Всё, что стоит знать, и ничего лишнего.
Что это на самом деле делает
Milenage построен на основе пяти вызовов AES-128 (f1, f1*, f2, f3, f4, f5) с ключом Ki, при этом OPc используется для разделения доменов для каждого оператора. Сеть отправляет RAND, SIM/eUICC запускает Milenage с использованием сохраненных Ki/OPc, возвращает RES плюс параметры аутентификации. Сеть проверяет RES на соответствие собственным вычислениям. Если они совпадают, абонент аутентифицируется, и вычисляются сессионные ключи CK/IK. Этот же процесс выполняется при каждом подключении к соте, каждом ответе на пейджинг, каждом запросе аутентификации — миллиарды раз в день по всему миру.
Почему это важно с коммерческой точки зрения
Milenage — это причина, по которой операторы могут доверять устройству: без него нет сети оператора, нет SMS, нет голосовой связи, нет передачи данных. Для eSIM Subscription Manager персонализация профиля означает запись уникальной пары Ki + OPc в новый ISD-P. Сгенерированная пара Ki/OPc должна быть криптографически надежной, архивирована для предоставления HLR/HSS и никогда не передаваться в открытом виде за пределы HSM. Платформа eSIM VSM от BroadNet (/operators/esim-vsm) генерирует Milenage Ki/OPc внутри среды HSM уровня FIPS 140-2 Level 3.
Задержка, масштаб и соответствие требованиям.
Процесс Milenage на современных SIM-картах/eUICC занимает 5-20 мс. В масштабируемых системах HSS генерация векторов аутентификации в пакетном режиме работает со скоростью 10-50 тысяч векторов в секунду на каждый HSM. Соответствие требованиям: Milenage является стандартным алгоритмом, предписанным GSMA для 4G; TUAK — альтернатива для профилей с более высоким уровнем безопасности (см. /answers/tuak-algorithm). Все материалы Milenage Ki/OPc подпадают под аудит хранения ключей SAS-SM.
Вопросы конфиденциальности и соблюдения нормативных требований
Компрометация Ki/OPc означает, что абонента можно выдать за другого человека, а его трафик расшифровывать бесконечно. Восстановление возможно только путем создания нового профиля. Именно поэтому Ki никогда не покидает защищенный элемент на стороне устройства, почему резервные копии базы данных HSS зашифрованы и имеют контроль доступа, и почему церемонии HSM для генерации Ki используют двойной контроль с разделением ключей. Весь режим SAS-SM существует, по сути, для защиты ключевого материала Milenage.