Các nhà khai thác IMS trong mạng GRX nên bảo vệ mạng riêng của họ khỏi các nhà khai thác khác với Gateway Boarder PLMN. Nó gần như là bắt buộc các nhà khai thác điện thoại di động nên thực hiện với các bức tường lửa lọc gói tin ở cạnh mạng lưới của họ. những tường lửa nên lọc tất cả lưu lượng truy cập đến / từ các nhà điều hành mạng di động.Bảo vệ như vậy ngăn ngừa một số loại tấn công DoS.Lọc sự xâm nhập ngăn chặn các cuộc tấn công khi một kẻ xâm nhập làm cho một cuộc tấn công vào một đối tác chuyển vùng với một địa chỉ IP giả mạo thuộc mạng của nhà khai thác khác. Các nhà khai thác điện thoại di động nên làm các thỏa thuận song phương khác để xác định rõ ràng những gì giữa các loại lưu lượng và từ đó BG nên chấp nhận các gói dữ liệu, tất cả các gói khác bị hủy bỏ.
Nó là tốt nếu các nhà khai thác di động triển khai một hệ thống bảo mật thông báo cho quản trị viên khi một kẻ tấn công đang cố gắng đột nhập vào hệ thống của nhà điều hành. như một hệ thống được gọi là Hệ thống phát hiện xâm nhập (IDS) [54]. Ý tưởng là để thực hiện IDS như phương tiện thực thi một chính sách bảo mật trong hệ thống của nhà điều hành. IDS so sánh xác định được trước các mẫu tấn công mạng vào lưu lượng mạng hiện tại từ trong và ngoài của nhà điều hành mạng.
Để bảo vệ chống lại các mối đe dọa đến tính bảo mật, tính tồn vẹn và tính sẵn sàng đường hầm mã hóa,chẳng hạn như IPSec, thường được sử dụng. Nhưng có một số hạn chế với IPSec.Khơng phải là khả năng mở rộng nó theo nghĩa là nó sẽ trở thành vấn đề để tạo ra một số lượng lớn các đường hầm operatorto-điều hành. Mỗi thực thể sử dụng IPSec cần được cấu hình độc lập [39].
Hình 28: Tổng quan về các biện pháp đối phó với các mối đe dọa có thể từ một lớp OSI
6.6.Điều khiển phiên biên giới IMS
Một điều khiển phiên biên (SBC) có vai trị quan trọng trong IMS ảnh hưởng lẫn an ninh đó là lý do tại sao nó sẽ được xem xét riêng biệt trong phần này.
SBC là một thiết bị nhận thức SIP điều khiển và quản lý các cuộc gọi đa phương tiện ở các biên giới của nhà khai thác mạng. Nó quản lý cả các tín hiệu và các phương tiện truyền thơng trong và ngồi mạng lưới của nhà điều hành mạng. Các hành vi SBC như một B2BUA, có nghĩa là nó xử lý các cuộc gọi đa phương tiện từ cả hai đầu của một cuộc gọi. SBC được xây dựng để nó biết mối quan hệ giữa các tín hiệu và các mặt phẳng phương tiện truyền thơng mạng. Chức năng truyền tín hiệu SBC (IBCF) quản lý việc truy cập của các cuộc gọi đa phương tiện vào và ra khỏi lõi của mạng IMS, nó cũng sửa đổi các bản tin SIP. Tuy nhiên, các phương tiện truyền thông SBC chức năng (I-BGF) quản lý truy cập của mặt phẳng phương tiện truyền thơng trong và ngồi mạng lưới của nhà điều hành mạng. Nó cung cấp dịch vụ đối với các phương tiện truyền thông, như chuyển đổi sang các codec khác nhau và xử lý các phương tiện truyền thơng khác nhau đối với dịng mạng QoS[41]. Nút I-CSCF được đặt như thể hiện trong hình 29, có thể được thực hiện trong SBC trong một số trường hợp mạng. Xem hình 30 cho kiến trúc SBC.
Hình 29: Tổng quan về mối quan hệ giữa báo hiệu SBC và phương tiện truyền thông SBC cung cấp rất nhiều chức năng điều khiển IMS. Phần này sẽ tập trung vào chức năng an ninh mà SBC người cung cấp cho các nhà khai thác di động IMS liên quan đến các GRX với mạng. SBC cũng cung cấp khả năng tương tác và giám sát, nhưng hai tính năng ra khỏi phạm vi của luận án này. SBC trong việc tiếp cận những gì cũng là trong phạm vi, nơi mà các thiết bị đầu cuối Interwork với miền mạng IMS. Vì vậy, trong luận án này, chúng tôi sẽ chỉ xem xét an ninh mạng-mạng.
Mục tiêu chính của các chức năng an ninh mà SBC cung cấp cho các nhà điều hành là để đảm bảo SIP và lưu lượng phương tiện truyền thơng trong và ngồi từ mạng của nhà điều hành. SBC sẽ đóng vai trị như một bộ lọc cho cả hai loại hình giao thơng. Một số các chức năng bảo mật là:
• Địa chỉ mạng phục vụ (NAT) cho mạng nội bộ
• hành động như một bức tường lửa hoặc cùng với một bức tường lửa hiện có • cung cấp THIG
• loại bỏ hỏng SIP và các gói tin truyền thơng • cung cấp điều khiển thu nhận cuộc gọi
SBC cùng với các bức tường lửa, trong một cách mà thay vì cấu hình tĩnh các bức tường lửa SBC có thể tự động mở các cổng truyền thơng theo u cầu từ các tín hiệu tin nhắn. Mở cổng theo yêu cầu cung cấp bảo mật tốt hơn nhiều so với để chúng mở và khơng có bảo đảm.
Để thực hiện các chức năng THIG, SBC viết lại các tin nhắn SIP để loại bỏ chi tiết về lõi mạng nội bộ, chẳng hạn như làm thế nào các cuộc gọi được chuyển từ thuê bao hoặc loại bỏ các thông tin người dùng mà người mua khơng muốn được cơng khai. Do đó, SBC sẽ hoạt động như một thiết bị tiếp sức cho cả hai tín hiệu và các phương tiện truyền
thông.Chức năng kiểm sốt nhập có thể được sử dụng để từ chối cuộc gọi vì lý do khác nhau.Chức năng này cũng ngăn chặn các cuộc tấn công DoS dựa trên giao thức SIP và thực thi các thỏa thuận song phương SLA. Theo cách này duy nhất các đối tác chuyển vùng sẽ có quyền truy cập vào nhà điều hành mạng của. Chức năng này cũng ngăn chặn hành vi trộm cắp băng thơng. Tất cả những chức năng mà SBC nên có khơng cần phải được bao gồm trong một thiết bị hoặc nút. Các phân vùng trên một hoặc nhiều hơn các nút phụ thuộc vào việc thiết kế hệ thống tổng thể. Một thiết bị tại ranh giới có thể chứa chỉ có một chức năng, đó là để thực thi các quy tắc chính sách truy cập để hạn chế các cuộc tấn công từ chối dịch vụ [41] (DoS).
Bộ điều khiển biên giới phiên được đặt ở cửa ngõ biên giới của nhà điều hành (xem hình 30). Điều này có nghĩa rằng SBC được triển khai giữa một mạng bên ngoài và mạng riêng của nhà điều hành. Trong luận án mạng bên ngoài là mạng GRX và mạng riêng là của riêng mạng lõi IMS của nhà điều hành.hình:
Một điều cần lưu ý cũng là SBC khơng phải là một bộ tiêu chuẩn hóa các chức năng trong IMS. Nó đã phát triển để bao gồm một số chức năng quan trọng như các vấn đề phát sinh.
trong quá trình nghiên cứu của IMS ảnh hưởng lẫn giữa các lĩnh vực IMS khác [41]. Hình 31 cho thấy cách SBC có thể được thực hiện trong kiến trúc IMS. SBC trong NNI EGDE trong hình.
Hình 31 . SBC thực hiện trong kiến trúc IMS ( NNI EDGE ) .
6.7.Phát triển theo hướng IPX
Theo Hiệp hội GSM có một nhu cầu cho một kết nối tập trung nhiều hãng được kết nối với nhau để cung cấp cả hai kết nối IP và trao đổi giữa các nhà cung cấp sạc thông tin. Mạng mới này sẽ thay thế các mạng lưới GRX hiện tại nó sẽ được biết đến như IPX. Các nhà cung cấp IPX mới sẽ bên cạnh việc cho phép truy cập mạng giữa các Hãng cũng có thể cung cấp chức năng SBC để các nhà khai thác điện thoại di động (hoặc các khách hàng khác) trong mạng IPX (nếu người điều hành đầy đủ sẽ tin tưởng vào nhà cung cấp IPX). Thiết bị mới này được gọi là IPX ủy quyền [41]. IPX proxy nên hỗ trợ phân tách của mặt phẳng sử dụng và mặt phẳng điều khiển theo yêu cầu ủy quyền IPX trong tài liệu IR.34 [13].
R6 -IPX Proxy sẽ có thể tiếp cả hai mặt phẳng sử dụng và mặt phẳng điều khiển. IPX proxy cũng sẽ có thể chuyển tiếp mặt phẳng điều khiển chỉ khi nếu muốn, dựa trên hình thức hợp đồng.
Ví dụ: mặt phẳng sử dụng có thể được tách ra khỏi mặt phẳng kiểm soát và chuyển trực tiếp giữa nguồn gốc và chấm dứt cung cấp dịch vụ trong một số trường hợp.
Vì vậy, trong các mạng lưới GRX mặt phẳng điều khiển và mặt phẳng phương tiện truyền thông không được tách ra [13].
Các tài liệu GSMA IR.34 chẳng hạn như yêu cầu về chức năng ủy quyền IPX. Một proxy IPX là một proxy biết SIP như SBC. Các nhà cung cấp dịch vụ proxy IPX sẽ có thể cung cấp điện thoại di động IMS chức năng khai thác để bảo vệ tên miền của họ với các bức tường lửa và che giấu của nhà điều hành IMS lõi cấu trúc liên kết, NAT, vv Một ủy IPX có thể làm việc như một khu vực đa phương tiện an toàn, nơi các proxy chặt tín hiệu hợp pháp , đa phương tiện, lưu lượng truy cập và bảo trì. Cách tiếp cận này có thể tạo ra một hàng rào an ninh xung quanh một proxy IPX để xác thực lưu lượng truy cập đến và đi từ các thiết bị cạnh các nhà điều hành di động. Đảm bảo rằng chỉ thiết bị hợp pháp có thể truy cập vào mạng IPX [27]. Hầu hết các nhà khai thác sẽ không tin tưởng các đơn vị khác để bảo vệ tên miền của họ để các nhà khai thác có thể sẽ có bảo vệ riêng của mình, ở BG của họ.
Các nhà cung cấp IPX kế thừa các yêu cầu chung của các nhà cung cấp GRX. Như đề cập đến các yêu cầu kỹ thuật đối với một proxy IPX được liệt kê trong tài liệu GSMA IR.34 [13]. Một yêu cầu an ninh chung khỏi GSMA [12] là một proxy IPX quy định kiểm soát truy cập và bảo vệ chống lại cuộc tấn công độc hại,như tấn công DoS. Các yêu cầu an ninh chung được liệt kê trong GSMA IR.34 như những viên đạn:
R2 -IPX Proxy được cắt bỏ để xử lý lưu lượng truy cập cung cấp dịch vụ giữa các dịch
vụ một cách bảo đảm và kiểm sốt. Điều này có nghĩa là tổng thể kết cấu hạ tầng Proxy IPX được bảo vệ từ bên ngồi.
R8 -IPX Proxy sẽ có thể xác minh rằng nguồn gốc là nó giả vờ là ai.
Trong số các yêu cầu khác đối với các proxy IPX được định tuyến, hỗ trợ mặt phẳng sử dụng, và các chức năng liên quan đến an ninh. Trong phần này của luận án của chúng tôi, chúng tôi sẽ tập trung vào các yêu cầu đối với an ninh khu vực. Những viên đạn quan trọng nhất của các yêu cầu an ninh giữa R.49 để R.60, mà thực sự quan tâm và ủy quyền.
R49 - PX Proxy thì đã lọc và khả năng định tuyến thực thi.
R50 - IPX Proxy sẽ có thể thực hiện an tồn NAT cũng như vượt tường lửa đối với báo
R51 -IPX Proxy nước hỗ trợ lỗ kim mở cho người sử dụng mặt phẳng lưu lượng truy cập
traversal dựa trên SIP / SDP thông tin.
R52 -IPX Proxy sẽ hỗ trợ bế mạc lỗ kim được sử dụng bởi lưu lượng truy cập người
dùng mặt phẳng dựa trên thông tin SIP / SDP.
R53 -IPX Proxy sẽ chặn lưu lượng truy cập không liên quan đến phiên SIP đang diễn ra. R54 - IPX Proxy sẽ có thể có tỷ lệ giới hạn / lưu lượng tính năng điều khiển trên mặt
phẳng điều khiển cũng như người dùng trên mặt phẳng.
Khả năng bao gồm phịng chống tun truyền, ví dụ như ngăn chặn các vấn đề như lũ lụt từ một mạng tới mạng kết nối khác. Kiểm sốt dịng chảy có thể được áp dụng cả hai để điều khiển và mặt phẳng sử dụng, trên cơ sở một nhà điều hành. Nó sẽ có thể cấu hình báo động cho lượng giao thông, để ngăn chặn quá tải.
R55 -IPX Proxy sẽ hỗ trợ khả năng áp dụng kiểm soát nhập mỗi cơ sở miền.
R56 -IPX Proxy có thể hỗ trợ khả năng hỗ trợ giới hạn kiểm soát nhập tối đa cho mỗi cơ
sở miền.Ví dụ giúp ngăn chặn các cuộc tấn công DoS bằng cách thiết lập một giới hạn tối đa của kết nối đồng thời kết nối
R57-IPX Proxy sẽ có thể xử lý các chức năng hoạt động trên các lĩnh vực. Ví dụ như điều khiển băng thơng và điều khiển cho phép.
R58-IPX Proxy sẽ có thể hỗ trợ userplane lập chính sách dựa trên tốc độ dữ liệu.
R59-IPX Proxy có thể hỗ trợ giao diện bên ngồi đối với chính sách điều khiển , cho phép chức năng điều khiển.
R60-IPX Proxy sẽ có thể kiểm tra xem phương tiện truyền thơng là những gì để thiết lập phiên.
Mục đích bảo mật là rất quan trọng ví dụ phiên thiết lập là PoC thực sự có phương tiện truyền thơng liên quan đến PoC thay vì một cái gì đó khác.
R.28 và R.29 bảo vệ các thông tin cá nhân về IMS cốt lõi của nhà điều hành:
R28-IPX Proxy có thể thay đổi địa chỉ IP trong tin nhắn SIP / SDP khi nó đang hoạt động như một proxy truyền thơng.
R29-IPX Proxy có thể thay đổi tiêu đề SIP (các lĩnh vực như Via, liên lạc, ghi Tuyến đường, Content-Length) khi nó đang hoạt động như một proxy truyền thông.
R.38 là IPX Proxy sẽ hỗ trợ đường hầm ( như giao thức GRE) và kết nối khơng đường hầm:
R38-IPX Proxy phải có khả năng hỗ trợ kết nối đường hầm (ví dụ như GRE) và các đường hầm kết nối cho cả điều khiển user planes giữa các IPX Proxy giao diện. Kiểm sốt mặt bằng và userplane có thể trong đường hầm tương tự hoặc sử dụng các đường hầm riêng biệt. Kiểm soát mặt và userplane có thể khơng tạo đường hầm.
Để biết thêm thơng tin về mạng IPX xem phần 3.1.2. Hình 32 cho thấy các loại kết nối khác nhau được trao đổi khi liên kết mạng giữa các nhà khai thác trong mạng IPX.
Hình 32. Tổng quan về các giao thức có liên quan đến liên kết mạng IMS trong mạng IPX.
Theo yêu cầu Proxy IPX ở R.29, các proxy IPX sẽ làm cho nó khơng thể sử dụng bảo mật giữa các thiết bị đầu cuối, mà sẽ cung cấp bảo mật và xác thực nguồn gốc tin nhắn khi trao đổi lưu lượng giữa các nhà khai thác. Do đó xử lý từng chặng phải được áp dụng. Nếu các nhà khai thác vẫn muốn giao thức bảo mật mạng (Ipsec) của thiết bị đầu cuối có một đường hầm đi qua do Proxy IPX xác định. Xem hình 33 cho hai IPX-proxy được kết nối với nhau. Proxy IPX chính khơng cung cấp bất kỳ biện pháp đối phó để nghe lén hay chỉnh sửa của lưu lượng truy cập giữa hai proxy IPX hoặc giữa một nhà điều hành và một proxy IPX. Nếu khơng sử dụng mã hóa lưu lượng truy cập và thực hiện mã hóa IPsec,thì các proxy IPX khơng thể làm nhiều hơn gói đinh tuyến.
Hình 33. Tổng quan về kiến trúc hơn hai IPX-proxy kết nối với nhau
SIP không thường yêu cầu xác thực mạnh [47]. Điều này có nghĩa là khi hai IPX proxy giao tiếp với nhau thông qua báo hiệu SIP chúng sẽ khơng xác thực nhau. Khi đó kẻ tấn cơng giả là một proxy IPX. có nghĩa mà kẻ tấn cơng có thể truy cập tất cả các tin nhắn SIP chạy qua giữa hai Proxy IPX, xem hình 34.
Một biện pháp đối phó để IPX giả là thực hiện một thẩm định cơ chế, vì vậy mà hai proxy IPX có thể xác nhận lẫn nhau. Sự thẩm định cơ chế là SIP xác thực nhận dạng cấu trúc (AIB) [66]. Điều này sẽ làm cho kẻ tấn cơng khó khăn hoạt động như một proxy IPX hợp lệ thuộc mạng IPX.
Hình 34. Mạo danh IPX proxy.
6.7.1. An ninh của DNS trong mạng GRX / IP.
Lưu lượng truy cập DNS được bảo vệ bằng tường lửa ở BG (cổng truy nhập biên) của nhà điều hành xem hình 35. Các con số cho thấy sự tương tác khác nhau với DNS của