Broadband Wireless Access (BWA) – Media Access Control (MAC) nach IEEE 802.16

Logischer Eintritt in das Netz

Jede SS enthält sowohl ein vom Hersteller ausgegebenes und in der Fabrik installiertes eigenes digitales Zertifikat nach X.509 als auch das Zertifikat des Herstellers. Diese Zertifikate verbinden die 48-Bit MAC-Adresse der SS und ihren öffentlichen RSA-Schlüssel und werden in den Authorization-Request- und Authorization-Information-Nachrichten von der SS an die BS geschickt. Das Netz ist damit in der Lage, die Identität und das Niveau der Authorisation zu prüfen.

Wenn die SS dazu authorisiert ist, das Netzwerk zu betreten, wird die BS auf den Request mit einem Authorization Reply antworten, der einen Authorisationsschlüssel enthält, der mit dem öffentlichen Schlüssel der SS verschlüsselt ist und für spätere sichere Transaktionen benutzt werden kann. Nach erfolgreicher Authorisierung registriert sich die SS im Netz. Dies baut die Secondary-Management-Verbindung auf und legt die Möglichkeiten fest, die hinsichtlich der allgemeinen MAC-Betriebsweise bestehen.

Auch die IP-Version, die für die Kommunikation benutzt werden soll, wird festgelegt. Nach der Registrierung bekommt die SS über den DHCP-Server eine eigene IP-Adresse und die Adresse desjenigen TFTP-Servers, von dem sie eine Konfigurationsdatei laden kann. Diese Datei liefert eine Standardschnittstelle für herstellerspezifische Konfigurationsinformationen. IEEE 802.16 benutzt das Konzept der Service-Flows zur Definition von Paketströmen im Up- oder Downlink. Service Flows sind durch eine Menge von QoS-Parametern wie Delay oder Jitter charakterisiert. Um Netzressourcen und Speicher optimal auszunutzen, nimmt 802.16 ein zweiphasiges Aktivierungsmodell, in dem Ressourcen, die einem aktuellen Service Flow zugeordnet sind, solange nicht tatsächlich zugeordnet werden, bis der Service Flow aktiviert ist.

Jeder vordefinierte oder aktivierte Service-Flow wird mit einer eigenen CID auf eine MAC-Verbindung abgebildet. Die Service-Flows werden bei 802.16 meistens vordefiniert und während der Eingliederung einer SS von der BS initialisiert. Service Flows können aber sowohl von der BS als auch von der SS auch dynamisch etabliert werden. Das Aufsetzen eines Service Flows geschieht mit einem Dreiwege-Handshake. Neben der dynamischen Zuordnung von ganzen Flows können auch innerhalb eines Flows Parameter dynamisch geändert werden, wenn die Verkehrsprofile dies erfordern.

Datenschutz

Die Eingliederungsprozedur ist im Vergleich zu anderen Funksystemen sehr stark durchdefiniert und nach heutigem Stand der Technik als sicher zu bezeichnen. Zusätzlich gibt es dann ja noch den Privacy Sublayer. Er basiert in seiner Grundfunktionalität auf dem PKM der DOCSIS BP+-Spezifikation, wurde aber zur nahtlosen Integration in die IEEE 802.16 MAC angereichert. Dies betrifft im Wesentlichen die Möglichkeit der Verwendung stärkerer Verschlüsselungsverfahren wie AES.

Die PKM ist um das Konzept der Security Associations (SAs) gebaut. Eine SA ist eine Menge von kryptographischen Methoden mit zugehörigem Schlüsselmaterial. Jede SS definiert mindestens eine SA während der Initialisierungsphase. Mit Ausnahme der Basis- und primären Management-Verbindungen wird jede Verbindung entweder während des Verbindungsaufbaus oder dynamisch während der laufenden Verbindungsoperation auf eine SA abgebildet.

Zurzeit benutzt das PKM-Protokoll digitale Zertifikate nach X.509 mit RSA-Verschlüsselung für die SS-Authentifikation und den Schlüsselaustausch. Für die Verschlüsselung des laufenden Verkehrs ist DES im Cipher Block Chaining Modus (CBC) mit 56 Bit langen Schlüsseln die Standardmethode. Der CBC-Initialisierungsvektor ist vom Frame Counter abhängig und ändert sich von Frame zu Frame.

Um während der normalen Operation die hohe Anzahl der notwendigen Rechenschritte zu reduzieren, werden die Schlüssel mittels 3DES übertragen, wobei der Schlüssel dazu vom Authorization-Schlüssel abgeleitet wird. Die PKM-Protokollnachrichten selbst werden durch das Hashed Message Authentication Code Protocol (HMAC-Protokoll) mit SHA-1 authentisiert. Zusätzlich werden die Nachrichten lebenswichtiger MAC-Funktionen, wie z.B. die des Verbindungsaufbaus, mit dem PKM-Protokoll geschützt.

An dieser Stelle konnten die Funktionen nur grob dargestellt werden. Es sollte aber klar geworden sein, dass hier eine von Anfang bis Ende durchkonstruierte Gesamtlösung vorliegt, die sich durch entsprechende Schnittstellen auf noch stärkere Verschlüsselung aufrüsten lässt und damit das ganze WLAN-Gewusel in dieser Hinsicht völlig in den Schatten stellt.