基于邻近服务通信的安全发现

申请号 CN201480036522.5 申请日 2014-06-13 公开(公告)号 CN105359554A 公开(公告)日 2016-02-24
申请人 日本电气株式会社; 发明人 张晓维; 阿南德·罗迦沃·普拉萨德;
摘要 一种通过 请求 设备(21)和接收设备(22)在ProSe通信中执行设备的安全发现的方法,包括:从请求设备向ProSe 服务器 (24)请求ProSe服务请求;通过ProSe服务器对请求和接收设备执行验证;通过ProSe服务器执行发现过程以获得接收设备的 位置 信息;以及将ProSe服务结果发送到请求设备。执行发现过程包括:将ProSe服务请求发送到接收设备;通过接收设备执行源验证以查看是否请求来自于授权的ProSe服务器并且检查发现准则以查看是否发现准则应具有所请求的服务;以及如果执行源验证和检查发现准则是成功的,将接受消息发送到ProSe服务器。
权利要求

1.一种通过请求设备和接收设备在基于邻近服务(ProSe)通信中执行设备的安全发现的方法,所述请求设备发送通信的请求,所述接收设备接收来自所述请求设备的请求,所述方法包括:
从所述请求设备向ProSe服务器请求ProSe服务请求;
通过所述ProSe服务器执行对所述请求设备和所述接收设备的验证;
通过所述ProSe服务器执行发现过程,以获得所述接收设备的位置信息;以及将ProSe服务结果发送到所述请求设备,
其中,所述执行发现过程包括:
将所述ProSe服务请求发送到接收设备;
通过所述接收设备执行源验证,以查看所述请求是否来自授权的ProSe服务器;
通过所述接收设备检查发现准则,以查看所述发现准则是否应当具有所请求的服务;
以及
如果所述执行源验证和所述检查发现准则是成功的,则将ProSe服务接受消息发送到所述ProSe服务器。
2.根据权利要求1所述的在ProSe通信中执行设备的安全发现的方法,
其中,所述ProSe服务请求包括请求设备ID、接收设备ID、服务类型以及通信类型。
3.根据权利要求1或2所述的在ProSe通信中执行设备的安全发现的方法,其中,所述ProSe服务接受消息包括所述请求设备ID、所述接收设备ID、所述服务类型以及所述通信类型。
4.根据权利要求2或3所述的在ProSe通信中执行设备的安全发现的方法,其中,所述执行发现过程进一步包括:
如果所述执行源验证和所述检查发现准则是不成功的,则将ProSe服务拒绝消息发送到所述ProSe服务器,所述ProSe服务拒绝消息包括所述请求设备ID、所述接收设备ID以及适当的拒绝原因。
5.根据权利要求1至4中的任意一项所述的在ProSe通信中执行设备的安全发现的方法,
其中,通过广播消息来执行在所述接收设备和所述ProSe服务器之间以及在所述ProSe服务器和所述接收设备之间的通信,
其中,通过令牌、第一密钥、验证的ID、随机值、第二密钥以及时间戳中的一个或者多个来保护和/或验证所述广播消息,
其中,所述广播消息包含仅给定的设备所具有的令牌,所述广播消息用所述接收设备或者所述接收设备的网络验证的所述第一密钥来签名,所述广播消息具有在鉴权期间验证的已验证的ID,所述广播消息包含仅由所述网络以及所述请求设备和所述接收设备生成的随机值,所述广播消息利用所述第二密钥、通过用于所述群组中的每个设备的加密/完整性保护的部分来以片段被发送,或者所述广播消息用时间戳来签名。
6.一种安全系统,所述安全系统包括多个用户设备(UE)和基于邻近服务(ProSe)服务器,所述安全系统包括:
请求设备,所述请求设备发送通信的请求;以及
接收设备,所述接收设备接收来自所述请求设备的所述请求,
其中,
所述请求设备将ProSe服务请求发送到所述ProSe服务器;
所述ProSe服务器执行对所述请求设备和所述接收设备的验证;
所述ProSe服务器执行发现过程,以获得所述接收设备的位置信息;以及所述ProSe服务器将ProSe服务结果发送到所述请求设备;
其中,在所述发现过程中,
所述ProSe服务器将所述ProSe服务请求发送到接收设备;
所述接收设备执行源验证,以查看所述请求是否来自授权的ProSe服务器;
所述接收设备检查发现准则,以查看所述发现准则是否应当具有所请求的服务;并且如果所述执行源验证和所述检查发现准则是成功的,则所述接收设备将ProSe服务接受消息发送到所述ProSe服务器。

说明书全文

基于邻近服务通信的安全发现

技术领域

[0001] 本发明涉及执行安全发现的方法和安全系统,更具体地涉及提供执行安全发现以形成群组并且确保在特定群组的成员之间的通信的安全的方法的安全系统。

背景技术

[0002] 3GPP(第三代合作伙伴计划)已经开始研究用于商业和公共安全用途两者的基于邻近的服务(ProSe)。3GPP SA1(服务工作组)已经发起了对安全通信、UE(用户设备)识别以及隐私保护的一些安全要求的研究。
[0003] ProSe代表新近和巨大的社会技术趋势。这些应用的原理是要发现在在彼此邻近的设备中运行的应用的实例,并且最终也交换与应用有关的数据。与此同时,公共安全社区中的基于邻近的发现和通信引起了人们的关注。
[0004] ProSe通信能够经由eNB(演进的节点B)或者在没有eNB的情况下将服务提供给邻近的UE。SA1要求在具有或者不具有网络覆盖的情况下将ProSe服务提供给UE。UE能
够发现附近的其它UE或者被其它UE发现,并且它们能够相互通信。在NPL 1中能够找到一些应用实例。
[0005] 引用列表
[0006] 非专利文献
[0007] NPL 1:3GPP TR 22.803用于邻近服务(ProSe)的可行性研究,(版本12)

发明内容

[0008] 技术问题
[0009] 然而,尽管安全问题涉及邻近的UE的安全发现(检测)以及隐私问题,但是3GPP SA3没有提供安全解决方案。
[0010] 技术方案
[0011] 本发明提出一种针对上述安全问题的整体安全解决方案。
[0012] 在一个实施例中,提供了一种通过发送通信请求的请求设备和接收来自请求设备的请求的接收设备在基于邻近服务(ProSe)通信中执行设备的安全发现的方法,该方法包括:从请求设备向ProSe服务器请求ProSe服务请求;通过ProSe服务器执行对请求设备和接收设备的验证;通过ProSe服务器执行发现过程以获得接收设备的位置信息;以及将ProSe服务结果发送到请求设备。执行发现过程包括:将ProSe服务请求发送到接收设备;通过接收设备执行源验证以查看请求是否来自授权的ProSe服务器;通过接收设备检查发现准则以查看发现准则是否应当具有所请求的服务;以及如果执行源验证和检查发现准则是成功的,则将ProSe服务接受消息发送到ProSe服务器。
[0013] 在另一实施例中,提供了一种安全系统,该安全系统包括多个用户设备(UE)和基于邻近服务(ProSe)的服务器,包括:发送通信的请求的请求设备和接收来自请求设备的请求的接收设备。请求设备将ProSe服务请求发送到ProSe服务器。ProSe服务器执行对请求设备和接收设备的验证。ProSe服务器执行发现过程以获得接收设备的位置信息。ProSe服务器将ProSe服务结果发送到请求设备。在发现过程中,ProSe服务器将ProSe服务结果发送到接收设备,接收设备执行源验证以查看请求是否来自授权的ProSe服务器,接收设备检查发现准则以查看发现准则是否应当具有所请求的服务,并且如果执行源验证和检查发现准则是成功的,则接收设备将ProSe服务接受消息发送到ProSe服务器。
[0014] 本发明的有益效果
[0015] 安全系统和进行安全通信的方法能够提出针对安全问题的整体安全解决方案。附图说明
[0016] 结合附图,从下面某些优选实施例的描述中,本发明的以上和其它的目的、优点和特征将会更加显而易见,其中:
[0017] 图1A是示出在NPL 1中的ProSe通信场景的示意图;
[0018] 图1B是示出在NPL1中的ProSe通信场景的示意图;
[0019] 图2是示出根据本发明的示例性实施例的提供进行安全通信的方法的系统的示例的示意图;
[0020] 图3是示出根据本发明的示例性实施例的安全系统的示意图;
[0021] 图4是解释本发明的示例性实施例的进行安全通信的方法的时序图;
[0022] 图5A是示出一对一会话的示意图;
[0023] 图5B是示出一对多会话的示意图;以及
[0024] 图5C是示出多对多会话的示意图。
[0025] 图6是示出本发明的示例性实施例的通过ProSe服务器发现接收UE的流程图

具体实施方式

[0026] 下文中,出于描述的目的,当在附图中定向时,术语“上”、“下”、“右”、“左”、“垂直”、“平”、“顶部”、“底部”、“横向”、“纵向”以及其派生词将会与本发明有关。然而,应该理解的是,本发明可以假定可替选的变化和步骤顺序,除了明确地相反地指定之外。还应该理解的是,在附图中图示并且在下面的说明书中描述的特定的设备和过程仅是本发明的示例性实施例。因此,与在此公开的示例性实施例有关的特定尺寸和其它的物理特性没有被视为限制的。
[0027] 在示例性实施例中,尽管将会解释具体地着重于直接通信、发现以及通信的安全解决方案,但是该解决方案也能够被应用于其它的通信。
[0028] 首先,将会解释在3GPP TR 21.905:“用于3GPP规范的词汇”中给出的定义。
[0029] ProSe直接通信:
[0030] 经由没有穿过(traverse)任何网络节点的路径,使用E-UTRAN技术通过用户平面传输的、在ProSe使能的在邻近的两个或者多个UE之间的通信。
[0031] ProSe使能的UE:
[0032] 支持ProSe要求和相关联的过程的UE。除非另有明确声明,ProSe使能的UE指的是非公共安全UE和公共安全UE两者。
[0033] ProSe使能的公共安全UE:
[0034] 还支持ProSe过程和对公共安全的特定能的ProSe使能的UE。
[0035] ProSe使能的非公共安全UE:
[0036] 支持ProSe过程但是不支持对公共安全特定的能力的UE。
[0037] ProSe直接发现:
[0038] 利用版本12E-UTRA技术,由ProSe使能的UE采用的仅使用两个UE的能力发现邻近的其它ProSe使能的UE的过程。
[0039] EPC级ProSe发现:
[0040] EPC用来确定两个ProSe使能的UE的邻近并且向其通知它们的邻近的过程。
[0041] 图1A和图1B是示出在NPL 1中的ProSe通信场景的示意图。当由相同的eNB 19服务ProSe通信中所涉及的UE 11和UE 12,并且网络覆盖可提供时,系统100a能够决定使用如由图1A中的实线箭头示出的、在UE 11、12、eNB 19以及EPC(演进的分组核心)14之间交换的控制信息(例如,会话管理、授权、安全)来执行ProSe通信。出于费用的考虑,对于现有的架构的修改应当被最小化。另外,UE 11和12能够经由如由图1A中的虚线箭头所示的ProSe通信路径来交换控制信令。
[0042] 当由不同的eNB 19、20服务ProSe通信中所涉及的UE 11和12并且网络覆盖可提供时,系统100b能够决定使用如由图1B中的实线箭头所示的、在UE 11、12、eNB 19和EPC 14之间交换的控制信息(例如,会话管理、授权、安全)来执行ProSe通信。在此配置中,eNB 11和12可以通过EPC 14相互协调,或者如由图1B中的eNB 11和12之间的虚线
箭头所示,针对无线电资源管理进行直接通信。出于费用的考虑,对于现有的架构的信令修改应当被最小化。另外,UE 11和12能够经由如图1B中的UE 11和UE 12之间的虚线箭
头所示的ProSe通信路径交换控制信令。
[0043] 如果网络覆盖范围可提供用于UE的子集,则一个或者多个公共安全UE可以为没有网络覆盖的其它UE中继无线资源管理控制信息。
[0044] 如果网络覆盖不是可用的,则控制路径能够直接存在于公共安全UE之间。在此配置下,公共安全UE能够依赖于预先配置的无线电资源来建立和保持ProSe通信。可替选地,能够驻留在公共安全UE中的公共安全无线电资源管理功能能够管理用于公共安全ProSe通信的无线电资源的分配。
[0045] 图2是示出根据本发明的示例性实施例的提供进行安全通信的方法的系统的示例的示意图。如图2所示,系统10包括UE 11、UE 12、E-UTERN 13、EPC 14、ProSe功能15、ProSe APP服务器16、ProSe APP 17以及ProSe APP 18。
[0046] UE 11和UE 12能够通过PC5进行通信,UE 11和E-UTERN 13通过LTE-Uul进行通信,并且UE 12能够通过LTE-Uu2和PC3分别与E-UTERN 13和ProSe功能15进行通信。
EPC 14和ProSe功能15能够通过PC4进行通信,ProSe APP服务器16能够通过SG1和PC1
分别与EPC 14和ProSe APP 18进行通信,并且ProSe功能15能够通过PC6与自身通信。
[0047] 如上所述,当使用基础设施时,即,经由e节点B,能够使用现有的密钥。然而,对于设备对设备直接发现和通信,需要新的解决方案;例如,密钥能够从网络被发送到通信方,密钥能够在通信方之间被创建,或者类似的用于协商的算法能够直接地或者经由网络来使用。此外,对于非许可(unlicensed)频谱上的安全性也需要新的解决方案。
[0048] 支持ProSe直接通信一对一的两种不同的模式:
[0049] 网络独立的直接通信:该用于ProSe直接通信的操作的模式不要求任何网络辅助来授权连接,并且仅使用UE本地的功能性和信息来执行通信。不论UE是否由E-UTRAN服务,该模式都仅可应用于预授权的ProSe使能的公共安全UE。
[0050] 网络授权的直接通信:该用于ProSe直接通信的操作的模式总是要求网络辅助,并且当对于公共安全UE,仅一个UE“由E-UTRAN服务”时,也是可应用的。对于非公共安全UE,两个UE必须“由E-UTRAN服务”。
[0051] PC1:
[0052] 这是UE 12中的ProSe APP 18和ProSe APP服务器16中之间的参考点。其用于定义应用级要求。
[0053] PC2:
[0054] 这是在ProSe APP服务器16和ProSe功能15之间的参考点。其用于定义在ProSe应用服务器16和3GPP EPS经由ProSe功能15提供的ProSe功能之间的交互作用。其使用的一个示例可以用于在ProSe功能15中的对ProSe数据库的应用数据更新。其使用的另
一示例可以是由ProSe应用服务器16用于在3GPP功能性和应用数据之间的交互的数据,例如,名称转换。
[0055] PC3:
[0056] 这是在UE 12和ProSe功能15之间的参考点。其用于定义在UE12和ProSe功能15之间的交互作用。其使用的示例是用于对于ProSe发现和通信的配置。
[0057] PC4:
[0058] 这是在EPC 14和ProSe功能15之间的参考点。其用于定义在EPC14和ProSe功能15之间的交互。其可能的使用情况可以是当建立UE之间的一对一通信路径时、或者当实时验证用于会话管理或者移动性管理的ProSe服务(授权)时。
[0059] PC5:
[0060] 这是在用于控制的UE 11至UE 12之间的参考点、以及用于发现和通信的用户平面,用于中继和一对一通信(直接在UE之间以及经由LTE-Uu在UE之间)。
[0061] PC6:
[0062] 该参考点可以用于订阅到不同PLMN的用户之间的诸如ProSe发现的功能。
[0063] SGi:
[0064] 除了经由SGi在TS 29.061[10]中定义的有关功能,其可以被用于应用数据和应用级控制信息交换。
[0065] 图3是示出本发明的示例性实施例的安全系统的示意图。如图3所示,本发明的示例性实施例的安全系统1包括一个或者多个请求UE L01、运营商网络L02、以及一个或者多个接收UE L03。执行安全通信的方法包括下述步骤:在与或者不与运营商网络L02的交互的情况下,在UE(请求UE L01、接收UE L03)之间执行的安全组管理L1、安全发现L2、初始授权L3、鉴权L4、授权L5、安全关联建立L6、安全通信L7以及终止L8。
[0066] 假定网络覆盖范围可用于UE,作在本示例性实施例中广播作为示例被描述,但是该示例性实施例还应用于多播和一对一通信,如在图1A、图1B以及图2中所示。
[0067] 从组的建立到通信终止,在下所述,在每个步骤中都需要安全性。注意,根据服务或者应用,步骤L1-L4能够采用不同的次序。
[0068] L1:安全组管理
[0069] 成员能够安全地加入,成员能够安全地离开,并且服务的授权等级和成员中的每一个以及任何其他所要求的信息能够被安全地修改。
[0070] L2:安全发现应当发生
[0071] 如果没有确保发现的安全,则设备可能开始与错误方或者流氓设备的通信,结果伪装攻击可能发生,这进而可能导致欺诈性收费。为此,必须确保与发现有关的通信的安全,即,UE对邻近的其他UE的身份进行鉴权;发现的完整性保护和设备应当能够对消息进行鉴权。
[0072] L3:初始授权
[0073] 基于安全发现的初始授权将会导致被发现的设备属于组的决定,并且因此下一个步骤能够启动。
[0074] L4:鉴权
[0075] 一旦设备被发现并且授权为组的一部分,就应当进行相互鉴权;否则依然存在一定范围的攻击。
[0076] L5:授权
[0077] 授权的下一级将发现在属于相同组的设备之间能够使用什么服务。例如,允许UE发送和接收不同类型的消息或者仅允许其接收广播消息。
[0078] L6:安全关联建立(密钥导出和管理)
[0079] 属于相同组的UE应当具有密钥,以保护其通信使得不属于该组的其他UE或者攻击者无法窃听或者更改消息。
[0080] L7:安全通信
[0081] UE之间的通信能够根据订阅服务类型,利用完整性和/或机密性保护来通过安全关联进行保护。
[0082] L8:终止
[0083] 当UE挂起(suspend)或者终止通信时,或者当整个组通信被终止时,安全终止能够提供安全性。
[0084] 在下面的部分中将会解释满足安全要求的本发明的示例性实施例的执行安全通信的具体方法。图4是解释本发明的示例性实施例的在UE 100和网络200之间进行安全通信的方法的序列图。
[0085] [1]组设置和管理(L1)
[0086] 组能够是
[0087] (1)相互(一对一)通信的两个设备;或者
[0088] (2)一个UE能够与其他的设备通信的两个以上的设备(一对多)。
[0089] (3)能够相互通信的两个以上的设备(多对多)。
[0090] 组能够出于不同的通信目的而被建立,并且组成员能够被改变。为了形成组,运营商网络L02能够检查向其想要与之通信的UE L03发出请求的请求UE L01,如果它们能够相互通信则验证设备,并且向两侧的验证的设备(请求UE L01和接收UE L03)通知该请求和形成。
[0091] 在下文中,将解释创建组的一个示例。如图4所示,UE 100请求对网络200的ProSe订阅,并且创建组(步骤1)。在步骤1中,UE 100需要满足条件,即,策略,例如,兴趣、特定位置等。而且,网络200需要验证UE是否满足条件,即,策略,例如,邻近范围、订阅、在漫游UE的情况下的家庭网络、WiFi与否、ProSe使能等。组被严格地形成,例如,组的成员应当被登记在白名单中,或者根据来自UE 100的请求或者在网络200知道所有UE条件时通过网络200,动态地形成组。
[0092] 为了创建安全组,UE 100必须同意成为组的一部分,并且仅“同意的”UE 100称为组成员。组管理包括添加组成员、移除组成员、结束组以及添加临时组成员。每个UE 100能够从例如社交网络应用和对于ProSe服务的请求中看到谁是邻近的,并且ProSe服务器需要执行授权,但是不必执行发现。
[0093] [2]发现-邻近的UE的安全检测(L2)
[0094] [1]中的发现和组创建能够同时发生或者是独立的过程。
[0095] 能够存在UE(请求UE L01)可以发现邻近的其他UE(接收UE L03)的下述三种手段:(1)基于广播,(2)基于网络,以及(3)基于设备服务级信息。将如下描述能够如何进行安全发现。
[0096] [2-1]基于广播的解决方案
[0097] 在基于广播的解决方案中存在六种方式(s1-s6):
[0098] (s1)令牌
[0099] 广播消息能够包含仅给定UE能够具有的令牌。令牌应当仅被使用一次以防止接收侧重用该令牌。为了实现该情况,每次接收广播消息,UE都能够计算令牌,或者网络能够向所有UE通知接下来要使用的令牌。因为接收侧能够重用令牌,所以对于这种使用情况,这能够被用作信息通知类型的服务。
[0100] (s2)签名消息
[0101] 广播消息能够通过可以由接收UE或者由用于接收UE的网络验证的密钥进行签名。签名能够通过不同的密钥管理技术方案发生,或者其能够使用用于与基础设施网络通信的当前密钥(或者来自于当前密钥的导出)发生——这里可能需要新密钥层级。
[0102] (s3)消息ID
[0103] 广播消息能够具有在鉴权期间被验证的ID并且初始地仅用于授权。
[0104] (s4)随机值
[0105] 广播消息能够包含仅能够由网络和UE产生的随机值。随机值的验证能够由网络代表通信UE来进行。
[0106] (s5)密钥
[0107] 每个UE具有属于其他设备的特定密钥,并且因此每个UE发送可能长的广播或者新类型的广播,其通过用于组中的每个UE的加密的/受完整性保护的部分来以片段发送。
[0108] (s6)戳
[0109] 广播消息能够用时间戳和寿命来签名。注意,该寿命可以是非常短的时段,或者能够持续直到下一个广播。
[0110] [2-2]基于网络的解决方案
[0111] 网络能够提供信息。为此,网络能够使用从UE(请求UE L01)接收到的位置信息,并且能够通过现有的网络安全机制能够来保护位置信息。
[0112] [2-3]基于设备服务等级信息的解决方案
[0113] 请求UE L01能够使用由社交网络或者其他服务提供的位置信息。在应用层中能够确保安全性。
[0114] 将会解释发现的具体示例。UE 100能够设置在D2D(设备对设备通信)服务器中的发现/可发现的特征和/或能力。
[0115] 情况1A:
[0116] 如果UE 100不知道其他UE是否邻近,则UE 100能够向ProSe服务器请求ProSe服务,并且ProSe服务器能够发出对于ProSe服务的请求并且同时得到其他UE的位置信
息。
[0117] 情况2A:
[0118] 如果UE 100能够从例如社交网络应用看到谁是邻近的并且请求服务,则ProSe服务器需要执行授权,但是不必执行发现。
[0119] 如果ProSe服务器执行授权,则UE 100使能ProSe,并且/或者允许UE 100得到给定的服务/通信手段。
[0120] 如果基于UE 100的邻近进行发现,则UE 100发送由单播安全上下文周期性保护的位置信息。网络200在需要时或者周期性地请求位置信息。能够广播请求(步骤3),并且广播的消息要求安全性。响应(步骤4)能够由单播安全上下文来保护。
[0121] 网络存储用于邻近的条件,其也能够由请求和接收UE给出。网络200能够向附近的允许被发现的接收UE进行广播,并且UE用受保护的消息进行响应。在第一次通信和/或登记时,或者当任何变化发生时,UE 100向网络200通知其条件和能力。
[0122] 通过网络200或者UE 100的基于广播的解决方案要求下述要求中的一个或多个。即,接收侧应当能够验证源,不应当重用广播消息,接收响应的网络200应当能够对其进行验证,或者如果过长则应当丢弃响应。UE 100能够使用用于执行安全发现的一个或者多个解决方案。解决方案包括令牌、签名、消息、消息ID、随机值、密钥和戳。注意,该解决方案能够在步骤5(相互鉴权,鉴权L4)中使用、在步骤6(授权,授权L5)中使用,并且在步骤7(产生密钥和协商算法,安全通信L7)中使用,如在图4中所示。步骤5至7能够一起发生,并且可能与广播安全有关。
[0123] [3]初始授权(L3)
[0124] 初始授权根据上述发现解决方案而变化。
[0125] [3-1]基于广播:
[0126] 是否允许请求UE L01与接收UE L03进行通信可以通过网络或者通过具有由网络提供的证明的接收UE L03来检查。
[0127] [3-2]基于网络:
[0128] 请求UE L01和接收UE L03能够经由直接无线接口执行相互鉴权。
[0129] [3-3]基于设备服务等级信息:
[0130] 接收UE L03在用于ProSe服务目的的设备组的成员当中检查由用户或者在UE中保持的列表。
[0131] [4]鉴权(L4)
[0132] 一旦请求UE L01被识别为属于相同的组,则鉴权发生。鉴权可以本地地或者通过与网络交互来执行。
[0133] [4-1]请求UE L01的鉴权
[0134] 这能够通过网络或具有来自于网络的证据的UE对请求UE L01的成功识别来执行。
[0135] [4-2]接收UE L03的鉴权:
[0136] 这可以通过下述来执行
[0137] [4-2-i]使用在请求UE L01和接收UE L03之间共享的密钥
[0138] [4-2-ii]使用当前网络安全密钥或者新密钥
[0139] [4-2-iii]向请求UE L01通知来自接收UE L03的传入的鉴权请求的网络。
[0140] [5]授权-服务接入控制(L5)
[0141] 对请求UE L01和接收UE L03(下文中也被称为“UE”)能够在组内使用的服务的接入控制应当存在不同的等级。
[0142] [5-1]允许UE接收和/或发送广播消息。
[0143] [5-2]允许UE接收和/或发送多个消息。
[0144] [5-3]允许UE接收和/或发送用于一对一通信的消息。
[0145] [5-4]根据订阅信息和用于ProSe服务的策略UE设置的UE授权。
[0146] 网络能够根据UE能力和用户订阅来建立策略并且向包括请求UE L01和接收UE L03的组成员提供该策略。
[0147] 网络200对想要加入组的UE 100执行授权。UE 100的组成员通过使用会话密钥来验证网络是否授权其他UE。用于执行验证的授权的另一方法由网络通过下述来进行:(1)由网络将授权值发送到各个UE 100并且各个UE 100使用该值来对彼此执行授权,或者(2)用于执行验证的授权的又一方法,该方法通过将来自请求UE的授权值发送到接收UE,并且然后接收UE请求网络验证该授权值和接收结果来进行。
[0148] [6]新密钥层级和密钥管理(L6)
[0149] 在本发明的本示例性实施例中提出新密钥层级。密钥Kp是与组有关的密钥并且还可以与ProSe服务有关。密钥Kp具有与其有关的指示符KSI_p。能够从ProSe服务器发送Kp以供使用。
[0150] 密钥Kpc和Kpi是在UE处从Kp导出的会话密钥。Kpc是机密性密钥并且Kpi是完整性保护密钥。会话密钥由UE用于执行对彼此的授权和ProSe通信建立,并且在其之间具有直接通信。
[0151] 在授权和鉴权之后,包括请求UE L01和接收UE L03的通信设备能够开始会话以相互通信。当请求UE L01和接收UE L03相互通信时,应当共享通信密钥。密钥能够是组密钥和/或每个通信设备的唯一的密钥以及每个会话的会话密钥。
[0152] 密钥能够由网络管理并且在安全通信信道上通过网络被发送。可替选地,密钥能够由请求UE L01管理,并且在鉴权或者验证期间,通过能够由网络确保安全的安全单播通信信道被发送到通信中的包括接收UE L03的其他设备。
[0153] UE 100在会话开始时彼此鉴权(S5)。鉴权与授权相关联(S6)。图5A至图5C是分别示出一对一、一对多、以及多对多会话的示意图。如在图5A至图5C中所示,UEa 21和UEa 31指示请求UE L01,并且UEb 22、UEb 32、UEc 33以及UEn_33n指示接收UE L03。
[0154] 当开始会话时,首先生成会话密钥。在本示例性实施例中,请求UE L01(UEa 21、UEa 31)和接收UE L03(UEb 22、UEb 32、UEc 33、UEn_33n)使用包括会话密钥的两种密钥。
[0155] 情况1B:
[0156] 各个组具有用于各个服务的密钥Kp(Kp用作服务密钥),并且针对各个会话创建新的会话密钥。
[0157] 情况2B:
[0158] 各个组具有密钥Kp(Kp用作组密钥),并且针对各个会话创建新的会话密钥。
[0159] 在各个情况下,ProSe服务器或者请求UE L01发送密钥。例如,ProSe服务器将密钥Kp发送到请求UE L01和接收UE L03,并且每次会话,请求UE L01都将会话密钥发送到接收UE L03。替选地,ProSe服务器将密钥Kp和会话密钥两者发送到请求UE L0和接收UE L03,或者请求UE L01将密钥Kp和会话密钥两者发送到接收UE L03。
[0160] 此外,当组在有人离开或者被添加时而改变时、当会话结束或者密钥超时时、或者当ProSe服务器已经做出决定时,例如,密钥Kp和/或会话密钥应被改变。
[0161] 如果ProSe服务器将密钥Kp分配给UE,则UE从其导出会话密钥以用于授权和通信。能够利用用于密钥导出的算法来预先配置UE,或者密钥Kp与KSI(密钥集标识符)和服务有关。因为它们,在UE的鉴权和授权期间的安全问题或者用于直接通信的密钥的安全问题可以被解决。
[0162] 注意,密钥集标识符(KSI)是与在鉴权期间导出的密码和完整性密钥相关联的数字。密钥集标识符能够由网络分配,并且通过鉴权请求消息被发送到移动站,在移动站处,密钥集标识符与所计算的密码密钥CK和完整性密钥IK一起被存储。密钥集标识符的目的是,使其能够用于使网络在不调用鉴权过程的情况下,识别存储在移动站中的密码密钥CK和完整性密钥IK。这用于允许在后续连接(会话)期间对密码密钥CK和完整性密钥IK的重用。
[0163] [7]安全通信(L7)
[0164] 安全通信能够提供在组成员UE之间的消息传输可用性,并且防止消息由不属于该组的UE窃听或者更改。而且,安全通信能够防止UE使用未被授权的服务。
[0165] 组内的通信应当具有完整性和/或机密性保护。在安全关联被建立之后,所有的通信都可以通过上述会话密钥来保护。
[0166] 在具有或者不具有运营商网络L02的支持的情况下,安全策略能够是组内的协商和协议。所有的组成员应当遵循安全策略。
[0167] 接下来,将会解释在UE的位置改变发生的情况下的安全性。如果没有UE具有位置变化,则不存在安全问题。此外,如果所有的UE具有改变的位置,但是保持彼此邻近,则仍然不存在安全问题。
[0168] 如果UE的一部分(一个或者多个UE)已经从其他UE的邻近移出并且其不使用ProSe服务,则需要针对组中的剩余UE来更新组和安全管理。可替选地,如果一个或者多个UE已经从UE邻近移出,并且它们想要保持与彼此的ProSe服务,则需要针对组中的剩余UE更新组和安全管理,并且针对旅行者(traveler)需要新的组和安全。
[0169] 注意,ProSe服务器应当周期性地从GMLC(网关移动位置中心)得到UE位置信息,以比较和计算所有UE的位置差异。
[0170] [8]终止(L8)
[0171] 当通信要被挂起时,设备应当移除会话密钥,同时保持鉴权和授权的信息。
[0172] 当通信要被终止时,设备能够保持历史信息,或者具有用于下一次使用时间的寿命的分配的令牌,以防止再次用于鉴权和授权的信令。
[0173] 从基础设施到直接模式的平滑切换(handover)将会要求在切换发生之前在通信方(请求UE L01和接收UE L03)之间的密钥的创建。例如,如果通信方正在使用WiFi,则密钥应被分配给WiFi AP和UE。WiFi AP和UE应相互授权和鉴权。密钥应具有有限的寿命。网络能够识别UE能够与哪个WiFi AP通信。UE能够发现附近存在WiFi AP,并且网络验证WiFi AP。当UE连接到WiFi AP时,UE与ProSe服务器进行鉴权。一个选项是ProSe
功能能够分配用于使UE与ProSe APP服务器进行通信的密钥。
[0174] 为了总结上面的描述,示例性实施例的进行安全通信的方法包括下述特征:
[0175] (1)运营商网络L02确定请求UE L01是否能够与由请求UE L01所请求的接收UE L03通信。
[0176] (2)能够通过使用由网络提供的令牌、密钥以及签名来提供邻近UE的发现中的安全性。
[0177] (3)能够通过使用由运营商网络L02提供的位置来提供邻近UE的发现中的安全性。
[0178] (4)利用在应用层中提供的安全性,能够通过使用由社交网络服务提供的位置信息来提供邻近UE的发现中的安全性。
[0179] (5)能够通过网络或者设备直接验证来执行设备的授权。
[0180] (6)同意在组L03中的请求UE L01和接收UE之间的相互鉴权能够由网络来执行,并且也能够向两个UE通知结果。
[0181] (7)在请求UE L01和接收UE L03之间的相互鉴权能够通过其之间共享的密钥来由两端执行。
[0182] (8)能够使用作为组密钥和唯一会话密钥的用于确保ProSe通信安全的新密钥。
[0183] (9)用于安全通信的组中的安全策略被协商和设置。
[0184] (10)能够执行终止管理以防止相同的密钥被使用,并且建立用于其他通信的安全上下文。
[0185] 根据示例性实施例的安全系统,运营商网络L02能够确定请求UE L01能够与其通信的接收UE L03,并且能够通过将安全参数提供给请求UE L01或者接收UE L03,并且将接收UE L03的位置信息提供给请求UE L01,来确保安全发现的安全。此外,运营商网络L02能够执行对于请求UE L01和接收UE L03的鉴权和授权,并且能够支持UE之间的安全关联以确保ProSe通信的安全。
[0186] [9]执行安全发现(L2)的具体方法
[0187] 接下来,将会解释执行安全发现L2的具体方法。当请求UE的服务节点接收来自请求UE的ProSe服务请求时,能够发起发现,并且如上所述验证订户信息。
[0188] 如前所述,存在用于发现接收UE的三种手段[2-1]至[2-3]。例如,通过获得接收UE位置信息来执行发现接收UE。
[0189] [解决方案1]基于广播的解决方案:根据请求UE想要具有与多少UE的ProSe服务,这还可以是多播或者单播。当ProSe服务器不知道接收UE的位置信息时,能够使用此解决方案。
[0190] [解决方案2]基于网络的解决方案;以及
[0191] [解决方案3]基于设备服务等级信息的解决方案:在解决方案2和3中,网络知道接收UE是否在邻近,并且其可以通过可用接收UE来对请求UE进行响应。
[0192] 下面给出解决方案的进一步具体描述。
[0193] [[解决方案1]]基于广播的解决方案
[0194] 执行“发现”的网络元件能够与HSS进行交互,以获得请求UE的当前位置和服务节点信息。网络元件能够在具有相同服务节点(MME)的相同覆盖范围下发送广播消息。
[0195] 消息应包含请求UE ID、服务类型以及通信类型。
[0196] 根据在ProSe服务请求中指示的服务类型和通信类型,ProSe服务器应确定如何通知邻近的接收UE。ProSe服务器能够通过下述三种手段中的一个来向接收UE发送ProSe服务请求通知:1)广播、2)多播以及3)单播。
[0197] 接收UE将执行源验证以检查其是否来自受信的网络元件,并且还检查服务和通信类型是否是可接受的。接收UE将用适当的原因对ProSe服务器接受或者拒绝响应进行响应。ProSe服务器将验证响应源和源位置。在成功验证之后,ProSe服务器将向请求UE通知已经接受具有ProSe服务的接收UE。来自接收UE的、比由请求UE或者ProSe服务器设置的预期时间长的响应当被丢弃。
[0198] 图6是示出本发明的示例性实施例的ProSe服务器发现接收UE的流程图。
[0199] (SP11)假定ProSe服务器24已经验证了请求和接收UE 21和22的订阅数据和发现准则。
[0200] (SP12)如果需要将消息发送到接收UE,则ProSe服务器24确定消息类型。
[0201] (SP13)ProSe服务器24向接收UE 22发送具有请求UE ID、接收UE ID、服务ID以及消息ID的ProSe服务请求。
[0202] (SP14)接收UE 22将执行源验证以查看请求是否来自授权的ProSe服务器24。
[0203] (SP15)接收UE 22还检查其发现准则,以查看其是否应具有所请求的服务。
[0204] (SP16)如果SP14中的执行源验证和SP15中的检查发现准则是成功的,则接收UE22将ProSe服务接受消息发送到ProSe服务器24,ProSe服务接受消息包括请求UE ID、接收UE ID、服务ID以及消息ID。
[0205] (SP17)如果执行源验证和检查发现准则不是成功的,则接收UE22将ProSe服务拒绝消息发送到ProSe服务器24,ProSe服务拒绝消息包括请求UE ID、接收UE ID、服务ID、消息ID以及适当的拒绝原因。
[0206] (SP18)ProSe服务器24执行对ProSe服务接受或者ProSe服务拒绝消息的源、消息完整性以及消息ID的验证。
[0207] (SP19)如[3]中所述,ProSe服务器24将ProSe服务结果发送到请求UE 21。
[0208] 在下面,提出保护和验证广播消息的方法。
[0209] (s1)令牌
[0210] 广播消息能够包含仅给定UE能够具有的令牌。令牌应当仅被使用一次以防止接收侧重用该令牌。为了实现该情况,每次接收广播消息,UE都能够计算令牌,或者网络能够向所有UE通知接下来要使用的令牌。因为接收侧能够重用令牌,所以对于这种使用情况,这能够被用作信息通知类型的服务。
[0211] (s2)签名消息
[0212] 广播消息能够通过可以由接收UE或者由用于接收UE的网络验证的密钥进行签名。签名能够通过不同的密钥管理技术方案发生,或者其能够使用用于与基础设施网络通信的当前密钥(或者来自于当前密钥的导出)发生——这里可能需要新密钥层级。
[0213] (s3)消息ID
[0214] 广播消息能够具有在鉴权期间被验证的ID并且初始地仅用于授权。
[0215] (s4)随机值
[0216] 广播消息能够包含仅能够由网络和UE产生的随机值。随机值的验证能够由网络代表通信UE来进行。
[0217] (s5)密钥
[0218] 每个UE具有属于其他设备的特定密钥,并且因此每个UE发送可能长的广播或者新类型的广播,其通过用于组中的每个UE的加密的/受完整性保护的部分来以片段发送。
[0219] (s6)戳
[0220] 广播消息能够用时间戳和寿命来签名。注意,该寿命可以是非常短的时段,或者能够持续直到下一个广播。
[0221] [[解决方案2]]基于网络的解决方案
[0222] 网络能够具有给定UE的位置信息。存在网络能够获得信息的三种方式。
[0223] (1)UE能够将位置信息周期性地发送给网络。
[0224] (2)网络能够基于网络中的已经存在的解决方案来知道UE的位置,但是在此情况下,问题是空闲设备不连续地更新它们的位置。
[0225] (3)网络能够使用ping命令知道UE的位置信息。
[0226] 根据策略,如果群组被创建,则用于发现和/或可发现网络的UE集将位置信息发送到UE或者群组成员。UE能够彼此接近以进行通信。
[0227] [[解决方案3]]基于设备服务等级的解决方案
[0228] 若干社交网络服务有位置信息;这可以UE使用以知道群组中的那些UE的位置信息。这也意味着,UE应当知道谁属于哪一组;否则群组设置可以通过SNS信息在设备中自动地进行。
[0229] 例如,UE能够收集关于FaceBook(R)中的订户的连接的信息,并且周期性地检查FaceBook(R)信息以知道位置更新。以这样的方式,UE知道群组和成员的位置。UE可以组合来自如Twitter(R)、Facebook(R)等不同服务的信息。
[0230] 为了总结上面的描述,示例性实施例的执行安全发现的方法包括下述特征:
[0231] (1)ProSe服务器能够确定如何向接收UE通知来自请求UE的ProSe服务请求;
[0232] (2)存在ProSe服务器能够发送上述通知的三种方式:广播、多播或者单播;
[0233] (3)能够以在解决方案(s1)至(s6)中的6种方式的一个来保护广播消息;
[0234] (4)在接收广播消息时,接收UE验证源完整性;
[0235] (5)在接收广播消息时,接收UE验证所请求的服务和通信类型是否是可接受的;
[0236] (6)接收UE向ProSe服务器发送接受或者拒绝响应,具有:适当的原因、接收UE ID、请求UE ID以及服务ID;
[0237] (7)ProSe服务器验证响应UE源及其位置;
[0238] (8)ProSe服务器向请求UE通知已经接受具有ProSe服务的接收UE;
[0239] (9)来自接收UE的、比由请求UE或者ProSe服务器设置的预期时间长的响应当被丢弃;
[0240] (10)ProSe服务器能够从由UE发送的周期性位置信息知道接收UE位置信息;
[0241] (11)ProSe服务器能够从现有解决方案知道接收UE位置信息;
[0242] (12)ProSe服务器能够通过对接收UE执行ping命令来知道接收UE位置信息;以及
[0243] (13)ProSe服务器能够从诸如社交网络服务的基于设备服务的解决方案知道接收UE位置信息。
[0244] 根据本发明的示例性示例的安全系统,在3GPP网络中的ProSe服务器能够通过发送广播消息或者获得其位置信息,来发现请求UE想要具有与之的ProSe服务的UE。来自ProSe服务器的广播消息和来自接收UE的响应当能够被完整性地保护,使得源完整性被验证。ProSe服务器能够验证能够由其它的网络元件或者服务可选地支持的接收UE位置。
[0245] 此软件能够被存储在各种类型的非易失性计算机可读介质中并且从而被供应到计算机。非易失性计算机可读介质包括各种类型的有形存储介质。非易失性计算机可读介质的示例包括磁记录介质(诸如软盘、磁带以及硬盘驱动)、磁光记录介质(诸如磁光盘)、CD-ROM(只读存储器)、CD-R以及CD-R/W和半导体存储器(诸如掩模ROM、PROM(可编程ROM)、EPROM(可擦除PROM)、闪存ROM以及RAM(随机接入存储器))。此外,通过使用各种类型的瞬态计算机可读介质,程序能够被供应给计算机。瞬态计算机可读介质的示例包括电信号光信号以及电磁波。瞬态计算机可读介质能够被用于经由诸如电线和光纤的有线通信路径、或者无线通信路径将程序供应给计算机。
[0246] 本申请基于并且要求来自于2013年12月28日提交的日本专利申请No.2013137292的优先权的权益,其全部内容通过引用被整体合并进本文。
[0247] [附图标记列表]
[0248] 1 安全系统
[0249] 10 系统
[0250] 11 UE
[0251] 12 UE
[0252] 13 E-UTERN
[0253] 14 EPC
[0254] 15 ProSe功能
[0255] 16 ProSe APP服务器
[0256] 17 ProSe APP
[0257] 18 ProSe APP
[0258] 19 eNB
[0259] 20 eNB
[0260] 21 UEa
[0261] 22 UEb
[0262] 24 ProSe服务器
[0263] 25 HSS
[0264] 26 运营商网络
[0265] 31 UEa
[0266] 32 UEb
[0267] 33 UEc
[0268] 33n UEn
[0269] 100 UE
[0270] 100a 系统
[0271] 100b 系统
[0272] 200 网络
[0273] L01 请求UE
[0274] L02 运营商网络
[0275] L03 接收UE
[0276] L1 安全群组管理
[0277] L2 安全发现
[0278] L3 初始授权
[0279] L4 鉴权
[0280] L5 授权
[0281] L6 安全关联建立
[0282] L7 安全通信
[0283] L8 终止
QQ群二维码
意见反馈