[发明专利]安全会话方法和装置

说明书

本申请提供了一种安全会话方法和装置，能够提高会话安全性。该方法包括：用户面网关接收来自用户设备UE的业务请求消息，该业务请求消息用于请求建立UE与数据网络的业务服务器的连接；该用户面网关和UE分别基于该业务请求消息生成加密密钥和完整性保护密钥，并基于生成的加密密钥和完整性保护密钥，激活加密保护和/或完整性保护。由此，可以建立起UE与用户面网关之间的端到端的安全通道，提供了更为安全的数据传输环境。

技术领域

本申请涉及无线通信领域，并且更具体地，涉及安全会话方法和装置。

背景技术

移动通信的安全问题正越来越多地受到关注。在数据传输过程中，发送端可以对传输的数据进行加密保护和完整性保护，接收端可以对接收到的加密数据进行解密和完整性验证。从而可以保证数据的私密性和完整性。

以上行传输为例，UE可以在完成对数据的加密和完整性保护后发送至接入网设备，接入网设备可以负责数据解密和完整性验证。接入网设备在完成对数据的解密和完整性验证后，再通过接入网设备与核心网设备，如用户面网关，之间的安全通道传输数据。核心网设备完成IP地址分配、计费等操作，并将数据发送至互联网服务器。

然而，数据在接入网设备被解密后再通过安全通道传输，存在一定的安全隐患，例如，数据可能在通过安全通道被传至核心网之前被篡改或窃取。因此，安全性不高。

发明内容

本申请提供一种安全会话方法和装置，以提高数据传输的安全性。

第一方面，提供了一种安全会话方法。该方法包括：用户面网关接收来自用户设备UE的业务请求消息，业务请求消息用于请求建立UE与数据网络的业务服务器的连接；该用户面网关基于业务请求消息，生成加密密钥和完整性保护密钥；该用户面网关基于加密密钥和完整性保护密钥，激活加密保护和/或完整性保护。

基于上述技术方案，通过在UE和用户面网关之间建立用户面安全保护，实现了UE和用户面网关之间端到端的安全保护，就如同建立了一条端到端的安全通道。UE和用户面网关可以在该安全通道中安全地进行数据传输。由于数据在UE和用户面网关之间均被加密和/或完整性保护，相比于现有技术而言，避免了数据在接入网设备解密后被篡改或窃取的可能，安全性更高。

需要说明的是，可用于实现上述UPF的网元并不仅限于用户面网关，例如还可以是服务网关(serving gateway，SGW)、公共数据网(public data network，PDN)网关(PDNgateway，PGW)、PDU会话锚节点(PDU Session anchor)会话代理、本地分流服务器(localbreakout(LBO)server)等用来传输或路由用户面数据的网元。

本申请实施例仅为示例，以部署在UE和用户面网关之间的用户面安全保护为例来详细说明本申请实施例。该用户面网关也可以替换为PGW以及其他可用于实现相同或相似功能的网元。

结合第一方面，在第一方面的某些实现方式中，该方法还包括：用户面网关基于UE的安全能力和用户面网关的安全能力，确定第一安全算法；用户面网关向UE发送第一安全算法的指示信息。

也就是说，该第一安全算法可以是由用户面网关基于UE的安全能力和用户面网关的安全能力确定并通知UE。在某些情况下，用户面网关的能力比较强大，能够支持所有的安全算法，此时可以仅根据UE的安全能力确定该第一安全算法。

结合第一方面，在第一方面的某些实现方式中，该方法还包括：用户面网关基于UE的安全能力、用户面网关的安全能力和业务的安全需求，确定第一安全算法；用户面网关向UE发送第一安全算法的指示信息。

用户面网关还可以进一步结合业务的安全需求确定该第一安全算法，从而满足不同业务的安全需求。

结合第一方面，在第一方面的某些实现方式中，该方法还包括：