WO2008095428A1 - Procédé, dispositif et système de réseau de négociation d'algorithmes de sécurité - Google Patents

Procédé, dispositif et système de réseau de négociation d'algorithmes de sécurité Download PDF

Info

Publication number
WO2008095428A1
WO2008095428A1 PCT/CN2008/070116 CN2008070116W WO2008095428A1 WO 2008095428 A1 WO2008095428 A1 WO 2008095428A1 CN 2008070116 W CN2008070116 W CN 2008070116W WO 2008095428 A1 WO2008095428 A1 WO 2008095428A1
Authority
WO
WIPO (PCT)
Prior art keywords
security algorithm
security
algorithm
information
base station
Prior art date
Application number
PCT/CN2008/070116
Other languages
English (en)
French (fr)
Inventor
Yanmei Yang
Jing Chen
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2008095428A1 publication Critical patent/WO2008095428A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a method, apparatus, and network system for negotiating security algorithms.
  • UMTS Universal Mobile Telecommunication System
  • RNC Radio Network Controller
  • UE User Equipment
  • the data provides confidentiality protection
  • signaling between the UE and the RNC provides confidentiality and integrity protection.
  • the encryption/decryption and integrity algorithms supported by different UEs are different, the encryption/decryption algorithm and the integrity algorithm need to be negotiated before encryption/decryption and integrity protection.
  • AS Access Stratum
  • the UMTS system negotiates encryption/decryption and integrity algorithms between the UE and the RNC.
  • the core network includes: Mobility Management Entity (MME) and user plane entity ( User Plane Entity (UPE) and Inter Access System Anchor (IAS A), where the MME is responsible for mobility management of the control plane, including user context and mobility state management, assigning user temporary identity, Security information, etc.; UPE is responsible for paging for downlink data in idle state, managing and storing IP bearer parameters and internal network information; IASA acts as an inter-user anchor between different systems, and the access network consists of Evolved Node Base (eNodeB).
  • MME Mobility Management Entity
  • UPE User Plane Entity
  • IAS A Inter Access System Anchor
  • the security of the access layer signaling of the signaling plane is terminated on the eNodeB, and the security of the non-access stratum of the signaling plane, that is, the security end of the signaling plane of the core network is terminated on the MME, the user plane
  • Security algorithm that is, the eNodeB and the UE need to negotiate the access layer AS security algorithm
  • MME and The UE needs to negotiate a non-access stratum (NAS) security algorithm.
  • NAS non-access stratum
  • the inventors have found through research that: the existing SAE/LTE system cannot negotiate a security algorithm, that is, an access layer AS security algorithm and a non-access layer NAS security algorithm. Summary of the invention
  • Embodiments of the present invention provide a method, a device, and a network system for negotiating a security algorithm, which are capable of
  • the security algorithm is negotiated in the SAE/LTE system.
  • the embodiment of the invention provides a method for negotiating a security algorithm, which is used in a system evolution architecture/long-term evolution system, and the method includes:
  • An identifier indicating the security algorithm is sent to the user terminal.
  • the embodiment of the invention further provides a device for negotiating a security algorithm, which is used in a system evolution architecture/long-term evolution system, and the device includes:
  • An information receiving unit configured to receive security algorithm information that the user terminal can support
  • a security algorithm selection unit configured to select a security algorithm according to the security algorithm information
  • a sending unit configured to send, to the user terminal, an identifier indicating the security algorithm
  • An embodiment of the present invention further provides a network system, where the system includes: an evolved base station, a mobility management entity, where
  • the evolved base station is configured to send, to the mobility management entity, security algorithm information supported by the user terminal, and send the first identifier from the mobility management entity to the user terminal;
  • the mobility management entity is configured to select a non-access stratum security algorithm according to the security algorithm information and algorithm information that the network allows the user to use, and output a first identifier indicating the non-access stratum security algorithm.
  • the security algorithm is selected according to the security algorithm information that the user terminal can support, and the identifier indicating the selected security algorithm is sent to the user terminal, and the security can be negotiated in the SAE/LTE system. algorithm.
  • FIG. 1 is a structural diagram of a SAE/LTE system in the prior art
  • FIG. 2 is a flowchart of a method for negotiating a security algorithm according to Embodiment 1 of the present invention
  • 3 is a flowchart of a method for negotiating a security algorithm according to Embodiment 2 of the present invention
  • FIG. 4 is a flowchart of a method for negotiating a security algorithm according to Embodiment 3 of the present invention
  • FIG. 5 is a flowchart of a method for negotiating a security algorithm according to Embodiment 4 of the present invention.
  • FIG. 6 is a flowchart of a method for negotiating a security algorithm according to Embodiment 5 of the present invention.
  • FIG. 7 is a flowchart of a method for negotiating a security algorithm according to Embodiment 6 of the present invention.
  • FIG. 8 is a flowchart of a method for negotiating a security algorithm according to Embodiment 7 of the present invention.
  • FIG. 9 is a flowchart of a method for negotiating a security algorithm according to Embodiment 8 of the present invention.
  • FIG. 10 is a structural diagram of a device for negotiating a security algorithm according to Embodiment 9 of the present invention.
  • FIG. 11 is a structural diagram of a network system according to Embodiment 10 of the present invention.
  • Figure 12 is a flow chart of a method derived from a case of Embodiments 1 through 8 of the present invention.
  • a method for negotiating a security algorithm includes: implementing a middle layer 3 message, taking an initial layer 3 message as an example, and initial layer 3 message in a Radio Resource Connection (RRC) request message. Carrying, carrying the initial layer 3 response information in the RRC setup message, the MME selects the NAS security algorithm, and the eNodeB selects the AS security algorithm;
  • RRC Radio Resource Connection
  • Step 201 The UE sends a radio resource connection RRC request message to the eNodeB, where the request message includes: an AS security capability and an initial layer 3 message, where the initial layer 3 message carries the NAS security capability; wherein the AS security capability is an AS that the UE can support.
  • Security algorithm information that is, the AS security algorithm list
  • the NAS security capability is NAS security algorithm information that the UE can support, that is, the NAS security algorithm list
  • Step 202 the eNodeB saves the AS security capability;
  • Step 203 The eNodeB sends a RANAP message to the MME, where the message carries the initial layer 3 message, and the initial layer 3 message carries the NAS security capability of the UE.
  • Step 204 The MME selects the NAS security algorithm according to the NAS security capability of the UE and the algorithm information that the network allows the user to use; or selects the NAS security algorithm according to the NAS security capability, the algorithm information that the network allows the user, and the subscription information of the user.
  • the algorithm information that the network allows the user to use at least includes the AS security algorithm information and the NAS security algorithm information that the user is allowed to use, wherein the AS security algorithm information that the network allows the user to use includes: the eNodeB itself supports Algorithm information;
  • Step 205 The MME creates a NAS security mode command and a first AS security mode command, and sends a RANAP message to the eNodeB, where the RANAP message carries an initial layer 3 response message, a NAS security mode command, and a first AS security mode command, where the NAS security
  • the mode command carries a first identifier indicating a selected NAS security algorithm, and the NAS security mode command may also be part of an initial layer 3 response message, where the first AS security mode command carries AS algorithm information that the network allows the user to use;
  • Step 206 The eNodeB selects an AS security algorithm according to the AS security capability and the algorithm information supported by the eNodeB, or selects an algorithm according to the AS security capability and the algorithm information supported by the eNodeB in the AS algorithm information that the network allows the user to use.
  • AS security algorithm ;
  • Step 207 The eNodeB creates a second AS security mode command, where the second AS security mode command includes a second identifier indicating the selected AS security algorithm, and sends an RRC setup message to the UE, where the message carries the second AS security mode command.
  • Step 208 The UE sends an RRC acknowledgment message to the eNodeB, where the message carries a layer 3 acknowledgment message, a NAS security mode command response, and a second AS security mode command response.
  • Step 209 The eNodeB sends a RANAP message to the MME, where the message carries a layer 3 acknowledgement message and a NAS security mode command response.
  • the algorithm supported by the UE may not distinguish between the AS algorithm and the NAS algorithm. That is, the algorithm supported by the UE is both the AS algorithm and the NAS algorithm, and the NAS security capability and the AS security capability are the same, and is generally referred to as the UE security capability.
  • the RRC request message in the step 201 may include: the UE security capability and the initial layer 3 message, where the initial layer 3 message carries the UE security capability, and the UE security capability may only Carrying an IE;
  • Step 202 may save the security capability of the UE for the eNodeB; or the initial layer 3 message in step 201 does not carry the UE security capability, and the RANAP message sent by the eNodeB to the MME in step 203 includes: an initial layer 3 message and a UE Security capabilities.
  • the method for negotiating the security algorithm provided by the second embodiment of the present invention includes:
  • the initial layer 3 message in the implementation 2 is carried in the RRC request message, and the MME selects the NAS security.
  • the full algorithm, the eNodeB selects the AS security algorithm;
  • Step 301 - Step 303 is the same as Step 201 - Step 203 in Embodiment 1;
  • An AS security mode command carries AS algorithm information that the network allows the user to use;
  • Step 305 The eNodeB selects an AS security algorithm according to the AS security capability and the algorithm information supported by the eNodeB, or selects the AS according to the AS security capability and the algorithm information supported by the eNodeB in the algorithm information that the network allows the user to use.
  • Security algorithm
  • Step 306 The eNodeB creates a second AS security mode command, and sends an RRC message to the UE, where the message carries a second AS security mode command, where the second AS security mode command includes a second identifier indicating the selected AS security algorithm.
  • Step 307 The UE sends an RRC acknowledgment message to the eNodeB, where the message carries a second AS security mode command response.
  • Step 308 The MME selects the NAS security algorithm according to the NAS security capability of the UE and the algorithm information that the network allows the user to use; or selects the NAS security algorithm according to the NAS security capability, the algorithm information that the network allows the user, and the subscription information of the user. ;
  • Step 309 The MME creates a NAS security mode command, and sends a RANAP message to the eNodeB, where the RANAP message carries a NAS security mode command, where the NAS security mode command carries a first identifier indicating the selected NAS security algorithm.
  • Step 310 The eNodeB sends an RRC message to the UE, where the message carries a NAS security mode command, where the NAS security mode command carries a first identifier indicating the selected NAS security algorithm.
  • Step 311 The UE sends an RRC message to the eNodeB, where the message carries a NAS security mode command response.
  • Step 312 The eNodeB sends a RANAP message to the MME, where the message carries a NAS security mode command response.
  • Step 313 The MME sends a RANAP message to the eNodeB, where the message carries an initial layer 3 response message.
  • Step 314 The eNodeB sends an RRC message to the UE, where the message carries an initial layer 3 response message.
  • the initial layer 3 response message in step 313 and step 314 may be sent together with the NAS security mode command in step 309 and step 310; or may be sent together with the AS security mode command in step 304 and step 306; or
  • the NAS security mode commands in steps 309 and 310 may be sent with the AS security mode commands in steps 304 and 306.
  • the NAS security mode command responses in steps 311 and 312 may also be sent with the AS security mode command responses in steps 305 and 306 without affecting the implementation of the present invention.
  • the sequence of the NAS security mode command process in step 308 to step 312 may be reversed from the sequence of the AS security mode command process in step 304 to step 307, and the order thereof is not particularly limited.
  • the method for negotiating the security algorithm provided by the third embodiment of the present invention includes:
  • the initial layer 3 message of the implementation 3 is carried in the RRC request message, the MME selects the NAS security algorithm, and the eNodeB selects the AS security algorithm;
  • Step 401 - Step 404 is the same as Step 201 - Step 204 in Embodiment 1;
  • Step 405 The MME sends a RANAP message to the eNodeB, where the message carries an initial layer 3 response message, and the initial layer 3 response message carries the indication indicating The first identifier of the NAS security algorithm is obtained.
  • Step 406 The eNodeB sends an RRC setup message to the UE, where the message includes: an initial layer 3 response message carrying the first identifier;
  • Step 407 The MME creates a first AS security mode command, and sends a RANAP message to the eNodeB, where the message carries the first AS security mode command, where the first AS security mode command carries the AS algorithm information that the network allows the user to use;
  • Step 408 The eNodeB selects an AS security algorithm according to the AS security capability and the algorithm information supported by the eNodeB, or selects the AS according to the AS security capability and the algorithm information supported by the eNodeB in the algorithm information that the network allows the user to use.
  • Security algorithm
  • Step 409 The eNodeB creates a second AS security mode command, and sends an RRC message to the UE, where the message carries a second AS security mode command, where the second AS security mode command carries a first identifier indicating the selected AS security algorithm.
  • Step 410 The UE sends an RRC message to the eNodeB, where the message carries a second AS security mode command response.
  • the method for negotiating the security algorithm provided by the fourth embodiment of the present invention includes: The initial layer 3 message of the implementation fourth is carried in the RRC request message, and the initial layer 3 response information is carried in the RRC setup message, and is selected by the MME. NAS security algorithm and AS security algorithm;
  • Step 501 The UE sends an RRC request message to the eNodeB, where the request message includes: an initial layer 3 message, where the initial layer 3 message carries the NAS security capability and the AS security capability; that is, two IEs need to be defined in the initial layer 3 message, and respectively sent AS security capabilities and NAS security capabilities;
  • the algorithm supported by the UE may not distinguish between the AS algorithm and the NAS algorithm, then the NAS security capability and the AS security capability are the same, and is generally referred to as the UE security capability.
  • the algorithm supported by the UE does not distinguish between the AS algorithm and the NAS algorithm, the initial layer 3 message carries the UE security capability, and the UE security capability may carry only one IE;
  • Step 502 The eNodeB sends a RANAP message to the MME, where the message carries the initial layer 3 message, and may also carry the algorithm information supported by the MME.
  • the initial layer 3 message carries the NAS security capability and the AS security capability, or the UE security capability.
  • Step 503 The MME selects a NAS security algorithm according to the NAS security capability of the UE and an algorithm allowed by the network, or selects a NAS security algorithm according to the NAS security capability, an algorithm that the network allows the user, and the subscription information of the user;
  • Step 504 The MME creates a NAS security mode command and a third AS security mode command, and sends a RANAP message to the eNodeB, where the RANAP message carries an initial layer 3 response message, a NAS security mode command, and a third AS security mode command, where the NAS security
  • the mode command carries a first identity indicating the selected NAS security algorithm
  • the third AS security mode command carries a second identity indicating the selected AS security algorithm.
  • the NAS security mode command can also be placed in the NAS part of the RANAP message.
  • the NAS security mode command can also be carried in the layer 3 response message.
  • Step 505 The eNodeB learns the selected AS security algorithm according to the second identifier carried in the third AS security mode command.
  • Step 506 The eNodeB creates a fourth AS security mode command, and sends an RRC setup message to the UE, where the message includes: a fourth AS security mode command, a NAS security mode command, and an initial layer 3 response.
  • the fourth AS security mode command carries the second identifier;
  • Step 507 The UE sends an RRC acknowledgment message to the eNodeB, where the message carries a layer 3 acknowledgment message, a NAS security mode command response, and a fourth AS security mode command response.
  • Step 508 The eNodeB sends a RANAP message to the MME, where the message carries a layer 3 acknowledgement message and a NAS security mode command response.
  • the eNodeB sends the RANAP message to the MME, and the algorithm information supported by the eNodeB may not be carried.
  • the algorithm information supported by the eNodeB may be directly configured on the MME.
  • the MME selects the NAS security algorithm and the AS security algorithm to implement the security algorithm negotiation. If the MME completes the AS algorithm selection, the MME needs to send the selected AS algorithm to the eNB through the RANAP message. The eNB no longer needs to select the AS algorithm and does not affect the implementation of the present invention.
  • the method for negotiating a security algorithm according to Embodiment 5 of the present invention includes: In Embodiment 5, a connection of a radio access network, that is, an RRC connection, and then a connection of a core network, and a NAS security algorithm are selected by the MME. , the eNodeB selects an AS security algorithm;
  • Step 601 The UE sends an RRC request message to the eNodeB, where the RRC request message is carried.
  • Step 602 The eNodeB saves the security capability of the UE.
  • Step 603 The eNodeB sends an RRC setup message to the UE.
  • Step 604 The UE sends an RRC complete message to the eNodeB.
  • Step 605 The UE sends an initial layer 3 message to the eNodeB.
  • Step 606 The eNodeB sends a RANAP message to the MME, and the eNodeB needs to add the UE security capability to the RANAP message.
  • the message includes: an initial layer 3 message, a security capability of the UE.
  • Step 607 The MME allows the user to use according to the security capability of the UE and the network.
  • the algorithm information selects the NAS security algorithm, or selects the NAS security algorithm according to the security capability of the UE, the algorithm information that the network allows the user, and the subscription information of the user;
  • Step 608 The MME sends a RANAP message to the eNodeB, where the message carries: an initial layer 3 response message, where the initial layer 3 response message carries a first identifier indicating the selected NAS security algorithm;
  • Step 609 The eNodeB sends an initial layer 3 response message to the UE, where the initial layer 3 responds to the message. Carrying the first identifier;
  • Step 610 - Step 613 is the same as steps 407 - 410 in the third embodiment. There is no specific sequence between the process of selecting and transmitting the NAS algorithm and the process of selecting and transmitting the AS algorithm.
  • the security capability of the UE may be sent to the network side in step 604, or may be sent to the network side in step 605. Afterwards, the MME sends the security capability of the UE to the eNodeB through the interface with the eNodeB.
  • a method for negotiating a security algorithm includes: In Embodiment 6, first performing a connection of a radio access network, that is, an RRC connection, and then performing a connection of a core network, and selecting, by the MME, NAS security.
  • the algorithm, the eNodeB selects the AS security algorithm; the difference from the fifth embodiment is that the implementation combines the initial layer 3 response message and the AS security mode command into one message, or merges the NAS security mode command with the AS security mode command into one
  • the message is sent, and in the fifth embodiment, it is sent separately;
  • Step 701 - Step 707 is the same as step 601 - step 607;
  • Step 708 The MME creates a security mode command, and sends a RANAP message to the eNodeB, where the message carries: an initial layer 3 response message and a first security mode command message, where the first security mode command message carries the NAS security algorithm that is selected to be selected.
  • the NAS security algorithm can be sent to the UE in a separate NAS security mode command (that is, the first security mode command in this embodiment), that is, the first security mode command can be separately sent in this step.
  • the initial layer 3 response message may be sent to the UE after receiving the security mode command response message.
  • Step 709 The eNodeB selects an AS security algorithm according to the security capability of the UE and the pre-stored algorithm information supported by the eNodeB, or selects an algorithm according to the security capability of the UE and the algorithm information supported by the eNodeB in the algorithm information that the network allows the user to use.
  • AS security algorithm ;
  • Step 710 The eNodeB sends an RRC message to the UE, where the message carries: an initial layer 3 response message and a second security mode command, or a NAS security mode command and a second security mode command, where the second security mode command carries the indication The second identifier of the AS security algorithm;
  • Step 711 The UE sends an RRC message to the eNodeB, where the message carries the second security mode Respond
  • Step 712 The eNodeB sends a RANAP message to the MME, where the message carries the first security mode command response.
  • This method is also applicable to the case where the MME selects both NAS and AS algorithms. Only in step 708, the MME needs to provide the selected AS algorithm to eNodB, and eNodB in step 709 does not need to perform algorithm selection.
  • a method for negotiating a security algorithm according to Embodiment 7 of the present invention includes: In Embodiment 7, a connection of a radio access network, that is, an RRC connection, and then a connection of a core network, and a NAS security selected by the MME are performed.
  • the algorithm, the eNodeB selects the AS security algorithm; the difference from the sixth embodiment is that the selected NAS security algorithm is sent to the UE separately from the AS security algorithm, and in the sixth embodiment, the two are sent by the eNodeB to the UE.
  • Step 801 - Step 806 is the same as step 601 - step 606;
  • Step 807 The MME selects the NAS security algorithm according to the algorithm that the network allows the user to use and the security capability of the UE, and also considers the subscription information of the user.
  • Step 808 The MME sends a RANAP message to the eNodeB, where the message carries: initial layer 3 response information, and algorithm information that the network allows the user to use, where the initial layer 3 response information carries a first identifier indicating the selected NAS security algorithm;
  • Step 809 The eNodeB sends an RRC message to the UE, where the RRC message carries: an initial layer 3 response message including a first identifier of the NAS security algorithm;
  • the NAS security algorithm can also be sent in a NAS security mode command independent of the initial layer 3 response message, that is, the NAS security mode command can be sent in this step, and the initial layer 3 is sent later.
  • Response information may be:
  • the MME sends a RANAP message to the eNodeB, where the message carries: a NAS security mode command including the selected NAS security algorithm;
  • Step 809 may be, the eNodeB will receive the selected NAS security.
  • the NAS security mode command of the algorithm is forwarded to the UE.
  • the initial layer 3 response information is sent in subsequent processes.
  • Step 810 The eNodeB selects an AS security algorithm according to the security capability of the UE and the pre-stored algorithm information supported by the eNodeB, or selects an algorithm according to the security capability of the UE and the algorithm information supported by the eNodeB in the algorithm information that the network allows the user to use.
  • AS security algorithm Step 811: The eNodeB sends an RRC message to the UE, where the RRC message carries: a second identifier of the selected AS security algorithm.
  • a method for negotiating a security algorithm according to Embodiment 8 of the present invention includes: In Embodiment 8, a connection of a radio access network, that is, an RRC connection, and then a connection of a core network, and a NAS security selected by the MME are performed. Algorithm and AS security algorithm;
  • Step 901 The UE sends an RRC request message to the eNodeB.
  • Step 902 The eNodeB sends an RRC setup message to the UE.
  • Step 903 The UE sends an RRC complete message to the eNodeB.
  • Step 904 The UE sends an initial layer 3 message to the eNodeB.
  • the message includes: a security capability of the UE;
  • Step 905 The eNodeB sends a RANAP message to the MME, where the message includes: an initial layer 3 message and algorithm information supported by the eNodeB, where the initial layer 3 message carries the security capability of the UE;
  • Step 906 The MME selects a NAS security algorithm according to the security capability of the UE and an algorithm that the network allows the user to use, or selects a NAS security algorithm according to the security capability of the UE, an algorithm that the network allows the user, and the subscription information of the user.
  • the AS security algorithm is selected by the security capability and the algorithm information supported by the eNodeB in the RANAP message, or the AS security algorithm is selected according to the security capability of the UE and the algorithm information supported by the eNodeB in the algorithm information allowed by the network.
  • Step 907 The MME sends a RANAP message to the eNodeB, where the message carries: an initial layer 3 response message and a second identifier indicating the selected AS security algorithm.
  • the initial layer 3 response message carries the first identifier indicating the selected NAS security algorithm.
  • Step 908 The eNodeB learns the AS security algorithm according to the second identifier.
  • Step 909 The eNodeB sends an RRC message to the UE, where the RRC message includes: an initial layer 3 response message and a second identifier.
  • the initial layer 3 response information carries the first identifier.
  • the eNodeB sends the RANAP message to the MME, and the algorithm information supported by the eNodeB may not be directly configured on the MME.
  • the sixth embodiment and the seventh embodiment may also be used.
  • the MME selects the NAS security algorithm and the AS security algorithm to implement the security algorithm negotiation, which does not affect the implementation of the present invention.
  • the security capability of the UE may not be carried in the RRC request message, and may be carried in the RRC complete message sent by the UE to the eNodeB.
  • the AS security capability of the UE may be the AS security capability of the UE.
  • the NAS security capability of the UE may be carried in the initial layer 3 message sent by the UE to the eNodeB, which does not affect the implementation of the present invention.
  • the RRC connection is independent of the initial NAS connection establishment process, and the NAS security algorithm selected by the MME is sent to the UE in an independent NAS security mode command.
  • the method includes:
  • Step 1201 The UE sends an RRC request message to the eNodeB.
  • Step 1202 The eNodeB sends an RRC setup message to the UE.
  • Step 1203 The UE sends an RRC Complete message to the eNodeB.
  • Step 1204 The UE sends an initial layer 3 message to the eNodeB.
  • the message includes: a security capability of the UE;
  • Step 1205 The eNodeB sends a RANAP message to the MME, where the message includes: an initial layer 3 message and algorithm information supported by the eNodeB, where the initial layer 3 message carries the security capability of the UE;
  • Step 1206 The MME selects a NAS security algorithm according to the security capability of the UE and an algorithm that the network allows the user to use, or selects a NAS security algorithm according to the security capability of the UE, an algorithm that the network allows the user, and the subscription information of the user.
  • the AS security algorithm is selected by the security capability and the algorithm information supported by the eNodeB in the RANAP message, or the AS security algorithm is selected according to the security capability of the UE and the algorithm information supported by the eNodeB in the algorithm information allowed by the network.
  • Step 1207 The MME sends a RANAP message to the eNodeB, where the message carries: a NAS security mode command and a second identifier indicating the selected AS security algorithm; and the NAS security mode command carries a first identifier indicating the selected NAS security algorithm;
  • Step 1208 The eNodeB learns the AS security algorithm according to the second identifier.
  • Step 1209 The eNodeB sends an RRC message to the UE, where the RRC message includes: a NAS security mode command and a second identifier; and the NAS security mode command carries the first identifier.
  • the eNodeB may not carry the RANAP message to the MME in step 1205.
  • the supported algorithm information, the algorithm information supported by the eNodeB can be directly configured on the MME; wherein the security capability of the UE may not be carried in the RRC request message, and may be carried in the RRC completion message sent by the UE to the eNodeB; or in step 1204 Sending to the MME, or when the security capability of the UE is differentiated into the AS security capability and the NAS security capability, the AS security capability of the UE may be carried in the RRC request message or the RRC complete message, and the NAS security capability of the UE may be
  • the UE carries the initial layer 3 message sent to the eNodeB without affecting the implementation of the present invention.
  • this embodiment is also applicable to the MME selecting the NAS algorithm, and the eNodeB is selected.
  • Embodiment 9 of the present invention provides a device for negotiating a security algorithm, which is used in a system evolution architecture/long-term evolution system, where the device includes:
  • the information receiving unit 1001 is configured to receive the security algorithm information that the user terminal can support;
  • the security algorithm selecting unit 1002 is configured to select the security algorithm according to the security algorithm information in the information receiving unit 1001;
  • the sending unit 1003 is configured to send, to the user terminal, an identifier indicating a security algorithm selected by the security algorithm selecting unit 1002.
  • the information receiving unit 1001, the security algorithm selecting unit 1002, and the sending unit 1003 are located in the mobility management entity, and are used to negotiate a non-access stratum security algorithm.
  • the information receiving unit 1001 is configured to receive security algorithm information that can be supported by the user terminal, where the security algorithm information may be non-access stratum security algorithm information, where the security algorithm information may be carried by the initial layer 3 message;
  • the security algorithm selecting unit 1002 is configured to select a non-access stratum security algorithm according to the security algorithm information and the algorithm information that the network allows the user to use, or consider the information subscribed by the user;
  • the sending unit 1003 is configured to send, to the user terminal, a first identifier that is a non-access stratum security algorithm selected by the security algorithm selecting unit 1002, where the first identifier may be carried in the initial layer 3 response message, or may be in the NAS mode command. Carry in
  • the information receiving unit 1001, the security algorithm selecting unit 1002, and the sending unit 1003 may be located in the mobility management entity, and used to negotiate an access layer security algorithm.
  • the device may further include: an evolved base station algorithm information receiving unit 1004, and an evolved base station algorithm information.
  • the information receiving unit 1001 is configured to receive security algorithm information that the user terminal can support, and the security The entire algorithm information may be access layer security algorithm information, and the security algorithm information may be carried in the initial layer 3 message;
  • the security algorithm selecting unit 1002 is configured to select an access layer security algorithm according to the security algorithm information and the algorithm information supported by the evolved base station;
  • the sending unit 1003 is configured to send a second identifier indicating an access layer security algorithm selected by the security algorithm selecting unit 1002, where the second identifier may be carried in the third NAS security mode command;
  • the evolved base station algorithm information receiving unit 1004 is configured to receive the algorithm information supported by the evolved base station and output the information to the security algorithm selecting unit 1002.
  • the evolved base station algorithm information configuration unit 1005 is configured to configure algorithm information supported by the evolved base station and output the information to the security algorithm selection unit 1002.
  • the information receiving unit 1001, the security algorithm selecting unit 1002, and the sending unit 1003 may also be located in an evolved base station, and used to negotiate an access layer security algorithm.
  • the information receiving unit 1001 is configured to receive security algorithm information that can be supported by the user terminal, where the security algorithm information may be access layer security algorithm information, where the security algorithm information may be carried in the RRC request message;
  • the security algorithm selecting unit 1002 is configured to select an access layer security algorithm according to the security algorithm information and the algorithm information supported by the evolved base station;
  • the sending unit 1003 is configured to send, to the user equipment, a second identifier that represents an access layer security algorithm.
  • a tenth embodiment of the present invention provides a network system, where the system includes: an evolved base station 1101, configured to send security algorithm information supported by a user terminal to a mobility management entity 1102; An identifier is sent to the user terminal;
  • the mobility management entity 1102 is configured to select a non-access stratum security algorithm according to the security algorithm information and the algorithm information that the network allows the user to use, and output a first identifier that represents the non-access stratum security algorithm.
  • the evolved base station 1101 is further configured to send the second identifier from the mobility management entity 1102 to the user terminal, and obtain an access layer algorithm according to the second identifier;
  • the management entity 1102 is further configured to: according to the security algorithm information and the algorithm information supported by the evolved base station 1101, select an access layer security algorithm, and output a second identifier indicating the selected access layer security algorithm.
  • the evolved base station 1101 is further configured to receive the access layer security algorithm information and forward the information to the mobility management entity 1102, and send the second identifier from the mobility management entity 1102 to the user terminal, and obtain the second identifier according to the second identifier.
  • the access layer algorithm is further configured to: according to the access layer security algorithm information and the algorithm information supported by the evolved base station 1101, select an access layer security algorithm, and output a second identifier indicating the access layer security algorithm.
  • the evolved base station 1101 is further configured to select an access layer security algorithm according to the security algorithm information and the algorithm information supported by the network, and display the second identifier of the access layer security algorithm. Send to the user terminal.
  • the evolved base station 1101 is further configured to receive the access layer security algorithm information, according to the access layer security algorithm.
  • the information and the algorithm information supported by the user select an access layer security algorithm, and send a second identifier indicating the access layer security algorithm to the user terminal.
  • the MME selects the NAS security algorithm according to the NAS security capability supported by the UE and the algorithm information that the network allows the user to use, and sends a message indicating the selected NAS security algorithm to the user terminal.
  • An identifier can be used to negotiate a NAS security algorithm in the SAE/LTE system.
  • the MME or the eNodeB selects an AS security algorithm according to the AS security capability supported by the UE and the algorithm information supported by the eNodeB, and the UE and the UE The eNodeB obtains the second identifier indicating the selected AS security algorithm, and achieves the purpose of negotiating the AS security algorithm in the SAE/LTE system.
  • the embodiment of the present invention uses the initial layer 3 message in the RRC request message, and the initial layer 3 message
  • the NAS security capability can be carried, and the initial layer 3 response message and the first identifier are carried in the RRC setup message, which simplifies the process and saves time spent negotiating the security algorithm.
  • the method, the device, and the network system for negotiating the security algorithm provided by the embodiment of the present invention are described above.
  • the description of the above embodiment is only for helping to understand the method of the embodiment of the present invention; meanwhile, for those skilled in the art, based on The present invention is not limited to the embodiments of the present invention.
  • the present invention is not limited to the embodiments of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

安全算法协商的方法、 装置及网络系统
本申请要求于 2007 年 2 月 5 日提交中国专利局、 申请号为 200710003493.4、 发明名称为"安全算法协商的方法、 装置及网络系统"的中国 专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信技术领域，特别涉及安全算法协商的方法、装置及网络系 统。
背景技术
在通用移动通信系统 ( Universal Mobile Telecommunication System , UMTS ) 中， 需要无线网络控制器（Radio Network Controller, RNC )和用户 终端（User Equipment, UE )执行加密 /解密和完整性保护操作， 即对 UE的数 据提供机密性保护， UE和 RNC之间的信令提供机密性和完整性保护。 由于 不同 UE所支持的加密 /解密和完整性算法不同， 因此， 在加密 /解密和完整性 保护之前， 需要协商加密 /解密算法和完整性算法。 由于 UMTS系统仅需在接 入（ Access Stratum, AS )层提供保护， 因此， UMTS系统在 UE和 RNC之间 协商了加密 /解密和完整性算法。
在系统演进架构 （ System Architecture Evolution, SAE ) /长期演进 ( Long Term Evolution, LTE ) 系统中， 如图 1 所示， 核心网包括： 移动性管理实体 ( Mobility Management Entity, MME )、 用户面实体（ User Plane Entity, UPE ) 和接入系统间锚点（ Inter Access System Anchor , IAS A ) , 其中， MME用于负 责控制面的移动性管理， 包括用户上下文和移动状态管理， 分配用户临时身份 标识、 安全信息等； UPE 负责空闲状态下为下行数据发起寻呼， 管理保存 IP 承载参数和网络内部信息等； IASA作为不同系统间的用户间锚点， 接入网由 演进基站 （Evolved Node Base, eNodeB )构成； 在该系统中， 信令面的接入 层信令的安全终结在 eNodeB上， 信令面的非接入层的安全， 即核心网信令面 的安全终结在 MME上， 用户面的安全终结在 UPE上。 因此， 信令面的安全 终结点有： eNodeB, MME, 而安全终结点在对数据或者信令执行相应的安全 保护之前， 需要协商该安全终结点与用户终端（User Equipment, UE )都支持 的安全算法， 即 eNodeB与 UE之间需要协商接入层 AS安全算法， MME与 UE之间需要协商非接入层 ( None Access Stratum, NAS )安全算法。 在实现本发明的过程中， 发明人经过研究发现： 现有的 SAE/LTE系统中 无法协商出安全算法， 即接入层 AS安全算法和非接入层 NAS安全算法。 发明内容
本发明实施例提供一种安全算法协商的方法、 装置及网络系统， 能够在
SAE/LTE系统中协商出安全算法。
本发明实施例提供一种安全算法协商的方法， 用于系统演进架构 /长期演 进系统中， 该方法包括：
接收用户终端所能支持的安全算法信息；
根据所述安全算法信息， 选择安全算法；
向所述用户终端发送表示所述安全算法的标识。
本发明实施例还提供一种安全算法协商的装置， 用于系统演进架构 /长期 演进系统中， 该装置包括：
信息接收单元， 用于接收用户终端所能支持的安全算法信息；
安全算法选择单元， 用于根据所述安全算法信息， 选择安全算法； 发送单元， 用于向所述用户终端发送表示所述安全算法的标识。
本发明实施例还提供一种网络系统， 该系统包括： 演进基站， 移动性管理 实体， 其中，
所述演进基站，用于向所述移动性管理实体发送用户终端支持的安全算法 信息； 将来自所述移动性管理实体的第一标识发送给所述用户终端；
所述移动性管理实体，用于根据所述安全算法信息和网络允许用户使用的 算法信息， 选择非接入层安全算法，输出表示所述非接入层安全算法的第一标 识。
以上技术方案可以看出，本发明实施例通过根据用户终端所能支持的安全 算法信息， 选择安全算法， 并向用户终端发送表示所选择的安全算法的标识， 能够在 SAE/LTE系统中协商安全算法。
附图说明
图 1为现有技术中 SAE/LTE系统结构图；
图 2为本发明实施例一所提供的安全算法协商的方法流程图； 图 3为本发明实施例二所提供的安全算法协商的方法流程图； 图 4为本发明实施例三所提供的安全算法协商的方法流程图；
图 5为本发明实施例四所提供的安全算法协商的方法流程图；
图 6为本发明实施例五所提供的安全算法协商的方法流程图；
图 7为本发明实施例六所提供的安全算法协商的方法流程图；
图 8为本发明实施例七所提供的安全算法协商的方法流程图；
图 9为本发明实施例八所提供的安全算法协商的方法流程图；
图 10为本发明实施例九所提供的安全算法协商的装置结构图；
图 11为本发明实施例十所提供的网络系统结构图；
图 12为由本发明实施例一至八推导出的一种情况的方法流程图。
具体实施方式
下面参照附图， 对本发明的实施例进行详细说明。
参阅图 2, 本发明的实施例一所提供的安全算法协商的方法包括： 实施一中层 3消息以初始层 3消息为例， 初始层 3消息在无线资源连接 ( Radio Resource Connection, RRC )请求消息中携带， 将初始层 3响应信息 在 RRC建立消息中携带， 由 MME选择 NAS安全算法， eNodeB选择 AS安 全算法；
步骤 201、 UE向 eNodeB发送无线资源连接 RRC请求消息， 该请求消息 中包括： AS安全能力和初始层 3消息， 初始层 3消息携带 NAS安全能力； 其 中， AS安全能力是 UE所能支持的 AS安全算法信息， 即 AS安全算法列表， NAS安全能力是 UE所能支持的 NAS安全算法信息， 即 NAS安全算法列表； 步骤 202、 eNodeB保存 AS安全能力；
步骤 203、 eNodeB向 MME发送 RANAP消息， 该消息中携带初始层 3 消息， 初始层 3消息中携带 UE的 NAS安全能力；
步骤 204、 MME根据 UE的 NAS安全能力和网络允许用户使用的算法信 息， 选择出 NAS安全算法； 或者， 根据 NAS安全能力、 网络允许用户使用的 算法信息和用户的签约信息， 选择出 NAS安全算法； 其中， 网络允许用户使 用的算法信息至少包括允许用户使用的 AS安全算法信息和 NAS安全算法信 息， 其中， 网络允许用户使用的 AS安全算法信息包括： 该 eNodeB自身支持 的算法信息；
步骤 205、 MME创建 NAS安全模式命令和第一 AS安全模式命令， 向 eNodeB发送 RANAP消息， 该 RANAP消息中携带初始层 3响应消息， NAS 安全模式命令和第一 AS安全模式命令，其中， NAS安全模式命令携带表示选 择的 NAS安全算法的第一标识， 该 NAS安全模式命令也可以作为初始层 3 响应消息的一部分， 第一 AS安全模式命令携带网络允许用户使用的 AS算法 信息；
步骤 206、 eNodeB根据 AS安全能力和该 eNodeB预存的自身支持的算法 信息， 选择 AS安全算法， 或者， 根据 AS安全能力， 和网络允许用户使用的 AS算法信息中的 eNodeB 自身支持的算法信息， 选择 AS安全算法；
步骤 207、 eNodeB创建第二 AS安全模式命令， 该第二 AS安全模式命令 中包括表示所选的 AS安全算法的第二标识，向 UE发送 RRC建立消息，该消 息中携带第二 AS安全模式命令， NAS安全模式命令和初始层 3响应信息，其 中， NAS安全模式命令携带表示选择的 NAS安全算法的第一标识， 可以作为 初始层 3响应信息的一部分；
步骤 208、 UE向 eNodeB发送 RRC确认消息， 该消息中携带层 3确认消 息， NAS安全模式命令响应， 第二 AS安全模式命令响应；
步骤 209、 eNodeB向 MME发送 RANAP消息，该消息中携带层 3确认消 息和 NAS安全模式命令响应。
其中， UE所支持的算法可并不区分 AS算法和 NAS算法， 即 UE所支持 的算法既是 AS算法又是 NAS算法， 那么 NAS安全能力和 AS安全能力是相 同的， 通称为 UE的安全能力。 当 UE所支持算法不区分 AS算法和 NAS算法 时， 该步骤 201中的 RRC请求消息可以包括： UE安全能力和初始层 3消息， 初始层 3消息中携带 UE安全能力， UE安全能力中可以只携带一个 IE; 步骤 202可以为 eNodeB保存 UE的安全能力； 或者， 步骤 201中的初始层 3消息 不携带 UE安全能力，步骤 203的 eNodeB向 MME发送的 RANAP消息包括： 初始层 3消息和 UE的安全能力。
参阅图 3 , 本发明的实施例二所提供的安全算法协商的方法包括： 实施二中的初始层 3消息在 RRC请求消息中携带， 由 MME选择 NAS安 全算法， eNodeB选择 AS安全算法；
其中， 步骤 301 -步骤 303与实施例一中的步骤 201 -步骤 203相同； 步骤 304、 MME创建第一 AS安全模式命令， 向 eNodeB发送 RANAP消 息， 该消息中携带第一 AS安全模式命令， 第一 AS安全模式命令中携带网络 允许用户使用的 AS算法信息；
步骤 305、 eNodeB根据 AS安全能力和该 eNodeB预存的自身支持的算法 信息， 选择 AS安全算法， 或者， 根据 AS安全能力， 和网络允许用户使用的 算法信息中的 eNodeB 自身支持的算法信息， 选择 AS安全算法；
步骤 306、 eNodeB创建第二 AS安全模式命令， 向 UE发送 RRC消息， 该消息中携带第二 AS安全模式命令， 该第二 AS安全模式命令中含有表示所 选择的 AS安全算法的第二标识；
步骤 307、 UE向 eNodeB发送 RRC确认消息， 该消息中携带第二 AS安 全模式命令响应；
步骤 308、 MME根据 UE的 NAS安全能力和网络允许用户使用的算法信 息， 选择出 NAS安全算法； 或者， 根据 NAS安全能力、 网络允许用户使用的 算法信息和用户的签约信息， 选择出 NAS安全算法；
步骤 309、 MME创建 NAS安全模式命令， 向 eNodeB发送 RANAP消息， 该 RANAP消息中携带 NAS安全模式命令，该 NAS安全模式命令携带表示所 选择的 NAS安全算法的第一标识；
步骤 310、 eNodeB向 UE发送 RRC消息，该消息中携带 NAS安全模式命 令， 该 NAS安全模式命令携带表示所选择的 NAS安全算法的第一标识；
步骤 311、 UE向 eNodeB发送 RRC消息，该消息中携带 NAS安全模式命 令响应；
步骤 312、 eNodeB向 MME发送 RANAP消息， 该消息中携带 NAS安全 模式命令响应；
步骤 313、 MME向 eNodeB发送 RANAP消息， 该消息中携带初始层 3 响应消息；
步骤 314、 eNodeB向 UE发送 RRC消息， 该消息中携带初始层 3响应消 息。 其中， 步骤 313和步骤 314中的初始层 3响应消息， 可以和步骤 309和步 骤 310中的 NAS安全模式命令一起发送； 或者， 和步骤 304和步骤 306中的 AS安全模式命令一起发送； 或者， 步骤 309和步骤 310中的 NAS安全模式命 令可以和步骤 304和步骤 306中的 AS安全模式命令一起发送。此外，步骤 311 和步骤 312中的 NAS安全模式命令响应也可以与步骤 305和步骤 306中的 AS 安全模式命令响应一起发送， 不影响本发明的实现。 步骤 308到步骤 312中的 NAS安全模式命令过程可以与步骤 304到步骤 307中的 AS安全模式命令过程 的顺序可以调换， 其先后次序无特别限定。
参阅图 4, 本发明的实施例三所提供的安全算法协商的方法包括： 实施三的初始层 3消息在 RRC请求消息中携带， 由 MME选择 NAS安全 算法， eNodeB选择 AS安全算法；
其中， 步骤 401 -步骤 404与实施例一中的步骤 201 -步骤 204相同； 步骤 405、 MME向 eNodeB发送 RANAP消息， 该消息中携带初始层 3 响应消息，初始层 3响应消息中携带表示所选择的 NAS安全算法的第一标识； 步骤 406、 eNodeB向 UE发送 RRC建立消息， 该消息中包括： 携带第一 标识的初始层 3响应消息；
步骤 407、 MME创建第一 AS安全模式命令， 向 eNodeB发送 RANAP消 息， 该消息中携带第一 AS安全模式命令， 第一 AS安全模式命令中携带网络 允许用户使用的 AS算法信息；
步骤 408、 eNodeB根据 AS安全能力和该 eNodeB预存的自身支持的算法 信息， 选择 AS安全算法， 或者， 根据 AS安全能力， 和网络允许用户使用的 算法信息中的 eNodeB 自身支持的算法信息， 选择 AS安全算法；
步骤 409、 eNodeB创建第二 AS安全模式命令， 向 UE发送 RRC消息， 该消息中携带第二 AS安全模式命令， 该第二 AS安全模式命令中携带表示所 选择的 AS安全算法的第一标识；
步骤 410、 UE向 eNodeB发送 RRC消息， 该消息中携带第二 AS安全模 式命令响应。
不难看出，步骤 405和步骤 406与后续流程并非一定要在步骤 407之前完 成， 例如： 这两个步骤还可以放到步骤 410之后执行。 参阅图 5, 本发明的实施例四所提供的安全算法协商的方法包括： 实施四的初始层 3消息在 RRC请求消息中携带， 将初始层 3响应信息在 RRC建立消息中携带， 由 MME选择 NAS安全算法和 AS安全算法；
步骤 501、 UE向 eNodeB发送 RRC请求消息， 该请求消息中包括： 初始 层 3消息， 初始层 3消息携带 NAS安全能力和 AS安全能力； 即在初始层 3 消息中需要定义两个 IE, 分别传送 AS安全能力和 NAS安全能力；
UE所支持的算法可不区分 AS算法和 NAS算法， 那么 NAS安全能力和 AS安全能力是相同的， 通称为 UE的安全能力。 当 UE所支持算法不区分 AS 算法和 NAS算法时， 初始层 3消息中携带 UE安全能力， UE安全能力中可以 只携带一个 IE;
步骤 502、 eNodeB向 MME发送 RANAP消息， 该消息中携带初始层 3 消息， 还可能携带自身支持的算法信息， 该初始层 3消息携带 NAS安全能力 和 AS安全能力， 或 UE安全能力；
步骤 503、 MME根据 UE的 NAS安全能力和网络允许用户使用的算法， 选择出 NAS安全算法， 或者， 根据 NAS安全能力、 网络允许用户使用的算法 和用户的签约信息选择 NAS安全算法； 根据 AS安全能力和接收的 RANAP 消息中的 eNodeB 自身支持的算法信息， 选择 AS安全算法， 或者， 根据 AS 安全能力，和网络允许用户使用的算法信息中的 eNodeB自身支持的算法信息， 选择 AS安全算法；
步骤 504、 MME创建 NAS安全模式命令和第三 AS安全模式命令， 向 eNodeB发送 RANAP消息， 该 RANAP消息中携带初始层 3响应消息， NAS 安全模式命令和第三 AS安全模式命令，其中， NAS安全模式命令携带表示选 择的 NAS安全算法的第一标识， 第三 AS安全模式命令携带表示选择的 AS 安全算法的第二标识。 NAS安全模式命令也可以放到 RANAP消息 NAS部分。
当然， 所述 NAS安全模式命令还可以放到层 3响应消息里携带。
步骤 505、 eNodeB根据第三 AS安全模式命令携带的第二标识获知所选的 AS安全算法；
步骤 506、 eNodeB创建第四 AS安全模式命令， 向 UE发送 RRC建立消 息， 该消息包括： 第四 AS安全模式命令、 NAS安全模式命令和初始层 3响应 消息； 其中， 第四 AS安全模式命令携带第二标识；
步骤 507、 UE向 eNodeB发送 RRC确认消息， 该消息中携带层 3确认消 息， NAS安全模式命令响应， 第四 AS安全模式命令响应；
步骤 508、 eNodeB向 MME发送 RANAP消息，该消息中携带层 3确认消 息和 NAS安全模式命令响应。
其中， 步骤 502中 eNodeB向 MME发送 RANAP消息中可以不携带自身 支持的算法信息， eNodeB 自身支持的算法信息可以直接配置在 MME上； 同理， 对于实施例一， 二和实施例三， 也可以釆用由 MME选择 NAS安 全算法和 AS安全算法实现安全算法协商， 如果 MME完成 AS算法选择， 那 么 MME需要通过 RANAP消息把所选 AS算法发给 eNB。 eNB不再需要选择 AS算法， 不影响本发明的实现。
参阅图 6, 本发明的实施例五所提供的安全算法协商的方法包括： 在实施五中， 先进行无线接入网的连接， 即 RRC连接， 再进行核心网的 连接， 由 MME选择 NAS安全算法， eNodeB选择 AS安全算法；
步骤 601、 UE向 eNodeB发送 RRC请求消息， 该 RRC请求消息中携带
UE的安全能力；
步骤 602、 eNodeB保存 UE的安全能力；
步骤 603、 eNodeB向 UE发送 RRC建立消息；
步骤 604、 UE向 eNodeB发送 RRC完成消息；
步骤 605、 UE向 eNodeB发初始层 3消息；
步骤 606、 eNodeB向 MME发送 RANAP消息， eNodeB需要向 RANAP 消息中添加 UE安全能力， 因此该消息包括： 初始层 3消息， UE的安全能力； 步骤 607、 MME根据 UE的安全能力和网络允许用户使用的算法信息， 选择出 NAS安全算法， 或者， 根据 UE的安全能力、 网络允许用户使用的算 法信息和用户的签约信息选择出 NAS安全算法；
步骤 608、 MME向 eNodeB发送 RANAP消息， 该消息中携带： 初始层 3 响应消息， 该初始层 3响应消息中携带表示所选择的 NAS安全算法的第一标 识；
步骤 609、 eNodeB向 UE发送初始层 3响应消息，该初始层 3响应消息中 携带第一标识；
步骤 610 -步骤 613与实施例三中的步骤 407 -步骤 410相同。 其中， 所 述选择和发送 NAS算法的相关流程与选择和发送 AS算法相关流程并无特定 的先后顺序。
值得指出的是 UE的安全能力还可以在步骤 604中发给网络侧，也可以在 步骤 605中发给网络侧， 之后， MME通过与 eNodeB的接口将 UE的安全能 力发给 eNodeB。
参阅图 7 , 本发明的实施例六所提供的安全算法协商的方法包括： 在实施六中， 先进行无线接入网的连接， 即 RRC连接， 再进行核心网的 连接， 由 MME选择 NAS安全算法， eNodeB选择 AS安全算法； 与实施例五 不同之处在于， 本实施将初始层 3响应消息与 AS安全模式命令合并成一条消 息发送， 或将 NAS安全模式命令与 AS安全模式命令合并成一条消息发送， 而实施例五中是分开发送的；
步骤 701 -步骤 707与步骤 601 -步骤 607相同；
步骤 708、 MME创建安全模式命令， 向 eNodeB发送 RANAP消息， 该消 息中携带： 初始层 3响应消息和第一安全模式命令消息， 其中， 第一安全模式 命令消息中携带表示所选择的 NAS安全算法的第一标识和网络允许用户使用 的 AS算法信息；
值得指出的是 NAS安全算法可以放在单独的 NAS 安全模式命令 (即本 实施例中的第一安全模式命令） 中发给 UE, 也就是说， 此步骤中可以单独发 送第一安全模式命令，而初始层 3响应消息可以在收到安全模式命令响应消息 后再下发给 UE。
步骤 709、 eNodeB根据 UE的安全能力和预存的 eNodeB自身支持的算法 信息， 选择出 AS安全算法， 或者， 根据 UE的安全能力和网络允许用户使用 的算法信息中的 eNodeB自身支持的算法信息， 选择 AS安全算法；
步骤 710、 eNodeB向 UE发送 RRC消息， 该消息中携带： 初始层 3响应 消息和第二安全模式命令， 或者 NAS安全模式命令和第二安全模式命令， 其 中， 第二安全模式命令携带表示所选择的 AS安全算法的第二标识；
步骤 711、 UE向 eNodeB发送 RRC消息， 该消息中携带第二安全模式命 令响应；
步骤 712、 eNodeB向 MME发送 RANAP消息，该消息中携带第一安全模 式命令响应。
值得指出的是： 此方法同样适用于 MME同时选择 NAS和 AS算法的情 况。 只不过在步骤 708中 MME需要将所选 AS算法提供给 eNodB,而步骤 709 中 eNodB不需要再进行算法选择。
参阅图 8, 本发明的实施例七所提供的安全算法协商的方法包括： 在实施七中， 先进行无线接入网的连接， 即 RRC连接， 再进行核心网的 连接， 由 MME选择 NAS安全算法， eNodeB选择 AS安全算法； 与实施例六 的不同之处在于所选的 NAS安全算法与 AS安全算法分开发送给 UE, 而实施 例六中， 二者是由 eNodeB—并发送给 UE的。
步骤 801 -步骤 806与步骤 601 -步骤 606相同；
步骤 807、 MME根据网络允许用户釆用的算法和 UE的安全能力， 同时 也可以考虑用户的签约信息， 选择出 NAS安全算法；
步骤 808、 MME向 eNodeB发送 RANAP消息， 该消息中携带： 初始层 3 响应信息、 网络允许用户釆用的算法信息， 其中初始层 3响应信息中携带表示 所选择的 NAS安全算法的第一标识；
步骤 809、 eNodeB向 UE发送 RRC消息，该 RRC消息中携带： 包含 NAS 安全算法的第一标识的初始层 3响应消息；
当然， 从前面的实施例可以推出 NAS安全算法也可以在一个独立于初始 层 3响应消息的 NAS 安全模式命令里发送，也就是可以将此步骤中发送 NAS 安全模式命令，以后再发送初始层 3响应信息。这样，上述步骤 808就可以是： MME向 eNodeB发送 RANAP消息， 该消息中携带： 包含所选择的 NAS安全 算法的 NAS安全模式命令； 步骤 809就可以是、 eNodeB将收到的包含所选 NAS安全算法的 NAS安全模式命令转发给 UE。 而初始层 3响应信息在后续 流程中发送。
步骤 810、 eNodeB根据 UE的安全能力和预存的 eNodeB自身支持的算法 信息， 选择出 AS安全算法， 或者， 根据 UE的安全能力和网络允许用户使用 的算法信息中的 eNodeB自身支持的算法信息， 选择 AS安全算法； 步骤 811、 eNodeB向 UE发送 RRC消息， 该 RRC消息中携带： 所选择的 AS安全算法的第二标识。
参阅图 9, 本发明的实施例八所提供的安全算法协商的方法包括： 在实施八中， 先进行无线接入网的连接， 即 RRC连接， 再进行核心网的 连接， 由 MME选择 NAS安全算法和 AS安全算法；
步骤 901、 UE向 eNodeB发送 RRC请求消息；
步骤 902、 eNodeB向 UE发送 RRC建立消息；
步骤 903、 UE向 eNodeB发送 RRC完成消息；
步骤 904、 UE向 eNodeB发送初始层 3消息； 该消息中包括： UE的安全 能力；
步骤 905、 eNodeB向 MME发送 RANAP消息， 该消息包括： 初始层 3 消息和 eNodeB 自身支持的算法信息， 其中初始层 3消息中携带 UE的安全能 力；
步骤 906、 MME根据 UE的安全能力和网络允许用户使用的算法， 选择 出 NAS安全算法， 或者， 根据 UE的安全能力、 网络允许用户使用的算法和 用户的签约信息选择 NAS安全算法； 根据 UE的安全能力和 RANAP消息中 的 eNodeB 自身支持的算法信息， 选择出 AS安全算法， 或者， 根据 UE的安 全能力和网络允许用户使用的算法信息中的 eNodeB自身支持的算法信息， 选 择 AS安全算法；
步骤 907、 MME向 eNodeB发送 RANAP消息， 该消息中携带： 初始层 3 响应消息和表示所选择的 AS安全算法的第二标识； 初始层 3响应消息中携带 表示所选择的 NAS安全算法的第一标识；
步骤 908、 eNodeB根据第二标识获知 AS安全算法；
步骤 909、 eNodeB向 UE发送 RRC消息， 该 RRC消息中包括： 初始层 3 响应消息和第二标识； 初始层 3响应信息中携带第一标识。
其中， 步骤 905中 eNodeB向 MME发送 RANAP消息中可以不携带自身 支持的算法信息， eNodeB 自身支持的算法信息可以直接配置在 MME上； 同理， 对于实施例六和实施例七， 也可以釆用由 MME选择 NAS安全算 法和 AS安全算法实现安全算法协商， 不影响本发明的实现。 其中， UE 的安全能力可以不在 RRC 请求消息中携带， 可以在 UE 向 eNodeB发送 RRC完成消息中携带； 或者， 当 UE的安全能力区分为 AS安全 能力和 NAS安全能力时， UE的 AS安全能力可在 RRC请求消息或 RRC完成 消息中携带， UE的 NAS安全能力可在 UE向 eNodeB发送的初始层 3消息中 携带， 不影响本发明的实现。
如图 12所示， 由前实施例一至八可以推导出另一种情况： RRC连接独立 于初始 NAS连接建立过程， MME所选择的 NAS安全算法放到一个独立的 NAS安全模式命令发给 UE, 启动 NAS安全保护。 所述方法包括：
步骤 1201、 UE向 eNodeB发送 RRC请求消息；
步骤 1202、 eNodeB向 UE发送 RRC建立消息；
步骤 1203、 UE向 eNodeB发送 RRC完成消息；
步骤 1204、 UE向 eNodeB发送初始层 3消息； 该消息中包括： UE的安 全能力；
步骤 1205、 eNodeB向 MME发送 RANAP消息， 该消息包括： 初始层 3 消息和 eNodeB 自身支持的算法信息， 其中初始层 3消息中携带 UE的安全能 力；
步骤 1206、 MME根据 UE的安全能力和网络允许用户使用的算法， 选择 出 NAS安全算法， 或者， 根据 UE的安全能力、 网络允许用户使用的算法和 用户的签约信息选择 NAS安全算法； 根据 UE的安全能力和 RANAP消息中 的 eNodeB 自身支持的算法信息， 选择出 AS安全算法， 或者， 根据 UE的安 全能力和网络允许用户使用的算法信息中的 eNodeB自身支持的算法信息， 选 择 AS安全算法；
步骤 1207、 MME向 eNodeB发送 RANAP消息， 该消息中携带： NAS安 全模式命令和表示所选择的 AS安全算法的第二标识； NAS安全模式命令中携 带表示所选择的 NAS安全算法的第一标识；
步骤 1208、 eNodeB根据第二标识获知 AS安全算法；
步骤 1209、 eNodeB向 UE发送 RRC消息， 该 RRC消息中包括： NAS安 全模式命令和第二标识； NAS安全模式命令中携带第一标识。
其中，步骤 1205中 eNodeB向 MME发送 RANAP消息中可以不携带自身 支持的算法信息， eNodeB 自身支持的算法信息可以直接配置在 MME上； 其中， UE 的安全能力可以不在 RRC 请求消息中携带， 可以在 UE 向 eNodeB发送 RRC完成消息中携带； 或者是在步骤 1204中发给 MME, 或者， 当 UE的安全能力区分为 AS安全能力和 NAS安全能力时， UE的 AS安全能 力可以在 RRC请求消息或 RRC完成消息中携带，UE的 NAS安全能力可以在
UE向 eNodeB发送的初始层 3消息中携带， 不影响本发明的实现。
值得说明的是， 该实施例同样适用于 MME选择 NAS算法， eNodeB选择
AS算法的情况。
参阅图 10 , 本发明的实施例九提供一种安全算法协商的装置， 用于系统 演进架构 /长期演进系统中， 该装置包括：
信息接收单元 1001 , 用于接收用户终端所能支持的安全算法信息； 安全算法选择单元 1002, 用于根据信息接收单元 1001中安全算法信息， 选择安全算法；
发送单元 1003 , 用于向用户终端发送表示安全算法选择单元 1002所选择 的安全算法的标识。
其中， 信息接收单元 1001、 安全算法选择单元 1002和发送单元 1003位 于移动性管理实体， 用于协商非接入层安全算法， 此时，
信息接收单元 1001 , 用于接收用户终端所能支持的安全算法信息， 该安 全算法信息可以为非接入层安全算法信息， 该安全算法信息可以通过初始层 3 消息携带；
安全算法选择单元 1002 , 用于根据安全算法信息和网路允许用户使用的 算法信息， 也可以考虑用户签约的信息， 选择非接入层安全算法；
发送单元 1003 , 用于向用户终端发送表示安全算法选择单元 1002所选择 的非接入层安全算法的第一标识， 该第一标识可以在初始层 3 响应消息中携 带， 也可以在 NAS模式命令中携带；
其中， 信息接收单元 1001、 安全算法选择单元 1002和发送单元 1003可 以位于移动性管理实体， 用于协商接入层安全算法， 该装置还可以包括： 演进 基站算法信息接收单元 1004 , 演进基站算法信息配置单元 1005 , 其中，
信息接收单元 1001 , 用于接收用户终端所能支持的安全算法信息， 该安 全算法信息可以为接入层安全算法信息，该安全算法信息可以在初始层 3消息 中携带；
安全算法选择单元 1002 , 用于根据安全算法信息和演进基站支持的算法 信息， 选择接入层安全算法；
发送单元 1003 , 用于发送表示安全算法选择单元 1002所选择的接入层安 全算法的第二标识， 该第二标识可以在第三 NAS安全模式命令中携带；
演进基站算法信息接收单元 1004 , 用于接收演进基站支持的算法信息并 输出到安全算法选择单元 1002;
演进基站算法信息配置单元 1005 , 用于配置演进基站支持的算法信息并 输出到安全算法选择单元 1002。
其中， 信息接收单元 1001、 安全算法选择单元 1002和发送单元 1003还 可以位于演进基站， 用于协商接入层安全算法， 此时，
信息接收单元 1001 , 用于接收用户终端所能支持的安全算法信息， 该安 全算法信息可以为接入层安全算法信息， 该安全算法信息可以在 RRC请求消 息中携带；
安全算法选择单元 1002, 用于根据安全算法信息和演进基站支持的算法 信息， 选择接入层安全算法；
发送单元 1003 , 用于向用户终端发送表示接入层安全算法的第二标识。 参阅图 11 , 本发明的实施例十提供一种网络系统， 该系统包括： 演进基站 1101 , 用于向移动性管理实体 1102发送用户终端支持的安全算 法信息； 将来自移动性管理实体 1102的第一标识发送给用户终端；
移动性管理实体 1102, 用于根据安全算法信息和网络允许用户使用的算 法信息， 选择非接入层安全算法， 输出表示非接入层安全算法的第一标识。
当该网络系统还要协商接入层安全算法时， 演进基站 1101 , 还用于将来 自移动性管理实体 1102的第二标识发送给用户终端， 并根据第二标识获得接 入层算法； 移动性管理实体 1102 , 还用于根据安全算法信息和演进基站 1101 自身支持的算法信息，选择接入层安全算法，输出表示所选择的接入层安全算 法的第二标识。
当该网络系统还要协商接入层安全算法时，且当安全算法信息为非接入层 安全算法信息时， 演进基站 1101 , 还用于接收接入层安全算法信息并转发到 移动性管理实体 1102 , 将来自移动性管理实体 1102的第二标识发送给用户终 端， 并根据第二标识获得接入层算法； 移动性管理实体 1102 , 还用于根据接 入层安全算法信息和演进基站 1101 自身支持的算法信息， 选择接入层安全算 法， 输出表示接入层安全算法的第二标识。
当该网络系统还要协商接入层安全算法时， 演进基站 1101 , 还用于根据 安全算法信息和自身支持的算法信息， 选择接入层安全算法，将表示接入层安 全算法的第二标识发送给用户终端。
当该网络系统还要协商接入层安全算法时，且当安全算法信息为非接入层 安全算法信息时， 演进基站 1101 , 还用于接收接入层安全算法信息， 根据接 入层安全算法信息和自身支持的算法信息，选择接入层安全算法， 将表示接入 层安全算法的第二标识发送给用户终端。
以上分析可以看出， 本发明的实施例中 MME根据 UE所能支持的 NAS 安全能力和网络允许用户使用的算法信息， 选择 NAS安全算法， 并向用户终 端发送表示所选择的 NAS安全算法的第一标识，能够在 SAE/LTE系统中协商 出 NAS安全算法；本发明的实施例中 MME或者 eNodeB根据 UE所能支持的 AS安全能力和 eNodeB 自身支持的算法信息， 选择 AS安全算法， 且 UE和 eNodeB获得表示所选择的 AS安全算法的第二标识， 达到在 SAE/LTE系统中 协商 AS安全算法的目的； 本发明的实施例釆用在 RRC请求消息中携带初始 层 3消息，初始层 3消息中可以携带 NAS安全能力，在 RRC建立消息中携带 初始层 3响应消息和第一标识，简化了流程，节约了协商安全算法所用的时间。
以上对本发明实施例所提供的安全算法协商的方法、 装置及网络系统 行了阐述， 以上实施例的说明只是用于帮助理解本发明实施例的方法； 同时， 对于本领域的一般技术人员，依据本发明实施例的思想， 在具体实施方式及应 用范围上均会有改变之处， 综上所述， 本说明书内容不应理解为对本发明实施 例的限制。

Claims

权 利 要 求
1、 一种安全算法协商的方法， 用于系统演进架构 /长期演进系统中， 其特 征在于， 该方法包括：
接收用户终端所能支持的安全算法信息；
根据所述安全算法信息， 选择安全算法；
向所述用户终端发送表示所述安全算法的标识。
2、 根据权利要求 1所述的方法， 其特征在于：
所述根据所述安全算法信息， 选择安全算法具体为：
移动性管理实体根据所述安全算法信息和网络允许用户使用的算法信息， 选择非接入层安全算法；
所述向所述用户终端发送表示所述安全算法的标识具体为：
向所述用户终端发送表示所述非接入层安全算法的第一标识。
3、 根据权利要求 2所述的方法， 其特征在于：
所述向所述用户终端发送表示所述非接入层安全算法的第一标识具体为： 向所述演进基站发送所述第一标识，所述演进基站向所述用户终端发送所 述第一标识。
4、 根据权利要求 3所述的方法， 其特征在于：
所述演进基站向所述用户终端发送所述第一标识具体为：
所述演进基站向所述用户终端发送非接入层安全模式命令，所述非接入层 安全模式命令中携带所述第一标识。
5、 根据权利要求 4所述的方法， 其特征在于：
所述演进基站向所述用户终端发送非接入层安全模式命令具体为： 所述演进基站向所述用户终端发送无线资源连接建立消息，所述无线资源 连接建立消息中携带所述非接入层安全模式命令。
6、 根据权利要求 3所述的方法， 其特征在于：
所述演进基站向所述用户终端发送所述第一标识具体为：
所述演进基站向所述用户终端发送初始层 3响应信息，所述初始层 3响应 信息中携带所述第一标识。
7、 根据权利要求 6所述的方法， 其特征在于： 所述演进基站向所述用户终端发送初始层 3响应信息具体为： 所述演进基站向所述用户终端发送无线资源连接建立消息，所述无线资源 连接建立消息中携带所述初始层 3响应信息。
8、 根据权利要求 1所述的方法， 其特征在于：
所述根据所述安全算法信息， 选择安全算法具体为：
移动性管理实体根据所述安全算法信息和演进基站自身支持的算法信息， 选择接入层安全算法；
所述向所述用户终端发送表示所述安全算法的标识具体为：
向所述用户终端发送表示所述接入层安全算法的第二标识。
9、 根据权利要求 8所述的方法， 其特征在于：
在移动性管理实体根据所述安全算法信息和演进基站自身支持的算法信 息， 选择接入层安全算法之前， 该方法还包括：
所述移动性管理实体接收来自所述演进基站的所述演进基站自身支持的 算法信息。
10、 根据权利要求 8所述的方法， 其特征在于：
在移动性管理实体根据所述安全算法信息和演进基站自身支持的算法信 息， 选择接入层安全算法之前， 该方法还包括：
所述移动性管理实体配置所述演进基站自身支持的算法信息。
11、 根据权利要求 8所述的方法， 其特征在于：
所述向所述用户终端发送表示所述接入层安全算法的第二标识具体为： 向所述演进基站发送所述第二标识；
所述演进基站根据所述第二标识获知所述接入层安全算法，并向所述用户 终端发送所述第二标识。
12、 根据权利要求 11所述的方法， 其特征在于：
所述向所述演进基站发送所述第二标识具体为：向所述演进基站发送携带 所述第二标识的接入层安全模式命令。
13、 根据权利要求 3、 10或 11所述的方法， 其特征在于：
所述接收用户终端所能支持的安全算法信息具体为：
接收来自所述用户终端的初始层 3消息 ,所述初始层 3消息携带所述用户 终端所能支持的安全算法信息。
14、 根据权利要求 13所述的方法， 其特征在于：
所述接收来自所述用户终端的初始层 3消息具体为：
所述演进基站接收来自所述用户终端的无线资源连接请求消息，所述无线 资源连接请求消息中携带所述初始层 3消息；
所述移动性管理实体接收来自所述演进基站的所述初始层 3消息。
15、 根据权利要求 1所述的方法， 其特征在于：
所述根据所述安全算法信息， 选择安全算法具体为：
演进基站根据所述安全算法信息和所述演进基站自身支持的算法信息，选 择接入层安全算法；
所述向所述用户终端发送表示所述安全算法的标识具体为：
向所述用户终端发送表示所述接入层安全算法的第二标识。
16、 根据权利要求 15所述的方法， 其特征在于：
所述向所述用户终端发送表示所述接入层安全算法的第二标识具体为： 向所述用户终端发送携带所述第二标识的接入层安全模式命令。
17、 一种安全算法协商的装置， 用于系统演进架构 /长期演进系统中， 其 特征在于， 该装置包括：
信息接收单元， 用于接收用户终端所能支持的安全算法信息；
安全算法选择单元， 用于根据所述安全算法信息， 选择安全算法； 发送单元， 用于向所述用户终端发送表示所述安全算法的标识。
18、 根据权利要求 17所述的装置， 其特征在于： 所述信息接收单元、 所 述安全算法选择单元和所述发送单元位于移动性管理实体， 其中，
所述信息接收单元 , 用于接收用户终端所能支持的安全算法信息； 所述安全算法选择单元，用于根据所述安全算法信息和网路允许用户使用 的算法信息， 选择非接入层安全算法；
所述发送单元，用于向所述用户终端发送表示所述非接入层安全算法的第 一标识。
19、 根据权利要求 17所述的装置， 其特征在于： 所述信息接收单元、 所 述安全算法选择单元和所述发送单元位于移动性管理实体， 其中， 所述信息接收单元 , 用于接收用户终端所能支持的安全算法信息； 所述安全算法选择单元，用于根据所述安全算法信息和演进基站支持的算 法信息， 选择接入层安全算法；
所述发送单元， 用于发送表示所述接入层安全算法的第二标识。
20、 根据权利要求 19所述的装置， 其特征在于， 所述装置还包括： 演进基站算法信息接收单元，用于接收所述演进基站支持的算法信息并输 出到所述安全算法选择单元。
21、 根据权利要求 19或 20所述的装置， 其特征在于， 所述装置还包括： 演进基站算法信息配置单元，用于配置所述演进基站支持的算法信息并输 出到所述安全算法选择单元。
22、 根据权利要求 17所述的装置， 其特征在于： 所述信息接收单元、 所 述安全算法选择单元和所述发送单元位于演进基站， 其中，
所述信息接收单元 , 用于接收用户终端所能支持的安全算法信息； 所述安全算法选择单元，用于根据所述安全算法信息和所述演进基站支持 的算法信息， 选择接入层安全算法；
所述发送单元，用于向所述用户终端发送表示所述接入层安全算法的第二 标识。
23、 一种网络系统， 其特征在于， 该系统包括： 演进基站， 移动性管理实 体， 其中，
所述演进基站，用于向所述移动性管理实体发送用户终端支持的安全算法 信息； 将来自所述移动性管理实体的第一标识发送给所述用户终端；
所述移动性管理实体，用于根据所述安全算法信息和网络允许用户使用的 算法信息， 选择非接入层安全算法，输出表示所述非接入层安全算法的第一标 识。
24、 根据权利要求 23所述的系统， 其特征在于：
所述演进基站，还用于将来自所述移动性管理实体的第二标识发送给所述 用户终端， 并根据所述第二标识获得所述接入层算法；
所述移动性管理实体，还用于根据所述安全算法信息和所述演进基站自身 支持的算法信息， 选择接入层安全算法，输出表示所述接入层安全算法的第二 标识。
25、根据权利要求 23所述的系统， 当所述安全算法信息为非接入层安全 算法信息时， 其特征在于：
所述演进基站，还用于接收接入层安全算法信息并转发到所述移动性管理 实体，将来自所述移动性管理实体的第二标识发送给所述用户终端， 并根据所 述第二标识获得所述接入层算法；
所述移动性管理实体，还用于根据所述接入层安全算法信息和所述演进基 站自身支持的算法信息， 选择接入层安全算法，输出表示所述接入层安全算法 的第二标识。
26、 根据权利要求 23所述的系统， 其特征在于：
所述演进基站，还用于根据所述安全算法信息和自身支持的算法信息， 选 择接入层安全算法，将表示所述接入层安全算法的第二标识发送给所述用户终 端。
27、 根据权利要求 23所述的系统， 当所述安全算法信息为非接入层安全 算法信息时， 其特征在于：
所述演进基站，还用于接收接入层安全算法信息，根据所述接入层安全算 法信息和自身支持的算法信息， 选择接入层安全算法，将表示所述接入层安全 算法的第二标识发送给所述用户终端。
PCT/CN2008/070116 2007-02-05 2008-01-16 Procédé, dispositif et système de réseau de négociation d'algorithmes de sécurité WO2008095428A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200710003493.4 2007-02-05
CN200710003493A CN101242630B (zh) 2007-02-05 2007-02-05 安全算法协商的方法、装置及网络系统

Publications (1)

Publication Number Publication Date
WO2008095428A1 true WO2008095428A1 (fr) 2008-08-14

Family

ID=39681275

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2008/070116 WO2008095428A1 (fr) 2007-02-05 2008-01-16 Procédé, dispositif et système de réseau de négociation d'algorithmes de sécurité

Country Status (2)

Country Link
CN (2) CN101242630B (zh)
WO (1) WO2008095428A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2462615A (en) * 2008-08-12 2010-02-17 Nec Corp Optional Access Stratum security activation depending on purpose of request or message parameter in an evolved UTRAN communication network.
CN101686233B (zh) * 2008-09-24 2013-04-03 电信科学技术研究院 Ue与网络安全算法不匹配的处理方法、系统及装置
JP2014501061A (ja) * 2011-01-10 2014-01-16 華為技術有限公司 通信システムにおけるインターフェース上のデータ保護方法、装置およびシステム

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101378591B (zh) 2007-08-31 2010-10-27 华为技术有限公司 终端移动时安全能力协商的方法、系统及装置
CN101686463B (zh) * 2008-09-28 2013-10-09 华为技术有限公司 一种保护用户终端能力的方法、装置和系统
CN101841807B (zh) * 2009-03-19 2013-01-23 电信科学技术研究院 一种安全过程的执行方法和系统
CN102083063B (zh) * 2009-11-30 2013-07-10 电信科学技术研究院 一种确定as密钥的方法、系统和设备
CN102264065A (zh) * 2010-05-27 2011-11-30 中兴通讯股份有限公司 一种实现接入层安全算法同步的方法及系统
CN102833742B (zh) * 2011-06-17 2016-03-30 华为技术有限公司 机器类通信设备组算法的协商方法和设备
JP2015535417A (ja) * 2012-11-08 2015-12-10 ▲ホア▼▲ウェイ▼技術有限公司 公開鍵を取得するための方法および装置
CN104244247B (zh) * 2013-06-07 2019-02-05 华为技术有限公司 非接入层、接入层安全算法处理方法及设备
WO2015018028A1 (en) * 2013-08-08 2015-02-12 Nokia Corporation A method and apparatus for proxy algorithm identity selection
WO2018132952A1 (zh) * 2017-01-17 2018-07-26 华为技术有限公司 无线通信的方法和装置
CN115004634B (zh) * 2020-04-03 2023-12-19 Oppo广东移动通信有限公司 信息处理方法、装置、设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030033518A1 (en) * 2001-08-08 2003-02-13 Faccin Stefano M. Efficient security association establishment negotiation technique
CN1571540A (zh) * 2004-04-23 2005-01-26 中兴通讯股份有限公司 协商选择空中接口加密算法的方法
CN1601943A (zh) * 2003-09-25 2005-03-30 华为技术有限公司 一种选择安全通信算法的方法
CN1859422A (zh) * 2006-03-16 2006-11-08 华为技术有限公司 一种用户终端接入演进网络的处理方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030033518A1 (en) * 2001-08-08 2003-02-13 Faccin Stefano M. Efficient security association establishment negotiation technique
CN1601943A (zh) * 2003-09-25 2005-03-30 华为技术有限公司 一种选择安全通信算法的方法
CN1571540A (zh) * 2004-04-23 2005-01-26 中兴通讯股份有限公司 协商选择空中接口加密算法的方法
CN1859422A (zh) * 2006-03-16 2006-11-08 华为技术有限公司 一种用户终端接入演进网络的处理方法

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2462615A (en) * 2008-08-12 2010-02-17 Nec Corp Optional Access Stratum security activation depending on purpose of request or message parameter in an evolved UTRAN communication network.
US8588745B2 (en) 2008-08-12 2013-11-19 Nec Corporation Communications system
CN101686233B (zh) * 2008-09-24 2013-04-03 电信科学技术研究院 Ue与网络安全算法不匹配的处理方法、系统及装置
JP2014501061A (ja) * 2011-01-10 2014-01-16 華為技術有限公司 通信システムにおけるインターフェース上のデータ保護方法、装置およびシステム
US8989381B2 (en) 2011-01-10 2015-03-24 Huawei Technologies Co., Ltd. Method, apparatus, and system for data protection on interface in communications system
US9301147B2 (en) 2011-01-10 2016-03-29 Huawei Technologies Co., Ltd. Method, apparatus, and system for data protection on interface in communications system

Also Published As

Publication number Publication date
CN102869007A (zh) 2013-01-09
CN101242630A (zh) 2008-08-13
CN101242630B (zh) 2012-10-17
CN102869007B (zh) 2015-12-09

Similar Documents

Publication Publication Date Title
WO2008095428A1 (fr) Procédé, dispositif et système de réseau de négociation d'algorithmes de sécurité
TWI724132B (zh) 無線通訊的方法、用於無線通訊的裝置以及用於執行該方法的電腦程式軟體
EP2117248B1 (en) A method, system and device for security function negotiation
JP5450438B2 (ja) 移動電気通信ネットワークにおけるｕｅ能力情報の更新方法
JP4776723B2 (ja) ネットワーク登録方法、移動局及び加入者情報管理サーバ
KR101147067B1 (ko) 키 파생 방법, 장치 및 시스템
EP3596996B1 (en) Method and apparatus for handling a ue that is in the idle state
KR101049664B1 (ko) 모바이크 프로토콜을 이용하여 이종무선망 간의 이동성 및 보안을 지원하는 클라이언트 장치
EP2584802B1 (en) Methods and apparatuses for security control in a mobile communication system supporting emergency calls
WO2008138273A1 (en) Method for performing security negotiation during handoff between different wireless access technology and device thereof
EP3735029B1 (en) Methods and devices for establishing control plane session
JP2013081252A (ja) 無線電気通信における暗号化
WO2009152755A1 (zh) 密钥身份标识符的生成方法和系统
WO2017088143A1 (zh) 管理rrc连接的方法、装置和设备
JP2015508623A (ja) ネットワーク中のサービングノードの動作
WO2014023269A1 (zh) 一种切换控制方法及装置
WO2018133607A1 (zh) 一种数据传输的方法、装置及系统
WO2014169451A1 (zh) 数据传输方法和装置
JP2008236754A (ja) 移動通信ネットワークと移動通信ネットワークにおける移動ノードの認証を遂行する方法及び装置
WO2012109987A1 (zh) 一种连接建立方法及装置
WO2009152656A1 (zh) 用户设备转移时密钥身份标识符的生成方法和生成系统
WO2012130133A1 (zh) 一种接入点及终端接入方法
WO2007131451A1 (fr) Procédé, dispositif et système d'initialisation de cryptage côté utilisateur
TWI397293B (zh) 行動台安全模式方法
WO2010096995A1 (zh) 一种以分离mac模式实现会聚式wapi网络架构的方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08700124

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 08700124

Country of ref document: EP

Kind code of ref document: A1