CN113905380A - 接入层安全算法处理方法、系统、设备及存储介质 - Google Patents

Abstract

本发明提供了一种接入层安全算法处理方法、系统、设备及存储介质，所述方法包括步骤：网络节点接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权；当鉴权通过后，网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表；所述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系；基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法；所述基站和所述终端设备基于所述目标安全算法，进行双向通信；本申请能够对接入层的网络流量提供差异化的安全保护。

Description

接入层安全算法处理方法、系统、设备及存储介质

技术领域

本发明涉及移动通信技术领域，具体地说，涉及一种接入层安全算法处理方法、系统、设备及存储介质。

背景技术

面向行业客户，运营商的5G无线网空口侧能够提供信令面、用户面的机密性和完整性保护，但仅能提供一套固定的接入层安全算法列表。并且在5G定制网部分场景下，公网用户和专网用户共享基站，这种情况下由于不同的行业客户可能存在不同的安全需求，那么当不同安全需求的用户接入同一个基站时，无法根据差异化的安全需求，对接入层的流量提供差异化的安全保护。

发明内容

针对现有技术中的问题，本发明的目的在于提供一种接入层安全算法处理方法、系统、设备及存储介质，解决现有的接入层安全算法处理方法无法根据差异化的安全需求，对接入层的流量提供差异化的安全保护问题。

为实现上述目的，本发明提供了一种接入层安全算法处理方法，所述方法包括以下步骤：

网络节点接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权；

当鉴权通过后，网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表；所述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系；

基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法；

所述基站和所述终端设备基于所述目标安全算法，进行双向通信。

可选地，所述注册请求信息包含所述终端设备的身份标识信息和关联所述终端设备的网络切片标识；

所述依据所述注册请求信息，对所述终端设备进行鉴权，包括：

依据所述身份标识信息和所述网络切片标识，对所述终端设备进行鉴权。

可选地，所述预设映射关系存储有网络切片标识和安全算法列表之间的第一映射关系；

所述网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表，包括：

网络节点依据预设映射关系，确定与所述网络切片标识匹配的目标安全算法列表。

可选地，所述依据所述注册请求信息，对所述终端设备进行鉴权，包括：

网络节点依据预设数据库，确定与所述终端设备的身份标识信息匹配的网络切片组；所述预设数据库中存储有终端设备的身份标识信息和网络切片组的第二映射关系；

网络节点判断所述网络切片组是否包含所述网络切片标识，若是，则鉴权通过；否则鉴权失败。

可选地，在所述网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表之后，还包括：

网络节点将所述目标安全算法列表发送至基站。

可选地，在所述基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法之后，还包括：

基站将所述目标安全算法列表发送至终端设备。

可选地，所述网络节点的网元包括AMF网元和UDM网元；所述网络节点接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权，包括：

AMF网元接收终端设备发送的身份标识信息和关联所述终端设备的网络切片标识；

UDM网元依据所述身份标识信息和所述网络切片标识，对所述终端设备进行鉴权。

可选地，所述网络节点将所述目标安全算法列表发送至基站，包括：

网络节点将所述目标安全算法列表保存在安全能力信息中，将所述安全能力信息发送至基站；

所述基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法，包括：

基站基于接收到的所述安全能力信息，获得目标安全算法列表；

基站将接所述安全能力信息保存在UE接入层安全上下文中，并向终端设备发送安全模式命令消息；所述安全模式命令消息包含所述安全能力信息。

可选地，所述基站和所述终端设备基于所述目标安全算法，进行双向通信，包括：

终端设备接收基站发送的目标安全算法列表，并依据所述目标安全算法列表，确定目标安全算法；

终端设备将流量信息通过所述目标安全算法进行加密，发送至基站；

基站将自网络节点接收到的流量信息通过所述目标安全算法进行加密，发送至终端设备。

本发明还提供了一种接入层安全算法处理系统，所述系统包括网络节点、终端设备和基站；

所述网络节点设置为，接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权；当鉴权通过后，依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表；所述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系；

所述基站设置为，基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法，并基于目标安全算法与终端设备进行通信；

终端设备设置为，向网络节点发送注册请求信息，接收基站发送的目标安全算法列表，自目标安全算法列表确定目标安全算法，并基于目标安全算法与基站进行通信。

本发明还提供了一种接入层安全算法处理系统，用于实现上述接入层安全算法处理方法，所述系统包括：

终端设备鉴权模块，网络节点接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权；

安全算法列表获取模块，当鉴权通过后，网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表；所述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系；

目标安全算法模块，基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法；

连接建立模块，所述基站和所述终端设备基于所述目标安全算法，进行双向通信。

本发明还提供了一种接入层安全算法处理设备，包括：

处理器；

存储器，其中存储有所述处理器的可执行程序；

其中，所述处理器配置为经由执行所述可执行程序来执行上述任意一项接入层安全算法处理方法的步骤。

本发明还提供了一种计算机可读存储介质，用于存储程序，所述程序被处理器执行时实现上述任意一项接入层安全算法处理方法的步骤。

本发明与现有技术相比，具有以下优点及突出性效果：

本发明提供的接入层安全算法处理方法、系统、设备及存储介质基于一个基站能够提供多套接入层安全算法列表，实现各个算法列表的独立配置，针对不同安全性需求的行业用户，能够独立选择个性化的安全算法，对接入层的流量提供差异化的安全保护，不必为不同需求的用户单独部署基站业务，利于提升运营商的各行业用户体验，也利于提高运营商部署业务的效率和便利性。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显。

图1为本发明一实施例公开的一种接入层安全算法处理方法的示意图；

图2为本发明一实施例公开的一种接入层安全算法处理方法中步骤S110的流程示意图；

图3为本发明另一实施例公开的一种接入层安全算法处理方法的示意图；

图4为本发明一实施例公开的一种接入层安全算法处理系统的结构示意图；

图5为本发明一实施例公开的一种接入层安全算法处理系统的结构示意图；

图6为本发明一实施例公开的一种接入层安全算法处理系统中终端设备鉴权模块的结构示意图；

图7为本发明一实施例公开的一种接入层安全算法处理系统的结构示意图；

图8为本发明一实施例公开的一种接入层安全算法处理设备的结构示意图；

图9为本发明一实施例公开的一种计算机可读存储介质的结构示意图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的实施方式。相反，提供这些实施方式使得本发明将全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的结构，因而将省略对它们的重复描述。

本发明实施例对接入层的安全算法处理方法进行详细说明。其中，接入层是负责UE(user equipment，用户设备，即本申请的终端设备)和基站之间通信的一个功能层，非接入层是负责UE和核心网(即本申请的网络节点)之间通信的一个功能层。接入层安全是指UE(终端设备)与基站之间的安全，主要包括执行RRC(Radio Resource Control,无线资源控制)信令的加密、完整性保护及用户数据的加密、完整性保护。非接入层安全是UE与核心网之间的安全，主要执行非接入层信令的加密和完整性保护。

示例性地，本申请针对的应用场景可以为终端设备由关机状态刚刚开机，需要接入5G核心网等网络进行认证，只有认证通过后，终端设备才能与基站建立安全连接。

如图1所示，本发明一实施例公开了一种接入层安全算法处理方法，该方法包括以下步骤：

S110，网络节点接收终端设备发送的注册请求信息，并依据上述注册请求信息，对上述终端设备进行鉴权。具体来说，在通信系统中，比如5G通信中，终端设备在接入网络时，终端设备与网络节点之间建立非接入层(Non-Access Stratum，简称NAS)信令连接，终端设备向网络节点发送NAS消息，NAS消息包含注册请求信息。

本实施例中，上述注册请求信息包含上述终端设备的身份标识信息和关联上述终端设备的网络切片标识。网络切片标识可以为网络切片ID。身份标识信息可以为SUPI(SUbscription Permanent Identifier,用户永久标识符)信息。与上述终端设备关联的网络切片ID，即为该终端设备接入该运营商的5G网络后，被允许访问的5G网络切片专用网络。

本实施例中，网络节点依据上述身份标识信息和上述网络切片标识，对上述终端设备进行鉴权。具体来说，网络节点先判断身份标识信息是否合法，也即是否属于该运营商的合法用户，若合法则依据身份标识信息判断该终端设备是否具有访问上述网络切片标识对应的网络切片专用网络的权限。若是则执行步骤S120。否则流程结束。身份标识信息不合法，流程也执行结束。

S120，当鉴权通过后，网络节点依据预设映射关系，确定与上述注册请求信息匹配的目标安全算法列表。上述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系。具体来说，上述预设映射关系存储有网络切片标识和安全算法列表之间的第一映射关系。每一个网络切片标识对应一套安全算法列表。网络节点依据预设映射关系，确定与上述注册请求信息中的网络切片标识匹配的目标安全算法列表。

每一套安全算法列表包含有多个接入层安全算法，并且多个接入层安全算法是按照优先级的顺序进行排列的。比如，按照优先级从高到低进行排序等，本申请对此不作限制。

该步骤中，网络节点确定目标安全算法列表之后，将上述目标安全算法列表发送至基站。具体来说，示例性地，网络节点可以将上述目标安全算法列表保存在安全能力信息中，将上述安全能力信息发送至基站。具体实施时，上述安全能力信息可以为UE 5G安全能力。

在本申请的另一实施例中，也可将用于加密保护的加密安全算法列表和用于完整性保护的完整性安全算法列表进行独立处理。比如，上述预设映射关系存储有网络切片标识和加密安全算法列表之间的映射关系，还包含有网络切片标识和完整性安全算法列表之间的映射关系。网络节点依据预设映射关系，分别确定与网络切片标识匹配的加密安全算法列表以及完整性安全算法列表。然后再分别在加密安全算法列表以及完整性安全算法列表中确定一加密安全算法和一完整性安全算法，分别用于实现对流量信息的加密保护和完整性保护。

S130，基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法。具体来说，该步骤中基站依据预设策略确定目标安全算法，比如将优先级最高的作为目标安全算法。并且，该步骤中，基站将上述目标安全算法列表发送至终端设备。具体实施时，基站可以自接收到的上述安全能力信息，获得目标安全算法列表。同时基站将接收到的上述安全能力信息保存在UE接入层安全上下文中，并通过空口向终端设备发送安全模式命令消息(即AS SMC消息)。上述安全模式命令消息包含上述安全能力信息。

S140，上述基站和上述终端设备基于上述目标安全算法，建立安全连接，进行双向通信。具体来说，该步骤中，终端设备接收到基站发送的目标安全算法列表之后，依据相同的预设策略确定目标安全算法。因此，终端设备和基站确定的目标安全算法是相同的，当确定目标安全算法相同之后，基站和上述终端设备之间建立安全连接，并基于目标安全算法进行双向通信。

也即，终端设备将流量信息通过上述目标安全算法进行加密，发送至基站。另一方面，基站将自网络节点接收到的流量信息通过上述目标安全算法进行加密，发送至终端设备。上述这两个步骤，即终端设备对流量信息进行加密和基站对流量信息进行加密，是没有先后顺序的，即两个步骤哪个先执行都可以。

在通信系统中，基站和终端设备即UE之间的接入层(Access Stratum，简称AS)信令连接中，存在AS安全机制，一旦安全连接建立，所有的AS层信令都会被安全保护，包括加密和完整性保护。

需要说明的是，在其他实施例中，上述基站确定的目标安全算法和终端设备确定的目标安全算法也可能是不相同的，此种情况下终端设备和基站利用预设好的协商策略进行协商，确定最终的目标安全算法，然后建立安全连接。该过程利用现有技术即可实现，本申请不再赘述。

如图2所示，在本申请的一实施例中，上述步骤S110具体包括：

S111，网络节点接收终端设备发送的注册请求信息；该注册请求信息包含终端设备的身份标识信息和关联终端设备的网络切片标识。

S112，网络节点判断所述身份标识信息是否合法，若是则执行步骤S113。若否，则执行步骤S116：鉴权失败，结束流程。也即，判断该身份标识信息是否为该运营商的用户，即是否具有访问该运营商网络的权限，该判断过程利用现有技术即可实现，本申请不再赘述。

S113，网络节点依据预设数据库，确定与上述终端设备的身份标识信息匹配的网络切片组。上述预设数据库中存储有终端设备的身份标识信息和网络切片组的第二映射关系。

S114，网络节点判断上述网络切片组是否包含注册请求信息中的网络切片标识。

若是，则执行步骤S115：鉴权通过。

若否，则执行步骤S116：鉴权失败，结束流程。

如图3所示，在本申请的一实施例中，公开了另一种接入层安全算法处理方法。该方法中，步骤S210与上述实施例中的步骤S110相同，步骤S220与上述实施例中的步骤S120相同，步骤S230与上述实施例中的步骤S130相同，步骤S260与上述实施例中的步骤S160相同。该方法还包括步骤：

S240，网络节点将上述目标安全算法列表保存在安全能力信息中，将上述安全能力信息发送至基站。

S250，基站自上述安全能力信息获得目标安全算法列表，同时将所述安全能力信息保存在UE接入层安全上下文中，并向终端设备发送安全模式命令消息。所述安全模式命令消息包含上述安全能力信息。

在本申请的另一实施例中，公开了另一种接入层安全算法处理方法。该方法在上述实施例的基础上，上述网络节点为5G核心网。上述网络节点的网元包括AMF(Access andMobility Management Function,接入及移动性管理功能)网元和UDM(Unified DataManagement,统一数据管理)网元。那么在上述步骤S110中，AMF网元接收终端设备发送的身份标识信息和关联上述终端设备的网络切片标识。

UDM网元依据上述身份标识信息和上述网络切片标识，对上述终端设备进行鉴权。

在本申请的另一实施例中，公开了另一种接入层安全算法处理方法。该方法在上述实施例的基础上，AMF网元中设有功能开启单元，功能开启单元用于控制是否开启接入层安全算法差异化控制功能。只有在开启时，才会执行步骤S110。否则就按照现有技术执行，选择接入层安全算法。

需要说明的是，本申请中公开的上述所有实施例可以进行自由组合，组合后得到的技术方案也在本申请的保护范围之内。

如图4所示，本发明一实施例还公开了一种接入层安全算法处理系统，上述系统包括网络节点21、终端设备22和基站23。

上述网络节点21设置为，接收终端设备22发送的注册请求信息，并依据上述注册请求信息，对上述终端设备22进行鉴权；当鉴权通过后，依据预设映射关系，确定与上述注册请求信息匹配的目标安全算法列表。上述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系。

上述基站23设置为，基于接收到的网络节点21发送的目标安全算法列表，确定目标安全算法，并基于目标安全算法与终端设备22进行通信。

终端设备22设置为，向网络节点21发送注册请求信息，接收基站23发送的目标安全算法列表，自目标安全算法列表确定目标安全算法，并基于目标安全算法与基站23进行通信。

本实施例中，上述网络节点21为5G核心网，上述网络节点21的网元包括AMF网元24和UDM网元25。AMF网元24接收终端设备22发送的身份标识信息和关联上述终端设备22的网络切片标识。UDM网元25依据上述身份标识信息和上述网络切片标识，对上述终端设备22进行鉴权。

如图5所示，本发明一实施例还公开了一种接入层安全算法处理系统3，该系统包括：

终端设备鉴权模块31，网络节点接收终端设备发送的注册请求信息，并依据上述注册请求信息，对上述终端设备进行鉴权。

安全算法列表获取模块32，当鉴权通过后，网络节点依据预设映射关系，确定与上述注册请求信息匹配的目标安全算法列表。上述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系。

目标安全算法模块33，基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法。

连接建立模块34，上述基站和上述终端设备基于上述目标安全算法，建立安全连接，进行双向通信。

可以理解的是，本发明的接入层安全算法处理系统还包括其他支持接入层安全算法处理系统运行的现有功能模块。图3显示的接入层安全算法处理系统仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

本实施例中的接入层安全算法处理系统用于实现上述的接入层安全算法处理的方法，因此对于接入层安全算法处理系统的具体实施步骤可以参照上述对接入层安全算法处理的方法的描述，此处不再赘述。

如图6所示，在本申请的另一实施例中，上述终端设备鉴权模块31包括：

注册请求信息接收单元311，网络节点接收终端设备发送的注册请求信息。该注册请求信息包含终端设备的身份标识信息和关联终端设备的网络切片标识。

网络切片组确定单元312，网络节点依据预设数据库，确定与上述终端设备的身份标识信息匹配的网络切片组。上述预设数据库中存储有终端设备的身份标识信息和网络切片组的第二映射关系。

切片标识鉴权单元313，网络节点判断上述网络切片组是否包含注册请求信息中的网络切片标识。若是，则鉴权通过。若否则鉴权失败，结束流程。

如图7所示，本申请的另一实施例还公开了一接入层安全算法处理系统。该系统在上述实施例的基础上，还包含有：

安全能力信息发送模块35，网络节点将上述目标安全算法列表保存在安全能力信息中，将上述安全能力信息发送至基站。

安全模式命令消息发送模块36，基站自上述安全能力信息获得目标安全算法列表，同时将所述安全能力信息保存在UE接入层安全上下文中，并向终端设备发送安全模式命令消息。所述安全模式命令消息包含上述安全能力信息。

本发明一实施例还公开了一种接入层安全算法处理设备，包括处理器和存储器，其中存储器存储有所述处理器的可执行程序；处理器配置为经由执行可执行程序来执行上述接入层安全算法处理方法中的步骤。图8是本发明公开的接入层安全算法处理设备的结构示意图。下面参照图8来描述根据本发明的这种实施方式的电子设备600。图8显示的电子设备600仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图8所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：至少一个处理单元610、至少一个存储单元620、连接不同平台组件(包括存储单元620和处理单元610)的总线630、显示单元640等。

其中，存储单元存储有程序代码，程序代码可以被处理单元610执行，使得处理单元610执行本说明书上述接入层安全算法处理方法部分中描述的根据本发明各种示例性实施方式的步骤。例如，处理单元610可以执行如图1中所示的步骤。

存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)6201和/或高速缓存存储单元6202，还可以进一步包括只读存储单元(ROM)6203。

存储单元620还可以包括具有一组(至少一个)程序模块6205的程序/实用工具6204，这样的程序模块6205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备600也可以与一个或多个外部设备700(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器660可以通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储平台等。

本发明还公开了一种计算机可读存储介质，用于存储程序，所述程序被执行时实现上述接入层安全算法处理方法中的步骤。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述接入层安全算法处理方法中描述的根据本发明各种示例性实施方式的步骤。

如上所示，该实施例的计算机可读存储介质的程序在执行时，基于一个基站能够提供多套接入层安全算法列表，实现各个算法列表的独立配置，针对不同安全性需求的行业用户，能够独立选择个性化的安全算法，对接入层的流量提供差异化的安全保护，不必为不同需求的用户单独部署基站业务，利于提升运营商的各行业用户体验，也利于提高运营商部署业务的效率和便利性。

图9是本发明的计算机可读存储介质的结构示意图。参考图9所示，描述了根据本发明的实施方式的用于实现上述方法的程序产品800，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

本发明实施例提供的接入层安全算法处理方法、系统、设备及存储介质基于一个基站能够提供多套接入层安全算法列表，实现各个算法列表的独立配置，针对不同安全性需求的行业用户，能够独立选择个性化的安全算法，对接入层的流量提供差异化的安全保护，不必为不同需求的用户单独部署基站业务，利于提升运营商的各行业用户体验，也利于提高运营商部署业务的效率和便利性。

以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims (13)

1.一种接入层安全算法处理方法，其特征在于，包括以下步骤：

网络节点接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权；

当鉴权通过后，网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表；所述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系；

基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法；

所述基站和所述终端设备基于所述目标安全算法，进行双向通信。

2.如权利要求1所述的接入层安全算法处理方法，其特征在于，所述注册请求信息包含所述终端设备的身份标识信息和关联所述终端设备的网络切片标识；

所述依据所述注册请求信息，对所述终端设备进行鉴权，包括：

依据所述身份标识信息和所述网络切片标识，对所述终端设备进行鉴权。

3.如权利要求2所述的接入层安全算法处理方法，其特征在于，所述预设映射关系存储有网络切片标识和安全算法列表之间的第一映射关系；

所述网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表，包括：

网络节点依据预设映射关系，确定与所述网络切片标识匹配的目标安全算法列表。

4.如权利要求2所述的接入层安全算法处理方法，其特征在于，所述依据所述注册请求信息，对所述终端设备进行鉴权，包括：

网络节点依据预设数据库，确定与所述终端设备的身份标识信息匹配的网络切片组；所述预设数据库中存储有终端设备的身份标识信息和网络切片组的第二映射关系；

网络节点判断所述网络切片组是否包含所述网络切片标识，若是，则鉴权通过；否则鉴权失败。

5.如权利要求1所述的接入层安全算法处理方法，其特征在于，在所述网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表之后，还包括：

网络节点将所述目标安全算法列表发送至基站。

6.如权利要求1所述的接入层安全算法处理方法，其特征在于，在所述基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法之后，还包括：

基站将所述目标安全算法列表发送至终端设备。

7.如权利要求2所述的接入层安全算法处理方法，其特征在于，所述网络节点的网元包括AMF网元和UDM网元；所述网络节点接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权，包括：

AMF网元接收终端设备发送的身份标识信息和关联所述终端设备的网络切片标识；

UDM网元依据所述身份标识信息和所述网络切片标识，对所述终端设备进行鉴权。

8.如权利要求5所述的接入层安全算法处理方法，其特征在于，所述网络节点将所述目标安全算法列表发送至基站，包括：

网络节点将所述目标安全算法列表保存在安全能力信息中，将所述安全能力信息发送至基站；

所述基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法，包括：

基站基于接收到的所述安全能力信息，获得目标安全算法列表；

基站将接所述安全能力信息保存在UE接入层安全上下文中，并向终端设备发送安全模式命令消息；所述安全模式命令消息包含所述安全能力信息。

9.如权利要求1所述的接入层安全算法处理方法，其特征在于，所述基站和所述终端设备基于所述目标安全算法，进行双向通信，包括：

终端设备接收基站发送的目标安全算法列表，并依据所述目标安全算法列表，确定目标安全算法；

终端设备将流量信息通过所述目标安全算法进行加密，发送至基站；

基站将自网络节点接收到的流量信息通过所述目标安全算法进行加密，发送至终端设备。

10.一种接入层安全算法处理系统，其特征在于，所述系统包括网络节点、终端设备和基站；

所述网络节点设置为，接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权；当鉴权通过后，依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表；所述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系；

所述基站设置为，基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法，并基于目标安全算法与终端设备进行通信；

终端设备设置为，向网络节点发送注册请求信息，接收基站发送的目标安全算法列表，自目标安全算法列表确定目标安全算法，并基于目标安全算法与基站进行通信。

11.一种接入层安全算法处理系统，用于实现如权利要求1所述的接入层安全算法处理方法，其特征在于，所述系统包括：

终端设备鉴权模块，网络节点接收终端设备发送的注册请求信息，并依据所述注册请求信息，对所述终端设备进行鉴权；

安全算法列表获取模块，当鉴权通过后，网络节点依据预设映射关系，确定与所述注册请求信息匹配的目标安全算法列表；所述预设映射关系存储有注册请求信息和安全算法列表之间的第一映射关系；

目标安全算法模块，基站基于接收到的网络节点发送的目标安全算法列表，确定目标安全算法；

连接建立模块，所述基站和所述终端设备基于所述目标安全算法，进行双向通信。

12.一种接入层安全算法处理设备，其特征在于，包括：

处理器；

存储器，其中存储有所述处理器的可执行程序；

其中，所述处理器配置为经由执行所述可执行程序来执行权利要求1至9中任意一项所述接入层安全算法处理方法的步骤。

13.一种计算机可读存储介质，用于存储程序，其特征在于，所述程序被处理器执行时实现权利要求1至9中任意一项所述接入层安全算法处理方法的步骤。

Images