TD-RNS高06-200711 协议类相关技术专题(鉴权专题).docVIP

协议类相关技术专题（鉴权） 中兴通讯股份有限公司 目 录 第1章 鉴权 1 1.1 烧号和放号 1 1.2 鉴权参数五元组的产生 1 1.3 VLR/SGSN从HLR取鉴权参数集AV。 2 1.4 签权过程 4 1.4.1 VLR/SGSN选择一组AV(i) 4 1.4.2 CN发起authentication request，将RAND、AUTN发给UE。 4 1.4.3 UE对网络进行鉴权 6 1.4.4 网络对UE进行鉴权 7 附录A Symbols 9 附录B Abbreviations 10 鉴权 烧号和放号 USIM卡上烧号时烧入Ki（authentication key）值，和CN放号时在HLR上设的Ki（authentication key）值一致。 Ki应该是指：Long-term secret key shared between the USIM and the AuC 鉴权参数五元组的产生 鉴权参数五元组的信息包含RAND，XRES，AUTN，CK和IK。鉴权参数五元组的产生如下图所示，需要用到K值。 Figure shows the generation of an authentication vector AV by the HE/AuC Figure 11 Generation of authentication vectors VLR/SGSN从HLR取鉴权参数集AV。 CN在发起鉴权前，如果VLR/SGSN中还没有鉴权参数，此时将首先发起到HLR取鉴权集的过程，并等待鉴权参数的返回。鉴权参数五元组的信息包含RAND，XRES，AUTN，CK和IK。 如下图所示。 签权过程 VLR/SGSN选择一组AV(i) CN发起authentication request，将RAND、AUTN发给UE。 UE对网络进行鉴权 Figure 12 User authentication function in the USIM USIM根据K、RAND、AUTH计算出XMAC。和AUTH中包含的MAC进行比较。如果XMAC和MAC不同，UE发送包含失败原因(cause)的user authentication reject消息给CN(VLR/SGSN)。 Figure 13 Authentication and key establishment USIM还要校验接收的sequence number SQN是否在正确范围内。 如果USIM认为sequence number SQN不在正确范围内，发送synchronisation failure给CN(VLR/SGSN)。 如果sequence number SQN在正确范围内，USIM计算出RES。发送包含RES参数的user authentication response消息给CN(VLR/SGSN)。 最后USIM还要计算出CK、IK(RAND、K)。 网络对UE进行鉴权 接收到user authentication response消息后，VLR/SGSN对RES和XRES进行比较。如果XRES等于RES，签权通过。VLR/SGSN从选定的AV组中选择CK、IK。如果XRES不等于RES，鉴权失败。VLR/SGSN 将发起一个Authentication Failure Report过程给HLR，如下图。并决定向用户发起新的鉴权过程。 Figure 14 Reporting authentication failure from VLR/SGSN to HLR Symbols || Concatenation ? Exclusive or f1 Message authentication function used to compute MAC f1* Message authentication function used to compute MAC-S f2 Message authentication function used to compute RES and XRES f3 Key generating function used to compute CK f4 Key generating function used to compute IK f5 Key generating function used to compute AK in normal procedures f5* Key generating function used to compute AK in re-synchronisation procedures K Long-term secret key shared b