WO2019075608A1 - 一种加密数据流的识别方法、设备、存储介质及系统 - Google Patents

一种加密数据流的识别方法、设备、存储介质及系统 Download PDF

Info

Publication number
WO2019075608A1
WO2019075608A1 PCT/CN2017/106349 CN2017106349W WO2019075608A1 WO 2019075608 A1 WO2019075608 A1 WO 2019075608A1 CN 2017106349 W CN2017106349 W CN 2017106349W WO 2019075608 A1 WO2019075608 A1 WO 2019075608A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
core network
network device
data
parameter
Prior art date
Application number
PCT/CN2017/106349
Other languages
English (en)
French (fr)
Inventor
唐海
Original Assignee
Oppo广东移动通信有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Oppo广东移动通信有限公司 filed Critical Oppo广东移动通信有限公司
Priority to CN201780091924.9A priority Critical patent/CN110741613B/zh
Priority to PCT/CN2017/106349 priority patent/WO2019075608A1/zh
Priority to PCT/CN2018/081774 priority patent/WO2019076000A1/zh
Priority to PCT/CN2018/085510 priority patent/WO2019076025A1/zh
Priority to EP18869093.7A priority patent/EP3668043A4/en
Priority to CN201880038900.1A priority patent/CN110771116B/zh
Publication of WO2019075608A1 publication Critical patent/WO2019075608A1/zh
Priority to US16/849,865 priority patent/US11418951B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/12—Setup of transport tunnels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H04W76/25—Maintenance of established connections
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/30—Connection release
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/02—Data link layer protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/08—Upper layer protocols
    • H04W80/10—Upper layer protocols adapted for application session management, e.g. SIP [Session Initiation Protocol]

Definitions

  • Embodiments of the present invention relate to the field of network security technologies, and in particular, to a method, device, and readable storage medium and system for identifying an encrypted data stream.
  • HTTP Hypertext Transfer Protocol
  • TLS Secure Transport Layer Protocol
  • an embodiment of the present invention is to provide a method, a device, a readable storage medium, and a system for identifying an encrypted data stream.
  • the encrypted data stream can be identified without relying on the plaintext identifier, thereby improving the security of the identification. Sex.
  • an embodiment of the present invention provides a method for identifying an encrypted data stream, where the method is applied to a core network device, where the method includes:
  • an embodiment of the present invention provides a method for identifying an encrypted data stream, where the method is applied to a user equipment UE, and the method includes:
  • an embodiment of the present invention provides a core network device, including: a first receiving part, an authentication part, and an establishing part;
  • the first receiving part is configured to receive a data packet that is sent by the user equipment UE and that carries the authentication data, where the authentication data includes a first authentication parameter, a first authentication result, and an application identifier;
  • the authentication part is configured to obtain a second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter; wherein the second authentication parameter is a pre-stored Determining an authentication parameter corresponding to the application identifier;
  • the establishing part is configured to establish, when the second authentication result is consistent with the first authentication result, establish an association between the network protocol IP quintu of the data packet and the application identifier The relationship is used to identify the encrypted data stream corresponding to the application identifier sent by the UE.
  • the embodiment of the present invention provides a user equipment UE, where the UE includes: a second sending part, configured to send a data packet carrying authentication data; wherein the The weight data is used for authentication by the core network device, and the authentication data includes: a first authentication parameter, a first authentication result, and an application identifier.
  • an embodiment of the present invention provides a core network device, where: a first network interface, a first memory, and a first processor;
  • the first network interface is configured to receive and send signals during the process of transmitting and receiving information with other external network elements;
  • the first memory is configured to store a computer program capable of running on the first processor
  • the first processor is configured to perform the steps of the method in the first aspect when the computer program is run.
  • the embodiment of the present invention provides a user equipment UE, where the UE includes: a second network interface, a second memory, and a second processor;
  • the second network interface is configured to receive and send signals during the process of transmitting and receiving information with other external network elements
  • the second memory is configured to store a computer program capable of running on the second processor
  • the second processor is configured to perform the steps of the method of the second aspect when the computer program is run.
  • an embodiment of the present invention provides a computer readable medium storing a management program of an access link, where the management program of the access link is implemented by at least one processor The steps of the method of the first aspect or the second aspect.
  • an embodiment of the present invention provides an encryption traffic identification system, including a core network device and a user equipment, where
  • the user equipment is configured to send a data packet carrying the authentication data, where the authentication data is used for authentication by the core network device, and the authentication data includes: a first authentication parameter, An authentication result and an application identifier;
  • the core network device is configured to receive the authentication data sent by the user equipment UE data pack;
  • the embodiment of the invention provides a method, a device, a readable storage medium and a system for identifying an encrypted data stream; the core network device performs authentication with the UE during the TLS handshake process between the UE and the OTT server or after the handshake is completed, thereby establishing The association between the encrypted data streams is implemented to detect and collect the encrypted data streams without relying on the plaintext identifiers, and the complicated IP address configuration and maintenance are not required, which improves security and reduces configuration and maintenance requirements. Computing resources.
  • FIG. 1 is a schematic flowchart of a method for identifying an encrypted data stream according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of another method for identifying an encrypted data stream according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of a network architecture according to an embodiment of the present disclosure.
  • FIG. 4 is a schematic flowchart diagram of a specific example of a method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • FIG. 5 is a schematic flowchart diagram of another specific method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • FIG. 6 is a schematic flowchart diagram of another specific method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • FIG. 7A is a schematic structural diagram of a core network device according to an embodiment of the present invention.
  • FIG. 7B is a schematic structural diagram of another core network device according to an embodiment of the present disclosure.
  • FIG. 8 is a schematic structural diagram of a specific hardware of a core network device according to an embodiment of the present disclosure.
  • FIG. 9 is a schematic structural diagram of a user equipment according to an embodiment of the present disclosure.
  • FIG. 10 is a schematic structural diagram of another user equipment according to an embodiment of the present disclosure.
  • FIG. 11 is a schematic structural diagram of a specific hardware of a user equipment according to an embodiment of the present disclosure.
  • FIG. 12 is a schematic diagram of a composition of an encrypted traffic identification system according to an embodiment of the present invention.
  • SA2 Service and System Aspects Working Group
  • 3GPP 3rd Generation Partnership Project
  • FIG. 1 a method for identifying an encrypted data stream according to an embodiment of the present invention is shown.
  • the method may be applied to a core network device.
  • the control plane are two parts; therefore, the core network device in this embodiment may be a single entity device including a user plane and a control plane, or a core formed by two entities: a user plane and a control plane.
  • the logical network element device in the network is not limited in this embodiment.
  • the method shown in FIG. 1 may include:
  • S101 Receive a data packet that is sent by the user equipment UE and that carries the authentication data, where the authentication data includes a first authentication parameter, a first authentication result, and an application identifier.
  • S102 Obtain a second authentication result according to the set authentication algorithm, based on the first authentication parameter and the second authentication parameter.
  • the second authentication parameter is a pre-stored authentication parameter corresponding to the application identifier. It can be understood that the second authentication parameter can be generated by the OTT server and pre-configured in the core network device.
  • the weight parameter may also be generated by the OTT server and pre-configured in the UE; and the set authentication algorithm may be statically pre-configured in the UE and the core network device.
  • the association relationship is used to identify an encrypted data stream corresponding to the application identifier sent by the UE.
  • the core network device can identify the encrypted data stream of the application represented by the application identifier by using the foregoing association relationship, thereby further implementing detection and statistics on the encrypted data stream without relying on the plaintext identifier. Eliminates the need for complex IP address configuration and maintenance, increases security and reduces the computing resources required for configuration and maintenance.
  • a data packet carrying authentication data including:
  • the user plane of the core network device receives the first TLS handshake request sent by the UE, where the authentication data is carried in the plaintext field in the first TLS handshake request.
  • the UE may newly add a plaintext field in the first TLS handshake request, and add the authentication data to the newly added plaintext field.
  • the method after receiving the data packet that is sent by the user equipment UE and carrying the authentication data, the method further includes:
  • the user plane of the core network device After detecting the authentication data from the plaintext field in the first TLS handshake request, the user plane of the core network device transmits the authentication data to the control plane of the core network device.
  • the control plane of the core network device can execute S102 in the solution shown in FIG. 1 according to the authentication data, and the second authentication result is The first authentication result is compared and sent to the core network device user plane to send a comparison result, so that the core network device user plane determines whether to perform S103 according to the comparison result, and understandably, when the second authentication result is related to the When the first authentication result is inconsistent, the comparison result is ignored.
  • the technical solution shown in FIG. 1 may be implemented after the TLS handshake is completed between the UE and the OTT server, and therefore, the receiving user equipment UE sends
  • the data packet carrying the authentication data including:
  • the user plane of the core network device receives an authentication request sent by the UE by using the base station, where the authentication data is carried in a GTP-U extension field in the authentication request.
  • the authentication request is initiated by the UE after the application layer TLS handshake is completed.
  • the UE may send the authentication data to the base station side in the extended PDCP field, and the base station side may convert the authentication data in the PDCP extension field into a GTP-U extension field, and continue to send to the core network device user plane.
  • the method after receiving the data packet that is sent by the user equipment UE and carrying the authentication data, the method further includes:
  • the user plane of the core network device After detecting the authentication data from the GTP-U extension field in the authentication request, the user plane of the core network device transmits the authentication data to the control plane of the core network device.
  • the control plane of the core network device can execute S102 in the solution shown in FIG. 1 according to the authentication data, and the foregoing And comparing the result of the second authentication with the first authentication result, and sending a comparison result to the user plane of the core network device, so that the user plane of the core network device determines whether to perform S103 according to the comparison result, and understandably, when the When the two authentication results are inconsistent with the first authentication result, the comparison result is ignored.
  • the first authentication parameter includes a random number RAND
  • the second authentication parameter includes a public key Ka
  • the first authentication parameter includes a public key Ka
  • the second authentication parameter includes a random number RAND.
  • the obtaining, by the first authentication parameter and the second authentication parameter, the second authentication result according to the set authentication algorithm includes:
  • the control plane of the core network device obtains the second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter.
  • the control plane of the core network device transmits the comparison result to the core network user plane
  • the user plane of the core network device establishes an association relationship between the network protocol IP quintu of the data packet and the application identifier.
  • the technical solution shown in FIG. 1 may be implemented after the TLS handshake is completed between the UE and the OTT server, but different from the second implementation manner.
  • the authentication request is sent by the UE directly to the control plane of the core network device. Therefore, the data packet that is sent by the user equipment UE and carries the authentication data includes:
  • the control plane of the core network device receives the non-access stratum session management NAS-SM message sent by the UE;
  • the extension field of the NAS-SM message includes: a first authentication parameter, a first authentication result, an application identifier, and an IP triplet of the NAS-SM message; wherein the first authentication parameter
  • the method includes: a random number RAND and a public key Ka; the IP triplet of the NAS-SM message includes an IP address, a port number, and a protocol type of the OTT server.
  • the obtaining, according to the first authentication parameter and the second authentication parameter, the second authentication result according to the set authentication algorithm including:
  • the control plane of the core network device obtains the second authentication result according to the set authentication algorithm according to the RAND in the first authentication parameter and the public key in the second authentication parameter.
  • the control plane of the core network device When the second authentication result is consistent with the first authentication result, the control plane of the core network device generates according to the IP triplet of the OTT server and the IP address and port number of the UE. Transmitting the generated IP quintuple and the application identifier to a user plane of the core network device;
  • the user plane of the core network device establishes an association relationship between the generated IP quintuple and the application identifier.
  • the method further includes:
  • the control plane of the core network device sends a comparison result of the second authentication result and the first authentication result to the UE by using a user plane of the core network device.
  • the UE can know whether the core network device completes the establishment of the association relationship, thereby determining whether to continue the authentication with the core network device.
  • the embodiment provides a method for identifying an encrypted data stream applied to a core network device, which can perform authentication on the encrypted data stream during the TLS handshake process between the UE and the OTT server or after the handshake is completed.
  • the identified associations enable the detection and statistics of encrypted data streams without relying on plaintext identification, and eliminate the need for complex IP address configuration and maintenance, improving security and reducing the computational resources required for configuration and maintenance.
  • FIG. 2 a method for identifying an encrypted data stream according to an embodiment of the present invention is shown.
  • the method may be applied to a UE.
  • the method shown in FIG. 2 may include:
  • S201 Send a data packet carrying the authentication data, where the authentication data is used by the core network device for authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and Application ID.
  • the core network device can perform authentication according to the technical solution of the foregoing embodiment, thereby establishing an association relationship for identifying the encrypted data stream, so as to implement
  • the detection and statistics of encrypted data flows do not need to rely on plaintext identification, and do not require complex IP address configuration and maintenance, which improves security and reduces the computing resources required for configuration and maintenance.
  • the technical solution shown in FIG. 2 may be implemented in a process of establishing a TLS handshake between the UE and the OTT server, and therefore, the sending bearer has authentication data.
  • Packets including:
  • the authentication data is carried in the plaintext field in the first TLS handshake request
  • the technical solution shown in FIG. 2 may be implemented after the TLS handshake is completed between the UE and the OTT server, and therefore, the sending bearer is authenticated.
  • Data packets including:
  • the authentication request that carries the authentication data in the extended PDCP field is sent to the base station, and after the base station converts the authentication data in the PDCP extension field into a GTP-U extension field, the The authentication request continues to be sent to the user plane of the core network device.
  • the technical solution shown in FIG. 2 may be implemented after the TLS handshake is completed between the UE and the OTT server, but different from the second implementation manner.
  • the authentication request is sent by the UE directly to the control plane of the core network device. Therefore, the sending of the data packet carrying the authentication data includes:
  • a NAS-SM message where the extension field of the NAS-SM message includes: a first authentication parameter, a first authentication result, an application identifier, and an IP triplet of the NAS-SM message;
  • the first authentication parameter includes: a random number RAND and a public key Ka;
  • the IP triplet of the NAS-SM message includes an IP address, a port number, and a protocol type of the OTT server.
  • the method further includes: receiving an authentication result of the control plane reply of the core network device. It can be understood that after receiving the comparison result, the UE can know whether the core network device completes the establishment of the association relationship, thereby determining whether to continue the authentication with the core network device.
  • the specific example introduces a parameter set for the application, and may include, for example, a public key Ka, a random number RAND, a token Token, and an application identifier Application ID.
  • Ka and RAND are generated by the OTT server, and the authentication algorithm is statically configured on the core network device and the UE through the OTT server.
  • the specific example of the embodiment may be applied to the atypical network architecture shown in FIG. 3, in which the UE accesses the core network through the base station, or may directly connect to the core network device, and the core
  • the network device includes two parts: a user plane and a control plane.
  • the UE connects to the data network (DN, Data Network) through the core network device to implement information interaction with the OTT server.
  • DN Data Network
  • FIG. 4 a specific example process of a method for identifying an encrypted data stream according to an embodiment of the present invention is shown, and the process may include:
  • the OTT server pre-configures the authentication algorithm in the UE and the core network device.
  • the OTT server dynamically generates or updates Ka and RAND, and sends the message to the UE and the core network device.
  • the UE and the core network device can perform the calculation according to the authentication algorithm configured in the S40A to obtain the respective authentication result Tokens.
  • S401 The UE adds a plaintext field in the first TLS handshake request, and adds its own RAND and Token, and the application identifier as authentication data to the newly added plaintext field.
  • the UE sends the first TLS handshake request to the user plane of the core network device.
  • the user plane transparently transmits the authentication data to the control plane of the core network device when detecting the first TLS handshake request including the authentication data sent by the UE.
  • the control plane performs calculation according to the configured authentication algorithm according to the Ka of the UE and the RAND of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison result is a reference The power failed.
  • S405 The control plane sends the comparison result to the user plane
  • association relationship enables the core network device to identify the encrypted data stream of the application that is subsequently applied by the application identifier, and collect statistics on the traffic of the encrypted data stream according to the recognition result.
  • control plane sends the comparison result to the UE through the user plane; so that after receiving the comparison result, the UE can learn whether the core network device completes the association.
  • the establishment of the relationship determines whether the authentication with the core network device needs to be continued.
  • the process can include:
  • the OTT server will send an application identifier, RAND and Ka, to the UE;
  • the carrier network is not visible to this.
  • the UE calculates the Token according to the preset authentication algorithm according to the RAND and the Ka, and uses its own RAND, Token, and application identifier as the authentication request of the authentication data to be carried in the extended PDCP field.
  • S502 The UE sends an authentication request to the base station.
  • the user plane After detecting the authentication request, the user plane transparently transmits the authentication data to the control plane of the core network device.
  • the control plane performs calculation according to the configured authentication algorithm according to the Ka of the UE and the RAND of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison result is a reference The power failed.
  • association relationship enables the core network device to identify the encrypted data stream of the application that is subsequently applied by the application identifier, and collect statistics on the traffic of the encrypted data stream according to the recognition result.
  • control plane sends the comparison result to the UE through the user plane; so that after receiving the comparison result, the UE can learn whether the core network device completes the association.
  • the establishment of the relationship determines whether the authentication with the core network device needs to be continued.
  • the process may include:
  • the OTT server will send an application identifier, RAND and Ka, to the UE;
  • the carrier network is not visible to this.
  • the UE calculates a Token according to a preset authentication algorithm according to RAND and Ka, and carries its own RAND, Ka, Token, application identifier, and IP triplet of the OTT server as authentication data to be carried in the extension of the NAS-SM message. In the field.
  • the IP triplet of the OTT server can include the IP address, port number and protocol type of the OTT server.
  • S602 The UE sends a NAS-SM message to a control plane of the core network device, so as to request a session modification from the control plane.
  • the control plane performs calculation according to the configured authentication algorithm according to its own Ka and the RAND of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison result Failure for authentication;
  • the control plane If the authentication succeeds, the control plane generates the IP quintuple according to the IP triplet of the OTT server and the IP address and port number of the UE.
  • the control plane transmits the generated IP quintuple and the application identifier to a user plane of the core network device.
  • the user plane establishes an association relationship between the generated IP quintuple and the application identifier.
  • the control plane returns the comparison result to the UE by using the NAS message.
  • a composition of a core network device 70 is shown, which may include: a first receiving part 701, an authentication department. Section 702 and establishing part 703; wherein
  • the first receiving part 701 is configured to receive a data packet that is sent by the user equipment UE and that carries the authentication data, where the authentication data includes a first authentication parameter, a first authentication result, and an application identifier.
  • the authentication part 702 is configured to obtain a second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter, where the second authentication parameter is pre-stored
  • the application identifier corresponds to an authentication parameter
  • the establishing part 703 is configured to establish, between the network protocol IP quintuple of the data packet and the application identifier, when the second authentication result is consistent with the first authentication result.
  • the association relationship is used to identify the encrypted data stream corresponding to the application identifier sent by the UE.
  • the first receiving part 701 is configured to receive a first TLS handshake request sent by the UE in a TLS handshake process established by an application layer session, where the authentication data is carried in The plaintext field in the first TLS handshake request.
  • the first receiving part 701 is configured to: after completing the TLS handshake, the user plane of the core network device receives an authentication request sent by the UE by using the base station; The authentication data is carried in the GTP-U extension field in the authentication request.
  • the first receiving part 701 can be the user plane of the core network device 70, and correspondingly, the authentication part is the control plane of the core network device 70, and the establishing part is the core network device 70. User face.
  • the first receiving part 701 is configured to: after completing the TLS handshake, the control plane of the core network device receives the non-access stratum session management NAS-SM message sent by the UE;
  • the extension field of the NAS-SM message includes: a first authentication parameter, a first authentication result, an application identifier, and an IP triplet of the NAS-SM message; wherein the first authentication parameter
  • the method includes: a random number RAND and a public key Ka; the IP triplet of the NAS-SM message includes an IP address, a port number, and a protocol class of the OTT server type.
  • the authentication part 702 is configured to obtain a second authentication according to the set authentication algorithm according to the RAND in the first authentication parameter and the public key in the second authentication parameter. The result of the right.
  • the establishing part 703 is configured to:
  • the IP quintuple is generated according to the IP triplet of the OTT server and the IP address and port number of the UE, and Establishing an association relationship between the generated IP quintuple and the application identifier.
  • the first receiving part 701 and the authentication part 702 can be the control plane of the core network device 70, and correspondingly, the establishing part 703 is the user plane of the core network device 70.
  • the core network device 70 further includes a first sending portion 704 configured to send a comparison result of the second authentication result and the first authentication result.
  • a first sending portion 704 configured to send a comparison result of the second authentication result and the first authentication result.
  • the first transmitting portion 704 is a control plane of the core network device 70.
  • the “part” may be a partial circuit, a partial processor, a partial program or software, etc., of course, may be a unit, a module, or a non-modular.
  • each component in this embodiment may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a software function module.
  • the integrated unit may be stored in a computer readable storage medium if it is implemented in the form of a software function module and is not sold or used as a stand-alone product.
  • the technical solution of the embodiment is essentially The part that contributes to the prior art or all or part of the technical solution can be embodied in the form of a software product, the computer soft
  • the product is stored in a storage medium and includes instructions for causing a computer device (which may be a personal computer, a server, or a network device, etc.) or a processor (processor) to perform all or part of the steps of the method described in this embodiment.
  • the foregoing storage medium includes: a U disk, a mobile hard disk, a read only memory (ROM), a random access memory (RAM), a magnetic disk, or an optical disk, and the like, which can store program codes.
  • the embodiment provides a computer readable medium storing an identification program of an encrypted data stream, and the identification program of the encrypted data stream is executed by at least one processor to implement the foregoing embodiment 1.
  • the steps of the method are described in detail below.
  • a specific hardware structure of the core network device 70 may be included, which may include: a first network interface 801, a first memory 802, and a first A processor 803; the various components are coupled together by a bus system 804.
  • bus system 804 is used to implement connection communication between these components.
  • Bus system 804 includes, in addition to the data bus, a power bus, a control bus, and a status signal bus.
  • various buses are labeled as bus system 804 in FIG.
  • the first network interface 801 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a first memory 802 configured to store a computer program capable of running on the first processor 803;
  • the first processor 803 is configured to: when the computer program is executed, execute:
  • the first memory 802 in the embodiments of the present invention may be a volatile memory or a non-volatile memory, or may include both volatile and non-volatile memory.
  • the non-volatile memory may be a read-only memory (ROM), a programmable read only memory (PROM), an erasable programmable read only memory (Erasable PROM, EPROM), or an electric Erase programmable read only memory (EEPROM) or flash memory.
  • the volatile memory can be a Random Access Memory (RAM) that acts as an external cache.
  • RAM Random Access Memory
  • many forms of RAM are available, such as static random access memory (SRAM), dynamic random access memory (DRAM), synchronous dynamic random access memory (Synchronous DRAM).
  • the first memory 802 of the systems and methods described herein is intended to comprise, without being limited to, these and any other suitable types of memory.
  • the first processor 803 may be an integrated circuit chip with signal processing capability. In the implementation process, each step of the foregoing method may be completed by an integrated logic circuit of hardware in the first processor 803 or an instruction in a form of software.
  • the first processor 803 may be a general-purpose processor, a digital signal processor (DSP), an application specific integrated circuit (ASIC), or a field programmable gate array (FPGA). Or other programmable logic devices, discrete gates or transistor logic devices, discrete hardware components.
  • DSP digital signal processor
  • ASIC application specific integrated circuit
  • FPGA field programmable gate array
  • the methods, steps, and logical block diagrams disclosed in the embodiments of the present invention may be implemented or carried out.
  • the general purpose processor may be a microprocessor or the processor or any conventional processor or the like.
  • the steps of the method disclosed in the embodiments of the present invention may be directly implemented as hardware decoding processor execution, or by using hardware and software in the decoding processor.
  • the module combination is completed.
  • the software module can be located in a conventional storage medium such as random access memory, flash memory, read only memory, programmable read only memory or electrically erasable programmable memory, registers, and the like.
  • the storage medium is located in the first memory 802, and the first processor 803 reads the information in the first memory 802 and completes the steps of the above method in combination with the hardware thereof.
  • the embodiments described herein can be implemented in hardware, software, firmware, middleware, microcode, or a combination thereof.
  • the processing unit can be implemented in one or more Application Specific Integrated Circuits (ASICs), Digital Signal Processing (DSP), Digital Signal Processing Equipment (DSP Device, DSPD), programmable Programmable Logic Device (PLD), Field-Programmable Gate Array (FPGA), general purpose processor, controller, microcontroller, microprocessor, other for performing the functions described herein In an electronic unit or a combination thereof.
  • ASICs Application Specific Integrated Circuits
  • DSP Digital Signal Processing
  • DSP Device Digital Signal Processing Equipment
  • PLD programmable Programmable Logic Device
  • FPGA Field-Programmable Gate Array
  • the techniques described herein can be implemented by modules (eg, procedures, functions, and so on) that perform the functions described herein.
  • the software code can be stored in memory and executed by the processor.
  • the memory can be implemented in the processor or external to the processor.
  • a component of a user equipment 90 which may include: a second sending part 901 configured to send data carrying authentication data.
  • a packet wherein the authentication data is used by the core network device for authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and an application identifier.
  • the second sending part 901 is configured to: in the TLS handshake process established by the application layer session, carry the authentication data in a plaintext field in the first TLS handshake request;
  • the second sending part 901 is configured to: after completing the TLS handshake, send an authentication request that carries the authentication data in the extended PDCP field to the base station, and use the base station to extend the PDCP field. After the authentication data is converted into a GTP-U extension field, the authentication request is further sent to the core network device user plane.
  • the second sending part 901 is configured to: after completing the TLS handshake, send a non-access stratum session management NAS-SM message to a control plane of the core network device; where the NAS-SM message is
  • the extension field includes: a first authentication parameter, a first authentication result, an application identifier, and an IP triplet of the NAS-SM message; wherein the first authentication parameter includes: a random number RAND and a public key Ka;
  • the IP triplet of the NAS-SM message includes the IP address, port number, and protocol type of the OTT server.
  • the UE 90 further includes a second receiving part 902 configured to receive an authentication result of a control plane reply of the core network device.
  • the embodiment further provides a computer readable medium storing an identification program of the encrypted data stream, where the identification program of the encrypted data stream is executed by at least one processor to implement the second embodiment
  • the identification program of the encrypted data stream is executed by at least one processor to implement the second embodiment
  • FIG. 11 shows a specific hardware structure of the UE 90 according to an embodiment of the present invention, which may include: a second network interface 1101, a second memory 1102, and a second process. 1103; the various components are coupled together by a bus system 1104.
  • the bus system 1104 is used to implement connection communication between these components.
  • the bus system 1104 includes a power bus, a control bus, and a status signal bus in addition to the data bus.
  • various buses are labeled as bus system 1104 in FIG. among them,
  • the second network interface 1101 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a second memory 1102 configured to store a computer program capable of running on the second processor 1103;
  • the second processor 1103 is configured to: when the computer program is executed, perform:
  • the second processor 1103 in the UE 90 is further configured to perform the method steps described in the foregoing Embodiment 2 when the computer program is executed, and details are not described herein.
  • FIG. 12 illustrates an encryption traffic identification system 120 according to an embodiment of the present invention, including a core network device 70 and a user equipment 90, where
  • the user equipment 90 is configured to send a data packet carrying the authentication data, where the authentication data is used by the core network device 70 for authentication, and the authentication data includes: a first authentication parameter , the first authentication result and the application identifier;
  • the core network device 70 is configured to receive a data packet that is sent by the user equipment UE90 and that carries the authentication data.
  • the core network device 70 in this embodiment may be the core network device 70 described in any of the foregoing embodiments; and the user device 90 may preferably be any of the foregoing embodiments.
  • User equipment 90 as described.
  • embodiments of the present invention can be provided as a method, system, or computer program product. Accordingly, the present invention can take the form of a hardware embodiment, a software embodiment, or a combination of software and hardware. Moreover, the present invention can take the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage and optical storage, etc.) including computer usable program code.
  • the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
  • the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.
  • These computer program instructions can also be loaded onto a computer or other programmable data processing device such that a series of operational steps are performed on a computer or other programmable device to produce computer-implemented processing for execution on a computer or other programmable device.
  • the instructions provide steps for implementing the functions specified in one or more of the flow or in a block or blocks of a flow diagram.
  • the core network device performs authentication with the UE during the TLS handshake process between the UE and the OTT server, or after the handshake is completed, thereby establishing an association relationship for identifying the encrypted data stream, so as to implement detection of the encrypted data stream.
  • statistics without relying on plaintext identification, and eliminating the need for complex IP address configuration and maintenance, improving security and reducing the computing resources required for configuration and maintenance.

Abstract

本发明实施例提供了一种加密数据流的识别方法、设备、可读存储介质及系统；该方法可以应用于核心网设备，所述方法包括：接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。

Description

一种加密数据流的识别方法、设备、存储介质及系统 技术领域
本发明实施例涉及网络安全技术领域，尤其涉及一种加密数据流的识别方法、设备、可读存储介质及系统。
背景技术
超文本传输协议(HTTP，HyperText Transfer Protocol)2.0版本出现之后，所有的HTTP层及HTTP层以上的应用层数据流均能够通过安全传输层协议(TLS，Transport Layer Security Protocol)协议进行加密，而运营商所提供的网络设备无法对加密数据流进行识别。
针对该问题，目前通常采用TLS层的某些明文标识在TLS协议的握手过程中对应用的加密数据流进行识别。但是，由于明文标识容易被破解，具有不安全的隐患，并且后续的TLS协议中不再支持明文标识。基于此，当前相关技术中并没有提出不依赖于明文标识对加密数据流进行识别的方案和机制。
发明内容
为解决上述技术问题，本发明实施例期望提供一种加密数据流的识别方法、设备、可读存储介质及系统；能够不依赖于明文标识就可以对加密数据流进行识别，提升了识别的安全性。
本发明实施例的技术方案可以如下实现：
第一方面，本发明实施例提供了一种加密数据流的识别方法，所述方法应用于核心网设备，所述方法包括：
接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
第二方面，本发明实施例提供了一种加密数据流的识别方法，所述方法应用于用户设备UE，所述方法包括：
发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
第三方面，本发明实施例提供了一种核心网设备，包括：第一接收部分、鉴权部分和建立部分；其中，
所述第一接收部分，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
所述鉴权部分，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
所述建立部分，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
第四方面，本发明实施例提供了一种用户设备UE，其中，所述UE包括：第二发送部分，配置为发送承载有鉴权数据的数据包；其中，所述鉴 权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
第五方面，本发明实施例提供了一种核心网设备，其中，第一网络接口，第一存储器和第一处理器；其中，
所述第一网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
所述第一存储器，用于存储能够在所述第一处理器上运行的计算机程序；
所述第一处理器，用于在运行所述计算机程序时，执行第一方面中所述方法的步骤。
第六方面，本发明实施例提供了一种用户设备UE，其中，所述UE包括：第二网络接口、第二存储器和第二处理器；
其中，所述第二网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
所述第二存储器，用于存储能够在第二处理器上运行的计算机程序；
所述第二处理器，用于在运行所述计算机程序时，执行第二方面所述方法的步骤。
第七方面，本发明实施例提供了一种计算机可读介质，所述计算机可读介质存储有接入链路的管理程序，所述接入链路的管理程序被至少一个处理器执行时实现第一方面或第二方面所述的方法的步骤。
第八方面，本发明实施例提供了一种加密流量的识别系统，包括核心网设备以及用户设备，其中，
所述用户设备，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识；
所述核心网设备，配置为接收用户设备UE发送的承载有鉴权数据的 数据包；
基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
本发明实施例提供了一种加密数据流的识别方法、设备、可读存储介质及系统；核心网设备在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
附图说明
图1为本发明实施例提供的一种加密数据流的识别方法流程示意图；
图2为本发明实施例提供的另一种加密数据流的识别方法流程示意图；
图3为本发明实施例提供的一种网络架构示意图；
图4为本发明实施例提供的一种加密数据流的识别方法的具体示例流程示意图；
图5为本发明实施例提供的另一种加密数据流的识别方法的具体示例流程示意图；
图6为本发明实施例提供的又一种加密数据流的识别方法的具体示例流程示意图；
图7A为本发明实施例提供的一种核心网设备的组成示意图；
图7B为本发明实施例提供的另一种核心网设备的组成示意图；
图8为本发明实施例提供的一种核心网设备的具体硬件结构示意图；
图9为本发明实施例提供的一种用户设备的组成示意图；
图10为本发明实施例提供的另一种用户设备的组成示意图；
图11为本发明实施例提供的一种用户设备的具体硬件结构示意图；
图12为本发明实施例提供的一种加密流量的识别系统组成示意图。
具体实施方式
为了能够更加详尽地了解本发明实施例的特点与技术内容，下面结合附图对本发明实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明实施例。
目前，在第三代合作伙伴计划(3GPP，3rd Generation Partnership Project)的业务和系统方面工作组2(SA2，Service and System Aspects Working Group)中定义了应用级别数据，用于对应用的流量进行识别。基于此，第三方OTT(Over The Top)服务商可以主动向运营商网络发起针对应用流量的识别规则进行安装或更新或删除的操作，从而使运营商网络具备识别业务的能力。但是，仍然没有针对业务的加密数据流进行识别的相关机制
基于上述内容，提出以下实施例。
实施例一
参见图1，其示出了本发明实施例提供的一种加密数据流的识别方法，该方法可以应用于核心网设备中，可以理解地，本实施例所述的核心网设备，包括用户面和控制面两个部分；因此，本实施例所述的核心网设备既可以是包括用户面和控制面两个部分的单一实体设备，也可以是由用户面和控制面两个实体形成的核心网中的逻辑网元设备，本实施例对此不做具体限定，图1所示的方法可以包括：
S101：接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
S102：基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；
其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；可以理解地，第二鉴权参数可以由OTT服务器生成，并预先配置在核心网设备中；而第一鉴权参数也可以由OTT服务器生成，预先配置在UE中；而设定的鉴权算法可以静态地预先配置在UE和核心网设备中。
S103：当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；
其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
通过图1所示的技术方案，核心网设备能够通过上述关联关系针对应用标识所表示的应用程序的加密数据流进行识别，从而进一步地实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
对于图1所示的技术方案，在第一种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器建立TLS握手过程中进行实施，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
在应用层会话建立的TLS握手过程中，所述核心网设备的用户面接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
具体来说，对于上述实现方式，UE可以在首次TLS握手请求中新增加一个明文字段，并将鉴权数据加入该新增的明文字段。
相应于上述实现方式，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
所述核心网设备的用户面从所述首次TLS握手请求中的明文字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
需要说明的是，核心网设备的控制面在获取到所述鉴权数据后，就能够按照鉴权数据来执行图1所示方案中的S102，并且将所述第二鉴权结果与所述第一鉴权结果进行比对后向核心网设备用户面发送比对结果，从而核心网设备用户面根据比对结果确定是否执行S103，可以理解地，当所述第二鉴权结果与所述第一鉴权结果比对不一致时，则忽略该比对结果。
对于图1所示的技术方案，在第二种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
具体来说，对于上述实现方式，鉴权请求是在完成了应用层TLS握手后，由UE主动发起的。UE可以将鉴权数据承载于扩展的PDCP字段中发送给基站侧，而基站侧则可以将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段，继续发送给核心网设备用户面。
相应于上述实现方式，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
所述核心网设备的用户面从鉴权请求中的GTP-U扩展字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
同理于上述实现方式，需要说明的是，核心网设备的控制面在获取到所述鉴权数据后，就能够按照鉴权数据来执行图1所示方案中的S102，并且将所述第二鉴权结果与所述第一鉴权结果进行比对后向核心网设备用户面发送比对结果，从而核心网设备用户面根据比对结果确定是否执行S103，可以理解地，当所述第二鉴权结果与所述第一鉴权结果比对不一致时，则忽略该比对结果。
针对上述两种实现方式，优选地，所述第一鉴权参数包括随机数RAND，所述第二鉴权参数包括公共密钥Ka；或者，所述第一鉴权参数包括公共密钥Ka，所述第二鉴权参数包括随机数RAND。
针对上述两种实现方式，优选地，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
所述核心网设备的控制面基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果。
针对上述两种实现方式，优选地，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系，包括：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面将比对结果传输至所述核心网用户面；
所述核心网设备的用户面建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系。
对于图1所示的技术方案，在第三种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，但与第二种实现方式不同的地方在于，鉴权请求由UE直接向核心网设备的控制面发送，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；
其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的IP三元组；其中，所述第一鉴权参数包括：随机数RAND和公共密钥Ka；所述NAS-SM消息的IP三元组包括OTT服务器的IP地址、端口号和协议类型。
相应于上述实现方式，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
所述核心网设备的控制面根据所述第一鉴权参数中的RAND以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
相应于上述实现方式，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系，包括：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面根据所述OTT服务器的IP三元组以及所述UE的IP地址和端口号生成所述IP五元组，并将生成的IP五元组和所述应用标识传输至所述核心网设备的用户面；
所述核心网设备的用户面建立所述生成的IP五元组和所述应用标识之间的关联关系。
对于图1所示的技术方案，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果后，所述方法还包括：
所述核心网设备的控制面通过所述核心网设备的用户面将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
可以理解地，UE在接收到比对结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否继续进行与核心网设备之间的鉴权。
本实施例提供了一种应用于核心网设备的加密数据流的识别方法，能够在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
实施例二
基于前述实施例相同的发明构思，参见图2，其示出了本发明实施例提供的一种加密数据流的识别方法，该方法可以应用于UE中，图2所示的方法可以包括：
S201：发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
可以理解地，当UE将鉴权数据发送至核心网设备之后，核心网设备就能够按照前述实施例的技术方案进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
对于图2所示的技术方案，在第一种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器建立TLS握手过程中进行实施，因此，所述发送承载有鉴权数据的数据包，包括：
在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
对于图2所示的技术方案，在第二种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，因此，所述发送承载有鉴权数据的数据包，包括：
在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
对于图2所示的技术方案，在第三种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，但与第二种实现方式不同的地方在于，鉴权请求由UE直接向核心网设备的控制面发送，因此，所述发送承载有鉴权数据的数据包，包括：
在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理 NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的IP三元组；其中，所述第一鉴权参数包括：随机数RAND和公共密钥Ka；所述NAS-SM消息的IP三元组包括所OTT服务器的IP地址、端口号和协议类型。
对于图2所示的技术方案，当核心网设备鉴权完毕后，所述方法还包括：接收核心网设备的控制面回复的鉴权结果。可以理解地，UE在接收到比对结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否继续进行与核心网设备之间的鉴权。
实施例三
基于前述实施例相同的发明构思，本实施例通过以下具体示例对前述两个实施例的技术方案进行详细地阐述。
针对具体示例需要说明的是，具体示例引入了针对应用程序的参数组，举例来说，可以包括：公共秘钥Ka、随机数RAND、令牌Token、应用标识Application ID。其中，Ka和RAND结合预先设定的鉴权算法来生成Token，若以鉴权算法为HASH算法为例，则可以得到Token＝HASH(Ka，RAND)；因此，公共秘钥Ka、随机数RAND为鉴权参数，Token可以为鉴权结果，应用标识Application ID用来表示对应的应用程序。需要指出的是，Ka和RAND由OTT服务器生成，鉴权算法通过OTT服务器静态配置在核心网设备和UE上。综上，本实施例的具体示例可以应用于如图3所示的非典型的网络架构中，在该网络架构中，UE通过基站接入核心网，或者可以直接与核心网设备相连接，核心网设备中包括用户面和控制面两个部分，UE通过核心网设备连接数据网络(DN，Data Network)，实现与OTT服务器之间的信息交互。基于上述网络架构，提出以下具体示例。
具体示例一
参见图4，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程可以包括：
S40A：OTT服务器将鉴权算法预先配置在UE以及核心网设备中；
S40B：OTT服务器动态生成或更新Ka和RAND，并发往UE和核心网设备；
可以理解地，UE和核心网设备各自在接收到Ka和RAND后，可以按照S40A中配置的鉴权算法进行计算，分别得到各自的鉴权结果Token。
S401：UE在首次TLS握手请求中新增明文字段，并将自身的RAND和Token，以及应用标识作为鉴权数据加入到新增的明文字段中；
S402：UE将首次TLS握手请求发送至核心网设备的用户面；
S403：用户面在检测到首次TLS握手请求中包括UE发送的鉴权数据时，将鉴权数据透传给核心网设备的控制面；
S404：控制面根据自身的Ka以及UE的RAND按照配置的鉴权算法进行计算，并将计算结果与UE的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败。
S405：控制面将比较结果发送至用户面；
S406：若鉴权成功，用户面建立首次TLS握手请求的网络协议IP五元组与所述应用标识之间的关联关系。
可以理解地，该关联关系能够使得核心网设备识别后续该应用标识对表示的应用程序的加密数据流，并根据识别结果对加密数据流的流量进行统计。
可选地，在本实施例中，如虚线箭头所示，S407：控制面将比较结果通过用户面发送至UE；从而使得UE在接收到比较结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否需要继续进行与核心网设备之间的鉴权。
具体示例二
参见图5，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程实施于UE与OTT服务器之间完成TLS握手后，该 流程可以包括：
S50A：TLS握手完成后，HTTP内容全部加密；
S50B：OTT服务器将向UE发送应用标识，RAND和Ka；
可以理解地，OTT向UE发送上述信息时，运营商网络对此不可见。
S501：UE根据RAND与Ka按照预先设置的鉴权算法计算出Token，并将自身的RAND、Token以及应用标识作为鉴权数据承载于扩展的PDCP字段的鉴权请求。
S502：UE将鉴权请求发送至基站；
S503：基站将鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面；
S504：用户面在检测到鉴权请求中包括鉴权数据后，将鉴权数据透传至核心网设备的控制面；
S505：控制面根据自身的Ka以及UE的RAND按照配置的鉴权算法进行计算，并将计算结果与UE的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败。
S506：控制面将比较结果发送至用户面；
S507：若鉴权成功，用户面建立鉴权请求的网络协议IP五元组与所述应用标识之间的关联关系。
可以理解地，该关联关系能够使得核心网设备识别后续该应用标识对表示的应用程序的加密数据流，并根据识别结果对加密数据流的流量进行统计。
可选地，在本实施例中，如虚线箭头所示，S508：控制面将比较结果通过用户面发送至UE；从而使得UE在接收到比较结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否需要继续进行与核心网设备之间的鉴权。
具体示例三
参见图6，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程实施于UE与OTT服务器之间完成TLS握手后，该流程可以包括：
S60A：TLS握手完成后，HTTP内容全部加密；
S60B：OTT服务器将向UE发送应用标识，RAND和Ka；
可以理解地，OTT向UE发送上述信息时，运营商网络对此不可见。
S601：UE根据RAND与Ka按照预先设置的鉴权算法计算出Token，并将自身的RAND、Ka、Token、应用标识和OTT服务器的IP三元组作为鉴权数据承载于NAS-SM消息的扩展字段中。
可以理解地，OTT服务器的IP三元组可以包括OTT服务器的IP地址、端口号和协议类型。
S602：UE向核心网设备的控制面发送NAS-SM消息，从而向控制面请求会话修改；
S603：控制面根据自身的自身的Ka以及UE的RAND按照配置的鉴权算法进行计算，并将计算结果与UE的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败；
S604：若鉴权成功，控制面根据所述OTT服务器的IP三元组以及所述UE的IP地址和端口号生成所述IP五元组；
S605：控制面将生成的IP五元组和所述应用标识传输至所述核心网设备的用户面；
S606：用户面建立生成的IP五元组和所述应用标识之间的关联关系。
S607：用户面建立完成后，通知控制面更新完成。
S608：控制面通过NAS消息向UE回复比较结果。
实施例四
基于前述实施例相同的发明构思，参见图7A，其示出了本发明实施例提供的一种核心网设备70的组成，可以包括：第一接收部分701、鉴权部 分702和建立部分703；其中，
所述第一接收部分701，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
所述鉴权部分702，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
所述建立部分703，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
在一种可能的实现方式中，所述第一接收部分701，配置为在应用层会话建立的TLS握手过程中，接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
在一种可能的实现方式中，所述第一接收部分701，配置为：在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
可以理解地，在上述两个实现方式中，第一接收部分701可以为核心网设备70的用户面，相应地，鉴权部分为核心网设备70的控制面，建立部分为核心网设备70的用户面。
在一种可能的实现方式中，所述第一接收部分701，配置为在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的IP三元组；其中，所述第一鉴权参数包括：随机数RAND和公共密钥Ka；所述NAS-SM消息的IP三元组包括OTT服务器的IP地址、端口号和协议类 型。
在上述实现方式中，所述鉴权部分702，配置为根据所述第一鉴权参数中的RAND以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
在上述实现方式中，所述建立部分703，配置为：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，根据所述OTT服务器的IP三元组以及所述UE的IP地址和端口号生成所述IP五元组，并建立所述生成的IP五元组和所述应用标识之间的关联关系。
可以理解地，在上述实现方式中，第一接收部分701和鉴权部分702可以为核心网设备70的控制面，相应地，建立部分703为核心网设备70的用户面。
在一种可能的实现方式中，参见图7B，所述核心网设备70还包括第一发送部分704，配置为将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。需要说明的是，第一发送部分704为核心网设备70的控制面。
可以理解地，在本实施例中，“部分”可以是部分电路、部分处理器、部分程序或软件等等，当然也可以是单元，还可以是模块也可以是非模块化的。
另外，在本实施例中的各组成部分可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。
所述集成的单元如果以软件功能模块的形式实现并非作为独立的产品进行销售或使用时，可以存储在一个计算机可读取存储介质中，基于这样的理解，本实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软 件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或processor(处理器)执行本实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
因此，本实施例提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现上述实施例一所述的方法的步骤。
基于上述核心网设备70以及计算机可读介质，参见图8，其示出了本发明实施例提供的核心网设备70的具体硬件结构，可以包括：第一网络接口801、第一存储器802和第一处理器803；各个组件通过总线系统804耦合在一起。可理解，总线系统804用于实现这些组件之间的连接通信。总线系统804除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图8中将各种总线都标为总线系统804。其中，第一网络接口801，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第一存储器802，用于存储能够在第一处理器803上运行的计算机程序；
第一处理器803，用于在运行所述计算机程序时，执行：
接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行 识别。
可以理解，本发明实施例中的第一存储器802可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(Read-Only Memory，ROM)、可编程只读存储器(Programmable ROM，PROM)、可擦除可编程只读存储器(Erasable PROM，EPROM)、电可擦除可编程只读存储器(Electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(Random Access Memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(Static RAM，SRAM)、动态随机存取存储器(Dynamic RAM，DRAM)、同步动态随机存取存储器(Synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(Double Data Rate SDRAM，DDRSDRAM)、增强型同步动态随机存取存储器(Enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(Synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(Direct Rambus RAM，DRRAM)。本文描述的系统和方法的第一存储器802旨在包括但不限于这些和任意其它适合类型的存储器。
而第一处理器803可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过第一处理器803中的硬件的集成逻辑电路或者软件形式的指令完成。上述的第一处理器803可以是通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软 件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于第一存储器802，第一处理器803读取第一存储器802中的信息，结合其硬件完成上述方法的步骤。
可以理解的是，本文描述的这些实施例可以用硬件、软件、固件、中间件、微码或其组合来实现。对于硬件实现，处理单元可以实现在一个或多个专用集成电路(Application Specific Integrated Circuits，ASIC)、数字信号处理器(Digital Signal Processing，DSP)、数字信号处理设备(DSP Device，DSPD)、可编程逻辑设备(Programmable Logic Device，PLD)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)、通用处理器、控制器、微控制器、微处理器、用于执行本申请所述功能的其它电子单元或其组合中。
对于软件实现，可通过执行本文所述功能的模块(例如过程、函数等)来实现本文所述的技术。软件代码可存储在存储器中并通过处理器执行。存储器可以在处理器中或在处理器外部实现。
具体来说，核心网设备70中的第一处理器803还配置为运行所述计算机程序时，执行前述实施例一中所述的方法步骤，这里不再进行赘述。
实施例五
基于前述实施例相同的发明构思，参见图9，其示出了本发明实施例提供的一种用户设备90的组成，可以包括：第二发送部分901，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
在上述方案中，所述第二发送部分901，配置为：在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
在上述方案中，所述第二发送部分901，配置为：在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
在上述方案中，所述第二发送部分901，配置为：在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的IP三元组；其中，所述第一鉴权参数包括：随机数RAND和公共密钥Ka；所述NAS-SM消息的IP三元组包括OTT服务器的IP地址、端口号和协议类型。
在上述方案中，参见图10，所述UE 90还包括第二接收部分902，配置为接收核心网设备的控制面回复的鉴权结果。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现上述实施例二所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述UE 90的组成以及计算机可读介质，参见图11，其示出了本发明实施例提供的UE 90的具体硬件结构，可以包括：第二网络接口1101、第二存储器1102和第二处理器1103；各个组件通过总线系统1104耦合在一起。可理解，总线系统1104用于实现这些组件之间的连接通信。总线系统1104除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图11中将各种总线都标为总线系统1104。其中，
其中，所述第二网络接口1101，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第二存储器1102，用于存储能够在第二处理器1103上运行的计算机程序；
第二处理器1103，用于在运行所述计算机程序时，执行：
发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
可以理解地，本实施例中UE 90的具体硬件结构中的组成部分，与实施例四中的相应部分类似，在此不做赘述。
具体来说，UE 90中的第二处理器1103，还配置为运行所述计算机程序时，执行前述实施例二中所述的方法步骤，这里不再进行赘述。
实施例六
基于前述实施例相同的发明构思，参见图12、其示出了本发明实施例提供的一种加密流量的识别系统120组成，包括核心网设备70以及用户设备90，其中，
所述用户设备90，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备70进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识；
所述核心网设备70，配置为接收用户设备UE90发送的承载有鉴权数据的数据包；
基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE 90发送的与所述应用标识对应的加密数据流进行识别。
具体实现过程中，本实施例中的核心网设备70可以优选为前述任一实施例中所述的核心网设备70；而用户设备90则可以优选为前述任一实施例 中所述的用户设备90。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。
工业实用性
本实施例中，核心网设备在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。

Claims (33)

  1. 一种加密数据流的识别方法，所述方法应用于核心网设备，所述方法包括：
    接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
    基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
  2. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在应用层会话建立的TLS握手过程中，所述核心网设备的用户面接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
  3. 根据权利要求2所述的方法，其中，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
    所述核心网设备的用户面从所述首次TLS握手请求中的明文字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
  4. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U 扩展字段。
  5. 根据权利要求4所述的方法，其中，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：所述核心网设备的用户面从鉴权请求中的GTP-U扩展字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
  6. 根据权利要求2至4任一项所述的方法，其中，所述第一鉴权参数包括随机数RAND；所述第二鉴权参数包括公共密钥Ka。
  7. 根据权利要求2至4任一项所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
    所述核心网设备的控制面基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果。
  8. 根据权利要求2至4任一项所述的方法，其中，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系，包括：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面将比对结果传输至所述核心网用户面；
    所述核心网设备的用户面建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系。
  9. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的IP三元组；其中，所述第一鉴权参数包括：随机数RAND和公共密钥Ka；所述NAS-SM消息的IP三元组包括OTT服务器的IP地址、端 口号和协议类型。
  10. 根据权利要求9所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
    所述核心网设备的控制面根据所述第一鉴权参数中的RAND以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
  11. 根据权利要求9或10所述的方法，其中，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系，包括：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面根据所述OTT服务器的IP三元组以及所述UE的IP地址和端口号生成所述IP五元组，并将生成的IP五元组和所述应用标识传输至所述核心网设备的用户面；
    所述核心网设备的用户面建立所述生成的IP五元组和所述应用标识之间的关联关系。
  12. 根据权利要求1所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果后，所述方法还包括：
    所述核心网设备的控制面通过所述核心网设备的用户面将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
  13. 一种加密数据流的识别方法，所述方法应用于用户设备UE，所述方法包括：
    发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
  14. 根据权利要求13所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
    将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
  15. 根据权利要求13所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
  16. 根据权利要求13所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的IP三元组；其中，所述第一鉴权参数包括：随机数RAND和公共密钥Ka；所述NAS-SM消息的IP三元组包括OTT服务器的IP地址、端口号和协议类型。
  17. 根据权利要求13所述的方法，其中，所述方法还包括：
    接收核心网设备的控制面回复的鉴权结果。
  18. 一种核心网设备，包括：第一接收部分、鉴权部分和建立部分；其中，
    所述第一接收部分，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
    所述鉴权部分，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
    所述建立部分，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
  19. 根据权利要求18所述的核心网设备，其中，所述第一接收部分，配置为在应用层会话建立的TLS握手过程中，接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
  20. 根据权利要求18所述的核心网设备，其中，所述第一接收部分，配置为：在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
  21. 根据权利要求18所述的核心网设备，其中，所述第一接收部分，配置为在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的IP三元组；其中，所述第一鉴权参数包括：随机数RAND和公共密钥Ka；所述NAS-SM消息的IP三元组包括OTT服务器的IP地址、端口号和协议类型。
  22. 根据权利要求21所述的核心网设备，其中，所述鉴权部分，配置为根据所述第一鉴权参数中的RAND以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
  23. 根据权利要求21或22所述的核心网设备，其中，所述建立部分，配置为：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，根据所述OTT服务器的IP三元组以及所述UE的IP地址和端口号生成所述IP五 元组，并建立所述生成的IP五元组和所述应用标识之间的关联关系。
  24. 根据权利要求18所述的核心网设备，其中，所述核心网设备还包括第一发送部分，配置为将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
  25. 一种用户设备UE，其中，所述UE包括：第二发送部分，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
  26. 根据权利要求25所述的UE，其中，所述第二发送部分，配置为：在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
    将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
  27. 根据权利要求25所述的UE，其中，所述第二发送部分，配置为：在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
  28. 根据权利要求25所述的UE，其中，所述第二发送部分，配置为：在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的IP三元组；其中，所述第一鉴权参数包括：随机数RAND和公共密钥Ka；所述NAS-SM消息的IP三元组包括OTT服务器的IP地址、端口号和协议类型。
  29. 根据权利要求25所述的UE，其中，所述UE还包括第二接收部分，配置为接收核心网设备的控制面回复的鉴权结果。
  30. 一种核心网设备，其中，第一网络接口，第一存储器和第一处 理器；其中，
    所述第一网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
    所述第一存储器，用于存储能够在所述第一处理器上运行的计算机程序；
    所述第一处理器，用于在运行所述计算机程序时，执行权利要求1至12任一项所述方法的步骤。
  31. 一种用户设备UE，其中，所述UE包括：第二网络接口、第二存储器和第二处理器；
    其中，所述第二网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
    所述第二存储器，用于存储能够在第二处理器上运行的计算机程序；
    所述第二处理器，用于在运行所述计算机程序时，执行权利要求13至17任一项所述方法的步骤。
  32. 一种计算机可读介质，所述计算机可读介质存储有接入链路的管理程序，所述接入链路的管理程序被至少一个处理器执行时实现权利要求1至12中任一项或权利要求13至17中任一项所述的方法的步骤。
  33. 一种加密流量的识别系统，包括核心网设备以及用户设备，其中，
    所述用户设备，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识；
    所述核心网设备，配置为接收用户设备UE发送的承载有鉴权数据的数据包；
    基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的 鉴权参数；
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的网络协议IP五元组与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
PCT/CN2017/106349 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统 WO2019075608A1 (zh)

Priority Applications (7)

Application Number Priority Date Filing Date Title
CN201780091924.9A CN110741613B (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2017/106349 WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2018/081774 WO2019076000A1 (zh) 2017-10-16 2018-04-03 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2018/085510 WO2019076025A1 (zh) 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统
EP18869093.7A EP3668043A4 (en) 2017-10-16 2018-05-03 ENCRYPTED DATA FLOW IDENTIFICATION PROCESS, DEVICE, INFORMATION MEDIA AND SYSTEM
CN201880038900.1A CN110771116B (zh) 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统
US16/849,865 US11418951B2 (en) 2017-10-16 2020-04-15 Method for identifying encrypted data stream, device, storage medium and system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2017/106349 WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统

Publications (1)

Publication Number Publication Date
WO2019075608A1 true WO2019075608A1 (zh) 2019-04-25

Family

ID=66173068

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/CN2017/106349 WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2018/081774 WO2019076000A1 (zh) 2017-10-16 2018-04-03 一种加密数据流的识别方法、设备、存储介质及系统

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/081774 WO2019076000A1 (zh) 2017-10-16 2018-04-03 一种加密数据流的识别方法、设备、存储介质及系统

Country Status (4)

Country Link
US (1) US11418951B2 (zh)
EP (1) EP3668043A4 (zh)
CN (2) CN110741613B (zh)
WO (2) WO2019075608A1 (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3738331B1 (en) * 2018-04-05 2021-04-07 Telefonaktiebolaget LM Ericsson (PUBL) Configuring radio resources
CN113193932B (zh) * 2019-09-27 2022-08-23 腾讯科技（深圳）有限公司 网络节点执行的方法以及相应的网络节点
CN112671661A (zh) * 2020-12-24 2021-04-16 广州市网优优信息技术开发有限公司 物联网数据传输方法及系统
CN113674455B (zh) * 2021-08-13 2023-08-04 京东科技信息技术有限公司 智能门锁远程控制方法、装置、系统、设备及存储介质
WO2023094373A1 (en) * 2021-11-26 2023-06-01 Abb Schweiz Ag Method for device commissioning in a network system and network system

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080307518A1 (en) * 2007-06-11 2008-12-11 Nokia Corporation Security in communication networks
CN105099930A (zh) * 2014-05-21 2015-11-25 杭州华三通信技术有限公司 加密数据流流量控制方法及装置
CN105915396A (zh) * 2016-06-20 2016-08-31 中国联合网络通信集团有限公司 家庭网络流量识别系统和方法
US20160262021A1 (en) * 2015-03-06 2016-09-08 Qualcomm Incorporated Sponsored connectivity to cellular networks using existing credentials
CN106209775A (zh) * 2016-06-24 2016-12-07 深圳信息职业技术学院 一种ssl加密网络流的应用类型识别方法与装置

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6948060B1 (en) * 2000-08-11 2005-09-20 Intel Corporation Method and apparatus for monitoring encrypted communication in a network
US8239669B2 (en) * 2004-03-17 2012-08-07 Telecommunication Systems, Inc. Reach-back communications terminal with selectable networking options
US7778194B1 (en) 2004-08-13 2010-08-17 Packeteer, Inc. Examination of connection handshake to enhance classification of encrypted network traffic
US7562211B2 (en) * 2005-10-27 2009-07-14 Microsoft Corporation Inspecting encrypted communications with end-to-end integrity
CN101668016B (zh) * 2009-09-30 2012-10-03 华为技术有限公司 鉴权方法及装置
CN101714952B (zh) * 2009-12-22 2012-03-07 北京邮电大学 一种接入网的流量识别方法和装置
EP2571329B1 (en) * 2010-05-13 2019-03-06 Nec Corporation Controlling the load on a core-network
CN102111263A (zh) * 2011-02-21 2011-06-29 山东中孚信息产业股份有限公司 一种数据流加密的方法
CN102137022B (zh) * 2011-04-01 2013-11-06 华为技术有限公司 提供用于识别数据包的信息的方法、爬虫引擎及网络系统
CN103428643A (zh) * 2012-05-17 2013-12-04 大唐移动通信设备有限公司 一种动态重组方法及装置
US9451455B2 (en) * 2012-06-11 2016-09-20 Blackberry Limited Enabling multiple authentication applications
CN103596166B (zh) * 2012-08-13 2016-08-03 电信科学技术研究院 一种标识映射方法与设备及策略控制方法与系统
PL3005640T3 (pl) * 2013-05-29 2018-12-31 Ericsson Telefon Ab L M Bramka, urządzenie klienta i sposoby do umożliwiania komunikacji pomiędzy urządzeniem klienta a serwerem aplikacji
CN103414709A (zh) * 2013-08-02 2013-11-27 杭州华三通信技术有限公司 用户身份绑定、协助绑定的方法及装置
GB2586549B (en) * 2013-09-13 2021-05-26 Vodafone Ip Licensing Ltd Communicating with a machine to machine device
EP2890073A1 (en) * 2013-12-31 2015-07-01 Gemalto SA System and method for securing machine-to-machine communications
CN104038389A (zh) * 2014-06-19 2014-09-10 高长喜 多重应用协议识别方法和装置
CN105592449B (zh) * 2014-10-20 2018-10-09 中国电信股份有限公司 业务识别方法和系统
KR101663401B1 (ko) * 2015-01-05 2016-10-06 주식회사 퓨쳐시스템 Ssl로 암호화된 패킷을 커널에서 분석하는 장치 및 방법
US10498652B2 (en) * 2015-04-13 2019-12-03 Nicira, Inc. Method and system of application-aware routing with crowdsourcing
CN107317674B (zh) * 2016-04-27 2021-08-31 华为技术有限公司 密钥分发、认证方法，装置及系统
US10530811B2 (en) * 2016-08-11 2020-01-07 Vm-Robot, Inc. Routing systems and methods
US10715510B2 (en) * 2017-01-16 2020-07-14 Citrix Systems, Inc. Secure device notifications from remote applications
US10397186B2 (en) * 2017-10-06 2019-08-27 Stealthpath, Inc. Methods for internet communication security
US10367811B2 (en) * 2017-10-06 2019-07-30 Stealthpath, Inc. Methods for internet communication security
US10630642B2 (en) * 2017-10-06 2020-04-21 Stealthpath, Inc. Methods for internet communication security

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080307518A1 (en) * 2007-06-11 2008-12-11 Nokia Corporation Security in communication networks
CN105099930A (zh) * 2014-05-21 2015-11-25 杭州华三通信技术有限公司 加密数据流流量控制方法及装置
US20160262021A1 (en) * 2015-03-06 2016-09-08 Qualcomm Incorporated Sponsored connectivity to cellular networks using existing credentials
CN105915396A (zh) * 2016-06-20 2016-08-31 中国联合网络通信集团有限公司 家庭网络流量识别系统和方法
CN106209775A (zh) * 2016-06-24 2016-12-07 深圳信息职业技术学院 一种ssl加密网络流的应用类型识别方法与装置

Also Published As

Publication number Publication date
WO2019076000A1 (zh) 2019-04-25
CN110771116A (zh) 2020-02-07
EP3668043A4 (en) 2020-10-07
US11418951B2 (en) 2022-08-16
CN110741613A (zh) 2020-01-31
CN110771116B (zh) 2021-02-26
CN110741613B (zh) 2021-01-12
EP3668043A1 (en) 2020-06-17
US20200245136A1 (en) 2020-07-30

Similar Documents

Publication Publication Date Title
US11910191B2 (en) Efficient policy enforcement using network tokens for services—user-plane approach
JP6185017B2 (ja) セキュアユーザプレーンロケーション（ｓｕｐｌ）システムにおける認証
WO2019075608A1 (zh) 一种加密数据流的识别方法、设备、存储介质及系统
JP6385589B2 (ja) アプリケーション固有ネットワークアクセス資格情報を使用する、ワイヤレスネットワークへのスポンサー付き接続性のための装置および方法
JP6759232B2 (ja) 完全前方秘匿性を有する認証および鍵共有
US10069800B2 (en) Scalable intermediate network device leveraging SSL session ticket extension
TWI645724B (zh) 用於使用特定於應用的網路存取身份碼來進行到無線網路的受贊助連接的設備和方法（二）
US10250578B2 (en) Internet key exchange (IKE) for secure association between devices
TW201345217A (zh) 具區域功能性身份管理
CN114503507A (zh) 安全的发布-订阅通信方法和设备
KR20080065683A (ko) 인가 자료를 제공하기 위한 방법 및 장치
US20200059786A1 (en) End-to-end security for roaming 5g-nr communications
WO2019076025A1 (zh) 一种加密数据流的识别方法、设备、存储介质及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17928836

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17928836

Country of ref document: EP

Kind code of ref document: A1