基于WCDMA的短消息业务协议分析

AnalysisofShortMessage Service Protocol on the Basis of WCDMA

CHENLeran，MAHailong，LIUZhengjun

(InformationEngineeringInstitute,PLA Information Engineering

University,Zhengzhou,450002, China)

Abstract：ShortMessageService(SMS),which is as one of commercioganic serves,has achiev ed more and more approbation of consumersBesides the pointpoint app lication of SMS among mobile phones,a new application of SMS between informatio n system and mobile phones is developed quickly now,and it is a new way to achi eve information conveniently and duly for usersSo the SMS in 3G requires secu rity is more strictlyIt employs bidirectional authentication architecture and a measure to protect integrity of signallingThe paper describes the frame of SMS protocols in WCDMA and the process of sending SMSFinally SMS′s security a rchitecture is presented surrounding the analysis of SMS protocols in order to s how the security characteristic of 3G

Keywords：WCDMA；shortmessagemobileterminated;message swit ching center;short message service center

在以GSM为代表的第二代数字移动通信中，短消息业务（ShortMessageService，SMS）已经不陌生了。第三代移动通信系统WCDMA中，短消息业务在以文本为主的基础上朝着 多媒体内容发展，除了现有的功能外，还增加了传送视频片段、图片等功能。因此，WCDMA 中非常重视保证业务信息的安全，他继承了GSM系统安全的优点，同时针对新业务的特性， 又定义了更加完善的安全特征与安全服务。

本文以WCDMA中短消息业务协议的分析为基础剖析了短消息业务的接入安全机制，以此展现第三代移动通信安全的特性。

1协议分析

1.1短消息业务协议描述

3GPP协议中给出了具体到实体的短消息协议分层结构［1］。移动交换中心（MSC）/服务GPRS支撑节点（SGSN）和移动台（MS）中的每个实体包含一定的协议层，以实现对等实体之间的正常通信。两个短消息控制实体（SMC）之间的对等协议表示为短消息控制协议，两个短消 息中继实体（SMR）之间的对等协议表示为短消息中继协议。网络侧（MSC或SGSN）的协议 分层最高为中继层。

SMS系统利用短消息中心在短消息实体和移动用户设备之间传送消息，而SMS承载业务是SMS系统的一部分。承载业务由短消息传输层和短消息中继层提供。中继层按照地址转发消息，他作为传输层和连接管理层的中介并为传输层提供服务。传输层是承载协议的最高层，管理 端到端的消息传送。在终止点的实体里，传输层提供介于SMS电信业务和SMS承载业务间的接 口，向上层提供服务。

短消息业务包含3个基本过程：移动终止短消息（ShortMessageMobileTerminated，SM MT）、移动起始短消息(Short Message Mobile Originated，SMMO)和告警的传送［2 ］。

对于手机来说，移动终止短消息和移动起始短消息是完全独立的两个过程。下面以移动终止短消息为例详细分析他们的消息发送流程和接入安全问题。

1.2短消息的基本流程

1.2.1移动终止短消息的基本流程

当SMSC要向被叫移动台发送短消息时，先要建立一条包含各种有利于接收者的消息(SMSDELIVER)，SMSDELIVER消息将在各种接口上传送。SMSC把这条消息传给与之相连的网关（SMSGMSC），网关根据被叫用户的号码向相关的HLR查询。HLR将查 询结果送给网关，网关利用 上述地址消息向用户拜访的VLR传递消息，再由MSC或SGSN建立必要的信令连接后将短消息传 递给MS。选择SGSN还是MSC由HLR根据网络和MS的特性决定。具体的信令交互过程如图1所示 。




操作1：SMSC到SMSGMSC的信息传输

这个操作由2部分组成：从SMSC传送一条包含TPDU的消息到SMSGMSC（见图1(a)）和返回一个“失败报告”［2］或“交付报告”（见图1(b)）。

如果SMSGMSC已经收到来自其他实体关于SMMT过程失败的指示，将返回SMSC一个“失败报告”。错误报告可能产生于MSC，SGSN，HLR，VLR或MS，他们均可被SMSGMSC接收， 继而传向SMSC。

操作2：发送SM的路径请求

此操作是SMSGMSC为了得到传送短消息的必要信息而向HLR发出的询问。HLR将被叫用户的最新消息、IMSI号码、登记MSC/VLR地址、是否开机、是否转呼等返回给GMSC。

操作3：SM交付报告状态

此操作提供了SMSGMSC请求HLR在消息等待数据MWD中增加一个SMSC地址的方法。他包含从SMSGMSC传送消息到HLR的过程，消息的内容为目标移动台的号码、SMSC的地址、成功的结果 并且/或者更新MWD的原因（用户不可达，MS内存能力超出或者两者都有）（见图1中的3）。 这个操作可能被激活，当从MSC或/和SGSN收到一个用户不存在的指示，并且/或者SMSGMSC 通过MSC或SGSN接收到一个短消息传送失败报告，而失败的原因是“MS内存能力超出”时。

操作4：SM前向传输

SMSGMSC传送一条短消息到MS当前归属的SGSN或MSC。这个操作之后是从MSC或SGSN传送短消息到MS。因此，此操作的结果要么成功（例如：消息已经交付到MS），要么失败（例如：从SMSGMSC传送到MSC或SGSN时失败、MS被分离或者没有寻呼响应 ）。

操作5：为MTSMS发送信息

MSC为移动终止短消息的传送从VLR获得的用户信息，这个过程包括寻呼、鉴权的过程。

操作6：MSC到MS的信息传输

如果传送失败（例如，在成功的鉴权之后MS不在无线覆盖区内），失败报告将返回给SMSGMSC。

1.2.2移动起始短消息的基本流程

主叫用户接入MSC/VLR，MSC/VLR对手机进行鉴权加密，以验证手机用户是否是合法用户。

主叫用户编辑好短消息，键入被叫移动用户号码，按发送键，将主被叫号码、文本、短消息中心号码及请求的消息代码一起通过无线信道发送给登记的MSC/VLR。

MSC/VLR接收到主叫用户的申请，根据SMSC号码寻到SMSC，将被叫号码、文本及消息代码发送给SMSC。

SMSC接收后，给MSC/VLR发送确认信号；MSC/VLR将成功消息返给主叫用户。

短消息的安全与否与鉴权的成功有很大关系，如果接收短消息的一方是非法用户或者入侵者恶意伪装网络，使得鉴权过程失败，那么网络将拒绝发送短消息的内容。这是WCDMA中使用的双向鉴权过程带来安全性的提高，是第三代移动通信的一项重要改进。

2短消息安全机制分析

从以上的协议分析可知，短消息中心在向目标移动台发送短消息内容之前连接着一个鉴权的过程。这是在WCDMA中为监测和防治盗打、盗用等各种非法使用移动通信资源和业务的现象，保证网络安全和保障电信运营者的正当权益而采用的方法。




鉴权过程保证了网络和用户的合法性，还需要一项机制保证传送的信令消息不被篡改。因为短消息业务需要在移动台和网络之间传送大量的控制信令消息，这些消息大多数都是敏感的，必须进行完整性保护。完整性保护应用于无线资源控制（RRC）层，这使得接收实体将能够确认发送的信令数据未被非授权的篡改，而且确保收到的信令数据源为授权的。

这样就提高了WCDMA中短消息业务的安全性，避免了GSM中由于安全机制不完善造成的对用户安全的威胁。

首先，WCDMA采用的鉴权机制可以实现网络和用户之间的双向鉴权，这是通过在网络与用户双方共享密钥实现的，即密钥仅在用户和鉴权中心有效。具体过程如图2所示［3］。

VLR/SGSN向HLR发起鉴权数据请求，HLR中的鉴权中心即发送n阶矩阵的鉴权矢量AV给VLR/SGSN。鉴权矢量基于序列号排序并由随机数RAND，期待响应XRES，加密密钥CK，完整性密钥IK和鉴权令牌AUTN组成。每个鉴权矢量仅承担用户与网络之间的一次鉴权和密钥协商。当VLR/SGSN初始化密钥协商过程时，他从n阶矩阵中按序选择下一个鉴权矢量并发送其中的参数RAND和AUTN给用户，用户将检查AUTN是否可以接受（用户对网络 鉴权）。若可以接受，MS发送响应RES给VLR/SGSN。VLR/SGSN将收到的RES和XRES比较（网 络对用户鉴权）。若他们匹配，则VLR/SGSN认为鉴权过程成功。

其次，所有短消息信令消息都受完整性保护。信令的完整性保护由RRC层应用实现［4］。在RRC连接建立之后并且执行了安全模式控制过程，所有移动台和网络之间的控制信令消息（如：RRC消息、移动性管理（MM）消息）都将受到完整性保护。安全模式控制过程是由网络 侧向移动台发送一条“安全模式命令”消息激活的，该消息指示完整性保护所用的算法，同 时携带期望消息的消息鉴权码MACI以及算法中用到的参数，移动台接收后随即用指 定的算 法对消息进行完整性校验，校验正确后向网络发送“安全模式完成”消息。完全模式控制过 程结束，对后续消息应用该过程协商的完整性保护配置进行保护。

一个信令消息的完整性是由f9算法来验证的［3］。该算法的输入参数是完整性密钥IK，完整性序列号COUNTI，网络侧产生的随机数FRESH，方向比特DIRECTION和信令数据MESSAGE。基 于这些参数发送端可以计算出用于完整性保护的消息鉴权码MACI。然后将消息鉴权 码附着 在信令消息上。接收端应用相同的过程计算出XMACI，与收到消息附着的MACI比较来确认完整性。

WCDMA中的完整性密钥为128b，其破解几乎是不可能的。

3结语

与GSM相比，WCDMA中短消息业务的安全机制无论从密钥的长度上、鉴别的机制上和信令保密的完整性，其安全性能远远优于GSM。在GSM中使用单向身份认证，即只有网络认证用户，用户不认证网络，无法防止伪造基站和HLR的攻击；另外在GSM中没有数据完整性的认证，这给GSM用户的安全带来了许多潜在的威胁。WCDMA营造了很好的安全环境，他弥补了GSM 系统的安全缺陷，为UMTS用户带来内容更丰富的短消息服务。

参考文献

［1］3GPPTS24.011.ShortMessage Service Support on Mobile Ra dio Interface.

［2］3GPPTS23.040.Technicalrealization of the Short Message Service (SMS).

［3］3GPPTS33.102.3GSecurity；Security architecture.

［4］3GPPTS25.331.RRCProtocol Specification.

作者：陈乐然，马海龙，刘正军