Method and related apparatuses for authenticating and authorizing devices for the provisioning of services

Abstract

Embodiments of the present disclosure provide a network authentication and authorization method and related apparatuses. The Service Provision Management (SPM) node receives from a device or a second node, a request for subscription authentication or credential validation and negotiates authentication parameters using a Network Capability Description Language (NCDL). Based on the negotiated parameters, the SPM node transmits corresponding authentication information or a credential, and, if applicable, provides Extended Master Session Key (EMSK) materials or an authorization token. The SPM node further maintains EMSK profiles and manages subscriptions to network capabilities (NCs) or network services. Designed to securely authenticate and authorize devices, the SPM node ensures mutual authentication and secure service access in dynamic network environments, thereby facilitating flexible and automated network management.

Description

METHOD AND RELATED APPARATUSES FOR AUTHENTICATING AND AUTHORIZING DEVICES FOR THE PROVISIONING OF SERVICESCROSS-REFERENCE TO RELATED APPLICATIONS

[0001] This application claims priority to US provisional patent application No. 63 / 710,902, filed on October 23, 2024, which is hereby incorporated by reference in its entirety.TECHNICAL FIELD

[0002] The present disclosure relates to the field of communication technologies, and in particular, to a method and related apparatuses for the authentication and authorization of devices seeking to benefit from one or more services rendered by the network and / or by service providers.BACKGROUND

[0003] Many emerging trends are driving the consideration and design of wireless networks, such as 6G networks, including new network infrastructure capabilities, advances in maturing technologies, including large-scale Artificial Intelligence (AI) models, data de-privacy techniques, and blockchain, emerging applications and services, such as AI-driven solutions, data sensing services, and digital world services, and a shift towards global, open, and collaborative operations.

[0004] New expectations and stricter requirements on future networks also drive rethinking and development of new generation of wireless networks. These requirements include privacy and trustworthiness, simplified standardization and rapid deployment.

[0005] In the fifth generation (5G) era, a new core network has been introduced by 3GPP, relying on an open and modular service platform, the Service-Based Architecture (SBA) . SBA provides a cloud-native service framework, in which mobile core network functionalities (authentication, mobility management, etc. ) are supported by network functions (NFs) . Service providers can provide services to any other authorized service consumer through Application Programming Interfaces (APIs) .

[0006] In this service framework, each NF can consume the services provided by other NFs and expose services as well. There can be a centralized repository, the Network Repository Function (NRF) , in which NFs can publish new services. The service information maintained in the NRF is accessible to all the NFs to enable service discovery. The consumer NFs can also retrieve required routing information from the NRF to interact with the service producer NFs.

[0007] To expose services to consumers, a service provider may describe its services using API specifications. For example, the OpenAPI specification provides a formal standard for describing HTTP APIs. An OpenAPI description allows both people and computers to discover and understand how an API works, including available resources and authorized operations on each resource, operation parameters, input and output for each operation, etc.

[0008] However, there are gaps between the requirements of future network capability descriptions and existing API specifications.

[0009] This background information is provided to reveal information believed by the applicant to be of possible relevance to the present disclosure. No admission is necessarily intended, nor should be construed, that any of the preceding information constitutes prior art against the present disclosure.SUMMARY

[0010] In a first aspect, a method performed at a first node of a network for authenticating a subscription of a device to a service is provided. The method comprises receiving, from the device, a request wherein the request includes identification information of the device and a request to negotiate authentication information between the device and the first node; transmitting the authentication information to the device; and receiving negotiation results from the device. The negotiation results comprise a selection of one or more authentication items from the authentication information received from the first node. The one or more authentication items include at least one of: whether credentials for authenticating the device are device-controlled or network-controlled; whether authentication is static or dynamic; an authentication method; an identifier of an algorithm to be used; whether credential parameters are to be updated; and device credential parameters.

[0011] In one possible implementation, the identification information of the device comprises an identifier of the device or a name the device uses to access a network to which the first node belongs.

[0012] In one possible implementation, the identifier of the device is an identifier for privacy preservation of the device or a temporary identifier for allowing the device to access the network.

[0013] In one possible implementation, the authentication method is one of: Authentication and Key Agreement (AKA) ; Physical Unclonable Function (PUF) ; 5G-Extensible Authentication Protocol (EAP) ; and 6G-EAP.

[0014] In one possible implementation, the identifier of the algorithm indicates a type of algorithm supported by the device.

[0015] In one possible implementation, an indication that the credential parameters are to be updated indicates that the credential parameters are to be updated once mutual authentication between the device and the first node is implemented.

[0016] In one possible implementation, the device credential parameters comprise one of: a certificate; a challenge response pair (CRP) ; or parameters based on PUF.

[0017] In one possible implementation, for execution of the method, the device is registered to the first node for a basic service.

[0018] In one possible implementation, after executing the method, authentication of the subscription is complete.

[0019] In one possible implementation, the method constitutes an action to subscribe to an authentication service, the action being called by a second node which provides autonomous network capability programming services.

[0020] In a second aspect, a method performed at a first node of a network is provided. The method comprises receiving, from a second node, a validation request for validating a credential of a device, wherein the validation request includes: the credential of the device, a device identifier, and an authentication method specified by the device; and validating the credential of the device using the specified authentication method.

[0021] In one possible implementation, the identifier of the device is a name of the device used to access the network.

[0022] In one possible implementation, the identifier of the device is a subscriber authentication identifier.

[0023] In one possible implementation, the credential of the device comprises one of: a credential based on Authentication and Key Agreement (AKA) , a credential based on Physical Unclonable Function (PUF) , or a credential based on certificate.

[0024] In one possible implementation, the authentication method comprises one of: Authentication and Key Agreement (AKA) ; Physical Unclonable Function (PUF) ; 5G-Extensible Authentication Protocol (EAP) ; and 6G-EAP.

[0025] In one possible implementation, for execution of the method, the first node obtains a credential of the device for mutual authentication.

[0026] In one possible implementation, after executing the method, validation of the credential of the device is complete.

[0027] In one possible implementation, the method constitutes an action for validating the credential of the device, wherein the action is subscribed to by a second node responsible to manage device identifiers.

[0028] In one possible implementation, the action is part of a mutual authentication service, wherein the action is subscribed to by the second node.

[0029] In a third aspect, a method performed at a first node of a network is provided. The method comprises transmitting a message to a device, wherein the message includes credential information of the first node and an identifier of the first node, wherein the credential information is used for validation of the first node by the device.

[0030] In one possible implementation, the method further comprises generating the credential information of the first node, wherein the credential information is generated based on an authentication method.

[0031] In one possible implementation, the authentication method is one of: Authentication and Key Agreement (AKA) ; Physical Unclonable Function (PUF) ; 5G-Extensible Authentication Protocol (EAP) ; and 6G-EAP.

[0032] In one possible implementation, the identifier of the first node is the name of the first node.

[0033] In one possible implementation, the credential information of the first node comprises one of: a credential based on AKA, a credential based on PUF, or a credential based on certificate.

[0034] In one possible implementation, the method constitutes an action of providing the credentials of the first node to the device.

[0035] In one possible implementation, for execution of the method, the first node has validated a credential of the device for mutual authentication.

[0036] In one possible implementation, after execution of the method, the first node has provided the credential information of the first node to the device.

[0037] In one possible implementation, the action is part of a mutual authentication service subscribed to by the device.

[0038] In one possible implementation, the action is called by a second node which provides autonomous network capability programming services.

[0039] In a fourth aspect, a method performed at a first node of a network is provided. The method comprises transmitting a message to a device, wherein the message comprises materials related to an Extended Master Session Key (EMSK) , wherein the materials comprise at least one of: secrets for generating the EMSK; an identifier of the first node; an identifier of the device; credential parameters; and an identifier of an algorithm to be used for computing the EMSK.

[0040] In one possible implementation, the method constitutes an action for providing the materials related to the EMSK to the device.

[0041] In one possible implementation, for execution of the method, the first node does not have a shared key with the device after having successfully completed mutual authentication of the device and the first node.

[0042] In one possible implementation, after execution of the method, the materials related to the EMSK have been provided to the device.

[0043] In one possible implementation, the action is called by a node which provides autonomous network capability programming services.

[0044] In a fifth aspect, a method performed by a first node of a network is provided. The method comprises sending, to a device, a message comprising an Extended Master Session Key (EMSK) profile for mutual authentication between the first node and the device, the message comprising information on the EMSK and a device identifier; and maintaining the information on the EMSK and the device identifier in an EMSK profile table.

[0045] In one possible implementation, the information on the EMSK comprises the EMSK and an identifier of the EMSK.

[0046] In one possible implementation, the device identifier is a temporary identifier generated by the first node for the device to access a network.

[0047] In one possible implementation, the method constitutes an action for maintaining the EMSK profile.

[0048] In one possible implementation, for execution of the method, the first node does not have a shared key with the device after successfully completing mutual authentication of the device and the first node.

[0049] In one possible implementation, after execution of the method, the EMSK profile is maintained by the first node.

[0050] In one possible implementation, the action is called by a node which provides autonomous network capability programming services.

[0051] In a sixth aspect, a method performed by a first node is provided. The method comprises transmitting a message to a device, wherein the message comprises a list of sub-services supported by a service provider, the message comprising: a list of identifiers of descriptions of the sub-services; charging policies for each sub-service; and an identifier of the service provider providing the sub-services.

[0052] In one possible implementation, the charging policies comprise at least one of: an identifier of a given charging policy and fees to be charged for the use of the sub-services according to a set of charging rules.

[0053] In one possible implementation, the sub-services are part of a broader service offered by the service provider.

[0054] In one possible implementation, the method constitutes an action for providing a list of sub-services supported by a service provider to the device.

[0055] In one possible implementation, for execution of the method, the first node receives the list of sub-services from a second node, the second node being a node which provides descriptions of sub-services offered by some service providers to other service providers.

[0056] In one possible implementation, the first node transmits the message to the device upon the device subscribing to a network on-demand service or upon the device pre-subscribing to the broader service.

[0057] In one possible implementation, after executing the method, the list of the sub-services supported by the service provider has been provided to the device.

[0058] In one possible implementation, the action is called by a node which provides autonomous network capability programming services.

[0059] In a seventh aspect, a method performed by a first node is provided. The method comprises receiving, from a device, a subscription request comprising: an identifier of a service provider, an identifier of a sub-service provided by the service provider; identifiers of actions available as part of the sub-service; an identifier of the device; and charging policies to be applied for using the sub-service.

[0060] In one possible implementation, the identifier of the device is a temporary service subscription identifier generated by the service provider or assigned by an identifier manager, to allow the device to access the sub-service after successful authentication.

[0061] In one possible implementation, the charging policies comprise at least one of: an identifier of a given charging policy and fees to be charged for using the sub-service according to a set of charging rules.

[0062] In one possible implementation, the first node receives the subscription request from the device upon the device subscribing to a network on-demand service or upon the device pre-subscribing to the sub-services provided by the service provider, the device having previously obtained a list of sub-services for the service.

[0063] In one possible implementation, for execution of the method, the first node obtains the list of sub-services part of a broader service offered by a service provider, the list being obtained from a second node, the second node being a node which provides descriptions of sub-services offered by some service providers to other service providers.

[0064] In one possible implementation, after execution of the method, subscription by the device to one or more of the sub-services is complete.

[0065] In one possible implementation, the method constitutes an action for subscribing to a sub-service offered by a service provider, the action being called by a node which provides autonomous network capability programming services.

[0066] In an eighth aspect, a method performed by a first node is provided. The method comprises transmitting a subscription message to a service provider, the subscription message including information on a sub-service the device has subscribed to, the information including: a sub-service description; a charging policy to be applied for using the sub-service by a device; and a device identifier identifying the device to which the sub-service will be provided.

[0067] In one possible implementation, the sub-service description comprises one or more identifiers of sub-services the device has subscribed to as part of a broader service, and, for each sub-service, an identifier of each action available for the sub-service.

[0068] In one possible implementation, the actions can be called by the device as part of the sub-service provided by the service provider to the device.

[0069] In one possible implementation, the charging policies comprise at least one of: an identifier of a given charging policy and fees to be charged for the use of the sub-service according to a set of charging rules.

[0070] In one possible implementation, the identifier of the device is a temporary service subscription identifier generated by the service provider or assigned by an identifier manager, to allow the device to access the sub-service after successful authentication.

[0071] In one possible implementation, for execution of the method, the first node has subscribed the device for the sub-service.

[0072] In one possible implementation, after execution of the method, the first node has provided to the service provider the information on the sub-service the device has subscribed to.

[0073] In one possible implementation, the method constitutes an action of providing customer subscription to a service provider, the action being called by a node which provides autonomous network capability programming services.

[0074] In a ninth aspect, a method performed by a first node of a network is provided. The method comprises receiving, from a device, an authorization request to access a sub-service part of a broader service provided by a service provider, wherein the authorization request comprises information on the sub-service and information on the device; and transmitting an authorization response to the device, wherein the authorization response comprises a token to be used by the device to access the sub-service, an expiration parameter for the token, and a restriction to be applied on the token.

[0075] In one possible implementation, the authorization request comprises: an identifier of the sub-service; an identifier of an action available under the sub-service; a service provider identifier; a device identifier; and a device location.

[0076] In one possible implementation, the identifier of the device is a temporary service subscription identifier generated by a service provider or assigned by an identifier manager, to allow a device to access the sub-service after successful authentication.

[0077] In one possible implementation, the expiration parameter for the token is a time window during which the device is authorized to use the sub-service.

[0078] In one possible implementation, the restriction to be applied on the token is a geographical restriction based on the device location, for restricting use of the sub-service by the device to a certain geographical zone.

[0079] In one possible implementation, the token is issued by the first node and is used to identify the device when using the sub-service.

[0080] In one possible implementation, for execution of the method, the first node has subscribed the device for the sub-service.

[0081] In one possible implementation, the token is used by the device to access the sub-service.

[0082] In one possible implementation, after execution of the method, the first node has authorized the device to access the sub-service.

[0083] In one possible implementation, the method constitutes an action called when a device accesses a sub-service and the first node needs to verify whether the device is authorized to access the sub-service.

[0084] In one possible implementation, the method constitutes an action for authorizing the device to access the service provider, the action being called by a node which provides autonomous network capability programming services.

[0085] In another aspect, an apparatus is provided, being configured to perform any of the methods described in the previous aspects. The apparatus comprises one or more processors and one or more memories storing instructions which, when executed by the one or more processors, cause the apparatus to perform the method according to any of the implementations described above.

[0086] In another aspect, a computer-readable medium is provided, storing computer execution instructions which, when executed by a processor, cause the processor to execute any of the methods described in the previous aspects.

[0087] In another aspect, a computer program product is provided, comprising program code for performing any of the methods described in the previous aspects.

[0088] In another aspect, a computer program is provided, comprising computer execution instructions which, when executed by a processor, cause the processor to execute any of the methods described in the previous aspects.

[0089] In another aspect, a chip is provided, comprising an input / output (I / O) interface and a processor, wherein the processor is configured to call and run a computer program stored in a memory, to enable a device installing the chip to perform any of the methods described in the previous aspects.BRIEF DESCRIPTION OF THE DRAWINGS

[0090] The accompanying drawings are used to provide a further understanding of the present disclosure, constitute a part of the specification, and are used to explain the present disclosure together with the following specific embodiments, but should not be construed as limiting the present disclosure.

[0091] FIG. 1 shows a simplified schematic illustration of a 6G system conceptual structure according to one or more example implementations of the present disclosure.

[0092] FIG. 2A shows a simplified schematic illustration of an example of an apparatus in a communication system according to one or more example implementations of the present disclosure.

[0093] FIG. 2B shows connections related to a wireless device in a communication system according to one or more example implementations of the present disclosure.

[0094] FIG. 3 shows a schematic flowchart of a method according to one or more embodiments of the present disclosure, for subscribing a device to an authentication service.

[0095] FIG. 4 shows a schematic flowchart of another method according to one or more embodiments of the present disclosure for validating a credential of a device.

[0096] FIG. 5 shows a schematic flowchart of yet another method according to one or more embodiments of the present disclosure for providing credential information of a first node to a device.

[0097] FIG. 6 shows a schematic flowchart of yet another method according to one or more embodiments of the present disclosure for transmitting a root key to a device.

[0098] FIG. 7 shows a schematic flowchart of yet another method according to one or more embodiments of the present disclosure for sending a message with a root key profile for mutual authentication between a first node and a device.

[0099] FIG. 8 shows a schematic flowchart of yet another method according to one or more embodiments of the present disclosure for transmitting to a device a list of sub-services supported by a service provider.

[0100] FIG. 9 shows a schematic flowchart of yet another method according to one or more embodiments of the present disclosure for receiving a subscription request from a device.

[0101] FIG. 10 shows a schematic flowchart of yet another method according to one or more embodiments of the present disclosure for transmitting a subscription message to a service provider.

[0102] FIG. 11 shows a schematic flowchart of yet another method according to one or more embodiments of the present disclosure for negotiating, between a first node and a device, a request to access a sub-service.

[0103] FIG. 12 is an illustration of the steps involved in providing a new identifier for a device for accessing a service of a network and in providing credentials for the device, as part of a mutual authentication process between a device and a node, in accordance with possible embodiments of the present disclosure.

[0104] FIG. 13 is an illustration of the steps involved in the process of subscribing the device to a service, in accordance with other possible embodiments of the present disclosure.

[0105] FIG. 14 shows a block diagram of an apparatus according to one or more embodiments of the present disclosure.

[0106] FIG. 15 shows a block diagram of another apparatus according to one or more embodiments of the present disclosure.

[0107] FIG. 16 shows a schematic structural diagram of a communication apparatus according to one or more embodiments of the present disclosure.

[0108] FIG. 17 shows a schematic diagram of an architecture of a computing device cluster according to one or more embodiments of the present disclosure.

[0109] FIG. 18 shows a schematic diagram of a connection between computing devices over a network according to one or more embodiments of the present disclosure.DETAILED DESCRIPTION

[0110] In In the following description, reference is made to the accompanying figures, which form part of the present disclosure, and which show, by way of illustration, specific aspects of embodiments of the present disclosure or specific aspects in which embodiments of the present disclosure may be used. It is understood that embodiments of the present disclosure may be used in other aspects and include structural or logical changes not depicted in the figures. The following detailed description, therefore, is not to be taken in a limiting sense, and the scope of the present disclosure is defined by the appended claims.

[0111] The solution described in the present disclosure is applicable to a next generation (e.g., sixth generation (6G) or later) network, or a legacy (e.g. 5G or 4G) network.

[0112] The proposed 6G System architecture is defined to support 6G ‘X’a s a service (XaaS) or anything-as-a-service (XaaS) services by using techniques such as Network Function Virtualization and Network Slicing. The 6G System architecture utilizes service-based interactions between 6G services.

[0113] The 6G System leverages service-based architecture and the XaaS concept. XaaS services in the 6G System are categorized into three layers. The 6G System conceptual structure is shown in FIG. 1.

[0114] Infrastructure Layer includes infrastructures supporting 6G services. Among them are wireless networks (radio access network (RAN) , core network (CN) ) infrastructures, Cloud / data center infrastructures, satellite networks, storage / database infrastructures, and sensing networks, and etc. These infrastructures can be provided by a single provider or by multiple providers. As shown in FIG. 1, each of the infrastructures on the infrastructure Layer could have its control and management functions, denoted as C / M functions, for infrastructure management. Each of these infrastructures is one type of Infrastructure as a Service.

[0115] Control and Management (C / M) layer includes control and management services of the 6G System. They are developed and deployed by using slicing techniques and utilizing resource provided by infrastructure layer. 6G services in Control and Management (C / M) layer are: - Resource Management (RM) as a Service provides a capability of life-cycle management of a variety of slices and  over-the-air resource assignment to wireless devices. - A 6G mission is defined as a service provided to customers by the 6G System. A mission can be a type of service  which is provided by a single 6G XaaS service or a type of service that needs contributions from multiple XaaS services. - Mission Management (MM) as a Service provides a capability to program provisioning of XaaS services at Service  Layer to provide mission services. - Confederation Network (CONET) or CONsortium of NETworks (CONET) as a Service provides a capability to  enable multiple partners jointly provide 6G services. This capability is provided by confederation formation, mutual authentication, mutual authorization among partners and negotiation of agreement on recording and retracing of selected actions performed by partners, in order to assure a trustworthy environment of 6G System operations. - Service Provisioning Management (SPM) as a Service provides a capability of control and management of 6G  service access by customers and provisioning of requested services. The capability is provided by unified mutual authentication, authorization and policy, key management, QoS assurance and charging between any pair of XaaS service provider and customer. The customers include end-customers not only in physical world, but also digital representatives in digital world. - Connectivity Management (CM) as a Service leverages 5G connectivity management functions, but with extension  to include digital world. - Protocol as a Service provides a capability to design service customized protocol stacks for identified interfaces. - The protocol stacks could be pre-defined for on-demand selection, or could be on-demand designed. - Network Security as a Service provides a capability for owners of infrastructures to detect potential security risks  of their infrastructures. - XaaS services in C / M Layer support control and management of the 6G System itself and also provide support to  verticals if requested. One example is that RM service can serve RAN for over-the-air resource management and can also provide service to a vertical for the vertical’s over-the-air resource allocation to its end-customers. The XaaS in C / M layer can be deployed by using slicing technique.

[0116] Service Layer includes 6G services which provide services to customers. In the 6G System conceptual structure: - AI service is denoted as NET4AI as a Service. Artificial Intelligence service provides AI capability to support a  variety of AI applications. - Service of data collection, data sanitization, data analysis and data delivery are denoted as DAM as a Service, this  service provides a capability of lifecycle management of statistic data, including acquisition, de-privatization, analysis and delivery of data which are information statistic data from any types of sensors, devices, network functions, and etc. - Service of storage and sharing of data is denoted as NET4Data as a Service, this service provides a capability to  trustworthily storage and share data under the control of owners of data and following recognized authorities’ regulations on control of identified data. - Service to provide digital world is denoted as NET4DW as a Service, Digital World service provides a capability  to construct, control and manage digital world. Digital world is defined as digital realization of physical world. - 6G block chain service is denoted as NET4BC as a Service. 6G connectivity service is denoted as NET4Con as a  Service. This service provides a capability to support 6G block chain services. - Enhanced connectivity service, e.g., network for connectivity (NET4CON) as a service. This service provides a  capability to support exchange of messages and data among new 6G services.

[0117] All XaaS services at this Layer are developed and deployed by using resources provided in infrastructure and utilizing Network Function Virtualization and Slicing techniques. The capability of each of 6G services is provided by its control and management functions and service-specific data process functions.

[0118] In addition to support 6G XaaS services at Service Layer, 6G System leverages 5G System for provisioning of vertical services. The difference between 6G XaaS services and other verticals are that a vertical is a pure customer who needs other XaaS services to enable its operation, while each of XaaS services provide their capabilities to 6G customers.

[0119] Any pair of XaaS services of the 6G System could also be mutual customer and provider of each other. Some of example are that an infrastructure owner provides its resource to XaaS services in Service Layer and C / M Layer; RM services may need the capabilities provided by NET4AI, DAM and NET4DW for its resource management for vertical slicing; CONET service and NET4Data service may need the capability provided by NET4BC for their operation.

[0120] Concepts of a 6G Systems includes: - Define Basic XaaS Services by decoupling comprehensive types of services into basic XaaS services. A basic XaaS  service provides unique capability to enable a specific type of service, such as NET4AI service, NET4DW service, DAM service, NET4Data service, Block chain service, mission management service, etc. - Allow joint operation of the 6G System by multiple partners. - Define Data Plane of the 6G System which includes processing functions of data plane of XaaS services. Programing  the interconnection of these functions, by mission management service, enables them to support a variety of customized customer services. - Simplify 6G System architecture by categorizing basic control services and management services and combining  them as basic XaaS services in Control and Management (C / M) Layer. - Define C / M Plane of the 6G System which includes C / M functions in XaaS services and may include 5G CP (e.g.,  AMF) depending on implementation options. - Define Basic Architecture Structure (BAS) which is a unified basic structure with minimized number of interfaces  and is independent of types of infrastructures. - Simplify standardization, development and deployment of the 6G System using the BAS concept, while supporting  a variety of infrastructure deployment scenarios. - Adapt to a variety of deployment scenarios by applying the BAS or a subset of it to infrastructures based on capability,  capacity and requirement of the infrastructure networks. - Leverage SBI interface concept and apply SBI interaction in both 6G C / M plane and 6G data plane. - Simplify SBI interfaces by introducing trustworthy (TW) GWs in Data Plane and C / M Plane of the 6G System. - Improve trustworthiness from perspectives of operation of the 6G System by introducing CONET capability,  NET4BC capability and anonymous service provisioning provided by the trustworthy GWs in the C / M plane and data plane of the 6G System. - Improve trustworthiness from perspective of end customer privacy protection by unified mutual authentication,  Identifier Management (IDM) , data sanitization and etc. provided by SPM service, DAM service and 6G Block Chain service. - Simplify roaming management of wireless devices, in the physical world and digital world, by unified authentication  including all participated partners and customers. - Support multiple development paths from 5G System to 6G System by defining multiple architecture options without  incurring many efforts due to the introduction of the BAS concept. - Support backward compatibility by utilizing the benefits of SBA and its add-on feature. 5G users can use the 6G  System to access 5G services. - Support future extension by adding new XaaS services with minimized impact on standardization and deployment,  due to the introduced anonymous service provisioning concept implemented in trustworthy GWs in 6G C / M plane and in 6G data plane.

[0121] In the present disclosure, the 6G customer can be of various types, including a device (e.g., electronic device ED, terminal device) , apparatus, a chip, an equipment (e.g., user equipment) etc. For example, the customer may be an individual customer, a business customer, etc. The 6G customer is used to connect persons, objects, machines, etc. The 6G customer may be widely used in various scenarios including, for example, cellular communications, device-to-device (D2D) , vehicle to everything (V2X) , peer-to-peer (P2P) , machine-to-machine (M2M) , MTC, internet of things (IoT) , virtual reality (VR) , augmented reality (AR) , mixed reality (MR) , metaverse, digital twin, industrial control, self-driving, remote medical, smart grid, smart furniture, smart office, smart wearable, smart transportation, smart city, drones, robots, remote sensing, passive sensing, positioning, navigation and tracking, autonomous delivery and mobility, etc.

[0122] Each 6G customer represents any suitable end user device for wireless operation and may include such devices (or may be referred to but not limited to) as a user equipment (UE) or a user device or a terminal device, a wireless transmit / receive unit (WTRU) , a mobile station, a fixed or mobile subscriber unit, a cellular telephone, a station (STA) , a MTC device, a personal digital assistant (PDA) , a smartphone, a laptop, a computer, a tablet, a wireless sensor, a consumer electronics device, a smart book, a vehicle, a car, a truck, a bus, a train, or an IoT device, wearable devices (such as a watch, a pair of glasses, head mounted equipment, etc. ) , an industrial device, or an apparatus in (e.g., module, modem, or chip) or comprising the forgoing devices, among other possibilities. Future generation 6G customer may be referred to using other terms. When a 6G customer performs (or is configured to perform) a method described herein, it may be interpreted as the ED, one or more module (or units) in the ED, a circuit or chip, or a combination thereof, may perform the method. For example, the circuit or chip may include a modem chip, also referred to as a baseband chip, a system on chip (SoC) including a modem core, or system in packages (SIP) ) , and the like, and may be responsible for one or more communication functions in the ED.

[0123] FIG. 2A shows a simplified schematic illustration of a deployment of a 6G system according to one or more example implementations of the present disclosure. In more detail, FIG. 2A illustrates an example of an apparatus 320 in a communication system (e.g., the 6G system) . The apparatus 320 may be a device (e.g., a device representing the customer) , a network node such as RAN, any components in RAN, CN or any Network Function in the 6G service of the present disclosure, or an apparatus includes one or more of the network functions (as mentioned above) . As shown in FIG. 2, the apparatus 320 may include at least one processor 260. Only one processor 260 is illustrated to avoid congestion in the drawing. The processor 260 may perform (or control the apparatus 320 to perform) operations (or methods) described herein as being performed by the apparatus 320.

[0124] When the apparatus is RAN, components of the RAN or the apparatus is the UE, the apparatus 320 may further include a transmitter 252 and a receiver 254 coupled to one or more antennas. One, some, or all of the antennas may alternatively be panels. The transmitter 201 and the receiver 203 may be integrated, e.g., as a transceiver. The transceiver is configured to modulate data or other content for transmission by at least one antenna or network interface controller (NIC) . The transceiver is also configured to demodulate data or other content received by the at least one antenna. Each transceiver includes any suitable structure for generating signals for wireless or wired transmission and / or processing signals received wirelessly or by wire. Each antenna includes any suitable structure for transmitting and / or receiving wireless or wired signals. In present disclosure, the transceiver (or transmitter 252 and / or receiver 254) may be viewed as an interface circuit.

[0125] The apparatus 320 may include at least one memory 258. The memory 258 stores instructions used to perform operations described herein. The memory 258 may also store data used, generated, or collected by the apparatus 320. For example, the memory 258 could store software instructions or modules configured to implement some or all of the functionality and / or embodiments described herein and that are executed by one or more processor 260.

[0126] For ease of understanding, different connections related to the device will be described in the first place. As shown in FIG. 2B, the device would be connected to its serving gateways, including a C / M gateway shown as C / M-TW-GW-1 and a data gateway shown as Data-TW-GW-1, it should be noted that although C / M-TW-GW-1 and Data-TW-GW-1 are shown as being deployed on the infrastructure of CN (e.g., CN infrastructure as shown in FIG. 1) , they could also be deployed on other infrastructures, such as RAN infrastructure, which is not limited in the embodiments of the present disclosure.

[0127] The connections related to the device may include but are not limited to following: 1) Device CN-C / M RB: an RB between a wireless device and its serving RAN (Cell, RB handler) that carries C / M  session traffic; 2) Device CN-data RB: an RB between a wireless device and its serving RAN (Cell, RB handler) that carries data  session traffic; 3) Device RAN-C / M RB: an RB between a wireless device and its serving RAN that carries RAN related C / M traffic; 4) Device RAN-data RB: an RB between a wireless device and its serving RAN that carries RAN related data traffic; 5) Device data session: a logical connection between a device and its serving Data-TW-GW, e.g., Data-TW-GW-1; 6) Device C / M session: a logical connection between a device and its serving C / M-TW-GW, e.g., C / M-TW-GW-1; 7) Device-NC connection: a logical connection between a device and a Network Capability (NC) (C / M NC or data  NC) . The connection carries data / information traffic; the connection would be a downlink connection or an uplink connection; 8) Device-ext (external) connection: a logical connection between a device and an entity, e.g., server, located in  external networks. A GW that has connection with external networks is an ext-Data-TW-GW or an ext-C / M-TW-GW, e.g., C / M-TW-GW-2 and Data-TW-GW-2 in this figure. Network needs to establish a tunnel between the device and an ext-GW to support a device-ext connection.

[0128] In 6G system, both new 6G XaaS services and network C / M XaaS services are categorized as basic XaaS services, a XaaS service (which is also referred to as service herein) is defined as an NC. The NCs at the C / M layer may be referred to as C / M NCs, and the NCs at the service layer may be referred to as data NCs.

[0129] There would be downlink and uplink RBs, downlink and uplink sessions, downlink and uplink device-NC connections, which are not shown in details.

[0130] With respect to the RBs between the device and the RAN shown in FIG. 2B, the RBs generally include device CN RB and device RAN RB. The device CN RB includes the above device CN-C / M RB and device CN-data RB, and the device RAN RB includes the above device RAN-C / M RB and device RAN-data RB. From the perspective of directions, the RB may be a downlink RB from RAN to a wireless device or an uplink RB from the wireless device to RAN, so the RB can be of a downlink type or an uplink type, the downlink and uplink RB may be referred to as a pair of RB; from the perspective of traffic types, the RB could be a C / M RB for carrying control signalling traffic on the C / M plane or a data RB for carrying data traffic on the data plane, so the RB can be of a C / M type or a data type; from the perspective of traffic destinations, the RB could be called a RAN-RB or a CN-RB, the RAN-RB is a RB that carries signalling messages or data traffic between a wireless device and RAN, the CN-RB is a RB that carries signalling messages or data traffic between a device and core network (CN) on the over-the-air interface, so in this case, the RB can be of a RAN-RB type or a CN-RB type. When combining the above different perspectives, different RBs may be downlink / uplink RAN-C / M RB (RAN-RB for carrying signalling messages on the C / M plane) , downlink / uplink RAN-data RB (RAN-RB for carrying data traffic on the data plane) , downlink / uplink CN-C / M RB (CN-RB for carrying signalling messages on the C / M plane) , downlink / uplink CN-data RB (CN-RB for carrying data traffic on the data plane) . That is, a RAN-RB may be an uplink / downlink RAN-C / M RB or RAN-data RB, a CN-RB could be an uplink / downlink CN C / M RB or CN-data RB; a C / M RB could be an uplink / downlink RAN-C / M RB or uplink / downlink CN-C / M RB, a data RB could be an uplink / downlink RAN-data RB or uplink / downlink CN-data RB.

[0131] With respect to the session related to a wireless device, from the perspective of traffic types, the session could be a C / M session which is a logical connection between a wireless device and its serving C / M-TW-GW for control signalling exchanging therebetween on the C / M plane, or a data session which is a logical connection between a device and its serving data-TW-GW for data exchanging therebetween on the data plane, so the session can be of a C / M type or a data type; from the perspective of directions, the session may be a downlink session from a serving GW (serving C / M-TW-GW or serving data-TW-GW) to a wireless device or an uplink session from the wireless device to the serving GW, so the session can be of a downlink type or an uplink type, the downlink and uplink sessions may be referred to as a pair of session. When combining the above different perspectives, different sessions may be downlink / uplink C / M session (C / M session for control signalling exchanging therebetween on the C / M plane) , or downlink / uplink data session (data session for data exchanging therebetween on the data plane) . That is, a session may be an uplink / downlink C / M session or data session.

[0132] With respect to the NC connection between a wireless device and an NC, from the perspective of traffic types, the NC connection could be a C / M NC connection which is a logical connection between a wireless device and a C / M entity of the NC, or a data NC connection which is a logical connection between the wireless device and a data entity of the NC, so the NC connection can be of a C / M type or a data type; from the perspective of directions, the NC connection may be a downlink NC connection from a entity (C / M entity or data entity) of the NC to a wireless device or an uplink NC connection from the wireless device to the entity, so the NC connection can be of a downlink type or an uplink type, the downlink and uplink NC connections may be referred to as a pair of NC connections. When combining the above different perspectives, different NC connections may be downlink / uplink C / M NC connections, or downlink / uplink data NC connections. That is, an NC connection may be an uplink / downlink C / M NC connection or a data NC connection.

[0133] As described above, both new 6G XaaS services and network C / M XaaS services are categorized as basic XaaS services, a XaaS service is defined as an NC. Each of these NCs can provide a single or a group of specific capabilities to enable 6G system control and management and 6G service provisioning, an NC can provide one or more sub-services, each sub-service being enabled by one or more basic network capabilities, i.e., actions. Each basic network capability or action could be described in a consistent format, and could be AI / LLM (large language model) friendly (for AI enabled full automation) , such a consistent format is defined as a network capability description language (NCDL) . In a possible implementation, a XaaS service can be implemented / achieved through execution of one or more actions corresponding to the XaaS service, the one or more actions are used for reflecting one or more capabilities for implementing a requirement of the service, the one or more actions may correspond to the one or more capabilities one-by-one, or a combination of multiple actions may correspond to one capability. Taking a case where the XaaS service is NET4AI service as an example, NET4AI service can provide AI-related services to 6G customers or to other NCs. These AI-related services can be enabled by its inference capability or sub-service, training capability or sub-service, and model management capability or sub-service. That is, the requirement for NET4AI service can include but is not limited to: a training requirement, an inference requirement, a model management requirement which can be related to storing of a model or a library related to provision of NET4AI service, enhancement / improvement of the model, or the like; for the training requirement, and there could be multiple algorithms / schemes such as algorithm / scheme A, algorithm / scheme B and algorithm / scheme C for implementing the training requirement, then the multiple algorithms / schemes can be regarded as multiple actions corresponding to NET4AI service. It should be noted that here the algorithm / scheme is just an implementation of the action, the action of a service may be characterized in other forms, which are not limited in the implementations of the present disclosure. For the purposes of this disclosure, a network capability (NC) may encompass one or more services related to a common purpose, such as providing connectivity, making predictions using AI models, or maintaining decentralized ledgers with blockchains, as examples. Accordingly, the terms "network capability" and "service" may be used interchangeably. A network capability provider, or service provider, refers to an entity comprising both physical and logical components that deliver services to other entities, whether users or other services.

[0134] The NCDL defines a language which could be understandable by both parties, i.e., a first NC calling the action and a second NC executing the action called by the first NC. The actions may be classified into different types as follows: Type 1: In-out-action: when being called, action codes are run based on input and produce output. (Input-> action-> output) ; Type 2: In–action: when being called, action codes are run based on input and local configuration / update is then  conducted (input->action-> local update) ; Type 3: Out-action: when a local condition (triggering condition) is met, action codes are run to provide output (local  ->action->output) .

[0135] For Type 1 action and Type 2 action, the first NC calls an action to be performed by the second NC, the first NC provides an NCDL input to the second NC. The NCDL input follows a certain agreement for the second NC to correctly recognize the NCDL input and execute the action. For Type 1 action, the second NC provides an NCDL output corresponding to the NCDL input. This NCDL output may be provided to the first NC, or to other NC (s) , which is not limited in the embodiments of the present disclosure. For Type 2 action, the second NC performs a local configuration update based on the NCDL input, and no NCDL output is transmitted.

[0136] For Type 3 action, there is no NCDL input, and when a local condition (triggering condition) is met, the second NC automatically executes the operation associated with the action and provides an NCDL output to the first NC which subscribes to this action.

[0137] For an NCDL of a C / M NC, the input dimensions (NCDL input) can include one or multiple input information without defining corresponding input information format; for an NCDL of a data NC, this dimension can include one or multiple input data dimensions along with the definition of corresponding input data format.

[0138] For an NCDL of a C / M NC, the input dimensions (NCDL input) can include one or multiple input information without defining corresponding input information format; for an NCDL of a data NC, this dimension can include one or multiple input data dimensions along with the definition of corresponding input data format.

[0139] Before discussing in greater detail, the objectives of the various embodiments of the invention, the problems they solve, and how they operate, definitions of concepts to which we will refer in the remainder of the disclosure are presented below.

[0140] As explained in the previous paragraphs, a Network Capability (NC) can refer to a XaaS (Anything as a Service) provided by a 6G system. An NC can encompass one or more services with a common purpose or function. An NC may also be called a service. NCs can be provided by NC providers, which manage and operate different physical and / or logical components, collectively called “nodes” , to render the services supported by an NC. The term “NC provider” also refers to a service provider which can provide services or sub-services.

[0141] In line with the foregoing, it is further noted that the terms “service” and “sub-service” are used interchangeably throughout the present description. This usage reflects the layered architecture of Network Capabilities, where an NC may expose multiple sub-services, each of which may independently function as a service in certain operational contexts. Accordingly, unless expressly distinguished, a reference to a service may be understood to include a sub-service, and vice versa. Similarly, the terms “NC provider” and “service provider” are considered synonymous and may be used interchangeably to refer to an entity responsible for delivering one or more services or sub-services. This convention is adopted for terminological consistency and does not alter the scope or structure of the described embodiments.

[0142] A node may comprise one or more processors; and one or more tangible, non-transitory memories. A network node may refer to any device or point within a communication network that can send, receive, process or forward data. Network nodes may include devices such as computers to more complex equipment such as routers, switches, and servers. A node can also be a virtual entity, implemented by logical functions, command blocks and / or software modules.

[0143] Action (provided by an NC) : The functionalities of an NC provider can be supported by one or multiple operations. Each of the operations is defined as an action provided by the NC. An “action” may be defined as a set of code executed by a network capability (NC) provider to deliver a specific function to a customer, via his / her devices. An action may require agreed-upon parameters, including input and output formats, and operational rules. Actions can be negotiable, where customers or clients select, via their devices, from available options, or non-negotiable, where the provider defines all parameters. Actions can be triggered on-call when explicitly requested or autonomously when predefined conditions are met. Depending on execution, actions may process inputs to generate outputs, update local configurations, or produce results based on internal conditions. Actions enable network automation and ensure seamless service interaction in 6G systems.

[0144] Network Capability Description Language (NCDL) : The collection of information on network capability description. To provide this capability, an NC provider defines its supported actions and provide capability description of each action.

[0145] Mission service: Mission service is a novel concept of the proposed 6G System. The provisioning of a mission service results from the contribution of one or multiple NCs, i.e., mission involved NCs, and one or multiple actions are required for the mission service provisioning.

[0146] Mission operation: Each action that is required by the mission service is known as a mission operation. Thus, the execution of the mission consists of the execution of its mission operation (s) .

[0147] Mission instantiation: The creation of an instance of a mission.

[0148] Mission session: A mission session is a collection of actions performed, in a certain order, by one or multiple NCs (entities) involved in executing the mission. Also involved in a mission session are 6G devices and mission service consumers.

[0149] Data plane NC (entity) : an NC (entity) which can contribute to a data plane mission service, i.e., can be involved by a data plane mission session.

[0150] C / M plane NC: an NC which can contribute to a C / M plane mission service i.e., can be involved in a C / M plane mission session.

[0151] Radio Bearer (RB) : A Radio Bearer may refer to a logical channel used for transmitting data between a device and the network.

[0152] Extended Master Session Key (EMSK) : an EMSK key may refer to a cryptographic key used for deriving session and encryption keys.

[0153] Autonomous Capability Programming (A-CAP) : a mechanism or service for automating network service provisioning and capability exposure.

[0154] 6G Key Set Identifier (6gKSI) : A 6gKSI may be defined as a unique identifier for key sets in 6G networks, used for managing security credentials across sessions and devices.

[0155] Authentication and authorization are important components for securing communications between devices, service providers, and networks, particularly in advanced 6G environments where automation and scalability are available. The present disclosure provides a structured approach to authentication and authorization through the use of different actions defined by a Network Capability Description Language (NCDL) . These actions enable devices to authenticate their subscriptions, validate credentials, and obtain necessary authorization for accessing network services securely.

[0156] A first node may provide two services: a service for mutual authentication of devices and a service for authorizing access of the device to other services, provided by the network and / or by service providers. This first node may be a configured to control and manage service access by customers and to provision the requested services of the network (and may be referred to as a “SPM” node. ) The device mutual authentication service ensures that a device is securely authenticated before accessing the network, supporting multiple authentication methods such as Authentication and Key Agreement (AKA) , Physical Unclonable Function (PUF) , 5G-Extensible Authentication Protocol (EAP) , and 6G-EAP. These authentication mechanisms provide flexibility, allowing devices to negotiate authentication parameters and select the most suitable security model based on network requirements.

[0157] The service authorization service ensures that authenticated devices can subscribe to, and access, network capabilities under controlled conditions. This includes managing subscriptions to network capabilities, provisioning access credentials, and issuing authorization tokens to regulate service interactions. The first node (or SPM node) enforces authorization policies, ensuring that devices only access services they are subscribed to, and that access remains compliant with network security requirements.

[0158] By using authentication and authorization actions defined by the NCDL, devices can dynamically negotiate security parameters, subscribe to network capabilities, and obtain access tokens for service interactions. This structured approach provides a scalable and flexible authentication and authorization solution, enabling automation and efficient security enforcement in future 6G networks.

[0159] The technical problems addressed by the present invention arise from the need for a structured, scalable, and automated mechanism for managing authentication and authorization in next-generation networks, particularly in 6G environments. Existing network security frameworks do not provide a standardized and flexible approach for defining, negotiating, and managing authentication and authorization actions across different network components, resulting in inefficiencies and security vulnerabilities.

[0160] A key challenge is the lack of a formalized mechanism for describing and managing authentication and authorization processes dynamically. Traditional authentication systems rely on rigid, pre-configured security mechanisms that do not accommodate real-time negotiation of authentication methods or credential validation between devices, service providers, and network capability nodes (NCs) . This results in inefficiencies when a device needs to authenticate itself under varying security requirements, particularly in cases where different authentication mechanisms, such as Authentication and Key Agreement (AKA) , Physical Unclonable Function (PUF) , and Extensible Authentication Protocols (EAP) , must be supported.

[0161] Another problem is the inefficiency of handling service subscriptions and access control within networks. Existing solutions do not provide an automated and structured method for managing service authentication and authorization. Devices often lack the ability to subscribe to authentication services based on their security needs or to seamlessly negotiate authentication credentials with the network. This limitation leads to delays in service provisioning, increased computational overhead, and unnecessary authentication redundancies, particularly in dynamic network environments where devices frequently change network providers or service capabilities.

[0162] Furthermore, existing authorization frameworks lack flexibility in enforcing access control policies for different network capabilities (NCs) . Service providers require an adaptive authorization mechanism that ensures that only properly authenticated and authorized devices gain access to network services while preventing unauthorized or misconfigured devices from exploiting network resources. However, current systems do not provide a standardized and automated method for issuing, validating, and revoking authorization tokens dynamically.

[0163] The present disclosure provides a structured and scalable framework for authentication and authorization in next-generation networks, particularly in 6G environments. The proposed methods introduce a Service Provision Management (SPM) system that leverages a Network Capability Description Language (NCDL) to define and manage authentication and authorization actions dynamically. The invention ensures that devices can securely authenticate themselves, validate credentials, and gain controlled access to network services while enabling service providers to enforce security policies efficiently.

[0164] As stated earlier, one aspect of this disclosure relates to device mutual authentication, which ensures that a device is securely authenticated before it can access network services. A node, such as a SPM node, supports multiple authentication mechanisms, including AKA, PUF, 5G-EAP, and 6G-EAP. The ability to negotiate and select authentication parameters dynamically allows devices to authenticate using the most suitable method based on network policies and security requirements.

[0165] Another aspect is service authorization, which manages how authenticated devices subscribe to network capabilities and access network services. The node (such as an SPM node) facilitates a structured subscription model where devices can request access to specific services, validate their credentials, and obtain authorization tokens. These tokens define the scope, validity, and restrictions of the device’s access to network capabilities, ensuring strict enforcement of access control policies.

[0166] To support dynamic authentication and authorization, the invention provides a range of NCDL-defined actions, which include: - Authentication of Subscription: this action establishes authentication credentials for a device upon network  registration. - Validation on Credential of Device: this action ensures that the device’s authentication credentials comply with  network security policies. - Provision of Credential of SPM to Device: this action allows mutual authentication by providing the first node  (SPM’s ) credential to the device. - Provision of EMSK’s Material to Device: this action enables devices to generate cryptographic keys for secure  session management. - Maintenance of EMSK Profile: this action manages and updates cryptographic materials to ensure authentication  continuity. - Provision of NC SDL to Device: this action provides a structured list of available network services and policies to  the device. - Subscription of NCDLs to Device: this action allows devices to select and subscribe to specific authentication and  security services. - Provision of Customer Subscription to NC: this action ensures that network service providers have access to  subscription records for service provisioning. - Authorization of Device Accessing NC: this action issues and manages access tokens for devices requesting specific  network services.

[0167] The proposed methods (including the different actions) enhance security by introducing a structured authentication and authorization framework, reducing authentication delays, preventing unauthorized access, and enabling automated security policy enforcement. Additionally, by incorporating a service for automating network service provisioning and capability exposure (referred to as Autonomous Network Capability Programming (A-CAP) ) , authentication and authorization actions can be dynamically triggered based on real-time network conditions, reducing manual intervention and optimizing network efficiency.

[0168] The following paragraphs describe implementations the action subscription to an authentication service, which enables authentication of a subscription of a device to a network service.

[0169] In a first embodiment, the present disclosure provides a method executed by a first node, which may be an SPM node, for enabling subscription to an authentication service by a device. This action is defined through a negotiable NCDL and involves mutual configuration of authentication parameters between the device and the network. FIG. 3 illustrates the stepwise execution of this action, depicting the interactions between the device and the SPM node during the subscription process.

[0170] The execution of this method requires that the device be registered to the first node for a basic service, such as basic connectivity. This registration acts as the pre-condition for initiating the subscription to an authentication service, ensuring the device is recognized by the network and is eligible to participate in mutual authentication procedures.

[0171] At step S301, the first node receives a request from the device. The request includes identification information of the device, such as a device identifier (Subscriber Temporary Identifier (STID) or a Privacy Subscriber Identifier (PSRID) ) , and a request to negotiate authentication information between the device and the first node. The identification information of the device may include an identifier for privacy preservation or a temporary identifier, allowing the device to access the network while maintaining privacy. This identification information may be utilized for privacy preservation or may serve as a temporary identifier allowing the device to access the network.

[0172] At step S302, the first node transmits authentication information to the device. This authentication information presents a set of negotiable capability dimensions defined under the NCDL, enabling the device to select preferred parameters for the authentication service. The provided options include whether the credentials for authentication are device-controlled (self-generated) or network-controlled (network-generated) ; whether authentication is static or dynamic; the authentication method (e.g., Authentication and Key Agreement (AKA) , Physical Unclonable Function (PUF) , 5G-Extensible Authentication Protocol (5G-EAP) , or 6G-EAP) ; an identifier of an algorithm supported by the device for the selected method; whether the credential parameters should be updated during the authentication; and the device credential parameters, such as a certificate or PUF-based challenge-response pair.

[0173] At step S303, the first node receives negotiation results from the device. These negotiation results contain a selection of one or more authentication items from the authentication information transmitted by the first node. Based on the selected items, the device communicates whether it will use self-generated or network-generated credentials, whether static or dynamic authentication is preferred, and which authentication method and algorithm identifier will be employed. The negotiation results also indicate whether credential parameters will be updated and provide the necessary credential information. The indication that the credential parameters are to be updated signifies that the credential parameters will be updated once mutual authentication between the device and the first node is implemented. These selections are processed by the first node to configure the authentication service accordingly.

[0174] In cases where the negotiation results indicate unsuccessful authentication, the first node may retry the process or select an alternative authentication method based on predefined policies. The first node ensures that authentication parameters align with network security policies and device capabilities.

[0175] Upon successful execution of the method, authentication of the subscription is complete. The first node updates its records to reflect the completion of authentication, ensuring that the device is now authorized to access network services.

[0176] This action may be initiated by a second node, such as a node configured to provide autonomous or automatic network capability programming (A-CAP) , which may be triggered by a device or other network capabilities (NCs) . The authentication process ensures that the subscription negotiation is aligned with network policies and security requirements, thereby improving the efficiency and security of service access management in a 6G network environment.

[0177] The following paragraphs will describe an example NCDL of the action of subscription to an authentication service.

[0178] Name of the action: subscription to an authentication service.

[0179] Purpose of the action: a device negotiates authentication parameters with the first node for authenticating its subscription to a service.

[0180] Pre-condition of the action: the device must be registered to the first node (SPM) for a basic service at the time the device opens an account. The basic service may include, for example, a basic connection service.

[0181] Post-condition of the action: authentication of subscription has been conducted.

[0182] Table 1 illustrates capability dimensions of the action “subscription to an authentication service” . Table 1

[0183] The parameters shown in Table 1 represent different capability dimensions (or fields) for the action of authentication of subscription.

[0184] The definitions of the capability dimensions illustrated in Table 1 are as follows: - Identification information: indicates the identification of the device (or device identifier) or name of the device when  accessing the network. This device name may be termed as a Subscriber Temporary Identifier (STID) or a Privacy Subscriber Identifier (PSRID) . An STID or PSRID may correspond to the identifier of a device or customer used for subscribing to a service. These identifiers may be temporary and may be generated by a node, such as a service provisioning management node (SPM) , for each device to access a network, such as a 6G network. - Credential for authenticating the device: this field indicates that a credential is generated either by the device (device- controlled or self-generated) or by the network (network-controller or generated by the network) . - Static / dynamic authentication: this field indicates whether the network provides static mutual authentication or  dynamic mutual authentication for the device. - Authentication method: this field indicates an authentication method that the first node supports, including  Authentication and Key Agreement (AKA) , Physical Unclonable Function (PUF) , 5G-Extensible Authentication Protocol (EAP) and 6G-EAP. - Algorithm identifier: this field indicates a type of algorithm supported by the device. - Update credential parameters: this field indicates that the credential parameters are to be updated once mutual  authentication between the device and the first node is implemented. If the value is set to "yes, " the credential parameters shall be modified upon authentication. If the value is set to "no, " the credential parameters shall remain unchanged. If a device selects AKA, 6G-EAP or 5G-EAP as authentication method, the value of this field could be “no” . - Device’s credential parameters: this field indicates the type of credential information used for authentication, such  as a certificate or parameters for credential based on PUF.

[0185] When a field value is set to “NA” , this means that the information is not available when the action is called.

[0186] Use of NCDL: - This NCDL should be subscribed by a device / customer. - This NCDL is called when a device is registered to a first node, such as a SPM node, for a basic service (e.g., basic  connection service) when the device opens an account. - When this action is executed, the device selects authentication parameters according to its authentication method. For example: o If a device selects authentication based on AKA, the selected parameters could be: PSRID or STID,  network-generation, static authentication, AKA, identifier of algorithm 1 based on AKA, no, NA. o If a device selects authentication based on 5G-EAP, the selected parameters could be: PSRID or STID,  self-generation, static authentication, 5G-EAP, NA, no, certificate. o If a device selects authentication based on 6G-EAP, the selected parameters could be: PSRID or STID,  network-generation, static authentication, 6G-EAP, NA, no. - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device or other service provider nodes (NCs) .

[0187] In a second embodiment, the present disclosure provides a method performed at a first node, referred to as the Service Provisioning Management (SPM) node, for validating a credential of a device. FIG. 4 illustrates a schematic flowchart of the method according to one or more embodiments of the present disclosure, which reflects the execution of an action performed by the first node.

[0188] For execution of the method, the first node (or SPM node) must have first obtained the credential of the device for the purpose of performing mutual authentication. This pre-condition ensures the credential to be validated is already available to the first node, and that the authentication context is properly established.

[0189] In step S401, the first node receives, from a second node, namely a node configured to manage identifiers (or IDM node) , a validation request for validating a credential of a device. The validation request comprises the credential of the device, a device identifier, and an authentication method specified by the device. The device identifier may be a name of the device used to access the network, or a subscriber authentication identifier such as a subscriber authentication identifier (SAID) . The request is initiated when the first node requires credential validation for mutual authentication.

[0190] In step S402, the first node validates the credential of the device using the specified authentication method. The authentication method may be one of the following supported protocols: Authentication and Key Agreement (AKA) , Physical Unclonable Function (PUF) , 5G-Extensible Authentication Protocol (EAP) , or 6G-EAP. The credential of the device may include one of the following: a credential based on AKA, a credential based on PUF, or a credential based on a certificate. If the credential is valid, the device is confirmed as authenticated for further service access.

[0191] Upon successful execution of the method, validation of the credential of the device is complete. The first node updates internal records to reflect the validation status, ensuring that the device is authorized for network interactions. This validation process also ensures that authentication aligns with network security policies and that the credential is verified using a secure method, thereby improving the integrity and security of service provisioning in a 6G network environment.

[0192] This action constitutes an action for validating the credential of a device, wherein the action is subscribed to by a second node responsible for managing device identifiers, such as an Identifier Management (IDM) node. The action is part of a mutual authentication service, wherein the action is subscribed to by the second node.

[0193] The following paragraphs will describe an example of NCDL of the action of validation device credentials.

[0194] Name of the action: validation of credentials of device.

[0195] Purpose of the action: a first node (SPM) validates a credential of a device when the first node obtains the credential of the device from a second node.

[0196] Pre-condition of the action: the first node obtains credentials of a device for mutual authentication.

[0197] Post-condition of the action: the validation of credentials of the device has been conducted.

[0198] Table 2 illustrates capability dimensions of the action “validation of credentials of device” Table 2

[0199] The definitions of the capability dimensions illustrated in Table 2 are as follows: - Credential of device: this field indicates what credential of a device is to be used by the first node (SPM) for  validation for the device. The credential of the device may include a credential based on AKA, a credential based on PUF, or a credential based on a certificate. The selection of the credential depends on the authentication method specified by the device. - Device identifier: this field indicates a name of the device used to access the network. It could be termed as a device  SAID. - Authentication method: this field indicates an authentication method supported by the first node, such as  Authentication and Key Agreement (AKA) , Physical Unclonable Function (PUF) , 5G-Extensible Authentication Protocol (5G-EAP) or 6G-Extensible Authentication Protocol (6G-EAP) .

[0200] Use of this NCDL: - This NCDL should be subscribed by a second node responsible to manage device identifiers (which may be referred  to as a CONET-IDM) . - This NCDL is called when the first node (SPM) obtains a credential of a device for mutual authentication. - When called, the input should include a selected value of credential of device, a device SAID and an authentication  method. - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device or the second node (CONET-IDM) . - Upon execution, the device credential is validated by the first node, ensuring compliance with network authentication  policies.

[0201] In a third embodiment, the present disclosure provides a method performed at a first node, referred to as the Service Provisioning Management (SPM) node, for delivering its own credential information to a device for mutual authentication purposes. FIG. 5 illustrates a schematic flowchart of the method according to one or more embodiments of the present disclosure, which reflects the execution of this NCDL-defined action performed by the first node.

[0202] Execution of the method assumes that the first node has already validated the credential of the device in a preceding step, thereby satisfying the pre-condition required for mutual authentication to proceed. Only upon successful validation of the device can the SPM node provide its credential to the device.

[0203] In step S501, the first node transmits a message to a device, wherein the message includes credential information of the first node and an identifier of the first node. The credential information is used for validation of the first node by the device. The identifier of the first node may be referred to as the SPM identifier (SPM ID) and may simply be the name of the first node.

[0204] The credential information of the first node may include one of the following: a credential based on Authentication and Key Agreement (AKA) , a credential based on Physical Unclonable Function (PUF) , or a credential based on a certificate. The credential information is generated based on an authentication method, which may be one of: Authentication and Key Agreement (AKA) , Physical Unclonable Function (PUF) , 5G-Extensible Authentication Protocol (EAP) , or 6G-EAP. The device uses this information to validate the authenticity of the first node before further interaction.

[0205] Upon execution of the method, the first node has successfully provided its credential to the device. The device can then authenticate the first node and establish a secure communication link. This method constitutes an action for providing the credentials of the first node to a device.

[0206] The action may be subscribed to by a device or seeking to authenticate the SPM node before engaging in further service interactions. This action can also be called by a second node that provides automatic network capability programming (A-CAP) , ensuring secure authentication between the device and the first node in a dynamic network environment. As part of a mutual authentication service subscribed to by the device, this action ensures that credential-based verification between network elements is dynamically managed and securely enforced within a 6G network environment.

[0207] The following paragraphs will describe an example NCDL of the action of provision of credential of the first node (SPM) to a device.

[0208] Name of the action: provision of credential of SPM to device.

[0209] Purpose of the action: the first node (SPM) provides its credential information to a device.

[0210] Pre-condition of the action: the first node has validated a credential of a device for mutual authentication.

[0211] Post-condition of the action: the provisioning of the credential of the first node to the device has been conducted.

[0212] Table 3 illustrates capability dimensions of the action “provision of credential of SPM to a device” . Table 3

[0213] The definitions of the capability dimensions illustrated in Table 3 are as follows: - Credential information of the first node: this field indicates that a SPM has a credential information that is used for  validation of SPM by a device. The credential may include a credential based on AKA, a credential based on PUF, or a credential based on a certificate. - Identifier of the first node: this field indicates the name of the first node  (SPM) . It could be termed as a SPM ID.

[0214] Use of this NCDL: - This NCDL should be subscribed by a device / customer. - This NCDL is conducted when a SPM has successfully validated a credential of a device. - When conducted, the input should include the credential of the first node and the first node identifier (SPM ID) . - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device. - The effect of the execution of the action is that the credential of the first node (SPM) is validated by a device,  ensuring secure authentication between the device and the first node.

[0215] In a fourth embodiment, the present disclosure provides a method performed at a first node, referred to as the Service Provisioning Management (SPM) node, for providing materials related to a root key, such as an Extended Master Session Key (EMSK) , to a device. FIG. 6 illustrates a schematic flowchart of the method according to one or more embodiments of the present disclosure, which reflects the execution of an action performed by the first node.

[0216] For execution of the method, it is a pre-condition that the first node does not possess a shared EMSK with the device following the successful completion of mutual authentication. This condition triggers the need to provision EMSK materials to allow secure key derivation between the device and the network.

[0217] In step S601, the first node transmits a message to a device, wherein the message comprises materials related to an EMSK. The EMSK materials may include at least one of the following: secrets for generating the EMSK, an identifier of the first node, an identifier of the device, credential parameters, and an identifier of an algorithm to be used for computing the EMSK.

[0218] Particularly, the secrets for generating the EMSK may include confidential data necessary for the derivation of the EMSK only known by the SPM and the device. Credential parameters refer to specific data required for the authentication process, such as certificates or challenge-response pairs.

[0219] The EMSK-related materials provided by the SPM node enable the device to derive a secure session key, allowing it to establish authenticated and encrypted communication within the network.

[0220] The first node provides this information when mutual authentication between the first node and the device has been successfully completed, but no shared key has been established between them. By transmitting the EMSK materials, the first node ensures that the device has the necessary cryptographic data to generate or derive the EMSK which enhances the security and reliability of key management in a 6G network environment.

[0221] Upon execution of the method, the EMSK materials have been provided to the device. The device may use the received EMSK-related information to derive a secure session key, ensuring authenticated and encrypted communication within the network. This method constitutes an action for providing EMSK-related materials to a device.

[0222] The action may be called by a second node that provides automatic network capability programming (A-CAP) , ensuring that the device is securely provisioned with the EMSK material when required. The action is part of a mutual authentication service subscribed to by the device.

[0223] The following paragraphs will describe an example NCDL of the action of provision of EMSK’s material to a device.

[0224] Name of the action: provision of EMSK's material to device.

[0225] Purpose of the action: a first node (SPM) provides materials about EMSK to a device.

[0226] Pre-condition of the action: the first node (SPM) shall not have a shared EMSK with a device after a successful mutual authentication.

[0227] Post-condition of the action: the provisioning of EMSK’s material to device has been conducted.

[0228] Table 4 illustrates capability dimensions of the action “provision of EMSK’s material to a device” Table 4

[0229] The definitions of the capability dimensions illustrated in Table 4 are as follows: - Materials of EMSK: this field indicates what materials are used for EMSK generation, including secrets for  generating EMSK, the first node identifier (SPM ID) , the device identifier, credential parameters, and the identifier of an algorithm for computing EMSK. These values may be combined as needed.

[0230] Use of this NCDL: - This NCDL should be subscribed by a device or a customer. - This NCDL is called when the first node (SPM) does not have a shared EMSK with a device after a successful  mutual authentication. - When called, the input should include secrets for generation of EMSK, or SPM ID, or device ID, or credential’s  parameters, or ID of an algorithm for computing an EMSK. - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device or other service provider nodes (NCs) . - The effect of the execution of the action is that a device obtains EMSK’s material.

[0231] In a fifth embodiment, the present disclosure provides a method performed at a first node, referred to as the Service Provisioning Management (SPM) node, for maintaining an Extended Master Session Key (EMSK) profile. FIG. 7 illustrates a schematic flowchart of the method according to one or more embodiments of the present disclosure, which reflects the execution of an action performed by the first node.

[0232] For the execution of the method, the pre-condition requires that the first node does not possess a shared EMSK with the device following the successful completion of mutual authentication. This situation necessitates the maintenance of a profile containing EMSK-related data to ensure continuity and integrity of subsequent secure communication.

[0233] In step S701, the first node sends a message to a device, wherein the message comprises an EMSK profile for mutual authentication between the first node and the device. The message includes information related to the EMSK, such as the EMSK itself and a device identifier. The device identifier may be a temporary service subscription identifier (SSTID) , which is assigned by the first node to enable secure access to the network by the device. This identifier is critical in ensuring the EMSK is uniquely associated with the correct device.

[0234] In step S702, the first node maintains the EMSK profile by storing the information on the EMSK and the associated device identifier in an EMSK profile table. This step marks the core operation of the action, where the credentialed relationship between the device and the EMSK is persistently recorded to enable secure reuse or verification in future sessions. The profile may also include additional metadata or versioning as required by network policy or implementation.

[0235] Upon execution of the method, the EMSK profile has been successfully maintained by the first node. The stored EMSK and device identifier allow the network to facilitate seamless authentication and security procedures in subsequent interactions. This method constitutes an action for maintaining an EMSK profile at the first node.

[0236] The action may be called by a second node that provides automatic network capability programming (A-CAP) when triggered by a device or network capabilities (NCs) . This action is part of a mutual authentication service subscribed to by the device. The maintenance of the EMSK profile enhances the efficiency and security of authentication management in a 6G network environment.

[0237] The following paragraphs will describe an example NCDL of the action of maintenance of EMSK profile.

[0238] Name of the action: maintenance of EMSK profile.

[0239] Purpose of the action: a first node (SPM) maintains an EMSK profile.

[0240] Pre-condition of the action: the first node (SPM) does not have a shared EMSK with a device after a successful mutual authentication.

[0241] Post-condition: the maintenance of an EMSK profile has been conducted.

[0242] Table 5 illustrates capability dimensions of the action “maintenance of EMSK profile” . Table 5

[0243] The definitions of the capability dimensions illustrated in Table 5 are as follows: - Information of EMSK: this field indicates the EMSK profile information stored by the first node, including the  EMSK and its identifier (ID of EMSK) , ensuring secure authentication management. - Device identifier: this field indicates a name of a device that accesses the network. It may be referred to as a  Temporary Service Subscription Identifier (STID) .

[0244] Use of this NCDL: - This NCDL should be subscribed by the first node (SPM) . - This NCDL is called when the first node (SPM) does not have a shared EMSK with a device after a successful  mutual authentication. - When called, the first node (SPM) maintains the EMSK profile. - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device or other service provider nodes (NCs) . - The effect of the execution of the action is that a device obtains EMSK’s material.

[0245] In a sixth embodiment, the present disclosure provides a method performed at a first node, referred to as the Service Provisioning Management (SPM) node, for providing a list of sub-services supported by a service provider to a device (NC SDLs) . FIG. 8 illustrates a schematic flowchart of the method according to one or more embodiments of the present disclosure, which reflects the execution of an action performed by the first node. The sub-services here are part of a broader service offered by the service provider, or the network capability provider.

[0246] For execution of the method, the pre-condition requires that the first node receive, from a second node, a list of sub-services. The second node in this context is a node responsible for providing NC SDL descriptions on behalf of multiple service providers, enabling centralized access to sub-service metadata for use in service delivery and subscription decisions. The second node may be referred to as a CONET-NOM, which is a node responsible for providing service or sub-service description languages (SDLs) associated with various Network Capabilities (NCs) to other NCs within the network. For example, it supplies NC SDLs to the SPM node to support customer or device subscription to corresponding Network Capability Description Languages (NCDLs) .

[0247] In step S801, the first node transmits a message to a device, wherein the message comprises a list of sub-services supported by a service provider. The message includes information related to each sub-service, such as the identifier of the sub-service, associated charging policies, and an identifier of the service provider offering the sub-services. The charging policies may include an identifier of a given charging policy and fees applicable for using the sub-service according to predefined charging rules. These policy indicators assist the device in determining which services are accessible and under what terms.

[0248] The first node may receive the request from the device upon the device subscribing to a network on-demand service or upon the device pre-subscribing to the broader service. By transmitting this information, the first node ensures that the device has access to service-related details necessary for subscription or service selection.

[0249] Upon execution of the method, the list of supported sub-services has been successfully provided to the device. The device may use this information to subscribe to a specific sub-service or to determine service availability based on network policies. This method constitutes an action for providing a list of sub-services to a device.

[0250] The action may be called by a second node that provides automatic network capability programming (A-CAP) , ensuring that devices receive updated service descriptions dynamically. The action is part of a mutual authentication service subscribed to by the device. The provision of sub-service details enhances the efficiency and flexibility of service discovery and subscription management in a 6G network environment.

[0251] The following paragraphs will describe an example NCDL of the action of provision of NC SDL to device.

[0252] Name of the action: provision of descriptions of the sub-services (or NC SDL) to Device.

[0253] Purpose of the action: a first node (SPM) transmits a list of sub-services (NC SDLs) to a device or a customer. This list includes sub-services (NC SDLs) supported by network capabilities (NCs) in the network, enabling the device to access service details for subscription and selection.

[0254] Pre-condition of the action: the first node (SPM) obtains a list of sub-services (NC SDLs) from a second node (CONET-NOM) . This action is executed when a device requests an on-demand service from the network or when a device pre-subscribes to the service.

[0255] Post-condition of the action: the provisioning of NC SDL to device has been conducted.

[0256] Table 6 illustrates capability dimensions of the action “provision of NC SDL to device” . Table 6

[0257] The definitions of the capability dimensions illustrated in Table 6 are as follows: - NC SDL identifier: this field indicates the name of sub-service that an NC provider supports. - Charging policies: this field indicates information related to policy and charging for the use of NC SDLs by a device,  including a policy identifier (Policy ID) and charging model (Type of charge) . - Service provider (NC) identifier: this field indicates the name of the network capability provider that offers the sub- services to a device.

[0258] Use of this NCDL: - This NCDL should be subscribed by a device / customer. - This NCDL is executed when the first node (SPM) obtains a list of NC SDLs from a second node (CONET-NOM) .  The action is triggered when a device requests an on-demand service or pre-subscribes to the network service. When executed, the output includes the name of an NC SDL, policy and charge information, and the NC provider identifier. - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device or other service provider nodes (NCs) . - The effect of the execution of the action is that a device obtains a list of NC SDLs.

[0259] In a seventh embodiment, the present disclosure provides a method performed at a first node, referred to as the Service Provisioning Management (SPM) node, for enabling a device to subscribe to Network Capability Description Language (NCDL) actions provided by a network capability (NC) provider. FIG. 9 illustrates a schematic flowchart of the method according to one or more embodiments of the present disclosure, which reflects the execution of an action performed by the first node.

[0260] For execution of the method, the pre-condition requires that the first node obtain, from a second node, a list of sub-services that form part of a broader service provided by the NC provider. The second node may be referred to as a CONET-NOM, which is a node responsible for distributing service or sub-service description languages (SDLs) of NCs to other network components, such as the SPM node, to support device or customer subscription to relevant NCDLs.

[0261] In step S901, the first node receives, from a device, a subscription request comprising an identifier of a service provider, an identifier of a sub-service provided by the service provider, identifiers of available NCDL actions, a device identifier, and charging policies applicable to the sub-service. The device identifier may be a temporary service subscription identifier (SSTID) assigned by an identifier manager or generated by the service provider to allow the device to access the subscribed sub-service after successful authentication. The charging policies may comprise at least one of: an identifier of a given charging policy and fees to be charged for using the sub-service according to a set of charging rules.

[0262] Upon execution of the method, subscription to one or more NCDL actions is complete. The first node updates subscription records to ensure that the device can access the requested sub-services and associated actions. This method constitutes an action for subscribing to NCDL actions provided by an NC provider.

[0263] The action may be called by a second node that provides automatic network capability programming (A-CAP) , ensuring that device subscriptions to NCDLs are managed dynamically. The action is part of a mutual authentication service subscribed to by the device. The execution of this action enables seamless integration of network capabilities for the device within a 6G network environment.

[0264] The following paragraphs will describe an example NCDL of the action of subscription of NCDLs by a device.

[0265] Name of the action: subscription of sub-services and available actions under the sub-services (NCDLs) by device.

[0266] Purpose of the action: a first node (SPM) enables a device to subscribe to the sub-service actions (or NCDL actions) provided by a network capability (NC) provider, also called a service provider.

[0267] Pre-condition of the action: a device obtains a list of sub-services (NC SDLs) . This action is executed when a device requests an on-demand subscription to a service from the network or when a device pre-subscribes to NCDLs from an NC provider.

[0268] Post-condition of the action: the subscription of NCDLs by a device has been conducted.

[0269] Table 7 illustrates capability dimensions of the action “subscription of NCDLs by device” . Table 7

[0270] The definitions of the capability dimensions illustrated in Table 7 are as follows: - Service Provider (NC) identifier: this field indicates a name of NC provider that provides NCDLs to a device. - Identifier of a sub-service (NC SDL) name: this field indicates a name of NC SDL that an NC provider supports. - Identifiers of actions available as part of the sub-service (NCDL) : this field indicates a name of NCDL that an NC  provider supports. - Device identifier (SSTID) : this field indicates a name of the device when accessing the NCDL. It may be referred  to as a temporary service subscription identifier (SSTID) . - Charging policies: this field indicates information related to policy and charge for the use of NCDLs by a device,  including a policy identifier (Policy ID) and charging model (Type of charge) .

[0271] Use of this NCDL: - This NCDL should be subscribed by a device / customer. - This NCDL is called when a device obtains a list of NC SDLs. The first node (SPM) executes this action when a  device subscribes to an on-demand network service or when a device pre-subscribes to NCDLs from an NC provider. - When called, a device can select preferred items, e.g., NC ID, NC SDL name, NCDL, policy ID, type of charge. - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device or other service provider nodes (NCs) . - The effect of the execution of the action is that a device obtains a list of NCDLs.

[0272] In an eighth embodiment, the present disclosure provides a method performed at a first node, referred to as the Service Provisioning Management (SPM) node, for transmitting customer subscription information to a network capability (NC) provider. FIG. 10 illustrates a schematic flowchart of the method according to one or more embodiments of the present disclosure, which reflects the execution of an action performed by the first node.

[0273] The execution of this method requires, as a pre-condition, that the first node has previously subscribed the device to the relevant sub-service. This ensures that the subscription status is finalized before it is communicated to the NC provider.

[0274] In step S1001, the first node transmits a subscription message to a network capability provider, also referred as a service provider, wherein the message includes information on a sub-service the device has subscribed to. The information contains a sub-service description, charging policies to be applied for the device’s use of the sub-service, and an identifier of the device to which the sub-service will be provided. The device identifier may be a temporary service subscription identifier (SSTID) assigned by the service provider or an identifier manager. As for the sub-service description, it comprises one or more identifiers of sub-services the device has subscribed to as part of a broader service, and, for each sub-service, an identifier of each action available for the sub-service. The charging policies may comprise an identifier of a given charging policy and associated fees to be charged according to a set of charging rules.

[0275] The first node provides this information to ensure that the NC provider registers the customer subscription and applies the necessary policies for service access. The NC provider may use the received information to authorize and track the device’s service usage based on the subscribed sub-service and associated policies.

[0276] Upon execution of the method, the first node has successfully transmitted the customer subscription details to the NC provider, ensuring that the device’s access to the sub-service is authorized and regulated according to network policies.

[0277] This action constitutes an action for providing customer subscription details to an NC provider. This action can be called by the device as part of the sub-service provided by the service provider to the device. This action may also be called by a second node that provides automatic network capability programming (A-CAP) , ensuring that customer subscription information is dynamically synchronized between the first node and the NC provider in a 6G network environment.

[0278] The following paragraphs will describe an example NCDL of the action of provision of customer subscription to a service provider (or NC) .

[0279] Name of the action: provision of customer subscription to a service provider (NC) .

[0280] Purpose of the action: a first node (SPM) provides a service subscription of a device to a service (or NC) provider.

[0281] Pre-condition of the action: the first node (SPM) has registered a service subscription for the device.

[0282] Post-condition of the action: the provisioning of customer subscription to service provider (NC) has been conducted.

[0283] Table 8 illustrates capability dimensions of the action “provision of customer subscription to NC” . Table 8

[0284] The definitions of the capability dimensions illustrated in Table 8 are as follows: - Sub-service description: this field indicates information related to an NCDL that an NC provider supports, including  the sub-service name (NC SDL name) and the NCDL action identifier. - Charging policies: this field indicates information related to policy and charge for the use of NCDLs by a device,  including a policy identifier (Policy ID) and charging model (Type of charge) . - Device identifier (SSTID) : this field indicates a name of a device when the device accessing the NCDL.

[0285] Use of this NCDL: - This NCDL should be subscribed to by an NC. - This NCDL is called when the first node (SPM) has registered a service subscription for a device. - When called, the output should include NC SDL name, NCDL ID, policy ID, type of charge, device SSTID. - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device or other service provider nodes (NCs) . - The effect of the execution of the action is that an NC obtains a subscription of the device.

[0286] In a ninth embodiment, the present disclosure provides a method performed at a first node, referred to as the Service Provisioning Management (SPM) node, for authorizing a device to access a network capability (NC) service. FIG. 11 illustrates a schematic flowchart of the method according to one or more embodiments of the present disclosure, which reflects the execution of an action performed by the first node.

[0287] For execution of the method, the pre-condition requires that the device has already been subscribed to the relevant sub-service. This ensures that the device is eligible to request access authorization and that its subscription has been properly registered and recognized by the network.

[0288] At step S1101, the first node receives, from the device, an authorization request to access a sub-service that forms part of a broader service offered by the NC provider. The request includes: an identifier of the sub-service (NC SDL) , an identifier of an NCDL action available under the sub-service (NCDL) , an identifier of the NC provider, a device identifier, and a device location. The device identifier may be a temporary service subscription identifier (SSTID) assigned either by the NC provider or by an identifier management node, which enables authenticated tracking of the device’s usage session. The device location parameter specifies the current geographical position of the device, which may be used to evaluate whether the requested access complies with service access constraints.

[0289] In step S1102, the first node transmits an authorization response to the device. The authorization response includes a token to be used by the device to access the sub-service, the expiration time of the token, and any restrictions applied on the token. This token is issued by the first node and is used to identify the device when using the sub-service.

[0290] The expiration parameter for the token is a time window during which the device is authorized to use the sub-service. The restrictions may include a geographical restriction based on the device location, for restricting use of the sub-service by the device to a certain geographical zone.

[0291] Upon execution of the method, the device has successfully received authorization to access the requested NC service by the first node. The authorization ensures that the device complies with network policies and service provider agreements. The method constitutes an action called when a device accesses a sub-service and the first node needs to verify whether the device is authorized to access the sub-service.

[0292] This action constitutes an action for authorizing a device to access an NC service. The action may be called by a second node that provides automatic network capability programming (A-CAP) , ensuring that access control is dynamically managed and enforced. The execution of this action enhances the security and compliance of device access management in a 6G network environment.

[0293] The following paragraphs will describe an example action for authorizing a device to access a network capability (or service) provided by a network capability provider (NC -or service provider) .

[0294] Name of the action: Authorization of device Accessing NC.

[0295] Purpose of the action: a first node (e.g., an SPM node or SPM) grants authorization for a device to access a service provided by a service provider (also referred to as an NC provider) .

[0296] Pre-condition of the action: a device has an active subscription to services provided by an NC provider.

[0297] Post-condition of the action: after execution of the action, the device is authorized to access the service provided by the service provider node (NC) .

[0298] Table 9 illustrates capability dimensions of the action “authorization of device accessing NC” . Table 9

[0299] The definitions of the capability dimensions illustrated in Table 9 are as follows: - Identifier of the sub-service (NC SDL) : this field indicates the name of one or more sub-services (SDL) that a service  provider (NC provider) supports. - Identifier of an action under the sub-service (NCDL) : this field indicates the names or identifiers of the actions  available under this sub-service (NCDL) that an NC provider supports. - Identifier of a service provider (NC) : this field indicates a name of the service provider (or NC provider) that provides  the actions (NCDLs) to a device. - Device identifier: this field indicates a name of a device when the device accesses the actions available under the  sub-service (NCDL) . The device name may be referred to as a temporary service subscription identifier (SSTID) . - Device location: this field indicates the geographical location of the device, such as a city or region, or GPS  coordinates. - Token to be used by the device: This field indicates a token issued by the first node (SPM) , which can be used by  the device to authenticate its access for an NC service. - Expiration parameter for the token: this field indicates the time window for which the issued token remains valid  before expiration. - Restriction: this field indicates a limitation when a device uses of the token to access the NC, e.g., location-restriction  of use of token.

[0300] Use of this NCDL: - This NCDL should be subscribed by a device / customer. - This NCDL is called when a device has an active subscription to an NC service and requests authorization to access  it. - When called, the input includes the NC SDL name, NCDL action identifier, NC provider identifier, device identifier  (SSTID) , and device location. The output includes an issued authorization token (Token ID) , token expiration, and any applied access limitations. - This action can be called by a node providing autonomous programming services (which may be referred to as a A- CAP node) that is triggered by a device or other service provider nodes (NCs) . - The effect of the execution of the action is that a device can access the services using of the token.

[0301] FIG. 12 illustrates the sequence of steps between a device and the first node (SPM) 1200 for mutual authentication, according to a possible implementation. This procedure ensures that both the device and the first node authenticate each other and derive a shared key for secure communication. The procedure involves multiple actions, including the validation of the device’s credential, the provision of the first node’s credential to the device, and the provision of EMSK-related materials.

[0302] The action of validating the credentials of the device is executed when the first node has obtained a credential of the device for mutual authentication. The action of providing the credential of first node to the device is executed after the first node has validated the device's credential. The action of providing the EMSK’s material to the device is executed when the first node does not yet have a shared EMSK with the device, after successful mutual authentication. Upon completion of the process, both the device and the first node possess the EMSK, enabling secure communication and session key derivation.

[0303] In step 1, a device 1210 transmits a mutual authentication request to the first node 1240. The request includes the device identifier and, depending on the authentication method, may include the device's credential. The required inputs for the request are presented in Table 10.

[0304] In step 2, the first node verifies whether the request contains a credential of the device 1242. If the request does not include the credential, the first node triggers an action to obtain the device’s credential from a second node, which may be referred to as an Identifier Management (IDM) node 1230. The specifics of this action fall outside the scope of this disclosure.

[0305] In step 3, the second node (IDM) 1230 transmits the credential of the device to the first node as an input for the validation action 1244. The required inputs for this action are outlined in Table 11.

[0306] In step 4, the first node (SPM) 1220 executes the action of validating the credential of device 1246. This step ensures that the device’s credential is authentic, and that the device is permitted to continue with the authentication process. If the validation fails, the first node may reject the mutual authentication request.

[0307] In step 5, the first node (SPM) 1220 executes the action of providing the credential of the first node to the device 1248. This action allows the device 1210 to validate the authenticity of the first node.

[0308] In step 6, the first node (SPM) 1220 transmits the output of the action of providing the credential of the first node (SPM) to the device 1250. The outputs generated by this action are presented in Table 12.

[0309] In step 7, the device 1210 validates the credential of the first node 1252 and responds with an acknowledgment of the validation result 1254. This confirmation ensures that the device successfully verifies the legitimacy of the first node. If the validation fails, the device may reject further authentication attempts.

[0310] In step 8, the first node (SPM) 1220 executes the action of providing the EMSK’s material to the device 1256. This action provides the necessary EMSK-related materials to enable the establishment of a secure session between the device and the network.

[0311] In step 9, the first node (SPM) 1220 transmits the output of the action of provision of EMSK’s material to the device 1258. The required inputs for this action are outlined in Table 13.

[0312] In step 10, the first node (SPM) 1220 executes the action of maintenance of EMSK profile and transmits a response corresponding to the initial mutual authentication request 1260. This ensures that the derived EMSK is securely stored and can be referenced for future authentication processes. The EMSK profile includes the EMSK itself and an identifier of the device to ensure secure session establishment.

[0313] If the mutual authentication method selected is based on Authentication and Key Agreement (AKA) , the required parameters are specified in the subsequent tables. These tables define the necessary inputs and outputs for each step of the process, ensuring alignment with network policies and authentication protocols.

[0314] Table 10 illustrates capability dimensions for the action “request of mutual authentication” . For example, Table 10 illustrates inputs for mutual authentication when the mutual authentication is based on AKA. Table 10

[0315] Table 11 illustrates capability dimensions for the action of validation on credentials of a device. For example, Table 11 illustrates inputs for the action of validation on credentials of a device when the mutual authentication is based on AKA. Table 11

[0316] Table 12 illustrates capability dimensions for the action of providing credential of the first node (SPM) to a device. For example, Table 12 illustrates outputs for action of provision of credential of SPM to the device when the mutual authentication is based on AKA. Table 12

[0317] Table 13 illustrates capability dimensions of the action for providing EMSK’s material to a device. For example, Table 13 illustrates outputs for the action of provision of EMSK’s material to the device when the device has a successful mutual authentication based on AKA. Table 13

[0318] FIG. 13 illustrates a sequence of possible steps for utilizing Network Capability Description Language (NCDL) to subscribe to a specific network capability (NC) service. In this example, a device requests to subscribe to an NC service offered by the network. The first node (SPM) processes the service subscription request and generates a corresponding service profile for the device. A service profile includes all the information required to configure the service options according to the choices made by the device when accessing this service. This process ensures that the device is properly registered for the requested NC service and that all relevant service policies and subscription details are configured.

[0319] The pre-condition for this procedure is that the first node has information regarding the different NC services available in the network, including details on services and sub-services provided by various NCs.

[0320] In step 1, the first node (SPM) 1320 executes the action of providing the available sub-services (NC SDL) to the device 1340. This action allows the device 1310 to receive a list of available NC service descriptions, enabling it to select a specific service for subscription. This action can be triggered when a device requests a service on-demand or pre-subscribes to a service offered by the network. Sub-services may correspond to services which are part of a broader service offered by a service provider.

[0321] In step 2, the first node (SPM) 1320 transmits the output of the action of providing the available sub-services (NC SDL) to the device 1342. The output consists of the sub-services (NC SDLs) available for subscription and is presented in Table 14.

[0322] In step 3, the device 1310 sends a subscription request to the first node 1344, initiating the action of subscription to one or more sub-services (NCDLs) by the device. The request includes the necessary parameters for subscribing to an NC sub-service, such as service identifiers and subscription preferences. The required inputs for this action are outlined in Table 15.

[0323] In step 4, the first node (SPM) 1320 executes the action of subscribing to the actions of the sub-services (NCDLs) by the device 1346. This step registers the device for the selected NC service, ensuring that the device is authorized to use the corresponding NCDL actions.

[0324] In step 5, the first node (SPM) 1320 transmits the output of the action of subscription of NCDLs by device 1348. This output confirms the successful subscription of the device and provides details related to the registered NC service. The relevant outputs for this action are listed in Table 16.

[0325] In step 6, the first node (SPM) 1320 executes the action of provision of customer subscription to NC 1350. This action ensures that the NC provider receives the updated subscription details of the device, allowing the NC 1330 to register and enforce subscription-based service policies.

[0326] In step 7, the first node (SPM) 1320 transmits the output of the action of provision of customer subscription to NC 1352. This step finalizes the process by ensuring that the NC provider has the necessary information to authorize the device's access to the subscribed service.

[0327] This procedural flow illustrates how predefined actions (NCDL actions) enables seamless and dynamic service subscriptions by ensuring the efficient exchange of service descriptions, subscription requests, and policy enforcement details. By leveraging NCDL, the first node facilitates network service discovery, subscription management, and real-time service provisioning for devices in a scalable and secure manner.

[0328] Table 14 illustrates capability dimensions for action “provision of NC SDL to device” . For example, Table 14 illustrates output for the action “provision of NC SDL to device” . Table 14

[0329] Table 15 illustrates capability dimensions for the action “provision of device service profile to device” . For example, Table 15 illustrates exemplary inputs and outputs for the action of provision of device service profile to the device when the SPM has an NC service profile of the device. Table 15

[0330] Table 16 illustrates capability dimensions for action “provision of customer subscription to an NC” . For example, Table 16 illustrates outputs for the action of provision of customer subscription to a service provider (NC) . Table 16

[0331] FIG. 14 shows a schematic structural diagram of an apparatus according to one or more implementations of the present disclosure. As shown in FIG. 14, the apparatus 1400 may include: a receiving module 1401, configured to receive, from a second node, a request related to the management of an  identifier of a device for one or more services, wherein the request comprises at least one operation to be performed by the first node; a processing module 1402, configured to manage the identifier of the device based on the request; a transmitting module 1403, configured to a response to the second node, wherein the response is based on the at  least one operation performed by the first node.

[0332] FIG. 15 shows a schematic structural diagram of an apparatus according to one or more implementations of the present disclosure. As shown in FIG. 15, the apparatus 1500 may include: a receiving module 1501, configured to receive, from a second node, generate credentials for a device, the request  comprising information including an identifier of the device, an authentication method and a corresponding algorithm; a processing module 1502, configured to generate the credentials for the device based on the information in the  request; and a transmitting module 1503, configured to a response to the second node, wherein the response comprises the  credentials generated for the device based on at least one of the identifiers of the device, the authentication method and the corresponding algorithm.

[0333] FIG. 16 shows a schematic structural diagram of an apparatus according to one or more implementations of the present disclosure. The apparatus may be a transmitting node or a receiving node. As shown in FIG. 16, the apparatus 1600 includes a processor 1601, an interface 1602 for communicating with other devices, a memory 1603 is coupled to the processor 1601. The memory 1603 may be stored with computer execution instructions, and the processor 1601 executes computer execution instructions stored in the memory 1603 to enable the apparatus to execute any of the above methods. In some implementations, the memory 1603 may be included or may not be included in the apparatus.

[0334] In some aspects of the present disclosure, there is provided a computer program product including computer execution instructions which, when executed by a processor, cause the processor to execute any of the above methods.

[0335] It should be understood that the processor may be an integrated circuit chip and has a data processing capability. In an implementation process, steps of the foregoing method embodiments may be completed by using a hardware integrated logic circuit in the processor, or by using instructions in a form of software. The processor may be a general-purpose processor, a central processing unit (CPU) , a graphics processing unit (GPU) , a neural processing unit (NPU) , a system on chip (SoC) or another programmable logic device, a discrete gate or transistor logic device, or a discrete hardware component. The processor may implement or perform the methods, the steps, and the logical block diagrams that are disclosed in the embodiments of the present disclosure. The general-purpose processor may be a microprocessor, or the processor may be any conventional processor or the like. The steps of the methods disclosed with reference to the embodiments of the present disclosure may be directly performed and completed by a hardware decoding processor, or may be performed and completed by using a combination of hardware in the decoding processor and a software module. The software module may be located in a mature storage medium in the art, such as a random-access memory, a flash memory, a read-only memory, a programmable read-only memory, an electrically erasable programmable memory, or a register. The storage medium is located in the memory, and the processor reads information in the memory and completes the steps of the foregoing methods in combination with hardware in the processor.

[0336] It may be understood that the memory in the embodiments of the present disclosure may be a volatile memory or a non-volatile memory, or may include both a volatile memory and a non-volatile memory. The non-volatile memory may be a read-only memory (Read-Only Memory, ROM) , a programmable read-only memory (Programmable ROM, PROM) , an erasable programmable read-only memory (Erasable PROM, EPROM) , an electrically erasable programmable read-only memory (Electrically EPROM, EEPROM) , or a flash memory. The volatile memory may be a random-access memory (Random Access Memory, RAM) and is used as an external cache. By way of example rather than limitation, many forms of RAMs may be used, and are, for example, a static random access memory (Static RAM, SRAM) , a dynamic random access memory (Dynamic RAM, DRAM) , a synchronous dynamic random access memory (Synchronous DRAM, SDRAM) , a double data rate synchronous dynamic random access memory (Double Data Rate SDRAM, DDR SDRAM) , an enhanced synchronous dynamic random access memory (Enhanced SDRAM, ESDRAM) , a synchronous link dynamic random access memory (Synchronous link DRAM, SLDRAM) , and a direct rambus random access memory (Direct Rambus RAM, DR RAM) .

[0337] It should be noted that the memory described in this specification includes but is not limited to these memories and could be a memory of any other appropriate type.

[0338] In some aspects of the present disclosure, there is provided a system, including apparatuses used to execute the steps in any of the above methods.

[0339] In some aspects of the present disclosure, there is provided a computing device cluster, including a processing circuitry for performing any of the above methods.

[0340] FIG. 17 shows a schematic diagram of an architecture of a computing device cluster according to one or more embodiments of the present disclosure. The computing device cluster includes at least one computing device. The computing device can be a server, such as a central server, an edge server, or a local server in a local data center. In some embodiments, the computing device can also be a terminal device such as a desktop computer, a laptop computer, or a smartphone.

[0341] As shown in FIG. 17, the cluster of computing devices described includes at least one computing device 1700. As shown in FIG. 17, for each of the at least one computing device 1700, it includes a processor 1702, an interface 1704 and optional a memory 1706, where the processor 1702, the interface 1704 and the memory 1706 may be connected through a bus 1708. The memory 1706 in one or more of the computing devices 1700 in the cluster of computing devices can hold the same instructions, so that the processor 1702 executes the instructions to execute the method described in the above embodiments.

[0342] In some possible implementations, some of the instructions for performing the method described in the above embodiments can also be separately held in the memory 1406 of the one or more computing devices 1700 in the cluster of computing devices. In other words, a combination of the one or more computing devices 1700 can jointly execute instructions for performing the method described in the above embodiments.

[0343] It is noted that the memories 1706 in the different computing devices 1700 in the cluster of computing devices can store different instructions for performing some of the functions of the computing devices 1700, respectively.

[0344] In some possible implementations, one or more computing devices in a cluster of computing devices can be connected via a network. Among other things, the network can be a wide area network or a local area network, etc. FIG. 18 illustrates one possible implementation. FIG. 18 shows a schematic diagram of a connection between computing devices 1800A and 1800B over a network according to one or more embodiments of the present disclosure. As shown in FIG. 18, the computing device 1800A includes a processor 1802A, an interface 1804A and optional a memory 1806A, where the processor 1802A, the interface 1804A and the memory 1806A may be connected through a bus 1808A; the computing device 1800B includes a processor 1802B, an interface 1804B and optional a memory 1806B, where the processor 1802B, the interface 1804B and the memory 1806B may be connected through a bus 1808B. The memory 1806A and the memory 1806B may be stored with computer execution instructions, and the processor 1802A and the processor 1802B execute computer execution instructions stored in the memory 1806A and the memory 1806B to enable the computing devices 1800A and 1800B to execute any of the above methods. The two computing devices 1800A and 1800B are connected to each other via a network. Specifically, the connection to said network is made through a communication interface in each computing device. In this class of possible implementations, the memory 1806A in the computing device 1800A holds instructions for performing a part of the method described in the above embodiments. At the same time, the memory 1806B in the computing device 1800B holds instructions for performing other part (s) of the method described in the above embodiments.

[0345] The functions of computing device 1800A illustrated in FIG. 18 can also be accomplished by multiple computing devices. Similarly, the functions of computing device 1500B can be accomplished by multiple computing devices.

[0346] In some aspects of the present disclosure, there is provided a computer program including computer execution instructions which, when executed by a processor, cause the processor to execute any of the above methods.

[0347] In some aspects of the present disclosure, there is provided a computer-readable medium storing computer execution instruction which, when executed by a processor, cause the processor to execute any of the above methods.

[0348] In some aspects of the present disclosure, there is provided a chip, including an input / output (I / O) interface and a processor, where the processor is configured to call and run computer execution instructions stored in a memory, to enable a device installing with the chip to execute any of the above methods.

[0349] A person skilled in the art should understand that embodiments of this application may be provided as a method, an apparatus (or system) , computer-readable storage medium, or a computer program product. Therefore, this application may use a form of a hardware-only embodiment, a software-only embodiment, or an embodiment with a combination of software and hardware. Moreover, this application may use a form of a computer program product that is implemented on one or more computer-usable storage media (including but not limited to a disk memory, an optical memory, and the like) that include computer-usable program code.

[0350] Features disclosed herein in the context of any particular embodiments may also or instead be implemented in other embodiments. Method embodiments, for example, may also or instead be implemented in apparatus, system, and / or computer program product embodiments. In addition, although embodiments are described primarily in the context of methods and apparatus, other implementations are also contemplated, as instructions stored on one or more non-transitory computer-readable media, for example. Such media could store programming or instructions to perform any of various methods consistent with the present disclosure.

[0351] Although the present disclosure describes methods and processes with steps in a certain order, one or more steps of the methods and processes may be omitted or altered as appropriate. One or more steps may take place in an order other than that in which they are described, as appropriate.

[0352] Note that the expression “at least one of A or B” , as used herein, is interchangeable with the expression “A and / or B” . It refers to a list in which you may select A or B or both A and B. Similarly, “at least one of A, B, or C” , as used herein, is interchangeable with “A and / or B and / or C” or “A, B, and / or C” . It refers to a list in which you may select: A or B or C, or both A and B, or both A and C, or both B and C, or all of A, B and C. The same principle applies for longer lists having a same format.

[0353] Although the present disclosure is described, at least in part, in terms of methods, a person of ordinary skill in the art will understand that the present disclosure is also directed to the various components for performing at least some of the aspects and features of the described methods, be it by way of hardware components, software or any combination of the two. Accordingly, the technical solution of the present disclosure may be embodied in the form of a software product. A suitable software product may be stored in a pre-recorded storage device or other similar non-volatile or non-transitory computer readable medium, including DVDs, CD-ROMs, USB flash disk, a removable hard disk, or other storage media, for example. The software product includes instructions tangibly stored thereon that enable a processing device (e.g., a personal computer, a server, or a network device) to execute examples of the methods disclosed herein. The machine-executable instructions may be in the form of code sequences, configuration information, or other data, which, when executed, cause a machine (e.g., a processor or other processing device) to perform steps in a method according to examples of the present disclosure.

[0354] The present disclosure may be embodied in other specific forms without departing from the subject matter of the claims. The described example implementations are to be considered in all respects as being only illustrative and not restrictive. Selected features from one or more of the above-described implementations may be combined to create alternative implementations not explicitly described, features suitable for such combinations being understood within the scope of this disclosure.

[0355] All values and sub-ranges within disclosed ranges are also disclosed. Also, although the systems, devices and processes disclosed and shown herein may include a specific number of elements / components, the systems, devices and assemblies could be modified to include additional or fewer of such elements / components. For example, although any of the elements / components disclosed may be referenced as being singular, the implementations disclosed herein could be modified to include a plurality of such elements / components. The subject matter described herein intends to cover and embrace all suitable changes in technology.

[0356] Although implementations have been described above with reference to the accompanying drawings, those of skill in the art will appreciate that variations and modifications may be made without departing from the scope thereof as defined by the appended claims.

Claims

1.A method performed at a first node of a network for authenticating a subscription of a device to a service, the method comprising:receiving, from the device, a request wherein the request includes identification information of the device and a request to negotiate authentication information between the device and the first node;transmitting the authentication information to the device; andreceiving negotiation results from the device, wherein the negotiation results comprise a selection of one or more authentication items from the authentication information received from the first node, wherein the one or more authentication items include at least one of:whether credentials for authenticating the device are device-controlled or network-controlled;whether authentication is static or dynamic;an authentication method;an identifier of an algorithm to be used;whether credential parameters are to be updated; anddevice credential parameters.2.The method of claim 1, wherein the identification information of the device comprises an identifier of the device or a name the device uses to access a network to which the first node belongs.3.The method of claim 1 or 2, wherein the identifier of the device is an identifier for privacy preservation of the device or a temporary identifier for allowing the device to access the network.4.The method of any one of claims 1 to 3, wherein the authentication method is one of: Authentication and Key Agreement (AKA) ; Physical Unclonable Function (PUF) ; 5G-Extensible Authentication Protocol (EAP) and 6G-EAP.5.The method of any one of claims 1 to 4, wherein the identifier of the algorithm indicates a type of algorithm supported by the device.6.The method of any one of claims 1 to 4, wherein an indication that the credential parameters are to be updated indicates that the credential parameters are to be updated once mutual authentication between the device and the first node is implemented.7.The method of any one of claims 1 to 6, wherein the device credential parameters comprise one of: a certificate; a challenge response pair (CRP) or parameters based on PUF.8.The method of any one of claims 1 to 7, wherein for execution of the method, the device is registered to the first node for a basic service.9.The method according to any one of claims 1 to 9, wherein after executing the method, authentication of the subscription is complete.10.The method any one of claims 1 to 9, wherein the method constitutes an action to subscribe to an authentication service, the action being called by a second node which provides autonomous network capability programming services.11.A method performed at a first node of a network, the method comprising:receiving, from a second node, a validation request for validating a credential of a device, wherein the validation request includes: the credential of the device, a device identifier and an authentication method specified by the device; andvalidating the credential of the device using the specified authentication method.12.The method of claim 11, wherein the identifier of the device is a name of the device used to access the network.13.The method of claim 11 or 12, wherein the identifier of the device is a subscriber authentication identifier.14.The method of any one of claims 11 to 13, wherein the credential of the device comprises one of: a credential based on AKA, a credential based on PUF, or a credential based on certificate.15.The method of any one of claims 11 to 14, wherein the authentication method comprises one of: Authentication and Key Agreement (AKA) ; Physical Unclonable Function (PUF) ; 5G-Extensible Authentication Protocol (EAP) and 6G-EAP.16.The method of any one of claims 11 to 15, wherein, for execution of the method, the first node obtains a credential of the device for mutual authentication.17.The method according to any one of claims 11 to 16, wherein after executing the method, validation of the credential of the device is complete.18.The method of any one of claims 11 to 17, wherein the method constitutes an action for validating the credential of the device, wherein the action is subscribed to by a second node responsible to manage device identifiers.19.The method of claim 18, wherein the action is part of a mutual authentication service, wherein the action is subscribed to by the second node.20.A method performed at a first node of a network, the method comprising:transmitting a message to a device, wherein the message includes credential information of the first node and an identifier of the first node, wherein the credential information is used for validation of the first node by the device.21.The method of claim 20, further comprising generating the credential information of the first node, wherein the credential information is generated based on an authentication method.22.The method of claim 21, wherein the authentication method is one of: Authentication and Key Agreement (AKA) ; Physical Unclonable Function (PUF) ; 5G-Extensible Authentication Protocol (EAP) and 6G-EAP.23.The method of any one of claims 20 to 22, wherein the identifier of the first node is the name of the first node.24.The method of any one of claims 20 to 23, wherein the credential information of the first node comprises one of: a credential based on AKA, a credential based on PUF, or a credential based on certificate.25.The method of any one of claims 20 to 24, wherein the method constitutes an action of providing the credentials of the first node to the device.26.The method of any one of claims 20 to 25, wherein, for execution of the method, the first node has validated a credential of the device for mutual authentication.27.The method of any one of claims 20 to 26, wherein after execution of the method, the first node has provided the credential information of the first node to device.28.The method of claim 25, wherein the action is part of a mutual authentication service subscribed to by the device.29.The method of claim 25, wherein the action is called by a second node which provides autonomous network capability programming services.30.A method performed at a first node of a network, the method comprising:transmitting a message to a device, wherein the message comprises materials related to an Extended Master Session Key (EMSK) ;wherein the materials comprise at least one of: secrets for generating the EMSK; an identifier of the first node; an identifier of the device; credential parameters; and an identifier of an algorithm to be used for computing the ESMK.31.The method of claim 30, wherein the method constitutes an action for providing the materials related to the EMSK to the device.32.The method of claim 30 or 31, wherein for execution of the method, the first node does not have a shared key with the device after having successfully completed mutual authentication of the device and the first node.33.The method according to any one of claims 30 to 32, wherein after execution of the method, the materials related to the EMSK have been provided to the device.34.The method of claim 31, wherein the action is called by a node which provides autonomous network capability programming services.35.A method performed by a first node of a network, the method comprising:sending, to a device, a message comprising an Extended Master Session Key (EMSK) profile for mutual authentication between the first node and a device, the message comprising information on the EMSK and a device identifier; andmaintaining the information on the EMSK and the device identifier in an EMSK profile table.36.The method of claim 35, wherein information on the EMSK comprises the EMSK and an identifier of the EMSK.37.The method of claim 35 or 36 wherein the device identifier is a temporary identifier generated by the first node for the device to access a network.38.The method of any one of claims 35 to 37, wherein the method constitutes an action for maintaining the EMSK profile.39.The method of any one of claims 35 to 28, wherein for execution of the method, the first node does not have a shared key with the device after successfully completing mutual authentication of the device and the first node.40.The method according to any one of claims 35 to 39, wherein after execution of the method, the EMSK profile is maintained by the first node.41.The method of any one of claims 35 to 40, wherein the action is called by a node which provides autonomous network capability programming services.42.A method performed by a first node, the method comprising:transmitting a message to a device, wherein the message comprises a list of sub-services supported by a service provider, the message comprising: a list of identifiers of descriptions of the sub-services; charging policies for each sub-service; and an identifier of the service provider providing the sub-services.43.The method of claim 42, wherein the charging policies comprise at least one of: an identifier of a given charging policy and fees to be charged for the use of the sub-services according to a set of charging rules.44.The method of claim 42 or 43, wherein the sub-services are part of a broader service offered by the service provider.45.The method of any one of claims 42 to 44, wherein the method constitutes an action for providing a list of sub-services supported by a service provider to the device.46.The method of any one of claims 42 to 45, wherein for execution of the method, the first node receives the list of sub-services from a second node, the second node being a node which provides descriptions of sub-services offered by some service providers to other service providers.47.The method of any one of claims 42 to 46, wherein the first node transmits the message to the device upon the device subscribing to a network on-demand service or upon the device pre-subscribing to the broader service.48.The method according to any one of claims 42 to 47, wherein after executing the method, the list of the sub-services supported by the service provider has been provided to the device.49.The method of claim 45, wherein the action is called by a node which provides autonomous network capability programming services .50.A method performed by a first node, the method comprising:receiving, from a device, a subscription request comprising: an identifier of a service provider, an identifier of a sub-service provided by the service provider; identifiers of actions available as part of the sub-service; an identifier of the device and charging policies to be applied for using the sub-service.51.The method of claim 50, wherein the identifier of the device is a temporary service subscription identifier generated by the service provider or assigned by an identifier manager, to allow a device to access the sub-service after successful authentication.52.The method of claim 50 or 51, wherein the charging policies comprise at least one of: an identifier of a given charging policy and fees to be charged for using the sub-service according to a set of charging rules.53.The method of any one of claim 50 to 52, wherein the first node receives the subscription request from the device upon the device subscribing to a network on-demand service or upon the device pre-subscribing to the sub-services provided by the service provider, the device having previously obtained a list of sub-services for the service.54.The method of any one of claims 50 to 53, wherein for execution of the method, the first node obtains the list of sub-services part of a broader service offered by a service provider, the list being obtained from a second node, the second node being a node which provides descriptions of sub-services offered by some service providers to other service providers.55.The method according to any one of claims 50 to 54, wherein after execution of the method, subscription by device to one or more of the sub-services is complete.56.The method according to any one of claims 50 to 55, wherein the method constitutes an action for subscribing to a sub-service offered by a service provider, the action being called by a node which provides provides autonomous network capability programming services.57.A method performed by a first node, the method comprising:transmitting a subscription message to a service provider, the subscription message including information on a sub-service the device has subscribed to, the information including: a sub-service description; a charging policy to be applied for using the sub-service by a device, and a device identifier identifying the device to which the sub-service will be provided.58.The method of claim 57, wherein the sub-service description comprises one or more identifiers of sub-services the device has subcribed as part of a broader service, and, for each sub-service, an identifier of each action available for the sub-service.59.The method of claim 58, wherein the actions can be called by the device as part of the sub-service provided by the service provider to the device.60.The method of any one of claims 57 to 59, wherein the charging policies comprise at least one of: an identifier of a given charging policy and fees to be charged for the use of the sub-service according to a set of charging rules.61.The method of any one of claims 57 to 60, wherein the identifier of the device is a temporary service subscription identifier generated by the service provider or assigned by an identifier manager, to allow the device to access the sub-service after successful authentication.62.The method of any one of claims 57 to 61, wherein for execution of the method, the first node has subscribed the device for the sub-service.63.The method of any one of claims 57 to 62, wherein after execution of the method, the first node has provided to the service provider the information on the sub-service the device has subscribed to.64.The method of any one of claims 57 to 63, wherein the method constitutes an action of providing customer subscription to a service provider, the action being called by a node which provides autonomous network capability programming services.65.A method performed by a first node of a network, the method comprising:receiving, from a device, an authorization request to access a sub-service part of a broader service provided by a service provider, wherein the authorization request comprises information on the sub-service and information on the device;transmitting an authorization response to the device, wherein the authorization response comprises a token to be used by the device to access the sub-service; an expiration parameter for the token; and a restriction to be applied on the token.66.The method of claim 65, wherein the authorization request comprises: an identifier of the sub-service; an identifier of an action available under the sub-service; a service provider identifier; a device identifier; and a device location.67.The method of claim 65 or 66, wherein the identifier of the device is a temporary service subscription identifier generated by a service provider or assigned by an identifier manager, to allow a device to access the sub-service after successful authentication.68.The method of any one of claims 65 to 67, wherein the expiration parameter for the token is a time window during which the device is authorized to use the sub-service.69.The method of any one of claims 65 to 68, wherein the restriction to be applied on the token is a geographical restriction based on the device location, for restricting use of the sub-service by the device to a certain geographical zone.70.The method of any one of claims 65 to 69, wherein the token is issued by the first node and is used to identify the device when using the sub-service.71.The method of claim 65, for execution of the method, the first node has subscribed the device for the sub-service.72.The method of any one of claims 65 to 71, wherein the token is used by the device to access the sub-service.73.The method of any one of claims 65 to 72, wherein, after execution of the method, the first node has authorized the device to access the sub-service.74.The method of claim 73, wherein the method constitutes an action called when a device accesses a sub-service and the first node needs to verify whether the device is authorized to access the sub-service.75.The method of claim 74, wherein the method constitutes an action for authorizing the device to access the service provider, the action being called by a node which provides autonomous network capability programming services.76.An apparatus, configured to perform the method according to any one of claims 1 to 10, the method according to any one of claims 11 to 19, the method according to any one of claims 20 to 29, the method according to any one of claims 30 to 34, the method according to any one of claims 35 to 41, the method according to any one of claims 42 to 49, the method according to any one of claims 50 to 56, the method according to any one of claims 57 to 64 or the method according to any one of claims 65 to 75.77.An apparatus comprising:one or more processors; andone or more memories storing instructions which, when executed by the one or more processors, cause the apparatus to perform the method according to any one of claims 1 to 10, the method according to any one of claims 11 to 19, the method according to any one of claims 20 to 29, the method according to any one of claims 30 to 34, the method according to any one of claims 35 to 41, the method according to any one of claims 42 to 49, the method according to any one of claims 50 to 56, the method according to any one of claims 57 to 64 or the method according to any one of claims 65 to 75.78.A computer program product comprising program code for performing the method according to any one of claims 1 to 10, the method according to any one of claims 11 to 19, the method according to any one of claims 20 to 29, the method according to any one of claims 30 to 34, the method according to any one of claims 35 to 41, the method according to any one of claims 42 to 49, the method according to any one of claims 50 to 56, the method according to any one of claims 57 to 64 or the method according to any one of claims 65 to 75.79.A computer program comprising computer execution instructions which, when executed by a processor, cause the processor to execute the method according to any one of claims 1 to 10, the method according to any one of claims 11 to 19, the method according to any one of claims 20 to 29, the method according to any one of claims 30 to 34, the method according to any one of claims 35 to 41, the method according to any one of claims 42 to 49, the method according to any one of claims 50 to 56, the method according to any one of claims 57 to 64 or the method according to any one of claims 65 to 75.80.A computer-readable medium storing computer execution instructions which, when executed by a processor, cause the processor to execute the method according to any one of claims 1 to 10, the method according to any one of claims 11 to 19, the method according to any one of claims 20 to 29, the method according to any one of claims 30 to 34, the method according to any one of claims 35 to 41, the method according to any one of claims 42 to 49, the method according to any one of claims 50 to 56, the method according to any one of claims 57 to 64 or the method according to any one of claims 65 to 75.81.A chip, comprising an input / output (I / O) interface and a processor, wherein the processor is configured to call and run a computer program stored in a memory, to enable a device installing with the chip to perform the method according to any one of claims 1 to 10, the method according to any one of claims 11 to 19, the method according to any one of claims 20 to 29, the method according to any one of claims 30 to 34, the method according to any one of claims 35 to 41, the method according to any one of claims 42 to 49, the method according to any one of claims 50 to 56, the method according to any one of claims 57 to 64 or the method according to any one of claims 65 to 75.82.A device configured to perform the method according to any one of claims 1 to 75.83.A processor, configured to execute instructions to cause a device to perform the method according to any one of claims 1 to 75.84.An integrated circuit configured to perform the method according to any one of claims 1 to 75.

Images