6、移动和互联网服务的蜂窝认证技术详解

移动和互联网服务的蜂窝认证技术详解

1. 关键派生函数与认证方式概述

在移动和互联网服务的认证体系中，关键派生函数（KDF）对于不同的认证方式有着不同的应用。对于移动和互联网服务的认证，KDF在GBA_ME和其他相关认证方式中有着重要作用。其输入参数‘key’会因基线密钥Kc的格式不同而有所差异。生成的特定应用密钥Ks_NAF与基于GBA_ME的密钥格式相同，使用方式也一致。

支持2G GBA的终端，通常也建议支持GBA_ME和GBA_U。当UICC卡同时支持SIM应用功能和3G应用功能（如USIM或ISIM）时，终端需使用3G应用。终端中请求特定NAF密钥的应用，可以向平台中的GBA模块表明该应用是否接受2G GBA。一般情况下，若运营商或应用规范未明确禁止，2G GBA可用于应用。网络中的应用服务器（NAF服务器）会根据应用的实际安全需求，制定是否接受2G用户的本地策略。

若终端可选择使用基于2G SIM的GBA或基于3G USIM的GBA，UE必须选择使用USIM进行引导。2G GBA和BSF与HLR之间基于MAP的Zh′接口是3GPP Release 7的特性，支持与否为可选。

此外，即使BSF和GBA模块存储了密钥，也可能出现BSF或UE删除密钥及相关材料的情况。若BSF删除了密钥，NAF通过Zn参考点使用B - TID请求密钥时，会收到‘B - TID unknown’错误回复，此时NAF会指示UE进行新的GAA引导，从新生成的Ks派生新的Ks_NAF，并再次向BSF请求Ks_NAF。若UE删除了密钥，在需要Ks_NAF时会进行新的GAA引导，这会使BSF覆盖其数据库中现有的密钥，因为BSF只需记住特定用户的最新密钥及相关材料。

2.