Security of data routing

Abstract

Embodiments of the present disclosure relate to a solution for security of data routing. In the solution, a terminal device, transmits a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network; receives a response for the request, from the at least one of the central application server or the core network; and sends, to an edge application server, first data belonging to the session.

Description

SECURITY OF DATA ROUTING

[0001] FIELDS

[0002] Various example embodiments of the present disclosure generally relate to the field of telecommunication and in particular, to methods, devices, apparatuses and computer readable storage medium for security of data routing.BACKGROUND

[0003] There have been several studies and standards related to steering traffic via Intermediate User Plane Function (I-UPF) to a local cloud on which a compute operation is hosted, or to a central / remote Data Network (DN) via one or more UPF (s) . In a DN, data traffic needs to be transmitted from user equipment (UE) to a computing entity or a central application server. Further, for (pre-) processing, the data traffic is sent to an edge application server 120 first. In other words, data traffic is sent from the UE via an edge application server to the computing entity. A secure routing between the UE and the computing entity via the edge application server is an open issue.SUMMARY

[0004] In a first aspect of the present disclosure, there is provided a terminal device. The terminal device comprises at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the terminal device at least to: transmit a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network; receive a response for the request, from the at least one of the central application server or the core network; and send, to an edge application server, first data belonging to the session.

[0005] In a second aspect of the present disclosure, there is provided an edge application server. The edge application server comprises at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause an edge application server at least to: receive a random identifier for a session associated with a terminal device, from at least one of a central application server, a core network or the terminal device; and send second data belonging to the session, to the central application server, along with the random identifier.

[0006] In a third aspect of the present disclosure, there is provided a central application server. The central application server comprises at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause a central application server at least to: obtain a random identifier for a session associated with a terminal device; receive, from an edge application server, second data belonging to the session, along with an identifier; and verify the second data based on the random identifier and the received identifier.

[0007] In a fourth aspect of the present disclosure, there is provided an apparatus. The apparatus comprises at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause a network function at least to: generate a random identifier for a session associated with a terminal device; and send the random identifier, to a central application server and at least one of the terminal device or an edge application server, for verification of data belonging to the session.

[0008] In a fifth aspect of the present disclosure, there is provided a method. The method comprises: transmitting a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network; receiving a response for the request, from the at least one of the central application server or the core network; and sending, to an edge application server, first data belonging to the session.

[0009] In a sixth aspect of the present disclosure, there is provided a method. The method comprises: receiving a random identifier for a session associated with a terminal device, from at least one of a central application server, a core network or the terminal device; and sending second data belonging to the session, to the central application server, along with the random identifier.

[0010] In a seventh aspect of the present disclosure, there is provided a method. The method comprises: obtaining a random identifier for a session associated with a terminal device; receiving, from an edge application server, second data belonging to the session, along with an identifier; and verifying the second data based on the random identifier and the received identifier.

[0011] In an eighth aspect of the present disclosure, there is provided a method. The method comprises: generating a random identifier for a session associated with a terminal device; and sending the random identifier, to a central application server and at least one  of the terminal device or an edge application server, for verification of data belonging to the session.

[0012] In a ninth aspect of the present disclosure, there is provided a terminal apparatus. The terminal apparatus comprises means for transmitting a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network; means for receiving a response for the request, from the at least one of the central application server or the core network; and means for sending, to an edge application server, first data belonging to the session.

[0013] In a tenth aspect of the present disclosure, there is provided an edge application apparatus. The edge application apparatus comprises means for receiving a random identifier for a session associated with a terminal device, from at least one of a central application server, a core network or the terminal device; and means for sending second data belonging to the session, to the central application server, along with the random identifier.

[0014] In an eleventh aspect of the present disclosure, there is provided a central application apparatus. The central application apparatus comprises means for obtaining a random identifier for a session associated with a terminal device; means for receiving, from an edge application server, second data belonging to the session, along with an identifier; and means for verifying the second data based on the random identifier and the received identifier.

[0015] In a twelfth aspect of the present disclosure, there is provided an apparatus. The fourth apparatus comprises means for generating a random identifier for a session associated with a terminal device; and means for sending the random identifier, to a central application server and at least one of the terminal device or an edge application server, for verification of data belonging to the session.

[0016] In a thirteenth aspect of the present disclosure, there is provided a computer readable medium. The computer readable medium comprises instructions stored thereon for causing an apparatus to perform at least the method according to the fifth, sixth, seventh or eighth aspect.

[0017] It is to be understood that the Summary section is not intended to identify key or essential features of embodiments of the present disclosure, nor is it intended to be used  to limit the scope of the present disclosure. Other features of the present disclosure will become easily comprehensible through the following description.BRIEF DESCRIPTION OF THE DRAWINGS

[0018] Some example embodiments will now be described with reference to the accompanying drawings, where:

[0019] FIG. 1 illustrates an example communication environment in which example embodiments of the present disclosure can be implemented;

[0020] FIG. 2 is a signaling diagram for secure information exchange and communication according to some example embodiments of the present disclosure;

[0021] FIG. 3 is a signaling diagram for communication according to some example embodiments of the present disclosure;

[0022] FIG. 4 is another signaling chart for communication according to some example embodiments of the present disclosure;

[0023] FIG. 5 illustrates a flowchart of a method implemented at a terminal device according to some example embodiments of the present disclosure;

[0024] FIG. 6 illustrates a flowchart of a method implemented at an edge application server according to some example embodiments of the present disclosure;

[0025] FIG. 7 illustrates a flowchart of a method implemented at a central application server according to some example embodiments of the present disclosure;

[0026] FIG. 8 illustrates a flowchart of a method for security of data routing according to some example embodiments of the present disclosure;

[0027] FIG. 9 illustrates a simplified block diagram of a device that is suitable for implementing example embodiments of the present disclosure; and

[0028] FIG. 10 illustrates a block diagram of an example computer readable medium in accordance with some example embodiments of the present disclosure.

[0029] Throughout the drawings, the same or similar reference numerals represent the same or similar element.DETAILED DESCRIPTION

[0030] Principle of the present disclosure will now be described with reference to some example embodiments. It is to be understood that these embodiments are described only for the purpose of illustration and help those skilled in the art to understand and implement the present disclosure, without suggesting any limitation as to the scope of the disclosure. Embodiments described herein can be implemented in various manners other than the ones described below.

[0031] In the following description and claims, unless defined otherwise, all technical and scientific terms used herein have the same meaning as commonly understood by one of ordinary skills in the art to which this disclosure belongs.

[0032] References in the present disclosure to “one embodiment, ” “an embodiment, ” “an example embodiment, ” and the like indicate that the embodiment described may include a particular feature, structure, or characteristic, but it is not necessary that every embodiment includes the particular feature, structure, or characteristic. Moreover, such phrases are not necessarily referring to the same embodiment. Further, when a particular feature, structure, or characteristic is described in connection with an embodiment, it is submitted that it is within the knowledge of one skilled in the art to affect such feature, structure, or characteristic in connection with other embodiments whether or not explicitly described.

[0033] It shall be understood that although the terms “first, ” “second, ” …, etc. in front of noun (s) and the like may be used herein to describe various elements, these elements should not be limited by these terms. These terms are only used to distinguish one element from another and they do not limit the order of the noun (s) . For example, a first element could be termed a second element, and similarly, a second element could be termed a first element, without departing from the scope of example embodiments. As used herein, the term “and / or” includes any and all combinations of one or more of the listed terms.

[0034] As used herein, “at least one of the following: <a list of two or more elements>” and “at least one of <a list of two or more elements>” and similar wording, where the list of two or more elements are joined by “and” or “or” , mean at least any one of the elements, or at least any two or more of the elements, or at least all the elements.

[0035] As used herein, unless stated explicitly, performing a step “in response to A” does not indicate that the step is performed immediately after “A” occurs and one or more intervening steps may be included.

[0036] The terminology used herein is for the purpose of describing particular embodiments only and is not intended to be limiting of example embodiments. As used herein, the singular forms “a” , “an” and “the” are intended to include the plural forms as well, unless the context clearly indicates otherwise. It will be further understood that the terms “comprises” , “comprising” , “has” , “having” , “includes” and / or “including” , when used herein, specify the presence of stated features, elements, and / or components etc., but do not preclude the presence or addition of one or more other features, elements, components and / or combinations thereof.

[0037] As used in this application, the term “circuitry” may refer to one or more or all of the following:

[0038] (a) hardware-only circuit implementations (such as implementations in only analog and / or digital circuitry) and

[0039] (b) combinations of hardware circuits and software, such as (as applicable) :

[0040] (i) a combination of analog and / or digital hardware circuit (s) with software / firmware and

[0041] (ii) any portions of hardware processor (s) with software (including digital signal processor (s) ) , software, and memory (ies) that work together to cause an apparatus, such as a mobile phone or server, to perform various functions) and

[0042] (c) hardware circuit (s) and or processor (s) , such as a microprocessor (s) or a portion of a microprocessor (s) , that requires software (e.g., firmware) for operation, but the software may not be present when it is not needed for operation.

[0043] This definition of circuitry applies to all uses of this term in this application, including in any claims. As a further example, as used in this application, the term circuitry also covers an implementation of merely a hardware circuit or processor (or multiple processors) or portion of a hardware circuit or processor and its (or their) accompanying software and / or firmware. The term circuitry also covers, for example and if applicable to the particular claim element, a baseband integrated circuit or processor integrated circuit for a mobile device or a similar integrated circuit in server, a cellular network device, or other computing or network device.

[0044] The term “terminal device” refers to any end device that may be capable of communication. By way of example rather than limitation, a terminal device may also be referred to as a communication device, user equipment (UE) , a Subscriber Station (SS) , a Portable Subscriber Station, a Mobile Station (MS) , or an Access Terminal (AT) . The terminal device may include, but not limited to, a mobile phone, a cellular phone, a smart phone, voice over IP (VoIP) phones, wireless local loop phones, a tablet, a wearable terminal device, a personal digital assistant (PDA) , portable computers, desktop computer, image capture terminal devices such as digital cameras, gaming terminal devices, music storage and playback appliances, vehicle-mounted wireless terminal devices, wireless endpoints, mobile stations, laptop-embedded equipment (LEE) , laptop-mounted equipment (LME) , USB dongles, smart devices, wireless customer-premises equipment (CPE) , an Internet of Things (IoT) device, a watch or other wearable, a head-mounted display (HMD) , a vehicle, a drone, a medical device and applications (e.g., remote surgery) , an industrial device and applications (e.g., a robot and / or other wireless devices operating in an industrial and / or an automated processing chain contexts) , a consumer electronics device, a device operating on commercial and / or industrial wireless networks, and the like. The terminal device may also correspond to a Mobile Termination (MT) part of an IAB node (e.g., a relay node) . In the following description, the terms “terminal device” , “communication device” , “terminal” , “user equipment” and “UE” may be used interchangeably.

[0045] As used herein, the term “network device” refers to a device or node in a communication network via which a terminal device accesses the network and receives services therefrom. The network device may comprise an access network device and a core network device. Examples of core network devices may include functions of one or more of a Mobile Switching Center (MSC) , Mobility Management Entity (MME) , an evolved Packet Data Gateway (ePDG) , a trusted wireless local area network (WLAN) access network (TWAN) node, a Home Subscriber Server (HSS) , an Access and Mobility Management Function (AMF) , a Session Management Function (SMF) , a Network Slice Selection Function (NSSF) , a Serving Gateway (SGW) , a Packet Gateway (PGW) , an Authentication Server Function (AUSF) , a Subscription Identifier De-concealing function (SIDF) , a Unified Data Management (UDM) , a Security Edge Protection Proxy (SEPP) , a Network Exposure Function (NEF) , and / or a User Plane Function (UPF) .

[0046] As discussed above, there have been several studies and standards related to  steering traffic via I-UPF to a local cloud on which a compute operation is hosted, or to a central / remote DN via one or more UPF (s) . The user plane (UP) enhancements and the local offloading to the Edge or on a local cloud are specified in the 3GPP standards such as 3GPP TS 23.501 V18.1.0 and TS 23.548 V18.1.0. In 3GPP Release-19, related enhancements are also being discussed.

[0047] It is needed to further support for end-user traffic to be sent to a session anchor protocol data unit (PDU) session anchor (PSA) after being processed by edge hosting environment, and for the corresponding downlink traffic. This may occur when there is no public communication possibility between the local part of the DN and central part of the DN, for example, due to usage of a private Internet Protocol (IP) address and / or lack of a secure tunnel. The following two scenarios may be addressed. In Scenario 1, the following case may be enhanced where a local domain name system (DNS) server or an edge application server discovery function (EASDF) has no connectivity with the central DNS server. In Scenario 2, the User Plane routing and traffic steering of Application traffic may be supported between the local DN and a cloud server located in the central DN.

[0048] In a DN, data traffic needs to be transmitted from user equipment (UE) to a computing entity such as a central application server or a central computer. Further, for (pre-) processing, the data traffic is sent to an edge application server (also referred to as an edge application server 120) first. In other words, data traffic is sent from the UE via the edge application server to the computing entity. In this event, if the application edge application server 120 is malicious or has been compromised, it may inject malicious traffic, or modify the traffic processed in the edge application server before further forwarding to the central DN for further processing. Thus, this may impersonate the UE, impact the integrity of the information, lead to denial of service (DoS) attacks by congesting the network, and so on. In other words, based on the nature of the application, the impact at the DN may lead to security issues, and also potentially impact the fifth generation (5G) network.

[0049] Currently, at the central computer side, there is no mechanism to verify that the traffic has been initiated from a valid UE and processed by a valid edge application server. As per current design, the UE is not aware about the processing in the central computer.

[0050] Some example embodiments of the present disclosure propose a solution for  security of data routing. This solution proposes to use a random identifier (ID) for data traffic of a session associated with a terminal device (e.g. a UE) . The random ID is provided to the terminal device and / or an edge application server for future communication between the edge application server and a central application server. The central application server verifies data from the edge application server based on the random ID.

[0051] By providing such a mechanism that verifies a source of traffic at a DN side, this solution may prevent an edge application server to send any false and / or malicious traffic from the local edge to the central DN where a destination application server of data traffic is deployed. In this way, it may be ensured that the traffic forwarded from the edge application server to a central application server is originated from a valid UE. It may also be ensured that no malicious traffic was injected and / or the traffic was modified by local processing server.

[0052] Example embodiments of the present disclosure will be described in detail below with reference to the accompanying drawings.

[0053] FIG. 1 illustrates an example communication environment 100 in which example embodiments of the present disclosure can be implemented.

[0054] The communication environment 100 includes a terminal device 110 (such as a UE) and its associated edge application server 120 (also referred to as a local application server) . The edge application server 120 may be deployed near the terminal device 110 and may host an edge application to provide edge computing services to the terminal device 110. The communication environment 100 further includes a central application server 130 which may host a central application to provide central computing services to the terminal device 110.

[0055] Moreover, the communication environment 100 includes one or more network functions in a core network which may be a 5G core network or 5GC. The network functions may include a Session Management Function (SMF) 140 and a Policy control Function (PCF) 150 and a Charging Function (CHF) . The network functions may be implemented by a physical or virtual device and may provide communication services to the terminal device.

[0056] Communications in the communication environment 100 may be implemented  according to any proper communication protocol (s) , comprising, but not limited to, cellular communication protocols of the first generation (1G) , the second generation (2G) , the third generation (3G) , the fourth generation (4G) , the fifth generation (5G) , the sixth generation (6G) , and the like, wireless local network communication protocols such as Institute for Electrical and Electronics Engineers (IEEE) 802.11 and the like, and / or any other protocols currently known or to be developed in the future. Moreover, the communication may utilize any proper wireless communication technology, comprising but not limited to: Code Division Multiple Access (CDMA) , Frequency Division Multiple Access (FDMA) , Time Division Multiple Access (TDMA) , Frequency Division Duplex (FDD) , Time Division Duplex (TDD) , Multiple-Input Multiple-Output (MIMO) , Orthogonal Frequency Division Multiple (OFDM) , Discrete Fourier Transform spread OFDM (DFT-s-OFDM) and / or any other technologies currently known or to be developed in the future.

[0057] It is to be understood that the number and types of apparatuses and devices are shown in FIG. 1 for the purpose of illustration without suggesting any limitation. For example, the communication environment 100 may include any suitable number of terminal devices, edge application servers, central application servers and / or network nodes or devices or functions in a communication network.

[0058] In the communication environment 100, security may be provided in routing user plane (UP) traffic from local / edge cloud (e.g., the edge application server 120) to center cloud (e.g., the central application server 130) . In various example embodiments, the random ID for a session associated with a terminal device (e.g. a UE) is used for data traffic. The random ID may be generated by the central application server 130. Alternatively, or in addition, the random ID may be generated by the SMF 140 or the PCF 150 and then forwarded to the central application server. The random ID is sent to the terminal device 110 and / or the edge application server 120. Based on the random ID, the central application server 130 may verify validity of data from the edge application server 120.

[0059] Reference is now made to FIG. 2, which is a signaling diagram 200 showing a communication process in the communication environment 100 for security of data routing process according to some example embodiments of the present disclosure.

[0060] As illustrated in FIG. 2, before transmission of data traffic, a random identifier  may be exchanged among the related devices / apparatus. In the following, some example embodiments related to exchanging of the random identifier will be discussed first.

[0061] In some example embodiments, a core network 205 (including a network function such as the SMF 140 or the PCF 150) may generate (220) a random identifier for a session associated with the terminal device 110. This session may carry data traffic towards the terminal device 110 and data traffic from the terminal device 110. In some example embodiments, the random identifier may be unique for a specific session.

[0062] In some example embodiments, in the case that the random identifier is generated by the SMF 140, the SMF 140 may generate the random identifier based on at least one of: at least one policy from the PCF 150, an internal logic of the SMF 140, or a request from the terminal device 110 during an establishment procedure of the session. In some example embodiments, the at least one policy may require the SMF 140 to generate one or more random identifiers for one or more terminal devices, one or more sessions associated with the one or more terminal devices, one or more central application servers, and / or one or more edge application servers.

[0063] In some example embodiments, the random identifier may be generated by the PCF 150 and then provided to the SMF 140.

[0064] In some embodiments, the generation of the random identifier at a core network is triggered by a request from the terminal device 110. As shown in FIG. 2, in some example embodiments, the core network 205 may receive 210-1 a request for the random identifier from the terminal device 110. In response to the request, the core network 205 may generate the random ID.

[0065] Then, the generated random identifier may be sent to the related devices. In some example embodiments, the core network 205 may send (230-1) the random identifier to the central application server 130 for verification of data belonging to the session. Correspondingly, the central application server 130 may obtain (235) the random identifier by receiving it from the core network 205. In some example embodiments, the core network such as the SMF 140 may send (230-1) to the central application server 130 a notification including the random identifier.

[0066] In some embodiments, the core network 205 such as the SMF 140 may send (240-1) the random identifier to the terminal device 110. In the case that the terminal  device 110 sends (210-1) a request for the random ID to the core network 205, the core network may send (240-1) to the terminal device 110 a response including the random identifier.

[0067] In some example embodiments, the core network 205 may send (240-2) the random identifier to the edge application server 120. In some example embodiments, the core network 205 may send (240-2) to the edge application server 120 a notification including the random identifier.

[0068] Alternatively, or in addition, the random identifier may be generated and / or distributed by the central application server 130 as discussed below.

[0069] In some example embodiments, instead of receiving the random identifier from the core network 205, the central application server 130 may obtain (235) the random identifier by generating the random identifier by itself. Then, the generated random identifier may be sent by the central application server 130 to the related devices.

[0070] In some example embodiments, the generated random identifier may be sent to the terminal device 110. As shown in FIG. 2, the central application server 130 may receive (210-2) a request for the random identifier from the terminal device 110. Then, the central application server 130 may send (245-1) to the terminal device 110 a response for the request, which includes the random identifier. In some example embodiments, the generation of the random identifier at the central application server 130 may be triggered by the request received (210-2) from the terminal device 110.

[0071] In some example embodiments, the central application server 130 may send (245-2) the response including the random identifier, to the edge application server 120. Alternatively, or in addition, the terminal device 110 may send (260) the random identifier to the edge application server 120 after obtaining the random identifier either from the core network 205 or from the central application server 130. The random identifier may be sent from the terminal device 110 to the edge application server 120 separately from the data traffic or along with the data traffic.

[0072] After the above procedure, the central application server 130, the terminal device 110 and / or the edge application server 120 may obtain the random identifier. With the random identifier, the subsequent data traffic may be verified. Some example embodiments related to the data verification based on the random identifier will be  discussed below.

[0073] In some example embodiments, as shown in FIG. 2, the terminal device 110 may send (265) to the edge application server 120 data (referred to as first data) belonging to the session. In some example embodiments, the random identifier may be sent together with the first data. For example, the random identifier may be added to or appended to the first data.

[0074] After the edge application server 120 receives the first data, the edge application server 120 may send (275) data (referred to as second data) belonging to the session to the central application server 130. The second data is sent along with the random identifier. For example, the random identifier may be added to or appended to the second data. The second data may be generated based on processing (such as edge computing or other edge or local processing) of the first data.

[0075] After the central application server 130 receives the second data, the central application server 130 may verify (280) the second data based on the random identifier. As discussed above, the central application server 130 may obtain the random identifier prior to receiving the second data. In some example embodiments, the central application server 130 may verify the second data based on the previously-obtained random identifier and the received random identifier.

[0076] In some example embodiments, the central application server 130 may maintain a table storing mapping of the random identifier and an identifier of the terminal device 110. In this event, the second data may be verified by using the table.

[0077] In some example embodiments, the central application server 130 may verify the second data by checking presence of the received identifier in the table. The presence of the received identifier in the table may mean that the traffic is originated from a valid terminal device. Then, the central application server 130 may process the second data. If the received identifier is absent in the table, the central application server 130 may reject the second data.

[0078] As described above, the proposed solution may provide security in routing user plane traffic. In this solution, the random identifier may be used for the data traffic from the terminal device to the central application server 130. The random identifier is set by the core network 205 or the central application server 130 and sent to edge application  server (either directly or via the terminal device 110) . The random identifier may be used for any future communication between the edge application server 120 and the central application server 130 (e.g., the computing entity) . Then, the central application server 130 may determine whether the data traffic is coming from a valid terminal device.

[0079] Further, the random identifier may be created and forwarded either to the terminal device 110 (in the response to the request) or directly to the edge application server 120. If the random identifier is forwarded to the terminal device 110, the terminal device 110 may add the random identifier to the (first) uplink data traffic to the edge application server 120 or send the random identifier to the edge application server 120 separately from the date traffic. The edge application server 120 then obtains the respective random identifier.

[0080] Then, the edge application server 120 may add the random identifier to all data traffic to the central application server 130. Based on the random identifier, the central application server 130 may verify the data traffic from the edge application server 120. As the random identifier is bound to one specific session, and thus the random identifier cannot be used by a (malicious) edge application server 120 for any future communication.

[0081] Some example processes for security of data routing based on the random ID will be further discussed with reference to FIG. 3 and FIG. 4. In these examples, a UE 305 is an example of the terminal device 110 in FIG. 1. Edge application 310 may be deployed in the edge (or local) application server 120 in FIG. 1. Central compute operation 315 in a Data Network (DN) 320 may be implemented by the central application server 130.

[0082] FIG. 3 shows a signaling diagram 300 of communication according to some example embodiments of the present disclosure.

[0083] In FIG. 3, the UE 305, through data network, requests to the central compute operation 315 a random identifier for the session which is later used to verify the authenticity of the sender. Central compute operation keeps track of a mapping table where the random identifier generated is mapped to the UE identifier. The random identifier is then used inside the uplink (UL) traffic and / or downlink traffic. Edge application server 120 (such as, the edge application server 120 in FIG. 1) while forwarding the traffic (computation result) , includes this random identifier which is then passed to central compute operation. The central compute operation extracts the random  identifier and checks if it is present in the mapping table. This is used to verify that the traffic is originated from a valid UE.

[0084] As illustrated in FIG. 3, at 322 (Action 1) , the UE 305 may request a random identifier for the current PDU session to the central compute operation 315. In some example embodiments, this communication might require the UE 305 to authenticate to the central compute operation 315.

[0085] At 324 (Action 2) , the central compute operation 315 may then generate and store the random identifier internally, so that it can later use it to verify the communications.

[0086] In option A, at 326 (Action 3.1. A) , the central compute operation 315 may response with the UE ID and the random identifier to the edge application 310. At 328 (Action 3.2. A) , the central compute operation 315 may send a response with a status code to the UE 305. This may trigger the traffic from the UE 305 at 330 (Action 3.3. A) .

[0087] In option B, A, at 332 (Action 3.1. B) , the central compute operation 315 may respond with the random identifier to the UE 305, which triggers the UE 305 to use this random identifier in the UL traffic at 334 (Action 3.2. B) .

[0088] At 336 (Action 4) , the edge application 310 may elaborate or process application specific data. At 338 (Action 5) , the edge application 310 may subsequently send the data to the central compute operation 315 in the central DN 320. At 338 (Action 5) , the edge application 310 may append / forward the random identifier together with the UL traffic. At 340 (Action 6) , the central compute operation 315 may extract the ID from the traffic and verify it against the previously agreed IDs. If the ID matches a valid one, the central compute operation 315 may proceed on elaborating the data, otherwise it will reject them.

[0089] FIG. 4 is another signaling diagram 400 for communication according to some example embodiments of the present disclosure.

[0090] In FIG. 4, the random identifier is generated at SMF / PCF 140 / 150 and the SMF / PCF 140 / 150 shares it to the central compute operation 315 located in the central DN 320. The random identifier may be later used by the central compute operation 315 to verify the authenticity of the UE 305.

[0091] At 402 (Action 1) , the UE 305 may request a random identifier for a current PDU session to the SMF / PCF 140 / 150. At 404 (Action 2) , the SMF 140 may generate the  random identifier. The SMF 140 may generate this in response to receiving this request from the UE 305, or in another example embodiment, the SMF 140 may generate this random identifier based on multiple triggers / logic. The policies may be sent by the PCF 150 to the SMF 140. In some example embodiments, these policies either already provides unique random identifier or indicates in the policies requiring the SMF 140 to generate a random identifier for a PDU session of a particular UE, specific to a certain application, for example, those applications (identified by Application ID) that needs local processing before forwarding to a final destination, e.g., a central serval location in the central DN 320.

[0092] At 406 (Action 3) , the SMF / PCF 140 / 150 may send the new random identifier to the central compute operation 315 in the central DN 320. At 408 (Action 4) , the central DN 320 may store the random identifier based on SMF internal logic. For example, the central compute operation stores the random identifier internally, so that it can later use it to verify the communications.

[0093] In option A, the SMF / PCF 140 / 150 may send the random identifier to the edge application 310, based on a specific request / indication to the SMF 140 e.g. by the UE 305 as part of a PDU session establishment procedure. As shown in FIG. 4, at 410 (Action 5.1. A) , the SMF / PCF 140 / 150 may response with the random identifier to the edge application 310. At 412 (Action 5.2. A) , the SMF / PCF 140 / 150 may send a response with a status code to the UE 305. This may trigger the traffic from the UE 305 at 414 (Action 5.3. A) . In option B, at 416 (Action 5.1. B) , the SMF / PCF 140 / 150 may response with the random identifier to the UE 305, which may trigger the UE 305 to initiate the UL traffic at 418 (Action 5.2. B) .

[0094] At 420 (Action 6) , the edge application 310 may elaborate or process application specific data (e.g., data specific to the edge application 310) . At 422 (Action 7) , the edge application 310 may subsequently send the data to the central compute operation 315 in the central DN 320. The edge application 310 may append or forward the random identifier together with the UL traffic. At 424 (Action 8) , the central compute operation 320 may extract the ID from the traffic and verify it against the previously agreed IDs. If the ID matches a valid one, the central compute operation 320 can proceed on elaborating the data, otherwise it will reject them.

[0095] It is to be understood that the process for verifying data traffic (e.g., uplink data  traffic) from the terminal device 110 to the central application server 140 based on the random ID are discussed with reference to FIG. 2 only for the purpose of illustration, without suggesting any limitation. The random ID may be applied for verifying data traffic (e.g., downlink data traffic) towards to the terminal device 110. The process for DL data verification is similar to the process for UL data verification as described above, and details thereof will be omitted.

[0096] FIG. 5 shows a flowchart of an example method 500 implemented at a first device in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the method 500 will be described from the perspective of the terminal device 110 in FIG. 1.

[0097] At block 510, the terminal device transmits a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network.

[0098] At block 520, the terminal device receives a response for the request, from the at least one of the central application server or the core network.

[0099] At block 530, the terminal device sends, to an edge application server, first data belonging to the session.

[0100] In some example embodiments, the response includes the random identifier.

[0101] In some example embodiments, the first data is sent to the edge application sever along with the random identifier.

[0102] In some example embodiments, the terminal device may send the random identifier to the edge application server, wherein the first data and the random identifier are sent to the edge application separately.

[0103] In some example embodiments, the random identifier is unique for the session.

[0104] FIG. 6 shows a flowchart of an example method 600 implemented at a second device in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the method 600 will be described from the perspective of edge application server 120 in FIG. 1.

[0105] At block 610, the edge application server receives a random identifier for a session associated with a terminal device, from at least one of a central application server,  a core network or the terminal device.

[0106] At block 620, the edge application server sends second data belonging to the session, to the central application server, along with the random identifier.

[0107] In some example embodiments, the random identifier is added to the second data.

[0108] In some example embodiments, the edge application server may receive, from the terminal device, first data belonging to the session; and processing the first data to generate the second data belonging to the session.

[0109] In some example embodiments, the first data is received along with the random identifier.

[0110] In some example embodiments, a notification is received from the core network, the notification including the random identifier.

[0111] In some example embodiments, the random identifier is unique for the session.

[0112] FIG. 7 shows a flowchart of an example method 700 implemented at a central application server in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the method 700 will be described from the perspective of the central application server 130 in FIG. 1.

[0113] At block 710, the central application server obtains a random identifier for a session associated with a terminal device.

[0114] At block 720, the central application server receives, from an edge application server, second data belonging to the session, along with an identifier.

[0115] At block 730, the central application server verifies the second data based on the random identifier and the received identifier.

[0116] In some example embodiments, the central application server may receive, from the terminal device, a request for the random identifier, wherein the random identifier is generated by the central application server in response to receiving the request.

[0117] In some example embodiments, the central application server may send a response for the request, to at least one of the terminal device or the edge application server, the response including the random identifier.

[0118] In some example embodiments, the random identifier is received from a core  network.

[0119] In some example embodiments, the random identifier is unique for the session.

[0120] In some example embodiments, the received identifier is added to the second data.

[0121] In some example embodiments, the central application server may maintain a table storing mapping of the random identifier and an identifier of the terminal device, wherein the second data is verified using the table.

[0122] In some example embodiments, the second data is verified by checking presence of the received identifier in the table.

[0123] In some example embodiments, in response to the presence of the received identifier in the table, the central application server may process the second data.

[0124] In some example embodiments, in response to absence of the received identifier in the table, the central application server may reject the second data.

[0125] FIG. 8 shows a flowchart of an example method 800 for security routing in accordance with some example embodiments of the present disclosure. The method 800 may be implemented by an apparatus that may provide a network function such as the SMF 140 and the PCF 150 in FIG. 1. For the purpose of discussion, the method 800 will be described from the perspective of the network function.

[0126] At block 810, the network function generates a random identifier for a session associated with a terminal device.

[0127] At block 820, the apparatus sends the random identifier, to a central application server and at least one of the terminal device or an edge application server, for verification of data belonging to the session.

[0128] In some example embodiments, the apparatus may receive, from the terminal device, a request for the random identifier, wherein the random identifier is generated in response to the request.

[0129] In some example embodiments, a response for the request is sent to the terminal device, the response including the random identifier.

[0130] In some example embodiments, a notification is sent to the edge application  server, the notification including the random identifier.

[0131] In some example embodiments, a notification is sent to the central application server, the notification including the random identifier.

[0132] In some example embodiments, the random identifier is unique for the session.

[0133] In some example embodiments, the network function comprises a session management function.

[0134] In some example embodiments, the network function comprises a session management function; and the random identifier is generated by the session management function based on at least one of: at least one policy from a policy control function, an internal logic of the session management function, or a request from the terminal device during an establishment procedure of the session.

[0135] In some example embodiments, the at least one policy requires the session management function to generate one or more random identifier for one or more terminal devices, one or more sessions associated with the one or more terminal devices, one or more central application servers, and / or one or more edge application servers.

[0136] All operations and features related to the terminal device 110, the edge application server 120, the central application server 130, and the SMF / PCF 140 / 150 as described above with reference to FIGS. 1 to 4 are likewise applicable to the methods 500 to 800 and have similar effects. For the purpose of simplification, the details will be omitted.

[0137] In some example embodiments, a first apparatus capable of performing the method 500 (for example, the terminal device 110 in FIG. 1) may comprise means for performing the respective operations of the method 500. The means may be implemented in any suitable form. For example, the means may be implemented in a circuitry or software module. The first apparatus may be implemented as or included in the terminal device 110 in FIG. 1.

[0138] In some example embodiments, the first apparatus comprises means for transmitting a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network; means for receiving a response for the request, from the at least one of the central application server or the core network; and means for sending, to an edge application server, first data belonging  to the session.

[0139] In some example embodiments, the response includes the random identifier.

[0140] In some example embodiments, the first data is sent to the edge application sever along with the random identifier.

[0141] In some example embodiments, the first apparatus further comprises: means for sending the random identifier to the edge application server, wherein the first data and the random identifier are sent to the edge application separately.

[0142] In some example embodiments, the random identifier is unique for the session.

[0143] In some example embodiments, the first apparatus further comprises means for performing other operations in some example embodiments of the method 500 or the terminal device 110. In some example embodiments, the means comprises at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the performance of the first apparatus.

[0144] In some example embodiments, a second apparatus capable of performing any of the method 600 (for example, the edge application server 120 in FIG. 1) may comprise means for performing the respective operations of the method 600. The means may be implemented in any suitable form. For example, the means may be implemented in a circuitry or software module. The second apparatus may be implemented as or included in the second device 120 in FIG. 1.

[0145] In some example embodiments, the second apparatus comprises means for receiving a random identifier for a session associated with a terminal device, from at least one of a central application server, a core network or the terminal device; and means for sending second data belonging to the session, to the central application server, along with the random identifier.

[0146] In some example embodiments, the random identifier is added to the second data.

[0147] In some example embodiments, cause the edge application server to: means for receiving, from the terminal device, first data belonging to the session; and means for processing the first data to generate the second data belonging to the session.

[0148] In some example embodiments, the first data is received along with the random identifier.

[0149] In some example embodiments, a notification is received from the core network, the notification including the random identifier.

[0150] In some example embodiments, the random identifier is unique for the session.

[0151] In some example embodiments, the second apparatus further comprises means for performing other operations in some example embodiments of the method 600 or the edge application server 120. In some example embodiments, the means comprises at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the performance of the second apparatus.

[0152] In some example embodiments, a third apparatus capable of performing the method 700 (for example, the central application server 130 in FIG. 1) may comprise means for performing the respective operations of the method 700. The means may be implemented in any suitable form. For example, the means may be implemented in a circuitry or software module. The third apparatus may be implemented as or included in the central application server 130 in FIG. 1.

[0153] In some example embodiments, the third apparatus comprises means for obtaining a random identifier for a session associated with a terminal device; means for receiving, from an edge application server, second data belonging to the session, along with an identifier; and means for verifying the second data based on the random identifier and the received identifier.

[0154] In some example embodiments, cause the central application server to: means for receiving, from the terminal device, a request for the random identifier, wherein the random identifier is generated by the central application server in response to receiving the request.

[0155] In some example embodiments, the third apparatus further comprises: means for sending a response for the request, to at least one of the terminal device or the edge application server, the response including the random identifier.

[0156] In some example embodiments, the random identifier is received from a core network.

[0157] In some example embodiments, the random identifier is unique for the session.

[0158] In some example embodiments, the received identifier is added to the second  data.

[0159] In some example embodiments, the third apparatus further comprises: means for maintaining a table storing mapping of the random identifier and an identifier of the terminal device, wherein the second data is verified using the table.

[0160] In some example embodiments, the second data is verified by checking presence of the received identifier in the table.

[0161] In some example embodiments, the third apparatus further comprises: means for in response to the presence of the received identifier in the table, processing the second data.

[0162] In some example embodiments, the third apparatus further comprises: means for in response to absence of the received identifier in the table, rejecting the second data.

[0163] In some example embodiments, the third apparatus further comprises means for performing other operations in some example embodiments of the method 700 or the central application server 130. In some example embodiments, the means comprises at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the performance of the third apparatus.

[0164] In some example embodiments, a fourth apparatus capable of performing the method 800 (for example, a network function such as the SMF 140 and / or the PCF in FIG. 1) may comprise means for performing the respective operations of the method 800. The means may be implemented in any suitable form. For example, the means may be implemented in a circuitry or software module. The fourth apparatus may be implemented as or included in the apparatus (such as the SMF 140 and the PCF 150 in FIG. 1) .

[0165] In some example embodiments, the fourth apparatus comprises means for generating a random identifier for a session associated with a terminal device; and means for sending the random identifier, to a central application server and at least one of the terminal device or an edge application server, for verification of data belonging to the session.

[0166] In some example embodiments, the fourth apparatus further comprises: means for receiving, from the terminal device, a request for the random identifier, wherein the random identifier is generated in response to the request.

[0167] In some example embodiments, a response for the request is sent to the terminal device, the response including the random identifier.

[0168] In some example embodiments, a notification is sent to the edge application server, the notification including the random identifier.

[0169] In some example embodiments, a notification is sent to the central application server, the notification including the random identifier.

[0170] In some example embodiments, the random identifier is unique for the session.

[0171] In some example embodiments, the network function comprises a session management function.

[0172] In some example embodiments, the network function comprises a session management function; and the random identifier is generated by the session management function based on at least one of: at least one policy from a policy control function, an internal logic of the session management function, or a request from the terminal device during an establishment procedure of the session.

[0173] In some example embodiments, the at least one policy requires the session management function to generate one or more random identifier for one or more terminal devices, one or more sessions associated with the one or more terminal devices, one or more central application servers, and / or one or more edge application servers.

[0174] In some example embodiments, the fourth apparatus further comprises means for performing other operations in some example embodiments of the method 800 or the apparatus (such as the SMF 140 and the PCF 150 in FIG. 1) . In some example embodiments, the means comprises at least one processor; and at least one memory storing instructions that, when executed by the at least one processor, cause the performance of the fourth apparatus.

[0175] FIG. 9 is a simplified block diagram of a device 900 that is suitable for implementing example embodiments of the present disclosure. The device 900 may be provided to implement a communication device, for example, the terminal device 110, the edge application server 120, the central application server 130 and a core network (i.e., a network function, such as the SMF 140 and the PCF 150) . As shown, the device 900 includes one or more processors 910, one or more memories 920 coupled to the processor 910, and one or more communication modules 940 coupled to the processor 910.

[0176] The communication module 940 is for bidirectional communications. The communication module 940 has one or more communication interfaces to facilitate communication with one or more other modules or devices. The communication interfaces may represent any interface that is necessary for communication with other network elements. In some example embodiments, the communication module 940 may include at least one antenna.

[0177] The processor 910 may be of any type suitable to the local technical network and may include one or more of the following: general purpose computers, special purpose computers, microprocessors, digital signal processors (DSPs) and processors based on multicore processor architecture, as non-limiting examples. The device 900 may have multiple processors, such as an application specific integrated circuit chip that is slaved in time to a clock which synchronizes the main processor.

[0178] The memory 920 may include one or more non-volatile memories and one or more volatile memories. Examples of the non-volatile memories include, but are not limited to, a Read Only Memory (ROM) 924, an electrically programmable read only memory (EPROM) , a flash memory, a hard disk, a compact disc (CD) , a digital video disk (DVD) , an optical disk, a laser disk, and other magnetic storage and / or optical storage. Examples of the volatile memories include, but are not limited to, a random access memory (RAM) 922 and other volatile memories that will not last in the power-down duration.

[0179] A computer program 930 includes computer executable instructions that are executed by the associated processor 910. The instructions of the program 930 may include instructions for performing operations / acts of some example embodiments of the present disclosure. The program 930 may be stored in the memory, e.g., the ROM 924. The processor 910 may perform any suitable actions and processing by loading the program 930 into the RAM 922.

[0180] The example embodiments of the present disclosure may be implemented by means of the program 930 so that the device 900 may perform any process of the disclosure as discussed with reference to FIG. 2 to FIG. 4. The example embodiments of the present disclosure may also be implemented by hardware or by a combination of software and hardware.

[0181] In some example embodiments, the program 930 may be tangibly contained in a  computer readable medium which may be included in the device 900 (such as in the memory 920) or other storage devices that are accessible by the device 900. The device 900 may load the program 930 from the computer readable medium to the RAM 922 for execution. In some example embodiments, the computer readable medium may include any types of non-transitory storage medium, such as ROM, EPROM, a flash memory, a hard disk, CD, DVD, and the like. The term “non-transitory, ” as used herein, is a limitation of the medium itself (i.e., tangible, not a signal) as opposed to a limitation on data storage persistency (e.g., RAM vs. ROM) .

[0182] FIG. 10 shows an example of the computer readable medium 1000 which may be in form of CD, DVD or other optical storage disk. The computer readable medium 1000 has the program 930 stored thereon.

[0183] Generally, various embodiments of the present disclosure may be implemented in hardware or special purpose circuits, software, logic or any combination thereof. Some aspects may be implemented in hardware, and other aspects may be implemented in firmware or software which may be executed by a controller, microprocessor or other computing device. Although various aspects of embodiments of the present disclosure are illustrated and described as block diagrams, flowcharts, or using some other pictorial representations, it is to be understood that the block, apparatus, system, technique or method described herein may be implemented in, as non-limiting examples, hardware, software, firmware, special purpose circuits or logic, general purpose hardware or controller or other computing devices, or some combination thereof.

[0184] Some example embodiments of the present disclosure also provide at least one computer program product tangibly stored on a computer readable medium, such as a non-transitory computer readable medium. The computer program product includes computer-executable instructions, such as those included in program modules, being executed in a device on a target physical or virtual processor, to carry out any of the methods as described above. Generally, program modules include routines, programs, libraries, objects, classes, components, data structures, or the like that perform particular tasks or implement particular abstract data types. The functionality of the program modules may be combined or split between program modules as desired in various embodiments. Machine-executable instructions for program modules may be executed within a local or distributed device. In a distributed device, program modules may be located in both local and remote storage media.

[0185] Program code for carrying out methods of the present disclosure may be written in any combination of one or more programming languages. The program code may be provided to a processor or controller of a general purpose computer, special purpose computer, or other programmable data processing apparatus, such that the program code, when executed by the processor or controller, cause the functions / operations specified in the flowcharts and / or block diagrams to be implemented. The program code may execute entirely on a machine, partly on the machine, as a stand-alone software package, partly on the machine and partly on a remote machine or entirely on the remote machine or server.

[0186] In the context of the present disclosure, the computer program code or related data may be carried by any suitable carrier to enable the device, apparatus or processor to perform various processes and operations as described above. Examples of the carrier include a signal, computer readable medium, and the like.

[0187] The computer readable medium may be a computer readable signal medium or a computer readable storage medium. A computer readable medium may include but not limited to an electronic, magnetic, optical, electromagnetic, infrared, or semiconductor system, apparatus, or device, or any suitable combination of the foregoing. More specific examples of the computer readable storage medium would include an electrical connection having one or more wires, a portable computer diskette, a hard disk, a random access memory (RAM) , a read-only memory (ROM) , an erasable programmable read-only memory (EPROM or Flash memory) , an optical fiber, a portable compact disc read-only memory (CD-ROM) , an optical storage device, a magnetic storage device, or any suitable combination of the foregoing.

[0188] Further, although operations are depicted in a particular order, this should not be understood as requiring that such operations be performed in the particular order shown or in sequential order, or that all illustrated operations be performed, to achieve desirable results. In certain circumstances, multitasking and parallel processing may be advantageous. Likewise, although several specific implementation details are contained in the above discussions, these should not be construed as limitations on the scope of the present disclosure, but rather as descriptions of features that may be specific to particular embodiments. Unless explicitly stated, certain features that are described in the context of separate embodiments may also be implemented in combination in a single embodiment. Conversely, unless explicitly stated, various features that are described in the context of a single embodiment may also be implemented in a plurality of embodiments separately  or in any suitable sub-combination.

[0189] Although the present disclosure has been described in languages specific to structural features and / or methodological acts, it is to be understood that the present disclosure defined in the appended claims is not necessarily limited to the specific features or acts described above. Rather, the specific features and acts described above are disclosed as example forms of implementing the claims.

Claims

1.A terminal device comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the terminal device at least to:transmit a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network;receive a response for the request, from the at least one of the central application server or the core network; andsend, to an edge application server, first data belonging to the session.2.The terminal device of claim 1, wherein the response includes the random identifier.3.The terminal device of claim 2, wherein the first data is sent to the edge application sever along with the random identifier.4.The terminal device of claim 2, wherein the at least one memory and the at least one processor further cause the terminal device to:send the random identifier to the edge application server,wherein the first data and the random identifier are sent to the edge application server separately.5.The apparatus of any of claims 1 to 4, wherein the random identifier is unique for the session.6.An edge application server comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause an edge application server at least to:receive a random identifier for a session associated with a terminal device, from at least one of a central application server, a core network or the terminal device; andsend second data belonging to the session, to the central application server, along with the random identifier.7.The edge application server of claim 6, wherein the random identifier is added to the second data.8.The edge application server of claim 6 or 7, wherein the at least one memory and the at least one processor cause the edge application server to:receive, from the terminal device, first data belonging to the session; andprocess the first data to generate the second data belonging to the session.9.The edge application server of claim 8, wherein the first data is received along with the random identifier.10.The edge application server of claim 6 or 7, wherein a notification is received from the core network, the notification including the random identifier.11.The edge application server of any of claims 6 to 10, wherein the random identifier is unique for the session.12.A central application server comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause a central application server at least to:obtain a random identifier for a session associated with a terminal device;receive, from an edge application server, second data belonging to the session, along with an identifier; andverify the second data based on the random identifier and the received identifier.13.The central application server of claim 12, wherein the at least one memory and the at least one processor cause the central application server to:receive, from the terminal device, a request for the random identifier,wherein the random identifier is generated by the central application server in response to receiving the request.14.The central application server of claim 13, wherein the at least one memory and the at least one processor further cause the central application server to:send a response for the request, to at least one of the terminal device or the edge application server, the response including the random identifier.15.The central application server of claim 12, wherein the random identifier is received from a core network.16.The central application server of any of claims 12 to 15, wherein the random identifier is unique for the session.17.The central application server of any of claims 12 to 16, wherein the identifier is added to the received second data.18.The central application server of any of claims 12 to 17, wherein the at least one memory and the at least one processor further cause the central application server to:maintain a table storing mapping of the random identifier and an identifier of the terminal device,wherein the second data is verified using the table.19.The central application server of claim 18, wherein the second data is verified by checking presence of the received identifier in the table.20.The central application server of claim 19, wherein the at least one memory and the at least one processor further cause the central application server to:in response to the presence of the received identifier in the table, process the second data.21.The central application server of claim 19, wherein the at least one memory and the at least one processor further cause the central application server to:in response to absence of the received identifier in the table, reject the second data.22.An apparatus comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause a network function at least to:generate a random identifier for a session associated with a terminal device; andsend the random identifier, to a central application server and at least one of the terminal device or an edge application server, for verification of data belonging to the session.23.The apparatus of claim 22, wherein the at least one memory and the at least one processor further cause the network function to:receive, from the terminal device, a request for the random identifier,wherein the random identifier is generated in response to the request.24.The apparatus of claim 22 or 23, wherein a response for the request is sent to the  terminal device, the response including the random identifier.25.The apparatus of any of claims 22 to 24, wherein a notification is sent to the edge application server, the notification including the random identifier.26.The apparatus of any of claims 22 to 25, wherein a notification is sent to the central application server, the notification including the random identifier.27.The apparatus of any of claims 22 to 26, wherein the random identifier is unique for the session.28.The apparatus of any of claims 22 to 27, wherein the network function comprises a session management function.29.The apparatus of any of claims 22 to 28, whereinthe network function comprises a session management function; andthe random identifier is generated by the session management function based on at least one of:at least one policy from a policy control function,an internal logic of the session management function, ora request from the terminal device during an establishment procedure of the session.30.The apparatus of claim 29, wherein the at least one policy requires the session management function to generate one or more random identifier for one or more terminal devices, one or more sessions associated with the one or more terminal devices, one or more central application servers, and / or one or more edge application servers.31.A method comprising:transmitting a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network;receiving a response for the request, from the at least one of the central application server or the core network; andsending, to an edge application server, first data belonging to the session.32.A method comprising:receiving a random identifier for a session associated with a terminal device, from at least one of a central application server, a core network or the terminal device; andsending second data belonging to the session, to the central application server, along with the random identifier.33.A method, comprising:obtaining a random identifier for a session associated with a terminal device;receiving, from an edge application server, second data belonging to the session, along with an identifier; andverifying the second data based on the random identifier and the received identifier.34.A method comprising:generating a random identifier for a session associated with a terminal device; andsending the random identifier, to a central application server and at least one of the terminal device or an edge application server, for verification of data belonging to the session.35.A first apparatus, comprising:means for transmitting a request for a random identifier for a session associated with the terminal device, to at least one of a central application server or a core network;means for receiving a response for the request, from the at least one of the central application server or the core network; andmeans for sending, to an edge application server, first data belonging to the session.36.A second apparatus, comprising:means for receiving a random identifier for a session associated with a terminal device, from at least one of a central application server, a core network or the terminal device; andmeans for sending second data belonging to the session, to the central application server, along with the random identifier.37.A third apparatus, comprising:means for obtaining a random identifier for a session associated with a terminal device;means for receiving, from an edge application server, second data belonging to the session, along with an identifier; andmeans for verifying the second data based on the random identifier and the received identifier.38.A fourth apparatus comprising:means for generating a random identifier for a session associated with a terminal device; andmeans for sending the random identifier, to a central application server and at least one of the terminal device or an edge application server, for verification of data belonging to the session.39.A computer readable medium comprising instructions stored thereon for causing an apparatus at least to perform the method of any of claims 31 to 34.

Images