WO2023245387A1 - 用户设备ue漫游条件下的应用认证与密钥管理akma应用程序密钥请求方法及装置 - Google Patents

用户设备ue漫游条件下的应用认证与密钥管理akma应用程序密钥请求方法及装置 Download PDF

Info

Publication number
WO2023245387A1
WO2023245387A1 PCT/CN2022/099963 CN2022099963W WO2023245387A1 WO 2023245387 A1 WO2023245387 A1 WO 2023245387A1 CN 2022099963 W CN2022099963 W CN 2022099963W WO 2023245387 A1 WO2023245387 A1 WO 2023245387A1
Authority
WO
WIPO (PCT)
Prior art keywords
akma
key
application
application key
network
Prior art date
Application number
PCT/CN2022/099963
Other languages
English (en)
French (fr)
Inventor
梁浩然
陆伟
沈洋
刘建宁
Original Assignee
北京小米移动软件有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京小米移动软件有限公司 filed Critical 北京小米移动软件有限公司
Priority to PCT/CN2022/099963 priority Critical patent/WO2023245387A1/zh
Priority to CN202280002210.7A priority patent/CN117616789A/zh
Publication of WO2023245387A1 publication Critical patent/WO2023245387A1/zh

Links

Images

Definitions

  • the present disclosure relates to the field of mobile communication technology, and in particular to an AKMA application key request method and device for application authentication and key management under user equipment UE roaming conditions.
  • AKMA application authentication and key management for Applications
  • UE User Equipment
  • AF Application Function
  • the present disclosure provides an AKMA application key request method and device for application authentication and key management under user equipment UE roaming conditions, which can enable AKMA to support roaming scenarios.
  • the first aspect of the present disclosure provides an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions.
  • the method is applied to application function AF, and the method includes:
  • the AKMA application secret is sent to the first network element in the home network corresponding to the UE or the second network element in the serving network corresponding to the UE. Key request.
  • the service network is a service network used by the roaming state UE to establish a connection with the AF.
  • the method further includes: determining whether the user equipment UE is in a roaming state;
  • Determining whether the user equipment UE is in a roaming state includes:
  • the UE information at least includes the identification of the public land mobile network used by the UE to establish a connection with the AF, the access type used by the UE, the Type of radio access technology;
  • determining whether the UE is in a roaming state according to the home network identifier and the identifier of the public land mobile network used by the UE to establish a connection with the AF includes:
  • the UE is roaming. state.
  • sending the AKMA application key to the first network element in the home network corresponding to the UE specifically includes: in response to the AF not having an AKMA application key associated with the AKMA key identifier, sending at least the UE information and the first network element in the home network corresponding to the UE.
  • the first AKMA application key request identified by the AKMA key;
  • the first AKMA application key request before sending the first AKMA application key request carrying at least the UE information and the AKMA key identification to the first network element in the home network corresponding to the UE, include:
  • sending the first AKMA application key request carrying at least the UE information and the AKMA key identification to the first network element in the home network corresponding to the UE includes:
  • the first AKMA application key request carrying at least the UE information, the AKMA key identifier and the AKMA application identifier is sent to the first network element in the home network corresponding to the UE through the network opening function NEF.
  • sending the AKMA application key to the second network element in the service network corresponding to the UE specifically includes: in response to the fact that the current AF does not have an AKMA application key associated with the AKMA key identifier, sending at least the UE information and the information to the second network element in the service network corresponding to the UE.
  • a second AKMA application key response sent by the second network element in response or an error response of a failed AKMA key request where the second AKMA application key response at least includes a subscription permanent identifier and a universal public user identifier. , the AKMA Application Key and the expiration time of said AKMA Application Key.
  • the second AKMA application key request before sending the second AKMA application key request carrying at least the UE information and the AKMA key identification to the second network element in the service network corresponding to the UE, include:
  • sending a second AKMA application key request carrying at least the UE information and the AKMA key identification to the second network element in the service network corresponding to the UE includes:
  • the second AKMA application key request carrying at least the UE information, the AKMA key identifier and the AKMA application identifier is sent to the second network element in the service network corresponding to the UE through the network opening function NEF.
  • the method further includes:
  • the UE sends an error response indicating that the application session establishment failed.
  • the second aspect of the present disclosure provides an AKMA application key request method for application authentication and key management under roaming conditions of the user equipment UE.
  • the method is applied to the first network element in the home network corresponding to the user equipment UE. , the method includes:
  • the first network element is the AKMA anchor function AAnF in the service network corresponding to the UE.
  • Application key response in response to the UE being in a roaming state and the AKMA application key request being initiated by the AF of the home network corresponding to the UE, sending the first AKMA application key regarding the AKMA application key to the AF.
  • Application key response including:
  • the first AKMA application key request sent by the AF corresponding to the home network of the UE, wherein the first AKMA application key request carries at least the UE information and the AKMA key identification of the UE, and the first The AKMA application key request is sent by the AF when it is connected to the home network corresponding to the UE and there is no AKMA application key associated with the AKMA key identification;
  • the AKMA Application Key response including at least a subscription permanent identifier, a universal public user identifier, the AKMA Application Key and an expiration time of the AKMA Application Key;
  • the method before determining whether the AKMA key identifier carried in the first AKMA application key request contains an AKMA anchor key, the method further includes:
  • the AKMA application key confirmation request message at least includes an AKMA application identifier, a subscription permanent identifier, a general public user identifier, and AKMA The expiry time of the application key and said AKMA application key;
  • the request in response to the UE being in a roaming state and the AKMA application key request being initiated by the second network element of the UE's corresponding service network, the request is made to the second network element of the UE's corresponding service network.
  • element sends a second AKMA Application Key response regarding the AKMA Application Key, including:
  • the second AKMA application key request relayed by the second network element in the corresponding service network of the UE, wherein the second AKMA application key request carries at least the UE information of the UE and the AKMA key identification,
  • the second AKMA application key request is sent by the AF when it is connected to the service network corresponding to the UE and there is no AKMA application key associated with the AKMA key identification;
  • the second network element in the AF sends a second AKMA application key response regarding the AKMA application key, and the second AKMA application
  • the program key response includes at least the subscription permanent identifier, the universal public user identifier, the AKMA application key, and the expiration time of the AKMA application key;
  • an error response indicating that the AKMA key request failed is sent to the second network element in the service network corresponding to the UE.
  • the method further includes:
  • the method further includes:
  • Obtain the home network identification of the UE according to the AKMA key identification obtain the identification of the public land mobile network used by the UE to establish a connection with the AF according to the UE information, and obtain the identification of the public land mobile network used by the UE to establish a connection with the AF according to the home network identification and the UE's identification of the AF.
  • the identification of the public land mobile network to which the connection is established determines whether the UE is in a roaming state.
  • the third aspect embodiment of the present disclosure provides an AKMA application key request method for application authentication and key management under roaming conditions of user equipment UE.
  • the method is applied to the second network element in the corresponding access network of user equipment UE. , the method includes:
  • the second AKMA application key request sent by the application function AF, wherein the second AKMA application key request carries at least the UE information of the UE and the AKMA key identification, and the second AKMA application key
  • the request is sent by the AF when the UE is in the roaming state, connected to the service network corresponding to the UE, and there is no AKMA application key associated with the AKMA key identifier;
  • the second AKMA application key response at least includes a subscription permanent identifier, the Universal Public User Identifier, said AKMA Application Key, and the expiration time of said AKMA Application Key;
  • the second AKMA application key response or the error response of the AKMA key request failure is relayed to the AF.
  • the second network element is the AKMA anchor function proxy AAnFproxy in the service network corresponding to the UE.
  • the method before relaying the second AKMA application key request to the first network element in the home network corresponding to the UE, the method further includes:
  • the method further includes:
  • the AKMA application key confirmation request is that the first network element in the UE's corresponding home network confirms that the UE is based on the UE information of the UE.
  • the serving network is sent when the UE establishes a connection with the AF connected to the home network corresponding to the UE;
  • the method further includes:
  • the fourth aspect of the present disclosure provides an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions.
  • the method is applied to the network opening function NEF, and the method includes:
  • the fifth aspect embodiment of the present disclosure provides an AKMA application key request device for application authentication and key management under user equipment UE roaming conditions.
  • the device is applied to the application function AF, and the device includes:
  • a sending module configured to send a message to the first network element in the home network corresponding to the UE or the second network element in the serving network corresponding to the UE according to whether the network to which the AF is connected is the home network of the UE in the roaming state.
  • Send AKMA application key request configured to send a message to the first network element in the home network corresponding to the UE or the second network element in the serving network corresponding to the UE according to whether the network to which the AF is connected is the home network of the UE in the roaming state.
  • the sixth aspect of the present disclosure provides an AKMA application key request device for application authentication and key management under roaming conditions of user equipment UE.
  • the device is applied to the first network element in the home network corresponding to user equipment UE.
  • the device includes:
  • a sending module configured to respond to the UE being in a roaming state and the AKMA application key request being initiated by the application function AF of the home network corresponding to the UE, sending the first AKMA application program regarding the AKMA application key to the AF. Key response, and at the same time send an AKMA application key confirmation request message to the second network element in the service network corresponding to the UE;
  • the sending module is also configured to respond to the UE being in a roaming state and the AKMA application key request is initiated by the second network element of the UE's corresponding service network, and sending the relevant information to the second network element of the UE's corresponding service network.
  • the AKMA Application Key responds to the second AKMA Application Key.
  • a seventh embodiment of the present disclosure provides an AKMA application key request device for application authentication and key management under roaming conditions of user equipment UE, which device is applied to the second network element in the corresponding access network of user equipment UE.
  • the device includes:
  • a receiving module configured to receive a second AKMA application key request sent by the application function AF, wherein the second AKMA application key request carries at least the UE information of the UE and the AKMA key identification, and the second The AKMA application key request is sent by the AF when the UE is in the roaming state, connected to the service network corresponding to the UE, and there is no AKMA application key associated with the AKMA key identification;
  • a relay module configured to relay the second AKMA application key request to the first network element in the home network corresponding to the UE;
  • the receiving module is also configured to receive a second AKMA application key response or an error response of a failed AKMA key request sent by the first network element in the corresponding home network of the UE.
  • the second AKMA application key The response includes at least the subscription permanent identifier, the universal public user identifier, the AKMA application key, and the expiration time of the AKMA application key;
  • the relay module is also configured to relay the second AKMA application key response or the error response of the AKMA key request failure to the AF when the AF is connected to the service network corresponding to the UE. Said AF.
  • the eighth embodiment of the present disclosure provides an AKMA application key request device for application authentication and key management under user equipment UE roaming conditions.
  • the device is applied to the network opening function NEF, and the device includes:
  • a sending module configured to respond to the fact that the application function AF does not exist in the third generation partner plan operator domain, and send at least the UE information, the AKMA key identifier and the AKMA to the first network element in the home network corresponding to the user equipment UE.
  • the first AKMA application key requested by the application ID; or,
  • a sending module configured to respond to the fact that the application function AF does not exist in the third generation partner plan operator domain, and send at least the UE information, the AKMA key identification and the AKMA to the second network element in the service network corresponding to the user equipment UE. Second AKMA application key request for application identity.
  • a ninth embodiment of the present disclosure provides a communication device.
  • the communication device includes: a transceiver; a memory; and a processor, respectively connected to the transceiver and the memory, and configured to control the transceiver by executing computer-executable instructions on the memory.
  • wireless signal transceiver and can implement the method as in the first aspect embodiment or the second aspect embodiment or the third aspect embodiment or the fourth aspect embodiment of the present disclosure.
  • a tenth aspect embodiment of the present disclosure provides a computer storage medium, wherein the computer storage medium stores computer-executable instructions; after the computer-executable instructions are executed by a processor, the computer-executable instructions can implement the first embodiment or the third aspect of the present disclosure.
  • Embodiments of the present disclosure provide an AKMA application key request method and device for application authentication and key management under user equipment UE roaming conditions, in which the application function AF can be used based on whether the network to which the AF is connected is that of the UE in the roaming state.
  • the home network sends an AKMA application key request to the first network element in the home network corresponding to the UE or the second network element in the serving network corresponding to the UE.
  • the determination of roaming status is integrated, so that AKMA can support roaming scenarios to meet the potential use case requirements of AKMA.
  • Figure 1 is a schematic flow chart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 2 is a schematic flow chart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 3 is a schematic flow chart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 4 is a schematic flow chart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 5 is a schematic flow chart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 6 is a flow chart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 7 is a schematic flow chart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 8 is a sequence diagram of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 9 is a block diagram of an AKMA application key request device for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 10 is a block diagram of an AKMA application key request device for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 11 is a block diagram of an AKMA application key request device for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 12 is a block diagram of an AKMA application key request device for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure
  • Figure 13 is a schematic structural diagram of a communication device according to an embodiment of the present disclosure.
  • Figure 14 is a schematic structural diagram of a chip provided by an embodiment of the present disclosure.
  • the 3rd Generation Partnership Project (3GPP) version 3 service pack (Service Pack3, SA3) in 3GPP TS 33.535 provides application authentication and key management (Authentication and Key) based on the 3rd Generation Partner Program credentials. Authentication and key management are specified for applications based on 3GPP credentials (AKMA).
  • the AKMA feature has been used as a solution for secure communication between user equipment (User Equipment, UE) and application function (Application Function, AF) in ProSe, MSGin5G and other scenarios. Considering the current and potential use cases of AKMA, the roaming aspect must be considered, which is currently not addressed in rel-17.
  • the present disclosure proposes an AKMA application key request method and device for application authentication and key management under user equipment UE roaming conditions, which can enable AKMA to support roaming scenarios.
  • Figure 1 shows a schematic flow chart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure. As shown in Figure 1, the method is applied to the application function AF, and may include the following steps.
  • Step 101 Depending on whether the network to which the AF is connected is the home network of the UE in the roaming state, send an AKMA application key request to the first network element in the home network corresponding to the UE or the second network element in the service network corresponding to the UE.
  • the first network element may be the AKMA Anchor Function (AAnF) in the home network corresponding to the UE.
  • the second network element may be the AKMA Anchor Function proxy (AAnFproxy) in the service network corresponding to the UE.
  • the service network may be a service network used by the roaming UE to establish a connection with the AF.
  • the corresponding home network is provided to the UE.
  • the first network element in the network or the UE sends an AKMA application key request to the second network element in the service network.
  • an AKMA application key request can be sent to the first network element in the corresponding home network of the UE; in an In an optional embodiment, if it is determined that the network connected to the AF is not the home network of the UE in the roaming state, an AKMA application key request may be sent to the second network element in the service network corresponding to the UE.
  • the AAnfProxy function can be implemented as a separate network function in the service network, or as part of any NF in the service network.
  • AAnFProxy can be the AAnf of the access network, or it can be the AF deployed by the operator in the access network.
  • the method can first be based on whether the network to which the AF is connected is the home network of the UE in the roaming state.
  • An AKMA application key request is sent to the first network element in the home network corresponding to the UE or the second network element in the serving network corresponding to the UE.
  • the determination of roaming status can be integrated into the secure communication management between user equipment and application functions based on AKMA features, so that AKMA can support roaming scenarios to meet the potential use case requirements of AKMA.
  • Figure 2 shows a schematic flowchart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure.
  • the method is applied to the application function AF, based on the embodiment shown in Figure 1, as shown in Figure 2, and may include the following steps.
  • Step 201 Determine whether the user equipment UE is in a roaming state.
  • an application session establishment request sent by the user equipment UE can be received.
  • the application session establishment request contains an AKMA Key IDentifier (A-KID).
  • A-KID AKMA Key IDentifier
  • the application session establishment request can also be obtained from the policy control function (Policy Control function). Function, PCF) to obtain the UE information of the UE.
  • the UE information at least includes the identification of the Public Land Mobile Network (PLMN) used by the UE to establish a connection with the AF, the access type used by the UE, and the radio access used by the UE.
  • PLMN Public Land Mobile Network
  • Radio Access Technology, RAT Radio Access Technology
  • the access type used by the UE includes but is not limited to 3GPP access and non-3GPP access.
  • the first mobile device country code in the home network identifier can be extracted (Mobile country code, MCC) and the first mobile network code (Mobile Network Code, MNC); and, extract the second mobile device country code (Mobile country code) from the identification of the public land mobile network used by the UE to establish a connection with the AF , MCC) and the second Mobile Network Code (Mobile Network Code, MNC); if it is determined that the first mobile device country code and the second mobile device country code are different, and/or the first mobile network code and the second mobile network code are different If they are the same, it is determined that the UE is in roaming state.
  • MCC Mobile country code
  • MNC Mobile Network Code
  • determining that the UE is in the roaming state can be divided into three optional situations: (1) the first mobile device country code is different from the second mobile device country code, and the first mobile network code is different from the second mobile device country code.
  • the mobile network codes are the same; (2) the first mobile device country code is the same as the second mobile device country code, and the first mobile network code and the second mobile network code are different; (3) the first mobile device country code is the same as the second mobile device country code; The mobile device country code is different, and the first mobile network code and the second mobile network code are different.
  • Step 202 In response to the UE being in the roaming state and the AF being connected to the home network corresponding to the UE, send an AKMA application key request to the first network element in the home network corresponding to the UE.
  • the first AKMA application key carrying at least the UE information and the AKMA key identifier may be sent to the first network element in the home network corresponding to the UE. Key request. After sending the first AKMA application key request, the first network element may receive a first AKMA application key response or an error response indicating that the AKMA key request failed.
  • the first AKMA application key response at least includes a subscription.
  • the expiration time of the Permanent Identifier (Subscription Permanent Identifier, SUPI), Generic Public User Identifier (Generic Public Subscription Identifier, GPSI), AKMA Application Key, and AKMA Application Key.
  • the first network element in the corresponding home network of the UE can send a message carrying at least With the first AKMA application key request with UE information and AKMA key identification, the above optional embodiment can be executed.
  • the network opening function NEF can be used to send a message carrying at least the UE message to the first network element in the home network corresponding to the UE.
  • information, AKMA key identification, and the first AKMA application key request for the AKMA application funciton identity (AF_ID).
  • the AKMA application identification can be composed of the AF's fully qualified domain name (Fully Qualified Domain Name, FQDN) and the user agent (User Agent, UA) identifier.
  • the UA identifier is used to identify the security protocol that the AF will use with the UE.
  • the first network element in the home network corresponding to the UE receives the first AKMA application key that carries at least the UE information, the AKMA key identifier, and the AKMA application identifier.
  • the key request it can be determined according to the first preset configuration policy and the AKMA application identifier whether the current first network element can provide services to the AF. If so, the first AKMA application key sent by the first network element in response can be further received. response; if not, an error response indicating that the AKMA key request failed sent by the first network element can be further received.
  • the first preset configuration policy is the service permission of the first network element configured by the operator, which can be stored in the local storage space of the first network element.
  • an AF list that can provide services can be configured for each first network element, and the AF list can include an AKMA application identifier that can provide services.
  • the first network element can determine whether the AKMA application identifier in the first AKMA application key request is in the current AF list that the first network element can provide services.
  • the first AKMA application key request is The AKMA application identifier is in the AF list of the current first network element, which means that the current first network element can provide services for the AF corresponding to the AKMA application identifier, and further sends the first AKMA application key response to the AF; if the first The AKMA application identifier in the AKMA application key request is not in the AF list of the current first network element, which means that the current first network element cannot provide services to the AF corresponding to the AKMA application identifier, and further sending the AKMA key request to the AF fails. error response.
  • Step 203 Send an application session establishment response to the UE according to the first AKMA application key response, or send an application session establishment failure error response to the UE according to the error response of the AKMA key request failure.
  • the subscription permanent identifier, general public user identifier, AKMA application key and expiration time of the AKMA application key send an application session establishment response to the UE, that is, successfully establish an application session connection with the UE; if the application session connection is successfully established based on the embodiment step 202
  • the first network element may send an error response that the application session establishment fails to the UE, thereby rejecting the establishment of the application session.
  • the UE can trigger a new application session establishment request with the latest AKMA key identification to the AF.
  • the error response for application session establishment failure may also include the failure reason (such as AKMA key request failure) and corresponding prompt information (such as text prompt information, audio prompt information, video prompt information, vibration prompt information) etc., there is no specific limitation on this.
  • failure reason such as AKMA key request failure
  • prompt information such as text prompt information, audio prompt information, video prompt information, vibration prompt information
  • AKMA application key request method for user equipment UE under roaming conditions it can first be determined whether the user equipment UE is in a roaming state. If it is determined that the UE is in a roaming state and the If the AF is currently connected to the home network corresponding to the UE, it sends an AKMA application key request to the first network element in the home network corresponding to the UE. Roaming status determination can be integrated into the secure communication management between user equipment and application functions based on AKMA features. Further, under the condition that the UE is in roaming state and it is determined that the current AF is connected to the home network corresponding to the UE, AKMA supports the establishment of application sessions in roaming scenarios to meet the potential use case requirements of AKMA.
  • Figure 3 shows a schematic flowchart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure.
  • the method is applied to the application function AF, based on the embodiment shown in Figure 1, as shown in Figure 3, and may include the following steps.
  • Step 301 Determine whether the user equipment UE is in a roaming state.
  • step 201 the implementation process is the same as step 201 in the embodiment, and will not be described again.
  • Step 302 In response to the UE being in the roaming state and the AF being connected to the service network corresponding to the UE, send an AKMA application key request to the second network element in the service network corresponding to the UE.
  • the second AKMA application key carrying at least the UE information and the AKMA key identification may be sent to the second network element in the service network corresponding to the UE. ask.
  • the second network element may receive a second AKMA application key response sent in response or an error response indicating that the AKMA key request failed.
  • the second AKMA application key response at least includes a subscription. Expiration times for persistent identifiers, common public user identifiers, AKMA application keys, and AKMA application keys.
  • the second network element in the corresponding service network of the UE before sending the second AKMA application key request carrying at least the UE information and the AKMA key identification to the second network element in the service network corresponding to the UE, it is necessary to Determine whether the current AF exists in the third-generation partner plan operator domain; if it is determined that the current AF exists in the third-generation partner plan operator domain, then the second network element in the corresponding service network of the UE can send a message carrying at least With the UE information and the second AKMA application key request with the AKMA key identification, the above optional embodiment can be executed.
  • the network opening function NEF can be used to send a message carrying at least UE information to the second network element in the service network corresponding to the UE.
  • information, the AKMA key identification, and the second AKMA application key request for the AKMA application identification can be composed of the AF's fully qualified domain name (Fully Qualified Domain Name, FQDN) and the user agent (User Agent, UA) identifier.
  • the UA identifier is used to identify the security protocol that the AF will use with the UE.
  • the second network element in the service network corresponding to the UE receives the second AKMA application key that carries at least the UE information, the AKMA key identifier, and the AKMA application identifier.
  • the key request After the key request is made, it can be determined according to the second preset configuration policy and the AKMA application identification whether the first network element currently relayed by the second network element can provide services to the AF. If so, the response sent by the second network element can be further received.
  • the second AKMA application key response if not, an error response indicating that the AKMA key request failed sent by the second network element can be further received.
  • the second preset configuration policy is the service permission of the first network element configured by the operator, which can be stored in the local storage space of the second network element.
  • an AF list that can provide services can be configured for each first network element, and the AF list can include an AKMA application identifier that can provide services.
  • the second network element can determine whether the AKMA application identifier in the second AKMA application key request is in the AF list that the relayed first network element can provide services.
  • the second AKMA application key request If the AKMA application identifier in the key request is in the AF list of the first network element being relayed, it means that the first network element being relayed can provide services for the AF corresponding to the AKMA application identifier, and further sends the second AKMA to the AF.
  • Application key response if the AKMA application identifier in the second AKMA application key request is not in the AF list of the first network element being relayed, it means that the first network element being relayed cannot be the AKMA application identifier.
  • the corresponding AF provides services and further sends an error response indicating that the AKMA key request failed to the AF.
  • Step 303 Send an application session establishment response to the UE according to the second AKMA application key response, or send an application session establishment failure error response to the UE according to the error response of the AKMA key request failure.
  • the subscription permanent identifier, general public user identifier, AKMA application key and expiration time of the AKMA application key send an application session establishment response to the UE, that is, successfully establish an application session connection with the UE; if the application session connection is successfully established based on the embodiment step 302
  • the second network element may send an error response that the application session establishment fails to the UE, thereby rejecting the application session establishment. Afterwards, the UE can trigger a new application session establishment request with the latest AKMA key identification to the AF.
  • the error response for application session establishment failure may also include the failure reason (such as AKMA key request failure) and corresponding prompt information (such as text prompt information, audio prompt information, video prompt information, vibration prompt information) etc., there is no specific limitation on this.
  • failure reason such as AKMA key request failure
  • prompt information such as text prompt information, audio prompt information, video prompt information, vibration prompt information
  • AKMA application key request method for user equipment UE under roaming conditions it can first be determined whether the user equipment UE is in a roaming state. If it is determined that the UE is in a roaming state and the The current AF is connected to the service network corresponding to the UE, and sends an AKMA application key request to the second network element in the service network corresponding to the UE. Roaming status determination can be integrated into the secure communication management between user equipment and application functions based on AKMA features. Further, under the condition that the UE is in a roaming state and it is determined that the current AF is connected to the service network corresponding to the UE, AKMA supports the establishment of application sessions in roaming scenarios to meet the potential use case requirements of AKMA.
  • Figure 4 is a schematic flowchart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure.
  • the method is applied to the first network element in the home network corresponding to the UE, and the method may include the following steps.
  • Step 401 Obtain the home network identifier of the UE according to the AKMA key identifier, obtain the identifier of the public land mobile network used by the UE to establish a connection with the AF according to the UE information, and obtain the home network identifier and the public land mobile network used by the UE to establish a connection with the AF.
  • the identifier of the mobile network determines whether the UE is in roaming state.
  • the first network element in the home network corresponding to the UE can use the AKMA key carried in the first AKMA application key request to
  • the identity extracts the home network identity of the UE, obtains the identity of the public land mobile network that the UE uses to establish a connection with the AF based on the UE information carried in the first AKMA application key request, and uses the home network identity and the identity of the public land mobile network that the UE uses to establish a connection with the AF.
  • the identification of the connected public land mobile network determines whether the UE is in roaming state.
  • the first mobile device in the home network identity may be extracted.
  • determining that the UE is in the roaming state can be divided into three optional situations: (1) the first mobile device country code is different from the second mobile device country code, and the first mobile network code is different from the second mobile device country code.
  • the mobile network codes are the same; (2) the first mobile device country code is the same as the second mobile device country code, and the first mobile network code and the second mobile network code are different; (3) the first mobile device country code is the same as the second mobile device country code; The mobile device country code is different, and the first mobile network code and the second mobile network code are different.
  • the determination result of whether the UE is in the roaming state sent by the AF can also be directly received.
  • the embodiment step 401 of the present disclosure can be directly skipped and the embodiment step 402 can be directly executed.
  • Step 402 In response to the fact that the UE is in the roaming state and the AKMA application key request is initiated by the application function AF of the UE's corresponding home network, send the first AKMA application key response regarding the AKMA application key to the AF, and at the same time send the corresponding AKMA application key to the UE.
  • the second network element in the service network sends an AKMA application key confirmation request message.
  • the UE can receive The first AKMA application key request sent by the AF corresponding to the home network.
  • the first AKMA application key request carries at least the UE information of the UE and the AKMA key identifier.
  • the first AKMA application key request is when the AF is connected to the home network corresponding to the UE, and does not have the AKMA key identifier.
  • the associated AKMA application key is sent; further, it can be determined whether the AKMA key identifier carried in the first AKMA application key request contains an AKMA anchor key (K AKMA ); if it is determined that the first AKMA application key request If there is an AKMA anchor key in the AKMA key identifier carried in An AKMA application key response, the first AKMA application key response includes at least the subscription permanent identifier, the universal public user identifier, the AKMA application key and the expiration time of the AKMA application key; if the first AKMA application key response is determined The AKMA key identifier carried in the application key request does not contain an AKMA anchor key. When the AF connects to the home network corresponding to the UE, an error response indicating that the AKMA key request failed is sent to the AF.
  • K AKMA AKMA anchor key
  • the received first AKMA application key request may also carry the AKMA application identifier sent by the AF, where the AKMA application identifier is used by the AF to determine that the current AF does not exist in Sent when the third-generation partner program is in the operator domain, the AKMA application identifier can be composed of the AF's fully qualified domain name (Fully Qualified Domain Name, FQDN) and the user agent (User Agent, UA) identifier.
  • the UA identifier is used to identify The security protocol that the AF will use with the UE.
  • the received first AKMA application key request also carries the AKMA application identifier
  • the first preset configuration policy is the service permission of the first network element configured by the operator, which can be stored in the local storage space of the first network element.
  • an AF list that can provide services can be configured for each first network element, and the AF list can include an AKMA application identifier that can provide services.
  • the first network element can determine whether the AKMA application identifier in the first AKMA application key request is in the current AF list that the first network element can provide services. If the first AKMA application key request is If the AKMA application identifier is in the AF list of the current first network element, it means that the current first network element can provide services for the AF corresponding to the AKMA application identifier, and then the above-mentioned request for the first AKMA application key carried in the key request can be further performed.
  • the AKMA anchor key exists in the AKMA key identifier; if the AKMA application identifier in the first AKMA application key request is not in the AF list of the current first network element, it means that the current first network element cannot be the AKMA If the AF corresponding to the application identifier provides services, the first AKMA application key request sent by the AF can be further rejected.
  • the AKMA application key confirmation request message at least includes the AKMA application identification, subscription permanent identifier, general public user identifier, and AKMA application key. and the expiration time of the AKMA application key; and receiving the AKMA application key confirmation response sent by the second network element in the corresponding service network of the UE.
  • the second network element in the service network corresponding to the UE before sending the AKMA application key confirmation request message to the second network element in the service network corresponding to the UE, it is also necessary to determine the current first network element according to the first preset configuration policy. Whether services can be provided to the second network element. In some possible implementations, it can be determined whether the second network element is located in the UE's service network. If it is determined that the second network element is located in the UE's service network, the first network element in the UE's home network can be the second network element.
  • the element provides services, you can further perform the above-mentioned operation of sending the AKMA application key confirmation request message to the second network element in the service network corresponding to the UE; if it is determined that the second network element is not located in the service network of the UE, it means that the current first network element The network element cannot provide services for the second network element, so the above-mentioned operation of sending the AKMA application key confirmation request message to the second network element in the service network corresponding to the UE does not need to be performed.
  • Step 403 In response to the UE being in the roaming state and the AKMA application key request being initiated by the second network element of the UE's corresponding service network, send the second AKMA application key regarding the AKMA application key to the second network element of the UE's corresponding service network. Application key response.
  • the AKMA application key request if it is determined that the UE is in the roaming state and the AKMA application key request is initiated by the second network element of the UE's corresponding service network, that is, the UE is in the roaming state and the AF is connected to the UE's corresponding service network, then Receive the second AKMA application key request relayed by the second network element in the service network corresponding to the UE, wherein the second AKMA application key request carries at least the UE information of the UE and the AKMA key identifier, and the second The AKMA application key request is sent by the AF when it is connected to the service network corresponding to the UE and there is no AKMA application key associated with the AKMA key identifier; further, the AKMA carried in the second AKMA application key request can be determined Whether the AKMA anchor key exists in the key identifier; if it is determined that the AKMA key identifier carried in the second AKMA application key request contains an AKMA anchor key
  • the second AKMA application key response includes at least the subscription permanent identifier, the universal public user identifier, the AKMA application key and the expiration time of the AKMA application key; if it is determined that the second The AKMA key identifier carried in the AKMA application key request does not contain an AKMA anchor key, and an error response indicating that the AKMA key request failed is sent to the second network element in the corresponding service network of the UE.
  • the AKMA key identifier carried in the second AKMA application key request contains an AKMA anchor key
  • the first network element can first determine whether the user equipment UE is in a roaming state. If it is determined that the UE is in a roaming state, In the roaming state, and the AKMA application key request is initiated by the AF of the UE's corresponding home network, the first AKMA application key response regarding the AKMA application key is sent to the AF, and at the same time to the second network element in the corresponding serving network of the UE.
  • AKMA application key confirmation request message Send an AKMA application key confirmation request message; if it is determined that the UE is in a roaming state and the AKMA application key request is initiated by the second network element of the UE's corresponding service network, send the AKMA application key request message to the second network element of the UE's corresponding service network.
  • Second AKMA application key response for the program key The determination of roaming status can be integrated into the secure communication management between user equipment and application functions based on AKMA features, so that AKMA can support roaming scenarios to meet the potential use case requirements of AKMA.
  • Figure 5 is a schematic flowchart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure.
  • the method is applied to the second network element in the access network corresponding to the UE, and the method may include the following steps.
  • Step 501 Receive the second AKMA application key request sent by the application function AF.
  • the second AKMA application key request carries at least the UE information of the UE and the AKMA key identifier.
  • the second AKMA application key request is that the AF connects to the service network corresponding to the UE when the UE is in the roaming state, and Sent when there is no AKMA application key associated with the AKMA key ID.
  • Step 502 Relay the second AKMA application key request to the first network element in the home network corresponding to the UE.
  • the second network element in the access network corresponding to the UE may further relay the second AKMA application key request to the corresponding access network of the UE.
  • the first network element in the home network uses the first network element to determine whether the AKMA key identifier carried in the second AKMA application key request contains an AKMA anchor key; if the first network element determines that the second AKMA application key request If the AKMA key identifier carried in the key request contains an AKMA anchor key, the AKMA application key is derived from the AKMA anchor key and the AKMA application key is sent to the current second network element; if the first network element determines The AKMA key identifier carried in the second AKMA application key request does not contain an AKMA anchor key, and an error response indicating that the AKMA key request failed is sent to the current second network element.
  • the received second AKMA application key request may also carry the AKMA application identifier sent by the AF, where the AKMA application identifier is used by the AF to determine that the current AF does not exist in the Sent when the third-generation partner program is in the operator domain, the AKMA application identifier can be composed of the AF's fully qualified domain name (Fully Qualified Domain Name, FQDN) and the user agent (User Agent, UA) identifier.
  • the UA identifier is used to identify The security protocol that the AF will use with the UE.
  • the received second AKMA application key request also carries the AKMA application identifier
  • the second AKMA application key request before the second AKMA application key request is relayed to the first network element in the corresponding home network of the UE, it is necessary to first Determine whether the first network element in the UE's corresponding home network can provide services to the AF according to the second preset local configuration policy and the AKMA application identifier; if so, relay the second AKMA application key request to the UE's corresponding home network of the first network element; if not, reject the second AKMA application key request.
  • the second preset configuration policy is the service permission of the first network element configured by the operator, which can be stored in the local storage space of the second network element.
  • an AF list that can provide services can be configured for each first network element, and the AF list can include an AKMA application identifier that can provide services.
  • the second network element can determine whether the AKMA application identifier in the second AKMA application key request is in the AF list that the relayed first network element can provide services.
  • the second AKMA application key request If the second AKMA application key request is in the AF list of the first network element being relayed, it means that the first network element being relayed can provide services for the AF corresponding to the AKMA application identifier, and the second AKMA application identifier can be further The application key request is relayed to the first network element in the UE's corresponding home network, and steps 503 and 504 of the following disclosed embodiments are continued; if the AKMA application identifier in the second AKMA application key request is not relayed in the AF list of the first network element, it means that the relayed first network element cannot provide services for the AF corresponding to the AKMA application identifier, then the subsequent operations in the embodiments of the present disclosure may not be performed, and the following disclosures may not be performed. Example steps 503, 504.
  • Step 503 Receive the second AKMA application key response or the error response of failed AKMA key request sent by the first network element in the corresponding home network of the UE.
  • the second AKMA application key response at least includes a subscription permanent identifier, a universal Public User Identifier, AKMA Application Key, and AKMA Application Key expiration time.
  • Step 504 When the AF is connected to the service network corresponding to the UE, relay the second AKMA application key response or the error response of the AKMA key request failure to the AF.
  • the second network element receives the second AKMA application key request sent by the AF.
  • the second AKMA application key request can be relayed to the first network element in the UE's corresponding home network to receive the second AKMA application key response or AKMA key sent by the first network element in the UE's corresponding home network.
  • the error response of the key request failure and when the AF is connected to the service network corresponding to the UE, relay the second AKMA application key response or the error response of the AKMA key request failure to the AF.
  • Roaming status determination can be integrated into the secure communication management between user equipment and application functions based on AKMA features. Further, under the condition that the UE is in a roaming state and it is determined that the current AF is connected to the service network corresponding to the UE, AKMA supports the establishment of application sessions in roaming scenarios to meet the potential use case requirements of AKMA.
  • FIG. 6 is a schematic flowchart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure. This method is applied to the second network element in the access network corresponding to the UE. Based on the embodiment shown in Figure 5, as shown in Figure 6, the method may include the following steps.
  • Step 601 Receive the AKMA application key confirmation request message sent by the first network element in the home network corresponding to the UE.
  • the AKMA application key confirmation request includes at least the AKMA application identification, subscription permanent identifier, universal public user identifier, AKMA application key and the expiration time of the AKMA application key.
  • the AKMA application key confirmation request is the UE Sent when the first network element in the corresponding home network confirms that the UE is in the serving network based on the UE's UE information and the UE establishes a connection with the AF connected to the UE's corresponding home network.
  • the AKMA application key request is initiated by the AF of the home network corresponding to the UE, that is, the UE is in the roaming state and the AF is connected to the home network corresponding to the UE, and the UE corresponds to the home network in the home network.
  • the first network element may receive the AKMA application key confirmation request message sent by the first network element to the current second network element.
  • Step 602 Store the AKMA application key confirmation request message, and send the AKMA application key confirmation response to the first network element in the corresponding home network of the UE.
  • the second network element can receive the AKMA sent by the first network element in the corresponding home network of the UE.
  • the application key confirmation request message stores the AKMA application key confirmation request message, and the UE sends an AKMA application key confirmation response to the first network element in the home network.
  • the AKMA application key confirmation request message from the first network element to the second network element can be supported to synchronize the AKMA application key confirmation request message stored in the second network element. Updates to AKMA application keys.
  • Figure 7 is a schematic flowchart of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure.
  • the method is applied to the network opening function NEF, and the method may include the following steps.
  • Step 701 In response to the application function AF not existing in the third generation partner plan operator domain, send a message carrying at least the UE information, the AKMA key identifier and the AKMA application identifier to the first network element in the home network corresponding to the user equipment UE.
  • the first AKMA application key request In response to the application function AF not existing in the third generation partner plan operator domain, send a message carrying at least the UE information, the AKMA key identifier and the AKMA application identifier to the first network element in the home network corresponding to the user equipment UE.
  • the first AKMA application key request In response to the application function AF not existing in the third generation partner plan operator domain, send a message carrying at least the UE information, the AKMA key identifier and the AKMA application identifier to the first network element in the home network corresponding to the user equipment UE.
  • the first AKMA application key request In response to the application function AF not existing in the third generation partner plan operator domain, send a message
  • the network opening function NEF can be used to send at least the UE information, AKMA key identification and AKMA application identification (Application funciton identity) to the first network element in the corresponding home network of the UE. AF_ID) of the first AKMA application key request.
  • the AKMA application identification can be composed of the AF's fully qualified domain name (Fully Qualified Domain Name, FQDN) and the user agent (User Agent, UA) identifier.
  • FQDN Fully Qualified Domain Name
  • UA User Agent
  • Step 702 In response to the application function AF not existing in the third generation partner plan operator domain, send at least the UE information, the AKMA key identifier and the AKMA application identifier to the second network element in the service network corresponding to the user equipment UE. A second AKMA application key is requested.
  • the second AKMA application carrying at least the UE information, the AKMA key identifier and the AKMA application identifier can be sent to the second network element in the service network corresponding to the UE through the network opening function NEF.
  • the AKMA application identification can be composed of the AF's fully qualified domain name (Fully Qualified Domain Name, FQDN) and the user agent (User Agent, UA) identifier.
  • the UA identifier is used to identify the security protocol that the AF will use with the UE.
  • the transparent transmission function of the network opening function NEF can be used to determine that AF does not exist in the third party.
  • the agent is in the partner program operator domain, send the first AKMA application key request carrying at least the UE information, the AKMA key identifier and the AKMA application identifier to the first network element in the home network corresponding to the UE; or, in the judgment
  • send the second AKMA application key carrying at least the UE information, the AKMA key identifier and the AKMA application identifier to the second network element in the service network corresponding to the UE.
  • the authorization information verification of the AF can be implemented in another way to further determine whether the first network element can provide services for the AF, which is convenient for Push and response execution of AKMA application key requests in roaming scenarios.
  • FIG. 8 is a sequence diagram of an AKMA application key request method for application authentication and key management under user equipment UE roaming conditions according to an embodiment of the present disclosure.
  • the technical solution in the present disclosure will be described in detail with reference to Figure 8:
  • the user equipment UE sends an application session establishment request containing the A-KID to the application function AF.
  • the UE shall generate the AKMA anchor key and A-KID before initiating communication with the application function AF.
  • the application session establishment request contains the A-KID (see Article 6.1 of 3GPP TS 33.535).
  • the AF requests the UE information of the UE from the PCF.
  • the AF After receiving the application session establishment request message, the AF should obtain the UE information, including the PLMN identity where the UE is currently located, the access type used by the UE, and the RAT type used by the UE. According to subclause 6.1.3.18 of 3GPP TS 23.503[2], the AF can obtain UE information from the PCF using the event reporting process. The AF can obtain the home network identity from the A-KID sent by the UE. The AF can verify whether the UE is roaming by comparing the home network identifier with the PLMN identifier sent by the PCF.
  • the UE is determined to be roaming.
  • the AF needs to request AKMA application keys from different network elements based on whether the AF is in the UE's service network.
  • the AF sends the first AKMA application key request with A-KID, UE information, and AF_ID (the presence or absence of AF_ID is determined based on whether the AF is in the 3GPP operator domain) to the AAnF connected to the UE's home network.
  • the AF selects the AAnF defined in 3GPP TS33.535 and sends the first AAnF with the A-KID, UE information to the AAnF.
  • AKMA application key request further requesting the AKMA application key for the UE.
  • 3GPP TS 33.535 if the AF is not in the 3GPP operator domain, the AF needs to send the first AKMA application key request through NEF, and the AF also includes its identity (AF_ID) in the first AKMA application key request.
  • AAnF will check whether AAnF can provide services to AF according to the first preset configuration policy of local configuration or the authorization information provided by NRF using AF_ID. If successful, perform the following procedure. Otherwise, AAnF will reject the first AKMA application key request.
  • the AAnF shall verify whether the user is authorized to use AKMA based on the presence of the UE-specific AKMA anchor key (K AKMA ) identified by the A-KID.
  • step 5a If KAKMA does not exist in the AAnF, the AAnF in the UE's home network will continue to step 5a and return an error response. And you can skip step 5b to step 5c.
  • AF sends a second AKMA application key request with A-KID, UE information, and AF_ID (the presence or absence of AF_ID is determined based on whether AF is in the 3GPP operator domain) to AAnFProxy connected to the UE's service network.
  • the AF If the AF is connected to the UE's serving network and the AF does not have an AKMA application key associated with the A-KID, the AF sends a second message with the A-KID, UE information to AAnFProxy in the UE's serving network with the A-KID.
  • the AKMA application key request requests the AKMA application key for the UE.
  • AAnFProxy relays the second AKMA application key request to the AAnF in the UE's home network.
  • AAnFProxy will check whether AAnF can provide services to AF based on the configured local policy or NRF using the authorization information provided by AF_ID. If successful, proceed to step 3c. Otherwise, AAnFProxy will reject the second AKMA application key request.
  • AAnFProxy relays the second AKMA application key request to the AAnF in the UE's home network.
  • the AAnF in the UE's home network will verify that AAnFProxy is authorized to use AKMA. Specifically, if AAnFProxy is located in the UE's serving network, the AAnF in the UE's home network can serve AAnFProxy, and the AAnF in the UE's home network will be based on the presence of the UE-specific AKMA anchor key (K AKMA ) identified by A-KID. to verify that the user is authorized to use AKMA.
  • K AKMA UE-specific AKMA anchor key
  • K AKMA does not exist in the AAnF
  • the AAnF in the UE's home network will continue to step 5d and return an error response.
  • AAnF If AAnF does not already have an AKMA application key (K AF ), AAnF derives the AKMA application key (K AF ) from K AKMA .
  • K AF shall be performed in accordance with the provisions of Annex A.4 of 3GPP TS 33.535.
  • 5a.AAnF should send the first AKMA application key response to AF.
  • the AAnF in the UE's home network shall send the first AKMA Application Key response to the AF.
  • the first AKMA application key response may include SUPI, GPSI, KAF and KAF expiration time.
  • the program then proceeds to 5b. If the AF is connected to the UE's serving network, the process proceeds to step 5d.
  • AAnF sends an AKMA application key confirmation request message to AAnFproxy.
  • the AAnF in the UE's home network should send an AKMA application key confirmation request message to AAnFproxy.
  • the AKMA application key confirmation request message may include AF_ID, SUPI, GPSI, K AF and K AF expiration time. The procedure then proceeds to step 5c.
  • AAnFProxy should store AF_ID, SUPI, GPSI, K AF and K AF expiration time. AAnFProxy should then send an AKMA application key confirmation response to the AAnF in the UE's home network. The procedure then goes to step 6.
  • AAnF sends a second AKMA application key response to AAnFproxy.
  • the AAnF in the UE's home network sends a second AKMA application key response to the AAnFproxy in the UE's serving network.
  • the second AKMA application key response may include SUPI, GPSI, KAF and KAF expiration time. The procedure then proceeds to step 5e.
  • 5e.AAnFProxy relays the second AKMA application key response to AF.
  • the AAnFProxy in the serving network shall apply the second AKMA after receiving the second AKMA application key response sent by AAnF in the UE's home network.
  • the program key response is relayed to AF. The procedure then goes to step 6.
  • the AF sends an application session establishment response to the UE.
  • step 5 If the information in step 5 indicates that the AKMA application key request request failed, the AF should deny the application session establishment by including the reason for the failure. Afterwards, the UE can trigger a new application session establishment request with the latest A-KID to the AF.
  • the methods provided by the embodiments of the present application are respectively viewed from the perspectives of the application function AF, the UE corresponding to the first network element in the home network, the UE corresponding to the second network element in the visited network, and the network open function NEF.
  • the application function AF, the UE corresponding to the first network element in the home network, the UE corresponding to the second network element in the visited network, and the network opening function NEF may include hardware structures, Software modules implement the above functions in the form of hardware structures, software modules, or hardware structures plus software modules. A certain function among the above functions can be executed by a hardware structure, a software module, or a hardware structure plus a software module.
  • the present disclosure also provides application authentication and key management under roaming conditions for user equipment UE.
  • the AKMA application key request device because the application authentication and key management of the user equipment UE under roaming conditions provided by the embodiments of the present disclosure is different from the user equipment UE provided by the above embodiments.
  • Application authentication and key management correspond to the AKMA application key request method. Therefore, the implementation of the application authentication and key management AKMA application key request method under user equipment UE roaming conditions is also applicable to the user equipment provided in this embodiment.
  • the AKMA application key request device for application authentication and key management under UE roaming conditions will not be described in detail in this embodiment.
  • FIG. 9 is a schematic structural diagram of an AKMA application key request device 800 for application authentication and key management under roaming conditions of user equipment UE according to an embodiment of the present disclosure.
  • the application authentication and key management under roaming conditions of user equipment UE may be used for application functions AF.
  • the device 800 may include:
  • the sending module 810 is configured to send the AKMA application secret to the first network element in the home network corresponding to the UE or the second network element in the service network corresponding to the UE according to whether the network connected to the AF is the home network of the UE in the roaming state. Key request.
  • the service network may be a service network used by the roaming UE to establish a connection with the AF.
  • the device further includes: a judgment module 820;
  • the judgment module 820 may be configured to receive an application session establishment request sent by the UE, which contains the AKMA key identifier; obtain the UE information of the UE from the policy control function, and the UE information at least includes the public key used by the UE to establish a connection with the AF.
  • the identification of the land mobile network, the access type used by the UE, and the type of radio access technology used by the UE; obtain the home network identification in the AKMA key identification, and use the home network identification and the public land mobile used by the UE to establish a connection with the AF The identifier of the network to determine whether the UE is in roaming state.
  • the judgment module 820 may be used to extract the first mobile device country code and the first mobile network code in the home network identification; and extract the public land mobile network used by the UE to establish a connection with the AF.
  • the second mobile device country code and the second mobile network code in the identification if it is determined that the first mobile device country code and the second mobile device country code are not the same, and/or the first mobile network code and the second mobile network code are different If they are the same, it is determined that the UE is in roaming state.
  • the sending module 810 in response to the UE being in the roaming state and the AF being connected to the home network corresponding to the UE, the sending module 810 may be configured to respond to the AF having no AKMA application key associated with the AKMA key identification, to The UE corresponds to the first network element in the home network and sends a first AKMA application key request that carries at least the UE information and the AKMA key identifier;
  • the device 800 may also include: a receiving module 830;
  • the receiving module 830 is configured to receive a first AKMA application key response sent by the first network element in response or an error response of a failed AKMA key request.
  • the first AKMA application key response at least includes a subscription permanent identifier, a general public user The identifier, the AKMA Application Key, and the expiry time of the AKMA Application Key.
  • the determination module 820 can be used to determine whether the current AF exists in the third-generation partner program operator domain; the sending module 810 can be used to determine whether the current AF exists in the third-generation partnership program operator domain.
  • the partner program is in the operator domain, the first AKMA application key request carrying at least the UE information, the AKMA key identifier and the AKMA application identifier is sent to the first network element in the home network corresponding to the UE through the network opening function NEF.
  • the sending module 810 may be configured to respond to the AF having no AKMA application key associated with the AKMA key identification, to The UE sends a second AKMA application key request that carries at least the UE information and the AKMA key identifier to the second network element in the corresponding service network; the receiving module 830 can be used to receive the second AKMA application sent in response to the second network element.
  • the second AKMA application key response includes at least the subscription persistent identifier, the common public user identifier, the AKMA application key, and the expiration time of the AKMA application key. .
  • the determination module 820 can be used to determine whether the current AF exists in the third-generation partner program operator domain; the sending module 810 can be used to determine whether the current AF exists in the third-generation partnership program operator domain.
  • the partner program is in the operator domain, the first AKMA application key request carrying at least the UE information, the AKMA key identifier and the AKMA application identifier is sent to the first network element in the home network corresponding to the UE through the network opening function NEF.
  • the sending module 810 may be configured to send an application session establishment response to the UE according to one of the first AKMA application key response and the second AKMA application key response; or, according to AKMA An error response indicating a failed key request sends an error response indicating a failed application session establishment to the UE.
  • FIG 10 is a schematic structural diagram of an AKMA application key request device 900 for application authentication and key management under user equipment UE roaming conditions provided by an embodiment of the present disclosure.
  • the AKMA application key request device 900 for application authentication and key management under user equipment UE roaming conditions can be used for the first network element in the home network corresponding to the UE.
  • the device 900 may include:
  • the sending module 910 is configured to respond to the fact that the UE is in the roaming state and the AKMA application key request is initiated by the application function AF of the UE's corresponding home network, and send the first AKMA application key response regarding the AKMA application key to the AF, and at the same time Send the AKMA application key confirmation request message to the second network element in the service network corresponding to the UE;
  • the sending module 910 is configured to respond to the fact that the UE is in the roaming state and the AKMA application key request is initiated by the second network element of the UE's corresponding service network, and send information about the AKMA application key to the second network element of the UE's corresponding service network. Second AKMA application key response.
  • the first network element is the AKMA anchor function AAnF in the service network corresponding to the UE.
  • the device 900 may further include: a receiving module 920 and a judging module 930;
  • the receiving module 920 may be configured to receive the first AKMA application key request sent by the AF of the home network corresponding to the UE, wherein the An AKMA application key request carries at least the UE information of the UE and the AKMA key identifier.
  • the first AKMA application key request is that the AF is connected to the home network corresponding to the UE, and there is no AKMA associated with the AKMA key identifier.
  • the application key is sent when the application key is sent; the judgment module 930 can be used to determine whether the AKMA key identifier carried in the first AKMA application key request contains an AKMA anchor key; if the AKMA anchor key carried in the first AKMA application key request The AKMA key identifies the existence of the AKMA anchor key.
  • the sending module 910 can be used to derive the AKMA application key from the AKMA anchor key and send the AKMA application key to the AF when the AF is connected to the home network corresponding to the UE.
  • the first AKMA Application Key response of the key, the first AKMA Application Key response includes at least the subscription permanent identifier, the universal public user identifier, the AKMA Application Key and the expiration time of the AKMA Application Key; if The AKMA key identifier carried in the first AKMA application key request does not contain an AKMA anchor key.
  • the sending module 910 can be used to send an error indicating that the AKMA key request failed to the AF when the AF is connected to the home network corresponding to the UE. response.
  • the receiving module 920 may be used to receive the AKMA application identifier sent by the AF, where the AKMA application identifier is sent by the AF when it determines that the current AF does not exist in the third generation partner plan operator domain.
  • the judgment module 930 can be used to judge whether the current first network element can provide services to the AF according to the first preset configuration policy and the AKMA application identifier; if the current first network element can provide services to the AF, the judgment module 930 can Used to determine whether the AKMA key identifier carried in the first AKMA application key request contains an AKMA anchor key; if the current first network element cannot provide services to the AF, the judgment module 930 can be used to reject the first AKMA application Program key request.
  • the sending module 910 in response to the UE being in a roaming state and the AKMA application key request being initiated by the AF of the UE's corresponding home network, the sending module 910 may be used to send a message to the second network element in the UE's corresponding serving network.
  • AKMA application key confirmation request message includes at least the AKMA application identification, subscription permanent identifier, universal public user identifier, AKMA application key and the expiration time of the AKMA application key; receive Module 920 may be configured to receive an AKMA application key confirmation response sent by the second network element in the corresponding service network of the UE.
  • the receiving module 920 may be used to Receive the second AKMA application key request relayed by the second network element in the service network corresponding to the UE, wherein the second AKMA application key request carries at least the UE information of the UE and the AKMA key identifier, and the second The AKMA application key request is sent by the AF when it is connected to the service network corresponding to the UE and there is no AKMA application key associated with the AKMA key identification; the determination module 930 can be used to determine the second AKMA application key Whether the AKMA key identifier carried in the request contains an AKMA anchor key; if the AKMA key identifier carried in the second AKMA application key request contains an AKMA anchor key, the sending module 910 can be used to obtain the AKMA anchor
  • the Export the AKMA application key and send the AKMA application key to the second network element in the service network corresponding to the UE, so that when the AF connects to the service network corresponding to the UE, the second network element in the service network corresponding to the UE, Send a second AKMA Application Key response regarding the AKMA Application Key to the AF, the second AKMA Application Key response including at least the subscription persistent identifier, the common public user identifier, the AKMA Application Key and the AKMA Application Secret
  • the sending module 910 can be used to send the AKMA key to the second network element in the corresponding service network of the UE. Error response for failed key request.
  • the determination module 930 may be used to determine whether the current first network element is capable of providing services to the second network element according to the first preset configuration policy.
  • the judgment module 930 may be used to obtain the home network identification of the UE according to the AKMA key identification, obtain the identification of the public land mobile network used by the UE to establish a connection with the AF according to the UE information, and obtain the identification of the public land mobile network used by the UE to establish a connection with the AF according to the home network identification.
  • the network identifier and the identifier of the public land mobile network used by the UE to establish a connection with the AF are used to determine whether the UE is in a roaming state.
  • FIG 11 is a schematic structural diagram of an AKMA application key request device 1000 for application authentication and key management under user equipment UE roaming conditions provided by an embodiment of the present disclosure.
  • the AKMA application key request device 1000 for application authentication and key management under user equipment UE roaming conditions can be used for the second network element in the corresponding access network of the UE.
  • the device 1000 may include:
  • the receiving module 1010 may be configured to receive a second AKMA application key request sent by the application function AF, where the second AKMA application key request carries at least the UE information of the UE and the AKMA key identification.
  • the second AKMA application key request The key request is sent by the AF when the UE is in roaming state, connected to the service network corresponding to the UE, and there is no AKMA application key associated with the AKMA key identifier;
  • the relay module 1020 may be used to relay the second AKMA application key request to the first network element in the UE's corresponding home network;
  • the receiving module 1010 may be configured to receive a second AKMA application key response or an error response indicating a failed AKMA key request sent by the first network element in the corresponding home network of the UE.
  • the second AKMA application key response at least includes a subscription permanent identifier. identifier, common public user identifier, AKMA application key and expiration time of the AKMA application key;
  • the relay module 1020 may also be used to relay the second AKMA application key response or the error response of the AKMA key request failure to the AF when the AF is connected to the service network corresponding to the UE.
  • the second network element is the AKMA anchor function proxy AAnFproxy in the service network corresponding to the UE.
  • the device 1000 may further include: a judgment module 1030;
  • the receiving module 1010 can be used to receive the AKMA application identifier sent by the AF, where the AKMA application identifier is sent by the AF when it determines that the current AF does not exist in the third-generation partner plan operator domain; the judgment module 1030 can be used to determine according to the third generation partner plan operator domain. 2.
  • the preset local configuration policy and the AKMA application identifier determine whether the first network element in the home network corresponding to the UE can provide services to the AF; if the first network element can provide services to the AF, the relay module 1020 can be used to convert the second AKMA The application key request is relayed to the first network element in the home network corresponding to the UE; if the first network element cannot provide services to the AF, the relay module 1020 can be used to reject the second AKMA application key request.
  • the device 1000 may further include: a storage module 1040;
  • the receiving module 1010 may be configured to receive an AKMA application key confirmation request message sent by the first network element in the corresponding home network of the UE, where the AKMA application key confirmation request at least includes an AKMA application identifier, a subscription permanent identifier, and a general public user identifier, AKMA application key and expiration time of the AKMA application key.
  • the AKMA application key confirmation request is when the first network element in the UE's corresponding home network confirms that the UE is in the serving network based on the UE's UE information, and the UE and Sent when the AF connected to the UE's corresponding home network establishes a connection; the storage module 1040 can be used to store the AKMA application key confirmation request message and send an AKMA application key confirmation response to the first network element in the UE's corresponding home network.
  • the determination module 1030 may be configured to determine whether the current second network element can provide services to the AF according to the second preset configuration policy.
  • Figure 12 is a schematic structural diagram of an AKMA application key request device 1100 for application authentication and key management under user equipment UE roaming conditions provided by an embodiment of the present disclosure.
  • the AKMA application key request device 1100 for application authentication and key management under user equipment UE roaming conditions can be used for the network opening function NEF.
  • the device 1100 may include:
  • the sending module 1110 may be configured to respond to the application function AF not existing in the third generation partner plan operator domain, and send at least the UE information, the AKMA key identifier and the first network element in the home network corresponding to the user equipment UE.
  • the first AKMA application key requested by the AKMA application identification; or,
  • the sending module 1110 may be configured to respond to the application function AF not existing in the third generation partner plan operator domain, and send at least the UE information, the AKMA key identifier and the second network element in the service network corresponding to the user equipment UE. Second AKMA application key request for AKMA application identification.
  • FIG 13 is a schematic structural diagram of a communication device 1200 provided by an embodiment of the present application.
  • the communication device 1200 may be a network device, a user equipment, a chip, a chip system, or a processor that supports network equipment to implement the above method, or a chip, a chip system, or a processor that supports user equipment to implement the above method. Processor etc.
  • the device can be used to implement the method described in the above method embodiment. For details, please refer to the description in the above method embodiment.
  • Communication device 1200 may include one or more processors 1201.
  • the processor 1201 may be a general-purpose processor or a special-purpose processor, or the like.
  • it can be a baseband processor or a central processing unit.
  • the baseband processor can be used to process communication protocols and communication data.
  • the central processor can be used to control communication devices (such as base stations, baseband chips, terminal equipment, terminal equipment chips, DU or CU, etc.) and execute computer programs. , processing data for computer programs.
  • the communication device 1200 may also include one or more memories 1202, on which a computer program 1204 may be stored.
  • the processor 1201 executes the computer program 1204, so that the communication device 1200 executes the method described in the above method embodiment.
  • the memory 1202 may also store data.
  • the communication device 1200 and the memory 1202 can be provided separately or integrated together.
  • the communication device 1200 may also include a transceiver 1205 and an antenna 1206.
  • the transceiver 1205 may be called a transceiver unit, a transceiver, a transceiver circuit, etc., and is used to implement transceiver functions.
  • the transceiver 1205 may include a receiver and a transmitter.
  • the receiver may be called a receiver or a receiving circuit, etc., used to implement the receiving function;
  • the transmitter may be called a transmitter, a transmitting circuit, etc., used to implement the transmitting function.
  • the communication device 1200 may also include one or more interface circuits 1207.
  • the interface circuit 1207 is used to receive code instructions and transmit them to the processor 1201.
  • the processor 1201 executes code instructions to cause the communication device 1200 to perform the method described in the above method embodiment.
  • the processor 1201 may include a transceiver for implementing receiving and transmitting functions.
  • the transceiver may be a transceiver circuit, an interface, or an interface circuit.
  • the transceiver circuits, interfaces or interface circuits used to implement the receiving and transmitting functions can be separate or integrated together.
  • the above-mentioned transceiver circuit, interface or interface circuit can be used for reading and writing codes/data, or the above-mentioned transceiver circuit, interface or interface circuit can be used for signal transmission or transfer.
  • the processor 1201 may store a computer program 1203, and the computer program 1203 runs on the processor 1201, causing the communication device 1200 to perform the method described in the above method embodiment.
  • the computer program 1203 may be solidified in the processor 1201, in which case the processor 1201 may be implemented by hardware.
  • the communication device 1200 may include a circuit, which may implement the functions of sending or receiving or communicating in the foregoing method embodiments.
  • the processor and transceiver described in this application can be implemented in integrated circuits (ICs), analog ICs, radio frequency integrated circuits RFICs, mixed signal ICs, application specific integrated circuits (ASICs), printed circuit boards ( printed circuit board (PCB), electronic equipment, etc.
  • the processor and transceiver can also be manufactured using various IC process technologies, such as complementary metal oxide semiconductor (CMOS), n-type metal oxide-semiconductor (NMOS), P-type Metal oxide semiconductor (positive channel metal oxide semiconductor, PMOS), bipolar junction transistor (BJT), bipolar CMOS (BiCMOS), silicon germanium (SiGe), gallium arsenide (GaAs), etc.
  • CMOS complementary metal oxide semiconductor
  • NMOS n-type metal oxide-semiconductor
  • PMOS P-type Metal oxide semiconductor
  • BJT bipolar junction transistor
  • BiCMOS bipolar CMOS
  • SiGe silicon germanium
  • GaAs gallium arsenide
  • the communication device described in the above embodiments may be network equipment or user equipment, but the scope of the communication device described in this application is not limited thereto, and the structure of the communication device may not be limited by FIG. 12 .
  • the communication device may be a stand-alone device or may be part of a larger device.
  • the communication device can be:
  • the IC collection may also include storage components for storing data and computer programs;
  • the communication device may be a chip or a chip system
  • the schematic structural diagram of the chip shown in FIG. 13 refer to the schematic structural diagram of the chip shown in FIG. 13 .
  • the chip shown in Figure 13 includes a processor 1301 and an interface 1302.
  • the number of processors 1301 may be one or more, and the number of interfaces 1302 may be multiple.
  • the chip also includes a memory 1303, which is used to store necessary computer programs and data.
  • This application also provides a readable storage medium on which instructions are stored. When the instructions are executed by a computer, the functions of any of the above method embodiments are implemented.
  • This application also provides a computer program product, which, when executed by a computer, implements the functions of any of the above method embodiments.
  • a computer program product includes one or more computer programs.
  • the computer may be a general purpose computer, a special purpose computer, a computer network, or other programmable device.
  • the computer program may be stored in or transmitted from one computer-readable storage medium to another computer-readable storage medium, for example, the computer program may be transmitted from a website, computer, server or data center via a wireline (e.g.
  • Coaxial cable, optical fiber, digital subscriber line (DSL)) or wireless means to transmit to another website, computer, server or data center.
  • Computer-readable storage media can be any available media that can be accessed by a computer or a data storage device such as a server, data center, or other integrated media that contains one or more available media. Available media may be magnetic media (e.g., floppy disks, hard disks, tapes), optical media (e.g., high-density digital video discs (DVD)), or semiconductor media (e.g., solid state disks (SSD)) )wait.
  • magnetic media e.g., floppy disks, hard disks, tapes
  • optical media e.g., high-density digital video discs (DVD)
  • semiconductor media e.g., solid state disks (SSD)
  • At least one in this application can also be described as one or more, and the plurality can be two, three, four or more, which is not limited by this application.
  • the technical feature is distinguished by “first”, “second”, “third”, “A”, “B”, “C” and “D”, etc.
  • the technical features described in “first”, “second”, “third”, “A”, “B”, “C” and “D” are in no particular order or order.
  • machine-readable medium and “computer-readable medium” refer to any computer program product, apparatus, and/or means for providing machine instructions and/or data to a programmable processor (for example, magnetic disks, optical disks, memories, programmable logic devices (PLD)), including machine-readable media that receive machine instructions as machine-readable signals.
  • machine-readable signal refers to any signal used to provide machine instructions and/or data to a programmable processor.
  • the systems and techniques described herein may be implemented in a computing system that includes back-end components (e.g., as a data server), or a computing system that includes middleware components (e.g., an application server), or a computing system that includes front-end components (e.g., A user's computer having a graphical user interface or web browser through which the user can interact with implementations of the systems and technologies described herein), or including such backend components, middleware components, or any combination of front-end components in a computing system.
  • the components of the system may be interconnected by any form or medium of digital data communication (eg, a communications network). Examples of communication networks include: local area network (LAN), wide area network (WAN), and the Internet.
  • Computer systems may include clients and servers.
  • Clients and servers are generally remote from each other and typically interact over a communications network.
  • the relationship of client and server is created by computer programs running on corresponding computers and having a client-server relationship with each other.

Landscapes

  • Mobile Radio Communication Systems (AREA)

Abstract

本公开提出了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法及装置，涉及移动通信技术领域，根据本公开实施例提供了的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，其中应用功能AF可根据所述AF所连接的网络是否为处于漫游状态的UE的归属网络，向所述UE对应归属网络中的第一网元或所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。本公开在基于AKMA特性进行用户设备与应用功能之间的安全通信管理时，融入漫游状态的判定，从而能够使AKMA支持漫游场景，以满足AKMA的潜在用例需求。

Description

用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法及装置 技术领域
本公开涉及移动通信技术领域，特别涉及一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法及装置。
背景技术
在移动网络通信系统中，基于第三代合作伙伴计划凭证的应用认证与密钥管理(Authentication and Key management for Applications，AKMA)特性已被用作保护用户设备(User Equipment，UE)与应用功能(Application Function，AF)之间安全通信的解决方案。考虑到当前的AKMA用例和潜在用例，在移动网络通信系统中还需要考虑漫游场景。然而，在当前移动网络通信系统中，没有相关解决方案可以使AKMA支持漫游场景。
发明内容
本公开提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法及装置，可使AKMA支持漫游场景。
本公开的第一方面实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，方法应用于应用功能AF，所述方法包括：
根据所述AF所连接的网络是否为处于漫游状态的UE的归属网络，向所述UE对应归属网络中的第一网元或所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。
在本公开的一些实施例中，所述服务网络为漫游状态UE与所述AF建立连接所使用的服务网络。
在本公开的一些实施例中，在根据所述AF所连接的网络是否为处于漫游状态的UE的归属网络，向所述UE对应归属网络中的第一网元或所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求之前，所述方法还包括：判断用户设备UE是否处于漫游状态；
所述判断用户设备UE是否处于漫游状态，包括：
接收UE发送的应用会话建立请求，所述应用会话建立请求中包含AKMA密钥标识；
从策略控制功能获取所述UE的UE信息，所述UE信息至少包括所述UE用于与所述AF建立连接的公共陆地移动网络的标识、所述UE使用的接入类型、所述UE使用的无线电接入技术类型；
在所述AKMA密钥标识中获取归属网络标识，并根据所述归属网络标识和所述UE用于与所述AF建立连接的公共陆地移动网络的标识，判断所述UE是否处于漫游状态。
在本公开的一些实施例中，根据所述归属网络标识和所述UE用于与所述AF建立连接的公共陆地移动网络的标识，判断所述UE是否处于漫游状态，包括：
提取所述归属网络标识中的第一移动设备国家代码和第一移动网络代码；以及，
提取所述UE用于与所述AF建立连接的公共陆地移动网络的标识中的第二移动设备国家代码和第二移动网络代码；
若判断所述第一移动设备国家代码与所述第二移动设备国家代码不相同，和/或所述第一移动网络代码与所述第二移动网络代码不相同，则确定所述UE处于漫游状态。
在本公开的一些实施例中，响应于所述UE处于漫游状态且所述AF连接到所述UE对应的归属网络，向所述UE对应归属网络中的第一网元发送AKMA应用程序密钥请求，具体包括：响应于所述AF没有与所述AKMA密钥标识关联的AKMA应用程序密钥，向所述UE对应归属网络中的第一网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第一AKMA应用程序密钥请求；
接收所述第一网元响应发送的第一AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，所述 第一AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间。
在本公开的一些实施例中，在向所述UE对应归属网络中的第一网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第一AKMA应用程序密钥请求之前，还包括：
判断所述当前AF是否存在于第三代合作伙伴计划运营商域中；
若否，则所述向所述UE对应归属网络中的第一网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第一AKMA应用程序密钥请求，包括：
通过网络开放功能NEF向所述UE对应归属网络中的第一网元发送至少携带有所述UE信息、所述AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求。
在本公开的一些实施例中，响应于所述UE处于漫游状态且所述AF连接到所述UE对应的服务网络，向所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求，具体包括：响应于所述当前AF没有与所述AKMA密钥标识关联的AKMA应用程序密钥，向所述UE对应服务网络中的第二网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第二AKMA应用程序密钥请求；
接收所述第二网元响应发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，所述第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间。
在本公开的一些实施例中，在向所述UE对应服务网络中的第二网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第二AKMA应用程序密钥请求之前，还包括：
判断所述当前AF是否存在于第三代合作伙伴计划运营商域中；
若否，则所述向所述UE对应服务网络中的第二网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第二AKMA应用程序密钥请求，包括：
通过网络开放功能NEF向所述UE对应服务网络中的第二网元发送至少携带有所述UE信息、所述AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。
在本公开的一些实施例中，所述方法还包括：
根据所述第一AKMA应用程序密钥响应、所述第二AKMA应用程序密钥响应中的一种向所述UE发送应用会话建立响应；或根据所述AKMA密钥请求失败的错误响应向所述UE发送应用会话建立失败的错误响应。
本公开的第二方面实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，所述方法应用于用户设备UE对应归属网络中的第一网元，所述方法包括：
响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应归属网络的应用功能AF发起，向所述AF发送关于所述AKMA应用程序密钥的第一AKMA应用程序密钥响应，同时向所述UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息；
响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应服务网络的第二网元发起，向所述UE对应服务网络中的第二网元发送关于所述AKMA应用程序密钥的第二AKMA应用程序密钥响应。
在本公开的一些实施例中，所述第一网元为所述UE对应服务网络中的AKMA锚功能AAnF。
在本公开的一些实施例中，响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应归属网络的AF发起，向所述AF发送关于所述AKMA应用程序密钥的第一AKMA应用程序密钥响应，包括：
接收所述UE对应归属网络的AF发送的第一AKMA应用程序密钥请求，其中，所述第一AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，所述第一AKMA应用程序密钥请求是所述AF在连接到所述UE对应的归属网络，且没有与所述AKMA密钥标识关联的AKMA应用程序密钥时发送的；
判断所述第一AKMA应用程序密钥请求中携带的所述AKMA密钥标识是否存在AKMA锚密钥；
若是，则从所述AKMA锚密钥中导出AKMA应用程序密钥，并在所述AF连接到所述UE对应的归属网络时，向所述AF发送关于所述AKMA应用程序密钥的第一AKMA应用程序密钥响应，所述第一AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、所述AKMA应用程序密钥和所述AKMA 应用程序密钥的到期时间；
若否，则在所述AF连接到所述UE对应的归属网络时，向所述AF发送AKMA密钥请求失败的错误响应。
在本公开的一些实施例中，在判断所述第一AKMA应用程序密钥请求中携带的所述AKMA密钥标识是否存在AKMA锚密钥之前，所述方法还包括：
接收所述AF发送的AKMA应用标识，其中，所述AKMA应用标识是所述AF在判断当前AF未存在于第三代合作伙伴计划运营商域中时发送的；
根据第一预设配置策略以及所述AKMA应用标识判断当前第一网元是否可以向所述AF提供服务；
若是，则判断所述第一AKMA应用程序密钥请求中携带的所述AKMA密钥标识是否存在AKMA锚密钥；
若否，则拒绝所述第一AKMA应用程序密钥请求。
在本公开的一些实施例中，响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应归属网络的应用功能AF发起，向所述UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息，包括：
向所述UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息，所述AKMA应用密钥确认请求消息中至少包括AKMA应用标识、订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
接收所述UE对应服务网络中的第二网元发送的AKMA应用密钥确认响应。
在本公开的一些实施例中，所述响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应服务网络的第二网元发起，向所述UE对应服务网络中的第二网元发送关于所述AKMA应用程序密钥的第二AKMA应用程序密钥响应，包括：
接收UE对应服务网络中的第二网元所中继的第二AKMA应用程序密钥请求，其中，所述第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，所述第二AKMA应用程序密钥请求是AF在连接到所述UE对应的服务网络，且没有与所述AKMA密钥标识关联的AKMA应用程序密钥时发送的；
判断所述第二AKMA应用程序密钥请求中携带的所述AKMA密钥标识是否存在AKMA锚密钥；
若是，则从所述AKMA锚密钥中导出AKMA应用程序密钥，并将所述AKMA应用程序密钥发送至所述UE对应服务网络中的第二网元，以使所述UE对应服务网络中的第二网元在所述AF连接到所述UE对应的服务网络时，向所述AF发送关于所述AKMA应用程序密钥的第二AKMA应用程序密钥响应，所述第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、所述AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
若否，则向所述UE对应服务网络中的第二网元发送AKMA密钥请求失败的错误响应。
在本公开的一些实施例中，所述方法还包括：
根据第一预设配置策略判断当前第一网元是否具备向所述第二网元提供服务。
在本公开的一些实施例中，所述方法还包括：
根据AKMA密钥标识获取UE的归属网络标识，根据UE信息获取UE用于与所述AF建立连接的公共陆地移动网络的标识，并根据所述归属网络标识和所述UE用于与所述AF建立连接的公共陆地移动网络的标识判断UE是否处于漫游状态。
本公开的第三方面实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，所述方法应用于用户设备UE对应访问网络中的第二网元，所述方法包括：
接收应用功能AF发送的第二AKMA应用程序密钥请求，其中，所述第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，所述第二AKMA应用程序密钥请求是所述AF在UE处于漫游状态下，连接到所述UE对应的服务网络，且没有与所述AKMA密钥标识关联的AKMA应用程序密钥时发送的；
将所述第二AKMA应用程序密钥请求中继到所述UE对应归属网络中的第一网元；
接收所述UE对应归属网络中的第一网元发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，所述第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、所述 AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
在所述AF连接到所述UE对应的服务网络时，将所述第二AKMA应用程序密钥响应或所述AKMA密钥请求失败的错误响应中继到所述AF。
在本公开的一些实施例中，所述第二网元为所述UE对应服务网络中的AKMA锚功能代理AAnFproxy。
在本公开的一些实施例中，在将所述第二AKMA应用程序密钥请求中继到所述UE对应归属网络中的第一网元之前，所述方法还包括：
接收所述AF发送的AKMA应用标识，其中，所述AKMA应用标识是所述AF在判断当前AF未存在于第三代合作伙伴计划运营商域中时发送的；
根据第二预设本地配置策略以及所述AKMA应用标识判断所述UE对应归属网络中的第一网元是否可以向所述AF提供服务；
若是，则将所述第二AKMA应用程序密钥请求中继到所述UE对应归属网络中的第一网元；
若否，则拒绝所述第二AKMA应用程序密钥请求。
在本公开的一些实施例中，所述方法还包括：
接收所述UE对应归属网络中的第一网元发送的AKMA应用密钥确认请求消息，其中，所述AKMA应用密钥确认请求中至少包括AKMA应用标识、订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间，所述AKMA应用密钥确认请求是UE对应归属网络中的第一网元根据所述UE的UE信息确认所述UE在服务网络，并且所述UE与连接到所述UE对应归属网络的AF建立连接时发送的；
存储所述AKMA应用密钥确认请求消息，并向所述UE对应归属网络中的第一网元发送AKMA应用密钥确认响应。
在本公开的一些实施例中，所述方法还包括：
根据第二预设配置策略判断当前第二网元是否可以向所述AF提供服务。
本公开的第四方面实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，所述方法应用于网络开放功能NEF，所述方法包括：
响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求；或，
响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。
本公开的第五方面实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，所述装置应用于应用功能AF，所述装置包括：
发送模块，用于根据所述AF所连接的网络是否为处于漫游状态的UE的归属网络，向所述UE对应归属网络中的第一网元或所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。
本公开的第六方面实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，所述装置应用于用户设备UE对应归属网络中的第一网元，所述装置包括：
发送模块，用于响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应归属网络的应用功能AF发起，向所述AF发送关于所述AKMA应用程序密钥的第一AKMA应用程序密钥响应，同时向所述UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息；
所述发送模块，还用于响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应服务网络的第二网元发起，向所述UE对应服务网络中的第二网元发送关于所述AKMA应用程序密钥的第二AKMA应用程序密钥响应。
本公开的第七方面实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，所述装置应用于用户设备UE对应访问网络中的第二网元，所述装置包括：
接收模块，用于接收应用功能AF发送的第二AKMA应用程序密钥请求，其中，所述第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，所述第二AKMA应用程序密钥请求是所述 AF在UE处于漫游状态下，连接到所述UE对应的服务网络，且没有与所述AKMA密钥标识关联的AKMA应用程序密钥时发送的；
中继模块，用于将所述第二AKMA应用程序密钥请求中继到所述UE对应归属网络中的第一网元；
所述接收模块，还用于接收所述UE对应归属网络中的第一网元发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，所述第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、所述AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
所述中继模块，还用于在所述AF连接到所述UE对应的服务网络时，将所述第二AKMA应用程序密钥响应或所述AKMA密钥请求失败的错误响应中继到所述AF。
本公开的第八方面实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，所述装置应用于网络开放功能NEF，所述装置包括：
发送模块，用于响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求；或，
发送模块，用于响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。
本公开的第九方面实施例提供了一种通信设备，该通信设备包括：收发器；存储器；处理器，分别与收发器及存储器连接，配置为通过执行存储器上的计算机可执行指令，控制收发器的无线信号收发，并能够实现如本公开第一方面实施例或第二方面实施例或第三方面实施例或第四方面实施例的方法。
本公开的第十方面实施例提供了一种计算机存储介质，其中，计算机存储介质存储有计算机可执行指令；计算机可执行指令被处理器执行后，能够实现如本公开第一方面实施例或第二方面实施例或第三方面实施例或第四方面实施例的方法。
本公开实施例提供了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法及装置，其中应用功能AF可根据AF所连接的网络是否为处于漫游状态的UE的归属网络，向UE对应归属网络中的第一网元或UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。在基于AKMA特性进行用户设备与应用功能之间的安全通信管理时，融入漫游状态的判定，从而能够使AKMA支持漫游场景，以满足AKMA的潜在用例需求。
本公开附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本公开的实践了解到。
附图说明
本公开上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：
图1为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图；
图2为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图；
图3为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图；
图4为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图；
图5为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图；
图6为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥 请求方法的流程示意图；
图7为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图；
图8为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的时序图；
图9为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置的框图；
图10为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置的框图；
图11为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置的框图；
图12为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置的框图；
图13为根据本公开实施例的一种通信装置的结构示意图；
图14为本公开实施例提供的一种芯片的结构示意图。
具体实施方式
下面详细描述本公开的实施例，实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本公开，而不能理解为对本公开的限制。
第三代合作伙伴计划(3rd Generation Partnership Project，3GPP)第3版服务包(Service Pack3，SA3)在3GPP TS 33.535中为基于第三代合作伙伴计划凭证的应用认证与密钥管理(Authentication and Key management for Applications based on 3GPP credentials，AKMA)的应用程序指定了身份验证和密钥管理。AKMA特性已被用作在ProSe、MSGin5G等场景中用户设备(User Equipment，UE)与应用功能(Application Function，AF)之间安全通信的解决方案。考虑到当前的AKMA用例和潜在用例，必须考虑漫游方面，目前在rel-17中尚未解决。
为此，本公开提出了一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法及装置，可使AKMA支持漫游场景。
下面结合附图对本申请所提供的切换方法及装置进行详细地介绍。
图1示出了根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图。如图1所示，该方法应用于应用功能AF，且可以包括以下步骤。
步骤101、根据AF所连接的网络是否为处于漫游状态的UE的归属网络，向UE对应归属网络中的第一网元或UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。
在本公开的实施例中，第一网元可以为UE对应归属网络中的AKMA锚功能(AKMA Anchor Function，AAnF)。第二网元可以为UE对应服务网络中的AKMA锚功能代理(AKMA Anchor Function proxy，AAnFproxy)。其中，服务网络可为漫游状态UE与AF建立连接所使用的服务网络。
响应于UE处于漫游状态，可进一步判断AF所连接的网络是否为处于漫游状态的UE的归属网络，根据AF所连接的网络是否为处于漫游状态的UE的归属网络的判断结果，向UE对应归属网络中的第一网元或UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。在一种可选实施例中，若判断AF所连接的网络为处于漫游状态的UE的归属网络，则可向UE对应归属网络中的第一网元发送AKMA应用 程序密钥请求；在一种可选实施例中，若判断AF所连接的网络并非为处于漫游状态的UE的归属网络，则可向UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。其中，AAnfProxy功能可以实现为服务网络中的单独网络功能，或者是服务网络中任何NF的一部分。例如，AAnFProxy可以是访问网络的AAnf，也可以是运营商在访问网络中部署的AF。
综上，根据本公开实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，可首先根据AF所连接的网络是否为处于漫游状态的UE的归属网络，向UE对应归属网络中的第一网元或UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。可在基于AKMA特性进行用户设备与应用功能之间的安全通信管理时，融入漫游状态的判定，从而能够使AKMA支持漫游场景，以满足AKMA的潜在用例需求。
图2示出了根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图。该方法应用于应用功能AF，基于图1所示实施例，如图2所示，且可以包括以下步骤。
步骤201、判断用户设备UE是否处于漫游状态。
在本公开的实施例中，可接收用户设备UE发送的应用会话建立请求，应用会话建立请求中包含AKMA密钥标识(AKMA Key IDentifier，A-KID)，同时还可从策略控制功能(Policy Control Function，PCF)获取UE的UE信息，UE信息至少包括UE用于与AF建立连接的公共陆地移动网络(Public Land Mobile Network，PLMN)的标识、UE使用的接入类型、UE使用的无线电接入技术(Radio Access Technology，RAT)类型；在AKMA密钥标识中获取归属网络标识，并根据归属网络标识和UE用于与AF建立连接的公共陆地移动网络的标识，判断UE是否处于漫游状态。需要说明的是，UE使用的接入类型包括但不限于3GPP接入，非3GPP接入。
在一种可选实施例中，根据归属网络标识和UE用于与AF建立连接的公共陆地移动网络的标识，判断UE是否处于漫游状态时，可提取归属网络标识中的第一移动设备国家代码(Mobile country code，MCC)和第一移动网络代码(Mobile Network Code，MNC)；以及，提取UE用于与AF建立连接的公共陆地移动网络的标识中的第二移动设备国家代码(Mobile country code，MCC)和第二移动网络代码(Mobile Network Code，MNC)；若判断第一移动设备国家代码与第二移动设备国家代码不相同，和/或第一移动网络代码与第二移动网络代码不相同，则确定UE处于漫游状态。在此种可选实施下，确定UE处于漫游状态可分为三种可选情况：(1)第一移动设备国家代码与第二移动设备国家代码不相同，以及第一移动网络代码与第二移动网络代码相同；(2)第一移动设备国家代码与第二移动设备国家代码相同，以及第一移动网络代码与第二移动网络代码不相同；(3)第一移动设备国家代码与第二移动设备国家代码不相同，以及第一移动网络代码与第二移动网络代码不相同。
步骤202、响应于UE处于漫游状态且AF连接到UE对应的归属网络，向UE对应归属网络中的第一网元发送AKMA应用程序密钥请求。
在本公开的实施例中，响应于UE处于漫游状态且判断当前AF连接到UE对应的归属网络，即AF所连接的网络并非为处于漫游状态的UE的服务网络，作为第一种可选实施例，响应于当前AF没有与AKMA密钥标识关联的AKMA应用程序密钥，可向UE对应归属网络中的第一网元发送至少携带有UE信息以及AKMA密钥标识的第一AKMA应用程序密钥请求。在发送第一AKMA应用程序密钥请求后，可接收第一网元响应发送的第一AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，第一AKMA应用程序密钥响应至少包括订阅永久标识符(Subscription Permanent Identifier，SUPI)、通用公共用户标识符(Generic Public Subscription Identifier，GPSI)、AKMA应用程序密钥和AKMA应用程序密钥 的到期时间。
需要说明的是，在本公开的实施例中，在向UE对应归属网络中的第一网元发送至少携带有UE信息以及AKMA密钥标识的第一AKMA应用程序密钥请求之前，还需要事先判断当前AF是否存在于第三代合作伙伴计划运营商域中；若判断当前AF存在于第三代合作伙伴计划运营商域中，则可向UE对应归属网络中的第一网元发送至少携带有UE信息以及AKMA密钥标识的第一AKMA应用程序密钥请求，即可执行上述可选实施例。
作为第二种可选实施例，若判断当前AF不存在于第三代合作伙伴计划运营商域中，则可通过网络开放功能NEF向UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识(Application funciton identity，AF_ID)的第一AKMA应用程序密钥请求。AKMA应用标识可由AF的完全限定域名(Fully Qualified Domain Name,FQDN)和用户代理(User Agent,UA)标识符组成，UA标识符用于标识AF将与UE一起使用的安全协议。
在本公开的实施例的第二种可选实施例下，UE对应归属网络中的第一网元在接收到至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求后，可根据第一预设配置策略以及AKMA应用标识判断当前第一网元是否可以向AF提供服务，若是，则可进一步接收到第一网元响应发送的第一AKMA应用程序密钥响应；若否，则可进一步接收到第一网元响应发送的AKMA密钥请求失败的错误响应。其中，第一预设配置策略为运营商配置的第一网元的服务权限，可存储在第一网元的本地存储空间。在一些可能的实施方式中，可为每个第一网元配置可提供服务的AF清单，在AF清单中可包含能够提供服务的AKMA应用标识。对于本公开实施例，第一网元可判断第一AKMA应用程序密钥请求中的AKMA应用标识是否在当前第一网元可提供服务的AF清单中，若第一AKMA应用程序密钥请求中的AKMA应用标识在当前第一网元的AF清单中，则说明当前第一网元可以为该AKMA应用标识对应的AF提供服务，进一步向AF发送第一AKMA应用程序密钥响应；若第一AKMA应用程序密钥请求中的AKMA应用标识不在当前第一网元的AF清单中，则说明当前第一网元不可以为该AKMA应用标识对应的AF提供服务，进一步向AF发送AKMA密钥请求失败的错误响应。
步骤203、根据第一AKMA应用程序密钥响应向UE发送应用会话建立响应，或，根据AKMA密钥请求失败的错误响应向UE发送应用会话建立失败的错误响应。
在本公开的实施例中，若基于实施例步骤202接收到第一网元响应发送的第一AKMA应用程序密钥响应，则可依据第一AKMA应用程序密钥响应中所至少包含的订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间，向UE发送应用会话建立响应，即与UE成功建立应用会话连接；若基于实施例步骤202接收到第一网元响应发送的AKMA密钥请求失败的错误响应，则可向UE发送应用会话建立失败的错误响应，以此拒绝应用会话建立。之后，UE可以向AF触发具有最新AKMA密钥标识的新应用会话建立请求。可以理解的是，在应用会话建立失败的错误响应中还可包含失败原因(如AKMA密钥请求失败)以及相应的提示信息(如文字提示信息、音频提示信息、视频提示信息、震动提示信息)等，对此不进行具体的限定。
综上，根据本公开实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，可首先判断用户设备UE是否处于漫游状态，若判断UE处于漫游状态且判断当前AF连接到UE对应的归属网络，则向UE对应归属网络中的第一网元发送AKMA应用程序密钥请求。可在基于AKMA特性进行用户设备与应用功能之间的安全通信管理时，融入漫游状态的判定。进一步在UE处于漫游状态且判断当前AF连接到UE对应的归属网络的条件下，使AKMA支持漫游场景下的应用会话建立，以满足AKMA的潜在用例需求。
图3示出了根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图。该方法应用于应用功能AF，基于图1所示实施例，如图3所示，且可以包括以下步骤。
步骤301、判断用户设备UE是否处于漫游状态。
在本公开的实施例中，其实现过程与实施例步骤201相同，在此不再赘述。
步骤302、响应于UE处于漫游状态且AF连接到UE对应的服务网络，向UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。
在本公开的实施例中，若判断UE处于漫游状态且判断当前AF连接到UE对应的服务网络，即AF所连接的网络为处于漫游状态的UE的服务网络，作为第一种可选实施例，响应于当前AF没有与AKMA密钥标识关联的AKMA应用程序密钥，可向UE对应服务网络中的第二网元发送至少携带有UE信息以及AKMA密钥标识的第二AKMA应用程序密钥请求。在发送第二AKMA应用程序密钥请求后，可接收第二网元响应发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间。
需要说明的是，在本公开的实施例中，在向UE对应服务网络中的第二网元发送至少携带有UE信息以及AKMA密钥标识的第二AKMA应用程序密钥请求之前，还需要事先判断当前AF是否存在于第三代合作伙伴计划运营商域中；若判断当前AF存在于第三代合作伙伴计划运营商域中，则可向UE对应服务网络中的第二网元发送至少携带有UE信息以及AKMA密钥标识的第二AKMA应用程序密钥请求，即可执行上述可选实施例。
作为第二种可选实施例，若判断当前AF不存在于第三代合作伙伴计划运营商域中，则可通过网络开放功能NEF向UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。AKMA应用标识可由AF的完全限定域名(Fully Qualified Domain Name,FQDN)和用户代理(User Agent,UA)标识符组成，UA标识符用于标识AF将与UE一起使用的安全协议。
在本公开的实施例的第二种可选实施例下，UE对应服务网络中的第二网元在接收到至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求后，可根据第二预设配置策略以及AKMA应用标识判断当前第二网元所中继的第一网元是否可以向AF提供服务，若是，则可进一步接收到第二网元响应发送的第二AKMA应用程序密钥响应；若否，则可进一步接收到第二网元响应发送的AKMA密钥请求失败的错误响应。其中，第二预设配置策略为运营商配置的第一网元的服务权限，可存储在第二网元的本地存储空间。在一些可能的实施方式中，可为每个第一网元配置可提供服务的AF清单，在AF清单中可包含能够提供服务的AKMA应用标识。对于本公开实施例，第二网元可判断第二AKMA应用程序密钥请求中的AKMA应用标识是否在所中继的第一网元可提供服务的AF清单中，若第二AKMA应用程序密钥请求中的AKMA应用标识在所中继的第一网元的AF清单中，则说明所中继的第一网元可以为该AKMA应用标识对应的AF提供服务，进一步向AF发送第二AKMA应用程序密钥响应；若第二AKMA应用程序密钥请求中的AKMA应用标识不在所中继的第一网元的AF清单中，则说明所中继的第一网元不可以为该AKMA应用标识对应的AF提供服务，进一步向AF发送AKMA密钥请求失败的错误响应。
步骤303、根据第二AKMA应用程序密钥响应向UE发送应用会话建立响应，或，根据AKMA密钥请求失败的错误响应向UE发送应用会话建立失败的错误响应。
在本公开的实施例中，若基于实施例步骤302接收到第二网元响应发送的第二AKMA应用程序密钥响应，则可依据第二AKMA应用程序密钥响应中所至少包含的订阅永久标识符、通用公共用户标识符、 AKMA应用程序密钥和AKMA应用程序密钥的到期时间，向UE发送应用会话建立响应，即与UE成功建立应用会话连接；若基于实施例步骤302接收到第二网元响应发送的AKMA密钥请求失败的错误响应，则可向UE发送应用会话建立失败的错误响应，以此拒绝应用会话建立。之后，UE可以向AF触发具有最新AKMA密钥标识的新应用会话建立请求。可以理解的是，在应用会话建立失败的错误响应中还可包含失败原因(如AKMA密钥请求失败)以及相应的提示信息(如文字提示信息、音频提示信息、视频提示信息、震动提示信息)等，对此不进行具体的限定。
综上，根据本公开实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，可首先判断用户设备UE是否处于漫游状态，若判断UE处于漫游状态且判断当前AF连接到UE对应的服务网络，向UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。可在基于AKMA特性进行用户设备与应用功能之间的安全通信管理时，融入漫游状态的判定。进一步在UE处于漫游状态且判断当前AF连接到UE对应的服务网络的条件下，使AKMA支持漫游场景下的应用会话建立，以满足AKMA的潜在用例需求。
图4为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图。该方法应用于UE对应归属网络中的第一网元，且该方法可以包括以下步骤。
步骤401、根据AKMA密钥标识获取UE的归属网络标识，根据UE信息获取UE用于与AF建立连接的公共陆地移动网络的标识，并根据归属网络标识和UE用于与AF建立连接的公共陆地移动网络的标识判断UE是否处于漫游状态。
在本公开的实施例中，UE对应归属网络中的第一网元在接收到AF发送的第一AKMA应用程序密钥请求后，可根据第一AKMA应用程序密钥请求中携带的AKMA密钥标识提取UE的归属网络标识，根据第一AKMA应用程序密钥请求中携带的UE信息获取UE用于与AF建立连接的公共陆地移动网络的标识，并根据归属网络标识和UE用于与AF建立连接的公共陆地移动网络的标识判断UE是否处于漫游状态。
在本公开的一些可选实施例中，在根据归属网络标识和UE用于与AF建立连接的公共陆地移动网络的标识判断UE是否处于漫游状态时，可提取归属网络标识中的第一移动设备国家代码和第一移动网络代码；以及，提取UE用于与AF建立连接的公共陆地移动网络的标识中的第二移动设备国家代码和第二移动网络代码；若判断第一移动设备国家代码与第二移动设备国家代码不相同，和/或第一移动网络代码与第二移动网络代码不相同，则确定UE处于漫游状态。在此种可选实施下，确定UE处于漫游状态可分为三种可选情况：(1)第一移动设备国家代码与第二移动设备国家代码不相同，以及第一移动网络代码与第二移动网络代码相同；(2)第一移动设备国家代码与第二移动设备国家代码相同，以及第一移动网络代码与第二移动网络代码不相同；(3)第一移动设备国家代码与第二移动设备国家代码不相同，以及第一移动网络代码与第二移动网络代码不相同。
在本公开的一些可选实施例中，还可直接接收AF发送的UE是否处于漫游状态的判断结果，其具体判断过程，可参见实施例步骤101中的相关描述，在此不在赘述。在此种情况下，可直接跳过本公开的实施例步骤401，直接执行实施例步骤402。
步骤402、响应于UE处于漫游状态，且AKMA应用密钥请求由UE对应归属网络的应用功能AF发起，向AF发送关于AKMA应用程序密钥的第一AKMA应用程序密钥响应，同时向UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息。
在本公开的实施例中，若判断UE处于漫游状态，且AKMA应用密钥请求由UE对应归属网络的AF发起，即UE处于漫游状态且AF连接到UE对应的归属网络，此时可接收UE对应归属网络的AF发送的第一AKMA应用程序密钥请求。其中，第一AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA 密钥标识，第一AKMA应用程序密钥请求是AF在连接到UE对应的归属网络，且没有与AKMA密钥标识关联的AKMA应用程序密钥时发送的；进一步可判断第一AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥(K AKMA)；若判断第一AKMA应用程序密钥请求中携带的AKMA密钥标识存在AKMA锚密钥，则从AKMA锚密钥中导出AKMA应用程序密钥，并在AF连接到UE对应的归属网络时，向AF发送关于AKMA应用程序密钥的第一AKMA应用程序密钥响应，第一AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间；若判断第一AKMA应用程序密钥请求中携带的AKMA密钥标识不存在AKMA锚密钥，则在AF连接到UE对应的归属网络时，向AF发送AKMA密钥请求失败的错误响应。
需要说明的是，在本公开的实施例中，在所接收的第一AKMA应用程序密钥请求中还可携带AF发送的AKMA应用标识，其中，AKMA应用标识是AF在判断当前AF未存在于第三代合作伙伴计划运营商域中时发送的，AKMA应用标识可由AF的完全限定域名(Fully Qualified Domain Name,FQDN)和用户代理(User Agent,UA)标识符组成，UA标识符用于标识AF将与UE一起使用的安全协议。在接收到的第一AKMA应用程序密钥请求中还携带AKMA应用标识的情况下，在上述判断第一AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥之前，需要先根据第一预设配置策略以及AKMA应用标识判断当前第一网元是否可以向AF提供服务，若是，则判断第一AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥；若否，则拒绝第一AKMA应用程序密钥请求。其中，第一预设配置策略为运营商配置的第一网元的服务权限，可存储在第一网元的本地存储空间。在一些可能的实施方式中，可为每个第一网元配置可提供服务的AF清单，在AF清单中可包含能够提供服务的AKMA应用标识。对于本公开实施例，第一网元可判断第一AKMA应用程序密钥请求中的AKMA应用标识是否在当前第一网元可提供服务的AF清单中，若第一AKMA应用程序密钥请求中的AKMA应用标识在当前第一网元的AF清单中，则说明当前第一网元可以为该AKMA应用标识对应的AF提供服务，则可进一步执行上述对第一AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥的判断；若第一AKMA应用程序密钥请求中的AKMA应用标识不在当前第一网元的AF清单中，则说明当前第一网元不可以为该AKMA应用标识对应的AF提供服务，则可进一步拒绝AF发送的第一AKMA应用程序密钥请求。
在本公开的实施例中，若判断UE处于漫游状态，且AKMA应用密钥请求由UE对应归属网络的AF发起，即UE处于漫游状态且AF连接到UE对应的归属网络，此时在可同时向UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息，AKMA应用密钥确认请求消息中至少包括AKMA应用标识、订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间；以及接收UE对应服务网络中的第二网元发送的AKMA应用密钥确认响应。
需要说明的是，在本公开的实施例中，在向UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息之前，还需要根据第一预设配置策略判断当前第一网元是否可以向第二网元提供服务。在一些可能的实施方式中，可判断第二网元是否位于UE的服务网络中，若判断第二网元位于UE的服务网络中，则UE归属网络中的第一网元可以为第二网元提供服务，则可进一步执行上述向UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息的操作；若判断第二网元没有位于UE的服务网络中，则说明当前第一网元不可以为该第二网元提供服务，故可不执行上述向UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息的操作。
步骤403、响应于UE处于漫游状态，且AKMA应用密钥请求由UE对应服务网络的第二网元发起，向UE对应服务网络中的第二网元发送关于AKMA应用程序密钥的第二AKMA应用程序密钥响应。
在本公开的实施例中，若判断UE处于漫游状态，且AKMA应用密钥请求由UE对应服务网络的第二网元发起，即UE处于漫游状态且AF连接到UE对应的服务网络，则可接收UE对应服务网络中的第二网元所中继的第二AKMA应用程序密钥请求，其中，第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，第二AKMA应用程序密钥请求是AF在连接到UE对应的服务网络，且没有与 AKMA密钥标识关联的AKMA应用程序密钥时发送的；进一步可判断第二AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥；若判断第二AKMA应用程序密钥请求中携带的AKMA密钥标识存在AKMA锚密钥，则从AKMA锚密钥中导出AKMA应用程序密钥，并将AKMA应用程序密钥发送至UE对应服务网络中的第二网元，以使UE对应服务网络中的第二网元在AF连接到UE对应的服务网络时，向AF发送关于AKMA应用程序密钥的第二AKMA应用程序密钥响应，第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间；若判断第二AKMA应用程序密钥请求中携带的AKMA密钥标识不存在AKMA锚密钥，则向UE对应服务网络中的第二网元发送AKMA密钥请求失败的错误响应。
需要说明的是，在本公开的实施例中，在判断第二AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥之前，还需要根据第一预设配置策略判断当前第一网元是否可以向中继的第二AKMA应用程序密钥请求的第二网元提供服务。在一些可能的实施方式中，可判断第二网元是否位于UE的服务网络中，若判断第二网元位于UE的服务网络中，则说明当前第一网元可以为该第二网元提供服务，则可进一步执行上述第二AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥的判断操作；若判断第二网元没有位于UE的服务网络中，则说明当前第一网元不可以为该第二网元提供服务，则可不执行本公开实施例中的后续操作。
综上，根据本公开实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，第一网元可首先判断用户设备UE是否处于漫游状态，若判断UE处于漫游状态，且AKMA应用密钥请求由UE对应归属网络的AF发起，则向AF发送关于AKMA应用程序密钥的第一AKMA应用程序密钥响应，同时向UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息；若判断UE处于漫游状态，且AKMA应用密钥请求由UE对应服务网络的第二网元发起，则向UE对应服务网络中的第二网元发送关于AKMA应用程序密钥的第二AKMA应用程序密钥响应。可在基于AKMA特性进行用户设备与应用功能之间的安全通信管理时，融入漫游状态的判定，从而能够使AKMA支持漫游场景，以满足AKMA的潜在用例需求。
图5为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图。该方法应用于UE对应访问网络中的第二网元，且该方法可以包括以下步骤。
步骤501、接收应用功能AF发送的第二AKMA应用程序密钥请求。
其中，第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，第二AKMA应用程序密钥请求是AF在UE处于漫游状态下，连接到UE对应的服务网络，且没有与AKMA密钥标识关联的AKMA应用程序密钥时发送的。
步骤502、将第二AKMA应用程序密钥请求中继到UE对应归属网络中的第一网元。
在本公开的实施例中，UE对应访问网络中的第二网元在接收到AF发送的第二AKMA应用程序密钥请求后，可进一步将第二AKMA应用程序密钥请求中继到UE对应归属网络中的第一网元，以利用第一网元判断第二AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥；若第一网元判断第二AKMA应用程序密钥请求中携带的AKMA密钥标识存在AKMA锚密钥，则从AKMA锚密钥中导出AKMA应用程序密钥，并将AKMA应用程序密钥发送至当前第二网元；若第一网元判断第二AKMA应用程序密钥请求中携带的AKMA密钥标识不存在AKMA锚密钥，则向当前第二网元发送AKMA密钥请求失败的错误响应。
需要说明的是，在本公开的实施例中，在所接收的第二AKMA应用程序密钥请求中还可携带AF发送的AKMA应用标识，其中，AKMA应用标识是AF在判断当前AF未存在于第三代合作伙伴计划运营商域中时发送的，AKMA应用标识可由AF的完全限定域名(Fully Qualified Domain Name,FQDN)和用户代 理(User Agent,UA)标识符组成，UA标识符用于标识AF将与UE一起使用的安全协议。在接收到的第二AKMA应用程序密钥请求中还携带AKMA应用标识的情况下，在上述将第二AKMA应用程序密钥请求中继到UE对应归属网络中的第一网元之前，需要先根据第二预设本地配置策略以及AKMA应用标识判断UE对应归属网络中的第一网元是否可以向AF提供服务；若是，则将第二AKMA应用程序密钥请求中继到UE对应归属网络中的第一网元；若否，则拒绝第二AKMA应用程序密钥请求。其中，第二预设配置策略为运营商配置的第一网元的服务权限，可存储在第二网元的本地存储空间。在一些可能的实施方式中，可为每个第一网元配置可提供服务的AF清单，在AF清单中可包含能够提供服务的AKMA应用标识。对于本公开实施例，第二网元可判断第二AKMA应用程序密钥请求中的AKMA应用标识是否在所中继的第一网元可提供服务的AF清单中，若第二AKMA应用程序密钥请求中的AKMA应用标识在所中继的第一网元的AF清单中，则说明所中继的第一网元可以为该AKMA应用标识对应的AF提供服务，则可进一步将第二AKMA应用程序密钥请求中继到UE对应归属网络中的第一网元，以及继续执行下述公开实施例步骤503、504；若第二AKMA应用程序密钥请求中的AKMA应用标识不在所中继的第一网元的AF清单中，则说明所中继的第一网元不可以为该AKMA应用标识对应的AF提供服务，则可不执行本公开实施例中的后续操作，以及不执行下述公开实施例步骤503、504。
步骤503、接收UE对应归属网络中的第一网元发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间。
步骤504、在AF连接到UE对应的服务网络时，将第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应中继到AF。
综上，根据本公开实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，第二网元在接收到AF发送的第二AKMA应用程序密钥请求后，可将第二AKMA应用程序密钥请求中继到UE对应归属网络中的第一网元，以接收UE对应归属网络中的第一网元发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，并在AF连接到UE对应的服务网络时，将第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应中继到AF。可在基于AKMA特性进行用户设备与应用功能之间的安全通信管理时，融入漫游状态的判定。进一步在UE处于漫游状态且判断当前AF连接到UE对应的服务网络的条件下，使AKMA支持漫游场景下的应用会话建立，以满足AKMA的潜在用例需求。
图6为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图。该方法应用于UE对应访问网络中的第二网元，基于图5所示实施例，如图6所示，该方法可以包括以下步骤。
步骤601、接收UE对应归属网络中的第一网元发送的AKMA应用密钥确认请求消息。
其中，AKMA应用密钥确认请求中至少包括AKMA应用标识、订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间，AKMA应用密钥确认请求是UE对应归属网络中的第一网元根据UE的UE信息确认UE在服务网络，并且UE与连接到UE对应归属网络的AF建立连接时发送的.
在本公开的实施例中，在UE处于漫游状态，且AKMA应用密钥请求由UE对应归属网络的AF发起，即UE处于漫游状态且AF连接到UE对应的归属网络，UE对应归属网络中的第一网元从AKMA锚密钥中导出AKMA应用程序密钥时，可接收第一网元向当前第二网元发送的AKMA应用密钥确认请求消息。
步骤602、存储AKMA应用密钥确认请求消息，并向UE对应归属网络中的第一网元发送AKMA应用密钥确认响应。
综上，根据本公开实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，第二网元可接收UE对应归属网络中的第一网元发送的AKMA应用密钥确认请求消息，存储AKMA应用密钥确认请求消息，并UE对应归属网络中的第一网元发送AKMA应用密钥确认响应。可在基于AKMA特性进行用户设备与应用功能之间的安全通信管理时，支持第一网元向第二网元的AKMA应用密钥确认请求消息的同步，以实现对第二网元中所存储AKMA应用程序密钥的更新。
图7为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的流程示意图。该方法应用于网络开放功能NEF，且该方法可以包括以下步骤。
步骤701、响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求。
在本公开的实施例中，若AF在向UE对应归属网络中的第一网元在发送至少携带有UE信息以及AKMA密钥标识的第一AKMA应用程序密钥请求之前，判断当前AF不存在于第三代合作伙伴计划运营商域中，则可通过网络开放功能NEF向UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识(Application funciton identity，AF_ID)的第一AKMA应用程序密钥请求。AKMA应用标识可由AF的完全限定域名(Fully Qualified Domain Name,FQDN)和用户代理(User Agent,UA)标识符组成，UA标识符用于标识AF将与UE一起使用的安全协议。
步骤702、响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。
在本公开的实施例中，若AF在向UE对应服务网络中的第二网元发送至少携带有UE信息以及AKMA密钥标识的第二AKMA应用程序密钥请求之前，判断当前AF不存在于第三代合作伙伴计划运营商域中，则可通过网络开放功能NEF向UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。AKMA应用标识可由AF的完全限定域名(Fully Qualified Domain Name,FQDN)和用户代理(User Agent,UA)标识符组成，UA标识符用于标识AF将与UE一起使用的安全协议。
综上，根据本公开实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，可利用网络开放功能NEF的透传功能，在判断AF未存在于第三代合作伙伴计划运营商域中时，向UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求；或，在判断AF未存在于第三代合作伙伴计划运营商域中时，向UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。可在AF未存在于第三代合作伙伴计划运营商域中的情况下，以另外一种方式，实现对AF的授权信息验证，进一步判断出第一网元是否能够为该AF提供服务，便于漫游场景中AKMA应用程序密钥请求的推送以及响应执行。
图8为根据本公开实施例的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的时序图。为充分说明本公开中的技术方案，在此结合图8对本公开的技术方案进行详细说明：
1.用户设备UE向应用功能AF发送包含A-KID的应用会话建立请求。
UE在发起与应用功能AF的通信之前，应先生成AKMA锚密钥和A-KID。当UE发起与AF的通信(可以理解为UE向应用功能AF发送应用会话建立请求)时，应用会话建立请求中包含A-KID(参见3GPP TS 33.535的第6.1条)。
2.AF从PCF中请求获取UE的UE信息。
AF收到应用会话建立请求消息后，应获取UE信息，包括UE当前所在的PLMN标识、UE使用的接入类型、UE使用的RAT类型。根据3GPP TS 23.503[2]的6.1.3.18子条款，AF可以使用事件报告过程从PCF获取UE信息。AF可以从UE发送的A-KID中获取归属网络标识。AF可以通过将归属网络标识符与PCF发送的PLMN标识符进行比较来验证UE是否正在漫游。如果归属网络标识符中的移动设备国家代码和移动网络代码与PCF发送的PLMN标识符中的这些不相同，则确定UE正在漫游。UE漫游场景下，AF需要根据AF是否在UE的服务网络向不同的网元请求AKMA应用程序密钥。
3a.AF向连接到UE的归属网络的AAnF发送带有A-KID、UE信息、AF_ID(根据AF是否在3GPP运营商域中，确定AF_ID的有无)的第一AKMA应用程序密钥请求。
如果AF连接到UE的归属网络并且AF没有与A-KID关联的AKMA应用程序密钥，则AF选择3GPP TS33.535中定义的AAnF，并向AAnF发送带有A-KID、UE信息的第一AKMA应用程序密钥请求，进一步为UE请求AKMA应用程序密钥。根据3GPP TS 33.535，如果AF不在3GPP运营商域中，AF需要通过NEF发送第一AKMA应用程序密钥请求，AF在第一AKMA应用程序密钥请求中还包括其身份(AF_ID)。
AAnF将根据本地配置的第一预设配置策略或NRF使用AF_ID提供的授权信息检查AAnF是否可以向AF提供服务。如果成功，则执行以下过程。否则，AAnF将拒绝该第一AKMA应用程序密钥请求。
AAnF将根据A-KID标识的UE特定AKMA锚密钥(K AKMA)的存在来验证用户是否被授权使用AKMA。
如果AAnF中存在K AKMA，则UE归属网络中的AAnF将继续执行步骤4。
如果AAnF中不存在K AKMA，则UE归属网络中的AAnF将继续执行步骤5a，并返回错误响应。并且可以跳过步骤5b到步骤5c。
3b.AF向连接到UE的服务网络的AAnFProxy发送带有A-KID、UE信息、AF_ID(根据AF是否在3GPP运营商域中，确定AF_ID的有无)的第二AKMA应用程序密钥请求。
如果AF连接到UE的服务网络，并且AF没有与A-KID关联的AKMA应用程序密钥，则AF向具有A-KID的UE服务网络中的AAnFProxy发送带有A-KID、UE信息的第二AKMA应用程序密钥请求，为UE请求AKMA应用程序密钥，进一步的，AAnFProxy将第二AKMA应用程序密钥请求中继到UE归属网络中的AAnF。根据3GPP TS 33.535，如果AF不在3GPP运营商域中，AF需要通过NEF发送第二AKMA应用程序密钥请求，AF在第二AKMA应用程序密钥请求中还包括其身份(AF_ID)。AAnFProxy将根据配置的本地策略或NRF使用AF_ID提供的授权信息检查AAnF是否可以向AF提供服务。如果成功，则执行步骤3c。否则，AAnFProxy将拒绝该第二AKMA应用程序密钥请求。
3c.AAnFProxy将第二AKMA应用程序密钥请求中继到UE归属网络中的AAnF。
UE归属网络中的AAnF将验证AAnFProxy是否被授权使用AKMA。具体来说，如果AAnFProxy位于UE的服务网络中，则UE归属网络中的AAnF可以为AAnFProxy服务，UE归属网络中的AAnF将根据A-KID标识的UE特定AKMA锚密钥(K AKMA)的存在来验证用户是否被授权使用AKMA。
如果AAnF中存在K AKMA，则UE归属网络中的AAnF将继续执行步骤4。
如果AAnF中不存在K AKMA，则UE归属网络中的AAnF将继续执行步骤5d，并返回错误响应。
4.AAnF从K AKMA中导出AKMA应用程序密钥。
如果AAnF还没有AKMA应用程序密钥(K AF)，则AAnF从K AKMA中导出AKMA应用程序密钥(K AF)。
K AF的密钥推导应按照3GPP TS 33.535的附件A.4的规定执行。
5a.AAnF应该向AF发送第一AKMA应用程序密钥响应。
如果AF连接到UE的归属网络，UE的归属网络中的AAnF应该向AF发送第一AKMA应用程序密钥响应。第一AKMA应用程序密钥响应可能包括SUPI、GPSI、KAF和KAF到期时间。然后程序进行到5b。如果AF连接到UE的服务网络，则流程进行到步骤5d。
5b.AAnF向AAnFproxy发送AKMA应用密钥确认请求消息。
如果AAnF根据UE信息确认UE在服务网络，并且UE与连接到UE归属网络的AF建立连接，则UE归属网络中的AAnF应向AAnFproxy发送AKMA应用密钥确认请求消息。AKMA应用密钥确认请求消息可以包括AF_ID、SUPI、GPSI、K AF和K AF过期时间。然后程序进行到步骤5c。
5c.AAnFProxy向AAnF发送AKMA应用密钥确认响应。
如果AAnF根据UE信息确认UE在服务网络，并且UE与连接到UE归属网络的AF建立连接，则在收到AKMA应用密钥确认请求消息后，AAnFProxy应存储AF_ID、SUPI、GPSI、K AF和K AF到期时间。然后AAnFProxy应该向UE归属网络中的AAnF发送AKMA应用密钥确认响应。然后程序转到步骤6。
5d.AAnF向AAnFproxy发送第二AKMA应用程序密钥响应。
如果AF连接到UE的服务网络，则UE归属网络中的AAnF向UE服务网络中的AAnFproxy发送第二AKMA应用程序密钥响应。第二AKMA应用程序密钥响应可能包括SUPI、GPSI、K AF和K AF到期时间。然后程序进行到步骤5e。
5e.AAnFProxy向AF中继第二AKMA应用程序密钥响应。
如果AF连接到UE的服务网络，当AF连接到服务网络时，服务网络中的AAnFProxy在接收到AAnF在UE的归属网络中发送的第二AKMA应用程序密钥响应后，应该将第二AKMA应用程序密钥响应中继给AF。然后程序转到步骤6。
6.AF向UE发送应用会话建立响应。
如果步骤5中的信息表明AKMA应用程序密钥请求请求失败，则AF应通过包含失败原因来拒绝应用会话建立。之后，UE可以向AF触发具有最新A-KID的新应用会话建立请求。
上述本申请提供的实施例中，分别从应用功能AF、UE对应归属网络中的第一网元、UE对应访问网络中的第二网元、网络开放功能NEF的角度对本申请实施例提供的方法进行了介绍。为了实现上述本申请实施例提供的方法中的各功能，应用功能AF、UE对应归属网络中的第一网元、UE对应访问网络中的第二网元、网络开放功能NEF可以包括硬件结构、软件模块，以硬件结构、软件模块、或硬件结构加软件模块的形式来实现上述各功能。上述各功能中的某个功能可以以硬件结构、软件模块、或者硬件结构加软件模块的方式来执行。
与上述几种实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法相对应，本公开还提供一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，由于本公开实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置与上述几种实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法 相对应，因此用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法的实施方式也适用于本实施例提供的用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，在本实施例中不再详细描述。
图9为根据本公开实施例提供的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置800的结构示意图，该用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置800可用于应用功能AF。
如图9所示，该装置800可包括：
发送模块810，用于根据AF所连接的网络是否为处于漫游状态的UE的归属网络，向UE对应归属网络中的第一网元或UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。其中，服务网络可为漫游状态UE与AF建立连接所使用的服务网络。
在本公开的一些实施例中，如图9所示，该装置还包括：判断模块820；
判断模块820，可以用于接收UE发送的应用会话建立请求，应用会话建立请求中包含AKMA密钥标识；从策略控制功能获取UE的UE信息，UE信息至少包括UE用于与AF建立连接的公共陆地移动网络的标识、UE使用的接入类型、UE使用的无线电接入技术类型；在AKMA密钥标识中获取归属网络标识，并根据归属网络标识和UE用于与AF建立连接的公共陆地移动网络的标识，判断UE是否处于漫游状态。
在本公开的一些实施例中，判断模块820，可以用于提取归属网络标识中的第一移动设备国家代码和第一移动网络代码；以及，提取UE用于与AF建立连接的公共陆地移动网络的标识中的第二移动设备国家代码和第二移动网络代码；若判断第一移动设备国家代码与第二移动设备国家代码不相同，和/或第一移动网络代码与第二移动网络代码不相同，则确定UE处于漫游状态。
在本公开的一些实施例中，响应于UE处于漫游状态且AF连接到UE对应的归属网络，发送模块810，可以用于响应于AF没有与AKMA密钥标识关联的AKMA应用程序密钥，向UE对应归属网络中的第一网元发送至少携带有UE信息以及AKMA密钥标识的第一AKMA应用程序密钥请求；
如图9所示，该装置800还可包括：接收模块830；
接收模块830，用于接收第一网元响应发送的第一AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，第一AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间。
在本公开的一些实施例中，判断模块820，可以用于判断当前AF是否存在于第三代合作伙伴计划运营商域中；发送模块810，可以用于在当前AF未存在于第三代合作伙伴计划运营商域中时，通过网络开放功能NEF向UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求。
在本公开的一些实施例中，响应于UE处于漫游状态且AF连接到UE对应的服务网络，发送模块810，可以用于响应于AF没有与AKMA密钥标识关联的AKMA应用程序密钥，向UE对应服务网络中的第二网元发送至少携带有UE信息以及AKMA密钥标识的第二AKMA应用程序密钥请求；接收模块830，可以用于接收第二网元响应发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间。
在本公开的一些实施例中，判断模块820，可以用于判断当前AF是否存在于第三代合作伙伴计划运营商域中；发送模块810，可以用于在当前AF未存在于第三代合作伙伴计划运营商域中时，通过网 络开放功能NEF向UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求。
在本公开的一些实施例中，发送模块810，可以用于根据第一AKMA应用程序密钥响应、第二AKMA应用程序密钥响应中的一种向UE发送应用会话建立响应；或，根据AKMA密钥请求失败的错误响应向UE发送应用会话建立失败的错误响应。
图10为本公开实施例提供的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置900的结构示意图。该用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置900可用于UE对应归属网络中的第一网元。
如图10所示，该装置900可包括：
发送模块910，用于响应于UE处于漫游状态，且AKMA应用密钥请求由UE对应归属网络的应用功能AF发起，向AF发送关于AKMA应用程序密钥的第一AKMA应用程序密钥响应，同时向UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息；
发送模块910，用于响应于UE处于漫游状态，且AKMA应用密钥请求由UE对应服务网络的第二网元发起，向UE对应服务网络中的第二网元发送关于AKMA应用程序密钥的第二AKMA应用程序密钥响应。
在本公开的一些实施例中，第一网元为UE对应服务网络中的AKMA锚功能AAnF。
在本公开的一些实施例中，如图10所示，该装置900还可包括：接收模块920、判断模块930；
在UE处于漫游状态，且AKMA应用密钥请求由UE对应归属网络的AF发起时，接收模块920，可以用于接收UE对应归属网络的AF发送的第一AKMA应用程序密钥请求，其中，第一AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，第一AKMA应用程序密钥请求是AF在连接到UE对应的归属网络，且没有与AKMA密钥标识关联的AKMA应用程序密钥时发送的；判断模块930，可以用于判断第一AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥；若第一AKMA应用程序密钥请求中携带的AKMA密钥标识存在有AKMA锚密钥，发送模块910，可以用于从AKMA锚密钥中导出AKMA应用程序密钥，并在AF连接到UE对应的归属网络时，向AF发送关于AKMA应用程序密钥的第一AKMA应用程序密钥响应，第一AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间；若第一AKMA应用程序密钥请求中携带的AKMA密钥标识不存在AKMA锚密钥，发送模块910，可以用于在AF连接到UE对应的归属网络时，向AF发送AKMA密钥请求失败的错误响应。
在本公开的一些实施例中，接收模块920，可以用于接收AF发送的AKMA应用标识，其中，AKMA应用标识是AF在判断当前AF未存在于第三代合作伙伴计划运营商域中时发送的；判断模块930，可以用于根据第一预设配置策略以及AKMA应用标识判断当前第一网元是否可以向AF提供服务；若当前第一网元可以向AF提供服务，判断模块930，可以用于判断第一AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥；若当前第一网元不可以向AF提供服务，判断模块930，可以用于拒绝第一AKMA应用程序密钥请求。
在本公开的一些实施例中，响应于UE处于漫游状态，且AKMA应用密钥请求由UE对应归属网络的AF发起，发送模块910，可以用于向UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息，AKMA应用密钥确认请求消息中至少包括AKMA应用标识、订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间；接收模块920，可以用于接收UE对应服务网络中的第二网元发送的AKMA应用密钥确认响应。
在本公开的一些实施例中，响应于UE处于漫游状态，且AKMA应用密钥请求由UE对应服务网络的第二网元发起，在本公开的一些实施例中，接收模块920，可以用于接收UE对应服务网络中的第二网元所中继的第二AKMA应用程序密钥请求，其中，第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，第二AKMA应用程序密钥请求是AF在连接到UE对应的服务网络，且没有与AKMA密钥标识关联的AKMA应用程序密钥时发送的；判断模块930，可以用于判断第二AKMA应用程序密钥请求中携带的AKMA密钥标识是否存在AKMA锚密钥；若第二AKMA应用程序密钥请求中携带的AKMA密钥标识存在AKMA锚密钥，发送模块910，可以用于从AKMA锚密钥中导出AKMA应用程序密钥，并将AKMA应用程序密钥发送至UE对应服务网络中的第二网元，以使UE对应服务网络中的第二网元在AF连接到UE对应的服务网络时，向AF发送关于AKMA应用程序密钥的第二AKMA应用程序密钥响应，第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间；若第二AKMA应用程序密钥请求中携带的AKMA密钥标识不存在AKMA锚密钥，发送模块910，可以用于向UE对应服务网络中的第二网元发送AKMA密钥请求失败的错误响应。
在本公开的一些实施例中，判断模块930，可以用于根据第一预设配置策略判断当前第一网元是否具备向第二网元提供服务。
在本公开的一些实施例中，判断模块930，可以用于根据AKMA密钥标识获取UE的归属网络标识，根据UE信息获取UE用于与AF建立连接的公共陆地移动网络的标识，并根据归属网络标识和UE用于与AF建立连接的公共陆地移动网络的标识判断UE是否处于漫游状态。
图11为本公开实施例提供的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置1000的结构示意图。该用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置1000可用于UE对应访问网络中的第二网元。
如图11所示，该装置1000可包括：
接收模块1010，可用于接收应用功能AF发送的第二AKMA应用程序密钥请求，其中，第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，第二AKMA应用程序密钥请求是AF在UE处于漫游状态下，连接到UE对应的服务网络，且没有与AKMA密钥标识关联的AKMA应用程序密钥时发送的；
中继模块1020，可用于将第二AKMA应用程序密钥请求中继到UE对应归属网络中的第一网元；
接收模块1010，可用于接收UE对应归属网络中的第一网元发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间；
中继模块1020，还可用于在AF连接到UE对应的服务网络时，将第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应中继到AF。
在本公开的一些实施例中，第二网元为UE对应服务网络中的AKMA锚功能代理AAnFproxy。
在本公开的一些实施例中，如图11所示，该装置1000还可包括：判断模块1030；
接收模块1010，可用于接收AF发送的AKMA应用标识，其中，AKMA应用标识是AF在判断当前AF未存在于第三代合作伙伴计划运营商域中时发送的；判断模块1030，可用于根据第二预设本地配置策略以及AKMA应用标识判断UE对应归属网络中的第一网元是否可以向AF提供服务；若第一网元可以向AF提供服务，中继模块1020，可用于将第二AKMA应用程序密钥请求中继到UE对应归属网络中的第一 网元；若第一网元不可以向AF提供服务，中继模块1020，可用于拒绝第二AKMA应用程序密钥请求。
在本公开的一些实施例中，如图11所示，该装置1000还可包括：存储模块1040；
接收模块1010，可用于接收UE对应归属网络中的第一网元发送的AKMA应用密钥确认请求消息，其中，AKMA应用密钥确认请求中至少包括AKMA应用标识、订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和AKMA应用程序密钥的到期时间，AKMA应用密钥确认请求是UE对应归属网络中的第一网元根据UE的UE信息确认UE在服务网络，并且UE与连接到UE对应归属网络的AF建立连接时发送的；存储模块1040，可用于存储AKMA应用密钥确认请求消息，并向UE对应归属网络中的第一网元发送AKMA应用密钥确认响应。
在本公开的一些实施例中，判断模块1030，可用于根据第二预设配置策略判断当前第二网元是否可以向AF提供服务。
图12为本公开实施例提供的一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置1100的结构示意图。该用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置1100可用于网络开放功能NEF。
如图12所示，该装置1100可包括：
发送模块1110，可用于响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求；或，
发送模块1110，可用于响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。
请参见图13，图13是本申请实施例提供的一种通信装置1200的结构示意图。通信装置1200可以是网络设备，也可以是用户设备，也可以是支持网络设备实现上述方法的芯片、芯片系统、或处理器等，还可以是支持用户设备实现上述方法的芯片、芯片系统、或处理器等。该装置可用于实现上述方法实施例中描述的方法，具体可以参见上述方法实施例中的说明。
通信装置1200可以包括一个或多个处理器1201。处理器1201可以是通用处理器或者专用处理器等。例如可以是基带处理器或中央处理器。基带处理器可以用于对通信协议以及通信数据进行处理，中央处理器可以用于对通信装置(如，基站、基带芯片，终端设备、终端设备芯片，DU或CU等)进行控制，执行计算机程序，处理计算机程序的数据。
可选的，通信装置1200中还可以包括一个或多个存储器1202，其上可以存有计算机程序1204，处理器1201执行计算机程序1204，以使得通信装置1200执行上述方法实施例中描述的方法。可选的，存储器1202中还可以存储有数据。通信装置1200和存储器1202可以单独设置，也可以集成在一起。
可选的，通信装置1200还可以包括收发器1205、天线1206。收发器1205可以称为收发单元、收发机、或收发电路等，用于实现收发功能。收发器1205可以包括接收器和发送器，接收器可以称为接收机或接收电路等，用于实现接收功能；发送器可以称为发送机或发送电路等，用于实现发送功能。
可选的，通信装置1200中还可以包括一个或多个接口电路1207。接口电路1207用于接收代码指 令并传输至处理器1201。处理器1201运行代码指令以使通信装置1200执行上述方法实施例中描述的方法。
在一种实现方式中，处理器1201中可以包括用于实现接收和发送功能的收发器。例如该收发器可以是收发电路，或者是接口，或者是接口电路。用于实现接收和发送功能的收发电路、接口或接口电路可以是分开的，也可以集成在一起。上述收发电路、接口或接口电路可以用于代码/数据的读写，或者，上述收发电路、接口或接口电路可以用于信号的传输或传递。
在一种实现方式中，处理器1201可以存有计算机程序1203，计算机程序1203在处理器1201上运行，可使得通信装置1200执行上述方法实施例中描述的方法。计算机程序1203可能固化在处理器1201中，该种情况下，处理器1201可能由硬件实现。
在一种实现方式中，通信装置1200可以包括电路，该电路可以实现前述方法实施例中发送或接收或者通信的功能。本申请中描述的处理器和收发器可实现在集成电路(integrated circuit，IC)、模拟IC、射频集成电路RFIC、混合信号IC、专用集成电路(application specific integrated circuit，ASIC)、印刷电路板(printed circuit board，PCB)、电子设备等上。该处理器和收发器也可以用各种IC工艺技术来制造，例如互补金属氧化物半导体(complementary metal oxide semiconductor，CMOS)、N型金属氧化物半导体(nMetal-oxide-semiconductor，NMOS)、P型金属氧化物半导体(positive channel metal oxide semiconductor，PMOS)、双极结型晶体管(bipolar junction transistor，BJT)、双极CMOS(BiCMOS)、硅锗(SiGe)、砷化镓(GaAs)等。
以上实施例描述中的通信装置可以是网络设备或者用户设备，但本申请中描述的通信装置的范围并不限于此，而且通信装置的结构可以不受图12的限制。通信装置可以是独立的设备或者可以是较大设备的一部分。例如该通信装置可以是：
(1)独立的集成电路IC，或芯片，或，芯片系统或子系统；
(2)具有一个或多个IC的集合，可选的，该IC集合也可以包括用于存储数据，计算机程序的存储部件；
(3)ASIC，例如调制解调器(Modem)；
(4)可嵌入在其他设备内的模块；
(5)接收机、终端设备、智能终端设备、蜂窝电话、无线设备、手持机、移动单元、车载设备、网络设备、云设备、人工智能设备等等；
(6)其他等等。
对于通信装置可以是芯片或芯片系统的情况，可参见图13所示的芯片的结构示意图。图13所示的芯片包括处理器1301和接口1302。其中，处理器1301的数量可以是一个或多个，接口1302的数量可以是多个。
可选的，芯片还包括存储器1303，存储器1303用于存储必要的计算机程序和数据。
本领域技术人员还可以了解到本申请实施例列出的各种说明性逻辑块(illustrative logical block)和步骤(step)可以通过电子硬件、电脑软件，或两者的结合进行实现。这样的功能是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员可以对于每种特定的应用，可以使用各种方法实现的功能，但这种实现不应被理解为超出本申请实施例保护的范围。
本申请还提供一种可读存储介质，其上存储有指令，该指令被计算机执行时实现上述任一方法实施例的功能。
本申请还提供一种计算机程序产品，该计算机程序产品被计算机执行时实现上述任一方法实施例的功能。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。计算机程序产品包括一个或多个计算机程序。在计算机上加载和执行计算机程序时，全部或部分地产生按照本申请实施例的流程或功能。计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。计算机程序可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，计算机程序可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。可用介质可以是磁性介质(例如，软盘、硬盘、磁带)、光介质(例如，高密度数字视频光盘(digital video disc，DVD))、或者半导体介质(例如，固态硬盘(solid state disk，SSD))等。
本领域普通技术人员可以理解：本申请中涉及的第一、第二等各种数字编号仅为描述方便进行的区分，并不用来限制本申请实施例的范围，也表示先后顺序。
本申请中的至少一个还可以描述为一个或多个，多个可以是两个、三个、四个或者更多个，本申请不做限制。在本申请实施例中，对于一种技术特征，通过“第一”、“第二”、“第三”、“A”、“B”、“C”和“D”等区分该种技术特征中的技术特征，该“第一”、“第二”、“第三”、“A”、“B”、“C”和“D”描述的技术特征间无先后顺序或者大小顺序。
如本文使用的，术语“机器可读介质”和“计算机可读介质”指的是用于将机器指令和/或数据提供给可编程处理器的任何计算机程序产品、设备、和/或装置(例如，磁盘、光盘、存储器、可编程逻辑装置(PLD))，包括，接收作为机器可读信号的机器指令的机器可读介质。术语“机器可读信号”指的是用于将机器指令和/或数据提供给可编程处理器的任何信号。
可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)和互联网。
计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。
应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本公开中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开公开的技术方案所期望的结果，本文在此不进行限制。
此外，应该理解，本申请的各种实施例可以单独实施，也可以在方案允许的情况下与其他实施例组合实施。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
以上，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (29)

  1. 一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，其特征在于，所述方法应用于应用功能AF，所述方法包括：
    根据所述AF所连接的网络是否为处于漫游状态的UE的归属网络，向所述UE对应归属网络中的第一网元或所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。
  2. 根据权利要求1所述的方法，其特征在于，所述服务网络为漫游状态UE与所述AF建立连接所使用的服务网络。
  3. 根据权利要求1所述的方法，其特征在于，在根据所述AF所连接的网络是否为处于漫游状态的UE的归属网络，向所述UE对应归属网络中的第一网元或所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求之前，所述方法还包括：判断用户设备UE是否处于漫游状态；
    所述判断用户设备UE是否处于漫游状态，包括：
    接收UE发送的应用会话建立请求，所述应用会话建立请求中包含AKMA密钥标识；
    从策略控制功能获取所述UE的UE信息，所述UE信息至少包括所述UE用于与所述AF建立连接的公共陆地移动网络的标识、所述UE使用的接入类型、所述UE使用的无线电接入技术类型；
    在所述AKMA密钥标识中获取归属网络标识，并根据所述归属网络标识和所述UE用于与所述AF建立连接的公共陆地移动网络的标识，判断所述UE是否处于漫游状态。
  4. 根据权利要求3所述的方法，其特征在于，根据所述归属网络标识和所述UE用于与所述AF建立连接的公共陆地移动网络的标识，判断所述UE是否处于漫游状态，包括：
    提取所述归属网络标识中的第一移动设备国家代码和第一移动网络代码；以及，
    提取所述UE用于与所述AF建立连接的公共陆地移动网络的标识中的第二移动设备国家代码和第二移动网络代码；
    若判断所述第一移动设备国家代码与所述第二移动设备国家代码不相同，和/或所述第一移动网络代码与所述第二移动网络代码不相同，则确定所述UE处于漫游状态。
  5. 根据权利要求2所述的方法，其特征在于，
    响应于所述UE处于漫游状态且所述AF连接到所述UE对应的归属网络，向所述UE对应归属网络中的第一网元发送AKMA应用程序密钥请求，具体包括：响应于所述AF没有与所述AKMA密钥标识关联的AKMA应用程序密钥，向所述UE对应归属网络中的第一网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第一AKMA应用程序密钥请求；
    接收所述第一网元响应发送的第一AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，所述第一AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间。
  6. 根据权利要求5所述的方法，其特征在于，在向所述UE对应归属网络中的第一网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第一AKMA应用程序密钥请求之前，还包括：
    判断所述当前AF是否存在于第三代合作伙伴计划运营商域中；
    若否，则所述向所述UE对应归属网络中的第一网元发送至少携带有所述UE信息以及所述AKMA密 钥标识的第一AKMA应用程序密钥请求，包括：
    通过网络开放功能NEF向所述UE对应归属网络中的第一网元发送至少携带有所述UE信息、所述AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求。
  7. 根据权利要求2所述的方法，其特征在于，
    响应于所述UE处于漫游状态且所述AF连接到所述UE对应的服务网络，向所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求，具体包括：响应于所述AF没有与所述AKMA密钥标识关联的AKMA应用程序密钥，向所述UE对应服务网络中的第二网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第二AKMA应用程序密钥请求；
    接收所述第二网元响应发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，所述第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间。
  8. 根据权利要求7所述的方法，其特征在于，在向所述UE对应服务网络中的第二网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第二AKMA应用程序密钥请求之前，还包括：
    判断所述当前AF是否存在于第三代合作伙伴计划运营商域中；
    若否，则所述向所述UE对应服务网络中的第二网元发送至少携带有所述UE信息以及所述AKMA密钥标识的第二AKMA应用程序密钥请求，包括：
    通过网络开放功能NEF向所述UE对应服务网络中的第二网元发送至少携带有所述UE信息、所述AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。
  9. 根据权利要求5至8中任意一项所述的方法，其特征在于，所述方法还包括：
    根据所述第一AKMA应用程序密钥响应、所述第二AKMA应用程序密钥响应中的一种向所述UE发送应用会话建立响应；或
    根据所述AKMA密钥请求失败的错误响应向所述UE发送应用会话建立失败的错误响应。
  10. 一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，其特征在于，所述方法应用于用户设备UE对应归属网络中的第一网元，所述方法包括：
    响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应归属网络的应用功能AF发起，向所述AF发送关于所述AKMA应用程序密钥的第一AKMA应用程序密钥响应，同时向所述UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息；
    响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应服务网络的第二网元发起，向所述UE对应服务网络中的第二网元发送关于所述AKMA应用程序密钥的第二AKMA应用程序密钥响应。
  11. 根据权利要求10所述的方法，其特征在于，所述第一网元为所述UE对应服务网络中的AKMA锚功能AAnF。
  12. 根据权利要求10所述的方法，其特征在于，响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应归属网络的AF发起，向所述AF发送关于所述AKMA应用程序密钥的第一AKMA应用程序密钥响应，包括：
    接收所述UE对应归属网络的AF发送的第一AKMA应用程序密钥请求，其中，所述第一AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，所述第一AKMA应用程序密钥请求是所述 AF在连接到所述UE对应的归属网络，且没有与所述AKMA密钥标识关联的AKMA应用程序密钥时发送的；
    判断所述第一AKMA应用程序密钥请求中携带的所述AKMA密钥标识是否存在AKMA锚密钥；
    若是，则从所述AKMA锚密钥中导出AKMA应用程序密钥，并在所述AF连接到所述UE对应的归属网络时，向所述AF发送关于所述AKMA应用程序密钥的第一AKMA应用程序密钥响应，所述第一AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、所述AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
    若否，则在所述AF连接到所述UE对应的归属网络时，向所述AF发送AKMA密钥请求失败的错误响应。
  13. 根据权利要求12所述的方法，其特征在于，在判断所述第一AKMA应用程序密钥请求中携带的所述AKMA密钥标识是否存在AKMA锚密钥之前，所述方法还包括：
    接收所述AF发送的AKMA应用标识，其中，所述AKMA应用标识是所述AF在判断当前AF未存在于第三代合作伙伴计划运营商域中时发送的；
    根据第一预设配置策略以及所述AKMA应用标识判断当前第一网元是否可以向所述AF提供服务；
    若是，则判断所述第一AKMA应用程序密钥请求中携带的所述AKMA密钥标识是否存在AKMA锚密钥；
    若否，则拒绝所述第一AKMA应用程序密钥请求。
  14. 根据权利要求10所述的方法，其特征在于，响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应归属网络的应用功能AF发起，向所述UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息，包括：
    向所述UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息，所述AKMA应用密钥确认请求消息中至少包括AKMA应用标识、订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
    接收所述UE对应服务网络中的第二网元发送的AKMA应用密钥确认响应。
  15. 根据权利要求10所述的方法，其特征在于，所述响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应服务网络的第二网元发起，向所述UE对应服务网络中的第二网元发送关于所述AKMA应用程序密钥的第二AKMA应用程序密钥响应，包括：
    接收UE对应服务网络中的第二网元所中继的第二AKMA应用程序密钥请求，其中，所述第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，所述第二AKMA应用程序密钥请求是AF在连接到所述UE对应的服务网络，且没有与所述AKMA密钥标识关联的AKMA应用程序密钥时发送的；
    判断所述第二AKMA应用程序密钥请求中携带的所述AKMA密钥标识是否存在AKMA锚密钥；
    若是，则从所述AKMA锚密钥中导出AKMA应用程序密钥，并将所述AKMA应用程序密钥发送至所述UE对应服务网络中的第二网元，以使所述UE对应服务网络中的第二网元在所述AF连接到所述UE对应的服务网络时，向所述AF发送关于所述AKMA应用程序密钥的第二AKMA应用程序密钥响应，所述第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、所述AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
    若否，则向所述UE对应服务网络中的第二网元发送AKMA密钥请求失败的错误响应。
  16. 根据权利要求14至15中任一项所述的方法，其特征在于，所述方法还包括：
    根据第一预设配置策略判断当前第一网元是否具备向所述第二网元提供服务。
  17. 根据权利要求10至15中任一项所述的方法，其特征在于，所述方法还包括：
    根据AKMA密钥标识获取UE的归属网络标识，根据UE信息获取UE用于与所述AF建立连接的公共陆地移动网络的标识，并根据所述归属网络标识和所述UE用于与所述AF建立连接的公共陆地移动网络的标识判断UE是否处于漫游状态。
  18. 一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，其特征在于，所述方法应用于用户设备UE对应服务网络中的第二网元，所述方法包括：
    接收应用功能AF发送的第二AKMA应用程序密钥请求，其中，所述第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，所述第二AKMA应用程序密钥请求是所述AF在UE处于漫游状态下，连接到所述UE对应的服务网络，且没有与所述AKMA密钥标识关联的AKMA应用程序密钥时发送的；
    将所述第二AKMA应用程序密钥请求中继到所述UE对应归属网络中的第一网元；
    接收所述UE对应归属网络中的第一网元发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，所述第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、所述AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
    在所述AF连接到所述UE对应的服务网络时，将所述第二AKMA应用程序密钥响应或所述AKMA密钥请求失败的错误响应中继到所述AF。
  19. 根据权利要求18所述的方法，其特征在于，所述第二网元为所述UE对应服务网络中的AKMA锚功能代理AAnFproxy。
  20. 根据权利要求18所述的方法，其特征在于，在将所述第二AKMA应用程序密钥请求中继到所述UE对应归属网络中的第一网元之前，所述方法还包括：
    接收所述AF发送的AKMA应用标识，其中，所述AKMA应用标识是所述AF在判断当前AF未存在于第三代合作伙伴计划运营商域中时发送的；
    根据第二预设本地配置策略以及所述AKMA应用标识判断所述UE对应归属网络中的第一网元是否可以向所述AF提供服务；
    若是，则将所述第二AKMA应用程序密钥请求中继到所述UE对应归属网络中的第一网元；
    若否，则拒绝所述第二AKMA应用程序密钥请求。
  21. 根据权利要求18所述的方法，其特征在于，所述方法还包括：
    接收所述UE对应归属网络中的第一网元发送的AKMA应用密钥确认请求消息，其中，所述AKMA应用密钥确认请求中至少包括AKMA应用标识、订阅永久标识符、通用公共用户标识符、AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间，所述AKMA应用密钥确认请求是UE对应归属网络中的第一网元根据所述UE的UE信息确认所述UE在服务网络，并且所述UE与连接到所述UE对应归属网络的AF建立连接时发送的；
    存储所述AKMA应用密钥确认请求消息，并向所述UE对应归属网络中的第一网元发送AKMA应用密钥确认响应。
  22. 根据权利要求18至20中任一项所述的方法，其特征在于，所述方法还包括：
    根据第二预设配置策略判断当前第二网元是否可以向所述AF提供服务。
  23. 一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求方法，其特征在于，所述方法应用于网络开放功能NEF，所述方法包括：
    响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求；或，
    响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。
  24. 一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，其特征在于，所述装置应用于应用功能AF，所述装置包括：
    发送模块，用于根据所述AF所连接的网络是否为处于漫游状态的UE的归属网络，向所述UE对应归属网络中的第一网元或所述UE对应服务网络中的第二网元发送AKMA应用程序密钥请求。
  25. 一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，其特征在于，所述装置应用于用户设备UE对应归属网络中的第一网元，所述装置包括：
    发送模块，用于响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应归属网络的应用功能AF发起，向所述AF发送关于所述AKMA应用程序密钥的第一AKMA应用程序密钥响应，同时向所述UE对应服务网络中的第二网元发送AKMA应用密钥确认请求消息；
    所述发送模块，还用于响应于UE处于漫游状态，且AKMA应用密钥请求由所述UE对应服务网络的第二网元发起，向所述UE对应服务网络中的第二网元发送关于所述AKMA应用程序密钥的第二AKMA应用程序密钥响应。
  26. 一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，其特征在于，所述装置应用于用户设备UE对应服务网络中的第二网元，所述装置包括：
    接收模块，用于接收应用功能AF发送的第二AKMA应用程序密钥请求，其中，所述第二AKMA应用程序密钥请求中至少携带有UE的UE信息以及AKMA密钥标识，所述第二AKMA应用程序密钥请求是所述AF在UE处于漫游状态下，连接到所述UE对应的服务网络，且没有与所述AKMA密钥标识关联的AKMA应用程序密钥时发送的；
    中继模块，用于将所述第二AKMA应用程序密钥请求中继到所述UE对应归属网络中的第一网元；
    所述接收模块，还用于接收所述UE对应归属网络中的第一网元发送的第二AKMA应用程序密钥响应或AKMA密钥请求失败的错误响应，所述第二AKMA应用程序密钥响应至少包括订阅永久标识符、通用公共用户标识符、所述AKMA应用程序密钥和所述AKMA应用程序密钥的到期时间；
    所述中继模块，还用于在所述AF连接到所述UE对应的服务网络时，将所述第二AKMA应用程序密钥响应或所述AKMA密钥请求失败的错误响应中继到所述AF。
  27. 一种用户设备UE漫游条件下的应用认证与密钥管理AKMA应用程序密钥请求装置，其特征在于，所述装置应用于网络开放功能NEF，所述装置包括：
    发送模块，用于响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应归属网络中的第一网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第一AKMA应用程序密钥请求；或，
    所述发送模块，用于响应于应用功能AF未存在于第三代合作伙伴计划运营商域中，向用户设备UE对应服务网络中的第二网元发送至少携带有UE信息、AKMA密钥标识以及AKMA应用标识的第二AKMA应用程序密钥请求。
  28. 一种通信设备，其中，包括：收发器；存储器；处理器，分别与所述收发器及所述存储器连接，配置为通过执行所述存储器上的计算机可执行指令，控制所述收发器的无线信号收发，并能够实现权利要求1-23中任一项所述的方法。
  29. 一种计算机存储介质，其中，所述计算机存储介质存储有计算机可执行指令；所述计算机可执行指令被处理器执行后，能够实现权利要求1-23中任一项所述的方法。
PCT/CN2022/099963 2022-06-20 2022-06-20 用户设备ue漫游条件下的应用认证与密钥管理akma应用程序密钥请求方法及装置 WO2023245387A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/CN2022/099963 WO2023245387A1 (zh) 2022-06-20 2022-06-20 用户设备ue漫游条件下的应用认证与密钥管理akma应用程序密钥请求方法及装置
CN202280002210.7A CN117616789A (zh) 2022-06-20 2022-06-20 用户设备ue漫游条件下的应用认证与密钥管理akma应用程序密钥请求方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2022/099963 WO2023245387A1 (zh) 2022-06-20 2022-06-20 用户设备ue漫游条件下的应用认证与密钥管理akma应用程序密钥请求方法及装置

Publications (1)

Publication Number Publication Date
WO2023245387A1 true WO2023245387A1 (zh) 2023-12-28

Family

ID=89378986

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2022/099963 WO2023245387A1 (zh) 2022-06-20 2022-06-20 用户设备ue漫游条件下的应用认证与密钥管理akma应用程序密钥请求方法及装置

Country Status (2)

Country Link
CN (1) CN117616789A (zh)
WO (1) WO2023245387A1 (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020145064A1 (en) * 2019-01-11 2020-07-16 Nec Corporation A method and a device for enabling key re-usage in a communication network
WO2020249861A1 (en) * 2019-06-08 2020-12-17 Nokia Technologies Oy Communication security between user equipment and third-party application using communication network-based key
WO2021093164A1 (en) * 2020-01-16 2021-05-20 Zte Corporation Method, device, and system for updating anchor key in a communication network for encrypted communication with service applications
CN113543126A (zh) * 2020-03-31 2021-10-22 华为技术有限公司 密钥获取方法及装置
US20220141661A1 (en) * 2019-03-01 2022-05-05 Nec Corporation Method for synchronization of home network key

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020145064A1 (en) * 2019-01-11 2020-07-16 Nec Corporation A method and a device for enabling key re-usage in a communication network
US20220141661A1 (en) * 2019-03-01 2022-05-05 Nec Corporation Method for synchronization of home network key
WO2020249861A1 (en) * 2019-06-08 2020-12-17 Nokia Technologies Oy Communication security between user equipment and third-party application using communication network-based key
WO2021093164A1 (en) * 2020-01-16 2021-05-20 Zte Corporation Method, device, and system for updating anchor key in a communication network for encrypted communication with service applications
CN113543126A (zh) * 2020-03-31 2021-10-22 华为技术有限公司 密钥获取方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
S3: "AKMA service support for roaming UE", 3GPP TSG-SA3 MEETING #105-E S3-214236, 1 November 2021 (2021-11-01), XP052073645 *

Also Published As

Publication number Publication date
CN117616789A (zh) 2024-02-27

Similar Documents

Publication Publication Date Title
CN110798833B (zh) 一种鉴权过程中验证用户设备标识的方法及装置
US20230171618A1 (en) Communication method and apparatus
US11503469B2 (en) User authentication method and apparatus
CN111050318B (zh) 终端信息的传递方法及相关产品
RU2012136123A (ru) Способ и устройство для защиты беспроводных узлов ретрансляции
US11895083B2 (en) Address obtaining method and an address obtaining apparatus
WO2021203891A1 (zh) 控制网络切片认证的方法、装置、设备及存储介质
CN113676904B (zh) 切片认证方法及装置
WO2021129803A1 (zh) 一种信息处理方法及通信装置
RU2537275C2 (ru) Профиль средств обеспечения безопасности смарт-карт в домашнем абонентском сервере
CN116746181A (zh) 一种密钥标识的生成方法以及相关装置
WO2023245387A1 (zh) 用户设备ue漫游条件下的应用认证与密钥管理akma应用程序密钥请求方法及装置
EP1176760A1 (en) Method of establishing access from a terminal to a server
WO2023245388A1 (zh) 安全通信方法及装置
CN115942305A (zh) 一种会话建立方法和相关装置
WO2018120150A1 (zh) 网络功能实体之间的连接方法及装置
WO2023225878A1 (zh) 一种ai网络功能的重新认证授权方法/装置/设备及存储介质
WO2023087191A1 (zh) 无线资源控制rrc拒绝消息的传输方法及装置
WO2024065843A1 (zh) 私有物联网单元pine的接入认证方法和装置
WO2023197272A1 (zh) 认证方法及装置
WO2023197273A1 (zh) 认证方法及装置
CN118120201A (zh) 私有物联网单元pine的接入认证方法和装置
CN113904781B (zh) 切片认证方法及系统
WO2023216274A1 (zh) 密钥管理方法、装置、设备和存储介质
WO2024026698A1 (zh) 一种用户设备接入移动网络的方法及其装置

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 202280002210.7

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22947168

Country of ref document: EP

Kind code of ref document: A1