CN119497076A 通信安全校验结果及安全策略更新方法、无线通信系统 （中电信智能网络科技有限公司）

本申请公开了一种通信安全校验结果及安少一个数据资源承载的PDCP安全校验结果，其的加密和/或完整性保护的结果是否匹配；第一基站用户面实体通过第一基站内消息向第一基架构中用户面实体并未向控制面实体报告数据2第一基站用户面实体确定终端至少一个数据资源承载的分组数据汇聚协议PDCP安全所述第一基站用户面实体通过第一基站内消息向第一基站控制面实体反馈所述安全所述第一基站用户面实体接收所述终端发送的至少一个所述数据资源承载的上行数所述第一基站用户面实体依据协议数据单元会话的第一用户面安全配置策略确定所所述第一基站用户面实体按照所述第二用户面安全配置策略对所述上行数据包进行置策略对接收的小数据包进行加密保护和/或完整性保护配置所得，所述安全配置策略中在所述第一基站控制面实体将所述协议数据单元会话的第一用户面安全配置策略发话的第一用户面安全配置策略确定所述数据资源7.根据权利要求6所述的方法，其特征在于，所述第一用户面安全配置策略中至少包在所述安全校验结果为第一安全校验结果时，所述第3和所述第一基站采用的加密和/或完整性保护的结果匹配，并通过所述第一基站内消息向在所述安全校验结果为第二安全校验结果时，所述第和所述第一基站采用的加密和/或完整性保护的结果不匹配，并通过所述第一基站内消息所述第一基站用户面实体通过分组数据汇聚协议PDCP控制协议数据单元会话向所述所述第一基站用户面实体确定不向所述终端转发所述数据资在第一基站控制面实体通过第一基站内消息接收第一基站用户面实体发送的安全校所述第一基站控制面实体通过接收第一基站分离实体发送的第二基站内消息确定所所述第一基站控制面实体通过接收所述第二基站发送的终端上下文获取响应信息获取终端上下文配置信息以及协议数据单元会话的第一用户面安全配置策略和所述终端的所述第一基站控制面实体依据所述协议数据单元会话的第一用户面安全配置策略和所述第一基站控制面实体通过第二基站内请求消息指示所述第一基站分离实体的上4所述第一基站控制面实体向所述终端发送RRC释放消息，其中所述终端接收到无线资源控制RRC释放消息时所驻留的小区的归属基站的安全配置信息所所述第一基站分离实体，用于接收并缓存所述上行数所述第一基站控制面实体，用于通过所述第一基站内消息确定所述终端的归属基站，并在所述归属基站为所述第二基站时，通过向所述第二基站发送终端上下文获取请求消所述第一基站分离实体，还用于根据所述上行通道传输地所述第一基站用户面实体，用于接收所述上全校验结果用于指示所述终端和所述第一基站采用的加密和/或完整性保护的结果是否匹20.一种非易失性存储介质，其特征在于，所述非易失性存储介质中存储有计算机程任意一项所述的通信安全校验结果方法或者权利要求12至16中任意一项所述的安全策略5校验结果方法或者权利要求12至16中任意一项6以采用完整性保护或者加密形式增加用户面数据的完整性全策略，再完成安全策略的校验后才能开始传递用户面数据。然而，根据3GPP(3rd用。[0005]本申请实施例提供了一种通信安全校验结果及安全策略更新方法、无线通信系第一基站用户面实体通过第一基站内消息向第一基站控7全策略是由终端接收到无线资源控制RRC释放消息时所驻留的小区的归属基站的安全配置依据各个协议数据单元会话的第一用户面安全配置策略确定数据资源承载的第二用户面和第一基站采用的加密和/或完整性保护的结果匹配，并通过第一基站内消息向第一基站户面实体确定终端和第一基站采用的加密和/或完整性保护的结果不匹配，并通过第一基8控制面实体通过接收第二基站发送的终端上下文获取响应信息获取终端上下文配置信息元会话的第一用户面安全配置策略和终端的安全配置策略是由终端接收到无线资源控制RRC释放消息时所驻留的小区的归属基站的安全配置信9密和/或完整性保护的结果是否匹配；第一基站用户面实体通过第一基站内消息向第一基[0031]图2是根据相关技术的一种5G基站中的基站控制面实体和基站用户面实体分离的员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范[0045]PDCP(PacketDataConvergenceProtocol，分组数据汇聚协议)：是LTE(Long保证数据安全性方面起着重要的作用。(DistributedUnit第一基站分离实体)，并通过F1接口进行连接，如图1所示，gNB_CU和CP。还可以将gNB_CU拆分为gNB_CU_CP(CU的控制平面)和gNB_CU_UP(CU的用户平面)，且[0053]相比于4G(4thGenerationMobileCommunicationTechnology，第四代移动通[0054]目前，UE和RAN(RadioAccessNetwork，无线接入网)之间的PDCP(PacketDataandMobilityManagementFunction，接入和移动性管理功能)通知基站与UE协商加密算侧时，可能会存在终端发送的数据采用的安全配置信息和网络侧存储的安全配置信息不[0056]本公开的发明人发现，目前分离式架构的基站在支持SDT(SecurityData以用于基站用户面实体CU_UP指示基站控制面实体CU_CP关于数据包的安全性校验存在问[0060]由于协议中没有明确基站用户面实体CU_UP安全校验失败时的行为是丢弃数据包[0065]图4是根据本申请实施例的一种可选的通信安全校验结果方法的流程示意图，如电话、智能电话、无线本地环路(WirelessLocalLoop，WLL)站、个人数字助理于第一基站用户面实体指示第一基站控制面实体关于户面实体确定终端至少一个数据资源承载的分组数据汇聚协议PDCP安全校验结果，其中，安全校验结果用于指示终端和第一基站采用的加密和/或完整性保护的结果是否匹配；第一基站用户面实体通过第一基站内消息向第一基[0073]作为一种可选的实施方式，图5是本申请实施例的一种可选的通信安全校验结果[0074]步骤S4021，第一基站用户面实体接收终端发送的至少一个数据资源承载的上行数据包，其中，上行数据包是由终端对接收的小数据包进行加密和/或完整性保护配置所全策略是由终端接收到无线资源控制RRC释放消息时所驻留的小区的归属基站的安全配置略以及密钥配置。通常，用户面安全配置策略，也可以称为用户面安全实施信息(User密的密钥长度为256bits和/或完整性保护时保护密钥长度为256bits)，密钥更新时间等[0077]在实际应用中，上述用户面安全配置策略所包括的用户面安全配置策略可以是TS38.413协议中定义的安全指示(SecurityIndication)的IE，包括完整性保护指示ProtectionIndication)，最大完整性保护数据速率上行链路(MaximumIntegrityProtectedDataRateUplink)和最大完整性保护数据速率下行链路(MaximumIntegrityProtectedDataRateDownlink)。上述的密钥配置可以包括下一跳链计数(NextHop可以包括NEA0(空加密算法)可以包括NEA0(空加密算法)128_NEA1(基于128位SNOW3G算法)128_NEA2(基于128位AES域内移动而不用通过无线资源控制RRC信[0081]1)上述非活动状态标识可以用I_RNTII(RadioNetworkTemporaryIdentifier，[0086]步骤S4022，第一基站用户面实体依据协议数据单元会话的第一用户面安全配置元会话的第一用户面安全配置策略确定数据制面实体反馈用户的上下文安全配置信息以及每个PDU会话的用户面安全配置策略和终端的安全配置策略，第一基站控制面实体会将获取的PDU会话的用户面安全配置策略发送给第一基站用户面实体，从而第一基站用户面实体可以根据PDU会话的第一用户面安全配置[0090]具体地，根据上述安全配置信息对每个PDU会话进行完整性保护的安全配置结果[0091]此外，根据上述安全配置信息对每个PDU会话进行加密保护的安全配置结果可以[0092]步骤S4023，第一基站用户面实体按照第二用户面安全配置策略对上行数据包进[0093]在上述步骤S4023所提供的方案中，由于终端已经根据第二基站配置的用户面安和第一基站采用的加密和/或完整性保护的结果是否匹配，需要根据第一基站侧的安全配置和密钥配置对终端发送的数据资源承载的上行数据包再进行相应的安全操作，如解密行数据如加密性保护和/或完整性保护操作，而第一基站用户面实体在接收到保护后的数据包后，会按照对应数据资源承载的用户面安全配置策略对数据包执行相应解密和/或完加密和/或完整性保护的结果匹配，并通过第一基站内消息向第一基站控制面实体反馈第和第一基站采用的加密和/或完整性保护的结果不匹配，并通过第一基站内消息向第一基映终端和第一基站采用的加密和/或完整性保护的结果是否匹配的安全校验结果，并通过二安全校验结果之后，第一基站用户面实体确定不向终端转发数据资源承载的下行数据[0105]具体地，在第一基站控制面实体得到第一基站用户面实体发送的安全校验结果处理行为，本申请实施例中公开第一基站控制面实体可以向核心网AMF发送路径倒换请求((PathSwitchRequest)消息将第二基站(即锚点基站)发送给终端的用户面安全配置策配置信息通过承载上下文修改请求消息(BearerContextModificationRequest)发送给第一基站用户面实体。此处的用户面安全配置策略是发生了用户面安全配置策略变换的[0107]具体地，在第一基站控制面实体得到第一基站用户面实体发送的安全校验结果处理行为，本申请实施例中公开第一基站控制面实体可以向核心网AMF发送路径倒换请求((PathSwitchRequest)消息将第二基站(即锚点基站)发送给终端的用户面安全配置策略发送给核心网进行校验，而核心网第一基站控制面实体通过路径倒换请求((PathSwitchRequest)消息向第一基站控制面实体发送正确的PDU会话对应的更新后的用户面了通过核心网获取正确的用户面安全配置策略，并通过RRC释放消息使得终端返回到空闲体发送的第二基站内消息确定终端所驻留的小区的归属基站，并在归属基站为第二基站基站控制面实体通过接收第二基站发送的终端上下文获取响应信息获取终端上下文配置信息以及协议数据单元会话的第一用户面安KNG_RAN*和NextHopChainingC下文配置信息以及协议数据单元会话的第一用户面安全配置策略和终端的安全配置策略；依据各个协议数据单元会话的第一用户面安全配置策略和终端的安全配置策略确定密钥，并将协议数据单元会话的第一用户面安全配置策略和终端的安全配置策略发送至第一基[0120]第一基站分离实体721，还用于根据上行通道传输地址将缓存的上行数据包传输和第一基站采用的加密和/或完整性保护的结果是否匹配；通过第三基站内消息向第一基[0124]由于在实施例1中已经对第一基站用户面实体722执行的通信安全校验结果方法以及第一基站用户面实体723执行的安全策略更新方法进行详细说明，此处对第一基站用户面实体执行通信安全校验结果方法以及第一基站用户面实体执行安全策略更新方法不[0125]下面将通过图8所示的信令流程图对无线通信系统中各网元之间的交互流程进行[0129]步骤S4，gNB1_DU接收UE发送的RRCResumeRequest消息(无需采用任何完整性保[0131]步骤S6，gNB2向gNB1_CU_CP发送上下文安全配置信息以及每个PDU会话的第一用[0132]步骤S7，gNB1_CU_CP根据每个PDU会话的用户面安全配置策略和终端的安全配置策略完成密钥计算后，并将每个PDU会话的第一用户面安全配置策略和终端的安全配置策[0133]步骤S8，gNB1_CU_UP根据PDU会话的第一用户面安全配置策略确定数据资源承载[0134]步骤S9，gNB1_CU_CP通过第二基站内请求消息指示gNB1