CN119485371A 安全处理方法、装置及存储介质 （大唐移动通信设备有限公司）

密钥更新导致需要频繁地重配置候选目标小区2信息和/或安全更新指示信息的情况下，所述基于安全相关信息确定目标小区对应的安全基于所述目标小区的配置信息中包含的安全参数信息和/或安全更新指示信息确定所指示本次小区变更对应的安全密钥更新后安全参在源小区的第一分组标识信息与目标小区的第一分在所述源小区的第一分组标识信息与所述目标小区的第一分组标识信息不相同的情在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息不相同的情在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息相同的情况从所述安全相关信息中确定目标小区对应的安全密基于源小区的安全密钥计数器值和所述目标小区对应的安全密钥计数器列表确定目3在源小区的安全密钥计数器值处于所述目标小区对应的安全密钥计数器列表中的情在源小区的安全密钥计数器值未处于所述目标小区对应的安全密钥计数器列表中的在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值等于源小区的安全密钥计数器值的情况下，确定所述目标小区对应的安全密钥为当前的安全密在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值大于源基于所述安全相关信息中包含的安全密钥计数器初始值和全局步长生成目标小区对识信息或所述第二分组标识信息或所述安全密钥计数器列表包含于候选目标小区配置信接收网络设备发送的候选目标小区配置信息向终端发送候选目标小区配置信息和/或安全相关信息；所述安全相关信息用于确定4指示本次小区变更对应的密钥更新后安全参18.根据权利要求14所述的安全处理方法，其特征在于，所述向终端发送安全相关信核心网基于接入和移动性管理功能网元AMF密钥更新所20.根据权利要求19所述的终端，其特征在于，所述安全相关信息包括以下一种或多21.根据权利要求19所述的终端，其特征在于，在所述安全相关信息为安全参数信息基于所述目标小区的配置信息中包含的安全参数信息和/或安全更新指示信息确定所指示本次小区变更对应的安全密钥更新后安全参在源小区的第一分组标识信息与目标小区的第一分在所述源小区的第一分组标识信息与所述目标小区的第一分组标识信息不相同的情5在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息不相同的情在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息相同的情况从所述安全相关信息中确定目标小区对应的安全密基于源小区的安全密钥计数器值和所述目标小区对应的安全密钥计数器列表确定目在源小区的安全密钥计数器值处于所述目标小区对应的安全密钥计数器列表中的情在源小区的安全密钥计数器值未处于所述目标小区对应的安全密钥计数器列表中的在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值等于源小区的安全密钥计数器值的情况下，确定所述目标小区对应的安全密钥为当前的安全密在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值大于源基于所述安全相关信息中包含的安全密钥计数器初始值和全局步长生成目标小区对29.根据权利要求23_25中的任一项所述的终端或所述第二分组标识信息或所述安全密钥计数器列表接收网络设备发送的候选目标小区配置信息6向终端发送候选目标小区配置信息和/或安全相关信息；所述安全相关信息用于确定指示本次小区变更对应的密钥更新后安全参78[0003]在连续小区变更场景下，如存在CU间的小区变更的连续LTM(SubsequentLTM)或[0014]在一些实施例中，在所述安全相关信息为安全参数信息和/或安全更新指示信息[0015]基于所述目标小区的配置信息中包含的安全参数信息和/或安全更新指示信息确[0019]指示本次小区变更对应的安全密钥更新后安全参数信息的值是否需要加一的信9[0022]在所述源小区的第一分组标识信息与所述目标小区的第一分组标识信息不相同[0024]在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息不相同[0025]在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息相同的[0028]基于源小区的安全密钥计数器值和所述目标小区对应的安全密钥计数器列表确[0030]在源小区的安全密钥计数器值处于所述目标小区对应的安全密钥计数器列表中[0031]在源小区的安全密钥计数器值未处于所述目标小区对应的安全密钥计数器列表[0033]在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值等[0034]在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值大[0036]基于所述安全相关信息中包含的安全密钥计数器初始值和全局步长生成目标小[0045]向终端发送候选目标小区配置信息和/或安全相关信息；所述安全相关信息用于[0075]在一些实施例中，在所述安全相关信息为安全参数信息和/或安全更新指示信息[0076]基于所述目标小区的配置信息中包含的安全参数信息和/或安全更新指示信息确[0080]指示本次小区变更对应的安全密钥更新后安全参数信息的值是否需要加一的信[0083]在所述源小区的第一分组标识信息与所述目标小区的第一分组标识信息不相同[0085]在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息不相同[0086]在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息相同的[0089]基于源小区的安全密钥计数器值和所述目标小区对应的安全密钥计数器列表确[0091]在源小区的安全密钥计数器值处于所述目标小区对应的安全密钥计数器列表中[0092]在源小区的安全密钥计数器值未处于所述目标小区对应的安全密钥计数器列表[0094]在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值等[0095]在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值大[0097]基于所述安全相关信息中包含的安全密钥计数器初始值和全局步长生成目标小[0107]向终端发送候选目标小区配置信息和/或安全相关信息；所述安全相关信息用于[0136]在一些实施例中，在所述安全相关信息为安全参数信息和/或安全更新指示信息[0137]第一确定单元，用于基于所述目标小区的配置信息中包含的安全参数信息和/或[0141]指示本次小区变更对应的安全密钥更新后安全参数信息的值是否需要加一的信设备和UE都需要更新密钥，在UE接入目标小区后使用新密钥与目标小区进行信令/数据的更新以及由于密钥更新带来的一些数据中断等。上述问题存在于主小区组(MasterCell保证了连续小区变更场景下的密钥更新，避免了因为密钥更新导致需要频繁进行RRC重配标小区对应的安全密钥指终端接入目标小区后，与目标小区之间进行信令和/或数据交互执行小区变更后继续执行后续的小区变更(可以在配置的候选目标小区当中继续执行小区站发送的安全相关信息后基于该安全相关信息判断本次小区变更或下一次小区变更是否密钥更新，使UE执行小区变更之后继续维持候选目标小区配置信息来进行后续的小区变[0225]所述安全更新指示信息用于指示本次小区变更是否需要进行密钥更新，和/或指示本次小区变更对应的安全参数信息的值是否需要加一，和/或指示本次小区变更对应的[0228]本申请实施例中，所述第一分组标识信息可以是由两个标识信息拼接得到的信息。例如，由基站(gNB)标识信息/CU标识信息/控制面中央单元(CentralUnit_Control信息，则所述第一分组标识信息可以为gNB标识信息/CN标识信息/CU标识信息/CU_CP标识[0230]具体地，所述第二分组标识信息用于判断更新密钥后安全参数信息是否需要加[0231]本申请实施例中，所述第二分组标识信息可以为gNB标识信息/CN标识信息/CU标识信息/CU标识信息/CU_CP标识信息。此标识信息的使用方式可以为当源小区和目标小区[0233]具体地，所述安全密钥计数器列表(sk_counterlist)中有多个安全密钥计数器Information，DCI)命令或媒体接入控制控制单元(MediaAccessControlControl[0241]在一些实施例中，在所述安全相关信息为安全参数信息和/或安全更新指示信息[0242]基于所述目标小区的配置信息中包含的安全参数信息和/或安全更新指示信息确[0244]若本次小区变更UE应用的所述目标小区的配置信息中包含收到的安全更新指示置信息和/或安全相关信息。候选目标小区配置信息和安全相关信息可以在同一条信令中[0247]当UE收到安全参数信息，UE比较安全参数信息和UE生成当前安全密钥对应的NCC[0250]当UE收到安全更新指示信息指示本次小区变更对应的安全参数信息的值不需要PCI以及目标小区的绝对频点导出新的安全密[0251]当UE收到指示本次小区变更对应的安全密钥更新后安全参数信息的值不需要加[0252]当UE收到指示本次小区变更对应的安全密钥更新后安全参数信息的值需要加一[0260]安全参数信息可以与候选目标小区配置信息通过同一条信令或者不同信令发送[0261]步骤3：UE基于收到的安全参数信息导出新的安全密钥(目标小区对应的安全密[0262]步骤4：源基站将新的安全密钥和/或安全参数信息通过接口信令发送给目标基[0270]指示本次小区变更对应的安全密钥更新后安全参数信息的值是否需要加一的信指示本次小区变更对应的安全密钥更新后安全参数信息的[0283]指示本次小区变更对应的安全密钥更新后安全参数信息的值是否需要加一的信[0286]安全更新指示信息可以与候选目标小区配置信息通过同一条信令或者不同信令[0287]步骤3：UE基于收到的安全更新指示信息判断是否需要更新密钥以及如何导出新[0289]若安全更新指示信息中指示安全参数信息加一，UE将使用第二方式(如垂直密钥更新指示信息给UE，UE基于安全更新指示信息决定未出安全参数信息(NCC值)不变还是将[0300]步骤1：源基站将新的安全密钥和/或安全参数信息(NCC值)通过接口信令发送给[0304]步骤4：UE基于网络预配置的候选目标小区配置信息中的目标小区的安全相关参[0314]还需要将新/旧安全参数信息(NCC值)和/或新的安全密钥通过接口信令发送给相[0318]在所述源小区的第一分组标识信息与所述目标小区的第一分组标识信息不相同第一分组标识信息用于UE判断在每次执行小区[0337]当UE执行SCG侧小区变更时，UE判断源主辅小区(PrimarySecondaryCell，PSCell)小区与目标PSCell小区是否有相同的第一分组标识信息：若源PSCell小区与目标[0339]本申请实施例提供的安全处理方法，通过将第一分组标识信息作为安全相关信[0341]在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息不相同[0342]在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息相同的[0347]上述若源小区的第一分组标识信息与所述目标小区的第一分组区的PCI值以及目标小区的绝对频点信息计[0348]上述若源小区的第一分组标识信息与所述目标小区的第一分组源小区的第一分组标识信息和目标小区的第一分组标识信息不相同，那么需要更新密钥，第二分组标识信息用于UE判断在每次执行小区变更后是否需要将UE维护的安全参数信息[0357]基于源小区的安全密钥计数器值和所述目标小区对应的安全密钥计数器列表确[0359]所述目标小区对应的安全密钥计数器列表(sk_counterlist)可以从所述安全相器列表与源小区的安全密钥计数器值，获知源小区与目标小区是否属于同一个SN下的小[0364]在源小区的安全密钥计数器值处于所述目标小区对应的安全密钥计数器列表中[0365]在源小区的安全密钥计数器值未处于所述目标小区对应的安全密钥计数器列表基于安全密钥计数器初始值和全局步长生成目标小区对应的安全密钥计数器列表。其中，密钥计数器值。若源小区的安全密钥计数器值处于目标小区对应的安全密钥计数器列表[0371]为每个候选目标小区配置一个安全密钥计数器列表(sk_counterlist)，网络保证相同SN下的候选目标小区的sk_counterlist相同，不同SN下的候选目标小区的sk_counterlist值不同，不同SN下的sk_counterlist中没有重复的安全密钥计数器(sk_的sk_counterlist都配置为{13,14[0372]在UE执行小区变更时，如果源小区使用的sk_counter在目标小区sk_counter[0373]如果源小区使用的sk_counter不在目标小区sk_counterlist中，则UE选择目标小区sk_counterlist中的sk_counter，并基于此sk_counter和MCG侧安全密钥生成新的区sk_counterlist中的使用过的sk_counter以及其它同SN下的候选PSCell的sk_counter[0376]在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值等[0377]在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值大数器列表中的最后一个安全密钥计数器值不小于源小基于安全密钥计数器初始值和全局步长生成目标小区对应的安全密钥计数器列表。其中，[0380]若所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值大于源小区的安全密钥计数器值，则判断需要更新密钥来获得所述目标小区对应的安全密[0383]基于所述安全相关信息中包含的安全密钥计数器初始值和全局步长生成目标小变更将所述目标小区的安全密钥计数器列表中的最新值(第一次为安全密钥计数器起始[0389]为每个候选小区配置一个sk_counter起始值，网络保证相同SN下的候选小区的置的sk_counter初始值为{1}，SN2下配置的sk_counter初始值为{5}，SN3下配置的sk_[0390](1)UE基于初始值和全局步长为每个候选小区直接生成固定长度的sk_counterlist；每次生成的目标小区的sk_counterlist中的最后一个sk_counter值为第一个不小[0391](2)UE基于初始值和全局步长生成目标小区的sk_counter值，其不小于当前使用时，UE以目标小区的sk_counter起始值加全局步长来计算新的sk_counter值，新的sk_标小区是同一个SN下的小区，从源小区变更到目标小区不需要更新密钥，若新的sk_counter值大于当前的sk_counter值，那么UE判断源小区和目标小区不是同一个SN下的小生成新的SCG侧安全密钥(KgNB)，用于UE接入目标PSCell后与目标PSCell进行信令/数据交连续小区变更配置信息中的每个候选目标小区配置一个第一分组标识信息，和/或第二分配置信息中包含的安全相关信息确定目标小区对信息或网络设备未发送所述安全相关信息时，UE使用当前的安全密钥与目标小区进行信入和移动性管理功能(AccessandMobilityManagementFunction，AMF)密钥(即KAMF)重新计算出新的安全密钥(如导出新的KgNB或导出新的NH值)时，网络设备需要重配置安全相[0409]再例如，网络设备发送安全相关信息给UE后，当核心网重新生成了新的AMF密钥[0410]再例如，网络设备发送安全相关信息给UE后，当发生传统切换或条件切换(ConditionalHandover，CHO)或双激活协议栈切换(DualActiveProtocolStack的安全密钥(如导出新的KgNB或导出新的NH值)，或发生传统切换/条件切换/双激活协议栈代表的一个或多个处理器和存储器303代表的存储器的各种电路链接在一起。总线架构还[0440]处理器302负责管理总线架构和通常的处理，存储器303可以存储处理器302在执[0441]在一些实施例中，处理器302可以是中央处理器(CentralProcessingUnit，阵列(Field－ProgrammableGateArray，FPGA)或复杂可编程逻辑器件(Complex[0449]在一些实施例中，在所述安全相关信息为安全参数信息和/或安全更新指示信息[0450]基于所述目标小区的配置信息中包含的安全参数信息和/或安全更新指示信息确[0454]指示本次小区变更对应的安全密钥更新后安全参数信息的值是否需要加一的信[0457]在所述源小区的第一分组标识信息与所述目标小区的第一分组标识信息不相同[0459]在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息不相同[0460]在所述源小区的第二分组标识信息与所述目标小区的第二分组标识信息相同的[0463]基于源小区的安全密钥计数器值和所述目标小区对应的安全密钥计数器列表确[0465]在源小区的安全密钥计数器值处于所述目标小区对应的安全密钥计数器列表中[0466]在源小区的安全密钥计数器值未处于所述目标小区对应的安全密钥计数器列表[0468]在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值等[0469]在所述目标小区对应的安全密钥计数器列表中的最后一个安全密钥计数器值大[0471]基于所述安全相关信息中包含的安全密钥计数器初始值和全局步长生成目标小[0482]向终端发送候选目标小区配置信息和/或安全相关信息；所述安全相关信息用于代表的一个或多个处理器和存储器403代表的存储器的各种电路链接在一起。总线架构还[0484]处理器402可以是中央处理器(CentralProcessingUnit，CPU)、专用集成电路(ApplicationSpecificIntegratedCircuit，ASIC)、现场可编程门阵列(Field-ProgrammableGateArray，FPGA)或复杂可编程逻辑器件(ComplexProgrammableLogic[0506]确定模块501用于基于安全相关信息确定目标小区对应的安全密钥；所述目标小[0513]在一些实施例中，在所述安全相关信息为安全参数信息和/或安全更新指示信息[0514]第一确定单元，用于基于所述目标小区的配置信息中包含的安全参数信息和/或[0518]指示本次小区变更对应的安全密钥更新后安全参数信息的值是否需要加一的信[0567]所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用或者说对相关技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式计算机程序用于使通信设备执行上述各方法实计算机程序用于使芯片产品执行上述各方法实象，而不用于描述特定的顺序或先后次序。应该理解这样使用的术语在适当情况下可以互是多个。如适用的系统可以是全球移动通讯(globalsystemofmobilecommunication，GSM)系统、码分多址(codedivisionmultipleaccess，CDMA)系统、宽带码分多址(WidebandCodeDivisionMultipleAccess，WCDMA)通用分组无线业务(generalpacketradio进