用于下一代蜂窝网络的用户面安全的制作方法

本申请要求享有2014年10月29日在美国专利和商标局提交的美国临时申请no.62/072,388，以及2015年10月26日在美国专利和商标局提交的美国非临时申请no.14/923,223的优先权和利益，以引用方式将它们的全部内容并入本文。

概括地说，本公开内容涉及通信系统，并且更特别地，本公开内容涉及用于在无线通信系统中保护用户面消息传递的系统。

背景技术：

图1是根据现有技术的第四代(4g)蜂窝网络100的元素的视图。4g蜂窝网络100可以包括接入部分(例如，无线接入网络(ran))和核心部分(例如，核心网络)，本文可以将接入部分称为演进型通用陆地无线接入网络(e-utran)102，本文可以将核心部分称为演进型分组核心(epc)104。e-utran102和epc104一起构成演进型分组系统(eps)。

eps可以与客户端设备106(例如，移动设备、移动终端、用户设备(ue)、终端)进行通信。客户端设备106可以包括通用用户识别模块(usim)108(其通常称为sim卡)。usim108可以是安全地存储例如国际移动用户标识(imsi)号和其相关的密钥k的集成电路芯片。密钥k可以是根密钥。

将eps中的通信划分为多个平面(即，用户面(up)和控制面(cp))中。在图1中，一个特定的控制面信令路径通过接入节点112(例如，enodeb)和移动管理实体(mme)114之间的虚线110来标识，而一个特定的用户面数据业务路径通过接入节点112和服务网关(s-gw)118之间的实线116来标识。本领域技术人员知道用于控制面信令和用户面数据业务的额外的和替代的路径。图1的视图是示例性的，并不旨在是限制性的。

e-utran102包括接入节点112，接入节点112包括与客户端设备106进行无线通信的硬件。在长期演进型(lte)网络中，接入节点112可以称为演进型节点b(enodeb)。举例而言，单个lte接入节点可以服务一个或多个e-utran102小区。

epc104包括分组数据网络(pdn)网关(p-gw)120。p-gw120用作至分组数据网络122(例如，互联网和/或专用的企业网)的网关。p-gw120可以被视作为至分组数据网络122的通道；其是网络策略实施的点。可以将接入节点112视作为用于客户端设备106到核心网络(例如，epc104)的空中接入的通道。接入节点112可以与p-gw120并置在一起，但接入节点112的功能与p-gw120的功能不同。换言之，即使它们并置在一起，接入节点112和p-gw120也是具有单独功能的单独实体。

此外，epc104还包括归属用户服务器(hss)124。hss124存储每个客户端设备106的唯一标识。认证中心(auc)126可以耦合到hss124。当客户端设备106尝试连接到epc104时，auc126可以用于对usim108进行认证。auc126可以存储与在usim108中所存储的密钥相同的密钥(例如，根密钥k)。换言之，auc126可以存储在usim108中存储的根密钥k的第二实例。不通过空中来发送根密钥。当客户端设备106加电时，通常可以发生auc126对usim108的认证。

epc104还包括s-gw118。s-gw118执行与传输用户面ip消息往返客户端设备106有关的功能。通常，应当理解的是，消息可以包括一个或多个分组。分组和消息可以具有不同的格式，并通过不同的报头进行封装。为了本文便于引用起见，通篇使用术语消息。

epc104还包括mme114。mme114执行与建立、维持和释放各个物理信道有关的功能。mme114可以准备用于消息通信的承载。mme114包含在控制面中，而客户端设备106、接入节点112、s-gw118、p-gw120和hss124包含在控制面和用户面两者中。

当客户端设备106与网络(例如，epc104)进行通信时，使用由mme114在连接过程期间分配的临时移动用户标识(tmsi)进行标识。还通过ip地址来标识客户端设备106，只要客户端设备106一加电，p-gw120就分配该ip地址。

控制面

在控制面中，当客户端设备106寻求连接到网络时，其将联系接入节点112。接入节点112将选择用于该客户端设备106的mme114。mme114将选择s-gw118和p-gw120。可以根据接入点名称(apn)来选择p-gw120，其中该apn通常是由用户或用户的操作者提供的。从所选定的p-gw120向客户端设备106分配ip地址，并且客户端设备106因此连接到蜂窝网络100。

用户面

一旦进行了连接，客户端设备106就可以经由接入节点112，在用户面上向p-gw120发送消息(例如，用于语音和数据的数据业务)和从p-gw120接收消息。为了确保客户端设备106和接入节点112之间的用户面链路安全，这两个节点目前导出称为kupenc密钥的加密密钥。结合在图3中描述的密钥等级里给出的kupenc密钥316，来提供kupenc密钥的导出的解释。为了确保接入节点112和p-gw120之间的用户面回程链路安全，这两个节点依赖于互联网协议安全(ipsec)。ipsec是用于通过对通信会话的每一个ip分组进行认证和加密，来确保互联网协议(ip)通信安全的协议组。应当注意的是，在承载基础中没有定义回程安全，但网络域安全(nds)进行了定义。

蜂窝网络100在下行链路和上行链路方向两者中，提供了用于用户面数据业务流动往返接入节点112的安全。在下行链路方向中，当携带用户数据业务的ip消息(例如，来自诸如互联网的分组数据网络122)到达p-gw120时，可以使用ipsec对该消息进行加密，并将其安全地传送到接入节点112。可以在接入节点112处，对该消息进行解密。因此，在接入节点112上可以存在未加密的消息数据。随后，再次对该消息进行加密，并使用kupenc密钥将其从接入节点112安全地传送到客户端设备106。在上行链路方向中，当携带用户数据的ip消息被设置为通过空中来从客户端设备106向接入节点112发送时，可以使用kupenc密钥对该消息进行加密并将其安全地传送到接入节点112。可以接入节点112处，对该消息进行解密。同样，因此在接入节点112上可以存在未加密的消息数据。随后，可以再次对该消息进行加密，并使用ipsec将其从接入节点112安全地传送到p-gw120。

加密提供的安全应当优选地保持消息安全，免受第三方或者甚至在不信任位置中部署或者被损害的接入节点的攻击。如下面将描述的，客户端设备106和接入节点112均导出kupenc密钥，该kupenc密钥用于确保在客户端设备106和接入节点112之间的上行链路方向和下行链路方向，在空中行进的数据业务安全。用户面安全终止在接入节点112处。用户面安全取决于接入节点112的正确行为，如上所述，当消息数据等待轮到其在其路径上从接入节点112传送到p-gw120或者客户端设备106时，接入节点112保持未加密的该数据。

应当注意，如在非接入层(nas)和接入层(as)之间，单独地定义安全。nas提供对核心网络节点(例如，mme114)和客户端设备106之间的通信的处理。as提供接入节点112和客户端设备106之间的通信。另外，与用户面上的安全相比，单独地定义控制面上的安全。

几个例子示出了维持用户面上的安全的重要性。例如，如果第三方损害了接入节点112的安全，则该第三方可以能够直接从接入节点112捕获未加密的数据。通过第二个例子，攻击者可以使用其自己数据来替换用户的数据。接收方将不能够断定该数据不是来自于用户。通过第三个例子，攻击者可能翻转用户的消息中的比特，这将导致传输不能进行适当地解密的消息，因此浪费宝贵的资源。

由于接入节点112可以位于公共场所(例如，不信任或不确保安全的位置)，这使其更容易受到敌对攻击，接入节点112可以是攻击的目标。另外，许多接入节点(如，类似于接入节点112)由多个移动网络运营商(mno)共享。移动网络运营商可能不是都根据相同级别的安全和监管进行操作，这使得一个恶意实体可以经由具有松懈安全实践的移动网络运营商来获得至接入节点112的接入。

在4g网络中，用户面安全终止于接入节点112处，接入节点112是发送和接收客户端设备106消息的地方。因此，用户面数据的客户端设备106私密性取决于接入节点112的完整性(或者安全状态)。如果接入节点112被损害或部署在不信任位置，则客户端设备106的用户面数据业务的安全性也处于被损害的危险之中。

这种用户面安全对于接入节点112的依赖性与4g安全架构的设计原则之间关系紧张，其中4g安全架构寻求不太信任接入节点112，并因此更少依赖于接入节点112。与在4g网络中相比，在所提出的下一代蜂窝网络(例如，5g)中，甚至可以更不信任接入节点112的，这是由于需要进行网络致密化以支持更高的容量和/或带宽、网格节点或者中继节点，其中这些节点涵盖接入节点或者接入节点功能。

因此，为了p-gw120和客户端设备106之间的安全通信起见，去除接入节点112作为受信任实体将是有益的。

技术实现要素：

根据一个方面，一种在设备处操作的方法可以包括：在该设备处，获得第一共享密钥；以及在该设备处，获得基于第一共享密钥的第二共享密钥。第二共享密钥可以用于确保数据业务在该设备和分组数据网络网关(p-gw)之间传输期间的安全。该设备和p-gw可以共享第二共享密钥；但是，它们可以彼此之间独立地获得第二共享密钥。

该设备可以基于第二共享密钥来确保数据业务安全，以产生第一安全的数据业务。随后，该设备可以经由接入节点来向p-gw发送第一安全的数据业务，其中p-gw和所述接入节点是不同的网络实体。

第一共享密钥可以是所述p-gw不知道的。可以在所述设备处本地地导出第一共享密钥和第二共享密钥，并且不是将其发送给该设备的。第二共享密钥可以确保用户面通信的至少一些层安全，而不同的密钥确保控制面通信安全。

根据一些方面，所述设备可以获得基于第一共享密钥的第三共享密钥，以确保在该设备和移动管理实体(mme)之间发送的控制消息传递安全，其中第三共享密钥由该设备和mme共享，并且p-gw、mme和所述接入节点是不同的网络实体。该设备可以获得基于第三共享密钥的第四共享密钥，以确保该设备和所述接入节点之间的数据业务以及该设备和mme之间的控制消息传递安全，其中第四共享密钥由该设备和所述接入节点共享。随后，该设备可以基于第四共享密钥来确保第一安全的数据业务安全，以产生第二安全的数据业务，其中第一安全的数据业务封装在第二安全的数据业务之中。随后，该设备可以替代第一安全的数据业务，经由所述接入节点向p-gw发送第二安全的数据业务，其中，所述p-gw、所述mme和所述接入节点是不同的网络实体。

根据一些方面，第二共享密钥在用户面的互联网协议(ip)层中，保护第二安全的数据业务，而第四共享密钥在用户面的分组数据会聚协议(pdcp)层中，保护第二安全的数据业务。根据一些方面，第四共享密钥在用户面的某些层上保护业务的某些传输，而第二共享密钥用于在用户面的其它层上保护业务的其它传输。

第一共享密钥可以在所述设备和网络实体之间共享。所述网络实体可以从归属订制服务器(hss)获得第一共享密钥。该设备可以独立于p-gw来获得第二共享密钥。获得第二共享密钥还包括：在所述设备处，根据第一共享密钥和分组数据网络网关标识符(gwid)来导出第二共享密钥。

在本文所描述的方面中，数据业务与控制消息传递不同。可以在用户面上发送数据业务，而且可以在控制面上发送控制消息传递，其中用户面和控制面是不同的传输路径。

在一些方面中，确保数据业务安全包括：基于第二共享密钥，对数据业务进行加密。确保数据业务安全可以包括：包含基于第二共享密钥的认证签名。

根据一些方面，本文描述的方法还可以包括：经由所述接入节点来从p-gw接收第三安全的数据业务，其中第三安全的数据业务是基于第二共享密钥来确保安全的。该方法还可以进一步包括：基于第二共享密钥对第三安全的数据业务进行解密和/或认证，以产生不确保安全的数据业务。

本文描述了用于执行上面所举例的方法的设备。另外，本文还描述了其上存储有一个或多个指令的非临时性机器可读存储介质，其中当所述一个或多个指令被至少一个处理器执行时，使得所述至少一个处理器执行上面所举例的方法的步骤。

根据另一个方面，一种在分组数据网络网关(p-gw)处操作的方法可以包括：在该p-gw处，从分组数据网络接收数据业务。该p-gw可以从网络实体获得秘密共享密钥，以确保所述数据业务在该p-gw和设备之间传输期间的安全，其中该秘密共享密钥由该p-gw和所述设备共享。随后，该p-gw可以基于所述秘密共享密钥来确保所述数据业务安全，以产生第一安全的数据业务。随后，该p-gw可以经由接入节点来向所述设备发送第一安全的数据业务，其中所述p-gw、所述接入节点和所述网络实体是不同的网络实体。

根据一些方面，所述秘密共享密钥是所述接入节点不知道的。可以通过控制面接口，将所述秘密共享密钥从所述网络实体提供给所述p-gw。根据一些方面，所述秘密共享密钥确保用户面通信的至少一些层安全，而不同的共享密钥确保控制面通信安全。例如，所述秘密共享密钥可以在用户面的互联网协议(ip)层中，保护所述数据业务。所述p-gw可以独立于所述设备来获得所述秘密共享密钥。所述秘密共享密钥可以是p-gw标识符(gwid)的函数。获得所述秘密共享密钥还可以包括：从位于归属用户服务器(hss)和移动管理实体(mme)之间的所述网络实体，获得所述秘密共享密钥。优选地，所述秘密共享密钥是从处于与所述p-gw相同的域中的所述网络实体获得的。也就是说，所述p-gw与所述网络实体处于一个域中。

在p-gw处操作的该方法还可以包括：在该p-gw处，经由所述接入节点从所述设备接收通过所述秘密共享密钥来确保安全的安全的上行链路数据业务。该p-gw可以利用所述秘密共享密钥对所述安全的上行链路数据业务进行解密和/或认证，以获得上行链路数据业务。随后，该p-gw可以向分组数据网络发送该上行链路数据业务。

本文描述了用于执行上面所举例的在p-gw处实现的方法的设备。

一种在网络实体(例如，会话密钥管理实体)处操作的方法，可以包括：在该网络实体处，获得第一共享密钥。在该网络实体处，还可以获得基于第一共享密钥的第二共享密钥。第二共享密钥可以用于确保数据业务在设备和分组数据网络网关(p-gw)之间传输期间的安全。所述设备和所述p-gw可以共享第二共享密钥；但是，它们彼此之间独立地来获得第二共享密钥。该方法还可以包括：向所述p-gw发送第二共享密钥。该方法还可以进一步包括：在所述网络实体处，获得基于第一共享密钥的第三共享密钥，以确保在所述设备和移动管理实体(mme)之间发送的控制消息传递安全。第三共享密钥由所述设备和所述mme共享。可以向所述mme发送第三共享密钥。所述网络实体、所述p-gw和所述mme可以是不同的网络实体。

根据一些方面，获得第二共享密钥可以包括：根据第一共享密钥和分组数据网络网关标识符(gwid)来导出第二共享密钥。

根据本文所描述的方面，数据业务与控制消息传递不同。例如，可以在用户面上发送数据业务，并且可以在控制面上发送控制消息传递，其中用户面和控制面是不同的传输路径。

根据一些方面，所述网络实体位于归属用户服务器(hss)和所述mme之间，并且所述网络实体与所述hss和所述mme不同。

本文描述了用于执行上面所举例的方法的设备。另外，本文还描述了其上存储有一个或多个指令的非临时性机器可读存储介质，其中当所述一个或多个指令被至少一个处理器执行时，使得所述至少一个处理器执行上面所举例的方法的步骤。

附图说明

图1是根据现有技术的第四代(4g)蜂窝网络的元素的视图。

图2是在图1的4g蜂窝网络的用户面中实现的各个协议栈的框图。

图3是在图1的4g蜂窝网络中实现的密钥等级。

图4根据现有技术，示出了4g(例如，lte(版本8))蜂窝网络的元素，其中根据控制面和用户面来对元素进行分组。

图5是根据本公开内容的方面的示例性下一代(例如，5g)蜂窝网络的元素的视图。

图6是在图5的下一代蜂窝网络的用户面中实现的各个协议栈的框图。

图7是在图5的示例性下一代蜂窝网络中实现的密钥等级。

图8根据本公开内容的方面，示出了示例性下一代(例如，5g)蜂窝网络的元素，其中根据控制面和用户面来对元素进行分组。

图9根据本公开内容的方面，示出了与在分组数据网络(pdn)连接建立期间，在控制面中初始地提供共享密钥(本文称为kp-gw密钥)，随后在用户面中传送利用该kp-gw密钥进行加密/认证的消息相关联的呼叫流的例子。

图10a示出了示例性下一代蜂窝网络的元素，其中根据控制面和用户面来对元素进行分组，其中p-gw处于归属网络中并被标识成h-p-gw。

图10b示出了示例性下一代蜂窝网络的元素，其中根据控制面和用户面来对元素进行分组，其中p-gw处于拜访网络中并被标识成v-p-gw。

图11根据本文所描述的方面，示出了在客户端设备处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

图12根据本文所描述的方面，示出了在客户端设备处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

图13根据本文所描述的方面，示出了在客户端设备处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

图14根据本文所描述的方面，示出了在客户端设备处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

图15根据本文所描述的方面，示出了在客户端设备处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

图16根据本文所描述的方面，示出了在设备(例如，芯片组件、客户端设备)处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

图17根据本文所描述的方面，示出了在例如接入节点处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

图18根据本文所描述的方面，示出了在接入节点(例如，enodeb)处操作的示例性方法，以保护蜂窝网络中的用户面消息(例如，用户面数据业务)。

图19根据本文所描述的方面，示出了在p-gw处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息的安全和/或完整性。

图20根据本文所描述的方面，示出了在至分组数据网络的网关(例如，p-gw)处操作的示例性方法，以保护蜂窝网络中的用户面消息(例如，用户面数据业务)。

图21根据本文所描述的方面，示出了在本文称为会话密钥管理实体(skme)的网络实体处操作的示例性方法，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

图22根据本文所描述的方面，示出了在skme处操作的示例性方法，以导出保护蜂窝网络中的用户面消息(例如，用户面数据业务)的密钥。

图23示出了被配置为执行本文所描述的方法的设备的示例性硬件实现方式的框图。

图24根据本文所描述的方面，示出了在设备(例如，芯片组件、客户端设备)处操作的示例性方法，以保护蜂窝网络中的用户面消息(例如，用户面数据业务)。

图25示出了被配置为执行本文所描述的方法的分组数据网络网关(p-gw)的示例性硬件实现方式的框图。

图26根据本文所描述的方面，示出了在p-gw处操作的示例性方法，以保护蜂窝网络中的用户面消息(例如，用户面数据业务)。

图27示出了被配置为执行本文所描述的方法的、本文称为会话密钥管理实体(skme)的网络实体的示例性硬件实现方式的框图。

图28根据本文所描述的方面，示出了在skme处操作的、结合保护蜂窝网络中的用户面消息(例如，用户面数据业务)的示例性方法。

具体实施方式

下面结合附图阐述的具体实施方式，旨在对各种配置进行描述，而不是旨在表示在这些配置中可以实践本文所描述的概念的唯一配置。为了对各种概念提供透彻理解，具体实施方式包括具体的细节。但是，对于本领域技术人员来说将显而易见的是，可以在不使用这些具体细节的情况下实践这些概念。在一些实例中，为了避免对这些概念造成模糊，公知的结构和元素以框图形式示出。

如本文所使用的，术语“获得”可以意指本地地导出或者从另一个实体获取。如本文所使用的，术语“设备”可以描述芯片组件和/或诸如客户端设备之类的用户设备(例如，移动设备、用户装备、用户设备、终端、移动电话、移动通信设备、移动计算设备、数字平板、智能电话、可穿戴智能设备等等其它设备)。如本文所使用的，“基于b来导出a”的构造以及类似的结构可以用于意指从b直接地或间接地导出/生成a。如本文所使用的，术语“确保安全”可以意指结合对用户面数据业务中的分组或消息进行认证，来加密/解密和/或执行某一动作。

为了克服在已知的系统中存在的问题和缺陷，本文提出了减少对于接入节点112的完整性(或安全状态)的依赖，以便在客户端设备106和p-gw120之间实现安全通信的方面。

概述

为了在下一代蜂窝网络(例如，相对于4g网络)中提供增加的安全性，客户端设备和至分组数据网络的蜂窝网络网关(下文称为分组数据网络(pdn)网关(p-gw))得知、获得和/或导出第一共享密钥。客户端设备经由用于蜂窝网络的接入节点，与p-gw进行通信。客户端设备和p-gw独立地得知、获得、生成和/或导出第一共享密钥。也就是说，在两个实体之间不存在相对于第一共享密钥的得知、获得、生成和/或导出的协商。在两个实体之间不交换与密钥有关的信息。换言之，独立地得知、获得、生成和/或导出意指，两个实体单独地得知、获得、生成和/或导出相同密钥的两个实例，而在它们之间不进行任何互换。第一共享密钥可以用于对客户端设备和p-gw之间发送的消息进行加密和/或认证。由于第一共享密钥是接入节点不知道的，因此确保了客户端设备和p-gw之间经由接入节点发送的消息的安全，以防止篡改和/或接入节点的不可接入。

客户端设备和接入节点可以得知、获得、生成和/或导出第二共享密钥，其中第二共享密钥与第一共享密钥不同。第二共享密钥可以用于对在客户端设备和接入节点之间发送的空中(over-the-air)消息进行加密和/或认证。

举一个例子，可以首先使用第一共享密钥，对客户端设备和p-gw之间经由接入节点发送的第一消息进行加密和/或认证，随后将其封装在第二消息中，其中第二消息是利用第二共享密钥来加密和/或认证的。

4g蜂窝网络用户面安全

图2是在图1的4g蜂窝网络的用户面中实现的各个协议栈200的框图。将各个协议栈200示为在客户端设备202、接入节点204、p-gw206和应用服务器(app服务器)208中实现。根据标准的运行支撑系统(oss)模型，在客户端设备202中实现的协议栈可以包括互联网协议层(ip层)210、分组数据会聚协议(pdcp)层212、无线链路控制(rlc)层214、媒体访问控制(mac)层216和物理(phy)层218。在接入节点204中实现的协议栈可以包括与客户端设备106中的那些层相对应的层。例如，接入节点204层可以包括pdcp层220、rlc层222、mac层224和phy层226。此外，还包括用于用户面的通用分组无线服务(gprs)隧道协议(gtp-u)层228、用户数据报协议(udp)层230、互联网协议层(ip)层232、mac层234和以太网层236，用于与分组数据网络网关(p-gw)206进行通信。在p-gw206中实现的协议栈可以包括对应的(gtp-u)层238、用户数据报协议(udp)层240、ip层242、mac层244和以太网层246，用于与接入节点204进行通信。在app服务器208中实现的协议栈可以包括ip层248。app服务器208的ip层248可以用于与p-gw206的ip层250进行通信。p-gw206的ip层250可以与客户端设备202的ip层210进行通信。刚刚标识的层是本领域中已知的。这些层的详细解释是本领域技术人员可获得的，故为了简明起见，本文将不进行描述。

图2指示客户端设备202的pdcp层212和接入节点204的pdcp层220之间的通信是基于共享密钥(kenb密钥252)来加密/解密的，其中，kenb密钥252可以用于导出共享的用户面加密密钥kupenc。换言之，客户端设备202的pdcp层212和接入节点204的pdcp层220之间的通信可以基于共享密钥(kenb密钥252)来确保安全。此外，图2提供了接入节点204的ip层232和p-gw206的ip层242之间的通信，是使用互联网协议安全(ipsec)254来确保安全的指示。

参见图1和图2，在4g中，如果客户端设备106向分组数据网络122(例如，互联网)发送用户面消息，则客户端设备106必须首先向接入节点112发送用户面消息。为了保护用户面消息，客户端设备106可以基于kenb密钥252来对该消息进行加密(即，使用kenb密钥252来导出kupenc密钥)。一旦进行了加密，则客户端设备106可以向接入节点112发送该消息。接入节点112可以基于kenb密钥252对该用户面消息进行解密(即，使用kenb密钥252来导出kupenc密钥)。因此，接入节点112可获得该用户面消息的未加密的内容。因此，很大地依赖接入节点112来保护穿过该接入节点112的通信的安全。如上所述，尽管具有安全担忧，但接入节点112可以被视作为4g通信的受信任实体。

在解密之后，接入节点112可以将该用户面消息转发给p-gw120。接入节点112可以利用ipsec254来确保从接入节点112的ip层向p-gw120的对应ip层传送的每一个ip消息安全。一旦确保了安全，则接入节点112可以根据ipsec协议，向p-gw120发送每一个ip消息。ipsec协议是本领域已知的。ipsec协议的详细描述是本领域技术人员可获得的，故为了简明起见，本文将不进行描述。

图3是在图1的4g蜂窝网络中实现的密钥等级300。本文标识为k302密钥的根密钥可以存储在客户端设备的通用用户识别模块(usim)上，也可以存储在核心网络的认证中心(auc)处。在客户端设备和核心网络之间的授权会话期间，usim和auc中的每一个可以基于k302密钥，独立地导出完整性密钥(ik)和密码密钥(ck)(本文统一地称为ik、ck304密钥)。ik、ck304密钥可以称为会话密钥。

在认证和密钥协商(aka)过程期间，ik、ck密钥304可以从auc发送给hss。换言之，hss可以从auc获得ik、ck304密钥。客户端设备已经具有ik、ck304密钥(凭借在客户端设备处由usim来导出的ik、ck密钥)。

客户端设备和hss中的每一个可以基于ik、ck密钥304，独立地导出访问安全管理实体(asme)密钥(kasme密钥)306。可以从hss向mme发送kasme密钥306。换言之，mme可以从hss获得kasme密钥306。客户端设备已经具有kasme密钥306(凭借在客户端设备处基于ik、ck304密钥来导出kasme密钥306)。mme可以视作为受信任的密钥实体。

客户端设备和mme中的每一个可以基于kasme密钥306，独立地导出非接入层加密密钥(knasenc密钥)308和非接入层完整性密钥(knasint密钥)310。knasenc密钥308和knasint密钥310旨在保护客户端设备和mme之间的控制面消息。这种保护防止其它元素对控制面中的消息进行解密或修改。

客户端设备和mme中的每一个还可以基于kasme密钥306，独立地导出接入节点密钥(本文称为kenb密钥312)。可以从mme向接入节点发送kenb密钥312。换言之，接入节点可以从mme获得kenb密钥312。此时，客户端设备和接入节点中的每一个都拥有标识为kenb密钥312的密钥。换言之，客户端设备和接入节点共享kenb密钥312。

在包括kenb密钥312的块之内，引用下一跳(nh)计数器。mme导出用于接入节点的第一kenb密钥。每当客户端设备从第一接入节点“向前”运动到第二接入节点，mme就导出新的kenb密钥来替代第一kenb密钥。随后，mme向第二接入节点发送该新的kenb密钥，以便保护来自前一接入节点的连接。因此，nh计数器提供了用于在mme和客户端设备中导出中间kenb密钥的方式。这称为前向安全过程。由于前向安全过程，因此当结合客户端设备从第一接入节点切换到第二接入节点，第一密钥改变为新的密钥时，第一接入节点不能使用第一kenb密钥来对经由第二接入节点发送的消息进行解密或修改。

使用基于kasme密钥306所导出的kenb密钥312，客户端设备和接入节点可以独立地导出四个不同的密钥，但是在实践中，通常导出三个密钥。这四个可能的密钥包括用户面完整性密钥(其表示为kupint密钥314)、用户面加密密钥(其表示为kupenc密钥316)、控制面(无线资源控制)完整性密钥(其表示为krrcint密钥318)和控制面(无线资源控制)加密密钥(其表示为krrcenc密钥320)。具有下标“enc”的密钥用于加密。具有下标“int”的密钥用于完整性。在4g中，不考虑用户面完整性；因此，通常不导出kupint密钥314。

返回到图2，4g蜂窝网络的用户面协议栈，在客户端设备202的pdcp层212和接入节点204的pdcp层220之间传送的消息可以基于kenb密钥252来加密(即，使用kenb密钥252来导出kupenc密钥)。可以对客户端设备202的pdcp层212和接入节点204的pdcp层220之间传送的消息，使用kupenc密钥(类似于图3的kupenc密钥316)来执行加密，而不考虑该消息的方向。在4g用户面消息中，在客户端设备202和接入节点204之间不对完整性进行控制。

如图2中所示，将描述用户面消息加密步骤。考虑其中客户端设备202试图向app服务器208发送消息的场景。客户端设备202和app服务器208可以使用传输控制协议/互联网协议(tcp/ip)或用户数据报协议/互联网协议(udp/ip)协议进行通信。为了在用户面中发送该消息，客户端设备202可以根据该协议栈，使用pdcp层212。称为第三代合作伙伴计划(3gpp)的标准制定机构可以定义pdcp层212。pdcp层212可以负责对从客户端设备202向接入节点204发送的消息进行加密(例如，加解密)和认证(如，完整性保护)。为了对该消息进行加密，客户端设备202可以使用kupenc密钥，其中kupenc密钥是客户端设备202基于kenb密钥252导出的。接入节点204基于kenb密钥252的共享复本，独立地导出相同的kupenc密钥。其是共享密钥，其原因在于客户端设备202和接入节点204都拥有相同的密钥。该kupenc密钥只有在客户端设备202和接入节点204之间是有价值的。不能够使用该kupenc密钥来对客户端设备202和任何其它接入节点之间的消息进行加密或解密。

客户端设备202的pdcp层212使用kupenc密钥对用户面消息进行加密(其中kupenc密钥是基于kenb密钥252导出的)，并将其发送给低层(rlc层214、mac层216、phy层218)，使得可以向该消息增加低层报头，并使得可以将该消息发送到接入节点204。在从高层接收到该消息之后，低层根据3gpp所建立的标准对该消息进行处理，并将其发送给接入节点204。

在接收之后，接入节点204的pdcp层220可以使用kupenc密钥对该消息进行解密，其中该kupenc密钥是接入节点204基于共享密钥(kenb密钥252)导出的。随后，接入节点204可以(根据解密后的数据)确定该消息所转发到的p-gw(例如，p-gw206)的ip地址。随后，使用ipsec254来封装该消息。在接入节点204和p-gw206之间建立ipsec隧道。随后，基于ipsec隧道所建立的互连，接入节点204在增加了额外的报头之后，对整个ip消息进行封装，并将其发送给p-gw206。ipsec254保护接入节点204和p-gw120之间的连接，所以可以假定其是安全的。一旦p-gw206接收到通过ipsec254来保护的消息，则其可以对该消息进行验证。一旦验证成功，则p-gw206可以去除接入节点204所添加的所有报头，并最终将从客户端设备202接收的消息发送给app服务器208。

似乎，将该消息从客户端设备保护直到p-gw。但是，从客户端设备202的角度来看，4g用户面安全可以在接入节点204处终止。在4g中，客户端设备202依赖于接入节点204来实现用户面安全，这是由于客户端设备202不能够判断接入节点204是否具有到p-gw206的安全连接。接入节点204必须信任：如果消息安全地到达接入节点204，则接入节点204将使该消息安全地发送到p-gw206。接入节点204还必须信任：如果消息没有成功地到达p-gw206，则互联网服务提供商(isp)将安全地将该消息从p-gw206发送到app服务器208。因此在4g蜂窝网络中，客户端设备202可以只关注于对该消息进行加密，以提供该消息在客户端设备202自身和接入节点204之间的安全，使得例如空中窃听者不能够对该消息进行解密。

图4根据现有技术，示出了4g(例如，lte(版本8))蜂窝网络400的元素，其中根据控制面和用户面来对元素进行分组。在图4中，使用隧道或管道的图形描绘来表示安全的信号路径。图4示出了核心网络402的元素。图4还示出了接入节点404，接入节点404可以与客户端设备406进行无线通信。核心网络402包括hss408、mme410、s-gw412和p-gw414。接入节点404包括rrc416实体(在控制面中发现的实体)、pdcp/rlc实体418和ip实体420(其中pdcp/rlc实体和ip实体在用户面中发现)。

因此，如上面所解释的，4g蜂窝网络中的用户面安全取决于接入节点404(例如，enodeb)的正确行为。由于在4g中，与mme410相比，接入节点404是较为不受信任的实体，因此将mme410视作为本地信任锚节点或者本地密钥锚节点。在需要时，mme410可以向接入节点404传递kenb密钥。可以基于kenb密钥来导出kupenc密钥。

图4从视觉上示出了某些导出的加密密钥的使用以及ipsec隧道426的使用。根据图4的方面，mme410是kasme密钥的本地信任锚节点或本地密钥锚节点。mme410和客户端设备406之间的管道422描述了利用knasenc和knasint密钥的安全性，来发送mme410和客户端设备406之间的控制面消息。如上面结合图3所描述的，客户端设备406和mme410中的每一个可以基于kasme密钥，独立地导出非接入层加密knasenc密钥和非接入层完整性knasint密钥。接入节点404的pdcp/rlc实体418和客户端设备406之间的管道424描述了利用kupenc密钥的安全性，来发送pdcp/rlc实体418和客户端设备406之间的用户面消息。如上面结合图3所描述的，客户端设备406和接入节点404中的每一个可以独立地导出kupenc密钥(即，用户面加密密钥)。接入节点404的ip实体420和核心网络402的p-gw414之间的ipsec隧道426描述了利用ipsec的安全性，来发送ip实体420和p-gw414之间的用户面消息。

下一代蜂窝网络用户面安全

上面所描述的4g场景举例说明了4g蜂窝安全架构的有问题的设计原理。用户面安全或者私密性取决于接入节点的完整性(或安全状态)的问题，可以在下一代(例如，5g)蜂窝网络中治愈。在本文所体现的下一代蜂窝网络中，可以建立客户端设备和p-gw之间的直接安全关系，以减少对于接入节点的完整性(或安全状态)的依赖。如本文所使用的，直接安全关系可以意指可以在无需信任任何中间实体或节点的情况下，提供客户端设备和p-gw之间的安全连接(例如，用于通信/消息/分组的交换)。可以通过使用客户端设备和p-gw共享的密钥，来建立这种直接安全关系，而该密钥不是客户端设备和p-gw之间的任何协商或互换的结果。换言之，客户端设备独立于p-gw来获得该共享密钥，同样，p-gw独立于客户端设备来获得该共享密钥。

图5是根据本公开内容的方面的示例性下一代(例如，5g)蜂窝网络500的元素的视图。蜂窝网络500可以包括接入部分(例如，无线接入网络(ran))和核心部分(例如，核心网络)，可以将接入部分描述为演进型通用陆地无线接入网络(e-utran)502，本文可以将核心部分称为演进型分组核心(epc)504。e-utran502和epc504一起构成演进型分组系统(eps)。

eps可以与客户端设备506(例如，移动设备、移动终端、用户设备(ue)、终端)进行通信。客户端设备506可以包括通用用户识别模块(usim)508(其通常称为sim卡)。usim508可以是安全地存储例如国际移动用户标识(imsi)号和其相关的密钥k的集成电路芯片。密钥k可以是根密钥。在不偏离本文所描述的任何方面的情况下，可以以任意数量的方式，将根密钥k安全地存储在客户端设备506处，其包括但不限于安全存储在usim508上。

将eps中的通信划分为平面(即，用户面(up)和控制面(cp))中。在图5中，一个特定的控制面信令路径通过接入节点512(例如，enodeb)和移动管理实体(mme)514之间的虚线510来标识，而一个特定的用户面数据路径通过接入节点512和服务网关(s-gw)518之间的实线516来标识。本领域技术人员知道用于控制面信令和用户面数据的额外的和替代的路径。图5的视图是示例性的，并不旨在是限制性的。

e-utran502包括接入节点512，接入节点512包括与客户端设备506进行无线通信的硬件。在长期演进型(lte)网络中，例如，接入节点512可以称为演进型节点b(enodeb)。举例而言，单个lte接入节点可以服务一个或多个e-utran502小区。

epc504包括诸如分组数据网络(pdn)网关(p-gw)520之类的各个网络实体。p-gw520用作至分组数据网络522(例如，互联网和/或专用的企业网)的网关。p-gw520可以被视作为至分组数据网络522的通道和网络策略实施的点；而可以将接入节点512视作为用于客户端设备506到核心网络(例如，epc504)的空中接入的通道，其中通过核心网络来连接分组数据网络522。接入节点512可以与p-gw520并置在一起，但接入节点512的功能与p-gw520的功能不同。换言之，即使它们并置在一起，接入节点512和p-gw520也是具有单独功能的单独实体。

epc504还包括诸如归属用户服务器(hss)524之类的网络实体。hss524存储每个客户端设备506的唯一标识。认证中心(auc)526可以耦合到hss524。当客户端设备506尝试连接到epc504(例如，核心网络)时，auc526可以用于对usim508进行认证。auc526可以存储与在usim508中所存储的密钥相同的密钥。当客户端设备506加电时，通常可以发生对usim508卡的认证。

epc104还包括诸如s-gw518之类的网络实体。s-gw518执行与传输用户面ip消息往返客户端设备506有关的功能。通常，应当理解的是，消息可以包括一个或多个分组。分组和消息可以具有不同的格式，并通过不同的报头进行封装。为了本文便于引用起见，通篇使用术语消息。epc504还包括mme514。mme514包含在控制面中，而客户端设备506、接入节点512、s-gw518、p-gw520和hss524包含在控制面和用户面两者中。mme514执行与建立、维持和释放各个物理信道有关的功能。

epc504还可以包括本文可以称为会话密钥管理实体(skme)528的网络实体。用于skme528的替代名称也是可接受的，例如，本地密钥锚节点、本地信任锚节点、密钥导出和维持存储单元等等。一个或多个skme可以位于给定的域/网络/服务网络中。例如，在本文所描述的方面中，一个skme可以称为归属会话密钥管理实体(h-skme)528(当其被视作为位于客户端设备的归属网络中时)。再举一个例子，在本文所描述的方面中，一个skme可以称为拜访会话密钥管理实体(v-skme)530(当其被视作为位于客户端设备的拜访网络中时)。h-skme528和/或v-skme530可以位于hss524和mme514之间。在一些方面中，可以将h-skme528和/或v-skme530描述为逻辑实体，可以在专门被配置为执行h-skme528和/或v-skme530的任务的硬件中实现它们的功能。虽然将v-skme530示出为经由h-skme528来串行地连接到hss524，但v-skme530可以直接与hss524进行通信。在一些方面中，一个skme可以执行h-skme528和v-skme530二者的功能。下一代蜂窝网络的epc504还可以包括拜访p-gw(其还称为v-p-gw532)。在如本文所公开的下一代蜂窝网络中，h-skme528和/或v-skme530可以用作本地信任锚节点或者本地密钥锚节点。h-skme528和p-gw520之间的虚线标识第一控制面信令路径534。v-skme530和v-p-gw532之间的虚线标识第二控制面信令路径536。第一控制面信令路径534和/或第二控制面信令路径536可以用于根据需要，从本地信任锚节点或者本地密钥锚节点(h-skme528、v-skme530)向p-gw520、v-p-gw532传递第一共享密钥(例如，图7的kp-gw密钥724)。

为了在下一代蜂窝网络中从客户端设备506直到p-gw520提供用户面安全，在hss524和mme514之间引入了h-skme528和/或v-skme530。h-skme528和/或v-skme530可以负责对共享密钥进行导出、维持和/或存储。客户端设备506和p-gw520(和/或v-p-gw532)可以共享该共享密钥。h-skme528可以向其归属网络中的p-gw520提供该共享密钥。v-skme530可以向拜访网络的v-p-gw532提供该共享密钥。可以使用该共享密钥来保护下一代蜂窝网络中的用户面数据。该共享密钥可以称为kp-gw密钥(例如，图7的kp-gw密钥724)。客户端设备和p-gw520和/或v-p-gw532独立地得知、获得和/或导出第一共享密钥。也就是说，在客户端设备506和p-gw520和/或v-p-gw532之间不存在相对于第一共享密钥的得知、获得和/或导出的协商。在客户端设备506和p-gw520和/或v-p-gw532之间不交换与密钥有关的信息。

在归属网络的情况下，h-skme528的功能可能可以在hss524中实现。

根据本文所描述的一些方面，在下一代蜂窝网络中，可以将本地信任锚节点或者本地密钥锚节点的角色(由mme在4g蜂窝网络中扮演的角色)分配给h-skme528和/或v-skme530。

图6是在图5的下一代蜂窝网络的用户面中实现的各个协议栈600的框图。将各个协议栈600示为在客户端设备602、接入节点604、分组数据网络网关(p-gw)606和应用服务器(app服务器)608中实现。根据标准的oss模型，在客户端设备602中实现的协议栈可以包括互联网协议层(ip层)610、分组数据会聚协议(pdcp)层612、无线链路控制(rlc)层614、媒体访问控制(mac)层616和物理(phy)层618。在接入节点604中实现的协议栈可以包括对应的pdcp层620、rlc层622、mac层624和phy层626，用于与客户端设备106进行通信。此外，还包括用于用户面的gprs隧道协议(gtp-u)层628、用户数据报协议(udp)层630、互联网协议层(ip)层632、mac层634和以太网层636，用于与p-gw606进行通信。在p-gw606中实现的协议栈可以包括对应的(gtp-u)层638、用户数据报协议(udp)层640、互联网协议(ip)层642、mac层644和以太网层646，用于与接入节点604进行通信。在app服务器608中实现的协议栈可以包括ip层648，用于与p-gw606的ip层650进行通信。p-gw606的ip层650可以与客户端设备602的ip层610进行通信。刚刚标识的层是本领域中已知的。这些层的详细解释是本领域技术人员可获得的，故为了简明起见，本文将不进行描述。

图6还示出在客户端设备602和p-gw606中实现的协议栈中的新层。即，客户端设备602中的用户面安全(up-sec)层656和p-gw606中的up-sec层658是新的。用于这些层的替代名称也是可接受的。up-sec层656可以负责使用基于kp-gw密钥660来导出的密钥(例如，使用kp-gwenc、kp-gwint)，对客户端设备602的ip分组(例如，ip消息)进行加密和/或认证。一旦进行了加密和/或完整性保护，接入节点604就不能够对该ip消息进行解密，其只可以将该消息转发给p-gw606。只有p-gw606可以对该消息进行解密和/或认证，这是由于基于kp-gw密钥660来导出的这些密钥只由客户端设备602和p-gw606共享；它们是接入节点604不可获得的。相同的情形也在相反方向成立。与在客户端设备602中实现的pdcp层612相比，在客户端设备602中实现的up-sec层656更高。与p-gw606的gtp-u层638相比，p-gw606的up-sec层658更高。虽然接入节点604和p-gw606之间不需要ipsec隧道，但除了在up-sec层656、658中利用kp-gw密钥660来保护消息之外，网络可以可选地实现ipsec隧道。例如，p-gw606可以使用ipsec来验证接收的消息是从给定的接入节点604来接收的。但是，对于用户面安全，不需要依赖于ipsec。因此，客户端设备602和p-gw606可以使用基于共享的kp-gw密钥660来导出的共享密钥(例如，kp-gwenc、kp-gwint)，来向用户面业务中的消息提供加密(保密)和/或完整性保护。

在本文所描述的方面中，接入节点604可以被使得(或者可以被配置为)基于是否启用了在客户端设备602和p-gw606之间用户面安全(up-sec)保护的新方面，来对消息进行加密和/或认证。可以通过使用该选项来避免开销。更确切地说，如果没有启用在客户端设备602和p-gw606之间up-sec保护的新方面，则接入节点604可以执行与在目前的4g实践中的相同行为。如果启用了在客户端设备602和p-gw606之间up-sec保护的新方面，则可以基于第一共享密钥(kp-gw密钥660)对ip层中的消息进行加密/解密和/或认证/完整性验证(其中kp-gw密钥660可以用于导出共享密钥kp-gwenc和kp-gwint)。此外，还可以可选地基于第二共享密钥(kenb密钥652)对pdcp层中的消息进行加密/解密和/或认证/完整性验证(其中kenb密钥652可以用于导出共享密钥kupenc和kupint)。如上所描述的，kenb密钥652的导出是基于kasme密钥的，其中该kasme密钥是mme已知的。但是，在本文所描述的方面中，不向mme提供kp-gw密钥660(即，mme不知道kp-gw密钥660)。事实上，kenb密钥652和kp-gw密钥660不具有相关性(它们是不相关的)。up-sec基于使用kp-gw密钥660、以及客户端设备和接入节点之间可选的额外用户面安全基于使用kenb密钥652的特征，可以基于例如根据网络的配置或者根据客户端设备602、根据承载的配置，来进行启用/禁用。

在下一代(例如，5g)蜂窝网络的示例性实践使用中，未加密的ip消息可以与目前在4g蜂窝网络中发现的相同。但是，可以在本文所描述的示例性下一代蜂窝网络的方面中，引入密钥生成的方法，以及增加客户端设备602中的up-sec层656和p-gw606中的up-sec层658。客户端设备602中的up-sec层656和p-gw606中的up-sec层658可以负责使用基于kp-gw密钥660所导出的共享密钥(例如，kp-gwenc、kp-gwint)，对客户端设备602ip消息进行加密和/或认证。在本文所举例说明的下一代蜂窝网络中，一旦基于第一共享密钥(例如，kp-gw密钥660)对ip消息进行了加密和/或完整性保护，则接入节点112就不能对该ip消息进行解密和/或认证。在本文所举例说明的下一代蜂窝网络中，优选的是，仅仅p-gw606可以对使用基于第一共享密钥(例如，kp-gw密钥660)的密钥进行加密和/或完整性保护的消息进行解密和/或认证。这可以表示相对于4g蜂窝网络的安全性改进，这在下一代蜂窝网络中是可能的，这是由于在下一代蜂窝网络中，客户端设备602和p-gw606可以共享基于kp-gw密钥660的一个或多个密钥(例如，kp-gwenc和kp-gwint)。基于kp-gw密钥660，客户端设备602和p-gw606可以向用户面的消息提供保密性和/或完整性。如上面所解释的，还应当注意的是，接入节点604可以可选地用于通过利用第二共享密钥(例如，kenb密钥652)，对利用基于第一共享密钥(kp-gw密钥660)的共享密钥来进行加密和/或完整性保护的消息增加额外的安全。也就是说，接入节点604可以利用基于第二共享密钥(kenb密钥652)的密钥，对利用基于第一共享密钥(kp-gw密钥660)的密钥进行加密和/或完整性保护的消息进行加密和/或完整性保护。随后，接入节点112可以向p-gw606发送该安全的消息。

图7是在图5的示例性下一代蜂窝网络中实现的密钥等级700。本文标识为k密钥702的根密钥可以存储在客户端设备的通用用户识别模块(usim)上，也可以存储在核心网络的认证中心(auc)处。在本文所描述的方面中，不通过空中来发送k密钥702。在客户端设备和核心网络之间的授权会话期间，usim和auc中的每一个可以基于k密钥702(它们中的每一个分别拥有)，独立地导出完整性密钥(ik)和密码密钥(ck)(本文统一地称为ik、ck密钥704)。ik、ck密钥704可以称为会话密钥，更具体而言，称为授权会话密钥。

在认证和密钥协商(aka)过程期间，ik、ck密钥704可以从auc发送给hss。在本文所描述的方面中，不通过空中来发送ik、ck密钥704。换言之，hss可以从auc获得ik、ck密钥704。客户端设备已经具有ik、ck密钥704(凭借由客户端设备处的usim来导出ik、ck密钥)。

不是由客户端设备和hss中的每一个独立地导出kasme密钥(如在目前的4g蜂窝网络中)，客户端设备和hss中的每一个可以基于ik、ck密钥704，独立地导出本文称为kskme密钥706的新密钥，其中skme可以代表会话密钥管理实体。不从hss向mme发送kskme密钥706。相反，可以从hss向skme(例如，图5的h-skme528)发送kskme密钥706。换言之，skme可以从hss获得kskme密钥706。在本文所描述的方面中，不通过空中来发送kskme密钥706。客户端设备已经具有kskme密钥706(凭借在客户端设备处基于ik、ck密钥704来导出kskme密钥706)。

客户端设备和skme中的每一个可以基于kskme密钥706，独立地导出kasme密钥708。可以从skme向mme发送kasme密钥708。换言之，mme可以从skme获得该kasme密钥708。在本文所描述的方面中，不通过空中来发送kasme密钥708。应当注意的是，刚刚所描述的skme是本地skme，而不管该客户端设备是连接到归属网络还是连接到拜访网络。还应当注意的是，kasme密钥708可以类似于4g中的kasme密钥；但是，在本文所描述的方面中，kasme密钥708的导出是基于kskme密钥706的，而不是基于ik、ck密钥704的。客户端设备已经具有kasme密钥708(凭借在客户端设备处基于kskme密钥706来导出kasme密钥708)。

与(如图3中所举例说明的)4g密钥等级中的相比，在本文所描述的方面中引入skme，提供了hss和mme之间的额外的密钥等级层。

客户端设备和mme中的每一个可以基于kasme密钥708，独立地导出非接入层加密密钥(knasenc密钥710)和非接入层完整性密钥(knasint密钥712)。knasenc密钥710和knasint密钥712旨在保护客户端设备和mme之间的控制面消息。这种保护阻止其它元素对控制面中的消息进行解密或修改。

客户端设备和mme中的每一个还可以基于kasme密钥708，独立地导出接入节点密钥(本文称为kenb密钥714)。可以从mme向接入节点发送kenb密钥714。换言之，接入节点可以从mme获得该kenb密钥714。客户端设备已经具有kenb密钥714(凭借在客户端设备处基于kasme密钥708来导出kenb密钥714)。在本文所描述的方面中，不通过空中来发送kenb密钥714。

此时，客户端设备和接入节点中的每一个都拥有标识为kenb密钥714的密钥。换言之，客户端设备和接入节点共享kenb密钥714。

在包括kenb密钥714的块之内，引用下一跳(nh)计数器。上面描述了nh计数器的功能，故为了精简起见，这里不进行重复。

使用kenb密钥714，客户端设备和接入节点可以独立地导出四个不同的密钥。这四个可能的密钥包括用户面完整性密钥(其表示为kupint密钥716)、用户面加密密钥(其表示为kupenc密钥718)、控制面完整性密钥(其表示为krrcint密钥720)和控制面加密密钥(其表示为krrcenc密钥722)。具有下标“enc”的密钥用于加密。具有下标“int”的密钥用于完整性。针对于客户端设备和接入节点之间通过空中传送的消息，kupint密钥716和kupenc密钥718分别用于用户面数据的完整性保护和加密。它们可以用于在客户端设备和接入节点之间对pdcp层中的消息进行加密/完整性保护。krrcint密钥720和krrcenc密钥722分别用于无线资源控制(rrc)数据的完整性保护和加密。

另外，可以基于kskme密钥706来导出另一个密钥。该额外的密钥可以称为kp-gw密钥724，其示出在图7的右边。与4g蜂窝网络的特征相比，kp-gw密钥724和kskme密钥706可以是下一代蜂窝网络中的新特征。客户端设备和skme中的每一个可以基于kskme密钥706，独立地导出kp-gw密钥724。skme可以向p-gw提供该kp-gw密钥724。在本文所描述的方面中，不通过空中来发送kp-gw密钥724。kp-gw密钥724是共享密钥，其原因在于客户端设备和p-gw两者拥有相同的密钥。换言之，该密钥是共享的是因为这两个实体拥有它们自己独立导出或者获得的该密钥的复本，而不是因为一个实体将其密钥的复本分发给另一个实体或者与另一个实体协商该密钥的导出或生成。kp-gw密钥724的共享并不需要在客户端设备和p-gw之间的任何信令、协商或者交互。应当注意的是，如果客户端设备经由拜访域中的p-gw(例如，v-p-gw)来连接到分组数据网络(例如，互联网)，则由拜访skme(v-skme)提供该kp-gw密钥724。如果客户端设备经由归属p-gw(例如，h-p-gw)来连接到分组数据网络，则应当由归属skme(h-skme)来提供该kp-gw。至于是使用h-p-gw(即，归属域/归属网络p-gw)还是使用v-p-gw(即，拜访域/拜访网络p-gw)，可以基于例如客户端设备的订制信息(例如，来自于订制简档)和/或归属域的服务策略和/或某一其它网络接入策略，由网络运营商进行配置。

因此，可以在客户端设备和p-gw之间共享该kp-gw密钥724。客户端设备和p-gw可以基于kp-gw密钥724，来独立地导出kp-gwint密钥726(完整性密钥)和kp-gwenc密钥728(加密密钥)。可以使用完整性密钥(kp-gwint密钥726)来生成消息认证码。加密密钥(kp-gwenc密钥728)可以用于加密。

从网络角度来看，接入节点可以是层2(l2)连接点(即，其支持mac/phy层)，而p-gw可以是层3(l3)连接点(即，ip层)。这两个不需要并置在一起，但l2连接点可以改变，而保持l3连接点不变。

可以使用kenb密钥714(在本文的一些方面中，其可以称为第二共享密钥)来保护用户面层2空中消息。用户面层2空中消息可以位于分组数据会聚协议(pdcp)层。可以使用kp-gw密钥724(在本文的一些方面中，其可以称为第一共享密钥)来保护用户面层3消息。用户面层3消息可以位于互联网协议层(ip层)(例如，图6的ip层610、650)或者用户面安全(up-sec层)(例如，图6的656、658)中。

在一些方面中，kp-gw密钥724可以是例如kskme密钥706和特定网关的标识符(gwid)的函数(例如，kp-gw＝f(kskme,gwid))。mme在会话建立期间，向客户端设备通知该gwid。函数f可以是密钥导出函数。

图8根据本公开内容的方面，示出了示例性下一代(例如，5g)蜂窝网络800的元素，其中根据控制面和用户面来对元素进行分组。在图8中，使用隧道或管道822、824、826的图形描述来表示安全的信号路径。图8示出了核心网络802的元素。图8还示出了接入节点804，接入节点804可以与客户端设备806进行无线通信。核心网络802包括hss808、skme809、mme810、s-gw812和p-gw814。接入节点804包括rrc816实体(在控制面中发现的实体)、pdcp/rlc实体818和ip实体820(其中pdcp/rlc和ip实体在用户面中发现)。图8与归属网络连接场景中的客户端设备有关。

图8在视觉上示出了某些导出的加密密钥的使用。根据图8的方面，skme809是用于会话密钥管理实体密钥(kskme密钥811)的本地信任锚节点或本地密钥锚节点。mme810是用于kasme密钥813的本地信任锚节点或本地密钥锚节点。

mme810和客户端设备806之间的管道822描述了利用knasenc和knasint加密密钥的安全性，来发送mme810和客户端设备806之间的控制面消息。如上面结合图7所描述的，客户端设备806和mme810中的每一个可以基于kasme密钥813，独立地导出非接入层加密knasenc密钥和非接入层完整性knasint密钥。具体而言，hss808向skme809发送kskme密钥811，skme809基于kskme密钥811来导出kasme密钥813并向mme810发送该kasme密钥813，mme810基于该kasme密钥813来导出knasenc和knasint加密密钥(参见管道822)。

客户端设备806和p-gw814之间的管道824描述了利用kp-gw加密密钥的安全性，来发送客户端设备406和p-gw814之间的用户面消息。如上面结合图7所描述的，客户端设备806和skme809中的每一个可以基于kskme密钥811，独立地导出kp-gw密钥。skme可以向p-gw814提供kp-gw密钥。具体而言，hss808向skme809发送kskme密钥811，skme809基于kskme密钥811来导出kp-gw密钥并向p-gw814发送该kp-gw密钥。利用第一共享密钥(kp-gw密钥)的安全性，来发送客户端设备806和p-gw814之间的消息(参见管道824)。

围绕客户端设备806和接入节点804的pdcp/rlc实体818之间的管道824的管道826描述了第二共享密钥(kenb密钥)，其可以可选地用于对基于kp-gw密钥已经进行加密和/或认证的消息进行加密和/或认证。可选的第二加密和/或认证可用于该消息(当其在接入节点804和客户端设备806之间进行发送时)，无论是在上行链路方向还是下行链路方向。

如上面所指示的，skme809可以负责导出称为kp-gw密钥的密钥。客户端设备806可能可以基于在自己和auc之间共享的根密钥(k)来导出每一个密钥，因此其还可以导出kp-gw；但是，p-gw814不能够导出用于客户端设备806的数据连接的kp-gw密钥。因此，skme809可以基于kskme密钥811来导出kp-gw密钥，并经由例如控制面信号路径828来向p-gw814发送该kp-gw密钥。因此，客户端设备806和p-gw814共享密钥(kp-gw密钥)。将理解的是，当两个实体共享密钥时，那么它们可以确保连接安全(无论通过什么方式)。

与4g网络中的kasme密钥不同，不向mme810提供kp-gw密钥。由于客户端设备806可能在切换期间重定位到不同的mme，所以不向mme810提供该kp-gw密钥。在该情况下，需要将kp-gw密钥从第一mme810传送到第二mme(没有示出)。但是，在下一代蜂窝网络中，可以对安全架构进行设计，以将mme810视作为不太受信任的实体。

可以期望的是，与目前使用4g蜂窝网络的相比，越来越多的移动设备将使用下一代蜂窝网络。根据一种估计，移动设备的数量在十年内将增至一百倍。考虑到这种较大数量的客户端设备，mme的数量可能显著地增加。今天，在4g网络中，将mme视作为受信任实体。如今，一个全国性的大型电话公司可能只需要四个mme来覆盖它们整个的网络。由于该数量较小，因此可以针对每一个mme来建立较强的安全。例如，今天的mme可以安置在具有有限的接入的安全设施之内。但是，如果mme的数量增加到数百个，则维持相同水平的安全级别将很有可能是困难的。可以预料的是，一旦下一代(5g)蜂窝网络变得广泛使用，则mme的数量将增加。另外，应当理解的是，在“可重新定位的”mme上进行工作。这些类型的mme可以接近接入节点布置，以支持快速的切换。因此，这可以意指可重新定位的mme可以位于公共区域中，这将增加它们的易受攻击性。由于这些和其它原因，可以期望将mme810视作为不太受信任的实体。这可以是引入skme809的另一个原因，其中skme809可以用于密钥导出和密钥管理(例如，维持、存储)。应当注意的是，密钥导出功能可以包括长度x的散列消息认证码(hmac)(hmac-x)，其中x是密钥长度。

因此，kp-gw可以由skme809来导出，并将其提供给p-gw814；因此，客户端设备806可以基于该共享密钥(kp-gw)而与p-gw814具有直接安全关系。这可以导致用户面信任锚定在p-gw814(而不是如4g中的接入节点804)。换言之，为了保护用户面数据，不需要或者也不要求客户端设备806信任自己和p-gw814之间的任何实体/元素。客户端设备806不需要信任接入节点804或者位于其和p-gw814之间的路径上的任何其它设备或路由器，如同今天在4g中必须做的一样。

然而，在一些方面中，除了基于第一共享密钥(由客户端设备806和p-gw814共享的kp-gw密钥)对用户面消息进行加密和/或认证之外，客户端设备806还可以利用使用由自己和下一代(例如，5g)蜂窝网络的其它元素或实体共享的其它密钥的额外的加密和/或认证。在这些方式中的一个或多个中，与4g相比，本文所描述的方面可以在5g中提供更佳的用户面安全。可以至少通过共享第一共享密钥、kp-gw密钥来实现提高的用户面安全，使得下一代蜂窝网络可以向传递往返客户端设备806和p-gw814的消息提供保密和完整性保护。

4g和下一代蜂窝网络之间的另一个差异可以是：在4g网络中，基于kenb密钥来导出kupenc密钥。使用kupenc密钥来对客户端设备和接入节点之间的空中业务进行加密。这意指空中业务是没有完整性保护的。完整性保护的这种缺失可能是由于4g规范的设计时代期间的带宽的缺乏。可以设计下一代(例如，5g)蜂窝网络来克服4g蜂窝网络的这些和其它缺陷，并且与4g相比，其通常提供更佳的安全。这可以使得能为用户面消息提供完整性消息(其在4g中没有提供)。因此，可以在下一代蜂窝网络中使用有用的特征，例如，为用户面业务提供完整性保护的特征。以同样的方式，该完整性保护可以是可选的，例如，加密在一些国家是可选的。在一些方面中，客户端设备806和p-gw814可以关于下面进行协商：它们是否应当对在它们之间传递的消息进行加密、为在它们之间传递的消息提供完整性保护或者二者。

完整性保护

为了保密起见，可以对消息进行加密。如果接收方具有用于对该消息进行加密的密钥，则接收方可以对该消息进行解密。如果接收方不具有该密钥，则不能对该消息进行解密，并维持该消息保密性。但是，在一些场景中，位于中间位置的攻击者可能只是改变加密的消息中的一些比特。位于中间位置的攻击者可能不知道该消息的任何内容，但却可能能够捕获加密的消息，对一个或多个比特进行改变，并向其目的接收者发送该消息。现在，接收方对该消息进行解密，但却不知道这些比特中的一些已经被改变；接收方信任该消息。为了确保该消息安全，除了密码(其用于对消息进行加密)之外，还可以对消息进行保护，使得接收方可以判断该消息在传输期间是否被修改过。

为了完成这种保护，可以计算/生成/导出/获得消息认证码，并在向接收方发送该消息之前，将其添加到该消息的结尾。消息认证码可以用于提供关于消息的完整性和真实性保证。完整性保证检测意外的和故意的消息改变(例如，消息的完整性)，而真实性保证确认该消息的来源(例如，消息创建者的身份验证)。消息认证码的计算/生成/导出/获得可以涉及：利用完整性保护密钥(例如，kp-gwint)来对消息进行加密。如本文所描述的，kp-gwint可以由客户端设备和p-gw来独立地导出。可以基于kp-gw密钥来导出kp-gwint。kp-gwint可以由客户端设备基于在该客户端设备处导出的kp-gw密钥来本地地导出。kp-gwint可以由p-gw基于该p-gw从skme获得的kp-gw密钥来本地地导出。因此，客户端设备和p-gw两者可以共享该kp-gwint密钥。接收方(例如，客户端设备或p-gw)可以验证该消息认证码，这是由于接收方具有发送方使用的完整性保护密钥(例如，客户端设备和p-gw两者都具有kp-gwint)。因此，接收方可以从所接收的消息中计算/生成/导出/获得消息认证码，并将其与同该消息一起接收的消息认证码进行比较。如果接收方的消息认证码与发送方的消息认证码相匹配，则可以验证完整性和真实性。应当注意的是，可以使用完整性算法来执行消息认证。完整性算法的例子包括：基于密码的消息认证码(cmac)、密码块链接消息认证码(cbc-mac)、键控散列消息认证码(hmac)、伽罗瓦消息认证码(gmac)、以及3gpp中的演进型分组系统完整性算法1、2或3(eia1/eia2/eia3)。

如果在接入节点处可以验证消息的完整性，则接入节点不需要向p-gw发送缺少完整性的消息。如果在p-gw处可以对该消息的完整性进行验证，则p-gw不需要向分组数据网络发送缺少完整性的消息。这可以减少否则可能在发送损坏的消息时使用的资源的量。因此，相对于只保护用户面中的保密性的4g蜂窝网络，在本文所公开的下一代蜂窝网络的某些方面中，可以实现保护在用户面中的保密性和完整性两者的利益。

控制面/用户面呼叫流

图9根据本公开内容的方面，示出了与在分组数据网络(pdn)连接建立期间，在控制面中初始地提供共享密钥(本文称为kp-gw密钥)，随后在用户面中传送基于该kp-gw密钥进行加密/认证的消息相关联的呼叫流900的例子。图9基于3gppts23.401(图5.10.2-1)。但是，与3gppts23.401(图5.10.2-1)中所示出的相比，增加了标识为up密钥请求918和up密钥响应920的新呼叫。

图9描述了设备902(例如，芯片组件、客户端设备)、接入节点904(例如，enodeb、enb)、mme906、p-gw908和会话密钥管理实体(skme)(910)。该设备可以向mme发送912pdn连接请求。mme可以向p-gw发送914创建会话请求。p-gw可以与策略控制和收费规则功能单元(pcrf)进行交互916。例如，p-gw可以分配ip地址和准备承载。为了精简起见，省略了在与pcrf交互过程中涉及的步骤的详细解释。p-gw可以向skme发送918用户面(up)密钥请求(例如，如果p-gw不具有用于设备902的kp-gw的话)。例如，up密钥请求可以用于获得诸如图7的kp-gw密钥724之类的密钥。随后，skme可以向p-gw发送920up密钥响应。该up密钥响应可以包括共享密钥(kp-gw)。用此方式，p-gw可以从skme获得该共享的kp-gw密钥。

接着，p-gw可以向mme发送922创建会话响应。mme可以向接入节点发送924承载建立请求/pdn连接接受。随后，接入节点可以向设备发送926rrc连接重新配置请求。该设备可以向接入节点发送928rrc连接重新配置完成。接入节点可以向mme发送930承载建立响应。设备可以向接入节点发送932直接传输。接入节点可以向mme发送934pdn连接完成。本领域技术人员将理解，附图标记912-916和922-934所表示的呼叫。为了精简起见，省略了这些呼叫的详细解释。

相对于在3gppts23.401(图5.10.2-1)中所示出的，增加了标识为up密钥请求918和up密钥响应920的新呼叫。根据本文所阐述的本公开内容的方面，进行去往和来自skme的新呼叫(up密钥请求918和up密钥响应920)。

如果p-gw不具有针对给定设备的共享kp-gw密钥，则其可以从skme请求该共享密钥。可以通过利用up密钥请求918来进行该请求。随后，skme可以向p-gw发送kp-gw密钥。可以使用up密钥响应920，来向p-gw提供该kp-gw密钥。

在设备导出其kp-gw密钥的复本之后，设备可以经由p-gw，在用户面中向网络发送936第一消息。可以基于共享的kp-gw密钥，对第一消息进行加密和/或认证。另外，设备可以经由p-gw，从网络接收938第二消息，其中第二消息可以是基于共享的kp-gw密钥来加密和/或认证的。由于设备已经具有了其共享的kp-gw密钥的复本，因此该设备可以对所接收的第二消息进行解密和/或认证。

在一些方面中，用于保护用户面消息的方法可以包括：在客户端设备处，导出用于对消息进行加解密和/或认证的第一共享密钥(kp-gw)，其中，第一共享密钥由客户端设备和p-gw(即，至分组数据网络的网关)共享。可以利用第一共享密钥对第一消息进行加密或者认证，以产生第一加密和/或认证的消息。可以通过空中，从客户端设备向接入节点发送第一加密和/或认证的消息。在另外的方面中，利用第一共享密钥对第一消息进行加密和/或认证，可以另外包括：在客户端设备处，导出用于对消息进行加解密和/或认证的第二共享密钥，其中，客户端设备和接入节点共享第二共享密钥。第二共享密钥与第一共享密钥不同。它们是不相关的。该方法还可以进一步包括：利用第二共享密钥对第一加密和/或认证的第一消息进行加密和/或认证，以产生第二加密和/或认证的消息。可以通过空中，从客户端设备向接入节点发送第二加密和/或认证的消息。

拜访网络

图10a示出了示例性下一代蜂窝网络1000的元素，其中根据控制面和用户面来对元素进行分组，其中p-gw处于归属网络中，并被标识为h-p-gw1010。在图10a中，客户端设备1002连接到拜访网络1015中的mme1018，但在客户端设备1002和归属网络的h-p-gw1010之间进行用户面中的数据连接。归属网络中的h-skme1012和h-p-gw1010之间的虚线表示控制面接口1034。控制面接口1034可以用于在h-p-gw1010和h-skme1012之间或者在v-p-gw和v-skme之间，传输用户面(up)密钥请求(例如，图9的918)和up密钥响应(其包括kp-gw)(例如，图9的920)。

图10a示出了归属网络1014中的hss1008、h-p-gw1010和归属skme(h-skme)1012。图10a还示出了全部位于拜访网络1015中的拜访skme(v-skme)1016、mme1018和s-gw1020。客户端设备1002可以通过接入节点1022，具有与拜访网络1015的无线通信。

在图10a中，客户端设备1002可以连接到拜访网络1015的mme1018，以及连接到与拜访网络1015相关联的接入节点1022。但是，客户端设备1002可以具有从h-p-gw1010分配的其自己的ip地址。因此，可以在拜访网络1015中的客户端设备1002和其归属网络1014中的h-p-gw1010之间，进行数据连接。当h-p-gw1010具有要向客户端设备1002发送的消息时，h-p-gw1010可以向拜访网络1015中的s-gw1020发送该消息，并且拜访网络1015中的s-gw1020可以向客户端设备1002发送该消息。

根据一个方面，当p-gw(h-p-gw1010)处于归属网络1014中时，虽然客户端设备1002处于拜访网络1015中，但可以基于从归属网络1014获得的kskme密钥1011来导出kp-gw密钥。换言之，归属网络1014的hss1008将导出kskme密钥1011，并向归属网络1014的h-skme1012提供该kskme密钥1011。随后，h-skme1012可以基于kskme密钥1011来导出kp-gw密钥。随后，h-skme1012可以使用控制面接口1034，向h-p-gw1010提供该kp-gw密钥。用此方式，可以对用户面消息进行加密和/或认证，用于在拜访网络1015中的客户端设备1002和归属网络1014中的h-p-gw1010之间进行交换。同时，归属网络1014的hss1008可以导出kskme’密钥1013，并向拜访网络1015的v-skme1016提供该kskme’密钥1013。可以经由h-skme1012，将kskme’密钥1013从hss1008提供给v-skme1016(如图10a中所示)，或者直接将其提供给v-skme1016(经由图10b中没有示出的hss1008和v-skme1016之间的直接通信)。kskme’密钥1013与kskme密钥1011不同(例如，不相关，无关)。用此方式，每一个会话密钥管理实体密钥(例如，kskme密钥1011和kskme’密钥1013)被限定到其自己的网络，或者换言之，限定到其自己的域中。将kskme密钥1011限定到归属网络1014，并将kskme’密钥1013限定到拜访网络1015。虽然限定到不同的网络，但它们均结合客户端设备1002来使用。例如，在图10a的场景中，v-skme1016基于kskme’密钥1013来导出kasme密钥1019，并将该kasme密钥1019提供给拜访网络1015中的mme1018。在归属网络1014和拜访网络1015之间使用不相关的会话密钥管理实体密钥(例如，kskme密钥1011和kskme’密钥1013)，确保拜访网络1015将不能够导出归属网络1014所使用的kp-gw(即，不能够导出由h-skme1012所导出、并经由控制面接口1034来提供给h-p-gw1010的kp-gw密钥)。

图10b示出了示例性下一代蜂窝网络1004的元素，其中根据控制面和用户面来对元素进行分组，其中p-gw处于拜访网络1017中，并被标识为v-p-gw1024。在图10b中，客户端设备1006连接到拜访网络1017中的mme1028。在客户端设备1006和拜访网络1017的v-p-gw1024之间进行用户面中的数据连接。拜访网络1017中的v-skme1026和v-p-gw1024之间的虚线表示控制面接口1036。控制面接口1036可以用于在v-p-gw1024和v-skme1026之间，传输用户面(up)密钥请求(例如，图9的918)和up密钥响应(其包括kp-gw)(例如，图9的920)。

图10b示出了图10a的归属网络1014的相同的hss1008。此外，图10b还示出了全部处于拜访网络1017中的拜访p-gw(v-p-gw1024)、拜访skme(v-skme1026)、mme1028和s-gw1030。客户端设备1006可以通过接入节点1032，具有与拜访网络1017的无线通信。

如图10b中所示，当客户端设备1006处于拜访网络1017中时，可能需要本地skme(例如，v-skme1026)来启用客户端设备1006和本地p-gw(例如，v-p-gw1024)之间的直接安全关系。v-skme1026可以导出kp-gw，并将该kp-gw提供给v-p-gw1024。该提供可以是经由控制面接口1036的。通过遵循该过程，拜访网络1017中的v-skme1026不需要配置归属网络1014中的h-p-gw1010。这可以是有益的，这是由于拜访网络1017的v-skme1026处于与h-p-gw1010的域不同的域中(拜访网络1017的域)。来自拜访域的skme(v-skme1026)(很可能的情况是)不具有配置另一个域的p-gw(h-p-gw1010)的特权。这可以是创建归属skme(h-skme1012)和拜访skme(v-skme1016、1026)的另一个有益原因；其每一个处于具有对应的p-gw的域，并可以在相同的域中向对应的p-gw提供。

根据一个方面，当v-p-gw1024处于拜访网络1017中时，虽然客户端设备1006也处于拜访网络1017中，但可以基于从拜访网络1017获得的kskme密钥1027来导出kp-gw密钥。换言之，归属网络1014的hss1008可以导出kskme密钥1027，并向拜访网络1017的v-skme1026提供该kskme密钥1027(例如，在图10b的场景中，hss1008可以直接与v-skme1026进行通信)。随后，v-skme1026可以基于kskme密钥1027来导出kp-gw密钥。随后，v-skme1026可以经由控制面接口1036，向v-p-gw1024提供该kp-gw。用此方式，可以对用户面消息进行加密和/或认证，用于在拜访网络1017中的客户端设备1006和拜访网络1017中的v-p-gw1024之间进行交换。

总之，当使用h-p-gw1010来锚定客户端设备1002的用户面业务时，使用h-skme1012来向h-p-gw1010提供kp-gw密钥(经由控制面接口1034)。当使用v-p-gw1024来锚定客户端设备1006的用户面业务时，使用v-skme1026来向v-p-gw1024提供kp-gw密钥(经由控制面接口1036)。归属域和拜访域的kp-gw密钥是不同的密钥，它们是不相关的。

在创建会话请求期间，可以发生密钥传送(例如，kp-gw的传送)。例如，在图10b中，mme1028可以在客户端设备1006连接到拜访网络1017期间，发送用于建立承载的创建会话请求。该创建会话请求可以转到v-p-gw1024(例如，拜访网络1017的p-gw)。如果v-p-gw1024不具有用于客户端设备1006的kp-gw密钥，则其可以发送请求以从本地skme(例如，拜访网络1017中的skme，v-skme1026)获得kp-gw。在这个意义上，在客户端设备1006是使用归属网络来进行数据连接(此时，h-p-gw1010从h-skme1012获得kp-gw密钥)还是使用拜访网络1017来进行数据连接(此时，v-p-gw1024从v-skme1026获得kp-gw密钥)之间存在一致性。

例如，在图10b中，可以允许处于拜访网络1017中的客户端设备1006通过拜访网络1017的v-p-gw1024来进行数据连接。拜访网络1017的v-p-gw1024可以从拜访网络1017的v-skme1026获得kp-gw密钥。再举一个例子，如果用户(其具有作为其提供商的公司y)旅行到欧洲，则该用户可以连接到公司x的网络(其位于欧洲)。用户可以具有通过公司x的p-gw(例如，v-p-gw1024)来发送消息的选项。当客户端设备1006如果在漫游合作伙伴的网络(即，拜访网络1017)中漫游时可以使用拜访网络1017的v-p-gw1024时，上述方式是可能的。如果客户端设备1006当旅行时被配置为使用拜访网络1017的v-p-gw1024，那么本地skme(例如，v-skme1026)可以配置其网络的v-p-gw1024，从而在客户端设备1006和v-p-gw1024之间启用消息的交换(其具有基于kp-gw密钥的安全)。应当注意的是，在图10b的视图中，不包括h-skme1012，这是由于其是用户不可获得的(例如，由于用户正在外国旅行)。

因此，在图10b中，如果客户端设备1006从一个接入节点1032切换到另一个接入节点(没有示出)，则拜访网络1017中的mme1028可以在每一个传输期间(以及在客户端设备1006连接期间)建立承载，随后消息可以从客户端设备1006转到v-p-gw1024。但是，如果v-p-gw1024不具有与客户端设备1006相关联的kp-gw，则其可以通过本地skme(也就是v-skme1026)来请求该kp-gw。

通过实现本文所描述的方面，用户面安全可能并不依赖于外部安全机制(例如，空中接口安全(如，kupenc)以及客户端设备和p-gw之间的安全隧道(例如，ipsec))。受损害的接入节点将不破坏用户面安全。接入节点维持空中用户面业务的保密性和完整性保护。在hss和mme之间引入skme以做为本地信任锚节点或本地密钥锚节点，实现灵活的进一步密钥导出，用于未来新的网络功能。根据一些方面，skme可以仅仅负责密钥导出、维持和向网络元素(例如，mme、接入节点、p-gw)提供密钥。

额外方面

图11根据本文所描述的方面，示出了在客户端设备处操作的示例性方法1100，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

客户端设备和第二实体可以独立地导出对用户面中的消息进行认证和/或加解密(加密/解密)所基于的共享密钥(例如，kp-gw)，其中第二实体向蜂窝网络和分组数据网络之间的网关(例如，p-gw)提供该共享密钥，1102。

可以经由与该蜂窝网络相关联的接入节点，从该客户端设备向网关发送消息，其中基于共享密钥(例如，kp-gw)来对该消息进行加密和认证中的至少一项，并且该共享密钥由该客户端设备和网关共享，1104。

客户端设备可以经由网关和接入节点，从分组数据网络接收消息，其中网关利用共享密钥来对该消息进行加密和认证中的至少一项，1106。

图12根据本文所描述的方面，示出了在客户端设备处操作的示例性方法1200，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

客户端设备和hss可以独立地导出kskme密钥，1202。

hss可以向skme提供该kskme密钥，1204。

客户端设备和skme可以基于该kskme密钥来独立地导出kp-gw密钥，1206。共享的kp-gw密钥的导出可以是kskme和网关的标识符(gwid)的函数。例如，kp-gw＝f(kskme,gwid)。

可以由skme将该共享密钥kp-gw提供给该蜂窝网络和分组数据网络之间的网关(例如，通过gwid标识的网关)，1208。

图13根据本文所描述的方面，示出了在客户端设备处操作的示例性方法1300，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

客户端设备的usim(或者客户端设备中的安全处理)基于其拥有的认证会话密钥k，来导出完整性密钥(ik)和加解密密钥(ck)。认证中心(auc)自己也拥有该认证会话密钥k的相同实例。auc基于其拥有的相同的认证会话密钥k，来独立地导出完整性密钥(ik)和加解密密钥(ck)。两个认证密钥k是相同的，因此ik、ck密钥是相同的。auc将ik、ck密钥提供给hss。客户端设备和hss现在都拥有共享的秘密(例如，ik、ck)，1302。

客户端设备和hss基于共享的秘密(例如，ik、ck)，独立地导出kskme密钥，1304。kskme可以是客户端设备和hss之间的共享的秘密(ss)和服务网络标识符(sn_id)的函数f。例如，kskme＝f(ss,sn_id)。函数f可以是密钥导出函数，例如hmac-x，其中x可以是密钥长度，例如hmac-256、hmac-384。

hss可以向会话密钥管理实体(skme)提供该kskme密钥，1306。

客户端设备和skme可以基于该kskme密钥，独立地导出kasme密钥，1308。并行地，客户端设备和skme可以基于该kskme密钥，独立地导出kp-gw密钥，1310。

skme可以向移动管理实体(mme)提供kasme密钥，1312。并行地，skme可以向网关(例如，p-gw)提供kp-gw密钥，1314。因此，客户端设备和网关(例如，p-gw)共享kp-gw密钥。

客户端设备和mme可以基于kasme密钥，独立地导出kenb密钥，1316。mme可以向接入节点提供该kenb密钥，1318。因此，客户端设备和接入节点共享kenb密钥。

图14根据本文所描述的方面，示出了在客户端设备处操作的示例性方法1400，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

客户端设备和第二实体可以独立地导出对用户面中的消息进行认证和/或加解密(加密/解密)所基于的共享密钥(例如，kp-gw)，其中第二实体向蜂窝网络和分组数据网络之间的网关(例如，p-gw)提供该共享密钥，1402。

可以从该客户端设备向网络发送消息，其中基于共享密钥(例如，kp-gw)来对该消息进行加密和认证中的至少一项，并且其中该消息的加密和认证可以使用例如ipsec、传输层安全预共享密钥(tls-psk)或者数据报tls-psk(dtls-psk)，并且该共享密钥由客户端设备和网关(p-gw)共享，1404。

客户端设备可以从网络接收消息，其中基于共享密钥来对该消息进行加密和认证中的至少一项，并且该消息的加密和认证使用ipsec、dtls-psk或者tls-psk，1406。此外，当启用加密和认证时，可以使用与p-gw共享的共享密钥(例如，kp-gw)来执行加密和认证。此外，如果启用加密和认证二者，则可以结合与网关的共享密钥(例如，kp-gw)来使用具有额外数据的认证加密(aead)密码。示例性aead密码包括伽罗瓦/计数器模式(gcm)中的高级加密标准(aes)(即，aes-gcm)和具有密码块链接(cbc)-消息认证码(cbc-mac)模式(ccm)的计数器中的高级加密标准(aes)(即，aes-ccm)。将理解的是，aead密码以及其示例的记载是示例性而不是限制性的，也可以使用其它密码。此外，ipsec是用于对数据分组进行加密和认证的选项。ipsec包括在密钥建立阶段期间，在两个通信方之间建立共享密钥的密钥协商协议。

图15根据本文所描述的方面，示出了在客户端设备处操作的示例性方法1500，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

客户端设备和第二实体(例如，skme)可以独立地导出对用户面中的消息(例如，用户面数据业务)进行认证和/或加解密(加密/解密)所基于的第一共享密钥(例如，kp-gw)，其中第二实体向蜂窝网络和分组数据网络之间的网关(例如，分组数据网络网关(p-gw))提供该第一共享密钥，1502。

客户端设备和第三实体(例如，mme)可以独立地导出对用户面中的消息(例如，用户面数据业务)进行认证和/或加解密(加密/解密)所基于的第二共享密钥(例如，kenb)，其中第三实体向接入节点(例如，enodeb)提供该第二共享密钥，1504。

客户端设备可以经由接入节点(例如，enodeb)，从网关(例如，p-gw)接收第一消息，其中基于第一共享密钥(例如，kp-gw)来对该第一消息进行加密和认证中的至少一项，并且第一消息进一步封装在第二消息中，其中基于第二共享密钥(例如，kenb)来对该第二消息进行加密和认证中的至少一项，1506。

可以对第二消息进行解密，并可以基于第二共享密钥的使用，来验证第二消息的认证标签(例如，可以基于kenb来导出kupenc和/或kupint)，1508。

因此，可以基于第一共享密钥的使用，对不再封装在第二消息之内的第一消息(当第二消息被解密时)进行解密和/或认证(例如，可以基于kp-gw来导出kp-gwenc和/或kp-gwint)，1510。

图16根据本文所描述的方面，示出了在设备(例如，芯片组件、客户端设备)处操作的示例性方法1600，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)。

该方法可以包括：在该设备处，获得对用户面消息进行认证和/或加密所基于的第一共享密钥，其中第一共享密钥由该设备和至分组数据网络的网关共享，并且该设备独立于该网关来获得第一共享密钥，1602。

该方法还可以包括：基于第一共享密钥对第一消息进行加密和/或认证，以产生第一加密和/或认证的消息，1604。

该方法还可以进一步包括：经由蜂窝网络的接入节点，通过空中从该设备向网关发送第一加密和/或认证的消息，1606。

可选地，该方法还可以包括：在该设备处，导出对消息进行认证和/或加密所基于的第二共享密钥，其中第二共享密钥由该设备和接入节点共享，并且第二共享密钥与第一共享密钥不同，1608。该设备可以独立于该接入节点来获得第二共享密钥。第一共享密钥(例如，kp-gw)和第二共享密钥(例如，kenb)是不相关的。

可选地，该方法还可以进一步包括：基于第二共享密钥，对第一加密和/或认证的消息进行加密和/或认证，以产生第二加密和/或认证的消息，其中将第一加密和/或认证的消息封装在第二加密和/或认证的消息之中用于发送给网关，1610。

图17根据本文所描述的方面，示出了在例如接入节点处操作的示例性方法1700，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

可以从接入节点向客户端设备发送消息，其中对该消息进行加密和完整性保护中的至少一项，其中加密和认证基于使用其共享密钥的、与客户端设备的协商算法，其中该共享密钥是与客户端设备共享的，1702。另外地或替代地，加密和认证可以基于根据网络或者根据网络运营商的配置。另外地或替代地，加密和认证可以基于根据客户端设备、根据承载的配置。另外地或替代地，加密和认证可以基于承载配置的一部分(例如，根据承载安全配置)。

在该接入节点处可以从该客户端设备接收消息，其中对该消息进行加密和完整性保护中的至少一项，1704。

如果该消息被正确地解密或者携带有效的认证标签，则可以将该消息从网络上的节点转发到网关，1706。

图18根据本文所描述的方面，示出了在接入节点(例如，enodeb)处操作的示例性方法1800，以保护蜂窝网络中的用户面消息(例如，用户面数据业务)。

该方法可以包括：在该接入节点处，经由至分组数据网络的网关(例如，p-gw)，从分组数据网络接收去往设备的第一消息，或者从该设备接收去往p-gw的第一消息，1802。在该设备和p-gw之间的传输期间，已经利用由该设备和p-gw共享的第一共享密钥确保第一消息安全。该方法还可以包括：从mme接收配置信息，其中该配置信息基于在该设备和p-gw之间是否已经存在安全，来向该接入节点指示是否进一步确保第一消息安全，1804。

例如，如果没有利用该设备和网关共享的第一共享密钥来确保第一消息安全，则mme可以通过配置信息指示：应当利用该设备和接入节点共享的第二共享密钥来确保第一消息安全，以产生第一加密的消息。但是，如果已经利用该设备和p-gw共享的第一共享密钥来确保第一消息安全，则mme可以通过配置信息指示：可以在没有额外安全的情况下，通过空中从接入节点向该设备发送第一消息。虽然可能不需要进一步的安全，但可以可选地实现。类似地，在相反方向中，mme可以基于在该设备和p-gw之间是否已经存在安全，向接入节点指示是否进一步确保第一消息安全。随后，可以基于来自mme的配置信息，在有或者没有进一步安全的情况下，从接入节点发送第一消息，1806。

图19根据本文所描述的方面，示出了在p-gw处操作的示例性方法1900，以保护下一代蜂窝网络中的用户面消息的安全和/或完整性。

可以从分组数据网络网关(例如，p-gw)向会话密钥管理实体(skme)请求共享密钥(例如，kp-gw)，其中该密钥是与客户端设备共享的，1902。

在p-gw处，可以从skme接收该共享密钥(例如，kp-gw)，1904。

p-gw可以向客户端设备发送消息，其中该消息基于该共享密钥(例如，kp-gw)进行了加密和/或认证，1906。换言之，可以使用基于该共享密钥来导出的密钥(例如，kp-gwenc、kp-gwint)，对该消息进行加密和/或认证。

p-gw可以从客户端设备接收消息，其中该消息基于该共享密钥(例如，kp-gw)进行了加密和/或认证，1908。换言之，可以使用基于该共享密钥来导出的密钥(例如，kp-gwenc、kp-gwint)，对该消息进行加密和/或认证。

图20根据本文所描述的方面，示出了在至分组数据网络的网关(例如，p-gw)处操作的示例性方法2000，以保护蜂窝网络中的用户面消息(例如，用户面数据业务)。

该方法可以开始于：在p-gw处，从分组数据网络接收第一消息，2002。

该方法可以包括：在该网关处，获得对第一消息进行认证和/或加密所基于的第一共享密钥，其中第一共享密钥由该网关和设备共享，且该网关独立于该设备来获得第一共享密钥，2004。

该方法还可以包括：基于第一共享密钥，对第一消息进行加密和/或认证，以产生第一加密和/或认证的消息，2006。

该方法还可以包括：经由蜂窝网络的接入节点，向该设备发送第一加密和/或认证的消息，2008。

在相反的方向中(例如，在上行链路方向中)，网关可以从接入节点接收第二消息，其中第二消息是利用第一共享密钥来加密和/或认证的，第一共享密钥仅仅由该客户端设备和该网关之间共享，2010。

可以使用第一共享密钥对第二消息进行解密和/或认证，以获得第三消息，2012。

可以将第三消息发送给分组数据网络，2014。

图21根据本文所描述的方面，示出了在本文称为会话密钥管理实体(skme)的网络实体处操作的示例性方法2100，以保护下一代蜂窝网络中的用户面消息(例如，用户面数据业务)的安全和/或完整性。

在会话密钥管理实体(skme)处，可以从网关(p-gw)接收针对客户端设备的用户面(up)密钥请求，2102。该up密钥请求可以包括客户端设备标识符。

临时移动用户标识(tmsi)可以由mme来分配，并用于在mme114处为了私密性来标识客户端设备。此外，tmsi是全球唯一临时客户端设备标识(guti)的一部分。

例如，根据3gppts23.003：guti的格式和大小如下所示：

<guti>＝<gummei><m-tmsi>,

其中，<gummei>＝<mcc><mnc><mmeidentifier>

以及，<mmeidentifier>＝<mmegroupid><mmecode>

mcc和mnc应当与先前的3gpp系统具有相同的字段大小。

m-tmsi的长度应当是32比特。

mme组id的长度应当是16比特。

mme代码的长度应当是8比特。

在服务网络处使用guti，因此如果服务网络中的p-gw用于分组数据网络连接，则可以使用guti来标识客户端设备。通常，在p-gw处，可以使用国际移动用户标识(imsi)和承载id(其包括隧道端点标识符(teid))来标识客户端设备。

skme可以基于kskme来导出用于该客户端设备的up密钥(例如，kp-gw)，其中kp-gw＝f(kskme,gwid)，2104。

skme可以向p-gw发送所导出的up密钥(例如，kp-gw)，2106。

图22根据本文所描述的方面，示出了在skme处操作的示例性方法2200，以导出保护蜂窝网络中的用户面消息(例如，用户面数据业务)的密钥。

该方法可以开始于：从第一实体(例如，hss)获得第一共享密钥(例如，kskme密钥)；第一共享密钥可以由第一实体和设备共享，2202。skme可以基于第一共享密钥来导出第二共享密钥(例如，kp-gw密钥)；第二共享密钥可以由至分组数据网络的网关和该设备共享，2204。skme还可以基于第一共享密钥，来导出第三共享密钥(例如，kenb密钥)；第三共享密钥可以由移动管理实体(mme)和该设备共享，2206。接着，skme可以向网关发送第二共享密钥，2208。最后，skme可以向mme发送第三共享密钥，2210。

示例性设备以及在其上操作的方法

图23示出了被配置为执行本文所描述的方法的设备2300的示例性硬件实现方式的框图。例如，设备2300可以体现芯片组件、客户端设备、用户设备、终端或者某一其它类型的设备。

设备2300可以包括耦合到无线通信电路2302和存储器/存储设备2306的处理电路、功能单元或模块2304。无线通信电路2302可以用于将设备2300无线地耦合到服务网络。处理电路/功能单元/模块2304可以包括加密/解密/认证电路、功能单元或模块2308，其中该加密/解密/认证电路、功能单元或模块2308被配置为使用由该设备和p-gw共享的共享密钥，执行用户面数据业务的加密/解密/认证。处理电路/功能单元/模块2304还可以包括密钥获得/生成/导出电路/功能单元/模块2310，其中该密钥获得/生成/导出电路/功能单元/模块2310被配置为获得、生成和/或本地地导出用于在该设备2300和p-gw之间的传输期间对用户面数据业务进行保护的某些密钥。为了有助于用户面数据业务的保护，除了可以在设备2300的存储器/存储设备2306中本地存储的用于加密/解密和认证的其它密钥(没有示出)之外，存储器/存储设备2306可以存储秘密根密钥(k密钥2312(或者该密钥可以存储在设备2300的usim(没有示出)中))，ik、ck密钥2314，kskme密钥2316，kasme密钥2318，kp-gw密钥2320和kenb密钥2322。

通常，处理电路/功能单元/模块2304可以是适于对用于设备2300的数据进行处理的一个或多个处理器(例如，第一处理器等)。例如，处理电路/功能单元/模块2304可以是专门处理器，例如，用作用于执行本文所描述的处理或方法中的任何一个的单元的专用集成电路(asic)。处理电路/功能单元/模块2304用作用于验证认证信息、生成认证信息、维持存取表、确定命令处于该存取表之中、建立安全信道、允许执行、标识设备或者建立安全信道的单元的一个例子。处理电路/功能单元/模块2304还可以用作用于进行接收和/或发送的单元的一个例子。

处理电路/功能单元/模块2304的例子包括微处理器、微控制器、数字信号处理器(dsp)、现场可编程门阵列(fpga)、可编程逻辑器件(pld)、状态机、门逻辑、离散硬件电路、以及被配置为执行本公开内容通篇描述的各种功能的其它适当硬件。处理电路/功能单元/模块2304还可以负责管理一个或多个通信总线，以及执行在可以在存储器/存储设备2306中体现的计算机可读存储介质上存储的指令。当这些指令(其可以具有软件的形式)由处理电路/功能单元/模块2304执行时，可以使得电路功能单元/模块2304执行各种功能、步骤和/或本文描述的方法。可以在存储器/存储设备2306中体现的计算机可读存储介质，可以用于存储在处理电路/功能单元/模块2304执行软件指令时所操纵的数据。

存储器/存储设备2306可以是非易失性存储器，例如但不限于：闪存、磁或光硬盘驱动器等等。在一些方面中，存储器可以是诸如dram(如，ddrsdram)、sram等等之类的易失性存储器，它们可以连续地加电以便无限期地存储信息。存储器/存储设备2306用作用于存储密钥的单元的一个例子。

软件或指令应当被广泛地解释为意指软件、指令、指令集、代码、代码段、程序代码、程序、子程序、软件模块、应用、软件应用、软件包、例程、子例程、对象、可执行文件、执行的线程、过程、函数等等，无论其被称为软件、固件、中间件、微代码、硬件描述语言还是其它术语。软件可以位于在存储器/存储设备2306中体现的计算机可读存储介质上。该计算机可读存储介质可以是非临时性计算机可读存储介质。举例而言，非临时性计算机可读存储介质包括磁存储设备(例如，硬盘、软盘、磁带)、光盘(例如，压缩光盘(cd)或数字多功能光盘(dvd))、智能卡、闪存设备(例如，卡、棒或键驱动)、随机存取存储器(ram)、只读存储器(rom)、可编程rom(prom)、可擦除prom(eprom)、电可擦除prom(eeprom)、寄存器、可移动磁盘、以及用于存储能由计算机存取和读取的软件和/或指令的任何其它适当介质。该计算机可读存储介质可以位于处理电路/功能单元/模块2304之中、位于其之外、或者分布在包括处理电路/功能单元/模块2304的多个实体之中。该计算机可读存储介质可以体现在计算机程序产品中。此外，设备2300可以与计算机可读介质进行交互，举例而言，该计算机可读介质可以包括载波波形、传输线、以及用于发送能由计算机存取和读取的软件和/或指令的任何其它适当介质。

图24根据本文所描述的方面，示出了在设备(例如，芯片组件、客户端设备)处操作的示例性方法2400，以保护蜂窝网络中的用户面消息(例如，用户面数据业务)。

该方法可以包括：在该设备处，获得第一共享密钥，2402。在该设备处，还可以获得基于第一共享密钥的第二共享密钥，2404。第二共享密钥可以用于确保数据业务在该设备和分组数据网络网关(p-gw)之间传输期间的安全。第二共享密钥可以由该设备和p-gw共享。该方法可以包括：基于第二共享密钥来确保数据业务安全，以产生第一安全的数据业务，2406。在确保该数据安全之后，该方法可以包括：经由接入节点来向p-gw发送第一安全的数据业务，2408。p-gw和该接入节点可以是不同的网络实体。

在本文所描述的方面中，第一共享密钥可以是p-gw不知道的。可以在该设备处本地地导出第一共享密钥和第二共享密钥，并且不是将其发送给该设备的。换言之，不通过空中将它们发送给该设备。第二共享密钥可以确保用户面通信的至少一些层安全，而不同的密钥确保控制面通信安全。

可选地，该方法可以包括：在该设备处，获得基于第一共享密钥的第三共享密钥，以确保在该设备和移动管理实体(mme)之间发送的控制消息传递(例如，控制面控制消息传递)安全，2410。第三共享密钥可以由该设备和mme共享。所述p-gw、所述mme和所述接入节点可以是不同的网络实体。

可选地，该方法可以包括：在该设备处，获得基于第三共享密钥的第四共享密钥，以确保该设备和接入节点之间的数据业务以及该设备和mme之间的控制消息传递安全，2412。第四共享密钥可以由该设备和接入节点共享。可选地，该方法还可以包括：基于第四共享密钥来确保第一安全的数据业务安全，以产生第二安全的数据业务，2414。在一些方面中，第一安全的数据业务封装在第二安全的数据业务之中。该方法还可以进一步包括：替代第一安全的数据业务，经由接入节点向p-gw发送第二安全的数据业务，2416。所述p-gw、所述mme和所述接入节点可以是不同的网络实体。

根据本文所描述的额外方面，第二共享密钥在用户面的互联网协议(ip)层中，保护第二安全的数据业务，而第四共享密钥在用户面的分组数据会聚协议(pdcp)层中，保护第二安全的数据业务。换言之，第四共享密钥在用户面的某些层上保护业务的某些传输，而第二共享密钥用于在用户面的其它层上保护业务的其它传输。

根据本文所描述的方面，第一共享密钥可以在该设备和网络实体之间共享。该网络实体可以从归属订制服务器(hss)获得第一共享密钥。该设备可以独立于p-gw来获得第二共享密钥。获得第二共享密钥可以包括：在该设备处，根据第一共享密钥和分组数据网络网关标识符(gwid)来导出第二共享密钥。

根据本文所描述的方面，数据业务与控制消息传递不同。可以在用户面上发送数据业务，且可以在控制面上发送控制消息传递。用户面和控制面是不同的传输路径。

根据本文所描述的一些方面，确保数据业务安全包括：基于第二共享密钥，对该数据业务进行加密。根据本文所描述的其它方面，确保数据业务安全可以包括：包含基于第二共享密钥的认证签名。

关于接收数据业务而言，根据一些方面，该设备可以经由接入节点来从p-gw接收第三安全的数据业务。第三安全的数据业务可以是基于第二共享密钥来确保安全的。随后，该设备可以基于第二共享密钥对第三安全的数据业务进行解密和/或认证，以产生不确保安全的数据业务。

示例性分组数据网络网关(p-gw)以及在其上操作的方法

图25示出了被配置为执行本文所描述的方法的分组数据网络网关(p-gw)2500的示例性硬件实现方式的框图。

p-gw2500可以包括耦合到网络通信电路2502和存储器/存储设备2506的处理电路、功能单元或模块2504。网络通信电路2502可以用于将p-gw2500通信地耦合到分组数据网络和/或蜂窝系统的核心网络。处理电路/功能单元/模块2504可以包括加密/解密/认证电路、功能单元或模块2508，其中该加密/解密/认证电路、功能单元或模块2508被配置为使用由该p-gw2500和设备共享的共享密钥，执行用户面数据业务的加密/解密/认证。处理电路/功能单元/模块2504还可以包括密钥获得/生成电路/功能单元/模块2510，其中该密钥获得/生成电路/功能单元/模块2510被配置为获得和/或本地地导出用于在该p-gw2500和设备之间的传输期间对用户面数据业务进行保护的某些密钥。在本文所描述的示例性方面中，密钥获得/生成电路/功能单元/模块2510通常可以从skme获得共享密钥(例如，kp-gw)，其中该共享密钥是在skme处导出的，并由skme提供给密钥获得/生成电路/功能单元/模块2510。为了有助于用户面数据业务的保护，存储器/存储设备2506可以将所获得的kp-gw密钥2512本地存储在p-gw2500的存储器/存储设备2506中。

图26根据本文所描述的方面，示出了在p-gw处操作的示例性方法2600，以保护蜂窝网络中的用户面消息(例如，用户面数据业务)。

方法2600可以包括：在p-gw处，从分组数据网络接收数据业务，2602。该方法还可以包括：在p-gw处，从网络实体获得秘密共享密钥，以确保该数据业务在p-gw和设备之间传输期间的安全，其中所述秘密共享密钥由p-gw和该设备共享，2604。该方法可以包括：基于所述秘密共享密钥来确保所述数据业务安全，以产生第一安全的数据业务，2606。该方法还可以进一步包括：经由接入节点来向设备发送第一安全的数据业务，其中所述p-gw、所述接入节点和所述网络实体是不同的网络实体，2608。

根据本文所描述的方面，所述秘密共享密钥可以是所述接入节点不知道的。可以通过控制面接口，将所述秘密共享密钥从网络实体提供给p-gw。该网络实体可以是skme。

根据本文所描述的方面，所述秘密共享密钥可以确保用户面通信的至少一些层安全，而不同的共享密钥确保控制面通信安全。例如，所述秘密共享密钥可以在用户面的互联网协议(ip)层中，保护数据业务。p-gw可以独立于所述设备来获得所述秘密共享密钥。所述秘密共享密钥可以是p-gw标识符(gwid)的函数。

根据一些方面，获得所述秘密共享密钥还可以包括：从位于归属用户服务器(hss)和移动管理实体(mme)之间的网络实体，获得所述秘密共享密钥。同样，该网络实体可以是skme。

根据一些方面，所述秘密共享密钥可以是从与p-gw在相同的域中的网络实体获得的。

可选地，该方法还可以包括：在p-gw处，经由接入节点从所述设备接收通过所述秘密共享密钥来确保安全的安全的上行链路数据业务，2610。可选地，该方法还可以包括：利用所述秘密共享密钥对安全的上行链路数据业务进行解密和/或认证，以获得上行链路数据业务，2612。可选地，该方法还可以包括：向分组数据网络发送该上行链路数据业务，2614。

示例性网络实体(例如，skme)以及在其上操作的方法

图27示出了被配置为执行本文所描述的方法的本文称为会话密钥管理实体(skme)的网络实体2700的示例性硬件实现方式的框图。

网络实体2700可以包括耦合到网络通信电路2702和存储器/存储设备2706的处理电路、功能单元或模块2704。网络通信电路2702可以用于将网络实体2700通信地耦合到蜂窝系统的其它网络实体或节点。处理电路/功能单元/模块2704可以包括密钥获得/生成电路/功能单元/模块2710，其中该密钥获得/生成电路/功能单元/模块2710被配置为获得和/或本地地导出用于在p-gw和设备之间的传输期间对用户面数据业务进行保护的某些密钥。在本文所描述的示例性方面中，密钥获得/生成电路/功能单元/模块2710通常可以导出共享密钥(例如，kp-gw)，其中该共享密钥是在skme处导出的，并将其提供给p-gw。在一些方面中，不需要skme来存储kp-gw。在其它方面中，skme可以可选地存储kp-gw。因此，存储器/存储设备2706可以可选地本地存储网络实体2700的kp-gw密钥2712。

图28根据本文所描述的方面，示出了在skme处操作的结合保护蜂窝网络中的用户面消息(例如，用户面数据业务)的示例性方法2800。

方法2800可以开始于：在网络实体处，获得第一共享密钥，2802。该网络实体可以获得基于第一共享密钥的第二共享密钥，2804。第二共享密钥可以用于确保数据业务在设备和分组数据网络网关(p-gw)之间传输期间的安全，其中第二共享密钥由该设备和p-gw共享。该方法可以继续：向p-gw发送第二共享密钥，2606。

该方法可以继续：在该网络实体处，获得基于第一共享密钥的第三共享密钥，2808。第三共享密钥可以用于确保在所述设备和移动管理实体(mme)之间发送的控制消息传递安全，其中第三共享密钥由该设备和mme共享。该方法还可以包括：向mme发送第三共享密钥，2810。所述网络实体、所述p-gw和所述mme可以是不同的网络实体。

根据一些方面，获得第二共享密钥还可以包括：根据第一共享密钥和分组数据网络网关标识符(gwid)来导出第二共享密钥。

根据一些方面，数据业务与控制消息传递不同。例如，可以在用户面上发送数据业务，且可以在控制面上发送控制消息传递，其中用户面和控制面是不同的传输路径。

根据一些方面，所述网络实体位于归属用户服务器(hss)和mme之间，且所述网络实体与hss和mme不同。

可以将附图中所示出的部件、步骤、特征和/或功能单元里的一个或多个进行重新排列和/或组合到一个单一部件、步骤、特征或功能单元中，或者体现在几个部件、步骤或功能单元中。在不偏离本文所公开的新颖特征的基础上，还可以增加额外的元素、部件、步骤和/或功能单元。附图中所示出的装置、设备和/或部件，可以被配置为执行本文所描述的方法、特征或者步骤中的一个或多个。本文所描述的新颖算法还可以高效地实现在软件中和/或嵌入到硬件中。

应当理解的是，所公开方法中步骤的特定顺序或等级是对于示例性方法和/或处理的说明。应当明白的是，基于设计偏好，可以重新排列这些方法中步骤的特定顺序或等级。所附方法权利要求以示例的顺序给出了各个步骤的元素，但这并不意指将其限制到所给出的特定顺序或等级，除非本文特别地指出。在不偏离本公开内容的情况下，还可以增加或者不使用额外的元素、部件、步骤和/或功能单元。

虽然已相对于某些实现方式和附图讨论了本公开内容的特征，但本公开内容的所有实现方式可以包括本文所讨论的优势特征中的一个或多个。换言之，虽然已将一个或多个实现方式讨论为具有某些优势特征，但根据本文所讨论的各种实现方式中的任何一种，也可以使用这些特征中的一个或多个。用类似的方式，虽然本文已示例性实现方式讨论为设备、系统或者方法实现方式，但应当理解的是，这些示例性实现方式可以用各种设备、系统和方法来实现。

此外，应当注意的是，已将至少一些实现方式作为方法进行描述，其中该方法被描述为流程图、流程表、结构图或框图。尽管流程图可以将操作描述为顺序方法，但很多操作可以并行或同时地执行。此外，可以重新排列操作的顺序。当操作结束时，方法也就终结了。在一些方面中，处理可以对应于方法、函数、过程、子例程、子程序等。当处理对应于函数时，该处理的终结对应于该函数到调用函数或主函数的返回。本文所描述的各种处理中的一种或多种可以部分地或者全部地通过编程(例如，指令和/或数据)来实现，其中该编程可以存储在机器可读存储介质、计算机可读存储介质和/或处理器可读存储介质中，并由一个或多个处理器、机器和/或设备执行。

本领域普通技术人员还将明白，结合本文所公开的实现方式描述的各种说明性的逻辑框、模块、电路和算法步骤均可以实现为硬件、软件、固件、中间件、微代码或者其任意组合。为了清楚地说明这种可互换性，上文已总体上根据其功能对各种说明性的部件、框、模块、电路和步骤进行了描述。至于这种功能是实现为硬件还是实现为软件，取决于特定的应用和对整个系统所施加的设计约束条件。

在本公开内容中，词语“示例性”用于意指“用作例子、实例或说明”。在本文中描述为“示例性”的任何实现方式或者方面不必解释为比本公开内容的其它方面更优选或更具有优势。同样，术语“方面”并不要求本公开内容的所有方面都包括所讨论的特征、优点或操作模式。本文使用术语“耦合”来指代两个物体之间的直接或者间接耦合。例如，如果物体a物理地接触物体b，并且物体b接触物体c，则物体a和c仍然可以被视作为彼此耦合(即使它们彼此不直接地物理接触)。例如，即使第一管芯(die)从没有与第二管芯直接地物理接触，第一管芯也可以耦合到封装中的第二管芯。术语“电路”和“电子线路”被广义地使用，其旨在包括电子设备和导体的两种硬件实现方式(当对该电子设备和导体进行连接和配置时，实现本公开内容中所描述的功能的性能，而受不限于电子电路的类型)以及信息和指令的软件实现方式(当该信息和指令由处理器执行时，实现本公开内容中所描述的功能的性能)。

如本文所使用的，术语“确定”涵盖很多种动作。例如，“确定”可以包括计算、运算、处理、导出、调查、查找(例如，查询表、数据库或另一数据结构)、查明等等。此外，“确定”可以包括接收(例如，接收信息)、存取(例如，存取存储器中的数据)等等。此外，“确定”还可以包括解析、选定、选择、建立等等。

为使本领域任何技术人员能够实践本文所描述的各个方面，提供了上面的描述。对于本领域技术人员来说，对这些方面的各种修改都将是显而易见的，并且本文所定义的总体原理也可以适用于其它方面。因此，本发明并不旨在限于本文示出的方面，而是被赋予与权利要求语言相一致的全部范围，其中，除非特别说明，否则单数形式的元素并不旨在意指“一个和仅仅一个”，而是“一个或多个”。除非另外特别说明，否则术语“一些”指代一个或多个。指代项目列表“中的至少一个”的短语是指这些项目的任意组合，其包括单一成员。举例而言，“a、b或c中的至少一个”旨在覆盖：a；b；c；a和b；a和c；b和c；以及a、b和c。本公开内容通篇描述的各个方面的元素的所有结构和功能等价物以引用方式明确地并入本文中，并且旨在由权利要求所涵盖，这些结构和功能等价物对于本领域技术人员来说是公知的或将要是公知的。此外，本文中没有任何公开内容是旨在奉献给公众的，不管这样的公开内容是否明确记载在权利要求书中。不应依据美国法典第35篇第112条第6款来解释任何权利要求元素，除非该元素明确采用了措辞“用于……的单元”进行记载，或者在方法权利要求的情形中，该元素是用措辞“用于……的步骤”来记载的。

因此，在不偏离本公开内容的范围的情况下，可以在不同的示例和实现方式中实现与本文所描述以及附图中所示出的例子相关联的各种特征。因此，虽然在附图中描述并示出了某些特定的构造和排列，但这些实现方式仅仅是说明性的，其并不限制本公开内容的范围，这是由于对于本领域技术人员来说，对于所描述实现方式的各种其它增加、修改和删除都将是显而易见的。因此，本公开内容的范围仅仅由所附权利要求的文字语言及法律等同物确定。