鉴权、加密、完整性保护、TMSI重分配配置使用说明

《鉴权、加密、完整性保护、TMSI重分配配置使用说明》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、技术文件文件名称：鉴权、加密、完整性保护、TMSI重分配配置使用说明文件编号：版本：V1.0拟制王志刚审核会签标准化批准目录1.概述41.1.鉴权41.2.加密51.3.完整性保护51.4.TMSI重分配61.概述随着CS版本的不断演进，设备支持的功能比以前更加丰富和完善了，但是为了满足不同应用场景的需要，大量的安全变量和配置项被引入版本，给机房测试和现场开局带来了很多不便，其中甚至还隐藏了很多陷阱，错误的配置有时会带来极其严重的后果。本文主要针对位置更新和接入流程，讲述如何正确配置鉴权、加密、完整性保护、TMSI重分配等功能，以满足现场的需要。1.1.鉴权鉴权主要是网络对SIM卡合法性

2、进行检查，以决定是否为用户提供相应的服务。当前位置更新和接入流程中与鉴权相关的安全变量（710版本后部分变成配置项）见下表：序号安全变量（或配置项）名作用1鉴权-移动起呼时起呼鉴权比例2鉴权-补充业务激活时补充业务鉴权比例3鉴权-紧急呼叫建立时紧急呼叫鉴权比例4鉴权-呼叫重建时呼叫重建鉴权比例5鉴权-短消息业务时短信息业务鉴权比例6鉴权-LCS业务时LCS业务鉴权比例7鉴权-移动终呼时终呼鉴权比例8鉴权-一般性位置更新时一般位置更新鉴权比例9鉴权-IMSI附着时开机鉴权比例10鉴权-周期性位置更新时周期性位置更新鉴权比例11鉴权-MS首次登记时手机首次登记是否鉴权12鉴权矢量重复使用次数

3、鉴权矢量重复使用次数13预留的鉴权参数组数预留的鉴权参数组数14TMSI可知，CKSN相等时是否需要鉴权用户使用TMSI接入时，CKSN与网络侧保存的相同是否要鉴权15支持中移二次鉴权是否支持中移二次鉴权鉴权的设置相对比较简单，而且不论如何设置都不会导致位置更新或接入失败。变量1～变量10决定了相应业务是否需要鉴权，鉴权比例为多少，比例的计算是渐进式的，而且不针对用户，如果设为50％，则本MP每2次此类业务需要鉴权1次。变量11，“鉴权-MS首次登记时”只在用户使用IMSI位置更新或接入，并且之前VLR没有用户数据的情况起作用，它一旦起作用要比鉴权比例设置的优先级高，是否鉴权由它决定。变

4、量12，“鉴权矢量重复使用次数”，仅对3元组有效，五元组不能重用。变量13，“预留的鉴权参数组数”，当本次鉴权后，剩余鉴权参数组数低于此值时单独发起流程从HLR获取鉴权参数。变量14，“TMSI可知，CKSN相等时是否需要鉴权”，仅对接入流程有效，对位置更新无效，而且用户必须是使用TMSI接入，CKSN有效且与网络侧保存的相同时，此变量为1一定鉴权，为0，可以不鉴权，此时它的优先级比业务的鉴权比例、首次登记是否鉴权都要高。变量15，“支持中移二次鉴权”，是中移的一个需求，在本次鉴权失败后，重新从数据库中读取一组鉴权参数，发送给手机，重新比较鉴权结果。前面说过了鉴权比例、首次登记是否鉴权、

5、CKSN相同是否鉴权等设置均可以影响一次业务是否鉴权，这些设置可以说是为了鉴权而鉴权。还有一些因素也会导致用户要鉴权，但那些因素并不是为了鉴权，而是为了后续流程能够顺利进行：1.加密如果本次业务需要TMSI重分配，则一定要有加密过程，虽然不一定有加密算法（可以无加密），但网络侧一般会把尽量多的加密算法发送给BSC或RNC，同时带上加密密钥Kc(2G)或Ck(3G)，而无论是Kc还是Ck，都来自鉴权矢量，所以如果此时VLR中没有此用户的鉴权参数，则鉴权变成必选，代码强制要鉴权。2.完整性保护如果本次业务需要完整性保护，则必须要完整性保护算法和Ik（完整性保护密钥），Ik也来自鉴权矢量，所以

6、如果此时VLR中没有此用户的鉴权参数，则鉴权变成必选，代码强制要鉴权。实际上完整性保护并不是可选过程，如果是RNC接入，必须进行完整性保护。1.1.加密加密是指对空中接口所传的码流的加密，使得用户的通话和信令不被窃听，当空中接口需要传输重要数据前，最好先加密，一个典型的应用是TMSI重分配前先加密。加密相关的配置包括：序号安全变量（或配置项）名作用1加密控制加密开关2网络允许A口无加密算法是否允许A口无加密算法3网络允许A口加密算法1-7网络侧支持的A口加密算法4无加密算法是否允许Iu口无加密算法5网络允许加密算法1-15网络侧支持的Iu口加密算法变量1“加密控制”，决定了位置更新或接入

7、过程中是否要把配置的加密算法发送给手机，对2G和3G都有效，发送的参数包括加密算法、加密密钥（2G接入为Kc，3G接入为Ck）。变量2“网络允许A口无加密算法”，是否允许A口无加密算法。2G接入时，有些手机并不支持加密，此时如果允许A口无加密不打开，则会导致加密失败。变量3“网络允许A口加密算法1-7”，网络侧支持的A口加密算法，实际使用中最好把BSC支持的所有加密算法都选上，防止和手机支持的算法没有交集，导致加密失败。变量4“无加