KR20200081470A - 비3gpp 액세스의 5g 통신 네트워크에서의 보안 인증 - Google Patents

비3gpp 액세스의 5g 통신 네트워크에서의 보안 인증 Download PDF

Info

Publication number
KR20200081470A
KR20200081470A KR1020207016286A KR20207016286A KR20200081470A KR 20200081470 A KR20200081470 A KR 20200081470A KR 1020207016286 A KR1020207016286 A KR 1020207016286A KR 20207016286 A KR20207016286 A KR 20207016286A KR 20200081470 A KR20200081470 A KR 20200081470A
Authority
KR
South Korea
Prior art keywords
authentication key
authentication
internal
key
external
Prior art date
Application number
KR1020207016286A
Other languages
English (en)
Inventor
베사 레토비타
자리 아르코
Original Assignee
텔레폰악티에볼라겟엘엠에릭슨(펍)
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 텔레폰악티에볼라겟엘엠에릭슨(펍) filed Critical 텔레폰악티에볼라겟엘엠에릭슨(펍)
Publication of KR20200081470A publication Critical patent/KR20200081470A/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H04W12/003—
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H04W12/0431—Key distribution or pre-distribution; Key agreement
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 발명은 통신 네트워크에서의 보안 인증을 위한 방법에 관한 것이다. 방법은 사용자 장비(UE)에서 수행되고, 내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계(S100), 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계(S110)를 포함하고, 이 때 외부 인증 키는 내부 인증 키와 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계(S120)를 포함한다. 통신 네트워크에서 보안 인증을 위한 방법, 사용자 장비, 네트워크 노드, 5G 코어 네트워크, 컴퓨터 프로그램, 컴퓨터 프로그램 제품도 제시된다.

Description

비3GPP 액세스의 5G 통신 네트워크에서의 보안 인증
본 발명은 통신 네트워크에서 보안 인증을 위한 방법, 사용자 장비, 네트워크 노드, 5G 코어 네트워크, 및 대응하는 컴퓨터 프로그램, 컴퓨터 프로그램 제품에 관한 것이다.
3GPP(3rd Generation Partnership Project)는 기술 사양(TS) 23.501 및 23.502에서 5G 등록 절차를 명시하고 있다. 보안 양태는 TS 33.501에 명시되어 있다.
비3GPP(non-3GPP) 액세스를 통한 등록을 위한 현재 솔루션은 회의 기고문(TDoc) S2-177794 (TS 23.502 조항 4.12.2에 포함됨)에 명시되어 있다. TS 33.501에서 더 많은 보안 세부 사항이 명시될 것으로 예상된다. 특히 TDoc은 EAP-5G와 EAP-AKA'(Authentication and Key Agreement)라는 두 가지의 네스트된(nested) EAP(Extensible Authentication Protocol) 프로세스의 사용에 대해 설명한다.
S2-17794의 4.12.2 조항- 신뢰할 수 없는 비3GPP 액세스를 통한 등록은, 어떻게 사용자 장비(UE)가 신뢰할 수 없는 비3GPP 액세스 네트워크를 통해 5G 코어(5GC) 네트워크에 등록할 수 있는지 명시한다. 4.2.2.2.2 조항에 명시된 등록 절차를 기반으로 하며, EAP-5G로 지칭되는 벤더별 EAP 프로세스를 사용한다. EAP-5G 패킷은 확장된 EAP 유형과 SMI(Structure of Management Information) Private Enterprise Code 레지스트리에서 IANA에 등록된 기존 3GPP Vendor-Id를 사용한다. EAP-5G 프로세스는 UE와 N3IWF(Non-3GPP Interworking Function) 간에 사용되며, NAS (Non-Access Stratum) 메시지를 (인증이 아니라) 캡슐화하는 데만 사용된다. UE가 인증될 필요가 있는 경우, EAP-AKA’의 상호 인증은 UE와 AUSF(Authentication Server Function) 간에 이하와 같이 수행된다: EAP-AKA’ 인증 절차에 대한 자세한 내용은 TS 33.501에 명시되어 있다.
신뢰할 수 없는 비3GPP 액세스를 통한 등록 및 후속 등록 절차에서, NAS 메시지는 항상 UE와 AMF간에 교환된다. 가능하면, 기존 UE 보안 컨텍스트를 AMF(authentication management function)에서 재사용함으로써 UE를 인증할 수 있다.
TS 23.502의 도 4.12.2-1이 도 1에 도시되며, 신뢰할 수 없는 비3GPP 액세스를 통한 등록을 도시한다.
1. UE는 3GPP의 범위를 벗어난 절차로 신뢰할 수 없는 비3GPP 액세스 네트워크에 접속하고, IP 주소가 할당된다. 임의의 비3GPP 인증 방법이 사용될 수 있는데, 예를 들어, 무인증(무료 무선 근거리 네트워크 (WLAN)의 경우), 사전 공유된 키, 사용자 이름/암호 등을 갖는 EAP 등이 있다. TS 23.501의 6.3.6 조항에 기술된 바와 같이, UE가 5GC 네트워크에 접속하기로 결정하면, UE는 5G PLMN(Public Land Mobile Network)에서 N3IWF를 선택한다.
2. UE는 RFC(Request for Comments) 7296에 따라 인터넷 키 교환(Internet Key Exchange, IKE)을 개시함으로써 선택된 N3IWF와의 IPsec 보안 연관(Security Association, SA)의 설정을 진행한다. 단계 2 이후, 본 단계에서 설정된 IKE SA를 사용하여 모든 후속 IKE 메시지가 암호화되고 무결성이 보호된다.
3. UE는 IKE_AUTH 요청 메시지를 보냄으로써 IKE_AUTH 교환을 개시해야 한다. AUTH 페이로드는 IKE_AUTH 요청 메시지에 포함되어 있지 않고, 이는 IKE_AUTH 교환이 EAP 시그널링 (이 경우 EAP-5G 시그널링)을 사용해야 함을 나타낸다.
4. N3IWF는 EAP-Request/5G-Start 패킷을 포함하는 IKE_AUTH 응답 메시지로 응답한다. EAP-Request/5G-Start 패킷은 UE에게 EAP-5G 세션을 개시하라고, 즉 EAP-5G 패킷 내에 캡슐화된 NAS 메시지 송신을 시작하라고 알려준다.
5. UE는 4.2.2.2.2 조항에 정의된 액세스 네트워크 파라미터(AN-Params) 및 NAS 등록 요청 메시지를 포함하는 EAP-Response/5G-NAS 패킷을 포함하는 IKE_AUTH 요청을 보내야 한다. AN-Params에는 N3IWF가 5G 코어 네트워크에서 AMF를 선택하는데 사용되는 정보(예를 들어, SUPI(Subscriber Permanent Identifier) 또는 5G-GUTI(Globally Unique Temporary Identity(ID)), Selected Network 및 NSSAI(Network Slice Selection Assistance Information))가 포함된다.
그러나 N3IWF는 UE가 첫 번째 IKE_AUTH에 자신의 아이덴티티를 포함하기 때문에 EAP-Identity 요청을 보내지 않는다. 이는 RFC7296, 3.16조항과 일치한다.
6. N3IWF는 TS 23.501, 6.5.3 절에 명시된대로, 수신된 AN-Params 및 지역의 정책에 기반하여 AMF를 선택해야 한다. 그 다음, N3IWF는 UE로부터 수신된 NAS 등록 요청을 선택된 AMF로 전달해야 한다.
7. 선택된 AMF는 NAS 아이덴티티 요청 메시지를 UE에 보냄으로써 UE의 영구적 아이덴티티(SUPI)를 요청하기로 결정할 수 있다. 이러한 NAS 메시지 및 모든 후속 NAS 메시지는 EAP/5G-NAS 패킷 내에 캡슐화되어 UE로 보내진다. UE가 제공하는 SUPI는 TS 33.501에 명시된 대로 암호화되어야 한다.
8. AMF는 UE를 인증하기로 결정할 수 있다. 이 경우, AMF는 TS 23.501의 6.3.4조항에 명시된 대로 UE의 SUPI 또는 암호화된 SUPI를 사용하여 AUSF를 선택해야 하고, 선택된 AUSF에 키 요청을 보내야 한다. AUSF는 TS 33.501에 명시된 대로 EAP-AKA'인증을 개시할 수 있다. EAP-AKA’ 패킷은 NAS 인증 메시지 내에 캡슐화되고, NAS 인증 메시지는 EAP/5G-NAS 패킷 내에 캡슐화된다. 인증 성공 후:
단계 8h에서, AUSF는 앵커 키(보안 앵커 기능(security anchor function, SEAF) 키)를 AMF로 보내야 하고, 이는 AMF가 NAS 보안 키와 N3IWF에 대한 보안 키(N3IWF 키)를 유도하는데 사용된다. 또한, UE는 앵커 키(SEAF 키)를 유도하고, 그 키로부터 NAS 보안 키 및 N3IWF에 대한 보안 키(N3IWF 키)를 유도한다. N3IWF 키는 UE 및 N3IWF가 IPsec 보안 연관(IPsec Security Association)을 설정하는데 사용한다 (단계 11).
단계 8h에서, 만약 단계 8a에서 AMF가 암호화된 SUPI를 AUSF에 제공하였다면, AUSF는 (암호화되지 않은) SUPI도 포함해야 한다.
그러나 TS 33.501에 명시된 바와 같이, 비3GPP 액세스를 통한 UE의 인증에는 오직 EAP-AKA’만 지원된다.
9. AMF는 NAS 보안을 활성화하기 위해 보안 모드 명령(Security Mode Command, SMC) 요청을 UE에 보내야 한다. 이 요청은 먼저 N3IWF 키와 함께 (N2 메시지 내) N3IWF로 보내진다. EAP-AKA’인증이 단계 8에서 성공적으로 수행되었다면, 단계 9a에서 AMF는 SMC 요청 메시지 내 AUSF로부터 수신한 EAP-Success를 캡슐화한다.
10. UE는 (단계 8에서 개시된 경우) EAP-AKA’의 인증을 완료하고, NAS 보안 컨텍스트와 N3IWF 키를 생성한다. UE에서 N3IWF 키가 생성된 후, UE는 EAP-Response/5G-Complete 패킷을 보냄으로써 EAP-5G 세션의 완료를 요청해야 한다. 이는 N3IWF도 AMF로부터 N3IWF 키를 수신했다고 가정하여, N3IWF가 UE에 EAP-Success를 보내도록 트리거한다. 이는 EAP-5G 세션이 완료되고 더 이상 EAP-5G 패킷이 교환되지 않는다. N3IWF가 AMF로부터 N3IWF 키를 수신하지 못한 경우, N3IWF는 EAP-Failure로 응답해야 한다.
11. IPsec SA는, UE에서 생성되고 단계 9a에서 N3IWF에 의해 수신된 공통 N3IWF 키를 사용하여 UE와 N3IWF 간에 설정된다. 이 IPsec SA는 "시그널링 IPsec SA"라고 지칭된다. 시그널링 IPsec SA가 설정된 후, UE와 N3IWF 간에 모든 NAS 메시지는 이 SA를 통해 교환된다. 시그널링 IPsec SA는 전송 모드에서 작동하도록 구성되어야 한다. SPI(Security Security Indication) 값은 IPsec 패킷이 NAS 메시지를 캐리하는지 여부를 결정하는 데 사용된다.
그러나 NAS 메시지의 캡슐화에 GRE(Generic Routing Encapsulation) 또는 다른 임의의 프로토콜이 필요한지 여부는 추가 연구가 필요하다.
12. UE는 설정된 시그널링 IPsec SA를 통해 SMC Complete 메시지를 보내야하고, (4.2.2.2.2 조항에 명시된 바와 같은) 모든 후속 NAS 메시지는 이 IPsec SA를 통해 UE와 AMF 간에 교환된다.
본 발명의 목적은 통신 네트워크에서 인증에 있어 개선된 보안을 가능하게 하는 것이다.
제1양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 방법이 제시된다. 방법은 사용자 장비(UE)에서 수행되고, 내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계와, 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계를 포함하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르고, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계를 포함한다.
외부 인증 프로세스는 EAP-5G와 같은 EAP(Extensible Authentication Protocol) 프로세스일 수 있고, 내부 인증 프로세스는 EAP-AKA(Authentication and Key Agreement) 또는 EAP-AKA’와 같은 EAP 프로세스일 수 있다.
외부 인증 프로세스는 EAP-5G일 수 있고, 내부 인증 프로세스는 NAS(Non-Access Stratum) 메시지와 같은 무결성이 보호되는 메시지일 수 있다.
유도하는 단계는 내부 인증 키의 해시 함수 또는 내부 인증 키의 도함수로 수행될 수 있다. 해시 함수는 내부 인증 키 및 다른 요소를 사용할 수 있다. 다른 요소란 카운터(counter)나 넌스(nonce)과 같은 스트링(string) 또는 프레쉬니스 파라미터(freshness parameter)일 수 있다.
외부 인증 프로세스는 내부 인증 프로세스로부터의 키에 전적으로 의존할 수 있다.
제2양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 방법이 제시된다. 이 방법은 네트워크 노드에 의해 수행되고, 내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계와, 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계를 포함하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르고, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계를 포함한다.
외부 인증 프로세스는 EAP-5G와 같은 EAP 프로세스일 수 있고, 내부 인증 프로세스는 EAP-AKA 또는 EAP-AKA’와 같은 EAP 프로세스일 수 있다.
외부 인증 프로세스는 는 EAP-5G와 같은 EAP 프로세스일 수 있고, 내부 인증 프로세스는 NAS 메시지와 같은 무결성이 보호되는 메시지일 수 있다.
유도하는 단계는 내부 인증 키의 해시 함수 또는 내부 인증 키의 도함수로 수행될 수 있다. 해시 함수는 내부 인증 키 및 다른 요소를 사용할 수 있다. 다른 요소란 카운터(counter)나 넌스(nonce)과 같은 스트링(string) 또는 프레쉬니스 파라미터(freshness parameter)일 수 있다.
외부 인증 프로세스의 방법은 내부 인증 프로세스로부터의 키에 전적으로 의존할 수 있다.
네트워크 노드는 AMF(authentication management function)/SEAF(security anchor function) 또는 N3IWF(Non-3GPP Interworking Function) 또는 AUSF(Authentication Server Function) 또는 gNodeB일 수 있다.
제3양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 방법이 제시된다. 방법은 5G 코어(5GC) 네트워크에서 수행되고, AMF/SEAF에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계, AMF/SEAF에서 제공된 내부 인증 키에 기초하여, N3IWF에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계를 포함하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르고, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계를 포함한다.
제4양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 UE가 제시된다. UE는 프로세서 및 프로세서에 의해 수행될 때, UE가 내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고, 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하는, 명령을 저장하는 컴퓨터 프로그램 제품을 포함하고, 이 때 외부 인증 키는 내부 인증 키와는 다르고, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계를 포함한다.
제5양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 네트워크 노드가 제시된다. 네트워크 노드는 프로세서 및 명령을 저장하는 컴퓨터 프로그램 제품을 포함하고, 컴퓨터 프로그램 제품은 프로세서에 의해 수행될 때, 네트워크 노드가 내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고, 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하고, 이 때 외부 인증 키는 내부 인증 키와는 다르고, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 한다.
제6양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 5GC 네트워크가 제시된다. 5GC 네트워크는 프로세서 및 명령을 저장하는 컴퓨터 프로그램 제품을 포함하고, 컴퓨터 프로그램 제품은 프로세서에 의해 수행될 때, 5GC 네트워크가 AMF/SEAF에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고, AMF/SEAF에 제공된 내부 인증 키에 기초하여, N3IWF에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하고, 이 때 외부 인증 키는 내부 인증 키와는 다르고, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계를 포함한다.
제7양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 UE가 제시된다. UE는 내부 인증 프로세스에 의해 내부 인증 키를 제공하기 위한, 그리고 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하기 위한 결정 관리자를 포함하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하기 위한 통신 관리자를 포함한다.
제8양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 네트워크 노드가 제시된다. 네트워크 노드는 내부 인증 프로세스에 의해 내부 인증 키를 제공하기 위한, 그리고 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하기 위한 결정 관리자를 포함하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하기 위한 통신 관리자를 포함한다.
제9양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 5GC 네트워크가 제시된다. 5GC 네트워크는 AMF/SEAF에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하기 위한, 그리고 AMF/SEAF에서 제공된 내부 인증 키에 기초하여, N3IWF에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하기 위한 결정 관리자를 포함하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하기 위한 통신 관리자를 포함한다.
제10양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 컴퓨터 프로그램이 제시된다. 컴퓨터 프로그램 코드를 포함하는 컴퓨터 프로그램은, UE에서 실행될 때, UE가 내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고, 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 한다.
제11양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 컴퓨터 프로그램이 제시된다. 컴퓨터 프로그램 코드를 포함하는 컴퓨터 프로그램은, 네트워크 노드에서 실행될 때, 네트워크 노드가 내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고, 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 한다.
제12양태에 따르면, 통신 네트워크에서의 보안 인증을 위한 컴퓨터 프로그램이 제시된다. 컴퓨터 프로그램 코드를 포함하는 컴퓨터 프로그램은, 5GC 네트워크에서 실행될 때, 5GC 네트워크가 AMF/SEAF에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고, AMF/SEAF에서 제공된 내부 인증 키에 기초하여, N3IWF에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하는데, 이 때 외부 인증 키는 내부 인증 키와는 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 한다.
컴퓨터 프로그램 및 컴퓨터 프로그램이 저장되는 컴퓨터 판독 가능 저장 수단을 포함하는 컴퓨터 프로그램 제품 또한 제시된다.
일반적으로, 청구 범위에 사용된 모든 용어는 본 명세서에서 달리 구체적으로 정의되지 않는 한, 기술 분야에서의 일반적인 의미에 따라 해석되어야 한다. "요소, 장치, 구성 요소, 수단, 단계 등"에 대한 모든 언급은 달리 명시적으로 언급되지 않는 한, 요소, 장치, 구성 요소, 수단, 단계 등의 적어도 하나의 경우를 언급하는 것으로서 공개적으로 해석되어야 한다. 본 명세서에 개시된 임의의 방법의 단계는 명시적으로 언급되지 않는 한, 개시된 순서대로 수행될 필요는 없다.
본 발명은 첨부 도면을 참조하여 예로서 설명된다:
도 1은 신뢰할 수 없는 비3GPP 액세스를 통한 등록을 도시하는 시그널링 다이어그램이다;
도 2는 비3GPP 등록을 통해 EAG-5G를 5GC에 사용하기 위한 프로토콜 스택을 개략적으로 도시한다;
도 3은 EAP-5G 프로토콜을 이용한 5G 등록, 완전 인증을 도시하는 시그널링 다이어그램이다;
도 4는 본 명세서에 제시된 일 실시 예에 따라 비3GPP 등록을 통해 EAG-5G를 5GC에 사용하기 위한 프로토콜 스택을 개략적으로 도시한다;
도 5는 본 명세서에 제시된 일 실시 예에 따라 비3GPP 등록을 통해 EAG-5G를 5GC에 사용하기 위한 프로토콜 스택을 개략적으로 도시한다;
도 6는 본 명세서에 제시된 실시 예에 따라 비3GPP 등록을 통해 EAG-5G를 5GC에 사용하기 위한 프로토콜 스택을 개략적으로 도시한다;
도 7은 본 명세서에 제시된 일 실시 예에 따라 신뢰할 수 없는 비3GPP 액세스를 통한 등록을 도시하는 시그널링 다이어그램이다;
도 8-9는 본 명세서에 제시된 실시 예에 따른 방법을 도시하는 흐름도이다;
도 10-11은 본 명세서에 제시된 엔티티의 일부 구성 요소를 도시하는 개략도이다;
도 12-13은 본 명세서에 제시된 실시 예의 기능 모듈을 도시하는 개략도이다.
이하, 본 발명의 특정 실시 예가 도시된 첨부 도면을 참조하여 본 발명을보다 상세하게 설명할 것이다. 그러나 본 발명은 여러 가지 상이한 형태로 구현될 수 있으며, 본 명세서에서 설명하는 실시 예에 한정되지 않는다. 오히려, 이들 실시 예는 예시로서 제공되어 본 개시는 철저하고 완전하며, 본 발명의 범위를 당업자에게 완전히 전달할 것이다. 명세서 전체에 걸쳐 동일 참조 부호는 동일 요소를 지칭한다.
현재 3GPP 솔루션에 대한 더 자세한 설명은 TDoc S2-176969에 나와있다. UE와 N3IWF 간에 EAP-5G라고 불리는 EAP 프로세스가 수행되는 방법을 보여준다. EAP-5G는 UE와 AMF 간에 수행되는 3GPP NAS 시그널링을 캐리하는 데 사용된다. NAS는 다른 EAP 프로세스, 예를 들어, EAP-AKA’(RFC 5448)를 캐리할 수 있다. AMF에서 이미 보안 컨텍스트가 존재하고, UE를 인증하는 데 (즉, 무결성이 보호되는 NAS 메시지를 사용하여) 사용될 수 있는 경우, EAP-AKA’로 완전 인증을 실행할 필요가 없을 수 있다.
프로토콜 스택은 도 2에 개략적으로 도시되어 있다.
EAP-5G 및 EAP-AKA’ 프로세스 실행에 대한 더 자세한 플로우는 TDoc S2-176969의 도 3에 설명되어 있다.
도 3은 EAP-AKA'가 소위 SEAF 키라는 키 요소를 생성하여 AMF로 전송함을 보여준다. AMF는 AMF 키(도면에는 도시되지 않음)를 더 유도하는데, 이는 N3IWF 키라고 불리는 키를 유도하는데 사용된다. 중요한 것은 어떻게 N3IWF 키가 처리되는지다. N3IWF 키의 처리는 TDoc S2-176969에 다음과 같이 설명되어 있다:
UE에서 EAP-5G 계층이 NAS 계층으로부터 N3IWF 키를 수신하고(단계 10), N3IWF에서 EAP-5G 계층이 AMF로부터 N3IWF 키를 수신하면(단계 10), UE와 N3IWF 간에 EAP-5G 세션이 성공적으로 완료된다. 이 경우, UE는 Complete flag set와 함께 EAP-5G 패킷을 보내는데, 이는 N3IWF에서 EAP-5G 계층이 EAP-Success를 보내게 한다. 그 후, UE에서 EAP-5G 계층 및 N3IWF에서 EAP-5G 계층은 공통 N3IWF 키를 하위 계층(IKEv2)으로 전달하는데, 이는 IPsec 보안 연관을 설정하기 위해 더 사용된다(단계 13). IPsec SA가 설정된 후, UE는 SMC Complete 메시지를 보낸다(단계 14).
외부 인증 프로세스 계층 EAP-5G는 상위 계층인 NAS, 또는 다른 노드 AMF로부터 키 요소를 수신하는 것이 관찰될 수 있는데, AMF는 이 경우 내부 인증 프로세스 EAP-AKA'에 의해 생성되고, 이는 하위 계층, 즉 이 경우 IKEv2에 그대로 주어진 것이다. EAP-5G가 IKEv2의 관점에서 EAP 프로세스를 생성하는 키임에도 불구하고, 전달된 키 요소는 외부 인증 프로세스 계층 EAP-5G에 연결되지 않는다.
동일한 키 요소가 다른 목적으로 사용되도록 하는 것은 보안적인 위험이 있다. 이 경우, 두 가지 인증 프로세스의 결과로 동일한 키 요소가 사용된다. 이로 인해 향후 발생할 수 있는 공격에 대한 불필요한 여지 및 취약점(예를 들어, 프로토콜 참가자 중 하나가 나머지 참가자에게 거짓말)을 발견할 수 있는 불필요한 여지를 남긴다.
외부 인증 프로세스가 내부 인증 프로세스, 예를 들어, EAP-AKA’ 또는 NAS로부터 수신한 키 요소를 보안 프로토콜에 주기 전에, 외부 인증 프로세스, 예를 들어, EAP-5G와 연결하는 것이 좋다. 인증 프로세스 EAP-AKA'에 의해 생성된 네트워크 및 UE에서 키 요소가 존재하는 경우, 내부 인증 프로세스는 또한 NAS 계층일 수 있음에 유의해야 한다.
외부 인증 프로세스와 내부 인증 프로세스 간에 단지 키만 다르면 충분하다. 이들이 어떻게 다른지에 대한 정확한 방법은 중요하지 않으며, 심지어 k= k+1이면 충분하다. 일반적으로, 외부 프로세스 키 Ksec(도면에서 K_sec)는 내부 프로세스 키의 기능일 수도 있고, 가능하게는 어떤 다른 요소의 기능일 수도 있다. 예를 들어, 기능은 다음과 같은 방식으로 수행될 수 있다: Ksec = KDF (N3IWF,“EAP-5G”), 이 때 KDF는 3GPP TS 33.220의 부록 B에 명시된 KDF와 같은 적절한 키 도함수이다. 이러한 방식으로 양쪽의 통신 측이 어떤 인증 프로세스가 실행되었는지 보장받도록 보장된다.
도 4-6은 인증 프로세스가 5G 통신 네트워크의 다른 네트워크 노드에서 어떻게 구현될 수 있는지에 대한 몇 가지 예를 도시한다. 또한 다른 구현 변형이 가능하다.
일반적으로, 서로 다른 EAP 프로세스 간에 NAS 계층을 가져야 하는 것은 아니지만, 내부 EAP (즉, EAP-AKA') 인증 프로세스는 외부 EAP(즉, EAP-5G) 인증 프로세스를 통해 직접 캐리될 수 있다.
일 실시 예에서, 내부 EAP 프로세스, 외부 EAP 프로세스 및 NAS는 동일한 네트워크 노드에 있으며, 이는 도 4에 도시되어 있다.
일 실시 예에서, 내부 EAP 프로세스는 하나의 노드에 있고, 외부 EAP 프로세스와 NAS는 다른 네트워크 노드에 있으며, 이는 도 5에 도시되어 있다.
일 실시 예에서, 내부 EAP 프로세스, NAS 및 외부 EAP 프로세스는 상이한 네트워크 노드에 있으며, 이는 도 6에 도시되어 있다.
제시된 솔루션은 다른 목적으로 사용되는 키가 문자 그대로 동일한 키가 아니며, 예를 들어, 해시 함수를 통해, 암호로 분리될 수 있는 점을 보장함으로써 우수한 암호화 위생(cryptographic hygiene)을 제공한다.
이것의 주요 이점은 잠재적 미래의 공격에 대한 여지가 적고, 취약점(예를 들어, 프로토콜 참가자 중 하나가 나머지 참가자에게 거짓말)을 발견할 수 있는 여지가 적다.
솔루션은 S2-177794의 현재 텍스트의 관련 부분을 기준으로 사용한 다음의 시그널링 플로우에 설명되어 있다.
도 7은 신뢰할 수 없는 비3GPP 액세스를 통한 등록을 위한 인증에서 개선된 보안의 적용을 도시한다.
1. 단계 1-7은 도 1에 도시된 기준에 설명되어 있다.
8. AMF는 UE를 인증하기로 결정할 수 있다. 이 경우, AMF는 TS 23.501의 6.3.4조항에 명시된 대로 UE의 SUPI 또는 암호화된 SUPI를 사용하여 AUSF를 선택해야하고, 선택된 AUSF에 키 요청을 보내야 한다. AUSF는 TS 33.501에 명시된 대로 EAP-AKA'인증을 개시할 수 있다. EAP-AKA’ 패킷은 NAS 인증 메시지 내에 캡슐화되고, NAS 인증 메시지는 EAP/5G-NAS 패킷 내에 캡슐화된다. 인증 성공 후:
- 단계 8h에서, AUSF는 앵커 키(SEAF 키)를 AMF로 보내야 하며, 이는 AMF에서 NAS 보안 키 및 NAS 보안 키 (N3IWF 키)에 대한 보안 키를 유도하기 위해 사용된다. 또한, UE는 앵커 키(SEAF 키)를 유도하고, 그 키로부터 NAS 보안 키 및 N3IWF에 대한 보안 키(N3IWF 키)를 유도한다.
- 단계 8h에서, 만약 단계 8a에서 AMF가 암호화된 SUPI를 AUSF에 제공하였다면, AUSF는 (암호화되지 않은) SUPI도 포함해야 한다.
그러나 TS 33.501에 명시된 바와 같이, 비3GPP 액세스를 통한 UE의 인증에는 오직 EAP-AKA'만 지원된다.
9. AMF는 NAS 보안을 활성화하기 위해 보안 모드 명령(Security Mode Command, SMC) 요청을 UE에 보내야 한다. 이 요청은 먼저 N3IWF 키와 함께 (N2 메시지 내) N3IWF로 보내진다. EAP-AKA’ 인증이 단계 8에서 성공적으로 수행되었다면, 단계 9a에서 AMF는 SMC Request 메시지 내 AUSF로부터 수신한 EAP-Success를 캡슐화해야 한다.
10a. UE는 EAP-AKA’ 인증을 완료하고 (단계 8에서 개시된 경우), NAS 보안 컨텍스트와 N3IWF 키를 생성한다. UE에서 N3IWF 키가 생성된 후, UE는 EAP-Response/5G-Complete 패킷을 보냄으로써 EAP-5G 세션의 완료를 요청해야 한다.
10b. N3IWF도 N3IWF 키를 AMF로부터 수신했다고 가정하면, EAP-Response/5G-Complete 패킷은 N3IWF가 EAP-Success를 UE에 보내도록 트리거한다. EAP-Success를 UE에 보내고 난 후, N3IWF에서 EAP-5G 계층은 Ksec를 다음과 같이 유도한다: Ksec = KDF (KN3IWF, “EAP-5G”), 유도된 Ksec 키를 하위 계층(IKEv2)에 보낸다. 이는 EAP-5G 세션을 완료하고, 더 이상 EAP-5G 패킷은 교환되지 않는다. N3IWF가 AMF로부터 N3IWF 키를 수신하지 못한 경우, N3IWF는 EAP-Failure로 응답해야 한다.
10c. EAP-Success 패킷을 수신한 후, UE는 N3IWF와 유사하게 Ksec를 유도하고, (NAS 계층으로부터 수신 된) Ksec키를 하위 계층(IKEv2)으로 전달한다.
11. IPsec SA는 단계 10b에서 UE 및 N3IWF에서 생성된 공통 Ksec 키를 사용하여 UE와 N3IWF 간에 설정된다. 이 IPsec SA는 "시그널링 IPsec SA"라고 지칭된다. 시그널링 IPsec SA가 설정된 후, UE와 N3IWF 간에 모든 NAS 메시지는 이 SA를 통해 교환된다. 시그널링 IPsec SA는 전송 모드에서 작동하도록 구성되어야 한다. SPI 값은 IPsec 패킷이 NAS 메시지를 캐리하는지 여부를 결정하는 데 사용된다.
그러나 NAS 메시지의 캡슐화에 GRE 또는 다른 프로토콜이 필요한지 여부는 추가 연구가 필요하다.
12. UE는 설정된 시그널링 IPsec SA를 통해 SMC Complete 메시지를 보내야 하고, (4.2.2.2.2 조항에 명시된 바와 같은) 모든 후속 NAS 메시지는 이 IPsec SA를 통해 UE와 AMF 간에 교환된다.
이전의 설명은 AMF가 EAP-AKA’인증을 개시하지 않는 경우, 즉 단계 8과 하부 단계 8a-8h 및 도 9a와 도 9b의 EAP Sucess를 보내는 단계가 AMF의 결정에 조건부인 경우를 포함하는 점에 주목해야 한다. 이 경우, N3IWF 키는 AMF에 존재하는 AMF 키로부터 유도된다. 따라서, 제시된 솔루션은 내부 EAP 프로세스가 실행되지 않는 경우에도 적용된다.
인증 실행의 부작용으로 키를 생성하지 않는 외부 인증 프로세스가 제시되며, 내부 인증 프로세스를 캐리하는 외부 프로세스 및 그것의 인증 실행의 결과로 키 요소를 제공하고, 외부 프로세스의 결과로 내부 프로세스의 키 요소의 유도를 제공하는 내부 프로세스와 함께 제시된다.
유도는 키 요소의 내부 프로세스의 해시 함수일 수 있고, 가능하게는 다른 어떤 요소(예를 들어, 외부 프로세스의 일부 파라미터 또는 상수 문자열)일 수 있다.
제시된 솔루션은 특히 5G에서 비3GPP 액세스에 유용하다.
일 실시 예에 따르면, 통신 네트워크에서 보안 인증을 위한 방법이 도 7을 참조하여 제시된다. 방법은 UE에서 수행되며, N3IWF로부터 EAP Sucess 메시지를 수신하는 단계와, 그 후 Ksec = KDF(KN3IWF, “EAP-5G”)를 유도하는 단계와, 유도된 Ksec 키를 하위 계층으로 보내는 단계를 포함한다.
일 실시 예에 따르면, 통신 네트워크에서 보안 인증을 위한 방법이 도 7을 참조하여 제시된다. 방법은 N3IWF에서 수행되며, UE로 EAP Sucess 메시지를 보내는 단계와, 그 후 Ksec = KDF(KN3IWF, “EAP-5G”)를 유도하는 단계와, 유도된 Ksec 키를 하위 계층으로 보내는 단계를 포함한다.
일 실시 예에 따르면, 통신 네트워크에서 보안 인증을 위한 방법이 도 8을 참조하여 제시된다. 방법은 UE에서 수행되고, 내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계(S100), 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계(S110)를 포함하고, 이 때 외부 인증 키는 내부 인증 키와 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계(S120)를 포함한다.
외부 인증 프로세스는 EAP-5G와 같은 EAP(Extensible Authentication Protocol) 프로세스일 수 있고, 내부 인증 프로세스는 EAP-AKA(Authentication and Key Agreement) 또는 EAP-AKA’와 같은 EAP 프로세스일 수 있다.
외부 인증 프로세스는 EAP-5G일 수 있고, 내부 인증 프로세스는 NAS(Non-Access Stratum) 메시지와 같은 무결성이 보호되는 메시지일 수 있다.
유도하는 단계는 내부 인증 키의 해시 함수 또는 내부 인증 키의 도함수로 수행될 수 있다. 해시 함수는 내부 인증 키 및 다른 요소를 사용할 수 있다. 다른 요소란 카운터(counter)나 넌스(nonce)과 같은 스트링(string) 또는 프레쉬니스 파라미터(freshness parameter)일 수 있다.
외부 인증 프로세스는 내부 인증 프로세스로부터의 키에 전적으로 의존할 수 있다.
도 10은 UE의 일부 구성 요소를 도시하는 개략도이다. 프로세서(10)는 메모리에 저장된 컴퓨터 프로그램(14)의 소프트웨어 명령을 수행할 수 있는, 중앙 처리 장치(CPU), 멀티프로세서, 마이크로컨트롤러, 디지털 신호 프로세서(DSP), 주문형 직접 회로 등 중 적절한 하나 이상의 임의의 조합을 사용하여 제공될 수 있다. 따라서 메모리는 컴퓨터 프로그램 제품(12)의 일부로 간주되거나 그 일부를 형성할 수 있다. 프로세서(10)는 도 8을 참조하여 본 명세서에 설명된 방법들을 수행하도록 구성될 수 있다.
메모리는 판독 및 기록 메모리(RAM) 및 판독 전용 메모리(ROM)의 임의의 조합일 수 있다. 메모리는 또한 영구 저장 장치를 포함할 수 있으며, 예를 들어, 자기 메모리, 광학 메모리, 솔리드 스테이트 메모리 또는 심지어 원격으로 장착된 메모리의 임의의 단일 또는 조합일 수 있다.
또한 데이터 메모리 형태의 제2컴퓨터 프로그램 제품(13)이 예를 들어, 프로세서(10)에서 소프트웨어 명령의 실행 동안 데이터를 판독 및/또는 저장하기 위하여 제공될 수 있다. 데이터 메모리는 판독 및 기록 메모리(RAM) 및 판독 전용 메모리(ROM)의 임의의 조합일 수 있고, 영구 저장 장치를 포함할 수도 있는데, 영구 저장 장치는 예를 들어, 자기 메모리, 광학 메모리, 솔리드 스테이트 메모리, 또는 원격 장착 메모리의 임의의 단일 또는 조합일 수 있다. 데이터 메모리는, 예를 들어, 다른 소프트웨어 명령(15)을, UE에 대한 기능을 개선하기 위해 보유할 수 있다.
UE는 예를 들어, 사용자 인터페이스를 포함하는, 입력/출력(I/O) 인터페이스(11)를 더 포함할 수 있다. UE는 다른 노드로부터 시그널링을 수신하도록 구성된 수신기 및 다른 노드로 시그널링을 전송하도록 구성된 전송기를 더 포함할 수 있다(도시되지 않음). 본 명세서에 제시된 개념을 모호하게 하지 않기 위해 UE의 다른 구성 요소는 생략된다.
도 12는 UE의 기능 블록을 도시하는 개략도이다. 모듈은 캐시(cache) 서버에서 수행되는 컴퓨터 프로그램과 같은 소프트웨어 명령으로만, 또는 주문형 직접 회로, 필드 프래그래머블 게이트 어레이, 이산 로직 컴포넌트(discrete logical components), 트랜시버 등과 같은 하드웨어로만, 또는 이들의 조합으로 구현될 수 있다. 대안적인 실시 예에서, 기능 블록 중 일부는 소프트웨어 및 다른 하드웨어에 의해 구현될 수 있다. 모듈은 결정 관리자 유닛(120) 및 통신 관리자 유닛(121)을 포함하는 도 8에 도시된 방법의 단계에 대응한다. 하나 이상의 모듈이 컴퓨터 프로그램에 의해 구현되는 실시 예에서, 이러한 모듈이 반드시 프로세스 모듈과 대응하지는 않으나, 구현될 프로그래밍 언어에 따라 명령으로 작성될 수 있고, 이는 일부 프로그래밍 언어에는 일반적으로 프로세스 모듈이 포함되어 있지 않기 때문이다.
결정 관리자(120)는 통신 네트워크에서의 보안 인증을 위한 것이다. 이 모듈은 도 8의 제공 단계(S100) 및 유도 단계(S110)에 대응한다. 이 모듈은 예를 들어, 컴퓨터 프로그램을 실행할 때, 도 10의 프로세서(10)에 의해 구현될 수 있다.
통신 관리자(121)는 통신 네트워크에서의 보안 인증을 위한 것이다. 이 모듈은 도 8의 제공 단계(S120)에 대응한다. 이 모듈은 예를 들어, 컴퓨터 프로그램을 실행할 때, 도 10의 프로세서(10)에 의해 구현될 수 있다.
일 실시 예에 따른, 통신 네트워크에서 보안 인증을 위한 방법이 도 9를 참조하여 제시된다. 이 방법은 네트워크 노드에서 수행되고, 내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계(S300), 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계(S310)를 포함하고, 이 때 외부 인증 키는 내부 인증 키와 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계(S320)를 포함한다.
외부 인증 프로세스는 EAP-5G와 같은 EAP 프로세스일 수 있고, 내부 인증 프로세스는 EAP-AKA 또는 EAP-AKA’와 같은 EAP 프로세스일 수 있다.
외부 인증 프로세스는 는 EAP-5G와 같은 EAP 프로세스일 수 있고, 내부 인증 프로세스는 NAS 메시지와 같은 무결성이 보호되는 메시지일 수 있다.
유도하는 단계는 내부 인증 키의 해시 함수 또는 내부 인증 키의 도함수로 수행될 수 있다. 해시 함수는 내부 인증 키 및 다른 요소를 사용할 수 있다. 다른 요소란 카운터(counter)나 넌스(nonce)과 같은 스트링(string) 또는 프레쉬니스 파라미터(freshness parameter)일 수 있다.
외부 인증 프로세스는 내부 인증 프로세스로부터의 키에 전적으로 의존할 수 있다.
네트워크 노드는 AMF(authentication management function)/SEAF(security anchor function), 또는 N3IWF(Non-3GPP Interworking Function), 또는 AUSF(Authentication Server Function), 또는 gNodeB일 수 있다.
도 11은 네트워크 노드의 일부 구성 요소를 도시하는 개략도이다. 프로세서(30)는 메모리에 저장된 컴퓨터 프로그램(34)의 소프트웨어 명령을 수행할 수 있는, 중앙 처리 장치(CPU), 멀티프로세서, 마이크로컨트롤러, 디지털 신호 프로세서(DSP), 주문형 직접 회로 등 중 적절한 하나 이상의 임의의 조합을 사용하여 제공될 수 있다. 따라서 메모리는 컴퓨터 프로그램 제품(32)의 일부로 간주되거나 그 일부를 형성할 수 있다. 프로세서(30)는 도 9를 참조하여 본 명세서에 설명된 방법들을 수행하도록 구성될 수 있다.
메모리는 판독 및 기록 메모리(RAM) 및 판독 전용 메모리(ROM)의 임의의 조합일 수 있다. 메모리는 또한 영구 저장 장치를 포함할 수 있으며, 예를 들어, 자기 메모리, 광학 메모리, 솔리드 스테이트 메모리 또는 심지어 원격으로 장착된 메모리의 임의의 단일 또는 조합일 수 있다.
또한 데이터 메모리 형태의 제2컴퓨터 프로그램 제품(33)이 예를 들어, 프로세서(30)에서 소프트웨어 명령의 수행 동안 데이터를 판독 및/또는 저장하기 위하여 제공될 수 있다. 데이터 메모리는 판독 및 기록 메모리(RAM) 및 판독 전용 메모리(ROM)의 임의의 조합일 수 있고, 영구 저장 장치를 포함할 수도 있는데, 영구 저장 장치는 예를 들어, 자기 메모리, 광학 메모리, 솔리드 스테이트 메모리, 또는 원격 장착 메모리의 임의의 단일 또는 조합일 수 있다. 데이터 메모리는, 예를 들어, 다른 소프트웨어 명령(35)을, 네트워크 노드에 대한 기능을 개선하기 위해 보유할 수 있다.
네트워크 노드는 예를 들어, 사용자 인터페이스를 포함하는, 입력/출력(I/O) 인터페이스(31)를 더 포함할 수 있다. 네트워크 노드는 다른 노드로부터 시그널링을 수신하도록 구성된 수신기 및 다른 노드로 시그널링을 전송하도록 구성된 전송기를 더 포함할 수 있다 (도시되지 않음). 본 명세서에 제시된 개념을 모호하게 하지 않기 위해 네트워크 노드의 다른 구성 요소는 생략된다.
도 13은 네트워크 노드의 기능 블록을 도시하는 개략도이다. 모듈은 캐시(cache) 서버에서 수행되는 컴퓨터 프로그램과 같은 소프트웨어 명령으로만, 또는 주문형 직접 회로, 필드 프래그래머블 게이트 어레이, 이산 로직 컴포넌트(discrete logical components), 트랜시버 등과 같은 하드웨어로만, 또는 이들의 조합으로 구현될 수 있다. 대안적인 실시 예에서, 기능 블록 중 일부는 소프트웨어 및 다른 하드웨어에 의해 구현될 수 있다. 모듈은 결정 관리자 유닛(130) 및 통신 관리자 유닛(131)을 포함하는 도 9에 도시된 방법의 단계에 대응한다. 하나 이상의 모듈이 컴퓨터 프로그램에 의해 구현되는 실시 예에서, 이러한 모듈이 반드시 프로세스 모듈과 대응하지는 않으나, 구현될 프로그래밍 언어에 따라 명령으로 작성될 수 있고, 이는 일부 프로그래밍 언어에는 일반적으로 프로세스 모듈이 포함되어 있지 않기 때문이다.
결정 관리자(130)는 통신 네트워크에서의 보안 인증을 위한 것이다. 이 모듈은 도 9의 제공 단계(S300) 및 유도 단계(S310)에 대응한다. 이 모듈은 컴퓨터 프로그램을 실행할 때, 예를 들어, 도 11의 프로세서(30)에 의해 구현될 수 있다.
통신 관리자(131)는 통신 네트워크에서의 보안 인증을 위한 것이다. 이 모듈은 도 9의 제공 단계(S320)에 대응한다. 이 모듈은 컴퓨터 프로그램을 실행할 때, 예를 들어, 도 13의 프로세서(30)에 의해 구현될 수 있다.
일 실시 예에 따르면, 통신 네트워크에서 보안 인증을 위한 방법이 도 9를 참조하여 제시된다. 방법은 5G 코어(5GC) 네트워크에서 수행되고, AMF(authentication management function)/SEAF(security anchor function)에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계(S300), AMF/SEAF에서 제공된 내부 인증 키에 기초하여, N3IWF(Non-3GPP Interworking Function)에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계(S310)를 포함하고, 이 때 외부 인증 키는 내부 인증 키와 다르며, 유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계(S320)를 포함한다.
본 발명은 주로 몇몇 실시 예를 참조하여 설명되었다. 그러나, 당업자에게 쉽게 이해되는 바와 같이, 상기 개시된 것들 이외의 다른 실시 예들이 첨부된 청구 범위에 의해 정의된 바와 같이 본 발명의 범위 내에서 동일하게 가능하다.
프로세서(30)

Claims (39)

  1. 통신 네트워크에서 보안 인증을 위한 방법으로서, 방법은 사용자 장비(UE)에서 수행되고:
    내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계(S100);
    내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계(S110)로서, 이 때 외부 인증 키는 내부 인증 키와는 다른, 단계(S110);
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계(S120)를 포함하는, 방법.
  2. 제1항에 있어서,
    외부 인증 프로세스는 EAP-5G와 같은 EAP(Extensible Authentication Protocol) 프로세스이고, 내부 인증 프로세스는 EAP-AKA(Authentication and Key Agreement) 또는 EAP-AKA’와 같은 EAP 프로세스인, 방법.
  3. 제1항에 있어서,
    외부 인증 프로세스는 EAP-5G이고, 내부 인증 프로세스는 NAS(Non-Access Stratum) 메시지와 같은 무결성이 보호되는 메시지인, 방법.
  4. 제1항 내지 제3항 중 임의의 한 항에 있어서,
    유도하는 단계는 내부 인증 키의 해시 함수 또는 내부 인증 키의 도함수로 수행되는, 방법.
  5. 제4항에 있어서,
    해시 함수는 내부 인증 키 및 다른 요소를 사용하는, 방법.
  6. 제5항에 있어서,
    다른 요소란 카운터(counter)나 넌스(nonce)과 같은 스트링(string) 또는 프레쉬니스 파라미터(freshness parameter)인, 방법.
  7. 제1항 내지 제4항 중 임의의 한 항에 있어서,
    외부 인증 프로세스는 내부 인증 프로세스로부터의 키에 전적으로 의존하는, 방법.
  8. 통신 네트워크에서의 보안 인증을 위한 방법으로서, 방법은 네트워크 노드에서 수행되고:
    내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계(S300);
    내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계(S310)로서, 이 때 외부 인증 키는 내부 인증 키와는 다른, 단계(S310);
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계(S320)를 포함하는, 방법.
  9. 제8항에 있어서,
    외부 인증 프로세스는 EAP-5G와 같은 EAP 프로세스이고, 내부 인증 프로세스는 EAP-AKA 또는 EAP-AKA’와 같은 EAP 프로세스인, 방법.
  10. 제8항에 있어서,
    외부 인증 프로세스는 EAP-5G와 같은 EAP 프로세스이고, 내부 인증 프로세스는 NAS(Non-Access Stratum) 메시지와 같은 무결성이 보호되는 메시지인, 방법.
  11. 제8항 내지 제10항 중 임의의 한 항에 있어서,
    유도하는 단계는 내부 인증 키의 해시 함수 또는 내부 인증 키의 도함수로 수행되는, 방법.
  12. 제11항에 있어서,
    해시 함수는 내부 인증 키 및 다른 요소를 사용하는, 방법.
  13. 제12항에 있어서,
    다른 요소란 카운터(counter)나 넌스(nonce)과 같은 스트링(string) 또는 프레쉬니스 파라미터(freshness parameter)인, 방법.
  14. 제8항 내지 제11항 중 임의의 한 항에 있어서,
    외부 인증 프로세스는 내부 인증 프로세스로부터의 키에 전적으로 의존하는, 방법.
  15. 제8항 내지 제14항 중 임의의 한 항에 있어서,
    네트워크 노드는 AMF(authentication management function)/SEAF(security anchor function), 또는 N3IWF(Non-3GPP Interworking Function), 또는 AUSF(Authentication Server Function), 또는 gNodeB인, 방법.
  16. 통신 네트워크에서의 보안 인증을 위한 방법으로서, 방법은5G 코어(5GC) 네트워크에서 수행되고:
    AMF(authentication management function)/SEAF(security anchor function)에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하는 단계(S300);
    AMF/SEAF에서 제공된 내부 인증 키에 기초하여, N3IWF(Non-3GPP Interworking Function)에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하는 단계(S310)로서, 이 때 외부 인증 키는 내부 인증 키와는 다른, 단계(S310);
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하는 단계(S320)를 포함하는, 방법.
  17. 통신 네트워크에서의 보안 인증을 위한 사용자 장비(UE)로서:
    프로세서(10);
    프로세서에 의해 수행될 때, 명령을 저장하는 컴퓨터 프로그램 제품(12, 13)으로서, UE가:
    내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고;
    내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하고, 이 때 외부 인증 키는 내부 인증 키와는 다르며;
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 하는, 컴퓨터 프로그램 제품(12, 13)을 포함하는, 사용자 장비.
  18. 제17항에 있어서,
    외부 인증 프로세스는 EAP-5G와 같은 EAP(Extensible Authentication Protocol) 프로세스이고, 내부 인증 프로세스는 EAP-AKA(Authentication and Key Agreement) 또는 EAP-AKA’와 같은 EAP 프로세스인, 사용자 장비.
  19. 제17항에 있어서,
    외부 인증 프로세스는 EAP-5G이고, 내부 인증 프로세스는 NAS(Non-Access Stratum) 메시지와 같은 무결성이 보호되는 메시지인, 사용자 장비.
  20. 제17항 내지 제19항 중 임의의 한 항에 있어서,
    유도하는 단계는 내부 인증 키의 해시 함수 또는 내부 인증 키의 도함수로 수행되는, 사용자 장비.
  21. 제20항에 있어서,
    해시 함수는 내부 인증 키 및 다른 요소를 사용하는, 사용자 장비.
  22. 제21항에 있어서,
    다른 요소란 카운터(counter)나 넌스(nonce)과 같은 스트링(string) 또는 프레쉬니스 파라미터(freshness parameter)인, 사용자 장비.
  23. 제17항 내지 제20항 중 임의의 한 항에 있어서,
    외부 인증 프로세스는 내부 인증 프로세스로부터의 키에 전적으로 의존하는, 사용자 장비.
  24. 통신 네트워크에서의 보안 인증에 대한 네트워크 노드로서:
    프로세서(30);
    프로세서에 의해 수행될 때, 명령을 저장하는 컴퓨터 프로그램 제품(32, 33)으로서, 네트워크 노드가:
    내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고;
    내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하고, 이 때 외부 인증 키는 내부 인증 키와는 다르며;
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 하는, 컴퓨터 프로그램 제품(32, 33)을 포함하는, 네트워크 노드.
  25. 제24항에 있어서,
    외부 인증 프로세스는 EAP-5G와 같은 EAP(Extensible Authentication Protocol) 프로세스이고, 내부 인증 프로세스는 EAP-AKA(Authentication and Key Agreement) 또는 EAP-AKA’와 같은 EAP 프로세스인, 네트워크 노드.
  26. 제24항에 있어서,
    외부 인증 프로세스는 EAP-5G와 같은 EAP 프로세스이고, 내부 인증 프로세스는 NAS(Non-Access Stratum) 메시지와 같은 무결성이 보호되는 메시지인, 네트워크 노드.
  27. 제24항 내지 제26항 중 임의의 한 항에 있어서,
    유도하는 단계는 내부 인증 키의 해시 함수 또는 내부 인증 키의 도함수로 수행되는, 네트워크 노드.
  28. 제27항에 있어서,
    해시 함수는 내부 인증 키 및 다른 요소를 사용하는, 네트워크 노드.
  29. 제28항에 있어서,
    다른 요소란 카운터(counter)나 넌스(nonce)과 같은 스트링(string) 또는 프레쉬니스 파라미터(freshness parameter)인, 네트워크 노드.
  30. 제24항 내지 제27항 중 임의의 한 항에 있어서,
    외부 인증 프로세스는 내부 인증 프로세스로부터의 키에 전적으로 의존하는, 네트워크 노드.
  31. 제24항 내지 제30항 중 임의의 한 항에 있어서,
    네트워크 노드는 AMF(authentication management function)/SEAF(security anchor function), 또는 N3IWF(Non-3GPP Interworking Function), 또는 AUSF(Authentication Server Function), 또는 gNodeB인, 네트워크 노드.
  32. 통신 네트워크에서의 보안 인증을 위한 5G 코어(5GC) 네트워크로서:
    프로세서(30);
    프로세서에 의해 수행될 때, 명령을 저장하는 컴퓨터 프로그램 제품(32, 33)으로서, 5GC 네트워크가:
    AMF(authentication management function)/SEAF(security anchor function)에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고;
    AMF/SEAF에서 제공된 내부 인증 키에 기초하여, N3IWF(Non-3GPP Interworking Function)에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하고, 이 때 외부 인증 키는 내부 인증 키와는 다르며;
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 하는, 컴퓨터 프로그램 제품(32, 33)을 포함하는, 5G 코어 네트워크 노드.
  33. 통신 네트워크에서의 보안 인증을 위한 사용자 장비(UE)로서:
    내부 인증 프로세스에 의해 내부 인증 키를 제공하기 위한, 그리고 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하기 위한 결정 관리자(120)로서, 이 때 외부 인증 키는 내부 인증 키와 다른, 결정 관리자(120);
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하기 위한 통신 관리자(121)를 포함하는, 사용자 장비.
  34. 통신 네트워크에서의 보안 인증을 위한 네트워크 노드로서:
    내부 인증 프로세스에 의해 내부 인증 키를 제공하기 위한, 그리고 내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하기 위한 결정 관리자(130)로서, 이 때 외부 인증 키는 내부 인증 키와 다른, 결정 관리자(130);
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하기 위한 통신 관리자(131)를 포함하는, 네트워크 노드.
  35. 통신 네트워크에서의 보안 인증을 위한 5G 코어(5GC) 네트워크로서:
    AMF(authentication management function)/SEAF(security anchor function)에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하기 위한, 그리고 AMF/SEAF에서 제공된 내부 인증 키에 기초하여, N3IWF(Non-3GPP Interworking Function)에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하기 위한 결정 관리자(130)로서, 이 때 외부 인증 키는 내부 인증 키와 다른, 결정 관리자(130);
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하기 위한 통신 관리자(131)를 포함하는, 5G 코어 네트워크.
  36. 통신 네트워크에서의 보안 인증을 위한 컴퓨터 프로그램(14, 15)으로서, 컴퓨터 프로그램(14, 15)은 사용자 장비(UE)에서 실행될 때, 컴퓨터 프로그램 코드를 포함하고, UE가:
    내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고;
    내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하고, 이 때 외부 인증 키는 내부 인증 키와는 다르며;
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 하는, 컴퓨터 프로그램.
  37. 통신 네트워크에서의 보안 인증을 위한 컴퓨터 프로그램(14, 15)으로서, 컴퓨터 프로그램(14, 15)은 네트워크 노드에서 실행될 때, 컴퓨터 프로그램 코드를 포함하고, 네트워크 노드가:
    내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고;
    내부 인증 키에 기초하여, 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하고, 이 때 외부 인증 키는 내부 인증 키와는 다르며;
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 하는, 컴퓨터 프로그램.
  38. 통신 네트워크에서 보안 인증을 위한 컴퓨터 프로그램(34, 35)으로서, 컴퓨터 프로그램(34, 35)은 5G 코어(5GC) 네트워크에서 실행될 때, 컴퓨터 프로그램 코드를 포함하고, 5GC 네트워크가:
    AMF(authentication management function)/SEAF(security anchor function)에서 내부 인증 프로세스에 의해 내부 인증 키를 제공하게 하고;
    AMF/SEAF에서 제공된 내부 인증 키에 기초하여, N3IWF(Non-3GPP Interworking Function)에서 외부 인증 프로세스에 의해 외부 인증 키를 유도하게 하고, 이 때 외부 인증 키는 내부 인증 키와는 다르며;
    유도된 외부 인증 키를 보안 프로토콜에/이후의 보안 통신을 위해 제공하게 하는, 컴퓨터 프로그램.
  39. 제36항, 제37항, 또는 제38항에 따른 컴퓨터 프로그램(14, 15; 34, 35)을 포함하는 컴퓨터 프로그램 제품(12, 13; 32, 33) 및 컴퓨터 프로그램(14, 15; 34, 35)이 저장된 컴퓨터 판독 가능 저장 매체.
KR1020207016286A 2017-11-13 2018-10-03 비3gpp 액세스의 5g 통신 네트워크에서의 보안 인증 KR20200081470A (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201762585008P 2017-11-13 2017-11-13
US62/585,008 2017-11-13
PCT/EP2018/076917 WO2019091668A1 (en) 2017-11-13 2018-10-03 Secure authentication in a 5g communication network in non-3gpp access

Publications (1)

Publication Number Publication Date
KR20200081470A true KR20200081470A (ko) 2020-07-07

Family

ID=63794479

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020207016286A KR20200081470A (ko) 2017-11-13 2018-10-03 비3gpp 액세스의 5g 통신 네트워크에서의 보안 인증

Country Status (7)

Country Link
US (2) US20200280435A1 (ko)
EP (1) EP3711322A1 (ko)
JP (1) JP2021502739A (ko)
KR (1) KR20200081470A (ko)
CN (1) CN111316683A (ko)
BR (1) BR112020008480A2 (ko)
WO (1) WO2019091668A1 (ko)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11889387B2 (en) * 2018-02-16 2024-01-30 Nec Corporation Communication apparatus, distribution apparatus, communication system, transmission method, and non-transitory computer readable medium
CN110234112B (zh) * 2018-03-05 2020-12-04 华为技术有限公司 消息处理方法、系统及用户面功能设备
EP3782393B1 (en) * 2018-04-14 2022-08-17 Telefonaktiebolaget LM Ericsson (publ) Service-based 5g core authentication endpoints
WO2020145064A1 (en) * 2019-01-11 2020-07-16 Nec Corporation A method and a device for enabling key re-usage in a communication network
CN111465012B (zh) * 2019-01-21 2021-12-10 华为技术有限公司 通信方法和相关产品
WO2023212901A1 (en) * 2022-05-06 2023-11-09 Apple Inc. Authentication proxy use in authentication and key management for applications
WO2024026698A1 (zh) * 2022-08-02 2024-02-08 北京小米移动软件有限公司 一种用户设备接入移动网络的方法及其装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8583923B2 (en) * 2006-12-08 2013-11-12 Toshiba America Research, Inc. EAP method for EAP extension (EAP-EXT)

Also Published As

Publication number Publication date
US20210143988A1 (en) 2021-05-13
BR112020008480A2 (pt) 2020-10-20
JP2021502739A (ja) 2021-01-28
WO2019091668A1 (en) 2019-05-16
CN111316683A (zh) 2020-06-19
EP3711322A1 (en) 2020-09-23
US20200280435A1 (en) 2020-09-03

Similar Documents

Publication Publication Date Title
US20240064144A1 (en) Security lifecycle management of devices in a communications network
EP3545702B1 (en) User identity privacy protection in public wireless local access network, wlan, access
US20210143988A1 (en) Secure authentication in a communication network
US8601569B2 (en) Secure access to a private network through a public wireless network
TWI672933B (zh) 用於下一代蜂巢網路的使用者面安全
KR101287309B1 (ko) 홈 노드-ｂ 장치 및 보안 프로토콜
JP6189953B2 (ja) 無線ユニットのユーザを認証するための方法およびシステム
US10902110B2 (en) Use of AKA methods and procedures for authentication of subscribers without access to SIM credentials
US8990925B2 (en) Security for a non-3GPP access to an evolved packet system
US7194763B2 (en) Method and apparatus for determining authentication capabilities
WO2019104124A1 (en) Secure authentication of devices for internet of things
EP3440861B1 (en) Lte-level security for neutral host lte
CN112514436B (zh) 发起器和响应器之间的安全的、被认证的通信
KR20230124621A (ko) 비-3gpp 서비스 액세스를 위한 ue 인증 방법 및 시스템
BR112021003460A2 (pt) dispositivo sem identidade de assinante, dispositivo de identidade do assinante, método para uso em um dispositivo sem identidade de assinante, método para uso em um dispositivo com identidade de assinante e produto de programa de computador
US11316670B2 (en) Secure communications using network access identity
US9532218B2 (en) Implementing a security association during the attachment of a terminal to an access network
Marques et al. Integration of the Captive Portal paradigm with the 802.1 X architecture
US20240114338A1 (en) Systems and methods for authentication of non-3gpp devices behind a residential gateway
Mortágua et al. Enhancing 802.1 X authentication with identity providers using EAP-OAUTH and OAuth 2.0
Thagadur Prakash Enhancements to Secure Bootstrapping of Smart Appliances

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right