Enforcing transport isolation of network slice using slice aware authentication data

Abstract

An apparatus comprising: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to: determine at least one slice specific identifier; create a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and transmit data on the slice specific connection.

Description

Enforcing Transport Isolation Of Network Slice Using Slice Aware Authentication DataTECHNICAL FIELD

[0001] The examples and non-limiting example embodiments relate generally to communications and, more particularly, to enforcing transport isolation of a network slice using slice aware authentication data.BACKGROUND

[0002] It is known to create logical or physical partitions for applications in a communication network.SUMMARY

[0003] In accordance with an aspect, an apparatus includes at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to: determine at least one slice specific identifier; create a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and transmit data on the slice specific connection.

[0004] In accordance with an aspect, an apparatus includes at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to: receive an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; determine a network slice based on the first slice specific identifier within the internet protocol security connection request; and determine whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.

[0005] In accordance with an aspect, an apparatus includes at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to: determine a network slice; determine a first slice specific identifier that corresponds to the network slice; transmit an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first  slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; and transmit data on a slice specific connection associated with the network slice.

[0006] In accordance with an aspect, a method includes determining at least one slice specific identifier; creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and transmitting data on the slice specific connection.

[0007] In accordance with an aspect, a method includes receiving an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; determining a network slice based on the first slice specific identifier within the internet protocol security connection request; and determining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.

[0008] In accordance with an aspect, a method includes determining a network slice; determining a first slice specific identifier that corresponds to the network slice; transmitting an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; and transmitting data on a slice specific connection associated with the network slice.

[0009] In accordance with an aspect, an apparatus includes means for determining at least one slice specific identifier; means for creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and means for transmitting data on the slice specific connection.

[0010] In accordance with an aspect, an apparatus includes means for receiving an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; means for determining a network slice based on the first slice specific identifier within the internet protocol security connection request; and means for determining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.

[0011] In accordance with an aspect, an apparatus includes means for determining a network slice; means for determining a first slice specific identifier that corresponds to the network slice; means for transmitting an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; and means for transmitting data on a slice specific connection associated with the network slice.

[0012] In accordance with an aspect, a non-transitory program storage device readable by a machine, tangibly embodying a program of instructions executable by the machine for performing operations is provided and described, the operations comprising: determining at least one slice specific identifier; creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and transmitting data on the slice specific connection.

[0013] In accordance with an aspect, a non-transitory program storage device readable by a machine, tangibly embodying a program of instructions executable by the machine for performing operations is provided and described, the operations comprising: receiving an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; determining a network slice based on the first slice specific identifier within the internet protocol security connection request; and determining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.

[0014] In accordance with an aspect, a non-transitory program storage device readable by a machine, tangibly embodying a program of instructions executable by the machine for performing operations is provided and described, the operations comprising: determining a network slice; determining a first slice specific identifier that corresponds to the network slice; transmitting an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; and transmitting data on a slice specific connection associated with the network slice.BRIEF DESCRIPTION OF THE DRAWINGS

[0015] The foregoing aspects and other features are explained in the following description, taken in connection with the accompanying drawings.

[0016] FIG. 1 shows certificate based authentication in IPsec with identification payload.

[0017] FIG. 2A shows a first step of service restart of one slice tunnel with ICN payload usage having a common identity impacting other slices.

[0018] FIG. 2B shows a second step of service restart of one slice tunnel with ICN payload usage having a common identity impacting other slices.

[0019] FIG. 2C shows a third step of service restart of one slice tunnel with ICN payload usage having a common identity impacting other slices.

[0020] FIG. 2D shows a fourth step of service restart of one slice tunnel with ICN payload usage having a common identity impacting other slices.

[0021] FIG. 3 is Table 1, which shows different examples of the options described herein.

[0022] FIG. 4 shows that slice specific FQDNs may be includes in a SAN field extension of end entity certificate create by sending a CMP initialization request to a CMP / CA server.

[0023] FIG. 5 is Table 2, which shows different values for the identities used in FIG. 6 at gNB / eNB, SecGW and neighboring gNBs / eNBs.

[0024] FIG. 6A shows a first step of service restart of one slice tunnel with ICN payload usage having a unique identity, which does not impact other slices.

[0025] FIG. 6B shows a second step of service restart of one slice tunnel with ICN payload usage having a unique identity, which does not impact other slices.

[0026] FIG. 6C shows a third step of service restart of one slice tunnel with ICN payload usage having a unique identity, which does not impact other slices.

[0027] FIG. 6D shows a fourth step of service restart of one slice tunnel with ICN payload usage having a unique identity, which does not impact other slices.

[0028] FIG. 7 is a block diagram of one possible and non-limiting system in which the example embodiments may be practiced.

[0029] FIG. 8 is an example apparatus configured to implement the examples described herein.

[0030] FIG. 9 shows a representation of an example of non-volatile memory media used to store instructions that implement the examples described herein.

[0031] FIG. 10 is an example method, based on the examples described herein.

[0032] FIG. 11 is an example method, based on the examples described herein.

[0033] FIG. 12 is an example method, based on the examples described herein.

[0034] DETAILED DESCRIPTION OF EXAMPLE EMBODIMENTS

[0035] Network slicing is a feature and business driver for 5G, which enables enterprises and operators to address the specific requirements of different market segments. Threat surface is incremented with network slicing as new factors such as business models, interfaces, signaling flows, etc., are introduced, especially when isolation of network slices is not well designed and effectively enforced.

[0036] Isolation is a principle and security requirement in network slicing. A network slice could be fully or partially, logically and / or physically isolated from another network slice (s) . Different types of isolation may be implemented in network slicing, for example, network slices may be physically separated by being implemented in different racks, different locations, or different hardware, and / or logically separated via VM isolation or clusters isolation in case of virtualized cloud infrastructures.

[0037] As stated in RFC 7296, section 3.5, uniqueness of IPsec tunnels (in this case, tunnel carrying slice specific information) can be supported via IP address or FQDN. But generation and provision of these identities inside End Entity certificate and indication of the same via identification payload used in IPsec, for run time slice creation and isolation of the same with other slices may not be scalable and not efficient.

[0038] FIG. 1 provides an introduction to certificate-based authentication in IPsec where in identification payloads carrying FQDN information are used as authentication data which is  present in End Entity certificates of endpoints.

[0039] FIG. 1 shows certificate based authentication in IPsec with identification payload. In particular, FIG. 1 shows a signaling exchange between a gNB 70 or eNB 70 and a security gateway 80 or peer eNB 70-2 or gNB 70-2. At 110, the gNB 70 or eNB 70 transmits to the security gateway 80 or peer eNB 70-2 or gNB 70-2 an IKE_INIT_SA request. At 120, the security gateway 80 or peer eNB 70-2 or gNB 70-2 transmits to the gNB 70 or eNB 70 an IKE_INIT_SA response. At 130, the gNB 70 or eNB 70 transmits to the security gateway 80 or peer eNB 70-2 or gNB 70-2 an IKE_AUTH request comprising an IDi that is gNB. operator. com and a Certificate that has a subject name of gNB. operator. com. At 140, the security gateway 80 or peer eNB 70-2 or gNB 70-2 verifies that IKE ID (IDi) is part of the Certificate. At 150, security gateway 80 or peer eNB 70-2 or gNB 70-2 transmits to the gNB 70 or eNB 70 IKE_AUTH response comprising an IDr that is for example SGW. operator. com and a Certificate that has a subject name of for example SGW. operator. com. At 160, the gNB 70 or eNB 70 verifies that IKE ID (IDr) is part of the Certificate.

[0040] Having the same certificate identity usage in the End Entity certificate and in identification payload of IKE profile causes impact to tunnels (supporting different slices) , though they are intact due to a failure in one of the tunnels (supporting less priority slice data) hosted in network element and recovering from the problem.

[0041] The examples described herein enforce isolation of network slice using slice aware authentication data in End Entity certificate and indication of the same via identification payload used in IPsec, so that one of the IPsec tunnels (carrying lesser priority slice data) recovering from the failure does not cause any impact to other high priority IPsec tunnels (which are still intact and carrying most important slice data) due to INITIAL_CONTACT notify (ICN) payload presence as its usage is to avoid wastage of network bandwidth by the peers as stated in RFC 7296, section 2.4.

[0042] As per the RFC 7296, section 2.4, it is very important to detect endpoint failure with the presence of INITIAL_CONTACT notify (ICN) payload whenever endpoint recovers and comes up, so that wastage of network bandwidth can be avoided. But at the same time, usage of common identification type between the endpoints lead to bring down of even the intact and stable tunnels though there is a problem in only one IPsec tunnel. FIG. 2A, FIG. 2B, FIG. 2C, and FIG. 2D provide more insight about the technical problem to be solved. In particular,  FIG. 2A, FIG. 2B, FIG. 2C, and FIG. 2D show service restart of one slice tunnel with ICN payload usage having common identity impacting other slices.

[0043] In step 1 (FIG. 2A) , different tunnels (202, 204, 206) are established between gNB / eNB 70 and SecGW 80 for different slices and different tunnels (212, 214, 216) are established between gNB / eNB 70 and neighboring gNBs / eNBs (including a neighboring gNB / eNB 70-2) supporting MORAN use cases. Here a single gNB identifier (220, 222) is used, e.g., gNB. operator. com for gNB identifier 220 or gNBx. operator. com for gNB identifier 222. Also a single identifier (221) for the security gateway 80 is used, namely SGW. operator. com for security gateway identifier 221.

[0044] In step 2 (FIG. 2B) , when there is a problem in slice 20 –eMBB tunnel 206 or 5G User Plane (UP)  / Control Plane (CP) tunnel 214 of Operator 1, then that tunnel (206, 214) goes down and tries to come up and at the same time gNB / eNB 70 is unaware of this failure condition in peers (SecGW 80 and neighboring gNBs / eNBs 70-2) .

[0045] In step 3 (FIG. 2C) , whenever peers (that means slice 20 –eMBB tunnel 206 or 5G UP / CP tunnel 214 of Operator 1) reinitialize the state and sets up new tunnels (230, 232) with ICN payload (240, 242) , gNB / eNB 70 deletes the stale tunnel (206, 214) due to the presence of ICN payload (240, 242) to avoid network bandwidth getting wasted as the existing traffic being still sent on stale tunnel (206, 214) .

[0046] In step 4 (FIG. 2D) , gNB / eNB 70 deletes all active tunnels (202, 204) created from different slices and from MORAN use cases point of view (212, 216) –this is due to common identity type usage between the IPsec tunnel endpoints.

[0047] Now, the technical problem to be solved here is that whenever there is a problem with one tunnel, recovering that tunnel using ICN –should not impact all the other active tunnels due to gNB / eNBs End Entity certificate’s common identity usage inside identification payload of IKE message.

[0048] In other words, having a problem with slice1 impacts all other slices tunnel. This violates the principle of slice isolation.

[0049] So, enforcement of slice isolation using slice aware authentication data which should be generated and present in SAN field extension of End Entity certificate and usage of the  same in identification payload of IKE message.

[0050] The below options / approaches solve this problem:

[0051] Approach 1: Slice specific certificate-based solutions.

[0052] Approach 2: Slice specific information in EP_Transport endpoint definition of 3GPP TS 28.541.

[0053] Approach 1a: single certificate per slice. This solution ensures each slice gets its own FQDN and its own End Entity certificate. Each slice level security is negotiated independently. Pros and Cons: Clean solution but heavy and costly solution because each node needs to support multiple End Entity certificates.

[0054] Approach 1b: single certificate for all slices but different FQDNs are added in the SAN field extension. Certificate profile defined in TS 33.310 needs to be updated where multiple slice specific FQDNs are added in SAN field extension of End Entity certificate. Pros and Cons: Single certificate solution, however, whenever new slice is added, new slice specific FQDN is to be generated and accordingly End Entity certificate to be acquired. As adding a new slice is not a very frequent activity, this solution works.

[0055] Approach 2: EP transport endpoint definition can include slice specific information so that same can be used in generating End Entity certificate in SAN field extension and in identification payload of IKE profile so that transport isolation of slice can be supported easily.

[0056] Security isolation of network slice can be done using slice aware authentication data in End Entity certificate and usage of the same in identification payload of IKE message between common endpoints. The problem stated in section 5 can be solved by generating identity type to be used in SAN field extension of End Entity certificate using any of the options mentioned in section 6. Table 1 shown in FIG. 3 gives example details for all the options suggested (i.e. shows different examples for the options proposed) .

[0057] The below operations are performed for the options / approaches mentioned herein to generate slice specific or slice group specific FQDNs in End Entity Certificate and usage of the same from the IKE protocol point of view.

[0058] Approach 1:

[0059] Step 1 : Using PLMN ID and SNSSAI information and also FQDN, unique slice specific FQDN is generated and the same is sent as part of CMP initialization request message to CMP / CA server to include the same in Certificate extensions –SAN field extension of End Entity Certificate.

[0060] Step 2 : IKE profile can be configured with one of the specific identities generated in step 1, which can be used in identification payload of IKE AUTH message (130, 150) as shown in FIG. 1 to ensure the transport isolation of network slice.

[0061] Approach 2 :

[0062] Step 1 : Using the unique identifier which is already present or a new unique identifier which can be added to EP transport definition can be used in generating slice specific FQDNs and same can be used in CMP initialization request message to CMP / CA server to include the same in Certificate extensions –SAN field extension of End Entity Certificate.

[0063] Step 2 : same unique identifier generated in step 1 can be used in identification payload of IKE AUTH message (130, 150) as shown in FIG. 1 to ensure the transport isolation of network slice.

[0064] As shown in FIG. 4, slice specific FQDNs 412 (xyz. 11. nokia. com, abc. 21. nokia. com) may be included in SAN field extension 410 of End Entity Certificate 408 creation by sending CMP initialization request 404 to CMP / CA server 402.

[0065] CMP initialization 404 request contains slice specific FQDNs in SAN extension field and FA device cert 406 is sent as proof of possession (POP) . OP device cert 414 is the operator device certificate having all the slice specific FQDNs details in SAN extension field (410, 412) . CA root certificate 416 is shown, and other Root CAs (CA1 and CA2) may also be present.

[0066] Table 2 (shown in FIG. 5) shows different values for the identities used in FIG. 6 at gNB / eNB 70, SecGW 80 and neighboring gNBs / eNBs 70-2.

[0067] FIG. 6 shows how the technical problem stated regarding the discussion of FIG. 2A, FIG. 2B, FIG. 2C, and FIG. 2D can be solved with using different identities generated using any of the options mentioned in Table 1 and examples shown in Table 2. In particular, FIG.  6 shows service restart of one slice tunnel with ICN payload usage having a unique identity, which does not impact other slices.

[0068] In FIG. 6A, FIG. 6B, and FIG. 6C, step numbers 1, 2, and 3 have remained the same as in step numbers 1, 2, and 3 of FIG. 2A, FIG. 2B, and FIG. 2C. In step 4 (FIG. 6D) , gNB / eNB 70 does not delete all active tunnels (202, 204, 212, 216) created from different slices and from MORAN use cases point of view –this is due to unique identity usage between the IPsec tunnel endpoints (601, 602, 603, 604, 605, 606, 607, 608, 609, 610, 611, 612) .

[0069] So, service restart of one slice tunnel does not impact any other tunnel as each tunnel is identified with unique identity present in SAN field extension 410 of End Entity certificate 408 and same is part of identification payload of IKE message (e.g. message 130 or 150) .

[0070] In an embodiment of the examples described herein, a receiving node (e.g. SEG 80 or network node 70-2) determines a network slice based on a slice specific identifier in an identification payload, because there could be multiple slice specific identifiers in the SAN of a certificate. Then if the SEG 80 or network node 70-2 can match the slice specific identifier in the identification payload with one of the slice specific identifiers in the SAN of the certificate, the SEG 80 or gNB 70-2 may accept the IKE request, otherwise reject it. In particular, a gNB1 70 selects slice1 and a corresponding slice specific fqdn1 and creates a connection with that fqdn1. In this request, gNB1 70 also sends a certificate that contains a list of fqdns (fqdn1, fqdn2, …, fqdnN) , where N is the number of fqdns in the list. The gNB2 / Node2 (80, 70-2) determines the slice based on the fqdn1. The gNB2 / Node2 (80, 70-2) also matches the fqdn received in the request against the certificate when determining whether to accept or reject the request.

[0071] 1. The method described herein may be standardized in 3GPP to standardize a. slice specific FQDN generation for gNB, and b. multiple slice specific FQDNs usage in SAN field extension of End Entity Certificate.

[0072] 2. The method described herein may be relevant to 3GPP TS 28.541 for generation of a slice specific certificate which includes FQDN of a slice or a group of slices.

[0073] By checking CMP IR / IP and KUR / KUP messages for the presence of slice specific information in SAN field of End Entity certificate and usage of the same in Identification payload of IKE AUTH message.

[0074] If any slice specific tunnel restart does not impact the other IPsec tunnels (carrying different slice information) between same endpoints with this new identity type usage, this implies each tunnel is identified uniquely.

[0075] FIG. 7 shows a block diagram of one possible and non-limiting example of a cellular network 1 that is connected to a user equipment (UE) 10. A number of network elements are shown in the cellular network of FIG. 7: a base station 70; and a core network 90.

[0076] In FIG. 7, a user equipment (UE) 10 is in wireless communication via radio link 11 with the base station 70 of the cellular network 1. A UE 10 is a wireless communication device, such as a mobile device, that is configured to access a cellular network. The UE 10 is illustrated with one or more antennas 28. The ellipses 2 indicate there could be multiple UEs 10 in wireless communication via radio links with the base station 70. The UE 10 includes one or more processors 13, one or more memories 15, and other circuitry 16. The other circuitry 16 includes one or more receivers (Rx (s) ) 17 and one or more transmitters (Tx (s)) 18. A program 12 is used to cause the UE 10 to perform the operations described herein. For a UE 10, the other circuitry 16 could include circuitry such as for user interface elements (not shown) like a display.

[0077] The base station 70, as a network element of the cellular network 1, provides the UE 10 access to cellular network 1 and to the data network 91 via the core network 90 (e.g., via a user plane function (UPF) of the core network 90) . The base station 70 is illustrated as having one or more antennas 58. In general, the base station 70 is referred to as RAN node 70 herein. An example of a RAN node 70 is a gNB. There are, however, many other examples of RAN nodes including an eNB (LTE base station) or transmission reception point (TRP) . The base station 70 includes one or more processors 73, one or more memories 75, and other circuitry 76. The other circuitry 76 includes one or more receivers (Rx (s) ) 77 and one or more transmitters (Tx (s) ) 78. A program 72 is used to cause the base station 70 to perform the operations described herein.

[0078] It is noted that the base station 70 may instead be implemented via other wireless technologies, such as Wi-Fi (awireless networking protocol that devices use to communicate without direct cable connections) . In the case of Wi-Fi, the link 11 could be characterized as a wireless link.

[0079] Two or more base stations 70 communicate using, e.g., link (s) 79. The link (s) 79  may be wired or wireless or both and may implement, e.g., an Xn interface for fifth generation (5G) , an X2 interface for LTE, or other suitable interface for other standards.

[0080] The cellular network 1 may include a core network 90, as a third illustrated element or elements, that may include core network functionality, and which provide connectivity via a link or links 81 with a data network 91, such as a telephone network and / or a data communications network (e.g., the Internet) . The core network 90 includes one or more processors 93, one or more memories 95, and other circuitry 96. The other circuitry 96 includes one or more receivers (Rx (s) ) 97 and one or more transmitters (Tx (s) ) 98. A program 92 is used to cause the core network 90 to perform the operations described herein.

[0081] The core network 90 could be a 5GC (5G core network) . The core network 90 can implement or comprise multiple network functions (NF (s) ) 99, and the program 92 may comprise one or more of the NFs 99. A 5G core network may use hardware such as memory and processors and a virtualization layer. It could be a single standalone computing system, a distributed computing system, or a cloud computing system. The NFs 99, as network elements, of the core network could be containers or virtual machines running on the hardware of the computing system (s) making up the core network 90.

[0082] Core network functionality for 5G may include access and mobility management functionality that is provided by a network function 99 such as an access and mobility management function (AMF (s) ) , session management functionality that is provided by a network function such as a session management function (SMF) . Core network functionality for access and mobility management in an LTE network may be provided by an MME (Mobility Management Entity) and / or SGW (Serving Gateway) functionality, which routes data to the data network. Many others are possible, as illustrated by the examples in FIG. 7: AMF; SMF; MME; SGW; gateway mobile location center (GMLC) ; location management functions (LMFs) ; unified data management (UDM) ; unified data repository (UDR) ; network repository function (NRF) ; and / or evolved serving mobile location center (E-SMLC) . These are merely exemplary core network functionality that may be provided by the core network 90, and note that both 5G and LTE core network functionality might be provided by the core network 90. The radio access network (RAN) node 70 is coupled via a backhaul link 31 to the core network 90. The RAN node 70 and the core network 90 may include an NG interface for 5G, or an S1 interface for LTE, or other suitable interface for other radio access technologies for communicating via the backhaul link 31.

[0083] In the data network 91, there is a computer-readable medium 94. The computer-readable medium 94 contains instructions that, when downloaded and installed into the memories 15, 75, or 95 of the corresponding UE 10, base station 70, and / or core network element (s) 90, and executed by processor (s) 13, 73, or 93, cause the respective device to perform corresponding actions described herein. The computer-readable medium 94 may be implemented in other forms, such as via a compact disc or memory stick.

[0084] The programs 12, 72, and 92 contain instructions stored by corresponding one or more memories 15, 75, or 95. These instructions, when executed by the corresponding one or more processors 13, 73, or 93, cause the corresponding apparatus 10, 70, or 90, to perform the operations described herein. The computer readable memories 15, 75, or 95 may be of any type suitable to the local technical environment and may be implemented using any suitable data storage technology, such as semiconductor-based memory devices, flash memory, firmware, magnetic memory devices and systems, optical memory devices and systems, fixed memory and removable memory. The computer readable memories 15, 75, and 95 may be means for performing storage functions. The processors 13, 73, and 93, may be of any type suitable to the local technical environment, and may include one or more of general-purpose computers, special purpose computers, microprocessors, digital signal processors (DSPs) and processors based on a multi-core processor architecture, as non-limiting examples. The processors 13, 73, and 93 may be means for causing their respective apparatus to perform functions, such as those described herein.

[0085] The receivers 17, 77, and 97, and the transmitters 18, 78, and 98 may implement wired or wireless interfaces. The receivers and transmitters may be grouped together as transceivers.

[0086] FIG. 8 is an example apparatus 800, which may be implemented in hardware, configured to implement the examples described herein. The apparatus 800 comprises at least one processor 802 (e.g. an FPGA and / or CPU) , one or more memories 804 including computer program code 805, the computer program code 805 having instructions to carry out the methods described herein, wherein the at least one memory 804 and the computer program code 805 are configured to, with the at least one processor 802, cause the apparatus 800 to implement circuitry, a process, component, module, or function (implemented with control module 806) to implement the examples described herein, including enforcing transport isolation of a network slice using slice aware authentication data. The memory 804 may be a  non-transitory memory, a transitory memory, a volatile memory (e.g. RAM) , or a non-volatile memory (e.g. ROM) . N / W slice isolation 830 of the control module implements the herein described aspects related to enforcing transport isolation of a network slice using slice aware authentication data.

[0087] The apparatus 800 includes a display and / or I / O interface 808, which includes user interface (UI) circuitry and elements, that may be used to display aspects or a status of the methods described herein (e.g., as one of the methods is being performed or at a subsequent time) , or to receive input from a user such as with using a keypad, camera, touchscreen, touch area, microphone, biometric recognition, one or more sensors, etc. The apparatus 800 includes one or more communication e.g. network (N / W) interfaces (I / F (s) ) 810. The communication I / F (s) 810 may be wired and / or wireless and communicate over the Internet / other network (s) via any communication technique including via one or more links 824. The link (s) 824 may be the link (s) 11 and / or 79 and / or 31 and / or 81 from FIG. 7. The link (s) 11 and / or 79 and / or 31 and / or 81 from FIG. 7 may also be implemented using transceiver (s) 816 and corresponding wireless link (s) 826. The communication I / F (s) 810 may comprise one or more transmitters or one or more receivers.

[0088] The transceiver 816 comprises one or more transmitters 818 and one or more receivers 820. The transceiver 816 and / or communication I / F (s) 810 may comprise standard well-known components such as an amplifier, filter, frequency-converter, (de) modulator, and encoder / decoder circuitries and one or more antennas, such as antennas 814 used for communication over wireless link 826.

[0089] The control module 806 of the apparatus 800 comprises one of or both parts 806-1 and / or 806-2, which may be implemented in a number of ways. The control module 806 may be implemented in hardware as control module 806-1, such as being implemented as part of the one or more processors 802. The control module 806-1 may be implemented also as an integrated circuit or through other hardware such as a programmable gate array. In another example, the control module 806 may be implemented as control module 806-2, which is implemented as computer program code (having corresponding instructions) 805 and is executed by the one or more processors 802. For instance, the one or more memories 804 store instructions that, when executed by the one or more processors 802, cause the apparatus 800 to perform one or more of the operations as described herein. Furthermore, the one or more processors 802, the one or more memories 804, and example algorithms (e.g., as  flowcharts and / or signaling diagrams) , encoded as instructions, programs, or code, are means for causing performance of the operations described herein.

[0090] The apparatus 800 to implement the functionality of control 806 may be UE 10, base station 70 (e.g. gNB 70) , or core network 90 including any of the network functions 99, which network functions 99 may be implemented with a network entity. Thus, processor 802 may correspond to processor (s) 13, processor (s) 73 and / or processor (s) 93, memory 804 may correspond to one or more memories 15, one or more memories 75 and / or one or more memories 95, computer program code 805 may correspond to program 12, program 72, or program 92, communication I / F (s) 810 and / or transceiver 816 may correspond to other circuitry 16, other circuitry 76, or other circuitry 96, and antennas 814 may correspond to antennas 28 or antennas 58.

[0091] Alternatively, apparatus 800 and its elements may not correspond to either of UE 10, base station 70, or core network and their respective elements, as apparatus 800 may be part of a self-organizing / optimizing network (SON) node or other node, such as a node in a cloud. Apparatus 800 may also correspond to security gateway 80, peer eNB / gNB 70-2, or operator certification authority 402 (e.g. a CMP / CA server) .

[0092] The apparatus 800 may also be distributed throughout the network (e.g. 91) including within and between apparatus 800 and any network element (such as core network 90 and / or the base station 70 and / or the UE 10) .

[0093] Interface 812 enables data communication and signaling between the various items of apparatus 800, as shown in FIG. 8. For example, the interface 812 may be one or more buses such as address, data, or control buses, and may include any interconnection mechanism, such as a series of lines on a motherboard or integrated circuit, fiber optics or other optical communication equipment, and the like. Computer program code (e.g. instructions) 805, including control 806 may comprise object-oriented software configured to pass data or messages between objects within computer program code 805. The apparatus 800 need not comprise each of the features mentioned, or may comprise other features as well. The various components of apparatus 800 may at least partially reside in a common housing 828, or a subset of the various components of apparatus 800 may at least partially be located in different housings, which different housings may include housing 828.

[0094] FIG. 9 shows a schematic representation of non-volatile memory media 900a (e.g.  computer / compact disc (CD) or digital versatile disc (DVD) ) and 900b (e.g. universal serial bus (USB) memory stick) and 900c (e.g. cloud storage for downloading instructions and / or parameters 902 or receiving emailed instructions and / or parameters 902) storing instructions and / or parameters 902 which when executed by a processor allows the processor to perform one or more of the steps of the methods described herein.

[0095] FIG. 10 is an example method 1000, based on the example embodiments described herein. At 1010, the method includes determining at least one slice specific identifier. At 1020, the method includes creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier. At 1030, the method includes transmitting data on the slice specific connection. Method 1000 may be performed by network node 70, network node 70-2, security gateway 80, user equipment 10, or apparatus 800.

[0096] FIG. 11 is an example method 1100, based on the example embodiments described herein. At 1110, the method includes receiving an internet protocol security connection request with a certificate. At 1120, the method includes wherein the internet protocol security connection request comprises a first slice specific identifier. At 1130, the method includes wherein the certificate comprises at least one second slice specific identifier. At 1140, the method includes determining a network slice based on the first slice specific identifier within the internet protocol security connection request. At 1150, the method includes determining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier. Method 1000 may be performed by network node 70, network node 70-2, security gateway 80, user equipment 10, or apparatus 800.

[0097] FIG. 12 is an example method 1200, based on the example embodiments described herein. At 1210, the method includes determining a network slice. At 1220, the method includes determining a first slice specific identifier that corresponds to the network slice. At 1230, the method includes transmitting an internet protocol security connection request with a certificate. At 1240, the method includes wherein the internet protocol security connection request comprises a first slice specific identifier. At 1250, the method includes wherein the certificate comprises at least one second slice specific identifier. At 1260, the method includes transmitting data on a slice specific connection associated with the network slice. Method 1000 may be performed by network node 70, network node 70-2, security gateway  80, user equipment 10, or apparatus 800.

[0098] The following examples are provided and described herein.

[0099] Example 1. An apparatus including: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to: determine at least one slice specific identifier; create a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and transmit data on the slice specific connection.

[0100] Example 2. The apparatus of example 1, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: transmit an initialization request to include the at least one slice specific identifier within a field extension of the certificate.

[0101] Example 3. The apparatus of example 2, wherein the initialization request is transmitted to a certificate management protocol server or a certificate authority server.

[0102] Example 4. The apparatus of any of examples 2 to 3, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: transmit, within the initialization request, a request to include a plurality of slice specific identifiers within the field extension of the certificate.

[0103] Example 5. The apparatus of example 4, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: determine the at least one slice specific identifier of the plurality of slice specific identifiers, when a new network slice is added.

[0104] Example 6. The apparatus of any of examples 2 to 5, wherein the initialization request comprises a certificate management protocol initialization request.

[0105] Example 7. The apparatus of any of examples 1 to 6, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: receive the certificate with the at least one slice specific identifier.

[0106] Example 8. The apparatus of example 7, wherein the certificate is received from a certificate management protocol server or a certificate authority server.

[0107] Example 9. The apparatus of any of examples 1 to 8, wherein the at least one slice  specific identifier comprises a fully qualified domain name.

[0108] Example 10. The apparatus of any of examples 1 to 9, wherein the certificate comprises the at least one slice specific identifier.

[0109] Example 11. The apparatus of any of examples 1 to 10, wherein a field extension of the certificate comprises a subject alternative name field extension comprising the at least one slice specific identifier.

[0110] Example 12. The apparatus of any of examples 1 to 11, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: determine the at least one slice specific identifier using a public land mobile network identifier and single network slice selection assistance information.

[0111] Example 13. The apparatus of any of examples 1 to 12, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: determine the at least one slice specific identifier using an endpoint transport definition identifier.

[0112] Example 14. The apparatus of example 13, wherein the endpoint transport definition identifier is already existing.

[0113] Example 15. The apparatus of any of examples 13 to 14, wherein the endpoint transport definition identifier is newly added.

[0114] Example 16. The apparatus of any of examples 1 to 15, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: transmit an internet key exchange authentication message, wherein the at least one slice specific identifier is used in an identification payload of the internet key exchange authentication message.

[0115] Example 17. The apparatus of any of examples 1 to 16, wherein an internet key exchange identifier is part of the certificate.

[0116] Example 18. The apparatus of any of examples 1 to 17, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: configure an internet key exchange profile using the at least one slice specific identifier.

[0117] Example 19. The apparatus of any of examples 1 to 18, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: determine not to  delete active tunnels created from slices other than a tunnel created from a slice used for an initial contact notify payload, based on the at least one slice specific identifier, wherein the slice used for the initial contact notify payload is associated with the at least one slice specific identifier.

[0118] Example 20. The apparatus of any of examples 1 to 19, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: determine not to delete active tunnels created from at least one multi-operator radio access network use case, based on the at least one slice specific identifier.

[0119] Example 21. The apparatus of any of examples 1 to 20, wherein the network node comprises an evolved node B, a next generation node B, a security gateway, or a user equipment.

[0120] Example 22. The apparatus of any of examples 1 to 21, wherein the apparatus comprises another network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.

[0121] Example 23. The apparatus of any of examples 1 to 22, wherein at least one slice specific identifier comprises a tunnel endpoint.

[0122] Example 24. The apparatus of any of examples 1 to 23, wherein the certificate comprises an end entity certificate.

[0123] Example 25. The apparatus of any of examples 1 to 24, wherein the at least one slice specific identifier and the slice specific connection are specific to a network slice.

[0124] Example 26. The apparatus of any of examples 1 to 25, wherein the certificate is specific to a network slice.

[0125] Example 27. The apparatus of any of examples 1 to 26, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: determine at least one slice specific identifier from among a plurality of slice specific identifiers within the certificate.

[0126] Example 28. An apparatus including: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at  least to: receive an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; determine a network slice based on the first slice specific identifier within the internet protocol security connection request; and determine whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.

[0127] Example 29. The apparatus of example 28, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to: determine to accept the internet protocol security connection request, in response to the first slice specific identifier within the internet protocol security connection request matching at least one of the at least one second slice specific identifier within the certificate; and determine to reject the internet protocol security connection request, in response to the first slice specific identifier within the internet protocol security connection request not matching at least one of the at least one second slice specific identifier within the certificate.

[0128] Example 30. The apparatus of any of examples 28 to 29, wherein the internet protocol security connection request comprises an internet key exchange request.

[0129] Example 31. The apparatus of any of examples 28 to 30, wherein the first slice specific identifier comprises a fully qualified domain name, and the at least one second slice specific identifier comprises a fully qualified domain name.

[0130] Example 32. The apparatus of any of examples 28 to 31, wherein the at least one second slice specific identifier is within a field extension of the certificate.

[0131] Example 33. The apparatus of any of examples 28 to 32, wherein a field extension of the certificate comprises a subject alternative name field extension, and the at least one second slice specific identifier is within the subject alternative name field extension of the certificate.

[0132] Example 34. The apparatus of example 33, wherein the at least one second slice specific identifier within the subject alternative name field extension of the certificate comprises a plurality of slice specific identifiers.

[0133] Example 35. The apparatus of any of examples 28 to 34, wherein the at least one second slice specific identifier comprise a plurality of slice specific identifiers.

[0134] Example 36. The apparatus of any of examples 28 to 35, wherein the internet protocol security connection request is received from a network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.

[0135] Example 37. The apparatus of any of examples 28 to 36, wherein the apparatus comprises a network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.

[0136] Example 38. The apparatus of any of examples 28 to 37, wherein the first slice specific identifier comprises a tunnel endpoint, and the at least one second slice specific identifier comprises a tunnel endpoint.

[0137] Example 39. The apparatus of any of examples 28 to 38, wherein the first slice specific identifier is within an identification payload of the internet protocol security connection request.

[0138] Example 40. An apparatus including: at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to: determine a network slice; determine a first slice specific identifier that corresponds to the network slice; transmit an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; and transmit data on a slice specific connection associated with the network slice.

[0139] Example 41. The apparatus of example 40, wherein the internet protocol security connection request comprises an internet key exchange request.

[0140] Example 42. The apparatus of any of examples 40 to 41, wherein the first slice specific identifier comprises a fully qualified domain name, and the at least one second slice specific identifier comprises a fully qualified domain name.

[0141] Example 43. The apparatus of any of examples 40 to 42, wherein the at least one second slice specific identifier is within a field extension of the certificate.

[0142] Example 44. The apparatus of any of examples 40 to 43, wherein a field extension of the certificate comprises a subject alternative name field extension, and the at least one second slice specific identifier is within the subject alternative name field extension of the certificate.

[0143] Example 45. The apparatus of example 44, wherein the at least one second slice specific identifier within the subject alternative name field extension of the certificate comprises a plurality of slice specific identifiers.

[0144] Example 46. The apparatus of any of examples 40 to 45, wherein the at least one second slice specific identifier comprise a plurality of slice specific identifiers.

[0145] Example 47. The apparatus of any of examples 40 to 46, wherein the internet protocol security connection request is transmitted to a network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.

[0146] Example 48. The apparatus of any of examples 40 to 47, wherein the apparatus comprises a network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.

[0147] Example 49. The apparatus of any of examples 40 to 48, wherein the first slice specific identifier comprises a tunnel endpoint, and the at least one second slice specific identifier comprises a tunnel endpoint.

[0148] Example 50. The apparatus of any of examples 40 to 49, wherein the first slice specific identifier is within an identification payload of the internet protocol security connection request.

[0149] Example 51. A method including: determining at least one slice specific identifier; creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and transmitting data on the slice specific connection.

[0150] Example 52. A method including: receiving an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; determining a network slice based on the first slice specific identifier within the internet protocol security connection request; and determining whether to accept  or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.

[0151] Example 53. A method including: determining a network slice; determining a first slice specific identifier that corresponds to the network slice; transmitting an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; and transmitting data on a slice specific connection associated with the network slice.

[0152] Example 54. An apparatus including: means for determining at least one slice specific identifier; means for creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and means for transmitting data on the slice specific connection.

[0153] Example 55. An apparatus including: means for receiving an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; means for determining a network slice based on the first slice specific identifier within the internet protocol security connection request; and means for determining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.

[0154] Example 56. An apparatus including: means for determining a network slice; means for determining a first slice specific identifier that corresponds to the network slice; means for transmitting an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; and means for transmitting data on a slice specific connection associated with the network slice.

[0155] Example 57. A non-transitory program storage device readable by a machine, tangibly embodying a program of instructions executable by the machine for performing operations, the operations including: determining at least one slice specific identifier; creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; and transmitting data on the slice specific connection.

[0156] Example 58. A non-transitory program storage device readable by a machine, tangibly embodying a program of instructions executable by the machine for performing operations, the operations including: receiving an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; determining a network slice based on the first slice specific identifier within the internet protocol security connection request; and determining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.

[0157] Example 59. A non-transitory program storage device readable by a machine, tangibly embodying a program of instructions executable by the machine for performing operations, the operations including: determining a network slice; determining a first slice specific identifier that corresponds to the network slice; transmitting an internet protocol security connection request with a certificate; wherein the internet protocol security connection request comprises a first slice specific identifier; wherein the certificate comprises at least one second slice specific identifier; and transmitting data on a slice specific connection associated with the network slice.

[0158] References to a ‘computer’ , ‘processor’ , etc. should be understood to encompass not only computers having different architectures such as single / multi-processor architectures and sequential or parallel architectures but also specialized circuits such as field-programmable gate arrays (FPGAs) , application specific circuits (ASICs) , signal processing devices and other processing circuitry. References to computer program, instructions, code etc. should be understood to encompass software for a programmable processor or firmware such as, for example, the programmable content of a hardware device whether instructions for a processor, or configuration settings for a fixed-function device, gate array or programmable logic device etc.

[0159] The memories as described herein may be implemented using any suitable data storage technology, such as semiconductor based memory devices, flash memory, magnetic memory devices and systems, optical memory devices and systems, non-transitory memory, transitory memory, fixed memory and removable memory. The memories may comprise a database for storing data.

[0160] As used herein, the term ‘circuitry’ may refer to the following: (a) hardware circuit implementations, such as implementations in analog and / or digital circuitry, and (b) combinations of circuits and software (and / or firmware) , such as (as applicable) : (i) a combination of processor (s) or (ii) portions of processor (s)  / software including digital signal processor (s) , software, and memories that work together to cause an apparatus to perform various functions, and (c) circuits, such as a microprocessor (s) or a portion of a microprocessor (s) , that require software or firmware for operation, even if the software or firmware is not physically present. As a further example, as used herein, the term ‘circuitry’ would also cover an implementation of merely a processor (or multiple processors) or a portion of a processor and its (or their) accompanying software and / or firmware. The term ‘circuitry’ would also cover, for example and if applicable to the particular element, a baseband integrated circuit or applications processor integrated circuit for a mobile phone or a similar integrated circuit in a server, a cellular network device, or another network device.

[0161] It should be understood that the foregoing description is only illustrative. Various alternatives and modifications may be devised by those skilled in the art. For example, features recited in the various dependent claims could be combined with each other in any suitable combination (s) . In addition, features from different example embodiments described above could be selectively combined into a new example embodiment. Accordingly, this description is intended to embrace all such alternatives, modifications and variances which fall within the scope of the appended claims.

[0162] The following acronyms and abbreviations that may be found in the specification and / or the drawing figures are given as follows (the abbreviations and acronyms may be appended with each other or with other characters using e.g. a dash, hyphen, slash, or number, and may be case insensitive) :

[0163] 3GPP           third generation partnership project

[0164] 4G             fourth generation

[0165] 5G             fifth generation

[0166] 5GC            5G core network

[0167] AMF            access and mobility management function

[0168] ASIC           application-specific integrated circuit

[0169] AUTH           authentication

[0170] BTS            base transceiver station

[0171] CA             certificate authority

[0172] CD             compact / computer disc

[0173] CMP            certificate management protocol

[0174] CMP IP         CMP initialization response

[0175] CMP IR         CMP initialization request

[0176] CP             control plane

[0177] CPU            central processing unit

[0178] DSP            digital signal processor

[0179] DVD            digital versatile disc

[0180] eMBB           enhanced mobile broadband

[0181] eNB            evolved Node B (e.g., an LTE base station)

[0182] EP             endpoint

[0183] EPC            evolved packet core

[0184] E-SMLC         evolved serving mobile location center

[0185] FA             factory (e.g. FA device Cert in FIG. 4)

[0186] FPGA           field-programmable gate array

[0187] fqdn, FQDN     fully qualified domain name

[0188] GMLC           gateway mobile location center

[0189] gNB            next generation node B, base station for 5G / NR, i.e., a node

[0190] providing NR user plane and control plane protocol terminations

[0191] towards the UE, and connected via the NG interface to the 5GC

[0192] GW             gateway

[0193] ICN            initial contact notify

[0194] ID             identifier or identity

[0195] IDi            identification initiator

[0196] IDr            identification responder

[0197] I / F            interface

[0198] IKE            internet key exchange

[0199] INIT           initialization

[0200] I / O            input / output

[0201] IP             internet protocol

[0202] IPsec          internet protocol security

[0203] KPI            key performance indicator

[0204] KUR            key update request

[0205] KUP            key update response

[0206] LMF            location management function

[0207] LTE            long term evolution (4G)

[0208] MAC            medium access control

[0209] MME            mobility management entity

[0210] MORAN          multi-operator RAN

[0211] NF             network function

[0212] NG             new generation

[0213] NG-RAN         new generation radio access network

[0214] NR             new radio

[0215] NRF            network repository function

[0216] N / W            network

[0217] OP             operator (e.g. OP device Cert in FIG. 4)

[0218] OPR            operator

[0219] PKI            public key infrastructure

[0220] PLMN           public land mobile network

[0221] POP            proof of possession

[0222] RAM            random access memory

[0223] RAN            radio access network

[0224] RFC            request for comments

[0225] ROM            read-only memory

[0226] Rx             receiver or reception

[0227] S1             interface connecting the eNB to the EPC

[0228] SA             security association

[0229] SAN            subject alternative name

[0230] Sec            security

[0231] SecGW          security gateway

[0232] SEG            security gateway

[0233] SGW            serving gateway

[0234] SMF            session management function

[0235] SNSSAI         single network slice selection assistance information

[0236] SON            self-organizing / optimizing network

[0237] TRP            transmission reception point

[0238] TS             technical specification

[0239] Tx             transmitter or transmission

[0240] UDM            unified data management

[0241] UDR            unified data repository

[0242] UE             user equipment (e.g., a wireless, typically mobile device)

[0243] UI             user interface

[0244] UP             user plane

[0245] UPF            user plane function

[0246] USB            universal serial bus

[0247] v              version

[0248] VM             virtual machine

[0249] Wi-Fi          wireless networking protocol that devices use to communicate

[0250] without direct cable connections

[0251] X2             network interface between RAN nodes and between RAN and the

[0252] core network

[0253] Xn             network interface between NG-RAN nodes

Claims

1.An apparatus comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to:determine at least one slice specific identifier;create a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; andtransmit data on the slice specific connection.2.The apparatus of claim 1, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:transmit an initialization request to include the at least one slice specific identifier within a field extension of the certificate.3.The apparatus of claim 2, wherein the initialization request is transmitted to a certificate management protocol server or a certificate authority server.4.The apparatus of any of claims 2 to 3, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:transmit, within the initialization request, a request to include a plurality of slice specific identifiers within the field extension of the certificate.5.The apparatus of claim 4, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:determine the at least one slice specific identifier of the plurality of slice specific identifiers, when a new network slice is added.6.The apparatus of any of claims 2 to 5, wherein the initialization request comprises a certificate management protocol initialization request.7.The apparatus of any of claims 1 to 6, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:receive the certificate with the at least one slice specific identifier.8.The apparatus of claim 7, wherein the certificate is received from a certificate management protocol server or a certificate authority server.9.The apparatus of any of claims 1 to 8, wherein the at least one slice specific identifier comprises a fully qualified domain name.10.The apparatus of any of claims 1 to 9, wherein the certificate comprises the at least one slice specific identifier.11.The apparatus of any of claims 1 to 10, wherein a field extension of the certificate comprises a subject alternative name field extension comprising the at least one slice specific identifier.12.The apparatus of any of claims 1 to 11, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:determine the at least one slice specific identifier using a public land mobile network identifier and single network slice selection assistance information.13.The apparatus of any of claims 1 to 12, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:determine the at least one slice specific identifier using an endpoint transport definition identifier.14.The apparatus of claim 13, wherein the endpoint transport definition identifier is already existing.15.The apparatus of any of claims 13 to 14, wherein the endpoint transport definition identifier is newly added.16.The apparatus of any of claims 1 to 15, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:transmit an internet key exchange authentication message, wherein the at least one slice specific identifier is used in an identification payload of the internet key exchange authentication message.17.The apparatus of any of claims 1 to 16, wherein an internet key exchange identifier is part of the certificate.18.The apparatus of any of claims 1 to 17, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:configure an internet key exchange profile using the at least one slice specific identifier.19.The apparatus of any of claims 1 to 18, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:determine not to delete active tunnels created from slices other than a tunnel created from a slice used for an initial contact notify payload, based on the at least one slice specific identifier, wherein the slice used for the initial contact notify payload is associated with the at least one slice specific identifier.20.The apparatus of any of claims 1 to 19, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:determine not to delete active tunnels created from at least one multi-operator radio access network use case, based on the at least one slice specific identifier.21.The apparatus of any of claims 1 to 20, wherein the network node comprises an evolved node B, a next generation node B, a security gateway, or a user equipment.22.The apparatus of any of claims 1 to 21, wherein the apparatus comprises another  network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.23.The apparatus of any of claims 1 to 22, wherein at least one slice specific identifier comprises a tunnel endpoint.24.The apparatus of any of claims 1 to 23, wherein the certificate comprises an end entity certificate.25.The apparatus of any of claims 1 to 24, wherein the at least one slice specific identifier and the slice specific connection are specific to a network slice.26.The apparatus of any of claims 1 to 25, wherein the certificate is specific to a network slice.27.The apparatus of any of claims 1 to 26, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:determine at least one slice specific identifier from among a plurality of slice specific identifiers within the certificate.28.An apparatus comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to:receive an internet protocol security connection request with a certificate;wherein the internet protocol security connection request comprises a first slice specific identifier;wherein the certificate comprises at least one second slice specific identifier;determine a network slice based on the first slice specific identifier within the internet protocol security connection request; anddetermine whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.29.The apparatus of claim 28, wherein the instructions, when executed by the at least one processor, cause the apparatus at least to:determine to accept the internet protocol security connection request, in response to the first slice specific identifier within the internet protocol security connection request matching at least one of the at least one second slice specific identifier within the certificate; anddetermine to reject the internet protocol security connection request, in response to the first slice specific identifier within the internet protocol security connection request not matching at least one of the at least one second slice specific identifier within the certificate.30.The apparatus of any of claims 28 to 29, wherein the internet protocol security connection request comprises an internet key exchange request.31.The apparatus of any of claims 28 to 30, wherein the first slice specific identifier comprises a fully qualified domain name, and the at least one second slice specific identifier comprises a fully qualified domain name.32.The apparatus of any of claims 28 to 31, wherein the at least one second slice specific identifier is within a field extension of the certificate.33.The apparatus of any of claims 28 to 32, wherein a field extension of the certificate comprises a subject alternative name field extension, and the at least one second slice specific identifier is within the subject alternative name field extension of the certificate.34.The apparatus of claim 33, wherein the at least one second slice specific identifier within the subject alternative name field extension of the certificate comprises a plurality of slice specific identifiers.35.The apparatus of any of claims 28 to 34, wherein the at least one second slice  specific identifier comprise a plurality of slice specific identifiers.36.The apparatus of any of claims 28 to 35, wherein the internet protocol security connection request is received from a network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.37.The apparatus of any of claims 28 to 36, wherein the apparatus comprises a network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.38.The apparatus of any of claims 28 to 37, wherein the first slice specific identifier comprises a tunnel endpoint, and the at least one second slice specific identifier comprises a tunnel endpoint.39.The apparatus of any of claims 28 to 38, wherein the first slice specific identifier is within an identification payload of the internet protocol security connection request.40.An apparatus comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the apparatus at least to:determine a network slice;determine a first slice specific identifier that corresponds to the network slice;transmit an internet protocol security connection request with a certificate;wherein the internet protocol security connection request comprises a first slice specific identifier;wherein the certificate comprises at least one second slice specific identifier; andtransmit data on a slice specific connection associated with the network slice.41.The apparatus of claim 40, wherein the internet protocol security connection request comprises an internet key exchange request.42.The apparatus of any of claims 40 to 41, wherein the first slice specific identifier comprises a fully qualified domain name, and the at least one second slice specific identifier comprises a fully qualified domain name.43.The apparatus of any of claims 40 to 42, wherein the at least one second slice specific identifier is within a field extension of the certificate.44.The apparatus of any of claims 40 to 43, wherein a field extension of the certificate comprises a subject alternative name field extension, and the at least one second slice specific identifier is within the subject alternative name field extension of the certificate.45.The apparatus of claim 44, wherein the at least one second slice specific identifier within the subject alternative name field extension of the certificate comprises a plurality of slice specific identifiers.46.The apparatus of any of claims 40 to 45, wherein the at least one second slice specific identifier comprise a plurality of slice specific identifiers.47.The apparatus of any of claims 40 to 46, wherein the internet protocol security connection request is transmitted to a network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.48.The apparatus of any of claims 40 to 47, wherein the apparatus comprises a network node, an evolved node B, a next generation node B, a security gateway, or a user equipment.49.The apparatus of any of claims 40 to 48, wherein the first slice specific identifier comprises a tunnel endpoint, and the at least one second slice specific identifier comprises a tunnel endpoint.50.The apparatus of any of claims 40 to 49, wherein the first slice specific identifier is within an identification payload of the internet protocol security connection request.51.A method comprising:determining at least one slice specific identifier;creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; andtransmitting data on the slice specific connection.52.A method comprising:receiving an internet protocol security connection request with a certificate;wherein the internet protocol security connection request comprises a first slice specific identifier;wherein the certificate comprises at least one second slice specific identifier;determining a network slice based on the first slice specific identifier within the internet protocol security connection request; anddetermining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.53.A method comprising:determining a network slice;determining a first slice specific identifier that corresponds to the network slice;transmitting an internet protocol security connection request with a certificate;wherein the internet protocol security connection request comprises a first slice specific identifier;wherein the certificate comprises at least one second slice specific identifier; andtransmitting data on a slice specific connection associated with the network slice.54.An apparatus comprising:means for determining at least one slice specific identifier;means for creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; andmeans for transmitting data on the slice specific connection.55.An apparatus comprising:means for receiving an internet protocol security connection request with a certificate;wherein the internet protocol security connection request comprises a first slice specific identifier;wherein the certificate comprises at least one second slice specific identifier;means for determining a network slice based on the first slice specific identifier within the internet protocol security connection request; andmeans for determining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.56.An apparatus comprising:means for determining a network slice;means for determining a first slice specific identifier that corresponds to the network slice;means for transmitting an internet protocol security connection request with a certificate;wherein the internet protocol security connection request comprises a first slice specific identifier;wherein the certificate comprises at least one second slice specific identifier; andmeans for transmitting data on a slice specific connection associated with the network slice.57.A non-transitory program storage device readable by a machine, tangibly embodying a program of instructions executable by the machine for performing operations, the operations comprising:determining at least one slice specific identifier;creating a slice specific connection with a network node using a certificate associated with the at least the slice specific identifier; andtransmitting data on the slice specific connection.58.A non-transitory program storage device readable by a machine, tangibly embodying a program of instructions executable by the machine for performing operations, the operations comprising:receiving an internet protocol security connection request with a certificate;wherein the internet protocol security connection request comprises a first slice specific identifier;wherein the certificate comprises at least one second slice specific identifier;determining a network slice based on the first slice specific identifier within the internet protocol security connection request; anddetermining whether to accept or reject the internet protocol security connection request, based on the first slice specific identifier and the at least one second slice specific identifier.59.A non-transitory program storage device readable by a machine, tangibly  embodying a program of instructions executable by the machine for performing operations, the operations comprising:determining a network slice;determining a first slice specific identifier that corresponds to the network slice;transmitting an internet protocol security connection request with a certificate;wherein the internet protocol security connection request comprises a first slice specific identifier;wherein the certificate comprises at least one second slice specific identifier; andtransmitting data on a slice specific connection associated with the network slice.

Images