Method and apparatus for communication

Abstract

Embodiments of the present application provide a method and an apparatus for communication. In the present application, an anchor key is binding to a serving GW, and associated with a name of the serving GW and other information. The anchor key is generated by a KMF after successful mutual authentication between the device and the network. The KMF is a network function that is responsible for key management (for example, anchor key derivation). Compared to prior arts, there is no security context transfer between an old serving GW and a new serving GW, because the security contexts are generated by the KMF, and are provided to the new serving GW. This could reduce message exchange overhead as well as storage overhead of a GW.

Description

METHOD AND APPARATUS FOR COMMUNICATION

[0001] CROSS-REFERENCE TO RELATED APPLICATIONS

[0002] The present application is related to, and claims priority to, United States provisional patent application serial No.63 / 586, 631, entitled “SYSTEM AND METHODS FOR ANCHOR KEY GENERATION AND CONFIGURATION IN THE FUTURE NETWORK” , and filed on September 29, 2023. The disclosure of the aforementioned application is hereby incorporated by reference in their entireties.TECHNICAL FIELD

[0003] Embodiments of the present application relate to the field of wireless technologies, and more specifically, to a method and an apparatus for communication.BACKGROUND

[0004] In the 3rd generation partnership project (3GPP) , a primary authentication and key agreement procedure is to enable mutual authentication between a device and a network, and to provide an anchor key that can be used for indirect derivation keys for security protection on communications between the device and network. The anchor key called KSEAF is provided by an authentication server function (AUSF) of a home network to a security anchor function (SEAF) of a serving network. The anchor key binding shall be achieved by including a parameter called “serving network name” into a chain of key derivations that originates from the long-term subscriber key. Keys for more than one security context can be indirectly derived from the KSEAF without the need for a new authentication procedure. All these keys are generated by network functions, for example, KAMF is generated by an access management function (AMF) , terminal keys for security protection on communications between the device and the AMF are generated by the AMF. These network functions shall store or maintain security contexts. What is more, if the long-term subscriber key is changed, security contexts related to the long-term subscriber key should be updated by these functions. The information exchanges among network functions related to security cause extra overhead during key refresh.

[0005] Due to an N2 handover or a protocol data unit (PDU) session establishment, user equipment (UE) ’s security contexts should be transferred from an old gateway (GW) , for example, the AMF, to a new serving GW. These security contexts  shall include algorithm parameters and inputs for terminal key derivation. These secure contexts may include a new KAMF or terminal keys. The transfer of security contexts could bring message exchange overhead.SUMMARY

[0006] Embodiments of the present application provide a method and an apparatus for communication, which can reduce message exchanges overhead.

[0007] According to a first aspect, there is provided a method for communication, and the method may be performed by a first apparatus or a chip installed in the first apparatus. For example, the first apparatus may be a key management function (KMF) . The method includes: receiving a first message from an authentication server (AS) , where the first message includes a name of a second network function, and the second network function that directly connects to a service provider that provides an application service for a device or directly connects to a network that provides a network service for a device; generating an anchor key according to the name of the second network function, where the anchor key is used for determining whether authentication is needed between the device and the network; and sending a second message to the second network function, where the second message includes first security contexts for the second network function, where the first security contexts comprise terminal keys, the terminal keys are derived from the anchor key, and the terminal keys are used for security protection on communication between the device and the second network function.

[0008] According to the proposed solution of the present application, a key management function (KMF) is introduced. The KMF is responsible for generating an anchor key, generating security contexts for a serving GW and a device, and maintaining the security contexts. Compared to the prior arts, there is no security context transfer between an old serving GW and a new serving GW during a handover. The security contexts are generated by the KMF, and are configured for the new serving GW. This could reduce overhead of message exchanges for key updates, as well as storage overhead of the GW.

[0009] In an implementation of the first aspect, the first security contexts comprise an ID of the anchor key.

[0010] In this implementation, when a device moves from an old serving gateway to a new serving gateway, a new anchor key is generated without previous security contexts, and an ID of the anchor key is configured for the new serving gateway. This could avoid security context exchanges during handovers.

[0011] In an implementation of the first aspect, the method further includes: generating second security contexts for the device, where the second security contexts comprise an ID of the anchor key, and the second security contexts further comprise an algorithm for generating the anchor key or the terminal keys.

[0012] In an implementation of the first aspect, the method further includes: sending the second security contexts to the  device.

[0013] In this implementation, the KMF further generates security contexts for a device and configures the security contexts for the device. That means a serving gateway and other network functions don’ t maintain security contexts, which could reduce storage overhead of the serving gateway and that of the other network functions.

[0014] In an implementation of the first aspect, the second network function includes a serving gateway.

[0015] In an implementation of the first aspect, after sending the second message to the second network function, the method further includes: receiving a third message from the second network function, where the third message includes information related to an update of the anchor key.

[0016] The technical effect of the second aspect or the third aspect can refer to that of the first aspect, and it will not be repeated in the following.

[0017] According to a second aspect, there is provided a method for communication, and the method may be performed by a second apparatus or a chip installed in the second apparatus. The method includes: obtaining first security contexts for the second network function, where the first security contexts comprise terminal keys, the terminal keys are derived from an anchor key, the anchor key is used for determining whether authentication is needed between a device and a network, the anchor key is generated according to a name of the second network function, and the terminal keys are used for security protection on communication between a device and the second network function; and storing the first security contexts.

[0018] In an implementation of the second aspect, the first security contexts comprise an ID of the anchor key.

[0019] In an implementation of the second aspect, obtaining the first security contexts includes: receiving a second message from a first network function, where the first network function is responsible for generating the anchor key or the terminal keys, and the second message includes the first security contexts.

[0020] In an implementation of the second aspect, after receiving the second message from the first network function, the method further includes: sending a third message to the first network function, where the third message includes information related to an update of the anchor key.

[0021] In an implementation of the second aspect, where the information related to the update of the anchor key includes one or more parameters of: a frequency for updating the anchor key, one or more inputs for anchor key derivation.

[0022] In an implementation of the second aspect, before receiving the second message from the first network function, the method further includes: determining whether new authentication is needed by comparing the name of the second network function and a name of an old second network function, where the second network function is a new second network function selected by the old second network function due to a handover; sending a fourth message to the first network function in a case that the new authentication is not needed, where the fourth message includes the name of the second network function and a  device’s temporary.

[0023] In an implementation of the second aspect, the second network function includes a serving gateway.

[0024] According to a third aspect, there is provided a method for communication, and the method may be performed by a third apparatus or a chip installed in the third apparatus. The method includes: obtaining a shared key between a device and an authentication server (AS) after a successful mutual authentication between the device and the AS; and sending a first message to a first network function, where the first message includes a name of a second network function, the name of the second network function is used to generate an anchor key used for determining whether authentication is needed between the device and a network.

[0025] According to a fourth aspect, there is provided a communication apparatus having a function or module to perform the method in any one of the first aspect to the third aspect, or any one of the implementations in these aspects.

[0026] According to a fifth aspect, there is provided a chip (or a chip system) . The chip includes at least one processor, the at least one processor is coupled to at least one memory. The at least one memory is configured to store one or more instructions and / or executable computer code. The at least one processor is configured to invoke the one or more instructions and / or executable computer code, so that a communication apparatus installed the chip performs the method in any one of the first aspect to the third aspect, or any one of the implementations in these aspects. Optionally, the chip may further include the at least one memory. Optionally, the chip may further include a communication interface, and the communication interface is configured to input and / or output information or data.

[0027] According to a sixth aspect, there is provided a communication apparatus. The communication apparatus includes one or more circuits and one or more communication interfaces. The one or more communication interfaces may include a first interface for receiving (that is, inputting) information and / or data that is to be processed by the one or more circuits and a second interface for transmitting (that is, outputting) information and / or data processed by the one or more circuit. The one or more circuits are configured to process the information and / or data that is to be processed so that the communication apparatus performs the method in any one of the first aspect to the third aspect, or any one of the implementations in these aspects.

[0028] According to a seventh aspect, there is provided a communication system. The communication system may include at least one communication apparatus according to any one of the first aspect to the third aspect, or any one of the implementations in these aspects.

[0029] According to an eighth aspect, there is provided a computer storage medium that stores executable computer code, and the executable computer code is used to execute one or more instructions for the method according to any one of the first aspect to the third aspect, or any one of the implementations in these aspects.

[0030] According to a ninth aspect, there is provided a computer program product including one or more instructions, and when the computer product program runs on a computer, the computer performs the method according to any one of the first aspect to the third aspect, or any one of the possible implementations in these aspects.DESCRIPTION OF DRAWINGS

[0031] One or more embodiments are exemplarily described by corresponding accompanying drawings, and these exemplary illustrations and accompanying drawings constitute no limitation on the embodiments. Elements with the same reference numerals in the accompanying drawings are illustrated as similar elements, and the drawings are not limited to scale, in which:

[0032] FIG. 1 is a schematic diagram of an application scenario according to an embodiment of the present application.

[0033] FIG. 2 illustrates an example of a communication system.

[0034] FIG. 3 illustrates another example of an electronic device (ED) and a base station.

[0035] FIG. 4 is an example of a channel model of a MIMO system.

[0036] FIG. 5 is an example of 6G system conceptual structure.

[0037] FIG. 6 is an architecture of anchor key management according to some embodiments of the present application.

[0038] FIG. 7 is a schematic flow chart of a method for communication proposed by some embodiments of the present application.

[0039] FIG. 8 is an example of the method according to an embodiment of the present application.

[0040] FIG. 9 is an example of a procedure of security contexts transfer during serving GW re-allocation in a case that the system deploys the KMF.

[0041] FIG. 10 is an example of a procedure of security contexts transfer during serving GW re-allocation in a case that the system doesn’ t have the KMF deployed.

[0042] FIG. 11 is a schematic block diagram of a communication apparatus according to an embodiment of the present application.

[0043] FIG. 12 is a schematic block diagram of a communication apparatus according to an embodiment of the present application.DESCRIPTION OF EMBODIMENTS

[0044] In order to understand features and technical contents of embodiments of the present application in detail, implementations of the embodiments of the present application will be described in detail below with reference to the accompanying drawings, and the attached drawings are only for reference and illustration purposes, and are not intended to limit the embodiments of the present applications. In the following technical descriptions, for ease of explanation, numerous details are set forth to provide a thorough understanding of the disclosed embodiments.

[0045] The present application relates generally to wireless communications. Many new trends will trigger the consideration and design of a future wireless network, for example, a 6th generation (6G) wireless network. The 6G wireless communication proposed may meet the following requirements:

[0046] -new network infrastructure capability, e.g., cloud natured / friendly infrastructures that are broadly deployed;

[0047] -new (relative) matured techniques, e.g., artificial intelligence (AI) large scale models, data de-privacy, block chain, etc. that have made significant progresses and significantly impact on the entire society and human life;

[0048] -new apps and services, e.g., AI services, data (sensing) service, digital world service, etc. that are broadly applied in industry / business and used by individual customers;

[0049] -more global / open / collaborative operation trend, i.e., a more open and more collaborative operation mode are becoming common practice in many fields.

[0050] New expectation and stricter requirements on future networks also drive rethinking and development of new generation of wireless networks. These requirements may include:

[0051] -privacy and trustworthiness, etc;

[0052] -simplified standardization;

[0053] -rapid deployment;

[0054] -etc.

[0055] All of the above drives 6G network architecture research work. The proposed 6G network architecture (X-centric) are service-based architectures (SBA) (XaaS service) based and Cloud-native. Requirements to 6G system network architecture design may include:

[0056] -the proposed 6G network architecture needs to support new 6G services which could be developed / deployed by 3rd parties;

[0057] -the proposed 6G network architecture needs to embrace more open ecosystem to open door to technical capable 3rd parties; and

[0058] -the proposed 6G network architecture needs to enable better trustworthiness management.

[0059] A solution to enable above requirements is needed.

[0060] In 3GPP, 33.501, a primary authentication and key agreement procedure is to enable mutual authentication between the UE (i.e. device) and the network, and to provide an anchor key that can be used for indirectly deriving keys for security protection on communications between the UE and the network. This anchor key of KSEAF is provided by the AUSF (which is an authentication server) of the home network to the SEAF of the serving network. The anchor key binding shall be achieved by including a parameter called “serving network name” into a chain of key derivations that originates from the long-term subscriber key to the anchor key. Keys for more than one security context can be indirectly derived from the KSEAF without the need of a new authentication run. All these keys (e.g., KAMF, terminal keys) are generated by network functions (e.g., KAMF is generated by AMF; terminal keys for secure protection on communications between the UE and the AMF are generated by the AMF; terminal keys for secure protection on communications between the UE and the gNB are generated by the gNB. ) . These network functions shall store or maintain security contexts (e.g., algorithm parameters, inputs for deriving these keys) . What’s more, if the long-term subscriber key changes, security contexts related to the long-term subscriber key should be updated by these network functions.

[0061] In 3GPP, 33.501, the anchor key is binding to a SEAF of the serving network. This functionality of SEAF could be supported in a single instance of an AMF (GW) . Due to N2 handover or a PDU session establishment, UE’s security contexts should be transferred from an old AMF (GW) to a new serving AMF (GW) . These secure contexts shall include algorithm parameters and inputs for derivation KAMF. These security contexts may include a new KAMF or terminal keys. The new serving AMF(GW) may generate a new KAMF or terminal keys. This could bring message exchanges overhead.

[0062] Related technologies and concepts are introduced here firstly in order to have a better understanding of technical solutions proposed by the present application.

[0063] Currently, in 3GPP 33.501, the mutual authentication and key agreement results in an anchor key that is associated with a serving network. A gateway (GW) ’s key is derived from the anchor key. The GW’s key is used for derivation of terminal keys that are used for secure protection on communications between a device and the GW. When a serving GW changes during handovers, device’s security contexts, for example, the anchor key and the old GW’s key, should be transferred from an old GW to a new GW, which may result in heavy overhead, particularly in a scenario of high mobility. What’s more, AMF or gNB or SEAF shall store or maintain security contexts (e.g., algorithm parameters, inputs for deriving these keys) .

[0064] To solve these issues, the present application provides a system and a method on an anchor key generation and configuration in the future network. the proposed solution could reduce message exchange overhead and improve efficiency of the network performances.

[0065] To reduce overhead of exchanges of security contexts, the present application proposes a new system and method for management of anchor key. The basic concepts of the present application are as follows.

[0066] In 33.501, anchor key is associating with a name of the serving network, and the AMF’s key is linked with a device’s name and the anchor key. If we remove the concept of the serving network, the anchor key is directly binding with a serving GW. Under this case, when a device moves from an old serving GW to the new serving GW, a new AMF’s key is directly generated without the need of the device’s security contexts (e.g. KSEAF) . During this assumption, new technique problems should be addressed. For example, how to generate a new anchor key? Who will generate the new anchor key? What information should be exchanged from a GW and an AUSF (authentication server) ? Who maintains security contexts? How to configure the new anchor key? How to update the new anchor key during handover? How to the serving GW determine whether it has a new authentication run or not?

[0067] The basic concept of the present application includes three parts: (1) we introduce a concept of anchor key binding to a serving GW instead of a serving network. We provide an architecture of anchor key management and some definitions related to the anchor key. (2) We design a method of how to generate an anchor key and how to configure the anchor key to a serving GW. (3) we provide procedures about security context exchange during a serving GW re-allocation.

[0068] An anchor key is binding to a serving GW, instead of binding to a serving network. A new method of how to generate an anchor key binding to a serving GW is provided. This could avoid security context exchanges overhead due to handovers.

[0069] Beneficial technical effects include at least the following two points:

[0070] (1) Reduce storage overhead

[0071] We remove the concept of the serving network; the anchor key is directly binding to a serving GW. The GW does not maintain KSEAF in 3GPP, 33.501. What’s more, the anchor key is generated by a KMF. That means a serving GW and other network functions does not maintain security contexts.

[0072] (2) Reduce communication overhead

[0073] When a device moves from an old serving GW to the new serving GW, a new anchor key is directly generated without the need of the previous security contexts. This could avoid security context exchanges during handovers.

[0074] Referring to FIG. 1, as an illustrative example without limitation, a simplified schematic illustration of a communication system is provided. The communication system 100 comprises a radio access network 120. The radio access network 120 may be a next generation (e.g. 6G or later) radio access network, or a legacy (e.g. 5G or 4G) radio access network. One or more communication electronic devices (ED) 110a, 110b, 110c, 110d, 110e, 110f, 110g, 110h, 110i, 110j (generically referred to as 110) may be interconnected to one another or connected to one or more network nodes (170a, 170b, generically referred to as 170) in the radio access network 120. A core network 130 may be a part of the communication system and may be dependent or independent of the radio access technology used in the communication system 100. The communication  system 100 also includes a public switched telephone network (PSTN) 140, the internet 150, and other networks 160.

[0075] FIG. 2 illustrates an example communication system 100. In general, the communication system 100 enables multiple wireless or wired elements to communicate data and other content. The purpose of the communication system 100 may be to provide content, such as voice, data, video, and / or text, via broadcast, multicast, groupcast, unicast, etc. The communication system 100 may operate by sharing resources, such as carrier spectrum bandwidth, between its constituent elements. The communication system 100 may include a terrestrial communication system and / or a non-terrestrial communication system. The communication system 100 may provide a wide range of communication services and applications (such as earth monitoring, remote sensing, passive sensing and positioning, navigation and tracking, autonomous delivery and mobility, etc. ) . The communication system 100 may provide a high degree of availability and robustness through a joint operation of a terrestrial communication system and a non-terrestrial communication system. For example, integrating a non-terrestrial communication system (or components thereof) into a terrestrial communication system can result in what may be considered a heterogeneous network comprising multiple layers. Compared to conventional communication networks, the heterogeneous network may achieve better overall performance through efficient multi-link joint operation, more flexible functionality sharing, and faster physical layer link switching between terrestrial networks and non-terrestrial networks.

[0076] The terrestrial communication system and the non-terrestrial communication system could be considered sub-systems of the communication system. In the example shown in FIG. 5, the communication system 100 includes electronic devices (ED) 110a, 110b, 110c, 110d (generically referred to as ED 110) , radio access networks (RANs) 120a, 120b, a non-terrestrial communication network 120c, a core network 130, a public switched telephone network (PSTN) 140, the Internet 150, and other networks 160. The RANs 120a, 120b include respective base stations (BSs) 170a, 170b, which may be generically referred to as terrestrial transmit and receive points (T-TRPs) 170a, 170b. The non-terrestrial communication network 120c includes an access node 172, which may be generically referred to as a non-terrestrial transmit and receive point (NT-TRP) 172.

[0077] Any ED 110 may be alternatively or additionally configured to interface, access, or communicate with any T-TRP 170a, 170b and NT-TRP 172, the Internet 150, the core network 130, the PSTN 140, the other networks 160, or any combination of the preceding. In some examples, ED 110a may communicate an uplink and / or downlink transmission over a terrestrial air interface 190a with T-TRP 170a. In some examples, the EDs 110a, 110b, 110c, and 110d may also communicate directly with one another via one or more sidelink air interfaces 190b. In some examples, ED 110d may communicate an uplink and / or downlink transmission over a non-terrestrial air interface 190c with NT-TRP 172.

[0078] The air interfaces 190a and 190b may use similar communication technology, such as any suitable radio access technology. For example, the communication system 100 may implement one or more channel access methods, such as code  division multiple access (CDMA) , space division multiple access (SDMA) , time division multiple access (TDMA) , frequency division multiple access (FDMA) , orthogonal FDMA (OFDMA) , or single-carrier FDMA (SC-FDMA, also known as discrete Fourier transform spread OFDMA, DFT-s-OFDMA) in the air interfaces 190a and 190b. The air interfaces 190a and 190b may utilize other higher dimension signal spaces, which may involve a combination of orthogonal and / or non-orthogonal dimensions.

[0079] The non-terrestrial air interface 190c can enable communication between the ED 110d and one or multiple NT-TRPs 172 via a wireless link or simply a link. For some examples, the link is a dedicated connection for unicast transmission, a connection for broadcast transmission, or a connection between a group of EDs 110 and one or multiple NT-TRPs 172 for multicast transmission.

[0080] The RANs 120a and 120b are in communication with the core network 130 to provide the EDs 110a 110b, and 110c with various services such as voice, data, and other services. The RANs 120a and 120b and / or the core network 130 may be in direct or indirect communication with one or more other RANs (not shown) , which may or may not be directly served by core network 130, and may or may not employ the same radio access technology as RAN 120a, RAN 120b or both. The core network 130 may also serve as a gateway access between (i) the RANs 120a and 120b or EDs 110a 110b, and 110c or both, and (ii) other networks (such as the PSTN 140, the Internet 150, and the other networks 160) . In addition, some or all of the EDs 110a 110b, and 110c may include functionality for communicating with different wireless networks over different wireless links using different wireless technologies and / or protocols. Instead of wireless communication (or in addition thereto) , the EDs 110a 110b, and 110c may communicate via wired communication channels to a service provider or switch (not shown) , and to the Internet 150. PSTN 140 may include circuit switched telephone networks for providing plain old telephone service (POTS) . Internet 150 may include a network of computers and subnets (intranets) or both, and incorporate protocols, such as Internet Protocol (IP) , Transmission Control Protocol (TCP) , User Datagram Protocol (UDP) . EDs 110a 110b, and 110c may be multimode devices capable of operation according to multiple radio access technologies, and incorporate multiple transceivers necessary to support such.

[0081] FIG. 3 illustrates another example of an ED 110 and a base station 170a, 170b and / or 170c. The ED 110 is used to connect persons, objects, machines, etc. The ED 110 may be widely used in various scenarios including, for example, cellular communications, device-to-device (D2D) , vehicle to everything (V2X) , peer-to-peer (P2P) , machine-to-machine (M2M) , machine-type communications (MTC) , internet of things (IoT) , virtual reality (VR) , augmented reality (AR) , mixed reality (MR) , metaverse, digital twin, industrial control, self-driving, remote medical, smart grid, smart furniture, smart office, smart wearable, smart transportation, smart city, drones, robots, remote sensing, passive sensing, positioning, navigation and tracking, autonomous delivery and mobility, etc.

[0082] Each ED 110 represents any suitable end user device for wireless operation and may include such devices (or  may be referred to) as a user equipment / device (UE) , a wireless transmit / receive unit (WTRU) , a mobile station, a fixed or mobile subscriber unit, a cellular telephone, a station (STA) , a machine type communication (MTC) device, a personal digital assistant (PDA) , a smartphone, a laptop, a computer, a tablet, a wireless sensor, a consumer electronics device, a smart book, a vehicle, a car, a truck, a bus, a train, or an IoT device, wearable devices (such as a watch, a pair of glasses, head mounted equipment, etc. ) , an industrial device, or an apparatus in (e.g. communication module, modem, or chip) or comprising the forgoing devices, among other possibilities. Future generation EDs 110 may be referred to using other terms. The base station 170a and 170b is a T-TRP and will hereafter be referred to as T-TRP 170. Also shown in FIG. 3, a NT-TRP will hereafter be referred to as NT-TRP 172. Each ED 110 connected to T-TRP 170 and / or NT-TRP 172 can be dynamically or semi-statically turned-on (i.e., established, activated, or enabled) , turned-off (i.e., released, deactivated, or disabled) and / or configured in response to one of more of: connection availability and connection necessity.

[0083] The ED 110 includes a transmitter 201 and a receiver 203 coupled to one or more antennas 204. Only one antenna 204 is illustrated to avoid congestion in the drawing. One, some, or all of the antennas 204 may alternatively be panels. The transmitter 201 and the receiver 203 may be integrated, e.g. as a transceiver. The transceiver is configured to modulate data or other content for transmission by at least one antenna 204 or network interface controller (NIC) . The transceiver is also configured to demodulate data or other content received by the at least one antenna 204. Each transceiver includes any suitable structure for generating signals for wireless or wired transmission and / or processing signals received wirelessly or by wire. Each antenna 204 includes any suitable structure for transmitting and / or receiving wireless or wired signals.

[0084] The ED 110 includes at least one memory 208. The memory 208 stores instructions and data used, generated, or collected by the ED 110. For example, the memory 208 could store software instructions or modules configured to implement some or all of the functionality and / or embodiments described herein and that are executed by one or more processing unit (s) (e.g., a processor 210) . Each memory 208 includes any suitable volatile and / or non-volatile storage and retrieval device (s) . Any suitable type of memory may be used, such as random access memory (RAM) , read only memory (ROM) , hard disk, optical disc, subscriber identity module (SIM) card, memory stick, secure digital (SD) memory card, on-processor cache, and the like.

[0085] The ED 110 may further include one or more input / output devices (not shown) or interfaces (such as a wired interface to the Internet 150 in FIG. 1) . The input / output devices or interfaces permit interaction with a user or other devices in the network. Each input / output device or interface includes any suitable structure for providing information to or receiving information from a user, and / or for network interface communications. Suitable structures include, for example, a speaker, microphone, keypad, keyboard, display, touch screen, etc.

[0086] The ED 110 includes the processor 210 for performing operations including those operations related to preparing a transmission for uplink transmission to the NT-TRP 172 and / or the T-TRP 170; those operations related to processing  downlink transmissions received from the NT-TRP 172 and / or the T-TRP 170; and those operations related to processing sidelink transmission to and from another ED 110. Processing operations related to preparing a transmission for uplink transmission may include operations such as encoding, modulating, transmit beamforming, and generating symbols for transmission. Processing operations related to processing downlink transmissions may include operations such as receive beamforming, demodulating and decoding received symbols. Depending upon the embodiment, a downlink transmission may be received by the receiver 203, possibly using receive beamforming, and the processor 210 may extract signaling from the downlink transmission (e.g. by detecting and / or decoding the signaling) . An example of signaling may be a reference signal transmitted by the NT-TRP 172 and / or by the T-TRP 170. In some embodiments, the processor 210 implements the transmit beamforming and / or the receive beamforming based on the indication of beam direction, e.g. beam angle information (BAI) , received from the T-TRP 170. In some embodiments, the processor 210 may perform operations relating to network access (e.g. initial access) and / or downlink synchronization, such as operations relating to detecting a synchronization sequence, decoding and obtaining the system information, etc. In some embodiments, the processor 210 may perform channel estimation, e.g. using a reference signal received from the NT-TRP 172 and / or from the T-TRP 170.

[0087] Although not illustrated, the processor 210 may form part of the transmitter 201 and / or part of the receiver 203. Although not illustrated, the memory 208 may form part of the processor 210.

[0088] The processor 210, the processing components of the transmitter 201, and the processing components of the receiver 203 may each be implemented by the same or different one or more processors that are configured to execute instructions stored in a memory (e.g. in the memory 208) . Alternatively, some or all of the processor 210, the processing components of the transmitter 201, and the processing components of the receiver 203 may each be implemented using dedicated circuitry, such as a programmed field-programmable gate array (FPGA) , an application-specific integrated circuit (ASIC) , or a hardware accelerator such as a graphics processing unit (GPU) or an artificial intelligence (AI) accelerator.

[0089] The T-TRP 170 may be known by other names in some implementations, such as a base station, a base transceiver station (BTS) , a radio base station, a network node, a network device, a device on the network side, a transmit / receive node, a Node B, an evolved NodeB (eNodeB or eNB) , a Home eNodeB, a next Generation NodeB (gNB) , a transmission point (TP) , a site controller, an access point (AP) , a wireless router, a relay station, a terrestrial node, a terrestrial network device, a terrestrial base station, a base band unit (BBU) , a remote radio unit (RRU) , an active antenna unit (AAU) , a remote radio head (RRH) , a central unit (CU) , a distributed unit (DU) , a positioning node, among other possibilities. The T-TRP 170 may be a macro BS, a pico BS, a relay node, a donor node, or the like, or combinations thereof. The T-TRP 170 may refer to the forgoing devices or refer to apparatus (e.g. a communication module, a modem, or a chip) in the forgoing devices.

[0090] In some embodiments, the parts of the T-TRP 170 may be distributed. For example, some of the modules of the  T-TRP 170 may be located remote from the equipment that houses the antennas 256 for the T-TRP 170, and may be coupled to the equipment that houses the antennas 256 over a communication link (not shown) sometimes known as front haul, such as common public radio interface (CPRI) . Therefore, in some embodiments, the term T-TRP 170 may also refer to modules on the network side that perform processing operations, such as determining the location of the ED 110, resource allocation (scheduling) , message generation, and encoding / decoding, and that are not necessarily part of the equipment that houses the antennas 256 of the T-TRP 170. The modules may also be coupled to other T-TRPs. In some embodiments, the T-TRP 170 may actually be a plurality of T-TRPs that are operating together to serve the ED 110, e.g. through the use of coordinated multipoint transmissions.

[0091] The T-TRP 170 includes at least one transmitter 252 and at least one receiver 254 coupled to one or more antennas 256. Only one antenna 256 is illustrated to avoid congestion in the drawing. One, some, or all of the antennas 256 may alternatively be panels. The transmitter 252 and the receiver 254 may be integrated as a transceiver. The T-TRP 170 further includes a processor 260 for performing operations including those related to: preparing a transmission for downlink transmission to the ED 110, processing an uplink transmission received from the ED 110, preparing a transmission for backhaul transmission to the NT-TRP 172, and processing a transmission received over backhaul from the NT-TRP 172. Processing operations related to preparing a transmission for downlink or backhaul transmission may include operations such as encoding, modulating, precoding (e.g. multiple input multiple output (MIMO) precoding) , transmit beamforming, and generating symbols for transmission. Processing operations related to processing received transmissions in the uplink or over backhaul may include operations such as receive beamforming, demodulating received symbols, and decoding received symbols. The processor 260 may also perform operations relating to network access (e.g. initial access) and / or downlink synchronization, such as generating the content of synchronization signal blocks (SSBs) , generating the system information, etc. In some embodiments, the processor 260 also generates an indication of beam direction, e.g. BAI, which may be scheduled for transmission by a scheduler 253. The processor 260 performs other network-side processing operations described herein, such as determining the location of the ED 110, determining where to deploy the NT-TRP 172, etc. In some embodiments, the processor 260 may generate signaling, e.g. to configure one or more parameters of the ED 110 and / or one or more parameters of the NT-TRP 172. Any signaling generated by the processor 260 is sent by the transmitter 252. Note that “signaling” , as used herein, may alternatively be called control signaling. Signaling may be transmitted in a physical layer control channel, e.g. a physical downlink control channel (PDCCH) , in which case the signaling may be known as dynamic signaling. Signaling transmitted in a downlink physical layer control channel may be known as Downlink Control Information (DCI) . Siganling transmitted in an uplink physical layer control channel may be known as Uplink Control Information (UCI) . Signaling transmitted in a sidelink physical layer control channel may be known as Sidelink Control Information (SCI) . Signaling may be included in a higher-layer (e.g.,  higher than physical layer) packet transmitted in a physical layer data channel, e.g. in a physical downlink shared channel (PDSCH) , in which case the signaling may be known as higher-layer signaling, static signaling, or semi-static signaling. Higher-layer signaling may also refer to Radio Resource Control (RRC) protocol signaling or Media Access Control –Control Element (MAC-CE) signaling.

[0092] The scheduler 253 may be coupled to the processor 260. The scheduler 253 may be included within or operated separately from the T-TRP 170. The scheduler 253 may schedule uplink, downlink, sidelink, and / or backhaul transmissions, including issuing scheduling grants and / or configuring scheduling-free (e.g., “configured grant” ) resources. The T-TRP 170 further includes a memory 258 for storing information and data. The memory 258 stores instructions and data used, generated, or collected by the T-TRP 170. For example, the memory 258 could store software instructions or modules configured to implement some or all of the functionality and / or embodiments described herein and that are executed by the processor 260.

[0093] Although not illustrated, the processor 260 may form part of the transmitter 252 and / or part of the receiver 254. Also, although not illustrated, the processor 260 may implement the scheduler 253. Although not illustrated, the memory 258 may form part of the processor 260.

[0094] The processor 260, the scheduler 253, the processing components of the transmitter 252, and the processing components of the receiver 254 may each be implemented by the same or different one or more processors that are configured to execute instructions stored in a memory, e.g. in the memory 258. Alternatively, some or all of the processor 260, the scheduler 253, the processing components of the transmitter 252, and the processing components of the receiver 254 may be implemented using dedicated circuitry, such as a programmed FPGA, a hardware accelerator (e.g., a GPU or AI accelerator) , or an ASIC.

[0095] Although the NT-TRP 172 is illustrated as a drone only as an example, the NT-TRP 172 may be implemented in any suitable non-terrestrial form, such as satellites and high altitude platforms, including international mobile telecommunication base stations and unmanned aerial vehicles, for example. Also, the NT-TRP 172 may be known by other names in some implementations, such as a non-terrestrial node, a non-terrestrial network device, or a non-terrestrial base station. The NT-TRP 172 includes a transmitter 272 and a receiver 274 coupled to one or more antennas 280. Only one antenna 280 is illustrated to avoid congestion in the drawing. One, some, or all of the antennas may alternatively be panels. The transmitter 272 and the receiver 274 may be integrated as a transceiver. The NT-TRP 172 further includes a processor 276 for performing operations including those related to: preparing a transmission for downlink transmission to the ED 110, processing an uplink transmission received from the ED 110, preparing a transmission for backhaul transmission to T-TRP 170, and processing a transmission received over backhaul from the T-TRP 170. Processing operations related to preparing a transmission for downlink or backhaul transmission may include operations such as encoding, modulating, precoding (e.g. MIMO precoding) , transmit beamforming, and generating symbols for transmission. Processing operations related to processing received  transmissions in the uplink or over backhaul may include operations such as receive beamforming, demodulating received symbols, and decoding received symbols. In some embodiments, the processor 276 implements the transmit beamforming and / or receive beamforming based on beam direction information (e.g. BAI) received from the T-TRP 170. In some embodiments, the processor 276 may generate signaling, e.g. to configure one or more parameters of the ED 110. In some embodiments, the NT-TRP 172 implements physical layer processing, but does not implement higher layer functions such as functions at the medium access control (MAC) or radio link control (RLC) layer. As this is only an example, more generally, the NT-TRP 172 may implement higher layer functions in addition to physical layer processing.

[0096] The NT-TRP 172 further includes a memory 278 for storing information and data. Although not illustrated, the processor 276 may form part of the transmitter 272 and / or part of the receiver 274. Although not illustrated, the memory 278 may form part of the processor 276.

[0097] The processor 276, the processing components of the transmitter 272, and the processing components of the receiver 274 may each be implemented by the same or different one or more processors that are configured to execute instructions stored in a memory, e.g. in the memory 278. Alternatively, some or all of the processor 276, the processing components of the transmitter 272, and the processing components of the receiver 274 may be implemented using dedicated circuitry, such as a programmed FPGA, a hardware accelerator (e.g., a GPU or AI accelerator) , or an ASIC. In some embodiments, the NT-TRP 172 may actually be a plurality of NT-TRPs that are operating together to serve the ED 110, e.g. through coordinated multipoint transmissions.

[0098] The T-TRP 170, the NT-TRP 172, and / or the ED 110 may include other components, but these have been omitted for the sake of clarity.

[0099] One or more steps of the embodiment methods provided herein may be performed by corresponding units or modules, according to FIG. 4. FIG. 4 illustrates units or modules in a device, such as in the ED 110, in the T-TRP 170, or in the NT-TRP 172. For example, a signal may be transmitted by a transmitting unit or by a transmitting module. A signal may be received by a receiving unit or by a receiving module. A signal may be processed by a processing unit or a processing module. Other steps may be performed by an artificial intelligence (AI) or machine learning (ML) module. The respective units or modules may be implemented using hardware, one or more components or devices that execute software, or a combination thereof. For instance, one or more of the units or modules may be a circuit such as an integrated circuit. Examples of an integrated circuit includes a programmed FPGA, a GPU, or an ASIC. For instance, one or more of the units or modules may be logical such as a logical function performed by a circuit, by a portion of an integrated circuit, or by software instructions executed by a processor. It will be appreciated that where the modules are implemented using software for execution by a processor for example, the modules may be retrieved by a processor, in whole or part as needed, individually or together for  processing, in single or multiple instances, and that the modules themselves may include instructions for further deployment and instantiation.

[0100] Additional details regarding the EDs 110, the T-TRP 170, and the NT-TRP 172 are known to those of skill in the art. As such, these details are omitted here.

[0101] The solution described in the present application is applicable to a next generation (e.g. 6G or later) network, or a legacy (e.g. 5G or 4G) network.

[0102] The proposed 6G system architecture is defined to support 6G XaaS services by using techniques such as network function virtualization and network slicing. The 6G system architecture utilizes service-based interactions between 6G services.

[0103] The 6G system leverages service-based architecture and XaaS concept. XaaS services in the 6G system are categorized into three layers. The 6G system conceptual structure is shown in FIG. 5.

[0104] Infrastructure layer includes infrastructures supporting 6G services. Among them are wireless networks infrastructures (for example, RAN, CN) , cloud / data center infrastructures, satellite networks, storage / database infrastructures, and sensing networks, and etc. These infrastructures can be provided by a single provider or by multiple providers.

[0105] Each of the infrastructures could have its control and management functions, denoted as control and management (C / M) functions, for infrastructure management. Each of these infrastructures is one type of infrastructure as a service.

[0106] The C  / M layer includes control and management services of the 6G system. They are developed and deployed by using slicing techniques and utilizing resource provided by infrastructure layer. The 6G services in the C / M layer may include:

[0107] -resource management (RM) as a service provides a capability of life-cycle management of a variety of slices and over-the-air resource assignment to wireless devices;

[0108] -a 6G mission is defined as a service provided to customers by the 6G system. A mission can be a type of services which is provided by a single 6G XaaS service or a type of services that needs contributions from multiple XaaS services.

[0109] -mission management (MM) as a service provides a capability to program provisioning of XaaS services at service layer to provide mission services.

[0110] -confederation network (CONET) as a Service provides a capability to enable multiple partners jointly provide 6G services. This capability is provided by confederation formation, mutual authentication, mutual authorization among  partners and negotiation of agreement on recording and retracing of selected actions performed by partners, in order to assure a trustworthy environment of 6G system operations.

[0111] -service provisioning management (SPM) as a service provides a capability of control and management of 6G service access by customers and provisioning of requested services. The capability is provided by unified mutual authentication, authorization and policy, key management, quality of service (QoS) assurance and charging between any pair of XaaS service provider and customer. The customers include end-customers not only in physical world, but also digital representatives in digital world.

[0112] -connectivity management (CM) as a service leverages 5G connectivity management functions, but with extension to include digital world.

[0113] -protocol as a service provides a capability to design service customized protocol stacks for identified interfaces.

[0114] -The protocol stacks could be pre-defined for on-demand selection, or could be on-demand designed.

[0115] -network security as a service provides a capability for owners of infrastructures to detect potential security risks of their infrastructures.

[0116] -XaaS services in C / M layer support control and management of the 6G system itself and also provide support to verticals if requested. One example is that RM service can serve RAN for over-the-air resource management and can also provide service to a vertical for the vertical’s over-the-air resource allocation to its end-customers. The XaaS in C / M layer can be deployed by using slicing technique.

[0117] Service layer includes 6G services which provide services to customers. In the 6G system conceptual structure:

[0118] -AI service is denoted as NET4AI as a Service. Artificial Intelligence service provides AI capability to support a variety of AI applications.

[0119] -service of data collection, data sanitization, data analysis and data delivery are denoted as DAM as a Service, this service provides a capability of lifecycle management of statistic data, including acquisition, de-privatization, analysis and delivery of data which are information statistic data from any types of sensors, devices, network functions, and etc.

[0120] -service of storage and sharing of data is denoted as NET4Data as a Service, this service provides a capability to trustworthily storage and share data under the control of owners of data and following recognized authorities’ regulations on control of identified data.

[0121] -service to provide digital world is denoted as NET4DW as a Service, Digital World service provides a capability to construct, control and manage digital world. Digital world is defined as digital realization of physical world.

[0122] -6G block chain service is denoted as NET4BC as a Service. 6G connectivity service is denoted as NET4Con as a Service. This service provides a capability to support 6G block chain services.

[0123] -enhanced connectivity service, e.g., network for connectivity (NET4CON) as a service. This service provides a capability to support exchange of messages and data among new 6G services.

[0124] All XaaS services at this Layer are developed and deployed by using resource provided in infrastructure and utilizing Network Function Virtualization and Slicing techniques. The capability of each of 6G services is provided by its control and management functions and service specific data process functions.

[0125] In addition to support 6G XaaS services at Service Layer, 6G system leverages 5G System for provisioning of vertical services. The difference between 6G XaaS services and other verticals are that a vertical is a pure customer which needs other XaaS services to enable its operation, while each of XaaS services provide their capabilities to 6G customers.

[0126] Any pair of XaaS services of the 6G system could also be mutual customer and provider of each other. Some of example are that an infrastructure owner provides its resource to XaaS services in Service Layer and C / M Layer; RM services may need the capabilities provided by NET4AI, DAM and NET4DW for its resource management for vertical slicing; CONET service and NET4Data service may need the capability provided by NET4BC for their operation.

[0127] The key concepts of 6G system may include:

[0128] -define basic XaaS services by decoupling comprehensive types of services into basic XaaS services. A basic XaaS service provides unique capability to enable a specific type of service, such as NET4AI service, NET4DW service, DAM service, NET4Data service, Block chain service, mission management service, etc.

[0129] -allow joint operation of the 6G system by multiple partners.

[0130] -define data plane of the 6G system which includes processing functions of data plane of XaaS services. Programing the interconnection of these functions, by mission management service, enables to support a variety of customized customer services.

[0131] -simplify 6G system architecture by categorizing basic control services and management services and combining them as basic XaaS services in Control and Management (C / M) Layer.

[0132] -define C / M plane of the 6G system which includes C / M functions in XaaS services and may include 5G CP (e.g., AMF) depending on implementation options.

[0133] -define a basic architecture structure (BAS) which is a unified basic structure with minimized number of interfaces and is independent of types of infrastructures.

[0134] -simplify standardization, development and deployment of the 6G system using the BAS concept, while supporting a variety of infrastructure deployment scenarios.

[0135] -adapt to a variety of deployment scenarios by applying the BAS or a subset of it to infrastructures based on capability, capacity and requirement of the infrastructure networks.

[0136] -leverage SBI interface concept and apply SBI interaction in both 6G C / M plane and 6G data plane.

[0137] -simplify SBI interfaces by introducing trustworthy GWs in data plane and C / M plane of the 6G system.

[0138] -improve trustworthiness from perspectives of operation of the 6G system by introducing CONET capability, NET4BC capability and anonymous service provisioning provided by the trustworthy GWs in the C / M plane and data plane of the 6G system.

[0139] -improve trustworthiness from perspective of end customer privacy protection by unified mutual authentication, IDM, data sanitization and etc. provided by SPM service, DAM service and 6G block chain service.

[0140] -simplify roaming management of wireless devices, in physical world and digital world, by unified authentication including all participated partners and customers.

[0141] -support multiple development paths from 5G system to 6G system by defining multiple architecture options without incurring much efforts due to the introduction of the BAS concept.

[0142] -support backward compatibility by utilizing benefits of SBA and its add-on feature. 5G users can use the 6G system to access 5G services.

[0143] -support future extension by adding new XaaS services with minimized impact on standardization and deployment, due to the introduced anonymous service provisioning concept implemented in trustworthy GWs in 6G C / M plane and in 6G data plane.

[0144] To solve aforementioned problems, the present application provides a method and a system on an anchor key generation and configuration in a network, for example, the future network, which could reduce message exchange overhead and improve efficiency of network performance.

[0145] Basic concepts related to some embodiments of the present application are introduced first.

[0146] (1) An initial GW is a logic connection between a device and a GW when the device initially accesses to the network or a service. The GW refers to a logic connection between a device and a network, which is responsible for message forwarding, routing, etc.

[0147] (2) A serving GW is a logic connection between a device and a GW that connects to a network or a provider. The GW refers to a logic connection between a device and a network, which is responsible for message forwarding, routing, etc.

[0148] (3) Name of a GW is a concatenation of a service code, a serving network identifier and equipment of the GW with a separation character “: ” such as service code: serving network identifier: ID of equipment of the GW.

[0149] (4) An anchor key is a key used for derivation of terminal keys, is binding to a serving GW, and is generated by a key management function (KMF) . Inputs for generating the anchor key are associated with a name of the serving GW, a name of a device and other information, for example, a shared key negotiated after successful mutual authentication between the device and the network.

[0150] (5) KMF is a network function that is responsible for key management, for example, is responsible for anchor key generation.

[0151] Details of the basic concepts are as follows: (1) Anchor key is binding to a serving GW, and associated with a name of the serving GW and a name of a device; (2) Anchor key is generated by a KMF after a successful mutual authentication.

[0152] FIG. 6 is an architecture of anchor key management according to some embodiments of the present application. In FIG. 6, a device sends an authentication request to an initial GW when the device initially accesses to a network. The initial GW may select a serving GW based on a device’s location, or other information, for example, a service provider’s location or an infrastructure provider’s location. The initial GW forwards the authentication request to an authentication server (AS) for mutual authentication between a device and a network. After successful mutual authentication, a shared key shall be negotiated between the device and the AS. Then, the shared key is sent to a KMF for derivation of an anchor key by the KMF. After the anchor key is generated, the KMF configures the anchor key to the serving GW and to the device.

[0153] The main functions of the network functions shown in FIG. 6 are as follows:

[0154] The initial GW is responsible for determining a serving GW, determining whether to run a new authentication, requesting authentication on a device, and forwarding messages.

[0155] The authentication server (AS) is responsible for authenticating a device and negotiating a shared key between the device and the AS.

[0156] The KMF is responsible for generating an anchor key, generating security contexts for the serving GW and the device, and maintaining the security contexts.

[0157] In the present application, the anchor key is binding to the serving GW, and associated with a name of the serving GW, a name of the device and other information. The anchor key is generated by the KMF after successful mutual authentication between the device and the network. Compared to prior arts (For example, 3GPP 33.501) , these changes could bring some benefits, for example, a reduction of communication overhead caused by message exchanges for key updates, a reduction of storage overhead of a GW that stores the security contexts, and scalability for new network functions joining in the network.

[0158] FIG. 7 is a schematic flow chart of a method for communication proposed by some embodiments of the present application. The method (200) may be implemented by a first network function, for example, a KMF, or a circuit installed in the first network function. The first network function is taken as an example in the following embodiments.

[0159] At step 210, a first network function receives a first message from an authentication server (AS) .

[0160] The first message includes a name of a second network function. The second network function is a network function to which a network or a service provider is connecting, or the second network function is a network function via which a device is accessing the network or the service. Herein, the service provider refers to a provider that provides a service (for example, an application service) for a device.

[0161] For example, the second network function is a serving GW.

[0162] In some embodiments, the first message may further include a device’s ID. In some embodiments, the first message may further include a shared key used between the device and the network. The shared key can be determined by the device and the AS after successful mutual authentication between the device and the network. In some embodiments, the device also is called a user or a UE, which refers to a terminal device.

[0163] As step 220, the first network function generates an anchor key according to a name of a second network function. The anchor key is used for determining whether authentication is needed between a device and a network.

[0164] The first network function generates the anchor key according to the name of the second network function.

[0165] In some embodiments, the first network function generates the anchor key according to the name of the second network function and other information. For example, the other information may include the device’s ID and / or the shared key. In addition, an input for generating the anchor key may include information besides the name of the second network function, the device’s ID and the shared key, which is not limited. The first network function may further set an ID of the anchor key.

[0166] The first network function may further generate terminal keys and first security contexts for the second network function. The terminal keys can be generated according to the anchor key, and the terminal keys are used for security protection on communication between the device and the second network function.

[0167] In an embodiment, the first security contexts may include one or more parameters of: the ID of the anchor key, the anchor key, an ID of an encryption algorithm used for communication encryption between the device and the second network function, an ID of an integrity algorithm used for communication integrity between the device and the second network function.

[0168] In another embodiment, the first security contexts may include one or more parameters of: the terminal keys, the ID of an encryption algorithm used for communication encryption between the device and the second network function, the ID of an integrity algorithm used for communication integrity between the device and the second network function. Compared with the previous one, the first security contexts in this embodiment include the terminal keys instead of the anchor key.

[0169] At step 230, the first network function sends a second message to a second network function.

[0170] The second message includes the first security contexts.

[0171] After receiving the second message from the first network function, the second network function stores the first security contexts.

[0172] Optionally, the method may further include steps 240 to 260.

[0173] At step 240, the first network function generates second security contexts for the device.

[0174] The second security contexts include one or more parameters of: a first ID of an algorithm for generating the anchor key, a second ID of an algorithm for generating the terminal keys, the ID of the anchor key, the ID of an encryption algorithm used for communication encryption between the device and the second network function, and the ID of an integrity algorithm used for communication integrity between the device and the second network function.

[0175] At step 250, the first network function sends the second security contexts to the device via the AS and an initial GW of the device.

[0176] Specifically, the first network function sends a third message including the second security contexts to the AS, and the AS further sends a fourth message including the second security contexts to the device.

[0177] At step 260, the device generates the anchor key according to the second security contexts.

[0178] In some embodiments, the device may further generate the terminal keys according to the anchor key.

[0179] In the present application, there is no security context transfer between an old serving GW and a new serving GW.The security contexts are generated by the KMF, and are configured for the new serving GW. This could reduce overhead of message exchanges for key updates, as well as storage overhead of the GW. Note that, in a case that the serving GW changes, the serving GW that is replaced becomes the old serving GW and a new GW used to replace the serving GW becomes the new serving GW. After that, the new serving GW becomes the serving GW that provides a service currently for the device.

[0180] FIG. 8 is an example of the method according to an embodiment of the present application. In this embodiment, a serving gateway is an example of the second network function, and the KMF is an example of the first network function. In other words, FIG. 8 illustrates a call flow of a procedure about anchor key generation and configuration. Messages in the following figure are seen in table 1. Nota that, temporary ID (which is simplified as Tem_ID) is a device’s temporary ID that used for communications between a device and a network.

[0181] Table 1

[0182] Details of the FIG. 8 are as follows.

[0183] At step 301, a device sends a message 1 to an initial GW.

[0184] The message 1 may be an authentication request, and the message 1 includes a device’s temporary ID. The message 1 may further include service requirements.

[0185] At step 302, the initial GW selects a serving GW.

[0186] In some embodiments, the initial GW may select a serving GW based on the device’s location, or other information, for example, a service provider’s location or an infrastructure provider’s location.

[0187] At step 303, the initial GW triggers mutual authentication between the device and a network.

[0188] At step 304, after successful mutual authentication, the device and an authentication server (AS) negotiated a shared key. In some embodiments of the present application, the shared key is called an extended master session function (EMSK) .

[0189] At step 305, the AS sends a message 5 to the KMF.

[0190] The message 5 includes a name of the serving GW, the EMSK and the device’s temporary ID. The message 5 may be an anchor key generation request.

[0191] At step 306, the KMF generates an anchor key.

[0192] Specifically, the KMF selects an algorithm to generate the anchor key. Inputs for generating the anchor key include the name of the serving GW. The inputs for generating the anchor key may further include at least one of the EMSK and the device’s temporary ID. The KMF sets an ID of the anchor key.

[0193] The KMF generates first security contexts for the serving GW. The first security contexts for the serving GW may include one or more of the following parameters: the ID of the anchor key, the anchor key itself, an ID of an encryption algorithm used for communication encryption between the device and the serving GW, and an ID of an integrity algorithm used for communication integrity between the device and the serving GW.

[0194] In some embodiments, the anchor key is used for derivation of terminal keys. In this case, the KMF generates the anchor key, and then, the KMF generates the terminal keys according to the anchor key. Therefore, the security contexts for the serving GW may include the terminal keys instead of the anchor key. The security contexts for the serving GW are called as first security contexts.

[0195] At step 307, the KMF sends a message 7 to the serving GW.

[0196] The message 7 may be an anchor key configuration request. The message 7 includes the first security contexts.

[0197] At step 308, the serving GW stores the first security contexts.

[0198] Optionally, the method may include step 309.

[0199] At step 309, the serving GW sends a message 9 to the KMF.

[0200] The message 9 includes information related to anchor key updates. For example, the information related to the anchor key update may include a frequency for updating the anchor key. The information related to the anchor key update may further include one or more inputs for the anchor key derivation.

[0201] Further, after step 309, the method further includes the following steps 310～313.

[0202] At step 310, the KMF generates security contexts for the device. The security contexts for the device are called second security contexts in the embodiments. The step 310 and the step 306 may be one step, which is not limited.

[0203] The second security contexts may include one or more of the following parameters: a first ID of an algorithm used for generating an anchor key, a second ID of an algorithm used for generating the terminal keys, an ID of the anchor key, an ID of an encryption algorithm used for communication encryption between the device and the serving GW, and an ID of an integrity algorithm used for communication integrity between the device and the serving GW.

[0204] At step 311, the KMF sends a message 10 to the AS.

[0205] The message 10 includes the second security contexts. The message 10 is a response to the message 5.

[0206] At step 312, the AS sends a message 11 to the device.

[0207] The message 11 includes the second security contexts. The message 11 is a response to the message 1.

[0208] At step 313, the device generates an anchor key based on the received second security contexts.

[0209] Specifically, the device generates the anchor key using the algorithm and inputs for generating the anchor key which are included in the second security contexts. In other words, the algorithm and inputs for generating the anchor key are the same ones that are used in the KMF, which are indicated by the KMF via the security contexts. For example, the inputs for generating the anchor key include the name of the serving GW, the device’s ID and the EMSK.

[0210] In some embodiments, the device may further generate the terminal keys based on the anchor key and the received second security contexts.

[0211] It can be seen that, the serving GW receives the anchor key or the terminal keys from the KMF, and the device generates the anchor key and / or the terminal keys by itself according to the second security contexts from the KMF.

[0212] In the present application, the security contexts are generated by the KMF, and are configured to the serving GW.Under this architecture, a GW does not maintain some parts of security contexts that appear in the prior art (for example, 3GPP 33.501) , for example, an algorithm for generating the anchor key, or an algorithm for generating both the anchor key and the terminal keys, or inputs of anchor key derivation or terminal key derivation, KAMF, which could reduce storage overhead of the GW.

[0213] As stated above, the anchor key is used to determine if new authentication is needed. The inputs for generating the anchor key include the name of the serving GW. In other words, the anchor key is associated with the name of the serving  GW.In some cases, the serving GW of the device may change, for example, in a case that a handover happens.

[0214] When the serving GW changes due to handovers, the old serving GW shall select a new serving GW. The new serving GW determines whether new authentication is needed by comparing the name of the new serving GW and the name of the old serving GW. If both of them are at the same serving network with a same provider, the new serving GW shall not trigger a new authentication. Otherwise, a new authentication should be implemented.

[0215] FIG. 9 is an example of a procedure of security contexts transfer during the new serving GW re-allocating in a case that the system deploys the KMF.

[0216] At step 401, an old serving GW selects a new serving GW.

[0217] At step 402, the new serving GW determines whether new authentication is needed. If the new authentication is not needed, the new serving GW obtains the security contexts from the KMF, which is described as the following steps 403～405.

[0218] At step 403, without the new authentication, the new serving GW sends a message 1 to the KMF.

[0219] The message 1 includes the temporary ID of the device and the name of the new serving GW.

[0220] At step 404, the KMF generates a new anchor key and new security contexts for the new serving GW.

[0221] Specifically, the KMF generates the new anchor key with inputs of the device’s temporary ID, the name of the new serving GW and the EMSK. In some embodiments, the new anchor key may be refreshed due to parameters that are not known by the device and the new serving GW. These new parameters may be included in the message 1. For example, these parameters may be a signal message uplink counter.

[0222] Further, the KMF generates new security contexts for the new serving GW which are called third security contexts.

[0223] The new security contexts (i.e., the third security contexts) include a ID of the new anchor key, or a new anchor key.

[0224] Optionally, in some embodiments, if the new anchor key is used for derivation of terminal keys, the new security contexts for the new serving GW include new terminal keys instead of the new anchor key.

[0225] Further, the new security contexts may include new algorithms, for example, a new encryption algorithm for data encryption and / or a new integrity algorithm for data integrity protection.

[0226] At step 405, the KMF sends a message 2 to the new serving GW.

[0227] The message 2 includes the new security contexts for the new serving GW.

[0228] At step 406, the new serving GW stores the new security contexts.

[0229] In addition, in some embodiments, the KMF may generate new security contexts for the device (we call them fourth security contexts) , and the KMF sends the fourth security contexts to the device via the initial GW.

[0230] After that, the new contexts for the new serving GW and the device are configured for the new serving GW and the device.

[0231] In the present application, the security contexts for the serving GW only include the ID of the anchor key, or include the ID of the anchor key and terminal keys instead of the anchor key, algorithms for data encryption / data integrity protection. But in the prior art (for example, 3GPP, 33.501) , the security contexts include an ID of the AMF’s key, terminal keys, the anchor key and algorithms for generation keys, algorithms for data encryption / data integrity protection. Compared to the prior art, the present application could reduce an overhead of transfer of some parts of security contexts.

[0232] In some embodiments, the system does not have the KMF, for example, in a scenario of 5G network. In this case, the anchor key or both the anchor key and the terminal keys are generated by the serving GW itself. This case is illustrated in FIG. 10.

[0233] FIG. 10 is an example of a procedure of security contexts transfer during the serving GW re-allocation in a case that the system doesn’ t have the KMF deployed.

[0234] At step 501, the old serving GW selects the new serving GW.

[0235] At step 502, and the new serving GW determines if new authentication is needed. If the new authentication is not needed, a step 503 is implemented.

[0236] At step 503, the new serving GW generates a new anchor key, and then generates new security contexts. The old serving GW only forwards the EMSK used for generating the new anchor key to the new serving GW.

[0237] In the prior art, the old serving GW may send the current security contexts to the new serving GW, or send the new security contexts with an indication of horizontal KAMF derivation to the new serving GW. Compared to the prior art, the present application could reduce the overhead of security context transfer. In addition, the embodiments could reduce communication overhead caused by message exchanges during the serving GW re-allocation procedure.

[0238] The method proposed in embodiments of the present application is described in detail above, and a communication apparatus provided by the present application will be described in detail below.

[0239] FIG. 11 is a schematic block diagram of a communication apparatus 10 according to an embodiment of the present application. The communication apparatus may be a communication device or an apparatus applied to the communication device and capable of realizing corresponding functions of any one of the network functions in the embodiments of the present application, for example, the apparatus may be a chip, a chip system or a circuit, which is not limited. The communication device may be the first network function (for example, the KMF) , the second network function (for example, the serving GW) , or the AS, or the chip installed in any one of these network functions.

[0240] The communication apparatus 10 includes a processing module 1001. The processing module 1001 may be a  processor, a processing circuit, a processing board, a processing unit, or a processing device, et al. The processing module 1001 is configured to implement processing and / or operations implemented inside the communication apparatus except sending the receiving actions.

[0241] The communication apparatus 10 may further include a communication module 1002. The communication unit 1002 is configured to implement a sending action and / or a receiving action. The communication module 1002 also may be called as a transceiver module, a transceiver, or a transceiver device, et al, and is configured to implement operations of receiving (which may be referred as inputting) and / or sending (which may be referred an outputting) .

[0242] For example, if the communication apparatus 10 corresponds to the first network function in the FIG. 7, the communication module 1002 is configured to receive a first message from the AS. The communication module 1002 is further configured to send a second message to the second network function. The processing module 1001 is configured to implement the step 220. The processing module 1001 is further configured to implement the step 240. If the communication apparatus 10 corresponds to the second network function in the FIG. 7, the communication module 1002 is configured to receive a second message from the first network function.

[0243] For example, if the communication apparatus 10 corresponds to the AS in the FIG. 8, the communication module 1002 is configured to send the message 5, and further receive the message 11. The processing module 1001 is configure to implement the step 304, etc.

[0244] Briefly, the operations and / or functions of the apparatus 10 are intended to implement corresponding steps of the foregoing method embodiments.

[0245] FIG. 12 is a schematic block diagram of a communication apparatus according to an embodiment of the present application. The communication apparatus 20 includes at least one processor 21. The at least one processor 21 is coupled to at least one memory 22. The at least one memory 22 is configured to store one or more instructions and / or executable computer code. The at least one processor 21 is configured to invoke the one or more instructions and / or executable computer code, so that the communication apparatus 20 implements the method provided in the embodiments of the present application. Optionally, the communication apparatus 20 may further include the at least one memory 22. Optionally, the communication apparatus 20 may further include at least one communication interface 23, and the at least one communication interface 23 is configured to input and / or output information or data.

[0246] In an implementation, the communication apparatus 20 may be any one of the network functions in the method embodiments. For example, the communication apparatus 20 may be the first network function (for example, the KMF) , the second network function (for example, the serving GW) , or the AS. In this implementation, the processor 21 may be a baseband apparatus, and the communication interface 23 may be a radio frequency apparatus.

[0247] In another implementation, the communication apparatus 20 may be a chip (or a chip system) installed at a communication device such as the first network function, the IDM, the second network function or the third network function. In this implementation, the processor 21 may be a circuit, for example, a logic circuit, an integrated circuit, etc. The communication interface 13 may be a transceiver, an interface circuit, an input / output interface, a bus, a module, a pin, or other types of interfaces.

[0248] An embodiment of the present application further provides a communication system. The communication system includes may include ant one of communication apparatuses according to any one of the method embodiments. For example, the communication system may include one or more of the following network functions: the first network function (for example, the KMF) , the second network function (for example, the serving GW) , or the AS. The communication system may further include a terminal device and other network functions, for example, an initial GW, which is not limited.

[0249] An embodiment of the present application further provides a computer storage medium, and the computer storage medium may store one or more instructions for executing any of the foregoing methods.

[0250] An embodiment of the present application further provides a computer program product, and the computer program product may store one or more instructions for executing any of the foregoing methods.

[0251] In the embodiments of this application, “and / or” describes an association relationship between associated objects and represents that three relationships may exist. For example, A and / or B may represent the following three cases: Only A exists, both A and B exist, and only B exists. The character “ / ” generally indicates an “or” relationship between the associated objects. “At least one” means one or more. “At least one of A and B” , similar to “A and / or B” , describes an association relationship between associated objects and represents that three relationships may exist. For example, at least one of A and B may represent the following three cases: Only A exists, both A and B exist, and only B exists.

[0252] Besides, the use of a singular form of “a” , “an” and “the” in the embodiments of the present application and the claims appended hereto is also intended to include a plural form, unless otherwise clearly indicated herein by context.

[0253] A person of ordinary skill in the art will be aware that, in combination with the examples described in the embodiments disclosed in this specification, units and algorithm steps may be implemented by using electronic hardware or a combination of computer software and electronic hardware. Whether the functions are performed by using hardware or software depends on particular applications and design constraint conditions of the technical solutions. A person skilled in the art may use different methods to implement the described functions for each particular application, but it should not be considered that the embodiment goes beyond the scope of this application.

[0254] It would be understood by a person skilled in the art that, for the purpose of convenience and brevity, in a detailed working process of the foregoing system, apparatus, and unit, reference may be made to a corresponding process in the  foregoing method embodiments, and details are not described herein again.

[0255] In the several embodiments provided in this application, the disclosed system, apparatus, and method may be implemented in other manners. For example, the described apparatus embodiment is merely an example. For example, the unit division is a logical function division and other methods of division may be used in an actual embodiment. For example, a plurality of units or components may be combined or integrated into another system, or some features may be ignored or not performed. In addition, the displayed or discussed mutual couplings or direct couplings or communication connections may be implemented using various communication interfaces. The indirect couplings or communication connections between the apparatuses or units may be implemented in electronic, mechanical, or other forms.

[0256] In addition, function units in the embodiments of this application may be integrated into one processing unit, each of the units may exist alone physically, or two or more units may be integrated into one unit.

[0257] When the functions are implemented in the form of a software functional unit and sold or used as an independent product, the functions may be stored in a computer-readable storage medium. The technical solutions of this application may be implemented in the form of a software product. The software product is stored in a storage medium, and includes several instructions for instructing a computer device (which may be a personal computer, a server, a network device, or the like) to perform all or some of the steps of the methods described in the embodiments of this application. The foregoing storage medium includes any medium that can store program code, such as a USB flash drive, a removable hard disk, a ROM, a RAM, a magnetic disk, an optical disc or the like.

[0258] The units described as separate parts may be or may not be physically separate, and parts displayed as units may be or may not be physical units, may be located in one position, or may be distributed on a plurality of network units. Some or all of the units may be selected based on actual requirements to achieve the objectives of the solutions of the embodiments. In addition, functional units in the embodiments of this application may be integrated into one processing unit, or each of the units may exist alone physically, or two or more units are integrated into one unit.

[0259] The foregoing descriptions are merely specific implementations of this application, but are not intended to limit the protection scope of this application. Any variation or replacement readily figured out by a person skilled in the art within the technical scope disclosed in this application shall fall within the protection scope of this application. Therefore, the protection scope of this application shall be subject to the protection scope of the claims.

Claims

1.A method for communication, performed by a first network function, comprising:receiving a first message from an authentication server (AS) , wherein the first message comprises a name of a second network function, and the second network function directly connects to a service provider that provides an application service for a device or directly connects to a network that provides a network service for a device;generating an anchor key according to the name of the second network function, wherein the anchor key is used for determining whether authentication is needed between the device and the network; andsending a second message to the second network function, wherein the second message comprises first security contexts for the second network function, wherein the first security contexts comprise terminal keys, the terminal keys are derived from the anchor key, and the terminal keys are used for security protection on communication between the device and the second network function.2.The method according to claim 1, wherein the first security contexts comprise an identifier (ID) of the anchor key.3.The method according to claim 1 or 2, wherein the method further comprises:generating second security contexts for the device, wherein the second security contexts comprise an ID of the anchor key, and the second security contexts further comprise an algorithm for generating the anchor key or the terminal keys.4.The method according to claim 3, wherein the method further comprises:sending the second security contexts to the device.5.The method according to any one of claims 1 to 3, wherein the second network function comprises a serving gateway.6.The method according to any one of claims 1 to 5, wherein after sending the second message to the second network function, the method further comprises:receiving a third message from the second network function, wherein the third message comprises information related to an update of the anchor key.7.A method for communication, performed by a second network function, comprising:obtaining first security contexts for the second network function, wherein the first security contexts comprise terminal keys, the terminal keys are derived from an anchor key, the anchor key is used for determining whether authentication is needed between a device and a network, the anchor key is generated according to a name of the second network function, and the terminal keys are used for security protection on communication between a device and the second network function; andstoring the first security contexts.8.The method according to claim 7, wherein the first security contexts comprise an ID of the anchor key.9.The method according to claim 7 or 8, wherein obtaining the first security contexts comprises:receiving a second message from a first network function, wherein the first network function is responsible for generating the anchor key or the terminal keys, and the second message comprises the first security contexts.10.The method according to any one of claims 7 to 9, wherein after receiving the second message from the first network function, the method further comprises:sending a third message to the first network function, wherein the third message comprises information related to an update of the anchor key.11.The method according to claim 10, wherein the information related to the update of the anchor key includes one or more parameters of: a frequency for updating the anchor key, and one or more inputs for anchor key derivation.12.The method according to any one of claims 9 to 11, wherein before receiving the second message from the first network function, the method further comprises:determining whether new authentication is needed by comparing the name of the second network function and a name of an old second network function, wherein the second network function is a new second network function selected by the old second network function due to a handover; andsending a fourth message to the first network function in a case that the new authentication is not needed, wherein the fourth message comprises the name of the second network function and a device’s temporary ID.13.The method according to claim 8 or 9, wherein the second network function comprises a serving gateway.14.A method for communication, performed by an authentication server (AS) , comprising:obtaining a shared key between a device and an authentication server (AS) after successful mutual authentication between the device and the AS; andsending a first message to a first network function, wherein the first message comprises a name of a second network function, the name of the second network function is used to generate an anchor key used for determining whether authentication is needed between the device and a network.15.A communication apparatus, wherein the communication apparatus comprises a processor, the processor is configured to execute one or more instructions stored in a memory, to enable the communication apparatus to implement the method according to any one of claims 1 to 6, or the method according to any one of claims 7 to 13, or the method according to claim 14.16.The communication apparatus according to claim 15, wherein the communication apparatus further comprises the  memory.17.The communication apparatus according to claim 15 or 16, wherein the communication apparatus comprises a communication interface, and the communication interface is configured to input and / or output information or data.18.A communication apparatus, wherein the communication apparatus comprises a function or unit to perform the method according to any one of claims 1-6, or perform the method according to any one of claims 7-13, or perform the method according to claim 14.19.A communication apparatus, wherein the communication apparatus comprises a circuit and a communication interface, the communication interface is configured to receive information and / or data that is to be processed by the circuit, and transmit the information and / or data to the circuit; and the circuit is configured to perform the method according to any one of claims 1-6, or perform the method according to any one of claims 7-13, or perform the method according to the claim 14.20.The communication apparatus according to claim 19, wherein the communication interface is further configured to output information and / or data processed by the circuit.21.A communication system, comprising one or more communication apparatuses of:a first communication apparatus that performs the method according to any one of claims 1-6;a second communication apparatus that performs the method according to any one of claims 7-13; anda third communication apparatus that performs the method according to claim 14.22.A computer readable storage medium, comprising one or more instructions, wherein when the one or more instructions are run on a computer, the computer performs the method according to any one of claims 1-6, or the method according to any one of claims 7-13, or the method according to claim 14.23.A computer program product, comprising one or more instructions, wherein when the one or more instructions are run on a computer, the computer performs the method according to any one of claims 1-6, or the method according to any one of claims 7-13, or the method according to claim 14.

Images