TWI497965B - 長期演進無線裝置中實施安全性方法及裝置 - Google Patents

長期演進無線裝置中實施安全性方法及裝置 Download PDF

Info

Publication number
TWI497965B
TWI497965B TW100144259A TW100144259A TWI497965B TW I497965 B TWI497965 B TW I497965B TW 100144259 A TW100144259 A TW 100144259A TW 100144259 A TW100144259 A TW 100144259A TW I497965 B TWI497965 B TW I497965B
Authority
TW
Taiwan
Prior art keywords
nas
message
rrc
security
wtru
Prior art date
Application number
TW100144259A
Other languages
English (en)
Other versions
TW201244434A (en
Inventor
拉傑 普利塔 穆克吉
彼得 王
穆罕默德 薩摩爾
山卡爾 索馬桑德朗
Original Assignee
內數位科技公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 內數位科技公司 filed Critical 內數位科技公司
Publication of TW201244434A publication Critical patent/TW201244434A/zh
Application granted granted Critical
Publication of TWI497965B publication Critical patent/TWI497965B/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/02—Data link layer protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

長期演進無線裝置中實施安全性方法及裝置
本方法和裝置與無線通信有關。尤其地，本方法和裝置與長期演進相容無線設備中的安全通信有關。
第三代合作夥伴計畫(3GPP)長期演進(LTE)的目前目標是為新的LTE設定和配置帶來新技術、新體系架構和新方法，以提供改進的頻譜效率和減少的延遲時間，從而更好的使用無線電資源，以日益提高的用戶體驗和低成本的豐富的應用以及服務。
作為該演進程序的一部分，3GPP組將在LTE中使用與通用行動電信系統(UMTS)和全球行動通信系統(GSM)中所用的不同安全性架構。出於比較目的，假設在封包交換(PS)域中，UMTS認證和密鑰協定(AKA)程序為用於所提出的新LTE程序的基線。
第1圖示出了UMTS存取層協定堆疊100。UMTS AKA和加密程序覆蓋在多個協定層上，並且使用非存取層(NAS)和無線電資源控制(RRC)信令二者來達成其目的。通常地，無線發射接收單元(WTRU)的標識和認證是經由NSA信令來完成的。一旦在NAS級的認證完成，則加密及/或完整性保護由網路使用安全模式指令來啟動，該安全模式指令為RRC訊息。一旦使用RRC層的安全模式指令啟動安全性，則WTRU通過在GMMAS-SAP(在 GPRS移動性管理(GMM)和AS之間進行定義的)上使用GMMAS-SECURITY-RES基元將加密和完整性密鑰(CK和IK)傳遞至存取層(AS)。在接收到這些密鑰後，RRC 110使用CRLC-CONFIG基元(在RRC和RLC之間的C-SAP上)和CMAC-CONFIG基元(在RRC與MAC之間的C-SAP上)將這些密鑰傳遞給無線電鏈路控制器(RLC)120和媒體存取控制(MAC)130。C-SAP(未顯示)是用於RRC和較低層之間的C平面信令的服務存取點。實際的加密和完整性保護通常是在RLC 120中執行的，但在透明的RLC模式訊務情況下則是在MAC 130中執行的。較低層(即MAC/RLC)用於確保用於上層(如第三層NAS訊息)的訊息已經得到完整性保護、及/或得到正確地加密。如果沒有，則較低層忽略/丟棄該訊息。一旦安全性已經被啟動，所有的C平面和U平面安全性在RLC或者MAC中得到完成。
對於LTE，已經提出了用於安全性的完全不同的架構。主要的區別在於不同於單一的安全層(即在MAC/RLC)，其採用三層安全性：NAS安全性、RRC安全性和U平面安全性。每一層具有其本身的密鑰。NAS安全性在移動性管理實體(MME)中結束，並在NAS層中執行。RRC安全性在演進型節點B(e-NB)中結束，並在封包資料聚合協定(PDCP)中執行。U平面安全性僅由加密組成(無完整性保護)，並也是在PDCP中執行。簡而言之，AKA程序是在NAS中完成的，並且獲得NAS安全密鑰。以密碼分 離方式從NAS密鑰中獲得RRC/U平面安全性參數。RRC/U平面密鑰的內容使得攻擊者無法確定NAS密鑰。該決定的主要基本原理是在LTE中用戶可在易受攻擊的位置，例如家中，具有eNB。RRC以及由此的安全性在e-NB中結束，因此這被認為是安全性隱患。從而在標準中採用兩級安全性。
第2圖是LTE 200中的密鑰階層的結構圖。如第2圖所示，USIM(在無線發射/接收單元(WTRU)中)和認證中心(AuC)205共用一個密鑰K 210。作為NAS認證和密鑰協定(AKA)信令(類似於目前的UMTS AKA程序)的一部分，USIM和AuC/HSS導出加密密鑰(CK)215和完整性密鑰(IK)220。導出CK 215和IK 220的程序與UMTS中的類似，在UMTS中AuC/HSS導出認證向量，並且在WTRU所回應且HSS/AuC進行驗證的NAS訊息中向WTRU發送質詢(challenge)。但是，不像在UMTS中為MAC/RLC層提供CK 215和IK 220來執行加密及/或完整性保護那樣，在LTE中，CK 215和IK 220用於從主密鑰、即所謂的KASME 密鑰225開始的密鑰階層中導出剩餘的密鑰。剩餘的密鑰是藉由使用不同的密鑰導出函數(KDF)和截斷(truncate)從KASME 密鑰中導出。
KeNB 230是WTRU和MME從KASME 225中導出的密鑰，或是在eNB切換期間由WTRU和目標eNB從KeNB *中導出的密鑰。KeNB 230用於導出RRC訊務的密鑰、導出UP訊務的密鑰或在eNB切換期間導出轉換密鑰KeNB *。
KNASint 235是用於以特定的完整性演算法來對NAS信令進行完整性保護的密鑰。該密鑰由WTRU和MME 237從KASME 225中導出，同時也是用於使用KDF的完整性演算法的識別碼。
KNASenc 240是用於以特定的加密演算法來對NAS信令進行加密的密鑰。該密鑰由WTRU和MME 237從KASME 225中導出，同時也是使用KDF的加密演算法的識別碼。
KUPenc 245是用於以特定的加密演算法對UP訊務進行加密的密鑰。該密鑰由WTRU和eNB 247從KeNB 230中導出，同時也是使用KDF的加密演算法的識別碼。
KRRCint 250是用於以特定的完整性演算法來對RRC訊務進行完整性保護的密鑰。KRRCint 250由WTRU和eNB 247從KeNB 230中導出，同時也是使用KDF的完整性演算法的識別碼。
KRRCenc 255是用於以特定的加密演算法對RRC信令進行加密的密鑰。KRRCenc 255由WTRU和eNB從KeNB 230中導出，同時也是使用KDF的加密演算法的識別碼。
RRC和U平面密鑰可以用C-RNTI作為輸入來導出。
在現有的UTRAN安全性架構中，正確的加密及/或完整性保護的檢驗是在RLC或者MAC中完成的。通常，NAS中唯一的安全性失敗處理情況會發生在認證失敗的情況下。但是，在NAS中，由於加密和完整性保護程序的分離，因而期望對NAS程序進行定義，來回應於接收到未經正確加密及/或完整性保護的NAS訊息的情況。
NAS依賴於AS、即RLC或MAC，來檢驗任何所接收到的層-3(L3)訊息具有正確的安全性憑證，即這些訊息都被正確地加密和完整性保護。儘管具有獨立於AS安全性和NAS的NAS層安全性的新的LTE架構，對L3訊息的安全性進行檢驗，但是由於NAS安全性的檢驗是作為在NAS性能中所定義的程序的一部分而完成的，因此該方法並不恰當。因此，期望針對在失敗的情況下有待定義的NAS執行動作。
由於NAS密鑰是獨立於RRC/U平面密鑰(下文中即AS密鑰)，因而有可能啟動/重新配置獨立於AS加密/完整性保護的NAS加密。期望針對該進程具有新的訊息和程序。同時，密鑰到期也可與WTRU的NAS/RRC狀態相關。期望有用於WTRU密鑰處理的程序。
RRC典型地從NAS接收新的CK和IK，並將其傳遞至執行加密/完整性保護的MAC和RLC。但是，在LTE中，AS加密和完整性保護可由PDCP來執行。因此，希望出現用於正確的安全性功能的新的跨層程序和基元。
一種與無線通信系統有關的方法和裝置，該無線通信系統包括經配置用於接收未加密的和經加密的訊息的無線發射接收單元(WTRU)。未加密的訊息可包括身份請求、認證請求、非存取層(NAS)安全性模式指令、以及追蹤區域更新回應。經加密的訊息可來自NAS和無線電資源控 制器(RRC)。該訊息較佳地是使用安全性密鑰進行加密。
下文涉及的術語“無線發射/接收單元(WTRU)”包括但不侷限於用戶設備(UE)、行動站、固定或行動用戶單元、呼叫器、無線電話、個人數位助理(PDA)、電腦或者能在無線環境下操作的任何其他類型的用戶設備。下文涉及的術語“基地台”包括但不侷限於節點B、站點控制器、存取點(AP)或者能在無線環境下操作的任何其他類型的介面裝置。
NAS中安全性失敗處理
在某個其他層中出現安全性問題，例如在PDCP層執行RRC加密/完整性保護中出現安全性問題的情況下，則可使用下面所描述的程序。用於NAS中安全性失敗處理的程序提供了一組NAS訊息，該NAS訊息可在不啟動NAS中的加密及/或完整性保護的情況下被WTRU接收。這種列表僅僅針對UTRAN NAS訊息而存在，該UTRAN NAS訊息不同於LTE NAS訊息，且可在不啟動RLC/MAC加密的情況下接收。可在不啟動NAS中的加密及/或完整性保護的情況下被WTRU接收的一組NAS訊息可包括但並不限於：身份請求；認證請求；NAS安全性模式指令(NAS中至少完整性保護被啟動，才能接收到該指令)；以及 追蹤區域更新回應。
在MME中，以下訊息可不進行加密及/或完整性保護而被接收到：身份回應；認證回應；以及追蹤區域更新請求。
另外，可以確認的是，儘管上述訊息可在加密及/或完整性保護未被啟動的情況下而被接收，但是，如果加密及/或完整性保護已被啟動，則這些訊息必定被加密及/或完整性保護。
如果NAS和RRC安全性均已被啟動，則僅可發送其他一些NAS訊息。如果NAS安全性已被啟動(獨立於RRC安全性)，則可發送一些NAS訊息。
第3圖是代理伺服器為LTE NAS中移動性管理等同層或者安全性的新子層或者其他某個代理伺服器的具體實施方式的方塊圖300。一旦NAS訊息被接收305，用於檢驗NAS訊息的安全性狀態的代理伺服器將會檢驗該訊息的安全性參數是否適當310。如果針對給定的訊息而定義的安全性參數是不準確的315，即完整性檢驗失敗或者該訊息沒有加密，或者如果訊息(根據標頭中的協定辨別符和訊息類型欄位)應當被加密及/或完整性保護而被接收但實際上並沒有如此，則NAS層、其子層或者代理伺服器可採用任何順序來執行以下任何一個或全部的動作。所執行的動作可有賴於安全性參數失敗的訊息的類型。如果在其他某個層 中出現安全性問題(如RRC安全性失敗)，則也可以使用以下所定義的程序：代理伺服器的動作可通過執行來定義320；代理伺服器可忽略及/或丟棄該訊息325；代理伺服器可將失敗上報給某個其他協定層(如RRC)、WTRU(如USIM/UICC)網路中的實體330。如果代理伺服器檢驗了安全性，並且發現其可觸發的錯誤，例如向網路發送的訊息通知網路所出現的錯誤。該報告可包括失敗的原因。如果其他某個協定層/實體已經瞭解到該失敗，其回應可類似以下所描述的：代理伺服器可以網路初始化重新認證335；代理伺服器可移動至演進的封包系統(EPS)移動性管理(EMM_空閒)模式或者EMM_被登出狀態340；代理伺服器可記錄失敗的次數，並且緊接著重複的失敗後進行某些動作345。這些動作可以和此處所定義的相同；代理伺服器可嘗試並重新連結至網路350；或代理伺服器可刪除所儲存的某些或所有安全性參數(密鑰/序號/密鑰設定識別碼)，或者可以直接地或經由中間物來以信號通知WTRU中用於儲存/管理安全性參數的實體來進行上述處理355。
如果安全性參數是正確的，NAS訊息可同針對特定協定和訊息類型所定義的那樣來進行處理360。舉例而言，該代理伺服器可以是LTE NAS中的移動性管理等同層、或是 用於安全性的新子層或者某個其他代理伺服器。
層3協定效果
現有的層3協定標頭不包含序號。標準L3訊息的標頭是由兩個八位元組組成。該標頭由三個主要部分構成，分別為協定辨別符(1/2八位元組)、訊息類型八位元組和半個八位元組。在一些情況下，該半個八位元組用作事務識別碼，而在其他一些情況下，則用作子協定辨別符，並且被稱之為跳躍(skip)指示符。例如，如果協定辨別符被設定為GMM，則其可被用作跳躍指示符。如果協定辨別符被設定為SM，則其可被用作TI或子協定辨別符。如果其被用作跳躍指示符，則意味著針對GMM訊息，第一個4個位元沒有意義，且是“被跳過的”。
協定辨別符對移動性管理(MM)、GPRS移動性管理(GMM)、會話管理(SM)訊息和類似訊息進行區分。當訊息類型指示訊息的種類，如連結請求或者PDP上下文啟動，事務識別碼允許WTRU中和網路中的對等實體，來區分用於給定的協定辨別符和給定的服務存取點(SPA)的至多16個不同的雙向訊息流。這種訊息流被稱為事務。同時也定義了事務識別碼(TI)的延伸機制。該機制允許區分用於給定的協定辨別符和給定的SPA的至多256個不同的雙向訊息流。例如，當WTRU試著獲得IP位址時，WTRU中和網路中存在SM實體。如果WTRU試著獲得另一個的IP位址時，則另一對SM實體在WTRU和網路中得以建立。TI識別特定的SM訊息用於哪一個事務，即成對。
第4圖是包括NAS序號410的改進的L3協定標頭400的方塊圖。如現有的L3協定標頭，該改進的標頭是由兩個八位元組組成的，且由三個主要部分構成。該三個主要部分是協定辨別符420(1/2八位元組)、訊息類型八位元組、以及半個八位元組，該半個八位元組在一些情況下用作為事務識別碼在另一些情況下作為子協定辨別符，並且被稱之為跳躍指示符(skip indicator)。例如，如果協定辨別符被設定為GMM，則其可被用作跳躍指示符。如果協定辨別符被設定為SM，則其可被用作TI或者子協定辨別符。如果其被用作跳躍指示符，則意味著針對GMM訊息，第一個4位元位元沒有意義且是“被跳過的”。該改進的標頭包括用於NAS訊息410的序號，在下文中被稱之為NAS SN。其可被包括在NAS訊息的協定標頭中或者作為其內容中的資訊元素(IE)。事務識別碼也可用作序號。NAS SN可具有預定或協商的增量週期。舉例而言，其可基於每一個NAS PDU(即訊息)。NAS層可基於序號或使用任何其他使用NAS SN而增加的號碼來執行副本檢測，其中接收到的NAS PDU副本被丟棄。
NAS SN可以每AS信令無線電承載或者每SAP而得到維持，而不考慮協定辨別符或者訊息類型。其也可以每TI而得到維持。
COUNT的值可被用於NAS層中。例如，在每個L3訊息中根據預定/協商而增加該COUNT值，可防止重播(replay)或者冒名攻擊(impersonation attack)。這在有NAS 級加密的情況下是可行的。單一的COUNT值可針對所有的SAP進行定義。單一的COUNT-C可針對所有的SAP的加密進行定義，且單一的COUNT-I可針對所有的SAP的完整性保護進行定義。COUNT-C及/或COUNT-I的組合及/或單一的COUNT值可針對SAP進行定義。該COUNT可由兩個參數組成：根據預定/協商而增加的NAS序號(SN)，例如關於給定SAP的每NAS協定資料單元(PDU)或者每NAS PDU，以及NAS超長訊框號(NAS HFN)。NAS HFN可為計數器，該計數器隨著NAS SN增加每x個數目而增加一。整體或者部分COUNT參數可在初始存取/密鑰導出/認證/空閒至啟動轉換期間基於START值而得以初始化。該COUNT參數可被用作加密/解密完整性保護/完整性檢驗演算法的輸入，以確保安全性。
該COUNT值需要在NAS安全性啟動之前進行設定。COUNT-C參數的長度可為32位元，或者由於NAS訊息可能不需要大SN，因而該參數可減少至較小值。SN欄位和HFN欄位的長度本身可在COUNT-C參數中進行修改，以將其最佳化以用於NAS級程序。現有技術加密引擎可用於NAS。可對該加密引擎做出適當的改變來適應COUNT-C的較小值，或適應SN和HFN欄位的值的變化。
或者，假定NAS SN可由RRC加密來得以保護，則NAS COUNT值可為NAS SN，因此其不是開放的，從而隱蔽HFN不是絕對必需的。NAS安全性可在不早於RRC安全性之前被啟動，且NAS SN可緊隨著NAS安全性啟動之 後得到重設。另外，NAS中的副本檢測可使用NAS COUNT值來執行。
需要對代替該訊息或承載ID的長度的附加參數進行定義，該參數為加密引擎的輸入，或需要在NAS對附加程序進行定義，以當NAS層加密該訊息時擷取這些參數。
或者，在WTRU一側，可使用以RRC和NAS參數工作的單一的加密引擎，來代替具有2個用於RRC和NAS的分離的加密引擎。
進一步地，在NAS級的訊息的加密是可選的，且WTRU可在其性能資訊中指示其是否支援NAS級加密。
從EMM Connected模式轉換到EMM Idle模式時WTRU中的密鑰處理
典型地，當WTRU從EMM_Connected模式轉換至EMM_Idle模式時，RRC連接被釋放。在啟動空閒轉換後，eNB典型地不儲存關於相應的WTRU的狀態資訊。eNB典型地從其記憶體中刪除目前密鑰。
詳細介紹該實施方式，在啟動空閒轉換後，eNB可以刪除KeNB 、KRRC enc 、KRRC int 和KUPenc 中的至少一個。但是，MME可以儲存KASME 。
第5圖示出了在從EMM_Connected模式轉換至EMM_Idle模式時在WTRU中的密鑰處理程序500的方塊圖。迄今，還沒有定義WTRU程序來回應該轉換。一個可能的程序是一旦轉換至EMM_Idle模式510，就可以由WTRU向將安全性密鑰儲存在WTRU中的實體(如UICC、 USIM或行動設備)提供轉換指示520。另一個可能的程序是當服務e-NB在EMM_Idle模式下(如在胞元重選至不同的e-NB期間變化)時530，可以由WTRU向儲存實體提供指示520。從WTRU到儲存實體的指示可包括e-NB實體，從而新的e--NB、RRC和U平面密鑰可被導出。舉例來說，NAS及/或AS可提供指示。為此目的，包含訊息、IE、介面和指示實體的協定層之間的及/或指示實體和儲存實體之間的SAP的預定基元可以被定義。應當理解，該預定基元包含可被使用的新的和現有的基元。一接收到這種轉換指示，在WTRU中的儲存實體就將較佳地刪除合適的密鑰、例如KeNB 、KRRCenc 、KRRC int 和KUPenc 中的至少一個540。可選擇保留或者刪除NAS安全性密鑰和ASME密鑰550。
一接收到啟動至空閒轉換的指示，儲存實體就可刪除KRRC enc、 KRRC int 和KUPenc ，並且當接收到服務e-NB中的變化指示(如在重選至不同的e-NB期間)時，刪除KeNB 。可選擇保留或者刪除NAS安全性密鑰和ASME密鑰。一通過讀取在廣播通道上的e-NB識別來確定重選至屬於不同的e-NB的胞元，WTRU就可使用KeNB 和“下一躍點(hop)識別碼”產生新的K*Enb 。
儲存實體在從啟動轉換至空閒時或者在空閒模式下轉換至新的e-NB時可以不刪除任何密鑰，而在從空閒轉換至啟動時刪除密鑰。
儲存實體在從啟動轉換至空閒時或者在空閒模式下轉換至新的e-NB時可以不刪除任何密鑰。作為代替，儲存實 體可在產生新的密鑰(例如，當e-NB接收RRC_Connection請求或者新的C-RNTI被分配)時刪除密鑰。
可向儲存實體指示服務胞元ID/C-RNTI中的變化560。該指示可由NAS及/或AS提供。或者，密鑰可與相關的計時器值一起儲存570。當WTRU從空閒至啟動，或者從啟動至空閒時，可控制密鑰在最終被刪除之前保持多長時間有效。
由於提出的加密架構對PDCP層的影響
典型地，用於RRC和U平面訊務的加密可在PDCP層中完成。這導致在PDCP中很多架構體系改變。
在該實施方式中，PDCP層具有從上層接收RRC密鑰和U平面安全性密鑰的能力。基元可按需要來定義。具體地，RRC或者NAS或者USIM可提供PDCP所需的加密密鑰和所需的START(開始)或者COUNT(計算)或HFN或SN值。PDCP層還具有基於RRC標頭資訊自己計算這些值的能力。
參見第1圖，C平面訊務沒有穿過PDCP。由於使用不同的COUNT參數可保護不同的無線電承載，較佳地，PDCP層可在不同的訊務種類中辨別。正因為此，進入的SDU或者攜帶SDU的基元可具有關於目的無線電承載的顯性資訊。PDCP層可確定用於其本身的資訊並隨後進行加密/完整性保護。
第6圖是LTE存取層協定堆疊的方塊圖600。參見第6圖，C平面訊務穿過PDCP層610。PDCP層610檢驗進入的PDCP PDU的安全性。如果PDCP層610發現進入的PDU的安全性參數(即被映射至資料無線電承載或者信令無線電承載)是不正確的(即，例如若PDCP PDU的完整性檢驗失敗)，則PDCP層610可以以任何順序執行以下動作中的至少一個。所採取的動作可依賴於安全性參數失敗類型的訊息。如果在其他一些層中有安全性問題，例如如果NAS安全性失敗，還可使用以下定義的程序：通過實施來定義PDCP動作；PDCP可忽略及/或丟棄訊息；向一些其他協定層(例如WTRU中的RRC實體)報告失敗；將該失敗通知其他協定層；維持失敗次數計數，且在重複失敗後採取諸如在此定義的一些動作或者其他動作(如在Y個訊息中或單位時間內X次失敗)；刪除一些或所有的安全性參數、如儲存的密鑰和序號，或者可直接或者間接地以信號通知WTRU中的實體儲存或者管理安全性參數這樣做；以及報告給其他協定層的失敗報告可包含失敗的原因。
PDCP HFN可被用於構成COUNT值。該COUNT值可被用於PDCP的加密及/或完整性保護演算法中510，且可由START值初始化。有PDCP可以保護的用於每個無線電承載的 多個COUNT值。RRC 620和PDCP層610能交換與COUNT值或者其要素相關的資訊。
PDCP層610可檢驗訊息的完整性保護。這符合完整性保護在PDCP中的假設610。但是，目前附加在訊息上用於識別訊息完整性的訊息認證碼(MAC)字是在附加在RRC訊息上的RRC 620中計算的，且被傳遞給RLC 630/媒體存取控制(MAC)640。包含MAC字的整個訊息是經加密的。同樣的，PDCP層610可能不能確定RRC訊息是否需要保護。
在傳送端，RRC層620可指示PDCP層610給定的RRC訊息是否需要或者不需要完整性保護及/或加密。PDCP層610可使用該指示來確定是否執行對作為PDCP PDU發送的RRC訊息的加密及/或完整性保護。
該指示可以是在RRC使用新的位元發送給PDCP的每個RRC訊息中由RRC提供給PDCP層的顯性指示。或者或者另外，該指示是隱性的，例如，PDCP中的加密及/或完整性保護將經常是開啟的，除非有指示，或者經常是關閉的，除非由RRC指示。例如，2個位元的指示符可由RRC層620使用以指示加密和完整性保護的任何組合是啟動的。這種指示可與傳遞給PDCP的每一個RRC訊息一起發送，或者應用於所有的RRC訊息，且較佳地如一些RRC訊息不可被加密及/或被完整性保護一樣。
或者，或者另外，RRC層620可指示PDCP層610以給定的RRC訊息開始的所有RRC訊息將被完整性保護。
或者，或者另外，RRC層620可指示PDCP層610以給定的RRC訊息開始的所有RRC訊息將被加密。
或者，或者另外，RRC層620可指示PDCP層610以給定的RRC訊息開始的所有RRC訊息將被加密和被完整性保護。
或者，或者另外，RRC層620可向PDCP 610提供一般的RRC訊息列表和其相關的安全性參數。該列表可包括不經過加密及/或完整性保護而接收的訊息、例如RRC連接重新建立。該列表可包括經過加密及/或完整性保護而接收的訊息。
或者，或者另外，可由RRC層620可選地定義加密及/或完整性檢驗旗標，如果被設定，則PDCP層610將加密及/或完整性檢驗所有的RRC訊息。PDCP層610因此將在加密和完整性檢驗之前檢驗該旗標。有被設定用於加密和完整性保護的單獨的旗標。
對於上述所有的不同的指示機制，可在每信令無線電承載(SRB)基礎上提供指示，即RRC層620可指示PDCP層610用於加密及/或完整性保護的指示應用於由PDCP層610映射至特定的SRB的RRC訊息。
對於將被傳送的訊息，PDCP層610可首先進行完整性保護，然後加密，或者首先加密然後進行完整性保護。在任一操 作之前，PDCP層610可填充(pad)該訊息，從而達到用於加密及/或完整性保護的最佳長度。在安全性操作之前，PDCP層610可分配SN。SN可以是PDCP SN或者可重新使用RRC SN，或者可使用其他的序號，例如公共序號。在安全性操作之前，PDCP層610可執行用於U平面訊務的標頭壓縮。
用於完整性保護的MAC字可在純文本資料、加密資料及/或所有或部分PDCP標頭上計算。
加密可在包含MAC字、及/或純文本訊息及/或其部分的整個訊息上執行。
加密還可在所有PDCP標頭或部分PDCP標頭(例如不包括SN的標頭)上執行。
可包括有效載荷是否已經被加密及/或被完整性保護的指示。例如，在傳送側的PDCP層610可包括指示完整性檢驗資訊及/或加密被啟動的IE。該指示可以是經加密的。該指示可指示在PDCP層檢驗的訊息中的MAC字的位置。在接收側的PDCP層610可使用該指示來決定是否解密及/或完整性檢驗。
PDCP層610和協定可包括MAC字，以用於接收器在PDCP標頭/訊息中的預定位置上的完整性檢驗。或者，MAC字位置可被指示給接收PDCP層610。這種指示可以是如標頭中的偏移欄位。
根據在傳送側的安全性操作的順序，接收PDCP將首先解 密進入的訊息，然後檢驗其完整性，或者首先檢驗完整性，然後解密該訊息。接收單元中的安全性操作較佳地與傳送單元側具有相反的順序。PDCP標頭/訊息中的MAC字的位置可由指示欄位輔助。
PDCP層610可決定加密及/或完整性保護對特定訊息是否是不符合要求的。這是指PDCP將確定該訊息是否已經被正確地加密及/或被完整性保護。
PDCP層610可指示其傳遞給RRC層620的訊息的安全性狀態，例如，該訊息是否是經加密及/或完整性保護接收的。或作為另一個實例，完整性保護檢驗是否成功。該指示可以是隱性的，也就是說，僅在發生錯誤(例如，在完整性保護檢驗失敗)時才被提供。RRC層620然後決定特定訊息的保護是否是可接收的。當通知有錯誤時，RRC性能可如在第64段中描述的PDCP那樣進行定義。或者，或者另外，RRC層可通過增加通知網路失敗的資訊元素(至發送給網路的RRC訊息)來通知網路完整性檢驗的失敗。
在出現錯誤的情況下，PDCP層610可採用上述失敗處理情形中所描述的步驟。如果RRC訊息是ASN.1編碼的，且MAC字被包含在RRC層620中，則PDCP層610可觀察RRC層並檢驗MAC字。如果設定了指示完整性保護的旗標，則PDCP層610將這樣執行。
跨層安全性程序
RRC/PDCP層可從NAS層或從USIM接收e-NB/RRC/U平面密鑰。或者，RRC/PDCP可產生其自己的密鑰。舉例來說，RRC層可使用從RRC信令中的網路所接收到的參數以及從NAS接收的KASME 以及從其他協定層(即WTRU目前所屬的或者從實體層可獲得存取的胞元的實體胞元標識)接收到的其他參數產生e-NB/RRC/U平面密鑰。這些安全密鑰可在NAS與RRC/PDCP之間、或者在RRC與使用預定基元、包括新的或現有基元的PDCP之間、在新的或現有的SAP上傳遞。每一層可具有向上/下層指示錯誤、即安全性失敗的能力。
第7圖是被配置為用於LTE中經加密的和未經加密的訊息傳遞的無線通信系統700的方塊圖。該系統包括基地台705和無線發射接收單元(WTRU)710。基地台705和WTRU 710經由無線通信鏈路通信。
如第7圖中所示，WTRU 710包括發射器720、接收器730和處理器740。處理器740被附加在緩衝器750和記憶體760上。處理器740被配置為處理包含使用至少一個上述技術的安全性參數的NAS訊息。
同樣如第7圖所示，基地台705包括發射器765、接收器770和處理器780。處理器780被附加在緩衝器790和記憶體795上。處理器780被配置為處理包含使用至少一個上述技術 的安全性參數的NAS訊息。
雖然本發明的特徵和元件在較佳的實施方式中以特定的結合進行了描述，但每個特徵或元件可以在沒有所述較佳實施方式的其他特徵和元件的情況下單獨使用，或在與或不與本發明的其他特徵和元件結合的各種情況下使用。本發明提供的方法或流程圖可以在由通用電腦或處理器執行的電腦程式、軟體或韌體中實施，其中該電腦程式、軟體或韌體是以有形的方式包含在電腦可讀儲存媒體中的。電腦可讀儲存媒體的例子包括唯讀記憶體(ROM)、隨機存取記憶體(RAM)、暫存器、緩衝記憶體、半導體記憶裝置、諸如內部硬碟和可移動磁片這樣的磁性媒體、磁光媒體和如CD-ROM光碟和數位通用光碟(DVD)這樣的光學媒體。
舉例來說，適當的處理器包括：通用處理器、專用處理器、傳統處理器、數位信號處理器(DSP)、多個微處理器、與DSP內核相關的一或多個微處理器、控制器、微控制器、專用積體電路(ASIC)、現場可編程閘陣列(FPGA)電路、任何一種積體電路(IC)及/或狀態機。
與軟體相關的處理器可以用於實現一個射頻收發器，以便在無線發射接收單元(WTRU)、用戶設備(UE)、終端、基地台、無線電網路控制器(RNC)或者任何主機電腦中加以。WTRU可以與採用硬體及/或軟體形式實施的模組結合使用，例如照相 機、攝像機模組、可視電話、揚聲器電話、振動裝置、揚聲器、麥克風、電視收發器、免持耳機、鍵盤、藍牙®模組、調頻(FM)無線單元、液晶顯示器(LCD)顯示單元、有機發光二極體(OLED)顯示單元、數位音樂播放器、媒體播放器、視訊遊戲機模組、網際網路瀏覽器及/或任何無線區域網路(WLAN)模組。
實施例
1、一種經配置用於在長期演進(LTE)無線通信中實現安全性的無線發射/接收單元(WTRU)，該WTRU包括：接收器，該接收器經配置用於接收非存取層(NAS)訊息，該NAS訊息包含安全性參數；以及處理器，該處理器經配置用於：確定該安全性參數是否正確；以及基於該確定來執行安全性程序。
2、如實施例1所述的WTRU，其中該處理器包括：加密無線電資源控制器(RRC)引擎；以及加密NAS引擎。
3、如實施例1-2中任一實施例所述的WTRU，其中該處理器包括：加密引擎，經配置用於以RRC和NAS參數進行操作。
4、如實施例1所述的WTRU，其中該安全性程序包括下列各項中的至少一項：忽略該訊息、丟棄該訊息、向另一協定層 報告失敗、初始化重新認證、轉移到演進型封包系統(EPS)移動性管理(EMM_Idle)模式、轉移到EMM_被登出狀態、維持失敗次數計數、開始重新連結至網路以及刪除該安全性參數。
5、一種用於在長期演進(LTE)無線設備中實現安全性的方法，該方法包括：接收非存取層(NAS)訊息，該NAS訊息包含安全性參數；確定該安全性參數是否正確；以及基於該確定來執行安全性程序。
6、如實施例5所述的方法，其中該安全性程序包括下列各項中的至少一項：忽略該訊息、丟棄該訊息、向另一協定層報告失敗、初始化重新認證、轉移到演進型封包系統(EPS)移動性管理(EMM_Idle)模式、轉移到EMM_被登出狀態、維持失敗次數計數、開始重新連接至網路以及刪除該安全性參數。
7、如實施例5-6中任一實施例所述的方法，其中該NAS訊息包含協定標頭，該協定標頭包含NAS序號。
8、如實施例5-7中任一實施例所述的方法，該方法更包括：基於該NAS序號執行複本檢測。
9、如實施例5-8中任一實施例所述的方法，其中該NAS序號用作事務識別碼。
10、如實施例5-8中任一實施例所述的方法，其中該NAS序號包含預定義的增量週期。
11、如實施例5-8中任一實施例所述的方法，其中該NAS序號包含協商的增量週期。
12、如實施例5-11中任一實施例所述的方法，其中該NAS訊息與COUNT值相關。
13、如實施例12所述的方法，其中該COUNT值用於加密(COUNT-C)。
14、如實施例11-12中任一實施例所述的方法，其中該COUNT值用於完整性保護(COUNT-I)。
15、如實施例11-14中任一實施例所述的方法，其中該COUNT值是COUNT-C和COUNT-I的組合。
16、如實施例11-15中任一實施例所述的方法，其中該COUNT值包括：NAS序號(SN)；以及NAS超訊框號(HFN)。
17、如實施例11-16中任一實施例所述的方法，其中該NAS HFN是計數器。
18、如實施例12-17中任一實施例所述的方法，其中該COUNT值被用作加密完整性保護演算法的輸入。
19、如實施例12-18中任一實施例所述的方法，其中該 COUNT值被用作解密完整性保護演算法的輸入。
20、如實施例12-19中任一實施例所述的方法，其中該COUNT值在NAS安全性啟動之前被配置。
21、如實施例12-20中任一實施例所述的方法，其中該COUNT值是32位元或者更少位元。
22、如實施例16-21中任一實施例所述的方法，其中該SN和該HFN是可配置的。
23、如實施例12-22中任一實施例所述的方法，其中該COUNT值是該NAS序號(SN)，並且使用該COUNT值來執行副本檢測。
24、如實施例5-23中任一實施例所述的方法，其中該NAS訊息指示無線發射/接收單元(WTRU)性能資訊。
25、如實施例24所述的方法，其中該WTRU性能資訊指示對NAS級加密的支援。
26、一種在長期演進(LTE)無線設備中實現安全性的方法，該方法包括：接收封包資料聚合協定(PDCP)協定資料單元(PDU)，該PDCP PDU包含安全性參數；確定該安全性參數是否正確；以及基於該確定來執行安全性程序。
27、如實施例26所述的方法，該方法更包括： 從無線電資源控制器(RRC)層發送指示至PDCP層以指示RRC訊息是否需要完整性保護和加密中的至少一項。
28、如實施例26-27中任一實施例所述的方法，該方法更包括：從該RRC層發送指示至該PDCP層以指示待傳送的該RRC訊息不需要完整性保護和加密中的至少一項。
29、如實施例27-28中任一實施例所述的方法，該方法更包括：指示PDCP層所有以預定RRC訊息開始的RRC訊息將被加密或被進行完整性保護。
30、如實施例27-29中任一實施例所述的方法，該方法更包括：指示PDCP層所有以預定RRC訊息開始的RRC訊息將被加密和被進行完整性保護。
31、如實施例27-30中任一實施例所述的方法，該方法更包括：在該RRC設定加密或完整性檢驗旗標以加密或完整性檢驗RRC訊息。
32、如實施例31所述的方法，該方法更包括：在設定了該加密旗標的情況下，在將RRC訊息作為PDCP PDU傳送之前在該PDCP層對該RRC訊息進行加密，並 對所有接收到的與RRC訊息對應的PDCP PDU進行解密；而在未設定該加密旗標的情況下不執行加密和解密。
33、如實施例31-32中任一實施例所述的方法，該方法更包括：在設定了該完整性檢驗旗標的情況下，將訊息認證碼附加到與所傳送的RRC訊息對應的該PDCP PDU中並對所有接收到的映射至RRC訊息的PDCP PDU執行完整性檢驗，而在未設定該旗標的情況下，不執行附加和完整性檢驗。
34、如實施例27-33中任一實施例所述的方法，該方法更包括：在該RRC設定加密和完整性檢驗旗標以加密和完整性檢驗RRC訊息。
35、如實施例34所述的方法，該方法更包括：在設定了該加密和完整性檢驗旗標的情況下，在將RRC訊息作為PDCP PDU傳送之前對該RRC訊息進行加密、對接收到的與該RRC訊息對應的PDCP PDU進行解密、將訊息認證碼附加到與所傳送的RRC訊息對應的該PDCP PDU中以及對所有接收到的映射至該RRC訊息的PDCP PDU執行完整性檢驗；而在未設定該旗標的情況下，不執行加密、解密、附加和完整性檢驗。
36、如實施例27-35中任一實施例所述的方法，該方法更 包括：提供一般RRC訊息列表以及該一般RRC訊息的相關的安全性參數給該PDCP。
37、如實施例27-36中任一實施例所述的方法，其中該PDCP層不執行RRC訊息的加密或RRC訊息的完整性保護中的至少一者，除非由該RRC指示這樣做。
38、如實施例27-37中任一實施例所述的方法，該方法更包括：加密該RRC訊息；以及完整性保護該RRC訊息。
39、如實施例27-38中任一實施例所述的方法，其中該RRC訊息被填充以達到用於加密或完整性保護的最佳長度。
40、如實施例26-39中任一項實施例所述的方法，該方法更包括：計算用於在純文本資料、經加密的資料、部分PDCP標頭或整個PDCP標頭上進行完整性保護的訊息認證碼(MAC)字。
41、如實施例26-40中任一實施例所述的方法，其中在部分純文本資料上執行加密。
42、如實施例26-41中任一實施例所述的方法，該方法更包括： 指示有效載荷是否已經被加密或被進行完整性保護。
43、如實施例26-42中任一實施例所述的方法，該方法更包括：在該PDCP PDU中的位置對訊息認證碼(MAC)字進行預定義，該PDCP PDU包含標頭。
44、如實施例43所述的方法，其中該被預定義的MAC字的位置在該PDCP PDU標頭中。
45、如實施例26-44中任一實施例所述的方法，其中該安全性程序包括下列各項中的至少一項：忽略RRC訊息、丟棄該訊息、在失敗報告中報告失敗、維持失敗次數計數以及刪除該安全性參數。
46、如實施例45所述的方法，其中該失敗報告包括該失敗的原因。
47、如實施例26-46中任一實施例所述的方法，該方法更包括：使用PDCP超訊框號(HFN)來構成COUNT值。
48、一種在長期演進(LTE)無線設備中實現安全性的方法，該方法包括：在協定資料聚合協定(PDCP)層接收訊息；解密該訊息；以及對接收到的訊息執行完整性檢驗。
49、如實施例48所述的方法，其中該對接收到的訊息的完整性檢驗是在解密該訊息之前執行。
50、如實施例48-49中任一實施例所述的方法，該方法更包括：確定訊息認證碼(MAC)字在該接收到的訊息中的位置。
51、如實施例48-50中任一實施例所述的方法，該方法更包括：確定對該訊息的加密和完整性保護是否是符合要求的。
52、如實施例48-51中任一實施例所述的方法，該方法更包括：向無線電資源控制器(RRC)層指示該接收到的訊息的安全性狀態。
53、如實施例48-52中任一實施例所述的方法，該方法更包括：從該PDCP層向無線電資源控制器(RRC)層發送指示以指示對接收到的RRC訊息的該完整性檢驗是否失敗。
54、如實施例48-53中任一實施例所述的方法，該方法更包括：從該PDCP層向無線電資源控制器(RRC)層發送指示以指示對接收到的RRC訊息的該完整性檢驗是否成功。
55、如實施例48-54中任一實施例所述的方法，該方法更 包括：僅在預定時間間隔內或預定接收到的RRC訊息數量中發生預定次數的失敗的情況下，才從該PDCP層向無線電資源控制器(RRC)層發送該完整性檢驗失敗的指示。
56、如實施例48-55中任一實施例所述的方法，該方法更包括：當該接收到的訊息是ASN.1編碼後的訊息時，檢驗該PDCP的無線電資源控制器(RRC)層中的訊息認證碼(MAC)字。
57、如實施例48-56中任一實施例所述的方法，其中實現安全性包括下列各項中的至少一項：忽略該訊息、丟棄該訊息、在失敗報告中報告失敗、維持失敗次數計數以及刪除安全性參數。
58、如實施例57所述的方法，其中該失敗報告包括該失敗的原因。
59、一種用於在從EMM_Connected模式轉換成EMM_Idle模式時在無線發射/接收單元(WTRU)中進行密鑰處理的方法，該方法包括：向該WTRU中的儲存實體指示該轉換；以及刪除第一組密鑰。
60、如實施例59所述的方法，該方法更包括： 保留NAS安全性密鑰和ASME密鑰。
61、如實施例59-60中任一實施例所述的方法，該方法更包括：刪除NAS安全性密鑰和ASME密鑰。
62、如實施例59-61中任一實施例所述的方法，其中由非存取層(NAS)提供該指示。
63、如實施例59-62中任一實施例所述的方法，其中由存取層(NAS)提供該指示。
64、如實施例59-63中任一實施例所述的方法，其中使用預定的基元來提供該指示。
65、如實施例59-64中任一實施例所述的方法，其中當服務e-NB在EMM_Idle模式下變化時提供該指示。
66、如實施例59-65中任一實施例所述的方法，其中該第一組密鑰包括下列各項中的至少一項：KeNB 、KRRC enc 、KRRC int 和KUPenc 。
67、如實施例59-66中任一實施例所述的方法，其中該儲存實體一接收到該指示就刪除KeNB 、KRRC enc 、KRRC int 和KUPenc 。
68、如實施例59-67中任一實施例所述的方法，其中該儲存實體一接收到該指示就刪除KeNB 。
69、如實施例59-68中任一實施例所述的方法，該方法更包括： 一接收到該指示就產生第二組密鑰。
70、如實施例59-69中任一實施例所述的方法，其中該指示用於指示該服務胞元中的變化。
71、如實施例59-70中任一實施例所述的方法，其中該第一組密鑰包含計時器值。
72、如實施例5-71中任一實施例所述的方法，該方法更包括：從NAS層或從USIM接收密鑰。
73、如實施例72所述的方法，其中使用預定的基元在該非存取(NAS)層與RRC/PDCP之間傳遞接收到的密鑰。
74、如實施例73所述的方法，其中使用預定的基元在RRC與該PDCP之間傳遞接收到的密鑰。
AKA‧‧‧密鑰協定
AuC、205‧‧‧認證中心
CK、215‧‧‧加密密鑰
EMM_Idle‧‧‧移動性管理
EPS‧‧‧演進型封包系統
IK、220‧‧‧完整性密鑰
K、210‧‧‧密鑰
MAC、130‧‧‧媒體存取控制
MME‧‧‧移動性管理實體
NAS‧‧‧非存取層
PDCP‧‧‧資料聚合協定
PDU‧‧‧協定資料單元
RLC、120‧‧‧無線電鏈路控制器
RRC、110‧‧‧無線電資源控制器
UE‧‧‧用戶設備
WTRU‧‧‧無線發射/接收單元
300‧‧‧方塊圖
550‧‧‧ASME密鑰
從以下描述中可以更詳細地理解本發明，這些描述是以實施例的方式給出的，並且可以結合圖式被理解，其中：第1圖是根據現有技術的存取層協定堆疊；第2圖是根據現有技術的LTE中的密鑰階層的方塊圖；第3圖是具體實施方式的方塊圖，其中代理伺服器可以是LTE NAS中的移動性管理等同層或者安全性的新子層或者其他某個代理伺服器，且針對給定訊息所定義的安全參數是不正確的；第4圖是包括NAS序號的改進的層3協定標頭的方塊圖；第5圖是示出了從EMM_連接模式轉換至EMM_空閒模式後WTRU中密鑰處理程序的方塊圖；第6圖是LTE的存取層協定堆疊的方塊圖；以及第7圖是被配置以用於LTE中加密的和未加密的訊息的無線通信系統的方塊圖。
MAC‧‧‧媒體存取控制
PDCP‧‧‧資料聚合協定
RRC‧‧‧無線電資源控制
RLC‧‧‧無線電鏈路控制器

Claims (22)

  1. 一種用於在一長期演進(LTE)無線通信中實現安全性的無線傳輸/接收單元(WTRU)，該WTRU包括：一接收器，經配置用於接收一非存取層(NAS)訊息，該NAS訊息包含一NAS序號(NAS SN)；以及一處理器，經配置用於：藉由使用一計數值做為至一完整性演算法的一輸入，對該NAS訊息執行一完整性檢驗，其中該計數值包括該NAS SN以及一NAS計數器，該計數器基於該NAS SN的數值而增加；以及基於該完整性檢驗來處理該接收到的NAS訊息，其中當該接收到的NAS訊息沒有通過該完整性檢驗，丟棄該NAS訊息，以及當該接收到的NAS訊息通過該完整性檢驗，處理該NAS訊息。
  2. 如申請專利範圍第1項所述的無線傳輸/接收單元(WTRU)，其中該處理器包括：一加密無線電資源控制器(RRC)引擎；以及一加密NAS引擎。
  3. 如申請專利範圍第1項所述的無線傳輸/接收單元(WTRU)，其中該處理器包括：一加密引擎，經配置用於以RRC和NAS參數來 操作。
  4. 如申請專利範圍第1項所述的無線傳輸/接收單元(WTRU)，其中該處理器被配置以執行一安全性程序，該安全性程序包括下列各項中的至少一項：將一失敗報告至另一協定層、初始化一重新認證、移動到一演進型封包系統(EPS)移動性管理(EMM_Idle)模式、移動到一EMM_被登出狀態、維持一失敗次數計數、開始重新連結至一網路、以及刪除多個安全性參數。
  5. 一種用於在一無線裝置中實現安全性的方法，該方法包括：接收一非存取層(NAS)訊息，該NAS訊息包含一NAS序號(NAS SN)；藉由使用一計數值做為至一完整性演算法的一輸入，對該NAS訊息執行一完整性檢驗，其中該計數值包括該NAS SN以及一NAS計數器，該計數器基於該NAS SN的數值而增加；以及基於該完整性檢驗來處理該接收到的NAS訊息，其中當該接收到的NAS訊息沒有通過該完整性檢驗，丟棄該NAS訊息，而當該接收到的NAS訊息通過該完整性檢驗，處理該NAS訊息。
  6. 如申請專利範圍第5項所述的方法，更包括執行一安全性程序，該安全性程序包括下列各項中的至少一項：將一失敗報告至另一協定層、初始化一重新認證、 移動到一演進型封包系統(EPS)移動性管理(EMM_Idle)模式、移動到一EMM_被登出狀態、維持一失敗次數計數、開始重新連結至一網路、以及刪除多個安全性參數。
  7. 如申請專利範圍第5項所述的方法，更包括：基於該NAS SN執行一複本檢測。
  8. 如申請專利範圍第7項所述的方法，其中該NAS SN作為一事務識別碼。
  9. 如申請專利範圍第7項所述的方法，其中該NAS SN包含一預定義的增量週期。
  10. 如申請專利範圍第7項所述的方法，其中該NAS SN包含一協商的增量週期。
  11. 如申請專利範圍第5項所述的方法，其中該NAS訊息與一計數值相關。
  12. 如申請專利範圍第5項所述的方法，其中該計數值用於加密(COUNT-C)。
  13. 如申請專利範圍第5項所述的方法，其中該計數值用於完整性保護(COUNT-I)。
  14. 如申請專利範圍第5項所述的方法，其中該計數值是一COUNT-C和一COUNT-I的一組合。
  15. 如申請專利範圍第5項所述的方法，其中該計數值被用作一加密完整性保護演算法的一輸入。
  16. 如申請專利範圍第5項所述的方法，其中該計數值被用作一解密完整性保護演算法的一輸入。
  17. 如申請專利範圍第5項所述的方法，其中該計數值在NAS安全性啟動之前被配置。
  18. 如申請專利範圍第5項所述的方法，其中該計數值是32位元或者更少位元。
  19. 如申請專利範圍第5項所述的方法，其中該NAS SN和該NAS計數器是可配置的。
  20. 如申請專利範圍第5項所述的方法，其中使用該計數值來執行一副本檢測。
  21. 如申請專利範圍第5項所述的方法，其中該NAS訊息指示一無線傳輸/接收單元(WTRU)性能資訊。
  22. 如申請專利範圍第21項所述的方法，其中該WTRU性能資訊指示對一NAS級加密的支援。
TW100144259A 2007-07-18 2008-07-17 長期演進無線裝置中實施安全性方法及裝置 TWI497965B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
US95048607P 2007-07-18 2007-07-18

Publications (2)

Publication Number Publication Date
TW201244434A TW201244434A (en) 2012-11-01
TWI497965B true TWI497965B (zh) 2015-08-21

Family

ID=40260345

Family Applications (3)

Application Number Title Priority Date Filing Date
TW097127220A TWI520539B (zh) 2007-07-18 2008-07-17 長期演進無線裝置中實施安全性方法及裝置
TW100144259A TWI497965B (zh) 2007-07-18 2008-07-17 長期演進無線裝置中實施安全性方法及裝置
TW104116714A TW201608861A (zh) 2007-07-18 2008-07-17 長奇演進無線裝置中實施安全性方法及裝置

Family Applications Before (1)

Application Number Title Priority Date Filing Date
TW097127220A TWI520539B (zh) 2007-07-18 2008-07-17 長期演進無線裝置中實施安全性方法及裝置

Family Applications After (1)

Application Number Title Priority Date Filing Date
TW104116714A TW201608861A (zh) 2007-07-18 2008-07-17 長奇演進無線裝置中實施安全性方法及裝置

Country Status (16)

Country Link
US (2) US8699711B2 (zh)
EP (2) EP2172069B1 (zh)
JP (2) JP2010534959A (zh)
KR (4) KR101468352B1 (zh)
CN (2) CN101755469B (zh)
AR (1) AR067595A1 (zh)
AU (1) AU2008276061B2 (zh)
BR (1) BRPI0812675B1 (zh)
CA (1) CA2693185C (zh)
ES (1) ES2573257T3 (zh)
HK (1) HK1143267A1 (zh)
IL (1) IL203345A (zh)
MY (1) MY152794A (zh)
RU (1) RU2446626C2 (zh)
TW (3) TWI520539B (zh)
WO (1) WO2009012281A2 (zh)

Families Citing this family (79)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
PT2087634T (pt) * 2006-11-01 2016-10-26 ERICSSON TELEFON AB L M (publ) Sistemas de telecomunicações e cifragem de mensagens de controlo em sistemas deste tipo
KR101486352B1 (ko) 2007-06-18 2015-01-26 엘지전자 주식회사 무선 통신 시스템의 단말에서의 상향링크 동기 상태 제어방법
KR101341515B1 (ko) 2007-06-18 2013-12-16 엘지전자 주식회사 무선 통신 시스템에서의 반복 전송 정보 갱신 방법
KR101490253B1 (ko) 2007-08-10 2015-02-05 엘지전자 주식회사 무선 통신 시스템에서의 제어정보 전송 및 수신 방법
KR101392697B1 (ko) * 2007-08-10 2014-05-19 엘지전자 주식회사 이동통신 시스템에서의 보안 오류 검출방법 및 장치
EP2028890B1 (en) * 2007-08-12 2019-01-02 LG Electronics Inc. Handover method with link failure recovery, wireless device and base station for implementing such method
CN101378591B (zh) 2007-08-31 2010-10-27 华为技术有限公司 终端移动时安全能力协商的方法、系统及装置
CN102916808B (zh) 2007-09-17 2015-11-18 爱立信电话股份有限公司 电信系统中的方法和设备
KR101591824B1 (ko) 2007-09-18 2016-02-04 엘지전자 주식회사 무선 통신 시스템에서의 폴링 과정 수행 방법
KR101513033B1 (ko) 2007-09-18 2015-04-17 엘지전자 주식회사 다중 계층 구조에서 ＱｏＳ를 보장하기 위한 방법
CN101399767B (zh) 2007-09-29 2011-04-20 华为技术有限公司 终端移动时安全能力协商的方法、系统及装置
WO2009043622A1 (en) * 2007-10-02 2009-04-09 Telefonaktiebolaget L M Ericsson (Publ) Method and arrangement for security activation detection in a telecommunication system
US8532614B2 (en) 2007-10-25 2013-09-10 Interdigital Patent Holdings, Inc. Non-access stratum architecture and protocol enhancements for long term evolution mobile units
CN105450663B (zh) 2007-12-06 2019-01-29 艾利森电话股份有限公司 用于在移动通信网络中更新ue能力信息的方法
KR101594359B1 (ko) 2008-01-31 2016-02-16 엘지전자 주식회사 랜덤 접속에서 백오프 정보를 시그널링하는 방법
WO2009096731A2 (en) 2008-01-31 2009-08-06 Lg Electronics Inc. Method for signaling back-off information in random access
US8737294B2 (en) * 2008-08-11 2014-05-27 Via Telecom Co., Ltd. Apparatus and method for handling RLC retransmission failure according to activation status of security mode
EP2315373B1 (en) * 2008-08-15 2020-10-07 Samsung Electronics Co., Ltd. Non-access stratum protocol operation supporting method in a mobile telecommunication system, and the system thereof
JP4505528B2 (ja) * 2008-09-22 2010-07-21 株式会社エヌ・ティ・ティ・ドコモ 移動通信方法
US9232452B2 (en) * 2008-10-31 2016-01-05 Htc Corporation Method of handling an inter rat handover in wireless communication system and related communication device
KR101475349B1 (ko) * 2008-11-03 2014-12-23 삼성전자주식회사 이동 통신 시스템에서 단말 보안 능력 관련 보안 관리 방안및 장치
US8611306B2 (en) * 2009-01-12 2013-12-17 Qualcomm Incorporated Context fetching after inter-system handover
KR20110119785A (ko) 2009-02-16 2011-11-02 텔레폰악티에볼라겟엘엠에릭슨(펍) 비-암호화 망 동작 해결책
JP5304345B2 (ja) * 2009-03-11 2013-10-02 富士通株式会社 コンテンツ処理装置、コンテンツ処理システム、およびコンテンツ処理プログラム
CN101931951B (zh) * 2009-06-26 2012-11-07 华为技术有限公司 密钥推演方法、设备及系统
GB2472580A (en) 2009-08-10 2011-02-16 Nec Corp A system to ensure that the input parameter to security and integrity keys is different for successive LTE to UMTS handovers
US20110055013A1 (en) * 2009-08-28 2011-03-03 Ayman Hammad Secure alert system and method
CN102025685B (zh) 2009-09-21 2013-09-11 华为技术有限公司 认证处理方法及装置
KR101831448B1 (ko) * 2010-02-02 2018-02-26 엘지전자 주식회사 이동 통신 시스템에서 ｐｄｃｐ 기능을 선택적으로 적용하는 방법
JP2012044325A (ja) * 2010-08-16 2012-03-01 Ntt Docomo Inc 移動通信方法及び無線基地局
US9179303B2 (en) * 2010-11-17 2015-11-03 Qualcomm Incorporated Methods and apparatus for transmitting and receiving secure and non-secure data
WO2012078092A2 (en) * 2010-12-10 2012-06-14 Telefonaktiebolaget L M Ericsson (Publ) Enabling and disabling integrity protection for data radio bearers
US9265087B2 (en) 2011-03-31 2016-02-16 Lg Electronics Inc. Method for user equipment setting security with network in wireless communication system and apparatus for same
KR101948348B1 (ko) 2011-04-01 2019-02-14 인터디지탈 패튼 홀딩스, 인크 네트워크에 대한 연결성을 제어하는 방법 및 장치
KR101929307B1 (ko) 2011-04-11 2018-12-17 삼성전자 주식회사 Ｃｓｇ 셀에서 단말이 셀 재선택 우선 순위를 효율적으로 제어하는 방법 및 장치
KR101240552B1 (ko) * 2011-09-26 2013-03-11 삼성에스디에스 주식회사 미디어 키 관리 및 상기 미디어 키를 이용한 피어-투-피어 메시지 송수신 시스템 및 방법
KR20140116090A (ko) * 2011-12-08 2014-10-01 인터디지탈 패튼 홀딩스, 인크 하이 레이트 이중 대역 셀룰러 통신
EP2688328B1 (en) 2012-07-17 2018-10-03 Google Technology Holdings LLC Security in wireless communication system and device
US9119062B2 (en) * 2012-10-19 2015-08-25 Qualcomm Incorporated Methods and apparatus for providing additional security for communication of sensitive information
US20150319621A1 (en) * 2012-10-29 2015-11-05 Nokia Solutions And Networks Oy Method, Apparatus and Computer Program Product for Allocation of a Shared Resource
US10117224B2 (en) 2013-09-20 2018-10-30 Qualcomm Incorporated MAC subheader for D2D broadcast communication for public safety
CN104798320B (zh) * 2013-11-11 2018-11-09 华为技术有限公司 数据传输方法及装置
EP3108679B1 (en) * 2014-02-21 2017-05-10 Telefonaktiebolaget LM Ericsson (publ) Method and devices for protection of control plane functionality
US9338646B2 (en) 2014-04-22 2016-05-10 Electronics And Telecommunications Research Institute Method for transmitting and receiving fake communication data and terminal performing the same
CN104125570B (zh) * 2014-07-02 2018-03-27 大唐移动通信设备有限公司 一种信令消息完整性检查的方法及装置
KR102202894B1 (ko) * 2014-08-28 2021-01-14 삼성전자 주식회사 이동 통신 네트워크에서 패킷 손실 관리 방법
US9843946B2 (en) * 2015-01-28 2017-12-12 Mediatek Inc. Apparatuses and methods for reducing call recovery time associated with a cell update procedure
US20160316373A1 (en) * 2015-04-27 2016-10-27 Qualcomm Incorporated Techniques for managing security mode command (smc) integrity failures at a user equipment (ue)
US9992810B2 (en) * 2015-08-26 2018-06-05 Samsung Electronics Co., Ltd Method for providing integrity protection in a dual SIM dual standby device
CN117354802A (zh) 2015-11-02 2024-01-05 瑞典爱立信有限公司 无线通信
US10623990B2 (en) 2015-12-15 2020-04-14 Lg Electronics Inc. User equipment and method for transmitting data, and network node and method for receiving data
US10028307B2 (en) 2016-01-13 2018-07-17 Qualcomm Incorporated Configurable access stratum security
CN105629425A (zh) * 2016-03-28 2016-06-01 福建福光光电科技有限公司 高分辨率、低畸变日夜两用定焦镜头
US10243929B2 (en) * 2016-03-30 2019-03-26 Qualcomm Incorporated Uplink control channel scheduling for jamming resilience
JP6278054B2 (ja) * 2016-03-31 2018-02-14 富士通株式会社 無線通信システム、無線局および基地局
JP6679751B2 (ja) * 2016-04-01 2020-04-15 アイディーエーシー ホールディングス インコーポレイテッド サービススライス選択および分離のための方法
US10334435B2 (en) 2016-04-27 2019-06-25 Qualcomm Incorporated Enhanced non-access stratum security
EP3453199B1 (en) 2016-05-02 2021-07-07 Telefonaktiebolaget LM Ericsson (PUBL) Authenticating a message in a wireless communication system
US20170013651A1 (en) * 2016-09-22 2017-01-12 Mediatek Singapore Pte. Ltd. NAS Security And Handling Of Multiple Initial NAS Messages
JP7085534B2 (ja) * 2016-10-30 2022-06-16 エルジー エレクトロニクス インコーポレイティド 無線通信システムにおけるｅｍｍモードを決定する方法、及びこのための装置
US11064555B2 (en) * 2016-11-09 2021-07-13 Lg Electronics Inc. Method for transmitting RRC message and wireless device
CN113630773B (zh) * 2017-01-24 2023-02-14 华为技术有限公司 安全实现方法、设备以及系统
CN110313164B (zh) * 2017-03-19 2022-07-26 上海朗帛通信技术有限公司 一种用于上行传输的方法和装置
US10171993B2 (en) * 2017-05-05 2019-01-01 Nokia Technologies Oy Identity request control for user equipment
WO2018230974A1 (en) 2017-06-14 2018-12-20 Samsung Electronics Co., Ltd. Method and user equipment for handling of integrity check failures of pdcp pdus
CN109246705B (zh) * 2017-06-15 2020-10-23 维沃移动通信有限公司 一种数据无线承载完整性保护配置方法、终端及网络设备
US11997738B2 (en) * 2017-06-16 2024-05-28 Telefonaktiebolaget Lm Ericsson (Publ) Systems and methods for the handling of data radio bearer integrity protection failure in NR
KR101988849B1 (ko) * 2017-08-30 2019-06-13 에스케이텔레콤 주식회사 네트워크장치 및 네트워크장치의 메시지 무결성 체크 방법
CN109803263A (zh) * 2017-11-17 2019-05-24 华为技术有限公司 一种安全保护的方法及装置
CN107948972B (zh) * 2017-12-27 2021-03-09 Oppo广东移动通信有限公司 数据业务的恢复方法及相关产品
US10813161B2 (en) * 2018-03-06 2020-10-20 Mediatek Singapore Pte. Ltd. Apparatuses and methods for protection of an initial non-access stratum (NAS) message
CN110536415B (zh) * 2018-05-23 2020-11-20 大唐移动通信设备有限公司 一种nas消息的处理方法、集群终端和集群核心网
CN110830421B (zh) * 2018-08-10 2022-07-29 华为技术有限公司 数据传输方法和设备
CN108990096B (zh) * 2018-09-03 2021-07-06 四川酷比通信设备有限公司 移动终端的nas消息处理方法、系统及移动终端
WO2020049812A1 (ja) 2018-09-07 2020-03-12 日本電気株式会社 分散ユニット、無線端末、及びこれらの方法
WO2020060871A1 (en) * 2018-09-19 2020-03-26 Intel Corporation Protection of initial non-access stratum protocol message in 5g systems
EP3846519B1 (en) * 2019-04-26 2022-07-06 Guangdong Oppo Mobile Telecommunications Corp., Ltd. Method or device for integrity protection
WO2021142808A1 (zh) * 2020-01-17 2021-07-22 Oppo广东移动通信有限公司 设备会话密钥标识字段的填充方法及相关产品
US11310661B2 (en) * 2020-02-14 2022-04-19 Mediatek Inc. Security key synchronization method and associated communications apparatus

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020066011A1 (en) * 2000-11-28 2002-05-30 Nokia Corporation System for ensuring encrypted communication after handover
US20040224669A1 (en) * 2003-05-08 2004-11-11 Pedlar David W. Apparatus and method of handling universal terrestrial radio access network radio resource control connecting messages in universal mobile telecommunications system user equipment
US20050286526A1 (en) * 2004-06-25 2005-12-29 Sood Sanjeev H Optimized algorithm for stream re-assembly

Family Cites Families (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI107486B (fi) * 1999-06-04 2001-08-15 Nokia Networks Oy Autentikaation ja salauksen järjestäminen matkaviestinjärjestelmässä
DE10008148A1 (de) * 2000-02-22 2001-08-23 Bosch Gmbh Robert Verfahren zum Betreiben eines Mobilfunknetzes
FR2808948B1 (fr) * 2000-05-12 2006-03-03 Ibm Corp Internat Business Mac Systeme et methode pour authentifier de maniere unique chaque reproduction d'un groupe de documents electroniques
FI112995B (fi) * 2001-01-16 2004-02-13 Nokia Corp Virheellisen datan käsittely pakettivälitteistä tiedonsiirtoa tarjoavassa tietoliikennejärjestelmässä
FI112138B (fi) 2001-02-09 2003-10-31 Nokia Corp Kehittynyt menetelmä ja järjestely tiedon siirtämiseksi pakettiradiopalvelussa
US7246233B2 (en) * 2001-12-05 2007-07-17 International Business Machines Corporation Policy-driven kernel-based security implementation
AU2003259050A1 (en) 2002-08-09 2004-02-25 Interdigital Technology Corporation Efficient memory allocation in a wireless transmit/receiver unit
KR20050056164A (ko) * 2002-10-03 2005-06-14 마쯔시다덴기산교 가부시키가이샤 키 이벤트 제어 장치
US7251227B2 (en) * 2002-10-04 2007-07-31 M-Stack Limited Access stratum manager
KR100802619B1 (ko) * 2002-11-07 2008-02-13 엘지전자 주식회사 무선 링크 제어 프로토콜에 따르는 수신기에서의 알엘씨데이터 수신 윈도우 처리 방법
US6987985B2 (en) 2003-06-06 2006-01-17 Interdigital Technology Corporation Wireless communication components and methods for multiple system communications
ES2304496T3 (es) * 2003-07-31 2008-10-16 Nokia Siemens Networks Gmbh Procedimiento de gestion de recursos de radio comun en una red telefonica celular multi-rat.
WO2005046263A1 (en) 2003-10-30 2005-05-19 Interdigital Technology Corporation Architecture for implementation of radio access bearer manager (rabm) and packet data convergence protocol (pdcp) process
WO2005055501A2 (en) 2003-12-01 2005-06-16 Interdigital Technology Corporation Method and apparatus for notifying unavailability of broadcast/multicast services
US20050176431A1 (en) * 2004-02-11 2005-08-11 Telefonaktiebolaget L M Ericsson (Publ) Method for handling key sets during handover
JP2006217100A (ja) 2005-02-02 2006-08-17 Nec Corp 復号処理システム及びその方法並びにそれを用いた移動通信システム
US7929410B2 (en) 2005-06-29 2011-04-19 Interdigital Technology Corporation Protocol engine for processing data in a wireless transmit/receive unit
TW200818806A (en) 2005-06-29 2008-04-16 Interdigital Tech Corp Protocol engine for processing data in a wireless transmit/receive unit
KR101213285B1 (ko) 2006-01-04 2012-12-17 삼성전자주식회사 이동통신 시스템에서 아이들모드 단말기의 세션 설정 프로토콜 데이터를 전송하는 방법 및 장치
WO2007108660A1 (en) * 2006-03-22 2007-09-27 Lg Electronics Inc. Asymmetric cryptography for wireless systems
US9106409B2 (en) * 2006-03-28 2015-08-11 Telefonaktiebolaget L M Ericsson (Publ) Method and apparatus for handling keys used for encryption and integrity
US20080051084A1 (en) * 2006-08-23 2008-02-28 Alessio Casati Telecommunications system and method for early transmission of data

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020066011A1 (en) * 2000-11-28 2002-05-30 Nokia Corporation System for ensuring encrypted communication after handover
US20040224669A1 (en) * 2003-05-08 2004-11-11 Pedlar David W. Apparatus and method of handling universal terrestrial radio access network radio resource control connecting messages in universal mobile telecommunications system user equipment
US20050286526A1 (en) * 2004-06-25 2005-12-29 Sood Sanjeev H Optimized algorithm for stream re-assembly

Also Published As

Publication number Publication date
WO2009012281A2 (en) 2009-01-22
BRPI0812675B1 (pt) 2020-04-14
JP2010534959A (ja) 2010-11-11
BRPI0812675A2 (pt) 2014-12-23
ES2573257T3 (es) 2016-06-06
KR20100049076A (ko) 2010-05-11
US8699711B2 (en) 2014-04-15
KR101560848B1 (ko) 2015-10-20
CN104105091A (zh) 2014-10-15
US9420468B2 (en) 2016-08-16
AU2008276061B2 (en) 2012-11-08
AR067595A1 (es) 2009-10-14
EP2172069B1 (en) 2016-03-30
HK1143267A1 (zh) 2010-12-24
KR101605297B1 (ko) 2016-03-21
US20140181899A1 (en) 2014-06-26
CN101755469A (zh) 2010-06-23
CN101755469B (zh) 2014-07-23
TW200920053A (en) 2009-05-01
RU2446626C2 (ru) 2012-03-27
KR20130114258A (ko) 2013-10-16
KR20100043267A (ko) 2010-04-28
EP2172069A2 (en) 2010-04-07
CA2693185C (en) 2013-11-05
JP2013225863A (ja) 2013-10-31
MY152794A (en) 2014-11-28
RU2010105685A (ru) 2011-08-27
AU2008276061A1 (en) 2009-01-22
TW201244434A (en) 2012-11-01
KR20150041166A (ko) 2015-04-15
EP2579635A2 (en) 2013-04-10
WO2009012281A3 (en) 2009-07-09
US20090025060A1 (en) 2009-01-22
KR101102708B1 (ko) 2012-01-05
KR101468352B1 (ko) 2014-12-03
TW201608861A (zh) 2016-03-01
TWI520539B (zh) 2016-02-01
EP2579635A3 (en) 2013-08-07
CA2693185A1 (en) 2009-01-22
IL203345A (en) 2015-01-29

Similar Documents

Publication Publication Date Title
TWI497965B (zh) 長期演進無線裝置中實施安全性方法及裝置
KR101159441B1 (ko) Ｌｔｅ 모바일 유닛에서의 비접속 계층(ｎａｓ) 보안을 가능하게 하는 방법 및 장치
US20070258591A1 (en) Ciphering control and synchronization in a wireless communication system
AU2013200612A1 (en) Method and apparatus to implement security in a long term evolution wireless device.