用于安全的方法和装置制造方法及图纸

本公开的实施例提供了用于安全的方法和装置。一种方法可以包括基于至少一个密钥导出输入参数和网络与UE之间的至少一个共享密钥来导出与应用功能(AF)有关的密钥材料。该方法还可以包括向应用客户端提供密钥材料。还可以包括向应用客户端提供密钥材料。还可以包括向应用客户端提供密钥材料。

【技术实现步骤摘要】
【国外来华专利技术】用于安全的方法和装置


[0001]本公开的非限制性和示例性实施例总体上涉及通信
，并且具体地涉及用于安全的方法和装置。

技术介绍

[0002]本节介绍了有助于更好地理解本公开的方面。因此，本节的陈述应从这个角度来阅读，并且不应被理解为对现有技术中的内容或现有技术中不包含的内容的承认。
[0003]目前已经提出了用于诸如新无线电(NR)的第五代系统(5GS)的核心网络架构。图1示出了5G核心网(5GC)的高级架构。如图1所示，5GC可以包括多个网络功能(NF)，诸如AMF(接入和移动性功能)、SMF(会话管理功能)、AUSF(认证服务功能)、UDM(统一数据管理)、PCF(策略控制功能)、AF(应用功能)、NEF(网络开放功能)、UPF(用户面功能)和NRF(NF存储库功能)、等。
[0004]5GC被设计以支持统一认证架构，其使用户设备(UE)能够经由使用不同的认证方案(例如EPS
‑
AKA(演进的分组系统
‑
认证和密钥协商、EAP
‑
AKA(可扩展的认证协议
本文档来自技高网...

【技术保护点】

【技术特征摘要】
【国外来华专利技术】1.一种在用户设备UE处实现的方法(700)，包括：基于至少一个密钥导出输入参数和网络与所述UE之间的至少一个共享密钥，导出(702)与应用功能AF有关的密钥材料；以及向应用客户端提供(704)所述密钥材料。2.根据权利要求1所述的方法，其中，所述至少一个共享密钥被存储在所述UE的安全模块中，以及所述密钥材料由所述安全模块导出。3.根据权利要求1或2所述的方法，其中，向所述应用客户端提供所述密钥材料是响应于从所述应用客户端接收到请求或订阅。4.根据权利要求3所述的方法，其中，所述请求或订阅包括所述至少一个密钥导出输入参数。5.根据权利要求1
‑
4中任一项所述的方法，其中，所述至少一个密钥导出输入参数包括以下至少一个：所述AF的类型，应用类型，应用标识符，用户标识符，所述UE的地址，关联会话，上下文标识符，用于密钥导出的消歧标签字符串，随机数，密钥导出域，密钥导出函数方案，所述至少一个共享密钥的类型，日期指示，时间指示，以及网络特定信息。6.根据权利要求1
‑
5中任一项所述的方法，其中，所述至少一个共享密钥是在相互认证过程期间在所述网络与所述UE之间生成和共享的。7.根据权利要求1
‑
6中任一项所述的方法，其中，所述至少一个共享密钥包括以下至少一个：用于认证服务器功能AUSF的密钥K
AUSF
，用于安全锚定功能SEAF的密钥K
SEAF
，用于接入和移动性管理功能AMF的密钥K
AMF
，用于用特定完整性算法保护非接入层NAS信令的密钥K
NASint
，用于用特定加密算法保护NAS信令的密钥K
NASenc
，用于非第三代合作伙伴计划Non
‑
3GPP接入互通功能的密钥K
N3IWF
，用于下一代无线电接入网的密钥K
gNB
，用于用特定完整性算法保护无线电资源控制RRC信令的密钥K
RRCint
，
用于用特定加密算法保护RRC信令的密钥K
RRCenc
，用于用特定加密算法保护用户面UP业务的密钥K
UPint
，以及用于用特定完整性算法保护移动设备ME与gNB之间的UP业务的密钥K
UPenc
。8.根据权利要求1
‑
7中任一项所述的方法，其中，相同的密钥导出函数由所述网络和所述UE使用以导出所述密钥材料。9.根据权利要求8所述的方法，其中，所述密钥导出函数取决于不同用途而变化。10.根据权利要求8或9所述的方法，其中，所述密钥导出函数是基于所述至少一个密钥导出输入参数或所述UE与所述网络之间的协商而被选择的。11.根据权利要求1
‑
10中任一项所述的方法，其中，所述应用客户端位于所述UE中或位于所述UE外部。12.一种在应用客户端实现的方法(800)，包括：从用户设备UE或所述UE的安全模块获得(802)与应用功能AF有关的密钥材料，其中，所述密钥材料是基于至少一个密钥导出输入参数和网络与所述UE之间的至少一个共享密钥而被导出的；以及将所述密钥材料应用于(804)由所述应用客户端发送和/或接收的至少一个消息。13.根据权利要求12所述的方法，其中，所述至少一个共享密钥被存储在所述UE的所述安全模块中，以及所述密钥材料由所述安全模块导出。14.根据权利要求12或13所述的方法，其中，从所述UE获得与所述AF有关的密钥材料是响应于向所述UE发送请求或订阅。15.根据权利要求14所述的方法，其中，所述请求或订阅包括所述至少一个密钥导出输入参数。16.根据权利要求12
‑
15中任一项所述的方法，其中，所述至少一个密钥导出输入参数包括以下至少一个：所述AF的类型，应用类型，应用标识符，用户标识符，所述UE的地址，关联会话，上下文标识符，用于密钥导出的消歧标签字符串，随机数，密钥导出域，密钥导出函数方案，所述至少一个共享密钥的类型，日期指示，时间指示，以及网络特定信息。17.根据权利要求12
‑
16中任一项所述的方法，其中，所述至少一个共享密钥是在相互
认证过程期间在所述网络与所述UE之间生成和共享的。18.根据权利要求12
‑
17中任一项所述的方法，其中，所述至少一个共享密钥包括以下至少一个：用于认证服务器功能AUSF的密钥K
AUSF
，用于安全锚定功能SEAF的密钥K
SEAF
，用于接入和移动性管理功能AMF的密钥K
AMF
，用于用特定完整性算法保护非接入层NAS信令的密钥K
NASint
，用于用特定加密算法保护NAS信令的密钥K
NASenc
，用于非第三代合作伙伴计划Non
‑
3GPP接入互通功能的密钥K
N3IWF
，用于下一代无线电接入网的密钥K
gNB
，用于用特定完整性算法保护无线电资源控制RRC信令的密钥K
RRCint
，用于用特定加密算法保护RRC信令的密钥K
RRCenc
，用于用特定加密算法保护用户面UP业务的密钥K
UPint
，以及用于用特定完整性算法保护移动设备ME与gNB之间的UP业务的密钥K
UPenc
。19.根据权利要求12
‑
18中任一项所述的方法，其中，相同的密钥导出函数由所述网络和所述UE使用以导出所述密钥材料。20.根据权利要求19所述的方法，其中，所述密钥导出函数取决于不同用途而变化。21.根据权利要求19或20所述的方法，其中，所述密钥导出函数是基于所述至少一个密钥导出输入参数或所述UE与所述网络之间的协商而被选择的。22.根据权利要求12
‑
21任一项所述的方法，其中，所述应用客户端位于所述UE中或位于所述UE外部。23.一种在第一网络功能NF处实现的方法(900)，包括：获得(902)与应用功能AF有关的密钥材料，其中，所述密钥材料是基于至少一个密钥导出输入参数和网络与用户设备UE之间的至少一个共享密钥而被导出的；以及向所述AF提供(904)所述密钥材料。24.根据权利要求23所述的方法，其中，所述至少一个共享密钥被存储在第二NF中，所述密钥材料由所述第二NF基于所述至少一个密钥导出输入参数和所述网络与所述UE之间的所述至少一个共享密钥而被导出，以及获得与所述AF有关的密钥材料包括：从所述第二NF获得与所述AF有关的所述密钥材料。25.根据权利要求24所述的方法，其中，从所述第二NF获得与所述AF有关的密钥材料是响应于向所述第二NF发送请求或订阅。26.根据权利要求25所述的方法，其中，所述请求或订阅包括所述至少一个密钥导出输入参数。27.根据权利要求23
‑
26中任一项所述的方法，还包括：确定(1002)所述AF是否被允许针对所述UE访问网络开放服务和/或对于所述UE是否支持所述密钥材料的导出和/或对于所述至少一个密钥导出输入参数中的至少一个密钥导出输入参数是否允许所述密钥材料的导出。28.根据权利要求27所述的方法，其中，所述确定基于所述UE的签约信息。29.根据权利要求23
‑
28中任一项所述的方法，还包括：
基于所述UE的标识符和/或所述至少一个密钥导出输入参数来发现(1102)所述第二NF。30.根据权利要求29所述的方法，其中，基于所述UE的标识符和/或所述至少一个密钥导出输入参数来发现所述第二NF包括：向第三NF发送发现请求或订阅，其中，所述请求或订阅包括所述UE的标识符和/或所述至少一个密钥导出输入参数；以及从所述第三NF接收包括关于所述第二NF的信息的响应。31.根据权利要求30的方法，其中，所述第三NF包括网络功能存储库功能。32.根据权利要求29
‑
31中任一项所述的方法，其中，所述UE的标识符是所述UE的网络内部标识符，以及所述方法还包括：基于所述UE的外部标识符或所述UE的互联网协议IP地址获得(1101)所述UE的所述网络内部标识符。33.根据权利要求23
‑
32中任一项所述的方法，其中，向所述AF提供所述密钥材料是响应于从所述AF接收到请求或订阅，其中，所述请求或订阅包括所述至少一个密钥导出输入参数。34.根据权利要求23
‑
33中任一项所述的方法，其中，所述至少一个密钥导出输入参数包括以下至少一个：所述AF的类型，应用类型，应用标识符，用户标识符，所述UE的地址，关联会话，上下文标识符，用于密钥导出的消歧标签字符串，随机数，密钥导出域，密钥导出函数方案，所述至少一个共享密钥的类型，日期指示，时间指示，以及网络特定信息。35.根据权利要求23
‑
34中任一项所述的方法，其中，所述至少一个共享密钥是在相互认证过程期间在所述网络与所述UE之间生成和共享的。36.根据权利要求23
‑
35中任一项所述的方法，其中，所述至少一个共享密钥包括以下至少一个：用于认证服务器功能AUSF的密钥K
AUSF
，用于安全锚定功能SEAF的密钥K
SEAF
，用于接入和移动性管理功能AMF的密钥K
AMF
，
用于用特定完整性算法保护非接入层NAS信令的密...

【专利技术属性】
技术研发人员：王成，
申请(专利权)人：瑞典爱立信有限公司，
类型：发明
国别省市：