定义
认证协议用于验证用户或设备身份，是安全架构的入口。蜂窝网络采用AKA（Authentication and Key Agreement），基于USIM中的K密钥和网络侧AuC/UDM完成双向认证，并派生会话密钥（KASME/KAMF）用于后续空口加密与完整性保护。接入认证、EAP等用于非蜂窝或专网场景。
类型与流程
- AKA：3G/4G蜂窝认证，网络发RAND/AUTN，终端用K计算RES与网络侧XRES比对，完成双向认证
- 5G AKA：5G增强认证，支持SUCI（订阅隐藏标识）保护隐私，EAP-AKA'用于非3GPP接入
- EAP：可扩展认证框架，支持EAP-SIM、EAP-AKA、EAP-TLS等，用于Wi-Fi、VPN、专网
安全作用
认证防止非法接入、克隆卡、伪基站攻击；认证成功后派生的密钥用于加密与完整性，实现端到端安全。物联网设备采用物联网专用SIM（eSIM/iSIM），支持远程配置与密钥安全存储。
典型应用场景
蜂窝入网、专网接入、RADIUS认证、设备身份验证等。达希物联的物联网卡支持标准AKA，确保设备合法接入运营商网络。
达希物联的物联网卡支持标准AKA认证，确保设备在运营商网络中的合法接入。达希物联云平台可对接认证状态，实现设备身份与安全策略的可视化管理，为物联网客户提供安全可靠的连接保障。
认证令牌里的序列号怎样挡住重放
AKA的网络侧挑战不只是一串随机数。认证令牌里还带着序列号和由长期密钥算出的消息认证码。终端先核对这个码，确认挑战来自持有相同密钥的网络，再检查序列号是否落在可接受窗口内。窗口之外的挑战会被当成重放丢掉，终端改发同步失败，而不是给出应答。只比较应答、不看序列号，克隆下来的旧挑战仍能把流程往下带。
序列号在卡内和网络侧各有一份。卡长期离网、或换了鉴权中心却没做重同步时，两边窗口会错开。症状是每次附着都失败，而且失败原因稳定在同步，不是随机的无线丢包。处理是让网络接受一次重新同步，把卡内序号推到当前窗口，而不是更换模组固件。
应答不一致和同步失败不是同一条原因
终端算出的应答和网络预期不一致，说明两边用的长期密钥或算法套件不同。同步失败则说明密钥可能仍一致，只是序号落后或超前。前者要查卡数据是否写错、是不是放到了另一张卡的密钥槽；后者要查鉴权向量的新鲜度和终端是否用了缓存的旧挑战。把两类原因码都写成“认证失败”，现场会反复插拔卡，问题却在核心网的向量缓存。
五G的AKA还要求隐藏用户标识。终端用归属网公钥把用户标识包成隐藏标识再送出，网络侧还原之后才能找到对应密钥。还原失败时，流程在取用户数据之前就停了，根本不会进入应答比对。此时查公钥是否匹配、隐藏标识是否被中间设备截断，比查信号强度更直接。
非三GPP接入仍要落到同一套凭证
EAP-AKA'把AKA嵌进可扩展认证框架，供无线局域网或非可信接入使用。方法名多了一个撇，密钥派生的输入和蜂窝AKA不完全相同，不能把蜂窝侧已经派生的会话密钥直接拿来做无线局域网认证。证书类的EAP-TLS则根本不读卡内长期密钥，服务器核对的是证书链和私钥签名。同一台设备若蜂窝用卡、无线局域网用证书，两套身份要分别开通，撤销其中一套不会自动关掉另一套。
达希物联物联网卡承载的是运营商AKA所需的长期密钥和标识，认证协议跑在卡与核心网之间。卡能通过AKA，只说明蜂窝身份被接受；专网或设备云上的应用账号仍要另做一次认证。平台显示卡在线而业务登录失败时，应把AKA结果和应用层凭证分开看，避免用重置卡片去解决证书过期。
漫游地用的向量仍要回到归属网络核对
终端离开归属网络后，拜访地网络自己没有长期密钥，它向归属侧索取鉴权向量，再拿向量和终端做AKA。向量在途中被缓存、重复使用或序号窗口对不上时，失败发生在拜访地，根因却在归属侧的向量新鲜度。只重启拜访地基站，下一组向量若仍是旧的，失败会再现。判断要点是：同一张卡在归属地正常、一到拜访地就同步失败，优先查向量请求是否真正到达归属鉴权中心，而不是更换拜访地的天线。
隐藏标识也要由归属网络才能还原。拜访地若把标识截短或改写，归属侧找不到用户，流程在取密钥之前结束，不会进入应答比对。达希物联的物联网卡能否漫游，取决于签约是否允许以及拜访地是否开通相应制式，认证协议本身不会在漫游时换成另一套长期密钥。平台上应分开显示归属附着和漫游附着。漫游失败但本地正常时，重置卡片通常没有帮助，要核对漫游权限和向量是否被拜访地重复使用。