF 노드는, 표 3의 "PDU 세션 ID=1"에 대응하는 보안 정책 "01"을 TgNB에 알리기 위해 단계 806을 수행할 필요가 있다.
단계 803: AMF 노드는 SMF 노드에 세션 관리 정보 요청(SM information request) 메시지를 송신한다. 이에 대응하여, SMF 노드는 AMF 노드로부터 SM 정보 요청 메시지를 수신한다.
SM 정보 요청 메시지는, 단말의 식별 정보 및 SgNB로부터의 보안 정책과 사용자 평면 정보 사이의 대응을 포함하거나, 단말의 식별 정보, 사용자 평면 정보 및 디폴트 보안 정책을 포함한다.
선택적으로, AMF 노드는 N2 경로 스위치 메시지 내의 SM 컨테이너를 SM 정보 요청 메시지에 추가하고, SM 정보 요청 메시지를 SMF 노드에 송신할 수 있다.
단계 804: SMF 노드는 SM 정보 요청 메시지의 보안 정책을 검증한다.
SM 정보 요청 메시지가 SM 컨테이너를 전달하는 경우, SMF 노드는, SM 컨테이너로부터, SgNB로부터의 보안 정책과 사용자 평면 정보 사이의 대응 또는 사용자 평면 정보와 디폴트 보안 정책 사이의 대응을 판독한다.
선택적으로, SMF 노드는 표 3 또는 표 4에 표시된 바와 같이, 사용자 평면 정보와 보안 정책 사이의 각 대응을 저장한다. SMF 노드에 의해 보안 정책을 검증하는 방법은, 단계 802에서 AMF 노드에 의해 보안 정책을 검증하는 방법과 기본적으로 동일하다. 차이점은, 보안 정책에 대한 검증을 완료한 후 SMF 노드는 검증 결과를 AMF 노드에 송신한다는 점이다.
단계 805: SMF 노드는 SM 정보 응답(SM information response) 메시지를 AMF 노드에 송신한다.
SM 정보 응답 메시지는, 단계 804에서 SMF 노드에 의해 보안 정책에 대해 수행된 검증 결과를 전달하고, 구체적으로 보안 정책 및 제2 표시 정보 중 하나 또는 모두를 전달한다.
단계 804에서 검증이 성공하는 경우, SM 정보 응답 메시지의 보안 정책은 SM 정보 요청 메시지의 보안 정책이거나, 제2 표시 정보는 현재 사용된 보안 정책이 계속 사용될 수 있음을 표시하기 위해 사용된다. 예를 들어, SM 정보 응답 메시지의 보안 정책은 {PDU 세션 ID=1, NIA=1, NEA=2}에서 "NIA=1, NEA=2"일 수 있다.
단계 804에서 검증이 실패하는 경우, SM 정보 응답 메시지의 보안 정책은, 사용자 평면 정보에 기초하여 SMF 노드에 의해 재선택된 보안 정책이거나, 제2 표시 정보는 현재 사용되는 보안 정책이 계속 사용될 수 없음을 표시하기 위해 사용된다. 예를 들어, SM 정보 응답 메시지의 보안 정책은 "NIA 3, "1111""일 수 있다.
선택적으로, SM 정보 응답 메시지는 보안 정책에 대응하는 사용자 평면 정보를 추가로 전달할 수 있다.
단계 806: AMF 노드는 경로 스위치 승인(path switch ack) 메시지를 TgNB에 송신한다. 이에 대응하여, TgNB는 경로 스위치 승인 메시지를 수신한다.
단계 802가 수행되는 경우, 경로 스위치 승인 메시지는 단계 802에서 AMF 노드에 의해 보안 정책에 대해 수행된 검증 결과를 전달하고, 구체적으로 보안 정책 및 제2 표시 정보 중 하나 또는 모두를 전달한다.
단계 802에서 검증이 성공한 경우, 경로 스위치 승인 메시지의 보안 정책은 SM 정보 요청 메시지의 보안 정책이거나, 제2 표시 정보는 현재 사용되는 보안 정책이 계속 사용될 수 있음을 표시하기 위해 사용된다. 예를 들어, 경로 스위치 승인 메시지의 보안 정책은 {PDU 세션 ID=1, NIA=1, NEA=2}에서 "NIA=1, NEA=2"일 수 있다.
단계 802에서 검증이 실패하는 경우, 경로 스위치 승인 메시지의 보안 정책은 사용자 평면 정보에 기초하여 SMF 노드에 의해 재선택된 보안 정책이거나, 제2 표시 정보는 현재 사용되는 보안 정책이 계속 사용될 수 없음을 표시하기 위해 사용된다. 예를 들어, 경로 스위치 승인 메시지의 보안 정책은 "NIA 3, "1111""일 수 있다.
선택적으로, 경로 스위치 승인 메시지는 보안 정책에 대응하는 사용자 평면 정보를 추가로 전달할 수 있다.
단계 802가 수행되지 않는 경우, 경로 스위치 승인 메시지는 SMF 노드에 의해 송신된 SM 정보 응답 메시지의 내용을 포함한다.
단계 807: TgNB는, 수신된 보안 정책 및 수신된 제2 표시 정보 중 하나 또는 모두에 따라 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 업데이트한다.
경로 스위치 승인 메시지에서 보안 정책을 수신한 후, TgNB는 수신된 보안 정책이 SgNB로부터의 보안 정책과 동일한지 여부를 판정한다. 수신된 보안 정책이 SgNB로부터의 보안 정책과 동일한 경우, TgNB는 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 업데이트할 필요가 없거나; 수신된 보안 정책이 SgNB로부터의 보안 정책과 상이한 경우, TgNB는 경로 스위치 승인 메시지의 보안 정책에 따라 사용자 평면 보호 알고리즘을 재선택하고, 재선택된 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성한다.
경로 스위치 승인 메시지가 보안 정책을 전달하지 않고 제2 표시 정보를 전달하며, 제2 표시 정보가 현재 사용되는 보안 정책이 계속 사용될 수 있음을 표시하는 경우, TgNB는 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 업데이트할 필요가 없거나; 제2 표시 정보가 현재 사용되는 보안 정책이 사용될 수 없음을 표시하는 경우, TgNB는 디폴트 보안 정책을 사용하거나, TgNB가 연결을 끊거나, TgNB가 다운링크 데이터를 송신한 후 연결을 끊는다.
선택적으로, 사용자 평면 보호 알고리즘 및 사용자 평면 보호 키를 업데이트한 후, TgNB는 시그널링 평면 메시지를 단말에 송신할 필요가 있다. 이 경우에 시그널링 평면 보호가 활성화되지 않으면, 시그널링 평면 보호를 활성화하기 위해 단계 713 내지 717이 수행된다.
단계 808: TgNB는 RRC 연결 재구성 메시지를 단말에 송신한다. 이에 대응하여, 단말은 TgNB로부터 RRC 연결 재구성 메시지를 수신한다.
RRC 연결 재구성 메시지는 시그널링 평면 보호 키를 사용하여 보호되는 메시지이고, RRC 연결 재구성 메시지는 TgNB의 업데이트된 사용자 평면 보호 알고리즘 또는 제3 표시 정보를 전달한다. 제3 표시 정보는, 단말이 현재 사용하고 있는 사용자 평면 보호 알고리즘을 단말이 계속 사용할 수 있는지 여부를 표시하기 위해 사용된다.
단계 809: 단말은 RRC 연결 재구성 메시지에서 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성한다.
단말은 시그널링 평면 보호 키에 기초하여 RRC 연결 재구성 메시지에 대한 보안 검증을 수행할 수 있고, 예를 들어, 시그널링 평면 무결성 보호 키에 기초하여 RRC 연결 재구성 메시지에 대한 무결성 검증을 수행할 수 있음을 이해할 수 있다. 검증이 성공한 경우, 단말은 RRC 연결 재구성 메시지에서 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성한 후, 사용자 평면 보호 키를 사용하여 사용자 평면 데이터를 암호화 또는 복호화할 수 있다.
단계 810: 단말은 RRC 연결 재구성 완료 메시지를 TgNB에 송신한다. 이에 대응하여, TgNB는 RRC 연결 재구성 완료 메시지를 수신한다.
RRC 연결 재구성 완료 메시지를 수신하는 경우, TgNB는 사용자 평면 보호 알고리즘이 성공적으로 업데이트된 것으로 결정할 수 있음을 이해할 수 있다.
선택적으로, 단말의 핸드오버 절차에서, SgNB와 TgNB 사이에 통신 인터페이스가 존재하지 않는 경우, 단말의 핸드오버 절차가 도 9에 도시되어 있다. 방법은 단계 901 내지 909를 포함한다.
단계 901: 단말은 측정 보고를 SgNB에 송신한다. 이에 따라, SgNB는 측정 보고를 수신한다.
단계 902: SgNB는, 측정 보고에 기초하여, 단말이 서빙 기지국들 사이에서 핸드오버될 필요가 있는 것으로 결정할 때 핸드오버 요청 메시지를 AMF 노드에 송신한다. 이에 대응하여, AMF 노드는 핸드오버 요청 메시지를 수신한다.
핸드오버 요청 메시지는 사용자 평면 정보와 보안 정책 사이의 대응을 포함하고, 단말 보안 기능을 더 포함할 수 있다.
선택적으로, 핸드오버 요청 메시지는 SM 컨테이너를 포함할 수 있다. SM 컨테이너는 사용자 평면 정보와 보안 정책 사이의 대응을 포함하거나, 보안 정책만을 포함하거나, 보안 정책은 SM 컨테이너 외부에 있거나, SM 컨테이너 내부 및 외부에 보안 정책이 있다.
선택적으로, 사용자 평면 정보와 보안 정책 사이의 대응이 핸드오버 요청 메시지에서 SM 컨테이너 외부에 있고, AMF 노드가 사용자 평면 정보와 보안 정책 사이의 각각의 대응을 저장하는 경우, 예를 들어, AMF 노드는 표 3을 저장하고, AMF 노드는, 핸드오버 요청 메시지의 사용자 평면 정보에 대응하는 보안 정책이 표 3의 사용자 평면 정보에 대응하는 보안 정책과 동일한지 여부를 판정할 수 있다. AMF 노드는, 두 보안 정책이 동일한 경우, 사용자 평면 정보에 대응하는 보안 정책을 TgNB에 직접 송신할 수 있거나; 두 보안 정책이 상이한 경우, AMF 노드는 단계 903을 수행한다.
선택적으로, 핸드오버 요청 메시지에서 사용자 평면 정보와 SM 컨테이너 외부의 보안 정책 사이에 대응이 존재하지 않는 경우 단계 903이 수행된다.
단계 903: AMF 노드는 세션 핸드오버 요청 메시지를 SMF 노드에 송신하고, 세션 핸드오버 요청 메시지는 사용자 평면 정보를 전달한다. 이에 대응하여, SMF 노드는 세션 핸드오버 요청 메시지를 수신한다.
선택적으로, 세션 핸드오버 요청 메시지는 사용자 평면 정보와 보안 정책 사이의 대응을 더 포함하거나, 단계 902에서 수신된 SM 컨테이너를 더 포함한다.
단계 904: SMF 노드는 세션 핸드오버 요청 메시지에서 사용자 평면 정보에 대응하는 보안 정책을 결정한다.
SMF 노드는 사용자 평면 정보와 보안 정책 사이의 대응을 저장하거나 획득할 수 있다. 예를 들어, 표 3 또는 표 4를 참조할 수 있다. 표 3이 일 예로서 사용된다. 세션 핸드오버 요청 메시지의 사용자 평면 정보가 "PDU 세션 ID=1"인 경우, SMF 노드는 (사용자 평면 무결성 보호 알고리즘 1을 사용하고 사용자 평면 암호화 알고리즘 2를 사용하여) 보안 정책이 "NIA 1, NEA 2"인 것으로 결정할 수 있다.
선택적으로, SMF 노드가 사용자 평면 정보와 보안 정책 사이의 대응을 수신하거나 SM 컨테이너를 수신하고, SM 컨테이너가 사용자 평면 정보와 보안 정책 사이의 대응을 포함하는 경우, SMF 노드는, 수신된 사용자 평면 정보에 대응하는 보안 정책이, 표 3의 사용자 평면 정보에 대응하는 보안 정책과 동일한지 여부를 판정할 수 있다. 두 보안 정책이 동일한 경우, SgNB로부터의 보안 정책은 여전히 단말의 후속 핸드오버 절차를 위해 사용될 수 있는 것으로 결정되거나; 두 보안 정책이 상이한 경우, 표 3의 사용자 평면 정보에 대응하는 보안 정책이 단말의 후속 핸드오버 절차를 위해 사용되는 것으로 결정된다.
선택적으로, SMF 노드는 사용자 평면 정보만을 수신하거나 SM 컨테이너를 수신하고, SM 컨테이너는 사용자 평면 정보만을 포함한다. 이 경우, SMF 노드는 사용자 평면 정보에 대한 보안 정책을 결정할 필요가 있다.
선택적으로, SMF 노드는 사용자 평면 정보와 보안 정책 사이의 대응을 수신하거나 SM 컨테이너를 수신하고, SM 컨테이너는 사용자 평면 정보와 보안 정책 사이의 대응을 포함한다. 이 경우, SMF 노드는 수신된 보안 정책을 무시하고, 사용자 평면 정보에 기초하여 사용자 평면 정보에 대응하는 보안 정책을 재결정한다. 구체적으로, SMF 노드는 사용자 평면 정보와 보안 정책 사이에 있는 각각의 대응으로서 SMF 노드에 의해 미리 구성되거나 다른 네트워크 요소로부터 획득된 각각의 대응에 기초하여 사용자 평면 정보에 대응하는 보안 정책을 결정할 수 있다.
단계 905: SMF 노드는 세션 핸드오버 응답 메시지를 AMF 노드에 송신한다.
세션 핸드오버 응답 메시지는 사용자 평면 정보에 대응하는 보안 정책으로서 SMF 노드에 의해 결정되는 보안 정책을 포함한다.
단계 906: AMF 노드는 핸드오버 요청 메시지를 TgNB에 송신한다. 이에 대응하여, TgNB는 핸드오버 요청 메시지를 수신한다.
핸드오버 요청 메시지는 사용자 평면 정보 및 단말 보안 능력에 대응하는 보안 정책을 포함한다. 선택적으로, AMF 노드가 SM 컨테이너를 수신하는 경우, AMF 노드는 추가로 SM 컨테이너를 TgNB에 포워딩할 필요가 있다.
선택적으로, 단말의 핸드오버 효율을 향상시키기 위해, 핸드오버 요청 메시지는 사용자 평면 정보에 대응하는 보안 정책을 포함하지 않을 수 있고, SM 컨테이너만이 SgNB로부터의 사용자 평면 정보에 대응하는 보안 정책을 포함한다. 따라서, TgNB는 SM 컨테이너에서 보안 정책을 일시적으로 사용할 수 있다. 단말이 핸드오버 절차를 완료한 후, TgNB는 후속 PDU 세션 절차에서 새로운 보안 정책을 전달하도록 AMF 노드 또는 SMF 노드를 요청하거나, 단말이 세션 설정 또는 세션 수정 요청을 개시하는 경우, SMF는 TgNB에 보안 정책을 전달할 수 있다.
단계 907: TgNB는 제1 사용자 평면 보호 알고리즘을 결정하고, 제1 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성한다.
단계 907의 구체적인 구현 방법은 단계 604 및 605의 관련 설명과 동일하다는 점에 유의해야 한다. 세부 내용에 대해서는 여기서 다시 설명하지 않는다.
단계 908: TgNB는 핸드오버 요청 승인 메시지를 AMF 노드에 송신한다. 이에 대응하여, AMF 노드는 TgNB로부터 핸드오버 요청 승인 메시지를 수신한다.
단계 909: AMF 노드는 핸드오버 명령 메시지를 TgNB에 송신한다. 이에 대응하여, TgNB는 AMF 노드로부터 핸드오버 명령 메시지를 수신한다.
후속 절차에 대해서는 단계 608 내지 612의 관련 설명을 참조할 수 있다. 물론, 본 출원은 이에 제한되지 않는다.
본 개시의 실시 예들에서 제공되는 해결 방안은 주로 상이한 네트워크 요소 사이의 상호 작용의 관점에서 설명되었다. 전술한 기능을 구현하기 위해, 제1 액세스 네트워크 디바이스, 제2 액세스 네트워크 디바이스, AMF 노드, SMF 노드 및 단말은, 기능들을 수행하기 위한 대응하는 하드웨어 구조 및/또는 소프트웨어 모듈을 포함함을 이해할 수 있다. 본 개시에 개시된 실시 예들에서 설명된 각각의 예의 유닛들 및 알고리즘 단계들을 참조하여, 본 개시의 실시 예들은 하드웨어의 형태 또는 하드웨어 및 컴퓨터 소프트웨어의 조합으로 구현될 수 있다. 기능이 하드웨어에 의해, 또는 컴퓨터 소프트웨어에 의해 하드웨어를 구동하는 방식으로 구현되는지 여부는 구체적인 응용 및 기술적 해결 방안의 설계 제약 조건에 의존적이다. 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 설명된 기능을 구현하기 위해 구체적인 응용 각각에 대해 상이한 방법을 사용할 수 있지만, 해당 구현이 본 발명의 실시 예들의 기술적 해결 방안의 범위를 넘어서는 것으로 간주되어서는 안된다.
본 발명의 실시 예들에서, 기능 유닛 분할은, 전술한 방법 예들에 기초하여 제1 액세스 네트워크 디바이스, 제2 액세스 네트워크 디바이스, AMF 노드, SMF 노드, 단말 등에서 수행될 수 있다. 예를 들어, 각각의 기능 유닛은, 해당 기능에 기초하여 분할을 통해 획득될 수 있거나, 2 이상의 기능이 하나의 처리 유닛에 통합될 수 있다. 통합 유닛은 하드웨어 형태로 구현되거나, 소프트웨어 기능 유닛 형태로 구현될 수 있다. 본 개시의 실시 예들에서의 유닛 분할은 예일 뿐이고, 단지 논리적 기능 분할일 뿐이다. 실제 구현에는 다른 구분 방식이 있을 수 있다.
통합 유닛이 사용되는 경우, 도 10은 본 발명의 일 실시 예에 따른 장치의 개략 블록도이다. 장치는 소프트웨어 형태로 존재할 수 있거나, 제1 액세스 네트워크 디바이스일 수 있거나, 제1 액세스 네트워크 디바이스의 칩일 수 있다. 장치(1000)는 처리 유닛(1002) 및 제1 통신 유닛(1003)을 포함한다. 처리 유닛(1002)은 장치(1000)의 동작을 제어 및 관리하도록 구성된다. 예를 들어, 처리 유닛(1002)은 도 2의 단계 203, 도 3a 및 도 3b의 단계 303 내지 306, 도 4의 단계 403 및 404, 도 6의 단계 604, 605 및 611, 도 7a 및 도 7b의 단계 704, 705, 711, 713 및 714, 도 8의 단계 807, 도 9의 단계 907를 수행함에 있어서 장치(1000)를 지원하도록 구성되고, 및/또는, 본 명세서에서 설명된 기술의 다른 프로세스를 수행하도록 구성될 수 있다. 제1 통신 유닛(1003)은 장치(1000)와 다른 네트워크 요소(예를 들어, 제2 액세스 네트워크 디바이스, AMF 노드 또는 SMF 노드) 사이의 통신을 지원하도록 구성된다. 장치(1000)는, 장치(1000)와 단말 사이의 통신을 지원하도록 구성된, 제2 통신 유닛(1004)을 더 포함할 수 있다. 장치(1000)는, 장치(1000)의 프로그램 코드 및 데이터를 저장하도록 구성된, 저장 유닛(1001)을 더 포함할 수 있다.
처리 유닛(1002)은 프로세서 또는 컨트롤러, 예를 들어, 중앙 처리 유닛(Central Processing Unit, CPU), 범용 프로세서, 디지털 신호 프로세서(Digital Signal Processor, DSP), ASIC(Application-Specific Integrated Circuit), FPGA(Field Programmable Gate Array) 또는 다른 프로그램 가능한 논리 디바이스, 트랜지스터 논리 디바이스, 하드웨어 구성 요소 또는 이들의 임의의 조합일 수 있다. 처리 유닛(1002)은 본 개시에 개시된 컨텐츠를 참조하여 설명된 다양한 예시적인 논리 블록, 모듈 및 회로를 구현 또는 실행할 수 있다. 대안적으로, 처리 유닛(1002)은 컴퓨팅 기능을 구현하기 위한 조합, 예를 들어, 하나 이상의 마이크로 프로세서의 조합 또는 DSP와 마이크로 프로세서의 조합일 수 있다. 제1 통신 유닛(1003)은 통신 인터페이스일 수 있고, 통신 인터페이스는 일반적인 용어이다. 특정 구현에서, 통신 인터페이스는 복수의 인터페이스를 포함할 수 있으며, 예를 들어, 액세스 네트워크 디바이스들 사이의 인터페이스, 액세스 네트워크 디바이스와 코어 네트워크 디바이스 사이의 인터페이스, 및/또는 다른 인터페이스를 포함할 수 있다. 제2 통신 유닛(1004)은 트랜시버, 트랜시버 회로 등일 수 있다. 저장 유닛(1001)은 메모리일 수 있다.
통합 유닛이 사용되는 경우, 도 11은 본 발명의 일 실시 예에 따른 다른 장치의 개략 블록도이다. 장치는 소프트웨어의 형태로 존재할 수 있거나, 제2 액세스 네트워크 디바이스일 수 있거나, 제2 액세스 네트워크 디바이스의 칩일 수 있다. 장치(1100)는, 처리 유닛(1102), 제1 통신 유닛(1103) 및 제2 통신 유닛(1104)을 포함한다. 처리 유닛(1102)은 장치(1100)의 동작을 제어 및 관리하도록 구성된다. 예를 들어, 처리 유닛(1102)은 도 2의 단계 201, 도 3a의 단계 301, 도 6의 단계 602, 도 7a의 단계 702를 수행함에 있어서 장치(1000)를 지원하도록 구성되고, 및/또는, 본 명세서에서 설명된 기술의 다른 프로세스를 수행하도록 구성될 수 있다. 제1 통신 유닛(1103)은 장치(1100)와 다른 액세스 네트워크 디바이스, AMF 노드 또는 SMF 노드 사이의 통신을 지원하도록 구성된다. 제2 통신 유닛(1104)은 장치(1100)와 단말 사이의 통신을 지원하도록 구성된다. 장치(1100)는, 장치(1100)의 프로그램 코드 및 데이터를 저장하도록 구성된, 저장 유닛(1101)을 더 포함할 수 있다.
처리 유닛(1102)은 프로세서 또는 컨트롤러, 예를 들어, CPU, 범용 프로세서, DSP, ASIC, FPGA 또는 다른 프로그램 가능한 논리 디바이스, 트랜지스터 논리 디바이스, 하드웨어 구성 요소 또는 이들의 임의의 조합일 수 있다. 처리 유닛(1102)은 본 개시에 개시된 내용을 참조하여 설명된 다양한 예시적인 논리 블록, 모듈 및 회로를 구현 또는 실행할 수 있다. 대안적으로, 프로세서는 컴퓨팅 기능을 구현하기 위한 조합, 예를 들어, 하나 이상의 마이크로 프로세서의 조합 또는 DSP와 마이크로 프로세서의 조합일 수 있다. 제1 통신 유닛(1103)은 통신 인터페이스일 수 있고, 통신 인터페이스는 일반적인 용어이다. 특정 구현에서, 통신 인터페이스는 복수의 인터페이스를 포함할 수 있으며, 예를 들어, 액세스 네트워크 디바이스들 사이의 인터페이스, 액세스 네트워크 디바이스와 코어 네트워크 디바이스 사이의 인터페이스, 및/또는 다른 인터페이스를 포함할 수 있다. 제2 통신 유닛(1104)은 트랜시버, 트랜시버 회로 등일 수 있다. 저장 유닛(1101)은 메모리일 수 있다.
처리 유닛(1002)이 프로세서인 경우, 제1 통신 유닛(1003)은 통신 인터페이스이고, 제2 통신 유닛(1004)은 전송기/수신기이고, 저장 유닛(1001)은 메모리이고, 본 개시의 실시 예의 장치(1000)의 구조는 도 12에 도시된 액세스 네트워크 디바이스의 구조일 수 있다. 처리 유닛(1102)이 프로세서인 경우, 제1 통신 유닛(1103)은 통신 인터페이스이고, 제2 통신 유닛(1104)은 전송기/수신기이고, 저장 유닛(1101)은 메모리이고, 본 개시의 실시 예의 장치(1100)의 구조는 도 12에 도시된 액세스 네트워크 디바이스의 구조일 수 있다.
도 12는 본 개시의 일 실시 예에 따른 액세스 네트워크 디바이스의 가능한 개략 구조도이다.
액세스 네트워크 디바이스(1200)는 프로세서(1202) 및 통신 인터페이스(1204)를 포함한다. 프로세서(1202)는 또한 제어기일 수 있으며, 도 12에서 "제어기/프로세서(1202)"로 표시된다. 통신 인터페이스(1204)는 액세스 네트워크 디바이스와 다른 네트워크 요소(예를 들어, 다른 액세스 네트워크 디바이스, AMF 노드 또는 SMF 노드) 사이의 통신을 지원하도록 구성된다. 또한, 액세스 네트워크 디바이스(1200)는 전송기/수신기(1201)를 포함할 수 있다. 전송기/수신기(1201)는 전술한 실시 예에서 단말로부터 정보를 수신하고 단말에 정보를 송신함에 있어서 액세스 네트워크 디바이스를 지원하고, 다른 단말과 무선 통신을 수행함에 있어서 액세스 네트워크 디바이스를 지원하도록 구성된다. 프로세서(1202)는 단말과 통신하기 위한 다양한 기능을 수행한다. 업링크 상에서, 단말로부터의 업링크 신호는 안테나를 사용하여 수신되고, 수신기(1201)에 의해 복조되고(예를 들어, 고주파 신호가 기저 대역 신호로 복조되고), 프로세서(1202)에 의해 추가적으로 처리되어, 단말에 의해 송신된 서비스 데이터 및 시그널링 정보를 복원한다. 다운링크 상에서, 서비스 데이터 및 시그널링 메시지는 프로세서(1202)에 의해 처리되고, 전송기(1201)에 의해 변조되어(예를 들어, 기저 대역 신호가 고주파 신호로 변조되어) 다운링크 신호를 생성하고, 안테나를 이용하여 다운링크 신호가 단말에 송신된다. 전술한 복조 또는 변조 기능은 프로세서(1202)에 의해 구현될 수 있음에 유의해야 한다.
예를 들어, 액세스 네트워크 디바이스(1200)가 제1 액세스 네트워크 디바이스인 경우, 프로세서(1202)는 도 2 내지 도 9에 도시된 방법의 제1 액세스 네트워크 디바이스의 프로세스 및/또는 본 출원에서 설명된 기술적 해결 방안의 프로세스를 프로세싱하는 것을 수행하도록 추가로 구성되거나; 액세스 네트워크 디바이스(1200)가 제2 액세스 네트워크 디바이스인 경우, 프로세서(1202)는 도 2, 도 3a 및 도 3b, 도 6, 도 7a 및 도 7b, 도 9에 도시된 방법의 제2 액세스 네트워크 디바이스의 프로세스 및/또는 본 출원에서 설명된 기술적 해결 방안의 프로세스를 프로세싱하는 것을 수행하도록 추가로 구성된다.
또한, 액세스 네트워크 디바이스(1200)는 메모리(1203)를 포함할 수 있고, 메모리(1203)는 액세스 네트워크 디바이스(1200)의 프로그램 코드 및 데이터를 저장하도록 구성된다.
도 12는 액세스 네트워크 디바이스(1200)의 단순화된 설계만을 도시함을 이해할 수 있다. 실제 응용에서, 액세스 네트워크 디바이스(1200)는 임의의 수량의 전송기, 수신기, 프로세서, 제어기, 메모리, 통신 유닛 등을 포함할 수 있으며, 본 개시의 실시 예들을 구현할 수 있는 모든 액세스 네트워크 디바이스는 본 개시의 실시 예들의 보호 범위 내에 속한다.
통합 유닛이 사용되는 경우, 도 13은 본 개시의 일 실시 예에 따른 다른 장치의 가능한 예시적인 블록도이다. 장치(1300)는 소프트웨어 형태로 존재할 수 있거나, AMF 노드일 수 있거나, AMF 노드의 칩일 수 있다. 장치(1300)는 처리 유닛(1302) 및 통신 유닛(1303)을 포함한다. 처리 유닛(1302)은 장치(1300)의 동작을 제어 및 관리하도록 구성된다. 예를 들어, 처리 유닛(1302)은 도 8의 단계 802를 수행함에 있어서 장치(1300)를 지원하도록 구성되고, 및/또는 본 명세서에서 설명된 기술의 다른 프로세스를 수행하도록 구성될 수 있다. 통신 유닛(1303)은 장치(1300)와 다른 네트워크 엔티티(예를 들어, 액세스 네트워크 디바이스 및 SMF 노드) 사이의 통신을 지원하도록 구성된다. 장치(1300)는, 장치(1300)의 프로그램 코드 및 데이터를 저장하도록 구성된, 저장 유닛(1301)을 더 포함할 수 있다.
처리 유닛(1302)은 프로세서 또는 컨트롤러, 예를 들어, CPU, 범용 프로세서, DSP, ASIC, FPGA 또는 다른 프로그램 가능한 논리 디바이스, 트랜지스터 논리 디바이스, 하드웨어 구성 요소, 또는 이들의 임의의 조합일 수 있다. 처리 유닛(1302)은 본 개시에 개시된 컨텐츠를 참조하여 설명된 다양한 예시적인 논리 블록, 모듈 및 회로를 구현 또는 실행할 수 있다. 대안적으로, 프로세서는 컴퓨팅 기능을 구현하기 위한 조합, 예를 들어, 하나 이상의 마이크로 프로세서의 조합 또는 DSP와 마이크로 프로세서의 조합일 수 있다. 통신 유닛(1303)은 통신 인터페이스, 트랜시버, 트랜시버 회로 등일 수 있고, 통신 인터페이스는 일반적인 용어이다. 특정 구현에서, 통신 인터페이스는 복수의 인터페이스를 포함할 수 있으며, 예를 들어, AMF 노드와 액세스 네트워크 디바이스 사이의 인터페이스 및/또는 다른 인터페이스를 포함할 수 있다. 저장 유닛(1301)은 메모리일 수 있다.
처리 유닛(1302)이 프로세서이고, 통신 유닛(1303)이 통신 인터페이스이고, 저장 유닛(1301)이 메모리인 경우, 본 개시의 본 실시 예의 장치(1300)는 도 14에 도시된 AMF 노드일 수 있다.
도 14에 도시된 바와 같이, AMF 노드(1400)는 프로세서(1402), 통신 인터페이스(1403) 및 메모리(1401)를 포함한다. 선택적으로, AMF 노드(1400)는 버스(1404)를 더 포함할 수 있다. 통신 인터페이스(1403), 프로세서(1402) 및 메모리(1401)는 버스(1404)를 사용하여 서로 연결될 수 있다. 버스(1404)는 PCI(Peripheral Component Interconnect) 버스, EISA(Extended Industry Standard Architecture) 버스 등일 수 있다. 버스(1404)는 어드레스 버스, 데이터 버스, 제어 버스 등으로 분류될 수 있다. 표시의 용이성을 위해, 버스는 도 14에서 하나의 굵은 선만을 사용하여 표시된다. 그러나, 이것은 하나의 버스만 또는 하나의 버스 유형만 존재함을 나타내는 것은 아니다.
통합 유닛이 사용되는 경우, 도 15는 본 개시의 일 실시 예에 따른 다른 장치의 가능한 예시적인 블록도이다. 장치(1500)는 소프트웨어의 형태로 존재할 수 있거나, SMF 노드일 수 있거나, SMF 노드의 칩일 수 있다. 장치(1500)는 처리 유닛(1502) 및 통신 유닛(1503)을 포함한다. 처리 유닛(1502)은 장치(1500)의 동작을 제어 및 관리하도록 구성된다. 예를 들어, 처리 유닛(1502)은 도 5의 단계 503, 도 8의 단계 804 및 도 9의 단계 904를 수행함에 있어서 장치(1500)를 지원하도록 구성되고, 및/또는 본 명세서에서 설명된 기술의 다른 프로세스를 수행하도록 구성될 수 있다. 통신 유닛(1503)은 장치(1500)와 다른 네트워크 엔티티(예를 들어, 액세스 네트워크 디바이스 및 SMF 노드) 사이의 통신을 지원하도록 구성된다. 장치(1500)는, 장치(1500)의 프로그램 코드 및 데이터를 저장하도록 구성된, 저장 유닛(1501)을 더 포함할 수 있다.
처리 유닛(1502)은 프로세서 또는 컨트롤러, 예를 들어, CPU, 범용 프로세서, DSP, ASIC, FPGA 또는 다른 프로그램 가능 논리 디바이스, 트랜지스터 논리 디바이스, 하드웨어 구성 요소, 또는 이들의 임의의 조합일 수 있다. 처리 유닛(1502)은 본 개시에 개시된 내용을 참조하여 설명된 다양한 예시적인 논리 블록, 모듈 및 회로를 구현 또는 실행할 수 있다. 대안적으로, 프로세서는 컴퓨팅 기능을 구현하기 위한 조합, 예를 들어, 하나 이상의 마이크로 프로세서의 조합 또는 DSP와 마이크로 프로세서의 조합일 수 있다. 통신 유닛(1503)은 통신 인터페이스, 트랜시버, 트랜시버 회로 등일 수 있고, 통신 인터페이스는 일반적인 용어이다. 특정 구현에서, 통신 인터페이스는 복수의 인터페이스를 포함할 수 있으며, 예를 들어, SMF 노드와 액세스 네트워크 디바이스 사이의 인터페이스 및/또는 다른 인터페이스를 포함할 수 있다. 저장 유닛(1501)은 메모리일 수 있다.
처리 유닛(1502)이 프로세서이고, 통신 유닛(1503)이 통신 인터페이스이고, 저장 유닛(1501)이 메모리인 경우, 본 개시의 본 실시 예의 장치(1500)는 도 16에 도시된 SMF 노드일 수 있다.
도 16에 도시된 바와 같이, SMF 노드(1600)는 프로세서(1602), 통신 인터페이스(1603) 및 메모리(1601)를 포함한다. 선택적으로, SMF 노드(1600)는 버스(1604)를 더 포함할 수 있다. 통신 인터페이스(1603), 프로세서(1602) 및 메모리(1601)는 버스(1604)를 사용하여 서로 연결될 수 있다. 버스(1604)는 PCI(Peripheral Component Interconnect) 버스, EISA(Extended Industry Standard Architecture) 버스 등일 수 있다. 버스(1604)는 어드레스 버스, 데이터 버스, 제어 버스 등으로 분류될 수 있다. 표시의 용이성을 위해, 버스는 도 16에서 하나의 굵은 선만을 사용하여 표시된다. 그러나, 이것은 하나의 버스만 또는 하나의 버스 유형만 존재함을 나타내는 것은 아니다.
통합 유닛이 사용되는 경우, 도 17은 본 발명의 일 실시 예에 따른 또 다른 장치의 개략 블록도이다. 장치(1700)는 소프트웨어의 형태로 존재할 수 있거나, 단말일 수 있거나, 단말의 칩일 수 있다. 장치(1700)는 처리 유닛(1702) 및 통신 유닛(1703)을 포함한다. 처리 유닛(1702)은 장치(1700)의 동작을 제어 및 관리하도록 구성된다. 예를 들어, 처리 유닛(1702)은 도 3b의 단계 308, 도 6의 단계 608, 도 7a의 단계 708 및 도 8의 단계 809를 수행함에 있어서 장치(1700)를 지원하도록 구성되고, 및/또는 본 명세서에서 설명된 기술의 다른 프로세스를 수행하도록 구성될 수 있다. 통신 유닛(1703)은 장치(1700)와 다른 네트워크 엔티티(예를 들어, 액세스 네트워크 디바이스) 사이의 통신을 지원하도록 구성된다. 장치(1700)는, 장치(1700)의 프로그램 코드 및 데이터를 저장하도록 구성된, 저장 유닛(1701)을 더 포함할 수 있다.
처리 유닛(1702)은 프로세서 또는 컨트롤러, 예를 들어, CPU, 범용 프로세서, DSP, ASIC, FPGA 또는 다른 프로그램 가능 논리 디바이스, 트랜지스터 논리 디바이스, 하드웨어 구성 요소, 또는 이들의 임의의 조합일 수 있다. 처리 유닛(1702)은 본 개시에 개시된 컨텐츠를 참조하여 설명된 다양한 예시적인 논리 블록, 모듈 및 회로를 구현 또는 실행할 수 있다. 대안적으로, 프로세서는 컴퓨팅 기능을 구현하기 위한 조합, 예를 들어, 하나 이상의 마이크로 프로세서의 조합 또는 DSP와 마이크로 프로세서의 조합일 수 있다. 통신 유닛(1703)은 트랜시버, 트랜시버 회로, 통신 인터페이스 등일 수 있다. 저장 유닛(1701)은 메모리일 수 있다.
처리 유닛(1702)이 프로세서이고, 통신 유닛(1703)이 트랜시버이고, 저장 유닛(1701)이 메모리인 경우, 본 개시의 본 실시 예의 단말은 도 18에 도시된 단말일 수 있다.
도 18은 본 개시의 일 실시 예의 단말의 가능한 설계 구조의 단순화된 개략도이다. 단말(1800)은 전송기(1801), 수신기(1802) 및 프로세서(1803)를 포함한다. 프로세서(1803)는 또한 제어기일 수 있으며, 도 18에서 "제어기/프로세서(1803)"로 표시된다. 선택적으로, 단말(1800)은 모뎀 프로세서(1805)를 더 포함할 수 있고, 모뎀 프로세서(1805)는 인코더(1806), 변조기(1807), 디코더(1808) 및 복조기(1809)를 포함할 수 있다.
일 예에서, 전송기(1801)는 출력 샘플을 조정(예를 들어, 아날로그 변환, 필터링, 증폭 및 상향 변환(up-conversion)을 수행)하고 업링크 신호를 생성한다. 업링크 신호는 안테나를 사용하여 전술한 실시 예들의 기지국에 송신된다. 다운링크에서, 안테나는 전술한 실시 예들의 기지국에 의해 전송되는 다운링크 신호를 수신한다. 수신기(1802)는 안테나로부터 수신되는 신호를 조정(예를 들어, 필터링, 증폭, 하향 변환(down-conversion) 및 디지털화(digitization)를 수행)하고 입력 샘플을 제공한다. 모뎀 프로세서(1805)에서, 인코더(1807)는 업링크를 통해 송신될 서비스 데이터 및 시그널링 메시지를 수신하고, 서비스 데이터 및 시그널링 메시지를 처리(예를 들어, 포맷팅, 인코딩 및 인터리빙을 수행)한다. 변조기(1807)는 인코딩된 서비스 데이터 및 인코딩된 시그널링 메시지를 추가로 처리(예를 들어, 심볼 매핑 및 변조를 수행)하고, 출력 샘플을 제공한다. 복조기(1809)는 입력 샘플을 처리(예를 들어, 복조를 수행)하고 심볼 추정을 제공한다. 디코더(1808)는 심볼 추정을 처리(예를 들어, 디인터리빙 및 디코딩을 수행)하고, 디코딩되어 단말(1800)에 송신되는 데이터 및 시그널링 메시지를 제공한다. 인코더(1807), 변조기(1807), 복조기(1809) 및 디코더(1808)는 통합 모뎀 프로세서(1805)로 구현될 수 있다. 유닛들은 무선 액세스 네트워크에서 사용되는 무선 액세스 기술(예를 들어, LTE의 액세스 기술 및 다른 진화된 시스템)에 기초하여 처리를 수행한다. 단말(1800)이 모뎀 프로세서(1805)를 포함하지 않는 경우, 모뎀 프로세서(1805)의 전술한 기능들은 프로세서(1803)에 의해 구현될 수 있음에 유의해야 한다.
프로세서(1803)는 단말(1800)의 동작을 제어 및 관리하며, 본 발명의 전술한 실시 예들에서 단말(1800)에 의해 수행되는 프로세스를 처리하는 것을 수행하도록 구성된다. 예를 들어, 프로세서(1803)는, 도 3a 내지 도 6에 도시된 방법의 단말의 프로세스 및/또는 본 출원에서 설명된 기술적 해결 방안의 다른 프로세스를 처리하는 것을 수행하도록 추가로 구성된다.
또한, 단말(1800)은 메모리(1804)를 포함할 수 있고, 메모리(1804)는 단말(1800)에 사용되는 프로그램 코드 및 데이터를 저장하도록 구성된다.
본 출원에 개시된 내용을 참조하여 설명되는 방법 또는 알고리즘 단계는 하드웨어 방식으로 구현될 수 있거나, 프로세서에 의해 소프트웨어 인스트럭션을 실행하는 방식으로 구현될 수 있다. 소프트웨어 인스트럭션은 대응하는 소프트웨어 모듈을 포함할 수 있다. 소프트웨어 모듈은 랜덤 액세스 메모리(Random Access Memory, RAM), 플래시 메모리, 읽기 전용 메모리(Read-Only Memory, ROM), EPROM(Erasable Programmable ROM), EEPROM(Electrically EPROM), 레지스터, 하드 디스크, 이동식 하드 디스크, CD-ROM(compact disc read-only memory) 또는 해당 기술에서 널리 알려진 임의의 다른 형태의 저장 매체에 저장될 수 있다. 예시적인 저장 매체는 프로세서에 연결되어, 프로세서는 저장 매체로부터 정보를 판독할 수 있고, 저장 매체에 정보를 기록할 수 있다. 물론, 저장 매체는 프로세서의 구성 요소일 수 있다. 프로세서 및 저장 매체는 ASIC에 위치할 수 있다. 또한, ASIC은 코어 네트워크 인터페이스 디바이스에 위치할 수 있다. 물론, 프로세서 및 저장 매체는 개별 구성 요소로서 코어 네트워크 인터페이스 디바이스에 존재할 수 있다.
본 출원에 제공되는 여러 실시 예에서, 개시된 시스템, 장치 및 방법은 다른 방식으로 구현될 수 있음을 이해해야 한다. 예를 들어, 설명된 장치 실시 예는 단지 일 예일 뿐이다. 예를 들어, 유닛 분할은 단지 논리적 기능 분할일 뿐이며 실제 구현에서는 다른 분할일 수 있다. 예를 들어, 복수의 유닛 또는 구성 요소가 다른 시스템에 결합되거나 통합될 수 있거나, 일부 특징이 무시되거나 수행되지 않을 수 있다. 또한, 디스플레이되거나 논의되는 상호 결합 또는 직접 결합 또는 통신 연결은 일부 인터페이스를 통해 구현될 수 있다. 장치 또는 유닛 사이의 간접 결합 또는 통신 연결은 전자 또는 다른 형태로 구현될 수 있다.
별도의 부분으로 설명되는 유닛은 물리적으로 분리될 수 있거나 물리적으로 분리되지 않을 수 있고, 유닛으로서 표시되는 부분은 물리적 유닛일 수 있거나 아닐 수 있거나, 한 지점에 위치하거나, 복수의 네트워크 디바이스에 분산될 수 있다. 유닛의 일부 또는 전부는 실시 예들의 해결 방안의 목적을 달성하기 위한 실제 요구에 기초하여 선택될 수 있다.
또한, 본 발명의 실시 예들에서의 기능 유닛은 하나의 처리 유닛에 통합될 수 있거나, 또는 각각의 기능 유닛은 단독으로 존재할 수 있거나, 또는 2 이상의 유닛이 하나의 유닛에 통합될 수 있다. 통합 유닛은 하드웨어 형태로 구현될 수 있거나, 소프트웨어 기능 유닛 이외에 하드웨어 형태로 구현될 수 있다.
전술한 구현의 설명에 기초하여, 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자는 본 출원이, 필요한 범용 하드웨어에 추가로 소프트웨어에 의해, 또는 확실히 하드웨어에 의해서만 구현될 수 있음을 명확하게 이해할 수 있다. 대부분의 경우, 전자가 선호되는 구현이다. 이러한 이해에 기초하여, 본 출원의 기술적 해결 방안은 본질적으로, 또는 종래 기술에 기여하는 부분이, 소프트웨어제품의 형태로 구현될 수 있다. 컴퓨터 소프트웨어 제품은 플로피 디스크, 하드 디스크 또는 컴퓨터의 광 디스크와 같은 판독 가능한 저장 매체에 저장되며, 컴퓨터 디바이스(개인용 컴퓨터, 서버, 네트워크 디바이스 등)가 본 출원의 실시 예들에서 설명된 방법을 수행하도록 지시하기 위한 여러 인스트럭션을 포함한다.
전술한 설명은 본 출원의 특정 구현일 뿐이며, 본 출원의 보호 범위를 제한하려는 것은 아니다. 본 출원에 개시된 모든 변형 또는 대체는 본 출원의 보호 범위에 속한다. 따라서, 본 출원의 보호 범위는 청구 범위의 보호 범위에 따른다.

Claims (88)

  1. 보안 보호 방법으로서,
    제1 액세스 네트워크 디바이스에 의해, 제2 액세스 네트워크 디바이스로부터 사용자 평면 정보와 보안 정책 사이의 대응(correspondence)을 수신하는 단계; 및
    상기 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 상기 대응에 기초하여, 상기 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 단계 - 여기서, 상기 제1 사용자 평면 보호 알고리즘은, 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 - 를 포함하는
    보안 보호 방법.
  2. 제1항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 상기 제1 사용자 평면 보호 알고리즘이 시그널링 평면 보호 알고리즘인 것으로 결정하는 단계를 더 포함하는 보안 보호 방법.
  3. 제1항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 시그널링 평면 보호 알고리즘을 결정하는 단계 - 여기서, 상기 시그널링 평면 보호 알고리즘은, 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 - 를 더 포함하는 보안 보호 방법.
  4. 제2항 또는 제3항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 상기 제2 액세스 네트워크 디바이스를 사용하여 제1 표시 정보를 단말에 송신하는 단계 - 여기서, 상기 제1 표시 정보는, 상기 제1 사용자 평면 보호 알고리즘이 상기 시그널링 평면 보호 알고리즘과 동일함을 표시하기 위해 사용되거나, 상기 제1 표시 정보는, 상기 제1 액세스 네트워크 디바이스에 의해 결정된 상기 시그널링 평면 보호 알고리즘의 식별자를 표시하기 위해 사용됨 - 를 더 포함하는 보안 보호 방법.
  5. 제1항 내지 제4항 중 어느 한 항에 있어서,
    상기 보안 정책은 인에이블된(enabled) 보안 보호 유형을 표시하기 위해 사용되고, 상기 보안 보호 유형은, 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호 중 하나 또는 모두를 포함하고, 상기 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 상기 대응에 기초하여, 상기 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 단계는,
    상기 제1 액세스 네트워크 디바이스에 의해, 상기 보안 정책에 의해 표시되는 상기 인에이블된 보안 보호 유형에 대응하는 상기 제1 사용자 평면 보호 알고리즘을 결정하는 단계를 포함하는, 보안 보호 방법.
  6. 제2항 또는 제3항에 있어서,
    상기 보안 정책은 사용자 평면 보호 알고리즘 식별자를 포함하고, 상기 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 상기 대응에 기초하여, 상기 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 단계는,
    상기 제1 액세스 네트워크 디바이스에 의해, 상기 사용자 평면 보호 알고리즘 식별자에 대응하는 제2 사용자 평면 보호 알고리즘을 결정하는 단계; 및
    상기 제1 액세스 네트워크 디바이스 및 단말 모두가 상기 제2 사용자 평면 보호 알고리즘을 지원하는 경우, 상기 제1 액세스 네트워크 디바이스에 의해, 상기 제2 사용자 평면 보호 알고리즘이 상기 제1 사용자 평면 보호 알고리즘인 것으로 결정하거나; 상기 제1 액세스 네트워크 디바이스 또는 단말 중 어느 하나가 상기 제2 사용자 평면 보호 알고리즘을 지원하지 않는 경우, 상기 제1 액세스 네트워크 디바이스에 의해, 상기 제2 사용자 평면 보호 알고리즘이 속하는 보안 보호 유형에 대응하는 보안 알고리즘 세트로부터, 상기 제1 액세스 네트워크 디바이스 및 상기 단말 모두에 의해 지원되는 상기 제1 사용자 평면 보호 알고리즘을 선택하는 단계를 포함하는, 보안 보호 방법.
  7. 제1항 내지 제6항 중 어느 한 항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 상기 제1 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성하는 단계 - 여기서, 상기 사용자 평면 보호 키는, 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키 중 하나 또는 모두를 포함함 - 를 더 포함하는 보안 보호 방법.
  8. 제2항 또는 제3항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 상기 시그널링 평면 보호 알고리즘에 따라 시그널링 평면 보호 키를 생성하는 단계 - 여기서, 상기 시그널링 평면 보호 키는, 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키 중 하나 또는 모두를 포함함 - 를 더 포함하는 보안 보호 방법.
  9. 제7항 또는 제8항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 상기 제2 액세스 네트워크 디바이스를 사용하여 상기 단말에, 상기 사용자 평면 무결성 보호 키 또는 상기 시그널링 평면 무결성 보호 키를 사용하여 보호되는 제1 메시지를 송신하는 단계 - 여기서, 상기 제1 메시지는 상기 제1 사용자 평면 보호 알고리즘을 포함함 - 를 더 포함하는 보안 보호 방법.
  10. 제9항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 상기 단말로부터, 상기 사용자 평면 보호 키 또는 상기 시그널링 평면 보호 키를 사용하여 보호되는 제2 메시지를 수신하는 단계 - 여기서, 상기 제2 메시지는 상기 제1 메시지에 대한 응답 메시지임 - 를 더 포함하는 보안 보호 방법.
  11. 제1항 내지 제10항 중 어느 한 항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 상기 대응을, 액세스 및 이동성 관리 기능(access and mobility management function, AMF) 노드에 송신하는 단계; 및
    상기 제1 액세스 네트워크 디바이스가 상기 AMF 노드로부터 보안 정책을 수신한 경우, 상기 제1 액세스 네트워크 디바이스에 의해, 상기 AMF 노드로부터의 상기 보안 정책에 따라 상기 제1 사용자 평면 보호 알고리즘 및 상기 사용자 평면 보호 키를 재결정하는 단계 - 여기서, 상기 AMF 노드로부터의 상기 보안 정책은 상기 제2 액세스 네트워크 디바이스로부터의 보안 정책과 상이함 - 를 더 포함하는 보안 보호 방법.
  12. 제1항 내지 제10항 중 어느 한 항에 있어서,
    상기 보안 보호 방법은,
    상기 제1 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 상기 대응을, 액세스 및 이동성 관리 기능(AMF) 노드에 송신하는 단계; 및
    상기 제1 액세스 네트워크 디바이스가 상기 AMF 노드로부터 제2 표시 정보를 수신하고, 상기 AMF 노드로부터 보안 정책을 수신하지 않는 경우, 상기 제1 액세스 네트워크 디바이스에 의해, 디폴트(default) 보안 정책에 따라 상기 제1 사용자 평면 보호 알고리즘 및 상기 사용자 평면 보호 키를 재결정하는 단계 - 여기서, 상기 제2 표시 정보는 상기 제1 액세스 네트워크 디바이스가 상기 제2 액세스 네트워크 디바이스로부터의 보안 정책을 사용할 수 없음을 표시함 - 를 더 포함하는 보안 보호 방법.
  13. 보안 보호 방법으로서,
    제2 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 대응을 획득하는 단계; 및
    상기 제2 액세스 네트워크 디바이스에 의해, 사용자 평면 정보와 보안 정책 사이의 상기 대응을 제1 액세스 네트워크 디바이스에 송신하는 단계를 포함하는
    보안 보호 방법.
  14. 보안 보호 방법으로서,
    액세스 및 이동성 관리 기능(AMF) 노드에 의해, 사용자 평면 정보와 보안 정책 사이의 대응을 타깃 액세스 네트워크 디바이스로부터 수신하는 단계;
    상기 AMF 노드에 의해, 사용자 평면 정보와 보안 정책 사이의 상기 대응을 세션 관리 기능(Session Management Function, SMF) 노드에 송신하는 단계;
    상기 AMF 노드에 의해, 상기 SMF 노드로부터, 상기 사용자 평면 정보에 기초하여 상기 SMF 노드에 의해 재선택된 보안 정책 또는 표시 정보를 수신하는 단계 - 여기서, 상기 표시 정보는 상기 타깃 액세스 네트워크가 현재 사용되는 보안 정책을 계속 사용함을 표시하기 위해 사용됨 -; 및
    상기 AMF 노드에 의해, 상기 재선택된 보안 정책 또는 상기 표시 정보를 상기 타깃 액세스 네트워크 디바이스에 송신하는 단계를 포함하는
    보안 보호 방법.
  15. 보안 보호 방법으로서,
    세션 관리 기능(SMF) 노드에 의해, 사용자 평면 정보와 보안 정책 사이의 대응을 액세스 및 이동성 관리 기능(AMF) 노드로부터 수신하는 단계;
    상기 SMF 노드에 의해, 수신된 사용자 평면 정보에 대응하는 보안 정책이, 상기 사용자 평면 정보에 대응하되 상기 SMF 노드에 의해 저장된 보안 정책과 동일한지 여부를 판정하는 단계; 및
    상기 SMF 노드에 의해 수신된 상기 사용자 평면 정보에 대응하는 상기 보안 정책이, 상기 사용자 평면 정보에 대응하되 상기 SMF 노드에 의해 저장된 상기 보안 정책과 상이한 경우, 상기 SMF 노드에 의해, 상기 AMF 노드에, 상기 사용자 평면 정보에 대응하되 상기 SMF 노드에 의해 저장된 상기 보안 정책을 송신하는 단계를 포함하는
    보안 보호 방법.
  16. 제15항에 있어서,
    상기 SMF 노드에 의해 수신된 상기 사용자 평면 정보에 대응하는 상기 보안 정책이, 상기 사용자 평면 정보에 대응하되 상기 SMF 노드에 의해 저장된 상기 보안 정책과 동일한 경우, 상기 SMF 노드에 의해, 제2 표시 정보를 상기 AMF 노드에 송신하는 단계를 포함하는, 보안 보호 방법.
  17. 제1 통신 유닛 및 처리 유닛을 포함하는 장치로서,
    상기 제1 통신 유닛은, 제2 액세스 네트워크 디바이스로부터 사용자 평면 정보와 보안 정책 사이의 대응을 수신하도록 구성되고;
    상기 처리 유닛은, 상기 제1 통신 유닛에 의해 수신된, 사용자 평면 정보와 보안 정책 사이의 상기 대응에 기초하여, 사용자 평면 정보에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하도록 구성되는 - 여기서, 상기 제1 사용자 평면 보호 알고리즘은 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 -,
    장치.
  18. 제17항에 있어서,
    상기 처리 유닛은, 상기 제1 사용자 평면 보호 알고리즘이 시그널링 평면 보호 알고리즘인 것으로 결정하도록 추가로 구성되는, 장치.
  19. 제17항에 있어서,
    상기 처리 유닛은, 시그널링 평면 보호 알고리즘을 결정하도록 추가로 구성되는 - 여기서, 상기 시그널링 평면 보호 알고리즘은, 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 -, 장치.
  20. 제18항 또는 제19항에 있어서,
    상기 제1 통신 유닛은, 상기 제2 액세스 네트워크 디바이스를 사용하여 제1 표시 정보를 단말에 송신하도록 추가로 구성되는 - 여기서, 상기 제1 표시 정보는, 상기 제1 사용자 평면 보호 알고리즘이 상기 시그널링 평면 보호 알고리즘과 동일함을 표시하기 위해 사용되거나, 상기 제1 표시 정보는, 상기 제1 액세스 네트워크 디바이스에 의해 결정된 상기 시그널링 평면 보호 알고리즘의 식별자를 표시하기 위해 사용됨 -, 장치.
  21. 제17항 내지 제20항 중 어느 한 항에 있어서,
    상기 보안 정책은 인에이블된 보안 보호 유형을 표시하기 위해 사용되고, 상기 보안 보호 유형은, 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호 중 하나 또는 모두를 포함하고, 상기 처리 유닛은 구체적으로, 상기 보안 정책에 의해 표시되는 상기 인에이블된 보안 보호 유형에 대응하는 상기 제1 사용자 평면 보호 알고리즘을 결정하도록 구성되는, 장치.
  22. 제18항 또는 제19항에 있어서,
    상기 보안 정책은 사용자 평면 보호 알고리즘 식별자를 포함하고, 상기 처리 유닛은 구체적으로 상기 사용자 평면 보호 알고리즘 식별자에 대응하는 제2 사용자 평면 보호 알고리즘을 결정하도록 구성되고; 상기 장치 및 단말 모두가 상기 제2 사용자 평면 보호 알고리즘을 지원하는 경우, 상기 처리 유닛은 제2 사용자 평면 보호 알고리즘이 상기 제1 사용자 평면 보호 알고리즘인 것으로 결정하거나; 상기 장치 또는 단말 중 어느 하나가 상기 제2 사용자 평면 보호 알고리즘을 지원하지 않는 경우, 상기 처리 유닛은, 상기 제2 사용자 평면 보호 알고리즘이 속하는 보안 보호 유형에 대응하는 보안 알고리즘 세트로부터, 상기 제1 액세스 네트워크 디바이스 및 상기 단말 모두에 의해 지원되는 상기 제1 사용자 평면 보호 알고리즘을 선택하는, 장치.
  23. 제17항 내지 제22항 중 어느 한 항에 있어서,
    상기 처리 유닛은, 상기 제1 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성하도록 추가로 구성되는 - 여기서, 상기 사용자 평면 보호 키는, 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키 중 하나 또는 모두를 포함함 -, 장치.
  24. 제18항 또는 제19항에 있어서,
    상기 처리 유닛은, 상기 시그널링 평면 보호 알고리즘에 따라 시그널링 평면 보호 키를 생성하도록 추가로 구성되는 - 여기서, 상기 시그널링 평면 보호 키는, 시그널링 평면 암호화 키 및 시그널링 평면 무결성 보호 키 중 하나 또는 모두를 포함함 -, 장치.
  25. 제23항 또는 제24항에 있어서,
    상기 제1 통신 유닛은, 상기 제2 액세스 네트워크 디바이스를 사용하여 상기 단말에, 상기 사용자 평면 무결성 보호 키 또는 상기 시그널링 평면 무결성 보호 키를 사용하여 보호되는 제1 메시지를 송신하도록 추가로 구성되는 - 여기서, 상기 제1 메시지는 상기 제1 사용자 평면 보호 알고리즘을 포함함 -, 장치.
  26. 제25항에 있어서,
    상기 장치는 제2 통신 유닛을 더 포함하고,
    상기 제2 통신 유닛은, 상기 단말로부터, 상기 사용자 평면 보호 키 또는 상기 시그널링 평면 보호 키를 사용하여 보호되는 제2 메시지를 수신하도록 구성되는 - 여기서, 상기 제2 메시지는 상기 제1 메시지에 대한 응답 메시지임 -, 장치.
  27. 제17항 내지 제26항 중 어느 한 항에 있어서,
    상기 제1 통신 유닛은, 액세스 및 이동성 관리 기능(AMF) 노드에, 상기 제1 통신 유닛에 의해 수신된, 사용자 평면 정보와 보안 정책 사이에 존재하는 대응을 송신하도록 추가로 구성되고;
    상기 처리 유닛은, 상기 제1 통신 유닛이 상기 AMF 노드로부터 보안 정책을 수신한 경우, 상기 AMF 노드로부터의 상기 보안 정책에 따라 상기 제1 사용자 평면 보호 알고리즘 및 상기 사용자 평면 보호 키를 재결정하도록 추가로 구성되는 - 여기서, 상기 AMF 노드로부터의 상기 보안 정책은 상기 제2 액세스 네트워크 디바이스로부터의 보안 정책과 상이함 -, 장치.
  28. 제17항 내지 제26항 중 어느 한 항에 있어서,
    상기 처리 유닛은, 상기 제1 통신 유닛이 상기 AMF 노드로부터 제2 표시 정보를 수신하고, 상기 AMF 노드로부터 보안 정책을 수신하지 않는 경우, 디폴트 보안 정책에 따라 상기 제1 사용자 평면 보호 알고리즘 및 상기 사용자 평면 보호 키를 재결정하도록 추가로 구성되는 - 여기서, 상기 제2 표시 정보는 상기 제1 액세스 네트워크 디바이스가 상기 제2 액세스 네트워크 디바이스로부터의 보안 정책을 사용할 수 없음을 표시함 -, 장치.
  29. 처리 유닛 및 통신 유닛을 포함하는 장치로서,
    상기 처리 유닛은 사용자 평면 정보와 보안 정책 사이의 대응을 획득하도록 구성되고;
    상기 통신 유닛은 사용자 평면 정보와 보안 정책 사이의 상기 대응을 제1 액세스 네트워크 디바이스에 송신하도록 구성되는,
    장치.
  30. 처리 유닛 및 통신 유닛을 포함하는 장치로서,
    상기 처리 유닛은, 상기 통신 유닛을 사용하여 사용자 평면 정보와 보안 정책 사이의 대응을 타깃 액세스 네트워크 디바이스로부터 수신하고; 상기 통신 유닛을 사용하여 사용자 평면 정보와 보안 정책 사이의 상기 대응을 세션 관리 기능(SMF) 노드에 송신하고; 상기 통신 유닛을 사용하여 상기 SMF 노드로부터, 상기 사용자 평면 정보에 기초하여 상기 SMF 노드에 의해 재선택된 보안 정책 또는 표시 정보를 수신하고 - 여기서, 상기 표시 정보는 상기 타깃 액세스 네트워크 디바이스가 현재 사용된 보안 정책을 계속 사용함을 표시하기 위해 사용됨 -; 상기 통신 유닛을 사용하여 상기 재선택된 보안 정책 또는 상기 표시 정보를 상기 타깃 액세스 네트워크 디바이스에 송신하도록 구성되는, 장치.
  31. 처리 유닛 및 통신 유닛을 포함하는 장치로서,
    상기 통신 유닛은 사용자 평면 정보와 보안 정책 사이의 대응을 액세스 및 이동성 관리 기능(AMF) 노드로부터 수신하도록 구성되고;
    상기 처리 유닛은, 수신된 사용자 평면 정보에 대응하는 보안 정책이, 상기 사용자 평면 정보에 대응하되 상기 장치에 의해 저장된 보안 정책과 동일한지 여부를 판정하도록 구성되고;
    상기 통신 유닛은, 상기 통신 유닛에 의해 수신된 상기 사용자 평면 정보에 대응하는 상기 보안 정책이, 상기 사용자 평면 정보에 대응하되 상기 장치에 의해 저장된 상기 보안 정책과 상이한 경우, 상기 AMF 노드에, 상기 사용자 평면 정보에 대응하되 상기 장치에 의해 저장된 상기 보안 정책을 송신하도록 추가로 구성되는, 장치.
  32. 제31항에 있어서,
    상기 통신 유닛은, 상기 통신 유닛에 의해 수신된 상기 사용자 평면 정보에 대응하는 상기 보안 정책이, 상기 사용자 평면 정보에 대응하되 상기 장치에 의해 저장된 상기 보안 정책과 동일한 경우, 표시 정보를 상기 AMF 노드에 송신하도록 구성되는 - 여기서, 상기 표시 정보는 현재 사용되는 보안 정책이 계속 사용됨을 표시하기 위해 사용됨 -, 장치.
  33. 통신 시스템으로서,
    제17항 내지 제28항 중 어느 한 항에 따른 장치 및 제29항에 따른 장치, 또는 제17항 내지 제28항 중 어느 한 항에 따른 장치, 제29항에 따른 장치, 제30항에 따른 장치 및 제31항 또는 제32항에 따른 장치를 포함하는
    통신 시스템.
  34. 메모리 및 상기 메모리에 연결된 프로세서를 포함하는 액세스 디바이스로서,
    상기 메모리는 프로그램 인스트럭션을 저장하고, 상기 액세스 디바이스는, 상기 프로세서가 상기 프로그램 인스트럭션을 실행할 때 제1항 내지 제12항에 따른 방법을 수행하는,
    액세스 디바이스.
  35. 메모리 및 상기 메모리에 연결된 프로세서를 포함하는 액세스 디바이스로서,
    상기 메모리는 프로그램 인스트럭션을 저장하고, 상기 액세스 디바이스는, 상기 프로세서가 상기 프로그램 인스트럭션을 실행할 때 제13항에 따른 방법을 수행하는,
    액세스 디바이스.
  36. 메모리 및 상기 메모리에 연결된 프로세서를 포함하는 액세스 및 이동성 관리 기능(AMF) 노드로서,
    상기 메모리는 프로그램 인스트럭션을 저장하고, 상기 액세스 디바이스는, 상기 프로세서가 상기 프로그램 인스트럭션을 실행할 때 제14항에 따른 방법을 수행하는,
    AMF 노드.
  37. 메모리 및 상기 메모리에 연결된 프로세서를 포함하는 세션 관리 기능(SMF) 노드로서,
    상기 메모리는 프로그램 인스트럭션을 저장하고, 상기 액세스 디바이스는, 상기 프로세서가 상기 프로그램 인스트럭션을 실행할 때 제15항 또는 제16항에 따른 방법을 수행하는,
    SMF 노드.
  38. 인스트럭션을 포함하는 컴퓨터 저장 매체로서,
    컴퓨터는, 상기 인스트럭션이 상기 컴퓨터 상에서 실행될 때, 제1항 내지 제12항 중 어느 한 항에 따른 방법을 수행하는,
    컴퓨터 저장 매체.
  39. 인스트럭션을 포함하는 컴퓨터 저장 매체로서,
    컴퓨터는, 상기 인스트럭션이 상기 컴퓨터 상에서 실행될 때, 제13항에 따른 방법을 수행하는,
    컴퓨터 저장 매체.
  40. 인스트럭션을 포함하는 컴퓨터 저장 매체로서,
    컴퓨터는, 상기 인스트럭션이 상기 컴퓨터 상에서 실행될 때, 제14항에 따른 방법을 수행하는,
    컴퓨터 저장 매체.
  41. 인스트럭션을 포함하는 컴퓨터 저장 매체로서,
    컴퓨터는, 상기 인스트럭션이 상기 컴퓨터 상에서 실행될 때, 제15항 또는 제16항에 따른 방법을 수행하는,
    컴퓨터 저장 매체.
  42. 단말이 소스 액세스 네트워크 디바이스로부터 타깃 액세스 네트워크 디바이스로 핸드오버되는 시나리오에 적용되는 보안 보호 방법으로서,
    상기 타깃 액세스 네트워크 디바이스에 의해 상기 소스 액세스 네트워크 디바이스로부터, 보안 정책과 PDU 세션 식별자 사이의 대응을 수신하는 단계; 및
    상기 타깃 액세스 네트워크 디바이스에 의해, 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응에 기초하여, 상기 PDU 세션 식별자에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 단계 - 여기서, 상기 제1 사용자 평면 보호 알고리즘은, 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 - 를 포함하는
    보안 보호 방법.
  43. 제42항에 있어서,
    상기 보안 보호 방법은,
    상기 타깃 액세스 네트워크 디바이스에 의해, 시그널링 평면 보호 알고리즘을 결정하는 단계 - 여기서, 상기 시그널링 평면 보호 알고리즘은, 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 - 를 더 포함하는 보안 보호 방법.
  44. 제42항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 보안 보호 방법.
  45. 제44항에 있어서,
    상기 타깃 액세스 네트워크 디바이스에 의해, 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응에 기초하여, 상기 PDU 세션 식별자에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하는 단계는,
    상기 보안 정책이, 상기 PDU 세션 식별자에 대응하는 상기 PDU 세션에 대해 사용자 평면 암호화 보호가 활성화될 필요가 있음을 표시하는 경우, 상기 타깃 액세스 네트워크 디바이스에 의해, 사용자 평면 암호화 알고리즘 세트에 따라, 상기 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘을 선택하는 단계;
    상기 보안 정책이, 상기 PDU 세션 식별자에 대응하는 상기 PDU 세션에 대해 사용자 평면 무결성 보호가 활성화될 필요가 있음을 표시하는 경우, 상기 타깃 액세스 네트워크 디바이스에 의해, 사용자 평면 무결성 알고리즘 세트에 따라, 상기 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 무결성 알고리즘을 선택하는 단계; 또는
    상기 보안 정책이, 상기 PDU 세션 식별자에 대응하는 상기 PDU 세션에 대해 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호 모두가 활성화될 필요가 있음을 표시하는 경우, 상기 타깃 액세스 네트워크 디바이스에 의해, 사용자 평면 암호화 알고리즘 세트에 따라, 상기 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘을 선택하고, 상기 타깃 액세스 네트워크 디바이스에 의해, 사용자 평면 무결성 알고리즘 세트에 따라, 상기 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 무결성 알고리즘을 선택하는 단계를 포함하는, 보안 보호 방법.
  46. 제42항 내지 제45항 중 어느 한 항에 있어서,
    상기 보안 보호 방법은,
    상기 타깃 액세스 네트워크 디바이스에 의해, 상기 제1 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성하는 단계 - 여기서, 상기 사용자 평면 보호 키는 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키 중 하나 또는 모두를 포함함 - 를 더 포함하는 보안 보호 방법.
  47. 제46항에 있어서,
    상기 보안 보호 방법은,
    상기 타깃 액세스 네트워크 디바이스에 의해, 상기 소스 액세스 네트워크 디바이스를 통해 상기 단말에, 상기 사용자 평면 무결성 보호 키를 사용하여 보호되는 제1 메시지를 송신하는 단계 - 여기서, 상기 제1 메시지는 상기 제1 사용자 평면 보호 알고리즘을 포함함 - 를 더 포함하는 보안 보호 방법.
  48. 제42항 내지 제45항 중 어느 한 항에 있어서,
    상기 보안 보호 방법은,
    상기 타깃 액세스 네트워크 디바이스에 의해, 액세스 및 이동성 관리 기능(AMF) 노드를 통해, 상기 소스 액세스 네트워크 디바이스로부터 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 세션 관리 기능(SMF) 노드에 송신하는 단계; 및
    상기 SMF 노드로부터 보안 정책을 수신하고, 상기 SMF 노드로부터 수신된 상기 보안 정책이, 상기 소스 액세스 네트워크 디바이스로부터 수신된 상기 보안 정책과 상이한 경우, 상기 타깃 액세스 네트워크 디바이스에 의해, 상기 SMF 노드로부터 수신된 상기 보안 정책에 따른 새로운 제1 사용자 평면 보호 알고리즘 및 새로운 사용자 평면 보호 키를 재결정하는 단계를 더 포함하는 보안 보호 방법.
  49. 제42항 내지 제45항 중 어느 한 항에 있어서,
    상기 보안 보호 방법은,
    상기 타깃 액세스 네트워크 디바이스에 의해, 액세스 및 이동성 관리 기능(AMF) 노드를 통해, 상기 소스 액세스 네트워크 디바이스로부터 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 세션 관리 기능(SMF) 노드에 송신하는 단계; 및
    상기 타깃 액세스 네트워크 디바이스가 상기 AMF 노드를 통해 상기 SMF 노드로부터 제2 표시 정보를 수신하고, 상기 SMF 노드로부터 보안 정책을 수신하지 않은 경우, 상기 타깃 액세스 네트워크 디바이스에 의해, 디폴트 보안 정책에 따라 새로운 제1 사용자 평면 보호 알고리즘 및 새로운 사용자 평면 보호 키를 재결정하는 단계 - 여기서, 상기 제2 표시 정보는 상기 타깃 액세스 네트워크 디바이스가 상기 소스 액세스 네트워크 디바이스로부터의 보안 정책을 사용할 수 없음을 표시함 - 를 더 포함하는 보안 보호 방법.
  50. 단말이 소스 액세스 네트워크 디바이스로부터 타깃 액세스 네트워크 디바이스로 핸드오버되는 시나리오에 적용되는 보안 보호 방법으로서,
    상기 소스 액세스 네트워크 디바이스에 의해, 보안 정책과 PDU 세션 식별자 사이의 대응을 획득하는 단계; 및
    상기 소스 액세스 네트워크 디바이스에 의해, 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 타깃 액세스 네트워크 디바이스에 송신하는 단계를 포함하는
    보안 보호 방법.
  51. 제50항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 보안 보호 방법.
  52. 제50항 또는 제51항에 있어서,
    상기 보안 보호 방법은,
    상기 소스 액세스 네트워크 디바이스에 의해, 상기 타깃 액세스 네트워크 디바이스로부터, 사용자 평면 무결성 보호 키 또는 시그널링 무결성 보호 키를 사용하여 보호되는 제1 메시지를 수신하는 단계 - 여기서, 상기 제1 메시지는 상기 제1 사용자 평면 보호 알고리즘을 포함함 -;
    상기 소스 액세스 네트워크 디바이스에 의해, 상기 제1 메시지를 상기 단말에 송신하는 단계를 더 포함하는 보안 보호 방법.
  53. 통신 유닛 및 처리 유닛을 포함하는 장치로서,
    상기 통신 유닛은, 보안 정책과 PDU 세션 식별자 사이의 대응을 소스 액세스 네트워크 디바이스로부터 수신하도록 구성되고;
    상기 처리 유닛은, 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응에 기초하여, 상기 PDU 세션 식별자에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하도록 구성되는 - 여기서, 상기 제1 사용자 평면 보호 알고리즘은, 사용자 평면 암호화 알고리즘 및 사용자 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 -,
    장치.
  54. 제53항에 있어서,
    상기 처리 유닛은, 시그널링 평면 보호 알고리즘을 결정하도록 추가로 구성되는 - 여기서, 상기 시그널링 평면 보호 알고리즘은, 시그널링 평면 암호화 알고리즘 및 시그널링 평면 무결성 보호 알고리즘 중 하나 또는 모두를 포함함 -, 장치.
  55. 제53항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 장치.
  56. 제55항에 있어서,
    상기 처리 유닛은 구체적으로,
    상기 보안 정책이, 상기 PDU 세션 식별자에 대응하는 상기 PDU 세션에 대해 사용자 평면 암호화 보호가 활성화될 필요가 있음을 표시하는 경우, 사용자 평면 암호화 알고리즘 세트에 따라, 상기 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘을 선택하거나;
    상기 보안 정책이, 상기 PDU 세션 식별자에 대응하는 상기 PDU 세션에 대해 사용자 평면 무결성 보호가 활성화될 필요가 있음을 표시하는 경우, 사용자 평면 무결성 알고리즘 세트에 따라, 상기 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 무결성 알고리즘을 선택하거나;
    상기 보안 정책이, 상기 PDU 세션 식별자에 대응하는 상기 PDU 세션에 대해 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호 모두가 활성화될 필요가 있음을 표시하는 경우, 사용자 평면 암호화 알고리즘 세트에 따라, 상기 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 암호화 알고리즘을 선택하고, 사용자 평면 무결성 알고리즘 세트에 따라, 상기 단말에 의해 지원되며 가장 높은 우선 순위를 갖는 사용자 평면 무결성 알고리즘을 선택하도록 구성되는, 장치.
  57. 제53항 내지 제56항 중 어느 한 항에 있어서,
    상기 처리 유닛은 구체적으로,
    상기 사용자 평면 보호 알고리즘에 따라 사용자 평면 보호 키를 생성하는 - 여기서, 상기 사용자 평면 보호 키는 사용자 평면 암호화 키 및 사용자 평면 무결성 보호 키 중 하나 또는 모두를 포함함 -, 장치.
  58. 제57항에 있어서,
    상기 통신 유닛은, 상기 소스 액세스 네트워크 디바이스를 통해, 상기 사용자 평면 무결성 보호 키 또는 상기 시그널링 평면 무결성 보호 키를 사용하여 보호되는 제1 메시지를 상기 단말에 송신하도록 구성되는 - 여기서, 상기 제1 메시지는 상기 제1 사용자 평면 보호 알고리즘을 포함함 -, 장치.
  59. 제53항 내지 제58항 중 어느 한 항에 있어서,
    상기 통신 유닛은, 액세스 및 이동성 관리 기능(AMF) 노드를 통해, 상기 소스 액세스 네트워크 디바이스로부터 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 세션 관리 기능(SMF) 노드에 송신하도록 추가로 구성되고;
    상기 통신 유닛이 상기 SMF 노드로부터 수신된 보안 정책을 수신하고, 상기 SMF 노드로부터 수신된 상기 보안 정책이, 상기 소스 액세스 네트워크 디바이스로부터 수신된 상기 보안 정책과 상이한 경우, 상기 처리 유닛은 구체적으로, 상기 SMF 노드로부터 수신된 상기 보안 정책에 따른 새로운 제1 사용자 평면 보호 알고리즘 및 새로운 사용자 평면 보호 키를 재결정하도록 구성되는, 장치.
  60. 제53항 내지 제58항 중 어느 한 항에 있어서,
    상기 통신 유닛은, 액세스 및 이동성 관리 기능(AMF) 노드를 통해, 상기 소스 액세스 네트워크 디바이스로부터 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 세션 관리 기능(SMF) 노드에 송신하도록 추가로 구성되고;
    상기 타깃 액세스 네트워크 디바이스가 상기 AMF 노드를 통해 상기 SMF 노드로부터 제2 표시 정보를 수신하고, 상기 SMF 노드로부터 보안 정책을 수신하지 않은 경우, 상기 처리 유닛은 구체적으로, 디폴트 보안 정책에 따라 새로운 제1 사용자 평면 보호 알고리즘 및 새로운 사용자 평면 보호 키를 재결정하도록 구성되는 - 여기서, 상기 제2 표시 정보는 상기 타깃 액세스 네트워크 디바이스가 상기 소스 액세스 네트워크 디바이스로부터의 보안 정책을 사용할 수 없음을 표시함 -, 장치.
  61. 통신 유닛 및 처리 유닛을 포함하는 장치로서,
    상기 처리 유닛은 보안 정책과 PDU 세션 식별자 사이의 대응을 획득하도록 구성되고;
    상기 통신 유닛은 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 타깃 액세스 네트워크 디바이스에 송신하도록 구성되는,
    장치.
  62. 제61항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 장치.
  63. 제61항 또는 제62항에 있어서,
    상기 통신 유닛은, 상기 타깃 액세스 네트워크 디바이스로부터, 사용자 평면 무결성 보호 키 또는 시그널링 무결성 보호 키를 사용하여 보호되는 제1 메시지를 수신하고 - 여기서, 상기 제1 메시지 제1 사용자 평면 보호 알고리즘을 포함함 -; 상기 제1 메시지를 상기 단말에 송신하도록 구성되는, 장치.
  64. 액세스 네트워크 디바이스로서,
    프로세서; 및
    상기 프로세서에 결합되고, 상기 프로세서에 의해 실행될 때, 상기 액세스 네트워크 디바이스가 제42항 내지 제49항 중 어느 한 항을 수행하도록 하는 프로그램 인스트럭션을 저장하는 메모리를 포함하는
    액세스 네트워크 디바이스.
  65. 액세스 네트워크 디바이스로서,
    프로세서; 및
    프로세서에 결합되고, 상기 프로세서에 의해 실행될 때, 상기 액세스 네트워크 디바이스가 제50항 내지 제52항 중 어느 한 항을 수행하도록 하는 프로그램 인스트럭션을 저장하는 메모리를 포함하는
    액세스 네트워크 디바이스.
  66. 컴퓨터 저장 매체로서,
    상기 컴퓨터 저장 매체는 인스트럭션을 포함하고,
    컴퓨터는, 상기 인스트럭션이 상기 컴퓨터 상에서 실행될 때, 제42항 내지 제49항 중 어느 한 항에 따른 방법을 수행하는,
    컴퓨터 저장 매체.
  67. 컴퓨터 저장 매체로서,
    상기 컴퓨터 저장 매체는 인스트럭션을 포함하고,
    컴퓨터는, 상기 인스트럭션이 상기 컴퓨터 상에서 실행될 때, 제50항 내지 제52항 중 어느 한 항에 따른 방법을 수행하는,
    컴퓨터 저장 매체.
  68. 단말이 소스 액세스 네트워크 디바이스로부터 타깃 액세스 네트워크 디바이스로 핸드오버되는 시나리오에 적용되는 통신 시스템으로서,
    상기 통신 시스템은 세션 관리 기능 노드와, 액세스 및 이동성 관리 기능 노드를 포함하고;
    상기 액세스 및 이동성 관리 기능 노드는, 상기 타깃 액세스 네트워크 디바이스로부터 보안 정책과 PDU 세션 식별자 사이의 대응을 수신하고; 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 상기 세션 관리 기능 노드에 송신하도록 구성되고;
    상기 세션 관리 기능 노드는, 상기 액세스 및 이동성 관리 기능 노드로부터 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 수신하고; 상기 PDU 세션 식별자에 대응하는 상기 수신된 보안이 상기 PDU 세션 식별자에 대응하는 로컬에 저장된 보안 정책과 동일한지 여부를 판정하고; 상기 PDU 세션 식별자에 대응하는 수신된 보안이, 상기 PDU 세션 식별자에 대응하는 상기 로컬에 저장된 보안 정책과 상이한 경우, 상기 액세스 및 이동성 관리 기능 노드를 통해, 상기 PDU 세션 식별자에 대응하는 상기 로컬에 저장된 보안 정책을 상기 타깃 액세스 네트워크 디바이스에 송신하도록 구성되는,
    통신 시스템.
  69. 제68항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 통신 시스템.
  70. 제68항 또는 제69항에 있어서,
    상기 통신 시스템은, 상기 소스 액세스 네트워크 디바이스 및 상기 타깃 액세스 네트워크 디바이스를 더 포함하고;
    상기 소스 액세스 네트워크 디바이스는, 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 상기 타깃 액세스 네트워크 디바이스에 송신하도록 구성되고;
    상기 타깃 액세스 네트워크 디바이스는, 상기 소스 액세스 네트워크 디바이스로부터 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 수신하고; 상기 액세스 및 이동성 관리 기능 노드를 통해 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 상기 세션 관리 기능 노드에 송신하고; 상기 액세스 및 이동성 관리 기능 노드를 통해 상기 세션 관리 기능 노드로부터 상기 로컬에 저장된 보안 정책을 수신하도록 구성되는, 통신 시스템.
  71. 제70항에 있어서,
    상기 타깃 액세스 네트워크 디바이스는, 상기 액세스 및 이동성 관리 기능 노드를 통해 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 상기 세션 관리 기능 노드에 송신하기 전에, 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응에 기초하여, 상기 PDU 세션 식별자에 대응하는 제1 사용자 평면 보호 알고리즘을 결정하도록 구성되는, 통신 시스템.
  72. 제71항에 있어서,
    상기 타깃 액세스 네트워크 디바이스는, 상기 세션 관리 기능 노드로부터 상기 로컬 저장된 보안 정책을 수신한 후, 상기 SMF 노드로부터 수신된 상기 보안 정책에 따라 새로운 제1 사용자 평면 보호 알고리즘 및 새로운 사용자 평면 보호 키를 재결정하도록 구성되는, 통신 시스템.
  73. 단말이 소스 액세스 네트워크 디바이스로부터 타깃 액세스 네트워크 디바이스로 핸드오버되는 시나리오에 적용되는 보안 보호 방법으로서,
    세션 관리 기능 노드에 의해, 액세스 및 이동성 관리 기능 노드를 통해, 상기 타깃 액세스 네트워크 디바이스로부터 보안 정책과 PDU 세션 식별자 사이의 대응을 수신하는 단계;
    상기 세션 관리 기능 노드에 의해, 상기 PDU 세션 식별자에 대응하는 상기 수신된 보안이 상기 PDU 세션 식별자에 대응하는 로컬에 저장된 보안 정책과 동일한지 여부를 판정하는 단계; 및
    상기 PDU 세션 식별자에 대응하는 상기 수신된 보안이 상기 PDU 세션 식별자에 대응하는 상기 로컬에 저장된 보안 정책과 상이한 경우, 상기 세션 관리 기능 노드에 의해, 상기 액세스 및 이동성 관리 기능 노드를 통해, 상기 PDU 세션 식별자에 대응하는 상기 로컬에 저장된 보안 정책을 상기 타깃 액세스 네트워크 디바이스에 송신하는 단계를 포함하는
    보안 보호 방법.
  74. 제73항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 보안 보호 방법.
  75. 제73항 또는 제74항에 있어서,
    상기 액세스 및 이동성 관리 기능 노드를 통해, 상기 타깃 액세스 네트워크 디바이스로부터 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 수신하는 단계는,
    상기 세션 관리 기능 노드에 의해, 상기 액세스 및 이동성 관리 기능 노드로부터, 세션 관리(session management, SM) 요청 메시지를 수신하는 단계 - 여기서, 상기 SM 요청 메시지는 상기 단말의 식별 정보 및 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 포함함 - 를 포함하고;
    상기 액세스 및 이동성 관리 기능 노드를 통해 상기 PDU 세션 식별자에 대응하는 상기 로컬에 저장된 보안 정책을 상기 타깃 액세스 네트워크 디바이스에 송신하는 단계는,
    상기 세션 관리 기능 노드에 의해, 상기 액세스 및 이동성 관리 기능 노드에 SM 응답 메시지를 송신하는 단계 - 여기서, 상기 SM 응답 메시지는 상기 PDU 세션 식별자에 따라 상기 세션 관리 기능 노드에 의해 재선택된 상기 보안 정책을 포함함 - 를 포함하는, 보안 보호 방법.
  76. 단말이 소스 액세스 네트워크 디바이스로부터 타깃 액세스 네트워크 디바이스로 핸드오버되는 시나리오에 적용되는 보안 보호 방법으로서,
    액세스 및 이동성 관리 기능 노드에 의해, 상기 타깃 액세스 네트워크 디바이스로부터 보안 정책과 PDU 세션 식별자 사이의 대응을 수신하는 단계;
    상기 액세스 및 이동성 관리 기능 노드에 의해, 상기 타깃 액세스 네트워크 디바이스로부터 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 상기 세션 관리 기능 노드에 송신하는 단계;
    상기 액세스 및 이동성 관리 기능 노드에 의해, 상기 세션 관리 기능 노드로부터, 상기 PDU 세션 식별자에 따라 상기 세션 관리 기능 노드에 의해 재선택된 보안 정책을 수신하는 단계;
    상기 액세스 및 이동성 관리 기능 노드에 의해, 상기 재선택된 보안 정책을 상기 타깃 액세스 네트워크 디바이스에 송신하는 단계를 포함하는
    보안 보호 방법.
  77. 제76항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 보안 보호 방법.
  78. 제76항 또는 제77항에 있어서,
    상기 액세스 및 이동성 관리 기능 노드에 의해, 상기 타깃 액세스 네트워크 디바이스로부터, N2 경로 스위치 메시지를 수신하는 단계 - 여기서, 상기 N2 경로 스위치 메시지는, 상기 소스 액세스 네트워크 디바이스로부터 상기 타깃 액세스 네트워크 디바이스에 의해 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 포함함 -;
    상기 액세스 및 이동성 관리 기능 노드에 의해, 상기 타깃 액세스 네트워크 디바이스로부터 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 상기 세션 관리 기능 노드에 송신하는 단계는,
    상기 액세스 및 이동성 관리 기능 노드에 의해, 상기 세션 관리 기능 노드에 세션 관리(SM) 요청 메시지를 송신하는 단계 - 여기서, 상기 SM 요청 메시지는 상기 단말의 식별 정보 및 상기 보안 정책과 상기 PDU 세션 식별자 사이의 상기 대응을 포함함 - 를 포함하고,
    상기 액세스 및 이동성 관리 기능 노드에 의해, 상기 세션 관리 기능 노드로부터, 상기 PDU 세션 식별자에 대응하는 세션 관리 기능 노드에 의해 재선택된 상기 보안 정책을 수신하는 단계는,
    상기 액세스 및 이동성 관리 기능 노드에 의해, 상기 세션 관리 기능 노드로부터, SM 응답 메시지를 수신하는 단계 - 여기서, 상기 SM 응답 메시지는 상기 PDU 세션 식별자에 따라 상기 세션 관리 기능 노드에 의해 재선택된 상기 보안 정책을 포함함 - 를 포함하는, 보안 보호 방법.
  79. 단말이 소스 액세스 네트워크 디바이스로부터 타깃 액세스 네트워크 디바이스로 핸드오버되는 시나리오에 적용되는 장치로서,
    상기 장치는 통신 유닛 및 처리 유닛을 포함하고,
    상기 통신 유닛은, 액세스 및 이동성 관리 기능 노드를 통해, 상기 타깃 액세스 네트워크 디바이스로부터 보안 정책과 PDU 세션 식별자 사이의 대응을 수신하도록 구성되고;
    상기 처리 유닛은, 상기 PDU 세션 식별자에 대응하는 상기 수신된 보안이 상기 PDU 세션 식별자에 대응하는 상기 로컬에 저장된 보안 정책과 동일한지 여부를 판정하도록 구성되고;
    상기 통신 유닛은, 상기 PDU 세션 식별자에 대응하는 상기 수신된 보안이 상기 PDU 세션 식별자에 대응하는 상기 로컬에 저장된 보안 정책과 상이한 경우, 상기 액세스 및 이동성 관리 기능 노드를 통해 상기 PDU 세션 식별자에 대응하는 상기 로컬에 저장된 보안 정책을 상기 타깃 액세스 네트워크 디바이스에 송신하도록 구성되는, 장치.
  80. 제79항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 장치.
  81. 단말이 소스 액세스 네트워크 디바이스로부터 타깃 액세스 네트워크 디바이스로 핸드오버되는 시나리오에 적용되는 장치로서,
    상기 장치는 통신 유닛 및 처리 유닛을 포함하고,
    상기 처리 유닛은 상기 통신 유닛이,
    상기 타깃 액세스 네트워크 디바이스로부터 보안 정책과 PDU 세션 식별자 사이의 대응을 수신하고;
    상기 타깃 액세스 네트워크 디바이스로부터 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 세션 관리 기능 노드에 송신하고;
    상기 세션 관리 기능 노드로부터, 상기 PDU 세션 식별자에 대응하는 상기 세션 관리 기능 노드에 의해 재선택된 보안 정책을 수신하고;
    상기 재선택된 보안 정책을 상기 타깃 액세스 네트워크 디바이스에 송신하는 동작을 수행하도록 제어하기 위해 사용되는, 장치.
  82. 제81항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 장치.
  83. 단말이 소스 액세스 네트워크 디바이스로부터 타깃 액세스 네트워크 디바이스로 핸드오버되는 시나리오에 적용되는 장치로서,
    상기 장치는 통신 유닛 및 처리 유닛을 포함하고,
    상기 처리 유닛은 상기 통신 유닛이,
    상기 타깃 액세스 네트워크 디바이스로부터 보안 정책과 PDU 세션 식별자 사이의 대응을 수신하고;
    상기 타깃 액세스 네트워크 디바이스로부터 수신된 상기 PDU 세션 식별자와 상기 보안 정책 사이의 상기 대응을 세션 관리 기능 노드에 송신하고;
    상기 세션 관리 기능 노드로부터, 상기 PDU 세션 식별자에 대응하는 상기 세션 관리 기능 노드에 의해 재선택된 보안 정책을 수신하고;
    상기 재선택된 보안 정책을 상기 타깃 액세스 네트워크 디바이스에 송신하는 동작을 수행하도록 제어하기 위해 사용되는, 장치.
  84. 제83항에 있어서,
    상기 보안 정책은, 상기 PDU 세션 식별자와 연관된 PDU 세션에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 표시하는, 장치.
  85. 세션 관리 기능 노드로서,
    프로세서; 및
    상기 프로세서에 결합되고, 상기 프로세서에 의해 실행될 때, 상기 세션 관리 기능 노드가 제73항 내지 제75항 중 어느 한 항을 수행하도록 하는 프로그램 인스트럭션을 저장하는 메모리를 포함하는
    세션 관리 기능 노드.
  86. 액세스 및 이동성 관리 기능 노드로서,
    프로세서; 및
    프로세서에 결합되고, 상기 프로세서에 의해 실행될 때, 상기 액세스 및 이동성 관리 기능 노드가 제76항 내지 제78항 중 어느 한 항을 수행하도록 하는 프로그램 인스트럭션을 저장하는 메모리를 포함하는
    액세스 및 이동성 관리 기능 노드.
  87. 컴퓨터 저장 매체로서,
    상기 컴퓨터 저장 매체는 인스트럭션을 포함하고,
    컴퓨터는, 상기 인스트럭션이 상기 컴퓨터 상에서 실행될 때, 제73항 내지 제75항 중 어느 한 항에 따른 방법을 수행하는,
    컴퓨터 저장 매체.
  88. 컴퓨터 저장 매체로서,
    상기 컴퓨터 저장 매체는 인스트럭션을 포함하고,
    컴퓨터는, 상기 인스트럭션이 상기 컴퓨터 상에서 실행될 때, 제76항 내지 제78항 중 어느 한 항에 따른 방법을 수행하는,
    컴퓨터 저장 매체.
KR1020207012357A 2017-09-30 2018-09-29 보안 보호를 위한 방법, 장치 및 시스템 KR102347524B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
CN201710945254.4 2017-09-30
CN201710945254.4A CN109600803B (zh) 2017-09-30 2017-09-30 一种安全保护的方法、装置和系统
PCT/CN2018/108904 WO2019062996A1 (zh) 2017-09-30 2018-09-29 一种安全保护的方法、装置和系统

Publications (2)

Publication Number Publication Date
KR20200060477A true KR20200060477A (ko) 2020-05-29
KR102347524B1 KR102347524B1 (ko) 2022-01-04

Family

ID=65344890

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020207012357A KR102347524B1 (ko) 2017-09-30 2018-09-29 보안 보호를 위한 방법, 장치 및 시스템

Country Status (8)

Country Link
US (3) US10952106B2 (ko)
EP (2) EP3684024B1 (ko)
JP (1) JP7074847B2 (ko)
KR (1) KR102347524B1 (ko)
CN (4) CN117979378A (ko)
AU (1) AU2018339744B2 (ko)
BR (1) BR112020006242A2 (ko)
WO (1) WO2019062996A1 (ko)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117015070A (zh) * 2017-10-13 2023-11-07 三星电子株式会社 用于在无线通信系统中传输和接收数据的方法和装置
CN111641582B (zh) * 2019-03-01 2021-11-09 华为技术有限公司 一种安全保护方法及装置
CN111641944A (zh) * 2019-03-01 2020-09-08 华为技术有限公司 一种通信方法及设备
CN114727290A (zh) 2019-04-28 2022-07-08 华为技术有限公司 通信方法及其装置
CN111417117B (zh) * 2019-04-29 2021-03-02 华为技术有限公司 切换的处理方法和装置
US20210105847A1 (en) 2019-10-02 2021-04-08 Apple Inc. User Plane Integrity Protection Handling Procedures
US20220345889A1 (en) * 2019-10-03 2022-10-27 Telefonaktiebolaget Lm Ericsson (Publ) Security settings for user plane data sent over different accesses of a network
CN113381966B (zh) * 2020-03-09 2023-09-26 维沃移动通信有限公司 信息上报方法、信息接收方法、终端及网络侧设备
WO2021196167A1 (zh) * 2020-04-03 2021-10-07 Oppo广东移动通信有限公司 信息处理方法、装置、设备及存储介质
CN113676907B (zh) * 2020-04-30 2023-08-04 华为技术有限公司 一种确定服务质量流的方法，装置，设备及计算机可读存储介质
CN114079915A (zh) * 2020-08-06 2022-02-22 华为技术有限公司 确定用户面安全算法的方法、系统及装置
CN116158111A (zh) * 2020-08-10 2023-05-23 华为技术有限公司 一种通信的方法及装置
WO2022067841A1 (zh) * 2020-10-01 2022-04-07 华为技术有限公司 一种安全通信方法、装置及系统
KR20230125322A (ko) * 2021-01-08 2023-08-29 후아웨이 테크놀러지 컴퍼니 리미티드 보안 정책 처리 방법 및 통신 디바이스
CN114760623A (zh) * 2021-01-10 2022-07-15 华为技术有限公司 安全策略处理方法以及通信设备
WO2022148568A1 (en) * 2021-01-11 2022-07-14 Telefonaktiebolaget Lm Ericsson (Publ) User plane encryption policy at interworking handover from eps and 5gs
CN115884170A (zh) * 2021-09-29 2023-03-31 华为技术有限公司 通信方法及装置
CN114158041B (zh) * 2021-11-29 2023-12-08 北京航空航天大学 实现5g网络数据机密性和完整性多级安全的方法
CN114374553A (zh) * 2021-12-30 2022-04-19 中国电信股份有限公司 一种时间同步方法及系统
US20230403538A1 (en) * 2022-06-10 2023-12-14 Qualcomm Incorporated Managing group configurations in wireless communications systems
CN115119200B (zh) * 2022-08-29 2022-11-22 深圳慧城智联科技有限公司 一种用于5g通信环境的信息传递方法
CN117668872A (zh) * 2023-12-04 2024-03-08 北京海泰方圆科技股份有限公司 一种数据保护方法及装置

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2815418B1 (fr) * 2000-10-16 2003-05-16 Cit Alcatel Fibre pour la compensation de dispersion chromatique d'une fibre nz-dsf a dispersion chromatique positive
CN101072092B (zh) * 2006-05-11 2010-12-08 华为技术有限公司 一种实现控制面和用户面密钥同步的方法
KR100911481B1 (ko) * 2007-10-31 2009-08-11 주식회사 케이티프리텔 네트워크에서 개시되는 위치 기반 서비스 제공 방법
GB2454204A (en) * 2007-10-31 2009-05-06 Nec Corp Core network selecting security algorithms for use between a base station and a user device
KR101488015B1 (ko) * 2008-01-25 2015-01-29 엘지전자 주식회사 핸드오버 수행방법 및 데이터 생성방법
CN101262337B (zh) * 2008-02-05 2012-06-06 中兴通讯股份有限公司 安全功能控制方法和系统
CN101715188B (zh) * 2010-01-14 2015-11-25 中兴通讯股份有限公司 一种空口密钥的更新方法及系统
CN102137400B (zh) * 2010-01-23 2015-04-01 中兴通讯股份有限公司 一种rrc连接重建立时的安全处理方法和系统
CN102264064A (zh) * 2010-05-27 2011-11-30 中兴通讯股份有限公司 一种实现接入层安全算法同步的方法及系统
US8683424B2 (en) * 2011-10-10 2014-03-25 Telefonaktiebolaget L M Ericsson (Publ) Bridging the gap between high level user requirements and availability management framework configurations
MX362900B (es) * 2014-06-12 2019-02-25 Huawei Tech Co Ltd Dispositivo de control de transferencia de portadora y método de control.
US10455414B2 (en) * 2014-10-29 2019-10-22 Qualcomm Incorporated User-plane security for next generation cellular networks
CN109526252B (zh) * 2016-08-10 2021-09-17 日本电气株式会社 无线接入网节点、无线终端、核心网节点及其方法
CN106851856B (zh) * 2016-12-23 2019-04-09 电信科学技术研究院有限公司 一种基于移动中继的无线通信建立方法及网络设备
RU2744323C2 (ru) * 2017-01-30 2021-03-05 Телефонактиеболагет Лм Эрикссон (Пабл) Способы для защиты целостности данных пользовательской плоскости
US20190014509A1 (en) * 2017-03-17 2019-01-10 Telefonaktiebolaget Lm Ericsson (Publ) Network node for use in a communication network, a communication device and methods of operating the same
CN107018542A (zh) * 2017-03-27 2017-08-04 中兴通讯股份有限公司 网络系统中状态信息的处理方法、装置及存储介质
WO2019003106A1 (en) * 2017-06-26 2019-01-03 Telefonaktiebolaget Lm Ericsson (Publ) REFRESHMENT OF A SECURITY CONTEXT FOR A MOBILE DEVICE

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
3GPP TS 33.401, V14.4.0, 2017.9.21.* *

Also Published As

Publication number Publication date
CN109600803A (zh) 2019-04-09
CN109600804A (zh) 2019-04-09
CN109362108A (zh) 2019-02-19
EP4221082A3 (en) 2023-08-30
CN117979378A (zh) 2024-05-03
AU2018339744B2 (en) 2021-10-07
JP2020536424A (ja) 2020-12-10
BR112020006242A2 (pt) 2020-10-27
US20230284103A1 (en) 2023-09-07
EP3684024B1 (en) 2022-12-07
EP3684024A4 (en) 2020-10-14
CN109600803B (zh) 2024-01-30
CN109362108B (zh) 2019-11-01
KR102347524B1 (ko) 2022-01-04
JP7074847B2 (ja) 2022-05-24
US20210266799A1 (en) 2021-08-26
US10952106B2 (en) 2021-03-16
EP3684024A1 (en) 2020-07-22
AU2018339744A1 (en) 2020-05-14
US20200137643A1 (en) 2020-04-30
EP4221082A2 (en) 2023-08-02
CN109600804B (zh) 2021-04-02
WO2019062996A1 (zh) 2019-04-04
US11589274B2 (en) 2023-02-21

Similar Documents

Publication Publication Date Title
KR102347524B1 (ko) 보안 보호를 위한 방법, 장치 및 시스템
KR102264718B1 (ko) 보안 구현 방법, 및 관련된 장치 및 시스템
US10904764B2 (en) Security protection method and apparatus
CN110365470B (zh) 一种密钥生成方法和相关装置
AU2019205078B2 (en) Key update method and apparatus
CN109936444B (zh) 一种密钥生成方法及装置
RU2774435C2 (ru) Способ и устройство обеспечения безопасности
WO2016181252A1 (en) Radio resource control connection re-establishment with default configuration

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant