2024年6月3日发(作者：)

第6章 1x EV-DO网络安全机制

6.1 概述

1x EV-DO网络安全架构如图6-1所示，它包含无线接入网安全机制和分组核心网安全机

制。

图6-1 1x EV-DO网络安全架构（移动IP）

1x EV-DO无线接入网安全机制包含空口安全机制和接入鉴权。由于无线链路是共享的，

为了保证消息或数据在空口传送的安全，在1x EV-DO空口设置了安全层。1x EV-DO网络是

运营商专有网络，与因特网等公共数据网络不同，只有签约用户才被允许接入。为了节省空

口信令开销，1x EV-DO网络要求用户在建立空口会话的同时，完成一次接入鉴权，并获得建

立R-P会话所需要的用户标识MNID（或IMSI）。

1x EV-DO分组核心网安全机制包含核心网鉴权和核心网数据保护（即AAA鉴权）。核

心网鉴权用于鉴别用户是否有权与核心网进行数据通信；核心网数据保护则为用户敏感信息

（如密钥和鉴权参数等）提供加密和消息完整性保护功能，核心网数据保护通常用于移动IP

接入时，负责完成对FA与HA及HA-AAA之间传递的信令和数据的保护。

在上述安全功能中，有些是网络必须的，比如空口鉴权（或消息完整性保护）和核心网

鉴权；有些安全功能是可选的，比如空口加密和接入鉴权。核心网数据保护通常用于移动IP

时。

6.2 空口安全机制

1x EV-DO空口安全层协议包含密钥交换协议、安全协议、鉴权协议和加密协议。密钥交

换协议根据DH密钥交换算法生成空中接口会话密钥，并由会话密钥生成空口消息完整性保

护的密钥和空口数据加密的密钥；安全协议提供空口消息完整性保护或鉴权及数据加密所需

要的Cryptosync和时戳；鉴权协议完成空口消息完整性保护功能；加密协议则完成空口数据

的加密功能。关于空口安全机制的详细描述见第3.4节。

在上述空口安全机制中，消息完整性保护或鉴权是必须的，对空口数据的加密功能是可

选的。

117

CDMA2000 1x EV-DO网络技术

6.3 接入鉴权

接入鉴权发生在AT与AN-AAA之间，在AT发起与AN的PPP连接时进行，它是网络

对终端设备的鉴权，不需要用户参与。

针对机卡不分的1x EV-DO终端，IS-878标准中建议采用CHAP鉴权协议和MD5鉴权算

法，要求AT和AN-AAA都支持MD5算法，并保存所需要的鉴权参数（如NAI和鉴权密钥

等）；如果AT是机卡分离的，则接入鉴权算法和鉴权参数通常存放在R-UIM卡中。

对于采用机卡分离的CDMA2000 1x运营商，在建设1x EV-DO网络时，为了节约建设成

本，通常采用CDMA2000 1x/1x EV-DO混合组网方式（详见第9章），鉴于机卡分离具有防

盗打和恶意“孖机”等优点，可以预见混合网建成后仍将采用机卡分离方式。1x EV-DO要求

使用集成MD5算法的R-UIM卡，由于现有CDAM2000 1x的R-UIM卡仅支持CAVE算法，

因此，混合终端使用时，传统的CDMA2000 1x的UIM卡就不再适用。为了保证混合终端用

户使用传统的CDMA2000 1x R-UIM卡能接入到1x EV-DO网络，3GPP2规范A.S0006中提

出了基于CAVE算法的CHAP鉴权，它要求AN-AAA支持CAVE鉴权算法，并修改CHAP

协议消息的部分字段，用以传递CAVE鉴权的参数和结果。这种鉴权方式不要求更换

CDMA2000 1x的R-UIM卡。

两种接入鉴权方式的共同点在于：两者都使用CHAP协议和RADIUS协议作为接入鉴权

的信令交互协议；不同点在于前者采用MD5鉴权算法，而后者沿用了CDMA2000 1x的CAVE

鉴权算法，并且为了实现SSD在两网的同步更新或共享，在AN-AAA与HLR/AC之间增加

了IS-41接口。

一般来说，机卡一体或支持IS-878标准的1x EV-DO终端使用基于MD5算法的接入鉴权

方式，使用传统的CDMA2000 1x R-UIM卡或支持3GPP2规范A.S0006的混合终端使用基于

CAVE算法的接入鉴权方式。

6.3.1 基于MD5算法的接入鉴权

若AT和AN支持CHAP鉴权，则AT初始接入系统时，在建立空口PPP连接的过程中，

将CHAP作为LCP协商的一个配置项，LCP协商完成后，开始接入鉴权，其信令流程如图

6-2所示，包含以下步骤。

a. AN发起空口PPP-LCP协商过程，协商CHAP鉴权协议类型，并建立空口PPP连接。

b. AN产生鉴权随机数，向AT发送CHAP查询消息。

c. AT根据该随机数利用MD5算法计算鉴权结果，鉴权结果与鉴权标识一道构成鉴权密

钥，并向AN发送CHAP响应消息，该消息中包含了NAI、鉴权随机数及鉴权密码等接入鉴

权参数。

d. AN通过A12接入请求消息向AN-AAA转发NAI、鉴权随机数及鉴权密码等参数。

e. AN-AAA将收到的NAI、鉴权随机数及鉴权密码作为MD5算法的输入参数，计算鉴

权结果，并与AN转发的终端鉴权结果进行比较，若两者一致，则鉴权成功，AN-AAA向AN

发送A12接入允许消息，并发送MNID（或IMSI）用于建立R-P会话；否则，鉴权失败，

AN-AAA向AN发送A12接入拒绝消息。

118