WO2014169878A1 - 移动网络接入方法、ue、安全服务网关、系统和存储介质 - Google Patents

移动网络接入方法、ue、安全服务网关、系统和存储介质 Download PDF

Info

Publication number
WO2014169878A1
WO2014169878A1 PCT/CN2014/078165 CN2014078165W WO2014169878A1 WO 2014169878 A1 WO2014169878 A1 WO 2014169878A1 CN 2014078165 W CN2014078165 W CN 2014078165W WO 2014169878 A1 WO2014169878 A1 WO 2014169878A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
mobile network
network
base station
security
Prior art date
Application number
PCT/CN2014/078165
Other languages
English (en)
French (fr)
Inventor
甘露
谢峰
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2014169878A1 publication Critical patent/WO2014169878A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/18—Selecting a network or a communication service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/16—Gateway arrangements

Definitions

  • the present invention relates to the field of mobile communications technologies, and in particular, to a mobile network access method, a user equipment (User Equipment, UE for short), a security service gateway, a system, and a storage medium.
  • UE User Equipment
  • the Evolved Packet System is divided into two parts: the radio access network and the core network.
  • the radio access network is divided into the 3rd Generation Partnership Project (3GPP) access network. And non-3GPP access networks.
  • 3GPP 3rd Generation Partnership Project
  • the 3GPP access network is composed of an Evolved NodeB (eNB), which is mainly responsible for receiving and receiving wireless signals, and is connected to the terminal through an air interface, and manages radio resources, resource scheduling, and access control of the air interface. .
  • eNB Evolved NodeB
  • the core network includes a Home Subscriber Server (HSS), a Mobility Management Entity (MME), and a Policy and Charging Rule Function (PCRF). Entity, Serving Gateway (S-GW for short) and Packet Data Gateway (PDN Gateway, P-GW for short).
  • HSS Home Subscriber Server
  • MME Mobility Management Entity
  • PCRF Policy and Charging Rule Function
  • Entity Serving Gateway (S-GW for short) and Packet Data Gateway (PDN Gateway, P-GW for short).
  • PDN Gateway Packet Data Gateway
  • the EPS system supports 3GPP access.
  • the HSS is a permanent storage location for user subscription data, located in the home network to which the user subscribes;
  • the MME is responsible for control plane related functions such as mobility management, non-access stratum signaling processing, and user mobility management context management;
  • S-GW is The access gateway device connected to the 3GPP access network forwards data between the 3GPP access and the P-GW.
  • P-GW is a border gateway between EPS and Packet Data Network (PDN), which is responsible for PDN access and forwarding data between EPS and PDN;
  • PCRF is policy and
  • the charging rule function entity is connected to the operator service network through the receiving interface Rx, and is responsible for providing charging control, online credit control, threshold control, and quality of service (QoS) control.
  • the EPS system also supports non-3GPP access.
  • the interworking with the non-3GPP access is implemented through the S2a/S2b/S2c interface, and the P-GW serves as an anchor between the 3GPP and the non-3GPP access.
  • Non-3GPP access is divided into credit non-3GPP access and non-credit non-3GPP access.
  • the non-trusted non-3GPP access can be directly connected to the P-GW through the S2a interface, and the S2a interface uses the Proxy Mobile IP (PMIP) protocol to perform information exchange; the non-credit non-3GPP access needs to be performed.
  • the evolved Packet Data Gateway (ePDG) is connected to the P-GW, and the interface between the ePDG and the P-GW is the S2b.
  • the S2c interface provides user plane control and mobility support between the UE and the P-GW.
  • the supported mobility protocol is Mobile IPv6 support for Dual Stack Hosts and Routers (DSMIPv6). .
  • the EPS security key architecture is as follows.
  • the Universal Subscriber Identity Module (USIM) and the Authentication Centre (AuC) share the key K.
  • the USIM and the network are used in the UE.
  • the UE and HSS share the key CK/IK and the K ASME generated by CK/IK.
  • the HSS sends the K ASME to the MME, and the UE and the MME generate according to the K ASME .
  • K NASenc is used for integrity protection and encryption protection of NAS signaling between the UE and the MME.
  • the UE and the MME generate a K eNB according to the K ASME , and the MME sends the K eNB to the base station; then, the UE and the base station generate K UPenc according to the K eNB for encrypting and protecting user plane data between the UE and the base station; K ENB generates KRR Cm t and KRRC for integrity protection and encryption of Radio Resource Control Protocol (RadioResourceControl, RRC for short) signaling between the UE and the base station. Protection.
  • Radio Resource Control Protocol Radio Resource Control Protocol
  • the embodiments of the present invention are expected to provide a mobile network access method, a UE, a security service gateway, a system, and a storage medium, so as to meet the requirements of different user equipments and different application services.
  • a first aspect of the embodiments of the present invention provides a method for accessing a mobile network, where the method includes: the user equipment UE acquires related information from the core network;
  • the type of access to the mobile network is selected based on the information.
  • the UE obtains related information from the core network, including:
  • the UE obtains its own related information from the SDRPF layer of the mobility management entity MME in the core network or from the independent SDRPF entity in the core network through the service definition radio policy function.
  • the information includes: a current location of the UE, and/or a current state of the UE, and/or a correspondence between the UE and the access network type, and/or a service that the UE currently needs to connect.
  • the type of the access mobile network includes: the UE accesses the mobile network through the macro base station, the UE accesses the mobile network through the evolved small base station, and the UE accesses the mobile network through the access node AP.
  • the type of the access mobile network is that when the UE accesses the mobile network through the macro base station, the type of the access mobile network corresponds to the access network of the traditional security authentication mechanism or improves the security.
  • Mechanism access network
  • the type of the access mobile network is that when the UE accesses the mobile network through the evolved small base station, the type of the access mobile network corresponds to an access network of a traditional security authentication mechanism or an access network with a enhanced security mechanism. ;
  • the type of the access mobile network is that when the UE accesses the mobile network through the AP, the type of the access mobile network corresponds to the access network of the security authentication mechanism.
  • the method further includes: the security of the UE user plane is aggregated to the security service gateway, including:
  • the generating a user plane encryption key K UPenc is:
  • the K UPenc is generated using one or more of the following parameters: algorithm ID, random number, counter value, constant.
  • the method further comprises:
  • the K UPenc is used to protect the security of the user plane.
  • the method further comprises:
  • the K eNB2 is used to protect the KRR Cmt and KRR Cenc of the RRC signaling of the RRC.
  • the generating K eNB2 further includes:
  • the K eNB2 is generated by using one or more of the following parameters: a cell frequency point, a cell physical identifier, a random number, a value of a counter, and a constant.
  • the method further comprises: When the UE initially accesses the core network, the UE obtains the username and password of the AP from the core network; when the UE selects to access the mobile network through the AP, the UE uses the username and password of the AP to access the AP. AP.
  • the method further includes:
  • the UE If the UE leaves the coverage of the AP, the UE re-selects the type of access mobile network through the SDRPF layer.
  • a second aspect of the embodiment of the present invention provides a UE, where the UE includes:
  • the access module is selected to be configured to obtain related information from the core network, and select a type of accessing the mobile network according to the information.
  • the selecting the access module to obtain the self-related information from the core network includes: the selecting the access module from the SDRPF layer of the MME in the core network through the SDRPF layer of the UE, or from the independent SDRPF entity in the core network Obtain information about the UE.
  • the type of the access mobile network includes: the UE accesses the mobile network through the macro base station, the UE accesses the mobile network through the evolved small base station, and the UE accesses the mobile network through the access node AP.
  • the selecting access module is further configured to generate a user plane encryption key K UPenc .
  • the selected access module is further configured to generate the K UPenc using K ASME,; or, one or more parameters used to generate the K UPenc: Algorithm ID, random number, counter value, constant.
  • the selecting the access module is further configured to use the K UPenc to protect the security of the UE user plane when the UE accesses the small base station.
  • the selecting the access module is further configured to generate K eNB2 when the UE moves from the coverage of the first macro base station to the coverage of the second macro base station ;
  • the K eNB2 is used to protect the KRR Cmt and KRR Cenc of the RRC signaling of the RRC.
  • the selecting access module is further configured to generate the foregoing by using K eNB i or NH1 K eNB2 ;
  • the K eNB2 is generated using one or more of the following parameters: a cell frequency point, a cell physical identity, a random number, a counter value, and a constant.
  • the selecting the access module is further configured to: when the UE initially accesses the core network, acquire a username and a password of the AP from the core network, and select, by the UE, access by using the AP.
  • the AP is accessed using the username and password of the AP.
  • the selecting the access module is further configured to: when determining that the UE leaves the coverage of the AP, re-access the mobile network by using the SDRPF layer of the UE.
  • the choice of type is preferably, when determining that the UE leaves the coverage of the AP.
  • a third aspect of the embodiment of the present invention provides a security service gateway, where the security service gateway includes: a receiving module, configured to receive a user plane encryption key K UPenc generated by the UE and the MME, which is sent by the MME.
  • the K UPenc is generated by the UE and the MME by using K ASME ; or generated by the UE and the MME by using one or more of the following parameters: an algorithm ID, a random number, a value of a counter, and a constant.
  • the receiving module is further configured to use the K UPenc to protect the security of the user plane when the UE accesses the small base station.
  • a fourth aspect of the embodiments of the present invention provides an access system for a mobile network, where the system includes: the UE according to any one of the foregoing.
  • a fourth aspect of the embodiments of the present invention provides an access system for a mobile network, where the system includes: the UE according to any one of the foregoing.
  • the user equipment acquires its own related information from the core network, and selects the type of accessing the mobile network according to the information.
  • the UE of the present invention can select different access modes of the mobile network according to different service requirements, and can meet the requirements of different terminals and different application services, so that the UE can obtain the services of the mobile network more conveniently and efficiently.
  • the security of the UE user plane is aggregated to the security service gateway, which is equivalent to moving the user plane of the UE to the network side. If the UE moves within the coverage of a secure network, the coverage of several macro base stations is spanned. In the range, you can continue to use the user plane security, and only switch the security of the control surface.
  • FIG. 1 is a schematic diagram of a conventional EPS structure including 3GPP access and non-3GPP access;
  • FIG. 2 is a security key architecture diagram of a conventional EPS;
  • FIG. 3 is a schematic structural diagram of an evolved mobile network according to an embodiment of the present disclosure.
  • FIG. 4 is a schematic diagram of an evolved mobile network security key architecture according to an embodiment of the present invention
  • FIG. 5 is a schematic diagram of an evolved mobile network security key architecture according to another embodiment of the present invention. detailed description
  • An embodiment of the present invention provides a method for accessing a mobile network, where the method includes: a user equipment UE acquires related information from a core network, and selects a type of accessing the mobile network according to the information.
  • the UE obtains related information from the core network, including:
  • the UE obtains its own related information from the SDRPF layer of the mobility management entity MME in the core network or from the independent SDRPF entity in the core network through the Service Definition Radio Policy Function (SDRPF) layer.
  • SDRPF Service Definition Radio Policy Function
  • the service definition radio policy function refers to determining a UE related radio access and service related policy according to the UE service information.
  • the service information may be classified into current business information and historical business information according to time; and may be classified into typical business information according to the frequency of use.
  • the service information includes a service type, a service type combination, and a service quality of service.
  • QoS Quality of Serivice
  • traffic in a specified time service area identifier
  • service usage probability service usage probability
  • frequency of service usage frequency of multiple service usage
  • probability of service usage in a certain area in a certain area
  • the service type may be, for example, a video, a game, or a call.
  • the service type is combined into a combination of multiple service types, such as a combination of video and game.
  • the service usage area identifier may include one or more of a network identifier PLMN ID, a tracking area identifier TAI, a cell identifier, a base station identifier, a latitude and longitude of the user equipment, and a height of the user equipment.
  • the service definition radio policy function may also set the UE's service information with the UE's location (current location or custom location), state (current state or state habits, such as battery power, power consumption state, mobile state), capability information (eg, Wireless access capabilities, TCP versions, application software, screen size, etc. are combined to determine the UE-related wireless access and service-related policies.
  • location current location or custom location
  • state current state or state habits, such as battery power, power consumption state, mobile state
  • capability information eg, Wireless access capabilities, TCP versions, application software, screen size, etc. are combined to determine the UE-related wireless access and service-related policies.
  • the service definition radio policy function may be implemented in an existing core network logical entity, such as MME, PC F, ANDSF, or may be a separate core network logical entity.
  • the information includes: a current location of the UE, and/or a current state of the UE, and/or a correspondence between the UE and the access network type, and/or a service that the UE currently needs to connect.
  • the type of the access mobile network includes: the UE accesses the mobile network through the macro base station, the UE accesses the mobile network through the evolved small base station, and the UE accesses the mobile network through the access node AP.
  • the type of the access mobile network corresponds to an access network of a traditional security authentication mechanism, that is, corresponding The case where the traditional UE accesses the eNB and the access network that improves the security mechanism, that is, the access network that performs encryption and decryption on the S-GW;
  • the type of the access mobile network corresponds to The access network of the security authentication mechanism or the access network of the security mechanism is improved; when the UE accesses the mobile network through the evolved small base station, the type of the access mobile network corresponds to, and the access network of the security authentication mechanism is improved.
  • Security network access network when the UE accesses the mobile network through the macro base station, the type of the access mobile network corresponds to The access network of the security authentication mechanism or the access network of the security mechanism is improved; when the UE accesses the mobile network through the evolved small base station, the type of the access mobile network corresponds to, and the access network of the security authentication mechanism is improved.
  • the type of the access mobile network is that when the UE accesses the mobile network through the AP, the type of the access mobile network corresponds to the access network of the security authentication mechanism, that is, the AP only provides a secure connection between the AP and the UE.
  • the AP can be an AP that represents WIFI or a base station that represents a low security level.
  • the access security network of the traditional security authentication mechanism, the access network with the enhanced security mechanism, and the security performance of the access network with the reduced security authentication mechanism are specifically referred to the communication protocol 3GPP TS33.401.
  • the method further includes: the security of the UE user plane is aggregated to the security service gateway, including:
  • the UE and the MME generate the user plane encryption key K UPene , and the MME sends the K UPenc to the security service gateway; or, in a specific execution process, the UE and the MME may independently generate the K UPenc , .
  • the user plane encryption key K UPene is generated and is not sent.
  • the method further comprises:
  • the UE and the MME generate the K UPenc using K ASME ;
  • the UE and the MME generate the K UPenc using one or more of the following parameters: an algorithm ID, a random number, a value of a counter, a constant.
  • the algorithm ID may be an algorithm ID used to distinguish different security algorithms.
  • the security algorithm may include an encryption algorithm and an integrity protection algorithm.
  • the encryption algorithm and the integrity encryption algorithm may all correspond to one or more security algorithms; different security algorithms correspond to different algorithm IDs; specifically, the encryption algorithm includes EEA0 (empty Encryption algorithm), 128-EEAK SNOW 3G based algorithm ), 128-EEA2 (AES based algorithm).
  • the integrity protection algorithm may include an EIAO (empty integrity protection algorithm), 128-EIAl (SNOW 3G based algorithm), 128-EIA2 (AES based algorithm) 0.
  • the counter may be specified in the communication protocol 3GPP TS33.401. NAS counter. The value of the counter can be the value of the NAS technology.
  • the constant may also be a constant as specified in the 3GPP TS 33.401 communication protocol.
  • the method further comprises:
  • the security service gateway uses the K UPenc with the UE to protect the security of the user plane.
  • the UEs of the security service gateway independently use K UPenc to protect the security of the user plane.
  • the method further comprises:
  • the UE and the first macro base station When the UE moves from the coverage of the first macro base station to the coverage of the second macro base station, the UE and the first macro base station generate K eNB2 , and the first macro base station sends the K eNB2 to the a second macro base station, the second macro base station and the UE generating KRR Cmt and KRR Cenc , and using the KRR Cmt and the RRC signaling to protect the radio resource control protocol.
  • the K eNB2 generated here may be generated independently by the UE and the first macro base station.
  • the method further comprising: the first UE and the macro base station or use K eNB i NH1 generating the K eNB2; Alternatively, one or more parameters of generating the K eNB2: cell frequency, cell Physical identification, random number, counter value, constant;
  • the macro base station and the second UE using the K eNB2 generates the KRR Cmt and KRR Cenc; Alternatively, one or more parameters to generate the KRR Cmt and KRR Cenc: Algorithm ID, random number, counter Value, constant.
  • the NH is the parameter next hop for generating a key; here preferably the NH parameter stored in the first macro base station.
  • the cell frequency point and the physical identifier of the cell is a cell in which the UE camps;
  • the cell frequency point and the cell in the physical identifier of the cell are preferably Community
  • the cell frequency point and the cell in the physical identification of the cell are preferably target cells.
  • the method further comprises:
  • the UE When the UE initially accesses the core network, the UE obtains the username and password of the AP from the core network; when the UE selects to access the mobile network through the AP, the UE uses the username and password of the AP to access the AP. AP.
  • the method further includes:
  • the UE If the UE leaves the coverage of the AP, the UE re-selects the type of access mobile network through the SDRPF layer.
  • the embodiment of the present invention further provides a UE, where the UE includes: an access module, configured to acquire related information from the core network, and select a type of accessing the mobile network according to the information.
  • the selecting the access module to obtain the related information from the core network includes: the selecting the access module is obtained by using the SDRPF layer of the UE from the SDRPF layer of the MME in the core network, or from the independent SDRPF entity in the core network. Information about the UE.
  • the specific structure of the selective access module may include a communication interface and a processor; the communication interface may specifically be a transceiver antenna; for example, receiving relevant information from the core network; the processor may be configured to select an access according to the received information. type.
  • the processor can have processing functions such as a microprocessor, a central processing unit, a digital signal processor, or a programmable logic array. It is not limited to the above structure in the specific implementation process.
  • the type of the access mobile network includes: the UE accesses the mobile network through the macro base station, the UE accesses the mobile network through the evolved small base station, and the UE accesses the mobile network through the access node AP.
  • the access selection module is further configured to generate the K UPenc the MME and using K ASME,; or, one or more parameters used to generate the K UPenc: Algorithm ID, random number, counter Value, constant.
  • the selecting the access module is further configured to use the K UPenc with the security service gateway to protect the security of the UE user plane when the UE accesses the small base station.
  • the selecting the access module is further configured to: when the UE moves from the coverage of the first macro base station to the coverage of the second macro base station, generate K eNB2 with the first macro base station , and The second macro base station generates KRR Cmt and KRR Cenc and protects Radio Resource Control Protocol RRC signaling using the KRR Cmt and KRR Cenc .
  • the access selection module is further configured to use K eNB l is the first generation of the macro base station or NH1 K eNB2; or K eNB2 generating the one or more of the following parameters: cell frequency point , cell physical identity, random number, counter value, constant;
  • the second macro base station using the K eNB2 generates the KRR Cmt and KRR Cenc; or more of the parameters to generate a KRR Cmt and KRR Cenc Alternatively, use the following: Algorithm ID value, the random number, counter, constant .
  • the selecting the access module is further configured to: when the UE initially accesses the core network, obtain a username and a password of the AP from the core network, and select, by the UE, access by using the AP.
  • the AP is accessed using the username and password of the AP.
  • the selecting the access module is further configured to: when determining that the UE leaves the coverage of the AP, re-access the mobile network by using the SDRPF layer of the UE.
  • the choice of type is preferably, when determining that the UE leaves the coverage of the AP.
  • the embodiment of the present invention further provides a security service gateway, where the security service gateway includes: a receiving module, configured to receive, by the MME, a user plane generated by the UE and the MME 3 ⁇ 4", copper ypenc'.
  • the K UPenc is generated by the UE and the MME by using K ASME ; or generated by the UE and the MME by using one or more of the following parameters: an algorithm ID, a random number, a value of a counter, and a constant.
  • the specific structure of the receiving module may include a receiving interface; the receiving interface may be a wired interface or a wireless interface; the wired interface may include a fiber optic interface, a twisted pair interface, and a coaxial cable interface; the wireless interface may include receiving A structure such as an antenna; however, it is not limited to the above structure.
  • the receiving module is further configured to use the K UPenc to protect the security of the user plane when the UE accesses the small base station.
  • An embodiment of the present invention further provides an access system for a mobile network, where the system includes: the UE described above.
  • FIG. 3 is a schematic structural diagram of an evolved mobile network according to an embodiment of the present invention.
  • the protocol stack of the evolved small base station facing the UE has only the PHY layer, the MAC layer, the RLC layer, and the signaling plane of the UE passes through the small base station.
  • the role of the security service gateway in FIG. 3 is to securely aggregate the user plane data to the security service gateway, and the security service gateway can support the UE on the public network or at the edge of the operator network and the public network.
  • the user plane of the UE is relayed to the security service gateway through the small base station, where the small base station and the macro base station can be connected by wireless.
  • the security of the UE user plane is aggregated to the security service gateway.
  • the security service gateway supports the user plane security of the UE, which is equivalent to moving the user plane of the UE to the network side, and the control plane of the UE is securely aggregated to the macro base station.
  • the embodiments of the present invention can meet the requirements of different terminals and different application services, so that The UE obtains the service of the mobile network more conveniently and efficiently.
  • the present invention also proposes a new mobile network access method: UE, such as: a smart phone adds a protocol stack on the RRC layer, and a service defined radio policy function SDR performs a function (SDRPF)
  • SDRPF supports the access policy function by service, and forms a multi-RAT multi-mode service together with the SDREF embedded in the RRC layer of the UE.
  • the SDRPF is similar to the combined function of ANDSF and PCRF to further support the access policy according to the service.
  • the recombination of SDRPF with the function of the evolved MME is an important issue in the design of the 5G architecture.
  • the core network evolved MME also adds the corresponding SDRPF protocol stack.
  • the SDRPF layer of the UE obtains its own corresponding information from the SDRPF layer of the core network or the SDRPF entity independently set in the core network, such as: the current location of the UE, and/or the current state of the UE, and/or the UE and the access.
  • the UE selects the type of the access mobile network according to the information, and the type of the access mobile network includes: the UE accesses the mobile network, the UE through the macro base station.
  • the evolved small base station accesses the mobile network, and the UE accesses the mobile network through the access node AP.
  • the current location of the UE is within the coverage of the evolved small base station, and is also within the coverage of the AP, and the UE can support the access mode of the evolved small base station, and also supports the access technology of the AP.
  • the service that the UE currently needs to connect is a general web browsing service, the UE may choose to access the mobile network through the AP with a lower security level.
  • the current location of the UE is within the coverage of the macro base station, and is also within the coverage of the AP, and the UE can support the access mode of the macro base station, and also supports the access technology of the AP.
  • the current UE status is ACTIVE, and When the service currently required to be connected by the UE is a real-time video call service, the UE may select a macro base station with better mobility support to access the mobile network.
  • the current location of the UE is within the coverage of the macro base station, and within the coverage of the evolved small base station, the UE can support the access mode of the macro base station, and also support the access mode of the evolved small base station, and the current UE status. It is IDLE, and the signal of the evolved small base station is stronger, and the access method is lower. Then, the UE can access the mobile network of the evolved small base station with stronger selectivity and lower tariff.
  • the type of the access mobile network is that the UE accesses the mobile network through the macro base station or the evolved small base station
  • the type of the access mobile network corresponds to the access network of the traditional security authentication mechanism and improves the security.
  • the type of the access mobile network is that when the UE accesses the mobile network through the AP, the type of the access mobile network corresponds to the access network of the security authentication mechanism.
  • a new type of UE accessing the mobile network is the Access Point (AP) in FIG. 3, that is, the UE accesses the mobile network through the AP, and the UE and the trusted AP.
  • the two-way security interaction is performed, and the authentication/authorization of the UE is supported by offline information.
  • the AP may also be composed of a group of access points in a total score structure, the total access point performs RRC/PDCP function, and the access point performs RLC/MAC. /PHY function.
  • the UE-facing user plane protocol stack of the AP includes: PHY layer, MAC layer, RLC layer, PDCP layer and IP layer.
  • the user plane of the AP directly accesses the application server in the IP network without the core network, and the control plane and core of the AP. There is no real-time control plane connection between the nets.
  • the embodiments of the present invention can meet the requirements of different terminals and different application services, so that the UE can obtain the services of the mobile network more conveniently and efficiently.
  • the invention also proposes a new mobile network security architecture.
  • the security of the UE user plane is aggregated to the security service gateway, and the UE and the evolved MME generate a user plane encryption key K UPene using K ASME , and the evolved MME sends the K UPene to the The security service gateway; or, when the evolved MME and the security service gateway are one physical entity, generate a user plane encryption key K UPenc and then no longer send.
  • the security service gateway and the UE use K UPenc to protect the security of the user plane.
  • the security service gateway When the security service gateway is bound to the MME, the coverage is equivalent to the Tracking Area (TA), which is larger than the coverage of the macro base station, and the coverage of the macro base station can be considered when the UE moves. Therefore, the UE is in a security service gateway and When a macro base station moves within the coverage, the security key may not be switched.
  • TA Tracking Area
  • the security key may not be switched. The advantage is that the switching efficiency can be improved and the wireless signaling can be saved. If the UE moves within the coverage of a secure network and spans the coverage of several macro base stations, the user plane security can be continued, and only the security of the control plane can be switched.
  • the UE and the macro base station 1 When the UE moves from the coverage of the macro base station 1 to the coverage of the macro base station 2, as shown in FIG. 5, the UE and the macro base station 1 generate K eNB2 using K eNB i or NH, which is used to generate a key.
  • the parameter next hop, of course, the generation process of the key K eNB2 may also use other parameters, such as one or more of the following parameters: cell frequency point, cell physical identity, random number, counter value, constant, etc.; macro base station 1 KeNB2 sends to macro base station 2, macro base station 2 and UE use KeNB2 to generate KRR CMT and KRRC.
  • KRR CMT and 3 ⁇ 4 ⁇ algorithm ID, random Numbers, counter values, constants, etc.
  • KRR CMT and KRR CENC KRR CMT and KRR CENC to protect RRC signaling without generating K UPENC , and the user plane does not need to switch.
  • the UE accesses the AP to perform general consultation and acquisition services such as web browsing, and does not move, and has low security requirements, and the authentication between the AP and the UE is user data security.
  • the level is lower.
  • the RRC control plane does not pose a threat to the network, and the security level can be lower.
  • the authentication method of the username and password can be used, and the integrity protection of the air interface data and signaling is not performed.
  • the UE When the UE accesses the core network, the UE obtains the username and password of the AP from the core network. If the UE chooses to access the mobile network through the AP, the UE accesses the AP by using the username and password.
  • the signaling to the core network needs to be encrypted and complete.
  • Sexual protection At this time, if there is an existing EPS security context, the security between the terminal and the network is established according to the existing EPS security context. Otherwise, the complete EPS-AKA security authentication needs to be run, and then the terminal and the network are established. Safety.
  • the UE should re-select the mobile access network through its own SSRFP layer, and may need to connect to other small base stations or macro base stations.
  • the embodiments of the present invention can meet the requirements of different terminals and different application services, so that the UE can obtain the services of the mobile network more conveniently and efficiently.
  • the embodiment of the present invention further provides a computer storage medium, wherein the computer storage medium stores computer executable instructions, and the computer executable instructions are used to execute the method according to any technical solution in the embodiments of the present invention.
  • the storage medium may be a non-transitory storage medium such as a USB flash drive, a DVD, or a magnetic tape.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种移动网络接入方法、UE、安全服务网管、系统和存储介质。所述移动网络的接入方法包括用户设备UE从核心网获取自身相关信息，及并根据所述信息选择接入移动网络的类型。

Description

移动网络接入方法、 UE、 安全服务网关、 系统和存储介质 技术领域
本发明涉及移动通信技术领域， 尤其涉及一种移动网络接入方法、 用 户设备（User Equipment, 简称为 UE )、 安全服务网关、 系统和存储介质。 背景技术
在移动通信领域， 随着智能终端和移动互联网应用的快速发展， 移动 网络也随之发展， 其中包含无线接入方式。
整个演进分组系统（ Evolved Packet System, 简称为 EPS )分为无线接 入网和核心网两部分，无线接入网分为第三代合作伙伴计划（ 3rd Generation Partnership Project, 简称为 3GPP )接入网和非 3GPP接入网。
其中， 所述 3GPP接入网由演进基站（ Evolved NodeB， 简称为 eNB ) 组成， 它主要负责无线信号的收发， 通过空中接口和终端联系， 管理空中 接口的无线资源、 资源调度、 以及接入控制。
所述核心网， 包含了归属用户服务器 （Home Subscriber Server, 简称 为 HSS )、 移动性管理实体（Mobility Management Entity, 简称为 MME )、 策略计费规则功能（Policy and Charging Rule Function, 简称为 PCRF ) 实 体、 服务网关（Serving Gateway, 简称为 S-GW )和分组数据网关（ PDN Gateway, 简称为 P-GW )。 如图 1所示， 图 1为包括 3GPP接入和非 3GPP 接入的 EPS结构示意图。
如图 1所示， EPS系统支持 3GPP接入。 HSS是用户签约数据的永久 存放地点， 位于用户签约的归属网； MME负责移动性管理、 非接入层信令 的处理和用户移动性管理上下文的管理等控制面相关功能； S-GW是与 3GPP接入网相连的接入网关设备， 在 3GPP接入和 P-GW之间转发数据， 并对数据进行緩存； P-GW是 EPS与分组数据网络（ Packet Data Network, 简称为 PDN )的边界网关， 负责 PDN的接入及其在 EPS与 PDN之间转发 数据等功能； PCRF是策略和计费规则功能实体， 其通过接收接口 Rx和运 营商业务网络相连， 负责提供计费控制、 在线信用控制、 门限控制、 以及 服务质量（Quality of Service, 简称为 QoS )控制。
如图 1所示， EPS系统也支持非 3GPP接入。 其中， 与非 3GPP接入的 互通通过 S2a/S2b/S2c接口实现， P-GW作为 3GPP与非 3GPP接入间的锚 点。 非 3GPP接入被分为授信非 3GPP接入和非授信非 3GPP接入。 其中， 所述授信非 3GPP接入可直接通过 S2a接口与 P-GW连接， S2a接口釆用代 理移动 IP ( Proxy Mobile IP， 简称为 PMIP )协议进行信息交互； 所述非授 信非 3GPP接入需经过演进的分组数据网关（ evolved Packet Data Gateway, 简称为 ePDG )与 P-GW相连， ePDG与 P-GW间的接口为所述 S2b。 所述 S2c接口提供了 UE与 P-GW之间的用户面控制以及移动性支持，其支持的 移动性协议为支持双栈的移动 IPv6 ( Mobile IPv6 support for Dual Stack Hosts and Routers， 简称为 DSMIPv6 )。
如图 2 所示， EPS 安全密钥架构如下， 全球用户识别卡 （Universal Subscriber Identity Module , 简称为 USIM ) 和鉴权中心 （Authentication Centre, 简称为 AuC )共享密钥 K， 在 UE使用 USIM和网络进行成功的认 证之后， UE和 HSS共享密钥 CK/IK以及由 CK/IK生成的 KASME。 HSS将 KASME发送给 MME， UE和 MME根据 KASME生成
Figure imgf000004_0001
KNASenc， 用于 对 UE和 MME之间的 NAS信令进行完整性保护和加密保护。 UE和 MME 根据 KASME生成 KeNB， MME将 KeNB发送给基站； 然后， UE和基站根据 KeNB生成 KUPenc，用于对 UE和基站之间的用户面数据进行加密保护； UE和 基站根据 KENB生成 KRRCmt和 KRRC用于对 UE和基站之间的无线资源控 制协议（RadioResourceControl, 简称为 RRC )信令进行完整性保护和加密 保护。
不同的无线接入方式是为了满足不同终端和不同应用的需求， 但是， 随着智能终端和移动互联网应用的快速发展， 移动网络也随之发展， 当前 的无线接入方式需要继续演进， 才能满足不同的需求， 同时， 无线接入的 安全技术也需要随着无线接入方式的演进而演进。 发明内容
有鉴于此， 本发明实施例期望提供一种移动网络接入方法、 UE、 安全 服务网关、 系统和存储介质， 从而可满足不同用户设备和不同应用业务的 需求。
为达到上述目的， 本发明实施例的技术方案是这样实现的：
本发明实施例第一方面提供一种移动网络的接入方法， 该方法包括： 用户设备 UE从核心网获取自身相关信息；
根据所述信息选择接入移动网络的类型。
优选地， 所述 UE从核心网获取自身相关信息， 包括：
UE通过业务定义无线电策略功能 SDRPF层从核心网中的移动性管理 实体 MME的 SDRPF层、 或从核心网中独立的 SDRPF实体获取自身的相 关信息。
优选地， 所述信息包括： UE当前的位置、 和 /或 UE当前的状态、 和 / 或 UE与接入网络类型的对应关系、 和 /或 UE当前需要连接的业务。
优选地， 所述接入移动网络的类型， 包括： UE通过宏基站接入移动网 络、 UE通过演进的小基站接入移动网络、 UE通过访问节点 AP接入移动 网络。
优选地，
所述接入移动网络的类型为所述 UE通过宏基站接入移动网络时， 所 述接入移动网络的类型对应传统的安全认证机制的接入网络或提升了安全 机制的接入网络；
所述接入移动网络的类型为所述 UE通过演进的小基站接入移动网络 时， 所述接入移动网络的类型对应传统的安全认证机制的接入网络或提升 了安全机制的接入网络；
所述接入移动网络的类型为 UE通过 AP接入移动网络时，所述接入移 动网络的类型对应降低了安全认证机制的接入网络。
优选地， 该方法还包括： 所述 UE用户面的安全被汇聚到安全服务网 关， 包括：
生成用户面加密密钥 KUPenc， 。
优选地，
所述生成用户面加密密钥 KUPenc，为：
使用 KASME生成所述 KUPenc，； 或者，
使用以下一个或多个参数生成所述 KUPenc，： 算法 ID、 随机数、 计数器 的值、 常数。
优选地， 该方法还包括：
当所述 UE接入小基站时， 使用所述 KUPenc，保护用户面的安全。
优选地， 该方法还包括：
当所述 UE从第一宏基站的覆盖范围移动到第二宏基站的覆盖范围时， 生成 Ke願；
所述 KeNB2用于保护无线资源控制协议 RRC信令的 KRRCmt和 KRRCenc。 优选地， 所述生成 KeNB2还包括：
使用 KeNBi或者 NH1生成所述 KeNB2;
或者， 使用以下一个或多个参数生成所述 KeNB2: 小区频点、 小区物理 标识、 随机数、 计数器的值、 常数。
优选地， 该方法还包括： 所述 UE在初始接入所述核心网时，从所述核心网获取所述 AP的用户 名和密码； UE选择通过所述 AP接入移动网络时， 则使用所述 AP的用户 名和密码接入 AP。
优选地， 所述 UE和 AP的连接建立后， 该方法还包括：
如果所述 UE离开所述 AP的覆盖范围， 则所述 UE通过所述 SDRPF 层重新进行接入移动网络的类型的选择。
本发明实施例第二方面提供一种 UE， 所述 UE包括：
选择接入模块， 配置为从核心网获取自身相关信息， 并根据所述信息 选择接入移动网络的类型。
优选地， 所述选择接入模块从核心网获取自身相关信息， 包括： 所述选择接入模块通过所述 UE 的 SDRPF 层从核心网中 MME 的 SDRPF层、 或从核心网中独立的 SDRPF实体获取 UE的相关信息。
优选地， 所述接入移动网络的类型， 包括： UE通过宏基站接入移动网 络、 UE通过演进的小基站接入移动网络、 UE通过访问节点 AP接入移动 网络。
优选地， 所述选择接入模块， 还配置为生成用户面加密密钥 KUPenc。 优选地， 所述选择接入模块， 还配置为使用 KASME生成所述 KUPenc， ； 或者， 使用以下一个或多个参数生成所述 KUPenc: 算法 ID、 随机数、 计数 器的值、 常数。
优选地， 所述选择接入模块， 还配置为所述 UE接入小基站时， 使用 KUPenc，保护 UE用户面的安全。
优选地， 所述选择接入模块， 还配置为当所述 UE从第一宏基站的覆 盖范围移动到第二宏基站的覆盖范围时， 生成 KeNB2;
所述 KeNB2用于保护无线资源控制协议 RRC信令的 KRRCmt和 KRRCenc。 优选地， 所述选择接入模块， 还配置为使用 KeNBi或者 NH1生成所述 KeNB2; 或者， 使用以下一个或多个参数生成所述 KeNB2: 小区频点、 小区物 理标识、 随机数、 计数器的值、 常数。
优选地， 所述选择接入模块， 还配置为 UE在初始接入所述核心网时， 从所述核心网获取所述 AP的用户名和密码， 并在所述 UE选择通过所述 AP接入移动网络时， 使用所述 AP的用户名和密码接入 AP。
优选地， 所述 UE和 AP的连接建立后， 所述选择接入模块， 还配置为 确定所述 UE离开所述 AP的覆盖范围时， 通过所述 UE的 SDRPF层重新 进行接入移动网络的类型的选择。
本发明实施例第三方面提供一种安全服务网关， 所述安全服务网关包 括： 接收模块， 配置为接收 MME发送的、 由 UE和所述 MME生成的用户 面加密密钥 KUPenc，。
优选地， 所述 KUPenc，由所述 UE和所述 MME使用 KASME生成； 或者， 由 UE和所述 MME使用以下一个或多个参数生成： 算法 ID、 随机数、 计 数器的值、 常数。
优选地， 所述接收模块， 还配置为所述 UE接入小基站时， 使用所述 KUPenc，保护用户面的安全。
本发明实施例第四方面提供一种移动网络的接入系统， 该系统包括： 上述任一项所述的 UE。
本发明实施例第四方面提供一种移动网络的接入系统， 该系统包括： 上述任一项所述的 UE。
本发明实施例中提供的移动网络接入方法、 UE、 安全服务网关、 系统 和存储介质， 用户设备（UE )从核心网获取自身相关信息， 并根据所述信 息选择接入移动网络的类型。 本发明 UE可以根据不同的业务需求选择不 同的移动网络的接入方式， 可满足不同终端和不同应用业务的需求，使 UE 更方便、 高效地获取移动网络的服务。 此外， 本发明中 UE用户面的安全被汇聚到安全服务网关， 相当于将 UE的用户面上移到网络侧， 如果 UE在一个安全网络的覆盖范围内移动， 跨越了几个宏基站的覆盖范围时， 可以继续使用用户面安全， 只切换控制 面的安全即可。 附图说明
图 1为传统的包括 3GPP接入和非 3GPP接入的 EPS结构示意图； 图 2为传统 EPS的安全密钥架构图；
图 3为本发明实施例提供的演进的移动网络结构示意图；
图 4为本发明一实施例提供的演进的移动网络安全密钥架构图； 图 5为本发明另一实施例提供的演进的移动网络安全密钥架构图。 具体实施方式
以下结合附图对本发明的优选实施例进行详细说明， 应当理解， 以下 所说明的优选实施例仅用于说明和解释本发明， 并不用于限定本发明。
本发明实施例提供了一种移动网络的接入方法， 该方法包括： 用户设备 UE从核心网获取自身相关信息， 并根据所述信息选择接入 移动网络的类型。
优选的， 所述 UE从核心网获取自身相关信息， 包括：
UE通过业务定义无线电策略功能（ SDRPF )层从核心网中的移动性管 理实体 MME的 SDRPF层、 或从核心网中独立的 SDRPF实体获取自身的 相关信息。
所述业务定义无线电策略功能是指根据 UE 的业务信息， 确定该 UE 相关的无线接入和服务相关的策略。 所述业务信息根据时间可分为当前业 务信息及历史业务信息； 根据使用频率可分为典型业务信息。
其中， 所述业务信息包括业务类型、 业务类型组合、 业务服务质量 ( Quality of Serivice, QoS )、 指定时间内业务流量、 业务使用区域标识、 业务使用概率、 业务使用频度、 多种业务使用频度排序、 在某一区域内的 业务使用概率、 在某一区域内区域相关的业务使用频度及在某一区域内区 域相关的业务使用频度排序的一个或多个。
所述业务类型可如视频、 游戏或通话等； 所述业务类型组合为多种业 务类型的组合关系， 具体可如视频与游戏的组合。
所述业务使用区域标识可包括如网络标识 PLMN ID、 跟踪区域标识 TAI、 小区标识、 基站标识、 用户设备所在经纬度及用户设备所在高度中的 一个或多个。
所述业务定义无线电策略功能还可以将 UE的业务信息与 UE的位置 (当前位置或习惯位置）、 状态（当前状态或状态习惯， 例如电池电量、 耗 电状态、移动状态）、 能力信息（例如无线接入能力， TCP版本，应用软件、 屏幕大小）等结合起来， 以确定该 UE相关的无线接入和服务相关的策略。
所述业务定义无线电策略功能可以在已有的核心网逻辑实体， 例如 MME, PC F, ANDSF中实现， 也可以是单独的一个核心网逻辑实体。
其中， 所述信息包括： UE当前的位置、 和 /或 UE当前的状态、 和 /或 UE与接入网络类型的对应关系、 和 /或 UE当前需要连接的业务。
优选的， 所述接入移动网络的类型， 包括： UE通过宏基站接入移动网 络、 UE通过演进的小基站接入移动网络、 UE通过访问节点 AP接入移动 网络。
优选的， 所述接入移动网络的类型为所述 UE通过宏基站或演进的小 基站接入移动网络时， 所述接入移动网络的类型对应传统的安全认证机制 的接入网络， 即对应传统的 UE接入 eNB的情况和提升了安全机制的接入 网络， 即： 在 S-GW进行加解密的接入网络；
即 UE通过宏基站接入移动网络时， 所述接入移动网络的类型对应为 安全认证机制的接入网络或提升了安全机制的接入网络； UE通过演进的小 基站接入移动网络时， 所述接入移动网络的类型对应了， 安全认证机制的 接入网络或提升了安全机制的接入网络。
所述接入移动网络的类型为 UE通过 AP接入移动网络时，所述接入移 动网络的类型对应降低了安全认证机制的接入网络， 即： 通过 AP仅提供 AP与 UE间安全的接入网络， AP可以为代表 WIFI 的 AP， 也可以为代表 低安全等级的基站。
所述传统的安全认证机制的接入网络、 所述提升了安全机制的接入网 络及所述降低了安全认证机制的接入网络对安全性能的要求， 具体可参见 通信协议 3GPP TS33.401。
优选地， 该方法还包括： 所述 UE用户面的安全被汇聚到安全服务网 关， 包括：
所述 UE和 MME生成用户面加密密钥 KUPene，， MME将所述 KUPenc，发 送给安全服务网关； 或者， 在具体的执行过程中， 所述 UE和 MME可各 自独立生成所述 KUPenc， 。
当所述 MME和安全服务网关为同一个物理实体时， 生成用户面加密 密钥 KUPene，后不再发送。
优选地， 该方法还包括：
所述 UE和 MME使用 KASME生成所述 KUPenc，； 或者，
所述 UE和 MME使用以下一个或多个参数生成所述 KUPenc，： 算法 ID、 随机数、 计数器的值、 常数。
所述算法 ID可为用于区分不同安全性算法的算法 ID。
所述安全算法可包括加密算法及完整性保护算法。
所述加密算法及完整性加密算均可对应一种或多种安全性算法； 不同 的安全性算法对应的算法 ID不同； 具体如所述加密算法的包括 EEA0 (空 的加密算法）， 128-EEAK SNOW 3G based algorithm )， 128-EEA2( AES based algorithm )。 所述完整性保护算法可包括 EIAO (空的完整性保护算法）， 128-EIAl ( SNOW 3G based algorithm ), 128-EIA2 ( AES based algorithm )0 所述计数器可为通信协议 3GPP TS33.401中规定的 NAS计数器。所述 计数器的值可为所述 NAS技术器的值。
所述常数也可以所述 3GPP TS33.401通信协议中所规定的常数。
优选地， 该方法还包括：
当所述 UE接入小基站时， 所述安全服务网关与所述 UE使用 KUPenc， 保护用户面的安全。通常是所述安全服务网关所述 UE各自独立使用 KUPenc， 保护用户面的安全。
优选地， 该方法还包括：
当所述 UE从第一宏基站的覆盖范围移动到第二宏基站的覆盖范围时， 所述 UE与所述第一宏基站生成 KeNB2， 第一宏基站把所述 KeNB2发送给所 述第二宏基站， 所述第二宏基站和所述 UE生成 KRRCmt和 KRRCenc， 并使用 所述 KRRCmt和 ¾^ 保护无线资源控制协议 RRC信令。此处生成所述 KeNB2 可是由所述 UE和第一宏基站各自独立生成。
优选地， 该方法还包括： 所述 UE与所述第一宏基站使用 KeNBi或者 NH1生成所述 KeNB2; 或者， 使用以下一个或多个参数生成所述 KeNB2: 小 区频点、 小区物理标识、 随机数、 计数器的值、 常数；
所述第二宏基站和所述 UE使用所述 KeNB2生成所述 KRRCmt和 KRRCenc; 或者， 使用以下一个或多个参数生成所述 KRRCmt和 KRRCenc : 算法 ID、 随机 数、 计数器的值、 常数。
所述 NH即为用于生成密钥的参数 next hop;此处优选为存储在所述第 一宏基站内的 NH参数。
当所述 UE应用于单服务小区时， 所述小区频点及所述小区物理标识 中所述的小区为所述 UE驻扎的小区；
当所述 UE为支持载波聚合和 /或双连接的小区， 且应用在载波聚合和 / 或双连接的场景下时， 所述小区频点及所述小区物理标识中的所述小区优 选为主小区；
当所述 UE应用在进行小区切换时， 所述小区频点及所述小区物理标 识中所述的小区优选为目标小区。
优选地， 该方法还包括：
所述 UE在初始接入所述核心网时，从所述核心网获取所述 AP的用户 名和密码； UE选择通过所述 AP接入移动网络时， 则使用所述 AP的用户 名和密码接入 AP。
优选的， 所述 UE和 AP的连接建立后， 该方法还包括：
如果所述 UE离开所述 AP的覆盖范围， 则所述 UE通过所述 SDRPF 层重新进行接入移动网络的类型的选择。
本发明实施例还提供了一种 UE， 所述 UE包括： 选择接入模块， 配置 为从核心网获取自身相关信息，并根据所述信息选择接入移动网络的类型。
其中， 所述选择接入模块从核心网获取自身相关信息， 包括： 所述选择接入模块通过所述 UE 的 SDRPF 层从核心网中 MME 的 SDRPF层、 或从核心网中独立的 SDRPF实体获取 UE的相关信息。
所述选择接入模块的具体结构可包括通信接口及处理器； 所述通信接 口具体可为收发天线； 如从核心网接收自身相关信息； 所述处理器可用于 根据接收到的信息选择接入的类型。 所述处理器可为微处理器、 中央处理 器、 数字信号处理器或可编程逻辑阵列等具有处理功能。 在具体的实现过 程中不局限于上述结构。
其中，所述接入移动网络的类型， 包括： UE通过宏基站接入移动网络、 UE通过演进的小基站接入移动网络、 UE通过访问节点 AP接入移动网络。 优选的， 所述选择接入模块， 还配置为和所述 MME生成用户面加密 密铜 Kypenc =
优选的， 所述选择接入模块， 还配置为和所述 MME使用 KASME生成 所述 KUPenc， ； 或者， 使用以下一个或多个参数生成所述 KUPenc: 算法 ID、 随机数、 计数器的值、 常数。
优选的， 所述选择接入模块， 还配置为所述 UE接入小基站时， 与安 全服务网关使用 KUPenc，保护 UE用户面的安全。
优选的， 所述选择接入模块， 还配置为当所述 UE从第一宏基站的覆 盖范围移动到第二宏基站的覆盖范围时， 与所述第一宏基站生成 KeNB2， 与 所述第二宏基站生成 KRRCmt和 KRRCenc，并使用所述 KRRCmt和 KRRCenc保护无 线资源控制协议 RRC信令。
优选的， 所述选择接入模块， 还配置为与所述第一宏基站使用 KeNBl 或者 NH1生成所述 KeNB2;或者，使用以下一个或多个参数生成所述 KeNB2: 小区频点、 小区物理标识、 随机数、 计数器的值、 常数；
与所述第二宏基站使用所述 KeNB2生成所述 KRRCmt和 KRRCenc; 或者， 使用以下一个或多个参数生成所述 KRRCmt和 KRRCenc: 算法 ID、 随机数、 计 数器的值、 常数。
优选的， 所述选择接入模块， 还配置为 UE在初始接入所述核心网时， 从所述核心网获取所述 AP的用户名和密码， 并在所述 UE选择通过所述 AP接入移动网络时， 使用所述 AP的用户名和密码接入 AP。
优选的， 所述 UE和 AP的连接建立后， 所述选择接入模块， 还配置为 确定所述 UE离开所述 AP的覆盖范围时， 通过所述 UE的 SDRPF层重新 进行接入移动网络的类型的选择。
本发明实施例还提供了一种安全服务网关， 所述安全服务网关包括： 接收模块， 配置为接收 MME发送的、 由 UE和所述 MME生成的用户面加 ¾" 、铜 ypenc'。
优选的， 所述 KUPenc，由所述 UE和所述 MME使用 KASME生成； 或者， 由 UE和所述 MME使用以下一个或多个参数生成： 算法 ID、 随机数、 计 数器的值、 常数。
所述接收模块的具体结构可包括接收接口； 所述接收接口可为有线接 口或无线接口； 所述有线接口可包括光纤接口、 双绞线接口及同轴电缆接 口； 所述无线接口可包括接收天线等结构； 但是不局限于上述结构。
优选的， 所述接收模块， 还配置为所述 UE接入小基站时， 与所述 UE 使用所述 KUPenc，保护用户面的安全。
本发明实施例还提供了一种移动网络的接入系统， 该系统包括： 上文 所述的 UE。
下面分别从方法、 装置和系统几个方面对本发明所述的技术方案进行 展开说明。
实施例一
图 3为本发明实施例演进的移动网络结构示意图， 如图 3所示， 图中演 进的小基站面向 UE的协议栈只有 PHY层， MAC层， RLC层， UE的信令面 通过小基站中继到宏基站； 图 3中的安全服务网关的作用是将用户面数据的 安全汇聚到安全服务网关， 所述安全服务网关在公网上或者位于运营商网 络与公网的边缘，可支持 UE和安全服务网关间的数据安全， UE和安全服务 网关间有安全的上下文， 可支持无连接数据传输。 所述 UE的用户面通过小 基站中继到安全服务网关，这里的小基站和宏基站之间可以通过无线连接。 UE用户面的安全汇聚到所述安全服务网关，所述安全服务网关支持 UE的用 户面安全，相当于将 UE的用户面上移到网络侧， UE的控制面安全汇聚到宏 基站。
综上所述， 本发明实施例可满足不同终端和不同应用业务的需求， 使 UE更方便、 高效地获取移动网络的服务。
实施例二
基于图 3所示的移动网络结构，本发明还提出一种新的移动网络的接入 方法： UE， 如： 智能手机增加 RRC层上的协议栈， 业务定义的无线电策略 功能 SDR执行功能（SDRPF ), 所述 SDRPF支持按业务的接入策略功能， 与 嵌入到 UE RRC层的 SDREF—起构成多 RAT多模式服务。 所述 SDRPF类似 ANDSF和 PCRF的结合功能， 以进一步支持按照业务的接入策略， SDRPF 是与演进的 MME的功能的重新组合是 5G架构设计中的一个重要问题。核心 网演进的 MME也增加相应 SDRPF协议栈。 所述 UE的 SDRPF层从核心网的 SDRPF层、 或从核心网中独立设置的 SDRPF实体获取自身相应信息， 如： UE当前的位置、和 /或 UE当前的状态、和 /或 UE与接入网络类型的对应关系、 和 /或 UE当前需要连接的业务等， UE根据这些信息选择接入移动网络的类 型， 所述接入移动网络的类型， 包括： UE通过宏基站接入移动网络、 UE 通过演进的小基站接入移动网络、 UE通过访问节点 AP接入移动网络。例如： UE当前的位置是在演进的小基站覆盖范围内， 也在 AP的覆盖范围内， 且 UE可以支持演进的小基站的接入方式， 也支持 AP的接入技术， 当前 UE的 状态是 ACTIVE,且 UE当前需要连接的业务是一般网页浏览的业务时， UE 可以选择通过安全等级较低的 AP接入移动网络。
又如： UE当前的位置是在宏基站覆盖范围内， 也在 AP的覆盖范围内， 且 UE可以支持宏基站的接入方式， 也支持 AP的接入技术， 当前 UE的状态 是 ACTIVE, 并且在高速移动， UE当前需要连接的业务是实时视频通话业 务时， 那么， UE可以选择对移动性支持较好的宏基站接入移动网络。
再如： UE当前的位置在宏基站覆盖范围内， 也在演进的小基站的覆盖 范围内， UE可以支持宏基站的接入方式，也支持演进的小基站的接入方式， 当前 UE的状态是 IDLE，并且演进的小基站的信号更强，接入方式资费更低， 那么， UE可以选择性号更强而且资费更低的演进的小基站的接入移动网 络。
其中， 所述接入移动网络的类型为所述 UE通过宏基站或演进的小基 站接入移动网络时， 所述接入移动网络的类型对应传统的安全认证机制的 接入网络和提升了安全机制的接入网络；
所述接入移动网络的类型为 UE通过 AP接入移动网络时，所述接入移动 网络的类型对应降低了安全认证机制的接入网络。
一种新的 UE接入移动网络的类型就是图 3中所述的访问接入点（Access Point, 简称为 AP )， 即： UE通过所述 AP接入移动网络， UE和可信的 AP间 执行双向安全交互， UE的认证 /授权通过离线信息支持； 所述 AP也可以由 一组接入点以总分结构组成， 总接入点执行 RRC/PDCP功能， 分接入点执 行 RLC/MAC/PHY功能。 AP的面向 UE的用户面协议栈包含： PHY层， MAC 层， RLC层， PDCP层和 IP层， AP的用户面不经核心网直接接入 IP网中的应 用服务器， AP的控制面和核心网之间没有实时控制面连接。
综上所述， 本发明实施例可满足不同终端和不同应用业务的需求， 使 UE更方便、 高效地获取移动网络的服务。
实施例三
本发明还提出一种新的移动网络安全架构。 如图 4所示， UE用户面的 安全汇聚到安全服务网关， UE和所述演进的 MME使用 KASME生成用户面 加密密钥 KUPene，，演进的 MME将所述 KUPene，发送给所述安全服务网关； 或 者， 当演进的 MME和所述安全服务网关为一个物理实体时， 生成用户面 加密密钥 KUPenc，后不再发送。 在 UE接入演进的小基站时， 安全服务网关 和 UE使用 KUPenc，保护用户面的安全。这里，所述密钥 KUPenc，的生成过程中 还可以使用其他参数， 比如 UE和所述演进的 MME使用以下一个或多个 参数生成所述密钥 KUPene，： 算法 ID、 随机数、 计数器的值、 常数等等。 安全服务网关和 MME绑定时，覆盖范围相当于跟踪区（ Tracking Area, TA )， 其大于宏基站的覆盖范围， UE移动时考虑宏基站覆盖范围即可， 因 此， UE在一个安全服务网关和一个宏基站覆盖范围内移动时， 可以不进行 安全密钥的切换。 优点是可以提高切换效率， 节省无线信令。 如果 UE在 一个安全网络的覆盖范围内移动， 跨越了几个宏基站的覆盖范围时， 可以 继续使用用户面安全， 只切换控制面的安全即可。
当 UE从宏基站 1的覆盖范围移动到宏基站 2的覆盖范围，如图 5所示， UE和宏基站 1使用 KeNBi或者 NH生成 KeNB2，所述 NH即为用于生成密钥 的参数 next hop， 当然， 密钥 KeNB2的生成过程还可以使用其他参数， 比如 以下一个或多个参数： 小区频点、 小区物理标识、 随机数、 计数器的值、 常数等等；宏基站 1把 KeNB2发送给宏基站 2，宏基站 2和 UE使用 KeNB2 生成 KRRCMT和 KRRC这里， 密钥 KRRCMT和 ¾^ 的生成过程中还可以使 用其他参数， 比如以下一个或多个参数： 算法 ID、 随机数、 计数器的值、 常数等等， 并使用 KRRCMT和 KRRCENC保护 RRC信令， 而无需生成 KUPENC， 用 户面也无需进行切换。
此外， 在图 4中， 在 UE接入 AP时， UE接入 AP主要进行网页浏览等 一般性咨询获取业务， 并且不移动， 对安全要求较低， AP和 UE之间的认 证以用户数据安全等级较低。 同时， 在 UE不经过 AP接入核心网时， RRC 控制面不对网络造成威胁， 安全等级也可以较低， 可釆用用户名口令的认 证方式， 不对空口数据和信令进行完整性保护。
UE在初始接入核心网时， 从核心网获取到所述 AP的用户名和密码， 此后如果 UE选择通过 AP接入移动网络， UE使用所述用户名和密码接入 AP。
但是， 一旦通过该 AP和核心网的连接建立， 即： 通过移动网接入到核 心网， 考虑到核心网的安全性， 就需要对到核心网的信令进行加密和完整 性保护。 此时如果有现有的 EPS安全上下文， 就根据现有的 EPS安全上下 文， 建立起终端和网络之间的安全， 否则需要运行完整的 EPS-AKA安全 认证， 再建立起终端和网络之间的安全。
如果 UE移动， 离开 AP的覆盖范围， 此时 UE应通过自身的 SSRFP 层重新进行移动接入网络选择，此时可能需要连接到其他小基站或宏基站。
综上所述， 本发明实施例可满足不同终端和不同应用业务的需求， 使 UE更方便、 高效地获取移动网络的服务。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围。
本发明实施例还提供一种计算机存储介质， 所述计算机存储介质中存 储有计算机可执行指令， 所述计算机可执行指令用于执行本发明实施例中 任意技术方案所述的方法。所述存储介质可为 U盘、 DVD或磁带等非瞬间 存储介质。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围。 凡按照本发明原理所作的修改， 都应当理解为落入本发明的保护 范围。

Claims

权利要求书
1、 一种移动网络的接入方法， 该方法包括：
用户设备 UE从核心网获取自身相关信息；
根据所述信息选择接入移动网络的类型。
2、 根据权利要求 1所述的方法， 其中， 所述 UE从核心网获取自身相 关信息， 包括：
UE通过业务定义无线电策略功能 SDRPF层从核心网中的移动性管理 实体 MME的 SDRPF层、 或从核心网中独立的 SDRPF实体获取自身的相 关信息。
3、 根据权利要求 1所述的方法， 其中， 所述信息包括： UE当前的位 置、 和 /或 UE 当前的状态、 和 /或 UE与接入网络类型的对应关系、 和 /或 UE当前需要连接的业务。
4、 根据权利要求 1、 2或 3所述的方法， 其中， 所述接入移动网络的 类型， 包括： UE通过宏基站接入移动网络、 UE通过演进的小基站接入移 动网络、 UE通过访问节点 AP接入移动网络。
5、 根据权利要求 4所述的方法， 其中，
所述接入移动网络的类型为所述 UE通过宏基站接入移动网络时， 所 述接入移动网络的类型对应传统的安全认证机制的接入网络或提升了安全 机制的接入网络；
所述接入移动网络的类型为所述 UE通过演进的小基站接入移动网络 时， 所述接入移动网络的类型对应传统的安全认证机制的接入网络或提升 了安全机制的接入网络；
所述接入移动网络的类型为 UE通过 AP接入移动网络时，所述接入移 动网络的类型对应降低了安全认证机制的接入网络。
6、 根据权利要求 2或 3所述的方法， 其中， 该方法还包括： 所述 UE 用户面的安全被汇聚到安全服务网关， 包括：
生成用户面加密密钥 KUPenc， 。
7、 根据权利要求 6所述的方法， 其中，
所述生成用户面加密密钥 KUPenc，为：
使用 KASME生成所述 KUPenc，； 或者，
使用以下一个或多个参数生成所述 KUPenc，： 算法 ID、 随机数、 计数器 的值、 常数。
8、 根据权利要求 6所述的方法， 其中， 该方法还包括：
当所述 UE接入小基站时， 使用所述 KUPenc，保护用户面的安全。
9、 根据权利要求 2或 3所述的方法， 其中， 该方法还包括：
当所述 UE从第一宏基站的覆盖范围移动到第二宏基站的覆盖范围时， 生成 Ke願；
所述 KeNB2用于保护无线资源控制协议 RRC信令的 KRRCmt和 KRRCenc。
10、 根据权利要求 9所述的方法， 其中， 所述生成 KeNB2还包括： 使用 KeNBi或者 NH1生成所述 KeNB2;
或者， 使用以下一个或多个参数生成所述 KeNB2: 小区频点、 小区物理 标识、 随机数、 计数器的值、 常数。
11、 根据权利要求 4所述的方法， 其中， 该方法还包括：
所述 UE在初始接入所述核心网时，从所述核心网获取所述 AP的用户 名和密码； UE选择通过所述 AP接入移动网络时， 则使用所述 AP的用户 名和密码接入 AP。
12、 根据权利要求 11所述的方法， 其中， 所述 UE和 AP的连接建立 后， 该方法还包括：
如果所述 UE离开所述 AP的覆盖范围， 则所述 UE通过所述 SDRPF 层重新进行接入移动网络的类型的选择。
13、 一种 UE， 所述 UE包括：
选择接入模块， 配置为从核心网获取自身相关信息， 并根据所述信息 选择接入移动网络的类型。
14、 根据权利要求 13所述的 UE， 其中， 所述选择接入模块从核心网 获取自身相关信息， 包括：
所述选择接入模块通过所述 UE 的 SDRPF 层从核心网中 MME 的 SDRPF层、 或从核心网中独立的 SDRPF实体获取 UE的相关信息。
15、 根据权利要求 13或 14所述的 UE， 其中， 所述接入移动网络的类 型， 包括： UE通过宏基站接入移动网络、 UE通过演进的小基站接入移动 网络、 UE通过访问节点 AP接入移动网络。
16、 根据权利要求 14所述的 UE， 其中， 所述选择接入模块， 还配置 为生成用户面加密密钥 KUPenc。
17、 根据权利要求 16所述的 UE， 其中， 所述选择接入模块， 还配置 为使用 KASME生成所述 KUPenc， ； 或者， 使用以下一个或多个参数生成所述 KUPenc: 算法 ID、 随机数、 计数器的值、 常数。
18、 根据权利要求 17所述的 UE， 其中， 所述选择接入模块， 还配置 为所述 UE接入小基站时， 使用 KUPene，保护 UE用户面的安全。
19、 根据权利要求 16所述的 UE， 其中， 所述选择接入模块， 还配置 为当所述 UE从第一宏基站的覆盖范围移动到第二宏基站的覆盖范围时， 生成 Ke願；
所述 KeNB2用于保护无线资源控制协议 RRC信令的 KRRCmt和 KRRCenc。
20、 根据权利要求 19所述的 UE， 其中， 所述选择接入模块， 还配置 为使用 KeNBi或者 NH1生成所述 KeNB2; 或者，使用以下一个或多个参数生 成所述 KeNB2: 小区频点、 小区物理标识、 随机数、 计数器的值、 常数。
21、 根据权利要求 16所述的 UE， 其中， 所述选择接入模块， 还配置 为 UE在初始接入所述核心网时，从所述核心网获取所述 AP的用户名和密 码， 并在所述 UE选择通过所述 AP接入移动网络时， 使用所述 AP的用户 名和密码接入 AP。
22、根据权利要求 21所述的 UE，其中，所述 UE和 AP的连接建立后， 所述选择接入模块，还配置为确定所述 UE离开所述 AP的覆盖范围时，通 过所述 UE的 SDRPF层重新进行接入移动网络的类型的选择。
23、 一种安全服务网关， 所述安全服务网关包括： 接收模块， 配置为 接收 MME发送的、 由 UE和所述 MME生成的用户面加密密钥 KUPenc，。
24、 根据权利要求 23所述的安全服务网关， 其中， 所述 KUPenc，由所述 UE和所述 MME使用 KASME生成； 或者， 由 UE和所述 MME使用以下一 个或多个参数生成： 算法 ID、 随机数、 计数器的值、 常数。
25、 根据权利要求 23或 24所述的安全服务网关， 其中， 所述接收模 块， 还配置为所述 UE接入小基站时， 使用所述 KUP ^，保护用户面的安全。
26、 一种移动网络的接入系统， 该系统包括： 权利要求 13-22 中任一 项所述的 UE。
27、 一种计算机存储介质， 所述计算机存储介质中存储有计算机可执 行指令，所述计算机可执行指令用于执行权利要求 1至 12任一项所述的方 法。
PCT/CN2014/078165 2013-07-31 2014-05-22 移动网络接入方法、ue、安全服务网关、系统和存储介质 WO2014169878A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310330240.3 2013-07-31
CN201310330240.3A CN104349317A (zh) 2013-07-31 2013-07-31 一种移动网络的接入方法、ue、安全服务网关和系统

Publications (1)

Publication Number Publication Date
WO2014169878A1 true WO2014169878A1 (zh) 2014-10-23

Family

ID=51730837

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/078165 WO2014169878A1 (zh) 2013-07-31 2014-05-22 移动网络接入方法、ue、安全服务网关、系统和存储介质

Country Status (2)

Country Link
CN (1) CN104349317A (zh)
WO (1) WO2014169878A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10958572B2 (en) 2017-12-13 2021-03-23 Cisco Technology, Inc. Directing packets to service chain associated with user plane anchor

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10362040B2 (en) * 2015-04-30 2019-07-23 Nokia Solutions And Networks Oy Multi-security levels/traffic management across multiple network function instantiations
CN112738804B (zh) 2017-11-17 2021-12-21 华为技术有限公司 一种安全保护的方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070004405A1 (en) * 2005-07-01 2007-01-04 Research In Motion Limited System and method for accelerating network selection by a wireless user equipment (UE) device
CN101505524A (zh) * 2008-02-05 2009-08-12 华为技术有限公司 用户设备选择网络的方法及装置
CN101541064A (zh) * 2008-03-18 2009-09-23 华为技术有限公司 网络发现与选择方法、网络系统及装置
CN101674578A (zh) * 2008-09-12 2010-03-17 中兴通讯股份有限公司 一种家庭基站安全接入网络的方法及系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102378169B (zh) * 2010-08-17 2015-08-12 中兴通讯股份有限公司 多系统无线接入网获知密钥的方法和多系统无线接入网

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070004405A1 (en) * 2005-07-01 2007-01-04 Research In Motion Limited System and method for accelerating network selection by a wireless user equipment (UE) device
CN101505524A (zh) * 2008-02-05 2009-08-12 华为技术有限公司 用户设备选择网络的方法及装置
CN101541064A (zh) * 2008-03-18 2009-09-23 华为技术有限公司 网络发现与选择方法、网络系统及装置
CN101674578A (zh) * 2008-09-12 2010-03-17 中兴通讯股份有限公司 一种家庭基站安全接入网络的方法及系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10958572B2 (en) 2017-12-13 2021-03-23 Cisco Technology, Inc. Directing packets to service chain associated with user plane anchor

Also Published As

Publication number Publication date
CN104349317A (zh) 2015-02-11

Similar Documents

Publication Publication Date Title
WO2020029938A1 (zh) 安全会话方法和装置
CN105934926B (zh) 使用公共订户信息的无线装置的会话和服务控制的方法和设备
US9386617B2 (en) Discovery and operation of hybrid wireless wide area and wireless local area networks
WO2021045859A1 (en) Path selection or path switching and charging for proximity service communication
JP6105639B2 (ja) ネットワーク間サービス選択のためのシステムおよび方法
CN107005919B (zh) 用于使用未授权频带的单独lte ran的方法和装置
CN105557062B (zh) 用于接近服务的epc增强
US11064422B2 (en) System and method for enabling subscriber-based policy decisions
TW201830922A (zh) 用於維護在多sim多待機（msms）模式下操作的無線通訊設備中的多個sim上的服務的系統和方法
WO2012136160A2 (zh) 实现WiFi通信的方法、用户设备和无线路由设备
TW201722124A (zh) 遠端用戶辨識模組(sim)認證的系統和方法
WO2016085001A1 (ko) 스몰셀 환경을 지원하는 무선 접속 시스템에서 위치 비밀성 보호를 지원하는 방법 및 장치
EP2936876B1 (en) Methods and apparatus for differencitating security configurations in a radio local area network
CN105340212A (zh) 用于生成在设备至设备通信中的密钥的方法和装置
WO2010081329A1 (zh) 业务流迁移过程中对网络资源进行控制的方法和系统
JP2017538345A (ja) 方法、装置およびシステム
EP2317694B1 (en) Method and system and user equipment for protocol configuration option transmission
WO2014029271A1 (zh) 设备到设备通信方法、装置及系统
WO2014075534A1 (zh) 通信路径的切换方法及装置、切换处理装置及系统
WO2014008806A1 (zh) 无线局域网邻居用户设备的确定方法及装置
WO2012142889A1 (zh) 一种网关的选择方法、实现设备及系统
WO2013016967A1 (zh) 一种接入方法、系统及移动智能接入点
WO2014169878A1 (zh) 移动网络接入方法、ue、安全服务网关、系统和存储介质
WO2010012177A1 (zh) 一种确定漫游用户终端移动性的方法及装置
JP2023527193A (ja) サービス取得方法、装置、通信機器及び可読記憶媒体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14786075

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14786075

Country of ref document: EP

Kind code of ref document: A1