家庭基站设备认证机制研究

[摘要]文章简述了家庭基站在现阶段开展融合业务中的重要作用，介绍了3GPP中家庭基站安全相关的标准进展，研究了家庭基站的设备认证机制，最后对方案选择给出了建议。

[关键调]家庭基站　Femtocell　安全认证

1　引言

家庭基站也称Femtocell，是一种小型、低功率蜂窝基站，主要用于家庭及办公室等室内场所。它的作用是作为蜂窝网在室内覆盖的补充，为用户提供话音及数据服务。家庭基站使用IP协议，采用扁平化的基站架构，可以通过现有的DSL、Cable或光纤等宽带手段接入移动运营商的核心网络。远端由专用网关实现从IP网到移动网的连接。它的大小与ADSL调制解调器相似，具有安装方便、自动配置、自动网规、即插即用的特点。Femtocell适用于CDMA、GSM、UMTS等各种标准和支持2G、2.5G、3G的产品，与运营商的其它移动基站同制式、同频段，适用于现有移动终端。它具有1个载波，发射功率为10mW-100mW，覆盖半径为50m～200m，支持4～6个活动用户，允许的最大用户运动速度为10kin／h。

近期发展来看，家庭基站是实现固网、移动形成融合平台的有效方案。对于家庭基站的应用，需要跳出传统微蜂窝的观念，通过创新的业务模式和应用模式将移动业务主导的个人市场和固定业务主导的家庭市场相结合。它的引入不但可以改善家庭室内覆盖质量，提供高速数据无线接入，卸载宏小区负荷，更重要得是可以增强用户黏性，使移动业务和宽带业务在市场竞争中相互促进相互支撑。目前来看，全球大约有20多个运营商已开展了基于家庭的融合业务探索，如英国电信的BT Fusion，法国电信的“Orange UNIK”和新加坡电信的“Mio”等。

与传统宏基站不同，家庭基站通过固网运营商不可信的链路连接到移动运营商的核心网络，这导致运营商的核心网络与公共网络直接相连，必然为运营商的网络管理带来新的风险。此外，家庭基站部署在不可信的环境中，极易受到恶意用户的攻击，并以家庭基站为跳板，进一步对运营商的核心网络以及用户终端造成严重威胁。

综上所述，为保证家庭基站大规模商用，顺利开展融合业务，需要设计安全、完整的认证机制以保证其安全性。

2　3GPP中家庭基站安全标准进展

目前，3GPP、3GPP2、Femto Forum等标准组织都在进行家庭基站安全相关的标准化工作，本文主要介绍3GPP中家庭基站的安全标准进展情况。

2007年12月，3GPP SA第38次会议正式立项，开展家庭基站安全机制的研究；同时起草TR33 820，分析家庭基站面临的安全威胁，研究相应的解决措施，涉及家庭基站安全架构、安全威胁、安全要求等内容。2009年3月SA第43次会议通过了TR 33.820。

2008年12月，3GPP SA第42次全会启动WI“Security Aspects of Home NodeB／eNodeB”，正式制定家庭基站的安全标准，计划2010年3月完成该项目。目前来看，业界对家庭基站的安全解决方案已经研究得比较充分，3GPP在这方面的工作将主要起到形成统一方案、促进多厂家设备互通的作用。

随着3GPP在3G家庭基站标准化方面工作的开展，家庭基站相关的标准将逐渐稳定，预计业界也将陆续推出符合3GPP标准的家庭基站解决方案，从而促进3G家庭基站逐步走向规模商用。

3　家庭基站的设备认证机制

家庭基站的认证通常包括以下三部分内容：

(1)设备认证，在家庭基站加电后，首先进行家庭基站的设备鉴权，确认家庭基站的身份及硬件设备的合法性；

(2)准入认证，当UE请求通过家庭基站接入网络时，家庭基站通过与安全网关以及与核心网设备交互。执行UE准入鉴权，判决该UE是否有接入该家庭基站的权力；

(3)UE认证，附着在家庭基站的UE的接入请求将被前转到移动核心网，继续进行传统移动网络中的UE接入鉴权。

在上述三种认证方式中，设备认证是家庭基站安全机制的基础，因此本章仅介绍家庭基站的设备认证，其余两种认证方式，可参见相关的3GPP规范TS25.467和TS33.102。

对于家庭基站，可以采用机卡不分离模式或机卡分离模式，每种模式下，均可使用证书或EAP AKA认证方式，下面分别对这四种情况进行介绍。

3.1支持机卡不分离模式

为了便于描述，首先引入信任状的概念。本文中的信任状是指在某种认证方式下，保存在家庭基站和网络中的秘密数据。对于证书认证，信任状指的是私钥；对于EAP AKA认证信任状指的是根密钥K。

机卡不分离模式要求认证信任状嵌入在家庭基站中。EAP AKA和证书两种认证方式均可满足机卡不分离的需求。

(1)EAP-AKA／SIM(AKA／SIM信任状不可插拔)

家庭基站和运营商核心网络之间交互的信息都是基于IP协议进行传输，目前3GPP已经采纳IPsec作为网络节点间的通信安全保护技术，即家庭基站和安全网关之间执行交互认证后，家庭基站和安全网关问建立安全隧道以保护家庭基站和安全网关之间交互的信息的安全。

如图1所示，家庭基站和运营商核心网络利用IPsec协议中的IKEv2承载EAP-AKA／SIM的方式进行双向认证，关于IKEv2协议可参见RFC 4306。

1、家庭基站获得安全网关的IP地址，向SG发起IKEv2认证请求，家庭基站和SG执行IKE_SA_INIT初始交换流程：

2、在IKE_AUTH阶段的第一条消息中，家庭基站向安全网关发送家庭基站的身份标识(携带在Idi载荷中发送)，开始协商子安全关联。如果家庭基站的远程IP地址需要动态配置，这条消息中还需要携带配置载荷；

3、安全网关向AAA服务器发送携带空的EAP AVP的认证请求消息，这条消息中包含在第二步中接收到的家庭基站的身份标识；

4、AAA服务器从HSS／HLR获取用户信息和认证向量；

5、AAA服务器发送认证挑战给安全网关；

6、安全网关向家庭基站发送IKE_AUTH响应。IKE_AUTH响应消息中包含从AAA服务器接收到的EAP消息(EAP-Request／AKA(SIM)-Challenge消息)。如果家庭基站需要使用安全网关的证书对安全网关进行认证时，这条消息中还需要包含安全网关身份标识、证书和和用于保护在第1步中发送给家庭基站的消息的AUTH参数；

7、家庭基站发送认证挑战响应消息。在响应消息中包含EAP消息。当家庭基站需要基于安全网关的证书来认证安全网关时，家庭基站需要检查认证参数AUTH；

8、安全网关向AAA服务器转发EAP-Response／AKA(SIM)-Challenge消息；

9、当所有的认证成功时，AAA服务器向安全网关返回