Аутентификация, идентификация, защита информации

4.6 Аутентификация, идентификация, защита информации

В качестве примера осуществления передачи сигнальных сообщений по сети стандарта GSM рассмотрим реализацию процессов аутентификации подвижного абонента, идентификации мобильной станции и закрытия информации.

Каждый мобильный абонент обладает SIM-картой. Карта вручается абоненту и позволяет вести разговор с любого аппарата стандарта GSM. SIM-карта содержит: PIN-код,индивидуальный международный идентификатор абонента подвижной связи IMSI; индивидуальный ключ аутентификации Ki; алгоритм аутентификации A3; алгоритм вычисления ключа шифрования А8. Записанные на абонентских SIM-картах идентификаторы IMSI сохраняются также в регистре местоположения HLR и используются для опознавания мобильных станций в центре аутентификации AuC. Индивидуальный абонентский ключ Ki и алгоритм аутентификации A3 помимо SIM-карты сохраняются также в AuC. Абонентский ключ Ki используется в AuC для формирования массива (триплета), содержащего: ключ закрытия (шифрования) пользовательской информации Кс; квазислучайное число RAND (производное от английского слова RANDom, имеет длину 128 бит); маркированный отклик SRES(Signed RESponse, 32 бита). В результате взаимного обмена этими данными между компонентами сетевой подсистемы NSS и мобильной станцией осуществляется полный цикл аутентификации и разрешается доступ абонента к ресурсам сети стандарта GSM.

Рассмотрим этапы прохождения процедуры аутентификации. Инициировав вызов, мобильная станция по выделенному для нее сетью индивидуальному логическому каналу управления SDCCH передает в сторону MSC/VLR свой идентификатор IMSI и ключ Ki (128 бит) для определения полномочий пользователя на предоставление услуг сети стандарта GSM (этап 1 на рис. 4.21). Эти данные через VLR и HLR поступают в центр аутентификации AuC. В свою очередь, как отмечено выше, в базе данных AuC хранится пара индивидуальных абонентских характеристик, присвоенных этому пользователю: IMSI и Ki. В ответ на поступившие характеристики, AuC выдает в адрес MS квазислучайное число RAND из уникального триплета, сформированного в центре аутентификации для данной заявки (этап 2). На участке BTS-MS число RAND передается по каналу SDCCH. Триплет состоит из числа RAND, отклика SRES и ключа закрытия (шифрования) пользовательской информации Кс, полученных соответственно путем вычислений по алгоритмам A3 и А8 (рис.4.21). Отклик SRES передается из AuC в MSC(VLR) – этап 2. Мобильная станция, получив число RAND и используя хранящийся у нее абонентский ключ Ki, также вычисляет значение отклика SRES*(32 бита), удовлетворяющее условию опознавания по правилу "свой-чужой". В мобильной станции SRES* рассчитывается тоже по алгоритму A3, а затем передается по каналу SDCCH обратно в сторону коммутатора MSC (этап 3). В VLR центра коммутации производится сравнение SRES* и SRES из триплета AuC. При их совпадении мобильная станция (MS) получает доступ к сети сотовой связи и за ней закрепляется один из пользовательских логических каналов ТCH. В случае несовпадения значений SRES* и SRES, пользователь получает отказ в обслуживании. Процедура аутентификации осуществляется каждый раз при регистрации MS, попытке абонента установить соединение, при обновлении данных о местонахождении абонента, при принятии MS сигнала о вызове, а также при активизации и дезактивизации дополнительных видов обслуживания.

Закрытие (шифрование) пользовательской информации, передаваемой по логическому каналу TCH радиотракта осуществляется в BTS и MS. При назначении режима шифрования одновременно используются две квазислучайные последовательности: первая - в тракте передачи логического канала ТCH для шифрования информации в BTS и дешифрования в MS; вторая - в тракте приема этого канала для шифрования информации в MS и дешифрования в BTS. Эти квазислучайные последовательности генерируются по специальному алгоритму в BTS и MS как функции от номера кадра доступа и ключа закрытия информации Кс (64 бита). Как отмечалось выше (п.4.5.) согласно стандарту GSM при организации пользовательских логических каналов применяются 26 кадров доступа, причем каждый кадр продолжительностью 4,615 мс содержит 8 пользовательских каналов. В BTS для целей шифрования информации используется ключ Кс, получаемый из триплета AuC. В MS этот ключ вычисляется по алгоритму А8 на основании переданного из АuС квазислучайного числа RAND (рис.4.21). В обоих случаях ключи Кс - идентичны.

Каждой MS присваивается персональный международный идентификатор мобильного оборудования IMEI (International Mobile Equipment Identity), который используется для исключения доступа к сетям GSM с помощью похищенной станции, не обладающей правом на такой доступ.

Процедура идентификации MS заключается в сравнении идентификатора мобильной станции IМЕI с номерами, содержащимися в регистре идентификации оборудования EIR. Идентификация начинается с запроса со стороны MSC информации о номере MS. Получив из MS идентификатор IMEI, коммутатор MSC передает его в регистр EIR. В EIR содержится два списка оборудования: "белый" - разрешенные к использованию аппараты мобильной связи; "черный" - запрещенные для использования (например, похищенные) и технически неисправные. На основании анализа списков в EIR определяется к какой группе относится MS с номером IMEI. Результаты анализа EIR передает в MSC, где и принимается решение о возможности доступа данной MS к ресурсам сети стандарта GSM.