WO2019076000A1 - 一种加密数据流的识别方法、设备、存储介质及系统 - Google Patents

一种加密数据流的识别方法、设备、存储介质及系统 Download PDF

Info

Publication number
WO2019076000A1
WO2019076000A1 PCT/CN2018/081774 CN2018081774W WO2019076000A1 WO 2019076000 A1 WO2019076000 A1 WO 2019076000A1 CN 2018081774 W CN2018081774 W CN 2018081774W WO 2019076000 A1 WO2019076000 A1 WO 2019076000A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
core network
network device
association relationship
message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2018/081774
Other languages
English (en)
French (fr)
Inventor
唐海
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangdong Oppo Mobile Telecommunications Corp Ltd
Original Assignee
Guangdong Oppo Mobile Telecommunications Corp Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangdong Oppo Mobile Telecommunications Corp Ltd filed Critical Guangdong Oppo Mobile Telecommunications Corp Ltd
Priority to EP18869093.7A priority Critical patent/EP3668043A4/en
Priority to PCT/CN2018/085510 priority patent/WO2019076025A1/zh
Priority to CN201880038900.1A priority patent/CN110771116B/zh
Publication of WO2019076000A1 publication Critical patent/WO2019076000A1/zh
Priority to US16/849,865 priority patent/US11418951B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/12—Setup of transport tunnels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H04W76/25—Maintenance of established connections
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/30—Connection release
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/02—Data link layer protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/08—Upper layer protocols
    • H04W80/10—Upper layer protocols adapted for application session management, e.g. SIP [Session Initiation Protocol]

Definitions

  • Embodiments of the present invention relate to the field of network security technologies, and in particular, to a method, device, and readable storage medium and system for identifying an encrypted data stream.
  • HTTP Hypertext Transfer Protocol
  • TLS Secure Transport Layer Protocol
  • an embodiment of the present invention is to provide a method, a device, a readable storage medium, and a system for identifying an encrypted data stream.
  • the encrypted data stream can be identified without relying on the plaintext identifier, thereby improving the security of the identification. Sex.
  • an embodiment of the present invention provides a method for identifying an encrypted data stream, where the method is applied to a core network device, where the method includes:
  • an embodiment of the present invention provides a method for identifying an encrypted data stream, where the method is applied to a user equipment UE, where the method includes: transmitting a data packet carrying authentication data; wherein the authentication data
  • the core network device performs authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and an application identifier.
  • an embodiment of the present invention provides a core network device, including: a first receiving part, an authentication part, and an establishing part; wherein the first receiving part is configured to receive a bearer sent by the user equipment UE a data packet of the right data; wherein the authentication data includes a first authentication parameter, a first authentication result, and an application identifier;
  • the authentication part is configured to obtain a second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter; wherein the second authentication parameter is a pre-stored Determining an authentication parameter corresponding to the application identifier;
  • the establishing part is configured to establish, when the second authentication result is consistent with the first authentication result, an association relationship between the feature information of the data packet and the application identifier;
  • the association relationship is used to identify an encrypted data stream corresponding to the application identifier that is sent by the UE.
  • the embodiment of the present invention provides a user equipment UE, where the UE includes: a second sending part, configured to send a data packet carrying authentication data; wherein the authentication data is used by the The core network device performs authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and an application identifier.
  • an embodiment of the present invention provides a core network device, where: a first network interface, a first memory, and a first processor;
  • the first network interface is configured to receive and send signals during the process of transmitting and receiving information with other external network elements;
  • the first memory is configured to store a computer program capable of running on the first processor
  • the first processor is configured to perform the steps of the method in the first aspect when the computer program is run.
  • the embodiment of the present invention provides a user equipment UE, where the UE includes: a second network interface, a second memory, and a second processor; wherein the second network interface is used to Receiving and transmitting signals during the process of transmitting and receiving information between other external network elements;
  • the second memory is configured to store a computer program capable of running on the second processor
  • the second processor is configured to perform the steps of the method of the second aspect when the computer program is run.
  • an embodiment of the present invention provides a computer readable medium storing a management program of an access link, where the management program of the access link is implemented by at least one processor The steps of the method of the first aspect or the second aspect.
  • an embodiment of the present invention provides an encryption traffic identification system, including a core network device and a user equipment, where the user equipment is configured to send a data packet carrying authentication data;
  • the weight data is used by the core network device for authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and an application identifier;
  • the core network device is configured to receive a data packet that is sent by the user equipment UE and that carries the authentication data;
  • the embodiment of the invention provides a method, a device, a readable storage medium and a system for identifying an encrypted data stream; the core network device performs authentication with the UE during the TLS handshake process between the UE and the OTT server or after the handshake is completed, thereby establishing The association between the encrypted data streams is implemented to detect and collect the encrypted data streams without relying on the plaintext identifiers, and the complicated IP address configuration and maintenance are not required, which improves security and reduces configuration and maintenance requirements. Computing resources.
  • FIG. 1 is a schematic flowchart of a method for identifying an encrypted data stream according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of another method for identifying an encrypted data stream according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of a network architecture according to an embodiment of the present disclosure.
  • FIG. 4 is a schematic flowchart diagram of a specific example of a method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • FIG. 5 is a schematic flowchart diagram of another specific method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • 6A is a schematic flowchart diagram of another specific method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • 6B is a schematic flowchart of a method for transmitting an encrypted data stream according to an embodiment of the present invention
  • FIG. 7A is a schematic structural diagram of a core network device according to an embodiment of the present invention.
  • FIG. 7B is a schematic structural diagram of another core network device according to an embodiment of the present disclosure.
  • FIG. 7C is a schematic structural diagram of still another core network device according to an embodiment of the present disclosure.
  • FIG. 8 is a schematic structural diagram of a specific hardware of a core network device according to an embodiment of the present disclosure.
  • FIG. 9 is a schematic structural diagram of a user equipment according to an embodiment of the present disclosure.
  • FIG. 10 is a schematic structural diagram of another user equipment according to an embodiment of the present disclosure.
  • FIG. 11 is a schematic structural diagram of a specific hardware of a user equipment according to an embodiment of the present disclosure.
  • FIG. 12 is a schematic structural diagram of still another core network device according to an embodiment of the present disclosure.
  • FIG. 13 is a schematic structural diagram of a specific hardware of a core network device according to an embodiment of the present invention.
  • FIG. 14 is a schematic structural diagram of still another user equipment according to an embodiment of the present disclosure.
  • FIG. 15 is a schematic structural diagram of another hardware device of a user equipment according to an embodiment of the present disclosure.
  • FIG. 16 is a schematic diagram of a composition of an encrypted traffic identification system according to an embodiment of the present invention.
  • SA2 Service and System Aspects Working Group
  • 3GPP 3rd Generation Partnership Project
  • FIG. 1 a method for identifying an encrypted data stream according to an embodiment of the present invention is shown.
  • the method may be applied to a core network device.
  • the control plane are two parts; therefore, the core network device in this embodiment may be a single entity device including a user plane and a control plane, or a core formed by two entities: a user plane and a control plane.
  • the logical network element device in the network is not limited in this embodiment.
  • the method shown in FIG. 1 may include:
  • S101 Receive a data packet that is sent by the user equipment UE and that carries the authentication data, where the authentication data includes a first authentication parameter, a first authentication result, and an application identifier.
  • S102 Obtain a second authentication result according to the set authentication algorithm, based on the first authentication parameter and the second authentication parameter.
  • the second authentication parameter is a pre-stored authentication parameter corresponding to the application identifier. It can be understood that the second authentication parameter can be generated by the OTT server and pre-configured in the core network device.
  • the weight parameter may also be generated by the OTT server and pre-configured in the UE; and the set authentication algorithm may be statically pre-configured in the UE and the core network device.
  • the association relationship is used to identify an encrypted data stream corresponding to the application identifier sent by the UE.
  • the feature information of the data packet may include at least one or more of the following: a network protocol IP source address, an IP source port number, an IP destination address, an IP destination port number, and a media access control (MAC).
  • a network protocol IP source address an IP source port number, an IP destination address, an IP destination port number, and a media access control (MAC).
  • VLAN Virtual Local Area Network
  • the core network device can identify the encrypted data stream of the application represented by the application identifier by using the foregoing association relationship, thereby further implementing detection and statistics on the encrypted data stream without relying on the plaintext identifier. Eliminates the need for complex IP address configuration and maintenance, increases security and reduces the computing resources required for configuration and maintenance.
  • the feature information based on the data packet may include a layer 3 feature, that is, an IP source address, an IP source port number, an IP destination address, an IP destination port number, an IP source port number, and may also include a layer 2 feature, that is, Medium access control (MAC, Media Access Control) source address, MAC destination address, MAC destination port number, protocol type, and virtual local area network (VLAN) label; the above relationship is not only the characteristics and application of the data packet layer 3
  • the association relationship between the identifiers and may also be the association relationship between the layer 2 features and the application identifiers. Therefore, when the data packets are transmitted through the non-IP data packets, the association relationship may still be represented by the association identifier.
  • the application's encrypted data stream is identified.
  • a data packet carrying authentication data including:
  • the user plane of the core network device receives the first TLS handshake request sent by the UE, where the authentication data is carried in the plaintext field in the first TLS handshake request.
  • the UE may newly add a plaintext field in the first TLS handshake request, and add the authentication data to the newly added plaintext field.
  • the method after receiving the data packet that is sent by the user equipment UE and carrying the authentication data, the method further includes:
  • the user plane of the core network device After detecting the authentication data from the plaintext field in the first TLS handshake request, the user plane of the core network device transmits the authentication data to the control plane of the core network device.
  • the control plane of the core network device can execute S102 in the solution shown in FIG. 1 according to the authentication data, and the second authentication result is The first authentication result is compared and sent to the core network device user plane to send a comparison result, so that the core network device user plane determines whether to perform S103 according to the comparison result, and understandably, when the second authentication result is related to the When the first authentication result is inconsistent, the comparison result is ignored.
  • the technical solution shown in FIG. 1 may be implemented after the TLS handshake is completed between the UE and the OTT server, and therefore, the receiving user equipment UE sends
  • the data packet carrying the authentication data including:
  • the user plane of the core network device receives an authentication request sent by the UE by using the base station, where the authentication data is carried in a GTP-U extension field in the authentication request.
  • the authentication request is initiated by the UE after the application layer TLS handshake is completed.
  • the UE may send the authentication data to the base station side in the extended PDCP field, and the base station side may convert the authentication data in the PDCP extension field into a GTP-U extension field, and continue to send to the core network device user plane.
  • the method after receiving the data packet that is sent by the user equipment UE and carrying the authentication data, the method further includes:
  • the user plane of the core network device After detecting the authentication data from the GTP-U extension field in the authentication request, the user plane of the core network device transmits the authentication data to the control plane of the core network device.
  • the control plane of the core network device can execute S102 in the solution shown in FIG. 1 according to the authentication data, and the foregoing And comparing the result of the second authentication with the first authentication result, and sending a comparison result to the user plane of the core network device, so that the user plane of the core network device determines whether to perform S103 according to the comparison result, and understandably, when the When the two authentication results are inconsistent with the first authentication result, the comparison result is ignored.
  • the first authentication parameter includes a random number
  • the second authentication parameter includes a public key Ka
  • the first authentication parameter includes a public key Ka
  • the second authentication parameter includes a random number
  • the random number may be a random number generated based on a preset random number generation policy; in addition, the random number may also be the current time and/or the current location of the UE.
  • the number of changes is changed accordingly, so that each random number is different. For example, there is usually a correlation between the location where the UE is currently located and the IP address of the UE, and the IP addresses of different UEs are also different. Therefore, the random number can be obtained by combining the current timestamp with the IP address of the UE, so that when at least one of the UE, the time, and the location is different, the corresponding random number is also different. It also achieves a different effect between each random number.
  • the obtaining, by the first authentication parameter and the second authentication parameter, the second authentication result according to the set authentication algorithm includes:
  • the control plane of the core network device obtains the second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter.
  • the control plane of the core network device transmits the comparison result to the core network user plane
  • the user plane of the core network device establishes an association relationship between the feature information of the data packet and the application identifier.
  • the technical solution shown in FIG. 1 may be implemented after the TLS handshake is completed between the UE and the OTT server, but different from the second implementation manner.
  • the authentication request is sent by the UE directly to the control plane of the core network device. Therefore, the data packet that is sent by the user equipment UE and carries the authentication data includes:
  • the control plane of the core network device receives the non-access stratum session management NAS-SM message sent by the UE;
  • the extension field of the NAS-SM message includes: a first authentication parameter, a first authentication result, an application identifier, and feature information of the NAS-SM message; wherein the first authentication parameter includes: The random number and the public key Ka; the feature information of the NAS-SM message includes at least one or more items: an IP address of the OTT server, a port number, a protocol type, and a MAC address of the OTT server.
  • the obtaining, according to the first authentication parameter and the second authentication parameter, the second authentication result according to the set authentication algorithm including:
  • the control plane of the core network device obtains the second authentication result according to the set authentication algorithm according to the random number in the first authentication parameter and the public key in the second authentication parameter.
  • the association relationship between the feature information of the data packet and the application identifier is established, including:
  • the control plane of the core network device When the second authentication result is consistent with the first authentication result, the control plane of the core network device generates the data packet according to the feature information of the OTT server and the feature information of the UE.
  • Feature information and transmitting the generated feature information of the data packet and the application identifier to a user plane of the core network device; specifically, the feature information of the OTT server includes an IP address, a port number, and an protocol of the OTT server.
  • Type and MAC address of the OTT server; the feature information of the UE includes: the IP address, port, and MAC address of the UE.
  • the user plane of the core network device establishes an association relationship between the feature information of the generated data packet and the application identifier.
  • the method further includes:
  • the control plane of the core network device sends a comparison result of the second authentication result and the first authentication result to the UE by using a user plane of the core network device.
  • the UE can know whether the core network device completes the establishment of the association relationship, thereby determining whether to continue the authentication with the core network device.
  • a life cycle may be set for the technical solution, and specifically, the technical solution shown in FIG. 1 may also be The method includes: receiving valid time information sent by the UE, where the valid time information is used to indicate an effective duration of the association relationship for performing encrypted data stream identification. It can be understood that the above effective duration can be used as the life cycle of the association. Therefore, preferably, the method may further include: releasing the association relationship if the encrypted data stream transmission is not completed after the valid duration is timed.
  • the association relationship may also be released by the indication of the UE. Based on this, the life cycle, that is, the effective duration, may be omitted.
  • the method further includes:
  • the association relationship is released based on the release indication message.
  • the valid time message and the release indication message may be sent by using a NAS message.
  • the embodiment provides a method for identifying an encrypted data stream applied to a core network device, which can perform authentication on the encrypted data stream during the TLS handshake process between the UE and the OTT server or after the handshake is completed.
  • the identified associations enable the detection and statistics of encrypted data streams without relying on plaintext identification, and eliminate the need for complex IP address configuration and maintenance, improving security and reducing the computational resources required for configuration and maintenance.
  • FIG. 2 a method for identifying an encrypted data stream according to an embodiment of the present invention is shown.
  • the method may be applied to a UE.
  • the method shown in FIG. 2 may include:
  • S201 Send a data packet carrying the authentication data, where the authentication data is used by the core network device for authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and Application ID.
  • the core network device can perform authentication according to the technical solution of the foregoing embodiment, thereby establishing an association relationship for identifying the encrypted data stream, so as to implement
  • the detection and statistics of encrypted data flows do not need to rely on plaintext identification, and do not require complex IP address configuration and maintenance, which improves security and reduces the computing resources required for configuration and maintenance.
  • the technical solution shown in FIG. 2 may be implemented in a process of establishing a TLS handshake between the UE and the OTT server, and therefore, the sending bearer has authentication data.
  • Packets including:
  • the authentication data is carried in the plaintext field in the first TLS handshake request
  • the technical solution shown in FIG. 2 may be implemented after the TLS handshake is completed between the UE and the OTT server, and therefore, the sending bearer is authenticated.
  • Data packets including:
  • the authentication request that carries the authentication data in the extended PDCP field is sent to the base station, and after the base station converts the authentication data in the PDCP extension field into a GTP-U extension field, the The authentication request continues to be sent to the user plane of the core network device.
  • the technical solution shown in FIG. 2 may be implemented after the TLS handshake is completed between the UE and the OTT server, but different from the second implementation manner.
  • the authentication request is sent by the UE directly to the control plane of the core network device. Therefore, the sending of the data packet carrying the authentication data includes:
  • the non-access stratum session management NAS-SM message is sent to the control plane of the core network device, where the extended field of the NAS-SM message includes: a first authentication parameter, and a first authentication result.
  • the application identifier and the feature information of the NAS-SM message; wherein the first authentication parameter includes: a random number and a public key Ka; and the feature information of the NAS-SM message includes an IP address of the OTT server, Port number, protocol type, and MAC address of the OTT server.
  • the life cycle of the association relationship may also be determined by the UE, and based on this, preferably, The method further includes:
  • the valid time information is used to indicate an effective duration of the encrypted data stream identification by the association relationship between the feature information of the data packet and the application identifier.
  • the method further includes:
  • the valid time message and the release indication message may be sent by using a NAS message.
  • the method further includes: receiving an authentication result of the control plane reply of the core network device. It can be understood that after receiving the comparison result, the UE can know whether the core network device completes the establishment of the association relationship, thereby determining whether to continue the authentication with the core network device.
  • the specific example introduces a parameter set for the application, and may include, for example, a public key Ka, a random number, a token Token, and an application identifier Application ID.
  • the Ka and the random number are generated by the OTT server, and the authentication algorithm is statically configured on the core network device and the UE through the OTT server.
  • the specific example of the embodiment may be applied to the atypical network architecture shown in FIG. 3, in which the UE accesses the core network through the base station, or may directly connect to the core network device, and the core
  • the network device includes two parts: a user plane and a control plane.
  • the UE connects to the data network (DN, Data Network) through the core network device to implement information interaction with the OTT server.
  • DN Data Network
  • FIG. 4 a specific example process of a method for identifying an encrypted data stream according to an embodiment of the present invention is shown, and the process may include:
  • the OTT server pre-configures the authentication algorithm in the UE and the core network device.
  • the OTT server dynamically generates or updates Ka and random numbers, and sends them to the UE and the core network device.
  • the UE and the core network device can perform calculation according to the authentication algorithm configured in S40A to obtain respective authentication result Tokens.
  • S401 The UE adds a plaintext field in the first TLS handshake request, and adds its own random number and Token, and the application identifier as authentication data to the newly added plaintext field.
  • the UE sends the first TLS handshake request to the user plane of the core network device.
  • the user plane transparently transmits the authentication data to the control plane of the core network device when detecting the first TLS handshake request including the authentication data sent by the UE.
  • the control plane performs calculation according to the configured authentication algorithm according to the Ka and the random number of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison result is Authentication failed.
  • S405 The control plane sends the comparison result to the user plane
  • association relationship enables the core network device to identify the encrypted data stream of the application that is subsequently applied by the application identifier, and collect statistics on the traffic of the encrypted data stream according to the recognition result.
  • control plane sends the comparison result to the UE through the user plane; so that after receiving the comparison result, the UE can learn whether the core network device completes the association.
  • the establishment of the relationship determines whether the authentication with the core network device needs to be continued.
  • the process may include:
  • the OTT server sends an application identifier, a random number, and a Ka to the UE;
  • the carrier network is not visible to this.
  • S501 The UE calculates the Token according to the random number and Ka according to the preset authentication algorithm, and uses its own random number, Token, and application identifier as the authentication request of the authentication data to be carried in the extended PDCP field.
  • S502 The UE sends an authentication request to the base station.
  • the user plane After detecting the authentication request, the user plane transparently transmits the authentication data to the control plane of the core network device.
  • the control plane performs calculation according to the configured authentication algorithm according to the Ka and the random number of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison result is Authentication failed.
  • association relationship enables the core network device to identify the encrypted data stream of the application that is subsequently applied by the application identifier, and collect statistics on the traffic of the encrypted data stream according to the recognition result.
  • control plane sends the comparison result to the UE through the user plane; so that after receiving the comparison result, the UE can learn whether the core network device completes the association.
  • the establishment of the relationship determines whether the authentication with the core network device needs to be continued.
  • the process may include:
  • the OTT server sends an application identifier, a random number, and a Ka to the UE;
  • the carrier network is not visible to this.
  • the UE calculates the Token according to the random number and Ka according to the preset authentication algorithm, and carries the random number, the Ka, the Token, the application identifier, and the feature information of the OTT server as the authentication data to be carried in the extension of the NAS-SM message. In the field.
  • the IP triplet of the OTT server can include the IP address, port number and protocol type of the OTT server.
  • S602 The UE sends a NAS-SM message to a control plane of the core network device, so as to request a session modification from the control plane.
  • the control plane performs calculation according to the configured authentication algorithm according to its own Ka and the random number of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison is successful. The result is that the authentication failed;
  • control plane If the authentication is successful, the control plane generates feature information of the data packet according to the feature information of the OTT server and the feature information of the UE.
  • the control plane transmits the generated feature information of the data packet and the application identifier to the user plane of the core network device.
  • the user plane establishes an association relationship between the feature information of the generated data packet and the application identifier.
  • the control plane returns the comparison result to the UE by using the NAS message.
  • the life cycle can be established for the association relationship in the encrypted data transmission process.
  • the method for transmitting the encrypted data stream shown in FIG. 6B can be applied to the UE and the OTT server.
  • the process of transmitting or transmitting an encrypted data stream the method may include:
  • S61 The UE sends a valid time message to the core network device by using the NAS message.
  • the valid time information is used to indicate an effective duration of the encrypted data stream identification by indicating an association relationship between the feature information of the data packet and the application identifier.
  • the method may further include: S62: in the encrypted data stream transmission process, the core network device sets the data flow filter based on the association relationship;
  • the data flow filter can be regarded as a specific embodiment of the association relationship. Therefore, the life cycle of the association relationship is the same as the life cycle of the data flow filter.
  • the life cycle of the association relationship is the same as the life cycle of the data flow filter.
  • the life cycle of the association relationship may be determined by the indication of the UE in addition to the effective duration described above. Therefore, optionally, as shown in the dotted line frame in FIG. 6B,
  • the core network device releases the data stream filter based on the release indication message.
  • the core network device releases the data flow filter based on the release indication message sent by the UE, it is not necessary to consider the limitation of the effective duration; and, in another specific implementation process, even if the effective duration ends, the encryption is performed. In the case that the data stream transmission has not been terminated, the core network device also does not release the data stream filter until the encrypted data stream is transmitted.
  • the embodiment of the present invention provides a method for transmitting an encrypted data stream applied to a core network device, where the method includes:
  • the valid time message sent by the user equipment UE is received, where the valid time information is used to indicate the effective duration of the encrypted data stream identification by the association relationship.
  • the association relationship is released based on the release indication message.
  • the method further includes:
  • the encrypted data stream transmission is continued with the UE, and the association relationship is released after the encrypted data stream is transmitted.
  • the embodiment of the present invention further provides a method for transmitting an encrypted data stream applied to a UE, where the method is applied to a user equipment UE, and the method includes:
  • FIG. 7A shows a composition of a core network device 70 according to an embodiment of the present invention, which may include: a first receiving portion 701, an authentication portion 702, and an establishing portion 703; among them,
  • the first receiving part 701 is configured to receive a data packet that is sent by the user equipment UE and that carries the authentication data, where the authentication data includes a first authentication parameter, a first authentication result, and an application identifier.
  • the authentication part 702 is configured to obtain a second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter, where the second authentication parameter is pre-stored
  • the application identifier corresponds to an authentication parameter
  • the establishing part 703 is configured to establish an association relationship between the feature information of the data packet and the application identifier when the second authentication result is consistent with the first authentication result;
  • the association relationship is used to identify the encrypted data stream corresponding to the application identifier sent by the UE.
  • the first receiving part 701 is configured to receive a first TLS handshake request sent by the UE in a TLS handshake process established by an application layer session, where the authentication data is carried in The plaintext field in the first TLS handshake request.
  • the first receiving part 701 is configured to: after completing the TLS handshake, the user plane of the core network device receives an authentication request sent by the UE by using the base station; The authentication data is carried in the GTP-U extension field in the authentication request.
  • the first receiving part 701 can be the user plane of the core network device 70, and correspondingly, the authentication part is the control plane of the core network device 70, and the establishing part is the core network device 70. User face.
  • the first receiving part 701 is configured to: after completing the TLS handshake, the control plane of the core network device receives the non-access stratum session management NAS-SM message sent by the UE;
  • the extension field of the NAS-SM message includes: a first authentication parameter, a first authentication result, an application identifier, and feature information of the NAS-SM message; wherein the first authentication parameter includes: The random number and the public key Ka; the feature information of the NAS-SM message includes an IP address, a port number, a protocol type, and a MAC address of the OTT server of the OTT server.
  • the authenticating portion 702 is configured to obtain a second according to the set authentication algorithm according to the random number in the first authentication parameter and the public key in the second authentication parameter. The result of the authentication.
  • the establishing part 703 is configured to:
  • the feature information of the data packet is generated according to the feature information of the OTT server and the feature information of the UE, and the generating is established.
  • the association between the feature information of the data packet and the application identifier includes an IP address, a port number, a protocol type, and a MAC address of the OTT server of the OTT server.
  • the feature information of the UE includes: an IP address, a port, and a MAC address of the UE.
  • the first receiving part 701 and the authentication part 702 can be the control plane of the core network device 70, and correspondingly, the establishing part 703 is the user plane of the core network device 70.
  • the core network device 70 further includes a first sending portion 704 configured to send a comparison result of the second authentication result and the first authentication result.
  • a first sending portion 704 configured to send a comparison result of the second authentication result and the first authentication result.
  • the first transmitting portion 704 is a control plane of the core network device 70.
  • the first receiving part 701 is further configured to receive valid time information sent by the UE, where the valid time information is used to indicate an effective duration of the association relationship for performing encrypted data stream identification.
  • the core network device 70 further includes a control portion 705 configured to release the association relationship if the encrypted data stream transmission is not completed after the valid duration is timed.
  • the first receiving part 701 is further configured to receive a release indication message sent by the UE after the encrypted data stream is transmitted;
  • the control portion 705 is further configured to release the association relationship based on the release indication message.
  • the “part” may be a partial circuit, a partial processor, a partial program or software, etc., of course, may be a unit, a module, or a non-modular.
  • each component in this embodiment may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a software function module.
  • the integrated unit may be stored in a computer readable storage medium if it is implemented in the form of a software function module and is not sold or used as a stand-alone product.
  • the technical solution of the embodiment is essentially Said that the part contributing to the prior art or all or part of the technical solution can be embodied in the form of a software product stored in a storage medium, comprising a plurality of instructions for making a computer device (may It is a personal computer, a server, or a network device, etc. or a processor that performs all or part of the steps of the method described in this embodiment.
  • the foregoing storage medium includes: a U disk, a mobile hard disk, a read only memory (ROM), a random access memory (RAM), a magnetic disk, or an optical disk, and the like, which can store program codes.
  • the embodiment provides a computer readable medium storing an identification program of an encrypted data stream, and the identification program of the encrypted data stream is executed by at least one processor to implement the foregoing embodiment 1.
  • the steps of the method are described in detail below.
  • a specific hardware structure of the core network device 70 may be included, which may include: a first network interface 801, a first memory 802, and a first A processor 803; the various components are coupled together by a bus system 804.
  • bus system 804 is used to implement connection communication between these components.
  • Bus system 804 includes, in addition to the data bus, a power bus, a control bus, and a status signal bus.
  • various buses are labeled as bus system 804 in FIG.
  • the first network interface 801 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a first memory 802 configured to store a computer program capable of running on the first processor 803;
  • the first processor 803 is configured to: when the computer program is executed, execute:
  • the first memory 802 in the embodiments of the present invention may be a volatile memory or a non-volatile memory, or may include both volatile and non-volatile memory.
  • the non-volatile memory may be a read-only memory (ROM), a programmable read only memory (PROM), an erasable programmable read only memory (Erasable PROM, EPROM), or an electric Erase programmable read only memory (EEPROM) or flash memory.
  • the volatile memory can be a Random Access Memory (RAM) that acts as an external cache.
  • RAM Random Access Memory
  • many forms of RAM are available, such as static random access memory (SRAM), dynamic random access memory (DRAM), synchronous dynamic random access memory (Synchronous DRAM).
  • the first memory 802 of the systems and methods described herein is intended to comprise, without being limited to, these and any other suitable types of memory.
  • the first processor 803 may be an integrated circuit chip with signal processing capability. In the implementation process, each step of the foregoing method may be completed by an integrated logic circuit of hardware in the first processor 803 or an instruction in a form of software.
  • the first processor 803 may be a general-purpose processor, a digital signal processor (DSP), an application specific integrated circuit (ASIC), or a field programmable gate array (FPGA). Or other programmable logic devices, discrete gates or transistor logic devices, discrete hardware components.
  • DSP digital signal processor
  • ASIC application specific integrated circuit
  • FPGA field programmable gate array
  • the methods, steps, and logical block diagrams disclosed in the embodiments of the present invention may be implemented or carried out.
  • the general purpose processor may be a microprocessor or the processor may be any conventional processor or the like.
  • the steps of the method disclosed in the embodiments of the present invention may be directly implemented by the hardware decoding processor, or may be performed by a combination of hardware and software modules in the decoding processor.
  • the software module can be located in a conventional storage medium such as random access memory, flash memory, read only memory, programmable read only memory or electrically erasable programmable memory, registers, and the like.
  • the storage medium is located in the first memory 802, and the first processor 803 reads the information in the first memory 802 and completes the steps of the above method in combination with the hardware thereof.
  • the embodiments described herein can be implemented in hardware, software, firmware, middleware, microcode, or a combination thereof.
  • the processing unit can be implemented in one or more Application Specific Integrated Circuits (ASICs), Digital Signal Processing (DSP), Digital Signal Processing Equipment (DSP Device, DSPD), programmable Programmable Logic Device (PLD), Field-Programmable Gate Array (FPGA), general purpose processor, controller, microcontroller, microprocessor, other for performing the functions described herein In an electronic unit or a combination thereof.
  • ASICs Application Specific Integrated Circuits
  • DSP Digital Signal Processing
  • DSP Device Digital Signal Processing Equipment
  • PLD programmable Programmable Logic Device
  • FPGA Field-Programmable Gate Array
  • the techniques described herein can be implemented by modules (eg, procedures, functions, and so on) that perform the functions described herein.
  • the software code can be stored in memory and executed by the processor.
  • the memory can be implemented in the processor or external to the processor.
  • a component of a user equipment 90 which may include: a second sending part 901 configured to send data carrying authentication data.
  • a packet wherein the authentication data is used by the core network device for authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and an application identifier.
  • the second sending part 901 is configured to: in the TLS handshake process established by the application layer session, carry the authentication data in a plaintext field in the first TLS handshake request;
  • the second sending part 901 is configured to: after completing the TLS handshake, send an authentication request that carries the authentication data in the extended PDCP field to the base station, and use the base station to extend the PDCP field. After the authentication data is converted into a GTP-U extension field, the authentication request is further sent to the core network device user plane.
  • the second sending part 901 is configured to: after completing the TLS handshake, send a non-access stratum session management NAS-SM message to a control plane of the core network device; where the NAS-SM message is
  • the extension field includes: a first authentication parameter, a first authentication result, an application identifier, and feature information of the NAS-SM message; wherein the first authentication parameter includes: a random number and a public key Ka;
  • the feature information of the NAS-SM message includes the IP address, port number, protocol type, and MAC address of the OTT server of the OTT server.
  • the UE 90 further includes a second receiving part 902 configured to receive an authentication result of a control plane reply of the core network device.
  • the second sending part 901 is further configured to send a valid time message to the core network device, where the valid time information is used to indicate an association between the feature information of the data packet and the application identifier.
  • the effective duration of the encrypted data stream identification is further configured to send a valid time message to the core network device, where the valid time information is used to indicate an association between the feature information of the data packet and the application identifier.
  • the second sending part 901 is further configured to send a release indication message to the core network device, where the release indication message is used to release the association relationship.
  • the embodiment further provides a computer readable medium storing an identification program of the encrypted data stream, where the identification program of the encrypted data stream is executed by at least one processor to implement the second embodiment
  • the identification program of the encrypted data stream is executed by at least one processor to implement the second embodiment
  • FIG. 11 shows a specific hardware structure of the UE 90 according to an embodiment of the present invention, which may include: a second network interface 1101, a second memory 1102, and a second process. 1103; the various components are coupled together by a bus system 1104.
  • the bus system 1104 is used to implement connection communication between these components.
  • the bus system 1104 includes a power bus, a control bus, and a status signal bus in addition to the data bus.
  • various buses are labeled as bus system 1104 in FIG.
  • the second network interface 1101 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a second memory 1102 configured to store a computer program capable of running on the second processor 1103;
  • the second processor 1103 is configured to: when the computer program is executed, perform:
  • the second processor 1103 in the UE 90 is further configured to perform the method steps described in the foregoing Embodiment 2 when the computer program is executed, and details are not described herein.
  • another core network device 120 including: a message receiving portion 1201, a first transmitting portion 1202, and a control portion 1203;
  • the message receiving portion 1201 is configured to receive a valid time message sent by the user equipment UE after establishing an association relationship between the feature information of the data packet and the application identifier, where the valid time information is used to indicate the association The effective duration of the relationship for identifying the encrypted data stream;
  • the first transmitting part 1202 is configured to perform encrypted data stream transmission with the UE based on the association relationship within the valid duration
  • the message receiving part 1201 is further configured to: after the end of the transmission of the encrypted data stream, receive a release indication message sent by the UE;
  • the control part 1203 is configured to release the association relationship based on the release indication message.
  • control part 1203 is further configured to release the association relationship after the valid duration is finished.
  • the encrypted data stream transmission is continued with the UE, and the first receiving part receives the release indication message after the end of the encrypted data stream transmission, and is released according to the release indication message.
  • the association relationship After the valid duration is timed, the encrypted data stream transmission is continued with the UE, and the first receiving part receives the release indication message after the end of the encrypted data stream transmission, and is released according to the release indication message.
  • the embodiment further provides a computer readable medium storing a transmission program of the encrypted data stream, where the transmission program of the encrypted data stream is executed by at least one processor to implement the foregoing third embodiment
  • the steps of the method described in the specific example four For a detailed description of the computer readable medium, refer to the description in the fourth embodiment, and details are not described herein again.
  • FIG. 13 shows a specific hardware structure of the core network device 120 according to the embodiment of the present invention, which may include: a third network interface 1301 and a third memory 1302. And a third processor 1303; the various components are coupled together by a bus system 1304.
  • the bus system 1304 is used to implement connection communication between these components.
  • the bus system 1304 includes a power bus, a control bus, and a status signal bus in addition to the data bus.
  • various buses are labeled as bus system 1304 in FIG.
  • the third network interface 1301 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • the third processor 1303 is configured to: when the computer program is executed, execute:
  • the valid time message sent by the user equipment UE is received, where the valid time information is used to indicate the effective duration of the encrypted data stream identification by the association relationship.
  • the association relationship is released based on the release indication message.
  • the third processor 1303 in the core network device 120 is further configured to perform the method steps described in the specific example 4 in the foregoing Embodiment 3 when the computer program is executed, and details are not described herein.
  • composition of another UE 140 including: a message sending part 1401 and a second transmitting part 1402, wherein the message sending part 1401, configured to send a valid time message to the core network device, where the valid time information is used to indicate an effective relationship between the relationship between the feature information of the data packet and the application identifier for identifying the encrypted data stream;
  • the second transmitting part 1402 is configured to perform encrypted data stream transmission with the core network device based on the association relationship within the valid duration;
  • the message sending part 1401 is further configured to send a release indication message to the core network device, where the release indication message is used to release the association relationship.
  • the embodiment further provides a computer readable medium storing a transmission program of the encrypted data stream, where the transmission program of the encrypted data stream is executed by at least one processor to implement the foregoing third embodiment
  • the steps of the method described in the specific example four For a detailed description of the computer readable medium, refer to the description in the fourth embodiment, and details are not described herein again.
  • FIG. 15 shows a specific hardware structure of the UE 140 according to an embodiment of the present invention, which may include: a fourth network interface 1501, a fourth memory 1502, and a fourth processor. 1503; the various components are coupled together by a bus system 1504.
  • bus system 1504 is used to implement connection communication between these components.
  • the bus system 1504 includes a power bus, a control bus, and a status signal bus in addition to the data bus.
  • various buses are labeled as bus system 1304 in FIG.
  • the fourth network interface 1501 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a fourth memory 1502 configured to store a computer program capable of running on the fourth processor 1503;
  • the fourth processor 1503 is configured to: when the computer program is executed, execute:
  • FIG. 16 illustrates an encryption traffic identification system 160 according to an embodiment of the present invention, including a core network device 70 and a user equipment 90, wherein
  • the user equipment 90 is configured to send a data packet carrying the authentication data, where the authentication data is used by the core network device 70 for authentication, and the authentication data includes: a first authentication parameter , the first authentication result and the application identifier;
  • the core network device 70 is configured to receive a data packet that is sent by the user equipment UE90 and that carries the authentication data.
  • the core network device 70 in this embodiment may be the core network device 70 described in any of the foregoing embodiments; and the user device 90 may preferably be the user device in any of the foregoing embodiments. 90.
  • embodiments of the present invention can be provided as a method, system, or computer program product. Accordingly, the present invention can take the form of a hardware embodiment, a software embodiment, or a combination of software and hardware. Moreover, the present invention can take the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage and optical storage, etc.) including computer usable program code.
  • the computer program instructions can also be stored in a computer readable memory that can direct a computer or other programmable data processing device to operate in a particular manner, such that the instructions stored in the computer readable memory produce an article of manufacture comprising the instruction device.
  • the apparatus implements the functions specified in one or more blocks of a flow or a flow and/or block diagram of the flowchart.
  • These computer program instructions can also be loaded onto a computer or other programmable data processing device such that a series of operational steps are performed on a computer or other programmable device to produce computer-implemented processing for execution on a computer or other programmable device.
  • the instructions provide steps for implementing the functions specified in one or more of the flow or in a block or blocks of a flow diagram.
  • the core network device performs authentication with the UE during the TLS handshake process between the UE and the OTT server, or after the handshake is completed, thereby establishing an association relationship for identifying the encrypted data stream, so as to implement detection of the encrypted data stream.
  • statistics without relying on plaintext identification, and eliminating the need for complex IP address configuration and maintenance, improving security and reducing the computing resources required for configuration and maintenance.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例提供了一种加密数据流的识别方法、设备、可读存储介质及系统；该方法可以应用于核心网设备，所述方法包括：接收用户设备 UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述 UE 发送的与所述应用标识对应的加密数据流进行识别。

Description

一种加密数据流的识别方法、设备、存储介质及系统
相关申请的交叉引用
本申请基于国际申请号为PCT/CN2017/106349、国际申请日为2017年10月16日、发明名称为“一种加密数据流的识别方法、设备、存储介质及系统”的PCT国际申请提出，并要求该PCT国际申请的优先权，该PCT国际申请的全部内容在此引入本申请作为参考。
技术领域
本发明实施例涉及网络安全技术领域，尤其涉及一种加密数据流的识别方法、设备、可读存储介质及系统。
背景技术
超文本传输协议(HTTP，HyperText Transfer Protocol)2.0版本出现之后，所有的HTTP层及HTTP层以上的应用层数据流均能够通过安全传输层协议(TLS，Transport Layer Security Protocol)协议进行加密，而运营商所提供的网络设备无法对加密数据流进行识别。
针对该问题，目前通常采用TLS层的某些明文标识在TLS协议的握手过程中对应用的加密数据流进行识别。但是，由于明文标识容易被破解，具有不安全的隐患，并且后续的TLS协议中不再支持明文标识。基于此，当前相关技术中并没有提出不依赖于明文标识对加密数据流进行识别的方案和机制。
发明内容
为解决上述技术问题，本发明实施例期望提供一种加密数据流的识别方法、设备、可读存储介质及系统；能够不依赖于明文标识就可以对加密数据流进行识别，提升了识别的安全性。
本发明实施例的技术方案可以如下实现：
第一方面，本发明实施例提供了一种加密数据流的识别方法，所述方法应用于核心网设备，所述方法包括：
接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
第二方面，本发明实施例提供了一种加密数据流的识别方法，所述方法应用于用户设备UE，所述方法包括：发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
第三方面，本发明实施例提供了一种核心网设备，包括：第一接收部分、鉴权部分和建立部分；其中，所述第一接收部分，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
所述鉴权部分，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
所述建立部分，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
第四方面，本发明实施例提供了一种用户设备UE，其中，所述UE包括：第二发送部分，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
第五方面，本发明实施例提供了一种核心网设备，其中，第一网络接口，第一存储器和第一处理器；其中，
所述第一网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
所述第一存储器，用于存储能够在所述第一处理器上运行的计算机程序；
所述第一处理器，用于在运行所述计算机程序时，执行第一方面中所述方法的步骤。
第六方面，本发明实施例提供了一种用户设备UE，其中，所述UE包括：第二网络接口、第二存储器和第二处理器；其中，所述第二网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
所述第二存储器，用于存储能够在第二处理器上运行的计算机程序；
所述第二处理器，用于在运行所述计算机程序时，执行第二方面所述方法的步骤。
第七方面，本发明实施例提供了一种计算机可读介质，所述计算机可读介质存储有接入链路的管理程序，所述接入链路的管理程序被至少一个处理器执行时实现第一方面或第二方面所述的方法的步骤。
第八方面，本发明实施例提供了一种加密流量的识别系统，包括核心网设备以及用户设备，其中，所述用户设备，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识；
所述核心网设备，配置为接收用户设备UE发送的承载有鉴权数据的数据包；
基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
本发明实施例提供了一种加密数据流的识别方法、设备、可读存储介质及系统；核心网设备在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
附图说明
图1为本发明实施例提供的一种加密数据流的识别方法流程示意图；
图2为本发明实施例提供的另一种加密数据流的识别方法流程示意图；
图3为本发明实施例提供的一种网络架构示意图；
图4为本发明实施例提供的一种加密数据流的识别方法的具体示例流程示意图；
图5为本发明实施例提供的另一种加密数据流的识别方法的具体示例流程示意图；
图6A为本发明实施例提供的又一种加密数据流的识别方法的具体示例流程示意图；
图6B为本发明实施例提供的一种加密数据流的传输方法流程示意图；
图7A为本发明实施例提供的一种核心网设备的组成示意图；
图7B为本发明实施例提供的另一种核心网设备的组成示意图；
图7C为本发明实施例提供的又一种核心网设备的组成示意图；
图8为本发明实施例提供的一种核心网设备的具体硬件结构示意图；
图9为本发明实施例提供的一种用户设备的组成示意图；
图10为本发明实施例提供的另一种用户设备的组成示意图；
图11为本发明实施例提供的一种用户设备的具体硬件结构示意图；
图12为本发明实施例提供的再一种核心网设备的组成示意图；
图13为本发明实施例提供了又一种核心网设备的具体硬件结构示意图；
图14为本发明实施例提供的又一种用户设备的组成示意图；
图15为本发明实施例提供的又一种用户设备的具体硬件结构示意图；
图16为本发明实施例提供的一种加密流量的识别系统组成示意图。
具体实施方式
为了能够更加详尽地了解本发明实施例的特点与技术内容，下面结合附图对本发明实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明实施例。
目前，在第三代合作伙伴计划(3GPP，3rd Generation Partnership Project)的业务和系统方面工作组2(SA2，Service and System Aspects Working Group)中定义了应用级别数据，用于对应用的流 量进行识别。基于此，第三方OTT(Over The Top)服务商可以主动向运营商网络发起针对应用流量的识别规则进行安装或更新或删除的操作，从而使运营商网络具备识别业务的能力。但是，仍然没有针对业务的加密数据流进行识别的相关机制
基于上述内容，提出以下实施例。
实施例一
参见图1，其示出了本发明实施例提供的一种加密数据流的识别方法，该方法可以应用于核心网设备中，可以理解地，本实施例所述的核心网设备，包括用户面和控制面两个部分；因此，本实施例所述的核心网设备既可以是包括用户面和控制面两个部分的单一实体设备，也可以是由用户面和控制面两个实体形成的核心网中的逻辑网元设备，本实施例对此不做具体限定，图1所示的方法可以包括：
S101：接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
S102：基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；
其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；可以理解地，第二鉴权参数可以由OTT服务器生成，并预先配置在核心网设备中；而第一鉴权参数也可以由OTT服务器生成，预先配置在UE中；而设定的鉴权算法可以静态地预先配置在UE和核心网设备中。
S103：当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；
其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
并且，所述数据包的特征信息可以包括以下至少一项或多项：网络协议IP源地址、IP源端口号、IP目的地址、IP目的端口号、媒体接入控制(MAC，Media Access Control)源地址、IP源端口号、MAC目的地址、MAC目的端口号、协议类型以及虚拟局域网(VLAN，Virtual Local Area Network)标签。
通过图1所示的技术方案，核心网设备能够通过上述关联关系针对应用标识所表示的应用程序的加密数据流进行识别，从而进一步地实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
可以理解地，基于所述数据包的特征信息可能包含层3特征，即IP源地址、IP源端口号、IP目的地址、IP目的端口号、IP源端口号；也可能包含层2特征，即媒体接入控制(MAC，Media Access Control)源地址、MAC目的地址、MAC目的端口号、协议类型以及虚拟局域网(VLAN，Virtual Local Area Network)标签；上述关联关系不仅是数据包层3特征与应用标识之间的关联关系，而且也可以是层2特征与应用标识之间的关联关系，由此可知，当数据包通过非IP数据包传输时，仍然可以通过该关联关系针对应用标识所表示的应用程序的加密数据流进行识别。
对于图1所示的技术方案，在第一种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器建立TLS握手过程中进行实施，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
在应用层会话建立的TLS握手过程中，所述核心网设备的用户面接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
具体来说，对于上述实现方式，UE可以在首次TLS握手请求中新增加一个明文字段，并将鉴权数据加入该新增的明文字段。
相应于上述实现方式，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
所述核心网设备的用户面从所述首次TLS握手请求中的明文字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
需要说明的是，核心网设备的控制面在获取到所述鉴权数据后，就能够按照鉴权数据来执行图1所示方案中的S102，并且将所述第二鉴权结果与所述第一鉴权结果进行比对后向核心网设备用户面发送比对结果，从而核心网设备用户面根据比对结果确定是否执行S103，可以理解地，当所述第二鉴权结果与所述第一鉴权结果比对不一致时，则忽略该比对结果。
对于图1所示的技术方案，在第二种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中， 所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
具体来说，对于上述实现方式，鉴权请求是在完成了应用层TLS握手后，由UE主动发起的。UE可以将鉴权数据承载于扩展的PDCP字段中发送给基站侧，而基站侧则可以将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段，继续发送给核心网设备用户面。
相应于上述实现方式，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
所述核心网设备的用户面从鉴权请求中的GTP-U扩展字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
同理于上述实现方式，需要说明的是，核心网设备的控制面在获取到所述鉴权数据后，就能够按照鉴权数据来执行图1所示方案中的S102，并且将所述第二鉴权结果与所述第一鉴权结果进行比对后向核心网设备用户面发送比对结果，从而核心网设备用户面根据比对结果确定是否执行S103，可以理解地，当所述第二鉴权结果与所述第一鉴权结果比对不一致时，则忽略该比对结果。
针对上述两种实现方式，优选地，所述第一鉴权参数包括随机数，所述第二鉴权参数包括公共密钥Ka；或者，所述第一鉴权参数包括公共密钥Ka，所述第二鉴权参数包括随机数。
对于随机数，需要说明的是，该随机数可以是基于预设的随机数生成策略所生成的随机数；除此之外，该随机数还可以是随着当前时间和/或UE当前所在地点相应变更的数，从而实现每个随机数之间都是不同的。举例来说，通常UE当前所在的地点与UE的IP地址之间具有相关性，不同UE之间，其IP地址也相应不同。因此，随机数可以由当前时间戳与UE的IP地址组成得到，从而能够实现当UE、时间以及地点中至少一项不同时，其对应的随机数也是不同。也就实现了每个随机数之间都是不同的效果。
可以理解地，在本发明实施例中，后续关于随机数的具体生成过程可以按照上述说明实现，不再赘述。
针对上述两种实现方式，优选地，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
所述核心网设备的控制面基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果。
针对上述两种实现方式，优选地，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系，包括：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面将比对结果传输至所述核心网用户面；
所述核心网设备的用户面建立所述数据包的特征信息与所述应用标识之间的关联关系。
对于图1所示的技术方案，在第三种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，但与第二种实现方式不同的地方在于，鉴权请求由UE直接向核心网设备的控制面发送，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；
其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括至少一项或多项：OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
相应于上述实现方式，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
所述核心网设备的控制面根据所述第一鉴权参数中的随机数以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
相应于上述实现方式，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系，包括：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面根据所述OTT服务器的特征信息以及所述UE的特征信息生成所述数据包的特征信息，并将生成的所述数据包的特征信息和所述应用标识传输至所述核心网设备的用户面；具体来说，OTT服务器的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址；UE的特征信息包括：UE的IP地址、端口和MAC地址。
所述核心网设备的用户面建立所述生成的数据包的特征信息和所述应用标识之间的关联关系。
对于图1所示的技术方案，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果后，所述方法还包括：
所述核心网设备的控制面通过所述核心网设备的用户面将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
可以理解地，UE在接收到比对结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否继续进行与核心网设备之间的鉴权。
此外，对于图1所示的技术方案，数据包的特征信息与所述应用标识之间的关联关系建立完成之后，可以针对其设置生命周期，具体来说，图1所示的技术方案还可以包括：接收所述UE发送的有效时间信息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长。可以理解地，上述有效时长可以作为该关联关系的生命周期。因此，优选来说，所述方法还可以包括：当所述有效时长计时完毕后，若加密数据流传输未完成，释放所述关联关系。
另外，该关联关系还可以通过UE的指示进行释放，基于此，可以无需考虑生命周期即有效时长，优选来说，所述方法还包括：
在所述有效时长内或所述有效时长结束，接收所述UE发送的释放指示消息；
基于所述释放指示消息释放所述关联关系。
需要说明的是，上述有效时间消息以及释放指示消息均可以通过NAS消息进行发送。
本实施例提供了一种应用于核心网设备的加密数据流的识别方法，能够在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
实施例二
基于前述实施例相同的发明构思，参见图2，其示出了本发明实施例提供的一种加密数据流的识别方法，该方法可以应用于UE中，图2所示的方法可以包括：
S201：发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
可以理解地，当UE将鉴权数据发送至核心网设备之后，核心网设备就能够按照前述实施例的技术方案进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
对于图2所示的技术方案，在第一种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器建立TLS握手过程中进行实施，因此，所述发送承载有鉴权数据的数据包，包括：
在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
对于图2所示的技术方案，在第二种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，因此，所述发送承载有鉴权数据的数据包，包括：
在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
对于图2所示的技术方案，在第三种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，但与第二种实现方式不同的地方在于，鉴权请求由UE直接向核心网设备的控制面发送，因此，所述发送承载有鉴权数据的数据包，包括：
在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括所OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
此外，对于图2所示的技术方案，当核心网设备建立数据包的特征信息与应用标识之间的关联关系之后，还可以通过UE来确定该关联关系的生命周期，基于此，优选地，所述方法还包括：
向所述核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
优选地，所述方法还包括：
向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
需要说明的是，上述有效时间消息以及释放指示消息均可以通过NAS消息进行发送。
对于图2所示的技术方案，当核心网设备鉴权完毕后，所述方法还包括：接收核心网设备的控制面回复的鉴权结果。可以理解地，UE在接收到比对结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否继续进行与核心网设备之间的鉴权。
实施例三
基于前述实施例相同的发明构思，本实施例通过以下具体示例对前述两个实施例的技术方案进行详细地阐述。
针对具体示例需要说明的是，具体示例引入了针对应用程序的参数组，举例来说，可以包括：公共秘钥Ka、随机数、令牌Token、应用标识Application ID。其中，Ka和随机数结合预先设定的鉴权算法来生成Token，若以鉴权算法为HASH算法为例，则可以得到Token＝HASH(Ka，随机数)；因此，公共秘钥Ka、随机数为鉴权参数，Token可以为鉴权结果，应用标识Application ID用来表示对应的应用程序。需要指出的是，Ka和随机数由OTT服务器生成，鉴权算法通过OTT服务器静态配置在核心网设备和UE上。综上，本实施例的具体示例可以应用于如图3所示的非典型的网络架构中，在该网络架构中，UE通过基站接入核心网，或者可以直接与核心网设备相连接，核心网设备中包括用户面和控制面两个部分，UE通过核心网设备连接数据网络(DN，Data Network)，实现与OTT服务器之间的信息交互。基于上述网络架构，提出以下具体示例。
具体示例一
参见图4，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程可以包括：
S40A：OTT服务器将鉴权算法预先配置在UE以及核心网设备中；
S40B：OTT服务器动态生成或更新Ka和随机数，并发往UE和核心网设备；
可以理解地，UE和核心网设备各自在接收到Ka和随机数后，可以按照S40A中配置的鉴权算法进行计算，分别得到各自的鉴权结果Token。
S401：UE在首次TLS握手请求中新增明文字段，并将自身的随机数和Token，以及应用标识作为鉴权数据加入到新增的明文字段中；
S402：UE将首次TLS握手请求发送至核心网设备的用户面；
S403：用户面在检测到首次TLS握手请求中包括UE发送的鉴权数据时，将鉴权数据透传给核心网设备的控制面；
S404：控制面根据自身的Ka以及UE的随机数按照配置的鉴权算法进行计算，并将计算结果与UE的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败。
S405：控制面将比较结果发送至用户面；
S406：若鉴权成功，用户面建立首次TLS握手请求的特征信息与所述应用标识之间的关联关系。
可以理解地，该关联关系能够使得核心网设备识别后续该应用标识对表示的应用程序的加密数据流，并根据识别结果对加密数据流的流量进行统计。
可选地，在本实施例中，如虚线箭头所示，S407：控制面将比较结果通过用户面发送至UE；从而使得UE在接收到比较结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否需要继续进行与核心网设备之间的鉴权。
具体示例二
参见图5，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程实施于UE与OTT服务器之间完成TLS握手后，该流程可以包括：
S50A：TLS握手完成后，HTTP内容全部加密；
S50B：OTT服务器将向UE发送应用标识，随机数和Ka；
可以理解地，OTT向UE发送上述信息时，运营商网络对此不可见。
S501：UE根据随机数与Ka按照预先设置的鉴权算法计算出Token，并将自身的随机数、Token以及应用标识作为鉴权数据承载于扩展的PDCP字段的鉴权请求。
S502：UE将鉴权请求发送至基站；
S503：基站将鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面；
S504：用户面在检测到鉴权请求中包括鉴权数据后，将鉴权数据透传至核心网设备的控制面；
S505：控制面根据自身的Ka以及UE的随机数按照配置的鉴权算法进行计算，并将计算结果与UE的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败。
S506：控制面将比较结果发送至用户面；
S507：若鉴权成功，用户面建立鉴权请求的特征信息与所述应用标识之间的关联关系。
可以理解地，该关联关系能够使得核心网设备识别后续该应用标识对表示的应用程序的加密数据流，并根据识别结果对加密数据流的流量进行统计。
可选地，在本实施例中，如虚线箭头所示，S508：控制面将比较结果通过用户面发送至UE；从而使得UE在接收到比较结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否需要继续进行与核心网设备之间的鉴权。
具体示例三
参见图6A，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程实施于UE与OTT服务器之间完成TLS握手后，该流程可以包括：
S60A：TLS握手完成后，HTTP内容全部加密；
S60B：OTT服务器将向UE发送应用标识，随机数和Ka；
可以理解地，OTT向UE发送上述信息时，运营商网络对此不可见。
S601：UE根据随机数与Ka按照预先设置的鉴权算法计算出Token，并将自身的随机数、Ka、Token、应用标识和OTT服务器的特征信息作为鉴权数据承载于NAS-SM消息的扩展字段中。
可以理解地，OTT服务器的IP三元组可以包括OTT服务器的IP地址、端口号和协议类型。
S602：UE向核心网设备的控制面发送NAS-SM消息，从而向控制面请求会话修改；
S603：控制面根据自身的自身的Ka以及UE的随机数按照配置的鉴权算法进行计算，并将计算结果与UE的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败；
S604：若鉴权成功，控制面根据所述OTT服务器的特征信息以及所述UE的特征信息生成数据包的特征信息；
S605：控制面将生成的数据包的特征信息和所述应用标识传输至所述核心网设备的用户面；
S606：用户面建立生成的数据包的特征信息和所述应用标识之间的关联关系。
S607：用户面建立完成后，通知控制面更新完成。
S608：控制面通过NAS消息向UE回复比较结果。
具体示例四
基于前述具体示例完成关联关系建立之后，还可以在加密数据传输过程中为该关联关系建立生命周期，基于此，参见图6B所示的加密数据流的传输方法，可以应用于UE与OTT服务器之间即将或正在传输加密数据流的过程，该方法可以包括：
S61：UE通过NAS消息向核心网设备发送有效时间消息；
其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
可以理解地，上述有效时长表征了关联关系的生命周期，基于此，该方法还可以包括S62：在加密数据流传输过程中，核心网设备基于关联关系设置数据流过滤器；
在该步骤中，数据流过滤器可以认为是关联关系的具体体现，因此，关联关系的生命周期与数据流过滤器的生命周期相同，可选地，参见图6B中虚线框所示，
S63A：在有效时间消息所指示的有效时长结束后，释放数据流过滤器。
此外，关联关系的生命周期除了上述有效时长以外，还可以通过UE的指示进行确定，因此，可选地，参见图6B中点划线框所示，
S63B：加密数据流传输结束后，UE通过NAS消息向核心网设备释放指示消息；
S64B：核心网设备基于所述释放指示消息释放所述数据流过滤器。
可以理解地，当核心网设备基于UE发送的释放指示消息针对数据流过滤器进行释放时，可以无需考虑有效时长的限制；而且，在另一种具体实现过程中，即使有效时长结束，但是加密数据流传输还未终止的情况下，核心网设备同样不释放该数据流过滤器，直至加密数据流传输完毕才进行释放。
基于上述具体示例四，本发明实施例提供了一种应用于核心网设备的加密数据流的传输方法，所述方法包括：
在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
接收所述UE发送的释放指示消息；
基于所述释放指示消息释放所述关联关系。
在上述方案中，所述方法还包括：
在所述有效时长计时完毕后，释放所述关联关系；或者，
在所述有效时长计时完毕后，继续与所述UE进行加密数据流传输，直至所述加密数据流传输结束后释放所述关联关系。
此外，基于上述具体示例四，本发明实施例还提供了一种应用于UE的加密数据流的传输方法，所述方法应用于用户设备UE，所述方法包括：
向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
实施例四
基于前述实施例相同的发明构思，参见图7A，其示出了本发明实施例提供的一种核心网设备70的组成，可以包括：第一接收部分701、鉴权部分702和建立部分703；其中，
所述第一接收部分701，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
所述鉴权部分702，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
所述建立部分703，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
在一种可能的实现方式中，所述第一接收部分701，配置为在应用层会话建立的TLS握手过程中，接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
在一种可能的实现方式中，所述第一接收部分701，配置为：在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
可以理解地，在上述两个实现方式中，第一接收部分701可以为核心网设备70的用户面，相应地，鉴权部分为核心网设备70的控制面，建立部分为核心网设备70的用户面。
在一种可能的实现方式中，所述第一接收部分701，配置为在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
在上述实现方式中，所述鉴权部分702，配置为根据所述第一鉴权参数中的随机数以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
在上述实现方式中，所述建立部分703，配置为：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，根据所述OTT服务器的特征信息以及所述UE的特征信息生成所述数据包的特征信息，并建立所述生成的数据包的特征信息和所述应用标识之间的关联关系。具体来说，OTT服务器的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址；UE的特征信息包括：UE的IP地址、端口和MAC地址。
可以理解地，在上述实现方式中，第一接收部分701和鉴权部分702可以为核心网设备70的控制面，相应地，建立部分703为核心网设备70的用户面。
在一种可能的实现方式中，参见图7B，所述核心网设备70还包括第一发送部分704，配置为将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。需要说明的是，第一发送部分704为核心网设备70的控制面。
在上述方案中，所述第一接收部分701，还配置为接收所述UE发送的有效时间信息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长。
在上述方案中，参见图7C，所述核心网设备70还包括控制部分705，配置为当所述有效时长计时完毕后，若加密数据流传输未完成，释放所述关联关系。
在上述方案中，所述第一接收部分701，还配置为加密数据流传输完毕后，接收所述UE发送的释放指示消息；
所述控制部分705，还配置为基于所述释放指示消息释放所述关联关系。
可以理解地，在本实施例中，“部分”可以是部分电路、部分处理器、部分程序或软件等等，当然也可以是单元，还可以是模块也可以是非模块化的。
另外，在本实施例中的各组成部分可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。
所述集成的单元如果以软件功能模块的形式实现并非作为独立的产品进行销售或使用时，可以存储在一个计算机可读取存储介质中，基于这样的理解，本实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或processor(处理器)执行本实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
因此，本实施例提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现上述实施例一所述的方法的步骤。
基于上述核心网设备70以及计算机可读介质，参见图8，其示出了本发明实施例提供的核心网设备70的具体硬件结构，可以包括：第一网络接口801、第一存储器802和第一处理器803；各个组件通过总线系统804耦合在一起。可理解，总线系统804用于实现这些组件之间的连接通信。总线系统804除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图8中将各种总线都标为总线系统804。其中，第一网络接口801，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第一存储器802，用于存储能够在第一处理器803上运行的计算机程序；
第一处理器803，用于在运行所述计算机程序时，执行：
接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
可以理解，本发明实施例中的第一存储器802可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(Read-Only Memory，ROM)、可编程只读存储器(Programmable ROM，PROM)、可擦除可编程只读存储器(Erasable PROM，EPROM)、电可擦除可编程只读存储器(Electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(Random Access Memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(Static RAM，SRAM)、动态随机存取存储器(Dynamic RAM，DRAM)、同步动态随机存取存储器(Synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(Double Data Rate SDRAM，DDRSDRAM)、增强型同步动态随机存取存储器(Enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(Synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(Direct Rambus RAM，DRRAM)。本文描述的系统和方法的第一存储器802旨在包括但不限于这些和任意其它适合类型的存储器。
而第一处理器803可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过第一处理器803中的硬件的集成逻辑电路或者软件形式的指令完成。上述的第一处理器803可以是通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可 以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于第一存储器802，第一处理器803读取第一存储器802中的信息，结合其硬件完成上述方法的步骤。
可以理解的是，本文描述的这些实施例可以用硬件、软件、固件、中间件、微码或其组合来实现。对于硬件实现，处理单元可以实现在一个或多个专用集成电路(Application Specific Integrated Circuits，ASIC)、数字信号处理器(Digital Signal Processing，DSP)、数字信号处理设备(DSP Device，DSPD)、可编程逻辑设备(Programmable Logic Device，PLD)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)、通用处理器、控制器、微控制器、微处理器、用于执行本申请所述功能的其它电子单元或其组合中。
对于软件实现，可通过执行本文所述功能的模块(例如过程、函数等)来实现本文所述的技术。软件代码可存储在存储器中并通过处理器执行。存储器可以在处理器中或在处理器外部实现。
具体来说，核心网设备70中的第一处理器803还配置为运行所述计算机程序时，执行前述实施例一中所述的方法步骤，这里不再进行赘述。
实施例五
基于前述实施例相同的发明构思，参见图9，其示出了本发明实施例提供的一种用户设备90的组成，可以包括：第二发送部分901，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
在上述方案中，所述第二发送部分901，配置为：在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
在上述方案中，所述第二发送部分901，配置为：在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
在上述方案中，所述第二发送部分901，配置为：在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
在上述方案中，参见图10，所述UE 90还包括第二接收部分902，配置为接收核心网设备的控制面回复的鉴权结果。
在上述方案中，所述第二发送部分901，还配置为向所述核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
在上述方案中，所述第二发送部分901，还配置为向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现上述实施例二所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述UE 90的组成以及计算机可读介质，参见图11，其示出了本发明实施例提供的UE 90的具体硬件结构，可以包括：第二网络接口1101、第二存储器1102和第二处理器1103；各个组件通过总线系统1104耦合在一起。可理解，总线系统1104用于实现这些组件之间的连接通信。总线系统1104除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图11中将各种总线都标为总线系统1104。其中，所述第二网络接口1101，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第二存储器1102，用于存储能够在第二处理器1103上运行的计算机程序；
第二处理器1103，用于在运行所述计算机程序时，执行：
发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
可以理解地，本实施例中UE 90的具体硬件结构中的组成部分，与实施例四中的相应部分类似，在此不做赘述。
具体来说，UE 90中的第二处理器1103，还配置为运行所述计算机程序时，执行前述实施例二中所述的方法步骤，这里不再进行赘述。
实施例六
基于前述实施例相同的发明构思，参见图12，其示出了本发明实施例提供的另一种核心网设备120，包括：消息接收部分1201、第一传输部分1202和控制部分1203；其中，所述消息接收部分1201，配置为在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
所述第一传输部分1202，配置为在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
所述消息接收部分1201，还配置为在所述加密数据流传输结束后，接收所述UE发送的释放指示消息；
所述控制部分1203，配置为基于所述释放指示消息释放所述关联关系。
在上述方案中，所述控制部分1203，还配置为在所述有效时长计时完毕后，释放所述关联关系；或者，
在所述有效时长计时完毕后，继续与所述UE进行加密数据流传输，直至所述加密数据流传输结束后所述第一接收部分接收所述释放指示消息，并基于所述释放指示消息释放所述关联关系。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的传输程序，所述加密数据流的传输程序被至少一个处理器执行时实现上述实施例三中具体示例四所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述核心网设备120的组成以及计算机可读介质，参见图13，其示出了本发明实施例提供的核心网设备120的具体硬件结构，可以包括：第三网络接口1301、第三存储器1302和第三处理器1303；各个组件通过总线系统1304耦合在一起。可理解，总线系统1304用于实现这些组件之间的连接通信。总线系统1304除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图13中将各种总线都标为总线系统1304。其中，所述第三网络接口1301，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第三存储器1302，用于存储能够在第三处理器1303上运行的计算机程序；
第三处理器1303，用于在运行所述计算机程序时，执行：
在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
在所述加密数据流传输结束后，接收所述UE发送的释放指示消息；
基于所述释放指示消息释放所述关联关系。
可以理解地，本实施例中核心网设备120的具体硬件结构中的组成部分，与实施例四中的相应部分类似，在此不做赘述。
具体来说，核心网设备120中的第三处理器1303，还配置为运行所述计算机程序时，执行前述实施例三中具体示例四所述的方法步骤，这里不再进行赘述。
实施例七
基于前述实施例相同的发明构思，参见图14，其示出了本发明实施例提供的另一种UE140的组成，包括：消息发送部分1401和第二传输部分1402，其中，所述消息发送部分1401，配置为向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
所述第二传输部分1402，配置为在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
所述消息发送部分1401，还配置为向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的传输程序，所述加密数据流的传输程序被至少一个处理器执行时实现上述实施例三中具体示例四所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述UE140的组成以及计算机可读介质，参见图15，其示出了本发明实施例提供的UE 140的具体硬件结构，可以包括：第四网络接口1501、第四存储器1502和第四处理器1503；各个组件通过总线系统1504耦合在一起。可理解，总线系统1504用于实现这些组件之间的连接通信。总线系统1504除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图15中将各种总线都标为总线系统1304。其中，所述第四网络接口1501，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第四存储器1502，用于存储能够在第四处理器1503上运行的计算机程序；
第四处理器1503，用于在运行所述计算机程序时，执行：
向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
可以理解地，本实施例中UE 140的具体硬件结构中的组成部分，与实施例四中的相应部分类似，在此不做赘述。
实施例八
基于前述实施例相同的发明构思，参见图16、其示出了本发明实施例提供的一种加密流量的识别系统160组成，包括核心网设备70以及用户设备90，其中，
所述用户设备90，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备70进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识；
所述核心网设备70，配置为接收用户设备UE90发送的承载有鉴权数据的数据包；
基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE 90发送的与所述应用标识对应的加密数据流进行识别。
具体实现过程中，本实施例中的核心网设备70可以优选为前述任一实施例中所述的核心网设备70；而用户设备90则可以优选为前述任一实施例中所述的用户设备90。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。
工业实用性
本实施例中，核心网设备在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。

Claims (50)

  1. 一种加密数据流的识别方法，所述方法应用于核心网设备，所述方法包括：
    接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
    基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别；所述数据包的特征信息可以包括以下至少一项或多项：网络协议IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、IP源端口号、媒体接入控制MAC目的地址、MAC目的端口号、协议类型以及虚拟局域网VLAN标签。
  2. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在应用层会话建立的TLS握手过程中，所述核心网设备的用户面接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
  3. 根据权利要求2所述的方法，其中，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
    所述核心网设备的用户面从所述首次TLS握手请求中的明文字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
  4. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
  5. 根据权利要求4所述的方法，其中，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：所述核心网设备的用户面从鉴权请求中的GTP-U扩展字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
  6. 根据权利要求2至4任一项所述的方法，其中，所述第一鉴权参数包括随机数；所述第二鉴权参数包括公共密钥Ka。
  7. 根据权利要求2至4任一项所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
    所述核心网设备的控制面基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果。
  8. 根据权利要求2至4任一项所述的方法，其中，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系，包括：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面将比对结果传输至所述核心网用户面；
    所述核心网设备的用户面建立所述数据包的特征信息与所述应用标识之间的关联关系。
  9. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
  10. 根据权利要求9所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
    所述核心网设备的控制面根据所述第一鉴权参数中的随机数以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
  11. 根据权利要求9或10所述的方法，其中，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系，包括：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面根据所述OTT服务器的特征信息以及所述UE的特征信息生成所述数据包的特征信息，并将生成的数据包的特征信息和所述应用标识传输至所述核心网设备的用户面；其中，所述UE的特征信息包括：UE的IP地址、端口和MAC地址；
    所述核心网设备的用户面建立所述生成的数据包的特征信息和所述应用标识之间的关联关系。
  12. 根据权利要求1所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果后，所述方法还包括：
    所述核心网设备的控制面通过所述核心网设备的用户面将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
  13. 根据权利要求1至12任一项所述的方法，其中，所述方法还包括：
    接收所述UE发送的有效时间信息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长。
  14. 根据权利要求13所述的方法，其中，所述方法还包括：
    当所述有效时长计时完毕后，若加密数据流传输未完成，释放所述关联关系。
  15. 根据权利要求14所述的方法，其中，所述方法还包括：
    在所述有效时长内或所述有效时长结束，接收所述UE发送的释放指示消息；
    基于所述释放指示消息释放所述关联关系。
  16. 一种加密数据流的传输方法，所述方法应用于核心网设备，所述方法包括：
    在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
    在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
    接收所述UE发送的释放指示消息；
    基于所述释放指示消息释放所述关联关系。
  17. 根据权利要求16所述的方法，其中，所述方法还包括：
    在所述有效时长计时完毕后，释放所述关联关系；或者，
    在所述有效时长计时完毕后，继续与所述UE进行加密数据流传输，直至所述加密数据流传输结束后释放所述关联关系。
  18. 一种加密数据流的识别方法，所述方法应用于用户设备UE，所述方法包括：
    发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
  19. 根据权利要求18所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
    将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
  20. 根据权利要求18所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
  21. 根据权利要求18所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
  22. 根据权利要求18所述的方法，其中，所述方法还包括：
    接收核心网设备的控制面回复的鉴权结果。
  23. 根据权利要求18至22任一项所述的方法，其中，所述方法还包括：
    向所述核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息 与应用标识之间的关联关系进行加密数据流识别的有效时长。
  24. 根据权利要求18至22任一项所述的方法，其中，所述方法还包括：
    向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
  25. 一种加密数据流的传输方法，所述方法应用于用户设备UE，所述方法包括：
    向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
    在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
    向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
  26. 一种核心网设备，包括：第一接收部分、鉴权部分和建立部分；其中，
    所述第一接收部分，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
    所述鉴权部分，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
    所述建立部分，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别；所述数据包的特征信息可以包括以下至少一项或多项：网络协议IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、IP源端口号、媒体接入控制MAC目的地址、MAC目的端口号、协议类型以及虚拟局域网VLAN标签。
  27. 根据权利要求26所述的核心网设备，其中，所述第一接收部分，配置为在应用层会话建立的TLS握手过程中，接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
  28. 根据权利要求26所述的核心网设备，其中，所述第一接收部分，配置为：在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
  29. 根据权利要求26所述的核心网设备，其中，所述第一接收部分，配置为在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
  30. 根据权利要求29所述的核心网设备，其中，所述鉴权部分，配置为根据所述第一鉴权参数中的随机数以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
  31. 根据权利要求29或30所述的核心网设备，其中，所述建立部分，配置为：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，根据所述OTT服务器的特征信息以及所述UE的特征信息生成所述数据包的特征信息，并建立所述生成的数据包的特征信息和所述应用标识之间的关联关系；其中，UE的特征信息包括：UE的IP地址、端口和MAC地址。
  32. 根据权利要求26所述的核心网设备，其中，所述核心网设备还包括第一发送部分，配置为将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
  33. 根据权利要求26至32任一项所述的核心网设备，其中，所述第一接收部分，还配置为接收所述UE发送的有效时间信息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长。
  34. 根据权利要求33所述的核心网设备，其中，所述核心网设备还包括控制部分，配置为当所述有效时长计时完毕后，若加密数据流传输未完成，释放所述关联关系。
  35. 根据权利要求34所述的核心网设备，其中，所述第一接收部分，还配置为加密数据流传输完毕后，接收所述UE发送的释放指示消息；
    所述控制部分，还配置为基于所述释放指示消息释放所述关联关系。
  36. 一种核心网设备，包括：消息接收部分、第一传输部分和控制部分；其中，所述消息接收部分，配置为在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
    所述第一传输部分，配置为在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
    所述消息接收部分，还配置为接收所述UE发送的释放指示消息；
    所述控制部分，配置为基于所述释放指示消息释放所述关联关系。
  37. 根据权利要求36所述的核心网设备，其中，所述控制部分，还配置为在所述有效时长计时完毕后，释放所述关联关系；或者，
    在所述有效时长计时完毕后，继续与所述UE进行加密数据流传输，直至所述加密数据流传输结束后释放所述关联关系。
  38. 一种用户设备UE，其中，所述UE包括：第二发送部分，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
  39. 根据权利要求38所述的UE，其中，所述第二发送部分，配置为：在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
    将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
  40. 根据权利要求38所述的UE，其中，所述第二发送部分，配置为：在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
  41. 根据权利要求38所述的UE，其中，所述第二发送部分，配置为：在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征消息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
  42. 根据权利要求38所述的UE，其中，所述UE还包括第二接收部分，配置为接收核心网设备的控制面回复的鉴权结果。
  43. 根据权利要求38至42任一项所述的UE，其中，所述第二发送部分，还配置为向所述核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
  44. 根据权利要求38至42任一项所述的UE，其中，所述第二发送部分，还配置为向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
  45. 一种UE，所述UE包括：消息发送部分和第二传输部分，其中，所述消息发送部分，配置为向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
    所述第二传输部分，配置为在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
    所述消息发送部分，还配置为向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
  46. 一种核心网设备，包括：第一网络接口，第一存储器和第一处理器；其中，
    所述第一网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
    所述第一存储器，用于存储能够在所述第一处理器上运行的计算机程序；
    所述第一处理器，用于在运行所述计算机程序时，执行权利要求1至15任一项或者权利要求16至17任一项所述方法的步骤。
  47. 一种用户设备UE，其中，所述UE包括：第二网络接口、第二存储器和第二处理器；
    其中，所述第二网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
    所述第二存储器，用于存储能够在第二处理器上运行的计算机程序；
    所述第二处理器，用于在运行所述计算机程序时，执行权利要求18至24任一项或权利要求25所述方法的步骤。
  48. 一种计算机可读介质，所述计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现权利要求1至15任一项或者权利要求18至24任一项所述的方法的步骤。
  49. 一种计算机可读介质，所述计算机可读介质存储有加密数据流的传输程序，所述加密数据流的传输程序被至少一个处理器执行时实现权利要求16至17任一项或者权利要求25所述的 方法的步骤。
  50. 一种加密流量的识别系统，包括核心网设备以及用户设备，其中，
    所述用户设备，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识；
    所述核心网设备，配置为接收用户设备UE发送的承载有鉴权数据的数据包；
    基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
PCT/CN2018/081774 2017-10-16 2018-04-03 一种加密数据流的识别方法、设备、存储介质及系统 Ceased WO2019076000A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP18869093.7A EP3668043A4 (en) 2017-10-16 2018-05-03 ENCRYPTED DATA FLOW IDENTIFICATION PROCESS, DEVICE, INFORMATION MEDIA AND SYSTEM
PCT/CN2018/085510 WO2019076025A1 (zh) 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统
CN201880038900.1A CN110771116B (zh) 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统
US16/849,865 US11418951B2 (en) 2017-10-16 2020-04-15 Method for identifying encrypted data stream, device, storage medium and system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CNPCT/CN2017/106349 2017-10-16
PCT/CN2017/106349 WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统

Publications (1)

Publication Number Publication Date
WO2019076000A1 true WO2019076000A1 (zh) 2019-04-25

Family

ID=66173068

Family Applications (3)

Application Number Title Priority Date Filing Date
PCT/CN2017/106349 Ceased WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2018/081774 Ceased WO2019076000A1 (zh) 2017-10-16 2018-04-03 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2018/085510 Ceased WO2019076025A1 (zh) 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统

Family Applications Before (1)

Application Number Title Priority Date Filing Date
PCT/CN2017/106349 Ceased WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/085510 Ceased WO2019076025A1 (zh) 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统

Country Status (4)

Country Link
US (1) US11418951B2 (zh)
EP (1) EP3668043A4 (zh)
CN (2) CN110741613B (zh)
WO (3) WO2019075608A1 (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DK3738331T3 (da) * 2018-04-05 2021-05-31 Ericsson Telefon Ab L M Konfigurering af radioressourcer
CN110535552B (zh) * 2019-09-27 2021-07-20 腾讯科技（深圳）有限公司 网络节点执行的方法以及相应的网络节点
CN113923717B (zh) * 2020-07-07 2024-05-31 中国移动通信有限公司研究院 一种数据的传输方法、装置及设备
CN112671661A (zh) * 2020-12-24 2021-04-16 广州市网优优信息技术开发有限公司 物联网数据传输方法及系统
CN114760623A (zh) * 2021-01-10 2022-07-15 华为技术有限公司 安全策略处理方法以及通信设备
CN113674455B (zh) * 2021-08-13 2023-08-04 京东科技信息技术有限公司 智能门锁远程控制方法、装置、系统、设备及存储介质
CN114143385B (zh) * 2021-11-24 2024-01-05 广东电网有限责任公司 一种网络流量数据的识别方法、装置、设备和介质
EP4437747A1 (en) * 2021-11-26 2024-10-02 Abb Schweiz Ag Method for device commissioning in a network system and network system
CN116567657B (zh) * 2022-01-28 2025-12-12 腾讯科技（深圳）有限公司 数据传输方法、装置、计算机可读介质及电子设备
CN118368279B (zh) * 2024-05-22 2026-01-02 奇瑞新能源汽车股份有限公司 一种http接口鉴权方法及相关设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080307518A1 (en) * 2007-06-11 2008-12-11 Nokia Corporation Security in communication networks
CN101714952A (zh) * 2009-12-22 2010-05-26 北京邮电大学 一种接入网的流量识别方法和装置
CN103428643A (zh) * 2012-05-17 2013-12-04 大唐移动通信设备有限公司 一种动态重组方法及装置
CN105915396A (zh) * 2016-06-20 2016-08-31 中国联合网络通信集团有限公司 家庭网络流量识别系统和方法
US20160262021A1 (en) * 2015-03-06 2016-09-08 Qualcomm Incorporated Sponsored connectivity to cellular networks using existing credentials

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6948060B1 (en) * 2000-08-11 2005-09-20 Intel Corporation Method and apparatus for monitoring encrypted communication in a network
US8239669B2 (en) * 2004-03-17 2012-08-07 Telecommunication Systems, Inc. Reach-back communications terminal with selectable networking options
US7778194B1 (en) * 2004-08-13 2010-08-17 Packeteer, Inc. Examination of connection handshake to enhance classification of encrypted network traffic
US7562211B2 (en) * 2005-10-27 2009-07-14 Microsoft Corporation Inspecting encrypted communications with end-to-end integrity
CN101668016B (zh) * 2009-09-30 2012-10-03 华为技术有限公司 鉴权方法及装置
EP2571329B1 (en) * 2010-05-13 2019-03-06 Nec Corporation Controlling the load on a core-network
CN102111263A (zh) * 2011-02-21 2011-06-29 山东中孚信息产业股份有限公司 一种数据流加密的方法
CN102137022B (zh) * 2011-04-01 2013-11-06 华为技术有限公司 提供用于识别数据包的信息的方法、爬虫引擎及网络系统
EP2675203B1 (en) * 2012-06-11 2019-11-27 BlackBerry Limited Enabling multiple authentication applications
CN103596166B (zh) * 2012-08-13 2016-08-03 电信科学技术研究院 一种标识映射方法与设备及策略控制方法与系统
US9985967B2 (en) * 2013-05-29 2018-05-29 Telefonaktiebolaget Lm Ericsson (Publ) Gateway, client device and methods for facilitating communication between a client device and an application server
CN103414709A (zh) * 2013-08-02 2013-11-27 杭州华三通信技术有限公司 用户身份绑定、协助绑定的方法及装置
GB2518254B (en) * 2013-09-13 2020-12-16 Vodafone Ip Licensing Ltd Communicating with a machine to machine device
EP2890073A1 (en) * 2013-12-31 2015-07-01 Gemalto SA System and method for securing machine-to-machine communications
CN105099930B (zh) * 2014-05-21 2019-07-09 新华三技术有限公司 加密数据流流量控制方法及装置
CN104038389A (zh) * 2014-06-19 2014-09-10 高长喜 多重应用协议识别方法和装置
CN105592449B (zh) * 2014-10-20 2018-10-09 中国电信股份有限公司 业务识别方法和系统
KR101663401B1 (ko) * 2015-01-05 2016-10-06 주식회사 퓨쳐시스템 Ssl로 암호화된 패킷을 커널에서 분석하는 장치 및 방법
US10498652B2 (en) * 2015-04-13 2019-12-03 Nicira, Inc. Method and system of application-aware routing with crowdsourcing
CN107317674B (zh) * 2016-04-27 2021-08-31 华为技术有限公司 密钥分发、认证方法，装置及系统
CN106209775B (zh) * 2016-06-24 2019-05-24 深圳信息职业技术学院 一种ssl加密网络流的应用类型识别方法与装置
US10530811B2 (en) * 2016-08-11 2020-01-07 Vm-Robot, Inc. Routing systems and methods
US10715510B2 (en) * 2017-01-16 2020-07-14 Citrix Systems, Inc. Secure device notifications from remote applications
US10397186B2 (en) * 2017-10-06 2019-08-27 Stealthpath, Inc. Methods for internet communication security
US10630642B2 (en) * 2017-10-06 2020-04-21 Stealthpath, Inc. Methods for internet communication security
US10367811B2 (en) * 2017-10-06 2019-07-30 Stealthpath, Inc. Methods for internet communication security

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080307518A1 (en) * 2007-06-11 2008-12-11 Nokia Corporation Security in communication networks
CN101714952A (zh) * 2009-12-22 2010-05-26 北京邮电大学 一种接入网的流量识别方法和装置
CN103428643A (zh) * 2012-05-17 2013-12-04 大唐移动通信设备有限公司 一种动态重组方法及装置
US20160262021A1 (en) * 2015-03-06 2016-09-08 Qualcomm Incorporated Sponsored connectivity to cellular networks using existing credentials
CN105915396A (zh) * 2016-06-20 2016-08-31 中国联合网络通信集团有限公司 家庭网络流量识别系统和方法

Also Published As

Publication number Publication date
CN110741613A (zh) 2020-01-31
EP3668043A4 (en) 2020-10-07
CN110771116A (zh) 2020-02-07
CN110741613B (zh) 2021-01-12
EP3668043A1 (en) 2020-06-17
WO2019075608A1 (zh) 2019-04-25
WO2019076025A1 (zh) 2019-04-25
CN110771116B (zh) 2021-02-26
US20200245136A1 (en) 2020-07-30
US11418951B2 (en) 2022-08-16

Similar Documents

Publication Publication Date Title
WO2019076000A1 (zh) 一种加密数据流的识别方法、设备、存储介质及系统
US10601594B2 (en) End-to-end service layer authentication
US11546308B2 (en) Message processing for subscriber sessions which stretch over different network domains
JP6185017B2 (ja) セキュアユーザプレーンロケーション（ｓｕｐｌ）システムにおける認証
JP4966432B2 (ja) 非３ｇｐｐアクセスネットワーク経由のアクセス
CN105392116B (zh) 用于不可信网络环境中的位置报告的系统和方法
US20220060350A1 (en) Connecting to a Home Area Network Via a Mobile Communication Network
CN114503507A (zh) 安全的发布-订阅通信方法和设备
TW201644238A (zh) 用於服務－使用者平面方法的使用網路符記的高效策略實施
TW201644291A (zh) 用於使用特定於應用的網路存取身份碼來進行到無線網路的受贊助連接的設備和方法（一）
TW201644292A (zh) 用於使用特定於應用的網路存取身份碼來進行到無線網路的受贊助連接的設備和方法（二）
TW201325183A (zh) 在一無線通訊網路中之使用者資料檔，方針及代理行動網際網路協定密鑰之分布
KR20160122992A (ko) 정책 기반으로 네트워크 간에 연결성을 제공하기 위한 네트워크 통합 관리 방법 및 장치
CN106465108A (zh) 蜂窝网络认证控制
CN108574571B (zh) 私钥生成方法、设备以及系统
CN107135190A (zh) 基于传输层安全连接的数据流量归属识别方法及装置
JP5326815B2 (ja) パケット送受信装置およびパケット送受信方法
WO2017143902A1 (zh) 一种分组数据网关、跨分组数据网关的切换方法和系统
EP3552367B1 (en) Method and intermediate network node for managing tcp segment
CN117118643A (zh) 一种终端设备的信息查询方法、装置和电子设备
CN102869000A (zh) 一种分离机制移动性管理系统的认证授权方法
CN110061833B (zh) 一种身份位置的绑定更新方法及装置
WO2025153673A1 (en) Enhanced iot and constrained device architecture
CN118828493A (zh) 一种认证方法、agw、终端设备及存储介质
CN105721403A (zh) 用于提供无线网络资源的方法、设备及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18868781

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18868781

Country of ref document: EP

Kind code of ref document: A1