Nghiên cứu nguy cơ và giải pháp an ninh trong hệ thống di động 4g LTE

HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG - Âu Xuân Phong NGHIÊN CỨU NGUY CƠ VÀ GIẢI PHÁP AN NINH TRONG HỆ THỐNG DI ĐỘNG 4G LTE Chuyên ngành: KỸ THUẬT VIỄN THÔNG Mã số: 60.52.02.08 LUẬN VĂN THẠC SĨ KỸ THUẬT (Theo định hướng ứng dụng) NGƯỜI HƯỚNG DẪN KHOA HỌC: TS VŨ VĂN SAN HÀ NỘI - 2017 i LỜI CAM ĐOAN Tôi xin cam đoan cơng trình nghiên cứu riêng tơi Các số liệu, kết nêu luận văn trung thực chưa công bố công trình khác Tác giả Âu Xuân Phong ii LỜI CẢM ƠN Để hồn thành đề tài luận văn thạc sĩ cách hoàn chỉnh, bên cạnh nỗ lực cố gắng thân cịn có hướng dẫn nhiệt tình Thầy, Cơ, giúp đỡ bạn bè suốt thời gian học tập nghiên cứu thực luận văn thạc sĩ Đặc biệt, em xin gửi lời cảm ơn sâu sắc đến TS Vũ Văn San, Thầy trực tiếp hướng dẫn, bảo tận tình, chu đáo có nhận xét, góp ý quý báu giúp em suốt trình thực luận văn luận văn hoàn thành Em xin gửi làm cảm ơn đến tất Thầy, Cô giáo Học viện Công nghệ Bưu Viễn thơng tận tình bảo tạo điều kiện thuận lợi để em nghiên cứu học tập thời gian qua Hà Nội, 16 tháng 01 năm 2017 Học viên Âu Xuân Phong iii MỤC LỤC LỜI CAM ĐOAN i DANH MỤC CÁC THUẬT NGỮ, CHỮ VIẾT TẮT vi DANH MỤC CÁC BẢNG viii DANH MỤC CÁC HÌNH ix MỞ ĐẦU CHƯƠNG - NGHIÊN CỨU TỔNG QUAN VỀ SỰ PHÁT TRIỂN VÀ AN NINH TRONG MẠNG THÔNG TIN DI ĐỘNG 1.1 Tổng quan phát triển mạng thông tin di động 1.2 Tình hình triển khai 4G LTE Việt Nam giới 1.2.1 Tình hình triển khai 4G-LTE giới: 1.2.2 Tình hình nghiên cứu thử nghiệm 4G-LTE Việt Nam 1.3 An ninh ma ̣ng thông tin di đô ̣ng 1.4 Thách thức 4G LTE vấn đề an ninh 12 1.5 Các chuẩn hóa liên quan tới vấn đề an ninh mạng thông tin di động 4G LTE13 1.6 Kết luận chương 15 CHƯƠNG - KIẾN TRÚC MẠNG VÀ CÁC GIAO THỨC CỦA 4G LTE 16 2.1 Kiến trúc tổng quát mạng 4G LTE/SAE 16 2.2 Các phần tử mạng lõi .17 2.2.1 Thực thể quản lý di động MME 18 2.2.2 Cổng phục vụ S-GW 18 2.2.3 Cổng mạng liệu gói P-GW 19 2.2.4 Chức sách tính cước tài nguyên PCRF 20 2.2.5 Máy chủ thuê bao thường trú HSS 21 2.3 Mạng truy nhập (E-UTRAN) 21 2.4 Các kiến trúc chuyển mạng tương tác mạng .23 2.4.1 Chuyển mạng mạng 4G LTE/SAE .23 iv 2.4.2 Tương tác di động với mạng 2G/3G 24 2.5 Thủ tục truy cập 4G LTE 25 2.5.1 Đăng ký 25 2.5.2 Giải phóng S1 28 2.5.3 Hủy đăng ký 29 2.6 Quản lý di động 30 2.6.1 Chọn ô chọn lại ô 31 2.6.2 Quản lý vị trí đầu cuối di động 31 2.6.3 Cập nhật vùng theo bám (TAU) 32 2.7 Kết luận chương 34 CHƯƠNG - NGHIÊN CỨU NGUY CƠ VÀ GIẢI PHÁP AN NINH TRONG MẠNG DI ĐỘNG 4G/LTE 35 3.1 Kiến trúc an ninh 4G LTE 35 3.2 Nguy an ninh mạng LTE 37 3.2.1 Nguy mạng lõi .39 3.2.2 Nguy mạng truy cập 40 3.2.3 Nguy thiết bị người dùng (UE) 41 3.2.4 Dịch vụ mạng 42 3.3 Giải pháp an ninh mạng LTE 44 3.3.1 Bảo mật cho giao diện vô tuyến hệ thống khóa EPS .44 3.3.2 Chuyển giao .57 3.3.3 eNodeB 61 3.3.4 An ninh cho VoLTE 64 3.3.5 An ninh mạng IP 69 3.4 Đề xuất triển khai giải pháp an ninh cho VoLTE mạng 4G-LTE 71 3.5 Kết luận chương 74 KẾT LUẬN 75 Các kết đạt luận văn: .75 v Hướng phát triển: 75 DANH MỤC TÀI LIỆU THAM KHẢO: .76 vi DANH MỤC CÁC THUẬT NGỮ, CHỮ VIẾT TẮT Viết tắt Tiếng Anh Tiếng Việt 2G 2rd Generation Mạng di động hệ thứ 3G 3rd Generation Mạng di động hệ thứ 4G 4rd Mạng di động hệ thứ 3GPP 3rd Generation Partnership Project AKA Authentication and Key Agreement Nhận thực trao đổi khóa AMF Authentication and Key Agreement Trường nhận thực trao đổi Generation Dự án đối tác hệ thứ Field khóa AS Access Stratum Tầng truy nhập AuC Authentication Center Trung tâm nhận thực AUTN Authentication Token Thẻ nhận thực AV Authentication Vector Vecto nhận thực BTS Base Transceiver Station Trạm thu phát gốc (2G) CK Ciphering Key Khóa mã hóa CS Circuit switching Chuyển mạch kênh DOS Denial of service Từ chối dịch vụ DDOS Distrubuted denial of service Từ chối dịch vụ phân tán eNB Evolved NodeB Trạm thu phát gốc (LTE) EPC Evolved Packet Core Lõi gói phát triển EPS Evolved Packet System Hệ thống gói phát triển E-UTRAN Evolved UTRAN Mạng truy nhập GPRS General Packet Radio Service Dịch vụ vơ tuyến gói tổng hợp GSM HLR Global System for Mobile Hệ thống thông tin di động Communications toàn cầu Home Location Register Bộ ghi định vị thường trú vii HSS Home Subscriber Server Server thuê bao nhà IK Integrity Key Khóa tồn vẹn IMSI International Mobile Subscriber Nhận dạng thuê bao di động Identity IMEI quốc tế International Mobile Equipment Số nhận dạng thiết bị di động Identity quốc tế IMS IP Multimedia Subsystem Phân hệ đa phương tiện LTE Long Term Evolution Tiến hóa dài hạn MAC Message Authentication Code Mã xác thực thông điệp MME Mobile Management Entity Thực thể quản lý di động NAS Network Access security Bảo mật truy nhập mạng NDS Network Domain security Bảo mật miền mạng PCRF Policy and Charging Resource Chức sách tính cước tài nguyên Function P-GW (PDN Packet Data Network Gateway Cổng mạng số liệu GW) PKI Public key infrastructure Hạ tầng khóa cơng cộng UE User Equipment Thiết bị người sử dụng UMTS Universal Mobile Hệ thống viễn thông di động Telecommunications System toàn cầu RAND Random 128-bit string Chuỗi 128 bit ngẫu nhiên TMSI Temporary Mobile Subscriber Mã số nhận dạng tạm thời Identity TS Technical Specification Tiêu chuẩn kỹ thuật VLR Visitor Location Register Bộ ghi định vị tạm trú viii DANH MỤC CÁC BẢNG Bảng 1.1 Tổng kết hệ thông tin di động Bảng 1.2 Thí dụ chế an ninh lớp khác ngăn xếp IP 11 ix DANH MỤC CÁC HÌNH Hình 1.1 Lộ trình phát triển cơng nghệ thơng tin di động lên 4G Hình 2.1: Kiến trúc mạng 4G LTE/SAE 17 Hình 2.2: Các kết nối MME đến nút logic khác chức 18 Hình 2.3: Các kết nối S-GW với nút logic khác chức 19 Hình 2.4: Các kết nối P-GW với nút logic khác chức 20 Hình 2.5: Các kết nối PCRF với nút logic khác chức 21 Hình 2.6: Các kết nối eNodeB đến nút logic khác chức 22 Hình 2.7: Các giao diện eNodeB với nút mạng khác 22 Hình 2.8: Kiến trúc chuyển mạng với P-GW mạng nhà 24 Hình 2.9: Kiến trúc hệ thống 4G LTE/SAE tương tác với mạng 3GPP khác .25 Hình 2.10: Quá trình đăng ký thuê bao 27 Hình 2.11: Giải phóng kết nối S1 29 Hình 2.12 Hủy đăng ký khởi xướng UE 30 Hình 2.13: Cập nhật vùng theo bám (TAU) 33 Hình 3.1: Mơ hình an ninh tổng qt 4G LTE 36 Hình 3.2 Hệ sinh thái 4G LTE 37 Hình 3.3 Giải pháp bảo mật cho EPS 44 Hình 3.4 Hệ thống phân cấp khóa LTE 47 Hình 3.5: Q trình tạo khóa an ninh 48 Hình 3.6: Thủ tục yêu cầu chế độ an ninh NAS 50 Hình 3.7: Thủ tục yêu cầu chế độ an ninh AS 53 62 lựa chọn bắt đầu trình bảo vệ Trong trình chuyển giao trạm phát có hỗ trợ X2 S1, trạm phát đích thay đổi thuật toán an ninh thứ tự thuật toán cấu hình trạm phát đích khơng giống với trạm phát nguồn Việc thay đổi thuật toán an ninh diễn thay đổi trạm phát phục vụ, chuyển giao mà không thay đổi trạm phát phục vụ khơng cần thiết phải thay đổi thuật tốn an ninh Trong chuyển giao có hỗ trợ X2, trạm phát nguồn cung cấp khả an ninh UE thuật toán an ninh sử dụng Trạm phát đích kiểm tra, cần thiết phải thay đổi thuật tốn gửi yêu cầu tới trạm phát nguồn qua tin yêu cầu chuyển giao [TS36.331] Nói cách khác, trạm phát đích gửi tin yêu cầu chuyển giao tới trạm phát nguồn, trạm phát nguồn chuyển tin tới UE Theo cách này, UE biết thuật toán an ninh trước chuyển giao thực diễn thiết lập cấu hình an ninh cho phiên thơng tin với trạm phát đích Như vậy, báo hiệu mức AS tin liệu mặt phẳng người sử dụng bảo vệ toàn thời gian thuật toán thay đổi Trong trường hợp trạm phát nguồn nằm ảnh hưởng kẻ cơng, gửi thơng tin sai lệch tới trạm phát đích khả an ninh UE Với thơng tin sai lệch đó, trạm phát đích lựa chọn thuật tốn an ninh yếu, giảm thiểu độ an tồn Để tránh trường hợp này, trạm phát đích gửi tới UE thơng tin khả an ninh UE UE kiểm tra nâng mức cảnh báo, ghi lại thông tin kiện với người quản trị Các tiêu chuẩn không yêu cầu mạng phải hủy trình chuyển giao trường hợp Trường hợp chuyển giao có S1, thơng tin trạm phát nguồn trạm phát đích thực thơng qua MME Nếu thay đổi MME phục vụ MME nguồn gửi thông tin khả an ninh UE tới MME đích với thơng tin ngữ cảnh UE MME đích sau gửi thơng tin khả an ninh UE tới trạm phát đích Do đó, trạm phát gốc khơng cung cấp thơng tin thuật tốn an ninh mà MME đích thực việc Đường trục nối đến eNode đòi hỏi an ninh cao vì: 63 - Vai trị eNodeB LTE mạnh sô với NodeB 3G UMTS: LTE eNodeB bao gồm NodeB RNC - ùng phù cần mở rộng liên tục - Chia sẻ hạ tầng Vì khơng thể ln ln tin cậy an ninh lớp vật lý eNodeB cần phải bảo vệ liên kết đường trục tốt Các yêu cầu sau áp dụng cho eNodeB: - Giao thức an ninh: ESP [RFC 4303] - Chế độ an ninh: tunnel (bắt buộc) với truyền tải (tùy chọn) - Phiên IKE: IKEv2 Hình 3.11 cho thấy tiến hành cấp chứng nhận an ninh cho eNodeB Hình 3.11 Quá trình cấp chứng nhận an ninh cho eNodeB Các biện pháp sau áp dụng cho an ninh nút chuyển tiếp: - Nhận thực tương hỗ: - AKA sử dụng (đăng nhập nút chuyển tiếp) - Các uỷ nhiệm an ninh lưu UICC - Thiết lập ràng buộc nút chuyển tiếp USIM - Dựa khóa chia sẻ trước đối xứng hay - Dựa chứng nhận 64 Hình 3.12 An ninh nút chuyển tiếp 3.3.4 An ninh cho VoLTE VoLTE (Voice-over-LTE) giải pháp giọng nói cho mạng di động LTE, tiến hành triển khai toàn giới Nó làm lại dịch vụ gọi từ chuyển mạch kênh truyền thống cho viễn thông thành chuyển mạch gói cho Internet VoIP Trong phần này, tiến hành nghiên cứu an ninh VoLTE Có nhiều lỗ hổng hai mặt phẳng điều khiển mặt phẳng liệu, bị khai thác để phá vỡ liệu thoại mạng lưới hoạt động Đặc biệt, thấy đối thủ dễ dàng truy cập liệu miễn phí, tắt truy cập liệu liên tục, chinh phục gọi diễn ra, vv [5],[6] Các nguy VoLTE V1 Lỗ hổng điều khiển truy cập phần cứng phần mềm điện thoại: Điều khiển truy cập mặt phẳng điều khiển giúp đảm bảo độc quyền sử dụng tín hiệu VoLTE đích thực Tuy nhiên, nhiều thiết bị thiếu kiểm sốt truy cập truy cập tới mặt phẳng điều khiển VoLTE Hình mô tả việc thực thiết bị di động Có tùy chọn để kiểm sốt truy cập vào điện thoại: phần cứng (chipset 3G/4G) phần mềm (hệ điều hành, ứng dụng) 65 Hình 3.13: Kiểm sốt truy cập VoLTE thiết bị Đối với gọi CS, tất tín hiệu xử lý chipset, khơng tiếp xúc với hệ điều hành ứng dụng, nên chiếm quyền điều khiển chúng, trừ phần cứng bị tổn hại hay có chế độ gỡ lỗi đặc biệt nhà phát triển Ngược lại, tín hiệu VoLTE tiếp xúc với hệ điều hành di động, gọi giao diện VoLTE, tạo dành riêng cho VoLTE.Có nhiều lý để tiếp cận phần mềm: VoLTE thông qua giao thức Internet (IP SIP) hỗ trợ tốt hệ điều hành (ví dụ, thư viện android.net.sip), chương trình phần mềm đáp ứng thay đổi linh hoạt thông tin phong phú cho hệ điều hành ứng dụng để tối ưu hóa hiệu suất Theo thiết kế, có tín hiệu hãng qua giao diện VoLTE nhập chipset nằm bên Tuy nhiên, giao diện VoLTE không vững chống lại khơng có thẩm quyền truy cập ứng dụng khơng có đặc quyền khác dễ dàng có thơng tin giao diện VoLTE Trong thực tế, thơng tin lấy trực tiếp từ thiết lập mạng lưới hệ điều hành Ví dụ, điện thoại Android, địa IP lấy từ / proc / net / if_inet6, địa IP máy chủ hiệu từ bảng định tuyến (/ proc / net / ipv6_route) Hơn nữa, khả thi đối thủ để đưa liệu khơng VoLTE gói tin (màu đỏ đứt nét hình) Những kẻ cơng khơng có gốc đặc quyền định điểm đến với VoLTE liên quan máy chủ Với bảng định tuyến mặc định với quy định họ, ứng dụng khơng có đặc quyền 66 tiêm gói vào VoLTE tín hiệu khơng ghi tên, gói tin chuyển đến máy chủ VoLTE Với đặc quyền root, kẻ thù thêm quy tắc định tuyến đến đích cho giao diện VoLTE Do ơng tiêm gói tin đến mục tiêu thơng qua tín hiệu không ghi tên Lưu ý kiểm tra tất ba loại phổ biến giao thông thực nghiệm nghiên cứu phần này: UDP, TCP, ICMP V2 Định tuyến chuyển tiếp thiếu chặt chẽ mạng: Điểm yếu nằm phía bên mạng định tuyến chuyển tiếp gói tin Nó dẫn đến hai hậu bất ngờ Đầu tiên, lưu lượng truyền qua VoLTE chưa xác minh thời điểm chạy Các gói điều khiển khơng xác thực chuyển tiếp mạng Nếu khơng có thời gian chạy lọc, gói liệu không cần thiết phải máy chủ VoLTE lõi IMS, vào qua VoLTE mà không cần ghi tên Thứ hai, quy tắc định tuyến mạng di động dễ bị lạm dụng Điện thoại VoLTE cần trao đổi tin báo hiệu với thông qua máy chủ VoLTE Khi quy tắc định tuyến hướng vào nhau, điện thoại tồn cho người mang tín hiệu cổng 4G, điện thoại giao tiếp với mà khơng cần đến máy chủ báo hiệu cho phép trực tiếp, truyền thơng di động-tới-di động Có khả định tuyến quy tắc để phần lại Internet tồn tại; tạo điều kiện truy cập liệu di động đến Internet thơng qua VoLTE tín hiệu khơng ghi tên V3 Lạm dụng việc khơng tốn sử dụng VoLTE: Tín hiệu điều khiển VoLTE miễn phí Bất kỳ gói liệu qua VoLTE mang tín hiệu miễn phí, khơng cần biết điểm đến họ máy chủ báo hiệu VoLTE hay khơng Do đó, chẳng hạn ngồi ý muốn truyền liệu xử lý VoLTE tín hiệu bỏ qua toán chế để truy cập PS liệu bình thường Thơng thường, truy cập liệu di động trừ tiền dựa khối lượng (ví dụ, số lượng byte truyền đi) Kể từ VoLTE tiếp tục cung cấp gọi dịch vụ, thường áp dụng tính cước theo thời gian, tương tự cho gọi CS truyền thống Do đó, có thời gian gọi mặt phẳng liệu thu thập để toán Bản tin điều khiển VoLTE sử dụng để tạo điều kiện cho gọi thoại nên miễn cước Hơn nữa, số tín 67 hiệu chí cịn trao đổi trước gọi thành lập, ví dụ, SIP-INVITE, SIP-INVITE-OK, thơng điệp SIP INVITE-ACK sử dụng để thiết lập gọi Tuy vậy, việc thực hành cung cấp tín hiệu VoLTE miễn phí có sơ hở Các nhà khai thác khơng thực thi tất gói tin qua kênh mang báo hiệu VoLTE có tin điều khiển thực Thậm chí tệ hơn, chưa có chế hiệu để hạn chế lưu lượng qua Kết là, điều dễ dàng bị lạm dụng để làm cho dịch vụ liệu "tự do" V4 Lam dụng QoS cao tín hiệu VoLTE: Một tính bật VoLTE khả đảm bảo cao chất lượng cho gọi thoại Mỗi kênh mang kết hợp với định danh lớp QoS (QCI), xác định đặc điểm gói IP mức độ ưu tiên, đảm bảo băng thơng, trễ gói gói Kênh mang tín hiệu VoLTE có độ ưu tiên cao (mức 1) truyền liệu (ví dụ, trang web, video streaming) có mức thấp (mức 9) Truy cập liệu VoLTE bị khai thác ngăn chặn liệu PS bình thường với quyền ưu tiên Lưu ý hai thuộc thể loại tốc độ bit khơng đảm bảo, đó, kênh mang thoại với QCI = có tốc độ bít đảm bảo (GBR) GBR kênh mang cấp tài nguyên mạng chuyên dụng qua radio liên kết có dây có chất lượng âm đảm bảo cách đảm bảo tỷ lệ trung bình cho khoảng thời gian Dịch vụ liệu miễn phí: để lấy quyền truy cập liệu bên (Mobile – to – Internet) nội (Mobile – to – mobile) Tấn công từ chối dịch vụ liệu: nhằm đánh sập dịch vj liệu hoạt động máy nạn nhân cách tận dụng truy cập mức cao việc truyền liệu VoLTE bị khác thác Kẻ công chèn lưu lượng lớn vào kênh mang tín hiệu tới kênh mang tín hiệu nạn nhân Nó thâu tóm tồn băng thơng downlink dịch vụ liệu nạn nhân, gây từ chối dịch vụ liệu Overcharging liệu: khiến nạn nhân trả mức cước phí nhiều bình thường cách chèn liệu vào kênh mang dịch vụ - tín hiệu nạn nhân Kiểu cơng khác DoS liệu chỗ, DoS gửi nhiều liệu tới kênh mang tín hiệu máy nạn nhân 68 Hình 3.14: Minh họa hình thức công Giải pháp an ninh: Để khắc phục nguy tiềm ẩn VoLTE,cần thực số biện pháp sau: Thứ nhất, gateway 4G thực thi quy định nghiêm ngặt cho route thông thường cho kênh mang Điều để uỷ quyền cho lưu lượng thực kênh mang tín hiệu/thoại chuyển tiếp gateway 4G điện thoại máy chủ truyền tín hiệu cổng truyền thơng IMS Nó giúp loại bỏ V2 Tuy nhiên, khơng sửa chữa V1, cịn dễ bị tổn thương cơng DoS, gây lãng phí tài ngun vơ tuyến Điều địi hỏi nâng cấp gateway 4G thực cách thêm vào lọc cho kênh mang VoLTE Nó cần nỗ lực nhiều thêm tất hợp lệ máy chủ vào danh sách trắng Thứ hai, nhà điều hành dừng thực hành sách tín hiệu tự chi phí tín hiệu tương tự lưu lượng liệu Điều loại trừ V3 phần lớn giảm động sử dụng để khai thác VoLTE cho việc truy cập liệu Tuy nhiên, điều đòi hỏi việc nâng cấp hệ thống toán Gateway 4G nên cho phép kế tốn cho hệ thống báo gói Thách thức khơng phải mặt kỹ thuật mà kinh doanh thực hành Trong mạng LTE, hợp lý người 69 tiêu dùng đăng ký với kế hoạch liệu cho truy cập Internet Một giải pháp bổ sung cho phép VoLTE khối lượng hạn ngạch liệu cho chương trình thoại Khi khối lượng hạn ngạch này, phải gánh chịu khơng phí phụ thêm hạn ngạch dựa trường hợp sử dụng thơng thường khối lượng tín hiệu cho gọi thường nhỏ Cách tiếp cận khơng địi hỏi người dùng phải nhận thức thay đổi tốn tình lành tính, lạm dụng VoLTE cho số lượng lớn giao hàng khối lượng xác định tính phí phụ thêm Thứ ba, liên quan đến công DoS, gọi cho chế để đảm bảo phân bổ nguồn lực lưu lượng Một phương pháp thực thi chế hoãn Một lưu lượng phát giả lưu lượng rác, khối lượng hạch toán, nguồn truy trở lại khối lượng vượt ngưỡng định Khi chạy, tài nguyên yêu cầu lớn hạn mức, ưu tiên giảm Chương trình làm giảm, khơng loại bỏ lãng phí nguồn lực ưu tiên Lý tưởng nhất, an toàn cần thực thiết bị để ngăn chặn lưu lượng không xác thực gửi Tuy nhiên, điều nâng cao hình thức khai thác truy cập bị chặn tận dụng chế hoãn phần mềm độc hại triển khai nạn nhân 3.3.5 An ninh mạng IP Để bảo vệ cho lưu lượng sở IP giao diện mạng truy nhập/ truyền tải (E-UTRAN), mạng lõi (EPC), hay mạng lõi với nhau, 3GPP đưa chức NDS/IP (trừ giao diện S1-U giao diện bảo vệ 3GPP) NDS định nghĩa tiêu chuẩn 3GPP TS 33.210 chức thuộc nhóm an ninh II Đối với mạng LTE, kiến trúc NDS triển khai sau: 70 Hình 3.15 Kiến trúc triển khai NDS mạng LTE Mạng LTE chia thành hai loại miền an ninh gồm miền E-UTRAN miền EPC Trong đó: • Miền EPC: Tại biên đặt SEG (Security Gateway), miền có NE node mạng triển khai: ví dụ MME, • Miền E-UTRAN: Do số lượng miền EUTRAN lớn kết nối với qua mạng lưới phức tạp tồn hai giao diện S1 X2 nên giải pháp đặt SEG biên miền EUTRAN khơng hợp lý Vì miền E-UTRAN có NE node mạng (eNodeB) • Giao diện Za (giữa SEG) song hành giao diện S8 Home-PLMN Visited-PLMN, Home-PGW Visited-PGW • Giao diện Zb (giữa NE NE SEG) song hành giao diện S1 X2 mạng LTE nhà cung cấp Giao diện phải triển khai giống với giao diện Za, không cần đầy đủ chức SEG • Giao diện Zb SEG NE EPC tùy chọn node bảo vệ mặt vật lý (cùng mạng LAN) • NDS/IP khơng đảm bảo an ninh cho kết nối EPC Internet (giao diện SGi) NDS/IP cung cấp dịch vụ an ninh sau: • Nhận thực liệu gốc: bảo vệ node khỏi liệu khơng rõ nguồn gốc 71 • Tồn vẹn liệu: bảo vệ liệu truyền không bị thay đổi (man-inthemiddle) • Bảo vệ chống lại trình replay • An ninh liệu: bảo vệ chống lại việc đánh cắp liệu (eavesdropping) • Bảo vệ giới hạn chống lại việc phân tích luồng liệu Các chế bảo vệ thực thông qua IPsec, đặc biệt IPsec ESP (Encapsulating Security Payload) chế độ đường hầm, với IKE (Internet Key Exchange) sử dụng để thiết lập mối liên hệ an ninh IPsec SEG SEG NE IPsec EPS cung cấp tính bảo vệ an ninh, mà tính tập hợp nhiều thuật tốn an ninh: • Nhận thực: cung cấp ban đầu thơng qua nhận thực tương hỗ trao đổi khóa an ninh SEG SEG NE sử dụng giao thức IKE, thông qua AH (Authentication Header) gói tin IPsec để đảm bảo nhận thực gói, ví dụ sử dụng SHA-1 • Tồn vẹn: cung cấp thơng qua chế băm gói mã hóa IPsec, ví dụ SHA-1 • An ninh: cung cấp thơng qua việc mã hóa IPsec đóng gói gói tin, ví dụ AES • Anti-replay SEG (Security Gateway: cổng an ninh) đặt biên giới miền an ninh có nhiệm vụ tập trung tất lưu lượng vào miền mạng NE (Network Entity: thực thể mạng) nút mạng thuộc E-UTRAN, EPC IMS eNodeB, MME, S-CSCF Các SEG thực IKE1 IKE2 (IKE: Internet Key Exchange) cung cấp khả lưu giữ khóa lâu dài Giao diện Zb định nghĩa để cung cấp truy nhập an ninh cho an ninh nội mạng 3.4 Đề xuất triển khai giải pháp an ninh cho VoLTE mạng 4GLTE Tại Việt Nam nay, nhà cung cấp dịch vụ thông tin di động lớn VinaPhone, MobiPhone Viettel có hạ tầng mạng lưới 3G dựa tảng UMTS nên việc tiếp tục triển khai LTE hạ tầng có sẵn giải pháp mang lại hiểu 72 kinh tế Trong thực tế triển khai mạng 4G, nhà mạng thực thi nhiều giải pháp an ninh mạng 4G LTE, nhằm cung cấp dịch vụ tốt tới tay người dùng Cụ thể, VNPT xây dựng áp dụng giải pháp an ninh như: - Thực xây dựng chế an ninh lớp khác cho không bị an ninh chế bị phá vỡ Các chế mật mã hóa, nhận thực thiết bị, nhận thực truy cập áp dụng lớp liên kết, phương pháp tường lửa, IPSec, hạ tầng áp dụng cho lớp mạng, giải pháp chữ kí điện tự, an ninh giao dịch điện tử áp dụng cho lớp ứng dụng… - Tuân thủ chuẩn hóa vấn đề an ninh mạng thông tin di động 4G LTE An ninh EPS theo [TS33.401], Tiêu chuẩn an ninh cho trạm phát gốc đưa [TS33.320], khóa EPS AKA [TS33.102] Các yêu cầu an ninh EPS đưa [TS22.278] [TS33.401] - Sử dụng công cụ RNAS công tác quản lý cập nhật thông tin phát triển trạm giúp cập nhật thông tin online, nâng cao khả phối hợp đơn vị, phận tham gia triển khai dự án, quản lý công tác quy hoạch, phát triển hạ tầng triển khai dự án 4G Hệ thống có chức cập nhật thông tin phát triển trạm dự án, trạm quy hoạch, từ phân bổ thiết bị, anten, nguồn acc quy phù hợp - Nghiên cứu sản xuất thiết bị đầu cuối (SmartBox, STB…) với uplink 4G, làm chủ công nghệ, đảm bảo an ninh; đẩy mạnh cung cấp dịch vụ theo mơ hình full VMP với đầy đủ tính năng, cho phép người sử dụng tận dụng tối đa sức mạnh băng thông mạng 4G - Thực giám sát mạng lưới, quản lý cân tải Sử dụng chế xác thực mạnh mẽ, ủy quyền mã hóa hệ điều hành - Thực bảo mật gateway tránh truy cập trái phép hay công, trộm cắp dịch vụ Để đảm bảo an tồn an ninh triển khai mạng LTE, nhà mạng 73 cần có giải pháp, sách phù hợp: - Dựa an ninh EPS UMTS làm sở, xây dựng, sử dụng giải pháp an ninh EPS an tồn mềm dẻo Phần tử khóa bị ràng buộc EPS sử dụng: o Chuẩn bị cho mật mã 256 bit mạnh o Một chế quan trọng, cập nhật chuyển giao LTE o An ninh backhaul o Đề phịng vụ cơng eNBs o Tích hợp an ninh cho truy nhập 3GPP - Tuân thủ áp dụng khuyến nghị 3GPP an ninh mạng di động: Việc sử dụng thiết bị áp dụng theo tiêu chuẩn đem lại nhiều lợi ích kỹ thuật kinh tế thiết bị áp dụng giải pháp bảo mật độc quyền - Nhà mạng cần có biện pháp đảm bảo an tồn cho vị trí đặt trạm phát: Mạng LTE thiết kế để cung cấp dung lượng mạng vùng phủ gần khơng có giới hạn, phải triển khai (cell) có kích thước nhỏ Điều đồng nghĩa với việc mạng LTE phải đặt trạm phát nhiều địa điểm bao gồm điểm công cộng trung tâm mua sắm, sân bay đường phố Các địa điểm phải đối mặt với nguy tiếp cận trái phép với trạm phát người khơng có thẩm quyền, làm ảnh hưởng tới an ninh mạng Do vậy, mạng LTE cần khả phát thiết bị giả mạo Truy cập local cho phép người sử dụng truy nhập tạm trú mạng hợp tác từ thiết bị 3GPP Lựa chọn lưu lượng IP offload đạt tối ưu đường lưu lượng cho người sử dụng lưu lượng internet mà khơng có ý định đạt dịch vụ mạng lõi nhà vận hành - Tuân thủ, sử dụng thuật tốn mã hóa cho bảo vệ: SNOW 3G dựa vào UEA1 UIA1; AES dựa vào UEA2 UIA2 Các biện pháp, sách đảm bảo an ninh cho miền an ninh đề cập cần thiết Hiện nay, dịch vụ VoLTE phát triển mạnh mẽ, song song với nhiều nguy an ninh xuất hiệ bị tin tặc công khai thác, cần thiết phải có sách, giải pháp an ninh để ngăn chặn Cụ thể, cần thiết nâng 74 cấp 4G gateway bổ sung thêm lọc cho kênh mang VoLTE Ngừng sử dụng sách tín hiệu tự tín hiệu tính cước lưu lượng liệu Đối với thiết bị đầu cuối, xây dụng quyền hạn VoLTE, cho phép trình quay số truy cập giao diện VoLTE nâng cấp chipset điện thoại hạn chế điều khiển truy cập Bổ sung chế quản lý phiên theo thời gian thực, để ngăn chặn công sử dụng tin SIP SUBCRIBE bất thường VoLTE 3.5 Kết luận chương Nội dung chương tập trung sâu vào nghiên cứu, mô tả nguy an ninh giải pháp an ninh mạng 4G LTE: mạng lõi, mạng truy cập, mạng IMS, VoLTE Từ đưa số đề xuất triển khai mạng 4G LTE Việt Nam 75 KẾT LUẬN Các kết đạt luận văn: - Tìm hiểu khái qt tổng quan hệ thống thơng tin di động, đặc biệt yêu cầu thách thức đặt mạng 4G LTE - Nghiên cứu kiến trúc, phần tử hoạt động mạng 4G - Nghiên cứu nguy an ninh mạng mạng 4G LTE - Nghiên cứu giải pháp an ninh mạng 4G LTE: kiến trúc an LTE ninh, kiến trúc khóa, tạo khóa, chế bảo vệ liệu báo hiệu bảo vệ liệu người dùng - Đề xuất số vấn đề giải pháp an ninh VoLTE triển khai 4G LTE Việt Nam Hướng phát triển: - Nghiên cứu, áp dụng giải pháp an ninh vào giai đoạn triển khai thử nghiệm 4G LTE VNPT, đánh giá phù hợp áp dụng rộng rãi toàn quốc - Trên sở luận văn, nghiên cứu thêm thuật toán mã hóa, chế bảo vệ mềm dẻo cho VoLTE, giúp đảm bảo an toàn sử dụng dịch vụ người dùng Một lần em xin chân thành cảm ơn giúp đỡ nhiệt tình thầy giáo TS Vũ Văn San thầy cô trường Học viện Cơng nghệ Bưu Viễn thơng giúp đỡ em suốt trình học tập hoàn thiện luận văn Hà Nội, ngày tháng năm 2016 Học viên thực 76 DANH MỤC TÀI LIỆU THAM KHẢO: [1] Bùi Trung Thành, (2014), An ninh mạng LTE [2] Nguyễn Phạm Anh Dũng, (2006), An ninh thông tin di động, NXB Bưu điện; [3] Nguyễn Phạm Anh Dũng, (2011), Bài giảng Thông tin di động,Học Viện Cơng nghệ Bưu Viễn thơng; [4] Anastasios Bikos, Nicolas Sklavos, (March 2013), LTE/SAE security issues on 4G wireless networks [5] Bonmin Koo, Sekwon Kim, Hwankuk Kim, (2014), Security and Countermeasures against SIP-Message-based Attacks on the VoLTE [6] Chi-Yu Li, Guan-Hua Tu, Chunyi Peng, Zengwen Yuan, Yuanjie Li, (2015)Insecurity of Voice Solution VoLTE in LTE Mobile Networks; [7] Dan Forsberg, Gunther Horn, Wolf-Dietrich Moeller, Valtteri Niemi (2010), LTE Sercurity, Wiley; [8] 3GPP TS 33.401 v12.9.0 3GPP System Architechture Evolution (SAE); Sercurity architecture (Release 12); [9] 3GPP TS 33.102 v11.5.13G Security; Security architecture (Release 11); [10] 3GPP TS 33.278 v12.4.0Technical Specification Group Services and System Aspects; Service requirements for the Evolved Packet System (EPS) (Release 12); [11] 3GPP TS 29.272 v12.2.0Evolved Packet System (EPS); Mobility Management Entity (MME) and Serving GPRS Support Node (SGSN) related interfaces based on Diameter protocol (Release 12); [12] 3GPP TS 33.320 v12.0.0 Security of Home Node B (HNB)/ Home evolved Node B (HeNB) (Release 12); ... cuối di động, tạo sở cho việc nghiên cứu nguy giải pháp an ninh mạng di động 4G LTE đề cập phần sau 35 Chương - NGHIÊN CỨU NGUY CƠ VÀ GIẢI PHÁP AN NINH TRONG MẠNG DI ĐỘNG 4G/ LTE Phát triển lên 4G. .. tục truy cập LTE Chương tập trung nghiên cứu nguy giải pháp an ninh hệ thống di động 4G LTE, trình bày: nguy an ninh mạng LTE, giải pháp an ninh cho hệ thống khóa EPS, eNodeBs, VoLTE, người dùng... Luận văn tập trung nghiên cứu nguy giải pháp an ninh mạng thông tin di động 4G LTE, từ đưa giải pháp an ninh đề xuất để phòng ngừa, ngăn chặn đảm bảo an ninh cho hệ thống 4G LTE Việt Nam Luận