[發明專利]網絡安全保護方法、設備及系統

有效

• 申請號: 201710279322.8
• 申請日: 2017-04-25
• 公開（公告）號: CN108738015B
• 公開（公告）日: 2021-04-09
• 發明（設計）人: 舒林;克里斯蒂安·埃雷羅
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04W12/02;H04W12/06;H04W12/08;H04W12/10
• 代理公司: 北京中博世達專利商標代理有限公司 11274
• 代理人: 申健

1.一種網絡安全保護方法，其特征在于，所述方法包括：

終端確定所述終端的第一目標安全上下文，所述第一目標安全上下文包括第一安全上下文或第二安全上下文，所述第一安全上下文為配置的安全上下文，所述第二安全上下文為鑒權流程生成的安全上下文；

所述終端使用所述第一目標安全上下文對初始非接入層NAS請求消息進行安全保護，得到安全保護的NAS請求消息，所述安全保護包括加密；

所述終端向第一網絡設備發送所述安全保護的NAS請求消息，所述安全保護的NAS請求消息的消息頭為第一NAS消息頭，所述第一NAS消息頭中包括所述終端的標識和第一安全頭類型信息，所述第一安全頭類型信息用于指示所述第一目標安全上下文的類型；

所述終端接收來自所述第一網絡設備的安全保護的NAS拒絕消息，所述安全保護的NAS拒絕消息是使用所述終端的第二目標安全上下文對NAS拒絕消息進行安全保護后得到的；其中，所述安全保護的NAS拒絕消息的消息頭為第二NAS消息頭，所述第二NAS消息頭中包括所述終端的標識和第二安全頭類型信息，所述第二安全頭類型信息用于指示所述第二目標安全上下文的類型，所述第二目標安全上下文包括所述第一安全上下文或者所述第二安全上下文；

所述終端根據所述終端的標識和所述第二安全頭類型信息，確定所述第二目標安全上下文；

所述終端使用所述第二目標安全上下文，對所述安全保護的NAS拒絕消息進行安全驗證，所述安全驗證包括解密。

2.根據權利要求1所述的方法，其特征在于，在所述終端向第一網絡設備發送所述安全保護的NAS請求消息之后，還包括：

所述終端接收未進行所述安全保護的NAS拒絕消息；

所述終端丟棄所述未進行所述安全保護的NAS拒絕消息。

3.根據權利要求1或2所述的方法，其特征在于，所述終端確定所述終端的第一目標安全上下文，包括：

若所述終端確定本地保存有所述第二安全上下文，所述終端將所述第二安全上下文確定為所述終端的第一目標安全上下文；

或者，若所述終端確定本地未保存所述第二安全上下文，所述終端確定所述第一安全上下文，將所述第一安全上下文確定為所述終端的第一目標安全上下文。

4.根據權利要求3所述的方法，其特征在于，所述第一目標安全上下文包括所述第一安全上下文；

所述終端確定所述第一安全上下文，包括：

所述終端讀取所述終端的全球用戶識別模塊USIM卡上配置的所述第一安全上下文；或者，所述終端獲取所述終端上配置的所述第一安全上下文。

5.根據權利要求3所述的方法，其特征在于，所述第一目標安全上下文包括所述第一安全上下文；

所述終端確定所述第一安全上下文，包括：

所述終端根據當前為所述終端服務的公共陸地移動網絡PLMN、當前為所述終端服務的網絡切片或所述終端當前采用的接入技術，從所述終端的多個安全上下文中選擇所述第一安全上下文，其中，所述多個安全上下文中包括所述第一安全上下文，所述多個安全上下文的類型與所述第一安全上下文的類型相同。

6.根據權利要求1或2所述的方法，其特征在于，所述安全保護還包括完整性保護；所述安全驗證還包括完整性檢查。