（通信与信息系统专业论文）wimax安全功能设计及实现.pdf

南京邮i 乜人学硕i ：毕业论文摘要 摘要 w i m a x ( w o r l d w i d ei n t e r o p e r a b i l i t yf o rm i c r o w a v ea c c e s s ，全球微波接入互操作) 是 一项新兴的基于i e e e8 0 2 1 6 标准的宽带无线接入城域网技术。由于无线传输信道的开放 性，w i m a x 的安全性能一直是人们关注的问题，因此w i m a x 安全机制的研究具有极为重要 的意义。 论文基于笔者参与w i m a x 移动i p t v & v o i p 原型系统开发项目的研究心得，参照 w i m a x 论坛网络工作组的w i m a x 标准规范，系统研究了w i m a x 网络安全技术，开发实 现了w i m a x 安全功能软件。 论文首先回顾w i m a x 技术优势与发展现状，介绍w i m a x 网络安全机制。在概述 w i m a x 网络架构与系统功能的基础上，对w i m a x 网络的安全功能标准进行了系统的总 结。随后，根据笔者参与w i m a x 移动i p t v & v o i p 原型系统项目的开发实践，论述了原 型系统软件模块结构和平台子系统设计技术，总结了软件实现关键技术。最后给出安全功 能的授权模块、认证模块、密钥模块的详尽设计方案，并用c 语言在l i n u x 操作系统上独 立开发完成w i m a x 网络中的安全功能软件程序。 测试结果表明，所开发的安全功能软件程序具有良好的规范性、可靠性和稳定性，完 全符合研发项目的要求。 关键词：w i m a x 安全授权认证 南京l l l g i u , 人学硕i ：i 口f 究生毕业论文 a b s t r a c t a b s t r a c t w o r l d w i d ei n t e r o p e r a b i l i t yf o rm i c r o w a v ea c c e s s ( w i m a x ) i san e wb r o a d b a n dw i r e l e s s a c c e s sm e t r o p o l i t a na r e an e t w o r kt e c h n o l o g yb a s e do ni e e e8 0 2 16s t a n d a r d d u et ot h e o p e n n e s so ft h ew i r e l e s st r a n s m i s s i o nc h a n n e l ，w i m a xs e c u r i t yi sa l w a y sac o n c e r n e dq u e s t i o n o fm a n yp e o p l e a ss u c ht h es t u d yo fw i m a x s e c u r i t ym e c h a n i s mi so fh i g hi m p o r t a n c e w i t h t h ee x p e r i e n c eg a i n e di nd e v e l o p i n gaw i m a xm o b i l ei p t v & v o l pp r o t o t y p es y s t e m ，t h i s p a p e rsy s t e m a t i c a l l ya n a l y z e sw i m a xn e t w o r ks e c u r i t yt e c h n o l o g ya n dd e v e l o p sw i m a x s e c u r i t yf u n c t i o ns o f t w a r ea c c o r d i n gt ot h es t a n d a r d sd e f i n e db yt h en e t w o r kw o r k i n gg r o u po f w i m a x f o r u m f i r s t l yar e v i e wi sg i v e nt ot h et e c h n i c a la d v a n t a g e sa n dd e v e l o p m e n ts t a t u so f w i m a xt o g e t h e rw i t hi t sn e t w o r ks e c u r i t ym e c h a n i s m f o l l o w i n ga no v e r v i e wo fw i m a x n e t w o r ka r c h i t e c t u r ea n ds y s t e mf u n c t i o n a l i t i e s ，a s y s t e m a t i cd e s c r i p t i o ni s d e v o t e dt o w i m a x s e c u r i t ys t a n d a r d s t h e nb a s e do na u t h o r sd e v e l o p m e n tp r a c t i c ei nw i m a x m o b i l e i p t v & v o i p p r o t o t y p es y s t e mp r o je c t ，t h em o d u l a rs t r u c t u r eo fp r o t o t y p es o f t w a r ea n dt h e d e s i g nt e c h n i q u e o f p l a t f o r ms u b s y s t e m a r e p r e s e n t e d k e yt e c h n i q u e s o fs o f t w a r e i m p l e m e n t a t i o na les u m m a r i z e d f i n a l l yd e t a i l e de d s i g ns c h e m ei sp r o v i d e do fs e c u r i t y f u n c t i o n a lm o d u l e s ，i n c l u d i n gt h a to fa u t h o r i z a t i o n ，a u t h e n t i c a t i o na n dc r y p t o g r a p h yk e y c o m p l e t e dp r o g r a mi sd e v e l o p e di nci n d e p e n d e n t l yb yt h ea u t h o ro nl i n u xt of u l f i l lt h e s e c u r i t yf u n c t i o n so fw i m a x n e t w o r k t h et e s t i n gr e s u l t sh a v es h o w nt h a tt h ed e v e l o p e ds e c u r i t yf u n c t i o n a ls o f t w a r ei so fg o o d s t y l e ，r e l i a b i l i t ya n ds t a b i l i t ya n df u l l ym e e t s t h er e q u i r e m e n t so ft h er & dp r o j e c t k e yw o r d s ：w i m a xs e c u r i t y a u t h o r i z a t i o na u t h e n t i c a t i o n i i 南京邮电大学学位论文原创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得 的研究成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包 含其他人已经发表或撰写过的研究成果，也不包含为获得南京邮电大学或其它 教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的 任何贡献均已在论文中作了明确的说明并表示了谢意。 研究生签名：望澎 日期：兰笙：堡垒 南京邮电大学学位论文使用授权声明 南京邮电大学、中国科学技术信息研究所、国家图书馆有权保留本人所送 交学位论文的复印件和电子文档，可以采用影印、缩印或其它复制手段保存论 文。本文电子文档的内容和纸质论文的内容相一致。除在保密期内的保密论文 外，允许论文被查阅和借阅，可以公布( 包括刊登) 论文的全部或部分内容。 论文的公布( 包括刊登) 授权南京邮电大学研究生部办理。 研究生签名： 丝塾导师签名： 、 日期：羔乒匕 ， 南京邮i 乜人学硕i j 研究生毕业论文第一章绪论 1 1w i m a x 技术背景 第一章绪论 1 1 1w i m a x 的技术优势与发展现状1 l 【2 1 w i m a x ( 全球微波接入互操作) 的众多支持者早在2 0 0 1 年就成立了w i m a x 论 坛组织，旨在推广i e e e8 0 2 1 6 无线宽带网络技术，w i m a x 技术的研究则丌展得更早， w i m a x 的兴起反映了通信技术发展的一个趋势。 w i m a x 联盟的成员包括运营商、芯片厂商、设备厂商等，具有完整的产业链。据 统计，目前w i m a x 联盟内1 4 的成员都是电信运营商。作为一项新兴的技术，能受到许 多大运营商的关注本身就显示出巨大的市场吸引力。运营商加入w i m a x 联盟也有利于解 决w i m a x 在未来的互联互通问题。 w i m a x 之所以能获得如此广泛的关注，源于其固有的技术优势，可以简要概括为 以下几点： ( 1 ) 覆盖范围广 w i m a x 的无线信号传输距离最远可达5 0 公里，是无线局域网所不能比拟的，其网络覆盖 面积是3 g 基站的1 0 倍，只要建设少数基站就能实现全城覆盖，这样就使得无线网络应用 的范围大大扩展。 ( 2 ) 接入速度高 w i m a x 所能提供的最高接入速度是7 0 m b i t s ，这个速度是3 g 所能提供的宽带速度的3 0 倍。对无线网络来说，这的确是一个惊人的进步。w i m a x 采用与无线局域网标准8 0 2 1 1 a 和8 0 2 1 l g 相同的o f d m 调制方式，每个频道的带宽为2 0 m h z 。这也和8 0 2 1 1 a 和8 0 2 1 1 9 几乎相同。不过因为可通过室外固定天线稳定地收发无线电波，所以无线电波可承载的比 特数高于8 0 2 1 l a 和8 0 2 1 1 9 。因此，可实现7 4 8 1 m b i t s 的最大传输速度。 ( 3 ) 无“最后一公里瓶颈限制 作为一种无线城域网技术，它可以将w i f i 热点连接到互联网，也可作为数字用户线d s l 等有线接入方式的无线扩展，实现最后一公里的宽带接入，用户无需线缆即可与基站建立 宽带连接。 ( 4 ) 提供广泛的多媒体通信服务 南京邮l 乜人学硕i ：研究生毕业论文 第一荦绪论 由于w i m a x 较之w i f i 具有更好的可扩展性和安全性，从而能够实现电信级的多媒体通 信服务。高宽带可以为i p 业务提供所需要的传输资源，从而大幅度提高v o i p 的q o s 。从 技术层面讲，w i m a x 更适合用于城域网建设的“最后一公里”无线接入部分，尤其是对 于新兴的运营商更为合适。 1 1 2w i m a x 网络的安全机制【3 h a l 5 1 w i m a x 网络安全机制由用户认证、密钥管理和用户授权三个部分组成。当用户使 用移动设备接入w i m a x 网络时，首先必须通过认证系统识别身份，然后才能根据用户的 身份和授权数据库决定用户是否能够访问某个资源。由于支持不同的网络结构和用户， w i m a x 中使用了基于扩展鉴权协议( e a p , e x t e n s i b l ea u t h e n t i c a t i o np r o t o c 0 1 ) 【6 】的鉴权， 主要有e a p s i m 7 1 、e a p a k a 、e a p t l s 8 】和基于x 5 0 9 证书的p k mr s a 等。 w i m a x 网络密钥管理对通过用户认证获取的密钥种子进行运算产生密钥，然后再分 发密钥，从而保证了w l m a x 网络密钥的时效性和有效性。加解密算法选择提供了w i m a x 网络的报文安全性。 w i m a x 网络用户授权根据认证过程获取的用户文档( p r o f i l e ) 为每个业务流产生业 务加密密钥( t e k ，t r a f f i ce n c r y p t i o nk e y ) ，从而为业务流建立用户与网络之间的安全联盟 ( s a ，s e c u r i t ya s s o c i a t i o n ) 。 1 2 论文的主要内容和本人所做的工作 论文第一章概述w i m a x 的技术优势与发展现状，简要说明w i m a x 网络的安全机制。 第二章从网络与接口、组网配置、工作过程、系统功能和网络标准四个方面详细描述 w i m a x 接入网络，从系统的角度阐述w i m a x 技术。 第三章讨论w i m a x 网络安全功能标准，阐述w i m a x 网络安全体系架构，说明用 户认证、密钥管理和用户授权标准。 第四章详细介绍笔者参与开发的w i m a x 原型系统的总体设计和平台系统设计，包括 线程处理模块、线程通信模块、内存管理模块和定时器管理模块的设计技术，在此基础上 总结了w i m a x 原型系统软件实现的关键技术。 第五章详尽阐述安全功能系统的设计与软件实现技术，给出了安全功能模块有限状态 机设计、数据结构和接口函数，并且对w i m a x 安全功能软件进行了测试。 论文最后总结了课题研究成果，并给出了进一步研究方向。 2 南京邮i 乜人学顾1 ：研究生毕业论文 第一荦绪论 本课题来源于企业合作项目wi m a x 移动i p t v & v o i p 原型系统项目系统设计， 本人所做的主要工作是： 首先，认真阅读并深入了解w i m a x 规范和相关技术文档，宏观上全面掌握整个 w i m a x 的组网技术： 其次，深入钻研安全功能涉及的一些协议，比如，8 0 2 1 6 e 9 1 协议、e a p t l s 协议和 d i a m e t e r 1 0 】协议； 然后，全面理解和掌握w i m a x 网络中的安全功能标准，根据标准对w l m a x 安全功 能进行模块划分，确定各模块的接口； 最后，结合w i m a x 原型系统项目，完成安全系统的模块概要设计及详细设计，并在 此基础上用c 语言编写完成安全功能模块的源程序，通过测试案例进行测试，对测试结果 进行了分析。所开发的w i m a x 安全功能软件符合研发项目的要求，w i m a x 原型系统软 件已被委托公司采用。 1 3 本章小结 近些年来，我们目睹无线接入技术的飞速发展。w i m a x 接入技术的覆盖范围广、高 带宽、服务质量有保障等特点，使得它在“最后一公里”的接入技术中占据非常重要的地 位。 w i m a x 技术是基于i e e e 8 0 2 1 6 标准的一项宽带无线技术。本章首先初步介绍了 w i m a x 的技术背景，接着给出了课题的研究背景和意义，最后说明了论文的主要内容和 本人所做的工作。 南京邮电人学硕一t ：g f 究生毕业论文 第一二章w i m a x 网络架构 第二章w i m ax 网络架构 w i m a x 论坛给出了w i m a x 接入网络架构，定义了各个网元问的接口，并归纳了多 种应用场景以便运营商根据具体情况予以采纳。w i m a x 论坛更多地关注网络侧的问题和 应用，空口无线侧顺从i e e e8 0 2 1 6 工作组制定的标准。 2 1w i m a x 网络模型及接li t l i 】【1 2 l w i m a x 网络参考模型如图2 - 1 所示。 il 2 v i s i t e dn s p h o m en s p l i r 1 尉 i la s nc s nc s n m s _ 薹b n 4 l a n o t h e r a s n a s po ri n t e m e ta s po ri n t e m e t n a p 数据平面 一一一一控制平面 图2 1w i m a x 网络参考模型 从图2 1 所示的网络参考模型中，我们可以看出，w i m a x 网络分为3 个逻辑部分一 一移动台( m s ) 、网络接入提供商( n a p ，n e t w o r k a c c e s sp r o v i d e r ) 、网络服务提供商( n s p , n e t w o r ks e r v i c ep r o v i d e r ) 。其中，n a p 由多个接入服务网( a s n ，a c c e s ss e r v i c en e t w o r k ) 组成，为用户提供w i m a x 无线接入服务。n s p 由连接服务网( c s n ，c o n n e c t i v i t ys e r v i c e n e t w o r k ) 组成，为用户提供i p 接入和w i m a x 业务。m s 与a s n 以及c s n 的接口参考 点在图中也已经标出。为了达到端到端通信，m s 、a s n 与c s n 间的互通都是基于这些参 考点的接口。每个参考点的定义都与通信双方实体内的不同功能实体协议密切相关。 参考点r 1 ：m s 与a s n 间的接口。主要是空口方面的协议规范( i e e e8 0 2 1 6 物理层 4 南京邮i 【1 人学硕一i ：研究生牛业论文第二二币w i m a x 叫络架构 和媒体访问控制层) ，还包括管理平面的协议。 参考点r 2 ：m s 与c s n 间的接口。主要包含与认证、业务流授权以及i p 主机配置管 理相关的协议，它是个逻辑接口，并非m s 与c s n 间直接的协议接口。该参考点中认证部 分是m s 与家乡( h o m e ) n s p 运营的c s n 间的协议接口，访问( v i s i t i n g ) a s n 与c s n 只 是参与这个过程。参考点r 2 可以支持i p 主机配置管理，这个过程发生在m s 与c s n ( 家 乡n s p 或者访问n s p 运营商) 之间。 参考点r 3 ：a s n 与c s n 间的接口。主要包含控制平面的一系列协议。这些协议能支 持a a a 、策略执行和移动管理。它还包括用于传输a s n 与c s n 间用户数据的承载平面方 法( 如隧道技术) 。 参考点r 4 ：a s n 间及同一a s n 内部g w 之间的接口。包括一系列控制平面和承载平 面的协议。这些协议过程在同一个a s n 内部g w 间或者是不同a s n 间进行的。 参考点r 5 c s n 间的接口。包含一系列控制平面和承载平面协议，目的在于将家乡 n s p 运营的c s n 与访问n s p 运营的c s n 互联起来。 从图2 1 中，我们可以清楚地看出，n a p 由一个或者多个a s n 组成。w i m a x 网络工 作组对a s n 做出了明确规定，并给出了参考模型。如图2 2 所示。 a s n r 3 r 1r 6 b s a s n g w r 4 r 8 ，少k r 1 b sr 6 a s n g w 数据甲面 控制平面 图2 2a s n 参考模型 在a s n 内部，有基站( b s ) 和a s n 网关( a s n g w ) 两个网元。其中b s 与b s 、 g w 以及g w 与g w 间的接口在图中也已明确标识。a s n 的外部接口有r 1 、r 3 和r 4 接 口，内部接口有r 6 和r 8 接口。其中，r 6 是a s n 中b s 与g w 问的接口，包括b s 与a s n g w 间系列的控制和承载平面协议。承载平面的协议主要指的是a s n 内部b s 与a s n g w 间的数据通道，而控制平面的协议包括数据通道建立、修改和释放控制。r 8 接口是a s n s 南京邮电人学硕l 研究生毕业论文第二章w i m a x 网络聚构 中b s 与b s 问的接口，主要指的是为了确保m s 在不同b s 间切换b s 必须支持的一系列 控制平面和一些可选的数据平面协议。 b s 是a s n 中一个非常重要的网元。它实现8 0 2 1 6 物理层和m a c 层协议，处理与 m s 的空口交互以及转发来自m s 或者a s n g w 的数据，还包括管理平面的协议，比如无 线资源管理，空口q o s 管理等，同时还包含认证、切换、数据通道、业务流等方面的功能。 它是网络与终端用户的中继。 a s n g w 是a s n 的核心网元。它是m s 的接入网关，位于i p 网络边缘，具有强大的 业务处理能力，向用户提供增值业务和新业务。包括认证、切换、数据通道、业务流、d h c p 等功能。 w i m a x 网络参考模型将整个网络分为m s 、n a p 和n s p 三个部分，它们之间的商业 关系如图2 ，3 所示。 w i 一用户和家绷p 鉴定栅务协议 ，、 卅卜 ( a s n ) 合同协议 u n w i m a x n a p 风户 八 八 fc s n) 哦a p 吵 ( c s n ) u 家乡 访i h n s p n s p 图2 3wi m a x 用户、n a p 及n s p 间的商业关系图 从图2 3 中，可以清楚地看出，w i m a x 用户与家乡n s p 签订服务协议书，为用户提 供w i m a x 接入、业务和计费服务。n s p 只能提供i p 服务和w i m a x 业务，接入功能由 n a p 提供，所以n s p 与n a p 间必须签订合约，为用户提供w i m a x 接入。当用户漫游 到异地w i m a x 网络，为了保持用户正常通信，家乡n s p 与访问n s p 间必须签订漫游协 议，为用户提供漫游服务。 6 南京邮电大学硕士研究生毕业论文第二章w i m a x 网络架构 2 2w i m a x 组网配置 为了更清楚地了解w i m a x 的组网，下面简单介绍七种组网配置： ( 1 ) 一个n a p 接入多个不同类型的家乡n s p 。 ( 2 ) 一个n s p 与多个n a p 连接提供w l m a x 接入服务。 ( 3 ) n a p 与n s p 由一个运营商管理，构成一个“绿色地带”。 ( 4 ) n a p 与n s p 由一个运营商管理，同时n a p 还能接入其他n s p 。 ( 5 ) n a p 与n s p 由一个运营商管理，构成一个“绿色地带”，并且与其他n s p 签订了 合约，提供漫游服务。 ( 6 ) 在提供漫游服务时，终端可以直接通过外地的n s p 接入因特网或者其他网络。 ( 7 ) 在提供漫游服务时，终端通过家乡n s p 接入因特网或者其他网络。 2 3w i m a x 网络的工作过程和系统功能【1 3 l 【1 4 l 【1 5 l i m接入网络指的是a s n ，它由b s 和g w 两个网元组成。为了更好地理解接入 核心网络，图2 4 简要描述了从开机到关机的整个流程。 p 开机跨辫跨差舞蹄i s 婕f - 望兰d p 霸 关机翎翎蒲衾妻铟切换懑喜 2 3 1 网络发现与选择 该过程在m s 第一次使用网络、初始网络进入、网络重进入、或当m s 穿越n a p 覆盖 7 南京邮l u 人学硕i ：研究生毕业论文第二章w i m a x 网络架构 区域的时候执行，包括选择网络，获取下行链路( d l ) 、上行链路( u l ) 信道参数和媒体 访问控制( m a c ) 同步，基本能力协商等。 网络发现与选择过程主要完成以下4 个方面的工作： ( 1 ) 扫描下行信道，与b s 建立同步 ( 2 ) 从u c d 消息中获得发射参数 ( 3 ) 进行测距，以获得正确的时间偏置和功率调整 ( 4 ) 协商基本能力 注册启动，m s 选择网络，获取d l 信道、m a c 同步和获取u l 信道参数。m s 获得 b s 广播的m a c 管理消息，从管理消息中获取同步相关的信息，实现时间同步，并获取发 射信号的参数。 m s 通过r n g r e q u e s t 和r n g r e s p o n s e 消息交互完成测距流程，获知基站信号的强 弱。 m s 发送s b c r e q 消息给b s 启动用户台基本能力( s b c ，s sb a s i cc a p a b i l i t i e s ) 协商， 主要协商p k m 协议版本、认证策略( 包括认证模式、安全策略等) 。 收到m s 发送s b c r e q 消息后，b s 发送m sp r e a t t a c h m e n tr e q u e s t 消息给它默认的 a s n g w 通知它新的m s 进入网络注册。 2 3 2 授权认证与密钥分发 鉴权认证是对接入网络的m s 进行认证，如果是合法用户，网络授权m s 接入网络， 并为其分配密钥。 鉴权认证与密钥分发过程主要包括以下几个方面： ( 1 ) m s 的e a p 过程完成m s 的接入认证； ( 2 ) m s 的e a p 过程同时完成m s 的合法授权； ( 3 ) 为m s 分发密钥，主要是为了加密空口数据； ( 4 ) 进行8 0 2 1 6 注册，通过注册过程，m s 被允许进入网络，并且被管理的m s 接收到 第二管理c i d 。 w i m a x 共定义了4 种网络接入认证模式： ( 1 ) 用户认证模式( 模式1 ) ：利用e a p 方法对用户的身份进行认证，e a p 中的i d e n t i f i e r 为用户的i d e n t i f i e r ，l t c ( l o n gt e r mc r e d e m i a l ) 为s b c ( 一般为p s k ) ，验证在家乡c s n ( h c s n ) 上进行； 8 南京邮 u 人学颁1i ：研究生毕业论义第- 二章w l m a x 网络架构 ( 2 ) 设备认证模式( 模式2 ) ：对设备进行认证，e a p 中的i d e n t i f i e r 为设备的i d e n t i f i e r ， l t c 为p s k 或基于x 5 0 9 的证书，验证在h c s n 上进行； ( 3 ) 用户、设备双重认证：先进行设备认证设备认证在访问地c s n ( v c s n ) 上进行。 丢弃设备认证所产生的e m s k ，从设备认证所产生的m s k 中衍生出e l k ，利用e l k 对后续的 用户认证进行保护，用户认证在h c s n 上进行。 ( 4 ) 用户、设备联合认证( 模式3 ) ：在同一个e a p 认证中同时验证用户和设备，认证在 h c s n 上进行。 2 3 3i s f 与d p 建立 数据通道( d p ) 功能在两个对端之间管理承载通道的建立，包括处理承载平面所需的 任何隧道或附加功能的建立。数据通道功能可用于基站之间、a s n g w 之间或者基站和 a s n g w 之间建立承载平面连接，也可处理多播或广播。为了在切换中保证低时延的连接， 可以通过数据通道功能来解决。 当一个用户终端登记到w i m a x 网络，开始i p 数据传输之前，可以按照默认方式创 建、接纳以及激活一套业务流。我们称最初建立的业务流为初始业务流( i s f ) ，建立i s f 的目的是传送控制信令，如i p 配置管理和i p 客户端应用信令( i p ，m i p ，s i p 等) 。 2 3 4 自举 w i m a x 网络支持i p 网络。当m s 开机时，它必须从网络获得到足够的信息才能被允 许连接到网络及运行移动i p 。这些信息就是通过自举这一过程获得的。自举的过程需要完 成以下三件事情： ( 1 ) 获取接入i p 地址。 ( 2 ) 获取h a 的地址。得知h a 的地址后，m s 才能进行移动i p 的注册。 ( 3 ) 获取m s 的家乡地址( h o a ) 。 ( 4 ) 如果支持移动i p ，需要进行移动i p 的注册过程，并建立m s 与h a 之问的安全联 盟。 9 南翱2 u 大学填1w 究生毕业论空 第一章w i m a xh 络架构 2 35 切换 w i m a x 中的切换可以分为两个层次：一个是二层( l 2 ) 切换，也就是链路层的移动 性管理；另卟则是三层( l 3 ) 切换，即甄络层移动性管理。 1 、a s n 锚点移动性管理 由于m s 位置的移动，导致从一个b s 移动到一个b s ，在这个过程中链路层发生了变 化，即= 层切换。这个过程中不涉及网络层，因此没有引起网络层地址的改变，a s n 锚点 没有改变，故又称之a s n 切换，相应的管理过程称之为a s n 锚点移动性管理。 ” i ”p魉a s n i c s n 、- ，一i 、 吣j ，n e t w o r k 、 ic i o u d ij 、f + 图2 - 5a s n 锚点移动性管理示意图 从图2 - 5 中可以看到，在发生a s n 锚点切换前，数据是沿着m s b s l g w l 这条路 径传输的，在切换后，数据将沿着m s b s 2 一g w 2g w l 这条路径传输。此时，g w i 依旧是m s 和c s n 连接的网关节点，故称为m s 的a s n 锚点。 2 、c s n 锚点移动性管理 c s n 锚点移动性管理，又称c s n 切换，指的是m s 发生a s n 切换后，由于某种原因， 需要改变a s n 锚点，也就是r 3 接口发生改变，因此也称为r 3 移动性管理。在这个过程 中，由于锚定的a s n g w 发生改变，数据锚点也就随着发生改变。m s 的接入网关，也就 是接八路由器发生迁移，从而带来三层地址的改变，必然需要三层移动性管理。图2 - 6 更 清楚地展示了c s n 移动性管理过程。 南京“b 人学碗l 。 究生牛业论文第一一口w i m a xh 杵颦构 越asnnetwork i c s n ，一、 、j j| l 1 絮警 焱薛： ，、厂 图2 - 6c s n 锚点切换示意图 从图中可以看到，在发生c s n 锚点切换前，数据是沿着m s - - b s 2 g w 2 g w l 这条 路径传输的，g w i 是m s 的a s n 锚点。在发生c s n 锚点切换后，数据将沿着m s - - b s 2 g w 2 这条路径传输，g w 2 成为m s 的a s n 锚点，而不是先前的g w i 。 236 寻呼 为了节省用户终端的电源，当用户没有任何业务运行时，可以关闭不使用的应用进程， 只保留接收下行链路的广播信道数据的进程。当外部有数据到来或者用户想主动发送数据 时，立即唤醒终端，进入正常工作状态。这就是寻呼的主要思想。它包括三个方面的功能： ( 1 ) 从正常通信状态进入空闲模式： ( 2 ) 退出空闲模式进入正常通信状态： ( 3 ) 在空闲模式下的位置更新。 2 3 7 退网 m s 退网通常山正常关机、或发生了某种m s 的网络服务被撤销并且上下文被删除时 的错误情况导致发生的。以下三种实体可发起m s 退网操作： ( 1 ) m s ，它可以发起正常关机退出网络； ( 2 ) a s n ，当发生正常关机，或网络侧发生失败情况触发退网； ( 3 ) c s n 内的家乡a 从服务器也可触发m s 退网。 。_ m m 塑室堕! 些厶兰堡! ：翌! 垒竺兰些堡兰笙= 三童型! 坚垒茎堕堑鲨塑 m s 退出网络包含m i p 隧道释放、d h c p 释放( 如果m s 的h o a 或转交地址( c o a ) 采用d h c p 地址配置方式) 、业务流删除、w i m a x 数据通道的释放和a a a 中的上下文删 除及计费信息的计算。 2 4 本章小结 w i m a x 论坛给出了w i m a x 接入网络参考模型，并定义了各个网元间的接口。从参 考模型中，可以清楚地看出，w i m a x 网络分为3 个逻辑部分m s 、n a p 和n s p 。n a p 是一个商业实体，它由多个a s n 组成，为用户提供w i m a x 无线接入服务。n s p 也是一 个商业实体，由c s n 构成，为用户提供i p 接入和w i m a x 业务。w i m a x 是一种宽带无 线接入技术，主要聚焦于接入网络的设计，也就是a s n 的设计。 本章的第二部分介绍了7 种w i m a x 组网配置。 w i m a x 用户终端从开机入网到退网，一般需要经历网络发现与选择、认证、i s f 与 d p 建立、自举和退网等过程。当然，如果终端发生位置移动，可能会进行切换。为了节 省终端的电源寿命，在用户没用任何业务运行的时候，会进入空闲模式，这就关系到寻呼 功能。 1 2 南京邮i u 人学硕：l 研究生毕业论文第二三章w i m a x 安全功能标准 第三章w i m ax 安全功能标准 w i m a x 安全功能是w i m a x 网络中一个非常重要的功能实体，在m s 接入网络时负 责完成用户认证、密钥管理和用户授权的功能，达到鉴别用户是否合法和对用户采取相应 鉴权策略的目的。 3 1w i m a x 网络安全体系架构 w i m a x 在考虑其安全架构时，遵循如下原则： ( 1 ) 安全架构将支持i e e e8 0 2 1 6 e 中定义的移动终端( m s s ) 和w i m a x 网络间的 双向鉴权； ( 2 ) 移动终端( m s s ) 可以基于不同的网络服务提供商( n s p ) 选择多种授权方法， 网络接入提供商( n a p ) 将为移动终端指定适当的鉴权过程或者网络服务提供商的类型， 例如，网络安全架构将提供网络服务提供商支持的基于e a p 1 4 】的鉴权； ( 3 ) 网络安全架构将支持重新授权、重认证与密钥更新功能； ( 4 ) 网络安全架构将支持数据完整性、抗重发攻击、机密性和不可抵赖性； ( 5 ) 与用户的鉴权和业务管理有关的信息将不可能被其他用户知晓，除非是对于某 个群组的用户服务并且另有明确的许可。 根据上述原则，结合i e e e8 0 2 1 6 e 协议的安全子层规范，w i m a x 论坛网络工作组给 出了安全功能处理过程。图3 1 描述了m s 入网安全功能处理过程，涉及m s 、b s 、a s n 。g w 和地s e r v e r 四个网元。 南京邮i 乜人学硕l 研究生毕业论文第二三章w i m a x 安伞功能标准 图3 1wi m a x 网络安全功能流程 步骤l 、m s 注册启动，m s 与b s 间进行网络发现与网络选择过程，获取d l 信道、 m a c 同步和u l 信道参数。 步骤2 、m s 与b s 、a s n g w 间启动s b c 基本能力协商过程，协商配对主密钥( p k m ， p a i r w i s em a s t e rk e y ) 协议版本、授权认证策略等。 步骤3 、m s 发送授权请求消息至b s ，w i m a x 网络安全过程开始。 步骤4 、m s 、b s 、a s n g w 和丸蛆s e r v e r 间执行用户认证过程，认证方法选择 e a p t l s 。如果用户认证成功，a a a s e r v e r 将认证过程产生的m s k ( m a s t e rs e c r e tk e y ) 传递给a s n g w 。a s n 。g w 根据m s k 运算产生p m k 和p m k 上下文；根据p m k 和b s - i d 4 塑皇! ! ! ! ! ! 皇叁堂堕：! ：! ! ! ! ! 竺! 些笙竺 笙三皇! ! 塑垒兰窒全些堂堡堡 运算产生授权密钥( a k ，a u t h o r i z a t i o nk e y ) 和a k 上下文。 步骤5 、a s n g w 将a k 上下文传递至b s 。 步骤6 、m s 与b s 间进行s a t e k 三次握手确认e a p t l s 认证过程产生a k 的有效 性。 步骤7 、m s 与b s 间通过k e y j 乇e q r e p l y 消息对进行业务加密密钥( t e k ，t r a 币c e n c r y p t i o nk e y ) 交换过程，t e k 用来对m s 与b s 问空目数据进行加解密。 步骤8 、b s 发送授权应答至m s ，授权认证与密钥分发功能执行完毕。 由图3 一l 的安全功能流程可以看出w i m a x 安全功能，包括用户认证、密钥管理和用 户授权三个子功能。下面详细阐述用户认证、密钥管理和用户授权的工作原理。 3 2 用户认证 1 6 1 7 1 1 1 8 1 1 9 】 当用户使用移动设备接入到w i m a x 网络时，首先必须通过身份认证系统识别用户身 份，认证成功后才能根据用户身份和授权数据库决定用户是否能够访问某个资源。为此 i e t f 提出了i e e e8 0 2 1 x 2 0 1 协议，在8 0 2 1 x 协议中，在用户和认证服务器之间交互的是 e a p 协议。e a p 最初是作为p p p 扩展创建，以便开发任意的网络访问身份认证方法。在 e a p 的基础上可扩展出不同的认证方法，包括e a p 。m d 5 、e a p s i m ；e a p t l s 等。 完整的e a p 认证有下面几个网元参与：m s ( 认证申请者) 、b s ( 认证中继) a s n 。g w ( 认证者a u t h e n t i c a t o r ) 、肌s e r v e r ( 认证服务器) 。w i m a x 认证e a p 消息封装协议集 如图3 2 所示： a s n g w b s a u t hr e l a y a u t h e l i t i c a t o r d i a m e t e 4a a as e r v e f 一 f a a a c l i e n t 图3 2wi m a x 网络e a p 认证协议集 m s 和b s 使用p k m v 2 协议封装e a p 认证消息，b s 和a s n g w 使用a u t h r e l a y 协 议封装e a p 认证消息。a s n g w 包含两个模块，a u t h e n t i c a t o r 模块完成认证过程， a a a c l i e n t 模块完成a a a 消息发送接收功能。a s n g w 的a a a c l i e n t 模块和a a a s e r v e r 南京邮电人学顾i ：研究生毕业论文第三昂w i m 人x 安拿功能标准 使用d i a m e t e r 协议【 j 封装e a p 认证消息。b s 转发m s 和a s n g w 问的e a p 消息，仅完 成e a p 消息转发功能，下面的讨论中将忽略b s 的消息转发功能。 运输层安全协议( t l s ，t r a n s p o r tl a y e rs e c u r i t yp r o t o c 0 1 ) 2 1 】是己被广泛使用的安全协 议，在o s l 分层结构中位于t c p 和应用层协议( h t t p 、f t p ) 之间。t l s 协议分为两部分： 握手协议和记录协议。其中握手协议在用户和服务器双方进行保密通信前确定密钥、加密 算法等安全参数，记录协议则定义了传输的格式。e a p t l s 是一种基于t l s 的认证方法， 用户与认证服务器间采用t l s 协议协商会话密钥，既可以为服务器认证接入用户，又可以 为用户认证服务器。e a p - t l s 是基于证书的一种认证机制，支持服务器端和客户端双向认 证、密码算法协商机制等，协议在安全性方面有其特有优势，需要在用户和服务器端使用 证书，尽管信令比较繁琐，但e a p t l s 实现方法比其他e a p 方法更安全。 3 2 1 初始认证过程 m s 在注册入网后，需要进行用户身份的认证过程来确认用户身份。w i m a x 网络提 供基于e a p 的认证方式，具体包括i d 方法认证和t l s 方法认证。a s n g w 在感知到m s 接入后向m s 发起认证请求，完成e a p 基本流程i d 认证。i d 认证成功后由m s 和 丸姐s e r v e r 之间迸行双向t l s 认证，a s n g w 转发m s 和a a a s e r v e r 间的e a p 消息。 具体认证流程如图3 3 所示： 1 6 南京邮电大学硕+ 研究生毕业论文第三章w i m a x 安全功能标准 m s a s n g w 一一一t 一 。一 ? 三一一= = = ：一。一一一 一 一 授权请求发起认证流程 ( r ) e a p _ - r e q i d ( 2 ) e a pr s