[發明專利]一種安全保護協商方法及網元

有效

• 申請號: 201710060035.8
• 申請日: 2017-01-24
• 公開（公告）號: CN108347416B
• 公開（公告）日: 2021-06-29
• 發明（設計）人: 吳榮;張博;甘露
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04W12/02;H04W12/0431;H04W12/106
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 馮艷蓮

1.一種安全保護協商方法，其特征在于，包括：

會話管理網元SMF確定本次會話過程中用戶面所使用的安全保護信息，所述安全保護信息包括安全保護的算法、用于識別安全保護的上下文的索引以及消息認證碼，所述安全保護包括加解密保護和完整性保護，所述消息認證碼是指所述SMF使用完整性保護的算法和所述索引識別的安全保護的上下文包括的完整性保護的密鑰對第一消息進行完整性保護生成的認證碼；

所述SMF向UE發送包括所述用戶面所使用的安全保護信息的所述第一消息，所述用戶面所使用的安全保護信息用于所述UE根據所述用戶面所使用的安全保護信息對所述第一消息進行完整性保護認證成功后啟動用戶面的安全保護；

所述SMF接收所述UE發送的用于指示所述UE對所述第一消息認證成功的第二消息，以及向用戶面網關UPF發送包括本次會話過程中用戶面所使用的安全保護的算法和用于安全保護的上下文的第三消息，所述第三消息用于觸發所述UPF根據所述安全保護的算法和所述安全保護的上下文啟動用戶面的安全保護。

2.如權利要求1所述的方法，其特征在于，所述SMF確定所述安全保護的算法，包括：

所述SMF從安全策略控制網元SPCF獲取所述SPCF協商確定的所述安全保護的算法；或者，

所述SMF自行協商確定所述安全保護的算法。

3.如權利要求2所述的方法，其特征在于，所述SPCF部署在所述SMF、安全錨點網元SEAF和認證服務網元AUSF中的任意一個網元上，或者所述SPCF獨立部署于網絡中。

4.如權利要求1至3任一所述的方法，其特征在于，所述安全保護的算法是基于所述UE支持的安全保護的算法、網絡支持的安全保護的算法和本次會話所屬業務支持的安全保護的算法協商確定的。

5.如權利要求1至3任一所述的方法，其特征在于，所述SMF確定所述用戶面所使用的安全保護信息之前，還包括：所述SMF建立本次會話；或者，

所述SMF確定所述用戶面所使用的安全保護信息之前，還包括：所述SMF接收所述UE發送的用于請求建立本次會話的會話建立請求消息；

所述SMF向所述UE發送包括所述用戶面所使用的安全保護信息的第一消息，包括：所述SMF向所述UE發送包括所述用戶面所使用的安全保護信息的會話建立完成消息。

6.如權利要求5所述的方法，其特征在于，所述SMF接收所述UE發送的用于請求建立本次會話的會話建立請求消息之后，還包括：

所述SMF確定用戶面的安全終結點為所述UPF，并通知無線接入網絡RAN，所述SMF執行所述安全保護協商方法。

7.如權利要求1至3任一或6所述的方法，其特征在于，所述SMF向所述UE發送包括所述用戶面所使用的安全保護信息的所述第一消息之后，還包括：

所述SMF接收所述UE發送的用于指示所述UE對所述第一消息認證失敗的第四消息；

所述SMF根據所述第四消息的指示，確定不需要觸發所述UPF啟動用戶面的安全保護。

8.一種安全保護協商方法，其特征在于，包括：

用戶設備UE接收會話管理網元SMF發送的包括本次會話過程中用戶面所使用的安全保護信息的第一消息，所述安全保護信息包括：安全保護的算法、用于識別安全保護的上下文的索引以及消息認證碼，所述安全保護包括加解密保護和完整性保護，所述消息認證碼是指所述SMF使用完整性保護的算法和所述索引識別的安全保護的上下文包括的完整性保護的密鑰對所述第一消息進行完整性保護生成的認證碼；

所述UE根據所述用戶面所使用的安全保護信息對所述第一消息進行認證；

當所述UE對所述第一消息認證成功時，所述UE啟動用戶面的安全保護，以及向所述SMF發送用于指示所述UE對所述第一消息認證成功的第二消息。