移动通信网加密技术的演进.docx

移动通信网加密技术的演进卢丹工业和信息化部电信研究院信息通信安全研究所工程师 郭骁然工业和信息化部电信研究院信息通信安全研究所助理工程师摘要 通过研究移动网中 2G、3G、4G 和 IMS 网络中加密技术和应用场景，分析确定了移动通信网 中加密技术的演进方向。关键词 移动通信网 加密 解密 密钥1引言电信网技术发展的日新月异，促使人们对信息资 源的依赖性越来越强，然而巨大的安全隐患迫使人们 加强网络的安全防护。加密技术作为网络安全防护中 重要机制之一，通过对信息进行加密处理实现密文传 输，来保护数据的机密性，防止信息窃听。加密技术按照使用的密钥分类可分为以下两大类： 一类是对称密钥体制，即加解密的密钥相同（包括 DES，3DES，RSA R2、R4，IDE），它适应大量数据加 密，但在密码管理和安全性方面比较欠缺。对称加密 技术按照加解密方式分类，可进一步分为分组加密体 制与序列加密体制两类。分组加密是把欲加密的文网络功能虚拟化技术是未来网络发展的主要趋 势，具有降低采购及运营成本、减少机房占用空间、降 低能耗、实现网络的快速部署等特点，但是也会引发许 多安全问题（如软件安全漏洞频发、网络不稳定、用户 数据泄露等）。应该把握当前网络发展趋势，在研究网 络功能虚拟化核心技术的同时，注重虚拟化环境下网 络安全性、抗毁性和可用性的建设，进而保证未来虚拟 网络的安全运行。参考文献1 Network Functions Virtualisation Introductory White Paper.ETSINFVGroup. 20122 Don Clarke. Progressing NFV: Milestones & Directions. ETSI NFVIndustry Specification Group (ISG). 20143 Network Function Virtualisation (NFV): Resiliency Requir- ements. ETSI NFVIndustry Specification Group (ISG). 20144 赵慧玲, 冯明, 史凡. SDN未来网络演进的重要趋势. 电信科学. 20125 SDN 在云计算及网络安全中的应用. 清华大学信息技术研 究院. CNCC 信息安全会议. 20126 Software- Defined Networking:The New Norm for Networks. ONFGroupThe Key Technologies and Its Influenceof Network Functions VirtualizationAbstract With the rapid development of the communication network, network functions virtualization (NFV) involves the implementation of network functions in software that can run on a range of industry standard server hardware, without the need for installation of new equipment. The background and architectural framework of NFV are introduced in this paper, and then the security problems which are brought by NFVare analyzed. Finally this paper gives some proposals for network securi- ty issues, and points out the developmentdirectionfor NFVSecurity in the future.Key words network functions virtualization, software and hardware decoupling, network security issues（收稿日期：2014-11-12）本分成段落，分段加解密；序列加密则是将明文逐位输 入加密器。另一类是非对称密钥体制，加解密过程中需要两 个密钥，称为“公钥”和“私钥”，两个密钥需要配对使 用 ，否 则不能打开加密文 件（包 括 RSA、DSA、Diffie Helman）。这种加密技术具有较好的安全性，但加密速 度慢，适合少量数据的加密。图 1 GSM 加密工作流程加密技术的安全性在初期是基于对加密算法的保 密上，但算法一旦被泄露需要全部更换加密算法，因此 后来就引入了一个或多个密钥的变量，使用加密算法 时随机选择密钥，来提高加密的实用性和 安全性。Kerckhoff 提出了加密技术安全 性的准则：加密技术的安全性必须基于使 用的密钥的保密。由此，密钥的协商与分 发也成为加密技术在不同网络中应用重 要研究部分。近年来，移动通信网的分组化演进以 及业务安全要求的不断提高，网络的安全 防护体系建设不断完备。在不同移动网 内，不同应用场景下都应用了加密技术 被，同时针对不同接口、数据面和信令面 开始采用不同的加密方法和密钥协商方 法来增加安全性。本文对 2G、3G、4G 和IMS 网络中的加密技术和应用场景进行了梳理，分析 确定加密技术在移动通信网络中的演进方向，并对我 国加密技术研究提出了相关建议。2 2G 网络的加密技术与应用场景GSM 数字蜂窝式无线通信系统是全球应用最广 泛的无线通信系统。GSM 采用的加密算法为 A5、A8， 分别用于加密和生成加密密钥。A5 是一种基于移位 寄存器的对称序列加密，其算法细节非公开的，使用了 64bit 会话密钥 Kc 和 22bit 已知帧号对应的 COUNT 作 为算法的输入。2G 网络的加密技术主要应用于用户到基站间的 空口接入链路上，以保护无线路径上传送的信息安全， 防止用户信息被窃听，包括用户数据和信令。采用 A5 快速对数据进行加密，这种算法处理速度快，但安全性 依赖于密钥的特性。因此，为了保证更好的安全性，还 采用 A8 算法来产生会话密钥流。整体加密的工作流程如图 1 所示。用户接入网络 时首先进行认证和鉴权，鉴权通过后 A8 算法利用基站 生成的随机数 RAND 和存储在 SIM 卡中鉴权密钥 Ki， 产生 64bit 加密密钥 Kc；启动加密后，MSC/VLR 将把加 密模式命令 M 通过 BS 发送给 MS；MS 收到后，以 M（加密模式）和 TDMA（时分多址）帧编号为输入，以 Kc 为密钥对消息加密，消息以密文方式无线发送给 BS； MSC/VLR 采用相同算法对此解密，恢复 M 以验证测试 的正确性；验证通过后，MS 和 BS 之间无线链路上往返 的信息均以 Kc 为密钥，使用 A5 算法进行加、解密。总之，2G 网络的加密只在空中接口上，核心网网 元间数据没有加密，因此加密并不是端到端的。加密 算法也没有采用非对称加密技术，主要考虑了移动台 的计算能力有限，不适合用户大数据流的加密，由于只 采用了 64bit 的密钥长度，密钥极易被破解，因此加密 算法只能提供短时间的信息保护。此外，2G 网络只能 选择唯一的加密算法，无其他加密算法，因此没有算法 协商和加密密钥协商过程。33G 网络的加密技术与应用场景3G 网络在 2G 网络的基础上提高了空口的传输数 据，并在核心网上提出了承载与控制分离，逐渐向 IP 网 化发展。3G 网络不仅能够提供传统的语音业务，还能 够提供多媒体业务、数据业务等多种信息服务，对网络 的安全性要求更高。由此，3GPPTS33.120 提出了更完 整的 3G 网络安全防护体系，将 3G 网络的安全防护划 分为应用层、服务层和传输层，增加了接入的双向认证、完整性保护等安全防护机制。图 2 3G 加密算法工作流程在加密技术方面，3G 网络采用的加密算法为 f 8， 加密密钥生成算法 f 3。f 8 同样属于对称体制的序列加 密方法，采用了多级 KASUMI 算法。KASUMI 算法是 日本三菱公司设计的一种安全性可证明的加密算法， 算法实现快并能够对抗差分和线性密码分析。如图 2 所 示 ，f 8 算 法 以 加 密 密 钥 CK、依 赖 时 间 的 输 入 COUNT-C、承载身份 BEARER、传输方向 DIRECTION 和要求的密钥流长度 LENGTH 的五元组作为输入，生 成 128bit 的密钥流，发送端将待加密明文数据流与密 钥流进行逐位异或运算，得到密文流；在接收端则将密 文流与同样的密钥流进行异或运算，得到明文数据 流。加密密钥获取则采用 f 3 算法，它是利用用户和 HLR 的认证中心 AUC 共享的密钥 K 生成一组认证向 量 AV，通过协商挑选出一个未被使用的 AV 发送给用 户，f 3 算法利用这组认证向量生成加密密钥 CK。图 3 4G 加密算法工作流程3G 网络的密钥生成算法 f 3 没有标准化，其算法 并不是唯一的，且密钥能够通过用户和网络协商从一 组备选中选择，由此 3G 网络的加密增加了 较大的灵活性。从应用方面，3G 网络的加密依然主要 应用于 ME 和 RNC 的空口信令和数据机密 性保护，以防止信息被窃听。但同时，3G 网 络开始关注核心网网元之间的信息加密，这 主要是由于 3G 核心网的分组化演进，IP 网 络的开放性带来了网络的威胁。此外，不同 运营商网络互联也带来了安全隐患。由此， 3G 提出了网络域安全防护，针对移动通信网络的特征，对 IPSec 进行了修订，来对核心网网元 间的信令和数据在网络层实施加密，利用 IPSec ESP（Encapsulating Security Payload，封 装 安 全 载 荷）实 现 ，而 加密密钥则使用 IKE（互 联网密钥交换）协 议 来实现。4 4G 网络的加密应用场景与技术分析4G 网络相较于 3G 网络，整个网络都基于分组网 络，服务速率更高，并且为降低时延，采用了扁平式的 网络架构，没有了 RNC，并将承载和控制分离。因此， 4G 网络不再以传统的话音业务为主，而是主要承载各 种数据和多媒体业务。LTE 系统继续沿用 3G 系统的 安全架构，将安全分成了 5 个功能组，分别为网络接入 安全、网络域安全、用户域安全、应用域安全、安全服务 的可视性和可配置性，但增加了在 ME 和 SN 之间的非 接入层安全，对 AN 和 SN 的通信要求保护以及服务网认证的概念。在加密技术方面，4G 网络开始采用可选的 加密算法，包括 EEA0、128-EEA1（基于 SNOW 3G 算 法）、128- EEA2（基 于 AES 算 法）、128- EEA3（基于 ZUC 算法），提高了加密算法的灵 活性。SNOW 3G 算法是 128 位流加密，AES 加 密算法则是 128 位块加密，而祖冲之（ZUC）算法则是我国自主研发的，并于 2011 年 9 月成为 3GPPLTE 第 3 套加密标准核心算法。这些加密 算法的实现体制不同，但输入相同。如图 3 所 示，4G 加密算法包括一个五元组，包括 128bit 的 密 钥（KEY），一个 32bit COUNT 值，一个 5bitBEARER（无线承载标识），1bit 的 DIRECTION（上行为 0，下行为 1），32bit 的 LENGTH（密钥流长度）。此外，4G 网络在加密中采用了多层次派生密钥方 法来生成多级密钥，以满足鉴权、加密、完整性保护多 种安全需 求（见 图 4）。 存储在 USIM 卡和认证中心图 4 4G 密钥架构（AUC）共享信息 K 是整个密钥的基础，通过 AKA 认证 和密钥协商后在 UE 和 MME 会生成 KASME，再利用 密钥外推函数 KDF（KeyDerivation Function）一级推出 非接入层加密密钥 KNASenc、完整性密钥 KNAint 以 及 eNodeB 处接入层的中间密钥 KeNB，KeNB 再外推 一次生成加密密钥 KUPenc、KRRCenc 和完整性密钥 KRRCint。4G 网络的加密同样主要应用于用户和网络接入 过程，但为了使接入网安全受到威胁时不影响到核心 网，LTE 引入了非接入层安全的概念，在接入层（AS）安 全和非接入层（NAS）安全分别进行独立的加密。其使 用的加密技术比较参见表 1。表 1 接入层（AS）安全和非接入层（NAS）加密技术比较此外，4G 网络要求在核心网网元间要实现加密， 已明确需要加密的接口包括 eNodeB 之间的 X2 接口、 eNodeB 和 MME/S-GW 接口 S1 接口，包括对用户数据 和信令都需要加密。这些网元间的安全防护采用了 NDS/IP 的安全防护架构，加密采用了 IPSec 的隧道模 式对网元间信息逐段保护 ，利 用 ESP（Encapsulating Security Payload，封装安全载荷）来实现加密，加密密 钥协商使用 IKE（互联网密钥交换）协议来实现。52/3/4G 网络加密技术比较分析由以上分析可知，随着移动网络的演进，网络的加 密技术不断发展完善。从机密性而言，加密算法的密 钥从 2G 的 64bit 到 3G、4G 的 128bit，而加密算法的输入 从 2G 时的三元组增加为 3G、4G 的五元组，算法本身 的安全性进一步增强；加密的应用范围也从 2G、3G 网 络以空口数据和信令的加密为主扩展到核心网数据的 加密；此外，加密算法随着网络的发展，逐渐从 2G 网络 中单一的加密算法发展到 4G 多种加密算法可选，增加 了加密的灵活性；4G 网络中首次出现我国自主研发的 加密算法也使得我国在加密算法的自主性大大提升。 此外，在我国，尽管移动网络标准中对加密都有明 确的要求，但在实际应用中，2G、3G 网络系统中都没有 加载加密算法，空口和核心网元间的数据都依然还是 明文传输，对用户的数据和信令失之有效的保护。但 4G 网络的全分组化，以及 4G 网络应用的扩展，迫使必须尽快改变这种现状，4G 网络的加密势在必行。6IMS 网络的加密技术与应用场景由于 4G 网络本身不再提供语音业务， 未 来 语 音 业 务 将 采 用 IMS（IP Multimedia Subsystem）域解决方案，即 VoLTE 方案。由 于 IMS 基于 IP 协议和开放的网络架构，因 此 IMS 系统的安全也逐渐凸显，例如对 SIP 会话的欺骗、会话截获以及窃听等问题，以 及数据面 RTP 协议的监听。IMS 网络的加密技术主要采用网络层 IPSec 的 封 装 安 全 净 荷（ESP）进 行 加 密 。 IPSec 协议有两种操作模式，即传输模式和 隧道模式。在传输模式下，只对 IP 层的载荷 进行加密，在上层协议头（如 TCP、UDP）和IP 头之间插入 ESP 头，主要用于两个主机端到端的安 全通信。隧道模式下，整个 IP 包都被封装到一个新的 IP 数据报中，ESP 头介于外层和内层 IP 头之间，主要应 用于安全网关之间的数据加密。ESP 目前要求必须支 持 DES 加密算法 ，可 选的加密算法包括三重 DES、 RC5、IDEA，三重 IDEA、CAST 和 Blowfish。加密算法 的密钥通过 IKE（Internet Key Exchange，Internet 密钥交 换协议）协商自动获得。目前，IMS 网络主要对 SIP 信令消息的加密，包括：（1）UE 和 P-CSCF 之间的认证和密钥协商 SIP 信 令的加密，采用了网络层 IPSec 的传输模式。（2）CSCF 之间和 CSCF 和 HSS 之间的网络域 SIP信令加密，采用了 IPSec 协议的隧道模式，实施跳到跳（Hop-by-Hop）安全模式，逐段进行加密保护，IKE 建 立、协商以及维护网络实体间的安全参数 SA 集合。IMS 网络没有对媒体数据加密。一方面，IMS 网 络假设到达包已经在更低的层被加密并且 IMS 核心网 络足够可信；另一方面则是由于 IMS 网络采用分层结 构，实现承载层和控制层的分离，媒体流和信令流不在 同一个层面上被传送，媒体流不能经过 IMS 核心控制 层而是直接通过 IP 承载层被传送出去。7结束语综上所述，随着我国电信网分组化的演进，IP 网自 身固有的开放性和不安全性带来了网络的安全隐患。加密技术作为保护数据机密性的重要手段也在不断完 善发展。从目前来看，加密技术以对空口信息加密为 主，对信令的保护应用较多，加密算法也还是以国外的 算法为主；同时，尽管电信网标准中对很多加密技术已 经做出规定，但实际系统中的应用还不足。因此，随着 我国加密技术的发展，应增强以下方面的技术积累：（1）IP 化和网络融合使得核心网的信息保护需求 不断增强，目前主要采用 IPSec 的加密方法，但其安全 性还需要提高。（2）加密算法仍然以国外的算法为主，祖冲之算法 的出现标志着我国加密算法的标准化和实用化，应进 一步增强我国核心加密算法的设计。（3）加密算法的密钥管理是对称加密技术的重点， 应加强认证和密钥协商流程的设计，并可考虑采用安 全性较高的非对称加密算法。参考文献1 3GPPTS33.120. 3G Seeurity. Security Principlesand O