張　尼　張智江　張　范　裴小燕

[摘要]文章簡(jiǎn)述了家庭基站在現(xiàn)階段開(kāi)展融合業(yè)務(wù)中的重要作用，介紹了3GPP中家庭基站安全相關(guān)的標(biāo)準(zhǔn)進(jìn)展，研究了家庭基站的設(shè)備認(rèn)證機(jī)制，最后對(duì)方案選擇給出了建議。

[關(guān)鍵調(diào)]家庭基站Femtocell安全認(rèn)證

1引言

家庭基站也稱(chēng)Femtocell，是一種小型、低功率蜂窩基站，主要用于家庭及辦公室等室內(nèi)場(chǎng)所。它的作用是作為蜂窩網(wǎng)在室內(nèi)覆蓋的補(bǔ)充，為用戶(hù)提供話(huà)音及數(shù)據(jù)服務(wù)。家庭基站使用IP協(xié)議，采用扁平化的基站架構(gòu)，可以通過(guò)現(xiàn)有的DSL、Cable或光纖等寬帶手段接入移動(dòng)運(yùn)營(yíng)商的核心網(wǎng)絡(luò)。遠(yuǎn)端由專(zhuān)用網(wǎng)關(guān)實(shí)現(xiàn)從IP網(wǎng)到移動(dòng)網(wǎng)的連接。它的大小與ADSL調(diào)制解調(diào)器相似，具有安裝方便、自動(dòng)配置、自動(dòng)網(wǎng)規(guī)、即插即用的特點(diǎn)。Femtocell適用于CDMA、GSM、UMTS等各種標(biāo)準(zhǔn)和支持2G、2.5G、3G的產(chǎn)品，與運(yùn)營(yíng)商的其它移動(dòng)基站同制式、同頻段，適用于現(xiàn)有移動(dòng)終端。它具有1個(gè)載波，發(fā)射功率為10mW-100mW，覆蓋半徑為50m～200m，支持4～6個(gè)活動(dòng)用戶(hù)，允許的最大用戶(hù)運(yùn)動(dòng)速度為10kin／h。

近期發(fā)展來(lái)看，家庭基站是實(shí)現(xiàn)固網(wǎng)、移動(dòng)形成融合平臺(tái)的有效方案。對(duì)于家庭基站的應(yīng)用，需要跳出傳統(tǒng)微蜂窩的觀念，通過(guò)創(chuàng)新的業(yè)務(wù)模式和應(yīng)用模式將移動(dòng)業(yè)務(wù)主導(dǎo)的個(gè)人市場(chǎng)和固定業(yè)務(wù)主導(dǎo)的家庭市場(chǎng)相結(jié)合。它的引入不但可以改善家庭室內(nèi)覆蓋質(zhì)量，提供高速數(shù)據(jù)無(wú)線(xiàn)接入，卸載宏小區(qū)負(fù)荷，更重要得是可以增強(qiáng)用戶(hù)黏性，使移動(dòng)業(yè)務(wù)和寬帶業(yè)務(wù)在市場(chǎng)競(jìng)爭(zhēng)中相互促進(jìn)相互支撐。目前來(lái)看，全球大約有20多個(gè)運(yùn)營(yíng)商已開(kāi)展了基于家庭的融合業(yè)務(wù)探索，如英國(guó)電信的BT Fusion，法國(guó)電信的“Orange UNIK”和新加坡電信的“Mio”等。

與傳統(tǒng)宏基站不同，家庭基站通過(guò)固網(wǎng)運(yùn)營(yíng)商不可信的鏈路連接到移動(dòng)運(yùn)營(yíng)商的核心網(wǎng)絡(luò)，這導(dǎo)致運(yùn)營(yíng)商的核心網(wǎng)絡(luò)與公共網(wǎng)絡(luò)直接相連，必然為運(yùn)營(yíng)商的網(wǎng)絡(luò)管理帶來(lái)新的風(fēng)險(xiǎn)。此外，家庭基站部署在不可信的環(huán)境中，極易受到惡意用戶(hù)的攻擊，并以家庭基站為跳板，進(jìn)一步對(duì)運(yùn)營(yíng)商的核心網(wǎng)絡(luò)以及用戶(hù)終端造成嚴(yán)重威脅。

綜上所述，為保證家庭基站大規(guī)模商用，順利開(kāi)展融合業(yè)務(wù)，需要設(shè)計(jì)安全、完整的認(rèn)證機(jī)制以保證其安全性。

23GPP中家庭基站安全標(biāo)準(zhǔn)進(jìn)展

目前，3GPP、3GPP2、Femto Forum等標(biāo)準(zhǔn)組織都在進(jìn)行家庭基站安全相關(guān)的標(biāo)準(zhǔn)化工作，本文主要介紹3GPP中家庭基站的安全標(biāo)準(zhǔn)進(jìn)展情況。

2007年12月，3GPP SA第38次會(huì)議正式立項(xiàng)，開(kāi)展家庭基站安全機(jī)制的研究；同時(shí)起草TR33 820，分析家庭基站面臨的安全威脅，研究相應(yīng)的解決措施，涉及家庭基站安全架構(gòu)、安全威脅、安全要求等內(nèi)容。2009年3月SA第43次會(huì)議通過(guò)了TR 33.820。

2008年12月，3GPP SA第42次全會(huì)啟動(dòng)WI“Security Aspects of Home NodeB／eNodeB”，正式制定家庭基站的安全標(biāo)準(zhǔn)，計(jì)劃2010年3月完成該項(xiàng)目。目前來(lái)看，業(yè)界對(duì)家庭基站的安全解決方案已經(jīng)研究得比較充分，3GPP在這方面的工作將主要起到形成統(tǒng)一方案、促進(jìn)多廠家設(shè)備互通的作用。

隨著3GPP在3G家庭基站標(biāo)準(zhǔn)化方面工作的開(kāi)展，家庭基站相關(guān)的標(biāo)準(zhǔn)將逐漸穩(wěn)定，預(yù)計(jì)業(yè)界也將陸續(xù)推出符合3GPP標(biāo)準(zhǔn)的家庭基站解決方案，從而促進(jìn)3G家庭基站逐步走向規(guī)模商用。

3家庭基站的設(shè)備認(rèn)證機(jī)制

家庭基站的認(rèn)證通常包括以下三部分內(nèi)容：

(1)設(shè)備認(rèn)證，在家庭基站加電后，首先進(jìn)行家庭基站的設(shè)備鑒權(quán)，確認(rèn)家庭基站的身份及硬件設(shè)備的合法性；

(2)準(zhǔn)入認(rèn)證，當(dāng)UE請(qǐng)求通過(guò)家庭基站接入網(wǎng)絡(luò)時(shí)，家庭基站通過(guò)與安全網(wǎng)關(guān)以及與核心網(wǎng)設(shè)備交互。執(zhí)行UE準(zhǔn)入鑒權(quán)，判決該UE是否有接入該家庭基站的權(quán)力；

(3)UE認(rèn)證，附著在家庭基站的UE的接入請(qǐng)求將被前轉(zhuǎn)到移動(dòng)核心網(wǎng)，繼續(xù)進(jìn)行傳統(tǒng)移動(dòng)網(wǎng)絡(luò)中的UE接入鑒權(quán)。

在上述三種認(rèn)證方式中，設(shè)備認(rèn)證是家庭基站安全機(jī)制的基礎(chǔ)，因此本章僅介紹家庭基站的設(shè)備認(rèn)證，其余兩種認(rèn)證方式，可參見(jiàn)相關(guān)的3GPP規(guī)范TS25.467和TS33.102。

對(duì)于家庭基站，可以采用機(jī)卡不分離模式或機(jī)卡分離模式，每種模式下，均可使用證書(shū)或EAP AKA認(rèn)證方式，下面分別對(duì)這四種情況進(jìn)行介紹。

3.1支持機(jī)卡不分離模式

為了便于描述，首先引入信任狀的概念。本文中的信任狀是指在某種認(rèn)證方式下，保存在家庭基站和網(wǎng)絡(luò)中的秘密數(shù)據(jù)。對(duì)于證書(shū)認(rèn)證，信任狀指的是私鑰；對(duì)于EAP AKA認(rèn)證信任狀指的是根密鑰K。

機(jī)卡不分離模式要求認(rèn)證信任狀嵌入在家庭基站中。EAP AKA和證書(shū)兩種認(rèn)證方式均可滿(mǎn)足機(jī)卡不分離的需求。

(1)EAP-AKA／SIM(AKA／SIM信任狀不可插拔)

家庭基站和運(yùn)營(yíng)商核心網(wǎng)絡(luò)之間交互的信息都是基于IP協(xié)議進(jìn)行傳輸，目前3GPP已經(jīng)采納IPsec作為網(wǎng)絡(luò)節(jié)點(diǎn)間的通信安全保護(hù)技術(shù)，即家庭基站和安全網(wǎng)關(guān)之間執(zhí)行交互認(rèn)證后，家庭基站和安全網(wǎng)關(guān)問(wèn)建立安全隧道以保護(hù)家庭基站和安全網(wǎng)關(guān)之間交互的信息的安全。

如圖1所示，家庭基站和運(yùn)營(yíng)商核心網(wǎng)絡(luò)利用IPsec協(xié)議中的IKEv2承載EAP-AKA／SIM的方式進(jìn)行雙向認(rèn)證，關(guān)于IKEv2協(xié)議可參見(jiàn)RFC 4306。

1、家庭基站獲得安全網(wǎng)關(guān)的IP地址，向SG發(fā)起IKEv2認(rèn)證請(qǐng)求，家庭基站和SG執(zhí)行IKE_SA_INIT初始交換流程：

2、在IKE_AUTH階段的第一條消息中，家庭基站向安全網(wǎng)關(guān)發(fā)送家庭基站的身份標(biāo)識(shí)(攜帶在Idi載荷中發(fā)送)，開(kāi)始協(xié)商子安全關(guān)聯(lián)。如果家庭基站的遠(yuǎn)程IP地址需要?jiǎng)討B(tài)配置，這條消息中還需要攜帶配置載荷；

3、安全網(wǎng)關(guān)向AAA服務(wù)器發(fā)送攜帶空的EAP AVP的認(rèn)證請(qǐng)求消息，這條消息中包含在第二步中接收到的家庭基站的身份標(biāo)識(shí)；

4、AAA服務(wù)器從HSS／HLR獲取用戶(hù)信息和認(rèn)證向量；

5、AAA服務(wù)器發(fā)送認(rèn)證挑戰(zhàn)給安全網(wǎng)關(guān)；

6、安全網(wǎng)關(guān)向家庭基站發(fā)送IKE_AUTH響應(yīng)。IKE_AUTH響應(yīng)消息中包含從AAA服務(wù)器接收到的EAP消息(EAP-Request／AKA(SIM)-Challenge消息)。如果家庭基站需要使用安全網(wǎng)關(guān)的證書(shū)對(duì)安全網(wǎng)關(guān)進(jìn)行認(rèn)證時(shí)，這條消息中還需要包含安全網(wǎng)關(guān)身份標(biāo)識(shí)、證書(shū)和和用于保護(hù)在第1步中發(fā)送給家庭基站的消息的AUTH參數(shù)；

7、家庭基站發(fā)送認(rèn)證挑戰(zhàn)響應(yīng)消息。在響應(yīng)消息中包含EAP消息。當(dāng)家庭基站需要基于安全網(wǎng)關(guān)的證書(shū)來(lái)認(rèn)證安全網(wǎng)關(guān)時(shí)，家庭基站需要檢查認(rèn)證參數(shù)AUTH；

8、安全網(wǎng)關(guān)向AAA服務(wù)器轉(zhuǎn)發(fā)EAP-Response／AKA(SIM)-Challenge消息；

9、當(dāng)所有的認(rèn)證成功時(shí)，AAA服務(wù)器向安全網(wǎng)關(guān)返回

包含一個(gè)EAP成功和密鑰材料的認(rèn)證應(yīng)答。密鑰材料應(yīng)該包含在認(rèn)證過(guò)程中生成的MSK；

10、為了認(rèn)證IKE_SA_INIT階段消息，安全網(wǎng)關(guān)將會(huì)使用MSK生成AUTH參數(shù)；

11、安全網(wǎng)關(guān)將EAP成功消息發(fā)送給家庭基站；

12、家庭基站將使用它自己保存的MSK作為輸入?yún)?shù)生成認(rèn)證第一條IKE_SA_INIT消息的AUTH參數(shù)。家庭基站向安全網(wǎng)關(guān)發(fā)送AUTH參數(shù)：

13、安全網(wǎng)關(guān)認(rèn)證從家庭基站接收到的AUTH的正確性并且計(jì)算認(rèn)證IKE_SA_INIT消息的AUTH參數(shù)。如果家庭基站在CFG_REQUEST消息中請(qǐng)求遠(yuǎn)程IP與配置載荷、安全關(guān)聯(lián)以及其余的IKEv2參數(shù)一起發(fā)送給家庭基站，至此IKEv2協(xié)商結(jié)束；

14、若安全網(wǎng)關(guān)檢測(cè)到對(duì)于這個(gè)家庭基站已經(jīng)有一個(gè)舊的IKE SA存在了，則安全網(wǎng)關(guān)刪除這個(gè)IKE SA并且向家庭基站發(fā)送包含一個(gè)刪除載荷的INFORMATIONAL交換以在家庭基站上刪除舊的IKE SA。

(2)證書(shū)方式(證書(shū)不可插拔)

家庭基站和安全網(wǎng)關(guān)之間可使用證書(shū)方式進(jìn)行交互認(rèn)證。證書(shū)方式要求有PKI系統(tǒng)的支持，運(yùn)營(yíng)商或廠商必須部署PKI系統(tǒng)才能進(jìn)行證書(shū)的發(fā)放和證書(shū)生命周期管理。運(yùn)營(yíng)商和廠商需協(xié)商證書(shū)發(fā)放和證書(shū)生命周期管理的各個(gè)細(xì)節(jié)才能保證證書(shū)認(rèn)證的安全性。本文不介紹證書(shū)發(fā)放和證書(shū)生命周期管理相關(guān)內(nèi)容。

家庭基站和SG之間的證書(shū)認(rèn)證流程如圖2所述。

1、家庭基站發(fā)送IKE_SA_INIT請(qǐng)求給SG：

2、SG發(fā)送IKE_SA_INITU向應(yīng)，向家庭基站請(qǐng)求一個(gè)證書(shū)；

3、家庭基站在IKE_AUTH中發(fā)送家庭基站ID、AUTH負(fù)荷、家庭基站證書(shū)、并且向SG請(qǐng)求一個(gè)證書(shū)；

4、SG檢查從家庭基站得到的AUTH正確性，并且計(jì)算AUTH參數(shù)用來(lái)認(rèn)證下一個(gè)IKE_SA_INIT消息，SG還認(rèn)證從家庭基站得到的證書(shū)；

注：安全網(wǎng)關(guān)判斷家庭基站是否能夠通過(guò)接入授權(quán)的機(jī)制(如和允許接入的家庭基站的白名單對(duì)比，檢查證書(shū)撤銷(xiāo)列表)需要進(jìn)一步研究；

5、SG發(fā)送AUTH參數(shù)和它的證書(shū)給家庭基站；

6、家庭基站利用存儲(chǔ)的根證書(shū)認(rèn)證SG的證書(shū)，SG的根簽名公鑰和其他用于驗(yàn)證的數(shù)據(jù)需安全的存儲(chǔ)在家庭基站中。

7、如果SG檢驗(yàn)到針對(duì)此家庭基站已存在一個(gè)舊IKE SA，則SG刪除該IKE SA并發(fā)送包含刪除載荷的INFORMATIONAL exchange消息給家庭基站用來(lái)刪除家庭基站中的舊的IKESA。

3.2支持機(jī)卡分離模式

(1)EAP-AKA／SIM(AKA信任狀可插拔)

與3.1方案的差別在于，本方案中AKA信任狀為可插拔的信任狀。即家庭基站設(shè)備中可插入一張USIM／SIM卡，家庭基站和運(yùn)營(yíng)商核心網(wǎng)絡(luò)之間進(jìn)行EAP-AKA／SIM認(rèn)證，認(rèn)證流程參見(jiàn)圖1和相關(guān)描述。

本方案存在的安全問(wèn)題在于USIM／SIM卡難以通過(guò)安全的方式和設(shè)備綁定?？紤]如下場(chǎng)景，攻擊者獲得合法家庭基站上的USIM／SIM卡；然后利用讀卡器將計(jì)算機(jī)和USIM／SIM卡相連；計(jì)算機(jī)上軟件模擬家庭基站的功能分別和網(wǎng)絡(luò)側(cè)、USIM／SIM卡通信，通過(guò)EAP AKA／SIM認(rèn)證后連入運(yùn)營(yíng)商核心網(wǎng)絡(luò)，繼而對(duì)運(yùn)營(yíng)商核心網(wǎng)絡(luò)發(fā)起攻擊。

(2)EAP AKA／SIM+證書(shū)方式(AKA／SIM信任狀可插拔。證書(shū)不可插拔)

本方案要求家庭基站上配備一張可插拔的USIM/SIM卡，同時(shí)配備一個(gè)不可插拔的證書(shū)。EAP AKA／SIM+證書(shū)方式可使用RFC 4739中的方案進(jìn)行家庭基站和網(wǎng)絡(luò)側(cè)的交互認(rèn)證，認(rèn)證的基本思想為家庭基站和SG之間先執(zhí)行基于證書(shū)的認(rèn)證，然后家庭基站和AAA服務(wù)器之間執(zhí)行基于EAPAKA／SIM的認(rèn)證，詳細(xì)流程參見(jiàn)RFC 4739。

若希望實(shí)現(xiàn)將可插拔的AKA／SIM信任狀特定的家庭基站設(shè)備綁定，即某一特定的AKA/SIM信任狀只能在特定的家庭基站上使用，AAA服務(wù)器或HSS可保存AKA/SIM信任狀I(lǐng)D和證書(shū)ID之間的對(duì)應(yīng)關(guān)系。在認(rèn)證過(guò)程中，SG將家庭基站的證書(shū)ID和AKA／SIM信任狀I(lǐng)D發(fā)送給AAA服務(wù)器／HSS。AAA服務(wù)器／HSS檢查家庭基站證書(shū)ID和AKA／SIM信任狀I(lǐng)D之間的對(duì)應(yīng)關(guān)系。如果兩者對(duì)應(yīng)，則允許家庭基站接入，若兩者不對(duì)應(yīng)，則拒絕家庭基站接入。

4結(jié)束語(yǔ)

家庭基站作為一種新興的部署模式，得到了眾多運(yùn)營(yíng)商的關(guān)注，而安全問(wèn)題是影響家庭基站部署的重要因素。因此家庭基站設(shè)計(jì)一套復(fù)雜、完整的認(rèn)證機(jī)制以保證其安全性。本文中介紹的方案代表著家庭基站設(shè)備認(rèn)證的主流發(fā)展趨勢(shì)。基于證書(shū)的認(rèn)證方式目前在通信領(lǐng)域僅有少量應(yīng)用。但3GPP已經(jīng)決定在R9中使用證書(shū)認(rèn)證作為必選的認(rèn)證方式，這表明了未來(lái)證書(shū)方式將開(kāi)始在電信領(lǐng)域內(nèi)應(yīng)用?？紤]到現(xiàn)有的大部分家庭基站產(chǎn)品，均采用EAP-AKA／SIM方案，且此方案也能提供可接受的安全級(jí)別，故此方案可作為PKI系統(tǒng)成熟部署之前的過(guò)渡方案使用。從長(zhǎng)遠(yuǎn)角度來(lái)看，在PKI系統(tǒng)部署成熟后，家庭基站應(yīng)支持證書(shū)認(rèn)證的方式。