RU2793801C1 - Способ и устройство получения контекста безопасности и система связи - Google Patents

Abstract

Группа изобретений относится к системам беспроводной связи. Технический результат заключается в повышении вероятности получения контекста безопасности пользовательского оборудования. После переключения связи пользовательского устройства UE от связи с системой связи 4G на связь с системой связи 5G первая функция AMF, предоставляющая сервис управления доступом и мобильностью для UE в системе связи 5G, может получить контекст безопасности для указанной UE от второй функции AMF в системе связи 5G. UE передает первое сообщение запроса регистрации в адрес первой функции AMF, где это первое сообщение запроса регистрации несет второе сообщение запроса регистрации. Первая функция AMF передает второе сообщение запроса регистрации в адрес второй функции AMF, где целостность второго сообщения запроса регистрации защищена с использованием первоначального (собственного) контекста безопасности между указанной UE и второй функцией AMF. После успешного удостоверения целостности второго сообщения запроса регистрации вторая функция AMF возвращает контекст безопасности рассматриваемой UE в адрес первой функции AMF. 10 н. и 51 з.п. ф-лы, 10 ил.

Description

Настоящая заявка испрашивает приоритет заявки на выдачу патента Китая No. 201910470895.8, которая подана в патентное ведомство Китая 31 мая 2019 г. под названием «СПОСОБ И УСТРОЙСТВО ПОЛУЧЕНИЯ КОНТЕКСТА БЕЗОПАСНОСТИ И СИСТЕМА СВЯЗИ» ("SECURITY CONTEXT OBTAINING METHOD AND APPARATUS, AND COMMUNICATIONS SYSTEM"), и которая включена сюда посредством ссылки во всей своей полноте.

Область техники, к которой относится изобретение

Настоящее изобретение относится к области связи и, более конкретно, к способу и устройству получения контекста безопасности и к системе связи.

Уровень техники

В сценарии связи 5-го поколения (5^th generation, 5G), поскольку пользовательское устройство движется, сетевые устройства, обслуживающие это пользовательское устройство, меняются. В одном из возможных сценариев переключения связи пользовательское устройство переключается от связи в системе связи 4-го поколения (4^th generation, 4G) на связь в системе связи 5G. В таком сценарии переключения пользовательское устройство переключается от связи с устройством доступа в сеть 4G на связь с устройством доступа в сеть 5G, и от связи с устройством опорной сети 4G на связь с устройством опорной сети 5G. Процедура переключения связи между устройствами опорных сетей связи содержит переключение между элементами опорных сетей связи, предоставляющими сервис управления мобильностью для пользовательского устройства, другими словами, переключение между узлом управления мобильностью (mobility management entity, MME) в системе связи 4G к функции управления доступом и мобильностью (access and mobility management function, AMF) в системе связи 5G.

В существующем сценарии переключения связи пользовательского устройства из системы связи 4G в систему связи 5G, в дополнение к функции AMF (первой функции AMF), выбранной узлом MME, система связи 5G далее содержит функцию AMF (вторую функцию AMF), сохраняющую контекст безопасности рассматриваемой пользовательского устройства. В таком случае, то, каким именно образом первая функция AMF будет получать контекст безопасности для пользовательского устройства от второй функции AMF, становится насущной проблемой, которую необходимо решать.

Раскрытие сущности изобретения

Настоящая заявка предлагает способ и устройство получения контекста безопасности и соответствующую систему связи. Целостность второго сообщения запроса регистрации, переданного первой функцией AMF в адрес второй функции AMF, защищена на основе первоначального (собственного) контекста безопасности между пользовательским устройством и второй функцией AMF, так что эта вторая функция AMF может удостовериться в целостности второго сообщения запроса регистрации на основе первоначального (собственного) контекста безопасности между пользовательским устройством и этой второй функцией AMF, с целью повысить вероятность того, что вторая функция AMF успешно удостоверяет второе сообщение запроса регистрации. Если удостоверение прошло успешно, первая функция AMF может успешно получить контекст безопасности рассматриваемой пользовательского устройства от второй функции AMF.

Согласно первому аспекту, предложен способ получения контекста безопасности. Этот способ содержит: первая функция управления доступом и мобильностью (AMF) принимает первое сообщение запроса регистрации, переданное пользовательским устройством, где это первое сообщение запроса регистрации несет второе сообщение запроса регистрации, целостность этого второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, этот первый контекст безопасности представляет собой первоначальный (собственный) контекст безопасности между рассматриваемой пользовательским устройством и второй функцией AMF, и первая функция AMF представляет собой функцию AMF, предоставляющую сервис управления доступом и мобильностью для пользовательского устройства после переключения связи пользовательского устройства из системы связи 4G в систему связи 5G. Первая функция AMF передает второе сообщение запроса регистрации в адрес второй функции AMF. Эта вторая функция AMF удостоверяется в целостности второго сообщения запроса регистрации. Если вторая функция AMF успешно удостоверяется в целостности второго сообщения запроса регистрации, эта вторая функция AMF передает контекст безопасности указанной пользовательского устройства в адрес первой функции AMF.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, когда связь пользовательского устройства переключается из системы связи 4G в систему связи 5G, контекст безопасности пользовательского устройства изначально сохраняют в этом пользовательском устройстве и в устройстве второй функции AMF до переключения. После переключения связи пользовательского устройства из системы связи 4G в систему связи 5G, первая функция AMF предоставляет сервис управления доступом и мобильностью для этого пользовательского устройства. Первой функции AMF необходимо получить контекст безопасности пользовательского устройства от второй функции AMF. В частности, после приема команды переключения связи, пользовательское устройство может осуществлять защиту целостности четвертого сообщения запроса регистрации на основе сохраняемого у себя первоначального (собственного) контекста безопасности между этой пользовательским устройством и второй функцией AMF, генерацию второго сообщения запроса регистрации, добавление этого второго сообщения запроса регистрации к первому сообщению запроса регистрации, и передачу первого сообщения запроса регистрации в адрес первой функции AMF. При таком подходе, эта первая функция AMF может передать второе сообщение запроса регистрации в адрес второй функции AMF, а эта вторая функция AMF может удостоверить целостность второго сообщения запроса регистрации. После успешного удостоверения целостности второго сообщения запроса регистрации, вторая функция AMF может возвратить контекст безопасности указанной пользовательского устройства в адрес первой функции AMF. Это может увеличить вероятность того, что первая функция AMF успешно получит контекст безопасности рассматриваемой пользовательского устройства от второй функции AMF.

С учетом первого аспекта, в некоторых вариантах осуществления этого первого аспекта, контекст безопасности пользовательского устройства может представлять собой: первый контекст безопасности или второй контекст безопасности, получаемый на основе первого контекста безопасности.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, контекст безопасности пользовательского устройства может представлять собой первоначальный (собственный) контекст безопасности между пользовательским устройством и второй функцией AMF. В качестве альтернативы, когда вторая функция AMF осуществляет формирование ключа и генерирует новый ключ, контекст безопасности пользовательского устройства может представлять собой второй контекст безопасности, генерируемый посредством формирования ключа на основе первого контекста безопасности.

С учетом первого аспекта, в некоторых вариантах осуществления этого первого аспекта, процедура передачи первой функцией AMF второго сообщения запроса регистрации в адрес второй функции AMF содержит: Первая функция AMF передает запрос привлечения сервиса передачи контекста пользовательского устройства в адрес второй функции AMF, где этот запрос привлечения сервиса передачи контекста пользовательского устройства несет второе сообщение запроса регистрации.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, второе сообщение запроса регистрации, передаваемое первой функцией AMF в адрес второй функции AMF, может быть передано в составе запроса привлечения сервиса передачи контекста пользовательского устройства, передаваемого первой функцией AMF в адрес второй функции AMF.

С учетом первого аспекта, в некоторых вариантах осуществления этого первого аспекта, процедура передачи второй функцией AMF контекста безопасности пользовательского устройства в адрес первой функции AMF содержит: Вторая функция AMF передает первое сообщение ответа в адрес первой функции AMF, где это первое сообщение ответа несет контекст безопасности рассматриваемой пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, при возвращении контекста безопасности пользовательского устройства в адрес функции AMF, вторая функция AMF может передать первое сообщение ответа, несущее контекст безопасности этой пользовательского устройства, в адрес первой функции AMF.

С учетом первого аспекта, в некоторых вариантах осуществления этого первого аспекта, этот способ далее содержит: Когда первая функция AMF принимает сообщение, указывающее, что вторая функция AMF не смогла удостоверить целостность второго сообщения запроса регистрации, эта первая функция AMF продолжает использовать отображенный контекст безопасности или инициирует первоначальную аутентификацию соответствующей пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, когда первой функции AMF не удалось получить контекст безопасности пользовательского устройства от второй функции AMF, эта первая функция AMF может продолжать использовать отображенный контекст безопасности, генерируемый посредством согласования с этой пользовательским устройством; или первая функция AMF может инициировать первоначальную аутентификацию рассматриваемой пользовательского устройства для генерации контекста безопасности между первой функцией AMF и этой пользовательским устройством.

С учетом первого аспекта, в некоторых вариантах осуществления этого первого аспекта, отображенный контекст безопасности получают на основе контекста безопасности между узлом MME управлением мобильностью и пользовательским устройством, и этот узел MME является сетевым элементов в системе связи 4G.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, отображенный контекст безопасности представляет собой контекст безопасности, генерируемый пользовательским устройством и первой функцией AMF по отдельности путем формирования на основе контекста безопасности между этой пользовательским устройством и узлом MME.

С учетом первого аспекта, в некоторых вариантах осуществления этого первого аспекта, процедура удостоверения второй функцией AMF целостности второго сообщения запроса регистрации содержит: Вторая функция AMF удостоверяет целостность второго сообщения запроса регистрации на основе первоначального контекста безопасности между второй функцией AMF и рассматриваемой пользовательским устройством.

Согласно второму аспекту, предложен способ получения контекста безопасности. Этот способ содержит: Вторая функция управления доступом и мобильностью (AMF) принимает второе сообщение запроса регистрации, переданное первой функцией AMF, где целостность второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, этот первый контекст безопасности является первоначальным контекстом безопасности между рассматриваемой пользовательским устройством и второй функцией AMF, и первая функция AMF является функцией AMF, представляющей сервис управления доступом и мобильностью для указанной пользовательского устройства после того, как эта пользовательское устройство переключилась от связи с системой связи 4G на связь с системой связи 5G. Вторая функция AMF удостоверяется в целостности второго сообщения запроса регистрации. Если вторая функция AMF успешно удостоверилась в целостности второго сообщения запроса регистрации, эта вторая функция AMF передает контекст безопасности рассматриваемой пользовательского устройства в адрес первой функции AMF.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, когда пользовательское устройство переключается со связи в системе связи 4G на связь в системе связи 5G, контекст безопасности пользовательского устройства сохраняют в этом пользовательском устройстве и в устройстве второй функции AMF до переключения. После переключения пользовательского устройства со связи в системе связи 4G на связи в системе связи 5G, первая функция AMF предоставляет сервис управления доступом и мобильностью для этого пользовательского устройства. Первой функции AMF необходимо получить контекст безопасности пользовательского устройства от второй функции AMF. В частности, после приема команды на переключение связи пользовательское устройство может осуществить защиту целостности четвертого сообщения запроса регистрации на основе сохраняемого этой аппаратурой у себя первоначального (собственного) контекста безопасности между этой пользовательским устройством и второй функцией AMF, и затем генерировать указанное второе сообщение запроса регистрации. UE добавляет второе сообщение запроса регистрации к первому сообщению запроса регистрации, передаваемому в адрес первой функции AMF. При таком подходе, первая функция AMF может передать второе сообщение запроса регистрации в адрес второй функции AMF, и эта вторая функция AMF может удостовериться в целостности второго сообщения запроса регистрации. После успешного удостоверения целостности второго сообщения запроса регистрации, вторая функция AMF передает контекст безопасности указанной пользовательского устройства в адрес первой функции AMF. Это может повысить вероятность того, что первая функция AMF успешно получит контекст безопасности рассматриваемой пользовательского устройства от второй функции AMF.

С учетом второго аспекта, в некоторых вариантах осуществления этого второго аспекта, контекст безопасности пользовательского устройства содержит: первый контекст безопасности, или второй контекст безопасности, генерируемый посредством формирования ключа на основе первого контекста безопасности.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, рассматриваемый контекст безопасности пользовательского устройства может представлять собой первоначальный контекст безопасности между пользовательским устройством и второй функцией AMF. В качестве альтернативы, когда вторая функция AMF осуществляет формирование ключа и генерирует новый ключ, контекст безопасности пользовательского устройства может представлять собой второй контекст безопасности, генерируемый посредством формирования ключа на основе первого контекста безопасности.

С учетом второго аспекта, в некоторых вариантах осуществления этого второго аспекта, процедура приема второй функцией AMF второго сообщения запроса регистрации, переданного первой функцией AMF, содержит: Вторая функция AMF принимает запрос привлечения сервиса передачи контекста пользовательского устройства, переданный первой функцией AMF, где этот запрос привлечения сервиса передачи контекста пользовательского устройства несет второе сообщение запроса регистрации.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, второе сообщение запроса регистрации, переданное первой функцией AMF в адрес второй функции AMF, может быть передано в составе запроса привлечения сервиса передачи контекста пользовательского устройства, переданного первой функцией AMF в адрес второй функции AMF.

С учетом второго аспекта, в некоторых вариантах осуществления этого второго аспекта, процедура передачи второй функцией AMF контекста безопасности пользовательского устройства в адрес первой функции AMF содержит: Вторая функция AMF передает первое сообщение ответа в адрес первой функции AMF, где это первое сообщение ответа несет контекст безопасности пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, при возвращении контекста безопасности пользовательского устройства в адрес первой функции AMF, вторая функция AMF может передать первое сообщение ответа, несущее контекст безопасности пользовательского устройства, в адрес первой функции AMF.

С учетом второго аспекта, в некоторых вариантах осуществления этого второго аспекта, процедура удостоверения второй функцией AMF целостности второго сообщения запроса регистрации содержит: Вторая функция AMF удостоверяет целостность второго сообщения запроса регистрации на основе первого контекста безопасности.

Согласно третьему аспекту, предложен способ получения контекста безопасности. Этот способ содержит: Пользовательское устройство определяет второе сообщение запроса регистрации и осуществляет защиту целостности второго сообщения запроса регистрации, где целостность второго сообщения запроса регистрации защищают с использованием первого контекста безопасности, и первый контекст безопасности представляет собой первоначальный (собственный) контекст безопасности между пользовательским устройством и второй функцией управления доступом и мобильностью AMF. Эта пользовательское устройство передает первое сообщение запроса регистрации в адрес первой функции управления доступом и мобильностью (AMF), где это первое сообщение запроса регистрации несет второе сообщение запроса регистрации, и первая функция AMF представляет собой функцию AMF, предоставляющую сервис управления доступом и мобильностью пользовательского устройства после того, как эта пользовательское устройство переключится от связи с системой связи 4G на связь с системой связи 5G.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, когда пользовательское устройство переключается от связи с системой связи 4G на связь с системой связи 5G, контекст безопасности пользовательского устройства сохраняют посредством самой этой пользовательского устройства и в аппаратуре второй функции AMF перед переключением связи. После переключения пользовательского устройства со связи с системой связи 4G на связь с системой связи 5G первая функция AMF предоставляет сервис управления доступом и мобильностью для этого пользовательского устройства. Первой функции AMF необходимо получить контекст безопасности указанной пользовательского устройства от второй функции AMF. В частности, после приема команды на переключение связи, пользовательское устройство может осуществить защиту целостности четвертого сообщения запроса регистрации на основе сохраняемого у себя первоначального (собственного) контекста безопасности между этой пользовательским устройством и второй функцией AMF, и затем генерировать второе сообщение запроса регистрации. UE добавляет второе сообщение запроса регистрации к первому сообщению запроса регистрации, передаваемому в адрес первой функции AMF. При таком подходе, первая функция AMF может передать второе сообщение запроса регистрации в адрес второй функции AMF, и эта вторая функция AMF может удостоверить целостность второго сообщения запроса регистрации. После успешного удостоверения целостности второго сообщения запроса регистрации, вторая функция AMF может вернуть контекст безопасности пользовательского устройства в адрес первой функции AMF. Это может повысить вероятность того, что первая функция успешно получит контекст безопасности пользовательского устройства от второй функции AMF.

С учетом третьего аспекта, в некоторых вариантах осуществления этого третьего аспекта, способ далее содержит: если принято сообщение с командой режима безопасности слоя без доступа (non-access stratum security mode command (NAS SMC)), переданное первой функцией AMF, выполнение удостоверения целостности этой команды NAS SMC; и если это удостоверение прошло успешно, передачу этого сообщения командой режима безопасности слоя без доступа в адрес первой функции AMF.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, если пользовательское устройство принимает сообщение с командой NAS SMC, переданное первой функцией AMF, и эта пользовательское устройство успешно удостоверяет принятое сообщение NAS SMC, указанная пользовательское устройство передает сообщение завершения режима безопасности для слоя без доступа в адрес первой функции AMF.

Согласно четвертому аспекту, предложен способ получения контекста безопасности. Этот способ содержит: Первая функция управления доступом и мобильностью (AMF) принимает первое сообщение запроса регистрации, переданное пользовательским устройством, где это первое сообщение запроса регистрации несет второе сообщение запроса регистрации, целостность второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, первый контекст безопасности представляет собой первоначальный (собственный) контекст безопасности между рассматриваемой пользовательским устройством и второй функцией AMF, и первая функция AMF представляет собой функцию AMF, предоставляющую сервис управления доступом и мобильностью для пользовательского устройства после переключения этой пользовательского устройства от связи в системе связи 4G на связь в системе связи 5G. Первая функция AMF передает второе сообщение запроса регистрации в адрес второй функции AMF. Если вторая функция AMF успешно удостоверяет целостность второго сообщения запроса регистрации, первая функция AMF принимает контекст безопасности пользовательского устройства, переданный второй функцией AMF.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, когда пользовательское устройство переключается из системы связи 4G в систему связи 5G, контекст безопасности пользовательского устройства сохраняется этой пользовательским устройством и второй функцией AMF прежде переключения. После переключения связи пользовательского устройства из системы связи 4G в систему связи 5G, первая функция AMF предоставляет сервис управления доступом и мобильностью для этого пользовательского устройства. Первой функции AMF необходимо получить контекст безопасности рассматриваемой пользовательского устройства от второй функции AMF. В частности, после приема команды на переключение связи, пользовательское устройство может осуществить защиту целостности четвертого сообщения запроса регистрации на основе изначально сохраняемого контекста безопасности между этой пользовательским устройством и второй функцией AMF, и затем генерировать второе сообщение запроса регистрации. UE добавляет второе сообщение запроса регистрации к первому сообщению запроса регистрации, передаваемому в адрес первой функции AMF. При таком подходе, первая функция AMF может передать второе сообщение запроса регистрации в адрес второй функции AMF, а эта вторая функция AMF может удостовериться в целостности этого второго сообщения запроса регистрации. После успешного удостоверения целостности второго сообщения запроса регистрации, вторая функция AMF может возвратить контекст безопасности рассматриваемой пользовательского устройства в адрес первой функции AMF. Это может повысить вероятность того, что первая функция AMF успешно получит контекст безопасности этой пользовательского устройства от второй функции AMF.

С учетом четвертого аспекта, в некоторых вариантах осуществления этого четвертого аспекта, контекст безопасности пользовательского устройства содержит: первый контекст безопасности, или второй контекст безопасности, генерируемый посредством формирования ключа на основе первого контекста безопасности.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, контекст безопасности пользовательского устройства может представлять собой первоначальный контекст безопасности между этой пользовательским устройством и второй функцией AMF. В качестве альтернативы, когда вторая функция AMF осуществляет формирование ключа и генерирует новый ключ, контекст безопасности пользовательского устройства может представлять собой второй контекст безопасности, генерируемый посредством формирования ключа на основе первого контекста безопасности.

С учетом четвертого аспекта, в некоторых вариантах осуществления этого четвертого аспекта, процедура передачи первой функцией AMF второго сообщения запроса регистрации в адрес второй функции AMF содержит: Первая функция AMF передает запрос привлечения сервиса передачи контекста пользовательского устройства в адрес второй функции AMF, где этот запрос привлечения сервиса передачи контекста пользовательского устройства несет второе сообщение запроса регистрации.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, второе сообщение запроса регистрации, переданное первой функции AMF в адрес второй функции AMF, может быть передано в составе запроса привлечения сервиса передачи контекста пользовательского устройства, передаваемого первой функцией AMF в адрес второй функции AMF.

С учетом четвертого аспекта, в некоторых вариантах осуществления этого четвертого аспекта, процедура приема первой функцией AMF контекста безопасности пользовательского устройства, переданного второй функцией AMF, содержит: Первая функция AMF принимает первое сообщение ответа, переданное второй функцией AMF, где это первое сообщение ответа несет контекст безопасности пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, при возвращении контекста безопасности пользовательского устройства в адрес первой функции AMF, вторая функция AMF может передать первое сообщение ответа, несущее этот контекст безопасности пользовательского устройства, в адрес первой функции AMF.

С учетом четвертого аспекта, в некоторых вариантах осуществления этого четвертого аспекта, способ далее содержит: Когда первая функция AMF принимает сообщение, указывающее, что вторая функция AMF не смогла удостовериться в целостности второго сообщения запроса регистрации, эта первая функция AMF продолжает использовать отображенный контекст безопасности или инициирует первоначальную аутентификацию для рассматриваемой пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, когда первой функции AMF не удалось получить контекст безопасности пользовательского устройства от второй функции AMF, эта первая функция AMF может продолжить использовать отображенный контекст безопасности, генерируемый посредством согласования с этой пользовательским устройством; или первая функция AMF может инициировать первоначальную аутентификацию для указанной пользовательского устройства с целью генерации контекста безопасности между первой функцией AMF и этой пользовательским устройством.

С учетом четвертого аспекта, в некоторых вариантах осуществления этого четвертого аспекта, отображенный контекст безопасности получают на основе контекста безопасности между узлом управления мобильностью (MME) и пользовательским устройством, здесь узел MME представляет собой сетевой элемент в системе связи 4G.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, отображенный контекст безопасности представляет собой контекст безопасности, генерируемый пользовательским устройством и первой функцией AMF по отдельности посредством формирования на основе контекста безопасности между этой пользовательским устройством и узлом MME.

Согласно пятому аспекту, предложен способ получения контекста безопасности. Этот способ содержит: Первая функция управления доступом и мобильностью (AMF) передает запрос привлечения сервиса передачи контекста пользовательского устройства в адрес второй функции AMF, где этот запрос привлечения сервиса передачи контекста пользовательского устройства используется для получения контекста безопасности пользовательского устройства, запрос привлечения сервиса передачи контекста пользовательского устройства несет информацию указания, эта информация указания используется для указания, что рассматриваемая пользовательское устройство удостоверена, и первая функция AMF представляет собой функцию AMF, предоставляющую сервис управления доступом и мобильностью для пользовательского устройства после переключения связи этой пользовательского устройства из системы связи 4G в систему связи 5G. Первая функция AMF принимает второе сообщение ответа, переданное второй функцией AMF, где это второе сообщение ответа несет контекст безопасности этой пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, запрос привлечения сервиса передачи контекста пользовательского устройства, переданный первой функцией AMF в адрес второй функции AMF, несет информацию указания, указывающую, что UE удостоверена. Это может избежать ситуации, когда вторая функция AMF не смогла верифицировать аппаратуру UE и не передала контекст безопасности этой UE в адрес первой функции AMF, и повысить вероятность того, что первая функция AMF успешно получит контекст безопасности пользовательского устройства от второй функции AMF.

С учетом пятого аспекта, в некоторых вариантах осуществления этого пятого аспекта, процедура использования информации указания для указания, что пользовательское устройство удостоверена, содержит: Информацию указания используют для указания, что целостность сообщения запроса регистрации успешно удостоверена, где сообщение запроса регистрации принято первой функцией AMF от указанной пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, информация указания, переданная первой функцией AMF в адрес второй функции AMF и указывающая, что UE удостоверена, может быть использована первой функцией AMF для извещения второй функции AMF, что целостность сообщения запроса регистрации, переданного аппаратуре UE, успешно удостоверена. Это предоставляет гибкое возможное решение для указания, что UE удостоверена.

С учетом пятого аспекта, в некоторых вариантах осуществления этого пятого аспекта, прежде чем первая функция AMF передаст запрос привлечения сервиса передачи контекста пользовательского устройства в адрес второй функции AMF, способ далее содержит: Первая функция AMF успешно удостоверяет защиту целостности для сообщения запроса регистрации, где это сообщение запроса регистрации принимается первой функцией AMF от рассматриваемой пользовательского устройства; и/или первая функция AMF определяет, что это сообщение запроса регистрации представляет собой сообщение запроса регистрации, переданное пользовательским устройством после переключения связи этой пользовательского устройства из системы связи 4G в систему связи 5G.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, первая функция AMF определяет, на основе результата, указывающего, что сообщение запроса регистрации успешно удостоверено, и/или на основе того, что принятое сообщение запроса регистрации представляет собой сообщение запроса регистрации, переданное пользовательским устройством после переключения связи этой пользовательского устройства из системы связи 4G в систему связи 5G, что этот запрос привлечения сервиса передачи контекста пользовательского устройства может быть передан в адрес второй функции AMF.

С учетом пятого аспекта, в некоторых вариантах осуществления этого пятого аспекта, запрос привлечения сервиса передачи контекста пользовательского устройства несет идентификатор пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, чтобы позволить второй функции AMF определить, что первая функция AMF нуждается в получении контекста безопасности для пользовательского устройства, первая функция AMF добавляет идентификатор этой пользовательского устройства к запросу привлечения сервиса передачи контекста.

С учетом пятого аспекта, в некоторых вариантах осуществления этого пятого аспекта, запрос привлечения сервиса передачи контекста пользовательского устройства несет номер слоя без доступа восходящей линии (uplink non-access stratum count (UL NAS COUNT)) для рассматриваемой пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, чтобы позволить второй функции AMF определить номер UL NAS COUNT, первая функция AMF может добавить номер UL NAS COUNT к запросу привлечения сервиса передачи контекста.

С учетом пятого аспекта, в некоторых вариантах осуществления этого пятого аспекта, то, что запрос привлечения сервиса передачи контекста пользовательского устройства несет номер UL NAS COUNT, содержит: Запрос привлечения сервиса передачи контекста пользовательского устройства несет незашифрованное сообщение запроса регистрации, где это незашифрованное сообщение запроса регистрации содержит номер UL NAS COUNT, и это сообщение запроса регистрации принимается первой функцией AMF от пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, то, что запрос привлечения сервиса передачи контекста пользовательского устройства несет номер UL NAS COUNT, может быть реализовано путем передачи незашифрованного сообщения запроса регистрации в составе этого запроса привлечения сервиса передачи контекста пользовательского устройства, где незашифрованное сообщение запроса регистрации содержит номер UL NAS COUNT. Это предлагает гибкий вариант решения для передачи первой функцией AMF номера UL NAS COUNT в адрес второй функции AMF.

Согласно шестому аспекту, предложен способ получения контекста безопасности. Этот способ содержит: Вторая функция управления доступом и мобильностью (AMF) принимает запрос привлечения сервиса передачи контекста пользовательского устройства, переданный первой функцией AMF, где этот запрос привлечения сервиса передачи контекста пользовательского устройства используется для получения контекста безопасности рассматриваемой пользовательского устройства, этот запрос привлечения сервиса передачи контекста пользовательского устройства несет информацию указания, эта информация указания используется для указания, что соответствующая пользовательское устройство удостоверена, и первая функция AMF представляет собой функцию AMF, предоставляющую сервис управления доступом и мобильностью для пользовательского устройства после того, как связь этой пользовательского устройства переключилась из системы связи 4G в систему связи 5G. Вторая функция AMF передает второе сообщение ответа в адрес первой функции AMF, где это второе сообщение ответа несет контекст безопасности пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, запрос привлечения сервиса передачи контекста пользовательского устройства, переданный первой функцией AMF и принятый второй функцией AMF, несет информацию указания, указывающую, что удостоверение UE прошло успешно. На основе этой информации указания, вторая функция AMF не имеет необходимости проверять аппаратуру UE. Это может избежать ситуации, когда вторая функция AMF не смогла проверить аппаратуру UE и не передала контекст безопасности этого оборудования UE в адрес первой функции AMF, и повысить вероятность того, что первая функция AMF успешно получает контекст безопасности пользовательского устройства от второй функции AMF.

С учетом шестого аспекта, в некоторых вариантах осуществления этого шестого аспекта, то, что информация указания используется для указания того, что пользовательское устройство удостоверена, содержит: Информация указания используется для указания того, что целостность сообщения запроса регистрации успешно удостоверена, где это сообщение запроса регистрации принимается первой функцией AMF от пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, информация указания, переданная первой функцией AMF, принятая второй функцией AMF и указывающая, что UE удостоверена, может быть использована первой функцией AMF для оповещения второй функции AMF, что целостность сообщения запроса регистрации, переданного этой аппаратуре UE, успешно удостоверена. Это предлагает гибкое возможное решение для указания, что UE удостоверена.

С учетом шестого аспекта, в некоторых вариантах осуществления этого шестого аспекта, запрос привлечения сервиса передачи контекста пользовательского устройства несет идентификатор пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, на основе идентификатора пользовательского устройства, передаваемого в запросе привлечения сервиса передачи контекста, вторая функция AMF может определить, что первой функции AMF необходимо получить контекст безопасности пользовательского устройства.

С учетом шестого аспекта, в некоторых вариантах осуществления этого шестого аспекта, запрос привлечения сервиса передачи контекста пользовательского устройства несет номер слоя без доступа восходящей линии (UL NAS COUNT) для рассматриваемой пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, вторая функция AMF может определить номер UL NAS COUNT на основе номера UL NAS COUNT, передаваемого в запросе привлечения сервиса передачи контекста.

С учетом шестого аспекта, в некоторых вариантах осуществления этого шестого аспекта, то, что запрос привлечения сервиса передачи контекста пользовательского устройства несет номер UL NAS COUNT, содержит: Запрос привлечения сервиса передачи контекста пользовательского устройства несет незашифрованное сообщение запроса регистрации, где это незашифрованное сообщение запроса регистрации содержит номер UL NAS COUNT, и это сообщение запроса регистрации принимается первой функцией AMF от рассматриваемой пользовательского устройства.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, то, что запрос привлечения сервиса передачи контекста пользовательского устройства несет номер UL NAS COUNT, может быть реализовано посредством передачи незашифрованного сообщения запроса регистрации в составе запроса привлечения сервиса передачи контекста пользовательского устройства, где это незашифрованное сообщение запроса регистрации содержит номер UL NAS COUNT. Это предлагает гибкое возможное решение, чтобы первая функция AMF передавала номер UL NAS COUNT в адрес второй функции AMF.

С учетом шестого аспекта, в некоторых вариантах осуществления этого шестого аспекта, способ далее содержит: Вторая функция AMF осуществляет формирование ключа на основе номера UL NAS COUNT.

Согласно способу получения контекста безопасности, предлагаемому в этом варианте настоящей заявки, вторая функция AMF может осуществить формирование ключа на основе принятого номера UL NAS COUNT.

Согласно седьмому аспекту, предложена система связи. Эта система связи содержит первую функцию AMF и вторую функцию AMF, которые могут быть конфигурированы для осуществления операций, выполняемых первой функции AMF и второй функцией AMF согласно первому аспекту или какому-либо из возможных вариантов осуществления первого аспекта. В частности, аппаратура связи может содержать соответствующий компонент (средство), конфигурированный для осуществления этапов или функций, описываемых согласно первому аспекту или какому-либо из возможных вариантов осуществления первого аспекта, и этот компонент может представлять собой первую функцию AMF и вторую функцию AMF согласно первому аспекту, либо кристаллы интегральных схем (чипы) или функциональные модули внутри этих первой функции AMF и второй функции AMF согласно первому аспекту. Эти этапы или функции могут быть реализованы посредством программного обеспечения, аппаратуры или комбинации аппаратуры и программного обеспечения.

Согласно восьмому аспекту, предложена аппаратура для получения контекста безопасности. Эта аппаратура может быть конфигурирована для осуществления операции, выполняемой первой функцией AMF согласно пятому аспекту, четвертому аспекту или какому-либо из возможных вариантов осуществления четвертого аспекта. В частности, аппаратура для получения контекста безопасности может содержать соответствующий компонент (средство), конфигурированный для осуществления этапов или функций, описываемых согласно пятому аспекту, четвертому аспекту или какому-либо из возможных вариантов осуществления первого аспекта или возможных вариантов осуществления четвертого аспекта, и этот компонент может представлять собой первую функцию AMF согласно четвертому и пятому аспектам, либо кристалл интегральной схемы (чип) внутри первой функции AMF согласно четвертому и пятому аспектам. Эти этапы или функции могут быть реализованы посредством программного обеспечения, аппаратуры или комбинации аппаратуры и программного обеспечения.

Согласно девятому аспекту, предложена аппаратура для получения контекста безопасности. Эта аппаратура может быть конфигурирована для осуществления операций выполняемых второй функцией AMF согласно второму аспекту, шестому аспекту, какому-либо из возможных вариантов осуществления второго аспекта или какому-либо из возможных вариантов осуществления шестого аспекта. В частности, аппаратура для получения контекста безопасности может содержать соответствующий компонент (средство), конфигурированный для выполнения этапов или функций, описываемых согласно второму аспекту, шестому аспекту, какому-либо из возможных вариантов осуществления второго аспекта или какому-либо из возможных вариантов осуществления шестого аспекта, и этот компонент может представлять собой вторую функцию AMF согласно второму и шестому аспектам, либо кристалл интегральной схемы (чип) или функциональный модуль внутри второй функции AMF согласно второму и шестому аспектам. Эти этапы или функции могут быть реализованы посредством программного обеспечения, аппаратуры или комбинации аппаратуры и программного обеспечения.

Согласно десятому аспекту, предложена аппаратура для получения контекста безопасности. Эта аппаратура может быть конфигурирована для осуществления операций, выполняемых пользовательским устройством согласно третьему аспекту. В частности, аппаратура для получения контекста безопасности может содержать соответствующий компонент (средство), конфигурированный для осуществления этапов или функций, описываемых согласно третьему аспекту, и этот компонент может представлять собой пользовательское устройство согласно третьему аспекту, либо кристалл (чип) интегральной схемы или функциональный модуль в абонентской аппаратуре согласно третьему аспекту. Эти этапы или функции могут быть реализованы посредством программного обеспечения, аппаратуры или комбинации аппаратуры и программного обеспечения.

Согласно одиннадцатому аспекту, предложено устройство связи, содержащее процессор, приемопередатчик и запоминающее устройство. Это запоминающее устройство конфигурировано для сохранения компьютерной программы. Приемопередатчик конфигурирован для осуществления этапов передачи и приема в аппаратуре в соответствии со способом получения контекста безопасности согласно какому-либо из возможных вариантов реализации аспектов с первого по пятый. Процессор конфигурирован для вызова компьютерной программы из запоминающего устройства и выполнения этой компьютерной программы, чтобы позволить устройству связи реализовать способ получения контекста безопасности согласно какому-либо из возможных вариантов аспектов с первого по шестой.

В качестве опции, устройство может содержать один или более процессоров и одно или более запоминающих устройств.

В качестве опции, запоминающее устройство может быть интегрировано с процессором, либо запоминающее устройство и процессор могут быть расположены раздельно.

В качестве опции, приемопередатчик содержит передатчик (transmitter) и приемник (receiver).

Согласно двенадцатому аспекту, предложена система. Эта система содержит устройство для получения контекста безопасности, предложенное согласно восьмому аспекту и девятому аспекту.

Согласно тринадцатому аспекту, предложен компьютерный программный продукт. Этот компьютерный программный продукт содержит компьютерную программу (которая может также называться кодом или командой). Когда эта компьютерная программа работает в компьютере, этот компьютер может реализовать способ согласно какому-либо из возможных вариантов аспектов с первого по шестой.

Согласно четырнадцатому аспекту, предложен читаемый компьютером носитель информации. Этот читаемый компьютером носитель сохраняет компьютерную программу (которая может также называться кодом или командой). Когда эта компьютерная программа работает в компьютере, этот компьютер может реализовать способ согласно какому-либо из возможных вариантов аспектов с первого по шестой.

Согласно пятнадцатому аспекту, предложена система на кристалле интегральной схемы (чипе), содержащем запоминающее устройство и процессор. Запоминающее устройство конфигурировано для сохранения компьютерной программы. Процессор конфигурирован для вызова компьютерной программы из запоминающего устройства и выполнения этой компьютерной программы, так что устройство связи, где установлена система на кристалле интегральной схемы, осуществляет способ согласно какому-либо из возможных вариантов аспектов с первого по шестой.

Краткое описание чертежей

Фиг. 1 представляет сетевую архитектуру, применимую к вариантам настоящей заявки;

Фиг. 2 представляет упрощенную логическую схему переключения между системами связи;

Фиг. 3 представляет упрощенную схему способа получения контекста безопасности согласно одному из вариантов настоящей заявки;

Фиг. 4 представляет упрощенную схему другого способа получения контекста безопасности согласно одному из вариантов настоящей заявки;

Фиг. 5 представляет упрощенную схему устройства 50 для получения контекста безопасности согласно одному из вариантов настоящей заявки;

Фиг. 6 представляет упрощенную структурную схему пользовательского устройства 60 согласно одному из вариантов настоящей заявки;

Фиг. 7 представляет упрощенную схему устройства 70 для получения контекста безопасности согласно одному из вариантов настоящей заявки;

Фиг. 8 представляет упрощенную структурную схему аппаратуры первой функции AMF 80 согласно одному из вариантов настоящей заявки;

Фиг. 9 представляет упрощенную схему устройства 90 для получения контекста безопасности согласно одному из вариантов настоящей заявки; и

Фиг. 10 представляет упрощенную структурную схему аппаратуры второй функции AMF 100 согласно одному из вариантов настоящей заявки.

Осуществление изобретения

Далее описаны технические решения согласно настоящей заявке со ссылками на прилагаемые чертежи.

Технические решения согласно вариантам настоящей заявки могут быть применены в различных системах связи, таких как глобальная система мобильной связи (global system for mobile communications, GSM), система многостанционного доступа с кодовым уплотнением (code division multiple access, CDMA), широкополосная система многостанционного доступа с кодовым уплотнением (wideband code division multiple access, WCDMA), система пакетной радиосвязи общего пользования (general packet radio service, GPRS), система долговременной эволюции (long term evolution, LTE), дуплексная система с разделением по частоте (frequency division duplex, FDD) в системе LTE, дуплексная система с разделением по времени (time division duplex, TDD) в системе LTE, универсальная мобильная телекоммуникационная система (universal mobile telecommunication system, UMTS), система связи с использованием технологии широкополосного доступа в микроволновом диапазоне (worldwide interoperability for microwave access, WiMAX), будущая система 5-го поколения (5^th generation, 5G) или система «новое радио» (new radio, NR).

На Фиг. 1 представлена сетевая архитектура, применимая к одному из вариантов настоящей заявки. Последующее по отдельности описывает компоненты сетевой архитектуры, показанной на Фиг. 1.

1. Пользовательское устройство (user equipment, UE) 110 может представлять собой разнообразные ручные устройства, устройства, установленные на транспортных средствах (автомобильные устройства), носимые устройства и компьютерные устройства, имеющие функцию беспроводной (радио) связи, или другие процессорные устройства, соединенные с беспроводным (радио) модемом, и различные формы терминалов, мобильных станций (mobile station, MS), терминалов (terminal), «мягких» клиентов и других подобных устройств. Например, пользовательское устройство 110 может представлять собой счетчик потребления воды (водомер), счетчик учета электрической энергии или датчик.

2. Элемент 120 сети (радио) доступа (radio access network, (R)AN) конфигурирован для предоставления функции доступа в сеть связи для авторизованной пользовательского устройства в конкретной заданной области и может использовать передающие «туннели» с разными уровнями качества на основе уровней, требований к сервисам и других подобных характеристик пользовательского устройства.

Элемент сети (R)AN может управлять радио ресурсами и предоставлять услуги доступа в сеть связи для пользовательского устройства, чтобы передавать сигнал управления и данные пользовательского устройства между этой пользовательским устройством и опорной сетью связи. Под элементом сети (R)AN можно также понимать базовую станцию в обычной сети связи.

3. Сетевой элемент 130 плоскости пользователя используется для маршрутизации и передачи, обработки качества обслуживания (quality of service, QoS) данных плоскости пользователя и других подобных операций.

В системе связи 5G сетевой элемент плоскости пользователя может представлять собой сетевой элемент функции плоскости пользователя (user plane function, UPF). В системе связи будущего сетевой элемент плоскости пользователя может по-прежнему называться сетевым элементом функции UPF или может иметь другое название. Это не ограничивается настоящей заявкой.

4. Сетевой элемент 140 данных конфигурирован для создания сети для передачи данных.

В системе связи 5G, сетевой элемент данных может представлять собой элемент сети передачи данных (data network, DN). В системе связи будущего, сетевой элемент данных может по-прежнему называть элемент DN или может иметь другое название. Это не ограничивается настоящей заявкой.

5. Сетевой элемент 150 управления доступом и мобильностью конфигурирован главным образом для осуществления управления мобильностью, управления доступом и других подобных функций. Такой элемент 150 управления доступом и мобильностью может быть конфигурирован для осуществления таких функций, как, например, законное снятие информации с телекоммуникационных сетей и авторизация/аутентификация доступа, отличные от управления сеансами связи в функциях узла управления мобильностью (mobility management entity, MME).

В системе связи 5G, сетевой элемент управления доступом и мобильностью может представлять собой функцию управления доступом и мобильностью (access and mobility management function, AMF). В системе связи будущего, устройство управления доступом и мобильностью может по-прежнему называться функцией AMF, или может иметь другое название. Это не ограничивается настоящей заявкой.

6. Сетевой элемент 160 управления сеансом конфигурирован главным образом для управления сеансом связи, назначения и управления адресом по Интернет-протоколу (internet protocol, IP) для пользовательского устройства, выбора конечного пункта, а также может управлять интерфейсом функции плоскости пользователя и интерфейсом функции управления политикой и учетом затрат, сообщения данных нисходящей линии и других подобных функций.

В системе связи 5G, сетевой элемент управления сеансом может представлять собой сетевой элемент функции управления сеансом (session management function, SMF). В системе связи будущего, сетевой элемент управления сеансом может по-прежнему называться сетевым элементом функции SMF, или может иметь другое название. Это не ограничивается настоящей заявкой.

7. Сетевой элемент 170 управления политикой конфигурирован для управления унифицированной политикой поведения сети и предоставления информации о правилах политики для сетевого элемента функции плоскости управления (такого как сетевой элемент функции AMF или функции SMF), или других подобных функций.

В системе связи 4G, сетевой элемент управления политикой может представлять собой сетевой элемент функции правил политики и учета (policy and charging rules function, PCRF). В системе связи 5G, сетевой элемент управления политикой может представлять собой сетевой элемент функции управления политикой (policy control function, PCF). В системе связи будущего, сетевой элемент управления политикой может по-прежнему называться сетевым элементом функции PCF или может иметь другое название. Это не ограничивается настоящей заявкой.

8. Сервер 180 аутентификации конфигурирован для аутентификации сервиса, генерации ключа для осуществления двусторонней аутентификации пользовательского устройства и поддержки унифицированной структуры аутентификации.

В системе связи 5G, аутентификационный сервер может представлять собой сетевой элемент функции аутентификационного сервера (authentication server function, AUSF). В системе связи будущего, сетевой элемент функции аутентификационного сервера может по-прежнему называться сетевым элементом функции AUSF или может иметь другое название. Это не ограничивается настоящей заявкой.

9. Сетевой элемент 190 управления данными конфигурирован для обработки идентификатора пользовательского устройства, осуществления аутентификации доступа, регистрации и управления мобильностью и других подобных функций.

В системе связи 5G, сетевой элемент управления данными может представлять собой сетевой элемент унифицированного управления данными (unified data management, UDM). В системе связи 4G, сетевой элемент управления данными может представлять собой сетевой элемент опорного абонентского сервера (home subscriber server, HSS). В системе связи будущего, элемент унифицированного управления данными может по-прежнему называться сетевым элементом управления UDM или может иметь другое название. Это не ограничивается настоящей заявкой.

10. Сетевой элемент 1100 приложений конфигурирован для осуществления зависящей от приложения маршрутизации кадров, доступа к сетевому элементу функции взаимодействия с сетью, взаимодействия со структурой политики для осуществления управления политикой и других подобных функций.

В системе связи 5G, сетевой элемент приложений может представлять собой сетевой элемент функции приложений (application function, AF). В системе связи будущего, сетевой элемент приложений может по-прежнему называется сетевым элементом функции AF или может иметь другое название. Это не ограничивается настоящей заявкой.

11. Сетевой элемент сетевого хранилища данных конфигурирован для поддержания информации в реальном времени обо всех сервисах сетевых функций в сети связи.

В системе связи 5G, сетевой элемент хранения данных может представлять собой сетевой элемент функции хранилища данных (network repository function, NRF). В системе связи будущего, сетевой элемент хранения данных может по-прежнему называться сетевым элементом функции NRF или может иметь другое название. Это не ограничивается настоящей заявкой.

Можно понимать, что перечисленные выше сетевые элементы или функции могут представлять собой сетевые элементы, реализованные в виде аппаратного устройства, программных функций, работающих в специализированной аппаратуре, или виртуализированных функций, осуществляемых на какой-либо платформе (например, на облачной платформе). Для облегчения описания, настоящая заявка описана ниже на примере, в котором устройство управления доступом и мобильностью представляет собой функцию AMF, сетевой элемент управления данными представляет собой сетевой элемент управления UDM, сетевой элемент управления сеансом представляет собой сетевой элемент функции SMF, и сетевой элемент плоскости пользователя представляет собой сетевой элемент функции UPF.

Для облегчения описания, в вариантах настоящей заявки способ установления сеанса описан с использованием примера, в котором аппаратура представляет собой объект функции AMF или объект управления UDM. Для способа осуществления, в котором указанная аппаратура представляет собой кристалл интегральной схемы (чип) в объекте функции AMF или кристалл интегральной схемы (чип) в объекте управления UDM, есть ссылки на конкретные описания способа управления сеансом, в котором рассматриваемая аппаратура является аппаратурой объекта функции AMF или объекта управления UDM. Подробности повторно описаны не будут.

В сетевой архитектуре, показанной на Фиг. 1, пользовательское устройство соединена с функцией AMF через интерфейс N1, сеть (R)AN соединена с функцией AMF через интерфейс N2 и эта сеть (R)AN соединена с функцией UPF через интерфейс N3. Функции UPF соединены одна с другой через интерфейс N9, а функция UPF соединена с сетью DN через интерфейс N6. Функция SMF управляет функцией UPF через интерфейс N4. Функция AMF соединена с функцией SMF через интерфейс N11. Функция AMF получает данные подписки пользовательского устройства от устройства управления UDM через интерфейс N8. Функция SMF получает данные подписки пользовательского устройства от устройства управления UDM через интерфейс N10.

Следует понимать, что приведенная выше сетевая архитектура применительно к вариантам настоящей заявки является всего лишь примером, так что сетевые архитектуры для вариантов настоящей заявки этим примером архитектуры не ограничиваются. Любая сетевая архитектура, способная реализовать функции перечисленных выше сетевых элементов, может быть применена к вариантам настоящей заявки.

Например, в некоторых сетевых архитектурах сетевые элементы и объекты сетевых функций, такие как функция AMF, сетевой элемент функции SMF, сетевой элемент функции PCF, сетевой элемент функции BSF и сетевой элемент управления UDM, все называются сетевыми элементами сетевых функций (network function, NF). В качестве альтернативы, в некоторых других сетевых архитектурах, каждый из группы сетевых элементов, таких как функция AMF, сетевой элемент функции SMF, сетевой элемент функции PCF, сетевой элемент функции BSF и сетевой элемент управления UDM, может называться функциональным сетевым элементом плоскости управления.

Пользовательское устройство в вариантах настоящей заявки может представлять собой терминал доступа, абонентский блок, абонентскую станцию, мобильную станцию, мобильную консоль, ретрансляционную станцию, удаленный терминал, мобильное устройство, пользовательский терминал (user terminal), оборудование терминала (terminal equipment), терминал (terminal) радиосвязи, агент пользователя, пользовательская аппаратура или другое подобное устройство. Пользовательское устройство может в качестве альтернативы представлять собой сотовый телефон, беспроводной телефон, телефон по протоколу инициирования сеанса (session initiation protocol, SIP), станцию беспроводного абонентского шлейфа (wireless local loop, WLL), персональный цифровой помощник (personal digital assistant, PDA), ручное устройство, имеющее функцию беспроводной (радио) связи, компьютерное устройство, другое процессорное устройство, соединенное с беспроводным (радио) модемом, устройство, установленное на транспортном средстве (автомобиле), носимое устройство, пользовательское устройство в будущей сети 5G, пользовательское устройство в будущей развитой наземной сети мобильной связи общего пользования (public land mobile network, PLMN) или другое подобное устройство. В вариантах настоящей заявки это ничем не ограничивается.

Сетевое устройство в вариантах настоящей заявки может представлять собой какое-либо устройство, имеющее функцию радио приемопередатчика и конфигурированное для связи с пользовательским устройством. Это устройство может представлять собой, не ограничиваясь этим, развитый узел NodeB (evolved Node B, eNB), контроллер сети радиосвязи (radio network controller, RNC), узел NodeB (Node B, NB), контроллер базовых станций (base station controller, BSC), базовую приемопередающую станцию (base приемопередатчик station, BTS), домашнюю базовую станцию (например, домашний развитый узел NodeB, или домашний узел Node B, HNB), модуль видеодиапазона (baseBand unit, BBU), точку доступа (access point, AP) в системе WiFi (wireless fidelity, WIFI), радио ретрансляционный узел, беспроводной (радио) транзитный узел, передающую точку (transmission point, TP), приемопередающую точку (transmission and reception point, TRP) или другое подобное устройство. В качестве альтернативы, это устройство может представлять собой узел gNB или передающую точку (TRP или TP) в системе 5G, такой как система NR, это может быть антенное полотно или группа (содержащая несколько антенных полотен) таких антенных полотен базовой станции в системе 5G, либо может быть сетевым узлом, таким как модуль видеодиапазона (baseband unit (BBU)) или распределенный модуль (distributed unit, DU), что составляет узел gNB или передающую точку.

В некоторых вариантах развертывания, узел gNB может содержать централизованный модуль (centralized unit, CU) и распределенный модуль DU. Узел gNB может далее содержать активный антенный модуль (active antenna unit, AAU). Модуль CU реализует некоторые функции узла gNB, и модуль DU реализует некоторые функции узла gNB. Например, модуль CU отвечает за обработку протокола и сервиса не в реальном времени, и осуществляет функции уровня управления радио ресурса (radio resource control, RRC) и уровня протокола конвергенции пакетных данных (packet data convergence protocol, PDCP). Модуль DU отвечает за обработку протокола физического уровня и сервис реального времени и реализует функции уровня управления радиоканалом (radio link control, RLC), уровня управления доступом (media access control, MAC) и физического уровня (physical, PHY). Модуль AAU реализует некоторые функции обработки физического уровня, высокочастотной обработки и функции, относящиеся к активной антенне. Информацию с уровня управления RRC в конечном итоге преобразуют в информацию физического (PHY) уровня или преобразуют из информации уровня PHY. Поэтому в такой архитектуре, сигнализацию более высокого уровня, такую как сигнализация уровня управления RRC, можно также рассматривать как передаваемую модулем DU или передаваемую модулем DU и модулем AAU. Следует понимать, что сетевое устройство может представлять собой устройство, содержащее один или более модулей из группы – модуль CU, модуль DU и модуль AAU. В дополнение к этому, модуль CU может представлять собой сетевое устройство в сети доступа (radio access network, RAN) или может представлять собой опорную сеть связи (core network, CN). Это не ограничивается настоящей заявкой.

В вариантах настоящей заявки, пользовательское устройство или сетевое устройство содержит аппаратный уровень, уровень операционной системы, работающий поверх аппаратного уровня, и уровень приложений, работающий поверх уровня операционной системы. Аппаратный уровень содержит аппаратуру, такую как центральный процессор (central processor unit, CPU), модуль управления памятью (memory management unit, MMU) и запоминающее устройство (также называемое главным запоминающим устройством). Операционная система может представлять собой какие-либо один или более типов компьютерных операционных систем, реализующих обработку сервиса с использованием обработки процедуры (process), например, операционной системы Linux, операционной системы Unix, операционной системы Android, операционной системы iOS или операционной системы Windows. Уровень приложений содержит приложения, такие как браузер, адресная книга, программное обеспечение для обработки текстов и программное обеспечение оперативной связи. В дополнение к этому, конкретная структура объекта для осуществления способа, предлагаемого вариантами настоящей заявки, ничем в настоящей заявке специально не ограничена, в предположении, что код, записывающий программу для осуществления способа согласно вариантам настоящей заявки, может работать для реализации связи согласно этому способу. Например, объект для осуществления способа согласно вариантам настоящей заявки может представлять собой пользовательское устройство или сетевое устройство, либо может быть функциональным модулем, способным вызывать и выполнять такую программу в абонентской аппаратуре или в сетевом устройстве.

В дополнение к этому, аспекты или признаки настоящей заявки могут быть реализованы в виде способа, устройства или продукта, использующих стандартные технологии программирования и/или инженерные технологии. Термин «продукт», используемый в настоящей заявке, охватывает компьютерную программу, которая может быть доступна с какого-либо читаемого компьютером компонента или носителя. Например, читаемый компьютером носитель может содержать, не ограничиваясь этим, магнитный запоминающий компонент (например, жесткий диск, гибкий диск или магнитную ленту), оптический диск (например, компакт-диск (compact disc, CD) или цифровой универсальный диск (digital versatile disc, DVD)), интеллектуальную карточку и компонент флэш-памяти (например, стираемое программируемое постоянное запоминающее устройство (СППЗУ (erasable programmable read-only memory, EPROM)), карточка или флэшка). В дополнение к этому, разнообразные носители для хранения информации, рассматриваемые в настоящем описании, могут представлять собой одно или более устройств и/или других машиночитаемых носителей, конфигурированных для хранения информации. Термин «машиночитаемый носитель для хранения информации» может охватывать (не ограничиваясь этим) радиоканал и разнообразные другие носители, которые могут сохранять, содержать и/или нести команды и/или данные.

Варианты настоящей заявки относятся главным образом к узлу управления мобильностью (MME), когда сетевая архитектура, показанная на Фиг. 1, представляет собой архитектуру сети связи 4G, а также к функции управления доступом и мобильностью AMF и к аппаратуре UE, когда сетевая архитектура, показанная на Фиг. 1, является сетевой архитектурой 5G. Для функции AMF, настоящая заявка относится к первой функции AMF и ко второй функции AMF. В частности, первая функция AMF в настоящей заявке представляет собой функцию AMF, выбираемую из системы связи 5G в процессе переключения связи пользовательского устройства из системы связи 4G в систему связи 5G, для UE посредством узла MME в системе связи 4G для представления сервиса опорной сети связи для UE. Вторая функция AMF в настоящей заявке представляет собой функцию AMF, отличную от первой функции AMF в системе связи 5G в процессе переключения связи пользовательского устройства из системы связи 4G в систему связи 5G и сохраняющую контекст безопасности оборудования UE.

Следует понимать, что термины «первый» и «второй» в настоящей заявке используются только для различения, и их не следует толковать как какие-либо ограничения для настоящей заявки. Например, названия первая функция AMF и вторая функция AMF используются просто для различения между разными функциями AMF.

Для того, чтобы способствовать пониманию способа получения контекста безопасности, предлагаемого в вариантах настоящей заявки, в последующем кратко описана, со ссылками на Фиг. 2, процедура, в ходе которой связь пользовательского устройства переключается из системы связи 4G в систему связи 5G. На Фиг. 2 представлена упрощенная логическая схема процесса переключения связи между системами связи. Эта упрощенная логическая схема содержит аппаратуру UE, узел MME, первую функцию AMF и вторую функцию AMF.

Процедура переключения между системами связи содержит следующие этапы.

S210: Узел MME передает сообщение запроса перемещения вперед (forward relocation request) в адрес первой функции AMF.

В частности, узел MME в системе связи 4G определяет, что происходит переключение связи пользовательского устройства из системы связи 4G в систему связи 5G, и ему необходимо выбрать, для оборудования UE, первую функцию AMF из системы связи 5G для продолжения предоставления сервиса управления доступом и мобильностью для оборудования UE. Когда UE обращается и получает доступ в систему связи 4G, эта UE и узел MME получают один и тот же ключ K_ASME. Когда связь UE переключается из системы связи 4G в систему связи 5G, узел MME выбирает первую функцию AMF и передает ключ K_ASME и параметр следующего скачка (next hop parameter, NH) в адрес первой функции AMF. Другими словами, сообщение запроса перемещения вперед несет такие параметры как ключ K_ASME и параметр NH.

В этом варианте настоящей заявки, способ, каким узел MME определяет переключение между системами, не ограничен. Подробности приведены в описании процедуры переключения связи из системы связи 4G в систему связи 5G в существующем протоколе. Например, базовая станция в системе связи 4G может передать запрос переключения узлу MME, так что этот узел MME определяет, что абонентской аппаратуре необходимо переключиться со связи в системе связи 4G на связь в системе 5G связи.

В дополнение к этому, в этом варианте настоящей заявки, способ, каким узел MME выбирает первую функцию AMF, не ограничен. Подробности приведены в описании существующего протокола. Например, узел MME сохраняет по меньшей мере одну функцию AMF, конфигурируемую оператором. Когда узел MME определяет, что необходимо переключить пользовательское устройство со связи в системе связи 4G на связь в системе связи 5G, этот узел MME выбирает первую функцию AMF из указанных по меньшей мере одной функции AMF.

S220: Первая функция AMF определяет отображенный (mapped) контекст безопасности.

В частности, первая функция AMF определяет отображенный контекст безопасности на основе таких параметров, как ключ K_ASME и параметр NH, переданных в принятом сообщении запроса перемещения. Отображенный контекст безопасности входит в отображенный контекст оборудования UE. Следует понимать, что отображенный контекст в настоящей заявке представляет собой контекст безопасности оборудования UE, определяемый первой функцией AMF и UE по отдельности на основе контекста, генерируемого посредством согласования между UE и узлом MME в системе связи 4G. Способ определения контекста безопасности оборудования UE на основе контекста системы связи 4G, приведен в спецификациях существующего протокола, так что эта процедура в настоящей заявке не ограничена. Отображенный контекст безопасности получают посредством первой функции AMF и оборудования UE по отдельности на основе контекста безопасности между узлом MME и рассматриваемой пользовательским устройством. В дополнение к этому, в настоящей заявке, контекст, согласованный между UE и узлом MME в системе связи 4G, содержит контекст безопасности между UE и узлом MME может также, для отличения, называться контекстом системы 4G для UE. Аналогично, в настоящей заявке, прежде чем UE переключится со связи в системе связи 4G на связь в системе связи 5G, контекст безопасности для этой UE, сохраняемый в аппаратуре UE и во второй функции AMF, представляет собой контекст, согласованный между UE и второй функцией AMF в системе связи 5G, содержит контекст безопасности между UE и функцией AMF, и может также, для отличения, называться контекстом системы 5G для UE.

Для облегчения описания, в последующем, контекст безопасности, получаемый первой функцией AMF и UE по отдельности посредством формирования на основе контекста безопасности между узлом MME и рассматриваемой пользовательским устройством, называется отображенным контекстом безопасности, и контекст безопасности между второй функцией AMF и UE называется первоначальным (native) контекстом безопасности.

Также следует понимать, что этот вариант настоящей заявки относится главным образом к передаче контекста безопасности UE посредством второй функции AMF в адрес первой функции AMF. Контекст безопасности UE представляет собой часть контекста UE и может быть передан вместе с контекстом этой UE. Поэтому для облегчения описания, в этом варианте настоящей заявки передача контекста безопасности UE посредством второй функции AMF в адрес первой функции AMF может быть описана как передача контекста UE или передача контекста безопасности UE. Это используется просто для облегчения описания и не составляет никаких ограничений для объема защиты вариантов настоящей заявки.

Процедура формирования первой функцией AMF отображенного контекста безопасности для UE на основе таких параметров, как ключ K_ASME и параметр NH, переданные в сообщении запроса перемещения, содержит формирование этой первой функцией AMF ключа K_AMF1 на основе ключа K_ASME и параметра NH.

Например, после приема ключа K_ASME и параметра NH, первая функция AMF может вычислить ключ K_AMF1 с использованием предварительно заданной формулы. Эта формула имеет вид: K_AMF1 = HMAC – SHA – 256 (Key, FC||P0||L0), где FC = 0x76, P0 = величине параметра NH, L0 = длине величины параметра NH (т.е. 0x00 0x20), и KEY = K_ASME. Первая функция AMF вычисляет ключ K_NASint1 защиты целостности и ключ K_NASenc1 защиты конфиденциальности на основе ключа K_AMF1 и алгоритма безопасности, согласованного с UE, где указанные ключи K_AMF1, K_NASint1 и K_NASenc1 входят в контекст безопасности оборудования UE. Ключи K_AMF1, K_NASint1 и K_NASenc1 формируют на основе ключа K_ASME и параметра NH, и ключ K_ASME и параметр NH являются контекстом безопасности между UE и узлом MME. Поэтому ключи K_AMF1, K_NASint1 и K_NASenc1 называются отображенным контекстом безопасности оборудования UE.

S230: Первая функция AMF передает сообщение ответа перемещения вперед (forward relocation response) узлу MME.

В частности, после определения отображенного контекста безопасности, первая функция AMF передает сообщение ответа перемещения вперед узлу MME. Это сообщение ответа перемещения вперед используется для извещения узла MME, что первая функция AMF может быть использована в качестве функции AMF, предоставляющей сервис управления доступом и мобильностью для оборудования UE в системе связи 5G, когда связь этого оборудования UE переключается из системы связи 4G в систему связи 5G.

S240: Узел MME передает сообщение с командой переключения связи (handover command) аппаратуре UE.

После приема сообщения ответа перемещения вперед, переданного первой функцией AMF, узел MME определяет, что первая функция AMF может предоставить сервис управления доступом и мобильностью для оборудования UE. В таком случае, узел MME передает сообщение с командой переключения связи аппаратуре UE, так что эта UE может определить, что она может переключиться от связи с системой связи 4G на связь с системой связи 5G.

S250: UE определяет отображенный контекст безопасности.

После приема сообщения с командой переключения связи UE вычисляет с использованием указанной заданной формулы, ключ K_AMF1 на основе ключа K_ASME и параметра NH, сохраняемых в этой аппаратуре UE. Для конкретной процедуры определения обратитесь к этапу S220 выше, так что подробности здесь повторно описаны не будут.

После этапа S250, UE и первая функция AMF получают один и тот же ключ K_AMF1, а этот ключ K_AMF1 может быть в последующем использован для формирования другого ключа.

Например, UE и первая функция AMF получают один и тот же ключ K_AMF1. Тогда, на основе этого ключа K_AMF1 и алгоритма защиты целостности слоя без доступа (non-access stratum, NAS) и алгоритма защиты конфиденциальности, согласованных между этой UE и первой функцией AMF, UE и первая функция AMF генерируют ключ K_NASint1 защиты целостности и ключ K_NASenc1 защиты конфиденциальности, используемые для защиты сообщения слоя NAS (например, сообщения запроса регистрации). В частности, ключ K_NASint1 и ключ K_NASenc1 вычисляют следующим образом:

K_NASint1 = HMAC – SHA – 256 (KEY, S), где S = FC||P0₁||L0₁||P1₁||L1₁, FC = 0x69, P0₁ = отличительный признак типа алгоритма (algorithm type distinguisher), L0₁ = длина отличительного признака типа алгоритма (length of algorithm type distinguisher) (т.е. 0x00 0x01), P1₁ = идентификатор алгоритма (algorithm identity), L1₁ = длина идентификатора алгоритма (length of algorithm identity) т.е. 0x00 0x01), and KEY = K_AMF1.

K_NASenc1 = HMAC – SHA – 256 (KEY, S), where S = FC||P0||L0||P1||L1, FC = 0x69, P0 = отличительный признак типа алгоритма, L0 = длина отличительного признака типа алгоритма т.е. 0x00 0x01), P1 = идентификатор алгоритма, L1 = длина идентификатора алгоритма (т.е. 0x00 0x01), и KEY = K_AMF1.

Отличительный признак типа алгоритма и идентификатор алгоритма для вычисления ключа K_NASint1 отличаются от соответствующих параметров для вычисления ключа K_NASenc1.

После завершения переключения связи, UE инициирует регистрацию мобильности, другими словами, выполняет этап S260. UE передает сообщение запроса регистрации (registration request) в адрес первой функции AMF, и эта UE осуществляет защиту безопасности этого сообщения запроса регистрации с использованием отображенного контекста безопасности, генерируемого посредством формирования на основе сформированного, как указано выше, ключа K_AMF1. Эта защита безопасности содержит криптографическую защиту и/или защиту целостности.

Следует понимать, что сообщение, направленное UE устройству опорной сети связи, может быть передано через устройство доступа в сеть связи. Поскольку функции устройства доступа в этом варианте настоящей заявки ничем не ограничены, это устройство доступа в сеть связи может передавать сообщение между UE и первой функцией AMF. Для краткости, в настоящей заявке передача сообщения между UE и первой функцией AMF описана как то, что UE передает сообщение запроса регистрации в адрес первой функции AMF и узел MME передает сообщение аппаратуре UE. Сообщение запроса регистрации, переданное UE, далее содержит глобально уникальный временный идентификатор пользовательского устройства (globally unique temporary user equipment identity, GUTI) в отображенном контексте, и этот идентификатор GUTI используется устройством доступа в сеть связи для определения, что следует передать указанное сообщение запроса регистрации в адрес первой функции AMF. Поскольку идентификатор GUTI входит в отображенный контекст, этот идентификатор GUTI может называться отображенным идентификатором GUTI.

В качестве опции, когда UE передает сообщение запроса регистрации в адрес первой функции AMF, эта UE сохраняет контекст безопасности UE, действующий между этой UE и другой функцией AMF (второй функцией AMF), и глобально уникальный временный идентификатор пользовательского устройства в системе связи 5G (5^th generation globally unique temporary user equipment identity, 5G-GUTI) для указанной пользовательского устройства. Поэтому, UE добавляет идентификатор 5G-GUTI к сообщению запроса регистрации.

Следует понимать, что этот вариант настоящей заявки относится главным образом к процедуре, в ходе которой первая функция AMF успешно получает контекст безопасности UE от второй функции AMF. Поэтому, в настоящей заявке, рассматривается главным образом следующий случай: Когда UE передает сообщение запроса регистрации в адрес первой функции AMF, эта UE сохраняет контекст безопасности UE, согласованный между этой UE и второй функцией AMF, равно как и идентификатор 5G-GUTI.

Далее следует понимать, что причина, по которой контекст безопасности и идентификатор 5G-GUTI UE сохраняют посредством этой UE и второй функции AMF, не ограничивается в этом варианте настоящей заявки, и может быть специфицирована в существующем протоколе. Например, прежде чем связь UE переключится из системы связи 4G в систему связи 5G, эта UE переключается из системы связи 5G в систему связи 4G. В качестве альтернативы, UE поддерживает доступ двойного соединения в систему связи 5G через соединение, не соответствующее стандартам группы 3GPP, и в то же время доступ в систему связи 4G через соединение согласно стандартам группы 3GPP. Таким образом, связь UE в соединенном режиме переключается из системы связи 4G в систему связи 5G.

Следует понимать, что когда контекст безопасности UE, действующий между второй функцией AMF и этой UE, существует в аппаратуре второй функции AMF, первой функции AMF необходимо получить контекст безопасности UE от второй функции AMF. В частности, первая функция AMF получает контекст безопасности UE от второй функции AMF, определяемой на основе идентификатора 5G-GUTI, передаваемого в сообщении запроса регистрации, принимаемом от UE. Идентификатор 5G-GUTI конфигурирован посредством второй функции AMF для UE и может быть использован для идентификации этой UE и второй функции AMF. Как специфицировано в протоколе, когда в системе связи 5G существует контекст безопасности UE, вместо отображенного контекста безопасности, определяемого посредством согласования между первой функцией AMF и этой UE, предпочтительно используют контекст безопасности UE, поскольку отображенный контекст безопасности, получают посредством отображения на основе контекста безопасности UE, действующего между UE и узлом MME в системе связи 4G. Другими словами, процедура, показанная на Фиг. 2, далее содержит этап S270, на котором первая функция AMF инициирует запрос привлечения сервиса передачи контекста пользовательского устройства (NAMF_Communication_UEContextTransfer).

В частности, первая функция AMF принимает сообщение запроса регистрации, переданное UE, и инициирует запрос привлечения сервиса передачи контекста пользовательского устройства в адрес второй функции AMF на основе идентификатора 5G-GUTI, передаваемого в сообщении запроса регистрации. Этот запрос привлечения сервиса передачи контекста пользовательского устройства несет сообщение запроса регистрации.

Следует понимать, что безопасность сообщения запроса регистрации защищена на основе отображенного контекста безопасности между UE и первой функцией AMF, а вторая функция AMF определяет, на основе результата удостоверения сообщения запроса регистрации, следует ли возвратить контекст безопасности UE в адрес первой функции AMF. Другими словами, выполняется этап S290. Вторая функция AMF удостоверяет это сообщение запроса регистрации.

В одном из возможных вариантов реализации, второй функции AMF не удается удостоверить сообщение запроса регистрации. В таком случае, эта вторая функция AMF не возвращает контекст безопасности UE в адрес первой функции AMF. Вследствие этого, первой функции AMF не удается получить контекст безопасности UE от второй функции AMF, и эта первая функция AMF не может предпочтительно использовать контекст безопасности UE. Это не соответствует протоколу.

В другом возможном варианте реализации вторая функция AMF успешно удостоверяет целостность сообщения запроса регистрации. В таком случае, вторая функция AMF возвращает контекст безопасности UE в адрес первой функции AMF и выполняет этап S291, в ходе которого вторая функция AMF передает контекст безопасности UE в адрес первой функции AMF. В качестве опции, то, что вторая функция AMF передает контекст безопасности UE в адрес первой функции AMF, может быть описано как то, что вторая функция AMF передает контекст UE в адрес первой функции AMF. Контекст UE представляет собой контекст безопасности UE, определяемый посредством согласования между второй функцией AMF и UE, и этот контекст безопасности UE содержит ключ K_AMF2, номер слоя без доступа (non-access stratum count, NAS COUNT) и другие подобные параметры.

В качестве опции, прежде передачи контекста безопасности UE, вторая функция AMF может осуществить формирование ключа на основе ключа K_AMF2 согласно локальной политике. Если вторая функция AMF сформировала ключ на основе ключа K_AMF2, эта вторая функция AMF передает, в адрес первой функции AMF, ключ K_AMF2', полученный после такого формирования, и информацию указания о формировании, используемую для указания, что вторая функция AMF осуществила формирование ключа на основе ключа K_AMF2.

В одном из возможных вариантов реализации, формирование ключа в настоящей заявке может представлять собой горизонтальное формирование ключа.

Например, способ горизонтального формирования ключа на основе ключа K_AMF2 для генерации ключа K_AMF2' выглядит следующим образом:

K_AMF2'=HMAC–SHA–256 (Key, S);

FC = 0x72;

P0 = 0x01;

L0 = длина P0 (i.e. 0x00 0x01);

P1 = номер NAS COUNT в восходящей линии;

L1 = длина P1 (т.е. 0x00 0x04);

KEY = K_AMF2;

S=FC||P0||L0||P1||L1.

В другом возможном варианте реализации, процедура формирования ключа в настоящей заявке может осуществляться в соответствии со способом формирования ключа, согласованным между разными сетевыми элементами. Например, первая функция AMF и вторая функция AMF согласуют между собой заданный способ формирования ключа. В предположении, что контекст безопасности UE, передаваемый от второй функции AMF в адрес первой функции AMF, содержит информацию указания о формировании, первая функция AMF может определить, что в принятом контексте безопасности UE вторая функция AMF получает ключ посредством формирования ключа в соответствии с заданным способом формирования ключа.

Аналогично, после приема этой информации указания о формировании, первая функция AMF также передает эту информацию указания о формировании аппаратуре UE, чтобы указать аппаратуре UE, что следует произвести формирование ключа на основе ключа K_AMF2 с целью получения ключа K_AMF2', так что UE и сетевая сторона согласуют между собой этот ключ. Следует понимать, что UE принимает идентификатор ключа, обозначающий ключ K_AMF2, и поэтому может определить, что следует выполнить формирование ключа на основе ключа K_AMF2 вместо ключа K_AMF. Совершенствование этого идентификатора ключа в настоящей заявке не производится. Поэтому идентификатор ключа здесь подробно рассмотрен не будет.

Из показанной на Фиг. 2 процедуры переключения связи пользовательского устройства от связи в системе связи 4G на связь в системе связи 5G можно определить, что когда вторая функция AMF не смогла верифицировать аппаратуру UE, первая функция AMF не может получить контекст безопасности UE от второй функции AMF. Чтобы избежать неудачи в получении контекста безопасности UE, один из вариантов настоящей заявки предлагает способ получения контекста безопасности. Когда первая функция AMF получает контекст безопасности UE от второй функции AMF, этот контекст безопасности несет информацию указания. Эта информация указания обозначает, что UE была успешно верифицирована. На основе этой информации указания, вторая функция AMF не нуждается в верификации UE, а напрямую возвращает контекст безопасности аппаратуре UE. Это может избежать возможности неудачи в получении контекста безопасности UE.

Следует понимать, что верификация UE в настоящей заявке означает удостоверение целостности сообщения запроса регистрации, переданного UE, например, расшифровку сообщения запроса регистрации и/или удостоверение целостности этого сообщения запроса регистрации. Поскольку предпосылкой того, что удостоверение целостности сообщения запроса регистрации будет успешным, в этом варианте настоящей заявки является факт успешной расшифровки сообщения запроса регистрации, тогда ситуация успешной верификации UE описана как тот факт, что удостоверение целостности сообщения запроса регистрации прошло успешно.

В дальнейшем, со ссылками на Фиг. 3, подробно описан способ получения контекста безопасности, предлагаемый в одном из вариантов настоящей заявки. На Фиг. 3 представлена упрощенная схема способа получения контекста безопасности согласно одному из вариантов настоящей заявки. Эта упрощенная схема содержит аппаратуру UE, узел MME, первую функцию AMF и вторую функцию AMF.

Этот способ получения контекста безопасности содержит следующие этапы.

S310: Первая функция AMF передает второе сообщение запроса в адрес второй функции AMF.

Второе сообщение запроса используется для требования получения контекста безопасности UE. Это второе сообщение запроса несет информацию указания, и эта информация указания используется для указания, что UE удостоверена.

В качестве опции, эта информация указания может называться величиной аргумента (value).

В частности, то, что первая функция AMF определяет, что UE удостоверена, является главным образом определением, удовлетворяет ли сообщение запроса регистрации, принятое от UE заданному условию. Следует понимать, что, прежде чем первая функция AMF передает второе сообщение запроса в адрес второй функции AMF, процедура способа, показанная на Фиг. 3, далее содержит этапы с S311 по S316.

S311: Узел MME передает сообщение запроса перемещения вперед в адрес первой функции AMF. Этот этап аналогичен этапу S210, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

S312: Первая функция AMF определяет отображенный контекст безопасности. Этот этап аналогичен этапу S220, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

S313: Первая функция AMF передает сообщение ответа перемещения вперед узлу MME. Этот этап аналогичен этапу S230, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

S314: Узел MME передает сообщение с командой переключения связи аппаратуре UE. Этот этап аналогичен этапу S240, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

S315: UE определяет отображенный контекст безопасности. Этот этап аналогичен этапу S250, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

S316: UE передает сообщение запроса регистрации в адрес первой функции AMF. Этот этап аналогичен этапу S260, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

Далее, процедура определения первой функцией AMF, что сообщение запроса регистрации удовлетворяет заданному условию, содержит:

первая функция AMF успешно удостоверяет защиту целостности сообщения запроса регистрации; или

первая функция AMF определяет, что рассматриваемое сообщение запроса регистрации представляет собой сообщение запроса регистрации, переданное UE после того как связь UE переключилась из системы связи 4G в систему связи 5G. Например, прежде приема сообщения запроса регистрации, переданного UE, первая функция AMF принимает сообщение запроса перемещения вперед, переданное узлом MME. Поэтому, первая функция AMF может определить, что принятое в текущий момент сообщение запроса регистрации представляет собой сообщение запроса регистрации, принятое от UE в ходе процедуры переключения.

В частности, то, что первая функция AMF успешно удостоверяет защиту целостности для сообщения запроса регистрации, можно также считать, что первая функция AMF успешно верифицирует аппаратуру UE. Другими словами, процедура способа, показанного на Фиг. 3, далее содержит этап S317, на котором первая функция AMF верифицирует аппаратуру UE.

В одном из возможных вариантов реализации, второе сообщение запроса представляет собой запрос привлечения сервиса передачи контекста пользовательского устройства (NAMF_Communication_UEContextTransfer), инициированный первой функцией AMF, показанной на Фиг. 2. В отличие от запроса привлечения сервиса передачи контекста пользовательского устройства, показанного на Фиг. 2, запрос привлечения сервиса передачи контекста пользовательского устройства в этом варианте настоящей заявки содержит вновь добавленный информационный элемент (information element, IE), а именно, информацию указания.

В другом возможном варианте реализации, второе сообщение запроса представляет собой другое возможное второе сообщение запроса, переданное первой функцией AMF в адрес второй функцией AMF и используемое для получения контекста безопасности UE.

Следует понимать, что конкретная форма второго сообщения запроса в настоящей заявке не ограничивается. Информация указания может быть добавлена к существующей сигнализации между первой функцией AMF и второй функцией AMF, или она может быть добавлена к вновь добавляемой сигнализации между первой функцией AMF и второй функцией AMF.

В другом возможном варианте реализации, в этом варианте настоящей заявки, это ограничено только тем, что первой функции AMF необходимо передать информацию указания в адрес второй функции AMF прежде передачи запроса привлечения сервиса передачи контекста пользовательского устройства в адрес второй функции AMF. Другими словами, первая функция AMF может передать информацию указания напрямую в адрес второй функции AMF, без добавления этой информации указания ко второму сообщению запроса. Этот возможный вариант реализации не показан на Фиг. 3.

Далее следует понимать, что способ, каким информация указания конкретно обозначает, что UE удостоверена, в настоящей заявке не ограничивается. В одном из возможных вариантов реализации, информация указания может представлять собой идентификатор 5G-GUTI UE. В таком случае, идентификатор 5G-GUTI может быть использован для идентификации UE и обозначения, что эта UE удостоверена. В этом варианте реализации к существующему элементу IE добавляют новую индикаторную функцию, и вторая функция AMF может быть извещена, заданным способом, что аппаратура с этим идентификатором 5G-GUTI имеет эту новую функцию. В другом возможном варианте реализации, информация указания может представлять собой по меньшей мере один вновь добавленный бит, и величину этого бита устанавливают равной 1, чтобы указать, что UE удостоверена. Приведенные выше возможные варианты реализации представляют собой всего лишь примеры для описания и не составляют никаких ограничений для объема защиты настоящей заявки.

В одном из возможных вариантов реализации, информация указания в явном виде обозначает, что UE удостоверена. В качестве альтернативы, в другом возможном варианте реализации, информация указания неявно обозначает, что UE удостоверена. Например, информация указания обозначает, что целостность сообщения запроса регистрации, принятой первой функцией AMF от UE успешно удостоверена.

Далее, чтобы позволить второй функции AMF определить, что первой функции AMF необходимо получить контекст безопасности UE, второе сообщение запроса далее должно содержать идентификатор этой UE.

В одном из возможных вариантов реализации, идентификатор UE может представлять собой приведенный выше идентификатор 5G-GUTI.

В другом возможном варианте реализации, идентификатор UE может представлять собой постоянный идентификатор абонента (subscriber permanent identity, SUPI).

Следует понимать, что, если первая функция AMF определяет, после приема идентификатора 5G-GUTI UE от этой UE, что необходимо получить контекст безопасности этой UE от второй функции AMF, эта первая функция AMF может выбирать, что следует добавить идентификатор 5G-GUTI этой UE, идентификатор SUPI этой UE, или оба идентификатора 5G-GUTI и SUPI UE ко второму сообщению запроса.

В качестве опции, чтобы позволить второй функции AMF получить номер слоя вне доступа в восходящей линии (uplink non-access stratum count, UL NAS COUNT) для рассматриваемой UE, в одном из возможных вариантов реализации, второе сообщение запроса несет незашифрованное сообщение запроса регистрации, где это незашифрованное сообщение запроса регистрации содержит номер UL NAS COUNT; или в одном из возможных вариантов реализации, второе сообщение запроса несет номер UL NAS COUNT.

Далее, после приема второго сообщения запроса, переданного первой функцией AMF, вторая функция AMF определяет, на основе информации указания, что рассматриваемая UE удостоверена. В таком случае, второй функции AMF нет необходимости верифицировать эту аппаратуру UE, другими словами, эта функция выполняет этап S320, на котором эта вторая функция AMF определяет, что аппаратуру UE верифицировать не нужно.

S330: Вторая функция AMF передает второе сообщение ответа в адрес первой функции AMF.

Это второе сообщение ответа несет контекст безопасности UE.

В этом варианте настоящей заявки, второй функции AMF нет необходимости верифицировать рассматриваемую аппаратуру UE. После приема второго сообщения запроса, переданного первой функцией AMF, вторая функция AMF напрямую возвращает контекст безопасности этой UE в адрес первой функции AMF. Это позволяет избежать случая, в котором первой функции AMF не удается получить контекст безопасности UE, поскольку второй функции AMF не удалось верифицировать рассматриваемую аппаратуру UE.

В качестве опции, когда второе сообщение запроса несет незашифрованное сообщение запроса регистрации, или это второе сообщение запроса несет номер UL NAS COUNT, вторая функция AMF может получить этот номер UL NAS COUNT. Например, поскольку незашифрованное сообщение запроса регистрации представляет собой сообщение запроса регистрации, к которому не применена защита безопасности, второй функции AMF не нужно удостоверять это незашифрованное сообщение запроса регистрации, так что она может напрямую получить номер UL NAS COUNT из незашифрованного сообщения запроса регистрации.

Далее, вторая функция AMF может осуществить формирование ключа на основе первого ключа в контексте безопасности рассматриваемой UE на основе указанного номера UL NAS COUNT. В таком случае, ключ в контексте безопасности UE, возвращенном второй функцией AMF в адрес первой функции AMF, представляет собой второй ключ, полученный в результате формирования ключа на основе первого ключа.

В частности, когда ключ в контексте безопасности UE, переданном второй функцией AMF в адрес первой функции AMF представляет собой второй ключ, второй функции AMF далее необходимо передать информацию указания о формировании ключа в адрес первой функции AMF, для указания, что второй ключ представляет собой ключ, полученный в результате формирования ключа.

Следует понимать, что процедура, осуществляемая после того, как первая функция AMF получит контекст безопасности рассматриваемой UE, аналогична процедуре, выполняемой после того, как эта первая функция AMF получит контекст безопасности UE, в рамках существующей процедуры переключения связи UE из системы связи 4G в систему связи 5G. Подробности приведены в описании существующей процедуры. Подробности здесь повторно описаны не будут.

Согласно способу получения контекста безопасности, показанному на Фиг. 3, второе сообщение запроса, передаваемое первой функцией AMF в адрес второй функции AMF, несет информацию указания, и эта информация указания используется для указания, что рассматриваемая UE удостоверена. Поэтому, вторая функция AMF может определить, на основе информации указания, что рассматриваемая UE удостоверена, и что нет необходимости верифицировать эту аппаратуру UE. После приема второго сообщения запроса, несущего информацию указания, вторая функция AMF напрямую возвращает контекст безопасности рассматриваемой UE в адрес первой функции AMF. Это позволяет избежать случая, в котором первой функции AMF не удалось получить контекст безопасности UE, поскольку вторая функция AMF не смогла верифицировать аппаратуру UE. Настоящая заявка далее предлагает другой способ получения контекста безопасности, согласно которому вторая функция AMF верифицирует аппаратуру UE. Однако этот способ может увеличить вероятность того, что вторая функция AMF успешно верифицирует аппаратуру UE, повышая тем самым вероятность того, что первая функция AMF успешно получит контекст безопасности пользовательского устройства от второй функции AMF.

В последующем этот способ получения контекста безопасности описан подробно со ссылками на Фиг. 4. На этом Фиг. 4 представлена упрощенная схема другого способа получения контекста безопасности согласно одному из вариантов настоящей заявки. Эта структурная схема содержит аппаратуру UE, узел MME, первую функцию AMF и вторую функцию AMF.

Этот способ получения контекста безопасности содержит следующие этапы.

S410: UE определяет первое сообщение запроса регистрации.

Это первое сообщение запроса регистрации несет второе сообщение запроса регистрации. Целостность этого второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, и этот первый контекст безопасности представляет собой первоначальный (native) контекст безопасности между рассматриваемой UE и второй функцией AMF.

В частности, определение UE первого сообщения запроса регистрации представляет собой главным образом определение второго сообщения запроса регистрации. Это второе сообщение запроса регистрации представляет собой сообщение, получаемое после того, как рассматриваемая UE произведет защиту целостности четвертого сообщения запроса регистрации с использованием первоначального контекста безопасности. Это четвертое сообщение запроса регистрации содержит идентификатор GUTI, информацию идентификатора ключа (ngKSI) и номер UL NAS COUNT, входящие в состав контекста аппаратур UE, действующего между этой UE и второй функцией AMF. Для облегчения различения, идентификатор GUTI может называться первоначальным (собственным) идентификатором GUTI, а идентификатор ключа может называться первоначальным (собственным) идентификатором ключа.

В качестве опции, четвертое сообщение запроса регистрации может иметь ряд следующих возможных случаев:

Случай 1:

Четвертое сообщение запроса регистрации представляет собой сообщение, генерируемое UE на основе первоначального (собственного) идентификатора GUTI, первоначального (собственного) идентификатора ключа и номера UL NAS COUNT. В Случае 1, четвертое сообщение запроса регистрации может также называться четвертым сообщением или может иметь другое возможное название. Название этого сообщения не ограничивается в этом варианте настоящей заявки.

Следует понимать, что четвертое сообщение запроса регистрации, генерируемое UE на основе контекста UE, действующего между этой UE и второй функцией AMF, может в качестве альтернативы иметь другую форму. Например, в дополнение к первоначальному (собственному) идентификатору GUTI, первоначальному (собственному) идентификатору ключа и номеру UL NAS COUNT, четвертое сообщение запроса регистрации, генерируемое рассматриваемой UE, далее содержит другой информационный элемент (information element, IE).

В Случае 1, процедура осуществления UE защиты целостности четвертого сообщения запроса регистрации на основе первого контекста безопасности содержит: UE осуществляет защиту целостности четвертого сообщения запроса регистрации на основе первого контекста безопасности и генерирует первый параметр MAC. Поэтому передачу второго сообщения запроса регистрации в первом сообщении запроса регистрации можно также понимать как передачу первого параметра MAC и четвертого сообщения запроса регистрации в первом сообщении запроса регистрации.

Далее, в Случае 1, процедура определения UE первого сообщения запроса регистрации содержит:

Этап 1:

UE конструирует четвертое сообщение запроса регистрации.

Этап 2:

UE осуществляет защиту целостности четвертого сообщения запроса регистрации на основе контекста безопасности между этой UE и второй функции AMF, и генерирует первый параметр MAC.

Этап 3:

UE осуществляет защиту целостности третьего сообщения запроса регистрации и второго сообщения запроса регистрации (RR2) на основе отображенного контекста безопасности между этой UE и первой функцией AMF и генерирует пятый параметр MAC. Это третье сообщение запроса регистрации представляет собой сообщение запроса регистрации, передаваемое UE в адрес первой функции AMF согласно этапу S260 процедуры способа, показанному на Фиг. 2. В частности, третье сообщение запроса регистрации содержит идентификатор GUTI и информацию идентификатора ключа, входящие в отображенный контекст между рассматриваемой UE и первой функцией AMF. Для облегчения различения, этот идентификатор GUTI может называться отображенным идентификатором GUTI, идентификатор ключа может называться отображенным идентификатором ключа.

В таком случае, первое сообщение запроса регистрации содержит четвертое сообщение запроса регистрации (RR4), третье сообщение запроса регистрации (RR3), пятый MAC-параметр (MAC5) и первый параметр MAC (MAC1). Параметр MAC1 имеет величину, получаемую в результате осуществления защиты целостности сообщения RR4 с использованием первоначального (собственного) контекста безопасности. Параметр MAC5 имеет величину, получаемую в результате осуществления защиты целостности сообщений RR3 и RR2 с использованием отображенного контекста безопасности (или параметр MAC5 имеет величину, получаемую в результате осуществления защиты целостности сообщений RR3, RR4 и параметра MAC1 с использованием отображенного контекста безопасности). Это можно также понимать, что первое сообщение запроса регистрации представляет собой сообщение, защиту целостности которого осуществляют последовательно на основе первоначального (собственного) контекста безопасности и отображенного контекста безопасности.

Случай 2:

Четвертое сообщение запроса регистрации представляет собой сообщение запроса регистрации, получаемое после того, как UE осуществит защиту целостности третьего сообщения запроса регистрации на основе отображенного контекста безопасности.

В Случае 2, процедура осуществления UE защиты целостности четвертого сообщение запроса регистрации на основе первого контекста безопасности содержит: UE осуществляет защиту целостности четвертого сообщения запроса регистрации на основе первого контекста безопасности, и генерирует первый параметр MAC. Поэтому передачу второго сообщения запроса регистрации в первом сообщении запроса регистрации можно также понимать как передачу первого параметра MAC и четвертого сообщения запроса регистрации в первом сообщении запроса регистрации.

Далее, в Случае 2, процедура определения UE первого сообщения запроса регистрации содержит следующие этапы:

Этап 1:

UE осуществляет защиту целостности третьего сообщения запроса регистрации на основе отображенного контекста безопасности между этой UE и первой функцией AMF, и генерирует параметр MAC.

Этап 2:

UE осуществляет, на основе первоначального (собственного) контекста безопасности между этой UE и второй функцией AMF, защиту целостности третьего сообщения запроса регистрации, защиту целостности которого осуществляют на основе отображенного контекста безопасности на этапе 1, и генерирует параметр MAC.

В таком случае, первое сообщение запроса регистрации содержит третье сообщение запроса регистрации (RR3), третий параметр MAC (MAC3) и первый параметр MAC (MAC1). Параметр MAC3 имеет величину, получаемую в результате осуществления защиты целостности сообщения RR3 с использованием отображенного контекста безопасности. Параметр MAC1 имеет величину, получаемую в результате осуществления защиты целостности сообщения RR3 и параметра MAC3 с использованием первоначального (собственного) контекста безопасности. Можно также понимать, что первое сообщение запроса регистрации представляет собой сообщение, защиту целостности которого осуществляют последовательно на основе отображенного контекста безопасности и первоначального (собственного) контекст безопасности.

Случай 3:

Четвертое сообщение запроса регистрации представляет собой третье сообщение запроса регистрации. Третье сообщение запроса регистрации представляет собой сообщение запроса регистрации, переданное UE в адрес первой функции AMF на этапе S260 процедуры способа, показанной на Фиг. 2.

В Случае 2, процедура защиты UE целостности четвертого сообщения запроса регистрации на основе первого контекста безопасности содержит: UE осуществляет защиту целостности четвертого сообщения запроса регистрации на основе первого контекста безопасности, и генерирует первый параметр MAC. Поэтому, передачу второго сообщения запроса регистрации в первом сообщении запроса регистрации можно также понимать как передачу первого параметра MAC и четвертого сообщения запроса регистрации в первом сообщении запроса регистрации.

Далее, в Случае 3, процедура определения UE первого сообщения запроса регистрации содержит следующие этапы:

Этап 1:

UE осуществляет защиту целостности третьего сообщения запроса регистрации на основе первоначального (собственного) контекста безопасности между рассматриваемой UE и второй функцией AMF, и генерирует первый параметр MAC.

Этап 2:

UE осуществляет, на основе отображенного контекста безопасности между этой UE и первой функцией AMF, защиту целостности третьего сообщение запроса регистрации, где эта защиты целостности осуществляется на основе первоначального (собственного) контекста безопасности на этапе 1, и генерирует четвертый параметр MAC.

В таком случае, указанное первое сообщение запроса регистрации содержит третье сообщение запроса регистрации (RR3), первый параметр MAC (MAC1) и четвертый параметр MAC (MAC4). Параметр MAC1 имеет величину, полученную в результате осуществления защиты целостности сообщения RR3 с использованием первоначального (собственного) контекста безопасности. Параметр MAC4 имеет величину, полученную в результате осуществления защиты целостности сообщения RR3 и параметра MAC1 с использованием отображенного контекста безопасности. Можно также понимать, что первое сообщение запроса регистрации представляет собой сообщение, защита целостности которого осуществляется последовательно на основе первоначального (собственного) контекста безопасности и отображенного контекста безопасности.

Следует понимать, что, в Случае 1, первая функция AMF может определить, на основе отображенного идентификатора GUITI и первоначального (собственного) идентификатора GUTI, передаваемых в первом сообщении запроса регистрации, направляемом рассматриваемой UE, что следует передать второе сообщение запроса регистрации, целостность которого защищена с использованием первоначального (собственного) контекста безопасности, в адрес второй функции AMF.

Далее следует понимать, что приведенные выше случаи от Случая 1 по Случай 3 являются просто примерами для описания возможных случаев второго сообщения запроса регистрации и того, как UE определяет первое сообщение запроса регистрации. Другие неописываемые здесь возможные формы второго запроса регистрации также попадают в объем защиты настоящей заявки. Например, четвертое сообщение запроса регистрации представляет собой другое возможное сообщение, построенное UE на основе первоначального (собственного) контекста.

S420: UE передает первое сообщение запроса регистрации в адрес первой функции AMF.

В частности, UE передает первое сообщение запроса регистрации, определяемое на этапе S410, в адрес первой функции AMF.

Следует понимать, что первое сообщение запроса регистрации, переданное UE в адрес первой функции AMF, может быть передано далее устройством доступа в сеть связи. Функции устройства доступа в сеть связи в настоящей заявке не ограничиваются. Поэтому процедура возможной передачи устройством доступа в сеть связи далее первого сообщения запроса регистрации, переданного UE в адрес первой функции AMF, прямо описана как передача этой UE первого сообщения запроса регистрации в адрес первой функции AMF.

Далее следует понимать, что прежде чем UE передает первое сообщение запроса регистрации в адрес первой функции AMF, этой аппаратуре UE необходимо определить отображенный контекст безопасности. Поэтому, прежде чем UE передаст первое сообщение запроса регистрации в адрес первой функции AMF, процедура способа, показанная на Фиг. 4, далее содержит этапы с S411 по S414.

S411: Узел MME передает сообщение запроса перемещения вперед в адрес первой функции AMF. Этот этап аналогичен этапу S210, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

S412: Первая функция AMF определяет отображенный контекст безопасности. Этот этап аналогичен этапу S220, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

S413: Первая функция AMF передает сообщение ответа перемещения вперед узлу MME. Этот этап аналогичен этапу S230, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

S414: Узел MME передает сообщение с командой переключения связи аппаратуре UE. Этот этап аналогичен этапу S240, показанному на Фиг. 2, а подробности здесь повторно описаны не будут.

В частности, после приема сообщения с командой переключения связи, UE формирует отображенный контекст безопасности. Далее, эта UE осуществляет защиту безопасности первого сообщения запроса регистрации с использованием первоначального (собственного) контекста безопасности и отображенного контекста безопасности.

S430: Первая функция AMF верифицирует аппаратуру UE.

В частности, процедура определения, посредством первой функции AMF, что рассматриваемая UE удостоверена, представляет собой главным образом определение, удовлетворяет ли первое сообщение запроса регистрации, принятое от UE, заданному условию. Процедура определения первой функцией AMF, что первое сообщение запроса регистрации удовлетворяет заданному условию, содержит:

первая функция AMF успешно удостоверяет защиту целостности для первого сообщения запроса регистрации на основе отображенного контекста безопасности; или

эта первая функция AMF определяет, что первое сообщение запроса регистрации представляет собой сообщение запроса регистрации, переданное UE после того, как связь этой UE переключится от связи в системе связи 4G к связи в системе связи 5G. Например, прежде приема первого сообщения запроса регистрации, переданного UE, первая функция AMF принимает сообщение запроса перемещения вперед, переданное узлом MME. Поэтому, первая функция AMF может определить, что принимаемое в текущий момент первое сообщение запроса регистрации представляет собой сообщение запроса регистрации, принятое от рассматриваемой UE в ходе процедуры переключения связи.

После верификации, что UE удостоверена, первая функция AMF передает второе сообщение запроса регистрации в адрес второй функции AMF, где это второе сообщение запроса регистрации используется второй функцией AMF для верификации UE. Другими словами, процедура способа, показанная на Фиг. 4, далее содержит этап S440, на котором первая функция AMF передает второе сообщение запроса в адрес второй функции AMF.

В качестве опции, это второе сообщение запроса регистрации входит в первое сообщение запроса и первая функция AMF передает его в адрес второй функции AMF.

В одном из возможных вариантов реализации, первое сообщение запроса представляет собой запрос привлечения сервиса передачи контекста пользовательского устройства (NAMF_Communication_UEContextTransfer), инициированный первой функцией AMF, показанной на Фиг. 2. В отличие от запроса привлечения сервиса передачи контекста пользовательского устройства, показанного на Фиг. 2, запрос привлечения сервиса передачи контекста пользовательского устройства в этом варианте настоящей заявки содержит вновь добавленный информационный элемент, а именно, первый параметр MAC.

В другом возможном варианте реализации, первое сообщение запроса представляет собой другое возможное первое сообщение запроса, передаваемое первой функцией AMF в адрес второй функции AMF и используемое для получения контекста безопасности UE.

Следует понимать, что конкретная форма первого сообщения запроса в настоящей заявке не ограничивается. Первый параметр MAC может быть добавлен к существующей сигнализации между первой функцией AMF и второй функцией AMF, или может быть добавлен к сигнализации, вновь добавляемой между первой функцией AMF и второй функцией AMF.

Далее, чтобы позволить второй функции AMF определить, что первой функции AMF необходимо получить контекст безопасности рассматриваемой UE, это первое сообщение запроса далее несет идентификатор UE. В частности, идентификатор этой UE включают во второе сообщение запроса регистрации, передаваемые первой функцией AMF в адрес второй функции AMF.

В одном из возможных вариантов реализации, идентификатор UE может представлять собой отображенный идентификатор GUTI.

В одном из возможных вариантов реализации, идентификатор UE может представлять собой первоначальный (собственный) идентификатор GUTI.

В другом возможном варианте реализации, идентификатор UE может представлять собой идентификатор SUPI.

Следует понимать, что, если первая функция AMF определит, после приема отображенного идентификатора GUTI UE от этой UE, что контекст безопасности указанной UE необходимо получить от второй функции AMF, первая функция AMF может выбрать, что следует продолжить добавление отображенного идентификатора GUTI UE, идентификатора SUPI этой UE, или обоих идентификаторов – отображенного идентификатора GUTI и идентификатора SUPI рассматриваемой UE к первому сообщению запроса.

Далее следует понимать, что когда первое сообщение запроса регистрации, принимаемое первой функцией AMF, представляет собой первое сообщение запроса регистрации, показанное для Случая 1 на этапе S410, это первое сообщение запроса регистрации несет второе сообщение запроса регистрации, и это второе сообщение запроса регистрации содержит первоначальный (собственный) идентификатор GUTI. В таком случае, первая функция AMF может выбрать, что следует добавить этот первоначальный (собственный) идентификатор GUTI рассматриваемой UE в первое сообщение запроса.

Далее, это второе сообщение запроса регистрации содержит номер UL NAS COUNT рассматриваемой UE, так что вторая функция AMF может получить номер UL NAS COUNT указанной UE.

Далее, после приема первого сообщения запроса, переданного первой функцией AMF, вторая функция AMF определяет, на основе результата удостоверения целостности второго сообщения запроса регистрации, удостоверена ли рассматриваемая UE. Более конкретно, вторая функция AMF выполняет этап S450, другими словами, удостоверяет целостность второго сообщения запроса регистрации.

Вторая функция AMF удостоверяет целостность второго сообщения запроса регистрации на основе контекста безопасности между этой второй функцией AMF и пользовательским устройством. Например, вторая функция AMF генерирует второй параметр MAC на основе первоначально сохраненного (у себя) контекста безопасности, и сравнивает первый параметр MAC со вторым параметром MAC. Когда первый параметр MAC равен второму параметру MAC, вторая функция AMF успешно верифицирует аппаратуру UE и определяет, что эта UE удостоверена. В таком случае, вторая функция AMF передает контекст безопасности указанной UE в адрес первой функции AMF.

Следует понимать, что первый параметр MAC представляет собой параметр MAC, генерируемый UE на основе контекста безопасности рассматриваемой UE, согласованного между этой UE и второй функцией AMF, и второй параметр MAC представляет собой параметр MAC, генерируемый второй функцией AMF на основе контекста безопасности этой UE, согласованного между этой UE и второй функцией AMF. Поэтому имеется высокая вероятность того, что первый параметр MAC равен второму параметру MAC. В таком случае, вторая функция AMF может успешно верифицировать аппаратуру UE, и возвращает контекст безопасности этой UE в адрес первой функции AMF, за исключением ситуации, когда второй функции AMF не удалось верифицировать аппаратуру UE из-за маловероятного события, такого как ошибка передачи. По сравнению с процедурой способа, показанной на Фиг. 2, способ получения контекста безопасности, показанный на Фиг. 4, повышает вероятность того, что первая функция AMF успешно получает контекст безопасности пользовательского устройства от второй функции AMF.

После успешного удостоверения целостности второго сообщения запроса регистрации, вторая функция AMF выполняет этап S460, другими словами, передает контекст безопасности UE пользователя в адрес первой функции AMF.

В качестве опции, контекст безопасности UE передают в первом сообщении ответа.

Далее, если контекст безопасности UE включен в контекст UE, вторая функция AMF может передать этот контекст UE в адрес первой функции AMF.

В качестве опции, вторая функция AMF может осуществить формирование ключа на основе первого ключа из контекста безопасности UE на основе номера UL NAS COUNT. В таком случае, ключ в контексте безопасности UE, возвращаемый второй функцией AMF в адрес первой функции AMF, представляет собой второй ключ, получаемый в результате формирования ключа на основе первого ключа. В этом варианте настоящей заявки, контекст безопасности UE, в который входит второй ключ, генерируемый посредством процедуры формирования ключа, может называться вторым контекстом безопасности. Другими словами, контекст безопасности UE, переданный второй функцией AMF в адрес первой функции AMF, может не подвергаться операции формирования ключа, может представлять собой контекст безопасности UE, действующий между второй функцией AMF и этой UE и сохраняемой первоначально (у себя) в аппаратуре второй функции AMF, или может представлять собой второй контекст безопасности, когда вторая функция AMF осуществляет, в соответствии с локальной политикой, формирование ключа на основе ключа из сохраняемого у себя (первоначально) контекста безопасности UE, действующего между второй функцией AMF и рассматриваемой UE, с целью генерации сформированного ключа.

В частности, когда ключ в контексте безопасности UE, переданном второй функцией AMF в адрес первой функции AMF, является вторым ключом, этой второй функции AMF далее необходимо передать информацию указания формирования ключа в адрес первой функции AMF, чтобы обозначить, что указанный второй ключ является ключом, полученным посредством формирования ключа.

Следует понимать, что процедура после того, как первая функция AMF получит контекст безопасности UE, аналогична процедуре, осуществляемой после того, как эта первая функция AMF получит контекст безопасности UE, в существующей процедуре переключения связи UE от связи в системе связи 4G на связь в системе связи 5G. Подробности приведены в описании существующей процедуры. Подробности здесь повторно описаны не будут.

Например, UE и первая функция AMF последовательно согласуют использование первоначального (собственного) контекста безопасности. В частности, первая функция AMF передает сообщение с командой режима безопасности слоя без доступа (non-access stratum security mode command (non-access layer secure mode command, NAS SMC)) аппаратуре UE, а эта UE удостоверяет целостность принятого сообщения NAS SMC. После того, как UE успешно удостоверила команду NAS SMC, эта UE передает сообщение завершения режима безопасности для слоя без доступа (non-access layer security mode complete) в адрес первой функции AMF.

В одном из возможных вариантов реализации, когда второй функции AMF не удается удостоверить целостность второго сообщения запроса регистрации, эта вторая функция AMF передает информацию указания о неудаче в адрес первой функции AMF, чтобы известить первую функцию AMF, что второй функции AMF не удалось удостоверить целостность второго сообщения запроса регистрации.

Далее, после того, как первая функция AMF примет информацию указания о неудаче, указывающую, что второй функции AMF не удалось удостоверить целостность второго сообщения запроса регистрации, первая функция AMF определяет, в соответствии с локальной политикой, что эта первая функция AMF может продолжать использовать отображенный контекст безопасности, или эта первая функция AMF определяет, что следует инициировать первоначальную аутентификацию для UE в соответствии с локальной политикой, и генерирует новый контекст безопасности между этой первой функцией AMF и рассматриваемой UE.

Следует понимать, что последовательные номера приведенных выше процессов не означают последовательности их выполнения в приведенных выше вариантах способа. Последовательности выполнения этих процессов следует определять на основе функций и внутренней логики процессов и их не следует толковать в качестве каких-либо ограничений для реализации этих процессов согласно вариантам настоящей заявки.

Способы получения контекста безопасности согласно вариантам настоящей заявки описаны выше подробно со ссылками на Фиг. 3 и Фиг. 4. В последующем подробно описана аппаратура для получения контекста безопасности согласно вариантам настоящей заявки со ссылками на Фиг. 5 – Фиг. 10.

На Фиг. 5 представлена упрощенная схема устройство 50 для получения контекста безопасности согласно настоящей заявке. Как показано на Фиг. 5, устройство 50 содержит передающий модуль 510, процессорный модуль 520 и приемный модуль 530.

Передающий модуль 510 конфигурирован для передачи первого сообщения запроса регистрации в адрес первой функции AMF.

Процессорный модуль 520 конфигурирован для определения первого сообщения запроса регистрации.

Приемный модуль 530 конфигурирован для приема сообщения с командой переключения связи, переданного узлом MME.

Устройство 50 полностью соответствует абонентской аппаратуре согласно вариантам способа. Эта устройство 50 может представлять собой пользовательское устройство согласно вариантам способа, либо кристалл (чип) интегральной схемы или функциональный модуль внутри пользовательского устройства согласно вариантам способа. Соответствующие модули устройство 50 конфигурированы для осуществления соответствующих этапов, выполняемых пользовательским устройством согласно вариантам способа, показанным на Фиг. 3 и Фиг. 4.

Передающий модуль 510 устройство 50 осуществляет этап передачи, выполняемый пользовательским устройством согласно вариантам способа. Например, передающий модуль 510 осуществляет этап S316 передачи сообщения запроса регистрации в адрес первой функции AMF, показанный на Фиг. 3, и этап S420 передачи первого сообщения запроса регистрации в адрес первой функции AMF, показанный на Фиг. 4.

Процессорный модуль 520 осуществляет этап, реализуемый или обрабатываемый внутри пользовательского устройства согласно вариантам способа. Например, процессорный модуль 520 осуществляет этап S315 определения отображенного контекста безопасности, показанный на Фиг. 3, и этап S410 определения первого сообщения запроса регистрации, показанный на Фиг. 4.

Приемный модуль 530 осуществляет этап, выполняемый пользовательским устройством согласно вариантам способа. Например, приемный модуль 530 осуществляет показанный на Фиг. 3 этап S314 приема сообщения с командой переключения связи, передаваемого узлом MME, и показанный на Фиг. 4 этап S414 приема сообщения с командой переключения связи, передаваемого узлом MME.

Передающий модуль 510 и приемный модуль 530, показанные в аппаратуре 50, могут составить приемопередающий модуль, имеющий и функции приема, и функции передачи сигналов и данных. Процессорный модуль 520 может представлять собой процессор. Передающий модуль 510 может представлять собой передатчик, и приемный модуль 530 может представлять собой приемник.

На Фиг. 6 представлена упрощенная структурная схема пользовательского устройства 60, применимой в вариантах настоящей заявки. Эта пользовательское устройство 60 может быть применена в системе, показанной на Фиг. 1. Для облегчения описания, Фиг. 6 показывает только главные компоненты пользовательского устройства. Как показано на Фиг. 6, пользовательское устройство 60 содержит процессор (соответствующий процессорному модулю 520, показанному на Фиг. 5), запоминающее устройство, съему управления, антенну и аппаратуру ввода/вывода (соответствующие передающему модулю 510 и приемному модулю 530, показанным на Фиг. 5). Процессор конфигурирован для управления антенной и аппаратурой ввода/вывода для передачи и приема сигнала. Запоминающее устройство конфигурировано для сохранения компьютерной программы. Процессор конфигурирован для вызова компьютерной программы из запоминающего устройства и выполнения этой компьютерной программы с целью осуществления соответствующей процедуры и/или операции, выполняемой пользовательским устройством согласно способам получения контекста безопасности, предлагаемым в настоящей заявке. Подробности здесь повторно описаны не будут.

Специалист в рассматриваемой области может понимать, что, для облегчения описания, Фиг. 6 показывает только одно запоминающее устройство и только один процессор. Фактическая пользовательское устройство может содержать несколько процессоров и несколько запоминающих устройств. Запоминающее устройство может называться носителем для хранения информация, устройством для хранения информации или другим подобным способом. В этом варианте настоящей заявки это не ограничивается.

На Фиг. 7 представлена упрощенная схема устройства 70 для получения контекста безопасности согласно настоящей заявке. Как показано на Фиг. 7, устройство 70 содержит приемный модуль 710, процессорный модуль 720 и передающий модуль 730.

Приемный модуль 710 конфигурирован для приема первого сообщения запроса регистрации, переданного пользовательским устройством, где это первое сообщения запроса регистрации несет второе сообщение запроса регистрации, целостность этого второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, этот первый контекст безопасности представляет собой первоначальный (собственный) контекст безопасности между рассматриваемой пользовательским устройством и второй функцией AMF, и указанная первая функция AMF представляет собой функцию AMF, предоставляющую сервис управления доступом и мобильностью для пользовательского устройства после того, как эта пользовательское устройство переключается со связи в системе связи 4G на связь в системе связи 5G.

Процессорный модуль 720 конфигурирован для определения отображенного контекста безопасности.

Передающий модуль 730 конфигурирован для передачи второго сообщения запроса регистрации в адрес второй функции AMF.

Устройство 70 полностью соответствует первой функции AMF согласно вариантам способа. Устройство 70 может представлять собой первую функцию AMF согласно вариантам способа, либо кристалл (чип) или функциональный модуль внутри первой функции AMF согласно вариантам способа. Соответствующие модули устройства 70 конфигурированы для осуществления соответствующих этапов, выполняемых первой функцией AMF согласно вариантам способа, показанным на Фиг. 3 и Фиг. 4.

Приемный модуль 710 устройства 70 осуществляет этап приема, выполняемый первой функцией AMF согласно вариантам способа. Например, приемный модуль 710 выполняет показанный на Фиг. 3 этап S311 приема сообщения запроса перемещения вперед, переданного узлом MME, показанный на Фиг. 4 этап S411 приема сообщения запроса перемещения вперед, переданного узлом MME, показанный на Фиг. 3 этап S316 приема сообщения запроса регистрации, переданного UE, показанный на Фиг. 4 этап S420 приема первого сообщения запроса регистрации, переданного UE, показанный на Фиг. 3, этап S330 приема второго сообщения ответа, переданного второй функцией AMF, и показанный на Фиг. 4 этап S460 приема контекста безопасности UE, переданного второй функцией AMF.

Процессорный модуль 720 осуществляет этап, реализуемый или обрабатываемый внутри первой функции AMF согласно вариантам способа. Например, процессорный модуль 720 осуществляет показанный на Фиг. 3 этап S312 определения отображенного контекста безопасности, показанный на Фиг. 4 этап S412 определения отображенного контекста безопасности, показанный на Фиг. 3 этап S317 верификации UE, и показанный на Фиг. 4 этап S430 верификации UE.

Передающий модуль 730 осуществляет этап передачи, выполняемый первой функцией AMF, согласно вариантам способа. Например, передающий модуль 730 осуществляет показанный на Фиг. 3 этап S313 передачи сообщения ответа перемещения вперед узлу MME, показанный на Фиг. 4 этап S413 передачи сообщения ответа перемещения вперед узлу MME, показанный на Фиг. 3 этап S310 передачи второго сообщения запроса в адрес второй функции AMF, и показанный на Фиг. 4 этап S440 передачи второго сообщения запроса в адрес второй функции AMF.

Приемный модуль 710 и передающий модуль 730 могут составлять приемопередающий модуль, имеющий функции и передачи, и приема. Процессорный модуль 720 может представлять собой процессор. Передающий модуль 730 может представлять собой передатчик. Приемный модуль 710 может представлять собой приемник. Эти приемник и передатчик могут быть интегрированы один с другим и составлять приемопередатчик.

Как показано на Фиг. 8, один из вариантов настоящей заявки дополнительно обеспечивает устройство первой функции AMF 80. Эта первая функция AMF 80 содержит процессор 810, запоминающее устройство 820 и приемопередатчик 830. Запоминающее устройство 820 сохраняет команды или программу, а процессор 830 конфигурирован для выполнения команд или программы, сохраняемых в запоминающем устройстве 820. При выполнении команд или программы, сохраняемых в запоминающем устройстве 820, приемопередатчик 830 конфигурирован для осуществления операций, выполняемых приемным модулем 710 и передающим модулем 730 в устройстве 70, показанной на Фиг. 7.

На Фиг. 9 представлена упрощенная схема устройства 90 для получения контекста безопасности согласно настоящей заявке. Как показано на Фиг. 9, устройство 90 содержит приемный модуль 910, процессорный модуль 920 и передающий модуль 930.

Приемный модуль 910 конфигурирован для приема второго сообщения запроса регистрации, переданного первой функцией AMF, где целостность этого второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, и этот первый контекст безопасности представляет собой первоначальный (собственный) контекст безопасности между пользовательским устройством и второй функцией AMF.

Процессорный модуль 920 конфигурирован для удостоверения целостности второго сообщения запроса регистрации.

Передающий модуль 930 конфигурирован для того, чтобы: когда процессорный модуль 920 успешно удостоверяет целостность второго сообщения запроса регистрации, передавать контекст безопасности рассматриваемой пользовательского устройства в адрес первой функции AMF.

Устройство 90 полностью соответствует второй функции AMF согласно вариантам способа. Устройство 90 может представлять собой вторую функцию AMF согласно вариантам способа, либо кристалл (чип) интегральной схемы или функциональный модуль внутри второй функции AMF согласно вариантам способа. Соответствующие модули аппаратуры 80 конфигурированы для осуществления соответствующих этапов, выполняемых второй функции AMF согласно вариантам способа, показанным на Фиг. 3 и Фиг. 4.

Приемный модуль 910 устройства 90 осуществляет этап приема, выполняемый второй функцией AMF согласно вариантам способа. Например, приемный модуль 910 осуществляет показанный на Фиг. 3 этап S310 приема второго сообщения запроса, переданного первой функцией AMF, и показанный на Фиг. 4 этап S440 приема второго сообщения запроса регистрации, переданного первой функцией AMF.

Процессорный модуль 920 осуществляет этап, реализуемый или обрабатываемый внутри второй функции AMF согласно вариантам способа. Например, процессорный модуль 920 осуществляет показанный на Фиг. 3 этап S320 определения, что нет необходимости верифицировать аппаратуру UE, и показанный на Фиг. 4 этап S450 удостоверения целостности второго сообщения запроса регистрации.

Передающий модуль 930 осуществляет этап передачи, выполняемый второй функцией AMF согласно вариантам способа. Например, передающий модуль 930 осуществляет этап S330 передачи второго сообщения ответа в адрес первой функции AMF, показанный на Фиг. 3, и этап S460 передачи контекста безопасности рассматриваемой UE в адрес первой функции AMF, показанный на Фиг. 4.

Приемный модуль 910 и передающий модуль 930 могут составлять приемопередающий модуль, имеющий и функции приема и функции передачи. Процессорный модуль 920 может представлять собой процессор. Передающий модуль 930 может представлять собой передатчик, и приемный модуль 910 может представлять собой приемник. Эти приемник и передатчик могут быть интегрированы и составить приемопередатчик.

Как показано на Фиг. 10, один из вариантов настоящей заявки дополнительно обеспечивает устройство второй функции AMF 100. Вторая функция AMF 100 содержит процессор 1010, запоминающее устройство 1020 и приемопередатчик 1030. Запоминающее устройство 1020 сохраняет команды или программу, а процессор 1030 конфигурирован для выполнения команд или программы, сохраняемых в запоминающем устройстве 1020. При выполнении команд или программы, сохраняемых в запоминающем устройстве 1020, приемопередатчик 1030 конфигурирован для осуществления операций, выполняемых приемным модулем 910 и передающим модулем 930, в аппаратуре 90, показанной на Фиг. 9.

Один из вариантов настоящей заявки далее предлагает читаемый компьютером носитель для хранения информации. Этот читаемый компьютером носитель для хранения информации сохраняет команды. Когда команды работают на компьютере, этот компьютер может осуществлять этапы, выполняемые первой функцией AMF согласно способам, показанным на Фиг. 3 и Фиг. 4.

Один из вариантов настоящей заявки далее предлагает читаемый компьютером носитель для хранения информации. Этот читаемый компьютером носитель для хранения информации сохраняет команды. Когда команды работают на компьютере, этот компьютер может осуществлять этапы, выполняемые второй функцией AMF согласно способам, показанным на Фиг. 3 и Фиг. 4.

Один из вариантов настоящей заявки дополнительно обеспечивает компьютерный программный продукт, содержащий команды. Когда этот компьютерный программный продукт работает на компьютере, этот компьютер может осуществлять этапы, выполняемые первой функцией AMF согласно способам, показанным на Фиг. 3 и Фиг. 4.

Один из вариантов настоящей заявки далее предлагает компьютерный программный продукт, содержащий команды. Когда этот компьютерный программный продукт работает на компьютере, этот компьютер может осуществлять этапы, выполняемые второй функцией AMF согласно способам, показанным на Фиг. 3 и Фиг. 4.

Один из вариантов настоящей заявки далее предлагает кристалл (чип) интегральной схемы, содержащий процессор. Этот процессор конфигурирован для считывания компьютерной программы, сохраняемой в запоминающем устройстве, и выполнения этой компьютерной программы с целью осуществления соответствующей операции и/или процедуры, выполняемой второй функцией AMF согласно способам получения контекста безопасности, предлагаемым в настоящей заявке. В качестве опции, кристалл (чип) интегральной схемы содержит запоминающее устройство. Запоминающее устройство соединено с процессором посредством схемы или кабеля. Процессор конфигурирован для считывания компьютерной программы из запоминающего устройства и выполнения этой компьютерной программы. В качестве опции, этот кристалл (чип) далее содержит интерфейс связи. Процессор соединен с этим интерфейсом связи. Интерфейс связи конфигурирован для приема данных и/или информации, которые необходимо обрабатывать. Процессор получает данные и/или информацию от интерфейса связи и обрабатывает эти данные и/или информацию. Этот интерфейс связи может представлять собой интерфейс ввода/вывода.

Настоящая заявка далее предлагает кристалл (чип) интегральной схемы, содержащий процессор. Этот процессор конфигурирован для вызова компьютерной программы, хранящейся в запоминающем устройстве, и выполнения этой компьютерной программы и/или процедуры, осуществляемой первой функцией AMF, согласно способам получения контекста безопасности, предлагаемым в настоящей заявке. В качестве опции, этот кристалл (чип) далее содержит запоминающее устройство. Это запоминающее устройство соединено с процессором через схему или кабель. Этот процессор конфигурирован для считывания компьютерной программы из запоминающего устройства и выполнения этой компьютерной программы. В качестве опции, этот кристалл (чип) интегральной схемы далее содержит интерфейс связи. Процессор соединен с интерфейсом связи. Этот интерфейс связи конфигурирован для приема данных и/или информации, которые необходимо обработать. Процессор получает данные и/или информацию от интерфейса связи и обрабатывает эти данные и/или информацию. Интерфейс связи может представлять собой интерфейс ввода/вывода.

Даже рядовой специалист в рассматриваемой области может знать, что в сочетании с примерами, описываемыми в вариантах, рассматриваемых в настоящей заявке, модули и этапы алгоритмов могут быть реализованы посредством электронной аппаратуры или комбинации компьютерного программного обеспечения и электронной аппаратуры. Осуществляются ли соответствующие функции посредством аппаратуры или программного обеспечения зависит от конкретных приложений и проектных ограничений технических решений настоящей заявки. Даже рядовой специалист в рассматриваемой области может использовать различные способы для реализации описываемых функций для каждого конкретного приложения, однако это не следует рассматривать как то, что такие варианты реализации выходят за пределы объема настоящей заявки.

Специалист в рассматриваемой области может ясно понимать, что для удобства и краткости описания, за подробными описаниями рабочих процессов и процедур приведенных выше систем, аппаратуры и модулей следует обращаться к соответствующим процессам и процедурам в приведенных выше вариантах способа, а подробности здесь повторно описаны не будут.

В ряде вариантов, предлагаемых в настоящей заявке, следует понимать, что описываемые здесь системы, аппаратура и способ могут быть реализованы другими способами. Например, описываемый вариант аппаратуры является всего лишь примером. Например, разбиение на модули представляет собой просто разбиение логических функций и может представлять собой другое разбиение в фактической реализации. Например, несколько модулей или компонентов могут быть объединены или интегрированы в другую систему, либо некоторые признаки можно игнорировать или не осуществлять. В дополнение к этому, показанные на чертежах или обсуждаемые взаимосвязи, или прямые связи или соединения связи могут быть реализованы с использованием некоторых интерфейсов. Непрямые связи или соединения между единицами аппаратуры или модулями могут быть реализованы в электрической, механической или других формах.

Модули, описываемые как раздельные части, могут или не могут быть физически раздельными, а части, описываемые как модули, могут быть или не быть физическими модулями, могут располагаться в одном месте или могут быть распределены по нескольким сетевым модулям. Некоторые или все эти модули могут быть выбраны на основе фактических требований для достижения целей технических решений вариантов изобретения.

В дополнение к этому, функциональные модули в вариантах настоящей заявки могут быть интегрированы в одном процессорном модуле, или каждый из модулей может быть физически отдельным, либо два или более модулей интегрированы в одном модуле.

Когда эти функции реализованы в форме программного функционального модуля и продаются или используются в качестве независимого продукта, эти функции могут быть сохранены на читаемом компьютером носителе для хранения информации. На основе такого понимания технические решения настоящей заявки по существу, или в части, используемой в известной технике, или некоторые такие технические решения могут быть реализованы в форме программного продукта. Этот программный продукт сохранен на носителе для хранения информации и содержит ряд команд для управления компьютерным устройством (которое может представлять собой персональный компьютер, сервер, сетевое устройство или другое подобное устройство) с целью осуществления всех или некоторых этапов или способов, описываемых в вариантах настоящей заявки. Указанный выше носитель для хранения информации может представлять собой: какой-либо носитель, способный сохранять программный код, такой как USB-флэшка, сменный жесткий диск, постоянное запоминающее устройство (ПЗУ (Read-Only Memory, ROM)), запоминающее устройство с произвольной выборкой (ЗУПВ ((R)ANdom Access Memory, RAM)), магнитный диск или оптический диск.

В дополнение к этому, термин «и/или» в настоящей заявке описывает только соотношение ассоциации для описания ассоциированных объектов и представляет, что могут существовать три соотношения. Например, A и/или B может представлять следующие три случая: Существует только A, существуют A и B, и существует только B. В дополнение к этому, символ "/" в настоящем описании обычно обозначает соотношение «или» между ассоциированными объектами. Термин "по меньшей мере один" в настоящей заявке может представлять «один» и «два или более». Например, по меньшей мере один из A, B и C может представлять собой: Существует только A, существует только B, существует только C, существуют A и B, существуют A и C, существуют C и B, и существуют A, B и C.

Приведенные выше описания являются просто конкретными вариантами реализации настоящей заявки и не предназначены для ограничения объема защиты этой заявки. Любые вариации или замены, легко формируемые специалистами в рассматриваемой области в пределах технического объема, описываемого в настоящей заявке, будут попадать в объем защиты настоящей заявки. Поэтому объем защиты настоящей заявки должен соответствовать объему защиты Формулы изобретения.

Claims (122)

1. Способ получения контекста безопасности, содержащий этапы, на которых:

принимают, с помощью первой функции управления доступом и мобильностью (AMF), первое сообщение запроса регистрации, переданное пользовательским устройством, причем указанное первое сообщение запроса регистрации несет второе сообщение запроса регистрации, а

целостность второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, при этом первый контекст безопасности представляет собой первоначальный контекст безопасности между пользовательским устройством и второй AMF, и первая AMF представляет собой AMF, предоставляющую сервис управления доступом и мобильностью для указанного пользовательского устройства после того, как связь указанного пользовательского устройства переключится от связи в системе связи 4G на связь в системе связи 5G;

передают, с помощью первой AMF, второе сообщение запроса регистрации на вторую AMF;

удостоверяют, с помощью второй AMF, целостность второго сообщения запроса регистрации; и

передают, с помощью второй AMF, при успешном удостоверении, с помощью второй AMF, целостности второго сообщения запроса регистрации, контекст безопасности пользовательского устройства на первую AMF.

2. Способ по п. 1, в котором контекст безопасности пользовательского устройства представляет собой:

первый контекст безопасности или второй контекст безопасности, полученный на основе первого контекста безопасности.

3. Способ по п. 1 или 2, в котором этап передачи, с помощью первой AMF, второго сообщения запроса регистрации на вторую АMF содержит подэтап, на котором:

передают, с помощью первой AMF, запрос привлечения сервиса передачи контекста пользовательского устройства второй AMF, причем указанный запрос привлечения сервиса передачи контекста пользовательского устройства несет второе сообщение запроса регистрации.

4. Способ по любому из пп. 1-3, в котором этап передачи, с помощью второй AMF, контекста безопасности пользовательского устройства первой AMF содержит подэтап, на котором:

передают, с помощью второй AMF, первое сообщение ответа первой AMF, причем первое сообщение ответа несет контекст безопасности пользовательского устройства.

5. Способ по любому из пп. 1-4, дополнительно содержащий этап, на котором:

при приеме, первой AMF, сообщения, указывающего, что вторая AMF не смогла удостоверить целостность второго сообщения запроса регистрации, продолжают использование, с помощью первой AMF, отображенного контекста безопасности или инициируют первоначальную аутентификацию для пользовательского устройства.

6. Способ по п. 5, в котором отображенный контекст безопасности получают на основе контекста безопасности между узлом управления мобильностью (MME) и пользовательским устройством, причем узел MME представляет собой сетевой элемент в системе связи 4G.

7. Способ по любому из пп. 1-6, в котором этап удостоверения, с помощью второй AMF, целостности второго сообщения запроса регистрации содержит подэтап, на котором:

удостоверяют, с помощью второй AMF, целостность второго сообщения запроса регистрации на основе первого контекста безопасности.

8. Способ обработки контекста безопасности, содержащий этапы, на которых:

определяют, с помощью пользовательского устройства, второе сообщение запроса регистрации, причем целостность указанного второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, а первый контекст безопасности представляет собой первоначальный контекст безопасности между указанной пользовательским устройством и второй функцией управления доступом и мобильностью (AMF); и

передают, с помощью пользовательского устройства, первое сообщение запроса регистрации первой AMF, причем первое сообщение запроса регистрации несет второе сообщение запроса регистрации, а

первая AMF представляет собой AMF, обеспечивающую сервис управления доступом и мобильностью для пользовательского устройства после переключения связи пользовательского устройства от связи в системе связи 4G на связь в системе связи 5G.

9. Способ по п. 8, дополнительно содержащий этапы, на которых:

удостоверяют, при приеме сообщения с командой режима безопасности слоя без доступа (NAS SMC), переданное первой функцией AMF, целостность команды NAS SMC; и

передают, когда удостоверение успешно, сообщение завершения режима безопасности для слоя без доступа на первую AMF.

10. Система связи, содержащая первую функцию управления доступом и мобильностью (AMF) и вторую AMF, при этом

первая AMF выполнена с возможностью приема первого сообщения запроса регистрации, переданного пользовательским устройством, причем первое сообщение запроса регистрации несет второе сообщение запроса регистрации, целостность указанного второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, указанный первый контекст безопасности представляет собой первоначальный контекст безопасности между пользовательским устройством и второй AMF, а первая AMF представляет собой AMF, обеспечивающую сервис управления доступом и мобильностью для пользовательского устройства после переключения связи указанного пользовательского устройства от связи в системе связи 4G на связь в системе связи 5G;

первая AMF дополнительно выполнена с возможностью передачи второго сообщения запроса регистрации на вторую AMF;

вторая AMF выполнена с возможностью удостоверения целостности второго сообщения запроса регистрации; и

вторая AMF дополнительно выполнена с возможностью передачи, когда целостность второго сообщения запроса регистрации успешно удостоверена, контекста безопасности пользовательского устройства первой AMF.

11. Система связи по п. 10, в которой контекст безопасности пользовательского устройства содержит:

первый контекст безопасности или второй контекст безопасности, получаемый на основе первого контекста безопасности.

12. Система связи по п. 10 или 11, в которой

первая AMF дополнительно выполнена с возможностью передачи запроса привлечения сервиса передачи контекста пользовательского устройства второй AMF, причем указанный запрос привлечения сервиса передачи контекста пользовательского устройства несет второе сообщение запроса регистрации.

13. Система связи по любому из пп. 10-12, в котором

вторая AMF дополнительно выполнена с возможностью передачи первого сообщения ответа первой AMF, причем первое сообщение ответа несет контекст безопасности пользовательского устройства.

14. Система связи по любому из пп. 10-13, в которой

первая AMF дополнительно выполнена с возможностью продолжения использования, при приеме сообщения, указывающего, что вторая AMF не смогла удостоверить целостность второго сообщения запроса регистрации, отображенного контекста безопасности или инициирования первоначальной аутентификации пользовательского устройства.

15. Система связи по п. 14, в которой отображенный контекст безопасности получают на основе контекста безопасности между узлом управления мобильностью (MME) и пользовательским устройством, а узел MME представляет собой сетевой элемент в системе связи 4G.

16. Система связи по любому из пп. 10-15, в которой

вторая AMF дополнительно выполнена с возможностью удостоверения целостности второго сообщения запроса регистрации на основе первого контекста безопасности.

17. Устройство обработки контекста безопасности, содержащее:

процессорный модуль для определения второго сообщения запроса регистрации, причем целостность указанного второго сообщения запроса регистрации защищена с использованием первого контекста безопасности, причем первый контекст безопасности представляет собой первоначальный контекст безопасности между пользовательским устройством и второй функцией управления доступом и мобильностью (AMF); и

передающий модуль для передачи первого сообщения запроса регистрации первой AMF, причем указанное первое сообщение запроса регистрации несет второе сообщение запроса регистрации, а первая AMF представляет собой AMF, обеспечивающую сервис управления доступом и мобильностью для пользовательского устройства после переключения связи пользовательского устройства от связи в системе связи 4G на связь в системе связи 5G.

18. Устройство по п. 17, дополнительно содержащее приемный модуль; при этом

процессорный модуль выполнен с возможностью удостоверения целостности команды NAS SMC, при приеме, приемным модулем, сообщения с командой режима безопасности слоя без доступа (NAS SMC), переданное первой AMF; а

передающий модуль дополнительно выполнен с возможностью передачи сообщения завершения режима безопасности для слоя без доступа первой AMF при успешном удостоверении.

19. Машиночитаемый носитель информации, хранящий компьютерную программу, вызывающую, при исполнении компьютером, выполнение, компьютером, способа по любому из пп. 1-7 или вызывающую, при исполнении компьютером, выполнение, компьютером, способа по п. 8 или 9.

20. Способ получения контекста безопасности, содержащий этапы, на которых:

принимают, с помощью первой функции управления доступом и мобильностью (AMF), первое сообщение запроса регистрации, переданное пользовательским устройством (UE);

удостоверяют, с помощью первой AMF, защиту целостности для первого сообщения запроса регистрации;

передают, с помощью первой AMF, второе сообщение запроса второй AMF, когда первая AMF успешно удостоверила целостность защиты для первого сообщения запроса регистрации;

принимают, с помощью второй AMF, второе сообщение запроса; и

передают, с помощью второй AMF, контекст безопасности UE первой AMF, когда второе сообщение запроса несет информацию указания, причем информация указания используется для указания, что рассматриваемая UE удостоверена.

21. Способ по п. 20, дополнительно содержащий этапы, на которых:

передают, с помощью сетевого элемента управления мобильностью (MME), сообщение запроса перемещения вперед первой AMF, причем сообщение запроса перемещения вперед содержит контекст безопасности между рассматриваемой UE и узлом MME;

определяют, с помощью первой AMF, отображенный контекст безопасности на основе контекста безопасности между указанной пользовательским устройством и узлом MME; причем

этап удостоверения, первой AMF, защиты целостности для первого сообщения запроса регистрации содержит подэтап, на котором:

удостоверяют, с помощью первой AMF, защиты целостности для первого сообщения запроса регистрации с использованием отображенного контекста безопасности.

22. Способ по п. 20 или 21, в котором сообщение запроса регистрации дополнительно содержит идентификатор 5G-GUTI пользовательского устройства.

23. Способ по п. 22, в котором информация указания представляет собой идентификатор 5G-GUTI.

24. Способ по любому из пп. 20-22, в котором информация указания представляет собой величину аргумента.

25. Система получения контекста безопасности, содержащая первую функцию управления доступом и мобильностью (AMF) и вторую AMF;

первая AMF выполнена с возможностью: приема сообщения запроса регистрации, переданное пользовательским устройством UE; удостоверения защиты целостности первого сообщения запроса регистрации; и передачи, если целостность защиты первого сообщения запроса регистрации успешно удостоверена, второго сообщения запроса второй AMF; причем

вторая AMF выполнена с возможностью: приема второго сообщения запроса; и передачи контекста безопасности указанного UE первой AMF, когда второе сообщение запроса несет информацию указания, а информация указания используется для указания, что UE удостоверено.

26. Система по п. 25, дополнительно содержащая сетевой элемент управления мобильностью (MME); причем

узел MME выполнен с возможностью передачи сообщения запроса перемещения вперед первой AMF, причем сообщение запроса перемещения вперед содержит контекст безопасности между рассматриваемой UE и узлом MME; а

первая AMF дополнительно выполнена с возможностью определения отображения контекста безопасности на основе контекста безопасности между указанным пользовательским устройством и узлом MME; причем

процедура удостоверения защиты целостности для первого сообщения запроса регистрации содержит:

удостоверение целостности защиты для первого сообщения запроса регистрации с использованием отображенного контекста безопасности.

27. Система по п. 25 или 26, в которой первое сообщение запроса регистрации дополнительно содержит идентификатор 5G-GUTI пользовательского устройства.

28. Система связи по п. 27, в которой информация указания представляет собой идентификатор 5G-GUTI.

29. Система по любому из пп. 25-27, в которой указанная информация указания представляет собой величину аргумента.

30. Способ получения контекста безопасности, содержащий этапы, на которых:

принимают, с помощью первой функции управления доступом и мобильностью (AMF), первое сообщение запроса регистрации, переданное пользовательским устройством UE;

удостоверяют, с помощью первой AMF, защиту целостности для первого сообщения запроса регистрации;

передают, с помощью первой AMF, когда первая AMF успешно удостоверяет защиту целостности для первого сообщения запроса регистрации, второе сообщение запроса второй AMF, причем второе сообщение запроса несет информацию указания, а информация указания используется для указания, что указанная UE удостоверена; и

принимают, с помощью первой AMF, первоначальный контекст безопасности UE от второго AMF.

31. Способ по п. 30, дополнительно содержащий этапы, на которых:

принимают, с помощью первой AMF, сообщение запроса перемещения вперед, переданное сетевым элементом управления мобильностью MME, причем сообщение запроса перемещения вперед содержит контекст безопасности 4G между пользовательским устройством и узлом MME;

определяют, с помощью первой AMF, отображенный контекст безопасности 4G на основе контекста безопасности между UE и узлом MME; причем

процедура удостоверения, с помощью первой AMF, защиты целостности для первого сообщения запроса регистрации содержит подэтап, на котором:

удостоверяют, с помощью первой AMF, защиту целостности для первого сообщения запроса регистрации с использованием отображенного контекста безопасности.

32. Способ по п. 30 или 31, в котором первое сообщение запроса регистрации передают после завершения, UE, процедуры передачи обслуживания.

33. Способ по п. 30 или 31, в котором первое сообщение запроса регистрации дополнительно содержит идентификатор 5G-GUTI пользовательского устройства.

34. Способ по любому из пп. 30-33, дополнительно содержащий этап, на котором:

вторая AMF пропускает верификацию UE.

35. Способ по любому из пп. 30-34, в котором второе сообщение запроса регистрации дополнительно содержит идентификатор 5G-GUTI для UE.

36. Способ по любому из пп. 30-35, в котором информация указания представляет собой идентификатор 5G-GUTI.

37. Способ по любому из пп. 30-35, в котором информация указания представляет собой величину аргумента.

38. Способ по любому из пп. 30-37, в котором UE находится в соединенном состоянии.

39. Способ по любому из пп. 31-38, в котором первое сообщение запроса регистрации целостно защищено посредством отображения контекста безопасности.

40. Способ по любому из пп. 35-39, в котором 5G GUTI сконфигурирован второй AMF для UE.

41. Способ по любому из пп. 30-40, дополнительно содержащий этап, на котором:

когда первая AMF неудачно проверяет защиту целостности для первого сообщения запроса регистрации, продолжают использовать, посредством первой AMF, отображенный контекст безопасности, сгенерированный при взаимодействии с UE, или первая AMF инициирует первоначальную аутентификацию для UE для генерирования контекста безопасности между первым AMF и UE.

42. Способ по любому из пп. 30-41, дополнительно содержащий этап, на котором:

когда первая AMF неудачно проверяет защиту целостности для первого сообщения запроса регистрации, первая AMF не может принимать первоначальный контекст безопасности UE от второй AMF.

43. Способ по любому из пп. 35-42, в котором первоначальный контекст безопасности UE определяется на основе 5G GUTI.

44. Способ по любому из пп. 35-43, в котором информация указания, используется для указания, что UE проверено, содержит информацию указания, используемую для указания, что целостность первого сообщения запроса регистрации, принятого первой AMF от UE, успешно проверена.

45. Способ по любому из пп. 35-44, в котором вторая AMF является AMF, в которой сохранен первоначальный контекст безопасности UE, причем вторая AMF является AMF в системе связи 5G, в дополнение к первой AMF в системе связи 5G во время выполнения процедуры передачи обслуживания UE из системы связи 4G в систему 5G.

46. Способ по любому из пп. 35-45, в котором первая АMF является AMF, выбранной, узлом управления мобильностью (MME) системы связи 4G, из системы связи 5G для UE для обеспечения услуги основной сети, во время процедуры передачи обслуживания, выполняемой UE из системы связи 4G в систему связи 5G.

47. Способ по любому из пп. 35-46, в котором контекст безопасности 4G для UE является контекстом, сгенерированным при взаимодействии между UE и MME в системе связи 4G.

48. Способ по любому из пп. 35-47, в котором контекст безопасности 4G содержит ключ K_ASME и параметр следующего скачка (NH), а отображенный контекст безопасности содержит ключ K_AMF1.

49. Способ по п. 48, в котором ключ K_AMF1 получен посредством ключа K_ASME и параметра NH на основе формулы девиации, имеющей следующий вид:

K_AMF1 = HMAC – SHA – 256 (Key, FC||P0||L0), где FC = 0x76, P0 = величине параметра NH, L0 = длине величины параметра NH, и KEY = K_ASME.

50. Способ по п. 48 или 49, дополнительно содержащий этап, на котором:

вычисляют, с помощью первой AMF, ключ защиты целостности (K_NASint1) и ключ защиты конфиденциальности (K_NASenc1) на основе ключа K_AMF1 и алгоритма безопасного взаимодействия с UE.

51. Способ по п. 48, в котором формула вычисления для генерирования ключа защиты целостности K_NASint1 имеет вид:

K_NASint1 = HMAC – SHA – 256 (KEY, S), где S = FC||P0₁||L0₁||P1₁||L1₁, FC = 0x69, P0₁ - отличительный признак типа алгоритма, L0₁ - длина отличительного признака типа алгоритма, P1₁ - идентификатор алгоритма, L1₁ - длина идентификатора алгоритма, а KEY = K_AMF1.

52. Способ по п. 50 или 51, в котором формула вычисления для генерирования ключа защиты конфиденциальности K_NASenc1 имеет вид:

K_NASenc1 = HMAC – SHA – 256 (KEY, S), где S = FC||P0||L0||P1||L1, FC = 0x69, P0 - отличительный признак типа алгоритма, L0 - длина отличительного признака типа алгоритма, P1 - идентификатор алгоритма, L1 - длина идентификатора алгоритма, а KEY = K_AMF1.

53. Способ получения контекста безопасности, содержащий этапы, на которых:

принимают, с помощью второй функции управления доступом и мобильностью (AMF), сообщение запроса, переданное первой AMF; и

передают, с помощью второй AMF, контекст безопасности указанной UE на первую AMF, когда указанное сообщение запроса несет информацию указания и информация указания используется для обозначения, что пользовательское устройство (UE) удостоверено.

54. Способ по п. 53, дополнительно содержащий, до этапа передачи, с помощью второй AMF, контекста безопасности UE первой AMF, этап, на котором:

пропускают, с помощью второй AMF, аутентификацию UE.

55. Способ по п. 53 или 54, в котором сообщение запроса дополнительно содержит глобально уникальный временный идентификатор пользовательского устройства (GUTI) в 5G для UE, а первоначальный контекст безопасности UE определяется на основе 5G GUTI.

56. Способ по п. 55, в котором информация указания представляет собой идентификатор 5G-GUTI.

57. Способ по любому из пп. 53-55, в котором информация указания представляет собой величину аргумента.

58. Способ по любому из пп. 53-57, в котором информация указания, используется для указания, что UE проверено, содержит информацию указания, используемую для указания, что целостность первого сообщения запроса регистрации, принятого первой AMF от UE, успешно проверена.

59. Способ по любому из пп. 53-58, в котором вторая AMF является AMF, в которой сохранен первоначальный контекст безопасности UE, причем вторая AMF является дополнительной для первой AMF в системе связи 5G во время выполнения процедуры передачи обслуживания UE из системы связи 4G в систему 5G.

60. Способ по любому из пп. 53-59, в котором первая АMF является AMF, выбранной, узлом управления мобильностью (MME) системы связи 4G, из системы связи 5G для UE для обеспечения услуги основной сети, во время процедуры передачи обслуживания, выполняемой UE из системы связи 4G в систему связи 5G.

61. Устройство связи, содержащее процессор, запоминающее устройство и приемопередатчик; причем запоминающее устройство хранит команды, а процессор соединен с приемопередатчиком; и при выполнении команд, хранящихся в запоминающем устройстве, процессор выполнен с возможностью реализации способа по любому из пп. 30-52 или способа по любому из пп. 53-60.

Images