WO2018006626A1 - 一种网络安全的管理系统、方法及装置 - Google Patents

一种网络安全的管理系统、方法及装置 Download PDF

Info

Publication number
WO2018006626A1
WO2018006626A1 PCT/CN2017/077949 CN2017077949W WO2018006626A1 WO 2018006626 A1 WO2018006626 A1 WO 2018006626A1 CN 2017077949 W CN2017077949 W CN 2017077949W WO 2018006626 A1 WO2018006626 A1 WO 2018006626A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
identifier
module
target
security
Prior art date
Application number
PCT/CN2017/077949
Other languages
English (en)
French (fr)
Inventor
李漓春
刘斐
司马可
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to JP2019500287A priority Critical patent/JP6737948B2/ja
Priority to EP17823439.9A priority patent/EP3468137B1/en
Priority to BR112019000169A priority patent/BR112019000169A2/pt
Priority to KR1020197001740A priority patent/KR102169767B1/ko
Publication of WO2018006626A1 publication Critical patent/WO2018006626A1/zh
Priority to US16/240,710 priority patent/US10897712B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a network security management system, method, and apparatus.
  • FIG. 1 is a schematic diagram of a 4G dedicated core network architecture.
  • the access network can be connected to multiple operators.
  • Each operator can have a dedicated core network (DCD) and multiple DNCs share the access network.
  • the user equipment (English: User Equipment, UE) is connected to the access network, and interacts with the service services of the dedicated core network of each operator through the access network.
  • DCD dedicated core network
  • UE User Equipment
  • the UE may access multiple slices, and the network selects the AU according to the slice information of the slice to be attached by the UE or the load status of the authentication node (English: Authentication Unit, AU). Further, the authentication with the UE is implemented by the selected AU, or the UE is authorized to access the target slice and the like. In the prior art, when the AU is selected, the authentication protocol or algorithm supported by the UE is not considered, and the related design is lacking, and the network security cannot be better protected.
  • the present application provides a network security management system, method and device, which can meet the security requirements of different network authentication protocols and security policies, and improve network security.
  • the first aspect provides a network security management system, where the management system is used to implement security management of a network including at least two network slices, which may include: a user equipment UE, an access network AN, a network function selection module, and At least two authentication modules;
  • the UE is configured to send a first service request to the network function selection module, where the first service request carries authentication protocol information;
  • the network function selection module is configured to select a target authentication module from the at least two authentication modules according to the authentication protocol information, and send a second service request to the target authentication module;
  • the target authentication module is configured to receive the second service request, and perform mutual authentication with the UE.
  • the target authentication module is further configured to determine a first security configuration according to a specified security policy of the specified network slice to which the UE is attached, and send a second service request response to the AN, where the second service request response carries the First security configuration;
  • the AN is configured to determine a second security configuration according to the first security configuration or the specified security policy, and send a first service request response to the UE, where the first service request response carries the second security Configuration.
  • the network function selection module may select an authentication module that supports the authentication protocol supported by the UE according to the authentication protocol information supported by the UE, and further improve mutual authentication by the authentication module and the UE. Authenticity enhances the security of the network.
  • the application can also implement the generation of the security configuration by the target authentication module selected according to the authentication protocol, or implement the generation of the security configuration by the target authentication module and the AN selected according to the authentication protocol, and the selection flexibility is high.
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE;
  • the network function selection module is specifically configured to:
  • the network function selection module is specifically configured to:
  • an authentication module with the least load from the respective authentication modules as the target authentication module.
  • the authentication module whose load is less than the preset threshold is selected from the respective authentication modules as the target authentication module. That is to say, if there are multiple authentication modules whose load is less than the preset threshold, the multiple authentication modules that are less than the preset threshold may be randomly selected, and it is not necessary to select the least authentication module as the target authentication module.
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the first service request further carries an identifier of the specified network slice
  • the network function selection module is specifically configured to:
  • the network function selection module is specific. Used for:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the network function selection module is specifically configured to:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the first service request further carries an identifier of the specified network slice
  • the network function selection module is specifically configured to:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the network function selection module is specifically configured to:
  • the highest authentication protocol to be selected is the target authentication module.
  • the network function is specifically used to:
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and each of the at least two third authentication protocols The priority of the selection of the three authentication protocols;
  • the network function selection module is specifically configured to:
  • the authentication module that supports the fourth authentication protocol with the highest priority is selected from all the to-be-selected authentication modules according to the selection priorities of the third authentication protocols. As the target authentication module.
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and each of the at least two third authentication protocols The priority of the selection of the three authentication protocols;
  • the first service request further carries an identifier of the specified network slice
  • the network function selection module is specifically configured to:
  • the second authentication module that supports the fourth authentication protocol with the highest priority is selected from all the first authentication modules according to the selection priority of each of the third authentication protocols;
  • the second authentication module is more than one, selecting, according to the load status of each of the second authentication modules or the network slice information served by each of the second authentication modules, the specified network slice and the load are selected.
  • the least authentication module acts as the target authentication module.
  • the network function selection module includes a first submodule and a second submodule
  • the first sub-module is configured to receive the first service request sent by the UE, and send an authentication module selection request to the second sub-module, where the authentication module selection request carries the authentication protocol information;
  • the second submodule is configured to select a target authentication module from the at least two authentication modules according to the authentication protocol information, and send an identifier of the target authentication module to the first submodule;
  • the first submodule is further configured to send a second service request to the target authentication module corresponding to the identifier of the target authentication module.
  • the second sub The module is specifically configured to perform the implementation performed by the network function selection module in the various possible implementation manners described above.
  • the management system further includes a security policy controller
  • the security policy controller is configured to send a security policy of the network slice to the authentication module or the AN.
  • the security policy controller is configured to send a security policy of the network slice to the authentication module
  • the second service request further carries the security capability of the UE and the security capability of the AN;
  • the target authentication module is further configured to:
  • the AN is specifically used to:
  • the security policy controller is configured to send a security policy of the network slice to the authentication module and the AN;
  • the second service request further carries the security capability of the UE
  • the target authentication module is further configured to:
  • the AN is specifically used to:
  • the security policy controller is configured to send a security policy of the network slice to the authentication module
  • the second service request further carries the security capability of the UE
  • the target authentication module is further configured to:
  • the AN is specifically used to:
  • the target encryption algorithm is the UE and the AN
  • the encryption algorithm with the highest priority is selected among the supported encryption algorithms
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • the network function selection module includes: an authentication node AU selection function AUSF, an AU routing function AURF, a slice selection At least one of a function SSF and a mobility management MM.
  • the first submodule is an AURF
  • the second submodule is AUSF.
  • the authentication module includes: AU, Front- End and at least one of the access control agents ACA.
  • the second aspect provides a network security management system, where the management system is used to implement selection of an authentication module in a security management of a network including at least two network slices, which may include: a user equipment UE, a network function selection module, and At least two authentication modules;
  • the UE is configured to send a first service request to the network function selection module, where the first service request carries authentication protocol information;
  • the network function selection module is configured to select a target authentication module from the at least two authentication modules according to the authentication protocol information, and send a second service request to the target authentication module;
  • the target authentication module is configured to receive the second service request and perform mutual authentication with the UE.
  • the network function selection module may select the target authentication module according to multiple authentication protocols supported by the UE, a selection priority of each authentication protocol, a selection priority of a network-set authentication protocol, a slice information, and an authentication module load.
  • the selection flexibility of the authentication module is improved, the accuracy of the authentication module selection and the efficiency of the authentication module selection are improved, and the security of the network is enhanced.
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the network function selection module is specifically configured to:
  • the network function selection module is specifically configured to:
  • the authentication protocol information includes the selected by the UE The identifier of the first authentication agreement
  • the first service request further carries an identifier of the specified network slice
  • the network function selection module is specifically configured to:
  • the network function selection module is specific. Used for:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the network function selection module is specifically configured to:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the first service request further carries an identifier of the specified network slice
  • the network function selection module is specifically configured to:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the network function selection module is specifically configured to:
  • the highest authentication protocol to be selected is the target authentication module.
  • the authentication module to be selected is more than one
  • the network function selection module is specifically used to:
  • the authentication protocol information includes an identifier of the at least two third authentication protocols supported by the UE, and each of the at least two third authentication protocols The priority of the selection of the three authentication protocols;
  • the network function selection module is specifically configured to:
  • the authentication module that supports the selection of the fourth authentication protocol with the highest priority is selected as the target authentication module.
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and each of the at least two third authentication protocols The priority of the selection of the three authentication protocols;
  • the first service request further carries an identifier of the specified network slice
  • the network function selection module is specifically configured to:
  • the second authentication module that supports the fourth authentication protocol with the highest priority is selected from all the first authentication modules according to the selection priority of each of the third authentication protocols;
  • the second authentication module is more than one, selecting, according to the load status of each of the second authentication modules or the network slice information served by each of the second authentication modules, the specified network slice and the load are selected.
  • the least authentication module acts as the target authentication module.
  • the network function selection module includes a first submodule and a second submodule
  • the first sub-module is configured to receive the first service request sent by the UE, and send an authentication module selection request to the second sub-module, where the authentication module selection request carries the authentication protocol information;
  • the second submodule is configured to select a target authentication module from the at least two authentication modules according to the authentication protocol information, and send an identifier of the target authentication module to the first submodule;
  • the first submodule is further configured to send a second service request to the target authentication module corresponding to the identifier of the target authentication module.
  • the second submodule is specifically configured to perform any implementation performed by the network function selection module.
  • the network function selection module includes: an authentication node AU selection function AUSF, an AU routing function At least one of AURF, slice selection function SSF, and mobility management MM.
  • the first submodule is an AURF
  • the second submodule is AUSF.
  • the authentication module includes: AU, Front-end, and access control agent ACA At least one.
  • the third aspect provides a network security management system, where the management system is used to implement security management in a security management of a network including at least two network slices, which may include: user equipment UE, access network AN, Security policy controller and authentication module;
  • the security policy controller is configured to send a security policy of the network slice to the AN or the authentication module;
  • the UE is configured to send a first service request to the AN, where the first service request carries an identifier of a specified network slice to which the UE is to be attached;
  • the AN is configured to send a second service request to the authentication module, where the second service request carries an identifier of a specified network slice to which the UE is to be attached;
  • the authentication module is configured to receive the second service request and perform mutual authentication with the UE.
  • the authentication module is further configured to determine a first security configuration according to the specified security policy of the specified network slice, and send a second service request response to the AN, where the second service request response carries the first security configuration ;
  • the AN is further configured to determine a second security configuration according to the first security configuration or the specified security policy, and send a first service request response to the UE, where the first service request response carries the second Security configuration.
  • the application can implement the security configuration by using the target authentication module selected according to the authentication protocol, or implement the security configuration by the target authentication module and the AN selected according to the authentication protocol, and the selection flexibility is high, and the security of the network is enhanced.
  • the security policy controller is configured to send a security policy of a network slice to the authentication module
  • the second service request further carries the security capability of the UE and the security capability of the AN;
  • the authentication module is further configured to:
  • the AN is specifically used to:
  • the security policy controller is configured to send a network slice security policy to the authentication module and the AN;
  • the second service request further carries the security capability of the UE
  • the authentication module is further configured to:
  • the AN is specifically used to:
  • the security policy controller is configured to send a security policy of the network slice to the authentication module
  • the second service request further carries the security capability of the UE and the security capability of the AN;
  • the authentication module is further configured to:
  • the AN is specifically used to:
  • the target encryption algorithm is the UE and the AN
  • the encryption algorithm with the highest priority is selected among the supported encryption algorithms
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • the authentication module includes: at least one of: AU, Front-end, and access control agent ACAkind.
  • the fourth aspect provides a network security management method, which may include:
  • the network function selection module receives the first service request sent by the user equipment UE, where the first service request carries the authentication protocol information;
  • the network function selection module selects a target authentication module from at least two authentication modules included in the network according to the authentication protocol information;
  • the network function selection module sends a second service request to the target authentication module.
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selects, according to the identifier of the first authentication protocol, selects a target authentication module that supports the first authentication protocol from the at least two authentication modules.
  • the method further includes:
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the first service request further carries an identifier of the specified network slice
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module is configured according to the identifier of the first authentication protocol and the identifier of the specified network slice.
  • the target authentication module supporting the first authentication protocol and the specified network slice is selected among the at least two authentication modules.
  • the method further includes:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module selects, as the target authentication module, the to-be-selected authentication module that supports at least one of the second authentication protocols from the at least two authentication modules according to the identifier of each of the at least two authentication protocols.
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the first service request further carries an identifier of the specified network slice
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module selects, from the at least two authentication modules, at least one of the second authentication protocols and supports the to-be-selected authentication module of the specified network slice according to the identifier of each of the second authentication protocols. As the target authentication module.
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module determines, according to the selection priority of the authentication protocol set by the network, the authentication protocol with the highest priority among the second authentication protocols supported by the UE, and selects from the at least two authentication modules.
  • the selected authentication module of the authentication protocol with the highest priority is selected as the target authentication module.
  • the seventh possible implementation manner of the fourth aspect in the eighth possible implementation manner, if the authentication module to be selected is more than one, The method also includes:
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and each of the at least two third authentication protocols The priority of the selection of the three authentication protocols;
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module selects, from the at least two authentication modules, the to-be-selected authentication module that supports at least one of the third authentication protocols according to the identifier of each of the third authentication protocols;
  • the authentication module that supports the selection of the fourth authentication protocol with the highest priority is selected as the target authentication module.
  • the authentication protocol information includes an identifier of the at least two third authentication protocols supported by the UE, and each of the at least two third authentication protocols The priority of the selection of the three authentication protocols;
  • the first service request further carries an identifier of the specified network slice
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module selects, according to the identifier of each of the third authentication protocols, a first authentication module that supports at least one of the third authentication protocols from the at least two authentication modules;
  • the second authentication module that supports the fourth authentication protocol with the highest priority is selected from all the first authentication modules according to the selection priority of each of the third authentication protocols;
  • the second authentication module is more than one, selecting, according to the load status of each of the second authentication modules or the network slice information served by each of the second authentication modules, the specified network slice and the load are selected.
  • the least authentication module acts as the target authentication module.
  • the network function selection module includes: an authentication node AU selection function AUSF, an AU routing function AURF At least one of a slice selection function SSF and a mobility management MM.
  • a fifth aspect provides a network security management method, which may include:
  • the second network function selection module receives the authentication module selection request sent by the first network function selection module, where the authentication module selection request carries the authentication protocol information sent by the user equipment UE;
  • the second network function selection module selects a target authentication module from at least two authentication modules included in the network according to the authentication protocol information;
  • the second network function selection module sends an identifier of the target authentication module to the first network function selection module, to send a service request to the target authentication module by using the first network function selection module.
  • the sixth aspect provides a network security management method, which may include:
  • the authentication module receives the security policy of the network slice delivered by the security policy controller.
  • the authentication module receives a service request sent by the access network AN, where the service request carries the security capability of the user equipment UE and the identifier of the specified network slice to which the UE is to be attached;
  • the authentication module searches for a specified security policy of the specified network slice from the security policy of the network slice sent by the security policy controller according to the identifier of the specified network slice, and determines a security configuration according to the specified security policy;
  • the authentication module sends a service request response to the AN, where the service request response carries the security configuration.
  • the specified security policy includes key information, encryption algorithm information, or integrity protection algorithm information
  • the service request further carries the security capability of the user equipment UE;
  • the determining the security configuration according to the specified security policy includes:
  • the specified security policy includes key information
  • the determining the security configuration according to the specified security policy includes:
  • the specified security policy includes encryption algorithm information or integrity protection algorithm information
  • the service request further carries the security capability of the user equipment UE;
  • the determining the security configuration according to the specified security policy includes:
  • the encryption algorithm information included in the specified security policy is encrypted Selecting a priority order of the algorithm, where the integrity protection algorithm information is a priority order of selection of the integrity protection algorithm;
  • the target encryption algorithm selects an encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN;
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • the authentication module includes: an authentication node AU, a Front-end, and an access control agent ACA. At least one.
  • the seventh aspect provides a network security management method, which may include:
  • the access network AN receives the first service request sent by the user equipment UE, where the first service request carries the security capability of the UE and the identifier of the specified network slice to which the UE is to be attached;
  • the AN sends a second service request to the authentication module, where the second service request carries the identifier of the specified network slice to which the UE is to be attached, the security capability of the AN, and the security capability of the UE;
  • the second service request response sent by the authentication module, where the second service request response carries the identifier of the specified network slice, the security capability of the AN, and the security of the UE.
  • the first security configuration determined by the capability
  • the second service configuration carries the second security configuration.
  • the first security configuration includes a key, an identifier of an encryption algorithm, or an identifier of an integrity protection algorithm;
  • Determining, by the AN, the second security configuration according to the first security configuration includes:
  • the AN stores the key, and obtains an identifier of an encryption algorithm and an identifier of an integrity protection algorithm from the first security configuration, and generates an identifier according to the identifier of the encryption algorithm and the identifier of the integrity protection algorithm.
  • the eighth aspect provides a network security management method, which may include:
  • the access network AN receives the first service request sent by the user equipment UE, where the first service request carries the security capability of the UE and the identifier of the specified network slice to which the UE is to be attached;
  • the determining, by the AN, the second security configuration according to the security capability of the UE and the specified security policy corresponding to the identifier of the specified network slice includes:
  • the encryption algorithm information included in the specified security policy is a selection priority order of the encryption algorithm
  • the integrity protection algorithm information is Selecting a priority order of the integrity protection algorithm
  • the target encryption algorithm selects an encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN;
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • the ninth aspect provides a network security management apparatus, which may include:
  • a receiving unit configured to receive a first service request sent by the user equipment UE, where the first service request carries authentication protocol information
  • a selecting unit configured to select a target authentication module from at least two authentication modules included in the network according to the authentication protocol information received by the receiving unit;
  • a sending unit configured to send a second service request to the target authentication module selected by the selecting unit.
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the selection unit is specifically configured to:
  • the selection unit is specifically configured to:
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the first service request further carries an identifier of the specified network slice
  • the selection unit is specifically configured to:
  • the selecting unit is specifically used to :
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the selection unit is specifically configured to:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the first service request further carries an identifier of the specified network slice
  • the selection unit is specifically configured to:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the selection unit is specifically configured to:
  • the highest authentication protocol to be selected is the target authentication module.
  • the seventh possible implementation manner of the ninth aspect if the authentication module to be selected is more than one, The selection unit is specifically used to:
  • the authentication protocol information includes that is supported by the UE An identifier of at least two third authentication protocols, and a selection priority of each of the at least two third authentication protocols;
  • the selection unit is specifically configured to:
  • the authentication module that supports the fourth authentication protocol with the highest priority is selected from all the to-be-selected authentication modules according to the selection priorities of the third authentication protocols. As the target authentication module.
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and each of the at least two third authentication protocols The priority of the selection of the three authentication protocols;
  • the first service request further carries an identifier of the specified network slice
  • the selection unit is specifically configured to:
  • the second authentication module that supports the fourth authentication protocol with the highest priority is selected from all the first authentication modules according to the selection priority of each of the third authentication protocols;
  • the second authentication module is more than one, selecting, according to the load status of each of the second authentication modules or the network slice information served by each of the second authentication modules, the specified network slice and the load are selected.
  • the least authentication module acts as the target authentication module.
  • the selecting unit includes a first subunit and a second subunit
  • the first subunit is configured to receive the first service request sent by the UE, and send an authentication module selection request to the second subunit, where the authentication module selection request carries the authentication protocol information;
  • the second subunit is configured to select a target authentication module from the at least two authentication modules according to the authentication protocol information, and send an identifier of the target authentication module to the first subunit.
  • the first subunit is further configured to send a second service request to the target authentication module corresponding to the identifier of the target authentication module.
  • the second sub-unit is specifically configured to perform any implementation that is performed by the selecting unit.
  • the selecting unit includes: an authentication node AU selection function AUSF, an AU routing function AURF, a slice selection function SSF, and At least one of mobility management MM.
  • the first subunit is AURF
  • the second sub The unit is AUSF
  • a tenth aspect provides a network security management apparatus, which may include:
  • a receiving unit configured to receive a security policy of a network slice sent by the security policy controller
  • the receiving unit is further configured to receive a service request sent by the access network AN, where the service request carries a user setting The security capability of the standby UE and the identifier of the specified network slice to which the UE is to be attached;
  • An execution unit configured to search for a specified security policy of the specified network slice from a security policy of a network slice sent by the security policy controller according to the identifier of the specified network slice received by the receiving unit, and according to the Specify a security policy to determine the security configuration;
  • a sending unit configured to send a service request response to the AN, where the service request response carries the security configuration determined by the execution unit.
  • the specified security policy includes key information, encryption algorithm information, or integrity protection algorithm information;
  • the service request further carries the security capability of the user equipment UE;
  • the execution unit is specifically configured to:
  • the specified security policy includes key information
  • the execution unit is specifically configured to:
  • the specified security policy includes encryption algorithm information or integrity protection algorithm information
  • the service request further carries the security capability of the user equipment UE;
  • the execution unit is specifically configured to:
  • the encryption algorithm information included in the specified security policy is encrypted. Selecting a priority order of the algorithm, where the integrity protection algorithm information is a priority order of selection of the integrity protection algorithm;
  • the target encryption algorithm selects an encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN;
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • the execution unit includes: an authentication node AU, a Front-end, and an access control agent ACA. At least one.
  • the eleventh aspect provides a network security management apparatus, which may include:
  • a receiving unit configured to receive a first service request sent by the user equipment UE, where the first service request carries a security capability of the UE and an identifier of a specified network slice to which the UE is to be attached;
  • a sending unit configured to send a second service request to the authentication module according to the first service request received by the receiving unit, where the second service request carries the identifier of the specified network slice to which the UE is to be attached, and the security of the AN Capability and security capabilities of the UE;
  • the receiving unit is further configured to receive a second service request response sent by the authentication module, where the second service request response carries the identifier of the specified network slice, the security capability of the AN, and the a first security configuration determined by the security capability of the UE;
  • a processing unit configured to determine a second security configuration according to the first security configuration received by the receiving unit
  • the sending unit is further configured to send a first service request response to the UE, where the first service request response carries the second security configuration determined by the processing unit.
  • the first security configuration includes a key, an identifier of an encryption algorithm, or an identifier of an integrity protection algorithm;
  • the processing unit is specifically configured to:
  • a network security management apparatus which may include:
  • a receiving unit configured to receive a first service request sent by the user equipment UE, where the first service request carries a security capability of the UE and an identifier of a specified network slice to which the UE is to be attached;
  • a sending unit configured to send a second service request to the authentication module according to the first service request received by the receiving unit, where the second service request carries an identifier of a specified network slice to which the UE is to be attached;
  • the receiving unit is further configured to receive a second service request response sent by the authentication module
  • a processing unit configured to determine a second security configuration according to a security policy of the UE received by the receiving unit and a specified security policy corresponding to the identifier of the specified network slice;
  • the sending unit is further configured to send a first service request response to the UE, where the first service request response carries the second security configuration determined by the processing unit.
  • the processing unit is specifically configured to:
  • the encryption algorithm information included in the specified security policy is a selection priority order of the encryption algorithm
  • the integrity protection algorithm information is Selecting a priority order for the integrity protection algorithm
  • the target encryption algorithm selects an encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN;
  • the target integrity protection algorithm selects a priority among the integrity protection algorithms supported by the UE and the AN The highest level of integrity protection algorithm.
  • a network function selection module may include: a memory and a processor, wherein the memory is connected to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke the program code stored in the memory, and execute the network security management method provided by the fourth aspect.
  • a fourteenth aspect provides a network function selection module, which can include: a memory and a processor, the memory being connected to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke the program code stored in the memory, and execute the network security management method provided by the fifth aspect.
  • a fifteenth aspect provides an authentication module, which can include: a memory and a processor, the memory being coupled to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke the program code stored in the memory, and execute the network security management method provided in the sixth aspect.
  • a sixteenth aspect provides an access network, which can include: a memory and a processor, the memory being coupled to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke the program code stored in the memory, and execute the network security management method provided in the seventh aspect.
  • a seventeenth aspect provides a network function selection module, which may include: a memory and a processor, the memory being connected to the processor;
  • the memory is for storing a set of program codes
  • the processor is configured to invoke program code stored in the memory, and execute the network security management method provided in the foregoing eighth aspect.
  • the present invention discloses a network security management system, method and device, the system comprising: a UE, an AN, a network function selection module and at least two authentication modules; the UE is configured to select a module for the network function Sending a first service request, where the first service request carries the authentication protocol information; the network function selection module is configured to select the target authentication module according to the authentication protocol information, and send a second service request to the target authentication module; the target authentication module is used for the UE Performing mutual authentication; the target authentication module is further configured to determine the first security configuration according to the specified security policy, and send the first security configuration to the AN; the AN is configured to determine the second security configuration according to the first security configuration or the specified security policy And send a second security configuration to the UE.
  • the security requirements of the differentiated authentication protocol and the security policy of the network can be met, thereby improving the security of the network.
  • FIG. 1 is a schematic diagram of a 4G dedicated core network architecture
  • FIG. 2 is a schematic structural diagram of a 5G network slice according to an embodiment of the present invention.
  • FIG. 3 is a schematic structural diagram of a network security management system according to an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of interaction of implementing security management of each function module in a management system according to an embodiment of the present invention
  • FIG. 5 is a schematic diagram of interaction of a management system implementing an AU according to an embodiment of the present invention.
  • FIG. 6 is another schematic diagram of interaction of a management system to implement AU selection according to an embodiment of the present disclosure
  • FIG. 7 is another schematic diagram of interaction of a management system to implement AU selection according to an embodiment of the present invention.
  • FIG. 8 is a schematic diagram of interaction of a security policy performed by a management system according to an embodiment of the present invention.
  • FIG. 9 is another schematic diagram of interaction of a security policy performed by a management system according to an embodiment of the present invention.
  • FIG. 10 is a schematic diagram of interaction of a security management performed by a management system according to an embodiment of the present invention.
  • FIG. 11 is another schematic diagram of interaction of a security management performed by a management system according to an embodiment of the present invention.
  • FIG. 12 is another schematic diagram of interaction of a security management performed by a management system according to an embodiment of the present invention.
  • FIG. 13 is another schematic diagram of interaction of a security management performed by a management system according to an embodiment of the present invention.
  • FIG. 14 is another schematic diagram of interaction of a security management performed by a management system according to an embodiment of the present invention.
  • 15 is another schematic structural diagram of a network security management system according to an embodiment of the present invention.
  • FIG. 16 is a schematic diagram of interaction of implementing security management of each function module in a management system according to an embodiment of the present invention.
  • FIG. 17 is another schematic structural diagram of a network security management system according to an embodiment of the present invention.
  • FIG. 18 is another interaction diagram of implementing security management of each function module in a management system according to an embodiment of the present invention.
  • FIG. 19 is a schematic flowchart of a network security management method according to an embodiment of the present invention.
  • FIG. 20 is another schematic flowchart of a network security management method according to an embodiment of the present invention.
  • FIG. 21 is another schematic flowchart of a network security management method according to an embodiment of the present invention.
  • FIG. 22 is another schematic flowchart of a network security management method according to an embodiment of the present invention.
  • FIG. 23 is another schematic flowchart of a network security management method according to an embodiment of the present invention.
  • FIG. 24 is a schematic structural diagram of a network security management apparatus according to an embodiment of the present invention.
  • 25 is another schematic structural diagram of a network security management apparatus according to an embodiment of the present invention.
  • 26 is another schematic structural diagram of a network security management apparatus according to an embodiment of the present invention.
  • FIG. 27 is another schematic structural diagram of a network security management apparatus according to an embodiment of the present invention.
  • FIG. 2 is a schematic structural diagram of a 5G network slice provided by an embodiment of the present invention.
  • a 5G network slice in the architecture of a 5G network slice (referred to as a slice), all slices share an access network (English: Access Network, AN) or (English: Radio Access Network, RAN).
  • slice selection function English: Slice Selection Function, SSF
  • part of the slice shares a control plane (English: Control Plane, CP) network function (English: Network Function, NF), part of the slice exclusive CP NF.
  • slice A and slice B share a CP NF1, that is, the CP NF of slice A and the CP NF of slice B are the same CP NF.
  • Slice C has a single CP NF2.
  • Each slice also includes a user plane (English: User Plane, UP) NF.
  • Each CP NF includes one AU, and the AU included in the CP NF shared by multiple slices serves multiple slices, and the AU of the CP NF exclusive to one slice only serves the slice.
  • CP NF1 contains AU1 serving slice A and slice B
  • CP NF2 contains AU2 serving slice C.
  • the network when the network selects an AU for the UE, it may consider that the AU to which the slice to be attached by the UE is served, and the AU may be selected to serve the UE. Further, if the slice to be attached by the UE is served by multiple AUs, one AU may be selected to serve the UE according to the load status of each of the plurality of AUs. In the prior art, when the AU is selected, the authentication protocol or algorithm supported by the UE is not considered, and the related design is lacking. The accuracy of the AU selection is low, the selection efficiency is low, and the network security cannot be better guaranteed.
  • the AU selection scheme provided by the embodiment of the present invention may select an AU serving as a UE according to an authentication protocol supported by the UE, or select according to an authentication protocol supported by the UE or a slice to be attached by the UE and a load state of the AU to be selected.
  • the AU serving the UE enhances the accuracy of the AU selection.
  • the UE's attach request or new service request, and the sliced security policy can be performed through the selected AU, thereby improving the security of the network.
  • FIG. 3 is a schematic structural diagram of a network security management system according to an embodiment of the present invention.
  • the management system provided by the embodiment of the present invention can be used to implement the security management of the network architecture shown in FIG. 2, that is, the management system provided by the embodiment of the present invention can be used to implement security management of a network including multiple network slices.
  • the management system provided by the embodiment of the present invention may include a UE, an AN, a network function selection module, and at least two authentication modules.
  • the at least two authentication modules include an authentication module that is shared by multiple slices, and includes an authentication module that is unique to a single slice. Or the at least two authentication modules are all authentication modules shared by multiple slices, and all of them may be authentication modules exclusive to a single slice.
  • the shared authentication module may include multiple, each shared authentication module is at least two slice services, and the exclusive authentication module may also include multiple, and each exclusive authentication module serves one slice.
  • the number of the authentication modules and the distribution status of the slices of the services of each authentication module may be determined according to actual application scenarios, and no limitation is imposed herein.
  • the network function selection module may include an AU selection function (AU: AUSF), an AU routing function (AURF), an SSF, and mobility management (English: Mobility Management). , MM), etc., can be determined according to the actual application scenario, and there is no limitation here.
  • AU AU selection function
  • AURF AU routing function
  • SSF SSF
  • mobility management English: Mobility Management
  • the foregoing authentication module may include: an AU, a Front-end, and an Access Control Agent (ACA), which may be determined according to an actual application scenario, and is not limited herein.
  • ACA Access Control Agent
  • FIG. 4 is a diagram showing various functional modules (including UE, AN, and network) in the management system according to an embodiment of the present invention.
  • the network function selection module and the authentication module implement an interaction diagram of the network security management.
  • the process of implementing the security management of the network in the system shown in FIG. 3 may include the following steps:
  • the UE sends a first service request to the network function selection module.
  • the foregoing first service request may specifically be an attach request that the UE requests to attach to one slice.
  • the first service request may also be a new service request that the UE has attached to one slice and wants to be attached to another slice by a new service request.
  • the foregoing attach request or the new service request carries the authentication protocol information.
  • the foregoing authentication protocol information includes information such as an identifier of one or more authentication protocols supported by the UE, or a selection priority of each of the multiple authentication protocols supported by the UE.
  • the foregoing attach request or the new service request may also carry the identifier of the slice to be attached to the UE, and may be determined according to the actual application scenario, and is not limited herein.
  • the type of the first service request and the information about the authentication protocol carried in the first service request may be determined according to the actual application scenario, and are not limited herein.
  • the network function selection module selects a target authentication module from the at least two authentication modules according to the authentication protocol information.
  • the network function selection module sends a second service request to the target authentication module.
  • the network function selection module may select the target authentication module from the at least two authentication modules according to the authentication protocol information carried in the first service request.
  • the network function selection module may be configured from the multiple authentication modules according to the identifier of the first authentication protocol.
  • the authentication module supporting the first authentication protocol described above is selected as the target authentication module. If the number of the authentication modules supporting the first authentication protocol is more than one, the network function selection module may select the authentication module with the least load as the target authentication module according to the load status of each of the foregoing authentication modules.
  • the network function selection module may be configured according to the identifier of the first authentication protocol and the identifier of the specified network slice from the network.
  • the target authentication module is selected among the two authentication modules.
  • the target authentication module is an authentication module that supports the first authentication protocol and specifies a network slice.
  • the network function selection module may first select an authentication module that supports the first authentication protocol from multiple authentication modules according to the identifier of the first authentication protocol.
  • the network function selection module may select, according to the identifier of the specified network slice, the authentication module associated with the slice to be attached by the UE from the multiple authentication modules that support the first authentication protocol.
  • Target authentication module The authentication module associated with the slice to which the UE is to be attached may be an authentication module that serves the slice.
  • the network function selection module may first select an authentication module that supports the specified network slice from the plurality of authentication modules according to the identifier of the specified network slice. If the number of the authentication modules supporting the specified network slice is more than one, the network function selection module may select, as the target authentication module, the authentication module that supports the first authentication protocol from the multiple authentication modules that support the specified network slice according to the first authentication protocol.
  • the network function selection module may also select the target authentication module from the plurality of authentication modules according to the identifier of the first authentication protocol and the identifier of the specified network slice.
  • the screening mode of the authentication module may be determined according to the actual application scenario. There is no limit here.
  • the network function selection module determines whether the target authentication module is selected according to the identifier of the foregoing first authentication protocol, or according to the identifier of the first authentication protocol and the identifier of the specified network slice. Then, according to the load status of each selected target authentication module to be selected, the least loaded authentication module is selected from the selected plurality of target authentication modules to be selected as the final selected target authentication module.
  • the network function selection module may be configured according to each supported by the UE.
  • the identifier of the second authentication protocol selects a target authentication module from a plurality of authentication modules included in the network.
  • the authentication module may be determined as the target authentication module. If the multiple authentication modules included in the foregoing network include one of the authentication protocols supported by the UE, the authentication module with the least load may be selected from the multiple authentication modules that support the authentication protocol as the target authentication module. If the multiple authentication modules included in the network include multiple authentication modules that support different authentication protocols, the network function selection module selects the target authentication module according to the selection priority of each authentication protocol or the load status of each authentication module.
  • the network function selection module may select priorities according to the authentication protocol set by the network. Determining the highest priority authentication protocol among the multiple authentication protocols supported by the UE, and selecting the authentication module to be selected from the plurality of different authentication modules supporting the different authentication protocols to support the selection of the highest priority authentication protocol. As the target authentication module. If more than one authentication module is selected to support the highest priority authentication protocol, the least loaded authentication module may be selected as the target authentication module according to the load status of each candidate authentication module.
  • the network function selection module may directly select the least load according to the load status of each authentication module.
  • the authentication module acts as the target authentication module.
  • the authentication protocol information carried in the foregoing first service request may include identifiers of multiple authentication protocols supported by the UE (each authentication protocol may be set as a third authentication protocol), and each The selection priority of the third authentication protocol.
  • the network function selection module may select the target authentication module from the plurality of authentication modules included in the system according to the identifier of each third authentication protocol supported by the UE. In a specific implementation, if only one of the multiple authentication modules included in the foregoing system supports the authentication protocol supported by the UE, the authentication module may be determined as the target authentication module. If the multiple authentication modules included in the foregoing system include one of the third authentication protocols supported by the UE, the least-critical authentication module may be selected from the multiple authentication modules that support the third authentication protocol. Target authentication module. If the multiple authentication modules included in the foregoing system include multiple different authentication modules that support different third authentication protocols, the network function selection module may select the least-critical authentication module as the target authentication according to the load status of each authentication module. Module.
  • the network function selection module may further select a priority according to each third authentication protocol. Among the different authentication modules that support different third authentication protocols, an authentication module that supports the selection of the highest priority authentication protocol (assumed to be the fourth authentication protocol) is selected as the target authentication module. If the above-mentioned authentication module supporting the fourth authentication protocol is more than one, the network function selection module may select the authentication module with the least load as the target authentication module according to the load state of each authentication module.
  • the foregoing first service request may further carry more slice information than the identifier of the slice to be attached by the UE, and may specifically include a slice type, a service type supported by the slice, or a slice tenant. Logo, etc.
  • the network function selection module may also perform comprehensive selection by referring to the above-mentioned slice information, and no limitation is imposed herein.
  • the second service request may be sent to the target authentication module.
  • the foregoing second service request may also be an attach request or a new service request.
  • the target authentication module supports only one type of authentication protocol
  • the second service request sent to the target authentication module does not need to carry the authentication protocol information, and may carry the identifier of the UE or the slice information to be attached by the UE.
  • the target authentication module can support multiple authentication protocols
  • the foregoing second service request may carry the identifier of the authentication protocol supported by the UE and the target authentication module that are used when the target authentication module is selected.
  • the identifier of the UE or the slice information to be attached by the UE may be carried in the foregoing second service request, and is not limited herein.
  • the target authentication module receives the second service request and performs mutual authentication with the UE.
  • the target authentication module may directly authenticate the UE with the foregoing authentication protocol. If the target authentication module can support multiple authentication protocols, the target authentication module can receive the second service request sent by the network function selection module, and according to the authentication protocol supported by the UE and the target authentication module carried in the second service request, Perform mutual authentication.
  • the foregoing second service request may further carry the identifier of the UE, for example, the identity of the UE (English: Identity, ID), and the like, and is not limited herein.
  • the mutual authentication of the UE by the ID or the slice information of the UE refer to the existing implementation of the system interaction in the 5G framework, and details are not described herein.
  • the network function selection module may select an authentication module that supports the authentication protocol supported by the UE according to the authentication protocol information supported by the UE, and further improve the authentication module selection accuracy by mutual authentication between the authentication module and the UE. , enhance the security of the network.
  • FIG. 5 is a schematic diagram of interaction of a management system to implement AU selection according to an embodiment of the present invention.
  • the network function selection module will be described by taking the AURF as an example.
  • the authentication module will be described by taking the AU as an example.
  • the first service request will be described by taking an attach request as an example.
  • the selection process of the AU provided by the management system shown in FIG. 5 includes the steps of:
  • the UE sends an attach request to the AURF.
  • the UE supports only one type of authentication protocol
  • the attach request sent by the UE to the AURF may carry the identifier of the authentication protocol supported by the UE.
  • the foregoing attach request may further carry an ID of the UE, slice information, and the like.
  • the slice information may include a slice type, a service type supported by the slice, or a slice tenant identifier, and is not limited herein.
  • the AURF selects a target AU according to information such as an identifier of an authentication protocol carried in the attach request.
  • the AURF may select the target AU according to the identifier of the authentication protocol carried in the attach request, or may combine the slice information carried in the attach request or the to-be-selected in the system. For the load status of each AU in the AU, the target AU is selected. For the specific selection, refer to the implementation manner described in the foregoing step S402, and details are not described herein again.
  • the AURF sends an attach request to the target AU.
  • an attach request can be sent to the target AU.
  • the AURF may add an identifier of the authentication protocol supported by the UE in the attach request, so that the target AU and the UE perform mutual authentication.
  • the foregoing attach request may further carry the UE.
  • ID and the slice information, etc. refer to the implementation manner described in the foregoing step S402, which is not limited herein.
  • the AU performs mutual authentication with the UE.
  • the AU may perform mutual authentication with the UE after receiving the attach request sent by the AURF. If there are multiple authentication protocols supported by the AU, the authentication protocol supported by the UE may be determined according to the attach request, and the mutual authentication is performed with the UE by using the foregoing authentication protocol.
  • the authentication protocol supported by the UE may be determined according to the attach request, and the mutual authentication is performed with the UE by using the foregoing authentication protocol.
  • the specific implementation manner of the mutual authentication between the AU and the UE through the authentication protocol refer to the implementation manner provided in the existing 5G network system, and details are not described herein again.
  • the AURF can select the target AU according to the authentication protocol supported by the UE, which improves the accuracy of the AU selection and the efficiency of the AU selection, and enhances the security of the network.
  • FIG. 6 is another interaction diagram of the management system implementing the AU selection according to the embodiment of the present invention.
  • the network function selection module will be described by taking the AURF as an example.
  • the authentication module will be described by taking the AU as an example.
  • the first service request will be described by taking an attach request as an example.
  • the selection process of the AU provided by the management system shown in FIG. 6 includes the steps of:
  • the UE sends an attach request to the AURF.
  • the attach request sent by the UE to the AURF may carry the preference of the authentication protocol that the UE will use.
  • the preference of the foregoing authentication protocol includes the identifiers of the multiple authentication protocols supported by the UE, and the indication information of the priority order of the authentication protocols that the UE prefers.
  • the indication information of the selection priority order of the authentication protocol that the UE prefers may specifically be the selection priority of each of the multiple authentication protocols supported by the UE.
  • the above-mentioned attach request may also carry the ID of the UE, the slice information, and the like, and is not limited herein.
  • the AURF selects a target AU according to information such as a preference of an authentication protocol carried in the attach request.
  • the AURF may select the target AU according to the identifier of the authentication protocol carried in the attach request or the information such as the priority. Further, the AURF may also select the target AU according to the slice information carried in the attach request and the load status of each AU in the AU to be selected in the network. For the specific selection manner, refer to the implementation manner described in the foregoing step S402. Let me repeat.
  • the AURF may also be combined with the selection priorities of each authentication protocol set by the network, and supported by the AUs to be selected.
  • the target AU is selected from a plurality of AUs.
  • the AURF sends an acknowledgement message of the AU selection to the UE.
  • the AURF selects the target AU according to the authentication protocol supported by the UE, the authentication protocol supported by each AU, the load status of each AU, and the slice information.
  • the identifier of the selected target AU supporting authentication protocol may be sent to the UE by an acknowledgement message.
  • the UE may determine an authentication protocol used by the AURF to select the target AU according to the identifier of the authentication protocol carried in the acknowledgment message, that is, an authentication protocol supported by both the UE and the AU.
  • the operation mode of the acknowledgment message sent by the AURF to the UE is an optional implementation manner, and may be determined according to an actual application scenario.
  • the authentication protocol used by the UE to learn the AURF selection target AU may also be determined by the indication information carried in the first message sent by the AU when the AU and the UE perform the authentication.
  • the specific form of the foregoing indication information may be determined according to an actual application scenario, and is not limited herein.
  • the AURF sends an attach request to the target AU.
  • the attach request may be sent to the target AU, and the identifier of the authentication protocol is added in the attach request, so that the target AU and the UE perform mutual authentication.
  • the identifier of the authentication protocol carried in the foregoing attach request is an identifier of one of the multiple authentication protocols supported by the UE that is used when the AURF selects the target AU, to indicate that the AU performs mutual authentication with the UE by using the foregoing authentication protocol.
  • the above-mentioned attach request may also carry the ID of the UE, the slice information, and the like, and is not limited herein.
  • the AU performs mutual authentication with the UE.
  • the AU may perform mutual authentication with the UE after receiving the attach request sent by the AURF. If there are multiple authentication protocols supported by the AU, the authentication protocol supported by the UE may be determined according to the attach request, and the mutual authentication is performed with the UE by using the foregoing authentication protocol.
  • the authentication protocol supported by the UE may be determined according to the attach request, and the mutual authentication is performed with the UE by using the foregoing authentication protocol.
  • the specific implementation manner of the mutual authentication between the AU and the UE through the authentication protocol refer to the implementation manner provided in the existing 5G network system, and details are not described herein again.
  • the AURF may select a target AU according to multiple authentication protocols supported by the UE, a selection priority of each authentication protocol, a selection priority of a network-set authentication protocol, a slice information, an AU load, and the like.
  • the flexibility of AU selection improves the accuracy of AU selection and the efficiency of AU selection, and enhances the security of the network.
  • FIG. 7 is another interaction diagram of the management system implementing the AU selection according to the embodiment of the present invention.
  • the network function selection module may include a first sub-module and a second sub-module, wherein the first sub-module will be AURF, the second sub-module will be described by taking the AUSF as an example, and the authentication module will take AU as an example.
  • the first service request will be described by taking an attach request as an example.
  • the selection process of the AU provided by the management system shown in FIG. 7 includes the steps of:
  • the UE sends an attach request to the AURF.
  • the UE may carry the authentication protocol information in the attach request sent to the AURF.
  • the foregoing authentication protocol information may include an identifier of a single authentication protocol supported by the UE, and may include information such as identifiers of multiple authentication protocols supported by the UE, and indication information of a priority order of the authentication protocol supported by the UE.
  • the indication information of the selection priority order of the authentication protocol supported by the UE may specifically be the selection priority of each of the multiple authentication protocols supported by the UE.
  • the above-mentioned attach request may also carry the ID of the UE, the slice information, and the like, and is not limited herein. For details, refer to the implementation manner described in the foregoing step S401, and details are not described herein again.
  • the AURF After receiving the attach request sent by the UE, the AURF requests the AUSF to select the AU.
  • the AURF may send an AU selection request to the AUSF associated AUSF.
  • one AUSF can serve multiple AURFs, and the AUSF is used to select an AU.
  • the network only needs to notify the AUSF of the increase or decrease of the AU.
  • the AU is managed by AURF, the network needs to notify each AURF of a message of increasing AU or reducing AU. Since one AUSF can manage multiple AURFs, the notification of adding AU or reducing AU to each AUSF is less than the signaling directly notified to each AURF, and the network processing is more efficient.
  • the AUSF selects the target AU according to the authentication protocol information.
  • the AUSF may select the target AU according to the identifier of the authentication protocol, the selection priority, the slice information, and the like carried in the request for selecting the AU. Further, the AURF may also select the target AU according to the load status of each AU in the AU to be selected in the network.
  • the AU selected by the AUSF refer to the implementation manner of selecting the AU by the network function module described in the foregoing step S402, and details are not described herein again. That is, in the system configuration shown in FIG. 7, the selection of the AU can be performed by the AUSF, which can be used to perform the transmission of the attached message.
  • the AUSF sends the identifier of the selected target AU to the AURF.
  • the identifier of the selected target AU may be sent to the AURF to send the UE attach message to the target AU through the AURF.
  • the AURF sends an attach request to the target AU.
  • the attach request may be sent to the target AU, and the identifier of the authentication protocol is added in the attach request for the target AU to perform with the UE.
  • the identifier of the authentication protocol carried in the foregoing attachment request is an identifier of one of the multiple authentication protocols supported by the UE that is used when the AUSF selects the target AU, to indicate that the AU performs mutual authentication with the UE by using the foregoing authentication protocol.
  • the above-mentioned attach request may also carry the ID of the UE, the slice information, and the like, and is not limited herein.
  • the AU performs mutual authentication with the UE.
  • the AU may perform mutual authentication with the UE after receiving the attach request sent by the AURF. If there are multiple authentication protocols supported by the AU, the authentication protocol supported by the UE may be determined according to the attach request, and the mutual authentication is performed with the UE by using the foregoing authentication protocol.
  • the authentication protocol supported by the UE may be determined according to the attach request, and the mutual authentication is performed with the UE by using the foregoing authentication protocol.
  • the specific implementation manner of the mutual authentication between the AU and the UE through the authentication protocol refer to the implementation manner provided in the existing 5G network system, and details are not described herein again.
  • the AURF may request the AUSF to select a target AU according to multiple authentication protocols supported by the UE, a selection priority of each authentication protocol, a selection priority of a network-set authentication protocol, a slice information, an AU load, and the like.
  • the selection flexibility of the AU is improved, the signaling overhead of the network is saved, the accuracy of the AU selection and the network execution efficiency are improved, and the security of the network is enhanced.
  • the target authentication module determines the first security configuration according to the specified security policy of the specified network slice to which the UE is attached.
  • the target authentication module sends a second service request response to the AN.
  • the AN determines the second security configuration according to the first security configuration or the specified security policy.
  • the AN requests a response to the first service of the UE.
  • the management system provided by the embodiment of the present invention may further include a security policy controller.
  • the security policy controller is configured to send a security policy of each network slice included in the system to the authentication module or the AN.
  • the management system provided by the embodiment of the present invention may perform the security policy of the slice to be attached by the UE by the target authentication module, and may also perform the security policy of the slice to be attached by the UE by the target authentication module and the AN.
  • the security policy of the network slice may specify the length of the key of the signaling between the UE and the AN, and may also specify the selection priority of the encryption algorithm, the selection priority of the integrity protection algorithm, and the use range of the key. information.
  • the use range of the foregoing key may include the duration of use of the key or how many data packets the key can be used to encrypt.
  • the security policy controller may send a security policy of one or more network slices in the system to the target authentication module.
  • the one or more network slices may be one or more of the network slices served by the target authentication module, and may be determined according to an actual application scenario, and is not limited herein.
  • the target authentication module can be sent through the network function selection module.
  • the security capability of the UE carried in the second service request determines information such as an encryption algorithm and an integrity protection algorithm supported by the UE.
  • the target authentication module can also obtain the security capability of the UE through the network, that is, the encryption algorithm and the integrity protection algorithm supported by the UE.
  • the target authentication module can also acquire the security capabilities of the AN, that is, the encryption algorithm and integrity protection algorithm supported by the AN.
  • the security capability of the foregoing AN may be sent by the AN to the target authentication module.
  • the AN may carry the security capability of the AN in the second service request and send the message to the target authentication module.
  • the target authentication module may generate a key according to a security policy (ie, a specified security policy) of the specified network slice to which the UE is to be attached, and may also select an encryption algorithm according to the security capability of the UE, the security capability of the AN, and the specified security policy. Integrity protection algorithm.
  • the above key may include at least two keys assumed to be the first key and the second key.
  • the first key may be a key used to protect signaling between the UE and the AN
  • the second key may be a key used to protect signaling between the UE and the AU.
  • the lengths of the first key and the second key are consistent with the length of the key specified in the specified security policy.
  • the encryption algorithm may select the encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN.
  • the integrity protection algorithm may select the highest priority integrity protection algorithm for the integrity protection algorithms supported by the UE and the AN.
  • the target authentication module generates the first key and the second key, and after selecting the target encryption algorithm and the target integrity protection algorithm, according to the first key, the target encryption algorithm
  • the identifier of the identity and target integrity protection algorithm generates a first security configuration and adds the first security configuration to the second service request response to send the first security configuration information to the AN through the second service request response.
  • the first security configuration information may include information such as a usage range of the first key, an identifier of the target encryption algorithm, and an identifier of the target integrity protection algorithm.
  • the AN may determine the identifier, the identifier of the encryption algorithm, or the integrity protection according to the first configuration information carried in the second service request response. Information such as the identification of the algorithm. If the first security configuration carries the information about the first key, the identifier of the encryption algorithm, and the identifier of the integrity protection algorithm, the AN does not need to execute the security policy, and the foregoing key may be directly stored, and the first security configuration may be used. The identifier of the carried encryption algorithm and the identifier of the integrity protection algorithm are determined to be the second security configuration and added to the first service request response, and the first service request response may be sent to the UE to notify the UE of the second security configuration.
  • the security policy controller may send the security of the one or more network slices supported by the target authentication module to the target authentication module.
  • the policy, the security policy controller can also send the AN a security policy for each network slice in the system.
  • the target authentication module may determine information such as an encryption algorithm and an integrity protection algorithm supported by the UE by using the security capability of the UE carried in the second service request sent by the network function selection module, and may also send the security capability of the UE to the AN.
  • the target authentication module and the AN can also obtain the security capabilities of the UE through the network, that is, information such as an encryption algorithm and an integrity protection algorithm supported by the UE.
  • the target authentication module may generate at least two keys, such as the first key and the second key, according to the specified security policy. Further, the target authentication module may generate the first configuration and add to the second service request response according to the information about the usage range of the first key and the identifier of the specified network slice.
  • the AN may determine the identifier, the identifier of the encryption algorithm, or the integrity protection according to the first configuration information carried in the second service request response. Information such as the identification of the algorithm. If the information about the first key is only carried in the first security configuration, the AN needs to implement a security policy. Specifically, the AN may determine the corresponding specified security policy according to the identifier of the specified network slice, and may select the target encryption algorithm and the target integrity protection algorithm according to the security capability of the UE and the specified security policy.
  • the AN may add the identifier of the target encryption algorithm and the identifier of the target integrity protection algorithm to the first security configuration to obtain the second security configuration, and add the second security configuration to the first service request response.
  • the first service request response may be sent to the UE to notify the UE of the second security configuration.
  • the embodiment of the present invention can implement the security configuration by using the target authentication module selected according to the authentication protocol, or implement the security configuration by using the target authentication module and the AN selected according to the authentication protocol, and the selection flexibility is high, and the security of the network is enhanced. .
  • FIG. 8 is an interaction diagram of a security policy performed by a management system according to an embodiment of the present invention.
  • the system structure shown in FIG. 8 includes a UE, an AN, an authentication module, and a security policy controller.
  • the execution of the security configuration is performed by the AN and the authentication module.
  • the authentication module will be described by taking the AU as an example.
  • the first service request and the second request request are all described by using an attach request as an example.
  • the execution process of the security configuration provided by the management system shown in FIG. 8 includes the steps of:
  • AN reports its security capabilities to the security policy controller.
  • the AN may report its security capability to the security policy controller before executing the security policy, and the security policy controller may record the security capability of the AN for the subsequent use of the security policy.
  • the security capability of the foregoing AN may include an encryption algorithm supported by the AN, an integrity protection algorithm, and the like, and is not limited herein.
  • the security policy controller sends a security policy for each network slice to the AN.
  • the security policy controller may deliver a security policy for each slice to the AN for use by the AN when executing the security policy.
  • the security policy of each slice includes information such as a priority order of selection of each encryption algorithm supported by the slice, a priority order of selection of each integrity protection algorithm supported by the slice, and a length and a range of use of the key.
  • the above key includes a first key for protecting signaling between the UE and the AN and a second key for protecting signaling between the UE and the authentication module.
  • the length and the range of use of the key specified by the security policy of different slices may be different.
  • the order of selecting the priority of the encryption algorithm included in the security policy of different slices and the order of selecting the priority of the integrity protection algorithm may also be different. It can be determined according to the actual application scenario, and there is no limitation here.
  • the security policy controller sends one or more slice security policies to the AU.
  • the AU that sends the security policy to the security policy controller may specifically be the target AU selected by the network function selection module.
  • the target AU (hereinafter referred to as AU) can serve one or more slices.
  • the security policy controller can deliver the security policy of all slices served by the AU to the AU.
  • the foregoing security policy may include information such as the length of the key and the use range of the key.
  • the UE sends an attach request to the AN.
  • the foregoing attach request may be a first service request (ie, an attach request) sent by the UE to the network function selection module.
  • the UE sends an attach request to the AN, and the AN may send the attach request sent by the UE to a network function selection module or the like in the system.
  • the attach request sent by the UE to the AN may carry the security capability of the UE or the slice information of the slice to be attached by the UE.
  • the security capabilities of the UE include UE support. Encryption algorithms or integrity protection algorithms, etc.
  • the slice information of the slice to be attached by the UE includes the slice identifier, the slice type, the service type supported by the slice, the slice tenant identifier, and the like, and may be determined according to actual application scenario requirements, and is not limited herein.
  • the AN sends an attach request to the AU.
  • the AN may send the attach request directly to the AU, or may be forwarded to the AU through other network elements (such as a network function selection module). For example, the AN may send the second service to the AU through the network function selection module. Request, etc.
  • the attach request sent by the AN to the AU may also carry information such as the security capability of the UE or the slice information of the slice to be attached by the UE, and is not limited herein. If the AU serves multiple slices, the AN may carry the slice information such as the identifier of the slice to be attached by the UE in the attach request when the attach request is sent to the AU.
  • the AN may not carry the slice information such as the identifier of the slice to be attached by the UE in the attach request when the attach request is sent to the AU.
  • whether the above-mentioned attachment request carries the slice information such as the identifier of the slice to be attached to the UE may be determined according to the actual application scenario, and is not limited herein, and details are not described herein.
  • the AU performs mutual authentication with the UE.
  • the specific implementation of the UE transmitting the attach request to the AU to receive the attach request and performing mutual authentication with the UE may be implemented in the implementation manners in steps S401 to S404 in the foregoing embodiment, and details are not described herein again. .
  • the AU generates a key according to a security policy of a slice to which the UE is to attach.
  • the AU may generate at least two keys according to a security policy of a slice to be attached by the UE (ie, the specified network slice described above), including the first key and the second key.
  • the lengths of the first key and the second key are consistent with the length of the key specified in the security policy of the specified network slice (ie, the specified security policy).
  • the AU may further generate a first security configuration according to the foregoing key and the identifier of the specified network slice, and add the first security configuration to the second service request response to be sent to the AN.
  • the foregoing second service request response may specifically be an attach success message that the UE attaches to the specified network slice successfully.
  • the AU sends an attach success message to the AN.
  • the foregoing attach success message may carry information such as an identifier of the specified network slice and the foregoing key.
  • the AN generates a second security configuration according to the key and the specified security policy.
  • the AN may obtain information such as an identifier of the specified network slice and the first security configuration from the attach success message.
  • the AN may store the key carried in the first security configuration, and determine the corresponding specified security policy according to the identifier of the specified network slice carried in the first security configuration, and further may be based on the security capability of the UE and the specified security policy.
  • Select the target encryption algorithm and the target integrity protection algorithm Select the target encryption algorithm and the target integrity protection algorithm.
  • the AN may add the identifier of the target encryption algorithm and the identifier of the target integrity protection algorithm to the first security configuration to obtain the second security configuration, and add the second security configuration to the first to be sent to the UE.
  • the second security configuration is sent to the UE by using the second service request response.
  • the AN sends a security configuration to the UE.
  • the AN may send the foregoing first service request response (ie, an attach request response) to the UE, where the attach request response carries the information of the second security configuration, to notify the UE by using the attach request response.
  • first service request response ie, an attach request response
  • attach request response carries the information of the second security configuration
  • the system can implement the security policy by using the AU and the AN, and the operation of the security configuration can be completed to complete the operation of the UE to the specified network slice, thereby ensuring the security of the system and implementing the security management of the multi-slice network.
  • FIG. 9 and FIG. 9 are another interaction diagram of a security policy performed by a management system according to an embodiment of the present invention.
  • the system structure shown in FIG. 9 includes a UE, an AN, and an authentication module.
  • the execution of the security configuration is performed by the authentication module, and the AN can report the security capability and the forwarding of the security policy to the authentication module.
  • the authentication module will be described by taking the AU as an example.
  • the first service request and the second request request are all described by using an attach request as an example.
  • the execution process of the security configuration provided by the management system shown in FIG. 9 includes the steps of:
  • the security policy controller sends one or more slice security policies to the AU.
  • the AU that sends the security policy to the security policy controller may specifically be the target AU selected by the network function selection module.
  • the target AU (hereinafter referred to as AU) can serve one or more slices.
  • the security policy controller can deliver the security policy of all slices served by the AU to the AU.
  • the security policy of each slice includes information such as the selection priority order of each encryption algorithm supported by the slice, the selection priority order of each integrity protection algorithm supported by the slice, and the length and usage range of the key.
  • the above key includes a first key for protecting signaling between the UE and the AN and a second key for protecting signaling between the UE and the authentication module.
  • the length and the range of use of the key specified by the security policy of different slices may be different.
  • the order of selecting the priority of the encryption algorithm included in the security policy of different slices and the order of selecting the priority of the integrity protection algorithm may also be different. It can be determined according to the actual application scenario, and there is no limitation here.
  • AN can report its security capabilities to the AU.
  • the AN may send information such as an encryption algorithm or an integrity protection algorithm supported by the AN to the AU, so that the AU selects a corresponding encryption algorithm or an integrity protection algorithm according to its security capability and the security capability of the UE.
  • the process of reporting the security capability of the AN to the AU may be performed at any time before the AU executes the security policy, and is not limited herein.
  • the AU can store the security capabilities of the AN for subsequent enforcement of security policy usage.
  • the UE sends an attach request to the AN.
  • the foregoing attach request may be a first service request (ie, an attach request) sent by the UE to the network function selection module.
  • the UE sends an attach request to the AN, and the AN may send the attach request sent by the UE to a network function selection module or the like in the system.
  • the attach request sent by the UE to the AN may carry the security capability of the UE or the slice information of the slice to be attached by the UE.
  • the security capability of the UE includes an encryption algorithm or an integrity protection algorithm supported by the UE.
  • the slice information of the slice to be attached by the UE includes the slice identifier, the slice type, the service type supported by the slice, the slice tenant identifier, and the like, and may be determined according to actual application scenario requirements, and is not limited herein.
  • the AN sends an attach request to the AU.
  • the AN may send the attach request directly to the AU, or may be forwarded to the AU through other network elements (such as a network function selection module).
  • the AN may send the second service to the AU through the network function selection module. Request, etc.
  • the attach request sent by the AN to the AU may also carry information such as the security capability of the UE or the slice information of the slice to be attached by the UE, and is not limited herein.
  • the AU performs mutual authentication with the UE.
  • the AU generates a first security configuration according to the security policy of the slice to be attached by the UE, the security capability of the UE, and the security capability of the AN.
  • the AU may determine information such as an encryption algorithm and an integrity protection algorithm supported by the UE by using a security capability of the UE carried in the second service request (ie, the attach request).
  • the AU can also obtain the security capabilities of the UE through the network, that is, information such as an encryption algorithm and an integrity protection algorithm supported by the UE.
  • the AU can also acquire the security capabilities of the AN, that is, the encryption algorithms and integrity protection algorithms supported by the AN.
  • the AU may generate a key according to a security policy (ie, a specified security policy) of the specified network slice to which the UE is to be attached, and may also select an encryption algorithm and integrity according to the security capability of the UE, the security capability of the AN, and the specified security policy. Protection algorithm.
  • the above key may include at least two keys assumed to be the first key and the second key.
  • the first key may be a key used to protect signaling between the UE and the AN
  • the second key may be a key used to protect signaling between the UE and the AU.
  • the lengths of the first key and the second key are consistent with the length of the key specified in the specified security policy.
  • the encryption algorithm may select the encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN.
  • the integrity protection algorithm may select the highest priority integrity protection algorithm for the integrity protection algorithms supported by the UE and the AN.
  • the AU generates the first key and the second key, and after selecting the target encryption algorithm and the target integrity protection algorithm, according to the first key, the identifier of the target encryption algorithm, and The identifier of the target integrity protection algorithm generates a first security configuration and adds the first security configuration to the second service request response to send the first security configuration information to the AN through the second service request response.
  • the first security configuration information may include information such as a usage range of the first key, an identifier of the target encryption algorithm, and an identifier of the target integrity protection algorithm.
  • the AU sends an attach success message to the AN.
  • the information about the first security configuration may be carried in the foregoing attach success message.
  • the AN sends a security configuration to the UE.
  • the AN may obtain the first security configuration from the attach success message, and may further store the key carried in the first security configuration, and according to the foregoing first security configuration, And generating, by the first service request response, the second security configuration The configuration is sent to the UE.
  • the system can implement the security policy by using the AU, and the operation of the security configuration can be completed to complete the operation of the UE to the specified network slice, thereby ensuring the security of the system and implementing the security management of the multi-slice network.
  • FIG. 10 is an interaction diagram of a security management performed by a management system according to an embodiment of the present invention.
  • the system structure shown in FIG. 10 includes a UE, an AN, a network function selection module, and an authentication module.
  • the network function selection module will be described by taking SSF and MM as examples, and both SSF and MM can provide functions of AURF and AUSF.
  • the authentication module will be described by taking the AU as an example.
  • the first service request and the second request request are all described by using an attach request as an example.
  • the management system provided by the embodiment of the present invention may also be associated with session management (English: Session Management, SM), UP-GW, and subscription in a 5G network architecture.
  • the database interacts.
  • the UE cannot provide the slice identifier, and the UE performs two authentications during the attach process.
  • the selection of the first AU can implement the selection of the slice, wherein the selection of the first AU is performed in the SSF.
  • the selection of the second AU can implement the security policy of the slice, and the selection of the second AU is performed in the MM.
  • Both SSF and MM provide the functions of AUSF and AURF.
  • the execution process of the security management of the network provided by the management system shown in FIG. 10 includes the steps of:
  • the UE sends an attach request to the AN, and sends the request to the SSF through the AN.
  • the foregoing attach request may be the first service request, and the attach request carries the authentication protocol information.
  • the SSF selects an AU according to the authentication protocol information.
  • the specific implementation process of the SSF for selecting the AU according to the authentication protocol information may be referred to the implementation manner described in the foregoing step S402, and details are not described herein again.
  • the AU and the UE perform mutual authentication using the selected authentication protocol, and notify the SSF of the authentication result.
  • step S1003 may include the following small steps:
  • the SSF sends an attach request to the AU.
  • the foregoing attach request carries the authentication protocol information.
  • the AU may select an authentication protocol supported by the UE and supported by the AU according to the foregoing authentication protocol information. For the specific selection manner, refer to the implementation manner described in the foregoing steps S401-S404.
  • the AU feeds back the identifier of the authentication protocol to the UE.
  • the identifier of the authentication protocol may be sent to the UE to implement mutual authentication with the UE by using the target authentication protocol.
  • the AU sends a result of mutual authentication with the UE to the SSF.
  • SSF selects the slice.
  • the SSF selects a slice to which the UE is attached according to the AU and the authentication result of the UE.
  • the specific implementation refer to the implementation manner provided in the existing 5G network system, and details are not described herein again.
  • the SSF sends the identifier of the slice to the AN.
  • the identifier of the slice may be sent to the AN, so that the MM of the slice attachment of the UE is implemented by the AN.
  • AN selects MM.
  • the UE performs an attaching process of the selected slice, including the following steps:
  • the AN sends the UE attach request to the MM.
  • the above attachment request includes authentication protocol information.
  • MM selects AU according to the authentication protocol information.
  • MM sends the UE attach request to the selected AU.
  • the above attachment request may include authentication protocol information. If the selected AU supports only one type of authentication protocol, the above attachment request may not include the authentication protocol information. If the selected AU supports multiple authentication protocols, the above attachments are required.
  • the request may include an authentication protocol determined when the AU is selected.
  • the AU informs the UE of the identity of the selected authentication protocol.
  • the identifier of the selected authentication protocol may also be sent by the SSF or MM that provides the AURF function, and is not limited herein.
  • the UE and the AU perform mutual authentication, and the AU authorizes the UE to attach the slice.
  • the implementation manners of the AU described in the above-mentioned 7a to 7e and the mutual authentication of the UE according to the authentication protocol can be referred to the implementation manners described in the foregoing steps S401 to S402, and details are not described herein again.
  • the AU generates a first security configuration according to information such as a security policy of the attached slice.
  • the first security configuration includes a key, and further includes information such as an identifier of the encryption algorithm or an identifier of the integrity protection algorithm, which may be determined according to the implementation manner of the AU implementation security policy.
  • information such as a security policy of the attached slice.
  • the first security configuration includes a key, and further includes information such as an identifier of the encryption algorithm or an identifier of the integrity protection algorithm, which may be determined according to the implementation manner of the AU implementation security policy.
  • the AU sends an attach response to the AN.
  • the first security configuration may be included in the foregoing attachment response.
  • the AN determines the second security configuration according to information such as the first security configuration and the security policy of the attached slice. If the information of the key, the encryption algorithm, and the integrity protection algorithm included in the first security configuration generated by the AU is not available, the step may be absent. If the first security configuration generated by the AU includes only a key, the AN may further select information such as an encryption algorithm and an integrity protection algorithm to determine a second security configuration including information such as a password, an encryption algorithm, and an integrity protection algorithm.
  • the AN sends an attach response to the UE.
  • the above attachment response may include a second security configuration.
  • FIG. 11 is another interaction diagram of the security management performed by the management system according to the embodiment of the present invention.
  • the system structure shown in FIG. 11 includes a UE, an AN, a network function selection module, and an authentication module.
  • the network function selection module will be described by taking SSF and MM as examples, and both SSF and MM can provide functions of AURF and AUSF.
  • the authentication module will be described by taking the AU as an example.
  • the first service request and the second request request are all described by using an attach request as an example.
  • the management system provided by the embodiment of the present invention may also interact with the SM, the GW-U, and the subscription database in the 5G network architecture.
  • the UE provides a slice identifier, and the UE performs an authentication during the attach process.
  • the choice of AU is done in MM.
  • MM provides the functions of AUSF and AURF.
  • the execution process of the security management of the network provided by the management system shown in FIG. 11 includes the following steps:
  • the UE sends an attach request to the AN, where the request includes the authentication protocol information of the UE.
  • the AN sends an attach request of the UE to the MM.
  • the MM selects an AU according to the authentication protocol information in the attach request.
  • the MM sends the attach request of the UE to the selected AU, where the request includes the authentication protocol information.
  • the AU informs the UE of the identity of the selected authentication protocol.
  • the UE and the AU perform mutual authentication using the above authentication protocol.
  • the AU generates a first security configuration according to information such as a security policy of the attached slice.
  • the foregoing first security configuration includes a key, and further includes information such as an identifier of the encryption algorithm or an identifier of the integrity protection algorithm, which may be determined according to the implementation manner of the AU implementation security policy. For details, refer to the description in the foregoing application scenarios. The implementation of this will not be repeated here.
  • the AU sends an attach response to the AN.
  • the attachment response may include the first security configuration.
  • the AN determines the second security configuration according to information such as the first security configuration and the security policy of the attached slice. If the information of the key, the encryption algorithm, and the integrity protection algorithm included in the first security configuration generated by the AU is not available, the step may be absent. If the first security configuration generated by the AU includes only a key, the AN may further select information such as an encryption algorithm and an integrity protection algorithm to determine a second security configuration including information such as a password, an encryption algorithm, and an integrity protection algorithm.
  • the AN sends an attach response to the UE.
  • implementation manners of the foregoing steps may be referred to the implementation manners described in the foregoing steps in the application scenario shown in FIG. 10, and details are not described herein again.
  • FIG. 12 is another interaction diagram of the security management performed by the management system according to the embodiment of the present invention.
  • the system structure shown in FIG. 12 includes a UE, an AN, a network function selection module, and an authentication module.
  • the network function selection module will be described by taking SSF and MM as examples, and both SSF and MM can provide functions of AURF and AUSF.
  • the authentication module will be described by taking the AU as an example.
  • the first service request and the second request request are all described by taking a new service request as an example.
  • the management system provided by the embodiment of the present invention may also interact with the SM, the GW-U, and the subscription database in the 5G network architecture.
  • the UE has been attached to one slice, attached to another slice by a new service request, and the UE performs authentication once during the attach process.
  • the choice of AU is done at the SSF.
  • the SSF provides the functions of AUSF and AURF.
  • the execution process of the security management of the network provided by the management system shown in FIG. 12 includes the steps of:
  • the UE sends a new service request to the AN, where the request includes the UE's authentication protocol information.
  • the network performs slice selection and AU selection, including steps:
  • the AN sends a new service request to the MM, and the new service request carries the authentication protocol information.
  • the MM sends a new service request to the SSF, and the new service request carries the authentication protocol information.
  • the SSF selects a slice and selects an AU according to the authentication protocol information.
  • the process of selecting a slice by the SSF can be referred to the implementation provided by the existing 5G architecture system, and is not limited herein.
  • the SSF may select the target AU according to the selected slice and the authentication protocol information carried in the new service request to implement the operation of attaching the UE to another slice by the target AU.
  • the SSF sends a new service request to the AU.
  • the new service request carries the ID of the slice and the authentication protocol information.
  • the AU informs the UE of the selected authentication protocol identifier.
  • the UE and the AU use the above authentication protocol to perform mutual authentication and authorization of the slice to be attached by the UE.
  • the MM sends a new service request to the SM.
  • the MM sends a new service response to the UE.
  • implementation manners of the foregoing steps may be refer to the implementation manners described in the foregoing steps in the embodiments of the foregoing application scenarios, and details are not described herein again.
  • FIG. 13 is another interaction diagram of the security management performed by the management system according to the embodiment of the present invention.
  • the UE, AN, and authentication module are included in the system structure shown in FIG.
  • the implementation performed by the network function selection module is described by the AN, and the AN can provide the functions of AURF and AUSF.
  • the authentication module will be described by using Front-end as an example. Front-end can provide AU functions. Both the first service request and the second request request are described by taking an attach request as an example.
  • the network element named front-end provides the AU function
  • the front-end allocated to the UE is also responsible for forwarding all control plane (CP) signaling of the UE to the network element of the slice exclusive.
  • the UE performs an authentication with the front-end during the attach process.
  • the choice of front-end is done in the RAN.
  • the RAN provides the functions of AUSF and AURF.
  • the execution process of the security management of the network provided by the management system shown in FIG. 13 includes the steps of:
  • the UE sends an attach request to the RAN.
  • the attach request includes information about the authentication protocol information of the UE, the identifier of the UE, the slice information, and the security capability of the UE.
  • the RAN selects a default front-end according to the authentication protocol information in the attach request.
  • the RAN sends the UE attach request to the selected default front-end, where the request includes the authentication protocol information.
  • the UE and the default front-end use the above authentication protocol for mutual authentication.
  • the default front-end checks the UE's subscription information and selects front-end.
  • the default front-end forwards the attach request to the selected front-end.
  • the selected front-end sends an attach accept message to the default front-end.
  • the default front-end sends an attach accept message to the RAN.
  • the RAN performs a security policy for the slice.
  • the RAN optionally, generates a security configuration according to the security policy of the attached slice, including a first key, a second key, an encryption algorithm, and an integrity protection algorithm.
  • the RAN sends an attach accept message to the UE.
  • implementation manners of the foregoing steps may be refer to the implementation manners described in the foregoing steps in the embodiments of the foregoing application scenarios, and details are not described herein again.
  • FIG. 14 is another interaction diagram of the security management performed by the management system according to the embodiment of the present invention.
  • the UE, the next generation access network, and the authentication module are included in the system structure shown in FIG.
  • the implementation manners performed by the AN and the network function selection module are described by the next generation access network, and the next generation access network can provide the functions of AURF and AUSF.
  • the authentication module will be described by taking ACA as an example. ACA can mention For the AU function.
  • Both the first service request and the second request request are described by taking an attach request as an example.
  • the management system provided by the embodiment of the present invention may also interact with the HSS in the 5G network architecture.
  • the network element named ACA provides an AU function, and the ACA provides a slice selection function at the same time.
  • the UE performs an authentication with the ACA during the attach process.
  • the choice of ACA is carried out in the next generation access network (ie the next generation RAN).
  • the next generation access network provides the functions of AUSF and AURF.
  • the execution process of the security management of the network provided by the management system shown in FIG. 14 includes the steps of:
  • the UE establishes a connection with a next generation access network.
  • the UE sends an attach request to the next generation access network, where the request includes the authentication protocol information.
  • the next generation access network selects the ACA according to the authentication protocol information in the attach request.
  • the next generation access network sends the UE attach request to the selected ACA, where the request includes the authentication protocol information.
  • the ACA sends an authentication protocol identifier to the UE.
  • the UE and the ACA perform mutual authentication using the above authentication protocol.
  • the ACA updates the UE location information to the HSS.
  • ACA performs a slice security policy.
  • the ACA generates a key according to the security policy of the attached slice, and may also select an encryption algorithm and an integrity protection algorithm according to information about the security capability of the UE and the security policy of the slice, and the identification and integrity protection algorithm of the encryption algorithm. Information such as identification is added to the first security configuration.
  • the ACA sends an attach response message to the next generation access network.
  • the next generation access network performs a slice security policy.
  • the next generation access network may select an encryption algorithm and an integrity protection algorithm according to the security policy of the attached slice and the security capability of the UE, and determine the second security configuration in combination with the first security configuration.
  • the next generation access network sends an attach response message to the UE.
  • the second security configuration may be carried in the attach response message.
  • implementation manners of the foregoing steps may be refer to the implementation manners described in the foregoing steps in the embodiments of the foregoing application scenarios, and details are not described herein again.
  • FIG. 15 is another schematic structural diagram of a network security management system according to an embodiment of the present invention.
  • the management system provided by the embodiment of the present invention may include a UE, a network function selection module, and at least two authentication modules.
  • the at least two authentication modules include an authentication module that is shared by multiple slices, and includes an authentication module that is unique to a single slice.
  • the at least two authentication modules may be all the authentication modules that are shared by multiple slices, or all of the authentication modules that are exclusive to a single slice, and may be determined according to actual application scenarios, and are not limited herein.
  • the shared authentication module may include multiple, each shared authentication module is at least two slice services, and the exclusive authentication module may also include multiple, and each exclusive authentication module serves one slice.
  • the number of the authentication modules and the distribution status of the slices of the services of each authentication module may be determined according to actual application scenarios, and no limitation is imposed herein.
  • the foregoing network function selection module may include an AUSF, an AURF, an SSF, an MM, and the like, and may be determined according to an actual application scenario, and is not limited herein.
  • the foregoing authentication module may include: AU, Front-end, and ACA, and may be determined according to an actual application scenario, and is not limited herein.
  • FIG. 16 is a schematic diagram of interaction between various functional modules (including UE, AN, network function selection module, and authentication module) in the management system according to an embodiment of the present invention to implement network security management.
  • the process of implementing the security management of the network in the system shown in FIG. 15 may include the steps of:
  • the UE sends a first service request to the network function selection module, where the first service request carries the authentication protocol information.
  • the network function selection module selects a target authentication module from at least two authentication modules according to the authentication protocol information.
  • the network function selection module sends a second service request to the target authentication module.
  • the target authentication module receives the second service request and performs mutual authentication with the UE.
  • the foregoing first service request may specifically be an attach request that the UE requests to attach to one slice.
  • the first service request may also be a new service request that the UE has attached to one slice and wants to be attached to another slice by a new service request.
  • the foregoing attach request or the new service request carries the authentication protocol information.
  • the foregoing authentication protocol information includes information such as an identifier of one or more authentication protocols supported by the UE, or a selection priority of each of the multiple authentication protocols supported by the UE.
  • the above-mentioned attach request or new service request may also carry the identifier of the slice to which the UE is to be attached, and the like.
  • the type of the first service request and the information about the authentication protocol carried in the first service request may be determined according to the actual application scenario, and are not limited herein.
  • the network function selection module may select the target authentication module from the at least two authentication modules according to the authentication protocol information carried in the first service request.
  • the network function selection module may be configured from the multiple authentication modules according to the identifier of the first authentication protocol.
  • the authentication module supporting the first authentication protocol described above is selected as the target authentication module. If the number of the authentication modules supporting the first authentication protocol is more than one, the network function selection module may select the authentication module with the least load as the target authentication module according to the load status of each of the foregoing authentication modules.
  • the network function selection module may be configured according to the identifier of the first authentication protocol and the identifier of the specified network slice from the network.
  • the target authentication module is selected among the two authentication modules.
  • the target authentication module is an authentication module that supports the first authentication protocol and specifies a network slice.
  • the network function selection module may first select an authentication module that supports the first authentication protocol from multiple authentication modules according to the identifier of the first authentication protocol.
  • the network function selection module may select, according to the identifier of the specified network slice, the authentication module associated with the slice to be attached by the UE from the multiple authentication modules that support the first authentication protocol.
  • Target authentication module The authentication module associated with the slice to which the UE is to be attached may be an authentication module that serves the slice.
  • the network function selection module may first select an authentication module that supports the specified network slice from the plurality of authentication modules according to the identifier of the specified network slice. If the number of the authentication modules supporting the specified network slice is more than one, the network function selection module may select, as the target authentication module, the authentication module that supports the first authentication protocol from the multiple authentication modules that support the specified network slice according to the first authentication protocol.
  • the network function selection module may also select the target authentication module from the plurality of authentication modules according to the identifier of the first authentication protocol and the identifier of the specified network slice.
  • the screening mode of the authentication module may be determined according to the actual application scenario. There is no limit here.
  • the network function selection module determines whether the target authentication module is selected according to the identifier of the foregoing first authentication protocol, or according to the identifier of the first authentication protocol and the identifier of the specified network slice. Then, according to the load status of each selected target authentication module to be selected, the least loaded authentication module is selected from the selected plurality of target authentication modules to be selected as the final selected target authentication module.
  • the network function selection module may be configured according to each supported by the UE.
  • the identifier of the second authentication protocol selects a target authentication module from a plurality of authentication modules included in the network.
  • the authentication module may be determined as the target authentication module. If the multiple authentication modules included in the foregoing network include one of the authentication protocols supported by the UE, the authentication module with the least load may be selected from the multiple authentication modules that support the authentication protocol as the target authentication module. If the multiple authentication modules included in the network include multiple authentication modules that support different authentication protocols, the network function selection module selects the target authentication module according to the selection priority of each authentication protocol or the load status of each authentication module.
  • the network function selection module may select priorities according to the authentication protocol set by the network. Determining the highest priority authentication protocol among the multiple authentication protocols supported by the UE, and selecting the authentication module to be selected from the plurality of different authentication modules supporting the different authentication protocols to support the selection of the highest priority authentication protocol. As the target authentication module. If more than one authentication module is selected to support the highest priority authentication protocol, the least loaded authentication module may be selected as the target authentication module according to the load status of each candidate authentication module.
  • the network function selection module may directly select the least load according to the load status of each authentication module.
  • the authentication module acts as the target authentication module.
  • the authentication protocol information carried in the foregoing first service request may include identifiers of multiple authentication protocols supported by the UE (each authentication protocol may be set as a third authentication protocol), and each The selection priority of the third authentication protocol.
  • the network function selection module may select the target authentication module from the plurality of authentication modules included in the system according to the identifier of each third authentication protocol supported by the UE. In a specific implementation, if only one of the multiple authentication modules included in the foregoing system supports the authentication protocol supported by the UE, the authentication module may be determined as the target authentication module. If the multiple authentication modules included in the foregoing system include one of the third authentication protocols supported by the UE, the least-critical authentication module may be selected from the multiple authentication modules that support the third authentication protocol. Target authentication module. If the multiple authentication modules included in the foregoing system include multiple different authentication modules that support different third authentication protocols, the network function selection module may select the least-critical authentication module as the target authentication according to the load status of each authentication module. Module.
  • the network function selection module may further select a priority according to each third authentication protocol. Among the different authentication modules that support different third authentication protocols, an authentication module that supports the selection of the highest priority authentication protocol (assumed to be the fourth authentication protocol) is selected as the target authentication module. If the above-mentioned authentication module supporting the fourth authentication protocol is more than one, the network function selection module may select the authentication module with the least load as the target authentication module according to the load state of each authentication module.
  • the foregoing first service request may further carry more slice information than the identifier of the slice to be attached by the UE, and may specifically include a slice type, a service type supported by the slice, or a slice tenant. Logo, etc.
  • the network function selection module may also perform comprehensive selection by referring to the above-mentioned slice information, and no limitation is imposed herein.
  • the second service request may be sent to the target authentication module.
  • the foregoing second service request may also be an attach request or a new service request.
  • the target authentication module supports only one type of authentication protocol
  • the second service request sent to the target authentication module does not need to carry the authentication protocol information, and may carry the identifier of the UE or the slice information to be attached by the UE.
  • the target authentication module can support multiple authentication protocols
  • the foregoing second service request may carry the identifier of the authentication protocol supported by the UE and the target authentication module that are used when the target authentication module is selected.
  • the identifier of the UE or the slice information to be attached by the UE may be carried in the foregoing second service request, and is not limited herein.
  • the target authentication module may directly authenticate the UE with the foregoing authentication protocol. If the target authentication module can support multiple authentication protocols, the target authentication module can receive the second service request sent by the network function selection module, and according to the authentication protocol supported by the UE and the target authentication module carried in the second service request, Perform mutual authentication.
  • the foregoing second service request may further carry an identifier of the UE, such as an ID of the UE, and is not limited herein.
  • the implementation manner of the implementation of the authentication module in the application scenario provided by the embodiment of the present invention can be referred to the implementation manner described in each step of the foregoing embodiments in FIG. 5 to FIG. Let me repeat.
  • the network function selection module may select an authentication module that supports the authentication protocol supported by the UE according to the authentication protocol information supported by the UE, and further improve the authentication module selection accuracy by mutual authentication between the authentication module and the UE. , enhance the security of the network.
  • FIG. 17 is another schematic structural diagram of a network security management system according to an embodiment of the present invention.
  • the management system provided by the embodiment of the present invention may include a UE, an AN, a security policy controller, and an authentication module.
  • the authentication module includes one of a plurality of slice sharing authentication modules, and includes a single slice exclusive authentication module.
  • the shared authentication module may include multiple, each shared authentication module is at least two slice services, and the exclusive authentication module may also include multiple, and each exclusive authentication module serves one slice.
  • the number of the authentication modules and the distribution status of the slices of the services of each authentication module may be determined according to actual application scenarios, and no limitation is imposed herein.
  • the foregoing authentication module may include: AU, Front-end, and ACA, and may be determined according to an actual application scenario, and is not limited herein.
  • FIG. 18 is another interaction diagram of implementing security management of each function module (including UE, AN, security policy controller, and authentication module) in the management system according to an embodiment of the present invention.
  • the process of managing the security configuration in the security management of the network shown in FIG. 17 may include the following steps:
  • the security policy controller sends a security policy of the network slice to the AN or the authentication module.
  • the UE sends a first service request to the AN, where the first service request carries the identifier of the specified network slice to which the UE is to be attached.
  • the AN sends a second service request to the authentication module, where the second service request carries the identifier of the specified network slice to which the UE is to be attached.
  • the authentication module receives the second service request and performs mutual authentication with the UE.
  • the authentication module determines the first security configuration according to a specified security policy of the specified network slice.
  • the AN sends a second service request response, where the second service request response carries the first security configuration.
  • the AN determines the second security configuration according to the first security configuration or the specified security policy.
  • the AN sends a first service request response to the UE, where the first service request response carries the second security configuration.
  • the security policy controller provided by the embodiment of the present invention is used to deliver a security policy of each network slice included in the system to the authentication module or the AN.
  • the management system provided by the embodiment of the present invention may perform the security policy of the slice to be attached by the UE by the target authentication module (ie, the authentication module in FIG. 17), and may also perform the slice to be attached by the UE by the target authentication module and the AN.
  • the security policy of the network slice may specify the length of the key of the signaling between the UE and the AN, and may also specify the selection priority of the encryption algorithm, the selection priority of the integrity protection algorithm, and the use range of the key. information.
  • the use range of the foregoing key may include the duration of use of the key or how many data packets the key can be used to encrypt.
  • the security policy controller may send a security policy of one or more network slices in the system to the target authentication module.
  • the one or more network slices may be one or more of the network slices served by the target authentication module, and may be determined according to an actual application scenario, and is not limited herein.
  • the UE may send a first service request to the AN.
  • the first service request carries the security capability of the UE and the identifier of the specified network slice to which the UE is to be attached.
  • the AN may send a second service request to the authentication module.
  • the second service request carries the security capability of the UE and the identifier of the specified network slice to which the UE is to be attached.
  • the authentication module may perform mutual authentication with the UE, and may perform a security policy of the slice to be attached by the UE.
  • the target authentication module may determine information such as an encryption algorithm and an integrity protection algorithm supported by the UE by using a security capability of the UE carried in the second service request.
  • the target authentication module can also obtain the security capability of the UE through the network, that is, the encryption algorithm and the integrity protection algorithm supported by the UE.
  • the target authentication module can also acquire the security capabilities of the AN, that is, the encryption algorithm and integrity protection algorithm supported by the AN.
  • the security capability of the foregoing AN may be sent by the AN to the target authentication module.
  • the AN may carry the security capability of the AN in the second service request and send the message to the target authentication module.
  • the target authentication module may generate a key according to a security policy (ie, a specified security policy) of the specified network slice to which the UE is to be attached, and may also select an encryption algorithm according to the security capability of the UE, the security capability of the AN, and the specified security policy. Integrity protection algorithm.
  • the above key may include at least two keys assumed to be the first key and the second key.
  • the first key may be a key used to protect signaling between the UE and the AN
  • the second key may be a key used to protect signaling between the UE and the AU.
  • the lengths of the first key and the second key are consistent with the length of the key specified in the specified security policy.
  • the encryption algorithm may select the encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN.
  • the integrity protection algorithm may select the highest priority integrity protection algorithm for the integrity protection algorithms supported by the UE and the AN.
  • the target authentication module generates the first key and the second key, and after selecting the target encryption algorithm and the target integrity protection algorithm, according to the first key, the target encryption algorithm
  • the identifier of the identity and target integrity protection algorithm generates a first security configuration and adds the first security configuration to the second service request response to send the first security configuration information to the AN through the second service request response.
  • the first security configuration information may include information such as a usage range of the first key, an identifier of the target encryption algorithm, and an identifier of the target integrity protection algorithm.
  • the AN may determine the identifier, the identifier of the encryption algorithm, or the integrity protection according to the first configuration information carried in the second service request response. Information such as the identification of the algorithm. If the first security configuration carries the information about the first key, the identifier of the encryption algorithm, and the identifier of the integrity protection algorithm, the AN does not need to execute the security policy, and the foregoing key may be directly stored, and the first security configuration may be used. The identifier of the carried encryption algorithm and the identifier of the integrity protection algorithm are determined to be the second security configuration and added to the first service request response, and the first service request response may be sent to the UE to notify the UE of the second security configuration.
  • the security policy controller may send the security of the one or more network slices supported by the target authentication module to the target authentication module.
  • the policy, the security policy controller can also send the AN a security policy for each network slice in the system.
  • the target authentication module may determine information such as an encryption algorithm and an integrity protection algorithm supported by the UE by using the security capability of the UE carried in the second service request, and may also send the security capability of the UE to the AN.
  • the target authentication module and the AN can also obtain the security capabilities of the UE through the network, that is, information such as an encryption algorithm and an integrity protection algorithm supported by the UE.
  • the target authentication module may generate at least two keys, such as the first key and the second key, according to the specified security policy. Further, the target authentication module may generate the first configuration and add to the second service request response according to the information about the usage range of the first key and the identifier of the specified network slice.
  • the AN may determine the identifier, the identifier of the encryption algorithm, or the integrity protection according to the first configuration information carried in the second service request response. Information such as the identification of the algorithm. If the information about the first key is only carried in the first security configuration, the AN needs to implement a security policy. Specifically, the AN may determine the corresponding specified security policy according to the identifier of the specified network slice, and may select the target encryption algorithm and the target integrity protection algorithm according to the security capability of the UE and the specified security policy.
  • the AN may add the identifier of the target encryption algorithm and the identifier of the target integrity protection algorithm to the first security configuration to obtain the second security configuration, and add the second security configuration to the first service request response.
  • the first service request response may be sent to the UE to notify the UE of the second security configuration.
  • the specific implementation process of the security policy performed by different modules in different application scenarios in the application scenario of the present invention may be referred to the implementation manner described in each step in the foregoing embodiments corresponding to FIG. 8 and FIG. I will not repeat them here.
  • the embodiment of the present invention can implement the security configuration by using the target authentication module selected according to the authentication protocol, or implement the security configuration by using the target authentication module and the AN selected according to the authentication protocol, and the selection flexibility is high, and the security of the network is enhanced. .
  • FIG. 19 is a schematic flowchart of a network security management method according to an embodiment of the present invention.
  • the management method provided by the embodiment of the present invention may include the following steps:
  • the network function selection module receives a first service request sent by the user equipment UE.
  • the first service request carries the authentication protocol information.
  • the network function selection module selects a target authentication module from at least two authentication modules included in the network according to the authentication protocol information.
  • the network function selection module sends a second service request to the target authentication module.
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selects, according to the identifier of the first authentication protocol, selects a target authentication module that supports the first authentication protocol from the at least two authentication modules.
  • the method further includes:
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the first service request further carries an identifier of the specified network slice
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module selects, according to the identifier of the first authentication protocol and the identifier of the specified network slice, a target authentication that supports the first authentication protocol and the specified network slice from the at least two authentication modules. Module.
  • the method further includes:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module selects, as the target authentication module, the to-be-selected authentication module that supports at least one of the second authentication protocols from the at least two authentication modules according to the identifier of each of the at least two authentication protocols.
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the first service request further carries an identifier of the specified network slice
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module according to the identifier of each of the second authentication protocols, from the at least two authentication modules And selecting at least one of the second authentication protocols and supporting the to-be-selected authentication module of the specified network slice as the target authentication module.
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module determines, according to the selection priority of the authentication protocol set by the network, the authentication protocol with the highest priority among the second authentication protocols supported by the UE, and selects from the at least two authentication modules.
  • the selected authentication module of the authentication protocol with the highest priority is selected as the target authentication module.
  • the method further includes:
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and a selection priority of each of the at least two third authentication protocols.
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module selects, from the at least two authentication modules, the to-be-selected authentication module that supports at least one of the third authentication protocols according to the identifier of each of the third authentication protocols;
  • the authentication module that supports the fourth authentication protocol with the highest priority is selected from all the to-be-selected authentication modules according to the selection priorities of the third authentication protocols. As the target authentication module.
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and a selection priority of each of the at least two third authentication protocols.
  • the first service request further carries an identifier of the specified network slice
  • the selecting, by the network function selection module, the target authentication module from the at least two authentication modules included in the network, according to the authentication protocol information, includes:
  • the network function selection module selects, according to the identifier of each of the third authentication protocols, a first authentication module that supports at least one of the third authentication protocols from the at least two authentication modules;
  • the second authentication module that supports the fourth authentication protocol with the highest priority is selected from all the first authentication modules according to the selection priority of each of the third authentication protocols;
  • the second authentication module is more than one, selecting, according to the load status of each of the second authentication modules or the network slice information served by each of the second authentication modules, the specified network slice and the load are selected.
  • the least authentication module acts as the target authentication module.
  • the network function selection module includes at least one of an authentication node AU selection function AUSF, an AU routing function AURF, a slice selection function SSF, and a mobility management MM.
  • implementation manners of the foregoing steps in the foregoing management methods can be referred to the corresponding execution manners of the application scenarios in the foregoing systems, and details are not described herein again.
  • FIG. 20 is another schematic flowchart of a network security management method according to an embodiment of the present invention.
  • the management method provided by the embodiment of the present invention may include the following steps:
  • the second network function selection module receives an authentication module selection request sent by the first network function selection module.
  • the authentication module selection request carries the authentication protocol information sent by the user equipment UE.
  • the first service request carries the authentication protocol information sent by the user equipment UE.
  • the second network function selection module selects a target authentication module from at least two authentication modules included in the network according to the authentication protocol information.
  • the second network function selection module sends an identifier of the target authentication module to the first network function selection module, to send a service request to the target authentication module by using the first network function selection module.
  • the first network function selection module can perform routing of the message
  • the second network function selection module can implement the selection of the authentication module, which can save signaling overhead of the network and improve the efficiency of the selection of the authentication module.
  • FIG. 21 is another schematic flowchart of a network security management method according to an embodiment of the present invention.
  • the management method provided by the embodiment of the present invention may include the following steps:
  • the authentication module receives a security policy of the network slice delivered by the security policy controller.
  • the authentication module receives a service request sent by an access network AN.
  • the service request carries the security capability of the user equipment UE and the identifier of the specified network slice to which the UE is to be attached.
  • the authentication module searches for a specified security policy of the specified network slice from a security policy of the network slice sent by the security policy controller according to the identifier of the specified network slice, and determines security according to the specified security policy. Configuration.
  • the authentication module sends a service request response to the AN.
  • the service request response carries the security configuration.
  • the specified security policy includes key information, encryption algorithm information, or integrity protection algorithm information
  • the service request further carries the security capability of the user equipment UE;
  • the determining the security configuration according to the specified security policy includes:
  • the specified security policy includes key information
  • the determining the security configuration according to the specified security policy includes:
  • the specified security policy includes encryption algorithm information or integrity protection algorithm information
  • the service request further carries the security capability of the user equipment UE;
  • the determining the security configuration according to the specified security policy includes:
  • the encryption algorithm information included in the specified security policy is a selection priority order of the encryption algorithm
  • the integrity protection algorithm information is a selection priority order of the integrity protection algorithm
  • the target encryption algorithm selects an encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN;
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • the authentication module includes at least one of an authentication node AU, a Front-end, and an access control agent ACA.
  • implementation manners of the foregoing steps in the foregoing management methods can be referred to the corresponding execution manners of the application scenarios in the foregoing systems, and details are not described herein again.
  • FIG. 22 is another schematic flowchart of a network security management method according to an embodiment of the present invention.
  • the management method provided by the embodiment of the present invention may include the following steps:
  • the access network AN receives the first service request sent by the user equipment UE.
  • the first service request carries the security capability of the UE and the identifier of the specified network slice to which the UE is to be attached.
  • S2102 The AN sends a second service request to the authentication module.
  • the second service request carries an identifier of a specified network slice to which the UE is to be attached, a security capability of the AN, and a security capability of the UE.
  • S2103 The AN receives a security policy of a network slice sent by a security policy controller.
  • the AN receives a second service request response sent by the authentication module.
  • the second service request response carries the first security configuration determined by the authentication module according to the identifier of the specified network slice, the security capability of the AN, and the security capability of the UE.
  • the AN determines a second security configuration according to the first security configuration, and sends a first service request response to the UE.
  • the first service request response carries the second security configuration.
  • the first security configuration includes a key, an identifier of an encryption algorithm, or an identifier of an integrity protection algorithm
  • Determining, by the AN, the second security configuration according to the first security configuration includes:
  • the AN stores the key, and obtains an identifier of an encryption algorithm and an identifier of an integrity protection algorithm from the first security configuration, and generates an identifier according to the identifier of the encryption algorithm and the identifier of the integrity protection algorithm.
  • implementation manners of the foregoing steps in the foregoing management methods can be referred to the corresponding execution manners of the application scenarios in the foregoing systems, and details are not described herein again.
  • FIG. 23 is another schematic flowchart of a network security management method according to an embodiment of the present invention.
  • the management method provided by the embodiment of the present invention may include the following steps:
  • the access network AN receives the first service request sent by the user equipment UE.
  • the first service request carries the security capability of the UE and the identifier of the specified network slice to which the UE is to be attached.
  • the AN sends a second service request to the authentication module.
  • the second service request carries an identifier of a specified network slice to which the UE is to be attached.
  • the AN receives a second service request response sent by the authentication module.
  • the AN determines a second security configuration according to a security policy of the UE and a specified security policy corresponding to the identifier of the specified network slice, and sends a first service request response to the UE.
  • the first service request response carries the second security configuration.
  • the determining, by the AN, the second security configuration according to the security capability of the UE and the specified security policy corresponding to the identifier of the specified network slice includes:
  • the encryption algorithm information included in the specified security policy is a selection priority order of the encryption algorithm
  • the integrity protection algorithm information is a selection priority order of the integrity protection algorithm
  • the target encryption algorithm selects an encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN;
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • implementation manners of the foregoing steps in the foregoing management methods can be referred to the corresponding execution manners of the application scenarios in the foregoing systems, and details are not described herein again.
  • FIG. 24 is a schematic structural diagram of a network security management apparatus according to an embodiment of the present invention.
  • the management device provided by the embodiment of the present invention may specifically be the network function selection module provided by the embodiment of the present invention, which may include:
  • the receiving unit 221 is configured to receive a first service request sent by the user equipment UE, where the first service request carries authentication protocol information.
  • the selecting unit 222 is configured to select a target authentication module from at least two authentication modules included in the network according to the authentication protocol information received by the receiving unit.
  • the sending unit 223 is configured to send a second service request to the target authentication module selected by the selecting unit.
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the selecting unit 222 is specifically configured to:
  • the selecting unit 222 is specifically configured to:
  • the authentication protocol information includes an identifier of the first authentication protocol selected by the UE
  • the first service request further carries an identifier of the specified network slice
  • the selecting unit 222 is specifically configured to:
  • the selecting unit 222 is specifically configured to:
  • the authentication protocol information includes identifiers of at least two second authentication protocols supported by the UE;
  • the selecting unit 222 is specifically configured to:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the first service request further carries an identifier of the specified network slice
  • the selecting unit 222 is specifically configured to:
  • the authentication protocol information includes an identifier of at least two second authentication protocols supported by the UE;
  • the selecting unit 222 is specifically configured to:
  • the highest authentication protocol to be selected is the target authentication module.
  • the selecting unit 222 is specifically configured to:
  • the authentication module with the least load is selected as the target authentication module.
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and a selection priority of each of the at least two third authentication protocols.
  • the selecting unit 222 is specifically configured to:
  • the authentication module that supports the fourth authentication protocol with the highest priority is selected from all the to-be-selected authentication modules according to the selection priorities of the third authentication protocols. As the target authentication module.
  • the authentication protocol information includes an identifier of at least two third authentication protocols supported by the UE, and a selection priority of each of the at least two third authentication protocols.
  • the first service request further carries an identifier of the specified network slice
  • the selecting unit 222 is specifically configured to:
  • the second authentication module that supports the fourth authentication protocol with the highest priority is selected from all the first authentication modules according to the selection priority of each of the third authentication protocols;
  • the second authentication module is more than one, selecting, according to the load status of each of the second authentication modules or the network slice information served by each of the second authentication modules, the specified network slice and the load are selected.
  • the least authentication module acts as the target authentication module.
  • the selecting unit 222 includes a first subunit and a second subunit
  • the first subunit is configured to receive the first service request sent by the UE, and send an authentication module selection request to the second subunit, where the authentication module selection request carries the authentication protocol information;
  • the second subunit is configured to select a target authentication module from the at least two authentication modules according to the authentication protocol information, and send an identifier of the target authentication module to the first subunit.
  • the first subunit is further configured to send a second service request to the target authentication module corresponding to the identifier of the target authentication module.
  • the second sub-unit is specifically configured to perform an implementation performed by any one of the foregoing selection units.
  • the selecting unit 222 includes at least one of an authentication node AU selection function AUSF, an AU routing function AURF, a slice selection function SSF, and a mobility management MM.
  • the first subunit is AURF and the second subunit is AUSF.
  • implementation manners of the foregoing steps in the foregoing management methods can be referred to the corresponding execution manners of the application scenarios in the foregoing systems, and details are not described herein again.
  • FIG. 25 it is another schematic structural diagram of a network security management apparatus according to an embodiment of the present invention.
  • the management device provided by the embodiment of the present invention may be an authentication module provided by the embodiment of the present invention, which may include:
  • the receiving unit 231 is configured to receive a security policy of the network slice delivered by the security policy controller.
  • the receiving unit 231 is further configured to receive a service request sent by the access network AN, where the service request carries the security capability of the user equipment UE and the identifier of the specified network slice to which the UE is to be attached.
  • the executing unit 232 is configured to search for a specified security policy of the specified network slice from the security policy of the network slice sent by the security policy controller according to the identifier of the specified network slice received by the receiving unit 231, and according to the specified security policy of the specified network slice, according to The specified security policy determines a security configuration.
  • the sending unit 233 is configured to send a service request response to the AN, where the service request response carries the security configuration determined by the executing unit 232.
  • the specified security policy includes key information, encryption algorithm information, or integrity protection algorithm information
  • the service request further carries the security capability of the user equipment UE;
  • the executing unit 232 is specifically configured to:
  • the specified security policy includes key information
  • the executing unit 232 is specifically configured to:
  • the specified security policy includes encryption algorithm information or integrity protection algorithm information
  • the service request further carries the security capability of the user equipment UE;
  • the execution unit is specifically configured to:
  • the encryption algorithm information included in the specified security policy is a selection priority order of the encryption algorithm
  • the integrity protection algorithm information is a selection priority order of the integrity protection algorithm
  • the target encryption algorithm selects an encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN;
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • the execution unit 232 includes at least one of an authentication node AU, a Front-end, and an access control agent ACA.
  • implementation manners of the foregoing steps in the foregoing management methods can be referred to the corresponding execution manners of the application scenarios in the foregoing systems, and details are not described herein again.
  • FIG. 26 it is another schematic structural diagram of a network security management apparatus according to an embodiment of the present invention.
  • the management device provided by the embodiment of the present invention may be an AN (or RAN) provided by the embodiment of the present invention, which may include:
  • the receiving unit 241 is configured to receive a first service request sent by the user equipment UE, where the first service request carries a security capability of the UE and an identifier of a specified network slice to which the UE is to be attached.
  • the sending unit 242 is configured to send a second service request to the authentication module according to the first service request received by the receiving unit, where the second service request carries the identifier of the specified network slice to which the UE is to be attached, and the AN Security capabilities and the security capabilities of the UE.
  • the receiving unit 241 is further configured to receive a security policy of the network slice delivered by the security policy controller.
  • the receiving unit 241 is further configured to receive a second service request response sent by the authentication module, where the second service request response carries the identifier of the specified network slice and the security capability of the AN according to the authentication module. And a first security configuration determined by the security capabilities of the UE.
  • the processing unit 243 is configured to determine a second security configuration according to the first security configuration received by the receiving unit.
  • the sending unit 242 is further configured to send a first service request response to the UE, where the first service request response carries the second security configuration determined by the processing unit.
  • the first security configuration includes a key, an identifier of an encryption algorithm, or an identifier of an integrity protection algorithm
  • the processing unit 243 is specifically configured to:
  • implementation manners of the foregoing steps in the foregoing management methods can be referred to the corresponding execution manners of the application scenarios in the foregoing systems, and details are not described herein again.
  • FIG. 27 is another schematic structural diagram of a network security management apparatus according to an embodiment of the present invention.
  • the management device provided by the embodiment of the present invention may be an AN (or RAN) provided by the embodiment of the present invention, which may include:
  • the receiving unit 271 is configured to receive a first service request sent by the user equipment UE, where the first service request carries a security capability of the UE and an identifier of a specified network slice to which the UE is to be attached.
  • the sending unit 272 is configured to send a second service request to the authentication module according to the first service request received by the receiving unit, where the second service request carries an identifier of the specified network slice to which the UE is to be attached.
  • the receiving unit 271 is further configured to receive a second service request response sent by the authentication module.
  • the processing unit 273 is configured to determine the second security configuration according to the UE security capability received by the receiving unit and the specified security policy corresponding to the identifier of the specified network slice.
  • the sending unit 272 is further configured to send a first service request response to the UE, where the first service request response carries the second security configuration determined by the processing unit.
  • the processing unit is specifically configured to:
  • the encryption algorithm information included in the specified security policy is a selection priority order of the encryption algorithm
  • the integrity protection algorithm information is a selection priority order of the integrity protection algorithm
  • the target encryption algorithm selects an encryption algorithm with the highest priority among the encryption algorithms supported by the UE and the AN;
  • the target integrity protection algorithm selects an integrity protection algorithm with the highest priority among the integrity protection algorithms supported by the UE and the AN.
  • implementation manners of the foregoing steps in the foregoing management methods can be referred to the corresponding execution manners of the application scenarios in the foregoing systems, and details are not described herein again.
  • the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种网络安全的管理系统、方法及装置，所述系统包括：UE、AN、网络功能选择模块和至少两个认证模块；UE用于向所述网络功能选择模块发送第一业务请求，第一业务请求中携带认证协议信息；网络功能选择模块用于根据认证协议信息，选择目标认证模块，并向目标认证模块发送第二业务请求；目标认证模块用于与UE进行相互认证；目标认证模块还用于根据指定安全策略确定第一安全配置，并向AN发送第一安全配置；AN用于根据所述第一安全配置或者所述指定安全策略确定第二安全配置，并向UE发送第二安全配置。采用本发明提供的技术方案，可满足网络的差异化的认证协议和安全策略的安全需求，从而提高网络的安全。

Description

一种网络安全的管理系统、方法及装置 技术领域
本发明涉及通信技术领域，尤其涉及一种网络安全的管理系统、方法及装置。
背景技术
在4G网络中，为了支持需求各异的业务、网络租用、网络共享等，可以有多个专用核心网共享接入网。每个专用核心网为特定业务在功能和性能上优化，满足业务功能和性能的差异化需求。如图1，图1是4G专用核心网架构示意图。接入网可与多个运营商连接，每个运营商可拥有专用核心网(英文：Dedicated Core Network，DCN)，多个DNC共享接入网。用户设备(英文：User Equipment，UE)与接入网连接，通过接入网实现与各个运营商的专用核心网的业务服务等交互。在5G网络中，将会有多个称为“网络切片”(简称“切片”)的逻辑网络。不同切片除了功能和性能方面需求存在差异，安全方面需求也可能存在差异。
在5G网络的切片架构的现有技术思路中，UE可同接入多个切片，网络根据UE要附着的切片的切片信息或者认证节点(英文：Authentication Unit，AU)的负载状态来选择AU，进而通过选择的AU实现与UE的认证，或者授权UE接入目标切片等操作。现有技术选择AU时没有考虑UE所支持的认证协议或者算法等信息，缺乏相关设计，无法更好地保障网络安全。
发明内容
本申请提供一种网络安全的管理系统、方法及装置，可满足网络的差异化的认证协议和安全策略的安全需求，提高网络的安全。
第一方面提供了一种网络安全的管理系统，所述管理系统用于实现包含至少两个网络切片的网络的安全管理，其可包括：用户设备UE、接入网AN、网络功能选择模块和至少两个认证模块；
所述UE用于向所述网络功能选择模块发送第一业务请求，所述第一业务请求中携带认证协议信息；
所述网络功能选择模块用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述目标认证模块发送第二业务请求；
所述目标认证模块用于接收所述第二业务请求，并与所述UE进行相互认证；
所述目标认证模块还用于根据所述UE附着的指定网络切片的指定安全策略确定第一安全配置，并向所述AN发送第二业务请求响应，所述第二业务请求响应中携带所述第一安全配置；
所述AN用于根据所述第一安全配置或者所述指定安全策略确定第二安全配置，并向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述第二安全配置。
在本申请中，网络功能选择模块可根据UE支持的认证协议信息选择支持UE所支持的认证协议的认证模块，进而可通过认证模块与UE的相互认证，提高了认证模块选择的准 确性，增强了网络的安全性。本申请还可通过根据认证协议选择的目标认证模块实现安全配置的生成，或者通过根据认证协议选定的目标认证模块和AN实现安全配置的生成，选择灵活性高。
结合第一方面，在第一种可能的实现方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述网络功能选择模块具体用于：
根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
结合第一方面第一种可能的实现方式，在第二种可能的实现方式中，若支持所述第一认证协议的认证模块多于一个，所述网络功能选择模块具体用于：
根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。其中，需要指出的是，也可以是从所述各个认证模块中选择负载小于预设阈值的认证模块作为目标认证模块。也就是说，如果负载小于预设阈值的认证模块有多个，可以从该多个负载小于预设阈值的认证模块中随机进行选择，不一定非要选择最少的认证模块作为目标认证模块。
结合第一方面，在第三种可能的实现方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块具体用于：
根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
结合第一方面第三种可能的实现方式，在第四种可能的实现方式中，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述网络功能选择模块具体用于：
根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第一方面，在第五种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述网络功能选择模块具体用于：
根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
结合第一方面，在第六种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块具体用于：
根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
结合第一方面，在第七种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述网络功能选择模块具体用于：
根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
结合第一方面第五种可能的实现方式至第七种可能的实现方式中任一种，在第八种可能的实现方式中，若所述待选定认证模块多于一个，所述网络功能选择模块具体用于：
根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第一方面，在第九种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述网络功能选择模块具体用于：
根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
结合第一方面，在第十种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块具体用于：
根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
结合第一方面，在第十一种可能的实现方式中，所述网络功能选择模块包括第一子模块和第二子模块；
所述第一子模块用于接收所述UE发送的所述第一业务请求，并向所述第二子模块发送认证模块选择请求，所述认证模块选择请求中携带所述认证协议信息；
所述第二子模块用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述第一子模块发送所述目标认证模块的标识；
所述第一子模块还用于向所述目标认证模块的标识对应的所述目标认证模块发送第二业务请求。
结合第一方面第十一种可能的实现方式，在第十二种可能的实现方式中，所述第二子 模块具体用于执行上述各种可能的实现方式中网络功能选择模块所执行的实现方式。
结合第一方面第一种可能的实现方式至第十种可能的实现方式任一种，在第三种可能的实现方式中，所述管理系统还包括安全策略控制器；
所述安全策略控制器用于向所述认证模块或者所述AN下发网络切片的安全策略。
结合第一方面第十三种可能的实现方式，在第十四种可能的实现方式中，所述安全策略控制器用于向所述认证模块下发网络切片的安全策略；
所述第二业务请求中还携带所述UE的安全能力和所述AN的安全能力；
所述目标认证模块还用于：
确定所述指定网络切片对应的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
将所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述第一安全配置，并将所述第一安全配置添加至所述第二业务请求响应中；
所述AN具体用于：
将所述第一安全配置中携带的所述目标加密算法的标识或者所述目标完整性保护算法的标识确定为第二安全配置并添加至所述第一业务请求响应中。
结合第一方面第十三种可能的实现方式，在第十五种可能的实现方式中，所述安全策略控制器用于向所述认证模块和所述AN下发网络切片的安全策略；
所述第二业务请求中还携带所述UE的安全能力；
所述目标认证模块还用于：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述第一安全配置添加至所述第二业务请求响应中；
所述AN具体用于：
根据所述指定网络切片的的标识确定所述指定安全策略，并根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
将所述目标加密算法的标识或者所述目标完整性保护算法的标识添加至所述第一安全配置中以得到第二安全配置。
结合第一方面第十三种可能的实现方式，在第十六种可能的实现方式中，所述安全策略控制器用于向所述认证模块下发网络切片的安全策略；
所述第二业务请求中还携带所述UE的安全能力；
所述目标认证模块还用于：
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
将所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述第一安全配置，并将所述第一安全配置添加至所述第二业务请求响应中；
所述AN具体用于：
将所述第一安全配置中携带的所述目标加密算法的标识或者所述目标完整性保护算法的标识确定为第二安全配置并添加至所述第一业务请求响应中。
结合第一方面第十四种可能的实现方式或者第一方面第十六种可能的实现方式，在第十七种可能的实现方式中，所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
结合第一方面至第一方面第十七种可能的实现方式，在第十八种可能的实现方式中，所述网络功能选择模块包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
结合第一方面第十一种可能的实现方式至第一方面第十七种可能的实现方式中任一种，在第十九种可能的实现方式中，所述第一子模块为AURF，所述第二子模块为AUSF。
结合第一方面第十一种可能的实现方式至第一方面第十七种可能的实现方式中任一种，在第二十种可能的实现方式中，所述认证模块包括：AU、Front-end以及访问控制代理ACA中的至少一种。
第二方面提供了一种网络安全的管理系统，所述管理系统用于实现包含至少两个网络切片的网络的安全管理中认证模块的选择，其可包括：用户设备UE、网络功能选择模块和至少两个认证模块；
所述UE用于向所述网络功能选择模块发送第一业务请求，所述第一业务请求中携带认证协议信息；
所述网络功能选择模块用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述目标认证模块发送第二业务请求；
所述目标认证模块用于接收所述第二业务请求，并与所述UE进行相互认证。
在申请中，网络功能选择模块可根据UE支持的多种认证协议以及每种认证协议的选择优先级、网络设定的认证协议的选择优先级、切片信息、认证模块负载等选择目标认证模块，提高了认证模块的选择灵活性，提高了认证模块选择的准确性和认证模块选择的效率，增强了网络的安全性。
结合第二方面，在第一种可能的实现方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述网络功能选择模块具体用于：
根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
结合第二方面第一种可能的实现方式，在第二种可能的实现方式中，若支持所述第一认证协议的认证模块多于一个，所述网络功能选择模块具体用于：
根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第二方面，在第三种可能的实现方式中，所述认证协议信息包括所述UE选定的 第一认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块具体用于：
根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
结合第二方面第三种可能的实现方式，在第四种可能的实现方式中，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述网络功能选择模块具体用于：
根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第二方面，在第五种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述网络功能选择模块具体用于：
根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
结合第二方面，在第六种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块具体用于：
根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
结合第二方面，在第七种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述网络功能选择模块具体用于：
根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
结合第二方面第五种可能的实现方式至第二方面第七种可能的实现方式中任一种，在第八种可能的实现方式中，若所述待选定认证模块多于一个，所述网络功能选择模块具体用于：
根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第二方面，在第九种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述网络功能选择模块具体用于：
根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所 有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
结合第二方面，在第十种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块具体用于：
根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
结合第二方面，在第十一种可能的实现方式中，所述网络功能选择模块包括第一子模块和第二子模块；
所述第一子模块用于接收所述UE发送的所述第一业务请求，并向所述第二子模块发送认证模块选择请求，所述认证模块选择请求中携带所述认证协议信息；
所述第二子模块用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述第一子模块发送所述目标认证模块的标识；
所述第一子模块还用于向所述目标认证模块的标识对应的所述目标认证模块发送第二业务请求。
结合第二方面第十一种可能的实现方式，在第十二种可能的实现方式中，所述第二子模块具体用于执行如上述网络功能选择模块所执行的任一项实现方式。
结合第二方面至第二方面第十二种可能的实现方式中任一种，在第十三种可能的实现方式中，所述网络功能选择模块包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
结合第二方面第十一种可能的实现方式至第二方面第十二种可能的实现方式中任一种，在第十四种可能的实现方式中，所述第一子模块为AURF，所述第二子模块为AUSF。
结合第二方面至第二方面第十二种可能的实现方式中任一种，在第十五种可能的实现方式中，所述认证模块包括：AU、Front-end以及访问控制代理ACA中的至少一种。
第三方面提供了一种网络安全的管理系统，所述管理系统用于实现包含至少两个网络切片的网络的安全管理中安全配置的管理，其可包括：用户设备UE、接入网AN、安全策略控制器和认证模块；
所述安全策略控制器用于向所述AN或者所述认证模块下发网络切片的安全策略；
所述UE用于向所述AN发送第一业务请求，所述第一业务请求中携带所述UE所要附着的指定网络切片的标识；
所述AN用于向所述认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识；
所述认证模块用于接收所述第二业务请求并与所述UE进行相互认证；
所述认证模块还用于根据所述指定网络切片的指定安全策略确定第一安全配置，并向所述AN发送第二业务请求响应，所述第二业务请求响应中携带所述第一安全配置；
所述AN还用于根据所述第一安全配置或者所述指定安全策略确定第二安全配置，并向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述第二安全配置。
本申请可通过根据认证协议选择的目标认证模块实现安全配置的生成，或者通过根据认证协议选定的目标认证模块和AN实现安全配置的生成，选择灵活性高，增强了网络的安全性。
结合第三方面，在第一种可能的实现方式中，所述安全策略控制器用于向所述认证模块下发网络切片的安全策略；
所述第二业务请求中还携带所述UE的安全能力和所述AN的安全能力；
所述认证模块还用于：
确定所述指定网络切片对应的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
将所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述第一安全配置，并将所述第一安全配置添加至所述第二业务请求响应中；
所述AN具体用于：
将所述第一安全配置中携带的所述目标加密算法的标识或者所述目标完整性保护算法的标识确定为第二安全配置并添加至所述第一业务请求响应中。
结合第三方面，在第二种可能的实现方式中，所述安全策略控制器用于向所述认证模块和所述AN下发网络切片的安全策略；
所述第二业务请求中还携带所述UE的安全能力；
所述认证模块还用于：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述第一安全配置添加至所述第二业务请求响应中；
所述AN具体用于：
根据所述指定网络切片的的标识确定所述指定安全策略，并根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
将所述目标加密算法的标识或者所述目标完整性保护算法的标识添加至所述第一安全配置中以得到第二安全配置。
结合第三方面，在第三种可能的实现方式中，所述安全策略控制器用于向所述认证模块下发网络切片的安全策略；
所述第二业务请求中还携带所述UE的安全能力和所述AN的安全能力；
所述认证模块还用于：
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
将所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述第一安全配置，并将所述第一安全配置添加至所述第二业务请求响应中；
所述AN具体用于：
将所述第一安全配置中携带的所述目标加密算法的标识或者所述目标完整性保护算法的标识确定为第二安全配置并添加至所述第一业务请求响应中。
结合第三方面第一种可能的实现方式至第三方面第三种可能的实现方式中任一项，在第四种可能的实现方式中，所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
结合第三方面至第三方面第四种可能的实现方式中任一种，在第五种可能的实现方式中，所述认证模块包括：AU、Front-end以及访问控制代理ACA中的至少一种。
第四方面提供了一种网络安全的管理方法，其可包括：
网络功能选择模块接收用户设备UE发送的第一业务请求，所述第一业务请求中携带认证协议信息；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块；
所述网络功能选择模块向所述目标认证模块发送第二业务请求。
结合第四方面，在第一种可能的实现方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
结合第四方面第一种可能的实现方式，在第二种可能的实现方式中，若支持所述第一认证协议的认证模块多于一个，所述方法还包括：
根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第四方面，在第三种可能的实现方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据所述第一认证协议的标识和所述指定网络切片的标识，从 所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
结合第四方面第三种可能的实现方式，在第四种可能的实现方式中，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述方法还包括：
根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第四方面，在第五种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
结合第四方面，在第六种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
结合第四方面，在第七种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
结合第四方面第五种可能的实现方式至第四方面第七种可能的实现方式中任一种，在第八种可能的实现方式中，若所述待选定认证模块多于一个，所述方法还包括：
根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第四方面，在第九种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所 有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
结合第四方面，在第十种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
结合第四方面至第四方面第十种可能的实现方式中任一种，在第十一种可能的实现方式中，所述网络功能选择模块包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
第五方面，提供了一种网络安全的管理方法，其可包括：
第二网络功能选择模块接收第一网络功能选择模块发送的认证模块选择请求，所述认证模块选择请求中携带用户设备UE发送的认证协议信息；
所述第二网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块；
所述第二网络功能选择模块向所述第一网络功能选择模块发送所述目标认证模块的标识，以通过所述第一网络功能选择模块向所述目标认证模块发送业务请求。
第六方面提供了一种网络安全的管理方法，其可包括：
认证模块接收安全策略控制器下发的网络切片的安全策略；
所述认证模块接收接入网AN发送的业务请求，所述业务请求中携带用户设备UE的安全能力和所述UE所要附着的指定网络切片的标识；
所述认证模块根据所述指定网络切片的标识从所述安全策略控制器下发的网络切片的安全策略中查找所述指定网络切片的指定安全策略，并根据所述指定安全策略确定安全配置；
所述认证模块向所述AN发送业务请求响应，所述业务请求响应中携带所述安全配置。
结合第六方面，在第一种可能的实现方式中，所述指定安全策略中包含密钥信息、加密算法信息或者完整性保护算法信息；
所述业务请求中还携带用户设备UE的安全能力；
所述根据所述指定安全策略确定安全配置包括：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息和完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
根据所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
结合第六方面，在第二种可能的实现方式中，所述指定安全策略中包含密钥信息；
所述根据所述指定安全策略确定安全配置包括：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述安全配置添加至所述第二业务请求响应中。
结合第六方面，在第三种可能的实现方式中，所述指定安全策略中包含加密算法信息或者完整性保护算法信息；
所述业务请求中还携带用户设备UE的安全能力；
所述根据所述指定安全策略确定安全配置包括：
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息和完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
结合第六方面第一种可能的实现方式至第六方面第三种可能的实现方式中任一种，在第四种可能的实现方式中，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
结合第六方面至第六方面第四种可能的实现方式中任一种，在第五种可能的实现方式中，所述认证模块包括：认证节点AU、Front-end以及访问控制代理ACA中的至少一种。
第七方面提供了一种网络安全的管理方法，其可包括：
接入网AN接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识；
所述AN向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识、所述AN的安全能力以及所述UE的安全能力；
所述AN接收所述认证模块发送的第二业务请求响应，所述第二业务请求响应中携带所述认证模块根据所述指定网络切片的标识、所述AN的安全能力和所述UE的安全能力确定的第一安全配置；
所述AN根据所述第一安全配置确定第二安全配置，并向所述UE发送第一业务请求 响应，所述第一业务请求响应中携带所述第二安全配置。
结合第七方面，在第一种可能的实现方式中，所述第一安全配置中包含密钥、加密算法的标识或者完整性保护算法的标识；
所述AN根据所述第一安全配置确定第二安全配置包括：
所述AN存储所述密钥，并从所述第一安全配置中获取加密算法的标识和完整性保护算法的标识，并根据所述加密算法的标识和所述完整性保护算法的标识生成第二安全配置。
第八方面提供了一种网络安全的管理方法，其可包括：
接入网AN接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识；
所述AN向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识；
所述AN接收所述认证模块发送的第二业务请求响应；
所述AN根据所述UE的安全能力和所述指定网络切片的标识对应的指定安全策略确定第二安全配置，并向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述第二安全配置。
结合第八方面，在第一种可能的实现方式中，所述AN根据所述UE的安全能力和和所述指定网络切片的标识对应的指定安全策略确定第二安全配置包括：
所述AN根据所述指定网络切片的的标识确定所述指定安全策略；
根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法，并根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成第二安全配置。
结合第八方面第一种可能的实现方式，在第二种可能的实现方式中，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
第九方面提供了一种网络安全的管理装置，其可包括：
接收单元，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带认证协议信息；
选择单元，用于根据接收单元接收的所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块；
发送单元，用于向所述选择单元选择的所述目标认证模块发送第二业务请求。
结合第九方面，在第一种可能的实现方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述选择单元具体用于：
根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议 的目标认证模块。
结合第九方面第一种可能的实现方式，在第二种可能的实现方式中，若支持所述第一认证协议的认证模块多于一个；
所述选择单元具体用于：
根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第九方面，在第三种可能的实现方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述选择单元具体用于：
根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
结合第九方面第三种可能的实现方式，在第四种可能的实现方式中，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述选择单元具体用于：
根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第九方面，在第五种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述选择单元具体用于：
根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
结合第九方面，在第六种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述选择单元具体用于：
根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
结合第九方面，在第七种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述选择单元具体用于：
根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
结合第九方面第五种可能的实现方式至第九方面第七种可能的实现方式中任一种，在第八种可能的实现方式中，若所述待选定认证模块多于一个，所述选择单元具体用于：
根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
结合第九方面，在第九种可能的实现方式中，所述认证协议信息包括所述UE支持的 至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述选择单元具体用于：
根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
结合第九方面，在第十种可能的实现方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述第一业务请求中还携带所述指定网络切片的标识；
所述选择单元具体用于：
根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
结合第九方面，在第十一种可能的实现方式中，所述选择单元包括第一子单元和第二子单元；
所述第一子单元用于接收所述UE发送的所述第一业务请求，并向所述第二子单元发送认证模块选择请求，所述认证模块选择请求中携带所述认证协议信息；
所述第二子单元用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述第一子单元发送所述目标认证模块的标识；
所述第一子单元还用于向所述目标认证模块的标识对应的所述目标认证模块发送第二业务请求。
结合第九方面第十一种可能的实现方式，在第十二种可能的实现方式中，所述第二子单元具体用于执行所述的选择单元所执行的任一项实现方式。
结合第九方面至第九方面第十种可能的实现方式，在第十三种可能的实现方式中，所述选择单元包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
结合第九方面第十一种可能的实现方式或者第九方面第十二种可能的实现方式，在第十三种可能的实现方式中，所述第一子单元为AURF，所述第二子单元为AUSF。
第十方面提供了一种网络安全的管理装置，其可包括：
接收单元，用于接收安全策略控制器下发的网络切片的安全策略；
所述接收单元，还用于接收接入网AN发送的业务请求，所述业务请求中携带用户设 备UE的安全能力和所述UE所要附着的指定网络切片的标识；
执行单元，用于根据所述接收单元接收的所述指定网络切片的标识从所述安全策略控制器下发的网络切片的安全策略中查找所述指定网络切片的指定安全策略，并根据所述指定安全策略确定安全配置；
发送单元，用于向所述AN发送业务请求响应，所述业务请求响应中携带所述执行单元确定的所述安全配置。
结合第十方面，在第一种可能的实现方式中，所述指定安全策略中包含密钥信息、加密算法信息或者完整性保护算法信息；
所述业务请求中还携带用户设备UE的安全能力；
所述执行单元具体用于：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息或者完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
根据所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
结合第十方面，在第二种可能的实现方式中，所述指定安全策略中包含密钥信息；
所述执行单元具体用于：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述安全配置添加至所述第二业务请求响应中。
结合第十方面，在第三种可能的实现方式中，所述指定安全策略中包含加密算法信息或者完整性保护算法信息；
所述业务请求中还携带用户设备UE的安全能力；
所述执行单元具体用于：
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息或者完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
根据所述加密算法的标识或者所述完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
结合第十方面第一种可能的实现方式至第十方面第三种可能的实现方式中任一种，在第四种可能的实现方式中，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
结合第十方面至第十方面第四种可能的实现方式中任一种，在第五种可能的实现方式中，所述执行单元包括：认证节点AU、Front-end以及访问控制代理ACA中的至少一种。
第十一方面提供了一种网络安全的管理装置，其可包括：
接收单元，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识；
发送单元，用于根据所述接收单元接收的第一业务请求向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识、所述AN的安全能力以及所述UE的安全能力；
所述接收单元，还用于接收所述认证模块发送的第二业务请求响应，所述第二业务请求响应中携带所述认证模块根据所述指定网络切片的标识、所述AN的安全能力和所述UE的安全能力确定的第一安全配置；
处理单元，用于根据所述接收单元接收的所述第一安全配置确定第二安全配置；
所述发送单元，还用于向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述处理单元确定的所述第二安全配置。
结合第十一方面，在第一种可能的实现方式中，所述第一安全配置中包含密钥、加密算法的标识或者完整性保护算法的标识；
所述处理单元具体用于：
存储所述密钥，并从所述第一安全配置中获取加密算法的标识或者完整性保护算法的标识，并根据所述加密算法的标识或者所述完整性保护算法的标识生成第二安全配置。
第十二方面，提供了一种网络安全的管理装置，其可包括：
接收单元，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识；
发送单元，用于根据所述接收单元接收的第一业务请求向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识；
所述接收单元，还用于接收所述认证模块发送的第二业务请求响应；
处理单元，用于根据所述接收单元接收的所述UE的安全能力和所述指定网络切片的标识对应的指定安全策略确定第二安全配置；
所述发送单元，还用于向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述处理单元确定的所述第二安全配置。
结合第十二方面，在第一种可能的实现方式中，所述处理单元具体用于：
根据所述指定网络切片的的标识确定所述指定安全策略；
根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法，并根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成第二安全配置。
结合第十二方面第一种可能的实现方式，在第二种可能的实现方式中，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先 级最高的完整性保护算法。
第十三方面，提供了一种网络功能选择模块，其可包括：存储器和处理器，所述存储器与所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行上述第四方面提供的网络安全的管理方法。
第十四方面提供了一种网络功能选择模块，其可包括：存储器和处理器，所述存储器与所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行上述第五方面提供的网络安全的管理方法。
第十五方面提供了一种认证模块，其可包括：存储器和处理器，所述存储器与所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行上述第六方面提供的网络安全的管理方法。
第十六方面提供了一种接入网，其可包括：存储器和处理器，所述存储器与所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行上述第七方面提供的网络安全的管理方法。
第十七方面提供了一种网络功能选择模块，其可包括：存储器和处理器，所述存储器与所述处理器相连；
所述存储器用于存储一组程序代码；
所述处理器用于调用所述存储器中存储的程序代码，执行上述第八方面提供的网络安全的管理方法。
从上可知，本发明公开了一种网络安全的管理系统、方法及装置，所述系统包括：UE、AN、网络功能选择模块和至少两个认证模块；UE用于向所述网络功能选择模块发送第一业务请求，第一业务请求中携带认证协议信息；网络功能选择模块用于根据认证协议信息，选择目标认证模块，并向目标认证模块发送第二业务请求；目标认证模块用于与UE进行相互认证；目标认证模块还用于根据指定安全策略确定第一安全配置，并向AN发送第一安全配置；AN用于根据所述第一安全配置或者所述指定安全策略确定第二安全配置，并向UE发送第二安全配置。采用本发明提供的技术方案，可满足网络的差异化的认证协议和安全策略的安全需求，从而提高网络的安全。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明 的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是4G专用核心网架构示意图；
图2是本发明实施例提供的5G网络切片的架构示意图；
图3是本发明实施例提供的网络安全的管理系统的一结构示意图；
图4是本发明实施例提供的管理系统中各个功能模块实现网络的安全管理的一交互示意图；
图5是本发明实施例提供的管理系统实现AU的选择的一交互示意图；
图6是本发明实施例提供的管理系统实现AU的选择的另一交互示意图；
图7是本发明实施例提供的管理系统实现AU的选择的另一交互示意图；
图8是本发明实施例提供的管理系统执行安全策略的一交互示意图；
图9是本发明实施例提供的管理系统执行安全策略的另一交互示意图；
图10是本发明实施例提供的管理系统执行网络的安全管理的一交互示意图；
图11是本发明实施例提供的管理系统执行网络的安全管理的另一交互示意图；
图12是本发明实施例提供的管理系统执行网络的安全管理的另一交互示意图；
图13是本发明实施例提供的管理系统执行网络的安全管理的另一交互示意图；
图14是本发明实施例提供的管理系统执行网络的安全管理的另一交互示意图；
图15是本发明实施例提供的网络安全的管理系统的另一结构示意图；
图16是本发明实施例提供的管理系统中各个功能模块实现网络的安全管理的一交互示意图；
图17是本发明实施例提供的网络安全的管理系统的另一结构示意图；
图18是本发明实施例提供的管理系统中各个功能模块实现网络的安全管理的另一交互示意图；
图19是本发明实施例提供的网络安全的管理方法的一流程示意图；
图20是本发明实施例提供的网络安全的管理方法的另一流程示意图；
图21是本发明实施例提供的网络安全的管理方法的另一流程示意图；
图22是本发明实施例提供的网络安全的管理方法的另一流程示意图；
图23是本发明实施例提供的网络安全的管理方法的另一流程示意图；
图24是本发明实施例提供的网络安全的管理装置的一结构示意图；
图25是本发明实施例提供的网络安全的管理装置的另一结构示意图；
图26是本发明实施例提供的网络安全的管理装置的另一结构示意图；
图27是本发明实施例提供的网络安全的管理装置的另一结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
参见图2，是本发明实施例提供的5G网络切片的架构示意图。如图2所示，在5G网络切片(简称切片)的架构中，所有切片共享接入网((英文：Access Network，AN)或者(英文：Radio Access Network，RAN)，下面将以AN为例进行说明)和切片选择功能(英文：Slice Selection Function，SSF)，部分切片共享一个控制面(英文：Control Plane，CP)网络功能(英文：Network Function，NF)，部分切片独享一个CP NF。例如，切片A和切片B共享一个CP NF1，即，切片A的CP NF和切片B的CP NF为同一个CP NF。切片C独享一个CP NF2。其中，每个切片还包括一个用户面(英文：User Plane，UP)NF。其中，每个CP NF包含一个AU，被多个切片共享的CP NF包含的AU则服务多个切片，被一个切片独享的CP NF的AU则只服务该切片。例如，例如，CP NF1包含的AU1服务于切片A和切片B，CP NF2包含的AU2服务于切片C。
在现有技术中，网络在为UE选择AU时，可考虑UE所要附着的切片是由哪个AU服务，则可选择该AU为UE服务。进一步的，若UE所要附着的切片由多个AU服务，则可根据上述多个AU中每个AU的负载状态从中选择一个AU为UE服务。现有技术选择AU时没有考虑UE所支持的认证协议或者算法等信息，缺乏相关设计，AU选择的准确率低，选择效率低，无法更好地保障网络安全。
本发明实施例提供的AU的选择方案可根据UE所支持的认证协议选择为UE服务的AU，或者根据UE所支持的认证协议或者UE所要附着的切片和待选择的AU的负载状态等信息选择为UE服务的AU，增强了AU选择的准确性。进而可通过选定的AU执行UE的附着请求或者新业务请求，以及切片的安全策略等，提高了网络的安全性。下面将结合图3至图27对本发明实施例提供的网络安全的管理系统、方法及装置进行描述。
参见图3，是本发明实施例提供的网络安全的管理系统的一结构示意图。本发明实施例提供的管理系统可用于实现上述图2所示的网络架构的安全管理，即，本发明实施例提供的管理系统可用于实现包含多个网络切片的网络的安全管理。本发明实施例提供的管理系统可包括UE、AN、网络功能选择模块和至少两个认证模块。其中，上述至少两个认证模块中包括多个切片共享的认证模块，也包括单个切片独享的认证模块。或者上述至少两个认证模块全部为多个切片共享的认证模块，也可全部为单个切片独享的认证模块。其中，共享的认证模块可包含多个，每个共享的认证模块为至少两个切片服务，独享的认证模块也可包括多个，每个独享的认证模块服务一个切片。具体实现中，认证模块的数量以及每个认证模块服务的切片的分布状态可根据实际应用场景确定，在此不做限制。
在本发明实施例中，上述网络功能选择模块可包括AU选择功能(英文：AU Selection Function，AUSF)、AU路由功能(英文：AU Routing Function，AURF)、SSF以及移动性管理(英文：Mobility Management，MM)等，具体可根据实际应用场景确定，在此不做限制。
在本发明实施例中，上述认证模块可包括：AU、Front-end以及访问控制代理(英文：Access Control Agent，ACA)等，具体可根据实际应用场景确定，在此不做限制。
参见图4，图4是本发明实施例提供的管理系统中各个功能模块(包括UE、AN、网 络功能选择模块和认证模块)实现网络的安全管理的一交互示意图。图3所示的系统实现网络的安全管理的过程可包括步骤：
401，UE向网络功能选择模块发送第一业务请求。
在一些可行的实施方式中，上述第一业务请求具体可为UE请求附着到一个切片的附着请求。上述第一业务请求也可为UE已经附着到一个切片并且希望通过新业务请求附着到另一个切片时发送的新业务请求。其中，上述附着请求或者新业务请求中携带认证协议信息。其中，上述认证协议信息包括UE支持的一个或者多个认证协议的标识、或者UE支持的多个认证协议中每个认证协议的选择优先级等信息。进一步的，上述附着请求或者新业务请求中还可携带UE所要附着的切片的标识等，具体可根据实际应用场景确定，在此不做限制。其中，上述第一业务请求的类型以及第一业务请求中携带的认证协议信息具体可根据实际应用场景确定，在此不做限制。
402，网络功能选择模块根据认证协议信息，从至少两个认证模块中选择目标认证模块。
403，网络功能选择模块向目标认证模块发送第二业务请求。
在一些可行的实施方式中，网络功能选择模块接收到UE发送的第一业务请求之后，可根据上述第一业务请求中携带的认证协议信息从上述至少两个认证模块中选择目标认证模块。具体实现中，若上述认证协议信息中携带UE支持的一种认证协议(假设为第一认证协议)的标识，网络功能选择模块则可根据上述第一认证协议的标识从上述多个认证模块中选择支持上述第一认证协议的认证模块作为目标认证模块。若上述支持第一认证协议的认证模块多于一个，网络功能选择模块则可根据上述各个认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
进一步的，若上述第一业务请求中携带UE所要附着的切片(即指定网络切片)的标识，网络功能选择模块则可根据上述第一认证协议的标识和指定网络切片的标识从网络包含的至少两个认证模块中选择目标认证模块。上述目标认证模块为支持第一认证协议和指定网络切片的认证模块。具体的，网络功能选择模块可先根据第一认证协议的标识从多个认证模块中选出支持第一认证协议的认证模块。若上述支持第一认证协议的认证模块多于一个，网络功能选择模块则可根据指定网络切片的标识从上述支持第一认证协议的多个认证模块中选择UE所要附着的切片关联的认证模块作为目标认证模块。其中，上述UE所要附着的切片关联的认证模块可为服务该切片的认证模块。此外，网络功能选择模块也可先根据指定网络切片的标识从多个认证模块中选出支持指定网络切片的认证模块。若上述支持指定网络切片的认证模块多于一个，网络功能选择模块则可根据第一认证协议从上述支持指定网络切片的多个认证模块中选择支持第一认证协议的认证模块作为目标认证模块。进一步的，网络功能选择模块也可同时根据第一认证协议的标识和指定网络切片的标识从多个认证模块中选出目标认证模块，具体选择过程中认证模块的筛选方式可根据实际应用场景确定，在此不做限制。
进一步的，在一些可行的实施方式中，若根据上述第一认证协议的标识，或者根据第一认证协议的标识和指定网络切片的标识选出的上述目标认证模块多于一个，网络功能选择模块则可根据上述各个选出的待选定的目标认证模块的负载状态，从上述选出的多个待选定的目标认证模块中选择负载最少的认证模块作为最终选定的目标认证模块。
在一些可行的实施方式中，若上述认证协议信息中携带UE支持的多种认证协议(将每个认证协议设为第二认证协议)的标识，网络功能选择模块则可根据UE支持的每个第二认证协议的标识从网络中包含的多个认证模块中选择目标认证模块。具体实现中，若上述系统中包含的多个认证模块中仅有一个认证模块支持UE支持的认证协议，则可将该认证模块确定为目标认证模块。若上述网络中包含的多个认证模块中包含多个认证模块支持UE支持的其中一种认证协议，则可从支持该认证协议的多个认证模块中选择负载最少的认证模块作为目标认证模块。若上述网络中包含的多个认证模块中包含多个支持不同认证协议的不同认证模块，网络功能选择模块则根据各个认证协议的选择优先级或者各个认证模块的负载状态从中选出目标认证模块。
在一些可行的实施方式中，若上述网络中包含的多个认证模块中包含多个支持不同的认证协议的不同的认证模块，则网络功能选择模块可根据网络设定的认证协议的选择优先级，确定UE支持的多个认证协议中选择优先级最高的认证协议，进而可从上述多个支持不同的认证协议的不同的认证模块中选择支持选择优先级最高的认证协议的待选定认证模块作为目标认证模块。若上述支持选择优先级最高的认证协议的待选定认证模块多于一个，则可根据各个待选定认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，若上述网络中包含的多个认证模块中包含多个支持不同的认证协议的不同的认证模块，网络功能选择模块可直接根据各个认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
进一步的，在一些可行的实施方式中，上述第一业务请求中携带的认证协议信息可包含UE支持的多个认证协议(可将每个认证协议设为第三认证协议)的标识，以及每个第三认证协议的选择优先级。网络功能选择模块可根据UE支持的每个第三认证协议的标识从系统中包含的多个认证模块中选择目标认证模块。具体实现中，若上述系统中包含的多个认证模块中仅有一个认证模块支持UE支持的认证协议，则可将该认证模块确定为目标认证模块。若上述系统中包含的多个认证模块中包含多个认证模块支持UE支持的其中一种第三认证协议，则可从支持该第三认证协议的多个认证模块中选择负载最少的认证模块作为目标认证模块。若上述系统中包含的多个认证模块中包含多个支持不同的第三认证协议的不同的认证模块，网络功能选择模块则可根据各个认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
进一步的，若上述系统中包含的多个认证模块中包含多个支持不同的第三认证协议的不同的认证模块，网络功能选择模块还可根据每个第三认证协议的选择优先级，从多个支持不同的第三认证协议的不同认证模块中选择支持选择优先级最高的认证协议(假设为第四认证协议)的认证模块作为目标认证模块。若上述支持第四认证协议的认证模块多于一个，网络功能选择模块则可根据每个认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
进一步的，在一些可行的实施方式中，上述第一业务请求中还可携带除了UE所要附着的切片的标识之外的更多切片信息，具体可包括切片类型、切片支持的业务类型或者切片租户标识等。网络功能选择模块根据上述认证协议信息选择目标认证模块的过程中也可参照上述切片信息进行综合选择，在此不做限制。
在一些可行的实施方式中，网络功能选择模块选定了目标认证模块之后，则可向目标认证模块发送第二业务请求。对应的，上述第二业务请求也可为附着请求或者新业务请求。具体实现中，若上述目标认证模块只支持一种认证协议，则向目标认证模块发送的第二业务请求中无需携带认证协议信息，可携带UE的标识或者UE所要附着的切片信息等。若上述目标认证模块可支持多种认证协议，则可在上述上述第二业务请求中携带选择目标认证模块时采用的UE和目标认证模块均支持的认证协议的标识。可选的，也可在上述第二业务请求中携带UE的标识或者UE所要附着的切片信息等，在此不做限制。
404，目标认证模块接收第二业务请求，并与UE进行相互认证。
在一些可行的实现方式中，若上述目标认证模块只支持一种认证协议，目标认证模块则可直接使用上述认证协议与UE进行相互认证。若上述目标认证模块可支持多种认证协议，目标认证模块可接收网络功能选择模块发送的第二业务请求，并根据上述第二业务请求中携带的UE和目标认证模块均支持的认证协议与UE进行相互认证。具体实现中，上述第二业务请求中还可携带UE的标识，例如UE的身份(英文：Identity，ID)等，在此不做限制。其中，上述认证模块通过UE的ID或者切片信息实现与UE的相互认证的实现方式可参见5G框架中的系统交互的现有实现方式，在此不再赘述。
在本发明实施例中，网络功能选择模块可根据UE支持的认证协议信息选择支持UE所支持的认证协议的认证模块，进而可通过认证模块与UE的相互认证，提高了认证模块选择的准确性，增强了网络的安全性。
下面将结合图5至图7对本发明实施例提供的管理系统在不同的应用场景中实现认证模块的选择的实现方式进行说明。
在一些可行的实施方式中，如图5，图5是本发明实施例提供的管理系统实现AU的选择的一交互示意图。在图5中，网络功能选择模块将以AURF为例进行说明，认证模块将以AU为例进行说明，第一业务请求将以附着请求为例进行说明。图5所示的管理系统提供的AU的选择过程包括步骤：
501，UE向AURF发送附着请求。
在一些可行的实施方式中，UE只支持一种认证协议，UE向AURF发送的附着请求中可携带UE支持的该认证协议的标识。进一步的，上述附着请求中还可携带UE的ID和切片信息等。其中，上述切片信息可包括切片类型、切片支持的业务类型或者切片租户标识等，在此不做限制。
502，AURF根据附着请求中携带的认证协议的标识等信息选择目标AU。
在一些可行的实施方式中，AURF接收到UE发送的附着请求之后，可根据附着请求中携带的认证协议的标识选择目标AU，也可结合附着请求中携带的切片信息，或者系统中待选择的AU中各个AU的负载状态选择目标AU，具体选择方式可参见上述步骤S402中所描述的实现方式，在此不再赘述。
503，AURF向目标AU发送附着请求。
在一些可行的实施方式中，AURF确定了目标AU之后，则可向目标AU发送附着请求。可选的，若目标AU可支持多种认证协议，AURF可在附着请求中添加UE支持的认证协议的标识，以供目标AU与UE进行相互认证。进一步的，上述附着请求中还可携带UE 的ID和切片信息等，具体可参见上述步骤S402所描述的实现方式，在此不做限制。
504，AU与UE进行相互认证。
在一些可行的实施方式中，AU接收到AURF发送的附着请求之后则可与UE进行相互认证。若AU支持的认证协议有多种，则可根据附着请求确定UE支持的认证协议，通过上述认证协议与UE进行相互认证。其中，AU与UE通过认证协议进行相互认证的具体实现方式可参见现有的5G网络系统中提供的实现方式，在此不再赘述。
在本发明实施例中，AURF可根据UE支持的认证协议选择目标AU，提高了AU选择的准确性和AU选择的效率，增强了网络的安全性。
在一些可行的实施方式中，如图6，图6是本发明实施例提供的管理系统实现AU的选择的另一交互示意图。在图6中，网络功能选择模块将以AURF为例进行说明，认证模块将以AU为例进行说明，第一业务请求将以附着请求为例进行说明。图6所示的管理系统提供的AU的选择过程包括步骤：
601，UE向AURF发送附着请求。
在一些可行的实施方式中，UE向AURF发送的附着请求中可携带UE将使用的认证协议的偏好。其中，上述认证协议的偏好中包括UE支持的多种认证协议的标识，以及UE倾向的认证协议的选择优先级顺序的指示信息。其中，上述UE倾向的认证协议的选择优先级顺序的指示信息具体可为UE支持的多种认证协议中每种认证协议的选择优先级。进一步的，上述附着请求中还可携带UE的ID和切片信息等，在此不做限制。
602，AURF根据附着请求中携带的认证协议的偏好等信息选择目标AU。
在一些可行的实施方式中，AURF接收到UE发送的附着请求之后，可根据上述附着请求中携带的认证协议的标识或者选择优先级等信息选择目标AU。进一步的，AURF还可根据附着请求中携带的切片信息，以及网络中待选择的AU中各个AU的负载状态选择目标AU，具体选择方式可参见上述步骤S402中所描述的实现方式，在此不再赘述。
进一步的，在一些可行的实施方式中，若上述附着请求中携带多种认证协议的标识，AURF还可根据网络设定的每种认证协议的选择优先级，结合待选择的各个AU所支持的认证协议的情况，从多个AU中选择目标AU，具体选择方式可参见上述步骤S402所描述的实现方式，在此不再赘述。
603，AURF向UE发送AU选择的确认消息。
在一些可行的实施方式中，若UE支持的认证协议有多种，AURF根据UE支持的认证协议以及各个AU支持的认证协议、各个AU的负载状态、切片信息等信息选定了目标AU之后，可将选定的目标AU支持认证协议的标识通过确认消息发送给UE。UE接收到确认消息之后，可根据确认消息中携带的认证协议的标识确定AURF选择目标AU时采用的认证协议，即UE和AU均支持的认证协议。
需要说明的是，具体实现中，AURF向UE发送的确认消息的操作方式为可选的实现方式，具体可根据实际应用场景确定。具体的，UE获知AURF选择目标AU时采用的认证协议也可通过AU与UE进行认证时，AU发送的第一条消息中携带的指示信息确定。其中，上述指示信息的具体形式可根据实际应用场景确定，在此不做限制。
604，AURF向目标AU发送附着请求。
在一些可行的实施方式中，AURF确定了目标AU之后，则可向目标AU发送附着请求，并在附着请求中添加认证协议的标识，以供目标AU与UE进行相互认证。其中，上述附着请求中携带的认证协议的标识为AURF选定目标AU时采用的UE支持的多种认证协议中的某一种协议的标识，以指示AU通过上述认证协议与UE进行相互认证。进一步的，上述附着请求中还可携带UE的ID和切片信息等，在此不做限制。
605，AU与UE进行相互认证。
在一些可行的实施方式中，AU接收到AURF发送的附着请求之后则可与UE进行相互认证。若AU支持的认证协议有多种，则可根据附着请求确定UE支持的认证协议，通过上述认证协议与UE进行相互认证。其中，AU与UE通过认证协议进行相互认证的具体实现方式可参见现有的5G网络系统中提供的实现方式，在此不再赘述。
在本发明实施例中，AURF可根据UE支持的多种认证协议以及每种认证协议的选择优先级、网络设定的认证协议的选择优先级、切片信息、AU负载等选择目标AU，提高了AU的选择灵活性，提高了AU选择的准确性和AU选择的效率，增强了网络的安全性。
在一些可行的实施方式中，如图7，图7是本发明实施例提供的管理系统实现AU的选择的另一交互示意图。在图7中，网络功能选择模块可包括第一子模块和第二子模块，其中，第一子模块将以AURF，第二子模块将以AUSF为例进行说明，认证模块将以AU为例进行说明，第一业务请求将以附着请求为例进行说明。图7所示的管理系统提供的AU的选择过程包括步骤：
701，UE向AURF发送附着请求。
在一些可行的实施方式中，UE向AURF发送的附着请求中可携带认证协议信息。其中，上述认证协议信息可包括UE支持的单一一种认证协议的标识，也可包括UE支持的多种认证协议的标识，以及UE支持的认证协议的选择优先级顺序的指示信息等信息。其中，上述UE支持的认证协议的选择优先级顺序的指示信息具体可为UE支持的多种认证协议中每种认证协议的选择优先级。进一步的，上述附着请求中还可携带UE的ID和切片信息等，在此不做限制。具体可参见上述步骤S401中所描述的实现方式，在此不再赘述。
702，AURF接收到UE发送的附着请求之后，请求AUSF选择AU。
在一些可行的实施方式中，AURF接收到UE发送的附着请求之后，可向所述AURF关联的AUSF发送AU选择请求。其中，在5G网络中，一个AUSF可服务多个AURF，AUSF用于选择AU。当网络中增加或者减少一个AU时，网络只需要将AU的增加或者减少的消息通知AUSF。若由AURF实现对AU的管理，网络则需要将增加AU或者减少AU的消息通知给各个AURF。由于一个AUSF可管理多个AURF，因此将增加AU或者减少AU的消息通知给各个AUSF比直接通知给各个AURF占用的信令更少，网络处理效率更高。
703，AUSF根据认证协议信息选择目标AU。
在一些可行的实施方式中，AUSF接收到AURF发送的选择AU的请求之后，可根据上述选择AU的请求中携带的认证协议的标识、选择优先级以及切片信息等选择目标AU。 进一步的，AURF还可根据网络中待选择的AU中各个AU的负载状态选择目标AU。其中，上述AUSF选择的AU的具体实现方式可参见上述步骤S402中所描述的网络功能模块选择AU的实现方式，在此不再赘述。即，在图7所示的系统结构中，AU的选择可由AUSF执行，AURF可用于执行附着消息的发送。
704，AUSF将选择的目标AU的标识发送给AURF。
在一些可行的实施方式中，AUSF选择了目标AU之后，则可将选定的目标AU的标识发送给AURF，以通过AURF将UE的附着消息发送给目标AU。
705，AURF向目标AU发送附着请求。
在一些可行的实施方式中，AURF根据AUSF发送的目标AU的标识确定了目标AU之后，则可向目标AU发送附着请求，并在附着请求中添加认证协议的标识，以供目标AU与UE进行相互认证。其中，上述附着请求中携带的认证协议的标识为AUSF选定目标AU时采用的UE支持的多种认证协议中的某一种协议的标识，以指示AU通过上述认证协议与UE进行相互认证。进一步的，上述附着请求中还可携带UE的ID和切片信息等，在此不做限制。
706，AU与UE进行相互认证。
在一些可行的实施方式中，AU接收到AURF发送的附着请求之后则可与UE进行相互认证。若AU支持的认证协议有多种，则可根据附着请求确定UE支持的认证协议，通过上述认证协议与UE进行相互认证。其中，AU与UE通过认证协议进行相互认证的具体实现方式可参见现有的5G网络系统中提供的实现方式，在此不再赘述。
在本发明实施例中，AURF可请求AUSF根据UE支持的多种认证协议以及每种认证协议的选择优先级、网络设定的认证协议的选择优先级、切片信息、AU负载等选择目标AU，提高了AU的选择灵活性，节省了网络的信令开销，提高了AU选择的准确性和网络执行效率，增强了网络的安全性。
405，目标认证模块根据UE附着的指定网络切片的指定安全策略确定第一安全配置。
406，目标认证模块向AN发送第二业务请求响应。
407，AN根据第一安全配置或者指定安全策略确定第二安全配置。
408，AN向UE第一业务请求响应。
在一些可行的实施方式中，本发明实施例提供的管理系统还可包括安全策略控制器。上述安全策略控制器用于向认证模块或者AN下发系统中包含的各个网络切片的安全策略。具体实现中，本发明实施例提供的管理系统可由目标认证模块来执行UE所要附着的切片的安全策略，也可由目标认证模块和AN共同执行UE所要附着的切片的安全策略。具体实现中，网络切片的安全策略可规定UE与AN之间的信令的密钥的长度，还可规定加密算法的选择优先级、完整性保护算法的选择优先级以及密钥的使用范围等信息。其中，上述密钥的使用范围可包括密钥的使用时长或者密钥可用于加密多少数据包等。
在一些可行的实施方式中，若UE所要附着的切片的安全策略由目标认证模块来执行，则安全策略控制器可向目标认证模块发送系统中一个或者多个网络切片的安全策略。其中，上述一个或者多个网络切片可为目标认证模块所服务的网络切片中的一个或者多个，具体可根据实际应用场景确定，在此不做限制。目标认证模块可通过网络功能选择模块发送的 第二业务请求中携带的UE的安全能力确定UE所支持的加密算法和完整性保护算法等信息。目标认证模块也可通过网络获取UE的安全能力，即UE所支持的加密算法和完整性保护算法等信息。目标认证模块还可获取AN的安全能力，即AN支持的加密算法和完整性保护算法等。其中，上述AN的安全能力可由AN发送给目标认证模块，例如，AN可将上述AN的安全能力携带在第二业务请求中发送给目标认证模块。具体实现中，目标认证模块可根据UE所要附着的指定网络切片的安全策略(即指定安全策略)生成密钥，还可根据UE的安全能力、AN的安全能力和上述指定安全策略选择加密算法和完整性保护算法。其中，上述密钥可包括至少两个密钥假设为第一密钥和第二密钥。其中，第一密钥可为用于保护UE与AN之间的信令的密钥，第二密钥可为用于保护UE和AU之间的信令的密钥。上述第一密钥和第二密钥的长度与上述指定安全策略中规定的密钥的长度一致。上述加密算法可为UE和AN均支持的加密算法中选择优先级最高的加密算法，上述完整性保护算法可为UE和AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
在一些可行的实施方式中，目标认证模块生成了第一密钥和第二密钥，并且选定了目标加密算法和目标完整性保护算法之后，则可根据第一密钥、目标加密算法的标识和目标完整性保护算法的标识生成第一安全配置，并将第一安全配置添加至第二业务请求响应中，以通过第二业务请求响应将第一安全配置信息发送给AN。其中，上述第一安全配置信息中可包括第一密钥的使用范围，目标加密算法的标识和目标完整性保护算法的标识等信息。
在一些可行的实施方式中，AN接收到目标认证模块发送的第二业务请求响应之后，可根据第二业务请求响应中携带的第一配置信息确定上述密钥、加密算法的标识或者完整性保护算法的标识等信息。若上述第一安全配置中携带上述第一密钥、加密算法的标识和完整性保护算法的标识等信息，AN则无需执行安全策略，可直接存储上述密钥，并将上述第一安全配置中携带的加密算法的标识和完整性保护算法的标识确定为第二安全配置并添加至第一业务请求响应中，进而可将上述第一业务请求响应发送给UE，告知UE上述第二安全配置。
在一些可行的实施方式中，若UE所要附着的切片的安全策略由目标认证模块和AN共同执行，则安全策略控制器可向目标认证模块发送目标认证模块支持的一个或者多个网络切片的安全策略，安全策略控制器还可向AN发送系统中每个网络切片的安全策略。目标认证模块可通过网络功能选择模块发送的第二业务请求中携带的UE的安全能力确定UE所支持的加密算法和完整性保护算法等信息，还可将上述UE的安全能力发送给AN。目标认证模块和AN也可通过网络获取UE的安全能力，即UE所支持的加密算法和完整性保护算法等信息。具体实现中，目标认证模块可根据指定安全策略生成至少两个密钥，如上述第一密钥和第二密钥。进一步的，目标认证模块可根据上述第一密钥的使用范围和指定网络切片的标识等信息生成第一配置并添加到第二业务请求响应中。
在一些可行的实施方式中，AN接收到目标认证模块发送的第二业务请求响应之后，可根据第二业务请求响应中携带的第一配置信息确定上述密钥、加密算法的标识或者完整性保护算法的标识等信息。若上述第一安全配置中仅携带上述第一密钥的信息，AN则需执行安全策略。具体的，AN可根据上述指定网络切片的标识确定其对应的指定安全策略，进而可根据UE的安全能力和上述指定安全策略选择目标加密算法和目标完整性保护算法。进 一步的，AN可将上述目标加密算法的标识和目标完整性保护算法的标识添加至上述第一安全配置中以获取第二安全配置，并将第二安全配置添加至第一业务请求响应中，进而可将上述第一业务请求响应发送给UE，告知UE上述第二安全配置。
本发明实施例可通过根据认证协议选择的目标认证模块实现安全配置的生成，或者通过根据认证协议选定的目标认证模块和AN实现安全配置的生成，选择灵活性高，增强了网络的安全性。
下面将结合图8和图9对本发明实施例提供的管理系统在不同的应用场景中执行安全策略的实现方式进行说明。
在一些可行的实施方式中，如图8，图8是本发明实施例提供的管理系统执行安全策略的一交互示意图。在图8所示的系统结构中包括UE、AN、认证模块和安全策略控制器，安全配置的执行由AN和认证模块协同完成。其中，认证模块将以AU为例进行说明，第一业务请求和第二要求请求均以附着请求为例进行说明。图8所示的管理系统提供的安全配置的执行过程包括步骤：
801，AN向安全策略控制器汇报其安全能力。
在一些可行的实施方式中，可选的，AN可在执行安全策略之前将其安全能力汇报给安全策略控制器，安全策略控制器可记录AN的安全能力，以备后续安全策略的下发使用。其中，上述AN的安全能力可包括AN支持的加密算法、完整性保护算法等，在此不做限制，
802，安全策略控制器向AN下发每个网络切片的安全策略。
在一些可行的实施方式中，安全配置的执行过程中，安全策略控制器可向AN下发每个切片的安全策略，以供AN执行安全策略时使用。其中，每个切片的安全策略中包括切片所支持的每个加密算法的选择优先级顺序、切片所支持的每个完整性保护算法的选择优先级顺序以及密钥的长度和使用范围等信息。其中，上述密钥包括用于保护UE与AN之间的信令的第一密钥和用于保护UE和认证模块之间的信令的第二密钥。其中，不同切片的安全策略规定的密钥的长度和使用范围可不同，不同切片的安全策略中包含的加密算法的选择优先级顺序和完整性保护算法的选择优先级的顺序也可不同，具体可根据实际应用场景确定，在此不做限制。
803，安全策略控制器向AU下发一个或者多个切片的安全策略。
在一些可行的实施方式中，安全策略控制器下发安全策略的AU具体可为网络功能选择模块选定的目标AU。目标AU(以下简称AU)可服务一个或者多个切片。安全策略控制器可向AU下发AU所服务的所有切片的安全策略。其中，上述安全策略可包括密钥的长度和密钥的使用范围等信息。
804，UE向AN发送附着请求。
在一些可行的实施方式中，上述附着请求可为上述UE向网络功能选择模块发送的第一业务请求(即附着请求)。UE向AN发送附着请求，AN可将UE发送的附着请求发送给系统中的网络功能选择模块等。具体实现中，上述UE向AN发送的附着请求中可携带UE的安全能力或者UE所要附着的切片的切片信息等。其中，UE的安全能力包括UE支持的 加密算法或者完整性保护算法等。上述UE所要附着的切片的切片信息包括切片标识、切片类型、切片支持的业务类型、切片租户标识等，具体可根据实际应用场景需求确定，在此不做限制。
805，AN向AU发送附着请求。
在一些可行的实施方式中，AN可将附着请求直接发送给AU，也可通过其他网元(例如网络功能选择模块)转发给AU，例如，AN可通过网络功能选择模块向AU发送第二业务请求等。其中，上述AN向AU发送的附着请求也可携带UE的安全能力或者UE所要附着的切片的切片信息等信息，在此不做限制。其中，若AU服务多个切片，AN则可在向AU发送附着请求时在附着请求中携带UE所要附着的切片的标识等切片信息。若AU服务单个切片，AN在向AU发送附着请求时则可不在附着请求中携带UE所要附着的切片的标识等切片信息。其中，上述附着请求中是否携带UE所要附着的切片的标识等切片信息具体可根据实际应用场景确定，在此不做限制，下面不再赘述。
806，AU与UE进行相互认证。
在一些可行的实施方式中，UE发送附着请求至AU接收到附着请求，并与UE进行相互认证的具体实现可参见上述实施例中的步骤S401至S404中描述的实现方式，在此不再赘述。
807，AU根据UE所要附着的切片的安全策略生成密钥。
在一些可行的实施方式中，AU可根据UE所要附着的切片(即上述指定网络切片)的安全策略生成至少两个密钥，包括上述第一密钥和第二密钥。其中，第一密钥和第二密钥的长度与指定网络切片的安全策略(即上述指定安全策略)中规定的密钥长度相符。
进一步的，AU还可根据上述密钥和指定网络切片的标识生成第一安全配置，并将第一安全配置添加至准备发送给AN的第二业务请求响应中。其中，上述第二业务请求响应具体可为UE附着到指定网络切片成功的附着成功消息。
808，AU向AN发送附着成功消息。
在一些可行的实施方式中，上述附着成功消息中可携带指定网络切片的标识和上述密钥等信息。
809，AN根据密钥和指定安全策略生成第二安全配置。
在一些可行的实施方式中，AN接收到附着成功消息之后，可从附着成功消息中获取指定网络切片的标识和第一安全配置等信息。AN可存储上述第一安全配置中携带的密钥，并可根据第一安全配置中携带的上述指定网络切片的标识确定其对应的指定安全策略，进而可根据UE的安全能力和上述指定安全策略选择目标加密算法和目标完整性保护算法。进一步的，AN可将上述目标加密算法的标识和目标完整性保护算法的标识添加至上述第一安全配置中以获取第二安全配置，并将第二安全配置添加至准备发送给UE的第一业务请求响应中，通过第二业务请求响应将第二安全配置发送给UE。
810，AN向UE发送安全配置。
在一些可行的实施方式中，AN可将上述第一业务请求响应(即附着请求响应)发送给UE，在上述附着请求响应中携带第二安全配置的信息，以通过附着请求响应告知UE上述第二安全配置。
在本发明实施例中，系统可通过AU和AN执行安全策略，进而可通过安全配置的执行来完成UE附着到指定网络切片的操作，保障系统的安全，实现多切片网络的安全管理。
在一些可行的实施方式中，如图9，图9是本发明实施例提供的管理系统执行安全策略的另一交互示意图。在图9所示的系统结构中包括UE、AN和认证模块，安全配置的执行由认证模块完成，AN可向认证模块汇报其安全能力和执行安全策略的转发。其中，认证模块将以AU为例进行说明，第一业务请求和第二要求请求均以附着请求为例进行说明。图9所示的管理系统提供的安全配置的执行过程包括步骤：
901，安全策略控制器向AU下发一个或者多个切片的安全策略。
在一些可行的实施方式中，安全策略控制器下发安全策略的AU具体可为网络功能选择模块选定的目标AU。目标AU(以下简称AU)可服务一个或者多个切片。安全策略控制器可向AU下发AU所服务的所有切片的安全策略。每个切片的安全策略中包括切片所支持的每个加密算法的选择优先级顺序、切片所支持的每个完整性保护算法的选择优先级顺序以及密钥的长度和使用范围等信息。其中，上述密钥包括用于保护UE与AN之间的信令的第一密钥和用于保护UE和认证模块之间的信令的第二密钥。其中，不同切片的安全策略规定的密钥的长度和使用范围可不同，不同切片的安全策略中包含的加密算法的选择优先级顺序和完整性保护算法的选择优先级的顺序也可不同，具体可根据实际应用场景确定，在此不做限制。
902，AN可向AU汇报其安全能力。
在一些可行的实施方式中，AN可将其支持的加密算法或者完整性保护算法等信息发送给AU，以供AU根据其安全能力和UE的安全能力选择相应的加密算法或者完整性保护算法。其中，AN向AU汇报其安全能力的过程可在AU执行安全策略之前的任意时刻进行，在此不做限制。AU可存储AN的安全能力，以备后续执行安全策略使用。
903，UE向AN发送附着请求。
在一些可行的实施方式中，上述附着请求可为上述UE向网络功能选择模块发送的第一业务请求(即附着请求)。UE向AN发送附着请求，AN可将UE发送的附着请求发送给系统中的网络功能选择模块等。具体实现中，上述UE向AN发送的附着请求中可携带UE的安全能力或者UE所要附着的切片的切片信息等。其中，UE的安全能力包括UE支持的加密算法或者完整性保护算法等。上述UE所要附着的切片的切片信息包括切片标识、切片类型、切片支持的业务类型、切片租户标识等，具体可根据实际应用场景需求确定，在此不做限制。
904，AN向AU发送附着请求。
在一些可行的实施方式中，AN可将附着请求直接发送给AU，也可通过其他网元(例如网络功能选择模块)转发给AU，例如，AN可通过网络功能选择模块向AU发送第二业务请求等。其中，上述AN向AU发送的附着请求也可携带UE的安全能力或者UE所要附着的切片的切片信息等信息，在此不做限制。
905，AU与UE进行相互认证。
在一些可行的实施方式中，AU接收到附着请求之后，与UE进行相互认证的具体实现 可参见上述实施例中的步骤S401至S404中描述的实现方式，在此不再赘述。
906，AU根据UE所要附着的切片的安全策略和UE的安全能力、AN的安全能力等信息生成第一安全配置。
在一些可行的实施方式中，AU可通过第二业务请求(即附着请求)中携带的UE的安全能力确定UE所支持的加密算法和完整性保护算法等信息。AU也可通过网络获取UE的安全能力，即UE所支持的加密算法和完整性保护算法等信息。AU还可获取AN的安全能力，即AN支持的加密算法和完整性保护算法等。具体实现中，AU可根据UE所要附着的指定网络切片的安全策略(即指定安全策略)生成密钥，还可根据UE的安全能力、AN的安全能力和上述指定安全策略选择加密算法和完整性保护算法。其中，上述密钥可包括至少两个密钥假设为第一密钥和第二密钥。其中，第一密钥可为用于保护UE与AN之间的信令的密钥，第二密钥可为用于保护UE和AU之间的信令的密钥。上述第一密钥和第二密钥的长度与上述指定安全策略中规定的密钥的长度一致。上述加密算法可为UE和AN均支持的加密算法中选择优先级最高的加密算法，上述完整性保护算法可为UE和AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
在一些可行的实施方式中，AU生成了第一密钥和第二密钥，并且选定了目标加密算法和目标完整性保护算法之后，则可根据第一密钥、目标加密算法的标识和目标完整性保护算法的标识生成第一安全配置，并将第一安全配置添加至第二业务请求响应中，以通过第二业务请求响应将第一安全配置信息发送给AN。其中，上述第一安全配置信息中可包括第一密钥的使用范围，目标加密算法的标识和目标完整性保护算法的标识等信息。
907，AU向AN发送附着成功消息。
在一些可行的实施方式中，上述附着成功消息中可携带第一安全配置的信息。
908，AN向UE发送安全配置。
在一些可行的实施方式中，AN接收到附着成功消息之后，可从附着成功消息中获取第一安全配置，进而可存储上述第一安全配置中携带的密钥，并根据上述第一安全配置中携带的加密算法的标识和完整性保护算法的标识生成为第二安全配置，并将第二安全配置添加至准备发送给UE的第一业务请求响应中，通过第一业务请求响应将第二安全配置发送给UE。
在本发明实施例中，系统可通过AU执行安全策略，进而可通过安全配置的执行来完成UE附着到指定网络切片的操作，保障系统的安全，实现多切片网络的安全管理。
下面将结合图10至图14对本发明实施例提供的管理系统在不同的应用场景中执行网络的安全管理的实现方式进行说明。
在一些可行的实施方式中，如图10，图10是本发明实施例提供的管理系统执行网络的安全管理的一交互示意图。在图10所示的系统结构中包括UE、AN、网络功能选择模块和认证模块。其中，网络功能选择模块将以SSF和MM为例进行说明，其中SSF和MM均可提供AURF和AUSF的功能。认证模块将以AU为例进行说明，第一业务请求和第二要求请求均以附着请求为例进行说明。进一步的，在图10中，本发明实施例提供的管理系统还可与5G网络架构中的会话管理(英文：Session Management，SM)、UP-GW和签约 数据库进行交互。
在该应用场景中，UE无法提供切片标识，UE在附着过程中将进行两次认证。第一次AU的选择可实现切片的选择，其中，第一次AU的选择在SSF进行。第二次AU的选择可实现切片的安全策略，第二次AU的选择在MM进行。SSF和MM都提供AUSF和AURF的功能。
图10所示的管理系统提供的网络的安全管理的执行过程包括步骤：
1001，UE向AN发送附着请求，并通过AN发送给SSF。
具体实现中，上述附着请求可为上述第一业务请求，上述附着请求中携带认证协议信息。
1002，SSF根据认证协议信息选择AU。
具体实现中，SSF根据认证协议信息选择AU的具体实现过程可参见上述步骤S402中所描述的实现方式，在此不再赘述。
1003，AU和UE使用选定的认证协议进行相互认证，并将认证结果告知给SSF。
其中，上述步骤S1003可包括以下小步骤：
3a、SSF向AU发送附着请求。
其中，上述附着请求中携带认证协议信息。AU可根据上述认证协议信息选择UE支持并且AU也支持的认证协议，具体选择方式可参见上述步骤S401-S404中描述的实现方式。
3b、AU向UE反馈认证协议的标识。
AU选择了目标认证协议之后，则可将认证协议的标识发送给UE，以通过上述目标认证协议实现与UE的相互认证。
3c、AU与UE进行相互认证。
3d、AU向SSF发送与UE进行相互认证的结果。
1004，SSF选择切片。
具体实现中，SSF根据AU和UE的认证结果选择UE附着的切片，具体实现方式可参见现有5G网络系统中提供的实现方式在此不再赘述。
1005，SSF将切片的标识发送给AN。
具体实现中，SSF选择切片之后可将切片的标识发送给AN，以通过AN选择实现UE的切片附着的MM。
1006，AN选择MM。
其中，上述AN根据UE所要附着的切片的标识选择MM的具体实现方式可参见现有的5G网络系统中提供的实现方式，在此不再赘述。
1007，UE进行选定的切片的附着流程，包括以下步骤：
7a、AN将UE的附着请求发送至MM。
其中，上述附着请求中包含认证协议信息。
7b、MM根据认证协议信息选择AU。
7c、MM将UE的附着请求发送至选好的AU。
其中，上述附着请求中可包含认证协议信息。若选好的AU只支持一种认证协议，则上述附着请求中可不包含认证协议信息。若选好的AU支持多种认证协议，则上述附着请 求中可包含选择AU时确定的认证协议。
7d、AU将选好的认证协议的标识告知UE。
可选的，上述选好的认证协议的标识也可由提供AURF功能的SSF或者MM发送，在此不做限制。
7e、UE和AU进行相互认证，AU授权UE附着切片。
具体实现中，上述7a至7e中所描述的AU与UE根据认证协议进行相互认证的实现方式可参见上述步骤S401至S402所描述的实现方式，在此不再赘述。
7f、设置UP连接。
7g、执行切片的安全策略。
具体实现中，AU依据被附着切片的安全策略等信息生成第一安全配置。，上述第一安全配置包含密钥，进一步的，还可包含加密算法的标识或者完整性保护算法的标识等信息，具体可根据AU执行安全策略的实现方式确定，具体可参见上述各个应用场景中描述的实现方式，在此不再赘述。
7h、AU发送附着响应至AN。
其中，上述附着响应中可包含第一安全配置。
1008，执行切片的安全策略。
可选的，AN依据第一安全配置和被附着切片的安全策略等信息确定第二安全配置。若上述AU生成的第一安全配置中包含的密钥、加密算法和完整性保护算法等信息，则该步骤可无。若上述AU生成的第一安全配置仅包含密钥，则AN可进一步选择加密算法和完整性保护算法等信息，以确定包含密码、加密算法和完整性保护算法等信息的第二安全配置。
1009，AN发送附着响应至UE。
其中，上述附着响应可包括第二安全配置。
在一些可行的实施方式中，如图11，图11是本发明实施例提供的管理系统执行网络的安全管理的另一交互示意图。在图11所示的系统结构中包括UE、AN、网络功能选择模块和认证模块。其中，网络功能选择模块将以SSF和MM为例进行说明，其中SSF和MM均可提供AURF和AUSF的功能。认证模块将以AU为例进行说明，第一业务请求和第二要求请求均以附着请求为例进行说明。进一步的，在图11中，本发明实施例提供的管理系统还可与5G网络架构中的SM、GW-U和签约数据库进行交互。
在该应用场景中，UE提供切片标识，UE在附着过程中会进行一认证。AU的选择在MM进行。MM提供AUSF和AURF的功能。
图11所示的管理系统提供的网络的安全管理的执行过程包括步骤：
1101，UE将附着请求发送给AN，请求中包含UE的认证协议信息。
1102，AN将UE的附着请求发送给MM。
1103，MM根据附着请求中的认证协议信息选择AU。
1104，MM将UE的附着请求发送至选好的AU，请求中包含认证协议信息。
1105，(可选)AU将选好的认证协议的标识告知UE。
1106，UE和AU使用上述认证协议进行相互认证。
1107，(可选)设置UP连接。
1108，执行切片的安全策略。
具体实现总，AU依据被附着切片的安全策略等信息生成第一安全配置。上述第一安全配置包含密钥，进一步的，还可包含加密算法的标识或者完整性保护算法的标识等信息，具体可根据AU执行安全策略的实现方式确定，具体可参见上述各个应用场景中描述的实现方式，在此不再赘述。
1109，AU发送附着响应至AN。
其中，附着响应可能包含第一安全配置。
1110，执行切片的安全策略。
可选的，AN依据第一安全配置和被附着切片的安全策略等信息确定第二安全配置。若上述AU生成的第一安全配置中包含的密钥、加密算法和完整性保护算法等信息，则该步骤可无。若上述AU生成的第一安全配置仅包含密钥，则AN可进一步选择加密算法和完整性保护算法等信息，以确定包含密码、加密算法和完整性保护算法等信息的第二安全配置。
1111，AN发送附着响应至UE。
具体实现中，上述各个步骤的实现方式可参见上述图10所示的应用场景的实施例中各个步骤所描述的实现方式，在此不再赘述。
在一些可行的实施方式中，如图12，图12是本发明实施例提供的管理系统执行网络的安全管理的另一交互示意图。在图12所示的系统结构中包括UE、AN、网络功能选择模块和认证模块。其中，网络功能选择模块将以SSF和MM为例进行说明，其中SSF和MM均可提供AURF和AUSF的功能。认证模块将以AU为例进行说明，第一业务请求和第二要求请求均以新业务请求为例进行说明。进一步的，在图12中，本发明实施例提供的管理系统还可与5G网络架构中的SM、GW-U和签约数据库进行交互。
在该实施例中，UE已经附着到一个切片，通过新业务请求附着到另一个切片，UE在附着过程中会进行一次认证。AU的选择在SSF进行。SSF提供AUSF和AURF的功能。
图12所示的管理系统提供的网络的安全管理的执行过程包括步骤：
1201，UE将新业务请求发送给AN，请求中包含UE的认证协议信息。
1202，网络执行切片选择和AU选择，包括步骤：
2a、AN将新业务请求发送给MM，新业务请求中携带认证协议信息。
2b、MM将新业务请求发送给SSF，新业务请求中携带认证协议信息。
2c、SSF选择切片，并根据认证协议信息选择AU。
其中，SSF选择切片的过程可参见现有5G架构的系统提供的实现方式，在此不做限制。SSF可根据选定的切片和新业务请求中携带的认证协议信息选择目标AU，以通过目标AU实现UE附着到另一个切片的操作。
2d、SSF向AU发送新业务请求。
其中，上述新业务请求携带切片的ID和认证协议信息。
1203，(可选)AU将选好的认证协议标识告知UE。
1204，UE和AU使用上述认证协议进行相互认证和UE所要附着的切片的授权。
1205，MM向SM发送新业务请求。
1206，设置UP连接。
1207，MM发送新业务响应至UE。
具体实现中，上述各个步骤的实现方式可参见上述各个应用场景的实施例中各个步骤所描述的实现方式，在此不再赘述。
在一些可行的实施方式中，如图13，图13是本发明实施例提供的管理系统执行网络的安全管理的另一交互示意图。在图13所示的系统结构中包括UE、AN和认证模块。其中，网络功能选择模块所执行的实现方式由AN执行进行说明，AN可提供AURF和AUSF的功能。认证模块将以Front-end为例进行说明，Front-end可提供AU的功能。第一业务请求和第二要求请求均以附着请求为例进行说明。
在该实施例中，名为front-end的网元提供AU功能，分配给UE的front-end同时负责转发UE的所有控制面(Control Plane，CP)信令给切片独占的网元。UE在附着过程中会和front-end进行一认证。front-end的选择在RAN进行。RAN提供AUSF和AURF的功能。
图13所示的管理系统提供的网络的安全管理的执行过程包括步骤：
1301，UE将附着请求发送给RAN。
其中，附着请求中包含UE的认证协议信息、UE的标识、切片信息以及UE的安全能力等信息。
1302，RAN根据附着请求中的认证协议信息选择默认front-end。
1303，RAN将UE的附着请求发送至选好的默认front-end，请求中包含认证协议信息。
1304，UE和默认front-end使用上述认证协议进行相互认证。
1305，默认front-end检查UE的签约信息，并选择front-end。
1306，默认front-end将附着请求转发给选择的front-end。
1307，选择的front-end发送附着接受消息给默认front-end。
1308，默认的front-end发送附着接受消息给RAN。
1309，RAN执行切片的安全策略。
具体实现中，可选的，RAN依据被附着切片的安全策略生成安全配置，包括第一密钥、第二密钥、加密算法和完整性保护算法等。
1310，RAN发送附着接受消息至UE。
具体实现中，上述各个步骤的实现方式可参见上述各个应用场景的实施例中各个步骤所描述的实现方式，在此不再赘述。
在一些可行的实施方式中，如图14，图14是本发明实施例提供的管理系统执行网络的安全管理的另一交互示意图。在图14所示的系统结构中包括UE、下一代接入网和认证模块。其中，AN和网络功能选择模块所执行的实现方式由下一代接入网执行进行说明，下一代接入网可提供AURF和AUSF的功能。认证模块将以ACA为例进行说明，ACA可提 供AU的功能。第一业务请求和第二要求请求均以附着请求为例进行说明。进一步的，在图14中，本发明实施例提供的管理系统还可与5G网络架构中的HSS进行交互。
在该实施例中，名为ACA的网元提供AU功能，ACA同时提供切片选择功能。UE在附着过程中会和ACA进行一认证。ACA的选择在下一代接入网(即下一代RAN)进行。下一代接入网提供AUSF和AURF的功能。
图14所示的管理系统提供的网络的安全管理的执行过程包括步骤：
1401，UE与下一代接入网建立连接。
1402，UE将附着请求发送给下一代接入网，请求中包含认证协议信息。
1403，下一代接入网根据附着请求中的认证协议信息选择ACA。
1404，下一代接入网将UE的附着请求发送至选好的ACA，请求中包含认证协议信息。
1405，(可选的)ACA发送认证协议标识给UE。
1406，UE和ACA使用上述认证协议进行相互认证。
1407，ACA向HSS更新UE位置信息。
1408，ACA执行切片的安全策略。
具体的，ACA依据被附着切片的安全策略生成密钥，还可能根据UE的安全能力和切片的安全策略等信息选择加密算法和完整性保护算法，并将加密算法的标识和完整性保护算法的标识等信息添加至第一安全配置中。
1409，ACA向下一代接入网发送附着响应消息。
1410，下一代接入网执行切片的安全策略。
具体实现中，可选的，下一代接入网可依据被附着切片的安全策略和UE的安全能力等信息选择加密算法和完整性保护算法，并结合第一安全配置确定第二安全配置。
1411，下一代接入网发送附着响应消息至UE。
附着响应消息中可携带第二安全配置。
具体实现中，上述各个步骤的实现方式可参见上述各个应用场景的实施例中各个步骤所描述的实现方式，在此不再赘述。
参见图15，是本发明实施例提供的网络安全的管理系统的另一结构示意图。本发明实施例提供的管理系统可包括UE、网络功能选择模块和至少两个认证模块。其中，上述至少两个认证模块中包括多个切片共享的认证模块，也包括单个切片独享的认证模块。上述至少两个认证模块也可全部为多个切片共享的认证模块，或者全部为单个切片独享的认证模块，具体可根据实际应用场景确定，在此不做限制。其中，共享的认证模块可包含多个，每个共享的认证模块为至少两个切片服务，独享的认证模块也可包括多个，每个独享的认证模块服务一个切片。具体实现中，认证模块的数量以及每个认证模块服务的切片的分布状态可根据实际应用场景确定，在此不做限制。
在本发明实施例中，上述网络功能选择模块可包括AUSF、AURF、SSF以及MM等，具体可根据实际应用场景确定，在此不做限制。
在本发明实施例中，上述认证模块可包括：AU、Front-end以及ACA等，具体可根据实际应用场景确定，在此不做限制。
参见图16，图16是本发明实施例提供的管理系统中各个功能模块(包括UE、AN、网络功能选择模块和认证模块)实现网络的安全管理的一交互示意图。图15所示的系统实现网络的安全管理的过程可包括步骤：
1601，UE向网络功能选择模块发送第一业务请求，第一业务请求中携带认证协议信息。
1602，网络功能选择模块根据认证协议信息，从至少两个认证模块中选择目标认证模块。
1603，网络功能选择模块向目标认证模块发送第二业务请求。
1604，目标认证模块接收第二业务请求，并与UE进行相互认证。
在一些可行的实施方式中，上述第一业务请求具体可为UE请求附着到一个切片的附着请求。上述第一业务请求也可为UE已经附着到一个切片并且希望通过新业务请求附着到另一个切片时发送的新业务请求。其中，上述附着请求或者新业务请求中携带认证协议信息。上述认证协议信息包括UE支持的一个或者多个认证协议的标识、或者UE支持的多个认证协议中每个认证协议的选择优先级等信息。上述附着请求或者新业务请求中也可携带UE所要附着的切片的标识等。其中，上述第一业务请求的类型以及第一业务请求中携带的认证协议信息具体可根据实际应用场景确定，在此不做限制。
在一些可行的实施方式中，网络功能选择模块接收到UE发送的第一业务请求之后，可根据上述第一业务请求中携带的认证协议信息从上述至少两个认证模块中选择目标认证模块。具体实现中，若上述认证协议信息中携带UE支持的一种认证协议(假设为第一认证协议)的标识，网络功能选择模块则可根据上述第一认证协议的标识从上述多个认证模块中选择支持上述第一认证协议的认证模块作为目标认证模块。若上述支持第一认证协议的认证模块多于一个，网络功能选择模块则可根据上述各个认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
进一步的，若上述第一业务请求中携带UE所要附着的切片(即指定网络切片)的标识，网络功能选择模块则可根据上述第一认证协议的标识和指定网络切片的标识从网络包含的至少两个认证模块中选择目标认证模块。上述目标认证模块为支持第一认证协议和指定网络切片的认证模块。具体的，网络功能选择模块可先根据第一认证协议的标识从多个认证模块中选出支持第一认证协议的认证模块。若上述支持第一认证协议的认证模块多于一个，网络功能选择模块则可根据指定网络切片的标识从上述支持第一认证协议的多个认证模块中选择UE所要附着的切片关联的认证模块作为目标认证模块。其中，上述UE所要附着的切片关联的认证模块可为服务该切片的认证模块。此外，网络功能选择模块也可先根据指定网络切片的标识从多个认证模块中选出支持指定网络切片的认证模块。若上述支持指定网络切片的认证模块多于一个，网络功能选择模块则可根据第一认证协议从上述支持指定网络切片的多个认证模块中选择支持第一认证协议的认证模块作为目标认证模块。进一步的，网络功能选择模块也可同时根据第一认证协议的标识和指定网络切片的标识从多个认证模块中选出目标认证模块，具体选择过程中认证模块的筛选方式可根据实际应用场景确定，在此不做限制。
进一步的，在一些可行的实施方式中，若根据上述第一认证协议的标识，或者根据第一认证协议的标识和指定网络切片的标识选出的上述目标认证模块多于一个，网络功能选择模块则可根据上述各个选出的待选定的目标认证模块的负载状态，从上述选出的多个待选定的目标认证模块中选择负载最少的认证模块作为最终选定的目标认证模块。
在一些可行的实施方式中，若上述认证协议信息中携带UE支持的多种认证协议(将每个认证协议设为第二认证协议)的标识，网络功能选择模块则可根据UE支持的每个第二认证协议的标识从网络中包含的多个认证模块中选择目标认证模块。具体实现中，若上述系统中包含的多个认证模块中仅有一个认证模块支持UE支持的认证协议，则可将该认证模块确定为目标认证模块。若上述网络中包含的多个认证模块中包含多个认证模块支持UE支持的其中一种认证协议，则可从支持该认证协议的多个认证模块中选择负载最少的认证模块作为目标认证模块。若上述网络中包含的多个认证模块中包含多个支持不同认证协议的不同认证模块，网络功能选择模块则根据各个认证协议的选择优先级或者各个认证模块的负载状态从中选出目标认证模块。
在一些可行的实施方式中，若上述网络中包含的多个认证模块中包含多个支持不同的认证协议的不同的认证模块，则网络功能选择模块可根据网络设定的认证协议的选择优先级，确定UE支持的多个认证协议中选择优先级最高的认证协议，进而可从上述多个支持不同的认证协议的不同的认证模块中选择支持选择优先级最高的认证协议的待选定认证模块作为目标认证模块。若上述支持选择优先级最高的认证协议的待选定认证模块多于一个，则可根据各个待选定认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，若上述网络中包含的多个认证模块中包含多个支持不同的认证协议的不同的认证模块，网络功能选择模块可直接根据各个认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
进一步的，在一些可行的实施方式中，上述第一业务请求中携带的认证协议信息可包含UE支持的多个认证协议(可将每个认证协议设为第三认证协议)的标识，以及每个第三认证协议的选择优先级。网络功能选择模块可根据UE支持的每个第三认证协议的标识从系统中包含的多个认证模块中选择目标认证模块。具体实现中，若上述系统中包含的多个认证模块中仅有一个认证模块支持UE支持的认证协议，则可将该认证模块确定为目标认证模块。若上述系统中包含的多个认证模块中包含多个认证模块支持UE支持的其中一种第三认证协议，则可从支持该第三认证协议的多个认证模块中选择负载最少的认证模块作为目标认证模块。若上述系统中包含的多个认证模块中包含多个支持不同的第三认证协议的不同的认证模块，网络功能选择模块则可根据各个认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
进一步的，若上述系统中包含的多个认证模块中包含多个支持不同的第三认证协议的不同的认证模块，网络功能选择模块还可根据每个第三认证协议的选择优先级，从多个支持不同的第三认证协议的不同认证模块中选择支持选择优先级最高的认证协议(假设为第四认证协议)的认证模块作为目标认证模块。若上述支持第四认证协议的认证模块多于一个，网络功能选择模块则可根据每个认证模块的负载状态从中选择负载最少的认证模块作为目标认证模块。
进一步的，在一些可行的实施方式中，上述第一业务请求中还可携带除了UE所要附着的切片的标识之外的更多切片信息，具体可包括切片类型、切片支持的业务类型或者切片租户标识等。网络功能选择模块根据上述认证协议信息选择目标认证模块的过程中也可参照上述切片信息进行综合选择，在此不做限制。
在一些可行的实施方式中，网络功能选择模块选定了目标认证模块之后，则可向目标认证模块发送第二业务请求。对应的，上述第二业务请求也可为附着请求或者新业务请求。具体实现中，若上述目标认证模块只支持一种认证协议，则向目标认证模块发送的第二业务请求中无需携带认证协议信息，可携带UE的标识或者UE所要附着的切片信息等。若上述目标认证模块可支持多种认证协议，则可在上述上述第二业务请求中携带选择目标认证模块时采用的UE和目标认证模块均支持的认证协议的标识。可选的，也可在上述第二业务请求中携带UE的标识或者UE所要附着的切片信息等，在此不做限制。
在一些可行的实现方式中，若上述目标认证模块只支持一种认证协议，目标认证模块则可直接使用上述认证协议与UE进行相互认证。若上述目标认证模块可支持多种认证协议，目标认证模块可接收网络功能选择模块发送的第二业务请求，并根据上述第二业务请求中携带的UE和目标认证模块均支持的认证协议与UE进行相互认证。具体实现中，上述第二业务请求中还可携带UE的标识，例如UE的ID等，在此不做限制。其中，上述认证模块通过UE的ID或者切片信息实现与UE的相互认证的实现方式可参见5G框架中的系统交互的现有实现方式，在此不再赘述。
具体实现中，本发明实施例提供的管理系统在不同的应用场景中实现认证模块的选择的实现方式可参见上述图5至图7中各个实施例的各个步骤中描述的实现方式，在此不再赘述。
在本发明实施例中，网络功能选择模块可根据UE支持的认证协议信息选择支持UE所支持的认证协议的认证模块，进而可通过认证模块与UE的相互认证，提高了认证模块选择的准确性，增强了网络的安全性。
参见图17，是本发明实施例提供的网络安全的管理系统的另一结构示意图。本发明实施例提供的管理系统可包括UE、AN、安全策略控制器和认证模块。其中，上述认证模块中包括多个切片共享的认证模块中的某一个，也包括单个切片独享的认证模块。其中，共享的认证模块可包含多个，每个共享的认证模块为至少两个切片服务，独享的认证模块也可包括多个，每个独享的认证模块服务一个切片。具体实现中，认证模块的数量以及每个认证模块服务的切片的分布状态可根据实际应用场景确定，在此不做限制。
在本发明实施例中，上述认证模块可包括：AU、Front-end以及ACA等，具体可根据实际应用场景确定，在此不做限制。
参见图18，图18是本发明实施例提供的管理系统中各个功能模块(包括UE、AN、安全策略控制器和认证模块)实现网络的安全管理的另一交互示意图。图17所示的系统实现网络的安全管理中安全配置的管理的过程可包括步骤：
1801，安全策略控制器向AN或者认证模块下发网络切片的安全策略。
1802，UE向AN发送第一业务请求，第一业务请求中携带UE所要附着的指定网络切片的标识。
1803，AN向认证模块发送第二业务请求，第二业务请求中携带UE所要附着的指定网络切片的标识。
1804，认证模块接收第二业务请求并与UE进行相互认证。
1805，认证模块根据指定网络切片的指定安全策略确定第一安全配置。
1806，AN发送第二业务请求响应，第二业务请求响应中携带第一安全配置。
1807，AN根据第一安全配置或者指定安全策略确定第二安全配置。
1808，AN向UE发送第一业务请求响应，第一业务请求响应中携带第二安全配置。
在一些可行的实施方式中，本发明实施例提供的安全策略控制器用于向认证模块或者AN下发系统中包含的各个网络切片的安全策略。具体实现中，本发明实施例提供的管理系统可由目标认证模块(即图17中的认证模块)来执行UE所要附着的切片的安全策略，也可由目标认证模块和AN共同执行UE所要附着的切片的安全策略。具体实现中，网络切片的安全策略可规定UE与AN之间的信令的密钥的长度，还可规定加密算法的选择优先级、完整性保护算法的选择优先级以及密钥的使用范围等信息。其中，上述密钥的使用范围可包括密钥的使用时长或者密钥可用于加密多少数据包等。
在一些可行的实施方式中，若UE所要附着的切片的安全策略由目标认证模块来执行，则安全策略控制器可向目标认证模块发送系统中一个或者多个网络切片的安全策略。其中，上述一个或者多个网络切片可为目标认证模块所服务的网络切片中的一个或者多个，具体可根据实际应用场景确定，在此不做限制。
具体实现中，UE可向AN发送第一业务请求。其中，第一业务请求中携带UE的安全能力和UE所要附着的指定网络切片的标识。AN接收到第一业务请求之后，可向认证模块发送第二业务请求。其中，第二业务请求中携带UE的安全能力和UE所要附着的指定网络切片的标识。认证模块接收第二业务请求之后，则可与UE进行相互认证，进而可执行UE所要附着的切片的安全策略。
在一些可行的实施方式中，目标认证模块可通过第二业务请求中携带的UE的安全能力确定UE所支持的加密算法和完整性保护算法等信息。目标认证模块也可通过网络获取UE的安全能力，即UE所支持的加密算法和完整性保护算法等信息。目标认证模块还可获取AN的安全能力，即AN支持的加密算法和完整性保护算法等。其中，上述AN的安全能力可由AN发送给目标认证模块，例如，AN可将上述AN的安全能力携带在第二业务请求中发送给目标认证模块。具体实现中，目标认证模块可根据UE所要附着的指定网络切片的安全策略(即指定安全策略)生成密钥，还可根据UE的安全能力、AN的安全能力和上述指定安全策略选择加密算法和完整性保护算法。其中，上述密钥可包括至少两个密钥假设为第一密钥和第二密钥。其中，第一密钥可为用于保护UE与AN之间的信令的密钥，第二密钥可为用于保护UE和AU之间的信令的密钥。上述第一密钥和第二密钥的长度与上述指定安全策略中规定的密钥的长度一致。上述加密算法可为UE和AN均支持的加密算法中选择优先级最高的加密算法，上述完整性保护算法可为UE和AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
在一些可行的实施方式中，目标认证模块生成了第一密钥和第二密钥，并且选定了目标加密算法和目标完整性保护算法之后，则可根据第一密钥、目标加密算法的标识和目标完整性保护算法的标识生成第一安全配置，并将第一安全配置添加至第二业务请求响应中，以通过第二业务请求响应将第一安全配置信息发送给AN。其中，上述第一安全配置信息中可包括第一密钥的使用范围，目标加密算法的标识和目标完整性保护算法的标识等信息。
在一些可行的实施方式中，AN接收到目标认证模块发送的第二业务请求响应之后，可根据第二业务请求响应中携带的第一配置信息确定上述密钥、加密算法的标识或者完整性保护算法的标识等信息。若上述第一安全配置中携带上述第一密钥、加密算法的标识和完整性保护算法的标识等信息，AN则无需执行安全策略，可直接存储上述密钥，并将上述第一安全配置中携带的加密算法的标识和完整性保护算法的标识确定为第二安全配置并添加至第一业务请求响应中，进而可将上述第一业务请求响应发送给UE，告知UE上述第二安全配置。
在一些可行的实施方式中，若UE所要附着的切片的安全策略由目标认证模块和AN共同执行，则安全策略控制器可向目标认证模块发送目标认证模块支持的一个或者多个网络切片的安全策略，安全策略控制器还可向AN发送系统中每个网络切片的安全策略。目标认证模块可通过第二业务请求中携带的UE的安全能力确定UE所支持的加密算法和完整性保护算法等信息，还可将上述UE的安全能力发送给AN。目标认证模块和AN也可通过网络获取UE的安全能力，即UE所支持的加密算法和完整性保护算法等信息。具体实现中，目标认证模块可根据指定安全策略生成至少两个密钥，如上述第一密钥和第二密钥。进一步的，目标认证模块可根据上述第一密钥的使用范围和指定网络切片的标识等信息生成第一配置并添加到第二业务请求响应中。
在一些可行的实施方式中，AN接收到目标认证模块发送的第二业务请求响应之后，可根据第二业务请求响应中携带的第一配置信息确定上述密钥、加密算法的标识或者完整性保护算法的标识等信息。若上述第一安全配置中仅携带上述第一密钥的信息，AN则需执行安全策略。具体的，AN可根据上述指定网络切片的标识确定其对应的指定安全策略，进而可根据UE的安全能力和上述指定安全策略选择目标加密算法和目标完整性保护算法。进一步的，AN可将上述目标加密算法的标识和目标完整性保护算法的标识添加至上述第一安全配置中以获取第二安全配置，并将第二安全配置添加至第一业务请求响应中，进而可将上述第一业务请求响应发送给UE，告知UE上述第二安全配置。
具体实现中，本发明实施例提供的管理系统在不同的应用场景中由不同的模块执行安全策略的具体实现过程可参见上述图8和图9对应的各个实施例中各个步骤描述的实现方式，在此不再赘述。
本发明实施例可通过根据认证协议选择的目标认证模块实现安全配置的生成，或者通过根据认证协议选定的目标认证模块和AN实现安全配置的生成，选择灵活性高，增强了网络的安全性。
参见图19，是本发明实施例提供的网络安全的管理方法的一流程示意图。本发明实施例提供的管理方法可包括步骤：
S1901，网络功能选择模块接收用户设备UE发送的第一业务请求。
其中，上述第一业务请求中携带认证协议信息。
S1902，所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块。
S1903，所述网络功能选择模块向所述目标认证模块发送第二业务请求。
在一些可行的实施方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
在一些可行的实施方式中，若支持所述第一认证协议的认证模块多于一个，所述方法还包括：
根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
在一些可行的实施方式中，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述方法还包括：
根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据每个所述第二认证协议的标识，从所述至少两个认证模块 中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
在一些可行的实施方式中，若所述待选定认证模块多于一个，所述方法还包括：
根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述第一业务请求中还携带所述指定网络切片的标识；
所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
所述网络功能选择模块根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，其特征在于，所述网络功能选择模块包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
具体实现中，上述管理方法中各个步骤所描述的实现方式可参见上述各个系统中各个应用场景对应的执行方式，在此不再赘述。
参见图20，是本发明实施例提供的网络安全的管理方法的另一流程示意图。本发明实施例提供的管理方法可包括步骤：
S2501，第二网络功能选择模块接收第一网络功能选择模块发送的认证模块选择请求。
其中，所述认证模块选择请求中携带用户设备UE发送的认证协议信息。
其中，上述第一业务请求中携带用户设备UE发送的认证协议信息。
S2502，第二网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块。
S2503，所述第二网络功能选择模块向所述第一网络功能选择模块发送所述目标认证模块的标识，以通过所述第一网络功能选择模块向所述目标认证模块发送业务请求。
本发明实施例可通过第一网络功能选择模块执行消息的路由，由第二网络功能选择模块实现认证模块的选择，可节省网络的信令开销，提高认证模块选择的效率。
参见图21，是本发明实施例提供的网络安全的管理方法的另一流程示意图。本发明实施例提供的管理方法可包括步骤：
S2001，认证模块接收安全策略控制器下发的网络切片的安全策略。
S2002，所述认证模块接收接入网AN发送的业务请求。
其中，上述业务请求中携带用户设备UE的安全能力和所述UE所要附着的指定网络切片的标识。
S2003，所述认证模块根据所述指定网络切片的标识从所述安全策略控制器下发的网络切片的安全策略中查找所述指定网络切片的指定安全策略，并根据所述指定安全策略确定安全配置。
S2004，所述认证模块向所述AN发送业务请求响应。
其中，上述业务请求响应中携带所述安全配置。
在一些可行的实施方式中，所述指定安全策略中包含密钥信息、加密算法信息或者完整性保护算法信息；
所述业务请求中还携带用户设备UE的安全能力；
所述根据所述指定安全策略确定安全配置包括：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息和完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
根据所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
在一些可行的实施方式中，所述指定安全策略中包含密钥信息；
所述根据所述指定安全策略确定安全配置包括：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述安全配置添加至所述第二业 务请求响应中。
在一些可行的实施方式中，所述指定安全策略中包含加密算法信息或者完整性保护算法信息；
所述业务请求中还携带用户设备UE的安全能力；
所述根据所述指定安全策略确定安全配置包括：
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息和完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
在一些可行的实施方式中，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
在一些可行的实施方式中，所述认证模块包括：认证节点AU、Front-end以及访问控制代理ACA中的至少一种。
具体实现中，上述管理方法中各个步骤所描述的实现方式可参见上述各个系统中各个应用场景对应的执行方式，在此不再赘述。
参见图22，是本发明实施例提供的网络安全的管理方法的另一流程示意图。本发明实施例提供的管理方法可包括步骤：
S2101，接入网AN接收用户设备UE发送的第一业务请求。
其中，上述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识。
S2102，所述AN向认证模块发送第二业务请求。
其中，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识、所述AN的安全能力以及所述UE的安全能力。
S2103，所述AN接收安全策略控制器下发的网络切片的安全策略。
S2104，所述AN接收所述认证模块发送的第二业务请求响应。
其中，所述第二业务请求响应中携带所述认证模块根据所述指定网络切片的标识、所述AN的安全能力和所述UE的安全能力确定的第一安全配置。
S2105，所述AN根据所述第一安全配置确定第二安全配置，并向所述UE发送第一业务请求响应。
其中，所述第一业务请求响应中携带所述第二安全配置。
在一些可行的实施方式中，所述第一安全配置中包含密钥、加密算法的标识或者完整性保护算法的标识；
所述AN根据所述第一安全配置确定第二安全配置包括：
所述AN存储所述密钥，并从所述第一安全配置中获取加密算法的标识和完整性保护算法的标识，并根据所述加密算法的标识和所述完整性保护算法的标识生成第二安全配置。
具体实现中，上述管理方法中各个步骤所描述的实现方式可参见上述各个系统中各个应用场景对应的执行方式，在此不再赘述。
参见图23，是本发明实施例提供的网络安全的管理方法的另一流程示意图。本发明实施例提供的管理方法可包括步骤：
S2601，接入网AN接收用户设备UE发送的第一业务请求。
其中，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识。
S2602，所述AN向认证模块发送第二业务请求。
其中，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识。
S2603，所述AN接收所述认证模块发送的第二业务请求响应。
S2604，所述AN根据所述UE的安全能力和所述指定网络切片的标识对应的指定安全策略确定第二安全配置，并向所述UE发送第一业务请求响应。
其中，所述第一业务请求响应中携带所述第二安全配置。
在一些可行的实施方式中，所述AN根据所述UE的安全能力和和所述指定网络切片的标识对应的指定安全策略确定第二安全配置包括：
所述AN根据所述指定网络切片的的标识确定所述指定安全策略；
根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法，并根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成第二安全配置。
在一些可行的实施方式中，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
具体实现中，上述管理方法中各个步骤所描述的实现方式可参见上述各个系统中各个应用场景对应的执行方式，在此不再赘述。
参见图24，是本发明实施例提供的网络安全的管理装置的一结构示意图。如图24，本发明实施例提供的管理装置具体可为本发明实施例提供的网络功能选择模块，其可包括：
接收单元221，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带认证协议信息。
选择单元222，用于根据接收单元接收的所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块。
发送单元223，用于向所述选择单元选择的所述目标认证模块发送第二业务请求。
在一些可行的实施方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述选择单元222具体用于：
根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
在一些可行的实施方式中，若支持所述第一认证协议的认证模块多于一个；
所述选择单元222具体用于：
根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE选定的第一认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述选择单元222具体用于：
根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
在一些可行的实施方式中，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述选择单元222具体用于：
根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述选择单元222具体用于：
根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述第一业务请求中还携带所述指定网络切片的标识；
所述选择单元222具体用于：
根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
所述选择单元222具体用于：
根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
在一些可行的实施方式中，若所述待选定认证模块多于一个，所述选择单元222具体用于：
根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模 块中选择负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述选择单元222具体用于：
根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
在一些可行的实施方式中，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
所述第一业务请求中还携带所述指定网络切片的标识；
所述选择单元222具体用于：
根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
在一些可行的实施方式中，所述选择单元222包括第一子单元和第二子单元；
所述第一子单元用于接收所述UE发送的所述第一业务请求，并向所述第二子单元发送认证模块选择请求，所述认证模块选择请求中携带所述认证协议信息；
所述第二子单元用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述第一子单元发送所述目标认证模块的标识；
所述第一子单元还用于向所述目标认证模块的标识对应的所述目标认证模块发送第二业务请求。
在一些可行的实施方式中，所述第二子单元具体用于执行上述任一项选择单元所执行的实现方式。
在一些可行的实施方式中，所述选择单元222包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
在一些可行的实施方式中，所述第一子单元为AURF，所述第二子单元为AUSF。
具体实现中，上述管理方法中各个步骤所描述的实现方式可参见上述各个系统中各个应用场景对应的执行方式，在此不再赘述。
参见图25，是本发明实施例提供的网络安全的管理装置的另一结构示意图。如图25，本发明实施例提供的管理装置具体可为本发明实施例提供的认证模块，其可包括：
接收单元231，用于接收安全策略控制器下发的网络切片的安全策略。
所述接收单元231，还用于接收接入网AN发送的业务请求，所述业务请求中携带用户设备UE的安全能力和所述UE所要附着的指定网络切片的标识。
执行单元232，用于根据所述接收单元231接收的所述指定网络切片的标识从所述安全策略控制器下发的网络切片的安全策略中查找所述指定网络切片的指定安全策略，并根据所述指定安全策略确定安全配置。
发送单元233，用于向所述AN发送业务请求响应，所述业务请求响应中携带所述执行单元232确定的所述安全配置。
在一些可行的实施方式中，所述指定安全策略中包含密钥信息、加密算法信息或者完整性保护算法信息；
所述业务请求中还携带用户设备UE的安全能力；
所述执行单元232具体用于：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息或者完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
根据所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
在一些可行的实施方式中，所述指定安全策略中包含密钥信息；
所述执行单元232具体用于：
确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述安全配置添加至所述第二业务请求响应中。
在一些可行的实施方式中，所述指定安全策略中包含加密算法信息或者完整性保护算法信息；
所述业务请求中还携带用户设备UE的安全能力；
所述执行单元具体用于：
根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息或者完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
根据所述加密算法的标识或者所述完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
在一些可行的实施方式中，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
在一些可行的实施方式中，所述执行单元232包括：认证节点AU、Front-end以及访问控制代理ACA中的至少一种。
具体实现中，上述管理方法中各个步骤所描述的实现方式可参见上述各个系统中各个应用场景对应的执行方式，在此不再赘述。
参见图26，是本发明实施例提供的网络安全的管理装置的另一结构示意图。如图26，本发明实施例提供的管理装置具体可为本发明实施例提供的AN(或者RAN)，其可包括：
接收单元241，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识。
发送单元242，用于根据所述接收单元接收的第一业务请求向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识、所述AN的安全能力以及所述UE的安全能力。
所述接收单元241，还用于接收安全策略控制器下发的网络切片的安全策略。
所述接收单元241，还用于接收所述认证模块发送的第二业务请求响应，所述第二业务请求响应中携带所述认证模块根据所述指定网络切片的标识、所述AN的安全能力和所述UE的安全能力确定的第一安全配置。
处理单元243，用于根据所述接收单元接收的所述第一安全配置确定第二安全配置。
所述发送单元242，还用于向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述处理单元确定的所述第二安全配置。
在一些可行的实施方式中，所述第一安全配置中包含密钥、加密算法的标识或者完整性保护算法的标识；
所述处理单元243具体用于：
存储所述密钥，并从所述第一安全配置中获取加密算法的标识或者完整性保护算法的标识，并根据所述加密算法的标识或者所述完整性保护算法的标识生成第二安全配置。
具体实现中，上述管理方法中各个步骤所描述的实现方式可参见上述各个系统中各个应用场景对应的执行方式，在此不再赘述。
参见图27，是本发明实施例提供的网络安全的管理装置的另一结构示意图。如图27，本发明实施例提供的管理装置具体可为本发明实施例提供的AN(或者RAN)，其可包括：
接收单元271，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识。
发送单元272，用于根据所述接收单元接收的第一业务请求向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识。
所述接收单元271，还用于接收所述认证模块发送的第二业务请求响应。
处理单元273，用于根据所述接收单元接收的所述UE安全能力和所述指定网络切片的标识对应的指定安全策略确定第二安全配置。
所述发送单元272，还用于向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述处理单元确定的所述第二安全配置。
在一些可行的实施方式中，所述处理单元具体用于：
根据所述指定网络切片的的标识确定所述指定安全策略；
根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法，并根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成第二安全配置。
在一些可行的实施方式中，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
具体实现中，上述管理方法中各个步骤所描述的实现方式可参见上述各个系统中各个应用场景对应的执行方式，在此不再赘述。
本发明的说明书、权利要求书以及附图中的术语“第一”、“第二”、“第三”和“第四”等是用于区别不同对象，而不是用于描述特定顺序。此外，术语“包括”和“具有”以及它们任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或者单元的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可选地还包括没有列出的步骤或者单元，或可选地还包括对于这些过程、方法、系统、产品或设备固有的其他步骤或单元。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。
以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (93)

  1. 一种网络安全的管理系统，其特征在于，所述管理系统用于实现包含至少两个网络切片的网络的安全管理，所述系统包括：用户设备UE、接入网AN、网络功能选择模块和至少两个认证模块；
    所述UE用于向所述网络功能选择模块发送第一业务请求，所述第一业务请求中携带认证协议信息；
    所述网络功能选择模块用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述目标认证模块发送第二业务请求；
    所述目标认证模块用于接收所述第二业务请求，并与所述UE进行相互认证；
    所述目标认证模块还用于根据所述UE附着的指定网络切片的指定安全策略确定第一安全配置，并向所述AN发送第二业务请求响应，所述第二业务请求响应中携带所述第一安全配置；
    所述AN用于根据所述第一安全配置或者所述指定安全策略确定第二安全配置，并向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述第二安全配置。
  2. 如权利要求1所述的管理系统，其特征在于，所述认证协议信息包括所述UE选定的第一认证协议的标识；
    所述网络功能选择模块具体用于：
    根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
  3. 如权利要求2所述的管理系统，其特征在于，若支持所述第一认证协议的认证模块多于一个，所述网络功能选择模块具体用于：
    根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  4. 如权利要求1所述的管理系统，其特征在于，所述认证协议信息包括所述UE选定的第一认证协议的标识；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块具体用于：
    根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
  5. 如权利要求4所述的管理系统，其特征在于，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述网络功能选择模块具体用于：
    根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  6. 如权利要求1所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述网络功能选择模块具体用于：
    根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
  7. 如权利要求1所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块具体用于：
    根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
  8. 如权利要求1所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述网络功能选择模块具体用于：
    根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
  9. 如权利要求6-8任一项所述的管理系统，其特征在于，若所述待选定认证模块多于一个，所述网络功能选择模块具体用于：
    根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  10. 如权利要求1所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
    所述网络功能选择模块具体用于：
    根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
    若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
  11. 如权利要求1所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议 的选择优先级；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块具体用于：
    根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
    若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
    若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
  12. 如权利要求1所述的管理系统，其特征在于，所述网络功能选择模块包括第一子模块和第二子模块；
    所述第一子模块用于接收所述UE发送的所述第一业务请求，并向所述第二子模块发送认证模块选择请求，所述认证模块选择请求中携带所述认证协议信息；
    所述第二子模块用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述第一子模块发送所述目标认证模块的标识；
    所述第一子模块还用于向所述目标认证模块的标识对应的所述目标认证模块发送第二业务请求。
  13. 如权利要求12所述的管理系统，其特征在于，所述第二子模块具体用于执行如所述权利要求2-11中任一项所述的网络功能选择模块所执行的实现方式。
  14. 如权利要求2-11任一项所述的管理系统，其特征在于，所述管理系统还包括安全策略控制器；
    所述安全策略控制器用于向所述认证模块或者所述AN下发网络切片的安全策略。
  15. 如权利要求14所述的管理系统，其特征在于，所述安全策略控制器用于向所述认证模块下发网络切片的安全策略；
    所述第二业务请求中还携带所述UE的安全能力和所述AN的安全能力；
    所述目标认证模块还用于：
    确定所述指定网络切片对应的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
    根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
    将所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述第一安全配置，并将所述第一安全配置添加至所述第二业务请求响应中；
    所述AN具体用于：
    将所述第一安全配置中携带的所述目标加密算法的标识或者所述目标完整性保护算法的标识确定为第二安全配置并添加至所述第一业务请求响应中。
  16. 如权利要求14所述的管理系统，其特征在于，所述安全策略控制器用于向所述认证模块和所述AN下发网络切片的安全策略；
    所述第二业务请求中还携带所述UE的安全能力；
    所述目标认证模块还用于：
    确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述第一安全配置添加至所述第二业务请求响应中；
    所述AN具体用于：
    根据所述指定网络切片的的标识确定所述指定安全策略，并根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
    将所述目标加密算法的标识或者所述目标完整性保护算法的标识添加至所述第一安全配置中以得到第二安全配置。
  17. 如权利要求14所述的管理系统，其特征在于，所述安全策略控制器用于向所述认证模块下发网络切片的安全策略；
    所述第二业务请求中还携带所述UE的安全能力；
    所述目标认证模块还用于：
    根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
    将所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述第一安全配置，并将所述第一安全配置添加至所述第二业务请求响应中；
    所述AN具体用于：
    将所述第一安全配置中携带的所述目标加密算法的标识或者所述目标完整性保护算法的标识确定为第二安全配置并添加至所述第一业务请求响应中。
  18. 如权利要求15-17任一项所述的管理系统，其特征在于，所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
    所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
  19. 如权利要求1-18任一项所述的管理系统，其特征在于，所述网络功能选择模块包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
  20. 如权利要求12-18任一项所述的管理系统，其特征在于，所述第一子模块为AURF， 所述第二子模块为AUSF。
  21. 如权利要求1-18任一项所述的管理系统，其特征在于，所述认证模块包括：AU、Front-end以及访问控制代理ACA中的至少一种。
  22. 一种网络安全的管理系统，其特征在于，所述管理系统用于实现包含至少两个网络切片的网络的安全管理中认证模块的选择，所述系统包括：用户设备UE、网络功能选择模块和至少两个认证模块；
    所述UE用于向所述网络功能选择模块发送第一业务请求，所述第一业务请求中携带认证协议信息；
    所述网络功能选择模块用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述目标认证模块发送第二业务请求；
    所述目标认证模块用于接收所述第二业务请求，并与所述UE进行相互认证。
  23. 如权利要求22所述的管理系统，其特征在于，所述认证协议信息包括所述UE选定的第一认证协议的标识；
    所述网络功能选择模块具体用于：
    根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
  24. 如权利要求23所述的管理系统，其特征在于，若支持所述第一认证协议的认证模块多于一个，所述网络功能选择模块具体用于：
    根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  25. 如权利要求22所述的管理系统，其特征在于，所述认证协议信息包括所述UE选定的第一认证协议的标识；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块具体用于：
    根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
  26. 如权利要求25所述的管理系统，其特征在于，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述网络功能选择模块具体用于：
    根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  27. 如权利要求22所述的管理系统，其特征在于，所述认证协议信息包括所述UE支 持的至少两个第二认证协议的标识；
    所述网络功能选择模块具体用于：
    根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
  28. 如权利要求22所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块具体用于：
    根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
  29. 如权利要求22所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述网络功能选择模块具体用于：
    根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
  30. 如权利要求27-29所述的管理系统，其特征在于，若所述待选定认证模块多于一个，所述网络功能选择模块具体用于：
    根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  31. 如权利要求22所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
    所述网络功能选择模块具体用于：
    根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
    若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
  32. 如权利要求22所述的管理系统，其特征在于，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块具体用于：
    根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
    若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
    若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
  33. 如权利要求22所述的管理系统，其特征在于，所述网络功能选择模块包括第一子模块和第二子模块；
    所述第一子模块用于接收所述UE发送的所述第一业务请求，并向所述第二子模块发送认证模块选择请求，所述认证模块选择请求中携带所述认证协议信息；
    所述第二子模块用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述第一子模块发送所述目标认证模块的标识；
    所述第一子模块还用于向所述目标认证模块的标识对应的所述目标认证模块发送第二业务请求。
  34. 如权利要求33所述的管理系统，其特征在于，所述第二子模块具体用于执行如所述权利要求23-32中任一项所述的网络功能选择模块所执行的实现方式。
  35. 如权利要求22-34任一项所述的管理系统，其特征在于，所述网络功能选择模块包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
  36. 如权利要求33或34所述的管理系统，其特征在于，所述第一子模块为AURF，所述第二子模块为AUSF。
  37. 如权利要求22-34任一项所述的管理系统，其特征在于，所述认证模块包括：AU、Front-end以及访问控制代理ACA中的至少一种。
  38. 一种网络安全的管理系统，其特征在于，所述管理系统用于实现包含至少两个网络切片的网络的安全管理中安全配置的管理，所述系统包括：用户设备UE、接入网AN、安全策略控制器和认证模块；
    所述安全策略控制器用于向所述AN或者所述认证模块下发网络切片的安全策略；
    所述UE用于向所述AN发送第一业务请求，所述第一业务请求中携带所述UE所要附着的指定网络切片的标识；
    所述AN用于向所述认证模块发送第二业务请求，所述第二业务请求中携带所述UE 所要附着的指定网络切片的标识；
    所述认证模块用于接收所述第二业务请求并与所述UE进行相互认证；
    所述认证模块还用于根据所述指定网络切片的指定安全策略确定第一安全配置，并向所述AN发送第二业务请求响应，所述第二业务请求响应中携带所述第一安全配置；
    所述AN还用于根据所述第一安全配置或者所述指定安全策略确定第二安全配置，并向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述第二安全配置。
  39. 如权利要求38所述的管理系统，其特征在于，所述安全策略控制器用于向所述认证模块下发网络切片的安全策略；
    所述第二业务请求中还携带所述UE的安全能力和所述AN的安全能力；
    所述认证模块还用于：
    确定所述指定网络切片对应的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
    根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
    将所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述第一安全配置，并将所述第一安全配置添加至所述第二业务请求响应中；
    所述AN具体用于：
    将所述第一安全配置中携带的所述目标加密算法的标识或者所述目标完整性保护算法的标识确定为第二安全配置并添加至所述第一业务请求响应中。
  40. 如权利要求38所述的管理系统，其特征在于，所述安全策略控制器用于向所述认证模块和所述AN下发网络切片的安全策略；
    所述第二业务请求中还携带所述UE的安全能力；
    所述认证模块还用于：
    确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述第一安全配置添加至所述第二业务请求响应中；
    所述AN具体用于：
    根据所述指定网络切片的的标识确定所述指定安全策略，并根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
    将所述目标加密算法的标识或者所述目标完整性保护算法的标识添加至所述第一安全配置中以得到第二安全配置。
  41. 如权利要求38所述的管理系统，其特征在于，所述安全策略控制器用于向所述认证模块下发网络切片的安全策略；
    所述第二业务请求中还携带所述UE的安全能力和所述AN的安全能力；
    所述认证模块还用于：
    根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法；
    将所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述第一安全配置，并将所述第一安全配置添加至所述第二业务请求响应中；
    所述AN具体用于：
    将所述第一安全配置中携带的所述目标加密算法的标识或者所述目标完整性保护算法的标识确定为第二安全配置并添加至所述第一业务请求响应中。
  42. 如权利要求39-41任一项所述的管理系统，其特征在于，所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
    所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
  43. 如权利要求38-42任一项所述的管理系统，其特征在于，所述认证模块包括：AU、Front-end以及访问控制代理ACA中的至少一种。
  44. 一种网络安全的管理方法，其特征在于，包括：
    网络功能选择模块接收用户设备UE发送的第一业务请求，所述第一业务请求中携带认证协议信息；
    所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块；
    所述网络功能选择模块向所述目标认证模块发送第二业务请求。
  45. 如权利要求44所述的管理方法，其特征在于，所述认证协议信息包括所述UE选定的第一认证协议的标识；
    所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
    所述网络功能选择根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
  46. 如权利要求45所述的管理方法，其特征在于，若支持所述第一认证协议的认证模块多于一个，所述方法还包括：
    根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  47. 如权利要求44所述的管理方法，其特征在于，所述认证协议信息包括所述UE选定的第一认证协议的标识；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
    所述网络功能选择模块根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
  48. 如权利要求47所述的管理方法，其特征在于，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述方法还包括：
    根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  49. 如权利要求44所述的管理方法，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
    所述网络功能选择模块根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
  50. 如权利要求44所述的管理方法，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
    所述网络功能选择模块根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
  51. 如权利要求44所述的管理方法，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
    所述网络功能选择模块根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
  52. 如权利要求49-51任一项所述的管理方法，其特征在于，若所述待选定认证模块多于一个，所述方法还包括：
    根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  53. 如权利要求44所述的管理方法，其特征在于，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
    所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
    所述网络功能选择模块根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
    若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认证模块。
  54. 如权利要求44所述的管理方法，其特征在于，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块包括：
    所述网络功能选择模块根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
    若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
    若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
  55. 如权利要求44-54任一项所述的管理方法，其特征在于，所述网络功能选择模块包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
  56. 一种网络安全的管理方法，其特征在于，包括：
    第二网络功能选择模块接收第一网络功能选择模块发送的认证模块选择请求，所述认证模块选择请求中携带用户设备UE发送的认证协议信息；
    所述第二网络功能选择模块根据所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块；
    所述第二网络功能选择模块向所述第一网络功能选择模块发送所述目标认证模块的标识，以通过所述第一网络功能选择模块向所述目标认证模块发送业务请求。
  57. 一种网络安全的管理方法，其特征在于，包括：
    认证模块接收安全策略控制器下发的网络切片的安全策略；
    所述认证模块接收接入网AN发送的业务请求，所述业务请求中携带所述UE所要附着的指定网络切片的标识；
    所述认证模块根据所述指定网络切片的标识从所述安全策略控制器下发的网络切片的安全策略中查找所述指定网络切片的指定安全策略，并根据所述指定安全策略确定安全配置；
    所述认证模块向所述AN发送业务请求响应，所述业务请求响应中携带所述安全配置。
  58. 如权利要求57所述的管理方法，其特征在于，所述指定安全策略中包含密钥信息、加密算法信息或者完整性保护算法信息；
    所述业务请求中还携带用户设备UE的安全能力；
    所述根据所述指定安全策略确定安全配置包括：
    确定所述指定网络切片的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
    根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息和完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
    根据所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
  59. 如权利要求57所述的管理方法，其特征在于，所述指定安全策略中包含密钥信息；
    所述根据所述指定安全策略确定安全配置包括：
    确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述安全配置添加至所述第二业务请求响应中。
  60. 如权利要求57所述的管理方法，其特征在于，所述指定安全策略中包含加密算法信息或者完整性保护算法信息；
    所述业务请求中还携带用户设备UE的安全能力；
    所述根据所述指定安全策略确定安全配置包括：
    根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息和完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
    根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
  61. 如权利要求58-60任一项所述的管理方法，其特征在于，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
    所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
    所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
  62. 如权利要求57-61任一项所述的管理方法，其特征在于，所述认证模块包括：认证节点AU、Front-end以及访问控制代理ACA中的至少一种。
  63. 一种网络安全的管理方法，其特征在于，包括：
    接入网AN接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识；
    所述AN向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识、所述AN的安全能力以及所述UE的安全能力；
    所述AN接收所述认证模块发送的第二业务请求响应，所述第二业务请求响应中携带所述认证模块根据所述指定网络切片的标识、所述AN的安全能力和所述UE的安全能力确定的第一安全配置；
    所述AN根据所述第一安全配置确定第二安全配置，并向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述第二安全配置。
  64. 如权利要求63所述的管理方法，其特征在于，所述第一安全配置中包含密钥、加密算法的标识或者完整性保护算法的标识；
    所述AN根据所述第一安全配置确定第二安全配置包括：
    所述AN存储所述密钥，并从所述第一安全配置中获取加密算法的标识和完整性保护算法的标识，并根据所述加密算法的标识和所述完整性保护算法的标识生成第二安全配置。
  65. 一种网络安全的管理方法，其特征在于，包括：
    接入网AN接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识；
    所述AN向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识；
    所述AN接收所述认证模块发送的第二业务请求响应；
    所述AN根据所述UE的安全能力和所述指定网络切片的标识对应的指定安全策略确定第二安全配置，并向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述第二安全配置。
  66. 如权利要求65所述的管理方法，其特征在于，所述AN根据所述UE的安全能力和和所述指定网络切片的标识对应的指定安全策略确定第二安全配置包括：
    所述AN根据所述指定网络切片的的标识确定所述指定安全策略；
    根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算法或者目标完整性保护算法，并根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成第二安全配置。
  67. 如权利要求66所述的管理方法，其特征在于，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
    所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
    所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
  68. 一种网络安全的管理装置，其特征在于，包括：
    接收单元，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带认证协议信息；
    选择单元，用于根据接收单元接收的所述认证协议信息，从网络中包含的至少两个认证模块中选择目标认证模块；
    发送单元，用于向所述选择单元选择的所述目标认证模块发送第二业务请求。
  69. 如权利要求68所述的管理装置，其特征在于，所述认证协议信息包括所述UE选定的第一认证协议的标识；
    所述选择单元具体用于：
    根据所述第一认证协议的标识从所述至少两个认证模块中选择支持所述第一认证协议的目标认证模块。
  70. 如权利要求69所述的管理装置，其特征在于，若支持所述第一认证协议的认证模块多于一个；
    所述选择单元具体用于：
    根据支持所述第一认证协议的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  71. 如权利要求68所述的管理装置，其特征在于，所述认证协议信息包括所述UE选定的第一认证协议的标识；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述选择单元具体用于：
    根据所述第一认证协议的标识和所述指定网络切片的标识，从所述至少两个认证模块中选择支持所述第一认证协议和所述指定网络切片的目标认证模块。
  72. 如权利要求71所述的管理装置，其特征在于，若支持所述第一认证协议和所述指定网络切片的认证模块多于一个，所述选择单元具体用于：
    根据支持所述第一认证协议和所述指定网络切片的各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  73. 如权利要求68所述的管理装置，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述选择单元具体用于：
    根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议的待选定认证模块作为目标认证模块。
  74. 如权利要求68所述的管理装置，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述选择单元具体用于：
    根据每个所述第二认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第二认证协议并且支持所述指定网络切片的待选定认证模块作为目标认证模块。
  75. 如权利要求68所述的管理装置，其特征在于，所述认证协议信息包括所述UE支持的至少两个第二认证协议的标识；
    所述选择单元具体用于：
    根据网络设定的认证协议的选择优先级确定所述UE支持的各个所述第二认证协议中选择优先级最高的认证协议，并从所述至少两个认证模块中选择支持所述选择优先级最高的认证协议的待选定认证模块作为目标认证模块。
  76. 如权利要求73-75任一项所述的管理装置，其特征在于，若所述待选定认证模块多于一个，所述选择单元具体用于：
    根据多于一个的所述待选定认证模块中各个认证模块的负载状态，从所述各个认证模块中选择负载最少的认证模块作为目标认证模块。
  77. 如权利要求68所述的管理装置，其特征在于，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
    所述选择单元具体用于：
    根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的待选定认证模块；
    若所述待选定认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述待选定认证模块中选择支持选择优先级最高的第四认证协议的认证模块作为目标认 证模块。
  78. 如权利要求68所述的管理装置，其特征在于，所述认证协议信息包括所述UE支持的至少两个第三认证协议的标识，以及所述至少两个第三认证协议中每个第三认证协议的选择优先级；
    所述第一业务请求中还携带所述指定网络切片的标识；
    所述选择单元具体用于：
    根据每个所述第三认证协议的标识，从所述至少两个认证模块中选择支持至少一个所述第三认证协议的第一认证模块；
    若所述第一认证模块多于一个，则根据各个所述第三认证协议的选择优先级，从所有所述第一认证模块中选择支持优先级最高的第四认证协议的第二认证模块；
    若所述第二认证模块多于一个，则根据每个所述第二认证模块的负载状态或者每个所述第二认证模块所服务的网络切片信息，从中选择服务所述指定网络切片并且负载最少的认证模块作为目标认证模块。
  79. 如权利要求68所述的管理装置，其特征在于，所述选择单元包括第一子单元和第二子单元；
    所述第一子单元用于接收所述UE发送的所述第一业务请求，并向所述第二子单元发送认证模块选择请求，所述认证模块选择请求中携带所述认证协议信息；
    所述第二子单元用于根据所述认证协议信息，从所述至少两个认证模块中选择目标认证模块，并向所述第一子单元发送所述目标认证模块的标识；
    所述第一子单元还用于向所述目标认证模块的标识对应的所述目标认证模块发送第二业务请求。
  80. 如权利要求79所述的管理装置，其特征在于，所述第二子单元具体用于执行如所述权利要求69-78中任一项所述的选择单元所执行的实现方式。
  81. 如权利要求68-77任一项所述的管理装置，其特征在于，所述选择单元包括：认证节点AU选择功能AUSF、AU路由功能AURF、切片选择功能SSF以及移动性管理MM中的至少一种。
  82. 如权利要求79或80所述的管理装置，其特征在于，所述第一子单元为AURF，所述第二子单元为AUSF。
  83. 一种网络安全的管理装置，其特征在于，包括：
    接收单元，用于接收安全策略控制器下发的网络切片的安全策略；
    所述接收单元，还用于接收接入网AN发送的业务请求，所述业务请求中携带用户设备UE的安全能力和所述UE所要附着的指定网络切片的标识；
    执行单元，用于根据所述接收单元接收的所述指定网络切片的标识从所述安全策略控制器下发的网络切片的安全策略中查找所述指定网络切片的指定安全策略，并根据所述指定安全策略确定安全配置；
    发送单元，用于向所述AN发送业务请求响应，所述业务请求响应中携带所述执行单元确定的所述安全配置。
  84. 如权利要求83所述的管理装置，其特征在于，所述指定安全策略中包含密钥信息、加密算法信息或者完整性保护算法信息；
    所述业务请求中还携带用户设备UE的安全能力；
    所述执行单元具体用于：
    确定所述指定网络切片的所述指定安全策略规定的密钥长度，并生成所述密钥长度对应的密钥；
    根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息或者完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
    根据所述密钥、所述目标加密算法的标识或者所述目标完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
  85. 如权利要求83所述的管理装置，其特征在于，所述指定安全策略中包含密钥信息；
    所述执行单元具体用于：
    确定所述指定网络切片的所述指定安全策略规定的密钥长度，生成所述密钥长度对应的密钥，并根据所述密钥和所述指定网络切片的标识生成所述安全配置添加至所述第二业务请求响应中。
  86. 如权利要求83所述的管理装置，其特征在于，所述指定安全策略中包含加密算法信息或者完整性保护算法信息；
    所述业务请求中还携带用户设备UE的安全能力；
    所述执行单元具体用于：
    根据所述UE的安全能力、所述AN的安全能力和所述指定安全策略中包含的加密算法信息或者完整性保护算法信息选择目标加密算法或者目标完整性保护算法；
    根据所述加密算法的标识或者所述完整性保护算法的标识生成所述安全配置，并将所述安全配置添加至所述第二业务请求响应中。
  87. 如权利要求84-86任一项所述的管理装置，其特征在于，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
    所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
    所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先 级最高的完整性保护算法。
  88. 如权利要求83-87任一项所述的管理装置，其特征在于，所述执行单元包括：认证节点AU、Front-end以及访问控制代理ACA中的至少一种。
  89. 一种网络安全的管理装置，其特征在于，包括：
    接收单元，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识；
    发送单元，用于根据所述接收单元接收的第一业务请求向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识、所述AN的安全能力以及所述UE的安全能力；
    所述接收单元，还用于接收所述认证模块发送的第二业务请求响应，所述第二业务请求响应中携带所述认证模块根据所述指定网络切片的标识、所述AN的安全能力和所述UE的安全能力确定的第一安全配置；
    处理单元，用于根据所述接收单元接收的所述第一安全配置确定第二安全配置；
    所述发送单元，还用于向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述处理单元确定的所述第二安全配置。
  90. 如权利要求89所述的管理装置，其特征在于，所述第一安全配置中包含密钥、加密算法的标识或者完整性保护算法的标识；
    所述处理单元具体用于：
    存储所述密钥，并从所述第一安全配置中获取加密算法的标识或者完整性保护算法的标识，并根据所述加密算法的标识或者所述完整性保护算法的标识生成第二安全配置。
  91. 一种网络安全的管理装置，其特征在于，包括：
    接收单元，用于接收用户设备UE发送的第一业务请求，所述第一业务请求中携带所述UE的安全能力和所述UE所要附着的指定网络切片的标识；
    发送单元，用于根据所述接收单元接收的第一业务请求向认证模块发送第二业务请求，所述第二业务请求中携带所述UE所要附着的指定网络切片的标识；
    所述接收单元，还用于接收所述认证模块发送的第二业务请求响应；
    处理单元，用于根据所述接收单元接收的所述UE的安全能力和所述指定网络切片的标识对应的指定安全策略确定第二安全配置；
    所述发送单元，还用于向所述UE发送第一业务请求响应，所述第一业务请求响应中携带所述处理单元确定的所述第二安全配置。
  92. 如权利要求91所述的管理装置，其特征在于，所述处理单元具体用于：
    根据所述指定网络切片的的标识确定所述指定安全策略；
    根据所述AN的安全能力、所述UE的安全能力和所述指定安全策略选择目标加密算 法或者目标完整性保护算法，并根据所述目标加密算法的标识或者所述目标完整性保护算法的标识生成第二安全配置。
  93. 如权利要求92所述的管理装置，其特征在于，所述指定安全策略中包含的加密算法信息为加密算法的选择优先级顺序，所述完整性保护算法信息为所述完整性保护算法的选择优先级顺序；
    所述目标加密算法为所述UE和所述AN均支持的加密算法中选择优先级最高的加密算法；
    所述目标完整性保护算法为所述UE和所述AN均支持的完整性保护算法中选择优先级最高的完整性保护算法。
PCT/CN2017/077949 2016-07-05 2017-03-23 一种网络安全的管理系统、方法及装置 WO2018006626A1 (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2019500287A JP6737948B2 (ja) 2016-07-05 2017-03-23 サイバーセキュリティ管理システム、方法、および装置
EP17823439.9A EP3468137B1 (en) 2016-07-05 2017-03-23 Network security management system, method and device
BR112019000169A BR112019000169A2 (pt) 2016-07-05 2017-03-23 sistema, método, e aparelho de gestão de segurança cibernética
KR1020197001740A KR102169767B1 (ko) 2016-07-05 2017-03-23 사이버 보안 관리 시스템, 방법 및 장치
US16/240,710 US10897712B2 (en) 2016-07-05 2019-01-05 Cyber security management system, method, and apparatus

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201610525502.5A CN107579948B (zh) 2016-07-05 2016-07-05 一种网络安全的管理系统、方法及装置
CN201610525502.5 2016-07-05

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/240,710 Continuation US10897712B2 (en) 2016-07-05 2019-01-05 Cyber security management system, method, and apparatus

Publications (1)

Publication Number Publication Date
WO2018006626A1 true WO2018006626A1 (zh) 2018-01-11

Family

ID=60901770

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2017/077949 WO2018006626A1 (zh) 2016-07-05 2017-03-23 一种网络安全的管理系统、方法及装置

Country Status (7)

Country Link
US (1) US10897712B2 (zh)
EP (1) EP3468137B1 (zh)
JP (1) JP6737948B2 (zh)
KR (1) KR102169767B1 (zh)
CN (1) CN107579948B (zh)
BR (1) BR112019000169A2 (zh)
WO (1) WO2018006626A1 (zh)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107623668A (zh) 2016-07-16 2018-01-23 华为技术有限公司 一种网络认证方法、相关设备及系统
CN107666666B (zh) * 2016-07-27 2022-11-08 中兴通讯股份有限公司 密钥的衍生方法及装置
US10433174B2 (en) * 2017-03-17 2019-10-01 Qualcomm Incorporated Network access privacy
CN109391648B (zh) * 2017-08-04 2020-12-22 华为技术有限公司 一种应用与网络切片的关联方法、装置和通信系统
WO2019140629A1 (zh) * 2018-01-19 2019-07-25 Oppo广东移动通信有限公司 一种接入控制的方法、设备及计算机存储介质
CN110167025B (zh) * 2018-02-13 2021-01-29 华为技术有限公司 一种通信方法及通信装置
CN110351721A (zh) * 2018-04-08 2019-10-18 中兴通讯股份有限公司 接入网络切片的方法及装置、存储介质、电子装置
US10455637B1 (en) 2018-06-08 2019-10-22 Verizon Patent And Licensing Inc. Next generation to VoLTE fallback for voice calls
CN111654862B (zh) * 2019-03-04 2021-12-03 华为技术有限公司 终端设备的注册方法及装置
CN111835802B (zh) * 2019-04-18 2021-08-27 大唐移动通信设备有限公司 一种通信方法及装置
US11336682B2 (en) * 2019-07-09 2022-05-17 Nice Ltd. System and method for generating and implementing a real-time multi-factor authentication policy across multiple channels
US11337119B2 (en) 2019-08-07 2022-05-17 Verizon Patent And Licensing Inc. Next generation to long term evolution (LTE) fallback for voice calls
EP3826340A1 (en) * 2019-11-21 2021-05-26 Thales Dis France Sa Method for authenticating a user on a network slice
CN114079915A (zh) * 2020-08-06 2022-02-22 华为技术有限公司 确定用户面安全算法的方法、系统及装置
CN112616124B (zh) * 2020-12-03 2023-11-24 广东电力通信科技有限公司 一种基于5g网络切片的电力物联网安全管理方法及系统
US11968242B2 (en) * 2021-07-01 2024-04-23 Cisco Technology, Inc. Differentiated service in a federation-based access network

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101515927A (zh) * 2008-02-26 2009-08-26 杭州华三通信技术有限公司 支持隔离模式的网络接入控制方法、系统及设备
CN102597981A (zh) * 2009-09-30 2012-07-18 亚马逊技术股份有限公司 模块化装置认证框架
US20130125226A1 (en) * 2011-04-28 2013-05-16 Interdigital Patent Holdings, Inc. Sso framework for multiple sso technologies
CN105025478A (zh) * 2014-04-30 2015-11-04 中兴通讯股份有限公司 D2D通信安全配置方法、ProSe密钥管理功能实体、终端及系统

Family Cites Families (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7450595B1 (en) * 2001-05-01 2008-11-11 At&T Corp. Method and system for managing multiple networks over a set of ports
JP2004328029A (ja) 2003-04-21 2004-11-18 Nec Corp ネットワークアクセスシステム
FR2865051B1 (fr) * 2004-01-14 2006-03-03 Stg Interactive Procede et systeme pour l'exploitation d'un reseau informatique destine a la publication de contenu
US7356694B2 (en) * 2004-03-10 2008-04-08 American Express Travel Related Services Company, Inc. Security session authentication system and method
CN100525184C (zh) * 2004-05-27 2009-08-05 华为技术有限公司 网络安全防护系统及方法
US7890992B2 (en) * 2004-08-19 2011-02-15 Cisco Technology, Inc. Method and apparatus for selection of authentication servers based on the authentication mechanisms in supplicant attempts to access network resources
JP2006065690A (ja) * 2004-08-27 2006-03-09 Ntt Docomo Inc デバイス認証装置、サービス制御装置、サービス要求装置、デバイス認証方法、サービス制御方法及びサービス要求方法
US8213934B2 (en) 2006-04-14 2012-07-03 Qualcomm Incorporated Automatic selection of a home agent
US20080076425A1 (en) * 2006-09-22 2008-03-27 Amit Khetawat Method and apparatus for resource management
WO2009050924A1 (ja) * 2007-10-19 2009-04-23 Nippon Telegraph And Telephone Corporation 利用者認証システム及びその方法
TW200922256A (en) * 2007-11-06 2009-05-16 Nat Univ Tsing Hua Method for reconfiguring security mechanism of a wireless network and the mobile node and network node thereof
US8966584B2 (en) * 2007-12-18 2015-02-24 Verizon Patent And Licensing Inc. Dynamic authentication gateway
US8812374B1 (en) * 2008-06-30 2014-08-19 Amazon Technologies, Inc. Client-to service compatibility framework
CN104936307B (zh) * 2008-09-15 2019-01-18 三星电子株式会社 用于连接分组数据网络的方法及装置
US8488596B2 (en) 2008-11-03 2013-07-16 At&T Intellectual Property I, L.P. Method and apparatus for sharing a single data channel for multiple signaling flows destined to multiple core networks
JP5319575B2 (ja) * 2010-02-23 2013-10-16 日本電信電話株式会社 通信方法および通信システム
US8819794B2 (en) * 2012-01-19 2014-08-26 Microsoft Corporation Integrating server applications with multiple authentication providers
JP5466723B2 (ja) * 2012-03-07 2014-04-09 株式会社Ｎｔｔドコモ ホスト提供システム及び通信制御方法
TW201410052A (zh) 2012-05-09 2014-03-01 Interdigital Patent Holdings 彈性網路共享
JP2014082638A (ja) * 2012-10-16 2014-05-08 Ukd:Kk 仮想ネットワーク構築システム、仮想ネットワーク構築方法、小型端末並びに認証サーバ
US8763057B2 (en) * 2012-11-06 2014-06-24 Verizon Patent And Licensing Inc. Method and system for enhancing delivery of third party content
CN103124443B (zh) 2012-12-28 2015-09-23 上海顶竹通讯技术有限公司 多个核心网与无线网络控制器之间的互联装置及方法
JP2014155095A (ja) * 2013-02-12 2014-08-25 Oki Electric Ind Co Ltd 通信制御装置、プログラム及び通信制御方法
JP6198476B2 (ja) 2013-06-20 2017-09-20 株式会社日清製粉グループ本社 麺類の製造方法
US9521539B2 (en) 2014-06-05 2016-12-13 Cisco Technology, Inc. System and method for small cell gateway core network selection in a multi-operator core network environment
US9825928B2 (en) * 2014-10-22 2017-11-21 Radware, Ltd. Techniques for optimizing authentication challenges for detection of malicious attacks
US9900446B2 (en) * 2015-02-15 2018-02-20 Lenovo (Beijing) Co., Ltd. Information processing method using virtual subscriber identification card information, electronic apparatus and server
CN104639559B (zh) * 2015-02-27 2018-04-03 飞天诚信科技股份有限公司 一种支持多种认证协议的认证方法、认证服务器及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101515927A (zh) * 2008-02-26 2009-08-26 杭州华三通信技术有限公司 支持隔离模式的网络接入控制方法、系统及设备
CN102597981A (zh) * 2009-09-30 2012-07-18 亚马逊技术股份有限公司 模块化装置认证框架
US20130125226A1 (en) * 2011-04-28 2013-05-16 Interdigital Patent Holdings, Inc. Sso framework for multiple sso technologies
CN105025478A (zh) * 2014-04-30 2015-11-04 中兴通讯股份有限公司 D2D通信安全配置方法、ProSe密钥管理功能实体、终端及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3468137A4 *

Also Published As

Publication number Publication date
EP3468137A4 (en) 2019-06-19
CN107579948A (zh) 2018-01-12
EP3468137A1 (en) 2019-04-10
US20190159029A1 (en) 2019-05-23
JP2019522428A (ja) 2019-08-08
EP3468137B1 (en) 2023-05-10
KR20190018720A (ko) 2019-02-25
KR102169767B1 (ko) 2020-10-26
BR112019000169A2 (pt) 2019-04-30
CN107579948B (zh) 2022-05-10
JP6737948B2 (ja) 2020-08-12
US10897712B2 (en) 2021-01-19

Similar Documents

Publication Publication Date Title
WO2018006626A1 (zh) 一种网络安全的管理系统、方法及装置
US8619986B2 (en) Systems and methods for secure communication using a communication encryption bios based upon a message specific identifier
KR102408155B1 (ko) 비밀 식별자를 사용하는 사용자 장비에 관련된 동작
WO2020029729A1 (zh) 一种通信方法和装置
CN107094127B (zh) 安全信息的处理方法及装置、获取方法及装置
US8213905B2 (en) Method and device for realizing push service of GAA
US8914867B2 (en) Method and apparatus for redirecting data traffic
WO2019206286A1 (zh) 一种网络切片接入的方法、装置和系统
CN113784343B (zh) 保护通信的方法和装置
WO2016165505A1 (zh) 连接控制方法及装置
US20230024999A1 (en) Communication system, method, and apparatus
JP2007529763A (ja) ネットワークアプリケーションエンティティのためにユーザーの身元確認を得る方法
CN113556227A (zh) 网络连接管理方法、装置、计算机可读介质及电子设备
JP2021528872A (ja) 端末情報の配信方法及び関連製品
WO2013127190A1 (zh) 一种nas算法的传输方法及装置
WO2021203891A1 (zh) 控制网络切片认证的方法、装置、设备及存储介质
CN112738800A (zh) 一种网络切片的数据安全传输实现方法
US10268532B2 (en) Application message processing system, method, and application device
WO2018076298A1 (zh) 一种安全能力协商方法及相关设备
WO2016090927A1 (zh) 实现共享waln管理的方法、系统及wlan共享注册服务器
CN111163466B (zh) 5g用户终端接入区块链的方法、用户终端设备及介质
US9401837B2 (en) Network management method and network management system
US20230412499A1 (en) Systems and methods on id swapping during data forwarding
WO2022032525A1 (zh) 一种组密钥分发方法及装置
WO2023082161A1 (en) Secure information pushing by service applications in communication networks

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17823439

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019500287

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112019000169

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 20197001740

Country of ref document: KR

Kind code of ref document: A

Ref document number: 2017823439

Country of ref document: EP

Effective date: 20190103

ENP Entry into the national phase

Ref document number: 112019000169

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20190104