PT2222207E

PT2222207E - Sistema de cama

Info

Publication number: PT2222207E
Application number: PT08804926T
Authority: PT
Inventors: Frank Verschuere; Peter De Meyer
Original assignee: Ls Bedding
Priority date: 2008-09-30
Filing date: 2008-09-30
Publication date: 2011-12-09
Also published as: US8918928B2; CN102215719A; ATE520329T1; ES2371697T3; CN102215719B; EP2222207B1; DK2222207T3; WO2010037415A1; EP2222207A1; PL2222207T3; US20110258772A1

Description

ΡΕ2191608 1

DESCRIÇÃO "PROCESSO E DISPOSITIVO NUM SISTEMA DE TELECOMUNICAÇÕES"

Campo técnico A presente invenção refere-se a processos e dispositivos num sistema de telecomunicações, e em particular a uma solução de segurança no EPS (Evolved Packet System - Sistema de pacotes evoluído), isto é na Ευ TR AN (Evolved UMTS Terrestrial da Radio Access Network -rede de acesso via rádio terrestre do sistema universal de telecomunicações móveis (UMTS) evoluída) e na EPC (Evolved Packet Core network - rede do núcleo de pacote evoluído), para pedidos de serviços desencadeados pelo UE (equipamento de utilizador). Mais especificamente, a presente invenção refere-se a um processo e um dispositivo numa MME (Mobility Management Entíty - entidade de gestão de mobilidade) e num UE (User Equipment) para um EPS (Evolved Packet System) de estabelecer uma chave de segurança para proteger o tráfego RRC/UP.

Antecedentes

Na arquitectura EPS, a autenticação do assinante é realizada entre um UE e uma MME (Mobility Management Entity), sendo que a MME gere por exemplo a mobilidade, as 2 ΡΕ2191608 identidades UE e os parâmetros de segurança. A base para definir o procedimento de segurança no EPS é uma chave de segurança, K_ASME, que é partilhada entre a MME e o UE, e estabelecida na autenticação do UE. Uma entidade funcional da arquitectura EPS, denominada de ASME (Access Security Management Entity) pode, por exemplo estar colocalizada com a MME, e a ASME recebe e armazena a chave de segurança K_ASME obtida das chaves CK/IK confinadas na rede doméstica. Da chave de segurança, K_ASME, a ASME obtém um contexto de segurança NAS utilizado para proteger a sinalização NAS, ou seja a sinalização Non Access Stratum entre a MME da rede Evolved Packet Core {EPC) e o UE. 0 contexto de segurança NAS contém parâmetros para a cifragem e protecção da integridade da sinalização NAS, tal como K_NAS_enc, K_NAS_int, bem como números de sequência de ligação ascendente e ligação descendente, NAS_U_SEQ e NAS_D_SEQ, sendo os números de sequência utilizados para impedir a repetição de mensagens antigas, assim como para a introdução para os procedimentos de cifragem e protecção de integridade. A ASME proporciona à MME o contexto de segurança NAS, sendo que um contexto de segurança NAS é mantido na MME, sendo um contexto de segurança NAS correspondente mantido no UE, sendo a protecção contra repetição, protecção da integridade e cifragem baseadas em que os números de sequência dos contextos de segurança NAS da MME e UE não são reutilizados.

De preferência, o contexto de segurança para a protecção do tráfego UP/RRC entre um UE e o eNodeB ao 3 ΡΕ2191608 serviço (isto é, uma estação de base numa arquitectura EPS) é também baseado na referida chave de segurança, K_ASME. 0 procedimento para estabelecer o contexto de segurança UP/RRC envolve a obtenção de uma chave denominada K_eNB, da qual é obtida a chave de cifragem K_eNB_UP_enc para proteger o UP (User Plane - Plano de utilizador), ou seja, os dados do utilizador final transferidos através de EPC e E-UTRAN, bem como a chave de cifragem, K_eNB_RRC_enc, e a chave de protecção de integridade, K_eNB_RRC_int, para proteger o RRC (Radio Resource Control - Controlo de recursos de rádio). A figura 1 ilustra um fluxo de sinalização exemplar convencional para a transição de estado iniciada por UE de IDLE (disponível) para ACTIVE (activo) numa arquitectura EPS. Um UE IDLE é somente conhecido pelo EPC (Evolved Packet Core) do EPS, não existindo nenhum contexto de segurança UP/RRC entre o eNodeB e o UE. Um UE no estado ACTIVE é conhecido tanto no EPC como na EUTRAN, tendo sido estabelecido um contexto de segurança UP/RRC para protecção do tráfego UP/RRC entre o UE e o seu eNodeB ao serviço. A figura 1 ilustra um UE 11, um eNodeB 12, uma MME 13, uma GW (Gateway - Porta de conversão) 14 ao serviço, uma porta de conversão PDN 15, e o HSS (Home Subscriber Server - Servidor de assinante doméstico) 16. A porta de conversão 14 ao serviço é o nó do EPC que termina a interface em direcção à EUTRAN, sendo que a porta de conversão PDN é o nó do EPC que termina a interface em 4 ΡΕ2191608 direcção à PDN (Packet Data Network - Rede de dados por pacotes). Se um UE aceder a várias PDNs, podem existir várias portas de conversão PDN para aquele UE. No sinal SI e sinal S2, a solicitação de serviço NAS é reencaminhada de modo transparente do UE para a MME, encontrando-se a solicitação de serviço NAS protegida na sua integridade com base em NAS_U_SEQ. No sinal opcional S3, o UE é autenticado pela MME, sendo estabelecido o K_ASME, utilizando dados do assinante armazenados no HSS (Home Subscriber Server), enviando a MME a solicitação de estabelecimento de contexto inicial (Initial Context Setup Request) para o eNodeB, em S4. Nos sinais S5 e S6, o eNodeB estabelece a portadora radioeléctrica com o UE, e reencaminha os dados de ligação ascendente, devolvendo uma mensagem Initial Context Setup Complete (completado o estabelecimento de contexto inicial) para a MME no sinal S7. No sinal S8, a MME envia um pedido de actualização de portadora para a GW ao serviço, sendo que a GW ao serviço responde no sinal S9.

Em soluções anteriores, a obtenção de K_eNB pelo UE e MME para o contexto de segurança RRC/UP é baseada por exemplo numa mensagem NAS SERVICE ACCEPT (aceita serviço NAS) ou outra informação explicita enviada da MME para o UE. No entanto, conforme ilustrado no fluxo de sinalização EPS exemplar convencional na figura 1, a MME não irá normalmente enviar qualquer NAS SERVICE ACCEPT ao receber uma NAS SERVICE REQUEST (solicitação de serviço NAS) de um UE num EPS. Portanto, não será possível obter o K_eNB da informação numa mensagem NAS SERVICE ACCEPT. 5 ΡΕ2191608

De acordo com uma solução exemplar conhecida, o K_eNB é obtido pela MME do K_ASME e pelo NAS_D_SEQ utilizado pela MME na mensagem NAS SERVICE ACCEPT, obtendo o UE o mesmo K_eNB recuperando o número de sequência, NAS_D_SEQ, da mensagem NAS SERVICE ACCEPT e executando a mesma obtenção K_eNB que a MME. A MME transfere o K_eNB para o eNodeB quando estabelece a ligação SI para o eNodeB. No entanto, uma desvantagem desta solução conhecida é que

se não estiver definida qualquer mensagem explícita NAS SERVICE ACCEPT da MME para o UE, tal como no fluxo de sinalização EPS convencional exemplar na figura 1, não é possível ao UE obter o mesmo K__eNB que a MME. Mesmo que seja tecnicamente possível ao UE estimar um número de sequência NAS actual de ligação descendente, NAS_D_SEQ, esta estimativa pode ser errada, já que a MME pode ter enviado mensagens NAS que se perderam e nunca foram recebidas pelo UE. Nesse caso, a MME teria actualizado o seu NAS_D_SEQ, sem o UE estar ciente da actualização, originando um NAS_D_SEQ errado no UE.

De acordo com uma outra solução exemplar conhecida, a obtenção do K_eNB é baseada num número de sequência separado mantido especificamente para a obtenção do K_eNB, sendo este número de sequência explicitamente sincronizado durante o processo de solicitação de serviço NAS quer pelo UE enviando o mesmo para a MME, ou pela MME enviando o mesmo para o UE. No entanto, uma desvantagem desta solução é a complexidade adicional do número de sequência separado, uma vez que tem de ser mantido, tanto 6 ΡΕ2191608 na UE como na MME, a fim de evitar ataques de repetição.

Sumário 0 objecto da presente invenção é o de resolver o problema descrito acima, e esse objectivo e outros são alcançados pelo processo e dispositivo de acordo com as reivindicações independentes, e pelas formas de realização de acordo com as reivindicações dependentes. A ideia básica da presente invenção é que o K_eNB é obtido do K_ASME e do NAS_U_SEQ da mensagem NAS SERVICE REQUEST do UE para a MME, activando deste modo o estabelecimento de um contexto de segurança UP/RRC no eNodeB. É uma vantagem da presente invenção que não seja necessária qualquer mensagem NAS SERVICE ACCEPT de ligação descendente ou número de sequência da MME para o UE, e que a funcionalidade de protecção de repetição do contexto de segurança NAS seja reutilizada nos contextos de segurança RRC e UP.

De acordo com um aspecto, a invenção proporciona um processo numa entidade gestora da mobilidade (Mobility Management Entity) , MME, de um sistema de pacote evoluído (Evolved Packet System) , EPS, de estabelecer uma chave de segurança, K_eNB, para proteger o tráfego RRC/UP entre um equipamento de utilizador (User Equipment), UE, e um eNodeB ao serviço do UE. 0 processo compreende os passos de receber uma solicitação de serviço NAS do UE, indicando a 7 ΡΕ2191608 solicitação um número de sequência NAS de ligação ascendente, NAS_U_SEQ; Obter a chave de segurança, K_eNB, de pelo menos o referido NAS_U_SEQ recebido de uma chave de entidade de gestão de segurança de acesso (Access Security Management Entity-key) , K_ASME, partilhada com o referido UE; e reencaminhado o referido K_eNB obtido para o eNodeB ao serviço do referido UE.

De acordo com um segundo aspecto, a invenção proporciona uma entidade gestora de mobilidade, MME, para um sistema de pacote evoluido, EPS. A MME encontra-se organizada para estabelecer uma chave de segurança, K_eNBr para a protecção do tráfego RRC/UP entre um UE e um eNodeB ao serviço do UE. A MME compreende meios para receber uma solicitação de serviço NAS do UE, indicando a solicitação um número de sequência NAS de ligação ascendente, NAS_U_SEQ; Meios para obter um K_eNB, de pelo menos o referido NAS_U_SEQ recebido e de uma chave de entidade de gestão de segurança de acesso (Access Security Management Entity-key) , K_ASME, partilhada com o referido UE, assim como meios para enviar o referido K__eNB obtido para o eNodeB ao serviço do referido UE. 0 primeiro e o segundo aspecto proporcionam adicionalmente processos, bem como meios correspondentes, segundo os quais a MME pode obter o K_eNB do NAS_U_SEQ e o K_ASME utilizando uma função pseudo-aleatória, PRF. A MME pode ainda reconstruir o número de sequência completo de ligação ascendente NAS, NAS_U_SEQ, de bits recebidos de 8 ΡΕ2191608 baixa ordem e verificar a integridade da solicitação de serviço NAS recebida do UE. Adicionalmente, a MME pode devolver uma indicação do NAS_U_SEQ recebido ao UE, podendo o NAS_U_SEQ ser incluído na mensagem de estabelecimento que reencaminha o K_eNB para o eNodeB. Deste modo, o UE não tem que se lembrar do NAS_U_SEQ enviado à MME.

De acordo com um terceiro aspecto, a invenção proporciona um processo num equipamento de utilizador, UE, do sistema de pacote evoluído (Evolved Packet System), EPS, de estabelecer uma chave de segurança, K_eNB, para proteger o tráfego RRC/UP trocado com um eNodeB ao serviço. 0 processo compreende os passos de enviar uma solicitação de serviço NAS para uma entidade de gestão de mobilidade, MME, indicando a solicitação um número de sequência NAS de ligação ascendente, NAS_U_SEQ; e obtendo o K_eNB, de pelo menos o referido NAS_U_SEQ e de uma chave armazenada de entidade de gestão de segurança de acesso (Access Security Management Entity-key) , K_ASME, partilhada com a referida MME.

De acordo com um quarto aspecto, a invenção proporciona um equipamento de utilizador, UE, adaptado para um sistema de pacote evoluído, EPS. 0 UE encontra-se preparado para estabelecer uma chave de segurança, K_eNB, para a protecção do tráfego RRC/UP trocado com um eNodeB ao serviço. 0 UE compreende meios para enviar uma solicitação de serviço NAS a uma MME, indicando a solicitação um número de sequência NAS de ligação ascendente, NAS_U_SEQ, assim 9 ΡΕ2191608 como meios para obter um K_eNB de pelo menos o referido NAS_U_SEQ, e de uma chave armazenada de entidade de gestão de segurança de acesso (Access Security Management Entity-key), K_ASME, partilhada com a referida MME. 0 terceiro e o quarto aspectos proporcionam adicionalmente processos, bem como meios correspondentes, segundo os quais o UE pode obter o K_eNB do NAS_U_SEQ e o K_ASME utilizando uma função pseudo-aleatória, PRF, e proteger a integridade da solicitação de serviço NAS enviada para a MME. Adicionalmente, o UE pode armazenar o NAS_U_SEQ da solicitação de serviço NAS enviada ao MME, ou, alternativamente, receber uma indicação do NAS_U_SEQ da solicitação de serviço NAS enviada ao MME, de volta da MME através do eNodeB. Esta forma de realização alternativa tem a vantagem de o UE não ter de se lembrar do NAS_U_SEQ enviado à MME. 0 UE pode ainda obter o K_eNB do NAS_U_SEQ e do K_ASME após a recepção de uma mensagem de configuração de segurança do eNodeB.

Breve descrição dos desenhos A presente invenção será agora pormenorizadamente descrita, tomando como referência os desenhos anexos. As figuras representam:

Figura 1 diagrama de sinalização que ilustra uma solicitação de serviço convencional num EPS, desencadeada por um UE;

Figura 2 diagrama de sinalização que ilustra a primeira ΡΕ2191608 10

Figura

Figura forma de realização da presente invenção, de acordo com a qual o UE se lembra do NAS_U_SEQ enviado à MME numa mensagem NAS SERVICE REQUEST; 3 fluxograma ilustrando a obtenção do K_eNB pelo UE e MME; 4 diagrama de sinalização ilustrando uma segunda forma de realização da presente invenção, em que a MME devolve ao UE o NAS_U_SEQ recebido; 5 fluxograma ilustrando a segunda forma de realização ilustrada na figura 4; 6a esquema de uma MME (Mobility Management Entity), e a 6b esquema de um UE, ambos munidos de meios para obter a chave de segurança K_eNB.

Descrição pormenorizada

Na descrição a seguir, são apresentados pormenores específicos, tal como uma arquitectura particular e sequências de passos de modo a proporcionar uma compreensão completa da presente invenção. No entanto, será evidente para os técnicos que a presente invenção pode ser praticada em outras formas de realização que podem ter origem nestes pormenores específicos.

Além disso, é evidente que as funções descritas podem ser implementadas utilizando software que funciona em conjunção com um microprocessador programado ou um computador de uso geral, e/ou utilizando um circuito 11 ΡΕ2191608 integrado de aplicação especifica. Onde a invenção é descrita na forma de um processo, a invenção pode também ser realizada num produto programa de computador, bem como num sistema que compreende um processador de computador e uma memória, em que a memória é codificada com um ou mais programas que podem executar as funções descritas. 0 conceito ou a invenção é que a chave de segurança, K__eNB, é obtida da chave da entidade de gestão de segurança de acesso (Access Security Management Entity-key), K_ASME, e do contador de sequência da ligação ascendente, NAS_U_SEQ, da mensagem NAS SERVICE REQUEST enviada a partir do UE para a MME, desencadeando deste modo o estabelecimento do contexto de segurança UP/RRC no nó eNodeB.

Quando o UE se encontra em modo IDLE (disponível), existe um contexto de segurança NAS e compreende, por exemplo os acima descritos K_NAS_enc, K__NAS_int e NAS_U_SEQr encontrando-se as mensagens NAS protegidas quanto à integridade e possivelmente confidencialidade. 0 contexto de segurança NAS contém também deste modo as capacidades de segurança do UE, em particular os algoritmos de cifragem e integridade. A protecção das mensagens NAS é baseada NAS chaves de segurança NAS, K_NAS_enc, K_NAS_int, e nos contadores de sequência da ligação ascendente e ligação descendente, NAS_U_SEQ ou NAS_D_SEQ, para a direcção da 12 ΡΕ2191608 mensagem. O contador da sequência completa não é normalmente transmitido com a mensagem NAS, apenas alguns dos bits de baixa ordem, sendo que o número de sequência completa será reconstruído na extremidade de recebimento de uma estimativa local dos bits de alta ordem e dos bits de baixa ordem recebidos. 0 conceito de invenção pode ser explicado no contexto do diagrama de sinalização para solicitações de serviço desencadeadas por UE, tal como ilustrado na figura 1 descrita acima:

Em SI e S2 do diagrama de sinalização convencional na figura 1, uma NAS SERVICE REQUEST, que compreende um contador de sequência de ligação ascendente, NAS_U_SEQ, é reencaminhada do UE para a MME, encontrando-se a mensagem NAS SERVICE REQUEST (mensagem de solicitação de serviço NAS) protegida na integridade com base no referido NAS_U_SEQ. A MME verifica a integridade da mensagem e aceita-a se ela não for uma repetição, e isso garante que o NAS_U_SEQ é fresco e não foi utilizado antes.

Consequentemente, de acordo com a presente invenção, a MME obtém o K_eNB com base pelo menos no contador NAS_U_SEQ de sequência de ligação ascendente recebido e no K_ASME, utilizando uma função de obtenção de chave convencional, sendo que isso não está incluído no diagrama convencional de sinalização ilustrado na figura 1. Consequentemente, o contador de sequência só poderá ser 13 ΡΕ2191608 reinicializado na autenticação. A MME irá enviar o K_eNB obtido para baixo para o eNodeB na, ou combinado com, a mensagem do sinal S4, a solicitação de estabelecimento de contexto inicial (Sl-AP).

No sinal S5, o eNodeB envia um estabelecimento de portadora de rádio (Radio Bearer Establishment) e uma mensagem de configuração de segurança (Security Mode Command) para o UE. Estas mensagens podem ser enviadas como duas mensagens separadas ou combinadas numa mensagem, tal como na figura 1, e a recepção dessas mensagens pelo UE será implicitamente uma confirmação do NAS SERVICE REQUEST dos UEs, no sinal Sl. 0 comando de modo de segurança irá determinar por exemplo quando a protecção deve iniciar e que algoritmo utilizar.

De acordo com a presente invenção, o UE obtém o K_eNB com base pelo menos no NAS_U_SEQ e no K_ASME, utilizando uma função de obtenção de chave convencional, na recepção da mensagem no sinal S5, se não executado antes. Posteriormente, o eNodeB e o UE irão estabelecer os contextos de segurança UP/RRC, e isso não se encontra ilustrado no diagrama convencional de sinalização na figura 1.

De acordo com uma primeira forma de realização da presente invenção, o UE armazena o contador de sequência de ligação ascendente, NAS_U_SEQ, incluído no NAS SERVICE

e utiliza o NAS_U_SEQ REQUEST inicial no sinal Sl 14 ΡΕ2191608 armazenado para a obtenção do K_eNB.

No entanto, de acordo com uma segunda forma de realização, a MME inclui o contador de sequência de ligação ascendente, NAS_U_SEQ, ou apenas bits de baixa ordem que indicam o NAS_U_SEQ, na mensagem de estabelecimento de Sl-AP, no sinal S4, enviado para o eNodeB, sendo que de qualquer modo esta informação é também reencaminhada para o UE do eNodeB durante o estabelecimento do contexto RRC/UP. Neste caso, o UE será passível de recuperar a indicação do NAS_U_SEQ do eNodeB para a obtenção da K_eNB, e não tem que manter o NAS_U_SEQ da mensagem do NAS, NAS SERVICE REQUEST, enviada para a MME nos sinais SI e S2. A figura 2 ilustra a primeira forma de realização da presente invenção, em que o UE mantém o NAS_U_SEQ da mensagem NAS SERVICE REQUEST inicial, no sinal S21, para a obtenção de K_eNB no sinal S24. A MME irá receber o NAS_U_SEQ do UE no sinal S21, ou somente bits de baixa ordem indicando o NAS_U_SEQ, e obter o K_eNB com base no NAS_U_SEQ e no K_ASME, no S22. A MME reencaminha o K_eNB obtido para o eNodeB no sinal S23.

Consequentemente, não ilustrado na figura 2, o eNodeB e o UE irão estabelecer o contexto de segurança UP/RRC utilizando o K_eNB, compreendendo os contextos de segurança UP/RRC a chave de cifragem, K_eM3_UP_enc para proteger o tráfego UP, bem como a chave de cifragem e a chave de protecção de integridade, K_eNB_RRC_enc e 15 ΡΕ2191608 K_eNB_RRC_int, respectivamente, para proteger o tráfego RRC, autorizando deste modo um tráfego UP/RRC seguro, no sinal S25 A obtenção do K_eNB é realizada por uma função de obtenção chave convencional, por exemplo por uma função pseudo-aleatória; K_eNB = PRF(K_ASME, NAS_U_SEQ, ... ) .

Além disso, tal como ilustrado pelos pontos na função PRF acima descrita, a função que obtém o K_eNB pode ter valores de entrada adicionais convencionais, tais como, por exemplo, a identidade eNodeB. A figura 3 é um fluxograma ilustrando o processo de acordo com a presente invenção, e no passo 31, o UE 11 envia a mensagem inicial NAS SERVICE REQUEST à MME 13, indicando a mensagem o contador de sequência de ligação ascendente NAS, NAS_U_SEQ, normalmente somente enviando os bits de baixa ordem do contador. No passo 32, a MME recebe a mensagem NAS SERVICE REQUEST do UE, obtendo o NAS_U_SEQ, e reconstruindo a sequência completa dos bits de baixa ordem recebidos. No passo 33, a MME obtém a chave de segurança, K_eNB, de pelo menos o NAS_U_SEQ recebido e o K_ASME da ASME (Access Security Mobility Entity - Entidade de mobilidade de segurança de acesso), utilizando uma função de obtenção chave adequada, por exemplo uma função pseudo-aleatória.

Consequentemente, a MME reencaminha o K_eNB 16 ΡΕ2191608 obtido para o eNodeB 12, no passo 34, para ser utilizado pelo eNodeB para estabelecer o contexto de segurança JJP/RRC completo compartilhado com o UE. No passo 35, o referido UE vai obter o mesmo K_eNB de pelo menos o K_ASME armazenado e do NAS_U_SEQ da mensagem inicial NAS SERVICE REQUEST transmitida a partir do UE para a MME no passo 31, e estabelecer o contexto de segurança UP/RRC do K_eNB obtido.

Na primeira forma de realização da presente invenção, o UE armazena o NAS_U_SEQ transmitido para a MME na mensagem do NAS, NAS SERVICE REQUEST, e utiliza o número de sequência armazenado para obter o K_eNB. A figura 4 é um diagrama de sinalização ilustrando uma segunda forma de realização da presente invenção, em que o UE não tem que armazenar o NAS_U_SEQ. Em vez disso, a MME vai devolver uma indicação da NAS_U_SEQ recebida de volta para o UE, através do eNodeB. No sinal 541, que corresponde ao sinal S21 na figura 2, o UE 11 transmite uma NAS SERVICE REQUEST inicial à MME 13, indicando um número de sequência de ligação ascendente, NAS_U_SEQ, sendo que a MME irá receber o NAS_U_SEQ e obter o K_eNB com base no, pelo menos, NAS_U_SEQ e o K_ASME, em 542. Contudo, de acordo com esta segunda forma de realização, a MME irá incluir uma indicação do referido NAS_U_SEQ recebido no sinal S43 transmitido para o eNodeB 12 juntamente com o K_eNB obtido, sendo que o eNodeB irá reencaminhar o NAS_U_SEQ para o UE, no sinal S44. Após isto, o UE irá obter o K_eNB de pelo menos o K_ASME e do 17 ΡΕ2191608 NAS_U_SEQ devolvido pela MME, no sinal S45. Da chave de segurança obtida, K_eNB, o eNodeB e o UE irão estabelecer o contexto de segurança UP/RRC, autorizando deste modo o tráfego UP/RRC seguro, no sinal S46. A figura 5 é um fluxograma ilustrando o processo acima descrito de acordo com uma segunda forma de realização da presente invenção, em que uma indicação do NAS_U_SEQ é devolvida para o UE pela MME. No passo 41, o UE 11 envia a mensagem inicial NAS SERVICE REQUEST à MME 13, indicando a mensagem o contador de sequência de ligação ascendente NAS, NAS_U_SEQ, normalmente os bits de ordem mais baixa. No passo 52, a MME recebe a mensagem NAS SERVICE REQUEST do UE, obtendo deste modo o NAS_U_SEQ, e, se necessário, reconstruindo o NAS_U_SEQ completo dos bits de baixa ordem recebidos. No passo 53, a MME obtém a chave de segurança, K_eNB, de pelo menos o NAS_U_SEQ recebido e o K_ASME, utilizando uma função de obtenção de chave adequada.

Consequentemente, a MME inclui uma indicação de um contador de sequência de ligação ascendente NAS, NAS_U_SEQ, na mensagem que reencaminha o K_eNB obtido para o eNodeB 12, no passo 54, sendo que o eNodeB usa a chave de segurança recebida, K_eNB, para estabelecer um contexto de segurança UP/RRC. 0 NAS_U_SEQ recebido é reencaminhado para o UE 11 pelo eNodeB, no passo 55, e no passo 56, obtendo o UE a chave de segurança, K_eNB, de pelo menos K_ASME e do referido NAS_U_SEQ recebido, a fim de estabelecer o 18 ΡΕ2191608 contexto de segurança UP/RRC partilhado com o eNodeB. A obtenção do K_eNB pela MME, no passo 53, e pelo UE, no passo 56, é realizada por uma função de obtenção chave convencional apropriada, por exemplo uma função pseudo-aleatória; K_eNB = PRF (K-ASME, NAS_U_SEQ, Normalmente, a função de obtenção chave terá valores adicionais de entrada convencionais, por exemplo a identidade eNodeB. A figura 6a ilustra uma MME 13 (Mobility

Management Entity) para um EPS, de acordo com a presente invenção, adicionalmente preparada para estabelecer uma chave de segurança, K_eNB, para um contexto de segurança para a protecção do tráfego UP/RRC entre um UE e um eNodeB ao serviço. A MME encontra-se munida com meios de comunicação convencionais, não ilustrados na figura, para se comunicar com os nós nos EPS, por exemplo com os eNodeBs através de uma interface SI-MME. Além disso, na MME da figura 1, uma ASME (Access Security Management Entity) 61 encontra-se ilustrada com linhas a tracejado, uma vez que esta entidade funcional de um EPS pode estar colocalizada com a MME.

Os meios da MME 13 ilustrados na figura 6a para o estabelecimento da chave de segurança, K_eNB, compreendem meios de recepção 62 para receber uma mensagem NAS SERVICE REQUEST incluindo um NAS_U~SEQ de um UE (através do seu eNodeB ao serviço; meios de obtenção de chave 63 para obter ΡΕ2191608 uma chave de segurança, K_eNB com base em pelo menos o NAS_U~SEQ recebido e um K-ASME armazenado, utilizando uma função de obtenção de chave convencional; e enviando meios 6 4 para enviar o K_eNB obtido para o eNodeB ao serviço do UE. A figura 6b ilustra um UE 11 (User Entíty) , de acordo com a presente invenção, encontrando-se o UE adaptado para um EPS, e adicionalmente preparado para estabelecer uma chave de segurança, K_eNB, para um contexto de segurança para a protecção do tráfego UP/RRC trocado com o seu eNodeB ao serviço. 0 UE encontra-se munido com meios de comunicação convencionais, não ilustrados na figura, para comunicar com os nós nos EPS através de uma interface LTE-Uu para o seu nó eNodeB ao serviço.

Os meios do UE 11 ilustrados na figura 6b para o estabelecimento da chave de segurança, K_eNB, compreendem meios de envio 6 6 para enviar em uma mensagem NAS SERVICE REQUEST para a MME, através do eNodeB ao serviço, indicando a solicitação um número de sequência de ligação ascendente, NAS_U-SEQ, e os meios para estabelecer uma chave de segurança, K_eNB, compreendem meios de obtenção de chave 67 para obter uma chave de segurança, K_eNB com base em pelo menos o NAS_U~SEQ e um K__ASME armazenado, utilizando uma função de obtenção de chave convencional.

Os meios acima descritos da MME e do UE, tal como ilustrado NAS figuras 6a e 6b, implementam as funções 20 ΡΕ2191608 descritas utilizando uma combinação adequada de software e hardware, por exemplo, um microprocessador programado ou um circuito integrado especifico para uma aplicação, assim como transmissores e receptores de rádio convencionais.

Embora a invenção tenha sido descrita tomando como referência formas de realização especificas, a descrição em geral só serve para ilustrar o conceito da invenção e não deve ser considerada como sendo uma limitação do escopo da invenção.

Lisboa, 17 de Novembro de 2011

Claims

ΡΕ2191608 1 REIVINDICAÇÕES 1. Processo numa entidade gestora de mobilidade (13) (Mobility Management Entity) , MME, de um sistema de pacote evoluído (Evolved Packet System), EPS, de estabelecer uma chave de segurança, K_eNB, para proteger o tráfego RRC/UP entre um equipamento de utilizador (11) (User Equipment) , UE, e um eNodeB (12) ao serviço do UE, que compreende os seguintes passos: - receber (32, 52) uma solicitação de serviço NAS do UE, indicando a solicitação um número de sequência NAS de ligação ascendente, NAS_U_SEQ; - obter (33, 53) a chave de segurança, K_eNB, de pelo menos o referido NAS_U_SEQ recebido e de uma chave de entidade de gestão de segurança de acesso (Access Security Management Entity-key) , K_ASME, armazenada, partilhada com o referido UE; - reencaminhar (34) o referido K_eNB obtido para o eNodeB (12) ao serviço do UE.
2. Processo numa MME de acordo com a reivindicação 1, em que o K_eNB é obtido do NAS_U__SEQ e do K__ASME utilizando uma função pseudo-aleatória, PRF.
3. Processo numa MME de acordo com as reivindicações 1 ou 2, que compreende o passo adicional de reconstruir o número completo de sequência de ligação ascendente NAS, NAS_U_SEQ, dos bits de baixa ordem 2 ΡΕ2191608 recebidos .
4. Processo numa MME de acordo com qualquer das reivindicações anteriores, que compreende o passo adicional de verificar a integridade da solicitação de serviço NAS recebida, do UE (11).
5. Processo numa MME de acordo com qualquer das reivindicações anteriores, que compreende o passo adicional de devolver (54, 55) uma indicação do NAS_U_SEQ recebido para o UE (11).
6. Processo numa MME de acordo com a reivindicação 5, em que o NAS_U_SEQ se encontra incluído na mensagem de estabelecimento que reencaminha o K_eNB para o eNodeB (12).
7. Processo num equipamento de utilizador (11), de um sistema de pacote evoluído (Evolved Packet System), EPS, de estabelecer uma chave de segurança, K_eNB, para proteger o tráfego RRC/UP trocado com eNodeB (12) ao serviço, compreendendo o processo os seguintes passos: - enviar (31, 51) uma solicitação de serviço NAS para uma entidade de gestão da mobilidade, MME, indicando o pedido um número de sequência NAS de ligação ascendente, NAS_U_SEQ; - obter (35, 56) o K_eNB de pelo menos o referido NAS_U_SEQ recebido e de uma chave de entidade de gestão de segurança de acesso (Access Security Management Entity- 3 ΡΕ2191608 key), K_ASME, armazenada, partilhada com a referida MME;
8. Processo num UE de acordo com a reivindicação 7, em que o K__eNB é obtido do NAS_U_SEQ e do K_ASME utilizando uma função pseudo-aleatória, PRF.
9. Processo num UE de acordo com qualquer das reivindicações 7 a 8, que compreende o passo adicional de proteger a integridade da solicitação de serviço NAS enviada para a MME.
10. Processo num UE de acordo com qualquer das reivindicações 7 a 9, que compreende o passo de armazenar o NAS_U_SEQ da solicitação de serviço NAS enviada para a MME.
11. Processo num UE de acordo com qualquer das reivindicações 7 a 9, que compreende o passo de receber (55) uma indicação do NAS_U_SEQ da solicitação de serviço NAS enviada para a MME, de volta da MME (13) através do eNodeB (12).
12. Processo num UE de acordo com qualquer das reivindicações 10 ou 11, em que o K_eNB é obtido do NAS_U_SEQ e do K_ASME após a recepção de uma mensagem de configuração de segurança do eNodeB.
13. Entidade de gestão de mobilidade (13), MME, adaptada para um sistema de pacote evoluído, EPS, encontrando-se a MME preparada para estabelecer uma chave 4 ΡΕ2191608 de segurança, K_eNB, para a protecção do tráfego RRC/UP entre um UE (11) e um eNodeB (12) ao serviço do UE, caracterizada por: - Meios (62) para receber uma solicitação de serviço NAS do UE, indicando a solicitação um número de sequência NAS de ligação ascendente, NAS_U_SEQ; - Meios (63) para obter um K_eNB de pelo menos o referido NAS_U_SEQ recebido e de uma chave de entidade de gestão de segurança de acesso (Access Security Management Entity-key) , K_ASME, armazenada, partilhada com o referido UE; - Meios (64) para enviar o referido K_eNB obtido para o eNodeB ao serviço do referido UE.
14. MME de acordo com a reivindicação 13, que se encontra preparada para obter o K_eNB do NAS_U_SEQ e do K_ASME utilizando uma função pseudo-aleatória, PRF.
15. MME de acordo com as reivindicações 13 ou 14, que se encontra preparada para reconstruir o número completo da sequência de ligação ascendente NAS, NAS_U_SEQ, dos bits de baixa ordem recebidos.
16. MME de acordo com qualquer uma das reivindicações 13 a 15, que se encontra preparada para verificar a integridade da solicitação de serviço NAS recebida do UE (11).
17. MME de acordo com qualquer uma das 5 ΡΕ2191608 reivindicações 13 a 16, que se encontra preparada para reencaminhar (54) uma indicação do NAS_U_SEQ ao eNodeB (12) , a ser devolvido (55) para o UE (11) a partir do eNodeB.
18. Equipamento de utilizador (11), adaptado para um sistema de pacote evoluído, EPS, encontrando-se o UE munido para estabelecer uma chave de segurança, K_eNB, para proteger o tráfego RRC/UP entre um eNodeB (12) ao serviço do UE, sendo o UE caracterizado por: - meios (66) para enviar uma solicitação de serviço NAS para uma MME (13), indicando a solicitação um número de sequência NAS de ligação ascendente, NAS_U_SEQ·, - meios (67) para obter um K_eNB de pelo menos o referido NAS_U_SEQ, e de uma chave de entidade de gestão de segurança de acesso (Access Security Management Entity-key) , K_ASME, armazenada, partilhada com a referida MME (13) .
19. UE (11) de acordo com a reivindicação 18, que se encontra munido para obter o K_eNB do NAS_U_SEQ e do K_ASME utilizando uma função pseudo-aleatória, PRF.
20. UE de acordo com qualquer das reivindicações 18 a 19, que se encontrar munido para proteger a integridade da solicitação de serviço NAS enviada para a MME (13).
21. UE de acordo com qualquer das reivindicações 6 ΡΕ2191608 18 a 20, que se encontrar munido para armazenar o NAS_U_SEQ da solicitação de serviço NAS enviada para a MME (13).
22. UE de acordo com qualquer das reivindicações 18 a 20, que se encontra munido para receber uma indicação do NAS_U_SEQ da solicitação de serviço NAS enviada para a MME (13), de volta da MME (13) através do eNodeB (12).
23. UE de acordo com qualquer das reivindicações 21 ou 22, que se encontra munido para obter o K_eNB após a recepção de uma mensagem de configuração de segurança do eNodeB (12). Lisboa, 17 de Novembro de 2011