Ran and UE negotiating for slice specific security configuration

Abstract

Various example embodiments relate to devices, methods, apparatuses and computer readable mediums supporting slice specific security configuration. In an example embodiment, a terminal device may comprise at least one processor and at least one memory storing instructions that, when executed by the at least one processor, cause the terminal device at least to report capability of supporting slice specific security configuration to a core network device, and to receive a security configuration specific to a network slice from a radio access network device in association with the core network device.

Description

RAN AND UE NEGOTIATING FOR SLICE SPECIFIC SECURITY CONFIGURATIONTECHNICAL FIELD

[0001] Various example embodiments described herein generally relate to communication technologies, and more particularly, to devices, methods, apparatuses and computer readable mediums supporting slice specific security configuration.BACKGROUND

[0002] Certain abbreviations that may be found in the description and / or in the figures are herewith defined as follows: AMF            Access and Mobility Management Function AS             Access Stratum CN             Core Network CP             Control Plane CU             Centralized Unit DU             Distributed Unit eMBB           enhanced Mobile Broadband KDF            Key Derivation Function mIoT           Massive Internet of Things N2             Reference Point between (R) AN and AMF N3             Reference Point between (R) AN and UPF PDU            Protocol Data Unit RAN            Radio Access Network SMF            Session Management Function S-NSSAI        Single Network Slice Selection Assistance Information UE             User Equipment UPF            User Plane Function uRLLC        ultra Reliable Low Latency Communication

[0003] Network slicing is a key feature and business driver for 5G and beyond, which enables carriers to build multiple virtualized logical networks on a shared physical network to meet different requirements of different customers for network capabilities. Each logical network on top of the shared physical network is called network slice, or slice for short. Since the multiple network slices are deployed on the common physical infrastructure, isolation between the slices is needed in order to ensure security and reliability of services provided through the network slices.SUMMARY

[0004] A brief summary of exemplary embodiments is provided below to provide basic understanding of some aspects of various embodiments. It should be noted that this summary is not intended to identify key features of essential elements or define scopes of the embodiments, and its sole purpose is to introduce some concepts in a simplified form as a preamble for a more detailed description provided below.

[0005] In a first aspect, an example embodiment of a terminal device is provided. The terminal device may comprise at least one processor and at least one memory. The at least one memory stores instructions which, when executed by the at least one processor, cause the terminal device at least to receive system information indicative of capability for supporting slice specific security configuration from at least one radio access network device, and to select one of the at least one radio access network device to connect to based on the system information.

[0006] In a second aspect, an example embodiment of a radio access network (RAN) device is provided. The RAN device may comprise at least one processor and at least one memory. The at least one memory stores instructions which, when executed by the at least one processor, cause the RAN device at least to broadcast system information indicative of capability for supporting slice specific security configuration, and to receive a random access request from a terminal device  having the capability of supporting slice specific security configuration.

[0007] In a third aspect, an example embodiment of a terminal device is provided. The terminal device may comprise at least one processor and at least one memory. The at least one memory stores instructions which, when executed by the at least one processor, cause the terminal device at least to report capability of supporting slice specific security configuration to a core network device, and to receive a security configuration specific to a network slice from a radio access network device in association with the core network device.

[0008] In a fourth aspect, an example embodiment of a radio access network (RAN) device is provided. The RAN device may comprise at least one processor and at least one memory. The at least one memory stores instructions which, when executed by the at least one processor, cause the RAN device at least to report capability of supporting slice specific security configuration to a core network device, to receive a security configuration specific to a network slice from the core network device, and to send the security configuration specific to the network slice to a terminal device supporting the network slice.

[0009] In a fifth aspect, an example embodiment of a core network (CN) device is provided. The CN device may comprise at least one processor and at least one memory. The at least one memory stores instructions which, when executed by the at least one processor, cause the CN device at least to receive first information of capability for supporting slice specific security configuration from a radio access network device, to receive second information of capability for supporting slice specific security configuration from a terminal device served by the radio access network device, and to determine whether to use slice specific security configuration for a network slice based on the first capability information, the second capability information, and a security policy specific to the network slice.

[0010] Example embodiments of methods, apparatuses and computer readable mediums supporting slice specific security configuration are also provided. Such example embodiments generally correspond to the above example embodiments of the terminal device, the radio access network device and the core network device,  and a repetitive description thereof is omitted here for convenience.

[0011] Other features and advantages of the example embodiments of the present disclosure will also be apparent from the following description of specific embodiments when read in conjunction with the accompanying drawings, which illustrate, by way of example, the principles of example embodiments of the present disclosure.BRIEF DESCRIPTION OF THE DRAWINGS

[0012] Some example embodiments will now be described, by way of non-limiting examples, with reference to the accompanying drawings.

[0013] Fig. 1 is a schematic diagram illustrating multiple network slices logically isolated from each other based on tenant.

[0014] Fig. 2A is a schematic block diagram illustrating resource isolation between network slices supported at a user equipment device.

[0015] Fig. 2B is a schematic block diagram illustrating resource isolation between network slices supported at different user equipment devices.

[0016] Fig. 3 is a message flow chart illustrating a process according to an example embodiment of the present disclosure.

[0017] Fig. 4 is a message flow chart illustrating a process according to an example embodiment of the present disclosure.

[0018] Fig. 5 is a message flow chart illustrating a process according to an example embodiment of the present disclosure.

[0019] Fig. 6 is a flow chart illustrating a method according to an example embodiment of the present disclosure.

[0020] Fig. 7 is a flow chart illustrating a method according to an example embodiment of the present disclosure.

[0021] Fig. 8 is a flow chart illustrating a method according to an example embodiment of the present disclosure.

[0022] Fig. 9 is a flow chart illustrating a method according to an example embodiment of the present disclosure.

[0023] Fig. 10 is a flow chart illustrating a method according to an example embodiment of the present disclosure.

[0024] Fig. 11 is a schematic block diagram illustrating an apparatus according to an example embodiment of the present disclosure.

[0025] Fig. 12 is a schematic block diagram illustrating an apparatus according to an example embodiment of the present disclosure.

[0026] Fig. 13 is a schematic block diagram illustrating an apparatus according to an example embodiment of the present disclosure.

[0027] Fig. 14 is a schematic block diagram illustrating an apparatus according to an example embodiment of the present disclosure.

[0028] Fig. 15 is a schematic block diagram illustrating an apparatus according to an example embodiment of the present disclosure.

[0029] Fig. 16 is a schematic block diagram illustrating devices in a communication system according to an example embodiment of the present disclosure.

[0030] Throughout the drawings, same or similar reference numbers indicate same or similar elements. A repetitive description on the same elements would be omitted.DETAILED DESCRIPTION

[0031] Herein below, some example embodiments are described in detail with reference to the accompanying drawings. The following description includes specific details for the purpose of providing a thorough understanding of various concepts. However, it will be apparent to those skilled in the art that these concepts may be practiced without these specific details. In some instances, well known circuits, techniques and components are shown in block diagram form to avoid obscuring the described concepts and features.

[0032] A solution for slice isolation includes network resource and data isolation. Isolation group with isolation profile / policies for each group has been proposed to implement the resource and data isolation in multiple domains. Fig. 1  schematically illustrates multiple isolation groups (IGs) for different tenants. As shown in Fig. 1, Tenant A requests from a network operator a slice to provide an enhanced Mobile Broadband (eMBB) service and a slice to provide a Massive Internet of Things (mIoT) service. No isolation is required between the eMBB slice (SliceA-eMBB-1) and the mIoT slice (SliceA-mIoT-1) of Tenant A, but the two slices are required to be logically isolated from other slices. Tenant B subscribes a slice to support an ultra Reliable Low Latency Communication (uRLLC) service, and the uRLLC slice (SliceB_uRLL-1) is required to be physically and logically isolated from other slices. In addition, the network operator provides two eMBB slices that share resources but logically isolated from other slices. In this case, the eMBB slice SliceA_eMBB-1 and the mIoT slice SliceA_mIoT-1 of Tenant A are assigned to an isolation group IG_Tenant-Athat is logically isolated from other slices / groups, and the uRLLC slice SliceB_uRLLC-1 of Tenant B is assigned to an isolation group IG_Tenant-B that is physically and logically isolated from other slices / groups. The two eMBB slices SliceO_eMBB-1, SliceO_eMBB-2 of the network operator are assigned, based on slice / service type (SST) , to an isolation group IG_SST-eMBB-common that is logically isolated from other slices / groups.

[0033] Fig. 2A is a schematic block diagram illustrating resource isolation between network slices supported at a user equipment (UE) device. A split architecture of a radio access network (RAN) and a 5G core network (5GC) are shown in Fig. 2A as an example, but example embodiments of the present disclosure are not limited thereto.

[0034] Referring to Fig. 2A, a user equipment device UE#1 supports two eMBB slices S-NSSAI#1, S-NSSAI#4, and a mIoT slice S-NSSAI#3. Here S-NSSAI stands for Single Network Slice Selection Assistance Information, which is used to uniquely identify a network slice. The isolation requirements of the slices S-NSSAI#3, S-NSSAI#4 are the same, both require to isolate user plane (UP) data from other network slices, but with no restriction on control plane (CP) .

[0035] The RAN has a CU-DU split architecture including a centralized unit (CU) for supporting higher protocol layers such as Service Data Adaptation Protocol  (SDAP) , Radio Resource Control (RRC) and Packet Data Convergence Protocol (PDCP) , and a distributed unit (DU) supporting lower protocol layers such as Radio Link Control (RLC) , Media Access Control (MAC) , and Physical (PHY) layer. The CU is further divided into control plane (CU-CP) hosting the RRC layer and the PDCP in CP layer, and user plane (CU-UP) hosting the SDAP layer and the PDCP in UP layer.

[0036] In the example shown in Fig. 2A, two CU-UP nodes in the RAN, i.e. CU-UP-1 and CU-UP-2, and two user plane functions (UPFs) in the core network, i.e. UPF-1 and UPF-2, are deployed to meet the solation requirements of the slices supported at UE#1. The two UPFs may be associated with different Session Management Functions (SMFs) , e.g. SMF1 and SMF2, or with the same SMF. In the user plane, the slice S-NSSAI#1 is connected via CU-UP-1 to UPF1, while the slices S-NSSAI#3, S-NSSAI#4 are connected via CU-UP-2 to UPF2. Therefore, the UP data of the slices S-NSSAI#3, S-NSSAI#4 are isolated from the UP data of the slice S-NSSAI#1. In the control plane, UE#1 is connected via CU-CP to an Access and Mobility Management Function (AMF) in the core network.

[0037] Fig. 2B shows a similar example, except that the slice S-NSSAI#1 and the slices S-NSSAI#3, S-NSSAI#4 are supported at different UEs, and the slices S-NSSAI#3, S-NSSAI#4 are further required to be isolated in the control plane from other slices. Referring to Fig. 2B, two CU-CP nodes in the RAN, i.e. CU-CP-1 and CU-CP-2, and two AMFs in the core network, i.e. AMF-1 and AMF-2 are deployed to meet the isolation requirements of the slices S-NSSAI#3, S-NSSAI#4. The AMF-1, AMF-2 are connected to the SMF1, SMF2, respectively. In the user plane, the slice S-NSSAI#1 is connected via CU-UP-1 to UPF1, while the slices S-NSSAI#3, S-NSSAI#4 are connected via CU-UP-2 to UPF2. Therefore, the UP data of the slices S-NSSAI#3, S-NSSAI#4 are isolated from the UP data of the slice S-NSSAI#1. In the control plane, UE#1 is connected via CU-CP-1 to AMF-1 and then SMF-1, while UE#2 is connected via CU-CP-2 to AMF-2 and then SMF-2. Therefore, the slices S-NSSAI#3, S-NSSAI#4 are also isolated in the control plane from the slice S-NSSAI#1.

[0038] It is important for security of the network slices that isolation policies are well designed and effectively enforced. Weak network slice isolation may compromise security of the entire network. For instance, in the examples shown in Fig. 2A and 2B, the slice S-NSSAI#1 may be less security sensitive and the CU-UP-1 may be provided by another vendor or deployed in different edge cloud with less protection, then it may be attacked and compromised or itself may be malicious. Currently, as same access stratum (AS) security context is shared by all allowed slices, the attacker may use RRC / UP keys stole from CU-UP-1 to intercept UP traffic of the slices S-NSSAI#3 and S-NSSAI#4, even CU-UP-2 is deployed separately and well protected. The attacker may also fake downlink (DL) UP traffic by protecting the traffic integrity with stolen keys. In addition, replay attack towards UE with repeating the traffic from CU-UP-1 / CU-UP-2 may be launched by a third party adversarial, similarly repeating traffic from UE to CU-UP-1 / CU-UP-2.

[0039] To address the aforementioned problems, slice specific key has been proposed to protect slice traffic between UE and RAN. However, UE and RAN the UE camping on may have different capabilities for supporting slice specific key, which may cause inconsistent key derivation function (KDF) used at UE and RAN, and eventually the UP / RRC traffic cannot be handled successfully. Example embodiments of the present disclosure propose a mechanism to check the RAN capabilities in advance, and / or enable UE and RAN to negotiate slice specific security configurations, including for example slice specific algorithm selections and / or slice specific key derivations, finally UE and RAN can use the same KDF, either legacy slice agnostic KDF or slice specific KDF, to generate keys for protection of UP or RRC traffic on air interface.

[0040] Fig. 3 is a message flow chart illustrating a process 200 according to an example embodiment of the present disclosure. The process 200 may be performed at a terminal device 110 (also known as UE) , and one or more RAN devices 120 (two RAN devices 120a, 120b are shown) . The terminal device or UE 110 may be implemented as a mobile phone, a mobile terminal, a mobile station, a subscriber  station, a portable subscriber station, an access terminal, a customer premise equipment (CPE) , a computer, a wearable device, an on-vehicle communication device, a machine type communication (MTC) device, a device-to-device (D2D) communication device, a vehicle-to-everything (V2X) communication device, etc. The RAN device 120 may include a base station, which may be implemented as an evolved node B (eNB) , a next generation eNB (ng-eNB) , a next generation node B (gNB) , or a beyond 5G base station. The base station may have a split architecture or a non-split architecture.

[0041] Referring to Fig. 3, at 210a and 210b, the RAN devices 120a, 120b may broadcast their capability of supporting a slice specific security configuration via system information (SI) to UEs under coverage. The system information may include an explicit or implicit indication of whether the RAN device can support a slice specific security configuration or not, which may be carried in a master information block (MIB) transmitted on physical broadcast channel (PBCH) or in a system information block (SIB) transmitted on physical downlink shared channel (PDSCH) . For example, the MIB or SIB may include one bit or multiple bits to indicate if the RAN device supports slice specific algorithms and / or slice specific key derivations. In the example shown in Fig. 3, it is assumed that the RAN device 210a has the capability of supporting a slice specific security configuration, but the RAN device 210b does not have the capability.

[0042] When the UE 110 receives the system information at 210a, 210b, the UE 110 may select, at 220, one of the RAN devices 210a, 210b to connect to based on the system information. For example, if the UE 110 has the capability to support a slice specific security configuration, it may select the RAN device 210a that also has the capability to connect to. If the UE 110 does not have the capability, it may select the RAN device 210b to connect to. In the example shown in Fig. 2, it is assumed that the UE 110 also has the capability to support a slice specific security configuration and it selects the RAN device 210a to connect to.

[0043] Then at 230, the UE 110 may initiate a random access procedure by transmitting a random access request to the selected RAN device 210a to establish  a RRC connection with the RAN device 210a.

[0044] In the process 200, as the RAN devices broadcast their capabilities for supporting a slice specific security configuration via system information (SI) , UEs that support slice specific security configuration can choose to camp on a right cell of a RAN device which also has the capability. Then the UE and the RAN device the UE connecting to can use slice specific algorithms and / or slice specific key derivations to protect slice traffic therebetween.

[0045] Fig. 4 is a message flow chart illustrating a process 300 according to an example embodiment of the present disclosure. The process 300 may be performed at the UE 110, the RAN device 120, and a core network (CN) device 130. The CN device 130 may be implemented as AMF or SMF in the 5G core network.

[0046] Referring to Fig. 4, the RAN device 120 may report its capability of supporting a slice specific security configuration to the CN device 130 at 310. The capability report may indicate whether the RAN device 120 supports slice specific algorithms and / or slice specific key derivations. In an example embodiment, the RAN device 120 may report the capability in an interface setup request, e.g. NG interface setup request, to the CN device 130. Optionally, the CN device 130 may respond with a NG setup response message to the RAN device 120.

[0047] At 312, the UE 110 may report its capability of supporting a slice specific security configuration to the CN device 130. The capability report may indicate whether the UE 110 supports slice specific algorithms and / or slice specific key derivations. The UE 110 may also indicate identities (IDs) , e.g. S-NSSAIs, of slices supported at the UE 110 to the CN device 130. If the UE 110 has knowledge of whether the slices support a slice specific security configuration or not, which may be received from for example the CN device 130, then the UE 110 may indicate slices that support the slice specific security configuration to the CN device 130 at 312. In an example embodiment, the UE 110 may include the capability report and the slice identities in a registration request message to the CN device 130.

[0048] For an initial registration request, legacy primary authentication and additional Network Slice Specific Authentication and Authorization (NSSAA)  operations may be performed at 314, details being omitted here. The primary authentication and additional NSSAA may determine whether the UE 110 is authorized to access a slice. For a subsequent registration request, if the UE 110 has previously performed primary authentication and additional NSSAA successfully, the step 314 may be skipped.

[0049] The CN device 130 may determine at 316 whether to use slice specific security configuration for a network slice, based on the capability reports received from the UE 110 and the RAN device 120, and a security policy specific to the network slice. The security policy specific to the network slice may be retrieved from a Unified Data Management (UDM) function, a Network Slice Selection Function (NSSF) , or a Policy Control Function (PCF) (not shown) in the core network, or locally stored at the CN device 130. For instance, if the UE 110 and the RAN device 120 support slice specific security configuration, and the security policy for the network slice indicates that the network slice supports slice specific security configuration, the CN device 130 may determine to use slice specific security configuration for the network slice. If the UE 110 or the RAN device 120 does not support slice specific security configuration, or the security policy for the network slice indicates that the network slice does not support slice specific security configuration, the CN device 130 may determine not to use slice specific security configuration for the network slice.

[0050] If the UE 110 supports slice specific security configuration but the RAN device 120 does not, the CN device 130 may determine at 316 not to use slice specific security configuration for the network slice. Then at 318, the CN device 130 may send a registration accept message to the UE 110. The registration accept message indicates that the UE 110 has successfully registered with the core network, and it may optionally contain a slice common key indication and information of one or more cells served by one or more other RAN devices that support slice specific security configuration. The UE 110 knows from the slice common key indication that slice common keys would be used for network slices that the UE 110 is authorized to access. The UE 110 may choose to continue  connecting to the RAN device 120 and use slice common keys, or it may choose to connect to one of the cells served by the other RAN devices that support slice specific security configuration indicated in the registration accept message. If the UE 110 decides to continue connecting to the RAN device 120, slice common keys would be used at 320 for access stratum protection of the network slices that the UE 110 is authorized to access.

[0051] If the CN device 130 determines not to use slice specific security configuration due to other reasons, e.g. because the UE 110 does not support slice specific security configuration or the security policy specific to the network slice indicates that the network slice does not support slice specific security configuration, a legacy registration accept message may be transmitted at 318 from the CN device 130 to the UE 110. The CN device 130 may further send a slice common key indication to the RAN device 120. Then at 320, slice common keys would be used for AS protection of the network slice.

[0052] If the CN device 130 determines to use slice specific security configuration for the network slice at 316, the CN device 130 may send a security configuration specific to the network slice to the RAN device 120 at 322. In an example embodiment, the security configuration specific to the network slice may be included in an NG initial context setup message to the RAN device 120. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for RRC integrity, an indication of slice specific algorithm for RRC encryption, an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for RRC integrity, an indication of slice specific key derivation for RRC encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption. In an example embodiment, the indication of slice specific algorithm for RRC / UP integrity / encryption may include an algorithm type distinguisher and an algorithm identity, which may be fed, together with other parameters such as slice specific / common RAN / CN device keys, as input to a key  derivation function (KDF) to generate slice specific keys for RRC / UP integrity / encryption protection of the network slice. The indication of slice specific key derivation for RRC / UP integrity / encryption indicates whether the identity of the network slice, i.e. S-NSSAI, is further fed as input to the KDF to generate the slice specific keys for RRC / UP integrity / encryption protection of the network slice.

[0053] When the RAN device 120 receives the security configuration specific to the network slice from the CN device 130, the RAN device 120 may decide at 324 whether or not to use the security configuration specific to the network slice. The RAN device 120 may make the decision taking into account for example network capacity, workload, slice subscription information, etc. If the RAN device 120 decides not to use the security configuration specific to the network slice, the RAN device 120 may respond to the CN device 130 with a legacy NG initial context setup response message at 326. Then the CN device 130 may send a legacy registration accept message to the UE 110 at 328, and slice common keys would be used for AS protection of the network slice at 330.

[0054] If the RAN device 120 decides to use the security configuration specific to the network slice, the RAN device 120 may negotiate the security configuration specific to the network slice with the UE 110 to ensure that consistent security configuration would be used for the network slice at the UE 110 and the RAN device 120. Concretely, the RAN device 120 may send the security configuration specific to the network slice to the UE 110 at 332. In an example embodiment, the RAN device 120 may include the security configuration specific to the network slice in an AS security mode command to the UE 110. If the security configuration specific to the network slice is acceptable, the UE 110 may respond to the RAN device 120 with a security mode complete message at 334. If the UE 110 cannot support the security configuration specific to the network slice received from the RAN device 120, the UE 110 may respond to the RAN device 120 with a security mode reject message at 334. The security mode reject message may further indicate cause of rejecting the slice specific security configuration. Then the RAN device 120 may request the CN device 130 to determine a new security configuration  specific to the network slice, or it may decide to use slice common keys for the network slice and perform the step 326 instead.

[0055] If the UE 110 also supports the security configuration specific to the network slice, the RAN device 120 may send to the CN device 130 at 336 an NG initial context setup response message indicating that the security configuration is applied for the network slice. In an example embodiment, the RAN device 120 may include the security configuration specific to the network slice in the initial context setup response message to the CN device 130 to confirm the security configuration applied to the network slice.

[0056] At 338, the CN device 130 may send a registration accept message including a slice specific key indication to the UE 110. In response to the indication, slice specific keys generated based on the security configuration specific to the network slice negotiated between the UE 110 and the RAN device 120 would be used to protect the network slice at 340.

[0057] Fig. 5 is a message flow chart illustrating a process 400 according to an example embodiment of the present disclosure. The process 400 may be performed at the UE 110, the RAN device 120, and the CN device 130. The CN device 130 may be implemented as the AMF or SMF in the core network. In an example embodiment, the process 400 may be performed after the UE 110 has successfully registered with the core network in the process 300.

[0058] Referring to Fig. 5, at 410, the UE 110 may send a PDU session establishment request to the CN device 130. The PDU session establishment request may include identity e.g. S-NSSAI of a slice that requests to access a data network.

[0059] The CN device 130 may determine at 412 whether or not to use a slice specific security configuration for the network slice indicated in the PDU session establishment request. In an example embodiment, the CN device 130 may make the determination based on the capability of the UE 110 for supporting slice specific security configuration, the capability of the RAN device 120 for supporting slice specific security configuration, and a security policy specific to  the network slice. The security policy specific to the network slice may be retrieved from UDM, NSSF, or PCF (not shown) in the core network, or locally stored at the CN device 130. For instance, if the UE 110 and the RAN device 120 support slice specific security configuration, and the security policy for the network slice indicates that the network slice supports slice specific security configuration, the CN device 130 may determine to use slice specific security configuration for the network slice. If the UE 110 or the RAN device 120 does not support slice specific security configuration, or the security policy for the network slice indicates that the network slice does not support slice specific security configuration, the CN device 130 may determine not to use slice specific security configuration for the network slice.

[0060] If the CN device 130 decides to use slice specific security configuration for the network slice, the CN device 130 may determine and send a security configuration specific to the network slice to the RAN device 120 at 414. In an example embodiment, the security configuration specific to the network slice may be included in a N2 PDU session request message to the RAN device 120. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption. As discussed above, the indication of slice specific algorithm for UP integrity / encryption may include an algorithm type distinguisher and an algorithm identity, which may be fed, together with other parameters such as slice specific / common RAN / CN device keys, as input to a key derivation function (KDF) to generate slice specific keys for UP integrity / encryption protection of the network slice. The indication of slice specific key derivation for UP integrity / encryption indicates whether the identity of the network slice, i.e. S-NSSAI, is further fed as input to the KDF to generate the slice specific keys for UP integrity / encryption protection of the network slice.

[0061] When the RAN device 120 receives the security configuration specific to  the network slice from the CN device 130, the RAN device 120 may negotiate the security configuration specific to the network slice with the UE 110 to ensure that consistent security configuration would be used for the network slice at the UE 110 and the RAN device 120. In an example embodiment, the RAN device 120 and the UE 110 may negotiate the security configuration specific to the network slice via an access network (AN) specific resource setup procedure. For instance, the RAN device 120 may include the security configuration specific to the network slice in an AN-specific resource setup message, also known as PDU session establishment accept, to the UE 110 at 416. If the security configuration specific to the network slice is acceptable, the UE 110 may respond to the RAN device 120 with an AN-specific resource setup complete message (not shown) . If the UE 110 cannot support the security configuration specific to the network slice received from the RAN device 120, the UE 110 may respond to the RAN device 120 with an AN-specific resource setup reject message (not shown) . The AN-specific resource setup reject message may further indicate cause of rejecting the slice specific security configuration. Then the RAN device 120 may request the CN device 130 to determine a new security configuration specific to the network slice, or it may decide to use slice common keys for the network slice and perform a step 424 discussed below.

[0062] If the UE 110 also supports the security configuration specific to the network slice, the RAN device 120 may send to the CN device 130 at 418 an N2 PDU session response message indicating that the security configuration is applied to the network slice. In an example embodiment, the RAN device 120 may include the security configuration specific to the network slice in the N2 PDU session response message to the CN device 130 to confirm the security configuration applied to the network slice. Then slice specific keys may be generated based on the security configuration and applied to protect UP traffic of the network slice on the PDU session between the UE 110 and the RAN device 120 at 420.

[0063] If the CN device 130 decides not to use slice specific security configuration for the network slice at 412, the CN device 130 may send a legacy N2 PDU session  request message to the RAN device 120 at 422. Then the RAN device 120 may send a legacy AN-specific resource setup message, i.e. a PDU session establishment accept message, to the UE 110 at 424 and responds to the CN device 130 with a legacy N2 PDU session response message at 426. In this case, slice common keys would be used to protect UP traffic of the network slice at 430.

[0064] In the process 300 and the process 400, the UE 110 and the RAN device 120 are enabled to negotiate slice specific security configuration for a network slice, and finally the UE 110 and the RAN device 120 can use the same key derivation functions (KDFs) to generate slice specific keys for the network slice. It can prevent inconsistent KDFs being used at the UE 110 and the RAN device 120.

[0065] Fig. 6 is a flow chart illustrating a method 500 according to an example embodiment of the present disclosure. The method 500 may be performed at the UE 110 discussed above. Since some details of the method 500 have been discussed above with respect to Fig. 3, repetitive description thereof will be omitted here.

[0066] Referring to Fig. 6, the method 500 may include a step 510 of receiving from at least one radio access network (RAN) device system information indicative of capability of the RAN device for supporting slice specific security configuration, and a step 520 of selecting one of the at least one RAN device to connect to based on the received system information.

[0067] In an example embodiment, the system information may be received in a master information block (MIB) or a system information block (SIB) .

[0068] In an example embodiment, the method 500 may further include a step of transmitting a random access request to the selected RAN device in order to initiate a random access procedure for establishing a RRC connection with the RAN device.

[0069] Fig. 7 is a flow chart illustrating a method 600 according to an example embodiment of the present disclosure. The method 600 may be performed at the RAN device 120 discussed above. Since some details of the method 600 have been discussed above with respect to Fig. 3, repetitive description thereof will be omitted here.

[0070] Referring to Fig. 7, the method 600 may include a step 610 of broadcasting system information indicative of capability of the RAN device 120 for supporting slice specific security configuration, and a step 620 of receiving a random access request from a terminal device having the capability of supporting slice specific security configuration. In an example embodiment, the system information may be broadcasted in a master information block (MIB) or a system information block (SIB) .

[0071] Fig. 8 is a flow chart illustrating a method 700 according to an example embodiment of the present disclosure. The method 700 may be performed at the UE 110 discussed above. Since some details of the method 700 have been discussed above with respect to Figs. 4-5, repetitive description thereof will be omitted here.

[0072] Referring to Fig. 8, the method 700 may include a step 710 of reporting capability for supporting slice specific security configuration to a core network (CN) device, and a step 720 of receiving a security configuration specific to a network slice from a random access network (RAN) device in association with the CN device.

[0073] In an example embodiment, the capability for supporting slice specific security configuration may be reported in a registration request to the CN device. The registration request may further contain identity information of one or more network slices that are supported at the UE 110.

[0074] In an example embodiment, the security configuration specific to the network slice may be received in an access stratum (AS) security mode command message from the RAN device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for radio resource control integrity, an indication of slice specific algorithm for radio resource control encryption, an indication of slice specific algorithm for user plane integrity, an indication of slice specific algorithm for user plane encryption, an indication of slice specific key derivation for radio resource control integrity, an indication of slice specific key derivation for radio resource  control encryption, an indication of slice specific key derivation for user plane integrity, and an indication of slice specific key derivation for user plane encryption.

[0075] In an example embodiment, the security configuration specific to the network slice may be received from the RAN device in a case where the CN device decides to use slice specific security configuration for the network slice. If the CN device decides to refrain from using slice specific security configuration for the network slice due to capability limitation of the RAN device, the method 700 may further include a step of receiving a registration accept message from the CN device. The registration accept message may contain at least one of the following: information of one or more cells served by at least one other RAN device that supports slice specific security configuration, and an indication of slice common key being used.

[0076] In an example embodiment, the security configuration specific to the network slice may be received in a radio resource setup message or a protocol data unit session establishment accept message from the RAN device in a protocol data unit session establishment procedure. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for user plane integrity, an indication of slice specific algorithm for user plane encryption, an indication of slice specific key derivation for user plane integrity, and an indication of slice specific key derivation for user plane encryption.

[0077] Fig. 9 is a flow chart illustrating a method 800 according to an example embodiment of the present disclosure. The method 800 may be performed at the RAN device 120 discussed above. Since some details of the method 800 have been discussed above with respect to Figs. 4-5, repetitive description thereof will be omitted here.

[0078] Referring to Fig. 9, the method 800 may include a step 810 of reporting capability for supporting slice specific security configuration to a core network (CN) device, a step 820 of receiving a security configuration specific to a network slice from the CN device, and a step 830 of sending the security configuration  specific to the network slice to a terminal device supporting the network slice.

[0079] In an example embodiment, the method 800 may further include a step of sending to the CN device a response message indicating that the security configuration specific to the network slice is applied.

[0080] In an example embodiment, the security configuration specific to the network slice may be received in an NG initial context setup message from the CN device. The security configuration specific to the network slice may be sent in an access stratum (AS) security mode command message to the terminal device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for RRC integrity, an indication of slice specific algorithm for RRC encryption, an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for RRC integrity, an indication of slice specific key derivation for RRC encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption.

[0081] In an example embodiment, the capability of supporting slice specific security configuration may be reported in an interface setup request, e.g. Ng interface setup request, to the CN device. The response message may be sent in an initial context setup response message to the CN device.

[0082] In an example embodiment, the security configuration specific to the network slice may be received in a PDU session request message from the CN device. The security configuration specific to the network slice may be sent in a radio resource setup message or a PDU session establishment accept message to the terminal device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption.

[0083] In an example embodiment, the capability of supporting slice specific  security configuration may be reported in an interface setup request to the CN device. The response message may be sent in a PDU session response message to the CN device.

[0084] Fig. 10 is a flow chart illustrating a method 900 according to an example embodiment of the present disclosure. The method 900 may be performed at the CN device 130 discussed above. Since some details of the method 900 have been discussed above with respect to Figs. 4-5, repetitive description thereof will be omitted here.

[0085] Referring to Fig. 10, the method 900 may include a step 910 of receiving first information of capability for supporting slice specific security configuration from a radio access network (RAN) device, a step 920 of receiving second information of capability for supporting slice specific security configuration from a terminal device served by the radio access network device, and a step 930 of determining whether to use slice specific security configuration for a network slice based on the first capability information, the second capability information, and a security policy specific to the network slice.

[0086] In an example embodiment, in a case where the CN device 130 determines to use slice specific security configuration for the network slice, the method 900 may further include a step of sending a security configuration specific to the network slice to the RAN device, and a step of receiving from the RAN device a response message confirming that the security configuration specific to the network slice is applied.

[0087] In an example embodiment, the security configuration specific to the network slice may be sent in an initial context setup message to the RAN device. The response message may be received in an initial context setup response message from the RAN device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for RRC integrity, an indication of slice specific algorithm for RRC encryption, an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for RRC  integrity, an indication of slice specific key derivation for RRC encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption.

[0088] In an example embodiment, the security configuration specific to the network slice may be sent in a PDU session request message to the RAN device. The response message may be received in a PDU session response message from the RAN device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption.

[0089] In an example embodiment, the first capability information may be received in an interface setup request from the RAN device. The second capability information may be received in a registration request from the terminal device.

[0090] In an example embodiment, if the CN device 130 determines to refrain from using slice specific security configuration for the network slice due to capability limitation of the RAN device, the method 900 may further include a step of sending a registration accept message to the terminal device. The registration accept message may contain at least one of the following: information of one or more cells served by at least one other radio access network device that supports slice specific security configuration, and an indication of slice common key being used.

[0091] Fig. 11 is a schematic block diagram illustrating an apparatus 1000 according to an example embodiment of the present disclosure. The apparatus 1000 may be implemented to comprise or to form at least a part of the UE 110 discussed above to perform at least a part of operations related to the UE 110. Since the operations related to the UE 110 have been discussed above with reference to Fig. 3, the blocks of the apparatus 1000 will be described briefly here and details thereof may refer to the above description.

[0092] Referring to Fig. 11, the apparatus 1000 may include a first means 1010 for receiving from at least one radio access network (RAN) device system information  indicative of capability of the RAN device for supporting slice specific security configuration, and a second means 1020 for selecting one of the at least one RAN device to connect to based on the received system information.

[0093] In an example embodiment, the apparatus 1000 may further include a means for transmitting a random access request to the selected RAN device in order to initiate a random access procedure for establishing a RRC connection with the RAN device.

[0094] Fig. 12 is a schematic block diagram illustrating an apparatus 1100 according to an example embodiment of the present disclosure. The apparatus 1100 may be implemented to comprise or to form at least a part of the RAN device 120 discussed above to perform at least a part of operations related to the RAN device 120. Since the operations related to the RAN device 120 have been discussed above with reference to Fig. 3, the blocks of the apparatus 1100 will be described briefly here and details thereof may refer to the above description.

[0095] Referring to Fig. 12, the apparatus 1100 may include a first means 1110 for broadcasting system information indicative of capability of the RAN device 120 for supporting slice specific security configuration, and a second means 1120 for receiving a random access request from a terminal device having the capability of supporting slice specific security configuration.

[0096] Fig. 13 is a schematic block diagram illustrating an apparatus 1200 according to an example embodiment of the present disclosure. The apparatus 1200 may be implemented to comprise or to form at least a part of the UE 110 discussed above to perform at least a part of operations related to the UE 110. Since the operations related to the UE 110 have been discussed above with reference to Figs. 4-5, the blocks of the apparatus 1200 will be described briefly here and details thereof may refer to the above description.

[0097] Referring to Fig. 13, the apparatus 1200 may include a first means 1210 for reporting capability for supporting slice specific security configuration to a core network (CN) device, and a second means 1220 for receiving a security configuration specific to a network slice from a random access network (RAN)  device in association with the CN device.

[0098] In an example embodiment, the capability for supporting slice specific security configuration may be reported in a registration request to the CN device. The registration request may further contain identity information of one or more network slices that are supported at the UE 110.

[0099] In an example embodiment, the security configuration specific to the network slice may be received in an access stratum (AS) security mode command message from the RAN device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for radio resource control integrity, an indication of slice specific algorithm for radio resource control encryption, an indication of slice specific algorithm for user plane integrity, an indication of slice specific algorithm for user plane encryption, an indication of slice specific key derivation for radio resource control integrity, an indication of slice specific key derivation for radio resource control encryption, an indication of slice specific key derivation for user plane integrity, and an indication of slice specific key derivation for user plane encryption.

[0100] In an example embodiment, the security configuration specific to the network slice may be received from the RAN device in a case where the CN device decides to use slice specific security configuration for the network slice. If the CN device decides to refrain from using slice specific security configuration for the network slice due to capability limitation of the RAN device, the apparatus 1200 may further include a means for receiving a registration accept message from the CN device. The registration accept message may contain at least one of the following: information of one or more cells served by at least one other RAN device that supports slice specific security configuration, and an indication of slice common key being used.

[0101] In an example embodiment, the security configuration specific to the network slice may be received in a radio resource setup message or a protocol data unit session establishment accept message from the RAN device in a protocol data unit session establishment procedure. The security configuration specific to the  network slice may contain at least one of the following: an indication of slice specific algorithm for user plane integrity, an indication of slice specific algorithm for user plane encryption, an indication of slice specific key derivation for user plane integrity, and an indication of slice specific key derivation for user plane encryption.

[0102] Fig. 14 is a schematic block diagram illustrating an apparatus 1300 according to an example embodiment of the present disclosure. The apparatus 1300 may be implemented to comprise or to form at least a part of the RAN device 120 discussed above to perform at least a part of operations related to the RAN device 120. Since the operations related to the RAN device 120 have been discussed above with reference to Figs. 4-5, the blocks of the apparatus 1300 will be described briefly here and details thereof may refer to the above description.

[0103] Referring to Fig. 14, the apparatus 1300 may include a first means 1310 for reporting capability for supporting slice specific security configuration to a core network (CN) device, a second means 1320 for receiving a security configuration specific to a network slice from the CN device, and a third means 1330 for sending the security configuration specific to the network slice to a terminal device supporting the network slice.

[0104] In an example embodiment, the apparatus 1300 may further include a means for sending to the CN device a response message indicating that the security configuration specific to the network slice is applied.

[0105] In an example embodiment, the security configuration specific to the network slice may be received in an initial context setup message from the CN device. The security configuration specific to the network slice may be sent in an access stratum (AS) security mode command message to the terminal device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for RRC integrity, an indication of slice specific algorithm for RRC encryption, an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for RRC integrity, an  indication of slice specific key derivation for RRC encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption.

[0106] In an example embodiment, the capability of supporting slice specific security configuration may be reported in an interface setup request, e.g. NG interface setup request, to the CN device. The response message may be sent in an initial context setup response message to the CN device.

[0107] In an example embodiment, the security configuration specific to the network slice may be received in a PDU session request message from the CN device. The security configuration specific to the network slice may be sent in a radio resource setup message or a PDU session establishment accept message to the terminal device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption.

[0108] In an example embodiment, the capability of supporting slice specific security configuration may be reported in an interface setup request to the CN device. The response message may be sent in a PDU session response message to the CN device.

[0109] Fig. 15 is a schematic block diagram illustrating an apparatus 1400 according to an example embodiment of the present disclosure. The apparatus 1400 may be implemented to comprise or to form at least a part of the CN device 130 discussed above to perform at least a part of operations related to the CN device 130. Since the operations related to the CN device 130 have been discussed above with reference to Figs. 4-5, the blocks of the apparatus 1400 will be described briefly here and details thereof may refer to the above description.

[0110] Referring to Fig. 15, the apparatus 1400 may include a first means 1410 for receiving first information of capability for supporting slice specific security configuration from a radio access network (RAN) device, a second means 1420 for  receiving second information of capability for supporting slice specific security configuration from a terminal device served by the RAN device, and third means 1430 for determining whether to use slice specific security configuration for a network slice based on the first capability information, the second capability information, and a security policy specific to the network slice.

[0111] In an example embodiment, the apparatus 1400 may further include a means for sending a security configuration specific to the network slice to the RAN device in a case where the CN device 130 determines to use slice specific security configuration for the network slice, and a means for receiving from the RAN device a response message confirming that the security configuration specific to the network slice is applied.

[0112] In an example embodiment, the security configuration specific to the network slice may be sent in an initial context setup message to the RAN device. The response message may be received in an initial context setup response message from the RAN device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for RRC integrity, an indication of slice specific algorithm for RRC encryption, an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for RRC integrity, an indication of slice specific key derivation for RRC encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption.

[0113] In an example embodiment, the security configuration specific to the network slice may be sent in a PDU session request message to the RAN device. The response message may be received in a PDU session response message from the RAN device. The security configuration specific to the network slice may contain at least one of the following: an indication of slice specific algorithm for UP integrity, an indication of slice specific algorithm for UP encryption, an indication of slice specific key derivation for UP integrity, and an indication of slice specific key derivation for UP encryption.

[0114] In an example embodiment, the first capability information may be received in an interface setup request from the RAN device. The second capability information may be received in a registration request from the terminal device.

[0115] In an example embodiment, the apparatus 1400 may further comprise a means for sending a registration accept message to the terminal device in a case where the CN device 130 determines to refrain from using slice specific security configuration for the network slice due to capability limitation of the RAN device. The registration accept message may comprise at least one of the following: information of one or more cells served by at least one other radio access network device that supports slice specific security configuration, and an indication of slice common key being used.

[0116] Fig. 16 is a schematic block diagram illustrating devices in a communication system 1500 according to an example embodiment of the present disclosure. As shown in Fig. 16, the communication system 1500 may include a terminal device 1510, a radio access network (RAN) device 1520, and a core network (CN) device 1530. It would be appreciated that the communication system 1500 may include a plurality of terminal devices 1510, a plurality of RAN devices 1520, and a plurality of core network devices 1530. In an example embodiment, one of the plurality of terminal devices 1510 may be implemented as the UE 110 discussed above, one of the plurality of RAN devices 1520 may be implemented as the RAN device 120 discussed above, and one of the plurality of CN devices 1530 may be implemented as the CN device 130 discussed above.

[0117] Referring to Fig. 16, the terminal device 1510 may comprise one or more processors 1511, one or more memories 1512 and one or more transceivers 1513 interconnected through one or more buses 1514. The one or more buses 1514 may be address, data, or control buses, and may include any interconnection mechanism such as series of lines on a motherboard or integrated circuit, fiber, optics or other optical communication equipment, and the like. Each of the one or more transceivers 1513 may comprise a receiver and a transmitter, which are connected to one or more antennas 1516. The terminal device 1510 may wirelessly  communicate with the RAN device 1520 through the one or more antennas 1516. The one or more memories 1512 may include instructions 1515 which, when executed by the one or more processors 1511, may cause the terminal device 1510 to perform operations and procedures relating to the UE 110 as described above.

[0118] The RAN device 1520 may comprise one or more processors 1521, one or more memories 1522, one or more transceivers 1523 and one or more network interfaces 1527 interconnected through one or more buses 1524. The one or more buses 1524 may be address, data, or control buses, and may include any interconnection mechanism such as a series of lines on a motherboard or integrated circuit, fiber, optics or other optical communication equipment, and the like. Each of the one or more transceivers 1523 may comprise a receiver and a transmitter, which are connected to one or more antennas 1526. The RAN device 1520 may operate as a base station for the terminal device 1510 and wirelessly communicate with terminal device 1510 through the one or more antennas 1526. The one or more network interfaces 1527 may provide wired or wireless communication links through which the RAN device 1520 may communicate with other network devices, entities, elements or functions. For example, the RAN device 1520 may communicate with the CN device 1530 via backhaul connections 1528. The one or more memories 1522 may include instructions 1525 which, when executed by the one or more processors 1521, may cause the RAN device 1520 to perform operations and procedures relating to the RAN device 120 as described above.

[0119] The CN device 1530 may comprise one or more processors 1531, one or more memories 1532, and one or more network interfaces 1537 interconnected through one or more buses 1534. The one or more buses 1534 may be address, data, or control buses, and may include any interconnection mechanism such as a series of lines on a motherboard or integrated circuit, fiber, optics or other optical communication equipment, and the like. The CN device 1530 may operate as a core network function node and wired or wirelessly communicate with the radio access network device 1520 through one or more links. The one or more network interfaces 1537 may provide wired or wireless communication links through which  the CN device 1530 may communicate with other network devices, entities, elements or functions. The one or more memories 1532 may include instructions 1535 which, when executed by the one or more processors 1531, may cause the CN device 1530 to perform operations and procedures relating to the CN device 130 as described above.

[0120] The one or more processors 1511, 1521 and 1531 discussed above may be of any appropriate type that is suitable for the local technical network, and may include one or more of general purpose processors, special purpose processor, microprocessors, a digital signal processor (DSP) , one or more processors in a processor based multi-core processor architecture, as well as dedicated processors such as those developed based on Field Programmable Gate Array (FPGA) and Application Specific Integrated Circuit (ASIC) . The one or more processors 1511, 1521 and 1531 may be configured to control other elements of the terminal / RAN / core network devices and operate in cooperation with them to implement the procedures discussed above.

[0121] The one or more memories 1512, 1522 and 1532 may include at least one storage medium in various forms, such as a transitory memory and / or a non-transitory memory. The transitory memory may include, but not limited to, for example, a random access memory (RAM) or a cache. The non-transitory memory may include, but not limited to, for example, a read only memory (ROM) , a hard disk, a flash memory, and the like. The term “non-transitory, ” as used herein, is a limitation of the medium itself (i.e., tangible, not a signal) as opposed to a limitation on data storage persistency (e.g., RAM vs. ROM) . Further, the one or more memories 1512, 1522 and 1532 may include but not limited to an electric, a magnetic, an optical, an electromagnetic, an infrared, or a semiconductor system, apparatus, or device or any combination of the above.

[0122] It would be understood that blocks in the drawings may be implemented in various manners, including software, hardware, firmware, or any combination thereof. In some embodiments, one or more blocks may be implemented using software and / or firmware, for example, machine-executable instructions stored in  the storage medium. In addition to or instead of machine-executable instructions, parts or all of the blocks in the drawings may be implemented, at least in part, by one or more hardware logic components. For example, and without limitation, illustrative types of hardware logic components that can be used include Field-Programmable Gate Arrays (FPGAs) , Application-Specific Integrated Circuits (ASICs) , Application-Specific Standard Products (ASSPs) , System-on-Chip systems (SOCs) , Complex Programmable Logic Devices (CPLDs) , etc.

[0123] Some exemplary embodiments further provide program instruction or instructions which, when executed by one or more processors, may cause a device or apparatus to perform the procedures described above. The program instruction for carrying out procedures of the exemplary embodiments may be written in any combination of one or more programming languages. The program instruction may be provided to one or more processors or controllers of a general purpose computer, special purpose computer, or other programmable data processing apparatus, such that the program instruction, when executed by the processor or controller, cause the functions / operations specified in the flowcharts and / or block diagrams to be implemented. The program instruction may execute entirely on a machine, partly on the machine, as a stand-alone software package, partly on the machine and partly on a remote machine or entirely on the remote machine or server.

[0124] Some exemplary embodiments further provide a computer program product or a computer readable medium having the program instruction or instructions stored therein. The computer readable medium may be any tangible medium that may contain, or store a program for use by or in connection with an instruction execution system, apparatus, or device. The machine readable medium may be a machine readable signal medium or a machine readable storage medium. A machine readable medium may include but is not limited to an electronic, magnetic, optical, electromagnetic, infrared, or semiconductor system, apparatus, or device, or any suitable combination of the foregoing. More specific examples of the machine readable storage medium would include an electrical connection having one or more wires, a portable computer diskette, a hard disk, a random  access memory (RAM) , a read-only memory (ROM) , an erasable programmable read-only memory (EPROM or Flash memory) , an optical fiber, a portable compact disc read-only memory (CD-ROM) , an optical storage device, a magnetic storage device, or any suitable combination of the foregoing.

[0125] As used herein, “at least one of the following: <a list of two or more elements>” and “at least one of <a list of two or more elements>” and similar wording, where the list of two or more elements are joined by “and” or “or” , mean at least any one of the elements, or at least any two or more of the elements, or at least all the elements.

[0126] Further, while operations are depicted in a particular order, this should not be understood as requiring that such operations be performed in the particular order shown or in sequential order, or that all illustrated operations be performed, to achieve desirable results. In certain circumstances, multitasking and parallel processing may be advantageous. Likewise, while several specific implementation details are contained in the above discussions, these should not be construed as limitations on the scope of the present disclosure, but rather as descriptions of features that may be specific to particular embodiments. Certain features that are described in the context of separate embodiments may also be implemented in combination in a single embodiment. Conversely, various features that are described in the context of a single embodiment may also be implemented in multiple embodiments separately or in any suitable sub-combination.

[0127] Although the subject matter has been described in a language that is specific to structural features and / or method actions, it is to be understood the subject matter defined in the appended claims is not limited to the specific features or actions described above. On the contrary, the above-described specific features and actions are disclosed as an example of implementing the claims.

Claims

1.A terminal device comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the terminal device at least to perform:receiving from at least one radio access network device, system information indicative of capability for supporting slice specific security configuration; andselecting one of the at least one radio access network device to connect to, based on the system information.2.A radio access network device comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the radio access network device at least to perform:broadcasting system information indicative of capability for supporting slice specific security configuration; andreceiving a random access request from a terminal device having the capability of supporting slice specific security configuration.3.A terminal device comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the terminal device at least to perform:reporting to a core network device, capability of supporting slice specific security configuration; andreceiving from a radio access network device in association with the core network device, a security configuration specific to a network slice.4.The terminal device of Claim 3, wherein the capability of supporting slice specific security configuration is reported in a registration request to the core network device, the registration request further comprising identity of one or more network slices.5.The terminal device of Claim 3, wherein the security configuration specific to the network slice is received in an access stratum security mode command message from the radio access network device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for radio resource control integrity;an indication of slice specific algorithm for radio resource control encryption;an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for radio resource control integrity;an indication of slice specific key derivation for radio resource control encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.6.The terminal device of Claim 4, wherein the security configuration specific to the network slice is received from the radio access network device in a case where the core network device decides to use slice specific security configuration for the network slice, andthe at least one memory further stores instructions that, when executed by the at least one processor, cause the terminal device at least to perform, in a case where the core network device decides to refrain from using slice specific security configuration for the network slice due to capability limitation of the radio access network device:receiving from the core network device, a registration accept message comprising at least one of the following:information of one or more cells served by at least one other radio access network device that supports slice specific security configuration; andan indication of slice common key being used.7.The terminal device of Claim 3, wherein the security configuration specific to the network slice is received in a radio resource setup message or a protocol data unit session establishment accept message received from the radio access network device in a protocol data unit session establishment procedure, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.8.A radio access network device comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the radio access network device at least to perform:reporting to a core network device, capability of supporting slice specific security configuration;receiving from the core network device, a security configuration specific to a network slice; andsending to a terminal device supporting the network slice, the security configuration specific to the network slice.9.The radio access network device of Claim 8, wherein the at least one memory further stores instructions that, when executed by the at least one processor, cause the radio access network device at least to perform:sending to the core network device, a response message indicating that the security configuration specific to the network slice is applied.10.The radio access network device of Claim 9, wherein the security configuration specific to the network slice is received in an initial context setup message from the core network device,the security configuration specific to the network slice is sent in an access stratum security mode command message to the terminal device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for radio resource control integrity;an indication of slice specific algorithm for radio resource control encryption;an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for radio resource control integrity;an indication of slice specific key derivation for radio resource control encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.11.The radio access network device of Claim 10, wherein the capability of supporting slice specific security configuration is reported in an interface setup request to the core network device, andthe response message is sent in an initial context setup response message to the core network device.12.The radio access network device of Claim 9, wherein the security configuration specific to the network slice is received in a protocol data unit session request message from the core network device,the security configuration specific to the network slice is sent in a radio resource setup message or a protocol data unit session establishment accept message to the terminal device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.13.The radio access network device of Claim 12, wherein the capability of supporting slice specific security configuration is reported in an interface setup request to the core network device, andthe response message is sent in a protocol data unit session response message to the core network device.14.A core network device comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the core network device at least to perform:receiving from a radio access network device, first information of capability for supporting slice specific security configuration;receiving from a terminal device served by the radio access network device, second information of capability for supporting slice specific security configuration; anddetermining whether to use slice specific security configuration for a network slice, based on the first capability information, the second capability information, and a security policy specific to the network slice.15.The core network device of Claim 14, wherein the at least one memory further stores instructions that, when executed by the at least one processor, cause the core network device at least to perform, in a case where the core network device determines to use slice specific security configuration for the network slice:sending to the radio access network device, a security configuration specific to the network slice; andreceiving from the radio access network device, a response message confirming that the security configuration specific to the network slice is applied.16.The core network device of Claim 15, wherein the security configuration specific to the network slice is sent in an initial context setup message to the radio access network device,the response message is received in an initial context setup response message from the radio access network device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for radio resource control integrity;an indication of slice specific algorithm for radio resource control encryption;an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for radio resource control integrity;an indication of slice specific key derivation for radio resource control encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.17.The core network device of Claim 15, wherein the security configuration specific to the network slice is sent in a protocol data unit session request message to the radio access network device,the response message is received in a protocol data unit session response message from the radio access network device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.18.The core network device of Claim 14, wherein the first capability information is received in an interface setup request from the radio access network device, andthe second capability information is received in a registration request from the terminal device.19.The core network device of Claim 18, wherein the at least one memory further stores instructions that, when executed by the at least one processor, cause  the core network device at least to perform, in a case where the core network device determines to refrain from using slice specific security configuration for the network slice due to capability limitation of the radio access network device:sending to the terminal device, a registration accept message comprising at least one of the following:information of one or more cells served by at least one other radio access network device that supports slice specific security configuration, andan indication of slice common key being used.20.A method comprising:receiving from at least one radio access network device, system information indicative of capability for supporting slice specific security configuration; andselecting one of the at least one radio access network device to connect to, based on the system information.21.A method comprising:broadcasting system information indicative of capability for supporting slice specific security configuration; andreceiving a random access request from a terminal device having the capability of supporting slice specific security configuration.22.A method comprising:reporting to a core network device, capability of supporting slice specific security configuration; andreceiving from a radio access network device in association with the core network device, a security configuration specific to a network slice.23.The method of Claim 22, wherein the capability of supporting slice specific security configuration is reported in a registration request to the core network device, the registration request further comprising identity of one or more network slices.24.The method of Claim 22, wherein the security configuration specific to the network slice is received in an access stratum security mode command message from the radio access network device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for radio resource control integrity;an indication of slice specific algorithm for radio resource control encryption;an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for radio resource control integrity;an indication of slice specific key derivation for radio resource control encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.25.The method of Claim 23, wherein the security configuration specific to the network slice is received from the radio access network device in a case where the core network device decides to use slice specific security configuration for the network slice, andthe method further comprises, in a case where the core network device decides to refrain from using slice specific security configuration for the network slice due to capability limitation of the radio access network device, receiving from the core network device, a registration accept message comprising at least one of the following:information of one or more cells served by at least one other radio access network device that supports slice specific security configuration; andan indication of slice common key being used.26.The method of Claim 22, wherein the security configuration specific to the network slice is received in a radio resource setup message or a protocol data unit session establishment accept message received from the radio access network device in a protocol data unit session establishment procedure, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.27.A method comprising:reporting to a core network device, capability of supporting slice specific security configuration;receiving from the core network device, a security configuration specific to a network slice; andsending to a terminal device supporting the network slice, the security configuration specific to the network slice.28.The method of Claim 27, further comprising:sending to the core network device, a response message indicating that the security configuration specific to the network slice is applied.29.The method of Claim 28, wherein the security configuration specific to the network slice is received in an initial context setup message from the core network device,the security configuration specific to the network slice is sent in an access stratum security mode command message to the terminal device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for radio resource control integrity;an indication of slice specific algorithm for radio resource control encryption;an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for radio resource control integrity;an indication of slice specific key derivation for radio resource control encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.30.The method of Claim 29, wherein the capability of supporting slice specific security configuration is reported in an interface setup request to the core network device, andthe response message is sent in an initial context setup response message to the core network device.31.The method of Claim 28, wherein the security configuration specific to  the network slice is received in a protocol data unit session request message from the core network device,the security configuration specific to the network slice is sent in a radio resource setup message or a protocol data unit session establishment accept message to the terminal device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.32.The method of Claim 31, wherein the capability of supporting slice specific security configuration is reported in an interface setup request to the core network device, andthe response message is sent in a protocol data unit session response message to the core network device.33.A method comprising:receiving from a radio access network device, first information of capability for supporting slice specific security configuration;receiving from a terminal device served by the radio access network device, second information of capability for supporting slice specific security configuration; anddetermining whether to use slice specific security configuration for a network slice, based on the first capability information, the second capability information, and a security policy specific to the network slice.34.The method of Claim 33, further comprising, in case of determining to use slice specific security configuration for the network slice:sending to the radio access network device, a security configuration specific to the network slice; andreceiving from the radio access network device, a response message confirming that the security configuration specific to the network slice is applied.35.The method of Claim 34, wherein the security configuration specific to the network slice is sent in an initial context setup message to the radio access network device,the response message is received in an initial context setup response message from the radio access network device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for radio resource control integrity;an indication of slice specific algorithm for radio resource control encryption;an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for radio resource control integrity;an indication of slice specific key derivation for radio resource control encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.36.The method of Claim 34, wherein the security configuration specific to the network slice is sent in a protocol data unit session request message to the radio access network device,the response message is received in a protocol data unit session response message from the radio access network device, andthe security configuration specific to the network slice comprises at least one of the following:an indication of slice specific algorithm for user plane integrity;an indication of slice specific algorithm for user plane encryption;an indication of slice specific key derivation for user plane integrity; andan indication of slice specific key derivation for user plane encryption.37.The method of Claim 33, wherein the first capability information is  received in an interface setup request from the radio access network device, andthe second capability information is received in a registration request from the terminal device.38.The method of Claim 37, further comprising, in case of determining to refrain from using slice specific security configuration for the network slice due to capability limitation of the radio access network device:sending to the terminal device, a registration accept message comprising at least one of the following:information of one or more cells served by at least one other radio access network device that supports slice specific security configuration, andan indication of slice common key being used.39.An apparatus comprising:means for receiving from at least one radio access network device, system information indicative of capability for supporting slice specific security configuration; andmeans for selecting one of the at least one radio access network device to connect to, based on the system information.40.An apparatus comprising:means for broadcasting system information indicative of capability for supporting slice specific security configuration; andmeans for receiving a random access request from a terminal device having the capability of supporting slice specific security configuration.41.An apparatus comprising:means for reporting to a core network device, capability of supporting slice specific security configuration; andmeans for receiving from a radio access network device in association with the core network device, a security configuration specific to a network slice.42.An apparatus comprising:means for reporting to a core network device, capability of supporting slice specific security configuration;means for receiving from the core network device, a security configuration specific to a network slice; andmeans for sending to a terminal device supporting the network slice, the security configuration specific to the network slice.43.An apparatus comprising:means for receiving from a radio access network device, first information of capability for supporting slice specific security configuration;means for receiving from a terminal device served by the radio access network device, second information of capability for supporting slice specific security configuration; andmeans for determining whether to use slice specific security configuration for a network slice, based on the first capability information, the second capability information, and a security policy specific to the network slice.44.A computer readable medium comprising instructions which, when executed by an apparatus, cause the apparatus to perform at least the following:receiving from at least one radio access network device, system information indicative of capability for supporting slice specific security configuration; andselecting one of the at least one radio access network device to connect to, based on the system information.45.A computer readable medium comprising instructions which, when executed by an apparatus, cause the apparatus to perform at least the following:broadcasting system information indicative of capability for supporting slice specific security configuration; andreceiving a random access request from a terminal device having the capability of supporting slice specific security configuration.46.A computer readable medium comprising instructions which, when executed by an apparatus, cause the apparatus to perform at least the following:reporting to a core network device, capability of supporting slice specific security configuration; andreceiving from a radio access network device in association with the core network device, a security configuration specific to a network slice.47.A computer readable medium comprising instructions which, when executed by an apparatus, cause the apparatus to perform at least the following:reporting to a core network device, capability of supporting slice specific security configuration;receiving from the core network device, a security configuration specific to a network slice; andsending to a terminal device supporting the network slice, the security configuration specific to the network slice.48.A computer readable medium comprising instructions which, when executed by an apparatus, cause the apparatus to perform at least the following:receiving from a radio access network device, first information of capability for supporting slice specific security configuration;receiving from a terminal device served by the radio access network device, second information of capability for supporting slice specific security configuration; anddetermining whether to use slice specific security configuration for a network slice, based on the first capability information, the second capability information, and a security policy specific to the network slice.

Images