Безопасность IMS - IMS security

IMS (IP Multimedia Subsystem) - это набор спецификаций для предоставления мультимедийных услуг через IP протокол. Это позволяет включать все виды услуг, таких как голос, мультимедиа и данные, на доступной платформе через любое подключение к Интернету (фиксированное или мобильное).

Происхождение IMS

Первоначально определенная 4G.IP (группа компаний, принадлежащих к телекоммуникационному сектору), она была 4G (Проект партнерства третьего поколения), которые окончательно приняли определение IMS как часть стандартизации. 4G система в сетях UMTS (Универсальная система мобильной связи), указанная в Релизах 5 и 6.

Архитектура

Его можно разделить на три слоя:

Архитектура IMS

Заявление

Где есть AS (серверы приложений), MRF (функция медиаресурсов) и HSS (сервер домашнего абонента).

  • AS использовала ГЛОТОК (Протокол инициирования сеанса) для сигнализации, используемой при установлении мультимедийных сеансов, таких как аудио- и видеозвонки через Интернет. Услуги, предлагаемые операторами телефонной связи, размещаются и выполняются на AS.
  • HSS похожи на устройства HLR из GSM технология, в которой хранятся учетные данные пользователя.

Контроль

Состоит из различных подсистем, среди которых ядро ​​IMS.

Другими важными устройствами на этом уровне являются CSCF (функция управления сеансом вызова), которая включает в себя три подсистемы: P-CSCF (прокси-CSCF), S-CSCF (обслуживающий CSCF) и I-CSCF (запрашивающий CSCF). Эти подсистемы отвечают, в основном, за: обработку и маршрутизацию сигнализации; для управления ресурсами транспортной подсистемы, для регистрации и аутентификации пользователей; предоставление услуг IMS путем перенаправления рассматриваемых серверов приложений сигнализации и создания учетных записей.

MRF (функция медиаресурсов) предоставляет функции, относящиеся к медиа, такие как управление медиа и воспроизведение тонов и объявлений. Каждый MRF делится на MRFC (функциональный контроллер медиаресурсов) и MRFP (функциональный процессор медиаресурсов). MRFC - это узел плоскости сигнализации, который интерпретирует информацию, поступающую от AS и S-CSCF, для управления MRFP. MRFP - это узел плоскости мультимедиа, используемый для микширования исходных или обрабатывающих медиапотоков.

Транспорт

Составлено UE (Пользовательское оборудование), сеть доступа, NASS (подсистема подключения к сети) и RACS (подсистема управления доступом к ресурсам). Транспортировка сети осуществляется с использованием либо IPv6 или IPv4, что позволяет QoS реализация, интегрированная безопасность, автоконфигурация…

Безопасность

Немного поняв, что такое IMS и какие устройства действуют, мы вводим спецификации IMS, касающиеся безопасности.

С точки зрения стандартизации существует только механизм аутентификации и управления доступом, указанный в TS 33.203 3GPP (Безопасность доступа для IP-сервисов) и обычно называемый AKA (Аутентификация и ключевое соглашение). Однако существует множество других механизмов аутентификации и управления доступом, определенных для удовлетворения потребностей унаследованных терминалов и обеспечения более быстрого развертывания. Наиболее распространены:

  • Ранняя версия IMS 3GPP для мобильного доступа. Это те, которые развертываются IMS заранее для вашего времени, не полностью совместимы со спецификациями, поэтому механизмы безопасности не применимы. Примеры включают IPv4 основанные на реализации как 2G устройств.
  • Дайджест-аутентификация из ТИСПАН и пакетный кабель.
  • NASS-IMS - неотъемлемая часть аутентификации TISPAN для фиксированных сетей. Это метод аутентификации, в котором предполагается повторно использовать уровень аутентификации в сети IMS. Он был разработан TISPAN для фиксированных сетей, в которых пользовательский терминал не имеет ISIM (IP Multimedia Services Identity Modulations). Безопасность этого механизма практически такая же, как и у сети доступа.
  • Дайджест-аутентификация с помощью пакетного кабеля TLS.

Существующее разнообразие механизмов аутентификации, используемых в сетях, вызывает проблемы, связанные с функциональной совместимостью, существованием сетей с разными уровнями безопасности, выбором наиболее адаптированного метода во время регистрации клиента и т. Д. В этом отношении 3GPP разработала рекомендацию TR 33.803 для руководство по выбору наиболее подходящего метода аутентификации.

AKA (Соглашение об аутентификации и ключах)

Безопасность в IMS основана на секретном ключе с длительным сроком действия, совместно используемом ISIM и AUC (Центр аутентификации) локальной сети.

  • ISIM: это приложение, работающее на смарт-карте UICC (Универсальная карта с интегральной схемой), которая содержит параметры идентификации и аутентификации пользователя IMS.
  • AUC: в данном случае ассоциируется с HSS. Содержит информацию, необходимую для выполнения служб аутентификации и шифрования. Хранит алгоритмы аутентификации и шифрования и генерирует необходимые ключи для каждой службы.

AKA используется для установки обоих ключей шифрования (3DES или же AES -CBC ) и ключи целостности (HMAC -MD5 или HMAC-SHA-1 ).

Архитектура безопасности
  1. ISIM ↔ HSS: требуется для взаимной аутентификации. И HSS, и ISIM сохранили секретный ключ и частную идентификацию (IMPI), связанные с этим ключом.
  2. UA ↔ P-CSCF: Обеспечивает безопасную связь между UE и сетью.
  3. I / S-CSCF ↔ HSS: Устанавливает ассоциацию безопасности для передачи информации между I / S-CSCF и HSS.
  4. P-CSCF ↔ I / S-CSCF: Эта ассоциация безопасности применяется только тогда, когда P-CSCF не находится в домашней сети.
  5. I-CSCF ↔ S-CSCF: Обеспечивает безопасность между узлами SIP в сети.

Процесс регистрации

Прежде чем пользователь сможет получить доступ к службам IP-мультимедиа, он должен зарегистрировать хотя бы один IMPU (общедоступный идентификатор IP-мультимедиа), например номер телефона. Затем сеть IMS должна аутентифицировать IMPI (IP Multimedia Private Identity) в приложении. Процесс регистрации инициируется терминалом IMS, отправляющим сообщение SIP REGISTER в P-CSCF, направленное его IMPI и IMPU. Это сообщение достигает P-CSCF и пересылает сообщение в I-CSCF. I-CSCF отправляет запрос аутентификации сообщения DIAMETER пользователю, который отправил сообщение REGISTER, DIAMETER UAR, на HSS, который отвечает другим сообщением DIAMETER UAA и параллельно с I-CSCF сообщает направление S-CSCF, назначенное пользователю. Затем I-CSCF пересылает регистрационное сообщение в S-CSCF, который, в свою очередь, отправляет сообщение DIAMETER MAR, включая IMPI, которое используется HSS для вычисления вектора аутентификации (AV) и генерирует пятерку и возвращает S-CSCF в пятикратном порядке через сообщение DIAMETER MAA. Это сообщение указывает на то, что сеть запрашивает, чтобы терминал использовал свои алгоритмы безопасности для аутентификации. Затем S-CSCF отправляет сообщение SIP 401 Unauthorized, сопровождаемое четырьмя из пяти параметров, составляющих AV, в I-CSCF, который пересылает сообщение в P-CSCF. Опять же, P-CSCF пересылает сообщение на UE, но оставляет ему только два параметра: RAND и AUTN. Поскольку терминал имеет тот же секретный ключ, что и соответствующий HSS, пользователь может вычислить AUTN. Если он совпадает с полученным из сети, сеть считается законной. UE также вычисляет свой ответ RES, который отправляется другому сообщению SIP REGISTER с IMPI и ARPU. Это сообщение достигает P-CSCF, который пересылает I-CSCF. После того, как I-CSCF отправляет DIAMETER UAR на HSS, который отвечает адресом S-CSCF через сообщение DIAMETER UAA. Затем I-CSCF пересылает регистрационное сообщение с RES на S-CSCF. Последний отправляет сообщение DIAMETER SAR на HSS, который отвечает DIAMETER SAA. Если параметр RES, отправленный пользователем, равен тому, что XRES вычислил HSS во время первой попытки регистрации, то HSS аутентифицирует пользователя посредством сообщения DIAMETER SAA. Наконец, S-CSCF отправляет сообщение SIP 200 OK в P-CSCF, который пересылает его пользователю. Процессы безопасности всегда выполняются домашней сетью, даже если пользователь находится в роуминге.

Обеспечивается поддержка конфиденциальности сообщений SIP между UE и P-CSCF посредством использования.

Безопасность доступа IMS для SIP

Согласно спецификациям 3GPP, аутентификация пользователя должна быть основана на Digest AKA, что в некоторой степени аналогично аутентификации доступа UMTS (Универсальная система мобильной связи), но для SIP. Спецификация 3GPP TS 33.203, доступная для передачи сигналов между пользовательским агентом и P-CSCF, должна быть основана на IPsec ESP (Инкапсуляция полезной нагрузки безопасности) в транспортном режиме. Однако использование IPSec в этом режиме не подходило для использования в фиксированных сетях. Проблема заключалась в пересечении IPsec NAT (Преобразование сетевых адресов), поэтому выбран режим TISPAN (службы и протоколы телекоммуникаций и интернет-конвергенции для расширенных сетей) UDP (Протокол дейтаграмм пользователя) инкапсуляция IPsec.

GAA (общая архитектура аутентификации)

Все механизмы безопасности, которые мы видели, используются в сетях доступа и доменах IMS. Однако можно расширить вышеупомянутые механизмы аутентификации в приложении или службе, используя то, что известно как GAA.

GAA - это архитектура аутентификации, которая позволяет расширить существующие механизмы аутентификации на прикладном уровне / сервисе IMS.

Связь между спецификациями GAA и протоколами, используемыми интерфейсами GAA

GAA использует два механизма аутентификации. Один основан на владении общим секретом между взаимодействующими объектами (GBA-Generic Bootstrapping Architecture), полученным из ключей, используемых при аутентификации AKA, а другой основан на асимметричная криптография (открытый и закрытый ключ) и цифровые сертификаты или PKI (SSC - Поддержка сертификатов подписчика).

Иллюстрация механизмов выдачи учетных данных для аутентификации

Аутентификация с использованием общего секрета

Из этих двух типов реализации наиболее часто используются общие секреты. Большим преимуществом GAA / GBA является то, что он позволяет создавать ассоциации безопасности между пользовательским агентом и различными приложениями. Эти партнерские отношения заключаются в основном в совместном использовании ключа (общего секрета), который позволяет последующую аутентификацию пользовательского агента в отношении приложения, и, при необходимости, других функций безопасности, таких как гарантия конфиденциальности и целостности информации (посредством шифрования и цифровой подписи ), предотвращение отказа от авторства (цифровая подпись) и т. д. Проблема этих механизмов заключается в способе согласования этого общего секрета. Как я упоминал ранее, секрет получается из ключей аутентификации, используемых в AKA.

Новый сетевой элемент под названием BSF (Функция сервера начальной загрузки). Этот BSF имеет интерфейс с HSS. UE запускает AKA с HSS через BSF. Сервер приложений, называемый NAF (функция сетевого приложения), может получить этот сеансовый ключ из BSF с информацией о профиле абонента. Таким образом, серверные приложения NAF и UE совместно используют секретный ключ, который затем может использоваться для приложения безопасности, в частности, для аутентификации UE и NAF в начале сеанса приложения (возможно, для целостности и / или защиты конфиденциальности). Связь между UE и BSF, а также между NAF, BSF и HSS не зависит от приложения.

Аутентификация и сертификаты на основе асимметричной криптографии

Альтернативой использованию общих секретов для аутентификации является использование асимметричной криптографии. Это означает, что объект, который хочет пройти аутентификацию, должен иметь пару ключей (общедоступный и частный) и проверять пару ключей цифрового сертификата. Получив ключ и сертификат, UE может использовать их для создания цифровых подписей. Основным недостатком этого типа аутентификации является то, что вам нужна PKI, а операции с асимметричным ключом требуют больших вычислительных затрат.

Если клиент желает использовать технологию асимметричного шифрования, вам понадобится цифровой сертификат, выданный CA (Центр сертификации). Сертификат связывает открытый ключ с личностью их владельцев. Если мобильный абонент хочет иметь и использовать пару ключей (частный и открытый), сертификат должен быть предварительно установлен или у подписчика должны быть средства для создания или получения пары ключей и, аналогично, для динамического получения одного цифрового сертификата. . Для динамического получения цифрового сертификата UE должно отправить приложение для сертификата сайта в PKI, а портал PKI должен аутентифицировать запрос сертификата. Пара ключей и цифровой сертификат также могут использоваться для обеспечения целостности и защиты, но они не входят в сферу действия GAA.

Liberty Alliance и SSO (единый вход)

В Liberty Alliance - это группа компаний, занимающаяся разработкой спецификаций, связанных с приложениями для аутентификации, конфиденциальности и управления идентификацией пользователей в Интернете. Одна из рассматриваемых концепций - SSO (Единый вход), при котором пользователю необходимо пройти аутентификацию только один раз для доступа к различным приложениям или службам.

3GPP представила рекомендацию по комбинации GAA / GBA и SSO и механизмов аутентификации, определенных Liberty Alliance и SAML v2.0. Таким образом, можно воспользоваться преимуществами строгой аутентификации на основе AKA, механизмов, определенных Liberty Alliance и SAML v2.0 SSO. Однако самый большой недостаток GAA / GBA предназначен для пользовательских агентов, у которых есть какая-то карта поддержки. OMA определенные решения аутентификации, например на основе HTTP-дайджеста с учетными данными пользователя, для терминалов, не имеющих карты ISIM.

Атаки

Слежка за сетью

Нарушение конфиденциальности. Без защиты с SSL / TLS или IPSec, злоумышленнику будет легко перехватить сигнализацию SIP и RTP (Транспортный протокол реального времени) трафик с использованием таких инструментов, как Wireshark. Еще одна атака на конфиденциальность может быть реализована с помощью инструментов сканирования для сбора конфиденциальной и ценной информации о компонентах IMS, операционных системах и топологии сети.

Захват сеанса

Направленная целостность сеанса. Злоумышленник может вставить вредоносные пакеты в сеанс и даже заменить часть трафика. Например, злоумышленник может отправить повторное приглашение SIP, чтобы изменить параметры сеанса.

DoS (отказ в обслуживании)

Атака на доступность. Злоумышленник отправляет большое количество дейтаграмм за короткий период времени, что приводит к снижению производительности или полной остановке служб. Примеры включают TCP SYN-флуд, UDP-флуд ...

P- CSCF Открытие

Заботится о целостности и доступности. P-CSCF - это точка входа в UE. DHCP (Протокол динамического управления хостом) и DNS (Система доменных имен) обычно используются для обнаружения P-CSCF. Злоумышленник может прервать процесс заражения DNS кэша обнаружения P-CSCF для доменного имени, или в UE возвращается ложный IP. В результате UE не может быть зарегистрировано в сети или зарегистрировано на поддельном сервере.

Злоупотребление сервисом

Влияет на доступность и целостность IMS. Авторизованные пользователи могут использовать службы больше, чем ожидалось, или получить доступ к службам, которые им не разрешены.

Платное мошенничество

Атака на бухгалтерию. Злоумышленник может подделать UE и отправить запрос Bye в CSCF. CSCF будет думать, что сеанс завершен, и прекратит учет в это время, когда UE не выпускает медиапотоки. Это означает, что UE продолжает обмениваться потоками без подсчета. Эту угрозу называют кражей медиа, и используют слабость в отсутствии эффективного контроля медиапотоков.

Получение разрешения

Атака аутентификации. Злоумышленник может получить аутентификацию по паролю с помощью взлома или другими способами. В основном, в UE не используется SIM-карта, как упоминалось выше в HTTP Digest. Этот метод основан на имени пользователя и пароле, что обычно не является высоким уровнем безопасности. HTTP Digest перечисляет несколько атак, таких как атака грубой силы или повторная атака.

Смягчено

Чтобы смягчить эти атаки на сеть IMS, необходимо выполнить следующее:

  • Абонентский доступ к сети IMS со строгой аутентификацией.
  • Сетевая безопасность: поток, которым обмениваются клиенты и серверы приложений, должен быть защищен.
  • Системы и приложения должны быть защищены.

Смотрите также

Рекомендации