NAS和AS初始安全模式命令过程的方法 【技术领域】
本发明涉及移动通信技术，尤其涉及一种NAS(Non-Access Stratum，NAS)和AS(Access Stratum，AS)初始安全模式命令过程的方法。
背景技术
LTE(Long Term Evolution，移动通信长期演进)系统网络侧E-UTRAN(Evolved Universal Terrestrial Radio Access，演进通用陆地无线接入网络)由基站设备eNodeB(演进节点B)和核心网设备MME(Mobility ManagementEntity，移动管理实体)构成，用户终端设备(User Equipment，UE)通过无线空中接口与eNodeB及MME进行信令和数据的交互。
在LTE协议构架中，协议层被分成了非接入层和接入层。LTE系统中的安全保护机制在非接入层和接入层中采用了不同的安全模式命令过程来激活各自的完整性和加密功能。AS的安全模式命令过程配置有RRC(RadioResource Control，无线资源控制协议)信令和用户面的安全算法，NAS的安全模式命令过程配置有NAS信令的安全算法。
UE与E-UTRAN之间进行的初始安全模式命令过程如下：
(1)UE发起ATTACH(附着)请求，并触发UE的AS层发起RRC连接建立过程；
(2)UE的AS层完成RRC连接建立过程后，由E-UTRAN对UE进行鉴权，并下发鉴权消息；UE收到鉴权消息后进行鉴权计算得到密钥，并向E-UTRAN返回鉴权响应消息；
(3)E-UTRAN开始进行AS层的初始安全模式命令过程；
AS层的初始安全模式命令过程，包括以下步骤：
步骤1：E-UTRAN侧的eNodeB通过空口向UE发送SecurityModeCommand(安全模式命令)消息，其中携带有本地预设的AS层的安全算法等参数，该安全算法中可包括完整性保护算法(integrityProtAlgorithm)和加密算法；
步骤2：UE收到SecurityModeCommand消息后，请求底层PDCP(PacketData Convergence Protocol，分组数据汇聚协议)对该消息进行完整性保护校验，校验算法采用SecurityModeCommand消息中携带的integrityProtAlgorithm：
如果校验通过，则指示底层向eNodeB发送SecurityModeComplete(安全模式完成)消息，且对该消息进行完整性保护，并在后续对与eNodeB交互的消息和数据进行完整性保护和加密，此时认为AS层的安全模式已激活；
如果校验不通过，指示底层向eNodeB传输SecurityModeFailure(安全模式失败)消息，且对后续与eNodeB交互的消息和数据不使用加密和完整性保护，AS安全激活过程失败。
(4)E-UTRAN开始进行NAS层的初始安全模式命令过程；
NAS层的初始安全模式命令过程，包括以下步骤：
步骤1：E-UTRAN侧的MME通过空口向UE发送SECURITY MODECOMMAND(安全模式命令)消息，该消息中指定将要使用何种安全上下文对NAS消息进行完整性保护和加密保护，并使用Kasme字段指示需要投入使用或者修改的EPS(Evolved Packet System，演进分组系统)安全上下文。MME仅对SECURITY MODE COMMAND消息进行完整性保护而不加密；
步骤2：UE收到SECURITY MODE COMMAND消息后请求底层PDCP对该消息进行完整性保护校验；
消息中携带的IE(Information Element，信息要素)“Replayed”供UE检查与之前通过附着请求发送给MME的是否一致。若UE对SECURITYMODE COMMAND消息的完整性检查通过，且上述Replayed UE securitycapabilities和Replayed NONCEUE(要使用mapped安全上下文时检查)分别与通过附着请求发送给MME的UE security capabilities和NONCEUE一致，则校验通过。
在校验通过后，UE需要使用MME指定的安全上下文，并向MME发送SECURITY MODE COMPLETE消息，且对该消息进行完整性保护和加密，此时认为NAS层的安全模式已激活。此外，如MME在发送给SECURITYMODE COMMAND消息中携带有IMEISV request(IMEI(International MobileEquipment Identity，国际移动设备身份码)版本请求)，则UE还需要在回复给MME的SECURITY MODE COMPLETE消息中携带IMEI的版本信息。
如果UE不接受SECURITY MODE COMMAND(即UE对SECURITYMODE COMMAND消息的完整性检查没通过，或上述Replayed UE securitycapabilities与通过附着请求发送给MME的UE security capabilities不一致，可相应地返回原因值#23表示UE security capabilities mismatch(UE参数不匹配)，或#24表示security mode rejected，unspecified(MAC(Media AccessControl，介质访问控制)检查失败))，则向MME回复SECURITY MODEREJECT消息，并且不需要对该消息进行完整性保护。UE和MME将恢复使用失败的SECURITY MODE COMPLETE规程之前的EPS安全上下文。
初始安全模式命令过程完成后，UE和E-UTRAN继续执行后续空口消息的交互过程。
综上所述，可以看出在NAS和AS初始安全模式命令过程中，UE多次与E-UTRAN进行空口信令交互，浪费了系统资源。
【发明内容】
本发明要解决的技术问题是提供一种NAS和AS初始安全模式命令过程的方法，以简化UE和E-UTRAN间空口信令的交互和处理。
为解决上述问题，本发明提供了一种NAS和AS初始安全模式命令过程的方法，应用于LTE系统中的E-UTRAN，包括：
演进节点B(eNodeB)在完成对用户设备(UE)的鉴权后，请求移动管理实体(MME)向所述eNodeB回复NAS层的安全算法及Replayed字段信息；所述eNodeB收到所述NAS层的安全算法后，通过SecurityModeCommand消息将本地的AS层安全算法和接收到的NAS层安全算法及Replayed字段信息通知给UE；UE收到后，先后对该消息进行完整性保护校验及Replayed字段比较，如完整性保护校验通过且Replayed字段的值与附着请求中对应字段的值一致，则激活AS层和NAS层的安全模式。
进一步地，上述方法还可包括：
在判断出所述SecurityModeCommand消息通过完整性保护校验且Replayed字段的值与附着请求中的值一致后，所述UE向所述eNodeB发送携带表示NAS层安全模式已激活的状态标志的SecurityModeComplete消息，并对该消息进行完整性保护；所述eNodeB收到后，通知所述MME该UE的AS层和NAS层的安全模式已激活。
进一步地，上述方法还可具有以下特征：
如所述SecurityModeCommand消息中携带有国际移动设备身份码(IMEI)版本请求，则所述UE在向所述eNodeB发送的所述SecurityModeComplete消息中添加IMEI版本信息。
进一步地，上述方法还可包括：
如果所述SecurityModeCommand消息没有通过完整性保护校验，则所述UE向所述eNodeB发送SecurityModeFailure消息。
进一步地，上述方法还可包括：
所述eNodeB在收到所述SecurityModeFailure消息后，重新发起AS层和NAS层的初始安全模式命令过程。
进一步地，上述方法还可包括：
如果所述UE判断出Replayed字段的值与所述附着请求中的对应字段的值不一致，则向所述eNodeB发送携带表示NAS层安全模式未激活的状态标志地SecurityModeComplete消息，并对该消息进行完整性保护；
所述eNodeB收到后，通知所述MME该UE的NAS层的安全模式命令过程失败。
进一步地，上述方法还可具有以下特征：
所述UE在向所述eNodeB发送的所述SecurityModeComplete消息中携带演进分组系统移动管理(EMM)cause字段，用于指示NAS安全模式激活失败的原因。
进一步地，上述方法还可包括：
所述MME在获知所述UE的NAS层的安全模式命令过程失败后，重新向所述UE发起NAS安全模式命令过程。
进一步地，上述方法还可具有以下特征：
所述eNodeB在收到所述NAS层的安全算法后，通过所述SecurityModeCommand消息将本地的AS层安全算法和接收到的NAS层安全算法发送给所述UE是指：所述eNodeB比较所述AS层安全算法和所述NAS层安全算法，如二者一致，则通过所述SecurityModeCommand消息将所述AS层安全算法发送给所述UE。
进一步地，上述方法还可具有以下特征：
所述UE对收到的所述SecurityModeCommand消息进行完整性保护校验是指：所述UE利用所述SecurityModeCommand消息中携带的AS层安全算法对所述SecurityModeCommand消息进行完整性保护校验。
与现有技术相比较，本发明通过将原来分别发送的NAS和AS初始安全模式命令过程合并为一个过程，简化了空口上E-UTRAN和UE之间的信令交互，同时也减少了UE相应的完整性保护校验等操作，节省了系统资源。
【附图说明】
图1是本发明实施例中UE与E-UTRAN间NAS和AS初始安全模式命令过程成功情况的信令交互流程；
图2是本发明实施例中UE与E-UTRAN间NAS和AS初始安全模式命令过程失败情况的信令交互流程；
【具体实施方式】
下面将结合附图及实施例对本发明的技术方案进行更详细的说明。
本发明所述方法的基本构思是：E-UTRAN侧的eNodeB在完成对UE的鉴权后，向MME请求回复NAS层的安全算法(包括NAS层的加密算法和完整性保护算法)及Replayed字段信息；eNodeB收到后，通过SecurityModeCommand消息将本地的AS层安全算法和接收到的NAS层安全算法及Replayed字段信息发送给UE；UE收到后，对该消息进行完整性保护校验及Replayed字段比较，如完整性保护校验通过且Replayed字段的值与附着请求中的相应字段的值一致，则激活AS层和NAS层的安全模式。其中，该附着请求为UE在向E-UTRAN侧发起的附着过程中的ATTACH(附着)请求。
在判断出SecurityModeCommand消息通过完整性保护校验且Replayed字段的值与附着请求中相应字段的值一致后，UE还需要向eNodeB发送携带表示NAS层安全模式已激活的状态标志的SecurityModeComplete消息，并对该消息进行完整性保护；eNodeB收到后，通知MME该UE的AS层和NAS层的安全模式已激活。
如果SecurityModeCommand消息没有通过完整性保护校验，则UE向eNodeB发送SecurityModeFailure消息。eNodeB收到后，可选择重新发起AS和NAS的初始安全模式命令过程。
如果UE判断出SecurityModeCommand消息通过完整性保护校验且Replayed字段的值与附着请求中相应字段的值不一致，则UE还需要向eNodeB发送携带表示NAS层安全模式未激活的状态标志的SecurityModeComplete消息，并对该消息进行完整性保护；eNodeB收到后，通知MME该UE的NAS层的安全模式命令过程失败。
具体的，NAS和AS初始安全模式命令过程的方法包括以下步骤：
1、当UE与E-UTRAN的初始安全模式命令过程发生时，UE在完成与E-UTRAN的鉴权过程，获得Kasme等密钥后，E-UTRAN的MME在eNodeB的请求下将NAS安全信息发送给eNodeB，其中至少包括NAS层的完整性保护算法、加密算法及Replayed UE security capabilities，还可以包括：选择的密钥设置指示(用于指示UE使用哪一套密钥，以及密钥的类型是制式内或其他制式映射过来的安全上下文)和/或IMEISV request字段；
2、eNodeB收到MME发来的NAS安全信息后，将其选择的安全算法同本地预设的AS层安全算法进行比较，如果相同，则可在发送给UE的SecurityModeCommand消息只包含AS层安全算法字段，否则在该消息包含AS层安全算法字段和NAS层安全算法字段。另外，在该消息后部可增加NAS的选择的密钥设置指示、Replayed UE security capabilities及IMEISVrequest字段信息；
3、UE收到SecurityModeCommand消息后，请求底层PDCP对该消息进行完整性保护校验，校验算法采用SecurityModeCommand中携带的AS层安全算法字段中的integrityProtAlgorithm；
4、如果完整性保护校验通过，UE的AS层将NAS层的相关安全信息转发给NAS层，否则执行步骤7；
5、NAS层如判断出NAS层相关的安全信息中的Replayed UE securitycapabilities和Replayed nonceUE(要使用mapped安全上下文时检查)无误，则使用NAS层安全信息中MME指定的安全上下文，并返回NAS安全模式命令成功消息给AS层，且根据网络侧的要求附加IMEISV信息，否则返回安全模式命令失败消息给AS层；
6、AS层根据NAS层返回的消息，对SecurityModeComplete消息进行完整性保护，并对应地将表示NAS安全模式是否激活的状态标志包含在消息字段中后，将该消息发送给E-UTRAN，然后执行步骤8。如果需要附加IMEISV信息，则在该消息后附加IMEISV信息字段。
其中，当状态标志的值为True时，可表示NAS安全过程激活成功；当状态标志的值为False时，可表示NAS安全过程激活失败。
如果NAS安全激活标识成功，可选择附加IMEISV信息字段。
如果NAS安全激活标识失败，需附加EMM(EPS Mobility Management，EPS移动管理)cause字段。
7、AS不使用加密和完整性保护，指示底层向eNodeB传输SecurityModeFailure消息，安全激活过程失败。
8、E-UTRAN根据UE发送的消息，判断是否需要重新激活AS层和NAS层，或者单独激活NAS层的安全模式，即当接收到SecurityModeComplete消息且判断出该消息中携带表示NAS安全模式未激活的状态标志时，则可选择单独激活NAS层的安全模式，激活方法可采用现有技术中NAS层的安全模式命令过程；当接收到SecurityModeComplete消息且判断出该消息中携带表示NAS安全模式已激活的状态标志时，则表示已激活AS层和NAS层的安全模式命令过程；如接收到SecurityModeFailure消息，则可选择重新激活AS层和NAS层安全模式命令过程。
下面用本发明的两个应用实例进一步加以说明。
如图1所示，UE与E-UTRAN间NAS和AS初始安全模式命令过程成功情况下包含以下步骤：
步骤1：E-UTRAN准备发起NAS和AS初始安全模式命令过程，eNodeB发送消息给MME，请求MME发送NAS安全信息给eNodeB；
步骤2：MME将NAS安全信息反馈给eNodeB；
步骤3：eNodeB合并NAS和AS的安全信息，将其选择的算法同AS层安全算法进行比较，如果相同，则在空口消息信令SecurityModeCommand只包含AS层算法字段，否则将分别包含AS层安全算法字段和NAS安全算法字段；
步骤4：eNodeB发送上述空口消息SecurityModeCommand给UE；
步骤5：UE的RRC模块收到SecurityModeCommand后，请求PDCP模块对该消息进行完整性保护校验，校验算法用SecurityModeCommand中携带的AS层安全算法中的integrityProtAlgorithm；
步骤6：判断完整性保护校验是否成功，如果成功则进入步骤7；
步骤7：RRC模块将SecurityModeCommand中携带的NAS安全相关信息字段发送给EMM模块；
步骤8：EMM判断字段中的Replayed UE security capabilities和ReplayednonceUE(要使用mapped安全上下文时检查)是否正确，如果正确则进入步骤9；
步骤9：EMM发送NAS安全判断成功消息给RRC，告知NAS安全判断过程成功，如果有网络侧请求的IMEISV字段则附带IMEISV信息给RRC；
步骤10：RRC发送空口消息SecurityModeComplete消息给eNodeB，消息中包含NAS安全激活标识，其值被置为True，标识NAS和AS安全模式都成功激活。如果有EMM发来的IMEISV信息，则在该消息后附加IMEISV信息字段；
步骤11：eNodeB收到SecurityModeComplete消息后判断NAS安全激活标识是否为True，如果是则发送消息通知MME NAS安全过程激活成功，如果有IMEISV信息，将附带该信息给MME。
如图2所示，UE与E-UTRAN间NAS和AS初始安全模式命令过程失败情况下包含以下步骤：
步骤1：E-UTRAN准备发起NAS和AS初始安全模式命令过程，eNodeB发送消息给MME，请求MME发送NAS安全信息给eNodeB；
步骤2：MME将NAS安全信息通过消息发送给eNodeB；
步骤3：eNodeB合并NAS和AS的安全信息，将其选择的算法同AS层安全算法进行比较，如果相同，则在空口消息信令SecurityModeCommand只包含AS层算法字段，否则将分别包含AS层安全算法字段和NAS安全算法字段；
步骤4：eNodeB发送上述空口消息SecurityModeCommand给UE；
步骤5：UE的RRC模块收到SecurityModeCommand，请求PDCP模块对该消息进行完整性保护校验，校验算法用SecurityModeCommand中携带的AS层安全算法中的integrityProtAlgorithm；
步骤6：判断完整性保护校验是否成功，如果失败则进入步骤7，如果成功则进入步骤9；
步骤7：RRC发送SecurityModeFailure消息给eNodeB，告知安全模式命令过程失败；
步骤8：eNodeB准备重新发起下一次NAS和AS安全模式命令过程。本次安全模式命令过程结束；
步骤9：RRC模块将SecurityModeCommand中携带的NAS层的相关安全信息字段发送给EMM模块；
步骤10：EMM判断字段中的Replayed UE security capabilities和Replayed nonceUE(要使用mapped安全上下文时检查)是否正确，如果失败则进入步骤11；
步骤11：EMM发送NAS安全判断失败消息给RRC，告知NAS安全判断过程失败，并附加EMM安全失败原因；
步骤12：RRC发送空口消息SecurityModeComplete消息给eNodeB，消息中包含NAS安全激活标识，其值被置为False，标识NAS层安全模式激活失败。并附加EMM cause字段告知网络侧失败原因；
步骤13：eNodeB收到SecurityModeComplete消息后判断NAS安全激活标识，如果是False则发送消息通知MME NAS安全过程激活失败，并附加EMM cause原因给MME；
步骤14：MME收到后根据失败原因准备重新发起下一次NAS安全模式命令过程，本次NAS和AS安全模式命令过程结束。
当然，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。