KR20200102397A - 시스템 간 이동성에서의 보안 - Google Patents

시스템 간 이동성에서의 보안 Download PDF

Info

Publication number
KR20200102397A
KR20200102397A KR1020200104499A KR20200104499A KR20200102397A KR 20200102397 A KR20200102397 A KR 20200102397A KR 1020200104499 A KR1020200104499 A KR 1020200104499A KR 20200104499 A KR20200104499 A KR 20200104499A KR 20200102397 A KR20200102397 A KR 20200102397A
Authority
KR
South Korea
Prior art keywords
network
user equipment
message
target network
integrity verification
Prior art date
Application number
KR1020200104499A
Other languages
English (en)
Other versions
KR102209359B1 (ko
Inventor
구엔테르 호른
나겐드라 에스 바이캄파디
수레쉬 피 네어
Original Assignee
노키아 테크놀로지스 오와이
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 노키아 테크놀로지스 오와이 filed Critical 노키아 테크놀로지스 오와이
Publication of KR20200102397A publication Critical patent/KR20200102397A/ko
Application granted granted Critical
Publication of KR102209359B1 publication Critical patent/KR102209359B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/104—Location integrity, e.g. secure geotagging
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/14—Reselecting a network or an air interface
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/10—Reselecting an access point controller
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/08—Mobility data transfer

Abstract

사용자 장비가 통신 시스템 환경에서 소스 네트워크에 액세스하는 것으로부터 타겟 네트워크에 액세스하는 것으로 이동하는 이동성 이벤트의 발생에 따라, 사용자 장비는 소스 네트워크와 연관된 무결성 검증 파라미터 및 타겟 네트워크와 연관된 무결성 검증 파라미터를 포함하는 제어 평면 메시지를 타겟 네트워크에 전송한다. 사용자 장비에 의해 타겟 네트워크의 이동성 관리 요소로 전송된 초기 메시지에 소스 네트워크 및 타겟 네트워크 둘 모두에 대한 무결성 검증 파라미터를 제공함으로써, 타겟 네트워크의 이동성 관리 요소는 사용자 장비를 자체에서 검증할 수 있거나 또는 소스 네트워크의 지원을 청할 수 있다.

Description

시스템 간 이동성에서의 보안{SECURITY IN INTERSYSTEM MOBILITY}
본 분야는 일반적으로 통신 시스템에 관한 것으로, 보다 상세하게는 배타적인 것은 아니지만, 통신 시스템 내의 보안에 관한 것이다.
본 단원에서는 발명의 더 나은 이해를 촉진하는데 도움이 될 수 있는 양상을 소개한다. 따라서, 본 단원의 서술은 이러한 견지에서 읽혀져야 하며, 종래 기술에 있는 것 또는 종래 기술에 없는 것에 관해 시인하는 것으로 이해하지 않아야 한다.
롱텀 에볼루션(Long Term Evolution, LTE) 기술이라고도 알려진 4 세대(fourth generation, 4G) 무선 이동 통신 기술은 특히 인간의 상호 작용을 위해 고용량 이동 멀티미디어를 높은 데이터 전송 속도로 제공하도록 설계되었다. 차세대 또는 5 세대(fifth generation, 5G) 기술은 인간의 상호 작용을 위해서뿐만 아니라 소위 사물 인터넷(Internet of Things, IoT) 네트워크에서 머신 타입 통신(machine type communications)을 위해서 사용되도록 의도된다.
5G 네트워크는 대량 IoT 서비스(예를 들어, 매우 많은 수의 제한된 용량 디바이스(limited capacity device)) 및 (예를 들어, 높은 신뢰도(reliability)를 요구하는) 미션 크리티컬(mission-critical) IoT 서비스를 가능하게 하도록 의도되었지만, 레거시 이동 통신 서비스에 대한 개선 사항은 개선된 무선 인터넷 액세스를 이동 디바이스에 제공하도록 의도된 초광대역 무선 통신(enhanced mobile broadband) 서비스의 형태로 지원된다.
두 개의 네트워크 사이의 (예를 들어, 이동 단말기 또는 가입자와 같은) 사용자 장비(user equipment) 또는 UE 의 이동성(즉, 시스템 간 이동성(intersystem mobility)) 동안의 보안은 중요한 고려 사항이다. 예를 들어, UE와 네트워크 사이의 초기 비액세스 계층(Non-Access Stratum, NAS) 메시지, 예컨대 등록 메시지(registration message)는, 유효하고 네트워크에 의해 수용되는 UE 내의 현재 NAS 보안 컨텍스트가 존재한다면 UE에 의해 무결성 보호된다.
오늘날, UE가 네트워크 사이에서 이동하는 시나리오, 예를 들어 4G 네트워크와 5G 네트워크 간의 상호 연동(interworking)하는 시나리오에서, 적절한 무결성 검증은 아직 정의되지 않았다.
예시적인 실시예는 통신 시스템 환경에서 사용자 장비의 안전한 시스템 간 이동성을 위한 개선된 기술을 제공한다.
예시적인 실시예에 따른 하나 이상의 방법에서, 사용자 장비가 통신 시스템 환경에서 소스 네트워크에 액세스하는 것으로부터 타겟 네트워크에 액세스하는 것으로 이동하는 이동성 이벤트의 발생에 따라, 사용자 장비는 소스 네트워크와 연관된 무결성 검증 파라미터 및 타겟 네트워크와 연관된 무결성 검증 파라미터를 포함하는 제어 평면 메시지를 타겟 네트워크에 전송한다.
다른 예시적인 실시예에서, 사용자 장비가 통신 시스템 환경에서 소스 네트워크에 액세스하는 것으로부터 타겟 네트워크에 액세스하는 것으로 이동하는 이동성 이벤트의 발생에 따라, 타겟 네트워크의 이동성 관리 요소는 사용자 장비로부터 소스 네트워크와 연관된 무결성 검증 파라미터 및 타겟 네트워크와 연관된 무결성 검증 파라미터를 포함하는 제어 평면 메시지를 수신한다.
또 다른 실시예에서, 사용자 장비가 통신 시스템 환경에서 소스 네트워크에 액세스하는 것으로부터 타겟 네트워크에 액세스하는 것으로 이동하는 이동성 이벤트의 발생에 따라, 타겟 네트워크의 이동성 관리 요소가 사용자 장비로부터 수신되는 소스 네트워크와 연관된 무결성 검증 파라미터 및 타겟 네트워크와 연관된 무결성 검증 파라미터를 포함하는 제어 평면 메시지에 기초하여 사용자 장비를 검증할 수 없을 때, 소스 네트워크의 이동성 관리 요소는 타겟 네트워크의 이동성 관리 요소로부터 컨텍스트 요청(context request) 메시지를 수신한다.
유리하게는, 사용자 장비에 의해 타겟 네트워크의 이동성 관리 요소에 전송된 제어 평면 메시지(예를 들어, 5G에서의 등록 요청(Registration Request) 메시지 및 4G에서의 트래킹 영역 업데이트(Tracking Area Update) 메시지) 내에 소스 네트워크 및 타겟 네트워크 둘 모두에 대한 무결성 검증 파라미터를 제공함으로써, 타겟 네트워크의 이동성 관리 요소는 새로운 인증 및 키 합의(Authentication and Key Agreement, AKA)의 실행을 개시해야 하지 않아도 되고, 이에 따라 다른 이점 중에서도 성능 저하를 피할 수 있다. 오히려, 타겟 네트워크는 사용자 장비를 자체에서 검증하거나 소스 네트워크의 지원을 청할 수 있다.
다른 실시예는 프로세서에 의해 실행될 때 프로세서로 하여금 위의 단계를 수행하게 하는 실행 가능한 프로그램 코드가 내부에서 구현된 비 일시적 컴퓨터 판독 가능한 저장 매체의 형태로 제공된다. 또 다른 실시예는 위의 단계를 수행하도록 구성된 프로세서 및 메모리를 갖춘 장치를 포함한다.
본 명세서에 설명된 실시예의 이들 및 다른 특징 및 장점은 첨부 도면 및 다음의 상세한 설명으로부터 더욱 명백해질 것이다.
도 1은 예시적인 실시예에서 통신 시스템 환경의 블록도를 도시한다.
도 2는 예시적인 실시예에서 네트워크 요소/기능의 보다 상세한 도면을 도시한다.
도 3은 예시적인 실시예에서 보안 시스템 간 이동성 절차에 대한 메시지 흐름을 도시한다.
도 4는 다른 예시적인 실시예에서 보안 시스템 간 이동 절차에 대한 메시지 흐름을 도시한다.
실시예는 다른 이점들 중에서도, 코어 네트워크의 성능 저하를 피하는 시스템 간 이동성 동안 사용자 장비에 보안을 제공하기 위한 예시적인 통신 시스템 및 연관된 기술과 함께 본 명세서에서 설명될 것이다. 그러나 청구항의 범위는 개시된 특정 유형의 통신 시스템 및/또는 프로세스로 제한되지 않는다는 것을 이해하여야 한다. 실시예는 대안적인 프로세스 및 동작을 사용하여, 매우 다양한 다른 유형의 통신 시스템에서 구현될 수 있다. 예를 들어, LTE 진화된 패킷 코어(Evolved Packet Core)(4G) 및 3GPP 차세대 시스템(5G)과 같은 3GPP 시스템 요소를 이용하는 무선 셀룰러 시스템의 맥락으로 도시될지라도, 개시된 실시예는 이것으로 제한되는 것은 아니지만, WiMAX 시스템 및 Wi-Fi 시스템을 비롯한 다양한 다른 유형의 통신 시스템에 간단한 방식으로 적응될 수 있다.
기존 시스템에서, 네트워크로 전송된 NAS 메시지를 무결성 보호하기 위해 단일의 메시지 인증 코드(Message Authentication Code, MAC) 파라미터가 사용된다. 소스 네트워크로부터 타겟 네트워크로의 이동성 이벤트(활성 모드 이동성, 즉, 핸드 오버 또는 유휴 모드 이동성)의 경우에, 초기 NAS 메시지가 타겟 네트워크로 전송되어 이동성 이벤트를 트리거한다. UE가 여전히 타겟 네트워크에 유효한 보안 컨텍스트(security context)를 갖고 있다면, UE는 이러한 보안 컨텍스트를 사용하여 NAS 메시지를 무결성 보호하고 MAC 파라미터를 사용하여 생성된 MAC 코드를 타겟 네트워크에 전송할 것이다. 기존의 접근법에서, NAS-MAC 파라미터는 어느쪽이든 소스 네트워크에 의해 또는 타켓 네트워크에 의해 검증 받을 인증 코드를 포함하는 공통 파라미터이다. 이것은 소스 및 타켓 네트워크가 둘 모두 동일한 유형, 즉, 이들이 둘 모두 LTE 네트워크인 한에는 문제가 되지 않는다. 그러나 소스 네트워크와 타겟 네트워크가 서로 다른 유형일 때, 즉, 소스 네트워크가 LTE 네트워크이고 타켓 네트워크가 5G 네트워크일 때 문제가 되고, 그 문제는 LTE에서 사용되는 MAC이 5G에서 사용될 것과 (매우 높은 가능성으로) 상이하다는 것이다. 그러나, UE가 소스 및 타겟 네트워크 둘 모두에 대해, 필요하다면, 두 개의 독립적인 MAC를 전송하여 메시지의 무결성을 검증할 메커니즘이 현재 존재하지 않는다.
따라서, 현재 메커니즘이 지닌 문제는 UE가 타겟 네트워크에 전송한 초기 무결성 보호 메시지(integrity-protected message)가 타겟 네트워크에 의해 성공적으로 검증될 수 있는지를 사전에 알지 못한다는 것이다. 타겟 네트워크가 UE에 대한 대응하는 "네이티브(native)" 보안 컨텍스트를 삭제하는 것은 가능하다. 이러한 시나리오에서, 타켓 네트워크가 메시지를 검증할 방법은 없다. 또한, 타켓 네트워크는 소스 네트워크에 의존하여 메시지를 검증할 수 없는데, 그 이유는 소스 네트워크에 의해 검증될 제 2 MAC을 전달할 다른 필드가 없기 때문이다.
타겟 네트워크가 행할 유일한 논리적 행위는 새로운 인증 및 키 합의(AKA)의 실행을 수행함으로써 다시 UE를 재인증한 다음 관련 절차를 통해 NAS 및 AS(Access Stratum) 보안 키를 생성하는 것이다. 그러나, 재인증은 성능에 심각한 부정적인 영향을 미치며, 따라서 이것을 피할 수 있는 해결책이 선호된다.
본 명세서에서 예시적으로 사용되는 바와 같이, 비접속 계층(NAS)은 UE와 무선 액세스 네트워크(Radio Access Network, RAN)에 투명한 코어 네트워크(Core Network, CN) 사이의 특정 제어 평면 기능성에 비무선 시그널링(non-radio signaling)을 제공하는 통신 네트워크의 기능 계층이다. 이러한 기능성은 이것으로 제한되는 것은 아니지만, 이동성 관리, 인증 등을 포함한다. NAS 기능 계층을 접속 계층(AS)과 비교하자면, AS는 UE와 RAN 사이에서 이것으로 제한되는 것은 아니지만, 무선 접속 및 무선 자원 관리를 통한 데이터 전송을 비롯한 기능성을 제공하는 NAS 아래의 기능 계층이다.
예시적인 실시예는 시스템 간 이동성 시나리오에 대해 개선된 기술을 제공한다. 보다 구체적으로, 일 실시예에서, 필요하다면 소스 네트워크에 의한 검증을 위해 추가 4G-MAC을 반송하는 파라미터가 5G의 초기 NAS 메시지에 제공된다. 다른 실시예에서, 유사하게, UE가 5G 네트워크로부터 4G 네트워크로 이동할 때 4G 및 5G 둘 모두의 검증 파라미터 모두가 제공된다.
4G로부터 5G로 그리고 5G로부터 4G로의 이동성이 있는 상호 연동 시나리오를 설명하기 전에, 그러한 예시적인 실시예가 구현되는 예시적인 통신 시스템 환경이 도 1 및 2의 맥락에서 설명된다.
5G 보안 양상은 [5G Technical Report (TR) 33.899, V1.1.0, entitled "3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Study on the security aspects of the next generation system (Release 14)"], 및 [TS 33.501, v0.3.0, "Security Architecture and Procedures for 5G System"]에서 제기되어 있으며, 그 개시내용은 본 명세서에서 참조로 포함된다. UE가 5G 네트워크에 액세스하는 것으로부터 4G 네트워크에 액세스하는 것으로 이동하고, 반대로 4G 네트워크에 액세스하는 것으로부터 5G 네트워크에 액세스하는 것으로 이동하는 시나리오가 특히 관심사이다. 이와 같이 상이한 세대의 통신 네트워크 간의 이동은 일반적으로 본 명세서에서 "시스템 간 이동성(intersystem mobility)"이라고 지칭된다. 보안 관심사 외에도, 물론 그러한 네트워크에 대해 성능 저하가, 즉, 가능하다면 부가적인 프로세싱 오버헤드를 회피하는 맥락에서, 또한 관심사이다.
도 1은 예시적인 실시예가 구현되는 통신 시스템 환경(100)을 도시한다. 보다 구체적으로, 통신 시스템 환경(100)은 4G 네트워크의 부분(part of, P/O) 및 5G 네트워크의 일부를 도시한다. UE(102)는 소스 네트워크(즉, 4G 네트워크 및 5G 네트워크 중 하나로부터)로부터 타겟 네트워크(즉, 4G 네트워크 및 5G 네트워크 중 다른 하나로부터)로의 이동성 이벤트(활성 모드 이동성, 즉, 핸드 오버 또는 유휴 모드 이동성)에 연루된다고 가정한다. 통신 시스템 환경(100)에 도시된 요소는 시스템 내에서 제공된 주요 기능, 예를 들어, UE 액세스 기능 및 이동성 관리 기능을 상징하는 것으로 의도된 것임을 이해하여야 한다. 이와 같이, 도 1에 도시된 블록은 주요 기능을 제공하는 LTE 및 5G 네트워크의 특정 요소를 참조 표시한다. 그러나, 제시되는 주요 기능의 일부 또는 전부를 구현하기 위해 다른 네트워크 요소가 사용될 수 있다. 또한, LTE 또는 5G 네트워크의 모든 기능이 도 1에 도시된 것이 아님을 이해하여야 한다. 오히려, 예시적인 실시예의 설명을 용이하게 하는 기능이 제시되어 있다.
따라서, 도 1에 도시된 바와 같이, 통신 시스템 환경(100)은 도 1에 도시된 4G 네트워크의 부분에 있는 액세스 포인트(예를 들어, 4G 네트워크의 진화된 노드 B(evolved Node B) 또는 eNB)(104)와 무선 인터페이스(103)를 통해 통신하는 사용자 장비(UE)를 포함한다. UE(102)는 이동국일 수 있고, 이러한 이동국은 예로서, 이동 전화, 컴퓨터, 또는 임의의 다른 유형의 통신 디바이스를 포함할 수 있다. 그러므로 본 명세서에서 사용되는 바와 같은 "사용자 장비"라는 용어는 각종의 상이한 유형의 이동국, 가입자국 또는 보다 일반적으로는 랩톱 또는 기타 장비에 삽입된 데이터 카드의 조합과 같은 예를 비롯한 통신 디바이스를 포괄하기 위해 폭넓게 해석되는 것으로 의도된다. 그러한 통신 디바이스는 보통 액세스 단말기로 지칭되는 디바이스를 포괄하는 것으로도 또한 의도된다.
일 실시예에서, UE(102)는 범용 집적 회로 카드(Universal Integrated Circuit Card, UICC) 및 이동 장비(Mobile Equipment, ME)로 구성된다. UICC는 UE의 사용자 종속적인 부분(user-dependent part)이며 적어도 하나의 범용 가입자 식별 모듈(Universal Subscriber Identity Module, USIM) 및 적절한 애플리케이션 소프트웨어를 포함한다. USIM은 네트워크에 액세스하는 가입자를 식별하고 인증하는데 사용되는 국제 이동 가입자 식별(International Mobile Subscriber Identity, IMSI) 번호 및 그와 관련된 키를 안전하게 저장한다. ME는 UE의 사용자 독립적인 부분이며 단말기 장비(terminal equipment, TE) 기능 및 다양한 이동 착신(mobile termination, MT) 기능을 포함한다.
액세스 포인트(104)는 예시적으로 4G 네트워크의 액세스 네트워크의 일부이다. 이러한 액세스 네트워크는 복수의 기지국을 포함할 수 있다. 기지국은 논리적으로 분리된 엔티티일 수 있지만, 주어진 실시예에서는 예를 들어, 기지국 라우터 또는 펨토 셀룰러 액세스 포인트와 같은 동일한 물리적 네트워크 요소에서 구현될 수 있다. LTE(4G) 네트워크에서, 액세스 네트워크는 진화된 범용 지상 무선 액세스 네트워크(Evolved Universal Terrestrial Radio Access Network, E-UTRAN)이다. 일반적으로, 액세스 포인트는 UE의 코어 네트워크(CN)로의 액세스를 제공하고, 그러면 코어 네트워크(CN)는 UE에게 다른 UE 및/또는 패킷 데이터 네트워크(예를 들어, 인터넷)와 같은 데이터 네트워크로의 액세스를 제공한다.
이러한 예시적인 실시예에서 액세스 포인트(104)는 이동성 관리 기능(106)에 동작 가능하게 연결된다. 4G 네트워크에서, 기능은 전형적으로 이동성 관리 엔티티(Mobility Management Entity, MME)에 의해 구현된다. 본 명세서에서 사용되는 바와 같은 이동성 관리 기능은, 다른 네트워크 동작 중에서도, (액세스 포인트(104)를 통해) UE와의 액세스 및 인증 동작을 관리하는 통신 시스템의 CN 부분에 있는 요소 또는 기능이다.
유사하게, 도 1에 도시된 바와 같은 5G 네트워크에서, UE는 대안적으로 무선 인터페이스(113)를 통해 액세스 포인트(예를 들어, 5G 시스템에서의 gNB)(114)와 통신할 수 있다. 예를 들어, 5G 시스템은 [5G Technical Specification (TS) 23.501, V0.4.0, entitled "Technical Specification Group Services and System Aspects; System Architecture for the 5G System"]에서 설명되어 있으며, 그의 개시내용은 본 명세서에서 참조로 포함된다.
이러한 예시적인 실시예에서 액세스 포인트(114)는 이동성 관리 기능(116)에 동작 가능하게 연결된다. 5G 네트워크에서, 이 기능은 액세스 및 이동성 관리 기능(Access and Mobility Management Function, AMF)에 의해 구현된다. 명백하게 도시되지는 않았지만, 보안 앵커 기능(Security Anchor Function, SEAF)은 UE를 이동성 관리와 연결하는 AMF로 구현될 수 있다. 따라서, 5G에서의 KSEAF는 LTE에서의 액세스 보안 관리 엔티티 키(Access Security Management Entity Key) (KASME)의 역할을 담당하게 된다.
도 1의 시스템 요소의 이러한 특정 배열은 단지 예일뿐이며, 다른 실시예에서 통신 시스템을 구현하기 위해 추가 또는 대안적인 요소의 다른 유형 및 배열이 사용될 수 있다. 예를 들어, 다른 실시예에서, 시스템 환경(100)은 인증 요소, 게이트웨이 요소뿐만 아니라 본 명세서에서 명백하게 도시되지 않은 다른 요소를 포함할 수 있다.
따라서, 도 1의 배열은 무선 셀룰러 시스템 환경의 그저 하나의 예시적인 구성이며, 시스템 요소의 수많은 대안적인 구성이 사용될 수 있다. 예를 들어, 도 1의 실시예에서는 단 하나의 UE, eNB/gNB, 및 MME/AMF 요소만이 도시되지만, 이것은 단지 설명의 단순성 및 명료성을 위한 것이다. 주어진 대안적인 실시예는 물론 더 많은 수의 그러한 시스템 요소뿐만 아니라, 통상적인 시스템 구현과 공통적으로 연관된 유형의 추가 또는 대안적인 요소를 포함할 수 있다.
도 1은 시스템 요소를 단일 기능 블록으로서 도시하지만, 5G 네트워크를 구성하는 다양한 서브 네트워크가 소위 네트워크 슬라이스(network slice)로 분할된다는 것을 또한 알아야 한다. 네트워크 슬라이스(네트워크 분할(network partition))는 공통의 물리적 인프라상에서 네트워크 기능 가상화(network function virtualization, NFV)를 사용하는 각각의 대응하는 서비스 유형마다 일련의 기능 집합(즉, 기능 체인)을 포함한다. 네트워크 슬라이스는 필요에 따라 주어진 서비스, 예를 들면, eMBB 서비스, 대량의 IoT 서비스 및 미션 크리티컬 IoT 서비스에 대해 인스턴스화된다. 따라서 네트워크 슬라이스 또는 기능은 그 네트워크 슬라이스 또는 기능의 인스턴스가 생성될 때 인스턴스화된다. 일부 실시예에서, 이것은 네트워크 슬라이스 또는 기능을 설치하는 것 또는 그렇지 않으면 기본의 물리적 인프라의 하나 이상의 호스트 디바이스상에서 실행하는 것을 포함한다. UE(102)는 gNB(114)를 통해 이들 서비스들 중 하나 이상을 액세스하도록 구성된다.
도 2는 예시적인 실시예에서 MME(106) 및 AMF(116)의 보다 상세한 도면을 도시한다. MME(106)는 메모리(202) 및 인터페이스 회로(204)에 연결된 프로세서(200)를 포함한다. MME(106)의 프로세서(200)는 적어도 부분적으로 프로세서에 의해 실행되는 소프트웨어의 형태로 구현될 수 있는 보안 시스템 간 이동성 프로세싱 모듈(210)을 포함한다. 프로세싱 모듈(210)은 후속 도면과 함께 그렇지 않으면 본 명세서에서 설명되는 프로세스의 동작을 수행한다. MME(106)의 메모리(202)는 보안 시스템 간 이동성 동작 중에 생성되거나 또는 달리 사용되는 데이터를 저장하는 보안 시스템 간 이동성 저장 모듈(212)을 포함한다.
AMF(116)는 메모리(222) 및 인터페이스 회로(224)에 연결된 프로세서(220)를 포함한다. AMF(116)의 프로세서(220)는 적어도 부분적으로 프로세서에 의해 실행되는 소프트웨어의 형태로 구현될 수 있는 보안 시스템 간 이동성 프로세싱 모듈(230)을 포함한다. 프로세싱 모듈(230)은 후속 도면과 관련하여 그렇지 않으면 본 명세서에서 설명되는 동작을 수행한다. AMF(116)의 메모리(222)는 보안 시스템 간 이동성 동작 동안 생성되거나 그렇지 않으면 사용되는 데이터를 저장하는 보안 시스템 간 이동성 저장 모듈(232)을 포함한다.
각각의 MME(106) 및 AMF(116)의 프로세서(200 및 220)는 예를 들어, 마이크로프로세서, 주문형 집적 회로(application-specific integrated circuit, ASIC), 디지털 신호 프로세서(digital signal processor, DSP) 또는 다른 유형의 프로세싱 디바이스뿐만 아니라, 이러한 요소의 부분 또는 조합을 포함할 수 있다.
각각의 MME(106) 및 AMF(116)의 메모리(202 및 222)는 각자의 프로세서(200 및 220)에 의해 실행되어 본 명세서에서 설명되는 기능성의 적어도 일부를 구현하는 하나 이상의 소프트웨어 프로그램들을 저장하는데 사용될 수 있다. 예를 들어, 후속 도면과 함께 그렇지 않으면 본 명세서에서 설명되는 바와 같은 동작 및 다른 기능성은 프로세서(200 및 220)에 의해 실행되는 소프트웨어 코드를 사용하여 간단한 방식으로 구현될 수 있다.
그러므로 메모리(202 또는 222) 중 주어진 하나의 메모리는 본 명세서에서 보다 일반적으로 컴퓨터 프로그램 제품이라고 지칭되는 것의 일례로 또는 보다 더 일반적으로는 실행 가능 프로그램 코드가 내부에서 구현된 프로세서 판독 가능한 저장 매체라고 지칭되는 것의 일례로 간주될 수 있다. 프로세서 판독 가능한 저장 매체의 다른 예는 디스크 또는 임의의 조합의 다른 유형의 자기 또는 광학 매체를 포함할 수 있다. 예시적인 실시예는 그러한 컴퓨터 프로그램 제품 또는 다른 프로세서 판독 가능한 저장 매체를 포함하는 제조 물품을 포함할 수 있다.
메모리(202 또는 222)는 보다 상세하게는 예를 들어, 전자 랜덤 액세스 메모리(random access memory, RAM), 예컨대 정적 RAM(static RAM, SRAM), 동적 RAM(dynamic RAM, DRAM) 또는 다른 유형의 휘발성 또는 비휘발성 전자 메모리를 포함할 수 있다. 후자는 예를 들어, 플래시 메모리, 자기 RAM(magnetic RAM, MRAM), 상 변화 RAM(phase-change RAM, PC-RAM) 또는 강유전성 RAM(ferroelectric RAM, FRAM)와 같은 비 휘발성 메모리를 포함할 수 있다. 본 명세서에서 사용되는 바와 같은 "메모리"라는 용어는 폭넓게 해석되는 것으로 의도되며, 예를 들어, 판독 전용 메모리(read-only memory, ROM), 디스크 기반 메모리 또는 다른 유형의 저장 디바이스뿐만 아니라, 이러한 디바이스의 부분 또는 조합을 부가적으로 또는 대안적으로 포함할 수 있다.
각각의 MME(106) 및 AMF(116)의 인터페이스 회로(204 및 224)는 연관된 시스템 요소가 본 명세서에서 설명된 방식으로 서로 통신하게 하는 송수신기 또는 다른 통신 하드웨어 또는 펌웨어를 예시적으로 포함한다.
각자의 인터페이스 회로(204 및 224)를 통해 MME(106)는 AMF(116)와 통신하도록 구성되고 그 반대로도 가능하다는 것이 도 2로부터 명백하다. 이러한 통신은 MME(106)가 데이터를 AMF(116)에 전송하고, AMF(116)가 데이터를 MME(106)에 전송하는 것을 포함한다. 그러나, 대안적인 실시예에서, MME(106)와 AMF(116) 사이에는 다른 네트워크 요소가 동작 가능하게 연결될 수 있다. 즉, 두 개의 네트워크의 이동성 관리 요소/기능은 서로 직접 통신할 수 있거나, 하나 이상의 중간 네트워크 요소/기능을 통해 간접적으로 통신할 수 있거나 또는 둘 모두의 몇몇 조합을 통해 통신할 수 있다. 본 명세서에서 사용되는 바와 같은 "데이터"라는 용어는 이것으로 제한되는 것은 아니지만, NAS 메시지, MAC 코드, 다른 검증 파라미터 등을 비롯한, 기지국 요소를 통해 사용자 장비와 코어 네트워크 사이에서 전송될 수 있는 임의의 유형의 정보를 포괄하기 위해 폭넓게 해석되는 것으로 의도된다.
도 2에 도시된 구성요소의 특정 배열은 단지 예일뿐이며, 수많은 대안적인 구성이 다른 실시예에서 사용될 수 있음을 인식하여야 한다. 예를 들어, 이동성 관리 요소/기능은 부가적이거나 대안적인 구성요소를 통합하고 다른 통신 프로토콜을 지원하도록 구성될 수 있다.
UE(102), eNB(104) 및 gNB(114)와 같은 다른 시스템 요소는 각각 프로세서, 메모리 및 네트워크 인터페이스와 같은 구성요소를 포함하는 것으로도 또한 구성될 수 있다. 이들 요소는 별도의 스탠드얼론 프로세싱 플랫폼상에서 구현될 필요는 없지만, 대신에 예를 들어, 단일의 공통 프로세싱 플랫폼의 상이한 기능적 부분을 상징할 수 있다. 이러한 프로세싱 플랫폼은 eNB/gNB 및 연관된 무선 네트워크 제어 기능의 적어도 일부를 부가적으로 포함할 수 있다.
보안 시스템 간 이동성 절차의 실시예와 연관된 메시지 흐름을 설명하기 전에, 4G 네트워크로부터 5G 네트워크로의 이동성이 있는 상호 연동 시나리오가 설명된 다음, 이어서 5G 네트워크로부터 4G 네트워크로의 이동성이 있는 상호 연동 시나리오가 설명된다.
첫 번째 (4G로부터 5G로) 시나리오에서, 4G 네트워크가 소스 네트워크이고 5G 네트워크가 타켓 네트워크라고 가정한다. UE는 (UE가 이동성 이벤트까지는 4G 네트워크에 등록되어 있었으므로) 유효한 4G NAS 보안 컨텍스트를 갖고 있으며, UE는 5G 네트워크로의 이전 방문 때부터 여전히 저장되어 있는 5G NAS 보안 컨텍스트를 갖고 있을 수 있다.
예시적인 실시예에 따르면, UE가 4G 네트워크에서 5G 네트워크로 이동하고, UE가 여전히 5G NAS 보안 컨텍스트를 갖고 있을 때, UE는 초기 NAS 메시지에 두 개의 상이한 MAC 파라미터:
(i) 이용 가능한 것으로 가정되는 5G NAS 보안 컨텍스트를 사용하여 5G 규격('5G-MAC')에 따라 생성된 MAC; 및
(ⅱ) 4G 소스 네트워크에서 등록된 것으로부터 이용 가능한 4G NAS 보안 컨텍스트를 사용하여 4G 규격('4G-MAC')에 따라 생성된 MAC
을 포함시킨다.
5G 타겟 네트워크가 UE에 대한 대응하는 5G NAS 보안 컨텍스트를 보유하고 있지 않고 그래서 메시지를 검증할 수 없다면, 타겟 네트워크는 4G-MAC 파라미터를 포함하지만 5G-MAC 파라미터를 제외한 완전한 5G 초기 NAS 메시지를 4G 소스 네트워크에 추가 동작을 위해 포워딩한다.
대안적인 접근법에서, UE 및 5G 타겟 네트워크는 5G 초기 NAS 메시지를 4G 트래킹 영역 업데이트(Tracking Area Update, TAU) 또는 4G 접속 메시지(Attach message)의 구조를 갖는 메시지에 매핑한다. 그런 다음 UE는 매핑된 메시지를 통해 4G-MAC을 계산하면서 UE는 전체 5G 초기 NAS 메시지를 통해 5G-MAC을 계산한다. 이러한 매핑은 예를 들어, 5G 초기 NAS 메시지의 적절한 서브 세트를 선택함으로써, 또는 다른 수단에 의해 달성될 수 있다. 대안적인 접근법은 5G와의 상호 연동을 지원하도록 업그레이드되지 않은 4G에서의 소위 레거시 MME와의 상호 연동에 필요하다. 그러한 레거시 MME는 4G 메시지의 구조를 갖는 메시지만을 처리할 수 있다. 그러나 대안적인 접근법은 레거시가 아닌 MME와의 상호 연동에도 또한 적용될 수 있다.
4G 소스 네트워크는 수신된 4G-MAC 파라미터에 기초하여 메시지의 무결성을 검증한다. 검증이 성공적이면, 4G 네트워크는 타켓 네트워크에서 사용될 키를 생성하여 이것을 5G 타켓 네트워크로 전송한다. 이러한 키는 MME가 5G와의 상호 연동을 지원하도록 업그레이드되었을 때 매핑된 키일 수 있거나, 또는 MME가 레거시 MME일 때 (LTE 보안 규격 TS 33.401 - 그 전체 개시내용은 본 명세서에서 참조로 포함됨 - 에서 정의된 바와 같은) KASME 키일 수 있다.
5G 타켓 네트워크는 응답으로부터 메시지가 4G 소스 네트워크에 의해 검증되었다고 시사하고 이어서 수신된 키를 사용하여 새로운 5G-NAS 키 집합을 생성한다. 기존의 NAS 보안 모드 커맨드 절차는 UE에서 키 설정(setup)을 완료하는데 사용된다.
두 번째 (5G에서 4G로) 시나리오에서, 타켓 4G 네트워크에서의 MME는 5G 네트워크와의 상호 연동을 지원하도록 업그레이드되었다고 가정한다. 예시적인 실시예에 따르면, 두 개의 상이한 MAC 파라미터인 4G-MAC 및 5G-MAC가 UE에 의해 초기 NAS 메시지 내에서 전송된 것임을 위에서 상기하자. 추가로 4G 네트워크에서의 MME가 5G 네트워크와의 상호 연동을 지원하도록 업그레이드되었으며 두 개의 상이한 MAC 파라미터의 목적을 이해한다고 가정한다.
도 3 및 도 4는 위에서 설명한 보안 시스템 간 이동성 기술 중 하나 이상이 구현될 수 있는 메시지 흐름 및 네트워크 구성을 도시한다. 이들 메시지 흐름 및 네트워크 구성은 예시적인 실시예인 것으로 이해된다.
도 3은 4G 소스 네트워크에서 5G 타겟 네트워크로의 UE 이동성 이벤트를 도시한다. 보다 구체적으로, 도 3의 예는 4G에서 5G로의 유휴 모드 이동성 이벤트를 도시한다. 절차는 어떻게 초기 NAS 메시지(등록 요청(Registration Request))에서 두 개의 MAC가 전송되고 이동성 이벤트 동안 소스 네트워크(4G)에서 또는 타겟 네트워크(5G)에서 UE를 검증하는지를 도시한다. 도 3은 절차(300)에서, UE(302), gNB(304), 5G 타겟 시스템(AMF)(306) 및 4G 소스 시스템(MME)(308)을 도시한다. 아래에서 언급되는 번호가 붙은 단계는 도 3의 번호 1 내지 10에 대응한다. 유휴 모드 이동성 절차에서, eNB 및 gNB와 같은 무선 기능이 반드시 능동적인 역할을 하는 것은 아니라는 것을 이해하여야 한다.
단계 1에서, UE(302)는 gNB(304)를 통해 AMF(306)에 전송된 등록 요청(Registration Request, RR) 메시지로 이동성 등록 업데이트를 개시한다.
도시된 바와 같이, UE(302)는 4G-GUTI로부터 도출되는 매핑된 5G-GUTI, 현재의 진화된 패킷 시스템(Evolved Packet System, EPS) 보안 컨텍스트와 연관된 eKSI의 값과 동일한 KSI, 및 32-비트 NONCEUE를 등록 요청 메시지에 포함시킨다. 알려진 바와 같이 GUTI는 전역적 고유 임시 식별자(Globally Unique Temporary Identity)를 나타내며, KSI는 키 집합 식별자(Key Set Identifier)이다.
매핑된 5G-GUTI는 4G-GUTI 및 MME(308)을 식별하기에 충분한 정보를 가지고 있다.
UE(302)가 현재의 5G NAS 보안 컨텍스트를 갖고 있다면, UE(302)는 이 컨텍스트를 사용하여 메시지를 무결성 보호하고 5G-KSI, 네이티브 5G-GUTI 및 5G-MAC를 등록 요청 메시지에 포함시킨다. UE(302)는 현재의 5G NAS 보안 컨텍스트 알고리즘을 사용하여 등록 요청 메시지에 대한 5G-MAC을 생성한다.
UE(302)는 매핑된 5G-GUTI를 도출하는데 사용된 4G-GUTI에 의해 식별된 현재의 4G NAS 무결성을 사용하여 4G-MAC을 생성함으로써 메시지를 추가적으로 무결성 보호한다. 4G-MAC 필드는 생성된 4G-MAC를 저장하기 위해 사용된다. 위의 대안적인 실시예에 대하여 지적한 바와 같이, UE는 대안적으로 전체 5G 초기 NAS 메시지로부터 매핑된 메시지를 통해 4G-MAC을 계산할 수 있다.
단계 2에서, 5G-GUTI가 5G-KSI와 함께 메시지에 포함되었다면, AMF(306)는 저장된 이전의 기존 UE 컨텍스트를 검색하고, 만일 이용 가능하다면, 이것을 5G-MAC 파라미터를 사용하여 등록 요청을 검증하는데 사용한다.
단계 3에서, AMF(306)는 UE로부터 수신된 매핑된 5G-GUTI를 사용하여 MME 어드레스를 도출하고 컨텍스트 요청(Context Request) 메시지를 MME(308)에 전송하여 사용자 정보를 검색하도록 한다.
AMF(306)는 완전한 등록 요청 메시지 또는 대안적으로는 5G-MAC을 제외하지만 "UE 유효성 입증(UE validated)" 필드 및 4G GUTI를 포함하는 완전한 등록 요청 메시지로부터 매핑된 메시지만을 컨텍스트 요청(Context Request) 메시지와 함께 MME(308)에 포워딩한다. UE(302)가 5G-MAC을 체크함으로써 단계 2에서 유효성을 검증할 수 없는 경우에만 컨텍스트 요청 메시지는 4G-MAC 및 eKSI를 포함한다. "UE 유효성 입증" 필드는 AMF(306)가 네이티브 5G 컨텍스트에 기초하여 등록 요청의 무결성 보호를 유효성 입증했는지를 표시하기 위해 사용된다.
단계 4에서, MME(308)에 의해 수신된 바와 같은, 등록 요청 메시지 또는 매핑된 메시지가 4G MAC로 보호되었다면, MME(308)는 AMC(306)로부터 수신한 eKSI 값에 의해 식별되는 현재 4G 보안 컨텍스트에 기초하여 등록 요청 메시지 또는 매핑된 메시지의 무결성 보호를 검증한다. 검증이 성공적이면, MME(308)는 단계 5로 진행한다.
단계 5에서, MME(308)는 UE의 보안 컨텍스트와 함께 컨텍스트 응답(Context Response)으로 AMF(306)에 응답한다. 이러한 메시지는 UE가 유효성 입증되지 않았고 4G-MAC 검증이 성공적이었다고 컨텍스트 요청이 표시한다면, KASME 또는 KASME으로부터 매핑된 키를 포함한다. 컨텍스트 응답이 KASME 또는 KASME로부터 매핑된 키를 포함하지 않으면, 단계 8로 진행한다.
단계 6에서, AMF(306)는 MME(308)로부터 획득한 KASME 키 또는 KASME으로부터 매핑된 키, NONCEUE 및 NONCEAMF를 사용하여 새로운 매핑된 KAMF를 생성하며, 5G NAS 보안 컨텍스트가 NAS 보안 키를 포함하는 매핑된 KAMF 키로부터 도출된다. AMF는 KSI4G를 할당하여 매핑된 KAMF 키를 식별한다.
단계 7a에서, AMF(306)는 KSI4G, 재생된 UE 보안 능력, NONCEAMF, NONCEMME 및 NAS 알고리즘을 비롯한, 3GPP 기술 규격 TS 33.501 - 그의 개시내용은 본 명세서에서 그 전체가 참조로 포함됨 - 에 기술된 바와 같은 NAS 보안 모드 커맨드 절차를 개시한다.
단계 7b에서, UE(302)는 단계 7a에서 AMF가 수행한 바와 동일한 방식으로, KASME의 사본으로부터 매핑된 KASME 또는 KASME로부터 매핑된 키를 도출한다. UE(302)는 매핑된 KASME로부터 NAS 보안 키를 포함하는 새로운 매핑된 5G NAS 보안 컨텍스트를 추가로 생성한다.
단계 7c에서, UE(302)는 NAS 보안 모드 완료(NAS Security Mode Complete) 메시지로 AMF(306)에 응답한다.
단계 8에서, AMF(306)가 현재의 5G NAS 보안 컨텍스트를 UE(302)와 공유하고 (단계 2로부터) UE를 성공적으로 유효성 입증하였다면, AMF(306)는 무선 베어러를 설정해야 하는지를 검사하려 진행한다. AMF(306)가 NAS 알고리즘을 변경하기를 원하면, AMF(306)는 NAS 보안 모드 절차를 사용하여 UE(302)에게 알린다. 계류 중인 다운링크 UP 데이터 또는 계류 중인 다운링크 시그널링이 있을 때 등록 요청 메시지에 "활성 플래그"가 설정되거나 또는 AMF(306)가 무선 베어러를 설정하기로 선택하면, KAMF 키로부터 KgNB 도출이 수행된다.
새로이 도출된 KgNB 키는 S1 인터페이스를 통해 타켓 gNB로 전달된다. gNB와 UE 사이에는 AS 보안 컨텍스트가 설정된다.
단계 9에서, AMF(306)는 등록 수락(Registration Accept) 메시지를 UE(302)에 전송한다.
단계 10에서, UE(302)는 등록 완료(Registration Complete) 메시지로 AMF(306)에 응답한다.
위의 절차에서 도시된 바와 같이, 무결성 검사는 단계 2에서 타겟 AMF(306) 또는 단계 4에서 소스 MME(308) 중에서 단 한 번만 일어난다. 따라서, AMF(306)에서 기존의 검증된 UE 컨텍스트를 재사용할지 또는 소스 MME(308)에 의해 전송된 정보로부터 도출된 매핑된 키에 의존하여 새로운 매핑된 UE 컨텍스트를 생성할지의 결정이 행하여진다. AMF(308)가 자체의 저장된 UE 보안 컨텍스트를 이용하여 UE(302)를 성공적으로 유효성 입증하였다면 NAS 보안 모드 커맨드 절차는 임의적이다.
도 4는 5G 소스 네트워크에서 4G 타겟 네트워크로의 UE 이동성 이벤트를 도시한다. 보다 구체적으로, 도 4의 예는 트래킹 영역 업데이트 요청 시 이중의 5G-MAC 및 4G-MAC을 사용하여 5G 소스 시스템으로부터 업그레이드된 4G 타겟 시스템으로의 이동성 시나리오에 대한 호 흐름을 도시한다. 도 4는 절차(400)에서 UE(402), eNB(404), 4G 업그레이드된 타겟 시스템(MME)(406), 및 5G 소스 시스템(AMF)(408)을 도시한다. 아래에서 언급되는 번호가 붙은 단계는 도 4의 번호 1 내지 10에 대응한다.
단계 1에서, UE(402)는 eNB(404)를 통해 MME(406)에 전송된 TAU(트래킹 영역 업데이트) 요청(TAU Request) 메시지를 개시한다.
도시된 바와 같이, UE(402)는 5G-GUTI로부터 도출되는 매핑된 4G-GUTI, 현재 5GS 보안 컨텍스트와 연관된 NG-KSI의 값과 동일한 eKSI, 및 32-비트 NONCEUE를 TAU 요청 메시지에 포함시킨다.
매핑된 4G-GUTI는 5G-GUTI 및 AMF(408)를 식별하는데 충분한 정보를 갖고 있다.
UE(402)가 현재 4G NAS 보안 컨텍스트를 갖고 있다면, UE(402)는 이러한 컨텍스트를 사용하여 메시지를 무결성 보호하고, eKSI, 네이티브 4G-GUTI 및 4G-MAC를 TAU 요청 메시지에 포함시킨다. UE(402)는 현재 4G NAS 보안 컨텍스트 알고리즘을 사용하여 TAU 요청 메시지에 대한 4G-MAC을 생성한다.
UE(402)는 매핑된 4G-GUTI를 도출하는데 사용되는 5G-GUTI에 의해 식별된 현재 5G NAS 무결성을 사용하여 5G-MAC을 생성함으로써 메시지를 추가적으로 무결성 보호한다. 5G-MAC 필드는 생성된 5G-MAC을 저장하는 데 사용된다.
단계 2에서, 4G-GUTI가 4G-KSI와 함께 메시지에 포함되었다면, MME(406)는 저장된 이전의 기존 UE 컨텍스트를 검색하고, 이용 가능하다면, 이것을 4G-MAC 파라미터를 사용하여 TAU 요청을 검증하는데 사용한다.
단계 3에서, MME(406)는 UE로부터 수신되는 매핑된 4G-GUTI를 사용하여 AMF 어드레스를 도출하고 컨텍스트 요청 메시지를 AMF(408)에 전송하여 사용자 정보를 검색한다.
MME(406)는 4G-MAC을 제외하지만 "UE 유효성 입증" 필드 및 5G GUTI를 포함하는 완전한 TAU 요청 메시지를 컨텍스트 요청 메시지와 함께 AMF(408)에 전송한다. UE(402)가 4G-MAC을 검사함으로써 단계 2에서 유효성을 입증할 수 없는 경우에만 컨텍스트 요청 메시지는 5G-MAC 및 NG-KSI를 포함한다. "UE 유효성 입증" 필드는 MME(406)가 네이티브 4G 컨텍스트에 기초하여 TAU 요청의 무결성 보호를 유효성 입증했는지를 표시하기 위해 사용된다.
단계 4에서, AMF(408)에 의해 수신된 바와 같이, TAU 요청 메시지에 포함된 등록 요청 메시지 파라미터가 5G MAC으로 보호되었다면, AMF(408)는 MME(406)로부터 수신한 NG-KSI에 의해 식별된 현재 5G 보안 컨텍스트에 기초하여 등록 요청 메시지의 무결성 보호를 검증한다. 검증이 성공적이면, AMF(408)는 단계 5로 진행한다.
단계 5에서, AMF(408)는 UE의 보안 컨텍스트와 함께 컨텍스트 응답으로 MME(406)에 응답한다. UE가 유효성 입증되지 않았고 5G-MAC 검증이 성공적이었다고 컨텍스트 요청 메시지가 표시하였다면, 이 메시지는 KAMF를 포함한다. 컨텍스트 응답이 KAMF를 포함하고 있지 않으면, 단계 8로 진행한다.
단계 6에서, MME(406)는 AMF(408)로부터 획득한 KAMF 키, NONCEUE, 및 NONCEAMF를 사용하여 새로운 매핑된 KASME를 생성하며, 4G NAS 보안 컨텍스트가 NAS 보안 키를 포함하는 매핑된 KASME 키로부터 도출된다. AMF는 eKSI5G를 할당하여 매핑된 KASME 키를 식별한다.
단계 7a에서, MME(406)는 KSI4G, 재생된 UE 보안 능력, NONCEAMF, NONCEMME 및 NAS 알고리즘을 포함하는, 3GPP 기술 규격 TS 33.501 - 그의 개시내용은 본 명세서에서 참조로 포함됨 - 에 기술된 바와 같은 NAS 보안 모드 커맨드 절차를 개시한다.
단계 7b에서, UE(402)는 단계 7a에서 MME가 수행한 바와 동일한 방식으로 KAMF의 사본으로부터 매핑된 KASME를 도출한다. UE(402)는 매핑된 KASME로부터 NAS 보안 키를 포함하는 새로운 매핑된 4G NAS 보안 컨텍스트를 추가로 생성한다.
단계 7c에서, UE(402)는 NAS 보안 모드 완료 메시지로 MME(406)에 응답한다.
단계 8에서, MME(406)가 현재 4G NAS 보안 컨텍스트를 UE(402)와 공유하고 (단계 2로부터) UE를 성공적으로 유효성 입증했다면, MME(406)는 무선 베어러를 설정해야 하는지를 검사하려 진행한다. MME(406)가 NAS 알고리즘을 변경하기를 원하면, MME(406)는 NAS 보안 모드 절차를 사용하여 UE(402)에게 알린다. 계류 중인 다운링크 UP 데이터 또는 계류 중인 다운링크 시그널링이 있을 때 TAU 요청 메시지에 "활성 플래그"가 설정되거나 또는 MME(406)가 무선 베어러를 설정하기를 선택하면, TSN 33.501에 명시된 바와 같은 KDF를 사용하여 KASME 키로부터 KeNB 도출이 수행된다.
새로이 도출된 KeNB 키는 S1 인터페이스를 통해 타켓 gNB로 전달된다. eNB와 UE 사이에는 AS 보안 컨텍스트가 설정된다.
단계 9에서, MME(406)는 TAU 수락 메시지를 UE(402)에 전송한다.
단계 10에서, UE(402)는 TAU 완료 메시지로 MME(406)에 응답한다.
위의 절차에서 설명한 바와 같이, 무결성 검사는 단계 2에서 타겟 MME(406) 또는 단계 4에서 소스 AMF(408) 중에서 단 한 번만 일어난다. 따라서, MME(406)에서 기존의 검증된 UE 컨텍스트를 재사용할지 또는 소스 AMF(408)에 의해 전송된 정보로부터 도출된 매핑된 키에 의존하여 새로운 매핑된 UE 컨텍스트를 생성할지의 결정이 행하여 진다. MME(408)가 자체의 저장된 UE 보안 컨텍스트를 이용하여 UE(402)를 성공적으로 유효성 입증하였다면 NAS 보안 모드 커맨드 절차는 임의적이다.
또 다른 실시예에서, 소스 이동성 관리 엔티티는 5G 상호 연동을 인식하지 못한 채 수정되지 않은 4G 이동성 관리 엔티티일 수 있다. 이러한 5G 비인식 이동성 관리 엔티티는 5G 타겟 AMF가 UE로부터의 수신된 등록 요청 메시지를 TAU 파라미터와 더불어 UE로부터의 4G-MAC을 포함하는 4G에 동등한 컨텍스트 요청(4G equivalent Context request) 메시지에 정식으로 매핑한다면, 타겟 5G 네트워크 AMF과의 상호 연동 및 컨텍스트 전송을 지원할 수 있을 것이다. 5G AMF는 소스 4G 이동 관리 엔티티가 5G를 인식하지 못함을 인식하는 것에 기초하여 컨텍스트 요청 및 컨텍스트 응답에 이러한 지능적인 매핑을 수행한다. 이러한 기능성에 따라, 5G AMF는 5G 인식 MME는 물론 비인식 MME와 상호 연동할 것이다.
본 명세서에 언급된 식별자 및 파라미터의 명명은 단지 예시적인 목적을 위한 것임을 인식하여야 한다. 즉, 식별자 또는 파라미터는 상이한 통신 네트워크 기술마다 상이한 프로토콜 및 표준에서 상이한 명칭 또는 두문자어를 가질 수 있다. 이와 같이, 본 명세서에서 이들 식별자에 부여된 특정 명칭 또는 두문자어 중 어느 것도 어떠한 방식으로든 실시예를 제한하지 않는다.
이전에 지적한 바와 같이, 실시예는 LTE 또는 5G 맥락으로 제한되지 않으며, 개시된 기술은 이것으로 제한되는 것은 아니지만, 다른 3GPP 시스템 및 비 3GPP 시스템을 비롯한 매우 다양한 다른 통신 시스템 맥락에 간단한 방식으로 적응될 수 있다.
본 명세서에 개시된 바와 같은 통신 시스템의 사용자 장비 또는 기지국 요소의 프로세서, 메모리, 제어기 및 다른 구성요소는 위에서 설명한 식별 요청 기능성의 적어도 일부를 구현하도록 적절히 수정된 잘 알려진 회로를 포함할 수 있다.
위에서 언급한 바와 같이, 실시예는 사용자 장비, 기지국 또는 통신 시스템의 다른 요소의 프로세싱 회로에 의해 실행되는 하나 이상의 소프트웨어 프로그램을 각각 포함하는 제조 물품의 형태로 구현될 수 있다. 그러한 회로의 통상적 인 양태는 관련 기술분야에서 통상의 기술자에게 잘 알려져 있으므로 본 명세서에서 상세히 설명하지 않을 것이다. 또한, 실시예는 하나 이상의 ASIC, FPGA 또는 임의의 조합의 다른 유형의 집적 회로 디바이스에서 구현될 수 있다. 이러한 집적 회로 디바이스뿐만 아니라 이들의 부분 또는 조합은 그 용어가 본 명세서에서 사용되는 바와 같은 "회로"의 예이다. 하드웨어 및 연관된 소프트웨어 또는 펌웨어의 매우 다양한 다른 배열이 예시적인 실시예를 구현하는데 사용될 수 있다.
그러므로 본 명세서에 설명된 다양한 실시예는 단지 예시적인 예로 제시되며 청구항의 범위를 제한하는 것으로 해석되지 않아야 한다는 것이 재차 강조되어야 한다. 예를 들어, 대안적인 실시예는 예시적인 실시예의 문맥에서 위에서 설명한 것과는 상이한 통신 시스템 구성, 사용자 장비 구성, 기지국 구성, 네트워크 요소/기능 구성, 프로세스, 메시징 프로토콜 및 메시지 포맷을 이용할 수 있다. 첨부된 청구항의 범위 내의 이들 및 다수의 다른 대안적인 실시예는 관련 기술분야에서 통상의 기술자에게 쉽게 명백해질 것이다.

Claims (12)

  1. 방법으로서,
    사용자 장비가 통신 시스템 환경에서 소스 네트워크에 액세스하는 것으로부터 타겟 네트워크에 액세스하는 것으로 이동하는 이동성 이벤트의 발생에 따라,
    상기 사용자 장비가 상기 타겟 네트워크와 연관된 제 1 무결성 검증 파라미터를 생성하는 단계와,
    상기 사용자 장비가 상기 소스 네트워크와 연관된 제 2 무결성 검증 파라미터를 생성하는 단계와,
    상기 사용자 장비가 상기 제 1 무결성 검증 파라미터와 상기 제 2 무결성 검증 파라미터를 포함하는 제어 평면 메시지를 생성하는 단계와,
    상기 사용자 장비가 상기 제어 평면 메시지를 상기 타겟 네트워크에 전송하는 단계와,
    상기 사용자 장비가 상기 제 1 무결성 검증 파라미터 및 상기 제 2 무결성 검증 파라미터 중 적어도 하나를 이용하는 검증에 응답하여 상기 타겟 네트워크에 액세스하는 단계를 포함하는
    방법.
  2. 제 1 항에 있어서,
    상기 사용자 장비는 (i) 상기 소스 네트워크와 현재 설정된 보안 컨텍스트 및 (ii) 상기 타겟 네트워크와 이전에 설정된 보안 컨텍스트를 저장하는
    방법.
  3. 제 2 항에 있어서,
    상기 사용자 장비는 상기 타겟 네트워크와 이전에 설정된 보안 컨텍스트를 이용하여 상기 제어 평면 메시지를 무결성 보호하는
    방법.
  4. 제 3 항에 있어서,
    상기 사용자 장비는 상기 소스 네트워크와 현재 설정된 보안 컨텍스트를 이용하여 상기 제어 평면 메시지를 추가적으로 무결성 보호하는
    방법.
  5. 제 3 항에 있어서,
    상기 사용자 장비는 상기 제어 평면 메시지를 상기 소스 네트워크 내의 메시지의 형식인 다른 메시지에 매핑하고, 그 후 상기 소스 네트워크와 현재 설정된 보안 컨텍스트를 이용하여 상기 매핑된 메시지를 추가적으로 무결성 보호하는
    방법.
  6. 제 2 항에 있어서,
    상기 제어 평면 메시지는 등록 메시지를 포함하고, 상기 등록 메시지는 또한 상기 타겟 네트워크와 연관된 상기 사용자 장비의 임시 식별자 및 상기 타겟 네트워크와 연관된 키 집합 표시자를 포함하는
    방법.
  7. 제 2 항에 있어서,
    상기 소스 네트워크와 연관된 상기 제 2 무결성 검증 파라미터는 상기 소스 네트워크와 현재 설정된 보안 컨텍스트를 사용하여 생성된 메시지 인증 코드인
    방법.
  8. 제 2 항에 있어서,
    상기 타겟 네트워크와 연관된 상기 제 1 무결성 검증 파라미터는 상기 타겟 네트워크와 이전에 설정된 보안 컨텍스트를 사용하여 생성된 메시지 인증 코드인
    방법.
  9. 제 1 항에 있어서,
    상기 소스 네트워크 및 상기 타겟 네트워크 중 하나는 4G 네트워크를 포함하고, 상기 소스 네트워크 및 상기 타겟 네트워크 중 다른 하나는 5G 네트워크를 포함하는
    방법.
  10. 제 1 항에 있어서,
    상기 사용자 장비는 상기 제어 평면 메시지를 상기 타겟 네트워크와 연관된 이동성 관리 요소로 전송하여 상기 타겟 네트워크의 상기 이동성 관리 요소로 하여금 (i) 상기 제 1 무결성 검증 파라미터 및 상기 사용자 장비와 상기 타겟 네트워크간에 이전에 설정된 보안 컨텍스트를 이용하여 상기 사용자 장비를 검증하는 것 및 (ii) 상기 제 2 무결성 검증 파라미터를 이용하여 상기 사용자 장비를 검증하기 위해 상기 소스 네트워크의 이동성 관리 요소와 통신하는 것 중 하나를 수행하게 하는
    방법.
  11. 장치로서,
    제 1 항의 상기 단계들을 수행하도록 구성된 메모리에 동작가능하게 결합된 프로세서를 포함하는
    장치.
  12. 비일시적 컴퓨터 판독가능 저장 매체로서,
    프로세서에 의해 실행되는 경우 상기 프로세서로 하여금 제 1 항의 상기 단계들을 수행하게 하는 실행가능한 프로그램 코드를 포함하는
    저장 매체.
KR1020200104499A 2017-09-29 2020-08-20 시스템 간 이동성에서의 보안 KR102209359B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
IN201741034678 2017-09-29
IN201741034678 2017-09-29

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
KR1020180116130A Division KR102148365B1 (ko) 2017-09-29 2018-09-28 시스템 간 이동성에서의 보안

Publications (2)

Publication Number Publication Date
KR20200102397A true KR20200102397A (ko) 2020-08-31
KR102209359B1 KR102209359B1 (ko) 2021-01-29

Family

ID=63722145

Family Applications (2)

Application Number Title Priority Date Filing Date
KR1020180116130A KR102148365B1 (ko) 2017-09-29 2018-09-28 시스템 간 이동성에서의 보안
KR1020200104499A KR102209359B1 (ko) 2017-09-29 2020-08-20 시스템 간 이동성에서의 보안

Family Applications Before (1)

Application Number Title Priority Date Filing Date
KR1020180116130A KR102148365B1 (ko) 2017-09-29 2018-09-28 시스템 간 이동성에서의 보안

Country Status (8)

Country Link
US (1) US10512005B2 (ko)
EP (1) EP3462760A1 (ko)
JP (2) JP6683784B2 (ko)
KR (2) KR102148365B1 (ko)
CN (1) CN109587688B (ko)
MY (1) MY193642A (ko)
PH (1) PH12018000291B1 (ko)
SG (1) SG10201808530XA (ko)

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
MX2020002595A (es) * 2017-09-15 2020-10-22 Ericsson Telefon Ab L M Contexto de seguridad en un sistema de comunicacion inalambrica.
BR112020012794A2 (pt) * 2018-01-11 2020-12-01 Guangdong Oppo Mobile Telecommunications Corp., Ltd. método de localização em uma rede de conectividade múltipla, dispositivo terminal e entidade de função de gerenciamento de localização
CN110099382B (zh) * 2018-01-30 2020-12-18 华为技术有限公司 一种消息保护方法及装置
WO2019158381A1 (en) * 2018-02-19 2019-08-22 Telefonaktiebolaget Lm Ericsson (Publ) Supporting interworking and/or mobility between different wireless communication systems
EP3804402A1 (en) * 2018-06-04 2021-04-14 Telefonaktiebolaget LM Ericsson (publ.) Core network indication and security handling for handover
US20200322795A1 (en) * 2019-04-03 2020-10-08 Mediatek Singapore Pte. Ltd. Apparatuses and methods for alignment of common non access stratum (nas) security context
CN111866974B (zh) 2019-04-29 2022-12-06 华为技术有限公司 用于移动注册的方法和装置
CN114513790B (zh) * 2019-05-31 2023-10-10 荣耀终端有限公司 获取安全上下文的方法和网络设备
CN112087297B (zh) * 2019-06-14 2022-05-24 华为技术有限公司 一种获取安全上下文的方法、系统及设备
CN112153647B (zh) * 2019-06-29 2022-04-22 华为技术有限公司 通信方法和相关设备
WO2021030946A1 (en) * 2019-08-16 2021-02-25 Zte Corporation A method of registration with access and mobility management function re-allocation
CN112654067B (zh) * 2019-10-17 2022-03-11 华为技术有限公司 一种数据传输的方法、通信设备及通信系统
CN114762372A (zh) * 2019-12-13 2022-07-15 华为技术有限公司 通信方法、装置及系统
WO2022186654A1 (ko) * 2021-03-04 2022-09-09 주식회사 센스톤 Iot 디바이스의 보안을 위해 생성된 인증용가상코드의 검증을 위한 심카드 장치

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100177737A1 (en) * 2009-01-12 2010-07-15 Qualcomm Incorporated Context fetching after inter-system handover
US20170324733A1 (en) * 2014-11-21 2017-11-09 Interdigital Patent Holdings, Inc. Using security posture information to determine access to services

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080119188A1 (en) 2006-11-21 2008-05-22 Innovative Sonic Limited Method and related apparatus for ciphering algorithm change in a wireless communcations system
CN101304600B (zh) 2007-05-08 2011-12-07 华为技术有限公司 安全能力协商的方法及系统
CN101378591B (zh) 2007-08-31 2010-10-27 华为技术有限公司 终端移动时安全能力协商的方法、系统及装置
CN101431780B (zh) * 2007-11-09 2010-12-22 华为技术有限公司 一种实现网络优化切换的方法、设备及系统
US9232452B2 (en) 2008-10-31 2016-01-05 Htc Corporation Method of handling an inter rat handover in wireless communication system and related communication device
US10637834B2 (en) * 2015-07-12 2020-04-28 Qualcomm Incorporated Network architecture and security with simplified mobility procedure
CN105992290B (zh) * 2016-04-28 2019-11-08 努比亚技术有限公司 一种用户设备及其网络切换方法
JP2018179621A (ja) 2017-04-06 2018-11-15 Nok株式会社 表面欠陥検査装置、表面欠陥検査用の情報処理装置、表面欠陥検査用のコンピュータプログラム、及び表面欠陥検査方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100177737A1 (en) * 2009-01-12 2010-07-15 Qualcomm Incorporated Context fetching after inter-system handover
US20170324733A1 (en) * 2014-11-21 2017-11-09 Interdigital Patent Holdings, Inc. Using security posture information to determine access to services

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
3GPP TSG SA WG3 (Security) Meeting #88, S3-172014, pCR to provide a solution for interworking between NextGen Core and EPC Approval. *

Also Published As

Publication number Publication date
CN109587688B (zh) 2022-10-11
JP6683784B2 (ja) 2020-04-22
EP3462760A1 (en) 2019-04-03
US10512005B2 (en) 2019-12-17
US20190104447A1 (en) 2019-04-04
KR102148365B1 (ko) 2020-08-27
PH12018000291A1 (en) 2019-06-10
KR20190038431A (ko) 2019-04-08
JP2020048204A (ja) 2020-03-26
CN109587688A (zh) 2019-04-05
JP2019068416A (ja) 2019-04-25
JP6902594B2 (ja) 2021-07-14
PH12018000291B1 (en) 2019-06-10
MY193642A (en) 2022-10-21
SG10201808530XA (en) 2019-04-29
KR102209359B1 (ko) 2021-01-29

Similar Documents

Publication Publication Date Title
KR102209359B1 (ko) 시스템 간 이동성에서의 보안
US10454686B2 (en) Method, apparatus, and system for providing encryption or integrity protection in a wireless network
US11863982B2 (en) Subscriber identity privacy protection against fake base stations
KR102255079B1 (ko) 무선 네트워크들에서의 아이덴티티 프라이버시
US11849316B2 (en) Methods, apparatuses, computer programs and carriers for security management before handover from 5G to 4G system
US20190182654A1 (en) Preventing covert channel between user equipment and home network in communication system
US11240660B2 (en) Unified security architecture
US11722891B2 (en) User authentication in first network using subscriber identity module for second legacy network
KR102574854B1 (ko) 인증 요청들을 제어하기 위한 프라이버시 표시자들
EP3146741B1 (en) Cellular network authentication control
JP6962432B2 (ja) 通信方法、コントロールプレーン装置、コントロールプレーン装置もしくは通信端末のための方法、及び通信端末
JP6775683B2 (ja) 次世代システムの認証
EP3213482A1 (en) Generation of multiple shared keys by user equipment and base station using key expansion multiplier
KR20230088627A (ko) 가입 데이터 업데이트 방법과 장치, 노드, 및 저장 매체
WO2021087973A1 (en) Wireless communication method for registration procedure
JP6651613B2 (ja) ワイヤレス通信
US11159944B2 (en) Wireless-network attack detection
CN115942305A (zh) 一种会话建立方法和相关装置
WO2023142102A1 (en) Security configuration update in communication networks
CN115915114A (zh) 注册方法及装置

Legal Events

Date Code Title Description
A107 Divisional application of patent
E701 Decision to grant or registration of patent right
GRNT Written decision to grant