摘 要：针对3GPP-WLAN 互联网络的认证协议EAP-AKA ,首先建立了3GPP-WLAN 用户通过无线局域网(WLAN) 实现接入的认证数学模型。 通过分析指出,3GPP AAA 服务器每次从认证中心获取认证矢量(AV) 的数目K 与重认证次数对认证信令开销所带来的影响。 在考虑了重认证次数影响后,提出了一个新的自适应K 选择机制,该机制利用终端在前一WLAN 中总的认证次数、重认证次数和K 来预测推断当前WLAN 中所需的K 值。 仿真结果表明,新的机制相比固
摘 要：针对3GPP-WLAN 互联网络的认证协议EAP-AKA ,首先建立了3GPP-WLAN 用户通过无线局域网(WLAN) 实现接入的认证数学模型。 通过分析指出,3GPP AAA 服务器每次从认证中心获取认证矢量(AV) 的数目K 与重认证次数对认证信令开销所带来的影响。 在考虑了重认证次数影响后,提出了一个新的自适应K 选择机制,该机制利用终端在前一WLAN 中总的认证次数、重认证次数和K 来预测推断当前WLAN 中所需的K 值。 仿真结果表明,新的机制相比固定的K选择机制能更有效降低由获取AV 所带来的信令开销。
关键词：互联网络; 3GPP-无线局域网互联;认证;K 选择机制
引言
将蜂窝网络同无线局域网(WLAN)互联,以提供用户在异构环境中的无缝接入,是朝着实现未来异构无线网络融合的重要环节,是当前的一个研究热点。蜂窝网络可以提供用户广域的移动性和方便的安全管理;而WLAN能够在热点地区提供价格低廉的接入服务。 因此,具有很好的互补性。
本文主要从性能上来分析3GPP-WLAN 互联网络的EAP-AKA 认证协议。 认证中, 3GPP AAA ( Authentication Authorization Accounting )服务器通过接入HSS( Home Subscriber Servers)或者HLR( Home Location Register) 以获取认证数据(AVs) ,并完成3GPP2WLAN 互联中用户接入WLAN 所必须的双向认证和密钥材料协商。 由于接入HSS 获取AV 的费用较高,因此3GPP AAA服务器每次请求HSS 传输多个AV 认证矢量,以减少接入HSS 的次数。 另一方面,如果每次传输的AV 矢量数目过多,则会占用3GPP AAA 服务器与HSS 之间较多带宽,当接入的用户数量太大时,容易发生拥塞现象。 另外, EAP-AKA 协议还支持快速重认证,从而能够大大降低终端认证信令开销。然而,随着快速重认证次数的增多,使得密钥材料的更新时间变长,将会导致安全性的降低,带来安全上的隐患。
针对3GPP-WLAN 互联网络EAP-AKA 认证协议中的认证开销,本文指出了重认证次数以及每次在3GPP AAA 服务器与HSS 之间传输的AV 数目K 对认证开销带来的影响。 最后在考虑了重认证次数的影响因素后,提出一种新的自适应K 选择机制。 仿真分析表明,新的机制相比于固定K 选择机制,能有效地降低3GPP-WLAN 互联网络中的认证信令开销。
3GPP-WLAN中的EAP-AKA 认证
图1 所示为简化的3GPP-WLAN 互联网络结构,其中WLAN终端可分别通过不同的WLAN接入网(Access Network ,AN) 访问外部网络,如Internet 或者Intranet 等;而终端的接入认证和计费等管理则由终端归属的3GPP 网络与部署在终端上的通用用户标识模块(Universal Subscriber Identity Module ,USIM) 共同完成。 3GPP-WLAN 的互联采用基于IETF ( Internet Engineering Task Force)草案的EAP-AKA 认证协议 。 EAP-AKA 包括全认证和快速重认证两种认证方式。 其中全认证主要包括两个步骤: 3GPPAAA 服务器同HSS 或者HLR 交互获取AV ;3GPP AAA 服务器与WLAN终端之间的双向认证和密钥材料的协商。 全认证过程需要HSS 或HLR 执行3GPP的AKA (Authentication and Key Agreement) 算法来获取AV。 每个AV矢量是一个五元组,包括{随机数RAND , 认证标记AUTN , 期望响应XRES , 完整性校验密钥IK, 数据加密密钥CK}。 每一个认证矢量AV 都可用来完成一次全认证。 由于重认证过程重用了前一全认证过程中协商的主密钥等材料, 因此3GPP AAA 服务器不需要同HSS 交互获取新的AV认证矢量,也避免了AV生成和传输带来的信令开销。
