本发明涉及无线通信领域，尤其涉及一种安全保护协商方法及网元。
背景技术：
目前，相比于第三代合作伙伴计划(3rdgenerationpartnershipproject，3gpp)2g/3g/4g的网络架构，3gpp5g提出了新的网络架构，并且基于5g的网络架构提出了会话建立过程。但目前标准中并没有针对5g的网络架构提出安全保护协商的技术方案，安全保护协商是指执行安全保护的双方在各安全层协商并同步安全保护的密钥和安全保护的算法，并启动安全保护的过程。
由于5g的用户面连接建立是基于会话的，2g/3g/4g提出的安全保护协商的技术方案没有基于会话的粒度，并且没有考虑业务的安全需求，因此2g/3g/4g提出的安全保护协商的技术方案也不能满足5g的网络架构。
综上所述，亟需针对5g的网络架构设计一种安全保护协商的技术方案。
技术实现要素：
本发明实施例提供了一种安全保护协商方法，用以基于5g的网络架构实现ue和upf之间协商启动针对本次会话的用户面的安全保护。
第一方面，本发明实施例提供的一种安全保护协商方法，包括：
会话管理网元smf确定本次会话过程中用户面所使用的安全保护信息，所述安全保护信息包括安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，所述安全保护包括加解密保护和完整性保护，所述消息认证码是指所述smf使用完整性保护的算法和所述索引识别的安全保护的上下文包括的完整性保护的密钥对第一消息进行完整性保护生成的认证码；
所述smf向所述ue发送包括所述用户面所使用的安全保护信息的所述第一消息，所述用户面所使用的安全保护信息用于所述ue根据所述用户面所使用的安全保护信息对所述第一消息进行完整性保护认证成功后启动用户面的安全保护；
所述smf接收所述ue发送的用于指示所述ue对所述第一消息认证成功的第二消息，以及向用户面网关upf发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，所述第三消息用于触发所述upf根据所述安全保护的算法和所述安全保护的上下文启动用户面的安全保护。
其中，本次会话过程中用户面所使用的安全保护信息具体包括如下信息：本次会话过程中用户面所使用的加解密保护的算法、本次会话过程中用户面所使用的完整性保护的算法、用于识别本次会话过程中用户面所使用的加解密保护的上下文的索引、用于识别本次会话过程中用户面所使用的完整性保护的上下文的索引、以及消息验证码。
上述方法中，smf确定并向ue发送本次会话过程中用户面所使用的安全保护信息，包括安全保护的算法、用于识别安全保护的上下文的索引和消息认证码等，在ue认证成功后，ue会启动用户面的安全保护，smf确定ue认证成功后触发upf启动用户面的安全保护，进而实现ue和upf协商启动各自的用户面的安全保护。考虑到5g的网络架构中用户面的连接建立是基于会话的，上述方法可以实现ue和upf协商启动各自的基于会话粒度的用户面的安全保护，因此上述方法可以满足5g的网络架构对于用户面的安全保护的需求。
在一种可能的实现方式中，所述smf可以通过如下两种方式确定所述安全保护的算法：
方式一：所述smf从安全策略控制网元spcf获取所述spcf协商确定的所述安全保护的算法；
方式二：所述smf自行协商确定所述安全保护的算法。
上述两种方式中，所述spcf部署在所述smf、安全锚点网元seaf和认证服务网元ausf中的任意一个网元上，或者所述spcf独立部署于网络中。
无论上述方式一还是方式二，所述安全保护的算法都是基于所述ue支持的安全保护的算法、网络支持的安全保护的算法和本次会话所属业务支持的安全保护的算法协商确定的。
这样，通过上述两种方式中的任意一种方式可以实现smf确定本次会话过程中用户面所使用的安全保护的算法，包括加解密保护的算法和完整性保护的算法。
在一种可能的实现方式中，所述smf确定所述用户面所使用的安全保护信息之前，所述smf建立本次会话。
这样，上述安全保护协商方法是发生在本次会话建立之后的。
在一种可能的实现方式中，所述smf确定所述用户面所使用的安全保护信息之前，所述smf接收所述ue发送的用于请求建立本次会话的会话建立请求消息；
所述smf向所述ue发送包括所述用户面所使用的安全保护信息的第一消息，包括：所述smf向所述ue发送包括所述用户面所使用的安全保护信息的会话建立完成消息。
这样，上述安全保护协商方法是发生在本次会话的建立过程中的。
在上述安全保护协商方法发生在本次会话的建立过程中的情况下，所述smf接收所述ue发送的用于请求建立本次会话的会话建立请求消息之后，确定用户面的安全终结点为所述upf，并通知无线接入网络ran，所述smf执行所述安全保护协商方法。
其中，用户面的终结点是指除ue外需要启动用户面的安全保护的网元。
需要说明的是，本发明实施例中用户面的终结点还可以是gnb，其中可以理解的是，gnb为ran的一个网元在用户面的终结点是upf的情况下，上述安全保护协商方法包括：smf接收ue发送的用于请求建立本次会话的会话建立请求消息后，smf确定用户面的终结点是gnb，smf向ran发送通知消息，该通知消息用于指示ran执行ue与gnb之间的用户面的安全保护协商方法；ran接收到该通知消息后，向smf回复确认信息，ue与gnb执行用户面的安全保护的协商。
针对用户面的终结点是gnb的情况，ue可能在初始接入时已经通过ue和gnb之间的安全保护协商流程完成了用户面的安全保护协商。
这样，通过上述方法可以实现ue与gnb之间协商启动各自的用户面的安全保护。
在一种可能的实现方式中，所述smf向所述ue发送包括所述用户面所使用的安全保护信息的所述第一消息之后，还包括：
所述smf接收所述ue发送的用于指示所述ue对所述第一消息认证失败的第四消息；
所述smf根据所述第四消息的指示，确定不需要触发所述upf启动用户面的安全保护。
这样，smf确定ue对第一消息认证失败后，确定结束本次安全保护协商方法。
第二方面，本发明实施例提供的一种安全保护协商方法，包括：
用户设备ue接收会话管理网元smf发送的包括本次会话过程中用户面所使用的安全保护信息的第一消息，所述安全保护信息包括：安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，所述安全保护包括加解密保护和完整性保护，所述消息认证码是指所述smf使用完整性保护的算法和所述索引识别的安全保护的上下文包括的完整性保护的密钥对所述第一消息进行完整性保护生成的认证码；
所述ue根据所述用户面所使用的安全保护信息对所述第一消息进行认证；
当所述ue对所述第一消息认证成功时，所述ue启动用户面的安全保护，以及向所述smf发送用于指示所述ue对所述第一消息认证成功的第二消息。
上述方法中，ue接收smf发送的包括本次会话过程中用户面所使用的安全保护信息的第一消息之后，根据本次会话过程中用户面所使用的安全保护信息对第一消息进行认证；当ue对第一消息认证成功时，ue启动用户面的安全保护，以及向smf发送用于指示ue对所述第一消息认证成功的第二消息。进而使得smf在接收到第二消息后，触发upf启动用户面的安全保护。因此上述方法可以实现ue和upf协商启动各自的用户面的安全保护。考虑到5g的网络架构中用户面的连接建立是基于会话的，上述方法可以实现ue和upf协商启动各自的基于会话粒度的用户面的安全保护，因此上述方法可以满足5g的网络架构对于用户面的安全保护的需求。
在一种可能的实现方式中，所述ue启动用户面的安全保护，以及向所述smf发送用于指示所述ue对所述第一消息认证成功的第二消息，包括：
所述ue启动用户面的加解密保护和完整性保护，然后向所述smf发送用于指示所述ue对所述第一消息认证成功的第二消息。
这样，可以实现ue在同一时机启动加解密保护和完整性保护。
在一种可能的实现方式中，所述ue启动用户面的安全保护，以及向所述smf发送用于指示所述ue对所述第一消息认证成功的第二消息，包括：
所述ue启动用户面的下行解密保护和完整性保护，然后向所述smf发送用于指示所述ue对所述第一消息认证成功的第二消息，最后启动用户面的上行加密保护。
这样，可以实现ue在不同时机分别启动下行解密保护、完整性保护以及上行加密保护。
在一种可能的实现方式中，所述ue根据所述用户面所使用的安全保护信息对所述第一消息进行认证之后，还包括：
当所述ue对所述第一消息认证失败时，所述ue确定不启动用户面的安全保护，以及向所述smf发送用于指示所述ue对所述第一消息认证失败的第四消息。
这样，当ue对第一消息认证失败时，本次安全保护协商方法结束。
第三方面，本发明实施例提供的一种安全保护协商方法，包括：
用户面网关upf接收会话管理网元smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，所述第三消息用于指示所述upf根据所述安全保护的算法和所述用于安全保护的上下文启动用户面的安全保护，所述安全保护包括加解密保护和完整性保护；
所述upf根据所述第三消息的指示，启动用户面的安全保护。
上述方法中，upf接收到smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息时，说明ue认证成功，ue在认证成功之后会启动用户面的安全保护。因此，upf接收到smf发送的上述第三消息后，需要根据该第三消息的指示启动用户面的安全保护，进而实现ue和upf协商启动各自的用户面的安全保护。考虑到5g的网络架构中用户面的连接建立是基于会话的，上述方法可以实现ue和upf协商启动各自的基于会话粒度的用户面的安全保护，因此上述方法可以满足5g的网络架构对于用户面的安全保护的需求。
在一种可能的实现方式中，所述upf接收smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，包括：
在所述smf确定所述ue启动用户面的安全保护之后，所述upf接收smf发送的所述第三消息。
这样，可以实现upf在同一时机启动用户面的安全保护，即在smf确定ue启动用户面的安全保护之后，upf接收smf发送的第三消息并启动用户面的安全保护。安全保护包括下行加密保护、完整性保护以及上行解密保护。
在一种可能的实现方式中，所述upf接收smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，包括：
在所述smf向所述ue发送本次会话过程中用户面所使用的安全保护信息之后，所述upf接收smf发送的第一触发消息，所述第一触发消息用于触发所述upf启动用户面的下行加密保护和完整性保护；
在所述smf确定所述ue启动用户面的安全保护之后，所述upf接收smf发送的第二触发消息，所述第二触发消息用于触发所述upf启动用户面的上行解密保护。
这样，可以实现upf在不同时机启动用户面的安全保护。即在smf向ue发送本次会话过程中用户面所使用的安全保护信息之后，upf接收smf发送的第一触发消息并启动下行加密保护和完整性保护。在smf确定ue启动用户面的安全保护之后，upf接收smf发送的第二触发消息并启动上行解密保护。
第四方面，本发明实施例提供的一种会话管理网元smf，包括：
处理单元，用于确定本次会话过程中用户面所使用的安全保护信息，所述安全保护信息包括安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，所述安全保护包括加解密保护和完整性保护，所述消息认证码是指使用完整性保护的算法和所述索引识别的安全保护的上下文包括的完整性保护的密钥对第一消息进行完整性保护生成的认证码；
发送单元，用于向所述ue发送包括所述处理单元确定的所述用户面所使用的安全保护信息的所述第一消息，所述用户面所使用的安全保护信息用于所述ue根据所述用户面所使用的安全保护信息对所述第一消息进行完整性保护认证成功后启动用户面的安全保护；
接收单元，用于接收所述ue发送的用于指示所述ue对所述第一消息认证成功的第二消息；
所述发送单元，还用于向用户面网关upf发送包括所述处理单元确定的本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，所述第三消息用于触发所述upf根据所述安全保护的算法和所述安全保护的上下文启动用户面的安全保护。
在一种可能的实现方式中，所述处理单元确定所述安全保护的算法时，具体用于：
从安全策略控制网元spcf获取所述spcf协商确定的所述安全保护的算法；或者，
自行协商确定所述安全保护的算法。
在一种可能的实现方式中，所述spcf部署在所述smf、安全锚点网元seaf和认证服务网元ausf中的任意一个网元上，或者所述spcf独立部署于网络中。
在一种可能的实现方式中，所述安全保护的算法是基于所述ue支持的安全保护的算法、网络支持的安全保护的算法和本次会话所属业务支持的安全保护的算法协商确定的。
在一种可能的实现方式中，所述处理单元还用于：在确定所述用户面所使用的安全保护信息之前，建立本次会话；或者，
所述接收单元还用于：在所述处理单元确定所述用户面所使用的安全保护信息之前，接收所述ue发送的用于请求建立本次会话的会话建立请求消息；
所述发送单元在向所述ue发送包括所述用户面所使用的安全保护信息的第一消息时，具体用于：向所述ue发送包括所述用户面所使用的安全保护信息的会话建立完成消息。
在一种可能的实现方式中，所述处理单元还用于：在所述接收单元接收所述ue发送的用于请求建立本次会话的会话建立请求消息之后，确定用户面的安全终结点为所述upf；
所述发送单元还用于：在所述处理单元确定用户面的安全终结点为所述upf之后，向无线接入网络ran发送用于指示所述smf执行安全保护协商方法的通知消息。
在一种可能的实现方式中，所述接收单元还用于：在所述发送单元向所述ue发送包括所述用户面所使用的安全保护信息的所述第一消息之后，接收所述ue发送的用于指示所述ue对所述第一消息认证失败的第四消息；
所述处理单元还用于：根据所述接收单元接收的所述第四消息的指示，确定不需要触发所述upf启动用户面的安全保护。
第五方面，本发明实施例提供的一种smf，包括：处理器、存储器和收发器；
所述收发器，用于接收和发送数据；
所述存储器用于存储指令；
所述处理器用于执行所述存储器中的所述指令，执行第一方面提供的方法。
第六方面，本发明实施例中还提供了一种计算机存储介质，用于储存为上述方面中smf所用的计算机软件指令，其包含用于执行上述方面中所设计的程序。
第七方面，本发明实施例提供的一种用户设备ue，包括：
接收单元，用于接收会话管理网元smf发送的包括本次会话过程中用户面所使用的安全保护信息的第一消息，所述安全保护信息包括：安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，所述安全保护包括加解密保护和完整性保护，所述消息认证码是指所述smf使用完整性保护的算法和所述索引识别的安全保护的上下文包括的完整性保护的密钥对所述第一消息进行完整性保护生成的认证码；
处理单元，用于根据所述接收单元接收的所述用户面所使用的安全保护信息对所述第一消息进行认证；当对所述第一消息认证成功时，启动所述ue的用户面的安全保护；
发送单元，用于当所述处理单元对所述第一消息认证成功时，向所述smf发送用于指示所述ue对所述第一消息认证成功的第二消息。
在一种可能的实现方式中，所述处理单元在启动用户面的安全保护时，具体用于：启动用户面的加解密保护和完整性保护，然后控制所述发送单元向所述smf发送所述第二消息；或者，
所述处理单元在启动用户面的安全保护时，具体用于：启动用户面的下行解密保护和完整性保护，然后控制所述发送单元向所述smf发送所述第二消息，最后启动用户面的上行加密保护。
在一种可能的实现方式中，所述处理单元还用于：在根据所述用户面所使用的安全保护信息对所述第一消息进行认证之后，当对所述第一消息认证失败时，确定不启动用户面的安全保护；
所述发送单元还用于：当所述处理单元对所述第一消息认证失败时，向所述smf发送用于指示所述ue对所述第一消息认证失败的第四消息。
第八方面，本发明实施例提供的一种ue，包括：处理器、存储器和收发器；
所述收发器，用于接收和发送数据；
所述存储器用于存储指令；
所述处理器用于执行所述存储器中的所述指令，执行第二方面提供的方法。
第九方面，本发明实施例中还提供了一种计算机存储介质，用于储存为上述方面中ue所用的计算机软件指令，其包含用于执行上述方面中所设计的程序。
第十方面，本发明实施例提供的一种用户面网关upf，包括：
接收单元，用于接收会话管理网元smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，所述第三消息用于指示所述upf根据所述安全保护的算法和所述用于安全保护的上下文启动用户面的安全保护，所述安全保护包括加解密保护和完整性保护；
处理单元，用于根据所述接收单元接收的所述第三消息的指示，启动用户面的安全保护。
在一种可能的实现方式中，所述接收单元接收smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息时，具体用于：
在所述smf确定所述ue启动用户面的安全保护之后，接收smf发送的所述第三消息；或者，
在所述smf向所述ue发送本次会话过程中用户面所使用的安全保护信息之后，接收smf发送的第一触发消息，所述第一触发消息用于触发所述upf启动用户面的下行加密保护和完整性保护；
在所述smf确定所述ue启动用户面的安全保护之后，接收smf发送的第二触发消息，所述第二触发消息用于触发所述upf启动用户面的上行解密保护。
第十一方面，本发明实施例提供的一种upf，包括：处理器、存储器和收发器；
所述收发器，用于接收和发送数据；
所述存储器用于存储指令；
所述处理器用于执行所述存储器中的所述指令，执行第一方面提供的方法。
第十二方面，本发明实施例中还提供了一种计算机存储介质，用于储存为上述方面中upf所用的计算机软件指令，其包含用于执行上述方面中所设计的程序。
附图说明
图1为一种5g的网络架构的示意图；
图2为基于5g的网络架构的一种会话建立过程的示意图；
图3为本发明实施例提供的一种安全保护协商方法流程示意图；
图4至图21为本发明实施例中举例说明一至举例说明十八中各个举例说明提供的一种安全保护协商方法流程示意图；
图22为本发明实施例提供的另一种安全保护协商方法流程示意图；
图23为本发明实施例中结合图3和图22提供的一种安全保护协商方法流程示意图；
图24为本发明实施例提供的一种smf的结构示意图；
图25为本发明实施例提供的另一种smf的结构示意图；
图26为本发明实施例提供的一种ue的结构示意图；
图27为本发明实施例提供的另一种ue的结构示意图；
图28为本发明实施例提供的一种upf的结构示意图；
图29为本发明实施例提供的另一种upf的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。
本发明实施例提供的技术方案适用于5g的网络架构，如图1所示为一种5g的网络架构的示意图，图1中包括5g的网络架构包括的网元以及各个网元之间用于通信的接口。本发明实施例提供的技术方案适用于基于5g的网络架构的会话建立流程，如图2所示为基于5g的网络架构提出的一种会话建立过程的示意图。需要说明的是，本发明的所有实施例的技术方案也适用于基于5g的切片网络架构，针对端到端切片的基于业务的切片，考虑实现基于业务的切片的用户面安全保护协商流程，核心流程一致，只是执行网元根据5g的切片结构相对应。特别的，smf可能部署于切片中，且upf/spcf等为切片内网元。
针对5g的网络架构以及基于5g的网络架构的会话建立过程，本发明实施例提供一种安全保护协商方法及网元，用以基于5g的网络架构实现用户设备(userequipment，ue)和用户面网关(userplanefunction，upf)之间协商启动针对本次会话的用户面的安全保护。安全保护包括加解密保护和完整性保护，加密保护是指使用加密保护的密钥和算法将明文计算成密文的过程，解密保护是加密保护的逆过程，完整性保护是指使用完整性保护的密钥和算法生成消息认证码(messageauthenticationcode，mac)的过程。用户面的安全保护协商是指，执行数据安全保护的ue和upf在各安全层协商并同步安全保护的密钥和安全保护算法，并启动用户面的安全保护的过程。需要说明的是，本发明实施例还提供一种能够实现安全保护协商方法及网元，用以基于5g的网络架构实现ue和gnb之间协商启动针对本次会话的用户面的安全保护，gnb可理解为下一代基站(thenextgenerationnodebasestation)。
其中，方法和网元是基于同一发明构思的，由于方法及网元解决问题的原理相似，因此网元与方法的实施可以相互参见，重复之处不再赘述。本发明实施例提供的技术方案可以发生在会话建立过程之后，也可以发生在会话建立过程中。
本发明实施例主要涉及的网元主要有ue、会话管理网元(sessionmanagementfunction，smf)、upf以及安全策略控制网元(securitypolicycontrolfunction，spcf)。
其中，ue是可以接入网络的终端设备，例如ue可以是手机、平板电脑等智能终端设备，又例如ue可以是服务器、网关、基站、控制器等通信设备，再例如ue可以是传感器、电表、水表等物联网设备。
smf用于在为ue建立、删除或者修改会话过程中控制该过程中的相关信令。本发明实施例涉及的smf可以位于切换内，在此情况下，一个切片内可能存在一个或多个smf；本发明实施例涉及的smf也可以位于切片外，即位于切换与切片之间。
upf也可称为数据面网关，比如出口网关，用户数据通过此网元后接入到数据网络(datanetwork，dn)，upf可以是互联网或者第三方的业务服务器等。
spcf用于安全策略的获取、协商和决策，具体的可能为安全保护算法的选择，比如，根据ue的安全能力列表和事先获取或存储的网络侧的安全算法列表，取交集排优先级选择最终使用的安全算法，包括加密算法和完整性保护算法。
下面结合说明书附图对本发明的各个实施例进行详细描述。需要说明的是，本发明实施例的展示顺序仅代表实施例的先后顺序，并不代表实施例所提供的技术方案的优劣。
实施例一
如图3所示，本发明实施例提供了一种安全保护协商方法，各个网元之间的交互流程如下：
s301、smf确定本次会话过程中用户面所使用的安全保护信息。
s301中的安全保护信息包括但不限于安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码。其中，安全保护包括加解密保护和完整性保护；消息认证码是指smf使用完整性保护的算法和完整性保护的算法对第一消息进行计算得到的认证码；由于安全保护的上下文包括加解密保护的上下文和完整性保护的上下文，加解密保护的上下文包括加解密保护的密钥，完整性保护的上下文包括完整性保护的密钥，因此用于识别安全保护的上下文的索引可以识别到完整性保护的密钥。
通过上述描述应理解，s301中smf确定的本次会话过程中用户面所使用的安全保护信息具体包括如下信息：本次会话过程中用户面所使用的加解密保护的算法、本次会话过程中用户面所使用的完整性保护的算法、用于识别本次会话过程中用户面所使用的加解密保护的上下文的索引、用于识别本次会话过程中用户面所使用的完整性保护的上下文的索引、以及消息验证码。其中，用于识别本次会话过程中用户面所使用的加解密保护的上下文的索引和用于识别本次会话过程中用户面所使用的完整性保护的上下文的索引可以为同一索引，也可以是不同的索引，例如可以将本次会话的标识/切片标识作为用于识别本次会话过程中用户面所使用的加解密保护的上下文的索引和用于识别本次会话过程中用户面所使用的完整性保护的上下文的索引
s301中的安全保护信息还可以包括ue的安全能力，该ue的安全能力用于ue作安全能力认证。
本实施例中可以通过以下两种方式实现s301中smf确定本次会话过程中用户面所使用的安全保护的算法，包括加解密保护的算法和完整性保护的算法。
方式一：smf从spcf获取spcf协商确定的本次会话过程中用户面所使用的安全保护的算法。
方式一中，spcf存储有用户面的所有原始安全保护的算法，spcf基于用户面的原始安全保护的算法自行协商确定本次会话过程中用户面所使用的安全保护的算法；smf从spcf获取spcf协商确定的本次会话过程中用户面所使用的安全保护的算法。
方式二：smf自行协商确定本次会话过程中用户面所使用的安全保护的算法。
方式二中可以包括，spcf存储有用户面的所有原始安全保护的算法，smf从spcf获取用户面的原始安全保护的算法，并基于获取的用户面的原始安全保护的算法自行协商确定本次会话过程中用户面所使用的安全保护的算法。
方式二中还可以包括，smf已经获取了ue支持的安全保护的算法/安全能力、网络支持的安全保护的算法/安全能力，spcf获取本次会话所属业务支持的安全保护的算法/安全能力并返回给smf，smf再基于前述所有安全算法自行协商确定本次会话过程中用户面所使用的安全保护的算法。
上述方式一和方式二中，网络在部署spcf时，spcf可以是独立部署的网元，也可以是部署在安全锚点网元(securityanchorfunction，seaf)、认证服务网元(authenticationserverfunction，ausf)以及smf中的任意一个网元上。其中，seaf和ausf都是具有安全认证功能的网元。
若spcf部署在seaf或者ausf上，可将上述方式一理解为smf从seaf或者ausf获取本次会话过程中用户面所使用的安全保护的算法，可将上述方式二理解为smf从seaf或者ausf获取用户面的原始安全保护的算法，或者将上述方式二理解为smf从seaf或者ausf获取本次会话所属业务支持的安全保护的算法/安全能力。若spcf部署在smf上，可将上述方式一理解为由smf自行协商确定本次会话过程中用户面所使用的安全保护的算法，可将上述方式二理解为smf存储有用户面的所有原始安全保护的算法，或者将上述方式二理解为smf已经获取本次会话所属业务支持的安全保护的算法/安全能力。
无论是上述方式一还是方式二，协商确定本次会话过程中用户面所使用的安全保护的算法的方法是相同的，即基于ue支持的安全保护的算法/安全能力、网络支持的安全保护的算法/安全能力、以及本次会话所属业务支持的安全保护的算法/安全能力协商确定本次会话过程中用户面所使用的安全保护的算法。例如，确定ue支持的安全保护的算法、网络支持的安全保护的算法以及本次会话所属业务支持的安全保护的算法的之间的交集算法，并在确定的交集算法中选取优先级最高的算法作为本次会话过程中用户面所使用的安全保护的算法。
本实施例中，smf可以在获得或者自身推衍出用户面的根密钥kup之后发起用户面的安全保护协商过程，也可以是在生成并分发用户面的加解密的密钥和完整性保护的密钥之后发起用户面的安全保护协商过程，用户面的安全保护协商过程即是指执行本实施例提供的安全保护协商方法。需要说明的是，smf获得或者自身推衍出用户面的根密钥kup的方法，和基于用户面根密钥kup生成并分发用户面的加解密的密钥和完整性保护的密钥的方法均可参见现有技术，此处不再赘述。
s302、smf向ue发送包括本次会话过程中用户面所使用的安全保护信息的第一消息。
s302中的第一消息可以是指用户面的安全模式请求(securitymodecommand)消息。
在本实施例提供的一种安全保护协商方法发生在本次会话的建立过程之后的情况下，在执行s301之前smf建立了本次会话。
在本实施例提供的一种安全保护协商方法发生在本次会话的建立过程中的情况下，在执行s301之前，ue向smf发送用于请求建立本次会话的会话建立请求消息；smf接收该会话建立请求消息后，需要判断用户面的终结点是哪个网元，用户面的终结点是指除ue外需要启动用户面的安全保护的网元；图3所示的方法中smf确定的用户面的终结点为upf；smf确定用户面的终结点为upf后，向无线接入网络(radioaccessnetwork，ran)发送通知消息，该通知消息用于指示smf将执行ue与upf之间的用户面的安全保护协商方法，随后smf执行s301。在执行s302时，smf通过向ue发送会话建立响应消息，将本次会话过程中用户面所使用的安全保护信息发送给ue。
需要说明的是，上述过程中，smf接收ue发送的会话建立请求消息后确定用户面的终结点也可能是gnb，此场景下用以实现ue与gnb之间用户面的安全保护协商方法将在下文中的实施例描述。
s303、ue根据本次会话过程中用户面所使用的安全保护信息对第一消息进行认证。
s303中ue对第一消息进行认证的方法包括：ue需要根据完整性保护的算法和自身推衍生成的完整性保护的密钥对第一消息进行计算得到消息验证码，ue将自己计算得到的消息验证码与接收smf发送的消息验证码进行比较。当两个消息验证码相同时，说明第一消息没有被篡改，ue对第一消息完整性保护的认证成功；当两个消息验证码不相同时，ue确定对第一消息的完整性保护的认证失败。
在smf向ue发送的安全保护信息还包括ue的安全能力的情况下，ue对第一消息进行完整性保护认证之前还需要进行安全能力认证，即ue将安全保护信息包括的ue的安全能力与自身存储的安全能力进行比较，两者相同即为安全能力认证成功，否则为安全能力认证失败。ue进行安全能力认证可以防止降质攻击，ue进行安全能力认证的过程可参见现有技术，此处不再赘述。
上述完整性保护认证和安全能力认证均认证成功的情况下，则认为ue对第一消息认证成功；若完整性保护认证和安全能力认证中存在一种认证失败，则认为ue对第一消息认证失败。
s304、当ue对第一消息认证成功时，ue启动用户面的安全保护。
其中，ue启动用户面的安全保护包括ue启动针对本次会话过程的用户面的加解密保护和完整性保护，加解密保护包括上行加密保护和下行解密保护。
s305、当ue对第一消息认证成功时，ue向smf发送用于指示ue对第一消息认证成功的第二消息。
s305中的第二消息可以是指用户面的安全模式完成(securitymodecomplete)消息。第二消息可以携带消息认证码，该消息认证码是ue根据本次会话过程中用户面所使用的完整性保护的密钥和完整性保护的算法对该第二消息计算得到的认证码，该第二消息已被本次会话过程中用户面所使用的上行加密保护的密钥和上行加密保护的算法进行加密并签名。
需要说明的是，本实施例中并不限定执行s304和s305的先后顺序。
例如，在执行s304和s305时，可以是：当ue对第一消息认证成功时，ue启动用户面的加解密保护和完整性保护，然后向smf发送用于指示ue对第一消息认证成功的第二消息，加解密保护包括上行加密保护和下行解密保护。又例如，在执行s304和s305时，可以是：ue启动用户面的下行解密保护和完整性保护，然后向smf发送用于指示ue对第一消息认证成功的第二消息；ue发送上述第二消息后再启动用户面的上行加密保护。还例如，在执行s304和s305时，可以是：当ue对第一消息认证成功时，ue先向smf发送用于指示ue对第一消息认证成功的第二消息，然后启动用户面的加解密保护和完整性保护。
本实施例中，在s303ue根据本次会话过程中用户面所使用的安全保护信息对第一消息进行认证之后，当ue对第一消息认证失败时，ue确定不启动用户面的安全保护，以及向smf发送用于指示ue对第一消息认证失败的第四消息。即在ue对第一消息认证失败的情况下，图3所示的安全保护协商方法的流程结束。
s306、smf向upf发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，该第三消息用于触发upf根据本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的启动用户面的安全保护。
其中，用于安全保护的上下文包括加解密保护的密钥和完整性保护的密钥。
s307、upf根据第三消息的指示，启动用户面的安全保护。
本实施例中，upf启动用户面的安全保护包括针对本次会话过程upf启动用户面的加解密保护和完整性保护，加解密保护包括下行加密保护和上行解密保护。
s306中smf可以通过一个消息触发upf启动用户面的安全保护，在此情况下，s307中upf可以根据smf发送的一个消息在同一时机启动用户面的安全保护。例如，s306中，在smf确定ue启动用户面的安全保护之后，smf向upf发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息；s307中，upf根据第三消息的指示，启动下行加密保护、完整性保护和上行解密保护。
s306中smf也可以通过多个消息触发upf启动用户面的安全保护，这个多个消息的发送时机可以不同，在此情况下，s307中upf可以根据smf发送的多个消息在不同时机启动用户面的安全保护。例如，s306中，在smf向ue发送本次会话过程中用户面所使用的安全保护信息之后，smf向upf发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第一触发消息，该第一触发消息用于触发upf启动用户面的下行加密保护和完整性保护；在smf确定ue启动用户面的安全保护之后，smf向upf发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第二触发消息，该第二触发消息用于触发upf启动用户面的上行解密保护。s307中，upf根据第一触发消息的指示启动下行加密保护和完整性保护，以及根据第二触发消息的指示启动上行解密保护。其中，第一触发消息中可以仅包括本次会话过程中用户面所使用的下行加密的算法和密钥、以及完整性保护的算法和密钥，第二触发消息中可以仅包括本次会话过程中用户面所使用的上行解密的算法和密钥。
通过图3所示的一种安全保护协商方法，可以实现ue和upf协商启动各自的用户面的安全保护。考虑到5g的网络架构中用户面的连接建立是基于会话的，图3所示的方法可以实现ue和upf协商启动各自的基于会话粒度的用户面的安全保护，因此图3所示的方法可以满足5g的网络架构对于用户面的安全保护的需求。
基于图3所示的一种安全保护协商方法，本实施例中对该方法进行适当扩展和变化，下面以举例说明的方式进行阐述。
举例说明一
如图4所示为本实施例提供的一种安全保护协商方法的流程示意图，图4所示的方法与图3所示的方法的主要区别在于ue启动用户面的安全保护的时机不同。在图4所示的方法中，ue在对第一消息认证成功之后，先向smf发送用于指示ue对第一消息认证成功的第二消息，即securitymodecomplete消息，然后ue启动用户面的安全保护。图4所示的方法的其他步骤参见图3所示的方法，此处不再赘述。
举例说明二
如图5所示为本实施例提供的一种安全保护协商方法的流程示意图，图5所示的方法与图3所示的方法的主要区别在于upf启动用户面的安全保护的时机不同。在图5所示的方法中，smf在不同时机触发upf启动用户面的安全保护。具体包括：smf在向ue发送本次会话过程中用户面所使用的安全保护信息之后，向upf发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第一触发消息，该第一触发消息用于触发upf启动用户面的下行加密保护和完整性保护，upf在接收到该第一触发消息后启动用户面的下行加密保护和完整性保护；smf在确定ue对第一消息认证成功后，向upf发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第二触发消息，该第二触发消息用于触发upf启动用户面的上行解密保护，upf在接收到该第二触发消息后启动用户面的上行解密保护。图5所示的方法的其他步骤参见图3所示的方法，此处不再赘述。
举例说明三
如图6所示为本实施例提供的一种安全保护协商方法的流程示意图，图6所示的方法与图3所示的方法的主要区别在于ue和upf启动用户面的安全保护的时机不同。在图6所示的方法中，ue在对第一消息认证成功之后启动用户面的下行解密保护和完整性保护，然后向smf发送用于指示ue对第一消息认证成功的第二消息，即securitymodecomplete消息；ue在发送上述第二消息之后启动用户面的上行加密保护。upf启动用户面的安全保护的方法参见图5所示的方法，图6所示的方法的其他步骤参见图3所示的方法，此处不再赘述。
举例说明四
如图7所示为本实施例提供的一种安全保护协商方法的流程示意图，图6所示的方法与图3所示的方法的主要区别在于增加了spcf协商确定本次会话过程中用户面所使用的安全保护的算法的过程。
在图7所示的方法中，首先smf触发spcf协商确定本次会话过程中用户面所使用的安全保护的算法，包括本次会话过程中用户面所使用的加解密保护的算法和完整性保护的算法；spcf基于ue支持的安全保护的算法/安全能力、网络支持的安全保护的算法/安全能力、以及本次会话所属业务支持的安全保护的算法/安全能力协商确定本次会话过程中用户面所使用的安全保护的算法；spcf将协商确定的本次会话过程中用户面所使用的安全保护的算法发送给smf。在图7所示的方法中，执行上述过程后再执行图3所示的方法，应理解smf从spcf获取本次会话过程中用户面所使用的安全保护的算法的过程，应属于smf确定本次会话过程中用户面所使用的安全保护信息的过程的一部分。图7所示的方法的其他步骤参见图3所示的方法，此处不再赘述。
需要说明的是，本实施例中可将图7所示的方法做适当的扩展和变化。例如，smf接收spcf发送的本次会话过程中用户面所使用的安全保护的算法之后，smf触发upf启动用户面的安全保护。
举例说明五
如图8所示为本实施例提供的一种安全保护协商方法的流程示意图，图8所示的方法与图3所示的方法的主要区别在于增加了spcf协商确定本次会话过程中用户面所使用的安全保护的算法的过程，以及ue启动用户面的安全保护的时机不同。图8所示的方法中增加的spcf协商确定本次会话过程中用户面所使用的安全保护的算法的过程可参见图7所示的方法中的相应部分，图8所示的方法中ue启动用户面的安全保护的时机可参见图4所示的方法中的相应部分，图8所示的方法的其他步骤参见图3所示的方法，此处不再赘述。
举例说明六
如图9所示为本实施例提供的一种安全保护协商方法的流程示意图，图9所示的方法与图3所示的方法的主要区别在于增加了spcf协商确定本次会话过程中用户面所使用的安全保护的算法的过程，以及upf启动用户面的安全保护的时机不同。图9所示的方法中增加的spcf协商确定本次会话过程中用户面所使用的安全保护的算法的过程可参见图7所示的方法中的相应部分，图9所示的方法中upf启动用户面的安全保护的时机可参见图5所示的方法中的相应部分，图9所示的方法的其他步骤参见图3所示的方法，此处不再赘述。
举例说明七
如图10所示为本实施例提供的一种安全保护协商方法的流程示意图，图10所示的方法与图3所示的方法的主要区别在于增加了spcf协商确定本次会话过程中用户面所使用的安全保护的算法的过程，以及ue和upf分别启动用户面的安全保护的时机不同。图10所示的方法中增加的spcf协商确定本次会话过程中用户面所使用的安全保护的算法的过程可参见图7所示的方法中的相应部分，图10所示的方法中ue启动用户面的安全保护的时机可参见图4所示的方法中的相应部分，图10所示的方法中upf启动用户面的安全保护的时机可参见图5所示的方法中的相应部分，图10所示的方法的其他步骤参见图3所示的方法，此处不再赘述。
举例说明八
如图11所示为本实施例提供的一种安全保护协商方法的流程示意图，图11所示的方法与图10所示的方法的主要区别在于，将用户面的安全保护协商方法与信令面的安全保护协商方法相融合。
在图11所示的方法中，除用户面的安全保护协商方法之外，在信令面的安全保护协商方法中，smf确定本次会话的信令面所使用的安全保护信息，例如密钥、算法等；smf通过第一消息将本次会话过程中信令面所使用的安全保护信息发送给ue，ue根据本次会话过程中信令面所使用的安全保护信息对第一消息认证成功后，通过第二消息将本次会话过程中信令面所使用的安全保护信息发送给smf。需要说明的是，信令面的安全保护协商方法可参见现有技术，图11所示的方法中用户面的安全保护协商方法参见图10所示的方法，此处不再赘述。
举例说明九
如图12所示为本实施例提供的一种安全保护协商方法的流程示意图，图12所示的方法与图7所示的方法的主要区别在于，本次会话过程中用户面的安全保护协商方法与本次会话的建立过程相融合。
在图12所示的方法中，在执行本次会话过程中用户面的安全保护协商过程之前，ue向smf发送用于请求建立本次会话的会话建立请求消息；在执行本次会话过程中用户面的安全保护协商过程中，smf通过会话建立响应消息将本次会话过程中用户面的安全保护信息发送给ue，smf在确定ue对第一消息认证成功后，建立本次会话，并触发upf启动用户面的安全保护。图12所示的方法中本次会话过程中用户面的安全保护协商方法参见图7所示的方法，此处不再赘述。
举例说明十
如图13所示为本实施例提供的一种安全保护协商方法的流程示意图，图13所示的方法与图3所示的方法的主要区别在于明确了spcf存储有用户面的安全保护的算法，smf从spcf获取用户面的安全保护的算法之后，由smf自行协商确定本次会话的用户面所使用的安全保护的算法。图13所示的方法中用户面的安全保护协商方法参见图3所示的方法，此处不再赘述。
举例说明十一
如图14所示为本实施例提供的一种安全保护协商方法的流程示意图，图14所示的方法与图3所示的方法的主要区别在于，smf触发seaf进行本次会话过程中用户面的安全保护协商过程，seaf与ue之间协商本次会话过程中用户面所使用的安全保护信息，在协商之后，seaf将协商的本次会话过程中用户面所使用的安全保护信息发送给smf，由smf触发upf启动用户面的安全保护。图14所示的方法中seaf进行用户面的安全保护协商方法参见图3所示的方法中的smf进行用户面的安全保护协商方法，此处不再赘述。
举例说明十二
如图15所示为本实施例提供的一种安全保护协商方法的流程示意图，图15所示的方法与图14所示的方法的主要区别在于明确了spcf存储有用户面的安全保护的算法，seaf从spcf获取用户面的安全保护的算法之后，由seaf自行协商确定本次会话过程中用户面所使用的安全保护的算法。图13所示的方法中用户面的安全保护协商方法参见图14所示的方法，此处不再赘述。
举例说明十三
如图16所示为本实施例提供的一种安全保护协商方法的流程示意图，图16所示的方法与图3所示的方法的主要区别在于upf触发smf进行用户面的安全保护协商过程。图16所示的方法中smf进行用户面的安全保护协商方法参见图3所示的方法，此处不再赘述。
举例说明十四
如图17所示为本实施例提供的一种安全保护协商方法的流程示意图，图17所示的方法与图15所示的方法的主要区别在于，upf触发smf进行用户面的安全保护协商过程，再由smf触发seaf进行用户面的安全保护协商过程。图17所示的方法中seaf进行用户面的安全保护协商方法参见图15所示的方法，此处不再赘述。
举例说明十五
如图18所示为本实施例提供的一种安全保护协商方法的流程示意图，图18所示的方法与图15所示的方法的主要区别在于，smf触发接入和移动控制网元(accessandmobilityfunction，amf)进行用户面的安全保护协商过程，amf与ue之间协商本次会话过程中用户面所使用的安全保护信息，在协商之后，amf将协商的本次会话过程中用户面所使用的安全保护信息发送给smf，由smf触发upf启动用户面的安全保护。图18所示的方法中amf进行用户面的安全保护协商方法参见图15所示的方法中的smf进行用户面的安全保护协商方法，此处不再赘述。其中，amf作为网络认证服务器(networkauthenticationserver，nas)信令的终结点，用于处理网络中的信令。
举例说明十六
如图19所示为本实施例提供的一种安全保护协商方法的流程示意图，图19所示的方法与图3所示的方法的主要区别在于，smf触发amf进行用户面的安全保护协商过程，再由amf触发seaf进行用户面的安全保护协商过程，seaf与ue之间协商本次会话过程中用户面所使用的安全保护信息，在协商之后，seaf将协商的本次会话过程中用户面所使用的安全保护信息通过amf发送给smf，由smf触发upf启动用户面的安全保护。图19所示的方法中seaf进行用户面的安全保护协商方法参见图3所示的方法中的smf进行用户面的安全保护协商方法，此处不再赘述。
举例说明十七
如图20所示为本实施例提供的一种安全保护协商方法的流程示意图，图20所示的方法与图3所示的方法的主要区别在于，smf触发安全网关(securitygateway，segw)进行用户面的安全保护协商过程，segw与ue之间协商本次会话过程中用户面所使用的安全保护信息，在协商之后，segw将协商的本次会话过程中用户面所使用的安全保护信息发送给smf，由smf触发upf启动用户面的安全保护。图20所示的方法中segw进行用户面的安全保护协商方法参见图3所示的方法中的smf进行用户面的安全保护协商方法，此处不再赘述。图20所示的方法中也可以是segw触发upf启动用户面的安全保护。
举例说明十八
如图21所示为本实施例提供的一种安全保护协商方法的流程示意图，图21所示的方法与图3所示的方法的主要区别在于，upf触发smf进行用户面的安全保护协商过程，再由smf触发segw进行用户面的安全保护协商过程，segw与ue之间协商本次会话过程中用户面所使用的安全保护信息，在协商之后，segw将协商的本次会话过程中用户面所使用的安全保护信息发送给smf，由smf触发upf启动用户面的安全保护。图21所示的方法中segw进行用户面的安全保护协商方法参见图3所示的方法中的smf进行用户面的安全保护协商方法，此处不再赘述。图21所示的方法中也可以是segw触发upf启动本次会话的用户面的安全保护。
需要说明的是，本实施例中提供的针对用户面的安全保护协商方法的各种扩展和变化的实现方式可以互相结合使用，并局限于本实施例中已经展示的实现方式。
本发明实施例提供的一种安全保护协商方法中，smf确定并向ue发送本次会话过程中用户面所使用的安全保护信息，包括安全保护的算法、用于识别安全保护的上下文的索引和消息认证码等，在ue认证成功后，触发ue和upf分别启动各自的用户面的安全保护，安全保护包括加解密保护和完整性保护，进而实现ue和upf协商启动各自的用户面的安全保护。考虑到5g的网络架构中用户面的连接建立是基于会话的，本发明实施例提供的方法可以实现ue和upf协商启动各自的基于会话粒度的用户面的安全保护，因此本发明实施例提供的方法可以满足5g的网络架构对于用户面的安全保护的需求。
需要说明的是，本实施例中可以由smf、seaf或者spcf等相关网元决策针对本次会话过程中用户面的终结点，用户面的终结点是指除ue外需要启动用户面的安全保护的网元。本实施例中用户面的终结点可以是upf或者gnb，gnb可理解为下一代基站(thenextgenerationnodebasestation)，gnb属于ran的一个网元在用户面的终结点是upf的情况下，用以实现ue与upf之间协商启动用户面的安全保护的方法已经在上文中做了详尽说明，下面针对用户面的终结点是gnb的情况，详细说明用以实现ue与gnb之间协商启动用户面的安全保护的方法。
本发明实施例还提供一种安全保护协商方法，用以实现ue与gnb之间协商启动用户面的安全保护。该方法发生在会话建立过程中，该方法中各个网元之间的交互流程如图22所示，图22所示的方法与图3所示的方法的主要区别在于：smf接收ue发送的用于请求建立本次会话的会话建立请求消息后，smf确定用户面的终结点是gnb，smf向ran发送通知消息，该通知消息用于指示ran执行ue与gnb之间的用户面的安全保护协商方法；ran接收到该通知消息后，向smf回复确认信息，并执行ue与gnb之间的用户面的安全保护的协商方法。针对用户面的终结点是gnb的情况，ue可能在初始接入时已经通过ue和gnb之间的安全保护协商流程完成了用户面的安全保护协商。
图22所示的方法中ran执行ue与gnb之间的用户面的安全保护的协商方法可参见图3所示的方法smf执行ue与upf之间的用户面的安全保护的协商方法，但区别在于执行协商方法的网元为gnb，以及除ue外需要启动用户面的安全保护的网元是gnb。
需要说明的是，基于图22所示的一种安全保护协商方法，本实施例中对该方法可以进行适当扩展和变化，对图22所示的方法进行扩展和变化的方案可参见上文中对图3所示的方法进行扩展和变化的方案。例如可以在以下方面进行扩展和变化：ue和gnb启动用户面的安全保护的时机、协商确定本次会话过程中用户面所使用的安全保护的算法的网元(可以是spcf、seaf或ausf)、触发ran执行ue与gnb之间的用户面的安全保护协商方法的网元，等等。
通过图22所示的一种安全保护协商方法，可以实现ue和gnb协商启动各自的用户面的安全保护。考虑到5g的网络架构中用户面的连接建立是基于会话的，图22所示的方法可以实现ue和gnb协商启动各自的基于会话粒度的用户面的安全保护，因此图22所示的方法可以满足5g的网络架构对于用户面的安全保护的需求。
结合图3所示的方法和图22所述的方法，本发明实施例提供的一种安全保护协商方法如图23所示，图23所示的方法的具体内容可参见图3和图22，此处不再赘述。
实施例二
基于同一发明构思，本发明实施例还提供了一种会话管理网元smf，该smf可以执行实施例一提供的一种安全保护协商方法中smf侧的方法。参阅图24所示，smf2400包括：处理单元2400、发送单元2401以及接收单元2402。其中，
处理单元2401，用于确定本次会话过程中用户面所使用的安全保护信息，安全保护信息包括安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，安全保护包括加解密保护和完整性保护，消息认证码是指使用完整性保护的算法和索引识别的安全保护的上下文包括的完整性保护的密钥对第一消息进行完整性保护生成的认证码；
发送单元2402，用于向ue发送包括处理单元2401确定的用户面所使用的安全保护信息的第一消息，用户面所使用的安全保护信息用于ue根据用户面所使用的安全保护信息对第一消息进行完整性保护认证成功后启动用户面的安全保护；
接收单元2403，用于接收ue发送的用于指示ue对第一消息认证成功的第二消息；
发送单元2402，还用于向用户面网关upf发送包括处理单元2401确定的本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，第三消息用于触发upf根据安全保护的算法和安全保护的上下文启动用户面的安全保护。
在一种实现方式中，处理单元2401确定安全保护的算法时，具体用于：
从安全策略控制网元spcf获取spcf协商确定的安全保护的算法；或者，
自行协商确定安全保护的算法。
在一种实现方式中，spcf部署在smf、安全锚点网元seaf和认证服务网元ausf中的任意一个网元上，或者spcf独立部署于网络中。
在一种实现方式中，安全保护的算法是基于ue支持的安全保护的算法、网络支持的安全保护的算法和本次会话所属业务支持的安全保护的算法协商确定的。
在一种实现方式中，处理单元2401还用于：在确定用户面所使用的安全保护信息之前，建立本次会话；或者，
接收单元2403还用于：在处理单元2401确定用户面所使用的安全保护信息之前，接收ue发送的用于请求建立本次会话的会话建立请求消息；
发送单元2402在向ue发送包括用户面所使用的安全保护信息的第一消息时，具体用于：向ue发送包括用户面所使用的安全保护信息的会话建立完成消息。
在一种实现方式中，处理单元2401还用于：在接收单元2403接收ue发送的用于请求建立本次会话的会话建立请求消息之后，确定用户面的安全终结点为upf；
发送单元2402还用于：在处理单元2401确定用户面的安全终结点为upf之后，向无线接入网络ran发送用于指示smf执行安全保护协商方法的通知消息。
在一种实现方式中，接收单元2403还用于：在发送单元2402向ue发送包括用户面所使用的安全保护信息的第一消息之后，接收ue发送的用于指示ue对第一消息认证失败的第四消息；
处理单元2401还用于：根据接收单元2403接收的第四消息的指示，确定不需要触发upf启动用户面的安全保护。
需要说明的是，上述各个单元的具体功能说明可参见实施例一提供的一种安全保护协商方法，此处不再赘述。本发明实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-onlymemory)、随机存取存储器(ram，randomaccessmemory)、磁碟或者光盘等各种可以存储程序代码的介质。
基于同一发明构思，本发明实施例还提供了一种smf，该smf可以执行实施例一提供的一种安全保护协商方法中smf侧的方法，可以是与图24所示的smf相同的网元。参阅图25所示，smf2500包括：处理器2501、收发器2502以及存储器2503。其中，
处理器2501，用于读取存储器2503中的程序，执行下列过程：
处理器2501，用于确定本次会话过程中用户面所使用的安全保护信息，安全保护信息包括安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，安全保护包括加解密保护和完整性保护，消息认证码是指使用完整性保护的算法和索引识别的安全保护的上下文包括的完整性保护的密钥对第一消息进行完整性保护生成的认证码；
处理器2501，还用于控制收发器2502向ue发送所述用户面所使用的安全保护信息的第一消息，所述用户面所使用的安全保护信息用于ue根据用户面所使用的安全保护信息对第一消息进行完整性保护认证成功后启动用户面的安全保护；
处理器2501，还用于控制收发器2502接收ue发送的用于指示ue对第一消息认证成功的第二消息，以及控制收发器2502向用户面网关upf发送包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，第三消息用于触发upf根据安全保护的算法和安全保护的上下文启动用户面的安全保护。
在一种实现方式中，处理器2501在确定所述安全保护的算法时，具体用于：
从安全策略控制网元spcf获取spcf协商确定的安全保护的算法；或者，
自行协商确定安全保护的算法。
在一种实现方式中，spcf部署在smf、安全锚点网元seaf和认证服务网元ausf中的任意一个网元上，或者spcf独立部署于网络中。
在一种实现方式中，安全保护的算法是基于ue支持的安全保护的算法、网络支持的安全保护的算法和本次会话所属业务支持的安全保护的算法协商确定的。
在一种实现方式中，处理器2501还用于：在确定所述用户面所使用的安全保护信息之前，建立本次会话；或者，
处理器2501还用于：在确定所述用户面所使用的安全保护信息之前，控制收发器2502接收ue发送的用于请求建立本次会话的会话建立请求消息；
处理器2501在控制收发器2502向ue发送包括用户面所使用的安全保护信息的第一消息时，具体用于：控制收发器2502向ue发送包括用户面所使用的安全保护信息的会话建立完成消息。
在一种实现方式中，处理器2501还用于：在控制收发器2502接收ue发送的用于请求建立本次会话的会话建立请求消息之后，确定用户面的安全终结点为upf，并控制收发器2502向无线接入网络ran发送用于指示smf执行安全保护协商方法的通知消息。
在一种实现方式中，处理器2501还用于：在控制收发器2502向ue发送包括用户面所使用的安全保护信息的第一消息之后，控制收发器2502接收ue发送的用于指示ue对第一消息认证失败的第四消息；根据第四消息的指示，确定不需要触发upf启动用户面的安全保护。
存储器2503可以存储处理器2501在执行操作时所使用的数据，存储器2503可以是承载sdn控制器的物理主机的内存，例如硬盘、u盘、安全数码(securedigital，sd)卡等等。
本实施例中还提供了一种计算机存储介质，用于储存为上述实施例的smf所用的计算机软件指令，其包含用于执行上述实施例所设计的程序。
实施例三
基于同一发明构思，本发明实施例还提供了一种用户设备ue，该ue可以执行实施例一提供的一种安全保护协商方法中ue侧的方法。参阅图26所示，ue2600包括：接收单元2601、处理单元2602以及发送单元2603。其中，
接收单元2601，用于接收会话管理网元smf发送的包括本次会话过程中用户面所使用的安全保护信息的第一消息，所述安全保护信息包括：安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，所述安全保护包括加解密保护和完整性保护，消息认证码是指smf使用完整性保护的算法和索引识别的安全保护的上下文包括的完整性保护的密钥对第一消息进行完整性保护生成的认证码；
处理单元2602，用于根据接收单元2601接收的所述用户面所使用的安全保护信息对第一消息进行认证；当对第一消息认证成功时，启动用户面的安全保护；
发送单元2603，用于当处理单元2602对第一消息认证成功时，向smf发送用于指示ue对第一消息认证成功的第二消息。
在一种实现方式中，处理单元2602在启动用户面的安全保护时，具体用于：启动用户面的加解密保护和完整性保护，然后控制发送单元2603向smf发送第二消息；或者，
处理单元2602在启动用户面的安全保护时，具体用于：启动用户面的下行解密保护和完整性保护，然后控制发送单元2603向smf发送第二消息，最后启动用户面的上行加密保护。
在一种实现方式中，处理单元2602还用于：在根据用户面所使用的安全保护信息对第一消息进行认证之后，当对第一消息认证失败时，确定不启动用户面的安全保护；
发送单元2603还用于：当处理单元2602对第一消息认证失败时，向smf发送用于指示ue对第一消息认证失败的第四消息。
需要说明的是，上述各个单元的具体功能说明可参见实施例一提供的一种安全保护协商方法，此处不再赘述。本发明实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
基于同一发明构思，本发明实施例还提供了一种ue，该ue可以执行实施例一提供的一种安全保护协商方法中ue侧的方法，可以是与图26所示的ue相同的设备。参阅图27所示，ue2700包括：处理器2701、收发器2702以及存储器2703。其中，
处理器2701，用于读取存储器2703中的程序，执行下列过程：
处理器2701，用于控制收发器2702接收会话管理网元smf发送的包括本次会话过程中用户面所使用的安全保护信息的第一消息，所述安全保护信息包括：安全保护的算法、用于识别安全保护的上下文的索引以及消息认证码，所述安全保护包括加解密保护和完整性保护，消息认证码是指smf使用完整性保护的算法和索引识别的安全保护的上下文包括的完整性保护的密钥对第一消息进行完整性保护生成的认证码；
处理器2701，还用于根据所述用户面所使用的安全保护信息对第一消息进行认证；当对第一消息认证成功时，启动用户面的安全保护，以及控制收发器2702向smf发送用于指示ue对第一消息认证成功的第二消息。
在一种实现方式中，处理器2701在启动用户面的安全保护，以及控制收发器2702向smf发送用于指示ue对第一消息认证成功的第二消息时，具体用于：启动用户面的加解密保护和完整性保护，然后控制收发器2702向smf发送第二消息；或者，
处理器2701在启动用户面的安全保护，以及控制收发器2702向smf发送用于指示ue对第一消息认证成功的第二消息时，具体用于：启动用户面的下行解密保护和完整性保护，然后控制收发器2702向smf发送第二消息，最后启动用户面的上行加密保护。
在一种实现方式中，处理器2701还用于：在根据用户面所使用的安全保护信息对第一消息进行认证之后，当对第一消息认证失败时，确定不启动用户面的安全保护，以及控制收发器2702向smf发送用于指示ue对第一消息认证失败的第四消息。
存储器2703可以存储处理器2701在执行操作时所使用的数据，存储器2703可以是承载sdn控制器的物理主机的内存，例如硬盘、u盘、sd卡等等。
本实施例中还提供了一种计算机存储介质，用于储存为上述实施例的ue所用的计算机软件指令，其包含用于执行上述实施例所设计的程序。
实施例四
基于同一发明构思，本发明实施例还提供了一种用户面网关upf，该upf可以执行实施例一提供的一种安全保护协商方法中upf侧的方法。参阅图28所示，upf2800包括：接收单元2801和处理单元2802。其中，
接收单元2801，用于接收会话管理网元smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，第三消息用于指示upf根据安全保护的算法和用于安全保护的上下文启动用户面的安全保护，安全保护包括加解密保护和完整性保护；
处理单元2802，用于根据接收单元2801接收的第三消息的指示，启动用户面的安全保护。
在一种实现方式中，接收单元2801接收smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息时，具体用于：
在smf确定ue启动用户面的安全保护之后，接收smf发送的第三消息；或者，
在smf向ue发送本次会话过程中用户面所使用的安全保护信息之后，接收smf发送的第一触发消息，第一触发消息用于触发upf启动用户面的下行加密保护和完整性保护；
在smf确定ue启动用户面的安全保护之后，接收smf发送的第二触发消息，第二触发消息用于触发upf启动用户面的上行解密保护。
需要说明的是，上述各个单元的具体功能说明可参见实施例一提供的一种安全保护协商方法，此处不再赘述。本发明实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
基于同一发明构思，本发明实施例还提供了一种upf，该upf可以执行实施例一提供的一种安全保护协商方法中upf侧的方法，可以是与图28所示的upf相同的网元。参阅图29所示，upf2900包括：处理器2901、收发器2902以及存储器2903。其中，
处理器2901，用于读取存储器2903中的程序，执行下列过程：
处理器2901，用于控制收发器2902接收会话管理网元smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息，第三消息用于指示upf根据安全保护的算法和用于安全保护的上下文启动用户面的安全保护，安全保护包括加解密保护和完整性保护；
处理器2901，还用于根据第三消息的指示，启动用户面的安全保护。
在一种实现方式中，处理器2901控制收发器2902接收smf发送的包括本次会话过程中用户面所使用的安全保护的算法和用于安全保护的上下文的第三消息时，具体用于：
在smf确定ue启动用户面的安全保护之后，控制收发器2902接收smf发送的第三消息；或者，
在smf向ue发送本次会话过程中用户面所使用的安全保护信息之后，控制收发器2902接收smf发送的第一触发消息，第一触发消息用于触发upf启动用户面的下行加密保护和完整性保护；
在smf确定ue启动用户面的安全保护之后，控制收发器2902接收smf发送的第二触发消息，第二触发消息用于触发upf启动用户面的上行解密保护
存储器2903可以存储处理器2901在执行操作时所使用的数据，存储器2903可以是承载sdn控制器的物理主机的内存，例如硬盘、u盘、sd卡等等。
本实施例中还提供了一种计算机存储介质，用于储存为上述实施例的upf所用的计算机软件指令，其包含用于执行上述实施例所设计的程序。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。
显然，本领域的技术人员可以对本发明实施例进行各种改动和变型而不脱离本发明实施例的精神和范围。这样，倘若本发明实施例的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。