一种Tarmarin分析安全的5GAKA协议安全增进系统的制作方法

一种tarmarin分析安全的5g aka协议安全增进系统
技术领域
1.本发明涉及一种5g网络设备接入认证与密钥协商协议安全增进方案，可以增进设备在接入5g网络时进行的身份认证与密钥协商过程的安全性，属于信息安全中的密码学领域。


背景技术：

2.移动用户通过usim(universal subscriber identity module，全球用户身份模块)卡连接到移动网络，用户和运营商都希望从所使用的通信协议中得到安全保证，比如用户语音、短信的保密性等。鉴权和密钥协商协议(authentication and key agreement，aka)能够实现用户和运营商网络之间的相互认证，并完成协商会话密钥的工作，且能建立一个安全信道来保证后续通信和数据传输的安全。
3.攻击者可能会利用通信协议存在的安全漏洞来发起攻击，这将严重威胁个人隐私、财产安全。对于5g移动通信网络，3gpp组织标准化了5g aka等协议，用于身份认证和密钥协商。5g通信的安全严重依赖于5g aka协议的安全性，因此对5g aka协议的安全性分析显得尤为重要，但是协议流程的复杂性使得很难通过人工的方式去发现其安全漏洞。而利用tamarin等安全协议验证工具对5g aka协议进行形式化分析，可以更好地发现其安全漏洞，从而促进协议标准的改进和完善，使得5g aka协议在5g网络全面商用后为用户和运营商提供更好的安全保证。
4.5g aka协议用于实现用户设备和运营商网络之间的身份认证和密钥协商，涉及到的实体有用户设备(user equipment,ue)、用户在近距离内连接的服务网络(serving network,sn)和与用户对应的运营商归属网络(home network,hn)。服务网络sn中包括安全锚点功能(security anchor function,seaf)，归属网络hn中包括鉴权服务功能(authentication server function,ausf)、鉴权证书库和处理功能(authentication credential repository and processing function,arpf)。
5.用户设备ue一般是智能手机或者物联网设备，ue由移动设备(mobile equipment,me)和usim卡组成，usim中存有用户永久身份标识符supi、序列号(sequence number,sqn)、长期对称密钥k和公共非对称密钥pk
hn
。supi是一个唯一且永久的用户身份标识，sqn是用于验证鉴权消息新鲜性的计数器，对称密钥k是用户与其对应归属网络hn中的arpf之间的共享密钥，公共非对称密钥pk
hn
也对应于归属网络hn，用于对supi进行加密得到用户加密标识符(subscription concealed identifier,suci)。服务网络sn主要在漫游场景中和用户进行通信，其中的安全锚点功能seaf负责完成对ue的鉴权以及协助ue和归属网络hn之间的鉴权，在鉴权成功且与ue建立安全信道后对ue提供服务。归属网络hn的数据库中也存有序列号sqn、长期共享密钥k、与公钥pk
hn
相对应的私钥等。其中的认证服务功能ausf、认证证书库和处理功能arpf负责向服务网络sn提供用于认证过程的鉴权向量，ausf会在seaf对ue鉴权成功后再次鉴权，用户标识符解密功能(subscription identifier de
‑
concealing function,sidf)负责将suci解密为supi。


技术实现要素：

6.针对现有技术存在的不足，本发明的目的在于提供一种增进5g aka协议身份认证和密钥协商过程安全性的方案。通过在3gpp组织发布的5g安全架构和流程技术规范r17标准中的5g aka协议的基础上进行协议改进，以确保5g aka协议在安全锚点密钥kseaf和长期共享密钥k上的保密性质，以及协议参与实体之间在参数supi、snid、kseaf上的lowe鉴权性质。同时此方案可以适用于在tamarin中的形式化分析。
7.为实现上述目的，本发明提供了如下技术方案：一种tarmarin分析安全的5g aka协议安全增进系统，包括：
8.身份认证和密钥协商模块，该模块用于进行身份认证和设置密钥；
9.密钥确认往返模块，该模块用于对密钥进行确认；
10.改进协议安全性质验证模块，对改进后的5g aka协议和期望5g aka协议满足的安全性质进行形式化建模，然后在tamarin中验证改进后的5g aka协议对相关安全性质的满足情况。
11.作为本发明的进一步改进，所述身份认证和密钥协商模块进行身份认证以及设置密钥的具体步骤如下：
12.步骤1：ue使用其对应归属网络的公钥pk
hn
将supi加密为suci，再将suci发送给seaf，seaf选择用户对应的归属网络来请求鉴权材料，再发送suci和snid给ausf；
13.步骤2：ausf将收到的snid与预期的服务网络名称进行比较，若一致则会暂时存储snid，再发送suci和snid给arpf；
14.步骤3：arpf通过用户标识符解密功能sidf从suci中解密出supi，然后选择鉴权方式为5g aka，arpf会计算出密钥kausf、参数xres*，然后创建出鉴权向量5g he av发送给ausf；
15.步骤4：ausf根据5g he av中的xres*计算出其哈希值hxres*，根据密钥kausf计算出kseaf，再创建出鉴权向量5g av、5g se av，再发送5g se av给seaf；
16.步骤5：seaf接收到ausf发来的5g se av后，将参数rand和autn发送给ue；
17.步骤6：ue从autn中提取出mac和sqn来验证鉴权材料的有效性，若通过验证，则更新自己的sqn，计算出参数res*和密钥kseaf，再把参数res*发送给seaf；
18.步骤7：seaf计算res*的哈希值hres*，再比较hres*和hxres*是否一致，若不一致则鉴权失败，若一致则从服务网络的角度认为此次鉴权成功，再发送res*给ausf进行下一步认证；
19.步骤8：ausf首先验证鉴权向量是否过期，如果过期了，则ausf从归属网络的角度认为鉴权失败；如果验证成功，则ausf比较res*和xres*是否一致，如果一致，则ausf从归属网络的角度认为此次鉴权成功；
20.步骤9：鉴权成功后，ausf会发送密钥kseaf和supi给seaf，密钥kseaf就会成为安全锚点密钥，seaf会根据此密钥来计算后续通信过程中的其它密钥。作为本发明的进一步改进，所述密钥确认往返模块进行密钥确认的具体步骤如下：
21.步骤10：seaf计算密钥kseaf和snid的哈希值，将此哈希值发送给ue；
22.步骤11：ue收到seaf发来的哈希值后，验证此哈希值是否正确，若正确，再计算密钥kseaf和supi的哈希值，将此哈希值发送给seaf；
23.步骤12：seaf收到ue发来的哈希值后，验证此哈希值是否正确，若正确，密钥确认过程结束。
24.作为本发明的进一步改进，所述改进协议安全性质验证模块进行验证的具体步骤如下：
25.步骤13：使用形式化语言对改进后的5g aka协议进行形式化建模，考虑4个协议参与实体：ue、seaf、ausf和arpf，使用tamarin中默认的dolev
‑
yao敌手模型对ue和seaf之间的公共信道进行建模；
26.步骤14：使用形式化语言对期望5g aka协议满足的安全性质进行形式化建模，包括在安全锚点密钥kseaf和长期共享密钥k上的保密性质，以及协议参与实体之间在参数supi、snid、kseaf上的lowe鉴权性质；
27.步骤15：在tamarin中验证改进协议对相关安全性质的满足情况。
28.本发明的有益效果：
29.1)该方案可以增进5g aka协议的安全性，可以抵御攻击者针对会话密钥kseaf的重放攻击以及机密性攻击。
30.2)该方案为未来新版本5g aka协议的设计和改进提供了新的思路，并且可以扩展应用到eap
‑
aka等协议的分析上。
31.3)该方案支持在tamarin中进行形式化分析，验证结果表明在改进前的23条不满足的安全性质中，有20条在根据本发明提出的综合改进方案改进后得到了满足，改进后协议的安全性得到了很大提升。
附图说明
32.图1为蜂窝网络架构图；
33.图2为身份验证和密钥协商模块执行流程图；
34.图3为密钥确往返模块执行流程图；
35.图4为本发明所述方案的流程框图。
具体实施方式
36.下面将结合附图所给出的实施例对本发明做进一步的详述。
37.首先对于说明书提及的5g aka协议相关基础概念进行解释；
38.(1)蜂窝网络架构
39.如图1所示，蜂窝网络整体架构大致由三个大的逻辑实体组成：用户设备ue、服务网络sn(用户近距离内连接的网络)、归属网络hn(用户对应的运营商)。用户使用配备了usim卡的设备通过不安全的无线信道(在图1中用虚线标出)和sn的基站进行通信，sn和hn之间以及hn内部的ausf和arpf之间的通信通过经过验证的有线信道(在图1中用实线标出)进行，可以认为是安全的。
40.(2)lowe鉴权性质
41.lowe分类法将鉴权协议的安全性质分为4类：
42.1)存活性
43.协议向发起者a提供另一个代理b的存活性保证是指，如果a认为自己和响应者b完
成了一次协议运行，那么b在之前运行了该协议，b可能不认为自己是和a运行了该协议，b还可能并不是刚刚运行了该协议(之前运行了并不一定是刚刚运行了)。
44.2)弱一致性
45.协议向发起者a提供和另一个代理b的弱一致性保证是指，如果a认为自己和响应者b完成了一次协议运行，那么b在之前运行了该协议，b认为自己是和a运行的，但b可能并不一定是作为响应者。
46.3)非单射一致性
47.协议向发起者a提供和另一个代理b的非单射一致性保证是指，如果a认为自己和响应者b完成了一次协议运行，且协议中的数据变量集合为ds。那么b在之前运行了该协议，b认为自己是和a运行的，b认为自己是响应者，b也认为数据变量集合是ds。
48.4)单射一致性
49.协议向发起者a提供和另一个代理b的单射一致性保证是指，如果a认为自己和响应者b完成了一次协议运行，且协议中的数据变量集合为ds。那么b在之前运行了该协议，b认为自己是和a运行的，b认为自己是响应者，b也认为数据变量集合是ds，且a的每一次运行都对应着b的唯一的一次运行。
50.(3)tamarin工作原理
51.tamarin使用安全协议理论语言(spthy)来描述协议状态的转移过程，用rule来描述协议状态，用lemma来描述期望验证的安全性质。这二者作为tamarin的输入，输出是安全性质在所有可能的情况下都成立的结论或者证明安全性质不成立的反例。tamarin验证lemma的原理是：精炼它所知道的关于安全性质和协议的知识，直到它可以得出安全性质在所有可能的情况下都成立的结论，或者找到不成立的反例。
52.参照图1至4所示，本实施例的一种适用tarmarin分析的5g aka协议安全增进方案，该方案由身份认证和密钥协商模块、密钥确认往返模块和改进协议安全性质验证模块三个部分实现。该方案的具体实现步骤如下：
53.模块一：身份认证和密钥协商模块具体由九个步骤实现：
54.步骤1：ue计算suci＝aenc(<supi,rand>,pk
hn
)，再将suci发送给seaf。seaf根据suci中包含的归属网络标识符选择用户对应的归属网络，再发送suci和snid给ausf。
55.步骤2：ausf将收到的snid与数据库中的服务网络名称进行匹配，若一致则发送suci和snid给arpf。
56.步骤3：arpf从suci中解密出supi＝sidf(suci,sk
hn
)，然后选择鉴权方式为5g aka。计算加密密钥ck＝f3(k，rand)、完整性密钥ik＝f4(k，rand)、匿名密钥ak＝f5(k，rand)，mac＝f1(k，(sqn||rand||snid||amf))，密钥参数xres＝f2(k，rand)，然后由参数rand(一个随机数)、autn(authentication token，认证令牌)、xres*、k a u s f创建出鉴权向量创建出鉴权向量5g he av＝rand||autn||xres||k
ausf
发送给ausf。
57.步骤4：ausf根据xres*计算出其哈希值hxres＝sha256(rand,xres)，计算k
seaf
＝kdf(k
ausf
,snid)，再创建鉴权向量5g av＝rand||autn||hxres||k
seaf
、5g se av＝rand||autn||hxres，再发送5g se av给seaf。
58.步骤5：seaf接收到ausf发来的5g se av后，将参数rand和autn发送给ue。
59.步骤6：ue从autn中提取出mac和计算xmac＝f1(k，(sqn||rand||snid||amf))，验证xmac是否等于mac。若相等，再验证自己存储的sqn
ue
是否小于提取出的sqn。若小于，则更新自己的sqn
ue
＝sqn，计算出参数res＝f2(k，rand和ck＝f3(k，rand)、ik＝f4(k，rand)、ak＝f5(k，rand)，再计算密钥和密钥k
seaf
＝kdf(k
ausf
,snid)，再把参数res*发送给seaf。
60.步骤7：seaf计算hres＝sha256(rand,res)，再比较hres*和hxres*是否相等。若相等则鉴权成功，再发送res*给ausf进行下一步认证。
61.步骤8：ausf比较res*和xres*是否相等。如果相等，则鉴权成功。
62.步骤9：ausf发送密钥kseaf和supi给seaf。
63.模块二：密钥确认往返模块具体由三个步骤实现：
64.步骤10：seaf计算密钥key_confirm_seaf＝sha256(k
seaf
,snid)，将key_confirm_seaf发送给ue。
65.步骤11：ue验证key_confirm_seaf＝sha256(k
seaf
,snid)，再计算key_confirm_ue＝sha256(k
seaf
,supi)，将key_confirm_ue发送给seaf。
66.步骤12：seaf验证key_confirm_ue＝sha256(k
seaf
,supi)，若正确，密钥确认过程结束。
67.模块三：改进协议安全性质验证模块具体由三个步骤实现：
68.步骤13：ue和seaf之间的信道是无线公共信道，攻击者可以获取无线公共信道中传输的消息而不被协议参与实体察觉，在tamarin中形式化建模为：[out(x)]
‑‑
>[！kd(x)]；攻击者也可以将自己已知的任何消息注入到信道中，在tamarin中形式化建模为：[！ku(x)]
‑‑
[k(x)]
‑
>[in(x)]。seaf和ausf之间以及ausf和arpf之间的信道认为是安全信道，在tamarin中形式化建模为：
[0069]
rule send_secure:
[0070]
[snds(ch_name,a,b,m)]
[0071]
‑‑
[sendsecure(ch_name,a,b,m)]
‑
>
[0072]
[sec(ch_name,a,b,m)]
[0073]
rule receive_secure:
[0074]
[sec(ch_name,a,b,m)]
[0075]
‑‑
[receivesecure(ch_name,a,b,m)]
‑
>
[0076]
[rcvs(ch_name,a,b,m)]
[0077]
步骤14：
[0078]
(1)安全锚点密钥kseaf的保密性质
[0079]
分别从ue、seaf、ausf和arpf的角度来考虑密钥kseaf的保密性质。举例说明：从ue的角度考虑密钥kseaf的保密性质，如果ue声明会话密钥是保密的，并且攻击者没有危害ue获取其密钥k，则攻击者不能够获取或者计算出密钥kseaf。在tamarin中形式化建模为：
[0080]
lemma secrecy_ue:
[0081]
"all a t#i.secret(<'ue',a>,t)@i&not(ex supi#r.revealk(supi)@r)
[0082]
＝＝>not(ex#j.k(t)@j)"
[0083]
(2)长期共享密钥k的保密性质在tamarin中形式化建模为：
[0084]
lemma secrecy_k:
[0085]
"all supi k#i.ltk(supi,k)@i&not(ex#r.revealk(supi)@r)
[0086]
＝＝>not(ex#j.k(k)@j)"
[0087]
(3)鉴权性质
[0088]
对于协议参与实体ue、seaf、ausf和arpf，本文分别从ue、seaf和ausf的角度考虑了对其他三个实体在参数supi、snid和kseaf上的鉴权性质，一共有36种情况。举例说明：从ausf的角度，考虑其和seaf在安全锚点密钥kseaf上的非单射一致性。ausf认为自己和seaf完成了一次协议运行，协议涉及到的参与实体是ue、seaf、ausf和arpf，并且攻击者没有获取ue的密钥k，则至少存在一次seaf的协议运行，seaf认为自己和ausf在密钥kseaf上协商一致。
[0089]
在tamarin中形式化建模为：
[0090]
lemma agreement_ausf_seaf_k_seaf:
[0091]
"all a c t#i.(commit(c,t,<'ausf','k_seaf'>)@i&not(ex#r.revealkforsupi(a)@r))
[0092]
＝＝>(ex b2#j.running(b2,t,<'seaf','k_seaf'>)@j)"
[0093]
步骤15：在ubuntu16.04系统中安装tamarin 1.4.1版本，通过网页交互模式进行验证，验证经本发明所述方案改进后的5g aka对安全性质的满足情况。
[0094]
综上所述，本发明提出了一种可以在形式化验证工具tamarin中进行分析的5g aka协议安全增进方案。本方案实现了用户设备和运营商网络之间的双向认证和密钥协商，增进了这一过程中会话密钥的安全性质，可以抵御攻击者针对会话密钥kseaf的重放攻击以及机密性攻击。为未来新版本5g aka协议的设计和改进提供了新的思路，并且可以扩展应用到eap
‑
aka等协议的分析上。
[0095]
以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。