Các giải pháp an ninh cho mạng thông tin di động 3g

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI TRẦN THỊ THU HÀ CÁC GIẢI PHÁP AN NINH CHO MẠNG THÔNG TIN DI ĐỘNG 3G Chuyên ngành : ĐIỆN TỬ - VIỄN THÔNG LUẬN VĂN THẠC SĨ KHOA HỌC ĐIỆN TỬ VIỄN THÔNG NGƯỜI HƯỚNG DẪN KHOA HỌC : TS HỒ KHÁNH LÂM Hà Nội – 2012 MỤC LỤC LỜI CAM ĐOAN DANH MỤC CÁC HÌNH VẼ DANH MỤC CÁC BẢNG DANH SÁCH CÁC TỪ VIẾT TẮT GIỚI THIỆU 18 CHƯƠNG I: TỔNG QUAN MẠNG THÔNG TIN DI ĐỘNG 3G UMTS 20 1.1 Giới thiệu chương 20 1.2 Kiến trúc chung hệ thống thông tin di động 3G 20 1.3 Các loại lưu lượng dịch vụ 3GWCDMA UMTS hỗ trợ 22 1.4 Kiến trúc 3G WCDMA UMTS R3 24 1.4.1.Thiết bị người sử dụng UE (User Equipment) 25 1.4.2 Mạng truy nhập vô tuyến mặt đất UMTS (UTRAN: UMTS Terrestrial Radio Network) 27 1.4.3 Mạng lõi 29 1.4.4 Các mạng 33 1.4.5 Các giao diện 33 1.5 Kiến trúc 3G WCDMA UMTS R4 34 1.6 Kiến trúc 3G WCDMA UMTS R5 R6 37 1.7 Chiến lược dịch chuyển từ GSM SANG UMTS 40 1.7.1 3GR1 : Kiến trúc mạng UMTS chồng lấn 41 1.7.2 3GR2 : Tích hợp mạng UMTS GSM 42 1.7.3 3GR3 : Kiến trúc RAN thống 43 1.8 Cấu trúc địa lý mạng 3G UMTS/WCDMA 44 1.9 Các loại mã hóa sử dụng hệ thống 3G WCDMA 47 Mã Spreading (mã trải phổ) 49 Mã Scrambling (mã xáo trộn) 50 1.10 Giao diện vô tuyến hệ thống UMTS/ WCDMA 51 1.11 Kết luận chương 60 CHƯƠNG II: AN NINH TRONG THÔNG TIN DI ĐỘNG 61 2.1 Giới thiệu chương 61 2.2 Các yếu tố cần thiết an ninh thông tin di động đe dọa an ninh 61 2.2.1 Các yếu tố cần thiết an ninh thông tin di động 61 2.2.2 Các đe dọa an ninh 63 2.2.2.1 Giả mạo (Spoofing) 64 2.2.2.2 Thăm dò (Sniffing) 64 Trần Thị Thu Hà CH2009-ĐTVT -1- 2.2.2.3 Làm sai lệch số liệu (Tampering) 64 2.2.2.4 Đánh cắp (Theft) 65 2.3 Các công nghệ an ninh 65 2.3.1 Kỹ thuật mật mã 65 2.3.2 Các giải thuật đối xứng 66 2.3.3 Các giải thuật không đối xứng 67 2.3.4 Nhận thực 69 2.3.5 Các chữ ký điện tử tóm tắt tin 70 2.3.6 Chứng nhận số 72 2.3.7 Hạ tầng khóa cơng khai, PKI 73 2.3.8 Nhận thực tin nhận thực 78 2.4 Các giao thức đảm bảo an ninh biện pháp an ninh 79 2.4.1 Các giao thức đảm bảo an ninh 79 2.4.2 Các biện pháp an ninh khác 86 2.5 An ninh lớp ứng dụng 88 2.6 An ninh client thông minh 89 2.7 An ninh giao thức vô tuyến (WAP) an ninh GSM 91 2.7.1 An ninh giao thức vô tuyến(WAP) 91 2.7.2 An ninh GSM 94 2.8 Kết luận chương 97 CHƯƠNG III: CÁC GIẢI PHÁP AN NINH CHO MẠNG THÔNG TIN DI ĐỘNG 3G UMTS 98 3.1 Giới thiệu chương 98 3.2 Mơ hình kiến trúc an ninh 3G UMTS Các đe dọa an ninh 3G UMTS 98 3.2.1 Mơ hình kiến trúc an ninh 3G UMTS 98 3.2.2 Các đe dọa an ninh UMTS 100 3.3 Mơ hình an ninh giao diện vơ tuyến 3G UMTS 101 3.3.1 Mạng nhận thực người sử dụng 103 3.3.2 USIM nhận thực mạng 104 3.3.3 Mật mã hóa UTRAN 104 3.3.4 Bảo vệ toàn vẹn báo hiệu RRC 105 3.4 Nhận thực thỏa thuận khóa, AKA 106 3.4.1 Tổng quan AKA 107 3.4.2 Thủ tục AKA thông thường 109 3.4.3 Thủ tục AKA HLR/AuC 111 3.3.4 Thủ tục AKA USIM 112 3.4.5 Thủ tục AKA VLR/SGSN 112 3.4.6 USIM từ chối trả lời 112 3.5 Thủ tục đồng lại, AKA 114 3.5.1 Thủ tục đồng lại USIM 115 Trần Thị Thu Hà CH2009-ĐTVT -2- 3.5.2 Thủ tục đồng lại AuC 116 3.5.3 Thủ tục đồng lại VLR/SGSN 116 3.5.4 Sử dụng lại AV 116 3.5.5 Xử lý gọi khẩn 117 3.6 Các hàm mật mã 117 3.6.1 Yêu cầu giải thuật hàm mật mã 117 3.6.2 Các hàm mật mã 117 3.6.3 Sử dụng hàm bình thường để tạo AV AuC 119 3.6.4 Sử dụng hàm bình thường để tạo thơng số an ninh USIM 120 3.6.5 Sử dụng hàm để đồng lại USIM 121 3.6.6 Sử dụng hàm đồng lại AuC 121 3.6.7 Thứ tự tạo khóa 123 3.7 Các thông số nhận thực 123 3.7.1 Các thông số AV 123 3.7.2 AUTN 123 3.7.3 RES XRES 123 3.7.4 MAC-A XMAC-A 124 3.7.5 AUTS 124 3.7.6 MAC-S XMAC-S 124 3.7.7 Kích cỡ thơng số nhận thực 124 3.8 Sử dụng hàm f9 để tính tốn mã tồn vẹn 125 3.8.1 Các thông số đầu vào cho giải thuật toàn vẹn 126 3.8.2 MAC-I XMAC-I 127 3.8.3 Nhận dạng UIA 128 3.8.4 Các tin không bảo vệ toàn vẹn 128 3.9 Sử dụng hàm bảo mật f8 129 3.9.1 Các thông số đầu vào giải thuật mật mã 130 3.9.2 Nhận dạng UEA 131 3.10 Thời hạn hiệu lực khóa 131 3.11 Các giải thuật KASUMI 131 3.12 Các vấn đề an ninh 3G 132 3.12.1 Các phần tử an ninh 2G giữ 132 3.12.2 Các điểm yếu an ninh 132 3.12.3 Các tính an ninh dịch vụ 133 3.13 thực an ninh hệ thống UMTS 133 3.13.1 Mật mã hóa giao diện vơ tuyến 133 3.13.2 Các nút chứa khóa 134 3.13.3 Nhận thực 135 3.13.4 Các thao tác an ninh độc lập người sử dụng 136 3.13.5 Toàn vẹn số liệu 136 Trần Thị Thu Hà CH2009-ĐTVT -3- 3.13.6 Bảo mật người sử dụng 136 3.13.7 Đe dọa an ninh công cách phát lại 138 3.13.8 Truyền thông không an ninh CN 138 3.13.9 Độ dài khóa 139 3.13.10 Giấu tên dịch vụ mức cao 139 3.13.11 Mật mã hóa đầu cuối - đầu cuối 139 3.14 An ninh mạng 140 3.14.1 IPSec 140 3.14.2 MAPSec 142 3.15 An ninh chuyển mạng 2G VÀ 3G 143 3.15.1 Các trường hợp chuyển mạng 143 3.15.2 Khả tương tác người sử dụng UMTS 144 3.14.4 Khả tương tác người sử dụng GMS/GPRS 145 KẾT KUẬN VÀ KIẾN NGHỊ 147 TÀI LIỆU THAM KHẢO 148 Trần Thị Thu Hà CH2009-ĐTVT -4- LỜI CAM ĐOAN Tôi Trần Thị Thu Hà, Tôi xin cam đoan luận văn thạc sỹ đề tài “Các giải pháp an ninh cho mạng thơng tin di động 3G” Do nghiên cứu thực thông tin, số liệu sử dụng luận văn trung thực xác Học viên Trần Thị Thu Hà Trần Thị Thu Hà CH2009-ĐTVT -5- DANH MỤC CÁC HÌNH VẼ Hình 1.1 Kiến trúc tổng quát mạng di động kết hợp CS PS 21 Hình 1.2 Kiến trúc 3G WCDMA UMTS R3 25 Hình 1.3 Vai trò logic SRNC DRNC 28 Hình 1.4 Kiến trúc mạng phân bố phát hành 3GPP R4 35 Hình 1.5 Kiến trúc mạng 3GPP R5 R6 38 Hình 1.6 Chuyển đổi dần từ R4 sang R5 40 Hình 1.7 Kiến trúc đồng tồn GSM UMTS (phát hành 3GR1.1) 42 Hình 1.8 Kiến trúc mạng RAN tích hợp phát hành 3GR2 (R2.1) 43 Hình 1.9 Kiến trúc RAN thống 3GR3.1 44 Hình 1.10 Cấu trúc địa lý mạng 45 Hình 1.11 Số cell Node B phụ trách 46 Hình 1.12 Kiểu lắp đồng hướng 46 Hình 1.13 Kiểu lắp xen kẽ (nhìn từ xuống) 47 Hình 1.14 Sơ đồ trình trải phổ giải trải phổ mạng 3G WCDMA 49 Hình 1.15 Phân khung mã sambling code 50 Hình 1.16 Cấu trúc giao thức vơ tuyến hệ thống WCDMA 51 Hình 1.17 Cấu trúc đóng gói khung hệ thống UMTS 52 Hình 1.18 Cấu trúc khung tổng quát kênh vật lý 55 Hình 1.16 Tổng kết loại kênh vật lý 57 Hình 1.19 Kênh logic, kênh truyền tải chuyển đổi chúng 58 Hình 1.20 Sự chuyển đổi kênh truyền tải với kênh vật lý đường xuống 59 Hình 1.21 Sự chuyển đổi kênh truyền tải với kênh vật lý đường xuống 59 Hình 2.1 Minh họa chế sở mật mã khóa riêng 66 Hình 2.2 Nhận thực khóa cơng khai 70 Hình 2.3 Quá trình sử dụng tóm tắt (digest) tin để cung cấp chữ ký điện tử 71 Hình 2.4 PKI dựa phân cấp CA phân bố 75 Hình 2.5 Nhận thực chữ ký điện tử 76 Hình 2.6 Phương pháp nhận thực sử dụng khóa MAC 78 Hình 2.7 Khn dạng gói sử dụng AH chế độ truyền tải đường hầm (tunnel) IPSec 82 Hình 2.8 Khn dạng gói sử dụng ESP chế độ truyền tải 83 đường hầm (tunnel) IPSec 83 Hình 2.9 Thí dụ kiến trúc IPSec (các cổng máy) 85 Hình 2.10 Thí dụ sử dụng hai tường lửa với cấu hình khác để đảm bảo mức an ninh khác cho hãng 86 Hình 2.11 Mơ hình an ninh cho giao diện vơ tuyến GSM 94 Hình 3.1 Mơ hình an ninh cho giao diện vơ tuyến 3G UMTS 102 Trần Thị Thu Hà CH2009-ĐTVT -6- Hình 3.2 Nhận thực người sử dụng VLR/SGSN 103 Hình 3.3 Nhận thực mạng USIM 104 Hình 3.4 Bộ mật mã luồng UMTS 104 Hình 3.5 Nhận thực vẹn tin 105 Hình 3.6 Tổng quan trình nhận thực thỏa thuận khóa 107 Hình 3.7 Biểu đồ chuỗi báo hiệu AKA 111 Hình 3.8 Thủ tục từ chối trả lời nhận thực 113 Hình 3.9 Thủ tục đồng lại AKA 114 Hình 3.10 Tạo Av AuC 119 Hình 11 Tạo thông số an ninh USIM 120 Hình 3.12 Tạo AUTS USIM 121 Hình 3.13 Thủ tục đồng lại AuC 122 Hình 3.14 Nhận thực tồn vẹn tin với sử dụng hàm toàn vẹn f9 126 Hình 3.15 Q trình mật mã hóa giả mật mã sử dụng hàm f8 129 Hình 3.16 Phân phối IMIS số liệu nhận thực SN 135 Hình 3.17 Nhận dạng người sử dụng theo IMSI 138 Hình 18 Chế độ truyền tải 141 Hình 3.19 chế độ truyền tunnel 142 Hình 3.20 Kiến trúc mạng linh hoạt 143 Hình 3.21 Chuyển mạng thuê bao UMTS 144 Hình 3.22 chuyển mạng thuê bao GSM 145 Hình 3.23 An ninh chuyển mạng máy di động hai chế độ (UMTS GSM) phát hành tương ứng 146 Trần Thị Thu Hà CH2009-ĐTVT -7- DANH MỤC CÁC BẢNG Bảng 1.1 Phân loại dịch vụ 3GWDCMA UMTS 23 Bảng 1.2 Các loại mã WCDMA 48 Bảng 3.1 Các hàm mật mã đầu chúng 118 Bảng 3.2 Các thông số AV 123 Bảng 3.3 Số bit thông số nhận thực 125 Bảng 3.4 Các thông số đầu vào cho hàm f9 127 Bảng 3.5 Các thông số đầu vào cho hàm f8 130 Trần Thị Thu Hà CH2009-ĐTVT -8- DANH SÁCH CÁC TỪ VIẾT TẮT 1G The First Generation Hệ thống di động hệ 2G The Second Generation Hệ thống di động hệ hai 3G The Third Generation Hệ thống di động hệ ba 3GPP Third Generation Partnership Project Đề án đối tác hệ thứ ACL Access Control List Danh sách điều khiển truy nhập ADS Application Domain Security An ninh miền ứng dụng AES Advantage Encryption Standard Tiêu chuẩn mật mã hóa tiên tiến AH Authentication Header Tiêu đề nhận thực AKA Authentication and Key Agreement Nhận thực thỏa thuận khóa AMF Authentication Management Field Trường quản lý nhận thực AMPS Advanced Mobile Phone System Hệ thống điện thoại tiên tiến ATM Asynchronous Transfer Mode Phương thức truyền bất đối xứng AuC Authentication Center Trung tâm nhận thực AUTN Authentication Token Thẻ nhận thực mạng AV Authentication Vector Vec-tơ nhận thực Trần Thị Thu Hà CH2009-ĐTVT -9- tránh điều Điều tăng an ninh đường vi ba số chúng điểm yếu giao diện Uu đầu cuối nút B Trong W-CDMA (công nghệ truy nhập vô tuyến UMTS), tín hiệu “ẩn” tạp âm Các tin gửi gói thơng tin mã hóa thời gian lẫn tần số, chúng XOR với mật mã trải phổ, khó nghe trộm luồng số người sử dụng Tuy nhiên bảo mật khơng tích cực nút B RNC, luồng số liệu người sử dụng dễ bị phát dạng văn thô Để tăng cường an ninh giao diệ vô tuyến UTRAN, ln ln cần tích cực bảo vệ tồn vẹn Một giải pháp khác áp dụng bảo mật mạng để tất kết nối an toàn 3.13.2 Các nút chứa khóa Bảo mật GSM đặt BTS, UMTS, bảo mật bảo vệ toàn vẹ chuyển đến gần CN giảm bớt nút lưu giữ khóa mật mã khóa an ninh Khi có nút xử lý khóa hơn, việc điều khiển sử dụng khóa dễ nhiều Nhưng điều có nghĩa VLR/SGSN phải theo dõi xem RNC thu theo dõi xóa chúng Mỗi người sử dụng chuyển động vào vùng VLR/SGSN mới, số nhận dạng tạm thời người sử dụng cần chuyển giao VLR/SGSN cũ Các AV lưu chuyển giao VLR/SGSN cũ gửi chúng, phải xóa AV Sau buộc RNC xóa khóa lưu Hình 3.16 cho thấy trình phân phát IMIS số liệu nhận thực SN Trần Thị Thu Hà CH2009-ĐTVT - 134 - Hình 3.16 Phân phối IMIS số liệu nhận thực SN Bằng cách hạn chế số khóa lưu hệ thống, ta giảm rủi ro người sử dụng trái phép Vì nút VLR/SGSN phục vụ phải trì điều khiển chặt chẽ RNC mà cung cấp khóa CK/IK buộc chúng phải xóa khóa khơng cịn sử dụng Ngồi AV lưu phải xóa khơng cịn sử dụng 3.13.3 Nhận thực Nhận thực người sử dụng UMTS giao thực giống nhận thực GSM.Vấn đề BTS giả mạo GSM xảy khơng có nhận thực mạng từ phía người sử dụng Bằng cách đưa BTS giả, kẻ mạo danh buộc thuê bao sử dụng BTS mà khơng có nhận thực bảo mật Điều dẫn đến thông tin thực giao diện vô tuyến BTS dạng văn thơ Vì truy nhập BTS này, kẻ xâm phàm nghe số liệu người sử dụng Để tránh nhược điểm này, UMTS nhận thực mạng từ phía người sử dụng đưa Bản tin AUTN gửi từ AuC đến USIM để nhận thực AuC Bằng cách này, VLR/SGSN thực AKA cho thấy HE người sử dụng tin tưởng Vì bảo vệ Trần Thị Thu Hà CH2009-ĐTVT - 135 - tồn vẹn khơng phải tùy chọn, cho phép tránh BTS giả Tất tin báo hiệu phải bảo vệ toàn vẹn xảy chuyển giao đến mạng không phép thiếu IK Nhận thực hai phía: mạng người sử dụng đảm bảo hàm tạo khóa tin cậy 3.13.4 Các thao tác an ninh độc lập người sử dụng Các thao tác an ninh UMTS độc lập người sử dụng USIM SN tự động thực AKA sử dụng bảo vệ toàn vẹn, bảo mật Bảo vệ toàn vẹn luôn thực cho tin báo hiệu UMTS (trừ chối gọi khẩn), khơng sử dụng cho số liệu người sử dụng, cịn bảo mật tùy chọn nên người sử dụng phải thơng báo sử dụng hay khơng Đối với số gọi người sử dụng khơng quan tâm có hay khơng có bảo mật, giao dịch nhạy cảm (ngân hàng trực tuyến chẳng hạn) dịch vụ phải thực với bảo mật Đầu cuối phải cung cấp khả lập cấu hình cho sử dụng dịch vụ cần cung cấp tùy theo dịch vụ an ninh tích cực với việc khẳng định điều hình 3.13.5 Tồn vẹn số liệu Tồn vẹn số liệu người sử dụng không cung cấp UMTS để giảm tải xử lý UE RNC giảm phần bổ sung tin Tuy nhiên truyền thơng khơng bảo vệ tồn vẹn, tin USIM RNC bị giả mạo Khi tryền tin có bảo vệ tồn vẹn, tin giả mạo bị trừ chối phía thu giao thức lớp cao yêu cầu phát lại Như bảo vệ toàn vẹn số liệu UMTS Chỉ thực giao thức lớp cao 3.13.6 Bảo mật người sử dụng Quá trình nhận dạng người sử dụng UMTS sử dụng số nhận dạng cố định (IMIS) giống GSM Tuy nhiên nhận dạng UTRAN thực Trần Thị Thu Hà CH2009-ĐTVT - 136 - cách sử dụng TMSI lưu lượng CS P-TMSI lưu lượng PS Tuy nhiên cần đăng ký bắt đầu đăng ký th bao mạng khơng thể biết nhận dạng cố định người sử dụng Một người sử dụng nhận dạng SN, SN cung cấp TMSI P-TMSI để đảm bảo người sử dụng có nhận dạng riêng trì quan hệ IMSI TMSI TMSI sử dụng TMSI định mạng Khi TMSI mạng ấn định công nhận, TMIS cũ loại bỏ khỏi VLR hay SGSN Trong trường hợp không công nhận, VLR/SGSN giữ nguyên hai TMSI sử dụng số chúng Bảo mật ngược sử dụng đảm bảo UMTS cách sử dụng nhận dạng tạm thời Chỉ có VLR/SGSN biết quan hệ IMSI TMSI RNC nút B biết TMSI Các TMSI sử dụng đường truyền vô tuyến nối đến đầu cuối để khơng cho kẻ trộm tìm nối đến nút B IMSI coi bí mật phải xử lý bí mật Nếu thuê bao di động mạng thực chuyển giao, nút mạng nối với chuyển giao số nhận dạng tạm thời chúng để tránh lộ số nhận dạng thực (IMSI) Tuy nhiên người sử dụng đến SN mà khơng có số nhận dạng tạm thời từ mạng Điều thường xảy người sử dụng đăng ký mạng lần đầu vầ nút SN phân giải số nhấn dạng tạm thời trao đổi với nút khác Nếu xảy điều này, VLR/SGSN phải hỏi số nhận dạng cố định (IMSI) th bao khơng thể có thủ tục AKA gửi thực trước biết biết số nhận dạng, nên tin trả lời gửi văn thô từ USIM đến VLR/SGSN giao diện vô tuyến Đây đe dọa an ninh lớn UMTS Vấn đề chỗ USIM để tự nhận dạng SN khác với mạng thuộc nhà khai thác quản lý phải tự cung cấp số nhận dạng toàn cầu Trần Thị Thu Hà CH2009-ĐTVT - 137 - Hình 3.17 Nhận dạng người sử dụng theo IMSI 3.13.7 Đe dọa an ninh công cách phát lại Các công cách phát lại hệ thống tin bị chặn sau phát lại Điều dễ dàng thực gây vấn đề sử dụng biến đầu vào số liệu cố định, để khắc phục nhược điểm số trình tự (các đầu vào thay đổi theo thời gian) sử dụng Các số trình tự AV đưa để tránh việc SN hay mạng khác tìm cách sử dụng AV nhiều lần để nhận thực tạo khóa Các tin sử dụng nhiều lần tin “ Yêu cầu nhận thực người sử dụng “ hay trả lời VLR/SGSN USIM bị Khi đồng hồ chờ tin VLR/SGSN chạy hết, yêu cầu phát lại tin “ Yêu cầu nhận thực người sử dụng” Các hàm f8 f9 có đếm để tránh công phát lại Với đêm khác cho đường lên đường xuống, đếm có giá trị đầu vào, nhiên để đảm bảo gửi tin hướng số nhận dạng sử dụng Có thể coi hệ thống UMTS an tồn cơng phát lại 3.13.8 Truyền thông không an ninh CN Truyền thông nút mạng CN chưa dảm bảo an ninh Vì tin truyền nút dạng văn thô Điều dẫn đến dễ nghe trộm số liệu người sử dụng tin báo hiệu đường từ Trần Thị Thu Hà CH2009-ĐTVT - 138 - đường chép lại AV Các kẻ giả danh nhà khai thác sử dụng AV để trao quyền truyền thơng dạng bảo vệ tồn vẹn với người sử dụng, kẻ giả danh tin cậy để nghe trộm số liệu người sử dụng đường truyền Nhóm an ninh 3GPP nghiên cứu để đưa mật mã hóa nút mạng phục vụ (SN), chưa có kết đường truyền mối de dọa an ninh lớn UMTS 3.13.9 Độ dài khóa Độ dài khóa trogn UMTS 128 bit Tại thời điểm tương lai gần đủ Tuy nhiên cần lưu ý cơng suất tính tốn máy tính không ngừng tăng nên tương lai độ dài tăng 3.13.10 Giấu tên dịch vụ mức cao Khi thủ tục AKA thực hiện, người sử dụng nhận dạng với mạng mạng biết gửi tin tính cước dịch vụ cho Sự tăng trưởng sử dụng thẻ di động (thẻ ghi nợ) cho dịch vụ không đắt tiền máy bán hàng trơng xe, đạt dấu tên người sử dụng AKA nhà cung cấp dịch vụ không cần quan tâm đến nhận dạng người sử dụng chừng họ toán tiền Chừng người sử dụng cịn đồng ý tốn tiền cho dịch vụ (trả trước hay đăng ký trả sau), nhà khia thác dịch vụ khơng cần biết người sử dụng Người sử dụng phải có khả lập cấu hình dịch vụ để biết vị trí thời mà giấu tên ứng dụng mức cao Người sử dụng phải có khă từ chối ứng dụng nhà cung cấp dịch vụ, ứng dụng đòi hỏi theo dõi thói quen người sử dụng 3.13.11 Mật mã hóa đầu cuối - đầu cuối Vì mật mã hóa bảo vệ tính tồn vẹn kết nối RNC, nên tin bị làm giả CN Một số dịch vụ yêu cầu bảo vệ toàn vẹn đầu cuối RNC, Trần Thị Thu Hà CH2009-ĐTVT - 139 - số dịch vụ khác nhạy cảm cần giữ bí mật từ đầu cuối đến đầu cuối Để đảm bảo toàn vẹn bảo mật truyền thơng, cần sử dụng mật mã hóa đầu cuối- đầu cuối Trong hệ thống 2G băng hẹp, khó thực mật mã hóa đầu cuối đầu cuối thời gian thực, mạng băng rộng áp dụng giải pháp mật mã hóa thơng thường Cả số liệu lưu lượng thoại mật mã hóa điều tăng an toàn cá nhân cho người sử dụng Các quan thẩm quyền muốn sử dụng thủ tục chặn theo luật để lấy truyền thông thoại số liệu người sử dụng khơng hài lịng khơng thể theo dõi truyền thơng, biện pháp nói cho phép tăng an ninh cá nhân cho người sử dụng Các quan có thẩm quyền muốn kiểm soát số lượng gọi người sử dụng, gọi xảy nào, đến đâu gọi dài bao lâu, họ khơng thể xâm phạm tính riêng tư người sử dụng cách nghe gọi đọc số liệu phát thu 3.14 An ninh mạng Tính quan trọng sử dụng để bảo vệ lưu lượng miền mạng giao thức IPSec Nó đảm bảo tính bí mật tồn vẹn cho truyền thơng lớp IP Các phía thơng tin nhận thực lẫn cách sử dụng IPSec Ngoài việc bảo vệ mạng dựa IP, chế an ninh đặc biệt gọi MAPSEC phát triển để bảo vệ giao thực ứng dụng có 3.14.1 IPSec Các phần IPSec tiêu đề nhận thực (AH: Authentication Header), tải tin an ninh đóng bao (ESP: Encapsulation Security Payload) trao đổi khóa Intrenet (IKE: Internet Key Exchange) Trần Thị Thu Hà CH2009-ĐTVT - 140 - Hình 18 Chế độ truyền tải IPSec sử dụng để bảo vệ gói IP Q trình thực ESP, đảm bảo bí mật lẫn tồn vẹn, cịn AH đảm bảo tính tồn vẹn mà thơi Cả ESP AH đề cần khóa để thực nhận thực mật mã hóa gói Vì trước sử dụng ESP AH cần đàm phán khóa Q trình thực cách an ninh thông qua IKE xây dựng ý tưởng mật mã hóa cơng cộng nhằm trao đổi thông tin an ninh đường truyền không an ninh Tồn hai chế độ ESP: chế độ truyền tải chế độ truyền tunnel Trong chế độ truyền tải tồn gói IP trừ tiêu đề mật mã hóa Sau tiêu đề ESP bổ sung tiêu đề IP phần vừa mật mã hóa Sau mã nhận thực tin (MAC) tính tốn cho tồn bộ, trừ tiêu đề IP MAC đặt vào cuối gói Tại phía thu, tính tồn vẹn đảm bảo cách loại bỏ tiêu đề IP khỏi đầu gói MAC khỏi cuối gói Sau thực hàm MAC so sánh đầu với MAC gói, tồn vẹn thành cơng, tiêu đề ESP loại bỏ phần lại giải mã Quá trình cho hình 3.18 Trong chế độ truyền tunnel, tiêu đề bổ sung đầu gói sau q trình tiến hành chế độ truyền tải cho gói nhận Điều có nghĩa tiêu đề IP gói gốc bảo vệ Trần Thị Thu Hà CH2009-ĐTVT - 141 - Hình 3.19 chế độ truyền tunnel Truyền thông ESP thực hai đầu cuối sử dụng chế độ truyền tải Để thực trình hai phía truyền thơng phải biết địa IP thực chức IPSec Thí dụ điển hình chế độ truyền tunnel trường hợp VPN Phương pháp bảo vệ tin điều khiển mạng thường hay dùng sử dụng ESP chế độ truyền tunnel cổng an ninh 3.14.2 MAPSec Mục đích MAPSec bảo vệ bí mật tồn vẹn tác nghiệp MAP Bảo vệ MAPSec thực ba chế độ Trong chế độ thứ an ninh không đảm bảo Trong chế độ thứ hai bảo vệ toàn vẹn, cịn chế độ thứ ba bí mật lẫn toàn vẹn đảm bảo Để đảm bảo bí mật, tiêu đề tác nghiệp MAP mật mã hóa Một tiêu đề an ninh bổ sung để dẫn cách gải mật mã Để đảm bảo tồn vẹn, MAC tính tốn dựa tải tin tác nghiệp MAC gốc tiêu đề an ninh Một thông số thay đổi theo thời gian sử dụng để tránh công cách phát lại Trần Thị Thu Hà CH2009-ĐTVT - 142 - 3.15 An ninh chuyển mạng 2G VÀ 3G Cùng với việc đưa mạng 3G, cần phải có chế để đảm bảo tương tác mạng 2G 3G Nói cách hơn, cần đảm bảo để hai mạng cộng tác với Vì cần có máy thu hai chế độ để người sử dụng 2G truy nhập vào mạng UMTS Tất nhiên nảy sinh vấn đề thuê bao 2G tìm cách đăng ký với thuê bao UMTS hay ngược lại 3.15.1 Các trường hợp chuyển mạng Tồn hai trường hợp cần thiết để thực thủ tục chuyển mạng (chuyển từ 3G sang 2G hay ngược lại) Trong trường hợp thứ 3G VLR phải có khả điều khiển 2G BSC 3G RAN, trường hợp thứ hai 2G VLR điều khiển 2G BSS Cả hai trường hợp mơ tả hình 3.20 Hình 3.20 Kiến trúc mạng linh hoạt Trần Thị Thu Hà CH2009-ĐTVT - 143 - 3.15.2 Khả tương tác người sử dụng UMTS Hình 3.21 Chuyển mạng thuê bao UMTS Kịch người sử dụng yêu cầu truy nhập mạng truy nhập vơ truyến 2G 3G hinh họa hình 3.21 UMTS HLR/AuC tạo thông số RAND để sử dụng cho việc tính thơng số XRES, AUTN, Ck, IK, Kc, SRES Ngoài việc xây dựng vector nhận thực phụ thuộc vào việc VLR có điều khiển đồng thời hai UTRAN GSM BSS hay GSM BSS Trong trường hợp thứ nhất: (3G RAN) vector nhận thực tính tốn trực tiếp Trong trường hợp thứ hai (2G RAN) GSM VLR nhận thông số cần thiết RAND, SRES Kc HLR/AuC tính tốn cách nén giá trị dài UMTS (CK= 128 bit, XRES= 128 bit) thành giá trị GSM (Kc= 64 bit, SRES=32 bit) Trần Thị Thu Hà CH2009-ĐTVT - 144 - Khi ngưởi sử dụng UMTS yêu cầu nhận thực 3G RAN (UTRAN), VLR điều khiển thực thủ tục nhận thực thỏa thuận khóa Trái lại thuê bao 3G chuyển vào vùng điều khiển mạng 2G nhận thực thực VLR mạng này, khởi đầu thủ tục nhận thỏa thuận khóa cách sử dụng vector nhận thực tương ứng 3.14.4 Khả tương tác người sử dụng GMS/GPRS Hình 3.22 chuyển mạng thuê bao GSM Trong trường hợp thuê bao GSM yêu cầu truy nhập mạng 2G hay 3G, kịch trình bày hình 3.22 HLR/AuC thực nhận thực thông số: RAND, SRES Kc Ngoài HLR/AuC phân bố vector nhận thực không phụ thuộc vào kiểu VLR Tuy nhiên phần nhận thực người sử dụng phức tạp Nếu người sử dụng muốn chuyển vào mạng 3G, nhận thực người sử dụng 3G RAN (UTRAN) VLR thực cách phát thông số RAND đến người sử dụng Thiết bị người sử dụng (2 chế độ) sử dụng RAND với thông số để tạo SRES Kc SRES gửi ngược đến VLR so sánh với SRES kỳ vọng HLR tính tốn Nếu so sánh trùng nhau, thỏa thuận Trần Thị Thu Hà CH2009-ĐTVT - 145 - thực khóa Kc Khi 3G VLR điều khiển tính tốn thơng số an ninh UMTS (CK, IK) cách giải nén giá trị GSM tương ứng thành giá trị UMTS Mặt khác, GSM nhận thực 2G RAN, VLR điều khiển khởi đầu nhận thực thảo thuận khóa trực tiếp Cuối ta tổng kết an ninh q trình chuyển mạng thuê bao hai chế độ: UMTS GSM hình 3.23 Hĩnh vẽ cho thấy phát hành tương ứng với chế an ninh Hình 3.23 An ninh chuyển mạng máy di động hai chế độ (UMTS GSM) phát hành tương ứng Trần Thị Thu Hà CH2009-ĐTVT - 146 - KẾT KUẬN VÀ KIẾN NGHỊ Luận văn đem lại nhìn tổng quan hệ thống thông tin di động 3G UMTS đồng thời thách thức phương pháp đảm bảo vấn đề an ninh cho mạng thông tin di động đặc biẹt an ninh cho mangh thông tin di động 3G UMTS Hiện Việt Nam, mạng thơng tin di động 3G (3G UMTS) cịn mẻ mở nhiều hội cho người sử dụng nhà mạng.Một số nhà mạng triển khai HSPA toàn mạng với tốc độ liệu lý thuyết lên đến 14.4 Mbps download upload lên tới 5.7 Mbps, sẵn sàng cho HSPA+ với tốc độ liệu lên đến 21 Mbps Vấn đề triển khai an ninh cho mạng HSPA, HSPA+ nhu cầu từ thức tế tương lai Tôi xin đề xuất vấn đề triển khai an ninh cho HSPA +HSPA cho hướng nghiên cứu đề tài Do thời gian thực tập có hạn hạn chế khơng thể tránh khỏi trình nghiên cứu nên luận văn tốt nghiệp em chắn tránh khỏi thiếu sót Em mong nhận quan tâm góp ý thầy, bạn để luận văn hoàn thiện Một lần em xin chân thành cảm ơn thầy giáo TS.Hồ Khánh Lâm trực tiếp hướng dẫn giúp đỡ em hoàn thành luận văn tốt nghiệp Trần Thị Thu Hà CH2009-ĐTVT - 147 - TÀI LIỆU THAM KHẢO TS Nguyễn Phạm Anh Dũng, Sách “Thông tin di động hệ ba”, Nhà xuất Bưu Điện, 2001 TS Nguyễn Phạm Anh Dũng, Sách “cdmaOne cdma2000”, Nhà xuất Bưu Điện, 2003 TS Nguyễn Phạm Anh Dũng, Giáo trình “Thơng tin di động hệ ba”, Học Viện Cơng nghệ Bưu Viễn thơng , Nhà xuất Bưu Điện, 2004 TS Nguyễn Phạm Anh Dũng, Sách ‘An ninh thông tin di động”, Nhà xuất Bưu-Điện, 9/2006 TS Nguyễn Phạm Anh Dũng, Bài giảng “Thông tin di động” cho đào tạo từ xa, Học Viện Cơng nghệ Bưu Viễn thơng 2007 TS Nguyễn Phạm Anh Dũng, Giáo trình “Lộ trình phát triển thông tin di động 3G lên 4G”, Học viện Cơng nghệ Bưu Viễn thơng, 12/2008 Trần Thị Thu Hà CH2009-ĐTVT - 148 - ... trình bày gồm chương: Chương I: Tổng quan mạng thông tin di động 3G UMTS Chương II: An ninh thông tin di động Chương III: Các giải pháp an ninh cho mạng 3G UMTS Tôi xin trân trọng gửi lời cảm ơn tới... NINH CHO MẠNG THÔNG TIN DI ĐỘNG 3G UMTS 98 3.1 Giới thiệu chương 98 3.2 Mơ hình kiến trúc an ninh 3G UMTS Các đe dọa an ninh 3G UMTS 98 3.2.1 Mơ hình kiến trúc an ninh. .. 61 2.2 Các yếu tố cần thiết an ninh thông tin di động đe dọa an ninh 61 2.2.1 Các yếu tố cần thiết an ninh thông tin di động 61 2.2.2 Các đe dọa an ninh 63 2.2.2.1 Giả mạo (Spoofing)