数据传输方法、装置和系统、电子设备、存储介质与流程

本公开实施例涉及通信安全领域，特别涉及数据传输方法、装置和系统、电子设备、计算机可读存储介质。

背景技术：

目前仅对用户设备(ue，userequipment)与接入网(ran，radioaccessnetwork)功能实体之间的用户面数据传输进行机密性和/或完整性保护，而未对ran和核心网络之间的用户面数据传输进行机密性和/或完整性保护，某些场景下需要对用户设备(ue，userequipment)和核心网络之间的用户面数据传输进行机密性和/或完整性保护，而上述保护方式无法满足这些场景的保护需求。

技术实现要素：

本公开实施例提供一种数据传输方法、装置和系统、电子设备、计算机可读介质。

第一方面，本公开实施例提供一种数据传输方法，应用于控制面功能实体，所述方法包括：

确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据；

向接入网功能实体和所述目标用户设备发送通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对所述目标用户面数据进行安全保护。

第二方面，本公开实施例提供一种数据传输方法，应用于接入网功能实体，所述方法包括：

接收控制面功能实体发送的通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对目标用户面数据进行安全保护。

第三方面，本公开实施例提供一种数据传输方法，应用于用户面功能实体，所述方法包括：

接收控制面功能实体发送的第一密钥；

或者，接收控制面功能实体发送的第二密钥，并根据所述第二密钥产生所述第一密钥；

通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护。

第四方面，本公开实施例提供一种数据传输方法，应用于目标用户设备，所述方法包括：

接收控制面功能实体发送的通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对目标用户面数据进行安全保护。

第五方面，本公开实施例提供一种电子设备，其包括：

至少一个处理器；

存储器，其上存储有至少一个程序，当至少一个程序被至少一个处理器执行，使得至少一个处理器上述任意一种数据传输方法。

第六方面，本公开实施例提供一种计算机可读存储介质，其上存储有计算机程序，程序被处理器执行时实现上述任意一种数据传输方法。

第七方面，本公开实施例提供一种数据传输系统，包括：

控制面功能实体，用于确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据；向接入网功能实体和所述目标用户设备发送通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对所述目标用户面数据进行安全保护；

接入网功能实体，用于接收控制面功能实体发送的通知消息；

目标用户设备，用于接收控制面功能实体发送的通知消息。

本公开一个实施例提供的数据传输方法，由控制面功能实体确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据，然后通知接入网功能实体和目标用户设备，使得目标用户设备和用户面功能实体对目标用户面数据进行安全保护，实现了在目标用户设备和用户面功能实体之间对目标用户面数据进行安全保护。

附图说明

图1为相关技术中第三代伙伴计划(3gpp，the3rdgenerationpartnershipproject)r15定义的5g网络传输数据过程中安全保护机制的示意图；

图2为本公开实施例提供的一种数据传输方法的流程图；

图3为本公开实施例提供的另一种数据传输方法的流程图；

图4为本公开实施例提供的另一种数据传输方法的流程图；

图5为本公开实施例提供的另一种数据传输方法的流程图；

图6为本公开实施例的示例1提供的数据传输方法的流程图；

图7为本公开实施例的示例2提供的数据传输方法的流程图；

图8为本公开实施例的示例3提供的协议栈结构示意图一；

图9为本公开实施例的示例3提供的协议栈结构示意图二；

图10为本公开实施例提供的一种数据传输装置的组成框图；

图11为本公开实施例提供的另一种数据传输装置的组成框图；

图12为本公开实施例提供的另一种数据传输装置的组成框图；

图13为本公开实施例提供的另一种数据传输装置的组成框图；

图14为本公开实施例提供的一种数据传输系统的组成框图。

具体实施方式

为使本领域的技术人员更好地理解本公开的技术方案，下面结合附图对本公开提供的数据传输方法、装置和系统、电子设备、计算机可读存储介质进行详细描述。

在下文中将参考附图更充分地描述示例实施例，但是示例实施例可以以不同形式来体现且不应当被解释为限于本文阐述的实施例。反之，提供这些实施例的目的在于使本公开透彻和完整，并将使本领域技术人员充分理解本公开的范围。

在不冲突的情况下，本公开各实施例及实施例中的各特征可相互组合。

如本文所使用的，术语“和/或”包括至少一个相关列举条目的任何和所有组合。

本文所使用的术语仅用于描述特定实施例，且不意欲限制本公开。如本文所使用的，单数形式“一个”和“该”也意欲包括复数形式，除非上下文另外清楚指出。还将理解的是，当本说明书中使用术语“包括”和/或“由……制成”时，指定存在特征、整体、步骤、操作、元件和/或组件，但不排除存在或添加至少一个其它特征、整体、步骤、操作、元件、组件和/或其群组。

除非另外限定，否则本文所用的所有术语(包括技术和科学术语)的含义与本领域普通技术人员通常理解的含义相同。还将理解，诸如那些在常用字典中限定的那些术语应当被解释为具有与其在相关技术以及本公开的背景下的含义一致的含义，且将不解释为具有理想化或过度形式上的含义，除非本文明确如此限定。

传统通信网络受制于软件和硬件深度绑定，网络性能单一，组网灵活性差，扩展受限。组建一张网络难以同时适应不同应用对带宽、时延、可靠性等网络服务性能的差异化要求。5g对网络架构进行了深度重构，基于虚拟化和软件定义技术，引入服务化架构，在共享统一硬件平台上，根据应用需求，按需构建虚拟化网络功能，通过构建网络切片以提供更贴合应用需求的网络服务性能，例如，对于终端位置固定的物联网应用，在构建为其提供网络服务的网络切片时无需引入移动性管理功能；对于低时延应用，在构建网络切片时需要将用户面功能(upf，userplanefunction)下沉至网络边缘部署，以缩短数据传输时延满足应用对网络时延的要求。也就是说，5g借助于虚拟化、网络切片等新兴技术可以为不同的应用提供不同特性的网络服务。

5g网络在为各行业应用提供网络服务时，承载各种高价值应用数据及诸如隐私等敏感数据。对网络实施攻击以获取或篡改数据的攻击行为从未停止，并且随着未来5g网络承载业务数据的不断丰富，攻击手段还在不断发展演进。因此，对数据在网络传输过程中的完整性(integrity)、机密性(ciphering)保护等防护措施必不可少。

机密性是指对数据进行加密传输，从而防止传输过程中数据被窃听、被非法获取；完整性是指对传输数据在发送端进行完整性处理在接收端进行完整性校验，从而防止传输过程中数据被篡改。

5g网络传输的数据分为两大类：一类是控制面信令数据，例如用户注册到网络的信令、接入网功能实体的切片会话信令等；另一类是用户开展业务的用户面数据，例如在线视频业务的数据。

图1为第三代伙伴计划(3gpp，the3rdgenerationpartnershipproject)r15定义的5g网络传输数据过程中安全保护机制的示意图。如图1所示，图1中的a表示对用户设备(ue，userequipment)与接入网(ran，radioaccessnetwork)功能实体之间的控制面数据进行机密性和/或完整性保护，图1中的b表示对ue与ran功能实体之间的用户面数据进行机密性和/或完整性保护；图1中的c表示对ue和5g核心网络(5gc，5gcorenetwork)之间的控制面数据进行机密性和/或完整性保护，但尚未要求对ue和5gc之间的用户面数据传输进行机密性和/或完整性保护，用户面数据在ran与5gc之间是明文传输的，如图1中的d。

5g为垂直行业提供网络服务时，基于垂直行业自身的业务特性，需要对用户面数据提供ue到5gc传输路径上进行安全保护的需求，主要基于下列原因：

(1)接入网功能实体配置更容易暴露，进而接入网功能实体侧加密、认证和用户面的完整性保护等配置更容易被攻击。

(2)与接入网功能实体侧对比，位于核心网络侧的网络节点具备更强的计算能力，有助于减少数据交互时延，而垂直行业往往对低时延体验非常重视。

(3)网络切片运营商(为垂直行业应用提供网络服务的运营商)可能从其他运营商处租用ran资源。从网络切片运营商或行业应用的角度看，接入网功能实体并非绝对信任的设备，因此网络切片运营商或行业应用希望数据传输安全终结在核心网络而非接入网的接入网功能实体侧。

针对上述安全需求，可通过如下方式达到部分安全保护的需求，但仍存在一些不足：

(1)ue和接入网功能实体之间的防护参考图1中的b所示的方式，在接入网边界网元和核心网络边界网元之间，即图1中的d建立加密通道，例如互联网安全协议(ipsec，internetprotocolsecurity)，对接入网边界网元和核心网络边界网元之间传输的所有数据进行加密和/或完整性保护。这种方式虽然实现用户面数据在ue和5gc之间的安全保护，但是存在如下缺点：

1)方案是对接入网边界网元和核心网络边界网元之间传输的所有数据实施加密和/或完整性保护，对于不管是否有加密需求的数据都要实施加密保护，这将降低处理效率，增加业务时延。

2)接入网功能实体仍然参与数据加解密和/或完整性校验处理过程，仍然存在上述接入网功能实体非信任、接入网功能实体被攻击而导致数据安全的风险。

3)通过应用自身提供应用层加密等防护机制保证用户面数据安全，例如，某些应用程序使用安全套接字层(ssl，securesocketslayer)加密传输应用数据。但并非每个应用都具有在应用层对用户面数据进行加密、完整性保护和验证的功能，上述解决方案对各种应用程序都是特定专有的，并不容易推广。

图2为本公开实施例的一种数据传输方法的流程图。

第一方面，参照图2，本公开实施例提供一种数据传输方法，应用于控制面功能实体，该方法包括：

步骤200、确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据。

在一些示例性实施例中，可以根据用户签约信息确定是否哪些用户面数据需要在目标用户设备和用户面功能实体之间进行安全保护。当然，还有很多其他的方式，具体的确定策略不用于限定本公开实施例的保护范围，这里不再赘述。

在一些示例性实施例中，可以在目标ue向核心网络的注册过程中确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据，例如，在鉴权认证过程完成后，确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据。这种情况下，该目标用户面数据为目标ue的所有用户面数据。

在另一些示例性实施例中，可以在pdu会话建立过程中确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据，例如，在接收到来自smf实体的pdu会话上下文创建响应后，确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据。这种情况下，该目标用户面数据为pdu会话对应的用户面数据。

步骤201、向接入网功能实体和目标ue发送通知消息，通知消息用于指示在目标用户设备与用户面功能实体之间对所述目标用户面数据进行安全保护。

在一些示例性实施例中，可以在ue向核心网络的注册过程中向接入网功能实体和目标ue发送通知消息，例如，在鉴权认证过程完成后，向接入网功能实体和目标ue发送通知消息。ue接收到该通知消息后，确认需要在ue和用户面功能实体之间对目标用户面数据进行安全保护；接入网功能实体接收到通知消息后，确认需要在向核心网络注册的ue和用户面功能实体之间对目标用户面数据进行安全保护。这种情况下，通知消息用于指示在目标用户设备与用户面功能实体之间对ue的所有用户面数据进行安全保护。

在另一些示例性实施例中，可以在pdu会话建立过程中向接入网功能实体和ue发送通知消息，例如，在接收到来自smf实体的pdu会话上下文创建响应后，向接入网功能实体和ue发送通知消息。这种情况下，通知消息用于指示在用户设备和用户面功能实体之间对ue的pdu会话对应的用户面数据进行安全保护。

也就是说，对于某些ue，在确定需要在目标用户设备与用户面功能实体之间对所有用户面数据进行安全保护以后，向接入网功能实体和用户设备发送通知消息；对于某些ue，在确定出目标ue的所有用户面数据均不需要在目标ue和用户面功能实体之间进行安全保护以后，不向接入网功能实体和ue发送通知消息。从而实现了不是对所有ue的用户面数据均在ue和用户面功能实体之间进行安全保护，而是对部分ue的用户面数据在ue和用户面功能实体之间进行安全保护，具体对哪些ue的用户面数据在ue和用户面功能实体之间进行安全保护可以根据ue的签约数据来确定，用户可以根据自身的需求与运营商进行签约来实现。

或者，对于某一个ue的某些pdu会话，在确定出需要在用户设备和用户面功能实体之间对pdu会话对应的用户面数据进行安全保护以后，向接入网功能实体和用户设备发送通知消息；对于该ue的另一些pdu会话，在确定出不需要在ue和用户面功能实体之间对pdu会话对应的用户面数据进行安全保护以后，不向接入网功能实体和ue发送通知消息。从而实现了不是对ue的所有pdu会话对应的用户面数据均在ue和用户面功能实体之间进行安全保护，而是对ue的部分pdu会话对应的用户面数据在ue和用户面功能实体之间进行安全保护，具体对ue的哪些pdu会话对应的用户面数据在ue和用户面功能实体之间进行安全保护可以根据ue的签约数据来确定，用户可以根据自身的需求与运营商进行签约来实现。

在一些示例性实施例中，该方法还包括：

获取第一密钥，向用户面功能实体发送第一密钥；所述第一密钥用于被所述用户面功能实体和所述目标用户设备使用，对所述目标用户面数据在目标用户设备与用户面功能实体之间进行安全保护。

在一些示例性实施例中，第一密钥为对目标用户面数据在目标用户设备和用户面功能实体之间进行安全保护的密钥。

在一些示例性实施例中，第一密钥可以直接采用对目标用户面数据在目标ue和ran功能实体之间进行安全保护的密钥。在另一些示例性实施例中，第一密钥也可以直接采用对控制面数据在目标ue和ran功能实体之间进行安全保护的密钥。

在一些示例性实施例中，第一密钥包括加密密钥。在另一些示例性实施例中，第一密钥包括完整性密钥。在另一些示例性实施例中，第一密钥包括加密密钥和完整性密钥。

在一些示例性实施例中，加密密钥用于在ue和用户面功能实体之间对目标用户面数据的机密性保护，完整性密钥用于在ue和用户面功能实体之间对目标用户面数据的完整性保护。

在一些示例性实施例中，第一密钥为目标ue对应的第一密钥，不同目标ue对应的第一密钥可以相同，也可以不同。

在另一些示例性实施例中，第一密钥为目标ue的协议数据单元(pdu，protocoldataunit)会话对应的第一密钥，具体可以一个pdu会话对应一个第一密钥，也可以两个或两个以上pdu会话对应一个第一密钥。

在一些示例性实施例中，可以采用以下任一种方式获取第一密钥。

方式一、接收到接入网功能实体返回的第一密钥。

方式二、接收到目标用户设备返回的第一密钥。

在一些示例性实施例中，为了提高第一密钥传输过程中的安全性，可以通过非接入层(nas，non-accessstratum)安全通道接收到目标用户设备返回的第一密钥。

在一些示例性实施例中，该方法还包括：

生成第二密钥，向用户面功能实体发送所述第二密钥；所述第二密钥用于被用户面功能实体使用，生成所述第一密钥。

在一些示例性实施例中，第二密钥用于生成第一密钥，第一密钥为对目标用户面数据在用户设备和用户面功能实体之间进行安全保护的密钥。

在一些示例性实施例中，第二密钥用于密钥隔离，防止一个密钥泄露而影响到其他密钥的安全，提高了安全性。

在一些示例性实施例中，可以先生成锚定密钥，然后根据锚定密钥生成第二密钥。

本公开实施例提供的数据传输方法，由控制面功能实体确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据，然后通知接入网功能实体和目标用户设备，使得目标用户设备和用户面功能实体对目标用户面数据进行安全保护，实现了在目标用户设备和用户面功能实体之间对目标用户面数据进行安全保护。

图3为本公开实施例的另一种数据传输方法的流程图。

第二方面，参照图3，本公开实施例提供另一种数据传输方法，应用于接入网功能实体，该方法包括：

步骤300、接收控制面功能实体发送的通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对目标用户面数据进行安全保护。

在一些示例性实施例中，可以在目标ue向核心网络的注册过程中接收到控制面功能实体发送的通知消息，例如，在鉴权认证过程完成后，接收到控制面功能实体发送的通知消息。这种情况下，通知消息用于指示在目标用户设备和用户面功能实体之间对目标ue的所有用户面数据进行安全保护。

在另一些示例性实施例中，可以在pdu会话建立过程中接收到控制面功能实体发送的通知消息，例如，在smf实体和upf实体之间建立n4会话后，接收到控制面功能实体发送的通知消息。这种情况下，通知消息用于指示在目标用户设备和用户面功能实体之间对目标ue的pdu会话对应的用户面数据进行安全保护。

需要说明的是，对于某些ue，如果在该ue向核心网络的注册过程中，接收到制面功能实体发送的通知消息，说明需要在该ue和用户面功能实体之间对ue的所有用户面数据进行安全保护；对于某些ue，如果在该ue向核心网络的注册过程中，没有接收到控制面功能实体发送的通知消息，说明不需要在该ue和用户面功能实体之间对该ue的所有用户面数据进行安全保护。从而实现了不是对所有ue的用户面数据均在ue和用户面功能实体之间进行安全保护，而是对部分ue的用户面数据在ue和用户面功能实体之间进行安全保护，具体对哪些ue的用户面数据在ue和用户面功能实体之间进行安全保护可以根据ue的签约数据来确定，用户可以根据自身的需求与运营商进行签约来实现。

对于目标ue的某些pdu会话，如果在pdu会话建立过程中，接收到制面功能实体发送的通知消息，说明需要在该目标ue和用户面功能实体之间对pdu会话对应的用户面数据进行安全保护；对于某些pdu会话，如果在pdu会话建立过程中，没有接收到控制面功能实体发送的通知消息，说明不需要在该目标ue和用户面功能实体之间对pdu会话对应的用户面数据进行安全保护。从而实现了不是对ue的所有pdu会话对应的用户面数据均在ue和用户面功能实体之间进行安全保护，而是对ue的部分pdu会话对应的用户面数据在ue和用户面功能实体之间进行安全保护，具体对ue的哪些pdu会话对应的用户面数据在ue和用户面功能实体之间进行安全保护可以根据ue的签约数据来确定，用户可以根据自身的需求与运营商进行签约来实现。

在一些示例性实施例中，接收控制面功能实体发送的通知消息后，该方法还包括：

向控制面功能实体发送第一密钥；第一密钥用于被所述用户面功能实体和所述目标用户设备使用，对所述目标用户面数据在目标用户设备与用户面功能实体之间进行安全保护

在一些示例性实施例中，第一密钥为对目标用户面数据在目标用户设备和用户面功能实体之间进行安全保护的密钥。

在一些示例性实施例中，第一密钥可以直接采用对目标用户面数据在目标ue和ran功能实体之间进行安全保护的密钥。在另一些示例性实施例中，第一密钥也可以直接采用对控制面数据在目标ue和ran功能实体之间进行安全保护的密钥。

在一些示例性实施例中，第一密钥包括加密密钥。在另一些示例性实施例中，第一密钥包括完整性密钥。在另一些示例性实施例中，第一密钥包括加密密钥和完整性密钥。

在一些示例性实施例中，加密密钥用于目标ue和用户面功能实体之间对目标用户面数据的机密性保护，完整性密钥用于目标ue和用户面功能实体之间对目标用户面数据的完整性保护。

在一些示例性实施例中，接收控制面功能实体发送的通知消息后，该方法还包括：

根据通知消息确定接入网功能实体接收的用户面数据是否为目标用户面数据；若是，对目标用户面数据不作安全保护处理，进行协议转换后转发。

具体的，对接收到的目标ue的上行目标用户面数据进行协议转换，将进行协议转换后的上行目标用户面数据发送给用户面功能实体；对接收到的目标ue的下行目标用户面数据进行协议转换，将进行协议转换后的下行目标用户面数据发送给目标用户设备。

在另一些示例性实施例中，确定接入网功能实体接收的用户面数据不是目标用户面数据，该方法还包括：按照相关技术对用户面数据进行处理，例如，如果接收到的用户面数据为在目标ue和ran功能实体之间进行安全保护的用户面数据，则对接收的用户面数据进行安全保护处理；如对接收到的ue的上行用户面数据进行完整性校验，校验通过后进行解密，将解密后的上行用户面数据进行协议转换；如果接收到的用户面数据不是在目标ue和ran功能实体之间进行安全保护的用户面数据，则对接收到的用户面数据不作安全保护处理，进行协议转换后转发，如对目标ue的上行用户面数据进行协议转换后转发。

本公开实施例提供的数据传输方法，由控制面功能实体确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据，然后通知接入网功能实体和目标用户设备，使得目标用户设备和用户面功能实体对目标用户面数据进行安全保护，实现了在目标用户设备和用户面功能实体之间对目标用户面数据进行安全保护；并且，ran功能实体不参与在目标ue和用户面功能实体之间针对目标用户面数据的安全保护，ran功能实体透传目标ue和用户面功能实体之间传输的目标用户面数据，适用于ran非信任、易被攻击的场景。

图4为本公开实施例的另一种数据传输方法的流程图。

第三方面，参照图4，本公开实施例提供另一种数据传输方法，应用于用户面功能实体，该方法包括：

步骤400、获取第一密钥。

在一些示例性实施例中，第一密钥为对目标用户面数据在目标用户设备和用户面功能实体之间进行安全保护的密钥。

在一些示例性实施例中，可以采用以下任意一种方式获取用户设备对应的第一密钥。

方式一、接收控制面功能实体发送的用户设备对应的第一密钥。

方式二、接收控制面功能实体发送的用户设备对应的第二密钥，根据第二密钥产生第一密钥。

当然，第一密钥还可以采用其他方式获得，具体的获得方式不用于限定本公开实施例的保护范围，本公开实施例强调的是该第一密钥是属于在目标用户设备和用户面功能实体之间对目标用户面数据进行安全保护的密钥，以及属于目标用户设备和接入网功能实体之间的密钥，ran功能实体是不参与目标ue和用户面功能实体之间对目标用户面数据的安全保护的。

在一些示例性实施例中，第一密钥可以直接采用对目标用户面数据在目标ue和ran功能实体之间进行安全保护的密钥。在另一些示例性实施例中，第一密钥也可以直接采用对控制面数据在目标ue和ran功能实体之间进行安全保护的密钥。该方案采用目标ue和接入网功能实体络之间的安全保护密钥来实现，简化了安全保护密钥的获取流程。

在一些示例性实施例中，第一密钥包括加密密钥。在另一些示例性实施例中，第一密钥包括完整性密钥。在另一些示例性实施例中，第一密钥包括加密密钥和完整性密钥。

在一些示例性实施例中，加密密钥用于目标ue和用户面功能实体之间对目标用户面数据的机密性保护，完整性密钥用于目标ue和用户面功能实体之间对目标用户面数据的完整性保护。

在一些示例性实施例中，第二密钥用于密钥隔离，防止一个密钥泄露而影响到其他密钥的安全，提高了安全性。

需要说明的是，对于某些ue，如果获得该ue对应的第一密钥，说明需要在该ue和用户面功能实体之间对ue的所有用户面数据进行安全保护；对于某些ue，如果没有获得该ue对应的第一密钥，说明不需要在该ue和用户面功能实体之间针对ue的所有用户面数据进行安全保护。从而实现了不是对所有ue的用户面数据均在ue和用户面功能实体之间进行安全保护，而是对部分ue的用户面数据在ue和用户面功能实体之间进行安全保护，具体对哪些ue的用户面数据在ue和用户面功能实体之间进行安全保护可以根据ue的签约数据来确定，用户可以根据自身的需求与运营商进行签约来实现。

或者，对于某一个ue的某些pdu会话，如果获得该pdu会话对应的第一密钥，说明需要在该ue和用户面功能实体之间针对pdu会话对应的用户面数据进行安全保护；对于该ue的另一些pdu会话，如果没有获得该pdu会话对应的第一密钥，说明不需要在该ue和用户面功能实体之间针对pdu会话对应的用户面数据进行安全保护。从而实现了不是对ue的所有pdu会话对应的用户面数据均在ue和用户面功能实体之间进行安全保护，而是对ue的部分pdu会话对应的用户面数据在ue和用户面功能实体之间进行安全保护，具体对ue的哪些pdu会话对应的用户面数据在ue和用户面功能实体之间进行安全保护可以根据ue的签约数据来确定，用户可以根据自身的需求与运营商进行签约来实现。

步骤401、通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护。

在一些示例性实施例中，所述通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护，包括：

使用所述机密性密钥对发往所述目标用户设备的目标用户面数据进行加密；使用所述机密性密钥对接收自所述目标用户设备的目标用户面数据进行解密；

或者，

使用所述完整性密钥对发往所述目标用户设备的目标用户面数据进行完整性保护；使用所述完整性密钥对接收自所述目标用户设备的目标用户面数据进行完整性校验；

或者，

使用所述机密性密钥对发往所述目标用户设备的目标用户面数据进行加密，使用所述完整性密钥对所述目标用户面数据进行完整性保护；

使用所述完整性密钥对接收自所述目标用户设备的目标用户面数据进行完整性校验，校验通过后使用所述机密性密钥对所述目标用户面数据进行解密。

在一些示例性实施例中，通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护包括：

对向目标用户设备发送的下行目标用户面数据进行分组数据汇聚协议(pdcp，packetdataconvergenceprotocol)封装之前，使用第一密钥对下行目标用户面数据进行第一安全保护处理，将第一安全保护处理后的下行目标用户面数据发送给接入网功能实体。

对接收到的来自用户设备的第一安全保护处理后的上行目标用户面数据进行pdcp封装之后，使用第一密钥对第一安全保护处理后的上行目标用户面数据进行第二安全保护处理。

该安全保护方案是通过pdcp层实现的，而不是通过应用层实现的，使得该安全保护方案更加容易推广。

在一些示例性实施例中，第一密钥为目标ue对应的第一密钥，向目标ue发送的下行目标用户面数据为核心网络向目标ue发送的所有下行用户面数据，接收到的来自目标ue的第一安全保护处理后的上行目标用户面数据为用户面功能实体接收到的来自目标ue的所有上行用户面数据。

也就是说，使用第一密钥对用户面功能实体向目标ue发送的所有下行用户面数据进行第一安全保护处理，使用第一密钥对接收到的来自目标ue的所有用户面数据进行第二安全保护处理。

在另一些示例性实施例中，第一密钥为目标ue的pdu会话对应的第一密钥，具体可以一个pdu会话对应一个第一密钥，也可以两个或两个以上pdu会话对应一个第一密钥，那么，向目标ue发送的下行目标用户面数据为核心网络通过pdu会话向目标ue发送的下行用户面数据，接收到的来自目标ue的第一安全保护处理后的上行目标用户面数据为用户面功能实体通过pdu会话接收到的来自ue的上行用户面数据。

也就是说，使用第一密钥对用户面功能实体通过第一密钥对应的pdu会话向目标ue发送的下行用户面数据进行第一安全保护处理，对于用户面功能实体通过不与第一密钥对应的pdu会话(也就是第一密钥对应的pdu会话之外的其他pdu会话)向ue发送的下行用户面数据则不需要进行第一安全保护处理，而是按照现有技术进行处理；同样的，使用第一密钥对通过第一密钥对应的pdu会话接收到的来自目标ue的上行用户面数据进行第二安全保护处理，对于通过不与第一密钥对应的pdu会话(也就是第一密钥对应的pdu会话之外的其他pdu会话)接收到的来自目标ue的上行用户面数据则不需要进行第二安全保护处理，而是按照现有技术进行处理。

上述示例性实施例中，仅对通过部分pdu会话与ue传输的用户面数据进行安全保护，而不是对ue所有的用户面数据进行安全保护，从而对于不需要进行安全保护的用户面数据提高了处理效率，减少了业务时延。

在一些示例性实施例中，安全保护可以是以下三种情况中的任意一种情况：机密性保护、完整性保护、机密性保护和完整性保护。以下分别对这三种情况进行描述。

(一)安全保护仅包括机密性保护的情况

这种情况下，第一密钥仅包括加密密钥，相应的，

使用第一密钥对下行目标用户面数据进行第一安全保护处理包括：使用加密密钥对下行目标用户面数据进行加密；

使用第一密钥对第一安全保护处理后的上行目标用户数据进行第二安全保护处理包括：使用加密密钥对加密后的上行目标用户数据进行解密。

(二)安全保护仅包括完整性保护的情况

这种情况下，第一密钥仅包括完整性密钥，相应的，

使用第一密钥对下行目标用户面数据进行第一安全保护处理包括：使用完整性密钥对下行目标用户面数据进行完整性保护处理；

使用第一密钥对第一安全保护处理后的上行目标用户面数据进行第二安全保护处理包括：使用完整性密钥对完整性保护处理后的上行目标用户面数据进行完整性校验。

(三)安全保护既包括机密性保护又包括完整性保护的情况

这种情况下，第一密钥包括加密密钥和完整性密钥，相应的，

使用第一密钥对下行目标用户面数据进行第一安全保护处理包括：

使用加密密钥对下行目标用户面数据进行加密，使用完整性密钥对加密后的下行目标用户面数据进行完整性保护处理；

使用第一密钥对第一安全保护处理后的上行用户面数据进行第二安全保护处理包括：

使用完整性密钥对加密和完整性保护处理后的上行目标用户面数据进行完整性校验，校验通过后使用加密密钥对加密后的上行目标用户数据进行解密。

本公开实施例提供的数据传输方法，由控制面功能实体确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据，然后通知接入网功能实体和目标用户设备，使得目标用户设备和用户面功能实体对目标用户面数据进行安全保护，实现了在目标用户设备和用户面功能实体之间对目标用户面数据进行安全保护。

图5为本公开实施例的另一种数据传输方法的流程图。

第四方面，参照图5，本公开实施例提供另一种数据传输方法，应用于目标ue，该方法包括：

步骤500、接收控制面功能实体发送的通知消息，通知消息用于指示在目标用户设备与用户面功能实体之间对目标用户面数据进行安全保护。

需要说明的是，对于某些ue，如果在该ue向核心网络的注册过程中，接收到来自控制面功能实体的通知消息，说明需要在该ue和用户面功能实体之间针对ue的所有用户面数据进行安全保护；对于某些ue，如果在该ue向核心网络的注册过程中，没有接收到来自控制面功能实体的通知消息，说明不需要在该ue和用户面功能实体之间针对ue的所有用户面数据进行安全保护。从而实现了不是对所有ue的用户面数据均在ue和用户面功能实体之间进行安全保护，而是对部分ue的用户面数据在ue和用户面功能实体之间进行安全保护，具体对哪些ue的用户面数据在ue和用户面功能实体之间进行安全保护可以根据ue的签约数据来确定，用户可以根据自身的需求与运营商进行签约来实现。

或者，对于某一个ue的某些pdu会话，如果在pdu会话建立过程中，接收到来自控制面功能实体的通知消息，说明需要在该ue和用户面功能实体之间对ue的pdu会话对应的用户面数据进行安全保护；对于该ue的另一些pdu会话，如果在pdu会话建立过程中，没有接收到来自控制面功能实体的通知消息，说明不需要在该ue和用户面功能实体之间针对ue的pdu会话对应的用户面数据进行安全保护。从而实现了不是对ue的所有pdu会话对应的用户面数据均在ue和核心网络之间进行安全保护，而是对ue的部分pdu会话对应的用户面数据在ue和核心网络之间进行安全保护，具体对ue的哪些pdu会话对应的用户面数据在ue和核心网络之间进行安全保护可以根据ue的签约数据来确定，用户可以根据自身的需求与运营商进行签约来实现。

在一些示例性实施例中，接收通知消息之后，该方法还包括：

生成第一密钥，并将所述第一密钥发送给所述控制面板功能实体；所述第一密钥包括机密性密钥和/或完整性密钥。

在一些示例性实施例中，第一密钥可以直接采用对目标ue和ran功能实体之间对目标用户面数据进行安全保护的密钥。在另一些示例性实施例中，第一密钥也可以直接采用对目标ue和ran功能实体之间针对控制面数据进行安全保护的密钥。该方案采用目标ue和接入网功能实体络之间的安全保护密钥来实现，简化了安全保护密钥的获取流程。

在一些示例性实施例中，第一密钥包括加密密钥。在另一些示例性实施例中，第一密钥包括完整性密钥。在另一些示例性实施例中，第一密钥包括加密密钥和完整性密钥。在一些示例性实施例中，加密密钥用于目标ue和用户面功能实体之间对目标用户面数据的机密性保护，完整性密钥用于目标ue和用户面功能实体之间对目标用户面数据的完整性保护。

在一些示例性实施例中，通过nas安全通道将第一密钥发送给控制面功能实体。该技术方案提高了第一密钥传输过程中的安全性。

在另一些示例性实施例中，不需要将第一密钥发送给控制面功能实体，网络控制面功能将第二密钥发送给用户面功能实体，由用户面功能实体根据第二密钥产生第一密钥。第二密钥用于密钥隔离，防止一个密钥泄露而影响到其他密钥的安全，提高了安全性。

在一些示例性实施例中，该方法还包括：

通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护。

在一些示例性实施例中，通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护包括：

使用所述机密性密钥对发往用户面功能实体的目标用户面数据进行加密；使用所述机密性密钥对接收自用户功能实体的目标用户面数据进行解密；

或者，

使用所述完整性密钥对发往用户面功能实体的目标用户面数据进行完整性保护处理；使用所述完整性密钥对接收自用户功能实体的目标用户面数据进行完整性校验；

或者，

使用所述机密性密钥对发往用户面功能实体的目标用户面数据进行加密，使用所述完整性密钥对加密后的所述目标用户面数据进行完整性保护处理；

使用所述完整性密钥对接收自用户功能实体的目标用户面数据进行完整性校验，校验通过后使用所述机密性密钥对所述目标用户面数据进行解密。

在一些示例性实施例中，通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护包括：

对向用户面功能实体发送的上行目标用户面数据进行pdcp封装之前，使用第一密钥对上行目标用户面数据进行第一安全保护处理，将第一安全保护处理后的上行目标用户面数据发送给接入网功能实体。

对接收到的来自核心网络的第一安全保护处理后的下行目标用户面数据进行pdcp解封装之后，使用第一密钥对第一安全保护处理后的下行目标用户面数据进行第二安全保护处理。

该安全保护方案是通过pdcp层实现的，而不是通过应用层实现的，使得该安全保护方案更加容易推广。

在一些示例性实施例中，第一密钥为ue对应的第一密钥，向用户面功能实体发送的上行目标用户面数据为ue向用户面功能实体发送的所有上行用户面数据，接收到的来自核心网络的第一安全保护处理后的下行目标用户面数据为ue接收到的来自用户面功能实体的所有下行用户面数据。

也就是说，使用第一密钥对ue向用户面功能实体发送的所有上行用户面数据进行第一安全保护处理，使用第一密钥对接收到的来自用户面功能实体的所有下行用户面数据进行第二安全保护处理。

在另一些示例性实施例中，第一密钥为ue的协议数据单元(pdu，protocoldataunit)会话对应的第一密钥，具体可以一个pdu会话对应一个第一密钥，也可以两个或两个以上pdu会话对应一个第一密钥，那么，向用户面功能实体发送的上行目标用户面数据为ue通过pdu会话向用户面功能实体发送的上行用户面数据，接收到的来自用户面功能实体的第一安全保护处理后的下行目标用户面数据为ue通过pdu会话接收到的来自核心网络的下行用户面数据。

也就是说，使用第一密钥对ue通过第一密钥对应的pdu会话向用户面功能实体发送的上行用户面数据进行第一安全保护处理，对于ue通过不与第一密钥对应的pdu会话(也就是第一密钥对应的pdu会话之外的其他pdu会话)向用户面功能实体发送的上行用户面数据则不需要进行第一安全保护处理，而是按照现有技术进行处理；同样的，使用第一密钥对通过第一密钥对应的pdu会话接收到的来自用户面功能实体的下行用户面数据进行第二安全保护处理，对于通过不与第一密钥对应的pdu会话(也就是第一密钥对应的pdu会话之外的其他pdu会话)接收到的来自用户面功能实体的下行用户面数据则不需要进行第二安全保护处理，而是按照现有技术进行处理。

上述示例性实施例中，仅对通过部分pdu会话与核心网络传输的用户面数据进行安全保护，而不是对ue所有的用户面数据进行安全保护，从而对于不需要进行的用户面数据提高了处理效率，减少了业务时延。

在一些示例性实施例中，安全保护可以是以下三种情况中的任意一种情况：机密性保护、完整性保护、机密性保护和完整性保护。以下分别对这三种情况进行描述。

(一)安全保护仅包括机密性保护的情况

这种情况下，第一密钥仅包括加密密钥，相应的，

使用第一密钥对上行目标用户面数据进行第一安全保护处理包括：使用加密密钥对上行目标用户面数据进行加密；

使用第一密钥对第一安全保护处理后的下行目标用户数据进行第二安全保护处理包括：使用加密密钥对加密后的下行目标用户数据进行解密。

(二)安全保护仅包括完整性保护的情况

这种情况下，第一密钥仅包括完整性密钥，相应的，

使用第一密钥对上行目标用户面数据进行第一安全保护处理包括：使用完整性密钥对上行目标用户面数据进行完整性保护处理；

使用第一密钥对第一安全保护处理后的下行目标用户面数据进行第二安全保护处理包括：使用完整性密钥对完整性保护处理后的下行目标用户面数据进行完整性校验。

(三)安全保护既包括机密性保护又包括完整性保护的情况

这种情况下，第一密钥包括加密密钥和完整性密钥，相应的，

使用第一密钥对上行目标用户面数据进行第一安全保护处理包括：

使用加密密钥对上行目标用户面数据进行加密，使用完整性密钥对加密后的上行目标用户面数据进行完整性保护处理；

使用第一密钥对第一安全保护处理后的下行目标用户面数据进行第二安全保护处理包括：

使用完整性密钥对加密和完整性保护处理后的下行目标用户面数据进行完整性校验，校验通过后使用加密密钥对加密后的下行目标用户数据进行解密。

本公开实施例提供的数据传输方法，由控制面功能实体确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据，然后通知接入网功能实体和目标用户设备，使得目标用户设备和用户面功能实体对目标用户面数据进行安全保护，实现了在目标用户设备和用户面功能实体之间对目标用户面数据进行安全保护。

在一些示例性实施例中，控制面功能实体和用户面功能实体为设置在核心网络的不同设备。

在一些示例性实施例中，控制面功能实体为负责用户设备接入、业务处理的控制面网络功能实体。

在一些示例性实施例中，用户面功能实体为处理用户应用数据的转发面网络功能实体。

在一些示例性实施例中，在5g网络中，控制面功能实体为接入管理功能(amf，accessmanagementfunction)实体，用户面功能实体为用户面功能(upf，userplanefunction)实体。

在另一些示例性实施例中，在演进的分组核心网络(epc，evolvedpacketcorenetwork)中，控制面功能实体为移动性管理实体(mme，mobilitymanagemententity)，用户面功能实体为服务网关(sgw，servinggateway)或分组网关(pgw，packetgateway)。

下面通过几个具体示例详细说明上述实施例的具体实现过程，需要说明的是，所列举的示例仅仅是为了说明方便，不能用于限定本公开实施例的保护范围。

示例1

如果虚拟网络运营商提供网络服务，其租借接入设备，对应用而言，接入设备不可信，需要在ue和核心网络设备之间直接建立加密通道；或者如下场景，多个核心网运营商共享接入网功能实体，为保证数据安全，也需要在ue和每个核心网络之间建立加密通道。对于上述场景，可以在ue接入核心网络的注册认证阶段，产生对用户面数据加密和完整性保护所需的密钥，以便ue开展业务时，对用户面数据进行加密传输和完整性保护。以5g网络为例，实施流程如图6描述。方案中的控制面功能实体为amf实体，用户面功能实体为upf实体。

1.ue请求接入到5g网络，向amf实体发起注册认证请求，ran功能实体根据注册认证请求中的隐藏的签约标识(suci，subscriptionconcealedidentifier)将注册认证请求路由到amf实体。

2.ue、amf实体、认证服务器功能(ausf，authenticationserverfunction)实体和统一数据管理(udm，unifieddatamanagement)实体之间完成鉴权认证过程。ue、ran实体、amf实体之间进行其他注册流程，具体可参考3gppts23.502注册认证流程。

3.鉴权认证过程完成后，amf实体生成锚定密钥kseaf，amf根据kseaf使用密钥生成算法进行密钥衍生，最终生成第二密钥kgnb。如果amf决策需要在ue和用户面功能实体之间对用户面数据进行安全保护(例如，运营商策略或者用户签约信息中规定了需要在ue和用户面功能实体之间对用户面数据进行安全保护，则amf实体根据运营商策略或者用户签约信息决策需要在ue和用户面功能实体之间对用户面数据进行安全保护)，则继续执行步骤4。

4.amf实体通过n1消息和/或n2消息向ran功能实体和ue发送通知消息。

5.ue和ran功能实体、amf实体之间完成其余注册过程，并在ue和amf实体之间建立nas安全通道。

6.ue根据根密钥按照层次化密钥衍生算法生成第一密钥，第一密钥包括加密密钥kupenc和完整性密钥kupint。

7.ue通过nas安全通道将加密密钥kupenc和完整性密钥kupint发送给amf实体，amf实体将加密密钥kupenc和完整性密钥kupint发送给upf实体。其中，amf实体可以在pdu会话建立阶段通过smf实体将加密密钥kupenc和完整性密钥kupint发送给upf实体。

8.upf实体保存加密密钥kupenc和完整性密钥kupint。

9.在ue和upf实体之间对用户面数据进行机密性和完整性保护，相关过程可参考示例3的描述。

根据相关技术，加密密钥kupenc和完整性密钥kupint由ran实体产生。上述方案中步骤7也可以由如下方案替代，由ran实体通过n2接口消息将加密密钥kupenc和完整性密钥kupint提供给amf实体。amf实体进一步提供给upf实体。

上述方案描述的是ue注册到5g网络后，在ue和5g核心网络之间针对用户面数据进行安全保护，即ue和5g核心网络交互的所有用户面数据都进行机密性和完整性保护。上述方案也同样适用于epc，方案的控制面功能实体是mme，用户面功能实体是sgw或pgw。

示例2

示例1描述的是在ue和5g核心网络之间针对用户面数据进行安全保护。5g网络还可以网络切片形式提供网络服务，即5gc可以包括多个网络切片，ue注册到5g网络之后，最多可以接入8个网络切片。示例2描述的是提供针对网络切片级别的在ue和核心网之间针对用户面数据进行安全保护，实现过程如图7所示。方案中网络控制功能实体为amf实体，用户面功能实体为upf实体：

1.在ue成功注册到5g网络之后，ue请求接入网功能实体络切片，发起pdu会话建立请求，pdu会话建立请求中包含nas消息，nas消息中包括：单一网络切片选择辅助信息(s-nssai，singlenetworksliceselectionassistanceinformation)等。s-nssai包含授权ue请求接入的网络切片标识。amf保存s-nssai等信息。

2.接收到pdu会话建立请求后，amf实体获取用户的签约信息，签约信息中包含用户的授权s-nssai，每个s-nssai对应的网络切片用于承载的业务类型，是否需要在ue和用户面功能实体之间对用户面数据进行安全保护等信息。如果amf实体上没有保存用户的签约信息，则向udm实体获取用户的签约信息。

3.amf实体结合用户的签约信息，决策为pdu会话执行在ue和用户面功能实体之间对用户面数据进行安全保护。

4.amf实体根据s-nssai等信息进行smf实体选择。

5.amf实体向smf实体发起pdu会话上下文创建请求，pdu会话上下文创建请求中包含用户永久标识(supi，subscriptionpermanentidentifier)，第二密钥kgnb等信息。

6.smf实体向amf实体返回pdu会话上下文创建响应。

7.如果步骤1中的pdu会话建立请求是第一次发送，则smf实体进行upf实体选择；如果步骤1中的pdu会话建立请求不是第一次发送，则直接执行步骤9。

8.smf实体向选择的upf实体发起n4会话建立请求，提供pdu会话对应的流检测规则、第二密钥kgnb等信息。smf实体和upf实体之间建立n4会话。

9.upf实体保存第二密钥kgnb。

10.amf实体和ran实体进行n2接口消息交互，向ran实体发送通知消息。

11.ran实体保存表示是否需要在ue和用户面功能实体之间对用户面数据进行安全保护的信息。

12.ue、ran功能实体、amf实体、smf实体、upf实体之间完成pdu会话建立的其余过程。

13.amf实体向ue返回pdu会话建立响应。

14.ue根据根密钥，并使用密钥层次衍生算法推衍生成第一密钥，第一密钥包括：加密密钥kupenc和完整性密钥kupint。upf实体根据第二密钥kgnb按照相同密钥生成算法推衍生成第一密钥，第一密钥包括：加密密钥kupenc和完整性密钥kupint。

15.在ue和upf实体之间针对用户面数据进行机密和完整性保护的过程参考示例3。

示例3

根据上述示例1或示例2中amf实体是否向ran功能实体发送通知消息，ran功能实体判断是否需要对ue和upf实体之间传输的用户面数据进行加解密和完整性保护处理。

对于上行用户面数据：

ue按照图8或图9所示的ue协议栈部分完成对发送的上行用户面数据的封装，发送封装后的上行用户面数据。具体的，对上行用户面数据进行应用层封装，对应用层封装后的上行用户面数据进行pdu层封装，对pdu层封装后的上行用户面数据进行简单分布式文件传输系统访问协议(sdap，simpledistributionfilesystemaccessprotocol)封装，使用kupenc对sdap封装后的上行用户面数据进行加密，使用kupint对加密后的上行用户面数据进行完整性保护处理，对完整性保护处理后的上行用户面数据进行pdcp封装，对pdcp封装后的上行用户面数据进行无线链路控制层(rlc，radiolinkcontrol)封装，对rlc封装后的上行用户面数据进行媒体访问控制(mac，medicaaccesscontrol)层封装，对mac层封装后的上行用户面数据进行物理层(phy，physicallayer)封装。

当phy封装后的上行用户面数据发送至ran功能实体时，ran功能实体判断phy封装后的上行用户面数据是否属于ue和upf实体之间交互的数据；如果phy封装后的上行用户面数据属于ue和upf实体之间交互的数据，则ran功能实体不对phy封装后的上行用户面数据进行加解密、完整性保护处理和完整性校验，仅完成图9所示的协议转换，首先对phy封装后的上行用户面数据进行phy解封装，对phy解封装后的上行用户面数据进行mac层解封装，对mac层解封装后的上行用户面数据进行rlc解封装，然后将rlc解封装后的上行用户面数据转换成通用分组无线服务(gprs，generalpacketradioservice)隧道协议(gtp，gprstunnellingprotocol)封装格式。在协议转换处理过程中，ran功能实体对pdcp层及以上不作任何处理，即不对上行用户面数据进行解密和完整性校验处理。ran功能实体对上行用户面数据完成协议转换处理后，发送给upf实体。

upf实体接收协议转换后的上行用户面数据，对协议转换后的上行用户面数据进行l1层解封装，对l1层解封装后的上行用户面数据进行l2层解封装，对l2层解封装后的上行用户面数据进行gtp-u/udp/ip层解封装，对gtp-u/udp/ip层解封装后的上行用户面进行pdcp解封装，使用kupint对pdcp解封装后的上行用户面数据进行完整性校验，校验通过后，使用kupenc对pdcp解封装后的上行用户面数据解密，对解密后的上行用户面数据进行sdap解封装，对sdap解封装后的上行用户面数据进行pdu层解封装。

如果phy封装后的上行用户面数据不属于ue和upf实体之间交互的数据，则ran功能实体按照图9所示的ran功能实体的协议栈部分，首先对phy封装后的上行用户面数据进行phy解封装，对phy解封装后的上行用户面数据进行mac层解封装，对mac层解封装后的上行用户面数据进行rlc解封装，对rlc解封装后的上行用户面数据进行pdcp解封装，对pdcp解封装后的上行用户面数据使用kupint进行完整性校验，校验通过后使用kupenc进行解密，然后将解密后的上行用户面数据转换成gtp封装格式。在协议转换处理过程中，ran功能实体对sdap层及以上不作任何处理。ran功能实体对上行用户面数据完成协议转换处理后，发送给upf实体。

对于下行用户面数据：

upf实体按照图8所示的upf协议栈部分完成对发送的下行用户面数据的封装，发送封装后的下行用户面数据。具体的，对下行用户面数据进行应用层封装，对应用层封装后的下行用户面数据进行pdu层封装，对pdu层封装后的下行用户面数据进行sdap封装，使用kupenc对sdap封装后的下行用户面数据进行加密，使用kupint对加密后的下行用户面数据进行完整性保护处理，对完整性保护处理后的下行用户面数据进行pdcp封装，对pdcp封装后的下行用户面数据进行gtp-u/udp/ip封装，对gtp-u/udp/ip封装后的下行用户面数据进行l2层封装，对l2层封装后的下行用户面数据进行l1层封装。

或者，upf实体按照图10所示的upf协议栈部分完成对发送的下行用户面数据的封装，发送封装后的下行用户面数据。具体的，对下行用户面数据进行应用层封装，对应用层封装后的下行用户面数据进行pdu层封装，对pdu层封装后的下行用户面数据进行sdap封装，对sdap封装后的下行用户面数据进行gtp-u封装，对gtp-u封装后的下行用户面数据进行udp/ip封装，对udp/ip封装后的下行用户面数据进行l2层封装，对l2层封装后的下行用户面数据进行l1层封装。

当l1层封装后的下行用户面数据发送至ran功能实体时，ran功能实体判断l1层封装后的下行用户面数据是否属于ue和upf之间交互的数据；如果l1层封装后的下行用户面数据属于ue和upf之间交互的数据，则ran功能实体不对l1层封装后的下行用户面数据进行加解密、完整性保护处理和完整性校验，仅完成图9所示的协议转换，首先对l1层封装后的下行用户面数据进行l1层解封装，对l1层解封装后的下行用户面数据进行l2层解封装，对l2层解封装后的下行用户面数据进行gtp-u/udp/ip解封装，然后将gtp-u/udp/ip解封装后的下行用户面数据转换成rlc封装格式。在协议转换处理过程中，ran功能实体对pdcp层及以上不作任何处理，即不对下行用户面数据进行解密和完整性校验处理。ran功能实体对下行用户面数据完成协议转换处理后，发送给upf。

ue接收协议转换后的下行用户面数据，对协议转换后的下行用户面数据进行phy解封装，对phy解封装后的下行用户面数据进行mac层解封装，对mac层解封装后的下行用户面数据进行rlc层解封装，对rlc层解封装后的下行用户面进行pdcp解封装，使用kupint对pdcp解封装后的下行用户面数据进行完整性校验，校验通过后，使用kupenc对pdcp解封装后的下行用户面数据解密，对解密后的下行用户面数据进行sdap解封装，对sdap解封装后的下行用户面数据进行pdu层解封装。

如果l1层封装后的下行用户面数据不属于ue和upf实体之间交互的数据，则ran功能实体按照图10所示的ran功能实体的协议栈部分，首先对l1层封装后的下行用户面数据进行l1层解封装，对l1层解封装后的下行用户面数据进行l2层解封装，对l2层解封装后的下行用户面数据进行udp/ip解封装，对udp/ip解封装后的下行用户面数据进行gtp-u解封装，将gtp-u解封装后的下行用户面数据转换成rlc封装格式。在协议转换处理过程中，ran功能实体对sdap层及以上不作任何处理。ran功能实体对下行用户面数据完成协议转换处理后，发送给ue。

第五方面，本公开实施例提供一种电子设备，其包括：

至少一个处理器；

存储器，其上存储有至少一个程序，当至少一个程序被至少一个处理器执行，使得至少一个处理器实现上述任意一种数据传输方法。

其中，处理器为具有数据处理能力的器件，其包括但不限于中央处理器(cpu)等；存储器为具有数据存储能力的器件，其包括但不限于随机存取存储器(ram，更具体如sdram、ddr等)、只读存储器(rom)、带电可擦可编程只读存储器(eeprom)、闪存(flash)。

在一些实施例中，处理器、存储器通过总线相互连接，进而与计算设备的其它组件连接。

第六方面，本公开实施例提供一种计算机可读存储介质，其上存储有计算机程序，程序被处理器执行时实现上述任意一种数据传输方法。

图10为本公开实施例的一种数据传输装置的组成框图。

第七方面，参照图10，本公开实施例提供一种数据传输装置(如控制面功能实体)，包括：

第一确定模块1001，用于确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据；

第一通知消息发送模块1002，用于向接入网功能实体和所述目标用户设备发送通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对所述目标用户面数据进行安全保护。

在一些示例性实施例中，还包括：

密钥转发模块1003，用于接收所述目标用户设备或者接入网功能实体返回的第一密钥，并向所述用户面功能实体发送所述第一密钥；所述第一密钥用于被所述用户面功能实体和所述目标用户设备使用，对所述目标用户面数据在目标用户设备与用户面功能实体之间进行安全保护。

在一些示例性实施例中，第一密钥包括机密性密钥和/或完整性密钥。

在一些示例性实施例中，还包括：

第一密钥发送模块1004，用于生成第二密钥，并向用户面功能实体发送所述第二密钥；所述第二密钥用于被用户面功能实体使用，生成所述第一密钥。

上述数据传输装置的具体实现过程与前述实施例控制面功能实体侧的数据传输方法的具体实现过程相同，这里不再赘述。

图11为本公开实施例的另一种数据传输装置的组成框图。

第八方面，参照图11，本公开实施例提供另一种数据传输装置(如接入网功能实体)，包括：

第一通知消息接收模块1101，用于接收控制面功能实体发送的通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对目标用户面数据进行安全保护。

在一些示例性实施例中，还包括：

第二密钥发送模块1102，用于向控制面功能实体发送第一密钥；其中，第一密钥为在目标用户设备和用户面功能实体之间对目标用户面数据进行安全保护的密钥。

在一些示例性实施例中，还包括：

第一数据处理模块1103，用于根据所述通知消息确定所述接入网功能实体接收的用户面数据是否为所述目标用户面数据；若是，则对所述目标用户面数据不作安全保护处理，进行协议转换后转发。

上述数据传输装置的具体实现过程与前述实施例接入网功能实体侧的数据传输方法的具体实现过程相同，这里不再赘述。

图12为本公开实施例的另一种数据传输装置的组成框图。

第九方面，参照图12，本公开实施例提供另一种数据传输装置(如用户面功能实体)，包括：

密钥获取模块1201，用于接收控制面功能实体发送的第一密钥；或者，接收控制面功能实体发送的第二密钥，并根据所述第二密钥产生所述第一密钥；

第二数据处理模块1202，用于通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护。

在一些示例性实施例中，第二数据处理模块1402具体用于：

使用所述机密性密钥对发往所述目标用户设备的目标用户面数据进行加密；使用所述机密性密钥对接收自所述目标用户设备的目标用户面数据进行解密；

或者，

使用所述完整性密钥对发往所述目标用户设备的目标用户面数据进行完整性保护；使用所述完整性密钥对接收自所述目标用户设备的目标用户面数据进行完整性校验；

或者，

使用所述机密性密钥对发往所述目标用户设备的目标用户面数据进行加密，使用所述完整性密钥对所述目标用户面数据进行完整性保护；

使用所述完整性密钥对接收自所述目标用户设备的目标用户面数据进行完整性校验，校验通过后使用所述机密性密钥对所述目标用户面数据进行解密。

上述数据传输装置的具体实现过程与前述实施例用户面功能实体侧的数据传输方法的具体实现过程相同，这里不再赘述。

图13为本公开实施例的另一种数据传输装置的组成框图。

第十方面，参照图13，本公开实施例提供另一种数据传输装置(如目标ue)，包括：

第二通知消息接收模块1301，用于接收控制面功能实体发送的通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对目标用户面数据进行安全保护。

在一些示例性实施例中，还包括：

第三密钥发送模块1302，用于生成第一密钥，并将所述第一密钥发送给所述控制面板功能实体；所述第一密钥包括机密性密钥和/或完整性密钥。

在一些示例性实施例中，还包括：

第三数据处理模块1303，用于使用所述机密性密钥对发往用户面功能实体的目标用户面数据进行加密；使用所述机密性密钥对接收自用户功能实体的目标用户面数据进行解密；

或者，

使用所述完整性密钥对发往用户面功能实体的目标用户面数据进行完整性保护处理；使用所述完整性密钥对接收自用户功能实体的目标用户面数据进行完整性校验；

或者，

使用所述机密性密钥对发往用户面功能实体的目标用户面数据进行加密，使用所述完整性密钥对加密后的所述目标用户面数据进行完整性保护处理；

使用所述完整性密钥对接收自用户功能实体的目标用户面数据进行完整性校验，校验通过后使用所述机密性密钥对所述目标用户面数据进行解密。

上述数据传输装置的具体实现过程与前述实施例目标ue侧的数据传输方法的具体实现过程相同，这里不再赘述。

图14为本公开实施例的一种数据传输系统的组成框图。

第十一方面，参照图14，本公开实施例提供一种数据传输系统，包括：

控制面功能实体1401，用于确定需要在目标用户设备与用户面功能实体之间进行安全保护的目标用户面数据；向接入网功能实体和所述目标用户设备发送通知消息，所述通知消息用于指示在目标用户设备与用户面功能实体之间对所述目标用户面数据进行安全保护；

接入网功能实体1402，用于接收控制面功能实体发送的通知消息；

目标用户设备1403，用于接收控制面功能实体发送的通知消息。

在一些示例性实施例中，控制面功能实体1401还用于：

接收所述目标用户设备或者接入网功能实体返回的第一密钥，并向所述用户面功能实体发送所述第一密钥；所述第一密钥用于被所述用户面功能实体和所述目标用户设备使用，对所述目标用户面数据在目标用户设备与用户面功能实体之间进行安全保护；

目标用户设备1403还用于：

生成第一密钥，并将所述第一密钥发送给所述控制面板功能实体；所述第一密钥包括机密性密钥和/或完整性密钥；

接入网功能实体1402还用于：

将所述第一密钥发送给所述控制面板功能实体。

在一些示例性实施例中，控制面功能实体1401还用于：

生成第二密钥，并向用户面功能实体发送所述第二密钥；所述第二密钥用于被用户面功能实体使用，生成所述第一密钥；

所述系统还包括：

用户面功能实体1404，用于接收控制面功能实体发送的第二密钥，并根据所述第二密钥产生所述第一密钥。

在一些示例性实施例中，目标ue1403还用于：

通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护；

用户面功能实体1404还用于：

通过所述第一密钥对目标用户设备与用户面功能实体之间传输的目标用户面数据进行安全保护。

上述数据传输系统的具体实现过程与前述实施例数据传输方法的具体实现过程相同，这里不再赘述。

本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些物理组件或所有物理组件可以被实施为由处理器，如中央处理器、数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其它数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于ram、rom、eeprom、闪存或其它存储器技术、cd-rom、数字多功能盘(dvd)或其它光盘存储、磁盒、磁带、磁盘存储或其它磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其它的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其它传输机制之类的调制数据信号中的其它数据，并且可包括任何信息递送介质。

本文已经公开了示例实施例，并且虽然采用了具体术语，但它们仅用于并仅应当被解释为一般说明性含义，并且不用于限制的目的。在一些实例中，对本领域技术人员显而易见的是，除非另外明确指出，否则可单独使用与特定实施例相结合描述的特征、特性和/或元素，或可与其它实施例相结合描述的特征、特性和/或元件组合使用。因此，本领域技术人员将理解，在不脱离由所附的权利要求阐明的本公开的范围的情况下，可进行各种形式和细节上的改变。