CN116235525B 用于減輕無線網絡中的拒絕服務（dos）攻擊的方法和系統 （三星電子株式會社）

2021.08.27PCT/KR2020/0028482WO2020/175941EN2020.09.03US2018227871A1,2018.0本公開涉及一種要提供用于支持超過諸如長期演進(LTE)的第四代(4G)通信系統的更高數輕無線網絡(例如，接入網絡(AN)、核心網絡行初級認證的情況下經由封閉接入組(CAG)小區驗證用戶設備(UE)的注冊請求來執行接納控制而減輕無線網絡中的拒絕服務(DOS)攻擊的方法證之前基于UE的訂閱標識符驗證UE接入CAG小區絕服務(DoS)攻擊的方法和系統。一種用于減輕無線網絡中的拒絕服務(DOS)攻擊的方法包括：請求公用陸地移動網絡(PLMN)以便通過封閉接2從認證服務器功能AUSF接收請求消息，所述請求消息包括用戶設備UE基于對所述UE的SUCI的去隱藏來標識所述UE的訂閱永久標在所述UE被允許接入所述CAG小區的情況下，由所述UDM執行所述在所述UE被允許接入所述CAG小區的情況下，由所述UDM為所述認證過程選擇認證方4.根據權利要求1所述的方法，從安全性錨功能SEAF接收第一請求消息，所述第一請求消息包括用向統一數據管理UDM發送第二請求消息，所述第二請求消息包括所述UE的SUCI和所述在所述UE未被允許接入所述CAG小區的情況下，從所述UDM接收在所述UE被允許接入所述CAG小區的情況下，根據所述UE與網絡之間的認證過程從所其中，所述SUCI用于獲得所述UE的訂閱永久標識符SUPI以用于驗證所述UDM是否允許7.根據權利要求5所述的方法，經由基站從用戶設備UE接收注冊請求，所述注冊請求包括所述UE的訂閱隱藏標識符從所述基站接收封閉接入組CAG小區的C經由認證服務器功能AUSF向統一數據管理UDM發送請求消息，所述請求消息包括所述3在所述UE未被允許接入所述CAG小區的情況下，經由所述AUSF從所其中，所述SUCI被用來獲得所述UE的訂閱永久標識符SUPI以用于驗證所述UDM是否允經由基站向安全性錨功能SEAF發送接入封閉接入組CAG小區的注冊請求，所述注冊請其中，所述SUCI被用來獲得所述UE的訂閱永久標識符SUPI以用于驗證所述UDM是否允4[0001]本公開涉及無線網絡的領域，并且更具體地涉及減輕無線網絡中的拒絕服務[0002]為了滿足對自第四代(4G)通信系統的部署以來已經增加[0003]考慮在更高頻率(mmWave)頻帶例如60GHz頻帶中實現5G通信系統，以便實現更高[0005]在5G系統中，已經開發了作為高級編碼調制(ACM)的混合FSK與QAM調制(FQAM)和滑動窗口疊加編碼(SWSC)以及作為高級接入技術的濾波器組多載波(FBMC)、非正交多址文中被稱為接入CAG小區/NPN的權限)。當UE想要接入CAG小區/NPN時，PLMN需要基于UE的網絡標識符來標識被許可/授權接入一個或更多5證UE是否具有接入CAG小區/NPN的權限或者UE是否被授權接入CAG小區/NPN并且基于成功NPN權限的情況下并且在不必接入到CAG小區的情況下接入在特定CAG小區中或分布在不同CAG小區處的NPN的注冊過程在服務網絡上導致(分布式)拒絕服務((D)DoS)攻[0010]當UE在對CAG小區具有有效的NPN權限和沒有權限的情況下執行注冊過程時或者[0011]考慮示例場景，其中UE可以連接到PLMN的新無線電(NR/5G)網絡并且UE具有有效的NPN權限而沒有接入CAG小區的權限。5G網絡包括NG_無線電接入網絡(RAN)和5G核心(5GC)網絡/服務網絡。5GC包括諸如但不限于接入和移動管理功能(AMF)、統一數據管理[0012]在這樣的場景中，UE發起用于接入/獲得由CAG小區/NPN提供的服務的注冊過UE通過將SUCI作為其身份發送到請求接入到CAG小區/NPN的NG_RAN來發起注冊過程。NG_訂閱永久標識符(SUPI)并且基于已接收到的SUPI驗證UE是否具有接入所請求的CAG小區/CAG小區的權限)。流氓UE然后通過經由NG_RAN將所捕獲的SUCI作為其身份發送到AMF來發認證過程以對UE的CAG小區接入進行授權。此類過程可以在服務網絡上導致開銷和(D)DoS[0016]本文的實施例的主要目的是為了公開用于減輕無線網絡中的(分布式)拒絕服務[0017]本文的實施例的另一目的是為了公開用于通過在執行至少一個用戶設備(UE)的6初級認證之前驗證至少一個UE接入至少一個NPN的權限來減輕[0018]本文的實施例的另一目的是為了公開用于使用至少一個用戶設備(UE)的訂閱永久標識符(SUPI)和所請求的至少一個NPN的封閉接入組(CAG)標識符(ID)來驗證至少一個一個非公用網絡(NPN)的權限的方法和系統。本文公開的方法包括由至少一個UE請求公用包括由PLMN的核心網絡(CN)驗證至少一個UE通過至少一個CAG小區接入所請求的至少一個程以在至少一個UE通過至少一個CAG小區接入所請求的至少一個NPN的權限被驗證的情況適配以用于在合適的計算機可讀程序代碼中實現的一個或更多個計算機程序、軟件組件、7[0025]貫穿此專利文檔提供了某些單詞和短語的定義。本領域[0028]圖2描繪根據如本文所公開的實施例的無線網絡100的被配置用于減輕(分布式)[0029]圖3是描繪根據如本文所公開的實施例的在5GC的UDM處驗證UE接入CAG小區的權[0030]圖4是描繪根據如本文所公開的實施例的通過直接與AMF/SEAF進行通信在5GC的[0031]圖5是描繪根據如本文所公開的實施例的通過經由得到請求消息和得到響應消息與AMF/SEAF進行通信在UDM處驗證[0032]圖6是描繪根據如本文所公開的實施例的在5GC的UDM206和/或AUSF處驗證UE接[0033]圖7是描繪根據如本文所公開的實施例的在5GC的AUSF處驗證UE接入CAG小區的權[0034]圖8是描繪根據如本文所公開的實施例的在從UDM接收到請求時在CAG服務器處驗[0035]圖9是描繪根據如本文所公開的實施例的在從AMF/SEAF接收到UE的SUCI時在CAG[0036]圖10是描繪根據如本文所公開的實施例的在從AUSF接收到UE的SUCI時在CAG服務[0037]圖11是描繪根據如本文所公開的實施例的在AMF/SEAF處驗證UE接入CAG小區的權[0038]圖12是描繪根據如本文所公開的實施例的通過經由由UDM提供的服務接口與UDM進行通信在AMF/SEAF處驗證UE接入CAG小區的權限的[0039]圖13是描繪根據如本文所公開的實施例的通過直接與AMF/SEAF進行通信在CAG服[0040]圖14是描繪根據如本文所公開的實施例的在從AMF/SEAF接收到UE的SUPI時在UDM[0041]圖15是描繪根據如本文所公開的實施例的用于控制至少一個UE接入無線網絡中8[0042]在下面討論的圖1A至圖15以及此專利文檔中用于描述本公開的原理的各種實施可以在任何合適地布置的系統或裝置中實現[0043]參考在附圖中圖示且在以下描述中詳述的非限制性實施例更充分地說明本文的[0044]本文的實施例公開了用于減輕無線網絡中的(分布式)拒絕服務((D)DoS)攻擊的[0045]本文的實施例公開了用于通過在執行至少一個用戶設備(UE)的初級認證之前驗證至少一個UE通過封閉接入組(CAG)小區接入至少一個NPN的權限來執行接納控制而減輕[0047]圖1A_1C描繪根據如本文所公開的實施例的無線通信系統/無線網絡100。本文提到的無線網絡100可以被配置為減輕公用網絡集成非公用網絡上的(分布式)拒絕服務(D)[0048]無線網絡100包括公用陸地移動網絡(PLMN)102a、一個或多個非公用網絡(NPN)[0049]PLMN102a包括一個或多個不同的蜂窩網絡，諸如但不限于長等的術語來指代向給定區域中的公眾用途提供非獨立NPN102b。可以使用網絡切片和/或9使用由NPN/CAG小區102b廣播的CAG標識符(CAGID)來標識，其中CAGID相對于[0054]UE104可以被配置為接入PLMN102a和/或NPN102b以便獲得通信服務和/或專用可以通過訂閱PLMN來接入NPN并且獲得由NPN102b提供的專用網絡服務。UE對PLMN的訂閱以指示UE104被授權經由PLMN102a接入NPN/由NPN102b提供的服務。接入CAG小區/NPN為UE104配置接入CAG小區的權限/允許CAG列表。本文的實施例可互換地使用諸如“接入104發起注冊過程。UE104通過請求接入到CAG小區/NPN102b來向PLMN102a發送注冊請證出UE104被授權接入所請求的CAG小區/NPN102a/或者UE104具有接入所請求的CAG小區/NPN102a的權限時，PLMN102a執行初級認證過程以檢查UE104是否是經認證的UE接入CAG小區/NPN102b的有效權限的情況[0057]如圖1b中描繪的，NPN102b包括非公用無線電接入網絡(RAN)106b和離的頻譜頻帶和CN的功能性(例如，CN的用戶平面和數據平面功能性)。在一個實施例中，106b的功能中的一個或更多個能夠由PLMN102a提共享非公用RAN106b和非公用CN108b的控制平[0059]本文提到的CN108a可以是演進型分組核心(EPC)、5G核心(5GC)網CAG小區的允許列表與UE104的SUPI的映射等中的至少一種的信息。效的NPN權限來為UE104配置CAG小區的允許列表。CAG小區的允許列表可以包括關于UE系統100注冊的通用訂戶身份模塊(USIM)注冊過程期間通過MNO分配給UE104的唯一標識符。SUPI可以是國際移動訂戶標識符(IMSI)(如TS23.503中指定的)或網絡接入標識符[0061]CN108a可以被配置為將至少一個UE104(與至少一個RAN節點106a連接)連接到CN108a可以通過在執行初級認證過程之前驗證UE104接入NPN102b的權限來使得U104的訂閱隱藏標識符(SUCI)。SUCI可以是包含隱藏SUPI的隱私保護標識符。在一個示例鑰一起使用基于橢圓曲線集成加密方案(ECIES)的保護方案來生成SUCI。UE104可以在初[0063]在從UE104接收到SUCI時，RAN106a標識所請求的CAG小區/NPN102b的CAGID查已接收到的所請求的CAG小區/NPN102a的CAGID是否存在于已檢索到的UE104的小區/[0065]在檢查已接收到的所請求的CAG小區/NPN102a的CAGID存在于已檢索到的UE權限(成功的驗證)。此后，CN108a執行初級認證過程以認證UE104是否具有經由PLMN收到的SUCI(如3GPPTS23.501中指定的)生成認證向量并且基于所生成的認證向量對UE[0066]在檢查出已接收到的所請求的CAG小區/NPN102a的CAGID不存在于已檢索到的UE104的小區/CAGID的允許列表中時，CN108a驗證出UE104不具有接入CAG小區/NPN102b的權限(不成功的驗證)。CN108a然后拒絕UE104的區/NPN102b接入的拒絕消息。CN108a也將適當的原因值連同拒絕消息一起發送到UE求的CAG小區/NPN102b提供的服務的錯誤的原因的值。原因值的示例可以是但不限于#少一個蜂窩網絡106的CN108a進行通信。CAG服務器1CAG小區/CAGID的允許列表、CAG小區的允許列表與UE104的[0069]圖2是描繪根據如本文所公開的實施例的無線網絡100的被配置用于減輕(D)DoS攻擊的各種元件的框圖。通過作為示例考慮PLMN102a包括作為蜂窩網絡106的5G網絡106和作為5GC108b的非公用CN108b來進一步說明本(SEAF)202、認證服務器功能(AUSF)204以及統一數據管理(UDM)/認證憑證儲存庫(ARPF)/器110顯示出的服務接口與5GC108a的元件進行通信。在一個示例中，服務接口可以是[0071]在一個實施例中，如果SEAF和AMF202不位于一處，則AMF202經由SEAF連接到AUSF204可以是被配置為通過維護關于UE104的信息來對UE104進行認證的[0073]UDM/ARPF/SIDF206可以被配置為執行諸如但不限于認證和密鑰協定(AKA)憑證服務器110中的至少一個能夠在執行初級認證過程之前驗證UE104是否被授權接入CAG小區/NPN102b(或者UE是否具有接入CAG[0075]本文的實施例使得5GC108a的UDM206能夠驗證UE104接入CAG小區/NPN102b的冊請求。在一個實施例中，UE104可以在NAS消息中(例如，在身份響應消息中)向NG_RAN將SUCI連同CAGID一起轉發到AMF/SEAF20[0076]AMF/SEAF202將已接收到的UE104的SUCI、所請求的CAG小區/NPN102b的CAGID、其他參數包括在認證請求消息(Nausf_UEAuthentication_Authenticate請求消息)中204根據已接收到的認證請求消息推導UE104的SUCI、所請求的CAG小區/NPN102b的CAG和其他參數插入在認證取得請求消息(Nudm_UEAuthentication_Get_Request消息)中。AUSF204將認證取得請求消息發[0077]在接收到認證取得請求消息時，UDM206檢查CAGID是否存在于已接收對所揭示的SUPI檢索CAG小區的允許列表。UDM206檢查已接收到的所請求的CAG小區/NPN[0078]在檢查出已接收到的所請求的CAG小區/NPN102a的CAGID存在于已檢索到的UE104進行認證并且在成功的認證時使得UE104能夠接入NPN102b。[0079]如果已接收到的所請求的CAG小區/NPN102a的CAGID不存在于已檢索到的UE級認證過程。UDM206在取得響應消息(Nudm_UEAuthentication_Get_Response消息)中插入SUPI和CAG小區拒絕消息并且將該取得響應消息發送到AUSF絕消息包括在認證響應消息(Nausf_UEAUthentication_Authenticate響應消息)中并且將[0081]在從AUSF204接收到包括CAG小區拒絕消息的認證響應消息時，AMF/SEAF202拒絕消息。原因值指示UE104不能接入所請求的CAG小區/NPN102b或由所請求的CAG小區/并且不向UE104提供除原因值/錯誤原因[0083]本文的實施例使得UDM206和/或AUSF204能夠驗證UE104接入CAG小區/NPN202。AMF/SEAF202可以在注冊請求消息中接收來自NG_RAN106的SUCI以及來自NG_RAN小區/NPN102b的CAGID和其他參數包括在Nausf_XXX請求消息和Nausf_求消息和Nausf_UEAuthentication_Authenticate請求消息中的至少一個發送到AUSF他參數包括在Nudm_XXX請求消息和Nudm_UEAuthentication_Get_Request消息中的至少一206將SUCI揭示為SUPI(按照3GPPTS33.501)并且基于SUPI推導UE104的CAG小區的允許所請求的CAG小區/NPN102b的權限時，UDM206在Nudm__XXX響應消息和Nudm_UEAuthentication_Get_Response消息中的至少一個中向AUSF204發送接受消息。AUSF204還在Nausf_XXX響應消息和Nausf_UEAuthentication_Authenticate響應消息中的至少[0086]在驗證出UE104不具有所XXX響應消息和Nausf_UEAuthentication_Authenticate響應消息中將CAG小區拒絕消息連同UE104的SUPI一起發送到AUSF204。AUSF204在Nausf_XXX響應消息和Nausf_UEAuthentication_Authenticate響應消息中的至少一個中將已接收到的CAG小區拒絕消206將SUCI揭示為SUPI并且基于SUPI推導UE104的CAG小區的允許列表。UDM206還可以在Nausf_XXX響應消息和Nausf_UEAuthentication_Authenticate響應消息中的至少一個中將UE104的CAG小區的允許列表發送到AUSF204以用于驗證UE104的權限的來自UDM206的CAG小區的允許列表和已接收到的來自AMF/SEAF202的所請求的CAG小區出UE104具有接入所請求的CAG小區/NPN102b的權限時，AUSF204在Na和Nausf_UEAuthentication_Authenticate響應消息中的至少一個中將接受消息轉發到AMF/SEAF202。AMF/SEAF202可以進一步執行初級認證過程以對用于接入CAG小區/NPN[0088]在驗證出UE104不具有所請求的CAG小區/NPN102b的權限時或者如果AUSF204未從UDM206接收到CAG小區的允許列表，則AUSF204向AMF/SEAF202發送CAG小區拒絕消息中的至少一個中將CAG小區拒絕消息發送到AMF/SEAF202。AMF/SEAF202然后以適當的[0089]本文的實施例使得5GC108a的UDM206能夠通過直接與AMF/SEAF202進行通信來106a的SUCI以及來自NG_RAN106a或來自UE104的CAG小區ID。AMF/SEAF消息、Nudm_UEVerifyCAGAccess_Get請求消息中的至少一個中并且將該消息發送到UDM[0090]響應于由AMF/SEAF202請求，UDM206將已接收到的SUCI揭示為SUPI并且基于所揭示的SUPI來檢索UE104的CAG小區的允許列表。UDM206使用UE104的CA表和已接收到的所請求的CAG小區/NPN102b的CAGID來驗證UE104是否具有接入CAG小CAG小區/NPN102b的UE104進行認證。UDM206可以在Nudm_XXX響應消息和Nudm_UEVerifyCAGAccess_Get響應消息中的至少一個中向AMF/SEAF20[0091]在驗證出UE104不具有接入CAG小區/NPN102b的權限時，UDM206可以向AMF/SEAF202發送指示UE104不具有接入到CAG小區/NPN102b的權限的以在Nudm_XXX響應消息和Nudm_UEVerifyCAGAccess_Get響應消息中的至少一個中將拒絕冊請求并且將拒絕消息連同適當的原因值一起發送到U[0092]本文的實施例使得UDM能夠在從AMF/SEAF202接收到SUPI時驗證UE104接入CAGAMF/SEAF202可能無法揭示UE104的SUPI時，UE104可以通過經由NG_RAN106a向AMF/SEAF202發送包括UE104的SUCI的注冊請求消息來發起用于接入CAG小區/NPN102b的請列表)來驗證UE104接入CAG小區的權限，則AMF/SEAF202通過Nudm_XXX消息將UE104的SUPI和所請求的CAG小區的CAGID提供給UDM206。UDM206執行UE對CAG小區的權限的驗步繼續進行NAS/N2過程(注冊請求過程或路[0093]本文的實施例使得AMF202能夠驗證UE104接入CAG小區/NPN102b的權限。UE104通過經由NG_RAN106a向AMF202發送包括SUCI的注冊請求消息來發起用于接入CAG小所請求的CAG小區/NPN102b的CAXXX請求消息和Nudm_SDM_Get請求消息中的至少一個中將UE104的SUCI轉發到U[0094]在從AMF/SEAF202接收到UE10Nudm_XXX響應消息和Nudm_SDM_Get響應消息中的至少一個中將UE104的SUPI和UE104的CAG小區的允許列表發送到AMF/SEAF20CAG小區的CAGID是否存在于CAG小區的允許列表中。如果所請求的CAG小區續進行初級認證過程以對用于接入NPN102b的UE104CAGID不存在于允許列表中或者如果AMF/SEAF202未從UDM206接收到允許列表，則AMF/[0096]本文的實施例使得CAG服務器110能夠在從UDM206接收到請求時驗證UE104接入CAG小區/NPN102a的權限。UDMCAG服務器110提供的基于服務的接口來將UE104的SUPI和所請求的CAG小區/NPN102b的器110基于從UDM206接收到的SUPI來檢索UE104的CAG小區的允許列表。基于已檢索到的自CAG服務器110的響應，UDM206可以進一步繼續進行UE104的注[0097]本文的實施例使得CAG服務器110能夠在從AMF/SEAF202接收到請求時驗證UE服務器110可以在Nudm_XXX消息中將UE104的SUCI轉發到UDM務器110檢索UE104的CAG小區的允許列表。基于已檢索到的CAG小區的允許列表和所請求服務器110將驗證的結果(接受/拒絕)發送到AMF/SEAF202。基于來自CAG服務器110的響[0099]本文的實施例使得CAG服務器110能夠在從AUSF204接收到請求時驗證UE104是息中并且將該Nausf_XXX請求消息發送到AUSF204。AUSF204將UE104的SUCI、所請求的CAG小區的CAGID和其他參數包括在Ncag_XXX請求消息中并且將該Ncag_XXX請求消息發送的SUPI來檢索CAG小區/NPN102b的允許列表。基于已檢索到的CAG小區的允許列表和所請如果UE104具有接入所請求的CAG小區的權限，則CAG服務器110將給AUSF204的接受消息AUSF204可以進一步繼續進行UE104的注冊請求。如果UE104區的權限，則CAG服務器110將給AUSF204的拒絕消息和CAG小區的允許列表包括在Ncag_[0101]本文的實施例使得CAG服務器110能夠在從AMF/SEAF202接收到SUPI時驗證出UE息中從NG_RAN106a或從UE104接收所請求的CAG小區/NPN102b的CAGID。在接收到UESEAF202不具有信息來驗證UE104接入CAG小區/NPN102b的權限，則AMF/SEAF202在Ncag_XXX請求消息中將UE104的SUPI和所請求的CAG小區的CAGID提供給CAG服務器110。繼續進行UE104的注冊請求或者拒絕UE104的注冊其他實施例不限于此。在其他實施例中，無線通信系統100可以包括更少或更大數量的單更多個單元能夠被組合在一起以在無線網絡100中執行相同或基本[0103]3GPPTS23.501將公用網絡集成(非獨立)非公用網絡指定為在使用封閉接入組(CAG)和/或網絡切片的公用PLMN的支持下部署的非公用網絡(NPN)。當在有或沒有有效的訂閱、未被授權接入CAG小區的情況下流氓或失靈或惡意的(由攻擊者危害或引入)大量UECAG小區處經由CAG小區接入NPN的此類嘗試將導致5G系統上的(分布式)拒絕服務((D)DoS)攻擊。本公開提供了用于網絡在不用執行初級認證的情況下經由CAG小區驗證UE的注冊請最小化并且在不降低5GS安全性的級別的情況下減輕了網絡上的(D)DoS攻擊。根據各種實施例，UDM對UE的接入CAG小區執行檢查并且基于CAG小區接入檢查的結果進一步繼續進行[0104]圖3是描繪根據如本文所公開的實施例的在5GC108a的UDM處驗證UE104接入CAG以將服務CAGID的所有CAGID連同注冊請求一起發送到AMF/SE其他參數包括在認證取得請求(Nudm_UEAuthenticatio證取得請求消息發送到UDM/ARPF/SIDFARPF/SIDF206基于SUPI驗證已接收到的所請求的CAG小區的CAGID是否存在于CAG小區的102b的UE。此后，UDM/ARPF/SIDF206基于UE104的SUPI生成認證向量并且執行用于對UE104進行認證的初級認證過程(如3GPPTS33.501中指定的)以便允許UE104接入NPN授權接入CAG小區/NPN102b。然后，UDM/ARPF/SIDF206在認證取得響應消息(Nudm_UEAuthentication_Get_Response)中[0108]在步驟305，UDM/A處驗證UE104接入CAG小區的權限/授權使5GC108a上的信令開銷最小化并且減輕DoS攻通過至少一個CAG小區接入所請求的至少一個NPN的權限被驗證來執行初級認證過程以允許至少一個UE通過至少一個CAG小區接入至少服務器功能(AUSF)中的至少一個驗證至少一個[0113]在一些實施例中，耦合到CN的CAG服務器驗證至少一個UE接入所請求的至少一個[0114]在一些實施例中，由至少一個UE請求對至少一個NPN的接入包括向PLMN的無線電的至少一個NPN的至少一個CAG標識符(CAGID)；以及由RAN將接收到的UE的訂閱隱藏標識[0116]在一些實施例中，由至少一個UE請求對至少一個NPN的接入包括將包括至少一個UE的訂閱隱藏標識符(SUCI)和所請求的至少一個NPN的至少一個CAG標識符(CAGID)的請至少一個UE的訂閱隱藏標識符(SUCI)和所請求的至少一個NPN的至少一個CAG標識符(CAG用所推導的CAG小區的允許列表和已接收到的所請求的至少一個NPN的至少一個CAGID來一個UE的SUCI揭示為訂閱永久標識符(SUPI)；將所揭示的至少一個UE的SUPI與CAG小區的允許列表和多個UE的SUPI的映射進行映射；以及基于相關SUPI與所揭示的至少一個UE的[0120]在一些實施例中，使用所推導的CAG小區的允許列表和已接收到的所請求的至少至少一個CAGID是否存在于所推導的CAG小區的允許列表中；基于已接收到的所請求的至少一個NPN的至少一個CAGID存在于所推導的CAG小區的允許列表中來驗證出至少一個UE至少一個CAGID不存在于所推導的CAG小區的允許列表中來驗證出至少一個UE不具有用于少一個NPN的權限時拒絕至少一個UE的請求；以及與原因值一起向至少一個UE發送拒絕消所請求的至少一個NPN的權限來基于至少一個UE的揭示的訂閱永久標識符(SUPI)生成認證少一個NPN的NPN權限來使得至少一個UE能夠接入所請求的至少一[0123]根據各種實施例，一種網絡包括至少一個用戶設備(UE)；至少一個非公用網絡入網絡(RAN)和核心網絡(CN)組成的至少一個蜂窩網絡，至少一個UE被配置為請求PLMN以一個CAG小區接入所請求的至少一個NPN的權限被驗證來執行初級認證過程以允許至少一個UE通過至少一個CAG小區接入至少一服務器功能(AUSF)中的至少一個被進一步配置為驗證至少一個UE通過至少一個CAG小區接[0128]在一些實施例中，至少一個UE被進一步配置為向請求接入到至少一個NPN的PLMN符(SUCI)和所請求的至少一個NPN的CAG標識符(CAGID)的請求發送到P[0132]在一些實施例中，CN被進一步配置為：從RAN接收至少一個UE的訂閱隱藏標識符已接收到的所請求的至少一個NPN的至少一個CAGID來驗證至少一個UE接入所請求的至少閱永久標識符(SUPI)；將所揭示的至少一個UE的SUPI與CAG小區的允許列表和多個UE的少一個CAGID存在于所推導的CAG小區的允許列表中；基于已接收到的所請求的至少一個NPN的至少一個CAGID存在于所推導的CAG小區允許列表中來驗證出至少一個UE具有接入于所推導的CAG小區的允許列表中來驗證出至少一個UE不具有用于接入所請求的至少一個求的至少一個NPN的至少一個CAGID的權限時拒絕至少一個UE的請求；以及與原因值一起求的至少一個NPN的權限來基于接收到的至少一個UE的訂閱永久標識符(SUPI)生成認證向一個NPN的NPN權限來使得至少一個UE能夠接入所請求的[0137]根據各種實施例，一種網絡包括至少一個用戶設備(UE)；至少一個非公用網絡結合PLMN部署，PLMN包括由無線電接入網絡(RAN)和核心網絡(CN)組成的至少一個蜂窩網絡，至少一個UE被配置為請求PLMN以用于接入到至少一個NPN，并且CN包括統一數據管理一個UE接入所請求的至少一個NPN的權限被驗證[0138]在一些實施例中，至少一個UE被進一步配置為向請求接入到至少一個NPN的PLMN(SUCI)和所請求的至少一個NPN的C符(SUCI)和所請求的至少一個NPN的CAG標識符(CAGID)的請求發送到P[0140]在一些實施例中，CN還包括接入和移動性管理功能(AMF)和認證服務器功能將已接收到的至少一個UE的SUCI和所請求的至少一個NPN的CAGID插入在第一認證請求消一認證請求消息推導至少一個UE的SUCI和所請求的至少一個NPN的CAGID，將所推導的至少一個UE的SUCI和所請求的至少一個NPN的CAGID插入在第一認證取得請求消息中，并且所揭示的至少一個UE的SUPI與CAG小區的允許列表和多個UE的SUPI的映射進行映射，基于相關SUPI與所揭示的至少一個UE的SUPI的映射來檢索至少一個UE的CAG小區的允許列表，基于已接收到的所請求的至少一個NPN的CAGID存在于已檢索到的CAG小區的允許列表中來驗證出至少一個UE具有接入所請求的至少一個NPN的權限，以及基于已接收到的所請求的至少一個NPN的CAGID不存在于已檢索到的CAG小區的允許列表中來驗證出至少一個UE示用于拒絕至少一個UE的請求的錯誤的至至少一個NPN的權限來基于已接收到的至少一個UE的SUCI生成認證向量，并且通過AUSF將于至少一個UE具有通過PLMN接入所請求的至少一個NPN來使得至少一個UE能夠接入所請求(SUCI)揭示為訂閱永久標識符(SUPI)，將所揭示的至少一個UE的SUPI與CAG小區的允許列組標識符(CAGID)存在于已檢索到的CAG小區的允許列表中來驗證出至少一個UE具有接入于已檢索到的CAG小區的允許列表中來驗證出至少一個UE不具有接入所請求的至少一個[0148]圖4是描繪根據如本文所公開的實施例的通過直接與AMF/SEAF202進行通信在NG_RAN106a向AMF/SEAF202發送包括SUCI的注冊請求以便接入CAG小區/NPN102b。NG_可以通過NG_RAN106a將所請求的CAG小區/NPN1SN名稱)插入在Nudm_XXX請求消息中并且將該Nudm_XXX請求驗證UE104接入所請求的CAG小區/NPN102b的權限。UDM206將已接收到的SUCI揭示為SUPI并且基于SUPI檢索CAG小區的允許列表。UDM206根據基于UE104的SUPI檢索到的CAG小區的允許列表以及所請求的CAG小區的CAGID來驗證UE104是否具有接入所請求的CAGXXX響應消息中插入接受消息、UE104的CAG小區的允許執行初級認證過程(如3GPPTS33.501中指定的)以用于對UE104進行認證以便允許UE206向AMF/SEAF202發送指示不成功的驗證的Nudm_XXX響應消息。在步驟405b，AMF/SEAF[0152]圖5是描繪根據如本文所公開的實施例的通過通過取得請求消息和取得響應消息與AMF/SEAF202進行通信在UDM206處驗證UE104接入CAG小區的權限的順序圖。在步驟NPN102b。NG_RAN106a也可以將所請求的CAG小區/NPN102b的CAGID發送到AMF/SEAFSN名稱)插入在Nudm__UEVerifyCAGAccess__Get請求消息中并且將該Nudm_UEVerifyCAGAccess_Get請求消息發送到UD驗證UE104接入所請求的CAG小區/NPN102b的權限。UDM206將已接收到的SUCI揭示為SUPI并且基于SUPI檢索CAG小區的允許列表。UDM206根據基于UE104的SUPI檢索到的CAG小區的允許列表以及所請求的CAG小區的CAGID來驗證UE104是否具有接入所請求的CAG驟504a，UDM206向AMF/SEAF202發送指示成功的驗證的Nudm_UEVerifyCAGAccess_Get響[0155]在驗證出UE104不[0156]圖6是描繪根據如本文所公開的實施例的在5GC108a的UDM206和/或AUSF204處UE104也可以通過NG_RAN106a在注冊請求中將所請求的CAG小區/NPN102b的CAGID發送ID連同注冊請求一起發送到AMF/SEAF204將Nudm_XXX請求消息發送到UDM2[0158]在步驟604，UDM206將已接收到的SUCI揭示為SUPI并且基于SUPI檢索UE104的允許列表和已接收到的所請求的CAG小區/NPN102b的CAGID來驗證UE104接入所請求的初級認證過程(如3GPPTS33.501中指定的)以用于對UE104進行認證以限時，UDM206將指示對于UE104不允許CAG小區的CAG小區拒絕消息和UE的SUPI包括在許列表的Nudm_XXX響應消息發送到AU[0160]在步驟606，AUSF204使用已接收到的CAG小區的允許列表和所請求的CAG小區/[0161]在步驟607，AUSF204在驗證出UE104不具有接入CAG小區的權限或者從UDM2接收到指示不允許CAG小區接入的Nudm_XXX響應時在Nausf_XXX響應消息中向AMF/SEAF[0162]圖7是描繪根據如本文所公開的實施例的在5GC108a的AUSF204處驗證UE104接可以通過NG_RAN106a在注冊請求中將所請求的CAG小區/NPN102b的CAGID發送到AMF/Nausf_UEAuthentication_Authenticate請求消息中并且將該Nausf_UEAuthentication_Authenticate請求消息發送到AUSF204。在步驟703，AUSF204將已接收到的Nausf_UEAuthentication_Authenticate請求的SUCI、CAGID和其他參數插入在Nudm_UEAuthentication_Get_Request消息中。AUSF204將Nudm_UEAuthentication_Get_[0164]在步驟704，UDM206將已接收到的SUCI揭示為SUPI并且基于SUPI檢索UE104的CAG小區的允許列表。在步驟705，UDM206將UE104的SUPI和CAG小區的允許列表插入在Nudm_UEauthentication_Get_Response中并且將Nudm_UEauthentication_Get_Response所請求的CAG小區/NPN102b的CAGID來驗證UE104接入所請求的CAG小區/NPN102b的權3GPPTS33.501中指定的)以用于對UE104進行認證以便允許UE104接入NPN102b/由NPN示對于UE104不允許CAG小區的CAG小區拒絕消息包括在Nausf_UEAuthentication_Authenticate響應消息中。在步驟707，AUSF204將指示不允許CAG小區的Nausf_UEAuthentication_Authenticate響應消息發送到AMF/SEAF2[0166]在步驟708，AMF/SEAF202通過向UE104發送拒絕消息和適當的原因值來拒絕[0167]圖8是描繪根據如本文所公開的實施例的在從UDM206接收到請求時在CAG服務器[0168]在步驟804，CAG服務器110基于從UDM206接收到的UE104的SUPI獲得UE104的CAG小區的允許列表。CAG服務器110基于CAG小區的允許列表和所請求的CAG小區的CAGID[0170]圖9是描繪根據如本文所公開的實施例的在從AMF/SEAF202接收到UE104的SUCI接收到的UE104的SUCI和所請求的CAG小區/NPN102b的CAGID發送到CAG[0171]在步驟902，CAG服務器110將已接收到的SUCI插入在Nudm_XXX請求消息中并且將UDM206通過Nudm_XXX響應消息將所揭示的SUPI發送到CAG服[0172]在步驟905，CAG服務器110基于從UDM206接收到的UE104的SUPI獲得UE104的CAG小區的允許列表。CAG服務器110基于CAG小區的允許列表和所請求的CAG小區的CAGID[0173]圖10是描繪根據如本文所公開的實施例的在從AUSF204接收到UE104的SUCI時CAGID連同注冊請求一起發送到AMF/SEACAG小區的CAGID和其他參數(例如SN名稱)插入在NCag_XXX請求消息中并且將該NCag_XXX所請求的CAG小區/NPN的權限。CAG服務器110基于已接收到的SUPI檢索CAG小區的允許列具有所請求的CAG小區的權限時，CAG服務器110在NCag_XXX響應消息中插入接受消息、UE[0177]在驗證出UE104不具104不允許CAG小區的拒絕消息的NCag[0180]圖11是描繪根據如本文所公開的實施例的在AMF/SEAF202處驗證UE接入CAG小區以通過NG_RAN106a在注冊請求中將所請求的CAG小區/NPN102b的CAGID發送到AMF/SEAF[0182]在步驟1103，UDM206將已接收到的UE104的SUCI揭示為SUPI并且基于SUP證過程期間使用的SUCI至SUPI的映射。在步驟1104，UDM206通過Nudm_XXX響應消息將UE104的SUPI和CAG小區的允許列表發送到AMF/SEAF2[0184]在步驟1106，AMF/SEAF202在驗證出UE具有接入CAG小區的權限時進一步繼續進[0185]在步驟1107，AMF/SEAF202通過在驗證出UE104不具有接入CAG小區的權限UE104發送具有適當的原因值的拒絕消息來拒絕UE104[0186]圖12是描繪根據如本文所公開的實施例的通過通過由UDM206提供的服務接口與通過NG_RAN106a向AMF/SEAF202發送對于CAG小區/NPN102b請將所請求的CAG小區/NPN102b的CAGID發送到AMF/SEAF202。在一個實施例中，NG_RAN[0187]在步驟1202，AMF/SEAF202將已接收到的UE104的SUCI插入在Nudm_SDM_Get_Request消息中并且將該Nudm_SDM_Get_Request消息發送到U[0188]在步驟1203，UDM206將已接收到的UE104的SUCI揭示為SUPI并且基于SUP將UE104的SUPI和CAG小區的允許列表發送到AMF/SEAF2[0190]在步驟1206，AMF/SEAF202在驗證UE具有接入CAG小區的權限時進一步繼續進行[0191]在步驟1207，AMF/SEAF202通過在驗證出UE104不具有接入CAG小區的權限時或者在AMF/SEAF202沒有從UDM206接收到SUPI的情況下向UE104發送具有適當的原因值的[0192]圖13是描繪根據如本文所公開的實施例的通過直接與AMF/SEAF202進行通信在也可以通過NG_RAN106a在請求消息中將所請求的CAG小區/NPN102b的CAGID發送到AMF/的SUPI、所請求的CAG小區/NPN102b的CAGID插入在Nudm_XXX請求消息中并且將該Nudm_務器110根據基于UE104的SUPI檢索到的CAG小區的允許列表和所請求的CAG小區的CAGID[0195]在驗證出UE104不具104不允許CAG小區的拒絕消息的NCag[0197]圖14是描繪根據如本文所公開的實施例的在從AMF/SEAF接收到UE104的SUPI時也可以通過NG_RAN106a在服務請求中將所請求的CAG小區/NPN102b的CAGID發送到AMF/注冊請求一起發送到AMF/SEAF2的SUPI、所請求的CAG小區/NPN102b的CAGID插入在Nudm_XXX請求消息中并且將該Nudm_基于UE104的SUPI檢索到的CAG小區的允許列表以及所請求的CAG小區的CAGID來驗證UE區的權限時，UDM206在Nudm_XXX響應消息中插入接受消息和UE104的CAG小區的允許列步驟1405，AMF/SEAF202可以在從UDM206接收到接受消息時進一步繼續進行UE104的注[0200]在驗證出UE104不具有接入C[0201]圖15是描繪根據如本文所公開的實施例的用于控制至少一個UE104接入無線網個CAG小區接入所請求的至少一個NPN陸地移動網絡(PLMN)(102a)以便通過至少一個封閉接入組(CAG)小區接入至少一個NPN許至少一個UE(104)通過至少一個CAG小[0205]在一些實施例中，使用至少一個CAG小區來結合PLMN(102a)部署至少一個NPNSUCI和所請求的至少一個NPN的至少一包括至少一個UE(102)的SUCI和所請求的至少一個NPN的CAGID的請求發送到PLMN(102b)才驗證至少一個UE(104)接入至少一個到的至少一個UE(104)的SUCI推導至少一個UE(104)的CAG小區的允許列表；以及使用所推導的CAG小區的允許列表和已接收到的所請求的至少一個NPN(102b)的至少一個CAGID來驗證至少一個UE(104)接入所請求的至少一個NPN(1的SUPI的映射而映射所揭示的至少一個UE(104)的SUPI；以及如果相關SUPI與所揭示的至[0215]在一些實施例中，使用所推導的CAG小區的允許列表和已接收到的所請求的至少到的所請求的至少一個NPN(102b)的至少一個CAGID存在于所推導的CAG小區的允許列表在已接收到的所請求的至少一個NPN(102b)的至少一個CAGID不存在于所推導的CAG小區[0216]在一些實施例中，該方法包括在驗證出至少一個UE(104)不具有接入所請求的至入所請求的至少一個NPN(102b)的權限時基于所揭示的至少一個UE(104)的SUPI生成認證的NPN權限時基于所生成的認證向量對至少一個UE(104)進行認證；以及在至少一個UE(104)具有通過PLMN(102a)接入所請求的至少一個NPN(102b)的NPN權一個封閉接入組(CAG)小區接入至少一個NPN(102a)。CN(108a)被配置為驗證至少一個UE程以在至少一個UE(104)通過至少一個CAG小區接入所請求的至少一個NPN(102b)的權限被[0219]在一些實施例中，使用至少一個CAG小區來結合PLMN(102a)部署至少一個NPN[0220]在一些實施例中，至少一個NPN(102b)包括非獨立NPN(102b)和獨立NPN(102b)中(AMF)(202)、認證服務器功能(AUSF)204中的至少一個被進一步配置為驗證至少一個UE務器被配置為驗證至少一個UE(104)接入所請求的至少[0223]在一些實施例中，至少一個UE(102)被進一步配置為向請求接入到至少一個NPN(102b)的PLMN(102b)的RAN(106a)發送包括至少一個UE(102)的訂閱隱藏標識符(SUCI)的請求的至少一個NPN(102b)的至少一個CAG標識符(CAGID)；以及將已接收到的UE(104)的[0225]在一些實施例中，至少一個UE(102)被進一步配置為將包括至少一個UE(102)的SUCI和所請求的至少一個NPN的CAGID的請求才被進一步配置為驗證至少一個UE(104)接入至少一個的SUCI和所請求的至少一個NPN(102a)的至少一個CAGID；基于已接收到的至少一個UE許列表和已接收到的所請求的至少一個NPN(102b)的至少一個CAGID來驗證至少一個UE[0228]在一些實施例中，CN(108a)被進一步配置為：將已接收到的至少一個UE(104)的SUCI揭示為訂閱永久標識符(SUPI)；按CAG小區的允許列表和多個UE的SUPI的映射而映射映射則推導至少一個UE(104)的CAG小區請求的至少一個NPN(102b)的至少一個CAGID存在于所推導的CAG小區的允許列表的情況接收到的所請求的至少一個NPN(102b)的CAGID不存在于所推導的CAG小區的允許列表中的情況下，驗證出至少一個UE(104)不具有用于接入所請求的至少一個NPN(102b)的CAG小接入所請求的至少一個NPN(102b)的權限時基于已接收到的至少一個UE(104)的SUPI生成認證向量；在確定至少一個UE(104)是否具有通過PLMN(102a)接入所請求的至少一個NPN有通過PLMN(102a)接入所請求的至少一個NPN(102b)的NPN權限的情況下使得至少一個UE過至少一個封閉接入組(CAG)小區被結合PLMN(102a)部署，其中P