AUSF편집자 확인

AUSF는 5G 네트워크에서 사용자 장치(UE)의 신원을 확인하고 네트워크 접근 권한을 부여하는 핵심 기능을 담당한다. 이 과정은 3GPP 표준에 정의된 5G-AKA 또는 EAP-AKA' 프로토콜을 통해 수행된다. AUSF는 UDM으로부터 사용자의 구독 정보와 인증 벡터를 수신한 후, 이를 기반으로 AMF를 통해 사용자 장치와의 인증 교환을 완료한다. 인증이 성공하면 AUSF는 AMF에 최종 성공 결과를 전달하고, AMF는 이를 바탕으로 사용자의 세션을 설정한다.

인증 절차는 크게 두 가지 주요 유형으로 구분된다. 첫째는 5G-AKA(Authentication and Key Agreement) 방식으로, 기존 4G EPS-AKA를 발전시켜 향상된 보안성을 제공한다. 둘째는 EAP-AKA' 방식으로, 비3GPP 접근 네트워크(예: Wi-Fi)를 통한 5G 코어 네트워크 접속 시 사용된다. 두 방식 모두 상호 인증을 보장하여, 사용자가 진짜 네트워크에 접속하는지, 네트워크도 진짜 사용자를 수용하는지 양방향으로 확인한다.

권한 부여는 인증 성공 후, 사용자가 요청하는 서비스나 데이터 세션에 대한 접근을 허용할지 여부를 결정하는 과정이다. AUSF는 UDM으로부터 받은 구독 프로파일 정보를 참조하여 사용자의 서비스 등급, 로밍 허용 여부, 접근 가능한 DNN 목록 등을 확인한다. 이를 통해 네트워크는 사용자에게 적절한 수준의 서비스 품질(QoS)과 정책을 적용할 수 있다.

인증 및 권한 부여 과정에서 생성되는 보안 키는 SEAF를 거쳐 AMF와 사용자 장치에 안전하게 분배된다. 이 키들은 이후의 모든 통신 구간에 대한 암호화와 무결성 보호의 기초가 된다. AUSF의 이러한 역할은 5G 네트워크의 신뢰 기반을 형성하고, 무단 접근을 차단하여 네트워크와 사용자 데이터의 보안을 유지하는 데 필수적이다.

AUSF는 5G 네트워크에서 사용자 인증 과정 중 생성되는 여러 보안 키의 안전한 생성, 유도, 분배를 담당하는 핵심 기능을 수행한다. 이 과정은 3GPP 표준인 TS 33.501에 명시된 보안 프레임워크를 기반으로 한다.

AUSF의 키 관리 절차는 주로 5G-AKA 또는 EAP-AKA' 인증이 성공적으로 완료된 후 시작된다. AUSF는 인증 서버 기능을 가진 UDM/ARPF로부터 최상위의 장기 비밀 키인 CK(Ciphering Key)와 IK(Integrity Key)를 전달받는다. AUSF는 이를 기반으로 5G 시스템 전용의 최상위 비밀 키인 K_AUSF를 유도한다. 이후 K_AUSF를 근간으로 하여 다른 네트워크 기능이 사용할 보안 키들을 계층적으로 유도해낸다. 이 키 계층 구조의 핵심은 다음과 같다.

AUSF는 유도된 K_SEAF를 해당 접속 지점을 관리하는 SEAF(일반적으로 AMF에 위치)에 안전하게 전달한다. 이후 SEAF는 K_SEAF로부터 AMF와 UE 간의 접속 비밀키인 K_AMF를 추가로 유도한다. 이 계층적 키 유도 방식은 한 키가 노출되더라도 다른 키나 최상위 비밀 키가 직접 노출되는 것을 방지하는 키 분리 원칙을 구현한다. 모든 키 유도에는 표준화된 KDF(Key Derivation Function)가 사용되며, 네트워크 도메인 식별자, 시퀀스 번호 등과 같은 바인딩 입력 파라미터를 포함하여 재전송 공격을 방지한다.

이러한 키 관리 체계는 4G EPS-AKA 방식에 비해 중요한 진화를 보인다. 5G에서는 서비스 영역별로 다른 K_SEAF를 제공함으로써 한 서비스 영역에서의 키가 타 영역에서 재사용되는 것을 방지하는 서비스 영역 키 분리를 지원한다. 또한, AUSF는 인증 과정에서 SUCI(Subscription Concealed Identifier)를 사용한 프라이버시 보호 메커니즘과 연동되어, 장기 구독 식별자(SUPI)가 무선 구간을 통해 평문으로 전송되지 않도록 보장한다.

AUSF는 5G 코어 네트워크에서 사용자 인증 이후 생성되는 보안 컨텍스트와 관련 세션 정보를 관리하는 역할을 담당한다. 이 세션 정보는 AMF가 무선 접속 구간의 보안을 설정하고 유지하는 데 필수적인 기반이 된다. AUSF는 성공적인 인증 절차를 완료하면, 해당 구독자의 인증 결과와 함께 파생된 주요 보안 키를 안전하게 저장하고, AMF의 요청에 따라 이를 제공한다.

세션 관리의 핵심은 SEAF를 통해 AMF에게 전달되는 Anchor Key이다. AUSF는 이 키와 인증 성공 여부를 기록하며, AMF가 새로운 보안 컨텍스트를 설정할 수 있도록 지원한다. 이를 통해 단말(UE)과 네트워크 간의 신뢰할 수 있는 통신 세션이 수립되고, 이후의 모든 데이터 전송이 암호화 및 무결성 보호를 받을 수 있다. AUSF는 세션의 상태(활성/비활성)를 모니터링하지는 않지만, 인증 자체의 유효성과 그로부터 파생된 키 자료의 무결성을 보장하는 책임을 진다.

인증 세션의 효율적인 관리를 위해 AUSF는 일정 시간 동안 인증 결과를 캐싱할 수 있다. 이는 동일한 단말이 짧은 시간 내에 반복적으로 인증을 시도할 때(예: 연결 복구 시), 불필요한 전체 인증 절차를 UDM/ARPF와 다시 수행하지 않고도 빠르게 재인증을 처리할 수 있게 한다. 이러한 캐싱 메커니즘은 네트워크 부하를 줄이고 인증 지연을 최소화하는 데 기여한다.

AUSF는 5G 코어 네트워크의 핵심 구성 요소 중 하나로, 인증 서버 기능을 담당합니다. 5G 코어는 서비스 기반 아키텍처를 채택하여 기존의 노드 간 지점 간 연결 방식에서 벗어나, 네트워크 기능들이 HTTP/2 기반의 표준화된 인터페이스를 통해 서로 통신합니다.

5G 코어 네트워크는 크게 제어 평면과 사용자 평면으로 구분되며, AUSF는 제어 평면에 속하는 여러 네트워크 기능 중 하나입니다. AUSF와 함께 주요 제어 평면 기능으로는 AMF, SMF, UDM, PCF 등이 있습니다. 각 기능은 독립적으로 배포되고 확장될 수 있는 소프트웨어 형태로 구현됩니다.

다음은 5G 코어 네트워크의 주요 제어 평면 구성 요소와 간단한 역할을 나타낸 표입니다.

이러한 구성 요소들은 서비스 기반 인터페이스를 통해 서로 연결되어 협력하며, AUSF는 주로 UDM으로부터 사용자의 인증 정보를 받고, AMF를 통해 사용자 장치와의 인증 절차를 조정합니다.

AUSF는 5G 코어 네트워크에서 UDM 및 AMF와 긴밀하게 협력하여 종단 사용자의 인증을 완료하는 핵심 구성 요소이다. 이들 사이의 연동은 신뢰할 수 있는 인증 데이터의 교환과 인증 절차의 원활한 실행을 보장한다.

AUSF는 UDM으로부터 사용자의 인증 자격 증명을 획득한다. 구체적으로, UDM은 ARPF를 통해 사용자의 장기 키(K)와 같은 중요한 인증 데이터를 보유하고 있다. AMF가 사용자 인증을 요청하면, AUSF는 UDM에 접속하여 해당 사용자에 대한 인증 정보를 요청하고 수신한다[1]. AUSF는 이 데이터를 기반으로 인증 벡터를 생성하거나, EAP-AKA' 절차에서는 인증자 역할을 수행한다. 인증이 성공하면, AUSF는 그 결과를 UDM에 전달하여 인증 상태를 동기화한다.

인증 절차의 실행에서는 AMF가 AUSF와 직접 소통한다. AMF는 사용자 장비(UE)로부터의 인증 요청을 중계하는 역할을 하며, AUSF는 실제 인증 연산을 수행한다. 인증 과정에서 생성된 보안 키(예: SEAF 키)는 AUSF에 의해 AMF로 안전하게 전달된다. 이후 AMF는 이 키를 사용하여 UE와의 추가 보안 통신을 위한 키를 유도한다. 이 연동 구조는 인증 기능을 전문화된 AUSF에 집중시켜 네트워크 설계를 효율화하고, AMF가 세션 관리 등 다른 주요 기능에 집중할 수 있게 한다.

5G-AKA는 3GPP 표준에서 정의된 5G 네트워크의 기본 인증 및 키 합의 절차이다. 이 절차는 가입자 식별 모듈을 사용하는 가입자 장치(UE)가 네트워크에 접속할 때 상호 인증과 보안 키를 설정하는 데 사용된다. AUSF는 이 절차의 핵심 구성 요소로서, 인증 요청을 중계하고 최종 인증 결과를 결정하는 역할을 한다.

절차는 일반적으로 다음과 같은 단계로 진행된다. 먼저, UE가 무선 접속망을 통해 AMF에 접속을 시도한다. AMF는 UE의 임시 식별자 또는 영구 식별자를 확인하고, 해당 인증 요청을 AUSF로 전달한다. AUSF는 UDM/ARPF에 접속하여 해당 가입자의 인증 자격 증명(예: 장기 키 K)을 요청한다. UDM/ARPF는 인증 벡터를 생성하여 AUSF로 응답한다. 이 인증 벡터에는 난수(RAND), 예상 응답(XRES), 네트워크 인증 토큰(AUTN), 그리고 보안 키(KAUSF)가 포함된다.

AUSF는 UE로부터 받은 응답(RES)과 UDM/ARPF로부터 받은 예상 응답(XRES)을 비교하여 인증의 최종 성공 또는 실패를 판단한다. 인증이 성공하면, AUSF는 인증 과정에서 도출된 보안 키(KAUSF)를 기반으로 AMF/SEAF와 공유할 세션 키를 유도한다. 이렇게 설정된 키 계층 구조는 이후의 모든 통신 보안의 기초가 된다. 5G-AKA 절차는 네트워크와 사용자 장치 간의 상호 신원 확인을 보장하며, 4G의 AKA 절차를 보안성과 프라이버시 측면에서 개선한 것이다[3].

EAP-AKA'는 5G 네트워크에서 AUSF가 주관하는 주요 인증 방법 중 하나이다. 이 절차는 3GPP 표준 TS 33.501에 정의되어 있으며, 기존 4G에서 사용되던 EAP-AKA를 기반으로 보안성을 강화한 프로토콜이다. 핵심 개선점은 키 유도 함수에 서빙 네트워크의 이름을 포함시켜, 서로 다른 네트워크 간에 동일한 장기 키가 재사용되는 것을 방지하는 것이다. 이는 네트워크 간 핸드오버 시 발생할 수 있는 보안 취약점을 해결한다.

절차는 AMF가 UE로부터 인증 요청을 받으면서 시작된다. AMF는 인증 서버인 AUSF에게 SUCI 또는 SUPI를 포함한 인증 요청을 전달한다. AUSF는 UDM/ARPF에게 접속하여 해당 가입자의 인증 벡터를 요청한다. UDM/ARPF는 EAP-AKA'에 필요한 인증 벡터(랜덤 챌린지 RAND, 네트워크 인증 토큰 AUTN, 예상 응답 XRES*, 그리고 암호화 키 CK'와 무결성 키 IK')를 생성하여 AUSF에 제공한다.

AUSF는 AMF를 통해 UE에게 RAND와 AUTN을 전달한다. UE는 내부의 USIM 카드를 사용하여 AUTN을 검증하고, RAND로부터 응답 RES*와 동일한 키(CK', IK')를 생성한다. UE는 생성한 RES*를 AMF와 AUSF를 통해 다시 네트워크 측에 회신한다. AUSF는 UE로부터 받은 RES*와 UDM으로부터 미리 받아둔 XRES*를 비교하여 일치 여부를 확인한다. 인증이 성공하면, AUSF는 상위 키인 K_AUSF를 유도하고, 이를 바탕으로 이후 통신에 사용될 일련의 보안 키들을 생성한다. 최종적으로 AUSF는 인증 성공 결과와 함께 AMF에게 필요한 보안 자료를 전송하여 세션을 설정한다.

다음 표는 5G-AKA와 EAP-AKA' 절차의 주요 차이점을 보여준다.

AUSF의 기능, 인터페이스, 절차는 3GPP의 5G 시스템 아키텍처 표준에 명시되어 있습니다. 핵심 사양은 3GPP TS 23.501 (시스템 아키텍처), TS 23.502 (절차), TS 33.501 (보안 아키텍처 및 절차)에 정의되어 있으며, AUSF의 세부 서비스 기반 인터페이스는 TS 29.509에서 규정합니다.

주요 표준 문서와 AUSF 관련 내용은 다음과 같습니다.

표준화는 릴리스 15에서 처음 도입된 이후 지속적으로 개선되어 왔습니다. 초기 릴리스에서는 기본 인증 흐름과 UDM/ARPF와의 연동이 정의되었고, 이후 릴리스에서는 다중 액세스 환경 지원, 서비스 기반 아키텍처에서의 효율적 운영, 향상된 보안 프로토콜 적용 등이 추가되었습니다.

5G 네트워크의 상용화와 함께, AUSF는 주요 통신 장비 업체와 클라우드 솔루션 제공업체의 제품 포트폴리오에 필수 구성 요소로 포함되었다. 에릭슨, 노키아, 화웨이, 삼성전자 등은 5G 코어 네트워크 솔루션의 일부로 AUSF 기능을 구현하여 전 세계 이동통신사에 공급하고 있다[5]. 이러한 구현들은 주로 가상화 및 클라우드 네이티브 원칙에 기반하여, 컨테이너 기술(예: 도커)과 오케스트레이션 플랫폼(예: 쿠버네티스) 위에서 마이크로서비스 형태로 배포된다.

초기 5G 독립 구성(SA) 네트워크의 론칭은 주로 AUSF를 포함한 완전한 5G 코어 네트워크의 도입과 함께 진행되었다. 예를 들어, 미국의 T-Mobile, 중국의 China Mobile, 일본의 NTT Docomo 등 여러 선도 이동통신사가 5G SA 네트워크를 상용 서비스하면서 AUSF 기능이 실제 가입자 인증에 활용되기 시작했다. 이들은 주로 네트워크 슬라이싱을 지원하는 유연한 아키텍처의 일환으로 AUSF를 도입했다.

아래 표는 AUSF 기능이 포함된 주요 상용 5G 코어 솔루션의 예시를 보여준다.

상용화 과정에서 AUSF는 높은 가용성, 낮은 지연 시간, 그리고 초당 처리 가능한 인증 요청 수(TPS)와 같은 성능 요구사항을 충족해야 했다. 또한, 이동통신사는 기존 4G HSS와의 연동을 통한 부드러운 진화 경로를 요구했으며, 이는 AUSF와 UDM이 결합된 통합 솔루션 형태나 별도 네트워크 기능으로의 배포 등 다양한 상용 모델로 이어졌다.