基于3G網(wǎng)絡(luò)的企業(yè)數(shù)據(jù)通信安全方案討論

摘要：隨著運(yùn)營(yíng)商對(duì)3G的投入不斷增加，其業(yè)務(wù)成熟度及信號(hào)服務(wù)質(zhì)量也將會(huì)不斷增強(qiáng)。應(yīng)運(yùn)而生的3G路由器憑借其強(qiáng)大的靈活部署能力、低廉的線路成本、不斷加強(qiáng)的帶寬在多個(gè)行業(yè)得到了廣泛應(yīng)用，但是隨之而來(lái)的安全擔(dān)憂也從未間斷。本文從3G安全機(jī)制、3G網(wǎng)絡(luò)在數(shù)據(jù)通信中的應(yīng)用、3G路由器安全部署原則和3G路由器安全部署方案，詳細(xì)闡述了基于3G網(wǎng)絡(luò)開展企業(yè)數(shù)據(jù)通信應(yīng)用的安全解決思路。

前言

3G即第三代移動(dòng)通信技術(shù)，是指支持高速數(shù)據(jù)傳輸?shù)姆涓C移動(dòng)通訊技術(shù)。目前3G存在四種標(biāo)準(zhǔn)：CDMA2000，WCDMA，TD-SCDMA，WiMAX。國(guó)內(nèi)三大運(yùn)營(yíng)商支持情況如下：

電信：CDMA2000，可達(dá)3.1Mbps；

移動(dòng)：TD-SCDMA，2.8Mbps；

聯(lián)通：WCDMA，可達(dá)7.2Mbps。

如銀行這樣的企業(yè)用戶在傳統(tǒng)的有線模式下，無(wú)法滿足離行ATM、移動(dòng)網(wǎng)點(diǎn)靈活部署的需求，主要是無(wú)長(zhǎng)期固定地點(diǎn)，受地域和有線網(wǎng)絡(luò)限制無(wú)法靈活部署，且業(yè)務(wù)量也小租賃專線的成本過高，存在著高速無(wú)線的需求，而3G無(wú)線部署是目前最好的解決方案。

隨著3G網(wǎng)絡(luò)業(yè)務(wù)的不斷普及，運(yùn)營(yíng)商針對(duì)企業(yè)用戶對(duì)“3G移動(dòng)專用網(wǎng)”的需求推出了3G的VPDN(Virtual Private Dial-Network)業(yè)務(wù)，即：基于3G無(wú)線接入方式的虛擬專用撥號(hào)網(wǎng)業(yè)務(wù)，它是利用L2TP隧道傳輸協(xié)議，就可以在現(xiàn)有的撥號(hào)網(wǎng)絡(luò)上構(gòu)建一條虛擬的、不受外界干擾的專用通道，從而實(shí)現(xiàn)類似采用有線專用網(wǎng)絡(luò)的方式訪問企業(yè)內(nèi)部網(wǎng)資源。

數(shù)據(jù)通信設(shè)備廠商也及時(shí)推出了3G路由器來(lái)適應(yīng)行業(yè)用戶的這個(gè)應(yīng)用趨勢(shì)，企業(yè)網(wǎng)已經(jīng)進(jìn)入3G聯(lián)網(wǎng)時(shí)代。

當(dāng)金融、政府這類網(wǎng)點(diǎn)眾多，又擁有大量離行ATM接入、邊遠(yuǎn)鄉(xiāng)鎮(zhèn)接入和移動(dòng)網(wǎng)點(diǎn)接入的需求的行業(yè)用戶，也把目光放到3G接入時(shí)，基于3G網(wǎng)絡(luò)開展企業(yè)數(shù)據(jù)通信的安全性，成為這些對(duì)數(shù)據(jù)安全性要求較高的行業(yè)大規(guī)模應(yīng)用3G網(wǎng)絡(luò)的最大障礙。

3G網(wǎng)絡(luò)數(shù)據(jù)通信應(yīng)用概述

基于3G的數(shù)據(jù)通信應(yīng)用有以下幾種組網(wǎng)模式：

1、訪問internet

圖1   訪問internet

3G路由器配置3G模塊，使用公用的APN名稱、用戶名密碼，通過運(yùn)營(yíng)商無(wú)線基站接入Internet網(wǎng)絡(luò)，配置NAT地址轉(zhuǎn)換功能，3G路由器內(nèi)網(wǎng)PC通過3G網(wǎng)絡(luò)訪問公網(wǎng)資源，如網(wǎng)頁(yè)瀏覽、公網(wǎng)郵箱、及時(shí)通信、網(wǎng)絡(luò)下載等資源。

2、Internet +VPN隧道

圖2   Internte +VPN隧道

3G路由器配置3G模塊，使用公用的APN名稱、用戶名密碼，通過運(yùn)用商無(wú)線基站接入Internet網(wǎng)絡(luò)，對(duì)于需要訪問公網(wǎng)資源的數(shù)據(jù)流，經(jīng)過配置NAT地址轉(zhuǎn)換后直接與Internet進(jìn)行通訊。對(duì)于需要訪問總部機(jī)構(gòu)私網(wǎng)資源的數(shù)據(jù)流（如：公司VOIP語(yǔ)音電話、視頻會(huì)議系統(tǒng)、內(nèi)部辦公OA系統(tǒng)等），通過3G路由器與總部路由器建立的Ipsec VPN加密隧道進(jìn)行直接通信。

3、3G VPDN專網(wǎng)

圖3  3G VPDN專網(wǎng)

如上圖，為了保證企業(yè)大客戶3G接入網(wǎng)的業(yè)務(wù)安全需求，運(yùn)營(yíng)商可向用戶提供專線APN（Access Point Name）傳輸方式，為用戶提供專用的接入點(diǎn)名稱，并可提供用戶名、密碼、IMSI的多重安全認(rèn)證功能。LNS為用戶總部端設(shè)備（路由器、VPN設(shè)備）通過專線與運(yùn)營(yíng)商網(wǎng)絡(luò)互連，分支網(wǎng)點(diǎn)的3G路由器配置3G模塊，使用企業(yè)申請(qǐng)的專用APN名稱、用戶名密碼接入3G網(wǎng)絡(luò)，運(yùn)營(yíng)商通過APN名稱或用戶名密碼判斷該用戶為企業(yè)專網(wǎng)用戶后，交由LAC設(shè)備觸發(fā)與用戶端LNS設(shè)備的L2TP 認(rèn)證協(xié)商，并最終由LNS設(shè)備為分支網(wǎng)點(diǎn)3G路由器分配私網(wǎng)IP地址，實(shí)現(xiàn)與分支網(wǎng)點(diǎn)與總部私網(wǎng)的專線互通。

基于3G VPDN專網(wǎng)是運(yùn)營(yíng)商為行業(yè)用戶主推的模式，本文將著重分析基于3G VPDN專網(wǎng)應(yīng)用的安全部署問題，首先看看3G無(wú)線有哪些安全機(jī)制。

3G無(wú)線安全簡(jiǎn)介

無(wú)線通信本身的特點(diǎn)是，既容易讓合法用戶接入，也容易被潛在的非法用戶竊取，因此，安全問題總是同移動(dòng)通信網(wǎng)絡(luò)密切相關(guān)。

針對(duì)無(wú)線通信存在的安全問題，3G系統(tǒng)進(jìn)行了如下優(yōu)化：

1. 實(shí)現(xiàn)了雙向認(rèn)證。不但提供基站對(duì)MS的認(rèn)證，也提供了MS對(duì)基站的認(rèn)證，可有效防止偽基站攻擊。

2. 提供了接入鏈路信令數(shù)據(jù)的完整性保護(hù)。

3. 密鑰長(zhǎng)度增加為128 bit，改進(jìn)了算法。

4. 3GPP接入鏈路數(shù)據(jù)加密延伸至無(wú)線接入控制器(RNC)。

5. 3G的安全機(jī)制還具有可拓展性，為將來(lái)引入新業(yè)務(wù)提供安全保護(hù)措施。

6. 3G能向用戶提供安全可視性操作，用戶可隨時(shí)查看自己所用的安全模式及安全級(jí)別。

7. 在密鑰長(zhǎng)度、加密算法選定、鑒別機(jī)制和數(shù)據(jù)完整性檢驗(yàn)等方面，3G的安全性能遠(yuǎn)遠(yuǎn)優(yōu)于2G。

但是3G的這些安全機(jī)制僅僅局限于無(wú)線部分，針對(duì)基于3G接入的無(wú)線企業(yè)網(wǎng)而言，無(wú)線部分的安全是遠(yuǎn)遠(yuǎn)不夠的，需要保證數(shù)據(jù)在整個(gè)傳輸過程中的安全性，即端到端的安全性。

3G路由器接入安全部署探討

隨著3G數(shù)據(jù)通信應(yīng)用的發(fā)展，業(yè)界專業(yè)的數(shù)據(jù)通信廠家推出了3G安全路由器，能夠很好的解決3G網(wǎng)絡(luò)數(shù)據(jù)安全傳輸問題。下面以3G安全路由器在金融離行ATM應(yīng)用為例做一個(gè)分析。

圖4  3G接入

如上圖所示，金融離行ATM網(wǎng)點(diǎn)使用3G 路由器無(wú)線接入3G無(wú)線網(wǎng)絡(luò)，通過運(yùn)營(yíng)商3G無(wú)線基站及IP核心網(wǎng)連接金融一級(jí)或二級(jí)網(wǎng)匯聚路由器，實(shí)現(xiàn)了離行ATM與金融一級(jí)網(wǎng)或二級(jí)網(wǎng)的業(yè)務(wù)互訪。

根據(jù)應(yīng)用模式，3G接入安全部署基于以下幾點(diǎn)考慮：

接入認(rèn)證安全

要求在進(jìn)行3G網(wǎng)絡(luò)登錄時(shí)，提供基于用戶名、密碼、IMSI（international mobile subscriber identity, 國(guó)際移動(dòng)用戶識(shí)別碼）的多重身份認(rèn)證綁定功能，保證接入用戶的唯一性，防止非法用戶利用3G網(wǎng)絡(luò)接入用戶專用網(wǎng)絡(luò)。

端到端的私有性

為了保證用戶業(yè)務(wù)的私密性，必須要求解決方案從網(wǎng)點(diǎn)3G路由器到金融、政府行業(yè)一級(jí)或二級(jí)網(wǎng)匯聚路由器提供端到端的私有專用通道，以保證網(wǎng)點(diǎn)業(yè)務(wù)在運(yùn)營(yíng)商網(wǎng)絡(luò)傳輸過程中的私有性。

端到端的安全加密

為了進(jìn)一步保證網(wǎng)點(diǎn)業(yè)務(wù)數(shù)據(jù)在運(yùn)營(yíng)商3G無(wú)線網(wǎng)絡(luò)以及IP核心網(wǎng)傳輸過程中的安全，防止黑客利用其他非法手段截取金融、政府等行業(yè)敏感數(shù)據(jù)，要求安全解決方案必須提供網(wǎng)點(diǎn)3G路由器到金融、政府行業(yè)一級(jí)或二級(jí)網(wǎng)匯聚路由器端到端的加密安全。特別是金融和政府此類信息敏感行業(yè)，這種加密安全更需要國(guó)密辦加密算法的支持，以保障國(guó)家信息安全的高度機(jī)密性。

圖5  3G接入安全部署

3G路由器安全接入解決方案

圖6  3G安全接入解決方案

如上圖所示，網(wǎng)點(diǎn)的3G安全接入部署方案，分別通過專有APN＋綁定接入認(rèn)證、L2TP私有隧道、IPSEC安全加密技術(shù)來(lái)實(shí)現(xiàn)3G部署時(shí)對(duì)接入認(rèn)證、端到端的私有性、端到端安全加密的安全原則，具體部署方案如下：

專有APN+綁定接入認(rèn)證

在進(jìn)行網(wǎng)點(diǎn)的3G無(wú)線接入部署時(shí)，需要先向運(yùn)營(yíng)商申請(qǐng)分配的專網(wǎng)APN（Access Point Name，類似行業(yè)專用的3G無(wú)線局域網(wǎng)，保證網(wǎng)點(diǎn)接入3G網(wǎng)絡(luò)后，只能訪問行業(yè)專用網(wǎng)絡(luò)，保證無(wú)法與其他網(wǎng)絡(luò)進(jìn)行通信）。網(wǎng)點(diǎn)采用3G路由器接入，運(yùn)營(yíng)商會(huì)將網(wǎng)點(diǎn)用戶的IMSI信息（IMSI是在運(yùn)營(yíng)商網(wǎng)絡(luò)中唯一識(shí)別一個(gè)移動(dòng)用戶的號(hào)碼，由15位數(shù)字組成，存于SIM卡中）、終端用戶的賬號(hào)和密碼事先配置在運(yùn)營(yíng)商認(rèn)證服務(wù)器上。當(dāng)網(wǎng)點(diǎn)的3G路由器發(fā)起無(wú)線連接時(shí)，只允許綁定信息合法的用戶通過用戶名、密碼的AAA認(rèn)證后接入3G專用網(wǎng)絡(luò)，防止非法SIM卡用戶撥入用戶3G專網(wǎng)。

此外，可進(jìn)一步通過3G路由器設(shè)置SIM卡的PIN碼保護(hù)功能，只有知道SIM卡的PIN密碼才能觸發(fā)3G撥號(hào)，防止非法用戶獲取到用戶SIM卡后進(jìn)行的非法操作，保證了SIM卡的使用安全。

L2TP＋I(xiàn)PSEC VPN私有隧道

為了保證3G接入網(wǎng)點(diǎn)的數(shù)據(jù)業(yè)務(wù)在運(yùn)營(yíng)商IP核心網(wǎng)中傳輸?shù)牡乃接行裕�用戶向運(yùn)營(yíng)商申請(qǐng)企業(yè)集團(tuán)用戶3G的VPDN業(yè)務(wù)，基于3G無(wú)線接入方式的虛擬專用撥號(hào)網(wǎng)業(yè)務(wù)，它是利用安全的L2TP隧道傳輸協(xié)議，就可以在現(xiàn)有的撥號(hào)網(wǎng)絡(luò)上構(gòu)建一條虛擬的、不受外界干擾的專用通道，從而安全訪問企業(yè)內(nèi)部網(wǎng)資源。

運(yùn)營(yíng)商會(huì)為行業(yè)用戶的3G VPDN業(yè)務(wù)提供L2TP的LAC端路由器及配套的AAA服務(wù)器。金融、政府行業(yè)一級(jí)網(wǎng)或二級(jí)網(wǎng)匯聚層采用一臺(tái)路由器作為L(zhǎng)2TP的LNS端，并部署一臺(tái)AAA服務(wù)器。LAC路由器主要負(fù)責(zé)對(duì)3G用戶的接入認(rèn)證，與該用戶所屬企業(yè)的專有LNS建立L2TP隧道。金融、政府行業(yè)一級(jí)網(wǎng)或二級(jí)網(wǎng)匯聚的AAA服務(wù)器主要存放網(wǎng)點(diǎn)路由器建立連接時(shí)所需要的用戶名和密碼。用戶名的格式為XX@XX.COM，其中@前面的字符串可以由用戶端自行定義，＠后面的字符串即域名。運(yùn)營(yíng)商AAA服務(wù)器通過域名確認(rèn)該用戶的接入權(quán)限。運(yùn)營(yíng)商AAA服務(wù)器與企業(yè)AAA服務(wù)器的用戶名和密碼必須一致。