Registration and authentication using multiple certificates

Abstract

Various aspects of the present disclosure relate to registration and authentication using multiple certificates. A network equipment (NE) may transmit a request for a vendor-signed certificate to a server device associated with a vendor of the NE and based on a security key and a fully qualified domain name (FQDN). The NE may receive the vendor-signed certificate from the server device associated with the vendor of the NE. The NE may transmit a request for an operator-signed certificate to a server device associated with an operator of the NE and based on the vendor-signed certificate. The NE may receive the operator-signed certificate from the server device associated with the operator of the NE. The NE may establish a secure connection between the NE and a core network (CN) based on the vendor-signed certificate and the operator-signed certificate.

Description

REGISTRATION AND AUTHENTICATION USING MULTIPLE CERTIFICATESTECHNICAL FIELD

[0001] The present disclosure relates to wireless communications, and more specifically to security processes for wireless communications.BACKGROUND

[0002] A wireless communications system may include one or multiple network communication devices, which may be otherwise known as network equipment (NE) , supporting wireless communications for one or multiple user communication devices, which may be otherwise known as user equipment (UE) , or other suitable terminology. The wireless communications system may support wireless communications with one or multiple user communication devices by utilizing resources of the wireless communications system (e.g., time resources (e.g., symbols, slots, subframes, frames, or the like) or frequency resources (e.g., subcarriers, carriers, or the like) ) . Additionally, the wireless communications system may support wireless communications across various radio access technologies including third generation (3G) radio access technology, fourth generation (4G) radio access technology, fifth generation (5G) radio access technology, among other suitable radio access technologies beyond 5G (e.g., sixth generation (6G) ) .SUMMARY

[0003] As used herein, including in the claims, an article “a” before an element is unrestricted and understood to refer to “at least one” of those elements or “one or more” of those elements. The terms “a, ” “at least one, ” “one or more, ” and “at least one of one or more” may be interchangeable. As used herein, including in the claims, “or” as used in a list of items (e.g., a list of items prefaced by a phrase such as “at least one of” or “one or more of” or “one or both of” ) indicates an inclusive list such that, for example, a list of at least one of A, B, or C means A or B or C or AB or AC or BC or ABC (i.e., A and B and C) . Also, as used herein, the phrase “based on” shall not be construed as a reference to a closed set of conditions. For example, an example step that is described as “based on condition A” may be based on both a condition A and a condition B without departing from the scope of the present disclosure. In other words, as used herein, the phrase “based on” shall be construed in the same manner as the phrase “based at least in part on. ” Further, as used herein, including in the claims, a “set” may include one or more elements.

[0004] The devices (e.g., NE, UE) , processors, and methods of the present disclosure each have several innovative aspects, no single one of which is solely responsible for the desirable features disclosed herein.

[0005] An NE (e.g., a base station) for wireless communication is described. The NE may be configured to, capable of, or operable to perform one or more operations as described herein. For example, the NE may be configured to, capable of, or operable to transmit, to a server device associated with a vendor of the NE and based on a security key and a fully qualified domain name (FQDN) , a request for a first certificate, where the first certificate corresponds to the vendor, receive, from the server device associated with the vendor of the NE, the first certificate, transmit, to a server device associated with an operator of the NE and based on the first certificate, a request for a second certificate, where the second certificate corresponds to the operator, receive, from the server device associated with the operator of the NE, the second certificate, and establish a secure connection between the NE and a core network (CN) based on the first certificate and the second certificate.

[0006] A processor (e.g., a standalone processor chipset, or a component of an NE) for wireless communication is described. The processor may be configured to, capable of, or operable to perform one or more operations as described herein. For example, the processor may be configured to, capable of, or operable to transmit, to a server device associated with a vendor of the NE and based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, receive, from the server device associated with the vendor of the NE, the first certificate, transmit, to a server device associated with an operator of the NE and based on the first certificate, a request for a second certificate, where the second certificate corresponds to the operator, receive, from the server device associated with the operator of the NE, the second certificate, and establish a secure connection between the NE and a CN based on the first certificate and the second certificate.

[0007] A method performed or performable by an NE for wireless communication is described. The method may include transmitting, to a server device associated with a vendor of the NE and based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, receiving, from the server device associated with the vendor of the NE, the first certificate, transmitting, to a server device associated with an operator of the NE and based on the first certificate, a request for a second certificate, where the second certificate corresponds to the operator, receiving, from the server device associated with the operator of the NE, the second certificate, and establishing a secure connection between the NE and a CN based on the first certificate and the second certificate.

[0008] In some implementations of the NE, the processor, and the method described herein, the NE, the processor, and the method may further be configured to, capable of, or operable to obtain, prior to the request for the first certificate and from the server device associated with the vendor of the NE, the security key and the FQDN, generate a public-private security key pair including a public security key and a private security key, and establish, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, where the request is transmitted based on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and where the request includes the public security key and the FQDN. In some implementations of the NE, the processor, and the method described herein, the NE, the processor, and the method may further be configured to, capable of, or operable to generate a public-private security key pair including a public security key and a private security key, and sign the request for the second certificate with the private security key, where the request for the second certificate includes the first certificate, the public security key, and a parameter that indicates a uniqueness associated with signing the request for the second certificate. In some implementations of the NE, the processor, and the method described herein, to establish the secure connection between the NE and the CN, the NE, the processor, and the method may further be configured to, capable of, or operable to sign, using a private security key of a public-private security key pair, an authentication request, where the authentication request includes the first certificate, the second certificate, and identity information associated with the NE, and transmit the authentication request to a secure gateway (SEG) associated with the CN. In some implementations of the NE, the processor, and the method described herein, the first certificate and the second certificate are recorded at a blockchain.

[0009] In some implementations of the NE, the processor, and the method described herein, the NE, the processor, and the method may further be configured to, capable of, or operable to generate a public security key of a public-private security key pair, establish, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, transmit, based on the secure connection between the NE and the server device associated with the vendor of the NE, a request to update the first certificate, where the request to update the first certificate includes one or more of the public security key, the second certificate, or identity information associated with the NE, and receive, responsive to the request to update the first certificate, a third certificate to replace the first certificate, where the third certificate corresponds to the vendor. In some implementations of the NE, the processor, and the method described herein, the NE, the processor, and the method may further be configured to, capable of, or operable to generate a public security key of a public-private security key pair, sign, using a private security key of the public-private security key pair associated with the first certificate, a request to update the second certificate, transmit, to the server device associated with the operator of the NE, the request to update the second certificate, where the request to update the second certificate includes the first certificate, the public security key, and identity information associated with the NE, and receive, responsive to the request to update the second certificate, a third certificate to replace the second certificate, where the third certificate corresponds to the operator.

[0010] In some implementations of the NE, the processor, and the method described herein, the NE is within a defined geographical region, and where the NE, the processor, and the method may further be configured to, capable of, or operable to transmit, to a server device associated with a blockchain, a report including information, where the information includes at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, quality of service (QoS) data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE, and generate a block corresponding to the blockchain based on a validity of the information. In some implementations of the NE, the processor, and the method described herein, the NE, the processor, and the method may further be configured to, capable of, or operable to obtain a set of certificates associated with the vendor, where the set of certificates includes at least a third certificate and a fourth certificate, record the set of certificates at a blockchain, generate a public-private security key pair including a public security key and a private security key, sign a certificate request message with the private security key, where the certificate request message includes the public security key, the third certificate, and a freshness parameter associated with signing the certificate request message, transmit, to the server device associated with the operator, the certificate request message, and receive, responsive to the certificate request message, a fifth certificate, where the fifth certificate is associated with the operator.

[0011] In some implementations of the NE, the processor, and the method described herein, the NE, the processor, and the method may further be configured to, capable of, or operable to generate an additional public-private security key pair including an additional public security key and an additional private security key, sign a certificate update request message with the additional private security key, where the certificate update request message includes the additional public security key, the fourth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message, transmit, to the server device associated with the operator, the certificate update request message, and receive, responsive to the certificate update request message, a sixth certificate to replace the fifth certificate, where the sixth certificate is associated with the operator.

[0012] A server device associated with a vendor of an NE (e.g., a vendor certificate authority (CA) or other device implanted by the vendor) for wireless communication is described. The server device may be configured to, capable of, or operable to perform one or more operations as described herein. For example, the server device may be configured to, capable of, or operable to receive, based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, transmit the first certificate to the NE, and record the first certificate at a blockchain.

[0013] A processor (e.g., a standalone processor chipset, or a component of a server device associated with a vendor of an NE) for wireless communication is described. The processor may be configured to, capable of, or operable to perform one or more operations as described herein. For example, the processor may be configured to, capable of, or operable to receive, based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, transmit the first certificate to the NE, and record the first certificate at a blockchain.

[0014] A method performed or performable by a server device associated with a vendor of an NE for wireless communication is described. The method may include receiving, based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, transmitting the first certificate to the NE, and recording the first certificate at a blockchain. In some implementations of the server device associated with the vendor, the processor, and the method described herein, the server device associated with the vendor, the processor, and the method may further be configured to, capable of, or operable to obtain, prior to the request for the first certificate, the security key and the FQDN, and establish, using the security key, a secure connection between the server device associated with the vendor and the NE, where the request is received based on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and where the request includes a public security key of a public-private security key pair and the FQDN.

[0015] In some implementations of the server device associated with the vendor, the processor, and the method described herein, the server device associated with the vendor, the processor, and the method may further be configured to, capable of, or operable to establish, using the security key, a secure connection between the server device associated with the vendor and the NE, receive, based on the secure connection between the server device associated with the vendor and the NE, a request to update the first certificate, where the request to update the first certificate includes one or more of a public security key of a public-private security key pair, a second certificate associated with an operator of the NE, or identity information associated with the NE, generate, based on the one or more of the public security key, the second certificate, or the identify information associated with the NE being valid, a third certificate, where the third certificate corresponds to the vendor, transmit, responsive to the request to update the first certificate, the third certificate to replace the first certificate, and record the third certificate at the blockchain. In some implementations of the server device associated with the vendor, the processor, and the method described herein, the server device associated with the vendor, the processor, and the method may further be configured to, capable of, or operable to obtain a set of certificates associated with the vendor, where the set of certificates includes at least a third certificate and a fourth certificate, and record at least the third certificate and the fourth certificate at the blockchain.

[0016] A server device associated with an operator of an NE (e.g., an operator CA or other device implanted by the operator) for wireless communication is described. The server device may be configured to, capable of, or operable to perform one or more operations as described herein. For example, the server device may be configured to, capable of, or operable to receive, based on a first certificate corresponding to a vendor of the NE, a request for a second certificate, where the second certificate corresponds to the operator, transmit, to a server device associated with a blockchain, a request to validate the first certificate, receive, responsive to the request to validate the first certificate, an indication of validity of the first certificate, transmit, to the NE and based on the validity of the first certificate, the second certificate, and record the second certificate at the blockchain.

[0017] A processor (e.g., a standalone processor chipset, or a component of a server device associated with an operator of an NE) for wireless communication is described. The processor may be configured to, capable of, or operable to perform one or more operations as described herein. For example, the processor may be configured to, capable of, or operable to receive, based on a first certificate corresponding to a vendor of the NE, a request for a second certificate, where the second certificate corresponds to the operator, transmit, to a server device associated with a blockchain, a request to validate the first certificate, receive, responsive to the request to validate the first certificate, an indication of validity of the first certificate, transmit, to the NE and based on the validity of the first certificate, the second certificate, and record the second certificate at the blockchain.

[0018] A method performed or performable by a server device associated with an operator of an NE for wireless communication is described. The method may include receiving, based on a first certificate corresponding to a vendor of the NE, a request for a second certificate, where the second certificate corresponds to the operator, transmitting, to a server device associated with a blockchain, a request to validate the first certificate, receiving, responsive to the request to validate the first certificate, an indication of validity of the first certificate, transmitting, to the NE and based on the validity of the first certificate, the second certificate, and recording the second certificate at the blockchain.

[0019] In some implementations of the server device associated with the operator, the processor, and the method described herein, the server device associated with the operator, the processor, and the method may further be configured to, capable of, or operable to receive a request to update the second certificate, where the request to update the second certificate includes the first certificate, a public security key of a public-private security key pair, and identity information associated with the NE, transmit, to the server device associated with the blockchain, an additional request to validate the first certificate, receive, responsive to the additional request to validate the first certificate, an additional indication of validity of the first certificate, transmit, responsive to the request to update the second certificate and based on the validity of the first certificate, a third certificate to replace the second certificate, where the third certificate corresponds to the operator, and record the third certificate at the blockchain. In some implementations of the server device associated with the operator, the processor, and the method described herein, the NE is within a defined geographical region, and where the server device associated with the vendor, the processor, and the method may further be configured to, capable of, or operable to receive, from a server device associated with the blockchain and based on a validity of information, a report including the information, where the information includes at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, QoS data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE, and record the information at the blockchain.

[0020] In some implementations of the server device associated with the operator, the processor, and the method described herein, the server device associated with the operator, the processor, and the method may further be configured to, capable of, or operable to receive a certificate request message, where the certificate request message includes a public security key of a public-private security key pair, a third certificate, and a freshness parameter associated with a signature of the certificate request message, transmit, to the server device associated with the blockchain, a request to validate the third certificate, receive, responsive to the request to validate the third certificate, an indication of validity of the third certificate, transmit, responsive to the certificate request message and based on the validity of the third certificate, a fourth certificate, where the fourth certificate is associated with the operator, and record the fourth certificate at the blockchain. In some implementations of the server device associated with the operator, the processor, and the method described herein, the server device associated with the operator, the processor, and the method may further be configured to, capable of, or operable to receive a certificate update request message, where the certificate update request message includes an additional public security key of an additional public-private security key pair, a fifth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message, transmit, to the server device associated with the blockchain, a request to validate the fifth certificate, receive, responsive to the request to validate the fifth certificate, an indication of validity of the fifth certificate, transmit, responsive to the certificate update request message and based on the validity of the fifth certificate, a sixth certificate to replace the fourth certificate, where the sixth certificate is associated with the operator, and record the sixth certificate at the blockchain.

[0021] A CN for wireless communication is described. The CN may be configured to, capable of, or operable to perform one or more operations as described herein. For example, the CN may be configured to, capable of, or operable to receive a request to establish a secure connection between the CN and an NE based on a first certificate corresponding to a vendor of the NE and a second certificate corresponding to an operator of the NE, transmit, to a server device associated with a blockchain, a request to validate the first certificate and the second certificate, receive, responsive to the request to validate the first certificate and the second certificate, an indication of validity of the first certificate and the second certificate, and establish, based on the validity of the first certificate and the second certificate, the secure connection.

[0022] A processor (e.g., a standalone processor chipset, or a component of a CN) for wireless communication is described. The processor may be configured to, capable of, or operable to perform one or more operations as described herein. For example, the processor may be configured to, capable of, or operable to receive a request to establish a secure connection between the CN and an NE based on a first certificate corresponding to a vendor of the NE and a second certificate corresponding to an operator of the NE, transmit, to a server device associated with a blockchain, a request to validate the first certificate and the second certificate, receive, responsive to the request to validate the first certificate and the second certificate, an indication of validity of the first certificate and the second certificate, and establish, based on the validity of the first certificate and the second certificate, the secure connection.

[0023] A method performed or performable by a CN for wireless communication is described. The method may include receiving a request to establish a secure connection between the CN and an NE based on a first certificate corresponding to a vendor of the NE and a second certificate corresponding to an operator of the NE, transmitting, to a server device associated with a blockchain, a request to validate the first certificate and the second certificate, receiving, responsive to the request to validate the first certificate and the second certificate, an indication of validity of the first certificate and the second certificate, and establishing, based on the validity of the first certificate and the second certificate, the secure connection.BRIEF DESCRIPTION OF THE DRAWINGS

[0024] Figures 1 through 3 illustrate examples of wireless communications systems in accordance with aspects of the present disclosure.

[0025] Figures 4 through 10 illustrate examples of signaling diagrams, in accordance with aspects of the present disclosure.

[0026] Figure 11 illustrates an example of an NE in accordance with aspects of the present disclosure.

[0027] Figure 12 illustrates an example of a processor in accordance with aspects of the present disclosure.

[0028] Figure 13 illustrates an example of a server device in accordance with aspects of the present disclosure.

[0029] Figure 14 illustrates a flowchart of a method performed by an NE in accordance with aspects of the present disclosure.

[0030] Figure 15 illustrates a flowchart of a method performed by a server device associated with a vendor of an NE in accordance with aspects of the present disclosure.

[0031] Figure 16 illustrates a flowchart of a method performed by a server device in accordance with aspects of the present disclosure.

[0032] Figure 17 illustrates a flowchart of a method performed by a CN associated with an operator of an NE in accordance with aspects of the present disclosure.DETAILED DESCRIPTION

[0033] A wireless communications system may include one or more devices, such as UEs and NEs, that transmit and receive signaling. A vendor may supply an NE, such as a base station, to an operator of the wireless communications system and can manage one or more security protocols of the NE. An operator may manage and maintain a network infrastructure, including a CN and one or more interfaces between the CN and the NE. The NE can implement the security protocols to protect signaling exchanged via the interfaces, including certificate authentication for a security key exchange. In a certificate enrolment and authentication process, the vendor configures the NE with an initial certificate signed by the vendor. The operator uses a root certificate of the vendor to verify the vendor-signed certificate and to issue a new certificate to the NE. After registration, the NE can use the operator-signed certificate for authentication.

[0034] During registration, a public-private key pair that the NE uses relies on the initially installed vendor-signed certificate. Once the NE completes registration using the vendor-signed certificate, the vendor is no longer involved in the authentication and certificate management process. As the vendor no longer participates in certificate management after the initial certificate is provisioned, inherent hardware failures with the NE are often difficult to identify effectively. The NE certificate update relies on the old operator-signed certificate in the initial enrolment. Thus, the NE may store the initial certificate for an extended period, which can lead to loss of the initial certificate. If the certificate is lost, then the NE may be unable to obtain updated security keys and certificates. Further, there is a lack of reliable data sources to effectively identify violations and evaluate a trustworthiness of the NE.

[0035] As described herein, to improve identification of hardware failures, inefficiencies related to losing operator-signed certificates, and evaluation of trustworthiness of the NE, the NE can implement multiple certificates for establishing a secure connection with a CN. For example, the NE can request a vendor-signed certificate from a server device of the vendor using a defined (e.g., pre-installed, preconfigured, configured) security key and FQDN. The vendor can issue a vendor-signed certificate and record the vendor-signed certificate at a blockchain. The blockchain may refer to a distributed ledger system implemented across one or more devices (e.g., the NE and / or one or more server devices) that provides a secure record of transactions, including certificate issuance and validation transactions. The NE can use the vendor-signed certificate to request an operator-signed certificate from a server device of the operator. The operator verifies the vendor-signed certificate at the blockchain and issues an operator-signed certificate if the vendor-signed certificate is successfully verified. The operator records the operator-signed certificate at the blockchain. The NE can use both the vendor-signed certificate and the operator-signed certificate to establish a secure connection with the CN.

[0036] By performing the described techniques, a device in a wireless communications system can enhance security and reliability in certificate management processes. The use of multiple certificates from both the vendor and operator, as well as a blockchain, may improve a traceability of certificate issuance and validation, as the transactions are recorded at the blockchain. Improving the traceability of certificate issuance and validation may reduce or prevent unauthorized certificate modifications or issuances. Additionally, or alternatively, implementing multiple certificates improves a trustworthiness of the NE, as both the vendor and operator perform validation of certificates before establishing secure connections. The use of multiple certificates from both the vendor and operator improves efficiency in certificate updates and renewals, as the NE may use the vendor-signed certificate to request a new or updated operator-signed certificate. The use of multiple certificates also provides for an additional layer of security due to a malicious actor being unable to gain access to the NE using a single certificate. The regular reporting of NE status information, configuration parameters, and security data to the blockchain may provide for an operator and / or a vendor to detect anomalies or potential hardware failures, leading to reduced latency in failure resolution and enhanced network reliability.

[0037] Reference is made herein to communicating data or information, such as signaling communication resources and / or communications that are transmitted or received between devices. It is to be appreciated that other terms may be used interchangeably with communicating, such as signaling, transmitting, receiving, outputting, forwarding, retrieving, obtaining, and so forth.

[0038] Aspects of the present disclosure are described in the context of a wireless communications system. Aspects of the present disclosure are further set forth in the accompanying drawings and the description below. The description set forth herein, in connection with the accompanying drawings, describes example implementations and does not represent all the implementations that may be implemented or that are within the scope of the claims. The detailed description includes specific details for the purpose of providing an understanding of the described implementations. These implementations, however, may be practiced without these specific details. Additionally, the description set forth herein, in connection with the accompanying drawings is provided to enable a person having ordinary skill in the art to make or use the present disclosure. Various modifications to the disclosure will be apparent to a person having ordinary skill in the art, and the generic principles defined herein may be applied to other variations without departing from the scope of the present disclosure. Thus, the present disclosure is not limited to the examples and implementations described herein but is to be accorded the broadest scope consistent with the principles and novel features disclosed herein.

[0039] Figure 1 illustrates an example of a wireless communications system 100 in accordance with aspects of the present disclosure. The wireless communications system 100 may include one or more NEs 102, one or more UEs 104, and a CN 106. The wireless communications system 100 may support various radio access technologies. In some implementations, the wireless communications system 100 may be a 4G network, such as an LTE network or an LTE-Advanced (LTE-A) network. In some other implementations, the wireless communications system 100 may be a NR network, such as a 5G network, a 5G-Advanced (5G-A) network, or a 5G ultrawideband (5G-UWB) network. In other implementations, the wireless communications system 100 may be a combination of a 4G network and a 5G network, or other suitable radio access technology including Institute of Electrical and Electronics Engineers (IEEE) 802.11 (Wi-Fi) , IEEE 802.16 (WiMAX) , IEEE 802.20. The wireless communications system 100 may support radio access technologies beyond 5G, for example, 6G. Additionally, the wireless communications system 100 may support technologies, such as time division multiple access (TDMA) , frequency division multiple access (FDMA) , or code division multiple access (CDMA) , etc.

[0040] The one or more NEs 102 may be dispersed throughout a geographic region to form the wireless communications system 100. One or more of the NEs 102 described herein may be or include or may be referred to as a network node, a base station, an access point (AP) , a network element, a network function, a network entity, network infrastructure (or infrastructure) , a radio access network (RAN) , a NodeB, an eNodeB (eNB) , a next-generation NodeB (gNB) , or other suitable terminology. An NE 102 and a UE 104 may communicate via a communication link, which may be a wireless or wired connection. For example, an NE 102 and a UE 104 may perform wireless communication (e.g., receive signaling, transmit signaling) over a Uu interface.

[0041] An NE 102 may provide a geographic coverage area for which the NE 102 may support services for one or more UEs 104 within the geographic coverage area. For example, an NE 102 and a UE 104 may support wireless communication of signals related to services (e.g., voice, video, packet data, messaging, broadcast, etc. ) according to one or multiple radio access technologies. In some implementations, an NE 102 may be moveable, for example, a satellite associated with a non-terrestrial network (NTN) . In some implementations, different geographic coverage areas associated with the same or different radio access technologies may overlap, but the different geographic coverage areas may be associated with different NE 102.

[0042] The one or more UEs 104 may be dispersed throughout a geographic region of the wireless communications system 100. A UE 104 may include or may be referred to as a remote unit, a mobile device, a wireless device, a remote device, a subscriber device, a transmitter device, a receiver device, or some other suitable terminology. In some implementations, the UE 104 may be referred to as a unit, a station, a terminal, or a client, among other examples. Additionally, or alternatively, the UE 104 may be referred to as an Internet-of-Things (IoT) device, an Internet-of-Everything (IoE) device, or machine-type communication (MTC) device, among other examples.

[0043] A UE 104 may be able to support wireless communication directly with other UEs 104 over a communication link. For example, a UE 104 may support wireless communication directly with another UE 104 over a device-to-device (D2D) communication link. In some implementations, such as vehicle-to-vehicle (V2V) deployments, vehicle-to-everything (V2X) deployments, or cellular-V2X deployments, the communication link may be referred to as a sidelink. For example, a UE 104 may support wireless communication directly with another UE 104 over a PC5 interface.

[0044] An NE 102 may support communications with the CN 106, or with another NE 102, or both. For example, an NE 102 may interface with other NE 102 or the CN 106 through one or more backhaul links (e.g., S1, N2, N6, or other network interface) . In some implementations, the NE 102 may communicate with each other directly. In some other implementations, the NE 102 may communicate with each other indirectly (e.g., via the CN 106) . In some implementations, one or more NEs 102 may include subcomponents, such as an access network entity, which may be an example of an access node controller (ANC) . An ANC may communicate with the one or more UEs 104 through one or more other access network transmission entities, which may be referred to as a radio heads, smart radio heads, or transmission-reception points (TRPs) .

[0045] In some implementations, an NE 102 may be configured in a disaggregated architecture, which may be configured to utilize a protocol stack physically or logically distributed among two or more NEs 102, such as an integrated access backhaul (IAB) network, an open RAN (O-RAN) (e.g., a network configuration sponsored by the O-RAN Alliance) , or a virtualized RAN (vRAN) (e.g., a cloud RAN (C-RAN) ) . For example, an NE 102 may include one or more of a central unit (CU) , a distributed unit (DU) , a radio unit (RU) , a RAN Intelligent Controller (RIC) (e.g., a Near-Real Time RIC (Near-RT RIC) , a Non-Real Time RIC (Non-RT RIC) ) , a Service Management and Orchestration (SMO) system, or any combination thereof.

[0046] An RU may also be referred to as a radio head, a smart radio head, a remote radio head (RRH) , a remote radio unit (RRU) , or a transmission reception point (TRP) . One or more components of the NEs 102 in a disaggregated RAN architecture may be co-located, or one or more components of the NEs 102 may be located in distributed locations (e.g., separate physical locations) . In some implementations, one or more NEs 102 of a disaggregated RAN architecture may be implemented as virtual units (e.g., a virtual CU (VCU) , a virtual DU (VDU) , a virtual RU (VRU) ) .

[0047] Split of functionality between a CU, a DU, and an RU may be flexible and may support different functionalities depending upon which functions (e.g., network layer functions, protocol layer functions, baseband functions, radio frequency functions, and any combinations thereof) are performed at a CU, a DU, or an RU. For example, a functional split of a protocol stack may be employed between a CU and a DU, such that the CU may support one or more layers of the protocol stack and the DU may support one or more different layers of the protocol stack. In some implementations, the CU may host upper protocol layer (e.g., a layer 3 (L3) , a layer 2 (L2) ) functionality and signaling (e.g., Radio Resource Control (RRC) , service data adaption protocol (SDAP) , Packet Data Convergence Protocol (PDCP) ) . The CU may be connected to one or more DUs or RUs, and the one or more DUs or RUs may host lower protocol layers, such as a layer 1 (L1) (e.g., physical (PHY) layer) or an L2 (e.g., radio link control (RLC) layer, medium access control (MAC) layer) functionality and signaling, and may each be at least partially controlled by the CU.

[0048] Additionally, or alternatively, a functional split of the protocol stack may be employed between a DU and an RU such that the DU may support one or more layers of the protocol stack and the RU may support one or more different layers of the protocol stack. The DU may support one or multiple different cells (e.g., via one or more RUs) . In some implementations, a functional split between a CU and a DU, or between a DU and an RU may be within a protocol layer (e.g., some functions for a protocol layer may be performed by one of a CU, a DU, or an RU, while other functions of the protocol layer are performed by a different one of the CU, the DU, or the RU) .

[0049] A CU may be functionally split further into CU control plane (CU-CP) and CU user plane (CU-UP) functions. A CU may be connected to one or more DUs via a midhaul communication link (e.g., F1, F1-c, F1-u) , and a DU may be connected to one or more RUs via a fronthaul communication link (e.g., open fronthaul (FH) interface) . In some implementations, a midhaul communication link or a fronthaul communication link may be implemented in accordance with an interface (e.g., a channel) between layers of a protocol stack supported by respective NEs 102 that are in communication via such communication links.

[0050] The CN 106 may support user authentication, access authorization, tracking, connectivity, and other access, routing, or mobility functions. The CN 106 may be an evolved packet core (EPC) , or a 5G core (5GC) , which may include a control plane entity that manages access and mobility (e.g., a mobility management entity (MME) , an access and mobility management functions (AMF) ) and a user plane entity that routes packets or interconnects to external networks (e.g., a serving gateway (S-GW) , a packet data network (PDN) gateway (P-GW) , or a user plane function (UPF) ) . In some implementations, the control plane entity may manage non-access stratum (NAS) functions, such as mobility, authentication, and bearer management (e.g., data bearers, signal bearers, etc. ) for the one or more UEs 104 served by the one or more NEs 102 associated with the CN 106.

[0051] The CN 106 may communicate with a packet data network over one or more backhaul links (e.g., via an S1, N2, N6, or other network interface) . The packet data network may include an application server. In some implementations, one or more UEs 104 may communicate with the application server. A UE 104 may establish a session (e.g., a protocol data unit (PDU) session, or the like) with the CN 106 via an NE 102. The CN 106 may route traffic (e.g., control information, data, and the like) between the UE 104 and the application server using the established session (e.g., the established PDU session) . The PDU session may be an example of a logical connection between the UE 104 and the CN 106 (e.g., one or more network functions of the CN 106) .

[0052] In the wireless communications system 100, the NEs 102 and the UEs 104 may use resources of the wireless communications system 100 (e.g., time resources (e.g., symbols, slots, subframes, frames, or the like) or frequency resources (e.g., subcarriers, carriers) ) to perform various operations (e.g., wireless communications) . In some implementations, the NEs 102 and the UEs 104 may support different resource structures. For example, the NEs 102 and the UEs 104 may support different frame structures. In some implementations, such as in 4G, the NEs 102 and the UEs 104 may support a single frame structure. In some other implementations, such as in 5G and among other suitable radio access technologies, the NEs 102 and the UEs 104 may support various frame structures (i.e., multiple frame structures) . The NEs 102 and the UEs 104 may support various frame structures based on one or more numerologies.

[0053] One or more numerologies may be supported in the wireless communications system 100, and a numerology may include a subcarrier spacing and a cyclic prefix. A first numerology (e.g., μ=0) may be associated with a first subcarrier spacing (e.g., 15 kHz) and a normal cyclic prefix. In some implementations, the first numerology (e.g., μ=0) associated with the first subcarrier spacing (e.g., 15 kHz) may utilize one slot per subframe. A second numerology (e.g., μ=1) may be associated with a second subcarrier spacing (e.g., 30 kHz) and a normal cyclic prefix. A third numerology (e.g., μ=2) may be associated with a third subcarrier spacing (e.g., 60 kHz) and a normal cyclic prefix or an extended cyclic prefix. A fourth numerology (e.g., μ=3) may be associated with a fourth subcarrier spacing (e.g., 120 kHz) and a normal cyclic prefix. A fifth numerology (e.g., μ=4) may be associated with a fifth subcarrier spacing (e.g., 240 kHz) and a normal cyclic prefix.

[0054] A time interval of a resource (e.g., a communication resource) may be organized according to frames (also referred to as radio frames) . Each frame may have a duration, for example, a 10 millisecond (ms) duration. In some implementations, each frame may include multiple subframes. For example, each frame may include 10 subframes, and each subframe may have a duration, for example, a 1 ms duration. In some implementations, each frame may have the same duration. In some implementations, each subframe of a frame may have the same duration.

[0055] Additionally, or alternatively, a time interval of a resource (e.g., a communication resource) may be organized according to slots. For example, a subframe may include a number (e.g., quantity) of slots. The number of slots in each subframe may also depend on the one or more numerologies supported in the wireless communications system 100. For instance, the first, second, third, fourth, and fifth numerologies (i.e., μ=0, μ=1, μ=2, μ=3, μ=4) associated with respective subcarrier spacings of 15 kHz, 30 kHz, 60 kHz, 120 kHz, and 240 kHz may utilize a single slot per subframe, two slots per subframe, four slots per subframe, eight slots per subframe, and 16 slots per subframe, respectively. Each slot may include a number (e.g., quantity) of symbols (e.g., OFDM symbols) . In some implementations, the number (e.g., quantity) of slots for a subframe may depend on a numerology. For a normal cyclic prefix, a slot may include 14 symbols. For an extended cyclic prefix (e.g., applicable for 60 kHz subcarrier spacing) , a slot may include 12 symbols. The relationship between the number of symbols per slot, the number of slots per subframe, and the number of slots per frame for a normal cyclic prefix and an extended cyclic prefix may depend on a numerology. It should be understood that reference to a first numerology (e.g., μ=0) associated with a first subcarrier spacing (e.g., 15 kHz) may be used interchangeably between subframes and slots.

[0056] In the wireless communications system 100, an electromagnetic (EM) spectrum may be split, based on frequency or wavelength, into various classes, frequency bands, frequency channels, etc. By way of example, the wireless communications system 100 may support one or multiple operating frequency bands, such as frequency range designations FR1 (410 MHz –7.125 GHz) , FR2 (24.25 GHz –52.6 GHz) , FR3 (7.125 GHz –24.25 GHz) , FR4 (52.6 GHz –114.25 GHz) , FR4a or FR4-1 (52.6 GHz –71 GHz) , and FR5 (114.25 GHz –300 GHz) . In some implementations, the NEs 102 and the UEs 104 may perform wireless communications over one or more of the operating frequency bands. In some implementations, FR1 may be used by the NEs 102 and the UEs 104, among other equipment or devices for cellular communications traffic (e.g., control information, data) . In some implementations, FR2 may be used by the NEs 102 and the UEs 104, among other equipment or devices for short-range, high data rate capabilities.

[0057] FR1 may be associated with one or multiple numerologies (e.g., at least three numerologies) . For example, FR1 may be associated with a first numerology (e.g., μ=0) , which includes 15 kHz subcarrier spacing; a second numerology (e.g., μ=1) , which includes 30 kHz subcarrier spacing; and a third numerology (e.g., μ=2) , which includes 60 kHz subcarrier spacing. FR2 may be associated with one or multiple numerologies (e.g., at least 2 numerologies) . For example, FR2 may be associated with a third numerology (e.g., μ=2) , which includes 60 kHz subcarrier spacing; and a fourth numerology (e.g., μ=3) , which includes 120 kHz subcarrier spacing.

[0058] In some examples, a vendor may be an entity that manufactures, supplies, or provides NEs 102 to be used in the wireless communications system 100. For example, a vendor may be a third-party entity that produces base stations, gNBs, or other network infrastructure components. The vendor may be responsible for initial configuration and security setup of the NE 102, including pre-installing certificates or security keys. In some cases, the vendor may maintain one or more server devices that interact with the NE 102, such as to perform certificate management, software updates, or performance monitoring.

[0059] In some cases, an operator may be an entity that manages and maintains an infrastructure of the wireless communications system 100. An operator can include, but is not limited to, a telecommunications provider, mobile network operators, or internet service providers. The operator may deploy and operate the NE 102 provided by the vendor, as well as manage a network security and performance. In some examples, the operator may maintain one or more server devices that interact with the NE 102, such as to perform authentication, certificate issuance, and network configuration.

[0060] The NE 102, the server devices of the operator, and / or the server devices of the vendor may implement a blockchain. A blockchain refers to a distributed ledger system that provides a secure and immutable record of transactions or events. The NE 102, the server devices of the operator, and / or the server devices of the vendor may use the blockchain to record and verify certificate issuances, updates, and revocations. The blockchain may be implemented across multiple server devices and may be operated by different entities, such as vendors, operators, or third-party service providers.

[0061] In some examples, an NE 102 may establish interfaces with various devices in the network infrastructure (e.g., the CN 106 and / or one or more server devices in the wireless communications system 100) through secure communication protocols. For example, the NE may use transport layer security (TLS) , internet protocol (IP) security (IPsec) , or encapsulating security payload (ESP) , among other examples, to establish secure connections with a CN 106, a server device of the vendor, a server device of the operator, or a server device implementing the blockchain. The NE 102 can use the interfaces for certificate requests, updates, and verifications. In some cases, the NE 102 may use different protocols or security processes for different types of interactions, such as using a pre-shared security key for initial communication with a server device of the vendor and a certificate-based authentication for subsequent interactions with a server device of the operator.

[0062] The NE 102, the server devices, and / or the CN 106 in the wireless communications system 100 may implement one or more security keys for establishing secure connections. For example, the NE 102, the server devices, and / or the CN 106 may implement public key infrastructure (PKI) , which includes using digital certificates. A digital certificate, also referred to as a certificate, is an electronic document that binds a public security key of a public-private security key pair to an identity of a device. The certificates may be issued by trusted CAs and can be used to verify the authenticity of devices or users in the wireless communications system 100. In some examples, an NE 102 can attempt to connect to a CN 106 by presenting a defined (e.g., preconfigured, pre-installed by the vendor) certificate to prove an identity of the NE 102. The NE 102 can sign the certificate using a private security key of a public-private security key pair. The CN 106 may verify the authenticity of the certificate by checking a digital signature of the certificate using a public security key of the public-private security key pair and a validity period of the certificate. If the certificate is verified successfully (e.g., authentic) , then the CN 106 can establish a secure connection with the NE 102. IF the certificate is not verified successfully (e.g., not authentic) , then the CN 106 may request additional information from the NE 102 and / or may not establish the secure connection with the NE 102. The NE 102 and / or the CN 106 can use the certificates in conjunction with other security protocols, such as TLS and / or IPsec, to encode or encrypt communications and ensure data integrity.

[0063] In some examples, an operator manages authentication and identity verification of an NE 102, which leads to possible security failures in the wireless communications system 100. As the vendor, which is responsible for the security of the NE 102, no longer participates in certificate management after the initial certificate is provisioned, inherent hardware issues (e.g., problems, failures) with the NE 102 are often difficult to identify effectively. Additionally, or alternatively, a certificate update at an NE 102 relies on an old operator-signed certificate in initial enrolment. Thus, the NE 102 stores the initial certificate for an extended period. If the certificate is lost, updating the security keys and certificates may be difficult. Further, there is a lack of reliable data sources to assess the behavior of the NE 102. The review mechanism is inadequate, and the regulatory process lacks transparency, leading to a failure to identify the violations and evaluate the trustworthiness of the NE 102.

[0064] According to implementations, one or more of the NEs 102, server devices, and / or a CN 106 are operable to implement various aspects of the techniques described with reference to the present disclosure. For example, an NE 102 and a CN 106 can implement multiple certificates, including a vendor-signed certificate and an operator-signed certificate, to establish a secure connection. The vendor and operator can collaboratively manage the identity security of the NE 102, ensuring security from multiple devices. The certificate-related transactions are recorded on a blockchain, and certificate authentication is executed automatically (e.g., without further device input or user input) through smart contracts. A smart contract is a self-executing program stored at the blockchain that enforces and executes the terms of an agreement or transaction, such as certificate validation and authentication processes.

[0065] In the dual-certificate model, the certificate updating process is more flexible, which ensures the real-time and validity of the certificate. For the vendor-signed certificate, the update strategy uses a defined security key at the NE 102 to obtain a new certificate and replace an existing certificate. For the operator-signed certificate, updates may not be based on an old operator-signed certificate, but on a validity of a latest vendor-signed certificate. If the vendor-signed certificate is valid, then the operator can update the operator-signed certificate, thereby enhancing the security and flexibility of the wireless communications system 100. Additionally, or alternatively, the NEs 102 in the wireless communications system 100 may use a supervision chain to provide for multiple regulatory entities (operators, manufacturers, etc. ) to share security risk reports in real time (e.g., with less than a threshold latency or delay) .

[0066] Reference is made herein to communicating data or information, such as signaling communication resources and / or communications that are transmitted or received between devices. It is to be appreciated that other terms may be used interchangeably with communicating, such as signaling, transmitting, receiving, outputting, forwarding, retrieving, obtaining, and so forth.

[0067] Figure 2 illustrates an example wireless communications system 200 in accordance with aspects of the present disclosure. In some examples, the wireless communications system 200 implements or is implemented by aspects of the wireless communications system 100. For example, the wireless communications system 200 may include an NE 102-a, which may be an example of an NE 102 as described with reference to Figure 1. The NE 102-amay establish one or more interfaces with a registration authority or CA 202 and an SEG 204. The registration authority or CA 202 may be an example of a server device of an operator, as described with reference to Figure 1. The SEG 204 may be implemented by a CN, such as a CN 106 as described with reference to Figure 1.

[0068] An SEG 204 may be a network component that acts as a secure entry point for communication between different network domains. The SEG 204 may be implemented as part of a CN or may function as an interface between the CN and other network elements (e.g., the NE 102-a) . The SEG 204 may manage security associations, handle encryption and decryption of data traffic, and enforce security policies for communications to or from the CN. In some examples, the NE 102-amay establish an interface 206 between the NE 102-aand the registration authority or CA 202. The interface 206 may be an example of an interface that implements certificate management protocol version 2 (CMPv2) . In some cases, the NE 102-amay establish an interface 208 between the NE 102-aand the SEG 204. The interface 208 may be an example of an interface that implements IPsec. CMPv2 is a protocol for managing digital certificates, including operations such as certificate enrollment, update, and revocation. IPsec includes one or more protocols designed to secure IP communications by authenticating and encrypting IP data packets in a data stream.

[0069] In some cases, the NE 102-aconnects to the CN using an N2 and an N3 interface. The N2 interface connects a RAN and an AMF, and is responsible for transmitting control signaling, including authentication and user mobility management. The N3 interface is responsible for transmitting user data between the NE 102-aand the CN. To ensure interface security, the interfaces may be protected using IPsec and ESP for encryption with internet key exchange (IKE) version 2 (IKEv2) certificates-based authentication for mutual security key exchange. The interface security processes ensure the security and privacy of user data while also ensuring the integrity and confidentiality of network operations.

[0070] In a certificate enrolment and authentication process, an NE 102-ais pre-installed (preconfigured, signaled, hardcoded, etc. ) with a certificate signed by the vendor (e.g., a pre-installed vendor-signed certificate 210) . An operator, which may be the registration authority or CA 202, uses a root certificate of the vendor (e.g., the pre-installed vendor root certificate 212) to verify the pre-installed vendor-signed certificate 210 and issues a new certificate to the NE 102-a. For example, the NE 102-aobtains the operator-signed certificate using the pre-installed vendor-signed certificate 210 and a public security key received from the registration authority or CA 202 using CMPv2. After registration, the NE 102-acan use the operator-signed certificate for authentication with an SEG 204 that stores a pre-installed operator root certificate 214 using IKE and / or IPsec. During the authentication process, a public-private security key pair of the NE 102-arelies on the pre-installed vendor-signed certificate 210. Once the NE 102-acompletes registration using the pre-installed vendor-signed certificate 210, the vendor is no longer involved in the authentication and certificate management process.

[0071] While this mechanism ensures the authentication of the NE 102-a, several potential issues remain. For example, some hardware issues of the NE 102-amay be detectable by the vendor and not the operator or other devices in the wireless communications system 200. The vendor may detect a batch of NEs have the same security vulnerabilities. However, the vendor may be unable to manage the identity and security of the NEs after initial deployment, because the vendor-signed certificate is not verified during the authentication process. Revoking the status of a vendor-signed certificate cannot prevent the authentication, leading to delays in responding to potential security risks. Additionally, or alternatively, the authentication process may rely on a single certificate chain (e.g., from vendor-signed certificate to operator-signed certificate) . If the vendor-signed certificate fails or is compromised (e.g., the pre-installed vendor-signed certificate 210) , then the pre-installed vendor-signed certificate 210 may be difficult to restore, leading to a security failure at the wireless communications system 200.

[0072] Figure 3 illustrates an example wireless communications system 300 in accordance with aspects of the present disclosure. In some examples, the wireless communications system 300 implements or is implemented by aspects of the wireless communications system 100 and the wireless communications system 200. For example, the wireless communications system 300 may include an NE 102-b, which may be an example of an NE 102 as described with reference to Figure 1. The wireless communications system 300 may also include a registration authority or CA 302 and an SEG 304, which may be examples of the corresponding devices and entities as described with reference to Figure 2. The NE 102-b may establish an interface 306 with a registration authority or CA 302 and an interface 308 with an SEG 304, which may be examples of the interface 206 and the interface 208 that implement one or more security processes and protocols, as described with reference to Figure 2.

[0073] In a certificate update process, if an NE 102-b initiates renewal of a certificate, then the registration authority or CA 302 verifies an identity of the NE 102-b based on an old operator-signed certificate 310 at the NE 102-b (e.g., the certificate to be updated) . After identity authentication, the registration authority or CA 302 issues a new certificate 312 for the NE 102-b, which may be similar to an initial registration process, as described with reference to Figure 2. The NE 102-b can use the new operator-signed certificate (e.g., the new certificate 312) to prove an identity of the NE 102-b for a subsequent certificate update process. The NE 102-b can use the new certificate 312 for authentication with an SEG 204 that stores a pre-installed operator root certificate 314.

[0074] However, using a single operator-signed certificate as proof for certificate updates presents one or more security risks. For example, if the certificate is leaked, then a malicious actor can forge a new certificate update request to replace a public-private security key pair. Once a CA fails or the security key is lost, then any existing certificate becomes invalid. Thus, an NE 102-b may be unable to perform an update process or fault recovery operation based on the existing certificates.

[0075] Figure 4 illustrates an example of a signaling diagram 400 in accordance with aspects of the present disclosure. In some examples, the signaling diagram 400 implements or is implemented by aspects of the wireless communications system 100, the wireless communications system 200, and the wireless communications system 300. The signaling diagram 400 may implement or be implemented by an NE 102-c, a vendor 402 (e.g., a server device or other device of the vendor 402, vendor CA) , an operator 404 (e.g., a server device or other device of the operator 404, operator CA) , and a blockchain 406 (e.g., a server device or other device that implements the blockchain 406) , which may be examples of the corresponding devices as described with reference to Figures 1 through 3. For example, the NE 102-c may perform a certificate enrollment or registration process to obtain a vendor-signed certificate from the vendor 402 and an operator-signed certificate from the operator 404. Alternative examples of the following may be implemented, where some processes are performed in a different order than described or are not performed. In some cases, processes may include additional features not mentioned below, or further processes may be added.

[0076] In some examples, the signaling diagram 400 illustrates an example of NE 102-c certificate enrolment and authentication process using a blockchain 406, providing a distributed and secure authentication solution for an NE 102-c. The authentication process can include dual-certificate authentication. For example, by verifying both a vendor-signed certificate and an operator-signed certificate, referred to as a dual-certificate or dual certificates, during an authentication process, the NE 102-c, the vendor 402, and the operator 404 achieves dual assurance, enhancing the reliability and security of the authentication procedure.

[0077] If the NE 102-c is registering to a network (e.g., a CN) , then the NE 102-c obtains a certificate from a vendor 402. The NE 102-c uses the certificate from the vendor 402 to apply for an operator-signed certificate from the operator 404. Both certificates are stored on the blockchain 406.

[0078] At 408, the NE 102-c obtains a pre-shared security key and FQDN (e.g., prior to requesting a certificate from the vendor 402 and / or the operator 404) . For example, the vendor 402 provides the NE 102-c with a globally unique FQDN and a secure key pre-shared between the vendor 402 and the NE 102-c (e.g., pre-installed, preconfigured, hardcoded, signaled) . The NE 102-c may store the security key in a highly secure module (e.g., a secure element) , where the security key may not be accessible without authorized access. The vendor 402 may deploy a trusted execution environment (TEE) along with the NE 102-c. The NE 102-c may perform the storage and execution of the security key in the TEE environment. The TEE may return the results of cryptographic calculations without being read or interrupted by an outer TEE environment.

[0079] In some cases, the NE 102-c generates a public-private security key pair and applies to the vendor 402 for a certificate corresponding to the public security key. For example, at 410, the NE 102-c establishes a secure connection or session between the NE 102-c and the vendor 402 using the pre-shared security key (e.g., based on a TLS-pre-shared key based authentication and secure session establishment) and transmits a request for a vendor certificate. The request for the vendor certificate includes the FQDN as the basis for proving the identity of the NE 102-c to the vendor 402, as well as the public security key. The vendor 402 can use the public security key of the NE 102-c to verify messages signed using the private security key of the NE 102-c.

[0080] At 412, upon receiving the certificate request message, the vendor 402 verifies the pre-shared security key and issues the vendor-signed certificate in a certificate response message.

[0081] At 414, the vendor 402 records (e.g., uploads) the vendor-signed certificate at the blockchain 406. The vendor-signed certificate is recorded immutably using a smart contract at the blockchain 406. The transaction type of the smart contract is certificate issuance.

[0082] At 416, the NE 102-c can request an operator-signed certificate from the operator 404. For example, the NE 102-c can generate a new public-private key pair and apply to the  operator 404 for the operator-signed certificate corresponding to the public security key with the vendor-signed certificate. The operator 404 trusts a vendor root certificate. The NE 102-c can sign the certificate request message with the private security key to provide a proof of possession of the private security key associated to the public security key in the vendor-signed certificate. The request for the operator-signed certificate can include, but is not limited to, the vendor-signed certificate, a new generated public security key, and / or a freshness parameter (e.g., a NONCE parameter, a counter, a random number, or the like to ensure the uniqueness of the signature and to avoid replay attacks) .

[0083] At 418, the operator 404 requests certificate verification of the vendor-signed certificate from the blockchain 406. For example, the operator 404 checks the correctness of a signature of the request for the operator-signed certificate and generates (e.g., creates) a transaction calling a smart contract to request the blockchain 406 to indicate whether the vendor-signed certificate is valid. The transaction type of the smart contract is certificate authentication.

[0084] At 420, the blockchain 406 verifies the vendor-signed certificate. For example, the blockchain 406 sequentially checks the vendor-signed certificate, including checking whether the vendor-signed certificate has been revoked, verifying the vendor-signed certificate signature using the root certificate of the vendor, and checking whether a validity period of the vendor-signed certificate has expired.

[0085] At 422, the blockchain 406 sends the verification (e.g., authentication) result to the operator 404. The verification result includes an indication of whether the authentication is successful or failed. If the authentication fails, then the verification result also includes a reason for failure. The blockchain 406 encrypts the verification result using a public security key of the operator 404 corresponding to a certificate of the operator 404 for protection (e.g., the certificates of operator 404 and vendor 402 are all upload to blockchain 406 before) .

[0086] The operator 404 can decrypt the message using a private security key corresponding to the certificate of the operator 404. If the authentication is successful, then at 424, the operator 404 issues the operator-signed certificate to the NE 102-c corresponding to the public security key that the NE 102-c generated at 416.

[0087] At 426, the operator 404 records (e.g., uploads) the operator-signed certificate at the blockchain 406. The blockchain 406 records the operator-signed certificate immutably through the smart contract. The transaction type of the smart contract is certificate issuance.

[0088] Figure 5 illustrates an example of a signaling diagram 500 in accordance with aspects of the present disclosure. In some examples, the signaling diagram 500 implements or is implemented by aspects of the wireless communications system 100, the wireless communications system 200, the wireless communications system 300, and the signaling diagram 400. The signaling diagram 500 may implement or be implemented by an NE 102-d, an SEG 502, and a blockchain 504 (e.g., a server device or other device that implements the blockchain 504) , which may be examples of the corresponding devices as described with reference to Figures 1 through 4. For example, the NE 102-d may perform a certificate authentication process to establish a secure connection with a CN via the SEG 502. Alternative examples of the following may be implemented, where some processes are performed in a different order than described or are not performed. In some cases, processes may include additional features not mentioned below, or further processes may be added.

[0089] Before establishing a secure connection between the NE 102-d and the SEG 502 of a CN (e.g., of any next generation system 5G advanced, 6G, or so on) , the NE 102-d undergoes identity verification. The NE 102-d presents two certificates as proof of identity, including a vendor-signed certificate and an operator-signed certificate, and the SEG 502 checks the validity of the certificates through the blockchain 504. Based on the authentication result, the SEG 502 determines whether to establish a secure connection (e.g., IPsec tunnel) with the NE 102-d.

[0090] At 506, the NE 102-d sends a request for authentication to the SEG 502 using a vendor-signed certificate and an operator-signed certificate. For example, the NE 102-d initiates an authentication request to the SEG 502. The request includes identity information of the NE 102-d (e.g., a FQND, a serial number, a geographic location of the NE 102-d, a product batch of the NE 102-d, and / or a product manufacturing or release date of the NE 102-d, among other examples) , along with a most current vendor-signed certificate and a most current operator-signed certificate. The NE 102-d signs the request using a private security key corresponding to a public security key from the operator-signed certificate before sending the request to the SEG 502.

[0091] After receiving the request, at 508, the SEG 502 uses the public security key of the NE 102-d from the operator-signed certificate to verify the integrity of the request message. Verifying the integrity of the request message includes insuring an authenticity of the request message and confirming that the request message has not been tampered with during transmission.

[0092] At 510, the SEG 502 request verification of the vendor-signed certificate and the operator-signed certificate from the blockchain 504. For example, the SEG 502 creates a transaction to invoke the smart contract for identity verification. The transaction includes authentication request information of the NE 102-d, which is then packaged and sent to the blockchain 504.

[0093] Upon receiving the transaction, at 512, the blockchain 504 verifies the vendor-signed certificate and the operator-signed certificate (e.g., the dual certificates) . For example, the blockchain 504 checks whether both the dual-certificates (e.g., vendor-signed certificate and operator-signed) are registered on the blockchain 504 checks the status of both certificates to ensure that the certificate has not been revoked. Additionally, or alternatively, the blockchain 504 validates the received dual certificates using a root certificate of an operator and a root certificate of a vendor, respectively. Additionally, or alternatively, the blockchain 504 verifies whether the dual certificates are still within the validity period. Additionally, or alternatively, the blockchain 504 checks a bad behavior record on the blockchain 504 for the NE 102-d based on security information provided by the NE 102-d, which is described in further detail with respect to Figure 8.

[0094] At 514, the blockchain 504 sends verification result to the SEG 502. For example, the blockchain 504 responds to the SEG 502 with a confirmation message indicating that the identity of the NE 102-d has been successfully verified or may provide a message indicating that the identity of the NE 102-d is not successfully verified and a reason for authentication failure.

[0095] If the authentication is successful, then at 516, the SEG 502 establishes a secure connection (e.g., IPsec tunnel) between the CN and the NE 102-d. The NE 102-d and the CN may use the secure connection for subsequent secure communications.

[0096] The blockchain 504-based dual certificate management mechanism enhances the security and flexibility of certificate management. For example, implementing multiple certificates (e.g., a vendor-signed certificate and an operator-signed certificate) introduces the vendor into NE 102-d identity management, leading to an identity of the NE 102-d being jointly authenticated by both the vendor and the operator before joining a network. Thus, the vendor may identify one or more potential security issues (e.g., risks, problems, failures) with the NE 102-d, such as factory setting problems or hardware defects. By involving the vendor in certificate management, the vendor can promptly revoke the certificates of affected NEs, thereby enhancing the reliability and security of identity authentication. Through TEE technology, a pre-shared security key can be kept and securely executed under hardware-level safety. Thus, the initialization process is more secure relative to a pre-installed vendor-signed certificate.

[0097] Figure 6 illustrates an example of a signaling diagram 600 in accordance with aspects of the present disclosure. In some examples, the signaling diagram 600 implements or is implemented by aspects of the wireless communications system 100, the wireless communications system 200, the wireless communications system 300, the signaling diagram 400, and the signaling diagram 500. The signaling diagram 600 may implement or be implemented by an NE 102-e, a vendor 602 (e.g., a server device or other device of the vendor 602, a vendor CA) , and a blockchain 604 (e.g., a server device or other device that implements the blockchain 604) , which may be examples of the corresponding devices as described with reference to Figures 1 through 5. For example, the NE 102-e may perform a certificate update process to obtain an updated vendor-signed certificate from the vendor 602. Alternative examples of the following may be implemented, where some processes are performed in a different order than described or are not performed. In some cases, processes may include additional features not mentioned below, or further processes may be added.

[0098] In some examples, an NE 102-e may update a current or existing certificate (e.g., a vendor-signed certificate and / or an operator-signed certificate) . The NE 102-e can prove an identity of the NE 102-e using an operator-signed certificate and a vendor-signed certificate, which reduces or eliminates the administrative burden associated with long-term retention of an original certificate (e.g., a pre-installed vendor-signed certificate) and streamlines the certificate and key renewal processes.

[0099] At 606, an NE 102-e can establish a secure connection with the vendor 602 and can request an updated vendor-signed certificate. For example, the NE 102-e generates or prepares update information, including a new public security key for the updated vendor-signed certificate. The NE 102-e extracts the pre-shared security key and FQDN pre-installed (e.g., preconfigured, pre-set) in an initial configuration of the NE 102-e. The pre-shared security key and the FQDN are closely bound to the identity of the NE 102-e. The NE 102-e uses the pre-shared security key to establish a secure connection or session based on TLS-PSK based authentication. The NE 102-e sends a certificate update request to the vendor 602. The request includes one or more of the identity information of the NE 102-e (e.g., FQDN, location, production batch, production date, and so on) , the new public security key, or optionally a latest operator-signed certificate based on a policy of the vendor 602.

[0100] At 608, the vendor 602 verifies an identity of the NE 102-e and generates an updated vendor-signed certificate. For example, after receiving the request, the vendor 602 verifies whether the pre-shared security key matches the registered information of the NE 102-e. In some cases, the vendor can verify a latest (e.g., current) operator-signed certificate as an additional verification process. If the verification is successful (e.g., passes) , then the vendor 602 generates an updated or new vendor-signed certificate based on the identity information, the new public security key, security standards, and certificate format criterion selected by the vendor 602. The updated vendor-signed certificate includes an updated validity period, a digital signature, and defined information related to the NE 102-e (e.g., a FQND and other identity information) to ensure a uniqueness and identifiability of the vendor-signed certificate.

[0101] At 610, the vendor 602 issues the updated vendor-signed certificate to the NE 102-e. The NE 102-e stores the updated vendor-signed certificate in a local, secure data storage and replaces the original or current vendor-signed certificate.

[0102] At 612, the vendor 602 records (e.g., uploads) the updated vendor-signed certificate to the blockchain 604. For example, the blockchain 604 records the vendor-signed certificate according to established protocols and data formats. After the uploading is completed, the vendor 602 receives feedback from the blockchain 604. The feedback can include a confirmation that the updated vendor-signed certificate has been successfully recorded at the blockchain 604. Once the vendor 602 receives the feedback, the vendor-signed certificate update process is complete.

[0103] Figure 7 illustrates an example of a signaling diagram 700 in accordance with aspects of the present disclosure. In some examples, the signaling diagram 700 implements or is implemented by aspects of the wireless communications system 100, the wireless communications system 200, the wireless communications system 300, the signaling diagram 400, the signaling diagram 500, and the signaling diagram 600. The signaling diagram 700 may implement or be implemented by an NE 102-f, an operator 702 (e.g., a server device or other device of the operator 702, an operator CA) , and a blockchain 704 (e.g., a server device or other device that implements the blockchain 704) , which may be examples of the corresponding devices as described with reference to Figures 1 through 6. For example, the NE 102-f may perform a certificate update process to obtain an updated operator-signed certificate from the operator 702. Alternative examples of the following may be implemented, where some processes are performed in a different order than described or are not performed. In some cases, processes may include additional features not mentioned below, or further processes may be added.

[0104] In some examples, an NE 102-f may update a current or existing certificate (e.g., a vendor-signed certificate and / or an operator-signed certificate) . The NE 102-f can update the operator-signed certificate based on a validity of the vendor-signed certificate, rather than the previous operator-signed certificate. The operator-signed certificate can be updated anytime as long as the vendor-signed certificate is valid, which provides greater flexibility in updating operator-signed certificates independent of an expiration or revocation of a current (e.g., old) operator-signed certificate.

[0105] At 706, the NE 102-f sends a request for an updated operator-signed certificate to the operator 702. For example, the NE 102-f sends an operator-signed certificate update request to the operator 702. The request includes identity information of the NE 102-f (e.g., an updated public security key) , the vendor-signed certificate, and update information (e.g., an FQDN, location, production batch, production date, and so on) . The NE 102-f signs the request using the private security key corresponding to the public security key from vendor-signed certificate before sending the request to the operator 702.

[0106] At 708, the operator 702 sends a request for verification of a vendor-signed certificate to the blockchain 704. For example, the operator 702 generates (e.g., creates) a transaction to invoke the smart contract to query the validity of the vendor-signed certificate of the NE 102-f. The blockchain 704 executes the process of verifying the vendor-signed certificate. For example, the blockchain 704 checks whether the NE 102-f is on a bad behavior record at the blockchain 704. Additionally, or alternatively, the blockchain 704 checks whether the vendor-signed certificate is registered at the blockchain 704 and that the status of the certificate has not been revoked. Additionally, or alternatively, the blockchain 704 validates the vendor-signed certificate using a root certificate of the vendor. Additionally, or alternatively, the blockchain 704 verifies whether the certificate is still within a validity period.

[0107] At 710, the blockchain 704 sends a verification result to the operator 702. If the verification is successful, then at 712, the operator 702 generates an updated or new operator-signed certificate. For example, the operator 702 generates the updated operator-signed certificate using a certificate issuance strategy and security standards (e.g., criterion) of the operator 702. The updated operator-signed certificate includes defined information related to one or more services of the operator 702 (network access permissions, service level identifiers, etc. ) , as well as a new validity period and a digital signature.

[0108] At 714, the operator 702 issues the updated operator-signed certificate to the NE 102-f.The NE 102-f stores the updated operator-signed certificate at a local, secure data storage and replaces the original or current operator-signed certificate with the updated operator-signed certificate.

[0109] At 716, the operator 702 records (e.g., uploads) the updated operator-signed certificate at the blockchain 704. For example, the operator 702 records the updated operator-signed certificate according to established protocols and data formats. After the uploading is completed, the operator 702 and / or the NE 102-f receive feedback from the blockchain 704 that includes a confirmation of recording the updated operator-signed certificate at the blockchain 704. Once the operator 702 and / or the NE 102-f receives the feedback, the vendor-signed certificate update process is complete.

[0110] The NE 102-f can update a vendor-signed certificate and / or an operator-signed certificate based on a real-time identity of the NE 102-f and can respond to trust issues within a threshold duration for failure recovery. The certificate authentication includes on-chain confirmation and a dual certificate verification mechanism, which improves the security of the NE 102-f.

[0111] Figure 8 illustrates an example of a signaling diagram 800 in accordance with aspects of the present disclosure. In some examples, the signaling diagram 800 implements or is implemented by aspects of the wireless communications system 100, the wireless communications system 200, the wireless communications system 300, the signaling diagram 400, the signaling diagram 500, the signaling diagram 600, and the signaling diagram 700. The signaling diagram 800 may implement or be implemented by one or more NEs in an NE group 802 (e.g., including an NE 102-g) , supervision blockchain 804 (e.g., a server device or other device that implements the supervision blockchain 804) , an operator 806 (e.g., a server device or other device of the operator 806, an operator network) , and an authentication blockchain 808 (e.g., a server device or other device that implements the authentication blockchain 808) , which may be examples of the corresponding devices as described with reference to Figures 1 through 7. For example, the NE 102-g may implement a supervision blockchain to record, validate, and share security-related information from the NEs in the NE group 802. Alternative examples of the following may be implemented, where some processes are performed in a different order than described or are not performed. In some cases, processes may include additional features not mentioned below, or further processes may be added.

[0112] In some examples, the NEs in the NE group 802 may be within a defined geographical area. For example, the NEs may be within a threshold distance from one another or may be within a geographic region configured by one or more operators and vendors (e.g., a tracking area) . The NE group 802 may maintain a consensus mechanism to ensure the accuracy of security-related information. The consensus mechanism includes multiple parties and / or devices, such as the operator 806 and vendors, maintaining a blockchain to ensure real-time visibility and collaboration in addressing potential security issues. The NE group 802 can maintain a supervision blockchain 804. The supervision blockchain 804 summarizes security issues across all of the NEs within the NE group 802. The NEs can report fixed feature information at regular intervals (e.g., periodically, according to a periodicity) . The fixed feature information can include, but is not limited to, NE basic status information, configuration parameters, payload information, QoS data, and security data, among other examples. Additionally, or alternatively, the NEs can report a timestamp of the report, signed system state information for the NEs, or signed system security state information (e.g., NE software package or configuration information can be referred as NE state information) , among other examples.

[0113] The NE basic status information can include a cell identifier, tracking area codes (TAC) , location coordinates, coverage radius, and / or surrounding NE information, which is used to track and manage the NEs, ensuring consistent operation of the network. The NE basic status information also facilitates inter-cell handover and roaming capabilities, ensuring communication continuity for users on the move. The configuration parameters can include a transmit power, access restrictions, and / or scheduling policies, which are used to ensure a fair allocation and efficient use of wireless resources, protecting network resources from malicious attacks and misuse. The payload information can include resource utilization and / or a number (e.g., numerical quantity, amount) of users, among other examples, which is used to monitor resource utilization for load balancing. The QoS data can include signal strength, uplink and downlink delays, throughput, packet loss rate, noise level, and / or the authenticity and integrity of data packets. The QoS data reflects various aspects of network performance and user experience, helping the operator 806 to assess and improve network performance, ensuring that the user experience meets established QoS criterion (e.g., standards) . The security data can include alerts, fault information, error logs, logs of abnormal messages or behavior experienced or received over a radio resource control (RRC) connection, abnormal messages received over a user plane (UP) connection, violations of RRC and UP message, violation of N2 connections, violations of N3 connections, violations of Xn connections along with respective connection end-point addresses. The security data can help operators promptly detect and respond to network security threats, as well as assist in identifying potential security threats or faults.

[0114] In some cases, each NE in the NE group 802 may achieve consensus on a validity of the reported information. For example, the NEs in the NE group 802 can implement a voting-based blockchain consensus method, such as practical byzantine fault tolerance (PBFT) . Once consensus is reached, an elected NE from the NE group 802 (e.g., the NE 102-g) creates a new block including the validated security information.

[0115] At 810, the NE 102-g establishes a supervision blockchain 804. At 812, the NE 102-g reports the security information to the supervision blockchain 804. For example, the NE 102-g periodically reports the fixed feature information, which can include validated security information. At 814, the supervision blockchain 804 generates a block including validated security information. At 816, the NE 102-g can send the validated security information to the operator 806 via the supervision blockchain 804.

[0116] At 818, the operator 806 (e.g., a CA of the operator 806) records the validated security information at an authentication blockchain 808, which establishes a security supervision mechanism. During an NE authentication process, as described with reference to Figure 5, the validated security data at the supervision blockchain 804 is also checked (e.g., verified) . If any NE in the NE group 802 is compromised, then the NE authentication can be rejected.

[0117] The consensus mechanism using the supervision blockchain 804 establishes a security process that can be shared in real time among multiple NEs in an NE group 802, operators, and vendors. The reports are preprocessed at the NEs to reduce redundant information and are recorded in an immutable ledger at the supervision blockchain 804. The information in the reports is also recorded in the authentication blockchain 808 of vendors and operators, enabling security risk information to be shared among the multiple regulated parties or entities. The NEs, operators, and vendors may optionally implement the consensus mechanism.

[0118] Figure 9 illustrates an example of a signaling diagram 900 in accordance with aspects of the present disclosure. In some examples, the signaling diagram 900 implements or is implemented by aspects of the wireless communications system 100, the wireless communications system 200, the wireless communications system 300, the signaling diagram 400, the signaling diagram 500, the signaling diagram 600, the signaling diagram 700, and the signaling diagram 800. The signaling diagram 900 may implement or be implemented by an NE 102-h, a vendor 902 (e.g., e.g., a server device or other device of the vendor 902, a vendor CA) , an operator 904 (e.g., e.g., a server device or other device of the operator 904, an operator CA) , and a blockchain 906 (e.g., a server device or other device that implements the blockchain 906) , which may be examples of the corresponding devices as described with reference to Figures 1 through 8. For example, the NE 102-h, the vendor 902, and the operator 904 may use multiple certificates for authentication and certificate recovery. Alternative examples of the following may be implemented, where some processes are performed in a different order than described or are not performed. In some cases, processes may include additional features not mentioned below, or further processes may be added.

[0119] In some cases, at 908, a vendor 902 can pre-install (e.g., pre-provision, preconfigure, define) an initialization certificate and a recovery certificate at the NE 102-h. Pre-installing a certificate, a security key, and / or an FQDN can include hardcoding the information at the NE 102-h during manufacturing, transmitting the information to the NE 102-h after deployment of the NE 102-h, or manually providing the information to the NE 102-h. The NE 102-h can be pre-installed with two vendor-signed certificates, including the initialization certificate for initializing the operator-signed certificate and the recovery certificate for updating or recovering the operator-signed certificate (e.g., if an operator-signed certificate is compromised) . The NE 102-h may use an operator-signed certificate, while reducing authentication redundancy. Both initial certificates can include basic information related to the NE 102-h, including serial number, location, production batch, production date, and so on.

[0120] At 910, the vendor 902 can record the initialization certificate and the recovery certificate at the blockchain 906. For example, the vendor 902 can upload both vendor-signed initial certificates to the blockchain 906, and the blockchain 906 can immutably record the certificates through a smart contract.

[0121] At 912, the NE 102-h can request an operator-signed certificate. For example, the NE 102-h generates a new public-private security key pair and uses the initialization certificate to request an operator-signed certificate from the operator 904 (e.g., where the operator 904 trusts a root certificate of the vendor 902 before the initialization process) . The NE 102-h signs the certificate request message with a private security key of the public-private security key pair corresponding to the initialization certificate, proving possession of the associated private security key. The certificate request message can include, but is not limited to, the initialization certificate, the newly generated public security key, and a freshness parameter (e.g., a NONCE parameter, a counter, a random number) to prevent replay attacks. The NE 102-h transmits (e.g., sends) the signed message to the operator 904.

[0122] At 914, the operator 904 request verification of the initialization certificate from the blockchain 906. For example, the operator 904 verifies the correctness of the message signature through the initialization certificate and then initiates a blockchain transaction via a smart contract to validate the authenticity of the initialization certificate.

[0123] At 916, the blockchain 906 verifies the initialization certificate. For example, the blockchain 906 sequentially checks whether the vendor-signed initialization certificate has been revoked, verifies the signature of the initialization certificate using the root certificate of the vendor 902, and ensures that the initialization certificate is not expired.

[0124] At 918, the blockchain 906 returns the verification result. The verification result indicates a success or failure of the verification of the vendor-signed initialization certificate. If the verification fails, then the blockchain 906 may also return a reason for failure.

[0125] If the verification is successful, then at 920, the operator 904 issues an operator-signed certificate. The operator-signed certificate corresponds to the public security key generated by the NE 102-h at 912. The operator 904 encrypts the new, operator-signed certificate using the public security key corresponding to the operator-signed certificate, and returns the operator-signed certificate to the NE 102-h. The operator-signed certificate can include the basic information related to the NE 102-h, such as serial number, location, production batch, production date, and so on.

[0126] At 922, the operator 904 records (e.g., uploads) the operator-signed certificate at the blockchain 906. The blockchain 906 immutably records the operator-signed certificate through a smart contract.

[0127] Figure 10 illustrates an example of a signaling diagram 1000 in accordance with aspects of the present disclosure. In some examples, the signaling diagram 1000 implements or is implemented by aspects of the wireless communications system 100, the wireless communications system 200, the wireless communications system 300, the signaling diagram 400, the signaling diagram 500, the signaling diagram 600, the signaling diagram 700, the signaling diagram 800, and the signaling diagram 900. The signaling diagram 1000 may implement or be implemented by an NE 102-i, an operator 1002 (e.g., e.g., a server device or other device of the operator 1002, an operator CA) , and a blockchain 1004 (e.g., a server device or other device that implements the blockchain 1004) , which may be examples of the corresponding devices as described with reference to Figures 1 through 9. For example, the NE 102-i and the operator 1002 may use multiple certificates for authentication and certificate recovery. Alternative examples of the following may be implemented, where some processes are performed in a different order than described or are not performed. In some cases, processes may include additional features not mentioned below, or further processes may be added.

[0128] At 1006, the NE 102-i can obtain (e.g., receive, download, access) a pre-installed recovery certificate. For example, a vendor can pre-install (e.g., pre-provision, preconfigure, define) an initialization certificate and a recovery certificate at the NE 102-i. If an operator-signed certificate is to be updated (e.g., expires or is compromised) or if a security key is lost, then the NE 102-i prepares a new public-private security key pair. The NE 102-i extracts the recovery certificate pre-installed in an initial configuration.

[0129] At 1008, the NE 102-i sends a request to update the operator-signed certificate to the operator 1002. For example, the NE 102-i uses the private security key corresponding to the recovery certificate to generate a signature and send a certificate update or recovery request to the operator 1002. The request includes identity information of an NE 102-i, such as serial number, location, production batch, and production date, among other examples. Additionally, or alternatively, the request includes a new public security key, optionally an operator-signed certificate (e.g., not included for a recovery process) , and / or an additional freshness parameter (e.g., a NONCE parameter, a counter, a random number) to prevent replay attacks. The NE 102-i signs the request with the private security key corresponding to the recovery certificate, proving possession of the associated private security key.

[0130] At 1010, the operator 1002 transmits a request for verification of the recovery certificate to the blockchain 1004. The operator 1002 verifies the correctness of the request message signature through the recovery certificate and then initiates a blockchain transaction via a smart contract to validate an authenticity of the recovery certificate. If the request message is an update request, then the operator 1002 may also request for the blockchain 1004 to validate the old (e.g., current) operator-signed certificate (e.g., in a same process or message as the recovery certificate) .

[0131] At 1012, the blockchain 1004 verifies the recovery certificate and optionally the old operator-signed certificate. For example, the blockchain 1004 sequentially checks whether the vendor-signed recovery certificate and / or the old operator-signed certificate have been revoked, verifies the signature of the vendor-signed recovery certificate and / or the old operator-signed certificate using a root certificate of the vendor and / or a root certificate of the operator 1002, respectively, and ensures the vendor-signed recovery certificate and / or the old operator-signed certificate are not expired.

[0132] At 1014, the blockchain 1004 returns the verification result, indicating success or failure of the verification of the vendor-signed recovery certificate and / or the old operator-signed certificate. If verification of either certificate fails, then the blockchain 1004 may also include a reason for failure in the verification result.

[0133] If verification is successful, then at 1016, the operator 1002 issues an updated (e.g., new) operator-signed certificate. For example, the operator 1002 issues a new operator-signed certificate corresponding to the new public security key generated by the NE 102-i at 1006 for the request at 1008. The operator 1002 encrypts the new certificate using a public security key corresponding to the newly generated operator-signed certificate, and returns the new certificate to the NE 102-i. The operator-signed certificate can include basic information related to the NE 102-i, including serial number, location, production batch, production date, and so on. In some cases, the basic information can be configured and / or updated.

[0134] At 1018, the operator 1002 records the updated operator-signed certificate at the blockchain 1004. For example, the operator 1002 uploads the new operator-signed certificate to the blockchain 1004, and the blockchain 1004 immutably records the new operator-signed certificate through a smart contract.

[0135] Figure 11 illustrates an example of an NE 1100 in accordance with aspects of the present disclosure. The NE 1100 may include a processor 1102, a memory 1104, a controller 1106, and a transceiver 1108. The processor 1102, the memory 1104, the controller 1106, or the transceiver 1108, or various combinations thereof or various components thereof may be examples of means for performing various aspects of the present disclosure as described herein. These components may be coupled (e.g., operatively, communicatively, functionally, electronically, electrically) via one or more interfaces. The NE 1100 may be an example of a base station, gNB, CN, SEG, or any other network function, entity, or device.

[0136] The processor 1102, the memory 1104, the controller 1106, or the transceiver 1108, or various combinations or components thereof may be implemented in hardware (e.g., circuitry) . The hardware may include a processor, a digital signal processor (DSP) , an application-specific integrated circuit (ASIC) , or other programmable logic device, or any combination thereof configured as or otherwise supporting a means for performing the functions described in the present disclosure.

[0137] The processor 1102 may include an intelligent hardware device (e.g., a general-purpose processor, a DSP, a central processing unit (CPU) , an ASIC, a field-programmable gate array (FPGA) , or any combination thereof) . In some implementations, the processor 1102 may be configured to operate the memory 1104. In some other implementations, the memory 1104 may be integrated into the processor 1102. The processor 1102 may be configured to execute computer-readable instructions stored in the memory 1104 to cause the NE 1100 to perform various functions of the present disclosure.

[0138] The memory 1104 may include volatile or non-volatile memory. The memory 1104 may store computer-readable, computer-executable code including instructions when executed by the processor 1102 cause the NE 1100 to perform various functions described herein. The code may be stored in a non-transitory computer-readable medium such as the memory 1104 or another type of memory. Computer-readable media includes both non-transitory computer storage media and communication media including any medium that facilitates transfer of a computer program from one place to another. A non-transitory storage medium may be any available medium that may be accessed by a general-purpose or special-purpose computer.

[0139] In some implementations, the processor 1102 and the memory 1104 coupled with the processor 1102 may be configured to cause the NE 1100 to perform one or more of the functions described herein (e.g., executing, by the processor 1102, instructions stored in the memory 1104) . For example, the processor 1102 may support wireless communication at the NE 1100 in accordance with examples as disclosed herein. The NE 1100 may be configured to or operable to support a means for transmitting, to a server device associated with a vendor of the NE and based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, receiving, from the server device associated with the vendor of the NE, the first certificate, transmitting, to a server device associated with an operator of the NE and based on the first certificate, a request for a second certificate, where the second certificate corresponds to the operator, receiving, from the server device associated with the operator of the NE, the second certificate, and establishing a secure connection between the NE and a CN based on the first certificate and the second certificate.

[0140] Additionally, the NE 1100 may be configured to or operable to support any one or combination of obtaining, prior to the request for the first certificate and from the server device associated with the vendor of the NE, the security key and the FQDN, generating a public-private security key pair including a public security key and a private security key, and establishing, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, where the request is transmitted based on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and where the request includes the public security key and the FQDN. Additionally, or alternatively, the NE 1100 may be configured to or operable to support generating a public-private security key pair including a public security key and a private security key, and signing the request for the second certificate with the private security key, where the request for the second certificate includes the first certificate, the public security key, and a parameter that indicates a uniqueness associated with signing the request for the second certificate. Additionally, or alternatively, the NE 1100 may be configured to or operable to support signing, using a private security key of a public-private security key pair, an authentication request, where the authentication request includes the first certificate, the second certificate, and identity information associated with the NE, and transmitting the authentication request to an SEG associated with the CN. Additionally, or alternatively, the NE 1100 may be configured to or operable to support the first certificate and the second certificate are recorded at a blockchain.

[0141] Additionally, or alternatively, the NE 1100 may be configured to or operable to support generating a public security key of a public-private security key pair, establishing, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, transmitting, based on the secure connection between the NE and the server device associated with the vendor of the NE, a request to update the first certificate, where the request to update the first certificate includes one or more of the public security key, the second certificate, or identity information associated with the NE, and receiving, responsive to the request to update the first certificate, a third certificate to replace the first certificate, where the third certificate corresponds to the vendor. Additionally, or alternatively, the NE 1100 may be configured to or operable to support generating a public security key of a public-private security key pair, signing, using a private security key of the public-private security key pair associated with the first certificate, a request to update the second certificate, transmitting, to the server device associated with the operator of the NE, the request to update the second certificate, where the request to update the second certificate includes the first certificate, the public security key, and identity information associated with the NE, and receiving, responsive to the request to update the second certificate, a third certificate to replace the second certificate, where the third certificate corresponds to the operator.

[0142] Additionally, or alternatively, the NE 1100 may be configured to or operable to support transmitting, to a server device associated with a blockchain, a report including information, where the information includes at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, QoS data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE, and generating a block corresponding to the blockchain based on a validity of the information. Additionally, or alternatively, the NE 1100 may be configured to or operable to support obtaining a set of certificates associated with the vendor, where the set of certificates includes at least a third certificate and a fourth certificate, recording the set of certificates at a blockchain, generating a public-private security key pair including a public security key and a private security key, signing a certificate request message with the private security key, where the certificate request message includes the public security key, the third certificate, and a freshness parameter associated with signing the certificate request message, transmitting, to the server device associated with the operator, the certificate request message, and receiving, responsive to the certificate request message, a fifth certificate, where the fifth certificate is associated with the operator. Additionally, or alternatively, the NE 1100 may be configured to or operable to support generating an additional public-private security key pair including an additional public security key and an additional private security key, signing a certificate update request message with the additional private security key, where the certificate update request message includes the additional public security key, the fourth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message, transmitting, to the server device associated with the operator, the certificate update request message, and receiving, responsive to the certificate update request message, a sixth certificate to replace the fifth certificate, where the sixth certificate is associated with the operator.

[0143] Additionally, or alternatively, the NE 1100 may support at least one memory (e.g., the memory 1104) and at least one processor (e.g., the processor 1102) coupled with the at least one memory and configured to cause the NE to transmit, to a server device associated with a vendor of the NE and based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, receive, from the server device associated with the vendor of the NE, the first certificate, transmit, to a server device associated with an operator of the NE and based on the first certificate, a request for a second certificate, where the second certificate corresponds to the operator, receive, from the server device associated with the operator of the NE, the second certificate, and establish a secure connection between the NE and a CN based on the first certificate and the second certificate.

[0144] Additionally, the NE 1100 may be configured to support any one or combination of to obtain, prior to the request for the first certificate and from the server device associated with the vendor of the NE, the security key and the FQDN, generate a public-private security key pair including a public security key and a private security key, and establish, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, where the request is transmitted based on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and where the request includes the public security key and the FQDN. Additionally, or alternatively, the NE 1100 may be configured to support to generate a public-private security key pair including a public security key and a private security key, and sign the request for the second certificate with the private security key, where the request for the second certificate includes the first certificate, the public security key, and a parameter that indicates a uniqueness associated with signing the request for the second certificate. Additionally, or alternatively, the NE 1100 may be configured to support to sign, using a private security key of a public-private security key pair, an authentication request, where the authentication request includes the first certificate, the second certificate, and identity information associated with the NE, and transmit the authentication request to an SEG associated with the CN.

[0145] Additionally, or alternatively, the NE 1100 may be configured to support the first certificate and the second certificate are recorded at a blockchain. Additionally, or alternatively, the NE 1100 may be configured to support to generate a public security key of a public-private security key pair, establish, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, transmit, based on the secure connection between the NE and the server device associated with the vendor of the NE, a request to update the first certificate, where the request to update the first certificate includes one or more of the public security key, the second certificate, or identity information associated with the NE, and receive, responsive to the request to update the first certificate, a third certificate to replace the first certificate, where the third certificate corresponds to the vendor. Additionally, or alternatively, the NE 1100 may be configured to support to generate a public security key of a public-private security key pair, sign, using a private security key of the public-private security key pair associated with the first certificate, a request to update the second certificate, transmit, to the server device associated with the operator of the NE, the request to update the second certificate, where the request to update the second certificate includes the first certificate, the public security key, and identity information associated with the NE, and receive, responsive to the request to update the second certificate, a third certificate to replace the second certificate, where the third certificate corresponds to the operator.

[0146] Additionally, or alternatively, the NE 1100 may be configured to support to transmit, to a server device associated with a blockchain, a report including information, where the information includes at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, QoS data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE, and generate a block corresponding to the blockchain based on a validity of the information. Additionally, or alternatively, the NE 1100 may be configured to support to obtain a set of certificates associated with the vendor, where the set of certificates includes at least a third certificate and a fourth certificate, record the set of certificates at a blockchain, generate a public-private security key pair including a public security key and a private security key, sign a certificate request message with the private security key, where the certificate request message includes the public security key, the third certificate, and a freshness parameter associated with signing the certificate request message, transmit, to the server device associated with the operator, the certificate request message, and receive, responsive to the certificate request message, a fifth certificate, where the fifth certificate is associated with the operator. Additionally, or alternatively, the NE 1100 may be configured to support to generate an additional public-private security key pair including an additional public security key and an additional private security key, sign a certificate update request message with the additional private security key, where the certificate update request message includes the additional public security key, the fourth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message, transmit, to the server device associated with the operator, the certificate update request message, and receive, responsive to the certificate update request message, a sixth certificate to replace the fifth certificate, where the sixth certificate is associated with the operator.

[0147] Additionally, the processor 1102 may support wireless communication at the NE 1100 in accordance with examples as disclosed herein. The NE 1100 may be configured to or operable to support a means for receiving a request to establish a secure connection between a CN (e.g., the NE 1100) and an NE based on a first certificate corresponding to a vendor of the NE and a second certificate corresponding to an operator of the NE, transmitting, to a server device associated with a blockchain, a request to validate the first certificate and the second certificate, receiving, responsive to the request to validate the first certificate and the second certificate, an indication of validity of the first certificate and the second certificate, and establishing, based on the validity of the first certificate and the second certificate, the secure connection.

[0148] Additionally, or alternatively, the NE 1100 may support at least one memory (e.g., the memory 1104) and at least one processor (e.g., the processor 1102) coupled with the at least one memory and configured to cause the NE to receive a request to establish a secure connection between a CN (e.g., the NE 1100) and an NE based on a first certificate corresponding to a vendor of the NE and a second certificate corresponding to an operator of the NE, transmit, to a server device associated with a blockchain, a request to validate the first certificate and the second certificate, receive, responsive to the request to validate the first certificate and the second certificate, an indication of validity of the first certificate and the second certificate, and establish, based on the validity of the first certificate and the second certificate, the secure connection.

[0149] The controller 1106 may manage input and output signals for the NE 1100. The controller 1106 may also manage peripherals not integrated into the NE 1100. In some implementations, the controller 1106 may utilize an operating system such as or other operating systems. In some implementations, the controller 1106 may be implemented as part of the processor 1102.

[0150] In some implementations, the NE 1100 may include at least one transceiver 1108. In some other implementations, the NE 1100 may have more than one transceiver 1108. The transceiver 1108 may represent a wireless transceiver. The transceiver 1108 may include one or more receiver chains 1110, one or more transmitter chains 1112, or a combination thereof.

[0151] A receiver chain 1110 may be configured to receive signals (e.g., control information, data, packets) over a wireless medium. For example, the receiver chain 1110 may include one or more antennas to receive a signal over the air or wireless medium. The receiver chain 1110 may include at least one amplifier (e.g., a low-noise amplifier (LNA) ) configured to amplify the received signal. The receiver chain 1110 may include at least one demodulator configured to demodulate the receive signal and obtain the transmitted data by reversing the modulation technique applied during transmission of the signal. The receiver chain 1110 may include at least one decoder for decoding the demodulated signal to receive the transmitted data.

[0152] A transmitter chain 1112 may be configured to generate and transmit signals (e.g., control information, data, packets) . The transmitter chain 1112 may include at least one modulator for modulating data onto a carrier signal, preparing the signal for transmission over a wireless medium. The at least one modulator may be configured to support one or more techniques such as amplitude modulation (AM) , frequency modulation (FM) , or digital modulation schemes like phase-shift keying (PSK) or quadrature AM (QAM) . The transmitter chain 1112 may also include at least one power amplifier configured to amplify the modulated signal to an appropriate power level suitable for transmission over the wireless medium. The transmitter chain 1112 may also include one or more antennas for transmitting the amplified signal into the air or wireless medium.

[0153] Figure 12 illustrates an example of a processor 1200 in accordance with aspects of the present disclosure. The processor 1200 may be an example of a processor configured to perform various operations in accordance with examples as described herein. The processor 1200 may include a controller 1202 configured to perform various operations in accordance with examples as described herein. The processor 1200 may optionally include at least one memory 1204, which may be, for example, an L1 / L2 / L3 cache. Additionally, or alternatively, the processor 1200 may optionally include one or more arithmetic-logic units (ALUs) 1206. One or more of these components may be in electronic communication or otherwise coupled (e.g., operatively, communicatively, functionally, electronically, electrically) via one or more interfaces (e.g., buses) .

[0154] The processor 1200 may be a processor chipset and include a protocol stack (e.g., a software stack) executed by the processor chipset to perform various operations (e.g., receiving, obtaining, retrieving, transmitting, outputting, forwarding, storing, determining, identifying, accessing, writing, reading) in accordance with examples as described herein. The processor chipset may include one or more cores, one or more caches (e.g., memory local to or included in the processor chipset (e.g., the processor 1200) or other memory (e.g., random access memory (RAM) , read-only memory (ROM) , dynamic RAM (DRAM) , synchronous dynamic RAM (SDRAM) , static RAM (SRAM) , ferroelectric RAM (FeRAM) , magnetic RAM (MRAM) , resistive RAM (RRAM) , flash memory, phase change memory (PCM) , and others) .

[0155] The controller 1202 may be configured to manage and coordinate various operations (e.g., signaling, receiving, obtaining, retrieving, transmitting, outputting, forwarding, storing, determining, identifying, accessing, writing, reading) of the processor 1200 to cause the processor 1200 to support various operations in accordance with examples as described herein. For example, the controller 1202 may operate as a control unit of the processor 1200, generating control signals that manage the operation of various components of the processor 1200. These control signals include enabling or disabling functional units, selecting data paths, initiating memory access, and coordinating timing of operations.

[0156] The controller 1202 may be configured to fetch (e.g., obtain, retrieve, receive) instructions from the memory 1204 and determine subsequent instruction (s) to be executed to cause the processor 1200 to support various operations in accordance with examples as described herein. The controller 1202 may be configured to track memory addresses of instructions associated with the memory 1204. The controller 1202 may be configured to decode instructions to determine the operation to be performed and the operands involved. For example, the controller 1202 may be configured to interpret the instruction and determine control signals to be output to other components of the processor 1200 to cause the processor 1200 to support various operations in accordance with examples as described herein. Additionally, or alternatively, the controller 1202 may be configured to manage flow of data within the processor 1200. The controller 1202 may be configured to control transfer of data between registers, ALUs 1206, and other functional units of the processor 1200.

[0157] The memory 1204 may include one or more caches (e.g., memory local to or included in the processor 1200 or other memory, such as RAM, ROM, DRAM, SDRAM, SRAM, MRAM, flash memory, etc. In some implementations, the memory 1204 may reside within or on a processor chipset (e.g., local to the processor 1200) . In some other implementations, the memory 1204 may reside external to the processor chipset (e.g., remote to the processor 1200) .

[0158] The memory 1204 may store computer-readable, computer-executable code including instructions that, when executed by the processor 1200, cause the processor 1200 to perform various functions described herein. The code may be stored in a non-transitory computer-readable medium such as system memory or another type of memory. The controller 1202 and / or the processor 1200 may be configured to execute computer-readable instructions stored in the memory 1204 to cause the processor 1200 to perform various functions. For example, the processor 1200 and / or the controller 1202 may be coupled with or to the memory 1204, the processor 1200, and the controller 1202, and may be configured to perform various functions described herein. In some examples, the processor 1200 may include multiple processors and the memory 1204 may include multiple memories. One or more of the multiple processors may be coupled with one or more of the multiple memories, which may, individually or collectively, be configured to perform various functions herein.

[0159] The one or more ALUs 1206 may be configured to support various operations in accordance with examples as described herein. In some implementations, the one or more ALUs 1206 may reside within or on a processor chipset (e.g., the processor 1200) . In some other implementations, the one or more ALUs 1206 may reside external to the processor chipset (e.g., the processor 1200) . One or more ALUs 1206 may perform one or more computations such as addition, subtraction, multiplication, and division on data. For example, one or more ALUs 1206 may receive input operands and an operation code, which determines an operation to be executed. One or more ALUs 1206 may be configured with a variety of logical and arithmetic circuits, including adders, subtractors, shifters, and logic gates, to process and manipulate the data according to the operation. Additionally, or alternatively, the one or more ALUs 1206 may support logical operations such as AND, OR, exclusive-OR (XOR) , not-OR (NOR) , and not-AND (NAND) , enabling the one or more ALUs 1206 to handle conditional operations, comparisons, and bitwise operations.

[0160] The processor 1200 may support wireless communication in accordance with examples as disclosed herein. The processor 1200 may be configured to or operable to support at least one controller (e.g., the controller 1202) coupled with at least one memory (e.g., the memory 1204) and configured to cause the processor to transmit, to a server device associated with a vendor of the NE and based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, receive, from the server device associated with the vendor of the NE, the first certificate, transmit, to a server device associated with an operator of the NE and based on the first certificate, a request for a second certificate, where the second certificate corresponds to the operator, receive, from the server device associated with the operator of the NE, the second certificate, and establish a secure connection between the NE and a CN based on the first certificate and the second certificate.

[0161] Additionally, the processor 1200 may be configured to or operable to support any one or combination of to obtain, prior to the request for the first certificate and from the server device associated with the vendor of the NE, the security key and the FQDN, generate a public-private security key pair including a public security key and a private security key, and establish, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, where the request is transmitted based on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and where the request includes the public security key and the FQDN. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to generate a public-private security key pair including a public security key and a private security key, and sign the request for the second certificate with the private security key, where the request for the second certificate includes the first certificate, the public security key, and a parameter that indicates a uniqueness associated with signing the request for the second certificate. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to sign, using a private security key of a public-private security key pair, an authentication request, where the authentication request includes the first certificate, the second certificate, and identity information associated with the NE, and transmit the authentication request to an SEG associated with the CN.

[0162] Additionally, or alternatively, the processor 1200 may be configured to or operable to support the first certificate and the second certificate are recorded at a blockchain. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to generate a public security key of a public-private security key pair, establish, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, transmit, based on the secure connection between the NE and the server device associated with the vendor of the NE, a request to update the first certificate, where the request to update the first certificate includes one or more of the public security key, the second certificate, or identity information associated with the NE, and receive, responsive to the request to update the first certificate, a third certificate to replace the first certificate, where the third certificate corresponds to the vendor. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to generate a public security key of a public-private security key pair, sign, using a private security key of the public-private security key pair associated with the first certificate, a request to update the second certificate, transmit, to the server device associated with the operator of the NE, the request to update the second certificate, where the request to update the second certificate includes the first certificate, the public security key, and identity information associated with the NE, and receive, responsive to the request to update the second certificate, a third certificate to replace the second certificate, where the third certificate corresponds to the operator.

[0163] Additionally, or alternatively, the processor 1200 may be configured to or operable to support to transmit, to a server device associated with a blockchain, a report including information, where the information includes at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, QoS data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE, and generate a block corresponding to the blockchain based on a validity of the information. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to obtain a set of certificates associated with the vendor, where the set of certificates includes at least a third certificate and a fourth certificate, record the set of certificates at a blockchain, generate a public-private security key pair including a public security key and a private security key, sign a certificate request message with the private security key, where the certificate request message includes the public security key, the third certificate, and a freshness parameter associated with signing the certificate request message, transmit, to the server device associated with the operator, the certificate request message, and receive, responsive to the certificate request message, a fifth certificate, where the fifth certificate is associated with the operator. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to generate an additional public-private security key pair including an additional public security key and an additional private security key, sign a certificate update request message with the additional private security key, where the certificate update request message includes the additional public security key, the fourth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message, transmit, to the server device associated with the operator, the certificate update request message, and receive, responsive to the certificate update request message, a sixth certificate to replace the fifth certificate, where the sixth certificate is associated with the operator.

[0164] Additionally, the processor 1200 may be configured to or operable to support at least one controller (e.g., the controller 1202) coupled with at least one memory (e.g., the memory 1204) and configured to cause the processor to receive, based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, transmit the first certificate to the NE, and record the first certificate at a blockchain.

[0165] Additionally, the processor 1200 may be configured to or operable to support any one or combination of to obtain, prior to the request for the first certificate, the security key and the FQDN, and establish, using the security key, a secure connection between the server device associated with the vendor and the NE, where the request is received based on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and where the request includes a public security key of a public-private security key pair and the FQDN. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to establish, using the security key, a secure connection between the server device associated with the vendor and the NE, receive, based on the secure connection between the server device associated with the vendor and the NE, a request to update the first certificate, where the request to update the first certificate includes one or more of a public security key of a public-private security key pair, a second certificate associated with an operator of the NE, or identity information associated with the NE, generate, based on the one or more of the public security key, the second certificate, or the identify information associated with the NE being valid, a third certificate, where the third certificate corresponds to the vendor, transmit, responsive to the request to update the first certificate, the third certificate to replace the first certificate, and record the third certificate at the blockchain. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to obtain a set of certificates associated with the vendor, where the set of certificates includes at least a third certificate and a fourth certificate, and record at least the third certificate and the fourth certificate at the blockchain.

[0166] Additionally, the processor 1200 may be configured to or operable to support at least one controller (e.g., the controller 1202) coupled with at least one memory (e.g., the memory 1204) and configured to cause the processor to receive, based on a first certificate corresponding to a vendor of the NE, a request for a second certificate, where the second certificate corresponds to the operator, transmit, to a server device associated with a blockchain, a request to validate the first certificate, receive, responsive to the request to validate the first certificate, an indication of validity of the first certificate, transmit, to the NE and based on the validity of the first certificate, the second certificate, and record the second certificate at the blockchain.

[0167] Additionally, the processor 1200 may be configured to or operable to support any one or combination of to receive a request to update the second certificate, where the request to update the second certificate includes the first certificate, a public security key of a public-private security key pair, and identity information associated with the NE, transmit, to the server device associated with the blockchain, an additional request to validate the first certificate, receive, responsive to the additional request to validate the first certificate, an additional indication of validity of the first certificate, transmit, responsive to the request to update the second certificate and based on the validity of the first certificate, a third certificate to replace the second certificate, where the third certificate corresponds to the operator, and record the third certificate at the blockchain. Additionally, or alternatively, the NE is within a defined geographical region and the processor 1200 may be configured to or operable to support to receive, from a server device associated with the blockchain and based on a validity of information, a report including the information, where the information includes at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, QoS data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE, and record the information at the blockchain. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to receive a certificate request message, where the certificate request message includes a public security key of a public-private security key pair, a third certificate, and a freshness parameter associated with a signature of the certificate request message, transmit, to the server device associated with the blockchain, a request to validate the third certificate, receive, responsive to the request to validate the third certificate, an indication of validity of the third certificate, transmit, responsive to the certificate request message and based on the validity of the third certificate, a fourth certificate, where the fourth certificate is associated with the operator, and record the fourth certificate at the blockchain. Additionally, or alternatively, the processor 1200 may be configured to or operable to support to receive a certificate update request message, where the certificate update request message includes an additional public security key of an additional public-private security key pair, a fifth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message, transmit, to the server device associated with the blockchain, a request to validate the fifth certificate, receive, responsive to the request to validate the fifth certificate, an indication of validity of the fifth certificate, transmit, responsive to the certificate update request message and based on the validity of the fifth certificate, a sixth certificate to replace the fourth certificate, where the sixth certificate is associated with the operator, and record the sixth certificate at the blockchain.

[0168] Additionally, the processor 1200 may be configured to or operable to support at least one controller (e.g., the controller 1202) coupled with at least one memory (e.g., the memory 1204) and configured to cause the processor to receive a request to establish a secure connection between the CN and an NE based on a first certificate corresponding to a vendor of the NE and a second certificate corresponding to an operator of the NE, transmit, to a server device associated with a blockchain, a request to validate the first certificate and the second certificate, receive, responsive to the request to validate the first certificate and the second certificate, an indication of validity of the first certificate and the second certificate, and establish, based on the validity of the first certificate and the second certificate, the secure connection

[0169] Figure 13 illustrates an example of an server device 1300 in accordance with aspects of the present disclosure. The server device 1300 may include a processor 1302, a memory 1304, a controller 1306, and a transceiver 1308. The processor 1302, the memory 1304, the controller 1306, or the transceiver 1308, or various combinations thereof or various components thereof may be examples of means for performing various aspects of the present disclosure as described herein. These components may be coupled (e.g., operatively, communicatively, functionally, electronically, electrically) via one or more interfaces.

[0170] The processor 1302, the memory 1304, the controller 1306, or the transceiver 1308, or various combinations or components thereof may be implemented in hardware (e.g., circuitry) . The hardware may include a processor, a DSP, an ASIC, or other programmable logic device, or any combination thereof configured as or otherwise supporting a means for performing the functions described in the present disclosure.

[0171] The processor 1302 may include an intelligent hardware device (e.g., a general-purpose processor, a DSP, a CPU, an ASIC, an FPGA, or any combination thereof) . In some implementations, the processor 1302 may be configured to operate the memory 1304. In some other implementations, the memory 1304 may be integrated into the processor 1302. The processor 1302 may be configured to execute computer-readable instructions stored in the memory 1304 to cause the server device 1300 to perform various functions of the present disclosure.

[0172] The memory 1304 may include volatile or non-volatile memory. The memory 1304 may store computer-readable, computer-executable code including instructions when executed by the processor 1302 cause the server device 1300 to perform various functions described herein. The code may be stored in a non-transitory computer-readable medium such as the memory 1304 or another type of memory. Computer-readable media includes both non-transitory computer storage media and communication media including any medium that facilitates transfer of a computer program from one place to another. A non-transitory storage medium may be any available medium that may be accessed by a general-purpose or special-purpose computer.

[0173] In some implementations, the processor 1302 and the memory 1304 coupled with the processor 1302 may be configured to cause the server device 1300 to perform one or more of the functions described herein (e.g., executing, by the processor 1302, instructions stored in the memory 1304) . For example, the processor 1302 may support wireless communication at the server device 1300 in accordance with examples as disclosed herein. The server device 1300 may be configured to or operable to support a means for receiving, based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, transmitting the first certificate to the NE, and recording the first certificate at a blockchain.

[0174] Additionally, the server device 1300 may be configured to or operable to support any one or combination of obtaining, prior to the request for the first certificate, the security key and the FQDN, and establishing, using the security key, a secure connection between the server device associated with the vendor and the NE, where the request is received based on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and where the request includes a public security key of a public-private security key pair and the FQDN. Additionally, or alternatively, the server device 1300 may be configured to or operable to support any one or combination of establishing, using the security key, a secure connection between the server device associated with the vendor and the NE, receiving, based on the secure connection between the server device associated with the vendor and the NE, a request to update the first certificate, where the request to update the first certificate includes one or more of a public security key of a public-private security key pair, a second certificate associated with an operator of the NE, or identity information associated with the NE, generating, based on the one or more of the public security key, the second certificate, or the identify information associated with the NE being valid, a third certificate, where the third certificate corresponds to the vendor, transmitting, responsive to the request to update the first certificate, the third certificate to replace the first certificate, and recording the third certificate at the blockchain. Additionally, or alternatively, the server device 1300 may be configured to or operable to support any one or combination of obtaining a set of certificates associated with the vendor, where the set of certificates includes at least a third certificate and a fourth certificate, and record at least the third certificate and the fourth certificate at the blockchain.

[0175] Additionally, the processor 1302 may support wireless communication at the server device 1300 in accordance with examples as disclosed herein. The server device 1300 may be configured to or operable to support a means for receiving, based on a first certificate corresponding to a vendor of the NE, a request for a second certificate, where the second certificate corresponds to the operator, transmitting, to a server device associated with a blockchain, a request to validate the first certificate, receiving, responsive to the request to validate the first certificate, an indication of validity of the first certificate, transmitting, to the NE and based on the validity of the first certificate, the second certificate, and recording the second certificate at the blockchain.

[0176] Additionally, the server device 1300 may be configured to or operable to support any one or combination of receiving a request to update the second certificate, where the request to update the second certificate includes the first certificate, a public security key of a public-private security key pair, and identity information associated with the NE, transmitting, to the server device associated with the blockchain, an additional request to validate the first certificate, receive, responsive to the additional request to validate the first certificate, an additional indication of validity of the first certificate, transmitting, responsive to the request to update the second certificate and based on the validity of the first certificate, a third certificate to replace the second certificate, where the third certificate corresponds to the operator, and recording the third certificate at the blockchain. Additionally, or alternatively, the NE is within a defined geographical region and the server device 1300 may be configured to or operable to support any one or combination of receiving, from a server device associated with the blockchain and based on a validity of information, a report including the information, where the information includes at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, QoS data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE, and recording the information at the blockchain. Additionally, or alternatively, the server device 1300 may be configured to or operable to support any one or combination of receiving a certificate request message, where the certificate request message includes a public security key of a public-private security key pair, a third certificate, and a freshness parameter associated with a signature of the certificate request message, transmitting, to the server device associated with the blockchain, a request to validate the third certificate, receiving, responsive to the request to validate the third certificate, an indication of validity of the third certificate, transmitting, responsive to the certificate request message and based on the validity of the third certificate, a fourth certificate, where the fourth certificate is associated with the operator, and recording the fourth certificate at the blockchain. Additionally, or alternatively, the server device 1300 may be configured to or operable to support any one or combination of receiving a certificate update request message, where the certificate update request message includes an additional public security key of an additional public-private security key pair, a fifth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message, transmitting, to the server device associated with the blockchain, a request to validate the fifth certificate, receiving, responsive to the request to validate the fifth certificate, an indication of validity of the fifth certificate, transmitting, responsive to the certificate update request message and based on the validity of the fifth certificate, a sixth certificate to replace the fourth certificate, where the sixth certificate is associated with the operator, and recording the sixth certificate at the blockchain.

[0177] Additionally, or alternatively, the server device 1300 may support at least one memory (e.g., the memory 1304) and at least one processor (e.g., the processor 1302) coupled with the at least one memory and configured to cause the server device 1300 to receive, based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor, transmit the first certificate to the NE, and record the first certificate at a blockchain.

[0178] Additionally, the server device 1300 may be configured to support any one or combination of to obtain, prior to the request for the first certificate, the security key and the FQDN, and establish, using the security key, a secure connection between the server device associated with the vendor and the NE, where the request is received based on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and where the request includes a public security key of a public-private security key pair and the FQDN. Additionally, the server device 1300 may be configured to support any one or combination of to establish, using the security key, a secure connection between the server device associated with the vendor and the NE, receive, based on the secure connection between the server device associated with the vendor and the NE, a request to update the first certificate, where the request to update the first certificate includes one or more of a public security key of a public-private security key pair, a second certificate associated with an operator of the NE, or identity information associated with the NE, generate, based on the one or more of the public security key, the second certificate, or the identify information associated with the NE being valid, a third certificate, where the third certificate corresponds to the vendor, transmit, responsive to the request to update the first certificate, the third certificate to replace the first certificate, and record the third certificate at the blockchain. Additionally, the server device 1300 may be configured to support any one or combination of to obtain a set of certificates associated with the vendor, where the set of certificates includes at least a third certificate and a fourth certificate, and record at least the third certificate and the fourth certificate at the blockchain.

[0179] Additionally, or alternatively, the server device 1300 may support at least one memory (e.g., the memory 1304) and at least one processor (e.g., the processor 1302) coupled with the at least one memory and configured to cause the server device 1300 to receive, based on a first certificate corresponding to a vendor of the NE, a request for a second certificate, where the second certificate corresponds to the operator, transmit, to a server device associated with a blockchain, a request to validate the first certificate, receive, responsive to the request to validate the first certificate, an indication of validity of the first certificate, transmit, to the NE and based on the validity of the first certificate, the second certificate, and record the second certificate at the blockchain.

[0180] Additionally, the server device 1300 may be configured to support any one or combination of to update the second certificate, where the request to update the second certificate includes the first certificate, a public security key of a public-private security key pair, and identity information associated with the NE, transmit, to the server device associated with the blockchain, an additional request to validate the first certificate, receive, responsive to the additional request to validate the first certificate, an additional indication of validity of the first certificate, transmit, responsive to the request to update the second certificate and based on the validity of the first certificate, a third certificate to replace the second certificate, where the third certificate corresponds to the operator, and record the third certificate at the blockchain. Additionally, or alternatively, the NE is within a defined geographical region and the server device 1300 may be configured to support any one or combination of to receive, from a server device associated with the blockchain and based on a validity of information, a report including the information, where the information includes at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, QoS data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE, and record the information at the blockchain. Additionally, the server device 1300 may be configured to support any one or combination of to receive a certificate request message, where the certificate request message includes a public security key of a public-private security key pair, a third certificate, and a freshness parameter associated with a signature of the certificate request message, transmit, to the server device associated with the blockchain, a request to validate the third certificate, receive, responsive to the request to validate the third certificate, an indication of validity of the third certificate, transmit, responsive to the certificate request message and based on the validity of the third certificate, a fourth certificate, where the fourth certificate is associated with the operator, and record the fourth certificate at the blockchain. Additionally, the server device 1300 may be configured to support any one or combination of to receive a certificate update request message, where the certificate update request message includes an additional public security key of an additional public-private security key pair, a fifth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message, transmit, to the server device associated with the blockchain, a request to validate the fifth certificate, receive, responsive to the request to validate the fifth certificate, an indication of validity of the fifth certificate, transmit, responsive to the certificate update request message and based on the validity of the fifth certificate, a sixth certificate to replace the fourth certificate, where the sixth certificate is associated with the operator, and record the sixth certificate at the blockchain.

[0181] The controller 1306 may manage input and output signals for the server device 1300. The controller 1306 may also manage peripherals not integrated into the server device 1300. In some implementations, the controller 1306 may utilize an operating system such as or other operating systems. In some implementations, the controller 1306 may be implemented as part of the processor 1302.

[0182] In some implementations, the server device 1300 may include at least one transceiver 1308. In some other implementations, the server device 1300 may have more than one transceiver 1308. The transceiver 1308 may represent a wireless transceiver. The transceiver 1308 may include one or more receiver chains 1310, one or more transmitter chains 1312, or a combination thereof.

[0183] A receiver chain 1310 may be configured to receive signals (e.g., control information, data, packets) over a wireless medium. For example, the receiver chain 1310 may include one or more antennas to receive a signal over the air or wireless medium. The receiver chain 1310 may include at least one amplifier (e.g., an LNA) configured to amplify the received signal. The receiver chain 1310 may include at least one demodulator configured to demodulate the receive signal and obtain the transmitted data by reversing the modulation technique applied during transmission of the signal. The receiver chain 1310 may include at least one decoder for decoding the demodulated signal to receive the transmitted data.

[0184] A transmitter chain 1312 may be configured to generate and transmit signals (e.g., control information, data, packets) . The transmitter chain 1312 may include at least one modulator for modulating data onto a carrier signal, preparing the signal for transmission over a wireless medium. The at least one modulator may be configured to support one or more techniques such as AM, FM, or digital modulation schemes like PSK or QAM. The transmitter chain 1312 may also include at least one power amplifier configured to amplify the modulated signal to an appropriate power level suitable for transmission over the wireless medium. The transmitter chain 1312 may also include one or more antennas for transmitting the amplified signal into the air or wireless medium.

[0185] Figure 14 illustrates a flowchart of a method 1400 in accordance with aspects of the present disclosure. The operations of the method may be implemented by an NE as described herein. In some implementations, the NE may execute a set of instructions to control the function elements of the NE to perform the described functions. It should be noted that the method described herein describes a possible implementation, and that the operations and the steps may be rearranged or otherwise modified and that other implementations are possible.

[0186] At 1402, the method may include transmitting, to a server device associated with a vendor of the NE and based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor. The operations of 1402 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1402 may be performed by an NE as described with reference to Figure 11.

[0187] At 1404, the method may include receiving, from the server device associated with the vendor of the NE, the first certificate. The operations of 1404 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1404 may be performed by an NE as described with reference to Figure 11.

[0188] At 1406, the method may include transmitting, to a server device associated with an operator of the NE and based on the first certificate, a request for a second certificate, where the second certificate corresponds to the operator. The operations of 1406 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1406 may be performed an NE as described with reference to Figure 11.

[0189] At 1408, the method may include receiving, from the server device associated with the operator of the NE, the second certificate. The operations of 1408 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1408 may be performed an NE as described with reference to Figure 11.

[0190] At 1410, the method may include establishing a secure connection between the NE and a CN based on the first certificate and the second certificate. The operations of 1410 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1410 may be performed an NE as described with reference to Figure 11.

[0191] Figure 15 illustrates a flowchart of a method 1500 in accordance with aspects of the present disclosure. The operations of the method may be implemented by a server device as described herein. In some implementations, the server device may execute a set of instructions to control the function elements of the server device to perform the described functions. It should be noted that the method described herein describes a possible implementation, and that the operations and the steps may be rearranged or otherwise modified and that other implementations are possible.

[0192] At 1502, the method may include receiving, based on a security key and an FQDN, a request for a first certificate, where the first certificate corresponds to the vendor. The operations of 1502 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1502 may be performed by a server device as described with reference to Figure 13.

[0193] At 1504, the method may include transmitting the first certificate to the NE. The operations of 1504 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1504 may be performed by a server device as described with reference to Figure 13.

[0194] At 1506, the method may include recording the first certificate at a blockchain. The operations of 1506 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1506 may be performed a server device as described with reference to Figure 13.

[0195] Figure 16 illustrates a flowchart of a method 1600 in accordance with aspects of the present disclosure. The operations of the method may be implemented by a server device as described herein. In some implementations, the server device may execute a set of instructions to control the function elements of the server device to perform the described functions. It should be noted that the method described herein describes a possible implementation, and that the operations and the steps may be rearranged or otherwise modified and that other implementations are possible.

[0196] At 1602, the method may include receiving, based on a first certificate corresponding to a vendor of the NE, a request for a second certificate, where the second certificate corresponds to the operator. The operations of 1602 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1602 may be performed by a server device as described with reference to Figure 13.

[0197] At 1604, the method may include transmitting, to a server device associated with a blockchain, a request to validate the first certificate. The operations of 1604 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1604 may be performed by a server device as described with reference to Figure 13.

[0198] At 1606, the method may include receiving, responsive to the request to validate the first certificate, an indication of validity of the first certificate. The operations of 1606 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1606 may be performed a server device as described with reference to Figure 13.

[0199] At 1608, the method may include transmitting, to the NE and based on the validity of the first certificate, the second certificate. The operations of 1608 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1608 may be performed a server device as described with reference to Figure 13.

[0200] At 1610, the method may include recording the second certificate at the blockchain. The operations of 1610 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1610 may be performed a server device as described with reference to Figure 13.

[0201] Figure 17 illustrates a flowchart of a method 1700 in accordance with aspects of the present disclosure. The operations of the method may be implemented by an NE as described herein. In some implementations, the NE may execute a set of instructions to control the function elements of the NE to perform the described functions. It should be noted that the method described herein describes a possible implementation, and that the operations and the steps may be rearranged or otherwise modified and that other implementations are possible.

[0202] At 1702, the method may include receiving a request to establish a secure connection between the CN and an NE based on a first certificate corresponding to a vendor of the NE and a second certificate corresponding to an operator of the NE. The operations of 1702 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1702 may be performed by an NE as described with reference to Figure 11.

[0203] At 1704, the method may include transmitting, to a server device associated with a blockchain, a request to validate the first certificate and the second certificate. The operations of 1704 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1704 may be performed by an NE as described with reference to Figure 11.

[0204] At 1706, the method may include receiving, responsive to the request to validate the first certificate and the second certificate, an indication of validity of the first certificate and the second certificate. The operations of 1706 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1706 may be performed an NE as described with reference to Figure 11.

[0205] At 1708, the method may include establishing, based on the validity of the first certificate and the second certificate, the secure connection. The operations of 1708 may be performed in accordance with examples as described herein. In some implementations, aspects of the operations of 1708 may be performed an NE as described with reference to Figure 11.

[0206] The description herein is provided to enable a person having ordinary skill in the art to make or use the disclosure. Various modifications to the disclosure will be apparent to a person having ordinary skill in the art, and the generic principles defined herein may be applied to other variations without departing from the scope of the disclosure. Thus, the disclosure is not limited to the examples and designs described herein but is to be accorded the broadest scope consistent with the principles and novel features disclosed herein.

Claims

1.A network equipment (NE) for wireless communication, comprising:at least one memory; andat least one processor coupled with the at least one memory and operable to cause the NE to:transmit, to a server device associated with a vendor of the NE and based at least in part on a security key and a fully qualified domain name (FQDN) , a request for a first certificate, wherein the first certificate corresponds to the vendor;receive, from the server device associated with the vendor of the NE, the first certificate;transmit, to a server device associated with an operator of the NE and based at least in part on the first certificate, a request for a second certificate, wherein the second certificate corresponds to the operator;receive, from the server device associated with the operator of the NE, the second certificate; andestablish a secure connection between the NE and a core network (CN) based at least in part on the first certificate and the second certificate.2.The NE of claim 1, wherein the at least one processor is operable to cause the NE to:obtain, prior to the request for the first certificate and from the server device associated with the vendor of the NE, the security key and the FQDN;generate a public-private security key pair comprising a public security key and a private security key; andestablish, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE, wherein the request is transmitted based at least in part on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and wherein the request comprises the public security key and the FQDN.3.The NE of claim 1, wherein the at least one processor is operable to cause the NE to:generate a public-private security key pair comprising a public security key and a private security key; andsign the request for the second certificate with the private security key, wherein the request for the second certificate comprises the first certificate, the public security key, and a parameter that indicates a uniqueness associated with signing the request for the second certificate.4.The NE of claim 1, wherein to establish the secure connection between the NE and the CN, the at least one processor is operable to cause the NE to:sign, using a private security key of a public-private security key pair, an authentication request, wherein the authentication request comprises the first certificate, the second certificate, and identity information associated with the NE; andtransmit the authentication request to a secure gateway (SEG) associated with the CN.5.The NE of claim 1, wherein the first certificate and the second certificate are recorded at a blockchain.6.The NE of claim 1, wherein the at least one processor is operable to cause the NE to:generate a public security key of a public-private security key pair;establish, using the security key, a secure connection between the NE and the server device associated with the vendor of the NE;transmit, based at least in part on the secure connection between the NE and the server device associated with the vendor of the NE, a request to update the first certificate, wherein the request to update the first certificate comprises one or more of the public security key, the second certificate, or identity information associated with the NE; andreceive, responsive to the request to update the first certificate, a third certificate to replace the first certificate, wherein the third certificate corresponds to the vendor.7.The NE of claim 1, wherein the at least one processor is operable to cause the NE to:generate a public security key of a public-private security key pair;sign, using a private security key of the public-private security key pair associated with the first certificate, a request to update the second certificate;transmit, to the server device associated with the operator of the NE, the request to update the second certificate, wherein the request to update the second certificate comprises the first certificate, the public security key, and identity information associated with the NE; andreceive, responsive to the request to update the second certificate, a third certificate to replace the second certificate, wherein the third certificate corresponds to the operator.8.The NE of claim 1, wherein the NE is within a defined geographical region, and wherein the at least one processor is operable to cause the NE to:transmit, to a server device associated with a blockchain, a report comprising information, wherein the information comprises at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, quality of service (QoS) data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE;andgenerate a block corresponding to the blockchain based at least in part on a validity of the information.9.The NE of claim 1, wherein the at least one processor is operable to cause the NE to:obtain a plurality of certificates associated with the vendor, wherein the plurality of certificates comprises at least a third certificate and a fourth certificate;record the plurality of certificates at a blockchain;generate a public-private security key pair comprising a public security key and a private security key;sign a certificate request message with the private security key, wherein the certificate request message comprises the public security key, the third certificate, and a freshness parameter associated with signing the certificate request message;transmit, to the server device associated with the operator, the certificate request message; andreceive, responsive to the certificate request message, a fifth certificate, wherein the fifth certificate is associated with the operator.10.The NE of claim 9, wherein the at least one processor is operable to cause the NE to:generate an additional public-private security key pair comprising an additional public security key and an additional private security key;sign a certificate update request message with the additional private security key, wherein the certificate update request message comprises the additional public security key, the fourth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message;transmit, to the server device associated with the operator, the certificate update request message; andreceive, responsive to the certificate update request message, a sixth certificate to replace the fifth certificate, wherein the sixth certificate is associated with the operator.11.A server device associated with a vendor of a network equipment (NE) for wireless communication, comprising:at least one memory; andat least one processor coupled with the at least one memory and operable to cause the server device associated with the vendor to:receive, based at least in part on a security key and a fully qualified domain name (FQDN) , a request for a first certificate, wherein the first certificate corresponds to the vendor;transmit the first certificate to the NE; andrecord the first certificate at a blockchain.12.The server device associated with the vendor of claim 11, wherein the at least one processor is operable to cause the server device associated with the vendor to:obtain, prior to the request for the first certificate, the security key and the FQDN; andestablish, using the security key, a secure connection between the server device associated with the vendor and the NE, wherein the request is received based at least in part on establishing the secure connection between the NE and the server device associated with the vendor of the NE, and wherein the request comprises a public security key of a public-private security key pair and the FQDN.13.The server device associated with the vendor of claim 11, wherein the at least one processor is operable to cause the server device associated with the vendor to:establish, using the security key, a secure connection between the server device associated with the vendor and the NE;receive, based at least in part on the secure connection between the server device associated with the vendor and the NE, a request to update the first certificate, wherein the request to update the first certificate comprises one or more of a public security key of a public-private security key pair, a second certificate associated with an operator of the NE, or identity information associated with the NE;generate, based at least in part on the one or more of the public security key, the second certificate, or the identify information associated with the NE being valid, a third certificate, wherein the third certificate corresponds to the vendor;transmit, responsive to the request to update the first certificate, the third certificate to replace the first certificate; andrecord the third certificate at the blockchain.14.The server device associated with the vendor of claim 11, wherein the at least one processor is operable to cause the server device associated with the vendor to:obtain a plurality of certificates associated with the vendor, wherein the plurality of certificates comprises at least a third certificate and a fourth certificate; andrecord at least the third certificate and the fourth certificate at the blockchain.15.A server device associated with an operator of a network equipment (NE) for wireless communication, comprising:at least one memory; andat least one processor coupled with the at least one memory and operable to cause the server device associated with the operator to:receive, based at least in part on a first certificate corresponding to a vendor of the NE, a request for a second certificate, wherein the second certificate corresponds to the operator;transmit, to a server device associated with a blockchain, a request to validate the first certificate;receive, responsive to the request to validate the first certificate, an indication of validity of the first certificate;transmit, to the NE and based at least in part on the validity of the first certificate, the second certificate; andrecord the second certificate at the blockchain.16.The server device associated with the operator of claim 15, wherein the at least one processor is operable to cause the server device associated with the operator to:receive a request to update the second certificate, wherein the request to update the second certificate comprises the first certificate, a public security key of a public-private security key pair, and identity information associated with the NE;transmit, to the server device associated with the blockchain, an additional request to validate the first certificate;receive, responsive to the additional request to validate the first certificate, an additional indication of validity of the first certificate;transmit, responsive to the request to update the second certificate and based at least in part on the validity of the first certificate, a third certificate to replace the second certificate, wherein the third certificate corresponds to the operator; andrecord the third certificate at the blockchain.17.The server device associated with the operator of claim 15, wherein the NE is within a defined geographical region, and wherein the at least one processor is operable to cause the server device associated with the vendor to:receive, from a server device associated with the blockchain and based at least in part on a validity of information, a report comprising the information, wherein the information comprises at least one of basic status information associated with the NE, configuration parameters associated with the NE, payload information associated with the NE, quality of service (QoS) data associated with the NE, a timestamp associated with the report, signed system state information associated with the NE, signed system security state information associated with the NE, or security data associated with the NE; andrecord the information at the blockchain.18.The server device associated with the operator of claim 15, wherein the at least one processor is operable to cause the server device associated with the operator to:receive a certificate request message, wherein the certificate request message comprises a public security key of a public-private security key pair, a third certificate, and a freshness parameter associated with a signature of the certificate request message;transmit, to the server device associated with the blockchain, a request to validate the third certificate;receive, responsive to the request to validate the third certificate, an indication of validity of the third certificate;transmit, responsive to the certificate request message and based at least in part on the validity of the third certificate, a fourth certificate, wherein the fourth certificate is associated with the operator; andrecord the fourth certificate at the blockchain.19.The server device associated with the operator of claim 18, wherein the at least one processor is operable to cause the server device associated with the operator to:receive a certificate update request message, wherein the certificate update request message comprises an additional public security key of an additional public-private security key pair, a fifth certificate, identity information associated with the NE, and an additional freshness parameter associated with signing the certificate update request message;transmit, to the server device associated with the blockchain, a request to validate the fifth certificate;receive, responsive to the request to validate the fifth certificate, an indication of validity of the fifth certificate;transmit, responsive to the certificate update request message and based at least in part on the validity of the fifth certificate, a sixth certificate to replace the fourth certificate, wherein the sixth certificate is associated with the operator; andrecord the sixth certificate at the blockchain.20.A core network (CN) for wireless communication, comprising:at least one memory; andat least one processor coupled with the at least one memory and operable to cause the CN to:receive a request to establish a secure connection between the CN and a network equipment (NE) based at least in part on a first certificate corresponding to a vendor of the NE and a second certificate corresponding to an operator of the NE;transmit, to a server device associated with a blockchain, a request to validate the first certificate and the second certificate;receive, responsive to the request to validate the first certificate and the second certificate, an indication of validity of the first certificate and the second certificate; andestablish, based at least in part on the validity of the first certificate and the second certificate, the secure connection.

Images