KR20200086721A - 보안 보호 방법 및 장치 - Google Patents
보안 보호 방법 및 장치 Download PDFInfo
- Publication number
- KR20200086721A KR20200086721A KR1020207017411A KR20207017411A KR20200086721A KR 20200086721 A KR20200086721 A KR 20200086721A KR 1020207017411 A KR1020207017411 A KR 1020207017411A KR 20207017411 A KR20207017411 A KR 20207017411A KR 20200086721 A KR20200086721 A KR 20200086721A
- Authority
- KR
- South Korea
- Prior art keywords
- access technology
- nas count
- message
- nas
- uplink
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/08—Access security
-
- H04W12/0013—
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/03—Protecting confidentiality, e.g. by encryption
- H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
-
- H04W12/04031—
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
- H04W12/0431—Key distribution or pre-distribution; Key agreement
-
- H04W12/1006—
-
- H04W12/1008—
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/10—Integrity
- H04W12/106—Packet or message integrity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/10—Integrity
- H04W12/108—Source integrity
-
- H04W12/1204—
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/12—Detection or prevention of fraud
- H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
- H04W12/122—Counter-measures against attacks; Protection against rogue devices
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Mobile Radio Communication Systems (AREA)
- Storage Device Security (AREA)
- Communication Control (AREA)
Abstract
본 출원은 무선 통신 기술 분야에 관한 것이다.
본 출원의 실시예는 복수의 비접속 계층(non-access stratum, NAS) 연결 링크의 보안 보호를 구현하는 데 사용되는 보안 보호 방법 및 장치를 제공한다. 본 출원의 보안 보호 방법은, 단말기가 제1 파라미터를 결정하는 단계 - 제1 파라미터는 NAS 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용되고, 단말기는 적어도 2가지 유형의 접속 기술을 지원할 수 있으며, 적어도 2개의 유형의 접속 기술 간에 각각의 유형의 접속 기술에 대한 대응하는 NAS 일련 번호를 유지할 수 있음 -; 및 단말기가, 제1 파라미터, NAS 키, 및 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS 일련 번호에 기초하여 NAS 메시지의 보안 보호를 수행하는 단계를 포함한다. 본 출원은 NAS 메시지에 대한 보안 보호 과정에 적용 가능하다.
본 출원의 실시예는 복수의 비접속 계층(non-access stratum, NAS) 연결 링크의 보안 보호를 구현하는 데 사용되는 보안 보호 방법 및 장치를 제공한다. 본 출원의 보안 보호 방법은, 단말기가 제1 파라미터를 결정하는 단계 - 제1 파라미터는 NAS 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용되고, 단말기는 적어도 2가지 유형의 접속 기술을 지원할 수 있으며, 적어도 2개의 유형의 접속 기술 간에 각각의 유형의 접속 기술에 대한 대응하는 NAS 일련 번호를 유지할 수 있음 -; 및 단말기가, 제1 파라미터, NAS 키, 및 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS 일련 번호에 기초하여 NAS 메시지의 보안 보호를 수행하는 단계를 포함한다. 본 출원은 NAS 메시지에 대한 보안 보호 과정에 적용 가능하다.
Description
본 출원은 2017년 11월 17일에 중국 국가지식산권국(PRC)에 출원된 중국 특허출원 제201711148926.5호(" SECURITY PROTECTION METHOD AND APPARATUS")에 대해 우선권을 주장하는 바이며, 그 전체 내용이 원용에 의해 본 명세서에 포함된다.
본 출원의 실시예는 무선 통신 기술 분야에 관한 것으로, 상세하게는 보안 보호 방법 및 장치에 관한 것이다.
5세대(5th generation, 5G) 시스템에서, 단말기는 3세대 파트너십 프로젝트(3rd generation partnership project, 3GPP) 접속 기술만을 통해, 또는 비-3GPP(non-3GPP) 접속 기술만을 통해, 또는 3GPP 접속 기술과 비-3GPP 접속 기술 모두를 통해 접속 및 이동성 관리 기능(access and mobility management function, AMF) 노드에 접속할 수 있다. 단말기가 3GPP 접속 기술과 비-3GPP 접속 기술을 통해 AMF 노드에 접속할 때, 단말기와 AMF 노드 사이에는 2개의 비접속 계층(non-access stratum, NAS) 연결 링크가 동시에 존재한다. 단말기가 하나의 세트의 NAS 키와 하나의 세트의 NAS COUNT(non-access stratum count, NAS count)를 이용하여 2개의 연결 링크를 개별적으로 보호하면, AMF 노드가 먼저 하나의 링크를 통해 전송된 상대적으로 작은 NAS COUNT를 수신하고, 그런 다음 다른 링크를 통해 전송된 비교적 큰 NAS COUNT를 수신하는 경우가 발생할 수 있다. 결과적으로, 리플레이 공격(replay attack)이 발생하여 단말기와 AMF 노드 사이의 NAS 연결 링크 전송의 데이터 보안이 상대적으로 열악한 문제가 발생한다. 따라서, 단말기와 AMF 노드 간에 복수의 NAS 연결 링크가 존재할 때, 복수의 NAS 연결 링크에 대한 보안 보호를 수행하는 방법이 시급히 해결되어야 할 문제이다.
본 출원의 실시예는 복수의 NAS 연결 링크에 대한 보안 보호를 구현하기 위한 보안 보호 방법 및 장치를 제공한다.
전술한 목적을 달성하기 위해, 다음의 기술적 해결책이 본 출원의 실시예에서 제공된다.
본 출원의 실시예는 보안 보호 방법을 제공한다. 상기 보안 보호 방법은, 단말기가 제1 파라미터를 결정하고, 제1 파라미터, NAS 키, 및 상기 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS COUNT에 기초하여 NAS 메시지에 대해 보안 보호를 수행하는 단계를 포함한다. 상기 제1 파라미터는 상기 단말기가 상기 NAS 메시지에 대해 보안 보호를 수행할 때 사용되는 입력 파라미터이고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술을 나타내는 데 사용된다. 상기 단말기는 적어도 2개의 접속 기술을 지원할 수 있고, 상기 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다.
예를 들어, 상기 단말기에 의해 지원되는 상기 적어도 2개의 접속 기술은 3GPP 접속 기술 및 상기 3GPP 접속 기술과 3GPP 네트워크 코어 네트워크 장치를 공유할 수 있는 접속 기술, 예를 들어 비-3GPP 접속 기술 또는 고정형 네트워크 접속 기술(fixed network access technology)을 포함할 수 있다.
선택적으로, 상기 제1 파라미터는 상기 NAS 메시지를 전송하기 위해 상기 단말기에 의해 사용되는 전송 경로를 나타내는 데 추가로 사용될 수 있고, 상기 단말기는 NAS 메시지를 전송하는 데 사용되는 각각의 전송 경로에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다.
상기 제1 파라미터는 암호화 및 복호화 과정 또는 무결성 보호 과정에 새롭게 추가된 입력 파라미터, 예를 들어 ACCESS 파라미터일 수 있다. 상기 ACCESS 파라미터의 비트가 다른 값으로 설정되어 다른 접속 기술을 나타낼 수 있다. 예를 들어, 상기 제1 파라미터가 00이면, 3GPP 접속 기술이 사용된다는 것을 나타내거나; 또는 상기 제1 파라미터가 01이면 비-3GPP 접속 기술이 사용된다는 것을 나타낸다. 대안적으로, 상기 제1 파라미터는 입력 파라미터(COUNT)의 모든 비트 또는 일부 비트일 수 있거나, 또는 상기 제1 파라미터는 입력 파라미터(BEARER)의 모든 비트 또는 일부 비트일 수 있다.
상기 NAS 키는 단말기에 의해 지원되는 2개 이상의 접속 기술에 공통이다.
이 방법에 따르면, 단말기는 적어도 2개의 액세스 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다. 상기 단말기는 다른 접속 기술을 통해 NAS 메시지를 전송할 때 동일한 세트의 NAS COUNT를 사용하지 않는다. 대신에, 상기 단말기는 대응하는 접속 기술을 위해 유지되는 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호를 수행한다. 이렇게 하면, 코어 네트워크 장치가 하나의 링크를 이용하여 전송된 상대적으로 작은 NAS COUNT를 수신한 다음, 다른 링크를 이용하여 전송된 상대적으로 큰 NAS COUNT를 수신할 때 일어나는 리플레이 공격 문제(replay attack problem)를 피할 수 있다. 또한, 본 출원에서, 서로 다른 접속 기술을 구별하는 데 사용되는 상기 제1 파라미터가 상기 NAS 메시지에 대해 보안 보호가 수행될 때 추가로 사용된다. 따라서, 서로 다른 접속 기술을 통해 전송된 NAS 메시지에 대해 보안 보호가 수행될 때 동일한 NAS 키와 동일한 NAS COUNT가 사용되더라도, 상기 NAS 메시지의 보안 보호 결과가 서로 달라서 리플레이 공격이 발생할 가능성을 감소시킴으로써, 복수의 NAS 연결 링크에 대한 보안 보호를 구현한다.
가능한 설계에서, 상기 적어도 2개의 접속 기술은 제1 접속 기술을 포함한다. 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 제1 접속 기술이면, 상기 단말기가 상기 제1 파라미터를 결정하기 전에, 상기 단말기는 상기 제1 접속 기술에 대응하는 제1 상향링크 NAS COUNT를 결정할 수 있고, 그런 다음 상기 단말기는 제1 메시지를 상기 코어 네트워크 장치에 송신한다. 여기서, 상기 제1 상향링크 NAS COUNT와 상기 NAS 키를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 제1 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있다.
예를 들어, 상기 제1 접속 기술은 비-3GPP 접속 기술일 수 있다.
가능한 구현에서, 상기 제1 상향링크 NAS COUNT는 0이고, 상기 제1 상향링크 NAS COUNT의 일부 또는 전부가 0이다. 대안적으로, 상기 제1 상향링크 NAS COUNT는 임의의 수이다. 구체적으로, 상기 제1 상향링크 NAS COUNT의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 상기 제1 상향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다. 대안적으로, 상기 적어도 2개의 접속 기술은 제2 접속 기술을 더 포함하고, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이다. 상기 단말기가 상기 제2 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이다. 대안적으로, 상기 적어도 2개의 접속 기술은 제2 접속 기술을 더 포함하고, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다. 상기 단말기가 상기 제2 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다. 대안적으로, 상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이다. 상기 단말기가 상기 제1 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이다. 대안적으로, 상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다. 상기 단말기가 상기 제1 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다.
가능한 다른 설계에서, 상기 적어도 2개의 접속 기술은 제1 접속 기술과 제2 접속 기술을 포함한다. 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 제1 접속 기술이면, 상기 단말기가 상기 제1 파라미터를 결정하기 전에, 상기 단말기는 제1 메시지를 상기 코어 네트워크 장치에 송신할 수 있다. 여기서, 상기 NAS 키 및 상기 제2 접속 기술에 대응하는 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제2 접속 기술에 대응하는 상기 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있다.
상기 제2 접속 기술은 3GPP 접속 기술이다. 선택적으로, 이 설계를 구현하기 위한 전제는 단말기가 3GPP 접속 기술을 통해 상기 코어 네트워크 장치에 접속했다는 것이다.
가능한 설계에서, 상기 제1 메시지는 제1 지시 정보를 싣고 있을 수 있고, 상기 제1 지시 정보는 상기 제1 메시지에 실리는 상기 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 접속 기술을 나타내는 데 사용된다. 선택적으로, 상기 제1 지시 정보는 상기 제1 메시지에 실리는 상기 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 전송 경로를 나타내는 데 추가로 사용될 수 있다.
가능한 설계에서, 상기 단말기는 상기 코어 네트워크 장치로부터 제2 메시지를 수신한다. 여기서, 상기 제2 메시지는 상기 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 포함한다.
선택적으로, 상기 제2 메시지는 상기 제1 접속 기술에 대응하는 상기 제1 하향링크 NAS COUNT를 포함할 수 있다. 대안적으로, 상기 제2 메시지는 상기 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 포함한다.
선택적으로, 상기 제1 접속 기술에 대응하고 있는 상기 제2 상향링크 NAS COUNT와 상기 제1 하향링크 NAS COUNT는 동일하다.
가능한 구현에서, 상기 제2 상향링크 NAS COUNT는 0이다. 여기서, 상기 제2 상향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 임의의 수이다. 구체적으로, 상기 제2 상향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 상기 제2 상향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 상기 코어 네트워크 장치가 상기 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 상기 코어 네트워크 장치가 상기 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 상기 코어 네트워크 장치가 상기 제1 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제2 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 상기 제1 상향링크 NAS COUNT이거나; 또는 상기 제2 상향링크 NAS COUNT는 상기 제1 상향링크 NAS COUNT와 1의 합이다.
가능한 설계에서, 상기 제1 하향링크 NAS COUNT는 0이다. 여기서, 상기 제1 하향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 대안적으로, 상기 제1 하향링크 NAS COUNT는 임의의 수이다. 구체적으로, 상기 제1 하향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 상기 제1 하향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다. 대안적으로, 상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 상기 코어 네트워크 장치가 상기 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 대안적으로, 상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 상기 코어 네트워크 장치가 상기 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 대안적으로, 상기 제1 하향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 상기 코어 네트워크 장치가 상기 제1 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제1 하향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다.
가능한 설계에서, 상기 제2 메시지는 제2 지시 정보를 싣고 있고, 상기 제2 지시 정보는 상기 제2 메시지에 실리는 상기 제1 하향링크 NAS COUNT에 대응하는 접속 기술을 나타내는 데 사용된다. 선택적으로, 상기 제2 메시지는 상기 제2 메시지에 실리는 상기 제2 상향링크 NAS COUNT를 나타내는 데 사용되는 지시 정보를 더 싣고 있을 수 있다.
선택적으로, 상기 제2 지시 정보는 상기 제2 메시지에 실리는 상기 제1 하향링크 NAS COUNT에 대응하는 전송 경로를 나타내는 데 사용된다. 선택적으로, 상기 제2 메시지는 상기 제2 메시지에 실리는 상기 제2 상향링크 NAS COUNT에 대응하는 전송 경로를 나타내는 데 사용되는 지시 정보를 더 싣고 있을 수 있다.
제2 양태에 따르면, 본 출원의 실시예는 보안 보호 방법을 제공한다. 상기 보안 보호 방법은,
코어 네트워크 장치가 제1 파라미터를 결정하고; 그런 다음 상기 코어 네트워크 장치가 상기 제1 파라미터, NAS 키, 및 상기 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS COUNT에 기초하여 NAS 메시지에 대해 보안 보호를 수행하는 단계를 포함한다. 상기 제1 파라미터는 상기 NAS 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용된다. 상기 코어 네트워크 장치는, 단말기에 의해 지원되는 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다.
예를 들어, 상기 단말기에 의해 지원되는 상기 적어도 2개의 접속 기술은 3GPP 접속 기술 및 상기 3GPP 접속 기술과 3GPP 네트워크 코어 네트워크 장치를 공유할 수 있는 접속 기술, 예를 들어 비-3GPP 접속 기술 또는 고정형 네트워크 접속 기술을 포함할 수 있다.
선택적으로, 상기 제1 파라미터는 상기 NAS 메시지를 전송하기 위해 상기 코어 네트워크 장치에 의해 사용되는 전송 경로를 나타내는 데 추가로 사용될 수 있고, 상기 코어 네트워크 장치는 NAS 메시지를 전송하는 데 사용되는 각각의 전송 경로에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다.
상기 제1 파라미터는 암호화 및 복호화 과정 또는 무결성 보호 과정에 새롭게 추가된 입력 파라미터, 예를 들어 ACCESS 파라미터일 수 있다. 상기 접속 파라미터의 비트가 다른 값으로 설정되어 다른 접속 기술을 나타낼 수 있다. 예를 들어, 상기 제1 파라미터가 00이면, 상기 3GPP 접속 기술이 사용되거나; 또는 상기 제1 파라미터가 01이면, 상기 비-3GPP 접속 기술이 사용된다. 대안적으로, 상기 제1 파라미터는 추가적으로 상기 입력 파라미터(COUNT)의 모든 비트 또는 일부 비트일 수 있다. 대안적으로, 상기 제1 파라미터는 상기 입력 파라미터(BEARER)의 모든 비트 또는 일부 비트일 수 있다.
상기 NAS 키는 상기 단말기에 의해 지원되는 상기 적어도 2개의 접속 기술에 공통이다.
이 방법에 따르면, 상기 코어 네트워크 장치는 상기 적어도 2개의 접속 기술 각각에 대한 대응하는 상기 NAS COUNT를 개별적으로 유지할 수 있다. 상기 단말기는 서로 다른 접속 기술을 이용하여 상기 NAS 메시지를 전송할 때 하나의 세트의 NAS COUNT를 사용하지 않는다. 대신에, 상기 코어 네트워크 장치는 대응하는 접속 기술을 위해 유지되는 NAS COUNT를 이용하여 상기 NAS 메시지에 대해 보안 보호를 수행한다. 이렇게 하면, 단말기가 하나의 링크를 이용하여 전송된 상대적으로 작은 NAS COUNT를 먼저 수신하고, 그런 다음 다른 링크를 이용하여 전송되는 상대적으로 큰 NAS COUNT를 수신할 때 일어나는 리플레이 공격 문제를 방지할 수 있다. 또한, 본 출원에서, 서로 다른 접속 기술을 구별하는 데 사용되는 상기 제1 파라미터는 상기 NAS 메시지에 대해 보안 보호가 수행될 때 추가로 사용된다. 따라서, 서로 다른 접속 기술을 통해 전송된 NAS 메시지에 대해 보안 보호가 수행될 때 동일한 NAS 키와 동일한 NAS COUNT가 사용되더라도, 상기 NAS 메시지의 보안 보호 결과가 달라서 리플레이 공격이 발생할 가능성을 감소시킴으로써, 복수의 NAS 연결 링크에 대한 보안 보호를 수행한다.
가능한 설계에서, 상기 적어도 2개의 접속 기술은 제1 접속 기술을 포함한다. 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 제1 접속 기술이면, 상기 코어 네트워크 장치가 상기 제1 파라미터를 결정하기 전에, 상기 코어 네트워크 장치는 제1 메시지를 수신할 수 있다. 여기서, 상기 NAS 키 및 상기 제1 접속 기술에 대응하는 제1 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 제1 상향링크 NAS COUNT를 싣고 있다.
예를 들어, 상기 제1 접속 기술은 비-3GPP 접속 기술일 수 있다.
가능한 구현에서, 상기 제1 상향링크 NAS COUNT는 0이고, 상기 제1 상향링크 NAS COUNT의 일부 또는 전부가 0이다. 대안적으로, 상기 제1 상향링크 NAS COUNT는 임의의 수이다. 구체적으로, 상기 제1 상향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 상기 제1 상향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다. 대안적으로, 상기 적어도 2개의 접속 기술은 제2 접속 기술을 더 포함하고, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이다. 상기 단말기가 상기 제2 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 상기 제1 상향링크 NAS COUNT 는 상기 제2 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이다. 대안적으로, 상기 적어도 2개의 접속 기술은 제2 접속 기술을 더 포함하고, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다. 상기 단말기가 상기 제2 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다. 대안적으로, 상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이다. 상기 단말기가 상기 제1 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이다. 대안적으로, 상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다. 상기 단말기가 상기 제1 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다.
가능한 다른 설계에서, 상기 적어도 2개의 접속 기술은 제1 접속 기술과 제2 접속 기술을 포함한다. 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 제1 접속 기술이면, 상기 코어 네트워크 장치가 상기 제1 파라미터를 결정하기 전에, 상기 코어 네트워크 장치는 제1 메시지를 수신할 수 있다. 여기서, 상기 NAS 키 및 상기 제2 접속 기술에 대응하는 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제2 접속 기술에 대응하는 상기 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있다.
상기 제2 접속 기술은 3GPP 접속 기술이다. 선택적으로, 이 설계를 구현하기 위한 전제는, 상기 단말기가 상기 3GPP 접속 기술을 이용하여 상기 코어 네트워크 장치에 접속했다는 것이다.
가능한 설계에서, 상기 제1 메시지는 제1 지시 정보를 싣고 있고, 상기 제1 지시 정보는 상기 제1 메시지에 실리는 상기 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 접속 기술을 나타내는 데 사용된다. 선택적으로, 상기 제1 지시 정보는 상기 제1 메시지에 실리는 상기 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 전송 경로를 나타내는 데 추가로 사용될 수 있다.
가능한 설계에서, 상기 코어 네트워크 장치가 상기 단말기로부터 상기 제1 메시지를 수신한 후에, 상기 코어 네트워크 장치는 상기 제1 지시 정보에 의해 지시된 상기 접속 기술에 대응하는 상기 상향링크 NAS COUNT에 따라, 상기 제1 메시지에 실리는 상기 NAS COUNT의 일부 또는 전부를 검증한다.
본 출원의 본 실시예에서, 상기 코어 네트워크 장치는 상기 3GPP 접속 기술의 NAS COUNT와 상기 비-3GPP 접속 기술의 NAS COUNT를 독립적으로 유지할 수 있고, 상기 코어 네트워크 장치에 의해 유지되는 상향링크 NAS COUNT에 따라 상기 수신된 상향링크 NAS COUNT를 추가로 검증함으로써, 리플레이 공격이 발생할 가능성을 감소시킨다.
가능한 설계에서, 상기 코어 네트워크 장치는 상기 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 결정하고, 그런 다음 상기 코어 네트워크 장치는 제2 메시지를 상기 단말기에 송신한다. 여기서, 상기 제2 메시지는 상기 제1 접속 기술에 대응하고 있는 상기 제2 상향링크 NAS COUNT와 상기 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 포함한다.
선택적으로, 상기 제2 메시지는 상기 제1 접속 기술에 대응하는 상기 제1 하향링크 NAS COUNT를 포함할 수 있다. 대안적으로, 상기 제2 메시지는 상기 제1 접속 기술에 대응하고 있는 상기 제2 상향링크 NAS COUNT와 상기 제1 하향링크 NAS COUNT를 모두 포함한다.
선택적으로, 상기 제1 접속 기술에 대응하고 있는 상기 제2 상향링크 NAS COUNT와 상기 제1 하향링크 NAS COUNT 동일하다.
가능한 구현에서, 상기 제2 상향링크 NAS COUNT는 0이다. 여기서, 상기 제2 상향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 임의의 수이다. 구체적으로, 상기 제2 상향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 상기 제2 상향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 상기 코어 네트워크 장치가 상기 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 상기 코어 네트워크 장치가 상기 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 상기 코어 네트워크 장치가 상기 제1 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제2 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 대안적으로, 상기 제2 상향링크 NAS COUNT는 상기 제1 상향링크 NAS COUNT이거나; 또는 상기 제2 상향링크 NAS COUNT는 상기 제1 상향링크 NAS COUNT와 1의 합이다.
가능한 구현에서, 상기 제1 하향링크 NAS COUNT는 0이고, 상기 제1 하향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 대안적으로, 상기 제1 하향링크 NAS COUNT는 임의의 수이다. 구체적으로, 상기 제1 하향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 상기 제1 하향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다. 대안적으로, 상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 상기 코어 네트워크 장치가 상기 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 대안적으로, 상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 상기 코어 네트워크 장치가 상기 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 대안적으로, 상기 제1 하향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 상기 코어 네트워크 장치가 상기 제1 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 상기 제1 하향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다.
가능한 설계에서, 상기 제2 메시지는 제2 지시 정보를 싣고 있고, 상기 제2 지시 정보는 상기 제2 메시지에 실리는 상기 제1 하향링크 NAS COUNT에 대응하는 접속 기술을 나타내는 데 사용된다. 선택적으로, 상기 제2 메시지는 상기 제2 메시지에 실리는 상기 제2 상향링크 NAS COUNT를 나타내는 데 사용되는 지시 정보를 더 싣고 있을 수 있다.
선택적으로, 상기 제2 지시 정보는 상기 제2 메시지에 실리는 상기 제1 하향링크 NAS COUNT에 대응하는 전송 경로를 나타내는 데 사용된다. 선택적으로, 상기 제2 메시지는 상기 제2 메시지에 실리는 상기 제2 상향링크 NAS COUNT에 대응하는 전송 경로를 나타내는 데 사용되는 지시 정보를 더 싣고 있을 수 있다.
제3 양태에 따르면, 본 출원의 실시예는 장치를 제공하며, 상기 장치는 전술한 방법 설계에서 단말기의 동작을 구현하는 기능을 가지고 있다. 상기 기능은 하드웨어에 의해 구현될 수 있거나, 또는 대응하는 소프트웨어를 실행하는 하드웨어에 의해 구현될 수 있다. 상기 하드웨어 또는 소프트웨어는 전술한 기능에 대응하는 하나 이상의 모듈을 포함한다. 예를 들어, 상기 장치는 단말기일 수 있거나, 또는 단말기 내의 칩일 수 있다.
가능한 설계에서, 상기 장치는 단말기이고, 상기 단말기는 프로세서를 포함한다. 상기 프로세서는 전술한 방법에서 대응하는 기능을 수행하는 데 있어서 상기 단말기를 지원하도록 구성된다. 또한, 상기 단말기는 송신기와 수신기를 더 포함할 수 있고, 상기 송신기와 상기 수신기는 상기 단말기와 코어 네트워크 장치 간의 통신을 지원하도록 구성된다. 또한, 상기 단말기는 메모리를 더 포함할 수 있고, 상기 메모리는 상기 프로세서에 연결하도록, 그리고 상기 단말기에 필요한 프로그램 명령 및 데이터를 저장하도록 구성된다.
제4 양태에 따르면, 본 출원의 실시예는 장치를 제공하며, 상기 장치는 전술한 방법 설계에서 코어 네트워크 장치의 동작을 구현하는 기능을 가지고 있다. 상기 기능은 하드웨어에 의해 구현될 수 있거나, 또는 대응하는 소프트웨어를 실행하는 하드웨어에 의해 구현될 수 있다. 상기 하드웨어 또는 소프트웨어는 전술한 기능에 대응하는 하나 이상의 모듈을 포함한다. 예를 들어, 상기 장치는 코어 네트워크 장치일 수 있거나, 또는 코어 네트워크 장치 내의 칩일 수 있다.
가능한 설계에서, 상기 장치는 코어 네트워크 장치이고, 상기 코어 네트워크 장치는 프로세서를 포함한다. 상기 프로세서는 전술한 방법에서 대응하는 기능을 구현하는 데 있어서 상기 코어 네트워크 장치를 지원하도록 구성된다. 또한, 상기 코어 네트워크 장치는 송신기와 수신기를 더 포함할 수 있고, 상기 송신기와 상기 수신기는 상기 코어 네트워크 장치와 단말기 간의 통신을 지원하도록 구성된다. 또한, 상기 코어 네트워크 장치는 메모리를 더 포함할 수 있고, 상기 메모리는 상기 프로세서에 연결되도록, 그리고 상기 단말기에 필요한 프로그램 명령 및 데이터를 저장하도록 구성된다.
제5 양태에 따르면, 본 출원의 실시예는 통신 시스템을 제공하며, 상기 통신 시스템은 전술한 양태에서 설명된 단말기와 코어 네트워크 장치를 포함한다. 선택적으로, 상기 시스템은 기지국, N3IWF 노드, 및 전술한 양태에서 설명된 단말기와 코어 네트워크 장치를 더 포함할 수 있다.
제6 양태에 따르면, 본 출원의 실시예는 컴퓨터 저장 매체를 제공한다. 여기서, 상기 컴퓨터 저장 매체는 전술한 단말기에 의해 사용되는 컴퓨터 소프트웨어 명령을 저장하도록 구성되고, 상기 컴퓨터 소프트웨어 명령은 제1 양태를 실행하도록 설계된 프로그램을 포함한다.
제7 양태에 따르면, 본 출원의 실시예는 컴퓨터 저장 매체를 제공한다. 상기 컴퓨터 저장 매체는 전술한 코어 네트워크 장치에 의해 사용되는 컴퓨터 소프트웨어 명령을 저장하도록 구성된다. 상기 컴퓨터 소프트웨어 명령은 제2 양태를 실행하도록 설계된 프로그램을 포함한다.
제8 양태에 따르면, 본 출원의 실시예는 명령을 포함하는 컴퓨터 프로그램 제품을 제공한다. 컴퓨터가 상기 명령을 실행할 때, 상기 명령은 상기 컴퓨터로 하여금 제1 양태의 보안 보호 방법을 수행할 수 있게 한다.
제9 양태에 따르면, 본 출원의 실시예는 명령을 포함하는 컴퓨터 프로그램 제품을 제공한다. 컴퓨터가 상기 명령을 실행할 때, 상기 명령은 상기 컴퓨터로 하여금 제2 양태의 보안 보호 방법을 수행할 수 있게 한다.
제10 양태에 따르면, 본 출원의 실시예는 단말기에 적용되는 칩 시스템을 제공한다. 여기서, 상기 칩 시스템은 적어도 하나의 프로세서, 메모리, 및 송수신기 회로를 포함한다. 상기 메모리, 상기 송수신기 회로, 및 상기 적어도 하나의 프로세서는 라인을 통해 서로 연결된다. 상기 적어도 하나의 메모리는 명령을 저장한다. 상기 명령은 상기 프로세서에 의해 실행되어, 제1 양태에서 설명된 보안 보호 방법에서 상기 단말기의 동작을 실행한다.
제11 양태에 따르면, 본 출원의 실시예는 코어 네트워크 장치에 적용되는 칩 시스템을 제공한다. 상기 칩 시스템은 적어도 하나의 프로세서, 메모리, 및 송수신기 회로를 포함한다. 상기 메모리, 상기 송수신기 회로, 및 상기 적어도 하나의 프로세서는 라인을 통해 서로 연결된다. 상기 적어도 하나의 메모리는 명령을 저장한다. 상기 명령은 상기 프로세서에 의해 실행되어, 상기 제2 양태에서 설명된 보안 보호 방법에서 코어 네트워크 장치의 동작을 실행한다.
본 출원의 실시예에서 제공되는 보안 보호 방법에 따르면, 단말기가 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다. 단말기는 서로 다른 접속 기술을 통해 NAS 메시지를 전송할 때 하나의 세트의 NAS COUNT를 사용하지 않는다. 대신에, 단말기는 대응하는 접속 기술을 위해 유지되는 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호를 수행한다. 이렇게 하면, 코어 네트워크 장치가 하나의 링크를 이용하여 전송된 상대적으로 작은 NAS COUNT를 먼저 수신하고, 그런 다음 다른 링크를 통해 전송된 상대적으로 큰 NAS COUNT를 수신할 때 일어나는 리플레이 공격 문제를 방지할 수 있다. 또한, 본 출원에서, 서로 다른 접속 기술을 구별하는 데 사용되는 제1 파라미터는 NAS 메시지에 대해 보안 보호가 수행될 때 추가로 사용된다. 따라서, 서로 다른 접속 기술을 통해 전송된 NAS 메시지에 대해 보안 보호가 수행될 때 동일한 NAS 키와 동일한 NAS COUNT가 사용되더라도, NAS 메시지의 보안 보호 결과가 달라서 리플레이 공격의 발생의 가능성을 감소시킴으로써, 복수의 NAS 연결 링크에 대한 보안 보호를 수행한다.
도 1은 본 출원의 일 실시예에 따른 가능한 네트워크 아키텍처의 개략도이다.
도 2는 본 출원의 일 실시예에 따른 가능한 다른 네트워크 아키텍처의 개략도이다.
도 3은 본 출원의 일 실시예에 따른 암호화 및 복호화 방법의 개략도의 예이다.
도 4는 본 출원의 일 실시예에 따른 무결성 보호 방법의 개략도의 예이다.
도 5는 본 출원의 일 실시예에 따른 보안 보호 방법의 흐름도이다.
도 6은 본 출원의 일 실시예에 따른 다른 암호화 및 복호화 방법의 개략도의 예이다.
도 7은 본 출원의 일 실시예에 따른 또 다른 암호화 및 복호화 방법의 개략도의 예이다.
도 8은 본 출원의 일 실시예에 따른 또 다른 암호화 및 복호화 방법의 개략도의 예이다.
도 9는 본 출원의 일 실시예에 따른 다른 보안 보호 방법의 흐름도이다.
도 10은 본 출원의 일 실시예에 따른 또 다른 보안 보호 방법의 흐름도이다.
도 11a와 도 11b는 본 출원의 일 실시예에 따른 또 다른 보안 보호 방법의 흐름도이다.
도 12는 본 출원의 일 실시예에 따른 장치의 개략적인 구조도이다.
도 13은 본 출원의 일 실시예에 따른 단말기의 개략적인 구조도이다.
도 14는 본 출원의 일 실시예에 따른 다른 장치의 개략적인 구조도이다.
도 15는 본 출원의 일 실시예에 따른 코어 네트워크 장치의 개략적인 구조도이다.
도 2는 본 출원의 일 실시예에 따른 가능한 다른 네트워크 아키텍처의 개략도이다.
도 3은 본 출원의 일 실시예에 따른 암호화 및 복호화 방법의 개략도의 예이다.
도 4는 본 출원의 일 실시예에 따른 무결성 보호 방법의 개략도의 예이다.
도 5는 본 출원의 일 실시예에 따른 보안 보호 방법의 흐름도이다.
도 6은 본 출원의 일 실시예에 따른 다른 암호화 및 복호화 방법의 개략도의 예이다.
도 7은 본 출원의 일 실시예에 따른 또 다른 암호화 및 복호화 방법의 개략도의 예이다.
도 8은 본 출원의 일 실시예에 따른 또 다른 암호화 및 복호화 방법의 개략도의 예이다.
도 9는 본 출원의 일 실시예에 따른 다른 보안 보호 방법의 흐름도이다.
도 10은 본 출원의 일 실시예에 따른 또 다른 보안 보호 방법의 흐름도이다.
도 11a와 도 11b는 본 출원의 일 실시예에 따른 또 다른 보안 보호 방법의 흐름도이다.
도 12는 본 출원의 일 실시예에 따른 장치의 개략적인 구조도이다.
도 13은 본 출원의 일 실시예에 따른 단말기의 개략적인 구조도이다.
도 14는 본 출원의 일 실시예에 따른 다른 장치의 개략적인 구조도이다.
도 15는 본 출원의 일 실시예에 따른 코어 네트워크 장치의 개략적인 구조도이다.
이하에서는 첨부 도면을 참조하여 본 출원을 더 상세하게 설명한다. 방법 실시예에서의 특정 운용 방법이 장치 실시예 또는 시스템 실시예에도 적용될 수 있다. 본 출원의 설명에서, 달리 명시하지 않으면, "복수"는 둘 이상을 의미한다.
본 출원에 설명된 시스템 아키텍처 및 서비스 시나리오가 본 출원의 기술적 해결책을 더 명확하게 설명하기 위한 것이지만, 본 출원에서 제공된 기술적 해결책을 제한하려는 것은 아니다. 당업자는 시스템 아키텍처가 발전하고 새로운 서비스 시나리오가 등장함에 따라 본 출원에서 제공된 기술적 해결책이 유사한 기술적 문제에 또한 적용 가능하다는 것을 알 수 있을 것이다.
본 출원에서, "예" 또는 "예를 들어"와 같은 용어가 예시 또는 설명을 제공하는 것을 나타내기 위해 예로 사용된다는 것을 유의해야 한다. 본 출원에서 "예" 또는 "예를 들어"로 설명되는 어떠한 실시예 또는 설계 해결책도 다른 실시예 또는 설계 해결책보다 더 바람직하거나 또는 더 많은 장점이 있는 것으로 설명해서는 안 된다. 정확히, "예"또는 "예를 들어" 등의 단어의 사용이 특정 방식으로 관련 개념을 제공하려는 것이다.
본 출원의 실시예는 차세대 무선 통신 시스템, 예를 들어 5G 통신 시스템에 적용될 수 있다. 도 1은 본 출원에 따른 가능한 네트워크 아키텍처의 개략도를 도시하고 있다. 네트워크 아키텍처는 이하를 포함한다.
AMF 노드는 이동성 관리를 담당하는 네트워크 요소이고, 이동성 관리 엔티티(mobility management entity, MME) 기능 중 세션 관리 이외의 기능, 예를 들어 합법적 차단(lawful interception) 또는 접속 권한 부여(access authorization)와 같은 기능을 구현하도록 구성될 수 있다.
세션 관리 기능(session management function, SMF) 노드는 세션 자원을 사용자 평면에 할당하도록 구성된다.
인증 서버 기능(authentication server function, AUSF) 노드는, AUSF 노드가 단말기에 대해 인증을 수행할 때, 인증될 파라미터를 검증하여 전송하고, 단말기의 진위를 인증하는 것을 담당하고 있다. 주요 기능은, 보안 앵커 기능(security anchor function, SEAF) 노드에 의해 송신된 인증 요청을 수신하고 인증 방법을 선택하는 것이다. 3세대 인증 및 키 합의(extensible authentication protocol authentication and key agreement, EAP-AKA') 인증 방법을 위한 확장 가능한 인증 프로토콜 방법이 사용될 때, AUSF 노드는 네트워크 측에서 단말기까지의 인증을 완료할 수 있다.
SEAF 노드가 AMF 노드의 일부이거나 또는 독립적인 네트워크 요소일 수 있으고, 진화된 패킷 시스템 인증 및 키 합의(evolved packet system authentication and key agreement, EPS-AKA*)의 인증 과정에서 AUSF 노드로의 인증 요청을 개시하고 네트워크 측에서 단말기까지의 인증을 완료하는 것을 주로 담당하고 있다.
사용자 평면 기능(user plane function, UPF) 노드는 사용자 평면 데이터의 출구(egress)이며, 외부 네트워크에 연결하도록 구성된다.
데이터 네트워크(Data Network, DN)는 외부 데이터를 제공하는 데 사용되는 네트워크, 예를 들어 인터넷(Internet)이다.
(무선) 접속 네트워크((radio) access network) 노드는 서로 다른 접속 기술을 사용할 수 있다. 현재, 2가지 유형의 접속 기술, 즉 3GPP 접속 기술(예를 들어, 3G, 또는 4G, 또는 5G 시스템에 사용되는 무선 접속 기술)과 비-3GPP 접속 기술이 존재한다. 3GPP 접속 기술은 3GPP 표준 규격을 준수하는 접속 기술이다. 3GPP 접속 기술을 이용하는 접속 네트워크는 무선 접속 네트워크(radio access network, RAN)이다. 5G 시스템의 접속 네트워크 장치를 차세대 노드 기지국(next generation node base station, gNB)이라고 한다. 비-3GPP 접속 기술은 3GPP 표준 규격, 예를 들어 WiFi 액세스 포인트(access point, AP)에 의해 표현되는 무선 기술을 따르지 않는 접속 기술이다.
본 출원의 단말기는 무선 송수신 기능이 있는 장치이다. 단말기는 육상, 예를 들어 옥내 장치, 옥외 장치, 핸드헬드 장치(handheld device), 또는 차량용 장치(in-vehicle device)에 배치될 수 있거나; 또는 물 위(예를 들어, 선박)에 배치될 수 있거나; 또는 공중(예를 들어, 비행기, 벌룬(baloon), 또는 위성)에 배치될 수 있다. 단말기는 다양한 유형의 사용자 장비(user equipment, UE), 휴대폰(mobile phone), 태블릿 컴퓨터(pad), 무선 송수신 기능이 있는 컴퓨터, 무선 데이터 카드, 가상 현실(virtual reality, VR) 단말 장치, 증강 현실(Augmented Reality, AR) 단말 장치, 기계 유형 통신(Machine Type Communication, MTC) 단말 장치, 산업용 제어(industrial control)에서의 단말 장치, 자율 주행(self-driving) 단말 장치, 원격 의료(remote medical) 단말 장치, 스마트 그리드(smart grid) 단말 장치, 교통 안전(transportation safety)에서의 단말 장치, 스마트 시티(smart city)에서의 단말 장치, 웨어러블 장치(스마트 워치, 스마트 밴드, 및 만보계 등) 등을 포함할 수 있다. 유사한 무선 통신 기능이 있는 단말기는 서로 다른 무선 접속 기술이 사용되는 시스템에서 다른 명칭을 가지고 있을 수 있다. 설명의 편의를 위해, 본 출원의 실시예에서, 무선 송신 기능과 수신 통신 기능이 있는 전술한 장치를 총칭하여 단말기라고 한다.
구체적으로, 본 출원의 단말기는 롱텀 키(long-term key) 및 관련 기능을 저장한다. 코어 네트워크 노드(AMF 노드, AUSF 노드, 및 SEAF 노드 등)와 양방향 인증을 수행할 때, 단말기는 롱텀 키 및 관련 기능을 이용하여 네트워크의 진위를 검증할 수 있다.
본 출원의 실시예의 액세스 네트워크 장치는 단말기에 무선 통신 기능을 제공하는 장치이다. 예를 들어, 액세스 네트워크 장치는 기지국(Base Station, BS)일 수 있고, 기지국은 다양한 형태의 매크로 기지국, 마이크로 기지국, 중계국, 및 액세스 포인트 등을 포함할 수 있다. 기지국의 기능이 있는 장치는 서로 다른 무선 접속 기술이 사용되는 시스템에서 다른 명칭을 가지고 있을 수 있다. 예를 들어, 5G 시스템에서, 기지국의 기능이 있는 장치를 차세대 노드 기지국이라 하고, gNB로서 표현될 수 있으며; LTE(Long Term Evolution) 시스템에서, 기지국의 기능이 있는 장치를 진화된 노드 B(evolved NodeB, evolved NodeB, eNB 또는 eNodeB)라 하고; 3세대(3rd Generation, 3G) 통신 시스템에서, 기지국의 기능이 있는 장치를 노드 B(Node B)라 한다. 설명의 편의를 위해, 본 발명의 실시예에서, 단말기에 무선 통신 기능을 제공하는 전술한 장치를 집합적으로 액세스 네트워크 장치라고 한다.
네트워크 능력 노출 기능(Network Capability Exposure Function, NEF) 노드는 주로 제3자와 상호 작용하도록 구성되어, 제3자가 일부 3GPP 네트워크에서 네트워크 요소와 간접적으로 상호 작용할 수 있다.
네트워크 저장소 기능(network function repository function, NRF) 노드는 네트워크 간 요소 검색 및 네트워크 기능(network function, NF) 유지를 위해 구성된다.
정책 제어 기능(policy control function, PCF) 노드는 최신 서비스 품질(quality of service, QoS) 규칙을 저장한다. 기지국은 SMF 노드에 의해 제공된 QoS 규칙에 따라 적절한 자원을 사용자 평면 전송 채널에 할당할 수 있다.
통합 데이터 관리(Unified Data Management, UDM) 노드는 사용자의 가입 정보를 저장하도록 구성된다.
애플리케이션 기능(application function, AF) 노드는 DN 내부에 위치할 수 있고, 제3자에 배포되는 기능적인 네트워크 요소이다. 이 네트워크 요소는 주로 애플리케이션에 대한 제3자 엔터프라이즈의 최신 서비스 요구사항을 PCF 노드에 통지하도록 구성된다. PCF 노드는 네트워크에 의해 제공된 서비스가 제3자에 의해 지정된 요구사항을 만족하도록 서비스 요구사항에 기초하여 대응하는 QoS 규칙을 생성할 수 있다.
본 출원의 실시예에서, 단말기는 적어도 2개의 접속 기술을 이용하여 AMF 노드에 접속할 수 있다. 적어도 2개의 접속 기술이 3GPP 접속 기술과 비-3GPP 접속 기술을 포함한다는 것이 예로서 사용된다. 본 출원의 실시예는 가능한 네트워크 아키텍처의 개략도를 추가로 제공한다. 도 2에 도시된 바와 같이, 네트워크 아키텍처는 AMF 노드, AUSF 노드, SMF 노드, UPF 노드, UDM 노드(또는 인증 크리덴셜 저장소 및 처리 기능(authentication credential repository and processing function, APRF) 노드), 단말기, 및 비-3GPP 상호 연동 기능(non-3GPP interworking function, N3IWF) 노드를 포함한다.
AMF 노드, AUSF 노드, SMF 노드, UPF 노드, UDM 노드, 및 단말기에 대해서는 도 1의 설명을 참조하라. 여기서는 세부사항에 대해 다시 설명하지 않는다.
N3IWF 노드는 비-3GPP 접속 기술을 이용하여 AMF 노드에 접속할 때 단말기를 지원하도록 구성된다.
도 2에 도시된 네트워크 아키텍처를 참조하면. 단말기는 3GPP 접속 기술과 비-3GPP 접속 기술 모두를 통해 AMF 노드에 접속할 수 있다. 3GPP 접속 기술은 간단하게 3GPP로 표현될 수 있고, 비-3GPP 접속 기술은 단순하게 비-3GPP로 표현될 수 있다. 도 2의 경로 1이 단말기가 3GPP를 통해 AMF 노드에 접속하는 경로이고, 경로 2가 단말기가 비-3GPP를 통해 AMF 노드에 접속하는 경로이다. 다르게 말하면, 단말기는 N3IWF를 통해 AMF 노드에 접속할 수 있다. 단말기가 3GPP와 비-3GPP 모두를 통해 AMF 노드에 접속할 때, 단말기가 NAS 메시지를 AMF 노드에 전송할 필요가 있으면, 가능한 구현에서, NAS 메시지는 적어도 2개의 메시지 블록으로 분할될 수 있고, 메시지 블록의 일 부분이 3GPP를 통해 전송되고, 메시지 블록의 다른 부분이 비-3GPP를 통해 전송된다. 예를 들어, NAS 메시지는 메시지 블록 1, 메시지 블록 2, 메시지 블록 3, 메시지 블록 4, 및 메시지 블록 5로 분할될 수 있다. 메시지 블록 2와 메시지 블록 4는 3GPP를 통해 전송되고, 메시지 블록 1, 메시지 블록 3, 및 메시지 블록 5는 비-3GPP를 통해 전송된다. 다른 가능한 구현에서, 단말기는 3GPP를 통해 전체 NAS 메시지를 전송하고, 비-3GPP를 통해 다른 전체 NAS 메시지를 전송할 수 있다.
먼저, 본 출원의 실시예와 관련된 용어에 대해 설명한다.
(1) NAS COUNT
NAS COUNT가 16비트 NAS 오버플로우와 8비트 시퀀스 번호를 포함하는 24비트를 포함한다.
NAS COUNT의 시작 값이 0이다. 단말기가 하나의 NAS 메시지를 코어 네트워크 장치에 송신할 때마다 상향링크 NAS COUNT가 1씩 증가하고, 코어 네트워크 장치가 하나의 NAS 메시지를 단말기에 송신할 때마다 하향링크 NAS COUNT가 1씩 증가한다. 단말기에서 코어 네트워크 장치까지의 인증 과정이 완료된 후, 상향링크 NAS COUNT와 하향링크 NAS COUNT는 모두 0으로 설정된다.
선택적으로 NAS COUNT를 유지하는 두 가지 방법이 있다.
방법 1: NAS 메시지가 송신된 후, 저장된 NAS COUNT가 1씩 증가하여 저장되고; 다음번에 NAS 메시지를 송신할 필요가 있는 경우, 저장된 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호가 수행된다.
방법 2: NAS 메시지가 송신된 후, 다음번에 NAS 메시지를 송신할 필요가 있는 경우, 저장된 NAS COUNT가 1씩 증가되어 새로운 NAS COUNT를 얻고, 새로운 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호가 수행된다.
NAS 메시지를 수신한 후, 단말기와 코어 네트워크 장치는 수신된 NAS COUNT가 재사용되는지 여부를 검증할 수 있고, 구체적으로 NAS 메시지에 실리는 NAS COUNT가 이전에 수신된 NAS COUNT보다 큰지 여부를 검증할 수 있다. 예를 들어, AMF 노드가 단말기로부터 상향링크 NAS COUNT를 수신하면, 수신된 상향링크 NAS COUNT는 이전에 수신된 상향링크 NAS COUNT와 비교될 수 있다. 수신된 상향링크 NAS COUNT가 이전에 수신된 상향링크 NAS COUNT보다 크면, NAS 메시지에 대해 수행된 보안 검증이 성공한다.
암호화와 복호화, 및 무결성 보호가 NAS COUNT를 이용하여 수행될 때, NAS COUNT는 32 비트에 패딩된다. 즉, 원래 24비트 NAS COUNT 앞에는 8비트가 패딩된다(패딩된 8비트는 모두 0이다)
(2) 암호화 및 복호화
도 3은 NAS 메시지를 암호화 및 복호화하는 과정을 도시하고 있다.
여기서, 키는 NAS 키일 수 있다.
암호화 및 복호화에 사용되는 COUNT가 32비트를 포함한다. 여기서, 처음 8비트가 0이고, 중간 16비트가 NAS 오버플로우이며, 마지막 8비트가 시퀀스 번호이다.
베어러 정보(BEARER)가 5비트를 포함하고, 5비트는 모두 0이다.
데이터 전송 방향(DIRECTION)이 상향링크 또는 하향링크를 나타내는 데 사용된다. 상향링크 NAS 메시지에 대해 암호화 및 복호화가 수행되면, DIRECTION은 상향링크를 나타낸다. 암호화 및 복호화가 하향링크 NAS 메시지에 대해 수행되면, DIRECTION은 하향링크를 나타낸다.
길이(LENGTH)가 암호화되거나 또는 복호화될 필요가 있는 NAS 메시지의 데이터 길이를 나타내는 데 사용된다.
진화된 패킷 시스템 암호화 알고리즘(evolved packet system encryption algorithm, EEA)은 EPS 암호화 알고리즘으로 불릴 수 있고, NAS 메시지를 암호화하고 복호화하는 데 사용되는 알고리즘이다.
암호화 과정은, 입력 파라미터(KEY, COUNT, BEARER, DIRECTION, 및 LENGTH)에 대해 EEA 처리를 수행하여 키 스트림(keystream)을 얻고; 키 스트림 및 평문(NAS 메시지)에 가산 모듈로 2(addition modulo 2)를 수행하여 암호문(ciphertext)을 획득하는 것이다. 복호화 과정은, 전술한 입력 파라미터에 대해 EEA 처리를 수행하여 키 스트림을 얻고; 키 스트림 및 암호문에 대해 가산 모듈로 2를 수행하여 평문(plain text)을 복원하는 것이다.
(3) 무결성 보호
도 4는 NAS 메시지에 대해 무결성 보호 및 무결성 보호 검증을 수행하는 과정을 도시하고 있다.
메시지(MESSAGE)는 무결성 보호가 수행되어야 하는 메시지, 특히 NAS 메시지일 수 있다.
진화된 패킷 시스템 무결성 알고리즘(evolved packet system integrity algorithm, EPS integrity algorithm)이 도 4에 도시되어 있다.
무결성 보호 방법은, 송신단이 입력 파라미터(KEY, COUNT, MESSAGE, BEARER, 및 DIRECTION)에 대해 EIA 처리를 수행하여 무결성에 대한 예상된 메시지 인증 코드(message authentication code integrity, MAC-I) 또는 NAS-MAC를 얻는 것이다. 무결성 보호 검증 방법은, 입력 파라미터(KEY, COUNT, MESSAGE, BEARER, 및 DIRECTION)에 대해 EIA 처리를 수행하여 무결성에 대한 예상된 메시지 인증 코드(expected message authentication code integrity, XMAC-I) 또는 XNAS-MAC를 얻고; 추가적으로 XMAC-I를 MAC-I와 비교하며; XMAC-I가 MAC-I와 일치하면, 무결성 보호 검증이 성공한 것으로 결정한다.
이하에서는 본 출원에서 제공된 기술적 해결책에 대해 상세하게 설명한다.
도 1과 도 2의 네트워크 아키텍처에 기초하여, 본 출원의 실시예는 보안 보호 방법을 제공한다. 이 방법에서, 암호화, 복호화, 및 무결성 보호 과정에 대해서는 도 3과 도 4의 설명을 참조하라. 도 5에 도시된 바와 같이, 보안 보호 방법은 주로 단계 501과 단계 502를 포함한다.
단계 501: 단말기가 제1 파라미터를 결정한다.
제1 파라미터는 단말기가 NAS 메시지에 대해 보안 보호를 수행할 때 사용되는 입력 파라미터이고, 제1 파라미터는 NAS 메시지를 전송하는 데 사용되는 접속 기술을 나타내는 데 사용된다. 단말기는 적어도 2개의 접속 기술을 지원할 수 있고, 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다. 예를 들어, 적어도 2개의 접속 기술은 3GPP 접속 기술, 및 3GPP 접속 기술과 동일한 3GPP 네트워크 코어 네트워크 장치를 공유할 수 있는 접속 기술, 예를 들어 비-3GPP 접속 기술 또는 고정형 네트워크 접속 기술을 포함한다. 선택적으로, 제1 파라미터가 NAS 메시지를 전송하는 데 사용된 접속 기술을 나타낸다는 것은, 제1 파라미터가 NAS 메시지를 전송하기 위해 단말기에 의해 사용된 전송 경로를 나타내는 데 사용된다는 것으로 추가로 이해할 수 있을 것이다. 예를 들어, 단말기와 AMF 노드는 접속 기술을 구별하지 않고 각각의 전송 경로에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다. NAS 메시지를 전송하는 데 사용된 전송 경로가 경로 1이면, 경로 1에 대응하는 NAS COUNT가 사용된다. NAS 메시지를 전송하는 데 사용된 전송 경로가 경로 2이면, 경로 2에 대응하는 NAS COUNT가 사용된다. 전송 경로가 접속 기술에 대응하고 있다고 이해할 수 있을 것이다. 예를 들어, 도 2를 참조하면, 경로 1 상에서 데이터가 전송될 때 사용되는 접속 기술이 3GPP 접속 기술이고, 경로 2 상에서 데이터가 전송될 때 사용되는 접속 기술이 비-3GPP 접속 기술이다.
제1 파라미터는 암호화 및 복호화 과정 또는 무결성 보호 과정에서 새롭게 추가된 입력 파라미터일 수 있다. 이 파라미터는 사전 설정된 비트 수를 포함한다. 선택적으로, 다른 접속 기술은 이러한 비트를 다른 값으로 설정하여 표현될 수 있다.
가능한 제1 구현에서, 도 6에 도시된 바와 같이, 제1 파라미터는 ACCESS 파라미터일 수 있다. 예를 들어, 제1 파라미터가 00이면, 3GPP 접속 기술이 사용된다는 것을 나타내고; 제1 파라미터가 01이면, 비-3GPP 접속 기술이 사용된다는 것을 나타낸다. 대안적으로, 001은 3GPP 접속 기술을 나타내고, 010은 와이파이 (Wireless-fidelity, WiFi) 기술을 나타내며, 011은 고정형 네트워크 기술을 나타낸다.
대안적으로, 001은 첫 번째로 사용되는 접속 기술을 나타내는 데 사용될 수 있고, 010은 두 번째로 사용되는 접속 기술을 나타내는 데 사용될 수 있으며, 011은 세 번째로 사용되는 접속 기술을 나타내는 데 사용될 수 있다. 다시 말해, 사용되는 접속 기술이 전환될 때마다, 제1 파라미터의 비트가 모두 1일 때까지 제1 파라미터가 1씩 증가하고, 그런 다음 제1 파라미터가 000부터 다시 카운트될 수 있다. 예를 들어, 단말기가 사용되는 접속 기술을 복수 회 전환한 후 제1 파라미터의 비트가 모두 1로 바뀌면, 단말기가 사용되는 접속 기술을 제1 접속 기술에서 제2 접속 기술로 전환할 필요가 있을 때, 제2 접속 기술을 위해 생성되는 제1 파라미터가 001이다. 선택적으로, 이 방법에서, 제1 접속 기술, 제2 접속 기술, 및 제3 접속 기술은 동일한 기술일 수 있다. 다시 말해, 접속 기술이 재사용될 때, 제1 파라미터의 비트가 모두 1이 될 때까지 제1 파라미터가 1씩 증가하고, 그런 다음 제1 파라미터가 000에서 다시 카운트될 수 있다.
선택적으로, 입력 파라미터 중 파라미터(COUNT)가 0으로 재설정되거나 또는 NAS 시퀀스 번호가 0으로 재설정될 때마다, 제1 파라미터도 1씩 증가할 수 있다.
선택적으로, 제1 파라미터의 비트가 모두 1이면, NAS 메시지가 다음 번에 전송될 때 사용되는 NAS 키가 갱신되어야 한다.
가능한 제2 구현에서, 도 7에 도시된 바와 같이, 입력 파라미터 중 COUNT의 전부 또는 일부가 NAS 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용될 수 있다. 예를 들어, COUNT가 모두 0인 8개의 패딩 비트와 NAS COUNT를 포함하면, 제1 파라미터는 8비트의 일부 또는 전부일 수 있다. 예를 들어, NAS 메시지를 전송하는 데 사용된 접속 기술을 나타내기 위해, 처음 3비트가 선택될 수 있다. 비트 값을 이용하여 서로 다른 접속 기술을 구별하는 방법에 대해서는 제1 구현의 관련 설명을 참조하라
가능한 제3 구현에서, 도 8에 도시된 바와 같이, 입력 파라미터 중 BEARER는 NAS 메시지를 전송하는 데 사용된 접속 기술을 나타내거나, 또는 NAS 메시지를 전송하는 데 사용된 접속 경로를 나타내는 데 사용될 수 있다. 여기서, 제1 파라미터는 BEARER의 일부 또는 전부일 수 있다. 예를 들어, NAS 메시지를 전송하는 데 사용된 접속 기술을 나타내기 위해 처음 3비트가 선택될 수 있다. 비트 값을 이용하여 서로 다른 접속 기술을 구별하는 방법에 대해서는 제1 구현의 관련 설명을 참조하라.
가능한 제4 구현에서, COUNT의 비트 수가 증가될 수 있고, 제1 파라미터는 COUNT의 비트 중 일부이다. 예를 들어, COUNT는 32비트에서 64비트로 확장된다(64비트 COUNT는 256 비트 길이의 키에 적응된다). 확장된 COUNT의 일부가 접속 기술을 나타내는 데 사용된다. 예를 들어, 접속 기술을 나타내기 위해 3개의 비트가 예약되어 있다(000이 3GPP 접속 기술을 나타내고, 001이 WiFi 접속 기술을 나타내며, 010은 고정형 네트워크 접속 기술을 나타낸다).
가능한 제5 구현에서, 제1 파라미터는 NAS COUNT일 수 있고, NAS COUNT의 비트가 제거될 수 있다. 제거된 비트의 수가 접속 기술을 나타내는 데 사용된다.
선택적으로, 기존 NAS COUNT 내의 NAS 오버 플로우의 사전 설정된 비트의 수가 제거되고, 제거된 비트의 수가 접속 기술을 나타내는 데 사용된다. 예를 들어, 1비트가 제거되면, 접속 기술이 3GPP 접속 기술이라는 것을 나타내고; 2비트가 제거되면, 접속 기술이 WiFi 접속 기술이라는 것을 나타내며; 3비트가 제거되면, 접속 기술이 고정형 네트워크 접속 기술이라는 것을 나타낸다.
대안적으로, 기존 NAS COUNT의 시퀀스 번호 부분의 미리 설정된 비트의 수가 제거되고, 제거된 비트의 수가 접속 기술을 나타내는 데 사용된다. 예를 들어, 1비트가 제거되면, 접속 기술이 3GPP 접속 기술이라는 것을 나타내고; 2비트가 제거되면, 접속 기술이 WiFi 접속 기술이라는 것을 나타내며; 3비트가 제거되면, 접속 기술이 고정형 네트워크 접속 기술이라는 것을 나타낸다.
선택적으로, 각각의 접속 기술에 대응하는 제1 파라미터는 단말기에 미리 구성될 수 있다. NAS 메시지를 전송하는 데 사용된 접속 기술을 결정한 후에, 단말기는 NAS 메시지를 전송하는 데 사용된 접속 기술에 기초하여 대응하는 제1 파라미터를 검색할 수 있거나; 또는 NAS 메시지를 전송하는 데 사용된 접속 기술을 결정한 후에, 단말기는 NAS 메시지를 전송하는 데 사용된 접속 기술에 기초하여 제1 파라미터를 생성한다.
제1 파라미터가 NAS COUNT이거나 또는 제1 파라미터가 NAS COUNT의 일부 비트인 경우, 단말기가 지원되는 서로 다른 접속 기술에 대해 서로 다른 NAS COUNT를 유지한다는 것을 유의해야 한다. 다른 경우에, 단말기는 지원되는 서로 다른 접속 기술에 대해 동일한 NAS COUNT 또는 서로 다른 NAS COUNT를 유지할 수 있다.
단말기는 독립적으로 제1 파라미터를 결정하고, 제1 파라미터를 AMF 노드에 통지할 수 있다. 대안적으로, AMF 노드는 제1 파라미터를 결정하고, 제1 파라미터를 단말기에 통지한다. 대안적으로, 제1 파라미터는 단말기와 AMF 노드에 미리 구성될 수 있다. 예를 들어, 제1 파라미터가 AMF 노드에 의해 결정되면, 단말기는 AMF 노드로부터 제1 파라미터를 수신할 수 있다. 제1 파라미터가 NAS COUNT의 일부 비트이면, 제1 파라미터를 수신한 후에, 단말기는 단말기에 의해 저장된 NAS COUNT의 지정된 비트를 제1 파라미터로 대체할 수 있다. 대안적으로, 제1 파라미터가 BEARER의 일부 비트이면, 단말기는 BEARER 내의 지정된 비트를 제1 파라미터로 대체할 수 있다.
단계 502: 단말기가 제1 파라미터, NAS 키, 및 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS COUNT에 기초하여 NAS 메시지에 대해 보안 보호를 수행한다.
NAS COUNT는 NAS 메시지 리플레이 공격(NAS message replay attack)을 방지하는 기능을 가진 파라미터일 수 있다. NAS 키는 단말기가 지원할 수 있는 적어도 2개의 접속 기술에 의해 공유되는 NAS 키다.
단말기가 NAS 메시지에 대해 보안 보호를 수행한다는 것은, 코어 네트워크 장치에 전송될 NAS 메시지를 암호화하고, 수신된 NAS 메시지를 복호화하며, 코어 네트워크 장치에 전송될 NAS 메시지에 대해 무결성 보호를 수행하거나, 또는 수신 된 NAS 메시지에 대해 무결성 보호 검증을 수행한다는 것이다. 따라서, NAS 메시지에 대해 보안 보호를 수행하는 데 사용되는 키가 암호화 키와 무결성 보호 키일 수 있다. 본 출원의 본 실시예에서, 암호화 키와 무결성 보호 키를 집합적으로 NAS 키라 한다. 본 출원의 본 실시예에서는 암호화, 복호화, 생산 무결성 보호, 및 무결성 보호 검증의 실행 순서를 제한하지 않는다.
단말기가 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 유지할 수 있다고 이해할 수 있을 것이다. 단말기가 3GPP 접속 기술을 이용하여 NAS 메시지를 전송하면, 3GPP 접속 기술에 대응하는 제1 파라미터, 3GPP 접속 기술을 위해 단말기에 의해 유지되는 상향링크 NAS 카운트, 및 NAS 키를 이용하여 NAS 메시지에 대해 보안 보호가 수행된다.
제1 파라미터의 3가지 구현에 대응하여, NAS 메시지를 암호화하는 방법이 도 6, 도 7, 및 도 8에 개별적으로 도시되어 있다.
전술한 제1 구현에 대응하여, 도 4를 참조하면, NAS 메시지에 대해 보안 보호가 수행될 때 사용되는 입력 파라미터도 액세스일 수 있다.
전술한 제2 구현에 대응하여, 도 4를 참조하면, NAS 메시지에 대해 보안 보호가 수행될 때 사용되는 입력 파라미터 내의 COUNT가 제1 파라미터를 포함한다.
전술한 제3 구현에 대응하여, 도 4를 참조하면, NAS 메시지에 대해 보안 보호가 수행될 때 사용되는 입력파라미터(BEARER)가 제1 파라미터를 포함한다.
선택적으로, 단말기가 NAS 메시지를 수신하면, 단말기는 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 제1 파라미터를 결정함으로써, NAS 메시지에 실리는 하향링크 NAS COUNT, NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 제1 파라미터, 및 NAS 키를 이용하여 NAS 메시지를 복호화하거나 또는 NAS 메시지에 대해 무결성 보호 검증을 수행한다.
본 출원의 본 실시예에서 제공된 보안 보호 방법에 따르면, 단말기는 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다. 단말기는 서로 다른 접속 기술을 이용하여 NAS 메시지를 전송할 때 하나의 세트의 NAS COUNT를 사용하지 않는다. 대신에, 단말기는 대응하는 접속 기술을 위해 유지되는 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호를 수행할 수 있다. 이렇게 하면, 코어 네트워크 장치가 하나의 링크를 이용하여 전송된 상대적으로 작은 NAS COUNT를 수신하고, 그런 다음 다른 링크를 이용하여 전송된 상대적으로 큰 NAS COUNT를 수신할 때 발생하는 리플레이 공격 문제를 방지할 수 있다. 본 출원에서, 서로 다른 접속 기술을 구별하는 데 사용되는 제1 파라미터는 NAS 메시지에 대해 보안 보호를 수행할 때 추가로 사용된다. 따라서, 서로 다른 접속 기술을 이용하여 전송된 NAS 메시지에 대해 보안 보호가 수행될 때 동일한 NAS 키와 동일한 NAS COUNT가 사용되더라도, NAS 메시지의 보안 보호 결과가 달라서 리플레이 공격의 발생의 가능성을 감소시킴으로써, 복수의 NAS 연결 링크에 대한 보안 보호를 구현한다.
도 5의 실시예에 대응하여, 본 출원의 본 실시예의 다른 구현에서는 코어 네트워크 장치가 NAS 메시지에 대해 보안 보호를 수행하는 방법이 추가로 제공된다. 코어 네트워크 장치는 AMF 노드, SEAF 노드, MME 노드, 단말기의 인증 과정에 참여하는 노드, 또는 키 생성 및 키 저장과 관련된 다른 노드일 수 있다. 본 출원의 본 실시예에서, 코어 네트워크 장치가 AMF 노드라는 것이 예로서 사용된다. 도 9에 도시된 바와 같이, 보안 보호를 수행하는 방법은 다음의 단계를 포함한다.
단계 901: AMF 노드가 제1 파라미터를 결정한다.
제1 파라미터는 NAS 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용된다. AMF 노드는 단말기에 의해 지원되는 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다.
AMF 노드가 제1 파라미터를 결정하는 방법은 도 5의 단계 501에서 단말기가 제1 파라미터를 결정하는 방법과 유사하고, 단계 501의 관련 설명을 참조할 수 있다.
단계 902: AMF 노드가 제1 파라미터, NAS 키, 및 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS COUNT에 기초하여 NAS 메시지에 대해 보안 보호를 수행한다.
NAS COUNT는 NAS 메시지 리플레이 공격을 방지하는 기능을 가진 파라미터일 수 있다.
AMF 노드가 NAS 메시지에 대해 보안 보호를 수행한다는 것은, 단말기에 전송될 NAS 메시지를 암호화하고, 수신된 NAS 메시지를 복호화하며, 단말기에 전송될 NAS 메시지에 대해 무결성 보호를 수행하거나 또는 수신된 NAS 메시지에 대해 무결성 보호 검증을 수행하는 것일 수 있다.
AMF 노드가 NAS 메시지에 대해 보안 보호를 수행하는 방법은 단말기가 단계 502에서 NAS 메시지에 대해 보안 보호를 수행하는 방법과 유사하며, 단계 502의 관련 설명을 참조할 수 있다.
본 출원의 본 실시예에서 제공된 보안 보호 방법에 따르면, 코어 네트워크 장치는 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있다. 단말기는 서로 다른 접속 기술을 이용하여 NAS 메시지를 전송할 때 하나의 세트의 NAS COUNT를 사용하지 않는다. 대신에, 단말기는 대응하는 접속 기술을 위해 유지되는 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호를 수행할 수 있다. 이렇게 하면, 코어 네트워크 장치가 하나의 링크를 이용하여 전송된 상대적으로 작은 NAS COUNT를 수신하고, 그런 다음 다른 링크를 이용하여 전송된 상대적으로 큰 NAS COUNT를 수신할 때 발생하는 리플레이 공격 문제를 방지할 수 있다. 본 출원에서, 서로 다른 접속 기술을 구별하는 데 사용되는 제1 파라미터는 NAS 메시지에 대해 보안 보호가 수행될 때 추가로 사용된다. 따라서, 서로 다른 접속 기술을 이용하여 전송된 NAS 메시지에 대해 보안 보호가 수행될 때 동일한 NAS 키와 동일한 NAS COUNT가 사용되더라도, NAS 메시지의 보안 보호 결과가 달라서 리플레이 공격의 발생의 가능성을 감소시킴으로써, 복수의 NAS 연결 링크에 대한 보안 보호를 구현한다.
선택적으로, NAS 메시지를 전송하는 데 사용된 접속 기술이 제1 접속 기술이면, 도 5와 도 9의 절차 이전에, 도 10에 도시된 바와 같이, 보안 보호 방법은 단계 1001 내지 단계 1007을 더 포함할 수 있다.
단계 1001: 단말기가 제1 접속 기술에 대응하는 제1 상향링크 NAS COUNT를 결정한다.
제1 상향링크 NAS COUNT가 0이고, 구체적으로, 제1 상향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다.
대안적으로, 제1 상향링크 NAS COUNT는 임의의 수이다. 구체적으로, 제1 상향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 제1 상향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다.
대안적으로, 적어도 2개의 접속 기술은 제2 접속 기술을 더 포함하고, 제1 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT이다. 단말기가 제2 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 제1 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT이다.
대안적으로, 적어도 2개의 접속 기술은 제2 접속 기술을 더 포함하고, 제1 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다. 단말기가 제2 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 제1 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다.
대안적으로, 제1 상향링크 NAS COUNT는 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT이다. 단말기가 제1 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 제1 상향링크 NAS COUNT는 가장 큰 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT이다.
대안적으로, 제1 상향링크 NAS COUNT는 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다. 단말기가 제1 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 제1 상향링크 NAS COUNT는 제1 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다.
선택적으로, 제1 접속 기술과 제2 접속 기술은 개별적으로 3GPP 접속 기술, 비-3GPP 접속 기술, 고정형 네트워크 접속 기술, 코어 네트워크 장치에 접속하는 데 사용될 수 있는 다른 기술, 또는 3GPP 접속 기술과 3GPP 네트워크 코어 네트워크 장치를 공유할 수 있는 임의의 기술일 수 있다. 본 출원의 본 실시예에서, 제1 접속 기술이 비-3GPP 접속 기술이고 제2 접속 기술이 3GPP 접속 기술인 예가 설명에 사용된다.
단말기가 비-3GPP 접속 기술을 통해 NAS 메시지를 AMF 노드에 송신하기 전에, 단말기는 NAS 메시지가 비-3GPP 접속 기술을 통해 전송될 때 전달되는 제1 상향링크 NAS COUNT를 결정할 필요가 있다고 이해할 수 있을 것이다.
단말기가 처음으로 비-3GPP 접속 기술을 이용하여 AMF Node에 접속하면, 비-3GPP 접속 기술에 대응하는 제1 상향링크 NAS COUNT는 0 또는 임의의 수로 설정될 수 있다. 대안적으로, 단말기가 3GPP 접속 기술을 통해 AMF 노드에 접속할 때, NAS COUNT 유지 방법이 위에서 설명된 방법 1이면(NAS 메시지가 송신된 후에, NAS 메시지에 사용되는 NAS COUNT가 1씩 증가되어 저장되고; 다음 번에 NAS 메시지가 송신될 필요가 있을 때, 저장된 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호가 수행되면), 제1 상향링크 NAS COUNT가 3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT라고 결정될 수 있다. 단말기가 3GPP 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하고 또한 단말기가 이전 NAS 메시지에 의해 사용된 상향링크 NAS COUNT를 결정할 수 없으면, 3GPP 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT가 선택되고, NAS 메시지에 대해 보안 보호가 수행된다. NAS COUNT 유지 방법이 위에서 설명된 방법 2이면(NAS 메시지가 송신된 후, 다음 번에 NAS 메시지가 송신될 필요가 있을 때, 저장된 NAS COUNT가 1씩 증가되어 새로운 NAS COUNT를 결정하고, 새로운 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호가 수행되면), 제1 상향링크 NAS COUNT가 3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이라고 결정될 수 있다. 단말기가 3GPP 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하고 또한 단말기가 이전 NAS 메시지에 의해 사용된 상향링크 NAS COUNT를 결정할 수 없으면, 3GPP 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT가 선택되어 1씩 증가되고, 1씩 증가된 상향링크 NAS COUNT를 이용하여 NAS 메시지에 대해 보안 보호가 수행된다.
단말기가 비-3GPP 접속 기술을 통해 AMF 노드에 접속할 때, NAS COUNT 유지 방법이 전술한 방법 1이면, 제1 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT라고 결정될 수 있거나; 또는 NAS COUNT 유지 방법이 전술한 방법 2이면, 제1 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이라고 결정될 수 있다.
단계 1002: 단말기가 제1 메시지를 AMF 노드에 송신한다. 여기서, 제1 메시지는 제1 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있다.
제1 상향링크 NAS COUNT와 NAS 키를 이용하여 제1 메시지에 대해 보안 보호가 수행된다. 선택적으로, 제1 메시지는 24비트 제1 상향링크 COUNT를 싣고 있을 수 있거나, 제1 상향링크 COUNT의 일부만을 싣고 있을 수 있으며, 예를 들어 제1 상향링크 NAS COUNT의 마지막 4비트 또는 8비트만을 싣고 있을 수 있다.
가능한 다른 구현에서, 단말기가 비-3GPP 접속 기술을 통해 AMF 노드에 최초로 접속하고, 단말기가 3GPP 접속 기술을 통해 AMF 노드에 접속하면, 단말기는 일시적으로 제1 상향링크 NAS COUNT를 결정할 수 없으며, 비-3GPP 접속 기술에 대응하는 NAS COUNT를 이용하여 제1 메시지에 대해 먼저 보안 보호를 수행한다. 즉, 단계 1001과 단계 1002가 단계 1003으로 대체될 수 있다.
단계 1003: 단말기가 제1 메시지를 AMF 노드에 송신한다. 여기서, 제1 메시지는 제2 접속 기술에 대응하는 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있다.
제2 접속 기술에 대응하는 NAS 키와 상향링크 NAS COUNT를 이용하여 제1 메시지에 대해 보안 보호가 수행된다.
제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 제1 메시지에 실리는 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT의 일부 또는 전부이거나, 또는 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT가 1씩 증가된 후에 얻어진 새로운 상향링크 NAS COUNT의 일부 또는 전부이다. 단말기가 제2 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 이 단계에서 제2 접속 기술에 대응하는 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT이다.
선택적으로, 단계 1002의 제1 메시지와 단계 1003의 제1 메시지가 모두 제1 지시 정보를 포함한다는 것을 유의해야 한다. 여기서, 제1 지시 정보는 제1 메시지에 실리는 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 접속 기술을 나타내는 데 사용되거나, 또는 제1 지시 정보는 제1 메시지에 실리는 NAS COUNT의 일부 또는 전부에 대응하는 전송 경로를 나타내는 데 사용된다. 예를 들어, 단계 1002에서 제1 메시지에 실리는 제1 지시 정보는 비-3GPP 접속 기술을 나타내고, 단계 1003에서 제1 메시지에 실리는 제1 지시 정보는 3GPP 접속 기술을 나타낸다. 다른 예를 들면, 단계 1002에서 제1 메시지에 실리는 제1 지시 정보는 경로 1을 통해 AMF 노드에 접속하는 것을 나타내고, 단계 1003에서 제1 메시지에 실리는 제1 지시 정보는 경로 2를 통해 AMF 노드에 접속하는 것을 나타낸다.
단계 1002 또는 단계 1003 이후에 다음의 단계들이 더 수행될 수 있다.
단계 1004: AMF 노드가 제1 메시지를 수신한다.
단계 1005: AMF 노드가 제1 지시 정보에 의해 지시된 접속 기술에 대응하는 상향링크 NAS COUNT에 기초하여, 제1 메시지에 실리는 NAS COUNT를 검증한다.
지시 정보는 명시적 지시이거나, 또는 암묵적 통지일 수 있다. 예를 들어, 접속 유형 정보는 N2 메시지에 명시적으로 지시된 접속 유형 지시 정보(무선접속 기술(radio access technology(RAT)) 유형의 접속 유형 등), 또는 NAS 메시지에 추가되는 접속 유형 지시 정보일 수 있다. AMF 노드는 접속 유형 지시 정보가 없을 때 제1 메시지의 소스에 기초하여 접속 유형을 결정할 수 있다. 예를 들어, 메시지의 소스 주소가 기지국이면, 접속 유형이 3GPP 접속이고; 메시지의 소스 주소가 N3IWF 노드이면, 접속 유형이 비-3GPP 접속이며; 메시지의 소스 주소가 고정형 네트워크에 연결된 장치이면, 접속 유형이 고정형 네트워크 접속이다.
제1 지시 정보가 비-3GPP 접속 기술을 나타내는 경우, 제1 메시지가 완전한 제1 NAS COUNT를 싣고 있고 또한 AMF 노드가 단말기가 AMF 노드에 접속하였다고 결정하면, AMF 노드는, 제1 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 이전에 수신된 상향링크 NAS COUNT로서 AMF 노드에 의해 저장된 상향링크 NAS COUNT보다 큰지 여부를 판정한다. 제1 NAS COUNT가 이전에 수신된 상향링크 NAS COUNT보다 크면, 검증이 성공하거나; 또는 제1 NAS COUNT가 이전에 수신된 상향링크 NAS COUNT보다 작으면, 인증이 실패하고, 단말기의 접속이 거부되며, 실패 이유가 단말기에 통지된다. 선택적으로, AMF 노드가 단말기가 비-3GPP 접속 기술을 이용하여 AMF 노드에 접속하지 않았다고 결정하면, AMF 노드는 제1 NAS COUNT를 비-3GPP 접속 기술에 대응하는 상향링크 NAS COUNT로서 저장하거나, 또는 AMF 노드는 비-3GPP 접속 기술에 대응하는 상향링크 NAS COUNT가 0이라고 결정한다. 제1 메시지가 제1 NAS COUNT의 일부를 싣고 있으면, AMF 노드는 먼저 완전한 제1 NAS COUNT를 복원하고, 그런 다음 제1 NAS COUNT를 처리하기 위한 전술한 방법에 따라 제1 NAS COUNT를 검증하거나 또는 저장한다.
제1 지시 정보가 3GPP 접속 기술을 나타내는 경우, 제1 메시지가 3GPP 접속 기술에 대응하는 완전한 NAS COUNT를 싣고 있으면, AMF 노드는, 제1 NAS COUNT가 3GPP 접속 기술에 대응하고 있는 이전에 수신된 상향링크 NAS COUNT로서 AMF 노드에 의해 저장된 상향링크 NAS COUNT보다 큰지 여부를 판정한다. 제1 NAS COUNT가 이전에 수신된 상향링크 NAS COUNT보다 크면, 검증이 성공하거나; 또는 제1 NAS COUNT가 이전에 수신된 상향링크 NAS COUNT보다 작으면, 인증이 실패한다. 제1 메시지가 3GPP 접속 기술에 대응하는 NAS COUNT의 일부를 싣고 있으면, AMF 노드는 완전한 NAS COUNT를 먼저 복원하고, 그런 다음 NAS COUNT를 검증하기 위한 전술한 방법을 이용함으로써, 복구된 완전한 COUNT를 검증한다.
단계 1006: AMF 노드가 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 결정한다.
제2 상향링크 NAS COUNT가 0이고, 구체적으로, 제2 상향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 대안적으로, 제2 상향링크 NAS COUNT는 임의의 수이다. 구체적으로, 제2 상향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 제2 상향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다. 대안적으로, 제2 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 코어 네트워크 장치가 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제2 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 대안적으로, 제2 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 코어 네트워크 장치가 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제2 상향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 대안적으로, 제2 상향링크 NAS COUNT는 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 코어 네트워크 장치가 제1 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제2 상향링크 NAS COUNT는 제1 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 대안적으로, 제2 상향링크 NAS COUNT는 제1 상향링크 NAS COUNT이거나; 또는 제2 상향링크 NAS COUNT는 제1 상향링크 NAS COUNT와 1의 합이다.
선택적으로, AMF 노드에 의해 수신된 제1 메시지가 제1 상향링크 NAS COUNT를 싣고 있으면, AMF 노드는 제2 상향링크 NAS COUNT가 제1 NAS COUNT이라고 결정하거나, 또는 제2 상향링크 NAS COUNT가 제1 상향링크 NAS COUNT와 1의 합이라고 결정할 수 있다.
대안적으로, AMF 노드에 의해 수신된 제1 메시지가 제1 상향링크 NAS COUNT를 싣고 있으면, 단말기가 비-3GPP 접속 기술에 대응하는 NAS COUNT를 결정했다는 것을 나타내고, AMF 노드는 제2 NAS COUNT를 결정하지 않을 수 있다.
제1 하향링크 NAS COUNT는 0이고, 구체적으로, 제1 하향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 대안적으로,
제1 하향링크 NAS COUNT는 임의의 수이다. 구체적으로, 제1 하향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 제1 상향링크 NAS COUNT의 시퀀스 번호 부분 또는 NAS 오버플로우 부분이 임의의 수이다. 이 경우, 나머지 부분이 0이다. 대안적으로, 제1 하향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 코어 네트워크 장치가 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제1 하향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이다. 대안적으로, 제1 하향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 코어 네트워크 장치가 제2 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제1 하향링크 NAS COUNT는 제2 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 대안적으로, 제1 하향링크 NAS COUNT는 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다. 코어 네트워크 장치가 제1 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제1 하향링크 NAS COUNT는 제1 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이다.
선택적으로, AMF 노드에 의해 수신된 제1 메시지가 제2 접속 기술에 대응하는 NAS COUNT를 싣고 있으면, AMF 노드에 의해 결정된 제2 상향링크 NAS COUNT는 제1 하향링크 NAS COUNT와 동일할 수 있다.
단계 1007: AMF 노드가 제2 메시지를 단말기에 송신한다. 여기서, 제2 메시지는 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 포함한다.
따라서, 단말기는 제2 메시지를 수신한다.
선택적으로, 제2 메시지는 제2 지시 정보를 싣고 있고, 제2 지시 정보는 제2 메시지에 실리는 제1 하향링크 NAS COUNT에 대응하는 접속 기술을 나타내는 데 사용된다. 선택적으로, 제2 메시지는 제2 메시지에 실리는 제2 상향링크 NAS COUNT를 나타내는 데 사용되는 지시 정보를 더 싣고 있을 수 있다. 선택적으로, 제2 지시 정보는 제2 메시지에 실리는 제1 하향링크 NAS COUNT에 대응하는 전송 경로를 나타내는 데 사용된다. 선택적으로, 제2 메시지는 제2 메시지에 실리는 제2 상향링크 NAS COUNT에 대응하는 전송 경로를 나타내는 데 사용되는 지시 정보를 더 싣고 있을 수 있다. 제2 메시지가 제1 접속 기술에 대응하는 제1 하향링크 NAS COUNT를 싣고 있기 때문에, 제2 지시 정보가 제1 접속 기술을 나타내는 데 사용된다고 이해할 수 있을 것이다. 예를 들어, 제1 접속 기술이 3GPP 접속 기술이면, 제2 지시 정보는 3GPP 접속 기술을 나타내는 데 사용되고; 제1 접속 기술이 비-3GPP 접속 기술이면, 제2 지시 정보는 비-3GPP 접속 기술을 나타내는 데 사용된다.
제2 메시지를 수신한 후에, 단말기가 제2 메시지에 실리는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 저장할 수 있다고 이해할 수 있을 것이다. 상향링크 NAS 메시지가 다음 번에 비-3GPP를 통해 송신될 필요가 있을 때, 제2 상향링크 NAS COUNT에 기초하여 NAS 메시지에 대해 보안 보호가 수행될 수 있다. 대안적으로, 하향링크 NAS 메시지를 수신한 후에, 수신된 하향링크 NAS 메시지 내의 하향링크 NAS COUNT는 제1 하향링크 NAS COUNT에 기초하여 검증될 수 있다.
특정 시나리오를 참조하여, 이하에서는 전술한 실시예에서 설명한 보안 보호 방법에 대해 명한다. 본 출원의 실시예는 단말기가 3GPP 접속 기술을 이용하여 AMF 노드에 접속한 다음, 비-3GPP 접속 기술을 이용하여 동일한 AMF 노드에 접속하는 시나리오에 적용될 수 있다. 도 11a와 도 11b는 단말기가 비-3GPP 접속 기술을 이용하여 AMF 노드에 접속하는 등록 과정을 도시하고 있다. 보안 보호 방법은 다음의 단계를 포함한다.
단계 1101: 단말기가 비신뢰 비-3GPP 네트워크(untrusted non-3GPP network)에 접속한다.
예를 들어, 단말기가 직접 신뢰할 수 없는 WiFi 네트워크에 접속한다.
이 단계에서, 단말기는 비신뢰 비-3GPP 네트워크에 접속하고, 단말기는 3GPP 네트워크에 의해 인증되고 NAS 보안 컨텍스트를 가지고 있다. NAS 보안 컨텍스트는 3GPP 접속 기술에 대응하는 NAS 키, 키 식별자, 및 NAS COUNT를 포함한다. 선택적으로, NAS 컨텍스트는 비-3GPP 접속 기술에 대응하는 NAS COUNT를 더 포함한다. 단말기가 비-3GPP 접속 기술을 통해 AMF 노드에 접속하면, 비-3GPP 접속 기술에 대응하는 NAS COUNT는 0이 아니다. 단말기가 비-3GPP 접속 기술을 통해 AMF 노드에 접속하면, 비-3GPP 접속 기술에 대응하는 NAS COUNT는 0이다.
NAS 키는 암호화 키와 무결성 보호 키 중 하나 또는 둘 다일 수 있다.
단계 1102: 단말기가 N3IWF 노드와 인터넷 키 교환 프로토콜 보안 연관 초기(Internet Key Exchange Protocol security association initial, IKE_SA_INIT) 메시지를 교환한다.
IKE_SA_INIT 메시지는 키 자료를 싣고 있고, 키 자료는 단말기와 N3IWF 노드 사이에서 전송되는 메시지에 대해 보안 보호를 수행하는 데 사용되는 정보이다. 단말기가 IKE_SA_INIT 메시지를 N3IWF 노드와 교환한 후에, 단말기와 N3IWF 노드는 동일한 키를 생성 할 수 있고, 이 키는 단말기와 N3IWF 노드에 의해 후속적으로 전송되는 메시지에 대해 보안 보호를 수행하는 데 사용된다.
단계 1103: 단말기가 인터넷 키 교환 프로토콜 인증 요청(Internet key exchange protocol authentication request, IKE_AUTH_Req) 메시지를 N3IWF 노드에 송신한다.
따라서, N3IWF 노드가 IKE_AUTH_Req 메시지를 수신한다.
단계 1104 : N3IWF 노드가 인터넷 키 교환 프로토콜 인증 응답(internet key exchange protocol authentication response, IKE_AUTH_Res) 메시지를 단말기에 송신한다.
따라서, 단말기가 IKE_AUTH_Res 메시지를 수신한다.
IKE_AUTH_Res 메시지는 확장 가능 인증 프로토콜 5세대 요청(extensible authentication protocol_5th generation_request, EAP_5G_Req) 메시지의 5G 시작(5G start) 메시지를 싣고 있고, EAP_5G_Req 메시지는 확장 가능 인증 프로토콜(extensible authentication protocol, EAP) 절차를 시작하도록 단말기에 요청하는 데 사용된다.
단계 1105: 단말기가 제1 상향링크 NAS COUNT를 결정한다.
제1 상향링크 NAS COUNT는 단말기에 의해 AMF 노드에 송신된 NAS 메시지에 대해 보안 보호를 수행하는 데 사용되는 COUNT이다.
이 단계의 2가지 구현이 존재한다.
제1 구현에서, 단말기는 3GPP 접속 기술에 대응하는 상향링크 NAS COUNT에 기초하여 제1 상향링크 NAS COUNT를 결정한다.
단말기가 3GPP 접속 기술을 통해 AMF 노드에 접속했기 때문에, 단말기는 3GPP 접속 기술에 대응하는 NAS COUNT를 저장하였다. NAS COUNT 유지 방법이 전술한 방법 1이면, 제1 상향링크 NAS COUNT가 3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT라고 결정될 수 있다(단말기가 3GPP 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 제1 상향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT이다). NAS COUNT 유지 방법이 전술한 방법 2이면, 제1 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이라고 결정될 수 있다(단말기가 비-3GPP 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 제1 상향링크 NAS COUNT는 비-3GPP 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다).
제2 구현에서, 단말기는 비-3GPP 접속 기술에 대응하는 NAS COUNT를 생성하고, 비-3GPP 접속 기술에 대응하는 NAS COUNT를 제1 상향링크 NAS COUNT로서 사용한다.
구체적으로, 제1 사향링크 NAS COUNT는 0이거나 또는 임의의 수일 수 있다.
제1 상향링크 NAS COUNT가 0이면 제1 상향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 제1 상향링크 NAS COUNT가 임의의 수이면, 제1 상향링크 NAS COUNT의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 제1 상향링크 NAS COUNT의 마지막 8비트(시퀀스 번호 부분)이 임의의 수이거나, 또는 NAS 오버플로우 부분이 임의의 수이며, 나머지 부분이 0이다.
선택적으로, 단말기가 비-3GPP 접속 기술을 통해 AMF 노드에 접속했으면, 단말기는 제1 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT라고 결정할 수 있거나(단말기가 비-3GPP 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 제1 상향링크 NAS COUNT는 비-3GPP 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT임), 또는 단말기는 제1 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 NAS COUNT로서 단말기에 의해 저장된 NAS COUNT와 1의 합이라고 결정할 수 있다(단말기가 비-3GPP 접속 기술에 대응하는 적어도 2개의 상향링크 NAS COUNT를 저장하면, 제1 상향링크 NAS COUNT는 비-3GPP 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이다).
선택적으로, 제2 구현에서 제1 상향링크 NAS COUNT가 결정되면, 단말기가 비-3GPP 접속 기술을 이용하여 AMF 노드에 접속하는 등록 과정에서, 단말기는 3GPP 접속 기술을 이용하여 NAS 메시지를 송신하지 않는다.
선택적으로, 단말기는 지시자(indicator)를 추가로 설정할 수 있다. 이 지시자는 도 1에 대응하는 실시예에서 제1 지시 정보와 동일하고, 제1 상향링크 NAS COUNT가 3GPP 접속 기술 또는 비-3GPP 접속 기술에 대응하는지 여부를 나타내는 데 사용된다. 전술한 제1 구현에서 단말기가 제1 상향링크 NAS COUNT를 결정하면, 이 지시자가 3GPP 접속 기술을 나타내거나; 또는 전술한 제2 구현에서 단말기가 제1 상향링크 NAS COUNT를 결정하면, 이 지시자가 비-3GPP 접속 기술을 나타낸다는 것을 이해할 수 있을 것이다.
단계 1106 : 단말기가 IKE_AUTH_Req 메시지를 N3IWF 노드에 송신한다.
따라서, N3IWF 노드가 IKE_AUTH_Req 메시지를 수신한다.
IKE_AUTH 요청 메시지는 NAS 프로토콜 데이터 단위(protocol data unit, PDU), 및 5G 비접속 계층 메시지(EAP_5G_ReS 메시지에 대응하는 5G-NAS 메시지) 또는 5G-NAS 메시지를 전송하기 위한 확장 가능한 인증 프로토콜을 포함한다. NAS PDU는 등록 요청 메시지를 포함한다. 등록 요청 메시지는 3GPP 접속 기술을 통해 AMF 노드에 등록하기 위해 단말기에 의해 사용된다. 선택적으로, 전술한 실시예의 제1 메시지는 등록 요청 메시지일 수 있다.
선택적으로, 제1 상향링크 NAS COUNT를 이용하여 등록 요청 메시지에 대해 무결성 보호가 수행될 수 있고, 등록 요청 메시지는 제1 지시 정보와 제1 상향링크 NAS COUNT를 포함한다. 선택적으로, 등록 요청 메시지는 키 식별자와 단말기의 임시 식별자를 더 포함한다.
단계 1107: N3IWF 노드가 AMF 노드를 선택한다.
N3IWF 노드가 AMF 노드를 선택하는 방법에 대해서는 종래 기술을 참조하라.
단계 1108: N3IWF 노드가 등록 요청 메시지를 AMF 노드에 포워딩한다.
따라서, AMF 노드가 등록 요청 메시지를 수신한다.
단계 1109: AMF 노드가 등록 요청 메시지를 검증한다.
AMF 노드가 등록 요청 메시지에 대해 수행하는 검증은, 등록 요청 메시지에 대해 수행되는 무결성 보호 검증 및 등록 요청 메시지에 실리는 제1 상향링크 NAS COUNT에 대해 수행되는 검증을 포함한다. AMF 노드가 등록 요청 메시지에 실리는 제1 상향링크 NAS COUNT를 검증한다는 것은 전술한 단계 1005에 대응하고 있다.
AMF 노드는 등록 요청 메시지 내의 임시 식별자와 키 식별자에 기초하여 무결성 보호 키를 생성할 수 있고, 무결성 보호 키에 기초하여 등록 요청 메시지에 대해 무결성 보호 검증을 수행한다.
제1 상향링크 NAS 메시지에 대응하고 있는 접속 기술로서 제1 지시 정보에 의해 지시된 접속 기술이 3GPP 접속 기술이면, AMF 노드는 제1 상향링크 NAS COUNT가 이전에 수신된 3GPP 접속 기술에 대응하는 NAS COUNT보다 큰지 여부를 검증한다. 제1 상향링크 NAS COUNT가 이전에 수신된 NAS COUNT보다 크면, 검증이 성공하거나; 또는 제1 상향링크 NAS COUNT가 이전에 수신된 NAS COUNT보다 크지 않으면, 검증이 실패한다.
제1 상향링크 NAS 메시지에 대응하고 있는 접속 기술로서 제1 지시 정보에 의해 지시된 접속 기술이 비-3GPP 접속 기술이고, 단말기가 비-3GPP 접속 기술을 통해 AMF 노드에 접속하지 않았으면, AMF 노드는 제1 NAS COUNT를 비-3GPP 접속 기술에 대응하는 상향링크 NAS COUNT로서 저장하거나, 또는 AMF 노드는 비-3GPP 접속 기술에 대응하는 상향링크 NAS COUNT가 0이라고 결정한다. 단말기는 비-3GPP 접속 기술을 통해 AMF 노드에 접속했다. AMF 노드는 제1 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하는 이전에 수신된 NAS COUNT보다 큰지 여부를 검증한다. 제1 상향링크 NAS COUNT가 이전에 수신된 NAS COUNT보다 크면, 검증이 성공하거나; 또는 제1 상향링크 NAS COUNT가 이전에 수신된 NAS COUNT보다 크지 않으면, 검증이 실패한다.
단계 1110: AMF 노드가 N3IWF 노드에 대한 키(Kn3iwf)를 생성한다.
이 키(Kn3iwf)는 AMF 노드와 단말기 사이의 양방향 인증에 사용된다.
단계 1111: AMF 노드가 비-3GPP 접속 기술에 대응하는 제2 상향링크 NAS COUNT와 제1 하향 링크 NAS COUNT 중 하나 또는 둘 다를 결정한다.
선택적으로, 제1 지시 정보에 의해 지시된 접속 기술이 3GPP 접속 기술이면, 단말기가 비-3GPP 접속 기술에 대한 NAS COUNT를 결정하지 않고, AMF 노드가 비-3GPP 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT를 결정할 수 있다는 것을 나타낸다. 제1 지시 정보에 의해 지시된 접속 기술이 비-3GPP 접속 기술이면, 단말기가 상향링크 비-3GPP 접속 기술에 대한 NAS COUNT를 결정하고, AMF 노드가 비-3GPP 기술에 대응하는 제1 하향링크 NAS COUNT만을 결정할 필요가 있거나, 또는 AMF 노드가 제1 하향링크 NAS COUNT를 결정하고 상향링크 비-3GPP 접속 기술의 NAS COUNT를 재결정한다는 것을 나타낸다.
구체적으로, 제2 상향링크 NAS COUNT는 0이거나, 또는 제2 상향링크 NAS COUNT는 임의의 수이다.
제2 상향링크 NAS COUNT가 0이면, 제2 상향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 제2 상향링크 NAS COUNT가 임의의 수이면, 제2 상향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 제2 상향링크 NAS COUNT의 마지막 8비트(시퀀스 번호 부분)가 임의의 수이거나, 또는 NAS 오버플로우 부분이 임의의 수이고, 나머지 부분이 0이다. 선택적으로, 제2 상향링크 NAS COUNT가 임의의 수이면, 제2 상향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT보다 클 필요가 있다(AMF 노드가 3GPP 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제2 상향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT보다 클 필요가 있다).
제2 상향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT일 수 있다(AMF 노드가 3GPP 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제2 상향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 단말기에 의해 저장된 하향링크 NAS COUNT이다). 대안적으로, 제2 상향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT와 1의 합이다(AMF 노드가 3GPP 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제2 상향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 단말기에 의해 저장된 하향링크 NAS COUNT와 1의 합이다). 대안적으로, 제2 상향링크 NAS COUNT는 비-3GPP 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT와 1의 합이다(AMF 노드가 비-3GPP 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제2 상향링크 NAS COUNT는 비-3GPP 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 단말기에 의해 저장된 하향링크 NAS COUNT와 1의 합이다). 대안적으로, 제2 상향링크 NAS COUNT는 제1 상향링크 NAS COUNT이거나; 또는 제2 상향링크 NAS COUNT는 제1 상향링크 NAS COUNT와 1의 합이다.
선택적으로, 제1 하향링크 NAS COUNT는 제2 상향링크 NAS COUNT와 동일할 수 있다.
구체적으로, 제1 하향링크 NAS COUNT는 0일 수 있거나, 또는 임의의 수일 수 있다.
제1 하향링크 NAS COUNT가 0이면, 제1 하향링크 NAS COUNT의 모든 비트 또는 일부 비트가 0이다. 제1 하향링크 NAS COUNT가 임의의 수이면, 제1 하향링크 NAS COUNT에서의 일부 비트 또는 모든 비트가 임의의 수이다. 예를 들어, 제1 하향링크 NAS COUNT의 마지막 8비트(시퀀스 번호 부분)가 임의의 수이거나, 또는 NAS 오버플로우 부분이 임의의 수이고, 나머지 부분이 0이다. 선택적으로, 제1 하향링크 NAS COUNT가 임의의 수이면, 제1 하향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT보다 클 필요가 있다.
대안적으로, 제1 하향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT일 수 있다(AMF 노드가 3GPP 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제1 하향링크 NAS COUNT는 추가적으로, 3GPP 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT일 수 있다). 대안적으로, 제1 하향링크 NAS COUNT는 3GPP 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT와 1의 합일 수 있다(AMF 노드가 3GPP 접속 기술에 대응하는 적어도 2개의 하향링크 NAS COUNT를 저장하면, 제1 하향링크 NAS COUNT는 추가적으로, 3GPP 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT와 1의 합일 수 있다). 대안적으로, 제1 하향링크 NAS COUNT는 비-3GPP 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT와 1의 합이다(AMF 노드가 비-3GPP 접속 기술에 대응하는 하향링크 NAS COUNT를 저장하면, 제1 하향링크 NAS COUNT는 추가적으로, 비-3GPP 접속 기술에 대응하고 있는 가장 큰 하향링크 NAS COUNT로서 AMF 노드에 의해 저장된 하향링크 NAS COUNT와 1의 합일 수 있다).
AMF 노드가 생성된 제2 상향링크 NAS COUNT와 생성된 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 저장할 수 있다는 것을 유의해야 한다. AMF 노드는 3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT와 하향링크 NAS COUNT를 유지할 수 있고, 추가적으로 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT와 하향링크 NAS COUNT를 유지할 수 있다. AMF 노드가 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT를 생성하면, AMF 노드는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT를 저장한다. AMF 노드가 제1 하향링크 NAS COUNT만을 생성하면, AMF 노드는 제1 하향링크 NAS COUNT를 저장한다. 이 경우, 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단말기에 의해 유지되는 상향링크 NAS COUNT는 제1 상향링크 NAS COUNT이다.
AMF 노드가 3GPP 접속 기술과 비-3GPP 접속 기술 각각에 대한 NAS COUNT의 세트를 개별적으로 유지한다는 것, 다르게 말하면, 3GPP 접속 기술을 위해 AMF 노드에 의해 유지되는 NAS COUNT의 크기와 비-3GPP 접속 기술을 위해 AMF 노드에 의해 유지되는 NAS COUNT가 서로 영향을 미치지 않는다고 이해할 수 있을 것이다. 상향링크 NAS 메시지를 수신할 때, AMF 노드는 상향링크 NAS 메시지 내의 비트 정보 또는 N2 메시지 내의 정보에 기초하여, 상향링크 NAS 메시지를 전송하기 위해 단말기에 의해 사용되는 접속 기술 또는 전송 경로를 결정할 수 있다. 사용된 접속 기술이 3GPP 접속 기술이면, 상향링크 NAS 메시지에 실리는 상향링크 NAS COUNT는 3GPP 접속 기술을 위해 유지되는 가장 큰 상향링크 NAS COUNT와 비교될 수 있다. 사용된 접속 기술이 비-3GPP 접속 기술이면, 상향링크 NAS 메시지에 실리는 상향링크 NAS COUNT는 비-3GPP 접속 기술을 위해 유지되는 가장 큰 상향링크 NAS COUNT와 비교되어 리플레이 공격을 방지할 수 있다.
단계 1112: AMF 노드가 N3IWF 노드를 이용하여 NAS 보안 모드 명령(security mode command, SMC) 메시지를 단말기에 송신한다.
따라서, 단말기가 NAS SMC 메시지를 수신한다.
전술한 실시예의 제2 메시지는 NAS SMC 메시지일 수 있다.
NAS SMC 메시지는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 싣고 있다. AMF 노드가 제1 하향링크 NAS COUNT만을 결정하면, NAS SMC 메시지가 제1 하향링크 NAS COUNT를 싣고 있다고 이해할 수 있을 것이다. AMF 노드가 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT를 결정하면, NAS SMC 메시지는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT를 싣고 있다.
선택적으로, NAS 메시지가 제1 하향링크 NAS COUNT만을 싣고 있으면, NAS 메시지는 단말기에 의해 결정된 상향링크 NAS COUNT를 계속 사용하도록 단말기에 지시하는 데 사용되는 지시 정보를 더 싣고 있을 수 있다.
선택적으로, NAS SMC 메시지는 제2 지시 정보를 더 포함하고, 제2 지시 정보는 NAS SMC 메시지에 실리는 NAS COUNT에 대응하는 접속 기술 또는 전송 경로를 지시하는 데 사용된다. 본 실시예의 시나리오에서, 제2 지시 정보에 의해 지시된 접속 기술은 비-3GPP 접속 기술이다.
단계 1113: 단말기가 NAS SMC 메시지에 기초하여, 비-3GPP 접속 기술에 대응하는 상향링크 NAS COUNT와 하향링크 NAS COUNT를 결정한다.
단말기는 3GPP 접속 기술과 비-3GPP 접속 기술 각각에 대한 NAS COUNT의 세트를 개별적으로 유지할 수 있다. 본 실시예의 시나리오에서, 단말기는 3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT와 하향링크 NAS COUNT를 저장했고, 단말기는 이 단계에서 수신된 NAS SMC 메시지에 기초하여, 비-3GPP에 대해 유지된 상향링크 NAS COUNT와 하향링크 NAS COUNT를 추가로 결정할 수 있다.
선택적으로, NAS SMC 메시지가 제1 하향링크 NAS COUNT만을 포함하면, 단말기는 비-3GPP 접속 기술에 대응하는 상향링크 NAS COUNT가 여전히 제1 상향링크 NAS COUNT이고, 비-3GPP 접속 기술에 대응하는 하향링크 NAS COUNT가 제1 하향링크 NAS COUNT라고 결정한다. NAS SMC 메시지가 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT를 포함하면, 단말기는, 비-3GPP 접속 기술에 대응하는 상향링크 NAS COUNT가 제2 상향링크 NAS COUNT이고 또한 비-3GPP 접속 기술에 대응하는 하향링크 NAS COUNT가 제1 하향링크 NAS COUNT라고 결정할 수 있다.
하향링크 NAS 메시지를 수신할 때, 단말기가 하향링크 NAS 메시지 내의 비트 정보에 기초하여, 하향링크 NAS 메시지를 전송하기 위해 단말기에 의해 사용되는 접속 기술 또는 전송 경로를 결정할 수 있고 이해할 수 있을 것이다. 사용된 접속 기술이 3GPP 접속 기술이면, 하향링크 NAS 메시지에 실리는 하향링크 NAS COUNT는 3GPP 접속 기술을 위해 유지되는 가장 큰 하향링크 NAS COUNT와 비교될 수 있다. 사용된 접속 기술이 비-3GPP 접속 기술이면, 하향링크 NAS 메시지에 실리는 하향링크 NAS COUNT는 비-3GPP 접속 기술을 위해 유지되는 가장 큰 하향링크 NAS COUNT와 비교되어 리플레이 공격을 방지할 수 있다.
단계 1114: 단말기가 N3IWF 노드를 이용하여 NAS 보안 모드 완료(security mode complete, SMP) 메시지를 AMF 노드에 송신한다.
따라서, AMF 노드가 NAS SMP 메시지를 수신한다.
선택적으로, 단계 502에서의 NAS 메시지는 이 단계의 NAS SMP 메시지일 수 있다.
단말기는 제1 파라미터, 상향링크 NAS COUNT, 및 NAS 키를 이용하여 NAS SMP 메시지에 대해 무결성 보호를 수행할 수 있다. 제1 파라미터는 NAS SMP 메시지를 전송하는 데 사용된 접속 기술이 비-3GPP 접속 기술이라는 것을 나타내는 데 사용되거나, 또는 NAS SMP 메시지를 전송하는 데 사용된 전송 경로가 도 2의 경로 2라는 것을 나타내는 데 사용된다. 상향링크 NAS COUNT는 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 단계 1113에서 단말기에 의해 결정되는 상향링크 NAS COUNT이거나, 또는 경로 2에 대응하는 상향링크 NAS COUNT이다. NAS SMP 메시지는 상향링크 NAS COUNT를 싣고 있다.
NAS SMP 메시지를 수신한 후에, AMF 노드가 NAS SMP 메시지에 실리는 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 AMF 노드에 의해 저장된 상향링크 NAS COUNT보다 큰지 여부, 또는 NAS SMP 메시지에 실리는 상향링크 NAS COUNT가 경로 2에 대응하는 상향링크 NAS COUNT보다 큰지 여부를 검증할 수 있다고 이해할 수 있을 것이다. NAS SMP 메시지에 실리는 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 AMF 노드에 의해 저장된 상향링크 NAS COUNT보다 크거나, 또는 NAS SMP 메시지에 실리는 상향링크 NAS COUNT가 경로 2에 대응하는 상향링크 NAS COUNT보다 크면, NAS 메시지 내의 비트 정보에 기초하여, NAS SMP 메시지를 전송하는 데 사용된 접속 기술이 비-3GPP 접속 기술이라는 것이 결정되어, 비-3GPP 접속 기술에 대응하는 제1 파라미터를 결정할 수 있고, 그런 다음 제1 파라미터, NAS 키, 및 NAS SMP 메시지에 실리는 상향링크 NAS COUNT에 기초하여 NAS SMP 메시지에 대해 무결성 검증이 수행된다. 검증이 성공하면, 단계 1115가 수행된다. 선택적으로, AMF가 복수의 상향링크 NAS COUNT를 저장하면, NAS SMP 메시지에 실리는 상향링크 NAS COUNT가 비-3GPP 접속 기술에 대응하고 있는 가장 큰 상향링크 NAS COUNT로서 AMF 노드에 의해 저장된 상향링크 NAS COUNT보다 큰지 여부가 검증될 수 있다.
단계 1115: AMF 노드가 N2 메시지를 N3IWF 노드에 송신한다. N2 메시지가 키(Kn3iwf)와 등록 완료 메시지를 싣고 있다.
따라서, N3IWF 노드가 N2 메시지를 수신한다.
단계 1116: N3IWF 노드가 EAP-5G-Success 메시지를 단말기에 송신한다.
따라서, 단말기가 EAP-5G-Success 메시지를 수신한다.
단계 1117: 단말기와 N3IWF 노드가 Kn3iwf를 이용하여 인증(authentication) 파라미터의 계산을 완료한다.
단계 1118: 인터넷 프로토콜 보안(Internet protocol security, IPsec) 연결이 단말기와 N3IWF 노드 사이에 구축된다.
단계 1119: N3IWF 노드가 등록 완료 메시지를 단말기에 송신한다.
본 출원의 본 실시예에서 제공된 보안 보호 방법에 따르면, 단말기가 비-3GPP 접속 기술을 통해 네트워크에 접속할 수 있고, 3GPP 접속 기술의 NAS COUNT와 비-3GPP 접속 기술의 NAS COUNT를 독립적으로 유지함으로써, 리플레이 공격의 발생의 가능성을 감소시킬 수 있다.
본 출원의 본 실시예의 가능한 구현에서, 단말기의 보안 컨텍스트가 오퍼레이터 정보에 바인딩될 수 있다. 예를 들어, 오퍼레이터 정보는 PLMN ID일 수 있다. 단말기가 오퍼레이터 A에 의해 제공된 3GPP 접속 기술을 이용하여 네트워크에 접속한 후에, 단말기가 도 11a와 도 11b에 대응하는 절차를 실행할 때, 비-3GPP 접속 기술에 대응하는 N3IWF 노드가 여전히 오퍼레이터 A인지 여부가 결정될 수 있다. N3IWF 노드가 여전히 오퍼레이터 A이면, 도 11a와 도 11b에 대응하는 절차가 지속될 수 있다.
가능한 다른 구현에서, 비-3GPP 접속 기술 측의 단말기의 보안 콘텍스트가 다른 정보, 예컨대 가입 정보 및 위치 영역 정보에 바인딩될 수 있다. 예를 들어, 단말기는 기지국 A의 커버리지 범위에서 기지국 B의 커버리지 범위로 이동하고, 기지국 A의 커버리지 범위는 비-3GPP 접속 기술 C를 지원하며, 기지국 B는 비-3GPP 접속 기술 D를 지원한다. 단말기가 비-3GPP 접속 기술 C를 통해 네트워크에 접속하면, 단말기가 기지국 A의 커버리지 범위에서 기지국 B의 커버리지 범위로 이동할 때, 단말기의 가입 정보가 단말기가 비-3GPP 접속 기술 D를 이용하는 권한을 가지고 있지 않다는 것을 나타내면, 단말기는 비-3GPP 접속 기술 D를 통해 네트워크에 접속할 수 없다.
선택적으로, 전술한 실시예에서, AMF 노드는 제1 지시 정보에 기초하여, NAS 메시지를 전송하는 데 사용된 접속 기술을 결정할 수 있다. 본 출원의 본 실시예는, AMF 노드가 N2 메시지를 수신한 후 N2 메시지 또는 NAS 메시지를 전송하는 데 사용된 접속 기술을 결정하기 위한 3가지 방법을 추가로 제공한다.
방법 1: AMF 노드가 N2 메시지의 소스에 기초하여, N2 메시지를 전송하는 데 사용된 접속 기술을 결정할 수 있다. 예를 들어, AMF 노드는 소스 주소 정보(예를 들어, IP 주소)에 기초하여 메시지의 소스를 결정하고, 메시지의 소스에 기초하여, 메시지를 전송하는 데 사용된 접속 기술을 추가로 결정한다. N2 메시지가 3GPP 접속 기술을 통해, 예를 들어 기지국을 통해 장치로부터 오면, 3GPP 접속 기술에 대응하는 NAS COUNT가 사용될 수 있다고 결정된다. 다시 말해, AMF 노드는 3GPP 접속 기술에 대응하는 상향링크 NAS COUNT로서 AMF 노드에 의해 저장된 상향링크 NAS COUNT를 이용하여, N2 메시지에 실리는 상향링크 NAS COUNT를 검증할 수 있다. N2 메시지가 비-3GPP 접속 기술, 예를 들어 N3IWF 노드를 통해 장치로부터 오면, 비-3GPP 접속 기술에 대응하는 NAS COUNT가 사용될 수 있다고 결정된다. 다시 말해, AMF 노드는 비-3GPP 접속 기술에 대응하는 상향링크 NAS COUNT로서 AMF 노드에 의해 저장된 상향링크 NAS COUNT를 이용하여, N2 메시지에 실리는 상향링크 NAS COUNT를 검증할 수 있다.
방법 2: 단말기가 N2 메시지의 소스를 AMF 노드에 명시적으로 통지할 수 있다. 예를 들어, N2 메시지는 접속 기술을 나타내는 데 사용되는 비트를 싣고 있을 수 있다. 예를 들어, 0은 3GPP 접속 기술을 나타내고, 1은 비-3GPP 접속 기술을 나타낸다. 대안적으로, N2 메시지는 문자열을 싣고 있을 수 있다. 예를 들어 "NR"이 3GPP 접속 기술을 나타내고, "wifi"가 비-3GPP 접속 기술을 나타낸다.
방법 3: AMF 노드가 N2 메시지의 접속 유형 정보에 기초하여, N2 메시지를 전송하는 데 사용된 접속 기술을 결정한다. 예를 들어, 접속 유형 정보는 RAT 유형(접속 유형) 정보이다. N2 메시지가 3GPP 접속 기술을 이용하는 장치, 예를 들어 기지국으로부터 오면, 3GPP 접속 기술에 대응하는 NAS COUNT가 사용될 수 있다고 결정될 수 있도록, N2 메시지 내의 접속 유형 지시가 3GPP 접속이다. 다시 말해, AMF 노드는 3GPP 접속 기술에 대응하는 상향링크 NAS COUNT로서 AMF 노드에 의해 저장된 상향링크 NAS COUNT를 이용하여, N2 메시지에 실리는 상향링크 NAS COUNT를 검증할 수 있다.
AMF 노드가 수신된 메시지에 의해 사용된 접속 기술을 구별하지 않는 종래 기술과 비교하여, 본 출원의 본 실시예의 전술한 2가지 방식에서, AMF 노드는 수신된 메시지에 의해 사용되는 접속 기술을 결정함으로써, 수신된 메시지에 의해 사용되는 접속 기술에 대응하는 NAS COUNT를 선택할 수 있다.
선택적으로, 본 출원의 본 실시예에서 제공된 다른 구현에서, 도 11a와 도 11b에 대응하는 방법 절차를 참조하여, 단계 1111에서 AMF 노드가 비-3GPP 접속 기술에 대응하는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT를 결정하면, AMF 노드는 NAS 키를 추가로 갱신할 수 있다. 본 출원의 본 실시예는 NAS 키를 갱신하기 위한 4가지 방법을 제공한다.
방법 1: 이전의 Kamf(oKamf)를 이용하여 새로운 Kamf(nKamf)를 생성하고, AMF 노드가 nKamf를 생성한 후에, nKamf에 기초하여 새로운 NAS 키를 생성한다.
여기서, Kamf는 AMF 노드의 루트 키다.
여기서, nKamf = KDF(oKamf, 신선도 파라미터)이다. 신선도 파라미터는 AMF 노드에 의해 이전에 수신된 상향링크 NAS COUNT, COUNT, 단말기가 AMF 노드에 송신한 파라미터, 또는 단말기와 AMF 노드 사이에서 협상되는 파라미터일 수 있다.
방법 2 : Kseaf를 이용하여 nKamf를 생성하고, AMF 노드가 nKamf를 생성한 후에, nKamf에 기초하여 새로운 NAS 키를 생성한다.
여기서, Kseaf는 AMF 노드의 루트 키다.
여기서, nKamf = KDF (Kamf, 신선도 파라미터). 신선도 파라미터는 AMF 노드에 의해 이전에 수신된 상향링크 NAS COUNT이거나, 또는 COUNTer 값일 수있다. 예를 들어, COUNTer 값의 시작 값이 0이고, AMF 노드가 NAS 키를 생성할 때마다, AMF 노드가 새로운 키를 생성한다는 것을 나타내기 위해 COUNTer 값이 1씩 증가한다.
방법 3: AMF 노드가 이전의 Kamf(oKamf) 및 알고리즘에 기초하여 새로운 NAS 키를 생성할 수 있다.
여기서, nKamf = KDF(oKamf, 알고리즘 ID, 선택된 알고리즘, 및 다른 파라미터)이고, 알고리즘 ID는 AMF 노드에 의해 선택된 알고리즘의 식별자이다. 선택된 알고리즘은 NAS 메시지에 대해 보안 보호를 수행하기 위해 단말기와 AMF 노드에 의해 사용되는 알고리즘이다.
다른 파라미터는 접속 기술을 나타내는 데 사용되는 파라미터이다. 구체적으로, 다른 파라미터는 비트의 형태 또는 ID의 형태일 수 있다. 예를 들어, 3GPP 접속 기술에 대응하는 다른 파라미터가 0x01이고, 비-3GPP 접속 기술에 대응하는 다른 파라미터가 0x10이며, 고정형 네트워크 접속 기술에 대응하는 다른 파라미터가 0x11이라고 지정될 수 있다.
다른 파라미터는 대안적으로 카운터 값일 수 있다. 예를 들어, 카운터 값의 시작 값이 0이며, AMF 노드가 NAS 키를 생성할 때마다 AMF 노드가 새로운 키를 생성한다는 것을 나타내기 위해 카운터 값이 1씩 증가한다.
방법 4: 이전의 NAS 키에 기초하여 새로운 NAS 키를 생성한다.
새로운 NAS 키 = (이전의 NAS 키, 카운터 값)이다. 예를 들어, 카운터 값의 시작 값이 0이고, AMF 노드가 NAS 키를 생성할 때마다 AMF 노드가 새로운 키를 생성한다는 것을 나타내기 위해 카운터 값이 1씩 증가한다.
AMF 노드가 새로운 NAS 키를 생성하면, AMF 노드가 도 11a와 도 11b에 대응하는 실시예의 NAS SMC 메시지를 이용하여, 명시적인 방식으로 키를 갱신하도록 단말기에 지시할 수 있다는 것을 유의해야 한다. 키를 갱신하는 명령을 수신한 후에, 단말기는 전술한 4가지 방법 중 하나를 이용하여 키를 갱신할 수 있다. 단말기가 키를 갱신하는 방법이 AMF 노드가 NAS 키를 갱신하는 방법과 동일하고, NAS 키를 갱신하는 방법이 AMF 노드와 단말기 양쪽에 미리 구성된다.
선택적으로, AMF 노드와 단말기가 사용되는 접속 기술을 변경할 때, NAS 키가 갱신될 수 있다. 대안적으로, 복수의 접속 기술을 이용하는 경우가 단 하나의 접속 기술을 사용하는 경우로 전환될 때, 또는 동시에 사용되는 접속 기술의 수가 감소될 때, NAS 키가 갱신될 수 있다.
이 방법에 따르면, 키가 갱신된다. 공격자가 AMF 노드가 복수의 접속 기술을 이용하여 단말기와 통신할 때 사용되는 NAS 키를 획득하더라도, 공격자는 단말기가 단일 접속 기술을 이용하여 나중에 AMF 노드와 통신할 때 사용되는 평문을 얻을 수 없다.
본 출원의 실시예에서, 제1 접속 기술이 비-3GPP 접속 기술이고 제2 접속 기술이 3GPP 접속 기술인 예가 설명에 사용된다는 것을 유의해야 한다. 대안적으로, 실제 응용에서, 제1 접속 기술은 3GPP 접속 기술일 수 있고, 제2 접속 기술은 비-3GPP 접속 기술일 수 있다. 전술한 실시예에서 제공된 보안 보호 방법은 제1 접속 기술과 제2 접속 기술이 각각 단말기에 의해 지원되는 서로 다른 2개의 접속 기술인 경우에 사용될 수 있거나, 또는 전술한 실시예에서 제공된 보안 보호 방법은 단말기가 복수의 접속 기술을 이용하여 코어 네트워크 장치에 접속할 때 사용될 수 있다.
예를 들어, 제1 접속 기술이 고정형 네트워크 접속 기술이고, 제2 접속 기술이 비-3GPP 접속 기술이면, 구현 방법이 전술한 실시예에서 설명된 보안 보호 방법과 유사하다. 도 11a 및 도 11b에 대응하는 실시예가, 단말기가 3GPP 접속 기술을 이용하여 AMF 노드에 접속한 후 고정형 네트워크 접속 기술을 이용하여 동일한 AMF 노드에 접속하는 시나리오에 적용될 수 있다. 도 11a 및 도 11b의 절차는, 단말기가 고정형 네트워크 접속 기술을 이용하여 AMF 노드에 접속하는 등록 과정으로 대체될 수 있다. 등록 과정에서의 보안 보호 방법은, 단말기가 비-3GPP 접속 기술을 이용하여 AMF 노드에 접속하는, 도 11a와 도 11b의 실시예에서 설명된 보안 보호 방법과 유사하다.
전술한 내용은 주로 서로 다른 네트워크 요소들 간의 상호 작용의 관점에서 본 출원의 실시예에서 제공된 해결책에 대해 설명하였다. 전술한 기능을 구현하기 위해, 단말기와 코어 네트워크 장치가 이러한 기능을 수행하기 위한 대응하는 하드웨어 구조 및/또는 소프트웨어 모듈을 포함한다고 이해할 수 있을 것이다. 본 출원에 개시된 실시예에서 설명된 예를 참조하면, 유닛들과 알고리즘 단계들이 본 출원의 실시예에서 하드웨어 또는 하드웨어와 컴퓨터 소프트웨어의 조합에 의해 구현될 수 있다. 이러한 기능이 하드웨어 방식으로 구현되는지 또는 컴퓨터 소프트웨어가 하드웨어를 구동하는 방식으로 구현되는지 여부가 구체적인 적용 및 기술적 해결책의 설계 제약조건에 따라 달라진다. 각각의 구체적인 적용을 위해, 당업자는 설명된 기능을 구현하기 위해 다른 방법을 사용할 수 있지만, 이러한 구현이 본 출원의 실시예의 기술적 해결책의 범위를 넘어서는 것으로 간주해서는 안 된다.
본 출원의 실시예에서, 기능 유닛 분할은 전술한 방법 예에 기초하여 단말기와 코어 네트워크 장치에 대해 수행될 수 있다. 예를 들어, 각각의 기능 유닛은 대응하는 기능에 기초하여 분할을 통해 획득될 수 있거나, 또는 2개 이상의 기능이 하나의 처리 유닛에 통합될 수 있다. 통합 유닛은 하드웨어 형태로 구현될 수 있거나, 또는 소프트웨어 기능 유닛의 형태로 구현될 수 있다. 본 출원의 실시예의 유닛 분할이 예이고, 논리적 기능 분할일 뿐이며, 실제 구현에서는 다른 분할이 있을 수 있다는 것을 유의해야 한다.
통합 유닛이 사용될 때, 도 12는 본 출원의 일 실시예에 따른 장치(1200)의 개략적인 블록도이다. 장치(1200)는 소프트웨어의 형태로 존재할 수 있거나, 또는 단말기일 수 있거나, 또는 단말기 내의 칩일 수 있다. 장치(1200)는 처리 유닛(1202)과 통신 유닛(1203)을 포함한다. 처리 유닛(1202)은 장치(1200)의 동작을 제어하고 관리하도록 구성된다. 예를 들어, 처리 유닛(1202)은 도 5의 단계 501과 단계 502, 도 10의 단계 1001, 도 11a와 도 11b의 단계 1101, 단계 1105, 단계 1113, 단계 1117, 및 단계 1118, 및/또는 본 명세서에서 설명된 기술의 다른 과정을 수행하는 데 있어서 장치(1200)를 지원하도록 구성된다. 예를 들어, 처리 유닛 (1202)은 도 5의 단계 501과 단계 502를 수행하는 장치(1200)를 지원하도록 구성된다. 도 10의 단계 1001, 도 11a와 도 11b의 단계 1101, 단계 1105, 단계 1113, 단계 1117, 및 단계 1118, 및/또는 본 명세서에 설명된 기술의 다른 과정을 수행하는 데 있어서 장치(1200)을 지원하도록 구성된다. 통신 유닛(1203)은 장치(1200)와 다른 네트워크 요소(예컨대, 코어 네트워크 장치와 N3IWF 노드) 간의 통신을 지원하도록 구성된다. 예를 들어, 통신 유닛(1203)은 도 10의 단계 1002, 단계 1003, 및 단계 1007와, 도 11a와 도 11b의 단계 1102, 단계 1103, 단계 1104, 단계 1106, 단계 1112, 단계 1114, 단계 1116, 및 단계 1119를 수행하는 데 있어서 장치(1200)를 지원하도록 구성된다. 장치(1200)는 장치(1200)의 프로그램 코드와 데이터를 저장하도록 구성된 저장 유닛(1201)을 더 포함할 수 있다.
처리 유닛(1202)은 프로세서 또는 컨트롤러, 예를 들어 중앙처리장치(Central Processing Unit, CPU), 범용 프로세서, 디지털 신호 처리 장치(Digital Signal Process또는, DSP), 주문형 반도체(Application Specific Integrated Circuit, ASIC), 필드 프로그래머블 게이트 어레이(Field Programmable Gate Array, FPGA) 또는 다른 프로그램 가능 논리 소자, 트랜지스터 로직 장치, 하드웨어 컴포넌트, 또는 이들의 임의의 조합일 수 있다. 처리 유닛(1202)은 본 출원에 개시된 내용을 참조하여 설명된 논리 블록, 모듈, 및 회로의 다양한 예를 구현하거나 또는 실행할 수 있다. 대안적으로, 프로세서는 컴퓨팅 기능을 구현하기 위한 조합, 예를 들어 하나 이상의 마이크로프로세서의 조합 또는 DSP와 마이크로프로세서의 조합일 수 있다. 통신 유닛(1203)은 송수신기, 또는 송수신기 회로, 또는 통신 인터페이스 등일 수 있다. 저장 유닛(1201)은 메모리일 수 있다.
처리 유닛(1202)이 프로세서일 때, 통신 유닛(1203)은 송수신기이고, 저장 유닛(1201)이 메모리일 때, 본 발명의 본 실시예의 장치(1200)는 도 13에 도시된 단말기일 수 있다.
도 13은 본 출원의 일 실시예에 따른 관련 단말기(1300)의 가능한 설계 구조의 단순화된 개략도를 도시하고 있다. 단말기(1300)는 송신기(1301), 수신기(1302), 및 프로세서(1303)를 포함한다. 프로세서(1303)는 대안적으로 컨트롤러일 수 있고, 도 13에서 "컨트롤러/프로세서(1303)"로 표시되어 있다. 선택적으로, 단말기(1300)는 모뎀 프로세서(1305)를 더 포함할 수 있고, 모뎀 프로세서(1305)는 인코더(1306), 변조기(1307), 디코더(1308), 및 복조기(1309)를 포함할 수 있다.
일 예에서, 송신기(1301)는 (예를 들어, 아날로그 변환, 필터링, 증폭, 및 상향 변환을 통해) 출력 샘플을 조정하고 상향링크 신호를 생성한다. 상향링크 신호는 안테나를 이용하여 전술한 실시예의 기지국에 전송된다. 하향링크에서, 안테나는 전술한 실시예의 기지국에 의해 전송된 하향링크 신호를 수신한다. 수신기(1302)는 안테나로부터 수신된 신호를 (예를 들어, 필터링, 증폭, 하향 변환, 및 디지털화를 통해) 조정하고 입력 샘플을 제공한다. 모뎀 프로세서(1305)에서, 인코더(1306)는 상향링크를 통해 송신될 서비스 데이터와 시그널링 메시지를 수신하고, (예를 들어, 포맷팅, 코딩, 및 인터리빙을 통해) 서비스 데이터와 시그널링 메시지를 처리한다. 변조기(1307)는 (예를 들어, 심볼 매핑 및 변조를 통해) 코딩된 서비스 데이터와 코딩된 시그널링 메시지를 추가로 처리하고, 출력 샘플을 제공한다. 복조기(1309)는 (예를 들어, 복조를 통해) 입력 샘플을 처리하고, 심볼 추정을 제공한다. 디코더(1308)는 (예를 들어, 디인터리빙 및 디코딩을 통해) 심볼 추정을 처리하고, 단말기(1300)에 송신될 디코딩된 데이터와 디코딩된 시그널링 메시지를 제공한다. 인코더(1306), 변조기1307), 복조기(1309), 및 디코더(1308)는 통합 모뎀 프로세서(1305)에 의해 구현될 수 있다. 이러한 유닛은 무선 액세스 네트워크에서 사용되는 무선 접속 기술(예를 들어, LTE 및 다른 진화된 시스템의 접속 기술)에 기초하여 처리를 수행한다. 단말기(1300)가 모뎀 프로세서(1305)를 포함하지 않을 때, 모뎀 프로세서(1305)의 전술한 기능이 대안적으로 프로세서(1303)에 의해 구현될 수 있다는 것을 유의해야 한다
프로세서(1303)는 단말기(1300)의 동작을 제어 및 관리하며, 본 출원의 전술한 실시예에서 단말기(1300)에 의해 수행되는 처리 과정을 실행하도록 구성된다. 예를 들어, 프로세서(1303)는 추가적으로, 도 5, 도 10, 및 도 11a와 도 11b에 도시된 보안 보호 방법에서 단말기와 관련된 처리 과정, 및/또는 본 출원에 설명된 기술적 해결책의 다른 과정을 실행하도록 구성된다.
또한, 단말기(1300)는 메모리(1304)를 더 포함할 수 있고, 메모리(1304)는 단말기(1300)에 사용되는 프로그램 코드와 데이터를 저장하도록 구성된다.
통합 유닛이 사용될 때, 도 14는 본 출원의 일 실시예에 따른 다른 장치(1400)의 개략적인 블록도이다. 장치는 소프트웨어의 형태로 존재할 수 있거나, 또는 코어 네트워크 장치일 수 있거나, 또는 코어 네트워크 장치 내의 칩일 수 있다. 장치(1400)는 처리 유닛(1402)과 통신 유닛(1403)을 포함한다. 처리 유닛(1402)은 장치(1400)의 동작을 제어하고 관리하도록 구성된다. 예를 들어, 처리 유닛(1402)은 도 9의 단계 901와 단계 902, 도 10의 단계 1004 내지 단계 1006, 도 11a와 도 11b의 단계 1109 내지 단계 1111, 및/또는 본 명세서에 설명된 기술의 다른 과정을 수행하는 데 있어서 장치(1400)를 지원하도록 구성된다. 통신 유닛(1403)은 장치(1400)와 다른 네트워크 요소(예컨대, 단말기 또는 N3IWF 노드) 간의 통신을 지원하도록 구성된다. 예를 들어, 통신 유닛(1403)은 도 10의 단계 1002, 단계 1002, 및 단계 1007, 그리고 도 11a와 도 11b의 단계 1108, 단계 1112, 단계 1114, 및 단계 1115를 수행하는 데 있어서 장치(1400)를 지원하도록 구성된다. 장치(1400)는 장치(1400)의 프로그램 코드 및 데이터를 저장하도록 구성된 저장 유닛(1401)을 더 포함할 수 있다.
처리 유닛(1402)은 프로세서 또는 컨트롤러, 예를 들어 CPU, 범용 프로세서, DSP, ASIC, FPGA 또는 다른 프로그램 가능 논리 소자, 트랜지스터 로직 장치, 하드웨어 컴포넌트, 또는 이들의 임의의 조합일 수 있다. 처리 유닛(1402)은 본 출원에 개시된 내용을 참조하여 설명되는 다양한 예시적인 논리 블록, 모듈, 및 회로를 구현하거나 또는 실행할 수 있다. 대안적으로, 프로세서는 컴퓨팅 기능을 구현하기 위한 조합, 예를 들어 하나 이상의 마이크로프로세서의 조합 또는 DSP와 마이크로프로세서의 조합일 수 있다. 통신 유닛(1403)은 통신 인터페이스일 수 있다. 통신 인터페이스는 일반적인 명칭이다. 특정 구현에서, 통신 인터페이스는 복수의 인터페이스를 포함할 수 있다. 예를 들어, 통신 인터페이스는 코어 네트워크 장치와 단말기 사이의 인터페이스, 및 코어 네트워크 장치와 N3IWF 노드 사이의 인터페이스 및/또는 다른 인터페이스를 포함할 수 있다. 저장 유닛(1401)은 메모리일 수 있다.
처리 유닛(1402)이 프로세서이고, 통신 유닛(1403)이 통신 인터페이스이며, 저장 유닛(1401)이 메모리인 경우, 본 발명의 본 실시예의 장치(1400)의 구조가 도 15에 도시된 네트워크 장치의 구조일 수 있다.
도 15는 본 출원의 일 실시예에 따른 코어 네트워크 장치의 가능한 개략적 인 구조도를 도시한다.
도 15에 도시된 바와 같이, 코어 네트워크 장치(1500)는 프로세서(1502), 통신 인터페이스(1503), 및 메모리(1501)를 포함한다. 선택적으로, 코어 네트워크 장치(1500)는 버스(1504)를 더 포함할 수 있다. 통신 인터페이스(1503), 프로세서(1502), 및 메모리(1501)는 버스(1504)를 이용하여 서로 연결될 수 있다. 버스(1504)는 PCI 버스 또는 EISA 버스 등일 수 있다. 버스(1504)는 어드레스 버스, 데이터 버스, 및 제어 버스 등으로 분류될 수 있다. 표시가 용이하도록, 도 1에는 버스가 단 하나의 굵은 선을 이용하여 표시되어 있다. 하지만, 하나의 버스 또는 하나의 버스 유형만이 있다는 것을 나타내지는 않는다.
본 출원에 개시된 내용을 참조하여 설명된 방법 또는 알고리즘 단계는 하드웨어 방식으로 구현될 수 있거나, 또는 프로세서가 소프트웨어 명령을 실행하는 방식으로 구현될 수 있다. 소프트웨어 명령은 대응하는 소프트웨어 모듈을 포함할 수 있다. 소프트웨어 모듈은 랜덤 액세스 메모리(Random Access Memory, RAM), 플래시 메모리, 읽기 전용 메모리(Read-Only Memory, ROM), 이피롬(Erasable Programmable ROM, EPROM), 이이피롬(Electrically EPROM, EEPROM), 레지스터, 하드 디스크, 착탈식 하드 디스크, CD-ROM(compact disc read-only memory) 또는 당 업계에 잘 알려져 있는 어떤 다른 형태의 저장 매체에 저장될 수 있다. 프로세서가 저장 매체로부터 정보를 판독할 수 있고, 저장 매체에 정보를 기록할 수 있도록, 예로서 사용된 저장 매체가 프로세서에 연결되어 있다,. 물론, 저장 매체는 프로세서의 구성 요소일 수 있다. 프로세서와 저장 매체는 ASIC에 위치할 수 있다. 또한, ASIC은 코어 네트워크 인터페이스 장치에 위치할 수 있다. 물론, 프로세서와 저장 매체는 별도의 구성 요소로서 코어 네트워크 인터페이스 장치에 존재할 수 있다.
본 출원에서 제공된 몇몇 실시예에서, 공개된 시스템, 장치, 및 방법이 다른 방식으로 구현될 수 있다는 것을 이해해야 한다. 예를 들어, 설명된 장치 실시예는 단지 예일 뿐이다. 예를 들어, 유닛 구분은 단지 논리적인 기능 구분이고 실제 구현에서는 다르게 구분될 수 있다예. 예를 들어, 복수의 유닛 또는 컴포넌트가 다른 시스템에 결합되거나 또는 통합될 수 있거나, 또는 일부 특징이 무시되거나 또는 수행되지 않을 수 있다. 또한, 표시되거나 논의된 상호 결합 또는 직접 결합 또는 통신 연결은 일부 인터페이스를 통해 구현될 수 있다. 장치들 또는 유닛들 간의 간접 결합 또는 통신 연결은 전자적 형태 또는 다른 형태로 구현될 수 있다.
별도의 부분으로 설명된 유닛들이 물리적으로 분리되어 있거나 또는 분리되어 있지 않을 수 있다. 유닛으로 표시된 부분이 물리적 유닛일 수도 있고 아닐 수도 있으며, 다시 말해, 하나의 위치에 위치할 수도 있고, 복수의 네트워크 장치에 분산되어 있을 수도 있다. 유닛의 일부 또는 전부가 실시예의 해결책의 목적을 달성하기 위해 실제 필요에 따라 선택될 수 있다.
또한, 본 발명의 실시예에서의 기능 유닛이 하나의 처리 유닛에 통합될 수 있거나, 또는 각각의 기능 유닛이 단독으로 존재할 수 있거나, 또는 둘 이상의 유닛이 하나의 유닛에 통합될 수 있다. 통합 유닛은 하드웨어 형태로 구현될 수 있거나, 또는 소프트웨어 기능 유닛 이외에 하드웨어 형태로 구현될 수 있다.
이러한 구현의 전술한 설명에 기초하여, 당업자는 본 출원이 필요한 범용 하드웨어 이외에 소프트웨어에 의해 또는 물론 하드웨어로만 구현될 수 있다고 명확하게 이해할 수 있을 것이다. 대부분의 경우, 소프트 웨어에 의한 구현이 바람직한 구현이다. 이러한 이해에 기초하여, 본 출원의 기술적 해결잭이 본질적으로 또는 종래 기술에 기여하는 부분이 소프트웨어 제품의 형태로 구현될 수 있다. 컴퓨터 소프트웨어 제품은 컴퓨터의 플로피 디스크, 하드 디스크, 또는 광 디스크와 같은 판독 가능한 저장 매체에 저장되며, 본 발명의 실시예에서 설명된 방법을 수행하도록 컴퓨터 장치(개인용 컴퓨터, 서버, 또는 네트워크 장치일 수 있음)에 지시하기 위한 여러 명령을 포함한다.
전술한 설명은 본 출원의 구체적인 실시예일 뿐이며, 본 출원의 보호 범위를 제한하려는 것은 아니다. 본 출원에 개시된 어떠한 변형 또는 대체도 본 출원의 보호 범위에 속할 것이다. 그러므로, 본 출원의 보호 범위는 청구 범위의 보호 범위를 따라야 할 것이다.
Claims (48)
- 보안 보호 방법으로서,
단말기가 제1 파라미터를 결정하는 단계 - 상기 제1 파라미터는 비접속 계층(non-access stratum, NAS) 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용되고, 상기 단말기는 적어도 2개의 접속 기술을 지원할 수 있으며, 상기 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있음 -; 및
상기 단말기가 상기 제1 파라미터, NAS 키, 및 상기 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS COUNT에 기초하여 상기 NAS 메시지에 대해 보안 보호를 수행하는 단계
를 포함하는 보안 보호 방법. - 제1항에 있어서,
상기 제1 파라미터는 상기 NAS 메시지에 대해 보안 보호가 수행될 때 사용되는 입력 파라미터 내의 베어러의 모든 비트 또는 일부 비트인, 보안 보호 방법. - 제1항 또는 제2항에 있어서,
상기 적어도 2개의 접속 기술은 3세대 파트너십 프로젝트(3rd Generation Partnership Project, 3GPP) 접속 기술과 비-3GPP 접속 기술을 포함하는, 보안 보호 방법. - 제1항 내지 제3항 중 어느 한 항에 있어서,
상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 3GPP 접속 기술이면, 상기 제1 파라미터의 값이 0이거나; 또는 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 비-3GPP 접속 기술이면, 상기 제1 파라미터의 값이 1인, 보안 보호 방법. - 제1항 내지 제4항 중 어느 한 항에 있어서,
상기 단말기가 상기 NAS 메시지에 대해 보안 보호를 수행하는 단계는,
코어 네트워크 장치에 전송될 NAS 메시지에 대해 암호화를 수행하고,수신된 NAS 메시지를 복호화하며, 상기 코어 네트워크 장치에 전송될 상기 NAS 메시지에 대해 무결성 보호를 수행하거나, 또는 상기 수신된 NAS 메시지에 대해 무결성 보호 검증을 수행하는 단계
를 포함하는, 보안 보호 방법. - 제1항 내지 제5항 중 어느 한 항에 있어서,
상기 적어도 2개의 접속 기술은 제1 접속 기술을 포함하고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술은 상기 제1 접속 기술이며, 상기 단말기가 제1 파라미터를 결정하는 단계 이전에, 상기 보안 보호 방법이,
상기 단말기가, 상기 제1 접속 기술에 대응하는 제1 상향링크 NAS COUNT를 결정하는 단계; 및
상기 단말기가 제1 메시지를 상기 코어 네트워크 장치에 송신하는 단계 - 상기 제1 상향링크 NAS COUNT와 상기 NAS 키를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제1 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있음 -
를 더 포함하는 보안 보호 방법. - 제6항에 있어서,
상기 제1 상향링크 NAS COUNT는 0이거나, 또는
상기 제1 상향링크 NAS COUNT는 임의의 수이거나; 또는
상기 적어도 2개의 접속 기술은 추가적으로, 제2 접속 기술을 포함하고, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이거나; 또는
상기 적어도 2개의 접속 기술은 제2 접속 기술을 더 포함하고, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이거나; 또는
상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이거나; 또는
상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합인, 보안 보호 방법. - 제1항 내지 제5항 중 어느 한 항에 있어서,
상기 적어도 2개의 접속 기술은 제1 접속 기술과 제2 접속 기술을 포함하고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술은 상기 제1 접속 기술이며, 상기 단말기가 제1 파라미터를 결정하는 단계 이전에, 상기 보안 보호 방법이,
상기 단말기가 제1 메시지를 상기 코어 네트워크 장치에 송신하는 단계 - 상기 NAS 키와 상기 제2 접속 기술에 대응하는 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제2 접속 기술에 대응하는 상기 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있음 -
를 더 포함하는 보안 보호 방법. - 제6항 내지 제8항 중 어느 한 항에 있어서,
상기 제1 메시지는 제1 지시 정보를 싣고 있고, 상기 제1 지시 정보는 상기 제1 메시지에 실리는 상기 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 접속 기술을 나타내는 데 사용되는, 보안 보호 방법. - 제9항에 있어서,
상기 보안 보호 방법이,
상기 단말기가 상기 코어 네트워크 장치로부터 제2 메시지를 수신하는 단계 - 상기 제2 메시지는 상기 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 포함하고 있음 -
를 더 포함하는 보안 보호 방법. - 제10항에 있어서,
상기 제2 상향링크 NAS COUNT는 0이거나, 또는
상기 제2 상향링크 NAS COUNT는 임의의 수이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제1 상향링크 NAS COUNT이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제1 상향링크 NAS COUNT와 1의 합인, 보안 보호 방법. - 제10항 또는 제11항에 있어서,
상기 제1 하향링크 NAS COUNT는 0이거나; 또는
상기 제1 하향링크 NAS COUNT는 임의의 수이거나; 또는
상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이거나; 또는
상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이거나; 또는
상기 제1 하향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합인, 보안 보호 방법. - 제10항 내지 제12항 중 어느 한 항에 있어서,
상기 제2 메시지는 제2 지시 정보를 싣고 있고, 상기 제2 지시 정보는 상기 제2 메시지에 실리는 상기 제1 하향링크 NAS COUNT에 대응하는 접속 기술을 나타내는 데 사용되는, 보안 보호 방법. - 보안 보호 방법으로서,
코어 네트워크 장치가 제1 파라미터를 결정하는 단계 - 상기 제1 파라미터는 비접속 계층(non-access stratum, NAS) 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용되고, 상기 코어 네트워크 장치는 단말기에 의해 지원되는 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있음 -; 및
상기 코어 네트워크 장치가 상기 제1 파라미터, NAS 키, 및 상기 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS COUNT에 기초하여 상기 NAS 메시지에 대해 보안 보호를 수행하는 단계
를 포함하는 보안 보호 방법. - 제14항에 있어서,
상기 제1 파라미터는 상기 NAS 메시지에 대해 보안 보호가 수행될 때 사용되는 입력 파라미터 내의 베어러의 모든 비트 또는 일부 비트인, 보안 보호 방법. - 제14항 또는 제15항에 있어서,
상기 적어도 2개의 접속 기술은 3세대 파트너십 프로젝트(3rd Generation Partnership Project, 3GPP) 접속 기술과 비-3GPP 접속 기술을 포함하는, 보안 보호 방법. - 제14항 내지 제16항 중 어느 한 항에 있어서,
상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 3GPP 접속 기술이면, 상기 제1 파라미터의 값이 0이거나; 또는 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 비-3GPP 접속 기술이면, 상기 제1 파라미터의 값이 1인, 보안 보호 방법. - 제14항 내지 제17항 중 어느 한 항에 있어서,
상기 적어도 2개의 접속 기술은 제1 접속 기술을 포함하고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술은 상기 제1 접속 기술이며, 상기 코어 네트워크 장치가 제1 파라미터를 결정하는 단계 이전에, 상기 보안 보호 방법이,
상기 코어 네트워크 장치가 제1 메시지를 수신하는 단계 - 상기 NAS 키 및 상기 제1 접속 기술에 대응하는 제1 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제1 상향링크 NAS COUNT를 싣고 있음 -
를 더 포함하는 보안 보호 방법. - 제14항 내지 제17항 중 어느 한 항에 있어서,
상기 적어도 2개의 접속 기술은 제1 접속 기술과 제2 접속 기술을 포함하고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술은 상기 제1 접속 기술이며, 상기 코어 네트워크 장치가 제1 파라미터를 결정하는 단계 이전에, 상기 보안 보호 방법이,
상기 코어 네트워크 장치가 제1 메시지를 수신하는 단계 - 상기 NAS 키 및 상기 제2 접속 기술에 대응하는 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제2 접속 기술에 대응하는 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있음 -
를 더 포함하는 보안 보호 방법. - 제18항 또는 제19항에 있어서,
상기 제1 메시지는 제1 지시 정보를 싣고 있고, 상기 제1 지시 정보는 상기 제1 메시지에 실리는 상기 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 접속 기술을 나타내는 데 사용되는, 보안 보호 방법. - 제20항에 있어서,
상기 코어 네트워크 장치가 제1 메시지를 수신하는 단계 이후에, 상기 보안 보호 방법이,
상기 코어 네트워크 장치가, 상기 제1 지시 정보에 의해 지시된 상기 접속 기술에 대응하는 상기 상향링크 NAS COUNT에 기초하여, 상기 제1 메시지에 실리는 상기 NAS COUNT의 일부 또는 전부를 검증하는 단계
를 더 포함하는 보안 보호 방법. - 제21항에 있어서,
상기 보안 보호 방법이,
상기 코어 네트워크 장치가, 상기 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 결정하는 단계; 및
상기 코어 네트워크 장치가 제2 메시지를 상기 단말기에 송신하는 단계 - 상기 제2 메시지는 상기 제1 접속 기술에 대응하고 있는 상기 제2 상향링크 NAS COUNT와 상기 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 포함하고 있음 -
를 더 포함하는, 보안 보호 방법. - 장치로서,
제1 파라미터를 결정하고 - 여기서, 상기 제1 파라미터는 비접속 계층(non-access stratum, NAS) 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용되고, 상기 장치는 적어도 2개의 접속 기술을 지원할 수 있으며 상기 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있음 -; 상기 제1 파라미터, NAS 키, 및 상기 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS COUNT에 기초하여 상기 NAS 메시지에 대해 보안 보호를 수행하도록 구성된 처리 유닛
을 포함하는 장치. - 제23항에 있어서,
상기 제1 파라미터는 상기 NAS 메시지에 대해 보안 보호가 수행될 때 사용되는 입력 파라미터 내의 베어러의 모든 비트 또는 일부 비트인, 장치. - 제23항 또는 제24항에 있어서,
상기 적어도 2개의 접속 기술은 3세대 파트너십 프로젝트(3rd Generation Partnership Project, 3GPP) 접속 기술과 비-3GPP 접속 기술을 포함하는, 장치. - 제23항 내지 제25항 중 어느 한 항에 있어서,
상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 3GPP 접속 기술이면, 상기 제1 파라미터의 값이 0이거나; 또는 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 비-3GPP 접속 기술이면, 상기 제1 파라미터의 값이 1인, 장치. - 제23항 내지 제26항 중 어느 한 항에 있어서,
상기 처리 유닛이 상기 NAS 메시지에 대해 보안 보호를 수행하도록 구성된다는 것은 구체적으로, 코어 네트워크 장치에 전송될 NAS 메시지를 암호화하고, 수신된 NAS 메시지를 복호화하며, 상기 코어 네트워크 장치에 전송될 상기 NAS 메시지에 대해 무결성 보호를 수행하거나 또는 상기 수신된 NAS 메시지에 대해 무결성 보호 검증을 수행한다는 것인, 장치. - 제23항 내지 제27항 중 어느 한 항에 있어서,
상기 적어도 2개의 접속 기술은 제1 접속 기술을 포함하고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술은 상기 제1 접속 기술이며, 상기 장치는 통신 유닛을 더 포함하고;
상기 처리 유닛은 추가적으로, 상기 제1 접속 기술에 대응하는 제1 상향링크 NAS COUNT를 결정하도록 구성되며;
상기 통신 유닛은 제1 메시지를 상기 코어 네트워크 장치에 송신하도록 구성되고, 상기 제1 상향링크 NAS COUNT 및 상기 NAS 키를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제1 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있는, 장치. - 제28항에 있어서,
상기 제1 상향링크 NAS COUNT는 0이거나; 또는
상기 제1 상향링크 NAS COUNT는 임의의 수이거나; 또는
상기 적어도 2개의 접속 기술은 추가적으로, 제2 접속 기술을 포함하고, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이거나; 또는
상기 적어도 2개의 접속 기술은 제2 접속 기술을 더 포함하고, 상기 제1 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합이거나; 또는
상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT이거나; 또는
상기 제1 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 상향링크 NAS COUNT로서 상기 단말기에 의해 저장된 상향링크 NAS COUNT와 1의 합인, 장치. - 제23항 내지 제27항 중 어느 한 항에 있어서,
상기 적어도 2개의 접속 기술은 제1 접속 기술과 제2 접속 기술을 포함하고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술은 상기 제1 접속 기술이며, 상기 장치는 통신 유닛을 더 포함하고;
상기 통신 유닛은 제1 메시지를 상기 코어 네트워크 장치에 송신하도록 구성되고, 상기 NAS 키 및 상기 제2 접속 기술에 대응하는 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제2 접속 기술에 대응하는 상기 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있는, 장치. - 제28항 내지 제30항 중 어느 한 항에 있어서,
상기 제1 메시지는 제1 지시 정보를 싣고 있고, 상기 제1 지시 정보는 상기 제1 메시지에 실리는 상기 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 접속 기술을 나타내는 데 사용되는, 장치. - 제31항에 있어서,
상기 통신 유닛은 추가적으로, 상기 코어 네트워크 장치로부터 제2 메시지를 수신하도록 구성되고, 상기 제2 메시지는 상기 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 포함하는, 장치. - 제32항에 있어서,
상기 제2 상향링크 NAS COUNT는 0이거나; 또는
상기 제2 상향링크 NAS COUNT는 임의의 수이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제1 상향링크 NAS COUNT이거나; 또는
상기 제2 상향링크 NAS COUNT는 상기 제1 상향링크 NAS COUNT와 1의 합인, 장치. - 제32항 또는 제33항에 있어서,
상기 제1 하향링크 NAS COUNT는 0이거나; 또는
상기 제1 하향링크 NAS COUNT는 임의의 수이거나; 또는
상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT이거나; 또는
상기 제1 하향링크 NAS COUNT는 상기 제2 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합이거나; 또는
상기 제1 하향링크 NAS COUNT는 상기 제1 접속 기술에 대응하고 있는 하향링크 NAS COUNT로서 상기 코어 네트워크 장치에 의해 저장된 하향링크 NAS COUNT와 1의 합인, 장치. - 제32항 내지 제34항 중 어느 한 항에 있어서,
상기 제2 메시지는 제2 지시 정보를 싣고 있고, 상기 제2 지시 정보는 상기 제2 메시지에 실리는 상기 제1 하향링크 NAS COUNT에 대응하는 접속 기술을 나타내는 데 사용되는, 장치. - 장치로서,
제1 파라미터를 결정하고 - 여기서, 상기 제1 파라미터는 비접속 계층(non-access stratum, NAS) 메시지를 전송하는 데 사용된 접속 기술을 나타내는 데 사용되고, 상기 장치는 단말기에 의해 지원되는 적어도 2개의 접속 기술 각각에 대한 대응하는 NAS COUNT를 개별적으로 유지할 수 있음 -; 상기 제1 파라미터, NAS 키, 및 상기 NAS 메시지를 전송하는 데 사용된 접속 기술에 대응하는 NAS COUNT에 기초하여 상기 NAS 메시지에 대해 보안 보호를 수행하도록 구성된 처리 유닛
을 포함하는 장치. - 제36항에 있어서,
상기 제1 파라미터는 상기 NAS 메시지에 대해 보안 보호가 수행될 때 사용되는 입력 파라미터 내의 베어러의 모든 비트 또는 일부 비트인, 장치. - 제36항 또는 제37항에 있어서,
상기 적어도 2개의 접속 기술은 3세대 파트너십 프로젝트(3rd Generation Partnership Project, 3GPP) 접속 기술과 비-3GPP 접속 기술을 포함하는, 장치. - 제36항 내지 제38항 중 어느 한 항에 있어서,
상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 3GPP 접속 기술이면, 상기 제1 파라미터의 값이 0이거나; 또는 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술이 상기 비-3GPP 접속 기술이면, 상기 제1 파라미터의 값이 1인, 장치. - 제36항 내지 제39항 중 어느 한 항에 있어서,
상기 적어도 2개의 접속 기술은 제1 접속 기술을 포함하고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술은 상기 제1 접속 기술이며, 상기 장치는 통신 유닛을 더 포함하고;
상기 통신 유닛은 제1 메시지를 수신하도록 구성되고, 상기 NAS 키 및 상기 제1 접속 기술에 대응하는 제1 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되며, 상기 제1 메시지는 상기 제1 상향링크 NAS COUNT를 싣고 있는, 장치. - 제36항 내지 제40항 중 어느 한 항에 있어서,
상기 적어도 2개의 접속 기술은 제1 접속 기술과 제2 접속 기술을 포함하고, 상기 NAS 메시지를 전송하는 데 사용된 상기 접속 기술은 상기 제1 접속 기술이며, 상기 장치는 통신 유닛을 더 포함하고;
상기 통신 유닛은 제1 메시지를 수신하도록 구성되고, 상기 NAS 키 및 상기 제2 접속 기술에 대응하는 상향링크 NAS COUNT를 이용하여 상기 제1 메시지에 대해 보안 보호가 수행되고, 상기 제1 메시지는 상기 제2 접속 기술에 대응하는 상향링크 NAS COUNT의 일부 또는 전부를 싣고 있는, 장치. - 제40항 또는 제41항에 있어서,
상기 제1 메시지는 제1 지시 정보를 싣고 있고, 상기 제1 지시 정보는 상기 제1 메시지에 실리는 상기 상향링크 NAS COUNT의 일부 또는 전부에 대응하는 접속 기술을 나타내는 데 사용되는, 장치. - 제42항에 있어서,
상기 처리 유닛은 추가적으로, 상기 제1 지시 정보에 의해 지시된 상기 접속 기술에 대응하는 상기 상향링크 NAS COUNT에 기초하여, 상기 제1 메시지에 실리는 상기 NAS COUNT의 일부 또는 전부를 검증하도록 구성된, 장치. - 제43항에 있어서,
상기 처리 유닛은 추가적으로, 상기 제1 접속 기술에 대응하고 있는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 결정하도록 구성되고;
상기 통신 유닛은 추가적으로, 제2 메시지를 상기 단말기에 송신하도록 구성되며, 상기 제2 메시지는 상기 제1 접속 기술에 대응하고 있고 또한 상기 처리 유닛에 의해 결정되는 제2 상향링크 NAS COUNT와 제1 하향링크 NAS COUNT 중 하나 또는 둘 다를 포함하는, 장치. - 컴퓨터 저장 매체로서,
상기 컴퓨터 판독가능 저장 매체는 명령을 저장하고, 컴퓨터가 상기 명령을 실행할 때, 상기 컴퓨터는 제1항 내지 제13항 중 어느 한 항의 보안 보호 방법을 수행하는, 컴퓨터 저장 매체. - 컴퓨터 저장 매체로서,
상기 컴퓨터 판독가능 저장 매체는 명령을 저장하고, 컴퓨터가 상기 명령을 실행할 때, 상기 컴퓨터는 제14항 내지 제22항 중 어느 한 항의 보안 보호 방법을 수행하는, 컴퓨터 저장 매체. - 장치로서,
상기 장치는 메모리와 상기 메모리에 연결된 프로세서를 포함하고,
상기 메모리는 프로그램 명령을 저장하고, 상기 프로세서가 상기 프로그램 명령을 실행할 때, 상기 장치는 제1항 내지 제13항 중 어느 한 항의 보안 보호 방법을 실행하는, 장치. - 장치로서,
상기 장치는 메모리와 상기 메모리에 연결된 프로세서를 포함하고,
상기 메모리는 프로그램 명령을 저장하고, 상기 프로세서가 상기 프로그램 명령을 실행할 때, 상기 장치는 제14항 내지 제22항 중 어느 한 항의 보안 보호 방법을 실행하는, 장치.
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201711148926.5 | 2017-11-17 | ||
| CN201711148926.5A CN109803263A (zh) | 2017-11-17 | 2017-11-17 | 一种安全保护的方法及装置 |
| PCT/CN2018/112897 WO2019096002A1 (zh) | 2017-11-17 | 2018-10-31 | 一种安全保护的方法及装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| KR20200086721A true KR20200086721A (ko) | 2020-07-17 |
| KR102354625B1 KR102354625B1 (ko) | 2022-01-21 |
Family
ID=65351089
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020207017411A KR102354625B1 (ko) | 2017-11-17 | 2018-10-31 | 보안 보호 방법 및 장치 |
Country Status (11)
| Country | Link |
|---|---|
| US (3) | US10681551B2 (ko) |
| EP (3) | EP4114063A1 (ko) |
| JP (1) | JP7101775B2 (ko) |
| KR (1) | KR102354625B1 (ko) |
| CN (4) | CN109803263A (ko) |
| AU (1) | AU2018366571B2 (ko) |
| BR (1) | BR112020009823B1 (ko) |
| ES (1) | ES2882598T3 (ko) |
| MX (1) | MX2020005132A (ko) |
| SG (1) | SG11202004530SA (ko) |
| WO (1) | WO2019096002A1 (ko) |
Families Citing this family (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109246688B (zh) * | 2017-07-11 | 2021-02-23 | 华为技术有限公司 | 设备接入方法、设备及系统 |
| CN109803263A (zh) * | 2017-11-17 | 2019-05-24 | 华为技术有限公司 | 一种安全保护的方法及装置 |
| CN110574407B (zh) * | 2018-03-06 | 2023-04-04 | 联发科技（新加坡）私人有限公司 | 用于保护初始非接入层消息的用户设备和方法 |
| CN109862022B (zh) * | 2019-02-27 | 2021-06-18 | 中国电子科技集团公司第三十研究所 | 一种基于方向的协议新鲜性检查方法 |
| CN112218285B (zh) * | 2019-07-11 | 2022-06-14 | 华为技术有限公司 | 上行用户数据传输的方法、设备及系统 |
| JP2022548137A (ja) * | 2019-09-16 | 2022-11-16 | 華為技術有限公司 | エアインターフェース情報セキュリティ保護方法および装置 |
| CN113692777B (zh) * | 2019-09-30 | 2024-03-01 | Oppo广东移动通信有限公司 | 一种重定向方法及装置、终端设备、网络设备 |
| CN113381966B (zh) * | 2020-03-09 | 2023-09-26 | 维沃移动通信有限公司 | 信息上报方法、信息接收方法、终端及网络侧设备 |
| CN113194097B (zh) * | 2021-04-30 | 2022-02-11 | 北京数盾信息科技有限公司 | 一种安全网关的数据处理方法、装置及安全网关 |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20120129491A1 (en) * | 2009-08-10 | 2012-05-24 | Nec Corporation | Method of providing telecommunications network security |
| WO2014063088A1 (en) * | 2012-10-19 | 2014-04-24 | Qualcomm Incorporated | Methods and apparatus for providing additional security for communication of sensitive information |
Family Cites Families (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101309500B (zh) | 2007-05-15 | 2011-07-20 | 华为技术有限公司 | 不同无线接入技术间切换时安全协商的方法和装置 |
| US8699711B2 (en) | 2007-07-18 | 2014-04-15 | Interdigital Technology Corporation | Method and apparatus to implement security in a long term evolution wireless device |
| CN101378591B (zh) * | 2007-08-31 | 2010-10-27 | 华为技术有限公司 | 终端移动时安全能力协商的方法、系统及装置 |
| CN101815296A (zh) * | 2009-02-23 | 2010-08-25 | 华为技术有限公司 | 一种进行接入认证的方法、装置及系统 |
| US8730912B2 (en) | 2010-12-01 | 2014-05-20 | Qualcomm Incorporated | Determining a non-access stratum message count in handover |
| JP5977251B2 (ja) | 2010-12-03 | 2016-08-24 | インターデイジタル パテント ホールディングス インコーポレイテッド | マルチ無線アクセス技術キャリアアグリゲーションを実行するための方法、装置、およびシステム |
| CN103002521B (zh) * | 2011-09-08 | 2015-06-03 | 华为技术有限公司 | 传递上下文的方法及移动性管理实体 |
| US10433161B2 (en) * | 2012-01-30 | 2019-10-01 | Telefonaktiebolaget Lm Ericsson (Publ) | Call handover between cellular communication system nodes that support different security contexts |
| CN103781069B (zh) * | 2012-10-19 | 2017-02-22 | 华为技术有限公司 | 一种双向认证的方法、设备及系统 |
| GB2509937A (en) | 2013-01-17 | 2014-07-23 | Nec Corp | Providing security information to a mobile device in which user plane data and control plane signalling are communicated via different base stations |
| CN104349317A (zh) * | 2013-07-31 | 2015-02-11 | 中兴通讯股份有限公司 | 一种移动网络的接入方法、ue、安全服务网关和系统 |
| CN103607713A (zh) * | 2013-10-29 | 2014-02-26 | 小米科技有限责任公司 | 网络接入方法、装置、设备和系统 |
| US10425448B2 (en) * | 2014-03-17 | 2019-09-24 | Telefonaktiebolaget Lm Ericsson (Publ) | End-to-end data protection |
| CN107005927B (zh) * | 2015-09-22 | 2022-05-31 | 华为技术有限公司 | 用户设备ue的接入方法、设备及系统 |
| ES2823552T3 (es) | 2017-05-08 | 2021-05-07 | Ericsson Telefon Ab L M | Métodos que proporcionan seguridad para conexiones múltiples de NAS usando conteos separados y nodos de red y terminales inalámbricos relacionados |
| CN109803263A (zh) * | 2017-11-17 | 2019-05-24 | 华为技术有限公司 | 一种安全保护的方法及装置 |
-
2017
- 2017-11-17 CN CN201711148926.5A patent/CN109803263A/zh active Pending
- 2017-11-17 CN CN201811088200.1A patent/CN109361655B/zh active Active
- 2017-11-17 CN CN202011569869.XA patent/CN112738804B/zh active Active
-
2018
- 2018-10-31 ES ES18877885T patent/ES2882598T3/es active Active
- 2018-10-31 CN CN201880074395.6A patent/CN111357308A/zh active Pending
- 2018-10-31 BR BR112020009823-0A patent/BR112020009823B1/pt active IP Right Grant
- 2018-10-31 KR KR1020207017411A patent/KR102354625B1/ko active IP Right Grant
- 2018-10-31 WO PCT/CN2018/112897 patent/WO2019096002A1/zh unknown
- 2018-10-31 SG SG11202004530SA patent/SG11202004530SA/en unknown
- 2018-10-31 EP EP22176791.6A patent/EP4114063A1/en active Pending
- 2018-10-31 EP EP21162807.8A patent/EP3910977B1/en active Active
- 2018-10-31 AU AU2018366571A patent/AU2018366571B2/en active Active
- 2018-10-31 JP JP2020527746A patent/JP7101775B2/ja active Active
- 2018-10-31 EP EP18877885.6A patent/EP3681186B1/en active Active
- 2018-10-31 MX MX2020005132A patent/MX2020005132A/es unknown
-
2019
- 2019-05-06 US US16/404,163 patent/US10681551B2/en active Active
-
2020
- 2020-05-14 US US16/874,306 patent/US10904764B2/en active Active
- 2020-12-31 US US17/139,235 patent/US11564100B2/en active Active
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20120129491A1 (en) * | 2009-08-10 | 2012-05-24 | Nec Corporation | Method of providing telecommunications network security |
| WO2014063088A1 (en) * | 2012-10-19 | 2014-04-24 | Qualcomm Incorporated | Methods and apparatus for providing additional security for communication of sensitive information |
Non-Patent Citations (1)
| Title |
|---|
| S3-172491, 3GPP TSG WG3 (Security) Meeting #88-Bis, 9-13 October, 2017* * |
Also Published As
| Publication number | Publication date |
|---|---|
| US20210227393A1 (en) | 2021-07-22 |
| US11564100B2 (en) | 2023-01-24 |
| EP3681186A4 (en) | 2020-07-22 |
| JP7101775B2 (ja) | 2022-07-15 |
| CN112738804A (zh) | 2021-04-30 |
| CN109361655A (zh) | 2019-02-19 |
| RU2020119866A (ru) | 2021-12-17 |
| US10681551B2 (en) | 2020-06-09 |
| JP2021503839A (ja) | 2021-02-12 |
| CN112738804B (zh) | 2021-12-21 |
| AU2018366571A1 (en) | 2020-06-18 |
| KR102354625B1 (ko) | 2022-01-21 |
| BR112020009823A2 (pt) | 2020-11-03 |
| EP3681186B1 (en) | 2021-04-28 |
| EP3910977B1 (en) | 2022-06-08 |
| US20190274051A1 (en) | 2019-09-05 |
| BR112020009823B1 (pt) | 2021-11-03 |
| EP3910977A1 (en) | 2021-11-17 |
| EP3681186A1 (en) | 2020-07-15 |
| CN111357308A (zh) | 2020-06-30 |
| US20200275276A1 (en) | 2020-08-27 |
| MX2020005132A (es) | 2020-08-20 |
| ES2882598T3 (es) | 2021-12-02 |
| CN109361655B (zh) | 2019-08-16 |
| WO2019096002A1 (zh) | 2019-05-23 |
| SG11202004530SA (en) | 2020-06-29 |
| RU2020119866A3 (ko) | 2021-12-17 |
| AU2018366571B2 (en) | 2021-10-28 |
| US10904764B2 (en) | 2021-01-26 |
| EP4114063A1 (en) | 2023-01-04 |
| CN109803263A (zh) | 2019-05-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR102354625B1 (ko) | 보안 보호 방법 및 장치 | |
| US11589274B2 (en) | Security protection method, apparatus, and system | |
| CN110830991B (zh) | 安全会话方法和装置 | |
| CN113630773B (zh) | 安全实现方法、设备以及系统 | |
| JP7095095B2 (ja) | 鍵更新方法および装置 | |
| CN111615837B (zh) | 数据传输方法、相关设备以及系统 | |
| WO2022134089A1 (zh) | 一种安全上下文生成方法、装置及计算机可读存储介质 | |
| RU2774435C2 (ru) | Способ и устройство обеспечения безопасности |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A201 | Request for examination | ||
| E902 | Notification of reason for refusal | ||
| E701 | Decision to grant or registration of patent right | ||
| GRNT | Written decision to grant |