WO2019206286A1 - 一种网络切片接入的方法、装置和系统 - Google Patents

一种网络切片接入的方法、装置和系统 Download PDF

Info

Publication number
WO2019206286A1
WO2019206286A1 PCT/CN2019/084616 CN2019084616W WO2019206286A1 WO 2019206286 A1 WO2019206286 A1 WO 2019206286A1 CN 2019084616 W CN2019084616 W CN 2019084616W WO 2019206286 A1 WO2019206286 A1 WO 2019206286A1
Authority
WO
WIPO (PCT)
Prior art keywords
network slice
information
authentication
sliceid
identity information
Prior art date
Application number
PCT/CN2019/084616
Other languages
English (en)
French (fr)
Inventor
余万涛
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to US17/050,474 priority Critical patent/US20210243600A1/en
Publication of WO2019206286A1 publication Critical patent/WO2019206286A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H04W8/20—Transfer of user or subscriber data
    • H04W8/205—Transfer to or from user equipment or user record carrier
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/14—Charging, metering or billing arrangements for data wireline or wireless communications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/72—Subscriber identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/75—Temporary identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/18—Processing of user or subscriber data, e.g. subscribed services, user preferences or user profiles; Transfer of user or subscriber data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/18—Selecting a network or a communication service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W60/00—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration

Definitions

  • the present application relates to the field of communications, and in particular, to a method, device and system for network slice access.
  • 5G 5th-Generation, fifth-generation mobile communication technology
  • network architecture will introduce new IT (Information Technology) technologies, such as NFV (Network Function Virtualization).
  • IT Information Technology
  • NFV Network Function Virtualization
  • a virtual core network based on the network service requirements is called a network slice, and a network slice forms a virtual core network to provide a mobile network access service for a group of specific UEs (User Equipments).
  • a typical network slice includes a set of virtualized core network functions, such as a slice control plane unit, which is mainly responsible for slice mobility, session management, and authentication authentication related functions.
  • the slice user plane unit mainly provides users with sliced user resources.
  • the slice policy control unit is responsible for the function of the user policy, and the slice charging unit is responsible for the charging function of the user.
  • the function of network slicing is determined by the operator according to the requirements and the operator's policy. For example, some network slices may include a dedicated forwarding plane in addition to the control plane function; and some network slices may only include some basic control plane functions. Other core network related functions are shared with other network slices. Network slices may be created, modified, or deleted based on requirements. A UE may also receive services from different network slices simultaneously.
  • the authentication is performed by the AKA (Authentication and Key Agreement), and the UE directly accesses the network to provide services.
  • AKA Authentication and Key Agreement
  • the UE needs to access the network slice after attaching to the network.
  • the UE needs to send the slice identification information to the network, and the network determines the network slice accessed by the UE according to the slice identification information.
  • the embodiments of the present disclosure provide a method, an apparatus, and a system for network slice access, which can protect the privacy of network slice identification information while ensuring that the UE accesses the network slice.
  • An embodiment of the present disclosure provides a method for network slice access, including:
  • the user equipment UE sends request information for accessing a network slice, where the request information carries user identity information and temporary network slice identity information SliceID t ;
  • the UE performs access authentication with the network slice, and if the authentication succeeds, accesses the network slice.
  • the embodiment of the present disclosure further provides a method for network slice access, including:
  • the user subscription data management entity receives, by the base station, request information for accessing the network slice from the user equipment UE, where the request information carries user identity information and temporary network slice identity information SliceID t ;
  • the user subscription data management entity determines the authentication information of the UE according to the user identity information, searches for a corresponding network slice identifier SliceID according to the SliceID t , and sends the authentication information to the network slice corresponding to the slice ID. And managing the entity, so that the security management entity performs authentication with the UE, and the UE is accessed to the network slice.
  • the embodiment of the present disclosure further provides a method for network slice access, including:
  • the user equipment UE sends request information for accessing the network slice to the base station, where the request information carries the user identity information and the temporary network slice identity information SliceID t ;
  • the user subscription data management entity receives the request information from the UE through the base station, determines the authentication information of the UE according to the user identity information carried in the request information, and searches for the corresponding network slice identifier SliceID according to the SliceID t . Sending the authentication information to a security management entity of the network slice corresponding to the SliceID;
  • the security management entity performs access authentication with the UE according to the authentication information, and if the authentication succeeds, the UE accesses the network slice.
  • An embodiment of the present disclosure further provides an apparatus for network slice access, including:
  • a first sending module configured to send request information for accessing a network slice, where the request information carries user identity information and temporary network slice identity information SliceID t ;
  • the first authentication module is configured to perform access authentication with the network slice, and if the authentication succeeds, access the network slice.
  • An embodiment of the present disclosure further provides an apparatus for network slice access, including:
  • a first receiving module configured to receive, by using a base station, request information for accessing a network slice from a user equipment UE, where the request information carries user identity information and temporary network slice identity information SliceID t ;
  • a second sending module configured to determine, according to the user identity information, authentication information of the UE, search for a corresponding network slice identifier SliceID according to the SliceID t , and send the authentication information to a network slice corresponding to the slice ID. And managing the entity, so that the security management entity performs authentication with the UE, and the UE is accessed to the network slice.
  • the embodiment of the present disclosure further provides a network slice access system, including: a user equipment UE, a base station, a user subscription data management entity, and a security management entity, where
  • the UE is configured to send request information for accessing a network slice to the base station, where the request information carries user identity information and temporary network slice identity information SliceID t ; and performs access authentication and authentication with the security management entity. Successfully accessing the network slice;
  • the user subscription data management entity is configured to receive request information from the UE by using a base station, determine authentication information of the UE according to user identity information carried in the request information, and search for a corresponding network slice identifier according to the SliceID t.
  • SliceID the authentication information is sent to a security management entity of a network slice corresponding to the SliceID;
  • the security management entity is configured to perform access authentication with the UE according to the authentication information, and if the authentication succeeds, the UE is allowed to access the network slice.
  • the embodiment of the present disclosure further provides a user equipment UE, including:
  • a memory for storing the processor executable instructions
  • a transmission device for performing communication and communication according to control of the processor
  • the processor is configured to perform the following operations:
  • the embodiment of the present disclosure further provides a user subscription data management entity, including:
  • a memory for storing the processor executable instructions
  • a transmission device for performing communication and communication according to control of the processor
  • the processor is configured to perform the following operations:
  • the embodiment of the present disclosure includes: the user equipment UE sends request information for accessing the network slice to the base station, where the request information carries the user identity information and the temporary network slice identity information SliceID t ; the user subscription data management entity receives the Determining the authentication information of the UE according to the user identity information carried by the request information, searching for a corresponding network slice identifier SliceID according to the SliceID t , and sending the authentication information to the slice ID corresponding to the slice ID. a security management entity of the network slice; the security management entity performs access authentication with the UE according to the authentication information, and if the authentication succeeds, the UE accesses the network slice.
  • the network slice identification information of the plaintext is transmitted when the UE accesses the network slice, thereby ensuring the privacy security of the network slice identity information.
  • FIG. 1(a) and (b) are schematic diagrams showing a network architecture of an embodiment of the present disclosure
  • FIG. 2 is a flowchart of a method (applied to a system) for network slice access according to an embodiment of the present disclosure
  • FIG. 3 is a flowchart of a method for applying network slice access (applied to a UE) according to an embodiment of the present disclosure
  • FIG. 4 is a flow chart of a method for accessing a network slice (applied to a user subscription data management entity) according to an embodiment of the present disclosure
  • FIG. 5 is a schematic diagram of a network slice attachment process according to an application example of the present disclosure.
  • FIG. 6 is a schematic diagram of a network slice access process according to an application example of the present disclosure.
  • FIG. 7 is a schematic diagram of a device (applied to a UE) for network slice access according to an embodiment of the present disclosure
  • FIG. 8 is a schematic diagram of a device for network slice access (applied to a user subscription data management entity) according to an embodiment of the present disclosure.
  • the attacker may collect the UE information of the access network slice, and based on the collected UE information of a certain network slice that is accessed to the group of UEs. Conduct a denial of service attack.
  • the network slices of the serving UE may dynamically change, and the UE may also need to access services of different network slices simultaneously.
  • the method, apparatus, and system for network slice access in the embodiment of the present disclosure are used to implement the effect of the slice identification privacy security protection for the UE to access the network slice in the 5G communication system.
  • the user of the home network subscribes to a data management entity, such as an AUSF (Authentication Server Function), to manage and maintain the user subscription data.
  • AUSF may each subscriber, the access network allowing the user to configure a slice slice network temporary identity SliceID t.
  • the AUSF is also a network entity for managing UE access authentication. The AUSF saves, manages, and maintains a correspondence list of the network slice identity information SliceID and the network slice temporary identity information SliceID t .
  • the user subscription data includes at least user subscription identity information, that is, an IMSI (International Mobile Subscriber Identification Number), a network slice information SliceID, and a network slice temporary identity information SliceID t .
  • the network slice temporary identity information SliceID t is a temporary network slice identity information.
  • one network slice identity information SliceID corresponds to one temporary network slice identity information SliceID t .
  • the network slice can contain a security management entity, SEAF (Security Anchor Function), and SEAF is a security anchor in the network slice.
  • SEAF Security Anchor Function
  • the network slice may also include a mobility management entity (AMF (Access and Mobility Management Function) for mobility management of the UE.
  • AMF Access and Mobility Management Function
  • the signaling is forwarded via the AMF.
  • the UE maintains and manages user subscription data.
  • UE save, manage and maintain a list of correspondence relationship network identity information SliceID slice and slice temporary network identity information SliceID t's.
  • a UE can access multiple different network slices. In this case, one UE can save, manage, and maintain a list of correspondences between multiple different network slice identity information SliceIDs and their corresponding temporary network slice identity information SliceID t . .
  • a method for accessing a network slice includes:
  • Step 101 UE sends a request for information to the base station access network sections, the request information carries identification information and user identification information temporary network slice SliceID t.
  • the base station may be a 5G base station gNB.
  • the request information may be the connection request information sent when the UE accesses the network, or may be the network slice access request information sent by the UE after the network accesses the network.
  • the user identity information may be a temporary user subscription identity information, such as a TMSI (Temporary Mobile Subscriber Identifier), or an encrypted user subscription identity information SUCI (Subscription Concealed Identifier).
  • TMSI Temporal Mobile Subscriber Identifier
  • SUCI Subscribescription Concealed Identifier
  • an access slice process for a subscriber is proposed, and a temporary slice identity information SliceID t may be allocated to the subscriber. After the access process ends, the used temporary slice identity information is deleted, and The UE allocates new temporary network slice information for use in the next UE access slice.
  • Step 102 The user subscription data management entity receives the request information from the UE by using the base station, determines the authentication information of the UE according to the user identity information carried in the request information, and searches for a corresponding network slice identifier according to the SliceID t. SliceID, the authentication information is sent to a security management entity of a network slice corresponding to the SliceID.
  • the user subscription data management entity may include an AUSF, and the security management entity may include a SEAF.
  • the request information is the attachment request information.
  • the authentication information includes an authentication vector
  • the user subscription data management entity determines user subscription identity information (IMSI) according to the user identity information, and generates a corresponding group of authentication vectors according to the user subscription identity information, and
  • IMSI user subscription identity information
  • the authentication vector is sent to a security management entity of the network slice corresponding to the SliceID.
  • the request information is network slice access request information.
  • the security management entity since the security management entity usually stores the authentication vector corresponding to the user subscription identity information, the authentication information includes the user subscription identity information and the network slice access request information.
  • the user subscription data management entity determines the user subscription identity information according to the user identity information, and sends the user subscription identity information and the network slice access request information to the security management entity of the network slice corresponding to the SliceID.
  • Step 103 The security management entity performs access authentication with the UE according to the authentication information, and if the authentication succeeds, the UE accesses the network slice.
  • the security management entity selects an authentication vector from the received set of authentication vectors, and performs AKA authentication with the UE according to the selected authentication vector.
  • the security management entity selects an authentication vector in a group of authentication vectors corresponding to the user subscription identity information, according to The selected authentication vector is authenticated by the UE for AKA.
  • the security management entity determines that the authentication vector corresponding to the user subscription identity information has been used up, sending the authentication request information to the user subscription data management entity; and the user subscription data management entity generates one according to the user subscription identity information.
  • a group authentication vector the generated authentication vector is sent to the security management entity; the security management entity selects an authentication vector in the set of authentication vectors, and performs AKA on the UE according to the selected authentication vector. Certification.
  • the network slice identification information of the plaintext is transmitted when the UE accesses the network slice, thereby ensuring the privacy security of the network slice identity information.
  • the method for accessing the network slice includes the following steps:
  • Step 201 UE sends a request for accessing a network slice information, the request information carries identification information and user identification information temporary network slice SliceID t.
  • the UE sends the request information to a base station (for example, a 5G base station gNB).
  • a base station for example, a 5G base station gNB.
  • the request information may include at least one of the following: attach request information, network slice access request information.
  • the user identity information may include at least one of the following: temporary user subscription identity information (such as TMSI), and encrypted user subscription identity information (such as SUCI).
  • temporary user subscription identity information such as TMSI
  • encrypted user subscription identity information such as SUCI
  • Step 202 The UE performs access authentication with the network slice, and if the authentication succeeds, accesses the network slice.
  • the UE performs access authentication with a security management entity in the network slice, and the access authentication may be AKA authentication.
  • the method further includes: the SliceID t is in one-to-one correspondence with the network slice identity information SliceID, and the UE saves and maintains a correspondence list between the SliceID and the SliceID t .
  • the UE may obtain the SliceID t through the user subscription data management entity, or may generate the SliceID t according to the SliceID through a preset generation rule.
  • the network slice identification information of the plaintext is transmitted when the UE accesses the network slice, thereby ensuring the privacy security of the network slice identity information.
  • the method for network slice access includes the following steps:
  • Step 301 the user subscription data management entity receives the request information for accessing a network from a user equipment UE slice through a base station, the request information carries identification information and user identification information temporary network slice SliceID t.
  • the user subscription data management entity may include an AUSF, and the security management entity may include a SEAF.
  • the request information may include at least one of the following: attach request information, network slice access request information.
  • the user identity information may include at least one of the following: temporary user subscription identity information (such as TMSI), and encrypted user subscription identity information (such as SUCI).
  • temporary user subscription identity information such as TMSI
  • encrypted user subscription identity information such as SUCI
  • Step 302 The user subscription data management entity determines the authentication information of the UE according to the user identity information, searches for a corresponding network slice identifier SliceID according to the SliceID t , and sends the authentication information to the network corresponding to the slice ID. And a security management entity of the slice, so that the security management entity performs authentication with the UE, and the UE is accessed to the network slice.
  • the request information for accessing a network slice is an attach request message
  • the authentication information includes an authentication vector
  • the user subscription data management entity determines the authentication information of the UE according to the user identity information.
  • the method includes: the user subscription data management entity determines user subscription identity information according to the user identity information, and generates a corresponding group of authentication vectors according to the user subscription identity information.
  • the authentication vector is used for performing access authentication between the security management entity and the UE.
  • the request information for accessing a network slice is network slice access request information
  • the authentication information includes user subscription identity information and network slice access request information
  • the user subscription data management entity is The determining, by the user identity information, the authentication information of the UE includes: determining, by the user subscription data management entity, the user subscription identity information according to the user identity information.
  • the method may further include:
  • the user subscription data management entity receives the authentication request information sent by the security management entity, where the authentication request information carries the user subscription identity information;
  • the user subscription data management entity generates a set of authentication vectors according to the user subscription identity information, and sends the generated authentication vector to the security management entity.
  • the method further includes: the SliceID t is in one-to-one correspondence with the network slice identity information SliceID, and the user subscription data management entity generates a SliceID t corresponding to the SliceID.
  • the user subscription data management entity may generate a SliceID t according to the SliceID by using a preset generation rule.
  • the user subscription data management entity sends the generated SliceID t to the UE.
  • the user subscription data also holds management entity, and to update and maintain the correspondence relationship list SliceID of SliceID t.
  • the UE information of the attacker's access network slice can be effectively avoided, and the privacy of the network slice identification information is protected.
  • FIG. 5 it is a schematic diagram of a network slice attachment process provided by an application example of the present disclosure.
  • the UE attaching process provided in this embodiment may include:
  • Step 401 When the UE attaches to the network, the UE sends the attach request information to the 5G base station gNB.
  • the attach request information includes user identity information and SliceID t .
  • the user identity information may be temporary user subscription identity information, such as TMSI, or encrypted user subscription identity information, such as SUCI.
  • Step 402 After receiving the attach request information sent by the UE, the gNB further sends the attach request information to the AUSF.
  • Step 403 After receiving the attach request information, the AUSF determines the user subscription identity information IMSI based on the user identity information, and generates a corresponding authentication vector based on the IMSI. The corresponding network slice identifier SliceID is then found based on SliceID t . The authentication vector information is then sent to the SEAF of the network slice corresponding to the network slice identifier SliceID.
  • Step 404 After receiving the authentication vector information, the SEAF performs AKA authentication with the UE through the authentication vector.
  • Step 405 After the authentication succeeds, the UE accesses the network slice.
  • FIG. 6 is a schematic diagram of a network slice access process provided by an implementation of the present disclosure. As shown in FIG. 6, the UE access process provided in this embodiment may include:
  • Step 501 After the UE attaches to the network and needs to re-access a network slice, the UE sends the network slice access request information to the 5G base station gNB.
  • the network slice access request information includes user identity information and SliceID t .
  • the user identity information may be temporary user subscription identity information, such as TMSI, or encrypted user subscription identity information, such as SUCI.
  • Step 502 After receiving the network slice access request information sent by the UE, the gNB further sends the slice access request information to the AUSF.
  • Step 503 After receiving the network slice access request information, the AUSF determines the user subscription identity information IMSI according to the user subscription related information, and searches for the corresponding network slice identifier SliceID based on the SliceID t . Then, the user subscription identity information IMSI and the network slice access request information are sent to the SEAF of the network slice corresponding to the network slice identifier SliceID.
  • Step 504 After receiving the IMSI and the network slice access request information, the SEAF determines whether the saved authentication vector has been used up in the authentication vector information saved for the IMSI. If yes, go to step 505, if no, go to step 507;
  • Step 505 The SEAF sends authentication request information to the AUSF, where the authentication request information includes an IMSI.
  • Step 506 After receiving the authentication request information, the AUSF generates a set of authentication vectors for the IMSI, and further sends the information to the SEAF.
  • step 507 the SEAF selects one of the authentication vectors and performs AKA authentication with the UE.
  • Step 508 After the authentication succeeds, the UE accesses the network slice.
  • FIG. 7 is a schematic diagram of an apparatus for accessing a network slice according to an embodiment of the present disclosure, where the apparatus is applied to a UE, including:
  • the first sending module 61 is configured to send request information for accessing a network slice, where the request information carries user identity information and temporary network slice identity information SliceID t ;
  • the first authentication module 62 is configured to perform access authentication with the network slice, and access the network slice if the authentication succeeds.
  • the request information may be an attach request information or a network slice access request information.
  • the user identity information may be temporary user subscription identity information, such as TMSI, or encrypted user subscription identity information, such as SUCI.
  • the apparatus further comprising: a first management module configured to store and maintain the correspondence relationship between the list and the SliceID SliceID t.
  • a UE can access multiple different network slices.
  • one UE can save, manage, and maintain a list of correspondences between multiple different network slice identity information SliceIDs and their corresponding temporary network slice identity information SliceID t . .
  • FIG. 8 is a schematic diagram of an apparatus for accessing a network slice according to an embodiment of the present disclosure, where the apparatus is applied to a user subscription data management entity, including:
  • the first receiving module 71 is configured to receive, by using a base station, request information for accessing a network slice from the user equipment UE, where the request information carries user identity information and temporary network slice identity information SliceID t ;
  • the second sending module 72 is configured to determine the authentication information of the UE according to the user identity information, search for a corresponding network slice identifier SliceID according to the SliceID t , and send the authentication information to the network slice corresponding to the SliceID.
  • the security management entity is configured to enable the security management entity to perform authentication with the UE, and access the network to the network.
  • the request information for accessing the network slice is the attach request information
  • the second sending module 72 is configured to determine the user subscription identity information according to the user identity information, and sign the subscription according to the user.
  • the identity information generates a corresponding set of authentication vectors.
  • the request information for accessing the network slice is network slice access request information
  • the authentication information includes user subscription identity information and network slice access request information
  • the second sending module 72 And configured to determine the user subscription identity information according to the user identity information.
  • the first receiving module 71 is further configured to receive the authentication request information sent by the security management entity, where the authentication request information carries the user subscription identity information;
  • the second sending module 72 is further configured to generate a set of authentication vectors according to the user subscription identity information, and send the generated authentication vector to the security management entity.
  • the apparatus further includes a second management module, configured to generate a SliceID t corresponding to the SliceID.
  • the second management module is further configured to store, update and maintain a list of correspondence relationships of SliceID and SliceID t.
  • the embodiment of the present disclosure further provides a network slice access system, including: a user equipment UE, a base station, a user subscription data management entity, and a security management entity, where
  • the UE is configured to send request information for accessing a network slice to the base station, where the request information carries user identity information and temporary network slice identity information SliceID t ; and performs access authentication and authentication with the security management entity. Successfully accessing the network slice;
  • the user subscription data management entity is configured to receive request information from the UE by using a base station, determine authentication information of the UE according to user identity information carried in the request information, and search for a corresponding network slice identifier according to the SliceID t.
  • SliceID the authentication information is sent to a security management entity of a network slice corresponding to the SliceID;
  • the security management entity is configured to perform access authentication with the UE according to the authentication information, and if the authentication succeeds, the UE is allowed to access the network slice.
  • the embodiment of the present disclosure further provides a user equipment UE, including:
  • a memory for storing the processor executable instructions
  • a transmission device for performing communication and communication according to control of the processor
  • the processor is configured to perform the following operations:
  • the embodiment of the present disclosure further provides a user subscription data management entity, including:
  • a memory for storing the processor executable instructions
  • a transmission device for performing communication and communication according to control of the processor
  • the processor is configured to perform the following operations:
  • Embodiments of the present disclosure also provide a computer readable storage medium storing computer executable instructions for performing the method of network slice access.
  • the foregoing storage medium may include, but not limited to, a U disk, a Read-Only Memory (ROM), a Random Access Memory (RAM), a mobile hard disk, a magnetic disk, or an optical disk.
  • ROM Read-Only Memory
  • RAM Random Access Memory
  • mobile hard disk a magnetic disk
  • magnetic disk a magnetic disk
  • optical disk a variety of media that can store program code.
  • computer storage medium includes volatile and nonvolatile, implemented in any method or technology for storing information, such as computer readable instructions, data structures, program modules or other data. Sex, removable and non-removable media.
  • Computer storage media includes, but is not limited to, RAM, ROM, EEPROM, flash memory or other memory technology, CD-ROM, digital versatile disc (DVD) or other optical disc storage, magnetic cartridge, magnetic tape, magnetic disk storage or other magnetic storage device, or may Any other medium used to store the desired information and that can be accessed by the computer.
  • communication media typically includes computer readable instructions, data structures, program modules, or other data in a modulated data signal, such as a carrier wave or other transport mechanism, and can include any information delivery media. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本公开实施例公开了一种网络切片接入的方法、装置和系统，其中，所述方法包括：用户设备UE向基站发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；用户签约数据管理实体通过基站接收来自所述UE的所述请求信息，根据所述请求信息携带的用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体；所述安全管理实体根据所述认证信息与所述UE进行接入认证，认证成功则所述UE接入所述网络切片。在本公开实施例中，避免了UE接入网络切片时，传输明文的网络切片标识信息，从而保证了网络切片身份信息的隐私安全性。

Description

一种网络切片接入的方法、装置和系统 技术领域
本申请涉及通信领域，尤指一种网络切片接入的方法、装置和系统。
背景技术
5G(5th-Generation，第五代移动通信技术)网络架构将引入新的IT(Information Technology，信息科技)技术，如NFV(Network Function Virtualization，网络功能虚拟化)。在3/4G网络中，功能网元的保护很大程度上依赖于对物理设备的安全隔离。而5G网络中，由于NFV技术的部署，使得部分功能网元以虚拟功能网元的形式部署在云化的基础设施上。基于网络业务需求构建的虚拟核心网称为网络切片，一个网络切片构成一个虚拟核心网，为一组特定UE(User Equipment，用户设备)提供移动网络接入服务。一个典型的网络切片包括一组虚拟化的核心网功能，如切片控制面单元，主要负责切片的移动性、会话管理以及鉴权认证相关的功能，切片用户面单元主要为用户提供切片的用户资源，切片策略控制单元负责用户策略的功能，切片计费单元负责为用户的计费功能。网络切片的功能由运营商根据需求和运营商策略确定，比如，某些网络切片除了包括控制面功能外还可以包括专用的转发面；而某些网络切片可能只包括一些基本的控制面功能，其他的核心网相关功能与其他网络切片共享。网络切片可能基于需求被创建、修改或删除。一个UE也可能同时接收来自不同网络切片的服务。
现有的3G/4G移动通信系统中，由于不存在网络切片，通过AKA(Authentication and Key Agreement，认证和密钥协商)认证，UE接入网络后直接使用核心网提供的业务。在5G系统中，由于引入了网络切片概念，使得UE附着网络后，需要进一步接入网络切片。在接入网络切片时，UE需要向网络发送切片标识信息，网络根据切片标识信息确定UE接入的网络切片。
发明内容
本公开实施例提供了一种网络切片接入的方法、装置和系统，可以在保证UE接入网络切片的情况下，保护网络切片标识信息的隐私性。
本公开实施例提供了一种网络切片接入的方法，包括：
用户设备UE发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
所述UE与所述网络切片进行接入认证，认证成功则接入所述网络切片。
本公开实施例还提供了一种网络切片接入的方法，包括：
用户签约数据管理实体通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
所述用户签约数据管理实体根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
本公开实施例还提供了一种网络切片接入的方法，包括：
用户设备UE向基站发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
用户签约数据管理实体通过基站接收来自所述UE的所述请求信息，根据所述请求信息携带的用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体；
所述安全管理实体根据所述认证信息与所述UE进行接入认证，认证成功则所述UE接入所述网络切片。
本公开实施例还提供了一种网络切片接入的装置，包括：
第一发送模块，用于发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
第一认证模块，用于与所述网络切片进行接入认证，认证成功则接入所述网络切片。
本公开实施例还提供了一种网络切片接入的装置，包括：
第一接收模块，用于通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
第二发送模块，用于根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
本公开实施例还提供了一种网络切片接入的系统，包括：用户设备UE、基站、用户签约数据管理实体和安全管理实体，其中，
所述UE，用于向基站发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；以及，与所述安全管理实体进行接入认证，认证成功则接入所述网络切片；
所述用户签约数据管理实体，用于通过基站接收来自所述UE的请求信息，根据所述请求信息携带的用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体；
所述安全管理实体，用于根据所述认证信息与所述UE进行接入认证，认证成功则允许所述UE接入所述网络切片。
本公开实施例还提供了一种用户设备UE，包括：
处理器；
用于存储所述处理器可执行指令的存储器；
用于根据所述处理器的控制进行信息收发通信的传输装置；
其中，所述处理器用于执行以下操作：
发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
与所述网络切片进行接入认证，认证成功则接入所述网络切片。
本公开实施例还提供了一种用户签约数据管理实体，包括：
处理器；
用于存储所述处理器可执行指令的存储器；
用于根据所述处理器的控制进行信息收发通信的传输装置；
其中，所述处理器用于执行以下操作：
通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
本公开实施例包括：用户设备UE向基站发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；用户签约数据管理实体通过基站接收来自所述UE的所述请求信息，根据所述请求信息携带的用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体；所述安全管理实体根据所述认证信息与所述UE进行接入认证，认证成功则所述UE接入所述网络切片。在本公开实施例中，避免了UE接入网络切片时，传输明文的网络切片标识信息，从而保证了网络切片身份信息的隐私安全性。
本公开的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本公开而了解。本公开的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。
附图说明
附图用来提供对本公开技术方案的进一步理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本公开的技术方案，并不构成对本公开技术方案的限制。
图1(a)和(b)为本公开实施例的网络架构示意图；
图2为本公开实施例的网络切片接入的方法(应用于系统)的流程图；
图3为本公开实施例的网络切片接入的方法(应用于UE)的流程图；
图4为本公开实施例的网络切片接入的方法(应用于用户签约数据管理实体)的流程 图；
图5为本公开应用实例的网络切片附着流程示意图；
图6为本公开应用实例的网络切片接入流程示意图；
图7为本公开实施例的网络切片接入的装置(应用于UE)的示意图；
图8为本公开实施例的网络切片接入的装置(应用于用户签约数据管理实体)的示意图。
具体实施方式
下文中将结合附图对本公开的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
如果UE在接入网络切片时，直接明文发送网络切片标识信息，攻击者有可能收集接入网络切片的UE信息，并基于收集到的接入某一网络切片的一组UE信息对这组UE进行拒绝服务攻击。另外，服务UE的网络切片可能动态变化，并且UE也可能需要同时接入不同网络切片的服务。
有鉴于此，本公开实施例网络切片接入的方法、装置和系统，用于实现5G通信系统中针对UE接入网络切片时的切片标识隐私安全保护的效果。
如图1(a)和(b)所示，为本公开实施例的网络架构，其中：
在网络侧，归属网络的用户签约数据管理实体，如AUSF(Authentication Server Function，认证服务功能实体)，对用户签约数据进行管理和维护。AUSF可以为每一个签约用户，即允许接入网络切片的用户配置一个临时网络切片身份信息SliceID t。另外，AUSF也是用于管理UE接入认证的网络实体。AUSF保存、管理并维护网络切片身份信息SliceID和网络切片临时身份信息SliceID t的对应关系列表。
在本公开实施例中，用户签约数据至少包含用户签约身份信息，即IMSI(International Mobile Subscriber Identification Number，国际移动用户识别码)、网络切片信息SliceID，网络切片临时身份信息SliceID t。网络切片临时身份信息SliceID t是一个临时网络切片身份信息。
在本公开实施例中，一个网络切片身份信息SliceID对应一个临时网络切片身份信息SliceID t。
在网络侧，网络切片可以包含一个安全管理实体，SEAF(Security anchor Function，安全锚点功能实体)，SEAF是网络切片中的安全锚点。
网络切片还可以包含一个移动管理实体，AMF(Access and Mobility Management Function，接入和移动管理实体)，用于对UE的移动性管理，UE接入网络切片时，信令 经由AMF转发。
在终端侧，UE对用户签约数据进行维护和管理。UE保存、管理并维护网络切片身份信息SliceID和临时网络切片身份信息SliceID t的对应关系列表。一个UE可以接入多个不同的网络切片，在这种情况下，一个UE可以保存、管理并维护多个不同的网络切片身份信息SliceID和与其对应的临时网络切片身份信息SliceID t的对应关系列表。
如图2所示，本公开实施例的网络切片接入的方法，包括：
步骤101，UE向基站发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t。
其中，所述基站可以是5G基站gNB。所述请求信息可以是UE接入网络时发送的附着请求信息，也可以是UE接入网络后，针对某个网络切片发送的网络切片接入请求信息。
所述用户身份信息可以是临时用户签约身份信息，如TMSI(Temporary Mobile Subscriber Identifier)，也可以是加密的用户签约身份信息SUCI(Subscription Concealed Identifier)。
在本公开实施例中，提出针对一个签约用户的一次接入切片过程，可以为其分配一个临时切片身份信息SliceID t，接入过程结束后，已经使用过的临时切片身份信息被删除，并为UE分配新的临时网络切片信息，以用于下次UE接入切片时使用。
步骤102，用户签约数据管理实体通过基站接收来自所述UE的所述请求信息，根据所述请求信息携带的用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体。
其中，用户签约数据管理实体可以包括AUSF，安全管理实体可以包括SEAF。
本步骤中，分为两种情况：
第一种情况，请求信息为附着请求信息
这种情况下，所述认证信息包括认证向量，用户签约数据管理实体根据所述用户身份信息确定用户签约身份信息(IMSI)，并根据所述用户签约身份信息生成对应的一组认证向量，将所述认证向量发送至所述SliceID对应的网络切片的安全管理实体。
第二种情况，请求信息为网络切片接入请求信息
这种情况下，由于安全管理实体通常保存有用户签约身份信息对应的认证向量，所以认证信息包括用户签约身份信息和网络切片接入请求信息即可，
所述用户签约数据管理实体根据所述用户身份信息确定所述用户签约身份信息，将用户签约身份信息和网络切片接入请求信息发送至所述SliceID对应的网络切片的安全管理实体。
步骤103，所述安全管理实体根据所述认证信息与所述UE进行接入认证，认证成功则所述UE接入所述网络切片。
在一实施例中，如果所述认证信息包括认证向量，则所述安全管理实体从接收到的一 组认证向量中选择一个认证向量，根据所选择的认证向量与所述UE进行AKA的认证。
在一实施例中，如果所述认证信息包括用户签约身份信息和网络切片接入请求信息，则所述安全管理实体在所述用户签约身份信息对应的一组认证向量中选择一个认证向量，根据所选择的认证向量与所述UE进行AKA的认证。
如果所述安全管理实体确定所述用户签约身份信息对应的认证向量已用完，向所述用户签约数据管理实体发送认证请求信息；所述用户签约数据管理实体根据所述用户签约身份信息生成一组认证向量，将生成的所述认证向量发送至所述安全管理实体；所述安全管理实体在所述一组认证向量中选择一个认证向量，根据所选择的认证向量与所述UE进行AKA的认证。
在本公开实施例中，避免了UE接入网络切片时，传输明文的网络切片标识信息，从而保证了网络切片身份信息的隐私安全性。
针对本公开实施例中的UE，如图3所示，其网络切片接入的方法包括如下步骤：
步骤201，UE发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t。
其中，本步骤中，UE向基站(例如5G基站gNB)发送所述请求信息。
其中，所述请求信息可包括如下至少之一：附着请求信息、网络切片接入请求信息。
其中，所述用户身份信息可包括如下至少之一：临时用户签约身份信息(如TMSI)、加密用户签约身份信息(如SUCI)。
步骤202，所述UE与所述网络切片进行接入认证，认证成功则接入所述网络切片。
其中，所述UE与所述网络切片中的安全管理实体进行接入认证，所述接入认证可以是AKA认证。
在一实施例中，所述方法还包括：所述SliceID t与网络切片身份信息SliceID一一对应，所述UE保存并维护SliceID和SliceID t之间的对应关系列表。
在一实施例中，所述UE可以通过用户签约数据管理实体获得SliceID t，也可以通过预设的生成规则根据SliceID生成SliceID t。
在本公开实施例中，避免了UE接入网络切片时，传输明文的网络切片标识信息，从而保证了网络切片身份信息的隐私安全性。
针对本公开实施例中的用户签约数据管理实体，如图4所示，其网络切片接入的方法包括如下步骤：
步骤301，用户签约数据管理实体通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t。
其中，所述用户签约数据管理实体可以包括AUSF，所述安全管理实体可以包括SEAF。
其中，所述请求信息可包括如下至少之一：附着请求信息、网络切片接入请求信息。
其中，所述用户身份信息可包括如下至少之一：临时用户签约身份信息(如TMSI)、 加密用户签约身份信息(如SUCI)。
步骤302，所述用户签约数据管理实体根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
在一实施例中，所述用于接入网络切片的请求信息为附着请求信息，所述认证信息包括认证向量，所述用户签约数据管理实体根据所述用户身份信息确定所述UE的认证信息包括：所述用户签约数据管理实体根据所述用户身份信息确定用户签约身份信息，并根据所述用户签约身份信息生成对应的一组认证向量。
所述认证向量用于安全管理实体与UE之间进行接入认证。
在一实施例中，所述用于接入网络切片的请求信息为网络切片接入请求信息，所述认证信息包括用户签约身份信息和网络切片接入请求信息，所述用户签约数据管理实体根据所述用户身份信息确定所述UE的认证信息包括：所述用户签约数据管理实体根据所述用户身份信息确定所述用户签约身份信息。
在一实施例中，如果所述安全管理实体确定所述用户签约身份信息对应的认证向量已用完，在所述方法还可包括：
所述用户签约数据管理实体接收所述安全管理实体发送的认证请求信息，所述认证请求信息携带所述用户签约身份信息；
所述用户签约数据管理实体根据所述用户签约身份信息生成一组认证向量，将生成的所述认证向量发送至所述安全管理实体。
在一实施例中，所述方法还包括：所述SliceID t与网络切片身份信息SliceID一一对应，所述用户签约数据管理实体生成SliceID对应的SliceID t。
其中，所述用户签约数据管理实体可以通过预设的生成规则根据SliceID生成SliceID t。
在一实施例中，所述用户签约数据管理实体将生成的SliceID t发送至所述UE。
另外，所述用户签约数据管理实体还保存、更新和维护SliceID和SliceID t的对应关系列表。
在本公开实施例中，通过使用SliceID t，可以有效避免攻击者的收集到接入网络切片的UE信息，保护了网络切片标识信息的隐私性。
下面以应用实例进行说明。
如图5所示，为本公开应用实例提供的网络切片附着流程示意图。如图5所示，本实施例提供的UE附着流程可以包括：
步骤401、UE附着网络时，UE向5G基站gNB发送附着请求信息。
其中，附着请求信息包括用户身份信息和SliceID t。用户身份信息可以是临时用户签约身份信息，如TMSI，也可以是加密的用户签约身份信息，如SUCI。
步骤402、gNB收到UE发送的附着请求信息后，将附着请求信息进一步发送给AUSF。
步骤403，AUSF收到附着请求信息后，基于用户身份信息确定用户签约身份信息IMSI，并基于IMSI生成对应的认证向量。然后基于SliceID t查找对应的网络切片标识SliceID。然后将认证向量信息发送给网络切片标识SliceID对应的网络切片的SEAF。
步骤404、SEAF收到认证向量信息后，通过认证向量与UE进行AKA认证。
步骤405、认证成功后，UE接入网络切片。
图6为本公开实施提供的网络切片接入流程示意图。如图6所示，本实施例提供的UE接入流程可以包括：
步骤501、UE附着网络后，需要重新接入一个网络切片时，UE向5G基站gNB发送网络切片接入请求信息。
其中，网络切片接入请求信息包括用户身份信息和SliceID t。用户身份信息可以是临时用户签约身份信息，如TMSI，也可以是加密的用户签约身份信息，如SUCI。
步骤502、gNB收到UE发送的网络切片接入请求信息后，将切片接入请求信息进一步发送给AUSF。
步骤503，AUSF收到网络切片接入请求信息后，根据用户签约相关信息确定用户签约身份信息IMSI，并基于SliceID t查找对应的网络切片标识SliceID。然后将用户签约身份信息IMSI和网络切片接入请求信息发送给网络切片标识SliceID对应的网络切片的SEAF。
步骤504、SEAF收到IMSI和网络切片接入请求信息后，在针对IMSI保存的认证向量信息中，判断保存的认证向量是否已经用完，如果是，执行步骤505，如果否，执行步骤507；
步骤505，SEAF向AUSF发送认证请求信息，认证请求信息包括IMSI。
步骤506，AUSF收到认证请求信息后，针对IMSI生成一组认证向量，并进一步发送给SEAF。
步骤507，SEAF选择其中的一个认证向量与UE进行AKA认证。
步骤508、认证成功后，UE接入网络切片。
图7为本公开实施例的网络切片接入的装置的示意图，所述装置应用于UE，包括：
第一发送模块61，用于发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
第一认证模块62，用于与所述网络切片进行接入认证，认证成功则接入所述网络切片。
所述请求信息可以是附着请求信息，也可以是网络切片接入请求信息。用户身份信息可以是临时用户签约身份信息，如TMSI，也可以是加密的用户签约身份信息，如SUCI。
在一实施例中，所述装置还包括：第一管理模块，用于保存并维护SliceID和SliceID t之间的对应关系列表。
一个UE可以接入多个不同的网络切片，在这种情况下，一个UE可以保存、管理并维护多个不同的网络切片身份信息SliceID和与其对应的临时网络切片身份信息SliceID t的对应关系列表。
图8为本公开实施例的网络切片接入的装置的示意图，所述装置应用于用户签约数据管理实体，包括：
第一接收模块71，用于通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
第二发送模块72，用于根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
在一实施例中，所述用于接入网络切片的请求信息为附着请求信息，所述第二发送模块72，用于根据所述用户身份信息确定用户签约身份信息，并根据所述用户签约身份信息生成对应的一组认证向量。
在一实施例中，所述用于接入网络切片的请求信息为网络切片接入请求信息，所述认证信息包括用户签约身份信息和网络切片接入请求信息，所述第二发送模块72，用于根据所述用户身份信息确定所述用户签约身份信息。
在一实施例中，第一接收模块71，还用于接收所述安全管理实体发送的认证请求信息，所述认证请求信息携带所述用户签约身份信息；
所述第二发送模块72，还用于根据所述用户签约身份信息生成一组认证向量，将生成的所述认证向量发送至所述安全管理实体。
在一实施例中，所述装置还包括第二管理模块，用于生成SliceID对应的SliceID t。
在一实施例中，所述第二管理模块，还用于保存、更新和维护SliceID和SliceID t的对应关系列表。
本公开实施例还提供一种网络切片接入的系统，包括：用户设备UE、基站、用户签约数据管理实体和安全管理实体，其中，
所述UE，用于向基站发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；以及，与所述安全管理实体进行接入认证，认证成功则接入所述网络切片；
所述用户签约数据管理实体，用于通过基站接收来自所述UE的请求信息，根据所述请求信息携带的用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网 络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体；
所述安全管理实体，用于根据所述认证信息与所述UE进行接入认证，认证成功则允许所述UE接入所述网络切片。
本公开实施例还提供一种用户设备UE，包括：
处理器；
用于存储所述处理器可执行指令的存储器；
用于根据所述处理器的控制进行信息收发通信的传输装置；
其中，所述处理器用于执行以下操作：
发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
与所述网络切片进行接入认证，认证成功则接入所述网络切片。
本公开实施例还提供一种用户签约数据管理实体，包括：
处理器；
用于存储所述处理器可执行指令的存储器；
用于根据所述处理器的控制进行信息收发通信的传输装置；
其中，所述处理器用于执行以下操作：
通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
本公开实施例还提供一种计算机可读存储介质，存储有计算机可执行指令，所述计算机可执行指令用于执行所述网络切片接入的方法。
在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些组件或所有组件可以被实施为由处理器，如数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易 失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

Claims (17)

  1. 一种网络切片接入的方法，包括：
    用户设备UE发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
    所述UE与所述网络切片进行接入认证，认证成功则接入所述网络切片。
  2. 如权利要求1所述的方法，其中，所述用于接入网络切片的请求信息包括如下至少之一：
    附着请求信息、网络切片接入请求信息。
  3. 如权利要求1所述的方法，其中，所述用户身份信息包括如下至少之一：
    临时用户签约身份信息、加密用户签约身份信息。
  4. 如权利要求1～3中任意一项所述的方法，其中，所述方法还包括：
    所述SliceID t与网络切片身份信息SliceID一一对应，所述UE保存并维护SliceID和SliceID t之间的对应关系列表。
  5. 一种网络切片接入的方法，包括：
    用户签约数据管理实体通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
    所述用户签约数据管理实体根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
  6. 如权利要求5所述的方法，其中，所述用于接入网络切片的请求信息为附着请求信息，所述认证信息包括认证向量，所述用户签约数据管理实体根据所述用户身份信息确定所述UE的认证信息包括：
    所述用户签约数据管理实体根据所述用户身份信息确定用户签约身份信息，并根据所述用户签约身份信息生成对应的一组认证向量。
  7. 如权利要求5所述的方法，其中，所述用于接入网络切片的请求信息为网络切片接入请求信息，所述认证信息包括用户签约身份信息和网络切片接入请求信息，所述用户签约数据管理实体根据所述用户身份信息确定所述UE的认证信息包括：
    所述用户签约数据管理实体根据所述用户身份信息确定所述用户签约身份信息。
  8. 如权利要求7所述的方法，其中，所述将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体之后，所述方法还包括：
    所述用户签约数据管理实体接收所述安全管理实体发送的认证请求信息，所述认证请求信息携带所述用户签约身份信息；
    所述用户签约数据管理实体根据所述用户签约身份信息生成一组认证向量，将生成的 所述认证向量发送至所述安全管理实体。
  9. 如权利要求5～8中任意一项所述的方法，其中，所述SliceID t与网络切片身份信息SliceID一一对应，所述用户签约数据管理实体通过基站接收来自UE的用于接入网络切片的请求信息之前，所述方法还包括：
    所述用户签约数据管理实体生成SliceID对应的SliceID t。
  10. 如权利要求5～8中任意一项所述的方法，其中，所述用户身份信息包括如下至少之一：
    临时用户签约身份信息、加密用户签约身份信息。
  11. 如权利要求5～8中任意一项所述的方法，其中，
    所述用户签约数据管理实体包括认证服务功能实体AUSF，所述安全管理实体包括安全锚点功能实体SEAF。
  12. 一种网络切片接入的方法，包括：
    用户设备UE向基站发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
    用户签约数据管理实体通过基站接收来自所述UE的所述请求信息，根据所述请求信息携带的用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体；
    所述安全管理实体根据所述认证信息与所述UE进行接入认证，认证成功则所述UE接入所述网络切片。
  13. 一种网络切片接入的装置，包括：
    第一发送模块，用于发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
    第一认证模块，用于与所述网络切片进行接入认证，认证成功则接入所述网络切片。
  14. 一种网络切片接入的装置，包括：
    第一接收模块，用于通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
    第二发送模块，用于根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
  15. 一种网络切片接入的系统，包括：用户设备UE、基站、用户签约数据管理实体和安全管理实体，其中，
    所述UE，用于向基站发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；以及，与所述安全管理实体进行接入认证，认证成功则接入所述网络切片；
    所述用户签约数据管理实体，用于通过基站接收来自所述UE的请求信息，根据所述请求信息携带的用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体；
    所述安全管理实体，用于根据所述认证信息与所述UE进行接入认证，认证成功则允许所述UE接入所述网络切片。
  16. 一种用户设备UE，包括：
    处理器；
    用于存储所述处理器可执行指令的存储器；
    用于根据所述处理器的控制进行信息收发通信的传输装置；
    其中，所述处理器用于执行以下操作：
    发送用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
    与所述网络切片进行接入认证，认证成功则接入所述网络切片。
  17. 一种用户签约数据管理实体，包括：
    处理器；
    用于存储所述处理器可执行指令的存储器；
    用于根据所述处理器的控制进行信息收发通信的传输装置；
    其中，所述处理器用于执行以下操作：
    通过基站接收来自用户设备UE的用于接入网络切片的请求信息，所述请求信息携带用户身份信息和临时网络切片身份信息SliceID t；
    根据所述用户身份信息确定所述UE的认证信息，根据所述SliceID t查找对应的网络切片标识SliceID，将所述认证信息发送至所述SliceID对应的网络切片的安全管理实体，以使所述安全管理实体与所述UE进行认证，将所述UE接入网络切片。
PCT/CN2019/084616 2018-04-26 2019-04-26 一种网络切片接入的方法、装置和系统 WO2019206286A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US17/050,474 US20210243600A1 (en) 2018-04-26 2019-04-26 Method, Device and System for Accessing Network Slice

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201810385821.X 2018-04-26
CN201810385821.XA CN110417563A (zh) 2018-04-26 2018-04-26 一种网络切片接入的方法、装置和系统

Publications (1)

Publication Number Publication Date
WO2019206286A1 true WO2019206286A1 (zh) 2019-10-31

Family

ID=68294829

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2019/084616 WO2019206286A1 (zh) 2018-04-26 2019-04-26 一种网络切片接入的方法、装置和系统

Country Status (3)

Country Link
US (1) US20210243600A1 (zh)
CN (1) CN110417563A (zh)
WO (1) WO2019206286A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114205237A (zh) * 2020-08-26 2022-03-18 中国移动通信集团终端有限公司 应用程序的鉴权方法、装置、电子设备及计算机存储介质
JP2023511757A (ja) * 2020-01-30 2023-03-22 中国移動通信有限公司研究院 情報処理方法及び関連するネットワーク機器

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3585084A1 (de) * 2018-06-18 2019-12-25 Siemens Aktiengesellschaft Einrichtung einer zugangsberechtigung zu einem teilnetzwerk eines mobilfunknetzes
CN113225761A (zh) * 2020-01-21 2021-08-06 华为技术有限公司 一种选择网络切片的方法及电子设备
CN116193431A (zh) * 2020-04-30 2023-05-30 华为技术有限公司 切片认证方法及装置
WO2023110097A1 (en) * 2021-12-16 2023-06-22 Telefonaktiebolaget Lm Ericsson (Publ) Dynamic secure network slice admission
CN114258017B (zh) * 2021-12-27 2024-01-30 中国电信股份有限公司 互斥切片接入方法、装置、电子设备及计算机可读介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101720086A (zh) * 2009-12-23 2010-06-02 成都三零瑞通移动通信有限公司 一种移动通信用户身份保护方法
CN106572517A (zh) * 2015-10-09 2017-04-19 中国移动通信集团公司 网络切片的处理方法、接入网络的选择方法及装置
US20180007552A1 (en) * 2016-07-04 2018-01-04 Samsung Electronics Co., Ltd. Method and device for managing security according to service in wireless communication system

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100433910C (zh) * 2005-05-12 2008-11-12 中兴通讯股份有限公司 一种移动通信系统中移动终端身份保护的方法
CN101400054B (zh) * 2007-09-28 2012-10-17 华为技术有限公司 保护用户终端的隐私的方法、系统和设备
CN106375987B (zh) * 2015-07-22 2021-08-20 中兴通讯股份有限公司 一种网络切片的选择方法及系统
CN107347205B (zh) * 2016-05-05 2019-08-23 电信科学技术研究院 一种网络切片选择方法、装置及系统
CN107566145B (zh) * 2016-06-30 2020-11-10 华为技术有限公司 用于管理网络切片的方法和装置
EP3264814A1 (en) * 2016-07-01 2018-01-03 Gemalto M2M GmbH Method for remote provisioning of a user equipment in a cellular network

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101720086A (zh) * 2009-12-23 2010-06-02 成都三零瑞通移动通信有限公司 一种移动通信用户身份保护方法
CN106572517A (zh) * 2015-10-09 2017-04-19 中国移动通信集团公司 网络切片的处理方法、接入网络的选择方法及装置
US20180007552A1 (en) * 2016-07-04 2018-01-04 Samsung Electronics Co., Ltd. Method and device for managing security according to service in wireless communication system

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"Study on the security aspects of the next generation system (Release 14)", 3GPP TR 33.899, V1.3.0., 21 August 2017 (2017-08-21), XP055649696 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2023511757A (ja) * 2020-01-30 2023-03-22 中国移動通信有限公司研究院 情報処理方法及び関連するネットワーク機器
EP4099634A4 (en) * 2020-01-30 2023-07-19 China Mobile Communication Co., Ltd. Research Institute INFORMATION PROCESSING PROCEDURES AND RELATED NETWORK DEVICE
JP7338070B2 (ja) 2020-01-30 2023-09-04 中国移動通信有限公司研究院 情報処理方法及び関連するネットワーク機器
CN114205237A (zh) * 2020-08-26 2022-03-18 中国移动通信集团终端有限公司 应用程序的鉴权方法、装置、电子设备及计算机存储介质

Also Published As

Publication number Publication date
CN110417563A (zh) 2019-11-05
US20210243600A1 (en) 2021-08-05

Similar Documents

Publication Publication Date Title
WO2019206286A1 (zh) 一种网络切片接入的方法、装置和系统
US10880747B2 (en) Network slice allocation method, device, and system
JP7455580B2 (ja) ネットワークスライシングをサポートするモバイルシステムにおける強化された登録手続き
US8898729B2 (en) Method and apparatus for security algorithm selection processing, network entity, and communication system
JP7047921B2 (ja) 通信装置、第１のネットワーク装置、通信装置の方法、及び第１のネットワーク装置の方法
US11140545B2 (en) Method, apparatus, and system for protecting data
CN112956253B (zh) 用于将用户设备附着到网络切片的方法和装置
US20220030429A1 (en) Authentication Method and Apparatus and Device
CN107094127B (zh) 安全信息的处理方法及装置、获取方法及装置
KR20100054178A (ko) 이동 통신 시스템에서 단말 보안 능력 관련 보안 관리 방안및 장치
CN112512045B (zh) 一种通信系统、方法及装置
CN111787533B (zh) 加密方法、切片管理方法、终端及接入和移动性管理实体
EP3550780B1 (en) Verification method and apparatus for key requester
US20110135095A1 (en) Method and system for generating key identity identifier when user equipment transfers
WO2018054220A1 (zh) 切片网络安全隔离的方法及装置
WO2018233726A1 (zh) 网络切片的认证方法及相应装置、系统和介质
CN111132305B (zh) 5g用户终端接入5g网络的方法、用户终端设备及介质
EP3883280A1 (en) Communication method and related product
CN113518312A (zh) 一种通信方法、装置及系统
CN112738800A (zh) 一种网络切片的数据安全传输实现方法
WO2019196963A1 (zh) 接入网络切片的方法及装置、存储介质、电子装置
RU2668114C2 (ru) Способ управления пользователями совместно используемой сети, соответствующие устройство и система
WO2020147854A1 (zh) 认证方法、装置、系统以及存储介质
US20220386130A1 (en) Systems and methods for using a unique routing indicator to connect to a network
EP3488627B1 (en) Proof-of-presence indicator

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19791727

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 12/03/2021)

122 Ep: pct application non-entry in european phase

Ref document number: 19791727

Country of ref document: EP

Kind code of ref document: A1