14、GAA的应用场景与实现方案

GAA的应用场景与实现方案

1 GAA的扩展与前提考虑

1.1 GAA的扩展机制

CableLabs为了让运营商使用新的电信技术并与现有移动基础设施互操作，对GAA规范TS33.220和TS29.109进行了扩展，引入了一种名为GBA_H的新引导机制。GBA_H将基于TLS的HTTP摘要认证扩展到了GAA。其引导过程始于设备（不一定是手机）与BSF之间建立HTTPS隧道，然后使用HTTP摘要认证机制来建立所需的凭证，并在网络和设备之间派生会话密钥。这要求BSF具备额外功能，同时设备也需支持这种新的GAA变体。目前，CableLabs的GAA扩展尚未被3GPP采纳，可能会在后续标准化过程中发生变化。

1.2 应用GAA的考虑因素

在将GAA应用于新场景时，需要考虑两个因素：
- 信任假设 ：GAA默认所有参与方都信任移动网络运营商（MNO）。在应用前，设计者需确认该场景中的参与方是否满足这一假设。
- 资产价值 ：GAA适用于保护价值与蜂窝服务相近的资产。虽然难以精确衡量蜂窝服务的价值，但可以判断某些场景中的资产是否超出了蜂窝认证基础设施的适用范围。例如，用GAA支付一顿饭可能合理，但用于支付汽车或房屋则不合理。

2 GAA的具体应用场景

2.1 安全企业登录

2.1.1 传统认证方式及问题

许多公司使用一次性密码保护企业网络访问。员工通常会收到一个硬件令牌，如RSA公司的SecurIDTM，令牌会生成并显示一次性密码，员工将其输入终端应用（如浏览器或VPN客户端）。客