[发明专利]一种数据保护方法、设备及系统

说明书

本申请实施例提供一种数据保护方法、设备及系统，以解决在终端和基站上执行数据保护时用户面数据传输的安全性降低的问题。该方法涉及由终端和用户面网元利用第一参数对用户面数据进行数据保护，即在终端和用户面网元上执行数据保护。第一参数为PDU session ID或QFI或DRB ID或RB ID等。以第一参数为PDU session ID为例，该方法包括：终端确定PDU session ID，利用PDU session ID对待发送的明文加密得到密文，通过接入网设备向用户面网元发送密文，用户面网元接收到密文后，确定PDU session ID，并利用PDU session ID对密文解密得到明文。

技术领域

本申请涉及通信技术领域，尤其涉及一种数据保护方法、设备及系统。

背景技术

在现有的移动通信安全架构中，终端与基站之间传输的用户面数据可以被安全的保护。例如，针对发往网络的用户面数据，终端执行数据保护操作(如：机密性保护和/或完整性保护)，基站在接收到保护后的数据后，执行相应的安全操作(如：解密和/或完整性验证)。针对发往终端的用户面数据，基站执行数据保护操作(如：机密性保护和/或完整性保护)，终端在接收到保护后的数据后，执行相应的安全操作(如：解密和/或完整性验证)。

目前，终端与基站在分组数据汇聚协议(packet data convergence protocol，PDCP)层执行数据保护操作，PDCP层的主要功能是完成数据保护，如：机密性保护和完整性保护。以机密性保护为例，所述机密性保护可以包括：发送端将加密密钥(key)、计数(count)、承载(bearer)(如：无线承载ID)、方向(direction)(上行数据或下行数据)、长度参数(密钥流长度length)等一系列输入至安全算法(如：NEA函数)得到密钥流分组(keystream block)；将明文(plantext block)与密钥流分组进行异或得到密文(ciphertext block)发送出去。接收端接收到密文后，根据上述一系列参数得到密钥流分组，将密钥流分组与密文进行异或得到明文。其中，发送端可以为终端，接收端可以为基站；或者，发送端为基站，接收端为终端。

由上可知，现有数据保护在终端和基站上执行，仅实现了终端与基站间的端对端保护，此时，若基站与网络侧交互的用户面数据遭受攻击，则会造成数据泄露，降低用户面数据传输的安全性。

发明内容

本申请实施例提供一种数据保护方法、设备及系统，以解决现有在终端和基站上执行数据保护时，降低用户面数据传输的安全性的问题。

为达到上述目的，本申请实施例提供如下技术方案：

第一方面，本申请实施例提供一种数据保护方法，可以包括：终端确定待发送的明文对应的第一参数，利用第一参数对明文进行加密，以得到密文，通过接入网设备向用户面网元发送密文。

其中，第一参数与终端和用户面网元间的用户面传输逻辑通道对应，即以终端和用户面网元间的用户面传输逻辑通道为粒度对用户面数据进行加密。

基于第一方面提供的方法，可以根据与终端和用户面网元间的用户面传输逻辑通道对应的第一参数对终端和用户面网元之间传输的数据进行机密性保护，实现了终端到用户面网元的端对端保护，避免由接入网设备对数据进行机密性保护时，接入网设备与网络侧交互的用户面数据遭受攻击时，数据泄露，用户面数据传输的安全性降低的问题，提高了数据传输的安全性。

在第一方面的第一种可能的中，结合第一方面，第一参数为协议数据单元(protocol data unit，PDU)会话(session)标识(identity，ID)或者服务质量流标识(QoSflow ID)(简称QFI)，终端确定待发送的明文对应的第一参数，包括：终端根据待发送的明文的内容信息确定第一参数。

其中，明文的内容信息可以包括因特网协议(internet protocol，IP)地址或媒体接入控制(media access control，MAC)地址等。