任何蜂窝网络中的安全通信都可以通过AKA流程来实现。AKA是一种认证和密钥管理过程，它涉及用户设备和网络之间的相互认证，并导出加密密钥来保护用户面和信令面数据。G均定义了一些认证方法，只允许合法用户访问网络，拒绝未经授权的用户。3GPP定义的EPS-AKA用于4GLTE，类似地用于5G，定义了以下三种认证方法
1.5G-AKA:5G认证和密钥管理
2.EAP-AKA：可扩展身份验证协议，身份验证和密钥管理
3.EAP-TLS：可扩展身份验证协议，传输层安全
5G中为什么需要新AKA流程？
安全和隐私问题对于任何新技术的成功都是非常关键和重要的。5G网络的可用性正在世界各地快速普及，新的用例正在引入。以往的G-RAN网络的安全和隐私问题，已经被安全专家和研究人员广泛研究。主要问题有：
1.网络欺骗：伪基站可以广播具有更强信号强度的不同跟踪区号，以引诱用户设备（UE）离开其合法蜂窝网络，向伪基站注册
2.缺乏保密性：通过拦截某些OTA信令消息，用户的隐私可能受到损害。例如，未加密的寻呼信息可用于检测特定用户的存在，甚至跟踪用户到精确位置
为了缓解这些问题，诸如3GPP之类的标准化机构已经定义了AKA协议和流程，该协议和流程支持用户认证、信令完整性和信令机密性以及其他安全属性。3GPPAKA协议工作于基于用户和网络之间共享的对称密钥的质询和响应认证协议。在用户和家庭网络之间的相互认证之后，导出加密密钥以保护用户和服务网络之间的进一步通信，包括控制面和用户面数据。
5GAKA框架
3GPP为核心网提出了一种基于服务的体系结构，其中包括新的网络实体和新的服务，以支持统一的认证框架。该框架采用5G-AKA、EAP-AKA和EAP-TLS三种认证方法，使5G-AKA流程既适用于开放网络，也适用于接入网络。这些框架允许通过一次认证执行建立多个安全上下文，允许UE从3GPP接入网络移动到非3GPP网络，而不必重新认证。该框架包括核心网内与5G认证相关的以下网络功能。
1.接入和移动性管理功能（AMF：AccessandMobilityManagementFunction）：它接收来自用户设备（UE）的所有连接和会话相关信息，但只负责处理连接和移动性管理任务。
2.安全锚定功能（SEAF：SecurityAnchorFunction）：它驻留在服务网络中（与AMF密切相关），并在UE与其家庭网络之间的认证过程中充当“中间人”。它可以拒绝来自UE的认证，但是它依赖于UE的家庭网络来接受认证。
3.身份验证服务器功能（AUSF：AuthenticationServerFunction）：它位于家庭网络内，通过UE执行身份验证。在使用5G-AKA或EAP-AKA时，它决定UE身份验证，但它依赖于后端来计算身份验证数据和密钥。
4.统一数据管理（UDM：Unifieddatamanagement）：类似于HSS/HLR实体，承载与数据管理相关的功能，如认证凭证存储库和处理功能（ARPF：AuthenticationCredentialRepositoryandProcessingFunction），它根据用户身份和配置的策略选择身份验证方法，并在需要时为AUSF计算身份验证数据和密钥。
5.订阅标识符去隐藏功能（SIDF：SubscriptionIdentifierDe-concealingFunction）：该功能对SUCI进行解密，以获得其长期身份，即SUPI，例如IMSI。在5G中，用户长期身份总是以加密形式通过无线接口传输。更具体地说，使用基于公钥的加密来保护SUPI。因此，只有SIDF可以访问与分发给UE用于加密其SUPI的公钥相关联的私钥。
6.非3GPP互通功能（N3IWF：Non-3GPPInterworkingFunction）：N3IWF是一个新引入的实体，它充当VPN服务器，允许UE通过IPsec隧道通过不受信任的非3GPP网络访问5G核心。通过一次认证执行可以建立多个安全上下文，从而允许UE从3GPP接入网络移动到非3GPP网络而不必重新认证。
5G-AKA身份验证流程
3GPP为5G定义了新的认证相关服务，如AUSF通过Nausf_UEAuthentication提供认证服务，UDM通过Nudm_UEAuthentication提供认证服务。下图显示了包括数据子集的序列和认证向量。
5GAKA和EAP-AKA是强制性的5G主身份验证方法。也可以选择使用其他基于EAP的身份验证方法。为了便于理解，我们将身份验证过程分为两个阶段。
第1阶段：5G认证启动和认证方法选择
第2阶段:UE和网络之间的相互认证
在阶段1期间，SEAF可在从UE接收到NAS信令消息（RegistrationRequest,ServiceRequest等）之后启动认证过程。
1.如果GUTI没有被服务网络分配，UE应该向SEAF发送一个临时标识符作为GUTI或者一个加密的永久标识符，例如SUCI。在5G中，不允许UE的永久标识符（例如IMSI）通过无线网络以明文形式发送。这是对前几代（如4G）安全性的重大改进。
2.在接收到来自UE的注册请求时，SEAF向AUSF发送认证请求（NausfUEAuthenticationrequest）消息，其中包含服务网络名称（SNN：servingnetworkname）和SUPI（如果可用且5GGUTI有效）或SUCI。SNN是服务代码和服务网络标识（SNid：ServingNetworkIdentity）的串联。
3.在接收到认证请求时，AUSF检查请求的SEAF是否被授权使用SNN，SNN是5G中的家庭控制的一种形式。如果服务网络没有被授权使用SNN，AUSF在身份验证响应（NausfUEAuthenticationauthenticateResponse）中以“servingnetworknotauthorized”进行响应。
4.从AUSF到UDM/ARPF/SIDF的认证信息请求（NudmUEAuthenticationGetRequest）包括SUCI或SUPI和SNN。调用SIDF来对SUCI解除SUPI的隐藏。UDM/ARPF根据SUPI和订阅数据选择要使用的身份验证方法。
在第2阶段，在选择身份验证方法时，进行相互身份验证。5G中涉及的认证流程。以下步骤简要说明了EAP-AKA和5GAKA。
验证向量（AV：AuthenticationVector）生成：
1.EAP-AKA：除UDM/ARPF的认证向量（AV）推导外，认证过程如RFC所述。UDM/ARPF首先生成AMF分离位为1的AV，并从CK、IK和SNN生成CK和IK。UDM/ARPF随后将该转换后的AV（RAND、AUTN、XRES、CK、IK’）发送到AUSF，并指示该AV将用于EAP-AKA’。
2.5GAKA:UDM/ARPF从CK、IK和SNN中导出KAUSF，并生成5G家庭环境AV（5GHEAV），其中5GHEAV包含RAND、AUTN、XRES*和KAUSF。5G在authenticationinformationRequestResponse消息中将AV发送到AUSF。AUSF存储KAUSF和XRES*直到到期。
AUSF从KAUSF派生KSEAF（锚密钥），并用KSEAF、AUTN和RAND在Nausf_UE_Authentication_AuthenticateResponse消息中将质询消息发送给SEAF。在5G的情况下，也发送HXRES*。
在接收到RAND和AUTN时，USIM计算响应RES并将RES、CK、IK返回给UE。在5GAKA的情况下，ME另外从RES计算RES*。然后UE在NAS消息AuthenticationResponse中向SEAF发送质询响应消息。在NausfUE_authenticationauthenticateRequest消息中，SEAF将响应质询消息转发给AUSF。在5GAKA的情况下，SEF从RES*计算HRES*，并将HRES*与HXRES*进行比较。如果值相同，则SEAF认为认证成功，并在Nausf_UE_authenticationauthenticateRequest消息中将接收到的RES*（包含SUPI或SUCI和SNN）发送给AUSF。AUSF验证消息以支持增强的家庭控制，如果验证成功，AUSF将按照下面解释的身份验证方法进行操作。注意，如果AUSF从SEAF接收到SUCI，那么AUSF还包括5G-AuthenticationConfirmationAnswer消息中的SUPI。1.EAP-AKA：当成功验证AUSF接收到的EAP-Response/AKA’-Challenge时，家庭网络中的AUSF和UDM获得UE已成功认证的确认。AUSF从CK和IK派生EMSK，如RFC所述。AUSF然后使用EMSK的前位作为KAUSF，并从KAUSF导出锚密钥KSEAF。AUSF将EAPSuccess消息与KSEAF一起发送到Nausf_UEAuthenticationAuthenticateResponse中的SEAF。
2.5GAKA:AUSF将接收到的RES*与存储的XRES*进行比较，如果它们相等，AUSF将确认消息视为已成功验证，并将其指示给SEAF。
归属网络中的AUSF和UDM获得UE已成功认证的确认。
SEAF在N1消息中向UE发送成功消息。然后，SEAF从KSEAF和SUPI获得KAMF，并将其发送给AMF。在接收到成功消息时，UE以与AUSF相同的方式导出KAUSF和KSEAF，并从KSEAF和SUPI导出KAMF。SEF向AMF提供ngKSI和KAMF。5GKeyHierarchy：添加
5G和4GAKAComparison：待添加