KR20230125322A - 보안 정책 처리 방법 및 통신 디바이스 - Google Patents

보안 정책 처리 방법 및 통신 디바이스 Download PDF

Info

Publication number
KR20230125322A
KR20230125322A KR1020237026688A KR20237026688A KR20230125322A KR 20230125322 A KR20230125322 A KR 20230125322A KR 1020237026688 A KR1020237026688 A KR 1020237026688A KR 20237026688 A KR20237026688 A KR 20237026688A KR 20230125322 A KR20230125322 A KR 20230125322A
Authority
KR
South Korea
Prior art keywords
user plane
plane security
security policy
access network
network device
Prior art date
Application number
KR1020237026688A
Other languages
English (en)
Inventor
리 후
룽 우
Original Assignee
후아웨이 테크놀러지 컴퍼니 리미티드
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 후아웨이 테크놀러지 컴퍼니 리미티드 filed Critical 후아웨이 테크놀러지 컴퍼니 리미티드
Publication of KR20230125322A publication Critical patent/KR20230125322A/ko

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/102—Route integrity, e.g. using trusted paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W36/00—Hand-off or reselection arrangements
    • H04W36/0005—Control or signalling for completing the hand-off
    • H04W36/0011—Control or signalling for completing the hand-off for data sessions of end-to-end connection
    • H04W36/0033—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information
    • H04W36/0038—Control or signalling for completing the hand-off for data sessions of end-to-end connection with transfer of context information of security context information

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Communication Control (AREA)

Abstract

본 출원의 실시예는 이동성 관리 엔티티가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 액세스 네트워크 디바이스에 송신할 확률을 감소시키고, 전송 복잡성을 감소시키며, 데이터 전송 효율성을 향상시키기 위해, 핸드오버, RRC 연결 재개 또는 RRC 연결 재구축과 같은 프로세스에 적용되는, 보안 정책처리 방법 및 통신 디바이스를 제공한다. 타깃 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스로부터 지시 정보 011을 포함하는 메시지 001을 수신한다. 그런 다음, 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하며, 사용자 평면 보안 정책 021은 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다.

Description

보안 정책 처리 방법 및 통신 디바이스
본 출원의 실시예는 통신 분야에 관한 것으로, 특히 보안 정책 처리 방법 및 통신 디바이스에 관한 것이다.
온디맨드(on-demand) 사용자 평면 보안 보호 메커니즘은 5세대 이동 통신 기술(5th generation mobile communication technology, 5G) 네트워크에서의 보안 메커니즘으로, 온디맨드 사용자 평면 보안 보호는 사용자 평면 암호화(ciphering) 보호와 사용자 평면 무결성(integrity) 보호를 포함한다. 온디맨드 사용자 평면 보안 보호 메커니즘은 액세스 네트워크 디바이스가 코어 네트워크 디바이스로부터 수신된 사용자 평면 보안 정책에 따라, 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 무결성 보호를 활성화할지를 판정하는 것을 요구한다.
현재, 온디맨드 사용자 평면 보안 보호 메커니즘은 4세대 이동 통신 기술(the 4th generation mobile communication technology, 4G) 네트워크에 적용되어야 한다. 4G 네트워크는 업그레이드되지 않은 액세스 네트워크 디바이스와 업그레이드되지 않은 단말 디바이스를 포함하며, 업그레이드되지 않은 액세스 네트워크 디바이스와 업그레이드되지 않은 단말 디바이스는 온디맨드 사용자 평면 보안 보호를 지원하지 않는다. 따라서 온디맨드 사용자 평면 보안 보호와 관련된 정보 엘리먼트(예를 들어, 사용자 평면 보안 정책)를 수신할 때, 업그레이드되지 않은 액세스 네트워크 디바이스와 업그레이드되지 않은 단말 디바이스는 온디맨드 사용자 평면 보안 보호와 관련된 정보 엘리먼트를 식별하지 못할 수 있으며, 그러므로 정보 엘리먼트를 폐기하거나 처리하지 못한다.
업그레이드된 액세스 네트워크 디바이스/단말 디바이스와 업그레이드되지 않은 액세스 네트워크 디바이스/단말 디바이스를 모두 포함하는 4G 네트워크에서 온디맨드 사용자 평면 보안 보호 메커니즘을 구현하는 방법은, 현재 표준에서 시급히 해결해야 하는 문제이다.
본 출원의 실시예는 보안 정책 처리 방법 및 통신 디바이스를 제공하여, 이동성 관리 엔티티(mobility management entity)가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 액세스 네트워크 디바이스에 송신할 확률을 감소시키고, 전송 복잡성을 감소시키며, 데이터 전송 효율을 향상시킨다.
제1 측면에 따르면, 본 출원의 실시예는 보안 정책 처리 방법을 제공한다. 예를 들어, 보안 정책 처리 방법은 핸드오버(Handover), 무선 자원 제어 연결 재개(Radio Resource Control Connection Resume, RRC Connection Resume), RRC 연결 재구축(RRC Connection Reestablishment) 등의 프로세스에 적용될 수 있다. 이 방법에서, 타깃 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스로부터 메시지 001을 수신하고, 메시지 001은 지시(indication) 정보 011을 포함한다. 그런 다음, 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청(path switch request) 031을 이동성 관리 엔티티에 송신하며, 사용자 평면 보안 정책 021은 사용자 평면 암호화 보호를 활성화(enable)할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다.
가능한 구현에서, 소스 액세스 네트워크 디바이스는 단말 디바이스의 초기 액세스 동안 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스일 수 있거나, 소스 액세스 네트워크 디바이스는 핸드오버, RRC 연결 재개 또는 RRC 연결 재구축 프로세스가 수행되기 전에 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스이다. 타깃 액세스 네트워크 디바이스는 핸드오버, RRC 연결 재개 또는 RRC 연결 재구축 프로세스가 수행된 후 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스이다. 일반적으로 단말 디바이스의 콘텍스트는 소스 액세스 네트워크 디바이스와 타깃 액세스 네트워크 디바이스 간에 전송된다.
본 출원에서, 타깃 액세스 네트워크 디바이스는 지시 정보 011에 기반하여, 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있으며, 타깃 액세스 네트워크 디바이스는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 때에만 사용자 평면 보안 정책 021을 이동성 관리 엔티티에 송신한다. 이는 다음과 같은 경우: 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않고 이동성 관리 엔티티가 타깃 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 이동성 관리 엔티티가 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 송신하며, 결과적으로 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책을 수신하더라도 타깃 액세스 네트워크 디바이스는 단말 디바이스에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 없는 경우를 방지한다. 따라서 이는 이동성 관리 엔티티가 타깃 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 타깃 액세스 네트워크 디바이스에 송신할 확률을 감소시키는 데 도움이 되며, 따라서 전송 복잡성을 감소시키는 데 도움이 된다.
선택적 구현에서, 타깃 액세스 네트워크 디바이스 및 소스 액세스 네트워크 디바이스는 진화된 노드B(evolved NodeB, eNB)이다. 예를 들어, 타깃 액세스 네트워크 디바이스는 타깃 eNB이고, 소스 액세스 네트워크 디바이스는 소스 eNB이다.
선택적 구현에서, 타깃 액세스 네트워크 디바이스가 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 사용자 평면 보안 정책 021은 타깃 액세스 네트워크 디바이스에 의해 구성되는 사용자 평면 보안 정책 021-1이다.
선택적 구현에서, 상기 방법은 다음을 더 포함한다: 타깃 액세스 네트워크 디바이스는 타깃 액세스 네트워크 디바이스와 단말 디바이스 간의 사용자 평면 보안 활성화 상태(activation status)가 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않는 것으로 결정하며; 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 활성화 상태와 매칭되는(match) 사용자 평면 보안 정책 021-1을 구성한다.
타깃 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스로부터 온디맨드 사용자 평면 보안 보호 정책을 수신하지 않지만, 지시 정보 011은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시한다. 이는 소스 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시한다. 이 경우, 타깃 액세스 네트워크 디바이스는 기본(default) 방식(업그레이드되지 않은 방식으로 이해될 수 있음)으로, 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지를 판정할 수 있다. 예를 들어, 기본 방식(또는 업그레이드되지 않은 방식)은 단말 디바이스에 대해 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화하는 것을 스킵(skip)함을 지시할 수 있다. 따라서 타깃 액세스 네트워크 디바이스가 구성한 사용자 평면 보안 정책 021-1이 단말 디바이스의 사용자 평면 보안 활성화 상태와 매칭될 수 있다면, 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책 021-1과 일치하는(consistent) 사용자 평면 보안 정책을 수신할 때, 타깃 액세스 네트워크 디바이스는 단말 디바이스를 재활성화(reactivate)하지 않을 수 있다.
선택적 구현에서, 사용자 평면 보안 정책 021-1은 사용자 평면 암호화 보호 정책 및 사용자 평면 무결성 보호 정책을 포함하며, 사용자 평면 암호화 보호 정책은 활성화(enabling)가 요구되거나 활성화가 선호됨을 지시하며, 사용자 평면 무결성 보호 정책은 활성화가 필요하지 않거나 활성화가 선호됨을 지시한다.
이 구현에서, 사용자 평면 보안 정책 021-1의 가능한 구현이 제공된다. 예를 들어, 사용자 평면 보안 정책이 {사용자 평면 암호화 보호 정책, 사용자 평면 무결성 보호 정책}의 형태로 표현된다면, 사용자 평면 보안 정책 021-1은 구체적으로 다음 방식: {활성화가 요구됨(required), 활성화가 필요하지 않음(not needed)}; {활성화가 요구됨(required), 활성화가 선호됨(preferred)}; {활성화가 선호됨(preferred), 활성화가 필요하지 않음(not needed)}; 또는 {활성화가 선호됨(preferred), 활성화가 선호됨(preferred)} 중 어느 하나로 구현될 수 있다.
선택적 구현에서, 타깃 액세스 네트워크 디바이스가 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 사용자 평면 보안 정책 021은 타깃 액세스 네트워크 디바이스에 미리 구성된 사용자 평면 보안 정책 021-2일 수 있다.
이 구현에서, 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원한다고 지시하지만, 타깃 액세스 네트워크 디바이스가 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 타깃 액세스 네트워크 디바이스는 국부적으로 미리 구성된 사용자 평면 보안 정책에 따라, 단말 디바이스에 대응하는 사용자 평면 보안 정책을 결정한다.
선택적 구현에서, 메시지 001은 단말 디바이스의 N개의 진화된 무선 액세스 베어러(E-UTRAN radio access bearer, E-RAB)의 식별자를 더 포함하며, N은 1보다 크거나 같은 정수이고; 경로 전환 요청 031은 N개의 E-RAB의 식별자를 더 포함한다.
이 구현에서, 사용자 평면 보안 정책 021은 베어러 그래뉼래러티(bearer granularity)의 보안 정책, 예를 들어 E-RAB 그래뉼래러티의 보안 정책일 수 있다. 구체적으로, E-RAB의 식별자 및 E-RAB에 대응하는 사용자 평면 보안 정책 021은 경로 전환 요청에서 운반되어 이동성 관리 엔티티에 송신될 수 있다. 이에 따라, 이동성 관리 엔티티가 사용자 평면 보안 정책 021 및 E-RAB의 식별자를 수신할 때, 이동성 관리 엔티티는 사용자 평면 보안 정책 021이 E-RAB 그래뉼래러티의 보안 정책이라고 결정할 수 있고, 사용자 평면 보안 정책 021은 E-RAB의 식별자에 대응하는 사용자 평면 보안 정책이다. 이 구현에서, 액세스 네트워크 디바이스는 단말 디바이스에 대응하는 각 E-RAB에 대해, 사용자 평면 암호화 보호 및/또는 무결성 보호를 활성화할지를 판정할 수 있다. 이를 통해 사용자 평면 보안 정책을 세밀하게 관리할 수 있다.
선택적 구현에서, 경로 전환 요청 031은 N개의 사용자 평면 보안 정책 021-2를 포함하고, N개의 진화된 무선 액세스 베어러의 식별자 각각은 N개의 사용자 평면 보안 정책 021-2 중 하나에 대응한다. 이 구현에서, 타깃 액세스 네트워크 디바이스가 소스 액세스 네트워크 디바이스로부터 N개의 E-RAB의 식별자를 수신할 때, 타깃 액세스 네트워크 디바이스는 이동성 관리 엔티티에 송신된 경로 전환 요청 031에 N개의 대응 관계를 추가하며, 각 대응 관계는 하나의 E-RAB 식별자와 하나의 사용자 평면 보안 정책 021-2를 포함한다. 이 경우, 라이브(live) 네트워크의 이동성 관리 디바이스는 이동성 관리 엔티티로의 변경 없이 각 E-RAB의 식별자에 대응하는 사용자 평면 보안 정책을 알 수 있다.
선택적 구현에서, 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신한 후, 상기 방법은 다음을 더 포함한다: 타깃 액세스 네트워크 디바이스는 이동성 관리 엔티티로부터 경로 전환 응답 041을 수신하며 - 경로 전환 응답 041은 사용자 평면 보안 정책 022를 운반함 -; 타깃 액세스 네트워크 디바이스는 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 022를 저장한다.
이 구현에서, 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책 021을 이동성 관리 엔티티에 송신하지만 사용자 평면 보안 정책 022를 수신할 때, 이는 이동성 관리 엔티티 상의 사용자 평면 보안 정책 022가 타깃 액세스 네트워크 디바이스에 저장된 이동성 관리 엔티티 021와 일치하지 않음을 지시한다. 따라서 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 022를 사용하여, 단말 디바이스의 콘텍스트에 저장된 사용자 평면 보안 정책 021을 업데이트해야 한다.
선택적 구현에서, 상기 방법은 다음을 더 포함한다: 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 022와 매칭되지 않으면, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 022에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 스킵하거나 재활성화하며, 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 단말 디바이스 사이에 현재 활성화되는지 여부의 상태이다. 예를 들어, 현재 타깃 액세스 네트워크 디바이스와 단말 디바이스 사이에 사용자 평면 암호화 보호가 활성화되어 있지만 무결성 보호가 활성화되어 있지 않으며, 사용자 평면 보안 정책 022는 사용자 평면 암호화 보호가 활성화되어야(required) 하고 사용자 평면 무결성 보호도 활성화되어야(required) 함을 지시한다. 이 경우, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 022의 요건(requirement)에 따라, 타깃 액세스 네트워크 디바이스와 단말 디바이스 간의 사용자 평면 암호화 보호 및 사용자 평면 무결성 보호를 활성화해야 한다.
선택적인 구현에서, 상기 방법은 다음을 더 포함한다: 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 이동성 관리 엔티티에 송신하며; 타깃 액세스 네트워크 디바이스는 이동성 관리 엔티티로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 042를 수신한다.
종래 기술에서 이동성 관리 엔티티가 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청을 수신한 후, 이동성 관리 엔티티는 4G 네트워크에서 액세스 네트워크 디바이스와 단말 디바이스 간의 사용자 평면 무결성 보호를 활성화하기 위해, 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 송신한다. 이 경우, 타깃 액세스 네트워크 디바이스 및 단말 디바이스는 사용자 평면 보안 정책을 사용하지 못할 수 있다.
그러나 이 구현에서, 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 타깃 액세스 네트워크 디바이스는 구성된 사용자 평면 보안 정책 021-1 또는 미리 구성된 사용자 평면 보안 정책 021-2를 이동성 관리 엔티티에 송신한다. 따라서 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시하면, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 이동성 관리 엔티티에 송신하지 않으며, 이에 따라 이동성 관리 엔티티는 타깃 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신할 수 없다. 이 경우, 이동성 관리 엔티티는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않는다고 추론할 수 있으며, 타깃 액세스 네트워크 디바이스에 대해 사용자 평면 보안 정책이 제공되더라도, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 사용하여 단말 디바이스에 대한 사용자 평면 무결성 보호를 활성화할 수 없다. 따라서 이 구현에서, 이동성 관리 엔티티는, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청을 수신할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 액세스 네트워크 디바이스에 송신하도록 즉, 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 제공하지 않도록 구성된다. 따라서 타깃 액세스 네트워크 디바이스가 사용할 수 없는 정보 엘리먼트를 수신할 확률이 감소하고, 타깃 액세스 네트워크 디바이스와 이동성 관리 엔티티 사이의 데이터 전송의 복잡성이 감소된다.
선택적인 구현에서,상기 방법은 다음을 더 포함한다: 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 이동성 관리 엔티티에 송신하며 - 경로 전환 요청 033은 지시 정보 011을 운반함 -; 타깃 액세스 네트워크 디바이스는 이동성 관리 엔티티로부터 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043을 수신하고; 타깃 액세스 네트워크 디바이스는 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 023을 저장한다.
선택적인 구현에서, 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043은 지시 정보 012를 추가로 운반하고, 지시 정보 012는 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시한다.
이 구현에서, 소스 액세스 네트워크 디바이스가 악의적(malicious)이면, 소스 액세스 네트워크 디바이스는 지시 정보 011을 악의적으로 위조하여(tamper) 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시하도록 할 수 있다. 결과적으로, 타깃 액세스 네트워크 디바이스는 보안 정책을 이동성 관리 엔티티에 송신할 수 없으며, 단말 디바이스에 대한 보안 보호를 활성화할 수 없다. 이로 인해 성능 저하 공격(degradation attack)이 발생한다. 따라서 사용자 평면 보안 정책을 이동성 관리 디바이스에 송신하지 않기로 결정한 후, 타깃 액세스 네트워크 디바이스는 추가적으로 지시 정보 011을 송신하므로, 이동성 관리 엔티티가 지시 정보 011이 위조되었는지를 판정할 수 있다. 지시 정보 011이 위조된 것으로 결정한 후, 이동성 관리 엔티티는 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 송신한다. 이것은 성능 저하 공격을 피할 수 있다.
선택적인 구현에서, 상기 방법은 다음을 더 포함한다: 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 035을 이동성 관리 엔티티에 송신하며 - 경로 전환 요청 035은 지시 정보 011을 운반함 -; 타깃 액세스 네트워크 디바이스는 이동성 관리 엔티티로부터 지시 정보 또는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 045를 수신한다.
이 구현에서, 타깃 액세스 네트워크 디바이스가 지시 정보 011을 이동성 관리 엔티티에 송신한 후, 타깃 액세스 네트워크 디바이스에 의해 수신된 경로 전환 응답 045가 사용자 평면 보안 정책을 운반하지 않으면, 지시 정보 011이 이동성 관리 엔티티에 저장되어 있는 지시 정보와 일치함을 지시하며, 타깃 액세스 네트워크 디바이스에 의해 수신된 지시 정보 011이 위조되지 않는다. 따라서 이는 타깃 액세스 네트워크 디바이스와 이동성 관리 엔티티 간의 통신에 대한 성능 저하 공격을 피하는 데 도움이 된다.
선택적 구현에서, 상기 방법은 다음을 더 포함한다: 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 023과 매칭되지 않으면, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 023에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하며, 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태이다.
선택적 구현에서, 다음 조건 중 어느 하나가 충족될 때, 사용자 평면 보안 정책이 사용자 평면 보안 활성화 상태와 매칭되지 않는다:
사용자 평면 암호화 보호 정책은 활성화가 요구됨을 지시하고, 단말 디바이스의 사용자 평면 보안 활성화 상태는 암호화 보호가 활성화되지 않는 것임;
사용자 평면 암호화 보호 정책은 활성화가 필요하지 않음을 지시하고, 단말 디바이스의 사용자 평면 보안 활성화 상태는 암호화 보호가 활성화되는 것임;
사용자 평면 무결성 보호 정책은 활성화가 요구됨을 지시하고, 단말 디바이스의 사용자 평면 보안 활성화 상태는 무결성 보호가 활성화되지 않는 것임; 또는
사용자 평면 무결성 보호 정책은 활성화가 필요하지 않음을 지시하며, 단말 디바이스의 사용자 평면 보안 활성화 상태는 무결성 보호가 활성화되는 것임.
선택적 구현에서, 지시 정보 011은 단말 디바이스의 진화된 패킷 시스템 보안 능력(evolved packet system security capability)의 일부 비트로 표현되고, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시한다.
이 구현에서, 액세스 네트워크 디바이스가 업그레이드되는지 여부(구체적으로, 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부)에 관계없이, 액세스 네트워크 디바이스는 단말 디바이스의 진화된 패킷 시스템 보안 능력(예를 들어, UE 진화된 패킷 시스템 보안 능력)을 식별하고 포워딩할(forward) 수 있다. 따라서 단말 디바이스의 진화된 패킷 시스템 보안 능력에 지시 정보 011을 추가하면, 지시 정보 011이 액세스 네트워크 디바이스들 사이(예를 들어, 온디맨드 사용자 평면 보안 보호를 지원하는 액세스 네트워크 디바이스와 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스의 사이) 또는 액세스 네트워크 디바이스와 코어 네트워크 디바이스의 사이(온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스와 이동성 관리 엔티티의 사이)의 전송 동안 손실되지 않는 것을 보장할 수 있다. 그러나 종래 기술에서, 재정의된 지시 정보는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시하며, 재정의된 지시 정보는 업그레이드되지 않은 액세스 네트워크 디바이스에 의해 식별될 수 없다. 구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스는 재정의된 지시 정보를 식별할 수 없다. 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스가 재정의된 지시 정보를 수신하면, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스는 재정의된 지시 정보를 폐기하고, 재정의된 지시 정보를 다른 액세스 네트워크 디바이스 또는 코어 네트워크 디바이스(예를 들어, 이동성 관리 엔티티)에 송신할 수 없다.
선택적 구현에서, 메시지 001은 핸드오버 요청 또는 콘텍스트 검색 응답(context retrieve response)이다.
제2 측면에 따르면, 본 출원의 실시예는 수신 모듈, 처리 모듈 및 송신 모듈을 포함하는 통신 디바이스를 제공한다. 수신 모듈은 소스 액세스 네트워크 디바이스로부터 메시지 001을 수신하도록 구성되며, 메시지 001은 지시 정보 011을 포함한다. 처리 모듈은: 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하도록 송신 모듈을 제어하며, 사용자 평면 보안 정책 021은 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다.
선택적 구현에서, 액세스 네트워크 디바이스는 진화된 노드B(evolved NodeB, eNB)이다.
선택적 구현에서, 통신 디바이스가 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 사용자 평면 보안 정책 021은 통신 디바이스에 의해 구성되는 사용자 평면 보안 정책 021-1이다.
선택적 구현에서, 처리 모듈은 추가로, 액세스 네트워크 디바이스와 단말 디바이스 간의 사용자 평면 보안 활성화 상태가, 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않는 것으로 결정하고; 그리고 사용자 평면 보안 활성화 상태와 매칭되는 사용자 평면 보안 정책 021-1을 구성하도록 구성된다.
선택적 구현에서, 사용자 평면 보안 정책 021-1은 사용자 평면 암호화 보호 정책 및 사용자 평면 무결성 보호 정책을 포함하며, 사용자 평면 암호화 보호 정책은 활성화가 요구되거나 활성화가 선호됨을 지시하며, 사용자 평면 무결성 보호 정책은 활성화가 필요하지 않거나 활성화가 선호됨을 지시한다.
선택적 구현에서, 통신 디바이스가 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 사용자 평면 보안 정책 021은 통신 디바이스에 미리 구성된 사용자 평면 보안 정책 021-2이다.
선택적 구현에서, 메시지 001은 단말 디바이스의 N개의 진화된 무선 액세스 베어러의 식별자를 더 포함하며, N은 1보다 크거나 같은 정수이고; 경로 전환 요청 031은 N개의 진화된 무선 액세스 베어러의 식별자를 더 포함한다.
선택적 구현에서, 경로 전환 요청 031은 N개의 사용자 평면 보안 정책 021-2를 포함하고, N개의 진화된 무선 액세스 베어러 식별자 각각은 하나의 사용자 평면 보안 정책 021-2에 대응한다.
선택적 구현에서, 수신 모듈은 추가로, 이동성 관리 엔티티로부터 경로 전환 응답 041을 수신하도록 구성되며, 경로 전환 응답 041은 사용자 평면 보안 정책 022를 운반하며; 통신 디바이스는 저장 모듈을 더 포함하고, 저장 모듈은 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 022를 저장하도록 구성된다.
선택적 구현에서, 처리 모듈은 추가로, 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 022와 매칭되지 않을 때, 사용자 평면 보안 정책 022에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되며, 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태이다.
선택적인 구현에서, 송신 모듈은 추가로, 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 이동성 관리 엔티티에 송신하도록 구성되고; 수신 모듈은 추가로, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 042를 이동성 관리 엔티티로부터 수신하도록 구성된다.
선택적인 구현에서, 송신 모듈은 추가로: 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 이동성 관리 엔티티에 송신하도록 구성되며, 경로 전환 요청 033은 지시 정보 011을 운반하고-; 수신 모듈은 추가로, 이동성 관리 엔티티로부터 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043을 수신하도록 구성되고; 통신 디바이스는 저장 모듈을 더 포함하고, 저장 모듈은 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 023을 저장하도록 구성된다.
선택적인 구현에서, 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043은 지시 정보 012를 추가로 운반하고, 지시 정보 012는 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시한다.
선택적 구현에서, 처리 모듈은 추가로, 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 023과 매칭되지 않을 때, 사용자 평면 보안 정책 023에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되며, 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태이다.
선택적 구현에서, 지시 정보 011은 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현되고, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시한다.
선택적 구현에서, 메시지 001은 핸드오버 요청 또는 콘텍스트 검색 응답이다.
제3 측면에 따르면, 본 출원의 실시예는 보안 정책 처리 방법을 제공한다. 보안 정책 처리 방식은 초기 액세스, 핸드오버, RRC 연결 재개, RRC 연결 재구축 등의 프로세스에 적용될 수 있다. 이 방법에서, 이동성 관리 엔티티는 지시 정보 013을 획득하며, 지시 정보 013은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시하고; 이동성 관리 엔티티는 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하며, 사용자 평면 보안 정책 024는 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다.
본 출원에서, 이동성 관리 엔티티는 지시 정보 013에 기반하여 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있으며, 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 때, 추가로, 사용자 평면 보안 정책을 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정한다. 따라서 이것은 또한 이동성 관리 엔티티가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 액세스 네트워크 디바이스에 송신할 확률을 감소시키는 데 도움이 되고, 따라서 전송 복잡성을 감소시키는 데 도움이 된다. 그러나 종래 기술에서는 이동성 관리 엔티티가 지시 정보 013에 기반하여 판정을 수행하는 로직이 없다. 종래 기술에서 이동성 관리 엔티티는 사용자 평면 보안 정책이 액세스 네트워크 디바이스로부터 수신되는지 여부에 기반하여, 판정 및 의사 결정을 수행한다. 이동성 관리 엔티티가 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않으면, 이동성 관리 엔티티는 사용자 평면 보안 정책을 액세스 네트워크 디바이스에 송신한다.
선택적 구현에서, 지시 정보 013은 경로 전환 요청 034에서 운반되고, 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스는 타깃 액세스 네트워크 디바이스이다. 이동성 관리 엔티티가 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하는 것은 다음을 포함한다: 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하고, 경로 전환 요청 034가 사용자 평면 보안 정책을 운반하지 않을 때, 이동성 관리 엔티티가 사용자 평면 보안 정책 024를 운반하는 경로 전환 응답 044를 타깃 액세스 네트워크 디바이스에 송신한다.
선택적인 구현에서, 지시 정보 013은 비액세스 계층 메시지(non-access stratum message)에서 운반되고, 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스이고, 이동성 관리 엔티티가 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하는 것은 다음을 포함한다: 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 이동성 관리 엔티티가 사용자 평면 보안 정책 024를 소스 액세스 네트워크 디바이스에 송신한다.
선택적 구현에서, 이동성 관리 엔티티가 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하기 전에, 상기 방법은 다음을 더 포함한다: 이동성 관리 엔티티는 지시 정보 051을 획득하며, 지시 정보 051은 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 이동성 관리 엔티티가 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하는 것은 다음을 포함한다: 이동성 관리 엔티티가 지시 정보 013 및 지시 정보 051에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정한다.
선택적 구현에서, 지시 정보 013은 경로 전환 요청에서 운반되거나, 지시 정보 013은 비액세스 계층 메시지에서 운반되고, 이동성 관리 엔티티가 지시 정보 013 및 지시 정보 051에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하는 것은 다음을 포함한다: 지시 정보 013이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051이 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 이동성 관리 엔티티가 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신한다.
선택적 구현에서, 지시 정보 051은 액세스 네트워크 디바이스로부터 이동성 관리 엔티티에 의해 수신된 지시 정보 051-1이고; 또는 지시 정보 051은 네트워크 관리 디바이스로부터 이동성 관리 엔티티에 의해 획득된 지시 정보 051-2이다.
선택적 구현에서, 이동성 관리 엔티티가 지시 정보 013을 획득한 후, 상기 방법은 다음을 더 포함한다: 이동성 관리 엔티티는 홈 가입자 서버(home subscriber server)로부터 단말 디바이스의 가입 데이터(subscription data)를 수신하고; 지시 정보 013은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 가입 데이터가 사용자 평면 보안 정책 024를 포함할 때, 이동성 관리 엔티티가 사용자 평면 보안 정책 024를 저장한다.
선택적 구현에서, 이동성 관리 엔티티가 지시 정보 013을 획득한 후, 상기 방법은 다음을 더 포함한다: 이동성 관리 엔티티는 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하고; 지시 정보 013은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고 가입 데이터가 사용자 평면 보안 정책을 포함하지 않을 때, 이동성 관리 엔티티는 미리 구성된 사용자 평면 보안 정책 024-1에 따라 사용자 평면 보안 정책 024를 결정하고, 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 024를 저장한다.
선택적 구현에서, 이동성 관리 엔티티가 지시 정보 051을 획득한 후, 상기 방법은 다음을 더 포함한다: 이동성 관리 엔티티는 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하고; 지시 정보 013은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하며, 지시 정보 051은 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 그리고 가입 데이터가 사용자 평면 보안 정책을 포함할 때, 이동성 관리 엔티티는 사용자 평면 보안 정책 024를 저장한다.
선택적 구현에서, 이동성 관리 엔티티가 지시 정보 051을 획득한 후, 상기 방법은 다음을 더 포함한다: 이동성 관리 엔티티는 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하고; 지시 정보 013은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하며, 지시 정보 051은 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 그리고 가입 데이터가 사용자 평면 보안 정책을 포함하지 않을 때, 이동성 관리 엔티티는 미리 구성된 사용자 평면 보안 정책 024-2에 따라 사용자 평면 보안 정책 024를 결정하고, 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 024를 저장한다
선택적 구현에서, 지시 정보 013은 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현되고, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시한다.
제4 측면에 따르면, 본 출원의 실시예는 처리 모듈을 포함하는 통신 디바이스를 제공하며, 처리 모듈은 지시 정보 013을 획득하고 - 지시 정보 013은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지를 지시함 -; 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하도록 구성되며, 사용자 평면 보안 정책 024는 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다.
선택적 구현에서, 지시 정보 013은 경로 전환 요청 034에서 운반되고, 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스는 타깃 액세스 네트워크 디바이스이며, 처리 모듈은 구체적으로: 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하고, 경로 전환 요청 034가 사용자 평면 보안 정책을 운반하지 않을 때, 사용자 평면 보안 정책 024를 운반하는 경로 전환 응답 044를 타깃 액세스 네트워크 디바이스에 송신하도록 트랜시버 모듈을 제어하도록 구성된다.
선택적인 구현에서, 지시 정보 013은 비액세스 계층 메시지에서 운반되고, 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스이며, 처리 모듈은 구체적으로: 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 사용자 평면 보안 정책 024를 소스 액세스 네트워크 디바이스에 송신하도록 트랜시버 모듈을 제어하도록 구성된다.
선택적 구현에서, 처리 모듈은 추가로:
지시 정보 051을 획득하고 - 지시 정보 051은 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시하고; 그리고
지시 정보 013 및 지시 정보 051에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신하도록 트랜시버 모듈을 제어할지를 판정하도록 구성된다.
선택적 구현에서, 지시 정보 013은 경로 전환 요청에 포함되거나, 지시 정보 013은 비액세스 계층 메시지에 포함되며; 그리고
지시 정보 013이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051이 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 트랜시버 모듈은 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신하도록 제어된다.
선택적 구현에서, 지시 정보 051은 액세스 네트워크 디바이스로부터 이동성 관리 엔티티에 의해 수신된 지시 정보 051-1이고; 또는 지시 정보 051은 네트워크 관리 디바이스로부터 이동성 관리 엔티티에 의해 획득된 지시 정보 051-2이다.
선택적 구현에서, 트랜시버 모듈은 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하도록 구성되고; 지시 정보 013이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고 가입 데이터가 사용자 평면 보안 정책 024를 포함할 때, 저장 모듈은 사용자 평면 보안 정책 024를 저장한다.
선택적 구현에서, 트랜시버 모듈은 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하도록 구성되고; 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고 가입 데이터가 사용자 평면 보안 정책을 포함하지 않을 때, 처리 모듈은 미리 구성된 사용자 평면 보안 정책 024-1에 따라 사용자 평면 보안 정책 024를 결정하고, 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 024를 저장한다.
선택적 구현에서, 트랜시버 모듈은 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하도록 구성되고; 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051은 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하며, 가입 데이터가 사용자 평면 보안 정책 024를 포함할 때, 저장 모듈은 사용자 평면 보안 정책 024를 저장한다.
선택적 구현에서, 트랜시버 모듈은 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하도록 구성되고; 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051은 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하며, 가입 데이터가 사용자 평면 보안 정책을 포함하지 않을 때, 처리 모듈은 미리 구성된 사용자 평면 보안 정책 024-2에 따라 사용자 평면 보안 정책 024를 결정하고, 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 024를 저장한다.
선택적 구현에서, 지시 정보 013은 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현되고, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시한다.
제5 측면에 따르면, 본 출원의 실시예는 통신 디바이스를 제공한다. 통신 디바이스는 전술한 구현에서 액세스 네트워크 디바이스일 수 있거나 액세스 네트워크 디바이스의 칩일 수 있다. 통신 디바이스는 처리 모듈 및 트랜시버 모듈을 포함할 수 있다. 통신 디바이스가 액세스 네트워크 디바이스일 때, 처리 모듈은 프로세서일 수 있고, 트랜시버 모듈은 트랜시버일 수 있다. 액세스 네트워크 디바이스는 저장 모듈을 더 포함할 수 있다. 저장 모듈은 메모리일 수 있다. 저장 모듈은 명령어를 저장하도록 구성된다. 처리 모듈은 저장 모듈에 저장된 명령어를 실행하므로, 액세스 네트워크 디바이스가 제1 측면 또는 제1 측면의 구현 중 어느 하나의 방법을 수행한다. 통신 디바이스가 액세스 네트워크 디바이스 내의 칩일 때, 처리 모듈은 프로세서일 수 있고, 트랜시버 모듈은 입력/출력 인터페이스, 핀, 회로 등일 수 있다. 처리 모듈은 저장 모듈에 저장된 명령어를 실행하므로, 액세스 네트워크 디바이스가 제1 측면 또는 제1 측면의 구현 중 어느 하나의 방법을 수행한다. 저장 모듈은 칩 내의 저장 모듈(예를 들어, 레지스터 또는 캐시)일 수 있거나, 액세스 네트워크 디바이스에 있으면서 또한 칩 외부에 위치된 저장 모듈(예를 들어, 읽기 전용 메모리 또는 랜덤 액세스 메모리)일 수 있다.
제6 측면에 따르면, 본 출원의 실시예는 통신 디바이스를 제공한다. 통신 디바이스는 전술한 구현에서 이동성 관리 엔티티일 수 있거나, 이동성 관리 엔티티 내의 칩일 수 있다. 통신 디바이스는 처리 모듈 및 트랜시버 모듈을 포함할 수 있다. 통신 디바이스가 이동성 관리 엔티티일 때, 처리 모듈은 프로세서일 수 있고, 트랜시버 모듈은 트랜시버일 수 있다. 이동성 관리 엔티티는 저장 모듈을 더 포함할 수 있다. 저장 모듈은 메모리일 수 있다. 저장 모듈은 명령어를 저장하도록 구성된다. 처리 모듈은 저장 모듈에 저장된 명령어를 실행하므로, 이동성 관리 엔티티는 제3 측면 또는 제3 측면의 구현 중 어느 하나의 방법을 수행한다. 통신 디바이스가 이동성 관리 엔티티 내의 칩일 때, 처리 모듈은 프로세서일 수 있고, 트랜시버 모듈은 입력/출력 인터페이스, 핀, 회로 등일 수 있다. 처리 모듈은 저장 모듈에 저장된 명령어를 실행하므로, 이동성 관리 엔티티는 제3 측면 또는 제3 측면의 구현 중 어느 하나의 방법을 수행한다. 저장 모듈은 칩 내의 저장 모듈(예를 들어, 레지스터 또는 캐시)일 수 있거나, 이동성 관리 엔티티에 있으면서 또한 칩 외부에 위치된 저장 모듈(예를 들어, 읽기 전용 메모리 또는 랜덤 액세스 메모리)일 수 있다.
제7 측면에 따르면, 본 출원은 통신 장치를 제공한다. 통신 장치는 집적 회로 칩일 수 있다. 집적 회로 칩은 프로세서를 포함한다. 프로세서는 메모리에 결합된다. 메모리는 프로그램 또는 명령어를 저장하도록 구성된다. 프로그램 또는 명령어가 프로세서에 의해 실행될 때, 통신 장치는 제1 측면 또는 제1 측면의 구현 중 어느 하나의 방법을 수행하도록 활성화된다(enabled).
제8 측면에 따르면, 본 출원은 통신 장치를 제공한다. 통신 장치는 집적 회로 칩일 수 있다. 집적 회로 칩은 프로세서를 포함한다. 프로세서는 메모리에 결합된다. 메모리는 프로그램 또는 명령어를 저장하도록 구성된다. 프로그램 또는 명령어가 프로세서에 의해 실행될 때, 통신 디바이스는 제3 측면 또는 제3 측면의 구현 중 어느 하나의 방법을 수행하도록 활성화된다.
제9 측면에 따르면, 본 출원의 실시예는 명령어를 포함하는 컴퓨터가 판독 가능한 저장 매체를 제공한다. 명령어가 컴퓨터에서 실행될 때, 컴퓨터는 제1 측면 또는 제1 측면의 구현 중 어느 하나에 설명된 방법을 수행하도록 활성화된다.
제10 측면에 따르면, 본 출원의 실시예는 명령어를 포함하는, 컴퓨터가 판독 가능한 저장 매체를 제공한다. 명령어가 컴퓨터에서 실행될 때, 컴퓨터는 제3 측면 또는 제3 측면의 구현 중 어느 하나에 설명된 방법을 수행하도록 활성화된다.
제11 측면에 따르면, 본 출원의 실시예는 명령어를 포함하는 컴퓨터 프로그램 제품을 제공한다. 컴퓨터 프로그램 제품이 컴퓨터에서 실행될 때, 컴퓨터는 제1 측면 또는 제1 측면의 구현 중 어느 하나에 설명된 방법을 수행하도록 활성화된다.
제12 측면에 따르면, 본 출원의 실시예는 명령어를 포함하는 컴퓨터 프로그램 제품을 제공한다. 컴퓨터 프로그램 제품이 컴퓨터에서 실행될 때, 컴퓨터는 제3 측면 또는 제3 측면의 구현 중 어느 하나에 설명된 방법을 수행하도록 활성화된다.
제13 측면에 따르면, 본 출원의 실시예는 통신 시스템을 제공한다. 통신 시스템은 제1 측면 또는 제1 측면의 구현 중 어느 하나에서의 이동성 관리 엔티티 및 타깃 액세스 네트워크 디바이스를 포함한다.
선택적 구현에서, 통신 시스템은 소스 액세스 네트워크 디바이스 및 단말 디바이스를 더 포함한다.
제14 측면에 따르면, 본 출원의 실시예는 통신 시스템을 제공한다. 통신 시스템은 제3 측면 또는 제3 측면의 구현 중 어느 하나에서의 액세스 네트워크 디바이스 및 이동성 관리 엔티티를 포함한다.
선택적 구현에서, 통신 시스템은 소스 액세스 네트워크 디바이스 및 단말 디바이스를 더 포함한다.
전술한 기술 솔루션으로부터 본 출원의 실시예가 다음과 같은 이점을 갖는다는 것을 알 수 있다:
본 출원의 실시예에서, 타깃 액세스 네트워크 디바이스는 지시 정보 011에 기반하여, 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있고, 타깃 액세스 네트워크 디바이스는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 때에만 사용자 평면 보안 정책 021을 이동성 관리 엔티티에 송신한다. 이는 다음과 같은 경우: 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않고 이동성 관리 엔티티가 타깃 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 이동성 관리 엔티티는 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 송신하며, 결과적으로 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책을 수신하더라도 타깃 액세스 네트워크 디바이스는 단말 디바이스에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 없는 경우를 방지한다. 따라서 이는 이동성 관리 엔티티가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 타깃 액세스 네트워크 디바이스에 송신할 가능성을 감소시키는 데 도움이 되고, 따라서 전송 복잡성을 감소시키는 데 도움이 된다.
또한 이동성 관리 엔티티는 지시 정보 013에 기반하여 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있으며; 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 때, 추가로, 사용자 평면 보안 정책을 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정한다. 따라서 이는 또한 이동성 관리 엔티티가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 액세스 네트워크 디바이스에 송신할 확률을 감소시키는 데 도움이 되고, 따라서 전송 복잡성을 감소시키는 데 도움이 된다.
본 출원의 실시예에서의 기술 솔루션을 보다 명확하게 설명하기 위해, 실시예를 설명하기 위한 첨부 도면을 간략히 설명하면 다음과 같다. 명백히, 다음 설명에서 첨부한 도면은 단지 본 출원의 일부 실시예를 도시한다.
도 1은 본 출원에 따른, 보안 정책 처리 방법을 적용할 수 있는 4G 네트워크 구조도이다.
도 2는 본 출원에 따른 보안 정책 처리 방법의 실시예의 개략도이다.
도 3a 및 도 3b는 본 출원에 따른 핸드오버 시나리오에서의 보안 정책 처리 방법의 예시도이다.
도 4는 본 출원에 따른 보안 정책 처리 방법의 다른 실시예의 개략도이다.
도 5는 본 출원에 따른 보안 정책 처리 방법의 다른 실시예의 개략도이다.
도 6a 및 도 6b는 본 출원에 따른 RRC 연결 재개 시나리오에서 보안 정책 처리 방법의 예시도이다.
도 7은 본 출원에 따른 액세스 시나리오에서 보안 정책 처리 방법의 예시도이다.
도 8은 본 출원에 따른 통신 디바이스의 실시예의 개략도이다.
도 9는 본 출원에 따른 통신 디바이스의 다른 실시예의 개략도이다.
도 10은 본 출원에 따른 통신 디바이스의 다른 실시예의 개략도이다.
도 11은 본 출원에 따른 통신 디바이스의 다른 실시예의 개략도이다.
다음은 본 출원의 실시예의 첨부 도면을 참조하여 본 출원의 실시예의 기술 솔루션을 명확하고 완전하게 설명한다. 명백히, 기술된 실시예는 본 출원의 실시예의 전부가 아니라 단지 일부일 뿐이다.
본 출원의 명세서, 청구 범위 및 첨부된 도면에서, "제1", "제2", "제3", "제4" 등의 용어 및 용어의 대응하는 참조 부호(존재하면)는 유사한 객체를 구별하기 위한 것이며, 반드시 특정 순서나 시퀀스를 지시하지는 않는다. 이러한 방식으로 사용된 데이터는 적절한 상황에서 교환 가능하므로, 여기에 설명된 실시예는 여기에 예시되거나 설명된 순서가 아닌 다른 순서로 구현될 수 있음을 이해해야 한다. 또한 "포함하다(comprise)", "포함하다(include)" 및 이들의 모든 변형 용어는 비배타적 포함을 포괄하도록 의도되었다. 예를 들어, 단계 또는 유닛 목록을 포함하는 프로세스, 방법, 시스템, 제품 또는 디바이스는 명시적으로 나열된 단계 또는 유닛으로 반드시 제한되지는 않으며, 명시적으로 나열되지 않았거나 프로세스, 방법, 시스템, 제품 또는 디바이스에 내재되어 있는 다른 단계 또는 유닛을 포함할 수 있다.
본 출원의 실시예는 보안 정책 처리 방법 및 통신 디바이스를 제공하여, 이동성 관리 엔티티가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 액세스 네트워크 디바이스에 송신할 확률을 감소시키고, 전송 복잡성을 감소시키며, 데이터 전송 효율을 향상시킨다.
다음은 먼저 본 출원에서 제공하는 보안 정책 처리 방법이 적용될 수 있는 시스템 아키텍처 및 애플리케이션 시나리오에 대해 설명한다.
본 출원에서 제공하는 보안 정책 처리 방법은 4G 네트워크 아키텍처에 적용될 수 있다. 도 1은 현재의 롱텀 에볼루션(long term evolution, LTE)/시스템 아키텍처 에볼루션(system architecture evolution, SAE) 네트워크 아키텍처를 도시한다. 코어 네트워크 부분은 주로 이동성 관리 엔티티(mobility management entity, MME), 서빙 게이트웨이(serving gateway, SGW/S-GW), 패킷 데이터 네트워크 게이트웨이(packet data network gateway, PDN GW, PGW/P-GW), 홈 가입자 서버(home subscriber server, HSS), 서빙 GPRS 지원 노드(serving GPRS support node, SGSN), 정책 및 과금 규칙 기능(policy and charging rules function, PCRF), 사업자의 IP 서비스(Operator's IP Services)(예를 들어, IP 멀티미디어 서브시스템(IP multimedia subsystem, IMS) 또는 패킷 스위칭 서비스(packet switching service, PSS)) 등을 포함한다. 코어 네트워크는 진화된 패킷 코어(evolved packet core, EPC)일 수 있다. 또한 도 1은 액세스 네트워크 부분, 즉 진화된 UMTS 지상 무선 액세스 네트워크(evolution UMTS terrestrial radio access network, E-UTRAN)를 더 포함한다. 액세스 네트워크 부분은 주로 액세스 네트워크(radio access network, RAN) 디바이스를 포함한다. 또한 도 1은 단말 디바이스, 예를 들어 사용자 장비(user equipment, UE)를 더 포함한다.
이동성 관리 엔티티(mobility management entity, MME)는 단말 디바이스의 이동성 관리 콘텍스트(예를 들어, 단말 디바이스의 식별자, 이동성 관리 상태, 사용자 보안 파라미터)를 관리 및 저장하고, 비액세스 계층(Non-Access Stratum, NAS) 시그널링(예를 들어, 어태치 요청(attach request), 업데이트 위치 요청(update location request), 서비스 요청(service request) 및 패킷 데이터 네트워크 연결 요청(PDN connectivity request))을 처리하고, NAS 시그널링 등의 보안을 보장한다(ensure).
서빙 게이트웨이(S-GW)는 액세스 네트워크로부터 사용자 평면 인터페이스를 종료하고(terminate), 적법한 가로채기(lawful interception) 및 패킷 데이터 라우팅과 같은 기능을 수행하는 게이트웨이이다. 서빙 게이트웨이(S-GW)와 이동성 관리 엔티티(MME) 사이의 인터페이스는 S11 인터페이스이며, 단말 디바이스의 세션 제어 정보 등을 교환하기 위해 사용된다.
패킷 데이터 네트워크 게이트웨이(P-GW)는 패킷 데이터 네트워크에 대한 SGi 인터페이스를 종료하는 게이트웨이이며, 베어러 제어, 데이터 포워딩, IP 주소 할당, non-3GPP 사용자 액세스와 같은 기능을 제공하도록 구성되고, 공용 데이터 네트워크(public data network, PDN)에 대한 3GPP 액세스 및 non-3GPP 액세스를 위한 앵커 역할을 한다. P-GW는 패킷 라우팅 및 포워딩 기능을 가지며, 정책 및 과금 강화 기능, 사용자 특정 패킷 필터링 기능 등을 수행한다. P-GW는 S5 인터페이스를 통해 S-GW와 연결되어 정보 구축, 수정, 삭제 등을 위한 제어 정보, 루트 패킷(route packet) 데이터 등을 전송한다. 또한 P-GW는 SGi 인터페이스를 통해 사업자의 IP 서비스에 추가로 연결된다.
홈 가입자 서버(HSS)는 가입자의 홈 네트워크에 가입자 정보를 저장하는 핵심 데이터베이스이다. HSS는 주로 사용자 프로필, 사용자 가입 데이터, 사용자 아이덴티티 인증 및 권한에 관련된 정보, 사용자의 물리적 위치에 관련된 정보 등을 포함한다. HSS는 S6a 인터페이스를 통해 MME와 연결되어 있으므로, MME는 HSS로부터 사용자 프로필, 사용자 가입 데이터와 같은 정보를 획득할 수 있다.
정책 및 과금 규칙 기능(PCRF)은 서비스 데이터 플로 및 IP 베어러 자원에 대한 정책 및 과금 제어 정책 결정 지점이며, 사용자에게 차별화된 서비스를 제공하기 위해 사용자 모드 및 서비스 모드 서비스 품질(quality of service, QoS)을 제어할 수 있다. PCRF는 Gx 인터페이스를 통해 P-GW에 연결되고, Rx 인터페이스를 통해 사업자의 IP 서비스에 연결된다.
또한 MME는 S1-MME 인터페이스를 통해 E-UTRAN에 연결되고, S-GW는 S1-U 인터페이스 및 S11 인터페이스를 통해 E-UTRAN 및 MME에 각각 연결된다. 또한 MME와 S-GW는 각각 S3 인터페이스와 S4 인터페이스를 통해 2G/3G 네트워크와 SGSN에 연결되며, 각각 대응하는 네트워크에서 이동성 제어 평면 앵커 기능과 이동성 사용자 평면 앵커 기능을 단말 디바이스에 제공한다. 또한 S-GW는 S12 인터페이스를 통해 진화된 범용 지상 무선 액세스 네트워크(evolved universal terrestrial radio access network, UTRAN)에 추가로 연결된다.
액세스 네트워크 디바이스는 단말 디바이스와 코어 네트워크 디바이스 사이의 브리지(bridge)이며, 무선 자원을 관리하고, 어태치 프로세스에서 MME를 선택하며, S-GW로 사용자 데이터 평면을 라우팅 등을 하도록 구성된다. 본 출원에서의 액세스 네트워크 디바이스는 4G 무선 액세스 네트워크 디바이스일 수 있거나, 하나 이상의 셀을 통해, 4G 액세스 네트워크의 무선 인터페이스 상에서 무선 단말 디바이스와 통신하는 디바이스일 수 있다. 예를 들어, 액세스 네트워크 디바이스는 롱 텀 에볼루션(long term evolution, LTE) 시스템 또는 LTE-어드밴스드(long term evolution advanced, LTE-A) 시스템에서 진화된 노드B(evolutional node B, NodeB, eNB, 또는 e-NodeB)일 수 있다. 본 출원에서 액세스 네트워크 디바이스는 업그레이드된 액세스 네트워크 디바이스(예를 들어, 온디맨드 사용자 평면 보안 보호를 지원하는 액세스 네트워크 디바이스) 또는 업그레이드되지 않은 액세스 네트워크 디바이스(예를 들어, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스)일 수 있다. 또한 단말 디바이스에 서비스를 제공하는 상이한 순서에 기반하여, 본 출원에서의 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스(source evolutional node B, S-eNB) 및 타깃 액세스 네트워크 디바이스(target evolutional node B, T-eNB)로 분류될 수 있다. 소스 액세스 네트워크 디바이스는 단말 디바이스의 초기 액세스 동안 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스이거나, 소스 액세스 네트워크 디바이스는 핸드오버, RRC 연결 재개 또는 RRC 연결 재구축 프로세스가 수행되기 전에 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스일 수 있다. 타깃 액세스 네트워크 디바이스는 핸드오버, RRC 연결 재개 또는 RRC 연결 재구축 프로세스가 수행된 후 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스이다. 일반적으로 단말 디바이스의 콘텍스트는 소스 액세스 네트워크 디바이스와 타깃 액세스 네트워크 디바이스 사이에서 전송된다. 본 출원의 실시예에서 액세스 네트워크 디바이스는 전술한 디바이스 중 어느 하나이거나 전술한 디바이스 내의 칩일 수 있음을 이해해야 한다. 이것은 여기서 특별히 제한되지 않는다. 디바이스나 칩에 관계없이, 액세스 네트워크 디바이스는 독립적인 제품으로 제조, 판매 또는 사용될 수 있다. 이 실시예 및 후속 실시예에서, 액세스 네트워크 디바이스는 설명을 위한 예로서 사용된다.
또한 단말 디바이스는 음성 및/또는 데이터 연결을 사용자에게 제공하는 디바이스를 포함한다. 예를 들어, 단말 디바이스는 무선 연결 기능이 있는 핸드헬드 디바이스 또는 무선 모뎀과 연결된 처리 디바이스를 포함할 수 있다. 단말 디바이스는 무선 액세스 네트워크(radio access network, RAN)(예를 들어, 소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)을 통해 코어 네트워크(예를 들어, 이동성 관리 엔티티(MME))와 통신할 수 있고, RAN과 함께 음성 및/또는 데이터를 교환할 수 있다. 단말 디바이스는 사용자 장비(user equipment, UE), 무선 단말 디바이스, 이동 단말 디바이스, 가입자 유닛(subscriber unit), 가입자 스테이션(subscriber station), 이동국(mobile station), 이동(mobile) 콘솔, 원격 스테이션(remote station), 액세스 포인트(access point, AP), 원격 단말(remote terminal) 디바이스, 액세스 단말(access terminal) 디바이스, 사용자 단말(user terminal) 디바이스, 사용자 에이전트(user agent), 사용자 디바이스(user device) 등을 포함할 수 있다. 또한 단말 디바이스는 다르게는 차량 탑재 단말일 수도 있으며, 예를 들어, 차량에 통합된, 텔레매틱스 박스(telematics box, T-Box), 도메인 컨트롤러(domain controller, DC), 멀티 도메인 컨트롤러(multi-domain controller, MDC) 또는 온보드 유닛(on-board unit, OBU)일 수 있다. 단말 디바이스는 다르게는, 안경, 장갑, 시계, 의류, 신발 등과 같은 웨어러블 디바이스 또는 사용자의 신체에 직접 착용하거나 의류 또는 액세서리에 통합될 수 있는 기타 휴대용 디바이스일 수 있다. 이는 본 출원에서 특별히 제한되지 않는다. 본 출원의 단말 디바이스는 업그레이드된 단말 디바이스(예를 들어, 온디맨드 사용자 평면 보안 보호를 지원하는 단말 디바이스) 또는 업그레이드되지 않은 단말 디바이스(예를 들어, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 단말 디바이스)일 수 있음에 유의해야 한다. 본 출원의 실시예에서 단말 디바이스는 전술한 디바이스 또는 칩 중 어느 하나일 수 있음을 이해해야 한다. 이것은 여기서 특별히 제한되지 않는다. 디바이스나 칩에 관계없이, 단말 디바이스는 독립적인 제품으로 제조, 판매 또는 사용될 수 있다. 본 실시예 및 후속 실시예에서는 설명을 위한 예로서 단말 디바이스만을 사용한다.
전술한 4G 네트워크 아키텍처는 일반적으로 업그레이드된 액세스 네트워크 디바이스(예를 들어, 온디맨드 사용자 평면 보안 보호를 지원하는 액세스 네트워크 디바이스)와 업그레이드되지 않은 액세스 네트워크 디바이스(예를 들어, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스)를 모두 포함한다. 현재 4G 네트워크에서 온디맨드 사용자 평면 보안 보호 메커니즘을 적용하는 동안, 온디맨드 사용자 평면 보안 보호를 지원하는, 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 활성화하기 위해, 이동성 관리 4G 네트워크의 엔티티는 이동성 관리 엔티티와 통신하는 액세스 네트워크 디바이스에 항상 사용자 평면 보안 정책을 송신하도록 구성된다. 예를 들어, 이동성 관리 엔티티가 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 이동성 관리 엔티티는 사용자 평면 보안 정책을 액세스 네트워크 디바이스에 반환한다.
전술한 종래 기술 솔루션에서, 온디맨드 사용자 평면 보안 보호를 지원하는 액세스 네트워크 디바이스는 전술한 정보 엘리먼트를 사용하여 단말 디바이스에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 있지만, 온 디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스는 액세스 네트워크 디바이스에 의해 사용될 수 없는 정보 엘리먼트를 항상 수신한다. 그 결과, 이동성 관리 엔티티와 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스 간의 전송 복잡성이 증가하고 전송 효율성에 영향을 미친다.
이를 고려하여, 본 출원에서 제공되는 보안 정책 처리 방법에서, 이동성 관리 엔티티가 사용자 평면 보안을 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스에 송신하는 확률을 감소시키는 반면, 온디맨드 사용자 평면 보안 보호를 지원하는, 액세스 네트워크 디바이스와 단말 디바이스가 사용자 평면 보안 정책을 수신할 수 있도록 최대한 보장하기 위해, 액세스 네트워크 디바이스 측 및/또는 이동성 관리 엔티티 측에 판정 로직(determining logic)이 추가될 수 있다.
다음은 전술한 시스템 아키텍처 및 애플리케이션 시나리오를 기반으로 본 출원에서의 보안 정책 처리 방법의 구현을 설명한다. 도 2에 도시된 바와 같이, 액세스 네트워크 디바이스 및 이동성 관리 엔티티는 다음 단계를 수행한다.
단계(201): 소스 액세스 네트워크 디바이스가 지시 정보 011을 포함하는 메시지 001을 타깃 액세스 네트워크 디바이스에 송신한다. 이에 따라 타깃 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스로부터, 지시 정보 011을 포함하는 메시지 001을 수신한다.
본 실시예 및 후속 실시예에서는 설명의 편의를 위해 단말 디바이스에 서비스를 제공하는 순서에 기반하여, 원래 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스를 소스 액세스 네트워크 디바이스라고 하고, 이후에 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스는 타깃 액세스 네트워크 디바이스라고 한다. 예를 들어, 단말 디바이스는 핸드오버(Handover), RRC 연결 재개(RRC Connection Resume), RRC 연결 재구축(RRC Connection Reestablishment) 등과 같은 프로세스를 통해, 소스 액세스 네트워크가 제공하는 서비스를 수락하는 것으로부터 타깃 액세스 네트워크 디바이스가 제공하는 서비스를 수락하는 것으로 변경할 수 있다.
이 프로세스에서, 타깃 액세스 네트워크 디바이스는 타깃 액세스 네트워크 디바이스와 소스 액세스 네트워크 디바이스 간의 시그널링(예를 들어, 메시지 001)을 통해 소스 액세스 네트워크 디바이스로부터 단말 디바이스의 콘텍스트를 수신할 수 있다. 단말 디바이스의 콘텍스트는 지시 정보 011을 포함한다. 선택적으로, 이 실시예가 핸드오버 프로세스에 적용되면, 메시지 001은 핸드오버 요청이고; 또는 본 실시예가 RRC 연결 재개 또는 RRC 연결 재구축 프로세스에 적용되면, 메시지 001은 콘텍스트 검색 응답이다.
지시 정보 011은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 다르게는, 또한 지시 정보 011은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는, 단말 디바이스가 사용자 평면 암호화 보호의 활성화를 지원하는지 여부 및/또는 사용자 평면 무결성 보호의 활성화를 지원하는지 여부로 이해될 수 있으며, 즉, 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호는 고정되어 있지 않다. 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는, 단말 디바이스가 액세스 네트워크 디바이스의 지시 하에서 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호의 활성화/비활성화를 지원하는지 여부로 이해될 수 있다. 여기서 액세스 네트워크 디바이스는 eNB, 예를 들어 이하의 설명에서 언급되는 소스 eNB 또는 타깃 eNB일 수 있다. 지시 정보 011의 복수의 표현은 상호 교환 가능하다는 것을 이해해야 한다. 이하의 실시예에서는 "지시 정보 011은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다"는 표현을 설명의 예로 사용한다.
구체적으로, 지시 정보 011은 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현될 수 있으며, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시한다. 예를 들어, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 UE 진화된 패킷 시스템 보안 능력(UE evolved packet system security capability, UE EPS security capabilities)이고, 지시 정보 011은 단말 디바이스의 진화된 패킷 시스템 보안 능력에서 예약된 비트, 예를 들어 EEA7 또는 EIA7로 지시될 수 있다. EEA7은 UE 진화된 패킷 시스템 보안 능력에서 8번째 암호화 알고리즘을 위해 예약된 비트를 나타내고, EIA7은 UE 진화된 패킷 시스템 보안 능력에서 8번째 무결성 알고리즘을 위해 예약된 비트를 나타낸다. 이 실시예에서, 이 비트는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시하는 지시를 운반하는 데 사용된다. 액세스 네트워크 디바이스가 업그레이드되었는지 여부(구체적으로, 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부)에 관계없이, 액세스 네트워크 디바이스는 단말 디바이스의 진화된 패킷 시스템 보안 능력(예를 들어, UE 진화된 패킷 시스템 보안 능력)을 식별하고 포워딩할 수 있다. 따라서 단말 디바이스의 진화된 패킷 시스템 보안 능력에 지시 정보 011을 추가하면 액세스 네트워크 디바이스들 사이(예를 들어, 온디맨드 사용자 평면 보안 보호를 지원하는 액세스 네트워크 디바이스와 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스의 사이) 또는 액세스 네트워크 디바이스와 코어 네트워크 디바이스 사이(온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스와 이동성 관리 엔티티의 사이)의 전송 동안 지시 정보 011이 손실되지 않도록 보장할 수 있다. 그러나 종래 기술에서, 재정의된 지시 정보는 단말 디바이스가 온디맨드 사용자 보안 보호를 지원하는지 여부를 지시하며, 재정의된 지시 정보는 업그레이드되지 않은 액세스 네트워크 디바이스에 의해 식별될 수 없다. 구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스는 재정의된 지시 정보를 식별할 수 없다. 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스가 재정의된 지시 정보를 수신할 때, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스는 재정의된 지시 정보를 폐기하고, 재정의된 지시 정보를 다른 액세스 네트워크 디바이스 또는 코어 네트워크 디바이스(예를 들어, 이동성 관리 엔티티)에 송신할 수 없다.
선택적으로, 메시지 001은 베어러를 구축하기 위해 단말 디바이스에 의해 사용되는 식별 정보, 예를 들어 진화된 무선 액세스 베어러(E-UTRAN radio access bearer, E-RAB)의 식별자를 더 포함한다. 이는 또한 단말 디바이스의 콘텍스트가 베어러를 구축하는 데 사용되는 E-RAB 식별자를 더 포함하는 것으로 이해될 수 있다.
또한 메시지 001은 단말 디바이스의 N개의 E-RAB의 식별자를 포함하며, N은 1보다 크거나 같은 정수이다.
단계(202): 타깃 액세스 네트워크 디바이스가 미리 설정된 조건이 충족되는지를 판정한다.
본 실시예에서, 미리 설정된 조건은 지시 정보 011에 관련된 미리 설정된 조건이다. 타깃 액세스 네트워크 디바이스가 미리 설정된 조건이 충족된다고 결정할 때, 타깃 액세스 네트워크 디바이스는 단계(203a) 및 단계(203b)를 순차적으로 수행한다. 타깃 액세스 네트워크 디바이스가 미리 설정된 조건이 충족되지 않는다고 결정할 때, 타깃 액세스 네트워크 디바이스는 단계(203c) 또는 단계(203d)를 수행한다. 이는 타깃 액세스 네트워크 디바이스가 지시 정보 011와 관련된 미리 설정된 조건에 기반하여, 사용자 평면 보안 정책을 획득하고 사용자 평면 보안 정책을 이동성 관리 엔티티에 송신할지를 판정하는 것으로 이해될 수 있다.
미리 설정된 조건은 다음 중 어느 하나의 방식으로 구현될 수 있다.
선택적 구현에서, 미리 설정된 조건은 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하는 것을 포함한다.
다른 선택적 구현에서, 미리 설정된 조건은, 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하고, 타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는 것이다.
타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는, 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부로 이해될 수 있거나, 액세스 네트워크 디바이스가 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호의 활성화를 지원하는지 여부로 이해될 수 있거나, 액세스 네트워크 디바이스가 지시를 단말 디바이스에 송신할 수 있는지 여부로 이해될 수 있으므로, 단말 디바이스가 지시에 기반하여 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화/비활성화한다. 전술한 복수의 표현은 상호 교환 가능하다는 것을 이해해야 한다. 후속 실시예들에서, "타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원한다"라는 표현이 설명을 위한 예로서 사용된다.
타깃 액세스 네트워크 디바이스가 업그레이드된 액세스 네트워크 디바이스(구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하는 액세스 네트워크 디바이스)일 때, 타깃 액세스 네트워크 디바이스는 타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 수 있음을 알 수 있다. 타깃 액세스 네트워크 디바이스가 업그레이드되지 않은 액세스 네트워크 디바이스(구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스)일 때, 타깃 액세스 네트워크 디바이스는 타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않는 것을 알 수 있다.
또한 본 출원의 솔루션이 업그레이드된 액세스 네트워크 디바이스에 적용되면, 타깃 액세스 네트워크 디바이스가 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하는지를 판정할 때, 실제로 타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시한다는 것을 추가로 이해해야 한다. 따라서 선택적으로, 타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정하기 위한 로직은, 타깃 액세스 네트워크 디바이스에 대해 별도로 설정될 필요가 없을 수 있다.
단계(203a): 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책 021을 획득한다.
사용자 평면 보안 정책은 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시하는 정책이다. 이는 사용자 평면 보안 정책이 사용자 평면 암호화 보호 정책과 사용자 평면 무결성 보호 정책을 포함하는 것으로 이해될 수 있으며, 사용자 평면 암호화 보호 정책은 사용자 평면 암호화 보호를 활성화할지 여부를 지시하고, 사용자 평면 무결성 보호 정책은 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다. 현재, 사용자 평면 암호화 보호 정책 및 사용자 평면 무결성 보호 정책은 세가지 지시: 요구됨(활성화가 요구됨), 선호됨(활성화가 선호됨), 및 필요하지 않음(활성화가 필요하지 않음)를 포함한다. 구체적으로, 사용자 평면 암호화 보호 정책이 "요구됨"일 때, 사용자 평면 암호화 보호를 강제로 활성화해야 함을 지시하며; 사용자 평면 암호화 보호 정책이 "필요하지 않음"일 때, 사용자 평면 암호화 보호를 강제로 비활성화해야 함을 지시하고; 또는 사용자 평면 암호화 보호 정책이 "선호됨"일 때, 실제 사례에 기반하여 사용자 평면 암호화 보호가 선택적으로 활성화될 수 있음을 지시한다(예를 들어, 액세스 네트워크 디바이스는 액세스 네트워크 디바이스의 부하(load) 상태에 기반하여, 액세스 네트워크 디바이스와 단말 디바이스 간의 사용자 평면 암호화 보호를 활성화할지를 판정할 수 있으며, 부하가 임계값보다 클 때, 사용자 평면 암호화 보호가 활성화되지 않고; 그렇지 않으면 사용자 평면 암호화 보호가 활성화됨). 사용자 평면 무결성 보호 정책의 사용은 사용자 평면 암호화 보호 정책의 사용과 동일하다. 자세한 내용은 다시 설명하지 않는다.
구체적으로, 타깃 액세스 네트워크 디바이스는 다음의 여러 방식으로 사용자 평면 보안 정책 021을 획득할 수 있다.
선택적 구현에서, 타깃 액세스 네트워크 디바이스가 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 사용자 평면 보안 정책 021은 타깃 액세스 네트워크 디바이스에 의해 구성된 사용자 평면 보안 정책 021-1일 수 있다.
이 구현에서, 타깃 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않기 때문에, 타깃 액세스 네트워크 디바이스는 기본 방식(이는 업그레이드되지 않은 방식으로 이해될 수 있음)으로 단말 디바이스에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 있다. 예를 들어, 타깃 액세스 네트워크 디바이스는 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화하는 것을 스킵할 수 있다. 타깃 액세스 네트워크 디바이스에 의해 구성되는 사용자 평면 보안 정책 021-1은 단말 디바이스의 현재 사용자 평면 보안 활성화 상태, 구체적으로 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않은 상태와 매칭되어야 한다. 예를 들어, 타깃 액세스 네트워크 디바이스에 의해 구성되는 사용자 평면 보안 정책 021-1은, 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않는 사용자 평면 보안 활성화 상태와 매칭되는 정책이다. 구체적으로, 사용자 평면 보안 정책 021-1은 사용자 평면 암호화 보호 정책 및 사용자 평면 무결성 보호 정책을 포함하고, 사용자 평면 암호화 보호 정책은 활성화가 요구됨(required) 또는 선호됨(preferred)됨을 지시하고, 사용자 평면 무결성 보호 정책은 활성화가 필요하지 않음(not required) 또는 선호됨(preferred)을 지시한다.
예를 들어, 사용자 평면 보안 정책이 {사용자 평면 암호화 보호 정책, 사용자 평면 무결성 보호 정책}으로 표현되면, 사용자 평면 보안 정책 021-1은 구체적으로 다음 방식: 활성화가 요구됨(required), 활성화가 필요하지 않음(not needed)}; {활성화가 요구됨(required), 활성화가 선호됨(preferred)}; {활성화가 선호됨(preferred), 활성화가 필요하지 않음(not needed)}; 또는 {활성화가 선호됨(preferred), 활성화가 선호됨(preferred)} 중 어느 하나의 방식으로 구현될 수 있다.
사용자 평면 보안 정책 021-1은 E-RAB 그래뉼래러티의 사용자 평면 보안 정책일 수 있음을 이해해야 한다. 일반적으로, 하나의 단말 디바이스가 N개의 E-RAB에 대응하면, 타깃 액세스 네트워크 디바이스는 콘텍스트로부터 획득된 E-RAB 식별자에 기반하여, 단말 디바이스의 각각의 E-RAB에 대해 대응하는 사용자 평면 보안 정책 021-1을 구성할 수 있다. 이 경우, 타깃 액세스 네트워크 디바이스는 N개의 사용자 평면 보안 정책 021-1을 획득할 수 있다. N은 1보다 크거나 같은 정수이다. 각 E-RAB는 하나의 사용자 평면 보안 정책 021-1에 대응한다. 그러나 서로 다른 E-RAB에 대응하는 사용자 평면 보안 정책은 동일할 수도 있고 상이할 수도 있다.
또한 이후에 사용자 평면 보안 정책을 전송할 때, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 021-1 및 E-RAB 식별자를 시그널링에 추가하여, 사용자 평면 보안 정책 021-1이 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 E-RAB 식별자에 대응하는 E-RAB에 대해 활성화되어야 하는지를 판정하는 데 사용됨을 지시한다. 자세한 내용은 단계(203b)의 설명을 참조한다. 이 구현에서, 이동성 관리 엔티티(예를 들어, MME)는 사용자 평면 보안 정책에 대한 판정을 수행할 때 더 미세한 그래뉼래러티를 가질 수 있으므로, 일부 E-RAB에 대응하는 사용자 평면 보안 정책들이 상이하지만 다른 E-RAB에 대응하는 사용자 평면 보안 정책은 동일할 때, MME에 의해 반환되는 사용자 평면 보안 정책의 수량이 감소된다.
다른 선택적 구현에서, 타깃 액세스 네트워크 디바이스가 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 사용자 평면 보안 정책 021은 타깃 액세스 네트워크 디바이스에 미리 구성된 사용자 평면 보안 정책 021-2일 수 있다.
이 구현에서, 사용자 평면 보안 정책 021-2는 타깃 액세스 네트워크 디바이스에 미리 구성되며, 미리 구성된 사용자 평면 보안 정책 021-2는 모든 단말 디바이스에 적용 가능한 정책일 수 있다. 미리 구성된 사용자 평면 보안 정책은 사용자 평면 암호화 보호 정책 및/또는 사용자 평면 무결성 보호 정책을 포함할 수 있다. 사용자 평면 암호화 보호 정책은 다음: 활성화가 요구됨(required), 활성화가 선호됨(preferred) 또는 활성화가 필요하지 않음(not needed) 중 하나일 수 있다. 사용자 평면 무결성 보호 정책은 다음: 활성화가 요구됨(required), 활성화가 선호됨(preferred) 또는 활성화가 필요하지 않음(not required) 중 하나일 수도 있다.
구체적으로, 타깃 액세스 네트워크 디바이스는 모든 단말 디바이스에 적용 가능한 단 하나의 사용자 평면 보안 정책을 미리 구성한 다음, 사용자 평면 보안 정책을 매핑하여 E-RAB 그래뉼래러티에서 N개의 사용자 평면 보안 정책 021-2를 획득할 수 있다. 이 구현에서, 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책을 구성하는 것의 복잡성을 감소시킬 수 있다. 또한 이동성 관리 엔티티(예를 들어, MME)는 사용자 평면 보안 정책에 대한 판정을 수행할 때 더 미세한 그래뉼래러티를 가질 수 있으므로, 일부 E-RAB에 대응하는 사용자 평면 보안 정책들이 상이하지만 다른 E-RAB에 대응하는 사용자 평면 보안 정책은 동일할 때, MME에 의해 반환되는 사용자 평면 보안 정책의 수량이 감소된다.
또한 사용자 평면 보안 정책 021은 다른 디바이스로부터 타깃 액세스 네트워크 디바이스에 의해 획득된 사용자 평면 보안 정책 021-3일 수 있다.
가능한 구현에서, 소스 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 때, 타깃 액세스 네트워크 디바이스와 소스 액세스 네트워크 디바이스 간의 시그널링은 사용자 평면 보안 정책 021-3을 운반할 수 있다. 이 경우, 사용자 평면 보안 정책 021은 타깃 액세스 네트워크 디바이스가 소스 액세스 네트워크 디바이스로부터 수신한 사용자 평면 보안 정책 021-3일 수 있다.
단계(203b): 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청(path switch request) 031을 이동성 관리 엔티티에 송신한다. 이에 따라, 이동성 관리 엔티티는 타깃 액세스 네트워크 디바이스로부터, 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 수신한다.
사용자 평면 보안 정책 021은 단계(203a)의 구현 중 어느 하나에서 결정된 사용자 보안 정책일 수 있다. 예를 들어, 사용자 평면 보안 정책 021은 사용자 평면 보안 정책 021-1, 사용자 평면 보안 정책 021-2 또는 사용자 평면 보안 정책 021-3일 수 있다.
선택적 구현에서, 경로 전환 요청 031은 경로 전환 요청 031-1이고, 경로 전환 요청 031-1은 사용자 평면 보안 정책 021을 운반한다. 예를 들어, 사용자 평면 보안 정책 021은 단말 디바이스 그래뉼래러티의 보안 정책이며, 하나의 단말 디바이스는 하나의 사용자 평면 보안 정책에 대응한다. 이 경우, 사용자 평면 보안 정책 021 이외에, 경로 전환 요청 031은 단말 디바이스의 식별자(예를 들어, eNB UE S1AP ID 또는 MME UE S1AP ID)를 더 운반할 수 있다.
다른 선택적 구현에서, 경로 전환 요청 031은 경로 전환 요청 031-2이고, 경로 전환 요청 031-2는 E-RAB 그래뉼래러티에서 N개의 사용자 평면 보안 정책 021 및 N개의 E-RAB의 식별자를 운반하며, N개의 E-RAB의 식별자의 각 식별자는 N개의 사용자 평면 보안 정책 021 중 하나에 대응한다. 구체적으로, 타깃 액세스 네트워크 디바이스는 E-RAB의 식별자와 E-RAB에 대응하는 사용자 평면 보안 정책 모두를 경로 전환 요청 031-2에 추가하므로, E-RAB의 식별자와 E-RAB에 대응하는 사용자 평면 보안 정책 모두가 이동성 관리 엔티티에 송신될 수 있다. 이에 따라, 이동성 관리 엔티티가 E-RAB의 식별자와 사용자 평면 보안 정책을 모두 운반하는 경로 전환 요청 031-2를 수신할 때, 이동성 관리 엔티티는 사용자 평면 보안 정책이 적용 가능한 E-RAB를 알 수 있다. 또한 경로 전환 요청 031-2는 단말 디바이스의 식별자(예를 들어, eNB UE S1AP ID 또는 MME UE S1AP ID)를 추가로 운반하여, 하나 이상의 E- RAB에 대응하는 단말 디바이스를 지시할 수 있다.
경로 전환 요청 031-2에서 운반된 사용자 보안 정책 021이 타깃 액세스 네트워크 디바이스에 의해 구성된 사용자 평면 보안 정책 021-1이면, 경로 전환 요청 031-2에서 운반된 N개의 사용자 평면 보안 정책 021-1은 동일하거나 상이할 수 있다.
예를 들어, 경로 전환 요청 031-2가 복수의 사용자 평면 보안 정책 021-1을 운반하는 구현은 구체적으로 다음과 같다: {E-RAB 1: 사용자 평면 보안 정책 021-1-1}, {E- RAB 2: 사용자 평면 보안 정책 021-1-2} 및 {E-RAB 3: 사용자 평면 보안 정책 021-1-3}. 사용자 평면 보안 정책 021-1-1의 콘텐츠, 사용자 평면 보안 정책 021-1-2의 콘텐츠 및 사용자 평면 보안 정책 021-1-3의 콘텐츠는 동일하거나 상이할 수 있다.
그러나 경로 전환 요청 031-2에서 운반된 사용자 보안 정책 021이, 타깃 액세스 네트워크 디바이스에 의해 미리 구성되면서 또한 모든 단말 디바이스에 적용 가능한 사용자 평면 보안 정책을 매핑하여 획득된 복수의 사용자 평면 보안 정책 021-2이면, 경로 전환 요청 031-2에서 운반되는 모든 N개의 사용자 평면 보안 정책 021-2의 콘텐츠는 동일하다.
예를 들어, 경로 전환 요청 031-2가 복수의 사용자 평면 보안 정책 021-2를 운반하는 구현은 구체적으로 다음과 같다: {E-RAB 1: 사용자 평면 보안 정책 021-2}, {E-RAB 2 : 사용자 평면 보안 정책 021-2} 및 {E-RAB 3: 사용자 평면 보안 정책 021-2}. 사용자 평면 보안 정책 021-2의 콘텐츠, 사용자 평면 보안 정책 021-2의 콘텐츠 및 사용자 평면 보안 정책 021-2의 콘텐츠는 동일하다.
이 구현에서, 타깃 액세스 네트워크 디바이스는 단말 디바이스에 대응하는 각각의 E-RAB에 대해 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지를 판정할 수 있다. 이를 통해 사용자 평면 보안 정책 및 사용자 평면 보안 활성화 상태를 세밀하게 관리할 수 있다.
단계(203c): 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 이동성 관리 엔티티에 송신한다. 이에 따라, 이동성 관리 엔티티는 타깃 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 수신한다.
본 실시예에서, 미리 설정된 조건이 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하는 것을 포함하면, 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 이동성 관리 엔티티에 송신한다.
미리 설정된 조건이 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는 것이면, 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 또는 타깃 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않을 때, 타깃 액세스 네트워크 디바이스는 사용자 평면 보호 정책을 운반하지 않는 경로 전환 요청 032를 이동성 관리 엔티티에 송신한다.
단계(203d): 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 이동성 관리 엔티티에 송신한다. 이에 따라, 이동성 관리 엔티티는 타깃 액세스 네트워크 디바이스로부터, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 수신한다.
사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033은 지시 정보 011을 운반한다.
종래 기술에서는 타깃 액세스 네트워크 디바이스가 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신했는지만 판정했다. 사용자 평면 보안 정책이 수신되면, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 이동성 관리 엔티티에 송신한다. 그렇지 않으면, 타깃 액세스 네트워크 디바이스는 이동성 관리 엔티티와 상호 작용하는 동안 사용자 평면 보안 정책을 추가할 수 없다. 종래 기술과 비교하여, 본 출원에서는 지시 정보 011에 기반하여 타깃 액세스 네트워크 디바이스에 의해 판정을 수행하는 로직이 추가되므로, 타깃 액세스 네트워크 디바이스는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 때만 사용자 평면 보안 정책을 이동성 관리 엔티티에 송신한다. 이러한 방식으로, 이동성 관리 엔티티에 의해 반환되는 업데이트된 사용자 평면 보안 정책이 타깃 액세스 네트워크 디바이스에 적용 가능하다. 구체적으로, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 사용하여, 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화 또는 비활성할 수 있다. 그렇지 않고, 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않으면, 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책을 획득할 수 있더라도, 타깃 액세스 네트워크 디바이스는 단말 디바이스 디바이스에 대한 사용자 평면 암호화 보호 또는 사용자 평면 무결성 보호를 활성화할 수 없다. 따라서 액세스 네트워크 디바이스가 사용할 수 없는 정보 엘리먼트를 수신할 확률이 감소된다.
단계(204): 이동성 관리 엔티티가 경로 전환 요청이 사용자 평면 보안 정책을 운반하는지를 판정한다.
경로 전환 요청은 경로 전환 요청 031, 경로 전환 요청 032, 경로 전환 요청 033 중 어느 하나일 수 있다.
선택적 구현에서, 경로 전환 요청이 사용자 평면 보안 정책을 운반하지 않으면, 예를 들어 경로 전환 요청이 경로 전환 요청 032이면, 이동성 관리 엔티티는 단계(205a)를 수행하고; 또는 경로 전환 요청이 사용자 평면 보안 정책을 운반하면, 예를 들어 경로 전환 요청이 경로 전환 요청 031이면, 이동성 관리 엔티티는 단계(205b)를 수행한다.
다른 선택적 구현에서, 경로 전환 요청이 사용자 평면 보안 정책을 운반하지 않지만 사용자 평면 보안 정책을 운반하지 않는 전환 요청이 지시 정보 011을 운반하면, 즉 이동성 관리 엔티티가 경로 전환 요청 033을 수신하면, 이동성 관리 엔티티는 지시 정보 011을 이동성 관리 엔티티 상의 지시 정보 012와 추가로 비교한다. 이동성 관리 엔티티 상의 지시 정보 012가 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하면, 이동성 관리 엔티티는 지시 정보 012 및 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043(도면에 도시되지 않음)을 타깃 액세스 네트워크 디바이스에 송신한다. 지시 정보 011이 이동성 관리 엔티티 상의 지시 정보 012와 매칭되면, 이동성 관리 엔티티는 단계(205a)를 수행한다. 이 구현에서, 소스 액세스 네트워크 디바이스가 악의적이면, 소스 액세스 네트워크 디바이스는 지시 정보 011을 악의적으로 위조하여 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시하게 할 수 있다. 결과적으로, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 이동성 관리 엔티티에 송신할 수 없으며, 단말 디바이스에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 없다. 이로 인해 성능 저하 공격이 발생한다. 따라서 사용자 평면 보안 정책을 이동성 관리 디바이스에 송신하지 않기로 결정한 후, 타깃 액세스 네트워크 디바이스는 지시 정보 011을 추가적으로 송신하므로, 이동성 관리 엔티티가 지시 정보 011이 위조되었는지를 판정할 수 있다. 지시 정보 011이 위조된 것으로 결정한 후, 이동성 관리 엔티티는 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 송신한다. 이것은 성능 저하 공격을 피할 수 있다.
지시 정보 012는 단말 디바이스로부터 오고, 단말 디바이스가 초기에 네트워크에 어태치될 때 단말 디바이스에 의해 이동성 관리 엔티티에 제공될 수 있다. 사용자 평면 보안 정책 023에 대한 관련 설명은 단계(205b)의 설명을 참조한다. 자세한 내용은 여기에서 설명하지 않는다.
또한 타깃 액세스 네트워크 디바이스는 추가로, 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 023을 저장한다. 사용자 평면 보안 정책(예를 들어, 사용자 평면 보안 정책 023')이 단말 디바이스의 콘텍스트에 저장되어 있으면, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 023을 사용하여 단말 디바이스의 콘텍스트에 저장된 사용자 평면 보안 정책 023'을 업데이트한다는 것을 이해해야 한다. 사용자 평면 보안 정책이 단말 디바이스의 콘텍스트에 저장되어 있지 않으면, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 023을 직접 저장한다.
단계(205a): 이동성 관리 엔티티가 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답(path switch request acknowledge) 042를 타깃 액세스 네트워크 디바이스에 송신한다. 이에 따라, 타깃 액세스 네트워크 디바이스는 이동성 관리 엔티티로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 042를 수신한다.
종래 기술에서 이동성 관리 엔티티가 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청을 수신한 후, 이동성 관리 엔티티는 4G 네트워크에서 단말 디바이스와 액세스 네트워크 디바이스 간의 사용자 평면 무결성 보호를 활성화하기 위해 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 송신한다. 이 경우, 타깃 액세스 네트워크 디바이스와 단말 디바이스는 사용자 평면 보안 정책을 사용하지 못할 수 있다.
그러나 본 실시예에서, 전술한 단계에서, 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 타깃 액세스 네트워크 디바이스는 단계(203a)의 구현 중 어느 하나에서 사용자 평면 보안 정책 021을 결정하고, 사용자 평면 보안 정책 021을 경로 전환 요청에 추가하여 사용자 평면 보안 정책 021을 이동성 관리 엔티티에 송신한다. 따라서 지시 정보 011이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시하면, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 이동성 관리 엔티티에 송신하지 않으며, 이에 따라, 이동성 관리 엔티티는 타깃 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신할 수 없다. 이 경우, 단말 디바이스는 온디맨드 사용자 평면 보안 보호를 지원하지 않으며, 사용자 평면 보안 정책이 타깃 액세스 네트워크 디바이스에 제공되더라도, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책을 사용하여 단말 디바이스에 대한 사용자 평면 무결성 보호를 활성화할 수 없다고 추론할 수 있다. 따라서 이동성 관리 엔티티는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 042를 수신할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 액세스 네트워크 디바이스에 송신하도록 즉, 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 제공하지 않도록 구성된다. 따라서 타깃 액세스 네트워크 디바이스가 사용할 수 없는 정보 엘리먼트를 수신할 확률이 감소되고, 타깃 액세스 네트워크 디바이스와 이동성 관리 엔티티 사이의 데이터 전송의 복잡성이 감소된다.
단계(205b): 이동성 관리 엔티티가 사용자 평면 보안 정책 021이 이동성 관리 엔티티 상의 사용자 보안 정책과 일치하는지 여부에 기반하여, 사용자 평면 보안 정책 022를 운반하는 경로 전환 응답 041을 송신할지를 판정한다.
구체적으로, 사용자 평면 보안 정책 021이 이동성 관리 엔티티 상의 사용자 보안 정책과 일치하면, 이동성 관리 엔티티는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 액세스 네트워크 디바이스에 송신한다.
사용자 평면 보안 정책 021이 이동성 관리 엔티티 상의 사용자 보안 정책과 일치하지 않으면, 이동성 관리 엔티티는 사용자 평면 보안 정책 022를 운반하는 경로 전환 응답 041을 타깃 액세스 네트워크 디바이스에 송신한다. 그런 다음 타깃 액세스 네트워크 디바이스는 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 022를 추가로 저장한다. 사용자 평면 보안 정책(예를 들어, 사용자 평면 보안 정책 021)이 단말 디바이스의 콘텍스트에 저장되어 있으면, 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책 022를 사용하여 단말 디바이스의 콘텍스트에 저장된 사용자 평면 보안 정책 021을 업데이트한다는 것을 이해해야 한다. 사용자 평면 보안 정책이 단말 디바이스의 콘텍스트에 저장되어 있지 않으면, 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 022를 직접 저장한다.
사용자 평면 보안 정책 022는 홈 가입자 서버(home subscriber server, HSS)에 의해 획득된 사용자 평면 보안 정책에 기반하여 획득될 수 있거나, 이동성 관리 엔티티에 미리 구성된 사용자 평면 보안 정책에 기반하여 획득될 수 있다.
선택적으로, HSS로부터 이동성 관리 엔티티에 의해 획득되거나 이동성 관리 엔티티에 미리 구성된 사용자 평면 보안 정책은, 액세스 포인트 네임(access point name, APN) 그래뉼래러티에 있다. APN 그래뉼래러티의 사용자 평면 보안 정책을 E-RAB 그래뉼래러티의 사용자 평면 보안 정책에 매핑한 후, 이동성 관리 엔티티는 E-RAB 그래뉼래러티의 사용자 평면 보안 정책 022를 획득한다.
선택적으로, 단계(203b)의 경로 전환 요청 031이 경로 전환 요청 031-1이면, 경로 전환 요청 031-1은 사용자 평면 보안 정책 021을 운반하고, 사용자 평면 보안 정책 021은 단말 디바이스 그래뉼래러티의 보안 정책이며, 이동성 관리 엔티티는 사용자 평면 보안 정책 021을 이동성 관리 엔티티 상의 단말 디바이스 그래뉼래러티의 사용자 평면 보안 정책과 비교한다. 사용자 평면 보안 정책 021이 이동성 관리 엔티티 상의 단말 디바이스 그래뉼래러티의 사용자 보안 정책과 일치하면, 이동성 관리 엔티티는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 액세스 네트워크 디바이스에 송신한다. 사용자 평면 보안 정책 021이 이동성 관리 엔티티 상의 단말 디바이스 그래뉼래러티의 사용자 보안 정책과 일치하지 않으면, 이동성 관리 엔티티는 사용자 평면 보안 정책을 운반하는 경로 전환 응답 041을 타깃 액세스 네트워크 디바이스에 송신한다. 이 경우, 사용자 평면 보안 정책 022는 단말 디바이스 그래뉼래러티의 보안 정책이다.
특히, 단계(205a)에서 설명된 경우에, 이동성 관리 엔티티는 단말 디바이스에 대응하는 모든 E-RAB에 대한 사용자 평면 보안 정책 022를 획득한다. 구체적으로, 이동성 관리 엔티티는 단말 디바이스의 콘텍스트로부터 단말 디바이스에 대응하는 모든 E-RAB의 식별자를 획득하고, E-RAB들의 식별자들 각각에 기반하여 대응하는 APN을 획득한 다음, APN에 대응하는 사용자 평면 보안 정책에 따라, 각 E-RAB에 대응하는 사용자 평면 보안 정책 022를 획득한다.
선택적으로, 단계(203b)에서의 경로 전환 요청이 경로 전환 요청 031-2이고, 경로 전환 요청 031-2가 E-RAB 그래뉼래러티에서 N개의 사용자 평면 보안 정책 021을 운반하면, 각 사용자 평면 보안 정책 021은 E-RAB 그래뉼래러티의 정책이며, 이동성 관리 엔티티는 각 E-RAB에 대응하는 사용자 평면 보안 정책에 대한 비교를 수행한다. 각 E-RAB에 대응하는 사용자 평면 보안 정책 021이 이동성 관리 엔티티 상의 대응하는 E-RAB에 대응하는 사용자 보안 정책과 일치하면, 이동성 관리 엔티티는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 액세스 네트워크 디바이스에 송신한다. E-RAB에 대응하는 사용자 평면 보안 정책 021이 이동성 관리 엔티티 상의 동일한 E-RAB에 대응하는 사용자 보안 정책과 일치하지 않으면, 이동성 관리 엔티티는 사용자 평면 보안 정책 022를 운반하는 경로 전환 응답 041을 타깃 액세스 네트워크 디바이스에 송신한다. 사용자 평면 보안 정책 022는 E-RAB 그래뉼래러티의 보안 정책이고, 사용자 평면 보안 정책 022는 사용자 평면 보안 정책 021과 일치하지 않는 보안 정책이다. 이러한 구현에서, 이동성 관리 엔티티 상의 사용자 평면 보안 정책은 복수의 사용자 평면 보안 정책 021 중 일부 또는 전부와 일치하지 않을 수 있다. 이것은 여기서 특별히 제한되지 않는다. 선택적으로, 사용자 평면 보안 정책 022를 운반하는 경로 전환 응답은 추가로, 사용자 평면 보안 정책 022에 대응하는 E-RAB의 식별자를 운반할 수 있다.
또한 타깃 액세스 네트워크 디바이스는 사용자 평면 보안 정책 022에 따라 단말 디바이스를 재활성화하고, 구체적으로 사용자 평면 보안 정책 022에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지를 판정한다. 자세한 내용은 도 3a 및 도 3b에 대응하는 다음 실시예의 단계(309b) 내지 단계(312)의 관련 설명을 참조한다. 자세한 내용은 여기에서 설명하지 않는다.
이 실시예에서, 타깃 액세스 네트워크 디바이스는 지시 정보 011에 기반하여 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있고, 타깃 액세스 네트워크 디바이스는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 때만, 사용자 평면 보안 정책을 이동성 관리 엔티티에 송신한다. 이는 다음과 같은 경우: 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하지 않고 이동성 관리 엔티티가 타깃 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 이동성 관리 엔티티는 사용자 평면 보안 정책을 타깃 액세스 네트워크 디바이스에 송신하며, 결과적으로 타깃 액세스 네트워크 디바이스가 사용자 평면 보안 정책을 수신하더라도, 타깃 액세스 네트워크 디바이스는 단말 디바이스에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 없는 경우를 방지한다. 따라서 이는 이동성 관리 엔티티가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 타깃 액세스 네트워크 디바이스에 송신할 가능성을 감소시키는 데 도움이 되고, 따라서 전송 복잡성을 감소시키는 데 도움이 된다.
도 2에 대응하는 실시예에서 설명한 보안 정책 처리 방법은 다음 프로세스: 핸드오버(Handover), RRC 연결 재개(RRC Connection Resume), RRC 연결 재구축(RRC Connection Reestablishment) 프로세스 중 어느 하나에 적용될 수 있다. 도 3a 및 도 3b에 도시된 핸드오버 프로세스는 추가 설명을 위해 아래의 예로서 사용된다. 타깃 eNB는 전술한 타깃 액세스 네트워크 디바이스의 구현이고, 소스 eNB는 전술한 소스 액세스 네트워크 디바이스의 구현이며, MME는 전술한 이동성 관리 엔티티의 구현이고, HSS는 전술한 홈 가입자 서버의 구현이다. 또한 타깃 eNB는 업그레이드된 eNB(구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하는 eNB)이고, 소스 eNB는 업그레이드되지 않은 eNB(구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 eNB)라고 가정한다. 전술한 디바이스는 다음 단계를 수행한다.
단계(301): 소스 eNB가 핸드오버 요청(handover request)을 타깃 eNB에 송신한다. 이에 따라, 타깃 eNB는 소스 eNB로부터 핸드오버 요청을 수신한다.
핸드오버 요청은 핸드오버 시나리오에서 메시지 001의 구현이다.
핸드오버 요청은 지시 정보 011을 운반하고 사용자 평면 보안 정책을 운반하지 않는다. 지시 정보 011은 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 구체적으로, 지시 정보 011은 UE가 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 지원하는지 여부를 지시한다. UE는 소스 eNB에서 타깃 eNB로 핸드오버될 UE이다. 또한 지시 정보 011은 UE 진화된 패킷 시스템 보안 능력(UE evolved packet system security capability, UE EPS security capability)에서 운반되며, UE 진화된 패킷 시스템 보안 능력에서 예약된 비트, 예를 들어, EEA7 또는 EIA7로 지시된다. 구체적으로, 지시 정보 011에 대한 설명은 단계(201)의 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
단계(302): 타깃 eNB가 사용자 평면 보안 활성화 상태를 결정하고, 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 활성화되는지 여부를 지시한다.
사용자 평면 보안 활성화 상태는 암호화 활성화 상태 및/또는 무결성 활성화 상태를 포함하며, 암호화 활성화 상태는 사용자 평면 암호화 보호가 활성화되는지 여부를 지시하고, 무결성 활성화 상태는 사용자 평면 무결성 보호가 활성화되는지 여부를 지시한다.
또한 사용자 평면 보안 활성화 상태는 데이터 무선 베어러(data radio bearer, DRB) 그래뉼래러티에 있다. 일반적으로 하나의 UE는 하나 이상의 E-RAB에 대응하며, 하나의 E-RAB은 하나 이상의 DRB에 매핑될 수 있다. 따라서 타깃 eNB는 UE에 대응하는 각 DRB에 대해 사용자 평면 암호화 보호를 활성화할지 및/또는 사용자 평면 무결성 보호를 활성화할지를 판정해야 한다.
타깃 eNB에 의해 수신된 핸드오버 요청이 사용자 보안 정책을 운반하지 않기 때문에, 타깃 액세스 네트워크 디바이스는 다음 방식 중 어느 하나로 UE에 대한 사용자 평면 보안 활성화 상태를 결정할 수 있다.
방식 1: 타깃 eNB는 기본 방식(업그레이드되지 않은 방식으로도 이해될 수 있음)으로 UE에 대한 사용자 평면 보안 활성화 상태를 결정할 수 있다. 구체적으로, 사용자 평면 암호화 보호는 항상 활성화되지만 사용자 평면 무결성 보호는 활성화되지 않는다. 구체적으로, UE의 모든 DRB에 대응하는 암호화 활성화 상태는 활성화되고, DRB에 대응하는 무결성 활성화 상태는 활성화되지 않는다.
방식 2: 사용자 평면 보안 정책이 타깃 eNB에 미리 구성되어 있으며, 미리 구성된 사용자 평면 보안 정책은 모든 UE에 적용 가능한 정책일 수 있다. 타깃 eNB가 지시 정보 011에 기반하여 UE가 온디맨드 사용자 평면 보안 보호를 지원한다고 결정하면, 타깃 eNB는 미리 구성된 사용자 평면 보안 정책에 따라 사용자 평면 보안 활성화 상태를 결정한다.
구체적으로, 사용자 평면 암호화 보호 정책이 "요구됨"이면, 타깃 eNB는 UE의 모든 DRB에 대응하는 암호화 활성화 상태가 활성화되는 것으로 결정한다. 사용자 평면 암호화 보호 정책이 "선호됨"이면, 타깃 eNB는 UE의 모든 DRB에 대응하는 암호화 활성화 상태가 활성화되거나 활성화되지 않을 수 있다고 결정한다. 타깃 eNB는 로컬 정책(예를 들어, 타깃 eNB의 작동 상태, 제어 정책 또는 규정 요건)에 따라 결정을 수행할 수 있다. 사용자 평면 암호화 보호 정책이 "필요하지 않음"이면, 타깃 eNB는 UE의 모든 DRB에 대응하는 암호화 활성화 상태가 활성화되지 않는 것으로 결정한다.
이에 따라, 사용자 평면 무결성 보호 정책이 "요구됨"이면, 타깃 eNB는 UE의 모든 DRB에 대응하는 무결성 활성화 상태가 활성화되는 것으로 결정한다. 사용자 평면 무결성 보호 정책이 "선호됨"이면, 타깃 eNB는 UE의 모든 DRB에 대응하는 무결성 활성화 상태가 활성화되거나 활성화되지 않을 수 있다고 결정한다. 타깃 eNB는 로컬 정책(예를 들어, 타깃 eNB의 작동 상태, 제어 정책 또는 규정 요건)에 따라 결정을 수행할 수 있다. 사용자 평면 무결성 보호 정책이 "필요하지 않음"이면, 타깃 eNB는 UE의 모든 DRB에 대응하는 무결성 활성화 상태가 활성화되지 않는 것으로 결정한다.
단계(303): 타깃 eNB가 핸드오버 요청 응답(handover request acknowledge)을 소스 eNB에 송신한다. 이에 따라, 소스 eNB는 타깃 eNB로부터 핸드오버 요청 응답을 수신한다.
핸드오버 요청 응답에는 UE에 송신해야 하는 사용자 평면 보안 활성화 상태가 포함된다. 구체적으로, 핸드오버 요청 응답은 무선 자원 제어(radio resource control, RRC) 재구성(RRC connection reconfiguration)을 포함하며, RRC 재구성은 타깃 eNB에 의해 구성된다. UE의 사용자 평면 보안 활성화 상태는 RRC 재구성에 포함된다. 구체적으로, 타깃 eNB는 사용자 평면 보안 활성화 상태를 RRC 재구성에 캡슐화하고, 핸드오버 요청 응답을 사용하여 RRC 재구성을 소스 eNB에 송신하며, 그런 다음 소스 eNB는 사용자 평면 보안 활성화 상태가 캡슐화된 RRC 재구성을 UE에 포워딩한다.
RRC 재구성은 DRB 구성 정보를 포함한다. DRB 구성 정보는 UE가 DRB에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다. 일반적으로 암호화 비활성화(ciphering disabled) 필드가 DRB 구성 정보에 캡슐화되어 있으면, UE는 DRB에 대한 암호화 보호를 활성화하지 않으며; 또는 암호화 비활성화(ciphering disabled) 필드가 DRB 구성 정보에 캡슐화되어 있지 않으면, UE는 DRB에 대한 암호화 보호를 활성화한다. 무결성 보호(integrity protection) 필드가 DRB 구성 정보에 캡슐화되어 있으면, UE는 DRB에 대한 무결성 보호를 활성화하며; 또는 무결성 보호(integrity protection) 필드가 DRB 구성 정보에 캡슐화되어 있지 않으면, UE는 DRB에 대한 무결성 보호를 활성화하지 않는다.
예를 들어, 타깃 eNB가 UE의 모든 DRB에 대응하는 암호화 활성화 상태가 활성화되고 DRB에 대응하는 무결성 활성화 상태가 활성화되지 않는 것으로 결정할 때, RRC 재구성에는 DRB 구성 정보가 포함되지 않는다.
단계(304): 소스 eNB가 RRC 재구성을 UE에 송신한다. 이에 따라 UE는 소스 eNB로부터 RRC 재구성을 수신한다.
구체적으로, 소스 eNB는 타깃 eNB로부터 수신된 RRC 재구성을 UE에게 포워딩하므로, UE가 RRC 재구성에서 운반된 콘텐츠에 기반하여 RRC 재구성을 수행한다.
선택적 구현에서, RRC 재구성은 타깃 eNB에 의해 UE에 지시된 사용자 평면 보안 활성화 상태를 포함한다. 이는 RRC 재구성이 타깃 eNB에 의해 결정된 DRB 구성 정보를 포함하는 것으로 이해될 수 있다. 이 경우, 타깃 eNB는 UE가 사용자 평면 암호화 보호를 활성화하는 것을 스킵하거나 및/또는 사용자 평면 무결성 보호를 활성화하도록 명시적으로 지시한다.
예를 들어, RRC 재구성에서 운반된 DRB 구성 정보가 암호화 비활성화(ciphering disabled) 필드와 무결성 보호(integrity protection) 필드일 때, 이는 타깃 eNB가 사용자 평면 보안 활성화 상태를 명시적으로 UE에 송신하는 것으로 이해될 수 있다.
다른 선택적인 구현에서, RRC 재구성은 DRB 구성 정보를 포함하지 않는다. 이 경우, 타깃 eNB는 사용자 평면 암호화 보호를 활성화하거나 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 스킵하도록 UE에게 암시적으로 지시한다. 이는 타깃 eNB가 암시적으로 사용자 평면 보안 활성화 상태를 UE에게 송신하는 것으로 이해할 수 있다.
예를 들어, RRC 재구성이 암호화 비활성화(ciphering disabled) 필드 또는 무결성 보호(integrity protection) 필드를 운반하지 않을 때, 이는 타깃 eNB가 UE가 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화하는 것을 스킵하도록 암시적으로 지시하는 것으로 이해될 수 있다
또한 다르게는 다른 구현이 있을 수 있다. 예를 들어, RRC 재구성에 포함된 DRB 구성 정보가 암호화 비활성화(ciphering disabled) 필드만 포함할 때, 이는 타깃 eNB가 UE가 사용자 평면 암호화 보호를 활성화하는 것을 스킵하도록 명시적으로 지시하고, UE가 사용자 평면 무결성 보호를 활성화하는 것을 스킵하도록 암시적으로 지시하는 것으로 이해될 수 있다. 다른 예로, RRC 재구성에 포함된 DRB 구성 정보가 무결성 보호(integrity protection) 필드만을 포함할 때, 이는 타깃 eNB가 UE가 사용자 평면 암호화 보호를 활성화하도록 암시적으로 지시하고, UE가 사용자 평면 무결성 보호를 활성화하도록 명시적으로 지시하는 것으로 이해될 수 있다.
단계(303) 및 단계(304)에서, DRB ID와 같은 UE에 전송될 필요가 있는 다른 구성 정보가 추가로 운반될 수 있음을 이해해야 한다. 본 실시예에서는 예를 하나씩 설명하지 않는다.
단계(305): UE가 RRC 재구성 완료를 타깃 eNB에 송신한다. 이에 따라, 타깃 eNB는 UE로부터 RRC 재구성 완료를 수신한다.
RRC 재구성 완료 메시지는 타깃 eNB에게 UE가 RRC 재구성을 완료하고, UE가 소스 eNB에서 타깃 eNB로 성공적으로 핸드오버되었음을 지시한다. 그런 다음, UE는 타깃 eNB와의 시그널링 상호 작용을 직접 수행할 수 있다.
단계(306): 타깃 eNB는 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정한다.
단계(302) 내지 단계(305)와 단계(306) 사이에는 시간 순서가 없으며, 단계(306)는 단계(301) 이후에 수행될 수 있음을 유의해야 한다. 구체적으로, 소스 eNB로부터 핸드오버 요청을 수신한 후, 타깃 eNB는 핸드오버 요청의 콘텐츠에 기반하여, UE의 사용자 평면 보안 활성화 상태를 결정할 수 있고, 타깃 eNB도 핸드오버 요청에서 운반된 지시 정보 011에 기반하여, UE가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있다.
구체적으로, 타깃 eNB는 지시 정보 011에 기반하여 UE가 온디맨드 사용자 보안 보호를 지원하는지를 판정한다.
선택적으로, 타깃 eNB는 추가로, 타깃 eNB가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있다. 자세한 내용은 단계(202)의 관련 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
타깃 eNB는 UE가 온디맨드 사용자 평면 보안 보호를 지원한다고 결정할 때, 단계(307a)와 단계(307b)를 순차적으로 수행한다. 타깃 eNB는 UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않거나 타깃 eNB가 온디맨드 사용자 평면 보안 보호를 지원하지 않는다고 결정할 때, 단계(307c) 또는 단계(307d)를 수행한다.
단계(307a): 타깃 eNB가 사용자 평면 보안 정책 021을 획득한다.
구체적으로, 타깃 eNB는 다음의 여러 방식으로 사용자 평면 보안 정책 021을 획득할 수 있다.
방식 1: 타깃 eNB가 소스 eNB로부터 사용자 평면 보안 정책을 수신하지 않을 때, 사용자 평면 보안 정책 021은 타깃 액세스 네트워크 디바이스에 의해 구성된 사용자 평면 보안 정책 021-1일 수 있다. 이는 타깃 eNB가 사용자 평면 보안 정책 021-1을 구성하는 것으로도 이해될 수 있다.
이 구현에서, 타깃 eNB가 소스 eNB로부터 사용자 평면 보안 정책을 수신하지 않기 때문에, 타깃 eNB는 기본 방식(업그레이드되지 않은 방식으로 이해될 수 있음)으로 UE에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 있다. 구체적으로, 사용자 평면 암호화 보호는 활성화되지만 사용자 평면 무결성 보호는 활성화되지 않는다. 타깃 eNB가 구성한 사용자 평면 보안 정책 021-1은 UE의 현재 사용자 평면 보안 활성화 상태, 예를 들어 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않은 상태와 매칭되야 한다. 예를 들어, 타깃 eNB가 구성한 사용자 평면 보안 정책 021-1은 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않은 사용자 평면 보안 활성화 상태와 매칭되는 정책이다. 구체적으로, 사용자 평면 보안 정책 021-1은 사용자 평면 암호화 보호 정책 및 사용자 평면 무결성 보호 정책을 포함하고, 사용자 평면 암호화 보호 정책은 활성화가 요구됨(required) 또는 선호됨(preferred)을 지시하고, 사용자 평면 무결성 보호 정책은 활성화가 필요하지 않음(not required) 또는 선호됨(preferred)을 지시한다.
예를 들어, 사용자 평면 보안 정책이 {사용자 평면 암호화 보호 정책, 사용자 평면 무결성 보호 정책}으로 표현되면, 사용자 평면 보안 정책 021-1은 구체적으로 다음 방식: 활성화가 요구됨(required), 활성화가 필요하지 않음(not needed)}; {활성화가 요구됨(required), 활성화가 선호됨(preferred)}; {활성화가 선호됨(preferred), 활성화가 필요하지 않음(not needed)}; 또는 {활성화가 선호됨(preferred), 활성화가 선호됨(preferred)} 중 어느 하나의 방식으로 구현될 수 있다.
또한 사용자 평면 보안 정책 021-1은 E-RAB 그래뉼래러티의 보안 정책이다. 구체적으로, 타깃 eNB는 E-RAB의 식별자를 획득하고, 후속 프로세스에서 사용자 평면 보안 정책 021과 함께 E-RAB의 식별자를 MME에 송신한다. 자세한 내용은 단계(203a) 및 단계(203b)의 관련 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
방식 2: 타깃 eNB가 소스 eNB로부터 사용자 평면 보안 정책을 수신하지 않을 때, 사용자 평면 보안 정책 021은 타깃 액세스 네트워크 디바이스에 미리 구성된 사용자 평면 보안 정책 021-2일 수 있다. 이는 타깃 eNB가 미리 설정된 보안 정책에 따라 사용자 평면 보안 정책 021-2를 결정하는 것으로 이해될 수 있다.
이 구현에서, 사용자 평면 보안 정책은 타깃 eNB에 미리 구성되며, 미리 구성된 사용자 평면 보안 정책은 모든 UE에 적용 가능한 정책일 수 있다. 미리 구성된 사용자 평면 보안 정책은 암호화 보호 정책 및/또는 무결성 보호 정책을 포함할 수 있다. 암호화 보호 정책은 다음: 활성화가 요구됨(required), 활성화가 선호됨(preferred) 또는 활성화가 필요하지 않음(not needed) 중 하나일 수 있다. 무결성 보호 정책은 다음: 활성화가 요구됨(required), 활성화가 선호됨(preferred) 또는 활성화가 필요하지 않음(not required) 중 하나일 수도 있다.
예를 들어, 사용자 평면 보안 정책이 {사용자 평면 암호화 보호 정책, 사용자 평면 무결성 보호 정책}으로 표현된다면, 사용자 평면 보안 정책 021-2는 구체적으로 다음 방식: {활성화가 요구됨(required), 활성화가 요구됨(required)}, {활성화가 요구됨(required), 활성화가 선호됨(preferred)}; {활성화가 요구됨(required), 활성화가 필요하지 않음(not needed)}; {활성화가 선호됨(preferred), 활성화가 요구됨(required)}; {활성화가 선호됨(preferred), 활성화가 선호됨(preferred)}; {활성화가 선호됨(preferred), 활성화가 필요하지 않음(not needed)}; {활성화가 필요하지 않음(not needed), 활성화가 요구됨(required)}; {활성화가 필요하지 않음(not needed), 활성화가 선호됨(preferred)}; 또는 {활성화가 필요하지 않음(not needed), 활성화가 필요하지 않음(not needed)} 중 어느 하나의 방식으로 구현될 수 있다.
자세한 내용은 단계(203a) 및 단계(203b)의 관련 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
단계(307b): 타깃 eNB가 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청(path switch request) 031을 MME에 송신한다. 이에 따라, MME는 타깃 eNB로부터 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 수신한다.
사용자 평면 보안 정책 021은 단계(307a)의 구현 중 어느 하나에서 결정된 사용자 보안 정책일 수 있다. 예를 들어, 사용자 평면 보안 정책 021은 사용자 평면 보안 정책 021-1 또는 사용자 평면 보안 정책 021-2일 수 있다.
자세한 내용은 단계(203b)의 관련 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
단계(307c): 타깃 eNB가 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 MME에 송신한다. 이에 따라, MME는 타깃 eNB로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 수신한다.
경로 전환 요청 032는 지시 정보 011을 운반하지 않는다.
단계(307d): 타깃 eNB는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 MME에 송신한다. 이에 따라, MME는 타깃 eNB로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 수신한다.
경로 전환 요청 033은 지시 정보 011을 운반한다. 지시 정보 011은 타깃 eNB가 소스 eNB로부터 획득한 지시 정보 011일 수 있다.
단계(308): MME가 경로 전환 요청이 사용자 평면 보안 정책을 운반하는지를 판정한다.
경로 전환 요청은 경로 전환 요청 031, 경로 전환 요청 032, 경로 전환 요청 033 중 어느 하나일 수 있다.
선택적 구현에서, 경로 전환 요청이 사용자 평면 보안 정책을 운반하지 않으면, 예를 들어 경로 전환 요청이 경로 전환 요청 032이면, MME는 단계(309a)를 수행하고; 또는 경로 전환 요청이 사용자 평면 보안 정책을 운반하면, 예를 들어 경로 전환 요청이 경로 전환 요청 031이면, MME는 단계(309b)를 수행한다.
또 다른 선택적 구현에서, 경로 전환 요청이 사용자 평면 보안 정책을 운반하지 않지만 사용자 평면 보안 정책을 운반하지 않는 전환 요청이 지시 정보 011을 운반하면, 즉 MME가 경로 전환 요청 033을 수신하면, MME는 추가로, 지시 정보 011을 MME 상의 지시 정보 012와 비교한다. MME 상의 지시 정보 012가 UE가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하면, MME는 지시 정보 012와 사용자 평면 보안 정책 023을 운반하는 경로 전환 요청 043(도면에 도시되지 않음)을 타깃 eNB에 송신한다. 지시 정보 011이 MME 상의 지시 정보 012와 일치하면, MME는 사용자 평면 보안 정책 또는 지시 정보를 운반하지 않는 경로 전환 응답 045(도면에 지시되지 않음)를 타깃 eNB에 송신한다. 이 구현에서, 소스 eNB가 악의적이면, 소스 eNB는 지시 정보 011을 악의적으로 위조하여, 지시 정보 011이 UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시하게 할 수 있다. 결과적으로, 타깃 eNB는 사용자 평면 보안 정책을 MME에 송신할 수 없으며, UE에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 없다. 이로 인해 성능 저하 공격이 발생한다. 따라서 타깃 eNB는 사용자 평면 보안 정책을 이동성 관리 디바이스에 송신하지 않기로 결정한 후, 지시 정보 011을 추가적으로 송신하므로, MME가 지시 정보 011이 위조되었는지를 판정할 수 있다. 지시 정보 011이 위조된 것으로 결정한 후, MME는 사용자 평면 보안 정책을 타깃 eNB에 송신한다. 이것은 성능 저하 공격을 피할 수 있다.
지시 정보 012는 UE로부터 오고, UE가 초기에 네트워크에 어태치될 때 UE에 의해 MME에 제공될 수 있다.
또한 타깃 eNB는 UE의 콘텍스트에 사용자 평면 보안 정책 023을 추가로 저장한다. 사용자 평면 보안 정책(예를 들어, 사용자 평면 보안 정책 023')이 UE의 콘텍스트에 저장되어 있으면, 타깃 eNB는 사용자 평면 보안 정책 023을 사용하여 UE의 콘텍스트에 저장된 사용자 평면 보안 정책 023'을 업데이트한다는 것을 이해해야 한다. 사용자 평면 보안 정책이 UE의 콘텍스트에 저장되어 있지 않으면, 타깃 eNB는 사용자 평면 보안 정책 023을 직접 저장한다.
단계(309a): MME는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답(path switch request acknowledge) 042를 타깃 eNB에 송신한다. 이에 따라, 타깃 eNB는 MME로부터, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 042를 수신한다.
종래 기술에서 MME는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청을 수신한 후, 4G 네트워크에서 eNB와 UE 간의 사용자 평면 무결성 보호를 활성화하기 위해 사용자 평면 보안 정책을 타깃 eNB에 송신한다. 이 경우, 타깃 eNB와 UE는 사용자 평면 보안 정책을 사용하지 못할 수 있다. 그러나 이 실시예에서, 지시 정보 011이 UE가 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 타깃 eNB는 구성된 또는 미리 구성된 사용자 평면 보안 정책 021을 MME에 송신한다. 따라서 지시 정보 011이 UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시하면, 타깃 eNB는 사용자 평면 보안 정책을 MME에 송신하지 않으며, 이에 따라 MME는 타깃 eNB로부터 사용자 평면 보안 정책을 수신할 수 없음을 알 수 있다. 이 경우, UE는 온디맨드 사용자 평면 보안 보호를 지원하지 않는 것으로 추론할 수 있으며, 사용자 평면 보안 정책이 타깃 eNB에 제공되더라도, 타깃 eNB는 사용자 평면 보안 정책을 사용하여 UE에 대한 사용자 평면 무결성 보호를 활성화할 수 없다. 따라서 MME는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청을 수신할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 eNB에 송신하도록 즉, 사용자 평면 보안 정책을 타깃 eNB에 제공하지 않도록 구성된다. 따라서 타깃 eNB가 사용할 수 없는 정보 엘리먼트를 수신할 확률이 감소되고, 타깃 eNB와 MME 간의 데이터 전송 복잡도가 감소된다.
단계(309b): MME는 사용자 평면 보안 정책 021이 MME 상의 사용자 평면 보안 정책과 일치하는지를 판정한다.
사용자 평면 보안 정책 021과 MME의 사용자 평면 보안 정책이 일치하지 않으면, MME는 단계(310)를 수행한다. 사용자 평면 보안 정책 021이 MME의 사용자 평면 보안 정책과 일치하면, MME는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 eNB에 송신한다.
사용자 평면 보안 정책 022는 홈 가입자 서버(home subscriber server, HSS)로부터 획득된 사용자 평면 보안 정책에 기반하여 획득될 수 있거나, 이동성 관리 엔티티에 미리 구성된 사용자 평면 보안 정책에 기반하여 획득될 수 있다.
예를 들어, UE의 네트워크 액세스 동안, UE는 어태치 요청(attach request)을 MME에 송신하며, 어태치 요청은 UE의 식별자, 예를 들어 국제 모바일 가입자 아이덴티티(international mobile subscriber identity, IMSI)를 운반한다. 그런 다음, MME는 위치 업데이트 요청(update location request)을 사용하여 UE의 식별자를 HSS에 송신하고, HSS는 위치 업데이트 응답(location request acknowledge)을 MME에 송신한다. 위치 업데이트 응답은 UE의 가입 데이터를 운반하고, 가입 데이터는 전술한 사용자 평면 보안 정책을 포함할 수 있다.
선택적 구현에서, 단계(307b)의 경로 전환 요청 031이 사용자 평면 보안 정책 021을 운반하고 사용자 평면 보안 정책 021이 UE 그래뉼래러티의 보안 정책이면, MME는 사용자 평면 보안 정책 021을 MME 상의 UE 그래뉼래러티의 사용자 평면 보안 정책과 비교한다. 이 경우, 사용자 평면 보안 정책 021이 MME 상의 UE 그래뉼래러티의 사용자 보안 정책과 일치하면, MME는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 eNB에 송신한다. 사용자 평면 보안 정책 021이 MME 상의 UE 그래뉼래러티의 사용자 보안 정책과 일치하지 않으면, MME는 단계(310)를 수행한다.
또 다른 선택적 구현에서, 단계(307b)의 경로 전환 요청 031이 하나 이상의 사용자 평면 보안 정책 021을 운반하고 각각의 사용자 평면 보안 정책 021이 E-RAB 그래뉼래러티의 정책이면, MME는 각 E-RAB에 대응하는 사용자 평면 보안 정책에 대한 비교를 수행한다. 각 E-RAB에 대응하는 사용자 평면 보안 정책 021이 MME 상의 대응하는 E-RAB에 대응하는 사용자 보안 정책과 일치하면, MME는 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답을 타깃 eNB에 송신한다. MME는 적어도 하나의 E-RAB에 대응하는 사용자 평면 보안 정책 021이 MME 상의 대응하는 E-RAB에 대응하는 사용자 보안 정책과 일치하지 않으면, 단계(310)를 수행한다.
예를 들어, 단계(307b)에서의 경로 전환 요청 031은 3개의 사용자 평면 보안 정책 021, 예를 들어 사용자 평면 보안 정책 021a, 사용자 평면 보안 정책 021b, 및 사용자 평면 보안 정책 021c를 운반한다고 가정하며, 사용자 평면 보안 정책 021a는 E-RAB 1에 대응하고, 사용자 평면 보안 정책 021b는 E-RAB 2에 대응하며, 사용자 평면 보안 정책 021c는 E-RAB 3에 대응한다. MME에 저장된 사용자 평면 보안 정책이 E-RAB 1에 대응하는 사용자 평면 보안 정책 021d, E-RAB 2에 대응하는 사용자 평면 보안 정책 021b, E-RAB 3에 대응하는 사용자 평면 보안 정책 021c라고 하면, E-RAB 1에 대응하면서 또한 경로 전환 요청에서 운반되는 사용자 평면 보안 정책 021a가, E-RAB 1에 대응하면서 또한 MME에 저장된 사용자 평면 보안 정책 021d와 일치하지 않기 때문에, MME는 사용자 평면 보안 정책 021d를 운반하는 경로 전환 응답을 타깃 eNB로 반환하며, 경로 전환 응답은 추가로 E-RAB 1의 식별자를 운반한다.
단계(310): MME가 사용자 평면 보안 정책 022를 운반하는 경로 전환 응답 041을 타깃 eNB에 송신한다. 이에 따라, 타깃 eNB는 MME로부터, 사용자 평면 보안 정책 022를 운반하는 경로 전환 응답 041을 수신한다.
선택적으로, 단계(307d)에서 MME가 수신한 경로 전환 요청 033이 사용자 평면 보안 정책을 운반하지 않지만, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033이 지시 정보 011을 운반하고, 지시 정보 012는 UE가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하면, MME는 지시 정보 012 및 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043을 타깃 eNB에 송신한다.
단계(311): 타깃 eNB가 UE의 콘텍스트에 사용자 평면 보안 정책 022를 저장한다.
사용자 평면 보안 정책(예를 들어, 사용자 평면 보안 정책 021)이 UE의 콘텍스트에 저장되어 있으면, 타깃 eNB는 사용자 평면 보안 정책 022를 사용하여, UE의 콘텍스트에 저장된 사용자 평면 보안 정책 021를 업데이트한다는 것을 이해해야 한다. 사용자 평면 보안 정책이 UE의 콘텍스트에 저장되어 있지 않으면, 타깃 eNB는 사용자 평면 보안 정책 022를 직접 저장한다.
단계(312): UE의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 022와 매칭되지 않을 때, 타깃 eNB는 사용자 평면 보안 정책 022에 따라 UE에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵한다.
사용자 평면 보안 정책 022는 사용자 평면 암호화 보호 정책과 사용자 평면 무결성 보호 정책을 포함한다.
다음 조건:
UE의 사용자 평면 보안 활성화 상태는 암호화 보호가 활성화되지 않는 것이고 사용자 평면 암호화 보호 정책은 활성화가 요구됨(required)을 지시하는 조건; 또는
UE의 사용자 평면 보안 활성화 상태는 암호화 보호가 활성화되는 것이고, 사용자 평면 암호화 보호 정책은 활성화가 필요하지 않음(not needed)을 지시하는 조건; 또는
UE의 사용자 평면 보안 활성화 상태는 무결성 보호가 활성화되지 않는 것이고, 사용자 평면 무결성 보호 정책은 활성화가 요구됨(required)을 지시하는 조건; 또는
UE의 사용자 평면 보안 활성화 상태는 무결성 보호가 활성화되는 것이고, 사용자 평면 무결성 보호 정책은 활성화가 필요하지 않음(not needed)을 지시하는 조건
중 어느 하나가 충족될 때, UE의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 022와 매칭되지 않는다.
구체적으로, 타깃 eNB가 사용자 평면 보안 정책 022에 따라 UE의 암호화 보호 상태 및/또는 무결성 보호 상태를 활성화 또는 비활성화하는 프로세스는 다음과 같을 수 있다:
사용자 평면 암호화 보호 정책이 활성화가 요구됨(required)을 지시하고 암호화 보호가 UE에 대해 활성화되지 않을 때, 타깃 eNB는 UE에게 사용자 평면 암호화 보호를 활성화하도록 지시한다.
사용자 평면 암호화 보호 정책이 활성화가 필요하지 않음(not needed)을 지시하고 암호화 보호가 UE에 대해 활성화될 때, 타깃 eNB는 UE에게 사용자 평면 보호를 비활성화하도록 지시한다.
사용자 평면 무결성 보호 정책이 활성화가 요구됨(required)을 지시하고 무결성 보호가 UE에 대해 활성화되지 않을 때, 타깃 eNB는 UE에게 사용자 평면 무결성 보호를 활성화하도록 지시한다.
사용자 평면 무결성 보호 정책이 활성화가 필요하지 않음(not needed)을 지시하고 무결성 보호가 UE에 대해 활성화될 때, 타깃 eNB는 UE에게 사용자 평면 보호를 비활성화하도록 지시한다.
타깃 eNB는 다음 두 가지 경우에 타깃 eNB의 상태에 기반하여 UE의 사용자 평면 보안 활성화 상태를 조정할 수 있음을 이해해야 한다:
사용자 평면 암호화 보호 정책이 활성화가 선호됨(preferred)을 지시하고, 암호화 보호가 UE에 대해 활성화되지 않을 때, 타깃 eNB는 UE에게 사용자 평면 암호화 보호를 활성화하거나 사용자 평면 암호화 보호를 활성화하는 것을 스킵하도록 지시한다.
사용자 평면 무결성 보호 정책이 활성화가 선호됨(preferred)을 지시하고, 무결성 보호가 UE에 대해 활성화되지 않을 때, 타깃 eNB는 UE에게 사용자 평면 무결성 보호를 활성화하거나 사용자 평면 무결성 보호를 활성화하는 것을 스킵하도록 지시한다.
이 실시예에서, 타깃 eNB는 지시 정보 011에 기반하여 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있고, 타깃 eNB는 UE가 온디맨드 사용자 평면 보안 보호를 지원할 때에만 사용자 평면 보안 정책을 MME에 송신한다. 이는 다음 경우: UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않고 MME가 타깃 eNB로부터 사용자 평면 보안 정책을 수신하지 않을 때, MME가 사용자 평면 보안 정책을 타깃 eNB에 송신하고 결과적으로, 타깃 eNB는 사용자 평면 보안 정책을 수신하더라도 UE에 대한 온디맨드 사용자 평면 보안 보호를 활성화할 수 없는 경우를 방지할 수 있다. 따라서 이는 eNB에 의해 요구되지 않는 정보 엘리먼트를 MME가 타깃 eNB에 송신할 확률을 감소시켜, 전송 복잡도를 감소시키는 데 도움이 된다.
도 4는 본 출원에서 제공되는 보안 정책 처리 방법의 또 다른 구현을 지시한다. 액세스 네트워크 디바이스 및 이동성 관리 엔티티는 다음 단계를 수행한다.
단계(401): 이동성 관리 엔티티가 지시 정보 013을 획득한다.
이동성 관리 엔티티는 다음의 복수의 구현에서 지시 정보 013을 획득할 수 있다.
가능한 구현에서, 이동성 관리 엔티티는 어태치 프로세스를 통해 단말 디바이스로부터 지시 정보 013을 획득한다. 예를 들어, 단말 디바이스의 네트워크 액세스 동안 단말 디바이스는 어태치 요청(attach request)을 이동성 관리 엔티티에 송신하며, 어태치 요청은 지시 정보 013을 운반한다.
다른 가능한 구현에서, 이동성 관리 엔티티는 트래킹 영역 업데이트 프로세스를 통해 단말 디바이스로부터 지시 정보 013을 획득한다. 예를 들어, 단말 디바이스는 트래킹 영역 업데이트 요청(tracking area update request)을 이동성 관리 엔티티에 송신하며, 트래킹 영역 업데이트 요청은 지시 정보 013을 운반한다.
다른 가능한 구현에서, 이동성 관리 엔티티는 패킷 데이터 네트워크 연결 구축 프로세스를 통해 단말 디바이스로부터 지시 정보 013을 획득한다. 예를 들어, 단말 디바이스는 패킷 데이터 네트워크 연결 요청(PDN connectivity request)을 이동성 관리 엔티티에 송신하며, 패킷 데이터 네트워크 연결 요청은 지시 정보 013을 운반한다. 다르게는, 이동성 관리 엔티티는 어태치 프로세스 또는 트래킹 영역 업데이트 프로세스를 통해 단말 디바이스로부터 지시 정보 013을 획득한 후, 단말 디바이스의 콘텍스트에 지시 정보 013을 저장한다. 패킷 데이터 네트워크 연결 요청을 운반하는 S1 메시지에서의 단말 디바이스의 식별자(예를 들어, eNB UE S1AP ID 또는 MME UE S1AP ID)에 기반하여 단말 디바이스의 콘텍스트를 획득한 후, 이동성 관리 엔티티는 단말 디바이스의 콘텍스트에 저장된 지시 정보 013을 획득한다.
다른 가능한 구현에서, 이동성 관리 엔티티는 경로 전환 요청을 통해 타깃 액세스 네트워크 디바이스로부터 지시 정보 013을 획득한다. 예를 들어, 단말 디바이스에 대한 액세스 네트워크 디바이스가 변경될 때, 구체적으로 핸드오버, 재개 또는 재구축 시나리오 등에서 단말 디바이스가 소스 액세스 네트워크 디바이스에서 타깃 액세스 네트워크 디바이스로 핸드오버될 때, 타깃 액세스 네트워크 디바이스는 경로 전환 요청을 이동성 관리 엔티티에 송신하며, 경로 전환 요청은 지시 정보 013을 운반한다. 다르게는, 이동성 관리 엔티티는 어태치 프로세스, 트래킹 영역 업데이트 프로세스 또는 패킷 데이터 네트워크 연결 구축 프로세스를 통해 단말 디바이스로부터 지시 정보 013을 획득한 후, 단말 디바이스의 콘텍스트에 지시 정보 013을 저장한다. 경로 전환 요청에서의 단말 디바이스의 식별자(예를 들어, eNB UE S1AP ID 또는 MME UE S1AP ID)에 기반하여 단말 디바이스의 콘텍스트를 획득한 후, 이동성 관리 엔티티는 단말 디바이스의 콘텍스트에 저장된 지시 정보 013을 획득한다.
이 실시예에서, 지시 정보 013은 전술한 구현 중 어느 하나에서 이동성 관리 엔티티에 의해 획득될 수 있다. 이것은 여기서 특별히 제한되지 않는다.
지시 정보 013은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 다르게는, 또한 지시 정보 013은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는, 단말 디바이스가 사용자 평면 암호화 보호의 활성화를 지원하는지 여부 및/또는 사용자 평면 무결성 보호를 지원하는지 여부로 이해될 수 있으며, 즉 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면의 활성화가 고정되지 않는다. 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는, 단말 디바이스가 액세스 네트워크 디바이스의 지시 하에서 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호의 활성화/비활성화를 지원하는지 여부로 이해될 수 있다. 여기서 액세스 네트워크 디바이스는 eNB, 예를 들어 이하의 설명에서 언급되는 소스 eNB 또는 타깃 eNB일 수 있다. 지시 정보 013의 복수의 표현은 상호 교환 가능하다는 것을 이해해야 한다. 이하의 실시예에서는 "지시 정보 013은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다"라는 표현을 설명의 예로 사용한다.
구체적으로, 지시 정보 013은 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현될 수 있으며, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시한다. 예를 들어, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 UE 진화된 패킷 시스템 보안 능력(UE EPS security capabilities)이고, 지시 정보 013은 UE 보안 능력에서 예약된 비트, 예를 들어 EEA7 또는 EIA7로 지시될 수 있다. EEA7은 단말 진화된 패킷 시스템 보안 능력에서 8번째 암호화 알고리즘을 위해 예약된 비트를 나타내고, EIA7은 단말 진화된 패킷 시스템 보안 능력에서 8번째 무결성 알고리즘을 위해 예약된 비트를 나타낸다. 이 실시예에서, 이 비트는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시하는 지시를 운반하는 데 사용된다.
본 구현의 지시 정보 013와 전술한 구현의 지시 정보 011은 동일한 지시 정보일 수도 있고 서로 다른 지시 정보일 수도 있다는 점에 유의해야 한다. 그러나 지시 정보 011 및 지시 정보 013은 모두 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다.
액세스 네트워크 디바이스가 업그레이드되었는지 여부(구체적으로, 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부)에 관계없이, 액세스 네트워크 디바이스는 단말 디바이스의 진화된 패킷 시스템 보안 능력(예를 들어, UE 진화된 패킷 시스템 보안 능력)을 식별하고 포워딩할 수 있다. 유사하게, 단말 디바이스가 업그레이드되었는지 여부(구체적으로, 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부)에 관계없이, 단말 디바이스는 단말 디바이스의 진화된 패킷 시스템 보안 능력(예를 들어, UE 진화된 패킷 시스템 보안 능력)을 송신할 수 있다. 따라서 지시 정보 013을 단말 디바이스의 진화된 패킷 시스템 보안 능력에 추가함으로써. 지시 정보 013이 전송 중에 손실되지 않도록 보장할 수 있다. 그러나 종래 기술에서, 재정의된 지시 정보는 단말 디바이스가 온디맨드 사용자 보안 보호를 지원하는지 여부를 지시하며, 재정의된 지시 정보는 업그레이드되지 않은 액세스 네트워크 디바이스(또는 업그레이드되지 않은 단말 디바이스)에 의해 식별될 수 없다. 구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스는 재정의된 지시 정보를 식별할 수 없다. 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스가 재정의된 지시 정보를 수신하면, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스는 재정의된 지시 정보를 폐기하고, 재정의된 지시 정보를 이동성 관리 엔티티 등에 송신할 수 없다. 유사하게, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 단말 디바이스는 재정의된 지시 정보를 식별할 수 없다. 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스가 재정의된 지시 정보를 수신하면, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스는 재정의된 지시 정보를 폐기하고, 재정의된 지시 정보를 이동성 관리 엔티티 등에 송신할 수 없다.
단계(402): 이동성 관리 엔티티가 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정한다.
선택적 구현에서, 지시 정보 013은 경로 전환 요청 034에서 운반되고, 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스는 타깃 액세스 네트워크 디바이스이다. 이 경우, 이동성 관리 엔티티가 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하는 것은 구체적으로 다음과 같을 수 있다: 지시 정보 013이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 경로 전환 요청 034가 사용자 평면 보안 정책을 운반하지 않을 때, 이동성 관리 엔티티는 사용자 평면 보안 보호 024를 운반하는 경로 전환 응답 044를 타깃 액세스 네트워크 디바이스에 송신한다.
다른 선택적인 구현에서, 지시 정보 013은 비액세스 계층(non-access stratum, NAS) 메시지에서 운반되고, 비액세스 계층 메시지는 어태치 요청(attach request), 위치 업데이트 요청(update location request) 등을 포함한다. 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스이다. 이 경우, 이동성 관리 엔티티가 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하는 것은 구체적으로 다음과 같을 수 있다: 지시 정보 013은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 이동성 관리 엔티티는 사용자 평면 보안 정책 024를 소스 액세스 네트워크 디바이스에 송신한다.
다른 선택적 구현에서, 어태치 프로세스 또는 트래킹 영역 업데이트 프로세스를 통해 단말 디바이스로부터 지시 정보 013을 획득한 후, 이동성 관리 엔티티는 단말 디바이스의 콘텍스트에 지시 정보 013을 저장한다. 패킷 데이터 네트워크 연결 요청을 운반하는 S1 메시지에서의 단말 디바이스의 식별자(예를 들어, eNB UE S1AP ID 또는 MME UE S1AP ID)에 기반하여 단말 디바이스의 콘텍스트를 획득한 후, 이동성 관리 엔티티는 단말 디바이스의 콘텍스트에 저장된 지시 정보 013을 획득한다. 이 경우, 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스는 소스 액세스 네트워크 디바이스이다. 이 경우, 이동성 관리 엔티티가 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하는 것은 구체적으로 다음과 같을 수 있다: MME에 저장된 지시 정보 013가 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 이동성 관리 엔티티는 사용자 평면 보안 정책 024를 소스 액세스 네트워크 디바이스에 송신한다.
전술한 여러 구현에서, 이동성 관리 엔티티에 의해 액세스 네트워크 디바이스에 송신된 사용자 평면 보안 정책 024는 홈 가입자 서버(HSS)로부터 올 수 있거나, 이동성 관리 엔티티에 미리 구성될 수 있음에 유의해야 한다.
구체적으로, 지시 정보 013을 획득한 후 그리고 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신하기 전에, 이동성 관리 엔티티는 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신한다. 가입 데이터는 단말 디바이스의 가입 동안 홈 가입자 서버에 저장된 데이터이며, 가입 데이터는 단말 디바이스에 대한 사용자 평면 보안 정책을 포함할 수 있다. 사용자 평면 보안 정책은 가입 동안에 결정될 수 있음을 이해해야 한다. 구체적으로, 가입 동안 단말 디바이스는 온디맨드 사용자 평면 보안 보호를 요구하는 서비스에 가입한다. 다르게는, 가입 데이터는 사용자 평면 보안 정책을 포함하지 않을 수 있다. 이는 가입 동안에 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 요구하는 서비스에 가입하지 않는 것으로 이해될 수 있다.
가능한 구현에서, 가입 데이터가 사용자 평면 보안 정책 024를 포함하고 지시 정보 013이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하면, 이동성 관리 엔티티는 사용자 평면 보안 정책 024를 저장한다. 이 경우, 단계(402)에서 이동성 관리 엔티티에 의해 액세스 네트워크 디바이스(소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)에 송신되는 사용자 평면 보안 정책은, 홈 가입자 서버로 오는 것이면서 또한 이동성 관리 엔티티 상에서 이동성 관리 엔티티에 의해 저장된, 사용자 평면 보안 정책 024일 수 있다.
다른 가능한 구현에서, 사용자 평면 보안 정책은 이동성 관리 엔티티에 미리 구성되고, 가입 데이터는 사용자 평면 보안 정책을 포함하지 않지만 지시 정보 013은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시한다. 이 경우, 이동성 관리 엔티티는 미리 구성된 사용자 평면 보안 정책을 사용자 평면 보안 정책 024으로 사용하고, 사용자 평면 보안 정책 024를 단말 디바이스의 콘텍스트에 저장한다. 이 경우, 단계(402)에서 이동성 관리 엔티티에 의해 액세스 네트워크 디바이스(소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)에 송신되는 사용자 평면 보안 정책은, 이동성 관리 엔티티에 의해 구성되면서 또한 이동성 관리 엔티티 상에서 이동성 관리 엔티티에 의해 저장된 사용자 평면 보안 정책 024일 수 있다.
선택적으로, HSS로부터 이동성 관리 엔티티에 의해 획득되거나 이동성 관리 엔티티에 미리 구성된 사용자 평면 보안 정책은 액세스 포인트 네임(access point name, APN) 그래뉼래러티에 있다. APN 그래뉼래러티의 사용자 평면 보안 정책을 E-RAB 그래뉼래러티의 사용자 평면 보안 정책에 매핑한 후, 이동성 관리 엔티티는 E-RAB 그래뉼래러티의 사용자 평면 보안 정책 024를 획득한다. 이 경우, 단계(402)에서 이동성 관리 엔티티에 의해 액세스 네트워크 디바이스(소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)에 송신되는 사용자 평면 보안 정책은 하나 이상의 사용자 평면 보안 정책 024이며, 각 사용자 평면 보안 정책 024는 하나의 E-RAB에 대응하며, 즉, 각 사용자 평면 보안 정책 024는 E-RAB 그래뉼래러티의 보안 정책이다. 구체적으로, 이동성 관리 엔티티는 사용자 평면 보안 정책 024에 대응하는 E-RAB의 식별자와 함께 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스(소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)에 송신한다.
이 실시예에서, 이동성 관리 엔티티는 지시 정보 013에 기반하여, 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있으며; 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원할 때, 사용자 평면 보안 정책을 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 추가로 판정한다. 따라서 이것은 또한 이동성 관리 엔티티가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 액세스 네트워크 디바이스에 송신할 확률을 감소시키는 데 도움이 되고, 따라서 전송 복잡성을 감소시키는 데 도움이 된다.
도 5는 본 출원에서 제공되는 보안 정책 처리 방법의 또 다른 구현을 지시한다. 액세스 네트워크 디바이스 및 이동성 관리 엔티티는 다음 단계를 수행한다.
단계(501: 이동성 관리 엔티티가 지시 정보 013을 획득한다.
지시 정보 013은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 구체적으로, 지시 정보 013은 단말 디바이스가 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 지원하는지 여부를 지시한다. 지시 정보 013은 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현되며, 단말 디바이스의 진화된 패킷 시스템 보안 능력은 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시한다.
이 실시예에서, 단계(501)는 단계(401)와 유사하다. 자세한 내용은 단계(401)의 관련 설명을 참조한다.
단계(502): 이동성 관리 엔티티가 지시 정보 051을 획득한다.
지시 정보 051은 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 다르게는, 또한 지시 정보 051은 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는, 액세스 네트워크 디바이스가 사용자 평면 암호화 보호의 활성화를 지원하는지 여부 및/또는 사용자 평면 무결성 보호의 활성화를 지원하는지 여부로 이해될 수 있으며, 즉, 액세스 네트워크 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호는 고정되어 있지 않다. 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는, 액세스 네트워크 디바이스가 단말 디바이스에게 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화/스킵하도록 지시할 수 있는지 여부로 이해될 수 있다. 지시 정보 051의 복수의 표현은 상호 교환 가능하다는 것을 이해해야 한다. 후속 실시예에서, "지시 정보 051은 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다"라는 표현이 설명을 위한 예로서 사용된다.
구체적으로, 이동성 관리 엔티티는 구체적으로 다음의 여러 구현을 포함하는 복수의 방식으로 지시 정보 051을 획득할 수 있다.
선택적 구현에서, 지시 정보 051은 액세스 네트워크 디바이스로부터 이동성 관리 엔티티에 의해 수신된 지시 정보 051-1이다. 이것은 또한 이동성 관리 엔티티가 액세스 네트워크 디바이스로부터 지시 정보 051-1를 수신하는 것으로 이해될 수 있다. 예를 들어, 액세스 네트워크 디바이스가 타깃 액세스 네트워크 디바이스이면, 타깃 액세스 네트워크 디바이스는 이동성 관리 엔티티에 송신될 경로 전환 요청에 지시 정보 051-1를 추가할 수 있다. 물론, 액세스 네트워크 디바이스는 다르게는, 액세스 네트워크 디바이스와 이동성 관리 엔티티 간의 다른 시그널링을 사용하여 지시 정보 051-1를 이동성 관리 엔티티에 송신할 수 있다. 이는 본 출원에서 특별히 제한되지 않는다.
다른 선택적 구현에서, 지시 정보 051은 네트워크 관리 디바이스로부터 이동성 관리 엔티티에 의해 획득된 지시 정보 051-2이다. 이는 이동성 관리 엔티티가 네트워크 관리 디바이스로부터 지시 정보 051-2를 획득하는 것으로 이해될 수 있다. 네트워크 관리 디바이스는 액세스 네트워크 디바이스의 관련 정보를 관리할 수 있는 디바이스이다. 예를 들어, 네트워크 관리 디바이스는 운영, 관리 및 유지 관리(Operation Administration and Maintenance, OAM) 네트워크 엘리먼트일 수 있다.
단계(501)와 단계(502) 사이에는 시간 순서가 없다는 점에 유의해야 한다. 구체적으로, 이동성 관리 엔티티는 먼저 지시 정보 013을 획득한 다음 지시 정보 051을 획득할 수 있고, 이동성 관리 엔티티는 먼저 지시 정보 051을 획득한 다음 지시 정보 013을 획득할 수 있거나, 이동성 관리 엔티티는 동시에 지시 정보 013 및 지시 정보 051를 획득할 수 있다. 이것은 여기서 특별히 제한되지 않는다.
단계(503: 이동성 관리 엔티티가 지시 정보 013 및 지시 정보 051에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정한다.
구체적으로, 지시 정보 013이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051이 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 이동성 관리 엔티티는 단말 디바이스에 대한 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신한다. 즉, 이동성 관리 엔티티는 액세스 네트워크 디바이스와 단말 디바이스가 모두 온디맨드 사용자 평면 보안 보호를 지원한다고 결정할 때, 이동성 관리 엔티티가 사용자 평면 보안 정책을 수신하는지 여부에 관계없이, 이동성 관리 엔티티는 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신한다. 이 경우, 이동성 관리 엔티티에 의해 액세스 네트워크 디바이스에 송신된 사용자 평면 보안 정책 024는 액세스 네트워크 디바이스에 의해 식별될 수 있다. 또한 액세스 네트워크 디바이스는 사용자 평면 보안 정책 024에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지를 판정할 수 있다. 따라서 이 경우, 이동성 관리 엔티티가 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신하는 것은 정보 엘리먼트의 낭비를 야기하지 않는다.
구체적으로, 지시 정보 051을 획득한 후 그리고 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신하기 전에, 이동성 관리 엔티티는 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신한다. 가입 데이터는 가입 동안에 결정될 수 있다. 가입 데이터의 설명에 대한 자세한 내용은 단계(402)의 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
가능한 구현에서, 가입 데이터는 사용자 평면 보안 정책 024를 포함하고, 지시 정보 013은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하며, 지시 정보 051은 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시한다. 이 경우, 이동성 관리 엔티티는 사용자 평면 보안 정책 024를 저장한다. 이 경우, 단계(503)에서 이동성 관리 엔티티에 의해 액세스 네트워크 디바이스(소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)에 송신되는 사용자 평면 보안 정책은, 홈 가입자 서버로부터 오는 것이면서 또한 이동성 관리 엔티티 상에서 이동성 관리 엔티티에 의해 저장되는 사용자 평면 보안 정책 024일 수 있다.
다른 가능한 구현에서, 사용자 평면 보안 정책은 이동성 관리 엔티티에 미리 구성되고, 가입 데이터는 사용자 평면 보안 정책을 포함하지 않지만, 지시 정보 013은 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051은 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시한다. 이 경우, 이동성 관리 엔티티는 미리 구성된 사용자 평면 보안 정책을 사용자 평면 보안 정책 024으로 사용하고, 사용자 평면 보안 정책 024를 단말 디바이스의 콘텍스트에 저장한다. 이 경우, 단계(503)에서 이동성 관리 엔티티에 의해 액세스 네트워크 디바이스(소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)에 송신된 사용자 평면 보안 정책은, 이동성 관리 엔티티에 의해 구성되면서 또한 이동성 관리 엔티티 상에서 이동성 관리 엔티티에 의해 저장되는 사용자 평면 보안 정책 024일 수 있다.
선택적으로, HSS로부터 이동성 관리 엔티티에 의해 획득되거나 이동성 관리 엔티티에 미리 구성된 사용자 평면 보안 정책은 액세스 포인트 네임(access point name, APN) 그래뉼래러티에 있다. APN 그래뉼래러티의 사용자 평면 보안 정책을 E-RAB 그래뉼래러티의 사용자 평면 보안 정책에 매핑한 후, 이동성 관리 엔티티는 E-RAB 그래뉼래러티의 사용자 평면 보안 정책 024를 획득한다. 이 경우, 단계(402)에서 이동성 관리 엔티티에 의해 액세스 네트워크 디바이스(소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)에 송신된 사용자 평면 보안 정책은 하나 이상의 사용자 평면 보안 정책 024이며, 각 사용자 평면 보안 정책 024는 하나의 E-RAB에 대응하고, 즉, 각 사용자 평면 보안 정책 024는 E-RAB 그래뉼래러티의 보안 정책이다. 구체적으로, 이동성 관리 엔티티는 사용자 평면 보안 정책 024에 대응하는 E-RAB의 식별자와 함께 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스(소스 액세스 네트워크 디바이스 또는 타깃 액세스 네트워크 디바이스)에 송신한다.
이 실시예에서, 이동성 관리 엔티티는 지시 정보 013에 기반하여 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있고, 지시 정보 051에 기반하여 액세스 네트워크 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정할 수 있다. 이동성 관리 엔티티는 단말 디바이스와 액세스 네트워크 디바이스 모두가 온디맨드 사용자 평면 보안 보호를 지원할 때에만 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신하여, 액세스 네트워크 디바이스가 사용자 평면 보안 정책 024를 사용하여 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 할 수 있음을 보장한다. 따라서 이동성 관리 엔티티는 사용자 평면 보안 정책을 온디맨드 사용자 평면 보안 보호를 지원하지 않는 액세스 네트워크 디바이스에 송신하는 것을 방지할 수 있다. 이는 이동성 관리 엔티티가 액세스 네트워크 디바이스에 의해 요구되지 않는 정보 엘리먼트를 액세스 네트워크 디바이스에 송신할 확률을 감소시키는 데 도움이 되며, 따라서 전송 복잡성을 감소시키는 데 도움이 된다.
도 4 또는 도 5에 대응하는 실시예에서 설명한 보안 정책 처리 방법은 다음 프로세스: 핸드오버(Handover), RRC 연결 재개(RRC Connection Resume), RRC 연결 재구축(RRC Connection Reestablishment) 프로세스 중 어느 하나에 적용될 수 있다. 도 6a 및 도 6b에 도시된 RRC 연결 재개 프로세스는 추가 설명을 위해 아래의 예로서 사용된다. 타깃 eNB는 전술한 타깃 액세스 네트워크 디바이스의 구현이고, 소스 eNB는 전술한 소스 액세스 네트워크 디바이스의 구현이며, MME는 전술한 이동성 관리 엔티티의 구현이고, HSS는 전술한 홈 가입자 서버의 구현이다. 또한 타깃 eNB는 업그레이드된 eNB(구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하는 eNB)이고, 소스 eNB는 업그레이드되지 않은 eNB(구체적으로, 온디맨드 사용자 평면 보안 보호를 지원하지 않는 eNB)라고 가정한다. 위의 디바이스는 다음 단계를 수행한다.
단계(601): UE가 RRC 연결 재개 요청(RRC connection resume request)을 타깃 eNB에 송신한다. 이에 따라, 타깃 eNB는 UE로부터 RRC 연결 재개 요청을 수신한다.
RRC 연결 재개 요청은 UE의 식별자(예를 들어, I-RNTI 또는 재개 ID)를 운반하고, RRC 연결 재개 요청은 UE가 타깃 eNB로의 연결을 재개할 필요가 있음을 지시한다.
단계(602): 타깃 eNB는 콘텍스트 검색 요청((context retrieve request)을 소스 eNB에 송신한다. 이에 따라, 소스 eNB는 타깃 eNB로부터 콘텍스트 검색 요청을 수신한다.
콘텍스트 검색 요청은 UE의 식별자를 운반하고, 콘텍스트 검색 요청은 소스 eNB로부터 UE의 콘텍스트를 획득하는 데 사용된다.
단계(603): 소스 eNB는 콘텍스트 검색 응답(context retrieve response)을 타깃 eNB에 송신한다. 이에 따라 타깃 eNB는 소스 eNB로부터 콘텍스트 검색 응답을 수신한다.
콘텍스트 검색 응답은 지시 정보 013을 운반하고 사용자 평면 보안 정책을 운반하지 않는다. 지시 정보 013은 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 다르게는, 또한 지시 정보 013은 UE가 UE와 eNB 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. UE가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는 UE가 사용자 평면 암호화 보호의 활성화를 지원하는지 및/또는 사용자 평면 무결성 보호의 활성화를 지원하는지 여부로 이해될 수 있으며, 즉, UE에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호는 고정되지 않는다. UE가 UE와 eNB 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부는 UE가 eNB에 의한 지시 하에 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호의 활성화/비활성화를 지원하는지 여부로 이해될 수 있다. 지시 정보 013의 복수의 표현은 상호 교환 가능하다는 것을 이해해야 한다. 이하의 실시예에서는 "지시 정보 013은 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다"는 표현을 설명의 예로 사용한다.
또한 지시 정보 013은 UE 진화된 패킷 시스템 보안 능력(UE EPS security capabilities)에서 운반되며, UE 보안 능력에서 예약된 비트(예를 들어, EEA7 또는 EIA7)로 지시된다. EEA7은 단말 진화된 패킷 시스템 보안 능력에서 8번째 암호화 알고리즘을 위해 예약된 비트를 나타내고, EIA7은 단말 진화된 패킷 시스템 보안 능력에서 8번째 무결성 알고리즘을 위해 예약된 비트를 나타낸다. 이 실시예에서, 이 비트는 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시하는 지시를 운반하는 데 사용된다. 지시 정보 013에 대한 설명은 단계(201) 또는 단계(401)의 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
단계(604): 타깃 eNB는 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화하는 것을 스킵하기로 결정한다,
타깃 eNB가 수신한 콘텍스트 검색 응답은 사용자 보안 정책을 운반하지 않는다. 따라서 타깃 eNB는 기본 방식(업그레이드되지 않은 방식으로 이해될 수 있음)으로 UE에 대한 보안 보호를 활성화할 수 있다. 구체적으로 사용자 평면 암호화 보호는 RRC 보호에 사용되는 동일한 알고리즘을 사용하여 항상 활성화되지만 사용자 평면 무결성 보호는 활성화되지 않는다. 일반적으로 타깃 eNB에서 결정된, 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않은 상태를 사용자 평면 보안 활성화 상태라고 할 수 있으며, 사용자 평면 보안 활성화 상태는, UE에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화할지 여부에 대한 타깃 eNB의 판정 결과이다. 타깃 eNB는 판정 결과를 UE에 전송해야 하므로, UE가 사용자 평면 보안 활성화 상태에 기반하여 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화하는 것을 스킵한다. 따라서 타깃 eNB는 단계(605)를 수행한다.
단계(605): 타깃 eNB는 RRC 연결 재개(RRC connection resume)를 UE에 송신한다. 이에 따라, UE는 타깃 eNB로부터 RRC 연결 재개를 수신한다.
RRC 연결 재개 메시지는 타깃 eNB가 UE의 RRC 연결 재개 요청에 동의함을 UE에게 지시한다. RRC 연결 재개 메시지는 사용자 평면 보안 활성화 상태, 구체적으로 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않은 상태를 운반한다.
RRC 연결 재개 메시지는 DRB 구성 정보를 포함한다. DRB 구성 정보는 UE가 DRB에 대한 암호화 보호 및/또는 무결성 보호를 활성화할지 여부를 지시한다. 일반적으로 암호화 비활성화(ciphering disabled) 필드가 DRB 구성 정보에 캡슐화되어 있으면, UE는 DRB에 대한 암호화 보호를 활성화하지 않으며; 또는 암호화 비활성화(ciphering disabled) 필드가 DRB 구성 정보에 캡슐화되어 있지 않으면, UE는 DRB에 대한 암호화 보호를 활성화한다. 무결성 보호(integrity protection) 필드가 DRB 구성 정보에 캡슐화되어 있으면, UE는 DRB에 대한 무결성 보호를 활성화하며; 또는 무결성 보호(integrity protection) 필드가 DRB 구성 정보에 캡슐화되어 있지 않으면, UE는 DRB에 대한 무결성 보호를 활성화하지 않는다.
예를 들어, 타깃 eNB가 UE의 모든 DRB에 대응하는 암호화 활성화 상태가 활성화되고 DRB에 대응하는 무결성 활성화 상태가 활성화되지 않는 것으로 결정할 때, RRC 연결 재개 메시지는 DRB 구성 정보를 포함하지 않는다.
선택적 구현에서, RRC 연결 재개 메시지는 타깃 eNB에 의해 UE에 지시된 사용자 평면 보안 활성화 상태를 포함한다. 이는 RRC 연결 재개 메시지가 타깃 eNB에 의해 결정된 DRB 구성 정보를 포함하는 것으로 이해될 수 있다. 이 경우, 타깃 eNB는 UE가 사용자 평면 암호화 보호를 활성화하는 것을 스킵하거나 및/또는 사용자 평면 무결성 보호를 활성화하도록 명시적으로 지시한다.
예를 들어, RRC 연결 재개 메시지에서 운반된 DRB 구성 정보가 암호화 비활성화(ciphering disabled) 필드와 무결성 보호(integrity protection) 필드일 때, 이는 타깃 eNB가 명시적으로 사용자 평면 보안 활성화 상태를 UE에 송신한 것으로 이해할 수 있다.
다른 선택적 구현에서, RRC 연결 재개 메시지는 DRB 구성 정보를 포함하지 않는다. 이 경우, 타깃 eNB는 UE가 사용자 평면 암호화 보호를 활성화하거나 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 스킵하도록 암시적으로 지시한다. 이는 타깃 eNB가 암시적으로 사용자 평면 보안 활성화 상태를 UE에 송신한 것으로 이해할 수 있다.
예를 들어, RRC 연결 재개 메시지가 암호화 비활성화(ciphering disabled) 필드 또는 무결성 보호(integrity protection) 필드를 운반하지 않을 때, 이는 타깃 eNB가 암시적으로 UE가 사용자 평면 암호화 보호를 활성화하고, 사용자 평면 무결성 보호를 활성화하는 것을 스킵하도록 지시한다,
또한 다르게는 다른 구현이 있을 수 있다. 예를 들어, RRC 연결 재개 메시지에서 운반된 DRB 구성 정보가 암호화 비활성화(ciphering disabled) 필드만 포함할 때, 이는 타깃 eNB가 UE가 사용자 평면 암호화 보호를 활성화하는 것을 스킵하도록 명시적으로 지시하고, UE가 사용자 평면 무결성 보호를 활성화하는 것을 스킵하도록 암시적으로 지시하는 것으로 이해될 수 있다. 다른 예로, RRC 연결 재개 메시지에서 운반된 DRB 구성 정보가 무결성 보호(integrity protection) 필드만을 포함할 때, 이는 타깃 eNB가 UE가 사용자 평면 암호화 보호를 활성화하도록 암시적으로 지시하고, UE가 사용자 평면 무결성 보호를 활성화하도록 명시적으로 지시하는 것으로 이해될 수 있다.
단계(606): UE가 RRC 연결 재개 완료(RRC connection resume complete)를 타깃 eNB에 송신한다. 이에 따라, 타깃 eNB는 UE로부터 RRC 연결 재개 완료를 수신한다.
UE는 RRC 연결 재개 메시지를 수신한 후, UE는 RRC 연결 재개 메시지에서 운반된 사용자 평면 보안 활성화 상태에 기반하여, 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화 또는 비활성화한다. 구성이 완료된 후, UE는 RRC 연결 재개 완료 메시지를 타깃 eNB에 송신한다. RRC 연결 재개 완료 메시지는 UE가 RRC 연결 재개 메시지의 지시에 기반하여 구성을 수행하고 RRC 연결 재개 프로세스를 완료했음을 지시한다.
단계(607): 타깃 eNB가 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 034를 MME에 송신한다. 이에 따라 MME는 타깃 eNB로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 034를 수신한다.
선택적으로, 경로 전환 요청 034는 지시 정보 013을 운반하고, 지시 정보 013은 단계(603)에서 소스 eNB로부터 타깃 eNB에 의해 수신된다. 타깃 eNB는 소스 eNB로부터 사용자 평면 보안 정책을 수신하지 않는다. 구체적으로, 단계(603)에서 설명한 콘텍스트 검색 응답은 사용자 평면 보안 정책을 운반하지 않는다. 따라서 경로 전환 요청 034가 사용자 평면 보안 정책도 운반하지 않는다. 구체적으로 지시 정보 013에 대한 설명은 단계(401)를 참조한다.
선택적으로, 경로 전환 요청 034는 지시 정보 051을 더 포함하고, 지시 정보 051은 UE에 서비스를 제공하는 타깃 eNB가 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다. 구체적으로 지시 정보 051에 대한 설명은 단계(502)를 참조한다.
단계(608): MME는 경로 전환 요청이 사용자 평면 보안 정책을 운반하는지를 판정한다.
경로 전환 요청이 사용자 평면 보안 정책을 운반하지 않으면, 예를 들어 경로 전환 요청이 경로 전환 요청 034가면, MME는 단계(609)를 수행한다. 경로 전환 요청이 사용자 평면 보안 정책을 운반하면, MME는 MME 상의 사용자 평면 보안 정책이 경로 전환 요청에서 운반된 사용자 평면 보안 정책과 동일한지를 판정하고, 판정 결과에 기반하여, 타깃 eNB에 송신할 경로 전환 응답에 사용자 평면 보안 정책을 추가할지를 판정한다. 자세한 내용은 도 3a 및 도 3b에 대응하는 실시예의 단계(309b) 내지 단계(312)의 관련 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
단계(609): MME가 UE(및 타깃 eNB)가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정한다.
구체적으로, MME는 지시 정보 013(및 지시 정보 051)에 기반하여 UE(및 타깃 eNB)가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정한다.
선택적 구현에서, MME는 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지만 판정할 수 있다. 구체적으로, MME는 단계(607)에서 수신된 지시 정보 013에 기반하여 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정한다. 이 경우, UE가 온디맨드 사용자 평면 보안 보호를 지원하면, MME는 단계(610a)를 수행하고; 또는 UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않으면, MME는 단계(610b)를 수행한다.
또 다른 선택적 구현에서, MME는 UE와 타깃 eNB 모두 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정해야 한다. 구체적으로, MME는 지시 정보 013에 기반하여 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정하고; 지시 정보 051에 기반하여 타깃 eNB가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정한다. 이 경우, UE와 타깃 eNB가 온디맨드 사용자 평면 보안 보호를 지원하면, MME는 단계(610a)를 수행하고; 또는 UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않거나 타깃 eNB가 온디맨드 사용자 평면 보안 보호를 지원하지 않으면, MME는 단계(610b)를 수행한다.
단계(610a): MME가 사용자 평면 보안 정책 024를 운반하는 경로 전환 응답 044를 타깃 eNB에 송신한다. 이에 따라 타깃 eNB는 MME로부터 사용자 평면 보안 정책 024를 운반하는 경로 전환 응답 044를 수신한다.
단계(610b): MME가 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 045를 타깃 eNB에 송신한다. 이에 따라 타깃 eNB는 MME로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 045를 수신한다.
이 구현에서, 판정 로직이 MME 측에 추가된다. 구체적으로 MME는 사용자 평면 보안 정책을 eNB에 송신할지를 판정할 때, MME는 지시 정보 013에 기반하여 결정을 내린다. 그러나 종래 기술에서는 MME가 사용자 평면 보안 정책이 eNB로부터 수신되는지 여부를 기반으로만 결정을 내렸다. 사용자 평면 보안 정책이 eNB로부터 수신되지 않으면, MME는 사용자 평면 보안 정책을 eNB에 송신한다. 종래 기술의 솔루션에서, eNB는 UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않기 때문에, 사용자 평면 보안 정책을 MME에 송신하지 못할 수 있다. 이 경우, MME가 사용자 평면 보안 정책을 eNB에 송신할 때, eNB는 사용자 평면 보안 정책을 사용하여 UE에 대한 사용자 평면 무결성 보호를 활성화할 수 없다. 결과적으로, MME와 eNB 사이의 시그널링 전송 효율이 감소된다. 그러나 본 출원의 솔루션에서 MME는 UE가 온디맨드 사용자 평면 보안 보호를 지원할 때에만 사용자 평면 보안 정책을 eNB에 송신한다. 따라서 이는 MME가 eNB에 의해 요구되지 않는 정보 엘리먼트를 eNB에 송신할 확률을 감소시켜, 전송 복잡성을 감소시키는 데 도움이 된다.
타깃 eNB가 MME로부터 사용자 평면 보안 정책 024를 수신한 후, 타깃 eNB는 UE의 콘텍스트에 사용자 평면 보안 정책 024를 저장한다는 것을 추가로 이해해야 한다. 또한 사용자 평면 보안 정책 024가 지시하는 사용자 평면 보안 활성화 상태가 UE의 현재 사용자 평면 보안 활성화 상태와 매칭되지 않을 때, 타깃 eNB는 사용자 평면 보안 정책 024에 따라 UE에 대한 암호화 보호 및/또는 무결성 보호를 활성화 또는 비활성화한다. 자세한 내용은 단계(311) 및 단계(312)의 관련 설명을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
또한 도 4 또는 도 5에 대응하는 실시예에서 설명한 보안 정책 처리 방법은 다르게는, 초기 액세스 프로세스에 적용될 수 있다. 도 7은 추가 설명을 위해 아래에서 예로서 사용된다. 소스 eNB는 전술한 소스 액세스 네트워크 디바이스의 구현이고, MME는 전술한 이동성 관리 엔티티의 구현이며, HSS는 전술한 홈 가입자 서버의 구현이다. 위의 디바이스는 다음 단계를 수행한다.
단계(701): UE가 어태치 요청(attach request)을 MME에 송신한다.
어태치 요청은 지시 정보 013과 UE의 식별자를 운반한다. 구체적으로, 지시 정보 013은 UE가 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 지원하는지 여부를 지시한다. 지시 정보 013은 UE의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현되며, UE의 진화된 패킷 시스템 보안 능력은 UE가 지원하는 적어도 하나의 보안 알고리즘을 지시한다. 자세한 내용은 단계(401)의 관련 설명을 참조한다.
단계(702): MME가 위치 업데이트 요청을 HSS에 송신한다.
위치 업데이트 요청은 UE의 식별자를 운반한다. 위치 업데이트 요청은 HSS에 저장된 UE의 가입 데이터를 요청하는 데 사용된다. 가입 데이터는 단말 디바이스에 대한 사용자 평면 보안 정책을 포함할 수 있다. 사용자 평면 보안 정책은 가입 동안에 결정될 수 있음을 이해해야 한다. 구체적으로, 가입 동안에 단말 디바이스는 온디맨드 사용자 평면 보안 보호를 요구하는 서비스에 가입한다. 다르게는, 가입 데이터는 사용자 평면 보안 정책을 포함하지 않을 수 있다. 이는 가입 동안에 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 요구하는 서비스에 가입하지 않는 것으로 이해될 수 있다.
선택적으로, HSS 상의 사용자 평면 보안 정책은 APN 그래뉼래러티이다. 하나의 사용자 평면 보안 정책은 하나의 APN의 식별자에 대응한다.
단계(703): HSS가 위치 업데이트 응답을 MME에 송신한다.
위치 업데이트 응답은 UE의 가입 데이터를 운반하고, 가입 데이터는 UE에 대한 사용자 평면 보안 정책 024를 포함한다. 물론, 가입 데이터는 UE의 다른 정보를 더 포함한다. 자세한 내용은 여기에서 설명하지 않는다.
단계(704): MME가 UE(및 소스 eNB)가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정한다.
단계(704)가 단계(701) 이후에 수행된다면, 단계(702) 내지 단계(703)와 단계(704) 사이에 시간 순서가 없다는 것을 이해해야 한다. 구체적으로, MME가 액세스 요청에서 운반된 지시 정보 013 및 UE의 ID를 수신한 후, 지시 정보 013에 기반하여, UE가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정하고; MME는 UE의 식별자를 운반하는 위치 업데이트 요청을 HSS에 송신하여, UE의 가입 데이터를 획득한다.
선택적 구현에서, MME는 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지만 판정할 수 있다. 구체적으로, MME는 단계(701)에서 수신된 지시 정보 013에 기반하여, UE가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정한다.
이 구현에서, UE가 온디맨드 사용자 평면 보안 보호를 지원할 때, MME는 단계(705a) 및 단계(705b)를 순차적으로 수행하고; 또는 UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않을 때, MME는 단계(705c)를 수행한다.
또 다른 선택적 구현에서, MME는 UE와 타깃 eNB 모두 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정해야 한다. 구체적으로, MME는 지시 정보 013에 기반하여 UE가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정하고, 지시 정보 051에 기반하여 타깃 eNB가 온디맨드 사용자 평면 보안 보호를 지원하는지를 판정한다. 지시 정보 051은 소스 eNB와의 시그널링 상호 작용을 통해 MME에 의해 획득될 수 있거나, 네트워크 관리 디바이스로부터 MME에 의해 획득될 수 있다. 이것은 여기서 특별히 제한되지 않는다.
이 구현에서, UE와 소스 eNB가 모두 온디맨드 사용자 평면 보안 보호를 지원할 때, MME는 단계(705a)와 단계(705b)를 순차적으로 수행하거나 MME가 단계(705a)만 수행하며; 또는 UE가 온디맨드 사용자 평면 보안 보호를 지원하지 않거나 소스 eNB가 온디맨드 사용자 평면 보안 보호를 지원하지 않을 때, MME는 단계(705c)를 수행한다.
단계(705a): MME는 사용자 평면 보안 정책 024를 운반하는 S1 메시지를 소스 eNB에 송신한다.
S1 메시지는 UE에 대한 지시 정보 013 및 사용자 평면 보안 정책 024를 운반한다. S1 메시지는 초기 콘텍스트 셋업 요청(initial context setup request) 메시지일 수 있다.
선택적으로, MME는 HSS로부터 APN 그래뉼래러티의 사용자 평면 보안 정책을 획득하고, APN 그래뉼래러티의 사용자 평면 보안 정책을 E-RAB 그래뉼래러티의 사용자 평면 보안 정책 024에 매핑한 후, MME는 E-RAB 그래뉼래러티의 하나 이상의 사용자 평면 보안 정책 024를 획득한다.
이 경우, 단계(705a)에서 MME가 소스 eNB에게 송신한 사용자 평면 보안 정책은 하나 이상의 사용자 평면 보안 정책 024이며, 각 사용자 평면 보안 정책 024는 하나의 E-RAB에 대응하며, 즉 각 사용자 평면 보안 정책 024는 E-RAB 그래뉼래러티의 보안 정책이다. 구체적으로, MME는 사용자 평면 보안 정책 024에 대응하는 E-RAB의 식별자와 함께 사용자 평면 보안 정책 024를 소스 eNB에 송신한다.
단계(705b): MME가 UE에 대한 사용자 평면 보안 정책 024를 저장한다.
이 실시예에서, 단계(705b)는 선택적 단계이다.
MME가 단계(705b)를 수행할 때, 단계(705a)와 단계(705b) 사이에는 시간 순서가 없다. 구체적으로, MME는 단계(705a) 전에 단계(705a)를 수행할 수 있거나, MME가 단계(705a) 전에 단계(705b)를 수행할 수 있거나, MME가 단계(705a)와 단계(705b)를 동시에 수행할 수 있다.
단계(705c): MME가 사용자 평면 보안 정책을 운반하지 않는 S1 메시지를 소스 eNB에 송신한다.
단계(706): MME가 어태치 수락(attach accept)을 UE에 송신한다.
어태치 수락 메시지는 UE가 연결 프로세스를 완료하도록 지시한다.
이 구현에서, 판정 로직이 MME 측에 추가된다. 구체적으로, MME는 사용자 평면 보안 정책을 소스 eNB에 송신할지를 판정할 때, MME는 지시 정보 013(및 지시 정보 051)에 기반하여 결정을 내린다. 그러나 종래 기술에서는 MME가 질의를 통해 사용자 평면 보안 정책이 HSS로부터 획득되는지 여부를 기반으로만 결정을 내린다. HSS가 반환한 위치 업데이트 응답이 사용자 평면 보안 정책을 운반하면, MME는 사용자 평면 보안 정책을 소스 eNB에 송신하며; 그렇지 않으면, MME는 사용자 평면 보안 정책을 소스 eNB에 송신하지 않는다.
도 8은 본 출원에 따른 통신 디바이스(80)의 구조의 개략도이다. 도 2에 대응하는 방법 실시예에서 타깃 액세스 네트워크 디바이스 그리고 도 3a 및 도 3b에 대응하는 방법 실시예에서 타깃 eNB는 모두, 본 실시예에서 도 8에 도시된 통신 디바이스(80)의 구조에 기반할 수 있다.
통신 디바이스(80)는 적어도 하나의 프로세서(801), 적어도 하나의 메모리(802), 및 적어도 하나의 트랜시버(803)를 포함한다. 선택적으로, 통신 디바이스(80)는 적어도 하나의 네트워크 인터페이스(805) 및 하나 이상의 안테나(804)를 더 포함할 수 있다. 프로세서(801), 메모리(802), 트랜시버(803), 및 네트워크 인터페이스(805)는 연결 장치를 통해 연결되고, 안테나(804)는 트랜시버(803)에 연결된다. 연결 장치는 다양한 인터페이스, 전송 케이블, 버스 등을 포함할 수 있다. 이것은 본 실시예에서 제한되지 않는다.
프로세서(801)는 주로 통신 프로토콜 및 통신 데이터를 처리하고, 전체 네트워크 디바이스를 제어하며, 소프트웨어 프로그램을 실행하고, 소프트웨어 프로그램의 데이터를 처리하도록 구성되며, 예를 들어 통신 디바이스(80)가 전술한 실시예에서 설명된 동작(action)을 수행할 수 있도록 구성된다, 통신 디바이스(80)는 기저 대역 프로세서 및 중앙 처리 유닛을 포함할 수 있다. 기저 대역 프로세서는 주로 통신 프로토콜 및 통신 데이터를 처리하도록 구성된다. 중앙 처리 유닛은 주로 전체 통신 디바이스(80)를 제어하고, 소프트웨어 프로그램을 실행하며, 소프트웨어 프로그램의 데이터를 처리하도록 구성된다. 도 8의 프로세서(801)는 기저 대역 프로세서와 중앙 처리 유닛의 기능을 통합할 수 있다. 기저 대역 프로세서와 중앙 처리 유닛은 다르게는 서로 독립적인 프로세서일 수 있고 버스와 같은 기술을 사용하여 상호 연결된다는 것을 이해해야 한다. 통신 디바이스(80)는 서로 다른 네트워크 표준에 적응하기 위해 복수의 기저 대역 프로세서를 포함할 수 있고, 통신 디바이스(80)는 통신 디바이스(80)의 처리 능력을 향상시키기 위해 복수의 중앙 처리 유닛을 포함할 수 있으며, 통신 디바이스(80)의 컴포넌트는 다양한 버스를 통해 연결될 수 있다. 기저 대역 프로세서는 기저 대역 처리 회로 또는 기저 대역 처리 칩으로 표현될 수도 있다. 중앙 처리 유닛은 중앙 처리 회로 또는 중앙 처리 칩으로 표현될 수도 있다. 통신 프로토콜 및 통신 데이터를 처리하는 기능은 프로세서에 내장될 수 있거나, 소프트웨어 프로그램의 형태로 메모리에 저장될 수 있으며, 프로세서는 소프트웨어 프로그램을 실행하여 기저 대역 처리 기능을 구현한다.
또한 메모리(802)는 주로 소프트웨어 프로그램 및 데이터를 저장하도록 구성된다. 메모리(802)는 독립적으로 존재할 수 있으며, 프로세서(801)에 연결된다. 선택적으로, 메모리(802) 및 프로세서(801)는 예를 들어 하나 이상의 칩으로 통합될 수 있다. 메모리(802)는 본 출원의 실시예에서 기술 솔루션을 실행하기 위한 프로그램 코드를 저장할 수 있고, 프로세서(801)는 프로그램 코드의 실행을 제어한다. 다양한 유형의 실행된 컴퓨터 프로그램 코드도 프로세서(801)의 드라이버로 간주될 수 있다. 이 실시예에서의 도 8은 단지 하나의 메모리 및 하나의 프로세서만을 도시함을 이해해야 한다. 그러나 실제 애플리케이션에서, 통신 디바이스(80)는 복수의 프로세서 또는 복수의 메모리를 포함할 수 있다. 이것은 여기서 특별히 제한되지 않는다. 또한 메모리(802)는 저장 매체, 저장 디바이스 등으로도 지칭될 수 있다. 메모리(802)는 프로세서와 동일한 칩에 위치되는 저장 엘리먼트(즉, 온칩 저장 엘리먼트)일 수도 있고, 독립적인 저장 엘리먼트일 수도 있다. 이것은 본 출원의 본 실시예에서 제한되지 않는다.
이 실시예에서, 트랜시버(803)는 통신 디바이스(80)와 단말 디바이스(또는 다른 네트워크 디바이스) 사이의 무선 주파수 신호의 수신 또는 송신을 지원하도록 구성될 수 있고, 트랜시버(803)는 안테나(804)에 연결될 수 있다. 트랜시버(803)는 송신기(Tx) 및 수신기(Rx)를 포함한다. 구체적으로, 하나 이상의 안테나(804)는 무선 주파수 신호를 수신할 수 있다. 트랜시버(803)의 수신기(Rx)는 안테나(804)로부터 무선 주파수 신호를 수신하고, 무선 주파수 신호를 디지털 기저 대역 신호 또는 디지털 중간 주파수 신호로 변환하고, 디지털 기저 대역 신호 또는 디지털 중간 주파수 신호를 프로세서(801)에 제공하도록 구성되므로, 프로세서(801)는 추가로 디지털 기저 대역 신호 또는 디지털 중간 주파수 신호를 처리하며, 예를 들어 복조 및 디코딩을 수행한다. 또한 트랜시버(803)의 송신기(Tx)는 추가로, 프로세서(801)로부터 변조된 디지털 기저 대역 신호 또는 디지털 중간 주파수 신호를 수신하고, 변조된 디지털 기저 대역 신호 또는 디지털 중간 주파수 신호를 무선 주파수 신호로 변환하며, 하나 이상의 안테나(804)를 통해 무선 주파수 신호를 송신하도록 구성된다. 구체적으로, 수신기(Rx)는 무선 주파수 신호에 대해 하나 이상의 레벨의 주파수 다운-믹싱 및 아날로그-디지털 변환을 선택적으로 수행하여 디지털 기저 대역 신호 또는 디지털 중간 주파수 신호를 획득할 수 있으며, 주파수 다운-믹싱 및 아날로그-디지털 변환의 시퀀스는 조정 가능하다. 송신기(Tx)는 선택적으로, 변조된 디지털 기저 대역 신호 또는 디지털 중간 주파수 신호에 대해 하나 이상의 레벨의 주파수 업-믹싱 및 디지털-아날로그 변환을 수행하여 무선 주파수 신호를 획득할 수 있으며, 주파수 업-믹싱 및 디지털-아날로그 변환의 시퀀스는 조정 가능하다. 디지털 기저 대역 신호와 디지털 중간 주파수 신호를 총칭하여 디지털 신호라고 할 수 있다.
트랜시버(803)는 트랜시버 유닛, 트랜시버 디바이스, 트랜시버 장치 등으로도 지칭될 수 있음을 이해해야 한다. 선택적으로, 수신 기능을 구현하도록 구성되면서 또한 트랜시버 유닛에 있는 컴포넌트는 수신 유닛으로 간주될 수 있고, 송신 기능을 구현하도록 구성되면서 또한 트랜시버 유닛에 있는 컴포넌트는 수신 유닛으로 간주될 수 있다. 즉, 트랜시버 유닛은 수신 유닛과 송신 유닛을 포함한다. 수신 유닛은 또한 수신기, 입력 인터페이스, 수신기 회로 등으로 지칭될 수 있다. 송신 유닛은 송신 디바이스(transmitting device), 송신기(transmitter), 송신기 회로 등으로 지칭될 수 있다.
또한 네트워크 인터페이스(805)는 통신 링크를 통해 통신 디바이스(80)를 다른 통신 디바이스에 연결하도록 구성된다. 구체적으로, 네트워크 인터페이스(805)는 통신 디바이스(80)와 코어 네트워크 엘리먼트 사이의 네트워크 인터페이스, 예를 들어 통신 디바이스(80)와 MME 사이의 S1-U 인터페이스, 또는 통신 디바이스(80)와 및 S-GW 사이의 S1-MME 인터페이스를 포함할 수 있다. 네트워크 인터페이스(805)는 또한 통신 디바이스(80)와 단말 디바이스 사이의 네트워크 인터페이스, 예를 들어 LTE-Uu 인터페이스를 포함할 수 있다.
구체적으로, 프로세서(801)는 트랜시버(803)가 소스 액세스 네트워크 디바이스로부터 메시지 001을 수신하도록 제어하며, 메시지 001은 지시 정보 011을 포함한다. 또한 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 프로세서(801)는 트랜시버(803)가 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하도록 제어하며, 사용자 평면 보안 정책 021은 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다.
선택적 구현에서, 프로세서(801)는 액세스 네트워크 디바이스와 단말 디바이스 간의 사용자 평면 보안 활성화 상태가 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호가 활성화되지 않는 것으로 결정하고; 사용자 평면 보안 활성화 상태와 매칭되는 사용자 평면 보안 정책 021-1을 구성한다.
선택적 구현에서, 프로세서(801)는 추가로, 이동성 관리 엔티티로부터 경로 전환 응답 041을 수신하도록 트랜시버(803)를 제어하고 - 경로 전환 응답 041은 사용자 평면 보안 정책 022를 운반함 -; 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 022를 저장하도록 구성된다.
선택적 구현에서, 프로세서(801)는 추가로, 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 022와 매칭되지 않을 때, 사용자 평면 보안 정책 022에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되며, 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태이다.
선택적 구현에서, 프로세서(801)는 추가로, 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 이동성 관리 엔티티에 송신하도록 트랜시버(803)를 제어하고, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 042를 이동성 관리 엔티티로부터 수신하도록 트랜시버(803)를 제어하도록 구성된다.
선택적 구현에서, 프로세서(801)는 추가로, 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 이동성 관리 엔티티에 송신하도록 트랜시버(803)를 제어하도록 구성되며, 경로 전환 요청 033은 지시 정보 011을 운반한다.
선택적 구현에서, 프로세서(801)는 추가로, 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043을 이동성 관리 엔티티로부터 수신하도록 트랜시버(803)를 제어하고; 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 023을 저장하도록 구성된다.
선택적 구현에서, 프로세서(801)는 추가로, 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 023과 매칭되지 않을 때, 사용자 평면 보안 정책 023에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되며, 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태이다.
다른 내용에 대해서는 도 2 또는 도 3a 및 도 3b의 실시예에서 타깃 액세스 네트워크 디바이스 또는 타깃 eNB에 대한 방법을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
도 9는 본 출원에 따른 다른 통신 디바이스(90)의 구조의 개략도이다. 도 4 또는 도 5에 대응하는 방법 실시예에서 이동성 관리 엔티티 그리고 도 6a 및 도 6b 또는 도 7에 대응하는 방법 실시예에서의 MME 모두는, 본 실시 예에서 도 9에 도시된 통신 디바이스(90)의 구조에 기반할 수 있다.
도 9에 도시된 바와 같이, 통신 디바이스(90)는 프로세서(910), 메모리(920) 및 트랜시버(930)를 포함할 수 있다. 프로세서(910)는 메모리(920)에 결합되고, 프로세서(910)는 트랜시버(930)에 결합된다.
트랜시버(930)는 트랜시버 유닛, 트랜시버 디바이스, 트랜시버 장치 등으로 지칭될 수도 있다. 선택적으로, 수신 기능을 구현하도록 구성되면서 또한 트랜시버 유닛에 있는 컴포넌트는 수신 유닛으로 간주될 수 있고, 송신 기능을 구현하도록 구성되면서 또한 트랜시버 유닛에 있는 컴포넌트는 송신 유닛으로 간주될 수 있다. 즉, 트랜시버 유닛은 수신 유닛과 송신 유닛을 포함한다. 수신 유닛은 또한 수신기, 입력 인터페이스, 수신기 회로 등으로 지칭될 수 있다. 송신 유닛은 송신 디바이스, 송신기, 송신기 회로 등으로 지칭될 수 있다.
프로세서(910)는 중앙 처리 유닛, 네트워크 프로세서(network processor, NP) 또는 CPU와 NP의 조합일 수 있다. 프로세서는 다르게는 애플리케이션 특정 집적 회로(application-specific integrated circuit, ASIC), 프로그래밍 가능한 로직 디바이스(programmable logic device, PLD) 또는 이들의 조합일 수 있다. PLD는 복합 프로그래밍 가능한 로직 디바이스(complex programmable logic device, CPLD), 필드 프로그래밍 가능한 게이트 어레이(field-programmable gate array, FPGA), 일반 어레이 로직(generic array logic, GAL) 또는 이들의 조합일 수 있다. 프로세서(910)는 하나의 프로세서일 수도 있고, 복수의 프로세서를 포함할 수도 있다.
또한 메모리(920)는 주로 소프트웨어 프로그램 및 데이터를 저장하도록 구성된다. 메모리(920)는 독립적으로 존재할 수 있으며, 프로세서(910)에 연결된다. 선택적으로, 메모리(920) 및 프로세서(910)는 통합될 수 있으며, 예를 들어, 하나 이상의 칩으로 통합될 수 있다. 메모리(920)는 본 발명의 실시예에서 기술 솔루션을 실행하기 위한 프로그램 코드를 저장할 수 있고, 프로세서(910)는 프로그램 코드의 실행을 제어한다. 다양한 유형의 실행된 컴퓨터 프로그램 코드도 프로세서(910)의 드라이버로 간주될 수 있다. 메모리(920)는 휘발성 메모리(volatile memory), 예를 들어 랜덤 액세스 메모리(random-access memory, RAM)를 포함할 수 있다. 다르게는, 메모리는 비휘발성 메모리(non-volatile memory), 예를 들어 읽기 전용 메모리(read-only memory, ROM), 플래시 메모리(flash memory), 하드 디스크 드라이브(hard disk drive, HDD), 또는 솔리드 스테이트 드라이브(solid-state drive, SSD)를 포함할 수 있다. 다르게는 메모리(920)는 전술한 유형의 메모리의 조합을 포함할 수 있다. 메모리(920)는 하나의 메모리일 수도 있고, 복수의 메모리를 포함할 수도 있다.
일 구현에서, 메모리(920)는 컴퓨터가 판독 가능한 명령어를 저장하고, 컴퓨터가 판독 가능한 명령어는 복수의 소프트웨어 모듈, 예를 들어 송신 모듈(921), 처리 모듈(922) 및 수신 모듈(923)을 포함한다. 각 소프트웨어 모듈을 실행한 후, 프로세서(910)는 각 소프트웨어 모듈의 지시에 기반하여 대응하는 작동을 수행할 수 있다. 이 실시예에서, 소프트웨어 모듈에 의해 수행되는 작동은 실제로 소프트웨어 모듈의 지시에 기반하여 프로세서(910)에 의해 수행되는 작동이다.
구체적으로, 처리 모듈(922)은 지시 정보 013을 획득하고, 지시 정보 013에 기반하여 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하도록 구성된다. 사용자 평면 보안 정책 024는 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다. 지시 정보 013은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다.
선택적 구현에서, 송신 모듈(921)은: 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고 경로 전환 요청 034가 사용자 평면 정책을 운반하지 않을 때, 사용자 평면 보안 정책 024를 운반하는 경로 전환 응답 044를 타깃 액세스 네트워크 디바이스에 송신하도록 구성된다.
선택적 구현에서, 송신 모듈(921)은: 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 사용자 평면 보안 정책 024를 소스 액세스 네트워크 디바이스 디바이스에 송신하도록 구성된다.
선택적 구현에서, 처리 모듈(922)은: 지시 정보 051을 획득하며 - 지시 정보 051은 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지를 지시함 -; 지시 정보 013 및 지시 정보 051에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하도록 구성된다.
선택적 구현에서, 송신 모듈(921)은: 지시 정보 013이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051이 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 사용자 평면 보안 정책 024를 액세스 네트워크 디바이스에 송신하도록 구성된다.
선택적 구현에서, 수신 모듈(923)은 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하도록 구성되고; 처리 모듈(922)은 지시 정보 013이 단말 디바이스가 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고 가입 데이터가 사용자 평면 보안 정책 024를 포함할 때, 사용자 평면 보안 정책 024를 저장하도록 구성된다.
선택적 구현에서, 수신 모듈(923)은 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하도록 구성되고; 처리 모듈(922)은 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고 가입 데이터가 사용자 평면 보안 정책을 포함하지 않을 때, 미리 구성된 사용자 평면 보안 정책 024-1에 따라 사용자 평면 보안 정책 024를 결정하고, 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 024를 저장하도록 구성된다.
선택적 구현에서, 수신 모듈(923)은 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하도록 구성되고; 처리 모듈(922)은 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051은 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 사용자 평면 보안 보호를 지원함을 지시하며, 가입 데이터가 사용자 평면 보안 정책 024를 포함할 때, 사용자 평면 보안 정책 024를 저장하도록 구성된다.
선택적 구현에서, 수신 모듈(923)은 홈 가입자 서버로부터 단말 디바이스의 가입 데이터를 수신하도록 구성되고; 처리 모듈(922)은 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 사이 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 지시 정보 051이 액세스 네트워크 디바이스가 액세스 네트워크 디바이스와 단말 디바이스 간의 사용자 평면 보안 보호를 지원함을 지시하며, 가입 데이터는 사용자 평면 보안 정책을 포함하지 않을 때, 미리 구성된 사용자 평면 보안 정책 024-2에 따라 사용자 평면 보안 정책 024를 결정하고, 단말 디바이스의 콘텍스트에 사용자 평면 보안 정책 024를 저장하도록 구성된다.
다른 내용에 대해서는 도 4, 도 5, 도 6a 및 도 6b, 또는 도 7의 실시예에서 이동성 관리 엔티티 또는 MME에 대한 방법을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
도 10에 도시된 바와 같이, 일 실시예는 통신 디바이스(100)를 더 제공한다. 통신 디바이스(100)는 액세스 네트워크 디바이스 또는 액세스 네트워크 디바이스의 칩일 수 있다. 통신 디바이스(100)는 트랜시버 유닛(1001) 및 처리 유닛(1002)을 포함한다.
도 11에 도시된 바와 같이, 일 실시예는 통신 디바이스(110)를 더 제공한다. 통신 디바이스(110)는 이동성 관리 엔티티 또는 이동성 관리 엔티티의 칩일 수 있다. 통신 디바이스(110)는 트랜시버 유닛(1101) 및 처리 유닛(1102)을 포함한다.
통신 디바이스(100)가 액세스 네트워크 디바이스 또는 eNB일 때 그리고 통신 디바이스(110)가 이동성 관리 엔티티 또는 MME일 때, 트랜시버 유닛(1001) 및 트랜시버 유닛(1101)은 정보를 송신할 때 송신 유닛 또는 송신기일 수 있으며, 트랜시버 유닛(1001) 및 트랜시버 유닛(1101)은 정보를 수신할 때 수신 유닛 또는 수신기일 수 있다. 트랜시버 유닛은 트랜시버일 수도 있고, 송신기와 수신기를 통합한 무선 주파수 회로일 수도 있다. 통신 디바이스(100) 또는 통신 디바이스(110)가 저장 유닛을 포함할 때, 저장 유닛은 컴퓨터 명령어를 저장하도록 구성된다. 프로세서는 메모리에 통신 가능하게 연결되고 프로세서는 메모리에 저장된 컴퓨터 명령어를 실행하므로, 액세스 네트워크 디바이스 및 이동성 관리 엔티티는 도 2, 도 4, 및 도 5에 대응하는 방법 실시예의 방법을 수행하고, eNB와 MME는 도 3a 및 도 3b, 도 6a 및 도 6b, 그리고 도 7에 대응하는 실시예의 방법을 수행한다. 또한 처리 유닛(1002) 및 처리 유닛(1102)은 범용 중앙 처리 유닛, 마이크로프로세서, 디지털 신호 프로세서(digital signal processor, DSP) 또는 마이크로 컨트롤러 유닛(micro controller unit, MCU)일 수 있다. 프로세서는 독립적인 반도체 칩일 수도 있고, 다른 회로와 함께 반도체 칩에 통합될 수도 있다. 예를 들어, 프로세서와 다른 회로(예를 들어, 코덱 회로, 하드웨어 가속 회로, 또는 다양한 버스 및 인터페이스 회로)는 시스템 온 칩(system-on-a-chip, SoC)을 구성할 수 있으며, 또는 프로세서는 애플리케이션 특정 집적 회로(ASIC)의 내장형 프로세서로서 ASIC에 통합될 수 있다.
통신 디바이스(100)가 액세스 네트워크 디바이스 내의 칩일 때 그리고 통신 디바이스(110)가 이동성 관리 엔티티 내의 칩일 때, 트랜시버 유닛(1001) 및 트랜시버 유닛(1101)은 입력 및/또는 출력 인터페이스, 핀, 회로 등일 수 있다. 또한 처리 유닛(1002)은 액세스 네트워크 디바이스 내의 칩의 프로세서일 수 있고, 처리 유닛(1102)은 이동성 관리 엔티티 내의 칩의 프로세서일 수 있다. 프로세서는 저장 유닛에 저장된 컴퓨터가 실행 가능한 명령어를 실행할 수 있으므로, 액세스 네트워크 디바이스의 칩과 이동성 관리 엔티티의 칩이 도 2 내지 도 7에 대응하는 실시예의 방법을 수행한다. 선택적으로, 저장 유닛은 칩 내의 저장 유닛, 예를 들어 레지스터 또는 버퍼이고; 또는 저장 유닛은 액세스 네트워크 디바이스 또는 이동성 관리 엔티티에 있으면서 또한 칩 외부에 위치된 저장 유닛, 예를 들어 읽기 전용 메모리(read-only memory, ROM), 정적 정보 및 명령어를 저장할 수 있는 다른 유형의 정적 저장 디바이스, 또는 랜덤 액세스 메모리(random access memory, RAM)일 수 있다.
예를 들어, 통신 디바이스(100)의 경우, 트랜시버 유닛(1001)은 소스 액세스 네트워크 디바이스로부터 메시지 001을 수신하고, 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하도록 구성된다. 처리 유닛(1002)은 소스 액세스 네트워크 디바이스로부터 메시지 001을 수신하도록 트랜시버 유닛(1001)을 제어하도록 구성되며, 메시지 001은 지시 정보 011을 포함한다. 또한 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 프로세서(801)는 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하도록 트랜시버 유닛(1001)을 제어하며, 사용자 평면 보안 정책 021은 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다.
예를 들어, 처리 유닛(1002)은 추가로, 지시 정보 011이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 이동성 관리 엔티티에 송신하도록 트랜시버 유닛(1001)을 제어하도록 구성되고, 경로 전환 요청 033은 지시 정보 011을 운반한다.
예를 들어, 처리 유닛(1002)은 추가로, 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 사용자 평면 보안 정책 022와 매칭되지 않을 때, 사용자 평면 보안 정책 022에 따라 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되고, 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태이다.
다른 내용에 대해서는 도 2 또는 도 3a 및 도 3b의 실시예에서 타깃 액세스 네트워크 디바이스 또는 타깃 eNB에 대한 방법을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
예를 들어, 통신 디바이스(110)의 경우, 처리 유닛(1102)은 지시 정보 013을 획득하고, 지시 정보 013에 기반하여, 사용자 평면 보안 정책 024를 단말 디바이스에 서비스를 제공하는 액세스 네트워크 디바이스에 송신할지를 판정하도록 구성된다. 사용자 평면 보안 정책 024는 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시한다. 지시 정보 013은 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하는지 여부를 지시한다.
예를 들어, 트랜시버 유닛(1101)은, 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하고, 경로 전환 요청 034가 사용자 평면 보안 정책을 운반하지 않을 때, 사용자 평면 보안 정책 024를 운반하는 경로 전환 응답 044를 타깃 액세스 네트워크 디바이스에 송신하도록 구성된다.
예를 들어, 트랜시버 유닛(1101)은, 지시 정보 013이 단말 디바이스가 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 사용자 평면 보안 정책 024를 소스 액세스 디바이스에 송신하도록 구성된다.
다른 내용에 대해서는 도 4, 도 5, 도 6a 및 도 6b, 또는 도 7의 실시예에서 이동성 관리 엔티티 또는 MME에 대한 방법을 참조한다. 자세한 내용은 여기서 다시 설명하지 않는다.
액세스 네트워크 디바이스는 액세스 네트워크 디바이스의 방법 또는 프로세스의 단계에 대응하는 기능 유닛(수단)을 포함할 수 있고, 이동성 관리 엔티티는 이동성 관리 엔티티의 방법 또는 프로세스의 단계에 대응하는 기능 유닛을 포함할 수 있음을 이해해야 한다. 전술한 모듈 또는 유닛 중 하나 이상은 소프트웨어, 하드웨어 또는 이들의 조합을 사용하여 구현될 수 있다. 상술한 모듈이나 유닛 중 어느 하나가 소프트웨어를 사용하여 구현될 때, 그 소프트웨어는 컴퓨터 프로그램 명령어 형태로 존재하며 메모리에 저장되고, 프로세서는 프로그램 명령어를 실행하여 방법 프로세스를 구현하도록 구성될 수 있다.
본 출원의 실시예에 제공된 방법에 따르면, 본 출원의 실시예는 통신 시스템을 더 제공한다. 통신 시스템은 단말 디바이스, 액세스 네트워크 디바이스, 및 이동성 관리 엔티티를 포함한다. 액세스 네트워크 디바이스의 구조에 대해서는 도 8에 대응하는 실시예의 통신 디바이스(80)를 참조한다. 이동성 관리 엔티티의 구조에 대해서는 도 9에 대응하는 실시예의 통신 디바이스(90)를 참조한다. 또한 액세스 네트워크 디바이스가 칩일 때, 액세스 네트워크 디바이스에 대해서는 도 10에 대응하는 실시예의 통신 디바이스(100)를 참조하고; 이동성 관리 엔티티가 칩일 때, 이동성 관리 엔티티에 대해서는 도 11에 대응하는 실시예의 통신 디바이스(110)를 참조한다.
구현 동안, 전술한 방법의 단계는 프로세서에 있는 하드웨어의 집적 로직 회로에 의해 또는 소프트웨어 형태의 명령어를 통해 수행될 수 있다. 본 출원의 실시예와 관련하여 개시된 방법의 단계는 하드웨어 프로세서에 의해 직접 수행될 수 있거나, 프로세서 내의 하드웨어와 소프트웨어 모듈의 조합에 의해 수행될 수 있다. 소프트웨어 모듈은 랜덤 액세스 메모리, 플래시 메모리, 읽기 전용 메모리, 프로그래밍 가능한 읽기 전용 메모리, 전기적으로 소거 가능한 프로그래밍 가능한 메모리 또는 레지스터와 같은 당업계의 성숙한 저장 매체에 위치될 수 있다. 저장 매체는 메모리에 위치되며, 프로세서는 메모리의 정보를 읽고 프로세서의 하드웨어를 기반으로 전술한 방법의 단계를 수행한다. 반복을 피하기 위해 자세한 내용은 여기서 다시 설명하지 않는다. 또한 본 명세서에서 "제1", "제2", "제3", "제4" 및 다양한 숫자는 설명의 용이함을 위한 구분을 위해 사용된 것일 뿐, 본 출원의 실시예의 범위를 한정하려는 의도가 아님을 이해해야 한다.
본 명세서에서 "및/또는"이라는 용어는 연관된 객체들 사이의 연관 관계만을 기술하는 것으로, 세 가지 관계가 존재할 수 있음을 지시하는 것으로 이해되어야 한다. 예를 들어, A 및/또는 B는 다음 세 가지 경우: A만 존재하는 경우, A와 B가 모두 존재하는 경우, B만 존재하는 경우를 지시할 수 있다. 또한 본 명세서에서 문자 "/"는 일반적으로 연관된 객체 간의 "또는" 관계를 지시한다.
전술한 프로세스의 시퀀스 번호는 본 출원의 실시예에서 실행 시퀀스를 의미하지 않음을 이해해야 한다. 프로세스의 실행 시퀀스는 프로세스의 기능 및 내부 로직에 따라 결정되어야 하며, 본 출원 실시예의 구현 프로세스에 대한 제한을 구성해서는 안 된다.
설명의 용이성과 간결성을 위해 전술한 시스템, 장치 및 유닛의 상세한 작동 프로세스에 대해 전술한 방법 실시예에서 대응하는 프로세스를 참조할 수 있음을 당업자는 명확하게 이해할 수 있다. 자세한 내용은 여기서 다시 설명하지 않는다.
전술한 실시예들은 단지 본 출원을 제한하는 것이 아니라 본 출원의 기술 솔루션을 설명하기 위한 것이다. 본 출원은 전술한 실시예를 참조하여 상세하게 설명되지만, 당업자는 본 출원 실시예의 기술 솔루션의 정신 및 범위를 벗어나지 않고, 여전히 전술한 실시예에 설명된 기술 솔루션을 수정하거나 그것의 일부 기술적 특징에 대해 동등한 대체를 할 수 있음을 이해해야 한다.

Claims (52)

  1. 보안 정책 처리 방법으로서,
    타깃 액세스 네트워크 디바이스가, 소스 액세스 네트워크 디바이스로부터 메시지 001을 수신하는 단계 - 상기 메시지 001은 지시 정보 011을 포함함 -; 및
    상기 지시 정보 011이 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호(on-demand user plane security protection)를 지원함을 지시할 때, 상기 타깃 액세스 네트워크 디바이스가, 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하는 단계 - 상기 사용자 평면 보안 정책 021은 사용자 평면 암호화 보호를 활성화(enable)할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시함 -
    를 포함하는 보안 정책 처리 방법.
  2. 제1항에 있어서,
    상기 액세스 네트워크 디바이스는 진화된 노드B(evolved NodeB, eNB)인, 보안 정책 처리 방법.
  3. 제1항 또는 제2항에 있어서,
    상기 타깃 액세스 네트워크 디바이스가 상기 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 상기 사용자 평면 보안 정책 021은 상기 타깃 액세스 네트워크 디바이스에 의해 구성된 사용자 평면 보호 정책 021-1인, 보안 정책 처리 방법.
  4. 제3항에 있어서,
    상기 보안 정책 처리 방법은,
    상기 타깃 액세스 네트워크 디바이스가, 상기 타깃 액세스 네트워크 디바이스와 상기 단말 디바이스 간의 사용자 평면 보안 활성화 상태(activation status)가, 사용자 평면 암호화 보호가 활성화되고(enabled) 사용자 평면 무결성 보호는 활성화되지 않는 것으로 결정하는 단계; 및
    상기 타깃 액세스 네트워크 디바이스가, 상기 사용자 평면 보안 활성화 상태와 매칭되는 상기 사용자 평면 보안 정책 021-1을 구성하는 단계
    를 더 포함하는 보안 정책 처리 방법.
  5. 제3항 또는 제4항에 있어서,
    상기 사용자 평면 보안 정책 021-1은 사용자 평면 암호화 보호 정책 및 사용자 평면 무결성 보호 정책을 포함하고, 상기 사용자 평면 암호화 보호 정책은 활성화(enabling)가 요구되거나 활성화가 선호됨을 지시하며, 상기 사용자 평면 무결성 보호 정책은 활성화가 필요하지 않거나 활성화가 선호됨을 지시하는, 보안 정책 처리 방법.
  6. 제1항 또는 제2항에 있어서,
    상기 타깃 액세스 네트워크 디바이스가 상기 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 상기 사용자 평면 보안 정책 021은 상기 타깃 액세스 네트워크 디바이스에 미리 구성된 사용자 평면 보안 정책 021-2인, 보안 정책 처리 방법.
  7. 제6항에 있어서,
    상기 메시지 001은 상기 단말 디바이스의 N개의 진화된 무선 액세스 베어러의 식별자를 더 포함하고, N은 1보다 크거나 같은 정수이며,
    상기 경로 전환 요청 031은 상기 N개의 진화된 무선 액세스 베어러의 식별자를 더 포함하는, 보안 정책 처리 방법.
  8. 제7항에 있어서,
    상기 경로 전환 요청 031은 N개의 사용자 평면 보안 정책 021-2를 포함하고, 상기 N개의 진화된 무선 액세스 베어러의 식별자 각각은 상기 N개의 사용자 평면 보안 정책 021-2 중 하나에 대응하는, 보안 정책 처리 방법.
  9. 제1항 내지 제8항 중 어느 한 항에 있어서,
    상기 타깃 액세스 네트워크 디바이스가, 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하는 단계 이후에, 상기 보안 정책 처리 방법은,
    상기 타깃 액세스 네트워크 디바이스가, 상기 이동성 관리 엔티티로부터 경로 전환 응답 041을 수신하는 단계 - 상기 경로 전환 응답 041은 사용자 평면 보안 정책 022를 운반함 -; 및
    상기 타깃 액세스 네트워크 디바이스가, 상기 단말 디바이스의 콘텍스트에 상기 사용자 평면 보안 정책 022를 저장하는 단계
    를 더 포함하는 보안 정책 처리 방법.
  10. 제9항에 있어서,
    상기 보안 정책 처리 방법은
    상기 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 상기 사용자 평면 보안 정책 022와 매칭되지 않으면, 상기 타깃 액세스 네트워크 디바이스가, 상기 사용자 평면 보안 정책 022에 따라 상기 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하는 단계 - 상기 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 상기 타깃 액세스 네트워크 디바이스와 상기 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태임 -
    를 더 포함하는 보안 정책 처리 방법.
  11. 제1항에 있어서,
    상기 보안 정책 처리 방법은,
    상기 지시 정보 011이 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 상기 타깃 액세스 네트워크 디바이스가, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 상기 이동성 관리 엔티티에 송신하는 단계; 및
    상기 타깃 액세스 네트워크 디바이스가, 상기 이동성 관리 엔티티로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 042를 수신하는 단계
    를 더 포함하는 보안 정책 처리 방법.
  12. 제1항에 있어서,
    상기 보안 정책 처리 방법은
    상기 지시 정보 011이 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 상기 타깃 액세스 네트워크 디바이스가, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 상기 이동성 관리 엔티티에 송신하는 단계 - 상기 경로 전환 요청 033은 상기 지시 정보 011을 운반함 -;
    상기 타깃 액세스 네트워크 디바이스가, 상기 이동성 관리 엔티티로부터 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043을 수신하는 단계; 및
    상기 타깃 액세스 네트워크 디바이스가, 상기 단말 디바이스의 콘텍스트에 상기 사용자 평면 보안 정책 023을 저장하는 단계
    를 더 포함하는 보안 정책 처리 방법.
  13. 제12항에 있어서,
    상기 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043은 지시 정보 012를 추가로 운반하고, 상기 지시 정보 012는 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하는, 보안 정책 처리 방법.
  14. 제12항 또는 제13항에 있어서,
    상기 보안 정책 처리 방법은,
    상기 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 상기 사용자 평면 보안 정책 023과 매칭되지 않으면, 상기 타깃 액세스 네트워크 디바이스가, 상기 사용자 평면 보안 정책 023에 따라 상기 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하는 단계 - 상기 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 상기 타깃 액세스 네트워크 디바이스와 상기 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태임 -
    를 더 포함하는 보안 정책 처리 방법.
  15. 제1항 내지 제14항 중 어느 한 항에 있어서,
    상기 지시 정보 011은 상기 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현되고, 상기 단말 디바이스의 진화된 패킷 시스템 보안 능력은 상기 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시하는, 보안 정책 처리 방법.
  16. 제1항 내지 제15항 중 어느 한 항에 있어서,
    상기 메시지 001은 핸드오버 요청 또는 콘텍스트 검색 응답인, 보안 정책 처리 방법.
  17. 통신 디바이스로서,
    소스 액세스 네트워크 디바이스로부터 메시지 001을 수신하도록 - 상기 메시지 001은 지시 정보 011을 포함함 - 구성된 수신 모듈; 및
    상기 지시 정보 011이 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하도록 송신 모듈을 제어하도록 - 상기 사용자 평면 보안 정책 021은 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시함 - 구성된 처리 모듈
    을 포함하는 통신 디바이스.
  18. 제17항에 있어서,
    상기 액세스 네트워크 디바이스는 진화된 노드B(evolved NodeB, eNB)인, 통신 디바이스.
  19. 제17항 또는 제18항에 있어서,
    상기 통신 디바이스가 상기 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 상기 사용자 평면 보안 정책 021은 상기 통신 디바이스에 의해 구성된 사용자 평면 보호 정책 021-1인, 통신 디바이스.
  20. 제19항에 있어서,
    상기 처리 모듈은 추가로,
    상기 액세스 네트워크 디바이스와 상기 단말 디바이스 간의 사용자 평면 보안 활성화 상태가, 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호는 활성화되지 않는 것으로 결정하고; 그리고 상기 사용자 평면 보안 활성화 상태와 매칭되는 상기 사용자 평면 보안 정책 021-1을 구성하도록 구성되는, 통신 디바이스.
  21. 제19항 또는 제20항에 있어서,
    상기 사용자 평면 보안 정책 021-1은 사용자 평면 암호화 보호 정책 및 사용자 평면 무결성 보호 정책을 포함하고, 상기 사용자 평면 암호화 보호 정책은 활성화가 요구되거나 활성화가 선호됨을 지시하며, 상기 사용자 평면 무결성 보호 정책은 활성화가 필요하지 않거나 활성화가 선호됨을 지시하는, 통신 디바이스.
  22. 제17항 또는 제18항에 있어서,
    상기 통신 디바이스가 상기 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 상기 사용자 평면 보안 정책 021은 상기 통신 디바이스에 미리 구성된 사용자 평면 보안 정책 021-2인, 통신 디바이스.
  23. 제22항에 있어서,
    상기 메시지 001은 상기 단말 디바이스의 N개의 진화된 무선 액세스 베어러의 식별자를 더 포함하고, N은 1보다 크거나 같은 정수이며,
    상기 경로 전환 요청 031은 상기 N개의 진화된 무선 액세스 베어러의 식별자를 더 포함하는, 통신 디바이스.
  24. 제23항에 있어서,
    상기 경로 전환 요청 031은 N개의 사용자 평면 보안 정책 021-2를 포함하고, 상기 N개의 진화된 무선 액세스 베어러의 식별자 각각은 상기 N개의 사용자 평면 보안 정책 021-2 중 하나에 대응하는, 통신 디바이스.
  25. 제17항 내지 제24항 중 어느 한 항에 있어서,
    상기 수신 모듈은 추가로, 상기 이동성 관리 엔티티로부터 경로 전환 응답 041을 수신하도록 구성되고, 상기 경로 전환 응답 041은 사용자 평면 보안 정책 022를 운반하며,
    상기 통신 디바이스는 저장 모듈을 더 포함하고,
    상기 저장 모듈은 상기 단말 디바이스의 콘텍스트에 상기 사용자 평면 보안 정책 022를 저장하도록 구성되는, 통신 디바이스.
  26. 제25항에 있어서,
    상기 처리 모듈은 추가로,
    상기 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 상기 사용자 평면 보안 정책 022와 매칭되지 않을 때, 상기 사용자 평면 보안 정책 022에 따라 상기 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되며, 상기 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 상기 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태인, 통신 디바이스.
  27. 제17항에 있어서,
    상기 송신 모듈은 추가로,
    상기 지시 정보 011이 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 상기 이동성 관리 엔티티에 송신하도록 구성되고,
    상기 수신 모듈은 추가로, 상기 이동성 관리 엔티티로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 042를 수신하도록 구성되는, 통신 디바이스.
  28. 제17항에 있어서,
    상기 송신 모듈은 추가로,
    상기 지시 정보 011이 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 상기 이동성 관리 엔티티에 송신하도록 구성되고, 상기 경로 전환 요청 033은 상기 지시 정보 011을 운반하며,
    상기 수신 모듈은 추가로, 상기 이동성 관리 엔티티로부터 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043을 수신하도록 구성되고,
    상기 통신 디바이스는 저장 모듈을 더 포함하며,
    상기 저장 모듈은 상기 단말 디바이스의 콘텍스트에 상기 사용자 평면 보안 정책 023을 저장하도록 구성되는, 통신 디바이스.
  29. 제28항에 있어서,
    상기 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043은 지시 정보 012를 추가로 운반하고, 상기 지시 정보 012는 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하는, 통신 디바이스.
  30. 제28항 또는 제29항에 있어서,
    상기 처리 모듈은 추가로,
    상기 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 상기 사용자 평면 보안 정책 023과 매칭되지 않을 때, 상기 사용자 평면 보안 정책 023에 따라 상기 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되고, 상기 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 상기 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태인, 통신 디바이스.
  31. 제17항 내지 제30항 중 어느 한 항에 있어서,
    상기 지시 정보 011은 상기 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현되고, 상기 단말 디바이스의 진화된 패킷 시스템 보안 능력은 상기 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시하는, 통신 디바이스.
  32. 제17항 내지 제31항 중 어느 한 항에 있어서,
    상기 메시지 001은 핸드오버 요청 또는 콘텍스트 검색 응답인, 통신 디바이스.
  33. 통신 디바이스로서,
    상기 통신 디바이스는 프로세서, 메모리, 및 트랜시버를 포함하고,
    상기 메모리는 프로그램 코드를 저장하며,
    상기 프로세서는 상기 메모리에 저장된 상기 프로그램 코드를 실행하여, 다음 작동:
    소스 액세스 네트워크 디바이스로부터 메시지 001을 수신하도록 상기 트랜시버를 제어하는 작동 - 상기 메시지 001은 지시 정보 011을 포함함 -; 및
    상기 지시 정보 011이 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시할 때, 사용자 평면 보안 정책 021을 운반하는 경로 전환 요청 031을 이동성 관리 엔티티에 송신하도록 상기 트랜시버를 제어하는 작동 - 상기 사용자 평면 보안 정책 021은 사용자 평면 암호화 보호를 활성화할지 여부 및/또는 사용자 평면 무결성 보호를 활성화할지 여부를 지시함 -
    을 수행하도록 구성되는, 통신 디바이스.
  34. 제33항에 있어서,
    상기 액세스 네트워크 디바이스는 진화된 노드B(evolved NodeB, eNB)인, 통신 디바이스.
  35. 제33항 또는 제34항에 있어서,
    상기 통신 디바이스가 상기 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 상기 사용자 평면 보안 정책 021은 상기 통신 디바이스에 의해 구성된 사용자 평면 보호 정책 021-1인, 통신 디바이스.
  36. 제35항에 있어서,
    상기 프로세서는 추가로,
    상기 액세스 네트워크 디바이스와 상기 단말 디바이스 간의 사용자 평면 보안 활성화 상태가, 사용자 평면 암호화 보호가 활성화되고 사용자 평면 무결성 보호는 활성화되지 않는 것으로 결정하고; 그리고
    상기 사용자 평면 보안 활성화 상태와 매칭되는 상기 사용자 평면 보안 정책 021-1을 구성하도록 구성되는, 통신 디바이스.
  37. 제35항 또는 제36항에 있어서,
    상기 사용자 평면 보안 정책 021-1은 사용자 평면 암호화 보호 정책 및 사용자 평면 무결성 보호 정책을 포함하고, 상기 사용자 평면 암호화 보호 정책은 활성화가 요구되거나 활성화가 선호됨을 지시하며, 상기 사용자 평면 무결성 보호 정책은 활성화가 필요하지 않거나 활성화가 선호됨을 지시하는, 통신 디바이스.
  38. 제33항 또는 제34항에 있어서,
    상기 통신 디바이스가 상기 소스 액세스 네트워크 디바이스로부터 사용자 평면 보안 정책을 수신하지 않을 때, 상기 사용자 평면 보안 정책 021은 상기 통신 디바이스에 미리 구성된 사용자 평면 보안 정책 021-2인, 통신 디바이스.
  39. 제38항에 있어서,
    상기 메시지 001은 상기 단말 디바이스의 N개의 진화된 무선 액세스 베어러의 식별자를 더 포함하고, N은 1보다 크거나 같은 정수이며,
    상기 경로 전환 요청 031은 상기 N개의 진화된 무선 액세스 베어러의 식별자를 더 포함하는, 통신 디바이스.
  40. 제39항에 있어서,
    상기 경로 전환 요청 031은 N개의 사용자 평면 보안 정책 021-2를 포함하고, 상기 N개의 진화된 무선 액세스 베어러의 식별자 각각은 상기 N개의 사용자 평면 보안 정책 021-2 중 하나에 대응하는, 통신 디바이스.
  41. 제33항 내지 제40항 중 어느 한 항에 있어서,
    상기 프로세서는 추가로,
    상기 이동성 관리 엔티티로부터 경로 전환 응답 041을 수신하도록 상기 트랜시버를 제어하고 - 상기 경로 전환 응답 041은 사용자 평면 보안 정책 022를 운반함 -, 그리고
    상기 단말 디바이스의 콘텍스트에 상기 사용자 평면 보안 정책 022를 저장하도록 구성되는, 통신 디바이스.
  42. 제41항에 있어서,
    상기 프로세서는 추가로,
    상기 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 상기 사용자 평면 보안 정책 022와 매칭되지 않을 때, 상기 사용자 평면 보안 정책 022에 따라 상기 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되며, 상기 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 타깃 액세스 네트워크 디바이스와 상기 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태인, 통신 디바이스.
  43. 제33항에 있어서,
    상기 프로세서는 추가로,
    상기 지시 정보 011이 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 032를 상기 이동성 관리 엔티티에 송신하도록 상기 트랜시버를 제어하고, 그리고
    상기 이동성 관리 엔티티로부터 사용자 평면 보안 정책을 운반하지 않는 경로 전환 응답 042를 수신하도록 상기 트랜시버를 제어하도록 구성되는, 통신 디바이스.
  44. 제33항에 있어서,
    상기 프로세서는 추가로,
    상기 지시 정보 011이 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원하지 않음을 지시할 때, 사용자 평면 보안 정책을 운반하지 않는 경로 전환 요청 033을 상기 이동성 관리 엔티티에 송신하도록 상기 트랜시버를 제어하고 - 상기 경로 전환 요청 033은 상기 지시 정보 011을 운반함 -,
    상기 이동성 관리 엔티티로부터 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043을 수신하도록 상기 트랜시버를 제어하며, 그리고
    상기 단말 디바이스의 콘텍스트에 상기 사용자 평면 보안 정책 023을 저장하도록 구성되는, 통신 디바이스.
  45. 제44항에 있어서,
    상기 사용자 평면 보안 정책 023을 운반하는 경로 전환 응답 043은 지시 정보 012를 추가로 운반하고, 상기 지시 정보 012는 상기 단말 디바이스가 상기 단말 디바이스와 액세스 네트워크 디바이스 간의 온디맨드 사용자 평면 보안 보호를 지원함을 지시하는, 통신 디바이스.
  46. 제44항 또는 제45항에 있어서,
    상기 프로세서는 추가로,
    상기 단말 디바이스의 현재 사용자 평면 보안 활성화 상태가 상기 사용자 평면 보안 정책 023과 매칭되지 않을 때, 상기 사용자 평면 보안 정책 023에 따라 상기 단말 디바이스에 대한 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호를 활성화하는 것을 활성화하거나 스킵하도록 구성되고, 상기 현재 사용자 평면 보안 활성화 상태는 사용자 평면 암호화 보호 및/또는 사용자 평면 무결성 보호가 상기 타깃 액세스 네트워크 디바이스와 상기 단말 디바이스 사이에서 현재 활성화되는지 여부의 상태인, 통신 디바이스.
  47. 제33항 내지 제46항 중 어느 한 항에 있어서,
    상기 지시 정보 011은 상기 단말 디바이스의 진화된 패킷 시스템 보안 능력의 일부 비트로 표현되고, 상기 단말 디바이스의 진화된 패킷 시스템 보안 능력은 상기 단말 디바이스가 지원하는 적어도 하나의 보안 알고리즘을 지시하는, 통신 디바이스.
  48. 제33항 내지 제47항 중 어느 한 항에 있어서,
    상기 메시지 001은 핸드오버 요청 또는 콘텍스트 검색 응답인, 통신 디바이스.
  49. 컴퓨터가 판독 가능한 저장 매체로서,
    상기 컴퓨터가 판독 가능한 저장 매체는 명령어를 저장하고, 상기 명령어가 컴퓨터에서 실행될 때, 상기 컴퓨터는 제1항 내지 제16항 중 어느 한 항에 따른 방법을 수행하도록 활성화되는, 컴퓨터가 판독 가능한 저장 매체.
  50. 명령어를 포함하는 컴퓨터 프로그램 제품으로서,
    상기 명령어가 상기 컴퓨터에서 실행될 때, 상기 컴퓨터는 제1항 내지 제16항 중 어느 한 항에 따른 방법을 수행하도록 활성화되는, 컴퓨터 프로그램 제품.
  51. 통신 시스템으로서,
    이동성 관리 엔티티 및 제17항 내지 제32항 중 어느 한 항에 따른 통신 디바이스
    를 포함하는 통신 시스템.
  52. 제51항에 있어서,
    상기 통신 시스템은 소스 액세스 네트워크 디바이스 및/또는 단말 디바이스를 더 포함하는 통신 시스템.
KR1020237026688A 2021-01-08 2021-01-08 보안 정책 처리 방법 및 통신 디바이스 KR20230125322A (ko)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2021/070916 WO2022147777A1 (zh) 2021-01-08 2021-01-08 安全策略处理方法以及通信设备

Publications (1)

Publication Number Publication Date
KR20230125322A true KR20230125322A (ko) 2023-08-29

Family

ID=82357813

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020237026688A KR20230125322A (ko) 2021-01-08 2021-01-08 보안 정책 처리 방법 및 통신 디바이스

Country Status (8)

Country Link
US (1) US20230362201A1 (ko)
EP (1) EP4271011A4 (ko)
JP (1) JP2024502158A (ko)
KR (1) KR20230125322A (ko)
CN (1) CN116762383A (ko)
AU (1) AU2021416889A1 (ko)
CA (1) CA3204565A1 (ko)
WO (1) WO2022147777A1 (ko)

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2761445C2 (ru) * 2017-01-30 2021-12-08 Телефонактиеболагет Лм Эрикссон (Пабл) Способы для защиты целостности данных пользовательской плоскости
US11457352B2 (en) * 2017-08-02 2022-09-27 Sony Corporation Methods and apparatus for supporting integrity protection in handovers
CN109362108B (zh) * 2017-09-30 2019-11-01 华为技术有限公司 一种安全保护的方法、装置和系统
CN110831007B (zh) * 2018-08-10 2021-09-17 华为技术有限公司 用户面完整性保护方法、装置及设备
CN112020056B (zh) * 2019-05-29 2022-02-25 华为技术有限公司 切换的方法、装置和通信系统

Also Published As

Publication number Publication date
CA3204565A1 (en) 2022-07-14
AU2021416889A1 (en) 2023-07-27
US20230362201A1 (en) 2023-11-09
EP4271011A4 (en) 2024-01-24
EP4271011A1 (en) 2023-11-01
JP2024502158A (ja) 2024-01-17
WO2022147777A1 (zh) 2022-07-14
CN116762383A (zh) 2023-09-15

Similar Documents

Publication Publication Date Title
CN108702723B (zh) 无线通信系统中的注销方法及其装置
US20220256440A1 (en) Service gap control for a wireless device
US20230389112A1 (en) Network Assisted Connection
US9674830B2 (en) Method for processing data associated with session management and mobility management
US11259220B2 (en) Handover method and apparatus
US20160037421A1 (en) Handover of mobility management entity for load balancing
US11284458B2 (en) Handling of mapped EPS bearer context with duplicate EPS bearer ID
US20120069797A1 (en) Method for a communication node with a plurality of communication interfaces to notify dynamic path setup and associates apparatus thereof
WO2016085001A1 (ko) 스몰셀 환경을 지원하는 무선 접속 시스템에서 위치 비밀성 보호를 지원하는 방법 및 장치
US11576219B2 (en) User equipment, control apparatus, and communication control method
WO2015062643A1 (en) Keeping user equipment in a state attached to a cellular communication network during offloading of cellular data to another communication network
US20180255481A1 (en) Service flow transmission method and apparatus
CN107431875B (zh) 终端装置、分组数据网络网关及移动性管理实体
US11153925B2 (en) Handling of QoS flow description without valid EPS bearer context
CN108307698B (zh) 终端装置、分组数据网络网关及可信无线区域网络接入网关
WO2019034021A1 (zh) 一种异系统互操作的方法及装置
KR20230125322A (ko) 보안 정책 처리 방법 및 통신 디바이스
CN101998364A (zh) 一种对本地网际协议访问连接实施管理的方法及系统
TW202420878A (zh) 重新使用ursp規則的pdn分支ma pdu會話處理

Legal Events

Date Code Title Description
A201 Request for examination