PUR-AUTHENTICATIONFAILURE常见原因有哪些？

Question

在SIP协议通信中，出现PUR-AUTHENTICATIONFAILURE（注册更新请求认证失败）的常见原因包括：鉴权凭证错误（如IMPI/IMPU不匹配或密钥错误）、AKA鉴权参数（如AUTN、RAND）校验失败、HSS/AAA服务器未同步用户鉴权数据、客户端时间不同步导致AUTN验证失效，以及网络安全密钥协商（IK/CK）不一致。此外，信令路径中P-CSCF或I-CSCF转发异常，或用户会话状态过期后未重新完整注册，也可能触发该故障。排查时应重点检查Cx/Dx接口消息及USIM卡鉴权向量匹配情况。

Answer 1

一、SIP协议中PUR-AUTHENTICATIONFAILURE的常见原因解析

在基于IMS（IP Multimedia Subsystem）架构的SIP通信系统中，用户注册更新过程中若返回PUR-AUTHENTICATIONFAILURE错误码，通常表明鉴权流程未能通过。该问题涉及多个层级的交互，包括终端USIM卡、P-CSCF/I-CSCF/S-CSCF网元、HSS/AAA服务器以及底层AKA（Authentication and Key Agreement）机制。

1.1 鉴权凭证错误：IMPI与IMPU不匹配或密钥配置异常

• IMPI（IP Multimedia Private Identity）用于网络侧识别用户身份，常绑定于USIM卡中的ISIM应用。
• IMPU（IP Multimedia Public Identity）是用户对外通信使用的公有标识，如SIP URI。
• 当HSS中存储的IMPI与客户端提交的不符，或K值（长期密钥）在USIM和HSS之间不一致时，将导致AKA挑战失败。
• 典型场景：更换USIM卡后未同步HSS数据，或手动配置IMPI出错。

1.2 AKA鉴权参数校验失败：AUTN与RAND验证异常

在SIP REGISTER请求后的401 Unauthorized响应中，服务器会携带Authentication-Info头字段，包含RAND、AUTN等参数：

参数	作用	常见故障点
RAND	随机数，用于生成加密挑战	重复使用或熵值不足
AUTN	鉴权令牌，含SQN序列号与MAC	SQN超出窗口范围导致拒绝
IK/CK	会话密钥，用于后续安全通信	协商不一致引发完整性校验失败

1.3 HSS/AAA服务器数据不同步

分布式部署环境下，多个HSS节点间若未实现实时同步，可能导致以下问题：

1. 主备HSS之间的用户鉴权向量（Authentication Vectors, AVs）未及时复制；
2. Diameter Cx接口消息（如UAR/UAA）中返回空AV或过期向量；
3. AAA服务器缓存旧密钥，无法匹配当前会话上下文。

1.4 客户端时间不同步导致AUTN验证失效

AUTN中的SQN（Sequence Number）依赖隐式时间戳机制防重放攻击。若UE本地时钟偏差过大：

// 示例：AUTN解码失败日志片段
[AKA] AUTN validation failed: SQN received=0x1A2B3C, expected window=[0x1A2B40, 0x1A2C40]
Cause: UE clock drift detected (>16 seconds)
Action: Trigger full re-authentication with new vector
    

1.5 网络安全密钥（IK/CK）协商不一致

IK（Integrity Key）与CK（Ciphering Key）由AKA算法生成，用于SRTP/IPsec保护媒体流。若两端派生密钥不一致：

• S-CSCF认为消息被篡改，丢弃REGISTER更新；
• Wireshark抓包显示“Integrity check failed”；
• 多见于跨厂商设备兼容性问题或软件版本差异。

二、信令路径与会话状态相关故障分析

2.1 P-CSCF或I-CSCF转发异常

在多层代理结构中，P-CSCF作为第一跳代理，可能因以下原因影响鉴权流程：

网元	职责	潜在问题
P-CSCF	转发REGISTER至I-CSCF	修改头域导致签名失效
I-CSCF	查询HSS定位S-CSCF	HSS连接中断返回错误应答
S-CSCF	执行鉴权挑战	未正确处理AUTN响应

2.2 用户会话状态过期未重新完整注册

当初始注册成功但后续刷新超时，部分设备可能尝试仅发送UPDATE而省略完整认证流程，违反RFC 3310要求。

// SIP Flow Snippet: Missing Authorization Header in Re-REGISTER
REGISTER sip:ims.example.com SIP/2.0
Via: SIP/2.0/TCP ue.local;branch=z9hG4bK...
From: <sip:[e-mail]>;tag=abc123
To: <sip:[e-mail]>
Call-ID: 12345@ue
CSeq: 2 REGISTER
Expires: 3600
Contact: <sip:[e-mail]:5060>
Content-Length: 0

// ❌ 缺失Authorization头 → 触发PUR-AUTHENTICATIONFAILURE
    

三、排查方法与诊断建议

3.1 核心排查路径：Cx/Dx接口与USIM向量匹配

推荐使用Diameter信令跟踪工具（如Ethereal或Frontline）监控关键接口：

1. 捕获Cx接口上的UAR/UAA消息，确认是否返回有效AVs；
2. 检查AV中包含的RAND、XRES、IK、CK、AUTN是否完整；
3. 比对USIM卡实际计算结果与HSS预期值是否一致；
4. 验证AUTN中MAC是否匹配，排除伪造攻击可能；
5. 确认SQN是否在接收窗口内（通常±100范围内）；
6. 查看Dx接口Sh消息是否存在位置更新冲突；
7. 结合SIM卡测试仪验证USIM AKA输出；
8. 启用S-CSCF日志记录AKA中间变量用于对比；
9. 检查P-CSCF是否透传所有Security-Client头域；
10. 确认TLS/DTLS握手阶段无证书链错误。

3.2 可视化流程图：PUR-AUTHENTICATIONFAILURE诊断路径

graph TD
            A[SIP REGISTER Received] --> B{Has Authorization Header?}
            B -- No --> Z[PUR-AUTHENTICATIONFAILURE]
            B -- Yes --> C[Verify IMPI/IMPU Mapping]
            C -- Invalid --> Z
            C -- Valid --> D[Fetch AV from HSS via Cx]
            D -- Failed --> E[Check HSS Sync & AAA Cache]
            D -- Success --> F[Compare AUTN/SQN]
            F -- Out of Window --> G[Trigger Re-sync Procedure]
            F -- Valid --> H[Derive IK/CK]
            H --> I{Keys Match?}
            I -- No --> Z
            I -- Yes --> J[Accept Registration Update]