Certificate management

Abstract

Example embodiments of the present disclosure relate to a network entity, a network function (NF) service producer, methods, apparatuses, a computer readable storage medium and a computer program product for certificate management. In the solution, the NF service producer may transmit a subscription request to the network entity for an update of at least one certificate, and the network entity may respond with a notification regarding an update of the at least one certificate. As such, in case a certificate is revoked for security reasons or replaced due to certificate rotation policy, the NF service producer may be aware of the update and accordingly an error can be avoided when validating the signature.

Description

CERTIFICATE MANAGEMENTFIELD

[0001] Example embodiments of the present disclosure generally relate to the field of communications and in particular, to a network entity, a network function (NF) service producer (NFp) , methods, apparatuses, a computer readable storage medium and a computer program product for certificate management.BACKGROUND

[0002] As specified in the 3GPP, access tokens shall be JSON Web Tokens and are secured with digital signatures (DS) or Message Authentication Codes (MAC) based on JSON Web Signature (JWS) . Currently, the information related to the public keys needed to verify the signature in the access token is assumed to be configured manually at the NFp. Manual configuration does not scale well and is error-prone. This is a concern in large real-world deployments, especially in those that have layered structured network repository functions (NRF) and use key rotation.SUMMARY

[0003] In general, example embodiments of the present disclosure provide a solution for a transmission of certificate management.

[0004] In a first aspect, there is provided a network entity. The network entity comprises: at least one processor; and at least one memory storing instructions, wherein the instructions when executed by the at least one processor, cause the network entity at least to: receive, from a network function (NF) service producer, a subscription request for an update of at least one certificate; and transmit, to the NF service producer, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate.

[0005] In a second aspect, there is provided an NF service producer. The NF service producer comprises: at least one processor; and at least one memory storing instructions, wherein the instructions when executed by the at least one processor, cause the NF service producer at least to: transmit, to a network entity, a subscription request for an update of at least one certificate; receive, from the network entity, a notification in response to the  subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate; and store the list of public key information associated with the updated at least one certificate.

[0006] In a third aspect, there is provided a method. The method comprises: receiving, at a network entity from an NF service producer, a subscription request for an update of at least one certificate; and transmitting, to the NF service producer, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate.

[0007] In a fourth aspect, there is provided a method. The method comprises: transmitting, at an NF service producer to a network entity, a subscription request for an update of at least one certificate; receiving, from the network entity, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate; and storing the list of public key information associated with the updated at least one certificate.

[0008] In a fifth aspect, there is provided an apparatus. The apparatus comprises: means for receiving, at a network entity from an NF service producer, a subscription request for an update of at least one certificate; and means for transmitting, to the NF service producer, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate.

[0009] In a sixth aspect, there is provided an apparatus. The apparatus comprises: means for transmitting, at an NF service producer to a network entity, a subscription request for an update of at least one certificate; means for receiving, from the network entity, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate; and means for storing the list of public key information associated with the updated at least one certificate.

[0010] In a seventh aspect, there is an apparatus. The apparatus comprises: receiving circuitry configured to receive, from an NF service producer, a subscription request for an update of at least one certificate; and transmitting circuitry configured to transmit, to the NF service producer, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate.

[0011] In an eighth aspect, there is an apparatus. The apparatus comprises: transmitting circuitry configured to transmit, to a network entity, a subscription request for an update of at least one certificate; receiving circuitry configured to receive, from the network entity, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate; and storing circuitry configured to store the list of public key information associated with the updated at least one certificate.

[0012] In a ninth aspect, there is provided a non-transitory computer readable medium comprising program instructions for causing an apparatus to perform at least the method in a third or fourth aspect.

[0013] In a tenth aspect, there is provided a computer program comprising instructions, which, when executed by an apparatus, cause the apparatus to perform at least the method in a third or fourth aspect.

[0014] It is to be understood that the summary section is not intended to identify key or essential features of embodiments of the present disclosure, nor is it intended to be used to limit the scope of the present disclosure. Other features of the present disclosure will become easily comprehensible through the following description.BRIEF DESCRIPTION OF THE DRAWINGS

[0015] Some example embodiments will now be described with reference to the accompanying drawings, in which:

[0016] FIG. 1 illustrates an example of a network environment in which some example embodiments of the present disclosure may be implemented;

[0017] FIG. 2 illustrates an example of a process flow in accordance with some example embodiments of the present disclosure;

[0018] FIG. 3 illustrates an example of a process flow associated with a service request in accordance with some example embodiments of the present disclosure;

[0019] FIG. 4 illustrates an example of a process flow with a subscription service operation during registration in accordance with some example embodiments of the present disclosure;

[0020] FIGs. 5-6 illustrate some examples of process flow with a network entity being part of NRF-I in accordance with some example embodiments of the present disclosure;

[0021] FIG. 7 illustrates a flowchart of a method implemented at a network entity in accordance with some example embodiments of the present disclosure;

[0022] FIG. 8 illustrates a flowchart of a method implemented at a network function service producer (NFp) in accordance with some example embodiments of the present disclosure;

[0023] FIG. 9 illustrates a simplified block diagram of a device that is suitable for implementing some example embodiments of the present disclosure; and

[0024] FIG. 10 illustrates a block diagram of an example of a computer readable medium in accordance with some example embodiments of the present disclosure.

[0025] Throughout the drawings, the same or similar reference numerals represent the same or similar elements, unless otherwise indicated.DETAILED DESCRIPTION

[0026] Principles of the present disclosure will now be described with reference to some example embodiments. It is to be understood that these embodiments are described only for the purpose of illustration and help those skilled in the art to understand and implement the present disclosure, without suggesting any limitation as to the scope of the disclosure. The disclosure described herein can be implemented in various manners other than the ones described below.

[0027] In the following description and claims, unless defined otherwise, all technical and scientific terms used herein have the same meaning as commonly understood by one of ordinary skills in the art to which this disclosure belongs.

[0028] References in the present disclosure to “one embodiment, ” “an embodiment, ” “an example embodiment, ” and the like indicate that the embodiment described may include a particular feature, structure, or characteristic, but it is not necessary that every embodiment includes the particular feature, structure, or characteristic. Moreover, such phrases are not necessarily referring to the same embodiment. Further, when a particular feature, structure, or characteristic is described in connection with an embodiment, it is submitted that it is within the knowledge of one skilled in the art to affect such feature, structure, or characteristic in connection with other embodiments whether or not explicitly described.

[0029] It shall be understood that although the terms “first” and “second” etc. may be used herein to describe various elements, these elements should not be limited by these terms.  These terms are only used to distinguish one element from another. For example, a first element could be termed a second element, and similarly, a second element could be termed a first element, without departing from the scope of example embodiments. As used herein, the term “and / or” includes any and all combinations of one or more of the listed terms.

[0030] The terminology used herein is for the purpose of describing particular embodiments only and is not intended to be limiting of example embodiments. As used herein, the singular forms “a” , “an” and “the” are intended to include the plural forms as well, unless the context clearly indicates otherwise. It will be further understood that the terms “comprises” , “comprising” , “has” , “having” , “includes” and / or “including” , when used herein, specify the presence of stated features, elements, and / or components etc., but do not preclude the presence or addition of one or more other features, elements, components and / or combinations thereof. As used herein, “at least one of the following: <a list of two or more elements>” and “at least one of <a list of two or more elements>” and similar wording, where the list of two or more elements are joined by “and” or “or” , mean at least any one of the elements, or at least any two or more of the elements, or at least all the elements.

[0031] As used in this application, the term “circuitry” may refer to one or more or all of the following:

[0032] (a) hardware-only circuit implementations (such as implementations in only analog and / or digital circuitry) ;

[0033] (b) combinations of hardware circuits and software, such as (as applicable) :

[0034] (i) a combination of analog and / or digital hardware circuit (s) with software / firmware, and

[0035] (ii) any portions of hardware processor (s) with software (including digital signal processor (s) ) , software, and memory (ies) that work together to cause an apparatus, such as a mobile phone or server, to perform various functions; and

[0036] (c) hardware circuit (s) and / or processor (s) , such as a microprocessor (s) or a portion of a microprocessor (s) , that requires software (e.g., firmware) for operation, but the software may not be present when it is not needed for operation.

[0037] This definition of circuitry applies to all uses of this term in this application, including in any claims. As a further example, as used in this application, the term circuitry also covers an implementation of merely a hardware circuit or processor (or multiple processors) or portion of a hardware circuit or processor and its (or their) accompanying software and / or firmware. The term circuitry also covers, for example and if applicable to the  particular claim element, a baseband integrated circuit or processor integrated circuit for a mobile device or a similar integrated circuit in server, a cellular network device, or other computing or network device.

[0038] As used herein, the term “communication network” refers to a network following any suitable communication standards, such as Long Term Evolution (LTE) , LTE-Advanced (LTE-A) , New Radio (NR) , Wideband Code Division Multiple Access (WCDMA) , High-Speed Packet Access (HSPA) , Narrow Band Internet of Things (NB-IoT) , Non-terrestrial network (NTN) , IoT over NTN, Wi-Fi and so on. Furthermore, the communications in the communication network may be performed according to any suitable generation communication protocols, including, but not limited to, the first generation (1G) , the second generation (2G) , 2.5G, 2.75G, the third generation (3G) , the fourth generation (4G) , 4.5G, the fifth generation (5G) , the sixth generation (6G) communication protocols, IEEE 802.11 protocols and / or any other protocols either currently known or to be developed in the future. Embodiments of the present disclosure may be applied in various communication systems. Given the rapid development in communications, there will of course also be future type communication technologies and systems with which the present disclosure may be embodied. It should not be seen as limiting the scope of the present disclosure to only the aforementioned system.

[0039] As used herein, the term “network device” refers to a node in a communication network via which a terminal device accesses the network and receives services therefrom. The network device may refer to a base station (BS) or an access point (AP) , for example, a node B (NodeB or NB) , an evolved NodeB (eNodeB or eNB) , a new radio (NR) NB (also referred to as a gNB) , a Remote Radio Unit (RRU) , a radio header (RH) , a remote radio head (RRH) , an integrated access and backhaul (IAB) node, a relay, a low power node such as a femto, a pico, and so forth, depending on the applied terminology and technology.

[0040] The term “terminal device” refers to any end device that may be capable of wireless communication. By way of example rather than limitation, a terminal device may also be referred to as a communication device, user equipment (UE) , a Subscriber Station (SS) , a Portable Subscriber Station, a Mobile Station (MS) , an Access Terminal (AT) , or an internet of things (IoT) device. The terminal device may include, but not limited to, a mobile phone, a cellular phone, a smart phone, voice over IP (VoIP) phones, wireless local loop phones, a tablet, a wearable terminal device, a personal digital assistant (PDA) , portable computers, desktop computer, image capture terminal devices such as digital cameras, gaming terminal  devices, music storage and playback appliances, vehicle-mounted wireless terminal devices, wireless endpoints, mobile stations, laptop-embedded equipment (LEE) , laptop-mounted equipment (LME) , USB dongles, smart devices, wireless customer-premises equipment (CPE) , an Internet of Things (loT) device, a machine type communication (MTC) device, a watch or other wearable, a head-mounted display (HMD) , a vehicle, a drone, a medical device and applications (e.g., remote surgery) , an industrial device and applications (e.g., a robot and / or other wireless devices operating in an industrial and / or an automated processing chain contexts) , a consumer electronics device, a device operating on commercial and / or industrial wireless networks, and the like. In the following description, the terms “terminal device” , “communication device” , “terminal” , “user equipment” and “UE” may be used interchangeably.

[0041] In service based interface (SBI) security, OAuth2.0 based access token, which issued by Network Repository Function (NRF) , is used to authorize an NF service Consumer (NFc) by NF service Producer (NFp) .

[0042] Access tokens shall be JSON Web Tokens and are secured with digital signatures (DS) or Message Authentication Codes (MAC) based on JSON Web Signature (JWS) . The digital signature of the token is created with the private key of a certificate of the NRF which issued the token, and the NFp shall verify the DS with public key of the certificate of the NRF.

[0043] Currently, the information related to the public keys, needed to verify the signature in the access token, is assumed to be configured manually at the NFp, e.g., it is assumed that any NFp has stored or is configured with a root cert and the certificates of NRFs allowed to provide access token for NFp’s services. It is proposed that NFp is allowed to retrieve the NRF certificate to verify the signature of the access token issued by the NRF. This may be necessary, if the NFp doesn’t have the certificate, e.g. because expired or revoked and a new one is used.

[0044] NFp needs to verify that the access token is issued by the OAuth 2.0 authorization server. The NRF where NFp is registered is not necessarily the same that is issuing the access token, e.g. it is locally configured which authorized OAuth 2.0 authorization server NRF the NFc has to contact to get the access token.

[0045] The certificate of NRF which issues access token for NFp service access is needed by NFp to validate the digital signature of the access token. It is assumed that any NFp has  stored or is configured with a root cert and the certificates of NRFs allowed to provide access token for NFp’s services. However, a certificate may be revoked for security reasons or be replaced due to certificate rotation policy, in this case, how to avoid getting an error when validating the signature should be studied.

[0046] Embodiments of the present disclosure provide a solution for certification management. In the solution, a subscription request for update and a notification in response to the subscription request are introduced. As such, the NFp may be aware of whether a certificate has been revoked or replaced, thereby avoiding an error in validation. Principles and implementations of the present disclosure will be described in detail below with reference to the figures.

[0047] FIG. 1 illustrates an example of a network environment 100 in which some example embodiments of the present disclosure may be implemented. The network environment 100 may also be called as a network system, a communication environment, a communication network, a communication system, or the like, the present disclosure does not limit this aspect.

[0048] The network environment 100 may include multiple network functions. As shown in FIG. 1, there are an NF service Consumer (NFc) 110, an NF service Producer (NFp) 120, a network repository function –registration (NRF-R) 130, and a network repository function –issuer (NRF-I) 140.

[0049] The NRF-R 130 may refer to an NRF where the NFp 120 is registered, and the NRF-I 140 may refer to an NRF where the certificate (s) is / are issued. The NFp 120 may be an OAuth 2.0 resource server and the NRF-R 130 may be an authorization server.

[0050] As illustrated, the NRF-R 130 and the NRF-I 140 may be implemented as different NRFs, however in some other example, the NRF-R 130 and the NRF-I 140 may be the same NRF. One or multiple certificates

[0051] The network environment 100 may further include a network entity 150. In some examples, the network entity 150 may be a network function that is independent from the NRF-R 130 and the NRF-I 140. For example, the network entity 150 may be a certificate management service producer (CertMgmt_P) . For example, the network entity 150 may be another NRF different from the NRF-R 130 and the NRF-I 140, e.g., NRF-X. In some other examples, the network entity 150 may be implemented as part of the NRF that issues the certificate (s) . For example, the network entity 150 may be a part of the NRF-I 140. For  example, the NRF-I 140 and the network entity 150 may be implemented as one function, i.e. one NRF.

[0052] Communications in the network environment 100 may be implemented according to any proper communication protocol (s) , and the communication may utilize any proper wireless communication technology, such as those currently known or to be developed in the future.

[0053] It is to be understood that the number of functions in FIG. 1 is given for the purpose of illustration without suggesting any limitations to the present disclosure. For example, there may be multiple NRF-Is 140. For example, the network environment 100 may further include an Operations, Administration and Maintenance (OAM) . For example, the network environment 100 may further include one or more other network functions such as a unified data management function (UDM) , a network data analytics function (NWDAF) , a network exposure function (NEF) , etc.

[0054] Securing the access token using digital signature based on JWS as mentioned above requires that the issuer NRF (e.g., the NRF-I 140) has a public / private key pair and the NFp 120 needs to be utilize the public key of the issuer NRF to verify the digital signature of the access token. The provisioning of the NFp with the public key of the NRF (through an X. 509 certificate) to the NFp can be done by OAM, by using the service operation discussed below or any other implementation specific way.

[0055] FIG. 2 illustrates an example of a process flow 200 in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the process flow 200 will be described with reference to FIG. 1. The process flow 200 involves an NFp 120 and a network entity 150. It would be appreciated that although the process flow 200 has been described in the network environment 100 of FIG. 1, this process flow may be likewise applied to other communication scenarios.

[0056] As mentioned above, at least one certificate may have been configured to the NFp 120. For example, the at least one certificate may be issued by the NRF-I 140. It should be noted that the at least one certificate may be issued by more than one NRF-I and the present disclosure does not limit for this aspect. For example, the at least one certificate may include one or a plurality of certificates that may be used to verify an access token.

[0057] In the present disclosure, the NFp 120 may be preconfigured with several addresses of certificate issuers. For instance, an address of a certificate issuer may be an instance ID of  the certificate issuer. In some examples, the NFp 120 may be preconfigured with an address of an issuer of the at least one certificate, where the issuer may include the NRF-I 140 (or other NRFs if more than one NRF issues the at least one certificate) . In some examples, the NFp 120 may be preconfigured with an address of the network entity 150, which may be the same as or different from the NRF-I 140.

[0058] At 210, the NFp 120 transmits, and the network entity 150 receives, a subscription request. As mentioned above, at least one certificate may have been configured to the NFp 120. In some implementations, the subscription request may be used for requesting an update of at least one certificate. In some implementations, the NFp 120 would like to know whether the at least one certificate has been updated or whether a status of the at least one certificate has changed by sending the subscription request.

[0059] In some embodiments, the subscription request may include an ID of an issuer of the at least one certificate. For example, the issuer may issue the at least one certificate, with reference to FIG. 1, the issuer may be the NRF-I 140, and the subscription request may include an instance ID of the NRF-I 140. In some embodiments, the subscription request may include at least one key ID (kid) of the at least one certificate. That is, the at least one key ID is used to identify the at least one certificate. In some embodiments, the subscription request may include a callback URI. In some embodiments, the subscription request may include a universal unique identifier (UUID) of the NFp 120.

[0060] At 220, the network entity 150 determines to update the at least one certificate. In some examples, the network entity 150 may determine to revoke a certificate based on policy or due to compromising. For example, one or more than one certificate in the at least one certificate in CRF-I 140 may be revoked. In some examples, one more new certificates may be added or created in the certificates in CRF-I 140.

[0061] It should be noted that although the step 220 is illustrated after the step 210, in actual scenario, the step 220 may be performed before step 210. For example, the at least one certificate in CRF-I 140 has been updated, and the NFp 120 is unaware of the update; later, the NFp 120 may transmit the subscription request for the update.

[0062] At 230, the network entity 150 transmits, and the NFp 120 receives, a notification in response to the subscription request. In some examples, the notification may indicate an update of the at least one certificate of the issuer (i.e., the NRF-I 140) . For example, the notification may include a list of identifiers for one or more than one revoked certificate. For  example, the notification may include a list of identifiers for one or more than one new certificate. Optionally the notification may include the one or more than one new certificate, as such, additional retrieve service operation may not be needed. For example, the notification may include a list of identifiers for one or more than one deleted certificate. For example, the notification may include a list of identifiers for one or more than one changed certificate.

[0063] In addition or alternatively, the NFp 120 may update the certificate (s) at 240 based on the notification. In some examples, if the notification includes a list of identifiers for one or more than one revoked certificate, the NFp 120 may update the stored at least one certificate by removing the one or more than one revoked certificate. In some examples, if the notification includes a list of identifiers for one or more than one new certificate, the NFp 120 may request to get the one or more than one new certificate, and store the one or more than one new certificate. For instance, the request for getting the one or more than one new certificate may be transmitted to the network entity 150.

[0064] In some implementations, the subscription request at 210 may be performed based on a service operation between the NFp 120 and the network entity 150 (which may be a CertMgmt_P or NRF) , for example, the service operation may be SubscribeCertStatus Service Operation, e.g., with a name of Nnrf_AccessToken_SubscribeCertStatus, or Nnrf_CertMgmt_SubscribeCert, or the like. In some examples, this service operation is used for the NFp 120 to subscribe a certificate status change from the network entity 150 (which may be a CertMgmt_P or NRF) . In some examples, an input of this service operation may include an instance identifier of an issuer, that is the NF instance ID of the token issuer NRF (i.e. NRF-I 140) . In some examples, an input of this service operation may include the key identifier. In some examples, an input of this service operation may include a callback URI. In some examples, an input of this service operation may include a UUID of the NFp 120, that is a UUID of the NF Service producer issuing the request. In some examples, an output of this service operation may include a list of updated certificates, or issuer ID and key ID, which allows to use GetCert or RetrieveCert operation.

[0065] In some implementations, the notification at 230 may be performed based on a service operation between the NFp 120 and the network entity 150 (which may be a CertMgmt_P or NRF) , for example, the service operation may be NotifyCert operation, e.g., with a name of Nnrf_AccessToken_NotifyCertStatus, or Nnrf_CertMgmt_NotifyCert, or the like. In some examples, this service operation is used for the network entity 150 (which may  be a CertMgmt_P or NRF) to send a notification of certificate status change to the NFp 120 which subscribed to change of the certificate status. In some examples, an input of this service operation may include original and new status of the certificate (s) with certificate ID, e.g., issuer ID and key ID.

[0066] According to embodiments with reference to steps 210-240, a subscription and a notification are introduced. In case a certificate is revoked for security reasons or replaced due to certificate rotation policy, the NFp 120 can be aware of the update and accordingly an error can be avoided when validating the signature.

[0067] It should be noted that the steps 210-240 may be performed during a procedure for a service request from the NFc 110, or may be performed during a registration procedure of the NFp 120, the present disclosure does not limit for this aspect. In some examples, during a registration of the NFp 120, the NFp 120 may transmit the subscription request to the NRF-R 130, and then the NRF-R 130 may forward the subscription request to the network entity 150.

[0068] Continue referring to FIG. 2, optionally, at 250, the NFp 120 may transmit, and the network entity 150 may receive, a status request. In some implementations, the status request may be used for requesting or checking at least one status of at least one certificate. In some implementations, the NFp 120 would like to know at least one status of the at least one certificate by sending the status request.

[0069] In some embodiments, the status request may include some or all of the following: an instance ID of the NRF-I 140, at least one key ID (kid) of the at least one certificate, a UUID of the NFp 120, or information about an algorithm which is used for signing the access token. For example, the algorithm may include RS256, ES 256, HS 256, or the like, and the information about the algorithm may be an indicator or an index of the algorithm. In some embodiments, the status request may further include an indication of a checking mode, for example, a checking mode may be getting a certification revocation list (CRL) or an online status.

[0070] In addition or alternatively, at 255, the network entity 150 may transmit, and the NFp 120 may receive, a status response. In some implementations, the network entity 150 may generate the status response in response to the status request. In some examples, the status response may include the CRL or at least one status of the at least one certificate based on the status request.

[0071] In some examples, if the status request includes an instance ID of the NRF-I 140 and a key ID of the at least one certificate, the network entity 150 may determine or identify one or more certificates (in the at least one certificate) that are issued by the NRF-I 140, and the status response may include one or more statuses of the determined / identified one or more certificates.

[0072] In some examples, if the status request does not include the key ID (that is, the key ID is absent) but includes the instance ID of the NRF-I 140, the network entity 150 may determine all certificates that issued by the NRF-I 140 for the NFp 120, and the status response may include all statuses of the determined all certificates issued by the NRF-I 140 for the NFp 120.

[0073] In some examples, if the status request does not include the instance ID of the NRF-I 140 (that is, the instance ID is absent) but includes the at least one key ID the at least one certificate, the status response may include at least one status of the at least one certificate or include the CRL.

[0074] In some examples, if the status request includes information about the algorithm but does not include the instance ID and / or the at least one key ID, the network entity 150 may determine one or multiple certificates that use the algorithm, and the status response may include one or multiple statuses of the one or multiple certificates using the algorithm.

[0075] In some implementations, the retrieve request at 260 may be performed based on a service operation between the NFp 120 and the network entity 150 (which may be a CertMgmt_P or NRF) , for example, the service operation may be CertStatus Service Operation, e.g., with a name of Nnrf_AccessToken_CertStatus, or Nnrf_CertMgmt_CertStatus, or the like. In some examples, this service operation is used for the NFp 120 to requests the network entity 150 (which may be a CertMgmt_P or NRF) to provide status of a specific certificate or public key cached. In some examples, an input of this service operation may include an instance ID of the NRF-I 140 (atoken issuer NRF) and at least one identifier of at least one certificate. In some examples, an input of this service operation may include a UUID of the NFp 120. In some examples, an output of this service operation may include status information (active, revoked, expiry) for the at least one certificate.

[0076] According to embodiments with reference to steps 250-255, a status request and a status response are introduced. As such, the NFp 120 can be aware of the status (es) of the certificate (s) , accordingly a particular certificate can be fetched when validating the signature.

[0077] It should be noted that although steps 250-255 are illustrated after the steps 210-240 in FIG. 2, in some other cases, the steps 250-255 can be happened before the steps 210-240, and the present disclosure does not limit for this aspect.

[0078] Continue referring to FIG. 2, optionally, at 260, the NFp 120 may transmit, and the network entity 150 may receive, a retrieve request. In some implementations, the retrieve request may be used for getting a certificate. In some examples, the NFp 120 may receive a service request from the NFc 110, but there is no available certificate locally, then the NFp 120 may send the retrieve request.

[0079] In some embodiments, the retrieve request may include some or all of the following: an instance ID of the NRF-I 140, a key ID of a certificate that is used to sign the access token, a UUID of the NFp 120, or information about an algorithm which is used to sign the access token.

[0080] In addition or alternatively, at 265, the network entity 150 may transmit, and the NFp 120 may receive, a retrieve response. In some examples, the network entity 150 may determine a specific certificate based on the retrieve request and the retrieve response may include the specific certificate.

[0081] In addition or alternatively, the NFp 120 may store the specific certificate at 268. In some examples, the specific certificate may be stored in local storage of the NFp 120.

[0082] In some implementations, the retrieve request at 260 may be performed based on a service operation between the NFp 120 and the network entity 150 (which may be a CertMgmt_P or NRF) , for example, the service operation may be RetrieveCert Service Operation, e.g., with a name of Nnrf_AccessToken_RetrieveCert, or Nnrf_CertMgmt_RetrieveCert, or the like. In some examples, this service operation is used for the NFp 120 to retrieve from the network entity 150 (which may be a CertMgmt_P or NRF) the public key certificate or to validate the signature of the Access Token. In some examples, an input of this service operation may include the key identifier. In some examples, an input of this service operation may include an instance ID of the NRF-I 140 (atoken issuer NRF) . In some examples, an input of this service operation may include a UUID of the NFp 120 which will issue the service request from the NFc 110, since certain certificate (s) may  be applicable only for specific NFPs. In some examples, an output of this service operation may include X. 509 public key certificate (s) or certificate chain (s) used for signing the access token.

[0083] In some other implementations, the retrieve request at 260 may be performed based on a service operation between the NFp 120 and the network entity 150 (which may be a CertMgmt_P or NRF) , for example, the service operation may be GetCert Service Operation, e.g., with a name of Nnrf_AccessToken_GetCert, or Nnrf_CertMgmt_GetCert, or the like. In some examples, this service operation is used for the NFp 120 to request the network entity 150 (which may be a CertMgmt_P or NRF) to provide public key certificate to validate the signature of the Access Token. In some examples, an input of this service operation may include an instance ID of the token issuer (i.e. NRF-I 140) , and the key identifier (Key ID from the Header Parameter of the JOSE header of the access token) . In some examples, an input of this service operation may include a UUID of the NFp 120. In some examples, an output of this service operation may include X. 509 public key certificate (s) or certificate (s) chain used for signing the access token.

[0084] According to embodiments with reference to steps 260-268, a retrieve request and a retrieve response are introduced. As such, the NFp 120 can retrieve a specific certificate for validating the signature.

[0085] It should be noted that although steps 260-268 are illustrated after the steps 250-255 in FIG. 2, in some other cases, the steps 260-268 can be happened before the steps 250-255 or happened before the steps 210-240, and the present disclosure does not limit for this aspect.

[0086] In addition, the NFp 120 may check that the issuer claim in the access token matches the identity of the OAuth 2.0 authorization server (e.g., NRF-I 140) and that the NRF-I 140 in general is allowed to issue an access token for services provided by this NFp 120 based on the information available to the NFp 120 at configuration time (either a URI where to retrieve the information or the information is stored) .

[0087] In some examples, if they do not match, the NFp 129 may provide error cause and / or logging information to one or more of the following: the NRF-R 130, the NRF-I 140, the network entity 150, another NRF, or an OAM. For example, the error cause and / or the logging information may indicate that a matching associated with the access token is failed.

[0088] In some implementations, the provision of the error cause may be performed based on a service operation such as ErrorReport Service Operation. For example, this service  operation may have a name of Nnrf_AccessToken_ErrorReport Noam_AccessToken_ErrorReport, or the like. In some examples, this service operation is used for the NFp 120 to request a receiver (the NRF-R 130, the NRF-I 140, the network entity 150, another NRF, or an OAM) to take notice of the cause of error, when it is not possible to validate the signature of the Access Token. In some examples, an input of this service operation may include an instance ID of the NRF-I 140 (atoken issuer NRF) , the key identifier, a UUID of the NFp 120, a callback URI, and the error cause.

[0089] In some implementations, the provision of the logging information may be performed based on a service operation such as Logging Service Operation. For example, this service operation may have a name of Nnrf_AccessToken_Logging Noam_AccessToken_Logging, or the like. In some examples, this service operation is used for the NFp 120 to provide a receiver (the NRF-R 130, the NRF-I 140, the network entity 150, another NRF, or an OAM) with any type of logging information related to the service operations. In some examples, an input of this service operation may include an instance ID of the NRF-I 140 (atoken issuer NRF) , the key identifier, a UUID of the NFp 120, a callback URI, and the logging information.

[0090] In some examples, the report of the error cause or logging information may trigger a certificate retrieve service operation. For example, the NFp 120 may retrieve an NRF access token from a different NRF (may be known to the NFp 120) .

[0091] As such, a solution of error handling is provided. For example, then NFp 120 fails to validate the NRF signature of the access token, an error cause or logging information may be reported. For example, the cause may indicate that stored certificate is not valid any more or the stored certificate is expired. For example, the cause may indicate that the stored certificate is revoked, and a new certificate or private key for signing is used by a legitimate NRF. For example, the cause may indicate that an attacker may pretend to be an NRF and has issued an access token signed with its private key, not known to NFp, i.e. not previously configured at NFp and not created from the root cert.

[0092] According to embodiments in the present disclosure, the NRF’s public key can be configured at the NFp 120, or the NFp 120 can retrieve the NRF’s public key through a related service operation discussed above. The NFp 120 needs also to be pre-configured with a root. The NFp 120 can also be preconfigured with any intermediary CA certificates that can be used to verify the NRF certificate that is associated with the private key the NRF used for  signing the access token. To ensure that the NRF’s certificate is not revoked, the NFp 120 can retrieve the status of the NRF’s certificate through the CertStatus service operation discussed above or corresponding certificate authority, or NFp 120 may subscribe the status change of the NRF’s certificate through the SubscribeCertStatus service operation discussed above.

[0093] FIG. 3 illustrates an example of a process flow 300 associated with a service request in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the process flow 300 will be described with reference to FIG. 1. The process flow 300 involves the NFc 100, the NFp 120, the NRF-R 130, the NRF-I 140, and the network entity 150. As illustrated, the network entity 150 is different from the NRF-I 140, for example, the network entity 150 may be the CertMgmt_P or NRF-X. It would be appreciated that although the process flow 300 has been described in the network environment 100 of FIG. 1, this process flow may be likewise applied to other communication scenarios.

[0094] In the process flow 300, certificates may be distributed at 301 and 302. For example, certificates to sign access token are distributed to NRFs, especially to the NRF-I 140 that issues the access token.

[0095] In the process flow 300, the NFp 120 registered to the NRF-R 130 at 303. For example, the NFp 120 may send Nnrf_NFManagment_NFRegister Request to the NRF-R 130, the NRF-R 130 may store the NF producer profile and sends back Nnrf_NFManagement_NFRegister Response.

[0096] The NFp 120 may be preconfigured with several addresses of certificate issuers, which may include multiple NRF-Is (including the NRF-I 140) or a new certificate management service producer (CertMgmt_P) 150.

[0097] At 311, the NFc 110 sends a request to the NRF-I 140 after discovery, where the request may be an access token request, which is illustrated as Nnrf_AccessToken_Get Request.

[0098] At 312, the NRF-I 140 sends a response including an access token to the NFc 110. In some example, the NRF-I 140 may check whether the NFc 110 is authorized and may generate an access token if the NFc 110 is authorized. In some examples, the NRF-I 140 generates the access token which is signed with certificate of NRF-I 140, besides other information elements, the returns the access token which may include “iss” claim and “kid” and “alg” JOSE headers in the access token, “iss” is set as an instance identifier of the NRF- I 140, “kid” is used to identify the certificate used by the NRF-I 140 to sign the access token, and “alg” is an algorithm (e.g. RS256 vs ES256, HS256) used to sign the access token. As illustrated, the response at 312 is Nnrf_AccessToken_Get Response.

[0099] At 313, the NFc 110 sends a service request to the NFp 120, where the service request includes the access token which may be obtained at 312.

[0100] At 314, the NFp 120 sends a status request to the network entity 150. In some examples, the NFp 120 may try to get a certificate from local storage based on the access token, if at least one certificate is existing, optionally, the NFp 120 sends a status request to the network entity 150 (e.g., CertMgmt_P) to check the status of the at least one certificate. As illustrated, the status request may be Nnfx_CertMgmt_GetCertStatus Request. For example, the status request may include an instance identifier of an issuer that issues the access token. For example, the status request may include a key identifier of the at least one certificate which is obtained from local storage, where the at least one certificate is used to sign the access token. For example, the status request may include an algorithm used to sign the access token. For example, the status request may include a UUID of the NFp 120. For example, the status request may include a checking mode.

[0101] At 315, the network entity 150 (e.g., CertMgmt_P) responds with a status response to the NFp 120. The status response may include CRL or a status of a certificate based on information included in the status request. As illustrated, the status response may be Nnfx_CertMgmt_GetCertStatus Response.

[0102] In addition or alternatively, the NFp 120 may determine, based on the status response, to reject the service request or to retrieve a new certificate from the network entity 150 (e.g., CertMgmt_P) . In some examples, the NFp 120 may verify integrity and claims in the access token, and execute the requested service is the verification is successful. In some examples, the NFp 120 may send an NF service response back to the NFc 110.

[0103] At 316, the NFp 120 sends a retrieve request to the network entity 150. In some examples, the NFp 120 may not get a certificate locally based on the access token, and then the NFp 120 may send the retrieve request to the network entity 150 to get a certificate. As illustrated, the retrieve request may be Nnfx_CertMgmt_GetCert Request.

[0104] At 317, the network entity 150 responds with a retrieve response to the NFp 120, the retrieve response may include required certificate (s) based on the retrieve response.

[0105] At 318, the NFp 120 stores the certificate (s) in local storage.

[0106] At 319, the NFp 120 sends a subscription request to the network entity 150, to subscribe the update of the certificate.

[0107] At 320, the network entity 150 may update the certificate in NRF-I 140, e.g., if the certificate needs to be revoked based on policy or due to compromising,

[0108] At 321, the network entity 150 sends a notification to the NFp 120. The notification may include a list of identifiers for the revoked certificates subscribed by the NFp 120. Alternatively, a list of new certificates may be pushed in the notification.

[0109] At 322, the NFp 120 updates the certificate (s) in local storage. In some examples, if the notification includes a list of identifiers of new certificate (s) , the NFp 120 may further send a retrieve request to the network entity 150 to get the new certificate (s) and then update its local storage.

[0110] It should be noted that the steps 314-315 may refer to steps 250-255 respectively, the steps 316-318 may refer to steps 260-268 respectively, and the steps 319-322 may refer to steps 210-240 respectively.

[0111] It should be noted that the sequence of steps in the process flow 300 can be changed. For example, the steps 314-315 or steps 319-322 may be performed before the step 311. In this way, the NFp 120 can be notified whether there is / are new certificates for the NFp 120. For example, the steps 260-265 may be performed between the steps 321 and 322. For example, the step 320 may be performed before 319 or before 314 or even before 311.

[0112] It should be noted that although it is illustrated that the steps 311-312 are illustrated between the NFc 110 and the NRF-I 140 and the step 313 is illustrated that the NFp 120 receives a service request from the NFc 110, in some other cases, a service communication proxy (SCP) in behalf of the NFc 110 may be considered. For example, the steps 311-313 may be replaced by the following: the NFc 110 transmits a service request to the SCP, and then the SCP transmits the request (e.g., Nnrf_AccessToken_Get Request) to the NRF-I 140 in behalf of the NFc 110. The NRF-I 140 provides the response (e.g., Nnrf_AccessToken_Get Response) to the SCP, and then the SCP transmits the service request including the access token to the NFp 120.

[0113] FIG. 4 illustrates an example of a process flow 400 with a subscription service operation during registration in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the process flow 400 will be described with reference to FIG. 1. The process flow 400 involves the NFc 100, the NFp 120, the NRF-R  130, the NRF-I 140, and the network entity 150. As illustrated, the network entity 150 is different from the NRF-I 140, for example, the network entity 150 may be the CertMgmt_P or NRF-X. It would be appreciated that although the process flow 400 has been described in the network environment 100 of FIG. 1, this process flow may be likewise applied to other communication scenarios.

[0114] The NFp 120 may be preconfigured with several addresses of certificate issuers, which may include multiple NRF-Is (including the NRF-I 140) or a new certificate management service producer (CertMgmt_P) 150. The address of the network entity 150 may allow to issue certificates in a registration response (e.g., step 412 discussed below) or in a notification (e.g., step 415 discussed below) .

[0115] In the process flow 300, certificates may be distributed at 301 and 302. For example, certificates to sign access token are distributed to NRFs, especially to the NRF-I 140 that issues the access token.

[0116] At 411, the NFp 120 registers its services to the NRF-R 130,

[0117] At 412, the NFp 120 sends a subscription request to the NRF-R 130. The subscription request is used to subscribe an update of certificates that issued by the NRF-I 140. For example, the subscription request may include a callback URI and a UUID of the NFp 120. For example, the callback URI is used to notify the NFp 120 whether the certificates that issued by the NRF-I 140 are changed (e.g., revoked, updated, deleted, created) .

[0118] At 413, the NRF-R 130 forwards the subscription request to the network entity 150. For example, the subscription request may include a callback URI and a UUID of the NFp 120.

[0119] At 414, the network entity 150 may update the certificate (s) in the NRF-I 140, e.g., if new certificates are created, or existing certificates need to be revoked based on policy or due to compromising.

[0120] At 415, the network entity 150 sends a notification to the NFp 120, where the notification may include a list of identifiers of updated certificates. For example, if one or multiple new or revoked certificates will be used by the NFp 120 based on local configuration of the network entity 150, the network entity 150 sends the notification to the NFp 120, and the notification may include a list of identifiers of the new or revoked certificates related to the NFp 120, via the callback URI.

[0121] At 416, the NFp 120 updates the certificate (s) in local storage. In some examples, if the notification includes a list of identifiers of new certificate (s) , the NFp 120 may further send a retrieve request to the network entity 150 to get the new certificate (s) and then update its local storage.

[0122] It should be noted that the steps 412-413 may refer to step 210, the steps 414-416 may refer to steps 220-240 respectively.

[0123] Optionally, the process flow may further include additional steps, such as part or all of the steps 311-322 that discussed in FIG. 3. It is understood that sequence of the additional steps is not limit in this aspect.

[0124] FIG. 5 illustrates an example of a process flow 500 with the network entity being part of NRF-I in accordance with some example embodiments of the present disclosure. The process flow 500 involves the NFc 100, the NFp 120, the NRF-R 130, and the NRF-I 140 in FIG. 1. In some examples, the process flow 500 may be a particular case of process flow 300 with the network entity 150 and the NRF-I 140 being a same network function.

[0125] The steps 503, 511, 512, and 513 in FIG. 5 may refer to steps 303, 311, 312, and 313 in FIG. 3 respectively. Similar with that discussed for the steps 311-312 in FIG. 3, an SCP in behalf of the NFc110 may be considered, details of which will not be repeated for brevity.

[0126] The steps 514 to 522 in FIG. 5 are similar with steps 314 to 322 in FIG. 3 respectively, while the network entity 150 is combined into the NRF-I 140. Details of the process flow 500 will not be repeated for ease of description.

[0127] FIG. 6 illustrates an example of a process flow 600 with the network entity being part of NRF-I in accordance with some example embodiments of the present disclosure. The process flow 600 involves the NFc 100, the NFp 120, the NRF-R 130, and the NRF-I 140 in FIG. 1. In some examples, the process flow 600 may be a particular case of process flow 300 with the network entity 150 and the NRF-I 140 being a same network function.

[0128] The NFp 120 may be configured with certificates of NRF-I 140 at 601 and the NRF-R 130 may be configured with certificates of NRF-I 140 at 602.

[0129] The step 611 in FIG. 6 may refer to step 411 in FIG. 4. The steps 612-616 in FIG. 6 are similar with steps 412-416 in FIG. 4 respectively, while the network entity 150 is combined into the NRF-I 140. Details of the process flow 600 will not be repeated for ease of description.

[0130] According to embodiments in the present disclosure, one or more advantages can be achieved. In case multiple certificates are configured to the NFp, an input of a service operation may be defined so that a particular certificate can be fetched. The NFp can be aware of the status or update of certificates based on a status request or a subscription request. In case a certificate is revoked for security reasons or is replaced due to certificate rotation policy, an error can be avoided when validating the signature. A report of error cause or logging information may be introduced so that the NRF or OAM to take notice of the cause of error. In case the NFp receives an access token which is signed by the NRF-I but there is no corresponding certificate at the NFp, the NFp may retrieve a specific certificate.

[0131] It should be noted that the UUID of the NFp 120 discussed above may be replaced with NF Set ID, and the present disclosure does not limit for this aspect.

[0132] FIG. 7 illustrates a flowchart of a method 700 implemented at a network entity in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the method 700 will be described from the perspective of a network entity 150 in FIG. 1.

[0133] At block 710, the network entity 150 receives, from an NFp, a subscription request for an update of at least one certificate. At block 720, the network entity 150 transmits, to the NFp, a notification in response to the subscription request, where the notification indicates a list of public key information associated with updated at least one certificate.

[0134] In some example embodiments, the subscription request comprises at least one of the following: an instance identifier of an issuer that issuing the at least one certificate, at least one key identifier of the at least one certificate, or a UUID of the NF service producer.

[0135] In some example embodiments, the network entity 150 updates the at least one certificate by at least one of: revoking a certificate in the at least one certificate, or adding a new certificate into the at least one certificate.

[0136] In some example embodiments, the notification comprises at least one of: a list of identifiers for one or more than one revoked certificate, or a list of identifiers for one or more than one new certificate.

[0137] In some example embodiments, the network entity 150 receives, from the NF service producer, a status request for checking at least one status of the at least one certificate for the NF service producer; and the network entity 150 transmits, to the NF service producer, a  status response comprising a CRL or the status at least one of the at least one certificate based on the status request.

[0138] In some example embodiments, the status request comprises at least one of the following: an instance identifier of an issuer that issuing the at least one certificate, at least one key identifier of the at least one certificate, an algorithm used for signing an access token, or a UUID of the NF service producer.

[0139] In some example embodiments, based on determining that the status request comprises the instance identifier of the issuer and the at least one key identifier, the network entity 150 determines that the status response comprises one or more statuses of one or more certificates in the at least one certificate, wherein the one or more certificates are issued by the issuer.

[0140] In some example embodiments, based on determining that the status request comprises the instance identifier of the issuer and does not comprise the at least one key identifier, the network entity 150 determines that the status response comprises a status of a certificate that is issued by the issuer.

[0141] In some example embodiments, based on determining that the status request comprises the at least one key identifier and does not comprise the instance identifier of the issuer, the network entity 150 determines that the status response comprises the at least one status of the at least one certificate or the CRL.

[0142] In some example embodiments, based on determining that the status request comprises the algorithm but does not comprise the at least one key identifier or the instance identifier, the network entity 150 determines that the status response comprises one or multiple statuses of one or multiple certificates that use the algorithm.

[0143] In some example embodiments, the network entity 150 receives, from the NF service producer, a retrieve request for getting a certificate to sign an access token; and the network entity 150 transmits, to the NF service producer, a retrieve response comprising a specific certificate.

[0144] In some example embodiments, the retrieve request comprises at least one of the following: an instance identifier of an issuer that issuing the at least one certificate, at least one key identifier of the at least one certificate, an algorithm used for signing the access token, or a UUID of the NF service producer.

[0145] In some example embodiments, the network entity 150 receives, from the NF service producer, at least one of error cause or logging information indicating that a matching associated with an access token is failed.

[0146] In some example embodiments, the subscription request is received during a registration procedure of the NF service producer or during a service provision procedure for an NF service consumer.

[0147] In some example embodiments, the network entity is independent from an issuer that issuing the at least one certificate, or is implemented as part of the issuer. For example, the issuer may be the NRF-I 140 in FIG. 1.

[0148] FIG. 8 illustrates a flowchart of a method 800 implemented at an NFp in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the method 800 will be described from the perspective of an NFp 120 in FIG. 1.

[0149] At block 810, the NFp 120 transmits, to a network entity, a subscription request for an update of at least one certificate. At block 820, the NFp 120 receives, from the network entity, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate. At block 830, the NFp 120 store the list of public key information associated with the updated at least one certificate.

[0150] In some example embodiments, the subscription request comprises at least one of the following: an instance identifier of an issuer that issuing the at least one certificate, at least one key identifier of the at least one certificate, or a UUID of the NF service producer.

[0151] In some example embodiments, the notification comprises at least one of: a list of identifiers for one or more than one revoked certificate, or a list of identifiers for one or more than one new certificate.

[0152] In some example embodiments, the NFp transmits, to the network entity, a status request for checking at least one status of at least one certificate for the NF service producer; and the NFp receives, from the network entity, a status response comprising a CRL or the status at least one status of the at least one certificate based on the status request.

[0153] In some example embodiments, the status request comprises at least one of the following: an instance identifier of an issuer that issuing the at least one certificate, at least  one key identifier of the at least one certificate, an algorithm used for signing the access token, or a UUID of the NF service producer.

[0154] In some example embodiments, based on determining that the status request comprises the instance identifier of the issuer and the at least one key identifier, the NFp 120 receives the status response which comprises one or more statuses of one or more certificates in the at least one certificate, wherein the one or more certificates are issued by the issuer.

[0155] In some example embodiments, based on determining that the status request comprises the instance identifier of the issuer and does not comprise the at least one key identifier, the NFp 120 receives the status response which comprises a status of a certificate that is issued by the issuer.

[0156] In some example embodiments, based on determining that the status request comprises the at least one key identifier and does not comprise the instance identifier of the issuer, the NFp 120 receives the status response which comprises the at least one status of the at least one certificate or the CRL.

[0157] In some example embodiments, based on determining that the status request comprises the algorithm but does not comprise the at least one key identifier or the instance identifier, the NFp 120 receives the status response which comprises one or multiple statuses of one or multiple certificates that use the algorithm.

[0158] In some example embodiments, the NFp 120 transmits, to the network entity, a retrieve request getting a certificate to sign an access token; the NFp 120 receives, from the network entity, a retrieve response comprising a specific certificate; and the NFp 120 stores the specific certificate.

[0159] In some example embodiments, the retrieve request comprises at least one of the following: an instance identifier of an issuer that issuing the at least one certificate, at least one key identifier of the at least one certificate, an algorithm used for signing the access token, or a UUID of the NF service producer.

[0160] In some example embodiments, based on determining that a matching associated with an access token is failed, the NFp 120 transmits, to the network entity or a network repository function or an OAM, at least one of error cause or logging information indicating that the matching associated with the access token is failed.

[0161] In some example embodiments, the subscription request is received during a registration procedure of the NF service producer or during a service provision procedure for an NF service consumer.

[0162] In some example embodiments, the network entity 150 is independent from an issuer that issuing the at least one certificate, or is implemented as part of the issuer. For example, the issuer may be the NRF-I 140 in FIG. 1.

[0163] In some example embodiments, an apparatus capable of performing the method 700 (for example, the network entity 150) may comprise means for performing the respective steps of the method 700. The means may be implemented in any suitable form. For example, the means may be implemented in a circuitry or software module.

[0164] In some example embodiments, an apparatus capable of performing the method 800 (for example, the NFp 120) may comprise means for performing the respective steps of the method 800. The means may be implemented in any suitable form. For example, the means may be implemented in a circuitry or software module.

[0165] The term “means” as used in the description and in the claims may refer to one or more individual elements configured to perform the corresponding recited functionality or functionalities, or it may refer to several elements that perform such functionality or functionalities. Furthermore, several functionalities recited in the claims may be performed by the same individual means or the same combination of means. For example, performing such functionality or functionalities may be caused in an apparatus by a processor that executes instructions stored in a memory of the apparatus.

[0166] FIG. 9 illustrates a simplified block diagram of a device 900 that is suitable for implementing some example embodiments of the present disclosure. The device 900 may be provided to implement the terminal device or the network device discussed above, for example the NFp 120 or the network entity 150 in FIG. 1. As shown, the device 900 includes one or more processors 910, one or more memories 920 coupled to the processor 910, and one or more communication modules 940 coupled to the processor 910.

[0167] The communication module 940 is for bidirectional communications. The communication module 940 has at least one antenna to facilitate communication. The communication interface may represent any interface that is necessary for communication with other network elements.

[0168] The processor 910 may be of any type suitable to the local technical network and may include one or more of the following: general purpose computers, special purpose computers, microprocessors, digital signal processors (DSPs) and processors based on multicore processor architecture, as non-limiting examples. The device 900 may have multiple processors, such as an application specific integrated circuit chip that is slaved in time to a clock which synchronizes the main processor.

[0169] The memory 920 may include one or more non-volatile memories and one or more volatile memories. Examples of the non-volatile memories include, but are not limited to, a Read Only Memory (ROM) 924, an electrically programmable read only memory (EPROM) , a flash memory, a hard disk, a compact disc (CD) , a digital video disk (DVD) , and other magnetic storage and / or optical storage. Examples of the volatile memories include, but are not limited to, a random access memory (RAM) 922 and other volatile memories that will not last in the power-down duration.

[0170] A computer program 930 includes computer executable instructions that are executed by the associated processor 910. The program 930 may be stored in the ROM 924. The processor 910 may perform any suitable actions and processing by loading the program 930 into the RAM 922.

[0171] The embodiments of the present disclosure may be implemented by means of the program 930 so that the device 900 may perform any process of the disclosure as discussed with reference to FIGS. 2-8. The embodiments of the present disclosure may also be implemented by hardware or by a combination of software and hardware.

[0172] In some example embodiments, the program 930 may be tangibly contained in a computer readable medium which may be included in the device 900 (such as in the memory 920) or other storage devices that are accessible by the device 900. The device 900 may load the program 930 from the computer readable medium to the RAM 922 for execution. The computer readable medium may include any types of tangible non-volatile storage, such as ROM, EPROM, a flash memory, a hard disk, CD, DVD, and the like.

[0173] FIG. 10 illustrates a block diagram of an example of a computer readable medium 1000 in accordance with some example embodiments of the present disclosure. The computer readable medium 1000 has the program 930 stored thereon. It is noted that although the computer readable medium 1000 is depicted in form of CD or DVD in FIG. 10, the computer readable medium 1000 may be in any other form suitable to carry or hold the program 930.

[0174] Various embodiments of the present disclosure may be implemented in hardware or special purpose circuits, software, logic or any combination thereof. Some aspects may be implemented in hardware, while other aspects may be implemented in firmware or software which may be executed by a controller, microprocessor or other computing device. While various aspects of embodiments of the present disclosure are illustrated and described as block diagrams, flowcharts, or using some other pictorial representations, it is to be understood that the block, apparatus, system, technique or method described herein may be implemented in, as non-limiting examples, hardware, software, firmware, special purpose circuits or logic, general purpose hardware or controller or other computing devices, or some combination thereof.

[0175] The present disclosure also provides at least one computer program product tangibly stored on a non-transitory computer readable storage medium. The computer program product includes computer-executable instructions, such as those included in program modules, being executed in a device on a target real or virtual processor, to carry out the method as described above with reference to any of FIGS. 2-8. Generally, program modules include routines, programs, libraries, objects, classes, components, data structures, or the like that perform particular tasks or implement particular abstract data types. The functionality of the program modules may be combined or split between program modules as desired in various embodiments. Machine-executable instructions for program modules may be executed within a local or distributed device. In a distributed device, program modules may be located in both local and remote storage media.

[0176] Program code for the methods of the present disclosure may be written in any combination of one or more programming languages. These program codes may be provided to a processor or controller of a general purpose computer, special purpose computer, or other programmable data processing apparatus, such that the program codes, when executed by the processor or controller, cause the functions / operations specified in the flowcharts and / or block diagrams to be performed. The program code may execute entirely on a machine, partly on the machine, as a stand-alone software package, partly on the machine and partly on a remote machine or entirely on the remote machine or server.

[0177] In the context of the present disclosure, the computer program codes or related data may be carried by any suitable carrier to enable the device, apparatus or processor to perform various processes and operations as described above. Examples of the carrier include a signal, computer readable medium, and the like.

[0178] The computer readable medium may be a computer readable signal medium or a computer readable storage medium. A computer readable medium may include but not limited to an electronic, magnetic, optical, electromagnetic, infrared, or semiconductor system, apparatus, or device, or any suitable combination of the foregoing. More specific examples of the computer readable storage medium would include an electrical connection having one or more wires, a portable computer diskette, a hard disk, a random access memory (RAM) , a read-only memory (ROM) , an erasable programmable read-only memory (EPROM or Flash memory) , an optical fiber, a portable compact disc read-only memory (CD-ROM) , an optical storage device, a magnetic storage device, or any suitable combination of the foregoing. The term “non-transitory, ” as used herein, is a limitation of the medium itself (i.e., tangible, not a signal) as opposed to a limitation on data storage persistency (e.g., RAM vs. ROM) .

[0179] Further, while operations are depicted in a particular order, this should not be understood as requiring that such operations be performed in the particular order shown or in sequential order, or that all illustrated operations be performed, to achieve desirable results. In certain circumstances, multitasking and parallel processing may be advantageous. Likewise, while several specific implementation details are contained in the above discussions, these should not be construed as limitations on the scope of the present disclosure, but rather as descriptions of features that may be specific to particular embodiments. Certain features that are described in the context of separate embodiments may also be implemented in combination in a single embodiment. Conversely, various features that are described in the context of a single embodiment may also be implemented in multiple embodiments separately or in any suitable sub-combination.

[0180] Although the present disclosure has been described in languages specific to structural features and / or methodological acts, it is to be understood that the present disclosure defined in the appended claims is not necessarily limited to the specific features or acts described above. Rather, the specific features and acts described above are disclosed as example forms of implementing the claims.

Claims

1.A network entity comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the network entity at least to:receive, from a network function (NF) service producer, a subscription request for an update of at least one certificate; andtransmit, to the NF service producer, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate.2.The network entity of claim 1, wherein the subscription request comprises at least one of the following:an instance identifier of an issuer that issuing the at least one certificate,at least one key identifier of the at least one certificate, ora universal unique identifier (UUID) of the NF service producer.3.The network entity of claim 1 or 2, wherein the instructions, when executed by the at least one processor, further cause the network entity to:update the at least one certificate by at least one of: revoking a certificate in the at least one certificate, or adding a new certificate into the at least one certificate.4.The network entity of any of claims 1-3, wherein the notification comprises at least one of:a list of identifiers for one or more than one revoked certificate, ora list of identifiers for one or more than one new certificate.5.The network entity of any of claims 1-4, wherein the instructions, when executed by the at least one processor, further cause the network entity to:receive, from the NF service producer, a status request for checking at least one status of the at least one certificate for the NF service producer; andtransmit, to the NF service producer, a status response comprising a certificate revocation list (CRL) or the status at least one of the at least one certificate based on the status request.6.The network entity of claim 5, wherein the status request comprises at least one of the following:an instance identifier of an issuer that issuing the at least one certificate,at least one key identifier of the at least one certificate,an algorithm used for signing an access token, ora UUID of the NF service producer.7.The network entity of claim 6, wherein the instructions, when executed by the at least one processor, further cause the network entity to:based on determining that the status request comprises the instance identifier of the issuer and the at least one key identifier, determine that the status response comprises one or more statuses of one or more certificates in the at least one certificate, wherein the one or more certificates are issued by the issuer;based on determining that the status request comprises the instance identifier of the issuer and does not comprise the at least one key identifier, determine that the status response comprises a status of a certificate that is issued by the issuer;based on determining that the status request comprises the at least one key identifier and does not comprise the instance identifier of the issuer, determine that the status response comprises the at least one status of the at least one certificate or the CRL; orbased on determining that the status request comprises the algorithm but does not comprise the at least one key identifier or the instance identifier, determine that the status response comprises one or multiple statuses of one or multiple certificates that use the algorithm.8.The network entity of any of claims 1-7, wherein the instructions, when executed by the at least one processor, further cause the network entity to:receive, from the NF service producer, a retrieve request for getting a certificate to sign an access token; andtransmit, to the NF service producer, a retrieve response comprising a specific certificate.9.The network entity of claim 8, wherein the retrieve request comprises at least  one of the following:an instance identifier of an issuer that issuing the at least one certificate,at least one key identifier of the at least one certificate,an algorithm used for signing the access token, ora UUID of the NF service producer.10.The network entity of any of claims 1-9, wherein the instructions, when executed by the at least one processor, further cause the network entity to:receive, from the NF service producer, at least one of error cause or logging information indicating that a matching associated with an access token is failed.11.The network entity of any of claims 1-10, wherein the subscription request is received during a registration procedure of the NF service producer or during a service provision procedure for an NF service consumer.12.The network entity of any of claims 1-11, wherein the network entity is independent from an issuer that issuing the at least one certificate, or is implemented as part of the issuer.13.A network function (NF) service producer comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the NF service producer at least to:transmit, to a network entity, a subscription request for an update of at least one certificate;receive, from the network entity, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate; andstore the list of public key information associated with the updated at least one certificate.14.The NF service producer of claim 13, wherein the subscription request comprises at least one of the following:an instance identifier of an issuer that issuing the at least one certificate,at least one key identifier of the at least one certificate, ora universal unique identifier (UUID) of the NF service producer.15.The NF service producer of claim 13 or 14, wherein the notification comprises at least one of:a list of identifiers for one or more than one revoked certificate, ora list of identifiers for one or more than one new certificate.16.The NF service producer of any of claims 13-15, wherein the instructions, when executed by the at least one processor, further cause the NF service producer to:transmit, to the network entity, a status request for checking at least one status of at least one certificate for the NF service producer; andreceive, from the network entity, a status response comprising a certificate revocation list (CRL) or the status at least one status of the at least one certificate based on the status request.17.The NF service producer of claim 16, wherein the status request comprises at least one of the following:an instance identifier of an issuer that issuing the at least one certificate,at least one key identifier of the at least one certificate,an algorithm used for signing the access token, ora UUID of the NF service producer.18.The NF service producer of claim 17, wherein the instructions, when executed by the at least one processor, further cause the NF service producer to:based on determining that the status request comprises the instance identifier of the issuer and the at least one key identifier, receive the status response which comprises one or more statuses of one or more certificates in the at least one certificate, wherein the one or more certificates are issued by the issuer;based on determining that the status request comprises the instance identifier of the issuer and does not comprise the at least one key identifier, receive the status response which comprises a status of a certificate that is issued by the issuer;based on determining that the status request comprises the at least one key identifier and does not comprise the instance identifier of the issuer, receive the status response which comprises the at least one status of the at least one certificate or the CRL; orbased on determining that the status request comprises the algorithm but does not comprise the at least one key identifier or the instance identifier, receive the status response which comprises one or multiple statuses of one or multiple certificates that use the algorithm.19.The NF service producer of any of claims 13-18, wherein the instructions, when executed by the at least one processor, further cause the NF service producer to:transmit, to the network entity, a retrieve request getting a certificate to sign an access token;receive, from the network entity, a retrieve response comprising a specific certificate; andstore the specific certificate.20.The NF service producer of claim 19, wherein the retrieve request comprises at least one of the following:an instance identifier of an issuer that issuing the at least one certificate,at least one key identifier of the at least one certificate,an algorithm used for signing the access token, ora UUID of the NF service producer.21.The NF service producer of any of claims 13-20, wherein the instructions, when executed by the at least one processor, further cause the NF service producer to:based on determining that a matching associated with an access token is failed, transmit, to the network entity or a network repository function or an operations, administration and maintenance (OAM) , at least one of error cause or logging information indicating that the matching associated with the access token is failed.22.The NF service producer of any of claims 13-21, wherein the subscription request is received during a registration procedure of the NF service producer or during a service provision procedure for an NF service consumer.23.The NF service producer of any of claims 13-22, wherein the network entity is independent from an issuer that issuing the at least one certificate, or is implemented as part  of the issuer.24.A communication method comprising:receiving, at a network entity from a network function (NF) service producer, a subscription request for an update of at least one certificate; andtransmitting, to the NF service producer, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate.25.A communication method comprising:transmitting, at a network function (NF) service producer to a network entity, a subscription request for an update of at least one certificate;receiving, from the network entity, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate; andstoring the list of public key information associated with the updated at least one certificate.26.A communication apparatus comprising:means for receiving, at a network entity from a network function (NF) service producer, a subscription request for an update of at least one certificate; andmeans for transmitting, to the NF service producer, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate.27.A communication apparatus comprising:means for transmitting, at a network function (NF) service producer to a network entity, a subscription request for an update of at least one certificate;means for receiving, from the network entity, a notification in response to the subscription request, wherein the notification indicates a list of public key information associated with updated at least one certificate; andmeans for storing the list of public key information associated with the updated at least one certificate.28.A non-transitory computer readable medium comprising program instructions that, when executed by an apparatus, cause the apparatus to perform at least the method of claim 24 or 25.

Images