鉴权、加密、完整性保护、TMSI重分配配置使用说明.docxVIP

技 术 文 件 文件名称： 鉴权、加密、完整性保护、 TMSI 重分配配置 使用说明 文件编号： 版 本： V1.0 拟 制 王志刚 审 核 会 签 标准化 批 准 目 录 1. 概述 4 1.1. 鉴权 4 1.2. 加密 5 1.3. 完整性保护 5 1.4. TMSI 重分配 6 概述 随着 CS版本的不断演进，设备支持的功能比以前更加丰富和完善了，但是为了满足不 同应用场景的需要， 大量的安全变量和配置项被引入版本， 给机房测试和现场开局带来了很多不便， 其中甚至还隐藏了很多陷阱， 错误的配置有时会带来极其严重的后果。 本文主要针对位置更新和接入流程，讲述如何正确配置鉴权、加密、完整性保护、 TMSI重分配等功能，以满足现场的需要。 1.1. 鉴权 鉴权主要是网络对 SIM 卡合法性进行检查，以决定是否为用户提供相应的服务。当前位 置更新和接入流程中与鉴权相关的安全变量（ 710版本后部分变成配置项）见下表： 序号 安全变量（或配置项）名 作用 1 鉴权 -移动起呼时 起呼鉴权比例 2 鉴权 -补充业务激活时 补充业务鉴权比例 3 鉴权 -紧急呼叫建立时 紧急呼叫鉴权比例 4 鉴权 -呼叫重建时 呼叫重建鉴权比例 5 鉴权 -短消息业务时 短信息业务鉴权比例 6 鉴权 -LCS 业务时 LCS业务鉴权比例 7 鉴权 -移动终呼时 终呼鉴权比例 8 鉴权 -一般性位置更新时 一般位置更新鉴权比例 9 鉴权 -IMSI 附着时 开机鉴权比例 10 鉴权 -周期性位置更新时 周期性位置更新鉴权比例 11 鉴权 -MS 首次登记时 手机首次登记是否鉴权 12 鉴权矢量重复使用次数 鉴权矢量重复使用次数 13 预留的鉴权参数组数 预留的鉴权参数组数 14 TMSI 可知， CKSN 相等 用户使用 TMSI 接入时， CKSN 与网络侧保存的相同是否要鉴权 时是否需要鉴权 15 支持中移二次鉴权 是否支持中移二次鉴权 鉴权的设置相对比较简单，而且不论如何设置都不会导致位置更新或接入失败。 变量 1～变量 10决定了相应业务是否需要鉴权，鉴权比例为多少，比例的计算是渐进式 的，而且不针对用户，如果设为 50％，则本 MP 每 2次此类业务需要鉴权 1次。 变量 11，“鉴权 -MS 首次登记时”只在用户使用 IMSI 位置更新或接入，并且之前 VLR 没 有用户数据的情况起作用， 它一旦起作用要比鉴权比例设置的优先级高， 是否鉴权由它决定。 变量 12，“鉴权矢量重复使用次数” ，仅对 3元组有效，五元组不能重用。 变量 13，“预留的鉴权参数组数” ，当本次鉴权后，剩余鉴权参数组数低于此值时单独 发起流程从 HLR 获取鉴权参数。 变量 14，“TMSI 可知， CKSN 相等时是否需要鉴权” ，仅对接入流程有效，对位置更新 无效，而且用户必须是使用 TMSI 接入， CKSN 有效且与网络侧保存的相同时，此变量为 1一 定鉴权，为 0，可以不鉴权，此时它的优先级比业务的鉴权比例、首次登记是否鉴权都要高。 变量 15，“支持中移二次鉴权 ”，是中移的一个需求，在本次鉴权失败后，重新从数据库中读取一组鉴权参数，发送给手机，重新比较鉴权结果。 前面说过了鉴权比例、 首次登记是否鉴权、 CKSN 相同是否鉴权等设置均可以影响一次 业务是否鉴权， 这些设置可以说是为了鉴权而鉴权。 还有一些因素也会导致用户要鉴权， 但 那些因素并不是为了鉴权，而是为了后续流程能够顺利进行： 加密 如果本次业务需要 TMSI 重分配，则一定要有加密过程，虽然不一定有加密算法（可以 无加密），但网络侧一般会把尽量多的加密算法发送给 BSC或 RNC，同时带上加密密钥 Kc(2G) 或Ck(3G) ，而无论是 Kc还是 Ck ，都来自鉴权矢量，所以如果此时 VLR 中没有此用户的鉴权参数，则鉴权变成必选，代码强制要鉴权。 2. 完整性保护 如果本次业务需要完整性保护，则必须要完整性保护算法和 Ik （完整性保护密钥） ， Ik 也来自鉴权矢量， 所以如果此时 VLR 中没有此用户的鉴权参数， 则鉴权变成必选， 代码强制 要鉴权。实际上完整性保护并不是可选过程，如果是 RNC 接入，必须进行完整性保护。 1.2. 加密 加密是指对空中接口所传的码流的加密， 使得用户的通话和信令不被窃听， 当空中接口 需要传输重要数据前，最好先加密，一个典型的应用是 TMSI 重分配前先加密。加密相关的配置包括： 序号 安全变量（或配置项）名 作用 1 加密控制 加密开关 2 网络允许 A 口无加密算法 是否允许 A 口无加密算法 3 网络允许 A 口加密算法 1-7 网络侧支持的 A 口加密算法 4 无加密算法 是否允许 Iu口无加密算法 5 网络允许加密算法