[发明专利]用户面安全保护的方法和装置

说明书

本申请提供了一种用户面安全保护的方法和装置，该方法包括：第一会话管理功能SMF网元接收第二SMF网元发送的会话创建请求信息，会话创建请求信息包括第一业务信息；第一SMF网元根据第一业务信息确定安全策略信息；第一SMF网元向第一用户面安全网元发送第一指示信息；第一指示信息用于指示第一用户面安全网元根据安全策略信息与第一业务信息的对应关系生成安全上下文信息；其中第一SMF网元、第一用户面安全网元属于归属网络，第二SMF网元属于访问网络。本申请的数据安全保护方法和装置，可以在访问网络与归属网络间实现灵活的用户面数据安全保护。

技术领域

本申请涉及通信领域，更具体的，涉及一种用户面安全保护的方法和装置。

背景技术

3GPP(3rd generation partnership project，3GPP)定义了漫游接口控制面的安全网关SEPP(security edge protection proxy，SEPP)来进行控制面的安全保护，同时也定义了访问网络的vSEPP与归属网络的hSEPP直接的安全策略协商机制。在home-routed的漫游场景下，跨公共陆地移动网络PLMN(public land mobile network，PLMN)的访问网络vUPF与归属网络hUPF之间缺乏类似的安全机制进行保护，其中3GPP 33.501中用户面功能UPF(user plane function，UPF)之间的N9接口采用的保护方法无法根据业务需求采取相应的安全保护策略。因此，如何在访问网络与归属网络间实现灵活的用户面数据安全保护成为亟待解决的问题。

发明内容

本申请提供一种用户面安全保护的方法和装置，可以在访问网络与归属网络间实现灵活的用户面数据安全保护。

第一方面，提供了一种用户面安全保护的方法，包括：第一会话管理功能SMF网元接收第二SMF网元发送的会话创建请求信息，所述会话创建请求信息包括第一业务信息；所述第一SMF网元根据所述第一业务信息确定安全策略信息；所述第一SMF网元向第一用户面安全网元发送安全策略信息；所述安全策略信息用于第一用户面安全网元根据所述安全策略信息生成安全上下文信息；其中所述第一SMF网元、第一用户面安全网元属于归属网络，所述第二SMF网元属于访问网络。

在本申请实施例中，第一用户面安全网元可以是用户面SEPP-U网元或者用户面功能UPF网元。

可选的，归属网络SMF网元可以复用从统一数据管理平台(unified datamanager，UDM)获取的UE签约数据中的的RAN侧安全策略信息，或者，新增UE在UDM的SEPP-U侧安全策略签约数据，或者归属网络SMF网元根据第一业务信息确定安全策略信息，或者vSMF向hSMF发送UE新增的应用层相关参数，由hSMF根据UE新增的应用层相关参数进行安全策略决策。

由于归属网络SMF网元可以根据业务信息生成安全策略信息，用户面安全网元根据该安全策略信息生成安全上下文信息，当业务数据在相应的隧道上传输时，用户面安全网元可以针对不同的业务采用不同的安全上下文进行数据安全保护，在访问网络与归属网络间实现灵活的数据安全保护机制。

结合第一方面，在第一方面的某些实现方式中，该第一业务信息包括数据网络名称DNN信息和/或网络切片选择NSSAI信息。

结合第一方面，在第一方面的某些实现方式中，该安全策略信息包括第一指示信息、第二指示信息，其中，所述第一指示信息用于指示所述第一用户面安全网元是否采用加密算法进行数据加密保护，所述第二指示信息用于指示所述第一用户面安全网元是否采用完整性保护算法进行数据完整性保护。

或者，该安全策略信息包括安全上下文信息，该安全上下文信息用于指示用户面安全网元是否进行加密保护，和/或是否进行完整性保护。

例如，安全上下文信息可以指示用户面安全网元进行用户面数据加密，或者用户面数据完整性保护，或者用户面数据加密和用户面数据完整性保护，或者不进行用户面数据加密和用户面数据完整性保护。