3 .Các thủ tục an ninh khi UE khởi xướng kết nối đến EPS
3.4 An ninh miền mạng
3.4.1 Tổng quan
An ninh miền mạng cho IP (NDS/IP: Network Domain Service/IP) nhằm bảo vệ số liệu của người sử dụng và báo hiệu trên các giao diện giữa các nút mạng trong EPC hoặc trong E-UTRAN.
Từ góc độ NDS/IP, mạng có dạng như cho trên hình 3.5
SEG (Security Gateway: cổng an ninh) được đặt tại biên giới một miền an ninh và có nhiệm vụ tập trung tất cả lưu lượng vào và ra miền mạng. NE (Network Entity: thực thể mạng) có thể là một nút mạng bất kỳ thuộc E-UTRAN, EPC và IMS như eNodeB, MME, S-CSCF...
Các SEG thực hiện IKE1 và IKE2 (IKE: Internet Key Exchange) ngoài ra cũng cung cấp khả năng lưu giữ khóa lâu dài. Giao diện Zb được định nghĩa để cung cấp truy nhập an ninh cho an ninh nội mạng.
Hình 3.5 Kiến trúc NDS cho các mạng dựa trên IP
Zb áp dụng giữa các NE hay giữa NE và SEG trong một miền và chịu sự điều khiển của một nhà khai thác. Trái lại Za nối hai SEG của các miền an ninh khác nhau
và tuân thủ các thỏa thuận chuyển mạng giữa các nhà khai thác. Thí dụ E-UTRAN và EPC có thể được quản lý bởi các nhà khai thác và vì thế thuộc các miền an ninh khác nhau. Vì thế giao diện S1 được sắp xếp vào giao diện Za. Za cũng có thể được sử dụng giữa các miền EPC và IMS.
Mục đích của NDS/IP là để bảo vệ an ninh cho các thông tin nhậy cảm được trao đổi giữa các nút mạng. Thông tin này bao gồm số liệu của người sử dụng, thông tin đăng ký thuê bao, các vectơ nhận thực và số liệu mạng như MM context, chính sách và thơng tin tính cước cũng như các thơng tin liên quan đến IMS được trao đổi giữa các nút CSCF.
Chương trình khung NDS/IP đảm bảo ba loại bảo vệ sau:
o Nhận thực nguồn gốc số liệu. Bảo vệ không cho một thực thể lừa đảo truyền gói đến thực thể thu
o Tồn vẹn số liệu. Bảo vệ số liệu phát không bị thay đổi o Bảo mật số liệu. Bảo vệ chống nghe trộm (đọc trộm)
Do phải dung hòa giữa các yêu cầu an ninh và các yêu cầu xử lý, nên không phải tất cả các yêu cầu bảo vệ đều cần thiết trong tất cả các trường hợp. Chẳng hạn bảo vệ toàn vẹn và bảo mật cần thiết cho báo hiệu trên giao diện S1 giữa eNodeB và MME, vì các thơng tin nhạy cảm được trao đổi giữa eNodeB và MME (các khóa an ninh) và các nhận dạng người sử dụng. Tuy nhiên bảo vệ toàn vẹn số liệu người sử dụng rất quan trọng, vì thế mặt phẳng người sử dụng trên giao diện này chỉ được mật mã hóa để chống nghe trộm.
Các cơ chế NDS/IP áp dụng cho các giao diện EPS được tổng kết trong bảng 3.1
Bảng 3.1 Tổng kết các bảo vệ an ninh miền mạng
Toàn vẹn/nhận thực Mật mã
Mặt phẳng người sử dụng S1 Khơng Có
Mặt phẳng người sử dụng X2 Khơng Có
Mặt phẳng điều khiển S1 Có Có
Mặt phẳng điều khiển X2 Có Có
Các giao diện EPC có Tùy chọn
Từ quan điểm NDS/IP, các nút mạng được coi là các nút IP thuần túy không phụ thuộc vào vai trị thực sự của nó trong mạng. Vì thế NDS/IP trong các
mạng 3GPP sử dụng tập các thủ tục an ninh và các cơ chế an ninh kinh điển do IETF định nghĩa.
o An ninh giữa các phần tử mạng được đảm bảo bởi các tunnel IPsec (hoặc
o TCAPsec được tạo lạp bởi 3GPP)
o Nhận thực số liệu, toàn vẹn và bảo mật được đảm bảo bởi ESP (Encapsulation Security Payload: đóng gói tải tin an ninh) trong ‘chế độ tunnel’
o Các khóa an ninh được đàm phán theo giao thứ IKE (Internet Key Exchange)
3.4.2 ESP (Encapsuling Security Payload: tải tin an ninh bằng cách đóng bao)
Đặc tả kỹ thuật của 3GPP khuyến nghị bảo vệ cho các mặt phẳng điều khiển, người sử dụng và quản lý tại lớp truyền tải của EPS. Bảo vệ đươc cung cấp thơng qua chương trình khung được vạch ra trong 33.310. các dịch vụ an ninh được khuyến nghị bao gồm toàn vẹn, bảo mật và chống phát lại.
ESP là một cơ chế an ninh hoàn thiện đảm bảo ba mức bảo vệ và xử lý một tập giao thức an ninh cho mỗi mức. Hình 3.6 cho thấy ảnh hưởng của bảo vệ ESP trong chế độ tunnel cho thí dụ một gói số liệu có tiêu đề TCP/IP. Ngồi TCP, ESP có thể đóng bao mọi lớp truyền tải kể cả UDP. Trong chế độ tunnel, tồn bộ gói ban đầu được bảo vệ hoàn toàn trong một tiêu đề IP mới, trái lại EPS trong chế độ truyền tải không bảo vệ tiêu đề IP ban đầu.
Trong các mạng 3GPP, giải thuật bắt buộc cho bảo mật là AES (Advanced Encryption Standard). Tuy nhiên cũng có thể sử dụng 3DES (Triple-DES). Có thể nhận thực và bảo vệ tính tồn vẹn bằng giải thuật SHA-1 (bắt buộc đối với các mạng 3GPP) hay MD5.
3.4.3 An ninh đường trục eNodeB
Đường trục nối đến eNode đòi hỏi an ninh cao hơn vì:
o Vai trị của eNodeB trong LTE mạnh hơn so với NodeB trong 3G UMTS: LTE
o eNodeB bao gồm cả NodeB và RNC o Vùng phù cần mở rộng liên tục o Chia sẻ hạ tầng
Vì thế khơng thể luôn luôn tin cậy an ninh lớp vật lý của eNodeB và cần phải bảo vệ liên kết đường trục tốt hơn.
Các yêu cầu sau đây cũng được áp dụng cho eNodeB: o Giao thức an ninh: ESP[RFC 4303]
o Chế độ an ninh: tunnel (bắt buộc) với truyền tải (tùy chọn) o Phiên bản IKE : IKEv2
RA: Registration Authority: thẩm quyền đăng ký CA: Certificate Authority: thầm quyền chứng nhận
CMPv2: Certificate Management Protocol version2: giao thức quản lý nhận thực phiên bản 2
3.4.4 An ninh nút chuyển tiếp
Các biện pháp sau được áp dụng cho an ninh nút chuyển tiếp (hình 3.8): Nhận thực tương hỗ:
o AKA được sử dụng (đăng nhập nút chuyển tiếp) o Các uỷ nhiệm an ninh được lưu trong UICC Thiết lập ràng buộc giữa nút chuyển tiếp và USIM
o Dựa trên các khóa chia sẻ trước đối xứng hay o Dựa trên các chứng nhận
Hình 3.8 An ninh nút chuyển tiếp