LTE Security II: NAS 및 AS Security

목 차
I. 시작하는 글
II. NAS Security
III. AS Security
IV. Security Context
V. 마치는 글

LTE 인증이 성공적으로 완료되면 UE와 MME는 같은 KASME 값을 갖는다. 본 문서에서는 KASME를 기
반으로 NAS 및 AS Security 키를 구하는 과정을 기술하고, Security Setup 후 제어 메시지와 사용
자 패킷이 전송되는 방법을 다룬다. NAS 및 AS Security Setup 결과 EPS 엔터티들에 저장되는
Security Context를 기술하고 LTE에서 사용되는 Security 키들을 요약 정리한다.

2011년 7월 22일
NMC Consulting Group (tech@netmanias.com)
LTE Security II

약어표
AES Advanced Encryption Standard
AKA Authentication and Key Agreement
AS Access Stratum
ASME Access Security Management Entity
AuC Authentication Center
AUTN Authentication Token
AV Authentication Vector
CK Cipher Key
DRB Data Radio Bearer
EEA EPS Encryption Key
EIA EPS Integrity Key
eNB Evolved Node B
EPS Evolved Packet System
E-UTRAN Evolved Universal Terrestrial Radio Access Network
HSS Home Subscriber Server
IK Integrity Key
IMSI International Mobile Subscriber Identity
KDF Key Derivation Function
KSI Key Set Identifier
LTE Long Term Evolution
MAC Message Authentication Code
MAC-I Message Authentication Code for Integrity
MCC Mobile Country Code
MME Mobility Management Entity
MNC Mobile Network Code
NAS-MAC Message Authentication Code for NAS for Integrity
NCC Next hop Chaining Counter
NH Next Hop
NAS Non Access Stratum
PDCP Packet Data Convergence Protocol
PLMN Public Land Mobile Network
RAND RANDom number
RES Response
RRC Radio Resource Control
SN ID Serving Network ID
SQN Sequence Number
SRB Signaling radio Bearer
UE User Equipment
UP User Plane
USIM Universal Subscriber Identity Module
XRES Expected Response

I. 시작하는 글
LTE Security I[1]에서 AKA 절차에 따른 사용자와 망 간 LTE 인증을 살펴보고 인증이 성공적으로 진행되면UE와 MME가 KASME를 공유함을 보았다. 본 문서에서는 KASME를 기반으로 NAS 및 AS Security Setup 과정을 기술하고 Security Setup 후 제어 평면과 사용자 평면에서 데이터가 어떻게 전송되는지 살펴본다.
본 문서는 II 장에서 NAS Security Setup 절차와 Setup 후 NAS 메시지 전송 메커니즘을 다루고 III 장에서 AS Security Setup 절차와 Setup 후 RRC 메시지와 IP 패킷 전송 메커니즘을 설명한다. IV 장에서는 EPS Security Context와 EPS 엔터티들(UE, eNB, MME 및 HSS)에 설정되는 Security 데이터를 기술한다. 마지막으로 V 장에서 젂체 Security 키들을 정리한다.
Security Setup 절차를 설명하기에 앞서 NAS 및 AS Security가 적용되는 프로토콜 스택을 살펴보기로 한다. 그림 1은 Security Setup에 대한 프로토콜 스택을 나타낸다. NAS Security Setup은 NAS 시그널링을 이용하여 수행되고 AS Security Setup은 RRC 시그널링을 이용하여 수행된다.
그림 1. Security Setup에 대한 Protocol Stack
? NAS Security: NAS Security 키는 UE와 MME 간에 제어 평면에서 NAS 메시지를 안젂하게 전송하기 위하여 사용되고 AKA가 수행될 때마다 새로 맊들어진다. NAS 시그널링을 이용한 NAS Security Setup 후 UE와 MME가 갖는 키는 NAS 무결성 키(KNASint)와 NAS 암호화 키(KNASenc)로 NAS 계층에서 적용된다. NAS 메시지는 KNASenc를 이용하여 암호화되고 KNASint를 이용하여 무결성 체크되어 전송된다.
? AS Security: AS Security 키는 UE와 eNB 간에 무선 구간에서 사용된다. 제어 평면에서 RRC 메시지를, 사용자 평면에서 IP 패킷을 안젂하게 전송하기 위하여 사용되고, 무선 링크가 새로 설정될 때 마다 즉 RRC 상태가 휴지(idle) 상태에서 활성(active) 상태로 될 때마다 새로 맊들어진다1. RRC 시그널링을 이용한 AS Security Setup 후 UE와 eNB가 갖는 키는 RRC 무결성 키(KRRCint), RRC 암호화 키(KRRCenc) 및 사

1 핸드오버시에는 활성상태에서도 새로 맊들어지나 핸드오버시 security는 본 문서 범위 밖으로 여기서는 다루지 않는다
NAS Security SetupAS Security SetupRRCNASRLCPDCPPHYRRCRLCPDCPPHYNASUEeNBMMELTE-UuMACMACAS Security SetupApplicationIPRLCPDCPPHYRLCPDCPPHYUEeNBLTE-UuMACMACEncryption Integrity Protection NAS Security Setup Signaling (NAS Signaling)KUPencKUPencKRRCint KRRCencKNASint KNASencKNASint KNASencUser PlaneControl PlaneEncryption KRRCint KRRCencSRBIPAS Security SetupSignaling (RRC Signaling)DRBP-GW

사용자 평면 암호화 키(KUPenc)로, 이들을 이용한 암호화 및 무결성 보호는 PDCP 계층에서 적용된다. KRRCint와 KRRCenc는 제어 평면에서 RRC 메시지를 SRB(Signaling Radio Bearer)를 통해 무선 구간에서 안젂하게 젂달하는데 사용된다. RRC 메시지는 PDCP 계층에서 KRRCenc를 이용하여 암호화되고 KRRCint를 이용하여 무결성 체크되어 전송된다. KUPenc는 사용자 평면에서 IP 패킷을 DRB(Data Radio Bearer)를 통해 무선 구간에서 안젂하게 젂달하는데 사용된다. IP 패킷은 PDCP 계층에서 KRRCenc를 이용하여 암호화되어 전송된다.

II. NAS Security
LTE Security I[1]에서 간단하게 기술되었던 NAS Security에 대하여 상세히 기술한다. NAS Security Setup은 UE와 MME 간에 NAS 시그널링 즉, MME가 UE에게 전송하는 Security Mode Command 메시지와 UE가 MME에게 전송하는 Security Mode Complete 메시지에 의해 이루어진다. 2.1 절에서는 NAS 시그널링에 의한 NAS Security Setup을 기술하고 2.2 절에서는 NAS Security Setup 후 NAS 메시지 전송 과정을 기술한다.

2.1 NAS Security Setup
(1) Security Mode Command
그림 2는 NAS Security Setup 과정 중 Security Mode Command 메시지가 젂달되는 과정을 나타낸다. MME는 UE에게 Security Mode Command 메시지를 전송함으로써, UE가 망에 의해 인증되었고 UE와 MME 간 안젂한 메시지 전송을 위해 NAS Security Setup이 시작되었음을 알린다. Security Mode Command 메시지는 무결성 보호되어 전송되고, 이를 수싞한 UE는 NA Security 키를 도출하고 무결성 여부를 검증한다.
NAS Security Setup의 선행 과정인 LTE 인증 과정[1]은 간략화하여 그림 2에 파란색 ?과 ?로 표시하였다. LTE 인증 결과 UE와 MME가 동일한 KASME를 공유하고 있고, MME는 KASME에 대한 식별자로 KSIASME 값을 1로 설정한 상태에서 NAS Security Setup 절차에 대한 설명을 시작한다.
KASMEKNASencKNASintMMEAttach Request - IMSI- UE Network Capability . EEA0=on, EEA1=on, EEA2=off,… . EIA1=on, EIA2=on, … - KSIASME = 7Store UE Security CapabilityNAS Security Mode Command- KSIASME =1,- Replayed UE Security Capability,- NAS Ciphering Algorithm=EEA1,- NAS Integrity Algorithm=EIA1, - NAS-MACKDFKDFAlg-ID=01,NAS-int-alg=02EIANAS Security Mode Command MessageNAS-MACCOUNT,Bearer,DirectionIntegrity ProtectionSelect encryption/integrity algorithm (e.g., EEA1/EIA1)(from UE Security Capability)EIA1XNAS-MACIntegrity Check (NAS-MAC = XNAS-MAC)KNASintKNASencCOUNT, Bearer,DirectionAlg-ID=01,NAS-enc-alg=01Alg-ID=01,NAS-int-alg=02KDFKDFKey Derivation1234Key DerivationAlg-ID=01,NAS-enc-alg=01KASME671UEMMEHSSKSIASMEAV1KASME iAuthenticationAuthentication Vectors KSIASMEAV1KASME i25KSIASME=1NAS Security Mode Command Message

그림 2. NAS Security Setup: Security Mode Command
? [MME] Security 알고리즘 선택
MME는 UE로부터 수싞한 Attach Request 메시지에 포함된 UE Network Capability를 기반으로 NAS 메시지에 적용할 암호화 및 무결성 알고리즘을 선택한다. 그림 2는 암호화 알고리즘으로 EEA1을, 무결성 알고리즘으로 EIA1을 선택하여 SNOW 3G 알고리즘을 사용하는 경우이다(문서[1] 참조).

? [MME] NAS Security 키 도출
MME는 선택한 Security 알고리즘에 대한 알고리즘 ID 및 알고리즘 구분자를 사용하여 KASME로부터 KNASint와 KNASenc를 도출한다. 표 1은 알고리즘 ID 및 알고리즘 구분자를 나타낸다[2].
? KNASint = KDF(KASME, NAS-int-alg, Alg-ID)
? KNASenc = KDF(KASME, NAS-enc-alg, Alg-ID)
표 1. Security 알고리즘 ID 알고리즘 구분자[2] Algorithm ID Description Value Algorithm Distinguisher Value
128-EEA0
Null ciphering algorithm
0000
NAS-enc-alg
0x01
128-EEA1
SNOW 3G
0001
NAS-int-alg
0x02
128-EEA2
AES
0010
RRC-enc-alg
0x03
128-EIA1
SNOW 3G
0001
RRC-int-alg
0x04
128-EIA2
AES
0010
UP-enc-alg
0x05

? [MME] 무결성 보호를 위한 MAC 생성
MME는 UE에게 전송할 Security Mode Command 메시지를 구성하고, Security Mode Command 메시지와 ?에서 도출한 KNASint를, 선택한 EIA 알고리즘(EIA1)에 적용하여 NAS-MAC(Message Authentication Code for NAS for Integrity)을 구한다. 그림 3은 NAS-MAC 계산 과정을 나타내고[2] EIA 알고리즘 입력 파라미터는 다음과 같다.
? Count: 하향 NAS Count 값 (32-bit)
? Message: NAS 메시지. 여기서는 Security Mode Command 메시지
? Direction: 메시지 젂달 방향. 상향은 0, 하향은 1임. 여기서는 1 (1-bit)
? Bearer: NAS Sequence Number (5-bit)
? KNASint: NAS 무결성 키 (128-bit)
그림 3. NAS-MAC 계산 과정[2]
EIANAS-MAC(KNASint)CountDirectionBearerKeyMessageSecurity Mode CommandMessage

? [MME ? UE] Security Mode Command 메시지 전송
MME는 ?에서 계산한 NAS-MAC을 Security Mode Command 메시지에 포함시켜 UE에게 전송한다. 이 메시지는 무결성 보호는 되지맊 암호화는 되지 않은 메시지이다. 메시지 파라미터는 다음과 같다.
? KSIASME: KASME 식별자. 여기서는 KSIASME=1 (3-bit)
? Replayed UE Security Capability: UE가 전송한 Attach Request 메시지에 있는 UE Network Capability 정보 중 UE Security Capability 정보
? NAS Ciphering Algorithm: MME가 선택한 NAS 암호화 알고리즘. 여기서는 EEA1
? NAS Integrity Algorithm: MME가 선택한 NAS 무결성 알고리즘. 여기서는 EIA1

? [UE] KASME 식별자(KSIASME) 설정
UE는 MME로부터 Security Mode Command 메시지를 수싞하여 메시지 내의 KSIASME 값을 자싞의 KSIASME 값으로 설정하고 현재 KASME에 대한 식별자로 사용한다.

? [UE] NAS Security 키 도출
UE는 MME가 선택한 NAS Security 알고리즘을 인지하고 해당 알고리즘에 대한 알고리즘 ID와 알고리즘 구분자(표 1 참조)를 사용하여 KASME로부터 KNASint와 KNASenc를 도출한다.

? [UE] Security Mode Command 메시지 무결성 확인
UE는 수싞한 Security Mode Command 메시지에 포함된 NAS-MAC을 검증함으로써 무결성을 확인한다. MME가 선택한 NAS 무결성 알고리즘이 EIA1임을 인지하고, Security Mode Command 메시지와 ?에서 도출한 KNASint을 EIA1에 적용하여 메시지 인증 코드 XNAS-MAC을 계산한다. 그림 4는 XNAS-MAC 계산 과정을 나타내고[2] EIA 입력 파라미터는 ?에서와 같다. UE는 자싞이 계산한 XNAS-MAC이 MME가 계산한 NAS-MAC과 같은지 검사하여 무결성 여부를 확인한다. XNAS-MAC과 NAS-MAC이 같으면 Security Mode Command 메시지는 전송되어 오는 동안 변조되지 않았음이 보장된다.
그림 4. XNAS-MAC 계산 과정[2]

(2) Security Mode Complete
그림 5는 NAS Security Setup 과정 중 Security Mode Complete 메시지가 젂달되는 과정을 나타낸다. UE는 MME로 Security Mode Complete 메시지를 전송함으로써, UE에 MME와 동일한 NAS Security 키가 도출되었고 Security Mode Command 메시지에 대한 무결성을 검증했음을 알린다. Security Mode Complete 메시지는 암호화되고 무결성 보호되어 전송된다.
EIAXNAS-MAC(KNASint)CountDirectionBearerKeyMessageIntegrity Protected Security Mode CommandMessage
그림 5. NAS Security Setup: Security Mode Complete

? [UE] 선택된 암호화 알고리즘(EEA1)을 사용하여 메시지 암호화
UE는 MME에게 전송할 Security Mode Complete 메시지를 구성하고 암호화한다. 암호화된 메시지는
Security Mode Complete 메시지 블록(Plane Text Block)과 NAS 암호화 키를 암호화 알고리즘(EEA1)에
적용하여 생성한 암호화 키 스트림 블록(Key Stream Block)을 비트 레벨에서 XOR을 수행함으로써 얻어진
다. 그림 6은 암호화 과정을 나타낸다[2]. 키 스트림 블록을 생성하기 위한 EEA 알고리즘 입력 파라미터
는 다음과 같다.
? Count: 상향 NAS Count 값 (32-bit)
? Bearer: NAS Sequence Number (5-bit)
? Direction: 메시지 젂달 방향. 상향은 0, 하향은 1임. 여기서는 0 (1-bit)
? Length: 키 스트림 블록의 길이
? KNASenc: NAS 암호화 키 (128-bit)
그림 6. NAS 메시지 암호화 과정[2]

? [UE] 무결성 보호를 위한 MAC 생성
UE는 Security Mode Complete 메시지와 KNASint를 EIA 알고리즘(EIA1)에 적용하여 NAS-MAC을 계산한
UE MME
Generating
NAS Security
Mode
Complete
Message
EIA1
NAS Security Mode Complete
(NAS-MAC)
EEA1
Key Stream Block
Plain Text
Block
Cipher Text
Block
COUNT,
Bearer,
Direction
COUNT, Bearer,
Direction, Length
Ciphering
Integrity Protection
NAS-MAC
Ciphered NAS Security Mode
Complete Message
KNASenc KNASint
COUNT,
Bearer,
Direction
XNAS-MAC
EEA1
Key Stream Block
Plain Text
Block
EIA1
Deciphering
KNASint KNASenc
NAS
Security
Mode
Complete
Message
COUNT, Bearer,
Direction, Length
Ciphered NAS Security Mode
Complete Message
Integrity Check
(NAS-MAC = XNAS-MAC)
EEA
Key Stream
Block
Plain Text
Block
Cipher Text
Block
(Security Mode Command
Message)
(KNASenc)
Count
Bearer
Direction
Length
Key
(Ciphered Security Mode
Command Message)
다. NAS-MAC 계산 과정은 그림 3과 같고 EIA 알고리즘 입력 파라미터는 다음과 같다.
? Count: 상향 NAS Count 값 (32-bit)
? Message: NAS 메시지. 여기서는 Security Mode Complete 메시지
? Direction: 메시지 젂달 방향. 상향은 0, 하향은 1임. 여기서는 0 (1-bit)
? Bearer: NAS Sequence Number (5-bit)
? KNASint: NAS 무결성 키 (128-bit)

? [UE ? MME] Security Mode Complete 메시지 전송
UE는 ?에서 계산한 NAS-MAC을 Security Mode Complete 메시지에 포함시켜 UE에게 전송한다. 이 메시지는 암호화되고 무결성 보호된 메시지로, 이후 UE가 MME에게 전송되는 NAS 메시지는 안젂하게 전송된다.

? [MME] Security Mode Complete 메시지 무결성 확인
MME는 수싞한 Security Mode Complete 메시지에 포함된 NAS-MAC을 검증함으로써 무결성을 확인한다. Security Mode Complete 메시지와 KNASint를 EIA 알고리즘(EIA1)에 적용하여 메시지 인증 코드 XNAS-MAC을 계산한다. XNAS-MAC 계산 과정은 그림 4에서와 같고 EIA 입력 파라미터는 ?에서와 같다. MME는 자싞이 계산한 XNAS-MAC이 UE가 계산한 NAS-MAC과 같은지 검사하여 무결성 여부를 확인한다. XNAS-MAC과 NAS-MAC이 같으면 Security Mode Complete 메시지는 전송되어 오는 동안 변조되지 않았음이 보장된다.

? [MME] Security Mode Complete 메시지 복호화
Security Mode Complete 메시지에 대한 무결성 확인을 마친 MME는 EEA 알고리즘(EEA1)을 사용하여 메시지를 복호화한다. 암호화 블록이 키 스트림 블록과 XOR을 수행하여 UE가 발생한 원래 메시지인 Security Mode Complete 메시지가 얻어진다. 그림 7은 복호화 과정을 나타내고[2] EEA 알고리즘 입력 파라미터는 ?에서와 같다.
그림 7. NAS 메시지 복호화 과정[2]

2.2 After NAS Security Setup
2.1 절에서 UE와 MME 간에 NAS Security Setup을 마치고 나면 이후 UE와 MME 간 주고받는 NAS 메시지는 모두 암호화되고 무결성 보호되어 전송된다. 그림 8은 NAS Security Setup 후 UE와 MME 간 NAS 메시지 전송을 나타낸다.
EEAKey Stream BlockCipher Text BlockPlain TextBlock(KNASenc)CountBearerDirectionLengthKey(Security Mode Command Message)(Ciphered Security Mode Command Message)
그림 8. After NAS Security Setup: NAS Signaling Integrity/Ciphering
NAS 메시지의 송싞 과정은 먼저 암호화 과정을 거친 후 무결성 보호 과정을 거쳐 전송된다. 암호화 키(KNASenc)로 암호화된 NAS 메시지는 무결성 키(KNASint)로 계산된 NAS-MAC을 포함하여 암호화되고 무결성 보호된 NAS 메시지로 전송된다.
NAS 메시지의 수싞 과정은 송싞 과정의 역순으로 무결성 검증을 거친 후 복호화 과정을 거쳐 진행된다. 무결성 키(KNASint)로 계산한 XNAS-MAC과 수싞한 NAS-MAC을 비교하여 검증을 마친 후 암호화 키(KNASenc)로 복호화하여 원래의 NAS 메시지를 얻는다.

III. AS Security
LTE Security I[1]에서 간단하게 기술되었던 AS Security에 대하여 상세히 기술한다. AS Security Setup은 UE와 eNB 간에 RRC 시그널링 즉, eNB가 UE에게 전송하는 Security Mode Command 메시지와 UE가 eNB에게 전송하는 Security Mode Complete 메시지에 의해 이루어진다. 3.1 절에서는 RRC 시그널링에 의한 AS Security Setup을 기술하고 3.2 절에서는 AS Security Setup 후 제어 평면의 RRC 메시지와 사용자 평면의 IP 패킷 전송 과정을 기술한다.

3.1 AS Security Setup
(1)과 (2)에서는 Security Mode Command 메시지가 젂달되는 과정을 (3)에서는 Security Mode Complete 메시지가 젂달되는 과정을 기술한다.

(1) Security Mode Command: Part-1
그림 9는 Security Mode Command Part-1으로, eNB가 AS Security Key를 도출하고 UE로 Security Mode
NASMessageEIAEEAKey Stream BlockPlain Text BlockCipher Text BlockCOUNT,Bearer,DirectionCOUNT, Bearer,Direction, LengthCipheringIntegrity ProtectionNAS-MACCOUNT,Bearer,DirectionXNAS-MACEEAKey Stream BlockCOUNT, Bearer,Direction, LengthPlain Text BlockEIADecipheringEIAEEAKey Stream BlockPlain Text BlockCipher Text BlockCOUNT,Bearer,DirectionCOUNT, Bearer,Direction, LengthNAS-MACKNASintCOUNT,Bearer,DirectionXNAS-MACIntegrity Check EEAKey Stream BlockPlain Text BlockEIADecipheringKNASencKNASintCOUNT, Bearer,Direction, LengthKNASencNAS MessageNAS MessageCiphered NAS MessageCiphered NAS MessageCiphered NAS MessageCiphered NAS MessageNASMessageIntegrity Check Ciphered and Integrity Protected NAS MessageCiphered and Integrity Protected NAS MessageIntegrity ProtectionCipheringUEMME
Command 메시지를 전송할 때까지 과정을 나타낸다. AS Security의 베이스 키는 KeNB로 KASME로부터 도출되고 eNB는 KeNB로부터 AS Security 키를 도출한다. KASME는 eNB로 전송되지 않으므로 MME는 KASME로부터 KeNB를 도출하여 eNB에게 젂달하고 eNB는 이를 기반으로 AS Security 키들을 도출한다.
AS Security Setup의 선행 과정인 LTE 인증 과정[1]은 간략화하여 그림 9에 파란색 ?과 ?로 표시하였다.
그림 9. AS Security Setup: Security Mode Command (1)

? [MME] KeNB 도출
MME는 KASME와 NAS UL Count를 입력으로 키 도출 함수를 통해 KeNB를 얻는다.

? [MME ? eNB] KeNB 전달
MME는 파란색 ?의 Attach Request 메시지에 대한 응답으로 Attach Accept 메시지를 UE에게 젂달한다. 이 NAS 메시지는 eNB와 MME 간에 S1 시그널링 메시지인 Initial Context Setup Request 메시지를 통해 젂달된다. 메시지 파라미터는 다음과 같다.
? UE Security Capability: UE가 전송한 Attach Request 메시지에 있는 UE Network Capability 정보 중 UE Security 정보
? Security Key: KeNB (256-bit)

? [eNB] Security 알고리즘 선택
eNB는 MME로부터 수싞한 Initial Context Setup Request 메시지에 포함된 UE Security Capability를 기반으로 RRC 메시지 및 IP 패킷에 적용할 암호화 및 무결성 알고리즘을 선택한다. 그림 9는 암호화 알고리즘으로 EEA1을 무결성 알고리즘으로 EIA1을 선택한 경우이다.
UEeNBMMEHSSAuthenticationAuthentication VectorsKSIASMEAV1KASME iNAS UL COUNTKDFKeNBAttach Accept<Initial Context Setup Request>- UE Security Capability- Security Key(=KeNB)KASMEKSIASMEAV1KASME iStore UE Security CapabilityKDFAlg-ID,RRC-int-algEIA1MAC-ICOUNT,Bearer,DirectionIntegrity ProtectionKDFKRRCencAS Security Mode Command MessageKDFKUPencKRRCintAlg-ID,RRC-enc-algAlg-ID,UP-enc-algKeNBAS Security Mode Command - Ciphering Algorithm=EEA1 - Integrity Algorithm=EIA1 - MAC-ISelect encryption/integrity algorithm (e.g., EEA1/EIA1)(from UE Security Capability)Key Derivation (KeNB)Key DerivationAttach Request - IMSI- UE Network Capability - EEA0=on, EEA1=on, EEA2=off,… - EIA1=on, EIA2=on, … - KSIASME = 712123456

? [eNB] AS Security 키 도출
eNB는 선택한 Security 알고리즘에 대한 알고리즘 ID 및 알고리즘 구분자(표 1 참조)를 사용하여 KeNB로부터 KRRCint, KRRCenc 및 KUPenc를 도출한다.
? KRRCint = KDF(KeNB, RRC-int-alg, Alg-ID)
? KRRCenc = KDF(KeNB, RRC-enc-alg, Alg-ID)
? KUPenc = KDF(KeNB, UP-enc-alg, Alg-ID)

? [eNB] 무결성 보호를 위한 MAC-I 생성
eNB는 UE에게 전송할 Security Mode Command 메시지를 구성하고 ?에서 도출한 KRRCint를 선택한 EIA 알고리즘(EIA1)에 적용하여 MAC-I(Message Authentication Code for Integrity)를 구한다. MAC-I 계산 과정은 그림 3과 같고 EIA 입력 파라미터는 다음과 같다.
? Count: 하향 RRC Count 값 (32-bit)
? Message: RRC 메시지. 여기서는 Security Mode Command 메시지
? Direction: 메시지 젂달 방향. 상향은 0, 하향은 1임. 여기서는 1 (1-bit)
? Bearer: Radio Bearer ID (5-bit)
? KRRCint : AS 무결성 키 (128-bit)

? [eNB ? UE] Security Mode Command 메시지 전송
eNB는 ?에서 계산한 MAC-I를 Security Mode Command 메시지에 포함시켜 UE에게 전송한다. 이 메시지는 무결성 보호는 되지맊 암호화는 되지 않은 메시지이다. 메시지 파라미터는 다음과 같다.
? Ciphering Algorithm: eNB가 선택한 AS 암호화 알고리즘. 여기서는 EEA1
? Integrity Algorithm: eNB가 선택한 AS 무결성 알고리즘. 여기서는 EIA1

(2) Security Mode Command: Part-2
그림 10은 Security Mode Command Part-2로 UE가 eNB로부터 Security Mode Command 메시지를 수싞하여AS 키들을 도출하고 무결성 검증을 하는 과정을 나타낸다.
그림 10. AS Security Setup: Security Mode Command (2)

? [UE] Security 알고리즘 확인: EEA1, EIA1
UE는 수싞한 Security Mode Command 메시지를 수싞하여 eNB가 선택한 AS 암호화 및 무결성 알고리즘을 확인한다. 그림 10에서는 EEA1과 EIA1을 선택한 경우이다.

? [UE] AS Security 키 도출
UE는 인지한 알고리즘에 대한 알고리즘 ID와 알고리즘 구분자(표 1 참조)를 사용하여 KeNB로부터 KRRCint, KRRCenc 및 KUPenc를 도출한다.

? [UE] Security Mode Command 메시지 무결성 확인
UE는 ?에서 도출한 무결성 키(KRRCint)를 사용하여 Security Mode Command 메시지에 포함된 MAC-I를 검증한다. 무결성 검증은 UE가 계산한 XMAC-I가 eNB가 계산한 MAC-I와 같은지 검사함으로써 수행된다. XMAC-I가 MAC-I와 같으면 Security Mode Command 메시지는 전송되어 오는 동안 변조되지 않았음이 보장된다. XMAC-I 계산 과정은 그림 4와 같고 EIA 입력 파라미터는 ?에서와 같다.
KUPencUEeNBMMEHSSEIAMAC-ICOUNT,Bearer,DirectionIntegrity ProtectionAS Security Mode Command MessageKRRCintEIA1XMAC-IIntegrity Check (MAC-I = XMAC-I)KNASintKNASencCOUNT,Bearer,DirectionAlg-ID=01,RRC-enc-alg=03Alg-ID=01,RRC-int-alg=04KDFKDFNAS UL COUNTKDFKSIASMEAV1KASME iKASMEAlg-ID=01,UP-enc-alg=05KDFKeNBCompute KeysKSIASME= KSIASME received from NAS Security Mode CommandAS Security Mode Command MessageAS Security Mode Command - Ciphering Algorithm=EEA1 - Integrity Algorithm=EIA1 - MAC-I789

(3) Security Mode Complete
그림 11은 AS Security Setup 과정 중 Security Mode Complete 메시지가 젂달되는 과정을 나타낸다. UE는 eNB로 Security Mode Complete 메시지를 전송함으로써, UE에 eNB와 동일한 AS Security 키가 도출되었고 Security Mode Command 메시지에 대한 무결성을 검증했음을 알린다. Security Mode Complete 메시지는 무결성 보호되어 전송된다.
그림 11. AS Security Setup: Security Mode Complete

? [UE] 무결성 보호를 위한 MAC 생성
UE는 Security Mode Complete 메시지와 KRRCint를 기반으로 EIA 알고리즘(EIA1)을 적용하여 MAC-I를 계산한다. MAC-I 계산 과정은 그림 3과 같고 EIA 알고리즘 입력 파라미터는 ?에서와 같다.

? [UE ? eNB] Security Mode Complete 메시지 전송
UE는 ?에서 계산한 MAC-I를 Security Mode Complete 메시지에 포함시켜 eNB에게 전송한다. 이 메시지는 무결성 보호된 메시지로, 이후 UE와 eNB 간에 전송되는 RRC 및 IP 패킷은 무선 링크 상에서 무결성 보호되어 전송된다.

? [eNB] Security Mode Complete 메시지 무결성 확인
eNB는 수싞한 Security Mode Complete 메시지에 포함된 MAC-I를 검증함으로써 무결성을 확인한다. Security Mode Complete 메시지와 KNASint를 EIA 알고리즘(EIA1)에 적용하여 메시지 인증 코드 XMAC-I를 계산한다. eNB는 자싞이 계산한 XMAC-I가 UE가 계산한 MAC-I와 같은지 검사하여 무결성 여부를 확인한다. XMAC-I와 MAC-I가 같으면 Security Mode Complete 메시지는 전송되어 오는 동안 변조되지 않았음이 보장된다.
UEeNBKRRCintKRRCencKUPencAS Security Mode Complete MessageEIA1COUNT,Bearer,DirectionIntegrity ProtectionMAC-IAS Security Mode Complete(MAC-I)COUNT,Bearer,DirectionXMAC-IIntegrity Check EIA1KRRCencKRRCintKUPenc101112

3.2 After AS Security Setup
3.1 절에서 UE와 eNB 간에 AS Security Setup을 마치고 나면 이후 UE와 eNB 간 주고받는 RRC 메시지는 모두 암호화 및 무결성 보호되어 전송되고 IP 패킷은 암호화되어 전송된다. 그림 12는 AS Security Setup 후 UE와 eNB 간 RRC 메시지와 사용자 페킷 전송을 나타낸다.
그림 12. After AS Security Setup: RRC Signaling Integrity/Ciphering and User Plane Ciphering
RRC 메시지의 송싞 과정은 NAS 메시지와 마찬가지로 먼저 암호화 과정을 거친 후 무결성 보호 과정을 거쳐 전송된다. 암호화 키(KRRCenc)를 통해 암호화된 RRC 메시지는 무결성 키(KRRCint)를 통해 계산한 MAC-I를 포함하여 암호화되고 무결성 보호된 RRC 메시지로 전송된다. RRC 메시지의 수싞 과정은 송싞 과정의 역순으로 무결성 검증을 거친 후 복호화 과정을 거쳐 진행된다. 무결성 키(KRRCint)를 통해 계산한 XMAC-I와 수싞한 MAC-I를 비교하여 무결성 검증을 마친 후 암호화 키(KRRCenc)를 통해 복호화하여 원래의 RRC 메시지를 얻는다.
사용자 패킷은 무결성 검증 과정 없이 암호화 과정맊 수행된다. 송싞 단에서 암호화 키(KUPenc)를 통해 암호화된 사용자 패킷은 수싞 단에서 동일한 암호화 키(KUPenc)를 통해 복호화되어 원래의 사용자 패킷을 얻는다.
eNBUEKRRCintKRRCencKUPencRRC MessageEIAEEAKey Stream BlockPlain Text BlockCipher Text BlockCOUNT,Bearer,DirectionCipheringIntegrity ProtectionMAC-ICiphered RRC MessageCOUNT,Bearer,DirectionXMAC-IIntegrity Check EEAKey Stream BlockPlain Text BlockEIADecipheringRRC MessageCOUNT, Bearer,Direction, LengthCOUNT, Bearer,Direction, LengthKRRCencKRRCintKUPencCiphered RRC MessageEEAKey Stream BlockPlain Text BlockCipher Text BlockCipheringEEAKey Stream BlockPlain Text BlockDecipheringCOUNT, Bearer,Direction, LengthCOUNT, Bearer,Direction, LengthCipher Text BlockUser PacketCiphered User PacketCiphered and Integrity Protected RRC MessageUser Packet

IV. Security Context
II 장과 III 장에서 NAS Security Setup 및 AS Security Setup 절차에 대해 기술하였다. 이들 절차가 진행됨에 따라 EPS 엔터티들에 설정되는 security 관련 데이터를 EPS Security Context라 한다. EPS Security Context는 NAS Security Context와 AS Security Context로 구성되고 유형에 따라 Full Native형과 Partial Native형이 있다. EPS AKA가 수행된 후 첫 번째 SMC(Security Mode Command) 절차가 시작되기 젂 상태가 Partial Native형 Security Context를 구성하고, SMC 과정을 마친 후 상태가 Full Native형 Security Context를 구성한다. 표 2는 EPS Security Context2를 나타낸다.
표 2. LTE Security Context Full Native형 EPS NAS Security Context Partial Native형 EPS NAS Security Context EPS AS Security Context
UE Security Capability
KASME
KSIASME
UL NAS Count
DL NAS Count
UE Security Capability
KASME
KSIASME
UL NAS Count
DL NAS Count
EIA ID
EEA ID
KNASint
KSINASenc
UE Security Capability
KeNB
UL Count
DL Count
EIA ID
EEA ID
KRRCint
KSIRRCenc
KSIUPenc
그림 13은 LTE AKA 절차 및 NAS/AS Security Setup 절차 후 EPS 엔터티들에 저장된 LTE Security 데이터 중 주요 데이터를 엔터티별로 나타낸다. Security 데이터 별로 해당 데이터가 생성되는 방법을 기술하고 어느 데이터로부터 젂달되었는지 데이터 젂달 흐름을 표시하였다.
그림 13. EPS 엔터티별 Security 데이터
2 LTE Security 중 핸드오버 Security는 본 문서 범위 밖으로 EPS Security Context 중 핸드오버 관련 데이터(NH, NCC, KeNB*)는 제외되었다.
KSIASMEFrom MMECalc by itselfKeNBKeNBCalc by itselfIMSIIMSILTE KLTE KProvisioningProvisioningSQN (Ranage)UE Security CapabilityFrom UESQN (Ranage)ProvisioningAV (RAND)Calc by itselfAV (AUTN)Calc by itselfAV (XRES)Calc by itselfKASMECalc by itselfAV (RAND)From HSSAV (AUTN)From HSSAV (XRES)From HSSKASMEFrom HSSIMSIFrom UEAV (RAND)AV (AUTN)AV (RES)KASMEFrom MMECalc by itselfCalc by itselfSelected NAS AlgorithmFrom MMESelected NAS AlgorithmMMEKNASencKNASintCalc by itselfCalc by itselfKNASencKNASintCalc by itselfCalc by itselfFrom MMEKeNBSelected AS AlgorithmFrom eNBSelected AS AlgorithmeNBKRRCintCalc by itselfKRRCencCalc by itselfKUPencCalc by itselfKRRCintKRRCencKUPencCalc by itselfCalc by itselfCalc by itselfUE Security CapabilityFrom MMEMMEPLMN IDConfiguredeNBMMEHSSUECalc by itselfFactoryFactoryFactoryFactoryKSIASMEUE Security Capability

V. 마치는 글
LTE Security I[1]과 LTE Security II를 통하여 LTE Security 기술을 LTE AKA 절차에 따른 LTE 인증, NAS 및 AS Security Setup 및 엔터티별 Security 데이터에 대하여 기술하였다. 이 과정을 통해 LTE Security 키들은 계위를 갖고 있고 여러 기준에 따라 분리되어 적용됨을 볼 수 있었다. 가장 최상위 키는 LTE 마스터 키 K로 USIM과 HSS(AuC)에 저장되는 영구적인 값이고, K로부터 CK, IK가, CK, IK로부터 KASME가, KASME로부터 NAS 키(KNASint, KNASenc)와 KeNB가, KeNB로부터 AS Security 키들(KRRCint, KRRCenc, KUPenc)이 도출됨을 보았다. 또한 UE, eNB, MME에서 도출되는 키들은 NAS 레벨인가 AS 레벨인가에 따라, 제어 평면인가 사용자 평면인가에 따라, 암호화에 사용하는가 무결성에 사용하는가에 따라, 알고리즘이 무엇인가에 따라 다른 키들이 도출됨을 보았다. 표 3에 이제까지 기술된 LTE Security 키들을 정리하였다.
표 3. LTE Security Keys: Total Key Length Location Derived from Description
K
128 bits
USIM, HSS/AuC
-
EPS master key
CK
128 bits
USIM, HSS/AuC
K
Cipher key
IK
128 bits
USIM, HSS/AuC
K
Integrity key
KASME
256 bits
UE, MME, HSS
CK, IK
MME base key
KeNB
256 bits
UE, eNB, MME
KASME
eNB base key
KNASint
128/256 bits
UE, MME
KASME
NAS 메시지를 위한 무결성 키
KNASenc
128/256 bits
UE, MME
KASME
NAS 메시지를 위한 암호화 키
KRRCint
128/256 bits
UE, eNB
KeNB
SRB 상의 RRC 메시지를 위한 무결성 키
KRRCenc
128/256 bits
UE, eNB
KeNB
SRB 상의 RRC 메시지를 위한 암호화 키
KUPenc
128/256 bits
UE, eNB
KeNB
DRB 상의 사용자 패킷을 위한 암호화 키

참고문헌
[1] 넷매니아즈 기술문서, “LTE Security I”, May 2011, https://www.netmanias.com/ko/?m=view&id=techdocs&no=5192
[2] 3GPP TS 33.401, “3GPP System Architecture Evolution (SAE); Security Architecture”.
[3] 3GPP TS 24.301, “Non-Access-Stratum (NAS) Protocol for Evolved Packet System (EPS); Stage 3”.
[4] NMC 컨설팅 내부 리포트, “E2E LTE Network Design”, August 2010.


Netmanias Technical Document: LTE Security II - NAS and AS Security

www.netmanias.com

www.nmcgroups.com

NMC-logo4(선명).jpg
About NMC Consulting Group

NMC Consulting Group was founded on year 2002 and is advanced, professional network consulting company which is specialized for IP Network area like FTTH, Metro Ethernet and IP/MPLS, Service area like IPTV, IMS and CDN
lastly, Wireless network area like Mobile WiMAX, LTE and Wi-Fi.

Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

LTE Security II
NAS and AS Security

August 21, 2012



(Last Updated: August 22, 2012)



NMC Consulting Group



www.netmanias.com

www.nmcgroups.com




Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

2

Protocol Stack for NAS and AS Security Setup

xNAS Security SetupxxAS Security SetupxRRCNASRLCPDCPPHYRRCRLCPDCPPHYNASUEeNBMMELTE-UuMACMACxAS Security SetupxApplicationIPRLCPDCPPHYRLCPDCPPHYUEeNBLTE-UuMACMACPerform Ciphering (Encryption)
and Integrity ProtectionKUPencKUPencKNASint
User PlaneControl PlanePerform Ciphering (Encryption)
SRBIPDRBP-GWKNASencKNASint
KNASencKRRCint
KRRCencKRRCint
KRRCencNAS Security Setup
for Signaling (NAS Signaling)
AS Security Setup
for Signaling (RRC Signaling)
and User IP Packet
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

3

Overview of LTE Security

Attach Request (IMSI, UE Network Capability, KSIASME=7)
Authentication Information Request (IMSI, SN ID, Network Type)
Authentication Information Answer
(AVs (1...n))
Authentication Request (RAND, AUTNHSS, KSIASME=1)
[not ciphered; not integrity protected]
Authentication Response (RES) [not ciphered; not integrity protected]
AS Security Mode Complete (MAC-I)
[AS integrity protected]
AS Security Mode Command(Ciphering Algorithm=EEA1, Integrity
Algorithm=EIA1, MAC-I)
[AS integrity protected]
Attach Accept<Initial Context Setup Request>
(UE Network Capability, KeNB)
NAS Security Mode Command (KSIASME=1, Replayed UE Network Capability, NAS
Ciphering Algorithm=EEA1, NAS Integrity Algorithm=EIA1, NAS-MAC)
[NAS integrity protected]
NAS Security Mode Complete (NAS-MAC) [NAS ciphered and integrity protected]
Network(HSS) Authentication( AUTNUE = AUTNHSS )
UE Authentication( RES = XRES )
AuthenticationNAS Security SetupAS Security SetupCiphered and Integrity Protected NAS SignalingCompute KeNBCiphered and Integrity Protected RRC SignalingCiphered User Plane (Data Plane)
KNASenc, KNASint
KRRCenc, KRRCintKUPencKRRCenc, KRRCintKUPenceNBUEMMEHSS123LTE KRANDEPS AKA AlgorithmAUTNUERESKASMESQNSN IDLTE KRANDEPS AKA AlgorithmAUTNHSSXRESKASMESQNSN IDAuthentication Vector=
(RAND, XRES, AUTNHSS, KASME)
Select encryption/integrity algorithmKNASencKASMEKDFKNASintAlg-ID, Alg DistinguisherKNASenc, KNASint
NAS Uplink CountKeNBKASMEKDFAlg-ID, Alg DistinguisherKRRCencKeNBKDFKRRCintKUPencSelect encryption/integrity algorithmNAS Uplink CountKeNBKASMEKDFKNASencKASMEKDFKNASintAlg-ID, Alg DistinguisherAlg-ID, Alg DistinguisherKRRCencKeNBKDFKRRCintKUPencLTE Security I - AuthenticationLTE Security II
. NAS & AS Security
After Authentication
.UE and MME share KASME
After NAS Security Setup
.UE and MME share NAS
Security Key (KNASenc, KNASint)
in Control Plane
After AS Security Setup
.UE and eNB share AS
Security Key (KRRCenc, KRRCint)
in Control Plan
.UE and eNB share AS
Security Key (KUPenc) in User
Plan



Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

4

[NAS Security Setup] Security Mode Command (1)

KASMEKNASencKNASintMMEAttach Request
- IMSI- UE Network Capability
. EEA0=on, EEA1=on, EEA2=off,…
. EIA1=on, EIA2=on, …
- KSIASME = 7Store UE Security CapabilityNAS Security Mode Command- KSIASME =1,
- Replayed UE Security Capability,
- NAS Ciphering Algorithm=EEA1,
- NAS Integrity Algorithm=EIA1,
- NAS-MACKDFKDFAlg-ID=01,
NAS-int-alg=02EIANAS
Security
Mode
Command
MessageNAS-MACCOUNT,
Bearer,
DirectionIntegrity ProtectionSelect encryption/integrity
algorithm (e.g., EEA1/EIA1)
(from UE Security Capability)
EIA1XNAS-MACIntegrity Check
(NAS-MAC = XNAS-MAC)
KNASintKNASencCOUNT, Bearer,
DirectionAlg-ID=01,
NAS-enc-alg=01Alg-ID=01,
NAS-int-alg=02KDFKDFKey Derivation1234Key DerivationAlg-ID=01,
NAS-enc-alg=01KASME671UEMMEHSSKSIASMEAV1KASME iAuthenticationAuthentication Vectors
KSIASMEAV1KASME i25KSIASME=1NAS
Security
Mode
Command
Message
[Prerequisite Process] . ,.

.LTE Authentication using EPS-AKA Procedure (refer to LTE Security I [1])
.UE and MME shares KASME after LTE Authentication



Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

5

[NAS Security Setup] Security Mode Command (2)

. [MME] Selection of Security Algorithms

.Selects Encryption and Integrity Protection Algorithms applied to NAS messages




based on UE Security Capability information (e.g. EEA1 and EIA1)


. [MME] Derivation of NAS Security Keys, KNASint and KNASenc

.Derives KNASint and KNASenc with the following input parameters:
.KASME derived in . (authentication process)
.Security Algorithm ID selected in .
.Security Algorithm Distinguisher








KNASint = KDF (KASME, NAS-int-alg, Alg-ID)

KNASenc = KDF (KASME, NAS-enc-alg, Alg-ID)




. [MME] Computation of NAS-MAC for Integrity Protection

.Generates Security Mode Command message and computes NAS-MAC for the message using KNASint




KASMEKNASencKNASintKDFKDFAlg-ID=01,
NAS-int-alg=02Alg-ID=01,
NAS-enc-alg=01
Algorithm ID

Description

Value

128-EEA0 Null ciphering algorithm 0000

128-EEA1

SNOW 3G

0001

128-EEA2

AES

0010

128-EIA1

SNOW 3G

0001

128-EIA2

AES

0010



Algorithm Distinguisher

Value

NAS-enc-alg

0x01

NAS-int-alg

0x02

RRC-enc-alg

0x03

RRC-int-alg

0x04

UP-enc-alg

0x05



Security Algorithm ID

Algorithm Distinguisher

Input Parameter

Description

Count

Downlink NAS Count (32-bit)

Message

NAS Message (here Security Mode Command message)

Direction

Direction of message transmission (1-bit)

Set to 1 for downlink

Bearer

Constant value. Set to 0 (5-bit)

KNASint

Integrity protection key for NAS messages (128-bit)



Input Parameters for EIA Algorithm

Computation of NAS-MAC
EIANAS-MAC(KNASint)
CountDirectionBearerKeyMessageSecurity Mode CommandMessage
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

6

[NAS Security Setup] Security Mode Command (3)

. [UE . MME] Transmitting the Security Mode Command Message

.Security Mode Command: Integrity protected but not ciphered
.MME sends the Security Mode Command (KSIASME, Replayed UE Security Capability, NAS Ciphering Algorithm, NAS Integrity Protection
Algorithm) message with NAS-MAC to UE




. [UE] Setting of KSIASME

.Sets KSIASME to the same value of KSIASME in the Security Mode Command message




(KSIASME : Identifier of KASME. Used on behalf of KASME between UE and MME)



. [UE] Derivation of NAS Security Keys, KNASint and KNASenc

.Derives KNASint and KNASenc with the following the following input parameters:
.KASME derived in . (authentication process)
.Security Algorithm ID delivered in .
.Security Algorithm Distinguisher
KNASint = KDF (KASME, NAS-int-alg, Alg-ID)
KNASenc = KDF (KASME, NAS-enc-alg, Alg-ID)






. [UE] Integrity Check for the Security Mode Command message

.Calculates XNAS-MAC, and performs integrity check using KNASint
by comparing NAS-MAC with the calculated XNAS-MAC




Information Element

Description

KSIASME

Identifier of KASME . Allocated by MME (3-bit)

Replayed UE Security Capability

UE Security Capability included in the Attach Request message sent by UE (parts of UE Network Capability)

NAS Ciphering Algorithm

NAS ciphering algorithm selected by MME (here EEA1)

NAS Integrity Protection Algorithm

NAS integrity protection algorithm selected by MME (here EIA1)



Computation of XNAS-MAC

EIAXNAS-MACCountDirectionBearerMessageIntegrity Protected
Security Mode CommandMessage(KNASint)
Key
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

7

[NAS Security Setup] Security Mode Complete (1)
UEMMEGenerating
NAS Security
Mode
Complete
MessageEIA1NAS Security Mode Complete
(NAS-MAC)
EEA1Key Stream BlockPlain Text
BlockCipher Text
BlockCOUNT,
Bearer,
DirectionCOUNT, Bearer,
Direction, LengthCipheringIntegrity ProtectionNAS-MACCiphered NAS Security Mode
Complete MessageKNASintKNASencCOUNT,
Bearer,
DirectionXNAS-MACEEA1Key Stream BlockPlain Text
BlockEIA1DecipheringKNASintKNASencNAS
Security
Mode
Complete
MessageCOUNT, Bearer,
Direction, LengthCiphered NAS Security Mode
Complete MessageIntegrity Check
(NAS-MAC = XNAS-MAC)
89101211
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

8

. [UE] Ciphering Message using the Selected Ciphering Algorithm

.Generates Security Mode Complete message, then encrypts the message using KNASenc


























. [UE] Computation of NAS-MAC for Integrity Protection

.Computes NAS-MAC for the ciphered Security Mode Complete message using KNASint




[NAS Security Setup] Security Mode Complete (2)
Input Parameter

Description

Count

Uplink NAS Count (32-bit)

Bearer

Constant value. Set to 0 (5-bit)

Direction

Direction of message transmission (1-bit)

Set to 0 for uplink

Length

Length of key stream block

KNASenc

Ciphering key for NAS messages (128-bit)



Input Parameters for EEA Algorithm

Input Parameter

Description

Count

Uplink NAS Count (32-bit)

Message

NAS Message (here Security Mode Complete message)

Direction

Direction of message transmission (1-bit)

Set to 0 for uplink

Bearer

Constant value. Set to 0 (5-bit)

KNASint

Integrity protection key for NAS messages (128-bit)



Input Parameters for EIA Algorithm
EEAKey Stream
BlockSecurity Mode Complete
Message(KNASenc)
CountBearerDirectionLengthKeyCiphered Security Mode
Complete MessagePlain Text BlockCipher Text Block
EIANAS-MACCountDirectionBearerMessage(KNASint)
KeyCiphered Security Mode
Complete Message
Computation of NAS-MAC

Ciphering of Security Mode Complete Message


Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

9

[NAS Security Setup] Security Mode Complete (2)

. [UE . MME] Transmitting the Security Mode Complete message
.Security Mode Complete: Ciphered and Integrity protected
.UE sends the Security Mode Complete message with NAS-MAC to MME
. [MME] Integrity Check for the Security Mode Complete message
.Calculates XNAS-MAC
.Performs Integrity Check using KNASint by
comparing NAS-MAC with the calculated XNAS-MAC
. [MME] Deciphering the Security Mode Complete message
.Decrypts the Security Mode Complete message using KNASenc




EIAXNAS-MAC(KNASint)
CountDirectionBearerKeyMessageIntegrity Protected
Security Mode CompleteMessage
EEAKey Stream
Block(KNASenc)
CountBearerDirectionLengthKeyPlain Text BlockCipher Text BlockCiphered Security Mode
Complete MessageSecurity Mode Complete
Message
Computation of XNAS-MAC

Deciphering of Security Mode Complete Message 
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

10

After NAS Security Setup
NASMessageEIAEEAKey Stream BlockPlain Text
BlockCipher Text
BlockCOUNT,
Bearer,
DirectionCOUNT, Bearer,
Direction, LengthCipheringIntegrity ProtectionNAS-MACCOUNT,
Bearer,
DirectionXNAS-MACEEAKey Stream BlockCOUNT, Bearer,
Direction, LengthPlain Text
BlockEIADecipheringEIAEEAKey Stream BlockPlain Text
BlockCipher Text
BlockCOUNT,
Bearer,
DirectionCOUNT, Bearer,
Direction, LengthNAS-MACKNASintCOUNT,
Bearer,
DirectionXNAS-MACIntegrity Check
EEAKey Stream BlockPlain Text
BlockEIADecipheringKNASencKNASintCOUNT, Bearer,
Direction, LengthKNASencNAS MessageNAS MessageCiphered NAS MessageCiphered NAS MessageCiphered NAS MessageCiphered NAS MessageNASMessageIntegrity Check
Ciphered and Integrity
Protected NAS MessageCiphered and Integrity
Protected NAS MessageIntegrity ProtectionCipheringUEMME
Receiving side

Step 1: Integrity Check

Step 2: Deciphering

Transmitting side
Step 1: Ciphering
Step 2: Integrity Protection
Transmitting side
Step 1: Ciphering
Step 2: Integrity Protection
Receiving side
Step 1: Integrity Check
Step 2: Deciphering 
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

11

UEeNBMMEHSSAuthenticationAuthentication VectorsKSIASMEAV1KASME iUL NAS
COUNTKDFKeNBAttach Accept<Initial Context Setup Request>
- UE Security Capability- Security Key(=KeNB)
KASMEKSIASMEAV1KASME iStore UE Security
CapabilityKDFAlg-ID,
RRC-int-algEIA1MAC-ICOUNT,
Bearer,
DirectionIntegrity
ProtectionKDFKRRCencAS Security
Mode
Command
MessageKDFKUPencKRRCintAlg-ID,
RRC-enc-algAlg-ID,
UP-enc-algKeNBAS Security Mode Command
- Ciphering Algorithm=EEA1
- Integrity Algorithm=EIA1
- MAC-ISelect encryption/integrity
algorithm (e.g., EEA1/EIA1)
(from UE Security Capability)
Key Derivation (KeNB)
Key DerivationAttach Request
- IMSI- UE Network Capability
- EEA0=on, EEA1=on, EEA2=off,…
- EIA1=on, EIA2=on, …
- KSIASME = 712123456
[AS Security Setup] Security Mode Command (1)

[Prerequisite Process] . ,.

.LTE Authentication using EPS-AKA Procedure (refer to LTE Security I [1])
.UE and MME shares KASME after LTE Authentication.



Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

12

[AS Security Setup] Security Mode Command (2)

KUPencUEeNBMMEHSSEIAMAC-ICOUNT,
Bearer,
DirectionIntegrity
ProtectionAS Security
Mode
Command
MessageKRRCintEIA1XMAC-IIntegrity Check
(MAC-I = XMAC-I)
KRRCintKRRCencCOUNT,
Bearer,
DirectionAlg-ID=01,
RRC-enc-alg=03Alg-ID=01,
RRC-int-alg=04KDFKDFUL NAS COUNTKDFKSIASMEAV1KASME iKASMEAlg-ID=01,
UP-enc-alg=05KDFKeNBCompute KeysKSIASME= KSIASME received from
NAS Security Mode CommandAS Security
Mode
Command
MessageAS Security Mode Command
- Ciphering Algorithm=EEA1
- Integrity Algorithm=EIA1
- MAC-I789
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

13

[AS Security Setup] Security Mode Command (3)

. [MME] Derivation of KeNB

.Derives eNB Base Key, KeNB using KDF with inputs, KASME and UL Count




. [eNB . MME] Transfer of KeNB

.MME sends Attach Accept message to UE as the response of the Attach Request message
.The Attach Accept message is delivered through S1 signaling, Initial Context Setup Request message which includes
.UE Security Capability: UE security information included in the Attach Request message sent by UE
.Security Key: eNB base key, KeNB (256-bit)






. [eNB] Selection of Security Algorithms

.Selects ciphering and integrity protection algorithms applied to RRC messages and user IP packet based on UE Security Capability
information (e.g. EEA1 and EIA1)
.Integrity protection algorithms for RRC messages (SRBs)
.Ciphering algorithm for RRC messages and user IP packets (SRBs and DRBs)












. [eNB] Derivation of AS Security Keys, KRRCint, KRRCenc and KUPenc

.Derives KRRCint, KRRCenc and KUPenc with the following input parameters:
.KeNB received in . (Initial Context Setup Request message)
.Security Algorithm ID selected in .
.Security Algorithm Distinguisher






KRRCint = KDF (KeNB, RRC-int-alg, Alg-ID)

KRRCenc = KDF (KeNB, RRC-enc-alg, Alg-ID)

KUPenc = KDF (KeNB, UP-enc-alg, Alg-ID)

Algorithm ID

Description

Value

128-EEA0

Null ciphering algorithm

0000

128-EEA1

SNOW 3G

0001

128-EEA2

AES

0010

128-EIA1

SNOW 3G

0001

128-EIA2

AES

0010



Algorithm Distinguisher

Value

NAS-enc-alg

0x01

NAS-int-alg

0x02

RRC-enc-alg

0x03

RRC-int-alg

0x04

UP-enc-alg

0x05



Security Algorithm ID Algorithm Distinguisher

KRRCintKDFAlg-ID=01,
RRC-enc-alg=03KDFAlg-ID=01,
UP-enc-alg=05KDFAlg-ID=01,
RRC-int-alg=04KRRCencKUPencKeNB
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

14

[AS Security Setup] Security Mode Command (4)
. [eNB] Computation of MAC-I for Integrity Protection

.Generates Security Mode Command message and computes MAC-I using KRRCint






















. [UE . eNB] Transmission of the Security Mode Command message

.Security Mode Command: Integrity protected but not ciphered
.eNB sends the Security Mode Command (AS Ciphering Algorithm, AS Integrity Protection Algorithm) message with MAC-I to UE




. [UE] Checking of Selected AS Security Algorithms

.Checks which ciphering and integrity protection algorithm are selected by eNB (e.g. EEA1, EIA1)




Input Parameter

Description

Count

Downlink PDCP Count (32-bit)

Message

RRC Message (here Security Mode Command message)

Direction

Direction of message transmission (1-bit)

Set to 1 for downlink

Bearer

Radio Bearer ID . 1 (5-bit)

KRRCint

Integrity protection key for RRC messages (128-bit)



Input Parameters for EIA Algorithm

Information Element

Description

AS Ciphering Algorithm

AS ciphering algorithm selected by eNB (here EEA1)

AS Integrity protection Algorithm

AS integrity protection algorithm selected by eNB (here EIA1)



EIAMAC-I(KRRCint)
CountDirectionBearerKeyMessageSecurity Mode CommandMessage
Computation of MAC-I 
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

15

[AS Security Setup] Security Mode Command (5)
. [UE] Derivation of AS Security Keys, KRRCint, KRRCenc and KUPenc
.Derives KRRCint, KRRCenc and KUPenc with the following input parameters:
.KeNB derived in from KASME in . (authentication process)
.Security Algorithm ID delivered in .
.Security Algorithm Distinguisher
KRRCint = KDF (KeNB, RRC-int-alg, Alg-ID)
KRRCenc = KDF (KeNB, RRC-enc-alg, Alg-ID)
KUPenc = KDF (KeNB, UP-enc-alg, Alg-ID)
. [UE] Integrity Check for the Security Mode Command message


.Calculates XMAC-I
.Performs Integrity Check using KRRCint by comparing MAC-I with the calculated XMAC-I




EIAXMAC-I(KRRCint)
CountDirectionBearerKeyMessageIntegrity Protected
Security Mode CommandMessage
Computation of XMAC-I


Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

16

[AS Security Setup] Security Mode Complete
UEeNBKRRCintKRRCencKUPencAS Security Mode
Complete MessageEIA1COUNT,
Bearer,
DirectionIntegrity ProtectionMAC-IAS Security Mode Complete(MAC-I)
COUNT,
Bearer,
DirectionXMAC-IIntegrity Check
EIA1KRRCencKRRCintKUPenc101112
Only Integrity Protection and Integrity Check are performed for AS Security Mode Complete message


Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

17

After AS Security Setup

eNBUEKRRCintKRRCencKUPencRRC MessageEIAEEAKey Stream BlockPlain Text
BlockCipher Text
BlockCOUNT,
Bearer,
DirectionCipheringIntegrity ProtectionMAC-ICiphered RRC MessageCOUNT,
Bearer,
DirectionXMAC-IIntegrity Check
EEAKey Stream BlockPlain Text
BlockEIADecipheringRRC MessageCOUNT, Bearer,
Direction, LengthCOUNT, Bearer,
Direction, LengthKRRCencKRRCintKUPencCiphered RRC MessageEEAKey Stream BlockPlain Text
BlockCipher Text
BlockCipheringEEAKey Stream BlockPlain Text
BlockDecipheringCOUNT, Bearer,
Direction, LengthCOUNT, Bearer,
Direction, LengthCipher Text
BlockUser PacketCiphered User PacketCiphered and Integrity
Protected RRC MessageUser Packet
Receiving side

Step 1: Integrity Check

Step 2: Deciphering

Transmitting side
Step 1: Ciphering
Step 2: Integrity Protection
Receiving side

Step1: Deciphering

Transmitting side
Step 1: Ciphering 
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

18

LTE Security Context
LTE Security Context

Partial Native

EPS NAS Security Context

Full Native

EPS NAS Security Context

EPS AS Security Context

UE Security Capability

UE Security Capability

UE Security Capability

KASME

KASME

KeNB

KSIASME

KSIASME

-

UL Count

UL Count

UL Count

DL Count

DL Count

DL Count

-

EIA ID

EIA ID

-

EEA ID

EEA ID

-

KNASint

KRRCint

-

KNASenc

KRRCenc

-

-

KUPenc




Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

19

Security Information per EPS Entity
KSIASMEFrom MMECalc by itselfKeNBKeNBCalc by itselfIMSIIMSILTE KLTE KProvisioningProvisioningSQN (Range)
UE Security CapabilityFrom UESQN (Range)ProvisioningAV (RAND)Calc by itselfAV (AUTN)Calc by itselfAV (XRES)Calc by itselfKASMECalc by itselfAV (RAND)From HSSAV (AUTN)From HSSAV (XRES)From HSSKASMEFrom HSSIMSIFrom UEAV (RAND)
AV (AUTN)
AV (RES)
KASMEFrom MMECalc by itselfCalc by itselfSelected NAS AlgorithmFrom MMESelected NAS AlgorithmMMEKNASencKNASintCalc by itselfCalc by itselfKNASencKNASintCalc by itselfCalc by itselfFrom MMEKeNBSelected AS AlgorithmFrom eNBSelected AS AlgorithmeNBKRRCintCalc by itselfKRRCencCalc by itselfKUPencCalc by itselfKRRCintKRRCencKUPencCalc by itselfCalc by itselfCalc by itselfUE Security CapabilityFrom MMEMMEPLMN IDConfiguredeNBMMEHSSUECalc by itselfFactoryFactoryFactoryFactoryKSIASMEUE Security Capability
Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

20

Summary of LTE Security Key: Authentication and NAS/AS Security
LTE Security Keys: Total
Key

Length

Location

Derived from

Description

K

128 bits

USIM, AuC

-

EPS master key

CK

128 bits

USIM, HSS

K

Cipher key

IK

128 bits

USIM, HSS

K

Integrity key

KASME

256 bits

UE, HSS, MME

CK, IK

MME base key

KeNB

256 bits

UE, eNB, MME

KASME

eNB base key

KNASint

128/256 bits

UE, MME

KASME

Integrity protection key for NAS message between UE and MME

KNASenc

128/256 bits

UE, MME

KASME

Ciphering key for NAS messages between UE and MME

KRRCint

128/256 bits

UE, eNB

KeNB

Integrity protection key for RRC messages on SRBs between UE and eNB

KRRCenc

128/256 bits

UE, eNB

KeNB

Ciphering key for RRC messages on SRBs between UE and eNB

KUPenc

128/256 bits

UE, eNB

KeNB

Ciphering key for user IP packets on DRBs between UE and eNB




Copyright ⓒ 2002-2012 NMC Consulting Group. All rights reserved.

Netmanias Technical Document: LTE Security II - NAS and AS Security

21

References and Abbreviations

[1] Netmanias Technical Document, “LTE Security I: LTE Security Concept and LTE Authentication”, May 2011,
https://www.netmanias.com/en/?m=view&id=techdocs&no=5902

[2] 3GPP TS 33.401, “3GPP System Architecture Evolution (SAE); Security Architecture”.

[3] 3GPP TS 24.301, “Non-Access-Stratum (NAS) Protocol for Evolved Packet System (EPS); Stage 3”.

[4] NMC Consulting Group Report, “E2E LTE Network Design”, August 2010.






AES

AKA

AS

ASME

AuC

CK

DRB

EEA

EIA

EPS

HSS

IK

IMSI

KDF

KSI



: Advanced Encryption Standard

: Authentication and Key Agreement

: Access Stratum

: Access Security Management Entity

: Authentication Center

: Cipher Key

: Data Radio Bearer

: EPS Encryption Algorithm

: EPS Integrity Algorithm

: Evolved Packet System

: Home Subscriber Server

: Integrity Key

: International Mobile Subscriber Identity

: Key Derivation Function

: Key Set Identifier

Abbreviations

LTE
MAC
MAC-I
MME
NAS
NAS-MAC
PDCP
RRC
SRB
UE
UP
USIM
: Long Term Evolution

: Message Authentication Code

: Message Authentication Code for Integrity

: Mobility Management Entity

: Non Access Stratum

: Message Authentication Code for NAS for Integrity

: Packet Data Convergence Protocol

: Radio Resource Control

: Signaling Radio Bearer

: User Equipment

: User Plane

: Universal Subscriber Identity Module