IMS-безопасность

IMS (IP Multimedia Subsystem) — это набор спецификаций для предоставления мультимедийных услуг через протокол IP . Это позволяет объединить все виды услуг, таких как голосовая связь, мультимедиа и данные, на доступной платформе через любое подключение к Интернету (фиксированное или мобильное).

Происхождение IMS

Первоначально определенный 4G.IP (группой компаний, принадлежащих к телекоммуникационному сектору), именно 4G (Проект партнерства 3-го поколения) окончательно принял определение IMS как часть системы стандартизации 4G в сетях UMTS (Универсальная система мобильных телекоммуникаций). , указанный в версиях 5 и 6.

Архитектура

Его можно разделить на три слоя:

Приложение

Где есть AS (серверы приложений), MRF (функция медиаресурсов) и HSS (домашний сервер подписчиков).

AS использовала SIP (протокол инициирования сеанса) для сигнализации, используемой при установлении мультимедийных сеансов, таких как аудио- и видеовызовы через Интернет. Услуги, предлагаемые операторами телефонной связи, размещаются и выполняются на AS.
HSS — это устройство, аналогичное HLR технологии GSM , в котором хранятся учетные данные пользователя.

Контроль

Формируется различными подсистемами, среди которых ядро IMS.

Другими важными устройствами на этом уровне являются CSCF (функция управления сеансом вызова), которая включает в себя три подсистемы: P-CSCF (прокси-CSCF), S-CSCF (обслуживающая CSCF) и I-CSCF (опрашивающая CSCF). Эти подсистемы в основном отвечают за: обработку и маршрутизацию сигнализации; управлять ресурсами транспортной подсистемы, регистрировать и аутентифицировать пользователей; предоставление услуг IMS путем перенаправления рассматриваемых серверов приложений сигнализации и создания записей о выставлении счетов.

MRF (функция медиа-ресурсов) обеспечивает функции, связанные со средствами массовой информации, такие как манипулирование средствами массовой информации и воспроизведение тонов и объявлений. Каждый MRF делится на MRFC (контроллер функций медиаресурсов) и MRFP (процессор функций медиаресурсов). MRFC — это узел плоскости сигнализации, который интерпретирует информацию, поступающую от AS и S-CSCF, для управления MRFP. MRFP — узел плоскости медиа, используется для смешивания исходных или обработки медиапотоков.

Транспорт

Состоит из UE (пользовательского оборудования), сети доступа, NASS (подсистемы сетевого подключения) и RACS (подсистемы управления доступом к ресурсам). Транспортировка сети осуществляется с использованием IPv6 или IPv4, что позволяет … реализовать QoS, встроенную безопасность, автоконфигурацию

Безопасность

Немного познакомившись с тем, что такое IMS и с устройствами, которые действуют, мы вступаем в спецификации IMS, касающиеся безопасности.

С точки зрения стандартизации, существует только механизм аутентификации и контроля доступа, указанный в TS 33.203 3GPP (безопасность доступа для служб на основе IP) и обычно называемый AKA (соглашение об аутентификации и ключах). Однако существует множество других механизмов аутентификации и контроля доступа, определенных для удовлетворения потребностей унаследованных терминалов и обеспечения более быстрого развертывания. Наиболее распространенными являются:

Ранний IMS 3GPP для мобильного доступа. Это те, которые IMS заранее развертывает на ваше время, не полностью совместимы со спецификациями, поэтому механизмы безопасности неприменимы. Примеры включают IPv4 реализации на основе в качестве устройств 2G .
Дайджест-аутентификация TISPAN и Packet Cable.
NASS-IMS аутентификация неотделима от TISPAN для фиксированных сетей. Это метод аутентификации, при котором предполагается повторное использование уровня аутентификации в сети IMS. Он был разработан TISPAN для фиксированных сетей, в которых пользовательский терминал не имеет ISIM (модуль идентификации IP-мультимедийных услуг). Безопасность этого механизма практически такая же, как и у сети доступа.
Packet Cable Дайджест-аутентификация с помощью TLS .

Существующее разнообразие механизмов аутентификации, используемых в сетях, вызывает проблемы, связанные с совместимостью, существованием сетей с разными уровнями безопасности, выбором наиболее адаптированного метода при регистрации клиента и т. д. В связи с этим 3GPP разработала рекомендацию TR 33.803 для руководство по выбору наиболее подходящего метода аутентификации.

АКА (Аутентификация и соглашение о ключах)

Безопасность в IMS основана на секретном ключе длительного действия, совместно используемом ISIM и AUC (центром аутентификации) локальной сети.

ISIM: это приложение, работающее на смарт-карте UICC (универсальная интегральная схема), которая содержит параметры идентификации и аутентификации пользователя IMS.
AUC: В данном случае обратитесь к HSS. Содержит информацию, необходимую для выполнения служб аутентификации и шифрования. Хранит алгоритмы аутентификации и шифрования и генерирует необходимые ключи для каждого сервиса.

AKA используется для установки как ключей шифрования ( 3DES или AES - CBC ), так и ключей целостности ( HMAC - MD5 или HMAC- SHA-1 ).

ISIM ↔ HSS: требуется для взаимной аутентификации. И HSS, и ISIM хранят секретный ключ и частную идентификацию (IMPI), связанную с этим ключом.
UA ↔ P-CSCF: обеспечивает безопасное соединение между UE и сетью.
I/S-CSCF ↔ HSS: устанавливает ассоциацию безопасности для передачи информации между I/S-CSCF и HSS.
P-CSCF ↔ I/S-CSCF: Эта ассоциация безопасности применяется только тогда, когда P-CSCF не находится в домашней сети.
I-CSCF ↔ S-CSCF: обеспечивает безопасность между узлами SIP в сети.

Процесс регистрации

Прежде чем пользователь сможет получить доступ к услугам IP Multimedia, он должен зарегистрировать хотя бы один IMPU (публичный идентификатор IP Multimedia), например номер телефона. Затем сеть IMS должна аутентифицировать IMPI (частную IP-мультимедийную идентичность) в приложении. Процесс регистрации инициируется терминалом IMS, отправляющим сообщение SIP REGISTER P-CSCF, направляющему его IMPI и IMPU. Это сообщение достигает P-CSCF и пересылает его в I-CSCF. I-CSCF отправляет запрос аутентификации сообщения DIAMETER пользователя, отправившего сообщение REGISTER, DIAMETER UAR, в HSS, который отвечает другим сообщением DIAMETER UAA и параллельно с I-CSCF сообщает направление S-CSCF, назначенное пользователю. Затем I-CSCF пересылает сообщение регистрации в S-CSCF, который, в свою очередь, отправляет сообщение DIAMETER MAR, включая IMPI, которое используется HSS для расчета вектора аутентификации (AV) и генерирует пятерку < RAND, AUTN, XRES. , CK, IK > и возвращает S-CSCF в пятикратном размере посредством сообщения DIAMETER MAA. Это сообщение указывает на то, что сеть запрашивает, чтобы терминал использовал свои алгоритмы безопасности для аутентификации. Затем S-CSCF отправляет сообщение SIP 401 Unauthorized, сопровождаемое четырьмя из пяти параметров, составляющих AV, в I-CSCF, который пересылает сообщение в P-CSCF. Опять же, P-CSCF пересылает сообщение UE, но оставляет ему только два параметра: RAND и AUTN. Поскольку терминал имеет тот же секретный ключ, что и соответствующий HSS, пользователь может вычислить AUTN. Если он совпадает с полученным из сети, сеть считается легитимной. UE также вычисляет свой ответ RES, который отправляется в другое сообщение SIP REGISTER с IMPI и ARPU. Это сообщение достигает P-CSCF, который пересылает I-CSCF. После того как I-CSCF отправляет DIAMETER UAR в HSS, тот отвечает адресом S-CSCF через сообщение DIAMETER UAA. Затем I-CSCF пересылает регистрационное сообщение с RES на S-CSCF. Последний отправляет сообщение DIAMETER SAR на HSS, который отвечает DIAMETER SAA. Если параметр RES, отправленный пользователем, равен значению XRES, рассчитанному HSS во время первой попытки регистрации, то HSS аутентифицирует пользователя посредством сообщения DIAMETER SAA. Наконец, S-CSCF отправляет сообщение SIP 200 OK на P-CSCF, который пересылает его пользователю. Процессы безопасности всегда выполняются в домашней сети, даже если пользователь находится в роуминге.

Обеспечивается поддержка конфиденциальности сообщений SIP между UE и P-CSCF посредством использования.

Безопасность доступа IMS для SIP

Согласно спецификациям 3GPP, аутентификация пользователя должна основываться на Digest AKA, что в некоторой степени аналогично аутентификации доступа UMTS (Universal Mobile Telecommunication System), но для SIP. Спецификация 3GPP TS 33.203, доступная для сигнализации между пользовательским агентом и P-CSCF, должна быть основана на IPsec ESP (инкапсуляция полезной нагрузки безопасности) в транспортном режиме. Однако использование IPSec в этом режиме не подходило для использования в фиксированных сетях. Проблема заключалась в пересечении IPsec NAT (трансляции сетевых адресов), поэтому в TISPAN (службах конвергенции телекоммуникаций и Интернета и протоколах для расширенных сетей) выбран режим UDP (протокол пользовательских дейтаграмм) инкапсуляции IPsec.

GAA (общая архитектура аутентификации)

Все механизмы безопасности, которые мы видели, используются в сетях доступа и доменах IMS. Однако можно расширить вышеуказанные механизмы аутентификации в приложении или службе, используя так называемый GAA .

GAA — это архитектура аутентификации, которая позволяет расширить существующие механизмы аутентификации на уровне приложения/услуги IMS.

Взаимосвязь между спецификациями GAA и протоколами, используемыми интерфейсами GAA.

GAA использует два механизма аутентификации. Один из них основан на владении общим секретом между взаимодействующими объектами (GBA-Generic Bootstrapping Architecture), полученным из ключей, используемых при аутентификации AKA, а другой основан на асимметричной криптографии (открытый и закрытый ключ) и цифровых сертификатах или PKI ( SSC — Поддержка сертификатов подписчика).

Иллюстрация механизмов выдачи учетных данных для аутентификации

Аутентификация с использованием общего секрета

Из двух типов реализации наиболее используемый основан на общих секретах. Большим преимуществом GAA/GBA является то, что он позволяет создавать ассоциации безопасности между пользовательским агентом и различными приложениями. Эти партнерские отношения заключаются в первую очередь в обмене ключом (общим секретом), который обеспечивает последующую аутентификацию агента пользователя в приложении, и, при необходимости, других функций безопасности, таких как гарантия конфиденциальности и целостности информации (посредством шифрования и цифровой подписи ), неотказуемость (цифровая подпись) и т. д. Проблема этих механизмов заключается в том, как договориться об этом общем секрете. Как я упоминал ранее, секрет получается из ключей аутентификации, используемых в AKA.

новый сетевой элемент под названием BSF Представлен (функция сервера начальной загрузки). Этот BSF имеет интерфейс с HSS. UE запускает AKA с HSS через BSF. Сервер приложений, называемый NAF (функция сетевого приложения), может получить этот сеансовый ключ из BSF вместе с информацией профиля абонента. Таким образом, серверные приложения NAF и UE совместно используют секретный ключ, который затем может использоваться для приложения безопасности, в частности, для аутентификации UE и NAF в начале сеанса приложения (возможно, для обеспечения целостности и/или защиты конфиденциальности). Связь между UE и BSF, а также между NAF, BSF и HSS не зависит от приложения.

Аутентификация и сертификаты на основе асимметричной криптографии

Альтернативой использованию общих секретов для аутентификации является использование асимметричной криптографии. Это означает, что объект, который хочет пройти аутентификацию, должен иметь пару ключей (открытый и частный) и проверять пару ключей цифрового сертификата. Получив ключ и сертификат, UE может использовать их для создания цифровых подписей. Основным недостатком этого типа аутентификации является то, что вам нужна PKI, а операции с асимметричным ключом требуют больше вычислительных усилий.

Если клиент желает использовать технологию асимметричного шифрования, ему необходим цифровой сертификат, выданный CA (центром сертификации). Сертификат связывает открытый ключ с личностью его владельца. Если мобильный абонент хочет иметь и использовать пару ключей (частный и открытый), сертификат должен быть предварительно установлен или у абонента должны быть средства для генерации или получения пары ключей, а также для динамического получения одного цифрового сертификата. . Для динамического получения цифрового сертификата UE должно отправить заявку на сертификат сайта в PKI, а портал PKI должен аутентифицировать запрос сертификата. Пара ключей и цифровой сертификат также могут использоваться для обеспечения целостности и защиты, но они не входят в сферу действия GAA.

Liberty Alliance и SSO (единый вход)

Liberty Alliance — это группа компаний, занимающаяся созданием спецификаций, связанных с аутентификацией, конфиденциальностью и приложениями управления идентификацией пользователей в Интернете. Одной из рассматриваемых концепций является SSO (единый вход), при котором пользователю необходимо пройти аутентификацию только один раз для доступа к различным приложениям или службам.

3GPP представил рекомендацию по сочетанию GAA/GBA и SSO, а также механизмов аутентификации, определенных Liberty Alliance и SAML v2.0. Таким образом, можно получить выгоду от строгой аутентификации на основе AKA, механизмов, определенных Liberty Alliance и SAML v2.0 SSO. Однако самый большой недостаток GAA/GBA предназначен для пользовательских агентов, у которых есть какая-то карта поддержки. Специальные решения OMA для аутентификации, например, на основе HTTP-дайджеста с учетными данными пользователя, для терминалов, у которых нет карты ISIM.

Атаки

Сетевой шпионаж

Нарушение конфиденциальности. Без защиты с помощью SSL/TLS или IPSec злоумышленнику будет легко перехватить сигнализацию SIP и трафик RTP (транспортный протокол реального времени) с помощью таких инструментов, как Wireshark . Еще одна атака на конфиденциальность может быть реализована с помощью инструментов сканирования для сбора конфиденциальной и ценной информации о компонентах IMS, операционных системах и топологии сети.

Перехват сеанса

Направленная целостность сеанса. Злоумышленник может вставить вредоносные пакеты в сеанс и даже заменить часть трафика. Например, злоумышленник может отправить повторное приглашение SIP для изменения параметров сеанса.

DoS (отказ в обслуживании)

Атака на доступность. Злоумышленник отправляет большое количество датаграмм за короткий период времени, что приводит к снижению производительности или полной остановке служб. Примеры включают TCP SYN-флуд, UDP-флуд...

P- Открытие CSCF

Касается целостности и доступности. P-CSCF является точкой входа в UE. DHCP (протокол динамического управления хостом) и DNS (система доменных имен) обычно используются для обнаружения P-CSCF. Злоумышленник может нарушить процесс отравления кэша обнаружения P-CSCF DNS для доменного имени, или в UE будет возвращен ложный IP-адрес. В результате UE не может быть зарегистрировано в сети или зарегистрировано на поддельном сервере.

Злоупотребление услугами

Влияние на доступность и целостность IMS. Авторизованные пользователи могут использовать службы больше, чем ожидалось, или получить доступ к службам, которые им не разрешены.

Мошенничество с платными дорогами

Нападение на бухгалтерию. Злоумышленник может подделать UE и отправить запрос Bye в CSCF. CSCF подумает, что сеанс завершен, и прекратит учет, в то время как UE не освобождает медиапотоки. Это означает, что UE продолжает обмениваться потоками без подсчета. Эта угроза вызывает кражу СМИ и использует слабость отсутствия эффективного контроля над медиапотоками.

Получение разрешения

Аутентификация атаки. Злоумышленник может получить пароль аутентификации благодаря взлому или другим методам. По сути, в UE не используется SIM-карта, как упоминалось выше, HTTP Digest. Этот метод основан на имени пользователя и пароле, что обычно не обеспечивает высокий уровень безопасности. HTTP Digest перечисляет несколько атак, таких как грубая сила или атака воспроизведения.

Смягченный

Чтобы смягчить эти атаки на сеть IMS, необходимо выполнить следующие действия:

Абонентский доступ к сети IMS со строгой аутентификацией.
Сетевая безопасность: поток, которым обмениваются клиенты и серверы приложений, должен быть защищен.
Системы и приложения должны быть защищены.

См. также

4G
Софтсвитч
Голос по IP
Мобильный VoIP
ПРОСТОЙ
3GPP Long Term Evolution , UMB (проекты сети 4G, в которых будут использоваться такие технологии, как IMS)
Мобильная широкополосная связь
Одноранговый обмен видео
Поделиться видео
Поделиться изображением
Сеть доступа к IP-подключению
Текст по IP
Мультимедийная телефония
Непрерывность голосового вызова
Нажмите, чтобы поговорить
ИМПС
Богатый коммуникационный пакет
Менеджер по взаимодействию с возможностями обслуживания

Ссылки