漫游场景下的用户标识认定方法、计费方法及AMF与流程

本发明涉及通信技术领域，尤其涉及一种漫游场景下的用户标识认定方法、计费方法及amf。

背景技术：

为了保护用户的隐私，5g网络将用户的用户永久标识supi(subscriberpermanentidentifier)加密成用户隐藏标识suci(subscriptionconcealedidentifier)进行传输，但当用户漫游到异网或者国外时，由于suci是加密且动态变化的，且漫游地公共陆地移动网络(visitedpubliclandmobilenetwork，以下简称：漫游网络)没有归属地公共陆地移动网络(homepubliclandmobilenetwork，以下简称：归属网络)的密钥。因此无法实时对suci进行解密。此外，若采用明文supi传输的方案，这样在漫游场景下，由于其安全等级不受控，不利于用户supi在漫游地的隐私保护。如果采用漫游地网络为用户分配实时变化的tmsi(temporarymobilesubscriberidentity，临时移动用户标识)的方案，此类方案对于非漫游场景尚可，但对于漫游场景：由于tmsi是接入地(漫游国)单方面进行设定的用户标识，不经过归属地网络的认证、鉴权，存在漫游地单方乱扣费的风险。

因此，提供一种漫游场景下的用户标识认定方法是本领域技术人员亟待解决的问题。

技术实现要素：

本发明所要解决的技术问题是针对现有技术的上述不足，提供一种漫游场景下的用户标识认定方法、计费方法及amf，用以解决现有技术中漫游场景下采用明文supi作为用户标识不利于用户supi在漫游地的隐私保护，以及采用漫游地的tmsi作为用户标识容易造成漫游地单方乱扣费问题。

第一方面，本发明实施例提供一种漫游场景下的用户标识认定方法，应用于漫游网络，所述方法包括：

接收漫游终端发送的注册请求，所述注册请求携带当前suci标识，所述当前suci标识包括加密模式标识和用户标识密文；

判断所述加密模式标识是否为标准加密模式标识；

若判断结果为否，则将所述当前suci标识作为用户标识。

优选地，所述方法还包括：

若判断结果为是，则向所述漫游终端所在的归属网络发送鉴权请求，以使所述归属网络对所述漫游终端进行鉴权；

接收所述归属网络发送的所述当前suci标识和对所述用户标识密文解密后的supi标识，并将解密后的supi标识作为用户标识。

第二方面，本发明实施例提供一种漫游场景下的用户标识认定方法，应用于漫游终端，所述方法包括：

判断本次漫游是否是当前漫游网络下的初次漫游；

若不是初次漫游，则进一步判断上一suci标识是否超过更新周期；

若未超过更新周期，则根据上一suci生成当前suci标识，所述当前suci标识包括加密模式标识和用户标识密文，所述当前suci标识的加密模式标识为非标准加密模式标识，所述当前suci标识的用户标识密文与所述上一suci的用户标识密文相同；

向所述漫游网络发送注册请求，所述注册请求携带所述当前suci标识。

优选地，所述方法还包括：

若是初次漫游，则生成新的suci标识作为当前suci标识，所述当前suci标识包括加密模式标识和用户标识密文，所述当前suci标识的加密模式标识为标准加密模式标识；

保存所述当前suci标识以及所述当前suci标识的生成时间点；

向所述漫游网络发送注册请求，所述注册请求携带所述当前suci标识。

优选地，所述方法还包括：

若上一suci标识超过更新周期，则重新生成新的suci标识作为当前suci标识，所述新的suci标识包括加密模式标识和用户标识密文，所述新的suci标识的加密模式标识为标准加密模式标识；

保存所述当前suci标识以及所述当前suci标识的生成时间点；

向所述漫游网络发送注册请求，所述注册请求携带所述当前suci标识。

优选地，所述重新生成新的suci标识，包括：

生成新的私钥，并依次采用所述私钥和归属网络的公钥对所述漫游终端的supi标识进行加密，得到supi加密后的密文；

根据所述supi加密后的密文生成新的suci标识，其中，所述新的suci标识包括加密模式标识和用户标识密文，所述新的suci标识的加密模式标识为标准加密模式标识，所述新的suci标识的用户标识密文为所述supi加密后的密文。

第三方面，本发明实施例提供一种漫游场景下的计费方法，所述方法包括：

根据第一方面所述的漫游场景下的用户标识认定方法获取当前suci标识；以及，

生成与所述当前suci标识对应的话单文件，其中，所述话单文件的文件名包含所述当前suci标识；

获取预存的suci与supi对应关系表中所述当前suci标识所对应的supi标识；

根据所述当前suci标识对应的话单文件对所述supi标识对应的用户进行计费处理。

优选地，所述根据所述当前suci标识对应的话单文件对所述supi标识对应的用户进行计费处理的步骤之后，所述方法还包括：

将上一suci标识所对应的话单文件的文件名中的上一suci标识替换为当前suci标识。

优选地，根据第一方面所述的漫游场景下的用户标识认定方法获取当前suci标识，所述方法还包括：

将当前suci标识和解密后的supi标识的对应关系保存至预存的suci与supi对应关系表中。

第四方面，本发明实施例提供一种接入及移动性管理功能实体amf，包括：

接收模块，用于接收漫游终端发送的注册请求，所述注册请求携带当前suci标识，所述当前suci标识包括加密模式标识和用户标识密文；

判断模块，与所述接收模块连接，用于判断所述加密模式标识是否为标准加密模式标识；

认定模块，与所述判断模块连接，用于若判断结果为否，则将所述当前suci标识作为用户标识。

本发明实施例提供的漫游场景下的用户标识认定方法、计费方法及amf，通过采用当前suci标识作为用户标识，保证了用户supi的安全性，同时，通过当前suci标识中的加密模式标识可以判断是否需要向归属网络发送鉴权请求，即若是标准加密模式标识，则代表上一suci已超过更新周期，为了保持suci的新鲜度，需要生成新的suci并向归属网络发送鉴权请求，实现对suci更新频率的控制；若是非标准加密模式标识，则代表上一suci未超过更新周期，为了避免因频繁向归属网络发送鉴权请求而给归属网络造成负担，以及为了提高漫游网络的效率，在更新周期内，通过将上一suci的用户标识密文直接复制，生成新的suci，并直接将其作为用户标识，从而使得漫游网络在不用对当前suci标识进行解密的情况下实现对用户标识的认定，解决了现有技术中漫游场景下采用明文supi作为用户标识不利于用户supi在漫游地的隐私保护，以及采用漫游地的tmsi作为用户标识容易造成漫游地单方乱扣费问题。

附图说明

图1：为本发明实施例1的一种漫游场景下的用户标识认定方法的流程图；

图2：为本发明实施例2的一种漫游场景下的用户标识认定方法的流程图；

图3：为本发明实施例3的一种漫游场景下的计费方法的流程图；

图4：为本发明实施例4的一种接入及移动性管理功能实体amf的结构图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

实施例1：

本实施例提供一种漫游场景下的用户标识认定方法，应用于漫游网络，如图1所示，该方法包括：

步骤s102：接收漫游终端发送的注册请求，所述注册请求携带当前suci标识，所述当前suci标识包括加密模式标识和用户标识密文。

在本实施例中，终端是一种具有无线收发功能的设备，该终端可以是用户设备ue(userequipment)，手机、平板电脑、带无线收发功能的电脑、虚拟现实终端、增强现实终端、工业控制中的无线终端等等。

在本实施例中，漫游终端即终端从归属网络漫游到漫游网络。具体地，终端漫游到漫游网络后根据网络广播的plmn(publiclandmobilenetwork，公共陆地移动网)，判定是否从一个plmn网络漫游到了新的plmn网络，即plmn有刷新。当终端漫游到异网或者国外，终端向漫游网络提出注册申请，终端首先判定本次漫游是否为该漫游网络下的初次漫游注册。如果是初次漫游，由于该漫游网络的核心网都没有储存该用户的相关信息，终端对supi进行加密生成当前suci标识，并向漫游网络的接入及移动性管理功能实体amf(accessandmobilitymanagementfunction)发起网络注册时上报该suci标识。

步骤s104：判断所述加密模式标识是否为标准加密模式标识。

在本实施例中，suci标识包括加密模式标识和用户标识密文，加密模式标识用于指示suci的加密模式，加密模式可以包括标准加密模式和非标准加密模式标识。标准加密模式用于指示suci是标准加密方式，例如ecies加密方式，代表suci是加密的用户标识需要向归属网络发送鉴权请求进行鉴权和解密。非标准加密模式标识用于指示suci是空方案模式，在该模式下，依据现有通信协议，网元实体在收到用户的suci注册请求或者会话请求时，当识别是空方案模式时，无需再向归属网络发送suci进行鉴权和解密，可以直接采用suci作为用户标识，即网元实体默认suci是没有加密的supi，可以直接作为用户标识。通过suci包括的加密模式标识判断是否需要向归属网络发送鉴权请求，以便在不改变现有通信协议架构的情况下，实现对suci更新频率进行控制。用户标识密文为依据某类特定的加密方式(例如ecies加密方式)将supi加密后的结果。具体地，终端在usim卡(universalsubscriberidentitymodule,全球用户识别卡)上对supi进行加密，分别使用usim生成的本地私钥及归属网络提供的公钥，对supi加密形成用户标识密文。终端可以内置密钥生成器，每次生成不同的私钥和公钥对，在发送注册请求或其他请求时，先采用生成的本地私钥对supi加密，再使用归属网络提供的公钥进一步加密，同时将生成的公钥附加在注册请求或其他请求中，以使得归属网络收到对应的请求时，先用自身的私钥对suci进行解密，再采用终端发送的公钥进一步解密，从而得到supi，进一步保证了用户标识传输的安全性。其中，suci还可以包括supi类型、归属地网络标识符、路由指示器、加密方案编号、归属地网络公钥id等等，比如，归属地网络标识符可以用于标识终端归属地所属的网络，可以由mcc(mobilecountrycode，移动国家码)和mnc(mobilenetworkcode，移动网络号码)组成，也可以是由字符串组成的域名，以方便漫游网络获取终端的归属网络信息。

在本实施例中，通过采用归属网络的公钥对终端的supi进行加密，并直接采用suci作为用户标识，保证了用户supi的安全性，同时通过向归属网络发送鉴权请求来获取suci对应的supi，并存储supi与suci的映射关系，避免漫游网络由于没有归属网络的密钥，无法实时对suci进行解密的问题，同时通过suci包括的加密模式标识判断是否需要再次向归属网络发送鉴权请求，以便在不改变现有通信协议架构的情况下，实现对suci更新频率进行控制。

在本实施例中，终端生成私钥后，会记录本次生成的私钥，生成的suci标识、或本次加密后的用户标识密文和生成时间点，比如，初次漫游，终端生成标准私钥，并依次采用标准私钥和归属网络的公钥对终端的supi进行加密得到用户标识密文，并生成当前suci，即当前suci包括标准加密模式标识和用户标识密文，终端存储标准私钥、当前suci以及当前suci的生成时间点。

可选地，所述方法还可以包括：

若判断结果为是，则向所述漫游终端所在的归属网络发送鉴权请求，以使所述归属网络对所述漫游终端进行鉴权；

接收所述归属网络发送的所述当前suci标识和对所述用户标识密文解密后的supi标识，并将解密后的supi标识作为用户标识。

在本实施例中，漫游网络的amf根据收到suci进行判断，若suci的加密模式为标准加密模式，将suci转发给归属网络的鉴权服务功能实体ausf(authenticationserverfunction)、统一数据管理功能实体udm(unifieddatarepository)进行suci的解密。归属网络的核心网完成与终端的aka鉴权，即5g端网双向鉴权，再由归属网络的udm发送鉴权向量av给终端，终端收到鉴权向量av后根据av做相应的运算再反馈给归属网络的ausf，由ausf判定运算结果，判定端网鉴权是否通过，通过后再发送给漫游网络的amf解密后的supi。鉴权通过后，漫游网络的amf使用supi作为内部终端对应的用户标识，并将该supi与suci的映射关系存储至预设的suci与supi对应关系表中。

在本实施例中，若是初次注册请求，漫游网络的amf通过smf向漫游网络的计费相关实体发送用户标识更新请求,计费相关实体如策略控制功能实体pcf(policycontrolfunction)、计费功能实体chf(chargingfunction)等,用户标识更新请求包括解密后的supi以及当前suci，计费相关实体调取初始化的计费策略、创建初始化的业务话单。由于初始化的文件寻址标识、用户身份标识都为supi，因此，计费相关实体先调取用户话单，随后，将用户标识从supi替换成当前suci。同时存储supi与当前suci的映射关系。最后，chf/pcf发给amf一个确认响应消息，amf再通知终端在漫游网络计费系统完成注册，漫游网络计费系统存储supi与当前suci的映射关系。

在本实施例中，当终端发起pdu会话时，amf、smf、udm等网元建立通信交互，chf生成与所述当前suci标识对应的话单文件，其中，所述话单文件的文件名包含所述当前suci标识，并向计费系统发送包括当前suci标识的计费请求，即计费请求将当前suci标识替换原有的supi标识，起到了隐藏用户supi的作用,保证用户supi不出核心网，在计费域不暴露用户supi隐私。计费系统在接收到计费请求后，获取预存的suci与supi对应关系表中所述当前suci标识所对应的supi标识后，并根据所述当前suci标识对应的话单文件对所述supi标识对应的用户进行计费处理。同时，将cdr话单的寻址路径、用户标识修改成当前suci标识，以便能够实现仅通过上一suci标识或当前suci标识找到属于用户自己的话单，保证了5g系统整体安全性。

步骤s106：若判断结果为否，则将所述当前suci标识作为用户标识。

在本实施例中，为了避免因注册请求而导致的终端频繁生成密钥以及归属网络频繁鉴权，同时为了保持suci的新鲜度，可以设置suci更新周期，通过预存的上一suci的生成时间点判断当前用户标识是否超过更新周期，并通过更改suci的加密模式标识实现在不改变现有通信协议架构的情况下对suci更新频率的控制。

在本实施例中，对于非初次注册的用户，终端向漫游网络的amf发起注册请求时仍需要上报suci，当终端判断在漫游网络不是首次注册，且当前用户标识没有超过更新周期，终端将调用sim卡储存的上一次加密的用户标识密文或上一suci用以生成新suci，比如根据上一suci生成当前suci，即相对上一suci,保持当前suci中加密模式标识以外的其他数据位不改变，仍保持与上一suci相同，只将标准加密模式标识改成非标准加密模式标识,而用户标识密文不变。在进行会话请求时，当smf向chf以及pcf发送信令时，发送supi的位置也将使用未解密的当前suci作为用户标识，由于pcf以及chf以当前suci作为用户标识，且存储有suci与supi对应关系表，由于当前suci与上一suci具有相同的用户标识密文，因此在suci未进行刷新前pcf以及chf都可以匹配到用户标准supi。

在本实施例中，对于非初次注册的用户，当上一suci标识超过更新周期时，终端重新生成与上一次不同的私钥，并进一步生成新的suci，与上一次生成的suci相比,新的suci具有不同的用户标识密文，终端生成新的suci后，漫游网络的amf再次向归属网络发送包含新的suci的鉴权请求，以实现对终端的鉴权。

在本实施例中，在用户suci每次进行更新前，由终端在漫游网络与归属网络之间进行三方通知、确认，保证suci的信息在漫游网络与归属网络双方都完成认证，确保计费的准确性得到双方网络认可。具体地，终端对supi重新加密生成新的suci，加密模式为标准加密模式标识。漫游网络的amf根据标准加密模式标识判定此类加密模式为标准加密模式，无法获取用户标识，于是需要按照3gpp规定aka流程向归属网络进行解密、认证。在aka认证的通信过程中恰好可以将新的suci在双方网络之间进行通知确认，归属网络的udm和ausf将新的suci进行解密得到supi，并在归属网络的ausf发送给归属网络的amf上的seaf安全锚点的nausf_ueauthentication_authenticate响应中，伴随kseaf参数，将新的suci与解密后的supi一起发送。归属网络的amf根据存储的suci与supi对应关系表查找与该supi相同的supi，并将新的suci与原有的suci进行匹配。归属网络的amf通知smf、pcf和chf将原有的suci更换为当前新的suci。漫游网络的amf随后给归属网络的ausf以及终端发送确认消息，表示三者aka鉴权成功，同时，归属网络的计费系统的用户标识也都改为新的suci。此外，计费系统将新的suci标识和解密后的supi标识的对应关系保存至预存的suci与supi对应关系表中，或将suci与supi对应关系表中该supi标识对应的原有的上一suci标识修改成当前suci标识，以便能够在更新频率内及时找到当前suci所对应的supi。

当漫游网络建立pdu会话期间，漫游网络的smf会通知amf和终端不可进行suci的替换，否则容易造成话单记录的错乱，smf建立会话后可以向终端发送例如：推迟suci更新的时间指令等。

本实施例提供的漫游场景下的用户标识认定方法，通过采用当前suci标识作为用户标识，保证了用户supi的安全性，同时，通过当前suci标识中的加密模式标识可以判断是否需要向归属网络发送鉴权请求，即若是标准加密模式标识，则代表上一suci已超过更新周期，为了保持suci的新鲜度，需要生成新的suci并向归属网络发送鉴权请求，实现对suci更新频率的控制；若是非标准加密模式标识，则代表上一suci未超过更新周期，为了避免因频繁向归属网络发送鉴权请求而给归属网络造成负担，以及为了提高漫游网络的效率，在更新周期内，通过将上一suci的用户标识密文直接复制，生成新的suci，并直接将其作为用户标识，从而使得漫游网络在不用对当前suci标识进行解密的情况下实现对用户标识的认定，解决了现有技术中漫游场景下采用明文supi作为用户标识不利于用户supi在漫游地的隐私保护，以及采用漫游地的tmsi作为用户标识容易造成漫游地单方乱扣费问题。

实施例2：

如图2所示，本实施例提供一种漫游场景下的用户标识认定方法，应用于漫游终端，包括以下步骤：

步骤s202：判断本次漫游是否是当前漫游网络下的初次漫游；

步骤s204：若不是初次漫游，则进一步判断上一suci标识是否超过更新周期；

步骤s206：若未超过更新周期，则根据上一suci生成当前suci标识，所述当前suci标识包括加密模式标识和用户标识密文，所述当前suci标识的加密模式标识为非标准加密模式标识，所述当前suci标识的用户标识密文与所述上一suci的用户标识密文相同；

步骤s208：向所述漫游网络发送注册请求，所述注册请求携带所述当前suci标识。

优选地，所述方法还可以包括：

若是初次漫游，则生成新的suci标识作为当前suci标识，所述当前suci标识包括加密模式标识和用户标识密文，所述当前suci标识的加密模式标识为标准加密模式标识；

保存所述当前suci标识以及所述当前suci标识的生成时间点；

向所述漫游网络发送注册请求，所述注册请求携带所述当前suci标识。

优选地，所述方法还可以包括：

若上一suci标识超过更新周期，则重新生成新的suci标识作为当前suci标识，所述新的suci标识包括加密模式标识和用户标识密文，所述新的suci标识的加密模式标识为标准加密模式标识；

保存所述当前suci标识以及所述当前suci标识的生成时间点；

向所述漫游网络发送注册请求，所述注册请求携带所述当前suci标识。

优选地，所述重新生成新的suci标识，可以包括：

生成新的私钥，并依次采用所述私钥和归属网络的公钥对所述漫游终端的supi标识进行加密，得到supi加密后的密文；

根据所述supi加密后的密文生成新的suci标识，其中，所述新的suci标识包括加密模式标识和用户标识密文，所述新的suci标识的加密模式标识为标准加密模式标识，所述新的suci标识的用户标识密文为所述supi加密后的密文。

实施例3：

如图3所示，本实施例提供一种漫游场景下的计费方法，包括：

步骤s302：根据实施例1所述的漫游场景下的用户标识认定方法获取当前suci标识；以及，

步骤s304：生成与所述当前suci标识对应的话单文件，其中，所述话单文件的文件名包含所述当前suci标识；

步骤s306：获取预存的suci与supi对应关系表中所述当前suci标识所对应的supi标识；

步骤s308：根据所述当前suci标识对应的话单文件对所述supi标识对应的用户进行计费处理。

优选地，所述根据所述当前suci标识对应的话单文件对所述supi标识对应的用户进行计费处理的步骤之后，所述方法还可以包括：

将上一suci标识所对应的话单文件的文件名中的上一suci标识替换为当前suci标识。

优选地，根据实施例1所述的漫游场景下的用户标识认定方法获取当前suci标识，所述方法还可以包括：

将当前suci标识和解密后的supi标识的对应关系保存至预存的suci与supi对应关系表中。

实施例4：

如图4所示，本实施例提供一种接入及移动性管理功能实体amf，包括：

接收模块20，用于接收漫游终端发送的注册请求，注册请求携带当前suci标识，当前suci标识包括加密模式标识和用户标识密文；

判断模块21，与接收模块20连接，用于判断加密模式标识是否为标准加密模式标识；

认定模块22，与判断模块21连接，用于若判断结果为否，则将当前suci标识作为用户标识。

优选地，所述amf还可以包括：

鉴权模块，与判断模块21连接，用于若判断结果为是，则向所述漫游终端所在的归属网络发送鉴权请求，以使所述归属网络对所述漫游终端进行鉴权；

supi接收模块，用于接收所述归属网络发送的所述当前suci标识和对所述用户标识密文解密后的supi标识，并将解密后的supi标识作为用户标识。

实施例2至实施例4提供的漫游场景下的用户标识认定方法、计费方法及amf，通过采用当前suci标识作为用户标识，保证了用户supi的安全性，同时，通过当前suci标识中的加密模式标识可以判断是否需要向归属网络发送鉴权请求，即若是标准加密模式标识，则代表上一suci已超过更新周期，为了保持suci的新鲜度，需要生成新的suci并向归属网络发送鉴权请求，实现对suci更新频率的控制；若是非标准加密模式标识，则代表上一suci未超过更新周期，为了避免因频繁向归属网络发送鉴权请求而给归属网络造成负担，以及为了提高漫游网络的效率，在更新周期内，通过将上一suci的用户标识密文直接复制，生成新的suci，并直接将其作为用户标识，从而使得漫游网络在不用对当前suci标识进行解密的情况下实现对用户标识的认定，解决了现有技术中漫游场景下采用明文supi作为用户标识不利于用户supi在漫游地的隐私保护，以及采用漫游地的tmsi作为用户标识容易造成漫游地单方乱扣费问题。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。