[发明专利]NAS层信令的保护方法和设备

权利要求书

1.一种非接入层NAS层信令的保护方法，其特征在于，至少包括以下步骤：

移动性管理实体MME根据终端设备所对应的算法选择规则，选择高级加密标准AES算法，其中，所述AES算法具体包括128位或其他位数的完整性保护算法EIA，以及128位或其他位数的加密算法EEA；

所述MME向所述终端设备发送通过所述AES算法进行保护的安全模式命令security mode command消息，所述security mode command消息中携带所述AES算法中所包括的EIA和EEA的位数信息；

所述MME接收所述终端设备发送的通过所述AES算法进行保护的安全模式完成security mode complete消息，建立NAS层安全过程。

2.如权利要求1所述的方法，其特征在于，所述MME根据终端设备所对应的算法选择规则，选择AES算法之前，还包括：

所述MME将可供选择的AES算法的信息集合发送给所述终端设备，所述可供选择的AES算法的信息集合至少包括128位和其他位数的完整性保护算法EIA，以及128位和其他位数的加密算法EEA。

3.如权利要求1所述的方法，其特征在于，所述MME根据终端设备所对应的算法选择规则，选择AES算法，具体为：

所述MME根据所述终端设备的安全能力信息，并结合所述MME自身支持的算法能力，以及可供选择的AES算法的信息集合中包含的算法优先级信息，为所述终端设备选择AES算法。

4.如权利要求1或3所述的方法，其特征在于，所述EIA和所述EEA，具有相同算法位数或不同算法位数。

5.如权利要求1所述的方法，其特征在于，所述MME向所述终端设备发送通过所述AES算法进行保护的security mode command消息，具体包括：

所述MME根据演进分组系统EPS鉴权向量中的密钥，和所述AES算法中所包括的EIA和EEA，分别生成相应位数的完整性保护密钥和加密密钥；

所述MME通过所述完整性保护密钥和加密密钥对security mode command消息进行保护处理；

所述MME将保护处理后的security mode command消息发送给所述终端设备。

6.如权利要求1所述的方法，其特征在于，所述security mode command消息中携带所述AES算法中所包括的EIA和EEA的位数信息的方式，具体包括：

通过所述security mode command消息中的密钥长度字段中的信息，携带所述AES算法中所包括的EIA和EEA的位数信息；或，

通过所述security mode command消息中的NAS安全算法规则NAS security algorithms字段中的信息，携带所述AES算法中所包括的EIA和EEA的位数信息。

7.如权利要求6所述的方法，其特征在于，所述密钥长度字段，具体为代替备用半字节Spare half octet字段，添加到所述所述security mode command消息中的字段，所述密钥长度字段的长度为半字节；

所述密钥长度字段中的信息内容，具体为所述EIA的位数信息和EEA的位数信息所对应的位数组合的标识信息。

8.如权利要求6所述的方法，其特征在于，所述NAS security algorithms字段中的信息，具体包括：

所述EIA的位数信息的标识信息和EEA的位数信息的标识信息。

9.如权利要求1所述的方法，其特征在于，所述MME接收所述终端设备发送的通过所述AES算法进行保护的security mode complete消息，建立NAS层安全过程，具体为：

所述MME根据所述AES算法对所述security mode complete消息进行验证；

当验证成功时，所述MME确定安全上下文建立成功，完成NAS层安全过程的建立。

10.如权利要求1所述的方法，其特征在于，所述MME接收所述终端设备发送的通过所述AES算法进行保护的security mode complete消息，建立NAS层安全过程之后，还包括：

所述MME与所述终端设备之间传输通过所述AES算法进行保护的其他NAS信令。