KR20240140890A - 통신 네트워크에서의 보안 구성 업데이트 - Google Patents

통신 네트워크에서의 보안 구성 업데이트 Download PDF

Info

Publication number
KR20240140890A
KR20240140890A KR1020247013900A KR20247013900A KR20240140890A KR 20240140890 A KR20240140890 A KR 20240140890A KR 1020247013900 A KR1020247013900 A KR 1020247013900A KR 20247013900 A KR20247013900 A KR 20247013900A KR 20240140890 A KR20240140890 A KR 20240140890A
Authority
KR
South Korea
Prior art keywords
akma
wireless device
message
security
network element
Prior art date
Application number
KR1020247013900A
Other languages
English (en)
Inventor
젠 싱
실린 요우
지강 왕
유제 리우
진 펭
자오지 린
Original Assignee
지티이 코포레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 지티이 코포레이션 filed Critical 지티이 코포레이션
Publication of KR20240140890A publication Critical patent/KR20240140890A/ko

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

본 개시내용은 일반적으로 통신 네트워크에서의 보안 구성 업데이트 및 동기화에 관한 것이다. 무선 네트워크에서 무선 디바이스에 의해 수행되는 본 방법은, 애플리케이션 기능을 호스팅하는 제1 네트워크 요소로부터, 무선 디바이스와 연관된 애플리케이션을 위한 인증 및 키 관리(Authentication and Key Management for Applications; AKMA) 앵커 키 식별자; 인증 방법을 나타내는 인증 방법 표시자; 또는 인증 방법과 연관된 파라미터의 세트 중 적어도 하나를 포함하는 제1 메시지를 수신하는 단계를 포함한다.

Description

통신 네트워크에서의 보안 구성 업데이트
본 개시내용은 통신 네트워크에서의 보안 구성 업데이트 및 동기화에 관한 것이다.
통신 네트워크에서, 사용자 장비(User Equipment; UE)와 통신 네트워크의 상호 인증은 인증된 UE와 인증된 통신 네트워크만이 서로 통신할 수 있도록 수행될 수 있다. 애플리케이션 기능(Application Function; AF) 엔티티는 일단 인증되면 UE에 다양한 애플리케이션 서비스를 제공할 수 있다. 다양한 네트워크 요소(network element)를 관여시키는 효율적이고 강력한 인증 메커니즘은 애플리케이션 기능 엔티티와 UE 간의 보안 통신을 제공하고 UE와 응용 기능 엔티티의 크리덴셜(credential)을 보호하는 데 중요하다.
본 개시내용은 통신 네트워크에서의 보안 구성 업데이트 및 동기화에 관한 것이며, 특히 애플리케이션 기능, UE 등과 같은 다양한 네트워크 엔티티에서 보안 키 및 다른 보안 파라미터를 리프레시(refresh)하는 것에 관한 것이다.
일 실시예에서, 본 개시내용은 무선 통신을 위한 방법을 설명한다. 무선 네트워크에서 무선 디바이스에 의해 수행되는 본 방법은, 애플리케이션 기능을 호스팅하는 제1 네트워크 요소로부터, 무선 디바이스와 연관된 애플리케이션을 위한 인증 및 키 관리(Authentication and Key Management for Applications; AKMA) 앵커 키 식별자; 인증 방식을 나타내는 인증 방법 표시자; 또는 인증 방법과 연관된 파라미터의 세트 중 적어도 하나를 포함하는 제1 메시지를 수신하는 단계를 포함한다.
또 다른 실시예에서, 본 개시내용은 무선 통신을 위한 방법을 설명한다. AKMA 앵커 기능을 호스팅하는, 무선 네트워크 내의 제1 네트워크 요소에 의해 수행되는 본 방법은, 무선 네트워크 내의 무선 디바이스와 연관된 업데이트된 보안 관련 정보를 요청하는 제1 메시지를 수신하는 단계 - 제1 메시지는, 무선 디바이스의 식별자; 또는 무선 디바이스와 연관된 제1 AKMA 앵커 키 식별자 중 적어도 하나를 포함함 -; 무선 디바이스와 연관된 현재 유효한 AKMA 앵커 키에 기초하여 현재 유효한 AKMA 애플리케이션 키를 도출(derive)하는 단계; 적어도 현재 유효한 AKMA 애플리케이션 키에 기초하여 무선 디바이스와 연관된 업데이트된 보안 관련 정보를 획득하는 단계; 및 애플리케이션 기능을 호스팅하는 제2 네트워크 요소에, 제1 메시지에 대한 응답으로 제2 메시지를 송신하는 단계를 포함하고, 제2 메시지는 무선 디바이스와 연관된 업데이트된 보안 관련 정보를 포함한다.
또 다른 실시예에서, 본 개시내용은 무선 통신을 위한 방법을 설명한다. 애플리케이션 기능을 호스팅하는, 무선 네트워크 내의 제1 네트워크 요소에 의해 수행되는 본 방법은, 무선 네트워크 내의 무선 디바이스와 연관된 업데이트된 보안 관련 정보를 요청하는 제1 메시지를 송신하는 단계 - 제1 메시지는, 무선 디바이스의 식별자; 또는 무선 디바이스와 연관된 제1 AKMA 앵커 키 식별자 중 적어도 하나를 포함함 -; 및 AKMA 앵커 기능을 호스팅하는 제2 네트워크 요소로부터, 제1 메시지에 대한 응답으로서 제2 메시지를 수신하는 단계를 포함하고, 제2 메시지는 무선 디바이스와 연관된 업데이트된 보안 관련 정보를 포함한다.
또 다른 실시예에서, 프로세서 및 메모리를 포함하는 네트워크 요소 또는 무선 디바이스가 개시된다. 프로세서는 위의 방법 중 임의의 것을 구현하기 위해 메모리로부터 컴퓨터 코드를 판독하도록 구성될 수 있다.
또 다른 실시예에서, 컴퓨터 코드가 저장된 비일시적 컴퓨터 판독 가능 프로그램 매체를 포함하는 컴퓨터 프로그램 제품이 개시된다. 컴퓨터 코드는 프로세서에 의해 실행될 때 프로세서로 하여금 위의 방법 중 어느 하나를 구현하게 할 수 있다.
상기 실시예 및 다른 양상 및 그것들의 구현의 대안은 이하의 도면, 설명, 및 청구항에서 더 상세히 설명된다.
도 1은 다양한 단말 디바이스, 반송파 네트워크, 데이터 네트워크 및 서비스 애플리케이션을 포함하는 예시적인 통신 네트워크를 도시한다.
도 2는 통신 네트워크 내의 예시적인 네트워크 기능 또는 네트워크 노드를 도시한다.
도 3은 무선 통신 네트워크 내의 예시적인 네트워크 기능 또는 네트워크 노드를 도시한다.
도 4는 애플리케이션을 위한 인증 및 키 관리(AKMA) 프레임워크에 대한 예시적인 네트워크 모델을 도시한다.
도 5는 AKMA 프레임워크 하의 예시적인 키 계층 구조를 도시한다.
도 6 내지 11은 애플리케이션 기능 및 UE의 다양한 보안 구성을 업데이트하기 위한 다양한 예시적인 논리 흐름을 도시한다.
도 12는 AKMA 보안 구성을 UE에 푸시(push)하기 위한 예시적인 논리 흐름을 도시한다.
도 1에 100으로 도시된 예시적인 통신 네트워크는 단말 디바이스(110 및 112), 캐리어 네트워크(102), 다양한 서비스 애플리케이션(140) 및 기타 데이터 네트워크(150)를 포함할 수 있다. 예를 들어, 캐리어 네트워크(102)는 액세스 네트워크(120) 및 코어 네트워크(130)를 포함할 수 있다. 캐리어 네트워크(102)는 단말 디바이스들(110 및 112) 사이에서, 단말 디바이스들(110 및 112)과 서비스 애플리케이션들(140) 사이에서, 또는 단말 디바이스들(110 및 112)과 다른 데이터 네트워크들(150) 사이에서 음성, 데이터 및 다른 정보(통칭하여 데이터 트래픽)를 송신하도록 구성될 수 있다. 이러한 데이터 송신을 위해 통신 세션 및 대응 데이터 경로가 확립되고 구성될 수 있다. 액세스 네트워크(120)는 단말 디바이스(110 및 112)에게 코어 네트워크(130)에 대한 네트워크 액세스를 제공하도록 구성될 수 있다. 액세스 네트워크(120)는 예를 들어, 무선 자원을 통한 무선 액세스 또는 유선 액세스를 지원할 수 있다. 코어 네트워크(130)는 통신 세션을 제어하고 네트워크 액세스 관리 및 데이터 트래픽 라우팅을 수행하도록 구성된 다양한 네트워크 노드 또는 네트워크 기능을 포함할 수 있다. 서비스 애플리케이션(140)은 캐리어 네트워크(102)의 코어 네트워크(130)를 통해 단말 디바이스(110 및 112)에 의해 액세스 가능한 다양한 애플리케이션 서버에 의해 호스팅될 수 있다. 서비스 애플리케이션(140)은 코어 네트워크(130) 외부의 데이터 네트워크로서 전개(deploy)될 수 있다. 마찬가지로, 다른 데이터 네트워크(150)는 코어 네트워크(130)를 통해 단말 디바이스(110 및 112)에 의해 액세스 가능할 수 있고 캐리어 네트워크(102)에서 인스턴스화(instantiate)된 특정 통신 세션의 데이터 목적지 또는 데이터 소스로서 나타날 수 있다.
도 1의 코어 네트워크(130)는 캐리어 네트워크(102)의 서비스 지역의 네트워크 커버리지를 제공하기 위해 지리적으로 분산되고 상호 연결된 다양한 네트워크 노드 또는 기능을 포함할 수 있다. 이러한 네트워크 노드 또는 기능은 전용 하드웨어 네트워크 요소로서 구현될 수 있다. 대안적으로, 이러한 네트워크 노드 또는 기능은 가상화되어 가상 머신 또는 소프트웨어 엔티티로서 구현될 수 있다. 네트워크 노드는 각각 하나 이상의 유형의 네트워크 기능으로 구성될 수 있다. 이러한 네트워크 노드 또는 네트워크 기능은 코어 네트워크(130)의 프로비저닝(provisioning) 기능성 및 라우팅 기능성을 집합적으로 제공할 수 있다. "네트워크 노드" 및 "네트워크 기능"이라는 용어는 본 개시내용에서 상호교환적으로 사용된다.
도 2는 통신 네트워크(200)의 코어 네트워크(130)에서의 네트워크 기능의 예시적인 분할을 추가로 도시한다. 도 2에는 네트워크 노드 또는 기능의 단일 인스턴스만 예시되어 있지만, 당업자는 이러한 네트워크 노드 각각이 코어 네트워크(130) 전체에 분산된 네트워크 노드의 다수의 인스턴스로서 인스턴스화될 수 있다는 것을 쉽게 이해한다. 도 2에 도시된 바와 같이, 코어 네트워크(130)는 액세스 관리 네트워크 노드(access management network node; AMNN)(230), 인증 네트워크 노드(authentication network node; AUNN)(260), 네트워크 데이터 관리 네트워크 노드(network data management network node; NDMNN)(270), 세션 관리 네트워크 노드(session management network node; SMNN)(240), 데이터 라우팅 네트워크 노드(data routing network node; DRNN)(250), 정책 제어 네트워크 노드(policy control network node; PCNN)(220), 및 애플리케이션 데이터 관리 네트워크 노드(application data management network node; ADMNN)(210)와 같은 네트워크 노드를 포함할 수 있지만 이에 제한되지는 않는다. 다양한 통신 인터페이스를 통한 다양한 유형의 네트워크 노드 간의 예시적인 시그널링 및 데이터 교환은 도 2의 다양한 실선 연결선에 의해 표시된다. 이러한 시그널링 및 데이터 교환은 미리 결정된 형식 또는 프로토콜을 따르는 시그널링 또는 데이터 메시지에 의해 운반(carry)될 수 있다.
도 1 및 도 2에서 위에 설명된 구현은 무선 및 유선 통신 시스템 모두에 적용될 수 있다. 도 3은 도 2의 통신 네트워크(200)의 일반적인 구현에 기초한 예시적인 셀룰러 무선 통신 네트워크(300)를 예시한다. 도 3은 무선 통신 네트워크(300)가 사용자 장비(user equipment; UE)(310)(도 2의 단말 디바이스(110)로서 기능함), 무선 액세스 네트워크(radio access network; RAN)(320)(도 2의 액세스 네트워크(120)로서 기능함), 데이터 네트워크(data network; DN)(150), 및 코어 네트워크(130)를 포함할 수 있음을 도시하며, 코어 네트워크(130)는 액세스 관리 기능(access management function; AMF)(330)(도 2의 AMNN(230)으로서 기능함), 세션 관리 기능(session management function; SMF)(340)(도 2의 SMNN(240)으로서 기능함), 애플리케이션 기능(application function; AF)(390)(도 2의 ADMNN(210)으로서 기능함), 사용자 평면 기능(user plane function; UPF)(350)(도 2의 DRNN(250)으로서 기능함), 정책 제어 기능(322)(도 2의 PCNN(220)으로서 기능함), 인증 서버 기능(authentication server function; AUSF)(360)(도 2의 AUNN(260)으로서 기능함), 및 범용 데이터 관리(universal data management; UDM) 기능(370)(도 2의 UDMNN(270)으로서 기능함)을 포함한다. 다시 말하면, 무선 통신 네트워크(300)(특히 코어 네트워크(130))의 일부 네트워크 기능 또는 노드에 대한 단일 인스턴스만이 도 3에 예시되어 있지만, 당업자는 이들 네트워크 노드 또는 기능 각각이 무선 통신 네트워크(300) 전체에 걸쳐 분산된 다수의 인스턴스를 갖는다는 것을 쉽게 이해한다. AF(390)는 도 3에서 코어 네트워크(130)의 일부로서 묘사되어 있지만, 이들은 특정 서비스 애플리케이션(140)과 연관된 것으로 간주될 수 있고 코어 네트워크(140) 외부에 있는 것으로 간주될 수 있다.
도 3에서 UE(310)는 RAN(320)을 통해 코어 네트워크(130)에 액세스하도록 구성되는 다양한 유형의 모바일 디바이스로서 구현될 수 있다. UE(310)는 휴대폰, 랩톱 컴퓨터, 태블릿, 사물 인터넷(Internet-Of-Things; IoT) 디바이스, 분산 센서 네트워크 노드, 웨어러블 디바이스 등을 포함할 수 있지만 이에 제한되지는 않는다. UE는 또한 에지 컴퓨팅을 지원하는 다중 액세스 에지 컴퓨팅(Multi-access Edge Computing; MEC) 가능 UE일 수도 있다. 예를 들어, RAN(320)은 캐리어 네트워크의 서비스 영역 전체에 분산된 복수의 무선 기지국을 포함할 수 있다. UE(310)와 RAN(320) 사이의 통신은 도 3의 311로 표시된 바와 같이 OTA(over-the-air) 무선 인터페이스에서 운반될 수 있다.
계속해서 도 3을 참조하면, UDM(370)은 사용자 계약 및 가입 데이터를 위한 영구 저장소 또는 데이터베이스를 형성할 수 있다. UDM은 이하에서 보다 상세하게 설명되는 바와 같이, 사용자 인증을 위한 장기 보안 크리덴셜의 저장을 위해, 그리고 암호화 키의 연산을 수행하도록 이러한 장기 보안 크리덴셜을 입력으로서 사용하기 위해, 인증 크리덴셜 저장소 및 처리 기능(authentication credential repository and processing function)(도 3의 370에 표시된 ARPF)을 추가로 포함할 수 있다. UDM/ARPF 데이터의 비인가 노출(unauthorized exposure)을 방지하기 위해 UDM/ARPF(370)는 네트워크 운영자 또는 제3자의 안전한 네트워크 환경에 위치될 수 있다.
AMF/SEAF(330)는 이들 네트워크 노드 또는 기능을 연결하는 다양한 실선으로 표시되는 통신 인터페이스를 통해 RAN(320), SMF(340), AUSF(360), UDM/ARPF(370) 및 PCF(322)와 통신할 수 있다. AMF/SEAF(330)는 UE를 위해 비-액세스 계층(non-access stratum; NAS) 시그널링 관리를 담당할 수 있고, 특정 UE의 통신 필요를 지원하기 위해 SMF(340)의 할당뿐만 아니라 코어 네트워크(130)에 대한 UE(310)의 등록 및 액세스를 제공하는 것을 담당할 수 있다. AMF/SEAF(330)는 UE 이동성 관리를 추가로 담당할 수 있다. AMF는 또한 아래에 더 자세히 설명되는 것처럼 사용자 인증 및 다양한 레벨의 암호화/복호화 키의 관리를 위해 AUSF(360) 및 UE(310)와 상호작용하는 보안 앵커 기능(security anchor function)(도 3의 330에 표시된 SEAF)을 포함할 수 있다. AUSF(360)는 AMF/SEAF(330)로부터의 사용자 등록/인증/키 생성 요청을 종료하고, 이러한 사용자 등록/인증/키 생성을 완료하기 위해 UDM/ARPF(370)와 상호작용할 수 있다.
SMF(340)는 무선 통신 네트워크(300)에서 인스턴스화된 특정 통신 세션을 위해 AMF/SEAF(330)에 의해 할당될 수 있다. SMF(340)는 사용자 데이터 평면에서 통신 세션 및 데이터 흐름을 지원하기 위해 UPF(350)를 할당하고, (예컨대, 할당된 UPF(350)에 대한 패킷 검출 및 포워딩 규칙을 공식화하기 위해) 할당된 UPF(350)를 프로비저닝/조절하는 것을 담당할 수 있다. SMF(340)에 의해 할당되는 대신에, UPF(350)는 특정 통신 세션 및 데이터 흐름을 위해 AMF/SEAF(330)에 의해 할당될 수 있다. SMF(340) 및 AMF/SEAF(330)에 의해 할당 및 제공되는 UPF(350)는 데이터 라우팅 및 포워딩을 담당하고 특정 통신 세션에 의한 네트워크 사용 보고를 담당할 수 있다. 예를 들어, UPF(350)는 UE(310)와 DN(150) 사이, UE(310)와 서비스 애플리케이션(140) 사이에서 종단간 데이터 흐름을 라우팅하는 역할을 담당할 수 있다. DN(150) 및 서비스 애플리케이션(140)은 무선 통신 네트워크(300)의 운영자에 의해 또는 제3자 데이터 네트워크 및 서비스 제공자에 의해 제공되는 데이터 네트워크 및 서비스를 포함할 수 있지만 이에 제한되지는 않는다.
PCF(322)는 UE(310)와 연관된 통신 세션에 적용 가능한 다양한 수준의 정책 및 규칙을 관리하고 이를 AMF/SEAF(330) 및 SMF(340)에 제공하는 역할을 담당할 수 있다. 따라서, 예를 들어, AMF/SEAF(330)는 UE(310)와 연관되고 PCF(322)로부터 획득되는 정책 및 규칙에 따라 통신 세션에 대해 SMF(340)를 할당할 수 있다. 마찬가지로, SMF(340)는 PCF(322)로부터 획득된 정책 및 규칙에 따라 통신 세션의 데이터 라우팅 및 포워딩을 처리하기 위해 UPF(350)를 할당할 수 있다.
도 1 내지 3 및 아래에 설명된 다양한 예시적인 구현은 셀룰러 무선 통신 네트워크에 기초하지만, 본 개시내용의 범위는 그렇게 제한되지 않으며 기본 원리는 다른 유형의 무선 및 유선 통신 네트워크에 적용 가능하다.
도 3의 무선 통신 네트워크(300)에서의 네트워크 아이덴티티 및 데이터 보안은 AMF/SEAF(330), AUSF(360) 및 UDM/ARPF(370)에 의해 제공되는 사용자 인증 프로세스를 통해 관리될 수 있다. 특히, UE(310)는 먼저 네트워크 등록을 위해 AMF/SEAF(330)와 통신할 수 있으며, UDM/ARPF(370)의 사용자 계약 및 가입 데이터에 따라 AUSF(360)에 의해 인증될 수 있다. 그런 다음, 무선 통신 네트워크(300)에 대한 사용자 인증 이후 UE(310)에 대해 확립된 통신 세션은 다양한 레벨의 암호화/복호화 키에 의해 보호될 수 있다. 다양한 키의 생성 및 관리는 AUSF(360) 및 통신 네트워크(300)의 다른 네트워크 기능에 의해 조정될 수 있다.
AKMA 프레임워크
무선 통신 네트워크에서, 애플리케이션 기능(AF)은 UE에게 애플리케이션 서비스를 제공할 수 있다. AF는 코어 네트워크에 상주할 수도 있고 상주하지 않을 수도 있다. 특정 시나리오에서, AF는 자체적으로 UE에 메시지를 푸시해야 할 수도 있다(예컨대, AF는 UE가 AF에 가입한 서비스에 따라 UE에게 다양한 통지를 푸시할 수 있다). 아래의 추가 개시내용에서는, 애플리케이션을 위한 인증 및 키 관리(AKMA) 프레임워크 하에서 AF가 메시지를 UE에 안전하게 푸시하는 것을 용이하게 하는 다양한 실시예가 개시된다. AKMA 프레임워크는 5G 인증 및 키 합의(5G Authentication and Key Agreement; 5G-AKA) 방법, 3세대 인증 및 키 합의를 위한 확장 인증 프로토콜(Extensible Authentication Protocol for 3rd Generation Authentication and Key Agreement; EAP-AKA') 방법, 확장 인증 프로토콜 - 전송 계층 보안(Extensible Authentication Protocol - Transport Layer Security; EAP-TLS) 방법 등과 같은 다양한 인증 절차에 기초할 수 있다.
도 4는 AKMA 프레임워크를 구현하기 위한 예시적인 네트워크 모델(400)을 예시한다. 이 모델은 다양한 네트워크 요소를 포함한다. 각 네트워크 요소는 물리적 엔티티로서, 또는 특정 세트의 네트워크 기능을 제공하는 논리적 엔티티로서 구현될 수 있다. 논리적 엔티티는 소프트웨어, 하드웨어, 펌웨어 또는 이들의 조합에 기초할 수 있다. 예를 들어, 논리적 엔티티는 기능을 제공하는 서버를 포함할 수 있다. 또 다른 예로, 논리 엔티티는 SaaS(Software as a Service), PaaS(Platform as a Service) 등과 같은 클라우드 기반 서비스 또는 플랫폼을 기반으로 구현될 수 있다.
AKMA 앵커 기능(AKMA Anchor Function; AAnF)(412)은 홈 공중 육상 이동 네트워크(home public land mobile network; HPLMN)에서 보안 앵커 기능을 제공한다. AAnF는 AKMA 서비스를 위한 AKMA 앵커 키(KAKMA)를 저장하는데, 이는 UE(424)가 성공적인 1차 인증(primary authentication)을 완료한 후에 인증 서버 기능(AUSF)(416)으로부터 수신된다. AAnF는 또한 UE와 애플리케이션 기능(AF)(420) 사이에 사용될 키 자료를 생성할 수 있고 UE AKMA 컨텍스트(AKMA 보안 컨텍스트라고도 함)를 유지한다.
AF(420)는 UE에게 애플리케이션 서비스를 제공할 수 있다. AKMA 프레임워크 하에서, AF는 KAKMA에 대한 식별자를 사용하여 AAnF로부터 KAF로 표시된 자신의 AKMA 애플리케이션 키를 요청할 수 있다. 이 식별자는 AKMA 키 식별자(A-KID)를 포함할 수 있다. AAnF는 AF가 운영자 네트워크에 의해 인증되고 인가된 후에만 AF에 KAF를 제공할 수 있다. AF는 운영자의 네트워크 내부 또는 외부에 위치될 수 있다. 본 개시내용에서는 단순화를 위해 AKMA 애플리케이션 키(KAF)는 AF 키라고도 지칭될 수 있다.
네트워크 노출 기능(NEF)(410)은 외부 AF가 AKMA 서비스에 액세스하고 AKMA 서비스 요청을 AAnF를 향해 포워딩하게끔 인에이블하거나 인가하도록 구성될 수 있다. NEF는 또한 다수의 AAnF가 있는 경우 AAnF 선택을 수행할 수도 있다.
AUSF(416)는 UE의 가입 영구 식별자(Subscription Permanent Identifier; SUPI) 및 AKMA 키 자료(예컨대, A-KID, KAKMA)를 AAnF에게 제공할 수 있다. AUSF는 또한 AAnF 선택을 수행할 수 있다.
UDM은 가입자(또는 무선 통신 네트워크에 가입된 UE)의 AKMA 가입 데이터를 저장할 수 있다.
도 4를 참조하면, AKMA 프레임워크에는 다양한 인터페이스가 관여될 수 있다. 이러한 인터페이스는 Nnef, Naanf, Nudm, Uausf 및 Namf를 포함할 수 있으며, 각 인터페이스는 네트워크 요소에 의해 제공되는 서비스에 대응하므로 서비스 기반 인터페이스(Service Based Interface; SBI)라고 지칭될 수 있다. 예를 들어, Nnef는 NEF에 의해 활용되는 SBI를 나타내고; Naanf는 AAnF에서 활용되는 SBI를 나타내며; Nudm은 UDM에 의해 활용되는 SBI를 나타낸다. 네트워크 요소는 다양한 SBI를 통해 서로 상호작용할 수 있다. SBI는 보안 보호를 제공할 수 있다. 예를 들어, SBI는 기밀성, 무결성 및 재전송(replay)이 보호될 수 있다.
도 4는 AAnF가 독립형 기능으로서 전개되는 구현을 도시한다. 다른 전개 옵션이 선택될 수 있다. 예를 들어, AAnF는 AUSF와 같은 위치에 있을 수 있고, AAnF는 NEF와 같은 위치에 있을 수 있다.
AKMA 프레임워크 하에는 다양한 키가 관여될 수 있으며 이러한 키는 도 5와 같이 계층 구조로 조직화될 수 있다. 도 5의 예시적인 키 계층 구조는 상이한 레벨에서 다음 키를 포함할 수 있다: KAUSF, KAKMA, 및 KAF. 이러한 키는 네트워크 측과 모바일 장비(Mobile Equipment; ME) 측 모두에서 병렬로 도출되고 저장될 수 있다. ME는 범용 가입자 식별 모듈(Universal Subscriber Identity Module; USIM)과 같은 UE의 다른 부분과 함께 UE의 일부를 지칭한다.
UE와 무선 통신 네트워크 사이의 성공적인 1차 인증 후에(예컨대, 운영자에 의해 UE가 인증됨), AUSF 및/또는 UE는 UE의 무결성 키(Integrity Key; IK) 및 UE의 암호 키(Cipher Key; CK)에 기초하여 KAUSF를 도출할 수 있다. AUSF는 UE의 무결성 키(IK'로 표시됨)의 변환 및 UE의 암호 키(CK'로 표시됨)의 변환에 기초하여 대안적으로 KAUSF를 도출할 수 있다.
KAUSF에 기초하여, ME 및 AUSF는 각각 키 도출 기능(KDF)을 사용하여 KAUSF에 기초한 KAKMA 및 UE의 SUPI를 도출할 수 있다.
그런 다음, KAKMA에 기초하여, ME 및 AAnF는 각각 또한 유사하게 KDF를 사용하여, KAKMA 및 AF의 식별자에 기초해 KAF를 도출할 수 있다. UE는 각각 AF에 대응하는 다수의 KAF를 저장할 수 있다는 점에 유의해야 한다. 마찬가지로, AF는 각각 UE에 대응하는 다수의 KAF를 저장할 수 있다.
본 명세서에 설명된 다양한 키는 각각 수명을 가질 수 있다. 예를 들어, KAKMA는 다음 성공적인 1차 인증까지 리프레시될 수 있다. 또 다른 예로, KAF에는 예를 들어, AAnF에 의해 수명이 제공될 수 있다. 일부 실시예에서, 키의 수명은 타이머와 연관될 수 있어서, 키가 위임(commission)되면 타이머가 시작되고, 타이머가 만료되면 키가 리프레시된다.
무선 통신 네트워크에서, UE는 AF로부터의 다양한 애플리케이션 서비스에 가입할 수 있다. AF에 의해 제공되는 서비스를 호출할 때 보안 통신 링크를 확립하고 유지해야 한다. UE 및 AF는 각각 보안 통신 링크를 지원하기 위해 보안 구성을 유지할 수 있다. 보안 구성은 예를 들어, KAF를 포함할 수 있다. 특정 불리한 네트워크 상태 또는 결함이 있는 네트워크 요소로 인해 보안 구성이 무효하거나 오래되거나(stale) 심지어 손실될 수도 있다. 예를 들어, KAF가 무효하거나 만료되거나 보안 구성이 AF와 UE 사이에서 동기화되지 않을 수 있다. AF 및/또는 UE가 이러한 유형의 오류 조건으로부터 복구하기 위해 완화 조치를 취하는 것이 중요한다.
본 개시내용에서는 AF 및/또는 UE의 보안 구성을 업데이트하거나 리프레시하기 위한 다양한 실시예가 개시된다. 보안 구성은 KAF, 키 수명, 인증 파라미터 등을 포함할 수 있다. 다양한 네트워크 요소들 간의 상호 작용을 포함한 세부 사항은 아래에 설명되어 있다.
실시예 1: NEF를 사용한 키 리프레시
도 6은 AF가 UE와 연관된 KAF를 포함하는 보안 구성을 리프레시하기 위한 예시적인 단계를 도시한다. 리프레시된 정보는 UE에 추가로 동기화된다.
이 실시예에서, 예를 들어, AF가 코어 네트워크(예컨대, AUSF, UDM 등) 외부에 할당되는 경우 AF는 AAnF에 직접 액세스할 수 없다. 예를 들어, NEF는 코어 네트워크에 대한 중계기로서 활용된다.
도 6을 참조하여, 예시적인 단계가 아래에 상세히 설명된다.
단계 0:
단계 0은 선택적이며 도 6에는 도시되지 않는다. 이 단계에서, UE는 코어 네트워크와의 1차 인증을 성공적으로 수행하고 UE는 유효한 보안 컨텍스트로 구성된다.
단계 1:
AF의 KAF가 만료되었거나 무효하거나, KAF가 결함 상태(faulty condition)에서 손실될 수 있다. KAF를 리프레시하기 위해, AF는 네트워크 노출 기능(NEF)에 KAF 업데이트 요청을 송신할 수 있다. KAF 업데이트 요청은 UE의 아이덴티티, 예를 들어, UE의 일반 공중 가입 식별자(Generic Public Subscription Identifier; GPSI), SUPI, 또는 5G-GUTI를 포함할 수 있다. 일 구현에서, AF가 운영자 네트워크 외부에 위치될 때 GPSI가 사용될 수 있다. 요청에 SUPI가 사용되는 경우 아래 단계 2와 단계 3이 스킵될 수 있다.
AF와 UE 간의 보안 통신을 위해서는 양측 모두에 보안 컨텍스트(보안 구성, AKMA 보안 컨텍스트라고도 함)가 설정되어야 할 수 있다. 보안 컨텍스트는 AKMA 프레임워크를 기반으로 할 수 있으며, UE의 AKMA 앵커 키(또는 AKMA 앵커 키(A-KID)의 ID) 및 UE의 AF 키(특정 AF에 대응함)를 포함할 수 있다. 대안적으로, 보안 컨텍스트는 UE의 AKMA 앵커 키(또는 A-KID)와 UE의 AF 키의 바인딩(binding)을 포함할 수 있다. 이 바인딩은 보안 연관성(Security Association; SA)이라고 지칭될 수 있다. 앞서 설명된 바와 같이, 본 개시내용에서는 UE의 AKMA 앵커 키 및 UE의 AF키는 각각 KAKMA 및 KAF로 표시될 수 있다. 각각의 AF에 대해, UE는 대응하는 AF 키를 유지할 수 있다는 것을 이해해야 한다. 마찬가지로, AF 측에서 AF는 자신이 서빙하는 각 UE에 대해 AF 키를 유지할 수 있다.
단계 2 내지 3:
단계 1에서 AF로부터 KAF 업데이트 요청 메시지를 수신하면, 요청 메시지 내의 UE의 아이덴티티가 GPSI 형태 또는 SUPI 이외의 또 다른 형식인 경우, NEF는 UDM으로부터 UE의 SUPI를 검색할 수 있다. 특히, NEF는 GPSI 및 선택적으로 ID 유형 표시자를 포함할 수 있는 UE ID 요청을 UDM에 송신할 수 있다. ID 유형 표시자는 요청된 ID에 대한 ID 유형을 나타낼 수 있다. 예를 들어, ID 유형 표시자는 SUPI 형태의 ID가 요청되었음을 나타낼 수 있다. UDM은 단계 3에서 UE ID 응답 메시지에 UE의 SUPI를 포함하여 응답할 수 있다.
단계 4:
NEF는 AAnF에 KAF 업데이트 요청을 송신한다. KAF 업데이트 요청은 UE의 SUPI를 포함할 수 있다.
단계 5:
그런 다음, AAnF는 국부적 정책을 기반으로 AUSF를 선택하고 선택된 AUSF에 AKMA 보안 컨텍스트 요청을 송신할 수 있다. AKMA 보안 컨텍스트 요청은 UE의 SUPI를 포함할 수 있다.
일 구현에서, AAnF에는 AUSF 기능이 제공될 수 있거나, AAnF와 AUSF는 같은 위치에 배치될 수 있다. 이 경우 AAnF는 UDM과 직접 상호 작용하여 UDM으로부터 AKMA 보안 컨텍스트를 요청할 수 있다.
특정 시나리오에서, AAnF는 UE와 연관된 보안 컨텍스트가 쉽게 이용 가능한지(예컨대, AAnF는 보안 컨텍스트를 국부적으로 저장함) 여부를 검사(check)하기 위해 UE의 SUPI를 사용할 수 있다. 만약 그렇다면, AAnF는 보안 컨텍스트로부터 A-KID를 검색하고 A-KID를 AF에 송신할 수 있다. 그런 다음, AF는 A-KID를 운반하는 KAF 업데이트 요청을 다시 시작할 수 있다. A-KID가 KAF 업데이트 요청에서 운반되는 시나리오를 다루는 실시예 3 내지 6은 이후 섹션에서 설명될 것이다.
단계 6:
AAnF로부터 AKMA 보안 컨텍스트 요청을 수신하면 AUSF는 UDM에 인증 요청을 송신할 수 있다. 인증 요청은 AKMA 보안 컨텍스트를 요청하는 데 사용될 수 있으며 UE의 SUPI를 포함할 수 있다.
단계 7:
UDM(또는 ARPF)은 UE의 UE 가입 데이터에 따라 인증 방법을 결정할 수 있다. 일 구현에서, UDM은 UE의 SUPI에 기초하여 UE 가입 데이터를 검색할 수 있다.
인증 방법이 EAP-AKA'인 경우 UDM은 EAP-AKA' 인증 벡터(Authentication Vector; AV)로 AUSF에 응답할 수 있다. EAP-AKA' AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지(challenge)로서 사용될 수 있는 난수(random number; RAND);
· 챌린지의 신선도(freshness)와 인증성(authenticity)을 증명하는 데 사용될 수 있는 인증 토큰(authentication token; AUTN)
· 인증 절차에서 챌린지에 대한 예상 응답(expected response; XRES)
· UE의 암호 키의 변환(변환된 키는 CK'로서 표시됨); 또는
· UE의 무결성 키의 변환(변환된 키는 IK'로서 표시됨).
암호키와 무결성 키의 변환은 KDF와 같은 미리 결정된 알고리즘에 기초할 수 있다.
인증 방법이 5G AKA인 경우, UDM은 5G HE 홈 환경 인증 벡터(5G Home Environment Authentication Vector; 5G HE AV)로 AUSF에 응답할 수 있다. 5G HE AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도 및 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES*);
· UE의 AUSF 키(KAUSF).
AUSF에 대한 응답 메시지는 어떤 인증 방법(예컨대, 5G AKA, EAP-AKA', EAP-TLS)이 UE를 위해 선택되는지를 나타내는 인증 방법 표시자를 추가로 포함할 수 있다.
일 구현에서, AUSF에 대한 응답 메시지는 UE의 라우팅 표시자(Routing Indicator; RID)를 추가로 포함할 수 있다.
단계 8
UDM으로부터 응답을 수신하면, 인증 방법에 따라, AUSF는 응답 메시지로부터 AUSF 키(KAUSF)를 직접 검색하거나, KAUSF를 도출하거나 생성할 필요가 있을 수 있다.
인증 방법 표시자가 EAP-AKA'가 인증 방법으로서 사용됨을 나타내면, AUSF는 CK' 및 IK'에 기초하여 KAUSF를 도출할 수 있다.
인증 방법 표시자가 인증 방법으로서 5G AKA가 사용됨을 나타내면, AUSF는 응답 메시지로부터 KAUSF를 직접 검색할 수 있다. 예를 들어, KAUSF는 5G HE AV의 일부일 수 있다.
다음으로, AUSF는 KAUSF에 기초하여 AKMA 앵커 키(KAKMA) 및 A-KID를 생성할 수 있다.
일 구현에서 KAKMA는 KAKMA = KDF(SUPI, KAUSF)에 의해 도출될 수 있다. KDF는 예시적인 키 도출 함수를 지칭한다. 예를 들어, KDF는 HMAC-SHA-256(보안 해시 알고리즘을 위한 256 비트 해시 기반 메시지 인증 코드)을 포함할 수 있다. HMAC-SHA-256을 사용하는 경우 KDF의 출력은 256 비트 키일 수 있다. 일 구현에서, 출력 키는 예를 들어, 128 비트로 더 잘릴(truncated) 수 있다. 상술된 바와 같이 KDF를 사용하여 KAKMA를 도출하는 경우, UE의 SUPI가 키로서 사용될 수 있고, KAUSF가 입력으로서 사용될 수 있다.
전술된 바와 같이 A-KID는 UE의 KAKMA를 식별하는데 사용될 수 있다. 일 구현에서, A-KID는 네트워크 액세스 식별자(Network Access Identifier; NAI) 형식, 즉 username@realm으로 표현될 수 있다. 사용자 이름 부분은 UE의 RID 및 UE의 AKMA 임시 UE 식별자(AKMA Temporary UE Identifier; A-TID)를 포함할 수 있고, 영역 부분(realm part)은 UE의 홈 네트워크 식별자를 포함할 수 있다. 일 구현에서, A-TID는 KDF를 이용하여 KAUSF를 기반으로 도출될 수 있다. 예를 들어, A-TID = KDF(KAUSF, "AKMA")인데, 즉 KDF는 문자열 "AKMA"를 입력으로서 그리고 KAUSF를 키로서 사용한다. RID는 단계 7에서 응답 메시지의 일부로서 UDM으로부터 수신될 수 있다.
일 구현에서, 이 단계에서 도출된 KAKMA 또는 A-KID는 UE의 AKMA 컨텍스트의 일부로서 서빙될 수 있으며, 이에 대해서는 아래 단계에서 자세히 설명된다.
단계 9
단계 5에서 AAnF로부터 수신된 AKMA 보안 컨텍스트 요청에 대한 응답으로서, AUSF는 응답 메시지를 AAnF로 송신할 수 있다. 응답 메시지는 다음 중 적어도 하나를 포함할 수 있다:
· 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN);
· 인증 방법 표시자; 또는
· UE의 AKMA 컨텍스트.
UE의 AKMA 컨텍스트는 UE의 KAKMA 및 KAKMA를 식별하는 A-KID를 포함할 수 있다.
일 구현에서, 응답 메시지는 UE의 SUPI를 추가로 포함할 수 있다.
단계 10
AUSF로부터 AKMA 컨텍스트 응답 메시지를 수신하면, AAnF는 UE의 KAKMA로부터 UE의 애플리케이션 키(KAF)를 도출할 수 있다. 예를 들어, 애플리케이션 키는 KAF = KDF(AF-ID，KAKMA)에 의해 결정될 수 있으며, 여기서 AF-ID는 AF의 식별자이다.
AAnF는 또한 아래 단계에서 AF로 송신될 업데이트된(즉, 현재 유효한) 보안 데이터를 생성하거나 준비할 수 있다. 본 개시내용에서, "현재 유효한" 정보라는 용어는 활성 서빙 구성 하에 있거나 서빙 구성에 전개될 것을 목표로 하는 "최신(up-to-date)" 정보를 지칭할 수 있다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID;
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간;
· 단계 9에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 9에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
단계 11
업데이트된 보안 데이터가 생성되거나 도출되면, AAnF는 예를 들어, 단계 4(그리고 본질적으로 단계 1)에서 KAF 업데이트 요청 메시지에 대한 응답 메시지인 KAF 업데이트 응답 메시지를 통해 업데이트된 보안 데이터를 AF로 송신할 수 있다.
단계 12
단계 11에서 수신된 응답 메시지에 기초하여, AF는 UE의 A-KID 및 KAF 뿐만 아니라, 위에서 단계 10에서 설명된 업데이트된 보안 데이터에서 보이는 다른 보안 구성 정보를 저장할 수 있다.
단계 13
보안 구성과 관련하여 UE가 AF와 동기화되도록 하기 위해, AF는 다음 중 적어도 하나를 포함하는 보안 구성을 운반할 수 있는 KAF 업데이트 메시지를 UE에 송신할 수 있다:
· EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
KAF 업데이트 메시지는 UE가 자신의 보안 구성을 업데이트하도록 트리거할 수 있다.
단계 14
AF로부터 KAF 업데이트 메시지를 수신하면, UE는 다양한 키 및/또는 키 식별자를 포함할 수 있는 자신의 보안 구성을 업데이트할 수 있다.
일 구현에서, UE는 예를 들어, 수신된 AUTN을 검사함으로써 수신된 보안 구성의 신선도 및 무결성을 먼저 검증할 수 있다. AUTN은 시퀀스 번호(Sequence Number; SQN) 및 메시지 인증 코드(Message Authentication Code; MAC)를 포함할 수 있다. MAC 및 SQN이 성공적으로 검증되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출한다. 검증이 통과되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출할 수 있다. 구체적으로, 5G AKA 인증 방법이 사용되는 경우, UE는 (UE의 USIM으로부터 검색된 CK 및 IK를 사용해) UE의 CK 및 IK에 기초하여 KAUSF를 계산할 수 있다. EAP-AKA' 인증 방법이 사용되는 경우, UE는 각각 CK 및 IK로부터 CK' 및 IK'를 도출한 후, CK' 및 IK'에 기초하여 KAUSF를 계산할 수 있다. 그 후, UE는 예를 들어, 단계 8에서와 유사한 방식으로 KAKMA 및 A-KID를 도출할 수 있다. UE는 단계 10에서와 유사한 방식으로, 예를 들어, KAF를 추가로 도출할 수 있다. UE는 예를 들어, AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 예를 들어, A-KID와 KAF의 연관성)에 UE의 KAKMA, A-KID 및 KAF를 저장할 수 있다.
단계 15
UE가 자신의 보안 구성을 업데이트하면 UE는 AF에 확인응답(acknowledge)할 수 있다. 확인응답은 AF가 KAF와 연관된 타이머를 시작하는 트리거 역할을 할 수 있다. 타이머의 지속 시간은 KAF의 수명으로 설정될 수 있다. 타이머의 만료는 KAF의 만료를 나타낸다.
단계 16
선택적으로 UE가 KAUSF와 같은 보안 구성을 업데이트한 후, UE는 성공적인 업데이트에 대해 UDM에게 통지할 수 있고, UDM은 그에 따라 UE와 연관된 AUSF 인스턴스를 저장하거나 리프레시할 수 있다.
실시예 2: NEF 없이 키 리프레시
도 7은 AF가 UE와 연관된 KAF를 포함하는 보안 구성을 리프레시하기 위한 예시적인 단계를 도시한다. 리프레시는 UE에 추가로 동기화될 수 있다.
이 실시예에서, AF는 코어 네트워크에 직접 액세스할 수 있다. 따라서 NEF를 코어 네트워크에 대한 중계기로서 사용할 필요가 없다. 대안적으로, NEF는 AAnF와 함께 위치될 수 있다. 이 경우 NEF의 존재는 AF에 투명할(transparent) 수 있다.
도 7을 참조하여, 예시적인 단계들이 아래에 상세히 설명된다.
단계 0
단계 0은 선택적이며 도 7에는 도시되지 않는다. 이 단계에서, UE는 코어 네트워크와의 1차 인증을 성공적으로 수행하고 UE는 유효한 보안 컨텍스트로 구성된다.
단계 1
AF의 KAF가 만료되었거나 무효하거나 KAF가 결함 상태에서 손실될 수 있다. KAF를 리프레시하기 위해, AF는 KAF 업데이트 요청을 AAnF에 송신할 수 있다. KAF 업데이트 요청은 UE의 아이덴티티, 예를 들어, UE의 GPSI, SUPI, 또는 5G-GUTI를 포함할 수 있다. 요청에 SUPI가 사용되는 경우 아래 단계 2와 단계 3이 스킵될 수 있다.
일 구현에서, NEF는 AAnF와 함께 위치될 수 있다.
단계 2 내지 3:
단계 1에서 AF로부터 KAF 업데이트 요청 메시지를 수신하면, 요청 메시지 내의 UE의 아이덴티티가 GPSI 형태 또는 SUPI 이외의 또 다른 형식인 경우, AAnF는 UDM으로부터 UE의 SUPI를 검색할 수 있다. 특히, AAnF는 GPSI 및 선택적으로 ID 유형 표시자를 포함할 수 있는 UE ID 요청을 UDM에 송신할 수 있다. ID 유형 표시자는 요청된 ID에 대한 ID 유형을 나타낼 수 있다. 예를 들어, ID 유형 표시자는 SUPI 형태의 ID가 요청되었음을 나타낼 수 있다. UDM은 단계 3에서 UE ID 응답 메시지에 UE의 SUPI를 포함하여 응답할 수 있다.
단계 4
그런 다음, AAnF는 국부적 정책을 기반으로 AUSF를 선택하고 선택된 AUSF에 AKMA 보안 컨텍스트 요청을 송신할 수 있다. AKMA 보안 컨텍스트 요청은 UE의 SUPI를 포함할 수 있다.
일 구현에서, AAnF에는 AUSF 기능이 제공될 수 있거나, AAnF와 AUSF는 같은 위치에 배치될 수 있다. 이 경우 AAnF는 UDM과 직접 상호 작용하여 UDM으로부터 AKMA 보안 컨텍스트를 요청할 수 있다.
특정 시나리오에서, AAnF는 UE와 연관된 보안 컨텍스트가 쉽게 이용 가능한지 여부를 검사하기 위해 UE의 SUPI를 사용할 수 있다. 만약 그렇다면, AAnF는 보안 컨텍스트로부터 A-KID를 검색하고 A-KID를 AF에 송신할 수 있다. 그런 다음 AF는 A-KID를 운반하는 KAF 업데이트 요청을 다시 시작할 수 있다. A-KID가 KAF 업데이트 요청에서 운반되는 시나리오를 다루는 실시예 3 내지 6은 이후 섹션에서 설명될 것이다.
단계 5
AAnF로부터 AKMA 보안 컨텍스트 요청을 수신하면 AUSF는 UDM에 인증 요청을 송신할 수 있다. 인증 요청은 AKMA 보안 컨텍스트를 요청하는 데 사용될 수 있으며 UE의 SUPI를 포함할 수 있다.
단계 6
UDM(또는 ARPF)은 UE의 UE 가입 데이터에 따라 인증 방법을 결정할 수 있다. 일 구현에서, UDM은 UE의 SUPI에 기초하여 UE 가입 데이터를 검색할 수 있다.
인증 방법이 EAP-AKA'인 경우 UDM은 EAP-AKA' 인증 벡터(Authentication Vector; AV)로 AUSF에 응답할 수 있다. EAP-AKA' AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES);
· UE의 암호 키의 변환(변환된 키는 CK'로서 표시됨); 또는
· UE의 무결성 키의 변환(변환된 키는 IK'로서 표시됨).
암호키와 무결성 키의 변환은 KDF와 같은 미리 결정된 알고리즘에 기초할 수 있다.
인증 방식이 5G AKA인 경우, UDM은 5G HE 홈 환경 인증 벡터(5G HE AV)로 AUSF에 응답할 수 있다. 5G HE AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES*);
· UE의 AUSF 키(KAUSF).
AUSF에 대한 응답 메시지는 어떤 인증 방법(예컨대, 5G AKA, EAP-AKA', 또는 EAP-TLS)이 UE를 위해 선택되는지를 나타내는 인증 방법 표시자를 추가로 포함할 수 있다.
일 구현에서, AUSF에 대한 응답 메시지는 UE의 라우팅 표시자(RID)를 추가로 포함할 수 있다.
단계 7
UDM으로부터 응답을 수신하면, 인증 방법에 따라, AUSF는 응답 메시지로부터 AUSF 키(KAUSF)를 직접 검색하거나, KAUSF를 도출하거나 생성할 필요가 있을 수 있다.
인증 방법 표시자가 EAP-AKA'가 인증 방법으로서 사용됨을 나타내면, AUSF는 CK' 및 IK'에 기초하여 KAUSF를 도출할 수 있다.
인증 방법 표시자가 인증 방법으로서 5G AKA가 사용됨을 나타내면, AUSF는 응답 메시지로부터 KAUSF를 직접 검색할 수 있다. 예를 들어, KAUSF는 5G HE AV의 일부일 수 있다.
다음으로, AUSF는 KAUSF에 기초하여 AKMA 앵커 키(KAKMA) 및 A-KID를 생성할 수 있다.
일 구현에서, KAKMA는 KAKMA = KDF(SUPI, KAUSF)에 의해 도출될 수 있다. KDF는 예시적인 키 도출 함수를 지칭한다. 예를 들어, KDF는 HMAC-SHA-256(보안 해시 알고리즘을 위한 256 비트 해시 기반 메시지 인증 코드)을 포함할 수 있다. HMAC-SHA-256을 사용하는 경우, KDF의 출력은 256 비트 키일 수 있다. 일 구현에서, 출력 키는 예를 들어, 128 비트로 더 잘릴 수 있다. 상술된 바와 같이 KDF를 사용하여 KAKMA를 도출하는 경우, UE의 SUPI가 키로서 사용될 수 있고, KAUSF가 입력으로서 사용될 수 있다.
전술된 바와 같이 A-KID는 UE의 KAKMA를 식별하는데 사용될 수 있다. 일 구현에서, A-KID는 네트워크 액세스 식별자(NAI) 형식, 즉 username@realm으로 표현될 수 있다. 사용자 이름 부분은 UE의 RID 및 UE의 AKMA 임시 UE 식별자(A-TID)를 포함할 수 있고, 영역 부분은 UE의 홈 네트워크 식별자를 포함할 수 있다. 일 구현에서, A-TID는 KDF를 이용하여 KAUSF를 기반으로 도출될 수 있다. 예를 들어, A-TID = KDF(KAUSF, "AKMA")인데, 즉 KDF는 문자열 "AKMA"를 입력으로서 그리고 KAUSF를 키로서 사용한다. RID는 단계 6에서 응답 메시지의 일부로서 UDM으로부터 수신될 수 있다.
일 구현에서, 이 단계에서 도출된 KAKMA 또는 A-KID는 UE의 AKMA 컨텍스트의 일부로서 서빙될 수 있으며, 이에 대해서는 아래 단계에서 자세히 설명된다.
단계 8
단계 4에서 AAnF로부터 수신된 AKMA 보안 컨텍스트 요청에 대한 응답으로서, AUSF는 응답 메시지를 AAnF로 송신할 수 있다. 응답 메시지는 다음 중 적어도 하나를 포함할 수 있다:
· 단계 6에 표시된 바와 같이 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 6에 표시된 바와 같이 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN);
· 인증 방법 표시자; 또는
· UE의 AKMA 컨텍스트.
UE의 AKMA 컨텍스트는 UE의 KAKMA 및 KAKMA를 식별하는 A-KID를 포함할 수 있다.
일 구현에서, 응답 메시지는 UE의 SUPI를 추가로 포함할 수 있다.
단계 9
AUSF로부터 AKMA 컨텍스트 응답 메시지를 수신하면, AAnF는 UE의 KAKMA로부터 UE의 애플리케이션 키(KAF)를 도출할 수 있다. 예를 들어, 애플리케이션 키는 KAF = KDF(AF-ID，KAKMA)에 의해 결정될 수 있으며, 여기서 AF-ID는 AF의 식별자이다.
AAnF는 또한 아래 단계에서 AF로 송신될 업데이트된(즉, 현재 유효한) 보안 데이터를 생성하거나 준비할 수 있다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID;
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간;
· 단계 8에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 8에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
단계 10
업데이트된 보안 데이터가 생성되거나 도출되면, AAnF는 예를 들어, 단계 1에서 KAF 업데이트 요청 메시지에 대한 응답 메시지인 KAF 업데이트 응답 메시지를 통해 업데이트된 보안 데이터를 AF로 송신할 수 있다.
단계 11
단계 11에서 수신된 응답 메시지에 기초하여, AF는 UE의 A-KID 및 KAF 뿐만 아니라, 위에서 단계 9에서 설명된 업데이트된 보안 데이터에서 보이는 다른 보안 구성 정보를 저장할 수 있다.
단계 12
보안 구성과 관련하여 UE가 AF와 동기화되도록 하기 위해, AF는 다음 중 적어도 하나를 포함하는 보안 구성을 운반할 수 있는 KAF 업데이트 메시지를 UE에 송신할 수 있다:
· EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
KAF 업데이트 메시지는 UE가 자신의 보안 구성을 업데이트하도록 트리거할 수 있다.
단계 13
AF로부터 KAF 업데이트 메시지를 수신하면, UE는 다양한 키 및/또는 키 식별자를 포함할 수 있는 자신의 보안 구성을 업데이트할 수 있다.
일 구현에서, UE는 예를 들어, 수신된 AUTN을 검사함으로써 수신된 보안 구성의 신선도 및 무결성을 먼저 검증할 수 있다. AUTN은 시퀀스 번호(SQN) 및 메시지 인증 코드(MAC)를 포함할 수 있다. MAC 및 SQN이 성공적으로 검증되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출한다. 검증이 통과되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출할 수 있다. 구체적으로, 5G AKA 인증 방법이 사용되는 경우, UE는 (UE의 USIM으로부터 검색된 CK 및 IK를 사용해) UE의 CK 및 IK에 기초하여 KAUSF를 계산할 수 있다. EAP-AKA' 인증 방법이 사용되는 경우, UE는 각각 CK 및 IK로부터 CK' 및 IK'를 도출한 후, CK' 및 IK'에 기초하여 KAUSF를 계산할 수 있다. 그 후, UE는 예를 들어, 단계 7에서와 유사한 방식으로 KAKMA 및 A-KID를 도출할 수 있다. UE는 단계 9에서와 유사한 방식으로, 예를 들어, KAF를 추가로 도출할 수 있다. UE는 예를 들어, AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 예를 들어, A-KID와 KAF의 연관성)에 UE의 KAKMA, A-KID 및 KAF를 저장할 수 있다.
단계 14
UE가 자신의 보안 구성을 업데이트하면 UE는 AF에 확인응답할 수 있다. 확인응답은 AF가 KAF와 연관된 타이머를 시작하는 트리거 역할을 할 수 있다. 타이머의 지속 시간은 KAF의 수명으로 설정될 수 있다. 타이머의 만료는 KAF의 만료를 나타낸다.
단계 15
선택적으로 UE가 KAUSF와 같은 보안 구성을 업데이트한 후, UE는 성공적인 업데이트에 대해 UDM에게 통지할 수 있고, UDM은 그에 따라 UE와 연관된 AUSF 인스턴스를 저장하거나 리프레시할 수 있다.
실시예 3: NEF를 사용한 키 리프레시 - 조건부 AKMA 보안 컨텍스트 요청
도 8은 AF가 UE와 연관된 KAF를 포함하는 보안 구성을 리프레시하기 위한 예시적인 단계를 도시한다. 리프레시는 UE에 추가로 동기화된다.
이 실시예에서, 예를 들어, AF가 코어 네트워크(예컨대, AUSF, UDM 등) 외부에 할당되는 경우 AF는 AAnF에 직접 액세스할 수 없다. 그러므로, NEF는 코어 네트워크에 대한 중계기로서 활용된다.
이 실시예에서, AAnF에 의해 추가적인 인자가 고려된다. 적어도 시그널링 오버헤드를 절약하고 네트워크 요소 상호 작용을 줄이기 위해 AAnF는 UE와 관련된 유효한 보안 컨텍스트가 국부적으로 사용 가능한지 여부를 검사할 수 있다. 보안 컨텍스트가 사용 가능한 경우 AAnF는 UE 보안 컨텍스트를 요청하기 위해 AUSF 및/또는 UDM과 같은 코어 네트워크 요소와 상호 작용할 필요가 없을 수 있다. AAnF에 의해 수행되는 이 검사는 시그널링을 통해 송신되어야 하는 데이터가 더 적기 때문에 이후 단계에서 시그널링 오버헤드를 줄이는 데 더욱 도움이 될 수 있다.
도 8을 참조하여, 예시적인 단계들이 아래에 상세히 설명된다.
단계 0
단계 0은 선택적이며 도 8에는 도시되지 않는다. 이 단계에서, UE는 코어 네트워크와의 1차 인증을 성공적으로 수행하고 UE는 유효한 보안 컨텍스트로 구성된다.
단계 1
AF의 KAF가 만료되었거나 무효하거나, KAF가 결함 상태에서 손실될 수 있다. KAF를 리프레시하기 위해, AF는 네트워크 노출 기능(NEF)에 KAF 업데이트 요청을 송신할 수 있다. KAF 업데이트 요청은 UE의 A-KID를 포함할 수 있다. KAF 업데이트 요청은 UE의 아이덴티티, 예를 들어, UE의 일반 공중 가입 식별자(GPSI), SUPI, 또는 5G-GUTI를 추가로 포함할 수 있다. 일 구현에서, AF가 운영자 네트워크 외부에 위치될 때 GPSI가 사용될 수 있다. 요청에 SUPI가 사용되는 경우 아래 단계 2와 단계 3이 스킵될 수 있다.
단계 2 내지 3
단계 1에서 AF로부터 KAF 업데이트 요청 메시지를 수신하면, 요청 메시지 내의 UE의 아이덴티티가 GPSI 형태 또는 SUPI 이외의 또 다른 형식인 경우, NEF는 UDM으로부터 UE의 SUPI를 검색할 수 있다. 특히, NEF는 GPSI 및 선택적으로 ID 유형 표시자를 포함할 수 있는 UE ID 요청을 UDM에 송신할 수 있다. ID 유형 표시자는 요청된 ID에 대한 ID 유형을 나타낼 수 있다. 예를 들어, ID 유형 표시자는 SUPI 형태의 ID가 요청되었음을 나타낼 수 있다. UDM은 단계 3에서 UE ID 응답 메시지에 UE의 SUPI를 포함하여 응답할 수 있다.
단계 4
NEF는 AAnF에 KAF 업데이트 요청을 송신한다. KAF 업데이트 요청은 UE의 A- KID KID 및 SUPI를 포함할 수 있다.
단계 5
A-KID를 운반하는 KAF 업데이트 요청 메시지를 수신하면, AAnF는 동일한 A-KID가 AAnF에 이미 구성(또는 제공, 저장)되어 있는지 여부를 검사할 수 있다. AAnF에 동일한 A-KID가 구성된 경우 아래 단계 6이 스킵된다.
단계 6
KAF 업데이트 요청 메시지에서 운반되는 SUPI에 기초해, AAnF는 SUPI에 대응하는 유효한 보안 컨텍스트(예컨대, AKMA 보안 컨텍스트)가 AAnF에 구성(또는 제공, 저장)되어 있는지 여부를 추가로 검사할 수 있다. 예를 들어, AAnF는 SUPI에 대응하는 KAKMA가 존재하는지 여부를 검사할 수 있다.
SUPI에 대응하는 보안 컨텍스트가 구성되는 경우, 예를 들어, 단계 1 이전에 단계 0이 실행되고 UE가 성공적으로 1차 인증을 수행하면, AAnF는 코어 네트워크(예컨대, AUSF, UDM)로부터 UE 특유 보안 컨텍스트를 요청할 필요가 없으며, 아래의 단계 7 내지 11은 스킵될 수 있다.
단계 7
그런 다음, AAnF는 국부적 정책을 기반으로 AUSF를 선택하고 선택된 AUSF에 AKMA 보안 컨텍스트 요청을 송신할 수 있다. AKMA 보안 컨텍스트 요청은 UE의 SUPI를 포함할 수 있다.
일 구현에서, AAnF에는 AUSF 기능이 제공될 수 있거나, AAnF와 AUSF는 같은 위치에 배치될 수 있다. 이 경우 AAnF는 UDM과 직접 상호 작용하여 UDM으로부터 AKMA 보안 컨텍스트를 요청할 수 있다.
단계 8
AAnF로부터 AKMA 보안 컨텍스트 요청을 수신하면 AUSF는 UDM에 인증 요청을 송신할 수 있다. 인증 요청은 AKMA 보안 컨텍스트를 요청하는 데 사용될 수 있으며 UE의 SUPI를 포함할 수 있다.
단계 9
UDM(또는 ARPF)은 UE의 UE 가입 데이터에 따라 인증 방법을 결정할 수 있다. 일 구현에서, UDM은 UE의 SUPI에 기초하여 UE 가입 데이터를 검색할 수 있다.
인증 방법이 EAP-AKA'인 경우 UDM은 EAP-AKA' 인증 벡터(AV)로 AUSF에 응답할 수 있다. EAP-AKA' AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES);
· UE의 암호 키의 변환(변환된 키는 CK'로서 표시됨); 또는
· UE의 무결성 키의 변환(변환된 키는 IK'로서 표시됨).
암호키와 무결성 키의 변환은 KDF와 같은 미리 결정된 알고리즘에 기초할 수 있다.
인증 방식이 5G AKA인 경우, UDM은 5G HE 홈 환경 인증 벡터(5G HE AV)로 AUSF에 응답할 수 있다. 5G HE AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES*);
· UE의 AUSF 키(KAUSF).
AUSF에 대한 응답 메시지는 어떤 인증 방법(예컨대, 5G AKA, EAP-AKA', EAP-TLS)이 UE를 위해 선택되는지를 나타내는 인증 방법 표시자를 추가로 포함할 수 있다.
일 구현에서, AUSF에 대한 응답 메시지는 UE의 라우팅 표시자(RID)를 추가로 포함할 수 있다.
단계 10
UDM으로부터 응답을 수신하면, 인증 방법에 따라, AUSF는 응답 메시지로부터 AUSF 키(KAUSF)를 직접 검색하거나, KAUSF를 도출하거나 생성할 필요가 있을 수 있다.
인증 방법 표시자가 EAP-AKA'가 인증 방법으로서 사용됨을 나타내면, AUSF는 CK' 및 IK'에 기초하여 KAUSF를 도출할 수 있다.
인증 방법 표시자가 인증 방법으로서 5G AKA가 사용됨을 나타내면, AUSF는 응답 메시지로부터 KAUSF를 직접 검색할 수 있다. 예를 들어, KAUSF는 5G HE AV의 일부일 수 있다.
다음으로, AUSF는 KAUSF에 기초하여 AKMA 앵커 키(KAKMA) 및 A-KID를 생성할 수 있다.
일 구현에서 KAKMA는 KAKMA = KDF(SUPI, KAUSF)에 의해 도출될 수 있다. KDF는 예시적인 키 도출 함수를 지칭한다. 예를 들어, KDF는 HMAC-SHA-256(보안 해시 알고리즘을 위한 256 비트 해시 기반 메시지 인증 코드)을 포함할 수 있다. HMAC-SHA-256을 사용하는 경우 KDF의 출력은 256 비트 키일 수 있다. 일 구현에서, 출력 키는 예를 들어, 128 비트로 더 잘릴 수 있다. 상술된 바와 같이 KDF를 사용하여 KAKMA를 도출하는 경우, UE의 SUPI가 키로서 사용될 수 있고, KAUSF가 입력으로서 사용될 수 있다.
전술된 바와 같이 A-KID는 UE의 KAKMA를 식별하는데 사용될 수 있다. 일 구현에서, A-KID는 네트워크 액세스 식별자(NAI) 형식, 즉 username@realm으로 표현될 수 있다. 사용자 이름 부분은 UE의 RID 및 UE의 AKMA 임시 UE 식별자(A-TID)를 포함할 수 있고, 영역 부분은 UE의 홈 네트워크 식별자를 포함할 수 있다. 일 구현에서, A-TID는 KDF를 이용하여 KAUSF를 기반으로 도출될 수 있다. 예를 들어, A-TID = KDF(KAUSF, "AKMA")인데, 즉 KDF는 문자열 "AKMA"를 입력으로서 그리고 KAUSF를 키로서 사용한다. RID는 단계 9에서 응답 메시지의 일부로서 UDM으로부터 수신될 수 있다.
일 구현에서, 이 단계에서 도출된 KAKMA 또는 A-KID는 UE의 AKMA 컨텍스트의 일부로서 서빙될 수 있으며, 이에 대해서는 아래 단계에서 자세히 설명된다.
단계 11
단계 7에서 AAnF로부터 수신된 AKMA 보안 컨텍스트 요청에 대한 응답으로서, AUSF는 응답 메시지를 AAnF로 송신할 수 있다. 응답 메시지는 다음 중 적어도 하나를 포함할 수 있다:
· 단계 9에 표시된 바와 같이 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 9에 표시된 바와 같이 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN);
· 인증 방법 표시자; 또는
· UE의 AKMA 컨텍스트.
UE의 AKMA 컨텍스트는 UE의 KAKMA 및 KAKMA를 식별하는 A-KID를 포함할 수 있다.
일 구현에서, 응답 메시지는 UE의 SUPI를 추가로 포함할 수 있다.
단계 12
AUSF로부터 AKMA 컨텍스트 응답 메시지를 수신하면, AAnF는 UE의 KAKMA로부터 UE의 애플리케이션 키(KAF)를 도출할 수 있다. 예를 들어, 애플리케이션 키는 KAF = KDF(AF-ID，KAKMA)에 의해 결정될 수 있으며, 여기서 AF-ID는 AF의 식별자이다.
AAnF는 또한 아래 단계에서 AF로 송신될 업데이트된(즉, 현재 유효한) 보안 데이터를 생성하거나 준비할 수 있다. 업데이트된 보안 데이터는 경우에 따라 내용이 다를 수 있다.
사례 A:
사례 A에서, UE에 대한 보안 컨텍스트가 존재하거나 단계 6에서 AAnF에 구성된다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID.
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간.
사례 B:
사례 B에서, 단계 5에서 설명된 바와 같이 동일한 A-KID가 AAnF에 구성되거나, 단계 6에서 설명된 바와 같이 UE의 보안 컨텍스트가 AAnF에 존재하지 않거나 구성되지 않는다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID;
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간;
· 단계 11에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 11에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
단계 13
업데이트된 보안 데이터가 생성되거나 도출되면, AAnF는 예를 들어, 단계 4(또는 본질적으로 단계 1)에서 KAF 업데이트 요청 메시지에 대한 응답 메시지인 KAF 업데이트 응답 메시지를 통해 업데이트된 보안 데이터를 AF로 송신할 수 있다.
단계 14
단계 13에서 수신된 응답 메시지에 기초하여, AF는 UE의 A-KID 및 KAF 뿐만 아니라, 위에서 설명된 업데이트된 보안 데이터에서 보이는 다른 보안 구성 정보를 저장할 수 있다.
단계 15
보안 구성과 관련하여 UE가 AF와 동기화되도록 하기 위해, AF는 보안 구성을 운반할 수 있는 KAF 업데이트 메시지를 UE에 송신할 수 있다. 위에 설명된 상이한 사례들에 기초해, 보안 구성은 상이한 콘텐츠를 포함할 수 있다.
사례 A:
· UE의 KAKMA를 식별하는 A-KID.
사례 B:
· EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
KAF 업데이트 메시지는 UE가 자신의 보안 구성을 업데이트하도록 트리거할 수 있다.
단계 16
AF로부터 KAF 업데이트 메시지를 수신하면, UE는 다양한 키 및/또는 키 식별자를 포함할 수 있는 자신의 보안 구성을 업데이트할 수 있다.
사례 A:
이 사례에서, UE는 예를 들어, 단계 0에서 성공적인 1차 인증을 수행했을 수 있다. UE는 1차 인증으로부터의 보안 컨텍스트와 함께 KAF 업데이트 메시지로부터 수신된 A-KID에 기초하여 자신의 KAF를 도출할 수 있다.
사례 B:
이 사례에서, UE는 예를 들어, 수신된 AUTN을 검사함으로써 수신된 보안 구성의 신선도 및 무결성을 먼저 검증할 수 있다. AUTN은 시퀀스 번호(SQN) 및 메시지 인증 코드(MAC)를 포함할 수 있다. MAC 및 SQN이 성공적으로 검증되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출한다. 검증이 통과되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출할 수 있다. 구체적으로, 5G AKA 인증 방법이 사용되는 경우, UE는 (UE의 USIM으로부터 검색된 CK 및 IK를 사용해) UE의 CK 및 IK에 기초하여 KAUSF를 계산할 수 있다. EAP-AKA' 인증 방법이 사용되는 경우, UE는 각각 CK 및 IK로부터 CK' 및 IK'를 도출한 후, CK' 및 IK'에 기초하여 KAUSF를 계산할 수 있다. 그 후, UE는 예를 들어, 단계 10에서와 유사한 방식으로 KAKMA 및 A-KID를 도출할 수 있다. UE는 단계 12에서와 유사한 방식으로, 예를 들어, KAF를 추가로 도출할 수 있다. UE는 예를 들어, AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 예를 들어, A-KID와 KAF의 연관성)에 UE의 KAKMA, A-KID 및 KAF를 저장할 수 있다.
단계 17
UE가 자신의 보안 구성을 업데이트하면 UE는 AF에 확인응답할 수 있다. 확인응답은 AF가 KAF와 연관된 타이머를 시작하는 트리거 역할을 할 수 있다. 타이머의 지속 시간은 KAF의 수명으로 설정될 수 있다. 타이머의 만료는 KAF의 만료를 나타낸다.
선택적으로 UE가 KAUSF와 같은 보안 구성을 업데이트한 후, UE는 성공적인 업데이트에 대해 UDM에게 통지할 수 있고, UDM은 그에 따라 UE와 연관된 AUSF 인스턴스를 저장하거나 리프레시할 수 있다.
실시예 4: NEF를 사용한 키 리프레시 - 조건부 AKMA 보안 컨텍스트 요청
도 9는 AF가 UE와 연관된 KAF를 포함하는 보안 구성을 리프레시하기 위한 예시적인 단계를 도시한다. 리프레시는 UE에 추가로 동기화될 수 있다.
이 실시예에서, 예를 들어, AF가 코어 네트워크(예컨대, AUSF, UDM 등) 외부에 할당되는 경우 AF는 AAnF에 직접 액세스할 수 없다. 따라서, 예시적인 구현에서, NEF는 코어 네트워크에 대한 중계기로서 활용된다.
이 실시예에서, AAnF에 의해 추가적인 인자가 고려된다. 적어도 시그널링 오버헤드를 절약하고 네트워크 요소 상호 작용을 줄이기 위해 AAnF는 UE와 연관된 유효한 보안 컨텍스트가 국부적으로 사용 가능한지 여부를 검사할 수 있다. 보안 컨텍스트가 사용 가능한 경우 AAnF는 UE 보안 컨텍스트를 요청하기 위해 AUSF 및/또는 UDM과 같은 코어 네트워크 요소와 상호 작용할 필요가 없을 수 있다. AAnF에 의해 수행되는 이 검사는 시그널링을 통해 송신되어야 하는 데이터가 더 적기 때문에 이후 단계에서 시그널링 오버헤드를 줄이는 데 더욱 도움이 될 수 있다.
도 9를 참조하여, 예시적인 단계들이 아래에 상세히 설명된다.
단계 0
단계 0은 선택적이며 도 9에는 도시되지 않는다. 이 단계에서, UE는 코어 네트워크와의 1차 인증을 성공적으로 수행하고 UE는 유효한 보안 컨텍스트로 구성된다.
단계 1
AF의 KAF가 만료되었거나 무효하거나 KAF가 결함 상태에서 손실될 수 있다. KAF를 리프레시하기 위해, AF는 네트워크 노출 기능(NEF)에 KAF 업데이트 요청을 송신할 수 있다. KAF 업데이트 요청은 UE의 A-KID를 포함할 수 있다. KAF 업데이트 요청은 UE의 아이덴티티, 예를 들어, UE의 일반 공중 가입 식별자(GPSI), SUPI, 또는 5G-GUTI를 추가로 포함할 수 있다. 일 구현에서, AF가 운영자 네트워크 외부에 위치될 때 GPSI가 사용될 수 있다. 요청에 SUPI가 사용되는 경우 아래 단계 2와 단계 3이 스킵될 수 있다.
단계 2 내지 3
단계 1에서 AF로부터 KAF 업데이트 요청 메시지를 수신하면, 요청 메시지 내의 UE의 아이덴티티가 GPSI 형태 또는 SUPI 이외의 또 다른 형식인 경우, NEF는 UDM으로부터 UE의 SUPI를 검색할 수 있다. 특히, NEF는 GPSI 및 선택적으로 ID 유형 표시자를 포함할 수 있는 UE ID 요청을 UDM에 송신할 수 있다. ID 유형 표시자는 요청된 ID에 대한 ID 유형을 나타낼 수 있다. 예를 들어, ID 유형 표시자는 SUPI 형태의 ID가 요청되었음을 나타낼 수 있다. UDM은 단계 3에서 UE ID 응답 메시지에 UE의 SUPI를 포함하여 응답할 수 있다.
단계 4
NEF는 AAnF에 KAF 업데이트 요청을 송신한다. KAF 업데이트 요청은 UE의 A- KID KID 및 SUPI를 포함할 수 있다.
단계 5
KAF 업데이트 요청 메시지에서 운반되는 SUPI에 기초해, AAnF는, SUPI에 대응하는 AAnF에 구성(또는 제공, 저장)된 UE 보안 컨텍스트(예컨대, AKMA 보안 컨텍스트)가 있는지 여부를 검사할 수 있다. 예를 들어, AAnF는 SUPI에 대응하는 KAKMA가 존재하는지 여부를 검사할 수 있다.
SUPI에 대응하는 보안 컨텍스트가 구성되지 않은 사례에서, 단계 6은 스킵될 수 있다. 그렇지 않으면, 아래의 단계 6이 수행된다.
단계 6
AAnF는 KAF 업데이트 요청 메시지로부터 수신된 A-KID를 AAnF에 구성(또는 제공, 저장)된 UE 보안 컨텍스트에서의 A-KID와 비교할 수 있다. 두 A-KID가 상이할 경우 아래 단계 7 내지 단계 11이 스킵될 수 있다. 이 시나리오는 UE가 단계 0에서 성공적인 1차 인증을 수행하는 경우 발생할 수 있다. 두 A-KID가 동일할 경우 단계 7이 수행된다.
단계 7
그런 다음, AAnF는 국부적 정책을 기반으로 AUSF를 선택하고 선택된 AUSF에 AKMA 보안 컨텍스트 요청을 송신할 수 있다. AKMA 보안 컨텍스트 요청은 UE의 SUPI를 포함할 수 있다.
일 구현에서, AAnF에는 AUSF 기능이 제공될 수 있거나, AAnF와 AUSF는 같은 위치에 배치될 수 있다. 이 경우 AAnF는 UDM과 직접 상호 작용하여 UDM으로부터 AKMA 보안 컨텍스트를 요청할 수 있다.
단계 8
AAnF로부터 AKMA 보안 컨텍스트 요청을 수신하면 AUSF는 UDM에 인증 요청을 송신할 수 있다. 인증 요청은 AKMA 보안 컨텍스트를 요청하는 데 사용될 수 있으며 UE의 SUPI를 포함할 수 있다.
단계 9
UDM(또는 ARPF)은 UE의 UE 가입 데이터에 따라 인증 방법을 결정할 수 있다. 일 구현에서, UDM은 UE의 SUPI에 기초하여 UE 가입 데이터를 검색할 수 있다.
인증 방법이 EAP-AKA'인 경우 UDM은 EAP-AKA' 인증 벡터(AV)로 AUSF에 응답할 수 있다. EAP-AKA' AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES);
· UE의 암호 키의 변환(변환된 키는 CK'로서 표시됨); 또는
· UE의 무결성 키의 변환(변환된 키는 IK'로서 표시됨).
암호키와 무결성 키의 변환은 KDF와 같은 미리 결정된 알고리즘에 기초할 수 있다.
인증 방식이 5G AKA인 경우, UDM은 5G HE 홈 환경 인증 벡터(5G HE AV)로 AUSF에 응답할 수 있다. 5G HE AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES*)
· UE의 AUSF 키(KAUSF).
AUSF에 대한 응답 메시지는 어떤 인증 방법(예컨대, 5G AKA, EAP-AKA', EAP-TLS)이 UE를 위해 선택되는지를 나타내는 인증 방법 표시자를 추가로 포함할 수 있다.
일 구현에서, AUSF에 대한 응답 메시지는 UE의 라우팅 표시자(RID)를 추가로 포함할 수 있다.
단계 10
UDM으로부터 응답을 수신하면, 인증 방법에 따라, AUSF는 응답 메시지로부터 AUSF 키(KAUSF)를 직접 검색하거나, KAUSF를 도출하거나 생성할 필요가 있을 수 있다.
인증 방법 표시자가 EAP-AKA'가 인증 방법으로서 사용됨을 나타내면, AUSF는 CK' 및 IK'에 기초하여 KAUSF를 도출할 수 있다.
인증 방법 표시자가 인증 방법으로서 5G AKA가 사용됨을 나타내면, AUSF는 응답 메시지로부터 KAUSF를 직접 검색할 수 있다. 예를 들어, KAUSF는 5G HE AV의 일부일 수 있다.
다음으로, AUSF는 KAUSF에 기초하여 AKMA 앵커 키(KAKMA) 및 A-KID를 생성할 수 있다.
일 구현에서 KAKMA는 KAKMA = KDF(SUPI, KAUSF)에 의해 도출될 수 있다. KDF는 예시적인 키 도출 함수를 지칭한다. 예를 들어, KDF는 HMAC-SHA-256(보안 해시 알고리즘을 위한 256 비트 해시 기반 메시지 인증 코드)을 포함할 수 있다. HMAC-SHA-256을 사용하는 경우 KDF의 출력은 256 비트 키일 수 있다. 일 구현에서, 출력 키는 예를 들어, 128 비트로 더 잘릴 수 있다. 상술된 바와 같이 KDF를 사용하여 KAKMA를 도출하는 경우, UE의 SUPI가 키로서 사용될 수 있고, KAUSF가 입력으로서 사용될 수 있다.
전술된 바와 같이 A-KID는 UE의 KAKMA를 식별하는데 사용될 수 있다. 일 구현에서, A-KID는 네트워크 액세스 식별자(NAI) 형식, 즉 username@realm으로 표현될 수 있다. 사용자 이름 부분은 UE의 RID 및 UE의 AKMA 임시 UE 식별자(A-TID)를 포함할 수 있고, 영역 부분은 UE의 홈 네트워크 식별자를 포함할 수 있다. 일 구현에서, A-TID는 KDF를 이용하여 KAUSF를 기반으로 도출될 수 있다. 예를 들어, A-TID = KDF(KAUSF, "AKMA")인데, 즉 KDF는 문자열 "AKMA"를 입력으로서 그리고 KAUSF를 키로서 사용한다. RID는 단계 9에서 응답 메시지의 일부로서 UDM으로부터 수신될 수 있다.
일 구현에서, 이 단계에서 도출된 KAKMA 또는 A-KID는 UE의 AKMA 보안 컨텍스트의 일부로서 서빙될 수 있으며, 이에 대해서는 아래 단계에서 자세히 설명된다.
단계 11
단계 5에서 AAnF로부터 수신된 AKMA 보안 컨텍스트 요청에 대한 응답으로서, AUSF는 응답 메시지를 AAnF로 송신할 수 있다. 응답 메시지는 다음 중 적어도 하나를 포함할 수 있다:
· 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN);
· 인증 방법 표시자; 또는
· UE의 AKMA 컨텍스트.
UE의 AKMA 컨텍스트는 UE의 KAKMA 및 KAKMA를 식별하는 A-KID를 포함할 수 있다.
일 구현에서, 응답 메시지는 UE의 SUPI를 추가로 포함할 수 있다.
단계 12
AUSF로부터 AKMA 컨텍스트 응답 메시지를 수신하면, AAnF는 UE의 KAKMA로부터 UE의 애플리케이션 키(KAF)를 도출할 수 있다. 예를 들어, 애플리케이션 키는 KAF = KDF(AF-ID，KAKMA)에 의해 결정될 수 있으며, 여기서 AF-ID는 AF의 식별자이다.
AAnF는 또한 아래 단계에서 AF로 송신될 업데이트된(즉, 현재 유효한) 보안 데이터를 생성하거나 준비할 수 있다. 업데이트된 보안 데이터는 경우에 따라 내용이 다를 수 있다.
사례 A:
사례 A에서, 단계 6에서 설명된 두 A-KID는 상이하다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID.
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간.
사례 B:
사례 B에서, 단계 5에서 SUPI에 대응하는 UE 보안 컨텍스트가 AAnF에 구성되지 않았거나, 단계 6에서 설명된 두 개의 A-KID가 동일하다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID;
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간;
· 단계 11에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 11에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
단계 13
업데이트된 보안 데이터가 생성되거나 도출되면, AAnF는 예를 들어, 단계 4(또는 본질적으로 단계 1)에서 KAF 업데이트 요청 메시지에 대한 응답 메시지인 KAF 업데이트 응답 메시지를 통해 업데이트된 보안 데이터를 AF로 송신할 수 있다.
단계 14
단계 13에서 수신된 응답 메시지에 기초하여, AF는 UE의 A-KID 및 KAF 뿐만 아니라, 위에서 설명된 업데이트된 보안 데이터에서 보이는 다른 보안 구성 정보를 저장할 수 있다.
단계 15
보안 구성과 관련하여 UE가 AF와 동기화되도록 하기 위해, AF는 보안 구성을 운반할 수 있는 KAF 업데이트 메시지를 UE에 송신할 수 있다. 위에 설명된 상이한 사례들에 기초해, 보안 구성은 상이한 콘텐츠를 포함할 수 있다:
사례 A:
· UE의 KAKMA를 식별하는 A-KID.
사례 B:
· EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
KAF 업데이트 메시지는 UE가 자신의 보안 구성을 업데이트하도록 트리거할 수 있다.
단계 16
AF로부터 KAF 업데이트 메시지를 수신하면, UE는 다양한 키 및/또는 키 식별자를 포함할 수 있는 자신의 보안 구성을 업데이트할 수 있다.
사례 A:
이 사례에서, UE는 예를 들어, 단계 0에서 성공적인 1차 인증을 수행했을 수 있다. UE는 1차 인증으로부터의 보안 컨텍스트와 함께 KAF 업데이트 메시지로부터 수신된 A-KID에 기초하여 자신의 KAF를 도출할 수 있다.
사례 B:
이 사례에서, UE는 예를 들어, 수신된 AUTN을 검사함으로써 수신된 보안 구성의 신선도 및 무결성을 먼저 검증할 수 있다. AUTN은 시퀀스 번호(SQN) 및 메시지 인증 코드(MAC)를 포함할 수 있다. MAC 및 SQN이 성공적으로 검증되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출한다. 검증이 통과되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출할 수 있다. 구체적으로, 5G AKA 인증 방법이 사용되는 경우, UE는 (UE의 USIM으로부터 검색된 CK 및 IK를 사용해) UE의 CK 및 IK에 기초하여 KAUSF를 계산할 수 있다. EAP-AKA' 인증 방법이 사용되는 경우, UE는 각각 CK 및 IK로부터 CK' 및 IK'를 도출한 후, CK' 및 IK'에 기초하여 KAUSF를 계산할 수 있다. 그 후, UE는 예를 들어, 단계 10에서와 유사한 방식으로 KAKMA 및 A-KID를 도출할 수 있다. UE는 단계 12에서와 유사한 방식으로, 예를 들어, KAF를 추가로 도출할 수 있다. UE는 예를 들어, AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 예를 들어, A-KID와 KAF의 연관성)에 UE의 KAKMA, A-KID 및 KAF를 저장할 수 있다.
단계 17
UE가 자신의 보안 구성을 업데이트하면 UE는 AF에 확인응답할 수 있다. 확인응답은 AF가 KAF와 연관된 타이머를 시작하는 트리거 역할을 할 수 있다. 타이머의 지속 시간은 KAF의 수명으로 설정될 수 있다. 타이머의 만료는 KAF의 만료를 나타낸다.
선택적으로 UE가 KAUSF와 같은 보안 구성을 업데이트한 후, UE는 성공적인 업데이트에 대해 UDM에게 통지할 수 있고, UDM은 그에 따라 UE와 연관된 AUSF 인스턴스를 저장하거나 리프레시할 수 있다.
실시예 5: NEF 없이 키 리프레시 - 조건부 AKMA 보안 컨텍스트 요청
도 10은 AF가 UE와 연관된 KAF를 포함하는 보안 구성을 리프레시하기 위한 예시적인 단계를 도시한다. 리프레시는 UE에 추가로 동기화된다.
이 실시예에서, AF는 코어 네트워크에 직접 액세스할 수 있다. 따라서 NEF를 코어 네트워크에 대한 중계기로서 사용할 필요가 없다. 대안적으로, NEF는 AAnF와 함께 위치될 수 있다. 이 경우 NEF의 존재는 AF에 투명할 수 있다.
이 실시예에서, AAnF에 의해 추가적인 인자가 고려된다. 적어도 시그널링 오버헤드를 절약하고 네트워크 요소 상호 작용을 줄이기 위해 AAnF는 UE와 연관된 유효한 보안 컨텍스트가 국부적으로 사용 가능한지 여부를 검사할 수 있다. 보안 컨텍스트가 사용 가능한 경우 AAnF는 UE 보안 컨텍스트를 요청하기 위해 AUSF 및/또는 UDM과 같은 코어 네트워크 요소와 상호 작용할 필요가 없을 수 있다. AAnF에 의해 수행되는 이 검사는 시그널링을 통해 송신되어야 하는 데이터가 더 적기 때문에 이후 단계에서 시그널링 오버헤드를 줄이는 데 더욱 도움이 될 수 있다.
도 10을 참조하여, 예시적인 단계들이 아래에 상세히 설명된다.
단계 0
단계 0은 선택적이며 도 10에는 도시되지 않는다. 이 단계에서, UE는 코어 네트워크와의 1차 인증을 성공적으로 수행하고 UE는 유효한 보안 컨텍스트로 구성된다.
단계 1
AF의 KAF가 만료되었거나 무효하거나, KAF가 결함 상태에서 손실될 수 있다. KAF를 리프레시하기 위해, AF는 KAF 업데이트 요청을 AAnF에 송신할 수 있다. KAF 업데이트 요청은 UE의 A-KID를 포함할 수 있다. KAF 업데이트 요청은 UE의 아이덴티티, 예를 들어, UE의 GPSI, SUPI, 또는 5G-GUTI를 추가로 포함할 수 있다. 요청에 SUPI가 사용된 경우 아래 단계 2와 단계 3이 스킵될 수 있다.
단계 2 내지 3
단계 1에서 AF로부터 KAF 업데이트 요청 메시지를 수신하면, 요청 메시지 내의 UE의 아이덴티티가 GPSI 형태 또는 SUPI 이외의 또 다른 형식인 경우, AAnF는 UDM으로부터 UE의 SUPI를 검색할 수 있다. 특히, AAnF는 GPSI 및 선택적으로 ID 유형 표시자를 포함할 수 있는 UE ID 요청을 UDM에 송신할 수 있다. ID 유형 표시자는 요청된 ID에 대한 ID 유형을 나타낼 수 있다. 예를 들어, ID 유형 표시자는 SUPI 형태의 ID가 요청되었음을 나타낼 수 있다. UDM은 단계 3에서 UE ID 응답 메시지에 UE의 SUPI를 포함하여 응답할 수 있다.
단계 4
A-KID를 운반하는 KAF 업데이트 요청 메시지를 수신하면, AAnF는 동일한 A-KID가 AAnF에 이미 구성(또는 제공, 저장)되어 있는지 여부를 검사할 수 있다. AAnF에 동일한 A-KID가 구성되는 경우 아래 단계 5가 스킵된다.
단계 5
KAF 업데이트 요청 메시지에서 운반되는 SUPI에 기초해, AAnF는 SUPI에 대응하는 유효한 보안 컨텍스트(예컨대, AKMA 보안 컨텍스트)가 AAnF에 구성(또는 제공, 저장)되어 있는지 여부를 추가로 검사할 수 있다. 예를 들어, AAnF는 SUPI에 대응하는 KAKMA가 존재하는지 여부를 검사할 수 있다.
UE 보안 컨텍스트가 구성되는 경우, 예를 들어, 단계 1 이전에 단계 0이 실행되고 UE가 성공적으로 1차 인증을 수행하면, AAnF는 코어 네트워크(예컨대, AUSF, UDM)로부터 UE 특유 보안 컨텍스트를 요청할 필요가 없으며, 아래의 단계 6 내지 10은 스킵될 수 있다.
단계 6
그런 다음, AAnF는 국부적 정책을 기반으로 AUSF를 선택하고 선택된 AUSF에 AKMA 보안 컨텍스트 요청을 송신할 수 있다. AKMA 보안 컨텍스트 요청은 UE의 SUPI를 포함할 수 있다.
일 구현에서, AAnF에는 AUSF 기능이 제공될 수 있거나, AAnF와 AUSF는 같은 위치에 배치될 수 있다. 이 경우 AAnF는 UDM과 직접 상호 작용하여 UDM으로부터 AKMA 보안 컨텍스트를 요청할 수 있다.
단계 7
AAnF로부터 AKMA 보안 컨텍스트 요청을 수신하면 AUSF는 UDM에 인증 요청을 송신할 수 있다. 인증 요청은 AKMA 보안 컨텍스트를 요청하는 데 사용될 수 있으며 UE의 SUPI를 포함할 수 있다.
단계 8
UDM(또는 ARPF)은 UE의 UE 가입 데이터에 따라 인증 방법을 결정할 수 있다. 일 구현에서, UDM은 UE의 SUPI에 기초하여 UE 가입 데이터를 검색할 수 있다.
인증 방법이 EAP-AKA'인 경우 UDM은 EAP-AKA' 인증 벡터(AV)로 AUSF에 응답할 수 있다. EAP-AKA' AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES);
· UE의 암호 키의 변환(변환된 키는 CK'로서 표시됨); 또는
· UE의 무결성 키의 변환(변환된 키는 IK'로서 표시됨).
암호키와 무결성 키의 변환은 KDF와 같은 미리 결정된 알고리즘에 기초할 수 있다.
인증 방식이 5G AKA인 경우, UDM은 5G HE 홈 환경 인증 벡터(5G HE AV)로 AUSF에 응답할 수 있다. 5G HE AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES*);
· UE의 AUSF 키(KAUSF).
AUSF에 대한 응답 메시지는 어떤 인증 방법(예컨대, 5G AKA, EAP-AKA', EAP-TLS)이 UE를 위해 선택되는지를 나타내는 인증 방법 표시자를 추가로 포함할 수 있다.
일 구현에서, AUSF에 대한 응답 메시지는 UE의 라우팅 표시자(RID)를 추가로 포함할 수 있다.
단계 9
UDM으로부터 응답을 수신하면, 인증 방법에 따라, AUSF는 응답 메시지로부터 AUSF 키(KAUSF)를 직접 검색하거나, KAUSF를 도출하거나 생성할 필요가 있을 수 있다.
인증 방법 표시자가 EAP-AKA'가 인증 방법으로서 사용됨을 나타내면, AUSF는 CK' 및 IK'에 기초하여 KAUSF를 도출할 수 있다.
인증 방법 표시자가 인증 방법으로서 5G AKA가 사용됨을 나타내면, AUSF는 응답 메시지로부터 KAUSF를 직접 검색할 수 있다. 예를 들어, KAUSF는 5G HE AV의 일부일 수 있다.
다음으로, AUSF는 KAUSF에 기초하여 AKMA 앵커 키(KAKMA) 및 A-KID를 생성할 수 있다.
일 구현에서 KAKMA는 KAKMA = KDF(SUPI, KAUSF)에 의해 도출될 수 있다. KDF는 예시적인 키 도출 함수를 지칭한다. 예를 들어, KDF는 HMAC-SHA-256(보안 해시 알고리즘을 위한 256 비트 해시 기반 메시지 인증 코드)을 포함할 수 있다. HMAC-SHA-256을 사용하는 경우 KDF의 출력은 256 비트 키일 수 있다. 일 구현에서, 출력 키는 예를 들어, 128 비트로 더 잘릴 수 있다. 상술된 바와 같이 KDF를 사용하여 KAKMA를 도출하는 경우, UE의 SUPI가 키로서 사용될 수 있고, KAUSF가 입력으로서 사용될 수 있다.
전술된 바와 같이 A-KID는 UE의 KAKMA를 식별하는데 사용될 수 있다. 일 구현에서, A-KID는 네트워크 액세스 식별자(NAI) 형식, 즉 username@realm으로 표현될 수 있다. 사용자 이름 부분은 UE의 RID 및 UE의 AKMA 임시 UE 식별자(A-TID)를 포함할 수 있고, 영역 부분은 UE의 홈 네트워크 식별자를 포함할 수 있다. 일 구현에서, A-TID는 KDF를 이용하여 KAUSF를 기반으로 도출될 수 있다. 예를 들어, A-TID = KDF(KAUSF, "AKMA")인데, 즉 KDF는 문자열 "AKMA"를 입력으로서 그리고 KAUSF를 키로서 사용한다. RID는 단계 8에서 응답 메시지의 일부로서 UDM으로부터 수신될 수 있다.
일 구현에서, 이 단계에서 도출된 KAKMA 또는 A-KID는 UE의 AKMA 컨텍스트의 일부로서 서빙될 수 있으며, 이에 대해서는 아래 단계에서 자세히 설명된다.
단계 10
단계 5에서 AAnF로부터 수신된 AKMA 보안 컨텍스트 요청에 대한 응답으로서, AUSF는 응답 메시지를 AAnF로 송신할 수 있다. 응답 메시지는 다음 중 적어도 하나를 포함할 수 있다:
· 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN);
· 인증 방법 표시자; 또는
· UE의 AKMA 컨텍스트.
UE의 AKMA 컨텍스트는 UE의 KAKMA 및 KAKMA를 식별하는 A-KID를 포함할 수 있다.
일 구현에서, 응답 메시지는 UE의 SUPI를 추가로 포함할 수 있다.
단계 11
AUSF로부터 AKMA 컨텍스트 응답 메시지를 수신하면, AAnF는 UE의 KAKMA로부터 UE의 애플리케이션 키(KAF)를 도출할 수 있다. 예를 들어, 애플리케이션 키는 KAF = KDF(AF-ID，KAKMA)에 의해 결정될 수 있으며, 여기서 AF-ID는 AF의 식별자이다.
AAnF는 또한 아래 단계에서 AF로 송신될 업데이트된(즉, 현재 유효한) 보안 데이터를 생성하거나 준비할 수 있다. 업데이트된 보안 데이터는 경우에 따라 내용이 다를 수 있다.
사례 A:
사례 A에서, 보안 컨텍스트가 존재하거나 단계 5에서 AAnF에 구성된다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID.
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간.
사례 B:
사례 B에서, 단계 4에서 설명된 바와 같이 동일한 A-KID가 AAnF에 구성되거나, 단계 5에서 설명된 바와 같이 UE 보안 컨텍스트가 AAnF에 존재하지 않거나 구성되지 않는다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID;
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간;
· 단계 10에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 10에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
단계 12
업데이트된 보안 데이터가 생성되거나 도출되면, AAnF는 예를 들어, 단계 1에서 KAF 업데이트 요청 메시지에 대한 응답 메시지인 KAF 업데이트 응답 메시지를 통해 업데이트된 보안 데이터를 AF로 송신할 수 있다.
단계 13
단계 12에서 수신된 응답 메시지에 기초하여, AF는 UE의 A-KID 및 KAF 뿐만 아니라, 위에서 설명된 업데이트된 보안 데이터에서 보이는 다른 보안 구성 정보를 저장할 수 있다.
단계 14
보안 구성과 관련하여 UE가 AF와 동기화되도록 하기 위해, AF는 보안 구성을 운반할 수 있는 KAF 업데이트 메시지를 UE에 송신할 수 있다. 위에 설명된 상이한 사례들에 기초해, 보안 구성은 상이한 콘텐츠를 포함할 수 있다.
사례 A:
· UE의 KAKMA를 식별하는 A-KID.
사례 B:
· EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
KAF 업데이트 메시지는 UE가 자신의 보안 구성을 업데이트하도록 트리거할 수 있다.
단계 15
AF로부터 KAF 업데이트 메시지를 수신하면, UE는 다양한 키 및/또는 키 식별자를 포함할 수 있는 자신의 보안 구성을 업데이트할 수 있다.
사례 A:
이 사례에서, UE는 예를 들어, 단계 0에서 성공적인 1차 인증을 수행했을 수 있다. UE는 1차 인증으로부터의 보안 컨텍스트와 함께 KAF 업데이트 메시지로부터 수신된 A-KID에 기초하여 자신의 KAF를 도출할 수 있다.
사례 B:
이 사례에서, UE는 예를 들어, 수신된 AUTN을 검사함으로써 수신된 보안 구성의 신선도 및 무결성을 먼저 검증할 수 있다. AUTN은 시퀀스 번호(SQN) 및 메시지 인증 코드(MAC)를 포함할 수 있다. MAC 및 SQN이 성공적으로 검증되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출한다. 검증이 통과되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출할 수 있다. 구체적으로, 5G AKA 인증 방법이 사용되는 경우, UE는 (UE의 USIM으로부터 검색된 CK 및 IK를 사용해) UE의 CK 및 IK에 기초하여 KAUSF를 계산할 수 있다. EAP-AKA' 인증 방법이 사용되는 경우, UE는 각각 CK 및 IK로부터 CK' 및 IK'를 도출한 후, CK' 및 IK'에 기초하여 KAUSF를 계산할 수 있다. 그 후, UE는 예를 들어, 단계 9에서와 유사한 방식으로 KAKMA 및 A-KID를 도출할 수 있다. UE는 단계 11에서와 유사한 방식으로, 예를 들어, KAF를 추가로 도출할 수 있다. UE는 예를 들어, AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 예를 들어, A-KID와 KAF의 연관성)에 UE의 KAKMA, A-KID 및 KAF를 저장할 수 있다.
단계 16
UE가 자신의 보안 구성을 업데이트하면 UE는 AF에 확인응답할 수 있다. 확인응답은 AF가 KAF와 연관된 타이머를 시작하는 트리거 역할을 할 수 있다. 타이머의 지속 시간은 KAF의 수명으로 설정될 수 있다. 타이머의 만료는 KAF의 만료를 나타낸다.
선택적으로 UE가 KAUSF와 같은 보안 구성을 업데이트한 후, UE는 성공적인 업데이트에 대해 UDM에게 통지할 수 있고, UDM은 그에 따라 UE와 연관된 AUSF 인스턴스를 저장하거나 리프레시할 수 있다.
실시예 6: NEF 없이 키 리프레시 - 조건부 AKMA 보안 컨텍스트 요청
도 11은 AF가 UE와 연관된 KAF를 포함하는 보안 구성을 리프레시하기 위한 예시적인 단계를 도시한다. 리프레시는 UE에 추가로 동기화된다.
이 실시예에서, AF는 코어 네트워크에 직접 액세스할 수 있다. 따라서 NEF를 코어 네트워크에 대한 중계기로서 사용할 필요가 없다. 대안적으로, NEF는 AAnF와 함께 위치될 수 있다. 이 경우 NEF의 존재는 AF에 투명할 수 있다.
이 실시예에서, AAnF에 의해 추가적인 인자가 고려된다. 적어도 시그널링 오버헤드를 절약하고 네트워크 요소 상호 작용을 줄이기 위해 AAnF는 UE와 연관된 유효한 보안 컨텍스트가 국부적으로 사용 가능한지 여부를 검사할 수 있다. 보안 컨텍스트가 사용 가능한 경우 AAnF는 UE 보안 컨텍스트를 요청하기 위해 AUSF 및/또는 UDM과 같은 코어 네트워크 요소와 상호 작용할 필요가 없을 수 있다. AAnF에 의해 수행되는 이 검사는 시그널링을 통해 송신되어야 하는 데이터가 더 적기 때문에 이후 단계에서 시그널링 오버헤드를 줄이는 데 더욱 도움이 될 수 있다.
도 11을 참조하여, 예시적인 단계들이 아래에 상세히 설명된다.
단계 0
단계 0은 선택적이며 도 11에는 도시되지 않는다. 이 단계에서, UE는 코어 네트워크와의 1차 인증을 성공적으로 수행하고 UE는 유효한 보안 컨텍스트로 구성된다.
단계 1
AF의 KAF가 만료되었거나 무효하거나, KAF가 결함 상태에서 손실될 수 있다. KAF를 리프레시하기 위해, AF는 KAF 업데이트 요청을 AAnF에 송신할 수 있다. KAF 업데이트 요청은 UE의 A-KID를 포함할 수 있다. KAF 업데이트 요청은 UE의 아이덴티티, 예를 들어, UE의 GPSI, SUPI, 또는 5G-GUTI를 추가로 포함할 수 있다. 요청에 SUPI가 사용되는 경우 아래 단계 2와 단계 3이 스킵될 수 있다.
단계 2 내지 3
단계 1에서 AF로부터 KAF 업데이트 요청 메시지를 수신하면, 요청 메시지 내의 UE의 아이덴티티가 GPSI 형태 또는 SUPI 이외의 또 다른 형식인 경우, AAnF는 UDM으로부터 UE의 SUPI를 검색할 수 있다. 특히, AAnF는 GPSI 및 선택적으로 ID 유형 표시자를 포함할 수 있는 UE ID 요청을 UDM에 송신할 수 있다. ID 유형 표시자는 요청된 ID에 대한 ID 유형을 나타낼 수 있다. 예를 들어, ID 유형 표시자는 SUPI 형태의 ID가 요청되었음을 나타낼 수 있다. UDM은 단계 3에서 UE ID 응답 메시지에 UE의 SUPI를 포함하여 응답할 수 있다.
단계 4
KAF 업데이트 요청 메시지에서 운반되는 SUPI에 기초해, AAnF는, SUPI에 대응하는 AAnF에 구성(또는 제공, 저장)된 UE 보안 컨텍스트(예컨대, AKMA 보안 컨텍스트)가 있는지 여부를 검사할 수 있다. 예를 들어, AAnF는 SUPI에 대응하는 KAKMA가 존재하는지 여부를 검사할 수 있다.
SUPI에 대응하는 UE 보안 컨텍스트가 구성되지 않는 경우, 아래의 단계 5는 스킵될 수 있다. 그렇지 않으면, 단계 5가 수행된다.
단계 5
AAnF는 KAF 업데이트 요청 메시지로부터 수신된 A-KID를 AAnF에 구성(또는 프로비저닝, 저장)된 UE 보안 컨텍스트에서의 A-KID와 비교할 수 있다. 두 A-KID가 상이할 경우 아래 단계 6 내지 단계 10이 스킵될 수 있다. 이 시나리오는 UE가 단계 0에서 성공적인 1차 인증을 수행하는 경우 발생할 수 있다. 두 A-KID가 동일할 경우 단계 6이 수행된다.
단계 6
그런 다음, AAnF는 국부적 정책을 기반으로 AUSF를 선택하고 선택된 AUSF에 AKMA 보안 컨텍스트 요청을 송신할 수 있다. AKMA 보안 컨텍스트 요청은 UE의 SUPI를 포함할 수 있다.
일 구현에서, AAnF에는 AUSF 기능이 제공될 수 있거나, AAnF와 AUSF는 같은 위치에 배치될 수 있다. 이 경우 AAnF는 UDM과 직접 상호 작용하여 UDM으로부터 AKMA 보안 컨텍스트를 요청할 수 있다.
단계 7
AAnF로부터 AKMA 보안 컨텍스트 요청을 수신하면 AUSF는 UDM에 인증 요청을 송신할 수 있다. 인증 요청은 AKMA 보안 컨텍스트를 요청하는 데 사용될 수 있으며 UE의 SUPI를 포함할 수 있다.
단계 8
UDM(또는 ARPF)은 UE의 UE 가입 데이터에 따라 인증 방법을 결정할 수 있다. 일 구현에서, UDM은 UE의 SUPI에 기초하여 UE 가입 데이터를 검색할 수 있다.
인증 방법이 EAP-AKA'인 경우 UDM은 EAP-AKA' 인증 벡터(AV)로 AUSF에 응답할 수 있다. EAP-AKA' AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES);
· UE의 암호 키의 변환(변환된 키는 CK'로서 표시됨); 또는
· UE의 무결성 키의 변환(변환된 키는 IK'로서 표시됨).
암호키와 무결성 키의 변환은 KDF와 같은 미리 결정된 알고리즘에 기초할 수 있다.
인증 방식이 5G AKA인 경우, UDM은 5G HE 홈 환경 인증 벡터(5G HE AV)로 AUSF에 응답할 수 있다. 5G HE AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES*);
· UE의 AUSF 키(KAUSF).
AUSF에 대한 응답 메시지는 어떤 인증 방법(예컨대, 5G AKA, EAP-AKA', EAP-TLS)이 UE를 위해 선택되는지를 나타내는 인증 방법 표시자를 추가로 포함할 수 있다.
일 구현에서, AUSF에 대한 응답 메시지는 UE의 라우팅 표시자(RID)를 추가로 포함할 수 있다.
단계 9
UDM으로부터 응답을 수신하면, 인증 방법에 따라, AUSF는 응답 메시지로부터 AUSF 키(KAUSF)를 직접 검색하거나, KAUSF를 도출하거나 생성할 필요가 있을 수 있다.
인증 방법 표시자가 EAP-AKA'가 인증 방법으로서 사용됨을 나타내면, AUSF는 CK' 및 IK'에 기초하여 KAUSF를 도출할 수 있다.
인증 방법 표시자가 인증 방법으로서 5G AKA가 사용됨을 나타내면, AUSF는 응답 메시지로부터 KAUSF를 직접 검색할 수 있다. 예를 들어, KAUSF는 5G HE AV의 일부일 수 있다.
다음으로, AUSF는 KAUSF에 기초하여 AKMA 앵커 키(KAKMA) 및 A-KID를 생성할 수 있다.
일 구현에서 KAKMA는 KAKMA = KDF(SUPI, KAUSF)에 의해 도출될 수 있다. KDF는 예시적인 키 도출 함수를 지칭한다. 예를 들어, KDF는 HMAC-SHA-256(보안 해시 알고리즘을 위한 256 비트 해시 기반 메시지 인증 코드)을 포함할 수 있다. HMAC-SHA-256을 사용하는 경우 KDF의 출력은 256 비트 키일 수 있다. 일 구현에서, 출력 키는 예를 들어, 128 비트로 더 잘릴 수 있다. 상술된 바와 같이 KDF를 사용하여 KAKMA를 도출하는 경우, UE의 SUPI가 키로서 사용될 수 있고, KAUSF가 입력으로서 사용될 수 있다.
전술된 바와 같이 A-KID는 UE의 KAKMA를 식별하는데 사용될 수 있다. 일 구현에서, A-KID는 네트워크 액세스 식별자(NAI) 형식, 즉 username@realm으로 표현될 수 있다. 사용자 이름 부분은 UE의 RID 및 UE의 AKMA 임시 UE 식별자(A-TID)를 포함할 수 있고, 영역 부분은 UE의 홈 네트워크 식별자를 포함할 수 있다. 일 구현에서, A-TID는 KDF를 이용하여 KAUSF를 기반으로 도출될 수 있다. 예를 들어, A-TID = KDF(KAUSF, "AKMA")인데, 즉 KDF는 문자열 "AKMA"를 입력으로서 그리고 KAUSF를 키로서 사용한다. RID는 단계 8에서 응답 메시지의 일부로서 UDM으로부터 수신될 수 있다.
일 구현에서, 이 단계에서 도출된 KAKMA 또는 A-KID는 UE의 AKMA 컨텍스트의 일부로서 서빙될 수 있으며, 이에 대해서는 아래 단계에서 자세히 설명된다.
단계 10
단계 6에서 AAnF로부터 수신된 AKMA 보안 컨텍스트 요청에 대한 응답으로서, AUSF는 응답 메시지를 AAnF로 송신할 수 있다. 응답 메시지는 다음 중 적어도 하나를 포함할 수 있다:
· 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN);
· 인증 방법 표시자; 또는
· UE의 AKMA 컨텍스트.
UE의 AKMA 컨텍스트는 UE의 KAKMA 및 KAKMA를 식별하는 A-KID를 포함할 수 있다.
일 구현에서, 응답 메시지는 UE의 SUPI를 추가로 포함할 수 있다.
단계 11
AUSF로부터 AKMA 컨텍스트 응답 메시지를 수신하면, AAnF는 UE의 KAKMA로부터 UE의 애플리케이션 키(KAF)를 도출할 수 있다. 예를 들어, 애플리케이션 키는 KAF = KDF(AF-ID，KAKMA)에 의해 결정될 수 있으며, 여기서 AF-ID는 AF의 식별자이다.
AAnF는 또한 아래 단계에서 AF로 송신될 업데이트된(즉, 현재 유효한) 보안 데이터를 생성하거나 준비할 수 있다. 업데이트된 보안 데이터는 경우에 따라 내용이 다를 수 있다.
사례 A:
사례 A에서, 단계 5에서 설명된 두 A-KID는 상이하다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID.
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간.
사례 B:
사례 B에서, 단계 4에서 SUPI에 대응하는 UE 보안 컨텍스트가 AAnF에 구성되지 않았거나, 단계 5에서 설명된 두 개의 A-KID가 동일하다. 업데이트된 보안 데이터는 다음을 포함할 수 있다:
· UE의 KAKMA를 식별하는 A-KID;
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간;
· 단계 10에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 10에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
단계 12
업데이트된 보안 데이터가 생성되거나 도출되면, AAnF는 예를 들어, 단계 1에서 KAF 업데이트 요청 메시지에 대한 응답 메시지인 KAF 업데이트 응답 메시지를 통해 업데이트된 보안 데이터를 AF로 송신할 수 있다.
단계 13
단계 12에서 수신된 응답 메시지에 기초하여, AF는 UE의 A-KID 및 KAF 뿐만 아니라, 위에서 설명된 업데이트된 보안 데이터에서 보이는 다른 보안 구성 정보를 저장할 수 있다.
단계 14
보안 구성과 관련하여 UE가 AF와 동기화되도록 하기 위해, AF는 보안 구성을 운반할 수 있는 KAF 업데이트 메시지를 UE에 송신할 수 있다. 위에 설명된 상이한 사례들에 기초해, 보안 구성은 상이한 콘텐츠를 포함할 수 있다.
사례 A:
· UE의 KAKMA를 식별하는 A-KID.
사례 B:
· EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
KAF 업데이트 메시지는 UE가 자신의 보안 구성을 업데이트하도록 트리거할 수 있다.
단계 15
AF로부터 KAF 업데이트 메시지를 수신하면, UE는 다양한 키 및/또는 키 식별자를 포함할 수 있는 자신의 보안 구성을 업데이트할 수 있다.
사례 A:
이 사례에서, UE는 예를 들어, 단계 0에서 성공적인 1차 인증을 수행했을 수 있다. UE는 1차 인증으로부터의 보안 컨텍스트와 함께 KAF 업데이트 메시지로부터 수신된 A-KID에 기초하여 자신의 KAF를 도출할 수 있다.
사례 B:
이 사례에서, UE는 예를 들어, 수신된 AUTN을 검사함으로써 수신된 보안 구성의 신선도 및 무결성을 먼저 검증할 수 있다. AUTN은 시퀀스 번호(SQN) 및 메시지 인증 코드(MAC)를 포함할 수 있다. MAC 및 SQN이 성공적으로 검증되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출한다. 검증이 통과되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출할 수 있다. 구체적으로, 5G AKA 인증 방법이 사용되는 경우, UE는 (UE의 USIM으로부터 검색된 CK 및 IK를 사용해) UE의 CK 및 IK에 기초하여 KAUSF를 계산할 수 있다. EAP-AKA' 인증 방법이 사용되는 경우, UE는 각각 CK 및 IK로부터 CK' 및 IK'를 도출한 후, CK' 및 IK'에 기초하여 KAUSF를 계산할 수 있다. 그 후, UE는 예를 들어, 단계 9에서와 유사한 방식으로 KAKMA 및 A-KID를 도출할 수 있다. UE는 단계 11에서와 유사한 방식으로, 예를 들어, KAF를 추가로 도출할 수 있다. UE는 예를 들어, AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 예를 들어, A-KID와 KAF의 연관성)에 UE의 KAKMA, A-KID 및 KAF를 저장할 수 있다.
단계 16
UE가 자신의 보안 구성을 업데이트하면 UE는 AF에 확인응답할 수 있다. 확인응답은 AF가 KAF와 연관된 타이머를 시작하는 트리거 역할을 할 수 있다. 타이머의 지속 시간은 KAF의 수명으로 설정될 수 있다. 타이머의 만료는 KAF의 만료를 나타낸다.
선택적으로 UE가 KAUSF와 같은 보안 구성을 업데이트한 후, UE는 성공적인 업데이트에 대해 UDM에게 통지할 수 있고, UDM은 그에 따라 UE와 연관된 AUSF 인스턴스를 저장하거나 리프레시할 수 있다.
실시예 7: UE에게로의 AKMA 푸시
도 12는 AF와 UE에서 AKMA 보안 컨텍스트를 구성하기 위한 예시적인 단계를 도시한다. 이 실시예에서, UE는 AF로부터의 애플리케이션 서비스에 가입했을 수 있고, UE의 아이덴티티는 AF에 알려져 있다. 예를 들어, 보류 중인(pending) 보안 구성 업데이트가 있는 경우 AF는 보안 구성을 사전에(proactively) UE에게 푸시할 수 있다. 예시적인 단계는 아래에 자세히 설명되어 있다.
단계 1
메시지를 UE에게 안전하게 푸시하기 위해, 애플리케이션 기능(AF) 측과 UE 측 모두에 보안 컨텍스트(보안 구성, AKMA 보안 컨텍스트라고도 지칭될 수 있음)가 설정될 수 있다. 예를 들어, 보안 컨텍스트는 AKMA 프레임워크를 기반으로 할 수 있으며, UE의 AKMA 앵커 키(또는 AKMA 앵커 키(A-KID)의 ID) 및 UE의 AF 키를 포함할 수 있다. 또는, 보안 컨텍스트는 UE의 AKMA 앵커 키(또는 A-KID)와 UE의 AF 키의 바인딩(binding)을 포함할 수 있다. 이 바인딩은 보안 연관성(Security Association; SA)이라고 지칭될 수 있다. 앞서 설명된 바와 같이, 본 개시내용에서는 UE의 AKMA 앵커 키 및 UE의 AF키는 각각 KAKMA 및 KAF로 표시될 수 있다.
보안 컨텍스트를 획득하기 위해, AF는 보안 컨텍스트 관련 구성 정보를 요청하기 위해 NEF에 푸시 요청(또는 AKMA 구성 요청)을 송신할 수 있다. 이 요청은 UE의 아이덴티티, 예를 들어, UE의 GPSI, 5G-GUTI 또는 SUPI를 포함할 수 있다. 일 구현에서, AF가 운영자 네트워크 외부에 위치될 때 GPSI가 사용될 수 있다. AF가 운영자 네트워크 내부에 있는 경우 GPSI와 SUPI 모두가 사용될 수 있다. 일 구현에서, 요청은 AF ID(즉, AF의 식별자)를 추가로 포함할 수 있다.
일 구현에서, AF는 코어 네트워크에 직접 액세스할 수 있다. 예를 들어, AF는 AAnF에 직접 액세스할 수 있다. 이 경우, AF는 요청 메시지를 코어 네트워크에 직접 송신할 수 있다.
일 구현에서, AF는 이미, 이용가능한 UE의 A-KID 및 UE의 AF 키(KAF)를 가질 수 있다. 이 경우, AF는 바로, 아래 단계 13으로 점프하여 A-KID를 UE에 직접 송신함으로써 UE는 보안 연관성(SA)을 확립 및/또는 보안 컨텍스트를 저장할 수 있다.
단계 2 내지 3
단계 1에서 AF로부터 푸시 요청을 수신하면, 요청 메시지 내의 UE의 아이덴티티가 GPSI 형태 또는 SUPI 이외의 또 다른 형식인 경우, NEF는 UDM으로부터 UE의 SUPI를 검색할 수 있다. 특히, NEF는 GPSI 및 선택적으로 ID 유형 표시자를 포함할 수 있는 UE ID 요청을 UDM에 송신할 수 있다. ID 유형 표시자는 요청된 ID에 대한 ID 유형을 나타낼 수 있다. 예를 들어, ID 유형 표시자는 SUPI 형태의 ID가 요청되었음을 나타낼 수 있다. UDM은 단계 3에서 UE ID 응답 메시지에 UE의 SUPI를 포함하여 응답할 수 있다.
푸시 요청 메시지에 포함된 UE의 식별자가 이미 SUPI 형식인 경우에는 단계 2 내지 3이 스킵될 수 있다.
단계 4
NEF는 AKMA 푸시 요청을 AAnF로 송신한다. AKMA 푸시 요청은 UE의 SUPI를 포함할 수 있다.
단계 5
AAnF는 UE의 SUPI에 기초하여, UE(SUPI, KAKMA 및/또는 A-KID)의 대응하는 AKMA 보안 컨텍스트가 AAnF에 국부적으로 존재하는지 여부를 검사할 수 있다. AAnF가 이미 AKMA 컨텍스트를 갖는 경우 아래 단계 6 내지 10이 스킵될 수 있다.
단계 6
위의 단계 5에서, AAnF는 UE에 대한 AKMA 보안 컨텍스트가 이용 가능하지 않다고 결정할 수 있다. 그런 다음, AAnF는 국부적 정책을 기반으로 AUSF를 선택하고 선택된 AUSF에 AKMA 보안 컨텍스트 요청을 포워딩할 수 있다. AKMA 보안 컨텍스트 요청은 UE의 SUPI를 포함할 수 있다.
일 구현에서, AAnF에는 AUSF 기능이 제공될 수 있거나, AAnF와 AUSF는 같은 위치에 배치될 수 있다. 이 경우 AAnF는 UDM과 직접 상호 작용하여 UDM으로부터 AKMA 보안 컨텍스트 요청을 요청할 수 있다.
단계 7
AAnF로부터 AKMA 보안 컨텍스트 요청을 수신하면 AUSF는 UDM에 인증 요청을 송신할 수 있다. 인증 요청은 AKMA 보안 컨텍스트를 요청하는 데 사용될 수 있으며 UE의 SUPI를 포함할 수 있다.
단계 8
UDM은 UE의 UE 가입 데이터에 따라 인증 방법을 결정할 수 있다. 일 구현에서, UDM은 UE의 SUPI에 기초하여 UE 가입 데이터를 검색할 수 있다.
인증 방법이 EAP-AKA'인 경우 UDM은 EAP-AKA' 인증 벡터(AV)로 AUSF에 응답할 수 있다. EAP-AKA' AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES)
· UE의 암호 키의 변환(변환된 키는 CK'로서 표시됨); 또는
· UE의 무결성 키의 변환(변환된 키는 IK'로서 표시됨).
암호키와 무결성 키의 변환은 KDF와 같은 미리 결정된 알고리즘에 기초할 수 있다.
인증 방식이 5G AKA인 경우, UDM은 5G HE 홈 환경 인증 벡터(5G HE AV)로 AUSF에 응답할 수 있다. 5G HE AV는 다음 중 적어도 하나를 포함할 수 있다:
· 챌린지로서 사용될 수 있는 난수(RAND);
· 챌린지의 신선도와 인증성을 증명하는 데 사용될 수 있는 인증 토큰(AUTN);
· 인증 절차에서 챌린지에 대한 예상 응답(XRES*);
· UE의 AUSF 키(KAUSF).
AUSF에 대한 응답 메시지는 어떤 인증 방법(예컨대, 5G AKA, EAP-AKA', EAP-TLS)이 선택되는지를 나타내는 인증 방법 표시자를 추가로 포함할 수 있다.
일 구현에서, AUSF에 대한 응답 메시지는 UE의 라우팅 표시자(RID)를 추가로 포함할 수 있다.
단계 9
UDM으로부터 응답을 수신하면, 인증 방법에 따라, AUSF는 응답 메시지로부터 AUSF 키(KAUSF)를 직접 검색하거나, KAUSF를 도출하거나 생성할 필요가 있을 수 있다.
인증 방법 표시자가 EAP-AKA'가 인증 방법으로서 사용됨을 나타내면, AUSF는 CK' 및 IK'에 기초하여 KAUSF를 도출할 수 있다.
인증 방법 표시자가 인증 방법으로서 5G AKA가 사용됨을 나타내면, AUSF는 응답 메시지로부터 KAUSF를 직접 검색할 수 있다.
다음으로, AUSF는 KAUSF에 기초하여 AKMA 앵커 키(KAKMA) 및 A-KID를 생성할 수 있다.
일 구현에서 KAKMA는 KAKMA = KDF(SUPI, KAUSF)에 의해 도출될 수 있다. KDF는 키 도출 함수를 지칭한다. 예를 들어, KDF는 HMAC-SHA-256(보안 해시 알고리즘을 위한 256 비트 해시 기반 메시지 인증 코드)을 포함할 수 있다. HMAC-SHA-256을 사용하는 경우 KDF의 출력은 256 비트 키일 수 있다. 일 구현에서, 출력 키는 예를 들어, 128비트로 더 잘릴 수 있다. 상술된 바와 같이 KDF를 사용하여 KAKMA를 도출하는 경우, UE의 SUPI가 키로서 사용될 수 있고, KAUSF가 입력으로서 사용될 수 있다.
전술된 바와 같이 A-KID는 UE의 KAKMA를 식별하는데 사용될 수 있다. 일 구현에서, A-KID는 네트워크 액세스 식별자(NAI) 형식, 즉 username@realm으로 표현될 수 있다. 사용자 이름 부분은 UE의 RID 및 UE의 AKMA 임시 UE 식별자(A-TID)를 포함할 수 있고, 영역 부분은 UE의 홈 네트워크 식별자를 포함할 수 있다. 일 구현에서, A-TID는 KDF를 이용하여 KAUSF를 기반으로 도출될 수 있다. 예를 들어, A-TID = KDF(KAUSF, "AKMA")인데, 즉 KDF는 문자열 "AKMA"를 입력으로서 그리고 KAUSF를 키로서 사용한다. RID는 단계 8에서 응답 메시지의 일부로서 UDM으로부터 수신될 수 있다.
일 구현에서, 이 단계에서 도출된 KAKMA 또는 A-KID는 UE의 AKMA 컨텍스트의 일부로서 서빙될 수 있으며, 이에 대해서는 아래 단계에서 자세히 설명된다.
단계 10
단계 4에서 AAnF로부터 수신된 AKMA 보안 컨텍스트 요청에 대한 응답으로서, AUSF는 응답 메시지를 AAnF로 송신할 수 있다. 응답 메시지는 다음 중 적어도 하나를 포함할 수 있다:
· 단계 8에 표시된 바와 같이 선택된 인증 방법에 따라 EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN);
· 인증 방법 표시자; 또는
· UE의 AKMA 컨텍스트.
UE의 AKMA 컨텍스트는 UE의 KAKMA 및 KAKMA를 식별하는 A-KID를 포함할 수 있다.
일 구현에서, 응답 메시지는 UE의 SUPI를 추가로 포함할 수 있다.
단계 11
AUSF로부터 AKMA 컨텍스트 응답 메시지를 수신하면, AAnF는 UE의 KAKMA로부터 UE의 애플리케이션 키(KAF)를 도출할 수 있다. 예를 들어, 애플리케이션 키는 KAF = KDF(AF-ID，KAKMA)에 의해 결정될 수 있으며, 여기서 AF-ID는 AF의 식별자이다.
AUSF로부터의 응답에 기초하여, AAnF는 UE 및 AF에 대한 AKMA 보안 컨텍스트 관련 구성 정보를 도출할 수 있다.
일 구현에서, AAnF는 단계 5에서 UE의 AKMA 컨텍스트를 갖지 않을 수 있다. 이 경우 AAnF는 다음을 포함할 수 있는 AKMA 보안 컨텍스트 관련 구성 정보를 생성하거나 도출할 수 있다:
· UE의 KAKMA를 식별하는 A-KID;
· AF에 대응하는 UE의 KAF;
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간;
· EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· 단계 10에서 AAnF에 의해 수신되는 EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
일 구현에서, 단계 5에서 AAnF는 이미 UE의 AKMA 컨텍스트를 가지고 있을 수 있다. 이 경우, 단계 6 내지 단계 10이 스킵될 수 있다. AAnF는 다음을 포함할 수 있는 AKMA 보안 컨텍스트 관련 구성 정보를 생성할 수 있다:
· UE의 KAKMA를 식별하는 A-KID;
· UE의 KAF; 또는
· AKMA 보안 컨텍스트 관련 구성 정보의 수명, 예를 들어, KAF와 같은 보안 키에 대한 유효 기간.
단계 12
AKMA 보안 컨텍스트 관련 구성 정보가 생성되거나 도출되면, AAnF는 단계 4(본질적으로 단계 1)에 대한 응답으로서 AKMA 보안 컨텍스트 관련 구성 정보를 AF에 송신할 수 있다.
단계 13
단계 10에서 수신된 응답 메시지에 기초하여, AF는 AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 즉 A-KID와 KAF의 연관성)에 UE의 A-KID 및KAF를 저장할 수 있다.
단계 14
AF는 AKMA 보안 컨텍스트 관련 구성 정보를 UE에 포워딩할 수 있다.
일 구현에서, AAnF는 단계 5에서 UE의 AKMA 컨텍스트를 갖지 않는다. 이 경우, AKMA 보안 컨텍스트 관련 구성 정보는 다음 중 적어도 하나를 포함할 수 있다:
· EAP-AKA' AV 또는 5G HE AV로부터의 난수(RAND);
· EAP-AKA' AV 또는 5G HE AV로부터의 인증 토큰(AUTN); 또는
· 인증 방법 표시자.
일 구현에서, 단계 5에서 AAnF는 이미 UE의 AKMA 컨텍스트를 가지고 있을 수 있다. 이 경우, AKMA 보안 컨텍스트 관련 구성 정보는 UE의 KAKMA를 식별하는 A-KID를 포함할 수 있다.
단계 15
UE가 AF로부터 AKMA 보안 컨텍스트 관련 구성 정보를 수신하면, AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 즉 A-KID와 KAF의 연관성)에 A-KID 및 KAF를 저장할 수 있다.
일 구현에서, AAnF는 단계 5에서 UE의 AKMA 컨텍스트를 갖지 않는다(이 조건은 예를 들어, A-KID가 존재하지 않는다고 결정함으로써 수신된 AKMA 보안 컨텍스트 관련 구성 정보에 의해 암시될 수 있다). 이 경우, UE는 예를 들어, 수신된 AUTN을 검사함으로써 수신된 AKMA 보안 컨텍스트 관련 구성 정보의 신선도 및 무결성을 먼저 검증할 수 있다. 검증이 통과되면, UE는 인증 방법 표시자에 의해 표시된 인증 방법에 기초하여 KAUSF를 도출할 수 있다. 구체적으로, 5G AKA 인증 방법이 사용되는 경우, UE는 (UE의 USIM으로부터 검색된 CK 및 IK를 사용해) UE의 CK 및 IK에 기초하여 KAUSF를 계산할 수 있다. EAP-AKA' 인증 방법이 사용되는 경우, UE는 각각 CK 및 IK로부터 CK' 및 IK'를 도출한 후, CK' 및 IK'에 기초하여 KAUSF를 계산할 수 있다. 그 후, UE는 단계 9에서와 유사한 방식으로 KAKMA 및 A-KID를 도출할 수 있다. UE는 단계 11에서와 유사한 방식으로 KAF를 추가로 도출할 수 있다. UE는 AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 즉, A-KID와 KAF의 연관성)에 UE의 A-KID 및 KAF를 저장할 수 있다.
일 구현에서, 단계 5에서 AAnF는 이미 UE의 AKMA 컨텍스트를 가지고 있을 수 있다(이 조건은 예를 들어, A-KID가 존재한다고 결정함으로써 수신된 AKMA 보안 컨텍스트 관련 구성 정보에 의해 유사하게 암시될 수 있다). 이 경우, UE는 수신된 A-KID와, UE에 의해 국부적으로 저장된 A-KID를 비교할 수 있다. 이 비교에서 매칭이 있는 경우, UE는 UE에 국부적으로 저장될 수 있는 AF에 대응하는 KAF를 조회하고, AKMA 보안 컨텍스트(또는 AKMA 보안 연관성, 즉 A-KID와 KAF의 연관성)에서 UE의 A-KID 및 KAF를 저장하는 것을 진행할 수 있다.
단계 16
UE가 AKMA 보안 컨텍스트를 저장하거나 AKMA 보안 연관성을 확립하면, UE는 AF에 확인응답할 수 있다. 확인응답은 AF가 KAF와 연관된 타이머를 시작하는 트리거 역할을 할 수 있다. 타이머의 지속 시간은 KAF의 수명으로 설정될 수 있다. 타이머의 만료는 KAF의 만료를 나타낸다.
선택적으로, UE가 AKMA 보안 컨텍스트를 업데이트하거나 AKMA 보안 연관성을 확립한 후, UE는 성공적인 업데이트에 대해 UDM에게 통지할 수 있고, 이에 따라 UDM은 UE와 연관된 AUSF 인스턴스를 저장하거나 리프레시할 수 있다.
단계 17
이 단계까지 UE와 AF는 각각 AKMA 보안 연관성을 확립했거나 AKMA 보안 컨텍스트를 저장했을 수 있다. AF는 AKMA 보안 컨텍스트에 기초하여 메시지를 UE에 안전하게 푸시할 수 있다.
본 개시내용에서, AF, UE와 같은 다양한 네트워크 엔티티의 보안 구성을 업데이트/리프레시하기 위한 다양한 실시예가 개시된다. AF는 보안 구성이 만료되거나 손실되거나 다른 네트워크 요소와 동기화되지 않는 것을 검출할 수 있다. AF가 자신의 보안 구성을 리프레시하고 보안 구성 업데이트를 UE에 동기화하는 다양한 메커니즘이 설명되어 있다. 예시적인 실시예에서, AAnF는 다양한 접근 방식을 통해 유효한 UE 보안 컨텍스트가 AAnF에 국부적으로 구성되어 있는지 여부를 추가로 검사할 수 있다. 검사 결과에 기초해, AAnF는 코어 네트워크로부터 UE 보안 컨텍스트를 요청하기 위한 절차를 우회하여 시그널링 오버헤드를 절약하고 효율성을 향상시킬 수 있다.
본 개시내용에서, 각 실시예의 단계는 단지 예시를 위한 것이며 원하는 대로 개시된 실시예에 기초하여 다른 대안이 도출될 수 있다. 예를 들어, 단계들 중 일부만 수행되어야 할 수도 있다. 또 다른 예로, 단계들의 시퀀스가 조정될 수 있다. 또 다른 예로, 여러 단계가 결합될 수 있다(예컨대, 여러 메시지가 하나의 메시지에 결합될 수 있음). 또 다른 예를 들어, 단일 단계가 분할될 수 있다(예컨대, 하나의 메시지가 두 개의 하위 메시지를 통해 송신될 수 있음).
위의 첨부 도면과 설명은 특정 예시적인 실시예와 구현을 제공한다. 그러나, 설명된 요지는 다양한 상이한 형태로 구현될 수 있으며, 따라서 커버되거나 청구된 주제는 본 개시에서 설명되는 임의의 예시적인 실시예로 제한되지 않는 것으로 해석되도록 의도된다. 청구되거나 다루어지는 요지에 대해 합리적으로 넓은 범위가 의도된다. 무엇보다도, 예를 들어, 요지는 컴퓨터 코드를 저장하기 위한 방법, 디바이스, 컴포넌트, 시스템, 또는 비일시적 컴퓨터 판독가능 매체로서 구현될 수 있다. 따라서, 실시예는 예를 들어, 하드웨어, 소프트웨어, 펌웨어, 저장 매체 또는 이들의 임의의 조합의 형태를 취할 수 있다. 예를 들어, 위에서 설명된 방법 실시예는 메모리에 저장된 컴퓨터 코드를 실행함으로써 메모리 및 프로세서를 포함하는 컴포넌트, 디바이스, 또는 시스템에 의해 구현될 수 있다.
명세서 및 청구항들 전반에 걸쳐 용어는 명시적으로 언급된 의미를 넘어 문맥에서 시사되거나 암시된 미묘한 의미를 가질 수 있다. 마찬가지로, 본 명세서에서 사용된 "일 실시예/구현에서"라는 문구는 반드시 동일한 실시예를 지칭하는 것은 아니며, 본 명세서에서 사용되는 "또 다른 실시예/구현에서"라는 문구는 반드시 다른 실시예를 지칭하는 것은 아니다. 예를 들어, 청구된 주제는 전체 또는 부분적으로 예시적인 실시예의 조합을 포함하도록 의도된다.
일반적으로, 용어는 문맥에서의 용법으로부터 적어도 부분적으로 이해될 수 있다. 예를 들어, 본 명세서에 사용된 "및", "또는", 또는 "및/또는"과 같은 용어는 이러한 용어가 사용되는 문맥에 적어도 부분적으로 의존할 수 있는 다양한 의미를 포함할 수 있다. 일반적으로 예를 들어, A, B 또는 C와 같은 목록을 연관시키는 데 사용되는 경우 "또는"은 포괄적인 의미로 사용되는 A, B, 및 C와 배타적 의미로 사용되는 A, B, 또는 C를 의미하도록 의도된다. 또한, 본 명세서에서 사용되는 용어 "하나 이상"은, 적어도 부분적으로 문맥에 따라, 임의의 특징, 구조, 또는 특성을 단일한 의미로 설명하기 위해 사용될 수 있거나, 또는 특징, 구조, 또는 특성의 조합을 복수의 의미로 설명하기 위해 사용될 수도 있다. 유사하게, 예를 들어, 부정관사 "a", "an" 또는 정관사 "the"와 같은 용어는 문맥에 따라 적어도 부분적으로는 단수 용법을 전달하거나 복수 용법을 전달하는 것으로 이해될 수 있다. 또한, "~에 기초한"이라는 용어는 배타적인 요소 세트를 전달하도록 반드시 의도되지 않은 것으로 이해될 수 있으며, 대신에 적어도 부분적으로 상황에 따라 반드시 명시적으로 설명되지는 않은 추가 요소의 존재를 허용할 수 있다.
본 명세서 전반에 걸쳐 특징, 이점 또는 이와 유사한 언어에 대한 참조는 본 솔루션으로 실현될 수 있는 모든 특징 및 이점이 그것의 임의의 단일 구현에 포함되어야 하거나 포함되는 것을 의미하지는 않는다. 오히려, 특징 및 이점을 언급하는 언어는 실시예와 관련하여 설명된 특정 특징, 이점 또는 특성이 본 솔루션의 적어도 하나의 실시예에 포함됨을 의미하는 것으로 이해된다. 따라서, 명세서 전체에 걸쳐 특징 및 이점, 그리고 이와 유사한 용어에 대한 논의는 동일한 실시예를 참조할 수 있지만 반드시 그런 것은 아니다.
또한, 본 솔루션의 설명된 특징, 이점 및 특성은 하나 이상의 실시예에서 임의의 적절한 방식으로 조합될 수 있다. 관련 기술 분야의 통상의 기술자는 본 명세서의 설명에 비추어 본 솔루션이 특정 실시예의 특정 특징 또는 이점 중 하나 이상 없이 실행될 수 있음을 인식할 것이다. 다른 경우에, 본 솔루션의 모든 실시예에 존재하지 않을 수 있는 추가 특징 및 이점이 특정 실시예에서 인식될 수 있다.

Claims (31)

  1. 무선 네트워크에서 무선 디바이스에 의해 수행되는 무선 통신을 위한 방법에 있어서,
    애플리케이션 기능을 호스팅하는 제1 네트워크 요소로부터,
    무선 디바이스와 연관된 애플리케이션을 위한 인증 및 키 관리(Authentication and Key Management for Applications; AKMA) 앵커 키 식별자;
    인증 방법을 나타내는 인증 방법 표시자; 및
    상기 인증 방법과 연관된 파라미터의 세트
    중, 적어도 하나를 포함하는 제1 메시지를 수신하는 단계를 포함하는, 무선 통신을 위한 방법.
  2. 제1항에 있어서, 상기 무선 디바이스는 현재 유효한 AKMA 보안 컨텍스트로 구성되고, 상기 방법은,
    상기 AKMA 앵커 키 식별자에 기초하여, 상기 제1 네트워크 요소에 대응하는 상기 무선 디바이스와 연관된 AKMA 애플리케이션 키를 도출하는(deriving) 단계를 추가로 포함하는 것인, 무선 통신을 위한 방법.
  3. 제1항에 있어서, 상기 무선 디바이스는 현재 유효한 AKMA 보안 컨텍스트로 구성되지 않으며, 상기 방법은,
    상기 인증 방법 표시자 및 상기 인증 방법과 연관된 상기 파라미터의 세트 중, 적어도 하나에 기초하여 상기 무선 디바이스와 연관된 인증 서버 기능(AUthentication Server Function; AUSF) 키를 도출하는 단계; 및
    상기 AUSF 키에 기초해,
    상기 무선 디바이스의 AKMA 앵커 키;
    상기 제1 네트워크 요소에 대응하는 상기 무선 디바이스와 연관된 AKMA 애플리케이션 키; 및
    AKMA 앵커 키 식별자
    중, 적어도 하나를 도출하는 단계
    를 추가로 포함하는 것인, 무선 통신을 위한 방법.
  4. 제1항에 있어서, 상기 인증 방법은,
    5G 인증 및 키 합의(5G Authentication and Key Agreement; 5G-AKA) 방법; 및
    3세대 인증 및 키 합의를 위한 확장 가능 인증 프로토콜 방법(Extensible Authentication Protocol for 3rd Generation Authentication and Key Agreement; EAP-AKA') 방법
    중, 하나를 포함하는 것인, 무선 통신을 위한 방법.
  5. 제1항에 있어서,
    상기 인증 방법 표시자가 상기 EAP-AKA' 방법을 상기 인증 방법으로서 나타내는 것에 응답하여, 상기 파라미터의 세트는 난수 및 인증 토큰을 포함하고, 상기 난수 및 상기 인증 토큰 둘 다는 인증 벡터(authentication vector; AV)와 연관되고, 상기 AV는 상기 EAP-AKA' 방법에 대응하며;
    상기 인증 방법 표시자가 상기 5G-AKA 방법을 상기 인증 방법으로서 나타내는 것에 응답하여, 상기 파라미터의 세트는 5G 홈 환경 AV(5G Home Environment AV; 5G HE AV)를 포함하는 것인, 무선 통신을 위한 방법.
  6. 제1항에 있어서,
    상기 제1 메시지에 대한 응답으로서 제2 메시지를 상기 제1 네트워크 요소에 송신하는 단계를 추가로 포함하고, 상기 제2 메시지는:
    상기 무선 디바이스가 자신의 보안 컨텍스트를 성공적으로 업데이트했음을 나타내거나;
    상기 제1 네트워크 요소에 대응하는 상기 무선 디바이스와 연관된 AKMA 애플리케이션 키와 연관된 수명 타이머를 시작하도록 상기 제1 네트워크 요소에 지시하며, 상기 수명 타이머의 만료는 상기 AKMA 애플리케이션 키가 만료되었음을 나타내는 것인, 무선 통신을 위한 방법.
  7. 제1항에 있어서,
    상기 제1 네트워크 요소는 AKMA 앵커 기능(AKMA Anchor Function; AAnF)을 호스팅하는 제2 네트워크 요소로부터, 상기 제1 네트워크 요소로부터 시작된 AKMA 애플리케이션 키 업데이트 요청에 대한 응답 메시지를 통해:
    상기 무선 디바이스와 연관된 상기 AKMA 앵커 키 식별자;
    상기 인증 방법 표시자; 및
    상기 인증 방법과 연관된 상기 파라미터의 세트
    중, 적어도 하나를 수신하고;
    상기 AKMA 애플리케이션 키 업데이트 요청은 상기 제2 네트워크 요소로 직접 송신되거나 네트워크 노출 기능(network exposure function)을 호스팅하는 제3 네트워크 요소로부터의 중계기를 통해 송신되는 것인, 무선 통신을 위한 방법.
  8. 무선 네트워크 내의 제1 네트워크 요소에 의해 수행되는 무선 통신을 위한 방법에 있어서, 상기 제1 네트워크 요소는 AKMA 앵커 기능을 호스팅하고, 상기 방법은,
    무선 네트워크 내의 무선 디바이스와 연관된 업데이트된 보안 관련 정보를 요청하는 제1 메시지를 수신하는 단계 - 상기 제1 메시지는,
    상기 무선 디바이스의 식별자; 및
    상기 무선 디바이스와 연관된 제1 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함함 -;
    상기 무선 디바이스와 연관된 현재 유효한 AKMA 앵커 키에 기초하여 현재 유효한 AKMA 애플리케이션 키를 도출하는 단계;
    적어도 상기 현재 유효한 AKMA 애플리케이션 키에 기초하여 상기 무선 디바이스와 연관된 업데이트된 보안 관련 정보를 획득하는 단계; 및
    애플리케이션 기능을 호스팅하는 제2 네트워크 요소에, 상기 제1 메시지에 대한 응답으로 제2 메시지를 송신하는 단계
    를 포함하고, 상기 제2 메시지는 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보를 포함하는 것인, 무선 통신을 위한 방법.
  9. 제8항에 있어서, 상기 업데이트된 보안 관련 정보는,
    상기 무선 디바이스와 연관된 상기 현재 유효한 AKMA 앵커 키를 식별하는 AKMA 앵커 키 식별자;
    상기 무선 디바이스와 연관된 상기 현재 유효한 AKMA 애플리케이션 키;
    상기 현재 유효한 AKMA 애플리케이션 키와 연관된 AKMA 애플리케이션 키 수명; 및
    상기 무선 디바이스와 연관된 보안 구성 파라미터의 세트
    중, 적어도 하나를 포함하고, 상기 보안 구성 파라미터의 세트는,
    인증 방법을 나타내는 인증 방법 표시자; 및
    상기 인증 방법에 대응하는 인증 파라미터
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  10. 제8항에 있어서, 상기 제1 메시지를 수신하는 단계는,
    상기 제2 네트워크 요소로부터, 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보를 요청하는 상기 제1 메시지를 수신하는 단계를 포함하고, 상기 제1 메시지는,
    상기 무선 디바이스의 GPSI 및 상기 무선 디바이스의 SUPI 중, 하나를 포함하는, 상기 무선 디바이스의 상기 식별자; 및
    상기 무선 디바이스와 연관된 상기 제1 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  11. 제8항에 있어서,
    상기 제1 메시지를 수신하는 단계는,
    네트워크 노출 기능을 호스팅하는 제3 네트워크 요소로부터, 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보를 요청하는 상기 제1 메시지를 수신하는 단계를 포함하고, 상기 제1 메시지는,
    GPSI 및 SUPI 중, 하나를 포함하는, 상기 무선 디바이스의 상기 식별자; 및
    상기 무선 디바이스와 연관된 상기 제1 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함하고,
    상기 제1 메시지는 상기 제2 네트워크 요소로부터 제3 메시지를 수신하는 상기 제3 네트워크 요소에 의해 트리거되고, 상기 제3 메시지는 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보를 요청하며, 상기 제3 메시지는,
    상기 무선 디바이스의 상기 GPSI;
    상기 무선 디바이스의 상기 SUPI; 및
    상기 무선 디바이스와 연관된 상기 제1 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  12. 제8항에 있어서, 상기 무선 디바이스와 연관된 상기 현재 유효한 AKMA 앵커 키에 기초하여 상기 현재 유효한 AKMA 애플리케이션 키를 도출하기 전에, 상기 방법은,
    AUSF를 호스팅하는 제4 네트워크 요소에, 상기 무선 디바이스와 연관된 보안 구성을 요청하는 제4 메시지를 송신하는 단계 - 상기 제4 메시지는 상기 무선 디바이스의 상기 식별자를 포함함 -;
    상기 제4 네트워크 요소로부터, 상기 제4 메시지에 대한 응답으로서 상기 제5 메시지를 수신하는 단계
    를 추가로 포함하고, 상기 제5 메시지는 상기 무선 디바이스와 연관된 상기 보안 구성을 포함하고, 상기 보안 구성은,
    인증 방법을 나타내는 인증 방법 표시자;
    상기 인증 방법에 대응하는 인증 파라미터;
    AKMA 보안 컨텍스트 - 상기 AKMA 보안 컨텍스트는,
    상기 무선 디바이스와 연관된 상기 현재 유효한 AKMA 앵커 키; 및
    상기 현재 유효한 AKMA 앵커 키를 식별하는 제2 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함함 -; 및
    상기 무선 디바이스의 SUPI
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  13. 제12항에 있어서,
    상기 인증 방법 표시자가 EAP-AKA' 방법을 상기 인증 방법으로서 나타내는 것에 응답하여, 상기 인증 파라미터는 난수 및 인증 토큰을 포함하고;
    상기 인증 방법 표시자가 5G-AKA 방법을 상기 인증 방법으로서 나타내는 것에 응답하여, 상기 인증 파라미터는 5G HE AV를 포함하는 것인, 무선 통신을 위한 방법.
  14. 제12항에 있어서,
    상기 제4 메시지를 상기 제4 네트워크 요소로 송신하기 전에, 상기 방법은,
    상기 제1 AKMA 앵커 키 식별자가 상기 제1 네트워크 요소에 구성되어 있는지 여부를 결정하는 단계; 및
    상기 제1 AKMA 앵커 키 식별자가 상기 제1 네트워크 요소에 구성되어 있지 않은 것에 응답하여, 상기 무선 디바이스의 상기 식별자에 기초하여, 상기 무선 디바이스와 연관된 보안 컨텍스트가 상기 제1 네트워크 요소에 구성되어 있는지 여부를 결정하는 단계
    를 추가로 포함하고,
    상기 무선 디바이스와 연관된 상기 보안 구성을 요청하는 상기 제4 메시지를 상기 제4 네트워크 요소로 송신하는 단계는,
    상기 무선 디바이스와 연관된 상기 보안 컨텍스트가 상기 제1 네트워크 요소에 구성되어 있지 않은 것에 응답하여, 상기 무선 디바이스와 연관된 상기 보안 구성을 요청하는 상기 제4 메시지를 상기 제4 네트워크 요소로 송신하는 단계를 포함하고, 상기 제4 메시지는 상기 무선 디바이스의 상기 SUPI를 포함하는 것인, 무선 통신을 위한 방법.
  15. 제14항에 있어서, 상기 제1 AKMA 앵커 키 식별자가 상기 제1 네트워크 요소에 구성되어 있지 않고 상기 무선 디바이스와 연관된 상기 보안 컨텍스트가 상기 제1 네트워크 요소에 구성되어 있는 것에 응답하여, 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보는,
    상기 제1 네트워크 요소에 구성된 상기 무선 디바이스와 연관된 상기 보안 컨텍스트로부터의 AKMA 앵커 키 식별자 - 상기 AKMA 앵커 키 식별자는 상기 현재 유효한 AKMA 앵커 키를 식별함 -;
    상기 무선 디바이스와 연관된 상기 현재 유효한 AKMA 애플리케이션 키; 및
    상기 현재 유효한 AKMA 애플리케이션 키와 연관된 AKMA 애플리케이션 키 수명
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  16. 제15항에 있어서,
    상기 제2 네트워크 요소에 의한 상기 제2 메시지의 수신은 상기 제2 네트워크 요소가 타겟 보안 관련 정보를 상기 무선 디바이스에 송신하도록 트리거하고, 상기 타겟 보안 관련 정보는 상기 업데이트된 보안 관련 정보에 기초하고;
    상기 무선 디바이스에 의한 상기 타겟 보안 관련 정보의 수신은 상기 무선 디바이스가 상기 타겟 보안 관련 정보에 기초하여 타겟 보안 구성을 업데이트하도록 트리거하며, 상기 타겟 보안 구성은 상기 제2 네트워크 요소에 대응하는 타겟 AKMA 앵커 키 식별자를 포함하는 것인, 무선 통신을 위한 방법.
  17. 제12항에 있어서, 상기 제1 AKMA 앵커 키 식별자가 상기 제1 네트워크 요소에 구성되어 있는 것에 응답하거나, 상기 무선 디바이스와 연관된 상기 AKMA 보안 컨텍스트가 상기 제1 네트워크 요소에 구성되어 있지 않은 것에 응답하여, 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보는,
    상기 제2 AKMA 앵커 키 식별자;
    상기 무선 디바이스와 연관된 상기 현재 유효한 AKMA 애플리케이션 키;
    상기 현재 유효한 AKMA 애플리케이션 키와 연관된 AKMA 애플리케이션 키 수명;
    상기 인증 방법을 나타내는 상기 인증 방법 표시자; 및
    상기 인증 방법에 대응하는 상기 인증 파라미터
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  18. 제12항에 있어서,
    상기 제4 메시지를 상기 제4 네트워크 요소로 송신하기 전에, 상기 방법은,
    상기 무선 디바이스의 상기 식별자에 기초하여, 상기 무선 디바이스와 연관된 보안 컨텍스트가 상기 제1 네트워크 요소에 구성되어 있는지 여부를 결정하는 단계; 및
    상기 무선 디바이스와 연관된 상기 보안 컨텍스트가 상기 제1 네트워크 요소에 구성되어 있는 것에 응답하여, 상기 제1 AKMA 앵커 키 식별자가 상기 보안 컨텍스트에서의 AKMA 앵커 키 식별자와 동일한지 여부를 결정하는 단계
    를 추가로 포함하고,
    상기 무선 디바이스와 연관된 상기 보안 구성을 요청하는 상기 제4 메시지를 상기 제4 네트워크 요소로 송신하는 단계는,
    상기 제1 AKMA 앵커 키 식별자가 상기 보안 컨텍스트에서의 상기 AKMA 앵커 키 식별자와 동일한 것에 응답하여, 상기 무선 디바이스와 연관된 상기 보안 구성을 요청하는 상기 제4 메시지를 상기 제4 네트워크 요소로 송신하는 단계를 포함하고, 상기 제4 메시지는 상기 무선 디바이스의 상기 SUPI를 포함하는 것인, 무선 통신을 위한 방법.
  19. 제18항에 있어서, 상기 제1 AKMA 앵커 키 식별자가 상기 보안 컨텍스트에서의 상기 AKMA 앵커 키 식별자와 다른 것에 응답하여, 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보는,
    상기 무선 디바이스와 연관된 상기 제1 AKMA 앵커 키 식별자;
    상기 무선 디바이스와 연관된 상기 현재 유효한 AKMA 애플리케이션 키; 및
    상기 현재 유효한 AKMA 애플리케이션 키와 연관된 AKMA 애플리케이션 키 수명
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  20. 제18항에 있어서, 상기 제1 AKMA 앵커 키 식별자가 상기 보안 컨텍스트에서의 상기 AKMA 앵커 키 식별자와 동일한 것에 응답하거나, 상기 무선 디바이스와 연관된 상기 보안 컨텍스트가 상기 제1 네트워크 요소에 구성되어 있지 않은 것에 응답하여, 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보는,
    상기 제2 AKMA 앵커 키 식별자;
    상기 무선 디바이스와 연관된 상기 현재 유효한 AKMA 애플리케이션 키;
    상기 현재 유효한 AKMA 애플리케이션 키와 연관된 AKMA 애플리케이션 키 수명;
    인증 방법을 나타내는 상기 인증 방법 표시자; 및
    상기 인증 방법에 대응하는 상기 인증 파라미터
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  21. 무선 네트워크 내의 제1 네트워크 요소에 의해 수행되는 무선 통신을 위한 방법에 있어서, 상기 제1 네트워크 요소는 애플리케이션 기능을 호스팅하고, 상기 방법은,
    상기 무선 네트워크 내의 무선 디바이스와 연관된 업데이트된 보안 관련 정보를 요청하는 제1 메시지를 송신하는 단계 - 상기 제1 메시지는,
    상기 무선 디바이스의 식별자; 및
    상기 무선 디바이스와 연관된 제1 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함함 -; 및
    AKMA 앵커 기능을 호스팅하는 제2 네트워크 요소로부터, 상기 제1 메시지에 대한 응답으로서 제2 메시지를 수신하는 단계
    를 포함하고, 상기 제2 메시지는 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보를 포함하는 것인, 무선 통신을 위한 방법.
  22. 제21항에 있어서, 상기 업데이트된 보안 관련 정보는,
    상기 무선 디바이스와 연관된 현재 유효한 AKMA 앵커 키 식별자;
    상기 무선 디바이스와 연관된 현재 유효한 AKMA 애플리케이션 키;
    상기 현재 유효한 AKMA 애플리케이션 키와 연관된 AKMA 애플리케이션 키 수명; 및
    상기 무선 디바이스와 연관된 보안 구성 파라미터의 세트
    중, 적어도 하나를 포함하고, 상기 보안 구성 파라미터의 세트는,
    인증 방법을 나타내는 인증 방법 표시자; 및
    상기 인증 방법에 대응하는 인증 파라미터
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  23. 제22항에 있어서,
    상기 업데이트된 보안 관련 정보에 기초하여 상기 제1 네트워크 요소의 보안 구성을 업데이트하는 단계를 추가로 포함하고, 상기 제1 네트워크 요소의 상기 보안 구성은,
    상기 무선 디바이스와 연관된 AKMA 애플리케이션 키; 및
    상기 무선 디바이스와 연관된 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  24. 제22항에 있어서,
    타겟 보안 관련 정보를 포함하는 제3 메시지를 상기 무선 디바이스에 송신하는 단계 - 상기 타겟 보안 관련 정보는 상기 업데이트된 보안 관련 정보에 기초하고, 상기 무선 디바이스에 의한 상기 타겟 보안 관련 정보의 수신은 상기 무선 디바이스가,
    상기 무선 디바이스와 연관된 AKMA 앵커 키 식별자;
    상기 무선 디바이스와 연관된 AKMA 앵커 키; 및
    상기 제1 네트워크 요소에 대응하는 AKMA 애플리케이션 키
    중, 적어도 하나를 포함하는 보안 구성을 도출하고 업데이트하도록 트리거함 -; 및
    상기 무선 디바이스로부터, 상기 제3 메시지에 대한 응답으로서 제4 메시지를 수신하는 단계
    를 추가로 포함하고, 상기 제4 메시지는 상기 무선 디바이스의 상기 보안 구성에 대한 성공적인 업데이트를 확인응답(acknowledge)하는 것인, 무선 통신을 위한 방법.
  25. 제24항에 있어서,
    상기 제4 메시지에 응답하여, 상기 현재 유효한 AKMA 애플리케이션 키와 연관된 유효성 타이머를 시작하는 단계를 추가로 포함하고, 상기 유효성 타이머의 지속 시간은 상기 현재 유효한 AKMA 애플리케이션 키와 연관된 상기 AKMA 애플리케이션 키 수명에 기초하는 것인, 무선 통신을 위한 방법.
  26. 제21항에 있어서, 상기 제1 메시지를 송신하는 단계는,
    상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보를 요청하는 상기 제1 메시지를 상기 제2 네트워크 요소로 송신하는 단계를 포함하고, 상기 제1 메시지는,
    상기 무선 디바이스의 GPSI 및 상기 무선 디바이스의 SUPI 중, 하나를 포함하는, 상기 무선 디바이스의 상기 식별자; 및
    상기 무선 디바이스와 연관된 상기 제1 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  27. 제26항에 있어서, 상기 제2 네트워크 요소가 상기 제1 메시지 수신 시 상기 무선 디바이스와 연관된 현재 유효한 보안 컨텍스트로 구성되어 있는 것에 응답하여, 상기 업데이트된 보안 관련 정보는,
    상기 무선 디바이스와 연관된 상기 제1 AKMA 앵커 키 식별자;
    상기 무선 디바이스와 연관된 상기 현재 유효한 보안 컨텍스트로부터의 AKMA 앵커 키 식별자;
    상기 무선 디바이스와 연관된 현재 유효한 AKMA 애플리케이션 키; 및
    상기 현재 유효한 AKMA 애플리케이션 키와 연관된 AKMA 애플리케이션 키 수명
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  28. 제26항에 있어서, 상기 제2 네트워크 요소가 상기 제1 메시지 수신 시 상기 무선 디바이스의 현재 유효한 보안 컨텍스트로 구성되어 있지 않은 것에 응답하여, 상기 업데이트된 보안 관련 정보는,
    상기 무선 디바이스와 연관된 현재 유효한 AKMA 애플리케이션 키;
    상기 현재 유효한 AKMA 애플리케이션 키와 연관된 AKMA 애플리케이션 키 수명; 및
    제3 네트워크 요소로부터 수신된 상기 무선 디바이스와 연관된 보안 구성 파라미터의 세트
    중, 적어도 하나를 포함하고, 상기 보안 구성 파라미터의 세트는,
    상기 무선 디바이스와 연관된 제2 AKMA 앵커 키 식별자;
    인증 방법을 나타내는 인증 방법 표시자; 및
    상기 인증 방법에 대응하는 인증 파라미터
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  29. 제21항에 있어서,
    상기 제1 메시지를 송신하는 단계는,
    네트워크 노출 기능을 호스팅하는 제4 네트워크 요소로, 상기 무선 디바이스와 연관된 상기 업데이트된 보안 관련 정보를 요청하는 상기 제1 메시지를 송신하는 단계를 포함하고, 상기 제1 메시지는,
    상기 무선 디바이스의 GPSI 및 상기 무선 디바이스의 SUPI 중, 하나를 포함하는, 상기 무선 디바이스의 상기 식별자; 및
    상기 무선 디바이스와 연관된 상기 제1 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함하고,
    상기 제4 네트워크 요소에 의한 상기 제1 메시지의 수신은 상기 제4 네트워크 요소가 제5 메시지를 상기 제2 네트워크 요소에 송신하도록 트리거하고, 상기 제5 메시지는,
    상기 무선 디바이스의 상기 SUPI; 및
    상기 무선 디바이스와 연관된 상기 제1 AKMA 앵커 키 식별자
    중, 적어도 하나를 포함하는 것인, 무선 통신을 위한 방법.
  30. 컴퓨터 명령어를 저장하기 위한 메모리 및 상기 메모리와 통신하는 프로세서를 포함하는 디바이스에 있어서, 상기 프로세서는 상기 컴퓨터 명령어를 실행할 때 제1항 내지 제29항 중 어느 한 항의 방법을 구현하도록 구성되는 것인, 디바이스.
  31. 하나 이상의 프로세서에 의해 실행될 때, 상기 하나 이상의 프로세서로 하여금 제1항 내지 제29항 중 어느 한 항의 방법을 구현하게 하는 컴퓨터 코드가 저장된 비일시적 컴퓨터 판독 가능 프로그램 매체를 포함하는 컴퓨터 프로그램 제품.
KR1020247013900A 2022-01-30 2022-01-30 통신 네트워크에서의 보안 구성 업데이트 KR20240140890A (ko)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2022/075162 WO2023142102A1 (en) 2022-01-30 2022-01-30 Security configuration update in communication networks

Publications (1)

Publication Number Publication Date
KR20240140890A true KR20240140890A (ko) 2024-09-24

Family

ID=87470213

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020247013900A KR20240140890A (ko) 2022-01-30 2022-01-30 통신 네트워크에서의 보안 구성 업데이트

Country Status (4)

Country Link
EP (1) EP4406256A1 (ko)
KR (1) KR20240140890A (ko)
CN (1) CN118303052A (ko)
WO (1) WO2023142102A1 (ko)

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11019491B2 (en) * 2019-05-09 2021-05-25 Samsung Electronics Co., Ltd. Apparatus and method for providing mobile edge computing services in wireless communication system
US20230262457A1 (en) * 2020-06-26 2023-08-17 Lenovo (Singapore) Pte. Ltd. Authentication using slice capability indication
KR20230044250A (ko) * 2020-07-21 2023-04-03 삼성전자주식회사 사용자 장치에 대한 애플리케이션 서비스를 위한 인증 및 키 관리 방법

Also Published As

Publication number Publication date
CN118303052A (zh) 2024-07-05
WO2023142102A1 (en) 2023-08-03
EP4406256A1 (en) 2024-07-31

Similar Documents

Publication Publication Date Title
KR102144303B1 (ko) 키 구성 방법, 보안 정책 결정 방법 및 장치
US11937079B2 (en) Communication terminal, core network device, core network node, network node, and key deriving method
US20190149990A1 (en) Unified authentication for heterogeneous networks
JP2022502908A (ja) Ｎａｓメッセージのセキュリティ保護のためのシステム及び方法
WO2019019736A1 (zh) 安全实现方法、相关装置以及系统
US20210377054A1 (en) Systems and methods for managing public key infrastructure certificates for components of a network
JP7453388B2 (ja) サービスアプリケーションとの暗号化された通信のための通信ネットワーク内のアンカキー生成および管理のための方法、デバイス、ならびにシステム
KR20220114638A (ko) 서비스 애플리케이션과의 암호화된 통신을 위한 통신 네트워크에서 앵커 키를 업데이트하기 위한 방법, 디바이스, 및 시스템
US20230396602A1 (en) Service authorization method and system, and communication apparatus
US20220303763A1 (en) Communication method, apparatus, and system
US20230232240A1 (en) Subscription data update method and apparatus, node, and storage medium
CN110583036A (zh) 网络认证方法、网络设备及核心网设备
WO2021094349A1 (en) Multi-step service authorization for indirect communication in a communication system
KR20220100669A (ko) 서비스 애플리케이션과의 암호화된 통신을 위해 통신 네트워크에서의 애플리케이션 키 생성 및 관리를 위한 방법, 디바이스 및 시스템
CN115412911A (zh) 一种鉴权方法、通信装置和系统
WO2020208294A1 (en) Establishing secure communication paths to multipath connection server with initial connection over public network
US20220386130A1 (en) Systems and methods for using a unique routing indicator to connect to a network
WO2020208295A1 (en) Establishing secure communication paths to multipath connection server with initial connection over private network
WO2023142102A1 (en) Security configuration update in communication networks
KR20230156685A (ko) 무선 네트워크에서의 코어 네트워크 디바이스 재할당을 위한 방법, 디바이스 및 시스템
WO2023082161A1 (en) Secure information pushing by service applications in communication networks
CN114268945B (zh) 一种通信网络接入方法、装置及系统
WO2022183427A1 (en) Method, device, and system for protecting sequence number in wireless network
US11985497B2 (en) Systems and methods for network-based encryption of a user equipment identifier
WO2024092624A1 (en) Encryption key transfer method and device for roaming users in communication networks

Legal Events

Date Code Title Description
A201 Request for examination