CN111416827A - 根据安全等级发现网络功能nf的方法 - Google Patents

Abstract

本发明公开一种根据安全等级发现网络功能NF的方法，其特征在于，包括以下步骤：配置网络功能NF的安全等级；网络存储功能NRF接收注册请求，校验安全等级；网络存储功能NRF接收发现请求，根据安全等级发现NF。与现有技术相比，本发明的根据安全等级发现网络功能NF的方法，每一个NF接入网络时，为其配置相应的安全等级，对于不同安全等级的NF服务使用者，NRF为其发现相应安全等级的NF服务提供者，从而保证在具有相同安全等级要求的NF之间互相访问或调用服务，避免产生安全隐患，满足5GC网元安全防护等级需求。

Description

根据安全等级发现网络功能NF的方法

技术领域

本发明涉及无线通信领域，更具体地，涉及一种根据安全等级发现网络功能(network function，NF)的方法。

背景技术

第五代移动通信系统(the fifth generation，5G)的系统架构是基于服务的(service based architecture，SBA)，系统架构中的元素被定义为一些由服务组成的网络功能(Network Function，NF)，每个NF都通过服务化接口对外提供服务，并允许其他NF访问或调用自身的服务。所有NF都通过网络功能存储功能(NF repository function，NRF)实现自动化的管理。每个NF启动时，必须在NRF进行注册登记(NFRegister)才能提供服务，某个NF要让其他NF提供服务，必须先通过NRF进行服务发现(NFDiscover)。提供服务的NF被称作“NF服务提供者”，访问或调用服务的NF被称作“NF服务使用者”。

在5G核心网(以下简称：5GC)中，同种NF可能有多个部署，包括在各种硬件逻辑和虚拟硬件平台。NRF需要选择一个最佳的NF返回给NF服务使用者。现有技术中，通常都是根据NF优先级、容量情况和负载情况等综合判断返回一个NF。

然而在现实应用中，NF的安全等级至关重要。例如服务于政府、公安机关、金融和各种特殊行业的NF往往需要很高的安全等级，而应用于物联网的NF安全等级则相对较低，如果仅仅依据前述信息选择NF服务提供者，可能导致不同安全等级的NF之间互相访问和调用，造成极大的安全隐患。

发明内容

因此，发明人提出一种根据安全等级发现网络功能NF的方法；该方法根据不同NF所处的网络环境和接入时的安全策略和权限，为其配置不同的安全等级。对于不同安全等级的NF服务使用者，NRF返回相应安全等级的NF服务提供者。

本申请实施例提供一种根据安全等级发现网络功能NF的方法，包括：

配置网络功能NF的安全等级；

网络存储功能NRF接收注册请求，校验安全等级；

网络存储功能NRF接收发现请求，根据安全等级发现NF。

进一步地，配置网络功能NF的安全等级；具体包括：

根据待接入NF所处的网络环境、安全策略和权限，确定其安全等级参数子集；根据不同安全等级参数子集的组合，确定其安全等级。在中心数据库配置并记录NF的安全等级。

在上述方法中，每一个NF接入网络时，就根据其所处的网络环境和不同的安全策略和权限要求，为其设定不同的安全约束条件，不同安全约束条件的集合，对应不同的安全等级，从而保证每个NF在接入网络时，就预先为其确定特定的安全等级，并将安全等级配置并记录到中心数据库中。

进一步地，网络存储功能NRF接收注册请求，校验安全等级；具体包括：

NRF接收NF发送的注册请求，其中携带NF的安全等级；NRF向中心数据库请求NF的安全等级；NRF接收中心数据库返回NF的安全等级；NRF校验NF的安全等级，并向NF反馈。

反馈结果具体包括：当NF携带的安全等级与中心数据库返回的安全等级一致时，NRF向NF反馈通过校验，完成NF注册；

或者，

当NF携带的安全等级与中心数据库返回的安全等级不一致时，NRF向NF反馈校验未通过，终止注册。

在上述方法中，每一个NF向NRF注册时，NRF除了执行3GPP规范中所规定的操作外，还要对其安全等级进行校验。NF在向NRF发起注册请求时，需同时携带其安全等级，NRF接收到NF的注册请求后，向中心数据库请求NF的安全等级，中心数据库根据本地配置记录，查询NF的安全等级并将其发送至NRF，NRF根据接收到的中心数据库返回的NF的安全等级与NF发起注册携带的安全等级进行对比，若一致，则向NF反馈通过校验，完成注册。若不一致，则向NF反馈校验未通过，终止注册。这样，保证每一个完成注册的NF的安全等级，都与其预先配置的安全等级一致。

进一步地，网络存储功能NRF接收发现请求，根据安全等级发现NF。

具体包括：

NRF接收NF服务使用者发送的发现请求，其中携带NF服务使用者的安全等级；NRF根据NF服务使用者的安全等级，向中心数据库查询是否存在符合安全等级的NF服务提供者；NRF根据查询结果，向NF服务使用者反馈。

反馈结果具体包括：当存在符合安全等级的NF服务提供者时，NRF向NF服务使用者返回符合安全等级的NF服务提供者的配置信息；

或者，

当不存在符合安全等级的NF服务提供者时，NRF向NF服务使用者返回查询失败信息。

在上述方法中，每一个NF服务使用者向NRF请求发现NF服务提供者时，NRF除了执行3GPP规范中所规定的操作外，还要根据其安全等级来匹配对应的NF。NF服务使用者在向NRF发起服务发现请求时，需同时携带其安全等级，NRF接收到NF服务使用者的服务发现请求后，根据该NF服务使用者的安全等级，向中心数据库请求查询是否存在符合安全等级的NF服务提供者，中心数据库根据本地配置记录进行查询并将结果发送至NRF，NRF根据接收到的中心数据库返回的结果，结合发现请求中的条件，向NF服务使用者反馈是否存在符合安全等级的NF服务提供者。若存在，则向NF服务使用者返回该NF服务提供者的配置信息；若不存在，返回查询失败信息。这样，在NF服务使用者发起服务发现请求时，根据安全等级，选择匹配的NF服务提供者，从而保证双方的安全等级一致，避免不同安全等级的NF之间互相访问或调用服务，产生安全隐患。

优选地，NRF根据NF服务使用者的安全等级，向中心数据库查询是否存在符合安全等级的NF服务提供者时，同时查询NF服务提供者的性能参数。所述性能参数包括但不限于负载、容量和优先级。

通过综合查询NF服务提供者的性能参数，可以发现到更加优选的NF服务提供者，进一步提高服务访问和调用的效率。

优选地，根据待接入NF所处的网络环境、安全策略和权限，确定其安全等级参数子集，包括但不限于：

参数operating_environment。参数operating_environment包括云服务环境cloud_service和私有物理服务器环境physical_isolation，用于表示NF所处运行环境；

参数NF_verify。参数NF_verify为布尔值，用于表示是否需要校验NF数字签名；

参数network_flow_monitor。参数network_flow_monitor为布尔值，用于表示是否需要网管实时监控UPF的流量；

参数NFUpdate_limit。参数NFUpdate_limit为布尔值，用于表示是否限制接入NF使用NRF的NFUpdate接口更新安全等级字段。

本发明的有益效果如下：

与现有技术相比，本发明的根据安全等级发现网络功能NF的方法，每一个NF接入网络时，为其配置相应的安全等级，对于不同安全等级的NF服务使用者，NRF为其发现相应安全等级的NF服务提供者，从而保证在具有相同安全等级要求的NF之间互相访问或调用服务，避免产生安全隐患，满足5GC网元安全防护等级需求。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为5GC中NF通过NRF发现目标NF的架构示意图。

图2为本申请提供的一种根据安全等级发现网络功能NF的方法中NF向NRF注册时的安全等级校验流程图。

图3为本申请提供的一种根据安全等级发现网络功能NF的方法中NF向NRF发现目标NF时的安全等级校验流程图。

图4为为本申请提供的一种根据安全等级发现网络功能NF的方法中NF根据所处网络环境向NRF发现目标NF时的流程图。

图5为为本申请提供的一种根据安全等级发现网络功能NF的方法中NF根据是否需要校验数字签名向NRF发现目标NF时的流程图。

具体实施方式

下面将结合本申请的具体实施例及相应的附图对本申请技术方案进行清楚、完整的描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在5GC中，同种NF可能有多个部署，NRF需要选择一个最佳的NF返回给NF服务使用者。参见图1，接入和移动管理功能AMF为NF服务使用者，其向NRF请求发现一个统一数据管理功能UDM。

本申请中，NRF根据安全等级发现网络功能NF，具体方法包括：

步骤S1：配置网络功能NF的安全等级；具体包括：

步骤S101、确定待接入NF的安全等级；

每一个NF在接入网路时，根据其所处的网络环境、安全策略和权限，确定其安全等级参数子集；根据不同安全等级参数子集的组合，确定其安全等级。

NF所处的网络环境，可以是完全私有的物理服务器，也可以是云服务环境；可以是核心侧，也可以是边缘侧。所处的不同网络环境，代表不同的安全等级参数子集。NF接入的安全策略和权限，包括但不限于接入控制、访问权限、安全校验和认证以及是否实时监控NF的有关状态信息等，每一项策略对应着一个安全参数子集。根据不同安全等级参数子集的组合，确定NF的安全等级。具体地，安全等级定义为：

集合R，不同的安全等级Si＝R{S1，S2，S3，S4，S5…Sn}；其中每一安全等级对应不同安全等级参数子集的组合，每一安全等级参数子集对应不同约束条件NF所处的网络环境、安全策略和权限。

步骤S102、在中心数据库配置并记录NF的安全等级。

中心数据库可以为一个逻辑上的中心数据库，该逻辑上的中心数据库可以由一个物理中心数据库构成，也可以由多个物理中心数据库构成。当由多个物理中心数据库构成时，每个物理中心数据库可以均配置并记录有全部NF的信息，或者仅配置并记录有部分NF的信息。中心数据库可以是5GC网管的数据库，也可以是NRF自身的数据库，还可以是独立的数据库。需要指出的是，中心数据库如何设置，并不影响本发明的根据安全等级发现网络功能NF的方法的逻辑执行步骤。

步骤S2：网络存储功能NRF接收注册请求，校验安全等级；

当NF启动时，需要先向NRF进行注册，NFRegister执行时，NRF除了执行3GPP规范中所规定的操作外，还要对其安全等级进行校验。

具体流程参见图2。包括：

步骤S201、NRF接收NF发送的注册请求，其中携带NF的安全等级；

NF向NRF发送注册请求，其中携带NF的安全等级，NRF接受NF发送的注册请求。

步骤S202、NRF向中心数据库请求NF的安全等级；

步骤S203、NRF接收中心数据库返回NF的安全等级；

中心数据库返回NF的安全等级，NRF接收中心数据库返回的NF的安全等级。

步骤S204、NRF校验NF的安全等级，并向NF反馈。

NRF校验安全等级过程的匹配算法如下：

F(request security level)：NF请求携带的安全等级；

F(save security level)：中心数据库保存NF的安全等级。

定义F(verify result)＝F(request security level)∩F(save securitylevel)，

当F(verify result)结果为true时，校验通过。

当NF携带的安全等级与中心数据库返回的安全等级一致时，NRF向NF反馈通过校验，完成NF注册；

或者，

当NF携带的安全等级与中心数据库返回的安全等级不一致时，NRF向NF反馈校验未通过，终止注册。

步骤S3：网络存储功能NRF接收发现请求，根据安全等级发现NF。

当NF需要让其他NF提供服务时，必须先通过NRF进行服务发现(NFDiscover)。提供服务的NF被称作“NF服务提供者”，访问或调用服务的NF被称作“NF服务使用者”。当NF调用NRF的NFDiscover接口发现网元时，NRF发现符合安全等级的NF返回，具体流程参见图3。

步骤S301、NRF接收NF服务使用者发送的发现请求，其中携带NF服务使用者的安全等级；

NF服务使用者向NRF发送发现请求，其中携带NF服务使用者的安全等级。NRF接收NF服务使用者发送的发现请求。

步骤S302、NRF根据NF服务使用者的安全等级，向中心数据库查询是否存在符合安全等级的NF服务提供者；

NRF查询是否存在符合安全等级的NF服务提供者的算法如下：

F(request security level)：NF发现请求携带安全等级；

F(save security level)：中心数据库保存NF的安全等级。

F(result)＝F(request security level)∩F(save security level)，

返回符合F(result)结果为true的NF服务提供者列表。

步骤S303、NRF根据查询结果，向NF服务使用者反馈。

当存在符合安全等级的NF服务提供者时，NRF向NF服务使用者返回符合安全等级的NF服务提供者的配置信息；

或者，

当不存在符合安全等级的NF服务提供者时，NRF向NF服务使用者返回查询失败信息。

作为一种优选实施例，NRF根据NF服务使用者的安全等级，向中心数据库查询是否存在符合安全等级的NF服务提供者时，同时查询NF服务提供者的性能参数。所述性能参数包括但不限于负载、容量和优先级。

以NRF查询是否存在符合安全等级的NF服务提供者时，同时查询NF服务提供者的负载情况为例，查询算法如下：

F(request security level)：NF发现请求携带安全等级；

F(save security level)：中心数据库保存NF的安全等级；

F(Load)：负载情况。

F(result)＝F(request security level)∩F(save security level)∩F(Load)，

返回符合F(result)结果为true的NF服务提供者列表。

作为一种优选实施例，确定安全等级的参数子集包括但不限于：

参数operating_environment，所述参数operating_environment包括云服务环境cloud_service和私有物理服务器环境physical_isolation，用于表示NF所处运行环境；

参数NF_verify；所述参数NF_verify为布尔值，用于表示是否需要校验NF数字签名；

参数network_flow_monitor；所述参数network_flow_monitor为布尔值，用于表示是否需要网管实时监控UPF的流量；

参数NFUpdate_limit；所述参数NFUpdate_limit为布尔值，用于表示是否限制接入NF使用NRF的NFUpdate接口更新安全等级字段。

具体定义方法如下：

(1)operating_environment运行环境为NF所处环境定义的安全等级。operating_environment＝{cloud_service，physical_isolation}，依次定义为0，1。

cloud_service表示完全部署在云服务环境中，安全性由所处的云服务环境而定；

physical_isolation安全性高，网元部署在完全私有的物理服务器中，专人负责看管。

具体地，参见图4，以SMF请求AMF为例，SMF通过NFDiscover发现AMF。携带安全隔离度为physical_isolation，NRF查找符合physical_isolation的AMF并返回符合条件的AMF。

(2)NF_verify定义：是否需要校验数字签名。

NF_verify＝{false，true}，依次定义为0，1，true为校验。当NF使用NFRegister接口注册到NRF时，需要携带自身的数字签名。NRF需要验证NF的数字签名是否符合5GC网管预配置的准许请求列表，防止非法网元接入，危害5GC安全。

具体地，参见图5，以SMF请求接入NRF为例，SMF通过NFRegister发起注册请求，NRF校验SMF的数字签名是否符合准许列表。若符合，则返回准许信息，完成注册。若不符合，返回拒绝信息和详情。

(3)network_flow_monitor定义：对于UPF接入而言的，是否需要网管实时监控UPF的流量。

network_flow_monitor＝{false，true}，依次定义为0，1，true为监控。当UPF向NRF接入时，需携带这个字段信息。当设置为true时，UPF发现流量信息有违规时，向5GC网管发送告警。

(4)NFUpdate_limit定义：是否限制接入网元使用NRF的NFUpdate接口更新安全等级字段。

NFUpdate_limit＝{false，true}，依次定义为0，1。此参数为了防止安全等级低的网元非法提高自身安全等级。

下面以具体定义S1/S2/S3安全等级为例，进一步说明安全等级的定义及其在NRF根据安全等级发现网络功能NF中的应用。需要注意的是，在实际的应用中，安全等级的定义可以根据需求进行动态扩展。

(1)S1：安全等级1

此等级为最高安全等级，设置如下：

security_level＝{operating_environment,NF_verify,network_flow_monitor,N FUpdate_limit}＝{1,1,1,1}。

把isolated_level等级设置为physical_isolation，采用完全私有的物理服务器；NF_verify等级设置为true，NRF需要验证NF的数字签名是否符合中心数据库预配置的准许请求列表；network_flow_monitor等级设置为true，监控UPF违规流量信息，防止非法信息通过5GC传播出去；NFUpdate_limit等级设置为true，限制NF使用NFUpdate接口升级安全等级字段，防止网元提权。

此设置可用于对于专网安全要求极高的场景，比如金融机构，公安机关等部门。

(2)S2：安全等级2

此等级为相对安全等级，设置如下：

security_level＝{operating_environment,NF_verify,network_flow_monitor,N FUpdate_limit}＝{1,1,0,1}。

把isolated_level等级设置为physical_isolation，采用完全私有的物理服务器；NF_verify等级设置为true；NRF需要验证NF的数字签名是否符合中心数据库预配置的准许请求列表；network_flow_monitor等级设置为false，不监控UPF流量；NFUpdate_limit等级设置为true，限制NF使用NFUpdate接口升级安全等级字段，防止网元提权。

此设置可用于安全要求相对较高的企业，比如大型企业，对核心网安全要求相对较高的企业。

(3)S3：安全等级3

此等级为开放安全等级，设置如下：

security_level＝{operating_environment,NF_verify,network_flow_monitor,N FUpdate_limit}＝{0,1,0,1}。

把isolated_level等级设置为cloud_service，采用云部署5GC；NF_verify等级设置为true；NRF需要验证NF的数字签名是否中心数据库预配置的准许请求列表；network_flow_monitor等级设置为false，不监控UPF流量；NFUpdate_limit等级设置为true，限制NF使用NFUpdate接口升级安全等级字段。

此设置可用于安全要求较低的企业，比如私营企业，需要低成本，对核心网安全要求不高的企业。

综上，本专利提出一种NRF根据安全等级发现网络功能NF的方法，根据不同NF所处的网络环境和接入时的安全策略和权限，为其配置不同的安全等级。对于不同安全等级的NF服务使用者，NRF返回相应安全等级的NF服务提供者。基于根据安全等级发现NF的方法，提出了一种安全服务系统模型，提高了5GC的整体安全性，防止非法网络入侵，保护用户数据安全。并设计了NF之间的协商流程，为不同用户实现了增值安全服务，节约了用户成本，提高了用户效益。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

本发明的上述实施例仅仅是为清楚地说明本发明所作的举例，而并非是对本发明的实施方式的限定，对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动，这里无法对所有的实施方式予以穷举，凡是属于本发明的技术方案所引伸出的显而易见的变化或变动仍处于本发明的保护范围之列。

Claims (9)

1.一种根据安全等级发现网络功能NF的方法，其特征在于，包括：

配置网络功能NF的安全等级；

网络存储功能NRF接收注册请求，校验安全等级；

网络存储功能NRF接收发现请求，根据安全等级发现NF。

2.根据权利要求1所述的根据安全等级发现网络功能NF的方法，其特征在于，配置网络功能NF的安全等级，具体包括：

确定待接入NF的安全等级；

在中心数据库配置并记录NF的安全等级。

3.根据权利要求2所述的根据安全等级发现网络功能NF的方法，其特征在于，确定待接入NF的安全等级，具体包括：

根据待接入NF所处的网络环境、安全策略和权限，确定其安全等级参数子集；

根据不同安全等级参数子集的组合，确定其安全等级。

4.根据权利要求3所述的根据安全等级发现网络功能NF的方法，其特征在于，网络存储功能NRF接收注册请求，校验安全等级，具体包括：

NRF接收NF发送的注册请求，其中携带NF的安全等级；

NRF向中心数据库请求NF的安全等级；

NRF接收中心数据库返回NF的安全等级；

NRF校验NF的安全等级，并向NF反馈。

5.根据权利要求4所述的根据安全等级发现网络功能NF的方法，其特征在于，NRF校验NF的安全等级，并向NF反馈，具体包括：

当NF携带的安全等级与中心数据库返回的安全等级一致时，NRF向NF反馈通过校验，完成NF注册；

或者，

当NF携带的安全等级与中心数据库返回的安全等级不一致时，NRF向NF反馈校验未通过，终止注册。

6.根据权利要求3所述的根据安全等级发现网络功能NF的方法，其特征在于，网络存储功能NRF接收发现请求，根据安全等级发现NF，具体包括：

NRF接收NF服务使用者发送的发现请求，其中携带NF服务使用者的安全等级；

NRF根据NF服务使用者的安全等级，向中心数据库查询是否存在符合安全等级的NF服务提供者；

NRF根据查询结果，向NF服务使用者反馈。

7.根据权利要求6所述的根据安全等级发现网络功能NF的方法，其特征在于，NRF根据查询结果，向NF服务使用者反馈，具体包括：

当存在符合安全等级的NF服务提供者时，NRF向NF服务使用者返回符合安全等级的NF服务提供者的配置信息；

或者，

当不存在符合安全等级的NF服务提供者时，NRF向NF服务使用者返回查询失败信息。

8.根据权利要求7所述的根据安全等级发现网络功能NF的方法，其特征在于，NRF根据NF服务使用者的安全等级，向中心数据库查询是否存在符合安全等级的NF服务提供者时，同时查询NF服务提供者的性能参数。所述性能参数包括但不限于负载、容量和优先级。

9.根据权利要求3-8任一项所述的NRF根据安全等级发现网络功能NF的方法，其特征在于，根据待接入NF所处的网络环境、安全策略和权限，确定其安全等级参数子集，包括但不限于：

参数operating_environment，所述参数operating_environment包括云服务环境cloud_service和私有物理服务器环境physical_isolation，用于表示NF所处运行环境；

参数NF_verify；所述参数NF_verify为布尔值，用于表示是否需要校验NF数字签名；

参数network_flow_monitor；所述参数network_flow_monitor为布尔值，用于表示是否需要网管实时监控UPF的流量；

参数NFUpdate_limit；所述参数NFUpdate_limit为布尔值，用于表示是否限制接入NF使用NRF的NFUpdate接口更新安全等级字段。

Images