19、通用认证架构（GAA）的未来趋势与展望

吃瓜不吐籽595

于 2025-10-31 09:40:46 发布

阅读量18

点赞数

CC 4.0 BY-SA版权

分类专栏：蜂窝认证：连接移动与互联网文章标签： GAA GBA Push 用户隐私

本文链接：https://blog.youkuaiyun.com/oauth7security/article/details/154172546

蜂窝认证：连接移动与互联网专栏收录该内容

19 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

通用认证架构（GAA）的未来趋势与展望

1. 标准化展望

目前 3GPP Release 8 的工作正在进行中，在其最终确定之前，相关概念可能会有重大变化。预计在 Release 8 的最终版本中，GAA 将有更广泛的规范和应用。

1.1 GBA Push

背景与功能 ：3GPP 中 GAA 的新用例以及其他标准化组织（如 OMA）对 GAA 的采用，产生了新的服务需求。因此，3GPP 在 Release 7 规范工作接近完成时开始指定 GBA Push 功能，该规范在 Release 8 中继续推进并将成为其特性。GBA Push 引入了一种机制，可在不强制 UE 联系 BSF 启动安全关联建立的情况下，在 NAF 和 UE 之间建立安全关联。它基于 [TS33.220] 提供的架构和功能，由于基线假设的改变，需要定义两个新接口：BSF 与 NAF 之间以及 NAF 与 UE 之间。这些新接口与 [TS33.220] 中定义的大部分相同，但也存在一些重大差异，其最新状态可在 [TS33.223] 文档中查看。
触发原因 ：OMA 表达了对安全推送机制的需求，即能够使用 GAA 安全地向用户推送数据，从而触发了 3GPP 对 GBA Push 的标准化工作。
用例：
- 网络发起的服务密钥刷新和分发 ：在正常的 GAA 中，终端启动密钥协商过程，但网络可能希望更新现有密钥，例如用于广播内容。为避免终端中存在长期密钥，可定期将渲染受保护内容所需的密钥创建材料推送到终端。MBMS 安全有自己的密钥刷新机制，但其他服务也可能需要与终端建立新的安全关联，并且 MBMS 可能从替代方法中受益。推送密钥分发机制还能实现服务网络的负载均衡，确保使用的密钥是新鲜的。
- 令牌或票据分发 ：终端获取需要在具有返回通道的连接（如 IP 连接）上向服务提供商展示的令牌。特定类型的令牌是票据，如音乐会或其他活动的门票，其分发需要安全处理以避免复制。如果安全关联在实际活动之前建立良好，则可以在预定时间窗口内安排实际的票据分发，有助于避免意外删除、复制等问题。对于低价值的令牌或票据，即使终端没有 IP 连接也可以进行分发。如果分发通道足够可靠，则无需使用返回通道报告成功交付。
- 网络发起的服务 ：正常的 GAA 从用户联系服务器开始，但有许多服务实际上是由网络触发的。通常服务器通过 SMS 触发终端联系服务器，但 SMS 不是安全的触发方式。一些 OMA 使能器（如 SUPL、DM 和 Download / DRM）使用这种方法。OMA BCAST 组已经在其智能卡配置文件中使用正常的 GAA 进行服务保护，GBA Push 可实现网络发起的注册和长期密钥分发，并在某些情况下保护免受重放和 DoS 攻击。
与正常 GAA 的差异 ：主要差异在于新接口。NAF 与终端之间的 Upa 接口用于将安全关联推送到终端，取代了终端与 BSF 之间的 Ub 接口。修改后的 Zn 接口（根据是否基于 Diameter 或 Web 服务分别称为 Zpn 或 Zpn’）需要传输略有不同的信息，如 NAF 对用户身份的指示，新接口尽可能基于现有的 Zn 接口构建。

下面是 GBA Push 架构的 mermaid 流程图：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A(GBAPush NAF):::process -->|Zpn / Zpn´| B(BSF):::process
    A -->|Upa| C(Subscriber Terminal):::process
    B -->|Zh| D(Credential Server):::process
    B -->|Ua| E(Application):::process
    B -->|Database| F(Subscriber Database):::process

1.2 GAA 用户隐私

随着 GAA 基本功能被越来越多的服务用作使能器，3GPP 决定在 Release 8 中为 GAA 功能添加额外的隐私保护。最初，GAA 是在已部署的 3GPP 安全环境下设计的，假设底层网络承载是加密的，因此用户的私有标识符 IMPI 不需要额外加密来防止身份嗅探。但随着不同标准化组织推动 GAA 的与承载无关的使用，3GPP 达成共识，需要为用户隐私增加一层保护，以适应 GAA 的 Ub 接口在可能不提供加密的任意基于 IP 的网络（如 WLAN 热点）上的使用。否则，窃听者可能会跟踪用户并关联不同的用户活动。

为解决这一问题，引入了临时标识符——临时 IP 多媒体私有身份（TMPI），用于 Ub 参考点。每次新的安全关联建立运行时使用新的临时用户标识符，从而使关联变得不可能。TMPI 在 BSF 和终端本地为每次安全关联建立运行创建，用于与网络的下一次安全关联建立过程。终端将使用 TMPI 启动下一次 Ub 运行，BSF 将识别该标识符的结构。如果终端使用 TMPI 不成功，则将尝试使用 IMPI。终端和 BSF 需要通过 Ub 接口的 HTTP 头中的产品令牌相互表明支持此功能。

TMPI 机制可防止被动窃听者，但无法防止主动攻击（攻击者迫使终端恢复使用 IMPI 而不是 TMPI）。防止主动攻击需要对协议进行重大更改，并会引入与 GAA 先前版本的严重兼容性问题，其保护级别可与 GSM 和 UMTS 网络中使用的 TMSI 机制相比较。

1.3 GAA 在演进分组系统（EPS）和移动 IP（MIP）中的应用

优势与劣势 ：GAA 的接入独立性使其能够在任何接入网络技术上工作，包括尚未部署或完全定义的技术，如 3GPP Release 8 中规定的演进 UTRAN（E - UTRAN，也称为 LTE）。但在使用 GAA 认证之前必须先建立 IP 通信，因此 GAA 不能用于对 E - UTRAN 的接入认证。不过，在假设 GAA 安全关联建立已经在主无线接入上完成的情况下，原则上 GAA 可用于认证辅助无线接入，例如主无线接入为蜂窝接入，辅助接入为短程无线（如 WLAN 或蓝牙）。
安全研究与应用 ：目前正在研究 3G 网络演进的安全方面，识别威胁和潜在的对策。在为未来网络铺平道路的 EPS 中，GAA 被考虑用于移动 IP（MIP）安全和用户位置保护。MIP 用于将非 3GPP 接入网络连接到 EPS。终端需要专门用于 MIP 信令安全的安全凭证，为优化系统，所需的安全关联应从 USIM 上存储的现有安全凭证（即加密密钥）派生。终端在 MIP 上下文中充当移动节点（MN）。
安全关联 ：
- 终端与 3GPP AAA 服务器之间 ：基于用户订阅的信任关系，用户归属网络（Home – PLMN）中的 AAA 服务器负责用户认证和授权，例如使用 AKA 协议。MIP 认证独立于对实际网络的接入认证，可视为具有特定特性的服务认证，因此 GAA 可用于 MIP 密钥供应。
- 终端与 3GPP 归属代理（HA）之间 ：HA 需要与终端建立信任关系，以执行终端移动性所需的操作，这种信任关系通常在没有预配置共享密钥的情况下动态建立。
- MIP HA 与 AAA 服务器之间 ：在非漫游情况下，这两个网络节点位于同一运营商网络中；在漫游情况下，将在拜访网络中使用 AAA 代理，在归属网络中使用 AAA 服务器。漫游情况下，相关网络运营商有合同协议，因此这种信任关系在两种情况下都可以假设。运营商间通信通常使用网络域安全 [TS33.210] 或运营商特定的方式（如基于 IPsec）进行保护。

下面是 GAA 和移动 IP 的关系表格：
| 关系方 | 信任关系描述 |
| ---- | ---- |
| 终端与 3GPP AAA 服务器 | 基于用户订阅，AAA 服务器负责认证和授权，GAA 可用于 MIP 密钥供应 |
| 终端与 3GPP HA | 为满足终端移动性需求动态建立，无预配置共享密钥 |
| MIP HA 与 AAA 服务器 | 非漫游时在同一网络，漫游时有合同协议，通信可通过网络域安全或 IPsec 保护 |

2. GAA 展望

在讨论了 GAA 的技术细节、变体和可能的应用之后，我们来推测一下 GAA 技术的潜在前景。目前互联网服务普遍使用的认证技术是用户名和密码，为了成功竞争，任何挑战者技术都必须提供比现有技术更明显的优势。因此，我们先分析一下现有用户名/密码认证技术的优缺点。

2.1 用户名/密码认证的优缺点

优点：
- 熟悉度高 ：任何互联网用户都对密码有心理模型，大量用户无需培训即可开始使用用户名/密码。
- 易于部署 ：互联网服务在将用户纳入基于密码的认证系统时，大多数会为了更方便的部署而牺牲一定的安全性。通常，用户可以通过网页前端创建账户并声明电子邮件地址，新账户的激活需要对声明的地址进行电子邮件可路由性检查。服务器端软件是大多数网站构建工具的一部分，无需新的基础设施或客户端软件。
- 可移植性强 ：只要密码数量较少，用户可以在脑海中记住密码，并在任何客户端设备上使用，包括家用或办公电脑、便携式设备或临时使用的其他计算机。
缺点：
- 可用性差 ：用户在选择强密码、记住密码和在提示时正确输入密码方面存在困难。
- 安全性低 ：可用性困难以及为了便于部署而做出的权衡导致安全级别降低。用户选择弱且容易猜测的密码，许多流行网络服务注册过程中的电子邮件可路由性检查容易被拦截，账户可能被劫持。最严重的安全问题是容易受到网络钓鱼攻击，攻击者可以轻易欺骗用户向错误的服务器透露密码。

2.2 GAA 的优势与挑战

优势：
- 可用性高 ：基于 GAA 的认证可以让用户直观地将移动设备作为物理“钥匙”来访问服务，显著减轻了可用性负担。
- 安全性强 ：设计良好的 GAA 认证机制可以保护用户免受网络钓鱼攻击，例如将基于 GAA 的 HTTP - 摘要认证与服务器认证的 TLS 相结合，并采取适当的中间人攻击防护措施，可以挫败网络钓鱼和 pharming 攻击。
挑战：
- 可部署性 ：GAA 的成功部署和使用需要设备制造商发布支持 GAA 的移动设备、移动运营商设置 BSF 以及使服务提供商易于使用 NAF。领先的 GAA 应用（如广播移动电视）正在为满足前两个要求铺平道路。设置和运营 BSF 可能会产生重大的初始成本，但一旦为特定网络应用部署了 BSF，添加新应用的增量成本较低。服务提供商使用 GAA 需要调整其应用以使用 GAA，并与一个或多个运营商签约以使用其 BSF。易于使用的 NAF 库使应用调整变得容易，运营商应提供自动化的基于网络的签约机制，以鼓励服务提供商使用 GAA。因此，GAA 成功部署的关键因素是有多少运营商安装 BSF 以及他们使服务提供商使用 BSF 的难易程度。
- 可移植性 ：为了真正成功，基于 GAA 的认证必须能够在非蜂窝设备（如 PC 和互联网平板电脑）上使用。虽然这些设备可以包含智能卡读卡器，用户可以通过在设备之间移动 UICC 来实现可移植性，但这种方式可用性较差，不太可能成为实际使用场景。需要一种简单的方法，让用户能够通过有效利用其蜂窝设备上的 GAA 功能，在非蜂窝设备上进行基于 GAA 的认证。GAA 的拆分终端模型就是为此目的而设计的，不同的配置方式在安全性、可用性和标准化机制的可用性方面存在差异。

目前 GAA 的初始部署似乎已经开始，它在解决互联网上一个棘手问题——简单有效的用户认证方面具有巨大潜力，但要实现这一潜力还需要时间和努力。就像许多技术一样，GAA 在适应可部署性和可移植性挑战的过程中，其预期应用和概念本身可能会发生变化。例如，公钥技术最初设想相对容易部署，但实际部署却面临诸多困难，广泛应用的场景与最初设想有很大不同。GAA 也可能会以我们目前无法想象的方式发展和应用。

下面是 GAA 与用户名/密码认证对比的 mermaid 流程图：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A(用户名/密码认证):::process -->|优点| B(熟悉度高):::process
    A -->|优点| C(易于部署):::process
    A -->|优点| D(可移植性强):::process
    A -->|缺点| E(可用性差):::process
    A -->|缺点| F(安全性低):::process
    G(GAA 认证):::process -->|优点| H(可用性高):::process
    G -->|优点| I(安全性强):::process
    G -->|挑战| J(可部署性):::process
    G -->|挑战| K(可移植性):::process

通用认证架构（GAA）的未来趋势与展望

3. GAA 可部署性的深入分析

为了更清晰地了解 GAA 在可部署性方面的情况，我们进一步分析其各个环节。

3.1 设备制造商的角色

设备制造商在 GAA 的部署中起着关键作用。他们需要发布支持 GAA 的移动设备，这是 GAA 能够广泛应用的基础。以诺基亚 S60 设备为例，其可以通过下载软件包的方式添加 GAA 功能。这为其他设备制造商提供了一个可行的模式，即通过软件更新的方式来实现 GAA 功能的集成，降低了硬件层面的改造成本。

具体操作步骤如下：
1. 设备制造商进行 GAA 功能的技术研发和测试，确保其与设备的兼容性和稳定性。
2. 将 GAA 功能集成到设备的操作系统或软件包中。
3. 通过官方渠道发布软件更新，让用户可以下载并安装 GAA 功能。

3.2 移动运营商的作用

移动运营商在 GAA 部署中承担着重要的责任，主要体现在设置 BSF 和使服务提供商易于使用 NAF 两个方面。

设置 BSF ：设置和运营 BSF 可能会产生重大的初始成本，包括硬件设备的采购、软件系统的开发和维护等。然而，一旦为特定网络应用部署了 BSF，添加新应用的增量成本较低。这意味着移动运营商可以通过合理规划和资源配置，降低长期的运营成本。
具体操作步骤如下：
1. 进行市场调研和需求分析，确定 BSF 的功能和规模。
2. 采购合适的硬件设备和软件系统。
3. 进行 BSF 的安装、配置和测试。
4. 正式投入使用，并进行日常的维护和管理。
使服务提供商易于使用 NAF ：移动运营商需要为服务提供商提供便利，使其能够轻松使用 NAF。这可以通过提供易于使用的 NAF 库和自动化的基于网络的签约机制来实现。
具体操作步骤如下：
1. 开发和维护易于使用的 NAF 库，如 Java NAF 库。
2. 建立自动化的基于网络的签约平台，让服务提供商可以在线完成签约流程。
3. 提供技术支持和培训，帮助服务提供商更好地使用 NAF。

下面是 GAA 可部署性相关角色和操作的表格：
| 角色 | 操作内容 | 具体步骤 |
| ---- | ---- | ---- |
| 设备制造商 | 发布支持 GAA 的移动设备 | 技术研发和测试、功能集成、发布软件更新 |
| 移动运营商 | 设置 BSF | 市场调研和需求分析、采购设备和系统、安装配置和测试、投入使用和维护 |
| 移动运营商 | 使服务提供商易于使用 NAF | 开发和维护 NAF 库、建立签约平台、提供技术支持和培训 |

4. GAA 可移植性的解决方案探讨

GAA 的可移植性是其能否广泛应用的重要因素之一。为了实现 GAA 在非蜂窝设备上的使用，需要解决一些技术和可用性方面的问题。

4.1 拆分终端模型的应用

GAA 的拆分终端模型旨在解决非蜂窝设备上的可移植性问题。不同的配置方式在安全性、可用性和标准化机制的可用性方面存在差异。

具体操作步骤如下：
1. 确定拆分终端模型的具体配置方式，根据不同的应用场景和需求进行选择。
2. 在蜂窝设备和非蜂窝设备上进行相应的软件和硬件配置。
3. 建立蜂窝设备和非蜂窝设备之间的通信机制，确保数据的安全传输。
4. 进行测试和优化，确保拆分终端模型的稳定性和可靠性。

4.2 其他可能的解决方案

除了拆分终端模型，还可以探索其他可能的解决方案，如基于云服务的认证方式。通过将 GAA 认证功能集成到云服务中，用户可以在任何设备上通过互联网访问云服务进行认证。

具体操作步骤如下：
1. 开发基于云服务的 GAA 认证平台。
2. 将用户的认证信息存储在云端，并进行加密保护。
3. 用户在非蜂窝设备上通过互联网访问云服务，输入必要的信息进行认证。
4. 云服务平台验证用户信息，并返回认证结果。

下面是 GAA 可移植性解决方案的 mermaid 流程图：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    A(可移植性问题):::process -->|解决方案| B(拆分终端模型):::process
    A -->|解决方案| C(基于云服务的认证):::process
    B -->|操作步骤| D(确定配置方式):::process
    B -->|操作步骤| E(设备配置):::process
    B -->|操作步骤| F(建立通信机制):::process
    B -->|操作步骤| G(测试和优化):::process
    C -->|操作步骤| H(开发云平台):::process
    C -->|操作步骤| I(存储认证信息):::process
    C -->|操作步骤| J(用户访问认证):::process
    C -->|操作步骤| K(验证并返回结果):::process

5. GAA 未来发展的不确定性与机遇

尽管 GAA 在解决用户认证问题上具有巨大潜力，但它的未来发展仍然存在一定的不确定性。

5.1 技术标准的变化

随着技术的不断发展，3GPP 等标准化组织可能会对 GAA 的相关标准进行更新和完善。这可能会导致 GAA 的技术细节和应用方式发生变化，需要设备制造商、移动运营商和服务提供商及时进行调整。

5.2 市场竞争的压力

在互联网认证领域，用户名/密码认证仍然占据主导地位，并且可能会有其他新的认证技术出现。GAA 需要在市场竞争中证明自己的优势，吸引更多的用户和服务提供商。

5.3 机遇与挑战并存

然而，GAA 也面临着许多机遇。随着移动互联网的快速发展，用户对安全、便捷的认证方式的需求越来越高。GAA 可以通过不断优化自身的技术和服务，满足用户的需求，从而在市场中获得更大的份额。

同时，一些领先的 GAA 应用，如广播移动电视，已经为 GAA 的部署奠定了基础。随着这些应用的不断推广和普及，GAA 的知名度和认可度也会不断提高。

综上所述，GAA 作为一种新兴的认证技术，具有很大的发展潜力。但要实现其广泛应用，还需要设备制造商、移动运营商和服务提供商等各方的共同努力，解决可部署性和可移植性等方面的问题。在未来的发展过程中，GAA 可能会面临各种挑战和不确定性，但也蕴含着巨大的机遇。我们期待 GAA 能够在互联网认证领域发挥重要作用，为用户提供更加安全、便捷的认证服务。