YD_T 3229-2017基于移动通信系统的公共预警系统的安全技术要求.pdf

ICS 33.070.99M36YD中华人民共和国通信行业标准YD/T 3229—2017基于移动通信系统的公共预警系统的安全技术要求Technical requirements of security for public warning system based onmobilecommunicationsystem2017-04-14发布2017-07-01实施中华人民共和国工业和信息化部发布 YD/T 3229—2017目次前言II范围...1缩略语.公共预警系统安全需求。4公共预警系统安全架构.5公共预警系统安全技术要求5.1基于NAS方案的技术要求5.2基于隐式证书方案的技术要求 YD/T 3229—20178）eNB向MME发送写替代消息，告诉MME已经广播了告警消息。9）UE提醒用户具体告警内容。对于UMTS系统，CBE能签名PWS告警消息。UENodeB/RNCCBCCBE1.案急广播请求(数字签名，公制ID, SAI,NSUC 和CBE-ID)2.与售代告费请求(数字量公销 ID, NSUC 和CBE-ID)3.%替代售营消认4.案急广持响应5a.呼类型15b.系统估息改变指示6.带安全的主通告图6UMTS系统中PWS告警消息下发过程图6是UMTS系统中PWS告警消息下发过程。流程说明如下；1)CBE向CBC发送紧急广播请求消息，消息中带公钥ID、SAI、NSUC、CBEID和签名信息。CBC向UTRAN发送写替代请求消息，消息中携带公钥ID、SAI、NSUC、CBEID和签名信息。3)UTRAN向CBC发送写替代确认消息以指示MME已经开始想eNB分发告警消息。4)CBC收到UTRAN的写替代确认消息后，可以向CBE确认PLMN已经开始分发告警消息，5)当UTRAN收到该请求后，首先发一个PAGINGTYPE1消息，或者系统信息改变指示消息，消息中保护告警类型，6)UE在PAGINGTYPE1消息或系统信息改变指示消息中接收到告警类型，如果高层指示RRC接收带有安全的主通告消息，UTRAN应该向UE发送带有安全的主通告，并携带公钥ID和数字签名。然后UE使用公钥和签名算法验证PWS告警消息的数字签名。CBE可以周期性地发送测试告警消息，该消息使用必威体育精装版的公钥签名，告警类型是“test”，公钥ID、NSUC和CBEID也应该包含在测试告警消息中。当UE收到后，UE使用公钥ID指示的公钥验证数字签名。如果成功，说明UE本地保存的公钥是必威体育精装版的。如果收到的NSUC比本地的大，那么更新本地保存的NSUC.如果签名验证失败，UE在下一次的TAU、RAU请求中发送本地保存的公钥ID、NSUC和CBEID。当MME或SGSN收到该请求后，检查收到的公钥ID和本地保存的是否一致。如果不一致，MME、SGSN8 YD/T3229—2017在TAU、RAU接受消息中发送公钥（可选地包含下一个公钥）、公钥ID、CBEID。特别地，当CBE更新公钥后，CBE应该立即发送测试告警消息，来让UE知道公钥已经更新。5.2基于隐式证书方案的技术要求5.2.1总览5.2.1.1隐私证书方案流程该方案与接入无关。基于隐式证书方案的总览如图7所示。UE中设置多个CA的公例。消息签名实体周期性从CA获取隐式证书，该隐式证书可以包含在PWS消息的安全部分中，UE通过CA公钥和式证书一起来验证签名。UE步蛋1配置CA-x消息签名配置CA-x公销PWS消息安全运营商网络CBE步驱3公共信道CBC步盟2隐式证书PWS消息*安全证书中心(CA)-x签名隐式证书图7隐式证书方法总览这个系绕的优点是可扩展性。多个CBE可以共享一组相同的CA。也就是说，如果一个国家管理机构需要一个新的CBE，CBE只需从可用的CA获取一个陷式证书，而不需要通过信令给UE或运营商网络新的密钥材料。尽管CA的生命周期比较长，一般可达20年，但更换CA集合及其公钥仍是应被允许的。在CA或CBE被攻陷或UE被重置时，这种更新CA是需要的。CBE可以从CA获得CAID和更新的CA公钥。两个更新CA公钥的方法可以考虑：其一是使用周期性的测试消息来承裁更新消息；其二是一种类似OTA的推送机制。该方案不需要对无线网络的网元进行增强。5.2.1.22通过PWS测试消息更新CA更新UE中保存的CA列表及其对应的公钥可以通过增加一个新的PWS消息类型来实现。这个消息作为PWSCA更新信令消息，采用现有的消息标识参数。图8给出了PWSCA更新消息的消息格式，消息中包含CA-ID和新的公钥。9 YD/T 3229—2017CA-IDNewCAPubllcKeyPwsSecurRu1字节33字节75字节PWS CA更新消息34字节从CA中族款签名隐私证书图8FPWSCA更新消息格式PWSCA更新消息