GPRS网络的安全分析

上海电力学院
无线网络安全
技术报告
题目: GPRS网络的安全分析
姓名：周佳婕王丽君
学号： ******** ******** 院系：计算机科学与技术学院
专业年级：信息安全 2011级
2014年10月27日
GPRS网络的安全分析
摘要：信息的安全传输始终是网络技术发展中的一个重要问题。

GPRS必须与其它网络互联，并且必须满足用户移动性所带来的多方面需求和限制，因此GPRS的数据安全问题就变得更加复杂。

本文主要进行了GPRS网络中数据传输安全方面的研究。

关键词：GPRS 身份验证网络互联GEA算法
Abstract: secure transmission of information network technology development is always an important issue. GPRS must interconnect with other networks and must meet various needs and constraints brought about user mobility, so GPRS data security problem becomes more complex. This paper mainly studied the GPRS network data transmission security.
Keywords:GPRS network interconnection GEA authentication algorithm
引言：
世界上有大约10亿普通电话用户，3亿无线通信用户和1亿互联网用户。

世界电信业的发展趋势是无线语音业务的发展速度超过普通电话业务，两者间在不断融合。

未来的网络将是一个有线、无线和互联网三者合一的数字化的全球网络。

其覆盖将超越一切地理障碍，使信息无处不在。

预计2005年将10亿无线互联网用户，中国的互联网用户数将从现在的2千万增加到2003年的6千万。

GPRS是目前阶段解决移动通信信息服务的一种较完美、即将从应用实验到正式推广的业务。

无线网络时代的到来,使人们的生活突然开始摆脱线缆的羁绊,无线通信服务也从无线领域延伸到了Internet和企业应用。

某省移动公司完成了统一信息平台工程的建设,将全省14个市州分公司和122个县级分支机构的办公自动化都纳入了该平台,最终形成了3000用户,在线600用户的规模,但是现有的办公应用基本上局限在有线网络中,而员工的办公环境却时常出现在有线办公网络以外。

因此,需要通过GPRS接入实现移动办公,从而满足员工通过多种接入途径(Intranet、Internet、GPRS、WLAN、PSTN/ISDN、SMS等)、使用多种访问设备(台式机、便携机、PDA、移动电话等)、随时随地方便安全地进行移动办公的需求。

GPRS是一种以全球手机系统(GSM)为基础的数据传输技术,可说是GSM的延续。

GPRS和以往连续在频道传输的方式不同,是以封包式来传输,因此使用者所负担的费用是以其传输资料单位计算,并非使用其整个频道,理论上较为便宜。

GPRS的传输速率可提升至56甚至114Kbps。

而且,因为不再需要现行无线应用所需要的中介转换器,所以连接及传输都会更方便容易。

GPRS接入方式确实极大地延伸了办公自动化的时空领域,另一方面,由此带来的专用网与无线互联网以及无线连接的安全问题也日益突出。

目录
引言： (3)
一. GPRS简介 (5)
二. GPRS用户身份验证 (5)
三. GPRS无线接入的安全性 (6)
3.1 GPRS无线接入的工作流程 (6)
3.2安全性保障 (6)
3.2.1 第一级安全保障 (6)
3.2.2 第二级安全保障 (7)
3.2.3 第三级安全保障 (7)
3.2.4 第四级安全保障 (7)
3.2.5 第五级安全保障 (8)
3.3 对数据传输过程进行加密 (8)
四. GPRS网络互联时的安全性 (9)
五. GPRS与IP网络互联时的安全性 (10)
六. 来自外部网络的安全威胁 (11)
七. 总结 (11)
参考文献 (12)
一. GPRS简介
通用分组无线业务（GPRS）是一种对GSM网进行改进的数据传输标准，在GSM上提供分组交换和分组传输能力，利用现有GSM站点的基础设备，能以高达115kbps甚至170kbps 的传输速率实现端对端的分组交换数据业务。

无线应用协议（WAP）等高层协议可以基于GPRS 来实现移动互联。

GPRS的基本原理是：在有数据需要传送时利用分组传送数据，而不使用GSM的固定电路连接方式，仅在有数据通信时占用物理信道资源。

这种对无线信道的统计复用能够使用户更有效地共享网络资源，并为运营商提高现有设备以及无线信道容量等网络资源的利用率。

另外，GPRS核心网络采用了IP技术，即可以与迅速发展的IP网络（Internet/Intranet）互联，又顺应通信网的分组化发展趋势，逐步向第三代移动通信系统演进。

GPRS是在GSM网络的基础上增加GPRS服务节点（SGSN）、GPRS网关节点（GGSN）以及一系列标准接口来实现的。

二. GPRS用户身份验证
GPRS的用户身份验证过程与GSM中的验证过程类似，区别在于验证的执行过程由移动业务中心（MSC）转移到了SGSN。

验证机制中使用了一个三元组，包括一个128位的随机数RAND、用于用户验证的A3算法结果SRES（32位）以及由A8算法计算所得的64位密钥Kc （将用于身份验证结束后数据传输中使用的GPRS加密算法GEA）。

在网络侧，这个三元组由SGSN从HLR处获取并存储于SGSN内部。

用户验证过程如图1所示。

其中Ki是用户身份验证密钥，长度为128位。

首先，移动用户终端向SGSN提出验证请求，SGSN接收到请求后，向归属位置寄存器HLR发送一个验证信息。

HLR接收到该信息后，用随机数发生器产生一个在0和2128-1之间的随机数RAND，并利用该随机数以及自身存储的用户验证密钥Ki，使用A3算法得到结果SRES，使用A8算法得到GPRS加密算法（GEA）的密钥Kc，并将随机数、SRES、GPRS、Kc作为一个三元组发送回SGSN。

然后，SGSN将三元组存贮起来，并将其中的随机数发送给用户移动终端。

用户使用该随机数以及存储在自身SIM卡中的验证密钥Ki，利用A3算法计算出结果SRES并发送回SGSN；最后，SGSN将内部存储的三元组中的SRES与用户发回的SRES进行比较，如果二者相等，则移动用户终端通过了身份验证。

此时，验证过程并未结束，SGSN将与终端进行是否需要对数据传输进行加密的协商和设定，并保证SGSN与移动终端之间加密解密的同
时进行。

这一步成功后，用户身份验证过程结束。

值得注意的是，GPRS网络中的所有安全功能都建筑在用户验证密钥Ki之上，因此，身份保护是至关重要的。

首先，该密钥和A3算法都是保密的，它们被存储在用户SIM卡和网络的HLR中。

其次，在身份认真过程中，用户使用临时用户的身份和加密参数对自己的身份认证信息进行保护。

三. GPRS无线接入的安全性
3.1 GPRS无线接入的工作流程：
银行通过专线和移动公司GPRS网的GGSN相连，在移动GGSN网元上为银行设置一个专用的接入APN点，从而在企业使用的移动设备和银行内部网络之间构成一条无线虚拟专网（VPN）通道，解决了企业提出的内部网络安全性及数据私密性的要求。

移动终端在进行GPRS附着时，SGSN首先向HLR查询移动终端所允许使用的APN，然后通过DNS将APN解析成相应的IP地址。

专用的APN在GGSN上将体现为专用的网络地址段。

由于银行通过专线和移动公司连接，此时移动终端己通过此种方式通过GPRS相接到企业专网上了。

3.2安全性保障
3.2.1 第一级安全保障：GPRS网络本身的安全性
用户认证：
GPRS将使用GSM定义的认证过程，其差异是：该过程是从SGSN执行的。

GPRS认证过程执行用户认证、选择加密算法和加密起始时刻的同步。

认证三重系存于SGSN中。

一旦附着
IMSI，MSC/VLR将不通过SGSN对移动台认证，也不能位置更新，但在CS连接建立期间可以认证移动台。

用户识别码保密：
临时逻辑链路识别码（TLLI）用来识别个GPRS户。

TLLI和IMSI之间的管理只有在移动台和SGSN内才能知道。

TLLI根据SGSN安排的P-TMSI得到，或者由移动台创建。

当移动台处于就绪状态时，SGSN任何时候都可以重新安排P-TMSI。

重新安排过程根据P-TMSI重新安排过程来执行，或者也可以包含在附着或路由更新过程中。

3.2.2 第二级安全保障：
GPRS网络侧的AAA认证AAA是指认证（Authentication）、授权（Authorization）、计费（Accounting）三个过程，其中：
认证是，用户在使用网络系统中的资源时对用户身份的确认。

这一过程，通过与用户的交互获得身份信息（像用户名－口令、生物特征信息等），然后提交给认证服务器；认证服务器对身份信息与存储在数据库里的用户信息进行核对处理，然后根据处理结果确认用户身份是否正确。

授权是，网络系统授权用户以特定的权限使用其资源，这一过程指定了被认证的用户在接入网络后能够使用的业务和拥有的权限，如授予IP地址，准许访问时间等。

计费是，网络系统收集、记录用户对网络资源的使用信息，以便向用户收取资源使用费。

以互联网业务提供商ISP为例，用户的网络接入使用情况可以按流量或者时间准确地记录下来。

认证、授权和计费一起实现了网络系统对特定用户的网络资源使用情况的准确记录。

这样既在一定程度上有效地保障了合法用户的权益，又能有效地保障网络系统安全可靠地运行。

GPRS网络侧的AAA认证过程是对用户的域名进行鉴权认证。

GPRS网络侧的AAA服务器对登录用户的域名和该用户的IMSI进行绑定审核验证。

验证通过后，方可接入GPRS网络。

3.2.3 第三级安全保障：
GPRS网络和用户网络之间的VPN链接GPRS网络和用户网络之间可以采用专线链接，也可以使用Internet链接。

使用Internet链接必须考虑安全性，因此，可以使用VPN将二者利用Internet链接起来。

VPN是在不安全的Internet上传输的，传输内容可能涉及到企业的机密数据，因此安全性非常重要。

VPN中的安全技术通常由加密、认证及密钥交换与管理组成。

主要有认证技术，加密技术，秘钥管理与交换技术。

3.2.4 第四级安全保障：
用户网络侧的安全防火墙（FW）。

防火墙技术是目前用来实现网络安全措施的一种主要手段，主要是用来拒绝非法用户的访问，阻止非法用户存取敏感数据，同时允许合法用户顺利访问网络资源。

防火墙实际上是一种访问控制技术，在某个机构的内部网络和不安全网络之间设置障碍，阻止对信息资源的非法访问，也可以使用防火墙阻止保密信息从受保护网络上的非法输出。

用户网络可以选用适合于本单位的防火墙产品来保证自己网络数据的安全。

3.2.5 第五级安全保障：
用户网络侧的AAA鉴权认证。

用户网络侧的AAA鉴权认证可以实现对VPDN成员的身份认证。

与第二级的安全保障不同，本级的 AAA服务器将鉴别VPDN成员的用户名和密码的正确性。

3.3 对数据传输过程进行加密
用户移动终端验证成功之后，用户终端就可以进行数据传输了。

在GPRS网络数据传输过程中，数据和信令是受加密算法保护的，并且这种GPRS加密算法（GEA）是保密的，处于逻辑链路控制（LLC）层。

在GPRS网络中，数据和信令受到加密算法保护的范围是从SGSN 到用户终端，比GSM中从基站到用户终端的范围大。

GPRS加密算法的密钥Kc的传送是不受加密算法保护的。

为了保证Kc的安全性，GPRS 和GSM网络中均使用了间接传送的方式（如图2所示），即网络只向用户终端传送随机数RAND，用户和网络都利用RAND和Ki，使用A8算法来计算密钥Kc。

密钥Kc的最大长度为64位，并且可以在数据传输过程中随时进行重新设置（如图2所示），网络和移动终端中始终保持最新的Kc。

为了正确传递数据，SGSN和移动终端中，对数据流的加密和解密过程必须保持同步，这在GPRS网络通过LLC包的序列号以及数据传送方向（只有从终端到网络或从网络到终端两个方向）来保证。

数据加密解密以及同步的过程见图3。

四. GPRS网络互联时的安全性
多个GPRS网络之间通过公用数据网络（如Internet）或者专用网络的通信链路进行互联。

如图4所示。

其中专用网络链路的使用是为了满足用户的服务质量（QoS）需求和提高安全性能。

不同GPRS网络之间的数据和信令都是通过边界网关来传送的。

在边界网关中可以使用IPsec 协议或互联双方协商好的安全协议来实现身份验证以及数据安全保证功能。

互联后，GPRS 用户可以在其中任意漫游，信息和数据受到GPRS网络的保护。

五. GPRS与IP网络互联时的安全性
GPRS网络通过使用GGSN的Gi参考点能够支持与IP网络的互联，包括运行着IPv4或IPv6的Internet和Intranet。

Gi参考点位于GGSN与外部IP网络之间。

外部IP网络把GGSN 当做一个普通的IP路由器，如图5所示。

一般来说，防火墙、内部IP网络、DHCP和DNS均由GPRS网络管理员进行管理和配置，用来为GPRS用户提供访问外部网络的服务并限制外部网络对GPRS网络的某些操作，保证GPRS网络系统的安全性。

GPRS网络为用户提供了两种访问外部IP网络的机制：透明访问方式和不透明访问方式。

在移动终端使用透明访问外部IP网络时，GPRS网络为移动终端分配静态或动态IP地址，GGSN用此IP地址与移动终端想要访问的对外部IP网络节点进行通信，并将返回的信息正确传递给相应的GPRS移动终端。

在这种方式下，GPRS网络不保证用户在外部IP网络上的身份和数据安全，此时用户只能通过使用IP层或更高层上的安全协议（如IPsec）来保证重要信息的安全。

在移动终端使用不透明访问外部IP网络时，由外部Intranet或ISP为移动终端分配静态或动态的IP地址。

GGSN用此IP地址与外部Intranet或ISP进行通信，并将返回的信息正确传递给相应的GPRS移动终端，此时需要GGSN与外部IP网络或ISP的地址分配服务器相连。

用户对Internet等外部IP网络的访问通过Intranet或ISP进行。

在这种方式下，GPRS网络与外部Intranet或ISP之间，用户数据的安全性可以通过双方协商的方法（比如专线连接、隧道方式、使用IPsec协议等）来保证。

六. 来自外部网络的安全威胁
当GPRS与不安全的外部网络互联时，将受到来自外部网络的安全威胁。

首先，GPRS网络中的用户信息以及路由表信息都是明文保存的。

为了保证用户信息不被非法窃取以及路由表不被破坏，这些信息必须受到严密的保护，另外，如果SGSN和防火墙配置不当，还可以使GPRS网络受到“拒绝服务（DoS）”攻击。

其次，外部网络可以向GPRS用户发送数据。

由于GPRS按流量计费，大数据量的电子邮件将给用户造成经济损失。

病毒程序也可以在不知不觉中被放入用户的移动终端。

另外，来自GPRS网络内部的恶意用户或用户移动终端中的病毒程序可以发送GPRS数据和信令消息来影响GPRS网络及其用户的行为。

为了解决这些安全隐患，GPRS网络必须正确配置SGSN和防火墙，禁止外部网络对它们的配置操作，并严格管理内部网络数据。

同时，GPRS还必须不断改进自身的安全机制，采用更先进的安全技术。

七. 总结
GPRS是一个能够提供增值服务的无线网络，使用身分验证和数据加密技术，使移动用户终端能够安全方便的进行数据传输。

在GPRS网络中，只要用户妥善保管自己的SIM卡（防止SIM卡被复制和盗用）、GPRS网络管理完善，用户的个人信息和数据的安全就可以受到很好的保护。

当然，GPRS的安全性能还有需要讨论和改进的地方。

比如，保密的A3、A8、GEA算法使得人们不能确切评价这些算法对数据的保护能力；随着解密技术的发展，密钥也应当从64位增加到128位或者更高；GPRS与其他网络互联时的安全保证还没有标准化的协议等等。

总之，为了保证数据安全，我们不能只依赖于GPRS网络自身的安全机制，而应该使用多层次、多技术相结合的保密方式。

即在应用层、网络层、传输层和物理层上进行全方位的数据保护，综合并合理地使用GSM、GRPS、WAP、IP等多种层次上的安全协议，保证信息在传输过程中的安全。

参考文献
[1]冯登国. 《网络安全原理与技术》.科技出版社,2007.9.
[2]蔡皖东《计算机网络技术》.西安电子科技大学出版社.1998.
[3]杨明福. 《计算机网络》.电子工业出版社.1998.5.
[4]姚琳王雷. 《无线网络安全技术》清华大学出版社 2013.
[5]《GPRS 无线接入的安全性》
/link?url=wiadpuClT0SxBYNrqYY1Qfx9Tv2vxffBl01S3SAB33xZiVN FpbNqqWyW-s6xz4Sw3GqW_kJJJtVnUwmvKbVnXSdE0_Q6WahIuaBla69w7pe
[6]《GPRS网络的安全性能》
/view/4fdf32d4b14e852458fb5708.html。