SAID je jedinečný identifikátor bezpečnostní asociace (Security Association), který odkazuje na sadu bezpečnostních parametrů, jako jsou klíče a algoritmy, používaných k zabezpečení komunikačních spojení pro služby jako IMS a MMTel.

Popis

Security Association Identifier (SAID) je klíčovou součástí bezpečnostních rámců 3GPP, zejména těch, které řídí Generic Bootstrapping Architecture (GBA) a její aplikaci na zabezpečení aplikační vrstvy. Bezpečnostní asociace (SA) je sama o sobě sada vyjednaných bezpečnostních parametrů, které dvě entity sdílejí pro umožnění zabezpečené komunikace. Tyto parametry zahrnují kryptografické klíče, bezpečnostní algoritmy (např. pro šifrování a ochranu integrity), životnost klíčů a sekvenční čísla. SAID je stručný štítek nebo odkaz, který tuto konkrétní sadu parametrů jednoznačně identifikuje mezi zúčastněnými stranami.

V praktickém provozu se SAID používá k efektivní správě a vyhledávání bezpečnostních kontextů. Například v postupech založených na GBA pro zabezpečení IMS aplikací, jako je Multimedia Telephony (MMTel), si Network Application Function (NAF) a User Equipment (UE) vytvoří sdílený bezpečnostní kontext odvozený z dlouhodobých přihlašovacích údajů v Universal Subscriber Identity Module (USIM). Tento proces vede ke generování klíčů specifických pro aplikaci (Ks_NAF) a přidružených parametrů. SAID je tomuto kontextu přidělen. Následně, když UE potřebuje komunikovat zabezpečeně s danou NAF, může odkazovat na SAID místo opětovného spuštění celého bootstrapovacího procesu, což umožňuje rychlé a efektivní obnovení relace.

SAID je přenášen v rámci protokolových zpráv. V kontextu definovaném specifikací TS 33.224 se používá v bezpečnostním protokolu pro služby MMTel přes IMS. Identifikátor umožňuje přijímající entitě (např. NAF nebo Media Security Controller) vyhledat správnou sadu klíčů a algoritmů ze své lokální bezpečnostní databáze. Tento mechanismus odděluje identifikátor od citlivého klíčového materiálu, čímž zvyšuje bezpečnost tím, že se klíče nepřenášejí v otevřené podobě. Správa SAID, včetně jejich vytváření, používání a případného vypršení platnosti nebo odstranění, je nedílnou součástí správy životního cyklu zabezpečených relací v sítích 3GPP, což zajišťuje, že služby mohou být chráněny s minimální latencí a signalizační režií.

K čemu slouží

SAID byl zaveden, aby řešil potřebu efektivní a škálovatelné správy zabezpečení relací v IP služebních sítích, konkrétně v IMS. Jak se sítě 3GPP vyvíjely k poskytování pokročilých multimediálních služeb (hlas přes IP, videohovory atd.), požadavek na robustní, pro službu a relaci specifické zabezpečení se stal prvořadým. Pouhé znovupoužití klíčů zabezpečení přístupu k jádru sítě bylo pro aplikační vrstvu nedostatečné a nebezpečné. GBA poskytla metodu pro odvození služebně specifických klíčů, ale byl potřebný mechanismus pro správu více bezpečnostních kontextů, které může jediný uživatel mít s různými aplikačními servery (NAF).

Bez identifikátoru, jako je SAID, by entity musely buď ukládat jediný implicitní kontext (což je nepružné), nebo pro každou novou relaci znovu provádět ověřování a znovu vytvářet klíče, což by vytvářelo nadměrné signalizační zpoždění a zátěž. SAID tento problém řeší tím, že poskytuje odlehčený referenční ukazatel. Umožňuje UE a NAF rychle se dohodnout na tom, kterou předem vytvořenou sadu bezpečnostních parametrů použít pro danou komunikační relaci. To je zásadní pro kontinuitu služeb, rychlé navázání relace (důležité pro dobu navázání hovoru) a pro scénáře, kdy je relace dočasně pozastavena a později obnovena.

Specifikace v TS 33.224 umisťuje SAID do bezpečnostního protokolu pro MMTel, což zdůrazňuje jeho roli při umožňování zabezpečených mediálních proudů v reálném čase. Řeší problém vázání zabezpečení na konkrétní aplikační relace způsobem, který lze spravovat. Vytvořením identifikovatelné bezpečnostní asociace může síť poskytnout silné bezpečnostní záruky pro citlivé mediální toky při zachování výkonu a uživatelského komfortu očekávaného od služeb na úrovni telekomunikací.

Klíčové vlastnosti

• Jednoznačně identifikuje sadu bezpečnostních parametrů (klíče, algoritmy) mezi dvěma entitami
• Umožňuje efektivní vyhledání a znovupoužití již vytvořených bezpečnostních kontextů
• Ústřední prvek pro obnovení relace a rychlé navázání zabezpečeného spojení v GBA
• Používá se v bezpečnostních protokolech pro služby založené na IMS, jako je MMTel
• Odděluje klíčový materiál od identifikace relace pro zvýšení bezpečnosti
• Podporuje správu životního cyklu (vytvoření, použití, vypršení platnosti) bezpečnostních asociací

Definující specifikace

• TS 33.224 (Rel-19) — Generic Push Layer (GPL) Specification

📖 Anglický originál a plná specifikace: SAID na 3GPP Explorer