面向垂直行业的服务使能架构层安全技术要求

1面向垂直行业的服务使能架构层安全技术要求本文件规定了在5G移动通信网络系统中支持面向垂直行业的服务使能架构层(SEAL)的安全功能和机制。主要包括用来在5G移动通信网络系统中支持高效使用和部署垂直应用的安全架构、功能模型、SEAL相关接口(如SEAL-LU)的安全方面、密钥管理流程、标识管理流程和SEAL接入认证和本文件适用于5G移动通信网络系统中面向垂直行业的服务使能架构层的安全设计和研发。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件，不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。3GPPTR21.9053GPP规范词汇表(Vocabularyfor3GPPSpecifications)forEvolvedUniversalTerres3GPPTS23.434面向垂直行业的服务使能架构层(ServiceEnablerArchitectureLayerforVerticals(SEAL);Funetionalarchitecture3GPPTS33.2103G安全；网络域安全(NDS);IP网络层安全(3GSocurity(NDS):IPnot3GPPTS33.222v17.1.0通用认证架构(GenericAuthenticationArchitecture(GAA):AccesstonetworkapplicationfunctionsusingHypertextTransferProtocoloverTransport3GPPTS33.310v16.8.0网络域安全性(NDS);(NDS);AuthenticationFranework3GPPTS33.5015G系统安全架构和流程(Securityarchitectureandproceduresfor5GIETFRFC67500Auth2.0授权框架承载口令使用(OAuth2.0AuthorizationFramework:BearerIETFRFC75210Auth2.0客户端身份验证和授权的使用框架(AssertionFrameworkforOAuth2.0ClientAuthenticationandAuthorizationGAuthenticationandAuthorizatIETFRFC7515JSONWeb签名(JWS)(IETFRFC7797JSONWeb签名：未编码负载选项(JSONWebSignature(JWS)UnencodedPaylond20penIDConnect1.00penID链接要点1.0包含勘误表集1(ConectCore1.0incorporating3术语、定义和缩略语3.1术语和定义3GPPTR21.905界定的术语和定义适用于本文件。下列缩略语适用于本文件DoS拒绝服务攻击IM-UU标识管理无线接口SEAL面向垂直行业的服务使能架构层SIM-CSEAL标识管理客户端SIM-SSEAL标识管理服务端SKM-CSEAL密钥管理客户端SKM-SSEAL密钥管理服务端UE用户设备UTC协调世界时间VAL垂直应用层DenialofServiceServiceEnablerArchitectureLayerSEALIdentityManagementCUserFquipmentVerticalApplication4SEAL安全需求4.1服务使能架构图SEL客户图1服务使能架构图UE和服务器上的SEAL功能实体分别分为SEAL客户端和SEAL服务器。SEAL由一组通用的服务(例如组管理、位置管理)和接口组成。SEAL为VAL提供服务。SEAL客户端通过SEAL-U接口与SEAL服务器通信。SEAL-UU支持单播和多播两种模式。SEAL客户端通过SEAL-C接口向VAL客户端提供服务使能层支持功能。YAL服务器通过SEAL-S接口与SEAL服务器通信。SEAL服务器可以使用由移动通信网络系统指定的相应3GPP接口与底层移动通信网络系统进行通信34.2垂直应用层用户认证和授权所有VAL服务的用户都应被认证。在向VAL.UE提供VAL服务用户配置文件和接入用户特定服务之前，VAL.客户端和VAL服务器应相互认证。网络中授权的VAL服务器和VAL.UE之间的配置数据和用户配置文件数据传输应受到机密性保护完整性保护和防重放保护。VAL服务宜采取措施检测和减轻DoS攻击，以尽量减少对网络和VAL用户的影响VAL服务应提供支持VAL用户身份机密性保护的方法。VAL服务应提供支持VAL信令机密性保护的方法。4.3域间安全VAL系统宜采取措施，保护自己免受系统边界的外部攻击。5.1.1应用平面接口安全如3GPPTS23.434中所定义，SEAL-X1参考点用于密钥管理服务器和组管理服务器之间，并使用3GPPTS23.434中所定义的HTTP-1接口将安全相关信息路由和传输到组管理服务器。SEAL-X1施和使用的配置文件应符合3GPPTS33.310v16.8.0附录E中的规定。SEAL-X2参考点使得组管理服务器能够与3GPPTS23.434中定义的位置管理服务器交互SEAL-X2应使用IETFRFC6749、IETFRFC6750和0penIDConnect1.0中定义的HTTPS进行保护。TLS实施和使用的配置文件应符合3GPPTS33.310v16.8.0附录E中的规定。IM-UU参考点用于标识管理客户端和标识管理服务器之间。标识管理客户端和标识管理服务器之间的IM-UU应使用IETFRFC6749、IETFRFC6750和0penIDConnect1.0中定义的HTTPS进行保护。TLS实施和使用的配置文件应符合3GPPTS33.310v16.8.0附录中的规定。KW-UU和KM-S是密钥管理服务器和密钥管理客户端之间的直接HTTP连接，应使用IETFRFC6749、IETFRFC6750和OpenIDConnec1.0中定义的HTTPoverTLS进行保护。hs实施和使用的配置文件应符合3GPPTS33.310vl6.8.0附录E中的规定。SEAL客户端通过3GPPTS23.434中定义的SEAL-UU参考点与SEAL服务器交互。该接口的保护4VAL客户端通过3GPPTS23.434中定义的VAL-U参考点与VAL服务器交互。该接口的保护应VAL客户端通过3GPPTS23.434中定义的SEAL-C参考点与SEAL客户端交互。此参考点完全位于UE内，因此，此接口的安全性由制造商决定，不在本文件的范围内。VAL服务器通过3GPPTS23.434中定义的SEAL-S参考点与SEAL服务器交互。该接口的保护应SEAL.服务器通过3GPPTS23.434中定义的SEAL-E参考点与另一个SEAL服务器交互。该接口的保护应根据3GPPTS33.210中规定的NS/IP进行支持。5.1.2信令控制平面HTTP接口安全为了认证HTTP-1参考点，应使用基于证书的认证或基于预共享密钥的认证在HTTP客户端和VAL.UE之间执行认证机制。基于证书的认证应符合3GPPTS33.222v17.1.0附录B和3GPPTS33.310中给出的配置文件。基于预共享密钥的密码套件的使用在3GPPTS33.310v16.8.0,附录E中给出的TLS配置文件中进行了规定HTTP-1参考点存在于VALUE和HTTP代理之间。HTTP-2存在于HTTP代理和HTTPHTTP-3参考点存在于不同网络中的HTTP代理之间。HTTP接口应使用TLS进行保护。TLS实施和使用的配置文件应符合3GPPTS33.310v16.8.0附录E中的规定5.1.3网络域接口安全VAL.UE应执行3GPPTS33.501中规定的5G网络接入安全的认证和安全机制。为确保受信任域内和受信任域之间的网络实体之间的接口安全，除非另有规定，否则应使用3GPPTS33.210来保护参考点上的信令消息。3GPPTS33.210中指定的SEG可在受信任域中用于终5.2用户认证和授权5.2.1VAL用户认证标识管理功能模型如图1所示，该模型由UE的SEAL标识管理服务器(SIM-S)和SEAL标识管理客户端(SIM-C)组成。SIM-S和SIM-C之间的DM-UU参考点应提供用于用户认证的接口，并应支持OpConmect1.0和OAuth2.0,以获得VALUE的访问令牌。应按照附录A进行面向VAML的OpenID连接配置。5.2.2SEAL服务授权SEAL服务授权程序应验证接入SEAL服务的VAL.用户。为了获得对SEAL服务的接入，SEAL客户端应为每个感兴趣的服务向SEAL服务器提供访问令牌。如果访问令牌有效，则SEAL服务器应授权客户端使用该服务5.2.3标识管理功能模型5SEAL标识管理服务器(SIM-S)和SEAL标识管理客户端(SIM-C)是提供VAL用户身份验证的端点，如图2中的SEAL标识管理功能模型所示。参考点M-UU使用3GPPTS23.401和3GPPTS23.501中所述的Uu参考点。IM-UU必须支持0penIDConnect1.0和0Auth2.0用于VAL用户标识管理服务器标识管理客户端图2SEAL标识管理功能模型为了支持YAL用户认证，应为SIM-S提供YAL用户ID和VAL服务ID(在3GPPTS23.434的第7节映射。当VAL用户希望为VAL服务进行身份认证时，通过UE标识管理客户端，并按照OpenIDConnect1.0将VAL用户ID和凭据提供给SIM-s.SDM-S接收并应验证VAL用户ID和凭据。如果验证成功，SIM-s将ID令牌、刷新令牌和访问令牌返回给UE标识管理客户端。SIM-C应从ID令牌中得到用户的VAL服务ID。表1显示了SEAL特定的令牌及其用法。表1VALUE认证令牌传递UE标识的短生命令膺(可在STM-S中定义),此令牌SIM-s《认证服务器)-应配置到SEAL标识管理数据库中，并映射到VALUEID。-应配置到SEAL密钥管理服务器(SRM-S)中，并映射到UE特定的密钥材料。5.2.4认证架构图3描述了使用0penIDConnect协议的VAL认证框架。它描述了VALUE向SDM-S进行认证的步骤，从而产生交付给UE的一组唯一标识VAL服务D的凭证。认证框架立持基于VAL服务提供商策略的可扩展用户认证解决方案(如步骤3所示)。本文件未定义可能支持步骤3的用户认证方法(例如生物识别、安全ID等)。75.2.6VAL服务授权允许VAL客户端使用请求的VAL服务。为实现VAL服务的安全性，SEALKM客户端(位于SEALUE或V向SEALKMS(SKM-S)提出密钥管理用户进行认证(见5.2)。此外，在收到任何相关密钥管理请求之前，应在SEAL客户端与SKM-s (参考点XM-UW)和VA.服务器与SKMS(参考点KM-S)之间建立安全连接。牌随每次密钥管理请求一起提供给SKM-S。VAL服务器配备有SEAL密钥管理服务范围内的访问令牌，并能够对向SKM-S发出的每个密钥管理请求提供访问令牌。将此访问令牌设置到VAL服务器的方法不在本文件的范围内。图5显示了SEAL密钥管理过程。SKM客户端可以向SKM-S验证并处理该请求，并以SEALKMResponse消息响应。响应包含SEAL服务或VLL服务请求特定的密钥管理材料。如果SKM-S遇到失败条件，则包含错误代码9“Date/Tine”字段主要用作SEAL密钥管理请求和响应的防重放机制。如果“Date/Time”字段明显超出范围(超过数秒),这可能表示重放攻击。在收到SEAL.KMReques一访问令牌有效-签名有效；-SKnsUri是存储密钥信息的目标SEAL.KMIS的SKM-SURI;和-Date/Time在最近的时间窗口内(例如5秒)。如果验证通过，则请求由SKM-S接受井处理。SEALKMRequest消息中可能包含独立的ServiceID或与ClientID、DeviceID或UserID组合的ServiceID。该组合可用于KMS识别特定密钥材料记录。每个密钥管理记录对于VAL应用或VAL服务可以是唯一的。密钥管理记录的格式和内容由VAL应用程序或VAL服务所有者/运营商定义并安全地提供到SEALKUS。用于将VAL服务或VAL应用密钥材料提供到KMS的方法超出了本文的范围。在KUS内组织、管理和维护VAL服务或VAL应用密钥材料的方法不属于本文件的范围。SEALKMResponse消息被发送到SKM-C以响应SEAL.KMRequest消息。SEALKMResponse消息通常包括Payload,该Payload包含唯一适用于请求的服务、客户端或用户的密钥管理信息。如果发生错误，可能在SEAL.KMResponse消息中返回错误代码SEALKMResponse消息应通过HTIPS隧道进行传输保护。SEALKM响应消息中的Payload可以在SKM-C和SKM-S之间受到端到端的保护，这取决于底层的VAL服务。在SKM-C和SKM-S之间确保Payload端到端安全的方法不在本文件的范国内。Payload中提供的密钥材料内容由底层VAL服务定义，不在本文件内容范国之内。SEALKMResponse消息的内容如表3所示。VAL服务/应用程序标识。此字段与在SEAL.KDIReq日期和时间。此数字表示从1970-01-01T0:0:02开始的秒数，以TC为基表3中列出的标识在5.3.2中说明。如果SKM-S在处理SEALKMRequest消息时没有遇到错误，SEALKMResponse消息中会携带一组安全参数，该安全参数包含在Payload中。如果SKM-S在处理SEAL.KMRequest消息时遇到错误，则应在SEALKMResponse消息的"ErrorCode"字段中返回表4中所述的错误值，且“Payload”字段不存在。在错误发生时，可以通知VAL服务的用户和/或运营商、UE或客户端3GPPTS29.122v17.4.3GPPTS29.122vl7.4.Hequest”或“403Forbidden”在SEALKMResponse消息的Payload中返回的密钥材料的选择由ServiceID和ClientID(可选)、服务请求特定的密钥材料集。例如，如果SEALKURcquest消息中包含ClientID,KMS可能会返回Payload,其中包含一组适用于请求VAL服务(ServiceID)内的ClientID的客户端特定密钥材料。如果包含DeviceID,则KMS可以在请求VAL服务(ServiceID)中返回包含适用于DeviceID的设备特定密钥材料的Payload。如果包含UserID,则KIS可以在请求VAL服务(ServiceID)中返回包含适用于该UserID的用户特定密钥材料的Payload。5.4VAL系统互联安全流程在3GPPIS23.434中指定了主VAL系统和合作VAL系统之间的互连。VAL客户端只能对其自身VAL系统内的VAL服务器执行用户授权。当VAL客户端需要从另一个互连的VAL系统进行通信时，用户授权在服务VAL系统中执行5.2中定义的VAL用户服务授权过程VAL系统应在系统边界上保护自己不受外部攻击者的攻击。面向VAL的OpenlD连接配置本附录提供基于0penIDConnect1.0的身份验证和授权框架的规范说明，规定了ID令牌、访问令牌、如何获取令牌、如何验证令牌以及如何使用刷新令牌等相关特性。OpenIDConnect1.0为本附录提供了来源。本附录配置(profiles)0penIDConnect标准，其中包括D令牌和访问令牌，以及密钥管理、VAL服务、配置管理和组管理等的VAL特定范围。本配置文件符合OpenIDConnect1.0。ID令牌应为JSONWeb令牌(JWT),并包含以下标准和VAL令牌声明。令牌声明提供与通过SIM-S对VAL客户端进行认证相关的信息作为附加声明。以下章节描述了VALConnect配置文件所需的标准标准声明由0penIDConnect1.0定义，是VAL实现所必需的(RFQUIRED)。OpenIDConnect定义的其他声明是可选的。基于标准声明的VALConnectID令牌如表A.1所示。SD-C的Osuth2.0client_id.必选，实施方可以提供一些小的自由度，通常不超过几分钟，以说明时VALConnect配置文件将0penIDConnect标准声明扩展为基于VAL服务的附加声明。访问令牌对VAL客户端不透明，并由VAL.资源服务器使用。访问令牌应按照IETFRFC7797中定义的JS0NWeb令牌进行编码。访问令牌应包括IETFRFC7515中定义的JS0NWeb数字签名配置文件。A.2.2.2标准声明VAL访问令牌应传递IETFRFC7662中定义的以下基于标准的声明(表A.2)。表A.2访问令牌标准声明实施方可以提供一些小的回旋余地，通常不却过几分钟，以解释时钟偏差(不超过30秒)包含与此令牌关联的授权范国空间分隔列表的JS0N字符申。此处包含的范围SD-C的标识符，主要用于SIM-C向SIMVAL配置文件扩展了IETFRFC7662中定义的标准声明，同时扩展了基于VAL服务的其他声明。在SIM-C能获取ID令牌和访问令牌(需要接入VAL资源服务器)之前，应首先按照OpenIDConnect1.0的规定向服务提供商的SIM-S注册。配置文件不规定执行此操作的方法。对于原生的SIM-C,以下信息应注册；一客户端的一个客户端标识符。客户端标识符表示客户端向授权服务器的注册，并且当SIM-C作为访问令牌时，使SDM-S能够引用与该客户端的注册相关联的参数。关于SDM-C的其他参数，例如：applicationname,website,description,logoimagtermstobeconsentedto等参数可以选择性地注册。A.4获得令牌SIM-C向VAL服务提供商的SIM-S成功注册后，SIM-C可请求ID令牌和访问令牌(如需要接入VAL服务服务器)。这里仅定义原生的SD-c.sD-C请求访问令牌的方法取决于客户端配置文件。下面将说明SIM-C配置文件及其获得0Auth访问令牌所需的步骤。根据IETFRFC6749.这符合OAuth2.0的原生应用配置文件。SIM-C符合原生应用配置文件，利用具有PKCE扩展的授权码的授权类型来增强安全性，如图A.1所示。4.TokenRequest图A.1授权码流程A.4.2.2认证请求请求URI。此配置文件需要表A.3中的标准参数。0penIDConnect1.0定义的其他参数是可选的。表A.3认证请求中的标准化参数应匹配在客户端注册阶段向SIM-S注册的重定向URI.注1:Seope参数中。其他VAL服务特定值由VAL服务规范定义，并且它不属于本SIM-S上运行的授权终端发出授权代码并将其传递到SIM-C.SM-C使用该授权代码从SIM-S获得ID令牌、访问令牌和刷新令牌。使用“application/x-www-form-urlencoded”格式将授权码添加到重定向URI的查询组件中。授权码标准化参数如表A.4所示。表A.4认证响应中的标准化参数A.4.2.4访问令牌请求“application/x-www-form-urlencoded”格式发送以下参数，并在HTTP请求实体正文中使用UTF-8的字符编码，向授权服务器的令牌端点发出请求。客户端身份验证对于原生应用是必需的(使用PKCE),以便交换访问令牌的授权代码。假设使用客户端机密，则在HTTP授权报头中发送客户端机密。访问令牌请求的标准化参数如表A.5所示。表A.5访问令牌请求的标准化参数授权码，从SIM-S收到的授权请求中的认证的结果取值应与授权请求中包含的"redirect_urA.4.2.5访问令牌响应如果访问令牌请求是有效的并且是授权的，则SIM-S在访问令牌响应消息中向SIM-C返回ID令牌、访问令牌和刷新令牌，否则会返回错误访问令牌响应标准化参数如表A.6所示表A.6访问令牌响应的标准化参数SIM-C可使用ID令牌验证用户并为用户配置(例如，从ID令牌提取VAL服务ID)。然后使用访问令牌来代表用户向STM资源服务器发出授权请求A.5更新访问令牌为了防止泄漏或其他危害，访问令牌的生命周期通常是短暂的(尽管这最终取决于服务提供商的安全策略和配置)。某些客户端类型可以颁发时长较长的刷新令牌，使其能够刷新访问令牌，并避免在访问令牌过期时再次提示用户进行认证。刷新令牌仅对使用授权代码授权类型的客户端可用。图A.2显示了原生SD-C如何将刷新令牌用作授权类型以获取新的访问令牌。图A.2请求新访问令牌A.5.2访问令牌请求为了使用刷新令牌从STM-S获得的访问令牌，SIM-C向STM-S的令牌端点提出访问令牌请求。SIM-C通过使用“application/x-www-form-urlencoded“格式添加以下参数，其中HTTP请求的字符编码为UTF-8。访问令牌请求标准化参数如表A.7所示。表A.7访问令牌请求的标准化参数或公钥私钥对)与SIM-S的令牌端点进行认证。A.5.3访问令牌响应响应访问令牌请求，SM-S