(57)【要約】  この出願は、無線通信技術の分野に関する。この出願の実施形態は、サービング基地局の間で端末をハンドオーバする際の低効率の課題を解決するためのセキュリティ保護方法、装置及びシステムを提供する。この出願における方法は、第1のアクセスネットワークデバイスにより、第2のアクセスネットワークデバイスから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するステップと、第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて、ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定するステップであり、第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの一方又は双方を含む、ステップとを含む。この出願は、端末がサービング基地局の間でハンドオーバされる手順に適用可能である。
2020536424.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティ保護方法であって、
第1のアクセスネットワークデバイスにより、第2のアクセスネットワークデバイスから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するステップと、
前記第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係に基づいて、前記ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定するステップであり、前記第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの一方又は双方を含む、ステップと
を含む方法。
【請求項２】
前記第1のアクセスネットワークデバイスにより、前記第1のユーザプレーン保護アルゴリズムがシグナリングプレーン保護アルゴリズムであると決定するステップを更に含む、請求項１に記載の方法。
【請求項３】
前記第1のアクセスネットワークデバイスにより、シグナリングプレーン保護アルゴリズムを決定するステップであり、前記シグナリングプレーン保護アルゴリズムは、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムの一方又は双方を含む、ステップを更に含む、請求項１に記載の方法。
【請求項４】
前記第1のアクセスネットワークデバイスにより、前記第2のアクセスネットワークデバイスを使用することにより、第1の指示情報を端末に送信するステップであり、前記第1の指示情報は、前記第1のユーザプレーン保護アルゴリズムが前記シグナリングプレーン保護アルゴリズムと同じであることを示すために使用されるか、或いは、前記第1の指示情報は、前記第1のアクセスネットワークデバイスにより決定された前記シグナリングプレーン保護アルゴリズムの識別子を示すために使用される、ステップを更に含む、請求項２又は３に記載の方法。
【請求項５】
前記セキュリティポリシーは、有効にされるセキュリティ保護タイプを示すために使用され、前記セキュリティ保護タイプは、ユーザプレーン暗号化保護及びユーザプレーン完全性保護の一方又は双方を含み、前記第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係に基づいて、前記ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定するステップは、
前記第1のアクセスネットワークデバイスにより、前記セキュリティポリシーにより示される前記有効にされるセキュリティ保護タイプに対応する前記第1のユーザプレーン保護アルゴリズムを決定するステップを含む、請求項１乃至４のうちいずれか１項に記載の方法。
【請求項６】
前記セキュリティポリシーは、ユーザプレーン保護アルゴリズム識別子を含み、前記第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係に基づいて、前記ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定するステップは、
前記第1のアクセスネットワークデバイスにより、前記ユーザプレーン保護アルゴリズム識別子に対応する第2のユーザプレーン保護アルゴリズムを決定するステップと、
前記第1のアクセスネットワークデバイス及び端末の双方が前記第2のユーザプレーン保護アルゴリズムをサポートする場合、前記第1のアクセスネットワークデバイスにより、前記第2のユーザプレーン保護アルゴリズムが前記第1のユーザプレーン保護アルゴリズムであると決定するステップ、又は、前記第1のアクセスネットワークデバイス又は端末のいずれかが前記第2のユーザプレーン保護アルゴリズムをサポートしない場合、前記第1のアクセスネットワークデバイスにより、前記第2のユーザプレーン保護アルゴリズムが属するセキュリティ保護タイプに対応するセキュリティアルゴリズムセットから、前記第1のアクセスネットワークデバイス及び前記端末の双方によりサポートされる前記第1のユーザプレーン保護アルゴリズムを選択するステップと
を含む、請求項２又は３に記載の方法。
【請求項７】
前記第1のアクセスネットワークデバイスにより、前記第1のユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成するステップであり、前記ユーザプレーン保護鍵は、ユーザプレーン暗号化鍵及びユーザプレーン完全性保護鍵の一方又は双方を含む、ステップを更に含む、請求項１乃至６のうちいずれか１項に記載の方法。
【請求項８】
前記第1のアクセスネットワークデバイスにより、前記シグナリングプレーン保護アルゴリズムに従ってシグナリングプレーン保護鍵を生成するステップであり、前記シグナリングプレーン保護鍵は、シグナリングプレーン暗号化鍵及びシグナリングプレーン完全性保護鍵の一方又は双方を含む、ステップを更に含む、請求項２又は３に記載の方法。
【請求項９】
前記第1のアクセスネットワークデバイスにより、前記第2のアクセスネットワークデバイスを使用することにより、前記ユーザプレーン完全性保護鍵又は前記シグナリングプレーン完全性保護鍵を使用することにより保護された第1のメッセージを前記端末に送信するステップであり、前記第1のメッセージは、前記第1のユーザプレーン保護アルゴリズムを含む、ステップを更に含む、請求項７又は８に記載の方法。
【請求項１０】
前記第1のアクセスネットワークデバイスにより、前記端末から、前記ユーザプレーン保護鍵又は前記シグナリングプレーン保護鍵を使用することにより保護された第2のメッセージを受信するステップであり、前記第2のメッセージは、前記第1のメッセージの応答メッセージである、ステップを更に含む、請求項９に記載の方法。
【請求項１１】
前記第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係をアクセス及びモビリティ管理機能AMFノードに送信するステップと、
前記第1のアクセスネットワークデバイスが前記AMFノードからセキュリティポリシーを受信し、前記AMFノードからの前記セキュリティポリシーが前記第2のアクセスネットワークデバイスからのセキュリティポリシーと異なる場合、前記第1のアクセスネットワークデバイスにより、前記AMFノードからの前記セキュリティポリシーに従って、前記第1のユーザプレーン保護アルゴリズム及び前記ユーザプレーン保護鍵を再決定するステップと
を更に含む、請求項１乃至１０のうちいずれか１項に記載の方法。
【請求項１２】
前記第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係をアクセス及びモビリティ管理機能AMFノードに送信するステップと、
前記第1のアクセスネットワークデバイスが前記AMFノードから第2の指示情報を受信し、前記AMFノードからセキュリティポリシーを受信せず、前記第2の指示情報が、前記第1のアクセスネットワークデバイスが前記第2のアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示す場合、前記第1のアクセスネットワークデバイスにより、デフォルトのセキュリティポリシーに従って、前記第1のユーザプレーン保護アルゴリズム及び前記ユーザプレーン保護鍵を再決定するステップと
を更に含む、請求項１乃至１０のうちいずれか１項に記載の方法。
【請求項１３】
セキュリティ保護方法であって、
第2のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を取得するステップと、
前記第2のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係を第1のアクセスネットワークデバイスに送信するステップと
を含む方法。
【請求項１４】
セキュリティ保護方法であって、
アクセス及びモビリティ管理機能AMFノードにより、ターゲットアクセスネットワークデバイスから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するステップと、
前記AMFノードにより、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係をセッション管理機能SMFノードに送信するステップと、
前記AMFノードにより、前記SMFノードから、指示情報又は前記ユーザプレーン情報に基づいて前記SMFノードにより再選択されたセキュリティポリシーを受信するステップであり、前記指示情報は、前記ターゲットアクセスネットワークが現在使用されているセキュリティポリシーを使用し続けることを示すために使用される、ステップと、
前記AMFノードにより、前記再選択されたセキュリティポリシー又は前記指示情報を前記ターゲットアクセスネットワークデバイスに送信するステップと
を含む方法。
【請求項１５】
セキュリティ保護方法であって、
セッション管理機能SMFノードにより、アクセス及びモビリティ管理機能AMFノードから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するステップと、
前記SMFノードにより、受信したユーザプレーン情報に対応するセキュリティポリシーが、前記ユーザプレーン情報に対応し且つ前記SMFノードにより記憶されているセキュリティポリシーと同じであるか否かを決定するステップと、
前記SMFノードにより受信した前記ユーザプレーン情報に対応する前記セキュリティポリシーが、前記ユーザプレーン情報に対応し且つ前記SMFノードにより記憶されている前記セキュリティポリシーと異なる場合、前記SMFノードにより、前記ユーザプレーン情報に対応し且つ前記SMFノードにより記憶されている前記セキュリティポリシーを前記AMFノードに送信するステップと
を含む方法。
【請求項１６】
前記SMFノードにより受信した前記ユーザプレーン情報に対応する前記セキュリティポリシーが、前記ユーザプレーン情報に対応し且つ前記SMFノードにより記憶されている前記セキュリティポリシーと同じである場合、前記SMFノードにより、第2の指示情報を前記AMFノードに送信するステップであり、前記第2の指示情報は、現在使用されているセキュリティポリシーが使用され続けることを示すために使用される、ステップを含む、請求項１５に記載の方法。
【請求項１７】
第1の通信ユニットと、処理ユニットとを含む装置であって、
前記第1の通信ユニットは、第2のアクセスネットワークデバイスから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するように構成され、
前記処理ユニットは、前記第1の通信ユニットにより受信したユーザプレーン情報とセキュリティポリシーとの間の前記対応関係に基づいて、前記ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定するように構成され、前記第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの一方又は双方を含む、装置。
【請求項１８】
前記処理ユニットは、前記第1のユーザプレーン保護アルゴリズムがシグナリングプレーン保護アルゴリズムであると決定するように更に構成される、請求項１７に記載の装置。
【請求項１９】
前記処理ユニットは、シグナリングプレーン保護アルゴリズムを決定するように更に構成され、前記シグナリングプレーン保護アルゴリズムは、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムの一方又は双方を含む、請求項１７に記載の装置。
【請求項２０】
前記第1の通信ユニットは、前記第2のアクセスネットワークデバイスを使用することにより、第1の指示情報を端末に送信するように更に構成され、前記第1の指示情報は、前記第1のユーザプレーン保護アルゴリズムが前記シグナリングプレーン保護アルゴリズムと同じであることを示すために使用されるか、或いは、前記第1の指示情報は、前記第1のアクセスネットワークデバイスにより決定された前記シグナリングプレーン保護アルゴリズムの識別子を示すために使用される、請求項１８又は１９に記載の装置。
【請求項２１】
前記セキュリティポリシーは、有効にされるセキュリティ保護タイプを示すために使用され、前記セキュリティ保護タイプは、ユーザプレーン暗号化保護及びユーザプレーン完全性保護の一方又は双方を含み、前記処理ユニットは、前記セキュリティポリシーにより示される前記有効にされるセキュリティ保護タイプに対応する前記第1のユーザプレーン保護アルゴリズムを決定するように具体的に構成される、請求項１７乃至２０のうちいずれか１項に記載の装置。
【請求項２２】
前記セキュリティポリシーは、ユーザプレーン保護アルゴリズム識別子を含み、前記処理ユニットは、前記ユーザプレーン保護アルゴリズム識別子に対応する第2のユーザプレーン保護アルゴリズムを決定するように具体的に構成され、当該装置及び端末の双方が前記第2のユーザプレーン保護アルゴリズムをサポートする場合、前記処理ユニットは、前記第2のユーザプレーン保護アルゴリズムが前記第1のユーザプレーン保護アルゴリズムであると決定するか、或いは、当該装置又は端末のいずれかが前記第2のユーザプレーン保護アルゴリズムをサポートしない場合、前記処理ユニットは、前記第2のユーザプレーン保護アルゴリズムが属するセキュリティ保護タイプに対応するセキュリティアルゴリズムセットから、前記第1のアクセスネットワークデバイス及び前記端末の双方によりサポートされる前記第1のユーザプレーン保護アルゴリズムを選択する、請求項１８又は１９に記載の装置。
【請求項２３】
前記処理ユニットは、前記第1のユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成するように更に構成され、前記ユーザプレーン保護鍵は、ユーザプレーン暗号化鍵及びユーザプレーン完全性保護鍵の一方又は双方を含む、請求項１７乃至２２のうちいずれか１項に記載の装置。
【請求項２４】
前記処理ユニットは、前記シグナリングプレーン保護アルゴリズムに従ってシグナリングプレーン保護鍵を生成するように更に構成され、前記シグナリングプレーン保護鍵は、シグナリングプレーン暗号化鍵及びシグナリングプレーン完全性保護鍵の一方又は双方を含む、請求項１８又は１９に記載の装置。
【請求項２５】
前記第1の通信ユニットは、前記第2のアクセスネットワークデバイスを使用することにより、前記ユーザプレーン完全性保護鍵又は前記シグナリングプレーン完全性保護鍵を使用することにより保護された第1のメッセージを前記端末に送信するように構成され、前記第1のメッセージは、前記第1のユーザプレーン保護アルゴリズムを含む、請求項２３又は２４に記載の装置。
【請求項２６】
当該装置は、第2の通信ユニットを更に含み、
前記第2の通信ユニットは、前記端末から、前記ユーザプレーン保護鍵又は前記シグナリングプレーン保護鍵を使用することにより保護された第2のメッセージを受信するように構成され、前記第2のメッセージは、前記第1のメッセージの応答メッセージである、請求項２５に記載の装置。
【請求項２７】
前記第1の通信ユニットは、前記第1の通信ユニットにより受信したユーザプレーン情報とセキュリティポリシーとの間の前記対応関係をアクセス及びモビリティ管理機能AMFノードに送信するように更に構成され、
前記処理ユニットは、前記第1の通信ユニットが前記AMFノードからセキュリティポリシーを受信し、前記AMFノードからの前記セキュリティポリシーが前記第2のアクセスネットワークデバイスからのセキュリティポリシーと異なる場合、前記AMFノードからの前記セキュリティポリシーに従って、前記第1のユーザプレーン保護アルゴリズム及び前記ユーザプレーン保護鍵を再決定するように更に構成される、請求項１７乃至２６のうちいずれか１項に記載の装置。
【請求項２８】
前記処理ユニットは、前記第1の通信ユニットが前記AMFノードから第2の指示情報を受信し、前記AMFノードからセキュリティポリシーを受信せず、前記第2の指示情報が、前記第1のアクセスネットワークデバイスが前記第2のアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示す場合、デフォルトのセキュリティポリシーに従って、前記第1のユーザプレーン保護アルゴリズム及び前記ユーザプレーン保護鍵を再決定するように更に構成される、請求項１７乃至２６のうちいずれか１項に記載の装置。
【請求項２９】
処理ユニットと、通信ユニットとを含む装置であって、
前記処理ユニットは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を取得するように構成され、
前記通信ユニットは、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係を第1のアクセスネットワークデバイスに送信するように構成される、装置。
【請求項３０】
処理ユニットと、通信ユニットとを含む装置であって、
前記処理ユニットは、前記通信ユニットを使用することにより、ターゲットアクセスネットワークデバイスから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信し、前記通信ユニットを使用することにより、ユーザプレーン情報とセキュリティポリシーとの間の前記対応関係をセッション管理機能SMFノードに送信し、前記通信ユニットを使用することにより、前記SMFノードから、指示情報又は前記ユーザプレーン情報に基づいて前記SMFノードにより再選択されたセキュリティポリシーを受信し、前記指示情報は、前記ターゲットアクセスネットワークデバイスが現在使用されているセキュリティポリシーを使用し続けることを示すために使用され、前記通信ユニットを使用することにより、前記再選択されたセキュリティポリシー又は前記指示情報を前記ターゲットアクセスネットワークデバイスに送信する、ように構成される、装置。
【請求項３１】
処理ユニットと、通信ユニットとを含む装置であって、
前記通信ユニットは、アクセス及びモビリティ管理機能AMFノードから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するように構成され、
前記処理ユニットは、受信したユーザプレーン情報に対応するセキュリティポリシーが、前記ユーザプレーン情報に対応し且つ当該装置により記憶されているセキュリティポリシーと同じであるか否かを決定するように構成され、
前記通信ユニットは、前記通信ユニットにより受信した前記ユーザプレーン情報に対応する前記セキュリティポリシーが、前記ユーザプレーン情報に対応し且つ当該装置により記憶されている前記セキュリティポリシーと異なる場合、前記ユーザプレーン情報に対応し且つ当該装置により記憶されている前記セキュリティポリシーを前記AMFノードに送信するように更に構成される、装置。
【請求項３２】
前記通信ユニットは、前記通信ユニットにより受信した前記ユーザプレーン情報に対応する前記セキュリティポリシーが、前記ユーザプレーン情報に対応し且つ当該装置により記憶されている前記セキュリティポリシーと同じである場合、指示情報を前記AMFノードに送信するように更に構成され、前記指示情報は、現在使用されているセキュリティポリシーが使用され続けることを示すために使用される、請求項３１に記載の装置。
【請求項３３】
請求項１７乃至２８のうちいずれか１項に記載の装置及び請求項２９に記載の装置、又は、請求項１７乃至２８のうちいずれか１項に記載の装置、請求項２９に記載の装置、請求項３０に記載の装置及び請求項３１若しくは３２に記載の装置を含む通信システム。
【請求項３４】
メモリと、前記メモリに結合されたプロセッサとを含むアクセスデバイスであって、
前記メモリは、プログラム命令を記憶し、当該アクセスデバイスは、前記プロセッサが前記プログラム命令を実行したとき、請求項１乃至１２のうちいずれか１項に記載の方法を実行する、アクセスデバイス。
【請求項３５】
メモリと、前記メモリに結合されたプロセッサとを含むアクセスデバイスであって、
前記メモリは、プログラム命令を記憶し、当該アクセスデバイスは、前記プロセッサが前記プログラム命令を実行したとき、請求項１３に記載の方法を実行する、アクセスデバイス。
【請求項３６】
メモリと、前記メモリに結合されたプロセッサとを含むアクセス及びモビリティ管理機能AMFノードであって、
前記メモリは、プログラム命令を記憶し、当該アクセスデバイスは、前記プロセッサが前記プログラム命令を実行したとき、請求項１４に記載の方法を実行する、AMFノード。
【請求項３７】
メモリと、前記メモリに結合されたプロセッサとを含むセッション管理機能SMFノードであって、
前記メモリは、プログラム命令を記憶し、当該アクセスデバイスは、前記プロセッサが前記プログラム命令を実行したとき、請求項１５又は１６に記載の方法を実行する、SMFノード。
【請求項３８】
命令を含むコンピュータ記憶媒体であって、
コンピュータは、前記命令が前記コンピュータ上で動作したとき、請求項１乃至１２のうちいずれか１項に記載の方法を実行する、コンピュータ記憶媒体。
【請求項３９】
命令を含むコンピュータ記憶媒体であって、
コンピュータは、前記命令が前記コンピュータ上で動作したとき、請求項１３に記載の方法を実行する、コンピュータ記憶媒体。
【請求項４０】
命令を含むコンピュータ記憶媒体であって、
コンピュータは、前記命令が前記コンピュータ上で動作したとき、請求項１４に記載の方法を実行する、コンピュータ記憶媒体。
【請求項４１】
命令を含むコンピュータ記憶媒体であって、
コンピュータは、前記命令が前記コンピュータ上で動作したとき、請求項１５又は１６に記載の方法を実行する、コンピュータ記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願への相互参照］
この出願は、2017年9月30日に中国特許庁に出願された「SECURITY  PROTECTION  METHOD,  APPARATUS,  AND  SYSTEM」という名称の中国特許出願第201710945254.4号に対する優先権を主張し、その全内容を参照により援用する。
【０００２】
［技術分野］
この出願は、無線通信技術の分野に関し、特に、セキュリティ保護方法、装置及びシステムに関する。
【背景技術】
【０００３】
通信システムにおいて、端末が、端末にサービス提供する基地局のサービス範囲から急に出た場合、端末のセッション連続性を確保するために(例えば、端末により実行されているサービスが中断されないことを確保するために)、ソース基地局は、端末のハンドオーバ手順を開始し、それにより、端末のサービング基地局は、ソース基地局からターゲット基地局に切り替えられ、ターゲット基地局は、端末により実行されているサービスをサポートし続ける。
【０００４】
端末のハンドオーバ手順では、ソース基地局からターゲット基地局に送信されるハンドオーバ要求は、端末セキュリティ能力と、端末のハンドオーバプロセスにおける進化型ノードBの鍵(key  in  evolved  NodeB,  KeNB*)とを含む。ターゲット基地局は、受信した端末セキュリティ能力及び受信したKeNB*に基づいて、シグナリングプレーン暗号化アルゴリズム、シグナリングプレーン完全性保護アルゴリズム及びユーザプレーン暗号化アルゴリズムを決定してもよく、ターゲット基地局は、シグナリングプレーン暗号化鍵、シグナリングプレーン完全性保護鍵及びユーザプレーン暗号化鍵をそれぞれ生成する。次いで、ターゲット基地局は、ソース基地局を介してハンドオーバコマンドメッセージを端末に送信し、ハンドオーバコマンドメッセージは、ターゲット基地局により決定されたシグナリングプレーン暗号化アルゴリズム、シグナリングプレーン完全性保護アルゴリズム及びユーザプレーン暗号化アルゴリズムを搬送する。次いで、端末は、ハンドオーバコマンドメッセージで搬送されるアルゴリズムに従って、シグナリングプレーン暗号化アルゴリズム、シグナリングプレーン完全性保護アルゴリズム及びユーザプレーン暗号化アルゴリズムを生成する。端末は、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムを使用することにより、ハンドオーバ確認メッセージを更に暗号化し、暗号化されたハンドオーバ確認メッセージをターゲット基地局に送信する。
【０００５】
端末のハンドオーバ手順において、シグナリングプレーンセキュリティ保護及びユーザプレーンセキュリティ保護が実行される必要があるか否かにかかわらず、ターゲット基地局は、シグナリングプレーン暗号化アルゴリズム、シグナリングプレーン完全性保護アルゴリズム及びユーザプレーン暗号化アルゴリズムを決定し、ターゲット基地局のオーバヘッドを増加させ、ターゲット基地局が端末のハンドオーバに備えるための時間を増加させる。その結果、端末のハンドオーバ効率が低減される。
【発明の概要】
【０００６】
この出願の実施形態は、サービング基地局の間の端末のハンドオーバにおける低効率の課題を解決するためのセキュリティ保護方法、装置及びシステムを提供する。
【０００７】
上記の目的を達成するために、この出願の実施形態において以下の技術的解決策が使用される。
【０００８】
第1の態様によれば、この出願の実施形態は、セキュリティ保護方法を提供し、当該方法は、第1のアクセスネットワークデバイスにより、第2のアクセスネットワークデバイスから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するステップと、次いで、第1のアクセスネットワークデバイスにより、対応関係に基づいて、ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定するステップであり、第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの一方又は双方を含む、ステップとを含む。この出願のこの実施形態の解決策では、第1のアクセスネットワークデバイスは、ユーザプレーン保護アルゴリズムのみを決定してもよく、シグナリングプレーン保護を有効にする必要はなく、それにより、ネットワークオーバヘッドを低減する。さらに、端末がハンドオーバされるシナリオに解決策が適用される場合、第1のアクセスネットワークデバイスが端末のハンドオーバに備えるための時間が低減でき、それにより、端末のハンドオーバ効率を改善する。
【０００９】
ユーザプレーン情報は、以下の情報、すなわち、PDUセッション識別子、QoSパラメータ及びスライスパラメータのうちいずれか1つ以上を含んでもよい。
【００１０】
ユーザプレーン情報とセキュリティポリシーとの間の対応関係の表現形式は、対応関係にあるユーザプレーン情報とセキュリティポリシーとの組み合わせでもよい。複数のユーザプレーン情報は、1つの対応関係を使用することにより、複数のセキュリティポリシーに対応してもよい。例えば、複数のユーザプレーン情報と複数のセキュリティポリシーとの間の対応関係において、ユーザプレーン情報は、PDUセッション識別子と、QoSパラメータとを含み、セキュリティポリシーは、セキュリティポリシー1と、セキュリティポリシー2とを含む。代替として、1つのユーザプレーン情報は、1つの対応関係を使用することにより、1つのセキュリティポリシーに対応する。例えば、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、1つのQoSパラメータと1つのセキュリティポリシーとの組み合わせである。
【００１１】
一例では、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{PDU  session  ID=1,  NIA=1,  NEA=2}でもよく、これは、PDUセッション識別子が1であるセッションについて、ユーザプレーン完全性保護アルゴリズム1がユーザプレーン完全性保護を実行するために使用され、ユーザプレーン暗号化アルゴリズム2がユーザプレーン暗号化保護を実行するために使用されることを示す。
【００１２】
任意選択で、この出願のこの実施形態の解決策は、端末がサービング基地局の間でハンドオーバされるプロセスに適用されてもよい。第1のアクセスネットワークデバイスはTgNBでもよく、第2のアクセスネットワークデバイスはSgNBでもよい。端末がサービング基地局の間でハンドオーバされるプロセスにおいて、第1のアクセスネットワークデバイスは、ユーザプレーン保護アルゴリズムのみを決定してもよく、シグナリングプレーン保護を活性化する必要はなく、ネットワークオーバヘッドを低減し、第1のアクセスネットワークデバイスが端末のハンドオーバに備えるための時間を節約し、それにより、端末のハンドオーバ効率を改善する。
【００１３】
可能な設計では、第1のアクセスネットワークデバイスは、第1のユーザプレーン保護アルゴリズムをシグナリングプレーン保護アルゴリズムとして決定する。
【００１４】
他の可能な設計では、第1のアクセスネットワークデバイスは、シグナリングプレーン保護アルゴリズムを決定し、シグナリングプレーン保護アルゴリズムは、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムの一方又は双方を含む。
【００１５】
可能な設計では、第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスを介して第1の指示情報を端末に送信し、第1の指示情報は、第1のユーザプレーン保護アルゴリズムがシグナリングプレーン保護アルゴリズムと同じであることを示すために使用されるか、或いは、第1の指示情報は、第1のアクセスネットワークデバイスにより決定されたシグナリングプレーン保護アルゴリズムの識別子を示すために使用される。
【００１６】
この出願のこの実施形態の解決策によれば、第1のアクセスネットワークデバイスは、シグナリングプレーン保護アルゴリズムを決定した後に、利用可能なシグナリングプレーン保護アルゴリズムを端末に通知し、それにより、端末は、シグナリングプレーンメッセージに対するセキュリティ保護を実行してシグナリングプレーンメッセージのセキュリティを確保するために、適時にシグナリングプレーンセキュリティ保護を活性化する。
【００１７】
可能な設計では、セキュリティポリシーは、活性化のためのセキュリティ保護タイプを示すために使用され、セキュリティ保護タイプは、ユーザプレーン暗号化保護及びユーザプレーン完全性保護の一方又は双方を含み、第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて、ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定するための方法は、第1のアクセスネットワークデバイスにより、セキュリティポリシーにより示される活性化のためのセキュリティ保護タイプに対応する第1のユーザプレーン保護アルゴリズムを決定することである。
【００１８】
それぞれのセキュリティ保護タイプは、1つのアルゴリズムセットに対応する。実現方式では、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムセット及びユーザプレーン完全性保護アルゴリズムセットを記憶する。第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムとシグナリングプレーン暗号化アルゴリズムとを区別せず、ユーザプレーン完全性保護アルゴリズムとシグナリングプレーン完全性保護アルゴリズムとを区別しない。言い換えると、ユーザプレーン暗号化アルゴリズムセットはまた、シグナリングプレーン暗号化アルゴリズムセットとして使用されてもよく、ユーザプレーン完全性保護アルゴリズムセットはまた、シグナリングプレーン完全性保護アルゴリズムセットとして使用されてもよい。他の実現方式では、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムとシグナリングプレーン暗号化アルゴリズムとを区別し、ユーザプレーン完全性保護アルゴリズムとシグナリングプレーン完全性保護アルゴリズムとを区別する。第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムセット、ユーザプレーン完全性保護アルゴリズムセット、シグナリングプレーン暗号化アルゴリズムセット及びシグナリングプレーン完全性保護アルゴリズムセットを記憶する。全ての上記のアルゴリズムセットは、優先度リストの形式で存在してもよく、優先度リスト内のアルゴリズムは、優先度の降順に配置される。
【００１９】
他の可能な設計では、セキュリティポリシーは、ユーザプレーン保護アルゴリズム識別子を含み、第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて、ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定するための方法は、具体的には、第1のアクセスネットワークデバイスにより、ユーザプレーン保護アルゴリズム識別子に対応する第2のユーザプレーン保護アルゴリズムを決定し、第1のアクセスネットワークデバイス及び端末の双方が第2のユーザプレーン保護アルゴリズムをサポートする場合、第1のアクセスネットワークデバイスにより、第2のユーザプレーン保護アルゴリズムを第1のユーザプレーン保護アルゴリズムとして決定するか、或いは、第1のアクセスネットワークデバイス又は端末のいずれかが第2のユーザプレーン保護アルゴリズムをサポートしない場合、第1のアクセスネットワークデバイスにより、第2のユーザプレーン保護アルゴリズムが属するセキュリティ保護タイプに対応するセキュリティアルゴリズムセットから、第1のアクセスネットワークデバイス及び端末の双方によりサポートされるユーザプレーン保護アルゴリズムを第1のユーザプレーン保護アルゴリズムとして選択することである。
【００２０】
任意選択で、セキュリティ保護タイプに対応するセキュリティアルゴリズムセットは、優先度リストの形式で存在してもよく、優先度リスト内のアルゴリズムは、優先度の降順に配置される。
【００２１】
任意選択で、第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスから端末セキュリティ能力を受信してもよく、端末セキュリティ能力は、端末によりサポートされるユーザプレーン保護アルゴリズムを含む。第1のアクセスネットワークデバイスは、第2のユーザプレーン保護アルゴリズムが属するセキュリティ保護タイプに対応するセキュリティアルゴリズムセットから、端末によりサポートされ且つ最高の優先度を有するユーザプレーン保護アルゴリズムを選択してもよい。
【００２２】
可能な設計では、第1のアクセスネットワークデバイスは、第1のユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成し、ユーザプレーン保護鍵は、ユーザプレーン暗号化鍵及びユーザプレーン完全性保護鍵の一方又は双方を含む。
【００２３】
可能な設計では、第1のアクセスネットワークデバイスは、シグナリングプレーン保護アルゴリズムに従ってシグナリングプレーン保護鍵を生成し、シグナリングプレーン保護鍵は、シグナリングプレーン暗号化鍵及びシグナリングプレーン完全性保護鍵の一方又は双方を含む。
【００２４】
可能な設計では、第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスを介して、ユーザプレーン完全性保護鍵又はシグナリングプレーン完全性保護鍵を使用することにより保護された第1のメッセージを端末に送信し、第1のメッセージは、第1のユーザプレーン保護アルゴリズムを含む。
【００２５】
任意選択で、第1のメッセージは、第1のアクセスネットワークデバイスがシグナリングプレーン保護アルゴリズムを決定した場合、シグナリングプレーン保護アルゴリズムを更に搬送してもよい。
【００２６】
可能な設計では、第1のアクセスネットワークデバイスは、端末から、ユーザプレーン保護鍵又はシグナリングプレーン保護鍵を使用することにより保護された第2のメッセージを受信し、第2のメッセージは、第1のメッセージの応答メッセージである。
【００２７】
可能な設計では、当該方法は、第1のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の対応関係をアクセス及びモビリティ管理機能AMFノードに送信するステップと、第1のアクセスネットワークデバイスにより、AMFノードから第2の指示情報及びセキュリティポリシーの一方又は双方を受信するステップであり、第2の指示情報は、第2のアクセスネットワークデバイスからのセキュリティポリシーが使用できるか否かを示すために使用される、ステップと、第1のアクセスネットワークデバイスがAMFノードからセキュリティポリシーを受信し、AMFノードからのセキュリティポリシーが第2のアクセスネットワークデバイスからのセキュリティポリシーと異なる場合、AMFノードからのセキュリティポリシーに従って、第1のユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を再決定するステップ、又は、第1のアクセスネットワークデバイスがAMFノードから第2の指示情報を受信し、AMFノードからセキュリティポリシーを受信せず、第2の指示情報が、第1のアクセスネットワークデバイスが第2のアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示す場合、第1のアクセスネットワークデバイスにより、デフォルトのセキュリティポリシーに従って、第1のユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を再決定するステップとを更に含む。
【００２８】
この出願のこの実施形態において提供される解決策によれば、第1のアクセスネットワークデバイスは、第1のアクセスネットワークデバイスのリソース状況に適用可能なセキュリティポリシーを取得するために、現在使用されているセキュリティポリシーを検証してもよい。第2のアクセスネットワークデバイスが攻撃者によりクラックされ、低減したセキュリティレベルのセキュリティポリシーを第1のアクセスネットワークデバイスに送信した場合、第1のアクセスネットワークデバイスによりセキュリティポリシーに従って決定されたユーザプレーン保護アルゴリズムのセキュリティ能力レベルは比較的低く、ユーザプレーン保護アルゴリズムを使用することにより保護された情報は容易にクラックできる。したがって、第1のアクセスネットワークデバイスは、AMFノードにより配信されたセキュリティポリシーを使用し、それにより、この脆弱性が回避でき、セキュリティが更に改善できる。
【００２９】
第2の態様によれば、この出願の実施形態は、セキュリティ保護方法を提供し、当該方法は、第2のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を取得するステップと、第2のアクセスネットワークデバイスにより、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を第1のアクセスネットワークデバイスに送信するステップとを含む。
【００３０】
第3の態様によれば、この出願の実施形態は、セキュリティ保護方法を提供し、当該方法は、アクセス及びモビリティ管理機能AMFノードにより、第2のアクセスネットワークデバイスからユーザプレーン情報を受信するステップと、次いで、AMFノードにより、ユーザプレーン情報をセッション管理機能SMFノードに送信するステップと、AMFノードにより、ユーザプレーン情報に対応する、SMFノードからのセキュリティポリシーを受信するステップと、AMFノードにより、ユーザプレーン情報に対応するセキュリティポリシーを第1のアクセスネットワークデバイスに送信するステップとを含む。
【００３１】
この出願のこの実施形態の解決策によれば、第2のアクセスネットワークデバイスと第1のアクセスネットワークデバイスとの間に通信インタフェースが存在しないとき、第2のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスのためにユーザプレーン情報とセキュリティポリシーとの間の対応関係を提供するように、AMFノード及びSMFノードをトリガしてもよく、それにより、端末は、第2のアクセスネットワークデバイスにハンドオーバされてもよい。
【００３２】
第4の態様によれば、この出願の実施形態は、セキュリティ保護方法を提供し、当該方法は、セッション管理機能SMFノードにより、アクセス及びモビリティ管理機能AMFノードからユーザプレーン情報を受信するステップと、SMFノードにより、ユーザプレーン情報に対応するセキュリティポリシーを決定するステップと、SMFノードにより、AMFノードを介して、ユーザプレーン情報に対応するセキュリティポリシーを第1のアクセスネットワークデバイスに送信するステップとを含む。
【００３３】
この出願のこの実施形態において提供される解決策によれば、SMFノードは、AMFノードを介して、第1のアクセスネットワークデバイスのリソース状況に適用可能なセキュリティポリシーを提供してもよい。第2のアクセスネットワークデバイスが攻撃者によりクラックされ、セキュリティレベルを低減するセキュリティポリシーを第1のアクセスネットワークデバイスに送信した場合、第1のアクセスネットワークデバイスによりセキュリティポリシーに従って決定されたユーザプレーン保護アルゴリズムのセキュリティ能力レベルは比較的低く、ユーザプレーン保護アルゴリズムを使用することにより保護された情報は容易にクラックできる。したがって、第1のアクセスネットワークデバイスは、AMFノードにより配信されたセキュリティポリシーを使用し、それにより、この脆弱性が回避でき、セキュリティが更に改善できる。
【００３４】
第5の態様によれば、この出願の実施形態は、装置を提供し、当該装置は、上記の方法の設計において第1のアクセスネットワークデバイスの動作を実現する機能を有する。機能は、ハードウェアにより実現されてもよく、或いは、対応するソフトウェアを実行するハードウェアにより実現されてもよい。ハードウェア又はソフトウェアは、上記の機能に対応する1つ以上のモジュールを含む。例えば、当該装置は第1のアクセスネットワークデバイスでもよく、或いは、第1のアクセスネットワークデバイス内のチップでもよい。
【００３５】
可能な設計では、当該装置は第1のアクセスネットワークデバイスである。第1のアクセスネットワークデバイスはプロセッサを含み、プロセッサは、上記の方法において対応する機能を実行する際に、第1のアクセスネットワークデバイスをサポートするように構成される。さらに、第1のアクセスネットワークデバイスは通信インタフェースを含んでもよく、通信インタフェースは、第1のアクセスネットワークデバイスと第2のアクセスネットワークデバイス又はAMFノードとの間の通信をサポートするように構成される。さらに、第1のアクセスネットワークデバイスはトランシーバを含んでもよい。トランシーバは、第1のアクセスネットワークデバイスと端末との間の通信をサポートするように構成される。さらに、第1のアクセスネットワークデバイスはメモリを含んでもよい。メモリは、プロセッサに結合され、第1のアクセスネットワークデバイスに必要なプログラム命令及びデータを記憶するように構成される。
【００３６】
第6の態様によれば、この出願の実施形態は、装置を提供し、当該装置は、上記の方法の設計において第2のアクセスネットワークデバイスの動作を実現する機能を有する。機能は、ハードウェアにより実現されてもよく、或いは、対応するソフトウェアを実行するハードウェアにより実現されてもよい。ハードウェア又はソフトウェアは、上記の機能に対応する1つ以上のモジュールを含む。例えば、当該装置は第2のアクセスネットワークデバイスでもよく、或いは、第2のアクセスネットワークデバイス内のチップでもよい。
【００３７】
可能な設計では、当該装置は第2のアクセスネットワークデバイスである。第2のアクセスネットワークデバイスはプロセッサを含み、プロセッサは、上記の方法において対応する機能を実行する際に、第2のアクセスネットワークデバイスをサポートするように構成される。さらに、第2のアクセスネットワークデバイスは、通信インタフェースと、送信機と、受信機とを含んでもよい。通信インタフェースは、第2のアクセスネットワークデバイスと第1のアクセスネットワークデバイス又はAMFノードとの間の通信をサポートするように構成され、送信機及び受信機は、第2のアクセスネットワークデバイスと端末との間の通信をサポートするように構成される。さらに、第2のアクセスネットワークデバイスはトランシーバを含んでもよい。トランシーバは、第2のアクセスネットワークデバイスと端末との間の通信をサポートするように構成される。さらに、第2のアクセスネットワークデバイスはメモリを含んでもよい。メモリは、プロセッサに結合され、第2のアクセスネットワークデバイスに必要なプログラム命令及びデータを記憶するように構成される。
【００３８】
第7の態様によれば、この出願の実施形態は、装置を提供し、当該装置は、上記の方法の設計においてAMFノードの動作を実現する機能を有する。機能は、ハードウェアにより実現されてもよく、或いは、対応するソフトウェアを実行するハードウェアにより実現されてもよい。ハードウェア又はソフトウェアは、上記の機能に対応する1つ以上のモジュールを含む。例えば、当該装置はAMFノードでもよく、或いは、AMFノード内のチップでもよい。
【００３９】
可能な設計では、当該装置はAMFノードである。AMFノードはプロセッサを含み、プロセッサは、上記の方法において対応する機能を実行する際に、AMFノードをサポートするように構成される。さらに、AMFノードは通信インタフェースを含んでもよい。通信インタフェースは、AMFノードと第1のアクセスネットワークデバイス、第2のアクセスネットワークデバイス又はSMFノードとの間の通信をサポートするように構成される。さらに、AMFノードはメモリを含んでもよい。メモリは、プロセッサに結合され、AMFノードに必要なプログラム命令及びデータを記憶するように構成される。
【００４０】
第8の態様によれば、この出願の実施形態は、装置を提供し、当該装置は、上記の方法の設計においてSMFノードの動作を実現する機能を有する。機能は、ハードウェアにより実現されてもよく、或いは、対応するソフトウェアを実行するハードウェアにより実現されてもよい。ハードウェア又はソフトウェアは、上記の機能に対応する1つ以上のモジュールを含む。例えば、当該装置はSMFノードでもよく、或いは、SMFノード内のチップでもよい。
【００４１】
可能な設計では、当該装置はSMFノードである。SMFノードはプロセッサを含み、プロセッサは、上記の方法において対応する機能を実行する際に、SMFノードをサポートするように構成される。さらに、SMFノードは通信インタフェースを含んでもよい。通信インタフェースは、SMFノードとAMFノードとの間の通信をサポートするように構成される。さらに、SMFノードはメモリを含んでもよい。メモリは、プロセッサに結合され、SMFノードに必要なプログラム命令及びデータを記憶するように構成される。
【００４２】
第9の態様によれば、この出願の実施形態は、装置を提供し、当該装置は、上記の方法の設計において端末の動作を実現する機能を有する。機能は、ハードウェアにより実現されてもよく、或いは、対応するソフトウェアを実行するハードウェアにより実現されてもよい。ハードウェア又はソフトウェアは、上記の機能に対応する1つ以上のモジュールを含む。例えば、当該装置は端末でもよく、或いは、端末内のチップでもよい。
【００４３】
可能な設計では、当該装置は端末である。端末はプロセッサを含み、プロセッサは、上記の方法において対応する機能を実行する際に、端末をサポートするように構成される。さらに、端末は、送信機と、受信機とを含んでもよい。送信機及び受信機は、端末とアクセスネットワークデバイスとの間の通信をサポートするように構成される。さらに、端末はメモリを含んでもよい。メモリは、プロセッサに結合され、端末に必要なプログラム命令及びデータを記憶するように構成される。
【００４４】
第10の態様によれば、この出願の実施形態は、通信システムを提供し、当該システムは、上記の態様による第1のアクセスネットワークデバイス及び第2のアクセスネットワークデバイスを含むか、或いは、当該システムは、上記の態様による第1のアクセスネットワークデバイス、第2のアクセスネットワークデバイス及びAMFノードを含むか、或いは、当該システムは、上記の態様による第1のアクセスネットワークデバイス、第2のアクセスネットワークデバイス、AMFノード及びSMFノードを含むか、或いは、当該システムは、上記の態様による第1のアクセスネットワークデバイス、第2のアクセスネットワークデバイス、AMFノード、SMFノード及び端末を含む。
【００４５】
第11の態様によれば、この出願の実施形態は、上記の第1のアクセスネットワークデバイスにより使用されるコンピュータソフトウェア命令を記憶するように構成されたコンピュータ記憶媒体を提供し、コンピュータソフトウェア命令は、上記の態様を実行するように設計されたプログラムを含む。
【００４６】
第12の態様によれば、この出願の実施形態は、上記の第2のアクセスネットワークデバイスにより使用されるコンピュータソフトウェア命令を記憶するように構成されたコンピュータ記憶媒体を提供し、コンピュータソフトウェア命令は、上記の態様を実行するように設計されたプログラムを含む。
【００４７】
第13の態様によれば、この出願の実施形態は、上記のAMFノードにより使用されるコンピュータソフトウェア命令を記憶するように構成されたコンピュータ記憶媒体を提供し、コンピュータソフトウェア命令は、上記の態様を実行するように設計されたプログラムを含む。
【００４８】
第14の態様によれば、この出願の実施形態は、上記のSMFノードにより使用されるコンピュータソフトウェア命令を記憶するように構成されたコンピュータ記憶媒体を提供し、コンピュータソフトウェア命令は、上記の態様を実行するように設計されたプログラムを含む。
【００４９】
第15の態様によれば、この出願の実施形態は、上記の端末により使用されるコンピュータソフトウェア命令を記憶するように構成されたコンピュータ記憶媒体を提供し、コンピュータソフトウェア命令は、上記の態様を実行するように設計されたプログラムを含む。
【００５０】
第16の態様によれば、この出願の実施形態は、命令を含むコンピュータプログラムプロダクトを提供し、コンピュータは、コンピュータプログラムプロダクトがコンピュータ上で動作したとき、第1の態様における方法を実行することが可能になる。
【００５１】
第17の態様によれば、この出願の実施形態は、命令を含むコンピュータプログラムプロダクトを提供し、コンピュータは、コンピュータプログラムプロダクトがコンピュータ上で動作したとき、第2の態様における方法を実行することが可能になる。
【００５２】
第18の態様によれば、この出願の実施形態は、命令を含むコンピュータプログラムプロダクトを提供し、コンピュータは、コンピュータプログラムプロダクトがコンピュータ上で動作したとき、第3の態様における方法を実行することが可能になる。
【００５３】
第19の態様によれば、この出願の実施形態は、命令を含むコンピュータプログラムプロダクトを提供し、コンピュータは、コンピュータプログラムプロダクトがコンピュータ上で動作したとき、第4の態様における方法を実行することが可能になる。
【００５４】
第20の態様によれば、この出願の実施形態は、チップシステムを提供し、チップシステムは、第1のアクセスネットワークデバイスに適用され、チップシステムは、少なくとも1つのプロセッサと、メモリと、インタフェース回路とを含み、メモリ、インタフェース回路及び少なくとも1つのプロセッサは、ラインを使用することにより互いに接続され、メモリは、命令を記憶し、プロセッサは、第1の態様における方法において第1のアクセスネットワークデバイスの動作を実行するように、命令を実行する。
【００５５】
第21の態様によれば、この出願の実施形態は、チップシステムを提供し、チップシステムは、第2のアクセスネットワークデバイスに適用され、チップシステムは、少なくとも1つのプロセッサと、メモリと、インタフェース回路とを含み、メモリ、インタフェース回路及び少なくとも1つのプロセッサは、ラインを使用することにより互いに接続され、メモリは、命令を記憶し、プロセッサは、第2の態様における方法において第2のアクセスネットワークデバイスの動作を実行するように、命令を実行する。
【００５６】
第22の態様によれば、この出願の実施形態は、チップシステムを提供し、チップシステムは、AMFノードに適用され、チップシステムは、少なくとも1つのプロセッサと、メモリと、インタフェース回路とを含み、メモリ、インタフェース回路及び少なくとも1つのプロセッサは、ラインを使用することにより互いに接続され、メモリは、命令を記憶し、プロセッサは、第3の態様における方法においてAMFノードの動作を実行するように、命令を実行する。
【００５７】
第23の態様によれば、この出願の実施形態は、チップシステムを提供し、チップシステムは、SMFノードに適用され、チップシステムは、少なくとも1つのプロセッサと、メモリと、インタフェース回路とを含み、メモリ、インタフェース回路及び少なくとも1つのプロセッサは、ラインを使用することにより互いに接続され、メモリは、命令を記憶し、プロセッサは、第4の態様における方法においてSMFノードの動作を実行するように、命令を実行する。
【００５８】
従来技術と比較して、この出願の実施形態の解決策では、端末のハンドオーバプロセスにおいて、第1のアクセスネットワークデバイスは、ユーザプレーン保護アルゴリズムのみを決定してもよく、シグナリングプレーン保護を有効にする必要はなく、ネットワークオーバヘッドを低減し、第1のアクセスネットワークデバイスが端末のハンドオーバに備えるための時間を低減し、それにより、端末のハンドオーバ効率を改善する。
【図面の簡単な説明】
【００５９】
【図１】この出願の実施形態による可能なネットワークアーキテクチャの概略図である。
【図２】この出願の実施形態によるセキュリティ保護方法のフローチャートである。
【図３Ａ】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図３Ｂ】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図４】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図５】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図６】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図７Ａ】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図７Ｂ】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図８】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図９】この出願の実施形態による他のセキュリティ保護方法のフローチャートである。
【図１０】この出願の実施形態による装置の概略ブロック図である。
【図１１】この出願の実施形態による他の装置の概略ブロック図である。
【図１２】この出願の実施形態によるアクセスネットワークデバイスの概略構造図である。
【図１３】この出願の実施形態による他の装置の概略ブロック図である。
【図１４】この出願の実施形態によるAMFノードの概略構造図である。
【図１５】この出願の実施形態による他の装置の概略ブロック図である。
【図１６】この出願の実施形態によるSMFノードの概略構造図である。
【図１７】この出願の実施形態による他の装置の概略ブロック図である。
【図１８】この出願の実施形態による端末の概略構造図である。
【発明を実施するための形態】
【００６０】
以下に、添付の図面を参照して、この出願について詳細に更に説明する。方法の実施形態における具体的な動作方法はまた、装置の実施形態又はシステムの実施形態に適用されてもよい。この出願の説明において、別段の定めがない限り、「複数」は、2つ以上を意味する。
【００６１】
この出願に記載されるシステムアーキテクチャ及びサービスシナリオは、この出願における技術的解決策をより明確に説明することを意図するものであり、この出願において提供される技術的解決策を限定することを意図するものではない。当業者は、システムアーキテクチャが進化して新たなサービスシナリオが出現するにつれて、この出願において提供される技術的解決策が同様の技術的課題にも適用可能であることを認識し得る。
【００６２】
この出願において、「例」又は「例えば」のような用語は、例、例示又は説明を与えることを表すために使用される点に留意すべきである。この出願における「例」又は「例えば」のように記載されるいずれかの実施形態又は設計上の解決策は、他の実施形態又は設計上の解決策よりも好ましいものとして、或いは、より多くの利点を有するものとして解釈されるべきではない。正確には、「例」又は「例えば」のような用語の使用は、関連する概念を具体的な方式で提示することを意図する。
【００６３】
この出願の実施形態は、次世代無線通信システム、例えば、5G通信システムに適用されてもよい。図１は、この出願による可能なネットワークアーキテクチャの概略図である。ネットワークアーキテクチャは、以下のコンポーネントを含む。
【００６４】
アクセス及びモビリティ管理機能(access  and  mobility  management  function,  AMF)ノードは、モビリティ管理を担うネットワークエレメントであり、モビリティ管理エンティティ(mobility  management  entity,  MME)機能におけるセッション管理以外の機能、例えば、合法的傍受又はアクセス許可のような機能を実現するように構成されてもよい。
【００６５】
セッション管理機能(session  management  function,  SMF)ノードは、セッションリソースをユーザプレーンに割り当てるように構成される。
【００６６】
認証サーバ機能(authentication  server  function,  AUSF)ノードは、AUSFノードが端末に対して認証を実行するときに、認証対象のパラメータを検証及び転送し、端末の信憑性を認証することを担う。主な機能は、セキュリティアンカー機能(security  anchor  function,  SEAF)ノードにより送信された認証要求を受信し、認証方法を選択することを含む。
【００６７】
SEAFノードは、現在、AMFノードの一部であり、AUSFノードへの認証要求を開始し、EPS-AKA*認証プロセスにおける端末に対するネットワーク側の認証を完了することを主に担う。
【００６８】
ユーザプレーン機能(user  plane  function,  UPF)ノードは、ユーザプレーンデータの出口であり、外部ネットワークに接続するように構成される。
【００６９】
データネットワーク(Data  Network,  DN)は、外部データを提供するネットワーク、例えば、インターネット(Internet)である。
【００７０】
(無線)アクセスネットワーク((radio)  access  network,  (R)AN)ノードは、異なるアクセス技術を使用してもよい。現在、2つの無線アクセス技術、すなわち、第3世代パートナーシッププロジェクト(3rd  generation  partnership  project,  3GPP)アクセス技術(例えば、3Gシステム、4Gシステム又は5Gシステムにおいて使用される無線アクセス技術)及び非第3世代パートナーシッププロジェクト(none  3rd  generation  partnership  project,  non-3GPP)アクセス技術が存在する。3GPPアクセス技術は、3GPP標準仕様に準拠したアクセス技術であり、3GPPアクセス技術を使用するアクセスネットワークは、無線アクセスネットワーク(RAN)と呼ばれる。5Gシステムにおけるアクセスネットワークデバイスは、次世代基地局ノード(next  generation  node  basestation,  gNB)と呼ばれる。非3GPPアクセス技術は、3GPP標準仕様に準拠しないアクセス技術、例えば、Wi-Fiアクセスポイント(access  point,  AP)により代表される無線技術である。
【００７１】
この出願における端末は、無線受信及び送信機能を有するデバイスであり、陸上に配備されてもよく、例えば、屋内又は屋外デバイス、ハンドヘルド又は車載デバイスであるか、或いは、水面(例えば、船上)に配備されてもよく、或いは、空中(例えば、航空機、気球又は衛星上)に配備されてもよい。端末は、ユーザ装置(user  equipment,  UE)、移動電話(mobile  phone)、タブレットコンピュータ(pad)、無線受信及び送信機能を有するコンピュータ、無線データカード、仮想現実(virtual  reality,  VR)端末デバイス、拡張現実(augmented  reality,  AR)端末デバイス、マシンタイプ通信(machine  type  communication,  MTC)端末デバイス、産業制御(industrial  control)端末デバイス、自動運転(self-driving)端末デバイス、遠隔医療(remote  medical)端末デバイス、スマートグリッド(smart  grid)端末デバイス、輸送安全(transportation  safety)端末デバイス、スマートシティ(smart  city)端末デバイス及びウェアラブルデバイス(例えば、スマートウォッチ、スマートバンド及び歩数計)のような様々なタイプを含んでもよい。同様の無線通信機能を有する端末は、異なる無線アクセス技術が使用されるシステムにおいて異なる名称を有してもよい。説明を容易にするために、この出願の実施形態では、無線受信及び送信通信機能を有する上記の装置は、まとめて端末と呼ばれる。
【００７２】
具体的には、この出願における端末は、長期鍵及び関連機能を記憶する。端末及びコアネットワークノード(例えば、AMFノード又はAUSFノード)が双方向認証を実行するとき、端末は、長期鍵及び関連機能を使用することにより、ネットワークの信憑性を検証してもよい。
【００７３】
この出願の実施形態におけるアクセスネットワークデバイスは、無線アクセスネットワークに配置され且つ端末のために無線通信機能を提供するように構成された装置である。例えば、アクセスネットワークデバイスは基地局(Base  Station,  BS)でもよく、基地局は、様々な形式のマクロ基地局、マイクロ基地局、中継ノード、アクセスポイント等を含んでもよい。基地局機能を有するデバイスは、異なる無線アクセス技術が使用されるシステムにおいて、異なる名称を有してもよい。例えば、当該デバイスは、5Gシステムにおいて次世代基地局ノードと呼ばれ、ロングタームエボリューション(Long  Term  Evolution,  LTE)システムにおいて進化型ノードB(evolved  NodeB、eNB又はeNodeB)と呼ばれ、第3世代(3rd  generation,  3G)通信システムにおいてノードB(NodeB)と呼ばれる。説明を容易にするために、本発明の実施形態では、端末のために無線通信機能を提供する上記の装置は、まとめてアクセスネットワークデバイスと呼ばれる。
【００７４】
ネットワーク公開機能(network  exposure  function,  NEF)ノードは、第三者と相互作用するように主に構成され、それにより、第三者は、3GPPネットワークにおけるいくつかのネットワークエレメントと間接的に相互作用してもよい。
【００７５】
ネットワーク機能リポジトリ機能(network  function  repository  function,  NRF)ノードは、ネットワークエレメントの間のネットワーク機能(network  function,  NF)を発見及び維持するように構成される。
【００７６】
ポリシー制御機能(policy  control  function,  PCF)ノードは、最新のサービス品質(quality  of  service,  QoS)ルールを記憶する。基地局は、SMFノードにより提供されたQoSルールに従って、適切なリソースをユーザプレーン送信チャネルに割り当ててもよい。
【００７７】
統一データ管理(unified  data  management,  UDM)ノードは、ユーザ加入情報を記憶するように構成される。
【００７８】
アプリケーション機能(application  function,  AF)ノードは、DN内に位置してもよく、第三者に配備される機能的ネットワークエレメントである。当該ネットワークエレメントは、アプリケーションについての第三者企業の最新のサービス要件をPCFノードに通知するために主に使用される。PCFノードは、データネットワークにより提供されるサービスが第三者により提案された要件を満たすことを確保するために、サービス要件に基づいて対応するQoSルールを生成してもよい。
【００７９】
既存の手順では、端末がソース基地局からターゲット基地局にハンドオーバされるプロセスにおいて、ターゲット基地局は、シグナリングプレーン暗号化アルゴリズム、シグナリングプレーン完全性保護アルゴリズム及びユーザプレーン暗号化アルゴリズムを決定する。言い換えると、ターゲット基地局は、ユーザプレーンセキュリティ保護及びシグナリングプレーンセキュリティ保護を同時に活性化する。具体的には、端末がサービング基地局の間でハンドオーバされる手順において、シグナリングプレーンセキュリティ保護が実行される必要があるか否かにかかわらず、ターゲット基地局は、シグナリングプレーンセキュリティ保護を活性化し、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムを決定し、ネットワークオーバヘッドを増加させ、ターゲット基地局が端末のハンドオーバに備える時間を増加させる。その結果、端末のハンドオーバ効率は比較的低い。
【００８０】
上記の課題を解決するために、この出願の実施形態では、ユーザプレーンセキュリティ保護活性化プロセスは、シグナリングプレーンセキュリティ保護活性化プロセスから切り離されてもよい。具体的には、まず、ユーザプレーンセキュリティ保護が活性化され、次いで、シグナリングプレーン保護が実行される必要があるときに、シグナリングプレーンセキュリティ保護が活性化される。したがって、端末のハンドオーバ処理において、シグナリングプレーンセキュリティ保護を活性化するためのネットワークオーバヘッドが低減され、端末のハンドオーバ効率が改善できる。
【００８１】
まず、この出願の実施形態における関連用語について説明する。
【００８２】
第1のアクセスネットワークデバイスはRANノードでもよく、例えば、5Gシステムにおける次世代基地局ノードでもよい。この出願の実施形態が、端末がサービング基地局の間でハンドオーバされる手順に適用されるとき、第1のアクセスネットワークデバイスは、ターゲット次世代基地局ノード(target  next  generation  node  basestation,  TgNB)でもよい。
【００８３】
第2のアクセスネットワークデバイスはRANノードでもよく、例えば、5Gシステムにおける次世代基地局ノードでもよい。この出願の実施形態が、端末がサービング基地局の間でハンドオーバされる手順に適用されるとき、第2のアクセスネットワークデバイスは、ソース次世代基地局ノード(source  next  generation  node  basestation,  SgNB)でもよい。
【００８４】
以下に、この出願において提供される技術的解決策について詳細に説明する。
【００８５】
図２に示すように、この出願の実施形態は、セキュリティ保護方法を提供し、当該方法は、ステップ201〜203を含む。
【００８６】
ステップ201:第2のアクセスネットワークデバイスは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を取得する。
【００８７】
ユーザプレーン情報は、パケットデータユニット(packet  data  unit,  PDU)セッション識別子、サービス品質(quality  of  service,  QoS)パラメータ(例えば、サービス品質フロー識別子(quality  of  service  flow  identifier,  QFI))、データ無線ベアラ(data  radio  bearer,  DRB)識別子及びスライスパラメータ(例えば、スライス識別子)のうちいずれか1つ以上を含んでもよい。
【００８８】
セキュリティポリシーは、活性化のためのユーザプレーンセキュリティ保護タイプを示すために使用されるか、或いは、活性化されることが推奨されるユーザプレーン保護アルゴリズム識別子を示すために使用される。セキュリティ保護タイプは、ユーザプレーン暗号化保護及びユーザプレーン完全性保護の一方又は双方を含む。ユーザプレーン保護アルゴリズム識別子は、ユーザプレーン暗号化アルゴリズム識別子及びユーザプレーン完全性保護アルゴリズム識別子の一方又は双方でもよい。具体的には、セキュリティポリシーは、1つ以上のユーザプレーン保護アルゴリズム識別子を搬送してもよく、例えば、少なくとも1つのユーザプレーン暗号化アルゴリズム識別子、又は少なくとも1つのユーザプレーン完全性保護アルゴリズム識別子、又は少なくとも1つのユーザプレーン暗号化アルゴリズム識別子及び少なくとも1つのユーザプレーン完全性保護アルゴリズム識別子を搬送してもよい。
【００８９】
具体的には、ユーザプレーン情報とセキュリティポリシーとの間の対応関係の表現形式は、対応関係にあるユーザプレーン情報とセキュリティポリシーとの組み合わせでもよい。このような組み合わせは、1つの組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係と呼ばれてもよい。任意選択で、ユーザプレーン情報は、1つの対応関係を使用することにより、複数のセキュリティポリシーに対応してもよい。例えば、1つの組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係におけるユーザプレーン情報は、PDUセッション識別子を含み、セキュリティポリシーは、セキュリティポリシー1と、セキュリティポリシー2とを含む。1つのPDUセッション識別子は、2つのセキュリティポリシーに対応することが理解され得る。他の例では、1つの組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係におけるユーザプレーン情報は、DRB識別子を含み、セキュリティポリシーは、セキュリティポリシー1と、セキュリティポリシー2とを含む。代替として、1つのユーザプレーン情報は、1つの対応関係を使用することにより、1つのセキュリティポリシーに対応する。例えば、1つの組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係は、1つのPDUセッション識別子と1つのセキュリティポリシーとの組み合わせである。他の例では、1つの組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係は、1つのDRB識別子と1つのセキュリティポリシーとの組み合わせである。
【００９０】
複数の組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係は、複数の対応関係である。例えば、対応関係のうち1つは、PDUセッション識別子とQoSパラメータとセキュリティポリシー1とセキュリティポリシー2との組み合わせであり、他の対応関係は、QoSパラメータとセキュリティポリシー3との組み合わせである。
【００９１】
具体的には、第2のアクセスネットワークデバイスは、ネットワーク側の構成情報に基づいて、1つの組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係、又は複数の組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係を取得することを決定する。例えば、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、PDUセッション識別子とセキュリティポリシーとの組み合わせである。ネットワーク側の構成情報が、ハンドオーバされる必要があるセッションのPDUセッション識別子のみが送信されるものである場合、第2のアクセスネットワークデバイスは、1つのセッションのみがハンドオーバされる必要があるとき、PDUセッション識別子とセキュリティポリシーとの1つの組み合わせのみを取得するか、或いは、複数のセッションがハンドオーバされる必要があるとき、第2のアクセスネットワークデバイスは、ハンドオーバされる必要があるそれぞれのPDUセッションについてのPDUセッション識別子とセキュリティポリシーとのそれぞれの組み合わせを取得する必要があるか、或いは、第2のアクセスネットワークデバイスは、ネットワーク側の構成情報に基づいて、第2のアクセスネットワークデバイスにより記憶されているPDUセッション識別子とセキュリティポリシーとの全ての組み合わせを取得する。
【００９２】
任意選択で、第2のアクセスネットワークデバイスは、1つのセキュリティポリシーのみを取得してもよく、セキュリティポリシーは、全てのユーザプレーン情報に適用可能である。
【００９３】
任意選択で、2つのビット情報が、セキュリティポリシーにより示される活性化のためのセキュリティ保護タイプを表すために使用されてもよい。例えば、セキュリティポリシーは"XY"である。X=0はユーザプレーン暗号化保護を活性化しないことを示し、X=1はユーザプレーン暗号化保護を活性化することを示し、Y=0はユーザプレーン完全性保護を活性化しないことを示し、Y=1はユーザプレーン完全性保護を活性化することを示す。
【００９４】
例えば、{PDU  session  ID=1,  11}は、PDUセッション識別子が1であり、PDUセッション識別子に対応するセキュリティポリシーがユーザプレーン暗号化保護を活性化し且つユーザプレーン完全性保護を活性化することを示す。代替として、{QFI=1,  11}は、QoSフロー識別子が1であるQoSフローについて、QoSフローに対応するセキュリティポリシーがユーザプレーン暗号化保護を活性化し且つユーザプレーン完全性保護を活性化することを示す。代替として、{DRB  ID=1,  11}は、DRB識別子が1であり、DRB識別子が1であるDRBに対応するセキュリティポリシーがユーザプレーン暗号化保護を活性化し且つユーザプレーン完全性保護を活性化することを示す。
【００９５】
他の例では、{PDU  session  ID=1,  10,  DRB  ID=1}は、DRB識別子が1であるDRBが、PDUセッション識別子が1であるセッションに使用されており、対応するセキュリティポリシーがユーザプレーン暗号化保護を活性化するが、ユーザプレーン完全性保護を活性化しないことを示す。代替として、{QFI=1,  10,  DRB  ID=1}は、DRB識別子が1であるDRBが、QoSフロー識別子が1であるQoSフローに使用されており、対応するセキュリティポリシーがユーザプレーン暗号化保護を活性化するが、ユーザプレーン完全性保護を活性化しないことを示す。
【００９６】
他の例では、{PDU  session  ID=2,  QFI=1,  01,  DRB  ID=2}は、DRB識別子が2であるDRBが、PDUセッション識別子が2であるセッションにおいてQFIが1であるQoSフローに使用されており、対応するセキュリティポリシーがユーザプレーン暗号化保護を活性化しないが、ユーザプレーン完全性保護を活性化することを示す。
【００９７】
他の例では、{DRB  ID=1,  DRB  ID=2,  01}は、DRB識別子が1であるDRBに対応するセキュリティポリシー及びDRB識別子が2であるDRBに対応するセキュリティポリシーが、ユーザプレーン暗号化保護を活性化しないが、ユーザプレーン完全性保護を活性化することを示す。
【００９８】
任意選択で、第2のアクセスネットワークデバイスは、複数の組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係を決定してもよい。第2のアクセスネットワークデバイスは、端末がサービング基地局の間でハンドオーバされる手順において、ハンドオーバされる必要があるPDUセッションのPDUセッション識別子とセキュリティポリシーとの間のそれぞれの対応関係を取得する必要がある。例えば、複数の組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{{PDU  session  ID=1,  10,  DRB  ID=1},  {PDU  session  ID=2,  QFI=1,  01,  DRB  ID=2}}でもよい。
【００９９】
任意選択で、セキュリティポリシーにより示される活性化されるユーザプレーン保護アルゴリズム識別子は、推奨されるアルゴリズム識別子を使用することにより表されてもよい。例えば、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{PDU  session  ID=1,  NIA=1,  NEA=2}でもよく、これは、PDUセッション識別子が1であるセッションについて、ユーザプレーン完全性保護アルゴリズム1がユーザプレーン完全性保護を実行するために使用され、ユーザプレーン暗号化アルゴリズム2がユーザプレーン暗号化保護を実行するために使用されることを示す。任意選択で、NIA=0である場合、ユーザプレーン完全性保護は活性化されず、NEA=0である場合、ユーザプレーン暗号化保護は活性化されない。他の例では、{PDU  session  ID=1,  NIA=1,  NIA=2,  NEA=2,  NEA=1}は、PDUセッション識別子が1であるセッションについて、ユーザプレーン完全性保護を実行するのに使用されるために、ユーザプレーン完全性保護アルゴリズム1が優先的に推奨され、ユーザプレーン完全性保護を実行するのに使用されるために、ユーザプレーン完全性保護アルゴリズム2が次に推奨され、ユーザプレーン暗号化保護を実行するのに使用されるために、ユーザプレーン暗号化アルゴリズム2が優先的に推奨され、ユーザプレーン暗号化保護を実行するのに使用されるために、ユーザプレーン暗号化アルゴリズム1が次に推奨されることを示す。他の例では、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{DRB  ID=1,  NIA=1,  NEA=2}でもよく、これは、DRB識別子が1であるセッションについて、ユーザプレーン完全性保護アルゴリズム1がユーザプレーン完全性保護を実行するために使用され、ユーザプレーン暗号化アルゴリズム2がユーザプレーン暗号化保護を実行するために使用されることを示す。
【０１００】
任意選択で、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{PDU  session  ID=1,  "1111",  NEA=2}でもよく、これは、PDUセッション識別子が1であるセッションについて、ユーザプレーン完全性保護が活性化されず、ユーザプレーン暗号化アルゴリズム2がユーザプレーンデータに対して暗号化保護を実行するために使用されることを示す。
【０１０１】
他の例では、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{PDU  session  ID=1,  NIA=1,  "1111"}でもよく、これは、PDUセッション識別子が1であるセッションについて、ユーザプレーン完全性保護アルゴリズム1がユーザプレーン完全性保護を実行するために使用され、ユーザプレーン暗号化保護が活性化されないことを示す。
【０１０２】
"1111"は指示情報であり、特定の保護が活性化されないことを示すために使用される。ユーザプレーン情報とセキュリティポリシーとの間の対応関係において、"1111"がユーザプレーン暗号化アルゴリズム識別子を搬送する必要がある位置にある場合、ユーザプレーン暗号化保護は活性化されないか、或いは、"1111"がユーザプレーン完全性保護アルゴリズム識別子を搬送する必要がある位置にある場合、ユーザプレーン完全性保護は活性化されない。"1111"は、本発明において例として使用され、同様の機能の他の指示情報は、本発明の保護範囲に入る点に留意すべきである。
【０１０３】
ステップ202:第2のアクセスネットワークデバイスは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を第1のアクセスネットワークデバイスに送信する。対応して、第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスから、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信する。
【０１０４】
第2のアクセスネットワークデバイスは、ステップ201において取得された、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を第1のアクセスネットワークデバイスに送信してもよい。
【０１０５】
任意選択で、第2のアクセスネットワークデバイスは、1つの組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係と、複数の組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係とを第1のアクセスネットワークデバイスに送信してもよい。具体的には、第2のアクセスネットワークデバイスにより送信される、ユーザプレーン情報とセキュリティポリシーとの間の対応関係の数は、ステップ201において第2のアクセスネットワークデバイスにより取得された、ユーザプレーン情報とセキュリティポリシーとの間の対応関係の数と同じである。
【０１０６】
可能な方式では、第2のアクセスネットワークデバイスは、セキュリティポリシーのみを第1のアクセスネットワークデバイスに送信してもよく、セキュリティポリシーは、端末に関連する全てのユーザプレーン情報に適用可能である。
【０１０７】
ステップ203:第1のアクセスネットワークデバイスは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて、ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定する。
【０１０８】
第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの一方又は双方を含む。
【０１０９】
任意選択で、第1のアクセスネットワークデバイスにより受信した、ユーザプレーン情報とセキュリティポリシーとの間の対応関係におけるセキュリティポリシーが、活性化されるセキュリティ保護タイプを示すために使用される場合、第1のアクセスネットワークデバイスは、セキュリティポリシーにより示されるアクティブ化のためのそれぞれのセキュリティ保護タイプに対応する第1のユーザプレーン保護アルゴリズムを決定する。
【０１１０】
具体的には、それぞれのセキュリティ保護タイプは、1つのアルゴリズムセットに対応する。実現方式では、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムセット及びユーザプレーン完全性保護アルゴリズムセットを記憶する。第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムとシグナリングプレーン暗号化アルゴリズムとを区別せず、ユーザプレーン完全性保護アルゴリズムとシグナリングプレーン完全性保護アルゴリズムとを区別しない。言い換えると、ユーザプレーン暗号化アルゴリズムセットはまた、シグナリングプレーン暗号化アルゴリズムセットとして使用されてもよく、ユーザプレーン完全性保護アルゴリズムセットはまた、シグナリングプレーン完全性保護アルゴリズムセットとして使用されてもよい。他の実現方式では、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムとシグナリングプレーン暗号化アルゴリズムとを区別し、ユーザプレーン完全性保護アルゴリズムとシグナリングプレーン完全性保護アルゴリズムとを区別する。第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムセット、ユーザプレーン完全性保護アルゴリズムセット、シグナリングプレーン暗号化アルゴリズムセット及びシグナリングプレーン完全性保護アルゴリズムセットを記憶する。
【０１１１】
上記のそれぞれのアルゴリズムセットは、優先度リストの形式で存在してもよい点に留意すべきである。ユーザプレーン暗号化アルゴリズムセットが例として使用される。ユーザプレーン暗号化アルゴリズムセットは、優先度リストでもよく、優先度リスト内のユーザプレーン暗号化アルゴリズムは、優先度の降順に配置される。
【０１１２】
セキュリティポリシーにより示される活性化のためのセキュリティ保護タイプがユーザプレーン暗号化保護である場合、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムセットから1つの暗号化アルゴリズムを選択し、任意選択で、ユーザプレーン暗号化アルゴリズムセットから、端末によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムを選択してもよい。例えば、端末は、ユーザプレーン暗号化アルゴリズム1及びユーザプレーン暗号化アルゴリズム3をサポートし、ユーザプレーン暗号化アルゴリズムセットにおいて、ユーザプレーン暗号化アルゴリズム1の優先度は、ユーザプレーン暗号化アルゴリズム3の優先度よりも高い。したがって、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズム1を選択する。
【０１１３】
セキュリティポリシーにより示される活性化のためのセキュリティ保護タイプがユーザプレーン完全性保護である場合、第1のアクセスネットワークデバイスは、ユーザプレーン完全性保護アルゴリズムセットから1つのユーザプレーン完全性保護アルゴリズムを選択し、任意選択で、ユーザプレーン完全性保護アルゴリズムセットから、端末によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムを選択してもよい。例えば、端末は、ユーザプレーン完全性保護アルゴリズム1及びユーザプレーン完全性保護アルゴリズム3をサポートし、ユーザプレーン完全性保護アルゴリズムセットにおいて、ユーザプレーン完全性保護アルゴリズム1の優先度は、ユーザプレーン完全性保護アルゴリズム3の優先度よりも高い。したがって、第1のアクセスネットワークデバイスは、ユーザプレーン完全性保護アルゴリズム1を選択する。
【０１１４】
セキュリティポリシーにより示される活性化されるセキュリティ保護タイプがユーザプレーン暗号化保護及びユーザプレーン完全性保護である場合、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムセットから1つのユーザプレーン暗号化アルゴリズムを選択し、ユーザプレーン完全性保護アルゴリズムセットから1つのユーザプレーン完全性保護アルゴリズムを選択する。
【０１１５】
例えば、第1のアクセスネットワークデバイスにより受信した、ユーザプレーン情報とセキュリティポリシーとの間の対応関係が{PDU  session  ID=1,  11}である場合、第1のアクセスネットワークデバイスは、PDUセッション識別子が1であるセッションについて、ユーザプレーン暗号化保護及びユーザプレーン完全性保護が活性化される必要があると決定し、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムセットから、端末によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムを更に選択し、ユーザプレーン完全性保護アルゴリズムセットから、端末によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムを選択する。
【０１１６】
任意選択で、第1のアクセスネットワークデバイスにより受信した、ユーザプレーン情報とセキュリティポリシーとの間の対応関係におけるセキュリティポリシーが、推奨されるユーザプレーン保護アルゴリズム識別子を含む場合、ステップ203は、以下の通り具体的に実現されてもよい。
【０１１７】
第1のアクセスネットワークデバイスは、ユーザプレーン保護アルゴリズム識別子に対応する第2のユーザプレーン保護アルゴリズムを決定し、
第1のアクセスネットワークデバイス及び端末の双方が第2のユーザプレーン保護アルゴリズムをサポートする場合、第1のアクセスネットワークデバイスは、第2のユーザプレーン保護アルゴリズムが第1のユーザプレーン保護アルゴリズムであると決定するか、或いは、第1のアクセスネットワークデバイス又は端末のいずれかが第2のユーザプレーン保護アルゴリズムをサポートしない場合、第1のアクセスネットワークデバイスは、第2のユーザプレーン保護アルゴリズムが属するセキュリティ保護タイプに対応するセキュリティアルゴリズムセットから、端末によりサポートされ且つ最高の優先度を有する第1のユーザプレーン保護アルゴリズムを選択する。
【０１１８】
1つより多くの推奨されるユーザプレーン保護アルゴリズム識別子が存在する場合、それぞれの推奨されるユーザプレーン保護アルゴリズム識別子に基づいて、第1のユーザプレーン保護アルゴリズムを別々に決定するために、上記のステップが繰り返される。
【０１１９】
セキュリティポリシーは、ユーザプレーン保護アルゴリズム識別子を含み、したがって、活性化されるセキュリティ保護タイプを暗示的に示すことが理解され得る。
【０１２０】
例えば、第1のアクセスネットワークデバイスにより受信した、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{PDU  session  ID=1,  NIA=1,  NEA=2}である。したがって、第1のアクセスネットワークデバイスは、PDUセッション識別子が1であるセッションについて、ユーザプレーン完全性保護及びユーザプレーン暗号化保護が活性化される必要があると決定する。
【０１２１】
次いで、第1のアクセスネットワークデバイスは、ユーザプレーン完全性保護アルゴリズム1が以下の条件を満たすか否かを決定する。
【０１２２】
条件1:ユーザプレーン完全性保護アルゴリズム1は、第1のアクセスネットワークデバイス及び端末の双方によりサポートされるユーザプレーン完全性保護アルゴリズムである。
【０１２３】
条件2:ユーザプレーン完全性保護アルゴリズム1は、第1のアクセスネットワークデバイス及び端末の双方によりサポートされるユーザプレーン完全性保護アルゴリズムであり、ユーザプレーン完全性保護アルゴリズム1は、端末によりサポートされ且つ第1のアクセスネットワークデバイスのユーザプレーン完全性保護アルゴリズムセットの中で最高の優先度を有するユーザプレーン完全性保護アルゴリズムである。例えば、端末がユーザプレーン完全性保護アルゴリズム1及びユーザプレーン完全性保護アルゴリズム3をサポートし、アルゴリズムの双方がユーザプレーン完全性保護アルゴリズムセット内にあり、ユーザプレーン完全性保護アルゴリズムセットにおいて、ユーザプレーン完全性保護アルゴリズム1の優先度がユーザプレーン完全性保護アルゴリズム3の優先度よりも高い場合、ユーザプレーン完全性保護アルゴリズム1が条件2を満たすと考えられる。
【０１２４】
ユーザプレーン完全性保護アルゴリズム1は、ユーザプレーン完全性保護アルゴリズム1が条件1又は条件2を満たす場合に使用される。ユーザプレーン完全性保護アルゴリズム1が条件1を満たさないか、或いは、条件2を満たさない場合、第1のアクセスネットワークデバイスは、ユーザプレーン完全性保護アルゴリズムセットから、端末によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムを選択する。
【０１２５】
第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズム2が以下の条件を満たすか否かを更に決定してもよい。
【０１２６】
条件3:ユーザプレーン暗号化アルゴリズム2は、第1のアクセスネットワークデバイス及び端末の双方によりサポートされるユーザプレーン暗号化アルゴリズムである。
【０１２７】
条件4:ユーザプレーン暗号化アルゴリズム2は、第1のアクセスネットワークデバイス及び端末の双方によりサポートされるユーザプレーン暗号化アルゴリズムであり、ユーザプレーン暗号化アルゴリズム2は、端末によりサポートされ且つ第1のアクセスネットワークデバイスのユーザプレーン暗号化アルゴリズムセットの中で最高の優先度を有するユーザプレーン暗号化アルゴリズムである。例えば、端末がユーザプレーン暗号化アルゴリズム2及びユーザプレーン暗号化アルゴリズム3をサポートし、アルゴリズムの双方がユーザプレーン暗号化アルゴリズムセット内にあり、ユーザプレーン暗号化アルゴリズムセットにおいて、ユーザプレーン暗号化アルゴリズム2の優先度がユーザプレーン暗号化アルゴリズム3の優先度よりも高い場合、ユーザプレーン暗号化アルゴリズム2が条件2を満たすと考えられる。
【０１２８】
ユーザプレーン暗号化アルゴリズム2は、ユーザプレーン暗号化アルゴリズム2が条件3又は条件4を満たす場合に使用される。ユーザプレーン暗号化アルゴリズム2が条件3を満たさないか、或いは、条件4を満たさない場合、第1のアクセスネットワークデバイスは、ユーザプレーン暗号化アルゴリズムセットから、端末によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムを選択する。
【０１２９】
他の例では、第1のアクセスネットワークデバイスにより受信した、ユーザプレーン情報とセキュリティポリシーとの間の対応関係が{PDU  session  ID=1,  "1111",  NEA=2}である場合、第1のアクセスネットワークデバイスは、PDUセッション識別子が1であるセッションについて、ユーザプレーン暗号化保護が活性化される必要があり、ユーザプレーン完全性保護が活性化される必要はないと決定する。したがって、第1のアクセスネットワークデバイスは、上記の方法においてユーザプレーン暗号化アルゴリズムのみを決定する必要があり、ユーザプレーン完全性保護アルゴリズムを決定する必要はない。
【０１３０】
任意選択で、この出願のこの実施形態の可能な実現方式では、第1のアクセスネットワークデバイスは、受信したセキュリティポリシーの特定の内容を無視してもよく、第1のアクセスネットワークデバイスは、予め構成されたセキュリティポリシーに従って活性化のためのセキュリティ保護タイプを決定してもよい。
【０１３１】
例えば、第1のアクセスネットワークデバイスにより受信したセキュリティポリシーが、ユーザプレーン暗号化保護もユーザプレーン完全性保護も活性化しないことを示し、予め構成されたセキュリティポリシーがユーザプレーン暗号化保護を活性化するが、ユーザプレーン完全性保護を活性化しないことを示す場合、第1のアクセスネットワークデバイスは、予め構成されたセキュリティポリシーに従ってユーザプレーン暗号化保護を活性化し、ユーザプレーン暗号化アルゴリズムセットから、第1のアクセスネットワークデバイス及び端末の双方によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムを選択する。
【０１３２】
第1のアクセスネットワークデバイスが、複数の組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信した場合、第1のアクセスネットワークデバイスは、それぞれの組み合わせのユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを別々に決定する必要がある。
【０１３３】
この出願のこの実施形態において提供されるセキュリティ保護方法によれば、第1のアクセスネットワークデバイスは、ユーザプレーン保護アルゴリズムのみを決定してもよく、シグナリングプレーン保護を活性化する必要はなく、それにより、ネットワークオーバヘッドを低減し、端末のハンドオーバ効率を改善する。
【０１３４】
この出願のこの実施形態の可能な実現方式では、ステップS203において、第1のアクセスネットワークデバイスが、ユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて、ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定することは、ステップ203において、第1のアクセスネットワークデバイスが、ユーザプレーン保護アルゴリズムのみを決定し、シグナリングプレーン保護アルゴリズムを決定しないことを意味する。
【０１３５】
この出願のこの実施形態の他の可能な実現方式では、ステップ203において、第1のアクセスネットワークデバイスは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて、ユーザプレーン情報に対応する第1のユーザプレーン保護アルゴリズムを決定してもよく、第1のユーザプレーン保護アルゴリズムをシグナリングプレーン保護アルゴリズムとして決定する。言い換えると、ステップ203において、第1のアクセスネットワークデバイスは、一対のセキュリティ保護アルゴリズムを決定し、一対のセキュリティ保護アルゴリズムは、ユーザプレーン保護アルゴリズム及びシグナリングプレーン保護アルゴリズムの双方として使用される。任意選択で、第1のユーザプレーン保護アルゴリズムがユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの一方である場合、決定された第1のユーザプレーン保護アルゴリズムは、シグナリングプレーン保護アルゴリズムとして使用され、他のシグナリングプレーン保護アルゴリズムが更に決定される。例えば、第1のユーザプレーン保護アルゴリズムがユーザプレーン暗号化アルゴリズムである場合、ユーザプレーン暗号化アルゴリズムは、シグナリングプレーン暗号化アルゴリズムとして使用され、シグナリングプレーン完全性保護アルゴリズムが更に決定される必要がある。決定方法は、第1のアクセスネットワークデバイスが、端末セキュリティ能力(すなわち、端末によりサポートされるシグナリングプレーン完全性保護アルゴリズム)及び第2のアクセスネットワークデバイスにより予め構成されたシグナリングプレーン完全性保護アルゴリズムセット(優先度に基づいて配置されたシグナリングプレーン完全性保護アルゴリズムのリスト)に基づいて、シグナリングプレーン完全性保護アルゴリズムを決定することである。
【０１３６】
可能な実現方式では、第1のアクセスネットワークデバイスは、第1のユーザプレーン保護アルゴリズムを決定する前に、シグナリングプレーン保護アルゴリズムを決定してもよい。言い換えると、第1のアクセスネットワークデバイスは、まず、シグナリングプレーン保護アルゴリズムを決定し、次いで、シグナリングプレーン保護アルゴリズムが第1のユーザプレーン保護アルゴリズムとして使用できるか否かを決定してもよい。
【０１３７】
この出願の実施形態の他の可能な実現方式では、第1のアクセスネットワークデバイスは、シグナリングプレーンメッセージを送信する前に、シグナリングプレーン保護アルゴリズムを決定してもよい。図３Ａ及び図３Ｂに示すように、第1のユーザプレーン保護アルゴリズムが決定された後にシグナリングプレーン保護アルゴリズムが決定されることが、図３Ａ及び図３Ｂにおける説明の例として使用される。当該方法は、ステップ301〜309を含む。
【０１３８】
ステップ301〜303については、ステップ201〜203における関連する説明を参照する。明らかにこの出願は、それに限定されない。
【０１３９】
任意選択で、第1のユーザプレーン保護アルゴリズムを決定した後に、第1のアクセスネットワークデバイスは、更に、ユーザプレーンデータに対してセキュリティ保護を実行するために、ユーザプレーン保護鍵を生成する必要があり、すなわち、ステップ304を実行する必要がある。
【０１４０】
ステップ304:第1のアクセスネットワークデバイスは、第1のユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成する。
【０１４１】
ユーザプレーン保護鍵は、ユーザプレーン暗号化鍵及びユーザプレーン完全性保護鍵の一方又は双方を含む。
【０１４２】
ユーザプレーン保護鍵は、ステップ303において第1のアクセスネットワークデバイスがユーザプレーン暗号化アルゴリズムのみを決定する場合、ユーザプレーン暗号化鍵のみを含むか、或いは、ユーザプレーン保護鍵は、第1のアクセスネットワークデバイスがユーザプレーン完全性保護アルゴリズムのみを決定する場合、ユーザプレーン完全性保護鍵のみを含むか、或いは、ユーザプレーン保護鍵は、第1のアクセスネットワークデバイスがユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの双方を決定する場合、ユーザプレーン暗号化鍵及びユーザプレーン完全性保護鍵の双方を含む。
【０１４３】
この出願のこの実施形態では、ステップ304が必ずしもステップ305の前に実行されるとは限らない点に留意すべきである。ステップ303において第1のアクセスネットワークデバイスが第1のユーザプレーン保護アルゴリズムを決定した後に、ステップ304は、ユーザプレーン保護鍵を生成してユーザプレーンデータに対してセキュリティ保護を実行するために、ユーザプレーンデータが送信される必要があるときに実行されてもよい。
【０１４４】
ステップ305:第1のアクセスネットワークデバイスは、シグナリングプレーン保護アルゴリズムを決定する。
【０１４５】
シグナリングプレーン保護アルゴリズムは、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムの一方又は双方を含む。
【０１４６】
任意選択で、ステップ305のいくつかのトリガ時点が存在する。
【０１４７】
時点1:ステップ305は、第1のアクセスネットワークデバイスがシグナリングプレーンメッセージを送信する必要があるときにトリガされる。例えば、ステップ305は、第1のアクセスネットワークデバイスが構成メッセージを端末デバイスに送信する必要があるときにトリガされる。
【０１４８】
時点2:図２に示す方法が、端末がサービング基地局の間でハンドオーバされるプロセスに適用される場合、ステップ304は、第1のアクセスネットワークデバイスがユーザプレーンデータを送信した後にトリガされてもよい。
【０１４９】
時点3:ステップ305は、第1のアクセスネットワークデバイスがサスペンド(suspend)状態に戻る前にトリガされる。
【０１５０】
suspend状態は、この状態において、端末及び基地局がいくつかのASコンテキスト、例えば、生成された鍵及び決定されたアルゴリズムを保持することを意味する。
【０１５１】
時点4:ステップ305は、第1のアクセスネットワークデバイスが端末により送信されたアップリンクシグナリングプレーンデータを受信した後にトリガされ、例えば、ステップ305は、端末がPDUセッション要求を開始した後にトリガされる。
【０１５２】
ステップ306:第1のアクセスネットワークデバイスは、シグナリングプレーン保護アルゴリズムに従ってシグナリングプレーン保護鍵を生成する。
【０１５３】
シグナリングプレーン保護鍵は、シグナリングプレーン暗号化鍵及びシグナリングプレーン完全性保護鍵の一方又は双方を含む。
【０１５４】
任意選択で、シグナリングプレーン保護鍵は、ステップ305において第1のアクセスネットワークデバイスがシグナリングプレーン暗号化アルゴリズムのみを決定する場合、シグナリングプレーン暗号化鍵のみを含み、任意選択で、シグナリングプレーン保護鍵は、第1のアクセスネットワークデバイスがシグナリングプレーン完全性保護アルゴリズムのみを決定する場合、シグナリングプレーン完全性保護鍵のみを含み、任意選択で、シグナリングプレーン保護鍵は、第1のアクセスネットワークデバイスがシグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムの双方を決定する場合、シグナリングプレーン暗号化鍵及びシグナリングプレーン完全性保護鍵の双方を含む。
【０１５５】
ステップ307:第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスを介して、ユーザプレーン完全性保護鍵又はシグナリングプレーン完全性保護鍵を使用することにより保護された第1のメッセージを端末に送信する。
【０１５６】
第1のメッセージは、第1のユーザプレーン保護アルゴリズムを含む。任意選択で、第1のメッセージは、シグナリングプレーン保護アルゴリズムを更に含む。
【０１５７】
第1のメッセージがユーザプレーン完全性保護鍵を使用することにより保護される場合、ステップ307がステップ305の前に実行されてもよい点に留意すべきである。ステップ305、ステップ306及びステップ307の実行順序は、この出願では限定されない。
【０１５８】
任意選択で、第1のアクセスネットワークデバイスは、ユーザプレーン完全性保護鍵を使用することにより、第1のメッセージに対して完全性保護を実行してもよく、或いは、第1のアクセスネットワークデバイスは、シグナリングプレーン完全性保護鍵を使用することにより、第1のメッセージに対して完全性保護を実行してもよく、或いは、第1のアクセスネットワークデバイスがユーザプレーン完全性保護鍵及びシグナリングプレーン完全性保護鍵の双方を生成した場合、第1のアクセスネットワークデバイスは、シグナリングプレーン完全性保護鍵を使用することにより、第1のメッセージに対して完全性保護を優先的に実行してもよい。
【０１５９】
任意選択で、第1のアクセスネットワークデバイスがシグナリングプレーン完全性保護鍵を生成せず、第1のアクセスネットワークデバイスにより受信したセキュリティポリシーがユーザプレーン完全性保護を活性化しないことを示す場合、ユーザプレーン完全性保護は、第1のメッセージに対して実行されない。任意選択で、第1のアクセスネットワークデバイスは、乱数を生成し、ユーザプレーン暗号化鍵を使用することにより、乱数を暗号化し、暗号化された乱数を第1のメッセージに追加し、第1のメッセージを端末に送信し、暗号化されていない乱数を端末に送信してもよい。任意選択で、シグナリングプレーン完全性保護鍵が生成され、第1のアクセスネットワークデバイスにより受信したセキュリティポリシーがユーザプレーン完全性保護を活性化しないことを示す場合、シグナリングプレーン完全性保護鍵は、第1のメッセージに対して完全性保護を実行するために使用される。
【０１６０】
代替として、第1のアクセスネットワークデバイスがユーザプレーン完全性保護鍵及びユーザプレーン暗号化鍵の双方を生成した場合、第1のアクセスネットワークデバイスは、ユーザプレーン完全性保護鍵を使用することにより、第1のメッセージに対して完全性保護を実行してもよい。任意選択で、第1のアクセスネットワークデバイスは、乱数を更に生成し、ユーザプレーン暗号化鍵を使用することにより暗号化された乱数を第1のメッセージに追加し、第1のメッセージを端末に送信し、暗号化されていない乱数を端末に送信してもよい。
【０１６１】
任意選択で、第1のメッセージは、第1の指示情報を搬送してもよい。第1の指示情報は、第1のユーザプレーン保護アルゴリズムがシグナリングプレーン保護アルゴリズムと同じであることを示すために使用され、具体的には、シグナリングプレーン保護アルゴリズムが第1のユーザプレーン保護アルゴリズムとして再利用されることを示すために使用される。さらに、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信した後に、第1のアクセスネットワークデバイスは、まず、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムを決定し、次いで、セキュリティポリシーに従って、ユーザプレーン保護アルゴリズムとして再利用されるシグナリングプレーン保護アルゴリズムを決定する。代替として、第1の指示情報は、第1のアクセスネットワークデバイスにより決定されたシグナリングプレーン保護アルゴリズム識別子を示すために使用される。
【０１６２】
任意選択で、第1の指示情報は、第1のメッセージで搬送されなくてもよい。第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスを介して専用メッセージを端末に送信してもよく、専用メッセージは、第1の指示情報を搬送する。
【０１６３】
第1のアクセスネットワークデバイスは、第1のアクセスネットワークデバイスにより使用されるシグナリングプレーン保護アルゴリズムを端末に通知するために、上記の実施形態に記載の、使用されるシグナリングプレーン保護鍵決定方法にかかわらず、第1の指示情報を端末に送信する必要があり、それにより、端末は、シグナリングプレーンにより保護されたメッセージを解読できることが理解され得る。
【０１６４】
ステップ308:端末は、第1のメッセージを受信する。
【０１６５】
端末は、第1のメッセージを受信した後に、第1のメッセージ内の第1のユーザプレーン保護アルゴリズムを読み取ってもよい。第1のユーザプレーン保護アルゴリズムがユーザプレーン完全性保護アルゴリズムを含む場合、端末は、ユーザプレーン完全性保護アルゴリズムに従ってユーザプレーン完全性保護鍵を生成し、ユーザプレーン完全性保護鍵を使用することにより、第1のメッセージに対してユーザプレーン完全性検証を実行する。検証が失敗した場合、ハンドオーバ手順は更に実行されないか、或いは、ステップ309が実行される。
【０１６６】
第1のユーザプレーン保護アルゴリズムがユーザプレーン完全性保護アルゴリズムを含まないが、ユーザプレーン暗号化アルゴリズムを含む場合、端末は、ユーザプレーン暗号化アルゴリズムに従ってユーザプレーン暗号化鍵を生成してもよい。任意選択で、第1のメッセージ内の乱数は、ユーザプレーン暗号化鍵を使用することにより解読され、解読された乱数は、受信した暗号化されていない乱数と比較される。比較結果が、2つの乱数が異なるものである場合、ハンドオーバ手順は更に実行されないか、或いは、ステップ309が実行される。
【０１６７】
第1のメッセージがシグナリングプレーン保護アルゴリズムを搬送し、シグナリングプレーン完全性保護鍵が完全性保護を実行するために使用される場合、端末は、シグナリングプレーン完全性保護アルゴリズムに従ってシグナリングプレーン完全性保護鍵を生成し、シグナリングプレーン完全性保護鍵を使用することにより、第1のメッセージに対してシグナリングプレーン完全性検証を実行する。検証が失敗した場合、メッセージは、シグナリングプレーン完全性検証が失敗したこと又はハンドオーバ手順が更に実行されないことを示すために、任意選択で第2のアクセスネットワークデバイスに返信される。
【０１６８】
ステップ309:端末は、ユーザプレーン保護鍵又はシグナリングプレーン保護鍵を使用することにより保護された第2のメッセージを第1のアクセスネットワークデバイスに送信する。対応して、第1のアクセスネットワークデバイスは、第2のメッセージを受信する。
【０１６９】
第2のメッセージは、第1のメッセージの応答メッセージである。
【０１７０】
第2のメッセージは、ステップ308において第1のメッセージに対する端末の検証が成功した場合の第1のメッセージの承認メッセージである。任意選択で、端末は、第1のメッセージを保護するための方法と同じ方法を使用することにより、第2のメッセージを保護する。具体的には、端末は、ユーザプレーン完全性保護鍵を使用することにより、第2のメッセージに対して完全性保護を実行してもよく、或いは、シグナリングプレーン完全性保護鍵を使用することにより、第2のメッセージに対してシグナリングプレーン完全性保護を実行してもよく、或いは、乱数を再び生成し、ユーザプレーン暗号化鍵を使用することにより、2つの乱数を暗号化し、2つの暗号化された乱数及び2つの暗号化されていない乱数を第2のメッセージに追加してもよい。第2のメッセージは、第1のメッセージに対する端末の検証が失敗した場合のエラープロンプトのためのメッセージである。この出願のこの実施形態において提供される方法によれば、第1のアクセスネットワークデバイスは、端末のハンドオーバ手順においてユーザプレーン保護のみを活性化してもよく、第1のアクセスネットワークデバイスがシグナリングプレーンメッセージを送信する必要があるときにのみシグナリングプレーン保護アルゴリズムを決定し、それにより、端末のハンドオーバ効率を改善するだけでなく、シグナリングプレーンメッセージのセキュリティも確保する。
【０１７１】
任意選択で、図３A及び図３Bに示す手順の後に、第1のアクセスネットワークデバイスは、更に、第2のアクセスネットワークデバイスからの受信したセキュリティポリシーを検証する必要がある。図４に示すように、当該方法は、ステップ401〜404を含む。
【０１７２】
ステップ401:第1のアクセスネットワークデバイスは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係をAMFノードに送信する。対応して、AMFノードは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信する。
【０１７３】
ステップ402:AMFノードは、第2の指示情報及びセキュリティポリシーの一方又は双方を第1のアクセスネットワークデバイスに送信する。対応して、第1のアクセスネットワークデバイスは、第2の指示情報及びセキュリティポリシーの一方又は双方を受信する。
【０１７４】
第2の指示情報は、第1のアクセスネットワークデバイスが第2のアクセスネットワークデバイスからのセキュリティポリシーを使用し続けることができるか否かを示すために使用される。
【０１７５】
具体的には、任意選択で、第1のアクセスネットワークデバイスからユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信した後に、AMFノードは、まず、AMFノードがユーザプレーン情報とセキュリティポリシーとの間のそれぞれの対応関係を記憶しているか否かを決定する。AMFノードが対応関係を記憶している場合、AMFノードは、ユーザプレーン情報に対応する受信したセキュリティポリシーが、ユーザプレーン情報に対応し且つAMFノードにより記憶されているセキュリティポリシーと同じであるか否かを決定する。2つのセキュリティポリシーが同じである場合、第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスから受信したセキュリティポリシーを使用し続けることができる。この場合、AMFノードは、第2の指示情報を第1のアクセスネットワークデバイスに送信してもよく、第2の指示情報は、第1のアクセスネットワークデバイスが第2のアクセスネットワークデバイスから受信したセキュリティポリシーを使用できることを示すために使用されるか、或いは、AMFノードは、セキュリティポリシーを第1のアクセスネットワークデバイスに送信し、セキュリティポリシーは、第1のアクセスネットワークデバイスによりAMFノードに送信されたセキュリティポリシーと同じである。
【０１７６】
代替として、AMFノードにより受信したユーザプレーン情報に対応するセキュリティポリシーが、ユーザプレーン情報に対応し且つAMFノードにより記憶されているセキュリティポリシーと異なる場合、第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスから受信したセキュリティポリシーを使用し続けることができない。この場合、AMFノードは、第2の指示情報を第1のアクセスネットワークデバイスに送信し、第2の指示情報は、第1のアクセスネットワークデバイスが第2のアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示すために使用されるか、或いは、AMFノードは、セキュリティポリシーを第1のアクセスネットワークデバイスに送信し、セキュリティポリシーは、ユーザプレーン情報に対応し且つAMFノードにより記憶されているセキュリティポリシーである。
【０１７７】
任意選択で、AMFノードがユーザプレーン情報とセキュリティポリシーとの間の対応関係を記憶していない場合、AMFノードは、ユーザプレーン情報とセキュリティポリシーとの間の受信した対応関係を、第1のアクセスネットワークデバイスからSMFノードに転送してもよい。SMFノードは、第1のアクセスネットワークデバイスが第2のアクセスネットワークデバイスからのユーザプレーン情報とセキュリティポリシーとの間の対応関係を使用し続けることができるか否かを決定する。具体的な決定方法は、AMFノードにより実行される決定方法と同じである。次いで、AMFノードは、SMFノードの決定結果に基づいて、第2の指示情報及びセキュリティポリシーの一方又は双方を第1のアクセスネットワークデバイスに送信する。
【０１７８】
ステップ403:第1のアクセスネットワークデバイスがAMFノードからセキュリティポリシーを受信し、AMFノードからのセキュリティポリシーが第2のアクセスネットワークデバイスからのセキュリティポリシーと異なる場合、AMFノードからのセキュリティポリシーに従って、第1のユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を再決定する。
【０１７９】
任意選択で、AMFノードからのセキュリティポリシーが第2のアクセスネットワークデバイスからのセキュリティポリシーと同じである場合、AMFノードは、第2のアクセスネットワークデバイスからのセキュリティポリシーを使用し続けることができ、第1のユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を再決定する必要はない。
【０１８０】
ステップ404:第1のアクセスネットワークデバイスは、第1のアクセスネットワークデバイスがAMFノードから第2の指示情報を受信し、AMFノードからセキュリティポリシーを受信せず、第2の指示情報が、第1のアクセスネットワークデバイスが第2のアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示す場合、デフォルトのセキュリティポリシーに従って、第1のユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を再決定する。
【０１８１】
任意選択で、第2の指示情報が、第1のアクセスネットワークデバイスが第2のアクセスネットワークデバイスからのセキュリティポリシーを使用してもよいことを示す場合、第1のアクセスネットワークデバイスは、第2のアクセスネットワークデバイスからのセキュリティポリシーを使用し続けることができ、第1のユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を再決定する必要はない。
【０１８２】
この出願のこの実施形態において提供されるセキュリティ保護方法によれば、ランダムアクセスプロセスが完了した後に、TgNBは、TgNBのリソース状況に適用可能なセキュリティポリシーを取得するために、現在使用されているセキュリティポリシーを検証してもよい。SgNBが攻撃者によりクラックされ、セキュリティレベルを低減するセキュリティポリシーをTgNBに送信した場合、TgNBによりセキュリティポリシーに従って決定されたユーザプレーン保護アルゴリズムのセキュリティ能力レベルは比較的低く、ユーザプレーン保護アルゴリズムを使用することにより保護された情報は容易にクラックできる。したがって、TgNBは、AMFノードにより配信されたセキュリティポリシーを使用し、それにより、この脆弱性が回避でき、セキュリティが更に改善できる。
【０１８３】
任意選択で、第2のアクセスネットワークデバイスが第1のアクセスネットワークデバイスと直接通信できない場合、第2のアクセスネットワークデバイスは、AMFノードを介して第1のアクセスネットワークデバイスを決定してもよい。例えば、端末がサービング基地局の間でハンドオーバされる手順において、SgNBとTgNBとの間の直接の通信インタフェースが存在しない場合、SgNBは、AMFノードを介してTgNBを決定してもよい。図５に示すように、当該方法は、ステップ501〜504を含む。
【０１８４】
ステップ501:第2のアクセスネットワークデバイスは、ユーザプレーン情報をAMFノードに送信する。対応して、AMFノードは、ユーザプレーン情報を受信する。
【０１８５】
ステップ502:AMFノードは、ユーザプレーン情報をSMFノードに送信する。対応して、SMFノードは、ユーザプレーン情報を受信する。
【０１８６】
ステップ503:SMFノードは、ユーザプレーン情報に対応するセキュリティポリシーを決定する。
【０１８７】
任意選択で、SMFノードは、ユーザプレーン情報とセキュリティポリシーとの間のそれぞれの対応関係を記憶するか、或いは、取得してもよい。ユーザプレーン情報を受信した後に、SMFノードは、ユーザプレーン情報に対応するセキュリティポリシーを求めて、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を検索してもよい。
【０１８８】
ステップ504:SMFノードは、AMFノードを介して、ユーザプレーン情報に対応するセキュリティポリシーを第1のアクセスネットワークデバイスに送信する。対応して、第1のアクセスネットワークデバイスは、ユーザプレーン情報に対応するセキュリティポリシーを受信する。
【０１８９】
第1のアクセスネットワークデバイスがユーザプレーン情報に対応するセキュリティポリシーを受信した後の処理手順については、図２、図３Ａ及び図３Ｂに対応する実施形態の処理手順を参照する点に留意すべきである。明らかに、この出願は、それに限定されない。
【０１９０】
図２〜図５に対応する上記の実施形態に記載の全ての方法の手順は、端末がサービング基地局の間でハンドオーバされるプロセスに適用されてもよい点に留意すべきである。第1のアクセスネットワークデバイスはTgNBでもよく、第2のアクセスネットワークデバイスはSgNBでもよい。図６に示すように、端末がサービング基地局の間でハンドオーバされるシナリオが、図６においてこの出願におけるセキュリティ保護方法を説明するために使用される。当該方法は、ステップ601〜612を具体的に含む。
【０１９１】
ステップ601:端末は、測定レポートをSgNBに送信する。対応して、SgNBは、測定レポートを受信する。
【０１９２】
ステップ602:SgNBは、測定レポートに基づいて、端末がサービング基地局の間でハンドオーバされる必要があると決定したとき、次世代基地局の鍵(key  in  next  generation  Node  Basestation,  KgNB*)を生成する。
【０１９３】
ステップ603:SgNBは、ハンドオーバ要求(HO  request)メッセージをTgNBに送信する。対応して、TgNBは、ハンドオーバ要求メッセージを受信する。
【０１９４】
ハンドオーバ要求メッセージは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を含み、ユーザプレーンセキュリティ関連パラメータを更に含んでもよい。
【０１９５】
ユーザプレーン情報は、PDUセッション識別子、QFI、DRB  ID及びスライスパラメータのうちいずれか1つ以上を含む。任意選択で、ユーザプレーン情報は、現在ハンドオーバされる必要があるセッションのPDUセッション識別子、ハンドオーバされる必要があるセッションのQFI、及びハンドオーバされる必要があるPDUセッションに対応するDRB  IDのうちいずれか1つ以上を含む。代替として、ユーザプレーン情報は、端末の全てのセッションのPDUセッション識別子を含み、ハンドオーバされる必要があるセッションのPDUセッション識別子を示す。
【０１９６】
例えば、ユーザプレーン情報はPDUセッション識別子である。それぞれのPDUセッション識別子は、1つのセキュリティポリシーに対応し、セキュリティポリシーは、セキュリティポリシーに対応するセッションについて、ユーザプレーン暗号化保護及びユーザプレーン完全性保護が活性化される必要があるか否かを示すために使用される。任意選択で、セキュリティポリシーは、ユーザプレーン暗号化アルゴリズム識別子及びユーザプレーン完全性保護アルゴリズム識別子の一方又は双方を更に含んでもよい。
【０１９７】
任意選択で、ハンドオーバ要求メッセージは、端末の全てのPDUセッション識別子に対応するセキュリティポリシーを搬送してもよく、或いは、ハンドオーバされる必要があるPDUセッションのPDUセッション識別子に対応するセキュリティポリシーのみを搬送してもよい。
【０１９８】
例えば、ハンドオーバ要求メッセージで搬送される、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{{PDU  session  ID=1,  10,  DRB  ID=1},  {PDU  session  ID=2,  QFI=1,  01,  DRB  ID=2}}である。これは、ハンドオーバされる必要がある2つのセッション、すなわち、セッション1及びセッション2が存在することを示す。DRB  IDが1であるDRBがセッション1に使用され、セッション1について、ユーザプレーン暗号化保護が活性化されるが、ユーザプレーン完全性保護は活性化されない。DRB  IDが2であるDRBは、セッション2においてQFIが1であるQoSフローに使用され、当該QoSフローについて、ユーザプレーン暗号化保護が活性されないが、ユーザプレーン完全性保護は活性化される。
【０１９９】
他の例では、ハンドオーバ要求メッセージで搬送される、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{PDU  session  ID=1,  NIA=1,  NEA=2}である。これは、セッション1がハンドオーバされる必要があることを示す。ユーザプレーン完全性保護アルゴリズム1が、セッション1に対してユーザプレーン完全性保護を実行するために使用され、ユーザプレーン暗号化アルゴリズム2が、ユーザプレーン暗号化保護を実行するために使用される。
【０２００】
他の例では、端末は、合計で、ユーザプレーン情報とセキュリティポリシーの間の3つの対応関係を有する。ハンドオーバ要求メッセージは、ユーザプレーン情報とセキュリティポリシーとの間の3つの対応関係を搬送し、1つのビットは、ハンドオーバされる必要があるユーザプレーン情報とセキュリティポリシーとの間の対応関係を示すために使用される。ここで、activation  bit=0はセッションがハンドオーバされる必要がないことを示し、activation  bit=1はセッションがハンドオーバされる必要があることを示す。例えば、{{PDU  session  ID=1,  10,  DRB  ID=1,  activation  bit=0},  {PDU  session  ID=2,  11,  DRB  ID=1,  activation  bit=1},  {PDU  session  ID=3,  01,  DRB  ID=2,  activation  bit=1}}は、端末がセッション1、セッション2及びセッション3を有し、セッション2及びセッション3は、ハンドオーバされる必要があるセッションであることを示す。
【０２０１】
端末のハンドオーバ効率のために、ハンドオーバ要求メッセージは、ハンドオーバされる必要があるユーザプレーン情報に対応するセキュリティポリシーのみを搬送してもよい。ハンドオーバ要求メッセージが、ハンドオーバされる必要があるユーザプレーン情報に対応するセキュリティポリシーのみを搬送することが、以下の説明の例として使用される。
【０２０２】
ユーザプレーンセキュリティ関連パラメータは、端末セキュリティ能力と、KgNB*とを含む。任意選択で、ユーザプレーンセキュリティ関連パラメータは、鍵を生成するために使用される鮮度パラメータ(例えば、シーケンス番号又はカウンタ値)及び現在使用されている鍵を識別するために使用される鍵識別子のような情報を更に含んでもよい。
【０２０３】
端末セキュリティ能力は、端末によりサポートされるユーザプレーン保護アルゴリズム識別子を含む。例えば、端末セキュリティ能力は、端末がユーザプレーン暗号化アルゴリズム1、ユーザプレーン暗号化アルゴリズム2、ユーザプレーン完全性保護アルゴリズム3及びユーザプレーン完全性保護アルゴリズム5をサポートすることである。
【０２０４】
ステップ604:TgNBは、第1のユーザプレーン保護アルゴリズムを決定する。
【０２０５】
具体的には、TgNBは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係、端末セキュリティ能力、及びTgNBにより予め構成されたセキュリティ能力優先度リストに基づいて、第1のユーザプレーン保護アルゴリズムを決定してもよい。
【０２０６】
セキュリティ能力優先度リストは、予め構成されたリストである。シグナリングプレーン及びユーザプレーンは、同じセキュリティ能力優先度リストを共有してもよく、或いは、異なるセキュリティ能力優先度リストを使用してもよい。TgNBは、少なくとも2つのセキュリティ能力優先度リストを含む。ユーザプレーン及びシグナリングプレーンがセキュリティ能力優先度リストを共有することが、例として使用される。TgNBは、暗号化アルゴリズム優先度リストと、完全性保護アルゴリズム優先度リストとを含む。例えば、暗号化アルゴリズム優先度リストは表１であり、完全性保護アルゴリズム優先度リストは表２であり、表におけるアルゴリズムは優先度の降順に配置されている。
【表１】
2020536424.tif 000003
【表２】
2020536424.tif 000004
【０２０７】
セキュリティポリシーが、活性化されるセキュリティ保護タイプを示すために使用される場合、第1のユーザプレーン保護アルゴリズムを決定するための方法は、以下の通りである。
【０２０８】
例えば、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{{PDU  session  ID=1,  10,  DRB  ID=1},  {PDU  session  ID=2,  QFI=1,  01,  DRB  ID=2}}である。端末セキュリティ能力は、端末がユーザプレーン暗号化アルゴリズム1、ユーザプレーン暗号化アルゴリズム2、ユーザプレーン完全性保護アルゴリズム3及びユーザプレーン完全性保護アルゴリズム5をサポートすることである。
【０２０９】
まず、TgNBは、セッション1についてユーザプレーン暗号化保護が活性化される必要があり、ユーザプレーン完全性保護が活性化されないと決定し、次いで、端末セキュリティ能力に基づいて、端末によりサポートされるユーザプレーン暗号化アルゴリズムがユーザプレーン暗号化アルゴリズム1及びユーザプレーン暗号化アルゴリズム2であると決定し、表１に従って、ユーザプレーン暗号化アルゴリズム1の優先度がユーザプレーン暗号化アルゴリズム2の優先度よりも高いと更に決定する。言い換えると、ユーザプレーン暗号化アルゴリズム1は、端末及びTgNBの双方によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムである。具体的には、セッション1についてTgNBにより決定される第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム1である。
【０２１０】
TgNBは、セッション2について、ユーザプレーン暗号化保護が活性化されないが、ユーザプレーン完全性保護が活性化されると決定し、次いで、端末セキュリティ能力に基づいて、端末によりサポートされるユーザプレーン完全性保護アルゴリズムがユーザプレーン完全性保護アルゴリズム3及びユーザプレーン完全性保護アルゴリズム5であると決定し、表２に従って、ユーザプレーン完全性保護アルゴリズム3が、端末及びTgNBの双方によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムであると更に決定する。具体的には、セッション2についてTgNBにより決定される第1のユーザプレーン保護アルゴリズムは、ユーザプレーン完全性保護アルゴリズム3である。
【０２１１】
セキュリティポリシーがユーザプレーン保護アルゴリズム識別子を含む場合、第1のユーザプレーン保護アルゴリズムを決定するための方法は以下の通りである。
【０２１２】
例えば、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{PDU  session  ID=1,  NIA=1,  NEA=2}である。
【０２１３】
まず、TgNBは、セキュリティポリシーに従って、ユーザプレーン暗号化保護及びユーザプレーン完全性保護の双方が、セッション1について活性化される必要があると決定する。セキュリティポリシーにより示される活性化されるユーザプレーン暗号化アルゴリズムはユーザプレーン暗号化アルゴリズム2であり、セキュリティポリシーにより示される活性化されるユーザプレーン完全性保護アルゴリズムはユーザプレーン完全性保護アルゴリズム1である。次いで、端末セキュリティ能力に基づいて、端末によりサポートされるユーザプレーン暗号化アルゴリズムがユーザプレーン暗号化アルゴリズム1及びユーザプレーン暗号化アルゴリズム2であり、端末によりサポートされるユーザプレーン完全性保護アルゴリズムがユーザプレーン完全性保護アルゴリズム3及びユーザプレーン完全性保護アルゴリズム5であると決定される。端末及びTgNBの双方が、セキュリティポリシーにより示されるユーザプレーン暗号化アルゴリズム2をサポートするが、端末が、セキュリティポリシーにより示されるユーザプレーン完全性保護アルゴリズム1をサポートしないことが習得され得る。したがって、TgNBは、端末セキュリティ能力及び表２に基づいて、ユーザプレーン完全性保護アルゴリズムを再選択する必要がある。表２に従って、ユーザプレーン完全性保護アルゴリズム3が、端末及びTgNBの双方によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムであると決定されてもよい。言い換えると、セッション1についてTgNBにより決定される第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム2及びユーザプレーン完全性保護アルゴリズム3である。
【０２１４】
任意選択で、セキュリティポリシーがユーザプレーン暗号化保護もユーザプレーン完全性保護も活性化しないことを示す場合、TgNBは、デフォルトのセキュリティポリシーに従って、ユーザプレーン暗号化保護又はユーザプレーン完全性保護を活性化すること、又はユーザプレーン暗号化保護及びユーザプレーン完全性保護の双方を活性化することを任意選択で決定し、対応するユーザプレーン保護アルゴリズムを決定してもよい。
【０２１５】
任意選択で、TgNBは、受信したセキュリティポリシーを直接無視し、デフォルトのセキュリティポリシーに従ってユーザプレーン保護アルゴリズムを決定してもよい。
【０２１６】
可能な実現方式では、TgNBは、一対のアルゴリズムを決定してもよく、一対のアルゴリズムは、ユーザプレーンセキュリティアルゴリズム及びシグナリングプレーンセキュリティアルゴリズムの双方として使用される。具体的には、ステップ604において、TgNBにより決定される第1のユーザプレーン保護アルゴリズムはまた、シグナリングプレーン保護アルゴリズムとして使用されてもよく、或いは、TgNBにより決定されるシグナリングプレーン保護アルゴリズムはまた、第1のユーザプレーン保護アルゴリズムとして使用されてもよい。
【０２１７】
ステップ605:TgNBは、第1のユーザプレーン保護アルゴリズムに従って、ユーザプレーン保護鍵を生成する。
【０２１８】
TgNBは、ステップ604において決定されたそれぞれのユーザプレーン保護アルゴリズムのためのユーザプレーン保護鍵を生成してもよい。例えば、セッション1についてTgNBにより決定される第1のユーザプレーン保護アルゴリズムはユーザプレーン暗号化アルゴリズム1であり、セッション2について決定される第1のユーザプレーン保護アルゴリズムはユーザプレーン完全性保護アルゴリズム3である。この場合、TgNBは、セッション1についてユーザプレーン暗号化アルゴリズム1に対応するユーザプレーン暗号化鍵を生成し、セッション2についてユーザプレーン完全性保護アルゴリズム3に対応するユーザプレーン完全性保護鍵を生成する。
【０２１９】
TgNBは、鍵導出関数(key  derive  function,  KDF)、アルゴリズムID及びKgNB*に従って鍵を生成してもよい。鍵生成方法は、以下の通りである。ここで、鍵=KDF(アルゴリズムID,  KgNB*)、又は鍵=KDF(アルゴリズムID,  鍵1,  他のパラメータ)、又は鍵=擬似ランダム関数(アルゴリズムID,  他のパラメータ)である。他のパラメータは、1つのパラメータ又は複数のパラメータでもよい。例えば、他のパラメータは、鍵パラメータでもよく、或いは、他のパラメータは、鍵パラメータ、分離パラメータ(例えば、セッションID、DRB  ID、QFI)及び鮮度パラメータのうち1つ以上である。鍵生成方法は、端末のハンドオーバシナリオ及び基地局が鍵を生成するいずれかのシナリオの双方に適用可能である。
【０２２０】
任意選択で、ステップ604においてTgNBがシグナリングプレーン保護アルゴリズムを決定した場合、TgNBは、シグナリングプレーン保護アルゴリズムに従ってシグナリングプレーン保護鍵を生成してもよい。
【０２２１】
ステップ606:TgNBは、ハンドオーバ要求承認(HO  request  Ack)メッセージをSgNBに送信し、対応して、SgNBは、ハンドオーバ要求承認メッセージを受信する。
【０２２２】
ハンドオーバ要求承認メッセージは、ハンドオーバコマンド(HO  command)メッセージを含む。任意選択で、ハンドオーバコマンドメッセージは、RRC接続再構成(RRC  connection  reconfiguration)メッセージを含む。RRC接続再構成メッセージは、ターゲット基地局の基本パラメータ、例えば、ターゲット基地局の物理セルID、ターゲット基地局の周波数及びセッションリソースのような情報を端末に通知するために使用される。この出願のこの実施形態では、RRC接続再構成メッセージは、TgNBにより決定された第1のユーザプレーン保護アルゴリズムを転送するために使用される。任意選択で、RRC接続再構成メッセージは、シグナリングプレーン保護アルゴリズムを転送するために更に使用される。さらに、ステップ604において決定された第1のユーザプレーン保護アルゴリズムがユーザプレーン完全性保護アルゴリズムを含む場合、ステップ605において生成されたユーザプレーン完全性保護鍵は、RRC接続再構成メッセージに対して完全性保護を実行するために使用される必要がある。ステップ604においてシグナリングプレーン完全性保護アルゴリズムもまた決定される場合、ステップ605において生成されたシグナリングプレーン完全性鍵は、ユーザプレーン完全性保護アルゴリズムが決定されるか否かにかかわらず、RRC接続再構成メッセージに対して完全性保護を実行するために使用される。
【０２２３】
任意選択で、1つのRRC接続再構成メッセージは、TgNBにより受信される、それぞれの組み合わせのユーザプレーン情報とセキュリティポリシーとの間の対応関係を含んでもよい。例えば、TgNBにより受信される、ユーザプレーン情報とセキュリティポリシーとの間の対応関係は、{{PDU  session  ID=1,  10,  DRB  ID=1},  {PDU  session  ID=2,  QFI=1,  01,  DRB  ID=2}}である。この場合、TgNBのRRC接続再構成メッセージは、セッション1のユーザプレーン情報とセキュリティポリシーとの間の対応関係と、セッション2のユーザプレーン情報とセキュリティポリシーとの間の対応関係とを含む。
【０２２４】
セッション1のRRC接続再構成メッセージは、セッション1についてTgNBにより決定された第1のユーザプレーン保護アルゴリズムと、セッション1に割り当てられたセッションリソースとを含む。セッションリソースはDRB  IDでもよい。ユーザプレーン情報とセキュリティポリシーとの間の対応関係においてDRB  IDが1であるDRBが使用されない場合、DRBは、依然としてセッション1に使用されてもよい。DRBが使用される場合、TgNBは、セッション1についてDRBを再作成し、作成されたDRBのDRB識別子を端末に送信する。任意選択で、ユーザプレーン情報とセキュリティポリシーとの間の対応関係がDRB  IDを搬送しない場合、TgNBは、セッションについてDRBを再作成する。ステップ604において決定された第1のユーザプレーン保護アルゴリズムを参照して、セッション1のRRC接続再構成メッセージは、ユーザプレーン暗号化アルゴリズム1と、DRB  IDと、KgNB*を生成するために使用される情報とを含む。同様に、セッション2のRRC接続再構成メッセージは、ユーザプレーン完全性保護アルゴリズム3と、DRB  IDと、KgNB*を生成するために使用される情報とを含む。
【０２２５】
セッション1に対応するセキュリティポリシーは、ユーザプレーン完全性保護が活性化されないことを示し、したがって、完全性保護は、セッション1のRRC接続再構成メッセージに対して実行されない。セッション2に対応するセキュリティポリシーは、ユーザプレーン暗号化保護を活性化することを示し、したがって、セッション2のRRC接続再構成メッセージは、ユーザプレーン完全性保護アルゴリズム3に対応するユーザプレーン完全性保護鍵を使用することにより暗号化されてもよい。
【０２２６】
任意選択で、TgNBは、乱数nonce-TgNBを生成し、ユーザプレーン暗号化アルゴリズム1を使用することにより、nonce-TgNBを暗号化してもよい。セッション1のRRC接続再構成メッセージは、暗号化されたnonce-TgNB及び暗号化されていないnonce-TgNBを更に含む。
【０２２７】
任意選択で、ステップ604においてTgNBがシグナリングプレーン保護アルゴリズムを決定した場合、TgNBは、シグナリングプレーン完全性保護鍵を使用することにより、RRC接続再構成メッセージに対して完全性保護を実行してもよく、或いは、シグナリングプレーン暗号化鍵を使用することにより、nonce-TgNBを暗号化してもよい。
【０２２８】
任意選択で、RRC接続再構成メッセージは、シグナリングプレーン保護アルゴリズムが第1のユーザプレーン保護アルゴリズムと同じであることを示すか、或いは、シグナリングプレーン保護アルゴリズム識別子を示すための指示情報を更に含む。
【０２２９】
ステップ607:SgNBは、ハンドオーバコマンドメッセージを端末に送信する。対応して、端末は、ハンドオーバコマンドメッセージを受信する。
【０２３０】
SgNBは、ハンドオーバ要求承認メッセージを受信した後に、ハンドオーバ要求承認メッセージ内のハンドオーバコマンドメッセージを端末に転送することが理解され得る。
【０２３１】
任意選択で、ハンドオーバ要求承認メッセージを受信した後に、SgNBは、シーケンス番号状態情報及び端末に送信されるべきデータをTgNBに送信してもよく、それにより、端末との通信リンクを確立した後に、TgNBは、端末に送信されるべきデータを転送する。
【０２３２】
ステップ608:端末は、ユーザプレーン保護鍵を生成する。
【０２３３】
端末は、ハンドオーバコマンドメッセージを受信した後に、ハンドオーバコマンドメッセージからRRC接続再構成メッセージを取得する。RRC接続再構成メッセージがユーザプレーン完全性保護アルゴリズムを含む場合、端末は、ユーザプレーン完全性保護アルゴリズムに従ってユーザプレーン完全性保護鍵を生成し、ユーザプレーン完全性保護鍵を使用することにより、RRC接続再構成メッセージに対して完全性検証を実行する。検証が失敗した場合、端末は、TgNBとの通信接続を切断するか、或いは、ステップ609を実行するか、或いは、検証が成功した場合、端末は、RRC接続再構成メッセージ内のユーザプレーン保護アルゴリズムに対応するユーザプレーン保護鍵を生成する。
【０２３４】
RRC接続再構成メッセージが暗号化されたnonce-TgNBとユーザプレーン暗号化アルゴリズムとを含む場合、端末は、ユーザプレーン暗号化アルゴリズムに従ってユーザプレーン暗号化鍵を生成し、ユーザプレーン暗号化アルゴリズムを使用することにより、暗号化されたnonce-TgNBを解読し、解読を通じて取得されたnonce-TgNBを、ハンドオーバコマンドメッセージ内のnonce-TgNBと比較する。解読を通じて取得されたnonce-TgNBがハンドオーバコマンドメッセージ内のnonce-TgNBと同じである場合、端末は、RRC接続再構成メッセージ内のユーザプレーン保護アルゴリズムに対応するユーザプレーン保護鍵を生成するか、或いは、解読を通じて取得されたnonce-TgNBがハンドオーバコマンドメッセージ内のnonce-TgNBと異なる場合、端末は、TgNBとの通信接続を切断するか、或いは、ステップ609を実行する。
【０２３５】
任意選択で、RRC接続再構成メッセージがシグナリングプレーン保護アルゴリズムを含む場合、端末は、シグナリングプレーン保護アルゴリズムに従ってシグナリングプレーン保護鍵を生成する。
【０２３６】
ステップ609:端末は、TgNBにアクセスする。
【０２３７】
端末がTgNBにアクセスするプロセスは、端末が同期要求をTgNBに送信し、TgNBが時間ウィンドウを端末に割り当てることを含む。具体的な実現方式については、既存の手順を参照する。詳細はここでは説明しない。
【０２３８】
ステップ608において端末により実行された検証が失敗した場合、ステップ609は実行されない点に留意すべきである。
【０２３９】
ステップ610:端末は、ハンドオーバ確認(HO  confirm)メッセージをTgNBに送信する。
【０２４０】
ハンドオーバ確認メッセージは、RRC接続再構成完了(RRC  connection  reconfiguration  complete)メッセージを含み、当該メッセージは、端末が正常にハンドオーバされたことをTgNBに通知するために使用される。
【０２４１】
任意選択で、ステップ608においてRRC接続再構成メッセージに対して端末により実行された検証が失敗した場合、RRC接続再構成完了メッセージは、端末がハンドオーバされるのに失敗したことをTgNBに通知し、ハンドオーバ失敗理由をTgNBに通知するために使用される。
【０２４２】
任意選択で、ステップ608において端末がユーザプレーン暗号化鍵を生成した場合、端末は、ユーザプレーン暗号化鍵を使用することにより、RRC接続再構成完了メッセージを暗号化し、端末がユーザプレーン完全性保護鍵を生成した場合、端末は、ユーザプレーン完全性保護鍵を使用することにより、RRC接続再構成完了メッセージに対して完全性保護を実行するか、或いは、端末がユーザプレーン暗号化鍵及びユーザプレーン完全性保護鍵の双方を生成した場合、端末は、RRC接続再構成完了メッセージに対して保護を実行してもよく、或いは、ユーザプレーン暗号化鍵を使用することにより、RRC接続再構成完了メッセージを暗号化するだけでなく、ユーザプレーン完全性保護鍵を使用することにより、RRC接続再構成完了メッセージに対して完全性保護を実行してもよい点に留意すべきである。
【０２４３】
端末がシグナリングプレーン完全性保護鍵を生成した場合、端末は、シグナリングプレーン完全性保護鍵を使用することにより、RRC接続再構成完了メッセージに対して完全性保護を実行するか、或いは、端末がシグナリングプレーン暗号化鍵を生成した場合、端末は、シグナリングプレーン暗号化鍵を使用することにより、RRC接続再構成完了メッセージを暗号化する。端末がシグナリングプレーン暗号化鍵及びシグナリングプレーン完全性保護鍵の双方を生成した場合、端末は、RRC接続再構成完了メッセージに対して保護を実行してもよく、或いは、シグナリングプレーン完全性保護鍵を使用することにより、RRC接続再構成完了メッセージに対して完全性保護を実行するだけでなく、シグナリングプレーン暗号化鍵を使用することにより、RRC接続再構成完了メッセージを暗号化してもよい。
【０２４４】
任意選択で、端末は、乱数nonce-UEを更に生成し、ユーザプレーン暗号化鍵を使用することにより、nonce-UE||nonce-TgNBを暗号化し、暗号化されたnonce-UE||nonce-TgNB及び暗号化されていないnonce-UEをRRC接続再構成完了メッセージに追加し、RRC接続再構成完了メッセージをTgNBに送信してもよい。
【０２４５】
任意選択で、端末がユーザプレーン保護鍵を生成した場合、端末は、ユーザプレーン保護鍵を使用することにより、RRC接続再構成完了メッセージを保護してもよい。
【０２４６】
ステップ611:TgNBは、ハンドオーバ確認メッセージを受信する。
【０２４７】
TgNBは、ハンドオーバ確認メッセージを受信した後に、ハンドオーバ確認メッセージ内のRRC接続再構成完了メッセージが暗号文である場合、TgNBは、ユーザプレーン暗号化鍵を使用することにより、RRC接続再構成完了メッセージを解読するか、或いは、RRC接続再構成完了メッセージがユーザプレーン完全性保護アルゴリズムを使用することにより保護されたメッセージである場合、TgNBは、ユーザプレーン完全性保護鍵を使用することにより、RRC接続再構成完了メッセージに対して完全性検証を実行することが理解され得る。
【０２４８】
任意選択で、RRC接続再構成完了メッセージが暗号化されたnonce-UE||nonce-TgNBを搬送する場合、TgNBは、暗号化されたnonce-UE||nonce-TgNBからnonce-UEを取得するために、ユーザプレーン暗号化鍵を使用することにより、暗号化されたnonce-UE||nonce-TgNBを解読し、nonce-UEをRRC接続再構成完了メッセージで搬送される平文のnonce-UEと比較する。nonce-UEと平文のnonce-UEとが同じである場合、検証は成功する。
【０２４９】
任意選択で、TgNBがシグナリングプレーン保護アルゴリズムを端末に通知している場合、TgNBは、シグナリングプレーン保護鍵を使用することにより、RRC接続再構成完了メッセージに対して解読又は完全性検証を実行する。
【０２５０】
ステップ612は、RRC接続再構成完了メッセージに対してTgNBにより実行された検証が成功し、RRC接続再構成完了メッセージが、端末が正常にハンドオーバされたことをTgNBに通知するために使用される場合に実行される。
【０２５１】
RRC接続再構成完了メッセージに対してTgNBにより実行された検証が失敗した場合、又は、RRC接続再構成完了メッセージに対してTgNBにより実行された検証が成功したが、RRC接続再構成完了メッセージが、端末がハンドオーバされるのに失敗したことをTgNBに通知するために使用される場合、TgNBは、端末との通信接続を切断し、端末に転送されるべき記憶されたダウンリンクデータを削除する。
【０２５２】
ステップ612:TgNBは、ダウンリンクデータを端末に送信する。
【０２５３】
任意選択で、ステップ604においてTgNBが第1のユーザプレーン保護アルゴリズムをシグナリングプレーン保護アルゴリズムとして決定しない場合、又は、TgNBがシグナリングプレーン保護アルゴリズムを決定しない場合、TgNBは、TgNBがシグナリングプレーンメッセージを送信する必要があるとき、シグナリングプレーン保護アルゴリズムを決定する必要がある。図７Ａ及び図７Ｂに示すように、当該方法は、ステップ701〜717を含む。
【０２５４】
ステップ701〜712については、ステップ601〜612における関連する説明を参照する。ステップ701〜712において、TgNBは、第1のユーザプレーン保護アルゴリズムをシグナリングプレーン保護アルゴリズムとして決定せず、シグナリングプレーン保護鍵も生成しない点に留意すべきである。
【０２５５】
713.TgNBは、シグナリングプレーン保護アルゴリズムを決定する。
【０２５６】
シグナリングプレーン保護アルゴリズムは、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムの一方又は双方を含む。
【０２５７】
ステップ713のトリガ時点は、ステップ305において記載されており、ここでは再び説明しない。
【０２５８】
714.TgNBは、シグナリングプレーン保護アルゴリズムに従ってシグナリングプレーン保護鍵を生成する。
【０２５９】
シグナリングプレーン保護鍵は、シグナリングプレーン暗号化鍵及びシグナリングプレーン完全性保護鍵の一方又は双方を含む。
【０２６０】
シグナリングプレーンメッセージを送信するとき、TgNBは、シグナリングプレーン保護鍵を使用することにより、シグナリングプレーンメッセージを保護し、シグナリングプレーン保護鍵を使用することにより保護されたシグナリングプレーンメッセージを更に送信してもよいことが理解され得る。
【０２６１】
715.TgNBは、アクセス層セキュリティモードコマンド(access  stratum  security  mode  command,  AS  SMC)メッセージを端末に送信する。対応して、端末は、AS  SMCメッセージを受信する。
【０２６２】
AS  SMCメッセージは、ステップ713においてTgNBにより決定されたシグナリングプレーン保護アルゴリズムの識別子を搬送する。
【０２６３】
ステップ714においてTgNBがシグナリングプレーン完全性保護鍵を生成した場合、TgNBにより端末に送信されるAS  SMCメッセージは、シグナリングプレーン完全性を使用することにより保護されたメッセージである。
【０２６４】
716.端末は、AS  SMCメッセージで搬送されるシグナリングプレーン保護アルゴリズム識別子に基づいてシグナリングプレーン保護鍵を生成する。
【０２６５】
端末により生成されるシグナリングプレーン保護鍵は、シグナリングプレーン暗号化鍵及びシグナリングプレーン完全性保護鍵の一方又は双方を含む。AS  SMCメッセージがシグナリングプレーン暗号化アルゴリズム識別子のみを搬送する場合、端末は、シグナリングプレーン暗号化アルゴリズム識別子に基づいてシグナリングプレーン暗号化鍵を生成するか、或いは、AS  SMCメッセージがシグナリングプレーン完全性保護アルゴリズム識別子のみを搬送する場合、端末は、シグナリングプレーン完全性保護アルゴリズム識別子に基づいてシグナリングプレーン完全性保護鍵を生成するか、或いは、AS  SMCメッセージがシグナリングプレーン暗号化アルゴリズム識別子及びシグナリングプレーン完全性保護アルゴリズム識別子を搬送する場合、端末は、シグナリングプレーン暗号化アルゴリズム識別子に基づいてシグナリングプレーン暗号化鍵を生成し、シグナリングプレーン完全性保護アルゴリズム識別子に基づいてシグナリングプレーン完全性保護鍵を生成する。
【０２６６】
任意選択で、AS  SMCメッセージがシグナリングプレーン完全性保護アルゴリズム識別子を搬送する場合、端末は、生成されたシグナリングプレーン完全性保護鍵に基づいてAS  SMCメッセージに対して完全性検証を実行してもよい。
【０２６７】
717.端末は、セキュリティモード完了(security  mode  complete,  SMP)メッセージをTgNBに送信する。
【０２６８】
任意選択で、SMPメッセージは、端末がシグナリングプレーン完全性保護鍵を使用することにより完全性保護を実行するメッセージである。
【０２６９】
任意選択で、ステップ713〜717は、ステップ710の前に実行されてもよい。ステップ713〜717がステップ710の前に実行される場合、端末は、ステップ710においてシグナリングプレーン完全性保護鍵を使用することにより保護されたハンドオーバ確認メッセージをTgNBに送信する。
【０２７０】
この実施形態によれば、ユーザプレーン保護活性化プロセスは、シグナリングプレーン保護活性化プロセスから切り離されてもよい。TgNBのネットワークオーバヘッドを低減して端末のハンドオーバ効率を改善するために、TgNBがシグナリングプレーンメッセージを送信する必要がないとき、TgNBは、シグナリングプレーン保護を活性化しなくてもよい。端末が正常にハンドオーバされた後にTgNBがシグナリングプレーンメッセージを送信する必要がある場合、シグナリングプレーンセキュリティを確保するために、TgNBは、シグナリングプレーン保護アルゴリズムを決定し、シグナリングプレーン保護鍵を生成し、シグナリングプレーン保護鍵を使用することにより、シグナリングプレーンメッセージに対してセキュリティ保護を実行してもよい。
【０２７１】
任意選択で、この出願の実施形態の可能な実現方式では、ステップ611において、端末のハンドオーバプロセスは、TgNBがハンドオーバ確認メッセージを受信した後に完了する。さらに、現在TgNBで使用されているセキュリティポリシーが検証されてもよい。図８に示すように、当該方法は、図４に対応する実施形態を具体的に記載し、当該方法は、ステップ801〜810を含む。
【０２７２】
ステップ801:TgNBは、N2パス切り替え(N2  path  switch)メッセージをAMFノードに送信する。対応して、AMFノードは、N2パス切り替えメッセージを受信する。
【０２７３】
N2パス切り替えメッセージは、SgNBからのユーザプレーン情報とセキュリティポリシーとの間の対応関係を含む。
【０２７４】
任意選択で、TgNBが、ユーザプレーン情報とセキュリティポリシーとの間の対応関係の代わりにデフォルトのセキュリティポリシーを使用することにより、第1のユーザプレーン保護アルゴリズムを決定する場合、N2パス切り替えメッセージは、デフォルトのセキュリティポリシーと、ユーザプレーン情報とを含む。
【０２７５】
任意選択で、N2パス切り替えメッセージは、セッション管理(session  management,  SM)コンテナを含む。SMコンテナは、SgNBからのユーザプレーン情報とセキュリティポリシーとの間の対応関係を含むか、或いは、SMコンテナは、デフォルトのセキュリティポリシーと、ユーザプレーン情報とを含む。SMFノードのみがSMコンテナ内の情報を読み取ってもよい。
【０２７６】
ステップ802:AMFノードは、N2パス切り替えメッセージ内のセキュリティポリシーを検証する。
【０２７７】
N2パス切り替えメッセージがSMコンテナを搬送しないとき、又は、SMコンテナ外のユーザプレーン情報及びセキュリティポリシーが存在するとき、AMFノードがユーザプレーン情報とセキュリティポリシーとの間のそれぞれの対応関係を記憶するとAMFノードが決定した場合にのみ、ステップ802が実行されるか、或いは、AMFノードがユーザプレーン情報とセキュリティポリシーとの間のそれぞれの対応関係を記憶しないとAMFノードが決定した場合、ステップ803が直接実行される。
【０２７８】
例えば、AMFノードにより記憶される、ユーザプレーン情報とセキュリティポリシーとの間の対応関係が表３に示されている。
【表３】
2020536424.tif 000005
【０２７９】
NIAはユーザプレーン完全性保護アルゴリズムであり、NEAはユーザプレーン暗号化アルゴリズムである。例えば、NIA1は、ユーザプレーン完全性保護アルゴリズムのアルゴリズム識別子が1であることを表し、"1111"は、NEA位置を置き換え、ユーザプレーン暗号化保護が活性化されないことを示すために使用される。
【０２８０】
N2パス切り替えメッセージ内のユーザプレーン情報とセキュリティポリシーとの間の対応関係が{PDU  session  ID=1,  NIA=1,  NEA=2}である場合、AMFノードは、PDUセッションIDが1であるセキュリティポリシーを求めて表３を検索する。表３を参照すると、見つかったセキュリティポリシーは"NIA1,  NEA2"であり、{PDU  session  ID=1,  NIA=1,  NEA=2}内のセキュリティポリシーと同じである。この場合、検証は成功し、これは、TgNBがユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて決定された第1のユーザプレーン保護アルゴリズムを使用し続けることができることを示す。ステップ806は、検証結果をTgNBに通知するために実行されてもよい。
【０２８１】
N2パス切り替えメッセージ内のユーザプレーン情報とセキュリティポリシーとの間の対応関係が{PDU  session  ID=2,  NIA=2,  NEA=2}である場合、AMFノードは、PDUセッションIDが1であるセキュリティポリシーを求めて表３を検索する。表３を参照すると、見つかったセキュリティポリシーは"NIA3,  "1111""であり、{PDU  session  ID=2,  NIA=2,  NEA=2}内のセキュリティポリシーと異なる。この場合、検証は失敗し、これは、TgNBがユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて決定された第1のユーザプレーン保護アルゴリズムを使用し続けることができず、現在使用されているセキュリティポリシーを、表３を検索することを通じて取得されたセキュリティポリシー"NIA3,  "1111""に更新する必要があることを示す。ステップ806は、検証結果をTgNBに通知するために更に実行されてもよい。
【０２８２】
例えば、AMFノードにより記憶される、ユーザプレーン情報とセキュリティポリシーとの間の対応関係はまた、表４に示されてもよい。
【表４】
2020536424.tif 000006
【０２８３】
"01"は、ユーザプレーン暗号化保護を活性化しないが、ユーザプレーン完全性保護を活性化することを示し、"10"は、ユーザプレーン暗号化保護を活性化するが、ユーザプレーン完全性保護を活性化しないことを示し、"11"は、ユーザプレーン暗号化保護を活性化し、ユーザプレーン完全性保護を活性化することを示す。
【０２８４】
N2パス切り替えメッセージ内のユーザプレーン情報とセキュリティポリシーとの間の対応関係が{PDU  session  ID=1,  11}であり、表３において"PDU  session  ID=1"に対応するセキュリティポリシーが"01"である場合、検証は失敗し、これは、TgNBがユーザプレーン情報とセキュリティポリシーとの間の対応関係に基づいて決定された第1のユーザプレーン保護アルゴリズムを使用し続けることができないことを示す。AMFノードは、表３において"PDU  session  ID=1"に対応するセキュリティポリシー"01"をTgNBに通知するために、ステップ806を実行する必要がある。
【０２８５】
ステップ803:AMFノードは、セッション管理情報要求(SM  information  request)メッセージをSMFノードに送信する。対応して、SMFノードは、AMFノードからSM情報要求メッセージを受信する。
【０２８６】
SM情報要求メッセージは、端末の識別情報と、SgNBからのユーザプレーン情報とセキュリティポリシーとの間の対応関係を含むか、或いは、端末の識別情報と、ユーザプレーン情報と、デフォルトのセキュリティポリシーとを含む。
【０２８７】
任意選択で、AMFノードは、N2パス切り替えメッセージ内のSMコンテナをSM情報要求メッセージに追加し、SM情報要求メッセージをSMFノードに送信してもよい。
【０２８８】
ステップ804:SMFノードは、SM情報要求メッセージ内のセキュリティポリシーを検証する。
【０２８９】
SM情報要求メッセージがSMコンテナを搬送する場合、SMFノードは、SMコンテナから、SgNBからのユーザプレーン情報とセキュリティポリシーとの間の対応関係、又はユーザプレーン情報及びデフォルトのセキュリティポリシーを読み取る。
【０２９０】
任意選択で、表３又は表４に示すように、SMFノードは、ユーザプレーン情報とセキュリティポリシーとの間のそれぞれの対応関係を記憶する。SMFノードによりセキュリティポリシーを検証するための方法は、ステップ802においてAMFノードによりセキュリティポリシーを検証するための方法と基本的に同じである。相違点は、SMFノードがセキュリティポリシーの検証を完了した後に、検証結果をAMFノードに送信する点である。
【０２９１】
ステップ805:SMFノードは、SM情報応答(SM  information  response)メッセージをAMFノードに送信する。
【０２９２】
SM情報応答メッセージは、ステップ804においてセキュリティポリシーに対してSMFノードにより実行された検証の結果を搬送し、セキュリティポリシー及び第2の指示情報の一方又は双方を具体的に搬送する。
【０２９３】
ステップ804において検証が成功した場合、SM情報応答メッセージ内のセキュリティポリシーは、SM情報要求メッセージ内のセキュリティポリシーであるか、或いは、第2の指示情報は、現在使用されているセキュリティポリシーが使用され続けることができることを示すために使用される。例えば、SM情報応答メッセージ内のセキュリティポリシーは、{PDU  session  ID=1,  NIA=1,  NEA=2}内の"NIA=1,  NEA=2"でもよい。
【０２９４】
ステップ804において検証が失敗した場合、SM情報応答メッセージ内のセキュリティポリシーは、ユーザプレーン情報に基づいてSMFノードにより再選択されたセキュリティポリシーであるか、或いは、第2の指示情報は、現在使用されているセキュリティポリシーが使用され続けることができないことを示すために使用される。例えば、SM情報応答メッセージ内のセキュリティポリシーは、"NIA3,  "1111""でもよい。
【０２９５】
任意選択で、SM情報応答メッセージは、セキュリティポリシーに対応するユーザプレーン情報を更に搬送してもよい。
【０２９６】
ステップ806:AMFノードは、パス切り替え承認(path  switch  ack)メッセージをTgNBに送信する。対応して、TgNBは、パス切り替え承認メッセージを受信する。
【０２９７】
ステップ802が実行された場合、パス切り替え承認メッセージは、ステップ802においてセキュリティポリシーに対してAMFノードにより実行された検証の結果を搬送し、セキュリティポリシー及び第2の指示情報の一方又は双方を具体的に搬送する。
【０２９８】
ステップ802において検証が成功した場合、パス切り替え承認メッセージ内のセキュリティポリシーは、SM情報要求メッセージ内のセキュリティポリシーであるか、或いは、第2の指示情報は、現在使用されているセキュリティポリシーが使用され続けることができることを示すために使用される。例えば、パス切り替え承認メッセージ内のセキュリティポリシーは、{PDU  session  ID=1,  NIA=1,  NEA=2}内の"NIA=1,  NEA=2"でもよい。
【０２９９】
ステップ802において検証が失敗した場合、パス切り替え承認メッセージ内のセキュリティポリシーは、ユーザプレーン情報に基づいてSMFノードにより再選択されたセキュリティポリシーであるか、或いは、第2の指示情報は、現在使用されているセキュリティポリシーが使用され続けることができないことを示すために使用される。例えば、パス切り替え承認メッセージ内のセキュリティポリシーは、"NIA3,  "1111""でもよい。
【０３００】
任意選択で、パス切り替え承認メッセージは、セキュリティポリシーに対応するユーザプレーン情報を更に搬送してもよい。
【０３０１】
ステップ802が実行されない場合、パス切り替え承認メッセージは、SMFノードにより送信されたSM情報応答メッセージ内の内容を含む。
【０３０２】
ステップ807:TgNBは、受信したセキュリティポリシー及び受信した第2の指示情報の一方又は双方に従って、ユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を更新する。
【０３０３】
パス切り替え承認メッセージ内のセキュリティポリシーを受信した後に、TgNBは、受信したセキュリティポリシーがSgNBからのセキュリティポリシーと同じであるか否かを決定する。受信したセキュリティポリシーがSgNBからのセキュリティポリシーと同じである場合、TgNBは、ユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を更新する必要はないか、或いは、受信したセキュリティポリシーがSgNBからのセキュリティポリシーと異なる場合、TgNBは、パス切り替え承認メッセージ内のセキュリティポリシーに従ってユーザプレーン保護アルゴリズムを再選択し、再選択されたユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成する。
【０３０４】
パス切り替え承認メッセージがセキュリティポリシーを搬送せず、第2の指示情報を搬送し、第2の指示情報が、現在使用されているセキュリティポリシーが使用され続けることができることを示す場合、TgNBは、ユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を更新する必要はないか、或いは、第2の指示情報が、現在使用されているセキュリティポリシーが使用できないことを示す場合、TgNBは、デフォルトのセキュリティポリシーを使用するか、或いは、TgNBは、接続を切断するか、或いは、TgNBは、ダウンリンクデータを送信した後に接続を切断する。
【０３０５】
任意選択で、ユーザプレーン保護アルゴリズム及びユーザプレーン保護鍵を更新した後に、TgNBは、シグナリングプレーンメッセージを端末に送信する必要がある。この場合、シグナリングプレーン保護が活性化されていない場合、シグナリングプレーン保護を活性化するために、ステップ713〜717が実行される。
【０３０６】
ステップ808:TgNBは、RRC接続再構成メッセージを端末に送信する。対応して、端末は、TgNBからRRC接続再構成メッセージを受信する。
【０３０７】
RRC接続再構成メッセージは、シグナリングプレーン保護鍵を使用することにより保護されたメッセージであり、RRC接続再構成メッセージは、TgNBの更新されたユーザプレーン保護アルゴリズム又は第3の指示情報を搬送する。第3の指示情報は、端末が、端末により現在使用されているユーザプレーン保護アルゴリズムを使用し続けることができるか否かを示すために使用される。
【０３０８】
ステップ809:端末は、RRC接続再構成メッセージ内のユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成する。
【０３０９】
端末は、シグナリングプレーン保護鍵に基づいてRRC接続再構成メッセージに対してセキュリティ検証を実行してもよく、例えば、シグナリングプレーン完全性保護鍵に基づいてRRC接続再構成メッセージに対して完全性検証を実行してもよいことが理解され得る。検証が成功した場合、端末は、RRC接続再構成メッセージ内のユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成し、その後、ユーザプレーン保護鍵を使用することにより、ユーザプレーンデータを暗号化又は解読してもよい。
【０３１０】
ステップ810:端末は、RRC接続再構成完了メッセージをTgNBに送信する。対応して、TgNBは、RRC接続再構成完了メッセージを受信する。
【０３１１】
RRC接続再構成完了メッセージを受信したとき、RgNBは、ユーザプレーン保護アルゴリズムが正常に更新されたと決定してもよいことが理解され得る。
【０３１２】
任意選択で、端末のハンドオーバ手順において、SgNBとTgNBとの間に通信インタフェースが存在しない場合、端末のハンドオーバ手順は、図９に示される。当該方法は、ステップ901〜909を含む。
【０３１３】
ステップ901:端末は、測定レポートをSgNBに送信する。対応して、SgNBは、測定レポートを受信する。
【０３１４】
ステップ902:SgNBは、測定レポートに基づいて、端末がサービング基地局の間でハンドオーバされる必要があると決定したとき、ハンドオーバ要求メッセージをAMFノードに送信する。対応して、AMFノードは、ハンドオーバ要求メッセージを受信する。
【０３１５】
ハンドオーバ要求メッセージは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を含み、端末セキュリティ能力を更に含んでもよい。
【０３１６】
任意選択で、ハンドオーバ要求メッセージは、SMコンテナを含んでもよい。SMコンテナは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を含むか、或いは、セキュリティポリシーのみを含むか、或いは、セキュリティポリシーがSMコンテナ外にあるか、或いはSMコンテナ内及びSMコンテナ外にセキュリティポリシーが存在する。
【０３１７】
任意選択で、ユーザプレーン情報とセキュリティポリシーとの間の対応関係がハンドオーバ要求メッセージ内のSMコンテナ外にあり、AMFノードがユーザプレーン情報とセキュリティポリシーとの間のそれぞれの対応関係を記憶している場合、例えば、AMFノードが表３を記憶している場合、AMFノードは、ハンドオーバ要求メッセージ内のユーザプレーン情報に対応するセキュリティポリシーが、表３におけるユーザプレーン情報に対応するセキュリティポリシーと同じであるか否かを決定してもよい。2つのセキュリティポリシーが同じである場合、AMFノードは、ユーザプレーン情報に対応するセキュリティポリシーをTgNBに直接送信してもよく、或いは、2つのセキュリティポリシーが異なる場合、AMFノードは、ステップ903を実行してもよい。
【０３１８】
任意選択で、ハンドオーバ要求メッセージ内のSMコンテナ外にユーザプレーン情報とセキュリティポリシーとの間の対応関係が存在しない場合、ステップ903が実行される。
【０３１９】
ステップ903:AMFノードは、セッションハンドオーバ要求メッセージをSMFノードに送信し、セッションハンドオーバ要求メッセージは、ユーザプレーン情報を搬送する。対応して、SMFノードは、セッションハンドオーバ要求メッセージを受信する。
【０３２０】
任意選択で、セッションハンドオーバ要求メッセージは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を更に含むか、或いは、ステップ902において受信したSMコンテナを更に含む。
【０３２１】
ステップ904:SMFノードは、セッションハンドオーバ要求メッセージ内のユーザプレーン情報に対応するセキュリティポリシーを決定する。
【０３２２】
SMFノードは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を記憶するか、或いは、取得してもよい。例えば、表３又は表４を参照する。表３が例として使用される。セッションハンドオーバ要求メッセージ内のユーザプレーン情報が"PDU  session  ID=1"である場合、SMFノードは、セキュリティポリシーが"NIA1,  NEA2"(ユーザプレーン完全性保護アルゴリズム1を使用し、ユーザプレーン暗号化アルゴリズム2を使用すること)であると決定してもよい。
【０３２３】
任意選択で、SMFノードがユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するか、或いは、SMコンテナを受信し、SMコンテナがユーザプレーン情報とセキュリティポリシーとの間の対応関係を含む場合、SMFノードは、受信したユーザプレーン情報に対応するセキュリティポリシーが表３におけるユーザプレーン情報に対応するセキュリティポリシーと同じであるか否かを決定してもよい。2つのセキュリティポリシーが同じである場合、SgNBからのセキュリティポリシーが依然として端末のその後のハンドオーバ手順に使用できると決定されるか、或いは、2つのセキュリティポリシーが異なる場合、表３におけるユーザプレーン情報に対応するセキュリティポリシーが端末のその後のハンドオーバ手順に使用されると決定される。
【０３２４】
任意選択で、SMFノードは、ユーザプレーン情報のみを受信するか、或いは、SMコンテナを受信し、SMコンテナは、ユーザプレーン情報のみを含む。この場合、SMFノードは、ユーザプレーン情報のためのセキュリティポリシーを決定する必要がある。
【０３２５】
任意選択で、SMFノードは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を受信するか、或いは、SMコンテナを受信し、SMコンテナは、ユーザプレーン情報とセキュリティポリシーとの間の対応関係を含む。この場合、SMFノードは、受信したセキュリティポリシーを無視し、ユーザプレーン情報に基づいて、ユーザプレーン情報に対応するセキュリティポリシーを再決定する。具体的には、SMFノードは、SMFノードにより予め構成されたか或いは他のネットワークエレメントから取得された、ユーザプレーン情報とセキュリティポリシーとの間のそれぞれの対応関係に基づいて、ユーザプレーン情報に対応するセキュリティポリシーを決定してもよい。
【０３２６】
ステップ905:SMFノードは、セッションハンドオーバ応答メッセージをAMFノードに送信する。
【０３２７】
セッションハンドオーバ応答メッセージは、SMFノードにより決定された、ユーザプレーン情報に対応するセキュリティポリシーを含む。
【０３２８】
ステップ906:AMFノードは、ハンドオーバ要求メッセージをTgNBに送信する。対応して、TgNBは、ハンドオーバ要求メッセージを受信する。
【０３２９】
ハンドオーバ要求メッセージは、ユーザプレーン情報に対応するセキュリティポリシーと、端末セキュリティ能力とを含む。任意選択で、AMFノードがSMコンテナを受信した場合、AMFノードは、更にSMコンテナをTgNBに転送する必要がある。
【０３３０】
任意選択で、端末のハンドオーバ効率を改善するために、ハンドオーバ要求メッセージは、ユーザプレーン情報に対応するセキュリティポリシーを含まなくてもよく、SMコンテナのみが、SgNBからのユーザプレーン情報に対応するセキュリティポリシーを含む。したがって、TgNBは、SMコンテナ内のセキュリティポリシーを一時的に使用してもよい。端末がハンドオーバ手順を完了した後に、TgNBは、その後のPDUセッション手順において新たなセキュリティポリシーを配信するようにAMFノード又はSMFノードに要求してもよく、或いは、端末がセッション確立又はセッション変更要求を開始したときに、SMFは、セキュリティポリシーをTgNBに配信する。
【０３３１】
ステップ907:TgNBは、第1のユーザプレーン保護アルゴリズムを決定し、第1のユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成する。
【０３３２】
ステップ907の具体的な実現方法は、ステップ604及び605における関連する説明と同じである点に留意すべきである。詳細はここでは再び説明しない。
【０３３３】
ステップ908:TgNBは、ハンドオーバ要求承認メッセージをAMFノードに送信する。対応して、AMFノードは、TgNBからハンドオーバ要求承認メッセージを受信する。
【０３３４】
ステップ909:AMFノードは、ハンドオーバコマンドメッセージをTgNBに送信する。対応して、TgNBは、AMFノードからハンドオーバコマンドメッセージを受信する。
【０３３５】
その後の手順については、ステップ608〜612の関連する説明を参照する。明らかに、この出願は、それに限定されない。
【０３３６】
本発明の実施形態において提供される解決策は、主に、異なるネットワークエレメント間の相互作用の観点から上述されている。上記の機能を実現するために、第1のアクセスネットワークデバイス、第2のアクセスネットワークデバイス、AMFノード、SMFノード及び端末は、機能を実行するための対応するハードウェア構造及び/又はソフトウェアモジュールを含むことが理解され得る。本発明に開示の実施形態に記載されるそれぞれの例のユニット及びアルゴリズムステップを参照して、本発明の実施形態は、ハードウェア又はハードウェアとコンピュータソフトウェアとの組み合わせの形式で実現できる。機能がハードウェアにより実現されるか、コンピュータソフトウェアによりハードウェアを駆動する方式で実現されるかは、技術的解決策の特定の用途及び設計制約条件に依存する。当業者は、記載の機能を実現するために、特定の用途毎に異なる方法を使用し得るが、実現方式が本発明の実施形態の技術的解決策の範囲を超えるものであると考えられるべきではない。
【０３３７】
本発明の実施形態では、上記の方法の例に基づいて、第1のアクセスネットワークデバイス、第2のアクセスネットワークデバイス、AMFノード、SMFノード、端末等に対して機能ユニットの分割が実行されてもよい。例えば、それぞれの機能ユニットは、対応する機能に基づく分割を通じて取得されてもよく、或いは、2つ以上の機能は、1つの処理ユニットに統合されてもよい。統合されたユニットは、ハードウェアの形式で実現されてもよく、或いは、ソフトウェア機能ユニットの形式で実現されてもよい。本発明の実施形態におけるユニットの分割は一例であり、単に論理的な機能分割である点に留意すべきである。実際の実現方式では、他の分割方式が存在してもよい。
【０３３８】
統合されたユニットが使用されるとき、図１０は、本発明の実施形態による装置の概略ブロック図である。当該装置は、ソフトウェアの形式で存在してもよく、或いは、第1のアクセスネットワークデバイスでもよく、或いは、第1のアクセスネットワークデバイス内のチップでもよい。装置1000は、処理ユニット1002と、第1の通信ユニット1003とを含む。処理ユニット1002は、装置1000の動作を制御及び管理するように構成される。例えば、処理ユニット1002は、図２におけるステップ203、図３Ａ及び図３Ｂにおけるステップ303〜306、図４におけるステップ403及び404、図６におけるステップ604、605及び611、図７Ａ及び図７Ｂにおけるステップ704、705、711、713及び714、図８におけるステップ807並びに図９におけるステップ907を実行する際に装置1000をサポートするように構成され、及び/又は、この明細書に記載の技術の他のプロセスを実行するように構成される。第1の通信ユニット1003は、装置1000と他のネットワークエレメント(例えば、第2のアクセスネットワークデバイス、AMFノード又はSMFノード)との間の通信をサポートするように構成される。装置1000は、装置1000と端末との間の通信をサポートするように構成された第2の通信ユニット1004を更に含んでもよい。装置1000は、装置1000のプログラムコード及びデータを記憶するように構成された記憶ユニット1001を更に含んでもよい。
【０３３９】
処理ユニット1002は、プロセッサ又はコントローラ、例えば、中央処理装置(Central  Processing  Unit,  CPU)、汎用プロセッサ、デジタルシグナルプロセッサ(Digital  Signal  Processor,  DSP)、特定用途向け集積回路(Application-Specific  Integrated  Circuit,  ASIC)、フィールドプログラマブルゲートアレイ(Field  Programmable  Gate  Array,  FPGA)若しくは他のプログラマブルロジックデバイス、トランジスタ論理デバイス、ハードウェアコンポーネント又はこれらのいずれかの組み合わせでもよい。処理ユニット1002は、本発明に開示の内容を参照して記載される様々な例示的な論理ブロック、モジュール及び回路を実現又は実行できる。代替として、プロセッサは、計算機能を実現するための組み合わせ、例えば、1つ以上のマイクロプロセッサの組み合わせ又はDSPとマイクロプロセッサとの組み合わせでもよい。第1の通信ユニット1003は通信インタフェースでもよく、通信インタフェースは一般用語である。具体的な実現方式では、通信インタフェースは、複数のインタフェースを含んでもよく、例えば、アクセスネットワークデバイスの間のインタフェース、アクセスネットワークデバイスとコアネットワークデバイスとの間のインタフェース及び/又は他のインタフェースを含んでもよい。第2の通信ユニット1004は、トランシーバ、トランシーバ回路等でもよい。記憶ユニット1001はメモリでもよい。
【０３４０】
統合されたユニットが使用されるとき、図１１は、本発明の実施形態による他の装置の概略ブロック図である。当該装置は、ソフトウェアの形式で存在してもよく、或いは、第2のアクセスネットワークデバイスでもよく、或いは、第2のアクセスネットワークデバイス内のチップでもよい。装置1100は、処理ユニット1102と第1の通信ユニット1103と、第2の通信ユニット1104とを含む。処理ユニット1102は、装置1100の動作を制御及び管理するように構成される。例えば、処理ユニット1102は、図２におけるステップ201、図３Ａにおけるステップ301、図６におけるステップ602及び図７Ａにおけるステップ702を実行する際に装置1100をサポートするように構成され、及び/又は、この明細書に記載の技術の他のプロセスを実行するように構成される。第1の通信ユニット1103は、装置1100と他のアクセスネットワークデバイス、AMFノード又はSMFノードとの間の通信をサポートするように構成される。第2の通信ユニット1104は、装置1100と端末との間の通信をサポートするように構成される。装置1100は、装置1100のプログラムコード及びデータを記憶するように構成された記憶ユニット1101を更に含んでもよい。
【０３４１】
処理ユニット1102は、プロセッサ又はコントローラ、例えば、CPU、汎用プロセッサ、DSP、ASIC、FPGA若しくは他のプログラマブルロジックデバイス、トランジスタ論理デバイス、ハードウェアコンポーネント又はこれらのいずれかの組み合わせでもよい。処理ユニット1102は、本発明に開示の内容を参照して記載される様々な例示的な論理ブロック、モジュール及び回路を実現又は実行できる。代替として、プロセッサは、計算機能を実現するための組み合わせ、例えば、1つ以上のマイクロプロセッサの組み合わせ又はDSPとマイクロプロセッサとの組み合わせでもよい。第1の通信ユニット1103は通信インタフェースでもよく、通信インタフェースは一般用語である。具体的な実現方式では、通信インタフェースは、複数のインタフェースを含んでもよく、例えば、アクセスネットワークデバイスの間のインタフェース、アクセスネットワークデバイスとコアネットワークデバイスとの間のインタフェース及び/又は他のインタフェースを含んでもよい。第2の通信ユニット1104は、トランシーバ、トランシーバ回路等でもよい。記憶ユニット1101はメモリでもよい。
【０３４２】
処理ユニット1002がプロセッサであり、第1の通信ユニット1003が通信インタフェースであり、第2の通信ユニット1004が送信機/受信機であり、記憶ユニット1001がメモリであるとき、本発明の実施形態における装置1000の構造は、図１２に示すアクセスネットワークデバイスの構造でもよい。処理ユニット1102がプロセッサであり、第1の通信ユニット1103が通信インタフェースであり、第2の通信ユニット1104が送信機/受信機であり、記憶ユニット1101がメモリであるとき、本発明の実施形態における装置1100の構造は、図１２に示すアクセスネットワークデバイスの構造でもよい。
【０３４３】
図１２は、本発明の実施形態によるアクセスネットワークデバイスの可能な概略構造図である。
【０３４４】
アクセスネットワークデバイス1200は、プロセッサ1202と、通信インタフェース1204とを含む。プロセッサ1202はまた、コントローラでもよく、図１２において「コントローラ/プロセッサ1202」として示される。通信インタフェース1204は、アクセスネットワークデバイスと他のネットワークエレメント(例えば、他のアクセスネットワークデバイス、AMFノード又はSMFノード)との間の通信をサポートするように構成される。さらに、アクセスネットワークデバイス1200は、送信機/受信機1201を含んでもよい。送信機/受信機1201は、上記の実施形態における端末から情報を受信して端末に情報を送信する際にアクセスネットワークデバイスをサポートし、他の端末と無線通信を実行する際に端末をサポートするように構成される。プロセッサ1202は、端末と通信するための様々な機能を実行する。アップリンクでは、端末により送信されたサービスデータ及びシグナリング情報を復元するために、端末からのアップリンク信号は、アンテナを使用することにより受信され、受信機1201により復調され(例えば、高周波数信号がベースバンド信号に復調される)、プロセッサ1202により更に処理される。ダウンリンクでは、ダウンリンク信号を生成するために、サービスデータ及びシグナリングメッセージは、プロセッサ1202により処理され、送信機1201により変調され(例えば、ベースバンド信号が高周波数信号に変調される)、ダウンリンク信号は、アンテナを使用することにより端末に送信される。上記の復調機能又は変調機能は、プロセッサ1202により実現されてもよい点に留意すべきである。
【０３４５】
例えば、アクセスネットワークデバイス1200が第1のアクセスネットワークデバイスであるとき、プロセッサ1202は、図２〜図９に示す方法における第1のアクセスネットワークデバイスの処理プロセス、及び/又は、この出願に記載される技術的解決策の他のプロセスを実行するように更に構成されるか、或いは、アクセスネットワークデバイス1200が第2のアクセスネットワークデバイスであるとき、プロセッサ1202は、図２、図３Ａ及び図３Ｂ、図６、図７Ａ及び図７Ｂ並びに図９に示す方法における第2のアクセスネットワークデバイスの処理プロセス、及び/又は、この出願に記載される技術的解決策の他のプロセスを実行するように更に構成される。
【０３４６】
さらに、アクセスネットワークデバイス1200は、メモリ1203を含んでもよく、メモリ1203は、アクセスネットワークデバイス1200のプログラムコード及びデータを記憶するように構成される。
【０３４７】
図１２は、アクセスネットワークデバイス1200の簡略化された設計のみを示すことが理解され得る。実際の用途では、アクセスネットワークデバイス1200は、いずれかの数の送信機、受信機、プロセッサ、コントローラ、メモリ、通信ユニット等を含んでもよく、本発明の実施形態を実現できる全てのアクセスネットワークデバイスは、本発明の実施形態の保護範囲内に入る。
【０３４８】
統合されたユニットが使用されるとき、図１３は、本発明の実施形態による他の装置の可能な例示的なブロック図である。装置1300は、ソフトウェアの形式で存在してもよく、或いは、AMFノードでもよく、或いは、AMFノード内のチップでもよい。装置1300は、処理ユニット1302と、通信ユニット1303とを含む。処理ユニット1302は、装置1300の動作を制御及び管理するように構成される。例えば、処理ユニット1302は、図８におけるステップ802を実行する際に装置1300をサポートするように構成され、及び/又は、この明細書に記載の技術の他のプロセスを実行するように構成される。通信ユニット1303は、装置1300と他のネットワークエンティティ(例えば、アクセスネットワークデバイス及びSMFノード)との間の通信をサポートするように構成される。装置1300は、装置1300のプログラムコード及びデータを記憶するように構成された記憶ユニット1301を更に含んでもよい。
【０３４９】
処理ユニット1302は、プロセッサ又はコントローラ、例えば、CPU、汎用プロセッサ、DSP、ASIC、FPGA若しくは他のプログラマブルロジックデバイス、トランジスタ論理デバイス、ハードウェアコンポーネント又はこれらのいずれかの組み合わせでもよい。処理ユニット1302は、本発明に開示の内容を参照して記載される様々な例示的な論理ブロック、モジュール及び回路を実現又は実行できる。代替として、プロセッサは、計算機能を実現するための組み合わせ、例えば、1つ以上のマイクロプロセッサの組み合わせ又はDSPとマイクロプロセッサとの組み合わせでもよい。通信ユニット1303は通信インタフェース、トランシーバ、トランシーバ回路等でもよく、通信インタフェースは一般用語である。具体的な実現方式では、通信インタフェースは、複数のインタフェースを含んでもよく、例えば、AMFノードとアクセスネットワークデバイスとの間のインタフェース及び/又は他のインタフェースを含んでもよい。記憶ユニット1301はメモリでもよい。
【０３５０】
処理ユニット1302がプロセッサであり、通信ユニット1303が通信インタフェースであり、記憶ユニット1301がメモリであるとき、本発明のこの実施形態における装置1300は、図１４に示すAMFノードでもよい。
【０３５１】
図１４に示すように、AMFノード1400は、プロセッサ1402と、通信インタフェース1403と、メモリ1401とを含む。任意選択で、コアネットワークデバイス1400は、バス1404を更に含んでもよい。通信インタフェース1403、プロセッサ1402及びメモリ1401は、バス1404を使用することにより互いに接続されてもよい。バス1404は、ペリフェラル・コンポーネント・インターコネクト(Peripheral  Component  Interconnect,  略称PCI)バス、拡張業界標準アーキテクチャ(Extended  Industry  Standard  Architecture,  略称EISA)バス等でもよい。バス1404は、アドレスバス、データバス、制御バス等に分類されてもよい。図示を容易にするために、バスは、図１４において1つの太線のみを使用することにより示される。しかし、これは、1つのバスのみ又は1つのタイプのバスのみが存在することを示すものではない。
【０３５２】
統合されたユニットが使用されるとき、図１５は、本発明の実施形態による他の装置の可能な例示的なブロック図である。装置1500は、ソフトウェアの形式で存在してもよく、或いは、SMFノードでもよく、或いは、SMFノード内のチップでもよい。装置1500は、処理ユニット1502と、通信ユニット1503とを含む。処理ユニット1502は、装置1500の動作を制御及び管理するように構成される。例えば、処理ユニット1502は、図５におけるステップ503、図８におけるステップ804及び図９におけるステップ904を実行する際に装置1500をサポートするように構成され、及び/又は、この明細書に記載の技術の他のプロセスを実行するように構成される。通信ユニット1503は、装置1500と他のネットワークエンティティ(例えば、アクセスネットワークデバイス及びSMFノード)との間の通信をサポートするように構成される。装置1500は、装置1500のプログラムコード及びデータを記憶するように構成された記憶ユニット1501を更に含んでもよい。
【０３５３】
処理ユニット1502は、プロセッサ又はコントローラ、例えば、CPU、汎用プロセッサ、DSP、ASIC、FPGA若しくは他のプログラマブルロジックデバイス、トランジスタ論理デバイス、ハードウェアコンポーネント又はこれらのいずれかの組み合わせでもよい。処理ユニット1502は、本発明に開示の内容を参照して記載される様々な例示的な論理ブロック、モジュール及び回路を実現又は実行できる。代替として、プロセッサは、計算機能を実現するための組み合わせ、例えば、1つ以上のマイクロプロセッサの組み合わせ又はDSPとマイクロプロセッサとの組み合わせでもよい。通信ユニット1503は通信インタフェース、トランシーバ、トランシーバ回路等でもよく、通信インタフェースは一般用語である。具体的な実現方式では、通信インタフェースは、複数のインタフェースを含んでもよく、例えば、SMFノードとアクセスネットワークデバイスとの間のインタフェース及び/又は他のインタフェースを含んでもよい。記憶ユニット1501はメモリでもよい。
【０３５４】
処理ユニット1502がプロセッサであり、通信ユニット1503が通信インタフェースであり、記憶ユニット1501がメモリであるとき、本発明のこの実施形態における装置1500は、図１６に示すSMFノードでもよい。
【０３５５】
図１６に示すように、SMFノード1600は、プロセッサ1602と、通信インタフェース1603と、メモリ1601とを含む。任意選択で、コアネットワークデバイス1600は、バス1604を更に含んでもよい。通信インタフェース1603、プロセッサ1602及びメモリ1601は、バス1604を使用することにより互いに接続されてもよい。バス1604は、ペリフェラル・コンポーネント・インターコネクト(Peripheral  Component  Interconnect,  略称PCI)バス、拡張業界標準アーキテクチャ(Extended  Industry  Standard  Architecture,  略称EISA)バス等でもよい。バス1604は、アドレスバス、データバス、制御バス等に分類されてもよい。図示を容易にするために、バスは、図１６において1つの太線のみを使用することにより示される。しかし、これは、1つのバスのみ又は1つのタイプのバスのみが存在することを示すものではない。
【０３５６】
統合されたユニットが使用されるとき、図１７は、本発明の実施形態による更に他の装置の概略ブロック図である。装置1700は、ソフトウェアの形式で存在してもよく、或いは、端末でもよく、或いは、端末内のチップでもよい。装置1700は、処理ユニット1702と、通信ユニット1703とを含む。処理ユニット1702は、装置1700の動作を制御及び管理するように構成される。例えば、処理ユニット1702は、図３Ｂにおけるステップ308、図６におけるステップ608、図７Ａにおけるステップ708及び図８におけるステップ809を実行する際に装置1700をサポートするように構成され、及び/又は、この明細書に記載の技術の他のプロセスを実行するように構成される。通信ユニット1703は、装置1700と他のネットワークエンティティ(例えば、アクセスネットワークデバイス)との間の通信をサポートするように構成される。装置1700は、装置1700のプログラムコード及びデータを記憶するように構成された記憶ユニット1701を更に含んでもよい。
【０３５７】
処理ユニット1702は、プロセッサ又はコントローラ、例えば、CPU、汎用プロセッサ、DSP、ASIC、FPGA若しくは他のプログラマブルロジックデバイス、トランジスタ論理デバイス、ハードウェアコンポーネント又はこれらのいずれかの組み合わせでもよい。処理ユニット1702は、本発明に開示の内容を参照して記載される様々な例示的な論理ブロック、モジュール及び回路を実現又は実行できる。代替として、プロセッサは、計算機能を実現するための組み合わせ、例えば、1つ以上のマイクロプロセッサの組み合わせ又はDSPとマイクロプロセッサとの組み合わせでもよい。通信ユニット1703はトランシーバ、トランシーバ回路、通信インタフェース等でもよい。記憶ユニット1701はメモリでもよい。
【０３５８】
処理ユニット1702がプロセッサであり、通信ユニット1703がトランシーバであり、記憶ユニット1701がメモリであるとき、本発明のこの実施形態における端末は、図１８に示す端末でもよい。
【０３５９】
図１８は、本発明の実施形態における端末の可能な設計構造の簡略化された概略図である。端末1800は、送信機1801と、受信機1802と、プロセッサ1803とを含む。プロセッサ1803はまた、コントローラでもよく、図１８において「コントローラ/プロセッサ1803」として示される。任意選択で、端末1800は、モデムプロセッサ1805を更に含んでもよく、モデムプロセッサ1805は、符号化器1807と、変調器1807と、復号化器1808と、復調器1809とを含んでもよい。
【０３６０】
一例では、送信機1801は、出力サンプルを調整し(例えば、アナログ変換、フィルタリング、増幅及びアップコンバージョンを実行する)、アップリンク信号を生成する。アップリンク信号は、アンテナを使用することにより、上記の実施形態における基地局に送信される。ダウンリンクでは、アンテナは、上記の実施形態における基地局により送信されたダウンリンク信号を受信する。受信機1802は、アンテナから受信した信号を調整し(例えば、フィルタリング、増幅、ダウンコンバージョン及びデジタル化を実行する)、入力サンプルを提供する。モデムプロセッサ1805では、符号化器1807は、アップリンクで送信されるべきサービスデータ及びシグナリングメッセージを受信し、サービスデータ及びシグナリングメッセージを処理する(例えば、フォーマット化、符号化及びインタリーブを実行する)。変調器1807は、符号化されたサービスデータ及び符号化されたシグナリングメッセージを更に処理し(例えば、シンボルマッピング及び変調を実行する)、出力サンプルを提供する。復調器1809は、入力サンプルを処理し(例えば、復調を実行する)、シンボル推定を提供する。復号化器1808は、シンボル推定を処理し(例えば、デインタリーブ及び復号化を実行する)、復号化されて端末1800に送信されるデータ及びシグナリングメッセージを提供する。符号化器1807、変調器1807、復調器1809及び復号化器1808は、統合モデムプロセッサ1805により実現されてもよい。当該ユニットは、無線アクセスネットワークにおいて使用される無線アクセス技術(例えば、LTE及び他の進化型システムのアクセス技術)に基づいて処理を実行する。端末1800がモデムプロセッサ1805を含まないとき、モデムプロセッサ1805の上記の機能は、プロセッサ1803により実現されてもよい点に留意すべきである。
【０３６１】
プロセッサ1803は、端末1800の動作を制御及び管理し、本発明の上記の実施形態において端末1800により実行される処理プロセスを実行するように構成される。例えば、プロセッサ1803は、図３Ａ〜図６に示す方法における端末の処理プロセス、及び/又はこの出願に記載される技術的解決策の他のプロセスを実行するように更に構成される。
【０３６２】
さらに、端末1800は、メモリ1804を含んでもよく、メモリ1804は、端末1800に使用されるプログラムコード及びデータを記憶するように構成される。
【０３６３】
この出願に開示の内容を参照して記載される方法又はアルゴリズムステップは、ハードウェア方式で実現されてもよく、或いは、プロセッサによりソフトウェア命令を実行する方式で実現されてもよい。ソフトウェア命令は、対応するソフトウェアモジュールを含んでもよい。ソフトウェアモジュールは、ランダムアクセスメモリ(Random  Access  Memory,  RAM)、フラッシュメモリ、読み取り専用メモリ(Read-Only  Memory,  ROM)、消去可能プログラム可能読み取り専用メモリ(Erasable  Programmable  ROM,  EPROM)、電気的消去可能プログラム可能読み取り専用メモリ(Electrically  EPROM,  EEPROM)、レジスタ、ハードディスク、取り外し可能ハードディスク、コンパクトディスク読み取り専用メモリ(CD-ROM)又は当該技術分野で周知のいずれかの他の形式の記憶媒体に記憶されてもよい。例示的な記憶媒体はプロセッサに結合され、それにより、プロセッサは、記憶媒体から情報を読み取ることができ、情報を記憶媒体に書き込むことができる。明らかに、記憶媒体は、プロセッサのコンポーネントでもよい。プロセッサ及び記憶媒体は、ASICに位置してもよい。さらに、ASICは、コアネットワークインタフェースデバイスに位置してもよい。明らかに、プロセッサ及び記憶媒体は、別個のコンポーネントとしてコアネットワークインタフェースデバイスに存在してもよい。
【０３６４】
この出願において提供されるいくつかの実施形態では、開示のシステム、装置及び方法は、他の方式で実現されてもよいことが理解されるべきである。例えば、記載の装置の実施形態は、単なる一例である。例えば、ユニットの分割は、単なる論理的な機能分割であり、実際の実現方式では他の分割でもよい。例えば、複数のユニット又はコンポーネントは、他のシステムに結合又は統合されてもよく、或いは、いくつかの特徴は、無視されてもよく或いは実行されなくてもよい。さらに、表示又は議論された相互結合又は直接結合又は通信接続は、いくつかのインタフェースを通じて実現されてもよい。装置又はユニットの間の間接結合又は通信接続は、電子的或いは他の形式で実現されてもよい。
【０３６５】
別個の部分として記載されるユニットは、物理的に分離してもよく或いは分離していなくてもよく、ユニットとして表示される部分は、物理的ユニットでもよく或いは物理的ユニットでなくてもよく、1つの場所に位置してもよく、或いは、複数のネットワークデバイスに分散されてもよい。ユニットの一部又は全部は、実施形態の解決策の目的を達成するために、実際のニーズに基づいて選択されてもよい。
【０３６６】
さらに、本発明の実施形態における機能ユニットは、1つの処理ユニットに統合されてもよく、或いは、機能ユニットのそれぞれは単独で存在してもよく、或いは、2つ以上のユニットが1つのユニットに統合される。統合されたユニットは、ハードウェアの形式で実現されてもよく、或いは、ソフトウェア機能ユニットに加えてハードウェアの形式で実現されてもよい。
【０３６７】
実現方式の上記の説明に基づいて、当業者は、この出願が、必要な一般的なハードウェアに加えてソフトウェアにより、或いは、明らかにハードウェアのみにより実現されてもよいことを明確に理解し得る。ほとんどの場合、前者が好ましい実現方式である。このような理解に基づいて、この出願の技術的解決策は本質的に、或いは、従来技術に寄与する部分は、ソフトウェアプロダクトの形式で実現されてもよい。コンピュータソフトウェアプロダクトは、コンピュータのフロッピーディスク、ハードディスク又は光ディスクのような読み取り可能記憶媒体に記憶され、コンピュータデバイス(パーソナルコンピュータ、サーバ、ネットワークデバイス等でもよい)に対して、この出願の実施形態に記載の方法を実行するように命令するためのいくつかの命令を含む。
【０３６８】
上記の説明は、この出願の単に具体的な実現方式であるが、この出願の保護範囲を限定することを意図するものではない。この出願に開示された如何なる変更又は置換も、この出願の保護範囲内に入るものとする。したがって、この出願の保護範囲は、特許請求の範囲の保護範囲に従うものとする。
【図１】
2020536424.tif 000007
【図２】
2020536424.tif 000008
【図３Ａ】
2020536424.tif 000009
【図３Ｂ】
2020536424.tif 000010
【図４】
2020536424.tif 000011
【図５】
2020536424.tif 000012
【図６】
2020536424.tif 000013
【図７Ａ】
2020536424.tif 000014
【図７Ｂ】
2020536424.tif 000015
【図８】
2020536424.tif 000016
【図９】
2020536424.tif 000017
【図１０】
2020536424.tif 000018
【図１１】
2020536424.tif 000019
【図１２】
2020536424.tif 000020
【図１３】
2020536424.tif 000021
【図１４】
2020536424.tif 000022
【図１５】
2020536424.tif 000023
【図１６】
2020536424.tif 000024
【図１７】
2020536424.tif 000025
【図１８】
2020536424.tif 000026
【手続補正書】
【提出日】令和2年5月29日(2020.5.29)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
端末がソースアクセスネットワークデバイスからターゲットアクセスネットワークデバイスにハンドオーバされるシナリオに適用されるセキュリティ保護方法であって、
前記ターゲットアクセスネットワークデバイスにより、前記ソースアクセスネットワークデバイスから、セキュリティポリシーとPDUセッション識別子との間の対応関係を受信するステップであり、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示す、ステップと、
前記ターゲットアクセスネットワークデバイスにより、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係に基づいて、前記PDUセッション識別子に対応する第1のユーザプレーン保護アルゴリズムを決定するステップであり、前記第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの一方又は双方を含む、ステップと
を含む方法。
【請求項２】
前記ターゲットアクセスネットワークデバイスにより、シグナリングプレーン保護アルゴリズムを決定するステップであり、前記シグナリングプレーン保護アルゴリズムは、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムの一方又は双方を含む、ステップを更に含む、請求項１に記載の方法。
【請求項３】
前記ターゲットアクセスネットワークデバイスにより、前記第1のユーザプレーン保護アルゴリズムがシグナリングプレーン保護アルゴリズムであると決定するステップを更に含む、請求項１又は２に記載の方法。
【請求項４】
前記ターゲットアクセスネットワークデバイスにより、前記ソースアクセスネットワークデバイスを使用することにより、第1の指示情報を端末に送信するステップであり、前記第1の指示情報は、前記第1のユーザプレーン保護アルゴリズムが前記シグナリングプレーン保護アルゴリズムと同じであることを示すために使用されるか、或いは、前記第1の指示情報は、前記ターゲットアクセスネットワークデバイスにより決定された前記シグナリングプレーン保護アルゴリズムの識別子を示すために使用される、ステップを更に含む、請求項２又は３に記載の方法。
【請求項５】
前記セキュリティポリシーは、ユーザプレーン保護アルゴリズム識別子を含み、前記ターゲットアクセスネットワークデバイスにより、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係に基づいて、前記PDUセッション識別子に対応する第1のユーザプレーン保護アルゴリズムを決定するステップは、
前記ターゲットアクセスネットワークデバイスにより、前記ユーザプレーン保護アルゴリズム識別子に対応する第2のユーザプレーン保護アルゴリズムを決定するステップと、
前記ターゲットアクセスネットワークデバイス及び端末の双方が前記第2のユーザプレーン保護アルゴリズムをサポートする場合、前記ターゲットアクセスネットワークデバイスにより、前記第2のユーザプレーン保護アルゴリズムが前記第1のユーザプレーン保護アルゴリズムであると決定するステップ、又は、前記ターゲットアクセスネットワークデバイス又は端末のいずれかが前記第2のユーザプレーン保護アルゴリズムをサポートしない場合、前記ターゲットアクセスネットワークデバイスにより、前記第2のユーザプレーン保護アルゴリズムが属するセキュリティ保護タイプに対応するセキュリティアルゴリズムセットから、前記ターゲットアクセスネットワークデバイス及び前記端末の双方によりサポートされる前記第1のユーザプレーン保護アルゴリズムを選択するステップと
を含む、請求項１乃至４のうちいずれか１項に記載の方法。
【請求項６】
前記ターゲットアクセスネットワークデバイスにより、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係に基づいて、前記PDUセッション識別子に対応する第1のユーザプレーン保護アルゴリズムを決定するステップは、
前記セキュリティポリシーが、前記PDUセッション識別子に対応する前記PDUセッションについてユーザプレーン暗号化保護が活性化される必要があることを示す場合、前記ターゲットアクセスネットワークデバイスにより、ユーザプレーン暗号化アルゴリズムセットに従って、前記端末によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムを選択するステップ、
前記セキュリティポリシーが、前記PDUセッション識別子に対応する前記PDUセッションについてユーザプレーン完全性保護が活性化される必要があることを示す場合、前記ターゲットアクセスネットワークデバイスにより、ユーザプレーン完全性保護アルゴリズムセットに従って、前記端末によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムを選択するステップ、又は
前記セキュリティポリシーが、前記PDUセッション識別子に対応する前記PDUセッションについてユーザプレーン暗号化保護及びユーザプレーン完全性保護の双方が活性化される必要があることを示す場合、前記ターゲットアクセスネットワークデバイスにより、ユーザプレーン暗号化アルゴリズムセットに従って、前記端末によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムを選択し、前記ターゲットアクセスネットワークデバイスにより、ユーザプレーン完全性保護アルゴリズムセットに従って、前記端末によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムを選択するステップ
を含む、請求項１乃至５のうちいずれか１項に記載の方法。
【請求項７】
前記ターゲットアクセスネットワークデバイスにより、前記第1のユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成するステップであり、前記ユーザプレーン保護鍵は、ユーザプレーン暗号化鍵及びユーザプレーン完全性保護鍵の一方又は双方を含む、ステップを更に含む、請求項１乃至６のうちいずれか１項に記載の方法。
【請求項８】
前記ターゲットアクセスネットワークデバイスにより、前記ソースアクセスネットワークデバイスを介して、前記ユーザプレーン完全性保護鍵を使用することにより保護された第1のメッセージを前記端末に送信するステップであり、前記第1のメッセージは、前記第1のユーザプレーン保護アルゴリズムを含む、ステップを更に含む、請求項７に記載の方法。
【請求項９】
前記ターゲットアクセスネットワークデバイスにより、前記端末から、前記ユーザプレーン保護鍵又はシグナリングプレーン保護鍵を使用することにより保護された第2のメッセージを受信するステップであり、前記第2のメッセージは、前記第1のメッセージの応答メッセージである、ステップを更に含む、請求項８に記載の方法。
【請求項１０】
前記ターゲットアクセスネットワークデバイスにより、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をアクセス及びモビリティ管理機能AMFノードに送信するステップと、
前記ターゲットアクセスネットワークデバイスが前記AMFノードからセキュリティポリシーを受信し、前記AMFノードからの前記セキュリティポリシーが前記ソースアクセスネットワークデバイスからのセキュリティポリシーと異なる場合、前記ターゲットアクセスネットワークデバイスにより、前記AMFノードからの前記セキュリティポリシーに従って、前記第1のユーザプレーン保護アルゴリズム及び前記ユーザプレーン保護鍵を再決定するステップと
を更に含む、請求項１乃至９のうちいずれか１項に記載の方法。
【請求項１１】
前記ターゲットアクセスネットワークデバイスにより、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をアクセス及びモビリティ管理機能AMFノードに送信するステップと、
前記ターゲットアクセスネットワークデバイスが前記AMFノードから第2の指示情報を受信し、前記AMFノードからセキュリティポリシーを受信せず、前記第2の指示情報が、前記ターゲットアクセスネットワークデバイスが前記ソースアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示す場合、前記ターゲットアクセスネットワークデバイスにより、デフォルトのセキュリティポリシーに従って、前記第1のユーザプレーン保護アルゴリズム及び前記ユーザプレーン保護鍵を再決定するステップと
を更に含む、請求項１乃至９のうちいずれか１項に記載の方法。
【請求項１２】
前記ターゲットアクセスネットワークデバイスにより、アクセス及びモビリティ管理機能AMFノードを介して、前記ソースアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をセッション管理機能SMFノードに送信するステップと、
前記SMFノードからセキュリティポリシーを受信し、前記SMFノードから受信した前記セキュリティポリシーが前記ソースアクセスネットワークデバイスから受信した前記セキュリティポリシーと異なる場合、前記ターゲットアクセスネットワークデバイスにより、前記SMFノードから受信した前記セキュリティポリシーに従って、新たな第1のユーザプレーン保護アルゴリズム及び新たなユーザプレーン保護鍵を再決定するステップと
を更に含む、請求項１乃至９のうちいずれか１項に記載の方法。
【請求項１３】
前記ターゲットアクセスネットワークデバイスにより、アクセス及びモビリティ管理機能AMFノードを介して、前記ソースアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をセッション管理機能SMFノードに送信するステップと、
前記ターゲットアクセスネットワークデバイスが前記AMFノードを介して前記SMFノードから第2の指示情報を受信し、前記SMFノードからセキュリティポリシーを受信せず、前記第2の指示情報が、前記ターゲットアクセスネットワークデバイスが前記ソースアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示す場合、前記ターゲットアクセスネットワークデバイスにより、デフォルトのセキュリティポリシーに従って、新たな第1のユーザプレーン保護アルゴリズム及び新たなユーザプレーン保護鍵を再決定するステップと
を更に含む、請求項１乃至９のうちいずれか１項に記載の方法。
【請求項１４】
端末がソースアクセスネットワークデバイスからターゲットアクセスネットワークデバイスにハンドオーバされるシナリオに適用されるセキュリティ保護方法であって、
前記ソースアクセスネットワークデバイスにより、セキュリティポリシーとPDUセッション識別子との間の対応関係を取得するステップであり、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示す、ステップと、
前記ソースアクセスネットワークデバイスにより、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をターゲットアクセスネットワークデバイスに送信するステップと
を含む方法。
【請求項１５】
前記ソースアクセスネットワークデバイスにより、前記ターゲットアクセスネットワークデバイスから、ユーザプレーン完全性保護鍵又はシグナリング完全性保護鍵を使用することにより保護された第1のメッセージを受信するステップであり、前記第1のメッセージは、第1のユーザプレーン保護アルゴリズムを含む、ステップと、
前記ソースアクセスネットワークデバイスにより、前記第1のメッセージを前記端末に送信するステップと
を更に含む、請求項１４に記載の方法。
【請求項１６】
通信ユニットと、処理ユニットとを含む装置であって、
前記通信ユニットは、ソースアクセスネットワークデバイスから、セキュリティポリシーとPDUセッション識別子との間の対応関係を受信するように構成され、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示し、
前記処理ユニットは、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係に基づいて、前記PDUセッション識別子に対応する第1のユーザプレーン保護アルゴリズムを決定するように構成され、前記第1のユーザプレーン保護アルゴリズムは、ユーザプレーン暗号化アルゴリズム及びユーザプレーン完全性保護アルゴリズムの一方又は双方を含む、装置。
【請求項１７】
前記処理ユニットは、シグナリングプレーン保護アルゴリズムを決定するように更に構成され、前記シグナリングプレーン保護アルゴリズムは、シグナリングプレーン暗号化アルゴリズム及びシグナリングプレーン完全性保護アルゴリズムの一方又は双方を含む、請求項１６に記載の装置。
【請求項１８】
前記処理ユニットは、前記第1のユーザプレーン保護アルゴリズムがシグナリングプレーン保護アルゴリズムであると決定するように更に構成される、請求項１６又は１７に記載の装置。
【請求項１９】
前記通信ユニットは、前記ソースアクセスネットワークデバイスを使用することにより、第1の指示情報を端末に送信するように更に構成され、前記第1の指示情報は、前記第1のユーザプレーン保護アルゴリズムが前記シグナリングプレーン保護アルゴリズムと同じであることを示すために使用されるか、或いは、前記第1の指示情報は、当該装置により決定された前記シグナリングプレーン保護アルゴリズムの識別子を示すために使用される、請求項１７又は１８に記載の装置。
【請求項２０】
前記セキュリティポリシーは、ユーザプレーン保護アルゴリズム識別子を含み、前記処理ユニットは、前記ユーザプレーン保護アルゴリズム識別子に対応する第2のユーザプレーン保護アルゴリズムを決定するように具体的に構成され、当該装置及び端末の双方が前記第2のユーザプレーン保護アルゴリズムをサポートする場合、前記処理ユニットは、前記第2のユーザプレーン保護アルゴリズムが前記第1のユーザプレーン保護アルゴリズムであると決定するか、或いは、当該装置又は端末のいずれかが前記第2のユーザプレーン保護アルゴリズムをサポートしない場合、前記処理ユニットは、前記第2のユーザプレーン保護アルゴリズムが属するセキュリティ保護タイプに対応するセキュリティアルゴリズムセットから、当該装置及び前記端末の双方によりサポートされる前記第1のユーザプレーン保護アルゴリズムを選択する、請求項１６乃至１９のうちいずれか１項に記載の装置。
【請求項２１】
前記処理ユニットは、
前記セキュリティポリシーが、前記PDUセッション識別子に対応する前記PDUセッションについてユーザプレーン暗号化保護が活性化される必要があることを示す場合、ユーザプレーン暗号化アルゴリズムセットに従って、前記端末によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムを選択するか、
前記セキュリティポリシーが、前記PDUセッション識別子に対応する前記PDUセッションについてユーザプレーン完全性保護が活性化される必要があることを示す場合、ユーザプレーン完全性保護アルゴリズムセットに従って、前記端末によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムを選択するか、或いは
前記セキュリティポリシーが、前記PDUセッション識別子に対応する前記PDUセッションについてユーザプレーン暗号化保護及びユーザプレーン完全性保護の双方が活性化される必要があることを示す場合、ユーザプレーン暗号化アルゴリズムセットに従って、前記端末によりサポートされ且つ最高の優先度を有するユーザプレーン暗号化アルゴリズムを選択し、ユーザプレーン完全性保護アルゴリズムセットに従って、前記端末によりサポートされ且つ最高の優先度を有するユーザプレーン完全性保護アルゴリズムを選択するように具体的に構成される、請求項１６乃至２０のうちいずれか１項に記載の装置。
【請求項２２】
前記処理ユニットは、前記ユーザプレーン保護アルゴリズムに従ってユーザプレーン保護鍵を生成するように具体的に構成され、前記ユーザプレーン保護鍵は、ユーザプレーン暗号化鍵及びユーザプレーン完全性保護鍵の一方又は双方を含む、請求項１６乃至２１のうちいずれか１項に記載の装置。
【請求項２３】
前記通信ユニットは、前記ソースアクセスネットワークデバイスを介して、前記ユーザプレーン完全性保護鍵又はシグナリングプレーン完全性保護鍵を使用することにより保護された第1のメッセージを前記端末に送信するように構成され、前記第1のメッセージは、前記第1のユーザプレーン保護アルゴリズムを含む、請求項２２に記載の装置。
【請求項２４】
当該装置は、第2の通信ユニットを更に含み、
前記第2の通信ユニットは、前記端末から、前記ユーザプレーン保護鍵又はシグナリングプレーン保護鍵を使用することにより保護された第2のメッセージを受信するように構成され、前記第2のメッセージは、前記第1のメッセージの応答メッセージである、請求項２３に記載の装置。
【請求項２５】
前記通信ユニットは、前記通信ユニットにより受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をアクセス及びモビリティ管理機能AMFノードに送信するように更に構成され、
前記処理ユニットは、前記通信ユニットが前記AMFノードからセキュリティポリシーを受信し、前記AMFノードからの前記セキュリティポリシーが前記ソースアクセスネットワークデバイスからのセキュリティポリシーと異なる場合、前記AMFノードからの前記セキュリティポリシーに従って、前記第1のユーザプレーン保護アルゴリズム及び前記ユーザプレーン保護鍵を再決定するように更に構成される、請求項１６乃至２４のうちいずれか１項に記載の装置。
【請求項２６】
前記処理ユニットは、前記通信ユニットが前記AMFノードから第2の指示情報を受信し、前記AMFノードからセキュリティポリシーを受信せず、前記第2の指示情報が、当該装置が前記ソースアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示す場合、デフォルトのセキュリティポリシーに従って、前記第1のユーザプレーン保護アルゴリズム及び前記ユーザプレーン保護鍵を再決定するように更に構成される、請求項１６乃至２４のうちいずれか１項に記載の装置。
【請求項２７】
前記通信ユニットは、アクセス及びモビリティ管理機能AMFノードを介して、前記ソースアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をセッション管理機能SMFノードに送信するように更に構成され、
前記処理ユニットは、前記通信ユニットが前記SMFノードからセキュリティポリシーを受信し、前記SMFノードから受信した前記セキュリティポリシーが前記ソースアクセスネットワークデバイスから受信した前記セキュリティポリシーと異なる場合、前記SMFノードから受信した前記セキュリティポリシーに従って、新たな第1のユーザプレーン保護アルゴリズム及び新たなユーザプレーン保護鍵を再決定するように具体的に構成される、請求項１６乃至２４のうちいずれか１項に記載の装置。
【請求項２８】
前記通信ユニットは、アクセス及びモビリティ管理機能AMFノードを介して、前記ソースアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をセッション管理機能SMFノードに送信するように更に構成され、
前記処理ユニットは、当該装置が前記AMFノードを介して前記SMFノードから第2の指示情報を受信し、前記SMFノードからセキュリティポリシーを受信せず、前記第2の指示情報が、当該装置が前記ソースアクセスネットワークデバイスからのセキュリティポリシーを使用できないことを示す場合、デフォルトのセキュリティポリシーに従って、新たな第1のユーザプレーン保護アルゴリズム及び新たなユーザプレーン保護鍵を再決定するように具体的に構成される、請求項１６乃至２４のうちいずれか１項に記載の装置。
【請求項２９】
通信ユニットと、処理ユニットとを含む装置であって、
前記処理ユニットは、セキュリティポリシーとPDUセッション識別子との間の対応関係を取得するように構成され、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示し、
前記通信ユニットは、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をターゲットアクセスネットワークデバイスに送信するように構成される、装置。
【請求項３０】
前記通信ユニットは、前記ターゲットアクセスネットワークデバイスから、ユーザプレーン完全性保護鍵又はシグナリング完全性保護鍵を使用することにより保護された第1のメッセージを受信し、前記第1のメッセージは、第1のユーザプレーン保護アルゴリズムを含み、前記第1のメッセージを端末に送信する、ように構成される、請求項２９に記載の装置。
【請求項３１】
アクセスネットワークデバイスであって、
プロセッサと、
前記プロセッサに結合され、記憶されたプログラム命令を有するメモリであり、前記プログラム命令は、前記プロセッサにより実行されたとき、当該アクセスネットワークデバイスに対して請求項１乃至１３のうちいずれか１項に記載の方法を実行させる、メモリと
を含むアクセスネットワークデバイス。
【請求項３２】
アクセスネットワークデバイスであって、
プロセッサと、
前記プロセッサに結合され、記憶されたプログラム命令を有するメモリであり、前記プログラム命令は、前記プロセッサにより実行されたとき、当該アクセスネットワークデバイスに対して請求項１４又は１５に記載の方法を実行させる、メモリと
を含むアクセスネットワークデバイス。
【請求項３３】
コンピュータ読み取り可能記憶媒体であって、
当該コンピュータ記憶媒体は命令を記憶し、
前記命令がコンピュータ上で実行されたとき、前記コンピュータは、請求項１乃至１３のうちいずれか１項に記載の方法を実行するようにされる、コンピュータ読み取り可能記憶媒体。
【請求項３４】
コンピュータ読み取り可能記憶媒体であって、
当該コンピュータ記憶媒体は命令を記憶し、
前記命令がコンピュータ上で実行されたとき、前記コンピュータは、請求項１４又は１５に記載の方法を実行するようにされる、コンピュータ読み取り可能記憶媒体。
【請求項３５】
端末がソースアクセスネットワークデバイスからターゲットアクセスネットワークデバイスにハンドオーバされるシナリオに適用される通信システムであって、
セッション管理機能ノードと、アクセス及びモビリティ管理機能ノードとを含み、
前記アクセス及びモビリティ管理機能ノードは、前記ターゲットアクセスネットワークデバイスから、セキュリティポリシーとPDUセッション識別子との間の対応関係を受信し、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示し、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を前記セッション管理機能ノードに送信する、ように構成され、
前記セッション管理機能ノードは、前記アクセス及びモビリティ管理機能ノードから、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を受信し、前記PDUセッション識別子に対応する、前記受信したセキュリティポリシーが、前記PDUセッション識別子に対応する、ローカルに記憶されているセキュリティポリシーと同じであるか否かを決定し、前記PDUセッション識別子に対応する、前記受信したセキュリティポリシーが、前記PDUセッション識別子に対応する、前記ローカルに記憶されているセキュリティポリシーと異なる場合、前記アクセス及びモビリティ管理機能ノードを介して、前記PDUセッション識別子に対応する、前記ローカルに記憶されているセキュリティポリシーを前記ターゲットアクセスネットワークデバイスに送信するように構成される、通信システム。
【請求項３６】
当該システムは、前記ソースアクセスネットワークデバイスと、前記ターゲットアクセスネットワークデバイスとを更に含み、
前記ソースアクセスネットワークデバイスは、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を前記ターゲットアクセスネットワークデバイスに送信するように構成され、
前記ターゲットアクセスネットワークデバイスは、前記ソースアクセスネットワークデバイスから、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を受信し、前記アクセス及びモビリティ管理機能ノードを介して、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を前記セッション管理機能ノードに送信し、前記アクセス及びモビリティ管理機能ノードを介して、前記セッション管理機能ノードから、前記ローカルに記憶されているセキュリティポリシーを受信するように構成される、請求項３５に記載のシステム。
【請求項３７】
前記ターゲットアクセスネットワークデバイスは、前記アクセス及びモビリティ管理機能ノードを介して、前記ソースアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を前記セッション管理機能ノードに送信する前に、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係に基づいて、前記PDUセッション識別子に対応する第1のユーザプレーン保護アルゴリズムを決定するように構成される、請求項３６に記載のシステム。
【請求項３８】
前記ターゲットアクセスネットワークデバイスは、前記セッション管理機能ノードから、前記ローカルに記憶されているセキュリティポリシーを受信した後に、前記セッション管理機能ノードから受信した前記セキュリティポリシーに従って、新たな第1のユーザプレーン保護アルゴリズム及び新たなユーザプレーン保護鍵を再決定するように構成される、請求項３７に記載のシステム。
【請求項３９】
端末がソースアクセスネットワークデバイスからターゲットアクセスネットワークデバイスにハンドオーバされるシナリオに適用されるセキュリティ保護方法であって、
セッション管理機能ノードにより、アクセス及びモビリティ管理機能ノードを介して、前記ターゲットアクセスネットワークデバイスから、セキュリティポリシーとPDUセッション識別子との間の対応関係を受信するステップであり、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示す、ステップと、
前記セッション管理機能ノードにより、前記PDUセッション識別子に対応する、前記受信したセキュリティポリシーが、前記PDUセッション識別子に対応する、ローカルに記憶されているセキュリティポリシーと同じであるか否かを決定するステップと、
前記セッション管理機能ノードにより、前記PDUセッション識別子に対応する、前記受信したセキュリティポリシーが、前記PDUセッション識別子に対応する、前記ローカルに記憶されているセキュリティポリシーと異なる場合、前記アクセス及びモビリティ管理機能ノードを介して、前記PDUセッション識別子に対応する、前記ローカルに記憶されているセキュリティポリシーを前記ターゲットアクセスネットワークデバイスに送信するステップと
を含む方法。
【請求項４０】
前記アクセス及びモビリティ管理機能ノードを介して、前記ターゲットアクセスネットワークデバイスから、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を受信するステップは、
前記セッション管理機能ノードにより、前記アクセス及びモビリティ管理機能ノードから、セッション管理SM要求メッセージを受信するステップであり、前記SM要求メッセージは、前記端末の識別情報と、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係とを含む、ステップを含み、
前記アクセス及びモビリティ管理機能ノードを介して、前記PDUセッション識別子に対応する、前記ローカルに記憶されているセキュリティポリシーを前記ターゲットアクセスネットワークデバイスに送信するステップは、
前記セッション管理機能ノードにより、SM応答メッセージを前記アクセス及びモビリティ管理機能ノードに送信するステップであり、前記SM応答メッセージは、前記PDUセッション識別子に従って前記セッション管理機能ノードにより再選択された前記セキュリティポリシーを含む、ステップを含む、請求項３９に記載の方法。
【請求項４１】
端末がソースアクセスネットワークデバイスからターゲットアクセスネットワークデバイスにハンドオーバされるシナリオに適用されるセキュリティ保護方法であって、
アクセス及びモビリティ管理機能ノードにより、前記ターゲットアクセスネットワークデバイスから、セキュリティポリシーとPDUセッション識別子との間の対応関係を受信するステップであり、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示す、ステップと、
前記アクセス及びモビリティ管理機能ノードにより、前記ターゲットアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をセッション管理機能ノードに送信するステップと、
前記アクセス及びモビリティ管理機能ノードにより、前記セッション管理機能ノードから、前記PDUセッション識別子に従って前記セッション管理機能ノードにより再選択されたセキュリティポリシーを受信するステップと、
前記アクセス及びモビリティ管理機能ノードにより、前記再選択されたセキュリティポリシーを前記ターゲットアクセスネットワークデバイスに送信するステップと
を含む方法。
【請求項４２】
前記アクセス及びモビリティ管理機能ノードにより、前記ターゲットアクセスネットワークデバイスから、N2パス切り替えメッセージを受信するステップであり、前記N2パス切り替えメッセージは、前記ソースアクセスネットワークデバイスから前記ターゲットアクセスネットワークデバイスにより受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を含む、ステップを更に含み、
前記アクセス及びモビリティ管理機能ノードにより、前記ターゲットアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係を前記セッション管理機能ノードに送信するステップは、
前記アクセス及びモビリティ管理機能ノードにより、セッション管理SM要求メッセージを前記セッション管理機能ノードに送信するステップであり、前記SM要求メッセージは、前記端末の識別情報と、前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係とを含む、ステップを含み、
前記アクセス及びモビリティ管理機能ノードにより、前記セッション管理機能ノードから、前記PDUセッション識別子に対応する、セッション管理機能ノードにより再選択された前記セキュリティポリシーを受信するステップは、
前記アクセス及びモビリティ管理機能ノードにより、前記セッション管理機能ノードから、SM応答メッセージを受信するステップであり、前記SM応答メッセージは、前記PDUセッション識別子に従って前記セッション管理機能ノードにより再選択された前記セキュリティポリシーを含む、ステップを含む、請求項４１に記載の方法。
【請求項４３】
端末がソースアクセスネットワークデバイスからターゲットアクセスネットワークデバイスにハンドオーバされるシナリオに適用される装置であって、
通信ユニットと、処理ユニットとを含み、
前記通信ユニットは、アクセス及びモビリティ管理機能ノードを介して、前記ターゲットアクセスネットワークデバイスから、セキュリティポリシーとPDUセッション識別子との間の対応関係を受信するように構成され、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示し、
前記処理ユニットは、前記PDUセッション識別子に対応する、前記受信したセキュリティポリシーが、前記PDUセッション識別子に対応する、ローカルに記憶されているセキュリティポリシーと同じであるか否かを決定するように構成され、
前記通信ユニットは、前記PDUセッション識別子に対応する、前記受信したセキュリティポリシーが、前記PDUセッション識別子に対応する、前記ローカルに記憶されているセキュリティポリシーと異なる場合、前記アクセス及びモビリティ管理機能ノードを介して、前記PDUセッション識別子に対応する、前記ローカルに記憶されているセキュリティポリシーを前記ターゲットアクセスネットワークデバイスに送信するように構成される、装置。
【請求項４４】
端末がソースアクセスネットワークデバイスからターゲットアクセスネットワークデバイスにハンドオーバされるシナリオに適用される装置であって、
通信ユニットと、処理ユニットとを含み、
前記処理ユニットは、以下の動作、すなわち、
前記ターゲットアクセスネットワークデバイスから、セキュリティポリシーとPDUセッション識別子との間の対応関係を受信する動作であり、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示す、動作と、
前記ターゲットアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をセッション管理機能ノードに送信する動作と、
前記セッション管理機能ノードから、前記PDUセッション識別子に対応する、前記セッション管理機能ノードにより再選択されたセキュリティポリシーを受信する動作と、
前記再選択されたセキュリティポリシーを前記ターゲットアクセスネットワークデバイスに送信する動作と
を実行するように前記通信ユニットを制御するために使用される、装置。
【請求項４５】
端末がソースアクセスネットワークデバイスからターゲットアクセスネットワークデバイスにハンドオーバされるシナリオに適用される装置であって、
通信ユニットと、処理ユニットとを含み、
前記処理ユニットは、以下の動作、すなわち、
前記ターゲットアクセスネットワークデバイスから、セキュリティポリシーとPDUセッション識別子との間の対応関係を受信する動作であり、前記セキュリティポリシーは、前記PDUセッション識別子に関連するPDUセッションについてユーザプレーン暗号化保護及び/又はユーザプレーン完全性保護を活性化するか否かを示す、動作と、
前記ターゲットアクセスネットワークデバイスから受信した前記セキュリティポリシーと前記PDUセッション識別子との間の前記対応関係をセッション管理機能ノードに送信する動作と、
前記セッション管理機能ノードから、前記PDUセッション識別子に従って前記セッション管理機能ノードにより再選択されたセキュリティポリシーを受信する動作と、
前記再選択されたセキュリティポリシーを前記ターゲットアクセスネットワークデバイスに送信する動作と
を実行するように前記通信ユニットを制御するために使用される、装置。
【請求項４６】
セッション管理機能ノードであって、
プロセッサと、
前記プロセッサに結合され、記憶されたプログラム命令を有するメモリであり、前記プログラム命令は、前記プロセッサにより実行されたとき、当該セッション管理機能ノードに対して請求項３９又は４０に記載の方法を実行させる、メモリと
を含むセッション管理機能ノード。
【請求項４７】
アクセス及びモビリティ管理機能ノードであって、
プロセッサと、
前記プロセッサに結合され、記憶されたプログラム命令を有するメモリであり、前記プログラム命令は、前記プロセッサにより実行されたとき、当該アクセス及びモビリティ管理機能ノードに対して請求項４１又は４２に記載の方法を実行させる、メモリと
を含むセッション管理機能ノード。
【請求項４８】
コンピュータ読み取り可能記憶媒体であって、
当該コンピュータ記憶媒体は命令を記憶し、
前記命令がコンピュータ上で実行されたとき、前記コンピュータは、請求項３９又は４０に記載の方法を実行するようにされる、コンピュータ読み取り可能記憶媒体。
【請求項４９】
コンピュータ読み取り可能記憶媒体であって、
当該コンピュータ記憶媒体は命令を記憶し、
前記命令がコンピュータ上で実行されたとき、前記コンピュータは、請求項４１又は４２に記載の方法を実行するようにされる、コンピュータ読み取り可能記憶媒体。
【国際調査報告】
2020536424.tif 000027
2020536424.tif 000028
2020536424.tif 000029
2020536424.tif 000030