2.3.3身份识别 移动通信网络是多用户系统,多用户系统首先要解决用户标识的问题,用户是机卡分离,实际上是用IMEI号来标识终端,由终端厂商用固化在终端中(类似于网卡的MAC地址),用IMSI号来标识用户,IMSI号在开户时存储在SIM卡和核心网HSS内; 解决了用户标识问题,然后需要解决的是用户的身份识别,即鉴权问题,只有通过鉴权的用户(合法用户)方可接入网络,类比于拨号上网需要用户名和密码,可以想象到鉴权除了需要用户标识(IMSI),还需要类似密码的参数,这就是密钥; 以LTE为例,用户开户是IMSI和K会同时保存在终端和HSS,用户每次登记入网时,核心网会下发鉴权参数给附着执行网元MME执行对用户的鉴权,这些参数包括RAND,RES,AUTN和KASME,而MME收到鉴权参数后,将RAND和AUTN发送给终端(其中RAND是HSS生产的随机数,用于和密钥一起生产RES,AUTN,和IK,CK,而IK,CK又可以生产密钥的中间参数KASME;RES是相应序列,用于MME对终端进行鉴权;AUTN是鉴权令牌,用于终端对网络进行识别,以避免接入伪基站;KASME是密钥的中间参数,用于MME,ENB,和UE对信令和用户数据的加密,完整性保护),而终端收到RAND后,会和SIM卡保存的密钥K生成和HSS一样的AUTN(用于对比网络下发的AUTN,如果一致即网络合法),RES,IK,CK,然后IK,CK又可以生成KASME,然后终端将自己算得的RES上报给MME,MME通过对比HSS下发的RES和UE上报的RES,如果二者一致,则完成对用户的鉴权,用户为合法用户,可以继续执行后续接入工作。 |