专利名称：在中继节点切换过程中不需要重建高层安全的方法和系统的制作方法
技术领域：
本发明涉及无线通信安全领域，具体而言，涉及在一种在中继节点切换过程中不需要重建高层安全的方法和系统。
背景技术：
长期演进(Long Term Evolution,简称LTE)网络，由演进全球陆地无线接入网(Evolved Universal Terrestrial Radio Access Network,简称 E-UTRAN)和演进分组交换中心(Evolved Packet Core，简称EPC)组成，网络呈现扁平化。EUTRAN通过SI接口与EPC相连。其中，EUTRAN由多个相互连接的演进基站(Evolved NodeB，简称eNB)组成，各个eNB之间通过X2接口连接；EPC由移动性管理实体(Mobility Management Entity,简称MME)和服务网关(Serving Gateway,简称S-GW)组成。另外,在系统架构中还有一个归属环境(Home Environment, HE)，即归属用户服务器(HomeSubscriber Server, HSS)或归属 位置寄存器(Home Location Register, HLR)，作为用户数据库。HSS/HLR包含用户配置文件，执行用户的身份验证和授权，并可提供有关用户物理位置的信息等。为了满足日益增长的大带宽高速移动接入的需求，第三代伙伴组织计划(ThirdGeneration Partnership Projects,简称 3GPP)推出高级长期演进(Long-Term Evolutionadvance,简称LTE-Advanced)标准。LTE-Advanced对于LTE系统的演进保留了 LTE的核心，在此基础上采用一系列技术对频域、空域进行扩充，以达到提高频谱利用率、增加系统容量等目的。无线中继(Relay)技术即是LTE-Advanced中的技术之一，旨在扩展小区的覆盖范围，减少通信中的死角地区，平衡负载，转移热点地区的业务，节省用户设备(UserEquipment，简称UE)即终端的发射功率。如图I所示，在现有的网络架构中增加一种新的中继节点(Relay-Node，简称RN)，这种新增的RN和施主演进基站(Donor-eNB，简称DeNB)之间使用无线连接。其中，Donor-eNB和RN之间的接口称为Un 口，两者之间的无线链路称为回程链路(backhaul link) ;RN和用户设备(User Equipment, UE)之间的接口称为Uu口，其间的无线链路称为接入链路(access link)。下行数据先到达Donor-eNB，然后传递给RN，RN再传输至UE，上行反之。在实际通信过程中，RN作为一个基站，在接入认证和执行一些安全功能时，却是作为一个普通的终端设备进行处理。当RN作为一个终端设备时，RN可以像普通UE—样接入无线网络。普通UE在接入时网络侧会对其进行用户的鉴权认证和密钥协定(Authenticationand Key Agreement, AKA),在LTE系统中该过程也称为演进分组系统(Evolved PacketSystem,简称 EPS) AKA。RN在通过EPS AKA完成用户鉴权后，还需要进行设备认证。进行设备认证可以有两种方式，但不局限于这两种，一种是基于IP层安全(IP Security,简称IPSec)来实现，另一种是基于传输层安全(Transport Layer Security,简称TLS)来实现。为了阻止中间人类型的攻击，需要保证合法的USIM(Universal Subscriber Identity Module,通用用户识别模块)卡被插在合法的RN设备上，即需要实现RN的用户认证和设备认证之间的绑定。具体的绑定方法包括但不限于如下两种一是通过绑定IPSec结果和EPS AKA的结果来实现，采用这种方式的架构称为密钥绑定架构；二是把EPS AKA的结果作为IPSec建立的前提，即AKA产生的密钥作为IPSec直接或间接的预共享密钥，采用这种方式的架构称为预共享密钥架构。RN的安全功能还包括对Un 口传输的控制面数据和用户面数据进行安全保护，绑定生成的密钥和/或IPSec和/或TLS用于Un 口的安全保护。RN在进行移动的时候同样需要进行作为UE的切换，如图I所示。目前的LTE系统只支持切换过程中AS (Access Security,接入安全)层安全的处理,不能支持RN安全连接(即IPSec或TLS连接)安全上下文的处理，这导致切换后正常的安全功能不能进行，进一步导致切换后的RN无法正常工作。
发明内容
本发明提供一种在中继节点切换过程中不需要重建高层安全的方法，解决中继节点切换后正常的安全功能不能进行，进一步导致切换后的RN无法正常工作的问题。 为了解决上述问题，本发明提供了一种在中继节点切换过程中不需要重建高层安全的方法，包括源演进基站(DeNB)决定发起中继节点到目标DeNB的切换时，将与所述中继节点相关的安全连接安全上下文传递给所述目标DeNB ;所述目标DeNB保存所述安全连接安全上下文。进一步的，上述方法还可具有以下特点，所述源DeNB将与所述中继节点相关的安全连接安全上下文传递给所述目标DeNB包括 所述源DeNB直接将所述安全连接安全上下文传递给所述目标DeNB，或者，通过移动性管理实体将所述安全连接安全上下文传递给所述目标DeNB。进一步的，上述方法还可具有以下特点，所述源DeNB直接将所述安全连接安全上下文传递给所述目标DeNB包括所述源DeNB向所述目标DeNB发送切换请求消息，所述切换请求消息中携带所述安全连接安全上下文。进一步的，上述方法还可具有以下特点，所述源DeNB通过移动性管理实体将所述安全连接安全上下文传递给所述目标DeNB包括所述源DeNB向移动性管理实体发送切换需求消息，所述切换需求消息中携带所述安全连接安全上下文；所述移动性管理实体向所述目标DeNB发送切换请求消息，所述切换请求消息中携带所述安全连接安全上下文。进一步的，上述方法还可具有以下特点，所述安全连接安全上下文包括IP层安全连接安全上下文或者传输层安全连接上下文。进一步的，上述方法还可具有以下特点，所述安全连接安全上下文还包括安全绑定参数Ko。本发明还提供一种在中继节点切换过程中不需要重建高层安全的系统，包括源DeNB和目标DeNB，其中所述源DeNB用于在决定发起中继节点到目标DeNB的切换时，将与所述中继节点相关的安全连接安全上下文传递给所述目标DeNB ；所述目标DeNB用于保存所述安全连接安全上下文。进一步的，上述系统还可具有以下特点，所述源DeNB是用于直接将所述安全连接安全上下文传递给所述目标DeNB，或者，通过移动性管理实体将所述安全连接安全上下文传递给所述目标DeNB。进一步的，上述系统还可具有以下特点，所述源DeNB是用于向所述目标DeNB发送切换请求消息，所述切换请求消息中携带所述安全连接安全上下文。进一步的，上述系统还可具有以下特点，所述系统还包括移动性管理实体，其中所述源DeNB是用于向所述移动性管理实体发送切换需求消息，所述切换需求消息中携带所述安全连接安全上下文；所述移动性管理实体用于向所述目标DeNB发送切换请求消息，所述切换请求消息中携带所述安全连接安全上下文。进一步的，上述系统还可具有以下特点，所述安全连接安全上下文包括IP层安全连接安全上下文或者传输层安全连接上下文。进一步的，上述系统还可具有以下特点，所述安全连接安全上下文还包括安全绑定参数Ko。本发明由源DeNB将安全连接上下文传递给目标DeNB，可以使得RN作为UE在不同DeNB间切换的情况下，不需要重新进行高层安全连接(IPSec或TLS)的建立，RN与DeNB间安全连接持续可用，降低切换过程时延，提升用户体验。
图I为LTE网络架构中引入中继节点后的不意图；图2为基于IPSec安全连接的X2切换流程示意图；图3为基于TLS安全连接的X2切换流程示意图；图4为基于IPSec安全连接的SI切换流程示意图；图5为基于TLS安全连接的SI切换流程示意图。
具体实施例方式本发明的核心思想是RN作为UE进行切换的时候，通过把安全连接(IPSec或TLS)的安全上下文由原DeNB传递到目标DeNB，传递的安全连接安全上下文包括IPSec或TLS上下文和/或安全绑定参数(即Key offset,简称Ko)等。通过安全连接上下文的传递，目标DeNB继续使用之前在源DeNB建立好的安全连接，这样就避免了重新建立安全连接所需要的信令时延。如果Un接口上的控制面数据和用户面数据需要安全连接来安全保护，那么目标DeNB继续使用该安全连接来对其进行安全保护。安全连接两端实体本身也恢复 继续维护其连接状态。本发明提供一种在中继节点切换过程中不需要重建高层安全的方法，包括源演进基站(DeNB)决定发起中继节点到目标DeNB的切换时，将与所述中继节点的安全连接安全上下文传递给所述目标DeNB ;所述目标DeNB保存所述安全连接安全上下文。
其中，在所述中继节点切换到所述目标DeNB后，所述目标DeNB开启基于所述安全连接安全上下文的安全隧道。所述源DeNB将与所述中继节点的安全连接安全上下文传递给所述目标DeNB有两种方式I)直接传递 具体的,可通过切换请求消息携带安全连接安全上下文。所述源DeNB向所述目标DeNB发送切换请求消息，所述切换请求消息中携带所述安全连接安全上下文。2)通过MME传递
具体的，所述源DeNB向MME发送切换需求消息，所述切换需求消息中携带所述安全连接安全上下文；所述MME向所述目标DeNB发送切换请求消息，所述切换请求消息中携带所述安全连接安全上下文。所述安全连接安全上下文包括IP层安全连接安全上下文或者传输层安全连接上下文。所述安全连接安全上下文中还可包括安全绑定参数Ko。进一步的，通过安全连接安全上下文的传递，目标DeNB收到安全绑定参数(如Keyoffset，简称Ko)后，可以在后续需要重新密钥绑定时，使用该安全绑定参数。进一步的，通过安全连接安全上下文的传递，维护RN的设备认证。具体实施例一如图2所示，该实施例中描述了在作为UE的RN进行基于IPSec安全连接的X2切换过程中，对安全上下文的处理的具体方法，包括201.源DeNB收到RN的测量报告后，决定发起基于X2的切换；202.源DeNB向目标DeNB发送切换请求消息，消息中携带正常的AS安全上下文和IPSec安全上下文，可选的携带安全绑定参数Ko。目标DeNB收到该切换请求消息后，保存IPSec安全上下文，如果携带了安全绑定参数Ko则保存。其中，IPSec安全上下文包括每个安全联盟上的加密完保选项、算法、密钥等参数，还有每个安全联盟上的过滤器设置参数。203.目标DeNB向源DeNB发送切换请求确认消息。204.源DeNB收到切换请求确认消息后，开始进行切换，向RN发送切换命令消息。源DeNB发送完切换命令消息后，挂起安全隧道。205. RN收到切换命令消息后，挂起安全隧道，然后执行切换，向目标DeNB发送切换命令完成消息。206.目标DeNB向MME发送路径转换请求消息。207. MME向目标DeNB发送路径转换确认消息。208. MME与源DeNB之间完成资源释放。此后RN和目标DeNB开启安全隧道。具体实施例二 如图3所示，该实施例中描述了在作为UE的RN进行基于TLS安全连接的X2切换过程中，对安全上下文的处理的具体方法。
301.源DeNB收到RN的测量报告后，决定发起基于X2的切换。302.源DeNB向目标DeNB发送切换请求消息，消息中携带正常的AS安全上下文和TLS安全上下文，可选地携带安全绑定参数Ko。目标DeNB收到该切换请求消息后，保存TLS安全上下文，如果携带了安全绑定参数Ko也需要保存。如果该切换请求消息中没有携带安全绑定参数Ko，那么后续如果需要使用，可以通过TLS上下文内容重新推导安全绑定参数Ko。TLS安全上下文包括协商的安全算法、加密完保密钥等参数。303.目标DeNB向源DeNB发送切换请求确认消息。304.源DeNB收到切换请求确认消息后，开始进行切换，向RN发送切换命令消息。 源DeNB发送完切换命令消息后，挂起安全隧道。305. RN收到切换命令消息后，挂起安全隧道，然后执行切换，向目标DeNB发送切换命令完成消息。306.目标DeNB向MME发送路径转换请求消息。307. MME向目标DeNB发送路径转换确认消息。308. MME与源DeNB之间完成资源释放。此后RN和目标DeNB开启安全隧道。具体实施例三如图4所示，该实施例中描述了在作为UE的RN进行基于IPSec安全连接的SI切换过程中，对安全上下文的处理的具体方法。401，源DeNB收到RN的测量报告后，决定发起基于SI的切换。402，源DeNB向MME发送切换需求消息，消息中携带正常的AS安全上下文和IPSec安全上下文，可选地携带安全绑定参数Ko。403，MME收到切换需求消息后，向目标DeNB发送切换请求消息，透明传递IPSec安全上下文以及安全绑定参数Ko。目标DeNB收到该切换请求消息后，保存IPSec安全上下文，如果携带了安全绑定参数Ko则保存。IPSec安全上下文包括每个安全联盟上的加密完保选项、算法、密钥等参数，还有每个安全联盟上的过滤器设置参数。404.目标DeNB向MME发送切换请求确认消息。405. MME向源DeNB发送切换命令消息。406.源DeNB收到MME发来的切换命令消息后，开始进行切换，向RN发送切换命令消息。源DeNB发送完切换命令消息后，挂起安全隧道。407. RN收到切换命令消息后，挂起安全隧道，然后执行切换，向目标DeNB发送切换确认消息。408.目标DeNB向MME发送切换通知消息。409. MME与源DeNB之间完成资源释放。此后RN和目标DeNB开启安全隧道。具体实施例四如图5所示，该实施例中描述了在作为UE的RN进行基于TLS安全连接的SI切换过程中，对安全上下文的处理的具体方法。501，源DeNB收到RN的测量报告后，决定发起基于SI的切换。502，源DeNB向MME发送切换需求消息，消息中携带正常的AS安全上下文，和TLS安全上下文、可选地包括安全绑定参数Ko。503，MME收到切换需求消息后，向目标DeNB发送切换请求消息，透明传递TLS安全上下文以及可选地安全绑定参数Ko。目标DeNB收到该切换请求消息后，保存TLS安全上下文，如果携带了安全绑定参数Ko也需要保存。如果消息中没有携带安全绑定参数Ko，那么后续如果使用，可以通过TLS上下文内容重新推导。 TLS安全上下文包括协商的安全算法、加密完保密钥等参数。504.目标DeNB向MME发送切换请求确认消息。505. MME向源DeNB发送切换命令消息。506.源DeNB收到MME发来的切换命令消息后，开始进行切换，向RN发送切换命令消息。源DeNB发送完切换命令消息后，挂起安全隧道。507. RN收到切换命令消息后，挂起安全隧道，然后执行切换，向目标DeNB发送切换确认消息。508.目标DeNB向MME发送切换通知消息。509. MME与源DeNB之间完成资源释放。此后RN和目标DeNB开启安全隧道。本发明还提供一种在中继节点切换过程中不需要重建高层安全的系统，包括源DeNB和目标DeNB，其中所述源DeNB用于在决定发起中继节点到目标DeNB的切换时，将与所述中继节点相关的安全连接安全上下文传递给所述目标DeNB ；所述目标DeNB用于保存所述安全连接安全上下文。其中，所述源DeNB是用于直接将所述安全连接安全上下文传递给所述目标DeNB,或者，通过移动性管理实体将所述安全连接安全上下文传递给所述目标DeNB。其中，所述源DeNB是用于向所述目标DeNB发送切换请求消息，所述切换请求消息中携带所述安全连接安全上下文。所述系统还包括移动性管理实体，其中所述源DeNB是用于向所述移动性管理实体发送切换需求消息，所述切换需求消息中携带所述安全连接安全上下文；所述移动性管理实体用于向所述目标DeNB发送切换请求消息，所述切换请求消息中携带所述安全连接安全上下文。其中，所述安全连接安全上下文包括IP层安全连接安全上下文或者传输层安全连接上下文。还可包括安全绑定参数Ko。显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。以上所述仅为本发明的优选实施例，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、 等同替换、改进等，均应包含在本发明的保护范围之内。
权利要求
1.ー种在中继节点切换过程中不需要重建高层安全的方法，其特征在于，包括 源演进基站(DeNB)决定发起中继节点到目标DeNB的切换时，将与所述中继节点相关的安全连接安全上下文传递给所述目标DeNB ;所述目标DeNB保存所述安全连接安全上下文。
2.如权利要求I所述的方法，其特征在干， 所述源DeNB将与所述中继节点相关的安全连接安全上下文传递给所述目标DeNB包括 所述源DeNB直接将所述安全连接安全上下文传递给所述目标DeNB，或者，通过移动性管理实体将所述安全连接安全上下文传递给所述目标DeNB。
3.如权利要求2所述的方法，其特征在干， 所述源DeNB直接将所述安全连接安全上下文传递给所述目标DeNB包括 所述源DeNB向所述目标DeNB发送切换请求消息，所述切换请求消息中携帯所述安全连接安全上下文。
4.如权利要求2所述的方法，其特征在干， 所述源DeNB通过移动性管理实体将所述安全连接安全上下文传递给所述目标DeNB包括 所述源DeNB向移动性管理实体发送切换需求消息，所述切换需求消息中携帯所述安全连接安全上下文； 所述移动性管理实体向所述目标DeNB发送切换请求消息，所述切换请求消息中携帯所述安全连接安全上下文。
5.如权利要求I至4任一所述的方法，其特征在于，所述安全连接安全上下文包括IP层安全连接安全上下文或者传输层安全连接上下文。
6.如权利要求5所述的方法，其特征在于，所述安全连接安全上下文还包括安全绑定參数Ko。
7.ー种在中继节点切换过程中不需要重建高层安全的系统，其特征在于，包括源DeNB和目标DeNB，其中 所述源DeNB用于在决定发起中继节点到目标DeNB的切换时，将与所述中继节点相关的安全连接安全上下文传递给所述目标DeNB ； 所述目标DeNB用于保存所述安全连接安全上下文。
8.如权利要求7所述的系统，其特征在干， 所述源DeNB是用于直接将所述安全连接安全上下文传递给所述目标DeNB，或者，通过移动性管理实体将所述安全连接安全上下文传递给所述目标DeNB。
9.如权利要求7所述的系统，其特征在干， 所述源DeNB是用于向所述目标DeNB发送切换请求消息，所述切换请求消息中携帯所述安全连接安全上下文。
10.如权利要求7所述的系统，其特征在于，所述系统还包括移动性管理实体，其中 所述源DeNB是用于向所述移动性管理实体发送切换需求消息，所述切换需求消息中携帯所述安全连接安全上下文； 所述移动性管理实体用于向所述目标DeNB发送切换请求消息，所述切换请求消息中携帯所述安全连接安全上下文。
11.如权利要求7至10任一所述的系统，其特征在于，所述安全连接安全上下文包括IP层安全连接安全上下文或者传输层安全连接上下文。
12.如权利要求11所述的系统，其特征在于，所述安全连接安全上下文还包括安全绑定參数Ko。
全文摘要
本发明提供一种在中继节点切换过程中不需要重建高层安全的方法，包括源演进基站(DeNB)决定发起中继节点到目标DeNB的切换时，将与所述中继节点相关的安全连接安全上下文传递给所述目标DeNB；所述目标DeNB保存所述安全连接安全上下文。本发明还提供一种在中继节点切换过程中不需要重建高层安全的系统。本发明可以使得RN作为UE在不同DeNB间切换的情况下，不需要重新进行高层安全连接(IPSec或TLS)的建立，RN与DeNB间安全连接持续可用，降低切换过程时延，提升用户体验。
文档编号H04W36/00GK102685817SQ201110059750
公开日2012年9月19日 申请日期2011年3月11日 优先权日2011年3月11日
发明者李阳, 甘露 申请人:中兴通讯股份有限公司