启用本地安全上下文的方法

专利名称：启用本地安全上下文的方法
技术领域：
本发明涉及通信领域中启用安全上下文技术，具体地，涉及在不同系统 间切换时的启用本地安全上下文的方法。
背景技术：
第三代合作伙伴计划(3rd Generation Partnership Project,简称3GPP ) 演进的分组系统(EvolvedPacket System ，简称EPS)由演进的陆地无线接 入网(Evolved UMTS Terrestrial Radio Access Network,简称EUTRAN)和 EPS演进的分组核心网(Evolved Packet Core,简称EPC)组成。EPC能够 支持用户从全球移动通讯系统增强型数据速率GSM演进实体无线接入网
(Global System for Mobile Communication Enhanced Data Rate for GSM Evolution radio access network,简称GERAN )和通用陆地无线接入网
(Universal Terrestrial Radio Access Network ，简称UTRAN)的接入。
EPC分组核心网包含移动管理实体(Mobility Management Entity,简称 MME) , MME负责移动性的管理、非接入层信令的处理、以及用户安全模 式的管理等控制面相关的工作。其中，MME保存EUTRAN的根密钥——l妄 入安全管理实体密钥(Key Access Security Management Entity, 简写为 Kasme)。在EUTRAN中，基站设备为演进的基站(evolved Node-B，简称 eNB)，主要负责无线通信、无线通信管理、和移动性上下文的管理。供eNB 使用的接入层的根密钥是演进的基站密钥(KeyeNB，简写为K^B)。
3GPP通用移动通4言系统(Universal Mobile Telecommunication System, 简称UMTS)系统中负责移动性上下文的管理、和/或用户安全模式的管理 的设备是服务通用分组无线业务支持节点(Serving General Packet Radio Service Support Node,简称SGSN) 。 SGSN还负责认证用户设备(User Equipment,简称UE)。3GPP UMTS系统中，负责无线通信管理的设备是UTRAN中的无线网 络控制器(Radio Network Controller,简称RNC) 。 UE从UTRAN切换到 EUTRAN过程中，MME和UE使用UMTS的密钥IK, CK,生成EUTRAN 中的密钥kasme,称为映射的密钥，相关的安全上下文称映射的安全上下文 (mapped EPS security context)。在随后的非接入层信令中，尝试启用UE 和MME保存的EPS安全上下文，称为本地EPS安全上下文或称本地安全 上下文(native EPS security context)。方法为，在跟踪区更新(TAU, Tracking Area Update)过程之后，使用非接入层安全模式命令(NAS SMC， Non Access Stratum Security Mode Command )过程，启用本地安全上下文。但是在3艮踪 区更新过程中，还是使用映射的安全上下文进行安全保护，即用映射的安全 上下文对跟踪区更新请求消息进行完整性保护，对跟踪区更新接受消息进行 完整性保护和加密。
目前在不同接入系统之间切换时，如UE从UTRAN切换到EUTRAN 时，启用本地安全上下文，至少存在如下缺陷
现有技术中同时使用两个非接入层过程跟踪区更新和非接入层安全模 式命令，给通信系统造成了不必要的信令负载，给通信过程带来了不必要的 时延，降低了系统性能。

发明内容
本发明要解决的技术问题是提供一种启用本地安全上下文的方法，减轻 系统信令负载，减少通信时延，提高系统性能。
为了解决上述问题，本发明提供了一种启用本地安全上下文的方法，用 户设备UE发送跟踪区更新请求消息给移动管理实体MME,当且仅当MME 知晓该MME和UE共享接入安全管理实体密钥标识KSIASME和全球唯一临 时标识GUTI对应的本地安全上下文时，MME启用该KSIasme和GUTI对应 的本地安全上下文。
进一步的，上述方法还可具有以下特点，所述UE使用映射的安全上下 文对该跟踪区更新请求消息进行完整性保护和/或加密。
5进一步的，上述方法还可具有以下特点，所述MME发送^J宗区更新4妻 受消息给UE, 4吏用本地安全上下文对该消息进行安全保护；所述UE接收 该跟踪区更新接受消息，启用本地安全上下文。
进一步的，上述方法还可具有以下特点，所述UE使用KSUsME对应的 本地安全上下文对该所述跟踪区更新接受消息进行安全验证，如果安全验证 成功，启用本地安全上下文成功；如果安全验证失败，跟踪区更新流程终止， 启用本地安全上下文不成功。
进一步的，上述方法还可具有以下特点，所述安全保护为完整性保护和 /或加密。
进一步的，上述方法还可具有以下特点，所述MME使用安全报头类型 信息元指示使用本地安全上下文对跟踪区更新接受消息进行安全保护。
本发明还提出 一种启用本地安全上下文的方法，用户设备UE发送跟踪 区更新请求消息给移动管理实体MME，当且仅当MME知晓该MME和UE 共享接入安全管理实体密钥标识KSUsME和全球唯一临时标识GUTI对应的 本地安全上下文时，MME利用该本地安全上下文生成令牌，MME发送跟 踪区更新接受消息和该令牌给UE, UE使用该KSlASME对应的本地安全上下
文对该令牌进行验证，验证成功时，l正启用该KSUsME对应的本地安全上下文。
进一步的，上述方法还可具有以下特点，所述令牌通过如下方式获得 MME使用本地安全上下文，对跟踪区更新接受消息进行完整性保护计算， 计算结果即令牌。
进一步的，上述方法还可具有以下特点，所述UE^f吏用映射的安全上下 文对该跟踪区更新请求消息进行完整性保护；所述MME使用映射的安全上 下文对该跟踪区更新接受消息进行安全保护，所述UE还须使用映射的安全 上下文对该跟踪区更新接受消息进行成功的安全验证才能启用本地安全上 下文。
进一步的，上述方法还可具有以下特点，所述UE向MME发送跟踪区 更新完成消息，该消息使用本地安全上下文进行安全保护；所述MME接收该跟踪区更新完成消息，启用本地安全上下文。
进一步的，上述方法还可具有以下特点，所述MME使用KSUsME和该 GUTI对应的本地安全上下文对该跟踪区更新完成消息进行安全-睑证，如果 安全验证不成功，跟踪区更新流程结束，启用本地上下文失败；如果安全验 证成功，启用本地安全上下文成功。
进一步的，上述方法还可具有以下特点，所述安全保护为完整性保护和 /或力口密。
进一步的，上述方法还可具有以下特点，所述UE使用安全4艮头类型信 息元指示使用本地安全上下文对跟踪区更新完成消息进行安全保护。
本发明对跟踪区更新过程进行改进，使得具有启用本地安全上下文的功 能，从而从系统间的切换流程到非接入层流程中，去掉非接入层安全模式命 令过程，达到减轻系统信令负载，减少通信时延，优化通信过程的效益。


图1为在系统间切换后启用本地安全上下文方法1的流程图。
图2为系统间切换后启用本地安全上下文方法1的信令流程图一。
图3为系统间切换后启用本地安全上下文方法1的信令流程图二。
图4为系统间切换后启用本地安全上下文方法1的信令流程图三。
图5为在系统间切换后启用本地安全上下文方法2的流程图。
图6为系统间切换后启用本地安全上下文方法2的信令流程图一。
具体实施例方式
以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述 的优选实施例仅用于说明和解释本发明，并不用于限定本发明。
图1为本发明在系统间切换后启用本地安全上下文的流程图，包括 步骤102， UE发送跟踪区更新请求消息给MME，并使用映射的安全上下文对该消息进行完整性保护。如果UE保存有本地安全上下文，则该消息 包含该本地安全上下文对应的KSIASME ( Key Set Identifier of Access Security Management Entity,接入安全管理实体密钥标识)。
该消息中还携带该UE的GUTI ( Globally Unique Temporary Identity,全 球唯一临时标识)，GUTI是UE的唯一临时标识，并可以指示MME到哪 个MME中提取本地安全上下文。在UE中，由于每个UE只能保存一组 KSUsME对应的本地安全上下文，所以KSUsme可以指示本地安全上下文。 在MME中，有可能保存多个UE的本地安全上下文，所以需要UE的临时 标识，如GUTI,和KSIasme共同指示本地安全上下文。
步骤104, MME接收到跟踪区更新请求消息后，；险查该跟踪区更新请 求消息中是否帶有KSIasme，如果带有，转步骤106;否则，转步骤108;
步骤106,如果跟踪区更新请求消息中带有KSUsme，则MME提取该 KSIasme和GUTI对应的本地安全上下文，判断MME是否成功提取本地安 全上下文，如果是，转步骤110，否则，转步骤112。
由于该消息是被完整性保护的，所以，可以确认该KSIasme和GUTI为 UE发送的KSIASME和GUTI。
MME提取本地安全上下文时，可以在该MME上进行提取，或者，才艮 据GUTI对应的MME,在该MME上提取。
步骤108，如果跟踪区更新清求消息不包含KSIasme，则说明UE没有保 存本地安全上下文，那么就无法启用本地安全上下文，继续使用映射安全上 下文对通信信令进行安全保护，流程结束。
步骤110， MME成功提取本地安全上下文，表示该MME知晓MME和 UE共享KSIASME和GUTI对应的本地安全上下文，MME启用本地安全上下 文，不再使用映射安全上下文，即本地安全上下文为新的安全上下文，映射 安全上下文为旧的安全上下文，MME发送跟踪区更新接受消息给UE,并 使用本地安全上下文对该消息进行安全保护，转步骤114。
安全保护可以包括完整性保护和/或加密。
由于该消息的安全性用不加密的安全《^艮头类型信息元表示，可以用安全报头类型信息元表示该消息用新安全上下文进行安全保护，并且，由于可以
确认MME和UE共享相同的KSIasme和GUTI对应的新的安全上下文(即 本地安全上下文)，并且MME已启用该本地安全上下文，UE在接收到跟
踪区更新接受消息后，可以知道是用KSlASME对应的本地安全上下文进^f亍安
全保护的。
安全报文的设置例如3GPP规范TS24301 v800种规定，每个演进的分 组系统移动性管理消息EPS Mobility Management (EMM) message包含安全 报头类型信息元(Security header type IE )，该安全报头类型信息元指示消 息的安全保护类型。其中，_
0 10 0 Integrity protected and ciphered with new EPS security context _(NOTE 2)___
安全报头类型信息元的值为0100表示该消息是用新的演进的分组系统 安全上下文进行完整性保护和加密保护。
步骤112， MME提取本地安全上下文不成功，表示MME未保存有相 应的本地安全上下文，不启用本地安全上下文，继续使用映射安全上下文对 通信信令进行安全保护，流程结束。
步骤114， UE接收到跟踪区更新接受消息后，启用KSlASME对应的本地 安全上下文，使用本地安全上下文对该消息进行安全验证，安全验证成功转 步骤116,安全验证失败转步骤118。
安全验证可以包括完整性-睑证和/或解密。
步骤116，如果安全验证成功，则成功启用本地安全上下文，流程结束。
步骤118，如果安全验3正失败，则跟踪区更新流程失败，不能启用本地 安全上下文，跟踪区更新流程结束。
方法实施例
图2为系统间切换后启用本地安全上下文的信令流程图一，包括，
步骤202, UE发送跟踪区更新请求消息，并使用映射的安全上下文对 该消息进行完整性保护，该消息中包含该UE的GUTI。本实施例中，UE保 存有本地安全上下文，则该消息包含该本地安全上下文对应的KSIasme,步骤204， MME接收到跟踪区更新请求消息后，使用映射的安全上下 文对该消息的完整性保护进行验证。MME成功获取该消息中携带的KSIASME 和GUTI对应的本地安全上下文。MME知晓MME和UE共享KSIasme和 GUTI指示的本地安全上下文。
步骤206， MME启用KSIasme和GUTI对应的本地安全上下文，本地安 全上下文即为新安全上下文。MME使用本地安全上下文对跟踪区更新接受 消息进行加密和完整性保护。
跟踪区更新接受消息的安全报头类型信息元指示使用新安全上下文进 行安全保护。即使该消息被加密，UE也可以根据安全报头类型信息元和UE
保存的KSIasme知道，对该消息进行安全保护使用的是KSlASME对应的本地
安全上下文。
步骤208， MME发送跟踪区更新接受消息给UE,对该消息进行安全保 护使用的是本地安全上下文。
步骤210， UE接收跟踪区更新接受消息，根据安全报头类型信息元， 判断该消息的安全保护使用的是新安全上下文，进一步根据保存的KSIasme 确认使用的是KSIASME对应的本地安全上下文，UE启用KSIASME对应的本地 安全上下文。
步骤212， UE使用KSUsME对应的本地安全上下文成功验证跟踪区更新 接受消息的完整性，并成功解密。
可选步骤214， UE向MME发送跟踪区更新完成消息，并使用本地安全 上下文对该消息进行完整性保护和加密。
可选步骤216, MME收到跟踪区更新完成消息，成功验证该消息的完 整性，并成功解密，获知UE已成功启用KSUsME对应的本地安全上下文。
其中，步骤206中，也可只对跟踪区更新接受消息值进行完整性保护， 不进行加密，步骤212中，UE使用KSUsME对应的本地安全上下文成功验 证跟踪区更新接受消息的完整性。
图3为系统间切换后启用本地安全上下文的信令流程图二，包括步骤302, UE发送跟踪区更新请求消息给MME,并使用映射的安全上 下文对该消息进行完整性保护。该消息包含该UE的GUTI。 UE保存有本地 安全上下文，则该消息包含该本地安全上下文对应的KSIASME。
步骤304， MME接收到该消息后，使用映射的安全上下文对该消息的 完整性保护进行-险证。本实施例中，MME无法获取KSUsme和GUTI对应 的本地安全上下文。
步骤306， MME无法启用本地安全上下文。
步骤308， MME发送跟踪区更新接受消息给UE,并且还是使用映射安 全上下文对该消息进行完整性保护和加密。
步骤310， UE接收跟踪区更新接受消息，并且根据该消息的安全报头 类型信息元指示，使用旧的安全上下文，即映射安全上下文对该消息进行完 整性验证和解密，UE不启用本地安全上下文。
图4为本发明系统间切换后启用本地安全上下文的信令流程图三，包
括
步骤402, UE发送跟踪区更新请求消息给MME,并4吏用映射的安全上 下文对该消息进行完整性保护。该消息包含该UE的GUTI。本实施例中， l正保存有本地安全上下文，则该消息包含该本地安全上下文对应的 KSIasme。
步骤404, MME接收到跟踪区更新请求消息后，使用映射的安全上下 文对该消息的完整性保护进行验证。MME成功获取KSUsme和GUTI对应 的本地安全上下文。MME知晓MME和UE共享KSIASME和GUTI对应的本 地安全上下文。
步骤406, MME启用KSlASME和GUTI对应的本地安全上下文，本地安 全上下文即为新安全上下文。MME使用本地安全上下文对跟踪区更新接受 消息进行加密和完整性保护。
该消息的安全报头类型信息元指示，使用新的安全上下文进行安全保 护。即使该消息被加密，UE也可以根据安全报头类型信息元和本地的KSIasme知道，对该消息进行安全保护使用的是本地安全上下文。
步骤408, MME发送跟踪区更新接受消息，对该消息进行安全保护使 用的是本地安全上下文。
步骤410， UE接收跟踪区更新接受消息，启用本地安全上下文。
步骤412, UE对该消息的完整性校验和/或解密失败，终止跟踪区更新 过程，启用本地安全上下文失败。
图5为在系统间切换后启用本地安全上下文的流程图，如图5所示，包
括
步骤502, UE发送跟踪区更新请求消息，并使用映射的安全上下文对 该消息进行完整性保护。该消息包含GUTI。如果UE保存有本地安全上下 文，则该消息包含该本地安全上下文对应的KSIASME。
步骤504, MME接收到跟踪区更新请求消息后，检查该消息中是否带 有KSIasme。如果带有，转步骤506,否则，转步骤508;
步骤506,如果带有，则MME提取该KSIasme和GUTI对应的本地安 全上下文。判断MME是否成功提取本地安全上下文，如果是，转步骤510, 否则，转步骤512。
由于该消息是^皮完整性保护的，所以，可以确认该KSUsME和GUTI为 UE发送的KSIASME和GUTI。
提取本地安全上下文时，可以在该MME上进行提取，或者，根据GUTI 乂于应的MME,在其j也MME上提取。
步骤50S，如果跟踪区更新请求消息不包含KSUsME,则说明UE没有保 存本地安全上下文，那么就无法启用本地安全上下文，流禾呈结束。
步骤510, MME提取本地安全上下文成功，表示MME保存有相应的 本地安全上下文，MME知晓MME和UE共享KSIas細和GUTI对应的本地 安全上下文。MME依然使用映射安全上下文对随后的消息进行安全保护， 但是使用KSIasme和GUTI对应的本地安全上下文生成令牌，转步骤514;即，使用本地安全上下文，对跟踪区更新接受消息进行完整性保护计算， 计算结果即令牌。
MME发送跟踪区更新接受消息给UE,在该跟踪区更新接受消息中携 带上述令牌，通知UE双方共享KSIasme和GUTI对应的本地安全上下文， 并使用映射安全上下文对该消息进行安全保护。
步骤512， MME提取本地安全上下文不成功，表示MME没有保存有 相应的本地安全上下文，不启用本地安全上下文，继续使用映射安全上下文 对通信信令进行安全保护，流程结束。
步骤514， UE接收到跟踪区更新接受消息后，使用映射的安全上下文 对该消息进行安全验证，使用KSUsME对应的本地安全上下文对该消息携带 的令牌进行验证。
安全验证可以包括完整性验证和/或解密。
步骤516，如果安全验证成功和令牌验证成功，则UE成功启用本地安 全上下文，转步骤520;
步骤518，如果令牌验证失败，则UE启用本地安全上下文失败，继续 使用映射安全上下文对通信信令进行安全保护，流程结束；如果安全验证失 败，^艮踪区更新流程失败，启用本i也安全上下文失败。
步骤520, UE向MME发送跟踪区更新完成消息，该消息使用本地安全 上下文进行安全保护，安全保护包括加密和/或完整性保护，以通知MME， UE已经成功启用本地安全上下文。
该消息的安全报头类型信息元指示，使用新安全上下文(即4吏用本地安 全上下文)进行安全保护。即使该消息#1加密，MME也可以4艮据安全才艮头 类型信息元和保存的KSUsme和GUTI知道，对该消息进行安全保护使用的 是本地安全上下文。
步骤522, MME接收跟踪区更新完成消息，MME启用本地安全上下文， 并进行安全4全证，如果验证成功，转步骤524,否则，转步骤526;
安全验证包括解密和/或完整性验证。
步骤524,安全-险证成功，启用本地安全上下文成功，流程结束。步骤526，安全验证不成功，启用本地安全上下文失败，流程结束。 方法实施例
图6为系统间切换后启用本地安全上下文方法2的信令流程图一，包括:
步骤602， UE发送跟踪区更新请求消息给MME,并使用映射的安全上 下文对该消息进行完整性保护。该消息携带该l正的GUTI。本实施例中， UE保存有本地安全上下文，则该消息包含该本地安全上下文对应的 KSIasmeo
步骤604, MME接收到该消息后，使用映射的安全上下文对该消息的 完整性保护进行验证。MME成功获取该消息中携带的KSUsme和GUTI对 应的本地安全上下文。
步骤606, MME使用映射的安全上下文对跟踪区更新接受消息进行加 密和完整性保护，同时使用本地安全上下文，对跟踪区更新接受消息进行完 整性验证计算，其结果为令牌。
步骤608， MME发送跟踪区更新接受消息给UE。对该消息进行安全保 护使用的是映射的安全上下文。同时在该消息中携带令牌发送给UE。
步骤610， UE接收跟踪区更新接受消息，使用映射的安全上下文成功 验证该消息的完整性，并成功解密。且UE使用本地安全上下文成功验证令牌。
步骤612， UE启用KSIasme和GUTI对应的本地安全上下文。
步骤614， l正向MME发送跟踪区更新完成消息，并使用本地安全上下 文对该消息进行完整性保护和加密。
步骤616，MME收到跟踪区更新完成消息，获知UE已成功启用KSIASME 和GUTI对应的本地安全上下文。MME启用KSIasme和GUTI对应的本地安 全上下文。MME成功—验证跟踪区更新完成消息的完整性，并成功解密。
权利要求
1、一种启用本地安全上下文的方法，其特征在于，用户设备UE发送跟踪区更新请求消息给移动管理实体MME，当且仅当MME知晓该MME和UE共享接入安全管理实体密钥标识KSIASME和全球唯一临时标识GUTI对应的本地安全上下文时，MME启用该KSIASME和GUTI对应的本地安全上下文。
2、 如权利要求1所述的方法，其特征在于，所述UE使用映射的安全 上下文对该跟踪区更新请求消息进行完整性保护和/或加密。
3、 如权利要求1所述的方法，其特征在于，所述MME发送跟踪区更 新接受消息给UE，使用本地安全上下文对该消息进行安全保护；所述UE 接收该跟踪区更新^妄受消息，启用本地安全上下文。
4、 如权利要求3所述的方法，其特征在于，所述UE使用KSUsME对应 的本地安全上下文对该所述跟踪区更新接受消息进行安全验证，如果安全验 证成功，启用本地安全上下文成功；如果安全l^〖正失败，跟踪区更新流程终 止，启用本地安全上下文不成功。
5、 如权利要求3所述的方法，其特征在于，所述安全保护为完整性保 护和/或加密。
6、 如权利要求3所述的方法，其特征在于，所述MME使用安全报头 类型信息元指示^f吏用本地安全上下文对i 艮踪区更新接受消息进行安全保护。
7、 一种启用本地安全上下文的方法，其特征在于，用户设备UE发送 跟踪区更新请求消息给移动管理实体MME,当且仅当MME知晓该MME 和UE共享接入安全管理实体密钥标识KSUsME和全球唯一临时标识GUTI 对应的本地安全上下文时，MME利用该本地安全上下文生成令牌，MME 发送跟踪区更新接受消息和该令牌给UE， UE使用该KSIASME对应的本地安全上下文对该令牌进行验证，验证成功时，UE启用该KSUsME对应的本地安全上下文。
8、 如权利要求7所述的方法，其特征在于，所述令牌通过如下方式获 得MME使用本地安全上下文，对跟踪区更新接受消息进行完整性保护计 算，计算结果即令牌。
9、 如权利要求7所述的方法，其特征在于，所述UE使用映射的安全 上下文对该跟踪区更新请求消息进行完整性保护；所述MME使用映射的安 全上下文对该跟踪区更新接受消息进行安全保护，所述UE还须使用映射的 安全上下文对该跟踪区更新接受消息进行成功的安全验证才能启用本地安 全上下文。
10、 如权利要求7所述的方法，其特征在于，所述UE向MME发送跟 踪区更新完成消息，该消息使用本地安全上下文进行安全保护；所述MME 接收该跟踪区更新完成消息，启用本地安全上下文。
11、 如权利要求IO所述的方法，其特征在于，所述MME使用KSUsme 和该GUTI对应的本地安全上下文对该跟踪区更新完成消息进行安全验i正， 如果安全验证不成功，跟踪区更新流程结束，启用本地上下文失败；如果安 全-验i正成功，启用本;也安全上下文成功。
12、 如权利要求IO所述的方法，其特征在于，所述安全保护为完整性 保护和/或加密。
13、 如权利要求IO所述的方法，其特征在于，所述UE使用安全报头 类型信息元指示使用本地安全上下文对跟踪区更新完成消息进行安全保护。
全文摘要
本发明提供了一种启用本地安全上下文的方法，用户设备UE发送跟踪区更新请求消息给移动管理实体MME，当且仅当MME知晓该MME和UE共享接入安全管理实体密钥标识KSI_ASME和全球唯一临时标识GUTI对应的本地安全上下文时，MME启用该KSI_ASME和GUTI对应的本地安全上下文。本发明对跟踪区更新过程进行改进，使得具有启用本地安全上下文的功能，从而从系统间的切换流程到非接入层流程中，去掉非接入层安全模式命令过程，达到减轻系统信令负载，减少通信时延，优化通信过程的效益。
文档编号H04W8/16GK101521873SQ20091012961
公开日2009年9月2日 申请日期2009年3月16日 优先权日2009年3月16日
发明者张旭武, 滕志猛, 露 甘 申请人:中兴通讯股份有限公司