WO2017210811A1 - 安全策略的执行方法和设备 - Google Patents

安全策略的执行方法和设备 Download PDF

Info

Publication number
WO2017210811A1
WO2017210811A1 PCT/CN2016/084886 CN2016084886W WO2017210811A1 WO 2017210811 A1 WO2017210811 A1 WO 2017210811A1 CN 2016084886 W CN2016084886 W CN 2016084886W WO 2017210811 A1 WO2017210811 A1 WO 2017210811A1
Authority
WO
WIPO (PCT)
Prior art keywords
security policy
service data
security
data
service
Prior art date
Application number
PCT/CN2016/084886
Other languages
English (en)
French (fr)
Inventor
刘文济
王江胜
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to PCT/CN2016/084886 priority Critical patent/WO2017210811A1/zh
Publication of WO2017210811A1 publication Critical patent/WO2017210811A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Definitions

  • the embodiments of the present invention relate to communication technologies, and in particular, to a method and an apparatus for performing a security policy.
  • the LTE network includes the access stratum (AS) security and the non-access stratum (NAS) security.
  • AS security is the security between user equipment (UE) and evolved node-B (eNB). It mainly performs encryption and integrity protection of AS signaling (RRC signaling) and users. Confidentiality protection of user plane (UP) data.
  • NAS security is the security between the UE and the mobile management entity (MME). It mainly performs the confidentiality and integrity protection of NAS signaling.
  • a security level corresponds to a unique security algorithm and security parameters, and security parameters. Including the security level of the identification and the length of the key.
  • all service data is protected by the same security algorithm and security parameters.
  • more complex security algorithms and longer keys are usually adopted. Wait. If all of the business data uses this complex security algorithm, it will not only increase the cost of the device, but also increase the power and latency required to obtain the data. And from the perspective of anti-attack, the attacker can decrypt all the data on the device after cracking a key.
  • the embodiment of the invention provides a method and a device for executing a security policy, which can be used for different industries.
  • the data is differentially protected to ensure the security of data transmission and improve the efficiency of data acquisition.
  • a first aspect of the present invention provides a method for performing a security policy, where the method includes: the security policy execution device acquires bearer information of the service data, and the correspondence between the bearer information of the service data and the preset bearer information and the security policy. Determining the security policy of the service data, and finally protecting the service data according to the determined security policy of the service data.
  • the bearer information includes: a bearer quality of service classification identifier QCI or a bearer identifier.
  • the security policy enforcement device determines the security policy of the service data according to the QCI of the bearer and the corresponding relationship between the preset QCI and the security policy.
  • the security policy enforcement device determines the security policy of the service data according to the identifier of the bearer and the correspondence between the identifier of the preset bearer and the security policy.
  • the security policy execution device may be a sending device of the service data, or may be a receiving device of the service data.
  • the security policy enforcement device performs security protection on the service data according to the security policy of the service data, specifically: the security policy execution device is secure according to the service data.
  • a policy that performs cryptographic operations and integrity protection on the business data When the security policy enforcement device is the receiving device of the service data, the security policy enforcement device performs security protection on the service data according to the security policy of the service data, specifically: the security policy execution device is secure according to the service data.
  • the strategy is to perform decryption operations and integrity verification on the business data.
  • the security policy execution device before the security policy execution device obtains the bearer information of the service data, the security policy execution device receives the correspondence between the bearer information and the security policy.
  • the correspondence between the bearer information and the security policy may also be pre-configured on the security policy enforcement device.
  • the security policy enforcement device is a user equipment UE, a base station, or a signaling management network element.
  • a second aspect of the present invention provides a security policy enforcement device, where the security policy execution device includes: an acquisition module, a determination module, and a security protection module.
  • the obtaining module is configured to obtain the bearer information of the service data
  • the determining module is configured to determine the security policy of the service data according to the bearer information of the service data and the correspondence between the preset bearer information and the security policy;
  • the service data is security protected according to the security policy of the service data.
  • the bearer information includes: a bearer quality of service classification identifier QCI or a bearer identifier.
  • the determining module is specifically configured to: determine a security policy of the service data according to the QCI of the bearer and the correspondence between the preset QCI and the security policy.
  • the determining module is specifically configured to determine the security policy of the service data according to the identifier of the bearer and the correspondence between the identifier of the preset bearer and the security policy.
  • the security policy execution device may be a sending device of the service data, or may be a receiving device of the service data.
  • the security protection module is specifically configured to perform encryption operation and integrity protection on the service data according to the security policy of the service data.
  • the security protection module is specifically configured to: perform decryption operation and integrity verification on the service data according to the security policy of the service data.
  • the security policy enforcement device further includes a receiving module, where the receiving module is configured to receive a correspondence between the bearer information and the security policy.
  • a third aspect of the present invention provides a security policy enforcement device including a processor and a memory.
  • the memory is configured to store a correspondence between the preset bearer information and the security policy;
  • the processor is configured to: obtain the bearer information of the service data, and according to the bearer information of the service data and the correspondence between the preset bearer information and the security policy Relationship, a security policy that determines the business data;
  • the service data is securely protected according to the security policy of the service data.
  • the bearer information includes: a bearer quality of service classification identifier QCI or a bearer identifier.
  • the processor is specifically configured to: determine a security policy of the service data according to the QCI of the bearer and a correspondence between the preset QCI and the security policy.
  • the processor is specifically configured to: determine a security policy of the service data according to the identifier of the bearer, and a correspondence between the identifier of the preset bearer and the security policy.
  • the security policy execution device may be a sending device of the service data, or may be a receiving device of the service data.
  • the processor is specifically configured to: perform encryption operation and integrity protection on the service data according to the security policy of the service data.
  • the security policy enforcement device is configured to receive the service data In the standby mode, the processor is specifically configured to: perform decryption operation and integrity verification on the service data according to the security policy of the service data.
  • the security policy enforcement device further includes a receiver, and the receiver is configured to receive a correspondence between the bearer information and the security policy.
  • the security policies related to the first to third aspects of the present invention include security algorithms and security parameters.
  • the security policy enforcement device involved in the foregoing first to third aspects of the present invention may be a user equipment UE, a base station, or a signaling management network element.
  • the correspondence between the QCI and the security policy may be stored in the QCI table.
  • a fourth aspect of the present invention provides a method for performing a security policy, where the method includes: first determining, according to security reference information of service data, a security policy of the service data, and then, according to the security policy of the service data, Performing encryption operation and integrity protection on the service data, and finally carrying the indication information of the security policy of the service data in the packet header of the data packet of the service data, and sending the information to the second security policy execution device, where the security policy of the service data is The indication information is used to indicate a security policy adopted by the first security policy enforcement device for performing encryption operation and integrity protection on the service data.
  • the first security policy enforcement device determines the security policy of the service data according to the security reference information of the service data and the correspondence between the preset security reference information and the security policy.
  • the first security policy enforcement device sends a security policy request message that carries the security reference information of the service data to the security policy determination device, and receives a security policy response message that is sent by the security policy to the security policy that carries the service data.
  • the security policy of the service data is that the security policy determines that the device determines the security reference information according to the service data.
  • the indication information of the security policy of the service data includes an identifier of the security policy or security reference information of the service data.
  • a fifth aspect of the present invention provides a method for performing a security policy, where the method includes: receiving, by a second security policy enforcement device, a data packet sent by a first security policy enforcement device, where the data packet carries service data, and the data packet is in a packet header. And the indication information of the security policy of the service data, where the indication information of the security policy of the service data is used to indicate that the first security policy enforcement device is The security policy used by the business data for cryptographic operations and integrity protection. Then, the second security policy enforcement device determines the security policy of the service data according to the indication information of the security policy of the service data, and performs decryption operation and integrity verification on the data packet according to the security policy of the service data.
  • the indication information of the security policy of the service data is an identifier of the security policy or security reference information of the service data.
  • the second security policy execution device is based on the security reference information of the service data, and the preset security reference information and the security policy. The correspondence between the two determines the security policy of the service data.
  • the second security policy execution device when the indication information of the security policy of the service data is the security reference information of the service data, the second security policy execution device sends a security policy request message that carries the security reference information of the service data to the security policy determination device, And receiving the security policy to determine the security policy response message sent by the device, where the security policy response message includes a security policy of the service data, where the security policy of the service data is determined by the security policy determining device according to the security reference information of the service data.
  • a sixth aspect of the present invention provides a first security policy enforcement device, where the first security policy execution device includes: a determining module, a security protection module, and a sending module.
  • the determining module is configured to determine a security policy of the service data according to the security reference information of the service data; the security protection module is configured to perform encryption operation and integrity protection on the service data according to the security policy of the service data; and the sending module is configured to:
  • the indication information of the security policy of the service data is sent to the second security policy enforcement device in the packet header of the data packet of the service data, where the indication information of the security policy of the service data is used to indicate that the first security policy execution device is to the service
  • the determining module is specifically configured to: determine a security policy of the service data according to the security reference information of the service data, and the correspondence between the preset security reference information and the security policy.
  • the determining module is specifically configured to: send a security policy request message that carries the security reference information of the service data to the security policy determining device, and receive a security policy response message sent by the security policy determining device, where the security policy response message is received.
  • Security policy including the business data The security policy of the service data is that the security policy determines that the device determines the security reference information according to the service data.
  • the indication information of the security policy of the service data includes an identifier of the security policy or security reference information of the service data.
  • a seventh aspect of the present invention provides a second security policy enforcement device, where the second security policy enforcement device includes: a receiving module, a determining module, and a security protection module, where the receiving module is configured to receive a data packet sent by the first security policy enforcement device, The data packet carries the service data, and the packet header includes the indication information of the security policy of the service data, and the indication information of the security policy of the service data is used to indicate that the first security policy execution device performs the encryption operation on the service data. And a security policy adopted by the integrity protection; the determining module is configured to determine a security policy of the service data according to the indication information of the security policy of the service data; and the security protection module is configured to perform the data packet according to the security policy of the service data. Decryption operations and integrity verification.
  • the indication information of the security policy of the service data is an identifier of the security policy or security reference information of the service data.
  • the determining module is specifically configured to: according to the security reference information of the service data, and the preset security reference information and the security policy. The correspondence between the two determines the security policy of the service data.
  • the determining module is specifically configured to: send, to the security policy determining device, a security policy request message that carries the security reference information of the service data, And receiving the security policy to determine the security policy response message sent by the device, where the security policy response message includes a security policy of the service data, where the security policy of the service data is determined by the security policy determining device according to the security reference information of the service data.
  • An eighth aspect of the present invention provides a first security policy enforcement device, where the first security policy enforcement device includes a processor and a transmitter.
  • the processor is configured to determine a security policy of the service data according to the security reference information of the service data, and perform encryption operation and integrity protection on the service data according to the security policy of the service data; and the sender uses the security policy for the service data.
  • the indication information is carried in the header of the data packet of the service data and sent to the second security policy enforcement device, where the indication information of the security policy of the service data is used to indicate the first security policy execution device.
  • the security policy used for cryptographic operations and integrity protection of this service data.
  • the first security policy enforcement device further includes a memory, where the memory is configured to store a correspondence between the preset security reference information and the security policy.
  • the processor is specifically configured to: use the security reference according to the service data. The information, and the correspondence between the preset security reference information and the security policy, determine a security policy of the service data.
  • the first security policy enforcement device further includes a receiver, and the processor is specifically configured to: control, by the sender, the security policy request message that sends the security reference information that carries the service data to the security policy determining device, and control
  • the receiver receives the security policy response message sent by the device, and the security policy response message includes a security policy of the service data, where the security policy of the service data is determined by the security policy determining device according to the security reference information of the service data.
  • the indication information of the security policy of the service data includes an identifier of the security policy or security reference information of the service data.
  • a ninth aspect of the present invention provides a second security policy enforcement device, where the second security policy enforcement device includes a receiver and a processor.
  • the receiver is configured to receive a data packet sent by the first security policy enforcement device, where the data packet carries the service data, where the packet header includes the indication information of the security policy of the service data, and the indication information of the security policy of the service data is used by And a security policy used by the first security policy enforcement device to perform encryption operation and integrity protection on the service data;
  • the processor is configured to determine a security policy of the service data according to the indication information of the security policy of the service data, and according to the service The data security policy performs decryption operations and integrity verification on the packet.
  • the indication information of the security policy of the service data is an identifier of the security policy or security reference information of the service data.
  • the second security policy execution device further includes a memory.
  • the memory is configured to store a correspondence between the preset security reference information and the security policy.
  • the processor is specifically configured to: according to the security reference information of the service data, and between the preset security reference information and the security policy. Corresponding relationship, determining the security policy of the business data.
  • the second security policy execution device when the indication information of the security policy of the service data is the security reference information of the service data, the second security policy execution device further includes a sender.
  • the control sender sends a security policy request message to the security policy determining device that sends the security reference information of the service data, and the control receiver receives the security policy response message sent by the device, where the security policy response message includes the service data.
  • the security policy, the security policy of the service data is determined by the security policy determining device according to the security reference information of the service data.
  • the security policy includes a security algorithm and a security parameter.
  • the indication information of the security policy of the service data is carried in the service type field of the Internet Protocol IP header of the data packet.
  • the indication information of the security policy of the service data is carried in the communication category field of the IP header of the data packet.
  • the security reference information of the service data includes a data attribute of the service data, a service attribute of the service data, an attribute of the user equipment, a security level of the service data, and the service data. At least one of a protection type and an identifier of the first security policy enforcement device, wherein the protection type includes path protection or data content protection; or the security reference information of the service data includes a quality of service classification identifier QCI of the service data .
  • the second security policy enforcement device when the first security policy enforcement device is the user equipment UE, the second security policy enforcement device is the UE, the application server, or the packet data gateway PGW.
  • the first security policy enforcement device is an application server
  • the second security policy enforcement device is a UE.
  • the first security policy enforcement device is a PGW
  • the second security policy enforcement device is a UE.
  • the security policy execution device determines the security policy of the service data according to the bearer information or the security reference information of the service data, and performs security protection on the service data according to the security policy of the service data.
  • the bearer information or security reference information of different service data is different, and the security policies used are different. Therefore, the security policy enforcement device can perform differential protection on different service data, which not only ensures the security of data transmission, but also improves the data acquisition. s efficiency.
  • FIG. 1 is a schematic structural diagram of an application scenario of an embodiment of the present invention
  • FIG. 2 is a flowchart of a method for executing a security policy according to Embodiment 1 of the present invention
  • FIG. 3 is a flowchart of a method for executing a security policy according to Embodiment 2 of the present invention.
  • FIG. 4 is a schematic structural diagram of an IP header of a data packet in an IPv4 format
  • FIG. 5 is a schematic structural diagram of an IP header of a data packet in an IPv6 format
  • FIG. 6 is a schematic structural diagram of a security policy execution device according to Embodiment 3 of the present invention.
  • FIG. 7 is a schematic structural diagram of a first security policy execution device according to Embodiment 4 of the present invention.
  • FIG. 8 is a schematic structural diagram of a second security policy execution device according to Embodiment 5 of the present invention.
  • FIG. 9 is a schematic structural diagram of a security policy execution device according to Embodiment 6 of the present invention.
  • FIG. 10 is a schematic structural diagram of a first security policy execution device according to Embodiment 7 of the present invention.
  • FIG. 11 is a schematic structural diagram of a second security policy execution apparatus according to Embodiment 8 of the present invention.
  • FIG. 12 is a schematic structural diagram of a security system according to Embodiment 9 of the present invention.
  • GSM Global System of Mobile communication
  • CDMA Code Division Multiple Access
  • WCDMA Wideband Code Division Multiple Access
  • GPRS General Packet Radio Service
  • LTE LTE system
  • FDD Frequency Division Duplex
  • TDD Time Division Duplex
  • UMTS Universal Mobile Telecommunication System
  • WiMAX Worldwide Interoperability for Microwave Access
  • a user equipment may be referred to as a terminal (Mobile), a mobile station ("MS” for short), or a mobile terminal (Mobile Terminal).
  • the UE may communicate with one or a core network via a Radio Access Network ("RAN"), for example, the UE may be a mobile phone (or “cellular” phone) or a computer with a mobile terminal, etc.
  • RAN Radio Access Network
  • the UE can also be a portable, pocket, handheld, computer built-in or in-vehicle mobile device that exchanges voice or data with the wireless access network.
  • the base station may be a base transceiver station (Base Transceiver Station, referred to as "BTS") in GSM or CDMA, or may be a base station (NodeB, referred to as "NB") in WCDMA, or may be
  • BTS Base Transceiver Station
  • NodeB NodeB
  • WCDMA Wideband Code Division Multiple Access
  • ENB or e-NodeB Evolved Node B
  • the following embodiments will be described by taking an eNB as an example.
  • the signaling management network element may be a Mobility Management Entity (MME) or a Serving GPRS Support Node (SGSN).
  • MME Mobility Management Entity
  • SGSN Serving GPRS Support Node
  • the signaling management network element can be an SGSN.
  • FIG. 1 is a schematic structural diagram of an application scenario of an embodiment of the present invention.
  • the LTE network may include: a UE, an Evolved UMTS Terrestrial Radio Access Network (E-UTRAN), a signaling management network element MME, and a serving gateway entity (Serving).
  • Gateway referred to as "SGW”, Packet Data Network Gateway (PGW), Policy and Charging Rule Function (PCRF), Home Network Server (Home Subscriber Server, referred to as "HSS”) and operator's IP Business, etc.
  • PGW Packet Data Network Gateway
  • PCRF Policy and Charging Rule Function
  • HSS Home Network Server
  • Operator's IP Business etc.
  • the core network of the LTE network mainly includes three logical functions: MME, SGW, and PGW.
  • MME is a signaling management network element, which is responsible for non-access stratum (Non-Access Stratum, abbreviated as "NAS") signaling encryption.
  • NAS Non-Access Stratum
  • the UE allocates the temporary identity, selects the core network element such as the SGW and the PGW, and provides functions such as roaming, tracking, and security;
  • the SGW is a mobility anchor for switching between local eNBs, and provides lawful interception related functions;
  • the PGW is responsible for the user address.
  • the HSS is used to store subscription information of users; and the PCRF is used to provide schemes and charging control rules.
  • the terminal and the network device When transmitting data, in order to ensure secure communication between the nodes, the terminal and the network device need to negotiate to determine the security policy, and enable the terminal or the network device to obtain the security policy, and then perform security protection on the transmitted data according to the security policy.
  • the connection establishment of the message security interaction mainly includes the following processes:
  • RRC Radio Resource Control
  • SRB Signaling Radio Bearer
  • AKA authentication and key agreement
  • SMC NAS security mode control
  • the AS SMC process is initiated, the AS security mechanism is activated, and the RRC messages that are exchanged are then secured.
  • the SMC is used to activate the secure interaction between the terminal and the network device, including the NAS SMC and the AS SMC.
  • the security mode control mainly includes two modes of the security mode command sent by the network device to the UE and the security mode acknowledged by the UE to the network device.
  • the SMC process mainly completes the negotiation between the security algorithm used by the terminal and the network device, and generates a key required by the corresponding security algorithm based on the root key (for example, K ASME ) to ensure the MME and the UE, or It is a secure interaction between the eNB and the UE.
  • the security algorithm and security parameters corresponding to the security level are used, and a security level corresponds to a unique security algorithm and security parameters. Therefore, the same security algorithms and security parameters are used for different business data.
  • different business data have different security requirements. For example, mobile phone payment and other business related to bank cards require high-level security algorithms for processing, while some confidential business data is in the process of transmission. Can not be secured. Therefore, in the case of only one security level, in order to protect certain private data, the system usually adopts a high level of security mechanisms, such as complex security algorithms, extended keys, and the like.
  • a high-level security mechanism is adopted for all business data, the cost of the device will increase, because the higher the level of the security mechanism, the greater the power required to obtain the data and the longer the delay.
  • FIG. 2 is a flowchart of a method for executing a security policy according to Embodiment 1 of the present invention. As shown in FIG. 2, the method in this embodiment may be used. Includes the following steps:
  • Step 101 The security policy execution device acquires bearer information of the service data.
  • Step 102 The security policy execution device determines the security policy of the service data according to the bearer information of the service data and the correspondence between the preset bearer information and the security policy.
  • Step 103 The security policy execution device performs security protection on the service data according to the security policy of the service data.
  • the security protection of the service data is usually performed by the sending device and the receiving device of the service data respectively, and the sending device of the service data is used for encrypting operation and integrity protection of the service data, and the receiving device of the service data is used for decrypting the service data and Integrity verification.
  • the security policy enforcement device is a device for performing a security policy, that is, a device that can be a service data, or a device that is a service data.
  • the security policy execution device in this embodiment may be a UE.
  • the base station or the signaling management network element, the signaling management network element may be an MME or an SGSN.
  • the sending device of the service data is the UE
  • the receiving device of the service data may be the base station or the signaling management network element.
  • the sending device of the service data is the base station or the signaling management network element
  • the receiving device of the service data is the UE.
  • the UE may initiate the NAS SMC or AS after completing the AKA process with the core network.
  • the SMC obtains the bearer information of the service data before, or obtains the bearer information of the service data before each time the service data is transmitted.
  • the bearer information of the service data refers to the bearer information for transmitting the service data, and the bearer information includes a QoS Class Identifier (QCI) of the bearer identifier or the bearer.
  • QCI is used to measure the packet forwarding behavior (such as packet loss rate and packet delay budget) that is provided to the service data flow (Service Data Flow for short).
  • the GRR and the Non-GBR bearer are used to specify the control bearer-level packet forwarding mode (such as the scheduling weight, the admission threshold, the queue management threshold, and the link layer protocol configuration) defined in the access node.
  • Data Radio Bearer (“DRB”) or Signal Radio Bearer (“SRB”).
  • DRB Data Radio Bearer
  • SRB Signal Radio Bearer
  • the security policy enforcement device is the UE and the signaling management network element.
  • the security policy enforcement device is the UE and the base station.
  • the security policy in the embodiment of the present invention includes a security algorithm and a security parameter.
  • Different security policies adopt different security algorithms and security parameters, and each security policy corresponds to a unique security algorithm and security parameters.
  • the security parameter may include level information of the security algorithm, a key length, an execution node identifier of the security algorithm, and the like.
  • the security policy corresponds to the security level and corresponds to a security policy with a high security level, using complex and advanced security algorithms. For security policies with low security levels, simple, low-level security algorithms are used.
  • the correspondence between the preset bearer information and the security policy may be pre-configured in the security policy enforcement device, or may be sent by the security policy determination device to the security policy enforcement device.
  • the security policy determines that the device is used for unified management and control of the security policy. It should be understood that the security policy determines that the device is a logical node having management and control functions, that is, a device having management and control functions for the security policy is collectively referred to as a security policy determining device, and the security policy determining device may be a newly established device, that is, a separate device.
  • the device can also be located on the same physical device as other functional nodes.
  • the management and control functions of the security policy can be integrated into the PCRF device.
  • the PCEF device can be considered as the security policy determining device, or the management and control functions of the security policy can be integrated into the HSS device.
  • the HSS device is the security policy determining device.
  • the bearer information in the foregoing steps 101-102 may specifically be the identifier of the bearer or the QCI of the bearer.
  • the identifier of the bearer is used to identify a bearer, and specifically: EUTRAN is not available.
  • a line access bearer identifier EUTRAN-Radio Access Bearer Identifier, ERAB ID for short
  • DRB ID data radio bearer identifier
  • LCID logical channel identity
  • the bearer information is the identifier of the bearer
  • the correspondence between the bearer information and the security policy is: the correspondence between the bearer identifier and the security policy, and correspondingly, the security policy execution device according to the service data is performed in step 102.
  • the bearer identifier, and the correspondence between the preset bearer identifier and the security policy determine the security policy of the service data.
  • the corresponding relationship may include an identifier of multiple bearers, and a security policy corresponding to the identifier of each bearer.
  • the bearer is bound to the security policy. You can set an IPSec policy for each bearer. You can also set an IPSec policy for each type of bearer. That is, the security policies of multiple bearers of the same type are the same. Types of bearer security policies are different.
  • the correspondence between the bearer information and the security policy is: a correspondence between the QCI and the security policy, and correspondingly, the QCI of the bearer of the security policy execution device according to the service data in step 102, and The correspondence between the preset QCI and the security policy determines the security policy of the service data.
  • Each QCI corresponds to a security policy. In this mode, the QCI is bound to the security policy.
  • the QCIs of the two bearers are the same, the service data transmitted on the two bearers have the same security policy.
  • the QCIs of the two bearers are different, the service data transmitted on the two bearers has different security policies.
  • the correspondence between the QCI and the security policy is stored in the QCI table, where the QCI table includes: an identifier of the at least one QCI and an identifier of the security policy corresponding to each QCI.
  • Table 1 is a schematic diagram of the QCI table. As shown in Table 1, the LTE system defines nine QCI types, each of which includes three parameters: Packet Delay Budget and Packet Loss Rate. And security policy. The data packet delay budget and the packet loss rate are existing parameters of the QCI table, and the security policy is a newly added parameter of the present invention. It should be noted that the QCI table includes the identifier of the security policy, that is, it is used to indicate different security policies, and different security policies use different security algorithms and security parameters.
  • 0 indicates that the security algorithm used by the security policy is the first security algorithm, and the used key length is 32 bits; the security algorithm used by the security policy represented by 1 is the second security algorithm, and the used key length is 64 bits; The security algorithm used by the security policy is a third security algorithm, and the used key length is 128 bits. The security algorithm used by the security policy represented by 3 is the fourth security algorithm, and the used key length is 256 bits.
  • the first security The full algorithm, the second security algorithm, the third security algorithm, and the fourth security algorithm are all security algorithms supported by the UE.
  • QCIs numbered 1-4 are QCIs carried by GBR
  • QCIs numbered 5-9 are QCIs carried by non-GBR.
  • GRR Packet loss rate Security policy identifier 1 (GBR) ⁇ 50ms High (example: 10-1) 0 2 (GBR) 50ms (80ms) Medium (for example: 10-2) 0 3 (GBR) 90ms Medium (for example: 10-2) 1 4 (GBR) 250ms Low (example: 10-3) 1 5 (non-GBR) Low ( ⁇ 50ms)
  • 10-6 2 6 (non-GBR) Low ( ⁇ 50ms) For example: 10-3 2 7 (non-GBR) Medium ( ⁇ 250ms)
  • the security policy enforcement device when the security policy enforcement device is the sending device of the service data, the security policy enforcement device performs encryption operation and integrity protection on the service data according to the security policy of the service data, that is, uses the security algorithm included in the security policy.
  • the key in the security parameter encrypts and protects the business data.
  • the security policy execution device when the security policy execution device is the receiving device of the service data, the security policy execution device performs the decryption operation and the integrity verification on the service data according to the security policy of the service data, that is, the security algorithm and the security parameter included in the security policy are used.
  • the secret key decrypts the business data and performs integrity verification.
  • the method of the present embodiment can be applied to the protection of the service data in the Packet Data Convergence Protocol (PDCP) layer.
  • the AS SMC is used as an example.
  • the service data sending device can be the UE, and the service data receiving device.
  • the eNB, the UE, and the eNB may perform security protection on the service data at the PDCP layer.
  • the method in this embodiment is not limited to the PDCP layer, and the service data may be securely protected at other network protocol layers, such as the Internet Protocol (Internet Protocol). , referred to as IP) layer.
  • IP Internet Protocol
  • the security policy execution device determines the security policy of the service data according to the bearer information of the service data, and the corresponding relationship between the bearer information of the service data and the preset bearer information and the security policy.
  • Business data security strategy Security data is protected.
  • the corresponding relationship between the bearer and the security policy is defined in the mapping between the bearer information and the security policy. Therefore, the security policy enforcement device can perform differential protection on the service data transmitted on different bearers, which not only ensures data transmission. Security, while improving the efficiency of data acquisition.
  • FIG. 3 is a flowchart of a method for executing a security policy according to Embodiment 2 of the present invention. As shown in FIG. 3, the method provided in this embodiment may include the following steps:
  • Step 201 The first security policy execution device determines a security policy of the service data according to the security reference information of the service data.
  • Step 202 The first security policy execution device performs encryption operation and integrity protection on the service data according to the security policy of the service data.
  • Step 203 The first security policy execution device carries the indication information of the security policy of the service data in the packet header of the data packet of the service data, and sends the indication information of the security policy of the service data to the instruction A security policy enforces the security policy used by the device to perform encryption operations and integrity protection on service data.
  • Step 204 The second security policy execution device receives the data packet sent by the first security policy enforcement device, where the data packet carries the service data, and the packet header of the data packet includes the indication information of the security policy of the service data.
  • Step 205 The second security policy execution device determines the security policy of the service data according to the indication information of the security policy of the service data.
  • Step 206 The second security policy execution device performs a decryption operation and an integrity verification on the data packet according to a security policy of the service data.
  • the security reference information of the service data includes: a data attribute of the service data, a service attribute of the service data, an attribute of the user equipment, a security level of the service data, a protection type of the service data, and at least an identifier of the first security policy execution device.
  • One of the protection types includes path protection or data content protection; or the security reference information of the service data includes the QCI of the service data.
  • the data attribute of the business data can be used to indicate the data type of the business data.
  • the data types of service data include data types such as text, picture, video, and audio.
  • Different data attributes can correspond to different security requirements, and different security requirements correspond to different security policies.
  • the security requirements for video can be that you need to get a high level of security
  • the text Security requirements can be achieved by requiring a low level of security.
  • the service attribute of the service data may be used to indicate the service type of the service data, and the different service types correspond to different security requirements.
  • the service attribute can be used to indicate that the service data belongs to an Alipay service, a Taobao service, a browser service, or belongs to another service type.
  • the security requirement corresponding to the Alipay service may be to obtain a high level of security protection
  • the security requirement of the browser service may be to obtain a low level of security protection.
  • the business attributes of the business data can also be used to indicate the business classification of the business data.
  • the business attributes of the business data can be used to indicate that the business data belongs to a business category such as entertainment, finance, or research projects. Different business attributes can correspond to different security requirements.
  • the attribute of the user equipment is used to indicate the type of the user equipment that sends the service data.
  • the type of user equipment that transmits service data may include a medical institution, a military organization, or a scientific research institution. Different types of user equipment can correspond to different security requirements.
  • the security level of the service data is used to indicate the security level required for the service data, for example, the security level is divided into five levels in total according to the difference of the service data.
  • the protection type of the service data includes path protection or data content protection
  • the path protection may refer to protection performed by the service data during the transmission process.
  • encryption protection is performed when transferring between two nodes.
  • the data content protection may be to encrypt and protect the data of the service data, that is, the service data itself has been encrypted, and the related data content cannot be obtained even if the service data is intercepted by the attacker.
  • the first security policy enforcement device may determine, according to its own identity, that the service data is securely protected.
  • the security policy for determining the service data may specifically adopt the following two implementation manners:
  • the first security policy execution device determines the security policy of the service data according to the security reference information of the service data and the correspondence between the preset security reference information and the security policy.
  • the correspondence between the security reference information and the security policy may be pre-configured on the first security policy enforcement device, or the first security policy enforcement device receives the security policy to determine the correspondence between the security reference information and the security policy sent by the device. relationship.
  • the first security policy enforcement device sends a security policy request message to the security policy determination device, where the security policy request message includes a security reference signal of the service data.
  • the security policy request message is used to request a security policy for obtaining business data.
  • the security policy determines a security policy of the service data according to the security reference information included in the security policy request message, and then returns a security policy response message to the first security policy execution device, where the security policy is The response message includes a security policy for the business data.
  • the first security policy execution device acquires a security policy of the service data in the security policy response message.
  • the indication information of the security policy of the service data may include the identifier of the security policy or the security reference information of the service data.
  • the data packet in step 203 may be in the Internet Protocol version 4 (IPv4) format or the Internet Protocol version 4 (IPv6) format.
  • IPv4 Internet Protocol version 4
  • IPv6 Internet Protocol version 4
  • the indication information of the security policy of the service data may be carried in the Type of Service (ToS) field of the IP header of the data packet.
  • ToS Type of Service
  • 4 is a schematic structural diagram of an IP header of a data packet in an IPv4 format.
  • the first part of the IP header is a fixed length, a total of 20 bytes, which must be possessed by all IP data packets, including: version. , first length (1HL), service type (Type of Service), total length (Total Length), identification, flag, Fragment Offset, Time To Live (TTL) ), Protocol, Header Checksum, Source IP Address, Destination IP Address, Options, and Padding.
  • the ToS field in the IPv4 packet header is used to distinguish the service class.
  • the indication information of the security policy of the service data may be carried in a value that is not enabled in the ToS field.
  • the indication information of the security policy of the service data may be carried in the traffic class (Traffic Class, referred to as "TC") field of the IP header of the IP data packet.
  • TC Traffic Class
  • 5 is a schematic structural diagram of an IP header of a data packet in an IPv6 format. As shown in FIG. 5, the length of the IP header is fixed and is 16 bytes, including: version, TC, flow label, and payload length ( Payload Length), Next Header, Hop Limit, source IP address, and destination IP address.
  • the TC field in IPv6 is mainly a function of continuing the ToS field in IPv4, so the indication information of the security policy of the service data can be carried in the Enabled value of the TC field.
  • the indication information of the security policy of the service data may also be carried in In the Flow Label field.
  • Flow Label is a unique area in IPv6. It is 20 bits in total. The purpose of Flow Label is to mark some special data types.
  • the second security policy execution device After receiving the data packet carrying the service data, the second security policy execution device reads the indication information of the security policy of the service data from the packet header of the data packet, and determines the security policy of the service data according to the indication information of the security policy of the service data.
  • the foregoing step 205 may specifically adopt the following implementation manner:
  • the second security policy execution device can obtain the security policy of the service data according to the identifier of the security policy.
  • Manner 2 When the indication information of the security policy of the service data is the security reference information of the service data, the correspondence between the second security policy execution device according to the security reference information of the service data and the preset security reference information and the security policy Determining a security policy of the service data, where the correspondence between the security reference information and the security policy may be pre-configured on the second security policy enforcement device, or the second security policy enforcement device receives the security policy determination device or the first
  • the security policy execution device sends a security policy request message to the security policy determination device, where the second security policy execution device sends a security policy request message, where the security policy request message includes a security reference of the service data.
  • Information, the security policy request message is used to request a security policy for obtaining business data.
  • the security policy After receiving the security policy request message, the security policy determines the security policy of the service data according to the security reference information included in the security policy request message, and then returns a security policy response message to the second security policy enforcement device.
  • the second security policy enforcement device receives the security policy to determine a security policy response message sent by the device, where the security policy response message includes a security policy of the service data.
  • the second security policy execution device when the first security policy enforcement device is the UE, the second security policy execution device is the UE, the application server, or the PGW; when the first security policy execution device is the application server, the second security The policy enforcement device is a UE; when the first security policy enforcement device is a PGW, the second security policy enforcement device is a UE. That is, security protection is performed by two UEs, or by the UE and the application server, or by the UE and the PGW.
  • the first security policy execution device determines the security policy of the service data according to the security reference information of the service data, performs encryption operation and integrity protection on the service data according to the security policy of the service data, and performs security policy Indicates the number of information carried in the business data.
  • Sending to the second security policy enforcement device according to the packet header of the packet so that the second security policy enforcement device determines the security policy of the service data according to the indication information of the security policy of the service data, and then performs decryption operation and integrity according to the determined security policy. verification.
  • FIG. 6 is a schematic structural diagram of a security policy execution device according to Embodiment 3 of the present invention.
  • the security policy execution device provided in this embodiment includes: an obtaining module 11, a determining module 12, and a security protection module 13.
  • the obtaining module 11 is configured to acquire bearer information of service data.
  • the determining module 12 is configured to determine a security policy of the service data according to the bearer information of the service data acquired by the obtaining module 11 and the corresponding relationship between the preset bearer information and the security policy;
  • the security protection module 13 is configured to perform security protection on the service data according to the security policy of the service data determined by the determining module 12.
  • the security policy includes a security algorithm and a security parameter.
  • the bearer information includes: a quality of service classification identifier QCI of the bearer or an identifier of the bearer.
  • the determining module 12 is specifically configured to determine the security of the service data according to the QCI of the bearer and the correspondence between the preset QCI and the security policy. Strategy.
  • the determining module 12 is specifically configured to: determine the service data according to the identifier of the bearer, and a correspondence between a preset bearer identifier and a security policy. Security policy.
  • the correspondence between the QCI and the security policy is stored in the QCI table.
  • the security policy execution device may be a sending device of service data or a receiving device of service data.
  • the security protection module 13 is specifically configured to perform encryption operation and integrity protection on the service data according to the security policy of the service data.
  • the security protection module 13 is specifically configured to: perform decryption operation and integrity verification on the service data according to the security policy of the service data.
  • the security policy enforcement device further includes a receiving module, where the receiving module is configured to receive a correspondence between the bearer information and a security policy.
  • the security policy enforcement device is a user equipment UE, a base station, or a signaling management network element.
  • the security policy enforcement device in this embodiment may be used to perform the method in the first embodiment.
  • the specific implementation manners and technical effects are similar, and details are not described herein again.
  • FIG. 7 is a schematic structural diagram of a first security policy execution device according to Embodiment 4 of the present invention.
  • the first security policy execution device provided by this embodiment includes: a determining module 21, a security protection module 22, and a sending module. twenty three.
  • the determining module 21 is configured to determine a security policy of the service data according to the security reference information of the service data;
  • the security protection module 22 is configured to perform encryption operation and integrity protection on the service data according to the security policy of the service data determined by the determining module 21;
  • the sending module 23 is configured to carry the indication information of the security policy of the service data in a packet header of the data packet of the service data, and send the indication information of the security policy of the service data to the packet header of the data packet of the service data. And a security policy used by the first security policy enforcement device to perform encryption operation and integrity protection on the service data.
  • the indication information of the security policy of the service data includes an identifier of the security policy or security reference information of the service data.
  • the security reference information of the service data includes a data attribute of the service data, a service attribute of the service data, an attribute of the user equipment, a security level of the service data, a protection type of the service data, and the first At least one of the identification of the security policy enforcement device, wherein the protection type includes path protection or data content protection; or the security reference information of the service data includes a quality of service classification identifier QCI of the service data.
  • the determining module 21 is specifically configured to: determine the industry according to the security reference information of the service data, and the correspondence between the preset security reference information and the security policy. And the security policy request message is sent to the security policy determining device, where the security policy request message includes the security reference information of the service data; and the security policy determines the security policy response message sent by the device, The security policy response message includes a security policy of the service data, where the security policy of the service data is determined by the security policy determination device according to the security reference information of the service data.
  • the data packet is in an IPv4 format or an IPv6 format.
  • the indication information of the security policy of the service data is carried in a service type field of an Internet Protocol IP header of the data packet. in.
  • the identifier of the security policy of the service data is carried in the communication category field of the IP header of the data packet.
  • the second security policy execution device when the first security policy enforcement device is a UE, the second security policy execution device is a UE, an application server, or a PGW; when the first security policy execution device is an application server, The second security policy enforcement device is the UE; when the first security policy enforcement device is the PGW, the second security policy enforcement device is the UE.
  • the first security policy enforcement device in this embodiment may be used to perform the method in the second embodiment.
  • the specific implementation manners and technical effects are similar, and details are not described herein again.
  • FIG. 8 is a schematic structural diagram of a second security policy execution device according to Embodiment 5 of the present invention.
  • the second security policy execution device provided by the embodiment includes: a receiving module 31, a determining module 32, and a security protection module. 33.
  • the receiving module 31 is configured to receive a data packet sent by the first security policy enforcement device, where the data packet carries the service data, where the packet header includes the indication information of the security policy of the service data, and the service data
  • the indication information of the security policy is used to indicate a security policy used by the first security policy enforcement device to perform encryption operation and integrity protection on the service data;
  • a determining module 32 configured to determine a security policy of the service data according to the indication information of the security policy of the service data included in the data packet;
  • the security protection module 33 is configured to perform decryption operation and integrity verification on the data packet according to the security policy of the service data determined by the determining module 32.
  • the indication information of the security policy of the service data is an identifier of the security policy or security reference information of the service data.
  • the security reference information of the service data includes the At least one of a data attribute of the service data, a service attribute of the service data, an attribute of the user equipment, a security level of the service data, a protection type of the service data, and an identifier of the first security policy execution device
  • the protection type includes path protection or data content protection
  • the security reference information of the service data includes a quality of service classification identifier QCI of the service data.
  • the determining module 32 is specifically configured to: according to the security reference information of the service data, and preset security reference information and security Corresponding relationship between the policies, determining a security policy of the service data; or sending a security policy request message to the security policy determination device, where the security policy request message includes security reference information of the service data; receiving the security The policy determines a security policy response message sent by the device, where the security policy response message includes a security policy of the service data, where the security policy of the service data is determined by the security policy determining device according to the security reference information of the service data. of.
  • the data packet may be in an IPv4 format or in an IPv6 format.
  • the indication information of the security policy of the service data is carried in a service of an Internet Protocol IP header of the data packet. In the type field.
  • the indication information of the security policy of the service data is carried in a communication category field of an IP header of the data packet.
  • the second security policy execution device when the first security policy enforcement device is a UE, the second security policy execution device is a UE, an application server, or a PGW; when the first security policy execution device is an application server, The second security policy enforcement device is the UE; when the first security policy enforcement device is the PGW, the second security policy enforcement device is the UE.
  • the second security policy enforcement device in this embodiment may be used to perform the method in the second embodiment.
  • the specific implementation manners and technical effects are similar, and details are not described herein again.
  • FIG. 9 is a schematic structural diagram of a security policy execution device according to Embodiment 6 of the present invention.
  • the security policy execution device provided in this embodiment includes: a processor 41, a memory 42, a transmitter 43, and a receiver 44.
  • the memory 42, the transmitter 43, and the receiver 44 are connected to and communicate with the processor 41 through a system bus.
  • the memory 42 is used to store a computer program.
  • the memory 42 is further configured to store preset bearer information and a security policy.
  • Correspondence relationship The transmitter 43 is configured to send data to other devices, and the receiver 44 is configured to receive data sent by other devices.
  • the processor 41 is configured to run the program stored in the memory 42 to enable the security policy execution device to perform the method of the first embodiment. The specific implementation and technical effects are similar, and details are not described herein again.
  • the first security policy execution device provided in this embodiment includes: a processor 51, a memory 52, a transmitter 53, and Receiver 54, memory 52, transmitter 53 and receiver 54 are coupled and in communication with processor 51 via a system bus, memory 52 for storing computer programs, transmitter 53 for transmitting data to other devices, and receiver 54 for receiving The data sent by the other device is used by the processor 51 to run the program stored in the memory 52, so that the first security policy execution device performs the method of the second embodiment.
  • the specific implementation and technical effects are similar, and details are not described herein again.
  • FIG. 11 is a schematic structural diagram of a second security policy execution device according to Embodiment 8 of the present invention.
  • the second security policy execution device provided in this embodiment includes: a processor 61, a memory 62, a transmitter 63, and Receiver 64, memory 62, transmitter 63 and receiver 64 are coupled and in communication with processor 61 via a system bus, memory 62 for storing computer programs, transmitter 63 for transmitting data to other devices, and receiver 64 for receiving The data sent by the other device is used by the processor 61 to run the program stored in the memory 62, so that the second security policy execution device performs the method of the second embodiment.
  • the specific implementation and technical effects are similar, and details are not described herein again.
  • FIG. 12 is a schematic structural diagram of a security system according to Embodiment 9 of the present invention.
  • the security system provided in this embodiment includes a first security policy enforcement device 700 and a second security policy enforcement device 800, and a first security policy.
  • the execution device 700 may be the first security policy execution device shown in FIG. 10, and the second security policy execution device 800 may be the second security policy execution device shown in FIG.
  • the first security policy enforcement device 700 and the second security policy enforcement device 800 are both the security policy enforcement device shown in FIG. 10, wherein the first security policy enforcement device 700 can be a transmission device for service data, correspondingly,
  • the second security policy enforcement device 800 is a receiving device for service data.
  • the security system may further include a security policy determining device.
  • the foregoing program may be stored in a computer readable storage medium, and the program is executed when executed.
  • the foregoing steps include the steps of the foregoing method embodiments; and the foregoing storage medium includes: a medium that can store program codes, such as a ROM, a RAM, a magnetic disk, or an optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例提供一种安全策略的执行方法和设备，安全策略执行设备通过根据业务数据的承载信息或安全参考信息，确定业务数据的安全策略，根据业务数据的安全策略，对业务数据进行安全保护。不同业务数据的承载信息或安全参考信息不同，使用的安全策略也不同，从而使得安全策略执行设备可以对不同的业务数据进行差异性保护，不但保证了数据传输的安全性，同时能够提高获取数据的效率。

Description

安全策略的执行方法和设备 技术领域
本发明实施例涉及通信技术，尤其涉及一种安全策略的执行方法和设备。
背景技术
为了保证数据传输的安全性，数据在网络传输期间需保持加密状态，以防止攻击者劫取该数据的相关信息。在对数据进行安全保护时，加密节点需要首先获取安全参数，然后再根据该安全参数对数据进行加密保护。以长期演进(Long Term Evolution，简称LTE)网络为例，LTE网络中的安全包括接入层(access stratum，简称AS)安全和非接入层(non-access stratum，简称NAS)安全。AS安全是用户设备(user equipment，简称UE)与演进型节点B(evolved node-B，简称eNB)之间的安全，主要执行AS信令(RRC信令)的加密和完整性保护，以及用户平面(user plane，简称UP)数据的机密性保护。NAS安全是UE与移动管理实体(mobile management entity，简称MME)之间的安全，主要执行NAS信令的机密性和完整性保护。
现有的LTE网络的安全体系中，只有一个安全等级，无论是NAS安全还是AS安全，都使用该安全等级对应的安全算法和安全参数，一个安全等级对应唯一的安全算法和安全参数，安全参数包括安全等级的标识和秘钥长度等。在只有一个安全等级的情况下，所有的业务数据都会采用同样的安全算法和安全参数进行安全保护，为了保护高安全需求的业务数据，通常会采用更为复杂的安全算法、更长的密钥等。如果所有业务数据都采用这种复杂的安全算法，不仅会增大设备的成本，还会增大获得数据所需的功率和时延。并且从防攻击的角度来讲，攻击者破解了一种密钥后就可以获取设备上的所有数据。
发明内容
本发明实施例提供一种安全策略的执行方法和设备，能够对不同的业 务数据进行差异性保护，保证了数据传输的安全性，同时提高获取数据的效率。
本发明第一方面提供一种安全策略的执行方法，该方法包括：安全策略执行设备获取业务数据的承载信息，根据该业务数据的承载信息和预设的承载信息与安全策略之间的对应关系，确定该业务数据的安全策略，最后根据确定的该业务数据的安全策略，对该业务数据进行安全保护。
可选的，该承载信息包括：承载的服务质量分类标识QCI或承载的标识。当该承载信息包括承载的QCI时，安全策略执行设备根据承载的QCI，以及预设的QCI与安全策略之间的对应关系，确定该业务数据的安全策略。当该承载信息包括承载的标识时，安全策略执行设备根据承载的标识，以及预设的承载的标识与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，该安全策略执行设备可以为该业务数据的发送设备，也可以为该业务数据的接收设备。当该安全策略执行设备为该业务数据的发送设备时，该安全策略执行设备根据该业务数据的安全策略，对该业务数据进行安全保护，具体为：该安全策略执行设备根据该业务数据的安全策略，对该业务数据进行加密运算和完整性保护。当该安全策略执行设备为该业务数据的接收设备时，该安全策略执行设备根据该业务数据的安全策略，对该业务数据进行安全保护，具体为：该安全策略执行设备根据该业务数据的安全策略，对该业务数据进行解密运算和完整性验证。
可选的，在该安全策略执行设备获取业务数据的承载信息之前，安全策略执行设备接收该承载信息与安全策略之间的对应关系。当然，该承载信息与安全策略之间的对应关系也可以预先配置在该安全策略执行设备上。
可选的，该安全策略执行设备为用户设备UE、基站或信令管理网元。
本发明第二方面提供一种安全策略执行设备，该安全策略执行设备包括：获取模块、确定模块和安全保护模块。获取模块用于获取业务数据的承载信息；确定模块用于根据该业务数据的承载信息和预设的承载信息与安全策略之间的对应关系，确定该业务数据的安全策略；安全保护模块用于根据该业务数据的安全策略，对所述业务数据进行安全保护。
可选的，该承载信息包括：承载的服务质量分类标识QCI或承载的标识。当该承载信息包括所述承载的QCI时，确定模块具体用于：根据该承载的QCI，以及预设的QCI与安全策略之间的对应关系，确定业务数据的安全策略。当该承载信息包括该承载的标识时，确定模块具体用于：根据该承载的标识，以及预设的承载的标识与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，该安全策略执行设备可以为该业务数据的发送设备，也可以为该业务数据的接收设备。当该安全策略执行设备为所述业务数据的发送设备时，安全保护模块具体用于：根据该业务数据的安全策略，对该业务数据进行加密运算和完整性保护。当该安全策略执行设备为该业务数据的接收设备时，安全保护模块具体用于：根据该业务数据的安全策略，对该业务数据进行解密运算和完整性验证。
可选的，该安全策略执行设备还包括接收模块，接收模块用于接收该承载信息与安全策略之间的对应关系。
本发明第三方面提供一种安全策略执行设备，该安全策略执行设备包括处理器和存储器。存储器用于存储预设的承载信息与安全策略之间的对应关系；处理器用于：获取业务数据的承载信息，根据该业务数据的承载信息和该预设的承载信息与安全策略之间的对应关系，确定该业务数据的安全策略；
根据该业务数据的安全策略，对该业务数据进行安全保护。
可选的，该承载信息包括：承载的服务质量分类标识QCI或承载的标识。当该承载信息包括该承载的QCI时，处理器具体用于：根据该承载的QCI，以及预设的QCI与安全策略之间的对应关系，确定该业务数据的安全策略。当该承载信息包括该承载的标识时，该处理器具体用于：根据该承载的标识，以及预设的承载的标识与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，该安全策略执行设备可以为该业务数据的发送设备，也可以为该业务数据的接收设备。当该安全策略执行设备为所述业务数据的发送设备时，处理器具体用于：根据该业务数据的安全策略，对该业务数据进行加密运算和完整性保护。当该安全策略执行设备为该业务数据的接收设 备时，处理器具体用于：根据该业务数据的安全策略，对该业务数据进行解密运算和完整性验证。
可选的，该安全策略执行设备还包括接收器，接收器用于接收该承载信息与安全策略之间的对应关系。
上述本发明第一方面至第三方面涉及到的安全策略包括安全算法和安全参数。
上述本发明第一方面至第三方面涉及到的安全策略执行设备可以为用户设备UE、基站或信令管理网元。
上述本发明第一方面至第三方面中，该QCI与安全策略的对应关系可以存储在QCI表中。
本发明第四方面提供一种安全策略的执行方法，该方法包括：第一安全策略执行设备先根据业务数据的安全参考信息，确定该业务数据的安全策略，然后根据该业务数据的安全策略，对该业务数据进行加密运算和完整性保护，最后将该业务数据的安全策略的指示信息携带在该业务数据的数据包的包头中发送给第二安全策略执行设备，该业务数据的安全策略的指示信息用于指示第一安全策略执行设备对业务数据进行加密运算和完整性保护所采用的安全策略。
可选的，第一安全策略执行设备根据该业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，第一安全策略执行设备向安全策略确定设备发送携带该业务数据的安全参考信息的安全策略请求消息，并接收安全策略确定设备发送的携带该业务数据的安全策略的安全策略响应消息，该业务数据的安全策略是安全策略确定设备根据该业务数据的安全参考信息确定的。
可选的，该业务数据的安全策略的指示信息包括该安全策略的标识或该业务数据的安全参考信息。
本发明第五方面提供一种安全策略的执行方法，该方法包括：第二安全策略执行设备接收第一安全策略执行设备发送的数据包，该数据包携带有业务数据，该数据包的包头中包括该业务数据的安全策略的指示信息，该业务数据的安全策略的指示信息用于指示第一安全策略执行设备对该 业务数据进行加密运算和完整性保护所采用的安全策略。然后第二安全策略执行设备根据该业务数据的安全策略的指示信息，确定该业务数据的安全策略，根据该业务数据的安全策略对该数据包进行解密运算和完整性验证。
可选的，该业务数据的安全策略的指示信息为该安全策略的标识或该业务数据的安全参考信息。
可选的，当该业务数据的安全策略的指示信息为该业务数据的安全参考信息时，第二安全策略执行设备根据该业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，当该业务数据的安全策略的指示信息为该业务数据的安全参考信息时，第二安全策略执行设备向安全策略确定设备发送携带该业务数据的安全参考信息的安全策略请求消息，并接收安全策略确定设备发送的安全策略响应消息，该安全策略响应消息中包括该业务数据的安全策略，该业务数据的安全策略是安全策略确定设备根据该业务数据的安全参考信息确定的。
本发明第六方面提供一种第一安全策略执行设备，该第一安全策略执行设备包括：确定模块、安全保护模块和发送模块。确定模块用于根据业务数据的安全参考信息，确定该业务数据的安全策略；安全保护模块用于根据该业务数据的安全策略，对该业务数据进行加密运算和完整性保护；发送模块用于将该业务数据的安全策略的指示信息携带在该业务数据的数据包的包头中发送给第二安全策略执行设备，该业务数据的安全策略的指示信息用于指示第一安全策略执行设备对该业务数据进行加密运算和完整性保护所采用的安全策略。
可选的，确定模块具体用于：根据所述业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，该确定模块具体用于：向安全策略确定设备发送携带该业务数据的安全参考信息的安全策略请求消息，并接收安全策略确定设备发送的安全策略响应消息，该安全策略响应消息中包括该业务数据的安全策 略，该业务数据的安全策略是该安全策略确定设备根据该业务数据的安全参考信息确定的。
可选的，该业务数据的安全策略的指示信息包括该安全策略的标识或该业务数据的安全参考信息。
本发明第七方面提供一种第二安全策略执行设备，该第二安全策略执行设备包括：接收模块、确定模块和安全保护模块，接收模块用于接收第一安全策略执行设备发送的数据包，该数据包携带有业务数据，该数据包的包头中包括该业务数据的安全策略的指示信息，该业务数据的安全策略的指示信息用于指示第一安全策略执行设备对该业务数据进行加密运算和完整性保护所采用的安全策略；确定模块用于根据该业务数据的安全策略的指示信息，确定该业务数据的安全策略；安全保护模块用于根据该业务数据的安全策略对该数据包进行解密运算和完整性验证。
可选的，该业务数据的安全策略的指示信息为该安全策略的标识或该业务数据的安全参考信息。
可选的，当该业务数据的安全策略的指示信息为该业务数据的安全参考信息时，确定模块具体用于：根据该业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，当该业务数据的安全策略的指示信息为该业务数据的安全参考信息时，确定模块具体用于：向安全策略确定设备发送携带该业务数据的安全参考信息的安全策略请求消息，并接收安全策略确定设备发送的安全策略响应消息，该安全策略响应消息中包括该业务数据的安全策略，该业务数据的安全策略是安全策略确定设备根据该业务数据的安全参考信息确定的。
本发明第八方面提供一种第一安全策略执行设备，该第一安全策略执行设备包括处理器和发送器。处理器用于根据业务数据的安全参考信息，确定该业务数据的安全策略，以及根据该业务数据的安全策略，对该业务数据进行加密运算和完整性保护；发送器用于将该业务数据的安全策略的指示信息携带在该业务数据的数据包的包头中发送给第二安全策略执行设备，该业务数据的安全策略的指示信息用于指示第一安全策略执行设备 对该业务数据进行加密运算和完整性保护所采用的安全策略。
可选的，该第一安全策略执行设备还包括存储器，存储器用于存储预设的安全参考信息与安全策略之间的对应关系；相应的，处理器具体用于：根据该业务数据的安全参考信息，以及该预设的安全参考信息与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，该第一安全策略执行设备还包括接收器，相应的，处理器具体用于：控制发送器向安全策略确定设备发送携带该业务数据的安全参考信息的安全策略请求消息，以及控制接收器接收安全策略确定设备发送的安全策略响应消息，该安全策略响应消息中包括该业务数据的安全策略，该业务数据的安全策略是安全策略确定设备根据该业务数据的安全参考信息确定的。
可选的，该业务数据的安全策略的指示信息包括该安全策略的标识或该业务数据的安全参考信息。
本发明第九方面提供一种第二安全策略执行设备，该第二安全策略执行设备包括接收器和处理器。接收器用于接收第一安全策略执行设备发送的数据包，该数据包携带有业务数据，该数据包的包头中包括该业务数据的安全策略的指示信息，该业务数据的安全策略的指示信息用于指示第一安全策略执行设备对该业务数据进行加密运算和完整性保护所采用的安全策略；处理器用于根据业务数据的安全策略的指示信息，确定该业务数据的安全策略，以及根据该业务数据的安全策略对该数据包进行解密运算和完整性验证。
可选的，该业务数据的安全策略的指示信息为该安全策略的标识或该业务数据的安全参考信息。
可选的，当该业务数据的安全策略的指示信息为该业务数据的安全参考信息时，该第二安全策略执行设备还包括存储器。存储器用于存储预设的安全参考信息与安全策略之间的对应关系；相应的，处理器具体用于：根据该业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定该业务数据的安全策略。
可选的，当该业务数据的安全策略的指示信息为该业务数据的安全参考信息时，该第二安全策略执行设备还包括发送器。相应的，处理器具体 用于：
控制发送器向安全策略确定设备发送携带该业务数据的安全参考信息的安全策略请求消息，以及控制接收器接收安全策略确定设备发送的安全策略响应消息，该安全策略响应消息中包括该业务数据的安全策略，该业务数据的安全策略是安全策略确定设备根据该业务数据的安全参考信息确定的。
上述本发明第四方面至第九方面中，该安全策略包括安全算法和安全参数。
上述本发明第四方面至第九方面中，当该数据包采用互联网协议第4版IPv4格式时，该业务数据的安全策略的指示信息携带在该数据包的互联网协议IP头的服务类型字段中；或者，当该数据包采用互联网协议第6版IPv6格式时，该业务数据的安全策略的指示信息携带在该数据包的IP头的通信类别字段中。
上述本发明第四方面至第九方面中，该业务数据的安全参考信息包括该业务数据的数据属性、该业务数据的业务属性、用户设备的属性、该业务数据的安全等级、该业务数据的保护类型以及该第一安全策略执行设备的标识中的至少一种，其中，该保护类型包括路径保护或数据内容保护；或者，该业务数据的安全参考信息包括该业务数据的服务质量分类标识QCI。
上述本发明第四方面至第九方面中，当该第一安全策略执行设备为用户设备UE时，该第二安全策略执行设备为UE、应用服务器或分组数据网关PGW。当该第一安全策略执行设备为应用服务器时，该第二安全策略执行设备为UE。当该第一安全策略执行设备为PGW时，该第二安全策略执行设备为UE。
本发明实施例提供的安全策略的执行方法和设备，安全策略执行设备通过根据业务数据的承载信息或安全参考信息，确定业务数据的安全策略，根据业务数据的安全策略，对业务数据进行安全保护。不同业务数据的承载信息或安全参考信息不同，使用的安全策略也不同，从而使得安全策略执行设备可以对不同的业务数据进行差异性保护，不但保证了数据传输的安全性，同时能够提高获取数据的效率。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1示出了本发明实施例的一种应用场景的示意性架构图；
图2为本发明实施例一提供的安全策略的执行方法的流程图；
图3为本发明实施例二提供的安全策略的执行方法的流程图；
图4为IPv4格式的数据包的IP头的结构示意图；
图5为IPv6格式的数据包的IP头的结构示意图；
图6为本发明实施例三提供的安全策略执行设备的结构示意图；
图7为本发明实施例四提供的第一安全策略执行设备的结构示意图；
图8为本发明实施例五提供的第二安全策略执行设备的结构示意图；
图9为本发明实施例六提供的安全策略执行设备的结构示意图；
图10为本发明实施例七提供的第一安全策略执行设备的结构示意图；
图11为本发明实施例八提供的第二安全策略执行设备的结构示意图；
图12为本发明实施例九提供的安全系统的结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本发明实施例的技术方案可以应用于各种通信系统，例如：全球移动通讯(Global System of Mobile communication，简称为“GSM”)系统、码分多址(Code Division Multiple Access，简称为“CDMA”)系统、宽带码分多址(Wideband Code Division Multiple Access，简称为“WCDMA”)系 统、通用分组无线业务(General Packet Radio Service，简称为“GPRS”)、LTE系统、LTE频分双工(Frequency Division Duplex，简称为“FDD”)系统、LTE时分双工(Time Division Duplex，简称为“TDD”)、通用移动通信系统(Universal Mobile Telecommunication System，简称为“UMTS”)或全球互联微波接入(Worldwide Interoperability for Microwave Access，简称为“WiMAX”)通信系统等。
在本发明实施例中，用户设备(User Equipment，简称为“UE”)可称之为终端(Terminal)、移动台(Mobile Station，简称为“MS”)或移动终端(Mobile Terminal)等，该UE可以经无线接入网(Radio Access Network，简称为“RAN”)与一个或核心网进行通信，例如，UE可以是移动电话(或称为“蜂窝”电话)或具有移动终端的计算机等，例如，UE还可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置，它们与无线接入网交换语音或数据。
在本发明实施例中，基站可以是GSM或CDMA中的基站收发台(Base Transceiver Station，简称为“BTS”)，也可以是WCDMA中的基站(NodeB，简称为“NB”)，还可以是LTE中的演进型基站(Evolved Node B，简称为“ENB或e-NodeB”)，本发明并不限定，但为描述方便，下述实施例将以eNB为例进行说明。
在本发明实施例中，信令管理网元可以是移动性管理实体(Mobility Management Entity，简称为“MME”)或服务GPRS支持节点(Serving GPRS Support Node，简称为“SGSN”)。例如，在UMTS系统中，该信令管理网元可以是SGSN。为了描述方便，下述实施例将以MME为例进行说明，但本发明并不限于此。
图1示出了本发明实施例的一种应用场景的示意性架构图。如图1所示，LTE网络可以包括：UE、演进的UMTS陆地无线接入网(Evolved UMTS Terrestrial Radio Access Network，简称为“E-UTRAN”)、信令管理网元MME、服务网关实体(Serving Gateway，简称为“SGW”)、分组数据网络网关实体(Packet Data Network Gateway，简称为“PGW”)、方案和计费规则功能实体(Policy and Charging Rule Function，简称为“PCRF”)、归属网络服务器(Home Subscriber Server，简称为“HSS”)和操作者的IP 业务等。
LTE网络的核心网主要包括MME、SGW、和PGW三个逻辑功能体，其中MME是信令管理网元，负责非接入层(Non-Access Stratum，简写为“NAS”)信令加密、为UE分配临时身份标识、选择SGW和PGW等核心网网元、提供漫游、跟踪、安全等功能；SGW是本地eNB之间切换的移动性锚点，并提供合法监听相关功能；PGW则负责用户地址分配、方案控制和计费规则的执行以及合法监听相关等功能；HSS用于存储用户的签约信息；PCRF用于提供方案和计费控制规则。
应理解，本发明实施例将以应用于LTE网络为例进行说明，但本发明并不限于此。另外，本文中术语“系统”和“网络”在本文中常被可互换使用。
在传输数据时，为了保证节点之间安全的通信，需要终端和网络设备协商确定安全策略，并使终端或网络设备获取该安全策略后根据该安全策略对传输的数据进行安全保护。其中，消息安全交互的连接建立主要包括以下几个过程：
建立无线资源控制(Radio Resource Control，简称为“RRC”)连接，同时也建立起信令无线承载(Signalling Radio Bearer，简称为“SRB”)；
建立NAS连接；
发起第三代移动通讯网络的认证与密钥协商协议(Authentication and Key Agreement简称为“AKA”)过程，获取相应的安全算法，完成UE和MME的双向鉴权和密钥KASME的协商；
发起NAS安全模式控制(Security Mode Control，简称为“SMC”)流程，激活NAS安全机制，随后交互的NAS消息都进行安全保护；
发起AS SMC流程，激活AS安全机制，随后交互的RRC消息都进行安全保护。
其中SMC用于激活终端和网络设备间信息的安全交互，包括NAS SMC和AS SMC两部分。安全模式控制主要包括网络设备发给UE的安全模式命令和UE回复给网络设备的安全模式确认两条信令。SMC流程主要完成终端和网络设备对所使用的安全算法的协商，并以根密钥(例如，KASME)为基础，生成相应安全算法所需的密钥，以保证MME和UE之间，或者是eNB和UE之间安全的进行交互。
在现有的LTE网络的安全体系中，只有一个安全等级，不论是NAS安全机制还是AS安全机制，都使用该安全等级对应的安全算法和安全参数，一个安全等级对应唯一的安全算法和安全参数，因此，针对不同的业务数据都会采用相同的安全算法和安全参数。而事实上，不同的业务数据对安全的要求是不同的，例如手机支付等涉及到银行卡的业务，需要高级别的安全算法进行处理，而对于一些机密性不高的业务数据在传输过程中可以不进行安全保护。因此，在只有一个安全等级的情况下，为了对某些私密数据进行保护，系统通常采取高级别的安全机制，如复杂的安全算法，加长的密钥等。但是如果对所有业务数据都采用高级别的安全机制，会增大设备的成本，因为安全机制的级别越高，获得数据所需的功率越大时延越长。
为了解决该问题，本发明实施例一提供一种安全策略的执行方法，图2为本发明实施例一提供的安全策略的执行方法的流程图，如图2所示，本实施例的方法可以包括以下步骤：
步骤101、安全策略执行设备获取业务数据的承载信息。
步骤102、安全策略执行设备根据业务数据的承载信息和预设的承载信息与安全策略之间的对应关系，确定业务数据的安全策略。
步骤103、安全策略执行设备根据业务数据的安全策略，对业务数据进行安全保护。
业务数据的安全保护通常由业务数据的发送设备和接收设备分别进行，业务数据的发送设备用于对业务数据进行加密运算和完整性保护，业务数据的接收设备用于对业务数据进行解密运算和完整性验证。
本实施例中，安全策略执行设备是用于执行安全策略的设备，即可以是业务数据的发送设备，也可以是业务数据的接收设备，本实施例中的安全策略执行设备具体可以为UE、基站或信令管理网元，该信令管理网元可以为MME或SGSN。当业务数据的发送设备为UE时，业务数据的接收设备可以为基站或信令管理网元，当业务数据的发送设备为基站或信令管理网元时，业务数据的接收设备为UE。
当安全策略执行设备为UE，且安全策略执行设备作为业务数据的发送设备时，UE可以在与核心网完成AKA过程后，发起NAS SMC或AS  SMC之前获取业务数据的承载信息，或者，在每次传输业务数据前获取业务数据的承载信息。业务数据的承载信息是指用于传输该业务数据的承载的信息，该承载信息包括承载标识或承载的服务质量QoS分类标识(QoS Class Identifier，简称为“QCI”)等。QCI用于衡量特定的提供给服务数据流(Service Data Flow简称为“SDF”)的包转发行为(如丢包率，包延迟预算)，它同时应用于保证比特速率(Guaranteed Bit Rate，简称为“GBR”)和Non-GBR承载，用于指定访问节点内定义的控制承载级分组转发方式(如调度权重、接纳门限、队列管理门限、链路层协议配置等)，UE需要建立的承载包括数据无线承载(Data Radio Bearer，简称为“DRB”)或信令无线承载(Signal Radio Bearer简称为“SRB”)。在NAS SMC过程中，安全策略执行设备为UE和信令管理网元，在AS SMC过程中，安全策略执行设备为UE和基站。
本发明实施例中的安全策略包括安全算法和安全参数，不同的安全策略采用不同的安全算法和安全参数，每个安全策略对应唯一的安全算法和安全参数。其中，安全参数可以包括安全算法的等级信息、密钥长度，安全算法的执行节点标识等。安全策略与安全等级对应，对应于安全等级高的安全策略，采用复杂、高级的安全算法。对于安全等级低的安全策略，采用简单、低级的安全算法。
在上述步骤102中，预设的承载信息与安全策略之间的对应关系可以预先配置在安全策略执行设备中，也可以由安全策略确定设备发送给安全策略执行设备。其中，安全策略确定设备用于对安全策略进行统一的管理和控制。应理解，安全策略确定设备是具有管理和控制功能的逻辑节点，即对安全策略具有管理和控制功能的设备统称为安全策略确定设备，安全策略确定设备可以是一种新建立的设备，即单独的设备，也可以与其他功能节点位于同一个实体设备。例如可以将对安全策略的管理和控制功能集成在PCRF设备内，则可以认为该PCEF设备是该安全策略确定设备，或是将对安全策略的管理和控制功能集成在HSS设备内，则可以认为该HSS设备是该安全策略确定设备。
上述步骤101-102中的承载信息具体可以为承载的标识或承载的QCI。其中，承载的标识是用于标识一个承载，具体可以为：EUTRAN无 线接入承载标识(EUTRAN-Radio Access Bearer Identifier，简称ERAB ID)、数据无线承载标识(Data Radio Bearer Identifier，简称DRB ID)或逻辑信道标识(logical channel identity，简称LCID)。
具体地，当该承载信息为承载的标识时，承载信息与安全策略之间的对应关系为：承载的标识与安全策略之间的对应关系，相应的，步骤102中安全策略执行设备根据业务数据的承载的标识，以及预设的承载的标识与安全策略之间的对应关系，确定业务数据的安全策略。该对应关系中可以包括多个承载的标识，以及每个承载的标识对应的安全策略。该方式中，将承载和安全策略绑定，可以为每个承载设置一个安全策略，也可以为每种类型的承载设置一个安全策略，即属于同一种类型的多个承载的安全策略相同，不同类型的承载的安全策略不同。
具体地，当该承载信息为承载的QCI时，承载信息与安全策略的对应关系为：QCI与安全策略的对应关系，相应地，步骤102中安全策略执行设备根据业务数据的承载的QCI，以及预设的QCI与安全策略之间的对应关系，确定业务数据的安全策略。其中，每种QCI对应一种安全策略，该方式中将QCI与安全策略绑定，当两个承载的QCI相同时，该两个承载上传输的业务数据具有相同的安全策略。当两个承载的QCI不同时，该两个承载上传输的业务数据具有不同的安全策略。
可选的，QCI与安全策略的对应关系存储在QCI表中，QCI表中包括：至少一种QCI的标识和每种QCI对应的安全策略的标识。表一为QCI表的示意图，如表一所示，LTE系统定义了9种QCI类型，每种QCI包括三个参数：数据包时延预算(Packet Delay Budget)、丢包率(Packet Loss Rate)和安全策略。其中数据包时延预算和丢包率是QCI表已有参数，安全策略是本发明新增加的参数。需要说明的是，这里QCI表中包括安全策略的标识，即用于指示不同的安全策略，不同的安全策略使用的安全算法和安全参数不同。例如，0表示安全策略使用的安全算法为第一安全算法，使用的秘钥长度为32比特；1表示的安全策略使用的安全算法为第二安全算法，使用的秘钥长度为64比特；2表示的安全策略使用的安全算法为第三安全算法，使用的秘钥长度为128比特；3表示的安全策略使用的安全算法为第四安全算法，使用的秘钥长度为256比特。本实施例中，第一安 全算法、第二安全算法、第三安全算法和第四安全算法均为UE支持的安全算法。表1中，编号为1-4的QCI为GBR承载的QCI，编号为5-9的QCI为non-GBR承载的QCI。
表一
QCI编号 数据包时延预算 丢包率 安全策略的标识
1(GBR) <50ms 高(例如：10-1) 0
2(GBR) 50ms(80ms) 中(例如：10-2) 0
3(GBR) 90ms 中(例如：10-2) 1
4(GBR) 250ms 低(例如：10-3) 1
5(non-GBR) 低(～50ms) 例如：10-6 2
6(non-GBR) 低(～50ms) 例如：10-3 2
7(non-GBR) 中(～250ms) 例如：10-4 3
8(non-GBR) 中(～250ms) 例如：10-6 3
9(non-GBR) 高(～500ms) n.a. 3
在上述步骤103中，当安全策略执行设备为业务数据的发送设备时，安全策略执行设备根据业务数据的安全策略，对业务数据进行加密运算和完整性保护，即使用安全策略中包括的安全算法和安全参数中的秘钥对业务数据进行加密运算和完整性保护。或者，当安全策略执行设备为业务数据的接收设备时，安全策略执行设备根据业务数据的安全策略，对业务数据进行解密运算和完整性验证，即使用安全策略中包括的安全算法和安全参数中的秘钥对业务数据进行解密运算和完整性验证。
本实施例的方法，可以应用在分组数据汇聚协议(Packet Data Convergence Protocol，简称PDCP)层对业务数据进行安全保护，以AS SMC为例，业务数据的发送设备可以为UE，业务数据的接收设备可以为eNB，UE和eNB在PDCP层对业务数据进行安全保护，当然，本实施例的方法并不限于PDCP层，还可以在其他网络协议层对业务数据进行安全保护，例如互联网协议(Internet Protocol，简称IP)层。
本实施例中，安全策略执行设备通过获取业务数据的承载信息，根据业务数据的承载信息和预设的承载信息与安全策略之间的对应关系，确定业务数据的安全策略，安全策略执行设备根据业务数据的安全策略，对业 务数据进行安全保护。由于承载信息与安全策略之间的对应关系中定义了多种承载与安全策略的对应关系，从而使得安全策略执行设备可以对不同的承载上传输的业务数据进行差异性保护，不但保证了数据传输的安全性，同时能够提高获取数据的效率。
图3为本发明实施例二提供的安全策略的执行方法的流程图，如图3所示，本实施例提供的方法可以包括以下步骤：
步骤201、第一安全策略执行设备根据业务数据的安全参考信息，确定业务数据的安全策略。
步骤202、第一安全策略执行设备根据业务数据的安全策略，对业务数据进行加密运算和完整性保护。
步骤203、第一安全策略执行设备将业务数据的安全策略的指示信息携带在业务数据的数据包的包头中发送给第二安全策略执行设备，该业务数据的安全策略的指示信息用于指示第一安全策略执行设备对业务数据进行加密运算和完整性保护所采用的安全策略。
步骤204、第二安全策略执行设备接收第一安全策略执行设备发送的数据包，该数据包携带有业务数据，该数据包的包头中包括业务数据的安全策略的指示信息。
步骤205、第二安全策略执行设备根据业务数据的安全策略的指示信息，确定业务数据的安全策略。
步骤206、第二安全策略执行设备根据业务数据的安全策略对该数据包进行解密运算和完整性验证。
其中，业务数据的安全参考信息包括：业务数据的数据属性、业务数据的业务属性、用户设备的属性、业务数据的安全等级、业务数据的保护类型以及第一安全策略执行设备的标识中的至少一种，其中，保护类型包括路径保护或数据内容保护；或者，业务数据的安全参考信息包括业务数据的QCI。
具体地，业务数据的数据属性可以用于指示业务数据的数据类型。业务数据的数据类型包括文本、图片、视频和音频等数据类型等，不同的数据属性可以对应不同的安全需求，不同的安全需求对应不同的安全策略。例如，视频对应的安全需求可以是需要获取高级别的安全保护，而文本的 安全需求可以是需要获取低级别的安全保护即可。
具体地，业务数据的业务属性可以用于指示业务数据的业务类型，不同的业务类型对应不同的安全需求。例如，该业务属性可以用于指示业务数据属于支付宝业务、淘宝业务、浏览器业务或是属于其他业务类型。例如，支付宝业务对应的安全需求可以是需要获取高级别的安全保护，而浏览器业务的安全需求可以是需要获取低级别的安全保护即可。业务数据的业务属性还可以用于指示业务数据的业务分类。例如，业务数据的业务属性可以用于指示业务数据属于娱乐类、金融类或科研项目类等业务分类。不同的业务属性可以对应不同的安全需求。
具体地，用户设备的属性用于指示发送业务数据的用户设备的类型。例如传输业务数据的用户设备的类型可以包括医疗机构、军工机构或科研机构等。不同的用户设备的类型可以对应不同的安全需求。
具体地，业务数据的安全等级用于指示业务数据需要的安全等级，例如，根据业务数据的不同总共将安全等级分为五个等级。
具体地，业务数据的保护类型包括路径保护或数据内容保护，路径保护可以是指业务数据在传输过程中所进行的保护。例如在两个节点之间传输时进行加密保护。数据内容保护可以是指对业务数据的数据进行加密保护，即该业务数据本身已经进行加密，即使业务数据被攻击者拦截依然无法获得相关数据内容。
具体地，第一安全策略执行设备可以根据自己的标识，确定自己对业务数据进行安全保护。
在上述步骤201中，根据业务数据的安全参考信息，确定业务数据的安全策略具体可以采用如下两种实现方式：
一种实现方式中，第一安全策略执行设备根据业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定业务数据的安全策略。该安全参考信息与安全策略之间的对应关系可以预先配置在第一安全策略执行设备上，或者，第一安全策略执行设备接收安全策略确定设备发送的该安全参考信息与安全策略之间的对应关系。
另一种实现方式中，第一安全策略执行设备向安全策略确定设备发送安全策略请求消息，该安全策略请求消息中包括业务数据的安全参考信 息，该安全策略请求消息用于请求获取业务数据的安全策略。安全策略确定设备接收到该安全策略请求消息后，根据该安全策略请求消息中包括的安全参考信息确定业务数据的安全策略，然后，向第一安全策略执行设备返回安全策略响应消息，该安全策略响应消息中包括业务数据的安全策略。第一安全策略执行设备获取该安全策略响应消息中的业务数据的安全策略。
在上述步骤203中，业务数据的安全策略的指示信息可以包括安全策略的标识或业务数据的安全参考信息。
需要说明的是，步骤203中的数据包可以采用互联网协议第4版(Internet Protocol version 4，简称IPv4)格式或互联网协议第6版(Internet Protocol version 4，简称IPv6)格式。
当数据包采用IPv4格式时，业务数据的安全策略的指示信息可以携带在数据包的IP头的服务类型(Type of Service，简称ToS)字段中。图4为IPv4格式的数据包的IP头的结构示意图，如图4所示，IP头的前一部分是固定长度，共20字节，是所有IP数据包必须具有的，包括：版本(version)、首部长度(1HL)、服务类型(Type of Service)、总长度(Total Length)、标识(identification)、标志(flag)、片偏移(Fragment Offset)、生存时间(Time To Live，简称为TTL)、协议(Protocol)、首部校验和(Header Checksum)、源IP地址(Source IP Address)、目的IP地址(Destination IP Address)、选项(Options)和填充(Padding)。IPv4包头中的ToS字段是用来区分业务类别的，具体可以将业务数据的安全策略的指示信息携带在ToS字段中未被启用的值中。
当数据包采用IPv6格式时，业务数据的安全策略的指示信息可以携带在IP数据包的IP头的通信类别(Traffic Class，简称为“TC”)字段中。图5为IPv6格式的数据包的IP头的结构示意图，如图5所示，IP头的长度是固定的，为16字节，包括：版本、TC、流标签(Flow Label)、载荷长度(Payload Length)、下一包头(Next Header)、跳数限制(Hop Limit)、源IP地址和目标IP地址。IPv6中的TC字段主要是延续IPv4中ToS字段的功能，所以可以将业务数据的安全策略的指示信息携带在TC字段的未被启用的值中。可选的，也可以将业务数据的安全策略的指示信息携带在 Flow Label字段中。Flow Label是IPv6中独有的区域，共20bit，Flow Label的作用是为一些特殊的数据类型做标记。
第二安全策略执行设备接收到携带有业务数据的数据包后，从数据包的包头中读取业务数据的安全策略的指示信息，根据业务数据的安全策略的指示信息确定业务数据的安全策略。其中，上述步骤205具体可以采用如下实现方式：
方式一、当业务数据的安全策略的指示信息为安全策略的标识时，第二安全策略执行设备根据安全策略的标识即可获取到业务数据的安全策略。
方式二、当业务数据的安全策略的指示信息为业务数据的安全参考信息时，第二安全策略执行设备根据业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定业务数据的安全策略，其中，该安全参考信息与安全策略之间的对应关系可以预先配置在第二安全策略执行设备上，或者，第二安全策略执行设备接收安全策略确定设备或第一安全策略执行设备发送的该安全参考信息与安全策略之间的对应关系；或者，第二安全策略执行设备向安全策略确定设备发送安全策略请求消息，该安全策略请求消息中包括业务数据的安全参考信息，该安全策略请求消息用于请求获取业务数据的安全策略。安全策略确定设备接收到该安全策略请求消息后，根据该安全策略请求消息中包括的安全参考信息确定业务数据的安全策略，然后，向第二安全策略执行设备返回安全策略响应消息。第二安全策略执行设备接收安全策略确定设备发送的安全策略响应消息，该安全策略响应消息中包括业务数据的安全策略。
需要指出的是，本实施例中，当第一安全策略执行设备为UE时，第二安全策略执行设备为UE、应用服务器或PGW；当第一安全策略执行设备为应用服务器时，第二安全策略执行设备为UE；当第一安全策略执行设备为PGW时，第二安全策略执行设备为UE。即安全保护由两个UE执行，或由UE和应用服务器执行，或由UE和PGW执行。
本实施例的方法，第一安全策略执行设备根据业务数据的安全参考信息，确定业务数据的安全策略，根据业务数据的安全策略，对业务数据进行加密运算和完整性保护，并将安全策略的指示信息携带在业务数据的数 据包的包头中发送给第二安全策略执行设备，以使第二安全策略执行设备根据业务数据的安全策略的指示信息确定业务数据的安全策略，进而根据确定的安全策略进行解密运算和完整性验证。通过根据业务数据的安全参考信息确定业务数据的安全策略，可以对不同类型的业务数据进行差异性保护，不但保证了数据传输的安全性，同时能够提高获取数据的效率。
图6为本发明实施例三提供的安全策略执行设备的结构示意图，如图6所示，本实施例提供的安全策略执行设备包括：获取模块11、确定模块12和安全保护模块13。
获取模块11，用于获取业务数据的承载信息；
确定模块12，用于根据所述获取模块11获取的业务数据的承载信息和预设的承载信息与安全策略之间的对应关系，确定所述业务数据的安全策略；
安全保护模块13，用于根据所述确定模块12确定的业务数据的安全策略，对所述业务数据进行安全保护。
可选的，所述安全策略包括安全算法和安全参数。
可选的，所述承载信息包括：承载的服务质量分类标识QCI或承载的标识。
当所述承载信息包括所述承载的QCI时，所述确定模块12具体用于：根据所述承载的QCI，以及预设的QCI与安全策略之间的对应关系，确定所述业务数据的安全策略。
当所述承载信息包括所述承载的标识时，所述确定模块12具体用于：根据所述承载的标识，以及预设的承载的标识与安全策略之间的对应关系，确定所述业务数据的安全策略。可选的，所述QCI与安全策略的对应关系存储在QCI表中。
本实施例中，安全策略执行设备即可以是业务数据的发送设备，也可以业务数据的接收设备。
当所述安全策略执行设备为所述业务数据的发送设备时，所述安全保护模块13具体用于：根据所述业务数据的安全策略，对所述业务数据进行加密运算和完整性保护。
当所述安全策略执行设备为所述业务数据的接收设备时，所述安全保护模块13具体用于：根据所述业务数据的安全策略，对所述业务数据进行解密运算和完整性验证。
可选的，所述安全策略执行设备还包括接收模块，接收模块用于接收所述承载信息与安全策略之间的对应关系。
可选的，所述安全策略执行设备为用户设备UE、基站或信令管理网元。
本实施例的安全策略执行设备，可用于执行实施例一的方法，具体实现方式和技术效果类似，这里不再赘述。
图7为本发明实施例四提供的第一安全策略执行设备的结构示意图，如图7所示，本实施例提供的第一安全策略执行设备包括：确定模块21、安全保护模块22和发送模块23。
确定模块21，用于根据业务数据的安全参考信息，确定所述业务数据的安全策略；
安全保护模块22，用于根据所述确定模块21确定的所述业务数据的安全策略，对所述业务数据进行加密运算和完整性保护；
发送模块23，用于将所述业务数据的安全策略的指示信息携带在所述业务数据的数据包的包头中发送给第二安全策略执行设备，所述业务数据的安全策略的指示信息用于指示所述第一安全策略执行设备对所述业务数据进行加密运算和完整性保护所采用的安全策略。
可选的，所述业务数据的安全策略的指示信息包括所述安全策略的标识或所述业务数据的安全参考信息。
所述业务数据的安全参考信息包括所述业务数据的数据属性、所述业务数据的业务属性、用户设备的属性、所述业务数据的安全等级、所述业务数据的保护类型以及所述第一安全策略执行设备的标识中的至少一种，其中，所述保护类型包括路径保护或数据内容保护；或者，所述业务数据的安全参考信息包括所述业务数据的服务质量分类标识QCI。
可选的，所述确定模块21具体用于：根据所述业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定所述业 务数据的安全策略；或者，向安全策略确定设备发送安全策略请求消息，所述安全策略请求消息中包括所述业务数据的安全参考信息；接收所述安全策略确定设备发送的安全策略响应消息，所述安全策略响应消息中包括所述业务数据的安全策略，所述业务数据的安全策略是所述安全策略确定设备根据所述业务数据的安全参考信息确定的。
可选的，所述数据包采用IPv4格式或IPv6格式，当所述数据包采用IPv4格式时，所述业务数据的安全策略的指示信息携带在所述数据包的互联网协议IP头的服务类型字段中。当所述数据包采用IPv6格式时，所述业务数据的安全策略的标识携带在所述数据包的IP头的通信类别字段中。
本实施例中，当所述第一安全策略执行设备为UE时，所述第二安全策略执行设备为UE、应用服务器或PGW；当所述第一安全策略执行设备为应用服务器时，所述第二安全策略执行设备为UE；当所述第一安全策略执行设备为PGW时，所述第二安全策略执行设备为UE。
本实施例的第一安全策略执行设备，可用于执行实施例二的方法，具体实现方式和技术效果类似，这里不再赘述。
图8为本发明实施例五提供的第二安全策略执行设备的结构示意图，如图8所示，本实施例提供的第二安全策略执行设备包括：接收模块31、确定模块32和安全保护模块33。
接收模块31，用于接收第一安全策略执行设备发送的数据包，所述数据包携带有业务数据，所述数据包的包头中包括所述业务数据的安全策略的指示信息，所述业务数据的安全策略的指示信息用于指示所述第一安全策略执行设备对所述业务数据进行加密运算和完整性保护所采用的安全策略；
确定模块32，用于根据所述数据包中包括的所述业务数据的安全策略的指示信息，确定所述业务数据的安全策略；
安全保护模块33，用于根据所述确定模块32确定的所述业务数据的安全策略对所述数据包进行解密运算和完整性验证。
可选的，所述业务数据的安全策略的指示信息为所述安全策略的标识或所述业务数据的安全参考信息。所述业务数据的安全参考信息包括所述 业务数据的数据属性、所述业务数据的业务属性、用户设备的属性、所述业务数据的安全等级、所述业务数据的保护类型以及所述第一安全策略执行设备的标识中的至少一种，其中，所述保护类型包括路径保护或数据内容保护；或者，所述业务数据的安全参考信息包括所述业务数据的服务质量分类标识QCI。
当所述业务数据的安全策略的指示信息为所述业务数据的安全参考信息时，所述确定模块32具体用于：根据所述业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定所述业务数据的安全策略；或者，向安全策略确定设备发送安全策略请求消息，所述安全策略请求消息中包括所述业务数据的安全参考信息；接收所述安全策略确定设备发送的安全策略响应消息，所述安全策略响应消息中包括所述业务数据的安全策略，所述业务数据的安全策略是所述安全策略确定设备根据所述业务数据的安全参考信息确定的。
可选的，所述数据包可以采用IPv4格式或当IPv6格式，当所述数据包采用IPv4格式时，所述业务数据的安全策略的指示信息携带在所述数据包的互联网协议IP头的服务类型字段中。当所述数据包采用IPv6格式时，所述业务数据的安全策略的指示信息携带在所述数据包的IP头的通信类别字段中。
本实施例中，当所述第一安全策略执行设备为UE时，所述第二安全策略执行设备为UE、应用服务器或PGW；当所述第一安全策略执行设备为应用服务器时，所述第二安全策略执行设备为UE；当所述第一安全策略执行设备为PGW时，所述第二安全策略执行设备为UE。
本实施例的第二安全策略执行设备，可用于执行实施例二的方法，具体实现方式和技术效果类似，这里不再赘述。
图9为本发明实施例六提供的安全策略执行设备的结构示意图，如图9所示，本实施例提供的安全策略执行设备包括：处理器41、存储器42、发送器43和接收器44，存储器42、发送器43和接收器44通过系统总线与处理器41连接并通信，存储器42用于存储计算机程序，本实施例中存储器42还用于存储预设的承载信息与安全策略之间的对应关系。发送器43用于向其他设备发送数据，接收器44用于接收其他设备发送的数据， 处理器41用于运行存储器42中存储的程序，以使安全策略执行设备执行实施例一的方法，具体实现方式和技术效果类似，这里不再赘述。
图10为本发明实施例七提供的第一安全策略执行设备的结构示意图，如图10所示，本实施例提供的第一安全策略执行设备包括：处理器51、存储器52、发送器53和接收器54，存储器52、发送器53和接收器54通过系统总线与处理器51连接并通信，存储器52用于存储计算机程序，发送器53用于向其他设备发送数据，接收器54用于接收其他设备发送的数据，处理器51用于运行存储器52中存储的程序，以使第一安全策略执行设备执行实施例二的方法，具体实现方式和技术效果类似，这里不再赘述。
图11为本发明实施例八提供的第二安全策略执行设备的结构示意图，如图11所示，本实施例提供的第二安全策略执行设备包括：处理器61、存储器62、发送器63和接收器64，存储器62、发送器63和接收器64通过系统总线与处理器61连接并通信，存储器62用于存储计算机程序，发送器63用于向其他设备发送数据，接收器64用于接收其他设备发送的数据，处理器61用于运行存储器62中存储的程序，以使第二安全策略执行设备执行实施例二的方法，具体实现方式和技术效果类似，这里不再赘述。
图12为本发明实施例九提供的安全系统的结构示意图，如图12所示，本实施例提供的安全系统包括第一安全策略执行设备700和第二安全策略执行设备800，第一安全策略执行设备700可以为图10所示的第一安全策略执行设备，第二安全策略执行设备800可以为图11所示的第二安全策略执行设备。或者，第一安全策略执行设备700和第二安全策略执行设备800都为图10所示的安全策略执行设备，其中，第一安全策略执行设备700可以为业务数据的发送设备，相应的，第二安全策略执行设备800为业务数据的接收设备。可选的，该安全系统还可以包括安全策略确定设备。本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (72)

  1. 一种安全策略的执行方法，其特征在于，包括：
    安全策略执行设备获取业务数据的承载信息；
    所述安全策略执行设备根据所述业务数据的承载信息和预设的承载信息与安全策略之间的对应关系，确定所述业务数据的安全策略；
    所述安全策略执行设备根据所述业务数据的安全策略，对所述业务数据进行安全保护。
  2. 根据权利要求1所述的方法，其特征在于，所述承载信息包括：承载的服务质量分类标识QCI或承载的标识。
  3. 根据权利要求2所述的方法，其特征在于，当所述承载信息包括所述承载的QCI时，所述安全策略执行设备根据所述承载信息，确定所述业务数据的安全策略，包括：
    所述安全策略执行设备根据所述承载的QCI，以及预设的QCI与安全策略之间的对应关系，确定所述业务数据的安全策略。
  4. 根据权利要求3所述的方法，其特征在于，所述QCI与安全策略的对应关系存储在QCI表中。
  5. 根据权利要求2所述的方法，其特征在于，当所述承载信息包括所述承载的标识时，所述安全策略执行设备根据所述承载信息，确定所述业务数据的安全策略，包括：
    所述安全策略执行设备根据所述承载的标识，以及预设的承载的标识与安全策略之间的对应关系，确定所述业务数据的安全策略。
  6. 根据权利要求1-5任一项所述的方法，其特征在于，当所述安全策略执行设备为所述业务数据的发送设备时，所述安全策略执行设备根据所述业务数据的安全策略，对所述业务数据进行安全保护，包括：
    所述安全策略执行设备根据所述业务数据的安全策略，对所述业务数据进行加密运算和完整性保护。
  7. 根据权利要求1-5任一项所述的方法，其特征在于，当所述安全策略执行设备为所述业务数据的接收设备时，所述安全策略执行设备根据所述业务数据的安全策略，对所述业务数据进行安全保护，包括：
    所述安全策略执行设备根据所述业务数据的安全策略，对所述业务数 据进行解密运算和完整性验证。
  8. 根据权利要求1-7任一项所述的方法，其特征在于，在所述安全策略执行设备获取业务数据的承载信息之前，所述方法还包括：
    所述安全策略执行设备接收所述承载信息与安全策略之间的对应关系。
  9. 根据权利要求1-8任一项所述方法，其特征在于，所述安全策略包括安全算法和安全参数。
  10. 根据权利要求1-9任一项所述的方法，其特征在于，所述安全策略执行设备为用户设备UE、基站或信令管理网元。
  11. 一种安全策略的执行方法，其特征在于，包括：
    第一安全策略执行设备根据业务数据的安全参考信息，确定所述业务数据的安全策略；
    所述第一安全策略执行设备根据所述业务数据的安全策略，对所述业务数据进行加密运算和完整性保护；
    所述第一安全策略执行设备将所述业务数据的安全策略的指示信息携带在所述业务数据的数据包的包头中发送给第二安全策略执行设备，所述业务数据的安全策略的指示信息用于指示所述第一安全策略执行设备对所述业务数据进行加密运算和完整性保护所采用的安全策略。
  12. 根据权利要求11所述的方法，其特征在于，所述第一安全策略执行设备根据业务数据的安全参考信息，确定所述业务数据的安全策略，包括：
    所述第一安全策略执行设备根据所述业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定所述业务数据的安全策略。
  13. 根据权利要求11所述的方法，其特征在于，所述第一安全策略执行设备根据业务数据的安全参考信息，确定所述业务数据的安全策略，包括：
    所述第一安全策略执行设备向安全策略确定设备发送安全策略请求消息，所述安全策略请求消息中包括所述业务数据的安全参考信息；
    所述第一安全策略执行设备接收所述安全策略确定设备发送的安全 策略响应消息，所述安全策略响应消息中包括所述业务数据的安全策略，所述业务数据的安全策略是所述安全策略确定设备根据所述业务数据的安全参考信息确定的。
  14. 根据权利要求11-13任一项所述的方法，其特征在于，所述业务数据的安全策略的指示信息包括所述安全策略的标识或所述业务数据的安全参考信息。
  15. 根据权利要求11-14任一项所述的方法，其特征在于：
    当所述数据包采用互联网协议第4版IPv4格式时，所述业务数据的安全策略的指示信息携带在所述数据包的互联网协议IP头的服务类型字段中；或者，
    当所述数据包采用互联网协议第6版IPv6格式时，所述业务数据的安全策略的标识携带在所述数据包的IP头的通信类别字段中。
  16. 根据权利要求11-15任一项所述的方法，其特征在于，所述业务数据的安全参考信息包括所述业务数据的数据属性、所述业务数据的业务属性、用户设备的属性、所述业务数据的安全等级、所述业务数据的保护类型以及所述第一安全策略执行设备的标识中的至少一种，其中，所述保护类型包括路径保护或数据内容保护；或者，
    所述业务数据的安全参考信息包括所述业务数据的服务质量分类标识QCI。
  17. 根据权利要求11-16任一项所述的方法，其特征在于，当所述第一安全策略执行设备为用户设备UE时，所述第二安全策略执行设备为UE、应用服务器或分组数据网关PGW；或者，
    当所述第一安全策略执行设备为应用服务器时，所述第二安全策略执行设备为UE；或者，
    当所述第一安全策略执行设备为PGW时，所述第二安全策略执行设备为UE。
  18. 一种安全策略的执行方法，其特征在于，包括：
    第二安全策略执行设备接收第一安全策略执行设备发送的数据包，所述数据包携带有业务数据，所述数据包的包头中包括所述业务数据的安全策略的指示信息，所述业务数据的安全策略的指示信息用于指示所述第一 安全策略执行设备对所述业务数据进行加密运算和完整性保护所采用的安全策略；
    所述第二安全策略执行设备根据所述业务数据的安全策略的指示信息，确定所述业务数据的安全策略；
    所述第二安全策略执行设备根据所述业务数据的安全策略对所述数据包进行解密运算和完整性验证。
  19. 根据权利要求18所述的方法，其特征在于，所述业务数据的安全策略的指示信息为所述安全策略的标识或所述业务数据的安全参考信息。
  20. 根据权利要求19所述的方法，其特征在于，当所述业务数据的安全策略的指示信息为所述业务数据的安全参考信息时，所述第二安全策略执行设备根据所述业务数据的安全策略的指示信息，确定所述业务数据的安全策略，包括：
    所述第二安全策略执行设备根据所述业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定所述业务数据的安全策略。
  21. 根据权利要求19所述的方法，其特征在于，当所述业务数据的安全策略的指示信息为所述业务数据的安全参考信息时，所述第二安全策略执行设备根据所述业务数据的安全策略的指示信息，确定所述业务数据的安全策略，包括：
    所述第二安全策略执行设备向安全策略确定设备发送安全策略请求消息，所述安全策略请求消息中包括所述业务数据的安全参考信息；
    所述第二安全策略执行设备接收所述安全策略确定设备发送的安全策略响应消息，所述安全策略响应消息中包括所述业务数据的安全策略，所述业务数据的安全策略是所述安全策略确定设备根据所述业务数据的安全参考信息确定的。
  22. 根据权利要求18-21任一项所述的方法，其特征在于：
    当所述数据包采用互联网协议第4版IPv4格式时，所述业务数据的安全策略的指示信息携带在所述数据包的互联网协议IP头的服务类型字段中；或者，
    当所述数据包采用互联网协议第6版IPv6格式时，所述业务数据的安全策略的指示信息携带在所述数据包的IP头的通信类别字段中。
  23. 根据权利要求18-22任一项所述的方法，其特征在于，所述业务数据的安全参考信息包括所述业务数据的数据属性、所述业务数据的业务属性、用户设备的属性、所述业务数据的安全等级、所述业务数据的保护类型以及所述第一安全策略执行设备的标识中的至少一种，其中，所述保护类型包括路径保护或数据内容保护；或者，
    所述业务数据的安全参考信息包括所述业务数据的服务质量分类标识QCI。
  24. 根据权利要求18-22任一项所述的方法，其特征在于，当所述第一安全策略执行设备为用户设备UE时，所述第二安全策略执行设备为UE、应用服务器或分组数据网关PGW；或者，
    当所述第一安全策略执行设备为应用服务器时，所述第二安全策略执行设备为UE；或者，
    当所述第一安全策略执行设备为PGW时，所述第二安全策略执行设备为UE。
  25. 一种安全策略执行设备，其特征在于，包括：
    获取模块，用于获取业务数据的承载信息；
    确定模块，用于根据所述业务数据的承载信息和预设的承载信息与安全策略之间的对应关系，确定所述业务数据的安全策略；
    安全保护模块，用于根据所述业务数据的安全策略，对所述业务数据进行安全保护。
  26. 根据权利要求25所述的设备，其特征在于，所述承载信息包括：承载的服务质量分类标识QCI或承载的标识。
  27. 根据权利要求26所述的设备，其特征在于，当所述承载信息包括所述承载的QCI时，所述确定模块具体用于：
    根据所述承载的QCI，以及预设的QCI与安全策略之间的对应关系，确定所述业务数据的安全策略。
  28. 根据权利要求27所述的设备，其特征在于，所述QCI与安全策略的对应关系存储在QCI表中。
  29. 根据权利要求26所述的设备，其特征在于，当所述承载信息包括所述承载的标识时，所述确定模块具体用于：
    根据所述承载的标识，以及预设的承载的标识与安全策略之间的对应关系，确定所述业务数据的安全策略。
  30. 根据权利要求25-29任一项所述的设备，其特征在于，当所述安全策略执行设备为所述业务数据的发送设备时，所述安全保护模块具体用于：
    根据所述业务数据的安全策略，对所述业务数据进行加密运算和完整性保护。
  31. 根据权利要求25-29任一项所述的设备，其特征在于，当所述安全策略执行设备为所述业务数据的接收设备时，所述安全保护模块具体用于：
    根据所述业务数据的安全策略，对所述业务数据进行解密运算和完整性验证。
  32. 根据权利要求25-31任一项所述的设备，其特征在于，还包括：
    接收模块，用于接收所述承载信息与安全策略之间的对应关系。
  33. 根据权利要求25-32任一项所述的设备，其特征在于，所述安全策略包括安全算法和安全参数。
  34. 根据权利要求25-32任一项所述的设备，其特征在于，所述安全策略执行设备为用户设备UE、基站或信令管理网元。
  35. 一种第一安全策略执行设备，其特征在于，包括：
    确定模块，用于根据业务数据的安全参考信息，确定所述业务数据的安全策略；
    安全保护模块，用于根据所述业务数据的安全策略，对所述业务数据进行加密运算和完整性保护；
    发送模块，用于将所述业务数据的安全策略的指示信息携带在所述业务数据的数据包的包头中发送给第二安全策略执行设备，所述业务数据的安全策略的指示信息用于指示所述第一安全策略执行设备对所述业务数据进行加密运算和完整性保护所采用的安全策略。
  36. 根据权利要求35所述的设备，其特征在于，所述确定模块具体 用于：
    根据所述业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定所述业务数据的安全策略。
  37. 根据权利要求35所述的设备，其特征在于，所述确定模块具体用于：
    向安全策略确定设备发送安全策略请求消息，所述安全策略请求消息中包括所述业务数据的安全参考信息；
    接收所述安全策略确定设备发送的安全策略响应消息，所述安全策略响应消息中包括所述业务数据的安全策略，所述业务数据的安全策略是所述安全策略确定设备根据所述业务数据的安全参考信息确定的。
  38. 根据权利要求35-37任一项所述的设备，其特征在于，所述业务数据的安全策略的指示信息包括所述安全策略的标识或所述业务数据的安全参考信息。
  39. 根据权利要求38所述的设备，其特征在于：
    当所述数据包采用互联网协议第4版IPv4格式时，所述业务数据的安全策略的指示信息携带在所述数据包的互联网协议IP头的服务类型字段中；或者，
    当所述数据包采用互联网协议第6版IPv6格式时，所述业务数据的安全策略的标识携带在所述数据包的IP头的通信类别字段中。
  40. 根据权利要求35-37任一项所述的设备，其特征在于，所述业务数据的安全参考信息包括所述业务数据的数据属性、所述业务数据的业务属性、用户设备的属性、所述业务数据的安全等级、所述业务数据的保护类型以及所述第一安全策略执行设备的标识中的至少一种，其中，所述保护类型包括路径保护或数据内容保护；或者，
    所述业务数据的安全参考信息包括所述业务数据的服务质量分类标识QCI。
  41. 根据权利要求35-40任一项所述的设备，其特征在于，当所述第一安全策略执行设备为用户设备UE时，所述第二安全策略执行设备为UE、应用服务器或分组数据网关PGW；或者，
    当所述第一安全策略执行设备为应用服务器时，所述第二安全策略执 行设备为UE；或者，
    当所述第一安全策略执行设备为PGW时，所述第二安全策略执行设备为UE。
  42. 一种第二安全策略执行设备，其特征在于，包括：
    接收模块，用于接收第一安全策略执行设备发送的数据包，所述数据包携带有业务数据，所述数据包的包头中包括所述业务数据的安全策略的指示信息，所述业务数据的安全策略的指示信息用于指示所述第一安全策略执行设备对所述业务数据进行加密运算和完整性保护所采用的安全策略；
    确定模块，用于根据所述业务数据的安全策略的指示信息，确定所述业务数据的安全策略；
    安全保护模块，用于根据所述业务数据的安全策略对所述数据包进行解密运算和完整性验证。
  43. 根据权利要求42所述的设备，其特征在于，所述业务数据的安全策略的指示信息为所述安全策略的标识或所述业务数据的安全参考信息。
  44. 根据权利要求43所述的设备，其特征在于，当所述业务数据的安全策略的指示信息为所述业务数据的安全参考信息时，所述确定模块具体用于：
    根据所述业务数据的安全参考信息，以及预设的安全参考信息与安全策略之间的对应关系，确定所述业务数据的安全策略。
  45. 根据权利要求43所述的设备，其特征在于，当所述业务数据的安全策略的指示信息为所述业务数据的安全参考信息时，所述确定模块具体用于：
    向安全策略确定设备发送安全策略请求消息，所述安全策略请求消息中包括所述业务数据的安全参考信息；
    接收所述安全策略确定设备发送的安全策略响应消息，所述安全策略响应消息中包括所述业务数据的安全策略，所述业务数据的安全策略是所述安全策略确定设备根据所述业务数据的安全参考信息确定的。
  46. 根据权利要求42-45任一项所述的设备，其特征在于：
    当所述数据包采用互联网协议第4版IPv4格式时，所述业务数据的安全策略的指示信息携带在所述数据包的互联网协议IP头的服务类型字段中；或者，
    当所述数据包采用互联网协议第6版IPv6格式时，所述业务数据的安全策略的指示信息携带在所述数据包的IP头的通信类别字段中。
  47. 根据权利要求42-46任一项所述的设备，其特征在于，所述业务数据的安全参考信息包括所述业务数据的数据属性、所述业务数据的业务属性、用户设备的属性、所述业务数据的安全等级、所述业务数据的保护类型以及所述第一安全策略执行设备的标识中的至少一种，其中，所述保护类型包括路径保护或数据内容保护；或者，
    所述业务数据的安全参考信息包括所述业务数据的服务质量分类标识QCI。
  48. 根据权利要求42-47任一项所述的设备，其特征在于，当所述第一安全策略执行设备为用户设备UE时，所述第二安全策略执行设备为UE、应用服务器或分组数据网关PGW；或者，
    当所述第一安全策略执行设备为应用服务器时，所述第二安全策略执行设备为UE；或者，
    当所述第一安全策略执行设备为PGW时，所述第二安全策略执行设备为UE。
  49. 一种安全策略执行设备，其特征在于，包括：处理器和存储器；
    所述存储器，用于存储预设的承载信息与安全策略之间的对应关系；
    所述处理器用于：
    获取业务数据的承载信息；
    根据所述业务数据的承载信息和所述预设的承载信息与安全策略之间的对应关系，确定所述业务数据的安全策略；
    根据所述业务数据的安全策略，对所述业务数据进行安全保护。
  50. 根据权利要求49所述的设备，其特征在于，所述承载信息包括：承载的服务质量分类标识QCI或承载的标识。
  51. 根据权利要求50所述的设备，其特征在于，当所述承载信息包括所述承载的QCI时，所述处理器具体用于：
    根据所述承载的QCI，以及预设的QCI与安全策略之间的对应关系，确定所述业务数据的安全策略。
  52. 根据权利要求51所述的设备，其特征在于，所述QCI与安全策略的对应关系存储在QCI表中。
  53. 根据权利要求50所述的设备，其特征在于，当所述承载信息包括所述承载的标识时，所述处理器具体用于：
    根据所述承载的标识，以及预设的承载的标识与安全策略之间的对应关系，确定所述业务数据的安全策略。
  54. 根据权利要求49-53任一项所述的设备，其特征在于，当所述安全策略执行设备为所述业务数据的发送设备时，所述处理器具体用于：
    根据所述业务数据的安全策略，对所述业务数据进行加密运算和完整性保护。
  55. 根据权利要求49-53任一项所述的设备，其特征在于，当所述安全策略执行设备为所述业务数据的接收设备时，所述处理器具体用于：
    根据所述业务数据的安全策略，对所述业务数据进行解密运算和完整性验证。
  56. 根据权利要求49-55任一项所述的设备，其特征在于，还包括：
    接收器，用于接收所述承载信息与安全策略之间的对应关系。
  57. 根据权利要求49-56任一项所述的设备，其特征在于，所述安全策略包括安全算法和安全参数。
  58. 根据权利要求49-57任一项所述的设备，其特征在于，所述安全策略执行设备为用户设备UE、基站或信令管理网元。
  59. 一种第一安全策略执行设备，其特征在于，包括：处理器和发送器；
    所述处理器，用于根据业务数据的安全参考信息，确定所述业务数据的安全策略；
    所述处理器，还用于根据所述业务数据的安全策略，对所述业务数据进行加密运算和完整性保护；
    所述发送器，用于将所述业务数据的安全策略的指示信息携带在所述业务数据的数据包的包头中发送给第二安全策略执行设备，所述业务数据 的安全策略的指示信息用于指示所述第一安全策略执行设备对所述业务数据进行加密运算和完整性保护所采用的安全策略。
  60. 根据权利要求59所述的设备，其特征在于，还包括存储器；
    所述存储器，用于存储预设的安全参考信息与安全策略之间的对应关系；
    所述处理器具体用于：根据所述业务数据的安全参考信息，以及所述预设的安全参考信息与安全策略之间的对应关系，确定所述业务数据的安全策略。
  61. 根据权利要求59所述的设备，其特征在于，还包括接收器，所述处理器具体用于：
    控制所述发送模块向安全策略确定设备发送安全策略请求消息，所述安全策略请求消息中包括所述业务数据的安全参考信息；
    控制所述接收器接收所述安全策略确定设备发送的安全策略响应消息，所述安全策略响应消息中包括所述业务数据的安全策略，所述业务数据的安全策略是所述安全策略确定设备根据所述业务数据的安全参考信息确定的。
  62. 根据权利要求59-61任一项所述的设备，其特征在于，所述业务数据的安全策略的指示信息包括所述安全策略的标识或所述业务数据的安全参考信息。
  63. 根据权利要求59-62任一项所述的设备，其特征在于：
    当所述数据包采用互联网协议第4版IPv4格式时，所述业务数据的安全策略的指示信息携带在所述数据包的互联网协议IP头的服务类型字段中；或者，
    当所述数据包采用互联网协议第6版IPv6格式时，所述业务数据的安全策略的标识携带在所述数据包的IP头的通信类别字段中。
  64. 根据权利要求59-63任一项所述的设备，其特征在于：所述业务数据的安全参考信息包括所述业务数据的数据属性、所述业务数据的业务属性、用户设备的属性、所述业务数据的安全等级、所述业务数据的保护类型以及所述第一安全策略执行设备的标识中的至少一种，其中，所述保护类型包括路径保护或数据内容保护；或者，
    所述业务数据的安全参考信息包括所述业务数据的服务质量分类标识QCI。
  65. 根据权利要求59-64任一项所述的设备，其特征在于：当所述第一安全策略执行设备为用户设备UE时，所述第二安全策略执行设备为UE、应用服务器或分组数据网关PGW；或者，
    当所述第一安全策略执行设备为应用服务器时，所述第二安全策略执行设备为UE；或者，
    当所述第一安全策略执行设备为PGW时，所述第二安全策略执行设备为UE。
  66. 一种第二安全策略执行设备，其特征在于，包括：接收器和处理器；
    所述接收器，用于接收第一安全策略执行设备发送的数据包，所述数据包携带有业务数据，所述数据包的包头中包括所述业务数据的安全策略的指示信息，所述业务数据的安全策略的指示信息用于指示所述第一安全策略执行设备对所述业务数据进行加密运算和完整性保护所采用的安全策略；
    所述处理器，用于根据所述业务数据的安全策略的指示信息，确定所述业务数据的安全策略；
    所述处理器，还用于根据所述业务数据的安全策略对所述数据包进行解密运算和完整性验证。
  67. 根据权利要求66所述的设备，其特征在于，所述业务数据的安全策略的指示信息为所述安全策略的标识或所述业务数据的安全参考信息。
  68. 根据权利要求67所述的设备，其特征在于，当所述业务数据的安全策略的指示信息为所述业务数据的安全参考信息时，所述设备还包括存储器；
    所述存储器，用于存储预设的安全参考信息与安全策略之间的对应关系；
    所述处理器具体用于：根据所述业务数据的安全参考信息，以及所述预设的安全参考信息与安全策略之间的对应关系，确定所述业务数据的安全策略。
  69. 根据权利要求67所述的设备，其特征在于，当所述业务数据的安全策略的指示信息为所述业务数据的安全参考信息时，所述设备还包括发送器；
    所述处理器具体用于：
    控制所述发送器向安全策略确定设备发送安全策略请求消息，所述安全策略请求消息中包括所述业务数据的安全参考信息；
    控制所述接收器接收所述安全策略确定设备发送的安全策略响应消息，所述安全策略响应消息中包括所述业务数据的安全策略，所述业务数据的安全策略是所述安全策略确定设备根据所述业务数据的安全参考信息确定的。
  70. 根据权利要求66-69任一项所述的设备，其特征在于：
    当所述数据包采用互联网协议第4版IPv4格式时，所述业务数据的安全策略的指示信息携带在所述数据包的互联网协议IP头的服务类型字段中；或者，
    当所述数据包采用互联网协议第6版IPv6格式时，所述业务数据的安全策略的指示信息携带在所述数据包的IP头的通信类别字段中。
  71. 根据权利要求66-70任一项所述的设备，其特征在于：所述业务数据的安全参考信息包括所述业务数据的数据属性、所述业务数据的业务属性、用户设备的属性、所述业务数据的安全等级、所述业务数据的保护类型以及所述第一安全策略执行设备的标识中的至少一种，其中，所述保护类型包括路径保护或数据内容保护；或者，
    所述业务数据的安全参考信息包括所述业务数据的服务质量分类标识QCI。
  72. 根据权利要求66-71任一项所述的设备，其特征在于，当所述第一安全策略执行设备为用户设备UE时，所述第二安全策略执行设备为UE、应用服务器或分组数据网关PGW；或者，
    当所述第一安全策略执行设备为应用服务器时，所述第二安全策略执行设备为UE；或者，
    当所述第一安全策略执行设备为PGW时，所述第二安全策略执行设备为UE。
PCT/CN2016/084886 2016-06-06 2016-06-06 安全策略的执行方法和设备 WO2017210811A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/CN2016/084886 WO2017210811A1 (zh) 2016-06-06 2016-06-06 安全策略的执行方法和设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2016/084886 WO2017210811A1 (zh) 2016-06-06 2016-06-06 安全策略的执行方法和设备

Publications (1)

Publication Number Publication Date
WO2017210811A1 true WO2017210811A1 (zh) 2017-12-14

Family

ID=60577538

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2016/084886 WO2017210811A1 (zh) 2016-06-06 2016-06-06 安全策略的执行方法和设备

Country Status (1)

Country Link
WO (1) WO2017210811A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113676907A (zh) * 2020-04-30 2021-11-19 华为技术有限公司 一种确定服务质量流的方法及设备
WO2022194009A1 (zh) * 2021-03-18 2022-09-22 华为技术有限公司 一种通信方法、装置及设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101111053A (zh) * 2006-07-18 2008-01-23 中兴通讯股份有限公司 移动网络中防御网络攻击的系统和方法
CN101146305A (zh) * 2006-09-13 2008-03-19 中兴通讯股份有限公司 安全策略的配置方法
CN101488847A (zh) * 2008-01-18 2009-07-22 华为技术有限公司 一种数据加密的方法、装置和系统
CN102625299A (zh) * 2012-04-23 2012-08-01 北京市大富智慧云技术有限公司 一种数据传输方法、系统及设备
CN102932382A (zh) * 2011-08-08 2013-02-13 中兴通讯股份有限公司 安全按需供给方法及系统、业务类型获取方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101111053A (zh) * 2006-07-18 2008-01-23 中兴通讯股份有限公司 移动网络中防御网络攻击的系统和方法
CN101146305A (zh) * 2006-09-13 2008-03-19 中兴通讯股份有限公司 安全策略的配置方法
CN101488847A (zh) * 2008-01-18 2009-07-22 华为技术有限公司 一种数据加密的方法、装置和系统
CN102932382A (zh) * 2011-08-08 2013-02-13 中兴通讯股份有限公司 安全按需供给方法及系统、业务类型获取方法
CN102625299A (zh) * 2012-04-23 2012-08-01 北京市大富智慧云技术有限公司 一种数据传输方法、系统及设备

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113676907A (zh) * 2020-04-30 2021-11-19 华为技术有限公司 一种确定服务质量流的方法及设备
CN113676907B (zh) * 2020-04-30 2023-08-04 华为技术有限公司 一种确定服务质量流的方法，装置，设备及计算机可读存储介质
WO2022194009A1 (zh) * 2021-03-18 2022-09-22 华为技术有限公司 一种通信方法、装置及设备
CN115119164A (zh) * 2021-03-18 2022-09-27 华为技术有限公司 一种通信方法、装置及设备

Similar Documents

Publication Publication Date Title
CN113630773B (zh) 安全实现方法、设备以及系统
CN110830991B (zh) 安全会话方法和装置
CN107079023B (zh) 用于下一代蜂窝网络的用户面安全
US11856402B2 (en) Identity-based message integrity protection and verification for wireless communication
WO2020248624A1 (zh) 一种通信方法、网络设备、用户设备和接入网设备
EP3178194B1 (en) System and method of counter management and security key update for device-to-device group communication
KR101583234B1 (ko) Ｌｔｅ 모바일 유닛에서의 비접속 계층(ｎａｓ) 보안을 가능하게 하는 방법 및 장치
JP5479474B2 (ja) 選択的な制御信号暗号化方法
US10027636B2 (en) Data transmission method, apparatus, and system
US20170359719A1 (en) Key generation method, device, and system
WO2019096075A1 (zh) 一种消息保护的方法及装置
CN104285422A (zh) 用于利用邻近服务的计算设备的安全通信
CN111835767A (zh) 在用户装备之间执行设备到设备通信的方法
WO2017133021A1 (zh) 一种安全处理方法及相关设备
WO2017132947A1 (zh) 获取待传输业务的安全参数的方法、信令管理网元、安全功能节点和发送端
CN115769614A (zh) 切片特定的安全要求信息
US8631234B2 (en) Apparatus and method for establishing encryption information common to a plurality of communication paths coupling two apparatuses
WO2022134089A1 (zh) 一种安全上下文生成方法、装置及计算机可读存储介质
WO2017210811A1 (zh) 安全策略的执行方法和设备
WO2020252790A1 (zh) 一种信息传输方法及装置、网络设备、用户设备
WO2020147602A1 (zh) 一种认证方法、装置和系统
KR101094057B1 (ko) 이동 통신시스템의 초기 시그널링 메시지 처리 방법 및장치
CN107005410B (zh) 因特网协议安全性隧道建立方法，用户设备及基站
WO2023083346A1 (zh) 卫星通信系统、方法、装置、接收方网元及存储介质
WO2022184681A1 (en) Traffic management with asymmetric traffic encryption in 5g networks

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16904264

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16904264

Country of ref document: EP

Kind code of ref document: A1