WO2019076025A1 - 一种加密数据流的识别方法、设备、存储介质及系统 - Google Patents

一种加密数据流的识别方法、设备、存储介质及系统 Download PDF

Info

Publication number
WO2019076025A1
WO2019076025A1 PCT/CN2018/085510 CN2018085510W WO2019076025A1 WO 2019076025 A1 WO2019076025 A1 WO 2019076025A1 CN 2018085510 W CN2018085510 W CN 2018085510W WO 2019076025 A1 WO2019076025 A1 WO 2019076025A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
core network
network device
data packet
application identifier
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2018/085510
Other languages
English (en)
French (fr)
Inventor
唐海
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangdong Oppo Mobile Telecommunications Corp Ltd
Original Assignee
Guangdong Oppo Mobile Telecommunications Corp Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangdong Oppo Mobile Telecommunications Corp Ltd filed Critical Guangdong Oppo Mobile Telecommunications Corp Ltd
Priority to EP18869093.7A priority Critical patent/EP3668043A4/en
Priority to CN201880038900.1A priority patent/CN110771116B/zh
Publication of WO2019076025A1 publication Critical patent/WO2019076025A1/zh
Priority to US16/849,865 priority patent/US11418951B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/033—Protecting confidentiality, e.g. by encryption of the user plane, e.g. user's traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/12—Setup of transport tunnels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H04W76/25—Maintenance of established connections
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/30—Connection release
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/02—Data link layer protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/08—Upper layer protocols
    • H04W80/10—Upper layer protocols adapted for application session management, e.g. SIP [Session Initiation Protocol]

Definitions

  • Embodiments of the present invention relate to the field of network security technologies, and in particular, to a method, device, and readable storage medium and system for identifying an encrypted data stream.
  • HTTP Hypertext Transfer Protocol
  • TLS Secure Transport Layer Protocol
  • an embodiment of the present invention is to provide a method, a device, a readable storage medium, and a system for identifying an encrypted data stream.
  • the encrypted data stream can be identified without relying on the plaintext identifier, thereby improving the security of the identification. Sex.
  • an embodiment of the present invention provides a method for identifying an encrypted data stream, where the method is applied to a core network device, where the method includes:
  • an embodiment of the present invention provides a method for identifying an encrypted data stream, where the method is applied to a user equipment UE, and the method includes:
  • an embodiment of the present invention provides a core network device, including: a first receiving part, an authentication part, and an establishing part;
  • the first receiving part is configured to receive a data packet that is sent by the user equipment UE and that carries the authentication data, where the authentication data includes a first authentication parameter, a first authentication result, and an application identifier;
  • the authentication part is configured to obtain a second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter; wherein the second authentication parameter is a pre-stored Determining an authentication parameter corresponding to the application identifier;
  • the establishing part is configured to establish, when the second authentication result is consistent with the first authentication result, an association relationship between the feature information of the data packet and the application identifier;
  • the association relationship is used to identify an encrypted data stream corresponding to the application identifier that is sent by the UE.
  • the embodiment of the present invention provides a user equipment UE, where the UE includes: a second sending part, configured to send a data packet carrying authentication data; wherein the authentication data is used by the The core network device performs authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and an application identifier.
  • an embodiment of the present invention provides a core network device, where: a first network interface, a first memory, and a first processor;
  • the first network interface is configured to receive and send signals during the process of transmitting and receiving information with other external network elements;
  • the first memory is configured to store a computer program capable of running on the first processor
  • the first processor is configured to perform the steps of the method in the first aspect when the computer program is run.
  • the embodiment of the present invention provides a user equipment UE, where the UE includes: a second network interface, a second memory, and a second processor;
  • the second network interface is configured to receive and send signals during the process of transmitting and receiving information with other external network elements
  • the second memory is configured to store a computer program capable of running on the second processor
  • the second processor is configured to perform the steps of the method of the second aspect when the computer program is run.
  • an embodiment of the present invention provides a computer readable medium storing a management program of an access link, where the management program of the access link is implemented by at least one processor The steps of the method of the first aspect or the second aspect.
  • an embodiment of the present invention provides an encryption traffic identification system, including a core network device and a user equipment, where
  • the user equipment is configured to send a data packet carrying the authentication data, where the authentication data is used for authentication by the core network device, and the authentication data includes: a first authentication parameter, An authentication result and an application identifier;
  • the core network device is configured to receive a data packet that is sent by the user equipment UE and that carries the authentication data;
  • the embodiment of the invention provides a method, a device, a readable storage medium and a system for identifying an encrypted data stream; the core network device performs authentication with the UE during the TLS handshake process between the UE and the OTT server or after the handshake is completed, thereby establishing The association between the encrypted data streams is implemented to detect and collect the encrypted data streams without relying on the plaintext identifiers, and the complicated IP address configuration and maintenance are not required, which improves security and reduces configuration and maintenance requirements. Computing resources.
  • FIG. 1 is a schematic flowchart of a method for identifying an encrypted data stream according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of another method for identifying an encrypted data stream according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of a network architecture according to an embodiment of the present disclosure.
  • FIG. 4 is a schematic flowchart diagram of a specific example of a method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • FIG. 5 is a schematic flowchart diagram of another specific method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • 6A is a schematic flowchart diagram of another specific method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • FIG. 6B is a schematic flowchart diagram of another specific method for identifying an encrypted data stream according to an embodiment of the present disclosure
  • FIG. 7A is a schematic structural diagram of a core network device according to an embodiment of the present invention.
  • FIG. 7B is a schematic structural diagram of another core network device according to an embodiment of the present disclosure.
  • FIG. 7C is a schematic structural diagram of still another core network device according to an embodiment of the present disclosure.
  • FIG. 8 is a schematic structural diagram of a specific hardware of a core network device according to an embodiment of the present disclosure.
  • FIG. 9 is a schematic structural diagram of a user equipment according to an embodiment of the present disclosure.
  • FIG. 10 is a schematic structural diagram of another user equipment according to an embodiment of the present disclosure.
  • FIG. 11 is a schematic structural diagram of a specific hardware of a user equipment according to an embodiment of the present disclosure.
  • FIG. 12 is a schematic structural diagram of another core network device according to an embodiment of the present disclosure.
  • FIG. 13 is a schematic structural diagram of another hardware of a core network device according to an embodiment of the present disclosure.
  • FIG. 14 is a schematic structural diagram of another UE according to an embodiment of the present disclosure.
  • FIG. 15 is a schematic structural diagram of another UE according to an embodiment of the present disclosure.
  • 16A is a schematic diagram of another method for identifying an encrypted data stream according to an embodiment of the present invention.
  • 16B is a schematic diagram of another method for identifying an encrypted data stream according to an embodiment of the present invention.
  • FIG. 17A is a schematic structural diagram of still another core network device according to an embodiment of the present disclosure.
  • FIG. 17B is a schematic structural diagram of still another user equipment according to an embodiment of the present disclosure.
  • FIG. 18A is a schematic structural diagram of hardware of a core network device according to an embodiment of the present disclosure.
  • FIG. 18B is a schematic structural diagram of hardware of another user equipment according to an embodiment of the present disclosure.
  • FIG. 19 is a schematic diagram of a composition of an encrypted traffic identification system according to an embodiment of the present invention.
  • SA2 Service and System Aspects Working Group
  • 3GPP 3rd Generation Partnership Project
  • FIG. 1 a method for identifying an encrypted data stream according to an embodiment of the present invention is shown.
  • the method may be applied to a core network device.
  • the control plane are two parts; therefore, the core network device in this embodiment may be a single entity device including a user plane and a control plane, or a core formed by two entities: a user plane and a control plane.
  • the logical network element device in the network is not limited in this embodiment.
  • the method shown in FIG. 1 may include:
  • S101 Receive a data packet that is sent by the user equipment UE and that carries the authentication data, where the authentication data includes a first authentication parameter, a first authentication result, and an application identifier.
  • S102 Obtain a second authentication result according to the set authentication algorithm, based on the first authentication parameter and the second authentication parameter.
  • the second authentication parameter is a pre-stored authentication parameter corresponding to the application identifier. It can be understood that the second authentication parameter can be generated by the OTT server and pre-configured in the core network device.
  • the weight parameter may also be generated by the OTT server and pre-configured in the UE; and the set authentication algorithm may be statically pre-configured in the UE and the core network device.
  • the association relationship is used to identify an encrypted data stream corresponding to the application identifier sent by the UE.
  • the feature information of the data packet may include at least one or more of the following: a network protocol IP source address, an IP source port number, an IP destination address, an IP destination port number, and a media access control (MAC). Source address, IP source port number, MAC destination address, MAC destination port number, protocol type, and Virtual Local Area Network (VLAN) label.
  • the core network device can identify the encrypted data stream of the application represented by the application identifier by using the foregoing association relationship, thereby further implementing detection and statistics on the encrypted data stream without relying on the plaintext identifier. Eliminates the need for complex IP address configuration and maintenance, increases security and reduces the computing resources required for configuration and maintenance.
  • the feature information based on the data packet may include a layer 3 feature, that is, an IP source address, an IP source port number, an IP destination address, an IP destination port number, an IP source port number, and may also include a layer 2 feature, that is, Medium access control (MAC, Media Access Control) source address, MAC destination address, MAC destination port number, protocol type, and virtual local area network (VLAN) label; the above relationship is not only the characteristics and application of the data packet layer 3
  • the association relationship between the identifiers and may also be the association relationship between the layer 2 features and the application identifiers. Therefore, when the data packets are transmitted through the non-IP data packets, the association relationship may still be represented by the association identifier.
  • the application's encrypted data stream is identified.
  • a data packet carrying authentication data including:
  • the user plane of the core network device receives the first TLS handshake request sent by the UE, where the authentication data is carried in the plaintext field in the first TLS handshake request.
  • the UE may newly add a plaintext field in the first TLS handshake request, and add the authentication data to the newly added plaintext field.
  • the method after receiving the data packet that is sent by the user equipment UE and carrying the authentication data, the method further includes:
  • the user plane of the core network device After detecting the authentication data from the plaintext field in the first TLS handshake request, the user plane of the core network device transmits the authentication data to the control plane of the core network device.
  • the control plane of the core network device can execute S102 in the solution shown in FIG. 1 according to the authentication data, and the second authentication result is The first authentication result is compared and sent to the core network device user plane to send a comparison result, so that the core network device user plane determines whether to perform S103 according to the comparison result, and understandably, when the second authentication result is related to the When the first authentication result is inconsistent, the comparison result is ignored.
  • the technical solution shown in FIG. 1 may be implemented after the TLS handshake is completed between the UE and the OTT server, and therefore, the receiving user equipment UE sends
  • the data packet carrying the authentication data includes: after completing the TLS handshake, the user plane of the core network device receives an authentication request sent by the UE through the base station; wherein the authentication data is carried in the The GTP-U extension field in the right request.
  • the authentication request is initiated by the UE after the application layer TLS handshake is completed.
  • the UE may send the authentication data to the base station side in the extended PDCP field, and the base station side may convert the authentication data in the PDCP extension field into a GTP-U extension field, and continue to send to the core network device user plane.
  • the method after receiving the data packet that is sent by the user equipment UE and carrying the authentication data, the method further includes:
  • the user plane of the core network device After detecting the authentication data from the GTP-U extension field in the authentication request, the user plane of the core network device transmits the authentication data to the control plane of the core network device.
  • the control plane of the core network device can execute S102 in the solution shown in FIG. 1 according to the authentication data, and the foregoing And comparing the result of the second authentication with the first authentication result, and sending a comparison result to the user plane of the core network device, so that the user plane of the core network device determines whether to perform S103 according to the comparison result, and understandably, when the When the two authentication results are inconsistent with the first authentication result, the comparison result is ignored.
  • the first authentication parameter includes a random number
  • the second authentication parameter includes a public key Ka
  • the first authentication parameter includes a public key Ka
  • the second authentication parameter includes a random number
  • the random number may be a random number generated based on a preset random number generation policy; in addition, the random number may also be the current time and/or the current location of the UE.
  • the number of changes is changed accordingly, so that each random number is different. For example, there is usually a correlation between the location where the UE is currently located and the IP address of the UE, and the IP addresses of different UEs are also different. Therefore, the random number can be obtained by combining the current timestamp with the IP address of the UE, so that when at least one of the UE, the time, and the location is different, the corresponding random number is also different. It also achieves a different effect between each random number.
  • the obtaining, by the first authentication parameter and the second authentication parameter, the second authentication result according to the set authentication algorithm includes:
  • the control plane of the core network device obtains the second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter.
  • the control plane of the core network device transmits the comparison result to the core network user plane
  • the user plane of the core network device establishes an association relationship between the feature information of the data packet and the application identifier.
  • the technical solution shown in FIG. 1 may be implemented after the TLS handshake is completed between the UE and the OTT server, but different from the second implementation manner.
  • the authentication request is sent by the UE directly to the control plane of the core network device. Therefore, the data packet that is sent by the user equipment UE and carries the authentication data includes:
  • the control plane of the core network device receives the non-access stratum session management NAS-SM message sent by the UE;
  • the extension field of the NAS-SM message includes: a first authentication parameter, a first authentication result, an application identifier, and feature information of the NAS-SM message; wherein the first authentication parameter includes: The random number and the public key Ka; the feature information of the NAS-SM message includes at least one or more items: an IP address of the OTT server, a port number, a protocol type, and a MAC address of the OTT server.
  • Ka is an optional authentication parameter
  • the Ka may also be searched by the core network device in the core network database by using the application identifier, and the correspondence between the application identifier and the Ka in the core network database may be a third-party server. Pre-configured into the database.
  • the obtaining, according to the first authentication parameter and the second authentication parameter, the second authentication result according to the set authentication algorithm including:
  • the control plane of the core network device obtains the second authentication result according to the set authentication algorithm according to the random number in the first authentication parameter and the public key in the second authentication parameter.
  • the association relationship between the feature information of the data packet and the application identifier is established, including:
  • the control plane of the core network device When the second authentication result is consistent with the first authentication result, the control plane of the core network device generates the data packet according to the feature information of the OTT server and the feature information of the UE.
  • Feature information and transmitting the generated feature information of the data packet and the application identifier to a user plane of the core network device; specifically, the feature information of the OTT server includes an IP address, a port number, and an protocol of the OTT server.
  • Type and MAC address of the OTT server; the feature information of the UE includes: the IP address, port, and MAC address of the UE.
  • the user plane of the core network device establishes an association relationship between the generated feature information of the data packet and the application identifier.
  • the method further includes:
  • the control plane of the core network device sends a comparison result of the second authentication result and the first authentication result to the UE by using a user plane of the core network device.
  • the UE can know whether the core network device completes the establishment of the association relationship, thereby determining whether to continue the authentication with the core network device.
  • a life cycle may be set for the technical solution, and specifically, the technical solution shown in FIG. 1 may also be The method includes: receiving valid time information sent by the UE, where the valid time information is used to indicate an effective duration of the association relationship for performing encrypted data stream identification. It can be understood that the above effective duration can be used as the life cycle of the association. Therefore, preferably, the method may further include: releasing the association relationship if the encrypted data stream transmission is not completed after the valid duration is timed.
  • the association relationship may also be released by the indication of the UE. Based on this, the life cycle, that is, the effective duration, may be omitted.
  • the method further includes:
  • the association relationship is released based on the release indication message.
  • the valid time message and the release indication message may be sent by using a NAS message.
  • the embodiment provides a method for identifying an encrypted data stream applied to a core network device, which can perform authentication on the encrypted data stream during the TLS handshake process between the UE and the OTT server or after the handshake is completed.
  • the identified associations enable the detection and statistics of encrypted data streams without relying on plaintext identification, and eliminate the need for complex IP address configuration and maintenance, improving security and reducing the computational resources required for configuration and maintenance.
  • FIG. 2 a method for identifying an encrypted data stream according to an embodiment of the present invention is shown.
  • the method may be applied to a UE.
  • the method shown in FIG. 2 may include:
  • S201 Send a data packet carrying the authentication data, where the authentication data is used by the core network device for authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and Application ID.
  • the core network device can perform authentication according to the technical solution of the foregoing embodiment, thereby establishing an association relationship for identifying the encrypted data stream, so as to implement
  • the detection and statistics of encrypted data flows do not need to rely on plaintext identification, and do not require complex IP address configuration and maintenance, which improves security and reduces the computing resources required for configuration and maintenance.
  • the technical solution shown in FIG. 2 may be implemented in a process of establishing a TLS handshake between the UE and the OTT server, and therefore, the sending bearer has authentication data.
  • Packets including:
  • the authentication data is carried in the plaintext field in the first TLS handshake request
  • the technical solution shown in FIG. 2 may be implemented after the TLS handshake is completed between the UE and the OTT server, and therefore, the sending bearer is authenticated.
  • Data packets including:
  • the authentication request that carries the authentication data in the extended PDCP field is sent to the base station, and after the base station converts the authentication data in the PDCP extension field into a GTP-U extension field, the The authentication request continues to be sent to the user plane of the core network device.
  • the technical solution shown in FIG. 2 may be implemented after the TLS handshake is completed between the UE and the OTT server, but different from the second implementation manner.
  • the authentication request is sent by the UE directly to the control plane of the core network device. Therefore, the sending of the data packet carrying the authentication data includes:
  • the non-access stratum session management NAS-SM message is sent to the control plane of the core network device.
  • the extended field of the NAS-SM message includes: the first authentication parameter, the first authentication result, and the application.
  • the life cycle of the association relationship may also be determined by the UE, and based on this, preferably, The method further includes:
  • the valid time information is used to indicate an effective duration of the encrypted data stream identification by the association relationship between the feature information of the data packet and the application identifier.
  • the method further includes: sending a release indication message to the core network device; wherein the release indication message is used to release the association relationship.
  • the valid time message and the release indication message may be sent by using a NAS message.
  • the method further includes: receiving an authentication result of the control plane reply of the core network device. It can be understood that after receiving the comparison result, the UE can know whether the core network device completes the establishment of the association relationship, thereby determining whether to continue the authentication with the core network device.
  • the specific example introduces a parameter set for the application, and may include, for example, a public key Ka, a random number, a token Token, and an application identifier Application ID.
  • Ka is an optional authentication parameter
  • the Ka may also be searched by the core network device in the core network database by using the application identifier, and the correspondence between the application identifier and the Ka in the core network database may be a third-party server. Pre-configured into the database.
  • the Ka and the random number are generated by the OTT server, and the authentication algorithm is statically configured on the core network device and the UE through the OTT server.
  • the specific example of the embodiment may be applied to the atypical network architecture shown in FIG. 3, in which the UE accesses the core network through the base station, or may directly connect to the core network device, where the core network device is connected.
  • the user plane and the control plane are two parts, and the UE connects to the data network (DN, Data Network) through the core network device to implement information interaction with the OTT server. Based on the above network architecture, the following specific examples are proposed.
  • FIG. 4 a specific example process of a method for identifying an encrypted data stream according to an embodiment of the present invention is shown, and the process may include:
  • the OTT server pre-configures the authentication algorithm in the UE and the core network device.
  • the OTT server dynamically generates or updates Ka and random numbers, and sends them to the UE and the core network device.
  • the UE and the core network device can perform calculation according to the authentication algorithm configured in S40A to obtain respective authentication result Tokens.
  • S401 The UE adds a plaintext field in the first TLS handshake request, and adds its own random number and Token, and the application identifier as authentication data to the newly added plaintext field.
  • the UE sends the first TLS handshake request to the user plane of the core network device.
  • the user plane transparently transmits the authentication data to the control plane of the core network device when detecting the first TLS handshake request including the authentication data sent by the UE.
  • the control plane performs calculation according to the configured authentication algorithm according to the Ka and the random number of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison result is Authentication failed.
  • S405 The control plane sends the comparison result to the user plane
  • association relationship enables the core network device to identify the encrypted data stream of the application that is subsequently applied by the application identifier, and collect statistics on the traffic of the encrypted data stream according to the recognition result.
  • control plane sends the comparison result to the UE through the user plane; so that after receiving the comparison result, the UE can learn whether the core network device completes the association.
  • the establishment of the relationship determines whether the authentication with the core network device needs to be continued.
  • the process may include:
  • the OTT server sends an application identifier, a random number, and a Ka to the UE;
  • the carrier network is not visible to this.
  • S501 The UE calculates the Token according to the random number and Ka according to the preset authentication algorithm, and uses its own random number, Token, and application identifier as the authentication request of the authentication data to be carried in the extended PDCP field.
  • S502 The UE sends an authentication request to the base station.
  • the user plane After detecting the authentication request, the user plane transparently transmits the authentication data to the control plane of the core network device.
  • the control plane performs calculation according to the configured authentication algorithm according to the Ka and the random number of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison result is Authentication failed.
  • association relationship enables the core network device to identify the encrypted data stream of the application that is subsequently applied by the application identifier, and collect statistics on the traffic of the encrypted data stream according to the recognition result.
  • control plane sends the comparison result to the UE through the user plane; so that after receiving the comparison result, the UE can learn whether the core network device completes the association.
  • the establishment of the relationship determines whether the authentication with the core network device needs to be continued.
  • the process may include:
  • the OTT server sends an application identifier, a random number, and a Ka to the UE;
  • the carrier network is not visible to this.
  • the UE calculates the Token according to the random number and Ka according to the preset authentication algorithm, and carries the random number, the Ka, the Token, the application identifier, and the feature information of the OTT server as the authentication data to be carried in the extension of the NAS-SM message. In the field.
  • the IP triplet of the OTT server can include the IP address, port number and protocol type of the OTT server.
  • S602 The UE sends a NAS-SM message to a control plane of the core network device, so as to request a session modification from the control plane.
  • the control plane performs calculation according to the configured authentication algorithm according to its own Ka and the random number of the UE, and compares the calculation result with the Token of the UE; if the two are consistent, the comparison result is successful authentication; otherwise, the comparison is successful. The result is that the authentication failed;
  • control plane If the authentication is successful, the control plane generates feature information of the data packet according to the feature information of the OTT server and the feature information of the UE.
  • the control plane transmits the generated feature information of the data packet and the application identifier to the user plane of the core network device.
  • the user plane establishes an association relationship between the feature information of the generated data packet and the application identifier.
  • the control plane returns the comparison result to the UE by using the NAS message.
  • the life cycle can be established for the association relationship in the encrypted data transmission process.
  • the method for transmitting the encrypted data stream shown in FIG. 6B can be applied to the UE and the OTT server.
  • the process of transmitting or transmitting an encrypted data stream the method may include:
  • S61 The UE sends a valid time message to the core network device by using the NAS message.
  • the valid time information is used to indicate an effective duration of the encrypted data stream identification by indicating an association relationship between the feature information of the data packet and the application identifier.
  • the method may further include: S62: in the encrypted data stream transmission process, the core network device sets the data flow filter based on the association relationship;
  • the data flow filter can be regarded as a specific embodiment of the association relationship. Therefore, the life cycle of the association relationship is the same as the life cycle of the data flow filter.
  • the life cycle of the association relationship is the same as the life cycle of the data flow filter.
  • the life cycle of the association relationship may be determined by the indication of the UE in addition to the effective duration described above. Therefore, optionally, as shown in the dotted line frame in FIG. 6B,
  • the core network device releases the data stream filter based on the release indication message.
  • the core network device releases the data flow filter based on the release indication message sent by the UE, it is not necessary to consider the limitation of the effective duration; and, in another specific implementation process, even if the effective duration ends, the encryption is performed. In the case that the data stream transmission has not been terminated, the core network device also does not release the data stream filter until the encrypted data stream is transmitted.
  • the embodiment of the present invention provides a method for transmitting an encrypted data stream applied to a core network device, where the method includes:
  • the valid time message sent by the user equipment UE is received, where the valid time information is used to indicate the effective duration of the encrypted data stream identification by the association relationship.
  • the association relationship is released based on the release indication message.
  • the method further includes:
  • the encrypted data stream transmission is continued with the UE, and the association relationship is released after the encrypted data stream is transmitted.
  • the embodiment of the present invention further provides a method for transmitting an encrypted data stream applied to a UE, where the method is applied to a user equipment UE, and the method includes:
  • FIG. 7A shows a composition of a core network device 70 according to an embodiment of the present invention, which may include: a first receiving portion 701, an authentication portion 702, and an establishing portion 703; among them,
  • the first receiving part 701 is configured to receive a data packet that is sent by the user equipment UE and that carries the authentication data, where the authentication data includes a first authentication parameter, a first authentication result, and an application identifier.
  • the authentication part 702 is configured to obtain a second authentication result according to the set authentication algorithm based on the first authentication parameter and the second authentication parameter, where the second authentication parameter is pre-stored
  • the application identifier corresponds to an authentication parameter
  • the establishing part 703 is configured to establish an association relationship between the feature information of the data packet and the application identifier when the second authentication result is consistent with the first authentication result;
  • the association relationship is used to identify the encrypted data stream corresponding to the application identifier sent by the UE.
  • the first receiving part 701 is configured to receive a first TLS handshake request sent by the UE in a TLS handshake process established by an application layer session, where the authentication data is carried in The plaintext field in the first TLS handshake request.
  • the first receiving part 701 is configured to: after completing the TLS handshake, the user plane of the core network device receives an authentication request sent by the UE by using the base station; The authentication data is carried in the GTP-U extension field in the authentication request.
  • the first receiving part 701 can be the user plane of the core network device 70, and correspondingly, the authentication part is the control plane of the core network device 70, and the establishing part is the core network device 70. User face.
  • the first receiving part 701 is configured to: after completing the TLS handshake, the control plane of the core network device receives the non-access stratum session management NAS-SM message sent by the UE;
  • the extension field of the NAS-SM message includes: a first authentication parameter, a first authentication result, an application identifier, and feature information of the NAS-SM message; wherein the first authentication parameter includes: The random number and the public key Ka; the feature information of the NAS-SM message includes an IP address, a port number, a protocol type, and a MAC address of the OTT server of the OTT server.
  • the authenticating portion 702 is configured to obtain a second according to the set authentication algorithm according to the random number in the first authentication parameter and the public key in the second authentication parameter. The result of the authentication.
  • the establishing part 703 is configured to:
  • the feature information of the data packet is generated according to the feature information of the OTT server and the feature information of the UE, and the generating is established.
  • the association between the feature information of the data packet and the application identifier includes an IP address, a port number, a protocol type, and a MAC address of the OTT server of the OTT server.
  • the feature information of the UE includes: an IP address, a port, and a MAC address of the UE.
  • the first receiving part 701 and the authentication part 702 can be the control plane of the core network device 70, and correspondingly, the establishing part 703 is the user plane of the core network device 70.
  • the core network device 70 further includes a first sending portion 704 configured to send a comparison result of the second authentication result and the first authentication result.
  • a first sending portion 704 configured to send a comparison result of the second authentication result and the first authentication result.
  • the first transmitting portion 704 is a control plane of the core network device 70.
  • the first receiving part 701 is further configured to receive valid time information sent by the UE, where the valid time information is used to indicate an effective duration of the association relationship for performing encrypted data stream identification.
  • the core network device 70 further includes a control portion 705 configured to release the association relationship if the encrypted data stream transmission is not completed after the valid duration is timed.
  • the first receiving part 701 is further configured to receive a release indication message sent by the UE after the encrypted data stream is transmitted;
  • the control portion 705 is further configured to release the association relationship based on the release indication message.
  • the “part” may be a partial circuit, a partial processor, a partial program or software, etc., of course, may be a unit, or may be modular or non-modular.
  • each component in this embodiment may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a software function module.
  • the integrated unit may be stored in a computer readable storage medium if it is implemented in the form of a software function module and is not sold or used as a stand-alone product.
  • the technical solution of the embodiment is essentially Said that the part contributing to the prior art or all or part of the technical solution can be embodied in the form of a software product stored in a storage medium, comprising a plurality of instructions for making a computer device (may It is a personal computer, a server, or a network device, etc. or a processor that performs all or part of the steps of the method described in this embodiment.
  • the foregoing storage medium includes: a U disk, a mobile hard disk, a read only memory (ROM), a random access memory (RAM), a magnetic disk, or an optical disk, and the like, which can store program codes.
  • the embodiment provides a computer readable medium storing an identification program of an encrypted data stream, and the identification program of the encrypted data stream is executed by at least one processor to implement the foregoing embodiment 1.
  • the steps of the method are described in detail below.
  • a specific hardware structure of the core network device 70 may be included, which may include: a first network interface 801, a first memory 802, and a first A processor 803; the various components are coupled together by a bus system 804.
  • bus system 804 is used to implement connection communication between these components.
  • Bus system 804 includes, in addition to the data bus, a power bus, a control bus, and a status signal bus.
  • various buses are labeled as bus system 804 in FIG.
  • the first network interface 801 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a first memory 802 configured to store a computer program capable of running on the first processor 803;
  • the first processor 803 is configured to: when the computer program is executed, execute:
  • the first memory 802 in the embodiments of the present invention may be a volatile memory or a non-volatile memory, or may include both volatile and non-volatile memory.
  • the non-volatile memory may be a read-only memory (ROM), a programmable read only memory (PROM), an erasable programmable read only memory (Erasable PROM, EPROM), or an electric Erase programmable read only memory (EEPROM) or flash memory.
  • the volatile memory can be a Random Access Memory (RAM) that acts as an external cache.
  • RAM Random Access Memory
  • many forms of RAM are available, such as static random access memory (SRAM), dynamic random access memory (DRAM), synchronous dynamic random access memory (Synchronous DRAM).
  • the first memory 802 of the systems and methods described herein is intended to comprise, without being limited to, these and any other suitable types of memory.
  • the first processor 803 may be an integrated circuit chip with signal processing capability. In the implementation process, each step of the foregoing method may be completed by an integrated logic circuit of hardware in the first processor 803 or an instruction in a form of software.
  • the first processor 803 may be a general-purpose processor, a digital signal processor (DSP), an application specific integrated circuit (ASIC), or a field programmable gate array (FPGA). Or other programmable logic devices, discrete gates or transistor logic devices, discrete hardware components.
  • DSP digital signal processor
  • ASIC application specific integrated circuit
  • FPGA field programmable gate array
  • the methods, steps, and logical block diagrams disclosed in the embodiments of the present invention may be implemented or carried out.
  • the general purpose processor may be a microprocessor or the processor or any conventional processor or the like.
  • the steps of the method disclosed in the embodiments of the present invention may be directly implemented by the hardware decoding processor, or may be performed by a combination of hardware and software modules in the decoding processor.
  • the software module can be located in a conventional storage medium such as random access memory, flash memory, read only memory, programmable read only memory or electrically erasable programmable memory, registers, and the like.
  • the storage medium is located in the first memory 802, and the first processor 803 reads the information in the first memory 802 and completes the steps of the above method in combination with the hardware thereof.
  • the embodiments described herein can be implemented in hardware, software, firmware, middleware, microcode, or a combination thereof.
  • the processing unit can be implemented in one or more Application Specific Integrated Circuits (ASICs), Digital Signal Processing (DSP), Digital Signal Processing Equipment (DSP Device, DSPD), programmable Programmable Logic Device (PLD), Field-Programmable Gate Array (FPGA), general purpose processor, controller, microcontroller, microprocessor, other for performing the functions described herein In an electronic unit or a combination thereof.
  • ASICs Application Specific Integrated Circuits
  • DSP Digital Signal Processing
  • DSP Device Digital Signal Processing Equipment
  • PLD programmable Programmable Logic Device
  • FPGA Field-Programmable Gate Array
  • the techniques described herein can be implemented by modules (eg, procedures, functions, and so on) that perform the functions described herein.
  • the software code can be stored in memory and executed by the processor.
  • the memory can be implemented in the processor or external to the processor.
  • a component of a user equipment 90 which may include: a second sending part 901 configured to send data carrying authentication data.
  • a packet wherein the authentication data is used by the core network device for authentication, and the authentication data includes: a first authentication parameter, a first authentication result, and an application identifier.
  • the second sending part 901 is configured to: in the TLS handshake process established by the application layer session, the authentication data is carried in the plaintext field in the first TLS handshake request;
  • the second sending part 901 is configured to: after completing the TLS handshake, send an authentication request that carries the authentication data in the extended PDCP field to the base station, and use the base station to extend the PDCP field. After the authentication data is converted into a GTP-U extension field, the authentication request is further sent to the core network device user plane.
  • the second sending part 901 is configured to: after completing the TLS handshake, send a non-access stratum session management NAS-SM message to a control plane of the core network device; where the NAS-SM message is
  • the extension field includes: a first authentication parameter, a first authentication result, an application identifier, and feature information of the NAS-SM message; wherein the first authentication parameter includes: a random number and a public key Ka;
  • the feature information of the NAS-SM message includes the IP address, port number, protocol type, and MAC address of the OTT server of the OTT server.
  • the UE 90 further includes a second receiving part 902 configured to receive an authentication result of a control plane reply of the core network device.
  • the second sending part 901 is further configured to send a valid time message to the core network device, where the valid time information is used to indicate an association between the feature information of the data packet and the application identifier.
  • the effective duration of the encrypted data stream identification is further configured to send a valid time message to the core network device, where the valid time information is used to indicate an association between the feature information of the data packet and the application identifier.
  • the second sending part 901 is further configured to send a release indication message to the core network device, where the release indication message is used to release the association relationship.
  • the embodiment further provides a computer readable medium storing an identification program of the encrypted data stream, where the identification program of the encrypted data stream is executed by at least one processor to implement the second embodiment
  • the identification program of the encrypted data stream is executed by at least one processor to implement the second embodiment
  • FIG. 11 shows a specific hardware structure of the UE 90 according to an embodiment of the present invention, which may include: a second network interface 1101, a second memory 1102, and a second process. 1103; the various components are coupled together by a bus system 1104.
  • the bus system 1104 is used to implement connection communication between these components.
  • the bus system 1104 includes a power bus, a control bus, and a status signal bus in addition to the data bus.
  • various buses are labeled as bus system 1104 in FIG. among them,
  • the second network interface 1101 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a second memory 1102 configured to store a computer program executable on the second processor 1103;
  • the second processor 1103 is configured to: when the computer program is executed, perform:
  • the second processor 1103 in the UE 90 is further configured to perform the method steps described in the foregoing Embodiment 2 when the computer program is executed, and details are not described herein.
  • another core network device 120 including: a message receiving portion 1201, a first transmitting portion 1202, and a control portion 1203;
  • the message receiving portion 1201 is configured to receive a valid time message sent by the user equipment UE after establishing an association relationship between the feature information of the data packet and the application identifier, where the valid time information is used to indicate the association The effective duration of the relationship for identifying the encrypted data stream;
  • the first transmitting part 1202 is configured to perform encrypted data stream transmission with the UE based on the association relationship within the valid duration
  • the message receiving part 1201 is further configured to: after the end of the transmission of the encrypted data stream, receive a release indication message sent by the UE;
  • the control part 1203 is configured to release the association relationship based on the release indication message.
  • control part 1203 is further configured to release the association relationship after the valid duration is finished.
  • the encrypted data stream transmission is continued with the UE, and the first receiving part receives the release indication message after the end of the encrypted data stream transmission, and is released according to the release indication message.
  • the association relationship After the valid duration is timed, the encrypted data stream transmission is continued with the UE, and the first receiving part receives the release indication message after the end of the encrypted data stream transmission, and is released according to the release indication message.
  • the embodiment further provides a computer readable medium storing a transmission program of the encrypted data stream, where the transmission program of the encrypted data stream is executed by at least one processor to implement the foregoing third embodiment
  • the steps of the method described in the specific example four For a detailed description of the computer readable medium, refer to the description in the fourth embodiment, and details are not described herein again.
  • FIG. 13 shows a specific hardware structure of the core network device 120 according to the embodiment of the present invention, which may include: a third network interface 1301 and a third memory 1302. And a third processor 1303; the various components are coupled together by a bus system 1304.
  • the bus system 1304 is used to implement connection communication between these components.
  • the bus system 1304 includes a power bus, a control bus, and a status signal bus in addition to the data bus.
  • various buses are labeled as bus system 1304 in FIG. among them,
  • the third network interface 1301 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • the third processor 1303 is configured to: when the computer program is executed, execute:
  • the valid time message sent by the user equipment UE is received, where the valid time information is used to indicate the effective duration of the encrypted data stream identification by the association relationship.
  • the association relationship is released based on the release indication message.
  • the third processor 1303 in the core network device 120 is further configured to perform the method steps described in the specific example 4 in the foregoing Embodiment 3 when the computer program is executed, and details are not described herein.
  • composition of another UE 140 including: a message sending part 1401 and a second transmitting part 1402, wherein the message sending part 1401, configured to send a valid time message to the core network device, where the valid time information is used to indicate an effective relationship between the relationship between the feature information of the data packet and the application identifier for identifying the encrypted data stream;
  • the second transmitting part 1402 is configured to perform encrypted data stream transmission with the core network device based on the association relationship within the valid duration;
  • the message sending part 1401 is further configured to send a release indication message to the core network device, where the release indication message is used to release the association relationship.
  • the embodiment further provides a computer readable medium storing a transmission program of the encrypted data stream, where the transmission program of the encrypted data stream is executed by at least one processor to implement the foregoing third embodiment
  • the steps of the method described in the specific example four For a detailed description of the computer readable medium, refer to the description in the fourth embodiment, and details are not described herein again.
  • FIG. 15 shows a specific hardware structure of the UE 140 according to an embodiment of the present invention, which may include: a fourth network interface 1501, a fourth memory 1502, and a fourth processor. 1503; the various components are coupled together by a bus system 1504.
  • bus system 1504 is used to implement connection communication between these components.
  • the bus system 1504 includes a power bus, a control bus, and a status signal bus in addition to the data bus.
  • various buses are labeled as bus system 1304 in FIG. among them,
  • the fourth network interface 1501 is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a fourth memory 1502 configured to store a computer program executable on the fourth processor 1503;
  • the fourth processor 1503 is configured to: when the computer program is executed, execute:
  • FIG. 16A a method for identifying an encrypted data stream according to an embodiment of the present invention is shown.
  • the method may be applied to a core network device, and the core network device needs to be described.
  • the control plane may be included, such as a session management function SMF, and a user plane, such as a user plane function UPF; the method includes:
  • S1601A Receive service description information sent by the user equipment UE.
  • the service description information includes application identifiers and/or data flow description information.
  • the data flow description information includes at least one of the following: an IP source address, an IP source port number, an IP destination address, an IP destination port number, and a MAC source. Address, MAC source port number, MAC destination address, MAC destination port number, protocol type, and VLAN tag;
  • the data flow description information may include not only the layer 3 feature, but also the association relationship between the layer 2 feature and the application identifier, it can be known that when the UE transmits through the non-IP data packet, the UE application can still be used.
  • the encrypted data stream of the program is identified.
  • S1602 The encrypted data stream transmitted by the UE is identified according to an association relationship between the feature information of the established data packet and the application identifier.
  • the receiving service description information sent by the user equipment UE includes:
  • the control plane of the core network device receives the control plane non-access stratum NAS message that is sent by the UE and includes the service description information.
  • the receiving the service description information sent by the user equipment UE includes: receiving, by the user plane of the core network device, a user that includes the service description information Surface packet.
  • the PDCP header and/or the GTP-U header of the user plane data packet includes the service description information; or the IPV4 or IPV6 header of the user plane data packet includes the service description information.
  • the service header information is included in a header of the user plane data packet for tunnel encapsulation.
  • the method further Including: determining that the business description information is trusted.
  • the determining the service description information is trusted, including:
  • the authentication information sent by the UE includes an authentication parameter and a first authentication result; obtaining a second authentication result according to the authentication parameter; when the first authentication result is When the second authentication result is the same, the service description information is determined to be trusted.
  • the authentication parameter in the authentication information may include the random number and the public key Ka described in the foregoing embodiment; or may include a random number, a public key Ka, and an application identifier Application ID.
  • Ka is an optional authentication parameter, and Ka may also be searched by the core network device in the core network database by using the application identifier, and the correspondence between the application identifier and the Ka in the core network database may be The three-party server is pre-configured into the database.
  • the service description information sent by the UE may be trusted.
  • the trusted state may be applicable to the NAS message subsequently sent by the UE.
  • the core network device can consider that the service description message included in all NAS messages sent by the UE is in a trusted state;
  • the right parameter includes the application identifier Application ID.
  • the core network device can consider that the service description information corresponding to the application identifier Application ID included in the NAS message sent by the UE is in a trusted state.
  • the UE may send the authentication information and the service description information in the same NAS message or user plane data packet to the core network device, so that the core network device can receive the At the same time as the service description information, the authentication information can also be received.
  • the service description information sent by the UE may be trusted by other authentication methods in addition to the authentication mode in this embodiment, which is not described in this embodiment.
  • the encrypted data stream transmitted by the UE is identified according to the association relationship between the feature information of the established data packet and the application identifier, including: a core network.
  • the control plane of the device interacts with the user plane of the core network device according to the service description information to establish a filter filter for detecting an encrypted data stream of the UE.
  • the control plane of the core network device may send the authentication result to the user plane of the core network device, so that the user plane can Establishing an association relationship between the application identifier and the packet characteristic information, and establishing a filter filter for detecting the encrypted data stream of the UE based on the association relationship.
  • the core network device can no longer authenticate the data sent by the UE, and directly use the filter to identify the encrypted data stream.
  • the authentication of the data sent by the UE may have a corresponding life cycle.
  • the valid time message described in the foregoing embodiment may be referred to, which is not described in this embodiment.
  • the method for identifying an encrypted data stream applied to a UE may include:
  • S1601B Send service description information to the core network device.
  • the service description information includes application identifiers and/or data flow description information.
  • the data flow description information includes at least one of the following: an IP source address, an IP source port number, an IP destination address, an IP destination port number, and a MAC source. Address, MAC source port number, MAC destination address, MAC destination port number, protocol type, and VLAN tag.
  • the sending the service description information to the core network device includes:
  • the service description information is carried on the control plane non-access stratum NAS message and sent to the core network device.
  • the sending the service description information to the core network device includes:
  • the service description information is carried in a user plane data packet, including:
  • the method further includes: sending authentication information to the core network device, where the authentication information includes an authentication parameter and a first The result of the right.
  • the UE can send the authentication information and the service description information to the core network device in the same NAS message or user plane data packet, so that the core network device can also receive the service description information. Received authentication information.
  • the core network device may perform authentication according to the description in the technical solution shown in FIG. 16A, and determine that the service description information sent by the UE is trusted after the authentication succeeds.
  • FIG. 17A a composition of still another core network device 170 according to an embodiment of the present invention is shown, including an information receiving portion 1701A and an identifying portion 1702A;
  • the information receiving part 1701A is configured to receive service description information sent by the user equipment UE, where the service description information includes application identifier and/or data flow description information; and the data flow description information includes at least one of the following: IP Source address, IP source port number, IP destination address, IP destination port number, MAC source address, MAC source port number, MAC destination address, MAC destination port number, protocol type, and VLAN tag.
  • the identifying part 1702A is configured to identify an encrypted data stream transmitted by the UE according to an association relationship between the feature information of the established data packet and the application identifier.
  • the information receiving portion 1701A is configured to:
  • the control plane of the core network device receives the control plane non-access stratum NAS message that is sent by the UE and includes the service description information.
  • the information receiving portion 1701A is configured to:
  • the user plane of the core network device receives a user plane data packet containing service description information.
  • the service description information is included in the PDCP header and/or the GTP-U header of the user plane data packet; or the service description information is included in the IPV4 or IPV6 header of the user plane data packet; or
  • the packet description for tunnel encapsulation of the user plane data packet includes the service description information.
  • the core network device 170 may further include a determining part 1703A configured to: determine whether the service description information is trusted, and trigger the determining after determining that the service description information is trusted The portion 1702A is identified.
  • the determining part 1703A is configured to:
  • the identification portion 1702A is configured to:
  • the control plane of the core network device After determining that the service description information is trusted, the control plane of the core network device interacts with the user plane of the core network device according to the service description information to establish a filter for detecting an encrypted data flow of the UE. Filter.
  • the embodiment further provides a computer readable medium storing an identification program of an encrypted data stream, the identification program of the encrypted data stream being executed by at least one processor to implement the above-described FIG. 16A The steps of the method.
  • a computer readable medium storing an identification program of an encrypted data stream, the identification program of the encrypted data stream being executed by at least one processor to implement the above-described FIG. 16A The steps of the method.
  • the specific hardware structure of the core network device 170 may include: a fifth network interface 1701B, a fifth memory 1702B, and a first Five processors 1703B; the various components are coupled together by a bus system 1104. It will be appreciated that bus system 1704B is used to implement connection communication between these components. Bus system 1704B includes, in addition to the data bus, a power bus, a control bus, and a status signal bus. However, for clarity of description, various buses are labeled as bus system 1704B in FIG. 17B. among them,
  • the fifth network interface 1701B is configured to receive and send signals during the process of transmitting and receiving information with other external network elements.
  • a fifth memory 1702B for storing a computer program executable on the fifth processor 1703B;
  • the fifth processor 1703B is configured to perform the steps of the method described above with respect to FIG. 16A when the computer program is run.
  • a composition of a UE 180 including: an information sending part 1801A, configured to send service description information to a core network device;
  • the service description information includes an application identifier and/or data flow description information.
  • the data flow description information includes at least one of the following: an IP source address, an IP source port number, an IP destination address, an IP destination port number, a MAC source address, and a MAC address. Source port number, MAC destination address, MAC destination port number, protocol type, and VLAN tag.
  • the information sending part 1801A is configured to: send the service description information to the control plane non-access stratum NAS message to the core network device.
  • the information sending part 1801A is configured to: carry the service description information on the user plane data packet; and send the user plane data packet carrying the service description information to the core network device.
  • the information sending part 1801A is configured to: add the service description information in a PDCP header and/or a GTP-U header of the user plane data packet; or, in the user plane data packet
  • the service description information is added to the IPV4 or IPV6 header; or the service description information is added to the header of the user plane data packet for tunnel encapsulation.
  • the information sending part 1801A is further configured to: send the authentication information to the core network device, where the authentication information includes an authentication parameter and a first authentication result.
  • the embodiment further provides a computer readable medium storing an identification program of an encrypted data stream, the identification program of the encrypted data stream being executed by at least one processor to implement the above-described FIG. 16B The steps of the method.
  • a computer readable medium storing an identification program of an encrypted data stream, the identification program of the encrypted data stream being executed by at least one processor to implement the above-described FIG. 16B The steps of the method.
  • FIG. 18B the specific hardware structure of the UE 180 according to the embodiment of the present invention is shown, which may include: a sixth network interface 1801B, a sixth memory 1802B, and a sixth processor 1803B; The components are coupled together by a bus system 1804B. It will be appreciated that bus system 1804B is used to implement connection communication between these components.
  • the bus system 1804B includes, in addition to the data bus, a power bus, a control bus, and a status signal bus. However, for clarity of description, various buses are labeled as bus system 1804B in FIG. 18B. among them,
  • the sixth network interface 1801B is configured to receive and send signals during the process of transmitting and receiving information with other external network elements;
  • a sixth memory 1802B for storing a computer program executable on the sixth processor 1803B;
  • the sixth processor 1803B is configured to perform the steps of the method described above with respect to FIG. 16B when the computer program is run.
  • FIG. 19 illustrates an encryption traffic identification system 190 provided by an embodiment of the present invention, including a core network device 1901 and a user equipment 1902, where
  • the core network device 1901 is preferably the core network device described in any of the foregoing embodiments; and the user equipment 1902 may preferably be the user equipment described in any of the foregoing embodiments.
  • the core network device performs authentication with the UE during the TLS handshake process between the UE and the OTT server, or after the handshake is completed, thereby establishing an association relationship for identifying the encrypted data stream, so as to implement detection of the encrypted data stream.
  • statistics without relying on plaintext identification, and eliminating the need for complex IP address configuration and maintenance, improving security and reducing the computing resources required for configuration and maintenance.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例提供了一种加密数据流的识别方法、设备、可读存储介质及系统；该方法可以应用于核心网设备，所述方法包括：接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。

Description

一种加密数据流的识别方法、设备、存储介质及系统
相关申请的交叉引用
本申请基于国际申请号为PCT/CN2017/106349、国际申请日为2017年10月16日的PCT国际申请以及国际申请号PCT/CN2018/081774、国际申请日为2018年04月03日的PCT国际申请提出，并要求上述两件PCT国际申请的优先权，上述两件PCT国际申请的全部内容在此引入本申请作为参考。
技术领域
本发明实施例涉及网络安全技术领域，尤其涉及一种加密数据流的识别方法、设备、可读存储介质及系统。
背景技术
超文本传输协议(HTTP，HyperText Transfer Protocol)2.0版本出现之后，所有的HTTP层及HTTP层以上的应用层数据流均能够通过安全传输层协议(TLS，Transport Layer Security Protocol)协议进行加密，而运营商所提供的网络设备无法对加密数据流进行识别。
针对该问题，目前通常采用TLS层的某些明文标识在TLS协议的握手过程中对应用的加密数据流进行识别。但是，由于明文标识容易被破解，具有不安全的隐患，并且后续的TLS协议中不再支持明文标识。基于此，当前相关技术中并没有提出不依赖于明文标识对加密数据流进行识别的方案和机制。
发明内容
为解决上述技术问题，本发明实施例期望提供一种加密数据流的识别方法、设备、可读存储介质及系统；能够不依赖于明文标识就可以对加密数据流进行识别，提升了识别的安全性。
本发明实施例的技术方案可以如下实现：
第一方面，本发明实施例提供了一种加密数据流的识别方法，所述方法应用于核心网设备，所述方法包括：
接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
第二方面，本发明实施例提供了一种加密数据流的识别方法，所述方法应用于用户设备UE，所述方法包括：
发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
第三方面，本发明实施例提供了一种核心网设备，包括：第一接收部分、鉴权部分和建立部分；其中，
所述第一接收部分，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
所述鉴权部分，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
所述建立部分，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
第四方面，本发明实施例提供了一种用户设备UE，其中，所述UE包括：第二发送部分，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
第五方面，本发明实施例提供了一种核心网设备，其中，第一网络接口，第一存储器和第一处理器；其中，
所述第一网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
所述第一存储器，用于存储能够在所述第一处理器上运行的计算机程序；
所述第一处理器，用于在运行所述计算机程序时，执行第一方面中所述方法的步骤。
第六方面，本发明实施例提供了一种用户设备UE，其中，所述UE包括：第二网络接口、第二存储器和第二处理器；
其中，所述第二网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
所述第二存储器，用于存储能够在第二处理器上运行的计算机程序；
所述第二处理器，用于在运行所述计算机程序时，执行第二方面所述方法的步骤。
第七方面，本发明实施例提供了一种计算机可读介质，所述计算机可读介质存储有接入链路的管理程序，所述接入链路的管理程序被至少一个处理器执行时实现第一方面或第二方面所述的方法的步骤。
第八方面，本发明实施例提供了一种加密流量的识别系统，包括核心网设备以及用户设备，其中，
所述用户设备，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识；
所述核心网设备，配置为接收用户设备UE发送的承载有鉴权数据的数据包；
基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
本发明实施例提供了一种加密数据流的识别方法、设备、可读存储介质及系统；核心网设备在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
附图说明
图1为本发明实施例提供的一种加密数据流的识别方法流程示意图；
图2为本发明实施例提供的另一种加密数据流的识别方法流程示意图；
图3为本发明实施例提供的一种网络架构示意图；
图4为本发明实施例提供的一种加密数据流的识别方法的具体示例流程示意图；
图5为本发明实施例提供的另一种加密数据流的识别方法的具体示例流程示意图；
图6A为本发明实施例提供的又一种加密数据流的识别方法的具体示例流程示意图；
图6B为本发明实施例提供的再一种加密数据流的识别方法的具体示例流程示意图；
图7A为本发明实施例提供的一种核心网设备的组成示意图；
图7B为本发明实施例提供的另一种核心网设备的组成示意图；
图7C为本发明实施例提供的又一种核心网设备的组成示意图；
图8为本发明实施例提供的一种核心网设备的具体硬件结构示意图；
图9为本发明实施例提供的一种用户设备的组成示意图；
图10为本发明实施例提供的另一种用户设备的组成示意图；
图11为本发明实施例提供的一种用户设备的具体硬件结构示意图；
图12为本发明实施例提供的另一种核心网设备的组成示意图；
图13为本发明实施例提供的另一种核心网设备的具体硬件结构示意图；
图14为本发明实施例提供的另一种UE的组成示意图；
图15为本发明实施例提供的另一种UE的具体硬件结构示意图；
图16A为本发明实施例提供的再一种加密数据流的识别方法示意图；
图16B为本发明实施例提供的再一种加密数据流的识别方法示意图；
图17A为本发明实施例提供的再一种核心网设备的组成示意图；
图17B为本发明实施例提供的再一种用户设备的组成示意图；
图18A为本发明实施例提供的再一种核心网设备的硬件结构示意图；
图18B为本发明实施例提供的再一种用户设备的硬件结构示意图；
图19为本发明实施例提供的一种加密流量的识别系统组成示意图。
具体实施方式
为了能够更加详尽地了解本发明实施例的特点与技术内容，下面结合附图对本发明实施例的实现进行详细阐述，所附附图仅供参考说明之用，并非用来限定本发明实施例。
目前，在第三代合作伙伴计划(3GPP，3rd Generation Partnership Project)的业务和系统方面工作组2(SA2，Service and System Aspects Working Group)中定义了应用级别数据，用于对应用的流量进行识别。基于此，第三方OTT(Over The Top)服务商可以主动向运营商网络发起针对应用流量的识别规则进行安装或更新或删除的操作，从而使运营商网络具备识别业务的能力。但是，仍然没有针对业务的加密数据流进行识别的相关机制
基于上述内容，提出以下实施例。
实施例一
参见图1，其示出了本发明实施例提供的一种加密数据流的识别方法，该方法可以应用于核心网设备中，可以理解地，本实施例所述的核心网设备，包括用户面和控制面两个部分；因此，本实施例所述的核心网设备既可以是包括用户面和控制面两个部分的单一实体设备，也可以是由用户面和控制面两个实体形成的核心网中的逻辑网元设备，本实施例对此不做具体限定，图1所示的方法可以包括：
S101：接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
S102：基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；
其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；可以理解地，第二鉴权参数可以由OTT服务器生成，并预先配置在核心网设备中；而第一鉴权参数也可以由OTT服务器生成，预先配置在UE中；而设定的鉴权算法可以静态地预先配置在UE和核心网设备中。
S103：当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；
其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。并且，所述数据包的特征信息可以包括以下至少一项或多项：网络协议IP源地址、IP源端口号、IP目的地址、IP目的端口号、媒体接入控制(MAC，Media Access Control)源地址、IP源端口号、MAC目的地址、MAC目的端口号、协议类型以及虚拟局域网(VLAN，Virtual Local Area Network)标签。
通过图1所示的技术方案，核心网设备能够通过上述关联关系针对应用标识所表示的应用程序的加密数据流进行识别，从而进一步地实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
可以理解地，基于所述数据包的特征信息可能包含层3特征，即IP源地址、IP源端口号、IP目的地址、IP目的端口号、IP源端口号；也可能包含层2特征，即媒体接入控制(MAC，Media Access Control)源地址、MAC目的地址、MAC目的端口号、协议类型以及虚拟局域网(VLAN，Virtual Local Area Network)标签；上述关联关系不仅是数据包层3特征与应用标识之间的关联关系，而且也可以是层2特征与应用标识之间的关联关系，由此可知，当数据包通过非IP数据包传输时，仍然可以通过该关联关系针对应用标识所表示的应用程序的加密数据流进行识别。
对于图1所示的技术方案，在第一种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器建立TLS握手过程中进行实施，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
在应用层会话建立的TLS握手过程中，所述核心网设备的用户面接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
具体来说，对于上述实现方式，UE可以在首次TLS握手请求中新增加一个明文字段，并将鉴权数据加入该新增的明文字段。
相应于上述实现方式，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
所述核心网设备的用户面从所述首次TLS握手请求中的明文字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
需要说明的是，核心网设备的控制面在获取到所述鉴权数据后，就能够按照鉴权数据来执行图1所示方案中的S102，并且将所述第二鉴权结果与所述第一鉴权结果进行比对后向核心网设备用户面发送比对结果，从而核心网设备用户面根据比对结果确定是否执行S103，可以理解地，当所述第二鉴权结果与所述第一鉴权结果比对不一致时，则忽略该比对结果。
对于图1所示的技术方案，在第二种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包， 包括：在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
具体来说，对于上述实现方式，鉴权请求是在完成了应用层TLS握手后，由UE主动发起的。UE可以将鉴权数据承载于扩展的PDCP字段中发送给基站侧，而基站侧则可以将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段，继续发送给核心网设备用户面。
相应于上述实现方式，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
所述核心网设备的用户面从鉴权请求中的GTP-U扩展字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
同理于上述实现方式，需要说明的是，核心网设备的控制面在获取到所述鉴权数据后，就能够按照鉴权数据来执行图1所示方案中的S102，并且将所述第二鉴权结果与所述第一鉴权结果进行比对后向核心网设备用户面发送比对结果，从而核心网设备用户面根据比对结果确定是否执行S103，可以理解地，当所述第二鉴权结果与所述第一鉴权结果比对不一致时，则忽略该比对结果。
针对上述两种实现方式，优选地，所述第一鉴权参数包括随机数，所述第二鉴权参数包括公共密钥Ka；或者，所述第一鉴权参数包括公共密钥Ka，所述第二鉴权参数包括随机数。
对于随机数，需要说明的是，该随机数可以是基于预设的随机数生成策略所生成的随机数；除此之外，该随机数还可以是随着当前时间和/或UE当前所在地点相应变更的数，从而实现每个随机数之间都是不同的。举例来说，通常UE当前所在的地点与UE的IP地址之间具有相关性，不同UE之间，其IP地址也相应不同。因此，随机数可以由当前时间戳与UE的IP地址组成得到，从而能够实现当UE、时间以及地点中至少一项不同时，其对应的随机数也是不同。也就实现了每个随机数之间都是不同的效果。
可以理解地，在本发明实施例中，后续关于随机数的具体生成过程可以按照上述说明实现，不再赘述。
针对上述两种实现方式，优选地，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
所述核心网设备的控制面基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果。
针对上述两种实现方式，优选地，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系，包括：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面将比对结果传输至所述核心网用户面；
所述核心网设备的用户面建立所述数据包的特征信息与所述应用标识之间的关联关系。
对于图1所示的技术方案，在第三种可能的实现方式中，图1所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，但与第二种实现方式不同的地方在于，鉴权请求由UE直接向核心网设备的控制面发送，因此，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；
其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括至少一项或多项：OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。需要说明的是，Ka为可选的鉴权参数，Ka也可以由核心网设备通过应用标识在核心网数据库中查找，所述核心网数据库中的应用标识与Ka的对应关系可以由第三方服务器预先配置到该数据库中。
相应于上述实现方式，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
所述核心网设备的控制面根据所述第一鉴权参数中的随机数以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
相应于上述实现方式，当第二鉴权结果与第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系，包括：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面根据所述OTT服务器的特征信息以及所述UE的特征信息生成所述数据包的特征信息，并将生成的所述数据包的特征信息和所述应用标识传输至所述核心网设备的用户面；具体来说，OTT服务器的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址；UE的特征信息包括：UE的IP地址、端口和MAC地址。
所述核心网设备的用户面建立所述生成的所述数据包的特征信息和所述应用标识之间的关联关系。
对于图1所示的技术方案，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果后，所述方法还包括：
所述核心网设备的控制面通过所述核心网设备的用户面将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
可以理解地，UE在接收到比对结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否继续进行与核心网设备之间的鉴权。
此外，对于图1所示的技术方案，数据包的特征信息与所述应用标识之间的关联关系建立完成之后，可以针对其设置生命周期，具体来说，图1所示的技术方案还可以包括：接收所述UE发送的有效时间信息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长。可以理解地，上述有效时长可以作为该关联关系的生命周期。因此，优选来说，所述方法还可以包括：当所述有效时长计时完毕后，若加密数据流传输未完成，释放所述关联关系。
另外，该关联关系还可以通过UE的指示进行释放，基于此，可以无需考虑生命周期即有效时长，优选来说，所述方法还包括：
在有效时长内或有效时长结束，接收所述UE发送的释放指示消息；
基于所述释放指示消息释放所述关联关系。
需要说明的是，上述有效时间消息以及释放指示消息均可以通过NAS消息进行发送。
本实施例提供了一种应用于核心网设备的加密数据流的识别方法，能够在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
实施例二
基于前述实施例相同的发明构思，参见图2，其示出了本发明实施例提供的一种加密数据流的识别方法，该方法可以应用于UE中，图2所示的方法可以包括：
S201：发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
可以理解地，当UE将鉴权数据发送至核心网设备之后，核心网设备就能够按照前述实施例的技术方案进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。
对于图2所示的技术方案，在第一种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器建立TLS握手过程中进行实施，因此，所述发送承载有鉴权数据的数据包，包括：
在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
对于图2所示的技术方案，在第二种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，因此，所述发送承载有鉴权数据的数据包，包括：
在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
对于图2所示的技术方案，在第三种可能的实现方式中，图2所示的技术方案可以在UE与OTT服务器之间完成TLS握手后进行实施，但与第二种实现方式不同的地方在于，鉴权请求由UE直接向核心网设备的控制面发送，因此，所述发送承载有鉴权数据的数据包，包括：
在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括所OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
此外，对于图2所示的技术方案，当核心网设备建立数据包的特征信息与应用标识之间的关联关系之后，还可以通过UE来确定该关联关系的生命周期，基于此，优选地，所述方法还包括：
向所述核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
优选地，所述方法还包括：向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
需要说明的是，上述有效时间消息以及释放指示消息均可以通过NAS消息进行发送。
对于图2所示的技术方案，当核心网设备鉴权完毕后，所述方法还包括：接收核心网设备的控制面回复的鉴权结果。可以理解地，UE在接收到比对结果之后，就能够获知核心网设备是否完成了关联关系的 建立，从而决定是否继续进行与核心网设备之间的鉴权。
实施例三
基于前述实施例相同的发明构思，本实施例通过以下具体示例对前述两个实施例的技术方案进行详细地阐述。
针对具体示例需要说明的是，具体示例引入了针对应用程序的参数组，举例来说，可以包括：公共秘钥Ka、随机数、令牌Token、应用标识Application ID。其中，Ka和随机数结合预先设定的鉴权算法来生成Token，若以鉴权算法为HASH算法为例，则可以得到Token＝HASH(Ka，随机数)；因此，公共秘钥Ka、随机数为鉴权参数，Token可以为鉴权结果，应用标识Application ID用来表示对应的应用程序。需要说明的是，Ka为可选的鉴权参数，Ka也可以由核心网设备通过应用标识在核心网数据库中查找，所述核心网数据库中的应用标识与Ka的对应关系可以由第三方服务器预先配置到该数据库中。
此外，还可以通过Ka(可选)、随机数以及应用标识结合预先设定的鉴权算法来生成鉴权结果Token，仍然以HASN算法为例，则可以得到鉴权结果Token＝HASH(Ka，随机数，应用标识)；此时，公共秘钥Ka(可选)、随机数以及应用标识为鉴权参数。
需要指出的是，Ka和随机数由OTT服务器生成，鉴权算法通过OTT服务器静态配置在核心网设备和UE上。本实施例的具体示例可以应用于如图3所示的非典型的网络架构中，在该网络架构中，UE通过基站接入核心网，或可以直接与核心网设备相连接，核心网设备中包括用户面和控制面两个部分，UE通过核心网设备连接数据网络(DN，Data Network)，实现与OTT服务器之间的信息交互。基于上述网络架构，提出以下具体示例。
具体示例一
参见图4，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程可以包括：
S40A：OTT服务器将鉴权算法预先配置在UE以及核心网设备中；
S40B：OTT服务器动态生成或更新Ka和随机数，并发往UE和核心网设备；
可以理解地，UE和核心网设备各自在接收到Ka和随机数后，可以按照S40A中配置的鉴权算法进行计算，分别得到各自的鉴权结果Token。
S401：UE在首次TLS握手请求中新增明文字段，并将自身的随机数和Token，以及应用标识作为鉴权数据加入到新增的明文字段中；
S402：UE将首次TLS握手请求发送至核心网设备的用户面；
S403：用户面在检测到首次TLS握手请求中包括UE发送的鉴权数据时，将鉴权数据透传给核心网设备的控制面；
S404：控制面根据自身的Ka以及UE的随机数按照配置的鉴权算法进行计算，并将计算结果与UE的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败。
S405：控制面将比较结果发送至用户面；
S406：若鉴权成功，用户面建立首次TLS握手请求的特征信息与所述应用标识之间的关联关系。
可以理解地，该关联关系能够使得核心网设备识别后续该应用标识对表示的应用程序的加密数据流，并根据识别结果对加密数据流的流量进行统计。
可选地，在本实施例中，如虚线箭头所示，S407：控制面将比较结果通过用户面发送至UE；从而使得UE在接收到比较结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否需要继续进行与核心网设备之间的鉴权。
具体示例二
参见图5，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程实施于UE与OTT服务器之间完成TLS握手后，该流程可以包括：
S50A：TLS握手完成后，HTTP内容全部加密；
S50B：OTT服务器将向UE发送应用标识，随机数和Ka；
可以理解地，OTT向UE发送上述信息时，运营商网络对此不可见。
S501：UE根据随机数与Ka按照预先设置的鉴权算法计算出Token，并将自身的随机数、Token以及应用标识作为鉴权数据承载于扩展的PDCP字段的鉴权请求。
S502：UE将鉴权请求发送至基站；
S503：基站将鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面；
S504：用户面在检测到鉴权请求中包括鉴权数据后，将鉴权数据透传至核心网设备的控制面；
S505：控制面根据自身的Ka以及UE的随机数按照配置的鉴权算法进行计算，并将计算结果与UE 的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败。
S506：控制面将比较结果发送至用户面；
S507：若鉴权成功，用户面建立鉴权请求的特征信息与所述应用标识之间的关联关系。
可以理解地，该关联关系能够使得核心网设备识别后续该应用标识对表示的应用程序的加密数据流，并根据识别结果对加密数据流的流量进行统计。
可选地，在本实施例中，如虚线箭头所示，S508：控制面将比较结果通过用户面发送至UE；从而使得UE在接收到比较结果之后，就能够获知核心网设备是否完成了关联关系的建立，从而决定是否需要继续进行与核心网设备之间的鉴权。
具体示例三
参见图6A，其示出了本发明实施例提供的一种加密数据流的识别方法的具体示例流程，该流程实施于UE与OTT服务器之间完成TLS握手后，该流程可以包括：
S60A：TLS握手完成后，HTTP内容全部加密；
S60B：OTT服务器将向UE发送应用标识，随机数和Ka；
可以理解地，OTT向UE发送上述信息时，运营商网络对此不可见。
S601：UE根据随机数与Ka按照预先设置的鉴权算法计算出Token，并将自身的随机数、Ka、Token、应用标识和OTT服务器的特征信息作为鉴权数据承载于NAS-SM消息的扩展字段中。
可以理解地，OTT服务器的IP三元组可以包括OTT服务器的IP地址、端口号和协议类型。
S602：UE向核心网设备的控制面发送NAS-SM消息，从而向控制面请求会话修改；
S603：控制面根据自身的自身的Ka以及UE的随机数按照配置的鉴权算法进行计算，并将计算结果与UE的Token进行比较；若两者一致，比较结果为鉴权成功；否则，比较结果为鉴权失败；
S604：若鉴权成功，控制面根据所述OTT服务器的特征信息以及所述UE的特征信息生成数据包的特征信息；
S605：控制面将生成的数据包的特征信息和所述应用标识传输至所述核心网设备的用户面；
S606：用户面建立生成的数据包的特征信息和所述应用标识之间的关联关系。
S607：用户面建立完成后，通知控制面更新完成。
S608：控制面通过NAS消息向UE回复比较结果。
具体示例四
基于前述具体示例完成关联关系建立之后，还可以在加密数据传输过程中为该关联关系建立生命周期，基于此，参见图6B所示的加密数据流的传输方法，可以应用于UE与OTT服务器之间即将或正在传输加密数据流的过程，该方法可以包括：
S61：UE通过NAS消息向核心网设备发送有效时间消息；
其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
可以理解地，上述有效时长表征了关联关系的生命周期，基于此，该方法还可以包括S62：在加密数据流传输过程中，核心网设备基于关联关系设置数据流过滤器；
在该步骤中，数据流过滤器可以认为是关联关系的具体体现，因此，关联关系的生命周期与数据流过滤器的生命周期相同，可选地，参见图6B中虚线框所示，
S63A：在有效时间消息所指示的有效时长结束后，释放数据流过滤器。
此外，关联关系的生命周期除了上述有效时长以外，还可以通过UE的指示进行确定，因此，可选地，参见图6B中点划线框所示，
S63B：加密数据流传输结束后，UE通过NAS消息向核心网设备释放指示消息；
S64B：核心网设备基于所述释放指示消息释放所述数据流过滤器。
可以理解地，当核心网设备基于UE发送的释放指示消息针对数据流过滤器进行释放时，可以无需考虑有效时长的限制；而且，在另一种具体实现过程中，即使有效时长结束，但是加密数据流传输还未终止的情况下，核心网设备同样不释放该数据流过滤器，直至加密数据流传输完毕才释放。
基于上述具体示例四，本发明实施例提供了一种应用于核心网设备的加密数据流的传输方法，所述方法包括：
在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
接收所述UE发送的释放指示消息；
基于所述释放指示消息释放所述关联关系。
在上述方案中，所述方法还包括：
在所述有效时长计时完毕后，释放所述关联关系；或者，
在所述有效时长计时完毕后，继续与所述UE进行加密数据流传输，直至所述加密数据流传输结束后释放所述关联关系。
此外，基于上述具体示例四，本发明实施例还提供了一种应用于UE的加密数据流的传输方法，所述方法应用于用户设备UE，所述方法包括：
向核心网设备发送有效时间消息；其中，有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
在所述有效时长内，基于关联关系与核心网设备进行加密数据流传输；
向核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
实施例四
基于前述实施例相同的发明构思，参见图7A，其示出了本发明实施例提供的一种核心网设备70的组成，可以包括：第一接收部分701、鉴权部分702和建立部分703；其中，
所述第一接收部分701，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
所述鉴权部分702，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
所述建立部分703，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
在一种可能的实现方式中，所述第一接收部分701，配置为在应用层会话建立的TLS握手过程中，接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
在一种可能的实现方式中，所述第一接收部分701，配置为：在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
可以理解地，在上述两个实现方式中，第一接收部分701可以为核心网设备70的用户面，相应地，鉴权部分为核心网设备70的控制面，建立部分为核心网设备70的用户面。
在一种可能的实现方式中，所述第一接收部分701，配置为在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
在上述实现方式中，所述鉴权部分702，配置为根据所述第一鉴权参数中的随机数以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
在上述实现方式中，所述建立部分703，配置为：
当所述第二鉴权结果与所述第一鉴权结果比对一致时，根据所述OTT服务器的特征信息以及所述UE的特征信息生成所述数据包的特征信息，并建立所述生成的数据包的特征信息和所述应用标识之间的关联关系。具体来说，OTT服务器的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址；UE的特征信息包括：UE的IP地址、端口和MAC地址。
可以理解地，在上述实现方式中，第一接收部分701和鉴权部分702可以为核心网设备70的控制面，相应地，建立部分703为核心网设备70的用户面。
在一种可能的实现方式中，参见图7B，所述核心网设备70还包括第一发送部分704，配置为将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。需要说明的是，第一发送部分704为核心网设备70的控制面。
在上述方案中，所述第一接收部分701，还配置为接收所述UE发送的有效时间信息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长。
在上述方案中，参见图7C，所述核心网设备70还包括控制部分705，配置为当所述有效时长计时完毕后，若加密数据流传输未完成，释放所述关联关系。
在上述方案中，所述第一接收部分701，还配置为加密数据流传输完毕后，接收所述UE发送的释放指示消息；
所述控制部分705，还配置为基于释放指示消息释放所述关联关系。
可以理解地，在本实施例中，“部分”可以是部分电路、部分处理器、部分程序或软件等等，当然也可以是单元，还可以是模块或非模块化的。
另外，在本实施例中的各组成部分可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。
所述集成的单元如果以软件功能模块的形式实现并非作为独立的产品进行销售或使用时，可以存储在一个计算机可读取存储介质中，基于这样的理解，本实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或processor(处理器)执行本实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
因此，本实施例提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现上述实施例一所述的方法的步骤。
基于上述核心网设备70以及计算机可读介质，参见图8，其示出了本发明实施例提供的核心网设备70的具体硬件结构，可以包括：第一网络接口801、第一存储器802和第一处理器803；各个组件通过总线系统804耦合在一起。可理解，总线系统804用于实现这些组件之间的连接通信。总线系统804除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图8中将各种总线都标为总线系统804。其中，第一网络接口801，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第一存储器802，用于存储能够在第一处理器803上运行的计算机程序；
第一处理器803，用于在运行所述计算机程序时，执行：
接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
可以理解，本发明实施例中的第一存储器802可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器(Read-Only Memory，ROM)、可编程只读存储器(Programmable ROM，PROM)、可擦除可编程只读存储器(Erasable PROM，EPROM)、电可擦除可编程只读存储器(Electrically EPROM，EEPROM)或闪存。易失性存储器可以是随机存取存储器(Random Access Memory，RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(Static RAM，SRAM)、动态随机存取存储器(Dynamic RAM，DRAM)、同步动态随机存取存储器(Synchronous DRAM，SDRAM)、双倍数据速率同步动态随机存取存储器(Double Data Rate SDRAM，DDRSDRAM)、增强型同步动态随机存取存储器(Enhanced SDRAM，ESDRAM)、同步连接动态随机存取存储器(Synchlink DRAM，SLDRAM)和直接内存总线随机存取存储器(Direct Rambus RAM，DRRAM)。本文描述的系统和方法的第一存储器802旨在包括但不限于这些和任意其它适合类型的存储器。
而第一处理器803可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过第一处理器803中的硬件的集成逻辑电路或者软件形式的指令完成。上述的第一处理器803可以是通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于第一存储器802，第一处理器803读取第一存储器802中的信息，结合其硬件完成上述方法的步骤。
可以理解的是，本文描述的这些实施例可以用硬件、软件、固件、中间件、微码或其组合来实现。对于硬件实现，处理单元可以实现在一个或多个专用集成电路(Application Specific Integrated Circuits，ASIC)、数字信号处理器(Digital Signal Processing，DSP)、数字信号处理设备(DSP Device，DSPD)、可编程逻辑设 备(Programmable Logic Device，PLD)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)、通用处理器、控制器、微控制器、微处理器、用于执行本申请所述功能的其它电子单元或其组合中。
对于软件实现，可通过执行本文所述功能的模块(例如过程、函数等)来实现本文所述的技术。软件代码可存储在存储器中并通过处理器执行。存储器可以在处理器中或在处理器外部实现。
具体来说，核心网设备70中的第一处理器803还配置为运行所述计算机程序时，执行前述实施例一中所述的方法步骤，这里不再进行赘述。
实施例五
基于前述实施例相同的发明构思，参见图9，其示出了本发明实施例提供的一种用户设备90的组成，可以包括：第二发送部分901，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
在上述方案中，所述第二发送部分901，配置为：在应用层会话建立的TLS握手过程中，将鉴权数据承载于首次TLS握手请求中的明文字段；
将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
在上述方案中，所述第二发送部分901，配置为：在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
在上述方案中，所述第二发送部分901，配置为：在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
在上述方案中，参见图10，所述UE 90还包括第二接收部分902，配置为接收核心网设备的控制面回复的鉴权结果。
在上述方案中，所述第二发送部分901，还配置为向所述核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
在上述方案中，所述第二发送部分901，还配置为向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现上述实施例二所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述UE 90的组成以及计算机可读介质，参见图11，其示出了本发明实施例提供的UE 90的具体硬件结构，可以包括：第二网络接口1101、第二存储器1102和第二处理器1103；各个组件通过总线系统1104耦合在一起。可理解，总线系统1104用于实现这些组件之间的连接通信。总线系统1104除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图11中将各种总线都标为总线系统1104。其中，
其中，所述第二网络接口1101，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第二存储器1102，用于存储能在第二处理器1103上运行的计算机程序；
第二处理器1103，用于在运行所述计算机程序时，执行：
发送承载有鉴权数据的数据包；其中，鉴权数据用于核心网设备进行鉴权，且鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
可以理解地，本实施例中UE 90的具体硬件结构中的组成部分，与实施例四中的相应部分类似，在此不做赘述。
具体来说，UE 90中的第二处理器1103，还配置为运行所述计算机程序时，执行前述实施例二中所述的方法步骤，这里不再进行赘述。
实施例六
基于前述实施例相同的发明构思，参见图12，其示出了本发明实施例提供的另一种核心网设备120，包括：消息接收部分1201、第一传输部分1202和控制部分1203；其中，所述消息接收部分1201，配置为在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
所述第一传输部分1202，配置为在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
所述消息接收部分1201，还配置为在所述加密数据流传输结束后，接收所述UE发送的释放指示消息；
所述控制部分1203，配置为基于释放指示消息释放所述关联关系。
在上述方案中，所述控制部分1203，还配置为在所述有效时长计时完毕后，释放所述关联关系；或者，
在所述有效时长计时完毕后，继续与所述UE进行加密数据流传输，直至所述加密数据流传输结束后所述第一接收部分接收所述释放指示消息，并基于所述释放指示消息释放所述关联关系。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的传输程序，所述加密数据流的传输程序被至少一个处理器执行时实现上述实施例三中具体示例四所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述核心网设备120的组成以及计算机可读介质，参见图13，其示出了本发明实施例提供的核心网设备120的具体硬件结构，可以包括：第三网络接口1301、第三存储器1302和第三处理器1303；各个组件通过总线系统1304耦合在一起。可理解，总线系统1304用于实现这些组件之间的连接通信。总线系统1304除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图13中将各种总线都标为总线系统1304。其中，
其中，所述第三网络接口1301，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第三存储器1302，用于存储能在第三处理器1303上运行的计算机程序；
第三处理器1303，用于在运行所述计算机程序时，执行：
在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
在所述有效时长内，基于关联关系与所述UE进行加密数据流传输；
在所述加密数据流传输结束后，接收所述UE发送的释放指示消息；
基于所述释放指示消息释放所述关联关系。
可以理解地，本实施例中核心网设备120的具体硬件结构中的组成部分，与实施例四中的相应部分类似，在此不做赘述。
具体来说，核心网设备120中的第三处理器1303，还配置为运行所述计算机程序时，执行前述实施例三中具体示例四所述的方法步骤，这里不再进行赘述。
实施例七
基于前述实施例相同的发明构思，参见图14，其示出了本发明实施例提供的另一种UE140的组成，包括：消息发送部分1401和第二传输部分1402，其中，所述消息发送部分1401，配置为向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
所述第二传输部分1402，配置为在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
所述消息发送部分1401，还配置为向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的传输程序，所述加密数据流的传输程序被至少一个处理器执行时实现上述实施例三中具体示例四所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述UE140的组成以及计算机可读介质，参见图15，其示出了本发明实施例提供的UE 140的具体硬件结构，可以包括：第四网络接口1501、第四存储器1502和第四处理器1503；各个组件通过总线系统1504耦合在一起。可理解，总线系统1504用于实现这些组件之间的连接通信。总线系统1504除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图15中将各种总线都标为总线系统1304。其中，
其中，所述第四网络接口1501，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第四存储器1502，用于存储能在第四处理器1503上运行的计算机程序；
第四处理器1503，用于在运行所述计算机程序时，执行：
向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
可以理解地，本实施例中UE 140的具体硬件结构中的组成部分，与实施例四中的相应部分类似，在 此不做赘述。
实施例八
基于前述实施例相同的发明构思，参见图16A，其示出了本发明实施例提供的一种加密数据流的识别方法，该方法可以应用于核心网设备，需要说明的是，该核心网设备可以包括控制面，如会话管理功能SMF，以及用户面，如用户面功能UPF；所述方法包括：
S1601A：接收用户设备UE发送的业务描述信息；
其中，所述业务描述信息包括应用标识和/或数据流描述信息；所述数据流描述信息包括以下至少一种：IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、MAC源端口号、MAC目的地址、MAC目的端口号、协议类型和VLAN标签；
可以理解地，由于数据流描述信息不仅可以包括层3特征，还可以包括层2特征与应用标识之间的关联关系，由此可知，当UE通过非IP数据包传输时，仍然可以通过UE应用程序的加密数据流进行识别。
S1602A：根据建立的数据包的特征信息与应用标识之间的关联关系对所述UE传输的加密数据流进行识别。
对于图16A所示的技术方案，在一种可能的实现方式中，所述接收用户设备UE发送的业务描述信息，包括：
所述核心网设备的控制面接收所述UE发送的包含有所述业务描述信息的控制面非接入层NAS消息。
对于图16A所示的技术方案，在一种可能的实现方式中，所述接收用户设备UE发送的业务描述信息，包括：所述核心网设备的用户面接收包含有所述业务描述信息的用户面数据包。
在上述实现方式中，所述用户面数据包的PDCP包头和/或GTP-U包头中包括所述业务描述信息；或者，所述用户面数据包的IPV4或IPV6包头中包括所述业务描述信息；或者，所述用户面数据包的用于隧道封装的包头中包括所述业务描述信息。
对于图16A所示的技术方案，基于上述两种实现方式，在根据建立的数据包的特征信息与应用标识之间的关联关系对所述UE传输的加密数据流进行识别之前，所述方法还包括：确定业务描述信息为可信。
具体来说，所述确定所述业务描述信息为可信，包括：
接收所述UE发送的鉴权信息；其中，所述鉴权信息包括鉴权参数与第一鉴权结果；根据所述鉴权参数获取第二鉴权结果；当所述第一鉴权结果与所述第二鉴权结果相同时，确定所述业务描述信息为可信。
需要说明的是，所述鉴权信息中的鉴权参数可以包括前述实施例所述的随机数和公共密钥Ka；或者，可以包括随机数、公共密钥Ka以及应用标识Application ID。上述鉴权参数可以结合预设的鉴权算法生成鉴权结果Token，以HASH算法为例，可以得到鉴权结果Token＝HASH(Ka，随机数)或者，鉴权结果Token＝HASH(Ka，随机数，应用标识)
在上述鉴权参数中，Ka为可选的鉴权参数，Ka也可以由核心网设备通过应用标识在核心网数据库中查找，所述核心网数据库中的应用标识与Ka的对应关系可以由第三方服务器预先配置到该数据库中。
当核心网设备计算得到的第二鉴权结果Token2与第一鉴权结果Token1相同时，则可以说明UE发送的业务描述信息可信。
详细来说，若根据上述鉴权过程确定所述UE发送的承载由业务描述信息的NAS消息可信，那么该可信状态可以适用于所述UE后续发送的NAS消息。举例来说，当鉴权参数中不包括应用标识Application ID，且鉴权通过时，核心网设备可以认为所述UE后续发送的所有NAS消息中包含的业务描述消息均为可信状态；当鉴权参数中包括应用标识Application ID，鉴权通过时，核心网设备可以认为所述UE后续发送的NAS消息中包含的与该应用标识Application ID对应的业务描述信息为可信状态。
还需要说明的是，在具体实现过程中，UE可以将鉴权信息与业务描述信息承载于相同的NAS消息或用户面数据包中向核心网设备发送，从而核心网设备能够在接收到所述业务描述信息的同时，也能够接收到鉴权信息。
可以理解地，除了本实施例所述的鉴权方式以外，还可以通过其他鉴权方式来确定UE发送的业务描述信息可信，本实施例对此不做赘述。
对于图16A所示的技术方案，在一种可能的实现方式中，根据建立的数据包的特征信息与应用标识之间的关联关系对所述UE传输的加密数据流进行识别，包括：核心网设备的控制面根据所述业务描述信息与所述核心网设备的用户面交互建立用于检测所述UE的加密数据流的过滤器filter。
需要说明的是，结合前述实施例所述，通过上述鉴权方式确定业务描述信息为可信后，核心网设备的控制面可以将鉴权结果发送至核心网设备的用户面，从而用户面可以建立应用标识与数据包特征信息之间的关联关系，并且基于该关联关系建立用于检测所述UE的加密数据流的过滤器filter。
在过滤器建立完成后，核心网设备就可以不再针对所述UE发送的数据进行鉴权，而直接利用该过滤器进行加密数据流的识别。参考前述实施例，不针对UE发送的数据进行鉴权可以有对应的生命周期，具 体可以参照前述实施例中所述的有效时间消息，本实施例对此不做赘述。
相应于图16A所述的技术方案，参见图16B，其示出了本发明实施例提供的一种应用于UE的加密数据流识别方法，可以包括：
S1601B：向核心网设备发送业务描述信息；
其中，所述业务描述信息包括应用标识和/或数据流描述信息；所述数据流描述信息包括以下至少一种：IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、MAC源端口号、MAC目的地址、MAC目的端口号、协议类型和VLAN标签。
针对图16B所示的技术方案，在一种可能的实现方式中，所述向核心网设备发送业务描述信息，包括：
将业务描述信息承载于控制面非接入层NAS消息向核心网设备发送。
针对图16B所示的技术方案，在一种可能的实现方式中，所述向核心网设备发送业务描述信息，包括：
将所述业务描述信息承载于用户面数据包；
将承载有所述业务描述信息的用户面数据包向所述核心网设备发送。
在上述实现方式中，将所述业务描述信息承载于用户面数据包，包括：
在所述用户面数据包的PDCP包头和/或GTP-U包头中增加所述业务描述信息；或者，在所述用户面数据包的IPV4或IPV6包头中增加所述业务描述信息；或者，在所述用户面数据包的用于隧道封装的包头中增加所述业务描述信息。
针对图16B所示的技术方案，在一种可能的实现方式中，所述方法还包括：向所述核心网设备发送鉴权信息；其中，所述鉴权信息包括鉴权参数与第一鉴权结果。
可以理解地，UE可以将鉴权信息与业务描述信息承载于相同的NAS消息或用户面数据包中向核心网设备发送，从而核心网设备能够在接收到所述业务描述信息的同时，也能够接收到鉴权信息。
具体鉴权信息可以参照图16A所示技术方案中的说明，在此不再赘述。核心网设备在接收到鉴权信息后可以按照图16A所示技术方案中的说明进行鉴权，并且鉴权成功给后确定UE发送的业务描述信息可信。
基于图16A所示的技术方案，参见图17A，其示出了本发明实施例提供的又一种核心网设备170的组成，包括信息接收部分1701A和识别部分1702A；其中，
所述信息接收部分1701A，配置为接收用户设备UE发送的业务描述信息；其中，所述业务描述信息包括应用标识和/或数据流描述信息；所述数据流描述信息包括以下至少一种：IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、MAC源端口号、MAC目的地址、MAC目的端口号、协议类型和VLAN标签；
所述识别部分1702A，配置为根据建立的数据包的特征信息与应用标识之间的关联关系对所述UE传输的加密数据流进行识别。
在上述方案中，所述信息接收部分1701A，配置为：
所述核心网设备的控制面接收所述UE发送的包含有所述业务描述信息的控制面非接入层NAS消息。
在上述方案中，所述信息接收部分1701A，配置为：
所述核心网设备的用户面接收包含有业务描述信息的用户面数据包。
在上述方案中，所述用户面数据包的PDCP包头和/或GTP-U包头中包括所述业务描述信息；或者，所述用户面数据包的IPV4或IPV6包头中包括业务描述信息；或者，所述用户面数据包的用于隧道封装的包头中包括所述业务描述信息。
在上述方案中，参见图17A，所述核心网设备170还可以包括确定部分1703A，配置为：确定所述业务描述信息是否可信，并在确定所述业务描述信息为可信后触发所述识别部分1702A。
具体来说，所述确定部分1703A，配置为：
接收所述UE发送的鉴权信息；其中，所述鉴权信息包括鉴权参数与第一鉴权结果；
根据所述鉴权参数获取第二鉴权结果；
当第一鉴权结果与第二鉴权结果相同时，确定业务描述信息为可信。
在上述方案中，所述识别部分1702A，配置为：
在确定所述业务描述信息为可信后，所述核心网设备的控制面根据所述业务描述信息与所述核心网设备的用户面交互建立用于检测所述UE的加密数据流的过滤器filter。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现上述图16A所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述核心网设备170以及计算机可读介质，参见图17B，其示出了本发明实施例提供的核心网设备170的具体硬件结构，可以包括：第五网络接口1701B、第五存储器1702B和第五处理器1703B；各个组件通过总线系统1104耦合在一起。可理解，总线系统1704B用于实现这些组件之间的连接通信。总线 系统1704B除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图17B中将各种总线都标为总线系统1704B。其中，
其中，所述第五网络接口1701B，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第五存储器1702B，用于存储能够在第五处理器1703B上运行的计算机程序；
第五处理器1703B，用于在运行所述计算机程序时，执行上述图16A所述的方法的步骤。
基于图16B所示的技术方案，参见图18A，其示出了本发明实施例提供的一种UE180的组成，包括：信息发送部分1801A，配置为向核心网设备发送业务描述信息；其中，所述业务描述信息包括应用标识和/或数据流描述信息；所述数据流描述信息包括以下至少一种：IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、MAC源端口号、MAC目的地址、MAC目的端口号、协议类型和VLAN标签。
在上述方案中，所述信息发送部分1801A，配置为：将所述业务描述信息承载于控制面非接入层NAS消息向所述核心网设备发送。
在上述方案中，所述信息发送部分1801A，配置为：将所述业务描述信息承载于用户面数据包；将承载有所述业务描述信息的用户面数据包向所述核心网设备发送。
在上述方案中，所述信息发送部分1801A，配置为：在所述用户面数据包的PDCP包头和/或GTP-U包头中增加所述业务描述信息；或者，在所述用户面数据包的IPV4或IPV6包头中增加所述业务描述信息；或者，在所述用户面数据包的用于隧道封装的包头中增加所述业务描述信息。
在上述方案中，所述信息发送部分1801A，还配置为：向所述核心网设备发送鉴权信息；其中，所述鉴权信息包括鉴权参数与第一鉴权结果。
此外，本实施例还提供了一种计算机可读介质，该计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现上述图16B所述的方法的步骤。针对计算机可读介质的具体阐述，参见实施例四中的说明，在此不再赘述。
基于上述UE180以及计算机可读介质，参见图18B，其示出了本发明实施例提供的UE180的具体硬件结构，可以包括：第六网络接口1801B、第六存储器1802B和第六处理器1803B；各个组件通过总线系统1804B耦合在一起。可理解，总线系统1804B用于实现这些组件之间的连接通信。总线系统1804B除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图18B中将各种总线都标为总线系统1804B。其中，
所述第六网络接口1801B，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
第六存储器1802B，用于存储能在第六处理器1803B上运行的计算机程序；
第六处理器1803B，用于在运行所述计算机程序时，执行上述图16B所述的方法的步骤。
实施例九
基于前述实施例相同的发明构思，参见图19、其示出了本发明实施例提供的一种加密流量的识别系统190组成，包括核心网设备1901以及用户设备1902，其中，
所述核心网设备1901，优选为前述任一实施例中所述的核心网设备；而用户设备1902则可以优选为前述任一实施例中所述的用户设备。
以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。
工业实用性
本实施例中，核心网设备在UE与OTT服务器进行TLS握手过程中或握手完成后与UE进行鉴权，从而建立用于对加密数据流进行识别的关联关系，以实现对加密数据流的检测和统计，无需依赖明文标识，更无需进行复杂的IP地址配置和维护，提高了安全性并减少了配置和维护所需的计算资源。

Claims (65)

  1. 一种加密数据流的识别方法，所述方法应用于核心网设备，所述方法包括：
    接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
    基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别；所述数据包的特征信息可以包括以下至少一项或多项：网络协议IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、IP源端口号、媒体接入控制MAC目的地址、MAC目的端口号、协议类型以及虚拟局域网VLAN标签。
  2. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在应用层会话建立的TLS握手过程中，所述核心网设备的用户面接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
  3. 根据权利要求2所述的方法，其中，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：
    所述核心网设备的用户面从所述首次TLS握手请求中的明文字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
  4. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
  5. 根据权利要求4所述的方法，其中，在接收用户设备UE发送的承载有鉴权数据的数据包后，所述方法还包括：所述核心网设备的用户面从鉴权请求中的GTP-U扩展字段检测到所述鉴权数据后，将所述鉴权数据传输至所述核心网设备的控制面。
  6. 根据权利要求2至4任一项所述的方法，其中，所述第一鉴权参数包括随机数；所述第二鉴权参数包括公共密钥Ka。
  7. 根据权利要求2至4任一项所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
    所述核心网设备的控制面基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果。
  8. 根据权利要求2至4任一项所述的方法，其中，当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系，包括：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面将比对结果传输至所述核心网用户面；
    所述核心网设备的用户面建立所述数据包的特征信息与所述应用标识之间的关联关系。
  9. 根据权利要求1所述的方法，其中，所述接收用户设备UE发送的承载有鉴权数据的数据包，包括：
    在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
  10. 根据权利要求9所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果，包括：
    所述核心网设备的控制面根据所述第一鉴权参数中的随机数以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
  11. 根据权利要求9或10所述的方法，其中，当所述第二鉴权结果与所述第一鉴权结果比 对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系，包括：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，所述核心网设备的控制面根据所述OTT服务器的特征信息以及所述UE的特征信息生成所述数据包的特征信息，并将生成的数据包的特征信息和所述应用标识传输至所述核心网设备的用户面；其中，所述UE的特征信息包括：UE的IP地址、端口和MAC地址；
    所述核心网设备的用户面建立所述数据包的特征信息和所述应用标识之间的关联关系。
  12. 根据权利要求1所述的方法，其中，所述基于所述第一鉴权参数和所述第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果后，所述方法还包括：
    所述核心网设备的控制面通过所述核心网设备的用户面将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
  13. 根据权利要求1至12任一项所述的方法，其中，所述方法还包括：
    接收所述UE发送的有效时间信息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长。
  14. 根据权利要求13所述的方法，其中，所述方法还包括：
    当所述有效时长计时完毕后，若加密数据流传输未完成，释放所述关联关系。
  15. 根据权利要求14所述的方法，其中，所述方法还包括：
    在所述有效时长内或所述有效时长结束，接收所述UE发送的释放指示消息；
    基于所述释放指示消息释放所述关联关系。
  16. 一种加密数据流的传输方法，所述方法应用于核心网设备，所述方法包括：
    在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
    在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
    接收所述UE发送的释放指示消息；
    基于所述释放指示消息释放所述关联关系。
  17. 根据权利要求16所述的方法，其中，所述方法还包括：
    在所述有效时长计时完毕后，释放所述关联关系；或者，
    在所述有效时长计时完毕后，继续与所述UE进行加密数据流传输，直至所述加密数据流传输结束后释放所述关联关系。
  18. 一种加密数据流的识别方法，所述方法应用于用户设备UE，所述方法包括：
    发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
  19. 根据权利要求18所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
    将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心网设备的控制面。
  20. 根据权利要求18所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
  21. 根据权利要求18所述的方法，其中，所述发送承载有鉴权数据的数据包，包括：
    在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
  22. 根据权利要求18所述的方法，其中，所述方法还包括：
    接收核心网设备的控制面回复的鉴权结果。
  23. 根据权利要求18至22任一项所述的方法，其中，所述方法还包括：
    向所述核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
  24. 根据权利要求18至22任一项所述的方法，其中，所述方法还包括：
    向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
  25. 一种加密数据流的传输方法，所述方法应用于用户设备UE，所述方法包括：
    向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
    在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
    向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
  26. 一种加密数据流的识别方法，所述方法应用于核心网设备，所述方法包括：
    接收用户设备UE发送的业务描述信息；其中，所述业务描述信息包括应用标识和/或数据流描述信息；所述数据流描述信息包括以下至少一种：IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、MAC源端口号、MAC目的地址、MAC目的端口号、协议类型和VLAN标签；
    根据建立的数据包的特征信息与应用标识之间的关联关系对所述UE传输的加密数据流进行识别。
  27. 根据权利要求26所述的方法，其中，所述接收用户设备UE发送的业务描述信息，包括：
    所述核心网设备的控制面接收所述UE发送的包含有所述业务描述信息的控制面非接入层NAS消息。
  28. 根据权利要求26所述的方法，其中，所述接收用户设备UE发送的业务描述信息，包括：
    所述核心网设备的用户面接收包含有所述业务描述信息的用户面数据包。
  29. 根据权利要求28所述的方法，其中，
    所述用户面数据包的PDCP包头和/或GTP-U包头中包括所述业务描述信息；或者，
    所述用户面数据包的IPV4或IPV6包头中包括所述业务描述信息；或者，
    所述用户面数据包的用于隧道封装的包头中包括所述业务描述信息。
  30. 根据权利要求27至29任一项所述的方法，其中，在根据建立的数据包的特征信息与应用标识之间的关联关系对所述UE传输的加密数据流进行识别之前，所述方法还包括：确定所述业务描述信息为可信。
  31. 根据权利要求30所述的方法，其中，所述确定所述业务描述信息为可信，包括：
    接收所述UE发送的鉴权信息；其中，所述鉴权信息包括鉴权参数与第一鉴权结果；
    根据所述鉴权参数获取第二鉴权结果；
    当所述第一鉴权结果与所述第二鉴权结果相同时，确定所述业务描述信息为可信。
  32. 根据权利要求26所述的方法，其中，所述根据建立的数据包的特征信息与应用标识之间的关联关系对所述UE传输的加密数据流进行识别，包括：
    所述核心网设备的控制面根据所述业务描述信息与所述核心网设备的用户面交互建立用于检测所述UE的加密数据流的过滤器filter。
  33. 一种加密数据流的识别方法，所述方法应用于用户设备UE，所述方法包括：
    向核心网设备发送业务描述信息；其中，所述业务描述信息包括应用标识和/或数据流描述信息；所述数据流描述信息包括以下至少一种：IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、MAC源端口号、MAC目的地址、MAC目的端口号、协议类型和VLAN标签。
  34. 根据权利要求33所述的方法，其中，所述向核心网设备发送业务描述信息，包括：
    将所述业务描述信息承载于控制面非接入层NAS消息向所述核心网设备发送。
  35. 根据权利要求33所述的方法，其中，所述向核心网设备发送业务描述信息，包括：
    将所述业务描述信息承载于用户面数据包；
    将承载有所述业务描述信息的用户面数据包向所述核心网设备发送。
  36. 根据权利要求35所述的方法，其中，所述将所述业务描述信息承载于用户面数据包，包括：
    在所述用户面数据包的PDCP包头和/或GTP-U包头中增加所述业务描述信息；或者，
    在所述用户面数据包的IPV4或IPV6包头中增加所述业务描述信息；或者，
    在所述用户面数据包的用于隧道封装的包头中增加所述业务描述信息。
  37. 根据权利要求33至36任一项所述的方法，其中，所述方法还包括：向所述核心网设备发送鉴权信息；其中，所述鉴权信息包括鉴权参数与第一鉴权结果。
  38. 一种核心网设备，包括：第一接收部分、鉴权部分和建立部分；其中，
    所述第一接收部分，配置为接收用户设备UE发送的承载有鉴权数据的数据包；其中，所述鉴权数据包括第一鉴权参数、第一鉴权结果以及应用标识；
    所述鉴权部分，配置为基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第 二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
    所述建立部分，配置为当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别；所述数据包的特征信息可以包括以下至少一项或多项：网络协议IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、IP源端口号、媒体接入控制MAC目的地址、MAC目的端口号、协议类型以及虚拟局域网VLAN标签。
  39. 根据权利要求38所述的核心网设备，其中，所述第一接收部分，配置为在应用层会话建立的TLS握手过程中，接收所述UE发送的首次TLS握手请求；其中，所述鉴权数据承载于所述首次TLS握手请求中的明文字段。
  40. 根据权利要求38所述的核心网设备，其中，所述第一接收部分，配置为：在完成TLS握手后，所述核心网设备的用户面接收所述UE通过基站发送的鉴权请求；其中，所述鉴权数据承载于所述鉴权请求中的GTP-U扩展字段。
  41. 根据权利要求38所述的核心网设备，其中，所述第一接收部分，配置为在完成TLS握手后，所述核心网设备的控制面接收所述UE发送的非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征信息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
  42. 根据权利要求41所述的核心网设备，其中，所述鉴权部分，配置为根据所述第一鉴权参数中的随机数以及所述第二鉴权参数中的公共密钥按照设定的鉴权算法获得第二鉴权结果。
  43. 根据权利要求41或42所述的核心网设备，其中，所述建立部分，配置为：
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，根据所述OTT服务器的特征信息以及所述UE的特征信息生成所述数据包的特征信息，并建立所述生成的数据包的特征信息和所述应用标识之间的关联关系；其中，UE的特征信息包括：UE的IP地址、端口和MAC地址。
  44. 根据权利要求38所述的核心网设备，其中，所述核心网设备还包括第一发送部分，配置为将所述第二鉴权结果与所述第一鉴权结果的比对结果发送至所述UE。
  45. 根据权利要求38至44任一项所述的核心网设备，其中，所述第一接收部分，还配置为接收所述UE发送的有效时间信息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长。
  46. 根据权利要求45所述的核心网设备，其中，所述核心网设备还包括控制部分，配置为当所述有效时长计时完毕后，若加密数据流传输未完成，释放所述关联关系。
  47. 根据权利要求46所述的核心网设备，其中，所述第一接收部分，还配置为加密数据流传输完毕后，接收所述UE发送的释放指示消息；
    所述控制部分，还配置为基于所述释放指示消息释放所述关联关系。
  48. 一种核心网设备，包括：消息接收部分、第一传输部分和控制部分；其中，所述消息接收部分，配置为在建立完成数据包的特征信息与应用标识之间的关联关系后，接收用户设备UE发送的有效时间消息；其中，所述有效时间信息用于指示所述关联关系进行加密数据流识别的有效时长；
    所述第一传输部分，配置为在所述有效时长内，基于所述关联关系与所述UE进行加密数据流传输；
    所述消息接收部分，还配置为接收所述UE发送的释放指示消息；
    所述控制部分，配置为基于所述释放指示消息释放所述关联关系。
  49. 根据权利要求48所述的核心网设备，其中，所述控制部分，还配置为在所述有效时长计时完毕后，释放所述关联关系；或者，
    在所述有效时长计时完毕后，继续与所述UE进行加密数据流传输，直至所述加密数据流传输结束后释放所述关联关系。
  50. 一种用户设备UE，其中，所述UE包括：第二发送部分，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识。
  51. 根据权利要求50所述的UE，其中，所述第二发送部分，配置为：在应用层会话建立的TLS握手过程中，将所述鉴权数据承载于首次TLS握手请求中的明文字段；
    将所述承载有所述鉴权数据的首次TLS握手请求通过核心网设备的用户面透传至所述核心 网设备的控制面。
  52. 根据权利要求50所述的UE，其中，所述第二发送部分，配置为：在完成TLS握手后，将所述鉴权数据承载于扩展的PDCP字段的鉴权请求发送至基站，并通过基站将PDCP扩展字段中的鉴权数据转换成GTP-U扩展字段后，将所述鉴权请求继续发送至所述核心网设备用户面。
  53. 根据权利要求50所述的UE，其中，所述第二发送部分，配置为：在完成TLS握手后，向核心网设备的控制面发送非接入层会话管理NAS-SM消息；其中，所述NAS-SM消息的扩展字段中包括：第一鉴权参数、第一鉴权结果、应用标识以及所述NAS-SM消息的特征消息；其中，所述第一鉴权参数包括：随机数和公共密钥Ka；所述NAS-SM消息的特征信息包括OTT服务器的IP地址、端口号、协议类型和OTT服务器的MAC地址。
  54. 根据权利要求50所述的UE，其中，所述UE还包括第二接收部分，配置为接收核心网设备的控制面回复的鉴权结果。
  55. 根据权利要求50至54任一项所述的UE，其中，所述第二发送部分，还配置为向所述核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长。
  56. 根据权利要求50至54任一项所述的UE，其中，所述第二发送部分，还配置为向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
  57. 一种UE，所述UE包括：消息发送部分和第二传输部分，其中，所述消息发送部分，配置为向核心网设备发送有效时间消息；其中，所述有效时间信息用于指示数据包的特征信息与应用标识之间的关联关系进行加密数据流识别的有效时长；
    所述第二传输部分，配置为在所述有效时长内，基于所述关联关系与所述核心网设备进行加密数据流传输；
    所述消息发送部分，还配置为向所述核心网设备发送释放指示消息；其中，所述释放指示消息用于释放所述关联关系。
  58. 一种核心网设备，包括信息接收部分和识别部分；其中，
    所述信息接收部分，配置为接收用户设备UE发送的业务描述信息；其中，所述业务描述信息包括应用标识和/或数据流描述信息；所述数据流描述信息包括以下至少一种：IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、MAC源端口号、MAC目的地址、MAC目的端口号、协议类型和VLAN标签；
    所述识别部分，配置为根据建立的数据包的特征信息与应用标识之间的关联关系对所述UE传输的加密数据流进行识别。
  59. 一种UE，包括信息发送部分，配置为向核心网设备发送业务描述信息；其中，所述业务描述信息包括应用标识和/或数据流描述信息；所述数据流描述信息包括以下至少一种：IP源地址、IP源端口号、IP目的地址、IP目的端口号、MAC源地址、MAC源端口号、MAC目的地址、MAC目的端口号、协议类型和VLAN标签。
  60. 一种核心网设备，其中，第一网络接口，第一存储器和第一处理器；其中，
    所述第一网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
    所述第一存储器，用于存储能够在所述第一处理器上运行的计算机程序；
    所述第一处理器，用于在运行所述计算机程序时，执行权利要求1至15任一项或者权利要求16至17任一项或者权利要求26至32任一项所述方法的步骤。
  61. 一种用户设备UE，其中，所述UE包括：第二网络接口、第二存储器和第二处理器；
    其中，所述第二网络接口，用于在与其他外部网元之间进行收发信息过程中，信号的接收和发送；
    所述第二存储器，用于存储能够在第二处理器上运行的计算机程序；
    所述第二处理器，用于在运行所述计算机程序时，执行权利要求18至24任一项或者权利要求25或者权利要求33至37任一项所述方法的步骤。
  62. 一种计算机可读介质，所述计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现权利要求1至15任一项或者权利要求18至24任一项所述的方法的步骤。
  63. 一种计算机可读介质，所述计算机可读介质存储有加密数据流的传输程序，所述加密数据流的传输程序被至少一个处理器执行时实现权利要求16至17任一项或者权利要求25所述的方法的步骤。
  64. 一种计算机可读介质，所述计算机可读介质存储有加密数据流的识别程序，所述加密数据流的识别程序被至少一个处理器执行时实现权利要求26至32任一项或者权利要求33至37任一项所述的方法的步骤。
  65. 一种加密流量的识别系统，包括核心网设备以及用户设备，其中，
    所述用户设备，配置为发送承载有鉴权数据的数据包；其中，所述鉴权数据用于所述核心网设备进行鉴权，且所述鉴权数据包括：第一鉴权参数、第一鉴权结果以及应用标识；
    所述核心网设备，配置为接收用户设备UE发送的承载有鉴权数据的数据包；
    基于所述第一鉴权参数和第二鉴权参数，按照设定的鉴权算法获得第二鉴权结果；其中，所述第二鉴权参数为预存的所述应用标识对应的鉴权参数；
    当所述第二鉴权结果与所述第一鉴权结果比对一致时，则建立所述数据包的特征信息与所述应用标识之间的关联关系；其中，所述关联关系用于后续对所述UE发送的与所述应用标识对应的加密数据流进行识别。
PCT/CN2018/085510 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统 Ceased WO2019076025A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP18869093.7A EP3668043A4 (en) 2017-10-16 2018-05-03 ENCRYPTED DATA FLOW IDENTIFICATION PROCESS, DEVICE, INFORMATION MEDIA AND SYSTEM
CN201880038900.1A CN110771116B (zh) 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统
US16/849,865 US11418951B2 (en) 2017-10-16 2020-04-15 Method for identifying encrypted data stream, device, storage medium and system

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
CNPCT/CN2017/106349 2017-10-16
PCT/CN2017/106349 WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统
CNPCT/CN2018/081774 2018-04-03
PCT/CN2018/081774 WO2019076000A1 (zh) 2017-10-16 2018-04-03 一种加密数据流的识别方法、设备、存储介质及系统

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/849,865 Continuation US11418951B2 (en) 2017-10-16 2020-04-15 Method for identifying encrypted data stream, device, storage medium and system

Publications (1)

Publication Number Publication Date
WO2019076025A1 true WO2019076025A1 (zh) 2019-04-25

Family

ID=66173068

Family Applications (3)

Application Number Title Priority Date Filing Date
PCT/CN2017/106349 Ceased WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2018/081774 Ceased WO2019076000A1 (zh) 2017-10-16 2018-04-03 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2018/085510 Ceased WO2019076025A1 (zh) 2017-10-16 2018-05-03 一种加密数据流的识别方法、设备、存储介质及系统

Family Applications Before (2)

Application Number Title Priority Date Filing Date
PCT/CN2017/106349 Ceased WO2019075608A1 (zh) 2017-10-16 2017-10-16 一种加密数据流的识别方法、设备、存储介质及系统
PCT/CN2018/081774 Ceased WO2019076000A1 (zh) 2017-10-16 2018-04-03 一种加密数据流的识别方法、设备、存储介质及系统

Country Status (4)

Country Link
US (1) US11418951B2 (zh)
EP (1) EP3668043A4 (zh)
CN (2) CN110741613B (zh)
WO (3) WO2019075608A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114143385A (zh) * 2021-11-24 2022-03-04 广东电网有限责任公司 一种网络流量数据的识别方法、装置、设备和介质
CN116567657A (zh) * 2022-01-28 2023-08-08 腾讯科技（深圳）有限公司 数据传输方法、装置、计算机可读介质及电子设备
CN118368279A (zh) * 2024-05-22 2024-07-19 奇瑞新能源汽车股份有限公司 一种http接口鉴权方法及相关设备

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DK3738331T3 (da) * 2018-04-05 2021-05-31 Ericsson Telefon Ab L M Konfigurering af radioressourcer
CN110535552B (zh) * 2019-09-27 2021-07-20 腾讯科技（深圳）有限公司 网络节点执行的方法以及相应的网络节点
CN113923717B (zh) * 2020-07-07 2024-05-31 中国移动通信有限公司研究院 一种数据的传输方法、装置及设备
CN112671661A (zh) * 2020-12-24 2021-04-16 广州市网优优信息技术开发有限公司 物联网数据传输方法及系统
CN114760623A (zh) * 2021-01-10 2022-07-15 华为技术有限公司 安全策略处理方法以及通信设备
CN113674455B (zh) * 2021-08-13 2023-08-04 京东科技信息技术有限公司 智能门锁远程控制方法、装置、系统、设备及存储介质
EP4437747A1 (en) * 2021-11-26 2024-10-02 Abb Schweiz Ag Method for device commissioning in a network system and network system

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101714952A (zh) * 2009-12-22 2010-05-26 北京邮电大学 一种接入网的流量识别方法和装置
US7778194B1 (en) * 2004-08-13 2010-08-17 Packeteer, Inc. Examination of connection handshake to enhance classification of encrypted network traffic
CN103428643A (zh) * 2012-05-17 2013-12-04 大唐移动通信设备有限公司 一种动态重组方法及装置
US20160262021A1 (en) * 2015-03-06 2016-09-08 Qualcomm Incorporated Sponsored connectivity to cellular networks using existing credentials

Family Cites Families (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6948060B1 (en) * 2000-08-11 2005-09-20 Intel Corporation Method and apparatus for monitoring encrypted communication in a network
US8239669B2 (en) * 2004-03-17 2012-08-07 Telecommunication Systems, Inc. Reach-back communications terminal with selectable networking options
US7562211B2 (en) * 2005-10-27 2009-07-14 Microsoft Corporation Inspecting encrypted communications with end-to-end integrity
US8875236B2 (en) * 2007-06-11 2014-10-28 Nokia Corporation Security in communication networks
CN101668016B (zh) * 2009-09-30 2012-10-03 华为技术有限公司 鉴权方法及装置
EP2571329B1 (en) * 2010-05-13 2019-03-06 Nec Corporation Controlling the load on a core-network
CN102111263A (zh) * 2011-02-21 2011-06-29 山东中孚信息产业股份有限公司 一种数据流加密的方法
CN102137022B (zh) * 2011-04-01 2013-11-06 华为技术有限公司 提供用于识别数据包的信息的方法、爬虫引擎及网络系统
EP2675203B1 (en) * 2012-06-11 2019-11-27 BlackBerry Limited Enabling multiple authentication applications
CN103596166B (zh) * 2012-08-13 2016-08-03 电信科学技术研究院 一种标识映射方法与设备及策略控制方法与系统
US9985967B2 (en) * 2013-05-29 2018-05-29 Telefonaktiebolaget Lm Ericsson (Publ) Gateway, client device and methods for facilitating communication between a client device and an application server
CN103414709A (zh) * 2013-08-02 2013-11-27 杭州华三通信技术有限公司 用户身份绑定、协助绑定的方法及装置
GB2518254B (en) * 2013-09-13 2020-12-16 Vodafone Ip Licensing Ltd Communicating with a machine to machine device
EP2890073A1 (en) * 2013-12-31 2015-07-01 Gemalto SA System and method for securing machine-to-machine communications
CN105099930B (zh) * 2014-05-21 2019-07-09 新华三技术有限公司 加密数据流流量控制方法及装置
CN104038389A (zh) * 2014-06-19 2014-09-10 高长喜 多重应用协议识别方法和装置
CN105592449B (zh) * 2014-10-20 2018-10-09 中国电信股份有限公司 业务识别方法和系统
KR101663401B1 (ko) * 2015-01-05 2016-10-06 주식회사 퓨쳐시스템 Ssl로 암호화된 패킷을 커널에서 분석하는 장치 및 방법
US10498652B2 (en) * 2015-04-13 2019-12-03 Nicira, Inc. Method and system of application-aware routing with crowdsourcing
CN107317674B (zh) * 2016-04-27 2021-08-31 华为技术有限公司 密钥分发、认证方法，装置及系统
CN105915396A (zh) * 2016-06-20 2016-08-31 中国联合网络通信集团有限公司 家庭网络流量识别系统和方法
CN106209775B (zh) * 2016-06-24 2019-05-24 深圳信息职业技术学院 一种ssl加密网络流的应用类型识别方法与装置
US10530811B2 (en) * 2016-08-11 2020-01-07 Vm-Robot, Inc. Routing systems and methods
US10715510B2 (en) * 2017-01-16 2020-07-14 Citrix Systems, Inc. Secure device notifications from remote applications
US10397186B2 (en) * 2017-10-06 2019-08-27 Stealthpath, Inc. Methods for internet communication security
US10630642B2 (en) * 2017-10-06 2020-04-21 Stealthpath, Inc. Methods for internet communication security
US10367811B2 (en) * 2017-10-06 2019-07-30 Stealthpath, Inc. Methods for internet communication security

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7778194B1 (en) * 2004-08-13 2010-08-17 Packeteer, Inc. Examination of connection handshake to enhance classification of encrypted network traffic
CN101714952A (zh) * 2009-12-22 2010-05-26 北京邮电大学 一种接入网的流量识别方法和装置
CN103428643A (zh) * 2012-05-17 2013-12-04 大唐移动通信设备有限公司 一种动态重组方法及装置
US20160262021A1 (en) * 2015-03-06 2016-09-08 Qualcomm Incorporated Sponsored connectivity to cellular networks using existing credentials

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3668043A4 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114143385A (zh) * 2021-11-24 2022-03-04 广东电网有限责任公司 一种网络流量数据的识别方法、装置、设备和介质
CN114143385B (zh) * 2021-11-24 2024-01-05 广东电网有限责任公司 一种网络流量数据的识别方法、装置、设备和介质
CN116567657A (zh) * 2022-01-28 2023-08-08 腾讯科技（深圳）有限公司 数据传输方法、装置、计算机可读介质及电子设备
CN118368279A (zh) * 2024-05-22 2024-07-19 奇瑞新能源汽车股份有限公司 一种http接口鉴权方法及相关设备

Also Published As

Publication number Publication date
CN110741613A (zh) 2020-01-31
EP3668043A4 (en) 2020-10-07
CN110771116A (zh) 2020-02-07
CN110741613B (zh) 2021-01-12
EP3668043A1 (en) 2020-06-17
WO2019075608A1 (zh) 2019-04-25
WO2019076000A1 (zh) 2019-04-25
CN110771116B (zh) 2021-02-26
US20200245136A1 (en) 2020-07-30
US11418951B2 (en) 2022-08-16

Similar Documents

Publication Publication Date Title
WO2019076025A1 (zh) 一种加密数据流的识别方法、设备、存储介质及系统
US12057963B2 (en) Connecting to a home area network via a mobile communication network
JP4966432B2 (ja) 非３ｇｐｐアクセスネットワーク経由のアクセス
CN105210408B (zh) 被卸载的安全即服务
JP6185017B2 (ja) セキュアユーザプレーンロケーション（ｓｕｐｌ）システムにおける認証
JP4965671B2 (ja) 無線通信ネットワークにおけるユーザ・プロファイル、ポリシー及びｐｍｉｐキーの配布
JP2019146196A (ja) エンドツーエンドサービス層認証
TW201644238A (zh) 用於服務－使用者平面方法的使用網路符記的高效策略實施
JP2019515555A (ja) 識別情報指向型ネットワークの匿名識別情報及びプロトコル
US11979389B1 (en) End-to-end message encryption
CN101300543A (zh) 用于提供授权材料的方法和装置
WO2023179656A1 (zh) 一种SRv6报文处理方法、装置、通信设备和存储介质
CN111742529A (zh) 基于服务的架构(sba)中的安全协商
JP5326815B2 (ja) パケット送受信装置およびパケット送受信方法
CN102281287B (zh) 基于tls的分离机制移动性信令保护系统及保护方法
AU2010245117A1 (en) Method and apparatus for secure packet transmission
EP3552367B1 (en) Method and intermediate network node for managing tcp segment
CN102869000B (zh) 一种分离机制移动性管理系统的认证授权方法
US10841283B2 (en) Smart sender anonymization in identity enabled networks
CN120980533A (zh) 应用于5g核心网的dhcp安全增强方法及系统
CN118785523A (zh) 信息交互方法、装置、设备及存储介质
CN110061833B (zh) 一种身份位置的绑定更新方法及装置
CN119011273A (zh) 报文转发方法、装置、电子设备及存储介质
US8605901B1 (en) System and method for provisioning a home agent in a network environment
CN117978380A (zh) 一种身份认证方法、装置、设备及计算机可读存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18869093

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018869093

Country of ref document: EP

Effective date: 20200310

NENP Non-entry into the national phase

Ref country code: DE