Autenticacion TETRA

 

RED DIMETRA

UTENTICACION RED DIMETRA

 

 

Autenticación



La prestación de autenticación permite al sistema Dimetra validar que los terminales que pretenden registrase y acceder a los servicios del sistema son “genuinos”. 



 

El sistema Dimetra soporta dos tipos de autenticaciones: Autenticación ción explícita  Autentica Autenticación ción implícita  Autentica

 

Autenticación

AUTENTICACIÓN EXPLÍCITA 

Autenticación explícita: se basa en un proceso de “desafío-respuesta-resultado”  para verificar la validez de un terminal. La autenticación explícita tiene éxito cuando la entidad desafiada demuestra el conocimiento de la clave de autenticación (clave

K). 

La autenticación explícita se inicia desde la infraestructura del sistema y se realiza durante las siguientes acciones:  



 

Encendido y registro del terminal Actualización de posición

La clave de cifrado derivada (DCK) se s e genera durante la sesión de autenticación.

 

Autenticación

AUTENTICACIÓN EXPLÍCITA

 

 

Autenticación

AUTENTICACIÓN IMPLÍCITA

 



La autenticación implícita verifica la validez de los terminales en base al cifrado de la interfaz aire estático.



La autenticación implícita tiene éxito cuando el terminal demuestra conocer la clave de cifrado estática actualmente en uso.

 

Definición de claves

CLAVES DE SECRAFONÍA Y AUTENTICACIÓN 

K (Authentication Key ): clave generada en el Provisioning Centre (PrC) que se asigna de manera única a cada terminal. Esta clave se carga posteriormente en el Authentication Centre (AuC) junto con su referencia asociada (REF).



K-REF: pareja de parámetros que identifican una radio en el AuC. La referencia (REF) de cada clave K se genera ende el autenticación” KVL al cargar la(KS clave K enpara cada terminal. La  pareja K-REF la utiliza el AuC para generar el “material y KS’) cada terminal.



KS y KS’: claves utilizadas para llevar a cabo la autenticación explícita. Estas claves se generan en el AuC y se envían a los controladores de zona cifradas mediante la clave KEKm.



SCK (Static Cipher Key): clave utilizada para cifrar/descrifrar las comunicaciones en la interfaz aire cuando se usa el cifrado estático.



DCK (Derived Cipher Key): clave c lave utilizada para cifrar/descifrar el tráfico y la señalizació se ñalización n individual en la interfaz aire cuando se usa cifrado dinámico.

 

 

Definición de claves

CLAVES CLAVES DE SECRAFONÍA Y AUTENTICACIÓN

 



CCK (Common Cipher Key): clave utilizada para cifrar/descifrar el tráfico y la señalización de grupo en la interfaz aire cuando se usa cifrado dinámico. Es una clave común para todas las EBTS y terminales del sistema y se distribuye desde las EBTS a los terminales cifrada con la clave DCK.



KEK (Key Encryption Key): clave utilizada para cifrar/descrifar claves claves de tráfico (KS, KS’, SCK,  DCK, CCK). Se generan en el AuC para el sistema sistem a (KEKm) y para cada zona (KEKz).  KEKm: la usa el controlador de zona para cifrar/descifrar el material de Autenticación Autenticació n (KS, KS’) cuando se envía a través de la infraestructura y para cifrar/descrifrar las claves DCK cuando se envían a otro controlador.  KEKz: la usan las EBTS para cifrar/descifrar las claves SCK y CCK y el controlador de zona para cifrar/descrifrar las claves DCK cuando se envían a las EBTS.

 

Definición de claves

CLAVES CLAVES DE SECRAFONÍA Y AUTENTICACIÓN 

Ki (Infraestructure Key): clave utilizada para cifrar/descifrar la KEK cuando

se transporta por la red Dimetra. Se asigna a signa una Ki única a cada controlador de zona y EBTS (TSC y BRC) del sistema. La Ki se genera en el AuC y se carga en los dispositivos mencionados anteriormente a través del KVL.

 

 

Definición de claves

CLAVES CLAVES DE SECRAFONÍA Y AUTENTICACIÓN 

System Key: clave de sistema generada en el KVL. Es necesario nece sario que el AuC, AuC, PrC y KVL de un mismo sistema tengan la misma System Key. Key.



Master Key: clave utilizada por el AuC/PrC AuC/PrC para cifrar la información sensible de sus bases de datos. Se genera en e n el KVL y se carga en el módulo de cifrado (Crypto Card) del AuC/PrC. UKEK (Unique Key Encryption Encryption Key): esta clave se utiliza establecer comunicaciones seguras entre el KVL y el AuC/PrC



 

 

Definición de claves

FLUJO DE CLAVES (I)

SCK

 

 

Definición de claves

Ki

FLUJO DE CLAVES (II)

KEKm

PrC Server K-REF SCK

Authentication Centre

ZC

KS, KS’ 

Ki’s 

Ki’s 

KEKz

KVL

DCK

AuC KS, KS’ 

SCK DCK CCK Ki KEKm KEKz

Ki’s 

Ki KEKz SCK, CCK

 

TSC BRC

 

ÍNDICE

 

1 

Concepto y tipos de secrafonía

2 

Autenticación

3 

Definición de claves

4

Equipamiento necesario

5

Procedimiento para activar la secrafonía y autenticación en un sistema Dimetra 5.2

6

Recomendaciones para la renovación de claves

7

Consideraciones sobre compatibilidad en infraestructura y terminales

 

Equipamiento necesario para secrafonía y autenticación



Los dispositivos y bases de datos utilizados en la activación del Proceso de Seguridad en un sistema DIMETRA son los siguientes:   

 

 

Provisioning Centre (PrC) Authentication Authenti cation Centre Terminal de mano KVL Base de datos UCS Base de datos ZCM

 

Equipamiento necesario

PROVISIONING CENTRE  

El Provisioning Centre es un ordenador aislado de la red Dimetra. Las funciones principales del PrC son las siguientes:  Permite importar las claves K y SCK 

Permite generar manualmente las claves K y SCK  Permite generar automáticamente las claves K’s   Permite exportar las parejas K-REF  Proporciona almacenamiento seguro (cifrado) de las claves mediante la Master Key 

Permite la carga y descarga de claves de forma segura (cifrada) a otros dispositivos  Muestra información actualizada del estado de las claves de los terminales del sistema

 

 

Equipamiento necesario AUTHENTICATION CENTRE  

 

El Authentication Authentication Centre es e s un servidor redundado integrado en la red Dimetra. Las funciones principales del AuC son las siguientes:  Permite importar las parejas K-REF y las claves SCK  Genera el material de autenticación (KS, KS’) y las claves CCK, KEKm, KEKz y Ki   Proporciona almacenamiento seguro (cifrado) de las claves mediante la Master Key  Distribuye las claves actualizadas a la infraestructura bajo demanda o en base a un calendario previamente establecido

 

Equipamiento necesario

AUTHENTICATION CENTRE 

 

 

Equipamiento necesario

TERMINAL DE MANO KVL3000 

 

Las funciones principales del terminal KVL son las siguientes:  Generación de las claves System Key, Key, Master Key y UKEK  Carga de claves en terminales, controladores de zona y estaciones base  Reconocimientos en PrC y AuC AuC una vez cargadas las claves en los diferentes dispositivos  Almacenamiento seguro de claves  Protección del equipo por password de acceso (dos niveles de seguridad Supervisor y Operador)

 

ÍNDICE

 

1 

Concepto y tipos de secrafonía

2 

Autenticación

3 

Definición de claves

4

Equipamiento necesario

5

Procedimiento de Activación en un sistema Dimetra

6

Recomendaciones para la renovación de claves

7

Consideraciones sobre compatibilidad en infraestructura y terminales

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 - ÍNDICE 5.1   Modos de Operación  5.1 Operación 

 

5.2   5.2

Parámetros bases de datos de sistema (UCS) y zona (ZDS)

5.3   5.3

Generación de Claves en el PrC

5.4   5.4

Carga de Claves en Terminales Terminales

5.5

Transferencia de K-REF al Centro de Autenticación

5.6

Generación de claves en el AuC

5.7

Distribución de Claves Ki al ZC y a las EBTS

5.8

Configuración del codeplug de terminales

 

Procedimiento de Activación Seguridad en un sistema Dimetra – Modos de Operación



 

El sistema Dimetra permite diferentes modos de trabajo en función de la configuración de varios parámetros de las bases de datos UCS y ZDS.

 

Procedimiento de Activación en un sistema Dimetra  – Modos de Operación

 

 

Procedimiento de Activación Activación en un sistema Dimetra - ÍNDICE ÍNDICE

5.1   Modos de Operación  5.1 Operación 

 

5.2   5.2

Parámetros bases de datos de sistema (UCS) y zona (ZDS)

5.3   5.3

Generación de Claves en el PrC

5.4   5.4

Carga de Claves en Terminales Terminales

5.5

Transferencia de K-REF al Centro de Autenticación

5.6

Generación de claves en el AuC

5.7

Distribución de Claves Ki al ZC y a las EBTS

5.8

Configuración del codeplug de terminales

 

Procedimiento de Activación en un sistema Dimetra Parámetros base de datos de sistema (UCS) y de zona (ZDS)

BASE DE DATOS UCS  

 

Objeto: SYSTEM Ficha: CONFIGURATION

 

Procedimiento de Activación en un sistema Dimetra Parámetros base de datos de sistema (UCS) y de zona (ZDS)

 

 

Procedimiento de Activación Activación en un sistema Dimetra Dimetra Parámetros base de datos de sistema (UCS) y de zona (ZDS)

 

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 Parámetros base de datos de sistema (UCS) y de zona (ZDS) RANGO DE SECRAFONÍA: POSIBLES ESCENARIOS

ISSI NO ENC

ISSI ENC

ISSI ENC

D 

B 

A 

TG-ENC TG-NO ENC

TG-ENC TG-NO ENC

ISSI NO ENC

TG-ENC TG-NO ENC

C TG-ENC TG-NO ENC

Base StationSite 

Base Station Site 

EMPLAZAMIENTO MAESTRO (SwMI)  

 

LLAMADAS DE GRUPO Radio A: TG-ENC: NO TG-NO ENC: SI (Las Radios B y D muestran en el display que la llamada es en claro) Radio B: TG-ENC: SI (Las Radios A y C no reciben la comunicación) TG-NO ENC: SI (Las radios B y D muestran en el display que la llamada es en claro) LLAMADAS PRIVADAS Radio A – Radio C: SI, en claro Radio B – Radio D: SI, cifrada Radio A – Radio D: SI, en claro (La Radio D muestra en el display que la llamada es en claro)

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 Parámetros base de datos de sistema (UCS) y de zona (ZDS) BASE DE DATOS ZDS  

 

Objeto: EBTS Ficha: EBTS AUTHENTICATION

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 - ÍNDICE 5.1   Modos de Operación  5.1 Operación 

 

5.2 5.2  

Parámetros bases de datos de sistema (UCS) y zona (ZDS)

5.3   5.3

Generación de Claves en el PrC

5.4   5.4

Carga de Claves en Terminales Terminales

5.5

Transferencia de K-REF al Centro de Autenticación

5.6

Generación de claves en el AuC

5.7

Distribución de Claves Ki al ZC y a las EBTS

5.8

Configuración del codeplug de terminales

 

Procedimiento de Activación un sistema Dimetra Generación de Claves en el PrC

ACCESO AL PrC 





 

Doble click en el icono del PrC en el escritorio Introducir Login y Password Login: Mot-user1 Password: Motorola_03 Aparece la ventana principal del PrC

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 - ÍNDICE 5.1   Modos de Operación  5.1 Operación 

 

5.2 5.2  

Parámetros bases de datos de sistema (UCS) y zona (ZDS)

5.3   5.3

Generación de Claves en el PrC

5.4   5.4

Carga de Claves en Terminales Terminales

5.5

Transferencia de K-REF al Centro de Autenticación

5.6

Generación de claves en el AuC

5.7

Distribución de Claves Ki al ZC y a las EBTS

5.8

Configuración del codeplug de terminales

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 – Carga de Claves en Terminales

TRANSFERENCIA DE CLAVES DEL PrC AL KVL3000

 



Para poder cargar las claves K y SCK en los terminales es necesario transferirlas previamente al KVL3000.



Una vez transferidas las claves K y SCK al KVL3000 se pueden cargar en los terminales.



Una vez que se hayan cargado las claves en los terminales es necesario conectar de nuevo el KVL3000 al PrC para descargar los “acknowledges” “acknow ledges” de los terminales.  Se usa el Proc. 5-9 anterior.

 

Procedimiento de Activación Activación en un sistema Dimetra - ÍNDICE ÍNDICE

5.1   Modos de Operación  5.1 Operación 

 

5.2   5.2

Parámetros bases de datos de sistema (UCS) y zona (ZDS)

5.3   5.3

Generación de Claves en el PrC

5.4   5.4

Carga de Claves en Terminales Terminales

5.5

Transferencia de K-REF al Centro de Autenticación

5.6

Generación de claves en el AuC

5.7

Distribución de Claves Ki al ZC y a las EBTS

5.8

Configuración del codeplug de terminales

 

Procedimiento de Activación Activación en un sistema Dimetra Transferencia de K-REF al Centro de Autenticación ACCESO AL AuC 



Doble click en el e l icono del AuC en el escritorio Introducir Login y Password Login AuC1: Mot-user1 Password AuC1: motorola_01 Login AuC2: Mot-user1 Pasword AuC2: motorola_02



 

Aparece la ventana principal del AuC

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 - ÍNDICE 5.1   Modos de Operación  5.1 Operación 

 

5.2   5.2

Parámetros bases de datos de sistema (UCS) y zona (ZDS)

5.3   5.3

Generación de Claves en el PrC

5.4   5.4

Carga de Claves en Terminales Terminales

5.5

Transferencia de K-REF al Centro de Autenticación

5.6

Generación de claves en el AuC

5.7

Distribución de Claves Ki al ZC y a las EBTS

5.8

Configuración del codeplug de terminales

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 – Generación de Claves en el AuC GENERACIÓN DE LAS CLAVES Ki 

Las claves Ki se generan automáticamente una vez que los controladores de zona y las EBTS han sido reconocidos por el AuC.



En ciertas situaciones puede ser necesario generar una nueva clave Ki para un controlador o una EBTS. 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Procedimiento 4-5: How to Assign a New Ki to a Zone or EBTS



También es posible generar nuevamente la misma clave Ki para un controlador o EBTS en caso de que la actual se haya corrompido o perdido. 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Procedimiento 4-6: How to Resend an Exinting Ki to a Zone or EBTS



 

Aunque se describe en los procedimientos anteriores es importante resaltar que la modificación de las claves Ki exige ex ige la carga local del dispositivo afectado.

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 – Generación de Claves en el AuC

GENERACIÓN DE LAS CLAVES KEKm, KEKz Y CCK 

Las claves KEKm, KEKz y CCK se generan utilizando el siguiente procedimiento. 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Booklet10-2: Managing Authentication, Authentication, Encryption and Provisioning Procedimiento 4-12: How to Perform Immediate Key Updates for a Key Type Type

GENERACIÓN DEL MATERIAL MATERIAL DE AUTENTICACIÓN (KS Y KS’)  



El AuC AuC no genera automáticamente el material de autenticación para cada terminal cuando se reconocen inicialmente en la base de datos del AuC AuC y se introducen las K-REF.. Es necesario generar este material de autenticación inicialmente. K-REF Una vez generado por primera vez y si se activa la opción de actualización de claves cada vez que se haga una actualización a ctualización manual o automática se generará nuevo material de autenticación. 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Procedimiento 4-13: How to Assign New Authentication Material for a MS  MS  

 

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 – Generación de Claves en el AuC

GENERACIÓN DE LAS CLAVES SCK 



Las claves SCK introducidas en el AuC deben ser las mismas que las generadas en el PrC. El AuC AuC permite importar un archivo con las claves SCK deseadas. Es necesario que el archivo contenga las 32 claves SCK permitidas. 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Procedimiento 4-17: How to Import SCK into AUC



También es posible generar manualmente las claves SCK. 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Procedimiento 4-18: How to Modify an SCK in the AuC  AuC 

 

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 – Generación de Claves en el AuC

GENERACIÓN DE LAS CLAVES SCK 

Una vez generadas las claves SCK es necesario especificar cual será la clave activa en el sistema y cual será la siguiente clave activa, que entrará en vigor en caso que haya una actualización de claves manual o programada. 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Procedimiento 4-19: Setting the Next Active Active SCK in the AuC

 

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 - ÍNDICE 5.1   Modos de Operación  5.1 Operación 

 

5.2   5.2

Parámetros bases de datos de sistema (UCS) y zona (ZDS)

5.3   5.3

Generación de Claves en el PrC

5.4   5.4

Carga de Claves en Terminales Terminales

5.5

Transferencia de K-REF al Centro de Autenticación

5.6

Generación de claves en el AuC

5.7

Distribución de Claves Ki al ZC y a las EBTS

5.8

Configuración del codeplug de terminales

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 – Distribución de claves Ki al ZC y a las EBTS



Todas las claves generadas en el AuC excepto las claves Ki se distribuyen al resto de elementos de la red a través de la infraestructura Dimetra.



Las claves Ki se distribuyen a través del KVL a los controladores de zona y a las EBTS (TSC y BRC).

 



El procedimiento para la distribución de claves Ki a los controladores y EBTS es el especificado en el apartado “Generación de las Claves Ki”  visto anteriormente.



Una vez descargadas las claves Ki en los diferentes dispositivos es necesario volver a conectar el KVL al AuC para transferir los “acknowledges”. 

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 - ÍNDICE 5.1   Modos de Operación  5.1 Operación 

 

5.2   5.2

Parámetros bases de datos de sistema (UCS) y zona (ZDS)

5.3   5.3

Generación de Claves en el PrC

5.4   5.4

Carga de Claves en Terminales Terminales

5.5

Transferencia de K-REF al Centro de Autenticación

5.6

Generación de claves en el AuC

5.7

Distribución de Claves Ki al ZC y a las EBTS

5.8

Configuración del codeplug de terminales

 

Procedimiento para activar activar la secrafonía y autenticación en un sistema Dimetra 5.2 – Configuración del codeplug de terminales



Definición de parámetros de autenticación y secrafonía en el codeplug de la radio

 

 

ÍNDICE

 

1 

Concepto y tipos de secrafonía

2 

Autenticación

3 

Definición de claves

4

Equipamiento necesario para secrafonía y autenticación

5

Procedimiento para activar la secrafonía y autenticación en un sistema Dimetra 5.2

6

Recomendaciones para la renovación de claves

7

Consideraciones sobre compatibilidad en infraestructura y terminales

 

Recomendaciones para la renovación de claves



 

Se puede establecer un calendario de renovación de claves de secrafonía y autenticación. Como punto de partida se puede considerar la siguiente recomendacón proporcionada por el fabricante Motorola.

 

Recomendaciones para la renovación de claves



Procedimiento para configurar actualizaciones de claves programadas en el AuC: AuC: 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Booklet10-2: Managing Authentication, Authentication, Encryption and Provisioning Procedimiento 4-11: How to Schedule Key Updates for a Key Type



Procedimiento para actualizar manualmente las claves en el AuC: AuC: 6802800U11-Volume10_AuthenticationEncryptionandProvisioning_D52.pdf Booklet10-2: Managing Authentication, Authentication, Encryption and Provisioning Procedimiento 4-12: How to Perform Immediate Key Updates for a Key Type Type

 

 

ÍNDICE

 

1 

Concepto y tipos de secrafonía

2 

Autenticación

3 

Definición de claves

4

Equipamiento necesario para secrafonía y autenticación

5

Procedimiento para activar la secrafonía y autenticación en un sistema Dimetra 5.2

6

Recomendaciones para la renovación de claves

7

Consideraciones sobre compatibilidad en infraestructura y terminales

 

Consideraciones sobre compatibilidad en infraestructura y terminales

Autenticación

Secrafonía Clase 2 (Claves estáticas)

Secrafonía Clase 3 (Claves dinámicas)

MTH800

X X

X X

MTM700

A partir de MR 3.0

X X X X X

SwMI R5.2

MTP200/300 MTM300



Implicaciones:  



 

A partir de MR 3.0

El sistema puede configurarse para manejar diferentes modelos y versiones de terminales. Las estaciones base en las que estén registrados terminales de primera generación trabajarán en el modo de secrafonía Clase 2, ya que el modo de trabajo de la estación vendrá dado por el terminal de perfil de secrafonía inferior. Analizar si merece la pena configurar el sistema para trabajar en modo de Secrafonía Clase 3.

 

CURSO DE SECRAFONÍA RED DIMETRA 5.2

CURSO DE SECRAFONÍA RED DIMETRA 5.2 Jesús Garcés Febrero 2006