[发明专利]电信系统中的方法和设备

说明书

技术领域

本发明涉及电信系统中的方法和设备，并且尤其涉及在EPS(演进 分组系统)即E-UTRAN(演进UMTS陆地无线接入网)和EPC(演进分 组核心网)中针对UE触发的服务请求的安全解决方案。更具体而言，本 发明涉及在EPS(演进分组系统)的MME(移动性管理实体)和UE(用 户设备)中建立用于保护RRC/UP业务的安全密钥的方法和设备。

背景技术

在EPS架构中，在UE和MME(移动性管理实体)之间执行用户认 证，并且MME管理例如移动性、UE标识和安全参数。用于在EPS中定 义安全过程的基础是安全密钥K_ASME，所述安全密钥K_ASME在MME 与UE之间共享并且在认证UE时建立。EPS架构的被称为ASME(接入安 全管理实体)的功能实体可以例如与MME共处一处(co-located)，并且 ASME接收并存储从限于归属网络中的CK/IK密钥导出的安全密钥 K_ASME。ASME从安全密钥K_ASME导出用来保护NAS信令的NAS安 全上下文，所述NAS信令即演进分组核心(EPC)网的MME与UE之间 的非接入层信令。NAS安全上下文包含用于NAS信令的加密和完整性保 护的参数(例如K_NAS_enc、K_NAS_int)以及上行链路和下行链路序 列号NAS_U_SEQ和NAS_D_SEQ，并且所述序列号被用来防止旧消息的 重放，以及用于输入到加密和完整性保护过程。ASME向MME提供NAS 安全上下文，并且在MME中保持一个NAS安全上下文，以及在UE中保 持对应的NAS安全上下文，并且重放保护、完整性保护和加密是基于： MME和UE的NAS安全上下文的序列号没有被重用。

优选地，用于保护UE与服务eNodeB(即EPS架构中的无线基站)之 间的UP/RRC业务的安全上下文也是基于所述安全密钥K_ASME。用于 建立UP/RRC安全上下文的过程包括导出被称为K_eNB的密钥，从该密 钥导出用于保护UP(用户平面)(即在EPC和E-UTRAN上传送的终端用 户数据)的加密密钥K_eNB_UP_enc以及用于保护RRC(无线资源控制) 的加密密钥K_eNB_RRC_enc和完整性保护密钥K_eNB_RRC_int。

图1示出在EPS架构中用于UE发起的空闲(IDLE)到活动(ACTIVE) 的状态转移的常规示例性信令流。空闲UE仅仅为EPS的EPC(演进分组 核心)所知，并且在eNodeB与UE之间不存在UP/RRC安全上下文。处于 活动状态的UE在EPC和EUTRAN中都是已知的，并且已经建立了用于保 护UE与其服务eNobeB之间的UP/RRC业务的UP/RRC安全上下文。

图1示出UE 11、eNodeB 12、MME 13、服务GW(网关)14、PDN 网关15、以及HSS(归属用户服务器)16。服务网关14是EPC的端接朝 向EUTRAN的接口的节点，并且PDN网关是EPC的端接朝向PDN(分组 数据网)的接口的节点。如果一个UE接入多个PDN，则可能存在多个用 于该UE的PDN网关。在信号S1和信号S2中，将NAS服务请求(SERVICE REQUEST)透明地从UE转发到MME，并且基于NAS_U_SEQ来对NAS 服务请求进行完整性保护。在可选信号S3中，由MME来认证UE并且使 用在HSS(归属用户服务器)中存储的用户数据来建立K_ASME，以及 在S4中，MME向eNodeB发送初始上下文建立请求。在信号S5和S6中， eNodeB建立与UE的无线承载并转发上行链路数据，并且在信号S7中将 初始上下文建立完成消息返回到MME。在信号S8中，MME将更新承载 请求发送到服务GW，并且在信号S9中服务GW进行响应。

在先前的解决方案中，由UE和MME导出用于RRC/UP安全上下文的 K_eNB是基于例如NAS服务接受(SERVICE ACCEPT)消息或从MME 发送到UE的其他显式信息。然而，如图1中的示例性常规EPS信令流中 所示，在接收到来自EPS中的UE的NAS服务请求时MME通常将不会发送 任何NAS服务接受。因此，从NAS服务接受消息中的信息导出K_eNB将 是不可能的。