YDT2038-2009 移动通信网 应用服务端到端通信 密钥管理

YDT2038-2009 移动通信网 应用服务端到端通信 密钥管理 《移动通信网应用服务端到端通信密钥管理》是基于《移动通信网应用服务端到端通信认证机制》的密钥管理方法。《移动通信网应用服务端到端通信认证机制》是移动用户与网络中各种应用业务提供者之间的端到端通信的一种通用认证机制，其独立于移动网络用户的网络接入认证机制，针对不同的移动网络应用环境，可以灵活地选择端到端认证的认证模式及实体间的认证方式。在该认证机制中没有详细描述密钥管理的相关内容，所以本标准详细描述了在此认证框架下的密钥管理方法。本标准是基于移动通信网应用服务端到端安全通信的系列标准，该系列标准的名称及结构如下： YD/T2038-2009移动通信网应用服务端到端通信密钥管理 YDT2039-2009移动通信网应用服务端到端通信认证机制本标准参考了IS0/EC11770-1：1996《信息技术安全技术密钥管理第1部分：框架》、TU-TQ.9/SG17 X.msec-1《基于移动网络应用服务端到端通信的安全技术》以及X.msec-2《基于PKI的移动通信用户到服务提供者之间的端到端数据通信安全框架》。 本标准的附录A为资料性附录。 本标准由中国通信标准化协会提出并归口。 1范围 本标准规定了移动通信网应用服务端到端通信的盖钥管理方法。包括密钥的生成、保存、分发和传 递、生存期、更新和销毁服务的实施和运用。 本标准适用于基于上述认证机制下的所有业务实体，包括所有基于不可移动通信标准的移动终端以 及任意的应用服务器。其中应用服务器包括部署于移动网格内部以及位于开故网络的第三方的应用服务 器。 2规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日别的引用文件，其随后所有的 修改单（不包括动误的内容）或修订版均不证用于本标准，然而，鼓根据本标准达成协议的各方研究 是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 YDT20392009移动通信网应用胜务端到端通信认证机制 3GPP TS 33.102："3G Security；Security architecture". 3GPPTS 33.220："Generic Authentication Architecture（GAA）：Generic Bootstrapping Architecture". 3GPP TS 33.221："Generic Authentication Architecture（GAA）：Support for Subscriber Certificates". 3GPP2 SP0109："Generic Bootstrapping Architecture（GBA）Framework". 3GPP2 SP0114："Security Mechanisms using GBA" IS0MEC11770-1：1996《信息技术安全技术密钥管理第1部分：框架》，ITU-T Recommendation X.1121（2004），Framework of security technologies for mobile end-to-end data communications. ITU-T Recommendation X.1122（2004），Guideline for implementing secure mobile systems based on PKL. 3术语和定义 下列术语和定义适用子本标准。 3.1实体认证中心entity authentication conter是移动通信网一应用服务罐到耀通信认证机耐的认证框架中的一个网铬元素。其功能是完成与业 务实体的认证动商以及互认证过程，生成与业务实体间的共享密钥材料，查询认证情况以及计算衍生密 钥等，EAC还可以包括BSF的功能、Kerberos服务器的功能、证书检测的功能等， 3.2实体签约信息数据库entity subscription database是移动通信网一应用服务端到端通信认证机制的认证框架中的一个网络元素。保存有业务实体的 签约信息，其中实体的认证信息与身份标识一起保存， 业务签钓者service subscriber具有请求业务的功能，可以是普通的移动用户，也可以是第三方的应用服务器等， 3.4曼务提供者service provider具有提供业务的功能，可以是运营商网络的应用股务器〔AS，Application Server）或外部网铬的SP （Service Provider.），甚至是移动终观。 3.5业务实体service entity业务提供者与业务签约者的统称，包括SS、SP两种类型. 3.6私有身份标识private identity业务实体的真实身份标识，是由网络运营商定义的、具有全球难一性的、用于在归属网锦内从网络角度难一识别用户的标识。它主要用于对用户的认证、计费、管理。 3.17公开身份标识public identity业务实体的公共身份标识，是该业务实体和其他实体通信时所使用的身份标识。 3.8根密钥k：可以是业务实体与网络（EAC）之间共享的密们，可以永久不变世可以是周期性更新，如3GPP标准组织定义的3G网铬里USM和AuC之问的长期共享秘密密钥K，3GPP2标准组织定文的网络中移动台和归属位置将存器/似证中心（HLR/CA）之间共享的根密钥AKy：如果业务实体和网络（EAC）都持有被此信任的机构领发的证书，此时的根密们就是证书公私钥对中的私钥 3.9共享密钥材料shared key material业务实体与EAC互认证过程中生成的，记为Ks/KP。SS与EAC间的共享密胡材料记为Ks，SP与EAC何的共享密胡材料记为K即。KK即可以是对称密钥以及一整其他的材料（共享密码算法、压缩算法、安全关联等）·它可以用于保护乙和'参考点的通信安全以及导出衍生密钥，具有一定的有效期，与临时身份标ISR-D/IAC-ID关联保存，该密钥的长度，算法强度以及有效期可以根据业务类型和安全等级等参数设置。 SS和SP基于Kp成功互认证后将生成保护本次通信的会话密钥K-SSSP，从而保证通信时的一次一密. 3.12密钥管理Key managemen根据安全策略，实范并运用对密钥材料进行产生，登记，认证、注销、分发、安装、存储、妇档、撤消、衍生和销毁的服务。 3.13认证模式authentication mode在本标准所提供的认证机制中，SSSP与EAC需要根据网铬环境和业务类型等灵活地协商后续认适采用的认证方式和密钥生咸方法等，这些协商信息统称认证模式，包括SSSP与EAC的互认证方法，认证查询和箭生密胡生成方法、SS和S的互认证方法等，其中，这三项均为可选项。认证模式的命名一般为E2EXXX，例如：E2E3G_GBA、E2 E_KERBEROS、E2 E_Mediation、E2 E_TLS. 4符号和缩阵语 下列符号和缩略语近用于本标准， 4.1符号 Zm EAC和ESD之间的参考点 Z凸 EAC和SS之间的参考点 Z凸 SP与EAC之间的参考点 e SS与SP之间的参考点 Ks SS与EAC之间的共享密钥 Kp SP与EAC之问的共享密钥 K甲 SS与SP之间的共享密钥