Tập các đặc trưng an ninh trong cho phép các node trong cơ sở hạ tầng mạng nhà cung cấp trao đổi dữ liệu báo hiệu được đảm bảo về an ninh và bảo vệ chống lại sự xâm phạm cơ sở hạ tầng hữu tuyến.
Nhận thực nguyên tố mạng: Khả năng các thành phần của cơ sở hạ tầng mạng thuộc vào các nhà cung cấp dịch vụ khác nhau, để nhận thực mỗi thành phần trước khi dữ liệu nhạy cảm được trao đổi.
Bí mật của dữ liệu trao đổi: Sự bảo vệ của dữ liệu trao đổi giữa các nguyên tố mạng khỏi kẻ nghe trộm tấn công. Điều này đạt được thông qua mã hoá
Bảo toàn dữ liệu và nhận thực gốc: Điều này tương đương với khía cạnh bảo toàn dữ liệu và nhận thực gốc của an ninh truy nhập mạng, nhưng áp dụng đối với sự liên hệ giữa các nguyên tố mạng. Khi một nguyên tố mạng truyền dữ liệu báo hiệu tới phần tử khác, node nhận dữ liệu có thể xác nhận rằng dữ liệu đã không bị biến đổi trong khi truyền, và dữ liệu sinh ra thực tế cùng với nguyên tố mạng được trình diện như bản gốc. Những đặc tính này phải áp dụng qua mạng của nhà cung cấp dịch vụ UMTS khác nhau.
3.5.3. An ninh lĩnh vực ngƣời sử dụng
Tập các đặc trưng áp dụng cho sự tương tác giữa một người sử dụng và handset UMTS của họ. Mục đích khoá trong lĩnh vực này là để tối thiểu hoá sự thiệt hại và sự lừa đảo có thể xảy ra khi một handset bị đánh cắp.
Nhận thực người sử dụng tới USIM: Nhận thực trong lĩnh vực nhỏ này áp dụng cho mối liên hệ giữa một thuê bao cá nhân và phương thức nhận dạng thuê bao
bằng Smart-card trong handset UMTS của thuê bao. Để hạn chế việc sử dụng handset đối với chủ nhân của nó, hoặc một nhóm cá nhân được trao quyền, người sử dụng có thể cần cung cấp một PIN mục đích để mở đầu một phiên truyền thông.
Liên kết đầu cuối USIM: Giống như Smart-card hỗ trợ USIM đã ghi có thể thay đổi, USIM còn cần thiết để bảo vệ mối liên hệ giữa USIM và handset UMTS. Điều này sẽ nhận được một cách điển hình thông qua một bí mật chung trong cả USIM và thiết bị đầu cuối bởi nhà cung cấp dịch vụ khi dịch vụ bắt đầy. Liên kết đầu cuối UMTS ngăn chặn một USIM card của người sử dụng khỏi bị chèn vào một handset khác và việc sử dụng trái phép.
3.5.4. An ninh lĩnh vực ứng dụng
Các đặc trưng an ninh cho phép trao đổi an toàn bản tin ở mức ứng dụng giữa handset và hệ thống của một phần nhà cung cấp dịch vụ 3G. Trong cấu trúc UMTS, sự cung cấp nhu cầu làm cho nhà vận hành mạng hoặc nhà cung cấp khác để tạo sự ứng dụng thường trú trong USTM hoặc trong thiết bị di động (handset).
Bản tin an toàn: Bản tin an toàn sẽ cung cấp một kênh an toàn cho việc truyền bản tin giữa USIM và một Server mạng.
Bí mật lưu lượng người sử dụng băng rộng: Sự bảo vệ bản tin chống lại những kẻ tấn công nghe trộm, điển hình qua mã hoá trên đường dây cũng như những phần không dây của cơ sở hạ tầng.
3.6. Các cơ chế an ninh trong UMTS
Kiến trúc an ninh trong UMTS được xây dựng trên ba nguyên lý:
Nhận thực: Người gửi (hoặc người nhận) có thể chứng minh đúng họ. Người ta có thể dụng một password, một thách thức dựa trên một thuật toán mã hóa hoặc một bí mật chia sẻ giữa hai người để xác thực. Sự xác thực này có thể thực hiện một chiều (one-way) hoặc hai chiều (multual authentication).
Bí mật: Tính chất này đảm bảo thông tin chỉ được hiểu bởi những ai biết chìa khóa bí mật.
Toàn vẹn: Tính chất này đảm bảo thông tin không thể bị thay đổi mà không bị phát hiện. Tính chất này không đảm bảo cho việc thông tin không bị thay đổi, nhưng một khi nó bị nghe lén hoặc thay đổi thì người nhận được thông tin có thể biết được là thông tin đã bị nghe lén hoặc thay đổi. Tính toàn vẹn cho thông tin được đảm bảo bởi những hàm một chiều (one-way function) như MD5, SHA-1, MAC...
3.7. Nhận thực và thoả thuận khoá (AKA)
Việc sử dụng nhận thực đặc biệt quan trọng khi chuyển từ điện thoại thuần tuý trong đó bản thân tiếng của người đàm thoại sang truyền thông số liệu khi không có sự tham gia của tiếng thoại.
Nhận thực trong UMTS được chia thành 2 phần Nhận thực người sử dụng cho mạng;
Nhận thực mạng cho người sử dụng.
Cả hai thủ tục này đều xảy ra trong cùng một trao đổi bản tin giữa mạng và người sử dụng. Thủ tục này được gọi là nhận thực một lần gửi để giảm lưu lượng cần thiết cho việc nhận thực. Sau khi được nhận thực, người sử dụng và mạng sẽ tin tưởng rằng phía bên kia đúng là đối tượng mà mình cần thông tin.
Nhận thực tại mức này cũng cần thiết cho các cơ chế an ninh khác như bảo mật và toàn vẹn. Nhận thực và thoả thuận khoá được thực hiện khi:
Đăng ký người sử dụng vào mạng,
Sau mỗi yêu cầu dịch vụ,
Yêu cầu cập nhật vị trí,
Yêu cầu đăng nhập / huỷ đăng nhập,
Yêu cầu thiết lập lại kết nối.
Việc đăng ký một thuê bao vào một mạng phục vụ thường xảy ra khi người sử dụng mới bật máy hoặc khi chuyển vùng (Roaming) đến một mạng khác, vì thuê bao phải đăng ký vào mạng phục vụ khi nó lần đầu nối đến mạng phục vụ. Khi đầu cuối thay đổi vùng định vị, nó cần cập nhật vị trí của mình vào HLR và VLR.
1.1Yêu cầu đăng nhập và huỷ đăng nhập là các thủ tục kết nối và huỷ kết nối thuê bao đến mạng.
1.2Yêu cầu dịch vụ là khả năng để các ứng dụng/giao thức ở mức cao hơn đòi hỏi thực hiện AKA. Chẳng hạn thực hiện AKA để tăng cường an ninh trước khi giao dịch ngân hàng trực tuyến.
1.3Yêu cầu thiết lập lại kết nối được thực hiện khi số lượng các nhận thực địa phương được thực hiện cực đại.
3.7.1. Tổng quan về nhận thực và thoả thuận khoá
Nhận thực và thoả thuận khoá (AKA) là một trong những tính năng quan trọng của hệ thống UMTS. Tất cả các dịch vụ khác đều phụ thuộc vào AKA vì không thể sử dụng được bất kỳ dịch vụ nào ở lớp cao hơn mà không phải nhận thực.
Để thực hiện các quá trình này trong UMTS AuC phải tạo ra các véc-tơ nhận thực (AV), dựa trên 4 thông số: RAND - số ngẫu nhiên, K - khoá dùng chung được quy định trước (Pre-shared Secret Key), SQN - số trình tự (Sequence Number) và AMF - trường quản lý khoá (Authentication Management Field). AV nhận được sẽ bao gồm các thông số MAC-A (mã nhận thực để USIM nhận thực mạng), XRES (mã nhận thực để mạng nhận thực ngưởi sử dụng - USIM), CK (khoá mật mã dùng để mã hoá cuộc truyền thông giữa người dùng và mạng), IK (khoá toàn vẹn dùng để bảo vệ
tính toàn vẹn của bản tin), AK (khoá dấu tên được sử dụng để chống phát lại). Mạng cũng sẽ phát các thông số RAND cùng với thẻ nhận thực AUTN gồm: SQN AK, AMF và MAC-A đến USIM trong MS để nó tạo ra AV nhận thực tương ứng: XMAC (mã nhận thực để nhận thực mạng), RES (chữ ký để nhận thực USIM với mạng), IK, AK và SQN.
Hình 3.1: Tổng quan quá trình nhận thực và thoả thuận khoá
Các thủ tục nhận thực và thoả thuận khoá xảy ra tại USIM, SGSN/VLR và HLR/AuC. Vì mạng phục vụ được chia thành các miền PS và CS, SGSN có nghĩa là miền PS, còn VLR/SGSN là miền CS. Các thủ tục nhận thực được thực hiện giống nhau trong cả hai miền. Vì không có cơ sở thông tin chung giữa SGSN và MSC/VLR trừ HE nên các thủ tục AKA xảy ra độc lập ở miền CS và PS. Vì trong quá trình AKA, vai trò của VLR/MSC trong dữ liệu thoại và VLR/SGSN trong dữ liệu gói là như nhau với mỗi dạng dữ liệu nên ta chỉ đề cập đến AKA với VLR/SGSN, việc AKA trong dữ liệu thoại với VLR/MSC là tương tự.
3.7.2. Thủ tục AKA thông thƣờng
Nhận thực và thoả thuận khoá được quản lý bởi VLR/SGSN khi trao đổi dữ liệu mà thuê bao nối tới. Biểu đồ trao đổi trong chuỗi thông tin trong AKA được cho trong hình:
1) VLR/SGSN phụ trách máy di động gửi “yêu cầu số liệu nhận thực (trong đó có IMSI)” đến AuC.
2) AuC trả lời bằng “Trả lời số liệu nhận thực”, đó là các AV (AV1, AV2... AVn). 3) VLR/SGSN lưu các AV trong cơ sở dữ liệu của nó.
Hình 3.2: Biểu diễn chuỗi báo hiệu AKA
4) VLR/SGSN chọn một trong số các AV nhận được và phát: “Yêu cầu nhận thực người sử dụng” gồm có RAND, AUTN đến USIM thông qua RNC, node B và đầu cuối.
5) USIM kiểm tra AUTN (số MAC-A) và tính toán trả lời của ngưởi sử dụng RES.
6) VLR/SGSN so sánh RES và XRES để nhận thực người sử dụng.
7) Nếu quá trình nhận thực thành công, VLR/SGSN gửi CK/IK đến RNC. Các bản tin sẽ trao đổi giữa MS và mạng phục vụ sẽ được mã hoá và giải mã tại MS và RNC.
3.7.3. Thủ tục AKA trong HLR/AuC
HLR nhận bản tin “Yêu cầu số liệu nhận thực” trong đó có IMSI của thuê bao yêu cầu từ VLR/SGSN và định vị AuC nơi chứa số liệu thuê bao và yêu cầu AV từ trung tâm này.
Nếu AuC đã lưu các AV cho thuê bao, nó sẽ gửi trả lời bằng một hay nhiều Avm bằng không nó sẽ tạo ra chúng. Thông thường nhiều AV được gửi đi một lần. Nhờ vậy giảm bớt số lượng yêu cầu AuC và giảm thiểu lưu lượng mạng. Nếu tải AuC cao, nó có thể chỉ gửi đi một AV, nếu tải AuC giảm nó sẽ tạo ra nhiều AV hơn cho các yêu cầu mới.
3.7.4. Thủ tục AKA trong USIM
Hình 3.3: Nhận thực mạng tại USIM
Khi thu được “Yêu cầu nhận thực” gồm có RAND, AUTN từ VLR/SGSN, USIM kiểm tra thẻ nhận thực MAC-A để nhận thực mạng. MAC-A có độ dài 64 bit. Dựa trên các đầu vào (RAND, K, SQN, AMF), USIM sẽ dùng hàm f1 tương tự như khi AuC tạo ra MAC-A để tính ra XMAC-A. Sau đó USIM sẽ so sánh MAC-A và XMAC-A, nếu chúng giống nhau thì USIM sẽ biết rằng mạng mà nó đang kết nối tới đúng là mạng mong muốn bởi vì chỉ có có HLR của mạng thật mới biết khoá bí mật K đang được lưu tại AuC và USIM.
3.7.5. Thủ tục AKA trong VLR/SGSN
Hình 3.4: Thủ tục AKA trong VLR/SGSN
SGSN chịu trách nhiệm nhận thực và thoả thuận khoá. Nó bắt đầu các thủ tục này bằng cách gửi đi “Yêu cầu nhận thực” đến HLR. Khi nhận được các AV, nó lưu lại, chọn một trong số các AV đó và gửi 2 thông số RAND và AUTN trong AV đến USIM. Khi nhận được kết quả trả lời (RES) từ USIM, nó so sánh với kết quả này của XRES trong AV. Nếu chúng giống nhau, mạng đã nhận thực xong thuê bao. Như vậy hai nửa của nhận thực hai chiều đã hoàn tất. Sau đó, VLR/SGSN sẽ gửi các thông số còn lại từ AV mà nó chọn, đó là các khoá mật mã CK, IK đến RNC hiện đang quản lý
thuê bao. Các khoá này được sử dụng để mã hoá truyền thông và kiểm tra sự toàn vẹn của bản tin.
3.7.6. USIM từ chối trả lời
Nếu nhận thực mạng thất bại, USIM sẽ từ chối trả lời. Lý do ở đây là USIM sẽ biết rằng hô lệnh nhận được không khởi nguồn từ HE của mạng mà nó đang muốn kết nối.
USIM nhận được RAND, AUTN, mở AUTN và so sánh MAC-A nhận được từ AUTN này với X-MAC do nó tạo ra từ hàm f1 với các thông số đầu vào giống như khi AuC tạo ra MAC-A. Nếu các MAC này không trùng nhau, nhận thực bị từ chối. Điều này có nghĩa là khoá bí mật K không như nhau ở 2 miền, vì thế bản tin này không bắt nguồn tại HE của mạng của thuê bao. Khi đó nó huỷ bỏ thủ tục nhận thực và gửi đi bản tin “Từ chối nhận thực của người sử dụng (lý do)” về phía VLR/SGSN. Nhận được bản tin này, VLR/SGSN gửi “Báo cáo nhận thực thất bại” đến HLR cùng với nhận dạng thuê bao và lý do sự cố. Nó cũng có thể khởi nguồn lại các thủ tục nhận thực và thoả thuận khoá đến người sử dụng.
3.8. Thủ tục đồng bộ lại
Thủ tục đồng bộ lại xảy ra khi các chuỗi trình tự trong USIM và AuC không trùng nhau trong một dải quy định. Sự khác nhau này được phát hiện trong USIM khi nó so sánh SQN từ HE và SQN lưu tại chính nó.
1) VLR/SGSN gửi đi “Yêu cầu nhận thực người sử dụng” đến USIM.
2) USIM nhận thấy số trình tự SQN của AuC nằm ngoài dải, nó gửi bản tin “Sự cố đồng bộ AUTS” trở lại VLR/SGSN.
3) Nút VLR/SGSN theo dõi chuỗi AV được gửi đến USIM và khi nó nhận được bản tin yêu cầu đồng bộ lại AUTS, nó gắn thêm RAND đã được gửi đi và gửi
bản tin “Yêu cầu số liệu nhận thực gồm RAND, AUTS” đến HLR/AuC của thuê bao.
Hình 3.6: Thủ tục đồng bộ lại
4) AuC gửi vector “Trả lời số liệu nhận thực AV” đến VLR/SGSN để chỉ ra rằng đây là AV mới, thông số Qi được sử dụng.
5) USIM kiểm tra rằng SQNHE nằm trong dải SQNMS. Nếu SQNHE nằm ngoài dải, USIM tạo ra thẻ đồng bộ lại AUTS.
6) Khi HE nhận được AUTS, nó so sánh 2 số trình tự. Nếu nó nhận thấy AV được tạo ra sau này sẽ được USIM tiếp nhận, nó nhận AV với số trình tự mới này. Trái lại, AuC mở AUTS để nhận thực người sử dụng và đặt lại SQNHE vào giá trị SQNMS. Sau đó nó xoá các AV cũ và tạo ra các AV mới dựa trên SQN được đặt lại.
7) Khi VLR/SGSN nhận được các AV trong trả lời “Yêu cầu số liệu nhận thực” có chỉ thị sự cố đồng bộ, nó xoá toàn bộ các AV được lưu trước đây.
8) VLR/SGSN tiếp tục thủ tục AKA để hỏi hộ lệnh USIM.
3.8.1. Thủ tục đồng bộ lại trong USIM
Khi USIM nhận được bản tin “Yêu cầu nhận thực người sử dụng” từ VLR/SGSN, nó bắt đầu kiểm tra tính xác thực của bản tin. Nếu đây là bản tin được tạo
ra tại HE, nó tiến hành kiểm tra số trình tự của AuC bằng cách so sánh số này với số trình tự của nó. Nếu số trình tự này nằm ngoài dải, thủ tục đồng bộ lại được tiến hành, USIM tạo ra một thẻ đồng bộ lại AUTS để gửi nó trở lại VLR/SGSN.
3.8.2. Thủ tục đồng bộ lại trong AuC
AuC nhận bản tin “Yêu cầu số liệu nhận thực” bao gồm RAND và AUTS từ VLR/SGSN. Nó so sánh hai số trình tự. Nếu thấy rằng AV được tạo ra tiếp theo có thể tiếp nhận được, nó sẽ gửi AV này đến VLR/SGSN. Nếu không có AV nào trong số được lưu nằm trong dải được USIM tiếp nhận, AuC thực hiện kiểm tra sự toàn vẹn của bản tin. Quá trình này để đảm bảo rằng chính USIM muốn thủ tục đồng bộ lại. Nếu nhận thực này thành công, chuỗi trình tự của AuC được đặt lại, AuC sẽ tạo ra một tập các AV mới. Vì việc tạo nhiều AV trong thời gian thực sẽ chiếm tải lớn đối với AuC nên có thể chỉ 1 AV được trả lời trong lần trả lời đầu tiên.
3.8.3. Thủ tục đồng bộ lại trong VLR/SGSN
Khi nhận được sự cố đồng bộ, VLR/SGSN tìm một hô lệnh ngẫu nhiên thích hợp RAND từ bộ nhớ của mình và bổ sung nó đến bản tin trước khi gửi bản tin này đến HLR của thuê bao. Khi nhận được AV từ AuC, nó sẽ xoá tất cả các AV cũ để đảm bảo rằng các AV này sẽ không dẫn đến sự cố đồng bộ lại khác. Sau khi nhận được các AV mới, VLR/SGSN có thể tiếp tục AKA đến USIM.
3.8.4. Sử dụng lại các AV