5G系统中的安全锚功能技术方案

一种用于处理用于用户设备的服务接入和移动性管理功能的改变的方法。所述方法包括向源接入和移动性管理功能发送(S2)上下文请求。所述发送是从目标接入和移动性管理功能执行的。在所述目标接入和移动性管理功能中，从所述源接入和移动性管理功能接收(S3)作为答复的上下文。所述上下文包括标识安全锚功能接入和移动性管理功能的参数。所述安全锚功能接入和移动性管理功能保持与所述用户设备共享的密钥。还公开了一种在用户设备中处理服务接入和移动性管理功能的改变的方法，并且因此还公开了接入和移动性管理功能和用户设备。

Safety Anchor Function in 5G System

【技术实现步骤摘要】
【国外来华专利技术】5G系统中的安全锚功能
所提议的技术总体涉及5G通信系统中的安全问题。
技术介绍
第三代合作伙伴计划(3GPP)是电信协会组之间的合作。3GPP的最初目的是就全球适用的第三代(3G)移动电话系统规范达成一致。该范围后来被扩大为包括开发和维护其他代的移动电信产生，例如，通用移动电信系统(UMTS)架构(有时也被称为3G)和长期演进(LTE)架构(也被称为第四代(4G))。3GPP目前正在开发用于5G(又名下一代(NG))的标准。该未来一代无线通信(通常被称为下一代(NextGen或NG)、下一代系统(NGS)或5G)正在全世界范围内被开发，然而尚未设置通用的5G标准。与当前的4GLTE网络相比，下一代无线通信的愿景在于提供非常高的数据速率、极低的延迟、基站容量的多方面增加以及用户感知服务质量(QoS)的显著改善。期望5G将支持许多新场景和用例，并将成为物联网(IoT)的推动者。期望NG系统将为诸如传感器、智能可穿戴设备、车辆、机器等广泛的新设备提供连接性。于是，灵活性将是NG系统中的关键属性。这被反映在网络接入的安全要求中，其要求支持备选认证方法和不同类型的凭证，该不同类型的凭证不同于由运营商预先配置并被安全地存储在通用集成电路卡(UICC)中的通常的认证和密钥协议(AKA)凭证。这将允许工厂所有者或企业针对认证和接入网络安全利用他们自己的标识和凭证管理系统。NG系统中的新的安全特征之一是安全锚功能(SEAF)的引入。SEAF的唯一目的是满足NG核心网络功能部署的灵活性和动态性。事实上，NG系统将利用虚拟化来实现这种属性。因此，将接入和移动性管理功能(AMF)部署在可能不如例如运营商所在地内那样安全的域中的场景不仅是合理的而且是被期望的。SEAF应该与用户设备(UE)建立并共享密钥(称为Kseaf)，该密钥被用于导出任何其他密钥，例如用于控制平面保护的密钥(Kcn)和用于无线电接口保护的密钥。这些密钥在4G系统中与非接入层(NAS)密钥和KeNB相对应。然后假设SEAF驻留在安全位置，而Kseaf将决不会离开SEAF。该设置的一个主要优点是每次UE进入空闲然后再次激活时避免重新认证。事实上，认证是高成本的过程，特别是当UE正在漫游时。在NG系统的架构研究期间，决定将SEAF与AMF并置。实际上，这确实首先破坏了这种附加安全功能的目的。是否仍然需要SEAF，以及如果是的话，如何来实现它？值得注意的是，传统系统中的安全设计在概念上是基于移动性管理实体(MME)始终位于运营商CN内的安全位置这一假设的。该假设不适用于AMF。在密集区域中，AMF可以更靠近网络的边缘来部署(例如，在购物中心中)，并且因此可能被部署在暴露的位置。因此，在AMF改变期间，可能的情况是，AMF不位于同等安全的域中，并且因此目标或源AMF可能需要遮蔽其自身免受另一AMF影响。如下所述，在这种新的安全设置中重用传统机制是不够的。在演进型分组系统(EPS)中，AMF的等同物是MME。在MME改变期间，新的MME从旧的MME中获取UE的安全上下文。此外，MME始终有可能触发新的认证。使用传统机制，可以经由重新认证来实现前向安全，但是不存在用于后向安全的机制。更准确地说，在目标侧，新的AMF始终有可能触发新的认证，从而缩减了旧的AMF确定所使用的密钥的任何可能性。对重新认证的需求可以例如基于考虑不同AMF的位置的运营商策略。仅依赖于认证过程不是十分有效的，因为在性能方面，它是最繁重的过程之一。这是独立的SEAF可以通过消除特别是在漫游时对重新认证的需求而发挥重要作用的地方。
技术实现思路
一个目的是在AMF改变时提供有效的且允许前向安全的认证过程。通过所提出的技术的实施例来满足该目的以及其他目的。根据第一方面，提供了一种用于支持对用于用户设备的服务AMF的改变进行处理的方法。该方法包括向源AMF发送上下文请求。该发送是从目标AMF执行的。在目标AMF中，从源AMF接收作为答复的上下文。该上下文包括标识SEAFAMF的参数。SEAFAMF保持与用户设备共享的密钥。根据第二方面，提供了一种用于支持对用于用户设备的服务AMF的改变进行处理的方法。该方法包括从目标AMF接收上下文请求。该接收在源AMF中执行。从源AMF向目标AMF发送上下文作为答复。该上下文包括标识SEAFAMF的参数。SEAFAMF保持与用户设备共享的密钥。根据第三方面，提供了一种用于支持对用于用户设备的服务AMF的改变进行处理的方法。该方法包括向目标AMF发送注册请求。该发送从用户设备执行。在所述目标AMF与所述用户设备之间执行非接入层安全建立过程。该非接入层安全建立过程向用户设备通知由目标AMF决定的认证策略。根据该认证策略应用密钥过程(keyprocedures)。根据第四方面，提供了一种用于支持对用于用户设备的服务AMF的改变进行处理的方法。该方法包括从目标AMF接收对用于用户设备的新的密钥的请求。该接收在SEAFAMF中执行。在SEAFAMF中，从与用户设备共享的密钥中导出新的核心网络密钥。向目标AMF发送新的核心网络密钥。根据第五方面，提供了一种被配置为支持对用户设备的服务AMF的改变进行处理的网络节点。该网络节点包括AMF，该AMF被配置为向源AMF发送上下文请求。该AMF被配置为从源AMF接收上下文作为答复。该上下文包括标识SEAFAMF的参数。SEAFAMF保持与用户设备共享的密钥。根据第六方面，提供了一种被配置为支持对用于用户设备的服务AMF的改变进行处理的网络节点。该网络节点包括AMF，该AMF被配置为从目标AMF接收上下文请求。该AMF被配置为向目标AMF发送上下文作为答复。该上下文包括标识SEAFAMF的参数。SEAFAMF保持与用户设备共享的密钥。根据第七方面，提供了一种用于通信网络的用户设备。该用户设备被配置为向目标AMF发送注册请求。该用户设备还被配置为在目标AMF与该用户设备之间执行非接入层安全建立过程。该非接入层安全建立过程向用户设备通知由目标AMF决定的认证策略。该用户设备还被配置为根据认证策略应用密钥过程。根据第八方面，提供了一种被配置为支持对用于用户设备的服务AMF的改变进行处理的网络节点。该网络节点包括AMF，该AMF被配置为从目标AMF接收对用于用户设备的新的密钥的请求。该AMF还被配置为从与用户设备共享的密钥中导出新的核心网络密钥。该AMF还被配置为向目标AMF发送新的核心网络密钥。根据第九方面，提供了一种包括指令的计算机程序，该指令当由至少一个处理器执行时，使该处理器从目标AMF向源AMF发送上下文请求。计算机程序包括另外的指令，该另外的指令当由处理器执行时，使该处理器在目标AMF中从源AMF接收作为答复的上下文。该上下文包括标识SEAFAMF的参数。SEAFAMF保持与用户设备共享的密钥。根据第十方面，提供了一种包括指令的计算机程序，该指令当由至少一个处理器执行时，使处理器在源AMF中从目标AMF接收上下文请求。计算机程序包括另外的指令，该另外的指令当由处理器执行时，使处理器从源AMF向目标AMF发送上下文作为答复。该上下文包括标识SEAFAMF的参数。SEAFAMF保持与用户设备共享的密钥。根据第十一方面，提供了一种包括本文档来自技高网...

【技术保护点】
1.一种用于支持对用于用户设备(80)的服务接入和移动性管理功能(50)的改变进行处理的方法，其中，所述方法包括：‑从目标接入和移动性管理功能(50T)向源接入和移动性管理功能(50S)发送(S1)上下文请求；以及‑在所述目标接入和移动性管理功能(50T)中从所述源接入和移动性管理功能(50S)接收作为答复的上下文；所述上下文包括标识安全锚功能接入和移动性管理功能(50P)的参数；所述安全锚功能接入和移动性管理功能(50P)是保持与所述用户设备(80)共享的密钥的接入和移动性管理功能。

【技术特征摘要】
【国外来华专利技术】2017.01.30 US 62/451,8561.一种用于支持对用于用户设备(80)的服务接入和移动性管理功能(50)的改变进行处理的方法，其中，所述方法包括：-从目标接入和移动性管理功能(50T)向源接入和移动性管理功能(50S)发送(S1)上下文请求；以及-在所述目标接入和移动性管理功能(50T)中从所述源接入和移动性管理功能(50S)接收作为答复的上下文；所述上下文包括标识安全锚功能接入和移动性管理功能(50P)的参数；所述安全锚功能接入和移动性管理功能(50P)是保持与所述用户设备(80)共享的密钥的接入和移动性管理功能。2.根据权利要求1的方法，其特征在于，还包括：-从所述用户设备(80)接收(S1)注册请求。3.根据权利要求1或2的方法，其特征在于，还包括：-基于所述源接入和移动性管理功能(50S)和所述安全锚功能接入和移动性管理功能(50P)中的至少一个的状况来决定(S4)认证策略。4.根据权利要求3所述的方法，其特征在于，所述决定(S4)是基于安全策略的，其中所述安全策略取决于所述源接入和移动性管理功能(50S)和所述安全锚功能接入和移动性管理功能(50P)的位置。5.根据权利要求3或4所述的方法，其特征在于，所述认证策略包括以下之一：在接入和移动性管理功能(50)之间传递密钥，执行新的认证过程，以及向所述安全锚功能接入和移动性管理功能(50P)请求密钥。6.根据权利要求5所述的方法，其特征在于，还包括：作为对所述认证策略被决定为是执行新的认证过程的答复，运行新的认证过程(T12)，所述认证过程(T12)进而包括：-通过与认证服务器功能(52)的交互来建立新的密钥；以及-创建将所述目标接入和移动性管理功能(50T)标识为新的安全锚功能接入和移动性管理功能(50P)的新的所述参数。7.根据权利要求6所述的方法，其特征在于，还包括：向所述原始安全锚功能接入和移动性管理功能(50P)通知(T13)所述目标接入和移动性管理功能(50T)是用于所述用户设备(80)的所述新的安全锚功能接入和移动性管理功能(50P)。8.根据权利要求5所述的方法，其特征在于，还包括：作为对所述认证策略被决定为是在接入和移动性管理功能(50)之间传递密钥的答复，在所述源接入和移动性管理功能(50S)与所述目标接入和移动性管理功能(50T)之间传递核心网络密钥。9.根据权利要求5所述的方法，其特征在于，还包括：作为对所述认证策略被决定为是向所述安全锚功能接入和移动性管理功能(50P)请求密钥的答复，请求(T14)密钥，请求密钥的所述步骤进而包括以下步骤：-向所述安全锚功能接入和移动性管理功能(50P)发送对密钥的请求；以及-从所述安全锚功能接入和移动性管理功能(50P)接收所述密钥。10.根据权利要求1至9中任一项所述的方法，其特征在于，所述参数是与所述安全锚功能接入和移动性管理功能(50P)相关联的全局唯一临时ID。11.根据权利要求1至10中任一项所述的方法，其特征在于，还包括：在所述目标接入和移动性管理功能(50T)与所述用户设备(80)之间执行非接入层安全建立过程(T16)，所述非接入层安全建立过程(T16)向所述用户设备(80)通知由所述目标接入和移动性管理功能(50T)决定的所述认证策略。12.根据权利要求1至11中任一项所述的方法，其特征在于，与所述用户设备(80)共享的所述密钥被用于导出其他密钥。13.一种用于支持对用于用户设备(80)的服务接入和移动性管理功能(50)的改变进行处理的方法，其中，所述方法包括：-在源接入和移动性管理功能(50S)中从目标接入和移动性管理功能(50T)接收(S11)上下文请求；以及-从所述源接入和移动性管理功能(50S)向所述目标接入和移动性管理功能(50T)发送(S12)上下文作为答复；所述上下文包括标识安全锚功能接入和移动性管理功能(50P)的参数；所述安全锚功能接入和移动性管理功能(50P)保持与所述用户设备(80)共享的密钥。14.根据权利要求13所述的方法，其特征在于，还包括：从存储器获取标识安全锚功能接入和移动性管理功能(50P)的所述参数。15.根据权利要求13或14所述的方法，其特征在于，还包括：在所述源接入和移动性管理功能(50S)与所述目标接入和移动性管理功能(50T)之间传递核心网络密钥。16.根据权利要求13至15中任一项所述的方法，其特征在于，所述参数是与所述安全锚功能接入和移动性管理功能相关联的全局唯一临时ID。17.根据权利要求13至16中任一项所述的方法，其特征在于，与所述用户设备(80)共享的所述密钥被用于导出其他密钥。18.一种用于支持对用于用户设备(80)的服务接入和移动性管理功能(50)的改变进行处理的方法，其中，所述方法包括：-从所述用户设备(80)向目标接入和移动性管理功能(50T)发送(S21)注册请求(T10)；-在所述目标接入和移动性管理功能(50T)与所述用户设备(80)之间执行(S22)非接入层安全建立过程(T16)；其中，所述非接入层安全建立过程(T16)向所述用户设备(80)通知由所述目标接入和移动性管理功能(50T)决定的认证策略；以及-根据所述认证策略应用(S23)密钥过程。19.根据权利要求18所述的方法，其特征在于，所述认证策略包括以下之一：在接入和移动性管理功能(50)之间传递密钥，执行新的认证过程，以及向所述安全锚功能接入和移动性管理功能(50P)请求密钥。20.根据权利要求18或19所述的方法，其特征在于，所述注册请求(T10)包括将当前使用的接入和移动性管理功能(50)标识为源接入和移动性管理功能(50S)的信息。21.一种用于支持对用于用户设备(80)的服务接入和移动性管理功能(50)的改变进行处理的方法，其中，所述方法包括：-在安全锚功能接入和移动性管理功能(50P)中从目标接入和移动性管理功能(50T)接收(S31)对用于所述用户设备(80)的新的密钥的请求；-在所述安全锚功能接入和移动性管理功能(50P)中，从与所述用户设备(80)共享的密钥中导出(S32)新的核心网络密钥；以及-向所述目标接入和移动性管理功能(50T)发送(S33)所述新的核心网络密钥。22.根据权利要求21所述的方法，其特征在于，还包括：-从目标接入和移动性管理功能(50T)接收(S34)所述用户设备(80)具有新的安全锚功能接入和移动性管理功能(50P)的通知；以及-处理(S35)与所述用户设备(80)共享的所述密钥。23.一种网络节点(99)，被配置为支持对用于用户设备(80)的服务接入和移动性管理功能(50)的改变的处理，所述网络节点(99)包括被配置为向源接入和移动性管理功能(50S)发送上下文请求的接入和移动性管理功能(50)，所述接入和移动性管理功能(50)被配置为从所述源接入和移动性管理功能(50S)接收作为答复的上下文，所述上下文包括标识安全锚功能接入和移动性管理功能(50P)的参数，所述安全锚功能接入和移动性管理功能(50P)保持与所述用户设备(80)共享的密钥。24.一种网络节点(99)，被配置为支持对...

【专利技术属性】
技术研发人员：诺阿蒙·本赫达，莫尼卡·威弗森，克里斯汀·约斯特，戴维·卡斯特利亚诺斯萨莫拉，韦萨·托尔维宁，
申请(专利权)人：瑞典爱立信有限公司，
类型：发明
国别省市：瑞典,SE