WO2017133021A1 - 一种安全处理方法及相关设备 - Google Patents

一种安全处理方法及相关设备 Download PDF

Info

Publication number
WO2017133021A1
WO2017133021A1 PCT/CN2016/073731 CN2016073731W WO2017133021A1 WO 2017133021 A1 WO2017133021 A1 WO 2017133021A1 CN 2016073731 W CN2016073731 W CN 2016073731W WO 2017133021 A1 WO2017133021 A1 WO 2017133021A1
Authority
WO
WIPO (PCT)
Prior art keywords
security
base station
target data
nas
core network
Prior art date
Application number
PCT/CN2016/073731
Other languages
English (en)
French (fr)
Inventor
于映辉
李晨琬
应江威
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN201680081121.0A priority Critical patent/CN108605225B/zh
Priority to EP16888845.1A priority patent/EP3402237B1/en
Priority to PCT/CN2016/073731 priority patent/WO2017133021A1/zh
Publication of WO2017133021A1 publication Critical patent/WO2017133021A1/zh
Priority to US16/054,569 priority patent/US11140546B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/041—Key generation or derivation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H04W24/02—Arrangements for optimising operational condition
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H04W76/27—Transitions between radio resource control [RRC] states
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W52/00—Power management, e.g. TPC [Transmission Power Control], power saving or power classes
    • H04W52/02—Power saving arrangements
    • H04W52/0209—Power saving arrangements in terminal devices
    • H04W52/0261—Power saving arrangements in terminal devices managing power supply demand, e.g. depending on battery level
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/70—Reducing energy consumption in communication networks in wireless communication networks

Definitions

  • Embodiments of the present invention relate to the field of communications, and, more particularly, to a security processing method and related apparatus.
  • M2M equipment is a relatively small, battery-powered system, such as smart meter reading system, which needs to periodically monitor and report the use of water, electricity and gas, and the smart meter reading service is generally mainly small packet reporting service, transmission.
  • the amount of data is small, the business cycle characteristics are obvious, the power consumption is low, and the number of terminals is large.
  • There are two main transmission schemes for such services one is the Control Plane (CP) transmission scheme, and the other is the User Plane (UP) transmission scheme.
  • CP Control Plane
  • UP User Plane
  • NAS Non-Access Stratum
  • NAS Non-Access Stratum
  • AS data access layer
  • the signaling and data transmitted after the RRC connection establishment is completed are both Access Stratum (AS) security protection.
  • AS Access Stratum
  • the CP transmission scheme since there is no security operation of the AS, especially signaling such as measurement reporting, there is a certain security risk for the user, but if only for the security requirements of the RRC signaling, the user
  • the AS security protocol is implemented between the user equipment (UE) and the evolved Node B (eNB).
  • UE user equipment
  • eNB evolved Node B
  • the security signaling is added to the air interface, the terminal consumes more power. Therefore, how to ensure that the UE is transmitting data In the process of the process, while the air interface signaling is consumed, the security of the transmitted data can be ensured, which is an urgent problem to be solved.
  • the technical problem to be solved by the embodiments of the present invention is to provide a security processing method and related equipment, which solves the technical problem that the security and low power consumption cannot be balanced when transmitting data between the user equipment and the base station in the prior art.
  • an embodiment of the present invention provides a security processing method, where the method may include:
  • the base station receives security response information returned by the core network device, where the security response information includes security parameter information of the UE and/or target data of security solution processing.
  • the embodiment of the present invention mainly solves the technical problem of how to securely transmit target data to a base station, that is, the base station initiates a security solution target data to the core network device after receiving the securely processed target data sent by the UE.
  • the security request information is received by the core network device to return relevant security parameter information, or the target data is directly solved, and the target data is securely protected on the air interface without increasing the consumption of air interface signaling.
  • the base station after receiving the security-processed target data that is sent by the UE, receives the security-related information sent by the UE;
  • the step of transmitting the security request information of the UE to the core network device is performed.
  • the base station when the security response information includes security parameter information of the UE, the base station receives the core
  • the security response information returned by the network device including:
  • the base station receives the updated access layer AS security parameter information returned by the core network device, and initiates security negotiation to the UE based on the updated AS security parameter information.
  • the receiving, by the base station, the security-processed target data sent by the user equipment UE includes:
  • the base station receives the security-processed target data that is sent by the UE by using uplink NAS signaling or uplink RRC signaling or uplink MAC layer signaling.
  • the securely processed target data includes target data that is securely encrypted by a non-access stratum NAS, or target data protected by NAS integrity, or target data of NAS encryption and NAS integrity protection; or
  • the securely processed target data includes target data securely encrypted by the access layer AS, or target data protected by AS integrity, or target data protected by AS encryption and AS integrity.
  • the sending, by the base station, the security request information of the UE to the core network device includes:
  • the base station sends the security request information of the UE to the core network device by using an uplink S1 message.
  • the base station sends the security request information of the UE to a core network device, where include:
  • the base station sends the identifier of the UE and/or the target data processed by the AS security to the core network device.
  • the base station receives the core network After the security response information returned by the device, it also includes:
  • the base station performs security solution processing on the security-processed target data according to the security parameter information in the security response information.
  • the receiving, by the base station, the security response information returned by the core network device including:
  • the base station receives security response information returned by the core network device by using a downlink S1 message.
  • the receiving, by the base station, the security parameter information in the security response information returned by the core network device including:
  • NAS security parameter includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or a NAS integrity protection key. Or generate key related parameters and NAS integrity protection algorithms; or
  • an AS security parameter of the UE returned by the core network device receives, by the base station, an AS security parameter of the UE returned by the core network device, where the AS security parameter includes an AS encryption key or a related parameter for generating a key, an AS encryption algorithm, and/or an AS integrity protection key. Or generate related parameters of the key and AS integrity protection algorithm.
  • Target data for secure solution processing in the security response information including:
  • Target data for performing NAS security decryption on the NAS-secured target data returned by the core network device, or target data of NAS integrity check, or NAS security decryption and NAS integrity check Target data;
  • Target data for AS security decryption of the AS security-processed target data returned by the core network device or target data of an AS integrity check, or AS security decryption and AS integrity check Target data.
  • the base station performs security solution processing on the security-processed target data according to the security parameter information in the security response information, including:
  • the base station performs NAS security decryption, or NAS integrity check, or NAS security decryption and NAS integrity check on the target data processed by the NAS based on the NAS security parameter information returned by the core network device; or
  • the base station performs AS security decryption, or AS integrity check, or AS security decryption and AS integrity check on the AS security-processed target data based on the AS security parameter information returned by the core network device.
  • the method before the receiving, by the base station, the security-processed target data sent by the user equipment UE, the method includes:
  • the base station When the UE releases the connection with the base station, the base station sends the AS security parameter information to the core network device for storage; or
  • the base station sends the updated AS security parameter information to the core network device for storage by using the sent security request information or the interface signaling between the base station and the core network device.
  • the method further includes:
  • the base station after the receiving, by the base station, the security parameter information change indication, the base station includes: The security parameter information reacquisition process of the UE is described.
  • the performing, by the base station, the security parameter information re-acquisition process of the UE includes:
  • the base station acquires updated NAS security parameter information from the core network device;
  • the base station acquires updated AS security parameter information from the core network device, and initiates security negotiation to the UE based on the updated AS security parameter information.
  • an embodiment of the present invention provides a security processing method, where the method may include:
  • the base station determines that the security related information is inconsistent with the locally stored security related information of the UE, the base station determines that the security parameter information needs to be changed.
  • the determining, by the base station, that the security parameter information needs to be changed the determining, by the base station, the security parameter information re-acquisition process of the UE.
  • the performing, by the base station, the security parameter information re-acquisition process of the UE includes:
  • the base station acquires updated non-access stratum NAS security parameter information from the core network device; or the base station acquires updated AS security parameter information from the core network device, and initiates security negotiation with the UE based on the updated AS security parameter information, In order to facilitate the AS storage and/or the core network to perform AS security processing using the changed AS security parameter information.
  • an embodiment of the present invention provides a security processing method, where the method includes:
  • the core network device sends security response information to the base station, where the security response information includes security parameter information of the UE and/or target data of security solution processing.
  • the receiving, by the core network device, the security request information of the user equipment UE that is sent by the base station includes:
  • the core network device receives the identifier of the UE sent by the base station and/or the target data that is securely processed by the access layer AS.
  • the core network device sends the security parameter information in the security response information to the base station ,include:
  • the NAS security parameter includes a NAS encryption key or a related parameter for generating a key, a NAS encryption algorithm, and/or a NAS integrity protection key or Generate key related parameters and NAS integrity protection algorithms; or
  • the AS security parameter includes an AS encryption key or a related parameter for generating a key, an AS encryption algorithm, and/or an AS integrity protection key or Generate key related parameters and AS integrity protection algorithm.
  • the core network device Sending the target data of the security solution processing in the security response information to the base station, including:
  • the core network device sends, to the base station, target data for performing NAS security decryption on the securely processed target data through NAS security parameter information, or target data of NAS integrity check, or NAS security decryption and NAS integrity Target data for sexual verification; or
  • the core network device sends, to the base station, target data for performing AS security decryption on the securely processed target data through AS security parameter information, or target data of AS integrity check, or AS security decryption and AS integrity Target data for sexual verification.
  • the method further includes:
  • the core network device sends a NAS security parameter information change indication to the base station, where the change indication is the changed NAS security parameter information determined by the UE and/or the core network device after performing security negotiation again.
  • the AS security parameter information is an AS security parameter that is initiated by the base station to the security negotiation and determined by the base station after the UE establishes a connection with the base station.
  • Information is an AS security parameter that is initiated by the base station to the security negotiation and determined by the base station after the UE establishes a connection with the base station.
  • the method further includes:
  • an embodiment of the present invention provides a security processing method, where the method includes:
  • the UE sends the target data securely processed by the non-access stratum NAS to the base station, and the target data processed by the NAS security includes target data securely encrypted by the NAS, or target data protected by the NAS integrity, or NAS encryption and NAS integrity.
  • Target data securely encrypted by the NAS, or target data protected by the NAS integrity, or NAS encryption and NAS integrity.
  • Protected target data or
  • the UE sends the target data that is securely processed by the access layer AS to the base station, and the target data processed by the AS security includes target data that is securely encrypted by the AS, or target data protected by the AS integrity, or AS encryption and AS integrity protection. Target data.
  • the sending, by the UE, the target data that is processed by the NAS to the base station includes:
  • the UE sends the target data that is processed by the NAS to the base station by using the uplink NAS signaling or the uplink RRC signaling or the uplink MAC layer signaling.
  • the UE sends the target data that is processed by the AS to the base station, including:
  • the UE sends the target data that is processed by the AS security to the base station by using the uplink RRC signaling or the uplink MAC layer signaling.
  • the method before the sending, by the UE, the target data that is processed by the NAS to the base station, the method includes:
  • the UE performs NAS security processing on the target data by using the NAS security parameter information, where the NAS security parameter information is NAS security parameter information that has been securely negotiated and determined by the UE and the core network device, and the NAS security parameter information. It includes NAS encryption key or related parameters for generating key and NAS encryption algorithm, and/or NAS integrity protection key or related parameters for generating key and NAS integrity protection algorithm.
  • a fourth possible implementation manner of the fourth aspect before the UE sends the access layer target data that is processed by the AS to the base station, include:
  • the UE performs AS security processing on the target data by using the AS security parameter information, where the AS security parameter information is AS security parameter information that has been securely negotiated and determined by the UE and the base station, or is already stored in the UE.
  • AS security parameter information, the AS security parameter information The AS encryption key or related parameters for generating the key and the AS encryption algorithm, and/or the AS integrity protection key or related parameters for generating the key and the AS integrity protection algorithm.
  • the method further includes :
  • the UE sends a NAS security parameter information change indication to the base station, where the change indication is the changed NAS security parameter information determined by the UE and/or the core network device after performing security negotiation again.
  • the method further includes :
  • the UE sends an AS security parameter information change indication to the base station, where the change indication is the changed AS security parameter information determined by the UE and/or the core network device after performing security negotiation again.
  • an embodiment of the present invention provides a base station, where the base station includes: an input unit, an output unit, a storage unit, and a processing unit;
  • the storage unit is configured to store program code
  • the processing unit is configured to invoke the program code stored by the storage unit to perform the following steps:
  • the processing unit is configured to pass the input unit by receiving, by the input unit, the security-processed target data sent by the UE Receiving security related information sent by the UE;
  • the step of transmitting the security request information of the UE to the core network device by using the output unit is performed.
  • the processing unit is configured to: when the security response information includes the security parameter information of the UE, The input unit receives the security response information returned by the core network device, specifically:
  • the processing unit by using the input unit, the security-processed target data sent by the user equipment UE, includes:
  • the input unit Receiving, by the input unit, the security-processed target data that is sent by the UE by using uplink NAS signaling or uplink RRC signaling or uplink MAC layer signaling.
  • the securely processed target data includes target data that is securely encrypted by a non-access stratum NAS, or target data protected by NAS integrity, or target data of NAS encryption and NAS integrity protection; or
  • the securely processed target data includes target data securely encrypted by the access layer AS, or target data protected by AS integrity, or target data protected by AS encryption and AS integrity.
  • the processing unit sends the security request information of the UE to the core network device by using the output unit, including:
  • the processing unit sends, by using the output unit, the core network device UE security request information, including:
  • the processing unit is further configured to:
  • the security unit After receiving the security response information returned by the core network device, the security unit performs security solution processing on the security-processed target data according to the security parameter information in the security response information.
  • the processing unit receives the security response information returned by the core network device by using the input unit, including:
  • the processing unit by using the input unit, the security parameter information in the security response information returned by the core network device, including :
  • NAS security parameter includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or NAS integrity protection Key or key related parameters and NAS integrity guarantee Protection algorithm;
  • an AS security parameter of the UE returned by the core network device receives, by the input unit, an AS security parameter of the UE returned by the core network device, where the AS security parameter includes an AS encryption key or a related parameter for generating a key, an AS encryption algorithm, and/or an AS integrity protection.
  • the key or related parameters that generate the key and the AS integrity protection algorithm receives, by the input unit, an AS security parameter of the UE returned by the core network device, where the AS security parameter includes an AS encryption key or a related parameter for generating a key, an AS encryption algorithm, and/or an AS integrity protection.
  • the processing unit receives the core network by using the input unit
  • the target data of the security solution processing in the security response information returned by the device including:
  • Target data for performing NAS security decryption on the NAS securely processed target data returned by the core network device or target data of NAS integrity check, or NAS security decryption and NAS integrity Checked target data;
  • Target data for performing AS security decryption on the AS security-processed target data returned by the core network device or target data of AS integrity check, or AS security decryption and AS integrity
  • target data for verification
  • the base station performs security solution processing on the security-processed target data according to the security parameter information in the security response information, including:
  • the target data is AS secure decryption, or AS integrity check, or AS secure decryption and AS integrity check.
  • the processing unit is further configured to: when the input unit receives the securely processed target data sent by the user equipment UE, when the UE and the base station When the connection is released, the AS security parameter information is sent to the core network device for storage by the output unit; or
  • the processing unit is further configured to: receive, by using the input unit, a After the target data of the security process is received, the security parameter information change indication sent by the UE is received by the input unit; or
  • the processing unit is further configured to: receive, by using the input unit, the security parameter information After the change indication, the security parameter information re-acquisition process of the UE is initiated by the output unit.
  • the processing unit is configured to initiate, by using the output unit, re-acquisition of security parameter information of the UE
  • the process is specifically:
  • the updated AS security parameter information is obtained from the core network device by the input unit, and the security negotiation is initiated to the UE based on the updated AS security parameter information.
  • an embodiment of the present invention provides a base station, where the base station includes: an input unit, an output unit, a storage unit, and a processing unit;
  • the storage unit is configured to store program code
  • the processing unit is configured to invoke the program code stored by the storage unit to perform the following steps:
  • the base station determines that the change of the security parameter information is required.
  • the processing unit is further configured to: after the determining that the security parameter information needs to be changed, initiate the security parameter information of the UE by using the output unit Re-acquisition process.
  • the processing unit is configured to initiate a security parameter information re-acquisition process of the UE by using the output unit, Specifically:
  • an embodiment of the present invention provides a core network device, where the core network device includes: an input unit, an output unit, a storage unit, and a processing unit;
  • the storage unit is configured to store program code
  • the processing unit is configured to invoke the program code stored by the storage unit to perform the following steps:
  • security response information includes security parameter information of the UE and/or target data of a security solution process.
  • the processing unit is configured to receive, by using the input unit, the security request information of the user equipment UE that is sent by the base station, including:
  • the processing unit is configured to use the output unit to send the core network device
  • the security parameter information in the security response information sent by the base station including:
  • the NAS security parameter includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or a NAS integrity protection key or Generate key related parameters and NAS integrity protection algorithms; or
  • the AS security parameter includes an AS encryption key or a related parameter for generating a key, an AS encryption algorithm, and/or an AS integrity protection key or Generate key related parameters and AS integrity protection algorithm.
  • Target data for performing AS security decryption on the securely processed target data through AS security parameter information, or target data of AS integrity check, or AS security decryption and AS integrity Target data for sexual verification.
  • the processing unit is further configured to:
  • the NAS security parameter information change indication is further sent to the base station by the output unit, where the change indication is that the UE and/or the core network device are re- The changed NAS security parameter information determined after security negotiation.
  • the processing unit is further configured to:
  • the base station Receiving, by the input unit, the AS security parameter information of the UE that is sent by the base station, where the AS security parameter information is that after the UE establishes a connection with the base station, the base station initiates a security negotiation to the UE. Determined AS security parameter information; or
  • the processing unit is further configured to:
  • the eighth aspect of the present invention provides a user equipment UE, where the UE includes: an input unit, an output unit, a storage unit, and a processing unit;
  • the storage unit is configured to store program code
  • the processing unit is configured to invoke the program code stored by the storage unit to perform the following steps:
  • the target data that is securely processed by the non-access stratum NAS is sent to the base station by the output unit, and the target data processed by the NAS security processing includes target data that is securely encrypted by the NAS, or target data protected by the NAS integrity, or NAS encryption. And target data for NAS integrity protection; or
  • target data that is securely processed by the access layer AS to the base station, where the target data processed by the AS security includes target data securely encrypted by the AS, or target data protected by the AS integrity, or AS encryption and Target data for AS integrity protection.
  • the processing unit is configured to send target data that is processed by the NAS to the base station by using the output unit, specifically:
  • the target data that is processed by the NAS security is sent to the base station by the output unit through uplink NAS signaling or uplink RRC signaling or uplink MAC layer signaling.
  • the processing unit is configured to send, by using the output unit, target data that is processed by the AS security to the base station, including:
  • the UE sends the target data that is processed by the AS security to the base station by using the uplink RRC signaling or the uplink MAC layer signaling.
  • the processing unit is further configured to:
  • the NAS security parameter information is that the UE has performed security negotiation with the core network device, before the target unit sends the target data processed by the NAS to the base station. And determining the NAS security parameter information, where the NAS security parameter information includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or a NAS integrity protection key or a key generation parameter and a NAS integrity Sex protection algorithm.
  • the processing unit is further configured to:
  • the AS security processing is performed on the target data by using the AS security parameter information, and the AS security parameter information is that the UE and the base station have been securely performed before the AS is configured to send the access layer target data to the base station.
  • the processing unit is further configured to:
  • a NAS security parameter information change indication to the base station, where the change indication is the changed NAS security parameter information determined by the UE and/or the core network device after performing security negotiation again.
  • the processing unit Also used for:
  • the embodiments of the present invention mainly solve the technical problem of how to reduce the overhead or power consumption of the air interface signaling while transmitting the target data to the base station securely.
  • the base station when the NAS transmission is performed, the base station initiates the relevant security request information of the security solution target data to the core network device after receiving the target data processed by the NAS through the NAS, and then receives the relevant information from the core network device.
  • Security parameter information or directly solve the target data, and securely protect the target data in the air interface.
  • AS is transmitted, that is, when the UE establishes a connection with the base station through the initial access, the AS security protection in the prior art is performed.
  • the base station When the connection is released, the base station sends the AS security related security parameter information used to the core to the core.
  • the network device saves, when the connection is established again and the target data of the UE needs to be sent, the base station sends relevant security request information of the security solution target data that has been stored previously to the core network device, and then receives the relevant security parameter information of the core network device. Or directly solve the target data, which can avoid the negotiation of the security parameter information process between the base station and the UE through the AS SMC, not only realizes the security protection of the AS, but also saves power consumption.
  • FIG. 1 is a schematic diagram of a network architecture of a security processing method provided by the present invention.
  • FIG. 2 is a schematic flow chart of a security processing method provided by the present invention.
  • FIG. 3 is a schematic flow chart of another security processing method provided by the present invention.
  • FIG. 4 is a schematic structural diagram of a base station provided by the present invention.
  • FIG. 5 is a schematic structural diagram of another embodiment of a base station provided by the present invention.
  • FIG. 6 is a schematic structural diagram of a core network device provided by the present invention.
  • FIG. 7 is a schematic structural diagram of a user equipment UE provided by the present invention.
  • GSM Global System of Mobile communication
  • CDMA Code Division Multiple Access
  • WCDMA Wideband Code Division Multiple Access
  • GPRS General Packet Radio Service
  • LTE Long Term Evolution
  • FDD Frequency Division Duplex
  • TDD Time Division Duplex
  • UMTS Universal Mobile Telecommunication System
  • the base station may be a base station (Base Transceiver Station, BTS) in GSM or CDMA, or may be a base station (NodeB) in WCDMA, or may be an evolved base station in LTE (The present invention is not limited to the evolution of the Node B, the eNB or the eNodeB, or the base station equipment in the future 5G network.
  • BTS Base Transceiver Station
  • NodeB base station
  • LTE evolved base station in LTE
  • the UE may communicate with one or more core networks via a Radio Access Network (RAN), and the UE may be a branch.
  • RAN Radio Access Network
  • the UE may be a cellular phone, a cordless phone, a smart phone, a smart meter reading terminal, a Session Initiation Protocol (SIP) phone, a Wireless Local Loop (WLL) station, a smart bracelet, and a smart phone.
  • Wearable device MP3 player (Moving Picture Experts Group Audio Layer III), MP4 (Moving Picture Experts Group Audio Layer IV) player, personal digital processing (Personal Digital Assistant, PDA), a handheld device with wireless communication capabilities, a computing device or other processing device connected to a wireless modem, an in-vehicle device, and a terminal device in a future 5G network.
  • the network architecture includes a UE, a base station, and a core network device.
  • the UE and the base station complete data transmission through air interface, that is, wireless communication; and each base station and the core network device are plugged through the optical fiber.
  • each base station and the core network device are plugged through the optical fiber.
  • the network architecture in FIG. 1 is only one of the preferred embodiments of the present invention.
  • the network architecture in the embodiment of the present invention includes, but is not limited to, the foregoing network architecture.
  • the core network device in the embodiment of the present invention will be mainly described by using a Mobility Management Entity (MME) as an example.
  • MME Mobility Management Entity
  • the MME is a network element responsible for processing signaling in the core network, and can complete the analysis of the NAS signaling. Processing, NAS signaling security, interaction with core networks of other networks, and UE mobility control, roaming processing, authentication management, and bearer management.
  • the core network device in the present invention includes, but is not limited to, the MME. Any entity that can perform the corresponding functions of the core network device in the embodiment of the present invention is within the scope of protection of the present invention.
  • FIG. 2 is a schematic flowchart of a security processing method in an embodiment of the present invention.
  • the NAS transmission layer between the UE, the base station, and the core network device, and the NAS transmission layer between the UE and the base station will be described in detail below with reference to FIG.
  • the method may include the following steps S201 to S206.
  • Step S201 The UE sends the target data that is processed by the NAS security to the base station.
  • the UE passes uplink NAS signaling, or uplink RRC signaling, or an uplink MAC address.
  • the layer signaling sends the non-access stratum target data that is transmitted through the security processing to the base station.
  • the target data that is processed securely may be target data that is securely encrypted by the non-access stratum NAS, or target data protected by NAS integrity, or target data of NAS encryption and NAS integrity protection.
  • the UE before the UE sends the target data that is processed by the non-access stratum NAS security to the base station, the UE performs security negotiation (NAS Security Mode Command (SMC)) with the core network device (such as the MME). The UE then performs NAS security processing on the target data. After performing NAS security negotiation, the UE and the MME generate NAS security parameter information. Further, the NAS security parameter information includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or a NAS integrity protection key or a related parameter for generating a key, and a NAS integrity protection algorithm.
  • SMC NAS Security Mode Command
  • KNASenc is a key used for NAS signaling encryption, which is calculated by the UE and the MME according to the encryption algorithm negotiated by both parties.
  • KNASint is a secret for NAS signaling integrity protection. key.
  • the UE further sends a NAS security parameter information change indication to the base station, where the change indication may be that the UE and/or the core network device (such as the MME) detects the change of the NAS security parameter information used by the current UE.
  • the change indication may be that the UE and/or the core network device (such as the MME) detects the change of the NAS security parameter information used by the current UE.
  • the changed NAS security parameter information is determined, and the NAS security parameter information is carried in the change indication and sent to the base station to ensure subsequent transmission of data between the UE and the base station.
  • the security parameter information used is updated and valid to reduce the overhead of additional air interface signaling due to the failure of the security parameter information.
  • the base station may receive the security-related information sent by the UE, and may also receive the security-related information sent by the UE; when the base station determines the security-related information and the security-related information locally saved by the base station, In case of inconsistency, the step of transmitting the security request information of the UE to the core network device is performed, so as to obtain the updated security parameter information from the core network device.
  • the receiving, by the base station, the security response information returned by the core network device includes: receiving, by the base station, an updated non-access stratum NAS returned by the core network device Security parameter information; or the base station receives the updated access layer AS security parameter information returned by the core network device, and initiates security negotiation to the UE based on the updated AS security parameter information.
  • the UE sends a Random Access Request to the base station.
  • the base station sends a Random Access Response to the UE.
  • the UE sends an RRCConnection Request to the eNB.
  • the eNB After receiving the eNB, the eNB sends an RRC Connection Setup to the UE.
  • the UE After receiving the RRC Connection Setup message sent by the eNB, the UE sends an RRC Connection Setup Complete to the base station, and uses the NAS security to perform security processing on the target data (such as measurement report or positioning information, etc.) that needs to be reported to the base station.
  • the target data such as measurement report or positioning information, etc.
  • the measurement report is carried and encrypted by the NAS PDU, or the measurement report is carried and encrypted by the RRC signaling, and the specific encryption manner of the target data is not limited by the present invention.
  • the specific encryption method of the target data is not limited by the present invention.
  • Step S202 The base station receives the target data that is processed by the user equipment UE and is processed by the NAS security.
  • the base station receives the security-processed target data that is sent by the UE in step S201 through uplink NAS signaling, uplink RRC signaling, or uplink MAC layer signaling.
  • Step S203 The base station sends the identifier of the UE and/or the target data processed by the NAS security to the core network device.
  • the base station may send the identifier of the UE to the core network device by using the Initial UE Message, or other uplink signaling, such as a UL NAS transmission message, or an uplink S1-AP signaling or other uplink signaling, such as a UE measurement report transmission.
  • the base station eNB
  • receives the target data such as the measurement report
  • the security parameter information used for the NAS security solution processing target data is determined by the negotiation between the UE and the core network device MME.
  • the base station needs to obtain the target data of the NAS security solution processing, and must perform security to the core network device MME.
  • the request information may be understood that the content of the security request information may be an identifier for identifying the UE, and the identifier may be used by the MME to find the security parameter information that matches the identifier, but it may also be understood that
  • the target data of the NAS security processing that needs to be read is directly sent to the MME, and the MME performs security solution processing, and then The target data of the security solution processing is returned to the base station, or both are returned to the base station. In short, as long as the base station can finally read the target data that is safely processed by the NAS.
  • Step S204 The core network device receives the identifier of the UE sent by the base station and/or the target data that is processed by the NAS security.
  • the core network device MME may receive the identifier of the UE and the target data processed by the NAS in step S203 through the S1 interface.
  • the MME before the core network device MME receives the security request information of the user equipment UE sent by the base station, the MME initiates a security mode command to the UE and determines the NAS security parameter information, and the MME always saves after the negotiation determines. There is security parameter information determined by the UE (including the case where the security parameter is changed). Therefore, the MME performs NAS solution security processing on the target data by using the relevant NAS security parameter information, and obtains the data that is safely processed.
  • Step S205 The core network device sends security response information to the base station, where the security response information includes security parameter information of the UE and/or target data of security solution processing.
  • the core network device MME may send the security response information to the base station, for example, may be carried in an S1-AP downlink signaling, such as a Downlink NAS Transport or an Initial Context Setup Request.
  • the security response information correspondingly includes security parameter information of the UE and/or target data of the security solution processing.
  • the identifier information of the UE may be identifier information such as S-TMSI, eNB UE S1AP ID, MME UE S1AP IP, IMSI, and the like.
  • the security response information returned by the MME may only include security parameter information that matches the identifier of the UE; when the security request information includes target data that is processed by the NAS security, The security response information returned by the MME includes target data for performing security solution processing on the target data processed by the NAS through the security parameter information, and may also include security parameter information matching the identifier of the UE; when the security request information is included in the security request information
  • the security response information returned by the MME may include the target of performing security solution processing on the target data processed by the NAS through the security parameter information, and may include the target data of the UE and the security data processed by the NAS. Contains security parameter information that matches the identity of the UE.
  • the security response information returned by the MME includes security parameter information that matches the identifier of the UE.
  • the security parameter information may include a NAS security parameter, where the NAS security parameter includes a NAS encryption key or a related parameter for generating a key, and NAS encryption algorithm, and/or NAS integrity protection key or related parameters for generating keys and NAS integrity protection algorithm.
  • the core network device sends the target data of the security solution processing of the UE to the base station, where the target data of the security solution processing is the target data of the security solution processing, and the specific information may include the security parameter information through the NAS.
  • the core network device may further send a NAS security parameter information change indication to the base station, where the specific content of the change indication may include the changed
  • the NAS security parameter information, and the changed NAS security parameter information may be that when the UE and/or the core network device detects that the NAS security parameter information used between the current UE and the MME is changed, the MME re-initiates and performs key agreement with the UE. , thereby determining the changed NAS security parameter information.
  • the base station may further use the security parameter information for encryption and integrity protection of the subsequent air interface signaling, and encryption of the data.
  • the key may be derived as a process for generating a related key with the UE or the MME, or a security procedure for other access layer ASs, and the like.
  • the base station uses the NAS security parameter information sent by the core, uses the relevant algorithm to derive the AS key, and the UE performs the same operation, and performs AS security operations using an algorithm known to both the UE and the base station.
  • Step S206 The base station receives the security response information returned by the core network device, where the security response information includes security parameter information of the UE and/or target data of the security solution processing.
  • the base station may perform security solution processing on the target data that has been processed by the NAS through the received security parameter information of the UE, thereby successfully reading the reported by the UE.
  • the base station receives the security response information returned by the core network device by using the downlink S1 message.
  • the downlink S1 message may be an initial context setup request such as an initial context setup request, and a downlink NAS transport such as DL NAS Transport.
  • the base station after receiving the security response information returned by the core network device, the base station receives the NAS security parameter information change notification sent by the UE and/or the core network device, so that the base station can obtain the latest and effective information. Safety parameter information.
  • the base station receives the security-processed target data sent by the UE, and receives the security-related information sent by the UE; when the base station determines the When the security-related information is inconsistent with the security-related information stored locally by the base station, the step of transmitting the security request information of the UE to the core network device is performed.
  • the security-related information is a judgment basis information that can be used by the base station to compare the security parameter information stored by the base station. The specific content is not specifically limited in the present invention.
  • the security response information includes the security parameter information of the UE
  • the base station receives the security response information returned by the core network device, where the base station receives the updated non-returned by the core network device.
  • the access layer NAS security parameter information; or the base station receives the updated access layer AS security parameter information returned by the core network device, and initiates security negotiation to the UE based on the updated AS security parameter information.
  • the present invention also provides a solution to the problem of changing the key, that is, the base station can receive the security related information sent by the user equipment UE; when the base station determines that the security related information is related to the security of the locally saved UE. When the information is inconsistent, the base station determines that the change of the security parameter information is required. After the base station determines that the security parameter information needs to be changed, the base station initiates the security parameter information re-acquisition process of the UE. Re-initiating security negotiation to the UE and determining the changed access layer AS security parameter information, so that the UE storage and/or the core network device uses the changed AS security parameter information for security processing; or the base station obtains the updated non-core device from the core network device.
  • Access layer NAS security parameter information or the base station obtains updated AS security parameter information from the core network device, and initiates security negotiation with the UE based on the updated AS security parameter information, so that the UE storage and/or the core network utilizes the changed AS security parameter information is used for AS security processing. That is, the base station can initiate the security request information after receiving the target data processed by the security, and can also prepare for the secure transmission of the data in advance when the target data is not received, that is, only the relevant security information sent by the UE is received, thereby The process of re-acquiring the subsequent security parameter information is triggered to ensure the validity of the security parameter information.
  • the embodiment of the present invention mainly solves the technical problem of how to securely transmit target data to a base station, that is, the base station initiates a security solution target data to the core network device after receiving the target data that is processed by the UE through the NAS security processing. Relevant security request information, then receive the core network device to return relevant security parameter information, or directly solve the target data, and securely protect the target data in the air interface.
  • FIG. 3 is a schematic flowchart of another security processing method in an embodiment of the present invention. The detailed description will be made below from the interaction side of the UE, the base station, and the core network device with reference to FIG. As shown in FIG. 3, the method may include the following steps S301-S306.
  • Step S301 The UE sends the target data that is processed by the AS security to the base station.
  • the UE sends the securely processed target data to the base station by using the uplink RRC signaling or the uplink MAC layer signaling.
  • the target data that is safely processed may be target data that is securely encrypted by the access layer AS, or target data that is protected by AS integrity, or target data that is protected by AS encryption and AS integrity.
  • the UE before the UE sends the target data processed by the AS to the base station, the UE performs AS security processing on the target data by using the AS security parameter information, where the AS security parameter information is that the UE and the base station have performed the key.
  • the AS security parameter information negotiated and determined or the AS security parameter information already stored in the UE.
  • the AS security parameter information includes an AS encryption key or a related parameter for generating a key, and an AS encryption algorithm, and/or an AS. Integrity protects the key or related parameters that generate the key and the AS integrity protection algorithm.
  • the UE and the base station save the AS security parameters negotiated and determined by the UE and the base station in the previous connection, and after the base station receives the target data processed by the AS security, perform the security processing operation on the base station. And then obtain the target data.
  • the UE when the UE is connected to the base station again, the UE sends the AS security parameter information saved by the UE to the base station through uplink signaling, such as RRC Connection Rusume, and the base station compares it with the AS security information saved by itself. , to determine whether there is a change, if there is a change. Then, the security request information is sent to the MME, and the security response information sent by the MME to the base station is obtained. Further, the SMC process of the AS, that is, the security negotiation process, may be triggered by obtaining relevant security parameters in the response information.
  • uplink signaling such as RRC Connection Rusume
  • the UE when the UE is connected to the base station again, the UE sends the data that has been subjected to the security processing to the base station. If the base station cannot use the saved security information to perform the de-processing, the security information is changed, and the security request is sent to the MME. Information, and obtain security response information sent by the MME to the base station. Further, the relevant security parameters in the response information can be obtained, and the SMC process of the AS, that is, the security negotiation process, is started.
  • the UE further sends an AS security parameter information change notification to the base station, where the change notification may re-key the key when the UE and/or the core network device finds that the currently used AS security parameter information is changed.
  • the AS security parameter information after the change is determined.
  • the AS security parameter information changes, and the UE or MME sends an AS security parameter information change indication to the base. station.
  • the base station MME sends the security request information, and obtains the security response information that the MME sends to the base station.
  • the SMC process of the AS that is, the security negotiation process, may be triggered by obtaining relevant security parameters in the response information.
  • the indication message may be an AS-related security parameter
  • the base station uses the related message to perform the SMC process of the AS, that is, the security negotiation process.
  • the base station re-initiates the AS SMC process and renegotiates the AS security parameter information.
  • the foregoing method applies to the UE and the base station to save the AS security parameters, and the UE and the MME save the AS security parameters.
  • the UE and the MME save the AS security parameter information in the previous connection.
  • the UE uses the updated AS security parameter information for encryption or integrity protection.
  • the MME indicates that the base station AS security parameter information has changed, and notifies the updated security parameter information to the base station.
  • the base station can obtain a new key by using the security parameter information sent by the MME, or obtain the key directly from the security information sent by the MME.
  • the base station obtains the AS security negotiation again from the MME.
  • the AS security negotiation process is re-initiated to the UE by using the relevant security parameters or using the related security information that has been saved.
  • the base station After the UE sends the security-processed access layer AS target data to the base station, after the UE establishes a connection with the base station, the base station knows the UE and the core network device by using an indication message. When the AS security parameter information is not saved, the base station initiates key negotiation to the UE and determines the AS security parameter information to be used, so that the UE stores the AS security parameter information, and uses the AS security parameter information to The target data sent by the base station is processed securely.
  • the base station when the UE releases the connection with the base station, the base station sends the AS security parameter information to the core network device for storage, so that the next time the base station needs to use the related AS security parameter information to perform the data security process,
  • the acquisition is directly performed to the core network device, so that it is not necessary to waste air interface resources, thereby reducing the air interface power consumption of the UE (generally non-plugged).
  • the security parameter information sent by the base station to the core network device may be carried by the uplink S1-AP signaling, such as the UE Context Release Complete, the S1-AP UE Deactivate Context Ack, and the DL NAS Transport.
  • the base station after the base station sends the AS security parameter information to the core network device for storage, the base station re-initiates key negotiation and determines the changed AS security parameter information when receiving the AS security parameter information change indication.
  • the security parameter information change indication is when the UE and/or the core network device finds that the AS security parameter information is changed, so that the UE stores and uses the changed AS security parameter information to perform security processing.
  • a change indication sent by the base station Further, the negotiated updated AS security parameter information is sent to the core network device for storage. Further, the changed AS security parameter information is sent to the core network device for storage by using the sent security request information, such as UE Context Release Complete, S1-AP UE Deactivate Context Ack, DL NAS Transport, and the like.
  • the target data is a measurement report
  • the UE encapsulates the measurement report or the positioning information in the NAS PDU and carries the uplink RRC signaling, such as RRC Connection Setup Complete, UE Location Information, Measurement Report, etc., and use NAS security for security processing.
  • the NAS PDU containing the measurement report or the positioning information is forwarded to the core network through S1-AP signaling, such as Initial UE Message, UL NAS Transport, and the like.
  • S1-AP signaling such as Initial UE Message, UL NAS Transport, and the like.
  • the core network performs security processing and obtains measurement report or positioning information, and transmits it to the base station through downlink S1 signaling, such as initial context setup request, DL NAS Transport, and the like.
  • the above mentioned signaling is not limited.
  • the AS security parameter information can be piggybacked in the DL NAS transfer of the S1 port.
  • the piggyback can be carried in the DL direct transmission message through the AS SMC signaling.
  • the response message can be confirmed in the UL direct transmission message without special signaling, which saves power consumption.
  • Step S302 The base station receives the target data that is processed by the user equipment UE and is processed by the AS security.
  • the base station receives the security-processed target data that is sent by the UE by using the uplink RRC signaling or the uplink MAC layer signaling in step S301.
  • Step S303 The base station sends the identifier of the UE and/or the target data processed by the AS security to the core network device.
  • the base station may send the identifier and/or the UE of the UE to the core network device through the S1 interface and through the Initial UE Message, or other uplink signaling of the S1 interface, such as a UL transmission message.
  • Target data for AS security processing In the prior art, the base station (eNB) can directly extract the measurement report after receiving the target data, such as the measurement report, because the security parameter information used for the AS security solution processing target data is negotiated between the UE and the base station. Therefore, the base station can directly solve the security parameter information obtained by the UE and the base station, but the difference between the method and the base station is that the security parameter information determined by the negotiation between the UE and the base station is determined.
  • the MME obtains the valid security parameter information that has been stored, and the effective security parameter information that the UE has saved. That is, the secure transmission between the UE and the base station can be completed, and the air interface power consumption between the UE and the base station is saved.
  • the content of the security request information may be an identifier for identifying the UE, and the identifier may be used by the MME to find the security parameter information that matches the identifier, and it is also understood that the MME may directly read the information.
  • the target data of the AS security processing is directly sent to the MME, and the MME performs security solution processing, and then returns the target data of the security solution processing to the base station, or returns the two to the base station.
  • the identifier information of the UE may be identifier information such as S-TMSI, eNB UE S1AP ID, MME UE S1AP IP, IMSI, and the like. In short, as long as the base station can finally read out the safely processed target data.
  • the security parameter information of the AS is saved by the UE and the MME.
  • the UE connects to the base station again, the UE sends the target data processed by the AS through the RRC ConnectionComplete to the base station. After receiving the data, the base station receives the data. Sending an initial UE message to the MME. After receiving the message, the MME sends the AS security information to the base station through a downlink S1 signaling. After receiving the message, the base station uses the received security information to receive the received AS security. The processed data is safely processed and the target data is obtained.
  • the above mentioned signaling is only an example and is not limited.
  • the base station if the base station obtains the AS security parameter information from the MME by using downlink signaling before transmitting the security processing data, the base station saves, when there is uplink encryption. When the data arrives, it can be used for security processing. When there is downlink data arriving, AS security processing can be performed.
  • the UE will target data (such as measurement report, positioning information, etc.) It is carried in the MAC CE in the uplink signaling and sent to the base station. After receiving the data, the base station can obtain the target data. Optionally, related operations such as encrypting the target data by using the message ID in the RRC signaling may also be used.
  • target data such as measurement report, positioning information, etc.
  • the base station After receiving the data, the base station can obtain the target data.
  • related operations such as encrypting the target data by using the message ID in the RRC signaling may also be used.
  • the core network device receives the AS security parameter information of the UE sent by the base station before sending the security response information to the base station, where the AS security parameter information is that after the UE establishes a connection with the base station, the base station.
  • the base station initiates key negotiation with the UE and determines AS security parameter information. That is, during the first negotiation, the UE and the MME do not store the AS security parameter information. Therefore, after the first security negotiation, the valid AS security parameter information can be sent to the MME for storage.
  • Step S304 The core network device receives the identifier of the UE sent by the base station and/or the target data processed by the AS security.
  • the core network device MME may receive, by using the S1 interface, the identifier of the UE that is sent by the base station in step S303 and/or the target data that is processed by the AS security.
  • Step S305 The core network device sends security response information to the base station, where the security response information includes security parameter information of the UE and/or target data of security solution processing.
  • the AS security parameter may include an AS encryption key or a related parameter for generating a key, and an AS encryption algorithm, and/or Or AS integrity protection key or related parameters for generating keys and AS integrity protection algorithm.
  • the security response information sent by the core network device to the base station includes target data for AS security decryption of the target data processed by the AS through the AS security parameter information, or target data of the AS integrity check. , or AS security decryption and AS integrity check target data.
  • the core network device receives and stores the AS security parameter information of the UE or the changed AS security parameter information that is carried by the base station by using the security request information.
  • the base station may be carried by the RRC Connection Setup Complete, or the other uplink RRC signaling sends the AS security parameter information or the changed AS security parameter information to the core network device.
  • the change indication sent to the base station is performed, so that the base station re-initiates the security negotiation process to the UE, thereby Generate valid security parameter information after the change.
  • the base station receives the AS security parameter of the UE returned by the core network device, where the AS security parameter may include an AS encryption key or a related parameter for generating a key, and an AS encryption algorithm, and/or the AS completes.
  • the AS security parameter may include an AS encryption key or a related parameter for generating a key, and an AS encryption algorithm, and/or the AS completes.
  • Sexual protection keys or related parameters that generate keys and AS integrity protection algorithms.
  • the AS security parameters may be derived through a certain algorithm by using the generated NAS security parameters in the method step.
  • the information is stored on the UE and the MME side, and the encryption algorithm and protection algorithm for the air interface security of the base station and the UE may be a NAS algorithm, or may be a newly set algorithm for CIOT. If the NAS algorithm is used, the initial connection is established. It is not necessary to perform the AS SMC process. If other algorithms can negotiate through the NAS SMC process, they can also negotiate through the AS SMC.
  • the beneficial effects of the method steps are as follows: the present embodiment does not need to generate two keys separately, and the AS security parameter information saving signaling and power consumption can be derived through the generated NAS security parameter information.
  • Step S306 The base station receives security response information returned by the core network device, where the security response information includes security parameter information of the UE and/or target data of security solution processing.
  • the base station may perform security solution processing on the security-processed target data by using the received security parameter information of the UE, thereby successfully reading the target reported by the UE.
  • the data may be received by the base station directly by the base station to receive the AS target data that has been safely processed by the core network device, or may be received by the base station, and may be flexibly set. The present invention does not specifically limit this.
  • the base station receives the security response information returned by the core network device by using the downlink S1 message.
  • the base station may further receive the security parameter information change indication sent by the UE, or receive the security parameter information change indication sent by the core network.
  • the base station initiates a security parameter information re-acquisition process of the UE.
  • the security negotiation may be re-initiated to the UE and the changed AS security parameter information is determined; or the base station acquires updated NAS security parameter information from the core network device; or the base station obtains updated AS security parameter information from the core network device, and is updated based on the AS security parameter information, initiates security negotiation to the UE.
  • the execution of the method steps may be such that the user base station can passively receive the security parameter information change indication actively sent by the UE or the core network, in addition to actively requesting the security parameter information, thereby ensuring that the UE performs data transmission with the base station. It can guarantee the validity of the safety parameter information.
  • the embodiment of the present invention mainly solves the technical problem of how to reduce the overhead or power consumption of the air interface signaling while transmitting the target data to the base station, that is, after the initial connection, after the UE establishes a connection with the base station, Perform AS security protection in the prior art.
  • the base station sends the AS security related security parameter information used by the base station to the core network device for storage.
  • the base station When the connection is established again and the target data needs to be sent by the UE, the base station The core network device initiates the related security request information of the security target data that has been stored before, and then receives the relevant security parameter information from the core network device, or directly solves the target data, so as to prevent the base station and the UE from negotiating the security parameter information process through the AS SMC. Not only realizes the security protection of AS, but also saves power consumption.
  • the present invention also provides related base stations and user equipments for implementing the foregoing method embodiments.
  • the following is a detailed description of the related base station, core network device, and user equipment provided by the present invention shown in FIG. 4, FIG. 5, FIG. 6, and FIG.
  • FIG. 4 is a base station 10 according to an embodiment of the present invention.
  • the base station 10 includes an input unit 101, an output unit 102, a storage unit 103, and a processing unit 104.
  • the input is performed.
  • the unit 101, the storage unit 103, and the processing unit 104 may be connected by a bus or other means, wherein the bus connection is taken as an example in FIG.
  • the processing unit 104 calls the program code in the storage unit 103 to perform the following operations:
  • the security response information returned by the core network device is received by the input unit 101, and the security response information includes security parameter information of the UE and/or target data of a security solution process.
  • the processing unit 104 is configured to receive, by using the input unit 101, the security-processed target data sent by the UE, and receive, by using the input unit 101, the UE to send Safety related information;
  • the step of transmitting the security request information of the UE to the core network device by using the output unit 102 is performed.
  • the processing unit 104 is configured to: when the security response information includes the security parameter information of the UE, receive the security response information returned by the core network device by using the input unit 101, specifically:
  • the updated access layer AS security parameter information returned by the core network device is received by the input unit 101, and security negotiation is initiated to the UE based on the updated AS security parameter information.
  • the processing unit 104 receives the security-processed target data sent by the user equipment UE by using the input unit 101, including:
  • the securely processed target data that is sent by the UE by using the uplink NAS signaling or the uplink RRC signaling or the uplink MAC layer signaling is received by the input unit 101.
  • the securely processed target data includes target data securely encrypted by the non-access stratum NAS, or target data protected by NAS integrity, or target data protected by NAS encryption and NAS integrity; or
  • the securely processed target data includes target data securely encrypted by the access layer AS, or target data protected by AS integrity, or target data protected by AS encryption and AS integrity.
  • the processing unit 104 sends the security request information of the UE to the core network device by using the output unit 102, including:
  • the security request information of the UE is sent to the core network device by using the uplink S1 message by the output unit 102.
  • the processing unit 104 sends the security request information of the UE to the core network device by using the output unit 102, including:
  • the identifier of the UE and/or the target data processed by the AS security is transmitted to the core network device by the output unit 102.
  • the processing unit 104 is further configured to:
  • the input unit 101 After receiving the security response information returned by the core network device, the input unit 101 performs security solution processing on the security-processed target data according to the security parameter information in the security response information.
  • the processing unit 104 receives the security response information returned by the core network device by using the input unit 101, including:
  • the security response information returned by the core network device through the downlink S1 message is received by the output unit 102.
  • the processing unit 104 receives the security parameter information in the security response information returned by the core network device by using the input unit 101, including:
  • NAS security parameter includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or NAS integrity.
  • NAS security parameter includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or NAS integrity.
  • an AS security parameter of the UE returned by the core network device receives, by the input unit 101, an AS security parameter of the UE returned by the core network device, where the AS security parameter includes an AS encryption key or a related parameter for generating a key, an AS encryption algorithm, and/or an AS integrity. Protection key or key related parameters and AS integrity protection algorithm.
  • the processing unit 104 receives the target data of the security solution processing in the security response information returned by the core network device by using the input unit 101, including:
  • Target data for performing AS security decryption on the AS security-processed target data returned by the core network device or target data of AS integrity check, or AS security decryption and AS integrity Target data for sexual verification.
  • the base station performs security solution processing on the security-processed target data according to the security parameter information in the security response information, including:
  • AS security decryption, or AS integrity check, or AS security decryption and AS integrity check on the AS security-processed target data based on the AS security parameter information returned by the core network device.
  • the processing unit 104 is further configured to: when the input unit 101 receives the security-processed target data sent by the user equipment UE, when the UE releases the connection with the base station, The security parameter information is sent to the core network device for storage by the output unit 102; or
  • the security request information sent by the output unit 102 or the interface signaling between the base station and the core network device is sent to the core network device for storage.
  • the processing unit 104 is further configured to: after receiving, by the input unit 101, the security processed target data sent by the user equipment UE, receiving, by using the input unit 101, the security parameter information sent by the UE Indication; or
  • the security parameter information change indication sent by the core network is received by the input unit 101.
  • the processing unit 104 is further configured to: after the receiving the security parameter information change indication by the input unit 101, initiate the security parameter information re-acquisition process of the UE by using the output unit 102.
  • the processing unit 104 is configured to initiate, by using the output unit 102, a security parameter information re-acquisition process of the UE, specifically:
  • the updated AS security parameter information is obtained from the core network device by the input unit 101, and the security negotiation is initiated to the UE based on the updated AS security parameter information.
  • FIG. 5 is a schematic structural diagram of a base station 20 according to an embodiment of the present invention
  • the base station 20 may include an input unit 201, an output unit 202, a storage unit 203, and a processing unit 204 (the processing unit 204 may be one or more, FIG. 5 Taking a processing unit as an example, the input unit 201, the output unit 202, the storage unit 203, and the processing unit 204 are respectively connected to the bus 205, wherein the storage unit 203 stores a set of securely processed program codes, and the processing unit 204 is used.
  • the program code of the secure processing stored in the storage unit 203 is called to perform the following operations:
  • the base station determines that the change of the security parameter information is required.
  • the processing unit 204 is further configured to: after the determining that the security parameter information needs to be changed, initiate the security parameter information re-acquisition process of the UE by using the output unit 202.
  • the processing unit 204 is configured to initiate, by using the output unit 202, a security parameter information re-acquisition process of the UE, specifically:
  • FIG. 6 is a core network device 30 according to an embodiment of the present invention.
  • the core network device 30 includes an input unit 301, an output unit 302, a storage unit 303, and a processing unit 304.
  • the input unit 301, the storage unit 303, and the processing unit 304 may be connected by a bus or other means, wherein the bus connection is taken as an example in FIG.
  • the processing unit 304 The program code in the storage unit 303 is called to perform the following operations:
  • the security response information is sent to the base station by the output unit 302, and the security response information includes security parameter information of the UE and/or target data of the security solution processing.
  • the processing unit 304 is configured to receive the security request information of the user equipment UE that is sent by the base station by using the input unit 301, and includes:
  • the identifier of the UE sent by the base station and/or the target data that is securely processed by the access layer AS is received by the input unit 301.
  • the processing unit 304 is configured to send, by using the output unit 302, the core network device, the security parameter information in the security response information to the base station, including:
  • the NAS security parameter of the UE Transmitting, by the output unit 302, the NAS security parameter of the UE to the base station, where the NAS security parameter includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or a NAS integrity protection key. Or generate key related parameters and NAS integrity protection algorithms; or
  • the AS security parameter of the UE Sending, by the output unit 302, the AS security parameter of the UE to the base station, where the AS security parameter includes an AS encryption key or a related parameter for generating a key, an AS encryption algorithm, and/or an AS integrity protection key. Or generate related parameters of the key and AS integrity protection algorithm.
  • the processing unit 304 is configured to send, by using the output unit 302, the core network device, the target data of the security solution processing in the security response information to the base station, including:
  • processing unit 304 is further configured to:
  • the sending unit 302 sends a NAS security parameter information change indication to the base station, where the change indication is the changed NAS security parameter information determined by the UE and/or the core network device after performing security negotiation again.
  • processing unit 304 is further configured to:
  • the base station Receiving, by the input unit 301, the AS security parameter information of the UE that is sent by the base station, where the AS security parameter information is that after the UE establishes a connection with the base station, the base station initiates a security negotiation to the UE. And determine the AS security parameter information; or
  • processing unit 304 is further configured to:
  • the output unit 302 sends a security parameter information change indication to the base station.
  • FIG. 7 is a user equipment UE40 according to an embodiment of the present invention.
  • the UE 40 may include an input unit 401, an output unit 402, a storage unit 403, and a processing unit 404, in some embodiments of the present invention.
  • the bus is used to implement the communication connection between the components.
  • the input unit 401 can be a touch panel of the terminal, and includes a touch screen and a touch screen for detecting an operation instruction on the touch panel of the terminal.
  • the output unit 402 can include The display unit of the terminal; the storage unit 403 may be a high-speed RAM display, or may be a non-volatile memory, such as at least one disk display, and the storage unit 403 may optionally be at least one located away from The display device of the aforementioned processing unit 404. As shown in FIG. 7, an operating system, a network communication module, a user interface module, and a data processing program may be included in the storage unit 403 as a computer display medium.
  • the processing unit 404 of the UE in FIG. 7 invokes the program code in the storage unit 403 for performing the following operations:
  • the target data processed by the NAS security data includes target data securely encrypted by the NAS, or target data protected by NAS integrity, or target data protected by NAS encryption and NAS integrity; or
  • the target data securely processed by the access layer AS is sent to the base station by the output unit 402, and the target data processed by the AS security includes target data that is securely encrypted by the AS, or target data protected by the AS integrity, or AS encryption. And target data for AS integrity protection.
  • the processing unit 404 is configured to send the target data that is processed by the NAS to the base station by using the output unit 402, specifically:
  • the target data that is processed by the NAS security is transmitted to the base station by the output unit 402 through uplink NAS signaling or uplink RRC signaling or uplink MAC layer signaling.
  • the processing unit 404 is configured to send the target data that is processed by the AS security to the base station by using the output unit 402, including:
  • the UE sends the target data that is processed by the AS security to the base station by using the uplink RRC signaling or the uplink MAC layer signaling.
  • processing unit 404 is further configured to:
  • the NAS security information is used to perform NAS security processing on the target data, where the NAS security parameter information is that the UE and the core network device have been secured.
  • the NAS security parameter information includes a NAS encryption key or a related parameter for generating a key, and a NAS encryption algorithm, and/or a NAS integrity protection key or a key generation related parameter and a NAS Integrity protection algorithm.
  • processing unit 404 is further configured to:
  • the AS security parameter information is used to perform AS security processing on the target data, where the AS security parameter information is that the UE and the base station have performed AS security parameter information negotiated and determined by security or AS security parameter information already stored in the UE, the AS security parameter information including an AS encryption key or a related parameter for generating a key, and an AS encryption algorithm, and/or an AS Integrity protects the key or related parameters that generate the key and the AS integrity protection algorithm.
  • processing unit 404 is further configured to:
  • the output unit 402 And transmitting, by the output unit 402, the NAS security parameter information change indication to the base station, where the change indication is the changed NAS security parameter information determined by the UE and/or the core network device after performing security negotiation again.
  • processing unit 404 is further configured to:
  • the output unit 402 sends an AS security parameter information change indication to the base station, where the change indication is the changed AS security parameter information determined by the UE and/or the core network device after performing security negotiation again.
  • the processor may be an integrated circuit chip with signal processing capabilities.
  • each step of the foregoing method embodiment may be completed by an integrated logic circuit of hardware in a processor or an instruction in a form of software.
  • the processor may be a general-purpose processor, a digital signal processor (DSP), an application specific integrated circuit (ASIC), a Field Programmable Gate Array (FPGA), or the like. Programming logic devices, discrete gates or transistor logic devices, discrete hardware components.
  • the methods, steps, and schematic diagrams disclosed in the embodiments of the present invention may be implemented or executed.
  • the general purpose processor may be a microprocessor or the processor or any conventional processor or the like.
  • the steps of the method disclosed in the embodiments of the present invention may be directly implemented by the hardware decoding processor, or may be performed by a combination of hardware and software modules in the decoding processor.
  • the software module can be located in a conventional storage medium such as random access memory, flash memory, read only memory, programmable read only memory or electrically erasable programmable memory, registers, and the like.
  • the storage medium is located in the memory, and the processor reads the information in the memory and combines the hardware to complete the steps of the above method.
  • the memory in the embodiments of the present invention may be a volatile memory or a non-volatile memory, or may include both volatile and non-volatile memory.
  • the non-volatile memory may be a read-only memory (ROM), a programmable read only memory (PROM), an erasable programmable read only memory (Erasable PROM, EPROM), or an electric Erase programmable read only memory (EEPROM) or flash memory.
  • the volatile memory can be a Random Access Memory (RAM) that acts as an external cache.
  • RAM Random Access Memory
  • many forms of RAM are available, such as static random access memory (SRAM), dynamic random access memory (DRAM), synchronous dynamic random access memory (Synchronous DRAM).
  • SDRAM Double Data Rate SDRAM
  • DDR SDRAM Double Data Rate SDRAM
  • ESDRAM Enhanced Synchronous Dynamic Random Access Memory
  • SLDRAM Synchronous Connection Dynamic Random Access Memory
  • DR RAM direct memory bus random access memory
  • the disclosed systems, devices, and methods may be implemented in other manners.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be in an electrical, mechanical or other form.
  • the units described as separate components may or may not be physically separated, and the components displayed as units may or may not be physical units, that is, may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the purpose of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit. in.
  • the functions may be stored in a computer readable storage medium if implemented in the form of a software functional unit and sold or used as a standalone product.
  • the technical solution of the present invention which is essential or contributes to the prior art, or a part of the technical solution, may be embodied in the form of a software product, which is stored in a storage medium, including
  • the instructions are used to cause a computer device (which may be a personal computer, server, or network device, etc.) to perform all or part of the steps of the methods described in various embodiments of the present invention.
  • the foregoing storage medium includes: a U disk, a mobile hard disk, a read-only memory (ROM), a random access memory (RAM), a magnetic disk, or an optical disk, and the like, which can store program codes. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种安全处理方法及相关设备，其中的方法可包括：基站接收用户设备UE发送的经过安全处理的目标数据；所述基站向核心网设备发送所述UE的安全请求信息；所述基站接收所述核心网设备返回的安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。采用本发明可在UE与基站之间进行数据传输时，不仅可以保证数据的安全性，同时又保证低功耗性。

Description

一种安全处理方法及相关设备 技术领域
本发明实施例涉及通信领域，并且更具体地，涉及一种安全处理方法及相关设备。
背景技术
随着无线通信技术的快速发展，人们早已不能满足于仅限于人与人之间的通信，因此，物联网(Internet of Things，IoT)技术应运而生，并且其市场需求增长迅猛。其中，IoT中的机器通信(Machine-to-Machine，M2M)，是指机器与机器之间通过无线网络互相传递信息和数据的简称，是IoT发展的重要方向。
M2M设备多是比较小巧、电池供电的系统，如智能抄表系统，需要对水、电煤气等使用情况进行周期性监测并上报，并且智能抄表型业务一般主要是小数据包上报业务，传输数据量小、业务周期特性明显、低功耗和终端数量大。针对此类业务现在主要有两种传输方案，一种是控制面(Control Plane，CP)传输方案，另外一种是用户面(User Plane，UP)传输方案。例如，在使用基于CP传输方案时，数据是在RRC Connection Setup Complete信令中的非接入层(Non-Access Stratum，NAS)数据包(如NAS PDU信元)上携带并进行发送的，而不需要额外利用空口建立承载来传输数据，因此也没有空口相关的安全处理过程，即不需要进行数据接入层(Access Stratum，AS)的安全操作。
然而，例如，现有的RRC信令中，在RRC连接建立完成后传输的信令和数据都是有接入层(Access Stratum，AS)安全保护的。但是，在CP传输方案中，由于没有进行AS的安全操作，尤其是测量上报之类的信令，对于用户来说会存在一定的安全风险，但是如果仅仅为了RRC信令的安全需求，在用户(User Equipment，UE)和演进型基站(evolved Node B，eNB)间进行AS安全协议，在空口增加安全信令，就会导致终端更耗电。因此，怎样保障UE在传输数据 的过程中，不过多消耗空口信令的同时，又可以保证传输数据的安全性，是当前亟待解决的问题。
发明内容
本发明实施例所要解决的技术问题在于，提供一种安全处理方法及相关设备，解决了现有技术中，用户设备与基站之间传输数据时不能兼顾安全性和低功耗性的技术问题。
第一方面，本发明实施例提供一种安全处理方法，该方法可包括：
基站接收用户设备UE发送的经过安全处理的目标数据；
所述基站向核心网设备发送所述UE的安全请求信息；
所述基站接收所述核心网设备返回的安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
通过本实发明实施例，主要解决了如何安全的传输目标数据给基站的技术问题，即基站通过在接收到UE发送的经过安全处理的目标数据后，向核心网设备发起安全解目标数据的相关安全请求信息，再接收核心网设备返回相关安全参数信息，或者直接解出目标数据，在空口对目标数据进行了安全保护且没有增加空口信令的消耗。
结合第一方面，在第一方面的第一种可能的实现方式中，所述基站接收所述UE发送的经过安全处理的目标数据的同时，接收所述UE发送的安全相关信息；
当所述基站判断出所述安全相关信息与所述基站本地保存的安全相关信息不一致时，执行所述向核心网设备发送所述UE的安全请求信息的步骤。
结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，当所述安全响应信息包括所述UE的安全参数信息时，所述基站接收所述核心网设备返回的安全响应信息，包括：
所述基站接收所述核心网设备返回的更新的接入层AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
结合第一方面，在第一方面的第三种可能的实现方式中，所述基站接收用户设备UE发送的经过安全处理的目标数据，包括：
所述基站接收所述UE通过上行NAS信令或者上行RRC信令或者上行MAC层信令发送的经过安全处理的目标数据。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，在第一方面的第四种可能的实现方式中，所述经过安全处理的目标数据包括经过非接入层NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
所述经过安全处理的目标数据包括经过接入层AS安全加密的目标数据，或经过AS完整性保护的目标数据，或经过AS加密和AS完整性保护的目标数据。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，在第一方面的第五种可能的实现方式中，所述基站向核心网设备发送所述UE的安全请求信息，包括：
所述基站通过上行S1消息向核心网设备发送所述UE的安全请求信息。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，或者第一方面的第五种可能的实现方式，在第一方面的第六种可能的实现方式中，所述基站向核心网设备发送所述UE的安全请求信息，包括：
所述基站向核心网设备发送所述UE的标识和/或所述经过NAS安全处理的目标数据；或者
所述基站向核心网设备发送所述UE的标识和/或所述经过AS安全处理的目标数据。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，或者第一方面的第五种可能的实现方式，或者第一方面的第六种可能的实现方式，在第一方面的第七种可能的实现方式中，当所述安全响应信息包括所述UE的安全参数信息时，所述基站接收所述核心网 设备返回的安全响应信息之后，还包括：
所述基站根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，或者第一方面的第五种可能的实现方式，或者第一方面的第六种可能的实现方式，或者第一方面的第七种可能的实现方式，在第一方面的第八种可能的实现方式中，所述基站接收所述核心网设备返回的安全响应信息，包括：
所述基站接收所述核心网设备通过下行S1消息返回的安全响应信息。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，或者第一方面的第五种可能的实现方式，或者第一方面的第六种可能的实现方式，或者第一方面的第七种可能的实现方式，或者第一方面的第八种可能的实现方式，在第一方面的第九种可能的实现方式中，所述基站接收所述核心网设备返回的安全响应信息中的安全参数信息，包括：
所述基站接收所述核心网设备返回的所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
所述基站接收所述核心网设备返回的所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，或者第一方面的第五种可能的实现方式，或者第一方面的第六种可能的实现方式，或者第一方面的第七种可能的实现方式，或者第一方面的第八种可能的实现方式，或者第一方面的第九种可能的实现方式，在第一方面的第十种可能的实现方式中，所述基站接收所述核心网设备返回的 安全响应信息中的安全解处理的目标数据，包括：
所述基站接收所述核心网设备返回的对所述经过NAS安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
所述基站接收所述核心网设备返回的对所述经过AS安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，或者第一方面的第五种可能的实现方式，或者第一方面的第六种可能的实现方式，或者第一方面的第七种可能的实现方式，或者第一方面的第八种可能的实现方式，或者第一方面的第九种可能的实现方式，或者第一方面的第十种可能的实现方式，在第一方面的第十一种可能的实现方式中，所述基站根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理，包括：
所述基站基于所述核心网设备返回的NAS安全参数信息对所述经过NAS安全处理的目标数据进行NAS安全解密，或NAS完整性校验，或NAS安全解密和NAS完整性校验；或者
所述基站基于所述核心网设备返回的AS安全参数信息对所述经过AS安全处理的目标数据进行AS安全解密，或AS完整性校验，或AS安全解密和AS完整性校验。
结合第一方面，或者第一方面的第一种可能的实现方式，或者第一方面的第二种可能的实现方式，或者第一方面的第三种可能的实现方式，或者第一方面的第四种可能的实现方式，或者第一方面的第五种可能的实现方式，或者第一方面的第六种可能的实现方式，或者第一方面的第七种可能的实现方式，或者第一方面的第八种可能的实现方式，或者第一方面的第九种可能的实现方式，或者第一方面的第十种可能的实现方式，或者第一方面的第十一种可能的实现方式，在第一方面的第十二种可能的实现方式中，所述基站接收用户设备UE发送的经过安全处理的目标数据之前，包括：
当所述UE与所述基站释放连接时，所述基站将所述AS安全参数信息发送给所述核心网设备进行存储；或者
所述基站将更新后的AS安全参数信息通过发送的安全请求信息，或者基站与核心网设备之间的接口信令发送给所述核心网设备进行存储。
结合第一方面的第十二种可能的实现方式，在第一方面的第十三种可能的实现方式中，基站接收用户设备UE发送的经过安全处理的目标数据之后，还包括：
接收所述UE发送的安全参数信息变更指示；或者
接收所述核心网发送的安全参数信息变更指示。
结合第一方面的第十三种可能的实现方式，在第一方面的第十四种可能的实现方式中，所述基站接收到所述安全参数信息变更指示之后，包括：所述基站发起所述UE的安全参数信息重获取过程。
结合第一方面的第十四种可能的实现方式，在第一方面的第十五种可能的实现方式中，所述基站发起所述UE的安全参数信息重获取过程，包括：
向所述UE重新发起安全协商并确定变更的AS安全参数信息；或者
所述基站从核心网设备获取更新的NAS安全参数信息；或者
所述基站从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
第二方面，本发明实施例提供一种安全处理方法，该方法可包括：
基站接收用户设备UE发送的安全相关信息；
当所述基站判断出所述安全相关信息与本地保存的所述UE的安全相关信息不一致时，所述基站确定需要进行安全参数信息的变更。
结合第二方面，在第二方面的第一种可能的实现方式中，所述基站确定需要进行安全参数信息的变更之后，包括：所述基站发起所述UE的安全参数信息重获取过程。
结合第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述基站发起所述UE的安全参数信息重获取过程，包括：
向所述UE重新发起安全协商并确定变更的接入层AS安全参数信息，以 便于所述UE存储和/或核心网设备利用变更后的AS安全参数信息进行安全处理；或者
所述基站从核心网设备获取更新的非接入层NAS安全参数信息；或者所述基站从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，和UE发起安全协商，以便于所述UE存储和/或核心网利用变更后的AS安全参数信息进行AS安全处理。
第三方面，本发明实施例提供一种安全处理方法，该方法包括：
核心网设备接收基站发送的用户设备UE的安全请求信息；
所述核心网设备向所述基站发送安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
结合第三方面，在第三方面的第一种可能的实现方式中，所述核心网设备接收基站发送的用户设备UE的安全请求信息，包括：
所述核心网设备接收基站发送的所述UE的标识和/或所述经过非接入层NAS安全处理的目标数据；或者
所述核心网设备接收基站发送的所述UE的标识和/或所述经过接入层AS安全处理的目标数据。
结合第三方面，或者第三方面的第一种可能的实现方式，在第三方面的第二种可能的实现方式中，所述核心网设备向所述基站发送安全响应信息中的安全参数信息，包括：
所述核心网设备向所述基站发送所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
所述核心网设备向所述基站发送所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
结合第三方面，或者第三方面的第一种可能的实现方式，或者第三方面的第二种可能的实现方式，在第三方面的第三种可能的实现方式中，所述核心网设备向所述基站发送安全响应信息中的安全解处理的目标数据，包括：
所述核心网设备向所述基站发送通过NAS安全参数信息对所述经过安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
所述核心网设备向所述基站发送通过AS安全参数信息对所述经过安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
结合第三方面，或者第三方面的第一种可能的实现方式，或者第三方面的第二种可能的实现方式，或者第三方面的第三种可能的实现方式，在第三方面的第四种可能的实现方式中，所述核心网设备向所述基站发送安全响应信息之后，还包括：
所述核心网设备向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
结合第三方面，或者第三方面的第一种可能的实现方式，或者第三方面的第二种可能的实现方式，或者第三方面的第三种可能的实现方式，在第三方面的第五种可能的实现方式中，所述核心网设备向所述基站发送安全响应信息之前，包括：
接收所述基站发送的所述UE的AS安全参数信息，所述AS安全参数信息为当所述UE与所述基站建立连接后，所述基站向所述UE发起安全协商并确定的AS安全参数信息；或者
接收所述基站通过所述安全请求信息，或者基站到核心网设备的接口信令发送的所述UE的存储的所述AS安全参数信息或变更后的AS安全参数信息并进行存储。
结合第三方面，或者第三方面的第一种可能的实现方式，或者第三方面的第二种可能的实现方式，或者第三方面的第三种可能的实现方式，或者第三方面的第五种可能的实现方式，在第三方面的第六种可能的实现方式中，所述方法还包括：
当所述核心网设备检测出所述AS安全参数信息变更时，向所述基站发送安全参数信息变更指示。
第四方面，本发明实施例提供一种安全处理方法，该方法包括：
UE向基站发送经过非接入层NAS安全处理的目标数据，所述经过NAS安全处理的目标数据包括经过NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
UE向基站发送经过接入层AS安全处理的目标数据，所述经过AS安全处理的目标数据包括经过AS安全加密的目标数据，或AS完整性保护的目标数据，或AS加密和AS完整性保护的目标数据。
结合第四方面，在第四方面的第一种可能的实现方式中，所述UE向基站发送经过NAS安全处理的目标数据，包括：
所述UE通过上行NAS信令或者上行RRC信令或者上行MAC层信令向基站发送经过NAS安全处理的目标数据。
结合第四方面，在第四方面的第二种可能的实现方式中，所述UE向基站发送经过AS安全处理的目标数据，包括：
所述UE通过上行RRC信令或者上行MAC层信令向基站发送经过AS安全处理的目标数据。
结合第四方面，或者第四方面的第一种可能的实现方式，在第四方面的第三种可能的实现方式中，所述UE向基站发送经过NAS安全处理的目标数据之前，包括：
所述UE利用NAS安全参数信息对目标数据进行NAS安全处理，所述NAS安全参数信息为所述UE与所述核心网设备已经进行安全协商并确定的NAS安全参数信息，所述NAS安全参数信息包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法。
结合第四方面，或者第四方面的第二种可能的实现方式，在第四方面的第四种可能的实现方式中，所述UE向基站发送经过AS安全处理的接入层目标数据之前，包括：
所述UE利用AS安全参数信息对目标数据进行AS安全处理，所述AS安全参数信息为所述UE与所述基站已经进行安全协商并确定的AS安全参数信息或者已经存储于所述UE中的AS安全参数信息，所述AS安全参数信息 包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
结合第四方面，或者第四方面的第一种可能的实现方式，或者第四方面的第三种可能的实现方式，在第四方面的第五种可能的实现方式中，所述方法还包括：
所述UE向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
结合第四方面，或者第四方面的第二种可能的实现方式，或者第四方面的第四种可能的实现方式，在第四方面的第六种可能的实现方式中，所述方法还包括：
所述UE向所述基站发送AS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的AS安全参数信息。
第五方面，本发明实施例提供一种基站，该基站可包括：输入单元、输出单元、存储单元和处理单元；
其中，所述存储单元用于存储程序代码，所述处理单元用于调用所述存储单元存储的程序代码执行如下步骤：
通过所述输入单元基站接收用户设备UE发送的经过安全处理的目标数据；
通过所述输出单元向核心网设备发送所述UE的安全请求信息；
通过所述输入单元接收所述核心网设备返回的安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
结合第五方面，在第五方面的第一种可能的实现方式中，所述处理单元用于通过所述输入单元接收所述UE发送的经过安全处理的目标数据的同时，通过所述输入单元接收所述UE发送的安全相关信息；
当所述基站判断出所述安全相关信息与所述基站本地保存的安全相关信息不一致时，执行所述通过所述输出单元向核心网设备发送所述UE的安全请求信息的步骤。
结合第五方面的第一种可能的实现方式，在第五方面的第二种可能的实现方式中，所述处理单元用于当所述安全响应信息包括所述UE的安全参数信息时，通过所述输入单元接收所述核心网设备返回的安全响应信息，具体为：
通过所述输入单元接收所述核心网设备返回的更新的接入层AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
结合第五方面，在第五方面的第三种可能的实现方式中，所述处理单元通过所述输入单元接收用户设备UE发送的经过安全处理的目标数据，包括：
通过所述输入单元接收所述UE通过上行NAS信令或者上行RRC信令或者上行MAC层信令发送的经过安全处理的目标数据。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，在第五方面的第四种可能的实现方式中，所述经过安全处理的目标数据包括经过非接入层NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
所述经过安全处理的目标数据包括经过接入层AS安全加密的目标数据，或经过AS完整性保护的目标数据，或经过AS加密和AS完整性保护的目标数据。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，在第五方面的第五种可能的实现方式中，所述处理单元通过所述输出单元向核心网设备发送所述UE的安全请求信息，包括：
通过所述输出单元通过上行S1消息向核心网设备发送所述UE的安全请求信息。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，或者第五方面的第五种可能的实现方式，在第五方面的第六种可能的实现方式中，所述处理单元通过所述输出单元向核心网设备发送所述UE的安全请求信息，包括：
通过所述输出单元向核心网设备发送所述UE的标识和/或所述经过NAS 安全处理的目标数据；或者
通过所述输出单元向核心网设备发送所述UE的标识和/或所述经过AS安全处理的目标数据。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，或者第五方面的第五种可能的实现方式，或者第五方面的第六种可能的实现方式，在第五方面的第七种可能的实现方式中，当所述安全响应信息包括所述UE的安全参数信息时，所述处理单元，还用于：
通过所述输入单元接收所述核心网设备返回的安全响应信息之后，根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，或者第五方面的第五种可能的实现方式，或者第五方面的第六种可能的实现方式，或者第五方面的第七种可能的实现方式，在第五方面的第八种可能的实现方式中，所述处理单元通过所述输入单元接收所述核心网设备返回的安全响应信息，包括：
通过所述输出单元接收所述核心网设备通过下行S1消息返回的安全响应信息。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，或者第五方面的第五种可能的实现方式，或者第五方面的第六种可能的实现方式，或者第五方面的第七种可能的实现方式，或者第五方面的第八种可能的实现方式，在第五方面的第九种可能的实现方式中，所述处理单元通过所述输入单元接收所述核心网设备返回的安全响应信息中的安全参数信息，包括：
通过所述输入单元接收所述核心网设备返回的所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保 护算法；或者
通过所述输入单元接收所述核心网设备返回的所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，或者第五方面的第五种可能的实现方式，或者第五方面的第六种可能的实现方式，或者第五方面的第七种可能的实现方式，或者第五方面的第八种可能的实现方式，或者第五方面的第九种可能的实现方式，在第五方面的第十种可能的实现方式中，所述处理单元通过所述输入单元接收所述核心网设备返回的安全响应信息中的安全解处理的目标数据，包括：
通过所述输入单元接收所述核心网设备返回的对所述经过NAS安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
通过所述输入单元接收所述核心网设备返回的对所述经过AS安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，或者第五方面的第五种可能的实现方式，或者第五方面的第六种可能的实现方式，或者第五方面的第七种可能的实现方式，或者第五方面的第八种可能的实现方式，或者第五方面的第九种可能的实现方式，或者第五方面的第十种可能的实现方式，在第五方面的第十一种可能的实现方式中，所述基站根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理，包括：
基于所述核心网设备返回的NAS安全参数信息对所述经过NAS安全处理的目标数据进行NAS安全解密，或NAS完整性校验，或NAS安全解密和NAS完整性校验；或者
基于所述核心网设备返回的AS安全参数信息对所述经过AS安全处理的 目标数据进行AS安全解密，或AS完整性校验，或AS安全解密和AS完整性校验。
结合第五方面，或者第五方面的第一种可能的实现方式，或者第五方面的第二种可能的实现方式，或者第五方面的第三种可能的实现方式，或者第五方面的第四种可能的实现方式，或者第五方面的第五种可能的实现方式，或者第五方面的第六种可能的实现方式，或者第五方面的第七种可能的实现方式，或者第五方面的第八种可能的实现方式，或者第五方面的第九种可能的实现方式，或者第五方面的第十种可能的实现方式，或者第五方面的第十一种可能的实现方式，在第五方面的第十二种可能的实现方式中，所述处理单元，还用于：通过所述输入单元接收用户设备UE发送的经过安全处理的目标数据之前，当所述UE与所述基站释放连接时，将所述AS安全参数信息通过所述输出单元发送给所述核心网设备进行存储；或者
将更新后的AS安全参数信息通过所述输出单元发送的安全请求信息，或者基站与核心网设备之间的接口信令发送给所述核心网设备进行存储。
结合第五方面的第十二种可能的实现方式，在第五方面的第十三种可能的实现方式中，所述处理单元，还用于：通过所述输入单元接收用户设备UE发送的经过安全处理的目标数据之后，通过所述输入单元接收所述UE发送的安全参数信息变更指示；或者
通过所述输入单元接收所述核心网发送的安全参数信息变更指示。
结合第五方面的第十三种可能的实现方式，在第五方面的第十四种可能的实现方式中，所述处理单元，还用于：通过所述输入单元接收到所述安全参数信息变更指示之后，通过所述输出单元发起所述UE的安全参数信息重获取过程。
结合第五方面的第十四种可能的实现方式，在第五方面的第十五种可能的实现方式中，所述处理单元用于通过所述输出单元发起所述UE的安全参数信息重获取过程，具体为：
通过所述输出单元向所述UE重新发起安全协商并确定变更的AS安全参数信息；或者
通过所述输入单元从核心网设备获取更新的NAS安全参数信息；或者
通过所述输入单元从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
第六方面，本发明实施例提供一种基站，该基站包括：输入单元、输出单元、存储单元和处理单元；
其中，所述存储单元用于存储程序代码，所述处理单元用于调用所述存储单元存储的程序代码执行如下步骤：
通过所述输入单元接收用户设备UE发送的安全相关信息；
当判断出所述安全相关信息与本地保存的所述UE的安全相关信息不一致时，所述基站确定需要进行安全参数信息的变更。
结合第六方面，在第六方面的第一种可能的实现方式中，所述处理单元，还用于确定需要进行安全参数信息的变更之后，通过所述输出单元发起所述UE的安全参数信息重获取过程。
结合第六方面的第一种可能的实现方式，在第六方面的第二种可能的实现方式中，所述处理单元用于通过所述输出单元发起所述UE的安全参数信息重获取过程，具体为：
通过所述输出单元向所述UE重新发起安全协商并确定变更的接入层AS安全参数信息，以便于所述UE存储和/或核心网设备利用变更后的AS安全参数信息进行安全处理；或者
通过所述输入单元从核心网设备获取更新的非接入层NAS安全参数信息；或者
通过所述输入单元从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，和UE发起安全协商，以便于所述UE存储和/或核心网利用变更后的AS安全参数信息进行AS安全处理。
第七方面，本发明实施例提供一种核心网设备，该核心网设备包括：输入单元、输出单元、存储单元和处理单元；
其中，所述存储单元用于存储程序代码，所述处理单元用于调用所述存储单元存储的程序代码执行如下步骤：
通过所述输入单元接收基站发送的用户设备UE的安全请求信息；
通过所述输出单元向所述基站发送安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
结合第七方面，在第七方面的第一种可能的实现方式中，所述处理单元用于通过所述输入单元接收基站发送的用户设备UE的安全请求信息，包括：
通过所述输入单元接收基站发送的所述UE的标识和/或所述经过非接入层NAS安全处理的目标数据；或者
通过所述输入单元接收基站发送的所述UE的标识和/或所述经过接入层AS安全处理的目标数据。
结合第七方面，或者第七方面的第一种可能的实现方式，在第七方面的第二种可能的实现方式中，所述处理单元用于通过所述输出单元所述核心网设备向所述基站发送安全响应信息中的安全参数信息，包括：
通过所述输出单元向所述基站发送所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
通过所述输出单元向所述基站发送所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
结合第七方面，或者第七方面的第一种可能的实现方式，或者第七方面的第二种可能的实现方式，在第七方面的第三种可能的实现方式中，所述处理单元用于通过所述输出单元所述核心网设备向所述基站发送安全响应信息中的安全解处理的目标数据，包括：
通过所述输出单元向所述基站发送通过NAS安全参数信息对所述经过安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
通过所述输出单元向所述基站发送通过AS安全参数信息对所述经过安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
结合第七方面，或者第七方面的第一种可能的实现方式，或者第七方面的第二种可能的实现方式，或者第七方面的第三种可能的实现方式，在第七方面的第四种可能的实现方式中，所述处理单元，还用于：
通过所述输出单元向所述基站发送安全响应信息之后，还通过所述输出单元向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
结合第七方面，或者第七方面的第一种可能的实现方式，或者第七方面的第二种可能的实现方式，或者第七方面的第三种可能的实现方式，在第七方面的第五种可能的实现方式中，所述处理单元，还用于：
通过所述输入单元接收所述基站发送的所述UE的AS安全参数信息，所述AS安全参数信息为当所述UE与所述基站建立连接后，所述基站向所述UE发起安全协商并确定的AS安全参数信息；或者
通过所述输入单元接收所述基站通过所述安全请求信息，或者基站到核心网设备的接口信令发送的所述UE的存储的所述AS安全参数信息或变更后的AS安全参数信息并进行存储。
结合第七方面，或者第七方面的第一种可能的实现方式，或者第七方面的第二种可能的实现方式，或者第七方面的第三种可能的实现方式，或者第七方面的第五种可能的实现方式，在第七方面的第六种可能的实现方式中，所述处理单元，还用于：
当所述核心网设备检测出所述AS安全参数信息变更时，通过所述输出单元向所述基站发送安全参数信息变更指示。
第八方面，本发明实施例提供一种用户设备UE，该UE包括：输入单元、输出单元、存储单元和处理单元；
其中，所述存储单元用于存储程序代码，所述处理单元用于调用所述存储单元存储的程序代码执行如下步骤：
通过所述输出单元向基站发送经过非接入层NAS安全处理的目标数据，所述经过NAS安全处理的目标数据包括经过NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据； 或者
通过所述输出单元向基站发送经过接入层AS安全处理的目标数据，所述经过AS安全处理的目标数据包括经过AS安全加密的目标数据，或AS完整性保护的目标数据，或AS加密和AS完整性保护的目标数据。
结合第八方面，在第八方面的第一种可能的实现方式中，所述处理单元用于通过所述输出单元向基站发送经过NAS安全处理的目标数据，具体为：
通过所述输出单元通过上行NAS信令或者上行RRC信令或者上行MAC层信令向基站发送经过NAS安全处理的目标数据。
结合第八方面，在第八方面的第二种可能的实现方式中，所述处理单元用于通过所述输出单元向基站发送经过AS安全处理的目标数据，包括：
所述UE通过上行RRC信令或者上行MAC层信令向基站发送经过AS安全处理的目标数据。
结合第八方面，或者第八方面的第一种可能的实现方式，在第八方面的第三种可能的实现方式中，所述处理单元，还用于：
通过所述输出单元向基站发送经过NAS安全处理的目标数据之前，利用NAS安全参数信息对目标数据进行NAS安全处理，所述NAS安全参数信息为所述UE与所述核心网设备已经进行安全协商并确定的NAS安全参数信息，所述NAS安全参数信息包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法。
结合第八方面，或者第八方面的第二种可能的实现方式，在第八方面的第四种可能的实现方式中，所述处理单元，还用于：
通过所述输出单元向基站发送经过AS安全处理的接入层目标数据之前，利用AS安全参数信息对目标数据进行AS安全处理，所述AS安全参数信息为所述UE与所述基站已经进行安全协商并确定的AS安全参数信息或者已经存储于所述UE中的AS安全参数信息，所述AS安全参数信息包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
结合第八方面，或者第八方面的第一种可能的实现方式，或者第八方面的 第三种可能的实现方式，在第八方面的第五种可能的实现方式中，所述处理单元，还用于：
通过所述输出单元向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
结合第八方面，或者第八方面的第二种可能的实现方式，或者第八方面的第四种可能的实现方式，在第八方面的第六种可能的实现方式中，所述处理单元，还用于：
通过所述输出单元向所述基站发送AS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的AS安全参数信息。
通过本实发明实施例，主要解决了如何在安全传输目标数据给基站的同时，又可以减少空口信令的开销或功耗的技术问题。本发明中，当进行NAS传输时，即基站通过在接收到UE发送的经过NAS安全处理的目标数据后，向核心网设备发起安全解目标数据的相关安全请求信息，再接收核心网设备返回相关安全参数信息，或者直接解出目标数据，在空口对目标数据进行了安全保护。当进行AS传输时，即通过初始接入时，UE和基站建立连接后，进行现有技术中的AS安全保护，当释放连接时，基站将本次使用的AS安全相关安全参数信息发送给核心网设备进行保存，当再次建立连接且UE有目标数据需要发送时，基站向核心网设备发起此前已经存储过的安全解目标数据的相关安全请求信息，再接收核心网设备返回相关安全参数信息，或者直接解出目标数据，可以避免基站与UE通过AS SMC协商安全参数信息流程，不仅实现了AS的安全保护，而且节省了功耗。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付 出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明提供的安全处理方法的网络架构示意图；
图2是本发明提供的一种安全处理方法的流程示意图；
图3是本发明提供的另一种安全处理方法的流程示意图；
图4是本发明提供的基站的结构示意图；
图5是本发明提供的基站的另一实施例的结构示意图；
图6是本发明提供的核心网设备的结构示意图；
图7是本发明提供的用户设备UE的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
应当理解的是，本发明实施例的技术方案可以应用于各种通信系统，例如：全球移动通讯(Global System of Mobile communication，GSM)系统、码分多址(Code Division Multiple Access，CDMA)系统、宽带码分多址(Wideband Code Division Multiple Access，WCDMA)系统、通用分组无线业务(General Packet Radio Service，GPRS)、演进(Long Term Evolution，LTE)系统、LTE频分双工(Frequency Division Duplex，FDD)系统、LTE时分双工(Time Division Duplex，TDD)、通用移动通信系统(Universal Mobile Telecommunication System，UMTS)等。
还应当理解的是，本发明实施例中，基站可以是GSM或CDMA中的基站(Base Transceiver Station，BTS)，也可以是WCDMA中的基站(NodeB)，还可以是LTE中的演进型基站(Evolutional Node B，eNB或eNodeB)，或者是未来5G网络中的基站设备等，本发明对此并不限定。
还应当理解的是，在本发明实施例中，UE可以经无线接入网(Radio Access Network，RAN)与一个或多个核心网(Core Network)进行通信，UE可为支 持机器通信M2M、增强型机器类通信EMTC或窄带物联网NB IoT等的通信类型的接入终端、终端设备、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、终端、无线通信设备、用户代理或用户装置等。具体地，UE可以为蜂窝电话、无绳电话、智能手机、智能抄表终端、会话启动协议(Session Initiation Protocol，SIP)电话、无线本地环路(Wireless Local Loop，WLL)站、智能手环、智能穿戴设备、MP3播放器(Moving Picture Experts Group Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving Picture Experts Group Audio Layer IV，动态影像专家压缩标准音频层面3)播放器、个人数字处理(Personal Digital Assistant，PDA)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备以及未来5G网络中的终端设备等。
为了便于理解本发明实施例，下面先对本发明实施例所基于的安全处理方法的网络构架进行描述。请参阅图1，该网络架构中包含了UE、基站以及核心网设备，UE与基站之间通过空口即无线通信完成数据的传输；而各个基站与核心网设备之间则通过光纤进行插电连接，以完成数据或业务的连接、管理和承载等。可以理解的是，以上图1中的网络架构只是本发明实施例中较优的一种实施方式，本发明实施例中的网络架构包括但不仅限于以上网络架构。
本发明实施例中的核心网设备将主要以移动性管理实体(Mobility Management Entity，MME)为例进行说明，MME是核心网中负责处理信令的网元，可完成对NAS信令的解析和处理、NAS信令的安全性、与其它网络的核心网交互，以及UE的移动性控制、漫游的处理、鉴权管理和承载管理等功能。本发明中的核心网设备包括但不仅限于MME，任何可以完成本发明实施例中的核心网设备的相应功能的实体，都属于本发明所保护涵盖的范围。
参见图2，图2是本发明实施例中的一种安全处理方法的流程示意图。下面将结合附图2从UE、基站以及核心网设备的交互侧，且从UE与基站之间进行的NAS传输层面进行详细描述。如图2所示，该方法可以包括以下步骤S201-步骤S206。
步骤S201：UE向基站发送经过NAS安全处理的目标数据。
具体地，UE通过上行NAS信令，或者上行RRC信令，或者上行MAC 层信令向基站发送发送经过安全处理的非接入层目标数据。其中，经过安全处理的目标数据可以为，经过非接入层NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据。
在一种可能的实现方式中，UE向基站发送经过非接入层NAS安全处理的目标数据之前，UE与所述核心网设备(如MME)进行安全协商(NAS Security Mode Command(SMC))，之后UE对目标数据进行NAS安全处理，其中，进行NAS安全协商后，UE和MME产生了NAS安全参数信息。进一步地，该NAS安全参数信息包括NAS加密密钥或产生密钥的相关参数，以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数，以及NAS完整性保护算法。例如，NAS信令的密钥中，KNASenc是用于NAS信令加密的密钥，是由UE和MME各自根据双方协商的加密算法计算得到的，KNASint是用于NAS信令完整性保护的密钥。
在一种可能的实现方式中，UE还向基站发送NAS安全参数信息变更指示，其中，变更指示可以为该UE和/或核心网设备(如MME)检测出当前UE使用的NAS安全参数信息变更时，即UE和MME需要重新进行密钥协商后确定变更后的NAS安全参数信息，并将该NAS安全参数信息携带在变更指示中发送给基站，以确保后续在UE和基站之间传输数据时使用的安全参数信息都是更新后的且有效的，以减少因为安全参数信息的失效导致的额外的空口信令的开销。
在一种可能的实现方式中，基站接收UE发送的经过安全处理的目标数据的同时，还可以接收所述UE发送的安全相关信息；当基站判断出安全相关信息与基站本地保存的安全相关信息不一致时，执行向核心网设备发送所述UE的安全请求信息的步骤，以便于从核心网设备处获取更新后的安全参数信息。
当所述安全响应信息包括所述UE的安全参数信息时，所述基站接收所述核心网设备返回的安全响应信息包括：所述基站接收所述核心网设备返回的更新的非接入层NAS安全参数信息；或者基站接收所述核心网设备返回的更新的接入层AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
在具体的通信应用场景中，例如，UE发送Random Access Request给基站 (eNB)后作为回应，基站发送Random Access Response给UE，然后，UE发送RRCConnection Request给eNB,eNB收到后，向UE发送RRC Connection Setup。UE接收到eNB发送的RRC Connection Setup消息后，发送RRC Connection Setup Complete给基站,并将需要上报给基站的目标数据(如测量报告或定位信息等)使用NAS安全进行安全处理。例如，将测量报告通过NAS PDU进行携带并加密，或者将测量报告通过RRC信令携带，并加密，本发明对目标数据的具体加密方式不作限定。本发明对目标数据的具体加密方式不作限定。
步骤S202：基站接收用户设备UE发送的经过NAS安全处理的目标数据。
具体地，基站接收步骤S201中的UE通过上行NAS信令、上行RRC信令或者上行MAC层信令发送的经过安全处理的目标数据。
步骤S203：所述基站向核心网设备发送所述UE的标识和/或所述经过NAS安全处理的目标数据。
具体地，基站可以通过Initial UE Message，或者其他的上行信令，比如UL NAS传输消息，或者UE测量报告传输等上行S1-AP信令或其他上行信令，向核心网设备发送UE的标识和/或经过NAS安全处理的目标数据，由于基站(eNB)接收到目标数据如测量报告后，并不能解出测量报告，因为经过NAS安全处理的目标数据对于基站来说是无法解析的，原因在于用于NAS安全解处理目标数据的安全参数信息是UE和核心网设备MME之间进行协商从而确定的，因而此时基站想要获得NAS安全解处理的目标数据，必须向核心网设备MME进行安全请求信息，可以理解的是，安全请求信息的内容可以是用于识别UE的标识，该标识可以让MME对应的查找出与该标识匹配的安全参数信息，而还可以理解的是，也可以直接将需要读取的NAS安全处理的目标数据直接发送给MME，让MME进行安全解处理，之后再将安全解处理的目标数据返还给基站，亦或是将该两者都返回给基站，总之，只要最终能让基站顺利读取出经过NAS安全处理的目标数据即可。
步骤S204：所述核心网设备接收基站发送的所述UE的标识和/或所述经过NAS安全处理的目标数据。
具体地，核心网设备MME可通过S1接口接收步骤S203中基站发送的UE的标识和/或所述经过NAS安全处理的目标数据。
在一种可能的实现方式中，在核心网设备MME接收基站发送的用户设备UE的安全请求信息之前，MME向UE发起安全模式命令并确定NAS安全参数信息，且由于MME在协商确定后一直保存有该UE确定后的安全参数信息(包括安全参数变更的情况)，因此，MME利用相关的NAS安全参数信息对目标数据进行NAS解安全处理，得到解安全处理的数据。
步骤S205：所述核心网设备向所述基站发送安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
具体地，所述核心网设备MME可以向基站发送安全响应信息，比如可以是某条S1-AP下行信令也中携带，如Downlink NAS Transport、Initial Context Setup Request中携带。其中安全响应信息对应地包括该UE的安全参数信息和/或安全解处理的目标数据。其中UE的标识信息可能是S-TMSI、eNB UE S1AP ID、MME UE S1AP IP、IMSI等标识信息。
例如，当安全请求信息中只包含UE的标识，则MME返回的安全响应信息中只可能包含与该UE的标识匹配的安全参数信息；当安全请求信息中包含经过NAS安全处理的目标数据，则MME返回的安全响应信息中包含通过该安全参数信息将该经过NAS安全处理的目标数据进行安全解处理的目标数据，同时也可以包含与该UE的标识匹配的安全参数信息；当安全请求信息中不仅包含了UE的标识且包含经过NAS安全处理的目标数据，则MME返回的安全响应信息中必定可包含通过该安全参数信息将该经过NAS安全处理的目标数据进行安全解处理的目标,也可包含与该UE的标识匹配的安全参数信息。当安全请求信息中仅包含了UE的标识，则MME返回的安全响应信息中包含与该UE的标识匹配的安全参数信息。
在一种可能的实现方式中，核心网设备向基站发送UE的安全参数信息时，该安全参数信息可包括NAS安全参数，其中，NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法。
在一种可能的实现方式中，核心网设备向基站发送UE的安全解处理的目标数据，该安全解处理的目标数据即为安全解处理的目标数据，其中，具体可包括通过NAS安全参数信息对该经过安全处理的目标数据进行了NAS安全解 密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据。
在一种可能的实现方式中，核心网设备向所述基站发送安全响应信息之后，该核心网设备还可以向基站发送NAS安全参数信息变更指示，其中该变更指示的具体内容可以包括变更后的NAS安全参数信息，而变更后的NAS安全参数信息可以是当UE和/或核心网设备检测出当前UE与MME之间使用的NAS安全参数信息变更时，MME向UE重新发起并进行密钥协商，从而确定的变更后的NAS安全参数信息。
进一步地，基站接收到核心网设备发送的安全参数信息之后，还可以将该安全参数信息，用于后续空口信令的加密和完整性保护以及数据的加密等。例如，可作为与UE或MME产生相关密钥的流程推演出密钥，或者用于其它接入层AS的安全流程等。例如，基站利用核心发送的NAS安全参数信息，使用相关算法推演出AS密钥，UE进行同样操作，并使用UE与基站都知道的算法进行AS安全操作。
步骤S206：所述基站接收所述核心网设备返回的安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
具体地，基站接收步骤S205中核心网设备返回的安全响应信息后，则可以通过接收到的UE的安全参数信息对经过NAS安全处理的目标数据进行安全解处理，从而成功读取了UE上报的目标数据；也可以是基站直接接收了核心网设备返回的已经经过NAS安全解处理的目标输数据；亦或者是两者都接收，可以灵活设置，本发明对此不作具体限定。
在一种可能的实现方式中，基站接收核心网设备通过下行S1消息返回的安全响应信息。其中下行S1消息可以为，初始上下文建立请求如initial context setup request，下行NAS传输如DL NAS Transport等。
在一种可能的实现方式中，基站接收所述核心网设备返回的安全响应信息之后，基站接收UE和/或核心网设备发送的NAS安全参数信息变更通知，以便于基站能获得最新且有效的安全参数信息。
在一种可能的实现方式中，所述基站接收所述UE发送的经过安全处理的目标数据的同时，接收所述UE发送的安全相关信息；当所述基站判断出所述 安全相关信息与所述基站本地保存的安全相关信息不一致时，执行所述向核心网设备发送所述UE的安全请求信息的步骤。其中安全相关信息为可用于基站进行比对自身存储的安全参数信息是否需要变更的判断依据信息，具体内容本发明不做具体限定。进一步地，当所述安全响应信息包括所述UE的安全参数信息时，所述基站接收所述核心网设备返回的安全响应信息，包括：所述基站接收所述核心网设备返回的更新的非接入层NAS安全参数信息；或者所述基站接收所述核心网设备返回的更新的接入层AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
更进一步地，本发明还在密钥的变更问题上提供了一种解决方案，即：基站可以接收用户设备UE发送的安全相关信息；当基站判断出安全相关信息与本地保存的UE的安全相关信息不一致时，基站确定需要进行安全参数信息的变更。基站确定需要进行安全参数信息的变更之后，发起UE的安全参数信息重获取过程。向UE重新发起安全协商并确定变更的接入层AS安全参数信息，以便于UE存储和/或核心网设备利用变更后的AS安全参数信息进行安全处理；或者基站从核心网设备获取更新的非接入层NAS安全参数信息；或者基站从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，和UE发起安全协商，以便于UE存储和/或核心网利用变更后的AS安全参数信息进行AS安全处理。即基站除了在接收经过安全处理的目标数据后可以发起安全请求信息，也可以在未接收到目标数据时，就可以提前为数据的安全传输做准备，即仅接收UE发送的相关安全信息，从而触发进行后续的安全参数信息的重获取的过程，以保证安全参数信息的有效性。
通过本实发明实施例，主要解决了如何安全的传输目标数据给基站的技术问题，即基站通过在接收到UE发送的经过NAS安全处理的目标数据后，向核心网设备发起安全解目标数据的相关安全请求信息，再接收核心网设备返回相关安全参数信息，或者直接解出目标数据，在空口对目标数据进行了安全保护。
参见图3图3是本发明实施例中的另一种安全处理方法的流程示意图，。下面将结合附图3从UE、基站以及核心网设备的交互侧进行详细描述。如图3所示，该方法可以包括以下步骤S301-步骤S306。
步骤S301：UE向基站发送经过AS安全处理的目标数据。
具体地，UE通过上行RRC信令或者上行MAC层信令向基站发送经过安全处理的目标数据。其中，经过安全处理的目标数据可以为，经过接入层AS安全加密的目标数据，或经过AS完整性保护的目标数据，或经过AS加密和AS完整性保护的目标数据。
在一种可能的实现方式中，UE向基站发送经过AS安全处理的目标数据之前，UE利用AS安全参数信息对目标数据进行AS安全处理，其中，AS安全参数信息为UE与基站已经进行密钥协商并确定的AS安全参数信息或者已经存储于该UE中的AS安全参数信息，进一步地，AS安全参数信息包括可AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
在一种可能实现的方式中，UE与基站保存UE与基站在之前连接中协商并确定的AS安全参数，当所述基站接收到经过AS安全处理的目标数据后，对其进行解安全处理操作，进而获得目标数据。
进一步地，当UE与基站再次进行连接时，UE向基站通过如RRC Connection Rusume等上行信令中发送UE保存的AS安全参数信息，基站接收后，通过将其与自身保存的AS安全信息进行对比，判断是否发生变化，如果发生变化。则向MME发送安全请求信息，并获得MME发送给基站的安全响应信息。进一步的可以通过获得响应信息中的相关安全参数，触发AS的SMC流程，即安全协商流程。
可选的，当UE与基站再次进行连接时，UE向基站发送已经进行安全处理的数据，如果基站不能利用已经保存的安全信息进行解处理，则说明安全信息发生变化，则向MME发送安全请求信息，并获得MME发送给基站的安全响应信息。进一步的可以通过获得响应信息中的相关安全参数，并开始执行AS的SMC流程，即安全协商流程。
在一种可能的实现方式中，UE还向所述基站发送AS安全参数信息变更通知，变更通知可以为UE和/或核心网设备发现当前使用的AS安全参数信息变更时，重新进行密钥协商后确定的变更后的AS安全参数信息。AS安全参数信息发生变化，UE或者MME会发送一个AS安全参数信息变化指示给基 站。可选的当UE向基站发送变更指示时，基站MME发送安全请求信息，并获得MME发送给基站的安全响应信息。进一步的可以通过获得响应信息中的相关安全参数，触发AS的SMC流程，即安全协商流程。可选的当MME向基站发送变更指示时，其指示消息可以为AS相关安全参数，基站利用相关消息执行AS的SMC流程，即安全协商流程。基站重新发起AS SMC流程，重新协商AS安全参数信息。上述方法对UE和基站保存AS安全参数，以及UE和MME保存AS安全参数都适用。
在一种可能实现的方式中，UE和MME在之前的连接中保存了AS安全参数信息，在AS安全参数信息发生变化的情况下，UE使用更新的AS安全参数信息进行加密或者完整性保护。MME指示基站AS安全参数信息已经变化，同时通知更新的安全参数信息给基站。以便于基站使用变更后的AS安全参数信息直接解密和/或完整性校验和/或AS安全操作后的其他的RRC信令等。例如，当基站和UE使用的AS安全相关算法不变，产生AS密钥的相关参数变化。因此基站可以利用MME发送的安全参数信息获得新的密钥，或者直接从MME发送的安全信息中获得密钥。如果UE和MME变更后的AS安全参数信息，在UE接入的基站不支持时，或者eNB使用从MME获取的AS安全参数信息进行安全操作失败时，基站则向MME获取重新进行AS安全协商的相关安全参数或者利用已经保存的相关安全信息，向UE重新发起AS安全协商过程。
在一种可能的实现方式中，UE向基站发送经过安全处理的接入层AS目标数据之前，当所述UE与所述基站建立连接后，基站通过指示消息知道所述UE和核心网设备中均未保存AS安全参数信息时，此时基站向UE发起密钥协商并确定需要使用的AS安全参数信息，以便于UE对该AS安全参数信息进行存储，并利用该AS安全参数信息对需要向基站发送的目标数据进行安全处理。进一步地，当UE与基站释放连接时，基站将所述AS安全参数信息发送给所述核心网设备进行存储，以便于下一次基站需要再使用相关AS安全参数信息进行数据的安全流程时，可以直接向核心网设备进行获取，因此不必浪费空口资源，从而减少UE(一般为非插电)的空口功耗。基站向核心网设备发送的安全参数信息可以通过上行S1-AP信令来携带，如UE Context Release Complete,S1-AP UE Deactivate Context Ack,DL NAS Transport等信令。
在一种可能的实现方式中，基站将AS安全参数信息发送给核心网设备进行存储之后，基站接收到AS安全参数信息变更指示时，向UE重新发起密钥协商并确定变更的AS安全参数信息，以便于UE存储并利用变更后的AS安全参数信息进行安全处理，其中，安全参数信息变更指示为当所述UE和/或所述核心网设备发现出所述AS安全参数信息变更时，向所述基站发送的变更指示。进一步地，将协商更新后的AS安全参数信息发送给所述核心网设备进行存储。再一步地，将变更后的AS安全参数信息通过发送的安全请求信息发送给核心网设备进行存储，如UE Context Release Complete,S1-AP UE Deactivate Context Ack,DL NAS Transport等信令。
在一种可能实现的方式中，例如，目标数据为测量报告，UE将测量报告或者定位信息封装在NAS PDU中通过上行RRC信令进行携带，具体信令如RRC Connection Setup Complete,UE Location Information,Measurement Report等，并使用NAS安全进行安全处理，基站接收后，将包含测量报告或者定位信息的NAS PDU通过S1-AP信令转发给核心网，具体信令如Initial UE Message，UL NAS Transport等。核心网接收后，对其进行解安全处理并获得测量报告或者定位信息，并通过下行S1信令将其传输给基站，具体信令如initial context setup request，下DL NAS Transport等。上述提及信令不限。
在一种可能的实现方式中，当有多个数据包需要进行传输时可以使用piggyback的方式进行携带。如AS安全参数信息可以在S1口的DL NAS transfer中piggyback携带。在空口，如果需要协商AS安全的话，则可以通过AS SMC信令在DL直传消息中piggyback携带，其中的响应消息，可以在UL直传消息中确认，无需专用信令，节约功耗。
步骤S302：基站接收用户设备UE发送的经过AS安全处理的目标数据。
具体地，基站接收步骤S301中UE通过上行RRC信令或者上行MAC层信令发送的经过安全处理的目标数据。
步骤S303：所述基站向核心网设备发送所述UE的标识和/或所述经过AS安全处理的目标数据。
具体地，基站可以通过S1接口并通过Initial UE Message，或者其他S1接口的上行信令，比如UL传输消息，向核心网设备发送UE的标识和/或经过 AS安全处理的目标数据。由于在现有技术中，基站(eNB)接收到目标数据如测量报告后是可以直接解出测量报告的，因为用于AS安全解处理目标数据的安全参数信息是UE和基站之间进行协商从而确定的，因而此时基站可以直接通过自身与UE协商后得到的安全参数信息进行解出，但是本方法实施例的区别点就就在于，通过将UE和基站之间协商后确定的安全参数信息，在UE和MME中保存(包括安全参数信息变更后的存储)，因此，UE需要再次和基站之间进行数据传输时，则不需要进行重新协商得到安全参数信息的流程，而只需基站向MME中获取已经存储好的有效安全参数信息，以及UE自身已经保存的有效安全参数信息，即可以完成UE和基站之间的安全传输，节省了UE和基站之间的空口功耗。
可以理解的是，安全请求信息的内容可以是用于识别UE的标识，该标识可以让MME对应的查找出与该标识匹配的安全参数信息，而还可以理解的是，也可以直接将需要读取的AS安全处理的目标数据直接发送给MME，让MME进行安全解处理，之后再将安全解处理的目标数据返还给基站，亦或是将该两者都返回给基站，总之，只要最终能让基站顺利读取出经过AS安全处理的目标数据即可。其中UE的标识信息可能是S-TMSI、eNB UE S1AP ID、MME UE S1AP IP、IMSI等标识信息。总之，只要最终能让基站顺利读取出经过安全处理的目标数据即可。
一种可能的实现方式中，UE和MME保存的了AS的安全参数信息，当UE与基站再次进行连接时，UE通过RRC ConnectionComplete将经过AS安全处理的目标数据发送给基站，基站收到数据后，向MME发送initial UE Message,MME收到消息后，通过一条下行S1信令，将AS安全信息发送给基站，基站接收到此消息后，利用所收到的安全信息对收到的经过AS安全处理的数据进行解安全处理，并获得目标数据。其中上述所提及的信令只是举例，并不限制。可选的，同样在UE和MME保存的了AS的安全参数信息的情况下，若在发送安全处理数据之前，基站从MME通过下行信令获取到AS安全参数信息，则保存，当有上行加密数据到达时，可以利用其进行解安全处理，当有下行数据到达时，可以进行AS安全处理。
在一中可能的实现方式中，UE将目标数据(如测量报告，定位信息等) 通过上行信令中的MAC CE中携带，发送给基站，基站收到后可以获取该目标数据。可选的，也可用并RRC信令中消息ID对目标数据进行加密等相关操作。
在一种可能的实现方式中，核心网设备向基站发送安全响应信息之前，接收基站发送的所述UE的AS安全参数信息，其中，该AS安全参数信息为当UE与基站建立连接后，基站检测出UE和核心网设备中均未保存AS安全参数信息时，基站向所述UE发起密钥协商并确定AS安全参数信息。即在首次协商时，UE和MME还暂未存储AS安全参数信息，因此首次安全协商完之后，即可将有效的AS安全参数信息发送给MME进行存储。
步骤S304：所述核心网设备接收基站发送的所述UE的标识和/或所述经过AS安全处理的目标数据。
具体地，核心网设备MME可通过S1接口接收步骤S303中基站发送的UE的标识和/或所述经过AS安全处理的目标数据。
步骤S305：所述核心网设备向所述基站发送安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
在一种可能的实现方式中，核心网设备向基站发送的安全响应信息包含AS安全参数时，具体可以是AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
在一种可能的实现方式中核心网设备向基站发送的安全响应信息包含通过AS安全参数信息对经过AS安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
在一种可能的实现方式中，核心网设备接收基站通过所述安全请求信息中携带的该UE的AS安全参数信息或变更后的AS安全参数信息并进行存储。其中，基站可以是通过RRC Connection Setup Complete携带，或者其他上行的RRC信令向核心网设备发送该AS安全参数信息或变更后的AS安全参数信息
在一种可能的实现方式中，当核心网设备检测出AS安全参数信息变更时，向所述基站发送的变更指示，以便于基站重新向UE发起安全协商过程，从而 产生变更后的有效安全参数信息。
在一种可能的实现方式中，基站接收核心网设备返回的UE的AS安全参数，其中，AS安全参数可以包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
在一种可能的实现方式中，由于在现有技术中，产生AS相关安全参数时，必然会产生NAS相关安全参数，因此本方法步骤中利用产生NAS安全参数通过一定算法可以推演出AS安全参数信息，并在UE和MME侧进行保存，而基站与UE进行空口安全的加密算法和保护算法可以是NAS算法，也可以是新设置的某个针对CIOT的算法，如果使用NAS算法，初始建立连接时也不必进行AS SMC流程，如果是其他算法可以通过NAS SMC流程进行协商，也可以通过AS SMC进行协商。本方法步骤的有益效果为：本实施例不必分别产生两个密钥，可以通过产生的NAS安全参数信息推演出AS安全参数信息节约信令和功耗。
步骤S306：所述基站接收所述核心网设备返回的安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
具体地，基站接收步骤S305中核心网设备返回的安全响应信息后，则可以通过接收到的UE的安全参数信息对经过安全处理的目标数据进行安全解处理，从而成功读取了UE上报的目标数据；也可以是基站直接接收了核心网设备返回的已经经过安全解处理的AS目标输数据；亦或者是两者都接收，可以灵活设置，本发明对此不作具体限定。
在一种可能的实现方式中，基站接收核心网设备通过下行S1消息返回的安全响应信息。
在一种可能的实现方式中，基站接收用户设备UE发送的经过安全处理的目标数据之后，还可以接收UE发送的安全参数信息变更指示；或者接收核心网发送的安全参数信息变更指示。基站接收到安全参数信息变更指示之后，基站发起UE的安全参数信息重获取过程。具体可为向UE重新发起安全协商并确定变更的AS安全参数信息；或者基站从核心网设备获取更新的NAS安全参数信息；或者基站从核心网设备获取更新的AS安全参数信息，并基于更新 的AS安全参数信息，向所述UE发起安全协商。本方法步骤的执行书要可以用户基站除了可以主动的请求安全参数信息时，也可以被动的接收UE或核心网主动发送的安全参数信息变更指示，从而保证UE在与基站进行数据传输的过程中，能保证安全参数信息的有效性。
通过本实发明实施例，主要解决了如何在安全传输目标数据给基站的同时，又可以减少空口信令的开销或功耗的技术问题，即通过初始接入时，UE和基站建立连接后，进行现有技术中的AS安全保护，当释放连接时，基站将本次使用的AS安全相关安全参数信息发送给核心网设备进行保存，当再次建立连接且UE有目标数据需要发送时，基站向核心网设备发起此前已经存储过的安全解目标数据的相关安全请求信息，再接收核心网设备返回相关安全参数信息，或者直接解出目标数据，可以避免基站与UE通过AS SMC协商安全参数信息流程，不仅实现了AS的安全保护，而且节省了功耗。
为了便于更好地实施本发明实施例的上述方法实施例，本发明还提供了用于配合实施上述方法实施例的相关基站和用户设备。下面结合图4、图5、图6及图7所示的本发明提供的相关基站、核心网设备及用户设备的示意图，进行详细说明：
请参见图4，图4是本发明实施例提供的一种基站10，所述基站10包括输入单元101、输出单元102、存储单元103和处理单元104，在本发明的一些实施例中，输入单元101、存储单元103和处理单元104可通过总线或者其它方式连接，其中，图4中以通过总线连接为例。所述处理单元104调用所述存储单元103中的程序代码，用于执行如下操作：
通过所述输入单元101基站接收用户设备UE发送的经过安全处理的目标数据；
通过所述输出单元102向核心网设备发送所述UE的安全请求信息；
通过所述输入单元101接收所述核心网设备返回的安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
可选的，所述处理单元104用于通过所述输入单元101接收所述UE发送的经过安全处理的目标数据的同时，通过所述输入单元101接收所述UE发送 的安全相关信息；
当所述基站判断出所述安全相关信息与所述基站本地保存的安全相关信息不一致时，执行所述通过所述输出单元102向核心网设备发送所述UE的安全请求信息的步骤。
可选的，所述处理单元104用于当所述安全响应信息包括所述UE的安全参数信息时，通过所述输入单元101接收所述核心网设备返回的安全响应信息，具体为：
通过所述输入单元101接收所述核心网设备返回的更新的接入层AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
可选的，所述处理单元104通过所述输入单元101接收用户设备UE发送的经过安全处理的目标数据，包括：
通过所述输入单元101接收所述UE通过上行NAS信令或者上行RRC信令或者上行MAC层信令发送的经过安全处理的目标数据。
可选的，所述经过安全处理的目标数据包括经过非接入层NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
所述经过安全处理的目标数据包括经过接入层AS安全加密的目标数据，或经过AS完整性保护的目标数据，或经过AS加密和AS完整性保护的目标数据。
可选的，所述处理单元104通过所述输出单元102向核心网设备发送所述UE的安全请求信息，包括：
通过所述输出单元102通过上行S1消息向核心网设备发送所述UE的安全请求信息。
可选的，所述处理单元104通过所述输出单元102向核心网设备发送所述UE的安全请求信息，包括：
通过所述输出单元102向核心网设备发送所述UE的标识和/或所述经过NAS安全处理的目标数据；或者
通过所述输出单元102向核心网设备发送所述UE的标识和/或所述经过AS安全处理的目标数据。
可选的，当所述安全响应信息包括所述UE的安全参数信息时，所述处理单元104，还用于：
通过所述输入单元101接收所述核心网设备返回的安全响应信息之后，根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理。
可选的，所述处理单元104通过所述输入单元101接收所述核心网设备返回的安全响应信息，包括：
通过所述输出单元102接收所述核心网设备通过下行S1消息返回的安全响应信息。
可选的，所述处理单元104通过所述输入单元101接收所述核心网设备返回的安全响应信息中的安全参数信息，包括：
通过所述输入单元101接收所述核心网设备返回的所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
通过所述输入单元101接收所述核心网设备返回的所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
可选的，所述处理单元104通过所述输入单元101接收所述核心网设备返回的安全响应信息中的安全解处理的目标数据，包括：
通过所述输入单元101接收所述核心网设备返回的对所述经过NAS安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
通过所述输入单元101接收所述核心网设备返回的对所述经过AS安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
可选的，所述基站根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理，包括：
基于所述核心网设备返回的NAS安全参数信息对所述经过NAS安全处理的目标数据进行NAS安全解密，或NAS完整性校验，或NAS安全解密和NAS完整性校验；或者
基于所述核心网设备返回的AS安全参数信息对所述经过AS安全处理的目标数据进行AS安全解密，或AS完整性校验，或AS安全解密和AS完整性校验。
可选的，所述处理单元104，还用于：通过所述输入单元101接收用户设备UE发送的经过安全处理的目标数据之前，当所述UE与所述基站释放连接时，将所述AS安全参数信息通过所述输出单元102发送给所述核心网设备进行存储；或者
将更新后的AS安全参数信息通过所述输出单元102发送的安全请求信息，或者基站与核心网设备之间的接口信令发送给所述核心网设备进行存储。
可选的，所述处理单元104，还用于：通过所述输入单元101接收用户设备UE发送的经过安全处理的目标数据之后，通过所述输入单元101接收所述UE发送的安全参数信息变更指示；或者
通过所述输入单元101接收所述核心网发送的安全参数信息变更指示。
可选的，所述处理单元104，还用于：通过所述输入单元101接收到所述安全参数信息变更指示之后，通过所述输出单元102发起所述UE的安全参数信息重获取过程。
可选的，所述处理单元104用于通过所述输出单元102发起所述UE的安全参数信息重获取过程，具体为：
通过所述输出单元102向所述UE重新发起安全协商并确定变更的AS安全参数信息；或者
通过所述输入单元101从核心网设备获取更新的NAS安全参数信息；或者
通过所述输入单元101从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
可理解的是，基站10中各单元的功能可对应参考上述图2和图3中方法实施例中的具体实现方式，这里不再赘述。
图5是本发明实施例提供的一种基站20的结构示意图；该基站20可以包括输入单元201、输出单元202、存储单元203和处理单元204(处理单元204可以为一个或多个，图5中以一个处理单元为例)，输入单元201、输出单元202、存储单元203和处理单元204分别连接总线205，其中，存储单元203中存储一组安全处理的程序代码，且处理单元204用于调用存储单元203中存储的安全处理的程序代码来执行以下操作：
通过所述输入单元201接收用户设备UE发送的安全相关信息；
当判断出所述安全相关信息与本地保存的所述UE的安全相关信息不一致时，所述基站确定需要进行安全参数信息的变更。
可选的，所述处理单元204，还用于确定需要进行安全参数信息的变更之后，通过所述输出单元202发起所述UE的安全参数信息重获取过程。
可选的，所述处理单元204用于通过所述输出单元202发起所述UE的安全参数信息重获取过程，具体为：
通过所述输出单元202向所述UE重新发起安全协商并确定变更的接入层AS安全参数信息，以便于所述UE存储和/或核心网设备利用变更后的AS安全参数信息进行安全处理；或者
通过所述输入单元201从核心网设备获取更新的非接入层NAS安全参数信息；或者
通过所述输入单元201从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，和UE发起安全协商，以便于所述UE存储和/或核心网利用变更后的AS安全参数信息进行AS安全处理。
可理解的是，基站20中各单元的功能可对应参考上述图2和图3中方法实施例中的具体实现方式，这里不再赘述。
请参见图6，图6是本发明实施例提供的一种核心网设备30，核心网设备30包括输入单元301、输出单元302、存储单元303和处理单元304，在本发明的一些实施例中，输入单元301、存储单元303和处理单元304可通过总线或者其它方式连接，其中，图6中以通过总线连接为例。所述处理单元304 调用所述存储单元303中的程序代码，用于执行如下操作：
通过所述输入单元301接收基站发送的用户设备UE的安全请求信息；
通过所述输出单元302向所述基站发送安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
可选的，所述处理单元304用于通过所述输入单元301接收基站发送的用户设备UE的安全请求信息，包括：
通过所述输入单元301接收基站发送的所述UE的标识和/或所述经过非接入层NAS安全处理的目标数据；或者
通过所述输入单元301接收基站发送的所述UE的标识和/或所述经过接入层AS安全处理的目标数据。
可选的，所述处理单元304用于通过所述输出单元302所述核心网设备向所述基站发送安全响应信息中的安全参数信息，包括：
通过所述输出单元302向所述基站发送所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
通过所述输出单元302向所述基站发送所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
可选的，所述处理单元304用于通过所述输出单元302所述核心网设备向所述基站发送安全响应信息中的安全解处理的目标数据，包括：
通过所述输出单元302向所述基站发送通过NAS安全参数信息对所述经过安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
通过所述输出单元302向所述基站发送通过AS安全参数信息对所述经过安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
可选的，所述处理单元304，还用于：
通过所述输出单元302向所述基站发送安全响应信息之后，还通过所述输 出单元302向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
可选的，所述处理单元304，还用于：
通过所述输入单元301接收所述基站发送的所述UE的AS安全参数信息，所述AS安全参数信息为当所述UE与所述基站建立连接后，所述基站向所述UE发起安全协商并确定的AS安全参数信息；或者
通过所述输入单元301接收所述基站通过所述安全请求信息，或者基站到核心网设备的接口信令发送的所述UE的存储的所述AS安全参数信息或变更后的AS安全参数信息并进行存储。
可选的，所述处理单元304，还用于：
当所述核心网设备检测出所述AS安全参数信息变更时，通过所述输出单元302向所述基站发送安全参数信息变更指示。
可理解的是，核心网设备30中各单元的功能可对应参考上述图2和图3中方法实施例中的具体实现方式，这里不再赘述。
请参见图7，图7是本发明实施例提供的一种用户设备UE40，UE 40可以包括：输入单元401、输出单元402、存储单元403和处理单元404，在本发明的一些实施例中。其中，总线用于实现这些组件之间的通信连接；输入单元401具体可为终端的触控面板，包括触摸屏和触控屏，用于检测终端触控面板上的操作指令；输出单元402可以包括终端的显示屏(Display)；存储单元403可以是高速RAM显示器，也可以是非不稳定的显示器(non-volatile memory)，例如至少一个磁盘显示器，存储单元403可选的还可以是至少一个位于远离前述处理单元404的显示装置。如图7所示，作为一种计算机显示介质的存储单元403中可以包括操作系统、网络通信模块、用户接口模块以及数据处理程序。
图7中的UE的所述处理单元404调用所述存储单元403中的程序代码，用于执行如下操作：
通过所述输出单元402向基站发送经过非接入层NAS安全处理的目标数 据，所述经过NAS安全处理的目标数据包括经过NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
通过所述输出单元402向基站发送经过接入层AS安全处理的目标数据，所述经过AS安全处理的目标数据包括经过AS安全加密的目标数据，或AS完整性保护的目标数据，或AS加密和AS完整性保护的目标数据。
可选的，所述处理单元404用于通过所述输出单元402向基站发送经过NAS安全处理的目标数据，具体为：
通过所述输出单元402通过上行NAS信令或者上行RRC信令或者上行MAC层信令向基站发送经过NAS安全处理的目标数据。
可选的，所述处理单元404用于通过所述输出单元402向基站发送经过AS安全处理的目标数据，包括：
所述UE通过上行RRC信令或者上行MAC层信令向基站发送经过AS安全处理的目标数据。
可选的，所述处理单元404，还用于：
通过所述输出单元402向基站发送经过NAS安全处理的目标数据之前，利用NAS安全参数信息对目标数据进行NAS安全处理，所述NAS安全参数信息为所述UE与所述核心网设备已经进行安全协商并确定的NAS安全参数信息，所述NAS安全参数信息包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法。
可选的，所述处理单元404，还用于：
通过所述输出单元402向基站发送经过AS安全处理的接入层目标数据之前，利用AS安全参数信息对目标数据进行AS安全处理，所述AS安全参数信息为所述UE与所述基站已经进行安全协商并确定的AS安全参数信息或者已经存储于所述UE中的AS安全参数信息，所述AS安全参数信息包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
可选的，所述处理单元404，还用于：
通过所述输出单元402向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
可选的，所述处理单元404，还用于：
通过所述输出单元402向所述基站发送AS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的AS安全参数信息。
可理解的是，用户设备UE 40中各单元的功能可对应参考上述图2和图3中方法实施例中的具体实现方式，这里不再赘述。
应注意，本发明上述方法实施例可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法实施例的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑示意图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
可以理解，本发明实施例中的存储器可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(Read-Only Memory，ROM)、可编程只读存储器(Programmable ROM，PROM)、可擦除可编程只读存储器(Erasable PROM，EPROM)、电可擦除可编程只读存储器(Electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(Random Access Memory，RAM)，其用作外部高速缓存。 通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(Static RAM，SRAM)、动态随机存取存储器(Dynamic RAM，DRAM)、同步动态随机存取存储器(Synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(Double Data Rate SDRAM，DDR SDRAM)、增强型同步动态随机存取存储器(Enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(Synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(Direct Rambus RAM，DR RAM)。应注意，本文描述的系统和方法的存储器旨在包括但不限于这些和任意其它适合类型的存储器。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元 中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (66)

  1. 一种安全处理方法，其特征在于，包括：
    基站接收用户设备UE发送的经过安全处理的目标数据；
    所述基站向核心网设备发送所述UE的安全请求信息；
    所述基站接收所述核心网设备返回的安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
  2. 如权利要求1所述的方法，其特征在于，所述基站接收所述UE发送的经过安全处理的目标数据的同时，接收所述UE发送的安全相关信息；
    当所述基站判断出所述安全相关信息与所述基站本地保存的安全相关信息不一致时，执行所述向核心网设备发送所述UE的安全请求信息的步骤。
  3. 如权利要求2所述的方法，其特征在于，当所述安全响应信息包括所述UE的安全参数信息时，所述基站接收所述核心网设备返回的安全响应信息，包括：
    所述基站接收所述核心网设备返回的更新的接入层AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
  4. 如权利要求1所述的方法，其特征在于，所述基站接收用户设备UE发送的经过安全处理的目标数据，包括：
    所述基站接收所述UE通过上行NAS信令或者上行RRC信令或者上行MAC层信令发送的经过安全处理的目标数据。
  5. 如权利要求1-4所述的方法，其特征在于，所述经过安全处理的目标数据包括经过非接入层NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
    所述经过安全处理的目标数据包括经过接入层AS安全加密的目标数据，或经过AS完整性保护的目标数据，或经过AS加密和AS完整性保护的目标 数据。
  6. 如权利要求1-5任意一项所述的方法，其特征在于，所述基站向核心网设备发送所述UE的安全请求信息，包括：
    所述基站通过上行S1消息向核心网设备发送所述UE的安全请求信息。
  7. 如权利要求1-6任意一项所述的方法，其特征在于，所述基站向核心网设备发送所述UE的安全请求信息，包括：
    所述基站向核心网设备发送所述UE的标识和/或所述经过NAS安全处理的目标数据；或者
    所述基站向核心网设备发送所述UE的标识和/或所述经过AS安全处理的目标数据。
  8. 如权利要求1-7所述的方法，其特征在于，当所述安全响应信息包括所述UE的安全参数信息时，所述基站接收所述核心网设备返回的安全响应信息之后，还包括：
    所述基站根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理。
  9. 如权利要求1-8任意一项所述的方法，其特征在于，所述基站接收所述核心网设备返回的安全响应信息，包括：
    所述基站接收所述核心网设备通过下行S1消息返回的安全响应信息。
  10. 如权利要求1-9任意一项所述的方法，所述基站接收所述核心网设备返回的安全响应信息中的安全参数信息，包括：
    所述基站接收所述核心网设备返回的所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
    所述基站接收所述核心网设备返回的所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
  11. 如权利要求1-10任意一项所述的方法，其特征在于，所述基站接收所述核心网设备返回的安全响应信息中的安全解处理的目标数据，包括：
    所述基站接收所述核心网设备返回的对所述经过NAS安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
    所述基站接收所述核心网设备返回的对所述经过AS安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
  12. 如权利要求1-11所述的方法，其特征在于，所述基站根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理，包括：
    所述基站基于所述核心网设备返回的NAS安全参数信息对所述经过NAS安全处理的目标数据进行NAS安全解密，或NAS完整性校验，或NAS安全解密和NAS完整性校验；或者
    所述基站基于所述核心网设备返回的AS安全参数信息对所述经过AS安全处理的目标数据进行AS安全解密，或AS完整性校验，或AS安全解密和AS完整性校验。
  13. 如权利要求1-12所述的方法，其特征在于，所述基站接收用户设备UE发送的经过安全处理的目标数据之前，包括：
    当所述UE与所述基站释放连接时，所述基站将所述AS安全参数信息发送给所述核心网设备进行存储；或者
    所述基站将更新后的AS安全参数信息通过发送的安全请求信息，或者基站与核心网设备之间的接口信令发送给所述核心网设备进行存储。
  14. 如权利要求13所述的方法，其特征在于，基站接收用户设备UE发送的经过安全处理的目标数据之后，还包括：
    接收所述UE发送的安全参数信息变更指示；或者
    接收所述核心网发送的安全参数信息变更指示。
  15. 如权利要求14所述的方法，其特征在于，所述基站接收到所述安全参数信息变更指示之后，包括：所述基站发起所述UE的安全参数信息重获取过程。
  16. 如权利要求15所述的方法，其特征在于，所述基站发起所述UE的安全参数信息重获取过程，包括：
    向所述UE重新发起安全协商并确定变更的AS安全参数信息；或者
    所述基站从核心网设备获取更新的NAS安全参数信息；或者
    所述基站从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
  17. 一种安全处理方法，其特征在于，包括：
    基站接收用户设备UE发送的安全相关信息；
    当所述基站判断出所述安全相关信息与本地保存的所述UE的安全相关信息不一致时，所述基站确定需要进行安全参数信息的变更。
  18. 如权利要求17所述的方法，其特征在于，所述基站确定需要进行安全参数信息的变更之后，包括：所述基站发起所述UE的安全参数信息重获取过程。
  19. 如权利要求18所述的方法，其特征在于，所述基站发起所述UE的安全参数信息重获取过程，包括：
    向所述UE重新发起安全协商并确定变更的接入层AS安全参数信息，以 便于所述UE存储和/或核心网设备利用变更后的AS安全参数信息进行安全处理；或者
    所述基站从核心网设备获取更新的非接入层NAS安全参数信息；或者
    所述基站从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，和UE发起安全协商，以便于所述UE存储和/或核心网利用变更后的AS安全参数信息进行AS安全处理。
  20. 一种安全处理方法，其特征在于，包括：
    核心网设备接收基站发送的用户设备UE的安全请求信息；
    所述核心网设备向所述基站发送安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
  21. 如权利要求20所述的方法，其特征在于，所述核心网设备接收基站发送的用户设备UE的安全请求信息，包括：
    所述核心网设备接收基站发送的所述UE的标识和/或所述经过非接入层NAS安全处理的目标数据；或者
    所述核心网设备接收基站发送的所述UE的标识和/或所述经过接入层AS安全处理的目标数据。
  22. 如权利要求20-21任意一项所述的方法，所述核心网设备向所述基站发送安全响应信息中的安全参数信息，包括：
    所述核心网设备向所述基站发送所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
    所述核心网设备向所述基站发送所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
  23. 如权利要求20-22任意一项所述的方法，其特征在于，所述核心网设 备向所述基站发送安全响应信息中的安全解处理的目标数据，包括：
    所述核心网设备向所述基站发送通过NAS安全参数信息对所述经过安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
    所述核心网设备向所述基站发送通过AS安全参数信息对所述经过安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
  24. 如权利要求20-23任意一项所述的方法，其特征在于，所述核心网设备向所述基站发送安全响应信息之后，还包括：
    所述核心网设备向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
  25. 如权利要求20-23所述的方法，其特征在于，所述核心网设备向所述基站发送安全响应信息之前，包括：
    接收所述基站发送的所述UE的AS安全参数信息，所述AS安全参数信息为当所述UE与所述基站建立连接后，所述基站向所述UE发起安全协商并确定的AS安全参数信息；或者
    接收所述基站通过所述安全请求信息，或者基站到核心网设备的接口信令发送的所述UE的存储的所述AS安全参数信息或变更后的AS安全参数信息并进行存储。
  26. 如权利要求20-23或25任意一项所述的方法，其特征在于，所述方法还包括：
    当所述核心网设备检测出所述AS安全参数信息变更时，向所述基站发送安全参数信息变更指示。
  27. 一种安全处理方法，其特征在于，包括：
    UE向基站发送经过非接入层NAS安全处理的目标数据，所述经过NAS安全处理的目标数据包括经过NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
    UE向基站发送经过接入层AS安全处理的目标数据，所述经过AS安全处理的目标数据包括经过AS安全加密的目标数据，或AS完整性保护的目标数据，或AS加密和AS完整性保护的目标数据。
  28. 如权利要求27所述的方法，其特征在于，所述UE向基站发送经过NAS安全处理的目标数据，包括：
    所述UE通过上行NAS信令或者上行RRC信令或者上行MAC层信令向基站发送经过NAS安全处理的目标数据。
  29. 如权利要求27所述的方法，其特征在于，所述UE向基站发送经过AS安全处理的目标数据，包括：
    所述UE通过上行RRC信令或者上行MAC层信令向基站发送经过AS安全处理的目标数据。
  30. 如权利要求27或28所述的方法，其特征在于，所述UE向基站发送经过NAS安全处理的目标数据之前，包括：
    所述UE利用NAS安全参数信息对目标数据进行NAS安全处理，所述NAS安全参数信息为所述UE与所述核心网设备已经进行安全协商并确定的NAS安全参数信息，所述NAS安全参数信息包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法。
  31. 如权利要求27或29所述的方法，其特征在于，所述UE向基站发送经过AS安全处理的接入层目标数据之前，包括：
    所述UE利用AS安全参数信息对目标数据进行AS安全处理，所述AS安全参数信息为所述UE与所述基站已经进行安全协商并确定的AS安全参数 信息或者已经存储于所述UE中的AS安全参数信息，所述AS安全参数信息包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
  32. 如权利要求27或28或30所述的方法，其特征在于，所述方法，还包括：
    所述UE向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
  33. 如权利要求27或29或31所述的方法，其特征在于，所述方法，还包括：
    所述UE向所述基站发送AS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的AS安全参数信息。
  34. 一种基站，其特征在于，包括：输入单元、输出单元、存储单元和处理单元；
    其中，所述存储单元用于存储程序代码，所述处理单元用于调用所述存储单元存储的程序代码执行如下步骤：
    通过所述输入单元基站接收用户设备UE发送的经过安全处理的目标数据；
    通过所述输出单元向核心网设备发送所述UE的安全请求信息；
    通过所述输入单元接收所述核心网设备返回的安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
  35. 如权利要求34所述的基站，其特征在于，所述处理单元用于通过所述输入单元接收所述UE发送的经过安全处理的目标数据的同时，通过所述输入单元接收所述UE发送的安全相关信息；
    当所述基站判断出所述安全相关信息与所述基站本地保存的安全相关信 息不一致时，执行所述通过所述输出单元向核心网设备发送所述UE的安全请求信息的步骤。
  36. 如权利要求35所述的基站，其特征在于，所述处理单元用于当所述安全响应信息包括所述UE的安全参数信息时，通过所述输入单元接收所述核心网设备返回的安全响应信息，具体为：
    通过所述输入单元接收所述核心网设备返回的更新的接入层AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
  37. 如权利要求34所述的基站，其特征在于，所述处理单元通过所述输入单元接收用户设备UE发送的经过安全处理的目标数据，包括：
    通过所述输入单元接收所述UE通过上行NAS信令或者上行RRC信令或者上行MAC层信令发送的经过安全处理的目标数据。
  38. 如权利要求34-37所述的基站，其特征在于，所述经过安全处理的目标数据包括经过非接入层NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
    所述经过安全处理的目标数据包括经过接入层AS安全加密的目标数据，或经过AS完整性保护的目标数据，或经过AS加密和AS完整性保护的目标数据。
  39. 如权利要求34-38任意一项所述的基站，其特征在于，所述处理单元通过所述输出单元向核心网设备发送所述UE的安全请求信息，包括：
    通过所述输出单元通过上行S1消息向核心网设备发送所述UE的安全请求信息。
  40. 如权利要求34-39任意一项所述的基站，其特征在于，所述处理单元通过所述输出单元向核心网设备发送所述UE的安全请求信息，包括：
    通过所述输出单元向核心网设备发送所述UE的标识和/或所述经过NAS 安全处理的目标数据；或者
    通过所述输出单元向核心网设备发送所述UE的标识和/或所述经过AS安全处理的目标数据。
  41. 如权利要求34-40所述的基站，其特征在于，当所述安全响应信息包括所述UE的安全参数信息时，所述处理单元，还用于：
    通过所述输入单元接收所述核心网设备返回的安全响应信息之后，根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理。
  42. 如权利要求34-41任意一项所述的基站，其特征在于，所述处理单元通过所述输入单元接收所述核心网设备返回的安全响应信息，包括：
    通过所述输出单元接收所述核心网设备通过下行S1消息返回的安全响应信息。
  43. 如权利要求34-42任意一项所述的基站，所述处理单元通过所述输入单元接收所述核心网设备返回的安全响应信息中的安全参数信息，包括：
    通过所述输入单元接收所述核心网设备返回的所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
    通过所述输入单元接收所述核心网设备返回的所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
  44. 如权利要求34-43任意一项所述的基站，其特征在于，所述处理单元通过所述输入单元接收所述核心网设备返回的安全响应信息中的安全解处理的目标数据，包括：
    通过所述输入单元接收所述核心网设备返回的对所述经过NAS安全处理 的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
    通过所述输入单元接收所述核心网设备返回的对所述经过AS安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
  45. 如权利要求34-44所述的基站，其特征在于，所述基站根据所述安全响应信息中的所述安全参数信息，对所述经过安全处理的目标数据进行安全解处理，包括：
    基于所述核心网设备返回的NAS安全参数信息对所述经过NAS安全处理的目标数据进行NAS安全解密，或NAS完整性校验，或NAS安全解密和NAS完整性校验；或者
    基于所述核心网设备返回的AS安全参数信息对所述经过AS安全处理的目标数据进行AS安全解密，或AS完整性校验，或AS安全解密和AS完整性校验。
  46. 如权利要求34-45所述的基站，其特征在于，所述处理单元，还用于：通过所述输入单元接收用户设备UE发送的经过安全处理的目标数据之前，当所述UE与所述基站释放连接时，将所述AS安全参数信息通过所述输出单元发送给所述核心网设备进行存储；或者
    将更新后的AS安全参数信息通过所述输出单元发送的安全请求信息，或者基站与核心网设备之间的接口信令发送给所述核心网设备进行存储。
  47. 如权利要求46所述的基站，其特征在于，所述处理单元，还用于：通过所述输入单元接收用户设备UE发送的经过安全处理的目标数据之后，通过所述输入单元接收所述UE发送的安全参数信息变更指示；或者
    通过所述输入单元接收所述核心网发送的安全参数信息变更指示。
  48. 如权利要求47所述的基站，其特征在于，所述处理单元，还用于： 通过所述输入单元接收到所述安全参数信息变更指示之后，通过所述输出单元发起所述UE的安全参数信息重获取过程。
  49. 如权利要求48所述的基站，其特征在于，所述处理单元用于通过所述输出单元发起所述UE的安全参数信息重获取过程，具体为：
    通过所述输出单元向所述UE重新发起安全协商并确定变更的AS安全参数信息；或者
    通过所述输入单元从核心网设备获取更新的NAS安全参数信息；或者
    通过所述输入单元从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，向所述UE发起安全协商。
  50. 一种基站，其特征在于，包括：输入单元、输出单元、存储单元和处理单元；
    其中，所述存储单元用于存储程序代码，所述处理单元用于调用所述存储单元存储的程序代码执行如下步骤：
    通过所述输入单元接收用户设备UE发送的安全相关信息；
    当判断出所述安全相关信息与本地保存的所述UE的安全相关信息不一致时，所述基站确定需要进行安全参数信息的变更。
  51. 如权利要求50所述的基站，其特征在于，所述处理单元，还用于确定需要进行安全参数信息的变更之后，通过所述输出单元发起所述UE的安全参数信息重获取过程。
  52. 如权利要求51所述的基站，其特征在于，所述处理单元用于通过所述输出单元发起所述UE的安全参数信息重获取过程，具体为：
    通过所述输出单元向所述UE重新发起安全协商并确定变更的接入层AS安全参数信息，以便于所述UE存储和/或核心网设备利用变更后的AS安全参数信息进行安全处理；或者
    通过所述输入单元从核心网设备获取更新的非接入层NAS安全参数信息； 或者
    通过所述输入单元从核心网设备获取更新的AS安全参数信息，并基于更新的AS安全参数信息，和UE发起安全协商，以便于所述UE存储和/或核心网利用变更后的AS安全参数信息进行AS安全处理。
  53. 一种核心网设备，其特征在于，包括：输入单元、输出单元、存储单元和处理单元；
    其中，所述存储单元用于存储程序代码，所述处理单元用于调用所述存储单元存储的程序代码执行如下步骤：
    通过所述输入单元接收基站发送的用户设备UE的安全请求信息；
    通过所述输出单元向所述基站发送安全响应信息，所述安全响应信息包括所述UE的安全参数信息和/或安全解处理的目标数据。
  54. 如权利要求53所述的核心网设备，其特征在于，所述处理单元用于通过所述输入单元接收基站发送的用户设备UE的安全请求信息，包括：
    通过所述输入单元接收基站发送的所述UE的标识和/或所述经过非接入层NAS安全处理的目标数据；或者
    通过所述输入单元接收基站发送的所述UE的标识和/或所述经过接入层AS安全处理的目标数据。
  55. 如权利要求53-54任意一项所述的核心网设备，所述处理单元用于通过所述输出单元所述核心网设备向所述基站发送安全响应信息中的安全参数信息，包括：
    通过所述输出单元向所述基站发送所述UE的NAS安全参数，所述NAS安全参数包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法；或者
    通过所述输出单元向所述基站发送所述UE的AS安全参数，所述AS安全参数包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS 完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
  56. 如权利要求53-55任意一项所述的核心网设备，其特征在于，所述处理单元用于通过所述输出单元所述核心网设备向所述基站发送安全响应信息中的安全解处理的目标数据，包括：
    通过所述输出单元向所述基站发送通过NAS安全参数信息对所述经过安全处理的目标数据进行了NAS安全解密的目标数据，或NAS完整性校验的目标数据，或NAS安全解密和NAS完整性校验的目标数据；或者
    通过所述输出单元向所述基站发送通过AS安全参数信息对所述经过安全处理的目标数据进行了AS安全解密的目标数据，或AS完整性校验的目标数据，或AS安全解密和AS完整性校验的目标数据。
  57. 如权利要求53-56任意一项所述的核心网设备，其特征在于，所述处理单元，还用于：
    通过所述输出单元向所述基站发送安全响应信息之后，还通过所述输出单元向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
  58. 如权利要求53-56所述的核心网设备，其特征在于，所述处理单元，还用于：
    通过所述输入单元接收所述基站发送的所述UE的AS安全参数信息，所述AS安全参数信息为当所述UE与所述基站建立连接后，所述基站向所述UE发起安全协商并确定的AS安全参数信息；或者
    通过所述输入单元接收所述基站通过所述安全请求信息，或者基站到核心网设备的接口信令发送的所述UE的存储的所述AS安全参数信息或变更后的AS安全参数信息并进行存储。
  59. 如权利要求53-56或58任意一项所述的核心网设备，其特征在于，所述处理单元，还用于：
    当所述核心网设备检测出所述AS安全参数信息变更时，通过所述输出单元向所述基站发送安全参数信息变更指示。
  60. (UE)一种用户设备UE，其特征在于，包括：输入单元、输出单元、存储单元和处理单元；
    其中，所述存储单元用于存储程序代码，所述处理单元用于调用所述存储单元存储的程序代码执行如下步骤：
    通过所述输出单元向基站发送经过非接入层NAS安全处理的目标数据，所述经过NAS安全处理的目标数据包括经过NAS安全加密的目标数据，或NAS完整性保护的目标数据，或NAS加密和NAS完整性保护的目标数据；或者
    通过所述输出单元向基站发送经过接入层AS安全处理的目标数据，所述经过AS安全处理的目标数据包括经过AS安全加密的目标数据，或AS完整性保护的目标数据，或AS加密和AS完整性保护的目标数据。
  61. 如权利要求60所述的UE，其特征在于，所述处理单元用于通过所述输出单元向基站发送经过NAS安全处理的目标数据，具体为：
    通过所述输出单元通过上行NAS信令或者上行RRC信令或者上行MAC层信令向基站发送经过NAS安全处理的目标数据。
  62. 如权利要求60所述的UE，其特征在于，所述处理单元用于通过所述输出单元向基站发送经过AS安全处理的目标数据，包括：
    所述UE通过上行RRC信令或者上行MAC层信令向基站发送经过AS安全处理的目标数据。
  63. 如权利要求60或61所述的UE，其特征在于，所述处理单元，还用于：
    通过所述输出单元向基站发送经过NAS安全处理的目标数据之前，利用NAS安全参数信息对目标数据进行NAS安全处理，所述NAS安全参数信息 为所述UE与所述核心网设备已经进行安全协商并确定的NAS安全参数信息，所述NAS安全参数信息包括NAS加密密钥或产生密钥的相关参数以及NAS加密算法，和/或NAS完整性保护密钥或产生密钥的相关参数以及NAS完整性保护算法。
  64. 如权利要求60或62所述的UE，其特征在于，所述处理单元，还用于：
    通过所述输出单元向基站发送经过AS安全处理的接入层目标数据之前，利用AS安全参数信息对目标数据进行AS安全处理，所述AS安全参数信息为所述UE与所述基站已经进行安全协商并确定的AS安全参数信息或者已经存储于所述UE中的AS安全参数信息，所述AS安全参数信息包括AS加密密钥或产生密钥的相关参数以及AS加密算法，和/或AS完整性保护密钥或产生密钥的相关参数以及AS完整性保护算法。
  65. 如权利要求60或61或63所述的UE，其特征在于，所述处理单元，还用于：
    通过所述输出单元向所述基站发送NAS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的NAS安全参数信息。
  66. 如权利要求60或62或64所述的UE，其特征在于，所述处理单元，还用于：
    通过所述输出单元向所述基站发送AS安全参数信息变更指示，所述变更指示为所述UE和/或所述核心网设备重新进行安全协商后确定的变更后的AS安全参数信息。
PCT/CN2016/073731 2016-02-06 2016-02-06 一种安全处理方法及相关设备 WO2017133021A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201680081121.0A CN108605225B (zh) 2016-02-06 2016-02-06 一种安全处理方法及相关设备
EP16888845.1A EP3402237B1 (en) 2016-02-06 2016-02-06 Security processing method and relevant device
PCT/CN2016/073731 WO2017133021A1 (zh) 2016-02-06 2016-02-06 一种安全处理方法及相关设备
US16/054,569 US11140546B2 (en) 2016-02-06 2018-08-03 Security processing method and related device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2016/073731 WO2017133021A1 (zh) 2016-02-06 2016-02-06 一种安全处理方法及相关设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/054,569 Continuation US11140546B2 (en) 2016-02-06 2018-08-03 Security processing method and related device

Publications (1)

Publication Number Publication Date
WO2017133021A1 true WO2017133021A1 (zh) 2017-08-10

Family

ID=59499173

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2016/073731 WO2017133021A1 (zh) 2016-02-06 2016-02-06 一种安全处理方法及相关设备

Country Status (4)

Country Link
US (1) US11140546B2 (zh)
EP (1) EP3402237B1 (zh)
CN (1) CN108605225B (zh)
WO (1) WO2017133021A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112106391A (zh) * 2018-05-11 2020-12-18 瑞典爱立信有限公司 用于保护无线电连接的方法、装置和系统

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10667126B2 (en) * 2017-10-02 2020-05-26 Telefonaktiebolaget Lm Ericsson (Publ) Access stratum security in a wireless communication system
CN114071459A (zh) * 2017-10-31 2022-02-18 华为技术有限公司 一种rrc连接恢复方法及装置
WO2020088928A1 (en) * 2018-11-02 2020-05-07 Telefonaktiebolaget Lm Ericsson (Publ) Small data communication security
WO2020191741A1 (zh) 2019-03-28 2020-10-01 Oppo广东移动通信有限公司 连接管理方法、装置、计算机设备和存储介质
CN110730447B (zh) * 2019-10-18 2022-02-22 中国联合网络通信集团有限公司 一种用户身份保护方法、用户终端和核心网
CN110621016B (zh) * 2019-10-18 2022-08-12 中国联合网络通信集团有限公司 一种用户身份保护方法、用户终端和基站
WO2021088067A1 (zh) * 2019-11-08 2021-05-14 华为技术有限公司 截短参数的保护方法及装置
US11963125B2 (en) * 2021-01-08 2024-04-16 Samsung Electronics Co., Ltd. Method and apparatus for measurement of TAI updates in an NTN

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101483865A (zh) * 2009-01-19 2009-07-15 中兴通讯股份有限公司 一种密钥更替方法、系统及设备
CN101686233A (zh) * 2008-09-24 2010-03-31 大唐移动通信设备有限公司 Ue与网络安全算法不匹配的处理方法、系统及装置
CN102932784A (zh) * 2011-08-12 2013-02-13 华为技术有限公司 终端的通信方法和设备
CN103813300A (zh) * 2012-11-14 2014-05-21 华为终端有限公司 数据传输方法、设备及系统

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI111423B (fi) * 2000-11-28 2003-07-15 Nokia Corp Järjestelmä kanavanvaihdon jälkeen tapahtuvan tietoliikenteen salauksen varmistamiseksi
US8660270B2 (en) * 2007-09-17 2014-02-25 Telefonaktiebolaget L M Ericsson (Publ) Method and arrangement in a telecommunication system
KR101475349B1 (ko) * 2008-11-03 2014-12-23 삼성전자주식회사 이동 통신 시스템에서 단말 보안 능력 관련 보안 관리 방안및 장치
US9065908B2 (en) * 2010-02-12 2015-06-23 Broadcom Corporation Method and system for ensuring user and/or device anonymity for location based services (LBS)
CN103096302B (zh) * 2011-10-27 2016-03-02 华为技术有限公司 一种加密方法、解密方法和相关装置
EP2847947B1 (en) * 2012-05-10 2020-12-23 Samsung Electronics Co., Ltd. Method and system for connectionless transmission during uplink and downlink of data packets
CN103428690B (zh) * 2012-05-23 2016-09-07 华为技术有限公司 无线局域网络的安全建立方法及系统、设备
CN103841547B (zh) * 2012-11-27 2017-11-10 电信科学技术研究院 一种下行数据传输方法、装置及系统
US9820184B2 (en) * 2014-09-23 2017-11-14 Qualcomm Incorporated Methods and apparatus for secure connectionless uplink small data transmission
US9998449B2 (en) * 2014-09-26 2018-06-12 Qualcomm Incorporated On-demand serving network authentication
WO2016085001A1 (ko) * 2014-11-27 2016-06-02 엘지전자 주식회사 스몰셀 환경을 지원하는 무선 접속 시스템에서 위치 비밀성 보호를 지원하는 방법 및 장치
WO2016114691A1 (en) * 2015-01-13 2016-07-21 Telefonaktiebolaget Lm Ericsson (Publ) A network node, a wireless device and respective method performed thereby for use in a random access procedure therebetween in a cell of the network node
US10275737B2 (en) * 2015-12-14 2019-04-30 Verizon Patent And Licensing Inc. Enabling and disabling user device configurations based on an account type of the user device

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101686233A (zh) * 2008-09-24 2010-03-31 大唐移动通信设备有限公司 Ue与网络安全算法不匹配的处理方法、系统及装置
CN101483865A (zh) * 2009-01-19 2009-07-15 中兴通讯股份有限公司 一种密钥更替方法、系统及设备
CN102932784A (zh) * 2011-08-12 2013-02-13 华为技术有限公司 终端的通信方法和设备
CN103813300A (zh) * 2012-11-14 2014-05-21 华为终端有限公司 数据传输方法、设备及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3402237A4 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112106391A (zh) * 2018-05-11 2020-12-18 瑞典爱立信有限公司 用于保护无线电连接的方法、装置和系统

Also Published As

Publication number Publication date
US11140546B2 (en) 2021-10-05
EP3402237A1 (en) 2018-11-14
EP3402237A4 (en) 2018-12-05
EP3402237B1 (en) 2021-12-01
CN108605225A (zh) 2018-09-28
US20180343566A1 (en) 2018-11-29
CN108605225B (zh) 2021-02-12

Similar Documents

Publication Publication Date Title
WO2017133021A1 (zh) 一种安全处理方法及相关设备
CN110830991B (zh) 安全会话方法和装置
US10798082B2 (en) Network authentication triggering method and related device
US20200228977A1 (en) Parameter Protection Method And Device, And System
US10681551B2 (en) Security protection method and apparatus
CN110891269B (zh) 一种数据保护方法、设备及系统
WO2020248624A1 (zh) 一种通信方法、网络设备、用户设备和接入网设备
WO2018201946A1 (zh) 锚密钥生成方法、设备以及系统
WO2016134536A1 (zh) 密钥生成方法、设备及系统
US20230292116A1 (en) Methods supporting authentication in wireless communication networks and related network nodes and wireless terminals
US20200344245A1 (en) Message sending method and apparatus
US20200275268A1 (en) Communication method and communications apparatus
WO2018166338A1 (zh) 一种秘钥更新方法及装置
WO2023283789A1 (zh) 一种安全通信方法及装置、终端设备、网络设备
EP4187952A1 (en) Method, system and apparatus for determining user plane security algorithm
WO2022134089A1 (zh) 一种安全上下文生成方法、装置及计算机可读存储介质
WO2021180209A1 (zh) 传输寻呼信息的方法和通信装置
US20210168614A1 (en) Data Transmission Method and Device
US20190149326A1 (en) Key obtaining method and apparatus
WO2020252790A1 (zh) 一种信息传输方法及装置、网络设备、用户设备
WO2022237561A1 (zh) 一种通信方法及装置
WO2020147602A1 (zh) 一种认证方法、装置和系统
EP3984267A1 (en) Handling of nas container in registration request at amf re-allocation
US11881961B2 (en) Communication method and related apparatus
US20230354028A1 (en) Method, system, and apparatus for generating key for inter-device communication

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16888845

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2016888845

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2016888845

Country of ref document: EP

Effective date: 20180809