CDMA和WiFi雙模數(shù)據(jù)卡接入方案-ZTE

CDMA和WiFi雙模數(shù)據(jù)卡接入方案1術(shù)語(yǔ)AKA：AuthenticationandKeyAgreementAUTN：AuthenticationTokenCK：CipherKeyESP：EncapsulatingSecurityPayloadIK：IntegrityKeyIPSEC：InternetProtocolSecurityMAC：MessageAuthenticationCodeSA：SecurityAssociationSQN：SequenceNumber2參考規(guī)范[1]3GPP2S.S0127-0_v1.0_080623:“CAVEBasedIMSSecurity”[2]S.S0086-B_v2.0_080222:“IMSSecurityFramework”[3]中國(guó)電信，中國(guó)電信wPDIF設(shè)備技術(shù)規(guī)范-Uw接口分冊(cè)，2008年9月[4]IETFRFC2406(1998),"IPEncapsulatingSecurityPayload(ESP)".[5]IETFRFC3948(2005),"UDPEncapsulationofIPsecESPPackets".[6]3GPPTS29.229V8.2.0:“IPMultimedia(IM)SubsystemCxandDxinterfacesSignallingflowsandmessagecontents”.[7]3GPPTS29.229V8.2.0:“CxandDxinterfacesbasedontheDiameterprotocolProtocoldetails”.3網(wǎng)絡(luò)架構(gòu)圖1網(wǎng)絡(luò)架構(gòu)WAG同時(shí)支持UE版C+W終端和數(shù)據(jù)卡終端接入。4協(xié)議棧圖2控制面協(xié)議?？刂泼媸褂肧IP協(xié)議承載，啟用IPSEC安全處理后，被封裝在ESP報(bào)文中。SIP使用UDP承載。圖3數(shù)據(jù)面協(xié)議棧（未啟用IPSEC）數(shù)據(jù)面未啟用IPSEC時(shí)的協(xié)議棧。圖4數(shù)據(jù)面協(xié)議棧（啟用IPSEC）數(shù)據(jù)面啟用IPSEC處理后，PPP以及承載的應(yīng)用報(bào)文被封裝到ESP報(bào)文中。5Uw接口信令過(guò)程5.1注冊(cè)過(guò)程5.1.1CAVE-AKA鑒權(quán)成功圖5CAVE+AKA鑒權(quán)流程流程說(shuō)明：1.MS首先發(fā)送Register消息，如果MS此前未從wPDIF的WAG獲取Uw接口隧道封裝的相關(guān)參數(shù)或者已經(jīng)發(fā)生過(guò)注銷(xiāo)，則注冊(cè)請(qǐng)求中需要攜帶X_CT_Tunnel。請(qǐng)求開(kāi)始認(rèn)證。2.wPDIF的WAG收到Register消息后，向AN-AAA發(fā)送Cx-MAR消息，請(qǐng)求鑒權(quán)向量。3.AN-AAA和HLR/AC交互，從HLR/AC獲取AKA-CAVE的相關(guān)參數(shù)。4.AN-AAA收到后，經(jīng)過(guò)運(yùn)算產(chǎn)生AKA鑒權(quán)向量，包括AUTN,XRES,IK,CK,RAND_AKA.并通過(guò)Cx-MAA消息將鑒權(quán)向量發(fā)送到WAG。5.WAG向MS發(fā)送401Unauthorized消息后，攜帶RAND_AKA和AUTN參數(shù)。其中AUTN包括MAC和SQN參數(shù)。6.MS計(jì)算XMAC并檢查是否等于MAC，然后檢查SQN是否在正確的區(qū)間內(nèi)。如果檢查都通過(guò)，MS通知UIM卡進(jìn)行CAVE計(jì)算，UIM卡將計(jì)算結(jié)果AUTHR返回給MS。7.MS通知UIM卡計(jì)算CAVE的相關(guān)密鑰。8.UIM卡將計(jì)算結(jié)果CAVEKEYS–PLCM和SMEKEY.返回給MS。9.MS計(jì)算產(chǎn)生AKA-KEY及IK、CK、XRES等鑒權(quán)參數(shù)。10.MS將計(jì)算結(jié)果通過(guò)Register消息帶給WAG。11.WAG檢查XRES是否匹配，如果相同，向MS返回200OK消息。如果MS的注冊(cè)請(qǐng)求中攜帶了X-CT-Tunnel，則200OK消息中將隧道參數(shù)通過(guò)X-CT-Tunnel返回給MS，完成隧道協(xié)商過(guò)程。5.1.2鑒權(quán)失敗5.1.2.1UE鑒權(quán)網(wǎng)絡(luò)失敗圖6UE鑒權(quán)網(wǎng)絡(luò)失敗流程5.1.2.2網(wǎng)絡(luò)鑒權(quán)UE失敗圖7網(wǎng)絡(luò)鑒權(quán)UE失敗流程5.1.2.3鑒權(quán)未完成如果WAG收到新的注冊(cè)請(qǐng)求并且發(fā)起了鑒權(quán)請(qǐng)求，則認(rèn)為以前的鑒權(quán)過(guò)程是失敗的，應(yīng)刪除以前的鑒權(quán)相關(guān)信息。如果在設(shè)定時(shí)間內(nèi)未收到鑒權(quán)響應(yīng)，則認(rèn)為鑒權(quán)過(guò)程失敗。5.1.3鑒權(quán)同步失敗圖8鑒權(quán)重同步失敗5.1.4網(wǎng)絡(luò)發(fā)起鑒權(quán)圖8網(wǎng)絡(luò)發(fā)起鑒權(quán)WAG對(duì)已經(jīng)注冊(cè)的用戶(hù)發(fā)起鑒權(quán)，引發(fā)用戶(hù)的重新注冊(cè)過(guò)程，包括新的AKA交互過(guò)程。終端如果不回應(yīng)網(wǎng)絡(luò)發(fā)起的鑒權(quán)，WAG可以重發(fā)請(qǐng)求消息或注銷(xiāo)用戶(hù)。5.2注銷(xiāo)過(guò)程參考《中國(guó)電信wPDIF設(shè)備技術(shù)規(guī)范-Uw接口分冊(cè)》中注銷(xiāo)過(guò)程。Uw接口SIP消息需要啟用IPSEC進(jìn)行完整性和加密保護(hù)，參見(jiàn)5.7章節(jié)描述。5.3事件訂閱和通知參考《中國(guó)電信wPDIF設(shè)備技術(shù)規(guī)范-Uw接口分冊(cè)》中注銷(xiāo)過(guò)程。Uw接口SIP消息需要啟用IPSEC進(jìn)行完整性和加密保護(hù)，參見(jiàn)5.7章節(jié)描述。5.4PS呼叫建立參考《中國(guó)電信wPDIF設(shè)備技術(shù)規(guī)范-Uw接口分冊(cè)》中PS呼叫建立過(guò)程。如果Uw接口數(shù)據(jù)面啟用了IPSEC保護(hù)，則該過(guò)程中的Uw接口消息報(bào)文需要使用IPSECESP封裝。5.5PS呼叫釋放參考《中國(guó)電信wPDIF設(shè)備技術(shù)規(guī)范-Uw接口分冊(cè)》中PS呼叫釋放過(guò)程。如果Uw接口數(shù)據(jù)面啟用了IPSEC保護(hù)，則該過(guò)程中的Uw接口消息報(bào)文需要使用IPSECESP封裝。5.6PS業(yè)務(wù)切換參考《中國(guó)電信wPDIF設(shè)備技術(shù)規(guī)范-Uw接口分冊(cè)》中切換過(guò)程。5.7心跳過(guò)程參考《中國(guó)電信wPDIF設(shè)備技術(shù)規(guī)范-Uw接口分冊(cè)》中心跳過(guò)程。采用SIP信令心跳流程，Uw接口控制面心跳消息需要啟用IPSEC進(jìn)行完整性和加密保護(hù)；Uw接口數(shù)據(jù)面心跳啟用IPSEC保護(hù)可選。5.8IPSECSA建立過(guò)程依據(jù)RFC2401，使用3DES和AES（KEY長(zhǎng)度為128位bit）實(shí)現(xiàn)加密，使用HMAC-SHA-1實(shí)現(xiàn)完整性保護(hù)。依據(jù)S.S0127-0_v1.0_080623實(shí)現(xiàn)基于CAVE算法實(shí)現(xiàn)的AKA過(guò)程。對(duì)于Uw接口SIP信令，可以通過(guò)IPSECESP來(lái)實(shí)現(xiàn)加密和完整性保護(hù)。對(duì)于Uw接口用戶(hù)業(yè)務(wù)數(shù)據(jù)，可以通過(guò)IPSECESP來(lái)實(shí)現(xiàn)加密。WAG設(shè)備和UE是否啟用IPSECESP加密根據(jù)中國(guó)電信業(yè)務(wù)需要來(lái)確定。即UE和WAG設(shè)備要具備業(yè)務(wù)應(yīng)用IPSEC保護(hù)使能開(kāi)關(guān)?？刂泼婧蛿?shù)據(jù)面IPSEC都使用傳輸模式。5.8.1SA參數(shù)說(shuō)明下述參數(shù)用于IPSECESP。1.加密算法：DES-EDE3-CBC（見(jiàn)RFC2451定義）或者AES-CBC（使用128bit的key，見(jiàn)RFC3602定義）；2.完整性算法：HMAC-MD5-96（見(jiàn)RFC2403）或者HMAC-SHA-1-96（見(jiàn)RFC2404）；3.SPI：SecurityParameterIndex，分配給本地入SA使用；4.Lifetype：以秒為單位；5.SA生存期：固定為2^32-1；6.模式：使用傳輸模式；7.IK密鑰長(zhǎng)度：HMAC-MD5-96算法為128位bit，HMAC-SHA-1-96為160位bit；8.CK密鑰長(zhǎng)度：具體取決于加密算法，至少為128位bit；9.選擇符：綁定到UE和WAG間的SA上。對(duì)于SIP信令UE和WAG間建立2對(duì)單向SA：1對(duì)SA描述UE的客戶(hù)端端口和AG的服務(wù)端端口間的業(yè)務(wù)流；另外一對(duì)描述WAG的客戶(hù)端端口和UE的服務(wù)端端口。WAG的入SA：源和目的IP為WAG收到SIP報(bào)文的源IP和目的IP，在port_ps上接收消息，使用UDP協(xié)議；WAG的出SA：源和目的IP為WAG收到SIP報(bào)文的目的IP和源IP，向port_pc上發(fā)送消息，使用UDP協(xié)議；Port_ps和port_pc不使用標(biāo)準(zhǔn)SIP端口5060和5061。UE的入SA：源和目的IP為UE收到SIP報(bào)文的源IP和目的IP，在port_us上接收消息，使用UDP協(xié)議；UE的出SA：源和目的IP為UE發(fā)出SIP報(bào)文的目的IP和源IP，向port_uc上發(fā)送消息，使用UDP協(xié)議；Port_us和port_uc不使用標(biāo)準(zhǔn)SIP端口5060和5061。WAG上建立SA上下文表：存儲(chǔ)UE源IP地址、入SAport對(duì)（port_uc,port_ps）、出SAport對(duì)(port_us,port_pc)、SPI，IMSI，lifetime。對(duì)收到的受保護(hù)的消息在SA表上進(jìn)行匹配，匹配失敗則丟棄。UE上建立SA上下文：入SAport對(duì)（port_uc,port_ps）、出SAport對(duì)(port_us,port_pc)、SPI、lifetime。對(duì)收到受保護(hù)的消息在SA表上進(jìn)行匹配，匹配失敗則丟棄。注：為了穿越NAT，WAG只保存和匹配檢查實(shí)際收到SIP報(bào)文的port和IP地址。而不是匹配SIP報(bào)文中填寫(xiě)的IP和端口號(hào)。5.8.2SA成功建立過(guò)程流程圖參見(jiàn)下圖，交互建立過(guò)程描述如下：圖9IPSECSA的協(xié)商建立過(guò)程（1）UE發(fā)送的注冊(cè)請(qǐng)求中攜帶Security-setup=SPI_U(spi_uc,spi_us),Port_U(port_uc,port_us),UEintegrityandencryptionalgorithmslistWAG收到請(qǐng)求后存儲(chǔ)這些參數(shù)以及UE的IP地址。（4）在收到消息（4）后同時(shí)存儲(chǔ)IK和CK參數(shù)。WAG在本地建立一對(duì)新的SA上下文。WAG從自己完整性和加密算法列表（按照優(yōu)先級(jí)排序）中選取UE也支持的具備較高優(yōu)先級(jí)的完整性保護(hù)算法。（5）WAG發(fā)送401Unauthorized消息中攜帶Security-setup=SPI_P(spi_pc,spi_ps),Port_P(port_pc,port_ps),WAGintegrityandencryptionalgorithmslistUE收到401消息后，選取UE也支持的第一個(gè)完整性和加密算法組合，UE在本地建立一對(duì)新的SA上下文。（10）UE將對(duì)該消息進(jìn)行加密和完整性保護(hù)。UE發(fā)送的注冊(cè)請(qǐng)求中攜帶Security-setup=SPI_U,Port_U,SPI_P,Port_P,WAGintegrityandencryptionalgorithmslistWAG檢查SPI_U和Port_U是否和消息1中攜帶的匹配，如果失敗則注冊(cè)過(guò)程中止。（11）WAG發(fā)送200ok給UE標(biāo)識(shí)安全模式已經(jīng)成功建立。UE收到注冊(cè)成功響應(yīng)后可認(rèn)為安全模式已經(jīng)成功建立。UE和WAG間的兩對(duì)IPSECSA的用法見(jiàn)下圖：圖10IPSECSA的使用5.8.3SA建立失敗5.8.3.1UE鑒權(quán)網(wǎng)絡(luò)失敗UE通過(guò)已經(jīng)建立的SA發(fā)送注冊(cè)消息，指示鑒權(quán)網(wǎng)絡(luò)失敗。WAG收到消息后刪除新建的SA。5.8.3.2網(wǎng)絡(luò)鑒權(quán)UE失敗如圖5，UE收到消息（5）后完整性檢查失敗，WAG在超時(shí)后刪除SA。如果完整性檢查通過(guò)，但WAG收到錯(cuò)誤的鑒權(quán)響應(yīng)，則WAG通過(guò)已建立的SA發(fā)送403消息，UE和WAG刪除新建的SA。5.8.3.3鑒權(quán)同步失敗UE檢查SQN超出范圍，通過(guò)已建立的SA發(fā)送注冊(cè)消息，指示重同步失敗。WAG收到消息后刪除新建的SA。5.8.3.4鑒權(quán)未完成如果UE發(fā)送鑒權(quán)響應(yīng)后在請(qǐng)求超時(shí)前未收到應(yīng)答，UE啟動(dòng)注冊(cè)流程，通過(guò)以前鑒權(quán)成功建立的SA來(lái)保護(hù)注冊(cè)流程消息。如果WAG因?yàn)樯嬷芷诔瑫r(shí)刪除SA，WAG將同時(shí)刪除和建立該SA相關(guān)的用戶(hù)注冊(cè)信息。5.8.3.5SA參數(shù)協(xié)商失敗如果WAG不能接受UE帶來(lái)的Security-setup參數(shù)，則向UE發(fā)送錯(cuò)誤響應(yīng)；如果UE不能接收WAG帶來(lái)的Security-setup參數(shù)，UE將中止注冊(cè)。如果消息（10）WAG檢查UE帶來(lái)的鑒權(quán)和加密算法列表和消息（5）中發(fā)出的列表不同，則注冊(cè)過(guò)程中止。5.8.4UEIP地址改變后的SA處理如果UE變更了IP地址，UE將刪除已存在的SA，并使用新的IP地址發(fā)起未安全保護(hù)的注冊(cè)流程。5.9數(shù)據(jù)面的IPSEC保護(hù)在控制面SIP過(guò)程建立IPSECSA之后。如果IPSEC使能開(kāi)關(guān)打開(kāi)，Uw接口數(shù)據(jù)面啟用IPSECESP保護(hù)，使用SIP鑒權(quán)過(guò)程中成功協(xié)商的新的SA信息中的加密算法，根據(jù)鑒權(quán)過(guò)程中獲取的CK，啟動(dòng)加解密運(yùn)算。5.10NAT穿越支持參見(jiàn)協(xié)議棧圖2所示，控制面在ESP頭前添加了UDP頭部，使用UDP頭部WAG設(shè)備可以區(qū)分NAT設(shè)備后的不同主機(jī)。數(shù)據(jù)面在ESP頭部前增加了TUNNEl頭部，該頭部結(jié)構(gòu)定義和C+WUE版相同，WAG設(shè)備可以通過(guò)TUNNEL頭部區(qū)分NAT設(shè)備后的不同主機(jī)。如圖9。圖11TUNNEL頭部結(jié)構(gòu)5.11ESP封裝和解封裝處理5.11.1控制面5.11.2數(shù)據(jù)面6Ua接口信令過(guò)程Ua接口消息基于DIAMETER協(xié)議承載，遵循IETFRFC3588"DiameterBaseProtocol"；Ua接口消息信元定義順從3GPPTS29.228V8.2.0和3GPPTS29.229V8.2.0中關(guān)于MAR、MAA、RTR、RTA消息的格式和編碼要求。6.1鑒權(quán)過(guò)程圖12Ua接口鑒權(quán)過(guò)程WAG向AN-AAA發(fā)送MAR（Multimedia-Authentication-Request）消息，要求獲取鑒權(quán)5元組信息；A