丁新根，黃彬

（中國聯(lián)通周口市分公司，河南周口466000）

LTE網(wǎng)絡(luò)安全模式問題優(yōu)化分析

丁新根，黃彬

（中國聯(lián)通周口市分公司，河南周口466000）

文章主要針對某公司LTE優(yōu)化過程中遇到的安全模式問題進(jìn)行了深入探討，通過對鑒權(quán)加密基本理論的學(xué)習(xí)，對問題由來的分析，在研究分析的基礎(chǔ)上采用了多種相應(yīng)的解決手段，最終使得安全模式問題造成的影響得以解決，旨在提升網(wǎng)絡(luò)質(zhì)量，增強(qiáng)用戶感知。

安全模式；鑒權(quán)；加密；LTE網(wǎng)絡(luò)

某公司自2015年4月份開始建設(shè)LTE FDD網(wǎng)絡(luò)，起步晚于全省其他地市，所以目前還處于網(wǎng)絡(luò)的初期階段，在每次網(wǎng)絡(luò)的升級換代過程中，就會呈現(xiàn)各種各樣的問題，譬如安全模式不匹配就是其中的一種，影響網(wǎng)絡(luò)質(zhì)量和用戶感知，為了解決這一問題，某公司進(jìn)行了深入的探索和實踐，通過對問題的細(xì)致深入分析，總結(jié)出了相應(yīng)的方法、策略。

1 研究背景

某公司在LTE網(wǎng)絡(luò)建設(shè)起步較晚的情況下，集中力量奮力直追，以前所未有的速度快速推進(jìn)網(wǎng)絡(luò)建設(shè)，目前已經(jīng)基本滿足了市區(qū)和縣城4G網(wǎng)絡(luò)的連續(xù)覆蓋。在集團(tuán)總部公司聚焦4G的戰(zhàn)略方針指引下，某公司從網(wǎng)絡(luò)支撐、市場營銷等方面積極開展聚焦4G活動。

由于4G開網(wǎng)時間較短，在現(xiàn)網(wǎng)的運行當(dāng)中存在種種問題，終端、eNodeB、MME核心網(wǎng)等相關(guān)的硬件及軟件之間的相互匹配、相互兼容方面都存在一部分問題，為了打造LTE精品網(wǎng)絡(luò)，有效支撐聚焦4G戰(zhàn)略，公司網(wǎng)絡(luò)運行維護(hù)中心積極開展各種各樣的技術(shù)研討、專項優(yōu)化等活動，以便攻克網(wǎng)絡(luò)中存在的普遍且緊迫的待優(yōu)化問題。

2 安全模式基本原理簡介

2.1 LTE/SAE網(wǎng)絡(luò)密鑰架構(gòu)

首先簡要了解一下LTE/SAE網(wǎng)絡(luò)密鑰架構(gòu)，由K派生出較多層次的密鑰，分別實現(xiàn)各層的保密性和完整性保護(hù)，提高了通信中的安全性。LTE/SAE網(wǎng)絡(luò)密鑰層次架構(gòu)如圖1所示。圖中的ASME即為LTE定義的接入安全管理實體，這個實體是接入網(wǎng)從HSS（本地用戶服務(wù)器）接收最高級密鑰的實體，為了管理UE（用戶設(shè)備）和LTE接入網(wǎng)絡(luò)各實體共享的密鑰。對于LTE接入網(wǎng)絡(luò)來說，MME（移動性管理實體）執(zhí)行ASME的功能。

圖1LTE/SAE網(wǎng)絡(luò)密鑰層次架構(gòu)圖

圖1 的密鑰層次架構(gòu)中包括的密鑰如下：1）UE與HSS間的共享密鑰

永久密鑰K：存儲在USIM和認(rèn)證中心AuC

密鑰對CK/IK：USIM和認(rèn)證中心AuC在AKA認(rèn)證過程中生成。與UMTS相比，CK/IK不應(yīng)離開HSS。

2）ME與ASME共享的中間密鑰

密鑰KASME：UE和HSS根據(jù)CK/IK推演得到，用于推演下層密鑰，作為SAE特定認(rèn)證向量響應(yīng)的部分從HSS傳輸?shù)紸SME。

3）LTE接入網(wǎng)絡(luò)的密鑰

密鑰KeNB：UE和MME根據(jù)KASME推演得到，用于推導(dǎo)保護(hù)RRC流量和UP流量。

密鑰KRRCint：作用于和特定的完整性算法一起保護(hù)UE和eNB間RRC流量。

密鑰KRRCenc：作用于和特定的加密算法一起保護(hù)UE和eNB間RRC流量。

密鑰KNASint：作用于和特定的完整性算法一起保護(hù)UE和MME間NAS流量。

密鑰KNASenc：作用于和特定的加密算法一起保護(hù)UE和MME間NAS流量。

密鑰KUPenc：作用于和特定的加密算法一起保護(hù)UE和eNB間UP流量。

4）對于NAS信令應(yīng)用完整性保護(hù)和加密特性時，UE和MME需要滿足33.401的要求如下：

對于NAS信令加密，UE和MME需支持128-EE A0（NULL），128-EEA1（Snow3G）和128-EEA2（AES）。

對于NAS信令的完整性保護(hù)，UE和MME需支持128-EIA1（Snow3G）和128-EIA2（AES）。（可選）UE和MME支持128-EIA0（NULL）。如果緊急呼叫未經(jīng)認(rèn)證也未要求必須支持，即使MME和eNodeB部署了128-EIA0（NULL）的配置也將失效。

無線側(cè)的完整性保護(hù)和加密保護(hù)功能配置在eNodeB，對eNodeB上所有小區(qū)有效。

2.2 TE/SAE安全性激活

在LTE中，接入層與非接入層的完整性保護(hù)和加密保護(hù)是相互獨立的分層安全，因此要分別進(jìn)行，網(wǎng)絡(luò)端是先激活非接入層的安全性，再激活終端的接入層的安全性，順序固定。它們安全性的激活都是在AKA之后依靠SMC命令來完成的。

下面根據(jù)安全性激活順序分別介紹NAS和AS的安全模式過程。

1）NAS（非接入層）安全模式命令過程激活NAS安全，提供NAS信令數(shù)據(jù)的完整性保護(hù)和加密保護(hù)。過程如下：

MME發(fā)送給UE一個NAS安全模式命令，UE回復(fù)一個完成消息。由消息中KSIASME標(biāo)明的KASME密鑰產(chǎn)生NAS完整性密鑰進(jìn)行完整性保護(hù)，UE驗證NAS安全模式命令消息的完整性，如驗證成功，則UE開始NAS完整性保護(hù)并且加解密，并發(fā)送完成消息給MME。如驗證沒成功，則在ME端結(jié)束，并且ME將不發(fā)送完成消息。

2）AS（接入層）安全模式命令過程激活A(yù)S安全，提供NAS信令數(shù)據(jù)的完整性保護(hù)和加密保護(hù)，并提供用戶面數(shù)據(jù)加密保護(hù)功能。過程如下：

ENB發(fā)送給UE一個AS安全模式命令，UE回復(fù)一個完成消息。如果AS安全模式命令過程不成功，則在ME端終止，ME將不發(fā)送完成消息。

3 優(yōu)化案例

3.1 問題現(xiàn)象

在做KPI指標(biāo)分析的時候發(fā)現(xiàn)ZKFZO1C16泰安路某家屬樓站點第二小區(qū)無線接通率特別低，大部分都在80%多，個別時候僅有60%。

指標(biāo)分析：LTE無線接通率=RRC連接建立成功率×E-RAB建立成功率

通過提取無線接通率相關(guān)指標(biāo)分析發(fā)現(xiàn)：無線接通率低是由于E-RAB建立成功率較低導(dǎo)致；E-RAB建立失敗基本全部是由于安全模式激活失敗導(dǎo)致。

指標(biāo)如表1所示：

表1 無線接通率指標(biāo)表

3.2 問題分析

一個正常的信令應(yīng)該有INITIAL CONTEXT SETUP REQUEST、隨后進(jìn)行鑒權(quán)加密命令過程、收到RRC重配置完成、收到INITIAL CONTEXT SETUP RESPONSE，如圖2所示。

圖2 正常信令流程圖

通過跟蹤某家屬樓站點第二小區(qū)E-RAB建立失敗的信令發(fā)現(xiàn)，有很多上下文建立失敗信令，且失敗原因都是由于加密性算法或者完整性保護(hù)算法不支持導(dǎo)致。異常信令流程如下，如圖3所示。

圖3 異常信令流程圖

1）通過網(wǎng)管小區(qū)信令追蹤，查出該小區(qū)下導(dǎo)致E -RAB建立失敗用戶的IMSI,經(jīng)過多次跟蹤發(fā)現(xiàn)，導(dǎo)致該問題的為同一個IMSI:460013880651279，即是由同一用戶導(dǎo)致，因此懷疑是用戶終端有問題。

2）在MME/SGSN核心網(wǎng)管通過用戶跟蹤到的用戶IMSI：460013880651279進(jìn)行用戶查詢，得到用戶手機(jī)號碼為186****0087。經(jīng)過與用戶電話溝通交流，確認(rèn)用戶終端為韓版某品牌Note2，該型號終端國內(nèi)行貨N7108版本不支持LTE網(wǎng)絡(luò)，港版N7105版本（如圖4所示），支持LTE網(wǎng)絡(luò)。

圖4 用戶終端型號圖

3.3 問題定位

通過對信令進(jìn)一步分析，發(fā)現(xiàn)用戶終端在建立E-RAB連接時會上報一個加密算法的值，通過對后臺跟蹤的信令進(jìn)行分析，發(fā)現(xiàn)導(dǎo)致E-RAB建立失敗的用戶終端上報的該值為0，索引值0代表eea0（0：eea0;1:eea1;2:eea2）。

經(jīng)查詢該終端加密算法僅支持EEA0,完保性算法僅支持EIA0，如圖5所示。與網(wǎng)絡(luò)當(dāng)前版本配置的值不匹配，終端不停的請求附著4G網(wǎng)絡(luò)從而導(dǎo)致大量的安全模式激活失敗，從而導(dǎo)致E-RAB建立失敗，如圖6所示。

圖5 用戶手機(jī)能力圖

圖6 網(wǎng)管安全算法配置圖

現(xiàn)場使用其他終端測試，信令正常，指標(biāo)正常。而拿用戶終端在其他小區(qū)試驗，仍是出現(xiàn)同樣問題。斷定終端與目前網(wǎng)絡(luò)版本鑒權(quán)加密算法不匹配導(dǎo)致該問題。

通過MME核心網(wǎng)管核查其他手機(jī)的安全能力信息，發(fā)現(xiàn)其余手機(jī)基本都能支持3種以上加密和完整性保護(hù)算法。具體如圖7、圖8、圖9、圖10所示：

圖7 測試手機(jī)1 安全能力圖

圖8 測試手機(jī)2安全能力圖

圖9 測試手機(jī)3安全能力圖

圖10 測試手機(jī)4安全能力圖

通過對該案例進(jìn)行分析整理，針對此類問題進(jìn)行了篩查，又發(fā)現(xiàn)了6個疑似此類低接通率小區(qū)，按照同樣思路進(jìn)行分析，通過跟蹤信令分析，并第一時間定位到具體用戶，發(fā)現(xiàn)原因一模一樣，都是終端問題導(dǎo)致的E-RAB安全激活失敗。

這些用戶的終端類型加密算法僅支持EEA0,完保性算法僅支持EIA0，而當(dāng)前網(wǎng)絡(luò)后臺參數(shù)設(shè)置的加密算法和完保性算法不一致。如表2所示：

表2 E-RAB成功率低問題分析表

3.4 解決建議

1）與用戶溝通，將終端的4G網(wǎng)絡(luò)關(guān)閉，暫停使用4G功能。

2）建議用戶到某手機(jī)售后服務(wù)中心進(jìn)行終端版本升級，從而匹配當(dāng)前網(wǎng)絡(luò)后臺參數(shù)完保性算法；

3）建議基站設(shè)備供應(yīng)商對基站版本進(jìn)行升級，解決部分終端與網(wǎng)絡(luò)當(dāng)前版本配置的完保性算法不一致的問題。

3.5 解決效果

1）與用戶溝通，建議用戶將終端的網(wǎng)絡(luò)模式由L/ G/W自動模式調(diào)為僅限WCDMA模式。

調(diào)整之后觀察小區(qū)指標(biāo)，發(fā)現(xiàn)由于安全激活失敗導(dǎo)致的E-RAB建立失敗次數(shù)已經(jīng)消失，E-RAB建立成功率大幅提升。

調(diào)整及效果如圖11、表3所示：

圖11 手機(jī)模式調(diào)整圖

表3 調(diào)整后指標(biāo)效果表

2）建議用戶進(jìn)行終端版本升級，從而匹配當(dāng)前網(wǎng)絡(luò)后臺參數(shù)完保性算法，由4.1升級至4.2無效果。

3）建議基站設(shè)備供應(yīng)商對基站版本進(jìn)行升級，解決部分終端與網(wǎng)絡(luò)當(dāng)前版本配置的完保性算法不一致的問題；10月23日凌晨基站設(shè)備供應(yīng)商對網(wǎng)管進(jìn)行了一次升級，由V12.13.51升級至V12.14.20。

通過提取10月23日-11月19日將近一個月的指標(biāo)匯總?cè)绫?所示：

表4 升級后指標(biāo)效果表

4 總結(jié)

在網(wǎng)絡(luò)優(yōu)化和投訴處理過程中，思路要開闊，不要只緊盯網(wǎng)絡(luò)無線側(cè)的問題，還要全面考慮用戶終端等所有與網(wǎng)絡(luò)相關(guān)的問題，尤其是在網(wǎng)絡(luò)發(fā)展的初期階段。并盡量與用戶取得聯(lián)系，在提升問題解決效率的同時，也向用戶展示我們的服務(wù)，提升我們的口碑。要做到舉一反三，發(fā)現(xiàn)一個案例要及時總結(jié)，歸納優(yōu)化處理的方式方法，并在類似的問題中去驗證，從而提高問題的處理效率。

[1]李偉華,李文松,李玲,張智廣.淺談GSM、TD-SCDMA及TD-LTE的鑒權(quán)與加密機(jī)制[J].山東通信技術(shù)，2015（1）:21-24.

[2]宋健霖,劉輝.TE系統(tǒng)中接人層加密和完整性保護(hù)研究[J].廣西通信技術(shù)，2010（2）：7-8.

[3]曾勇.LTE/SAE密鑰管理技術(shù)研究[J].通信技術(shù)，2009（7）：97-100.

[4]陳發(fā)堂,袁金龍,吳增順.鑒權(quán)與密鑰協(xié)商過程在LTE系統(tǒng)中的改進(jìn)[J].電子技術(shù)應(yīng)用,2012(7):147-150.

[5]楊俊,李煒霞.淺談LTE安全系統(tǒng)[J].中國新通信,2015（14）:114-116.

[6]徐娟.LTE網(wǎng)絡(luò)RRC連接問題的排查與分析[J].湖南郵電職業(yè)技術(shù)學(xué)院學(xué)報,2015（3）:4-7.

Optimization analysis of LTE network security model

DINGXin-gen,HUANGBin
（China Unicom,Zhoukou Branch,Zhoukou,Henan,China 466000）

This paper mainlydiscusses the problemofsecuritymode in LTE network optimization ofa certain company.Through the studyofthe theoryofauthentication and keyhierarchy,the paper analyzes the causes ofthe problem and takes a variety ofcorresponding solutions based on the analysis ofthe research.At last,the problem ofsecuritymode is solved,which improves the qualityofnetwork and enhances the customer perception.

securitymode;authentication;encryption;LTE network

10.3969/j.issn.2095-7661.2017.01.005】

TN915.08

A

2095-7661（2017）01-0014-05

2016-11-15

丁新根（1974-），男，河南周口人，中國聯(lián)合網(wǎng)絡(luò)通信有限公司周口市分公司部門經(jīng)理，通信工程師，研究方向：無線通信技術(shù)、網(wǎng)絡(luò)優(yōu)化、網(wǎng)絡(luò)與信息安全。