3GPP长期演进(LTE)安全技术介绍

1.

3GPP长演进（LTE安全技术介绍引言做过一段时间的LTE的安全研，这里简单绍了3GPP期演进（LTE研究作的开展背景和网络架构重点介绍LTE/SAE的安全架构密钥架构、安全机制等。希望能对大家研究LTE的安全所帮助。随着移动通信的普及，动通信中安全问题受到越来多的关注人们对移通信中的息安全也提出了更高的求。在2G以GSM络为例）中，用户卡和网络侧配合完成鉴权来防止未经授权的接入，而保护运商和合法户双方的益。但网在身份认证及加密算法等方面存在着许多全隐患：先，由于使用的COMP128-1算法的全缺陷，用户SIM卡和鉴权中心（AuC）共享的安全密钥可在很短的时间内被破译，从而导致对可物理接触到的SIM卡进行隆；GSM网络没考虑数据整性保护问题，难发现数据传输过程篡改等问题。第三代移动通信系统（3G）在2G的基上进行了进，继承2G系统全的优点，同时针对3G系统的新特性，定义了加完善的全特征与全服务。R99侧重接入安全，定了UMTS的安架构，采基于算法的AKA鉴权，实现终端和网间的双向证，定义了强制的完整性保护可选的加保护，提了更好的全性保护R4增加了基于的信令的保护；R5增加了IMS的安全制；R6加了通鉴权架构（AuthenticationArchitecture）和MBMSMultimediaBroadcastMulticastService）安全机制。3G技术的出现推动了移动信网数据业务的发，在更大度上满足个人通信娱乐的需求，正在被广泛推广应用。为进一步发3G技术，3GPP于年将LTE（LongTimeEvolution）作为3G系统的长演进，于年开始标制定工作在开展研究项的同时，启动了SAE（SystemArchitectureEvolution的研项目。LTE/SAE的安功能也不断得到完善、扩展和强，本文LTE/SAE的安全术进行了简要介绍。2.LTE/SAE的络架构

LTE和UMTS网络相比，的入减少了节点数，入中只有一个节点eNB（EvolvedNodeB），该eNB可以于不完可信的域之通过X2接口连接，eNB和心网设备MME/S-GW（ManagementEntity/Serving-Gateway）过S1接口连接LTE入网架构如下图所示：图1接网架构相比UMTS核心网，SAE核网较大变动，MME将取代完认证等安全功能，同时MME需完成NAS令的安全保护。核网构如图示：

图2核网架构3.LTE/SAE的全架构LTE/SAE网的全架构和UMTS的全架构基本相同，如下图所示：图3安架构LTE/SAE网的全也分为5个：12345

网络接入安全I网络域安全II用户域安全(III应用域安全(IV安全服务的可视性和可配置性（）

LTE/SAE的全构和的络安全架构比，如区：123

在ME和SN之增加了双向箭头表明ME和SN之也存在非接层全。在AN和SN之增加双向箭头表明和SN之间通信需要进行安全保。增加了服务网认证的概念，因此HE和SN之的箭头由单向箭改双箭。4.LTE/SAE的全层次图4安全次在LTE/SAE中由于eNB处于一个不完信任区域，此LTE/SAE的全包括两个次：接入层（AS）和非接入层（NAS）安全：1接入层（）安全UE与eNB之的安全，主执行AS信令的加密和完整性保护，用户面的加密性保护。2非接入层NAS安全：UE与MME之的安全，主要执行NAS信的加密和完整性保护。

5.LTE/SAE的钥架构LTE/SAE的钥次架构如下图所示，由K派出较多层次的密钥，分别实现各层的保密性和完整性保，提高了通信中的安全性。图5密架构LTE/SAE网的密钥层次架构中包含如下密钥：1UE和HSS间共享的密钥：●

K：存储在USIM和认中心的久密钥。

●CK/IK和USIMAKA认证过程中生成的密钥对。与UMTS相，CK/IK不应离开。2ME和ASME共的中间密钥：●

KASMEUE和HSS根CK/IK推得的密钥，于演层钥。3UE与eNB和的共享密钥：●KNASint：和MME根KASME推演得到的密钥，用于保护UE和MME间NAS流量的完整性。●KNASenc：和MME根KASME推演得到的密钥，用于保护UE和MME间NAS流量的保密性。●

KeNB：和MME根KASME推得到的密钥。KeNB用推导AS层钥。●KUPenc：和eNB根KeNB和加算法的标识推得，于保护UE和eNB间UP的密。●KRRCint：和eNB根KeNB和整性算法的标符演到用于保护UE和eNB间RCC的整性。●KRRCenc：和eNB根KeNB和密算法的标识推得，于保护UE和eNB间RCC的密性。6.LTE/SAE的全鉴权AKA机制LTE/SAE的AKA鉴过程和中AKA鉴过程基本相同，采用Milenage算，继承了UMTS中五元组鉴权机制的优点，实现了UE和络侧的双向鉴权。与UMTS相比，的AV（AuthenticationVector）UMTS的AV不同，AV包含CK/IK，SAEAV仅含Kasme（HSS和UE根CK/IK推得的钥参下）。LTE/SAE使AV中的来识此AV是SAEAV还UMTS，利用标识来判断认证挑战是否符合其接入网络类型，网络侧也可以利用该标识隔离SAEAV和UMTSAV，防止获得UMTSAV的击假冒SAE网。

LTE/SAE中定了UE在eNB和之间切换间的安全机制EUTRAN与UTRAN、GERAN、间切换等安全机制。7.

网络域安全LTE/SAE中网划分不同的安全域，使用NDS/IP的式（IKE＋IPsec）护网络域的安全，如下图所示：图6NDS/IP的安架图将可以将上图换为LTE/SAE实，若MME/S-GW和eNB位于不同的安全域时（如MME/S-GW和eNB通相），则图中NEA-1可看MME/S-GW，B-1可成eNB。安全网关可集成在NE中，可能是一个独立的设备。若SEG和NE之连接是可信的（如MME/S-GW和SEG之的连接位于同一个大楼内），那么在它们之间需要附其他的全措施（物理措施除外）。若MME/S-GW和eNB位于相同的安全域内，则MME/S-GW和eNB可能分别对应NEA-1和NEA-2，在他们之间使用选的Zb接口行安全保护。

若多个节点部在同一个信任环境中，那么应该将安集中在个独立的设备（即信任域边界的SEG上。在一般的场景下，终结（SEG功）或Zb口的IPsec功应该集