Так как к радиосреде имеют доступ много устройств и абонентов, требуется аутентифицировать пользователей. Эта процедура устанавливает подлинность и принадлежность к сети абонента и оборудования. определяет права и полномочия абонента и право доступа к сетевым ресурсам. Аутентификация проводится с помощью двух функциональных объектов: SIM-карты в мобильной станции и центром аутентификации (АuС — Authentication Center).
При регистрации АuС в домашней сети генерирует 128-битовое случайное число — RAND, пересылаемое телефону. Внутри SIM-карты с помощью ключа Kj (ключ шифрования — так же как и IMSI, он содержится в SIM-карте), и алгоритма идентификации A3 вычисляется 32-битовый ответ -SRES* (Signed Response) по формуле SRES* = Kj + RAND. Точно такие же вычисления проделываются одновременно и в AuC (по выбранному из домашнего регистра Kj пользователя). Если SRES*, вычисленный в телефоне, совпадет со SRES, рассчитанным AuC, то процесс авторизации считается успешным, и абоненту присваивается TMSI, который служит исключительно для повышения безопасности взаимодействия абонента с сетью и может периодически меняться (в том числе при смене VLR).
То же самое случайное начальное число и абонентский ключ шифрования также используются, чтобы вычислить ключ шифрования, который использует алгоритм шифрования речи. Этот ключ шифрования вместе с номером кадра TDMA алгоритм использует для того, чтобы создать последовательность из 114 битов, применяя операцию «исключающее ИЛИ» к 114 битам пакета (два блока по 57 битов).
Другой уровень защиты выполняется непосредственно в MS, обеспечивая защиту оборудования от несанкционированного использования. Как упомянуто ранее, каждый терминал GSM идентифицирован уникальным международным опознавательным кодом подвижной аппаратуры IMEI. Список IMEI в сети сохраняется в регистре идентификации оборудования EIR (Equipment Identity Register), и в ответ на запрос кода IMEI к EIR терминалу возвращается одно из следующих состояний в соответствии с тем, в каком списке находится номер абонента:
- белый список — терминалу позволяют соединиться с сетью;
- серый список — терминал находится под наблюдением сети ввиду возможных проблем;
- черный список — терминал заявлен как украденный или некорректный тип для сети GSM. Терминалу не позволяют соединится с сетью.