WO2021088067A1 - 截短参数的保护方法及装置 - Google Patents

截短参数的保护方法及装置 Download PDF

Info

Publication number
WO2021088067A1
WO2021088067A1 PCT/CN2019/116867 CN2019116867W WO2021088067A1 WO 2021088067 A1 WO2021088067 A1 WO 2021088067A1 CN 2019116867 W CN2019116867 W CN 2019116867W WO 2021088067 A1 WO2021088067 A1 WO 2021088067A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
tmsi
truncation
truncation parameter
ciot
Prior art date
Application number
PCT/CN2019/116867
Other languages
English (en)
French (fr)
Inventor
胡力
黄正磊
吴�荣
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN201980101852.0A priority Critical patent/CN114631342A/zh
Priority to EP19951784.8A priority patent/EP4050916A4/en
Priority to BR112022008445A priority patent/BR112022008445A2/pt
Priority to MX2022005507A priority patent/MX2022005507A/es
Priority to PCT/CN2019/116867 priority patent/WO2021088067A1/zh
Publication of WO2021088067A1 publication Critical patent/WO2021088067A1/zh
Priority to US17/738,785 priority patent/US20220264305A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/20—Services signaling; Auxiliary data signalling, i.e. transmitting data via a non-traffic channel
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/19—Connection re-establishment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/26—Network addressing or numbering for mobility support
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W60/00—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration
    • H04W60/04—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration using triggered events
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/11—Allocation or use of connection identifiers

Definitions

  • This application relates to the field of communication technology, and in particular to a method and device for protecting truncated parameters.
  • the terminal sends the 5th generation-system architecture evolution-temporary mobile subscriber identity (5G-S-TMSI) to the access network device.
  • 5G-S-TMSI 5th generation-system architecture evolution-temporary mobile subscriber identity
  • RRC Radio resource control
  • AMF access and mobility management function
  • the length of the RRC message is limited, so the RRC message may not carry the complete 5G-S-TMSI.
  • the terminal needs to shorten the 5G-S-TMSI according to the truncation parameter, and then report the shortened 5G-S-TMSI to the access network device through an RRC message.
  • the access network device receives the truncated parameter (such as the truncated 5G-S-TMSI), it restores the truncated parameter to the complete parameter (such as the complete 5G-S-TMSI).
  • the terminal may also need to truncate some other specific parameters and perform the above-mentioned similar operations.
  • the truncation parameters used by the terminal are generally configured on the network side. No access stratum (AS) security context will be established between the terminal and the access network device using the 5th generation system (5GS) optimization function of the control plane cellular Internet of things (CIoT) Therefore, the access network equipment cannot perform AS security protection on the truncated parameters, and the access network equipment can only send the truncated parameters without AS security protection to the terminal. In this case, the truncated parameter may be tampered with by the attacker. In the case that the truncation parameter is tampered with, the terminal cannot obtain the correct truncation parameter, which causes the terminal to fail to access the network normally.
  • AS access stratum
  • 5GS 5th generation system
  • CoT control plane cellular Internet of things
  • the present application provides a method and device for protecting truncated parameters, which are used to reduce the security risk of truncated parameters during transmission.
  • a protection method for truncating parameters including: the mobile management network element determines whether the terminal meets the preset conditions, the preset conditions include the use of the control plane CIoT 5GS optimization function of the terminal; when the terminal meets the preset conditions , The mobility management network element sends to the terminal a downlink NAS message that undergoes NAS security protection through the NAS security context.
  • the downlink NAS message includes a truncation parameter, and the truncation parameter is used for truncating the 5G-S-TMSI of the terminal.
  • the terminal when the terminal meets the preset conditions, the terminal is a terminal that uses the CIoT 5GS optimization function of the control plane. Therefore, the mobile management network element sends the downlink NAS message to the terminal for NAS security protection through the NAS security context. This allows the terminal to obtain the truncation parameters protected by the NAS security. In this way, it is ensured that the truncation parameters received by the terminal will not be tampered with or forged, thereby preventing the terminal from being attacked by an attacker to initiate a denial of service attack, thereby ensuring that the terminal can normally access the network.
  • the truncation parameter is pre-stored by the mobility management network element.
  • the mobility management network element does not need to obtain truncation parameters from other devices (for example, access network devices), thereby achieving the purpose of simplifying the process.
  • the method further includes: the mobility management network element receives the truncation parameter sent by the access network device. It is understandable that the mobility management network element obtains the truncation parameter from the access network device, so the mobility management network element does not need to configure the truncation parameter in advance, thereby reducing the complexity of configuring the truncation parameter.
  • the mobile management network element judging whether the terminal meets preset conditions includes: the mobile management network element judging whether the terminal uses the control plane CIoT 5GS optimization function; if the terminal uses the control plane CIoT 5GS optimization function, the mobility management network element determines that the terminal meets the preset condition; if the terminal does not use the control plane CIoT 5GS optimization function, the mobility management network element determines that the terminal does not meet the preset condition.
  • the preset condition further includes: the terminal is a terminal that is initially registered to the network.
  • the mobile management network element judging whether the terminal meets preset conditions includes: the mobile management network element judging whether the terminal uses the control plane CIoT 5GS optimization function, and whether the terminal is a terminal initially registered to the network; If the terminal uses the control plane CIoT 5GS optimization function and the terminal is a terminal initially registered in the network, the mobility management network element determines that the terminal meets the preset conditions; if the terminal does not use the control plane CIoT 5GS optimization function Or the terminal is not a terminal initially registered in the network, the mobility management network element determines that the terminal does not meet the preset condition.
  • the mobility management network element determines whether the terminal is the terminal initially registered to the network, including: the mobility management network element determines that the terminal is the terminal initially registered to the network according to the registration type reported by the terminal.
  • the preset condition further includes: the terminal needs to update the truncation parameter.
  • the mobility management network element judging whether the terminal meets preset conditions includes: the mobility management network element judging whether the terminal uses the control plane CIoT 5GS optimization function, and whether the terminal needs to update truncation parameters; if the terminal If the control plane CIoT 5GS optimization function is used and the terminal is a terminal that needs to update truncation parameters, the mobility management network element determines that the terminal meets the preset conditions; if the terminal does not use the control plane CIoT 5GS optimization function or all If the terminal is not a terminal that needs to update the truncation parameter, the mobility management network element determines that the terminal does not meet the preset condition.
  • the mobility management network element determines whether the terminal needs to update the truncation parameter, including: when the truncation parameter configured by the mobility management network element is different from the truncation parameter stored in the context of the terminal, the mobility management network element Determine that the terminal needs to update the truncation parameter.
  • the mobility management network element judging whether the terminal needs to update the truncation parameter includes: after the mobility management network element updates the truncation parameter, the mobility management network element determines that the terminal needs to update the truncation parameter.
  • the mobile management network element determines whether the terminal uses the control plane CIoT 5GS optimization function, including: if the preferred network behavior reported by the terminal is used to indicate the terminal preference to use the control plane CIoT 5GS optimization function, and the mobile management network element If the control plane CIoT 5GS optimization function is supported, the mobile management network element determines that the terminal uses the control plane CIoT 5GS optimization function.
  • the mobile management network element determines whether the terminal uses the control plane CIoT 5GS optimization function, including: if the context of the terminal is used to instruct the terminal to use the control plane CIoT 5GS optimization function, the mobile management network element determines that the terminal uses the control plane CIoT 5GS optimization function.
  • the mobility management network element determines whether the terminal meets the preset conditions, including: after the mobility management network element receives the registration request message or service request message of the terminal, the mobility management network element determines whether the terminal meets the preset conditions .
  • the downlink NAS message is a service acceptance message or a registration acceptance message.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • the method further includes: the mobility management network element updates the truncation parameter according to the number of AMF set IDs and/or the number of AMF pointers; or, the mobility management network element updates the truncation parameter according to the network management system Instruction to update the truncation parameter; or, the mobility management network element receives the updated truncation parameter sent by the access network device.
  • a method for protecting truncated parameters includes: a terminal receives a downlink NAS message sent by a mobility management network element for NAS security protection through a NAS security context, the downlink NAS message includes a truncation parameter, and the truncation parameter is used for Perform truncation processing on the 5G-S-TMSI of the terminal; the terminal de-secures the downlink NAS message; after successfully de-secures the downlink NAS message, the terminal stores the truncation parameter.
  • the truncation parameter is carried in the downlink NAS message protected by the NAS security, the truncation parameter is also protected by the NAS security, thereby ensuring that the truncation parameter is not tampered with or forged, thereby preventing the terminal from being attacked
  • the attacker initiates a denial of service attack to ensure that the terminal can access the network normally.
  • the terminal storing the truncation parameter includes: the terminal's NAS layer stores the truncation parameter.
  • the method further includes: the NAS layer of the terminal sends the truncation parameter to the RRC layer of the terminal; the RRC layer of the terminal performs truncation processing on the 5G-S-TMSI of the terminal according to the truncation parameter to obtain the truncation Short 5G-S-TMSI.
  • the method further includes: the NAS layer of the terminal performs truncation processing on the 5G-S-TMSI of the terminal according to the truncation parameter to obtain a truncated 5G-S-TMSI; the NAS layer of the terminal sends the terminal to the terminal.
  • the RRC layer sends a truncated 5G-S-TMSI.
  • the terminal storing the truncation parameter includes: the NAS layer of the terminal sends the truncation parameter to the RRC layer of the terminal; the RRC layer of the terminal stores the truncation parameter.
  • the method further includes: the RRC layer of the terminal performs truncation processing on the 5G-S-TMSI of the terminal according to the truncation parameter to obtain a truncated 5G-S-TMSI.
  • the method further includes: the RRC layer of the terminal sends the truncation parameter to the NAS layer of the terminal;
  • the 5G-S-TMSI performs truncation processing to obtain a truncated 5G-S-TMSI;
  • the NAS layer of the terminal sends the truncated 5G-S-TMSI to the RRC layer of the terminal.
  • the method further includes: the terminal sends an RRC re-establishment request message to the access network device, where the RRC re-establishment request message includes the truncated 5G-S-TMSI.
  • the downlink NAS message is a service acceptance message or a registration acceptance message.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a protection method for truncating parameters including: the access network device determines whether the terminal supports the CIoT 5GS optimization feature; in the case that the terminal supports the CIoT 5GS optimization feature, the access network device sends the message to the mobile management network element
  • the truncation parameter is used for truncating the 5G-S-TMSI of the terminal.
  • the access network device when the terminal supports the CIoT 5GS optimization feature, the access network device sends the truncation parameter to the mobile management network element, so that the mobile management network element can perform NAS security protection on the truncation parameter. In this way, it is avoided that the access network device directly sends the truncated parameters without security protection to the terminal, and the security risk of the truncated parameters in the transmission process is reduced.
  • the access network device determines whether the terminal supports the CIoT 5GS optimization feature, including: if the terminal's capability indication information is used to indicate that the terminal supports the CIoT 5GS optimization feature, the access network device determines that the terminal supports the CIoT 5GS optimization feature .
  • the access network device determines whether the terminal supports the CIoT 5GS optimization feature, including: if the frequency used by the terminal is the same as the frequency used by the CIoT device, the access network device determines that the terminal supports the CIoT 5GS optimization feature.
  • the access network device determines whether the terminal supports CIoT 5GS optimization features, including: if the type of message sent by the terminal is the same as the message type sent by the CIoT device, the access network device determines that the terminal supports CIoT 5GS optimization characteristic.
  • the access network device determines whether the terminal supports the CIoT 5GS optimization feature, including: after the access network device receives the uplink RRC message sent by the terminal, the access network device determines whether the terminal supports the CIoT 5GS optimization feature.
  • the uplink RRC message is an RRC establishment request message or an RRC establishment complete message.
  • the access network device sending the truncation parameter to the mobility management network element includes: the access network device sends an initial UE message to the mobility management network element, and the initial UE message includes the truncation parameter.
  • the truncation parameters are pre-stored in the access network equipment.
  • the method further includes: the access network device receives an RRC re-establishment request message sent by the terminal, where the RRC re-establishment request message includes a truncated 5G-S-TMSI.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a protection method for truncated parameters including: the mobile management network element updates the truncated parameters, and the truncated parameters are used for truncating 5G-S-TMSI; the mobile management network element is searched using the control plane CIoT Terminal with 5GS optimization function; the mobile management network element sends a downlink NAS message that is protected by NAS security through the NAS security context to the terminal using the control plane CIoT 5GS optimization function.
  • the downlink NAS message includes updated truncation parameters.
  • the mobility management network element in a scenario where the mobility management network element updates the truncation parameter, the mobility management network element sends a downlink NAS message that is protected by the NAS security context for NAS security to the terminal using the control plane CIoT 5GS optimization function. Since the updated truncation parameter is carried in the downlink NAS message, the updated truncation parameter will not be tampered with or forged by an attacker during air interface transmission. In this way, the terminal using the CIoT 5GS optimization function of the control plane can obtain the correct and updated truncation parameters in time to ensure that the terminal using the CIoT 5GS optimization function of the control plane can normally access the network.
  • the mobility management network element updates the truncation parameter, including: the mobility management network element updates the truncation parameter according to the number of AMF set IDs and/or the number of AMF pointers; or, the mobility management network element updates the truncation parameter according to the network management
  • the system instruction updates the truncation parameter; or the mobility management network element receives the updated truncation parameter sent by the access network device.
  • the mobile management network element sends a downlink NAS message that is protected by the NAS security context for NAS security protection to the terminal using the control plane CIoT 5GS optimization function, including: the terminal using the control plane CIoT 5GS optimization function is in the connected state
  • the mobile management network element sends a downlink NAS message to the terminal using the CIoT 5GS optimization function of the control plane.
  • the mobile management network element sends a downlink NAS message that is protected by the NAS security context for NAS security protection to the terminal using the control plane CIoT 5GS optimization function, including: the terminal using the control plane CIoT 5GS optimization function is not connected
  • the mobile management network element waits for the terminal using the control plane CIoT 5GS optimization function to enter the connected state; the terminal using the control plane CIoT 5GS optimization function enters the connected state, and the mobile management network element and the control plane CIoT 5GS optimization function After NAS security is activated between the terminals, the mobility management network element sends a downlink NAS message to the terminal using the CIoT 5GS optimization function of the control plane.
  • the mobile management network element sends a downlink NAS message that is protected by the NAS security context for NAS security protection to the terminal using the control plane CIoT 5GS optimization function, including: the terminal using the control plane CIoT 5GS optimization function is not connected
  • the mobile management network element triggers the terminal using the control plane CIoT 5GS optimization function to enter the connected state by paging; the terminal using the control plane CIoT 5GS optimization function enters the connected state, and the mobile management network element and usage control
  • the mobile management network element sends a downlink NAS message to the terminals using the CIoT 5GS optimization function on the control plane.
  • the downlink NAS message is a UE configuration update command message or a service acceptance message.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a protection method for truncated parameters including: a mobility management network element receives a truncation parameter sent by an access network device, and the truncation parameter is used for truncating the 5G-S-TMSI of the terminal; The management network element calculates the integrity of the 5G-S-TMSI of the terminal according to the NAS security context of the terminal to generate the first NAS MAC; the mobile management network element sends the first NAS MAC to the access network device.
  • the mobility management network element performs an integrity calculation on the truncation parameter to obtain the first NAS MAC, and sends the first NAS MAC to the access network device.
  • the access network device can send the first NAS MAC and the truncated parameter to the terminal to ensure that the truncated parameter is not tampered with or forged by an attacker during the transmission process, thereby reducing the security risk of the truncated parameter during the transmission process .
  • the method further includes: the mobility management network element receives protection instruction information and/or freshness parameters sent by the access network device, and the protection instruction information is used to instruct the mobility management network element to perform security protection on the truncation parameter ,
  • the freshness parameter is used to calculate the completeness of the truncation parameter.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a method for protecting truncated parameters including: an access network device sends a truncation parameter to a mobility management network element, and the truncation parameter is used for truncating the 5G-S-TMSI of the terminal; access; The network device receives the first NAS MAC sent by the mobility management network element, where the first NAS MAC is obtained by performing an integrity calculation on the truncation parameter; the access network device sends the first NAS MAC and the truncation parameter to the terminal.
  • the access network device can send the first NAS MAC and truncated parameters to the terminal to ensure that the truncated parameters are not tampered with or forged by the attacker during the transmission process, thereby reducing the truncation parameters during the transmission process. Security risks.
  • the method further includes: the access network device determines whether the terminal supports the CIoT 5GS optimization feature.
  • the access network device sends the truncation parameter to the mobility management network element, including: when the terminal supports the CIoT 5GS optimization feature, the access network device sends the truncation parameter to the mobility management network element.
  • the access network device determines whether the terminal supports the CIoT 5GS optimization feature, including: if the terminal's capability indication information is used to indicate that the terminal supports the CIoT 5GS optimization feature, the access network device determines that the terminal supports the CIoT 5GS optimization feature .
  • the access network device determines whether the terminal supports the CIoT 5GS optimization feature, including: if the frequency used by the terminal is the same as the frequency used by the CIot device, the access network device determines that the terminal supports the CIoT 5GS optimization feature.
  • the access network device determines whether the terminal supports CIoT 5GS optimization features, including: if the type of message sent by the terminal is the same as the message type sent by the CIoT device, the access network device determines that the terminal supports CIoT 5GS optimization characteristic.
  • the access network device determines whether the terminal supports the CIoT 5GS optimization feature, including: after the access network device receives the uplink RRC message sent by the terminal, the access network device determines whether the terminal supports the CIoT 5GS optimization feature.
  • the uplink RRC message is an RRC establishment request message or an RRC establishment complete message.
  • the method further includes: the access network device sends protection indication information and/or freshness parameters to the mobility management network element, where the protection indication information is used to instruct the mobility management network element to perform security protection on the truncation parameter,
  • the freshness parameter is used to calculate the completeness of the truncation parameter.
  • the method further includes: the access network device receives an RRC re-establishment request message sent by the terminal, where the RRC re-establishment request message includes a truncated 5G-S-TMSI.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a method for protecting truncated parameters including: the terminal receives the first NAS MAC and truncated parameters sent by the access network device, and the truncated parameters are used to truncate the 5G-S-TMSI of the terminal ; The terminal performs the integrity calculation on the truncation parameters according to the NAS security context to generate the second NAS MAC; the terminal verifies the first NAS MAC based on the second NAS MAC; if the first NAS MAC passes the verification, the terminal stores Truncate parameters.
  • the terminal since the terminal receives the first NAS MAC and the truncation parameter, the terminal can verify the integrity of the truncation parameter by verifying the first NAS MAC. In the case where it is determined that the truncation parameter has not been tampered with or forged, the terminal stores the truncation parameter so that the 5G-S-TMSI can be truncated according to the truncation parameter in the subsequent process.
  • the terminal storing the truncation parameter includes: the RRC layer of the terminal stores the truncation parameter.
  • the method further includes: the RRC layer of the terminal performs truncation processing on the 5G-S-TMSI of the terminal according to the truncation parameter to obtain a truncated 5G-S-TMSI.
  • the method further includes: the RRC layer of the terminal sends a truncation parameter to the NAS layer of the terminal; the NAS layer of the terminal performs truncation processing on the 5G-S-TMSI of the terminal according to the truncation parameter to obtain the truncation Short 5G-S-TMSI; the NAS layer of the terminal sends a truncated 5G-S-TMSI to the RRC layer of the terminal.
  • the terminal storing the truncation parameter includes: the RRC layer of the terminal sends the truncation parameter to the NAS layer of the terminal; the NAS layer of the terminal stores the truncation parameter.
  • the method further includes: the NAS layer of the terminal performs truncation processing on the 5G-S-TMSI of the terminal according to the truncation parameter to obtain a truncated 5G-S-TMSI; the NAS layer of the terminal sends the terminal to the terminal.
  • the RRC layer sends a truncated 5G-S-TMSI.
  • the method further includes: the NAS layer of the terminal sends the truncation parameter to the RRC layer of the terminal; the RRC layer of the terminal performs truncation processing on the 5G-S-TMSI of the terminal according to the truncation parameter to obtain the truncation Short 5G-S-TMSI.
  • the method further includes: the terminal sends an RRC re-establishment request message to the access network device, where the RRC re-establishment request message includes a truncated 5G-S-TMSI.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a communication device including: a processing module for judging whether the terminal meets preset conditions, the preset conditions include the terminal use control plane CIoT 5GS optimization function; the communication module is used for the terminal meets the preset conditions
  • a downlink NAS message that is protected by the NAS security context for NAS security is sent to the terminal, the downlink NAS message includes a truncation parameter, and the truncation parameter is used for truncating the 5G-S-TMSI of the terminal.
  • the communication device further includes a storage module; the storage module is used to store the truncation parameter.
  • the communication module is also used to receive the truncation parameter sent by the access network device.
  • the processing module is used to determine whether the terminal meets the preset conditions, including: determining whether the terminal uses the control plane CIoT 5GS optimization function; if the terminal uses the control plane CIoT 5GS optimization function, then It is determined that the terminal meets the preset condition; if the terminal does not use the control plane CIoT 5GS optimization function, it is determined that the terminal does not meet the preset condition.
  • the preset condition further includes: the terminal is a terminal that is initially registered to the network.
  • the processing module is used to determine whether the terminal meets preset conditions, including: determining whether the terminal uses the control plane CIoT 5GS optimization function, and whether the terminal is a terminal initially registered to the network; if the terminal uses a control plane CIoT 5GS optimization function and the terminal is a terminal initially registered to the network, it is determined that the terminal meets the preset conditions; if the terminal does not use the control plane CIoT 5GS optimization function or the terminal is not initially registered to the network Terminal, it is determined that the terminal does not meet the preset condition.
  • the processing module is specifically configured to determine that the terminal is the terminal initially registered to the network according to the registration type reported by the terminal.
  • the preset condition further includes: the terminal needs to update the truncation parameter.
  • the processing module is used to determine whether the terminal meets preset conditions, including: determining whether the terminal uses the control plane CIoT 5GS optimization function, and whether the terminal needs to update truncation parameters; if the terminal uses the control plane CIoT 5GS Optimization function and the terminal is a terminal that needs to update truncation parameters, then it is determined that the terminal meets the preset conditions; if the terminal does not use the control plane CIoT 5GS optimization function or the terminal is not a terminal that needs to update truncation parameters, It is determined that the terminal does not meet the preset condition.
  • the processing module is specifically used to determine that the terminal needs to update the truncation parameter when the truncation parameter configured by the mobility management network element is different from the truncation parameter stored in the context of the terminal.
  • the processing module is specifically configured to determine that the terminal needs to update the truncation parameter after the mobility management network element updates the truncation parameter.
  • the processing module is also used to update the truncation parameters according to the number of AMF set IDs and/or the number of AMF pointers; or, according to the instructions of the network management system, to update the truncation parameters; or, to receive the connection The updated truncation parameter sent by the connected device.
  • the processing module is specifically used to determine the terminal if the preferred network behavior reported by the terminal is used to indicate that the terminal prefers to use the control plane CIoT 5GS optimization function, and the mobile management network element supports the control plane CIoT 5GS optimization function. Use the control surface CIoT 5GS optimization function.
  • the processing module is specifically used to determine that the terminal uses the control plane CIoT 5GS optimization function if the terminal's context is used to instruct the terminal to use the control plane CIoT 5GS optimization function.
  • the processing module is specifically configured to determine whether the terminal meets the preset condition after the communication module receives the registration request message or the service request message of the terminal.
  • the downlink NAS message is a service acceptance message or a registration acceptance message.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • the processing module is configured to update the truncation parameter according to the number of AMF set IDs and/or the number of AMF pointers.
  • the processing module is used to update the truncation parameter according to the instruction of the network management system.
  • the communication module is used to receive the updated truncation parameter sent by the access network device.
  • a communication device including: a communication module, configured to receive a downlink NAS message sent by a mobility management network element for NAS security protection through a NAS security context, the downlink NAS message includes a truncation parameter, and the truncation parameter is used for Perform truncation processing on the 5G-S-TMSI of the terminal; the processing module is used to unsecure the downlink NAS message; the storage module is used to store the truncation parameter after the processing module successfully unsecures the downlink NAS message.
  • the storage module is used to store the truncation parameters, including: the NAS layer stores the truncation parameters.
  • the processing module is also used to obtain the truncated 5G-S-TMSI, including: the NAS layer sends the truncation parameter to the RRC layer; the RRC layer sends the 5G-S-TMSI to the terminal according to the truncation parameter Perform truncation processing to obtain truncated 5G-S-TMSI.
  • the processing module is also used to obtain the truncated 5G-S-TMSI, including: the NAS layer truncates the 5G-S-TMSI of the terminal according to the truncation parameters to obtain the truncated 5G -S-TMSI: The NAS layer sends a truncated 5G-S-TMSI to the RRC layer.
  • the storage module is used to store the truncation parameters, including: the NAS layer sends the truncation parameters to the RRC layer; the RRC layer stores the truncation parameters.
  • the processing module is also used to obtain the truncated 5G-S-TMSI, including: the RRC layer truncates the 5G-S-TMSI of the terminal according to the truncation parameters to obtain the truncated 5G -S-TMSI.
  • the processing module is further configured to obtain the truncated 5G-S-TMSI, including: the RRC layer sends the truncation parameter to the NAS layer; the NAS layer according to the truncation parameter, Perform truncation processing on the 5G-S-TMSI of the terminal to obtain a truncated 5G-S-TMSI; the NAS layer sends the truncated 5G-S-TMSI to the RRC layer.
  • the downlink NAS message is a service acceptance message or a registration acceptance message.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • the communication module is further configured to send an RRC re-establishment request message to the access network device, where the RRC re-establishment request message includes the truncated 5G-S-TMSI.
  • a communication device including: a processing module for determining whether the terminal supports CIoT 5GS optimization features; a communication module for sending truncation to mobile management network elements when the terminal supports CIoT 5GS optimization features Parameters, truncation parameters are used to truncate the 5G-S-TMSI of the terminal.
  • the processing module is specifically used to determine that the terminal supports the CIoT 5GS optimization feature if the capability indication information of the terminal is used to indicate that the terminal supports the CIoT 5GS optimization feature.
  • the processing module is specifically used to determine that the terminal supports the CIoT 5GS optimization feature if the frequency used by the terminal is the same as the frequency used by the CIoT device.
  • the processing module is specifically used to determine that the terminal supports the CIoT 5GS optimization feature if the type of the message sent by the terminal is the same as the type of the message sent by the CIoT device.
  • the processing module is specifically used to determine whether the terminal supports the CIoT 5GS optimization feature after the communication module receives the uplink RRC message sent by the terminal.
  • the uplink RRC message is an RRC establishment request message or an RRC establishment complete message.
  • the communication module is specifically configured to send an initial UE message to the mobility management network element, and the initial UE message includes a truncation parameter.
  • the communication device further includes a storage module; the storage module is used to store the truncation parameter.
  • the communication module is configured to receive an RRC re-establishment request message sent by the terminal, and the RRC re-establishment request message includes a truncated 5G-S-TMSI.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a communication device including: a processing module for updating truncation parameters, and the truncation parameters are used for truncating 5G-S-TMSI; searching for terminals that use the control plane CIoT 5GS optimization function;
  • the communication module is used to send a downlink NAS message that is protected by the NAS security context for NAS security to the terminal using the control plane CIoT 5GS optimization function, and the downlink NAS message includes the updated truncation parameter.
  • the processing module is used to update the truncation parameters according to the number of AMF set IDs and/or the number of AMF pointers; or, according to the instructions of the network management system, to update the truncation parameters; or, to receive access The updated truncation parameter sent by the network device.
  • the communication module is specifically used to send downlink NAS messages to the terminal using the CIoT 5GS optimization function of the control plane when the terminal using the CIoT 5GS optimization function of the control plane is in a connected state.
  • the communication module is specifically used to wait for the terminal using the control plane CIoT 5GS optimization function to enter the connected state when the terminal using the control plane CIoT 5GS optimization function is in the non-connected state; when using the control plane CIoT
  • the terminal with the 5GS optimization function enters the connected state, and after NAS security is activated between the mobile management network element and the terminal using the control plane CIoT 5GS optimization function, a downlink NAS message is sent to the terminal using the control plane CIoT 5GS optimization function.
  • the communication module is specifically used to trigger the terminal using the CIoT 5GS optimization function of the control plane to enter the connected state by paging when the terminal using the CIoT 5GS optimization function of the control plane is in a disconnected state; After the terminal using the control plane CIoT 5GS optimization function enters the connected state, and the mobile management network element and the terminal using the control plane CIoT 5GS optimization function activate NAS security, the downlink NAS is sent to the terminal using the control plane CIoT 5GS optimization function news.
  • the downlink NAS message is a UE configuration update command message or a service acceptance message.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID, and the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF. pointer, the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI;
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a communication device including: a communication module for receiving truncation parameters sent by an access network device, and the truncation parameters are used for truncating the 5G-S-TMSI of the terminal; a processing module, It is used to calculate the integrity of the 5G-S-TMSI of the terminal according to the NAS security context of the terminal to generate the first NAS MAC; the communication module is also used to send the first NAS MAC to the access network device.
  • the communication module is also used to receive protection indication information and/or freshness parameters sent by the access network equipment.
  • the protection indication information is used to instruct the mobility management network element to securely protect the truncation parameters.
  • the parameters are used to calculate the completeness of the truncation parameters.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a communication device including: a communication module for sending a truncation parameter to a mobility management network element, the truncation parameter is used for truncating the 5G-S-TMSI of the terminal; and receiving the mobile management network
  • the first NAS MAC sent by the meta, the first NAS MAC is obtained by performing an integrity calculation on the truncation parameter; the first NAS MAC and the truncation parameter are sent to the terminal.
  • the communication device also includes a processing module; the processing module is used to determine whether the terminal supports the CIoT 5GS optimization feature; the communication module is specifically used to enable the access network equipment to communicate with the CIoT 5GS optimization feature when the terminal supports the CIoT 5GS optimization feature.
  • the mobility management network element sends the truncation parameter.
  • the processing module is specifically used to determine that the terminal supports the CIoT 5GS optimization feature if the capability indication information of the terminal is used to indicate that the terminal supports the CIoT 5GS optimization feature.
  • the processing module is specifically used to determine that the terminal supports the CIoT 5GS optimization feature if the frequency used by the terminal is the same as the frequency used by the CIot device.
  • the processing module is specifically used to determine that the terminal supports the CIoT 5GS optimization feature if the type of the message sent by the terminal is the same as the type of the message sent by the CIoT device.
  • the communication module is also used to receive the uplink RRC message sent by the terminal; the processing module is specifically used to determine whether the terminal supports the CIoT5GS optimization feature after the communication module receives the uplink RRC message sent by the terminal.
  • the uplink RRC message is an RRC establishment request message or an RRC establishment complete message.
  • the communication module is also used to send protection indication information and/or freshness parameters to the mobility management network element, and the protection indication information is used to instruct the mobility management network element to securely protect the truncation parameters, and the freshness parameter It is used to calculate the completeness of truncation parameters.
  • the communication module is further configured to receive an RRC re-establishment request message sent by the terminal, and the RRC re-establishment request message includes a truncated 5G-S-TMSI.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a communication device including: a communication module for receiving a first NAS MAC and a truncation parameter sent by an access network device, and the truncation parameter is used for truncating the 5G-S-TMSI of the terminal Processing;
  • the processing module is used to calculate the integrity of the truncation parameters according to the NAS security context to generate the second NAS MAC; verify the first NAS MAC according to the second NAS MAC; the storage module is used to perform the first NAS MAC If the verification is passed, the truncation parameter is stored.
  • the storage module is used to store the truncation parameter, including: the RRC layer stores the truncation parameter.
  • the processing module is also used to obtain the truncated 5G-S-TMSI, including: the RRC layer truncates the 5G-S-TMSI of the terminal according to the truncation parameters to obtain the truncated 5G -S-TMSI.
  • the processing module is also used to obtain the truncated 5G-S-TMSI, including: the RRC layer sends the truncation parameter to the NAS layer; the NAS layer reports the 5G-S-TMSI of the terminal according to the truncation parameter. Perform truncation processing to obtain truncated 5G-S-TMSI; the NAS layer sends the truncated 5G-S-TMSI to the RRC layer.
  • the storage module is used to store the truncation parameters, including: the RRC layer sends the truncation parameters to the NAS layer; the NAS layer stores the truncation parameters.
  • the processing module is also used to obtain truncated 5G-S-TMSI, including: the NAS layer performs truncation processing on the terminal’s 5G-S-TMSI according to truncation parameters to obtain truncated 5G -S-TMSI: The NAS layer sends a truncated 5G-S-TMSI to the RRC layer.
  • the processing module is also used to obtain the truncated 5G-S-TMSI, including: the NAS layer sends the truncation parameter to the RRC layer; the RRC layer reports the 5G-S-TMSI of the terminal according to the truncation parameter. Perform truncation processing to obtain truncated 5G-S-TMSI.
  • the communication module is further configured to send an RRC re-establishment request message to the access network device, where the RRC re-establishment request message includes a truncated 5G-S-TMSI.
  • the first to tenth bits of 5G-S-TMSI are used to represent AMF set ID
  • the eleventh to sixteenth bits of 5G-S-TMSI are used to represent AMF.
  • pointer the seventeenth to forty-eighth bits of 5G-S-TMSI are used to represent 5G-TMSI.
  • the truncation parameter includes a first truncation parameter and a second truncation parameter, the first truncation parameter is used to truncate the AMF set ID and 5G-TMSI, and the second truncation parameter is used to truncate the AMF pointer And 5G-TMSI.
  • a communication device including a processor and a communication interface, and the processor is used to execute computer program instructions so that the communication device implements any design involved in any one of the first to seventh aspects.
  • the protection method of truncated parameters is provided, including a processor and a communication interface, and the processor is used to execute computer program instructions so that the communication device implements any design involved in any one of the first to seventh aspects.
  • a computer-readable storage medium stores instructions. When the instructions are executed on a computer, the computer realizes any one of the aspects provided in the first to seventh aspects. A protection method for truncated parameters involved in a design.
  • a computer program product includes instructions that, when the computer program product runs on a computer, enable the computer to implement any of the designs provided in any one of the first to seventh aspects.
  • a chip includes a processor.
  • the processor executes computer program instructions, the chip realizes the protection method of truncated parameters involved in any one of the first to seventh aspects.
  • a communication system includes: a mobility management network element and an access network device, the mobility management network element is used to perform the truncation parameters involved in any of the designs in the first aspect A protection method, where the access network device is used to implement the protection method for truncating parameters involved in any one of the designs in the third aspect.
  • a communication system in a twentieth aspect, includes a mobility management network element and an access network device.
  • the mobility management network element is used to implement the protection of truncation parameters involved in any of the designs in the fifth aspect.
  • the access network device is used to implement the protection method of truncated parameters involved in any one of the designs in the sixth aspect.
  • Figure 1 is a schematic diagram of the encryption/decryption process
  • Figure 2 is a schematic diagram of sending to the calculation MAC
  • Figure 3 is a schematic diagram of the receiver calculating MAC
  • Fig. 4 is a schematic diagram of a configuration flow of truncated parameters in the prior art
  • FIG. 5 is a schematic structural diagram of a 5G network provided by an embodiment of this application.
  • FIG. 6 is a schematic diagram of a protocol stack provided by an embodiment of the application.
  • FIG. 7 is a schematic structural diagram of a device provided by an embodiment of this application.
  • FIG. 8 is a flowchart of a method for protecting truncated parameters according to an embodiment of the application.
  • FIG. 9 is a flowchart of another protection method for truncating parameters provided by an embodiment of the application.
  • FIG. 10 is a flowchart of another protection method for truncating parameters provided by an embodiment of the application.
  • FIG. 11 is a flowchart of another protection method for truncating parameters provided by an embodiment of the application.
  • FIG. 12 is a flowchart of another protection method for truncating parameters provided by an embodiment of the application.
  • FIG. 13 is a schematic structural diagram of a terminal provided by an embodiment of this application.
  • FIG. 14 is a schematic structural diagram of an access network device provided by an embodiment of this application.
  • FIG. 15 is a schematic structural diagram of a mobility management network element provided by an embodiment of this application.
  • A/B can mean A or B.
  • “And/or” in this article is only an association relationship describing the associated objects, which means that there can be three kinds of relationships.
  • a and/or B can mean: A alone exists, A and B exist at the same time, and B exists alone. These three situations.
  • “at least one” means one or more, and “plurality” means two or more.
  • the words “first” and “second” do not limit the quantity and order of execution, and the words “first” and “second” do not limit the difference.
  • indication may include direct indication and indirect indication, as well as explicit indication and implicit indication.
  • the information indicated by a certain piece of information (the first indication information described below) is called information to be instructed.
  • the information to be indicated may be directly indicated, wherein the information to be indicated itself or the index of the information to be indicated, etc.
  • the information to be indicated may also be indicated indirectly by indicating other information, where there is an association relationship between the other information and the information to be indicated.
  • it is also possible to realize the indication of specific information by means of the pre-arranged order (for example, stipulated in the agreement) of the various information, thereby reducing the indication overhead to a certain extent.
  • Encryption/decryption protect the confidentiality of data during transmission (so it can also be called confidentiality protection). Confidentiality means that the true content cannot be seen directly. Encryption protection can generally be achieved by using keys and encryption algorithms to encrypt data. For the specific method of encryption protection, please refer to 3GPP TS 33.401 f50 section 8.2 or 33.501 f50 section 6.4.4 standard related descriptions, which will not be repeated here.
  • the encryption process at the sender can be: the sender can input parameters such as count, length, bearer, and direction into the NEA to determine the encryption.
  • Keystream keystream
  • the sender determines the ciphertext (ciphertext) based on the keystream and plaintext (plaintext).
  • the decryption process at the receiving end may be: the receiving end can input parameters such as count, length, bearer, and direction into the NEA to determine the key stream; Text, confirm the plain text.
  • Integrity protection/verification is used to determine whether the content of a message has been changed during the delivery process, and can also be used as identity verification to confirm the source of the message. Integrity check and protection requires the use of message authentication code (MAC).
  • MAC message authentication code
  • the MAC can be used to check whether the content of the message has been changed during the delivery process; and, the MAC can be used as authentication to confirm the source of the message.
  • the sender inputs parameters such as key, count, length, bearer, message, and direction into the evolution packet system integrity algorithm ( Evolved packet system integrity algorithm, EIA), can obtain message authentication code (message authentication code integrity, MAC-I) or NAS-MAC.
  • Evolved packet system integrity algorithm Evolved packet system integrity algorithm, EIA
  • the receiver enters the integrity protection key, count, length, bearer, message, direction and other parameters into the EIA, and the expected message authentication code (excepted message authentication code integrity, XMAC-I) can be obtained. Or the expected non-access stratum message authentication code (excepted non-access stratum message authentication code, XNAS-MAC).
  • the receiving end can compare the received MAC-I with the XMAC-I generated by itself to verify whether the message is complete. If MAC-I and XMAC-I are the same, the receiving end determines that the received MAC-I is verified, so that the receiving end can determine that the message sent by the sending end is complete; if MAC-I and XMAC-I are not the same, then The receiving end can determine that the received MAC-I has not passed verification, so that the receiving end can determine that the message sent by the sending end is incomplete.
  • the security context refers to information that can be used to implement data security protection (for example, encryption/decryption, and/or integrity protection/verification).
  • data security protection for example, encryption/decryption, and/or integrity protection/verification.
  • the security context can include one or more of the following: root key, encryption key, integrity protection key, specific parameters (such as NAS Count), key set identifier (KSI), security algorithm, and security indication (For example, an indication of whether to enable encryption, an indication of whether to enable integrity protection, an indication of key usage period, key length), etc.
  • the encryption key is a parameter input when the sender encrypts the plaintext according to the encryption algorithm to generate the ciphertext. If symmetric encryption is used, the encryption key and decryption key are the same.
  • the receiving end can decrypt the ciphertext according to the same encryption algorithm and encryption key. In other words, the sender and receiver can encrypt and decrypt based on the same key.
  • the integrity protection key is a parameter input when the sender performs integrity protection on the plaintext or ciphertext according to the integrity protection algorithm.
  • the receiving end can perform integrity verification on the integrity-protected data according to the same integrity protection algorithm and integrity protection key.
  • the specific parameter (such as NAS Count) is a parameter input when the sender performs anti-replay protection on the plaintext or ciphertext according to the anti-replay protection algorithm.
  • the receiving end can perform anti-replay verification on the anti-replay protected data according to the same anti-replay protection algorithm.
  • the security algorithm is the algorithm used when the data is secured. For example, encryption algorithm, decryption algorithm, integrity protection algorithm, etc.
  • the security context can be divided into NAS security context and AS security context. It is understandable that the NAS security context is used to protect the information transmitted between the terminal and the core network. The AS security context is used to protect the information transmitted between the terminal and the base station.
  • Activating NAS security includes activating NAS integrity protection and activating NAS encryption protection.
  • NAS integrity protection Once NAS integrity protection is activated, it means that the integrity protection of subsequent uplink/downlink NAS messages needs to be processed in a consistent manner based on the NAS integrity key and NAS integrity protection algorithm of the current security context. All messages without NAS integrity protection are not accepted and need to be discarded, but some special NAS messages can be excluded, such as attachment requests, location area update requests, service requests, control plane service requests, authentication requests, identity requests, etc.
  • the user equipment activates NAS integrity protection
  • every time it sends an uplink NAS message it will perform integrity protection on the uplink NAS message according to the NAS integrity key and NAS integrity protection algorithm of the current security context; each time it receives downlink NAS Messages will perform integrity verification on the downlink NAS message according to the NAS integrity key of the current security context and the NAS integrity protection algorithm.
  • the mobility management network element After the mobility management network element activates NAS integrity protection, each time it receives an uplink NAS message, it will perform integrity verification on the uplink NAS message according to the NAS integrity key and NAS integrity protection algorithm of the current security context, and each time it is sent The downlink NAS message will perform integrity protection for the downlink NAS message according to the NAS integrity key of the current security context and the NAS integrity protection algorithm.
  • NAS encryption protection Once NAS encryption protection is activated, it means that subsequent encryption protection of uplink/downlink NAS messages needs to be processed in a consistent manner based on the NAS encryption key and NAS encryption algorithm of the current security context. All messages that are not protected by NAS encryption are not accepted and need to be discarded. For example, after the user equipment activates NAS integrity protection, every time it sends an uplink NAS message, it will encrypt and protect the uplink NAS message according to the NAS encryption key and NAS encryption algorithm of the current security context. Each time it receives a downlink NAS message, it will The downlink NAS message is decrypted according to the NAS encryption key and NAS encryption algorithm of the current security context.
  • the mobility management network element After the mobility management network element activates NAS integrity protection, it will decrypt the upstream NAS message according to the NAS encryption key and NAS encryption algorithm of the current security context every time it receives an upstream NAS message, and every time it sends a downstream NAS message, it will decrypt the upstream NAS message.
  • the downlink NAS message is encrypted and protected according to the NAS encryption key and NAS encryption algorithm of the current security context.
  • the fifth generation-globally unique temporary identity (5G-GUTI) is allocated to the terminal by the AMF.
  • 5G-GUTI ⁇ MCC>+ ⁇ MNC>+ ⁇ AMFRegion ID>+ ⁇ AMF set ID>+ ⁇ AMFPointer>+ ⁇ 5G-TMSI>.
  • the mobile country code is a 3-digit decimal number used to identify a country.
  • the mobile network code (mobile network Code) is a 2 or 3 decimal number, which is a code used to identify the operator's network in a country.
  • the AMF region ID occupies 8 bits and is used to identify a group of AMF sets.
  • the AMF set ID occupies 10 bits and is used to identify a group of AMFs, and this group of AMFs supports the same network slice.
  • the AMF pointer occupies 6 bits and is used to identify an AMF.
  • the fifth generation-temporary mobile subscriber identity (5G-TMSI) occupies 32 bits and is used to identify an AMF.
  • 5G-S-TMSI is the lower 48 bits of 5G-GUTI.
  • 5G-S-TMSI includes 48 bits, of which the first to tenth bits are used to represent the AMF set ID, the eleventh to sixteenth bits are used to represent the AMF pointer, and the tenth bit is used to represent the AMF set ID. Seven bits to forty-eighth bits are used to represent 5G-TMSI.
  • the truncation parameter is used for truncating 5G-S-TMSI.
  • the truncation parameter may include a first truncation parameter and a second truncation parameter.
  • the first truncation parameter is used for truncating the AMF set ID and 5G-TMSI.
  • the second truncation parameter is used to perform truncation processing on AMF Pointer and 5G-TMSI.
  • the first truncation parameter is denoted as n
  • the second truncation parameter is denoted as m in the following.
  • truncated 5G-S-TMSI ⁇ truncated AMF set ID>+ ⁇ truncated AMF Pointer>+ ⁇ truncated 5G-TMSI>.
  • the truncated AMF set ID is composed of the last n bits in the original AMF set ID.
  • the truncated AMF Pointer is composed of the last m bits in the original AMF Pointer.
  • the truncated 5G-TMSI consists of the last 40-n-m bits in the original 5G-TMSI.
  • 5G-TMSI ⁇ 0000001010(10bit)> ⁇ 000110(6bit)> ⁇ 000100...10(32bit)>.
  • the access network device can restore the truncated 5G-TMSI to a complete 5G-TMSI by means of zero padding.
  • CIoT terminals with infrequent packet transmission have a need for battery durability. For example, this type of terminal requires the battery to last 10 years.
  • 5G technology has designed CIoT 5GS optimization characteristics.
  • the CIoT 5GS optimization feature removes the feature that the terminal periodically reports the measurement report. Therefore, the source base station cannot obtain signal data to instruct the terminal to perform the handover procedure. In this way, a terminal using the CIoT 5GS optimization function of the control plane cannot switch to another base station through a handover process like a traditional terminal when moving. Therefore, for terminals that use the CIoT 5GS optimization function of the control plane, a re-establishment process is introduced to ensure the continuity of the terminal's session during the movement.
  • the RRC message reported by the terminal needs to carry the 5G-S-TMSI of the terminal, so that the access network device can address the specific AMF according to the 5G-S-TMSI, and make the AMF according to the 5G-S-TMSI Find the security context of the terminal.
  • the length of the RRC message is limited, and the length of the 5G-S-TMSI exceeds the maximum length of the RRC message, so the RRC message cannot carry the complete 5G-S-TMSI. Therefore, the terminal needs to use the truncation parameter to perform truncation processing on the 5G-S-TMSI, so that the RRC message carries the truncated 5G-S-TMSI.
  • the process of configuring truncation parameters for the terminal by the access network device includes the following steps:
  • the access network equipment is pre-configured with m and n.
  • the access network device sends an RRC reconfiguration message to the terminal, where the RRC reconfiguration message includes m and n.
  • the terminal stores m and n.
  • the terminal obtains a truncated 5G-S-TMSI according to m, n and 5G-S-TMSI.
  • condition for the terminal to perform step S14 may be: the re-establishment process is triggered.
  • the terminal sends an RRC re-establishment request message to the access network device, where the RRC re-establishment request message includes the truncated 5G-S-TMSI.
  • the RRC re-establishment request message can carry up to 67 bits of information. Among them, the RRC re-establishment request message needs to reserve at least 27 bits of space for other parameters except 5G-S-TMSI, so the truncated 5G-S-TMSI carried in the RRC re-establishment request cannot exceed 40 bits.
  • the access network equipment restores 5G-S-TMSI according to m, n and the truncated 5G-GUTI.
  • the AS security context will not be established between the terminal using the CIoT 5GS optimization function of the control plane and the access network device. Therefore, the RRC message sent by the access network device to the terminal using the control plane CIoT 5GS optimization function is not protected by AS security, so the truncated parameter carried in the RRC message has the security risk of being tampered with by an attacker.
  • the embodiments of the present application provide a method and device for protecting the truncated parameter, the specific content of which is referred to below.
  • the technical solutions provided by the embodiments of the present application can be applied to various communication systems, for example, a 5G communication system, a future evolution system, or multiple communication convergence systems, and so on.
  • the technical solution provided by this application can be applied to a variety of application scenarios, such as machine to machine (M2M), macro and micro communications, enhanced mobile broadband (eMBB), ultra-high reliability and ultra-low latency Communication (ultra-reliable & low latency communication, uRLLC) and massive machine type communication (mMTC) and other scenarios.
  • M2M machine to machine
  • eMBB enhanced mobile broadband
  • uRLLC ultra-high reliability and ultra-low latency Communication
  • mMTC massive machine type communication
  • These scenarios may include, but are not limited to: a communication scenario between a communication device and a communication device, a communication scenario between a network device and a network device, a communication scenario between a network device and a communication device, and so on.
  • the following descriptions are all based on the application in a communication
  • 5G networks may include: terminals, radio access networks (RAN) or access networks (AN) (hereinafter RAN and AN are collectively referred to as (R)AN), core network , CN), and data network (DN).
  • RAN radio access networks
  • AN access networks
  • R radio access networks
  • CN core network
  • DN data network
  • the terminal may be a device with a wireless transceiver function.
  • the terminal may have different names, such as user equipment (UE), access terminal, terminal unit, terminal station, mobile station, mobile station, remote station, remote terminal, mobile equipment, wireless communication equipment, terminal agent Or terminal devices, etc.
  • UE user equipment
  • the terminal can be deployed on land, including indoor or outdoor, handheld or vehicle-mounted; it can also be deployed on the water (such as ships, etc.); it can also be deployed in the air (such as airplanes, balloons, and satellites, etc.).
  • Terminals include handheld devices, vehicle-mounted devices, wearable devices, or computing devices with wireless communication capabilities.
  • the terminal may be a mobile phone, a tablet computer, or a computer with wireless transceiver function.
  • Terminal equipment can also be virtual reality (VR) terminal equipment, augmented reality (AR) terminal equipment, wireless terminals in industrial control, wireless terminals in unmanned driving, wireless terminals in telemedicine, and smart Wireless terminals in power grids, wireless terminals in smart cities, and wireless terminals in smart homes.
  • the device used to implement the function of the terminal may be a terminal, or a device capable of supporting the terminal to implement the function, such as a chip system.
  • the chip system may be composed of chips, or may include chips and other discrete devices.
  • the device used to implement the functions of the terminal is a terminal as an example to describe the technical solutions provided by the embodiments of the present application.
  • the terminal may be a terminal using the CIoT 5GS optimization function of the control plane.
  • the terminal using the CIoT5GS optimization function uses the payload of the NAS message to transmit uplink and downlink user data between the terminal and the SMF without establishing a user plane connection for the PDU session.
  • the NAS security context is used between the terminal using the CIoT 5GS optimization function and the AMF to perform integrity protection and encryption of user data.
  • control plane CIoT 5GS optimization can also be recorded as CIoT 5GS control plane optimization, and the embodiment of the present application is not limited to this.
  • the access network equipment may also be called a base station.
  • the base station may include various forms of base stations, such as: macro base stations, micro base stations (also referred to as small stations), relay stations, access points, and so on. Specifically, it can be: access point (AP) in wireless local area network (WLAN), Global System for Mobile Communications (GSM) or Code Division Multiple Access (Code Division)
  • the base station (Base Transceiver Station, BTS) in Multiple Access, CDMA can also be the base station (NodeB, NB) in Wideband Code Division Multiple Access (WCDMA), or the eNB in LTE, Or relay stations or access points, or vehicle-mounted devices, wearable devices, and the next generation node B (gNB) in the future 5G network or the public land mobile network (PLMN) network that will evolve in the future The base station in the etc.
  • AP access point
  • GSM Global System for Mobile Communications
  • BTS Code Division Multiple Access
  • BTS Code Division Multiple Access
  • CDMA Code Division Multiple Access
  • a base station usually includes a baseband unit (BBU), a remote radio unit (RRU), an antenna, and a feeder for connecting the RRU and the antenna.
  • BBU baseband unit
  • RRU remote radio unit
  • the antenna is responsible for the conversion between the guided wave on the cable and the space wave in the air.
  • the distributed base station greatly shortens the length of the feeder between the RRU and the antenna, which can reduce signal loss and reduce the cost of the feeder.
  • RRU plus antenna is relatively small and can be installed anywhere, making network planning more flexible.
  • all the BBUs can also be centralized and placed in the central office (CO).
  • decentralized BBUs are centralized and turned into a BBU baseband pool, they can be managed and scheduled uniformly, and resource allocation is more flexible. In this mode, all physical base stations have evolved into virtual base stations. All virtual base stations share the user's data transmission and reception, channel quality and other information in the BBU baseband pool, and cooperate with each other to realize joint scheduling.
  • the base station may include a centralized unit (CU) and a distributed unit (DU).
  • the base station may also include an active antenna unit (AAU).
  • the CU implements part of the base station's functions, and the DU implements some of the base station's functions.
  • the CU is responsible for processing non-real-time protocols and services, and implements the functions of the RRC layer and the packet data convergence protocol (packet data convergence protocol, PDCP) layer.
  • the DU is responsible for processing physical layer protocols and real-time services, and realizes the functions of radio link control (radio link control, RLC), media access control (MAC), and physical (physical, PHY) layers.
  • RLC radio link control
  • MAC media access control
  • PHY physical layer
  • the access network device may be a device including one or more of a CU node, a DU node, and an AAU node.
  • the CU can be divided into network devices in the RAN, or the CU can be divided into network devices in the core network (core network, CN), which is not limited here.
  • the control plane (CP) and the user plane (UP) of the CU can also be separated and implemented by different entities. That is, CU can be divided into CU-CP and CU-UP.
  • the core network includes multiple core network network elements (or called network function network elements), such as: access and mobility management function (AMF) network elements, session management function (session management function, SMF) Network element, policy control function (PCF) network element, user plane function (UPF) network element, application layer function (application function) network element, authentication server function (AUSF) ) Network elements, and unified data management (UDM) network elements.
  • AMF access and mobility management function
  • SMF session management function
  • PCF policy control function
  • UPF user plane function
  • application function application function
  • AUSF authentication server function
  • UDM unified data management
  • the core network may also include some network elements not shown in Figure 5, for example: security anchor function (SEAF) network elements, authentication credential repository and processing function (authentication credential repository and processing function, ARPF), The embodiments of this application will not be repeated here.
  • SEAF security anchor function
  • ARPF authentication credential repository and processing function
  • the AMF network element is mainly responsible for the mobility management processing part, such as: access control, mobility management, attach and detach, and SMF selection functions.
  • the AMF network element When the AMF network element provides services for the session in the terminal, it will provide storage resources of the control plane for the session to store the session identifier, the SMF identifier associated with the session identifier, and so on.
  • the terminal communicates with the AMF through the Next Generation Network (N) 1 interface (N1 for short), the RAN device communicates with the AMF through the N2 interface (N2 for short), and the RAN device communicates with the UPF through the N3 interface (N3 for short).
  • UPF Communicate with the DN through the N6 interface (N6 for short).
  • Control plane network elements such as AMF, SMF, UDM, AUSF, or PCF can also interact with service-oriented interfaces.
  • AMF Accessf
  • SMF servicing interface provided by SMF
  • Nsmf the servicing interface provided by SMF
  • UDM can be Nudm
  • PCF Npcf
  • the servicing interface provided by AUSF to the outside world can be Nausf; it will not be described here.
  • the terminal’s protocol stack includes at least: non-access layer, RRC layer, packet data convergence protocol (PDCP) layer, radio link control (RLC) layer, media interface Access control (media access control, MAC) layer, physical layer (PHY layer).
  • PDCP packet data convergence protocol
  • RLC radio link control
  • MAC media interface Access control
  • PHY layer physical layer
  • the RRC layer, PDCP layer, RLC layer, MAC layer, and PHY layer all belong to the access layer.
  • the non-access layer is a functional layer between the terminal and the core network, and is used to support signaling and data transmission between the terminal and the network elements of the core network (for example, mobility management network elements).
  • the RRC layer is used to support functions such as radio resource management and RRC connection control.
  • the devices mentioned in the embodiments of the present application can all be implemented by the device shown in FIG. 7.
  • the device 100 includes at least one processor 101, a communication line 102, a memory 103 and at least one communication interface 104.
  • the processor 101 can be a general-purpose central processing unit (central processing unit, CPU), a microprocessor, an application-specific integrated circuit (ASIC), or one or more programs for controlling the execution of the program of this application. integrated circuit.
  • CPU central processing unit
  • ASIC application-specific integrated circuit
  • the communication line 102 is used to transmit information between the above-mentioned components.
  • the communication interface 104 uses any device such as a transceiver to communicate with other devices or communication networks, such as Ethernet, radio access network (RAN), wireless local area networks (WLAN), etc. .
  • RAN radio access network
  • WLAN wireless local area networks
  • the memory 103 may be a read-only memory (ROM) or other types of static storage devices that can store static information and instructions, random access memory (RAM), or other types that can store information and instructions
  • the dynamic storage device can also be electrically erasable programmable read-only memory (EEPROM), compact disc read-only memory (CD-ROM) or other optical disk storage, optical disc storage (Including compact discs, laser discs, optical discs, digital universal discs, Blu-ray discs, etc.), magnetic disk storage media or other magnetic storage devices, or can be used to carry or store program codes in the form of instructions or data structures and can be accessed by a computer Any other media, but not limited to this.
  • the memory can exist independently and is connected to the processor through the communication line 102.
  • the memory can also be integrated with the processor.
  • the memory 103 is used to store computer-executable instructions for executing the solution of the present application, and the processor 101 controls the execution.
  • the processor 101 is configured to execute computer-executable instructions stored in the memory 103, so as to implement the technical solutions provided in the embodiments of the present application.
  • the computer-executable instructions in the embodiments of the present application may also be referred to as application program codes, which are not specifically limited in the embodiments of the present application.
  • the processor 101 may include one or more CPUs, such as CPU0 and CPU1 in FIG. 7.
  • the apparatus 100 may include multiple processors, such as the processor 101 and the processor 107 in FIG. 7. Each of these processors can be a single-CPU (single-CPU) processor or a multi-core (multi-CPU) processor.
  • the processor here may refer to one or more devices, circuits, and/or processing cores for processing data (for example, computer program instructions).
  • the apparatus 100 may further include an output device 105 and an input device 106.
  • the output device 105 communicates with the processor 101 and can display information in a variety of ways.
  • the output device 105 may be a liquid crystal display (LCD), a light emitting diode (LED) display device, a cathode ray tube (CRT) display device, or a projector (projector) Wait.
  • the input device 106 communicates with the processor 101 and can receive user input in a variety of ways.
  • the input device 106 may be a mouse, a keyboard, a touch screen device, a sensor device, or the like.
  • this application provides the following three embodiments.
  • the first embodiment and the third embodiment can be applied to the scenario where a certain terminal accesses the network
  • the second embodiment is applied to the scenario where the AMF performs truncation parameter update for the terminal served by the AMF.
  • the technical features involved in the following three embodiments can be referred to and combined with each other.
  • a terminal X using the CIoT 5GS optimization function of the control plane registers in the network it can trigger the execution of the solution described in the first embodiment, thereby safely obtaining the truncation parameters.
  • the AMF on the network side will also actively update the truncation parameter of the terminal X according to the method described in the second embodiment.
  • a protection method for truncating parameters includes the following steps:
  • the mobility management network element judges whether a terminal accessing the network meets a preset condition.
  • the mobility management network element in the 5G network, can be AMF; in the future evolution system, the mobility management network element can be a NAS security endpoint similar to AMF. This is a unified description, and will not be repeated below.
  • the preset condition at least includes: the terminal uses the control plane CIoT 5GS optimization function.
  • the preset conditions include the following situations:
  • Case 1 The preset condition is: the terminal uses the control plane CIoT 5GS optimization function.
  • step S101 can be specifically implemented as: the mobile management network element determines whether the terminal uses the control plane CIoT 5GS optimization function. If the terminal uses the control plane CIoT 5GS optimization function, the mobile management network element determines that the terminal meets the preset conditions; if the terminal does not use the control plane CIoT 5GS optimization function, the mobile management network element determines that the terminal does not meet the preset conditions.
  • the mobile management network element determines whether the terminal uses the control plane CIoT 5GS optimization function, including the following implementation methods:
  • Implementation method 1 The mobile management network element determines whether the terminal uses the control plane CIoT 5GS optimization function according to the preferred network behavior reported by the terminal.
  • the preferred network behavior can be carried in the registration request message sent by the terminal.
  • the preferred network behavior is used to indicate the network functions supported by the terminal.
  • the preferred network behavior is used to indicate the network function the terminal prefers to use.
  • the preferred network behavior can indicate whether the terminal supports the control plane CIoT 5GS optimization function, whether it supports the user plane CIoT 5GS optimization function, whether it supports N3 data transmission, whether it supports header compression, etc.
  • the mobile management network element can determine that the terminal uses the control plane CIoT 5GS optimization function.
  • the mobile management network element can determine that the terminal does not use the control plane CIoT 5GS optimization function.
  • the mobile management network element determines that the terminal does not use the control plane CIoT 5GS optimization function.
  • Implementation mode 2 The mobile management network element determines whether the terminal uses the control plane CIoT 5GS optimization function according to the context of the terminal.
  • the mobility management network element determines that the terminal uses the control plane CIoT 5GS optimization function. Or, when the context of the terminal indicates that the terminal does not use the control plane CIoT 5GS optimization function, the mobility management network element determines that the terminal does not use the control plane CIoT 5GS optimization function.
  • the mobility management network element needs to perform the following step S102.
  • Case 2 The preset conditions are: the terminal uses the control plane CIoT 5GS optimization function, and the terminal is the terminal that is initially registered to the network.
  • step S101 can be specifically implemented as: the mobile management network element determines whether the terminal uses the control plane CIoT 5GS optimization function, and whether the terminal is a terminal that is initially registered to the network. If the terminal uses the control plane CIoT 5GS optimization function, and the terminal is a terminal that is initially registered to the network, the mobility management network element determines that the terminal meets the preset conditions. If the terminal does not use the control plane CIoT 5GS optimization function, or the terminal is not a terminal initially registered to the network, the mobility management network element determines that the terminal does not meet the preset conditions.
  • the mobility management network element determines whether the terminal is the terminal initially registered to the network according to the registration type reported by the terminal.
  • the registration type of the terminal can be carried in the registration request message sent by the terminal.
  • the registration types of the terminal include: initial registration, mobile update registration, periodic registration update, or emergency registration.
  • the mobility management network element can determine that the terminal is a terminal that is initially registered to the network.
  • the registration type of the terminal is mobile update registration, periodic registration update, or emergency registration
  • the mobile management network element may determine that the terminal is not a terminal that is initially registered to the network.
  • the preset condition can adopt scenario two.
  • the mobility management network element performs the following step S102 to ensure that the terminal receives the correct truncation parameters; if the terminal If it is not initially registered to the network, it means that the terminal has stored truncation parameters. Therefore, the mobility management network element may choose not to perform the following step S102 to save signaling overhead.
  • Case 3 The preset conditions are: the terminal uses the control plane CIoT 5GS optimization function, and the terminal needs to update the truncation parameters.
  • step S101 can be specifically implemented as: the mobile management network element determines whether the terminal uses the control plane CIoT 5GS optimization function, and whether the terminal needs to update the truncation parameter. If the terminal uses the control plane CIoT 5GS optimization function, and the terminal needs to update the truncation parameters, the mobility management network element determines that the terminal meets the preset conditions. If the terminal does not use the control plane CIoT 5GS optimization function, or the terminal does not need to update the truncation parameters, the mobility management network element determines that the terminal does not meet the preset conditions.
  • the mobility management network element determines whether the terminal needs to update the truncation parameter, including one of the following implementation methods:
  • Implementation manner 1 The mobility management network element judges whether the truncation parameter configured by itself and the truncation parameter stored in the context of the terminal are the same to determine whether the terminal needs to update the truncation parameter.
  • the mobility management network element stores the truncation parameters currently used by the terminal in the context of the terminal. That is, the truncation parameter stored in the context of the terminal is the truncation parameter currently used by the terminal.
  • the mobility management network element can determine that the terminal needs to update the truncation parameter. Or, when the truncation parameter configured by the mobility management network element is the same as the truncation parameter stored in the context of the terminal, the mobility management network element may determine that the terminal does not need to update the truncation parameter.
  • Implementation manner 2 The mobility management network element determines whether the terminal needs to update the truncation parameter by determining whether the current time is within a preset time period.
  • the starting time of the preset time period is the time when the mobility management network element determines that the truncation parameter is updated, and the duration of the preset time period is the preset time length.
  • the preset duration may be 1 minute or 10 minutes.
  • the preset duration is greater than the time interval for periodic registration update.
  • the preset duration may be greater than 2 times the time interval of periodic registration updates.
  • the network side may configure the periodic registration update time interval for the terminal, for example, 10 minutes. After the waiting time of the terminal exceeds the time interval, the terminal will actively initiate a registration request so that the network side knows that the terminal is still online. Therefore, the network side sets the preset duration to be greater than twice the time interval of periodic registration updates, and within the preset time, the mobility management network element can ensure that all online terminals can update the truncation parameters.
  • the mobility management network element determines that the terminal needs to update the truncation parameters; if the current time is not within the preset time period, the mobility management network element determines that the terminal does not The truncation parameter needs to be updated.
  • the preset condition may adopt scenario three.
  • step S401 For the manner in which the mobility management network element updates the truncation parameter, reference may be made to the description of step S401 below, which will not be repeated here.
  • the network side when the network side updates the truncation parameters, the network side needs to send the updated truncation parameters to the terminal to prevent the terminal from using the unupdated truncation parameters. Get the wrong truncated 5G-S-TMSI. Therefore, for a terminal using the CIoT 5GS optimization function of the control plane, when the mobility management network element determines that the terminal needs to update the truncation parameters, the mobility management network element executes the following step S102 to ensure that the terminal can obtain the latest interception parameters. Short parameters, thereby ensuring that the terminal can normally access the network; when the mobility management network element determines that the terminal does not need to update the truncation parameter, the mobility management network element may not perform the following step S102 to save signaling overhead.
  • the mobility management network element sends to the terminal a downlink NAS message that undergoes NAS security protection through the NAS security context, where the downlink NAS message includes a truncation parameter.
  • the mobility management network element may pre-store the truncation parameter; or, the mobility management network element may obtain the truncation parameter from the access network device.
  • NAS security protection includes at least integrity protection.
  • NAS security protection also includes encryption protection.
  • the truncation parameter in the downlink NAS message is also protected by NAS security, so that the security of the truncation parameter can be guaranteed.
  • the downlink NAS message may be newly added signaling, or may reuse signaling in the existing process.
  • the downlink NAS message may be a registration acceptance (registration accept) message.
  • the downlink NAS message may be a server accept message.
  • the terminal performs security protection on the downlink NAS.
  • the above-mentioned unsecured protection is: integrity verification.
  • the above-mentioned de-secure protection is integrity check and decryption.
  • the terminal stores the truncation parameter after successfully unsecuring the downlink NAS message.
  • the NAS layer of the terminal After the NAS layer of the terminal successfully unsecures the downlink NAS message, the NAS layer of the terminal stores the truncation parameter.
  • the NAS layer of the terminal after the NAS layer of the terminal successfully unsecures the downlink NAS message, the NAS layer of the terminal sends the truncation parameter to the RRC layer of the terminal, and the RRC layer of the terminal stores the truncation parameter.
  • the terminal since the preset conditions include at least: the terminal uses the control plane CIoT 5GS optimization function, the terminal meets the preset conditions, indicating that the terminal uses the control plane CIoT 5GS optimization function.
  • the mobile management network element determines that the terminal uses the control plane CIoT 5GS optimization function, the mobile management network element sends a downlink NAS message that is protected by the NAS security context for NAS security to the terminal to ensure that the truncation parameter is accepted during the transmission process NAS security protection. In this way, it is ensured that the truncation parameters are not tampered with or forged, so as to prevent the terminal from being attacked by an attacker to initiate a denial of service attack, thereby ensuring that the terminal can normally access the network.
  • Scenario 1 The mobile management network element stores truncation parameters in advance.
  • a method for protecting truncated parameters includes the following steps:
  • the mobility management network element pre-stores the truncation parameter.
  • the staff can configure truncation parameters to the mobility management network element through the network management system, so that the mobility management network element can store the truncation parameters in advance.
  • the truncation parameter can be PLMN granularity or regional granularity.
  • the truncation parameters configured by the network management system can be applied to the entire PLMN or only to a certain area.
  • the embodiment of the present application does not limit the specific implementation manner of how the mobility management network element pre-configures the truncation parameter.
  • the terminal sends an uplink NAS message to the mobility management network element, so that the mobility management network element receives the uplink NAS message sent by the terminal.
  • the uplink NAS message may be a registration request message, a service request message, etc.
  • the embodiment of the present application is not limited thereto.
  • the registration request message may include a registration type (5GS registration type) and a preferred network behavior.
  • S202 NAS security is activated between the terminal and the mobility management network element.
  • the above NAS message is a registration request message as an example.
  • the mobility management network element After the mobility management network element receives the registration request message, the mobility management network element performs an authentication and key agreement (authentication and key agreement, AKA) process on the terminal. After that, after the authentication is successful, the NAS security context between the terminal and the mobility management network element is activated through the NAS security mode command (SMC) process between the mobility management network element and the terminal.
  • AKA authentication and key agreement
  • SMC NAS security mode command
  • the upstream NAS message is an example of a service request message.
  • the mobility management network element After the mobility management network element receives the service request message, the mobility management network element performs an integrity check on the service request message; when the service request message passes the integrity check After that, the mobility management network element activates the NAS security context between the terminal and the mobility management network element.
  • S203-S206 are similar to steps S101-S104, and the specific description can refer to the embodiment shown in FIG. 8, which will not be repeated here.
  • the downlink NAS message is a registration acceptance message.
  • the downlink NAS message is a service acceptance message.
  • the mobility management network element can actively determine whether the terminal meets the preset conditions; when the terminal meets the preset conditions, the mobility management network element The truncation parameter protected by the NAS is sent to the terminal so that the terminal can use the truncation parameter in the subsequent process.
  • Scenario 2 The access network device stores the truncation parameters in advance.
  • a method for protecting truncated parameters provided in an embodiment of this application, the method includes the following steps:
  • the access network device stores the truncation parameter in advance.
  • the access network equipment generally pre-configures the truncation parameter, so that the access network equipment can recover the complete 5G-S-TMSI according to the truncation parameter and the truncated 5G-S-TMSI.
  • the staff can configure the truncation parameter to the access network device through the network management system, so that the access network device can store the truncation parameter in advance.
  • the truncation parameter can be PLMN granularity or regional granularity.
  • the truncation parameters configured by the network management system can be applied to the entire PLMN or only to a certain area.
  • the embodiment of the present application does not limit the specific implementation manner of how the access network device pre-configures the truncation parameter.
  • the terminal sends an uplink RRC message to the access network device.
  • the uplink RRC message may be an RRC establishment request message or an RRC establishment complete message, and the embodiment of the present application is not limited thereto.
  • the terminal may also send an uplink NAS message to the access network device, so that the access network device forwards the uplink NAS message to the mobility management network element.
  • the uplink NAS message may be a registration request message or a service request message, and the embodiment of the present application is not limited thereto.
  • the uplink NAS message can be used as the payload of the uplink RRC message.
  • the uplink RRC message includes a NAS container, and the NAS container includes an uplink NAS message.
  • the terminal transmits the uplink RRC message to the access network device, thereby achieving the purpose of transmitting the uplink RRC message and the uplink NAS message to the network side together.
  • the terminal separately sends an uplink NAS message and an uplink RRC message to the access network device.
  • the access network device judges whether the terminal supports the CIoT 5GS optimization feature.
  • the CIoT 5GS optimization features include the user plane CIoT 5GS optimization function, and/or the control plane CIoT 5GS optimization function.
  • the terminal supports the CIoT 5GS optimization feature, indicating that the terminal may support the user plane CIoT 5GS optimization function, and/or the control plane CIoT 5GS optimization function.
  • step S302 adopts at least one of the following implementation manners:
  • Implementation method 1 In the case where the uplink RRC message includes a capability indication, the access network device determines whether the terminal supports the CIoT 5GS optimization feature according to the capability indication. In other words, if the capability indicator is used to indicate that the terminal supports the CIoT 5GS optimization feature, the access network device determines that the terminal supports the CIoT 5GS optimization feature.
  • the access network device determines that the terminal does not support the CIoT 5GS optimization feature.
  • Implementation method 2 The access network equipment determines whether the terminal supports the CIoT 5GS optimization feature according to the terminal's access frequency point. In other words, if the terminal accesses the frequency used by the CIoT device, the access network device determines that the terminal supports the CIoT 5GS optimization feature.
  • the access network device determines that the terminal does not support the CIoT 5GS optimization feature.
  • Implementation mode 3 The access network equipment determines whether the terminal supports the CIoT 5GS optimization feature according to the type of message sent by the terminal. In other words, if the type of the message sent by the terminal is the same as the type of the message dedicated to the CIoT device, the access network device determines that the terminal supports the CIoT 5GS optimization feature.
  • the access network device determines that the terminal does not support the CIoT 5GS optimization feature.
  • the access network device determines that the terminal supports the CIoT 5GS optimization feature, the access network device executes the following step S303.
  • the access network device sends an N2 message to the mobility management network element, so that the mobility management network element receives the N2 message sent by the access network device.
  • the N2 message includes truncation parameters.
  • the N2 message may be an initial UE message (Initial UE message).
  • the N2 message carries the uplink NAS message.
  • S304-S307 are similar to steps S101-S04, and the specific description can refer to the embodiment shown in FIG. 8, which will not be repeated here.
  • the access network device when the access network device stores truncation parameters, the access network device will determine whether the connected terminal supports the CIoT 5GS optimization feature; after that, the terminal supports the CIoT 5GS optimization feature Next, the access network device will send the truncation parameter to the mobility management network element, so that in the subsequent process, the mobility management network element can send the NAS security-protected truncation parameter to the terminal using the control plane CIoT 5GS optimization function. In the above process, the mobility management network element can obtain the truncation parameter from the access network device, so the mobility management network element does not need to configure the truncation parameter in advance, thereby reducing the complexity of configuring the truncation parameter.
  • a method for protecting truncated parameters includes the following steps:
  • the mobility management network element updates the truncation parameter.
  • step S401 may include one of the following implementation manners:
  • Implementation method 1 The mobile management network element updates the truncation parameter according to the number of AMF set IDs and/or the number of AMF pointers.
  • the mobility management network element needs to adjust the truncation parameter.
  • the truncated AMF set ID has only 5 bits, and the total number of AMF sets that the truncated AMF set ID can indicate is 32;
  • the truncated AMF pointer has only 3 bits, and the total number of pointers that the truncated AMF pointer can indicate is 8. If the current number of AMF sets is 14, and the number of pointers is 9, the mobility management network element needs to update the truncation parameter.
  • n can be adjusted to 4
  • m can be adjusted to 4. In this way, the total number of AMF sets that can be indicated by the truncated AMF set ID is 16, and the total number of pointers that can be indicated by the truncated AMF pointer is 16.
  • Implementation mode 2 The mobile management network element updates the truncation parameters according to the instructions of the network management system.
  • the foregoing network management system may be an operation administration and maintenance (OAM) system.
  • OAM operation administration and maintenance
  • Implementation manner 3 The mobility management network element receives the updated truncation parameter sent by the access network device.
  • the access network device can update the truncation parameter according to the instruction of the network management system.
  • the mobile management network element finds a terminal that uses the CIoT 5GS optimization function of the control plane.
  • the mobility management network element stores the context of the terminal, and the context of the terminal includes indication information of whether the corresponding terminal is a terminal that uses the CIoT 5GS optimization function of the control plane.
  • the mobile management network element determines the terminal that uses the CIoT 5GS optimization function of the control plane according to the context of multiple terminals stored in it.
  • the number of terminals using the CIoT 5GS optimization function of the control plane may be one or more.
  • the mobile management network element sends a downlink NAS message that is protected by the NAS security context through the NAS security context to the terminal using the CIoT 5GS optimization function of the control plane.
  • the downlink NAS message includes the updated truncation parameter.
  • the mobility management network element sends a downlink NAS message to the terminal, including one of the following implementation methods:
  • Implementation method 1 If the terminal using the CIoT 5GS optimization function of the control plane is in the CONNECTED state, the mobile management network element can directly send the downlink NAS protected by the NAS security context to the terminal using the control plane CIoT 5GS optimization function news.
  • the downlink NAS message may be a UE Configuration Update Command (UE Configuration Update Command) message.
  • UE Configuration Update Command UE Configuration Update Command
  • Implementation method 2 If the terminal using the control plane CIoT 5GS optimization function is in a disconnected state, the mobility management network element waits for the terminal to enter the connected state; after the terminal enters the connected state and activates NAS security, the mobility management network element sends to the terminal Downlink NAS message that undergoes NAS security protection through NAS security context.
  • the non-connected state may be an idle state or an RRC inactive state.
  • a terminal in a disconnected state can enter the connected state by actively initiating a service request message.
  • the downlink NAS message may be a service acceptance message or a UE configuration update command message.
  • Implementation mode 3 If the terminal using the CIoT 5GS optimization function of the control plane is in the disconnected state, the mobility management network element actively page the terminal to trigger the terminal to enter the connected state; after the terminal enters the connected state and activates NAS security, move The management network element sends a downlink NAS message that is protected by the NAS security context through the NAS security context to the terminal.
  • the downlink NAS message may be a service acceptance message or a UE Configuration Update Command (UE Configuration Update Command) message.
  • UE Configuration Update Command UE Configuration Update Command
  • the terminal when the terminal is in the unconnected state, the terminal does not need to shorten the 5G-S-TMSI, so the terminal in the unconnected state does not need to update the truncation parameters immediately.
  • the mobility management network element updates the truncation parameters for the terminal after waiting for the terminal to return to the connected state, which can prevent the mobility management network element from sending a large number of NAS signaling to the terminal at the same time, thereby causing signaling congestion.
  • the mobile management network element does not actively wake up the terminal in the disconnected state, which is beneficial to save the power consumption of the terminal.
  • S404-S405 are similar to steps S103-S104, and the specific description can refer to the embodiment shown in FIG. 8, which will not be repeated here.
  • the mobility management network element updates the truncation parameters
  • the mobility management network element actively sends the updated truncation parameters protected by NAS to the terminal using the control plane CIoT 5GS optimization function, so that The terminal can obtain the updated truncation parameter, which prevents the terminal from being unable to access the network normally due to the use of the wrong truncation parameter.
  • a protection method for truncating parameters provided in an embodiment of this application, the method includes the following steps:
  • S500-S503 are similar to steps S300-S303, and the specific description can refer to the embodiment shown in FIG. 10, which will not be repeated here.
  • the access network device may also send the freshness parameter and/or protection indication information to the mobility management network element.
  • the freshness parameter is used to calculate the completeness of the truncation parameter, and the freshness parameter is used to ensure that the two generated NAS MACs are different.
  • the freshness parameter may be a downlink PDCP count value (count).
  • the protection indication information is used to instruct the mobility management network element to perform security protection on the truncation parameter.
  • the mobility management network element performs integrity calculation on the truncation parameter according to the NAS security context, and generates the first NAS MAC.
  • the mobility management network element when the mobility management network element receives the truncation parameter, the mobility management network element performs an integrity calculation on the truncation parameter to generate the first NAS MAC.
  • the mobility management network element when the mobility management network element receives the truncation parameter and the protection indication information, the mobility management network element performs integrity calculation on the truncation parameter to generate the first NAS MAC.
  • the mobility management network element receives the truncation parameter but does not receive the protection indication information, the mobility management network element does not perform integrity calculation on the truncation parameter.
  • the mobility management network element generates the first NAS MAC according to the integrity protection key, the truncation parameter, and the integrity protection algorithm.
  • the mobility management network element In the case that the access network device sends the freshness parameter to the mobility management network element, the mobility management network element generates the first one according to the integrity protection key, truncation parameter, integrity protection algorithm, and freshness parameter.
  • the integrity protection key truncation parameter
  • integrity protection algorithm integrity protection algorithm
  • freshness parameter freshness parameter
  • the mobility management network element sends the first NAS MAC to the access network device, so that the access network device receives the first NAS MAC sent by the mobility management network element.
  • the access network device sends the truncation parameter and the first NAS MAC to the terminal, so that the terminal receives the truncation parameter and the first NAS MAC sent by the access network device.
  • the truncation parameter and the first NAS MAC can be carried in the downlink RRC message.
  • the downlink RRC message also carries a freshness parameter indication, and the freshness parameter indication may be part of the bits of the downlink PDCP COUNT.
  • the downlink RRC message may be an RRC reconfiguration message, and the embodiment of the present application is not limited thereto.
  • S507 The terminal performs integrity calculation on the truncation parameter according to the NAS security context, and generates a second NAS MAC.
  • the terminal generates the second NAS MAC according to the integrity protection key, the truncation parameter, and the integrity protection algorithm.
  • the terminal in the case that the terminal also receives the freshness parameter indication sent by the access network device, the terminal generates the second NAS MAC according to the integrity protection key, truncation parameter, freshness parameter, and integrity protection algorithm .
  • the terminal may obtain the freshness parameter according to the freshness parameter indication. For example, the terminal recovers a complete downlink PDCP COUNT according to some bits of the downlink PDCP COUNT.
  • the terminal checks the first NAS MAC according to the second NAS MAC.
  • the terminal determines whether the second NAS MAC is the same as the first NAS MAC. If the first NAS MAC and the second NAS MAC are the same, the terminal determines that the first NAS MAC passes the verification. If the first NAS MAC and the second NAS MAC are not the same, the terminal determines that the first NAS MAC fails the verification.
  • the terminal stores the truncation parameter.
  • the RRC layer of the terminal stores the truncation parameter.
  • the RRC layer of the terminal sends the truncation parameter to the NAS layer of the terminal; after that, the NAS layer of the terminal stores the truncation parameter.
  • the access network device when it needs to send the truncation parameter to the terminal, it first sends the truncation parameter to the mobility management network element to obtain the first NAS MAC corresponding to the truncation parameter; The access network device sends the truncation parameter and the first NAS MAC to the terminal. In this way, the terminal can verify whether the truncation parameter has been tampered with by an attacker through the first NAS MAC, thereby ensuring the integrity of the truncation parameter. In the case that the terminal obtains the correct truncation parameter, the terminal can normally access the network.
  • the terminal may trigger the RRC connection re-establishment process.
  • RRC connection re-establishment process the terminal needs to send an RRC Reestablishment Request (RRC Reestablishment Request) message to the target access network device, and the RRC Reestablishment Request message carries the truncated 5G-S-TMSI.
  • the terminal needs to obtain a truncated 5G-S-TMSI.
  • the terminal obtaining the truncated 5G-S-TMSI includes one of the following implementation methods:
  • Implementation method 1 In the case that the RRC layer of the terminal is responsible for storing the truncation parameters, when the terminal needs to use the truncated 5G-S-TMSI, the RRC layer of the terminal truncates the 5G-S-TMSI according to the truncation parameters Processing to obtain a truncated 5G-S-TMSI.
  • Implementation mode 2 When the RRC layer of the terminal is responsible for storing the truncation parameters, when the terminal needs to use the truncated 5G-S-TMSI, the RRC layer of the terminal sends the truncation parameters to the NAS layer of the terminal; the NAS layer of the terminal According to the truncation parameter, the 5G-S-TMSI is truncated to obtain a truncated 5G-S-TMSI; the NAS layer of the terminal sends the truncated 5G-S-TMSI to the RRC layer of the terminal.
  • Implementation mode 3 When the terminal's NAS layer is responsible for storing the truncation parameters, when the terminal needs to use the truncated 5G-S-TMSI, the terminal's NAS layer will truncate the 5G-S-TMSI according to the truncation parameters After processing, the truncated 5G-S-TMSI is obtained; the NAS layer of the terminal sends the truncated 5G-S-TMSI to the RRC layer of the terminal.
  • Implementation mode 4 In the case that the NAS layer of the terminal is responsible for storing the truncation parameters, when the terminal needs to use the truncated 5G-S-TMSI, the NAS layer of the terminal sends the truncation parameters to the RRC layer of the terminal; The RRC layer performs truncation processing on the 5G-S-TMSI according to the truncation parameter to obtain a truncated 5G-S-TMSI.
  • the AS layer of the terminal triggers the NAS layer to provide UL_NAS_MAC and XDL_NAS_MAC.
  • UL_NAS_MAC indicates that the terminal requests to re-establish an RRC connection
  • XDL_NAS_MAC is used to indicate that the terminal is talking with the real network.
  • the terminal sets the key to the integrity key (KNASint), the count to the uplink NAS count, the DIRECTION to 0, and the message to the target cell ID (cell ID) and the LSB except NAS count.
  • the first 16 bits of NAS MAC constitute UL_NAS_MAC
  • the last 16 bits of NAS MAC constitute XDL_NAS_MAC.
  • the terminal sends an RRC re-establishment request message to the target access network device.
  • the RRC re-establishment request message includes the truncated 5G-S-TMSI and the 5 least significant bits of the NAS count. The least significant bit of NAS count is used to calculate NAS MAC.
  • the target access network device recovers the complete 5G-S-TMSI based on the truncated 5G-S-TMSI in the RRC re-establishment request message and the locally configured truncation parameters (m and n).
  • the target access network device can determine the mobile management network element serving the terminal based on the complete 5G-S-TMSI.
  • the target access network device sends the 5G-S-TMSI, the target cell-ID, and the entire RRC re-establishment request message except for the truncated 5G-S-TMSI to the mobility management network element.
  • the mobility management network element uses the LSB of the NAS count associated with the NAS connection identifier "0x01" to estimate the complete uplink NAS count. After that, the mobility management network element uses the estimated uplink NAS count to calculate XNAS-MAC.
  • the mobility management network element compares whether the first 16 bits of UL_NAS_MAC and XNAS-MAC are the same. When the first 16 bits of UL_NAS_MAC and XNAS-MAC are the same, the mobility management network element determines that the real terminal has sent the RRC re-establishment request message.
  • connection establishment indication connection establishment indication
  • DL_NAS_MAC is the last 16 bits of XNAS-MAC.
  • the access network device sends an RRC Reestablisment (RRC Reestablisment) message to the terminal, where the RRC Reestablisment message includes DL_NAS_MAC.
  • RRC Reestablisment RRC Reestablisment
  • the terminal checks whether the received DL_NAS_MAC and XDL_NAS_MAC are the same. If DL_NAS_MAC is the same as XDL_NAS_MAC, the terminal completes the RRC connection re-establishment process.
  • each network element such as a terminal, an access network device, and a mobility management network element
  • each network element includes a hardware structure or software module corresponding to each function, or a combination of the two, in order to realize the above-mentioned functions.
  • the present application can be implemented in the form of hardware or a combination of hardware and computer software. Whether a certain function is executed by hardware or computer software-driven hardware depends on the specific application and design constraint conditions of the technical solution. Professionals and technicians can use different methods for each specific application to implement the described functions, but such implementation should not be considered beyond the scope of this application.
  • the embodiments of the present application can divide the access network equipment, mobility management network elements, and terminals into functional modules according to the foregoing method examples.
  • each functional module can be divided corresponding to each function, or two or more
  • the functions are integrated in a processing module.
  • the above-mentioned integrated modules can be implemented in the form of hardware or software function modules. It should be noted that the division of modules in the embodiments of the present application is illustrative, and is only a logical function division, and there may be other division methods in actual implementation. The following is an example of dividing each function module corresponding to each function as an example:
  • FIG. 13 is a schematic structural diagram of a terminal provided by an embodiment of the application.
  • the terminal includes: a communication module 201, a processing module 202, and a storage module 203.
  • the communication module 201 is used to support the terminal to perform step S102 in Fig. 8, steps S201 and S204 in Fig. 9, steps S301 and S305 in Fig. 10, step S403 in Fig. 11, steps S501 and S506 in Fig. 12, and /Or other communication operations that the terminal needs to perform in the embodiment of the present application.
  • the processing module 202 is used to support the terminal to perform step S103 in Fig. 8, steps S202 and S205 in Fig. 9, step S306 in Fig. 10, step S404 in Fig.
  • the storage module 203 is used to support the terminal to perform step S104 in FIG. 8, step S206 in FIG. 9, step S307 in FIG. 10, step S405 in FIG. 11, step S509 in FIG. 12, and/or the embodiment of the present application Other storage operations that the terminal needs to perform.
  • the processing module 202 in FIG. 13 may be implemented by the processor 101 in FIG. 7, and the communication module 201 in FIG. 13 may be implemented by the communication interface 104 in FIG. 7.
  • the storage module 203 in FIG. 13 may be implemented by the memory 103 in FIG. 7, which is not limited in the embodiment of the present application.
  • FIG. 14 is a schematic structural diagram of an access network device provided by an embodiment of this application.
  • the access network device includes a communication module 301, a processing module 302, and a storage module 303.
  • the communication module 301 is used to support the access network device to perform steps S301 and S303 in FIG. 10, steps S501, S503, S505, and S506 in FIG. 12, and/or other communications that the access network device needs to perform in the embodiment of the present application operating.
  • the processing module 302 is configured to support the access network device to perform step S302 in FIG. 10, step S502 in FIG. 12, and/or other processing operations that the access network device needs to perform in the embodiment of the present application.
  • the storage module 303 is configured to support the access network device to perform step S300 in FIG. 10, step S500 in FIG. 12, and/or other storage operations that the access network device needs to perform in the embodiment of the present application.
  • the processing module 302 in FIG. 14 may be implemented by the processor 101 in FIG. 7, and the communication module 301 in FIG. 14 may be implemented by the communication interface 104 in FIG. 7.
  • the storage module 303 in FIG. 14 may be implemented by the memory 103 in FIG. 7, which is not limited in the embodiment of the present application.
  • FIG. 15 is a schematic structural diagram of a mobility management network element provided by an embodiment of this application.
  • the mobility management network element includes a communication module 401, a processing module 402, and a storage module 403.
  • the communication module 401 is used to support the mobility management network element to perform step S102 in Fig. 8, steps S201 and S204 in Fig. 9, steps S303 and S305 in Fig. 10, step S403 in Fig. 11, and steps S503 and S503 in Fig. 12 S505, and/or other communication operations that need to be performed by the mobility management network element in the embodiment of the present application.
  • the processing module 402 is used to support the mobility management network element to perform step S101 in Fig. 8, steps S202 and S203 in Fig.
  • the storage module 403 is configured to support the mobility management network element to perform step S200 in FIG. 9 and/or other storage operations that the mobility management network element needs to perform in the embodiment of the present application.
  • the processing module 402 in FIG. 15 may be implemented by the processor 101 in FIG. 7, and the communication module 401 in FIG. 15 may be implemented by the communication interface 104 in FIG. 7.
  • the storage module 403 in FIG. 15 may be implemented by the memory 103 in FIG. 7, which is not limited in the embodiment of the present application.
  • the embodiment of the present application also provides a computer-readable storage medium in which computer instructions are stored; when the computer-readable storage medium runs on a computer, the computer is caused to execute the method described in the embodiment of the present application.
  • the embodiments of the present application also provide a computer program product containing computer instructions, which when running on a computer, enable the computer to execute the method for protecting truncated parameters provided in the embodiments of the present application.
  • An embodiment of the present application provides a chip that includes a processor, and when the processor executes an instruction, the chip can execute the method for protecting truncated parameters provided in the embodiment of the present application.
  • the computer instructions may be stored in a computer-readable storage medium, or transmitted from one computer-readable storage medium to another computer-readable storage medium.
  • the computer instructions may be transmitted from a website, a computer, or a server.
  • the data center transmits to another website site, computer, server or data center through wired (such as coaxial cable, optical fiber, digital subscriber line) or wireless (such as infrared, wireless, microwave, etc.).
  • the computer-readable storage medium may be any available medium that can be accessed by a computer, or may include one or more data storage devices such as servers and data centers that can be integrated with the medium.
  • the usable medium may be a magnetic medium (for example, a floppy disk, a hard disk, and a magnetic tape), an optical medium, or a semiconductor medium (for example, a solid state hard disk).
  • the devices and methods disclosed in the several embodiments provided in this application can be implemented in other ways.
  • the device embodiments described above are merely illustrative.
  • the division of the modules or units is only a logical function division. In actual implementation, there may be other division methods, for example, multiple units or components may be divided. It can be combined or integrated into another device, or some features can be omitted or not implemented.
  • the displayed or discussed mutual coupling or direct coupling or communication connection may be indirect coupling or communication connection through some interfaces, devices or units, and may be in electrical, mechanical or other forms.
  • the units described as separate parts may or may not be physically separate.
  • the parts displayed as units may be one physical unit or multiple physical units, that is, they may be located in one place, or they may be distributed to multiple different places. . Some or all of the units may be selected according to actual needs to achieve the objectives of the solutions of the embodiments.
  • the functional units in the various embodiments of the present application may be integrated into one processing unit, or each unit may exist alone physically, or two or more units may be integrated into one unit.
  • the above-mentioned integrated unit can be implemented in the form of hardware or software functional unit.
  • the integrated unit is implemented in the form of a software functional unit and sold or used as an independent product, it can be stored in a readable storage medium.
  • the technical solutions of the embodiments of the present application are essentially or the part that contributes to the prior art, or all or part of the technical solutions can be embodied in the form of a software product, and the software product is stored in a storage medium. It includes several instructions to make a device (may be a single-chip microcomputer, a chip, etc.) or a processor (processor) execute all or part of the steps of the methods described in the various embodiments of the present application.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

一种截短参数的保护方法及装置，涉及通信技术领域，用于保证截短参数在传输过程中的安全性。方法包括以下步骤：移动管理网元判断接入网络的终端是否符合预设条件，预设条件包括终端使用控制面CIoT 5GS优化功能(S101)；在终端符合预设条件的情况下，移动管理网元向终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，下行NAS消息包括截短参数(S102)。适用于截短参数的传输过程中。

Description

截短参数的保护方法及装置 技术领域
本申请涉及通信技术领域，尤其涉及一种截短参数的保护方法及装置。
背景技术
当前，在一些流程(例如重建立流程)中，终端向接入网设备发送携带第五代系统架构演进临时移动台标识符(5th generation-system architecture evolution-temporary mobile subscriber identity，5G-S-TMSI)的无线资源控制(radio resource control，RRC)消息，以使得接入网设备能够根据5G-S-TMSI寻址到特定的接入与移动性管理功能(access and mobility management function，AMF)。
但是，RRC消息长度有限制，因此RRC消息可能无法携带完整的5G-S-TMSI。这种情况下，终端需要根据截短参数对5G-S-TMSI进行截短，再将截短的5G-S-TMSI通过RRC消息上报给接入网设备。接入网设备接收到截短后的参数(如截短的5G-S-TMSI)之后，将截短后的参数恢复成完整的参数(如完整的5G-S-TMSI)。
对于其他类似的场景，终端可能也需要对一些其他特定的参数进行截短，并执行上述类似的操作。
终端所使用的截短参数一般为网络侧所配置的。使用控制面蜂窝物联网(cellular internet of things，CIoT)第五代系统(5th generation system，5GS)优化功能的终端与接入网设备之间不会建立接入层(access stratum，AS)安全上下文，因此接入网设备不能对截短参数进行AS安全保护，导致接入网设备只能向终端发送无AS安全保护的截短参数。这种情况下，截短参数存在被攻击者篡改的风险。在截短参数被篡改的情况下，终端不能获取到正确的截短参数，导致终端不能正常接入网络。
发明内容
本申请提供一种截短参数的保护方法及装置，用于降低截短参数在传输过程中的安全风险。
第一方面，提供一种截短参数的保护方法，包括：移动管理网元判断终端是否符合预设条件，预设条件包括终端使用控制面CIoT 5GS优化功能；在终端符合预设条件的情况下，移动管理网元向终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，下行NAS消息包括截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理。
基于本申请的技术方案，在终端符合预设条件的情况下，该终端是使用控制面CIoT 5GS优化功能的终端，因此移动管理网元向终端经过NAS安全上下文进行NAS安全保护的下行NAS消息，以使得终端获取到经过NAS安全保护的截短参数。这样一来，保证终端接收到的截短参数不被篡改和伪造，从而防止终端被攻击者发起拒绝服务攻击，进而保证终端能够正常接入到网络中。
一种可能的设计中，截短参数是移动管理网元预先存储的。这样一来，移动管理网元无需向其他设备(例如接入网设备)获取截短参数，从而达到简化流程的目的。
一种可能的设计中，该方法还包括：移动管理网元接收接入网设备发送的截短参 数。可以理解的是，移动管理网元从接入网设备获取到截短参数，因此移动管理网元无需预先配置截短参数，从而降低截短参数的配置复杂度。
一种可能的设计中，所述移动管理网元判断终端是否符合预设条件，包括：所述移动管理网元判断所述终端是否使用控制面CIoT 5GS优化功能；若所述终端使用控制面CIoT 5GS优化功能，则所述移动管理网元确定所述终端符合预设条件；若所述终端没有使用控制面CIoT 5GS优化功能，则所述移动管理网元确定所述终端不符合预设条件。
一种可能的设计中，所述预设条件还包括：所述终端是初始注册到网络的终端。所述移动管理网元判断终端是否符合预设条件，包括：所述移动管理网元判断所述终端是否使用控制面CIoT 5GS优化功能，以及所述终端是否是初始注册到网络的终端；若所述终端使用控制面CIoT 5GS优化功能且所述终端是初始注册到网络中的终端，则所述移动管理网元确定所述终端符合预设条件；若所述终端没有使用控制面CIoT 5GS优化功能或者所述终端不是初始注册到网络中的终端，则所述移动管理网元确定所述终端不符合预设条件。
一种可能的设计中，移动管理网元判断终端是否是初始注册到网络的终端，包括：移动管理网元根据终端上报的注册类型，确定终端是初始注册到网络的终端。
一种可能的设计中，所述预设条件还包括：所述终端需要更新截短参数。所述移动管理网元判断终端是否符合预设条件，包括：所述移动管理网元判断所述终端是否使用控制面CIoT 5GS优化功能，以及所述终端是否需要更新截短参数；若所述终端使用控制面CIoT 5GS优化功能且所述终端是需要更新截短参数的终端，则所述移动管理网元确定所述终端符合预设条件；若所述终端没有使用控制面CIoT 5GS优化功能或者所述终端不是需要更新截短参数的终端，则所述移动管理网元确定所述终端不符合预设条件。
一种可能的设计中，移动管理网元判断终端是否需要更新截短参数，包括：当移动管理网元配置的截短参数与终端的上下文中存储的截短参数不相同时，移动管理网元确定终端需要更新截短参数。
一种可能的设计中，移动管理网元判断终端是否需要更新截短参数，包括：在所述移动管理网元更新截短参数之后，移动管理网元确定所述终端需要更新截短参数。一种可能的设计中，移动管理网元判断终端是否使用控制面CIoT 5GS优化功能，包括：若终端上报的偏好的网络行为用于指示终端偏好使用控制面CIoT 5GS优化功能，并且移动管理网元支持控制面CIoT 5GS优化功能，则移动管理网元确定终端使用控制面CIoT 5GS优化功能。
一种可能的设计中，移动管理网元判断终端是否使用控制面CIoT 5GS优化功能，包括：若终端的上下文用于指示终端使用控制面CIoT 5GS优化功能，则移动管理网元确定终端使用控制面CIoT 5GS优化功能。
一种可能的设计中，移动管理网元判断终端是否符合预设条件，包括：在移动管理网元接收到终端的注册请求消息或者服务请求消息之后，移动管理网元判断终端是否符合预设条件。
一种可能的设计中，下行NAS消息为服务接受消息或者注册接受消息。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
一种可能的设计中，该方法还包括：所述移动管理网元根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数；或者，所述移动管理网元根据网络管理系统的指令，更新截短参数；或者，所述移动管理网元接收接入网设备发送的更新后的截短参数。
第二方面，提供一种截短参数的保护方法，包括：终端接收移动管理网元发送的经过NAS安全上下文进行NAS安全保护的下行NAS消息，下行NAS消息包括截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理；终端对下行NAS消息解安全保护；在成功对下行NAS消息解安全保护之后，终端存储截短参数。
基于本申请的技术方案，由于截短参数是承载于经过NAS安全保护的下行NAS消息中，因此截短参数也经过NAS安全保护，从而保证截短参数不被篡改和伪造，从而防止终端被攻击者发起拒绝服务攻击，进而保证终端能够正常接入到网络中。
一种可能的设计中，终端存储截短参数，包括：终端的NAS层存储截短参数。
一种可能的设计中，该方法还包括：终端的NAS层向终端的RRC层发送截短参数；终端的RRC层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
一种可能的设计中，该方法还包括：终端的NAS层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；终端的NAS层向终端的RRC层发送截短的5G-S-TMSI。
一种可能的设计中，终端存储截短参数，包括：终端的NAS层向终端的RRC层发送截短参数；终端的RRC层存储截短参数。
一种可能的设计中，该方法还包括：终端的RRC层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
一种可能的设计中，该方法还包括：所述终端的RRC层向所述终端的NAS层发送所述截短参数；所述终端的NAS层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；所述终端的NAS层向所述终端的RRC层发送所述截短的5G-S-TMSI。
一种可能的设计中，该方法还包括：所述终端向所述接入网设备发送RRC重建立请求消息，所述RRC重建立请求消息包括所述截短的5G-S-TMSI。
一种可能的设计中，下行NAS消息为服务接受消息或者注册接受消息。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第三方面，提供一种截短参数的保护方法，包括：接入网设备判断终端是否支持CIoT 5GS优化特性；在终端支持CIoT 5GS优化特性的情况下，接入网设备向移动管理网元发送截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理。
基于本申请的技术方案，在终端支持CIoT 5GS优化特性的情况下，接入网设备向移动管理网元发送截短参数，以便于移动管理网元对该截短参数进行NAS安全保护。这样一来，避免接入网设备直接向终端发送未经过安全保护的截短参数，降低截短参数在传输过程中的安全风险。
一种可能的设计中，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：若终端的能力指示信息用于指示终端支持CIoT 5GS优化特性，则接入网设备确定终端支持CIoT 5GS优化特性。
一种可能的设计中，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：若终端使用的频点与CIoT设备使用的频点相同，则接入网设备确定终端支持CIoT 5GS优化特性。
一种可能的设计中，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：若终端发送的消息的类型与CIoT设备发送的消息的类型相同，则接入网设备确定终端支持CIoT 5GS优化特性。
一种可能的设计中，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：在接入网设备接收到终端发送的上行RRC消息之后，接入网设备判断终端是否支持CIoT 5GS优化特性。
一种可能的设计中，上行RRC消息为RRC建立请求消息或者RRC建立完成消息。
一种可能的设计中，接入网设备向移动管理网元发送截短参数，包括：接入网设备向移动管理网元发送初始UE消息，初始UE消息包括截短参数。
一种可能的设计中，截短参数是预先存储在接入网设备中的。
一种可能的设计中，该方法还包括：所述接入网设备接收所述终端发送的RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第四方面，提供一种截短参数的保护方法，包括：移动管理网元更新截短参数，截短参数用于对5G-S-TMSI进行截短处理；移动管理网元查找使用控制面CIoT 5GS优化功能的终端；移动管理网元向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，下行NAS消息包括更新后的截短参数。
基于本申请的技术方案，在移动管理网元更新截短参数的场景下，移动管理网元向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息。由于更新后的截短参数承载在该下行NAS消息中，因此更新后的截短参数不会在空口传输过程中被攻击者篡改或者伪造。这样一来，使用控制面CIoT  5GS优化功能的终端能够及时获取到正确的更新后的截短参数，保证，使用控制面CIoT 5GS优化功能的终端能够正常接入网络。
一种可能的设计中，移动管理网元更新截短参数，包括：移动管理网元根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数；或者，移动管理网元根据网络管理系统的指令，更新截短参数；或者，移动管理网元接收接入网设备发送的更新后的截短参数。
一种可能的设计中，移动管理网元向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，包括：在使用控制面CIoT 5GS优化功能的终端处于连接态的情况下，移动管理网元向使用控制面CIoT 5GS优化功能的终端发送下行NAS消息。
一种可能的设计中，移动管理网元向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，包括：在使用控制面CIoT 5GS优化功能的终端处于非连接态的情况下，移动管理网元等待使用控制面CIoT 5GS优化功能的终端进入连接态；在使用控制面CIoT 5GS优化功能的终端进入连接态，并且移动管理网元与使用控制面CIoT 5GS优化功能的终端之间的激活NAS安全之后，移动管理网元向使用控制面CIoT 5GS优化功能的终端发送下行NAS消息。
一种可能的设计中，移动管理网元向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，包括：在使用控制面CIoT 5GS优化功能的终端处于非连接态的情况下，移动管理网元以寻呼的方式触发使用控制面CIoT 5GS优化功能的终端进入连接态；在使用控制面CIoT 5GS优化功能的终端进入连接态，并且移动管理网元与使用控制面CIoT 5GS优化功能的终端之间的激活NAS安全之后，移动管理网元向使用控制面CIoT 5GS优化功能的终端发送下行NAS消息。
一种可能的设计中，下行NAS消息为UE配置更新命令消息，或者服务接受消息。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第五方面，提供一种截短参数的保护方法，包括：移动管理网元接收接入网设备发送的截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理；移动管理网元根据终端的NAS安全上下文，对终端的5G-S-TMSI进行完整性计算，生成第一NAS MAC；移动管理网元向接入网设备发送第一NAS MAC。
基于本申请的技术方案，移动管理网元对截短参数进行完整性计算，得到第一NAS MAC，并将该第一NAS MAC发送给接入网设备。这样一来，接入网设备可以向终端该第一NAS MAC和截短参数，以保证截短参数在传输过程中不被攻击者篡改或者伪造，从而降低截短参数在传输过程中的安全风险。
一种可能的设计中，该方法还包括：移动管理网元接收接入网设备发送的保护指示信息和/或新鲜性参数，保护指示信息用于指示移动管理网元对截短参数进行安全保 护，新鲜性参数用于对截短参数的完整性计算。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第六方面，提供一种截短参数的保护方法，包括：接入网设备向移动管理网元发送截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理；接入网设备接收移动管理网元发送的第一NAS MAC，第一NAS MAC是对截短参数进行完整性计算得到的；接入网设备向终端发送第一NAS MAC和截短参数。
基于本申请的技术方案，接入网设备可以向终端该第一NAS MAC和截短参数，以保证截短参数在传输过程中不被攻击者篡改或者伪造，从而降低截短参数在传输过程中的安全风险。
一种可能的设计中，该方法还包括：接入网设备判断终端是否支持CIoT 5GS优化特性。接入网设备向移动管理网元发送截短参数，包括：在终端支持CIoT 5GS优化特性的情况下，接入网设备向移动管理网元发送截短参数。
一种可能的设计中，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：若终端的能力指示信息用于指示终端支持CIoT 5GS优化特性，则接入网设备确定终端支持CIoT 5GS优化特性。
一种可能的设计中，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：若终端使用的频点与CIot设备使用的频点相同，则接入网设备确定终端支持CIoT 5GS优化特性。
一种可能的设计中，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：若终端发送的消息的类型与CIoT设备发送的消息的类型相同，则接入网设备确定终端支持CIoT 5GS优化特性。
一种可能的设计中，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：在接入网设备接收到终端发送的上行RRC消息之后，接入网设备判断终端是否支持CIoT 5GS优化特性。
一种可能的设计中，上行RRC消息为RRC建立请求消息或者RRC建立完成消息。
一种可能的设计中，该方法还包括：接入网设备向移动管理网元发送保护指示信息和/或新鲜性参数，保护指示信息用于指示移动管理网元对截短参数进行安全保护，新鲜性参数用于对截短参数的完整性计算。
一种可能的设计中，该方法还包括：所述接入网设备接收所述终端发送的RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第七方面，提供一种截短参数的保护方法，包括：终端接收接入网设备发送的第一NAS MAC和截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理；终端根据NAS安全上下文，对截短参数进行完整性计算，生成第二NAS MAC；终端根据第二NAS MAC，校验第一NAS MAC；在第一NAS MAC通过校验的情况下，终端存储截短参数。
基于本申请的技术方案，由于终端接收到第一NAS MAC和截短参数，因此终端可以通过校验第一NAS MAC，以验证截短参数的完整性。在确定截短参数未被篡改或者伪造的情况下，终端存储该截短参数，以便于后续过程中根据该截短参数来截短5G-S-TMSI。
一种可能的设计中，终端存储截短参数，包括：终端的RRC层存储截短参数。
一种可能的设计中，该方法还包括：终端的RRC层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
一种可能的设计中，该方法还包括：终端的RRC层向终端的NAS层发送截短参数；终端的NAS层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；终端的NAS层向终端的RRC层发送截短的5G-S-TMSI。
一种可能的设计中，终端存储截短参数，包括：终端的RRC层向终端的NAS层发送截短参数；终端的NAS层存储截短参数。
一种可能的设计中，该方法还包括：终端的NAS层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；终端的NAS层向终端的RRC层发送截短的5G-S-TMSI。
一种可能的设计中，该方法还包括：终端的NAS层向终端的RRC层发送截短参数；终端的RRC层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
一种可能的设计中，该方法还包括：所述终端向所述接入网设备发送RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第八方面，提供一种通信装置，包括：处理模块，用于判断终端是否符合预设条件，预设条件包括终端使用控制面CIoT 5GS优化功能；通信模块，用于在终端符合预设条件的情况下，向终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，下行NAS消息包括截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理。
一种可能的设计中，通信装置还包括存储模块；存储模块，用于存储截短参数。
一种可能的设计中，通信模块，还用于接收接入网设备发送的截短参数。
一种可能的设计中，所述处理模块，用于判断终端是否符合预设条件，包括：判断所述终端是否使用控制面CIoT 5GS优化功能；若所述终端使用控制面CIoT 5GS优 化功能，则确定所述终端符合预设条件；若所述终端没有使用控制面CIoT 5GS优化功能，则确定所述终端不符合预设条件。
一种可能的设计中，所述预设条件还包括：所述终端是初始注册到网络的终端。所述处理模块，用于判断终端是否符合预设条件，包括：判断所述终端是否使用控制面CIoT 5GS优化功能，以及所述终端是否是初始注册到网络的终端；若所述终端使用控制面CIoT 5GS优化功能且所述终端是初始注册到网络中的终端，则确定所述终端符合预设条件；若所述终端没有使用控制面CIoT 5GS优化功能或者所述终端不是初始注册到网络中的终端，则确定所述终端不符合预设条件。
一种可能的设计中，处理模块，具体用于根据终端上报的注册类型，确定终端是初始注册到网络的终端。
一种可能的设计中，所述预设条件还包括：所述终端需要更新截短参数。所述处理模块，用于判断终端是否符合预设条件，包括：判断所述终端是否使用控制面CIoT 5GS优化功能，以及所述终端是否需要更新截短参数；若所述终端使用控制面CIoT 5GS优化功能且所述终端是需要更新截短参数的终端，则确定所述终端符合预设条件；若所述终端没有使用控制面CIoT 5GS优化功能或者所述终端不是需要更新截短参数的终端，则确定所述终端不符合预设条件。
一种可能的设计中，处理模块，具体用于当移动管理网元配置的截短参数与终端的上下文中存储的截短参数不相同时，确定终端需要更新截短参数。
一种可能的设计中，处理模块，具体用于在移动管理网元更新截短参数之后，确定所述终端需要更新截短参数。
一种可能的设计中，处理模块，还用于根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数；或者，根据网络管理系统的指令，更新截短参数；或者，接收接入网设备发送的更新后的截短参数。
一种可能的设计中，处理模块，具体用于若终端上报的偏好的网络行为用于指示终端偏好使用控制面CIoT 5GS优化功能，并且移动管理网元支持控制面CIoT 5GS优化功能，则确定终端使用控制面CIoT 5GS优化功能。
一种可能的设计中，处理模块，具体用于若终端的上下文用于指示终端使用控制面CIoT 5GS优化功能，则确定终端使用控制面CIoT 5GS优化功能。
一种可能的设计中，处理模块，具体用于在通信模块接收到终端的注册请求消息或者服务请求消息之后，判断终端是否符合预设条件。
一种可能的设计中，下行NAS消息为服务接受消息或者注册接受消息。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
一种可能的设计中，所述处理模块，用于根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数。
一种可能的设计中，所述处理模块，用于根据网络管理系统的指令，更新截短参 数。
一种可能的设计中，所述通信模块，用于接收接入网设备发送的更新后的截短参数。
第九方面，提供一种通信装置，包括：通信模块，用于接收移动管理网元发送的经过NAS安全上下文进行NAS安全保护的下行NAS消息，下行NAS消息包括截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理；处理模块，用于对下行NAS消息解安全保护；存储模块，用于在处理模块成功对下行NAS消息解安全保护之后，存储截短参数。
一种可能的设计中，存储模块，用于存储截短参数，包括：NAS层存储截短参数。
一种可能的设计中，处理模块，还用于获取截短的5G-S-TMSI，包括：NAS层向RRC层发送截短参数；RRC层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
一种可能的设计中，处理模块，还用于获取截短的5G-S-TMSI，包括：NAS层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；NAS层向RRC层发送截短的5G-S-TMSI。
一种可能的设计中，存储模块，用于存储截短参数，包括：NAS层向RRC层发送截短参数；RRC层存储截短参数。
一种可能的设计中，处理模块，还用于获取截短的5G-S-TMSI，包括：RRC层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
一种可能的设计中，所述处理模块，还用于获取截短的5G-S-TMSI，包括：RRC层向NAS层发送所述截短参数；所述NAS层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；所述NAS层向所述RRC层发送所述截短的5G-S-TMSI。
一种可能的设计中，下行NAS消息为服务接受消息或者注册接受消息。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
一种可能的设计中，所述通信模块，还用于向所述接入网设备发送RRC重建立请求消息，所述RRC重建立请求消息包括所述截短的5G-S-TMSI。
第十方面，提供一种通信装置，包括：处理模块，用于判断终端是否支持CIoT 5GS优化特性；通信模块，用于在终端支持CIoT 5GS优化特性的情况下，向移动管理网元发送截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理。
一种可能的设计中，处理模块，具体用于若终端的能力指示信息用于指示终端支持CIoT 5GS优化特性，则确定终端支持CIoT 5GS优化特性。
一种可能的设计中，处理模块，具体用于若终端使用的频点与CIoT设备使用的频点相同，则确定终端支持CIoT 5GS优化特性。
一种可能的设计中，处理模块，具体用于若终端发送的消息的类型与CIoT设备发 送的消息的类型相同，则确定终端支持CIoT 5GS优化特性。
一种可能的设计中，处理模块，具体用于在通信模块接收到终端发送的上行RRC消息之后，判断终端是否支持CIoT 5GS优化特性。
一种可能的设计中，上行RRC消息为RRC建立请求消息或者RRC建立完成消息。
一种可能的设计中，通信模块，具体用于向移动管理网元发送初始UE消息，初始UE消息包括截短参数。
一种可能的设计中，通信装置还包括存储模块；存储模块，用于存储截短参数。
一种可能的设计中，所述通信模块，用于接收所述终端发送的RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第十一方面，提供一种通信装置，包括：处理模块，用于更新截短参数，截短参数用于对5G-S-TMSI进行截短处理；查找使用控制面CIoT 5GS优化功能的终端；通信模块，用于向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，下行NAS消息包括更新后的截短参数。
一种可能的设计中，处理模块，用于根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数；或者，根据网络管理系统的指令，更新截短参数；或者，接收接入网设备发送的更新后的截短参数。
一种可能的设计中，通信模块，具体用于在使用控制面CIoT 5GS优化功能的终端处于连接态的情况下，向使用控制面CIoT 5GS优化功能的终端发送下行NAS消息。
一种可能的设计中，通信模块，具体用于在使用控制面CIoT 5GS优化功能的终端处于非连接态的情况下，等待使用控制面CIoT 5GS优化功能的终端进入连接态；在使用控制面CIoT 5GS优化功能的终端进入连接态，并且移动管理网元与使用控制面CIoT 5GS优化功能的终端之间的激活NAS安全之后，向使用控制面CIoT 5GS优化功能的终端发送下行NAS消息。
一种可能的设计中，通信模块，具体用于在使用控制面CIoT 5GS优化功能的终端处于非连接态的情况下，以寻呼的方式触发使用控制面CIoT 5GS优化功能的终端进入连接态；在使用控制面CIoT 5GS优化功能的终端进入连接态，并且移动管理网元与使用控制面CIoT 5GS优化功能的终端之间的激活NAS安全之后，向使用控制面CIoT 5GS优化功能的终端发送下行NAS消息。
一种可能的设计中，下行NAS消息为UE配置更新命令消息，或者服务接受消息。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第十二方面，提供一种通信装置，包括：通信模块，用于接收接入网设备发送的截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理；处理模块，用于根据终端的NAS安全上下文，对终端的5G-S-TMSI进行完整性计算，生成第一NAS MAC；通信模块，还用于向接入网设备发送第一NAS MAC。
一种可能的设计中，通信模块，还用于接收接入网设备发送的保护指示信息和/或新鲜性参数，保护指示信息用于指示移动管理网元对截短参数进行安全保护，新鲜性参数用于对截短参数的完整性计算。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第十三方面，提供一种通信装置，包括：通信模块，用于向移动管理网元发送截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理；接收移动管理网元发送的第一NAS MAC，第一NAS MAC是对截短参数进行完整性计算得到的；向终端发送第一NAS MAC和截短参数。
一种可能的设计中，通信装置还包括处理模块；处理模块，用于判断终端是否支持CIoT 5GS优化特性；通信模块，具体用于在终端支持CIoT 5GS优化特性的情况下，接入网设备向移动管理网元发送截短参数。
一种可能的设计中，处理模块，具体用于若终端的能力指示信息用于指示终端支持CIoT 5GS优化特性，则确定终端支持CIoT 5GS优化特性。
一种可能的设计中，处理模块，具体用于若终端使用的频点与CIot设备使用的频点相同，则确定终端支持CIoT 5GS优化特性。
一种可能的设计中，处理模块，具体用于若终端发送的消息的类型与CIoT设备发送的消息的类型相同，则确定终端支持CIoT 5GS优化特性。
一种可能的设计中，通信模块，还用于接收终端发送的上行RRC消息；处理模块，具体用于在通信模块接收到终端发送的上行RRC消息之后，判断终端是否支持CIoT5GS优化特性。
一种可能的设计中，上行RRC消息为RRC建立请求消息或者RRC建立完成消息。
一种可能的设计中，通信模块，还用于向移动管理网元发送保护指示信息和/或新鲜性参数，保护指示信息用于指示移动管理网元对截短参数进行安全保护，新鲜性参数用于对截短参数的完整性计算。
一种可能的设计中，所述通信模块，还用于接收所述终端发送的RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第十四方面，提供一种通信装置，包括：通信模块，用于接收接入网设备发送的第一NAS MAC和截短参数，截短参数用于对终端的5G-S-TMSI进行截短处理；处理模块，用于根据NAS安全上下文，对截短参数进行完整性计算，生成第二NAS MAC；根据第二NAS MAC，校验第一NAS MAC；存储模块，用于在第一NAS MAC通过校验的情况下，存储截短参数。
一种可能的设计中，存储模块，用于存储截短参数，包括：RRC层存储截短参数。
一种可能的设计中，处理模块，还用于获得截短的5G-S-TMSI，包括：RRC层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
一种可能的设计中，处理模块，还用于获得截短的5G-S-TMSI，包括：RRC层向NAS层发送截短参数；NAS层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；NAS层向RRC层发送截短的5G-S-TMSI。
一种可能的设计中，存储模块，用于存储截短参数，包括：RRC层向NAS层发送截短参数；NAS层存储截短参数。
一种可能的设计中，处理模块，还用于获得截短的5G-S-TMSI，包括：NAS层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；NAS层向RRC层发送截短的5G-S-TMSI。
一种可能的设计中，处理模块，还用于获得截短的5G-S-TMSI，包括：NAS层向RRC层发送截短参数；RRC层根据截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
一种可能的设计中，所述通信模块，还用于向所述接入网设备发送RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
一种可能的设计中，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI。所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
第十五方面，提供一种通信装置，包括处理器和通信接口，处理器用于执行计算机程序指令，使得通信装置实现第一方面至第七方面中任一方面所提供的任一种设计所涉及的截短参数的保护方法。
第十六方面，提供一种计算机可读存储介质，计算机可读存储介质存储有指令，当指令在计算机上运行时，使得计算机实现第一方面至第七方面中任一方面所提供的任一种设计所涉及的截短参数的保护方法。
第十七方面，提供一种计算机程序产品，该计算机程序产品包括指令，当计算机程序产品在计算机上运行时，使得计算机实现第一方面至第七方面中任一方面所提供的任一种设计所涉及的截短参数的保护方法。
第十八方面，提供一种芯片，该芯片包括处理器，当处理器执行计算机程序指令时，使得芯片实现第一方面至第七方面中任一种设计所涉及的截短参数的保护方法。
第十九方面，提供一种通信系统，该通信系统包括：移动管理网元和接入网设备，所述移动管理网元用于执行第一方面中任一种设计所涉及的截短参数的保护方法，所 述接入网设备用于执行第三方面中任一种设计所涉及的截短参数的保护方法。
第二十方面，提供一种通信系统，该通信系统包括移动管理网元和接入网设备，所述移动管理网元用于执行第五方面中任一种设计所涉及的截短参数的保护方法，所述接入网设备用于执行第六方面中任一种设计所涉及的截短参数的保护方法。
附图说明
图1为加密/解密的过程示意图；
图2为发送发给计算MAC的示意图；
图3为接收方计算MAC的示意图；
图4为现有技术中截短参数的配置流程的示意图；
图5为本申请实施例提供的一种5G网络的结构示意图；
图6为本申请实施例提供的一种协议栈的示意图；
图7为本申请实施例提供的一种装置的结构示意图；
图8为本申请实施例提供的一种截短参数的保护方法的流程图；
图9为本申请实施例提供的另一种截短参数的保护方法的流程图；
图10为本申请实施例提供的另一种截短参数的保护方法的流程图；
图11为本申请实施例提供的另一种截短参数的保护方法的流程图；
图12为本申请实施例提供的另一种截短参数的保护方法的流程图；
图13为本申请实施例提供的一种终端的结构示意图；
图14为本申请实施例提供的一种接入网设备的结构示意图；
图15为本申请实施例提供的一种移动管理网元的结构示意图。
具体实施方式
在本申请的描述中，除非另有说明，“/”表示“或”的意思，例如，A/B可以表示A或B。本文中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。此外，“至少一个”是指一个或多个，“多个”是指两个或两个以上。“第一”、“第二”等字样并不对数量和执行次序进行限定，并且“第一”、“第二”等字样也并不限定一定不同。
需要说明的是，本申请中，“示例性的”或者“例如”等词用于表示作例子、例证或说明。本申请中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其他实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。
在本申请的描述中，“指示”可以包括直接指示和间接指示，也可以包括显式指示和隐式指示。将某一信息(如下文所述的第一指示信息)所指示的信息称为待指示信息，则具体实现过程中，对所述待指示信息进行指示的方式有很多种。例如，可以直接指示所述待指示信息，其中所述待指示信息本身或者所述待指示信息的索引等。又例如，也可以通过指示其他信息来间接指示所述待指示信息，其中该其他信息与所述待指示信息之间存在关联关系。又例如，还可以仅仅指示所述待指示信息的一部分，而所述待指示信息的其他部分则是已知的或者提前约定的。另外，还可以借助预先约定(例如协议规定)的各个信息的排列顺序来实现对特定信息的指示，从而在一定程 度上降低指示开销。
为了便于理解本申请的技术方案，下面先对本申请所涉及的术语进行简单介绍。
1、加密/解密
加密/解密：保护数据在传输过程中的机密性(因此又可以被称作机密性保护)，机密性是指无法被直接看出真实内容。加密保护一般可以使用密钥和加密算法对数据进行加密来实现。加密保护的具体方法可以参考3GPP TS 33.401 f50中8.2节或33.501 f50中6.4.4节标准相关描述，这里不再赘述。
示例性的，如图1所示，发送端的加密过程可以为：发送端可以将计数值(count)、长度(length)、承载(bearer)、以及方向(direction)等参数输入NEA中，确定密钥流(keystream)；之后，发送端根据密钥流和明文(plaintext)，确定密文(ciphertext)。
示例性的，如图1所示，接收端的解密过程可以为：接收端可以将count、length、bearer、以及direction等参数输入NEA中，确定密钥流；之后，接收端根据密钥流和密文，确定明文。
2、完整性保护/校验
完整性保护/校验：完整性保护/校验用于判断消息在传递过程中，其内容是否被更改，也可以用于作为身份验证，以确认消息的来源。完整性校验和保护需要使用消息认证码(message authentication code，MAC)。完整性校验和保护的具体方法可以参考第三代合作伙伴计划(3rd generation partnership project，3GPP)TS 33.401 f50中8.1节或33.501 f50中6.4.3节标准相关描述，这里不再赘述。
MAC可以用于检查消息在传递过程中，其内容是否被更改；以及，MAC可以用于作为身份验证，以确认消息的来源。
如图2所示，发送端将密钥(key)、计数值(count)、长度(length)、承载(bearer)、消息(message)、方向(direction)等参数输入演进分组系统完整性算法(evolved packet system integrity algorithm，EIA)，可以得到完整性的消息认证码(message authentication code integrity，MAC-I)或者NAS-MAC。
如图3所示，接收端将完整性保护密钥、count、length、bearer、message、direction等参数输入EIA，可以得到期望的完整性的消息认证码(excepted message authentication code integrity，XMAC-I)或者期望的非接入层消息认证码(excepted non-access stratum message authentication code，XNAS-MAC)。
对于接收端来说，接收端可以将接收到的MAC-I与自身生成的XMAC-I进行比对，以验证消息是否完整。若MAC-I与XMAC-I相同，则接收端确定接收到的MAC-I通过验证，从而接收端能够确定发送端所发送的消息是完整的；若MAC-I与XMAC-I不相同，则接收端能够确定接收到的MAC-I未通过验证，从而接收端能够确定发送端所发送的消息是不完整的。
3、安全上下文
安全上下文是指可以用于实现数据的安全保护(例如，加密/解密，和/或完整性保护/校验)的信息。
安全上下文可以包括以下一项或者多项：根密钥、加密密钥、完整性保护密钥、特定参数(比如NAS Count)、密钥集标识(key set identifier，KSI)、安全算法、安 全指示(例如，是否开启加密的指示，是否开启完整性保护的指示、密钥使用期限的指示，密钥长度)等。
其中，加密密钥为发送端根据加密算法对明文进行加密以生成密文时输入的参数。若使用对称加密的方法，加密密钥和解密密钥是相同的。接收端可以根据相同的加密算法和加密密钥对密文进行解密。换句话说，发送端和接收端可以基于同一个密钥去加密和解密。
完整性保护密钥为发送端根据完整性保护算法对明文或密文进行完整性保护时输入的参数。接收端可以根据相同的完整性保护算法和完整性保护密钥对进行了完整性保护的数据进行完整性验证。
特定参数(比如NAS Count)为发送端根据防重放保护算法对明文或密文进行防重放保护时输入的参数。接收端可以根据相同的防重放保护算法对进行了防重放保护的数据进行防重放验证。
安全算法即对数据进行安全保护时使用的算法。例如，加密算法、解密算法、完整性保护算法等。
在本申请实施例中，安全上下文可以分为NAS安全上下文和AS安全上下文。可以理解的是，NAS安全上下文用于保护终端与核心网之间传输的信息。AS安全上下文用于保护终端与基站之间传输的信息。
4、激活NAS安全
激活NAS安全包含激活NAS完整性保护和激活NAS加密保护。
激活NAS完整性保护：一旦激活NAS完整性保护，代表后续上行/下行NAS消息的完整性保护都需要根据当前的安全上下文的NAS完整性密钥和NAS完整性保护算法采取一致的处理。所有没有NAS完整性保护的消息都不被接受，需要被丢弃，但部分特殊的NAS消息可以除外，如附着请求、位置区更新请求、服务请求、控制面服务请求、认证请求、身份请求等。例如，用户设备激活NAS完整性保护后，每次发送上行NAS消息，都会对上行NAS消息根据当前的安全上下文的NAS完整性密钥和NAS完整性保护算法进行完整性保护；每次接收下行NAS消息，都会对下行NAS消息根据当前的安全上下文的NAS完整性密钥和NAS完整性保护算法进行完整性校验。移动管理网元激活NAS完整性保护后，每次收到上行NAS消息，都会对上行NAS消息根据当前的安全上下文的NAS完整性密钥和NAS完整性保护算法进行完整性校验，每次发送下行NAS消息，都会对下行NAS消息根据当前的安全上下文的NAS完整性密钥和NAS完整性保护算法进行完整性保护。
激活NAS加密保护：一旦激活NAS加密保护，代表后续对于上行/下行NAS消息的加密保护都需要根据当前的安全上下文的NAS加密密钥和NAS加密算法采取一致的处理。所有没有NAS加密保护的消息都不被接受，需要被丢弃。例如，用户设备激活NAS完整性保护后，每次发送上行NAS消息，都会对上行NAS消息根据当前的安全上下文的NAS加密密钥和NAS加密算法进行加密保护，每次接受下行NAS消息，都会对下行NAS消息根据当前的安全上下文的NAS加密密钥和NAS加密算法进行解密。移动管理网元激活NAS完整性保护后，每次收到上行NAS消息，都会对上行NAS消息根据当前的安全上下文的NAS加密密钥和NAS加密算法进行解密，每次发送下 行NAS消息，都会对下行NAS消息根据当前的安全上下文的NAS加密密钥和NAS加密算法进行加密保护。
5、5G-S-TMSI
第五代全局唯一的临时标识(5th generation-globally unique temporary identity，5G-GUTI)是AMF分配给终端的。
5G-GUTI的结构为：5G-GUTI＝<MCC>+<MNC>+<AMF Region ID>+<AMF set ID>+<AMF Pointer>+<5G-TMSI>。
其中，移动国家码(mobile country code，MCC)为3位十进制数字，用于标识一个国家。
移动网络码(mobile network Code)为2或3位十进制数字，用于标识国家内运营商网络的代码。
AMF region ID占用8个比特，用于标识一组AMF集合(set)。
AMF set ID占用10个比特，用于标识一组AMF，这一组AMF支持相同的网络切片。
AMF指针(pointer)占用6个比特，用于标识一个AMF。
第五代临时移动台标识(5th generation-temporary mobile subscriber identity，5G-TMSI)占用32个比特，用于标识一个AMF。
5G-S-TMSI是5G-GUTI的低48位。5G--S-TMSI的结构为：5G--S-TMSI＝<AMF set ID>+<AMF Pointer>+<5G-TMSI>。
也就是说，5G-S-TMSI包括48个比特，其中第一个比特到第十个比特用于表示AMF set ID，第十一个比特到第十六个比特用于表示AMF pointer，第十七个比特到第四十八个比特用于表示5G-TMSI。
6、截短参数
截短参数用于对5G-S-TMSI进行截短处理。
例如，截短参数可以包括第一截短参数和第二截短参数。其中，第一截短参数用于对AMF set ID和5G-TMSI进行截短处理。第二截短参数用于对AMF Pointer和5G-TMSI进行截短处理。
为了便于说明，下文中将第一截短参数记为n，第二截短参数记为m。
需要说明的是，截短的5G-S-TMSI＝<截短的AMF set ID>+<截短的AMF Pointer>+<截短的5G-TMSI>。
其中，截短的AMF set ID由原先的AMF set ID中最后n个比特组成。
截短的AMF Pointer由原先的AMF Pointer中最后m个比特组成。
截短的5G-TMSI由原先的5G-TMSI中最后40-n-m个比特组成。
举例来说，5G-TMSI＝<0000001010(10bit)><000110(6bit)><000100……10(32bit)>。假设n＝5，m＝3，则截短的5G-TMSI＝<01010(5bit)><110(3bit)><000100……10(32bit)>。
需要说明的，接入网设备在接收到截短的5G-TMSI之后，可以通过补零的方式，将截短的5G-TMSI还原为完整的5G-TMSI。
以上是对本申请实施例所涉及的术语的介绍，以下不再赘述。
非频繁小包传输的CIoT终端(例如电表)具有电池耐用的需求。例如，这一类终端要求电池可以使用10年。为满足电池耐用的需求，5G技术设计了CIoT 5GS优化特性。CIoT 5GS优化特性去掉了终端周期性上报测量报告的特征。因此，源基站无法获取信号数据，以指示终端执行切换流程。这样一来，使用控制面CIoT 5GS优化功能的终端在移动时无法像传统终端一样通过切换流程切换到另一个基站上。因此，对于使用控制面CIoT 5GS优化功能的终端，引入了重建立流程以保障终端在移动过程中的会话连续性。
在重建立流程中，终端上报的RRC消息需要携带终端的5G-S-TMSI，以使得接入网设备可以根据5G-S-TMSI寻址到特定的AMF，并使AMF根据5G-S-TMSI查找到终端的安全上下文。但是，RRC消息的长度有限制，而5G-S-TMSI的长度超过RRC消息的最大长度，因此RRC消息无法携带完整的5G-S-TMSI。因此，终端需要使用截短参数对5G-S-TMSI进行截短处理，以使得RRC消息携带截短的5G-S-TMSI。
如图4所示，现有技术中，接入网设备为终端配置截短参数的流程包括以下步骤：
S10、接入网设备预先配置m和n。
S11、终端与网络侧之间执行注册流程。
S12、接入网设备向终端发送RRC重配置消息，该RRC重配置消息包括m和n。
S13、终端存储m和n。
S14、终端根据m、n和5G-S-TMSI，获得截短的5G-S-TMSI。
可选的，终端执行步骤S14的条件可以为：重建立流程被触发。
S15、终端向接入网设备发送RRC重建立请求消息，RRC重建立请求消息包括截短的5G-S-TMSI。
需要说明的是，RRC重建立请求消息最多可以承载67比特(bit)的信息。其中，RRC重建立请求消息需要预留至少27bit的空间给除了5G-S-TMSI之外的其他参数，因此RRC重建立请求携带的截短的5G-S-TMSI不能超过40bit。
S16、接入网设备根据m、n以及截短后的5G-GUTI，恢复出5G-S-TMSI。
在图4所示的流程中，使用控制面CIoT 5GS优化功能的终端和接入网设备之间不会建立AS安全上下文。因此，接入网设备发送给使用控制面CIoT 5GS优化功能的终端的RRC消息未经过AS安全保护，因此RRC消息携带的截短参数存在被攻击者篡改的安全风险。
为了解决截短参数在传输过程中的存在安全风险的问题，本申请实施例提供一种截短参数的保护方法及装置，其具体内容参见下文。
本申请实施例提供的技术方案可以应用于各种通信系统，例如，5G通信系统，未来演进系统或者多种通信融合系统等等。本申请提供的技术方案可以应用于多种应用场景，例如，机器对机器(machine to machine，M2M)、宏微通信、增强型移动互联网(enhanced mobile broadband，eMBB)、超高可靠超低时延通信(ultra-reliable & low latency communication，uRLLC)以及海量物联网通信(massive machine type communication，mMTC)等场景。这些场景可以包括但不限于：通信设备与通信设备之间的通信场景，网络设备与网络设备之间的通信场景，网络设备与通信设备之间的通信场景等。下文中均是以应用于网络设备和终端之间的通信场景中为例进行说明的。
此外，本申请实施例描述的网络架构以及业务场景是为了更加清楚的说明本申请实施例的技术方案，并不构成对于本申请实施例提供的技术方案的限定，本领域普通技术人员可知，随着网络架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。
如图5所示，为本申请实施例提供的技术方案所适用的5G网络的架构。5G网络可以包括：终端、无线接入通信网络(radio access network，RAN)或者接入通信网络(access network，AN)(下文中将RAN和AN统称为(R)AN)、核心网(core network，CN)、以及数据网(data network，DN)。
其中，终端可以是一种具有无线收发功能的设备。所述终端可以有不同的名称，例如用户设备(user equipment，UE)、接入终端、终端单元、终端站、移动站、移动台、远方站、远程终端、移动设备、无线通信设备、终端代理或终端装置等。终端可以被部署在陆地上，包括室内或室外、手持或车载；也可以被部署在水面上(如轮船等)；还可以被部署在空中(例如飞机、气球和卫星上等)。终端包括具有无线通信功能的手持式设备、车载设备、可穿戴设备或计算设备。示例性地，终端可以是手机(mobile phone)、平板电脑或带无线收发功能的电脑。终端设备还可以是虚拟现实(virtual reality，VR)终端设备、增强现实(augmented reality，AR)终端设备、工业控制中的无线终端、无人驾驶中的无线终端、远程医疗中的无线终端、智能电网中的无线终端、智慧城市(smart city)中的无线终端、智慧家庭(smart home)中的无线终端等。本申请实施例中，用于实现终端的功能的装置可以是终端，也可以是能够支持终端实现该功能的装置，例如芯片系统。本申请实施例中，芯片系统可以由芯片构成，也可以包括芯片和其他分立器件。本申请实施例中，以用于实现终端的功能的装置是终端为例，描述本申请实施例提供的技术方案。
在本申请实施例中，终端可以为使用控制面CIoT 5GS优化功能的终端。使用CIoT5GS优化功能的终端使用NAS消息的载荷(payload)在终端和SMF之间传输上行和下行用户数据，而不需要建立PDU会话的用户面连接。使用CIoT 5GS优化功能的终端和AMF之间使用NAS安全上下文对用户数据进行完整性保护和加密。
需要说明的是，控制面CIoT 5GS优化，也可以记为CIoT 5GS控制面优化，本申请实施例不限于此。
接入网设备也可以称为基站。基站可以包括各种形式的基站，例如：宏基站，微基站(也称为小站)，中继站，接入点等。具体可以为：是无线局域网(wireless local area network，WLAN)中的接入点(access point，AP)，全球移动通信系统(Global System for Mobile Communications，GSM)或码分多址接入(Code Division Multiple Access，CDMA)中的基站(Base Transceiver Station，BTS)，也可以是宽带码分多址(Wideband Code Division Multiple Access，WCDMA)中的基站(NodeB，NB)，还可以是LTE中的eNB，或者中继站或接入点，或者车载设备、可穿戴设备以及未来5G网络中的下一代节点B(the next generation node B，gNB)或者未来演进的公用陆地移动网(public land mobile network，PLMN)网络中的基站等。
基站，通常包括基带单元(baseband unit，BBU)、射频拉远单元(remote radio unit，RRU)、天线、以及用于连接RRU和天线的馈线。其中，BBU用于负责信号调制。 RRU用于负责射频处理。天线用于负责线缆上导行波和空气中空间波之间的转换。一方面，分布式基站大大缩短了RRU和天线之间馈线的长度，可以减少信号损耗，也可以降低馈线的成本。另一方面，RRU加天线比较小，可以随地安装，让网络规划更加灵活。除了RRU拉远之外，还可以把BBU全部都集中起来放置在中心机房(central office，CO)，通过这种集中化的方式，可以极大减少基站机房数量，减少配套设备，特别是空调的能耗，可以减少大量的碳排放。此外，分散的BBU集中起来变成BBU基带池之后，可以统一管理和调度，资源调配更加灵活。这种模式下，所有的实体基站演变成了虚拟基站。所有的虚拟基站在BBU基带池中共享用户的数据收发、信道质量等信息，相互协作，使得联合调度得以实现。
在一些部署中，基站可以包括集中式单元(centralized unit，CU)和分布式单元(distributed unit，DU)。基站还可以包括有源天线单元(active antenna unit，AAU)。CU实现基站的部分功能，DU实现基站的部分功能。比如，CU负责处理非实时协议和服务，实现RRC层，分组数据汇聚层协议(packet data convergence protocol，PDCP)层的功能。DU负责处理物理层协议和实时服务，实现无线链路控制(radio link control，简称RLC)、媒体接入控制(media access control，MAC)和物理(physical，PHY)层的功能。AAU实现部分物理层处理功能、射频处理及有源天线的相关功能。由于RRC层的信息最终会变成PHY层的信息，或者，由PHY层的信息转变而来，因而，在这种架构下，高层信令，如RRC层信令或PDCP层信令，也可以认为是由DU发送的，或者，由DU+AAU发送的。可以理解的是，在本申请实施例中，接入网设备可以为包括CU节点、DU节点、AAU节点中一项或多项的设备。此外，CU可以划分为RAN中的网络设备，也可以将CU划分为核心网(core network，CN)中的网络设备，在此不做限制。
一种可能的设计中，对于基站来说，还可以将CU的控制面(control plane，CP)和用户面(user plane，UP)分离，以不同实体来实现。也即，CU可以分为CU-CP和CU-UP。
核心网包括多个核心网网元(或者称为网络功能网元)，例如：接入和移动性管理功能(access and mobility management function，AMF)网元、会话管理功能(session management function，SMF)网元、策略控制功能(policy control function，PCF)网元网元、用户面功能(user plane function，UPF)网元、应用层功能(application function)网元、鉴权功能(authentication server function，AUSF)网元、以及统一数据管理(unified data management，UDM)网元。
此外，核心网还可以包括一些图5中未示出的网元，例如：安全锚功能(security anchor function，SEAF)网元、认证凭证库以及处理功能(authentication credential repository and processing function，ARPF)，本申请实施例在此不予赘述。
AMF网元主要负责移动性管理处理部分，例如：接入控制、移动性管理、附着与去附着以及SMF选择等功能。AMF网元为终端中的会话提供服务的情况下，会为该会话提供控制面的存储资源，以存储会话标识、与会话标识关联的SMF标识等。
其中，终端通过下一代网络(Next generation，N)1接口(简称N1)与AMF通信，RAN设备通过N2接口(简称N2)与AMF通信，RAN设备通过N3接口(简称 N3)与UPF通信，UPF通过N6接口(简称N6)与DN通信。
AMF、SMF、UDM、AUSF、或者PCF等控制面网元也可以采用服务化接口进行交互。比如，如图5所示，AMF对外提供的服务化接口可以为Namf；SMF对外提供的服务化接口可以为Nsmf；UDM对外提供的服务化接口可以为Nudm；PCF对外提供的服务化接口可以为Npcf，AUSF对外提供的服务化接口可以为Nausf；在此不再一一描述。
如图6所示，为本申请实施例提供的一种协议栈的示意图。如图6所示，终端的协议栈至少包括：非接入层、RRC层、分组数据汇聚协议(packet data convergence protocol，PDCP)层、无线链路控制(radio link control，RLC)层、媒体接入控制(media access control，MAC)层、物理层(PHY layer)。其中，RRC层、PDCP层、RLC层、MAC层、PHY层均属于接入层。
其中，非接入层是终端与核心网之间的功能层，用于支持终端与核心网的网元(例如移动管理网元)之间的信令和数据传输。
RRC层用于支持无线资源的管理、RRC连接控制等功能。
对于其他的协议层，例如PDCP层、RLC层等，其定义与功能可以参见现有技术的说明，在此不再赘述。
可选的，本申请实施例所提及的设备，例如终端、移动管理网元、接入网设备等，均可以由图7所示的装置来实现。
如图7所示，该装置100包括至少一个处理器101，通信线路102，存储器103以及至少一个通信接口104。
处理器101可以是一个通用中央处理器(central processing unit，CPU)，微处理器，特定应用集成电路(application-specific integrated circuit，ASIC)，或一个或多个用于控制本申请方案程序执行的集成电路。
通信线路102用于在上述组件之间传送信息。
通信接口104，使用任何收发器一类的装置，用于与其他设备或通信网络通信，如以太网，无线接入网(radio access network，RAN)，无线局域网(wireless local area networks，WLAN)等。
存储器103可以是只读存储器(read-only memory，ROM)或可存储静态信息和指令的其他类型的静态存储设备，随机存取存储器(random access memory，RAM)或者可存储信息和指令的其他类型的动态存储设备，也可以是电可擦可编程只读存储器(electrically erasable programmable read-only memory，EEPROM)、只读光盘(compact disc read-only memory，CD-ROM)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的程序代码并能够由计算机存取的任何其他介质，但不限于此。存储器可以是独立存在，通过通信线路102与处理器相连接。存储器也可以和处理器集成在一起。
其中，存储器103用于存储执行本申请方案的计算机执行指令，并由处理器101来控制执行。处理器101用于执行存储器103中存储的计算机执行指令，从而实现本申请实施例所提供的技术方案。
可选的，本申请实施例中的计算机执行指令也可以称之为应用程序代码，本申请实施例对此不作具体限定。
在具体实现中，作为一种实施例，处理器101可以包括一个或多个CPU，例如图7中的CPU0和CPU1。
在具体实现中，作为一种实施例，装置100可以包括多个处理器，例如图7中的处理器101和处理器107。这些处理器中的每一个可以是一个单核(single-CPU)处理器，也可以是一个多核(multi-CPU)处理器。这里的处理器可以指一个或多个设备、电路、和/或用于处理数据(例如计算机程序指令)的处理核。
在具体实现中，作为一种实施例，装置100还可以包括输出设备105和输入设备106。输出设备105和处理器101通信，可以以多种方式来显示信息。例如，输出设备105可以是液晶显示器(liquid crystal display，LCD)，发光二级管(light emitting diode，LED)显示设备，阴极射线管(cathode ray tube，CRT)显示设备，或投影仪(projector)等。输入设备106和处理器101通信，可以以多种方式接收用户的输入。例如，输入设备106可以是鼠标、键盘、触摸屏设备或传感设备等。
下面结合说明书附图对本申请所提供的技术方案进行具体阐述。
为了降低截短参数在传输过程中的安全风险，本申请提供如下三个实施例。
其中，实施例一和实施例三可以应用于某个终端接入网络的场景下，实施例二应用于AMF对自身服务的终端进行截短参数更新的场景下。需要说明书的是，如下三个实施例所涉及的技术特征，可以互相参考，互相结合。例如，一个使用控制面CIoT 5GS优化功能的终端X注册到网络中时，可以触发执行实施例一所述的方案，从而安全的获取截短参数。后续，网络侧的AMF也会根据实施例二所述的方法，主动对该终端X进行截短参数更新。
实施例一
如图8所示，为本申请实施例提供的一种截短参数的保护方法，该方法包括以下步骤：
S101、移动管理网元判断接入网络的终端是否符合预设条件。
其中，在5G网络中，移动管理网元可以为AMF；在未来的演进系统中，移动管理网元可以为类似AMF的NAS安全终结点。在此统一说明，以下不再赘述。
在本申请实施例中，所述预设条件至少包括：终端使用控制面CIoT 5GS优化功能。
可选的，预设条件包括以下情形：
情形一、预设条件为：终端使用控制面CIoT 5GS优化功能。
基于情形一，步骤S101可以具体实现为：移动管理网元判断终端是否使用控制面CIoT 5GS优化功能。若终端使用控制面CIoT 5GS优化功能，则移动管理网元确定终端符合预设条件；若终端没有使用控制面CIoT 5GS优化功能，则移动管理网元确定终端不符合预设条件。
在本申请实施例中，移动管理网元判断终端是否使用控制面CIoT 5GS优化功能，包括以下实现方式：
实现方式一、移动管理网元根据终端上报的偏好的网络行为(preferred network  behaviour)，判断终端是否使用控制面CIoT 5GS优化功能。
其中，偏好的网络行为可以承载于终端发送的注册请求消息中。偏好的网络行为用于指示终端支持的网络功能。或者说，偏好的网络行为用于指示终端偏好使用的网络功能。例如，偏好的网络行为可以指示终端是否支持控制面CIoT 5GS优化功能，是否支持用户面CIoT 5GS优化功能，是否支持N3数据传输，是否支持头压缩等。
也就是说，若终端上报的偏好的网络行为用于指示终端偏好使用控制面CIoT 5GS优化功能，且移动管理网元支持控制面CIoT 5GS优化功能，则移动管理网元可以确定终端使用控制面CIoT 5GS优化功能。
或者，若终端上报的偏好的网络行为用于指示终端偏好使用控制面CIoT 5GS优化功能，但移动管理网元不支持控制面CIoT 5GS优化功能，则移动管理网元可以确定终端不使用控制面CIoT 5GS优化功能。
或者，若终端上报的偏好的网络行为用于指示终端不偏好使用控制面CIoT 5GS优化功能，则移动管理网元确定终端不使用控制面CIoT 5GS优化功能。
实现方式二、移动管理网元根据终端的上下文，判断终端是否使用控制面CIoT 5GS优化功能。
也就是说，当终端的上下文指示终端使用控制面CIoT 5GS优化功能时，移动管理网元确定终端使用控制面CIoT 5GS优化功能。或者，当终端的上下文指示终端不使用控制面CIoT 5GS优化功能时，移动管理网元确定终端不使用控制面CIoT 5GS优化功能。
需要说明的是，若终端使用控制面CIoT 5GS优化功能，则终端与接入网设备之间不会建立AS安全上下文，因此截短参数不能按照现有技术的方式来传输，以避免被攻击者篡改。基于此，移动管理网元需要执行下述步骤S102。
情形二、预设条件为：终端使用控制面CIoT 5GS优化功能，以及终端是初始注册到网络的终端。
基于情形二，步骤S101可以具体实现为：移动管理网元判断终端是否使用控制面CIoT 5GS优化功能，以及终端是否是初始注册到网络的终端。若终端使用控制面CIoT 5GS优化功能，且终端是初始注册到网络的终端，则移动管理网元确定终端符合预设条件。若终端不使用控制面CIoT 5GS优化功能，或者终端不是初始注册到网络的终端，则移动管理网元确定终端不符合预设条件。
在本申请实施例中，移动管理网元根据终端上报的注册类型，确定终端是否是初始注册到网络的终端。
其中，终端的注册类型可以承载于终端发送的注册请求消息中。终端的注册类型包括：初始注册、移动更新注册、周期性注册更新或者紧急注册。
也就是说，当终端的注册类型为初始注册时，移动管理网元可以确定终端是初始注册到网络的终端。或者，当终端的注册类型为移动更新注册、周期性注册更新或者紧急注册时，移动管理网元可以确定终端不是初始注册到网络的终端。
可选的，在注册流程中，预设条件可以采用情形二。
需要说明的是，截短参数不常变化，因此网络侧无需在终端的每一次注册流程中，均向终端发送截短参数。因此，对于使用控制面CIoT 5GS优化功能的终端来说，若 该终端是初始注册到网络的，移动管理网元执行下述步骤S102，以保证该终端接收到正确的截短参数；若该终端不是初始注册到网络的，则说明该终端存储有截短参数，因此移动管理网元可以选择不执行下述步骤S102，以节省信令开销。
情形三、预设条件为：终端使用控制面CIoT 5GS优化功能，以及终端需要更新截短参数。
基于情形三，步骤S101可以具体实现为：移动管理网元判断终端是否使用控制面CIoT 5GS优化功能，以及终端是否需要更新截短参数。若终端使用控制面CIoT 5GS优化功能，且终端需要更新截短参数，则移动管理网元确定终端符合预设条件。若终端不使用控制面CIoT 5GS优化功能，或者终端不需要更新截短参数，则移动管理网元确定终端不符合预设条件。
在本申请实施例中，移动管理网元判断终端是否需要更新截短参数，包括以下实现方式之一：
实现方式一、移动管理网元通过判断自身配置的截短参数以及终端的上下文中存储的截短参数是否相同，以判断终端是否需要更新截短参数。
需要说明的是，移动管理网元会在终端的上下文中存储终端当前使用的截短参数。也即，终端的上下文所存储的截短参数即为终端当前使用的截短参数。
也就是说，当移动管理网元配置的截短参数与终端的上下文中存储的截短参数不相同时，移动管理网元可以确定终端需要更新截短参数。或者，当移动管理网元配置的截短参数与终端的上下文中存储的截短参数相同时，移动管理网元可以确定终端不需要更新截短参数。
实现方式二、移动管理网元通过判断当前时间是否在预设时间段内，以判断终端是否需要更新截短参数。
其中，预设时间段的起始时刻为移动管理网元确定截短参数发生更新的时刻，预设时间段的时长为预设时长。示例性的，预设时长可以为1分钟，也可以为10分钟。
可选的，所述预设时长大于周期性注册更新的时间间隔。
例如，预设时长可以大于周期性注册更新的时间间隔的2倍。
需要说明的，网络侧可以为终端配置周期性注册更新的时间间隔，例如10分钟。在终端的等待时间超过该时间间隔后，终端会主动发起注册请求，以使网络侧获知终端仍在线。因此，网络侧将预设时长设置为大于周期性注册更新的时间间隔的2倍，则在预设时间内，移动管理网元可以保证所有在线的终端都可以更新截短参数。
也就是说，在当前时间位于预设时间段内的情况下，移动管理网元确定终端需要更新截短参数；在当前时间不位于预设时间段内的情况下，移动管理网元确定终端不需要更新截短参数。
可选的，在截短参数发生更新的场景下，预设条件可以采用情形三。
需要说明的是，移动管理网元更新截短参数的方式可以参考下文中步骤S401的描述，在此不予赘述。
需要说明的是，无论终端是否存储有截短参数，在网络侧更新截短参数的情况下，网络侧均需要向终端发送更新后的截短参数，以避免终端使用未更新的截短参数，获得错误的截短的5G-S-TMSI。因此，对于使用控制面CIoT 5GS优化功能的终端来说， 在移动管理网元确定终端需要更新截短参数的情况下，移动管理网元执行下述步骤S102，以保证终端可以获取到最新的截短参数，进而保证终端可以正常接入网络；在移动管理网元确定终端不需要更新截短参数的情况下，移动管理网元可以不执行下述步骤S102，以节省信令开销。
需要说明的是，上述情形一至情形三仅是对预设条件的示例，本申请实施例不限于此。
S102、在终端符合预设条件的情况下，移动管理网元向终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，所述下行NAS消息包括截短参数。
可选的，移动管理网元可以预先存储截短参数；或者，移动管理网元从接入网设备获取到截短参数。
其中，上述NAS安全保护至少包括完整性保护。可选的，NAS安全保护还包括加密保护。
可以理解的是，由于该下行NAS消息经过NAS安全保护，因此下行NAS消息中的截短参数也经过NAS安全保护，从而可以保证截短参数的安全性。
需要说明的是，下行NAS消息可以为新增的信令，也可以复用现有流程中信令。
例如，在注册流程中，下行NAS消息可以为注册接受(registration accept)消息。
又例如，在服务请求流程中，下行NAS消息可以为服务接受(servers accept)消息。
S103、终端对下行NAS进行解安全保护。
其中，当下行NAS消息经过的NAS安全保护为完整性保护时，上述解安全保护为：完整性校验。或者，当下行NAS消息经过完整性保护和加密保护时，上述解安全保护为完整性校验和解密。
S104、终端在成功对下行NAS消息解安全保护之后，存储截短参数。
作为一种可能的实现方式，终端的NAS层在成功对下行NAS消息解安全保护之后，终端的NAS层存储截短参数。
作为另一种可能的实现方式，终端的NAS层在成功对下行NAS消息解安全保护之后，终端的NAS层向终端的RRC层发送截短参数，终端的RRC层存储截短参数。
基于图8所示的技术方案，由于预设条件至少包括：终端使用控制面CIoT 5GS优化功能，因此终端符合预设条件，说明终端使用控制面CIoT 5GS优化功能。移动管理网元在确定终端使用控制面CIoT 5GS优化功能的情况下，移动管理网元通过向终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，以保证截短参数在传输过程中接受过NAS安全保护。这样一来，保证截短参数不被篡改和伪造，从而防止终端被攻击者发起拒绝服务攻击，进而保证终端能够正常接入到网络中。
下面结合具体应用场景来说明图8所示的技术方案。
场景一、移动管理网元预先存储截短参数。
基于场景一，如图9所示，为本申请实施例提供的一种截短参数的保护方法，该方法包括以下步骤：
S200、移动管理网元预先存储截短参数。
可选的，工作人员可以通过网管系统向移动管理网元配置截短参数，以使得移动 管理网元可以预先存储截短参数。
一种可能的设计中，截短参数可以是PLMN粒度的，也可以是区域粒度的。也就是说，网管系统所配置的截短参数可以适用于整个PLMN，或者仅适用于某个区域。
本申请实施例对移动管理网元如何预先配置截短参数的具体实现方式不作限定。
S201、终端向移动管理网元发送上行NAS消息，以使得移动管理网元接收终端发送的上行NAS消息。
示例性的，该上行NAS消息可以为注册请求消息、服务请求消息等，本申请实施例不限于此。
需要说明的是，注册请求消息可以包括注册类型(5GS registration type)和偏好的网络行为。
S202、终端和移动管理网元之间激活NAS安全。
示例性的，以上行NAS消息为注册请求消息为例，在移动管理网元接收到注册请求消息之后，移动管理网元对终端进行认证和密钥协商(authentication and key agreement，AKA)流程。之后，在认证成功之后，移动管理网元和终端之间通过NAS安全模式命令(security mode command，SMC)流程激活终端和移动管理网元之间的NAS安全上下文。
示例性的，以上行NAS消息为服务请求消息为例，在移动管理网元接收到服务请求消息之后，移动管理网元对服务请求消息进行完整性校验；在服务请求消息通过完整性校验之后，移动管理网元激活终端和移动管理网元之间的NAS安全上下文。
S203-S206、与步骤S101-S104相似，其具体描述可参见图8所示的实施例，在此不再赘述。
可选的，当上行NAS消息为注册请求消息时，下行NAS消息为注册接受消息。
可选的，当上行NAS消息为服务请求消息时，下行NAS消息为服务接受消息。
基于图9所示的实施例，在一些流程中，例如注册流程或者服务请求流程，移动管理网元可以主动判断终端是否符合预设条件；在终端符合预设条件的情况下，移动管理网元向终端发送经过NAS安全保护的截短参数，以便于终端在后续流程中可以使用到截短参数。
场景二、接入网设备预先存储截短参数。
基于场景二，如图10所示，为本申请实施例提供的一种截短参数的保护方法，该方法包括以下步骤：
S300、接入网设备预先存储截短参数。
需要说明的是，接入网设备一般会预先配置截短参数，以便于接入网设备根据截短参数以及截短的5G-S-TMSI恢复出完整的5G-S-TMSI。
可选的，工作人员可以通过网管系统向接入网设备配置截短参数，以使得接入网设备可以预先存储截短参数。
一种可能的设计中，截短参数可以是PLMN粒度的，也可以是区域粒度的。也就是说，网管系统所配置的截短参数可以适用于整个PLMN，或者仅适用于某个区域。
本申请实施例对接入网设备如何预先配置截短参数的具体实现方式不作限定。
S301、终端向接入网设备发送上行RRC消息。
示例性的，上行RRC消息可以为RRC建立请求消息，或者RRC建立完成消息，本申请实施例不限于此。
可选的，除了上行RRC消息之外，终端还可以向接入网设备发送上行NAS消息，以便于接入网设备将该上行NAS消息转发给移动管理网元。示例性的，上行NAS消息可以为注册请求消息，或者服务请求消息，本申请实施例不限于此。
一种可能的设计中，上行NAS消息可以作为上行RRC消息的载荷。例如，上行RRC消息包括NAS容器(container)，该NAS container包含上行NAS消息。这样一来，终端通过向接入网设备发送上行RRC消息，从而实现将上行RRC消息和上行NAS消息一同传输给网络侧的目的。
另一种可能的设计中，终端向接入网设备分别发送上行NAS消息和上行RRC消息。
S302、接入网设备判断终端是否支持CIoT 5GS优化特性。
其中，CIoT 5GS优化特性包括用户面CIoT 5GS优化功能，和/或控制面CIoT 5GS优化功能。
也即，终端支持CIoT 5GS优化特性，说明终端可能支持用户面CIoT 5GS优化功能，和/或控制面CIoT 5GS优化功能。
可选的，步骤S302至少采用以下实现方式之一：
实现方式一、在上行RRC消息包括能力指示的情况下，接入网设备根据能力指示，判断终端是否支持CIoT 5GS优化特性。也就是说，若能力指示用于指示终端支持CIoT 5GS优化特性，则接入网设备确定终端支持CIoT 5GS优化特性。
可选的，若能力指示未指示终端支持CIoT 5GS优化特性，则接入网设备确定终端不支持CIoT 5GS优化特性。
实现方式二、接入网设备根据终端接入频点，判断终端是否支持CIoT 5GS优化特性。也就是说，若终端接入CIoT设备使用的频点，则接入网设备确定终端支持CIoT 5GS优化特性。
可选的，若终端未接入CIoT设备使用的频点，则接入网设备确定终端不支持CIoT 5GS优化特性。
实现方式三、接入网设备根据终端发送的消息的类型，判断终端是否支持CIoT 5GS优化特性。也就是说，若终端发送的消息的类型与CIoT设备专用的消息的类型相同，则接入网设备确定终端支持CIoT 5GS优化特性。
可选的，若终端发送的消息的类型与CIoT设备专用的消息的类型不相同，则接入网设备确定终端不支持CIoT 5GS优化特性。
可以理解的是，上述实现方式一至实现方式三仅是步骤S302的具体实现方式的示例。在实际应用中，上述实现方式一、实现方式二和/或实现方式三可以相互结合使用。
需要说明的是，若接入网设备确定终端支持CIoT 5GS优化特性，则接入网设备执行下述步骤S303。
S303、接入网设备向移动管理网元发送N2消息，以使得移动管理网元接收接入网设备发送的N2消息。
其中，N2消息包括截短参数。
可选的，N2消息可以是初始UE消息(Initial UE message)。
可选的，在终端还向接入网设备发送上行NAS消息的情况下，N2消息携带上行NAS消息。
S304-S307、与步骤S101-S04相似，其具体描述可参见图8所示的实施例，在此不再赘述。
基于图10所示的实施例，在接入网设备存储截短参数的情况下，接入网设备会判断接入的终端是否支持CIoT 5GS优化特性；之后，在终端支持CIoT 5GS优化特性的情况下，接入网设备会向移动管理网元发送截短参数，以便于在后续的流程中，移动管理网元可以向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全保护的截短参数。在上述过程中，移动管理网元可以从接入网设备获取截短参数，因此移动管理网元无需预先配置截短参数，从而降低截短参数的配置复杂度。
实施例二
如图11所示，为本申请实施例提供的一种截短参数的保护方法，该方法包括以下步骤：
S401、移动管理网元更新截短参数。
可选的，步骤S401可以包括以下实现方式之一：
实现方式一、移动管理网元根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数。
例如，若根据当前的截短参数进行截短的AMF set ID和/或AMF pointer无法表示所有已分配的移动管理网元，则移动管理网元需要调整截短参数。
举例来说，对于当前的截短参数来说，n设置为5，m设置为3，则截短的AMF set ID仅有5个比特，截短的AMF set ID可以指示的AMF set的总数为32；截短的AMF pointer仅有3个比特，截短的AMF pointer可以指示的pointer的总数为8。若当前AMF set的数目为14，pointer的数目为9，则移动管理网元需要更新截短参数。可选的，对于更新后的截短参数来说，n可以调整为4，m可以调整为4。这样一来，截短后的AMF set ID可以指示的AMF set的总数为16，截短后的AMF pointer可以指示的pointer的总数为16。
实现方式二、移动管理网元根据网络管理系统的指令，更新截短参数。
可选的，上述网络管理系统可以为操作维护管理(operation administration and maintenance，OAM)系统。
实现方式三、移动管理网元接收接入网设备发送的更新后的截短参数。
需要说明的是，接入网设备可以根据网络管理系统的指令，更新截短参数。
S402、移动管理网元查找到使用控制面CIoT 5GS优化功能的终端。
作为一种可能的实现方式，移动管理网元存储有终端的上下文，终端的上下文中包括对应的终端是否是使用控制面CIoT 5GS优化功能的终端的指示信息。移动管理网元根据其存储的多个终端的上下文中，确定使用控制面CIoT 5GS优化功能的终端。
可以理解的是，使用控制面CIoT 5GS优化功能的终端的数量可能为一个或者多个。
S403、移动管理网元向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全 上下文进行NAS安全保护的下行NAS消息。
其中，所述下行NAS消息包括更新后的截短参数。
对于任意一个使用控制面CIoT 5GS优化功能的终端来说，移动管理网元向该终端发送下行NAS消息，包括以下实现方式之一：
实现方式一、若使用控制面CIoT 5GS优化功能的终端处于连接(CONNECTED)态，则移动管理网元可以直接向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息。
可选的，基于实现方式一，下行NAS消息可以为UE配置更新命令(UE Configuration Update Command)消息。
实现方式二、若使用控制面CIoT 5GS优化功能的终端处于非连接态，则移动管理网元等待该终端进入连接态；在终端进入连接态并且激活NAS安全之后，移动管理网元向该终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息。
在本申请实施例中，非连接态可以为空闲(idle)态或者RRC不活跃(inactive)态。
需要说明的是，处于非连接态的终端可以通过主动发起服务请求消息，以进入连接态。
可选的，基于实现方式二，下行NAS消息可以为服务接受消息，或者UE配置更新命令消息。
实现方式三、若使用控制面CIoT 5GS优化功能的终端处于非连接态，则移动管理网元主动寻呼该终端，以触发该终端进入连接态；在终端进入连接态并且激活NAS安全之后，移动管理网元向该终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息。
可选的，基于实现方式三，下行NAS消息可以为服务接受消息，或者UE配置更新命令(UE Configuration Update Command)消息。
需要说明的是，当终端处于非连接态时，终端并不需要截短5G-S-TMSI，因此非连接态下的终端并不需要立即更新截短参数。这种情况下，移动管理网元在等待终端恢复到连接态后，为终端更新截短参数，可以防止移动管理网元在同一时间内大量向终端发送NAS信令，从而造成信令拥塞。
另外，基于实现方式三，移动管理网元不主动唤醒处于非连接态的终端，有利于节省终端的功耗。
S404-S405、与步骤S103-S104相似，其具体描述可参考图8所示的实施例，在此不再赘述。
基于图11所示的技术方案，移动管理网元在更新截短参数之后，移动管理网元主动向使用控制面CIoT 5GS优化功能的终端发送经过NAS安全保护的更新后的截短参数，以使得该终端能够获取到更新后的截短参数，避免该终端因使用错误的截短参数而导致终端不能正常接入网络的情况发生。
实施例三
如图12所示，为本申请实施例提供的一种截短参数的保护方法，该方法包括以下步骤：
S500-S503、与步骤S300-S303相似，其具体描述可以参考图10所示的实施例，在此不再赘述。
可选的，除了截短参数之外，接入网设备还可以向移动管理网元发送新鲜性参数和/或保护指示信息。
其中，新鲜性参数用于截短参数的完整性计算，新鲜性参数用于保证两次生成的NAS MAC不同。示例性的，新鲜性参数可以为下行PDCP计数值(count)。
保护指示信息用于指示移动管理网元对截短参数进行安全保护。
S504、移动管理网元根据NAS安全上下文，对截短参数进行完整性计算，生成第一NAS MAC。
作为一种可能的实现方式，当移动管理网元接收到截短参数，则移动管理网元对截短参数进行完整性计算，生成第一NAS MAC。
作为另一种可能的实现方式，当移动管理网元接收到截短参数和保护指示信息时，移动管理网元对截短参数进行完整性计算，生成第一NAS MAC。当移动管理网元接收到截短参数，未接收到保护指示信息时，移动管理网元不对截短参数进行完整性计算。
可选的，移动管理网元根据完整性保护密钥、截短参数、以及完整性保护算法，生成第一NAS MAC。
可选的，在接入网设备向移动管理网元发送新鲜性参数的情况下，移动管理网元根据完整性保护密钥、截短参数、完整性保护算法、以及新鲜性参数，生成第一NAS MAC。
S505、移动管理网元向接入网设备发送第一NAS MAC，以使得接入网设备接收移动管理网元发送的第一NAS MAC。
S506、接入网设备向终端发送截短参数以及第一NAS MAC，以使得终端接收接入网设备发送的截短参数以及第一NAS MAC。
其中，截短参数以及第一NAS MAC可以承载于下行RRC消息中。
可选的，下行RRC消息中还携带新鲜性参数指示，新鲜性参数指示可以是下行PDCP COUNT的部分比特位。
示例性的，下行RRC消息可以为RRC重配置消息，本申请实施例不限于此。
S507、终端根据NAS安全上下文，对截短参数进行完整性计算，生成第二NAS MAC。
可选的，终端根据完整性保护密钥、截短参数、以及完整性保护算法，生成第二NAS MAC。
可选的，在终端还接收到接入网设备发送的新鲜性参数指示的情况下，终端根据完整性保护密钥、截短参数、新鲜性参数、以及完整性保护算法，生成第二NAS MAC。
需要说明的是，在终端接收到新鲜性参数指示之后，终端可以根据新鲜性参数指示，获得新鲜性参数。例如，终端根据下行PDCP COUNT的部分比特位，恢复出完整的下行PDCP COUNT。
S508、终端根据第二NAS MAC，对第一NAS MAC进行校验。
作为一种可能的实现方式，终端判断第二NAS MAC与第一NAS MAC是否相同。 若第一NAS MAC和第二NAS MAC相同，则终端确定第一NAS MAC通过校验。若第一NAS MAC和第二NAS MAC不相同，则终端确定第一NAS MAC未通过校验。
S509、在第一NAS MAC通过校验之后，终端存储截短参数。
作为一种可能的实现方式，在第一NAS MAC通过校验之后，终端的RRC层存储截短参数。
作为另一种可能的实现方式，在第一NAS MAC通过校验之后，终端的RRC层向终端的NAS层发送截短参数；之后，终端的NAS层存储截短参数。
基于图12所示的技术方案，接入网设备在需要向终端发送截短参数的情况下，先向移动管理网元发送截短参数，以获取截短参数对应的第一NAS MAC；之后，接入网设备向终端发送截短参数以及第一NAS MAC。这样一来，终端能够通过第一NAS MAC，验证截短参数是否被攻击者篡改，从而保证截短参数的完整性。在终端获取到正确的截短参数的情况下，终端可以正常接入网络。
对于使用控制面CIoT 5GS优化功能的终端来说，终端在发生无线链路失败(radio link failure，RLF)的情况下，终端可能会触发RRC连接重建立流程。在RRC连接重建立流程中，终端需要向目标接入网设备发送RRC重建立请求(RRC Reestablishment Request)消息，该RRC重建立请求消息携带截短的5G-S-TMSI。
因此，在RRC连接重建立流程中，终端需要获得截短的5G-S-TMSI。
可选的，终端获得截短的5G-S-TMSI，包括以下实现方式之一：
实现方式一、在终端的RRC层负责存储截短参数的情况下，当终端需要使用截短的5G-S-TMSI时，终端的RRC层根据截短参数，对5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
实现方式二、在终端的RRC层负责存储截短参数的情况下，当终端需要使用截短的5G-S-TMSI时，终端的RRC层向终端的NAS层发送截短参数；终端的NAS层根据截短参数，对5G-S-TMSI进行截短处理，得到截短的5G-S-TMSI；终端的NAS层向终端的RRC层发送截短的5G-S-TMSI。
实现方式三、在终端的NAS层负责存储截短参数的情况下，当终端需要使用截短的5G-S-TMSI时，终端的NAS层根据截短参数，对5G-S-TMSI进行截短处理，得到截短的5G-S-TMSI；终端的NAS层向终端的RRC层发送截短的5G-S-TMSI。
实现方式四、在终端的NAS层负责存储截短参数的情况下，当终端需要使用截短的5G-S-TMSI时，终端的NAS层向终端的RRC层发送截短参数；之后，终端的RRC层根据截短参数，对5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
可以理解的是，终端所存储的截短参数是终端通过上述图8至图12中任意一图所示的技术方案来获得的。
下面具体说明使用控制面CIoT 5GS优化功能的终端的RRC连接重建立流程。
由于使用控制面CIoT 5GS优化功能的终端没有可用的AS安全上下文，因此，为了保护重建立流程，终端的AS层触发NAS层提供UL_NAS_MAC和XDL_NAS_MAC。UL_NAS_MAC表示终端请求重新建立RRC连接，XDL_NAS_MAC用于表示终端正在与真实网络通话。
需要说明的是，终端将key设置为完整性密钥(KNASint)，将count设置为上行 NAS count，将DIRECTION设置为0，将message设置为目标小区标识(cell ID)和除了NAS count的LSB以及UL_NAS_MAC之外的整个RRC重建立请求消息；之后，终端将这些参数(例如key、message等)输入当前使用的完整性算法，生成NAS MAC。
其中，NAS MAC的前16位比特构成UL_NAS_MAC，NAS MAC的后16位比特构成XDL_NAS_MAC。
之后，终端向目标接入网设备发送RRC重建立请求消息，该RRC重建立请求消息包括截短的5G-S-TMSI，和NAS count的5个最低有效位。NAS count的最低有效位用于计算NAS MAC。
目标接入网设备基于RRC重建立请求消息中的截短的5G-S-TMSI，以及本地配置的截短参数(m和n)，恢复出完整的5G-S-TMSI。目标接入网设备可以基于完整的5G-S-TMSI，确定出为终端服务的移动管理网元。并且，目标接入网设备向该移动管理网元发送5G-S-TMSI、目标cell-ID以及除了截短的5G-S-TMSI之外的整个RRC重建立请求消息。
移动管理网元使用与NAS连接标识符“0x01”相关联的NAS count的LSB，来估计完整的上行NAS count。之后，移动管理网元使用该估计出的上行NAS count，来计算XNAS-MAC。
移动管理网元比较UL_NAS_MAC与XNAS-MAC的前16位比特是否相同。在UL_NAS_MAC与XNAS-MAC的前16位比特相同的情况下，移动管理网元确定真正的终端发送了RRC重建立请求消息。
之后，移动管理网元向目标接入网设备发送连接建立指示(connection establishment indication)消息，该连接建立指示消息包括DL_NAS_MAC。需要说明的是，DL_NAS_MAC是XNAS-MAC的后16位比特。
接入网设备向终端发送RRC重建立(RRC Reestablisment)消息，该RRC重建立消息包括DL_NAS_MAC。
终端检查接收到的DL_NAS_MAC与XDL_NAS_MAC是否相同。如果DL_NAS_MAC与XDL_NAS_MAC相同，则终端完成RRC连接重建立过程。
上述主要从每一个网元之间交互的角度对本申请实施例提供的方案进行了介绍。可以理解的是，每一个网元，例如终端、接入网设备、以及移动管理网元，为了实现上述功能，其包含了执行每一个功能相应的硬件结构或软件模块，或两者结合。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
本申请实施例可以根据上述方法示例对接入网设备、移动管理网元和终端进行功能模块的划分，例如，可以对应每一个功能划分每一个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本申请实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。下面以 采用对应每一个功能划分每一个功能模块为例进行说明：
图13为本申请实施例提供的一种终端的结构示意图。如图13所示，该终端包括：通信模块201、处理模块202和存储模块203。通信模块201用于支持终端执行图8中的步骤S102，图9中的步骤S201和S204，图10中的步骤S301和S305，图11中的步骤S403，图12中的步骤S501和S506，和/或本申请实施例中终端需要执行的其他通信操作。处理模块202用于支持终端执行图8中的步骤S103，图9中的步骤S202和S205，图10中的步骤S306，图11中的步骤S404，图12中的步骤S507和S208，和/或本申请实施例中终端需要执行的其他处理操作。存储模块203用于支持终端执行图8中的步骤S104，图9中的步骤S206，图10中的步骤S307，图11中的步骤S405，图12中的步骤S509，和/或本申请实施例中终端需要执行的其他存储操作。
作为一个示例，结合图7所示的装置，图13中的处理模块202可以由图7中的处理器101来实现，图13中的通信模块201可以由图7中的通信接口104来实现，图13中的存储模块203可以由图7中的存储器103来实现，本申请实施例对此不作任何限制。
图14为本申请实施例提供的一种接入网设备的结构示意图。如图14所示，该接入网设备包括通信模块301、处理模块302和存储模块303。通信模块301用于支持接入网设备执行图10中的步骤S301和S303，图12中的步骤S501、S503、S505以及S506，和/或本申请实施例中接入网设备需要执行的其他通信操作。处理模块302用于支持接入网设备执行图10中的步骤S302，图12中的步骤S502，和/或本申请实施例中接入网设备需要执行的其他处理操作。存储模块303用于支持接入网设备执行图10中的步骤S300，图12中的步骤S500，和/或本申请实施例中接入网设备需要执行的其他存储操作。
作为一个示例，结合图7所示的装置，图14中的处理模块302可以由图7中的处理器101来实现，图14中的通信模块301可以由图7中的通信接口104来实现，图14中的存储模块303可以由图7中的存储器103来实现，本申请实施例对此不作任何限制。
图15为本申请实施例提供的一种移动管理网元的结构示意图。如图15所示，该移动管理网元包括通信模块401、处理模块402和存储模块403。通信模块401用于支持移动管理网元执行图8中的步骤S102，图9中的步骤S201和S204，图10中的步骤S303和S305，图11中的步骤S403，图12中的步骤S503和S505，和/或本申请实施例中移动管理网元需要执行的其他通信操作。处理模块402用于支持移动管理网元执行图8中的步骤S101，图9中的步骤S202和S203，图10中的步骤S304，图11中的步骤S401和S402，图12中的步骤S504，和/或本申请实施例中移动管理网元需要执行的其他处理操作。存储模块403用于支持移动管理网元执行图9中的步骤S200，和/或本申请实施例中移动管理网元需要执行的其他存储操作。
作为一个示例，结合图7所示的装置，图15中的处理模块402可以由图7中的处理器101来实现，图15中的通信模块401可以由图7中的通信接口104来实现，图15中的存储模块403可以由图7中的存储器103来实现，本申请实施例对此不作任何限制。
本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机指令；当所述计算机可读存储介质在计算机上运行时，使得该计算机执行本申请实施例所提供的截短参数的保护方法。
本申请实施例还提供了一种包含计算机指令的计算机程序产品，当其在计算机上运行时，使得计算机可以执行本申请实施例提供的截短参数的保护方法。
本申请实施例提供一种芯片，该芯片包括处理器，该处理器执行指令时，使得该芯片可以执行本申请实施例提供的截短参数的保护方法。
应理解，所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或者数据中心通过有线(例如同轴电缆、光纤、数字用户线)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可以用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质(例如，软盘、硬盘、磁带)，光介质、或者半导体介质(例如固态硬盘)等。
通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。
应该理解到，在本申请所提供的几个实施例中所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个装置，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是一个物理单元或多个物理单元，即可以位于一个地方，或者也可以分布到多个不同地方。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任 何在本申请揭露的技术范围内的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (132)

  1. 一种截短参数的保护方法，其特征在于，所述方法包括：
    移动管理网元判断终端是否符合预设条件，所述预设条件包括所述终端使用控制面蜂窝物联网CIoT第五代系统5GS优化功能；
    在所述终端符合预设条件的情况下，所述移动管理网元向所述终端发送经过非接入层NAS安全上下文进行NAS安全保护的下行NAS消息，所述下行NAS消息包括截短参数，所述截短参数用于对所述终端的第五代系统架构演进临时移动台标识符5G-S-TMSI进行截短处理。
  2. 根据权利要求1所述的方法，其特征在于，所述截短参数是所述移动管理网元预先存储的。
  3. 根据权利要求1所述的方法，其特征在于，所述方法还包括：
    所述移动管理网元接收接入网设备发送的所述截短参数。
  4. 根据权利要求1至3任一项所述的方法，其特征在于，所述移动管理网元判断终端是否符合预设条件，包括：
    所述移动管理网元判断所述终端是否使用控制面CIoT 5GS优化功能；
    若所述终端使用控制面CIoT 5GS优化功能，则所述移动管理网元确定所述终端符合预设条件；
    若所述终端没有使用控制面CIoT 5GS优化功能，则所述移动管理网元确定所述终端不符合预设条件。
  5. 根据权利要求1至3任一项所述的方法，其特征在于，所述预设条件还包括：所述终端是初始注册到网络的终端；
    所述移动管理网元判断终端是否符合预设条件，包括：
    所述移动管理网元判断所述终端是否使用控制面CIoT 5GS优化功能，以及所述终端是否是初始注册到网络的终端；
    若所述终端使用控制面CIoT 5GS优化功能且所述终端是初始注册到网络中的终端，则所述移动管理网元确定所述终端符合预设条件；
    若所述终端没有使用控制面CIoT 5GS优化功能或者所述终端不是初始注册到网络中的终端，则所述移动管理网元确定所述终端不符合预设条件。
  6. 根据权利要求5所述的方法，其特征在于，所述移动管理网元判断所述终端是否是初始注册到网络的终端，包括：
    所述移动管理网元根据所述终端上报的注册类型，确定所述终端是初始注册到网络的终端。
  7. 根据权利要求1至3任一项所述的方法，其特征在于，所述预设条件还包括：所述终端需要更新截短参数；
    所述移动管理网元判断终端是否符合预设条件，包括：
    所述移动管理网元判断所述终端是否使用控制面CIoT 5GS优化功能，以及所述终端是否需要更新截短参数；
    若所述终端使用控制面CIoT 5GS优化功能且所述终端是需要更新截短参数的终端，则所述移动管理网元确定所述终端符合预设条件；
    若所述终端没有使用控制面CIoT 5GS优化功能或者所述终端不是需要更新截短参数的终端，则所述移动管理网元确定所述终端不符合预设条件。
  8. 根据权利要求7所述的方法，其特征在于，所述移动管理网元判断所述终端是否需要更新截短参数，包括：
    当所述移动管理网元配置的截短参数与所述终端的上下文中存储的截短参数不相同时，所述移动管理网元确定所述终端需要更新截短参数。
  9. 根据权利要求7所述的方法，其特征在于，所述移动管理网元判断所述终端是否需要更新截短参数，包括：
    在所述移动管理网元更新截短参数之后，移动管理网元确定所述终端需要更新截短参数。
  10. 根据权利要求4至9任一项所述的方法，其特征在于，所述移动管理网元判断所述终端是否使用控制面CIoT 5GS优化功能，包括：
    若所述终端上报的偏好的网络行为用于指示终端偏好使用控制面CIoT 5GS优化功能，并且所述移动管理网元支持控制面CIoT 5GS优化功能，则所述移动管理网元确定所述终端使用控制面CIoT 5GS优化功能。
  11. 根据权利要求4至9任一项所述的方法，其特征在于，所述移动管理网元判断所述终端是否使用控制面CIoT 5GS优化功能，包括：
    若所述终端的上下文用于指示所述终端使用控制面CIoT 5GS优化功能，则所述移动管理网元确定所述终端使用控制面CIoT 5GS优化功能。
  12. 根据权利要求1至11任一项所述的方法，其特征在于，所述移动管理网元判断终端是否符合预设条件，包括：
    在所述移动管理网元接收到终端的注册请求消息或者服务请求消息之后，所述移动管理网元判断所述终端是否符合预设条件。
  13. 根据权利要求1至12任一项所述的方法，其特征在于，所述下行NAS消息为服务接受消息或者注册接受消息。
  14. 根据权利要求1至13任一项所述的方法，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  15. 根据权利要求14所述的方法，其特征在于，所述方法还包括：
    所述移动管理网元根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数；或者，
    所述移动管理网元根据网络管理系统的指令，更新截短参数；或者，
    所述移动管理网元接收接入网设备发送的更新后的截短参数。
  16. 一种截短参数的保护方法，其特征在于，所述方法包括：
    终端接收移动管理网元发送的经过NAS安全上下文进行NAS安全保护的下行NAS消息，所述下行NAS消息包括截短参数，所述截短参数用于对所述终端的 5G-S-TMSI进行截短处理；
    所述终端对所述下行NAS消息解安全保护；
    在成功对所述下行NAS消息解安全保护之后，所述终端存储所述截短参数。
  17. 根据权利要求16所述的方法，其特征在于，所述终端存储所述截短参数，包括：
    所述终端的NAS层存储所述截短参数。
  18. 根据权利要求17所述的方法，其特征在于，所述方法还包括：
    所述终端的NAS层向所述终端的无线资源控制RRC层发送截短参数；
    所述终端的RRC层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
  19. 根据权利要求17所述的方法，其特征在于，所述方法还包括：
    所述终端的NAS层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；
    所述终端的NAS层向所述终端的RRC层发送所述截短的5G-S-TMSI。
  20. 根据权利要求16所述的方法，其特征在于，所述终端存储所述截短参数，包括：
    所述终端的NAS层向所述终端的RRC层发送所述截短参数；
    所述终端的RRC层存储所述截短参数。
  21. 根据权利要求20所述的方法，其特征在于，所述方法还包括：
    所述终端的RRC层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
  22. 根据权利要求20所述的方法，其特征在于，所述方法还包括：
    所述终端的RRC层向所述终端的NAS层发送所述截短参数；
    所述终端的NAS层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；
    所述终端的NAS层向所述终端的RRC层发送所述截短的5G-S-TMSI。
  23. 根据权利要求18、19、21或者22所述的方法，其特征在于，所述方法还包括：
    所述终端向接入网设备发送RRC重建立请求消息，所述RRC重建立请求消息包括所述截短的5G-S-TMSI。
  24. 根据权利要求16至23任一项所述的方法，其特征在于，所述下行NAS消息为服务接受消息或者注册接受消息。
  25. 根据权利要求16至24任一项所述的方法，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  26. 一种截短参数的保护方法，其特征在于，所述方法包括：
    接入网设备判断终端是否支持CIoT 5GS优化特性；
    在所述终端支持CIoT 5GS优化特性的情况下，所述接入网设备向移动管理网元发送截短参数，所述截短参数用于对所述终端的5G-S-TMSI进行截短处理。
  27. 根据权利要求26所述的方法，其特征在于，所述接入网设备判断终端是否支持CIoT 5GS优化特性，包括：
    若所述终端的能力指示信息用于指示所述终端支持CIoT 5GS优化特性，则所述接入网设备确定所述终端支持CIoT 5GS优化特性。
  28. 根据权利要求26所述的方法，其特征在于，所述接入网设备判断终端是否支持CIoT 5GS优化特性，包括：
    若所述终端使用的频点与CIoT设备使用的频点相同，则所述接入网设备确定所述终端支持CIoT 5GS优化特性。
  29. 根据权利要求26所述的方法，其特征在于，所述接入网设备判断终端是否支持CIoT 5GS优化特性，包括：
    若所述终端发送的消息的类型与CIoT设备发送的消息的类型相同，则所述接入网设备确定所述终端支持CIoT 5GS优化特性。
  30. 根据权利要求26至29任一项所述的方法，其特征在于，所述接入网设备判断终端是否支持CIoT 5GS优化特性，包括：
    在所述接入网设备接收到所述终端发送的上行RRC消息之后，所述接入网设备判断终端是否支持CIoT 5GS优化特性。
  31. 根据权利要求30所述的方法，其特征在于，所述上行RRC消息为RRC建立请求消息或者RRC建立完成消息。
  32. 根据权利要求26至31任一项所述的方法，其特征在于，所述接入网设备向移动管理网元发送截短参数，包括：
    所述接入网设备向所述移动管理网元发送初始UE消息，所述初始UE消息包括所述截短参数。
  33. 根据权利要求26至32任一项所述的方法，其特征在于，所述截短参数是预先存储在所述接入网设备中的。
  34. 根据权利要求26至33任一项所述的方法，其特征在于，所述方法还包括：
    所述接入网设备接收所述终端发送的RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
  35. 根据权利要求26至34任一项所述的方法，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  36. 一种截短参数的保护方法，其特征在于，所述方法包括：
    移动管理网元更新截短参数，所述截短参数用于对5G-S-TMSI进行截短处理；
    所述移动管理网元查找使用控制面CIoT 5GS优化功能的终端；
    所述移动管理网元分别向所述使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，所述下行NAS消息包括更新后的截短参数。
  37. 根据权利要求36所述的方法，其特征在于，所述移动管理网元更新截短参数，包括：
    所述移动管理网元根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数；或者，
    所述移动管理网元根据网络管理系统的指令，更新截短参数；或者，
    所述移动管理网元接收接入网设备发送的更新后的截短参数。
  38. 根据权利要求36或37所述的方法，其特征在于，所述移动管理网元向所述使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，包括：
    在所述使用控制面CIoT 5GS优化功能的终端处于连接态的情况下，所述移动管理网元向所述使用控制面CIoT 5GS优化功能的终端发送所述下行NAS消息。
  39. 根据权利要求36或37所述的方法，其特征在于，所述移动管理网元向所述使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，包括：
    在所述使用控制面CIoT 5GS优化功能的终端处于非连接态的情况下，所述移动管理网元等待所述使用控制面CIoT 5GS优化功能的终端进入连接态；
    在所述使用控制面CIoT 5GS优化功能的终端进入连接态，并且所述移动管理网元与所述使用控制面CIoT 5GS优化功能的终端之间的激活NAS安全之后，所述移动管理网元向所述使用控制面CIoT 5GS优化功能的终端发送所述下行NAS消息。
  40. 根据权利要求36或37所述的方法，其特征在于，所述移动管理网元向所述使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，包括：
    在所述使用控制面CIoT 5GS优化功能的终端处于非连接态的情况下，所述移动管理网元以寻呼的方式触发所述使用控制面CIoT 5GS优化功能的终端进入连接态；
    在所述使用控制面CIoT 5GS优化功能的终端进入连接态，并且所述移动管理网元与所述使用控制面CIoT 5GS优化功能的终端之间的激活NAS安全之后，所述移动管理网元向所述使用控制面CIoT 5GS优化功能的终端发送所述下行NAS消息。
  41. 根据权利要求36至40任一项所述的方法，其特征在于，所述下行NAS消息为UE配置更新命令消息，或者服务接受消息。
  42. 根据权利要求36至41任一项所述的方法，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  43. 一种截短参数的保护方法，其特征在于，所述方法包括：
    移动管理网元接收接入网设备发送的截短参数，所述截短参数用于对终端的5G-S-TMSI进行截短处理；
    所述移动管理网元根据所述终端的NAS安全上下文，对所述终端的5G-S-TMSI进行完整性计算，生成第一NAS MAC；
    所述移动管理网元向所述接入网设备发送所述第一NAS MAC。
  44. 根据权利要求43所述的方法，其特征在于，所述方法还包括：
    所述移动管理网元接收所述接入网设备发送的保护指示信息和/或新鲜性参数，所述保护指示信息用于指示所述移动管理网元对所述截短参数进行安全保护，所述新鲜性参数用于对所述截短参数的完整性计算。
  45. 根据权利要求43或44所述的方法，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  46. 一种截短参数的保护方法，其特征在于，所述方法包括：
    接入网设备向移动管理网元发送截短参数，所述截短参数用于对终端的5G-S-TMSI进行截短处理；
    所述接入网设备接收所述移动管理网元发送的第一NAS MAC，所述第一NAS MAC是对所述截短参数进行完整性计算得到的；
    所述接入网设备向所述终端发送所述第一NAS MAC和所述截短参数。
  47. 根据权利要求46所述的截短参数的保护方法，其特征在于，所述方法还包括：
    所述接入网设备判断所述终端是否支持CIoT 5GS优化特性；
    所述接入网设备向移动管理网元发送截短参数，包括：
    在所述终端支持CIoT 5GS优化特性的情况下，所述接入网设备向所述移动管理网元发送截短参数。
  48. 根据权利要求47所述的方法，其特征在于，所述接入网设备判断终端是否支持CIoT 5GS优化特性，包括：
    若所述终端的能力指示信息用于指示所述终端支持CIoT 5GS优化特性，则所述接入网设备确定所述终端支持CIoT 5GS优化特性。
  49. 根据权利要求47所述的方法，其特征在于，所述接入网设备判断终端是否支持CIoT 5GS优化特性，包括：
    若所述终端使用的频点与CIot设备使用的频点相同，则所述接入网设备确定所述终端支持CIoT 5GS优化特性。
  50. 根据权利要求47所述的方法，其特征在于，所述接入网设备判断终端是否支持CIoT 5GS优化特性，包括：
    若所述终端发送的消息的类型与CIoT设备发送的消息的类型相同，则所述接入网设备确定所述终端支持CIoT 5GS优化特性。
  51. 根据权利要求47至50任一项所述的方法，其特征在于，接入网设备判断终端是否支持CIoT 5GS优化特性，包括：
    在所述接入网设备接收到所述终端发送的上行RRC消息之后，所述接入网设备判断终端是否支持CIoT 5GS优化特性。
  52. 根据权利要求51所述的方法，其特征在于，所述上行RRC消息为RRC建立请求消息或者RRC建立完成消息。
  53. 根据权利要求46至52任一项所述的方法，其特征在于，所述方法还包括：
    所述接入网设备向所述移动管理网元发送保护指示信息和/或新鲜性参数，所述保护指示信息用于指示所述移动管理网元对所述截短参数进行安全保护，所述新鲜性参数用于对所述截短参数的完整性计算。
  54. 根据权利要求46至53任一项所述的方法，其特征在于，所述方法还包括：
    所述接入网设备接收所述终端发送的RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
  55. 根据权利要求46至54任一项所述的方法，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  56. 一种截短参数的保护方法，其特征在于，所述方法包括：
    终端接收接入网设备发送的第一NAS MAC和截短参数，所述截短参数用于对所述终端的5G-S-TMSI进行截短处理；
    所述终端根据NAS安全上下文，对所述截短参数进行完整性计算，生成第二NAS MAC；
    所述终端根据所述第二NAS MAC，校验所述第一NAS MAC；
    在所述第一NAS MAC通过校验的情况下，所述终端存储所述截短参数。
  57. 根据权利要求56所述的方法，其特征在于，所述终端存储所述截短参数，包括：
    所述终端的RRC层存储所述截短参数。
  58. 根据权利要求57所述的方法，其特征在于，所述方法还包括：
    所述终端的RRC层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
  59. 根据权利要求57所述的方法，其特征在于，所述方法还包括：
    所述终端的RRC层向所述终端的NAS层发送所述截短参数；
    所述终端的NAS层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；
    所述终端的NAS层向所述终端的RRC层发送所述截短的5G-S-TMSI。
  60. 根据权利要求56所述的方法，其特征在于，所述终端存储所述截短参数，包括：
    所述终端的RRC层向所述终端的NAS层发送所述截短参数；
    所述终端的NAS层存储所述截短参数。
  61. 根据权利要求60所述的方法，其特征在于，所述方法还包括：
    所述终端的NAS层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；
    所述终端的NAS层向所述终端的RRC层发送所述截短的5G-S-TMSI。
  62. 根据权利要求60所述的方法，其特征在于，所述方法还包括：
    所述终端的NAS层向所述终端的RRC层发送所述截短参数；
    所述终端的RRC层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
  63. 根据权利要求56至62任一项所述的方法，其特征在于，所述方法还包括：
    所述终端向所述接入网设备发送RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
  64. 根据权利要求56至63任一项所述的方法，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  65. 一种通信装置，其特征在于，包括：
    处理模块，用于判断终端是否符合预设条件，所述预设条件包括所述终端使用控制面CIoT 5GS优化功能；
    通信模块，用于在所述终端符合预设条件的情况下，向所述终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，所述下行NAS消息包括截短参数，所述截短参数用于对所述终端的5G-S-TMSI进行截短处理。
  66. 根据权利要求65所述的通信装置，其特征在于，所述通信装置还包括存储模块；
    所述存储模块，用于存储所述截短参数。
  67. 根据权利要求65所述的通信装置，其特征在于，
    所述通信模块，还用于接收接入网设备发送的所述截短参数。
  68. 根据权利要求65至67任一项所述的通信装置，其特征在于，所述处理模块，用于判断终端是否符合预设条件，包括：
    判断所述终端是否使用控制面CIoT 5GS优化功能；
    若所述终端使用控制面CIoT 5GS优化功能，则确定所述终端符合预设条件；
    若所述终端没有使用控制面CIoT 5GS优化功能，则确定所述终端不符合预设条件。
  69. 根据权利要求65至67任一项所述的通信装置，其特征在于，所述预设条件还包括：所述终端是初始注册到网络的终端；
    所述处理模块，用于判断终端是否符合预设条件，包括：
    判断所述终端是否使用控制面CIoT 5GS优化功能，以及所述终端是否是初始注册到网络的终端；
    若所述终端使用控制面CIoT 5GS优化功能且所述终端是初始注册到网络中的终端，则确定所述终端符合预设条件；
    若所述终端没有使用控制面CIoT 5GS优化功能或者所述终端不是初始注册到网络中的终端，则确定所述终端不符合预设条件。
  70. 根据权利要求69所述的通信装置，其特征在于，
    所述处理模块，具体用于根据所述终端上报的注册类型，确定所述终端是初始注册到网络的终端。
  71. 根据权利要求65至67任一项所述的通信装置，其特征在于，所述预设条件还包括：所述终端需要更新截短参数；
    所述处理模块，用于判断终端是否符合预设条件，包括：
    判断所述终端是否使用控制面CIoT 5GS优化功能，以及所述终端是否需要更新截短参数；
    若所述终端使用控制面CIoT 5GS优化功能且所述终端是需要更新截短参数的终端，则确定所述终端符合预设条件；
    若所述终端没有使用控制面CIoT 5GS优化功能或者所述终端不是需要更新截短参数的终端，则确定所述终端不符合预设条件。
  72. 根据权利要求71所述的通信装置，其特征在于，
    所述处理模块，具体用于当移动管理网元配置的截短参数与所述终端的上下文中存储的截短参数不相同时，确定所述终端需要更新截短参数。
  73. 根据权利要求71所述的通信装置，其特征在于，
    所述处理模块，具体用于在移动管理网元更新截短参数之后，确定所述终端需要更新截短参数。
  74. 根据权利要求68至73任一项所述的通信装置，其特征在于，
    所述处理模块，具体用于若所述终端上报的偏好的网络行为用于指示终端偏好使用控制面CIoT 5GS优化功能，并且移动管理网元支持控制面CIoT 5GS优化功能，则确定所述终端使用控制面CIoT 5GS优化功能。
  75. 根据权利要求68至73任一项所述的通信装置，其特征在于，
    所述处理模块，具体用于若所述终端的上下文用于指示所述终端使用控制面CIoT 5GS优化功能，则确定所述终端使用控制面CIoT 5GS优化功能。
  76. 根据权利要求68至75任一项所述的通信装置，其特征在于，
    所述处理模块，具体用于在所述通信模块接收到终端的注册请求消息或者服务请求消息之后，判断所述终端是否符合预设条件。
  77. 根据权利要求65至76任一项所述的通信装置，其特征在于，所述下行NAS消息为服务接受消息或者注册接受消息。
  78. 根据权利要求65至77任一项所述的通信装置，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短 AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  79. 根据权利要求78所述的通信装置，其特征在于，
    所述处理模块，用于根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数；或者，
    所述处理模块，用于根据网络管理系统的指令，更新截短参数；或者，
    所述通信模块，用于接收接入网设备发送的更新后的截短参数。
  80. 一种通信装置，其特征在于，包括：
    通信模块，用于接收移动管理网元发送的经过NAS安全上下文进行NAS安全保护的下行NAS消息，所述下行NAS消息包括截短参数，所述截短参数用于对终端的5G-S-TMSI进行截短处理；
    处理模块，用于对所述下行NAS消息解安全保护；
    存储模块，用于在所述处理模块成功对所述下行NAS消息解安全保护之后，存储所述截短参数。
  81. 根据权利要求80所述的通信装置，其特征在于，所述存储模块，用于存储所述截短参数，包括：
    NAS层存储所述截短参数。
  82. 根据权利要求81所述的通信装置，其特征在于，所述处理模块，还用于获取截短的5G-S-TMSI，包括：
    NAS层向RRC层发送截短参数；
    RRC层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
  83. 根据权利要求81所述的通信装置，其特征在于，所述处理模块，还用于获取截短的5G-S-TMSI，包括：
    NAS层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；
    NAS层向RRC层发送所述截短的5G-S-TMSI。
  84. 根据权利要求80所述的通信装置，其特征在于，所述存储模块，用于存储所述截短参数，包括：
    NAS层向RRC层发送所述截短参数；
    RRC层存储所述截短参数。
  85. 根据权利要求84所述的通信装置，其特征在于，所述处理模块，还用于获取截短的5G-S-TMSI，包括：
    RRC层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
  86. 根据权利要求84所述的通信装置，其特征在于，所述处理模块，还用于获取截短的5G-S-TMSI，包括：
    RRC层向NAS层发送所述截短参数；
    所述NAS层根据所述截短参数，对所述终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；
    所述NAS层向所述RRC层发送所述截短的5G-S-TMSI。
  87. 根据权利要求82、83、85或者86所述的通信装置，其特征在于，
    所述通信模块，还用于向接入网设备发送RRC重建立请求消息，所述RRC重建立请求消息包括所述截短的5G-S-TMSI。
  88. 根据权利要求80至87任一项所述的通信装置，其特征在于，所述下行NAS消息为服务接受消息或者注册接受消息。
  89. 根据权利要求80至88任一项所述的通信装置，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  90. 一种通信装置，其特征在于，包括：
    处理模块，用于判断终端是否支持CIoT 5GS优化特性；
    通信模块，用于在所述终端支持CIoT 5GS优化特性的情况下，向移动管理网元发送截短参数，所述截短参数用于对所述终端的5G-S-TMSI进行截短处理。
  91. 根据权利要求90所述的通信装置，其特征在于，
    所述处理模块，具体用于若所述终端的能力指示信息用于指示所述终端支持CIoT5GS优化特性，则确定所述终端支持CIoT 5GS优化特性。
  92. 根据权利要求90所述的通信装置，其特征在于，
    所述处理模块，具体用于若所述终端使用的频点与CIoT设备使用的频点相同，则确定所述终端支持CIoT 5GS优化特性。
  93. 根据权利要求90所述的通信装置，其特征在于，
    所述处理模块，具体用于若所述终端发送的消息的类型与CIoT设备发送的消息的类型相同，则确定所述终端支持CIoT 5GS优化特性。
  94. 根据权利要求90至93任一项所述的通信装置，其特征在于，
    所述处理模块，具体用于在所述通信模块接收到所述终端发送的上行RRC消息之后，判断终端是否支持CIoT 5GS优化特性。
  95. 根据权利要求94所述的通信装置，其特征在于，所述上行RRC消息为RRC建立请求消息或者RRC建立完成消息。
  96. 根据权利要求90至95任一项所述的通信装置，其特征在于，
    所述通信模块，具体用于向所述移动管理网元发送初始UE消息，所述初始UE消息包括所述截短参数。
  97. 根据权利要求90至96任一项所述的通信装置，其特征在于，所述通信装置还包括存储模块；
    所述存储模块，用于存储所述截短参数。
  98. 根据权利要求90至97任一项所述的通信装置，其特征在于，
    所述通信模块，用于接收所述终端发送的RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
  99. 根据权利要求90至98任一项所述的通信装置，其特征在于，
    5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  100. 一种通信装置，其特征在于，包括：
    处理模块，用于更新截短参数，所述截短参数用于对5G-S-TMSI进行截短处理；查找使用控制面CIoT 5GS优化功能的终端；
    通信模块，用于向所述使用控制面CIoT 5GS优化功能的终端发送经过NAS安全上下文进行NAS安全保护的下行NAS消息，所述下行NAS消息包括更新后的截短参数。
  101. 根据权利要求100所述的通信装置，其特征在于，
    所述处理模块，用于根据AMF set ID的数目和/或AMF pointer的数目，更新截短参数；或者，根据网络管理系统的指令，更新截短参数；或者，接收接入网设备发送的更新后的截短参数。
  102. 根据权利要求100或101所述的通信装置，其特征在于，
    所述通信模块，具体用于在所述使用控制面CIoT 5GS优化功能的终端处于连接态的情况下，向所述使用控制面CIoT 5GS优化功能的终端发送所述下行NAS消息。
  103. 根据权利要求100或101所述的通信装置，其特征在于，
    所述通信模块，具体用于在所述使用控制面CIoT 5GS优化功能的终端处于非连接态的情况下，等待所述使用控制面CIoT 5GS优化功能的终端进入连接态；在所述使用控制面CIoT 5GS优化功能的终端进入连接态，并且移动管理网元与所述使用控制面CIoT 5GS优化功能的终端之间的激活NAS安全之后，向所述使用控制面CIoT 5GS优化功能的终端发送所述下行NAS消息。
  104. 根据权利要求100或101所述的通信装置，其特征在于，
    所述通信模块，具体用于在所述使用控制面CIoT 5GS优化功能的终端处于非连接态的情况下，以寻呼的方式触发所述使用控制面CIoT 5GS优化功能的终端进入连接态；在所述使用控制面CIoT 5GS优化功能的终端进入连接态，并且移动管理网元与所述使用控制面CIoT 5GS优化功能的终端之间的激活NAS安全之后，向所述使用控制面CIoT 5GS优化功能的终端发送所述下行NAS消息。
  105. 根据权利要求100至104任一项所述的通信装置，其特征在于，所述下行NAS消息为UE配置更新命令消息，或者服务接受消息。
  106. 根据权利要求100至105任一项所述的通信装置，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  107. 一种通信装置，其特征在于，包括：
    通信模块，用于接收接入网设备发送的截短参数，所述截短参数用于对终端的5G-S-TMSI进行截短处理；
    处理模块，用于根据所述终端的NAS安全上下文，对所述终端的5G-S-TMSI进行完整性计算，生成第一NAS MAC；
    通信模块，还用于向所述接入网设备发送所述第一NAS MAC。
  108. 根据权利要求107所述的通信装置，其特征在于，
    所述通信模块，还用于接收所述接入网设备发送的保护指示信息和/或新鲜性参数，所述保护指示信息用于指示移动管理网元对所述截短参数进行安全保护，所述新鲜性参数用于对所述截短参数的完整性计算。
  109. 根据权利要求107或108所述的通信装置，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  110. 一种通信装置，其特征在于，包括：
    通信模块，用于向移动管理网元发送截短参数，所述截短参数用于对终端的5G-S-TMSI进行截短处理；接收所述移动管理网元发送的第一NAS MAC，所述第一NAS MAC是对所述截短参数进行完整性计算得到的；向所述终端发送所述第一NAS MAC和所述截短参数。
  111. 根据权利要求110所述的通信装置，其特征在于，所述通信装置还包括处理模块；
    所述处理模块，用于判断所述终端是否支持CIoT 5GS优化特性；
    所述通信模块，具体用于在所述终端支持CIoT 5GS优化特性的情况下，向所述移动管理网元发送截短参数。
  112. 根据权利要求111所述的通信装置，其特征在于，
    所述处理模块，具体用于若所述终端的能力指示信息用于指示所述终端支持CIoT 5GS优化特性，则确定所述终端支持CIoT 5GS优化特性。
  113. 根据权利要求111所述的通信装置，其特征在于，
    所述处理模块，具体用于若所述终端使用的频点与CIot设备使用的频点相同，则确定所述终端支持CIoT 5GS优化特性。
  114. 根据权利要求111所述的通信装置，其特征在于，
    所述处理模块，具体用于若所述终端发送的消息的类型与CIoT设备发送的消息的类型相同，则确定所述终端支持CIoT 5GS优化特性。
  115. 根据权利要求111至114任一项所述的通信装置，其特征在于，
    所述通信模块，还用于接收所述终端发送的上行RRC消息；
    所述处理模块，具体用于在所述通信模块接收到所述终端发送的上行RRC消息之后，判断终端是否支持CIoT 5GS优化特性。
  116. 根据权利要求115所述的通信装置，其特征在于，所述上行RRC消息为RRC建立请求消息或者RRC建立完成消息。
  117. 根据权利要求110至116任一项所述的通信装置，其特征在于，
    所述通信模块，还用于向所述移动管理网元发送保护指示信息和/或新鲜性参数，所述保护指示信息用于指示所述移动管理网元对所述截短参数进行安全保护，所述新鲜性参数用于对所述截短参数的完整性计算。
  118. 根据权利要求110至117任一项所述的通信装置，其特征在于，
    所述通信模块，还用于接收所述终端发送的RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
  119. 根据权利要求110至118任一项所述的通信装置，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  120. 一种通信装置，其特征在于，包括：
    通信模块，用于接收接入网设备发送的第一NAS MAC和截短参数，所述截短参数用于对5G-S-TMSI进行截短处理；
    处理模块，用于根据NAS安全上下文，对所述截短参数进行完整性计算，生成第二NAS MAC；根据所述第二NAS MAC，校验所述第一NAS MAC；
    存储模块，用于在所述第一NAS MAC通过校验的情况下，存储所述截短参数。
  121. 根据权利要求120所述的通信装置，其特征在于，所述存储模块，用于存储所述截短参数，包括：
    RRC层存储所述截短参数。
  122. 根据权利要求121所述的通信装置，其特征在于，所述处理模块，还用于获得截短的5G-S-TMSI，包括：
    RRC层根据所述截短参数，对终端的5G-S-TMSI进行截短处理，获得所述截短的5G-S-TMSI。
  123. 根据权利要求121所述的通信装置，其特征在于，所述处理模块，还用于获得截短的5G-S-TMSI，包括：
    RRC层向NAS层发送所述截短参数；
    所述NAS层根据所述截短参数，对终端的5G-S-TMSI进行截短处理，获得所述截短的5G-S-TMSI；
    所述NAS层向所述RRC层发送所述截短的5G-S-TMSI。
  124. 根据权利要求120所述的通信装置，其特征在于，所述存储模块，用于存储所述截短参数，包括：
    RRC层向NAS层发送所述截短参数；
    所述NAS层存储所述截短参数。
  125. 根据权利要求124所述的通信装置，其特征在于，所述处理模块，还用于获 得截短的5G-S-TMSI，包括：
    NAS层根据所述截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI；
    所述NAS层向RRC层发送所述截短的5G-S-TMSI。
  126. 根据权利要求124所述的通信装置，其特征在于，所述处理模块，还用于获得截短的5G-S-TMSI，包括：
    NAS层向RRC层发送所述截短参数；
    所述RRC层根据所述截短参数，对终端的5G-S-TMSI进行截短处理，获得截短的5G-S-TMSI。
  127. 根据权利要求120至126任一项所述的通信装置，其特征在于，
    所述通信模块，还用于向所述接入网设备发送RRC重建立请求消息，所述RRC重建立请求消息包括截短的5G-S-TMSI。
  128. 根据权利要求120至127任一项所述的通信装置，其特征在于，5G-S-TMSI的第一个比特到第十个比特用于表示AMF set ID，5G-S-TMSI的第十一个比特到第十六个比特用于表示AMF pointer，5G-S-TMSI的第十七个比特到第四十八个比特用于表示5G-TMSI；
    所述截短参数包括第一截短参数和第二截短参数，所述第一截短参数用于截短AMF set ID和5G-TMSI，所述第二截短参数用于截短AMF pointer和5G-TMSI。
  129. 一种通信装置，其特征在于，包括处理器和通信接口，所述处理器用于执行计算机程序指令，使得所述通信装置实现权利要求1至64任一项所述的截短参数的保护方法。
  130. 一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有指令，当所述指令在计算机上运行时，使得所述计算机执行权利要求1至64任一项所述的截短参数的保护方法。
  131. 一种计算机程序产品，其特征在于，所述计算机程序产品包括指令，当所述计算机程序产品在计算机上运行时，使得所述计算机执行权利要求1至64任一项所述的截短参数的保护方法。
  132. 一种芯片，其特征在于，所述芯片包括处理器，当所述处理器执行计算机程序指令时，使得所述芯片执行权利要求1至64任一项所述的截短参数的保护方法。
PCT/CN2019/116867 2019-11-08 2019-11-08 截短参数的保护方法及装置 WO2021088067A1 (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN201980101852.0A CN114631342A (zh) 2019-11-08 2019-11-08 截短参数的保护方法及装置
EP19951784.8A EP4050916A4 (en) 2019-11-08 2019-11-08 METHOD AND DEVICE FOR PROTECTING A TRUNKED PARAMETER
BR112022008445A BR112022008445A2 (pt) 2019-11-08 2019-11-08 Método para proteger parâmetro truncado, aparelho, mídia de armazenamento legível por computador e chip
MX2022005507A MX2022005507A (es) 2019-11-08 2019-11-08 Metodo para proteger parametro truncado, aparato, medio de almacenamiento legible por computadora y chip.
PCT/CN2019/116867 WO2021088067A1 (zh) 2019-11-08 2019-11-08 截短参数的保护方法及装置
US17/738,785 US20220264305A1 (en) 2019-11-08 2022-05-06 Method for Protecting Truncated Parameter and Apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2019/116867 WO2021088067A1 (zh) 2019-11-08 2019-11-08 截短参数的保护方法及装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/738,785 Continuation US20220264305A1 (en) 2019-11-08 2022-05-06 Method for Protecting Truncated Parameter and Apparatus

Publications (1)

Publication Number Publication Date
WO2021088067A1 true WO2021088067A1 (zh) 2021-05-14

Family

ID=75849539

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2019/116867 WO2021088067A1 (zh) 2019-11-08 2019-11-08 截短参数的保护方法及装置

Country Status (6)

Country Link
US (1) US20220264305A1 (zh)
EP (1) EP4050916A4 (zh)
CN (1) CN114631342A (zh)
BR (1) BR112022008445A2 (zh)
MX (1) MX2022005507A (zh)
WO (1) WO2021088067A1 (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101541076A (zh) * 2008-03-19 2009-09-23 华为技术有限公司 节约信令消息的方法、系统和网络节点
CN107925525A (zh) * 2015-07-02 2018-04-17 Lg 电子株式会社 在无线通信系统中发送和接收上行链路数据的方法及其装置
CN108377518A (zh) * 2016-11-04 2018-08-07 中兴通讯股份有限公司 一种连接重建立方法及装置、电子设备
CN109983788A (zh) * 2017-01-06 2019-07-05 高通股份有限公司 用于限制定位协议的消息大小的系统和方法
US20190222489A1 (en) * 2018-04-09 2019-07-18 Intel Corporation NETWORK DATA ANALYTICS FUNCTION (NWDAF) INFLUENCING FIFTH GENERATION (5G) QUALITY OF SERVICE (QoS) CONFIGURATION AND ADJUSTMENT

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017133021A1 (zh) * 2016-02-06 2017-08-10 华为技术有限公司 一种安全处理方法及相关设备
EP3437425B1 (en) * 2016-04-01 2021-09-15 Apple Inc. Devices and computer readable medium for resume failure fallback
KR20170123236A (ko) * 2016-04-28 2017-11-07 엘지전자 주식회사 데이터 볼륨 정보를 전송하는 방법 및 사용자기기
CN107396455B (zh) * 2016-05-16 2021-01-05 中兴通讯股份有限公司 连接处理方法及装置
US11026128B2 (en) * 2017-10-19 2021-06-01 Qualcomm Incorporated Mechanism to enable interworking between network slicing and evolved packet core connectivity
KR102216156B1 (ko) * 2017-11-13 2021-02-16 엘지전자 주식회사 무선 통신 시스템에서 액세스의 전환에 관련된 신호 송수신 방법 및 이를 위한 장치

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101541076A (zh) * 2008-03-19 2009-09-23 华为技术有限公司 节约信令消息的方法、系统和网络节点
CN107925525A (zh) * 2015-07-02 2018-04-17 Lg 电子株式会社 在无线通信系统中发送和接收上行链路数据的方法及其装置
CN108377518A (zh) * 2016-11-04 2018-08-07 中兴通讯股份有限公司 一种连接重建立方法及装置、电子设备
CN109983788A (zh) * 2017-01-06 2019-07-05 高通股份有限公司 用于限制定位协议的消息大小的系统和方法
US20190222489A1 (en) * 2018-04-09 2019-07-18 Intel Corporation NETWORK DATA ANALYTICS FUNCTION (NWDAF) INFLUENCING FIFTH GENERATION (5G) QUALITY OF SERVICE (QoS) CONFIGURATION AND ADJUSTMENT

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
3GPP TS 33.401 F50

Also Published As

Publication number Publication date
EP4050916A1 (en) 2022-08-31
CN114631342A (zh) 2022-06-14
MX2022005507A (es) 2022-06-02
EP4050916A4 (en) 2022-11-02
US20220264305A1 (en) 2022-08-18
BR112022008445A2 (pt) 2022-07-19

Similar Documents

Publication Publication Date Title
US9184977B2 (en) System for controlling access to device-to-device communication services in wireless network
WO2020052416A1 (zh) 一种安全保护方法、设备及系统
WO2020221218A1 (zh) 信息获取方法及装置
US11848963B2 (en) Method for providing restricted service, and communications device
US20220210859A1 (en) Data transmission method and apparatus
WO2019029691A1 (zh) 数据完整性保护方法和装置
CN110535808B (zh) 一种设备监控、去注册方法及装置
EP4142328A1 (en) Network authentication method and apparatus, and system
US20220174761A1 (en) Communications method and apparatus
WO2022028259A1 (zh) 用户签约数据的获取方法及装置
US20230337002A1 (en) Security context generation method and apparatus, and computer-readable storage medium
US20220303763A1 (en) Communication method, apparatus, and system
US20220174497A1 (en) Communication Method And Apparatus
WO2020249126A1 (zh) 安全校验方法及装置
KR102104844B1 (ko) 데이터 전송 방법， 제1 장치 및 제2 장치
WO2023179679A1 (zh) 一种基于信道秘钥的加密方法及装置
WO2021088067A1 (zh) 截短参数的保护方法及装置
RU2805219C1 (ru) Способ защиты усеченного параметра, устройство, считываемый компьютером носитель данных и микросхема
WO2021147053A1 (zh) 数据传输方法、装置及系统
WO2023098209A1 (zh) 一种数据传输保护方法、设备及系统
WO2022160275A1 (zh) 无线通信方法、设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19951784

Country of ref document: EP

Kind code of ref document: A1

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112022008445

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 2019951784

Country of ref document: EP

Effective date: 20220527

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 112022008445

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20220502