WO2019163810A1 - 無線通信システム、セキュリティプロキシ装置及び中継装置 - Google Patents

無線通信システム、セキュリティプロキシ装置及び中継装置 Download PDF

Info

Publication number
WO2019163810A1
WO2019163810A1 PCT/JP2019/006254 JP2019006254W WO2019163810A1 WO 2019163810 A1 WO2019163810 A1 WO 2019163810A1 JP 2019006254 W JP2019006254 W JP 2019006254W WO 2019163810 A1 WO2019163810 A1 WO 2019163810A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
signature
unit
predetermined element
relay device
Prior art date
Application number
PCT/JP2019/006254
Other languages
English (en)
French (fr)
Inventor
青野　博
石川　寛
アルフ ツーゲンマイヤー
Original Assignee
株式会社Ｎｔｔドコモ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社Ｎｔｔドコモ filed Critical 株式会社Ｎｔｔドコモ
Priority to JP2020500984A priority Critical patent/JP6966624B2/ja
Priority to CN201980005878.5A priority patent/CN111386682A/zh
Priority to US16/766,984 priority patent/US20200329044A1/en
Priority to AU2019224247A priority patent/AU2019224247B2/en
Priority to EP19756464.4A priority patent/EP3709580A4/en
Priority to CN202311056196.1A priority patent/CN116866080A/zh
Publication of WO2019163810A1 publication Critical patent/WO2019163810A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/102—Route integrity, e.g. using trusted paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/16—Interfaces between hierarchically similar devices
    • H04W92/24—Interfaces between hierarchically similar devices between backbone network devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Definitions

  • the present invention relates to a wireless communication system, a security proxy device, and a relay device, and more particularly to message security and integrity between a visited network and a home network.
  • LTE Long Term Evolution
  • LTE-Advanced LTE-Advanced
  • 5G systems which are LTE successors, are also being studied.
  • N32 is defined as a reference point at the connection point between the home network of the user equipment (UE) (Home Public Land Mobile ⁇ ⁇ ⁇ Network (HPLMN)) and the UE's visited network (Visited PLMN (VPLMN)).
  • UE user equipment
  • HPLMN Home Public Land Mobile ⁇ ⁇ ⁇ Network
  • VPLMN Visitd PLMN
  • N32 is defined as a reference point between the security proxy device on the VPLMN side, specifically, Security Edge Protection Proxy (vSEPP) and SEPP on the HPLMN side (hSEPP).
  • vSEPP Security Edge Protection Proxy
  • hSEPP SEPP on the HPLMN side
  • IPX provider IPX provider
  • IPX provider IP exchange provider
  • the present invention has been made in view of such a situation, and while guaranteeing the integrity of a message relayed between VPLMN and HPLMN, the information element included in the message, and the information element It is an object to provide a wireless communication system, a security proxy device, and a relay device that can be deleted, changed, or added.
  • One aspect of the present invention is a wireless communication system (wireless communication system) including a security proxy device (vSEPP210) connected to a mobile communication network (VPLMN20) and a relay device (relay device 310) connected to the security proxy device. 10)
  • the security proxy device includes an encapsulation unit (encapsulation unit 211) that encapsulates a predetermined element included in an original message (HTTP request) received from the mobile communication network, and the encapsulation unit.
  • a first signature unit for adding a first signature to the first message in which the predetermined element is encapsulated; and a message transmission unit (message transmission unit 215) for transmitting the first message to the relay device;
  • the relay device includes a message receiving unit (message receiving unit 311) that receives the first message.
  • a change unit (a change unit 313) that decapsulates the predetermined element included in the first message and executes a change to the predetermined element, and a second message for the second message including the predetermined element changed by the change unit
  • a second signature unit (signature unit 315) for adding two signatures; and a message relay unit (message relay unit 317) that relays the second message toward another mobile communication network (HPLMN30).
  • One aspect of the present invention is a security proxy device connected to a mobile communication network, an encapsulation unit that encapsulates a predetermined element included in an original message received from the mobile communication network, and the encapsulation unit A first signature unit that adds a first signature to the first message in which the predetermined element is encapsulated; and a message transmission unit that transmits the first message to a relay device connected to the security proxy device.
  • One aspect of the present invention is a relay device connected to a security proxy device connected to a mobile communication network, in which a predetermined element included in an original message received by the security proxy device from the mobile communication network is encapsulated.
  • a message receiving unit that receives the first message, a change unit that decapsulates the predetermined element included in the first message and executes a change to the predetermined element, and the predetermined element changed by the change unit
  • a second signature unit that adds a second signature to the second message; and a message relay unit that relays the second message toward another mobile communication network.
  • FIG. 1 is an overall schematic configuration diagram of a wireless communication system 10.
  • FIG. 2 is a diagram illustrating a configuration example of a network between the vSEPP 210 and the hSEPP 220.
  • FIG. 3 is a functional block configuration diagram of the vSEPP 210.
  • FIG. 4 is a functional block configuration diagram of the relay device 310.
  • FIG. 5 is a diagram showing a message relay sequence between VPLMN20 and HPLMN30.
  • FIG. 6A is a diagram illustrating a modification example of HTTP request in vSEPP 210.
  • FIG. 6B is a diagram illustrating a modification example of HTTP request in vSEPP 210.
  • FIG. 7 is a diagram illustrating an example of a signature for an HTTP request in vSEPP 210.
  • FIG. 1 is an overall schematic configuration diagram of a wireless communication system 10.
  • FIG. 2 is a diagram illustrating a configuration example of a network between the vSEPP 210 and the hSEPP 2
  • FIG. 8 is a diagram illustrating a modification example of HTTP request in the relay apparatus 310.
  • FIG. 9 is a diagram illustrating an example of adding a change history to an HTTP request in the relay apparatus 310 and a signature for the HTTP request.
  • FIG. 10 is a diagram illustrating a description example of an array of “requesthistory” (change history) in the relay device 310.
  • FIG. 11 is a diagram illustrating an example of a signature for an HTTP request in the relay apparatus 320.
  • FIG. 12 is a diagram illustrating an example of a hardware configuration of the vSEPP 210 and the relay apparatus 310.
  • FIG. 1 is an overall schematic configuration diagram of a radio communication system 10 according to the present embodiment.
  • the radio communication system 10 is a radio communication system according to 5G New Radio (NR).
  • the wireless communication system 10 includes a Visited Public Land Mobile Network 30 (hereinafter referred to as VPLMN20), a Home Public Land Mobile Network 20 (hereinafter referred to as HPLMN30), and the like.
  • VPLMN20 Visited Public Land Mobile Network 30
  • HPLMN30 Home Public Land Mobile Network 20
  • the user apparatus 50 (hereinafter referred to as UE50) can access the VPLMN20 and the HPLMN30, and a radio access network ((R) AN) included in the VPLMN20 and a radio access network (not shown) included in the HPLMN30, specifically And wireless communication with gNB (radio base station).
  • UE50 can access the VPLMN20 and the HPLMN30, and a radio access network ((R) AN) included in the VPLMN20 and a radio access network (not shown) included in the HPLMN30, specifically And wireless communication with gNB (radio base station).
  • R radio access network
  • gNB radio base station
  • VPLMN20 is composed of multiple functional entities. Specifically, VPLMN20 includes NSSF (Network Slice Selection Function), NEF (Network Exposure Function), NRF (Network Repository Function), PCF (Policy Control Function), and AF (Application Function).
  • NSSF Network Slice Selection Function
  • NEF Network Exposure Function
  • NRF Network Repository Function
  • PCF Policy Control Function
  • AF Application Function
  • VPLMN20 includes AMF (Access and Mobility Management Function) and SMF (Session Management Function). These function entities provide a Network Function 110 (hereinafter referred to as NF 110). Further, the VPLMN 20 includes a UPF (User Plane Function) and a DN (Data Network).
  • AMF Access and Mobility Management Function
  • SMF Session Management Function
  • NF 110 Network Function 110
  • UPF User Plane Function
  • DN Data Network
  • HPLMN30 has almost the same configuration as VPLMN20.
  • HPLMN 30 includes AUSF (Authentication Server Function) and UDM (Unified Data Management). These functional entities provide a Network Function 120 (hereinafter referred to as NF 120).
  • AUSF Authentication Server Function
  • UDM Unified Data Management
  • VPLMN20 is equipped with Visited Security Edge Protection Proxy 210 (hereinafter vSEPP210).
  • the HPLMN 30 includes home Security Security Edge Protection Proxy 220 (hereinafter, hSEPP 220).
  • VSEPP210 is connected to VPLMN20 (mobile communication network).
  • the hSEPP 220 is connected to the HPLMN 30 (another mobile communication network).
  • vSEPP 210 and hSEPP 220 constitute a security proxy device.
  • N32 is the reference point at the connection point between VPLMN20 and HPLMN30.
  • VSEPP210 and hSEPP220 provide functions related to security and integrity of messages (HTTP Request, HTTP Response, etc.) sent and received between VPLMN20 and HPLMN30.
  • FIG. 2 shows an example of a network configuration between vSEPP210 and hSEPP220. As shown in FIG. 2, there is an IPX provider between vSEPP 210 and hSEPP 220.
  • IPX provider 1 on the vSEPP210 side and an IPX provider 2 on the hSEPP220 side.
  • the IPX provider 1 includes a relay device 310 that relays messages transmitted and received between the vSEPP 210 and the hSEPP 220.
  • the IPX provider 2 includes a relay device 320 that relays the message.
  • Relay device 310 is connected to vSEPP210.
  • the relay device 320 is connected to the hSEPP 220.
  • the relay device 310 and the relay device 320 provide a predetermined service.
  • the relay device 310 and the relay device 320 are predetermined information that is a part of an information element included in a relayed message according to the operational conditions of the IPX provider. Changes (including deletion and addition of elements) to elements (such as Content-Length included in HTTP-headers) can be performed.
  • FIG. 3 is a functional block configuration diagram of the vSEPP 210.
  • the vSEPP 210 includes an encapsulation unit 211, a signature unit 213, and a message transmission unit 215.
  • the hSEPP 220 has the same configuration as the vSEPP 210.
  • the encapsulation unit 211 encapsulates a predetermined element included in the original message received from the VPLMN 20. Specifically, the encapsulating unit 211 uses a key acquired by a predetermined key exchange mechanism to use a Request (SBI (Service Base Based Interface) on the SBI (Service Base Based Interface) in the SBA (Service Base Base Architecture) included in the original message. Encapsulate the body and header of (SBI Request).
  • SBI Service Base Based Interface
  • SBA Service Base Base Architecture
  • the encapsulating unit 211 encapsulates an element defined by a predetermined data format in accordance with JavaScript (registered trademark) Object Notation (JSON). Note that specific examples of elements to be encapsulated will be described later.
  • the signature unit 213 adds a signature (first signature) to a message (first message) including an SBI request in which a predetermined element is encapsulated by the encapsulation unit 211.
  • the signature unit 213 constitutes a first signature unit.
  • the signature unit 213 has a function of verifying an added signature as well as adding a signature.
  • the signature unit 213 adds a signature of VPLMN20 (Mobile Network Operator (MNO)) to the elements included in the header and payload to be protected included in the SBI request output from the encapsulation unit 211.
  • MNO Mobile Network Operator
  • a specific example of the signature by vSEPP 210 will be further described later.
  • the message transmission unit 215 transmits a message (first message) in which the original message received from the VPLMN 20 is changed to the relay device 310. Specifically, the message transmission unit 215 transmits the message (first message) with the signature added by the signature unit 213 to the relay device 310.
  • FIG. 4 is a functional block configuration diagram of the relay device 310. As illustrated in FIG. 4, the relay device 310 includes a message receiving unit 311, a changing unit 313, a signature unit 315, and a message relay unit 317. The relay device 320 has the same configuration as the relay device 310.
  • the message receiving unit 311 receives a message from the vSEPP 210. Specifically, the message receiving unit 311 receives a message (first message) to which a predetermined element of SBI Request is encapsulated and an MNO signature is added.
  • the changing unit 313 decapsulates the predetermined element included in the message received by the message receiving unit 311. Specifically, the changing unit 313 decapsulates the predetermined element using a key acquired by a predetermined key exchange mechanism.
  • the changing unit 313 executes changes to the decapsulated predetermined elements (such as the body and header of the SBI request). As described above, the change to the predetermined element includes deletion and addition of the element.
  • the changing unit 313 executes a change to the predetermined element based on a predetermined data format according to JSON.
  • the change unit 313 executes a change to the content of the SBI request using JSON-Patch mechanism.
  • a change is called JSON-Patch (RFC6902).
  • RRC6902 JSON-Patch
  • the signature unit 315 adds a signature (second signature) to the message (second message) including the predetermined element changed by the changing unit 313.
  • the signature unit 315 constitutes a second signature unit. Note that the signature unit 315 has a function of verifying an added signature as well as adding a signature.
  • the signature unit 315 adds the signature of the IPX provider 1 to the change history of the predetermined element by the change unit 313.
  • the change history includes the content of encapsulation in vSEPP 210 and the signature (first signature) by the MNO of VPLMN20.
  • the signature unit 315 guarantees the integrity of JSON-Patch including the elements to be changed (Linked list elements ("next", "previous")) in the array of elements (array). Therefore, a signature is added to the JSON-Patch.
  • Linked list elements can indicate the correct application order of multiple JSON-Patches, and can prevent unauthorized modification of contents.
  • a specific example of the signature by the relay apparatus 310 will be further described later.
  • the message relay unit 317 relays a message (second message) including the predetermined element changed by the changing unit 313 toward the HPLMN 30 (another mobile communication network). Specifically, the message relay unit 317 relays the message (second message) with the signature added by the signature unit 315 toward the HPLMN 30.
  • the message relayed by the message relay unit 317 includes the MNO signature (first signature) of the VPLMN 20, the IPX provider 1 signature (second signature), and the change history of the predetermined element by the changing unit 313.
  • FIG. 5 shows a message relay sequence between VPLMN20 and HPLMN30.
  • the message is an SBI Request, specifically, an HTTP Request will be described.
  • the NF 110 included in the VPLMN 20 transmits an HTTP request to the vSEPP 210 in response to a request from the UE 50 (S10).
  • the vSEPP 210 encapsulates the predetermined element included in the received HTTP request, and adds the MNO signature of the VPLMN 20 to the encapsulated predetermined element (S20).
  • the vSEPP 210 transmits an HTTP request including a predetermined encapsulated element and a signature added to the relay device 310 operated by the IPX provider 1 (S30).
  • the relay device 310 changes the predetermined element of the HTTP request (message) received from the vSEPP 210 and adds the signature of the IPX provider 1 to the change history of the predetermined element (S40).
  • the relay device 310 decapsulates the predetermined encapsulated element and executes the change.
  • the reason for executing the change includes operational conditions (such as upper limit values of various elements) in the IPX provider 1.
  • operational conditions such as upper limit values of various elements
  • HPLMN a more specific example, if Homogenous Support of IMS Voice over PS Sessions (always possible while VoLTE is in the LTE node's area) is “Support”, but there is no roaming agreement between the two companies, HPLMN Regardless, it is necessary to disable VoLTE when determining incoming calls.
  • the flag is “support”, the specification is that the VoLTE call is received, so that the flag needs to be corrected.
  • the relay device 310 transmits the HTTP request including the predetermined element for which the change has been performed and the signature is added to the relay device 320 operated by the IPX provider 2 (S50).
  • the relay device 320 adds the signature of the IPX provider 2 to the HTTP request received from the relay device 310 (specifically, the change history of a predetermined element included in the HTTP request) (S60).
  • the relay device 320 transmits an HTTP request to which the signature of the IPX provider 2 is further added to the hSEPP 220 (S70).
  • the hSEPP 220 confirms all signatures included in the HTTP request received from the relay device 320, and regenerates a service request (SBI request) based on the change history included in the HTTP request (S80).
  • HSEPP 220 sends the regenerated SBI request, specifically, HTTP request to NF 120 (S90).
  • FIG. 6A shows an HTTP Request before changing a predetermined element
  • FIG. 6B shows an HTTP Request after changing the predetermined element.
  • the vSEPP 210 adds information (see “requesthistory” in FIG. 6B) that encapsulates a predetermined element according to JSON.
  • vSEPP210 encapsulates HTTP request body, headers, URI, etc. according to JSON. Further, the method of adding the element (verb) is POST. The URI may be common to all HTTP requests.
  • FIG. 7 shows an example of a signature for an HTTP request in vSEPP210.
  • the vSEPP 210 adds the MNO signature of VPLMN20 to the elements included in the header and payload to be protected included in the HTTP request (the ⁇ protectedHeader.protectedPayload.signature ⁇ portion in FIG. 7). See).
  • Protected header contains the algorithm related to HTTP Request description and key ID. Further, the payload (body) to be protected includes an object according to JSON.
  • VSEPP210 guarantees the integrity of the HTTP Request based on JSON Web Signature (RFC7515).
  • JSON Web Signature RRC7515
  • EDSA Elliptic Curve Digital Signature Algorithm
  • HMAC Hash-based Message Authentication Code
  • FIG. 8 shows a modification example of HTTP Request in the relay device 310.
  • the IPX provider 1 terminates the HTTP Request, and executes a change to transfer the TCP connection to a new host (here, IPX provider 2 (IPX2)) (underlined portion in FIG. 8). reference).
  • IPX2 IPX provider 2
  • FIG. 9 shows an example of adding a change history to the HTTP request in the relay apparatus 310 and a signature for the HTTP request.
  • the relay device 310 adds the change contents of the HTTP request illustrated in FIG. 8 to the “requesthistory” (change history) array. As described above, in the present embodiment, such changes are added based on JSON-Patch (RFC6902).
  • the relay device 310 adds the signature of the IPX provider 1 to the elements included in the header and payload to be protected included in the HTTP request (refer to ⁇ pprotectedHeaderIPX1.protectedPayloadIPX1.signatureIPX1 ⁇ in FIG. 9). .
  • FIG. 10 shows a description example of an array of “requesthistory” (change history) in the relay device 310.
  • “previous” indicates a changer (here, vSEPP 210, that is, MNO of VPLMN 20) to HTTP ⁇ Request at a timing before the relay apparatus 310 (IPX provider 1).
  • the underlined portion in FIG. 10 shows an example of a specific change portion. “Content-Length” may change depending on the number of new elements (new_element).
  • FIG. 11 shows an example of a signature for HTTP Request in the relay device 320.
  • the relay device 320 does not change the HTTP Request received from the relay device 310, but adds the signature of the IPX provider 2 to the HTTP Request.
  • the MNO signature of VPLMN20 is added to the elements included in the header and payload to be protected included in the HTTP request (refer to ⁇ protectedHeaderIPX2.protectedPayloadIPX2.signatureIPX2 ⁇ in FIG. 11).
  • the signature method is the same as that of the vSEPP 210 and the relay device 320.
  • the vSEPP 210 adds a signature (first signature) to a message (first message) including an SBI Request (HTTP Request) in which a predetermined element is encapsulated.
  • the relay device 310 receives the message from the vSEPP 210, and executes changes to the decapsulated predetermined elements (such as the body and header of the SBI request). Further, the relay device 310 adds a signature (second signature) to the message (second message) including the changed predetermined element.
  • IPX provider 1 the relay device 310
  • IPX provider 2 the relay device 310
  • VPNMN20 MNO, IPX provider 1 and IPX provider 2 the signature of each entity (VPNOMN20 MNO, IPX provider 1 and IPX provider 2) is added to the message, the integrity of the message can be guaranteed.
  • the wireless communication system 10 including the vSEPP 210 and the relay device 310 it is possible to delete, change, or add the message while guaranteeing the integrity of the message relayed between the VPLMN 20 and the HPLMN 30.
  • the relay device 310 executes a change to the predetermined element based on a predetermined data format (JSON-Patch) according to JSON. For this reason, the change with respect to the said predetermined element can be implement
  • the relay device 310 (signature unit 315) can add a signature (second signature) to the change history ("requesthistory") of the predetermined element. For this reason, integrity can be guaranteed even for a time series of changes to the predetermined element.
  • the relay device 310 sends the message (second message) including the MNO signature (first signature) of VPLMN20, the signature of IPX provider 1 (second signature), and the above-described change history (HPLMN30). Can be relayed towards. Therefore, the HPLMN 30 can transmit the message to a predetermined destination in the HPLMN 30 with the UE that has confirmed that the integrity of the received message including the time series of the change is guaranteed.
  • JSON-Patch (RFC6902) is used to change a predetermined element included in a message.
  • other methods such as JSON-Merge-Patch (RFC7396) are used.
  • diff, binary diff or http-patch may be used.
  • any procedure set / data description language may be used as long as it can be applied to change or transfer of data, messages, and syntactic information.
  • SBI Request HTTP Request
  • SBA Response HTTP Response
  • the operations of the vSEPP 210 and the relay device 310 have been described as examples.
  • the hSEPP 220 and the relay device 320 can operate in the same manner.
  • an IPX provider device (the relay device 310 and the relay device 320) exists between the vSEPP 210 and the hSEPP 220 has been described, but a device other than the IPX provider may be interposed. Absent.
  • each functional block may be realized by one device physically and / or logically coupled, and two or more devices physically and / or logically separated may be directly and / or indirectly. (For example, wired and / or wireless) and may be realized by the plurality of devices.
  • FIG. 12 is a diagram illustrating an example of a hardware configuration of the vSEPP 210 and the relay apparatus 310.
  • the device may be configured as a computer device including a processor 1001, a memory 1002, a storage 1003, a communication device 1004, an input device 1005, an output device 1006, a bus 1007, and the like.
  • Each functional block of the device (see FIGS. 3 and 4) is realized by any hardware element of the computer device or a combination of the hardware elements.
  • the processor 1001 controls the entire computer by operating an operating system, for example.
  • the processor 1001 may be configured by a central processing unit (CPU) including an interface with peripheral devices, a control device, an arithmetic device, a register, and the like.
  • CPU central processing unit
  • the memory 1002 is a computer-readable recording medium, and includes, for example, at least one of ROM (Read Only Memory), EPROM (Erasable Programmable ROM), EEPROM (Electrically Erasable Programmable ROM), RAM (Random Access Memory), and the like. May be.
  • the memory 1002 may be called a register, a cache, a main memory (main storage device), or the like.
  • the memory 1002 can store a program (program code) that can execute the method according to the above-described embodiment, a software module, and the like.
  • the storage 1003 is a computer-readable recording medium such as an optical disc such as a CD-ROM (Compact Disc ROM), a hard disk drive, a flexible disc, a magneto-optical disc (eg a compact disc, a digital versatile disc, a Blu-ray). (Registered trademark) disk, smart card, flash memory (for example, card, stick, key drive), floppy (registered trademark) disk, magnetic strip, and the like.
  • the storage 1003 may be referred to as an auxiliary storage device.
  • the recording medium described above may be, for example, a database including a memory 1002 and / or a storage 1003, a server, or other suitable medium.
  • the communication device 1004 is hardware (transmission / reception device) for performing communication between computers via a wired and / or wireless network, and is also referred to as a network device, a network controller, a network card, a communication module, or the like.
  • the input device 1005 is an input device (for example, a keyboard, a mouse, a microphone, a switch, a button, a sensor, etc.) that accepts an input from the outside.
  • the output device 1006 is an output device (for example, a display, a speaker, an LED lamp, or the like) that performs output to the outside. Note that the input device 1005 and the output device 1006 may have an integrated configuration (for example, a touch panel).
  • each device such as the processor 1001 and the memory 1002 is connected by a bus 1007 for communicating information.
  • the bus 1007 may be configured with a single bus or may be configured with different buses between apparatuses.
  • notification of information includes physical layer signaling (eg, DCI (Downlink Control Information), UCI (Uplink Control Information)), upper layer signaling (eg, RRC signaling, MAC (Medium Access Control) signaling, broadcast information (MIB ( Master (Information Block), SIB (System Information Block)), other signals, or combinations thereof, and RRC signaling may also be referred to as RRC messages, eg, RRC Connection Connection message, RRC It may be a Connection ⁇ ⁇ Reconfiguration message.
  • RRC messages eg, RRC Connection Connection message, RRC It may be a Connection ⁇ ⁇ Reconfiguration message.
  • input / output information may be stored in a specific location (for example, a memory) or may be managed by a management table.
  • the input / output information can be overwritten, updated, or appended.
  • the output information may be deleted.
  • the input information may be transmitted to other devices.
  • the specific operation performed by the vSEPP 210 and the relay device 310 may be performed by another network node (device). Further, the functions of the vSEPP 210 and the relay device 310 may be provided by a combination of a plurality of other network nodes.
  • a channel and / or symbol may be a signal (signal) if there is a corresponding description.
  • the signal may be a message.
  • system and “network” may be used interchangeably.
  • the parameter or the like may be represented by an absolute value, may be represented by a relative value from a predetermined value, or may be represented by other corresponding information.
  • the radio resource may be indicated by an index.
  • GNB base station
  • base station can accommodate one or a plurality of (for example, three) cells (also called sectors).
  • a base station accommodates multiple cells, the entire coverage area of the base station can be partitioned into multiple smaller areas, each smaller area being a base station subsystem (eg, indoor small base station RRH: Remote Radio Head) can also provide communication services.
  • RRH Remote Radio Head
  • cell refers to part or all of the coverage area of a base station and / or base station subsystem that provides communication services in this coverage.
  • base station eNodeB
  • gNB gNodeB
  • a base station may also be referred to in terms such as a fixed station, NodeB, eNodeB (eNB), gNodeB (gNB), access point, femtocell, small cell, and the like.
  • UE50 is a subscriber station, mobile unit, subscriber unit, wireless unit, remote unit, mobile device, wireless device, wireless communication device, remote device, mobile subscriber station, access terminal, mobile terminal, wireless terminal by those skilled in the art , Remote terminal, handset, user agent, mobile client, client, or some other appropriate terminology.
  • the phrase “based on” does not mean “based only on”, unless expressly specified otherwise. In other words, the phrase “based on” means both “based only on” and “based at least on.”
  • any reference to elements using designations such as “first”, “second”, etc. as used herein does not generally limit the amount or order of those elements. These designations can be used herein as a convenient way to distinguish between two or more elements. Thus, a reference to the first and second elements does not mean that only two elements can be employed there, or that in some way the first element must precede the second element.
  • Wireless communication system 20 VPLMN 30 HPLMN 50 UE 110 NF 120 NF 210 vSEPP 211 Encapsulation part 213 Signature part 215 Message transmission part 220 hSEPP 310 Relay device 311 Message reception unit 313 Change unit 315 Signature unit 317 Message relay unit 320 Relay device 1001 Processor 1002 Memory 1003 Storage 1004 Communication device 1005 Input device 1006 Output device 1007 Bus

Abstract

vSEPP(210)は、移動通信ネットワークから受信した原メッセージに含まれる所定要素をカプセル化し、所定要素がカプセル化された第１メッセージに対する第１署名を付加する。中継装置(310)は、第１メッセージを受信し、第１メッセージに含まれる所定要素をデカプセル化し、所定要素に対する変更を実行する。中継装置(310)は、変更された所定要素を含む第２メッセージに対する第２署名を付加し、当該第２メッセージをHPLMN(30)に向けて中継する。

Description

無線通信システム、セキュリティプロキシ装置及び中継装置
　本発明は、無線通信システム、セキュリティプロキシ装置及び中継装置に関し、特に、在圏ネットワークとホームネットワークとの間におけるメッセージのセキュリティ及びインテグリティに関する。
　3rd Generation Partnership Project（3GPP）は、Long Term Evolution（LTE）を仕様化し、LTEのさらなる高速化を目的としてLTE-Advanced（以下、LTE-Advancedを含めてLTEという）を仕様化している。また、3GPPでは、さらに、LTEの後継システムとなる5Gシステムの仕様が検討されている。
　5Gシステムでは、ユーザ装置（UE）のホームネットワーク（Home Public Land Mobile Network (HPLMN)）と、UEの在圏ネットワーク（Visited PLMN (VPLMN)）との接続点におけるリファレンスポイントとして、N32が規定されている（非特許文献１参照）。
　具体的には、N32は、VPLMN側のセキュリティプロキシ装置、具体的には、Security Edge Protection Proxy（vSEPP）と、HPLMN側のSEPP（hSEPP）との間のリファレンスポイントとして規定されている。
3GPP TS 23.501 V15.0.0 Subclause 4.2.4 Roaming reference architectures, 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; System Architecture for the 5G System; Stage 2 (Release 15)、3GPP, 2017年12月
　vSEPPとhSEPPとの間（N32）には、実際には、IP exchange（IPX）のプロバイダ（IPXプロバイダ）が存在する。IPXプロバイダは、運用上の条件などに応じて、VPLMNとHPLMNとの間において中継されるメッセージ（代表的には、HTTP Request, HTTP Responseなど）の要素の削除、変更または追加などが必要な場合がある。
　一方で、VPLMNとHPLMNとの間で中継されるメッセージのインテグリティ（完全性）を保証するため、メッセージを暗号化してしまうと、上述したような削除、変更または追加などができない。
　そこで、本発明は、このような状況に鑑みてなされたものであり、VPLMNとHPLMNとの間で中継されるメッセージのインテグリティを保証しつつ、当該メッセージに含まれる情報要素、及び当該情報要素の削除、変更または追加などを可能とする無線通信システム、セキュリティプロキシ装置、及び中継装置の提供を目的とする。
　本発明の一態様は、移動通信ネットワーク（VPLMN20）に接続されるセキュリティプロキシ装置（vSEPP210）と、前記セキュリティプロキシ装置に接続される中継装置（中継装置310）とを含む無線通信システム（無線通信システム10）であって、前記セキュリティプロキシ装置は、前記移動通信ネットワークから受信した原メッセージ（HTTP Request）に含まれる所定要素をカプセル化するカプセル化部（カプセル化部211）と、前記カプセル化部によって前記所定要素がカプセル化された第１メッセージに対する第１署名を付加する第１署名部（署名部213）と、前記第１メッセージを前記中継装置に送信するメッセージ送信部（メッセージ送信部215）とを備え、前記中継装置は、前記第１メッセージを受信するメッセージ受信部（メッセージ受信部311）と、前記第１メッセージに含まれる前記所定要素をデカプセル化し、前記所定要素に対する変更を実行する変更部（変更部313）と、前記変更部によって変更された前記所定要素を含む第２メッセージに対する第２署名を付加する第２署名部（署名部315）と、前記第２メッセージを他の移動通信ネットワーク（HPLMN30）に向けて中継するメッセージ中継部（メッセージ中継部317）とを備える。
　本発明の一態様は、移動通信ネットワークに接続されるセキュリティプロキシ装置であって、前記移動通信ネットワークから受信した原メッセージに含まれる所定要素をカプセル化するカプセル化部と、前記カプセル化部によって前記所定要素がカプセル化された第１メッセージに対する第１署名を付加する第１署名部と、前記第１メッセージを、前記セキュリティプロキシ装置に接続される中継装置に送信するメッセージ送信部とを備える。
　本発明の一態様は、移動通信ネットワークに接続されるセキュリティプロキシ装置と接続される中継装置であって、前記セキュリティプロキシ装置が前記移動通信ネットワークから受信した原メッセージに含まれる所定要素がカプセル化された第１メッセージを受信するメッセージ受信部と、前記第１メッセージに含まれる前記所定要素をデカプセル化し、前記所定要素に対する変更を実行する変更部と、前記変更部によって変更された前記所定要素を含む第２メッセージに対する第２署名を付加する第２署名部と、前記第２メッセージを他の移動通信ネットワークに向けて中継するメッセージ中継部とを備える。
図１は、無線通信システム10の全体概略構成図である。 図２は、vSEPP210とhSEPP220との間におけるネットワークの構成例を示す図である。 図３は、vSEPP210の機能ブロック構成図である。 図４は、中継装置310の機能ブロック構成図である。 図５は、VPLMN20とHPLMN30との間におけるメッセージの中継シーケンスを示す図である。 図６Ａは、vSEPP210におけるHTTP Requestの変更例を示す図である。 図６Ｂは、vSEPP210におけるHTTP Requestの変更例を示す図である。 図７は、vSEPP210におけるHTTP Requestに対する署名例を示す図である。 図８は、中継装置310におけるHTTP Requestの変更例を示す図である。 図９は、中継装置310におけるHTTP Requestへの変更履歴の追加、及びHTTP Requestに対する署名例を示す図である。 図１０は、中継装置310における"requesthistory"（変更履歴）の配列の記載例を示す図である。 図１１は、中継装置320におけるHTTP Requestに対する署名例を示す図である。 図１２は、vSEPP210及び中継装置310のハードウェア構成の一例を示す図である。
　以下、実施形態を図面に基づいて説明する。なお、同一の機能や構成には、同一または類似の符号を付して、その説明を適宜省略する。
　（１）無線通信システムの全体概略構成
　図１は、本実施形態に係る無線通信システム10の全体概略構成図である。無線通信システム10は、5G New Radio（NR）に従った無線通信システムである。無線通信システム10は、Visited Public Land Mobile Network 30（以下、VPLMN20）、及びHome Public Land Mobile Network 20（以下、HPLMN30）及びを含む。
　ユーザ装置50（以下、UE50）は、VPLMN20及びHPLMN30にアクセス可能であり、VPLMN20に含まれる無線アクセスネットワーク（(R)AN）、及びHPLMN30に含まれる無線アクセスネットワーク（不図示）、具体的には、gNB（無線基地局）と無線通信を実行する。
　VPLMN20は、複数の機能エンティティによって構成される。具体的には、VPLMN20は、NSSF(Network Slice Selection Function), NEF(Network Exposure Function), NRF(Network Repository Function), PCF(Policy Control Function), AF(Application Function)を含む。
　また、VPLMN20は、AMF(Access and Mobility Management Function)及びSMF(Session Management Function)を含む。これらの機能エンティティによってNetwork Function 110（以下、NF110）が提供される。さらに、VPLMN20は、UPF(User Plane Function)及びDN(Data Network)を含む。
　HPLMN30もVPLMN20と概ね同様の構成を有する。HPLMN30は、AUSF(Authentication Server Function)及びUDM(Unified Data Management)を含む。これらの機能エンティティによってNetwork Function 120（以下、NF120）が提供される。
　NF110及びNF120を提供する各機能エンティティには、「N」で始まるリファレンスポイントが規定されている（N3, Nnssfなど）。
　VPLMN20は、visited Security Edge Protection Proxy 210（以下、vSEPP210）を備える。また、HPLMN30は、home Security Edge Protection Proxy 220（以下、hSEPP220）を備える。
　vSEPP210は、VPLMN20（移動通信ネットワーク）に接続される。また、hSEPP220は、HPLMN30（他の移動通信ネットワーク）に接続される。本実施形態において、vSEPP210及びhSEPP220は、セキュリティプロキシ装置を構成する。
　vSEPP210とhSEPP220との間は、VPLMN20とHPLMN30との接続点におけるリファレンスポイントであるN32として規定されている。
　vSEPP210及びhSEPP220は、VPLMN20とHPLMN30との間において送受信されるメッセージ（HTTP Request及びHTTP Responseなど）のセキュリティ及びインテグリティに関する機能を提供する。
　図２は、vSEPP210とhSEPP220との間におけるネットワークの構成例を示す。図２に示すように、vSEPP210とhSEPP220との間には、IPXプロバイダが存在する。
　具体的には、vSEPP210側のIPXプロバイダ1と、hSEPP220側のIPXプロバイダ2とが存在する。
　IPXプロバイダ1は、vSEPP210とhSEPP220との間において送受信されるメッセージを中継する中継装置310を備える。同様に、IPXプロバイダ2は、当該メッセージを中継する中継装置320を備える。
　中継装置310はvSEPP210と接続されている。中継装置320は、hSEPP220と接続されている。中継装置310及び中継装置320は、所定のサービスを提供し、特に、本実施形態では、当該IPXプロバイダの運用上の条件など応じて、中継されるメッセージに含まれる情報要素の一部である所定要素（HTTP-headersに含まれるContent-Lengthなど）に対する変更（要素の削除及び追加などを含む）を実行することができる。
　（２）無線通信システムの機能ブロック構成
　次に、無線通信システム10の機能ブロック構成について説明する。具体的には、vSEPP210及び中継装置310の機能ブロック構成について説明する。
　（２．１）vSEPP210
　図３は、vSEPP210の機能ブロック構成図である。図３に示すように、vSEPP210は、カプセル化部211、署名部213及びメッセージ送信部215を備える。なお、hSEPP220もvSEPP210と同様の構成を有する。
　カプセル化部211は、VPLMN20から受信した原メッセージに含まれる所定要素をカプセル化する。具体的には、カプセル化部211は、所定の鍵交換メカニズムによって取得した鍵を用いて、原メッセージに含まれるSBA（Service Base Architecture）でのインタフェースとなるSBI（Service Based Interface）上のRequest（SBI Request）のボディ及びヘッダなどをカプセル化する。
　より具体的には、カプセル化部211は、JavaScript（登録商標） Object Notation（JSON）に従った所定のデータフォーマットによって規定される要素（element）をカプセル化する。なお、カプセル化の対象となる要素の具体例については、さらに後述する。
　署名部213は、カプセル化部211によって所定要素がカプセル化されたSBI Requestを含むメッセージ（第１メッセージ）に対する署名（第１署名）を付加する。本実施形態において、署名部213は、第１署名部を構成する。なお、署名部213は、署名の付加だけでなく、付加されている署名を検証する機能も有する。
　具体的には、署名部213は、カプセル化部211から出力されたSBI Requestに含まれる保護対象のヘッダ及びペイロードに含まれる要素に対して、VPLMN20（Mobile Network Operator(MNO)）の署名を付加する。なお、vSEPP210による署名の具体例については、さらに後述する。
　メッセージ送信部215は、VPLMN20から受信した原メッセージに対して変更が実行されたメッセージ（第１メッセージ）を中継装置310に送信する。具体的には、メッセージ送信部215は、署名部213によって署名が付加されたメッセージ（第１メッセージ）を中継装置310に送信する。
　（２．２）中継装置310
　図４は、中継装置310の機能ブロック構成図である。図４に示すように、中継装置310は、メッセージ受信部311、変更部313、署名部315及びメッセージ中継部317を備える。なお、中継装置320も中継装置310と同様の構成を有する。
　メッセージ受信部311は、vSEPP210からメッセージを受信する。具体的には、メッセージ受信部311は、SBI Requestの所定要素がカプセル化されるとともに、MNOの署名が付加されたメッセージ（第１メッセージ）を受信する。
　変更部313は、メッセージ受信部311が受信したメッセージに含まれる当該所定要素をデカプセル化する。具体的には、変更部313は、所定の鍵交換メカニズムによって取得した鍵を用いて、当該所定要素をデカプセル化する。
　また、変更部313は、デカプセル化された所定要素（SBI Requestのボディ及びヘッダなど）に対する変更を実行する。上述したように、所定要素に対する変更には、要素の削除及び追加などが含まれる。
　具体的には、変更部313は、JSONに従った所定のデータフォーマットに基づいて、当該所定要素に対する変更を実行する。
　より具体的には、変更部313は、JSON-Patch mechanismを用いて、SBI Requestの内容に対する変更を実行する。このような変更は、JSON-Patch（RFC6902）と呼ばれる。なお、当該所定要素に対する変更の具体例については、さらに後述する。
　署名部315は、変更部313によって変更された所定要素を含むメッセージ（第２メッセージ）に対する署名（第２署名）を付加する。本実施形態において、署名部315は、第２署名部を構成する。なお、署名部315は、署名の付加だけでなく、付加されている署名を検証する機能も有する。
　具体的には、署名部315は、変更部313による当該所定要素の変更履歴に対して、IPXプロバイダ1の署名を付加する。当該変更履歴には、vSEPP210におけるカプセル化の内容、及びVPLMN20のMNOによる署名（第１署名）が含まれる。
　より具体的には、署名部315は、要素の配列（アレイ）のうち、リストされた変更対象の要素（Linked list elements（"next", "previous"））を含むJSON-Patchのインテグリティを保証するため、当該JSON-Patchに対して署名を付加する。
　Linked list elementsは、複数のJSON-Patchの正しい適用順序を示すことができ、不正な内容の改竄などを防止し得る。なお、中継装置310による署名の具体例については、さらに後述する。
　メッセージ中継部317は、変更部313によって変更された所定要素を含むメッセージ（第２メッセージ）をHPLMN30（他の移動通信ネットワーク）に向けて中継する。具体的には、メッセージ中継部317は、署名部315によって署名が付加されたメッセージ（第２メッセージ）をHPLMN30に向けて中継する。
　つまり、メッセージ中継部317によって中継されるメッセージには、VPLMN20のMNOの署名（第１署名）、IPXプロバイダ1の署名（第２署名）、及び変更部313による当該所定要素の変更履歴を含む。
　（３）無線通信システムの動作
　次に、無線通信システム10の動作について説明する。具体的には、VPLMN20とHPLMN30との間におけるメッセージの中継シーケンス、vSEPP210と中継装置310とにおけるメッセージの変更例、及び、vSEPP210と中継装置310とにおけるメッセージへの署名例について説明する。
　（３．１）メッセージの中継シーケンス
　図５は、VPLMN20とHPLMN30との間におけるメッセージの中継シーケンスを示す。ここでは、当該メッセージが、SBI Request、具体的には、HTTP Requestである例について説明する。
　図５に示すように、VPLMN20に含まれるNF110は、UE50からの要求などに応じて、HTTP RequestをvSEPP210に送信する（S10）。
　vSEPP210は、受信したHTTP Requestに含まれる所定要素をカプセル化するとともに、カプセル化された所定要素に対して、VPLMN20のMNOの署名を付加する（S20）。vSEPP210は、カプセル化された所定要素を含み、署名が付加されたHTTP Requestを、IPXプロバイダ1が運用する中継装置310に送信する（S30）。
　中継装置310は、vSEPP210から受信したHTTP Request（メッセージ）の所定要素に対して変更を実行するとともに、当該所定要素の変更履歴に対して、IPXプロバイダ1の署名を付加する（S40）。
　なお、中継装置310は、上述したように、カプセル化された所定要素をデカプセル化し、当該変更を実行する。また、当該変更を実行する理由は、IPXプロバイダ1における運用上の条件（各種要素の上限値など）などが挙げられる。より具体的な例としては、Homogenous Support of IMS Voice over PS Sessions（VoLTEが当該LTEノード在圏中は常に可能）が「サポート」でも、二社間でローミング協定がない場合、HPLMNは、当該フラグに関わらず、着信判定において、VoLTE不可にする必要がある。しかしながら、着信判定では、フラグが「サポート」の場合はVoLTE着信する仕様となっているため、当該フラグを修正する必要がある。
　中継装置310は、変更が実行された当該所定要素を含み、署名が付加されたHTTP Requestを、IPXプロバイダ2が運用する中継装置320に送信する（S50）。
　中継装置320は、中継装置310から受信したHTTP Request（具体的には、HTTP Requestに含まれる所定要素の変更履歴）に対して、IPXプロバイダ2の署名を付加する（S60）。
　中継装置320は、IPXプロバイダ2の署名がさらに付加されたHTTP RequestをhSEPP220に送信する（S70）。
　hSEPP220は、中継装置320から受信したHTTP Requestに含まれる全ての署名を確認し、当該HTTP Requestに含まれる変更履歴に基づいて、サービス要求（SBI Request）を再生成する（S80）。
　hSEPP220は、再生成したSBI Request、具体的には、HTTP RequestをNF120に送信する（S90）。
　（３．２）メッセージの変更例及びメッセージへの署名例
　次に、vSEPP210、中継装置310（IPXプロバイダ1）及び中継装置320（IPXプロバイダ2）におけるメッセージ（HTTP Request）の変更例及びメッセージへの署名例について説明する。
　（３．２．１）vSEPP210
　図６Ａ及び図６Ｂは、vSEPP210におけるHTTP Requestの変更例を示す。具体的には、図６Ａは、所定要素の変更前のHTTP Requestを示し、図６Ｂは、当該所定要素の変更後のHTTP Requestを示す。
　図６Ａ及び図６Ｂに示すように、vSEPP210は、JSONに従って所定要素をカプセル化した情報（図６Ｂの"requesthistory"の部分を参照）を追加する。
　具体的には、vSEPP210は、JSONに従ってHTTP Requestのbody, headers, URIなどをカプセル化する。また、当該要素の追加の方法（verb）は、POSTである。なお、URIは、全てのHTTP Requestにおいて共通でもよい。
　図７は、vSEPP210におけるHTTP Requestに対する署名例を示す。図７に示すように、vSEPP210は、HTTP Requestに含まれる保護対象のヘッダ及びペイロードに含まれる要素に対して、VPLMN20のMNOの署名を付加する（図７の{ protectedHeader.protectedPayload.signature }の部分を参照）。
　保護対象のヘッダ（protectedHeader）は、HTTP Requestの記述に関するアルゴリズム及び鍵のIDを含む。また、保護対象のペイロード（ボディ）は、JSONに従ったオブジェクトを含む。
　vSEPP210は、JSON Web Signature （RFC7515）に基づいて、当該HTTP Requestのインテグリティを保証する。署名としては、Elliptic Curve Digital Signature Algorithm（ECDSA）またはHash-based Message Authentication Code（HMAC）などを用い得る。
　（３．２．２）中継装置310
　図８は、中継装置310におけるHTTP Requestの変更例を示す。図８に示す例では、IPXプロバイダ1は、当該HTTP Requestを一旦終了し、TCPコネクションを新たなホスト（ここでは、IPXプロバイダ2（IPX2））に転送する変更を実行する（図８の下線部参照）。
　図９は、中継装置310におけるHTTP Requestへの変更履歴の追加、及びHTTP Requestに対する署名例を示す。図９に示すように、中継装置310は、"requesthistory"（変更履歴）の配列（アレイ）に対して、図８に示したHTTP Requestの変更内容を追加する。上述したように、本実施形態では、このような変更内容は、JSON-Patch（RFC6902）に基づいて追加される。
　また、中継装置310は、HTTP Requestに含まれる保護対象のヘッダ及びペイロードに含まれる要素に対して、IPXプロバイダ1の署名を付加する（図９の{ pprotectedHeaderIPX1.protectedPayloadIPX1.signatureIPX1 }の部分を参照）。
　図１０は、中継装置310における"requesthistory"（変更履歴）の配列の記載例を示す。図１０に示すように、"previous"は、中継装置310（IPXプロバイダ1）よりも前のタイミングにおけるHTTP Requestへの変更者（ここでは、vSEPP210、つまり、VPLMN20のMNO）を示す。
　"next"は、次のタイミングにおけるHTTP Requestへの変更者を示す。なお、当該変更者が不明の場合は、空欄で構わない。また、当該変更者においてHTTP Requestへの変更が不要の場合、JSON-Patchの部分はなくても構わない。図１０に示すような記載をすることによって、HTTP Requestへの変更履歴のタイミングを示すLinked list elementsが構成される。
　また、図１０の下線部は、具体的な変更箇所の例を示す。”Content-Length”は、新たな要素（new_element）の数によって変化し得る。
　（３．２．３）中継装置320
　図１１は、中継装置320におけるHTTP Requestに対する署名例を示す。ここでは、中継装置320は、中継装置310から受信したHTTP Requestに対する変更は実行せずに、当該HTTP Requestに対して、IPXプロバイダ2の署名を付加する。
　図１１に示すように、HTTP Requestに含まれる保護対象のヘッダ及びペイロードに含まれる要素に対して、VPLMN20のMNOの署名を付加する（図１１の{ protectedHeaderIPX2.protectedPayloadIPX2.signatureIPX2 }の部分を参照）。署名の方法は、vSEPP210及び中継装置320と同様である。
　（４）作用・効果
　上述した実施形態によれば、以下の作用効果が得られる。具体的には、vSEPP210は、所定要素がカプセル化されたSBI Request（HTTP Request）を含むメッセージ（第１メッセージ）に対する署名（第１署名）を付加する。
　また、中継装置310は、vSEPP210から当該メッセージを受信し、デカプセル化された所定要素（SBI Requestのボディ及びヘッダなど）に対する変更を実行する。さらに、中継装置310は、変更された所定要素を含むメッセージ（第２メッセージ）に対する署名（第２署名）を付加する。
　このため、中継装置310（IPXプロバイダ1）は、運用上の条件などに応じて、当該メッセージの内容を変更することができる。また、当該メッセージには、各エンティティ（VPLMN20のMNO、IPXプロバイダ1及びIPXプロバイダ2）の署名が付加されているため、当該メッセージのインテグリティも保証できる。
　すなわち、vSEPP210及び中継装置310を含む無線通信システム10によれば、VPLMN20とHPLMN30との間で中継されるメッセージのインテグリティを保証しつつ、当該メッセージの削除、変更または追加などが可能となる。
　本実施形態では、中継装置310（変更部313）は、JSONに従った所定のデータフォーマット（JSON-Patch）に基づいて、当該所定要素に対する変更を実行する。このため、既存のフォーマットを用いて容易かつ確実に当該所定要素に対する変更を実現し得る。
　本実施形態では、中継装置310（署名部315）は、当該所定要素の変更履歴（"requesthistory"）に対して、署名（第２署名）を付加することができる。このため、当該所定要素に対する変更の時系列についてもインテグリティを保証し得る。
　さらに、中継装置310（メッセージ中継部317）は、VPLMN20のMNOの署名（第１署名）、IPXプロバイダ1の署名（第２署名）、及び上述した変更履歴を含むメッセージ（第２メッセージ）をHPLMN30に向けて中継することができる。このため、HPLMN30は、変更の時系列も含めて、受信した当該メッセージのインテグリティが保証されていることを確認したUEで、当該メッセージをHPLMN30内の所定の宛先に送信し得る。
　なお、上述した無線通信システム10と同様の効果を得るため、隣接する各機能エンティティ間において、HTTP Request及びHTTP Responseを送受信する方法が考えられるが、無線通信システム10内におけるシーケンス数が増大するため、レスポンスの観点から好ましくない。
　（５）その他の実施形態
　以上、実施形態に沿って本発明の内容を説明したが、本発明はこれらの記載に限定されるものではなく、種々の変形及び改良が可能であることは、当業者には自明である。
　例えば、上述した実施形態では、メッセージに含まれる所定要素を変更するため、JSON-Patch（RFC6902）が用いられていたが、他の方法、例えば、JSON-Merge-Patch（RFC7396）が用いられてもよい。或いは、diff, binary diffまたはhttp-patchでもよい。すなわち、データ、メッセージ、構文化された情報などの変更や受け渡しなどに適用可能であれば、いかなるプロシージャセット・データ記述言語を用いてもよい。
　上述した実施形態では、SBI Request（HTTP Request）を例として説明したが、SBA Response（HTTP Response）についても同様である。
　また、上述した実施形態では、vSEPP210及び中継装置310の動作を例として説明したが、hSEPP220及び中継装置320も同様に動作し得る。
　さらに、上述した実施形態では、vSEPP210とhSEPP220との間に、IPXプロバイダの装置（中継装置310及び中継装置320）が存在する例について説明したが、IPXプロバイダ以外の装置が介在していても構わない。
　また、上述した実施形態の説明に用いたブロック構成図（図３，４）は、機能ブロックを示している。これらの機能ブロック（構成部）は、ハードウェア及び／またはソフトウェアの任意の組み合わせによって実現される。また、各機能ブロックの実現手段は特に限定されない。すなわち、各機能ブロックは、物理的及び／または論理的に結合した１つの装置により実現されてもよいし、物理的及び／または論理的に分離した２つ以上の装置を直接的及び／または間接的に（例えば、有線及び／または無線）で接続し、これら複数の装置により実現されてもよい。
　さらに、上述したvSEPP210及び中継装置310は、本発明の処理を行うコンピュータとして機能してもよい。図１２は、vSEPP210及び中継装置310のハードウェア構成の一例を示す図である。図１２に示すように、当該装置は、プロセッサ1001、メモリ1002、ストレージ1003、通信装置1004、入力装置1005、出力装置1006及びバス1007などを含むコンピュータ装置として構成されてもよい。
　当該装置の各機能ブロック（図３，４参照）は、当該コンピュータ装置の何れかのハードウェア要素、または当該ハードウェア要素の組み合わせによって実現される。
　プロセッサ1001は、例えば、オペレーティングシステムを動作させてコンピュータ全体を制御する。プロセッサ1001は、周辺装置とのインタフェース、制御装置、演算装置、レジスタなどを含む中央処理装置（CPU）で構成されてもよい。
　メモリ1002は、コンピュータ読み取り可能な記録媒体であり、例えば、ROM（Read Only Memory）、EPROM（Erasable Programmable ROM）、EEPROM（Electrically Erasable Programmable ROM）、RAM（Random Access Memory）などの少なくとも１つで構成されてもよい。メモリ1002は、レジスタ、キャッシュ、メインメモリ（主記憶装置）などと呼ばれてもよい。メモリ1002は、上述した実施形態に係る方法を実行可能なプログラム（プログラムコード）、ソフトウェアモジュールなどを保存することができる。
　ストレージ1003は、コンピュータ読み取り可能な記録媒体であり、例えば、CD-ROM（Compact Disc ROM）などの光ディスク、ハードディスクドライブ、フレキシブルディスク、光磁気ディスク（例えば、コンパクトディスク、デジタル多用途ディスク、Blu-ray（登録商標）ディスク）、スマートカード、フラッシュメモリ（例えば、カード、スティック、キードライブ）、フロッピー（登録商標）ディスク、磁気ストリップなどの少なくとも１つで構成されてもよい。ストレージ1003は、補助記憶装置と呼ばれてもよい。上述の記録媒体は、例えば、メモリ1002及び／またはストレージ1003を含むデータベース、サーバその他の適切な媒体であってもよい。
　通信装置1004は、有線及び／または無線ネットワークを介してコンピュータ間の通信を行うためのハードウェア（送受信デバイス）であり、例えばネットワークデバイス、ネットワークコントローラ、ネットワークカード、通信モジュールなどともいう。
　入力装置1005は、外部からの入力を受け付ける入力デバイス（例えば、キーボード、マウス、マイクロフォン、スイッチ、ボタン、センサなど）である。出力装置1006は、外部への出力を実施する出力デバイス（例えば、ディスプレイ、スピーカー、LEDランプなど）である。なお、入力装置1005及び出力装置1006は、一体となった構成（例えば、タッチパネル）であってもよい。
　また、プロセッサ1001及びメモリ1002などの各装置は、情報を通信するためのバス1007で接続される。バス1007は、単一のバスで構成されてもよいし、装置間で異なるバスで構成されてもよい。
　また、情報の通知は、上述した実施形態に限られず、他の方法で行われてもよい。例えば、情報の通知は、物理レイヤシグナリング（例えば、DCI（Downlink Control Information）、UCI（Uplink Control Information））、上位レイヤシグナリング（例えば、RRCシグナリング、MAC（Medium Access Control）シグナリング、報知情報（MIB（Master Information Block）、SIB（System Information Block））、その他の信号またはこれらの組み合わせによって実施されてもよい。また、RRCシグナリングは、RRCメッセージと呼ばれてもよく、例えば、RRC Connection Setupメッセージ、RRC Connection Reconfigurationメッセージなどであってもよい。
　さらに、入出力された情報は、特定の場所（例えば、メモリ）に保存されてもよいし、管理テーブルで管理してもよい。入出力される情報は、上書き、更新、または追記され得る。出力された情報は削除されてもよい。入力された情報は他の装置へ送信されてもよい。
　上述した実施形態におけるシーケンス及びフローチャートなどは、矛盾の無い限り、順序を入れ替えてもよい。
　また、上述した実施形態において、vSEPP210及び中継装置310によって行われるとした特定動作は、他のネットワークノード（装置）によって行われることもある。また、複数の他のネットワークノードの組み合わせによってvSEPP210及び中継装置310の機能が提供されても構わない。
　なお、本明細書で説明した用語及び／または本明細書の理解に必要な用語については、同一のまたは類似する意味を有する用語と置き換えてもよい。例えば、該当する記載がある場合、チャネル及び／またはシンボルは信号（シグナル）であってもよい。また、信号はメッセージであってもよい。また、「システム」及び「ネットワーク」という用語は、互換的に使用されてもよい。
　さらに、パラメータなどは、絶対値で表されてもよいし、所定の値からの相対値で表されてもよいし、対応する別の情報で表されてもよい。例えば、無線リソースはインデックスで指示されるものであってもよい。
　gNB（基地局）は、１つまたは複数（例えば、３つ）のセル（セクタとも呼ばれる）を収容することができる。基地局が複数のセルを収容する場合、基地局のカバレッジエリア全体は複数のより小さいエリアに区分でき、各々のより小さいエリアは、基地局サブシステム（例えば、屋内用の小型基地局RRH：Remote Radio Head）によって通信サービスを提供することもできる。
　「セル」または「セクタ」という用語は、このカバレッジにおいて通信サービスを行う基地局、及び／または基地局サブシステムのカバレッジエリアの一部または全体を指す。
さらに、「基地局」「eNB」、「セル」、及び「セクタ」という用語は、本明細書では互換的に使用され得る。基地局は、固定局（fixed station）、NodeB、eNodeB（eNB）、gNodeB（gNB）、アクセスポイント（access point）、フェムトセル、スモールセルなどの用語で呼ばれる場合もある。
　UE50は、当業者によって、加入者局、モバイルユニット、加入者ユニット、ワイヤレスユニット、リモートユニット、モバイルデバイス、ワイヤレスデバイス、ワイヤレス通信デバイス、リモートデバイス、モバイル加入者局、アクセス端末、モバイル端末、ワイヤレス端末、リモート端末、ハンドセット、ユーザエージェント、モバイルクライアント、クライアント、またはいくつかの他の適切な用語で呼ばれる場合もある。
　本明細書で使用する「に基づいて」という記載は、別段に明記されていない限り、「のみに基づいて」を意味しない。言い換えれば、「に基づいて」という記載は、「のみに基づいて」と「に少なくとも基づいて」の両方を意味する。
　また、「含む（including）」、「含んでいる（comprising）」、及びそれらの変形の用語は、「備える」と同様に、包括的であることが意図される。さらに、本明細書或いは特許請求の範囲において使用されている用語「または（or）」は、排他的論理和ではないことが意図される。
　本明細書で使用した「第１」、「第２」などの呼称を使用した要素へのいかなる参照も、それらの要素の量または順序を全般的に限定するものではない。これらの呼称は、２つ以上の要素間を区別する便利な方法として本明細書で使用され得る。したがって、第１及び第２の要素への参照は、２つの要素のみがそこで採用され得ること、または何らかの形で第１の要素が第２の要素に先行しなければならないことを意味しない。
　本明細書の全体において、例えば、英語でのa, an, 及びtheのように、翻訳により冠詞が追加された場合、これらの冠詞は、文脈から明らかにそうではないことが示されていなければ、複数のものを含むものとする。
　上記のように、本発明の実施形態を記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例及び運用技術が明らかとなろう。
　10　無線通信システム
　20　VPLMN
　30　HPLMN
　50　UE
　110　NF
　120　NF
　210　vSEPP
　211　カプセル化部
　213　署名部
　215　メッセージ送信部
　220　hSEPP
　310　中継装置
　311　メッセージ受信部
　313　変更部
　315　署名部
　317　メッセージ中継部
　320　中継装置
　1001　プロセッサ
　1002　メモリ
　1003　ストレージ
　1004　通信装置
　1005　入力装置
　1006　出力装置
　1007　バス

Claims (6)

  1. 　移動通信ネットワークに接続されるセキュリティプロキシ装置と、
    　前記セキュリティプロキシ装置に接続される中継装置と
    を含む無線通信システムであって、
    　前記セキュリティプロキシ装置は、
    　前記移動通信ネットワークから受信した原メッセージに含まれる所定要素をカプセル化するカプセル化部と、
    　前記カプセル化部によって前記所定要素がカプセル化された第１メッセージに対する第１署名を付加する第１署名部と、
    　前記第１メッセージを前記中継装置に送信するメッセージ送信部と
    を備え、
    　前記中継装置は、
    　前記第１メッセージを受信するメッセージ受信部と、
    　前記第１メッセージに含まれる前記所定要素をデカプセル化し、前記所定要素に対する変更を実行する変更部と、
    　前記変更部によって変更された前記所定要素を含む第２メッセージに対する第２署名を付加する第２署名部と、
    　前記第２メッセージを他の移動通信ネットワークに向けて中継するメッセージ中継部とを備える無線通信システム。
  2. 　前記変更部は、所定のデータフォーマットに基づいて前記所定要素に対する変更を実行する請求項１に記載の無線通信システム。
  3. 　前記第２署名部は、前記変更部による前記所定要素の変更履歴に対して、前記第２署名を付加する請求項１に記載の無線通信システム。
  4. 　前記メッセージ中継部は、前記第１署名、前記第２署名及び前記変更履歴を含む前記第２メッセージを中継する請求項３に記載の無線通信システム。
  5. 　移動通信ネットワークに接続されるセキュリティプロキシ装置であって、
    　前記移動通信ネットワークから受信した原メッセージに含まれる所定要素をカプセル化するカプセル化部と、
    　前記カプセル化部によって前記所定要素がカプセル化された第１メッセージに対する第１署名を付加する第１署名部と、
    　前記第１メッセージを、前記セキュリティプロキシ装置に接続される中継装置に送信するメッセージ送信部と
    を備えるセキュリティプロキシ装置。
  6. 　移動通信ネットワークに接続されるセキュリティプロキシ装置と接続される中継装置であって、
    　前記セキュリティプロキシ装置が前記移動通信ネットワークから受信した原メッセージに含まれる所定要素がカプセル化された第１メッセージを受信するメッセージ受信部と、
    　前記第１メッセージに含まれる前記所定要素をデカプセル化し、前記所定要素に対する変更を実行する変更部と、
    　前記変更部によって変更された前記所定要素を含む第２メッセージに対する第２署名を付加する第２署名部と、
    　前記第２メッセージを他の移動通信ネットワークに向けて中継するメッセージ中継部とを備える中継装置。
PCT/JP2019/006254 2018-02-21 2019-02-20 無線通信システム、セキュリティプロキシ装置及び中継装置 WO2019163810A1 (ja)

Priority Applications (6)

Application Number Priority Date Filing Date Title
JP2020500984A JP6966624B2 (ja) 2018-02-21 2019-02-20 無線通信システム、セキュリティプロキシ装置及び中継装置
CN201980005878.5A CN111386682A (zh) 2018-02-21 2019-02-20 无线通信系统、安全代理装置及中继装置
US16/766,984 US20200329044A1 (en) 2018-02-21 2019-02-20 Radio communication system, security proxy device, and relay device
AU2019224247A AU2019224247B2 (en) 2018-02-21 2019-02-20 Radio communication system, security proxy device, and relay device
EP19756464.4A EP3709580A4 (en) 2018-02-21 2019-02-20 WIRELESS COMMUNICATION SYSTEM, SECURITY PROXY DEVICE AND RELAY DEVICE
CN202311056196.1A CN116866080A (zh) 2018-02-21 2019-02-20 无线通信系统

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-029222 2018-02-21
JP2018029222 2018-02-21

Publications (1)

Publication Number Publication Date
WO2019163810A1 true WO2019163810A1 (ja) 2019-08-29

Family

ID=67686820

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/006254 WO2019163810A1 (ja) 2018-02-21 2019-02-20 無線通信システム、セキュリティプロキシ装置及び中継装置

Country Status (6)

Country Link
US (1) US20200329044A1 (ja)
EP (1) EP3709580A4 (ja)
JP (1) JP6966624B2 (ja)
CN (2) CN111386682A (ja)
AU (1) AU2019224247B2 (ja)
WO (1) WO2019163810A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3886475A1 (en) * 2020-03-27 2021-09-29 Nokia Technologies Oy Enhanced hop by hop security

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1091427A (ja) * 1996-06-11 1998-04-10 Internatl Business Mach Corp <Ibm> 署名入り内容の使用の安全を保証する方法及びシステム
JP2002024147A (ja) * 2000-07-05 2002-01-25 Nec Corp セキュアメールプロキシシステム及び方法並びに記録媒体
JP2008219585A (ja) * 2007-03-06 2008-09-18 Hitachi Ltd 署名情報処理方法、そのプログラムおよび情報処理装置
JP2011509539A (ja) * 2007-11-01 2011-03-24 テレフオンアクチーボラゲット エル エム エリクソン（パブル） プロキシを通じて接続されたホスト間の安全なネイバディスカバリ

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4546105B2 (ja) * 2004-02-03 2010-09-15 株式会社日立製作所 メッセージ交換方法、およびメッセージ変換システム
US7496750B2 (en) * 2004-12-07 2009-02-24 Cisco Technology, Inc. Performing security functions on a message payload in a network element
US8130768B1 (en) * 2005-07-14 2012-03-06 Avaya Inc. Enhanced gateway for routing between networks
US11438310B2 (en) * 2018-01-25 2022-09-06 Koninklijke Kpn N.V. IPX signaling security
US11038923B2 (en) * 2018-02-16 2021-06-15 Nokia Technologies Oy Security management in communication systems with security-based architecture using application layer security
KR102422660B1 (ko) * 2018-02-16 2022-07-20 텔레호낙티에볼라게트 엘엠 에릭슨(피유비엘) 코어 네트워크 도메인들 사이에서 송신되는 메시지의 보호
WO2019158716A1 (en) * 2018-02-19 2019-08-22 Telefonaktiebolaget Lm Ericsson (Publ) Security negotiation in service based architectures (sba)

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1091427A (ja) * 1996-06-11 1998-04-10 Internatl Business Mach Corp <Ibm> 署名入り内容の使用の安全を保証する方法及びシステム
JP2002024147A (ja) * 2000-07-05 2002-01-25 Nec Corp セキュアメールプロキシシステム及び方法並びに記録媒体
JP2008219585A (ja) * 2007-03-06 2008-09-18 Hitachi Ltd 署名情報処理方法、そのプログラムおよび情報処理装置
JP2011509539A (ja) * 2007-11-01 2011-03-24 テレフオンアクチーボラゲット エル エム エリクソン（パブル） プロキシを通じて接続されたホスト間の安全なネイバディスカバリ

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
"3GPP TS 23.501", December 2017, 3GPP, article "Subclause 4.2.4 Roaming reference architectures, 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; System Architecture for the 5G System; Stage 2 (Release 15"
See also references of EP3709580A4

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3886475A1 (en) * 2020-03-27 2021-09-29 Nokia Technologies Oy Enhanced hop by hop security
US20210306326A1 (en) * 2020-03-27 2021-09-30 Nokia Technologies Oy Enhanced hop by hop security
CN113518345A (zh) * 2020-03-27 2021-10-19 诺基亚技术有限公司 增强的逐跳安全性

Also Published As

Publication number Publication date
JP6966624B2 (ja) 2021-11-17
AU2019224247A1 (en) 2020-06-18
JPWO2019163810A1 (ja) 2020-12-03
CN111386682A (zh) 2020-07-07
EP3709580A4 (en) 2020-12-23
EP3709580A1 (en) 2020-09-16
AU2019224247B2 (en) 2021-10-21
US20200329044A1 (en) 2020-10-15
CN116866080A (zh) 2023-10-10

Similar Documents

Publication Publication Date Title
EP3783862B1 (en) Session management method and session management function network element
US11284250B2 (en) Network, network nodes, wireless communication devices and method therein for handling network slices in a wireless communication network
US11206537B2 (en) Session activation method, apparatus, and system
CN109587688B (zh) 系统间移动性中的安全性
US11323976B2 (en) Network device and radio communication method
EP3860176B1 (en) Method, apparatus, and system for obtaining capability information of terminal
RU2760869C1 (ru) Способ передачи информации терминала и соответствующие продукты
US20190281116A1 (en) Data Transmission Method, Apparatus, and System, and Storage Medium
US10542513B2 (en) Deregistration method of user equipment in network and user equipment performing the same
CN113676904B (zh) 切片认证方法及装置
WO2018103531A1 (zh) 接入网络切片的方法及装置
CN110831247A (zh) 一种通信方法及装置
JP6966624B2 (ja) 無線通信システム、セキュリティプロキシ装置及び中継装置
WO2022148469A1 (zh) 一种安全保护方法、装置和系统
WO2022091188A1 (ja) ネットワークノード及び通信方法
WO2021073382A1 (zh) 注册方法及装置
WO2024066924A1 (zh) 用户终端策略的配置方法、装置、介质及芯片
WO2022174802A1 (zh) 密钥更新的方法和装置
WO2023213181A1 (zh) 一种通信方法及装置
WO2024067619A1 (zh) 通信方法和通信装置
WO2023153101A1 (ja) アクセスネットワークノード、制御ノード、Ｕｓｅｒ Ｅｑｕｉｐｍｅｎｔ、及びコアネットワークノード
WO2019193879A1 (ja) ユーザ装置、ネットワーク装置及び無線通信方法
EP4044644A1 (en) Identity authentication method and communication device
CN115706973A (zh) 一种安全通信的方法及通信装置
CN116349326A (zh) 无线通信方法、设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19756464

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020500984

Country of ref document: JP

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 2019224247

Country of ref document: AU

Date of ref document: 20190220

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 2019756464

Country of ref document: EP

Effective date: 20200609

NENP Non-entry into the national phase

Ref country code: DE