TW202142011A - 一種防止加密用戶識別符被重播攻擊的方法 - Google Patents

一種防止加密用戶識別符被重播攻擊的方法 Download PDF

Info

Publication number
TW202142011A
TW202142011A TW110117944A TW110117944A TW202142011A TW 202142011 A TW202142011 A TW 202142011A TW 110117944 A TW110117944 A TW 110117944A TW 110117944 A TW110117944 A TW 110117944A TW 202142011 A TW202142011 A TW 202142011A
Authority
TW
Taiwan
Prior art keywords
subscription
authentication
identifier
network
network element
Prior art date
Application number
TW110117944A
Other languages
English (en)
Inventor
邢真
游世林
劉宇澤
彭錦
高峰
林兆驥
張博山
Original Assignee
大陸商中興通訊股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 大陸商中興通訊股份有限公司 filed Critical 大陸商中興通訊股份有限公司
Publication of TW202142011A publication Critical patent/TW202142011A/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申請是有關於無線終端裝置和核心網路之間的註冊和認證程序，更具體地說，是為了檢測來自核心網路側的註冊重播攻擊，根據無線終端裝置傳送到核心網路的註冊訊息時戳來減少機密洩漏。將與註冊請求一起發送的時戳，與無線終端裝置的永久訂閱識別符一起加密，可有效地避免暴露在無線電介面中。在註冊和/或認證訊息中檢測到的時戳與當前時間(例如UTC時間)的延遲量，是註冊重播攻擊是否存在的指標。檢測到攻擊之後，該核心網路可停止傳送可能導致無線終端裝置洩露敏感機密資訊，甚至使無線終端裝置或核心網路阻斷服務的要求或回應。

Description

一種防止加密用戶識別符被重播攻擊的方法
本發明是有關於一移動終端和一核心網路之間的註冊和認證程序。更進一步地說，本發明是有關於防止加密用戶資訊遭受重播攻擊的方法。
無線終端裝置(無線終端; 用戶設備; User Equipment; UE)可經由一服務網路與其所屬的一核心網路通訊。在獲得對本地核心網路(Home Core Network)的接入之前，該無線終端裝置可以發起一註冊和認證程序。該無線終端裝置、該服務網路和該本地核心網路彼此互動以向該服務網路認證該無線終端裝置並向該無線終端裝置認證該服務網路。在成功註冊和認證時產生一接入憑證，以在該無線終端裝置和該服務網路之間進行進一步的通訊。該無線終端裝置與該服務網路之間經由無線電介面的通訊訊息，無論是加密的還是未加密的，都可能受到駭客的攻擊。駭客可能透過此類攻擊獲取有關無線終端裝置的機密資訊。
本發明是有關於無線終端裝置和核心網路之間的註冊和認證程序，具體地說，是有關於檢測來自核心網路側的註冊重播攻擊，利用一無線終端裝置傳送到核心網路的註冊訊息時戳來減少機密用戶資訊的洩漏。與註冊請求一起發送的時戳，與該無線終端裝置的永久訂閱識別符一起隱藏，可有效地避免暴露在無線電介面中。一核心網路在註冊和/或認證訊息中檢測到的時戳在當前世界時間（例如世界協調時間Coordinated Universal Time; UTC）之後大於一最大允許延遲閾值的誤差量，可視為註冊重播攻擊是否存在判斷指標。在這種檢測之後，該核心網路可以停止傳送可能導致該無線終端裝置的機密資訊洩漏的請求和回應訊息，並且在某些情況下，拒絕對於該終端裝置的網路服務。
在一些實施方式中，揭露了一種由網路內的第一網路元件執行的用於產生訂閱資料項目的方法。該方法包括下列步驟。首先獲取指示當前時間的一時戳。接著獲取識別符該第一網路元件的一訂閱識別符。組合該時戳和該訂閱識別符以獲得一複合資料項目，並對該複合資料項目進行加密以獲得一加密複合資料項目。最後，產生一訂閱資料項目，包括該加密複合資料項目和用於指示隱藏識別符型別的一型別指示符。該加密複合資料項目即為該第一網路元件的隱藏識別符。
在一些其它實作方式中，揭露了一種處理一認證訊息的方法。該認證訊息是由一網路中的一第一網路元件發起，由該網路中的一第二網路元件執行。該認證訊息包括一訂閱資料項目和一型別指示符，該訂閱資料項目具有該第一網路元件的一隱藏識別符。該型別指示符指示該隱藏識別符的型別。該方法包括下列步驟。首先解譯該認證訊息以獲得該隱藏識別符和該型別指示符。接著解密該隱藏識別符以獲得一解密資料項目。當根據該型別指示符判定該隱藏識別符是一複合資料項目時，解譯該解密資料項目以獲得一第一時戳和該第一網路元件的一訂閱識別符。其中該第一時戳用以指示何時從該第一網路元件發起該認證訊息。
在一些其它實作方式中，揭露了一種網路元件(網路設備)。該網路設備主要包括一個或多個處理器和一個或多個記憶體，其中該一個或多個處理器被配置成從該一個或多個記憶體讀取電腦代碼以實作上述任一方法。
在一些其它實作方式中，揭露了一種電腦程式產品。該電腦程式產品可以包括具有儲存在其上的電腦代碼的非暫時性電腦可讀程式媒體，當該電腦代碼由一個或多個處理器執行時，使得該一個或多個處理器實作上述方法中的任何一個。
在下面的附圖、描述和請求項中更詳細地解釋了上述實施例及其實作方式的其他方面和替代方案。
通訊網路示例
如圖1中所示的通訊網路100可以包括終端裝置110和112、載波網路102、各種服務應用140和其他資料網路150。舉例來說，載波網路102可以包括接入網路120和一核心網路130。載波網路102可以被配置成傳輸語音、資料和資料，以及終端裝置110和112之間、終端裝置110和112與服務應用140之間、或終端裝置110和112與其他資料網路150之間的其他資訊（統稱為資料服務），可以為這種資料傳輸建立和配置通訊會話和相應的資料路徑。
接入網路120可被配置為向終端裝置110和112提供對該核心網路130的網路接入。該核心網路130可包括各種網路節點或網路功能，其被配置為控制通訊會話並執行網路接入管理和資料服務路由。服務應用140可由終端裝置110和112可透過載波網路102的該核心網路130接入的各種應用伺服器託管。服務應用140可被部署為該核心網路130之外的資料網路。同樣地，其他資料網路150可以由終端裝置110和112透過該核心網路130接入，並且可以顯示為在載波網路102中產生實體的特定通訊會話的資料目的地或資料來源。
圖1的核心網路130可以包括地理上分佈和互連的各種網路節點或功能，以提供載波網路102的服務區域的網路覆蓋。這些網路節點或功能可以實作為專用硬體網路元件。或者，這些網路節點或功能可以被虛擬化並實作為虛擬機器或軟體物體。每個網路節點可以配置有一種或多種型別的網路功能。這些網路節點或網路功能可共同提供核心網路130的供應和路由功能。術語“網路節點”和“網路功能”在本發明中可交換地使用。
圖2進一步顯示了通訊網路200的核心網路130中的網路功能的示例性劃分，本領域普通技術人員理解，這些網路節點或功能中的每一個可以被產生實體為分佈在整個核心網路130中的網路節點的多個實體。如圖2所示，核心網路130可以包括但不限於諸如接入管理網路節點（Access Management Network Node; AMNN）230的網路節點，認證網路節點（Authentication Network Node; AUNN）260、網路資料管理網路節點（Network Data Management Network Node; NDMNN）270、會話管理網路節點（Session Management Network Node; SMNN）240、資料路由網路節點（Data Routing Network Node; DRNN）250、策略控制網路節點（Policy Control Network Node; PCNN）220，以及應用資料管理網路節點（Application Data Management Network Node; ADMNN）210。透過各種通訊介面在各種型別的網路節點之間進行的示例性信令和資料交換由圖2中的各種實心連接線表示。這種信令和資料交換可以透過遵循預定通訊介面的信令或資料訊息來承載格式或協議。
上面在圖1和2中描述的實作方式可應用於無線和有線通訊系統。圖3顯示了基於圖2的通訊網路200的一般實作方式的示例性蜂窩無線通訊網路300。圖3顯示了無線通訊網路300，可以包括無線終端裝置或用戶設備（User Equipment; UE）310（用作圖2的終端裝置110），無線接入網路（Radio Access Network; RAN）320（用作圖2的接入網路120）、服務應用140、資料網路（Data Network; DN）150和包括接入管理功能（Access Management Function; AMF）330（用作圖2的AMNN 230）、會話管理功能（Session Management Function; SMF）340（用作圖2的SMNN 240）的核心網路130，應用功能（Application Function; AF）390（用作圖2的ADMNN 210）、用戶平面功能（User Plane Function; UPF）350（用作圖2的DRNN 250）、策略控制功能322（用作圖2的PCNN 220）、認證伺服器功能（Authentication Server Function; AUSF）360（用作圖2的AUNN 260），以及統一資料管理/認證憑證儲存庫和處理功能（Universal Data Management/Authentication Credential Repository and Processing Function; UDM/ARPF）370（用作圖2的UDMNN 270）。同樣，雖然在圖3中僅顯示了無線通訊網路300（尤其是核心網路130）的一些網路功能或節點的單個實體，本領域的普通技術人員理解，每一網路節點或功能實際上可以對應到分佈在整個無線通訊網路300中的一或多個實體。
在圖3中，一用戶設備310可以實作為各種型別的無線設備或終端，其被配置為經由一無線接入網路320接入該核心網路130。該用戶設備310可以包括但不限於行動電話、膝上型電腦、平板電腦、物聯網（Internet of Things; IoT）設備、分散式感測器網路節點、可穿戴設備等。用戶設備310可以包括移動站（Mobile Station; ME）和系統訂閱模組（System Subscription Module; SIM）。系統訂閱SIM模組可使用如統一移動電信系統訂閱（Universal Mobile Telecommunication SIM; USIM）的形式實作，其包括用於網路註冊和認證的一些計算能力。執行網路註冊和認證所需的計算可以由統一移動電信系統訂閱模組USIM或用戶設備中的移動站ME執行。舉例來說，無線接入網路320可以包括分佈在載波網路的服務區域中的多個無線基站。用戶設備310和無線接入網路320之間的通訊可以在空中（Over-the-Air; OTA）無線電介面中承載，如圖3中311所示。
續圖3，UDM/ARPF 370可形成用於用戶契約和訂閱簡檔及資料的永久記憶體或資料庫。統一資料管理UDM還可以包括認證憑證儲存庫和處理功能ARPF，如圖3的370所示，用於儲存用於用戶認證的長期安全憑證，以及用於使用這種長期安全憑證作為輸入來執行認證向量和加密金鑰的計算，如下面更詳細地描述的。為了防止統一資料管理/認證憑證儲存庫和處理功能UDM/ARPF資料的未經授權的暴露，UDM/ARPF 370可以位於網路運營商或協力廠商的安全網路環境中。
接入管理功能/安全錨點功能330可經由連接這些網路節點或功能的各種實線所指示的通訊介面與無線接入網路320、會話管理功能340、認證伺服器功能360、UDM/ARPF 370和策略控制功能322通訊。接入管理功能/安全錨點功能330可負責用戶設備到非接入層（Non-Access Stratum; NAS）信令管理，並負責提供用戶設備310到核心網路130的註冊和接入以及會話管理功能340的分配以支援特定用戶設備的通訊需要。接入管理功能/安全錨點功能330可進一步負責用戶設備移動性管理。該接入管理功能AMF還可以包括一安全錨點功能（Security Anchor Function; SEAF，如圖3的330中所示），如下更詳細地描述，該安全錨點功能與認證伺服器功能360和用戶設備310互動以實現用戶認證和各種級別的加密/解密金鑰的管理。該認證伺服器功能360可終止來自接入管理功能/安全錨點功能330的用戶註冊/認證/金鑰產生請求，並與UDM/ARPF 370交互以完成此類用戶的註冊/認證/金鑰產生。
該會話管理功能340可由接入管理功能/安全錨點功能330分配，用於在一無線通訊網路300中實現一特定通訊會話。該會話管理功能340可負責分配用戶平面功能350以支援用戶資料平面中的通訊會話和其中的資料流程，並負責供應/調節分配的用戶平面功能350。舉例來說，為所分配的用戶平面功能350制定一分組檢測和轉發規則。除了由該會話管理功能340分配之外，該用戶平面功能350可以由一接入管理功能/安全錨點功能330為特定通訊會話和資料流程分配。由該會話管理功能340和接入管理功能/安全錨點功能330分配和供應的用戶平面功能350可以負責資料路由和轉發以及報告特定通訊會話的網路使用情況。舉例來說，該用戶平面功能350可以負責一路由用戶設備310和一資料網路150之間的終端資料流程，該資料網路150和一服務應用140可以包括但不限於由該無線通訊網路300的運營商或協力廠商資料網路和服務提供者提供的資料網路和服務。
該服務應用140可由一應用功能390經由例如由核心網路130提供的網路公開功能（圖3中未示出，但在下面描述的圖7中示出）來管理和供應。會話管理功能340在管理是有關於服務應用140（舉例來說，在用戶設備310和服務應用140之間）的特定通訊會話時，可以經由通訊介面313和與服務應用140相關聯的應用功能390交互。
策略控制功能322可以負責管理和向接入管理功能/安全錨點功能330和會話管理功能340提供適用於與用戶設備310相關聯的通訊會話的各種級別的策略和規則，可以根據與用戶設備310相關聯並從策略控制功能322獲得的策略和規則為通訊會話分配會話管理功能340。同樣地，該會話管理功能340可以根據從該策略控制功能322獲得的策略和規則分配該用戶平面功能350來處理通訊會話的資料路由和轉發。
為了使用戶設備310接入所訂閱的本地載波網路的核心網路，它可以首先與可用無線接入網路320和與無線接入網路320相關聯的接入管理功能/安全錨點功能330通訊。無線接入網路320和接入管理功能/安全錨點功能330可以屬於本地載波網路，也可以不屬於本地載波網路。例如它可以與用戶設備310不訂閱的另一個載波網路相關聯，並且可以被稱為服務網路。術語“服務網路”可以被廣泛地用於指具有屬於另一個載波網路或屬於同一本地核心載波網路的接入管理功能/安全錨點功能的接入網。服務網路的接入管理功能/安全錨點功能330可以與用戶設備310的本地載波網路的認證伺服器功能360和UDM/ARPF 370通訊以進行認證，然後與本地載波網路的會話管理功能340和策略控制功能322通訊以在認證成功時建立通訊會話。
上述各種設備、終端和網路節點可以包括計算和通訊元件，例如處理器、記憶體、各種通訊介面、各種使用者顯示/操作介面、作業系統和被配置為實作本公開中描述的各種實施例的應用程式。
識別符驗證程序、可連結性和拒絕服務（ Denial of Service; DoS ）攻擊
註冊和認證程序可是有關於一用戶設備310經由一服務無線接入網路320、一服務接入管理功能/安全錨點功能330、以及一本地認證伺服器功能360，與一本地UDM/ARPF 370通訊，如下文更詳細地描述的。在註冊和認證程序中，用戶設備310驗證其是否正在與合法網路通訊，並且網路同樣驗證用戶設備310是否被授權接入網路。一旦該用戶設備310和該核心網路300之間的認證成功，可以將一臨時接入識別符分配給該用戶設備310，與該核心網路的進一步通訊。這種臨時接入識別符可以經常被修改/替換，以減少用戶識別符、位置和通訊內容對攻擊者暴露的機會。認證程序的發起，可以由該用戶設備310向該接入管理功能/安全錨點功能330發送一註冊請求，包含隱藏或加密的一唯一永久識別符（例如訂閱隱藏識別符Subscriber Concealed Identity; SUCI）。並且在成功註冊時，由該接入管理功能/安全錨點功能330將諸如全球唯一臨時識別符（Global Unique temporary Identity; GUTI）等的臨時識別符分配給該用戶設備310以進一步接入網路。
使用者的識別符、位置或通訊內容可能由於經由無線電介面的外部攻擊而受到損害。攻擊的示例包括但不限於可連結性攻擊和拒絕服務（DoS）攻擊。舉例來說，被攻擊者經由無線電介面截獲的訂閱隱藏識別符SUCI，可使用在可連結性攻擊中。其中該攻擊者可判定在某個位置/時間X處觀察到的用戶設備是否與在某個其他位置/時間Y處觀察到的用戶設備相同，從而跟蹤用戶設備。舉例來說，攻擊者可以透過無線電介面記錄用戶設備A使用的訂閱隱藏識別符SUCI。在用戶設備A使用臨時識別符GUTI而不是訂閱隱藏識別符SUCI進行認證的情況下，攻擊者還可以執行主動攻擊來獲得該訂閱隱藏識別符SUCI，舉例來說，當用戶設備A發送全球唯一臨時識別符GUTI時，該攻擊破壞該全球唯一臨時識別符GUTI，這極有可能導致該接入管理功能/安全錨點功能330傳輸一訂閱隱藏識別符SUCI請求，使該用戶設備的傳輸一訂閱隱藏識別符SUCI作為回應。當稍後某個用戶設備B向由同一攻擊者作為中繼站操作的假基站發出註冊請求時，攻擊者可以透過將其訂閱隱藏識別符SUCI或全球唯一臨時識別符GUTI與用戶設備A先前捕獲的訂閱隱藏識別符SUCI交換來修改用戶設備B的註冊請求，並將修改後的請求轉發到網路。然後，攻擊者監視網路和用戶設備B之間的回應，以判定用戶設備B是否與用戶設備A相同，從而可能跟蹤該用戶設備。舉例來說，隨後，攻擊者透過監視無線電介面來觀察是否執行了成功的認證和金鑰協商（Authentication and Key Agreement; AKA）程序，以及註冊請求是否被網路接受，如果是，則攻擊者將用戶設備A和用戶設備B判定為相同的用戶設備。
這種可連結性攻擊無法透過僅隱藏金鑰協商AKA回應的內容來緩解，因為攻擊者可以在不需知道金鑰協商AKA回應的內容的情況下，從無線電介面中截獲的各種後續訊息中檢測金鑰協商AKA是否運行成功。在金鑰協商AKA回應的內容沒有隱藏的情況下，攻擊者可以直接使用這些內容來判定被攻擊的用戶設備是否存在於假基站附近。
因此，透過重播一訂閱隱藏識別符SUCI，攻擊者可觀察該重播的訂閱隱藏識別符SUCI是否成功執行金鑰協商AKA程序，即，重播的註冊請求是否被網路接受。若是如此，該攻擊者可以將在一個位置觀察到的用戶設備與在另一個位置觀察到的用戶設備連結起來（重播其訂閱隱藏識別符SUCI）。當攻擊者在多個位置執行時，即使被攻擊的用戶設備可能仍然是匿名的，匿名用戶設備也可能在不同的位置被跟蹤，其隱私和不可追蹤性受到損害。
另一個例子是，網路可能受到攻擊者重播訂閱隱藏識別符SUCI的拒絕服務DoS攻擊。具體地說，攻擊者可以重播訂閱隱藏識別符SUCI，使網路和/或用戶設備在執行諸如訂閱隱藏識別符SUCI解除鎖定程序和認證程序之類的頻繁和重複的程序時崩潰。當解密相關方案（例如橢圓曲線整合加密方案Elliptical Curve Integrated Encryption Scheme ;ECIES）不具有任何機制來檢測或調整接收到的訂閱隱藏識別符SUCI是否是用戶設備發送到網路的先前訂閱隱藏識別符SUCI時，這尤其可能發生。
因此，如果攻擊者多次發起訂閱隱藏識別符SUCI重播攻擊，統一資料管理UDM和用戶設備可能被迫花費大量資源來分別處理重播的訂閱隱藏識別符SUCI和認證請求訊息，因為這些訊息看起來是合法的。這會引發對統一資料管理UDM和用戶設備的拒絕服務DoS攻擊。對用戶設備的拒絕服務DoS攻擊可導致用戶設備的處理能力降低和電池的快速耗盡。對統一資料管理UDM的拒絕服務DoS攻擊可能會導致統一資料管理UDM的處理能力降低，並延遲對合法註冊請求和其他型別請求的回應。
隱藏識別符驗證序號
在對抗上述可連結性和拒絕服務DoS攻擊的一些實作方式中，用戶設備310和載波網路可以保持一對序號（或稱為認證序號）以跟蹤用戶設備的認證和重新認證。這些序號可以被稱為用戶序號SQNMS （在用戶設備側）和本地序號SQNHE （在載波網路側）。舉例來說，一本地序號SQNHE 可以由UDM/ARPF 370在本地環境（Home Environment; HE）中維護。這些序號僅允許隨著用戶設備被認證和重新認證而遞增。一般用戶設備310和載波網路可以在正常網路接入條件下維持用戶序號SQNMS 和本地序號SQNHE 之間的同步。舉例來說，一用戶設備310或網路在認證或再認證程序期間檢測同步狀況，可發現潛在的攻擊和其他問題。
在序號同步的一些實作方式中，一用戶設備310維護的一用戶序號SQNMS 可以在一些認證程序期間被傳送到載波網路。同樣，由UDM/ARPF維護的一本地序號SQNHE 也可以被傳送到用戶設備。然而，為了保護這些序號不被洩漏，它們的傳輸可以最小化。當需要傳輸時，可以被認為是安全的加密形式傳輸它們。在下面更詳細描述的一個示例性實作方式中，一用戶序號SQNMS 可以隨著在認證程序期間從一用戶設備310向一服務網路的接入管理功能/安全錨點功能330發送一訂閱永久識別符（Subscription Permanent Identifier; SUPI）一起發送，並且以相同的方式發送。來自UDM/ARPF側的一本地序號SQNHE 可以被嵌入和加密在一認證向量中來與用戶設備通訊，如下面進一步詳細描述的。
更具體地說，該用戶序號SQNMS 可在加密保護之後，例如橢圓曲線整合加密方案ECIES，由無線電介面向接入管理功能/安全錨點功能330發送。換言之，在認證程序期間，用來隱藏該訂閱永久識別符SUPI的橢圓曲線整合加密方案ECIES，可擴展至同時保護該用戶序號SQNMS 和該訂閱永久識別符SUPI。在一些實作方式中，該訂閱永久識別符SUPI可以與該用戶序號SQNMS 結合，並作為橢圓曲線整合加密方案ECIES中對稱加密用的一個明文區塊。該用戶序號SQNMS 和該訂閱永久識別符SUPI可以級聯或交錯等方式組合在一起。舉例來說，在使用國際移動用戶識別符（International Mobile Subscriber Identity; IMSI）代替訂閱永久識別符SUPI進行認證的情況下，一移動訂閱識別符號（Mobile Subscription Identification Number; MSIN）（舉例來說，9到10個數位）和該用戶序號SQNMS 可由該用戶設備組合後加密隱藏。相應地，在一本地網路中，可以使用同樣的對稱解密方案，例如橢圓曲線整合加密方案ECIES，來解密該訂閱永久識別符SUPI（或移動訂閱識別符號MSIN）和該用戶序號SQNMS 。
隱藏註冊時戳
在用於對抗上述訂閱隱藏識別符SUCI重播攻擊的一些其他實作方式中，用戶設備310可以在註冊或認證請求訊息中將一時戳與一訂閱隱藏識別符SUCI一起傳送到網路。該網路可以依賴這樣的時戳來檢測訂閱隱藏識別符SUCI重播攻擊。與上面描述的認證序號類似，該時戳可以與訂閱永久識別符SUPI組合，然後對該組合執行橢圓曲線整合加密方案ECIES。該訂閱永久識別符SUPI和時戳的組合可以基於其他形式的串聯或交錯方式組合在一起。
關於該註冊或認證請求訊息中的時戳的隱藏步驟，可以替代或附加於上述認證序號的隱藏步驟來執行。舉例來說，在使用橢圓曲線整合加密方案ECIES方案之前，該訂閱永久識別符SUPI、序號和/或時戳可由串聯或交錯方式組合。
訂閱隱藏識別符 SUCI 資料結構
訂閱永久識別符SUPI（或移動訂閱識別符號MSIN）與用戶序號SQNMS 和/或時戳的級聯組合的隱藏結果，可以當成一訂閱隱藏識別符SUCI資料結構的一部分，被發送到一服務網路的接入管理功能/安全錨點功能330。該訂閱隱藏識別符SUCI資料結構400的示例如圖4所示。該訂閱隱藏識別符SUCI結構400包含一訂閱永久識別符SUPI型別欄位402，其值範圍為例如0到7，用於識別隱藏在“方案輸出”欄位412中的識別符的型別，如同該訂閱隱藏識別符SUCI結構400的其他欄位。舉例來說，在欄位402中可以使用各種值來指示以下訂閱永久識別符SUPI型別：
-0：IMSI
-1：網路特定識別符
-2：全球線路識別符（Global Line Identifier; GLI）
-3：全球電纜識別符（Global Cable Identifier; GCI）
-4：訂閱永久識別符SUPI與用戶序號SQNMS 和/或訊息時戳的組合（例如串聯）
-5至7：其他指標的保留值。
上面列出的訂閱永久識別符SUPI型別對應關係僅供說明。可以使用其他通訊。舉例來說，包括保留值的其他值可用於指出與用戶序號SQNMS 和/或註冊訊息時戳組合的一訂閱永久識別符SUPI是被隱藏的。訂閱隱藏識別符SUCI結構400的其他欄位包括：例如，本地網路識別符404、路由指示符406、保護方案識別符408，以及本地網路公開金鑰識別符410。
基於隱藏訂閱永久識別符 SUPI 和認證序號的認證
圖5顯示了用於用戶設備310與本地核心網路認證伺服器功能360和UDM/ARPF 370之間的主網路註冊/認證的示例資料和流程圖500，該主網路註冊/認證透過服務網路接入管理功能/安全錨點功能330使用包含一用戶序號SQNMS 的一加密訂閱隱藏識別符SUCI，假設該用戶設備310與網路之間的認證成功。邏輯和資料流程500可以包括圖5中具有相應步驟號的以下示例性步驟。
1. 在主認證程序500期間，一統一移動電信系統訂閱模組USIM和一移動站ME透過例如級聯或交錯方式來組合一用戶設備310的一訂閱永久識別符SUPI和由該統一移動電信系統訂閱模組USIM或該移動站ME維護的一當前用戶序號SQNMS 。該訂閱永久識別符SUPI和該用戶序號SQNMS 的組合（舉例來說，串聯或交錯方式）明文區塊可以使用該統一移動電信系統訂閱模組USIM或該移動站ME中的橢圓曲線整合加密方案ECIES進行加密。藉此建構了圖4之後的一訂閱隱藏識別符SUCI資料結構，包括該訂閱永久識別符SUPI和該用戶序號SQNMS 的加密組合。該訂閱隱藏識別符SUCI資料結構（圖4的402）的“訂閱永久識別符SUPI 型別”欄位可以被用來指出該訂閱隱藏識別符SUCI結構包含了該訂閱永久識別符SUPI和該用戶序號SQNMS 的一隱藏組合。舉例來說，可以在訂閱隱藏識別符SUCI資料結構的“訂閱永久識別符SUPI型別”欄位中設定一數值“4”。
2.該用戶設備可以在一註冊請求訊息中使用該訂閱隱藏識別符SUCI資料結構。該註冊請求訊息從該用戶設備310發送到提供服務的一接入管理功能/安全錨點功能330。該訂閱隱藏識別符SUCI資料結構包含隱藏(加密)的用戶序號SQNMS 。
3.在從該用戶設備310接收到一註冊請求訊息後，該服務接入管理功能/安全錨點功能330無論在何時發起認證，該服務接入管理功能/安全錨點功能330可以透過向本地認證伺服器功能360發送一認證伺服器功能AUSF服務請求訊息（表示為NAUSF 認證請求訊息）來喚起一認證伺服器功能AUSF服務（表示為NAUSF 認證服務）。舉例來說，該NAUSF 認證請求訊息可以包含與隱藏的訂閱永久識別符SUPI和用戶序號SQNMS 嵌入在一起的一訂閱隱藏識別符SUCI，以及服務網路名稱。
4.在接收到該NAUSF 認證請求訊息時，本地認證伺服器功能360可以透過將接收到的服務網路名稱與期望的服務網路名稱進行比較來檢查服務網路中的請求接入管理功能/安全錨點功能330是否有權使用該NAUSF 認證請求訊息中包含的服務網路名稱。本地認證伺服器功能360可以臨時儲存接收到的服務網路名稱。如果服務網路未被授權使用接收到的服務網路名稱，則認證伺服器功能360可以在一回應訊息(表示為NAUSF 認證回應訊息)中回應該用戶設備310，指出該服務網路未被授權。如果該服務網路被授權使用所接收的服務網路名稱，則一統一資料管理UDM認證請求訊息(表示為NUDM 認證請求)可以從該本地認證伺服器功能360發送到本地UDM/ARPF 370。該NUDM 認證請求包含下列資訊：
-該訂閱隱藏識別符SUCI，包含該隱藏的訂閱永久識別符SUPI和該用戶序號SQNMS ；以及
-該服務網路名稱
5.在接收到該NUDM 認證請求時，如果本地UDM/ARPF 370從接收到的訂閱隱藏識別符SUCI資料結構的訂閱永久識別符SUPI型別欄位判定該訂閱永久識別符SUPI型別是該訂閱永久識別符SUPI與該用戶序號SQNMS 的組合，則可以喚起一訂閱識別符解密功能（Subscription Identifier De-concealment Function; SIDF）。藉此，該訂閱識別符解密功能SIDF可在該統一資料管理370可以處理請求之前，解密接收到的訂閱隱藏識別符SUCI以獲得該訂閱永久識別符SUPI和該用戶序號SQNMS 。基於該訂閱永久識別符SUPI，該UDM/ARPF 370可以執行其認證程序。解密的用戶序號SQNMS 可以儲存在UDM/ARPF 370中以供將來使用（如下圖6更詳細地描述）。該UDM/ARPF 370可進一步產生新的本地序號SQNHE ，其值大於當前本地序號SQNHE 。接著，該更新的本地序號SQNHE 被用來替換當前的本地序號SQNHE 。同時，基於更新的本地序號SQNHE 和其他資訊，產生一認證向量（認證向量的分量在以下步驟6中）。
6.對於每個NUDM 認證請求，UDM/ARPF 370可以創建一本地環境認證向量（Home Environment Authentication Vector; HE AV）。更確切的做法是，該UDM/ARPF 370產生一認證向量並將其中的認證管理欄位分隔位元設定為“1”。該UDM/ARPF 370隨後可匯出一金鑰KAUSF 並計算一預期回應(表示為XRES*)。最後，該UDM/ARPF 370可以根據一亂數(表示為RAND)、一認證金鑰(表示為AUTN)、該預期回應XRES*和該金鑰KAUSF 來創建該本地環境認證向量。舉例來說，該認證金鑰AUTN包含本地序號SQNHE 的資訊。然後，該UDM/ARPF 370可以將本地環境認證向量連同一指示一起回傳到認證伺服器功能360，該指示用以指出該本地環境認證向量可用於對該認證伺服器功能360的回應(表示為NUDM 認證回應)進行金鑰協商AKA。該UDM/ARPF 370可以將解密的該訂閱永久識別符SUPI包括在該NUDM 認證回應中。
7. 該認證伺服器功能360可以暫時地將該預期回應XRES*與從該UDM/ARPF 370接收到的一訂閱永久識別符SUPI儲存在一起。
8. 該認證伺服器功能360接著計算由該預期回應XRES*的雜湊(HASH)(表示為預期回應雜湊HXRES*)和由該金鑰KAUSF 產生的一密鑰 (表示為KSEAF )，在本地環境認證向量中用該預期回應雜湊HXRES*替換該預期回應XRES*，以及用密鑰KSEAF 替換該金鑰KAUSF ，藉此從該UDM/ARPF 370接收的該本地環境認證向量產生一認證向量。
9.認證伺服器功能360隨後可移除密鑰KSEAF 並在一回應訊息(表示為NAUSF 認證回應)中將一服務環境認證向量(Serving Environment Authentication Vector; SEAV)回傳給該請求接入管理功能/安全錨點功能330。該服務環境認證向量包括該亂數RAND、該認證金鑰AUTN和該預期回應雜湊HXRES*。
10. 請求接入管理功能/安全錨點功能330可以在非接入層NAS訊息認證請求中將包含在認證向量中的該亂數RAND和該認證金鑰AUTN發送給該用戶設備。該訊息還可以包括一ngKSI，供該用戶設備和該接入管理功能AMF使用來識別KAMF ，以及在認證成功時創建的部分本機安全上下文。該移動站ME可以將該非接入層NAS訊息認證請求中的該亂數RAND和該認證金鑰AUTN轉發給一統一移動電信系統訂閱模組USIM。
11.在收到該亂數RAND和該認證金鑰AUTN時，該用戶設備（例如一統一移動電信系統訂閱模組USIM或一移動站ME）可以透過檢查該認證金鑰AUTN是否可以被接受來驗證該認證向量的時效性。舉例來說，該用戶設備可以提取該認證金鑰AUTN中包含的一本地序號SQNHE 並與本身的用戶序號SQNMS 進行比較。如果該本地序號SQNHE 不小於該用戶序號SQNMS ，則該用戶設備可以判定序號同步成功。否則，該用戶設備判定序號同步失敗。當該用戶設備判定該序號用戶序號SQNMS 和本地序號SQNHE 是同步的時，該用戶設備執行圖5中的其餘步驟，如下所述。如果確認序號是同步的，該統一移動電信系統訂閱模組USIM可以計算一回應RES。統一移動電信系統訂閱模組USIM可以將該回應RES、一CK、以及一IK回傳給該移動站ME。如果該統一移動電信系統訂閱模組USIM使用一轉換函式c3從該CK和該IK計算一Kc（例如GPRS Kc），並將其發送給該移動站ME，則該移動站ME可以忽略此類GPRS Kc，而不將GPRS Kc儲存在該統一移動電信系統訂閱模組USIM或該移動站ME中。然後該移動站ME可以從該回應RES計算一認證回應RES*。該移動站ME可以從該CK||IK計算一金鑰KAUSF 。該移動站ME可以從該金鑰KAUSF 計算一密鑰KSEAF 。該接入網路的移動站ME可以在認證期間檢查一認證金鑰AUTN的認證管理欄位中的“分隔位元”是否設定為1。該“分隔位元”是認證金鑰AUTN的認證管理欄位的第0位。在確定該用戶序號SQNMS 和該本地序號SQNHE 同步後，該用戶設備用提取出來的本地序號SQNHE 更新（或替換）該用戶序號SQNMS 以供將來同步之用。
12. 該用戶設備310可以在一非接入層NAS訊息認證回應中將該認證回應RES*傳給該安全錨點功能SEAF。
13. 然後，該安全錨點功能330可以從該回應RES*計算一回應雜湊HRES*，並比較該回應雜湊HRES*和一預期回應雜湊HXRES*。如果兩者比較符合，則該安全錨點功能330可以從服務網路的角度認定用戶設備310的認證是成功的。當認證成功時，遵循以下圖5的其餘步驟。如果不是，安全錨點功能330可以透過例如發送帶有一失敗代碼的回應訊息和/或放棄/停止/登出認證來通知網路認證失敗。如果未到達該用戶設備（舉例來說，沒有從該用戶設備獲得回應），且該安全錨點功能330從未接收到該認證回應RES*，則該安全錨點功能SEAF可將認證視為失敗，並向該認證伺服器功能360指示失敗。
14. 該安全錨點功能330可以將從用戶設備310接收到的該認證回應RES*以一NAUSF 認證請求訊息發送到該認證伺服器功能360。
15. 當該認證伺服器功能360接收到包括該認證回應RES*的該NAUSF 認證請求訊息作為認證確認時，它可以驗證其中的認證向量是否已經過期。如果該認證向量已經過期，則該認證伺服器功能360可以從本地網路的角度判斷該用戶設備310的認證不成功。一旦成功認證，該認證伺服器功能360可以儲存一金鑰KAUSF 。該認證伺服器功能360可以將接收到的回應RES*與已儲存的預期回應XRES*進行比較。如果該回應RES*和該預期回應XRES*相等，則該認證伺服器功能360可以從本地網路的角度將用戶設備310的認證視為成功，並且遵循以下圖5的其餘步驟。認證伺服器功能360可以將認證結果通知該UDM/ARPF 370。一旦失敗（該回應RES*和該預期回應XRES*不相符），該認證伺服器功能360可以透過例如發送帶有一失敗代碼的回應訊息和/或放棄/停止/登出認證來通知網路認證失敗。
16.該認證伺服器功能360可以在該NAUSF 認證回應訊息中向該安全錨點功能330指示從本地網路的角度來看認證是否成功。如果認證成功，則該密鑰KSEAF 可以在該NAUSF 認證回應訊息中被發送到該安全錨點功能330。如果認證成功，那麼該認證伺服器功能360還可以將一訂閱永久識別符SUPI包括在該NAUSF 認證回應訊息中。
17. 該認證伺服器功能360可以使用一請求訊息，表示為NUDM 認證結果確認要求，將與該用戶設備310的認證程序的結果和時間通知該UDM/ARPF 370。該請求訊息可以包括一訂閱永久識別符SUPI、一認證的時戳、一認證型別（例如EAP方法或金鑰協商AKA）和一服務網路名稱。
18.該UDM/ARPF 370可以儲存該用戶設備310的認證狀態（訂閱永久識別符SUPI、認證結果、時戳和服務網路名稱），並使用當前本地序號SQNHE 更新其先前儲存的用戶序號SQNMS ，以用於將來的認證序號同步。
19.該UDM/ARPF 370可以用一回應訊息(表示為NUDM 認證結果確認回應)來回應給該認證伺服器功能360。
20.在接收到隨後的用戶設備相關程序（例如來自接入管理功能330的NUDM UECM註冊請求）時，該UDM/ARPF 370可以根據本地運營商的策略應用動作來檢測並實作針對特定型別的欺詐達到保護作用。
21.最後，該接入管理功能330將該全球唯一臨時識別符GUTI分配給該用戶設備310以用於進一步認證。
上述驗證步驟13和15可能失敗，指示著該用戶設備不能被認證。在這些情況下，可以級聯方式將一故障訊息發送到該UDM/ARPF 370。該UDM/ARPF 370仍然可以儲存認證狀態並用當前本地序號SQNHE 更新儲存的用戶序號SQNMS ，類似於上面的步驟18。
序號同步失敗處理
在步驟11中，如圖5所示並且如上所述，當從用戶設備310接收的認證金鑰AUTN提取的本地序號SQNHE 小於本身的用戶序號SQNMS 時，該用戶設備310可以判定序號同步失敗。圖6顯示了在這樣的序號同步失敗之後用於重新認證（Re-Authentication; RA）的示例邏輯和資料流程600。
在RA0中，如圖6所示，用戶設備310可以不計算嵌入了用戶序號SQNMS 的任何認證失敗資訊（例如AUTS）以便傳輸到接入管理功能330，以避免用戶序號SQNMS 在無線電介面中的另一次暴露。相對地，該用戶設備310僅向接入管理功能330發送一回應訊息，該回應訊息指出認證失敗的原因為序號失去同步。舉例來說，當該用戶設備310和網路受到一訂閱隱藏識別符SUCI重播攻擊時，會發生失去同步的狀況。作為RA1的示例，用戶設備310可在不計算AUTS且不與網路共用AUTS的情況下，僅以指示失敗原因為序號失敗/不匹配的一原因值來傳送認證失敗的情況至非接入層NAS。
在RA2中，在接收到來自該用戶設備310的一認證失敗訊息時，該安全錨點功能330可以向該認證伺服器功能360發送一NAUSF 認證請求訊息。
在RA3中，該認證伺服器功能360在從該接入管理功能330接收到該NAUSF 認證請求訊息時，向該UDM/ARPF 370發送一NUDM 認證請求訊息。
在RA4中，當UDM/ARPF 370從認證伺服器功能360接收到該NUDM 認證請求訊息時，該UDM/ARPF 370可以映射到本地環境HE/AuC。該UDM/ARPF 370可以透過使用儲存在該UDM/ARPF 370中的用戶序號SQNMS （舉例來說，在圖5的步驟5或18中）而不是更新的本地序號SQNHE 來發送一回應訊息(表示為NUDM 認證回應移動站訊息)，以供具有新的認證向量的用戶設備進行重新認證。接著，該認證伺服器功能360遵循圖5的步驟6-11的原理，與該用戶設備310一起運行新的認證程序。
訂閱永久識別符 SUPI 失敗的全球唯一臨時識別符 GUTI 識別符驗證
圖7顯示了用戶設備310使用網路分配的臨時識別符（舉例來說，透過先前的註冊和認證程序，例如從圖5所示的訂閱隱藏識別符SUCI註冊程序中的步驟21獲得的全球唯一臨時識別符GUTI）發起的註冊/認證程序的邏輯和資料流程700。下面描述圖7的步驟0-2。
0.一用戶設備310可以使用諸如全球唯一臨時識別符GUTI的一臨時識別符來發起註冊程序。
1.該用戶設備310可以在發送給一服務接入管理功能/安全錨點功能330的一註冊請求訊息中使用該臨時識別符全球唯一臨時識別符GUTI。
2. 該服務接入管理功能/安全錨點功能330可嘗試從例如在註冊訊息中識別的一舊AMF/SEAF 702中獲得該用戶設備的一訂閱永久識別符SUPI，以及，如果服務接入管理功能/安全錨點功能330未能從該舊AMF/SEAF 702獲得用戶設備上下文（圖7的步驟2a），該服務接入管理功能/安全錨點功能330可以向該用戶設備310發送具有識別符型別的一識別符請求訊息（圖7的步驟2b）。該用戶設備310在接收到該識別符請求訊息時，可以向該接入管理功能/安全錨點功能330發送一識別符回應訊息，其中該訂閱隱藏識別符SUCI嵌入了當前用戶序號SQNMS （圖7的步驟2c）。
邏輯和資料流程700中的其餘步驟3-21基本上使用一訂閱隱藏識別符SUCI來預執行認證程序，對應於圖5的邏輯和資料流程500中的步驟3-21。這些在圖7中示出的步驟，可參照圖5的相對說明，故此不再重複描述。
另外，如果在圖7的步驟11中在用戶設備310處的序號同步檢查失敗，則可以按照圖6的邏輯和資料流程600執行重新認證程序，如上之詳細描述。
此外，驗證步驟13和15可能失敗，指示著該用戶設備310不能被網路認證。在這些情況下，並且如上針對圖5所述，可以級聯方式將一故障訊息發送到該UDM/ARPF 370。一統一資料管理UDM仍然可以儲存認證狀態並用當前本地序號SQNHE 更新儲存的用戶序號SQNMS ，類似於圖7中的步驟18和上文針對圖5的步驟18。
訂閱永久識別符 SUPI 檢索成功的全球唯一臨時識別符 GUTI 認證
圖8顯示了一用戶設備310使用網路分配的臨時識別符（舉例來說，透過先前的註冊和認證程序，例如從圖5或圖7所示的訂閱隱藏識別符SUCI註冊程序中的步驟21獲得的全球唯一臨時識別符GUTI）發起的註冊/認證程序的邏輯和資料流程800，其中該用戶設備的訂閱永久識別符SUPI由服務網路成功地識別。圖8的邏輯和資料流程800類似於圖5的邏輯和資料流程500，除了步驟0-5之外，下面將更詳細地描述步驟0-5。
0.一本地UDM/ARPF 370先前已經為該用戶設備310儲存了一用戶序號SQNMS 。
1a.該用戶設備310可使用一全球唯一臨時識別符GUTI發起註冊程序。
1b.該用戶設備310可以在註冊請求訊息中使用全球唯一臨時識別符GUTI而不是訂閱隱藏識別符SUCI。該註冊請求訊息接著被發送到接入管理功能/安全錨點功能330。
2. 該服務接入管理功能/安全錨點功能330成功地從舊接入管理功能/安全錨點功能702獲得具有該訂閱永久識別符SUPI的用戶設備上下文。
3.當該服務接入管理功能/安全錨點功能330希望發起認證時，該服務接入管理功能/安全錨點功能330可透過向該認證伺服器功能360發送一NAUSF 認證請求訊息來喚起一認證伺服器功能AUSF認證服務。該NAUSF 認證請求訊息可以包含一訂閱永久識別符SUPI和一服務網路名稱。
4.在接收到該NAUSF 認證請求訊息時，該本地認證伺服器功能360可以將接收到的服務網路名稱與期望的服務網路名稱進行比較來檢查服務網路中的請求接入管理功能/安全錨點功能330是否有權使用該NAUSF 認證請求訊息中包含的服務網路名稱。該本地認證伺服器功能360可以臨時儲存接收到的服務網路名稱。如果該服務網路未被授權使用服務網路名稱，則該本地認證伺服器功能360可以透過在一回應訊息(表示為由NAUSF 認證回應)指示該服務網路未被授權。然後，該認證伺服器功能360可以向該本地UDM/ARPF 370發送一請求訊息(表示為NUDM 認證請求)。該NUDM 認證請求可以包括該用戶設備的訂閱永久識別符SUPI和服務網路名稱。
5.在接收到來自該本地認證伺服器功能360的NUDM 認證請求時，該本地UDM/ARPF 370可以基於該訂閱永久識別符SUPI選擇認證方法。在該本地UDM/ARPF 370處，使用大於該用戶設備310所使用的先前序號的一個新本地序號SQNHE 來產生一本地環境認證向量。
圖8的邏輯和資料流程800的上述步驟與圖5的邏輯和資料流程500中的相應步驟之間的區別在於，在認證程序中，從該服務網路向該本地網路傳遞的是訂閱永久識別符SUPI而不是訂閱隱藏識別符SUCI。這樣，該用戶設備的用戶序號SQNMS 將不會被發送到本地UDM/ARPF 370，並且如圖8的步驟0所示，先前儲存在本地統一資料管理UDM中的用戶序號SQNMS 將不會用當前用戶序號SQNMS 更新。
圖8的邏輯和資料流程800中的其餘步驟6-21基本上預先形成了與圖5的邏輯和資料流程500中的步驟6-21相同的認證程序。這些步驟在圖8中進行了總結，並在上面參照圖5進行了解釋，這裡不重複描述。
另外，如果在圖8的步驟11中在用戶設備處序號同步檢查失敗，則可以按照圖6的邏輯和資料流程600執行重新認證程序，已在前段詳細描述。在重新認證邏輯和資料流程600中，在步驟RA4中，本地UDM/ARPF 370可以基於先前儲存的用戶序號SQNMS 產生的新認證向量。在該UDM/ARPF 370處維護的用戶序號SQNMS 不會由於邏輯和資料流程800中的全球唯一臨時識別符GUTI認證步驟1-5中缺乏更新而變得不同步，因為在圖5，圖7和圖8的邏輯和資料流程500, 700和800中，這些邏輯和資料流程的步驟18用當前本地序號SQNHE 替換儲存的用戶序號SQNMS ，所以任何成功的認證將使UDM/ARPF 370處維護的用戶序號SQNMS 更新（或同步）。
此外，圖8的邏輯和資料流程800的驗證步驟13和15可能失敗，這表示用戶設備310不能被網路認證。在這些情況下，並且如上針對圖5所述，可以級聯方式將一故障訊息發送到該UDM/ARPF 370。該UDM/ARPF 370仍然可以儲存認證狀態並用當前本地序號SQNHE 更新儲存的用戶序號SQNMS ，類似於圖8中的步驟18和上文針對圖5的步驟18所述。
利用序號從網路側對抗訂閱隱藏識別符 SUCI 重播攻擊
在一些實作方式中，可以利用一用戶設備側的用戶序號SQNMS 和本地環境側的本地序號SQNHE 在網路側檢測訂閱隱藏識別符SUCI重播攻擊。在圖5-7的步驟1-5中，將嵌入了隱藏(加密)的永久用戶設備識別符和隱藏(加密)的用戶序號SQNMS 的一訂閱隱藏識別符SUCI作為傳輸結果，使該網路側可獲取該用戶序號SQNMS 。
圖9顯示了一用戶設備310以一訂閱隱藏識別符SUCI和一用戶序號SQNMS 發起的註冊/認證程序的示例邏輯和資料流程900。該訂閱隱藏識別符SUCI具有隱藏(加密)的網路識別符（舉例來說，訂閱永久識別符SUPI）。該邏輯和資料流程900類似於圖5的邏輯和資料流程500，只是在步驟5中，該訂閱隱藏識別符SUCI重播攻擊檢測程序是由本地UDM/ARPF 370所執行。
具體地說，在邏輯和資料流程900的步驟5中，在接收到從一本地認證伺服器功能360發送的一NUDM 認證請求時，如果該訂閱永久識別符SUPI的型別是訂閱永久識別符SUPI與用戶序號SQNMS 的組合，則該本地UDM/ARPF 370可以喚起一訂閱識別符解密功能SIDF，然後，該訂閱識別符解密功能可以在該本地UDM/ARPF 370處理該請求之前解密接收到的訂閱隱藏識別符SUCI以獲得與該用戶設備310相關聯的訂閱永久識別符SUPI和用戶序號SQNMS 。
在圖9的邏輯和資料流程900的步驟5中，對來自網路側的一訂閱隱藏識別符SUCI重播攻擊檢測，該本地UDM/ARPF 370進行以下判定步驟：
- 如果該本地UDM/ARPF 370還沒有該用戶設備310本身的用戶序號SQNMS ，則可儲存隨著該訂閱隱藏識別符SUCI一起接收的用戶序號SQNMS ，根據該訂閱永久識別符SUPI進一步選擇認證方法，並且基於更新/遞增後的本地序號SQNHE 產生一認證向量。
- 如果該本地UDM/ARPF 370先前已儲存有該用戶設備310的用戶序號SQNMS ，則將接收到的用戶序號SQNMS 和先前儲存的用戶序號SQNMS 進行比對。
o 如果比對結果顯示接收到的用戶序號SQNMS 小於或等於先前儲存的用戶序號SQNMS ，則本地UDM/ARPF 370判定訂閱隱藏識別符SUCI重播攻擊已經發生，並用一失敗代碼回應或丟棄訊息以停止該認證程序。
o 然而，如果比對結果顯示所接收的用戶序號SQNMS 大於所儲存的用戶序號SQNMS ，則本地UDM/ARPF 370可根據一訂閱永久識別符SUPI選擇認證方法，基於更新/遞增的本地序號SQNHE 產生一 認證向量，並繼續圖9的中的認證程序的其餘部分。
o 如果本地序號SQNHE 小於或等於儲存的用戶序號SQNMS ，則主UDM/ARPF 370丟棄該認證向量和本地序號SQNHE ，並用更新的本地序號SQNHE 產生新的認證向量。
除了圖9的邏輯和資料流程900中的步驟5之外的其餘步驟基本上預先形成了與圖5的邏輯和資料流程500中的相應步驟一樣的認證程序。這些步驟已在圖9中進行了總結，並在上面參照圖5進行了解釋，這裡不重複描述。
類似地，圖10顯示了一用戶設備310使用網路分配的臨時識別符（例如透過先前的註冊和認證程序，從圖9所示的訂閱隱藏識別符SUCI註冊程序中的步驟21）發起的註冊/認證程序的邏輯和資料流程1000。圖10的各個步驟與圖7的步驟相似，只是步驟5包括了檢測訂閱隱藏識別符SUCI重播攻擊的程序。圖10的邏輯和資料流程1000中的步驟5類似於圖9所示並在上面詳細描述的邏輯和資料流程900中的步驟5。因此，這裡不重複地描述圖10中總結的步驟。
此外，圖11顯示了由用戶設備310使用諸如透過先前的註冊和認證程序（例如從圖9或圖11所示的訂閱隱藏識別符SUCI註冊程序中的步驟21）獲得的全球唯一臨時識別符GUTI之類的網路分配的臨時識別符發起的註冊/認證程序，其中用戶設備的訂閱永久識別符SUPI已由服務網路成功地識別。圖11的各個步驟與圖8的步驟相似，只是在步驟5中UDM/ARPF 370可以根據訂閱永久識別符SUPI選擇認證方法，並基於本地序號SQNHE 產生認證向量。如果本地序號SQNHE 小於或等於用戶序號SQNMS ，該UDM/ARPF 370可以丟棄認證向量和本地序號SQNHE ，並且產生新的認證向量和本地序號SQNHE 。
另外，如果在圖9、10和11的步驟11中序號同步檢查在用戶設備處失敗。可以按照圖6的邏輯和資料流程600執行重新認證程序，如上面更詳細地描述的。在重新認證邏輯和資料流程600中，在步驟RA4由本地UDM/ARPF 370基於先前儲存的用戶序號SQNMS 產生的新認證向量。
利用一註冊請求訊息時戳從網路側抵禦訂閱隱藏識別符 SUCI 重播攻擊
在一些實作方式中，可以在網路側根據用戶設備註冊請求時戳檢測訂閱隱藏識別符SUCI重播攻擊。如上所述，由於在訂閱隱藏識別符SUCI中嵌入了隱藏的用戶設備識別符和隱藏的時戳，使網路側可獲得該註冊請求時戳。
圖12顯示了一用戶設備310使用一訂閱隱藏識別符SUCI發起的註冊/認證程序的示例邏輯和資料流程1200，其中該訂閱隱藏識別符SUCI具有隱藏的網路識別符（舉例來說，訂閱永久識別符SUPI）和隱藏的註冊請求時戳。此邏輯和資料流程1200與圖9的邏輯和資料流程900類似。不同處在於該訂閱隱藏識別符SUCI中隱藏的資訊包括一用戶設備識別符和一註冊請求時戳，而不是一用戶設備識別符和一用戶序號SQNMS 。而步驟5中，由本地UDM/ARPF 370根據該註冊請求時戳執行一訂閱隱藏識別符SUCI重播攻擊檢測程序，而不是根據認證序號執行。
下面更詳細地描述如圖12所示的邏輯和資料流程1200的示例步驟1-5。
1.在主認證程序期間，該用戶設備310（舉例來說，統一移動電信系統訂閱模組USIM）透過級聯、交錯方式或其他組合方式組合一訂閱永久識別符SUPI和註冊請求，或一訊息時戳(訊息時間)。訊息時間可以表示發送訊息（舉例來說，註冊或認證訊息）時的UTC時間。圖4之後的訂閱隱藏識別符SUCI資料結構可以被改造成包括該訂閱永久識別符SUPI和該訊息時戳的加密組合。一訂閱隱藏識別符SUCI結構（圖4的402）的“訂閱永久識別符SUPI型別”欄位可以被設計用來指示出該訂閱隱藏識別符SUCI結構是否包含該訂閱永久識別符SUPI和該訊息時間的隱藏組合。舉例來說，可以在訂閱隱藏識別符SUCI結構的“訂閱永久識別符SUPI型別”欄位中設定一值為“4”。
2. 從用戶設備310發送到服務接入管理功能/安全錨點功能330的一註冊請求訊息中，該用戶設備可使用包含一隱藏訊息時間的訂閱隱藏識別符SUCI。
3. 當從該用戶設備310接收到該註冊請求訊息時，服務接入管理功能/安全錨點功能330可以透過在接入管理功能/安全錨點功能330希望發起認證時向認證伺服器功能360發送一 認證伺服器功能AUSF服務請求訊息（表示為NAUSF 認證請求訊息）來喚起一認證伺服器功能AUSF服務（表示為NAUSF 認證服務）。舉例來說，該NAUSF 認證請求訊息可以包含一訂閱隱藏識別符SUCI以及服務網路名稱。該訂閱隱藏識別符SUCI嵌入了隱藏的訂閱永久識別符SUPI和訊息時間。
4.在接收到該NAUSF 認證請求訊息時，本地認證伺服器功能360可以透過將接收到的服務網路名稱與期望的服務網路名稱進行比較來檢查服務網路中的請求接入管理功能/安全錨點功能330是否有權使用NAUSF 認證請求訊息中包含的服務網路名稱。認證伺服器功能360可以臨時儲存接收到的服務網路名稱。如果服務網路未被授權使用接收到的服務網路名稱，則認證伺服器功能360可以在NAUSF 服務回應訊息中回應該用戶設備310，指示該服務網路未被授權。如果該服務網路被授權使用所接收的服務網路名稱，則從本地認證伺服器功能360發送一統一資料管理UDM認證請求訊息(表示為NUDM 認證請求)到本地UDM/ARPF 370。從認證伺服器功能360發送到UDM/ARPF 370的NUDM 認證請求可以包括以下資訊：
- 一訂閱隱藏識別符SUCI，包含隱藏的訂閱永久識別符SUPI和訊息時間；和
- 該服務網路名稱。
5.在接收到來自本地認證伺服器功能360的NUDM 認證請求時，本地UDM/ARPF 370可以喚起一訂閱識別符解密功能SIDF，如果該訂閱永久識別符SUPI型別與訊息時間相結合，則該訂閱識別符解密功能SIDF程序可以在本地UDM/ARPF 370可以處理該NUDM 認證請求之前解密接收到的訂閱隱藏識別符SUCI以獲得該訂閱永久識別符SUPI和該訊息時間。在步驟5中，檢測來自網路側的訂閱隱藏識別符SUCI重播攻擊時，本地UDM/ARPF 370可以比較接收到的訊息時間和當前的UTC時間，並作出以下示例判定：
- 如果接收到的訊息時間小於當前的UTC時間減去一預定最大延遲時間，則主UDM/ARPF 370可以用一故障代碼回應，或者丟棄並停止處理該訊息。舉例來說，最大延遲MAX_DELAY表示一最大傳輸時間閾值。舉例來說，可以根據用戶設備310和UDM/ARPF 370之間的估計資料傳輸速度預先判定該最大延遲，並可根據需要進一步調整。
- 如果接收到的訊息時間大於或等於當前的UTC時間減去該最大延遲MAX_DELAY，並且小於當前的UTC時間，則該本地UDM/ARPF 370可基於訂閱永久識別符SUPI選擇認證方法，產生一認證向量，並且繼續圖12的其餘認證步驟。
圖12的邏輯和資料流程1200中的步驟1-5之外的其餘步驟基本上預執行與圖5的邏輯和資料流程500中的相應步驟相同。不同的是，步驟11用戶設備側的用戶序號SQNMS 更新，或步驟18網路側的用戶序號SQNMS 更新，不是必要步驟。這些步驟在圖12中進行了總結，並在上面參照圖5進行了說明，並且這裡不重複地描述。
類似地，圖13顯示了由用戶設備310使用網路分配的臨時識別符（例如透過先前的註冊和認證程序，從圖12所示的訂閱隱藏識別符SUCI註冊程序中的步驟21獲得的全球唯一臨時識別符GUTI）發起的註冊/認證程序的邏輯和資料流程1300。圖13的各個步驟與圖7的步驟相似。不同之處在於，步驟1-5使用的是隱藏的時戳而不是用戶序號SQNMS （如圖12的步驟1-5該）。步驟5包括的訂閱隱藏識別符SUCI重播攻擊的檢測程序，類似於圖12所示並在上面詳細描述的邏輯和資料流程1200中的步驟5。在步驟11中，用戶設備側的用戶序號SQNMS 更新可能不是必要步驟。在步驟18中，網路側的用戶序號SQNMS 更新可能不是必要步驟。因此，這裡不重複地描述圖13中總結的步驟。
隱藏的用戶序號 SQNMS 和隱藏的註冊請求訊息時戳的組合
在一些其他實作方式中，可以同時使用用戶序號SQNMS 和註冊訊息時戳。換句話說，用戶序號SQNMS 和註冊訊息時戳兩者都可以與訂閱永久識別符SUPI組合，並被隱藏(加密)以產生一訂閱隱藏識別符SUCI，用於註冊和認證。因此，各種在圖5、7、9、10和11中的邏輯資料可以與圖12和13中的邏輯和資料流程相結合，形成其他邏輯和資料流程。舉例來說，用戶序號SQNMS 和註冊訊息時戳兩者可被發送到儲存用戶序號SQNMS 的本地UDM/ARPF 370，且兩者都可以用於檢測和回應訂閱隱藏識別符SUCI重播攻擊。
上面的附圖和描述提供了具體的實施例，以及實作方式。然而，所描述的主題可以以各種不同的形式體現，因此，所涵蓋或要求保護的主題意圖被解釋為不限於本文所闡述的任何示例實施例。主張或涵蓋的標的物的範圍相當廣泛。在其它事物中，舉例來說，主題可以具體化為用於儲存電腦代碼的方法、裝置、元件、系統或非暫時性電腦可讀媒體。因此，實施例可以例如採取硬體、軟體、韌體、儲存媒體或其任何組合的形式。舉例來說，上述方法實施例可以由包括記憶體和處理器的元件、裝置或系統透過執行儲存在記憶體中的電腦代碼來實作。
在整個說明書和請求項中，術語可能具有在上下文中建議或暗示的微妙含義，而不是明確宣告的含義。同樣，本文中使用的短語“在一個實施例/實作中”不一定指同一實施例，並且本文中使用的短語“在另一實施例/實作方式中”不一定指不同的實施例。舉例來說，意圖要求保護的主題包括全部或部分示例性實施例的組合。
一般來說，術語至少可以部分地從上下文中的用法來理解。舉例來說，本文中使用的諸如“和”、“或”或“和/或”之類的術語可以包括各種含義，這些含義可以至少部分地取決於使用這些術語的上下文。通常，“或”如果用於關聯串列，例如A、B或C，若運用在包含意義上則意指A、B和C，若用在排他意義上，則意指A、B或C。此外，本文中使用的術語“一個或多個”，至少部分取決於上下文，可用於描述單數意義上的任何特徵、結構或特徵，或可用於描述複數意義上的特徵、結構或特徵的組合。類似地，諸如“一”、“該”等術語可被理解為傳達單數用法或傳達複數用法，至少部分取決於上下文。此外，術語“基於”可被理解為不一定意欲傳達一組排他因素，並且可允許存在不一定明確描述的額外因素，這至少部分取決於上下文。
在本說明書中對特徵、優點或類似語言的引用並不意味著可以用本解決方案實作的所有特徵和優點都應該或被包括在其任何單個實作方式中。相反，提及特徵和優點的語言被理解為意味著結合實施例描述的特定特徵、優點或特徵被包括在本解決方案的至少一個實施例中。因此，在整個說明書中對特徵和優點以及類似語言的討論可以（但不一定）提及相同的實施例。
此外，在一個或多個實施例中，本解決方案的所描述的特徵、優點和特徵可以以任何合適的方式組合。根據本文的描述，相關領域的普通技術人員將認識到，可以在沒有特定實施例的一個或多個特定特徵或優點的情況下實踐本解決方案。在其它實體中，可在某些實施例中認識到在本解決方案的所有實施例中可能不存在的附加特徵和優點。
100，200:通訊網路102:載波網路 110,112:終端裝置120:接入網路 130:核心網路140:服務應用 150:資料網路210:應用資料管理網路節點ADMNN 220:策略控制網路節點PCNN230:接入管理網路節點AMNN 240:會話管理網路節點SMNN250:資料路由網路節點DRNN 260:認證網路節點AUNN270:網路資料管理網路節點NDMNN 300:無線通訊網路310:用戶設備UE 311:無線電介面313:通訊介面 320:無線接入網路RAN322:策略控制功能PCF 330:接入管理功能AMF/SEAF340:會話管理功能SMF 350:用戶平面功能UPF360:認證伺服器功能AUSF 370:統一資料管理/認證憑證儲存庫和處理功能UDM/ARPF 380:AAnF390:應用功能AF 400:訂閱隱藏識別符SUCI資料結構402:訂閱永久識別符型別欄位 404:本地網路識別符406:路由指示符 408:保護方案識別符410:本地網路公開金鑰識別符 412:方案輸出 500,600,700,800,900,1000,1100,1200,1300:邏輯和資料流程
圖1顯示了包括無線終端裝置、載波網路、資料網路和服務應用的示例性通訊網路。 圖2顯示了通訊網路中的示例性網路功能或網路節點。 圖3顯示了無線通訊網路中的示例性網路功能或網路節點。 圖4根據本發明實施例顯示了用於無線終端裝置的網路註冊和認證的使用者隱藏識別符的示例資料結構。 圖5根據本發明實施例顯示了基於一訂閱者隱藏識別符以及一無線終端的隱藏認證序號，在該無線終端裝置和核心網路之間的主網路註冊/認證的示例資料和流程圖。 圖6根據本發明實施例顯示了在無線終端裝置檢測到認證序號失去同步時，用於重新認證的示例資料和流程圖。 圖7根據本發明實施例顯示了基於無法驗證的一無線終端裝置網路分配臨時識別符和認證序號，在無線終端裝置和核心網路之間進行註冊/認證的示例資料和流程圖。 圖8根據本發明實施例顯示了基於成功驗證的一網路分配無線終端裝置臨時識別符和認證序號，在無線終端裝置和核心網路之間進行註冊/認證的示例資料和流程圖。 圖9根據本發明實施例顯示了基於使用者隱藏識別符和無線終端裝置的隱藏認證序號，以及從網路側檢測認證序號失去同步的情況，在無線終端裝置和核心網路之間的主網路註冊/認證的網路側示例資料和流程圖。 圖10根據本發明實施例顯示了基於不能被驗證的一網路分配無線終端裝置臨時識別符，以及從網路側檢測認證序號失去同步的情況，在無線終端裝置和核心網路之間進行註冊/認證的網路側示例資料和流程圖。 圖11根據本發明實施例顯示了基於被成功驗證的一網路分配無線終端裝置臨時識別符，認證序號，以及從網路側檢測認證序號失去同步的情況，在無線終端裝置和核心網路之間進行註冊/認證的示例資料和流程圖。 圖12根據本發明實施例顯示了基於訂戶隱藏識別符和相應註冊訊息的隱藏時戳，以及網路側從註冊訊息時戳檢測註冊重播攻擊的情況，在無線終端裝置和核心網路之間的主網路註冊/認證的示例資料和流程圖。 圖13根據本發明實施例顯示了基於無法被驗證的一網路分配無線終端裝置臨時識別符，一相應的註冊訊息隱藏時戳，以及網路側從註冊訊息時戳檢測註冊重播攻擊的情況，在無線終端裝置和核心網路之間進行註冊/認證的示例資料和流程圖。
310:用戶設備UE
330:接入管理功能AMF/SEAF
360:認證伺服器功能AUSF
370:統一資料管理/認證憑證儲存庫和處理功能UDM/ARPF
1-21:步驟

Claims (28)

  1. 一種產生訂閱資料項目的方法，由一網路內的一第一網路元件執行，該方法包括： 獲取指示當前時間的一時戳； 獲取識別符該第一網路元件的一訂閱識別符； 組合該時戳和該訂閱識別符以獲得一複合資料項目； 對該複合資料項目進行加密以獲得一加密複合資料項目；和 產生一訂閱資料項目，該訂閱資料項目包括作為該第一網路元件的一隱藏識別符的該加密複合資料項目和用於指示該隱藏識別符的型別的一型別指示符。
  2. 如請求項1所述的方法，其中獲取該訂閱識別符的步驟包括：檢索儲存在該第一網路元件中的訂閱模組中的一永久訂閱識別符。
  3. 如請求項1所述的方法，其中該時戳以世界協調時間（UTC）時間格式產生。
  4. 如請求項1所述的方法，其中該訂閱識別符和該時戳透過級聯或交錯方式之一組合而成。
  5. 如請求項1所述的方法，其中該型別指示符包括一唯一值，用以指出該訂閱資料項目中的該隱藏識別符是該訂閱識別符和該時戳的組合。
  6. 如請求項1所述的方法，其中，對該複合資料項目進行加密以獲得該加密複合資料項目的步驟包括：根據一橢圓曲線整合加密方案對該複合資料項目進行加密以獲得該加密複合資料項目。
  7. 如請求項1所述的方法，其中該第一網路元件包括用戶設備。
  8. 如請求項1所述的方法，其中該訂閱資料項目形成一訂閱隱藏識別符。
  9. 如請求項1所述的方法，其中該訂閱識別符包括該第一網路元件的唯一訂閱永久識別符。
  10. 如請求項1所述的方法，進一步包含： 產生包括該訂閱資料項目的一第一訊息，用於請求在該網路中註冊或認證該第一網路元件；以及 將該第一訊息發送到該網路內的一第二網路元件以進行註冊或認證。
  11. 如請求項10所述的方法，其中該第一訊息包括： 由該第一網路元件發起的註冊請求訊息；或 由該第一網路元件回應來自該網路的識別符請求的一識別符回應訊息。
  12. 如請求項11所述的方法，其中該網路包含5G通訊網路且該第一訊息經由N1介面傳輸。
  13. 一種處理一認證訊息的方法，其中該認證訊息由一網路中的一第一網路元件發起，由該網路中的一第二網路元件執行，該認證訊息包括一訂閱資料項目和一型別指示符，該訂閱資料項目具有該第一網路元件的一隱藏識別符，以及，該型別指示符指示該隱藏識別符的型別；該方法包括： 解譯該認證訊息以獲得該隱藏識別符和該型別指示符； 解密該隱藏識別符以獲得一解密資料項目；和 當根據該型別指示符判定該隱藏識別符是一複合資料項目時，解譯該解密資料項目以獲得一第一時戳和該第一網路元件的一訂閱識別符，其中該第一時戳用以指示何時從該第一網路元件發起該認證訊息。
  14. 如請求項13所述的方法，進一步包含獲取一第二時戳，該第二時戳指示該第二網路元件何時接收到認證訊息。
  15. 如請求項14所述的方法，其中該第二網路元件被配置用於維持一最大傳輸時延閾值，且其中該方法進一步包括從該第二時戳扣除該最大傳輸時延閾值以獲得一截止時戳。
  16. 如請求項15所述的方法，進一步包含：當該第一時戳小於該截止時戳時，丟棄和終止對該認證訊息的處理。
  17. 如請求項15所述的方法，進一步包含：當該第一時戳小於該截止時戳時，向該認證訊息發送包括一故障碼的一回應訊息。
  18. 如請求項15所述的方法，進一步包含：當該第一時戳大於或等於該截止時戳，且該第一時戳小於該第二時戳時： 產生一認證向量；和 向該認證訊息發送一回應訊息，包括該認證向量和該訂閱識別符。
  19. 如請求項18所述的方法，其中該網路包含5G通訊網路且該回應訊息經由一N13介面傳送。
  20. 如請求項15所述的方法，其中該最大傳輸時延閾值是根據該第一網路元件和該第二網路元件之間的資料傳輸速度預先判定的。
  21. 如請求項13所述的方法，其中該第一時戳以世界協調時間格式產生。
  22. 如請求項13所述的方法，其中，當判定該隱藏識別符是一複合資料項目時，該型別指示符包括一唯一值，用以指出該訂閱資料項目中的該隱藏識別符是該訂閱識別符和該時戳的組合。
  23. 如請求項13所述的方法，其中該第一網路元件包括一用戶設備，該第二網路元件包括統一資料管理或認證憑證儲存庫和處理功能中的至少一個。
  24. 如請求項13所述的方法，其中該訂閱資料項目形成一訂閱隱藏識別符。
  25. 如請求項13所述的方法，其中該訂閱識別符包括該第一網路元件的訂閱永久識別符。
  26. 一種如請求項1至12中任一請求項所述的第一網路元件，包括可實作請求項1至12中任一請求項所述的方法的一處理器。
  27. 一種如請求項13至25中任一請求項所述的第二網路元件，包括可實作請求項13至25中任一請求項所述的方法的一處理器。
  28. 一種電腦程式產品，包括一種非暫時性電腦可讀程式媒體，其上儲存有電腦代碼，該電腦代碼在由處理器執行時，使處理器實作請求項1至25中任一請求項所述的方法。
TW110117944A 2020-09-30 2021-05-18 一種防止加密用戶識別符被重播攻擊的方法 TW202142011A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
WOPCT/CN2020/119408 2020-09-30
PCT/CN2020/119408 WO2022067667A1 (en) 2020-09-30 2020-09-30 A method for preventing encrypted user identity from replay attacks

Publications (1)

Publication Number Publication Date
TW202142011A true TW202142011A (zh) 2021-11-01

Family

ID=80783124

Family Applications (1)

Application Number Title Priority Date Filing Date
TW110117944A TW202142011A (zh) 2020-09-30 2021-05-18 一種防止加密用戶識別符被重播攻擊的方法

Country Status (3)

Country Link
CN (1) CN116235462A (zh)
TW (1) TW202142011A (zh)
WO (1) WO2022067667A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115065553A (zh) * 2022-07-27 2022-09-16 远江盛邦（北京）网络安全科技股份有限公司 一种单包认证方法、装置、电子设备及存储介质
CN116528234B (zh) * 2023-06-29 2023-09-19 内江师范学院 一种虚拟机的安全可信验证方法及装置

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3673675B1 (en) * 2017-08-21 2023-08-30 Nokia Technologies Oy Registering user equipment with a visited public land mobile network
CN114928842A (zh) * 2019-03-01 2022-08-19 华为技术有限公司 一种认证结果更新的方法和通信装置

Also Published As

Publication number Publication date
CN116235462A (zh) 2023-06-06
WO2022067667A1 (en) 2022-04-07

Similar Documents

Publication Publication Date Title
US11871225B2 (en) Mutual authentication between wireless access devices
US11588626B2 (en) Key distribution method and system, and apparatus
US9060270B2 (en) Method and device for establishing a security mechanism for an air interface link
JP4488719B2 (ja) ネットワーク通信のためのレイヤ間の高速認証または再認証
CN108880813B (zh) 一种附着流程的实现方法及装置
Liu et al. Toward a secure access to 5G network
CN108683510A (zh) 一种加密传输的用户身份更新方法
KR20100083840A (ko) Ｕｉｃｃ와 단말기간 보안 채널화를 위한 기술
US11909869B2 (en) Communication method and related product based on key agreement and authentication
Thigale et al. Applying New Trust Requirements in 3GPP Mobile Systems for Improved Subscriber Identity Privacy
Khan et al. Defeating the downgrade attack on identity privacy in 5G
KR20060134774A (ko) 무선 휴대 인터넷 시스템의 ｍａｃ 계층에서 보안 기능을 구현하기 위한 장치 및 이를 이용한 인증 방법
TW202142011A (zh) 一種防止加密用戶識別符被重播攻擊的方法
CN115004742A (zh) 在通信网络中用于与服务应用的加密通信的锚密钥生成和管理的方法、设备和系统
JP2000115161A (ja) 移動体匿名性を保護する方法
US20230269690A1 (en) Registration methods using one-time identifiers for user equipments and nodes implementing the registration methods
CA3190801A1 (en) Key management method and communication apparatus
WO2022067627A1 (en) A method for preventing leakage of authentication sequence number of a mobile terminal
CN114946153A (zh) 与服务应用进行加密通信的通信网络中的应用密钥生成与管理的方法、设备及系统
CN115767539A (zh) 基于终端标识符更新的5g认证方法
Moroz et al. Methods for ensuring data security in mobile standards
WO2021236078A1 (en) Simplified method for onboarding and authentication of identities for network access
WO2022067628A1 (en) A method for preventing encrypted user identity from replay attacks
US11838428B2 (en) Certificate-based local UE authentication
WO2022183427A1 (en) Method, device, and system for protecting sequence number in wireless network