[发明专利]一种蜂窝移动通信网分组数据网保护方法

权利要求书

1.一种蜂窝移动通信网分组数据网保护方法，其特征在于，该方法包括：

S1.在蜂窝移动通信网与分组数据网之间、蜂窝移动通信网中的专用终端内部确定安全边界；

S2.在蜂窝移动通信网与分组数据网之间的安全边界设置边界保护网关；

S3.向专用终端及边界保护网关提供密码服务；

S4.在所述密码服务功能的支持下，在边界保护网关与专用终端之间建立点到点安全协议；

S5.根据所述密码服务功能及所述点到点安全协议，通过所述边界保护网关完成蜂窝移动通信网分组数据网的边界保护；

在步骤S1中，蜂窝移动通信网与分组数据网之间的安全边界为蜂窝移动通信网与分组数据网的交互接口；

在步骤S2中，所述设置边界保护网关包括：

在所述交互的接口设置分组数据网关；

在所述分组数据网关内增加数据链路层密码机，所述边界保护网关为内含数据链路层密码机的分组数据网关。

2.根据权利要求1所述的方法，其特征在于，分组数据网中受到保护的资产位于蜂窝移动通信网与分组数据网间的安全边界内；

蜂窝移动通信网中的专用终端内部的安全边界为终端设备TE与移动终端MT之间交互的接口，专用终端内受保护的资产位于终端安全边界内。

3.根据权利要求1所述的方法，其特征在于，所述步骤S3包括：在专用终端内部终端设备TE的网络层之下增加数据链路层密码服务功能，所述密码服务功能处于终端设备TE的网络层路由功能与移动终端MT的数据链路层通信功能之间。

4.根据权利要求1所述的方法，其特征在于，在步骤S4中，专用终端的点到点安全协议设置在数据链路层的分组数据汇聚协议PDCP和网络层的因特网协议IP之间，边界保护网关的点到点安全协议设置在数据链路层。

5.根据权利要求1所述的方法，其特征在于，所述步骤S5包括：

S51.所述边界保护网关与所述专用终端通过所述密码服务功能完成双向鉴别；

S52.判断双向鉴别是否成功，如果成功，则专用终端通过边界保护网关获得生成工作密钥所需的参数，执行步骤S53，否则，边界保护网关或专用终端提示鉴别失败；

S53.所述边界保护网关与所述专用终端通过所述密码服务功能在数据链路层对专用终端或分组数据网发起的上层会话进行保护。

6.根据权利要求5所述的方法，其特征在于，所述步骤S51包括：

S511.所述边界保护网关接收并处理专用终端发送的上行数据，所述上行数据包括专用终端的密码服务功能数据；

S512.所述边界保护网关向专用终端发送下行数据，所述专用终端处理接收到的下行数据，所述下行数据包括专用终端的密码服务功能数据。

7.根据权利要求5所述的方法，其特征在于，所述步骤S53包括：

所述边界保护网关与所述专用终端依照数据链路层预设的安全功能策略，对传送的数据链路层净荷提供机密性和完整性保护。

8.根据权利要求1所述的方法，其特征还在于，该方法进一步包括：

S6.所述边界保护网关根据用户的数据链路层身份标识即用户使用的终端的访问令牌标识、用户的网络层标识即IP地址、用户数据的网络层安全属性以及三者之间保持的预设的访问控制规则或预设的信息流控制规则，控制访问动作的实施或信息的流动，所述安全属性包括目的地址和数据的类型。