[发明专利]一种安全保护协商方法及网元

权利要求书

1.一种安全保护协商方法，其特征在于，包括：

会话管理网元SMF确定本次会话过程中用户面所使用的安全保护信息，所述安全保护信息包括安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，所述安全保护包括加解密保护和完整性保护，所述消息认证码是指所述SMF使用完整性保护的算法和所述索引识别的安全保护的上下文包括的完整性保护的密钥对第一消息进行完整性保护生成的认证码；

所述SMF向UE发送包括所述用户面所使用的安全保护信息的所述第一消息，所述用户面所使用的安全保护信息用于所述UE根据所述用户面所使用的安全保护信息对所述第一消息进行完整性保护认证成功后启动用户面的安全保护；

所述SMF接收所述UE发送的用于指示所述UE对所述第一消息认证成功的第二消息，以及向用户面网关UPF发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，所述第三消息用于触发所述UPF根据所述安全保护的算法和所述安全保护的上下文启动用户面的安全保护。

2.如权利要求1所述的方法，其特征在于，所述SMF确定所述安全保护的算法，包括：

所述SMF从安全策略控制网元SPCF获取所述SPCF协商确定的所述安全保护的算法；或者，

所述SMF自行协商确定所述安全保护的算法。

3.如权利要求2所述的方法，其特征在于，所述SPCF部署在所述SMF、安全锚点网元SEAF和认证服务网元AUSF中的任意一个网元上，或者所述SPCF独立部署于网络中。

4.如权利要求1至3任一所述的方法，其特征在于，所述安全保护的算法是基于所述UE支持的安全保护的算法、网络支持的安全保护的算法和本次会话所属业务支持的安全保护的算法协商确定的。

5.如权利要求1至3任一所述的方法，其特征在于，所述SMF确定所述用户面所使用的安全保护信息之前，还包括：所述SMF建立本次会话；或者，

所述SMF确定所述用户面所使用的安全保护信息之前，还包括：所述SMF接收所述UE发送的用于请求建立本次会话的会话建立请求消息；

所述SMF向所述UE发送包括所述用户面所使用的安全保护信息的第一消息，包括：所述SMF向所述UE发送包括所述用户面所使用的安全保护信息的会话建立完成消息。

6.如权利要求5所述的方法，其特征在于，所述SMF接收所述UE发送的用于请求建立本次会话的会话建立请求消息之后，还包括：

所述SMF确定用户面的安全终结点为所述UPF，并通知无线接入网络RAN，所述SMF执行所述安全保护协商方法。

7.如权利要求1至3任一或6所述的方法，其特征在于，所述SMF向所述UE发送包括所述用户面所使用的安全保护信息的所述第一消息之后，还包括：

所述SMF接收所述UE发送的用于指示所述UE对所述第一消息认证失败的第四消息；

所述SMF根据所述第四消息的指示，确定不需要触发所述UPF启动用户面的安全保护。

8.一种安全保护协商方法，其特征在于，包括：

用户设备UE接收会话管理网元SMF发送的包括本次会话过程中用户面所使用的安全保护信息的第一消息，所述安全保护信息包括：安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，所述安全保护包括加解密保护和完整性保护，所述消息认证码是指所述SMF使用完整性保护的算法和所述索引识别的安全保护的上下文包括的完整性保护的密钥对所述第一消息进行完整性保护生成的认证码；

所述UE根据所述用户面所使用的安全保护信息对所述第一消息进行认证；

当所述UE对所述第一消息认证成功时，所述UE启动用户面的安全保护，以及向所述SMF发送用于指示所述UE对所述第一消息认证成功的第二消息。