鑒權(quán)、加密、完整性保護(hù)、TMSI重分配配置使用說明

1、技術(shù)文件文件名稱： 鑒權(quán)、加密、完整性保護(hù)、TMSI重分配配置使用說明文件編號：版 本：V1.0擬制 王志剛審核會簽標(biāo)準(zhǔn)化 批準(zhǔn) TOC o 1-5 h z 概述 4 HYPERLINK l bookmark6 o Current Document 鑒權(quán)4 HYPERLINK l bookmark8 o Current Document 加密6 HYPERLINK l bookmark10 o Current Document 完整性保護(hù)7 HYPERLINK l bookmark12 o Current Document TMSI 重分配81.概述隨著CS版本的不斷演進(jìn)，設(shè)備支持的功能比以前

2、更加豐富和完善了，但是為了滿足不同應(yīng)用場景的需要，大量的安全變量和配置項(xiàng)被引入版本，給機(jī)房測試和現(xiàn)場開局帶來了很多不便，其中甚至還隱藏了很多陷阱， 錯誤的配置有時會帶來極其嚴(yán)重的后果。 本文主要針 對位置更新和接入流程， 講述如何正確配置鑒權(quán)、 加密、完整性保護(hù)、TMSI重分配等功能， 以滿足現(xiàn)場的需要。1.1.鑒權(quán)鑒權(quán)主要是網(wǎng)絡(luò)對SIM卡合法性進(jìn)行檢查，以決定是否為用戶提供相應(yīng)的服務(wù)。當(dāng)前位置更新和接入流程中與鑒權(quán)相關(guān)的安全變量（710版本后部分變成配置項(xiàng)）見下表：序號安全變量（或配置項(xiàng)）名作用1鑒權(quán)-移動起呼時起呼鑒權(quán)比例2鑒權(quán)-補(bǔ)充業(yè)務(wù)激活時補(bǔ)充業(yè)務(wù)鑒權(quán)比例3鑒權(quán)-緊急呼叫建立時緊急呼叫

3、鑒權(quán)比例4鑒權(quán)-呼叫重建時呼叫重建鑒權(quán)比例5鑒權(quán)-短消息業(yè)務(wù)時短信息業(yè)務(wù)鑒權(quán)比例6鑒權(quán)-LCS業(yè)務(wù)時LCS業(yè)務(wù)鑒權(quán)比例7鑒權(quán)-移動終呼時終呼鑒權(quán)比例8鑒權(quán)-一般性位置更新時一般位置更新鑒權(quán)比例9鑒權(quán)-IMSI附著時開機(jī)鑒權(quán)比例10鑒權(quán)-周期性位置更新時周期性位置更新鑒權(quán)比例11鑒權(quán)-MS首次登記時手機(jī)首次登記是否鑒權(quán)12鑒權(quán)矢量重復(fù)使用次數(shù)鑒權(quán)矢量重復(fù)使用次數(shù)13預(yù)留的鑒權(quán)參數(shù)組數(shù)預(yù)留的鑒權(quán)參數(shù)組數(shù)14TMSI可知，CKSN相等時是否需要鑒權(quán)用戶使用TMSI接入時，CKSN與網(wǎng)絡(luò)側(cè)保存的相同是否要鑒權(quán)15支持中移二次鑒權(quán)是否支持中移二次鑒權(quán)鑒權(quán)的設(shè)置相對比較簡單，而且不論如何設(shè)置都不會導(dǎo)致位置

4、更新或接入失敗。變量1變量10決定了相應(yīng)業(yè)務(wù)是否需要鑒權(quán)，鑒權(quán)比例為多少，比例的計(jì)算是漸進(jìn)式的，而且不針對用戶，如果設(shè)為50%,則本MP每2次此類業(yè)務(wù)需要鑒權(quán)1次。變量11, “鑒權(quán)MS首次登記時”只在用戶使用IMSI位置更新或接入，并且之前 VLR沒有 用戶數(shù)據(jù)的情況起作用，它一旦起作用要比鑒權(quán)比例設(shè)置的優(yōu)先級高，是否鑒權(quán)由它決定。變量12, “鑒權(quán)矢量重復(fù)使用次數(shù)”，僅對3元組有效，五元組不能重用。變量13, “預(yù)留的鑒權(quán)參數(shù)組數(shù)”，當(dāng)本次鑒權(quán)后，剩余鑒權(quán)參數(shù)組數(shù)低于此值時單獨(dú)發(fā) 起流程從HLR獲取鑒權(quán)參數(shù)。變量14, TMSI可知，CKSN相等時是否需要鑒權(quán)”，僅對接入流程有效，對位置更

5、新無效，而且用戶必須是使用 TMSI接入，CKSN有效且與網(wǎng)絡(luò)側(cè)保存的相同時，此變量為1 一定鑒權(quán)，為0,可以不鑒權(quán)，此時它的優(yōu)先級比業(yè)務(wù)的鑒權(quán)比例、首次登記是否鑒權(quán)都要高。變量15,支持中移二次鑒權(quán)；是中移的一個需求，在本次鑒權(quán)失敗后， 重新從數(shù)據(jù)庫中讀 取一組鑒權(quán)參數(shù)，發(fā)送給手機(jī)，重新比較鑒權(quán)結(jié)果。前面說過了鑒權(quán)比例、首次登記是否鑒權(quán)、CKSN相同是否鑒權(quán)等設(shè)置均可以影響一次業(yè)務(wù)是否鑒權(quán)，這些設(shè)置可以說是為了鑒權(quán)而鑒權(quán)。還有一些因素也會導(dǎo)致用戶要鑒權(quán)，但 那些因素并不是為了鑒權(quán)，而是為了后續(xù)流程能夠順利進(jìn)行:.加密如果本次業(yè)務(wù)需要TMSI重分配，則一定要有加密過程，雖然不一定有加密算法（可

6、以無加密），但網(wǎng)絡(luò)側(cè)一般會把盡量多的加密算法發(fā)送給BSC或RNC,同時帶上加密密鑰Kc（2G）或Ck（3G）,而無論是Kc還是Ck,都來自鑒權(quán)矢量，所以如果此時VLR中沒有此用戶的鑒權(quán)參數(shù)，則鑒權(quán)變成必選，代碼強(qiáng)制要鑒權(quán)。.完整性保護(hù)如果本次業(yè)務(wù)需要完整性保護(hù)，則必須要完整性保護(hù)算法和Ik （完整性保護(hù)密鑰），Ik也來自鑒權(quán)矢量， 所以如果此時VLR中沒有此用戶的鑒權(quán)參數(shù)， 則鑒權(quán)變成必選， 代碼強(qiáng)制 要鑒權(quán)。實(shí)際上完整性保護(hù)并不是可選過程，如果是 RNC接入，必須進(jìn)行完整性保護(hù)。加密加密是指對空中接口所傳的碼流的加密，使得用戶的通話和信令不被竊聽，當(dāng)空中接口需要傳輸重要數(shù)據(jù)前，最好先加密，一

7、個典型的應(yīng)用是 TMSI重分配前先加密。加密相關(guān)的配置包括：序號安全變量（或配置項(xiàng)）名作用1加密控制加密開關(guān)2網(wǎng)絡(luò)允許A 口無加密算法是否允許A 口無加密算法3網(wǎng)絡(luò)允許A 加密算法1-7網(wǎng)絡(luò)側(cè)支持的A加密算法4無加密算法是否允許Iu 口無加密算法5網(wǎng)絡(luò)允許加密算法1-15網(wǎng)絡(luò)側(cè)支持的Iu 加密算法變量1 加密控制；決定了位置更新或接入過程中是否要把配置的加密算法發(fā)送給手機(jī)，對2G和3G都有效，發(fā)送的參數(shù)包括加密算法、加密密鑰（2G接入為Kc, 3G接入為Ck）。變量2 網(wǎng)絡(luò)允許A 口無加密算法”，是否允許A 口無加密算法。2G接入時，有些手機(jī) 并不支持加密，此時如果允許 A 口無加密不打開，則

8、會導(dǎo)致加密失敗。變量3 網(wǎng)絡(luò)允許A 口加密算法1-7；網(wǎng)絡(luò)側(cè)支持的 A 口加密算法，實(shí)際使用中最好把 BSC支持的所有加密算法都選上，防止和手機(jī)支持的算法沒有交集，導(dǎo)致加密失敗。變量4 無加密算法；是否允許Iu 口無加密算法。3G接入時，有些手機(jī)并不支持加密， 此時如果允許 A 口無加密不打開，則會導(dǎo)致加密失敗。變量5 網(wǎng)絡(luò)允許加密算法1-15；網(wǎng)絡(luò)側(cè)支持的Iu 口加密算法，實(shí)際使用中最好把 RNC 支持的所有加密算法都選上，防止和手機(jī)支持的算法沒有交集，導(dǎo)致加密失敗。需要說明的是，加密過程是TMSI重分配的先決條件，代碼中已經(jīng)進(jìn)行了限制，但如果 加密開關(guān)不打開，加密過程不使用加密算法。完整性

9、保護(hù)完整性保護(hù)是針對 RNC接入來說的，是一種對手機(jī)和RNC之間消息完整性進(jìn)行校驗(yàn)的方法。我們設(shè)備完整性保護(hù)相關(guān)的設(shè)置包括：序號安全變量（或配置項(xiàng)）名作用1完整性控制完整性保護(hù)開關(guān)2網(wǎng)絡(luò)允許完整性保護(hù)算法完整性保護(hù)算法變量1 完整性控制；是否打開完整性保護(hù)功能，這個變量本身就是多于的，因?yàn)閷τ赗NC接入來說，完整性保護(hù)過程是必須的。而 BSC接入根本不支持完整性保護(hù)。變量2 ”網(wǎng)絡(luò)允許完整性保護(hù)算法”，網(wǎng)絡(luò)側(cè)支持的完整性保護(hù)算法，實(shí)際使用中最好把 RNC支持的所有完整性保護(hù)算法都選上，防止和手機(jī)支持的算法沒有交集，導(dǎo)致完整性保 護(hù)失敗。我們設(shè)備在完整性保護(hù)問題上一度認(rèn)識錯誤，走了一些彎路，最近

10、這些問題得到了修正，具體的說就是，從 620開始到710的很多早期版本，3G手機(jī)從RNC接入時，如果不打開TMSI重分配則無法觸發(fā)完整性保護(hù)流程，而有些地方的部分手機(jī)又不支持TMSI重分配，這就導(dǎo)致了完整性保護(hù)這個必選過程無法觸發(fā)，位置更新和接入都無法成功。下表總結(jié)了各個大版本解決此問題的時間點(diǎn)，希望有關(guān)人員在使用時多加留心：大版本號解決完整性保護(hù)問題的具體版本解決后對完整性保護(hù)的處理方法ZXWN-CSV3.06.20ZXWN-CSV3.06.20.P17.B1變量“完整性控制”必須打開ZXWN-CSV3.06.30ZXWN-CSV3.06.30.P8.B1變量“完整性控制”必須打開ZXWN-

11、CSV3.06.32ZXWN-CSV3.06.32.P2.B2變量“完整性控制”必須打開ZXWN-CSV3.07.11ZXWN-CSV3.07.11.P1.B1變量“完整性控制”無效ZXWN-CSV3.07.20ZXWN-CSV3.07.20.I3變量“完整性控制”無效TMSI重分配TMSI重分配是個運(yùn)營商決定的可選過程，可以增加網(wǎng)絡(luò)的安全性。 相關(guān)的配置項(xiàng)包括:序號安全變量（或配置項(xiàng)）名作用1TMSI再分配-移動起呼時移動起呼時是否開啟TMSI重分配2TMSI再分配-緊急呼叫建立時緊急呼叫建立時是否開啟 TMSI重分配3TMSI再分配-短消息業(yè)務(wù)時短消息業(yè)務(wù)時是否開啟 TMSI重分配4TMS

12、I再分配-LCS業(yè)務(wù)時LCS業(yè)務(wù)時是否開啟TMSI重分配5TMSI再分配-補(bǔ)充業(yè)務(wù)激活時補(bǔ)充業(yè)務(wù)激活時是否開啟 TMSI重分配6TMSI再分配-呼叫重建時呼叫重建時是否開啟 TMSI重分配7TMSI再分配-移動終呼時移動終呼時是否開啟 TMSI重分配8TMSI再分配-一般性位置更新時一般性位置更新時是否開啟TMSI重分配9TMSI再分配-周期性位置更新時周期性位置更新時是否開啟 TMSI重分配10TMSI再分配-IMSI附著時IMSI附著時是否開啟TMSI重分配11向手機(jī)要IMSI-接入時不認(rèn)識TMSI位置更新或接入時，TMSI不認(rèn)識是否跟手機(jī)要IMSI12向手機(jī)要IMSI-TMSI鑒權(quán)失敗時用TMSI鑒權(quán)失敗時，是否跟手機(jī)要IMSI重新鑒權(quán)TMSI重分配的配置相對比較簡單，但還是要注意，現(xiàn)在已經(jīng)發(fā)現(xiàn)有在接入過程中不支持TMSI重分配的手機(jī)，所以配置哪些過程需要TMSI重分配時，還要部分考慮手機(jī)的。變量1變量10分別用來設(shè)置特定業(yè)務(wù)是否需要TMSI重分配，根據(jù)需要設(shè)置即可。變量11 “向手機(jī)要I