5G RRC毗连的创建

与LTE类似，RRC毗连的创建涉及到SRB1的创建，网络完成RRC毗连创建之前，须要先完成NG接口的创建，也就是须要收到5GC的上下文信息。因此，在RRC毗连的初始阶段不会激活接入层安全性。在RRC毗连初始期间，网络可以设置UE实行丈量陈诉，但UE只能在接入层安全激活之后才发送该陈诉。然而，当AS安全性被激活时，UE只继承带有同步消息的重配下令。
当从5GC吸收到UE上下文时，RAN使用初始AS安全激活过程激活AS安全（加密和完备性掩护）。接入层安全性激活的RRC消息是完备性掩护的，而加密只在完备性掩护过程完成后才开始。也就是说，接入层安全性激活的相应消息是不加密的，而随后的消息（比方用于创建SRB2和DRB）同时受到完备性掩护和加密。在启动了初始AS安全激活过程之后，网络可以启动SRB2和DRB的创建。在任何环境下，网络将对用于创建SRB2和DRB的RRC重配消息举行加密和完备性掩护。如果初始AS安全激活或无线承载创建失败，则网络应开释RRC毗连。不支持不带DRB的SRB2或不带SRB2的DRB的设置（即：必须在同一RRC重配消息中设置SRB2和至少一个DRB，而且不答应在未开释RRC毗连的环境下开释全部DRB）。
RRC毗连的开释通常由网络发起。开释消息可用于将UE重定向到NR频率或E-UTRA载波频率。（如：EPS Fallback）
当UE须要从RRC_INACTIVE状态转换到RRC_CONNECTED状态时，由上层发起挂起（suspend）的RRC规复，或由RRC层实行RNA更新或通过从NG-RAN的RAN寻呼来启动。当RRC毗连规复时，网络根据存储的UE Inactive AS context和从网络吸收到的任何RRC设置，根据RRC毗连规复过程设置UE。RRC毗连规复过程作为安全重新激活，并重新创建SRB和DRB。
相应于规复RRC毗连的哀求，网络可以规复挂起的RRC毗连并使UE处于RRC_CONNECTED，大概拒绝规复并将UE置为 RRC_INACTIVE，大概直接重新挂起RRC毗连并将UE设置为RRC_INACTIVE，或直接开释RRC毗连并将UE转为RRC_IDLE，或指示UE启动NAS级规复（在这种环境下，网络发送RRC setup消息）。
AS安全包罗RRC信令（SRB）和用户数据（DRB）的完备性掩护和加密。
RRC须要处置惩罚AS安全参数设置，这些参数是空口设置的一部分，包罗：完备性掩护算法、加密算法，如果对DRB启用了完备性掩护和加密，则有两个参数，即keySetChangeIndicator和nextHopChainingCount，在使用携带密钥更改的同步、毗连重修立和毗连规复的重设置时，UE使用这些密钥来确定AS安全密钥。
完备性掩护算法对于设置完备性掩护的SRB1、SRB2、SRB3和DRB来说是通用的，keyToUse值类似。加密算法对于设置类似keyToUse值的SRB1、SRB2、SRB3和DRB来说是通用的。对于MR-DC，eNB中停止的DRB不启用完备性掩护。完备性掩护和加密都不实用于SRB0。
空口有4个差别的密钥：
l RRC信令完备性掩护密钥(KRRCint)；
l RRC信令加密密钥(KRRCenc)
l 用户数据完备性掩护(KUPint)
l 用户数据加密(KUPenc)
全部四个AS密钥都是从KgNB密钥派生的。KgNB密钥基于KAMF密钥，由上层处置惩罚。
完备性掩护和加密算法只能通过同步重配来改变。毗连重修和规复后，AS密钥（KgNB, KRRCint, KRRCenc, KUPint 和KUPenc）在同步重配中修改。
每个RB在每个方向都有一个独立的计数器。对于每个RB，COUNT被用作加密和完备性掩护的输入。对于给定的安全密钥，不答应对同一COUNT值多次使用。为了限定信令开销，单个消息/分组包罗一个短序列号。别的，还使用了溢出计数器机制：超帧编号（hyper frame number）。HFN须要在UE和网络之间同步。网络负责制止重复使用具有类似RB标识和类似密钥的COUNT，比方：由于传输大量数据、开释和创建新RB以及RLC-UM承载器的多个终端点更改。为了制止这种重复使用，网络可以对RB创建使用差别的RB标识，更改AS安全密钥，大概将RRC_CONNECTED到RRC_IDLE/RRC_INACTIVE，然后毗连到RRC_CONNECTED 传输。
对于具有sk-counter的UE，keyToUse指示UE对特定DRB是使用主密钥（KgNB）照旧次要密钥(S-KeNB 或S-KgNB)。次密钥从主密钥和sk-Counter派生。每当须要革新次密钥时，比方，随着KgNB修改的MN改变或为了制止COUNT换行，使用安全密钥更新。当UE在NR-DC中时，纵然没有使用副密钥（S-KgNB）设置DRB，网络也可以向设置有sk-Counter的SCG的UE提供以答应SRB3的设置。当使用SN端接MCG承载时，网络也可以向UE提供sk-Counter，纵然没有设置SCG。