‘壹’ 第三代移动通信（3G)的安全性分析
网络文库就有的啦
你可以去看下哦
或者网络一下你就知道啦
c）如果用户通过UTRAN接入，控制接入的3G VLR/SGSN同2G用户之间进行GSM的鉴权过程后，在SIM卡上存储了密钥Kc。VLR/SGSN和用户终端设备同时通过Kc计算出UMTS的CK和IK，然后3G VLR/SGSN将利用CK和IK为用户提供安全保护，但由于此时用户安全特性的核心仍是GSM密钥Kc，所以用户并不具备3G的安全特性。
d）当用户通过2G接入网接入时，控制的VLR/SGSN（2G或3G）直接执行GSM鉴权过程，建立GSM安全上下文。
注意：为了支持2G鉴权和3G鉴权的兼容性，3G HLR必须支持3G鉴权5元组向2G鉴权3元组的转换功能；3G MSC必须支持3G鉴权5元组和2G鉴权3元组之间的双向转换功能。
4、移动通信安全的进一步完善
随着通信技术的不断发展，移动通信系统在各个行业得到广泛应用，因此对通信安全也提出了更高的要求。未来的移动通信系统安全需要进一步的加强和完善。
4.1 3G的安全体系结构趋于透明化
目前的安全体系仍然建立在假定内部网络绝对安全的前提下，但随着通信网络的不断发展，终端在不同运营商，甚至异种网络之间的漫游也成为可能，因此应增加核心网之间的安全认证机制。特别是随着移动电子商务的广泛应用，更应尽量减少或避免网络内部人员的干预性。未来的安全中心应能独立于系统设备，具有开放的接口，能独立地完成双向鉴权、端到端数据加密等安全功能，甚至对网络内部人员也是透明的。
4.2 考虑采用公钥密码体制
在未来的3G网络中要求网络更具有可扩展性，安全特性更加具有可见性、可操作性的趋势下，采用公钥密码体制，参与交换的是公开密钥，因而增加了私钥的安全性，并能同时满足数字加密和数字签名的需要，满足电子商务所要求的身份鉴别和数据的机密性、完整性、不可否认性。因此，必须尽快建设无线公钥基础设施（WPKI），建设以认证中心（CA）为核心的安全认证体系。
4.3 考虑新密码技术的应用
随着密码学的发展以及移动终端处理能力的提高，新的密码技术，如量子密码技术、椭圆曲线密码技术、生物识别技术等已在移动通信系统中获得广泛应用，加密算法和认证算法自身的抗攻击能力更强健，从而保证传输信息的机密性、完整性、可用性、可控性和不可否认性。
4.4 使用多层次、多技术的安全保护机制
为了保证移动通信系统的安全，不能仅依靠网络的接入和核心网内部的安全，而应该使用多层次、多技术相结合的保护机制，即在应用层、网络层、传输层和物理层上进行全方位的数据保护，并结合多种安全协议，从而保证信息的安全。
今后相当长一段时期内，移动通信系统都会出现2G和3G两种网络共存的局面，移动通信系统的安全也面临着后向兼容的问题。因此，如何进一步完善移动通信系统的安全，提高安全机制的效率以及对安全机制进行有效的管理，都是今后亟需解决的问题。
USIM中的鉴权处理原理
首先计算AK，并从AUTN中将序列号恢复出来，SQN=（SQN①AK）①AK；USIM计算出XMAC，将它与AUTN中的MAC值进行比较。如果不同，用户发送一个“用户认证拒绝”信息给VLR/SGSN，放弃该鉴权过程。在这种情况下，VLR/SGSN向HLR发起一个“鉴权失败报告”过程，然后由VLR/SGSN决定是否重新向用户发起一个鉴权认证过程。
同时，用户还要验证接收到的序列号SQN是否在有效的范围内，若不在，MS向VLR发送同步失败消息，并放弃该过程。
如果XMAC和SQN的验证都通过，那么USIM计算出RES，发送给VLR/SGSN，比较RES是否等于XRES，如果相等，网络就认证了用户的身份。
最后，用户计算出CK和IK。
2.2 UMTS的加密机制
在上述双向鉴权过程中产生的CK，在核心网和用户终端间共享。CK在RANAP消息“安全模式命令”中传输，RNC获得CK后就可以通过向终端发送RRC安全模式命令，并开始进行加密。
UMTS的加密机制是利用加密算法f8生成密钥流（伪随机的掩码数据），明文数据再和掩码数据进行逐比特相加产生密文，然后以密文的方式在无线链路上传输用户数据和信令信元，接收方在收到密文后，再把密文和掩码数据（同加密时输入参数一样，因此产生的掩码数据也一样）逐比特相加，还原成明文数据，即解密。
2.3 UMTS的完整性保护机制
为防止侵入者假造消息或篡改用户和网络间的信令消息，可以使用UMTS的完整性保护机制来保护信令的完整性。完整性保护在无线资源控制（RRC）子层执行，同加密一样，在RNC和终端之间使用。IK在鉴权和密钥协商过程中产生，IK也和CK一起以安全模式命令传输到RNC。
UMTS的完整性保护机制是发送方（UE或RNC）将要传送的数据用IK经过f9算法产生的消息鉴权码MAC附加在发出的消息后。接收方（RNC或UE）收到消息后，用同样的方法计算得到XMAC。接收方把收到的MAC和XMAC相比较，如果两者相等，说明收到的消息是完整的，在传输过程中没有被修改。
3、2G/3G网络共存时的漫游用户鉴权
2G与3G网络共存是目前移动通信向3G过渡必然要经历的阶段。由于用户通过SIM卡或USIM使用双模式手机可同时接入到2G和3G网络，当用户在2G和3G共存的网络中漫游时，网络必须为用户提供必要的安全服务。由于2G和3G系统用户安全机制之间的继承性，所以可以通过2G和3G网络实体间的交互以及2G和3G安全上下文之间的转换运算来实现不同接入情况下用户的鉴权。
3.1 UMTS漫游用户的鉴权
在2G和3G共存网络中，UMTS漫游用户鉴权按以下方式进行：
a）通过UTRAN接入时，使用3G鉴权。
b）当使用3G移动台和3G MSC/VLR或SGSN通过GSM BSS接入时，使用3G鉴权机制。其中GSM密钥从UMTS CK和IK计算获得。
c）当使用2G移动台或2G MSC/VLR或SGSN通过GSM BSS接入时，使用GSM鉴权机制。其中用户响应SRES和GSM密钥从UMTS SRES、CK和IK得到。
UMTS漫游用户的鉴权过程包括以下几个步骤（见图4）：
图4 漫游UMTS用户在2G/3G网络中的鉴权
a）当HLR/AuC收到VLR/SGSN的鉴权数据请求消息时，将根据用户钥匙K生成一组3G鉴权矢量，包扩RAND、XRES、AUTN、CK和IK。
b）鉴权矢量的分发会根据请求鉴权数据的VLR/SGSN的类型而不同。如果请求鉴权数据的是3G VLR/SGSN，将直接接收HLR/AuC的3G鉴权矢量，并将它存储起来；而当请求鉴权的是2G VLR/SGSN时，HLR/AuC会将3G鉴权矢量转化为GSM鉴权三元组，2G VLR/SGSN将这组鉴权三元组存储起来。
c）当UMTS通过UTRN接入时，VLR/SGSN直接进行3G鉴权，为用户建立3G安全上下文。
d）当UMTS用户通过2G接入网接入时，根据控制鉴权的VLR/SGSN类型和用户设备类型的不同，使用的鉴权矢量可以是3G鉴权矢量，也可以是GSM鉴权三元组。当控制接入的是3G VLR/SGSN时，如果用户使用的是3G用户设备，VLR/SGSN和用户之间执行3G鉴权过程，双方协议CK和IK作为3G安全上下文，并存储在USIM中，然后用户设备和VLR/SGSN同时计算出Kc，并用它在以后的信令过程中对空中数据进行保护。如果此时用户设备是2G，VLR/SGSN取出UMTS鉴权矢量对用户鉴权时，先通过前述算法计算出GSM鉴权三元组，然后将RAND发送到USIM，USIM通过3G鉴权算法得到与鉴权矢量中相同的XRES、CK和IK，计算出2G的SRES和Kc，再将SRES发回到VLR/SGSN进行比较后，将Kc用作空中数据的加密。如果控制接入的是2G VLR/SGSN，则VLR/SGSN取出一个存储的GSM鉴权三元组，将其中的RAND发送到用户，USIM通过3G鉴权算法得到XRES、CK和IK，再同样计算出2G的SRES和Kc，在对SRES进行比较后，密钥Kc协商成功。
3.2 GSM SIM漫游用户的鉴权
GSM SIM漫游用户的鉴权流程如图5所示。
图5 GSM SIM漫游用户的鉴权流程
由于GSM SIM用户只支持GSM系统安全特性，所以鉴权过程必然是GSM系统的。具体步骤如下：
a）当VLR/SGSN向用户归属2G HLR/AuC请求鉴权数据时，HLR/AuC生成一组GSM鉴权三元组。
b）HLR/AuC向请求鉴权数据的VLR/SGSN分发鉴权三元组，不管VLR/SGSN是2G还是3G类型的，VLR/SGSN会将这组鉴权三元组存储起来，然后取出一个鉴权三元组对用户进行鉴权。
c）如果用户通过UTRAN接入，控制接入的3G VLR/SGSN同2G用户之间进行GSM的鉴权过程后，在SIM卡上存储了密钥Kc。VLR/SGSN和用户终端设备同时通过Kc计算出UMTS的CK和IK，然后3G VLR/SGSN将利用CK和IK为用户提供安全保护，但由于此时用户安全特性的核心仍是GSM密钥Kc，所以用户并不具备3G的安全特性。
d）当用户通过2G接入网接入时，控制的VLR/SGSN（2G或3G）直接执行GSM鉴权过程，建立GSM安全上下文。
注意：为了支持2G鉴权和3G鉴权的兼容性，3G HLR必须支持3G鉴权5元组向2G鉴权3元组的转换功能；3G MSC必须支持3G鉴权5元组和2G鉴权3元组之间的双向转换功能。
4、移动通信安全的进一步完善
随着通信技术的不断发展，移动通信系统在各个行业得到广泛应用，因此对通信安全也提出了更高的要求。未来的移动通信系统安全需要进一步的加强和完善。
4.1 3G的安全体系结构趋于透明化
目前的安全体系仍然建立在假定内部网络绝对安全的前提下，但随着通信网络的不断发展，终端在不同运营商，甚至异种网络之间的漫游也成为可能，因此应增加核心网之间的安全认证机制。特别是随着移动电子商务的广泛应用，更应尽量减少或避免网络内部人员的干预性。未来的安全中心应能独立于系统设备，具有开放的接口，能独立地完成双向鉴权、端到端数据加密等安全功能，甚至对网络内部人员也是透明的。
4.2 考虑采用公钥密码体制
在未来的3G网络中要求网络更具有可扩展性，安全特性更加具有可见性、可操作性的趋势下，采用公钥密码体制，参与交换的是公开密钥，因而增加了私钥的安全性，并能同时满足数字加密和数字签名的需要，满足电子商务所要求的身份鉴别和数据的机密性、完整性、不可否认性。因此，必须尽快建设无线公钥基础设施（WPKI），建设以认证中心（CA）为核心的安全认证体系。
4.3 考虑新密码技术的应用
随着密码学的发展以及移动终端处理能力的提高，新的密码技术，如量子密码技术、椭圆曲线密码技术、生物识别技术等已在移动通信系统中获得广泛应用，加密算法和认证算法自身的抗攻击能力更强健，从而保证传输信息的机密性、完整性、可用性、可控性和不可否认性。
4.4 使用多层次、多技术的安全保护机制
为了保证移动通信系统的安全，不能仅依靠网络的接入和核心网内部的安全，而应该使用多层次、多技术相结合的保护机制，即在应用层、网络层、传输层和物理层上进行全方位的数据保护，并结合多种安全协议，从而保证信息的安全。
今后相当长一段时期内，移动通信系统都会出现2G和3G两种网络共存的局面，移动通信系统的安全也面临着后向兼容的问题。因此，如何进一步完善移动通信系统的安全，提高安全机制的效率以及对安全机制进行有效的管理，都是今后亟需解决的问题。
1、防火墙
防火墙技术是通过有机结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术。
防火墙技术的功能主要在于及时发现并处理计算机网络运行时可能存在的安全风险、数据传输等问题，其中处理措施包括隔离与保护。
同时可对计算机网络安全当中的各项操作实施记录与检测，以确保计算机网络运行的安全性，保障用户资料与信息的完整性，为用户提供更好、更安全的计算机网络使用体验。
主要是在两个网络之间做隔离并需要数据交换，网闸是具有中国特色的产品。