[发明专利]一种安全上下文隔离的方法、装置及系统

说明书

本申请提供了一种安全上下文隔离的方法、装置及系统，用于隔离3G安全上下文的不安全性，保证终端切换至的目标网络的安全性。该方法包括：在终端从4G网络切换至目标网络的过程中，目标移动管理网元获知所述终端的4G安全上下文由3G安全上下文推演而来，并确定对所述终端执行重鉴权流程；所述目标移动管理网元对所述终端执行所述重鉴权流程，获得所述终端的所述目标网络的原生安全上下文。

技术领域

本申请涉及通信技术领域，尤其涉及一种安全上下文隔离的方法、装置及系统

背景技术

为实现终端设备在不同网络制式之间的切换，第三代合作伙伴计划(3rdgeneration partnership project，3GPP)已经在其发布的国际编号33.501的标准中定义了4G网络与5G网络间切换的安全流程。而当5G网络中的接入和移动性管理功能(accessand mobility management function，AMF)网元接收到4G网络中移动性管理实体(mobility management entity，MME)发来的4G安全上下文后，AMF网元不能判断该4G安全上下文的来源。如果该4G安全上下文是由3G安全上下文推演而来(如终端一开始接入了3G网络，之后切换至4G网络)，因为3G网络的加密密钥(cipher key，CK)和完整性保护密钥(integrity key，IK)在跨系统切换场景下传输给MME时，始终保持不变，即便在切换失败的下一次传输中依然是相同的CK和IK，相比于终端从4G网络切换至3G网络推演出新的CK和IK而言，这种方式下很容易泄露该CK和IK。因此，如果AMF使用的4G安全上下文由3G安全上下文推演而来，那么当3G网络中的密钥泄漏后，攻击者很容易推演出终端所使用的5G安全上下文，使得3G安全上下文的不安全性蔓延至5G网络。

发明内容

为隔离3G安全上下文的不安全性，保证终端切换至的目标网络的安全性，本申请提供了一种安全上下文隔离的方法、装置及系统。

第一方面，本申请提供了一种安全上下文隔离的方法，该方法包括：在终端从4G网络切换至目标网络的过程中，目标移动管理网元获知所述终端的4G安全上下文由3G安全上下文推演而来，并确定对所述终端执行重鉴权流程；所述目标移动管理网元对所述终端执行所述重鉴权流程，获得所述终端的所述目标网络的原生安全上下文。

通过上述方法，目标移动管理网元获知终端的4G安全上下文由3G安全上下文推演而来，从而确定执行重鉴权流程，并通过重鉴权流程获得目标网络的原生安全上下文，将3G安全上下文与目标网络隔离开来，避免了3G网络的不安全性蔓延至目标网络的情况，保证了目标网络的安全性。

在一种可能的设计中，所述目标移动管理网元获取指示信息，所述指示信息用于指示所述终端的4G安全上下文由3G安全上下文推演而来。

在上述可能的设计中，所述指示信息包括以下任意一项：新增的指示符、扩展的密钥标识符，所述扩展的密钥标识符包括新增的一个或多个比特，所述一个或多个比特用于标识所述终端的4G安全上下文由3G安全上下文推演而来。

在上述可能的设计中，所述目标移动管理网元获取来自所述终端的所述指示信息，或者获取来自源移动管理网元的所述指示信息。

目标移动管理网元获取来自所述终端的所述指示信息具体为所述目标移动管理网元接收来自所述终端的第一消息，所述第一消息用于请求注册，其中，所述第一消息包括所述指示信息。

目标移动管理网元获取来自所述源移动管理网元的所述指示信息具体为：

所述目标移动管理网元向所述源移动管理网元发送第二消息，所述第二消息用于请求所述终端的4G安全上下文,所述目标移动管理网元接收来自所述源移动管理网元的第三消息，所述第三消息包括所述指示消息及所述终端的4G安全上下文，或者

所述目标移动管理网元接收来自所述源移动管理网元第四消息，所述第四消息用于初始化切换所需资源的分配，其中，所述第四消息包括所述指示信息。