Apparatus and method for certificate management

Abstract

Embodiments of the present disclosure relate to an apparatus, method, and non-transitory computer readable medium for certificate management. The apparatus comprises at least one processor; and at least one memory storing instructions. The apparatus may be caused by the instructions to receive, from a network function, NF, instance, an NF registration request for informing the NRF of an NF profile of the NF instance. The apparatus may be further caused to transmit to the NF instance, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises one or more of certificate information details, or network resource information about where to retrieve the certificate information details from.

Description

APPARATUS AND METHOD FOR CERTIFICATE MANAGEMENTFIELD

[0001] Example embodiments of the present disclosure generally relate to the field of communications and in particular, to a network repository function (NRF) , a network function (NF) instance, methods, apparatuses, a computer readable storage medium and a computer program product for certificate management.BACKGROUND

[0002] As specified in the third generation partnership project (3GPP) , access tokens shall be JavaScript object notation (JSON) web tokens and are secured with digital signatures (DS) or message authentication codes (MAC) based on JSON web signature (JWS) . An NF service consumer (NFc) , i.e., an NF instance requesting services, provides a digitally signed access token (the access token with the digital signature generated by an NRF with a private key of a certificate) to an NF service producer (NFp) which provides the services requested by the NFc. The NFp will verify the digital signature using the corresponding public key of the certificate before providing services to the NFc, wherein the corresponding public key was provided to the NFp.

[0003] Currently, information related to the public key needed to verify the digital signature over the access token is assumed to be configured manually at the NFp. For example, it is assumed that any NFp has stored or is configured with a root certificate and the certificates of NRFs allowed to provide access token for NFp’s services. However, the NFp may not be configured at all, or only be configured with a root certificate. Therefore, there is a need for a solution of pre-provisioning the NFp with the certificates during registration of its services.SUMMARY

[0004] In general, example embodiments of the present disclosure provide devices, methods and a computer readable medium for certificate management.

[0005] In a first aspect, there is provided a network repository function, NRF. The NRF comprises at least one processor; and at least one memory storing instructions. The instructions, when executed by the at least one processor, cause the NRF to receive, from a network function, NF, instance, an NF registration request for informing the NRF of an NF profile of the NF instance. The instructions further cause the NRF to: transmit, to the NF instance, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises one or more of certificate information details, or network resource information about where to retrieve the certificate information details from.

[0006] In an embodiment, the certificate information details are configured to be used by the NF instance for verifying an issuer signature over an access token, and the access token is provided by an NF service consumer.

[0007] In an embodiment, the certificate information details comprise one or more of an NRF certificate, a root certificate, a certificate chain, intermediary certificates, a leaf certificate of an issuer entity for issuing the access token, or one or more raw public keys.

[0008] In an embodiment, the network resource information includes uniform resource identifier information of the one or more certificates.

[0009] In an embodiment, the certificate information further comprises information indicating a reference to one or more access token issuer entities.

[0010] In an embodiment, the NF registration request comprises limiting information indicating whether the NF instance wishes to limit issuer entities which can issue access tokens.

[0011] In an embodiment, the limiting information comprises information indicating that only the NRF receiving the NF registration request can issue the access tokens.

[0012] In an embodiment, the limiting information comprises information indicating that issuer entities other than the NRF receiving the NF registration request can issue the access tokens.

[0013] In an embodiment, the NRF is further caused to receive, from the NF instance, an indication for providing the certificate information in the NF registration response.

[0014] In an embodiment, the NRF is further caused to receive, from the NF instance, an indication for a status subscription request for subscribing to a change of the certificate information.

[0015] In an embodiment, the NRF is further caused to transmit, to the NF instance, status notification information for notifying of the change of the certificate information.

[0016] In an embodiment, the NF registration request is carried in an Nnrf_NFManagement_NFRegister Request message provided by Nnrf_NFManagement service. The certificate information of an entity issuing access tokens is carried in an Nnrf_NFManagement_NFRegister response provided by the Nnrf_NFManagement service

[0017] In an embodiment, the indication for the status subscription request is carried in an Nnrf_NFManagement_NFStatusSubscribe message provided by Nnrf_NFManagement service. The status notification information is carried in an Nnrf_NFManagement_NFStatusNotify message provided by Nnrf_NFManagement service.

[0018] In a second aspect, there is provided a network function, NF, instance. The NF instance comprises at least one processor, and at least one memory storing instructions. The instructions, when executed by the at least one processor, cause the NF instance to transmit, to a network repository function, NRF, an NF registration request to inform the NRF of an NF profile of the NF instance. The instructions further cause the NF instance to receive, from the NRF, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises certificate information details, or network resource information about where to retrieve the certificate information details from.

[0019] In an embodiment, the certificate information details are configured to be used by the NF instance for verifying an issuer signature over an access token and the access token is provided by an NF service consumer.

[0020] In an embodiment, the certificate information details comprise one or more of an NRF certificate, a root certificate, a certificate chain, intermediary certificates, a leaf certificate of an issuer entity for issuing the access token, or one or more raw public keys.

[0021] In an embodiment, the network resource information includes uniform resource identifier information of the one or more certificates.

[0022] In an embodiment, the certificate information further comprises information indicating a reference to one or more access token issuer entities.

[0023] In an embodiment, the NF instance registration request comprises limiting information indicating whether the NF instance wishes to limit issuer entities which can issue access tokens.

[0024] In an embodiment, the limiting information comprises information indicating that only the NRF receiving the NF registration request can allows issue the access tokens.

[0025] In an embodiment, the limiting information comprises information indicating that issuer entities other than the NRF receiving the NF registration request can issue the access tokens.

[0026] In an embodiment, the NF instance is further caused to transmit, to the NRF, an indication for providing the certificate information in the NF registration response.

[0027] In an embodiment, the NF instance is further caused to transmit, to the NRF, an indication for a status subscription request to subscribe to a change of the certificate information.

[0028] In an embodiment, the NF instance is further caused to receive status notification information for notifying changes of the certificate information.

[0029] In an embodiment, the NF instance registration request is carried in an Nnrf_NFManagement_NFRegister Request message provided by Nnrf_NFManagement service. The certificate information of an entity issuing access tokens is carried in an Nnrf_NFManagement_NFRegister response provided by the Nnrf_NFManagement service

[0030] In an embodiment, the indication for the status subscription request is carried in an Nnrf_NFManagement_NFStatusSubscribe message provided by Nnrf_NFManagement service. The status notification information is carried in an Nnrf_NFManagement_NFStatusNotify message provided by Nnrf_NFManagement service.

[0031] In a third aspect, there is provided a method implemented by an NRF. The method comprises receiving, from a network function, NF, instance, an NF registration request for informing the NRF of an NF profile of the NF instance; and transmitting, to the NF instance, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises certificate information details, or network resource information about where to retrieve the certificate information details from.

[0032] In a fourth aspect, there is provided a method implemented by an NF instance. The method comprises transmitting, to a network repository function, NRF, an NF registration request to inform the NRF of an NF profile of the NF instance; and receiving, from the NRF, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises certificate information details, or network resource information about where to retrieve he certificate information details from.

[0033] In a fifth aspect, there is provided an apparatus. The apparatus comprises: means for receiving, from a network function, NF, instance, an NF registration request for informing the NRF of an NF profile of the NF instance; and means for transmitting, to the NF instance, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises one or more of certificate information details, or network resource information about where to retrieve the certificate information details from.

[0034] In a sixth aspect, there is provided an apparatus. The apparatus comprises: means for transmitting, to a network repository function, NRF, an NF registration request to inform the NRF of an NF profile of the NF instance; and means for receiving from the NRF, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises certificate information details, or network resource information about where to retrieve the certificate information details from.

[0035] In a seventh aspect, there is provided a computer program comprising instructions. The computer program comprising instructions, when executed by an apparatus, causing the apparatus at least to perform the method according to the third or the fourth aspect above.

[0036] It is to be understood that the summary section is not intended to identify key or essential features of embodiments of the present disclosure, nor is it intended to be used to limit the scope of the present disclosure. Other features of the present disclosure will become easily comprehensible through the following description.BRIEF DESCRIPTION OF THE DRAWINGS

[0037] Some embodiments will now be described with reference to the accompanying drawings, in which:

[0038] FIG. 1 illustrates an example network environment in which some embodiments of the present disclosure can be implemented;

[0039] FIG. 2 illustrates an example signaling diagram of an example process according to some embodiments of the present disclosure;

[0040] FIG. 3 illustrates a flowchart of a method implemented at a network repository function (NRF) according to some embodiments of the present disclosure;

[0041] FIG. 4 illustrates a flowchart of a method implemented at a network function (NF) instance according to some embodiments of the present disclosure;

[0042] FIG. 5 illustrates a simplified block diagram of an apparatus which is suitable for implementing embodiments of the present disclosure; and

[0043] FIG. 6 illustrates a block diagram of an example of a computer readable medium in accordance with some example embodiments of the present disclosure.

[0044] Throughout the drawings, the same or similar reference numerals represent the same or similar elements.DETAILED DESCRIPTION

[0045] Principles of the present disclosure will now be described with reference to some embodiments. It is to be understood that these embodiments are described only for the purpose of illustration and help those skilled in the art to understand and implement the present disclosure, without suggesting any limitation as to the scope of the disclosure. The disclosure described herein may be implemented in various manners other than the ones described below.

[0046] In the following description and claims, unless defined otherwise, all technical and scientific terms used herein have the same meaning as commonly understood by one of ordinary skills in the art to which this disclosure belongs.

[0047] References in the present disclosure to “one embodiment, ” “an example embodiment, ” “an embodiment, ” “some embodiments, ” and the like indicate that the embodiment (s) described may include a particular feature, structure, or characteristic, but it is not necessary that every embodiment includes the particular feature, structure, or characteristic. Moreover, such phrases do not necessarily refer to the same embodiment (s) . Further, when a particular feature, structure, or characteristic is described in connection with an embodiment, it is submitted that it is within the knowledge of one skilled in the art to affect such feature, structure, or characteristic in connection with other embodiments whether or not explicitly described.

[0048] It shall be understood that although the terms “first” and “second” or the like may be used herein to describe various elements, these elements should not be limited by these terms. These terms are only used to distinguish one element from another element. For example, a first element could also be termed as a second element, and similarly, a second element could also be termed as a first element, without departing from the scope of embodiments. As used herein, the term “and / or” includes any and all combinations of one or more of the listed terms.

[0049] The terminology used herein is for the purpose of describing particular embodiments only and is not intended to be limiting of example embodiments. As used herein, the singular forms “a” , “an” and “the” are intended to include the plural forms as well, unless the context clearly indicates otherwise. It will be further understood that the terms “comprises” , “comprising” , “has” , “having” , “includes” and / or “including” , when used herein, specify the presence of stated features, elements, and / or components etc., but do not preclude the presence or addition of one or more other features, elements, components and / or combinations thereof.

[0050] As used herein, the term “communication network” refers to a network following any suitable communication standards, such as, 5G new radio (NR) , long term evolution (LTE) , LTE-advanced (LTE-A) , wideband code division multiple access (WCDMA) , high-speed packet access (HSPA) , narrow band internet of things (NB-IoT) , and so on. Further, the communications between a terminal device and a network device in the communication network may be performed according to any suitable generation communication protocols, including but not limited to, the first generation (1G) , the second generation (2G) , 2.5G, 2.75G, the third generation (3G) , the fourth generation (4G) , 4.5G, the 5G communication protocols, the 6G communication protocols and / or any other protocols either currently known or to be developed in the future. Embodiments of the present disclosure may be applied in various communication systems. Given the rapid development in communications, there will also be future type of communication technologies and systems in which the present disclosure may be embodied. It should not be seen as limiting the scope of the present disclosure to only the aforementioned systems.

[0051] As used herein, the term “network device” usually refers to a node in a communication network via which a terminal device can access the communication network and receive services therefrom. In such a case, the network device may refer to a base station (BS) or an access point (AP) , for example, a node B (NodeB or NB) , a radio access network (RAN) node, an evolved NodeB (eNodeB or eNB) , an NR NB (also referred to as a gNB) , a remote radio unit (RRU) , a radio header (RH) , an infrastructure device for a V2X (vehicle-to-everything) communication, a transmission and reception point (TRP) , a reception point (RP) , a remote radio head (RRH) , a relay, an integrated access and backhaul (IAB) node, a low power node such as a femto BS, a pico BS, and so forth, depending on the applied terminology and technology. However, in embodiments of the present disclosure, the term “network device” refers to a network node or element in a core network in most cases. In such a case, the network device may be an NF instance, an NRF instance, etc. For example, the network device may include authentication management function (AMF) , session management function (SMF) , application function (AMF) , NRF, policy control function (PCF) , unified data management (UDM) , etc.

[0052] As used herein, the term “terminal device” generally refers to any end device that may be capable of wireless communications. By way of example rather than a limitation, a terminal device may also be referred to as a communication device, a user equipment (UE) , an end user device, a subscriber station (SS) , an unmanned aerial vehicle (UAV) , a portable subscriber station, a mobile station (MS) , or an access terminal (AT) . The terminal device may include, but is not limited to, a mobile phone, a cellular phone, a smart phone, a voice over IP (VoIP) phone, a wireless local loop phone, a tablet, a wearable terminal device, a personal digital assistant (PDA) , a portable computer, a desktop computer, an image capture terminal device such as a digital camera, a gaming terminal device, a music storage and playback appliance, a vehicle-mounted wireless terminal device, a wireless endpoint, a mobile station, laptop-embedded equipment (LEE) , laptop-mounted equipment (LME) , a USB dongle, a smart device, wireless customer-premises equipment (CPE) , an internet of things (loT) device, a watch or other wearable, a head-mounted display (HMD) , a vehicle, a drone, a medical device (for example, a remote surgery device) , an industrial device (for example, a robot and / or other wireless devices operating in an industrial and / or an automated processing chain contexts) , a consumer electronics device, a device operating on commercial and / or industrial wireless networks, and the like. In the following description, the terms: “terminal device, ” “communication device, ” “terminal, ” “user equipment” and “UE, ” may be used interchangeably.

[0053] As used herein, the term “resource, ” “transmission resource, ” “resource block, ” “physical resource block, ” “uplink resource, ” or “downlink resource” may refer to any resource, for example a resource in time domain, a resource in frequency domain, a resource in space domain, a resource in code domain, or any other resource enabling a communication, and the like, used for performing a communication between a terminal device and a network device or between terminal devices. In the following, a resource in both frequency and time domain will be used as an example of a transmission resource for describing some embodiments of the present disclosure. It is noted that embodiments of the present disclosure equally apply to other resources in other domains.

[0054] FIG. 1 illustrates an example of a network environment 100 in which some example embodiments of the present disclosure may be implemented. The network environment 100 may also be called as a network system, a communication environment, a communication network, a communication system, or the like, the present disclosure does not limit this aspect.

[0055] The network environment 100 may include multiple network functions. As shown in FIG. 1, there are an NF instance 110, which may be an NF service Consumer (NFc) 110, an NF instance 120, which may be an NF service Producer (NFp) 120, a network repository function (NRF) 130.

[0056] The NRF 130 may refer to an NRF where the NFp 120 is registered and the certificate (s) is / are issued. In some embodiments, the NRF where the NFp 120 is registered and the NRF that issues the certificate (s) may not be the same.

[0057] The NFp 120 may refer to an NF instance providing services to other NF instances. The NFc 110 may refer to an NF instance requesting services from the NFp 120. In practices, the same NF instance may function as both NFp and NFc. For example, when the NF instance provides services to an NFc, the NF instance operates as an NFp, while it operates as an NFc when it receives services from another NF instances. In addition, when the NF instance requests to register on the NRF, it may be called as NRF service consumer too.

[0058] The NFc 110 may send an access token received from the NRF 130 to the NFp 120, and the NFp 120 verifies the digital certificate in the access token before providing services to the NFc.

[0059] It is to be understood that the number of network functions in FIG. 1 is given for the purpose of illustration without suggesting any limitations to the present disclosure. For example, there may be multiple NRF 130. For example, the network environment 100 may further include an operation, administration and maintenance (OAM) . For example, the network environment 100 may further include one or more other network functions such as a unified data management function (UDM) , a network data analytics function (NWDAF) , a network exposure function (NEF) , etc.

[0060] In the existing communication specification, there is specified service based interface (SBI) security, e.g., as specified in clause 13 of 3GPP TS33.501. In the SBI security, OAuth2.0 based access token, which is issued by an NRF, may be used to authorize an NFc by an NFp. Access tokens could be JSON web tokens and are secured with a DS or MAC based on JWS.

[0061] Securing the access token using digital signature based on JWS as mentioned above requires that the issuer NRF (e.g., the NRF 130) has a public / private key pair and the NFp 120 needs to be utilize the public key of the issuer NRF to verify the digital signature of the access token. The provisioning of the NFp 120 with the public key of the NRF 130 (through an X. 509 certificate) to the NFp 120 can be done by OAM, by using the service operation discussed below or any other implementation specific way.

[0062] The NFp may verify that the access token is issued by the OAuth 2.0 authorization server and the NRF where NFp is registered is not necessarily same as the NFR which is issuing the access token. For example, the NFp is locally configured by authorized OAuth 2.0 authorization server NRF and the NFc has to contact the authorization server NRF to get the access token.

[0063] The certificate of NRF which issues access token for NFp service access is also needed by the NFp to validate the digital signature of the access token provided by NFc. Although the NFp has stored or is configured with a root certificate and the certificates of NRFs allowed to provide access token for NFp’s services. However, the certificate might be expired or revoked, and in such a case, a new certificate would be required. Thus, the NFp may still need to manually request the root certificate or intermediary certificate authority (CA) certificates, which are used by NFp to verify the NRF certificate. In this situation, it is essential to explore how to effectively manage and distribute these certificates to ensure that NFp can smoothly verify the NRF certificate.

[0064] Embodiments of the present disclosure provide a solution for certificate management. In one aspect of the solution of the present disclosure, a network repository function, NRF, comprises at least one processor; and at least one memory storing instructions. The instructions, when executed by the at least one processor, cause the NRF to: receive, from a network function, NF, instance, an NF registration request for informing the NRF of an NF profile of the NF instance; and transmit, to the NF instance, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises one or more of certificate information details, or network resource information about where to retrieve the certificate information details from.

[0065] With embodiments of the present disclosure, the NF instance may obtain information about certificate information during the registration process with NRF. Therefore, the NF instance can acquire the necessary certificates information for verifying, when the NF instance functions as an NF service producer, issuer signature over an access token provided by an NF service consumer, thus avoiding the need to manually obtain the root certificate, intermediate CA certificates, and leaf certificates, or one or more raw public keys. By means of the NRF management service, it may simplify the certificate management process and enhancing the security and efficiency of the system.

[0066] Hereinafter, principles and implementations of the present disclosure will be described in detail below with reference to the FIGs. 2 to 5Example Methods

[0067] FIG. 2 illustrates an example of a process flow 200 in accordance with some example embodiments of the present disclosure. For the purpose of discussion, the process flow 200 will be described with reference to FIG. 1. The process flow 200 involves an NF instance 120 and NRF 130. It would be appreciated that although the process flow 200 has been described in the network environment 100 of FIG. 1, this process flow may be likewise applied to other communication scenarios.

[0068] In the example process 200, the NF instance 120 transmits a registration request 201 to the NRF 130 to inform the NRF 130 of the NF profile of the NF instance 120 when the NF instance 120 becomes operative for the first time. When registering with the NRF, the NF instance 120 functions as an NF instance requesting services from the NRF, and thus the NF instance may be called an NRF service consumer (NRFc) . On the other hand, when receiving the digital access token from the NFc, the NF instance 120 is an NF instance providing series to the NFC and thus can be the NFp 120 in FIG. 1.

[0069] In some embodiments of the present disclosure, the registration request 201 may include an indication for providing certificate information in a response of the registration request 201. In other words, in these embodiments, the NRF will not automatically apply the solution as proposed in the embodiments of the present disclosure, but apply when such an indication is received from the NF instance. In some other embodiments, the indication for providing certificate information may also be contained in another message separated from the registration request 201.

[0070] In some embodiments of the present disclosure, the registration request 201 can be an Nnrf_NFManagement_NFRegister Request message provided by Nnrf_NFManagement service.

[0071] The Nnrf_NFManagement service is an NF service provided by NRF. It provides support for registering, deregistering and updating services to an NF, an NF service, a service communication proxy (SCP) , or etc. The Nnrf_NFManagement service also provides an NF service consumer and / or the SCP with notifications of newly registered / updated / deregistered NF along with its NF services. Additionally, the Nnrf_NFManagement service also provides the SCP with notifications of newly registered / updated / deregistered SCP.

[0072] In some embodiments of the present disclosure, the registration request 201 can indicate whether access tokens should be issued only by the specific NRF instance (NF instance 120 registers with) or if access tokens can also be issued by one or more other NRFs for the registered NF.

[0073] In other words, the NF registration request 201 may comprise limiting information indicating whether the NF instance 120 wishes to limit issuer entities which can issue access tokens. For example, the limiting information may comprise information indicating that only the NRF 130 can issue the access tokens or indicating that issuer entities other than the NRF 130 receiving the NF registration request can issue the access tokens. For another example, the limiting information may comprise information indicating that issuer entities other than the NRF receiving the NF registration request can issue the access tokens.

[0074] In some embodiments of the present disclosure, the NF profile of the NF instance 120 is configured by an OAM system. The OAM is a set of functions used to ensure the normal operation, improve performance, and ensure the security of a network or service. The OAM includes tasks such as daily operations management, resource configuration, fault detection and repair, performance monitoring, service quality assurance, etc.

[0075] At 202, the NRF 130 stores the NF profile of NF instance 120 and marks the NF instance 120 available. In some embodiments of the present disclosure, the NF profile sent by the NF instance 120 to the NRF 130 is integrity protected by the NF instance 120 and thus the NRF 130 may verify the NF profile in the registration request 201. In some embodiments of the present disclosure, the NF profile sent by the NF instance 120 to the NRF 130 is not integrity protected by the NF instance 120 and the NRF 130 may obtain the NF profile in the registration request 201 without any integrity protection verification.

[0076] When the registration request 201 is acknowledged by the NRF 130 as accepted, the NRF 130 transmits a registration response 203 to the NF instance 120. In some embodiments of the present disclosure, the registration response 203 can be an Nnrf_NFManagement_NFRegister response provided by the Nnrf_NFManagement service.

[0077] In some embodiments of the present disclosure, the registration response 203 may include certificate information of an entity issuing access tokens. In some embodiments, the NRF 130 contains certificate information in the registration response 203 when there is an indication for providing certificate information, e.g., in the registration request 201. The certificate information comprises one or more of certificate information details, or network resource information about where to retrieve the certificate information details from.

[0078] In some embodiments of the present disclosure, the certificate information details are configured to be used by the NF instance for verifying an issuer signature over an access token, and the access token is provided by an NF service consumer.

[0079] The certificate information details comprise one or more certificates, such as an NRF certificate, or root certificate, a certificate chain, intermediary certificates and / or the leaf certificate of the issuer entity for issuing access tokens (this could be an NRF but also e.g. a certificate manager) , or one or more raw public keys.

[0080] In some embodiments of the present disclosure, if the NF instance 120 and / or the NRF 130 allows multiple entities (NRFs) to issue access tokens for the registered NF services of the NF instance 120 in the registration request 201, the registration response 203 may include a list of details for these entities. Additionally, the details or the Uniform Resource Identifier (URI) of the NRF (s) which can access tokens of NF service consumers of the NF instance 120 may also be included. In other words, the registration response 203 may also include issuer information indicating a reference to one or more access token issuer entities.

[0081] In this case, Nnrf_NFManagement service is extended by providing options for the output parameters. As a result, the Nnrf_NFManagement service may allow to provision the requester with the root CA certificate, intermediary CA certificates, a certificate chain, and / or the leaf certificate (or a link, where to gain any of the above from) .

[0082] In some embodiments of the present disclosure, the NF instance 120 can transmit an indication for status subscription request to the NRF 130, to subscribe a change of the certificate information. The change of the certificate information may be such as changes of NRF details or issuer entity which provides the access token, e.g. change of root certificate, or intermediary CA certificates, leaf certificate, or NRF certificate or URI addresses to retrieve those certificates, or one or more raw public keys, etc.

[0083] In some embodiments of the present disclosure, the indication for the status subscription request may be an Nnrf_NFManagement_NFStatusSubscribe message provided by the Nnrf_NFManagement service.

[0084] In some embodiments of the present disclosure, the NRF 130 may transmit a status notification information to the NF instance 120, for notifying of the change of the information about certificate information.

[0085] In some embodiments of the present disclosure, the status subscription request may be an Nnrf_NFManagement_NFStatusNotify message provided by the Nnrf_NFManagement service.

[0086] Alternatively, an indicator may be provided to inform that new details are available for retrieval from the known URI. In other words, if one or more URIs for the certificates are provided to the NF instance 120 during the registration process, the NF instance 120 can utilize the same URI to retrieve the new certificate upon receiving a notification that a certificate has been added.

[0087] In some embodiments of the present disclosure, the NF instance 120 may transmit an un-subscription request to the NRF 130, to un-subscribe the change of certificate information.

[0088] In some embodiments of the present disclosure, the unsubscription request may be an Nnrf_NFManagement_NFStatusUnsubscribe message provided by the Nnrf_NFManagement service.

[0089] FIG. 3 illustrates a flowchart of a method implemented at an NRF 130 according to some embodiments of the present disclosure. In some embodiments, the method 300 can be implemented at a communication device, such as the NRF 130 as shown in FIG. 1.

[0090] Further, it is to be understood that the method 300 may include additional blocks not shown and / or may omit some blocks as shown, and the scope of the present disclosure is not limited in this regard.

[0091] As illustrated in FIG. 3, at block 310, the NRF 130 receives, from a network function, NF, instance, an NF registration request for informing the NRF of an NF profile of the NF instance. At block 320, the NRF transmits, to the NF instance, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises one or more of certificate information details, or network resource information about where to retrieve the certificate information details from.

[0092] In some embodiments of the present disclosure, the certificate information details are configured to be used by the NF instance for verifying an issuer signature over an access token, and the access token is provided by an NF service consumer.

[0093] In some embodiments of the present disclosure, the certificate information details comprise one or more of an NRF certificate, a root certificate, a certificate chain, intermediary certificates, a leaf certificate of an issuer entity for issuing the access token, or one or more raw public keys.

[0094] In some embodiments of the present disclosure, the network resource information includes uniform resource identifier information of the one or more certificates.

[0095] In some embodiments of the present disclosure, the certificate information further comprises information indicating a reference to one or more access token issuer entities.

[0096] In some embodiments of the present disclosure, the NF registration request comprises limiting information indicating whether the NF instance wishes to limit issuer entities which can issue access tokens.

[0097] In some embodiments of the present disclosure, the limiting information comprises information indicating that only the NRF receiving the NF registration request can issue the access tokens.

[0098] In some embodiments of the present disclosure, the limiting information comprises information indicating that issuer entities other than the NRF receiving the NF registration request can issue the access tokens.

[0099] In some embodiments of the present disclosure, the NRF is further caused to receive, from the NF instance, an indication for providing certificate information in the NF registration response.

[0100] In some embodiments of the present disclosure, the NRF is further caused to receive, from the NF instance, an indication for a status subscription request for subscribing to a change of the certificate information.

[0101] In some embodiments of the present disclosure, the NRF is further caused to transmit, to the NF instance, status notification information for notifying of the change of the certificate information.

[0102] In some embodiments of the present disclosure, the NF registration request is carried in an Nnrf_NFManagement_NFRegister Request message provided by Nnrf_NFManagement service. The certificate information of an entity issuing access tokens is carried in an Nnrf_NFManagement_NFRegister response provided by the Nnrf_NFManagement service

[0103] In some embodiments of the present disclosure, the indication for the status subscription request is carried in an Nnrf_NFManagement_NFStatusSubscribe message provided by Nnrf_NFManagement service. The status notification information is carried in an Nnrf_NFManagement_NFStatusNotify message provided by Nnrf_NFManagement service.

[0104] In some embodiments of the present disclosure, the NF profile of the NF instance is integrity protected. The NRF is further caused to perform integrity verification on the NF profile and transmit, to the NF instance, certificate information of an entity issuing access tokens in an NF registration response when the integrity verification is successful.

[0105] In some embodiments of the present disclosure, the NF profile of the NF instance is configured by an operation, administration and maintenance, OAM, system.

[0106] In some embodiments of the present disclosure, the NRF is further caused to store the NF profile of NF instance and mark the NF instance available

[0107] In some embodiments, an apparatus capable of performing any of the method 300 (for example, the NRF 130) is provided. The apparatus may comprise means for performing the respective steps of the method 300. The means may be implemented in any suitable form. For example, the means may be implemented in a circuitry or software module.

[0108] FIG. 4 illustrates a flowchart of a method implemented at an NF instance 120 according to some embodiments of the present disclosure. In some embodiments, the method 400 can be implemented at a communication device, such as the NFp 120 as shown in FIG. 1.

[0109] Further, it is to be understood that the method 400 may include additional blocks not shown and / or may omit some blocks as shown, and the scope of the present disclosure is not limited in this regard.

[0110] As illustrated in FIG. 4, at block 410, the NF instance transmits, to a network repository function, NRF, an NF registration request to inform the NRF of an NF profile of the NF instance. At block 420, the NF instance receives, from the NRF, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises certificate information details, or network resource information about where to retrieve the certificate information details from.

[0111] In some embodiments of the present disclosure, the certificate information details are configured to be used by the NF instance for verifying an issuer signature over an access token and the access token is provided by an NF service consumer.

[0112] In some embodiments of the present disclosure, the certificate information details comprise one or more of an NRF certificate, a root certificate, a certificate chain, intermediary certificates, a leaf certificate of an issuer entity for issuing the access token, or one or more raw public keys.

[0113] In some embodiments of the present disclosure, the network resource information includes uniform resource identifier information of the one or more certificates.

[0114] In some embodiments of the present disclosure, the certificate information further comprises information indicating a reference to one or more access token issuer entities.

[0115] In some embodiments of the present disclosure, the NF instance registration request comprises limiting information indicating whether the NF instance wishes to limit issuer entities which can issue access tokens.

[0116] In some embodiments of the present disclosure, the limiting information comprises information indicating that only the NRF receiving the NF registration request can allows issue the access tokens.

[0117] In some embodiments of the present disclosure, the limiting information comprises information indicating that issuer entities other than the NRF receiving the NF registration request can issue the access tokens.

[0118] In some embodiments of the present disclosure, the NF instance is further caused to transmit, to the NRF, an indication for providing certificate information in the NF registration response.

[0119] In some embodiments of the present disclosure, the NF instance is further caused to transmit, to the NRF, an indication for a status subscription request to subscribe to a change of the certificate information.

[0120] In some embodiments of the present disclosure, the NF instance is further caused to receive status notification information for notifying changes of the certificate information.

[0121] In some embodiments of the present disclosure, the NF instance registration request is carried in an Nnrf_NFManagement_NFRegister Request message provided by Nnrf_NFManagement service. The certificate information of an entity issuing access tokens is carried in an Nnrf_NFManagement_NFRegister response provided by the Nnrf_NFManagement service

[0122] In some embodiments of the present disclosure, the indication for the status subscription request is carried in an Nnrf_NFManagement_NFStatusSubscribe message provided by Nnrf_NFManagement service. The status notification information is carried in an Nnrf_NFManagement_NFStatusNotify message provided by Nnrf_NFManagement service.

[0123] In some embodiments of the present disclosure, the NF profile of the NF instance is integrity protected.

[0124] In some embodiments of the present disclosure, the NF profile of the NF instance is configured by an operation, administration and maintenance, OAM, system.

[0125] In some embodiments, an apparatus capable of performing any of the method 400 (for example, the NF instance 120) is provided. The apparatus may comprise means for performing the respective steps of the method 400. The means may be implemented in any suitable form. For example, the means may be implemented in a circuitry or software module.

[0126] It is to be noted that the technical solution proposed in present disclosure requires modifications to certain aspects of 3GPP standards. Below are several examples of modifications to the 3GPP TS 33.501 specification provided for illustrative purposes only, wherein deletions are indicated by strikeout and additions are by underlines. A. Example Modifications to 3GPP TS 23.502 Table 7.2.6-1: NF Services provided by NRF B. Example Modifications to 3GPP TS 33.501 “13.4.1.1.1 OAuth 2.0 roles OAuth 2.0 roles, as defined in clause 1.1 of RFC 6749

[0043] , are as follows: a. The NRF shall be the OAuth 2.0 Authorization server. b. The NF Service Consumer shall be the OAuth 2.0 client. c. The NF Service Producer shall be the OAuth 2.0 resource server. … 1) The NF Service Producer registers as OAuth 2.0 resource server in the NRF. The NF profile  configuration data of the NF Service Producer may include the “additional scope” . The “additional scope” information indicates the resources and the actions (service operations) that are allowed on these resources for the NF Service Consumer. These resources may be per NF type of the NF Service Consumer or per NF instance ID of the NF Service Consumer. The NF Service Producer may request details of potential access token issuers for its services. 2-3) After storing the NF Profile, NRF responds successfully. If indicated in the service registration request or by operator policy, the response may include details of potential access token issuers for the services registered by the NF Service Producer. ” C. Example Modifications to 3GPP TS 23.502 5.2.7.2.5 Nnrf_NFManagement_NFStatusSubscribe service operation Service Operation name: Nnrf_NFManagement_NFStatusSubscribe. Description: Consumer can subscribe to be notified of the following: - Newly registered NF along with its NF services. - Updated NF profile. - Deregistered NF.- Changes of NRF details or issuer entity which provides the access token, e.g. change of root certificate, or intermediary CA certificates, leaf certificate, or NRF certificate or URI addresses to retrieve those certificates, etc. Inputs, Required: callback URI. Inputs, Optional: … Outputs, Required: When the subscription is accepted: Subscription Correlation ID (required for management  of this subscription) , Validity Time. Outputs, Optional: None. Details or one or several URIs of where to find the certificate of NRF, root certificate, leaf certificate, or certificate chain. 5.2.7.2.6 Nnrf_NFManagement_NFStatusNotify service operation Service Operation name: Nnrf_NFManagement_NFStatusNotify. Description: NRF notifies subscribed consumers of the following: -Newly registered NF along with its NF services. -Updated NF profile. -Deregistered NF.- Updates to NRF itself or any access token issuer entity, e.g. a change of root certificate, intermediary CA certificates, cert leaf, or NRF certificate or URI addresses to retrieve those certificates, etc. Inputs, Required: Notification Event type; NF instance ID; for newly registered NF, NF profile; for updated  NF, NF profile or NF profile changes; for NRF certificate updates, the new URI, root cert, leaf cert, or certificate chain, or the revocation status of impacted certificates at the issuer entity (ies) . Alternative, an indicator to inform that new details are available for retrieving from the known URI.NOTE: In case one or several URI (s) of the certificates are responded to NFp during registration procedure, the NFp may use the same URI to get the new certificate when it received notification that a certificate is added. NOTE: See clause 6.1.6.3.6 of TS 29.510

[0037] for the detailed use of Notification Event type. Inputs, Optional: None. Outputs, Required: None. Outputs, Optional: None. 5.2.7.2.7 Nnrf_NFManagement_NFStatusUnsubscribe service operation Service Operation name: Nnrf_NFManagement_NFStatusUnsubscribe Description: Consumer can unsubscribe from being notified of newly registered NF along with its NF services  and other events types described in the Nnrf_NFManagement_NFStatusSubscribe service operation (see clause 5.2.7.2.5) . Inputs, Required: Subscription Correlation ID. Inputs, Optional: None. Outputs, Required: Operation execution result indication. Outputs, Optional: None. NOTE: Alternatively, other means such as OA&M can also be used to unsubscribe for NF status.Example Apparatus

[0127] In some embodiments of the present disclosure, there is also provided an apparatus implemented at an NF instance. The apparatus comprises means for implementing operations described with reference FIGs. 2 to 3.

[0128] In some embodiments of the present disclosure, there is also provided an apparatus implemented at an NRF. The apparatus comprises means for implementing operations described with reference FIGs. 2 to 4.

[0129] FIG. 5 further illustrates a simplified block diagram of a device 500 that is suitable for implementing some example embodiments of the present disclosure. The device 500 may be provided to implement the terminal device or the network device discussed above, for example the NFp 120 or the NRF 130 in FIG. 1. As shown, the device 500 includes one or more processors 510, one or more memories 520 coupled to the processor 510, and one or more communication modules 540 coupled to the processor 510.

[0130] The communication module 540 is for bidirectional communications. The communication module 540 has at least one antenna to facilitate communication. The communication interface may represent any interface that is necessary for communication with other network elements.

[0131] The processor 510 may be of any type suitable to the local technical network and may include one or more of the following: general purpose computers, special purpose computers, microprocessors, digital signal processors (DSPs) and processors based on multicore processor architecture, as non-limiting examples. The device 500 may have multiple processors, such as an application specific integrated circuit chip that is slaved in time to a clock which synchronizes the main processor.

[0132] The memory 520 may include one or more non-volatile memories and one or more volatile memories. Examples of the non-volatile memories include, but are not limited to, a Read Only Memory (ROM) 524, an electrically programmable read only memory (EPROM) , a flash memory, a hard disk, a compact disc (CD) , a digital video disk (DVD) , and other magnetic storage and / or optical storage. Examples of the volatile memories include, but are not limited to, a random access memory (RAM) 522 and other volatile memories that will not last in the power-down duration.

[0133] A computer program 530 includes computer executable instructions that are executed by the associated processor 510. The program 530 may be stored in the ROM 524. The processor 510 may perform any suitable actions and processing by loading the program 530 into the RAM 522.

[0134] The embodiments of the present disclosure may be implemented by means of the program 530 so that the device 500 may perform any process of the disclosure as discussed with reference to FIGS. 2-4. The embodiments of the present disclosure may also be implemented by hardware or by a combination of software and hardware.

[0135] In some example embodiments, the program 530 may be tangibly contained in a computer readable medium which may be included in the device 500 (such as in the memory 520) or other storage devices that are accessible by the device 500. The device 500 may load the program 530 from the computer readable medium to the RAM 522 for execution. The computer readable medium may include any types of tangible non-volatile storage, such as ROM, EPROM, a flash memory, a hard disk, CD, DVD, and the like.

[0136] FIG. 6 illustrates a block diagram of an example of a computer readable medium 600 in accordance with some example embodiments of the present disclosure. The computer readable medium 600 has the program 530 stored thereon. It is noted that although the computer readable medium 600 is depicted in form of CD or DVD in FIG. 6, the computer readable medium 600 may be in any other form suitable to carry or hold the program 530.

[0137] Various embodiments of the present disclosure may be implemented in hardware or special purpose circuits, software, logic or any combination thereof. Some aspects may be implemented in hardware, while other aspects may be implemented in firmware or software which may be executed by a controller, microprocessor or other computing device. While various aspects of embodiments of the present disclosure are illustrated and described as block diagrams, flowcharts, or using some other pictorial representations, it is to be understood that the block, apparatus, system, technique or method described herein may be implemented in, as non-limiting examples, hardware, software, firmware, special purpose circuits or logic, general purpose hardware or controller or other computing devices, or some combination thereof.

[0138] The present disclosure also provides at least one computer program product tangibly stored on a non-transitory computer readable storage medium. The computer program product includes computer-executable instructions, such as those included in program modules, being executed in a device on a target real or virtual processor, to carry out the method as described above with reference to any of FIGS. 2-5. Generally, program modules include routines, programs, libraries, objects, classes, components, data structures, or the like that perform particular tasks or implement particular abstract data types. The functionality of the program modules may be combined or split between program modules as desired in various embodiments. Machine-executable instructions for program modules may be executed within a local or distributed device. In a distributed device, program modules may be located in both local and remote storage media.

[0139] Program code for the methods of the present disclosure may be written in any combination of one or more programming languages. These program codes may be provided to a processor or controller of a general purpose computer, special purpose computer, or other programmable data processing apparatus, such that the program codes, when executed by the processor or controller, cause the functions / operations specified in the flowcharts and / or block diagrams to be performed. The program code may execute entirely on a machine, partly on the machine, as a stand-alone software package, partly on the machine and partly on a remote machine or entirely on the remote machine or server.

[0140] In the context of the present disclosure, the computer program codes or related data may be carried by any suitable carrier to enable the device, apparatus or processor to perform various processes and operations as described above. Examples of the carrier include a signal, computer readable medium, and the like.

[0141] The computer readable medium may be a computer readable signal medium or a computer readable storage medium. A computer readable medium may include but not limited to an electronic, magnetic, optical, electromagnetic, infrared, or semiconductor system, apparatus, or device, or any suitable combination of the foregoing. More specific examples of the computer readable storage medium would include an electrical connection having one or more wires, a portable computer diskette, a hard disk, a random access memory (RAM) , a read-only memory (ROM) , an erasable programmable read-only memory (EPROM or Flash memory) , an optical fiber, a portable compact disc read-only memory (CD-ROM) , an optical storage device, a magnetic storage device, or any suitable combination of the foregoing. The term “non-transitory, ” as used herein, is a limitation of the medium itself (i.e., tangible, not a signal) as opposed to a limitation on data storage persistency (e.g., RAM vs. ROM) .

[0142] Further, while operations are depicted in a particular order, this should not be understood as requiring that such operations be performed in the particular order shown or in sequential order, or that all illustrated operations be performed, to achieve desirable results. In certain circumstances, multitasking and parallel processing may be advantageous. Likewise, while several specific implementation details are contained in the above discussions, these should not be construed as limitations on the scope of the present disclosure, but rather as descriptions of features that may be specific to particular embodiments. Certain features that are described in the context of separate embodiments may also be implemented in combination in a single embodiment. Conversely, various features that are described in the context of a single embodiment may also be implemented in multiple embodiments separately or in any suitable sub-combination.

[0143] Although the present disclosure has been described in languages specific to structural features and / or methodological acts, it is to be understood that the present disclosure defined in the appended claims is not necessarily limited to the specific features or acts described above. Rather, the specific features and acts described above are disclosed as example forms of implementing the claims.

Claims

1.A network repository function, NRF, comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the NRF at least to:receive, from a network function, NF, instance, an NF registration request for informing the NRF of an NF profile of the NF instance; andtransmit, to the NF instance, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises one or more of certificate information details, or network resource information about where to retrieve the certificate information details from.2.The NRF of Claim 1, wherein the certificate information details are configured to be used by the NF instance for verifying an issuer signature over an access token, and the access token is provided by an NF service consumer.3.The NRF of Claim 1 or 2, wherein the certificate information details comprise one or more of an NRF certificate, a root certificate, a certificate chain, intermediary certificates, a leaf certificate of an issuer entity for issuing the access token, or one or more raw public keys.4.The NRF of any of Claims 1 to 3, wherein the network resource information includes uniform resource identifier information of the one or more certificates.5.The NRF of any of Claims 1 to 4, wherein the certificate information further comprises information indicating a reference to one or more access token issuer entities.6.The NRF of any of Claims 1 to 5, wherein the NF registration request comprises limiting information indicating whether the NF instance wishes to limit issuer entities which can issue access tokens.7.The NRF of Claim 6, wherein the limiting information comprises information indicating that only the NRF receiving the NF registration request can issue the access tokens.8.The NRF of Claim 6, wherein the limiting information comprises information indicating that issuer entities other than the NRF receiving the NF registration request can issue the access tokens.9.The NRF of any of Claims 1 to 8, wherein the NRF is further caused to receive, from the NF instance, an indication for providing certificate information in the NF registration response.10.The NRF of any of Claims 1 to 9, wherein the NRF is further caused to receive, from the NF instance, an indication for a status subscription request for subscribing to a change of the certificate information.11.The NRF of Claim 10, wherein the NRF is further caused to transmit, to the NF instance, status notification information for notifying of the change of the certificate information.12.The NRF of any of Claims 1 to 11, wherein the NF registration request is carried in an Nnrf_NFManagement_NFRegister Request message provided by Nnrf_NFManagement service, andwherein the certificate information of an entity issuing access tokens is carried in an Nnrf_NFManagement_NFRegister response provided by the Nnrf_NFManagement service.13.The NRF of Claim 11, wherein the indication for the status subscription request is carried in an Nnrf_NFManagement_NFStatusSubscribe message provided by Nnrf_NFManagement service, andwherein the status notification information is carried in an Nnrf_NFManagement_NFStatusNotify message provided by Nnrf_NFManagement service.14.A network function, NF, instance, comprising:at least one processor; andat least one memory storing instructions that, when executed by the at least one processor, cause the NRF service consumer at least to:transmit, to a network repository function, NRF, an NF registration request to inform the NRF of an NF profile of the NF instance; andreceive, from the NRF, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises certificate information details, or network resource information about where to retrieve the certificate information details from.15.The NF instance of Claim 14, wherein the certificate information details are configured to be used by the NF instance for verifying an issuer signature over an access token and the access token is provided by an NF service consumer.16.The NF instance of Claim 14 or 15, wherein the certificate information details comprise one or more of an NRF certificate, a root certificate, a certificate chain, intermediary certificates, a leaf certificate of an issuer entity for issuing the access token, or one or more raw public keys.17.The NF instance of any of Claims 14 to 16, wherein the network resource information includes uniform resource identifier information of the one or more certificates.18.The NF instance of any of Claims 14 to 17, wherein the certificate information further comprises information indicating a reference to one or more access token issuer entities.19.The NF instance of any of Claims 14 to 18, wherein the NF instance registration request comprises limiting information indicating whether the NF instance wishes to limit issuer entities which can issue access tokens.20.The NF instance of Claim 19, wherein the limiting information comprises information indicating that only the NRF receiving the NF registration request can allows issue the access tokens.21.The NF instance of Claim 19, wherein the limiting information comprises information indicating that issuer entities other than the NRF receiving the NF registration request can issue the access tokens.22.The NF instance of any of Claims 14 to 21, wherein the NF instance is further caused to transmit, to the NRF, an indication for providing certificate information in the NF registration response.23.The NF instance of any of Claims 14 to 22, wherein the NF instance is further caused to transmit, to the NRF, an indication for a status subscription request to subscribe to a change of the certificate information.24.The NF instance of Claim 23, wherein the NF instance is further caused to receive status notification information for notifying changes of the certificate information.25.The NF instance of any of Claims 14 to 24, wherein the NF instance registration request is carried in an Nnrf_NFManagement_NFRegister Request message provided by Nnrf_NFManagement service, andwherein the certificate information of an entity issuing access tokens is carried in an Nnrf_NFManagement_NFRegister response provided by the Nnrf_NFManagement service.26.The NF instance of Claim 25, wherein the indication for the status subscription request is carried in an Nnrf_NFManagement_NFStatusSubscribe message provided by Nnrf_NFManagement service, andwherein the status notification information is carried in an Nnrf_NFManagement_NFStatusNotify message provided by Nnrf_NFManagement service.27.A method implemented by a network repository function, NRF, comprising:receiving, from a network function, NF, instance, an NF registration request for informing the NRF of an NF profile of the NF instance; andtransmitting, to the NF instance, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises certificate information details, or network resource information about where to retrieve the certificate information details from.28.A method implemented by network function, NF, instance, comprising:transmitting, to a network repository function, NRF, an NF registration request to inform the NRF of an NF profile of the NF instance; andreceiving, from the NRF, certificate information of an entity issuing access tokens in an NF registration response, wherein the certificate information comprises certificate information details, or network resource information about where to retrieve he certificate information details from.29.A computer program comprising instructions, which, when executed by an apparatus, cause the apparatus to perform the method of Claim 27 or 28.

Images