NGN学习笔记8——NGN的安全问题

男娘i 2024-04-19 13:39 72阅读 0赞

**1.NGN安全的分层模型**

[![image][]][image 1]

**2.NGN的安全要素(基于X.805)**

*  可控性（访问控制）——只有授权的个人和设备才能访问网络资源（信息、服务、应用）
 *  认证——证实通信实体的有效身份
 *  不可否认性——通信参与各方行为的真实性
 *  保密性——信息不能泄露给未授权用户
 *  通信安全——信息只能在授权的端点间传送，不被非法截取
 *  完整性——信息未经授权，不能改变
 *  可用性——信息可被授权实体正常使用
 *  私密性——用户身份等隐私信息的保密

**3.NGN的安全威胁**

*  信息或其他资源被毁——可用性攻击，系统资源遭到破坏而变得无法使用
 *  信息被破坏或篡改——主动攻击，非法用户在获取某些资源信息的同时，修改资源信息
 *  信息或其他资源被盗窃、移动或丢失——机密性攻击，未授权用户获取到系统资源的访问权
 *  信息被暴露——机密性攻击
 *  服务中断——可用性攻击，由于受DoS等攻击导致服务无法提供

**4.NGN的安全需求**

*  用户驻地设备与NGN接入网之间(UNI接口)
 *  NGN网络内部(NNI接口)
 *  NGN与其他网络(如Internet，PSTN/ISDN等)之间
 *  第三方应用提供商与NGN之间(ANI接口)  
    [![image][image 2]][image_image 2]

NGN用户网络域：在用户网关与用户终端设备间提供数据机密性和认证安全保护，在用户设备与用户之间，用户应能够验证所使用的家庭设备的真实性。

用户网与IP-CAN之间（UNI）：在向用户网络域提供IP-CAN资源之前，必须进行访问控制、授权和认证

IP-CAN安全（UNI到NNI）：IP-CAN网络设施和接入信令控制系统的安全，在必要情况下，提供对数据流进行监视的能力，在接入网必须实现访问控制和认证机制。

核心网安全（NNI之间）：核心网的传输网络设施和信令控制系统（如SIP）的安全在核心网络实体之间提供通信安全。

在业务控制子系统与资源控制子系统之间应提供安全机制。

应用到核心网的接口：在IMS对应用请求的资源进行响应之前，需要进行访问控制、授权和认证

应用域的安全：应用域位于核心网之上，可以应用自己的安全策略

NGN用户网到应用的接口：即UNI与API之间的接口，应提供安全机制

开放业务平台与增值业务提供商之间的接口：增值业务访问开放业务平台之前要进行认证和授权，信令和数据的机密性和完整性，内容过滤和监视，允许业务提供商选择不同信用等级的安全保护。

**5.NGN的安全模型**

**1）四层概念模型**

[![image][image 3]][image_image 3]

应用层：主要关注用户对应用的访问。应用层的安全机制主要用于保护用户和网络

业务层：涉及服务提供者向用户提供的服务。包括域名服务、增值服务、QoS等。业务层的安全机制用于保护服务提供者及其用户

分组层：涉及在网络中传输的分组流。分组层的安全机制主要关注对IP分组的保护

链路层：负责在相连的网络设备间直接传输数据。链路层的安全主要关注对链路帧的保护

四层从上至下，安全粒度逐渐降低，效率逐渐提高。

**2）安全关联模型**

[![image][image 4]][image_image 4]

安全关联SA表示在两个网络实体间，基于认证、加密方法协商和密钥交换的基础上，进行安全传送。在NGN中，SA可以在属于不同网络和安全层次的实体间建立。

*  完整的业务层安全包括：特定应用的SA + TLS SA
 *  传输层安全包括：链路SA + 分组SA (由IPSec提供)

不同平面的安全机制主要关注对相应网络行为的保护：

*  端用户平面的安全：关注用户对服务提供商网络的接入和使用的安全
 *  控制平面的安全：关注通过网络有效地传送信息、服务和应用的安全
 *  管理平面的安全：关注对网络元素的操作、管理、维护、配置功能，传输设备以及后台系统(OSS/BSS,客户关系管理系统等)的安全保护

**6.NGN子系统的安全**

**1)IP-CAN**

IP-CAN的安全机制与IMS的安全机制无关，应可以保证信令和数据的安全传输，IP-CAN安全必须提供机密性保护。两种IP-CAN资源需要 进行访问控制：网络和网络提供的服务。在访问网络时，用户/用户终端必须经过认证对网络服务的访问控制由业务控制功能实现，IP-CAN可以增强该功能。 访问控制和认证通常在接入网实现。

**2）IMS核心网的安全**

IMS网络域内的安全：保护IMS数据和信令，基于IPSec ESP

IMS网络与非IMS网络之间的安全：在它们之间的接口提供对数据和信令的保护，基于TLS协议

承载级服务的保护由SRTP (Secure Real-time Transport Protocol)提供。

[![image][image 5]][image_image 5]

*  接口1：提供相互认证，在分配IMS资源前需进行认证和授权
 *  接口2：在UE和P-CSCF之间提供安全链路，确保对Gm参考点提供保护的SA可用，对数据源提供认证，确保数据源的可靠性
 *  接口3：在HSS与S-CSCF或I-CSCF之间提供安全链路，确保对Cx接口提供保护的SA可用
 *  接口4：在不同网络的SIP节点间提供安全措施
 *  接口5：在同一网络的SIP节点间提供安全措施

[![image][image 6]][image_image 6]

**7.相关安全技术**

**1）承载网的安全措施**

数据加密：

对称密钥机制：加密双方在加密过程中使用完全相同的密码，有两种算法：分组密钥、流密钥，运行效率高，比较容易用硬件实现，问题：密钥如何安全分发？

非对称密钥（公开密钥）机制：解决了对称密钥中存在的密钥分发问题，在加密和解密时采用不同的密钥公钥和私钥。公钥可以公开，私钥由个人保存，可用于身份认证（数字签名）。

安全传送：IPSec、防火墙、VPN

重点介绍一下IPSec：

IPSec可以对协议的传输提供安全保护，IPSec解决的问题：在 IP 层提供安全性，可为IP层以上的任何协议和数据提供保护，涉及的功能：认证、保密和密钥管理。

[![image][image 7]][image_image 7]

IPSec工作模式：

在IPSec中，ESP/AH协议用于保护IP分组，有两种不同的保护形式：

*  保护IP分组的净荷（IP承载的高层协议）
 *  保护整个IP分组本身

对IP分组的不同保护方式由IPSec的工作模式决定：

*  传输模式：用于保护IP的上层协议，IP包的净荷，保护IP的高层协议，安全操作（加密/认证）在通信终端（主机）上完成，提供端到端的安全保护。  
    [![image][image 8]][image_image 8]
 *  隧道模式：用于保护整个 IP 分组，在不安全的传输通路上，保护整个IP分组。安全操作（加密/认证）在路由器上完成，通过构造新的IP分组来封装被保护的原始IP分组  
    [![image][image 9]][image_image 9]

**2）业务网的安全措施**

接入认证：在双方通信之前相互确认对方的身份，明确数据来源，防止非法用户盗用合法帐号获取信息。

访问控制：对网络中的关键部分建立严格的授权体制，对于通过认证的实体按照实现设定的权限使用资源，禁止对未授权部分的访问，对安全认证数据库也要设置高等级的安全措施。

** **

附录：

##### IP-CAN(IP-Connectivity Access Network)**IP连接访问网络** #####

IP-CAN是通过IP实现UE与IMS实体之间的连通的网络实体和接口的集合，典型的例子就是GPRS。该术语通常使用于峰窝背景中表示3GPP接入网 络如GPRS或EDGE，但也可以用于描述WLAN或DSL网络。它在3GPP IMS（IP媒体子系统）中作为通用术语引入，表示任何基于IP的访问网络如IMS，并注重接入与服务网络的分离。

转载于:https://my.oschina.net/alphajay/blog/4951

[image]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/4d11182682264463839ff31f77cc152f.png
[image 1]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_2_633986398697075000.png
[image 2]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_thumb_1_633986398769575000.png
[image_image 2]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/c0a82cecd31c4425989fa90a2239f76a.png
[image 3]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_thumb_2_633986398813325000.png
[image_image 3]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/17b6111dd6624867ac7b01f8d065ac69.png
[image 4]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_thumb_3_633986398913012500.png
[image_image 4]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/5148416ce0b04c458c9840dcaa6e1f59.png
[image 5]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_thumb_4_633986398949575000.png
[image_image 5]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/dcff2f7a49894a5db05600221d467bee.png
[image 6]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_thumb_5_633986398993012500.png
[image_image 6]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/155313660d01443ca723d5e074c63dee.png
[image 7]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_thumb_6_633986399054106250.png
[image_image 7]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/11761d47671548e088242262fbddf854.png
[image 8]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_thumb_7_633986399085043750.png
[image_image 8]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/f556aa2ce81447aa8bf7e83873771427.png
[image 9]: https://p-blog.csdn.net/images/p_blog_csdn_net/gnuhpc/598384/o_image_thumb_8_633986399119575000.png
[image_image 9]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/18/907b219bc41d4c539fe81ed372f51ac9.png