Enablement layer proxy mechanism

Abstract

The present application relates to devices and components, including apparatus, systems, and methods for the operation of ingress and egress enabler proxies (ELPs).

Description

ENABLEMENT LAYER PROXY MECHANISMTECHNICAL FIELD

[0001] This application generally relates to communication networks, particularly technologies for providing security and privacy to communicating with edge data networks.BACKGROUND

[0002] The edge enablement layer (EEL) may provide interfaces for interaction between a 3GPP-operated network and an edge network. The edge enablement layer (EEL) may be used to facilitate communication between the application clients (ACs) running on the user equipment (UE) and the edge application servers (EAS) deployed on the edge data network (EDN) . The enablement layer may provide services to EASs through application programming interfaces (APIs) that are exposed by the edge enabler server (EES) .

[0003] The edge enablement layer may provide service continuity. For example, it may support EASs and ACs in transferring application context from one EAS to another with minimal service interruption.BRIEF DESCRIPTION OF THE DRAWINGS

[0004] FIG. 1 illustrates a network environment in accordance with some embodiments.

[0005] FIG. 2 illustrates a network environment in accordance with some embodiments.

[0006] FIG. 3 illustrates a network environment in accordance with some embodiments.

[0007] FIG. 4 illustrates a network environment in accordance with some embodiments.

[0008] FIG. 5 illustrates a network environment in accordance with some embodiments.

[0009] FIG. 6 illustrates a signaling diagram in accordance with some embodiments.

[0010] FIG. 7 illustrates a signaling diagram in accordance with some embodiments.

[0011] FIG. 8 illustrates an operational flow / algorithmic structure in accordance with some embodiments.

[0012] FIG. 9 illustrates an operational flow / algorithmic structure in accordance with some embodiments.

[0013] FIG. 10 illustrates an operational flow / algorithmic structure in accordance with some embodiments.

[0014] FIG. 11 illustrates a user equipment in accordance with some embodiments.

[0015] FIG. 12 illustrates a network node in accordance with some embodiments.

[0016] FIG. 13 illustrates a network node in accordance with some embodiments.DETAILED DESCRIPTION

[0017] The following detailed description refers to the accompanying drawings. The same reference numbers may be used in different drawings to identify the same or similar elements. In the following description, for purposes of explanation and not limitation, specific details are set forth, such as particular structures, architectures, interfaces, and / or techniques, in order to provide a thorough understanding of the various aspects of some embodiments. However, it will be apparent to those skilled in the art having the benefit of the present disclosure that the various aspects of the various aspects may be practiced in other examples that depart from these specific details. In certain instances, descriptions of well-known devices, circuits, and methods are omitted so as not to obscure the description of the various aspects with unnecessary detail. For the purposes of the present document, the phrase “A or B” means (A) , (B) , or (A and B) , and the phrase “based on A” means “based at least in part on A, ” for example, it could be “based solely on A, ” or it could be “based in part on A. ”

[0018] The following is a glossary of terms that may be used in this disclosure.

[0019] The term “circuitry” as used herein refers to, is part of, or includes hardware components, such as an electronic circuit, a logic circuit, a processor (shared, dedicated, or group) , or memory (shared, dedicated, or group) , an application specific integrated circuit (ASIC) , a field-programmable device (FPD) (e.g., a field-programmable gate array (FPGA) , a programmable logic device (PLD) , a complex PLD (CPLD) , a high-capacity PLD (HCPLD) , a structured ASIC, or a programmable system-on-a-chip (SoC) ) , and / or digital signal processors  (DSPs) , that are configured to provide the described functionality. In some aspects, the circuitry may execute one or more software or firmware programs to provide at least some of the described functionality. The term “circuitry” may also refer to a combination of one or more hardware elements (or a combination of circuits used in an electrical or electronic system) with the program code used to carry out the functionality of that program code. In these aspects, the combination of hardware elements and program code may be referred to as a particular type of circuitry.

[0020] The term “processor circuitry” as used herein refers to, is part of, or includes circuitry capable of sequentially and automatically carrying out a sequence of arithmetic or logical operations; or recording, storing, or transferring digital data. The term “processor circuitry” may refer to an application processor; baseband processor; a central processing unit (CPU) ; a graphics processing unit; a single-core processor; a dual-core processor; a triple-core processor; a quad-core processor; or any other device capable of executing or otherwise operating computer-executable instructions, such as program code; software modules; or functional processes.

[0021] The term “interface circuitry, ” as used herein, refers to, is part of, or includes circuitry that enables the exchange of information between two or more components or devices. The term “interface circuitry” may refer to one or more hardware interfaces; for example, buses, I / O interfaces, peripheral component interfaces, network interface cards, or the like.

[0022] The term “user equipment” or “UE” as used herein refers to a device with radio communication capabilities and may describe a remote user of network resources in a communications network. The term “user equipment” or “UE” may be considered synonymous to and may be referred to as client, mobile, mobile device, mobile terminal, user terminal, mobile unit, mobile station, mobile user, subscriber, user, remote station, access agent, user agent, receiver, radio equipment, reconfigurable radio equipment, reconfigurable mobile device, etc. Furthermore, the term “user equipment” or “UE” may include any type of wireless / wired device or any computing device, including a wireless communications interface.

[0023] The term “computer system, ” as used herein, refers to any type of interconnected electronic devices, computer devices, or components thereof. Additionally, the term “computer system” or “system” may refer to various components of a computer that are communicatively  coupled with one another. Furthermore, the term “computer system” or “system” may refer to multiple computer devices or multiple computing systems that are communicatively coupled with one another and configured to share computing or networking resources.

[0024] The term “resource” as used herein refers to a physical or virtual device, a physical or virtual component within a computing environment, or a physical or virtual component within a particular device, such as computer devices, mechanical devices, memory space, processor / CPU time, processor / CPU usage, processor and accelerator loads, hardware time or usage, electrical power, input / output operations, ports or network sockets, channel / link allocation, throughput, memory usage, storage, network, database and applications, workload units, or the like. A “hardware resource” may refer to a computer, storage, or network resources provided by physical hardware element (s) . A “virtualized resource” may refer to a computer, storage, or network resources provided by virtualization infrastructure to an application, device, system, etc. The term “network resource” or “communication resource” may refer to resources that are accessible by computer devices / systems via a communications network. The term “system resources” may refer to any kind of shared entities to provide services and may include computing or network resources. System resources may be considered as a set of coherent functions, network data objects, or services accessible through a server where such system resources reside on a single host or multiple hosts and are clearly identifiable.

[0025] The term “channel, ” as used herein, refers to any tangible or intangible transmission medium used to communicate data or a data stream. The term “channel” may be synonymous with or equivalent to “communications channel, ” “data communications channel, ” “transmission channel, ” “data transmission channel, ” “access channel, ” “data access channel, ” “link, ” “data link, ” “carrier, ” “radio-frequency carrier, ” or any other like term denoting a pathway or medium through which data is communicated. Additionally, the term “link, ” as used herein, refers to a connection between two devices for the purpose of transmitting and receiving information.

[0026] The terms “instantiate, ” “instantiation, ” and the like, as used herein, refer to the creation of an instance. An “instance” also refers to a concrete occurrence of an object, which may occur, for example, during the execution of program code.

[0027] The term “connected” may mean that two or more elements at a common communication protocol layer have an established signaling relationship with one another over a communication channel, link, interface, or reference point.

[0028] The term “network element, ” as used herein, refers to physical or virtualized equipment or infrastructure used to provide wired or wireless communication network services. The term “network element” may be considered synonymous with or referred to as a networked computer, networking hardware, network equipment, network node, virtualized network function, or the like.

[0029] The term “information element” refers to a structural element containing one or more fields. The term “field” refers to individual contents of an information element or a data element that contains content. An information element may include one or more additional information elements.

[0030] FIG. 1 illustrates a network environment 100 in accordance with some embodiments. The network environment 100 may include a UE 104 coupled with a base station (BS) 108 of a radio access network (RAN) . In some embodiments, the BS 108 is a next-generation node B (gNB) that provides one or more 3GPP New Radio (NR) cells. In other embodiments, the BS 108 is an evolved node B (eNB) that provides one or more Long Term Evolution (LTE) cells. The air interface over which the UE 104 and the BS 108 communicate may be compatible with 3GPP technical specifications (TSs) , such as those that define Fifth Generation (5G) NR or later system standards (e.g., Sixth Generation (6G) standards) .

[0031] The network environment 100 may include a network 105. The network 105 may provide services, e.g., voice or data connectivity, to the UE 104. Network 105 may include a core network (CN) 106 or the BS 108. The CN 106 may connect the BS 108 and the UE 104 to other networks, e.g., an edge data network (EDN) 102 or the Internet. The CN 106 may be responsible for call and session configuration or control, mobility management, or service provisioning.

[0032] The EDN 102 may provide computation or data storage in close proximity to the UE 104 to support low-latency applications. The EDN 102 may be a distributed computing system with physical or logical components in physically separated locations or executed or implemented on distributed computing or storage platforms.

[0033] An edge enable layer (EEL) may provide a set of application programming interfaces (APIs) that may enable applications (running on the UE 104, for example) to discover, connect to, or interact with edge resources, e.g., resources at EDN 102. Once the UE 104 is connected to the edge, e.g., the EDN 102, UE may send data and control traffic to or receive data and control traffic from the edge, e.g., the EDN 102.

[0034] UE’s traffic may include data traffic and control traffic. Some or all of the UE’s data traffic may be handled by a user plane (UP) 110. Some or all of UE’s control traffic may be handled by a control plane (CP) 120. The UP 110 may include parts of the network, including but not limited to hardware, software, or functions, responsible for carrying the UE’s payload or application data packets. The CP 120 may include parts of the network, including but not limited to hardware, software, or functions, responsible for carrying control messages associated with the management of the network, including tasks such as routing, session management, and mobility management.

[0035] The UP 110 data traffic may include UE’s protected or private information. Protected or private information associated with the UE 104 may include information related to UE’s identity, e.g., personal identity, UE’s network identifiers, or UE’s location. For example, the UP 110 may transport UE’s Internet protocol (IP) address.

[0036] The CP 120 control traffic may include UE’s protected or private information. For example, CP 120 may transport various UE identifiers or information related to software or applications installed on the UE 104.

[0037] It is desired to protect UE’s identifiable or sensitive information. In some embodiments, a proxy mechanism is introduced in the path ofUE’s CP 120 control traffic or UP 110 data traffic and the EEL entities to mask UE’s identifiable or sensitive information from the EEL entities such as the EDN 102, edge enabler server (EES) , or edge configuration server (ECS) . The proxy mechanism may be a functional entity, e.g., an edge enabler proxy (EEP) , or a functionality of an existing entity, e.g., EDN 102 or its components.

[0038] The embodiment and examples herein are provided by way of example and not limitation for an edge deployment. The EDN 102 may be replaced by a general data network (DN) . Similarly, the edge components introduced herein may be replaced by their generic  counterparts performing substantially the same or similar function. For example, the EEL may be replaced by a generic enabler layer (EL) , an EEC with a generic enabler client (EC) , an EES with a generic enabler server (ES) , an edge application server (EAS) with a generic application server (AS) , the EEP with an enabler layer proxy (ELP) , and the ECS with a generic configuration server (CS) . The parameters associated with EEL entities, such as EEC identifier (EECID) may have a generic counterpart ECID.

[0039] FIG. 2 illustrates a network environment 200 in accordance with some embodiments. The network environment 200 illustrates an example of entities involved in providing services to the UE 104 and their relationships.

[0040] The end user may be the consumer of the applications provided by the application server provider (ASP) . The end user may be associated with the UE 104. Some applications associated with the application server may be installed on the UE 104. The end user may have one or more ASP service agreements with a single or multiple ASPs.

[0041] The end user may have a subscription to a public land mobile network (PLMN) . A PLMN operator may provide the PLMN. The end user may have a PLMN subscription arrangement with the PLMN operator. Based on the PLM subscription arrangement, the UE 104 of the end user may be allowed to register on the PLMN operator network.

[0042] The ASP may utilize the edge services, e.g., infrastructure or platform, provided by the edge computing service provider (ECSP) . For example, the EDN 102 may be provided by an ECSP. The ASP may have an ECSP service agreement with a single or multiple ECSPs. The ASP may use the EDN 102 infrastructure to run an application server associated with the applications on the end user’s device, the UE 104.

[0043] The ECSP may use the operator’s PLMN for connectivity with the UE 104 and other networks, e.g., the Internet. A single PLMN operator may have PLMN operator service agreements with a single or multiple ECSPs. Similarly, an ECSP may have PLMN operator service agreements with single or multiple PLMN operators that provide edge computing support. In some instances, the ECSP and the PLMN operator may be part of the same organization. In some instances, the ECSP and the PLMN operator may be part of separate organizations.

[0044] The end user may have a trust relationship with the ASP through the ASP service agreement. Similarly, the end user may have a trust relationship with the PLMN operator through the PLMN subscription arrangement. However, the end user may not have a trust relationship with the ECSP. There may not be a direct arrangement or service agreement between the end user and the ECSP. Thus, it might be desirable for the end user not to share their application-related information with the ECSP while using the services offered by the ECSP. A proxy mechanism may be used to mask the end user’s sensitive information from the resources controlled by the ECSP, e.g., the EDN 102.

[0045] FIG. 3 illustrates a network environment 300 in accordance with some embodiments. The network environment 300 is an example of a network architecture for edge network components and associated traffic flows.

[0046] The network environment 300 may include UE 104, which may be communicatively coupled with the EDN 102. The network 105 may provide connectivity between the UE 104 and the EDN 102.

[0047] The EDN 102 may include an edge application server (EAS) 320 and an edge enabler server 325. The EAS 320 may be a server that hosts edge applications. The EAS 320 may provide edge resources, e.g., computing, storage, or networking resources to the edge applications.

[0048] The EES 325 may be a server that provides APIs and services for the EEL. The EES 325 may be responsible for discovering edge resources, managing connections among edge applications and edge resources, or managing edge resources.

[0049] The edge configuration server (ECS) 330 is a network entity that may provide configuration information and supporting functions for connecting the EEC 315 with EAS 320. The ECS 330 may perform provisioning of edge configuration information to the EEC, and provide registration functionality, e.g., registration, update, and de-registration. For example, the ECS 330 may provide a list of available EESs, the location of EESs, the capabilities of EESs, security credentials for EESs, or configuration information for edge applications. The ECS 330 may be deployed in the mobile network operator (MNO) domain or may be deployed in a 3rd party domain by a server provider.

[0050] The UE 104 may include application client (AC) 310 and edge enabler client (EEC) 315.

[0051] The AC 310 may be a software component that runs on the UE 104 and interacts with an edge application. The AC 310 may provide a user interface for interacting with the edge application. The AC 310 may allow the end user to interact with the edge applications. For example, the AC 310 may be a mobile app that uses edge computing to deliver real-time video streaming, a gaming app that uses edge computing to reduce latency and improve the overall gaming experience, or an Internet of Things (IoT) app that uses edge computing to process data from the IoT devices in real-time and provide actionable insights to users.

[0052] The EEC 315 may be responsible for managing edge applications on behalf of the end user or an enterprise. The EEC 315 may interact with the EEL layer to discover, connect to, or manage edge resources on behalf of the edge applications.

[0053] Edge-1 may be a reference point between EEC 315 and EES 325. A reference point may be referred to as a logical interface between two network entities. Edge-1 traffic may be the data that flows over the Edge-1 interface. Edge-1 traffic may include upward edge traffic (UET) , e.g., traffic originated at the UE 104 and terminated at the EES 325. Edge -1 may include downward edge traffic (DET) , e.g., traffic originated at the EES 325 and terminated at the UE 104, e.g., EEC 315. Edge-1 traffic may be delivered over different networks, e.g., a cellular network provided by the network 105.

[0054] The edge-2 interface may be a reference point between EES 325 and the CN 106. The edge-2 traffic may be the data that flows over the edge-2 interface. Edge-2 traffic may include UET and DET. Edge-2 traffic may be used to send data from EES 325 to the cloud data centers for storage, analysis, or processing.

[0055] Edge-3 may be a reference point between edge servers, e.g., EES 325 and EAS 320. Edge-3 traffic may be the data that flows over the edge-3 interface. Edge-3 traffic may include intra-edge traffic, e.g., traffic that flows between edge servers within the same edge cluster. Intra-edge traffic may be used to share data and resources between edge applications that are running on the same edge server or in the same edge cluster.

[0056] Edge-9 traffic may include inter-edge traffic, e.g., traffic that flows between edge servers in different edge clusters. For example, an edge server in one edge cluster might send data to an edge server in another edge cluster for analysis.

[0057] Edge-4 may be a reference point between EEC 315 and ECS 330. Edge-4 traffic may be the data that flows over the edge-4 interface. Edge-4 traffic may represent traffic between EEC 315 and ECS 330.

[0058] Edge-5 may be a reference point between AC 310 and EEC 315. Edge-5 traffic may be the data that flows over the edge-5 interface. Edge-5 traffic may represent traffic between AC 310 and EEC 315.

[0059] Edge-6 may be a reference point between EES 325 and ECS 330. Edge-6 traffic may be the data that flows over the edge-6 interface. Edge-6 interface may be used for registration and de-registration of the EES 325 to the ECS 330, retrieval of configuration information from the ECS 330, or management of edge applications.

[0060] Edge-7 may be a reference point between EAS 320 and CN 106. Edge-7 traffic may be the data that flows over the edge-7 interface.

[0061] Edge-8 may be a reference point between ECS 330 and CN 106. Edge-8 traffic may be the data that flows over the edge-8 interface.

[0062] User plane data may be transported over the edge-1 interface between EEC 315 and EES 325. The user plane data may also be transported inside the UE 104 over the edge-5 interface between the AC 310 and EEC 315. The user plane data may be transported between EDN 102 entities. For example, the edge-3 interface may transport user plane data between EAS 320 and EES 325.

[0063] The user plan data may be transported between the UE 104 and EDN 102 through the network 105. For example, the UE 104 may send the user plane data, and the BS 108 may receive the user plane data sent by the UE 104. The BS 108 may transfer the data to the CN 106. The CN 106 may send the data to EDN 102. The EES 325 of EDN 102 may receive the data sent by the CN 106.

[0064] The user plane data transported between the UE 104 and EDN 102 may include sensitive information. A proxy mechanism may be used, e.g., between CN 106 and EDN 102, to mask the UE’s sensitive information.

[0065] Control plane information may be transported over edge-2. Edge-2 traffic may carry signaling traffic between the EES 325 and CN 106. Edge-4 traffic may carry sensitive information such as UE’s IP address. For example, a proxy mechanism may be used, e.g., between CN 106 and EDN 102 or ECS 330, to mask the UE’s sensitive information.

[0066] FIG. 4 illustrates a network environment 400 in accordance with some embodiments. Network environment 400 includes examples of different identifiers associated with entities in the network, some of which may be sensitive information of the UE 104.

[0067] The UE 104 may be associated with one or more identifiers. Multiple identifiers may be used to provide secure communication within the network. Identifiers may be used for addressing individual UE, temporary identification during initial connections, or identifying network elements or functions. The UE 104 may use IDs 420, 425, or 430 on outgoing messages. Network address translation (NAT) 416 may map one or more of the private addresses before transferring the information to external networks, e.g., the EDN 102 or any other data network. For example, the NAT 416 may receive packets having IDs 420, 425, or 430 and map the IDs to corresponding IDs 440, 445, or 450.

[0068] Below is a list of some of the identifiers used by the UE 104, CN 106, or EDN 102. Use of some of these identifiers may be mandatory or optional.

[0069] The UE 104 may be assigned an international mobile equipment identity (IMEI) . The network may use the IMEI to authenticate devices, provide services, track devices, prevent fraud, or diagnose problems. A permanent equipment identifier (PEI) may be used to identify the UE device.

[0070] The UE 104 may be assigned a mobile subscriber international subscriber directory number (MSISDN) . It may be used to identify the subscriber, e.g., the end user or the device associated with them, in a cellular network and to route calls and text messages to them. The mobile network operator (MNO) may assign the MSISDN when an end user activates their service.

[0071] The UE 104 may be assigned a subscription permanent identifier (SUPI) or subscription concealed identifier (SUCI) . SUPI, used in 5G networks, may be equivalent to the international mobile subscriber identity (IMSI) used in networks compatible with the Fourth Generation (4G) standards.

[0072] SUPI may be assigned by the MNO when a subscriber activates their service. SUPI may be used to uniquely identify the subscriber in a network and to authenticate them to the network.

[0073] SUCI may be a temporary, concealed identifier. SUCI may be derived from the SUPI. SUCI may be used to protect the subscriber’s privacy by preventing the SUPI from being exposed on the network. The SUCI may be used in signaling messages that contain the subscriber’s identity.

[0074] The UE 104 may be assigned one or more IP addresses. For example, one or more IP addresses may be assigned to AC 310. One or more IP addresses may be assigned to EEC 315. On edge-1 or edge-4, the UE 104 may use private IP addresses. For example, EEC 315 may use a private IP address (PrivIP-eec) associated with the EEC 315 on edge-1 and edge-4. Nat 416 may receive the packets on edge-1 or edge-4, including UE’s private IP address (PrivIP-eec) , and replace it with an external IP address (ExtIP-eec) . The NAT 416 may map the UE’s private IP address, PrivIP-eec, to the external IP address, ExtIP-eec.

[0075] AC 310 may be associated with an IP address, e.g., PrivIP-ac. The NAT 416 may receive a packet on the user plane, including UE’s private IP address, e.g., PrivIP-ac, and replace it with an extern IP address, e.g., ExtIP-ac.

[0076] The EEC 315 may be assigned an edge enabler client ID (EECID) . EECID may be a unique identifier that is assigned to each EEC. EECID may be used to uniquely identify the EEC and to allow the EEC to communicate with other components, such as EAS or ECS.

[0077] The CN 106 may be responsible for the generic public subscription identifier (GPSI) . GPSI may be used for addressing a subscription in data networks outside the system, e.g., the 3GPP system. The GPSI may be associated with the SUPI.

[0078] Interaction between edge entities on the edge enabler layer, e.g., edge-2, 7, or 8, may need UE’s private IP address or GPSI. The GPSI may be the MSISDN, e.g., subscriber’s phone number, or an external identifier, e.g., an application function (AF) specific UE identifier. An EAS that can interact with the CN 106, e.g., acting as an AF, may use the GPSI to identify the UE 104. Similar EES 325 may use its own identifier as the AF identifier or use an EAS ID as the AF identifier when interacting with the CN 106.

[0079] The network exposure function (NEF) of the CN 106 may offer a service to translate a UE’s private IP address to an external identifier. For example, the service may translate non-MSISDN GPSI identifiers to an external UE ID. The NEF may offer a UE ID service to translate an external or public IP address to an external identifier, e.g., a non-MSISDN GPSI.

[0080] EAS 320 may be associated with an EAS ID. The EAS 320 may receive UE’s IP address, e.g., ExtIP-ac or external UE ID.

[0081] EES 325 may be associated with an EES ID. The EES 325 may receive UE’s IP address, e.g., ExtIP-ac or UE ID from EAS 320 on edge-3. EES 325 may receive UE’s IP address, UE ID, or EEC identifiers (IDs) from the EEC 315.

[0082] The UE 104 may be assigned an edge UE ID. The edge UE ID may be generated and managed by the edge enable layer (EEL) , specifically by EES 325. The edge UE ID may be shared with EAS 320 or other edge entities either directly from the EES 325 or indirectly via the AC 310. For example, EEC 315 may receive edge UE ID on edge-1. The EEC 315 may share the edge UE ID with AC 310 via edge-5 using application layer signaling. Edge UE ID may be used when it is deemed undesirable to share an operator-managed UE ID, e.g., MSISDN, with the EAS 320.

[0083] An enabler layer proxy mechanism in the path between the UE 104 and edge enable layer (EEL) entities, e.g., EAS 320, EES 325, or ECS 330, may be utilized to mask UE identifiable or sensitive information. An EEL entity that could protect UE’s private or sensitive information may be identified as a trusted EEL entity, e.g., a trusted EAS, EES, or ECS. For example, ECSP may include whether the EES is a trusted EES in the EES profile.

[0084] The edge enabler proxy (EEP) may be an application function (AF) of the CN 106. A proxy mechanism may be used between the EAS 320 and the serving EES 325 or between the EEL, e.g., EES 325 or ECS 330 and the CN 106. In some instances, the proxies may coordinate with one another, e.g., with regard to initiating UE, subscriber, or application-specific procedures.

[0085] A transport layer proxy may be used to mask the UE’s IP address at the transport layer.

[0086] The enabler layer proxy may be operated independently of the enabler layer. For example, an MNO or third party or ASP may offer the proxy, independent from the ECSP, that has responsibility for the EEL entities such as the EES 325 or ECS 330.

[0087] The proxy mechanism may be responsible for replacing information elements used for user identification or application usage with temporary, e.g., limited lifetime, identifier (s) . The proxy may mask any association between UE ID and the ACs 310 installed on the UE 104.

[0088] For example, the proxy mechanism may mask the UE ID in procedures such as EAS discovery, which originated from the UE 104, EEC 315, or AC 310.

[0089] FIG. 5 illustrates a network environment 500 in accordance with some embodiments. Network environment 500 may include ingress edge enabler proxy (EEP) 510 and egress EEP 520. The data packet sent by the UE 104 may include UE’s sensitive information, e.g., a UE ID 550. For example, the data packet may include the UE’s original IP address.

[0090] The UE 104 may send information elements (IE) related to the EDN 102, e.g., a website name. The UE 104, e.g., the AC or EEC in the UE 104, may encrypt the information element related to the EDN 102. For example, the UE 104 may generate the encrypted EDN IE 560 based on the IE related to the EDN 102. For example, the UE 104 may need to include a website name in the data packet. The UE 104 may encrypt the website name and include the encrypted website name in the data packet. The data packet sent by the UE 104 to the EDN 102 may include the encrypted IE 560.

[0091] The ingress EEP 510 may replace the UE ID 550, e.g., the user’s original IP address, with a virtual UE ID 555. The ingress EEP 510 may generate the virtual UE ID 555 based on the UE ID 550. The virtual UE ID 555 may be a temporary ID, and it may expire after a certain period of time. The ingress EEP 510 may replace the UE ID 550 in the data packet with the virtual UE ID 555. The ingress EEP 510 may send the generated data packet having the virtual UE ID 555 to the egress EEP 520. The ingress EEP may not be able to decrypt the encrypted IE 560. For example, the ingress EEP 510 may not have the required key or token for decrypting the encrypted IE 560.

[0092] The egress EEP 520 may receive the data packet having the virtual UE ID 555 from the ingress EEP 510. The egress EEP 520 may not be able to associate the virtual UE ID 555 with UE ID 550. Therefore, the UE’s sensitive information, e.g., UE ID 550, is masked from the egress EEP 520. Egress EEP 520 may have the key or token required for decrypting the encrypted IE 560. The egress EEP 520 may decrypt the encrypted IE 560 and generate the decrypted IE 565. The egress EEP 520 may replace the encrypted IE 560 with the decrypted IE 565 in the data packet and send the generated packet to the EDN 102.

[0093] The ingress EEP 510 may have a trust relationship with the CN 106. The ingress EEP 510 may provide a translation service for the data traffic between the EDN 120 and CN 106. For example, the ingress EEP 510 may receive a packet from the EDN 120, including a virtual UE ID 555. The ingress EEP 510 may replace the virtual UE address 555 with the UE ID 550. In one example, the UE ID 550 may be a 3GPP-assigned identifier, e.g., a GPSI or an IP address.

[0094] FIG. 6 illustrates a signaling diagram 600 in accordance with some embodiments. Signaling diagram 600 is an example of EAS discovery through a single EEP 620. The AC 310 may search for EES 325. The EEP 620 may present itself as an EES towards the EEC 315, although the EEP may not perform EES capabilities such as EAS discovery. The EEP 620 may present itself as an EEC towards the EES 325, although the requests may originate from the UE-hosted EEC 315.

[0095] At 630, the AC 310 may send an EAS discovery request to EEC 315. The EAS discovery request may include an AC profile. The AC profile may include an AC ID (ACID) . The AC may encrypt the EAS discovery filters or characteristics list. In some instances, the EEP may be considered a trusted entity by the UE, AC 310, or ASP. Encrypting EAS characteristics  or discovery filters by the AC 310 or EEC 315 may be unnecessary when the EEP is a trusted entity.

[0096] A trusted entity may refer to a component or system considered secure within the network architecture. The entity may be a network node, a server, or a software component. The entity may be trusted based on an authentication or authorization process. The entity may be a trusted entity based on a trusted relationship with another entity.

[0097] At 635, the EEC 315 may modify the EAS discovery request received from the AC 310 by adding one or more additional information elements. The EEC 315 may send the modified discovery request to EEP 620.

[0098] In some instances, the AC 310 may not encrypt the EAS discovery filters or characteristics list, and the EEC 315 may encrypt the EAS discovery filters or characteristics list. For example, the EES 325 may provide its public key associated with public key encryption to EEC 315 (or AC 310) . The EEC 315 (or AC 310) may encrypt the EAS discovery filters or characteristics list using the public key.

[0099] The EEC 315 may include its identifier, e.g., EECID, in the discovery request. The EEC 315 may include a UE identifier, e.g., UE ID, in the discovery request. A transport layer proxy (TLP) may assign the UE ID. The EEC 315 may include the UE location in the discovery request. The UE location may be aligned with the transport proxy IP assigned location accuracy or granularity.

[0100] At 640, the EEP 620 may modify the EAS discovery request received from the EEC 315 by adding additional information elements. The EEP 620 may send the modified discovery request to the EES 325.

[0101] The EEP 620 may replace the EECID with a virtual EECID. For example, the EEP 620 may map the EECID into a temporary virtual EECID and replace the EECID in the EAS discovery request with the virtual EECID. By replacing the EECID, the EEP 620 may remove the sensitive information associated with the EECID from the EAS discovery request.

[0102] At 650, the EES 325 may send an EAS discovery response to EEP 620. The EAS discovery response may include an EAS profile, an EAS identifier, e.g., EASID, or EAS endpoint, e.g., address.

[0103] At 655, the EEP 620 may send the EAS discovery response to EEC 315. The EEP 620 may replace one or more information elements in the EAS discovery response.

[0104] At 660, The EEC 315 may send the EAS discovery response to AC 310.

[0105] FIG. 7 illustrates a signaling diagram 700 in accordance with some embodiments. Signaling diagram 700 is an example of EAS discovery through EEP proxies, an ingress EEP 720, and an egress EEP 730. The AC 310 may search for EAS by sending an EAS discovery request message. The ingress EEP 720 may present itself as an EES towards the EEC 315, although the ingress EEP 720 may not perform EES capabilities such as EAS discovery. The ingress EEP 720 may present itself as an EEC towards the egress EEP 730, although the request may originate from the UE-hosted EEC 315.

[0106] The egress EEP 730 may present itself as an EES to the ingress EEP 720, although the egress EEP 730 may not perform EES capabilities such as EAS discovery. The egress EEP 730 may present itself as an EEC towards the EES 325, although the requests may originate from the UE-hosted EEC 315.

[0107] At 740, the AC 310 may send an EAS discovery request to EEC 315. The EAS discovery request may include an AC profile. The AC profile may include an AC ID (ACID) . The AC may encrypt the EAS discovery filters or characteristics list. The EAS discovery filters may include information that may enable AC information to be linked to a specific UE identified in the EAS discovery request.

[0108] In some instances, the EEP may be considered a trusted entity by the UE, AC 310, or ASP. Encrypting EAS characteristics or discovery filters by the AC 310 or EEC 315 may be unnecessary when the EEP is a trusted entity.

[0109] At 745, the EEC 315 may modify the EAS discovery request received from the AC 310 by adding one or more additional information elements. The EEC 315 may send the modified discovery request to ingress EEP 720.

[0110] The EEC 315 may include its identifier, e.g., EECID, in the discovery request. The EEC 315 may include a UE identifier, e.g., UE ID, in the discovery request. A transport layer proxy (TLP) may assign the UE ID. The EEC 315 may include the UE location in the discovery request. The UE location may be aligned with the transport proxy IP assigned location accuracy or granularity. The transport proxy may replace the actual UE ID information with a temporary virtual ID. Similarly, the transport layer proxy may assign a temporary virtual IP or a temporary virtual location to the UE and replace the corresponding information in the transport layer packets.

[0111] At 750, the ingress EEP 720 may modify the EAS discovery request received from the EEC 315 by adding additional information elements or removing some information elements. The ingress EEP 720 may send the modified discovery request to the egress EEP 730.

[0112] The ingress EEP 720 may be exposed to attributes or information elements relating to the UE identity. The ingress EEP 720 may not be exposed to other information elements, e.g., information elements associated with AC 310, EAS 320, or EES 325.

[0113] The ingress EEP 720 may replace the EECID with a virtual EECID. For example, the ingress EEP 720 may map the EECID into a temporary virtual EECID and replace the EECID in the EAS discovery request with the virtual EECID. By replacing the EECID, the ingress EEP 720 may remove the sensitive information associated with the EECID from the EAS discovery request.

[0114] The ingress EEP 720 may replace the UE ID with a temporary virtual UE ID. The Ingress EEP 720 may replace the UE location with a temporary virtual UE location. The ingress EEP 720 may not expose the UE’s IP address to the egress EEP 730 through the enabler or transport layer.

[0115] At 755, the egress EEP 730 may modify the EAS discovery request received from the ingress EEP 720 by adding additional information elements or removing some information elements. The egress EEP 730 may send the modified discovery request to the EES 325.

[0116] The egress EEP 730 may be exposed to the AC 310, EAS 320, or EES 325 information. The egress EEP 730 may not be exposed to the actual UE identity information and may access the virtual UE identity provided by the ingress EEP 720.

[0117] The egress EEP 730 may decrypt EAS discovery request attributes or information elements, e.g., EAS discovery filters, before forwarding the EAS discovery request to the EES 325. The egress EEP 730 may replace the encrypted EAS discovery filters with decrypted EAS discovery filters.

[0118] At 760, the EES 325 may send an EAS discovery response to the egress EEP 730. The EAS discovery response may include an EAS profile, an EAS identifier, e.g., EASID, or EAS endpoint, e.g., address.

[0119] At 765, the egress EEP 730 may send the EAS discovery response to the ingress EEP 720.

[0120] At 770, the ingress EEP 720 may send the EAS discovery response to EEC 315. The ingress EEP 720 may replace one or more information elements in the EAS discovery response.

[0121] At 775, The EEC 315 may send the EAS discovery response to AC 310.

[0122] In some instances, the ingress EEP 720 or the egress EEP 730 may receive the packets from the edge-1 interface. In some instances, the ingress EEP 720 or the egress EEP 730 may receive the packets from the edge-4 interface. The ingress EEP 720 or egress EEP 730 may receive and modify the packets from the edge enabler layer (EEL) interfaces edge-1 through edge-8. The ingress EEP 720 or egress EEP 730 may coordinate with other proxies, e.g., the transport layer proxies.

[0123] In some embodiments, the egress EEP 730 may have a pair of public-private keys, e.g., Key_EP_Pub (public key) or Key_EP_Pri (private key) . Similarly, the ingress EEP 720 may have a pair of public-private keys, e.g., Key_IP_Pub (public key) or Key_IP_Pri (private key) . The public keys may be shared with other entities, and the private keys are kept secret.

[0124] The egress EEP’s public key, Key_EP_Pub, or the ingress EEP’s public key, Key_IP_Pub, may be configured into the UE through pre-configuration or downloaded after installation.

[0125] The AC 310 or EEC 315 may use egress EEP’s public key, Key_EP_Pub, to encrypt the information elements that are protected from ingress proxy, e.g., the EAS discovery  filters. The ingress EEP 720 may not be able to decrypt the encrypted information without the corresponding private key, e.g., Key_EP_Pri. Egress EEP 730 may decrypt the encrypted information using its private key.

[0126] Similarly, the AC 310 or EEC 315 may use ingress EEP’s public key, Key_IP_Pub, to encrypt the information elements that are protected from egress proxy, e.g., the ACID (or the AC IP address) or EECID (or EEC IP address) . The egress EEP 730 may not be able to decrypt the encrypted information without the corresponding private key, e.g., Key_IP_Pri. Ingress EEP 720 may decrypt the encrypted information using its private key.

[0127] FIG. 8 illustrates a signaling diagram 800 in accordance with some embodiments. Signaling diagram 800 is an example of EAS discovery through a single EEP 820. The AC 310 may search for EES 325. Rather than passing through an enable layer proxy, the EEC 315 may request a virtual EEC ID to use for its interaction with the enabler layer. By using the virtual EEC ID, the EEC may mask its actual ID.

[0128] At 830, the AC 310 may send an EAS discovery request to EEC 315. The EAS discovery request may include an AC profile. The AC profile may include an AC ID (ACID) . The AC may encrypt the EAS discovery filters or characteristics list. In some instances, the EEP may be considered a trusted entity by the UE, AC 310, or ASP. Encrypting EAS characteristics or discovery filters by the AC 310 or EEC 315 may be unnecessary when the EEP is a trusted entity.

[0129] At 835, the EEC 315 may send an identity request to EEP 820. The identity request may be triggered by the AC 310 making a discovery request. In some instances, the EEC 315 may perform identity requests independently. For example, temporary identities at EEC 315 provided by the EEP 820 may expire. After the temporary identities have expired, the EEC 315 may send an identity request to the EEP 820. The identity request may include EEC’s ID, e.g., . EECID, UE ID, or UE location.

[0130] At 840, the EEP 820 may send a response message to EEC 315. For example, the EEP 820 may send an identity response message to EEC 315. The EEC may generate a virtual EECID, virtual UE ID, or virtual UE location. The virtual EECID, UE ID, or UE location may be temporary and expire after a certain period.

[0131] At 845, the EEC 315 may modify the EAS discovery request it received from the AC 310. The EEC 315 may modify the EAS discovery by adding the virtual EECID, UE ID, or UE location it received from the EEP 820. The EEC 315 may send the modified EAS discovery request to the EES 325.

[0132] At 850, the EES 325 may send an EAS discovery response to EEC 315. The EAS discovery response may include an EAS profile, an EAS identifier, e.g., EASID, or EAS endpoint, e.g., address.

[0133] At 855, The EEC 315 may send the EAS discovery response to AC 310.

[0134] The EEP 820 may also provide a temporary replacement for the AC ID. The application layer may send a message to EAS via the AC 310 or EEC 315 to perform a registration update. The registration update may update the EAS profile with the AC’s temporary virtual AC ID.

[0135] The EEC may perform authentication or registration procedures using the virtual EEC ID provided by the EEP 820.

[0136] FIG. 9 illustrates an operational flow / algorithmic structure 900 in accordance with some embodiments. The operation flow / algorithmic structure 900 may be implemented by a network entity (for example, network 105, EDN 102, or the network node 1300) or components therein, for example, processing circuitry 1304, to perform the functionalities of an ingress EEP.

[0137] The operation flow / algorithmic structure 900 may include, at 910, receiving a packet with an information element, including an identifier. For example, the ingress EEP may receive a packet from the EEC or AC that is being sent to an EDN or an ECS. The ingress EEP may receive a packet from an egress EEP, the EDN, or an ECS. The packet may be sent to the EEC or AC associated with a UE. The packet may be sent to an EDN, e.g., an EAS or EES. The packet may be associated with an EAS discovery procedure, e.g., an EAS discovery request or an EAS discovery response.

[0138] The operation flow / algorithmic structure 900 may include, at 920, generating a second packet by replacing the first identifier with a second identifier. The ingress EEP may map the identifier in the received packet to a second identifier. The ingress EEP may generate a new  packet by modifying the received packet. The ingress EEP may modify the received packet by replacing the identifier in the packet with the generated second identifier.

[0139] When the packet is received at ingress EEP from an EEC or an AC, the first identifier may be associated with the UE’s actual information, e.g., identifiers or location. The second identifier may be a virtual identifier that masks the UE’s sensitive information.

[0140] When the packet is received at an ingress EEP from an egress EEP, the first identifier may be associated with virtual information, e.g., identifiers or location. The second identifier may be the actual UE’s information.

[0141] The operation flow / algorithmic structure 900 may include, at 930, sending the second packet. When the packet is received from the egress EEP, the ingress EEP may send the modified packet to the AC or EEC. When the packet is received from the AC or EEC, the ingress EEP may send the modified packet to the egress EEP.

[0142] The ingress EEP may perform an authorization procedure on behalf of the UE, EEC, AC, or EAS (if EAS interaction with the EEL is behind an enabler layer proxy mechanism) . A successful authorization may provide EEC with security credentials. The security credentials provided to an EEC may be dependent on its EEC ID. The EEP may have to provide a virtual EEC ID on behalf of the EEC. Alternatively, the EEP may provide the virtual EEC ID to the EEC, and the EEC may perform the authorization using the virtual EEC ID.

[0143] The EEP, e.g., the ingress EEP, may receive an authorization request from the EEC. In response to the authorization request, the EEP may perform the authorization process on behalf of the EEC. For example, the EEP may send the authorization request to EES or EAS.

[0144] The ingress EEP may perform a registration procedure on behalf of the EEC. The EEC may need to be registered before performing discovery with the EDN, e.g., EAS discovery. The EEP may perform the registration on behalf of the EEC. Similarly, the EEP may perform EAS registration when EEP is placed between the EAS and EES.

[0145] The ingress EEP may receive a registration request from EEC. The ingress EEP may perform the registration procedure based on the registration request with the EES. The ingress EEP may receive identifier, e.g., the EEC ID from the EEC, and perform the registration  procedure with the EES using a virtual EEC ID. The EEP may use the virtual EEC ID in the registration request sent to the EES.

[0146] FIG. 10 illustrates an operational flow / algorithmic structure 1000 in accordance with some embodiments. The operation flow / algorithmic structure 1000 may be implemented by a network entity (for example, network 105, EDN 102, or the network node 1300) or components therein, for example, processing circuitry 1304, to perform the functionalities of an egress EEP.

[0147] The operation flow / algorithmic structure 1000 may include, at 1010, receiving a packet including a first information element. For example, the egress EEP may receive a packet from the ingress EEP. The egress EEP may receive a packet from the EDN or an ECS. The packet may be sent to the EEC or AC associated with a UE. The packet may be sent to EDN, e.g., the EAS or EES. The packet may be associated with an EAS discovery procedure, e.g., an EAS discovery request or an EAS discovery response.

[0148] The operation flow / algorithmic structure 1000 may include, at 1020, generating a second packet by replacing the first information element with a second information element. The egress EEP may generate a second information element by decrypting the first information element. The egress EEP may replace the first information element with the second information element, e.g., the decryption of the first information element.

[0149] The operation flow / algorithmic structure 1000 may include, at 1030, sending the second packet. When the packet is received from the EAS or EES, the egress EEP may send the modified packet to the ingress EEP or to the AC or EEC. When the packet is received from the ingress EEP, AC, or EEC, the egress EEP may send the packet to EDN, e.g., EAS or EES.

[0150] FIG. 11 illustrates an operational flow / algorithmic structure 1100 in accordance with some embodiments. The operation flow / algorithmic structure 1100 may be implemented by a UE (for example, UE 104 or UE 1200) or components therein, for example, processing circuitry 1204.

[0151] The operation flow / algorithmic structure 1100 may include, at 1110, receiving information associated with an ingress EEP. The UE may receive the ingress proxy information through a pre-configuration of the UE or in EEC. The UE may obtain the information of the ingress EEP through the hosted AC or directly from the EEC. In some instances, the ASP may  provide the ingress EEP information. The UE may receive information from the mobile network operator (MNO) , e.g., via non-access stratum (NAS) signaling. In some instances, the ECSP may provide the proxy information in support of an inter-ECSP enabler service.

[0152] The proxy information may be proxy address, e.g., fully qualified domain name (FQDN) , IP address, or uniform resource identifier (URI) , or other proxy identifying information, e.g., proxy provider identity.

[0153] The operation flow / algorithmic structure 1100 may include, at 1120, receiving a first UE ID from an operator. This may be the UE’s actual ID. The UE’s actual ID may be considered UE’s sensitive information.

[0154] The operation flow / algorithmic structure 1100 may include, at 1130, receiving a second UE ID from an ingress EEP. The second UE ID may be a virtual or temporary ID.

[0155] The operation flow / algorithmic structure 1100 may include, at 1140, performing, with an EES, an authorization procedure using the second identifier.

[0156] The operation flow / algorithmic structure 1100 may include, at 1150, receiving security credentials from the EES.

[0157] The UE may receive public keys associated with an ingress EEP or an egress EEP. The UE may use the public key associated with the ingress EEP to encrypt information. The UE may use the public key associated with the egress EEP to encrypt information, e.g., the EAS discovery filters.

[0158] FIG. 12 illustrates a UE 1200 in accordance with some embodiments. The UE 1200 may be similar to and substantially interchangeable with UE 104 of FIG. 1.

[0159] The UE 1200 may be any mobile or non-mobile computing device, such as, for example, a mobile phone, computer, tablet, XR device, glasses, industrial wireless sensor (for example, microphone, carbon dioxide sensor, pressure sensor, humidity sensor, thermometer, motion sensor, accelerometer, laser scanner, fluid level sensor, inventory sensor, electric voltage / current meter, or actuator) , video surveillance / monitoring device (for example, camera or video camera) , wearable device (for example, a smartwatch) , or Internet-of-things device.

[0160] The UE 1200 may include processors 1204, RF interface circuitry 1208, memory / storage 1212, user interface 1216, sensors 1220, driver circuitry 1222, power management integrated circuit (PMIC) 1224, antenna structure 1226, and battery 1228. The components of the UE 1200 may be implemented as integrated circuits (ICs) , portions thereof, discrete electronic devices, or other modules, logic, hardware, software, firmware, or a combination thereof. The block diagram of FIG. 12 is intended to show a high-level view of some of the components of the UE 1200. However, some of the components shown may be omitted, additional components may be present, and different arrangements of the components shown may occur in other implementations.

[0161] The components of the UE 1200 may be coupled with various other components over one or more interconnects 1232, which may represent any type of interface circuitry (for example, processor interface or memory interface) , input / output, bus (local, system, or expansion) , transmission line, trace, or optical connection that allows various circuit components (on common or different chips or chipsets) to interact with one another.

[0162] The processors 1204 may include processor circuitry such as, for example, baseband processor circuitry (BB) 1204A, central processor unit circuitry (CPU) 1204B, and graphics processor unit circuitry (GPU) 1204C. The processors 1204 may include any type of circuitry or processor circuitry that executes or otherwise operates computer-executable instructions, such as program code, software modules, or functional processes from memory / storage 1212 to cause the UE 1200 to perform operations as described herein.

[0163] In some embodiments, the baseband processor circuitry 1204A may access a communication protocol stack 1236 in the memory / storage 1212 to communicate over a 3GPP-compatible network. In general, the baseband processor circuitry 1204A may access the communication protocol stack 1236 to: perform user plane functions at a PHY layer, MAC layer, RLC sublayer, PDCP sublayer, SDAP sublayer, and upper layer; and perform control plane functions at a PHY layer, MAC layer, RLC sublayer, PDCP sublayer, RRC layer, and a NAS layer. In some embodiments, the PHY layer operations may additionally / alternatively be performed by the components of the RF interface circuitry 1208.

[0164] The baseband processor circuitry 1204A may generate or process baseband signals or waveforms that carry information in 3GPP-compatible networks. In some  embodiments, the waveforms for NR may be based on the cyclic prefix OFDM (CP-OFDM) in the uplink or downlink and discrete Fourier transform spread OFDM (DFT-S-OFDM) in the uplink.

[0165] The memory / storage 1212 may include one or more non-transitory, computer-readable media that includes instructions (for example, the communication protocol stack 1236) that may be executed by one or more of the processors 1204 to cause the UE 1200 to perform various operations described herein. The memory / storage 1212 includes any type of volatile or non-volatile memory that may be distributed throughout the UE 1200. In some embodiments, some of the memory / storage 1212 may be located on the processors 1204 themselves (for example, L1 and L2 cache) , while other memory / storage 1212 is external to the processors 1204 but accessible thereto via a memory interface. The memory / storage 1212 may include any suitable volatile or non-volatile memory such as, but not limited to, dynamic random access memory (DRAM) , static random access memory (SRAM) , erasable programmable read-only memory (EPROM) , electrically erasable programmable read-only memory (EEPROM) , Flash memory, solid-state memory, or any other type of memory device technology.

[0166] The RF interface circuitry 1208 may include transceiver circuitry and a radio frequency front module (RFEM) that allows the UE 1200 to communicate with other devices over a radio access network. The RF interface circuitry 1208 may include various elements arranged in transmit or receive paths. These elements may include, for example, switches, mixers, amplifiers, filters, synthesizer circuitry, and control circuitry.

[0167] In the receive path, the RFEM may receive a radiated signal from an air interface via antenna structure 1226 and proceed to filter and amplify (with a low-noise amplifier) the signal. The signal may be provided to a receiver of the transceiver that down-converts the RF signal into a baseband signal that is provided to the baseband processor of the processor 1204.

[0168] In the transmit path, the transmitter of the transceiver up-converts the baseband signal received from the baseband processor and provides the RF signal to the RFEM. The RFEM may amplify the RF signal through a power amplifier prior to the signal being radiated across the air interface via the antenna 1226.

[0169] In various embodiments, the RF interface circuitry 1208 may be configured to transmit / receive signals in a manner compatible with NR access technologies.

[0170] The antenna 1226 may include antenna elements to convert electrical signals into radio waves to travel through the air and to convert received radio waves into electrical signals. The antenna elements may be arranged into one or more antenna panels. The antenna 1226 may have antenna panels that are omnidirectional, directional, or a combination thereof to enable beamforming and multiple input, multiple output communications. The antenna 1226 may include microstrip antennas, printed antennas fabricated on the surface of one or more printed circuit boards, patch antennas, or phased array antennas. The antenna 1226 may have one or more panels designed for specific frequency bands, including bands in FR1 or FR2.

[0171] The user interface circuitry 1216 includes various input / output (I / O) devices designed to enable user interaction with the UE 1200. The user interface 1216 includes input device circuitry and output device circuitry. Input device circuitry includes any physical or virtual means for accepting an input, including, inter alia, one or more physical or virtual buttons (for example, a reset button) , a physical keyboard, keypad, mouse, touchpad, touchscreen, microphones, scanner, headset, or the like. The output device circuitry includes any physical or virtual means for showing information or otherwise conveying information, such as sensor readings, actuator position (s) , or other like information. Output device circuitry may include any number or combinations of audio or visual displays, including, inter alia, one or more simple visual outputs / indicators (for example, binary status indicators such as light emitting diodes (LEDs) and multi-character visual outputs) , or more complex outputs such as display devices or touchscreens (for example, liquid crystal displays (LCDs) , LED displays, quantum dot displays, and projectors) , with the output of characters, graphics, multimedia objects, and the like being generated or produced from the operation of the UE 1200.

[0172] The sensors 1220 may include devices, modules, or subsystems whose purpose is to detect events or changes in its environment and send the information (sensor data) about the detected events to some other device, module, or subsystem. Examples of such sensors include inertia measurement units comprising accelerometers, gyroscopes, or magnetometers; microelectromechanical systems or nanoelectromechanical systems comprising 3-axis accelerometers, 3-axis gyroscopes, or magnetometers; level sensors; flow sensors; temperature  sensors (for example, thermistors) ; pressure sensors; barometric pressure sensors; gravimeters; altimeters; image capture devices (for example, cameras or lensless apertures) ; light detection and ranging sensors; proximity sensors (for example, infrared radiation detector and the like) ; depth sensors; ambient light sensors; ultrasonic transceivers; and microphones or other like audio capture devices.

[0173] The driver circuitry 1222 may include software and hardware elements that operate to control particular devices that are embedded in the UE 1200, attached to the UE 1200, or otherwise communicatively coupled with the UE 1200. The driver circuitry 1222 may include individual drivers allowing other components to interact with or control various I / O devices that may be present within or connected to the UE 1200. For example, the driver circuitry 1222 may include circuitry to facilitate the coupling of a universal integrated circuit card (UICC) or a universal subscriber identity module (USIM) to the UE 1200. For additional examples, driver circuitry 1222 may include a display driver to control and allow access to a display device, a touchscreen driver to control and allow access to a touchscreen interface, sensor drivers to obtain sensor readings of sensor circuitry 1220 and control and allow access to sensor circuitry 1220, drivers to obtain actuator positions of electro-mechanic components or control and allow access to the electro-mechanic components, a camera driver to control and allow access to an embedded image capture device, audio drivers to control and allow access to one or more audio devices.

[0174] The PMIC 1224 may manage the power provided to various components of the UE 1200. In particular, with respect to the processors 1204, the PMIC 1224 may control power-source selection, voltage scaling, battery charging, or DC-to-DC conversion.

[0175] In some embodiments, the PMIC 1224 may control or otherwise be part of various power-saving mechanisms of the UE 1200, including DRX, as discussed herein.

[0176] A battery 1228 may power the UE 1200, although in some examples, the UE 1200 may be mounted and deployed in a fixed location and may have a power supply coupled to an electrical grid. The battery 1228 may be a lithium-ion battery, a metal-air battery, such as a zinc-air battery, an aluminum-air battery, a lithium-air battery, and the like. In some implementations, such as in vehicle-based applications, the battery 1228 may be a typical lead-acid automotive battery.

[0177] FIG. 13 illustrates a network node 1300 in accordance with some embodiments. The network node 1300 may be similar to and substantially interchangeable with BS 108, CN 106, network 105, EDN 102, a device implementing one of the network hops, an integrated access and backhaul (IAB) node, a network-controlled repeater, or a server in a core network or external data network.

[0178] The network node 1300 may include processors 1304, RF interface circuitry 1308 (if implemented as an access node) , the core node (CN) interface circuitry 1312, memory / storage circuitry 1316, and antenna structure 1326.

[0179] The components of the network node 1300 may be coupled with various other components over one or more interconnects 1328.

[0180] The processors 1304, RF interface circuitry 1308, memory / storage circuitry 1316 (including communication protocol stack 1310) , antenna structure 1326, and interconnects 1328 may be similar to the like-named elements shown and described with respect to FIG. 12.

[0181] The CN interface circuitry 1312 may provide connectivity to a core network, for example, a 5th Generation Core network (5GC) using a 5GC-compatible network interface protocol such as carrier Ethernet protocols or some other suitable protocol. Network connectivity may be provided to / from the network node 1300 via a fiber optic or wireless backhaul. The CN interface circuitry 1312 may include one or more dedicated processors or FPGAs to communicate using one or more of the aforementioned protocols. In some implementations, the CN interface circuitry 1312 may include multiple controllers to provide connectivity to other networks using the same or different protocols.

[0182] In some embodiments, the network node 1300 may be coupled with transmit-receive points (TRPs) using the antenna structure 1326, CN interface circuitry, or other interface circuitry.

[0183] It is well understood that the use of personally identifiable information should follow privacy policies and practices generally recognized as meeting or exceeding industry or governmental requirements for maintaining users’ privacy. In particular, personally identifiable information data should be managed and handled to minimize risks of unintentional or unauthorized access or use, and the nature of authorized use should be clearly indicated to users.

[0184] For one or more aspects, at least one of the components set forth in one or more of the preceding figures may be configured to perform one or more operations, techniques, processes, or methods as set forth in the example section below. For example, the baseband circuitry, as described above in connection with one or more of the preceding figures, may be configured to operate in accordance with one or more of the examples set forth below. For another example, circuitry associated with a UE, base station, network element, etc., as described above in connection with one or more of the preceding figures, may be configured to operate in accordance with one or more of the examples set forth below in the example section.

[0185] Examples

[0186] In the following sections, further exemplary aspects are provided.

[0187] Example 1 includes a method for implementing an ingress edge enabler proxy (EEP) , the method including: receiving, from a first device, a first packet including a first information element having a first identifier; generating a second packet by replacing the first information element of the first packet with a second information element having a second identifier associated with the first identifier, wherein: the first identifier is to identify a user equipment (UE) and the second identifier is to identify a virtual UE; or the first identification is to identify a virtual UE and the second identification is to identify a UE; and sending, to a second device, the second packet with the second information element, wherein: the first device is a UE and the second device is an egress EEP; or the first device is an egress EEP and the second device is a UE.

[0188] Example 2 includes the method of example 1 or other examples herein, wherein: the first identifier is to identify the UE and the second identifier is to identify the virtual UE; the first device is the UE and the second device is the egress EEP; and the first packet is associated with a discovery procedure.

[0189] Example 3 includes the method of examples 1 or 2 or other examples herein, wherein: the first identifier is to identify the UE and the second identifier is to identify the virtual UE; the first device is the UE and the second device is the egress EEP; and the first information element is an edge enabler client identifier (EECID) , an Internet protocol (IP) address, an international mobile equipment identity (IMEI) , a permanent equipment identifier (PEI) , a  mobile subscriber international subscriber directory number (MSISDN) , a subscription permanent identifier (SUPI) , a subscription concealed identifier (SUCI) , or an international mobile subscriber identity (IMSI) .

[0190] Example 4 includes the method of any of examples 1-3 or other examples herein, further including: receiving, from an edge enabler client (EEC) , an authorization request; performing, with an edge enabler server (EES) , an authorization procedure based on the authorization request; and receiving, from the EES a security credential associated with the authorization procedure; sending, to the EEC, the security credential.

[0191] Example 5 includes the method of any of examples 1-4 or other examples herein, wherein the authorization procedure is based on the second identifier.

[0192] Example 6 includes the method of any of examples 1-5 or other examples herein, further including: sending the second identifier to the EEC.

[0193] Example 7 includes the method of any of examples 1-6 or other examples herein, further including: performing an edge enabler client (EEC) registration procedure.

[0194] Example 8 includes the method of any of examples 1-7 or other examples herein, wherein the EEC registration procedure further including: receiving, from the EEC, a registration request; performing, with an edge enabler server (EES) , a registration procedure based on the registration request; receiving, from the EES an EEC identifier, wherein the first identifier is based on the EEC identifier; and sending, to the EEC, the EEC identifier.

[0195] Example 9 includes a method for implementing an egress edge enabler proxy (EEP) , the method including: receiving, from an ingress EEP, a first packet including a first information element; generating a second packet by replacing the first information element of the first packet with a second information element, wherein: the second information element is based on a decryption of the first information element; and sending, to an edge enabler server (EES) , the second packet with the second information element.

[0196] Example 10 includes the method of example 9 or other examples herein, wherein the first packet is associated with a discovery procedure.

[0197] Example 11 includes the method of examples 9 or 10 or other examples herein, wherein the first information element is associated with one or more edge application server (EAS) discovery filters.

[0198] Example 12 includes a method for implementing by a user equipment (UE) , the method including: receiving information associated with an ingress edge enabler proxy (EEP) ; receiving, from a first operator, a first UE identifier; receiving, from the ingress EEP, a second UE identifier; performing, with an edge enabler server (EES) associated with a second operator, an authorization procedure based on the second UE identifier; and receiving, from the EES, a security credential associated with the authorization procedure.

[0199] Example 13 includes the method of claim 12 or other examples herein, wherein the information is an address or a proxy provider identity.

[0200] Example 14 includes the method of examples 12 or 13 or other examples herein, wherein the address is a fully qualified domain name (FQDN) , an Internet protocol (IP) address, or a uniform resource identifier (URI) associated with the ingress EEP.

[0201] Example 15 includes the method of any of examples 12-14 or other examples herein, the method further including: sending, to the EES, a packet based on the first UE identifier.

[0202] Example 16 includes the method of any of examples 12-15 or other examples herein, the method further including: receiving a first public key associated with the ingress EEP; receiving a second public key associated with an egress EEP; and encrypting a first information with the first public key or a second information with the second public key.

[0203] Example 17 includes the method of any of examples 12-16 or other examples herein, wherein the first information is an Internet protocol (IP) address associated with the UE, and the second information is an edge application server (EAS) discovery filter.

[0204] Example 18 includes the method of any of examples 12-17 or other examples herein, the method further including: receiving an indication associated with an entity; determining, based on the indication, whether the entity includes the ingress EEP; and determining, based on the indication, whether the entity is a trusted entity.

[0205] Example 19 includes the method of any of examples 12-18 or other examples herein, wherein the entity is the EES or an edge configuration server (ECS) .

[0206] Example 20 includes the method of any of examples 12-19 or other examples herein, wherein the indication is associated with an EES profile.

[0207] Another example may include an apparatus comprising logic, modules, or circuitry to perform one or more elements of a method described in or related to any of examples 1-20, or any other method or process described herein.

[0208] Another example may include a method, technique, or process as described in or related to any of examples 1-20, or portions or parts thereof.

[0209] Another example may include an apparatus comprising: one or more processors and one or more computer-readable media comprising instructions that, when executed by the one or more processors, cause the one or more processors to perform the method, techniques, or process as described in or related to any of examples 1-20, or portions thereof.

[0210] Another example includes a signal as described in or related to any of examples 1-20, or portions or parts thereof.

[0211] Another example may include a datagram, information element, packet, frame, segment, PDU, or message as described in or related to any of examples 1-20, or portions or parts thereof, or otherwise described in the present disclosure.

[0212] Another example may include a signal encoded with data as described in or related to any of examples 1-20, or portions or parts thereof, or otherwise described in the present disclosure.

[0213] Another example may include a signal encoded with a datagram, IE, packet, frame, segment, PDU, or message as described in or related to any of examples 1-20, or portions or parts thereof, or otherwise described in the present disclosure.

[0214] Another example may include an electromagnetic signal carrying computer-readable instructions, wherein execution of the computer-readable instructions by one or more processors is to cause the one or more processors to perform the method, techniques, or process as described in or related to any of examples 1-20, or portions thereof.

[0215] Another example may include a computer program comprising instructions, wherein execution of the program by a processing element is to cause the processing element to carry out the method, techniques, or process as described in or related to any of examples 1-20, or portions thereof.

[0216] Another example may include a signal in a wireless network as shown and described herein.

[0217] Another example may include a method of communicating in a wireless network as shown and described herein.

[0218] Another example may include a system for providing wireless communication as shown and described herein.

[0219] Another example may include a device for providing wireless communication as shown and described herein.

[0220] Any of the above-described examples may be combined with any other example (or combination of examples) , unless explicitly stated otherwise. The foregoing description of one or more implementations provides illustration and description, but is not intended to be exhaustive or to limit the scope of aspects to the precise form disclosed. Modifications and variations are possible in light of the above teachings or may be acquired from practice of various aspects.

[0221] Although the aspects above have been described in considerable detail, numerous variations and modifications will become apparent to those skilled in the art once the above disclosure is fully appreciated. It is intended that the following claims be interpreted to embrace all such variations and modifications.

Claims

1.A method for implementing an ingress enabler layer proxy (ELP) , the method comprising:receiving, from a first device, a first packet including a first information element having a first identifier;generating a second packet by replacing the first information element of the first packet with a second information element having a second identifier associated with the first identifier, wherein: the first identifier is to identify a user equipment (UE) and the second identifier is to identify a virtual UE; or the first identification is to identify a virtual UE and the second identification is to identify a UE; andsending, to a second device, the second packet with the second information element, wherein: the first device is a UE and the second device is an egress ELP; or the first device is an egress ELP and the second device is a UE.2.The method of claim 1, wherein: the first identifier is to identify the UE and the second identifier is to identify the virtual UE; the first device is the UE and the second device is the egress ELP; and the first packet is associated with an application server (AS) discovery procedure.3.The method of claim 1 or 2, wherein: the first identifier is to identify the UE and the second identifier is to identify the virtual UE; the first device is the UE and the second device is the egress ELP; and the first information element is an enabler client identifier (ECID) , an Internet protocol (IP) address, an international mobile equipment identity (IMEI) , a permanent equipment identifier (PEI) , a mobile subscriber international subscriber directory number (MSISDN) , a subscription permanent identifier (SUPI) , a subscription concealed identifier (SUCI) , or an international mobile subscriber identity (IMSI) .4.The method of claim 1 or 2, further comprising:receiving, from an enabler client (EC) entity, an authorization request;performing, with an enabler server (ES) , an authorization procedure based on the authorization request; andreceiving, from the ES a security credential associated with the authorization procedure;sending, to the EC, the security credential.5.The method of claim 4, wherein the authorization procedure is based on the second identifier.6.The method of claim 1 or 2, further comprising: sending the second identifier to the first device.7.The method of claim 1 or 2, further comprising: performing an enabler client (EC) registration procedure.8.The method of claim 7, wherein the EC registration procedure further comprises:receiving, from the EC, a registration request including an EC identifier; andperforming, with an enabler server (ES) , a registration procedure based on the registration request and a virtual EC identifier associated with the EC identifier.9.A method for implementing an egress enabler layer proxy (ELP) , the method comprising:receiving, from an ingress EP, a first packet including a first information element;generating a second packet by replacing the first information element of the first packet with a second information element, wherein: the second information element is based on a decryption of the first information element; andsending, to an enabler server (ES) , the second packet with the second information element.10.The method of claim 9, wherein the first packet is associated with a discovery procedure.11.The method of claim 9 or 10, wherein the first information element is associated with one or more application server (AS) discovery filters.12.A method for implementing by a user equipment (UE) , the method comprising:receiving information associated with an ingress enabler layer proxy (ELP) ;receiving, from a first operator, a first UE identifier;receiving, from the ingress ELP, a second UE identifier;performing, with an enabler server (ES) associated with a second operator, an authorization procedure based on the second UE identifier; andreceiving, from the ES, a security credential associated with the authorization procedure.13.The method of claim 12, wherein the information is an address or a proxy provider identity.14.The method of claim 13, wherein the address is a fully qualified domain name (FQDN) , an Internet protocol (IP) address, or a uniform resource identifier (URI) associated with the ingress ELP.15.The method of any of claims 12-14, further comprising:sending, to the ELP, a packet based on the first UE identifier.16.The method of any of claims 12-14, further comprising:receiving a first public key associated with the ingress ELP;receiving a second public key associated with an egress ELP; andencrypting a first information with the first public key or a second information with the second public key.17.The method of claim 16, wherein the first information is an address associated with the UE, and the second information is an application server (AS) discovery filter.18.The method of claim 17, wherein the address associated with the UE is an enabler client identifier (ECID) , an Internet protocol (IP) address, an international mobile  equipment identity (IMEI) , a permanent equipment identifier (PEI) , a mobile subscriber international subscriber directory number (MSISDN) , a subscription permanent identifier (SUPI) , a subscription concealed identifier (SUCI) , or an international mobile subscriber identity (IMSI) .19.The method of any of claims 12-14, further comprising:receiving an indication associated with an entity;determining, based on the indication, whether the entity includes the ingress ELP; anddetermining, based on the indication, whether the entity is a trusted entity.20.The method of claim 19, wherein the entity is the ES or a configuration server (CS) .21.The method of claim 20, wherein the indication is associated with an ES profile.

Images