IMS網(wǎng)絡(luò)安全機制探討

摘要　基于IP的IMS網(wǎng)絡(luò)，面臨著與互聯(lián)網(wǎng)類似的各種安全威脅。本文介紹了目前備受關(guān)注的IMS在網(wǎng)絡(luò)安全方面面臨的威脅，分析了IMS的安全機制以及A-IMS對IMS網(wǎng)絡(luò)安全的改進措施。

1、引言

IMS（IP多媒體子系統(tǒng)）是下一代融合通信系統(tǒng)的核心部分，它通過SIP提供的會話發(fā)起能力建立端到端的會話，并獲得所需要的服務(wù)質(zhì)量。IMS實現(xiàn)了控制與承載的分離，IMS終端可以通過不同的方式接入分組域核心網(wǎng)，由IMS的核心部分提供會話和業(yè)務(wù)的控制。

IMS作為一種可以實現(xiàn)網(wǎng)絡(luò)全IP化的技術(shù)，簡單、靈活、標(biāo)準(zhǔn)開放以及獨立于接入網(wǎng)絡(luò)是其主要特點。IMS為未來的多媒體數(shù)據(jù)業(yè)務(wù)提供了一個通用平臺，能夠使運營商專注于提供應(yīng)用而不是接入技術(shù)，并具有集中式架構(gòu)和可運營的商業(yè)模式等優(yōu)點。

2、IMS網(wǎng)絡(luò)面臨的安全威脅

通信系統(tǒng)的安全威脅主要源自網(wǎng)絡(luò)協(xié)議和系統(tǒng)的弱點，攻擊者可以利用網(wǎng)絡(luò)和系統(tǒng)的弱點未經(jīng)授權(quán)地訪問或操縱敏感數(shù)據(jù)，擾亂或濫用網(wǎng)絡(luò)服務(wù)。IMS網(wǎng)絡(luò)面臨的威脅主要有以下幾類。

●未授權(quán)訪問或操縱服務(wù)：攻擊者通過竊聽、偽裝、流量分析等手段獲取或操縱敏感信息。

●完整性威脅：攻擊者對系統(tǒng)接口上的信令或數(shù)據(jù)進行修改、插入、重放或者刪除等操作，侵犯合法用戶的權(quán)益。

●擾亂或濫用網(wǎng)絡(luò)服務(wù)：人為干擾用戶傳輸、信令數(shù)據(jù)或者控制數(shù)據(jù)，攻擊系統(tǒng)，耗盡服務(wù)資源，使合法用戶無法使用服務(wù)，濫用特權(quán)獲取未授權(quán)的服務(wù)。

●服務(wù)否認：指用戶或網(wǎng)絡(luò)不承認曾經(jīng)發(fā)生的操作。

3、IMS網(wǎng)絡(luò)的安全機制

3.1　IMS安全標(biāo)準(zhǔn)體系

針對安全威脅，3GPP和3GPP2制定了一系列IMS網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。在IMS的安全體系中，從UE到網(wǎng)絡(luò)的各個實體（P-CSCF、S-CSCF、HSS）都涉及了接入和核心網(wǎng)兩個部分的安全機制。

對于接入部分，UE與P-CSCF之間涉及接入安全與身份認證，其安全機制在3GPP TS 33.203文檔中定義。IMS以SIP和HTTP承載AKA安全機制的方式實現(xiàn)了UE與網(wǎng)絡(luò)的雙向認證功能；UE與P-CSCF之間協(xié)商SA（security association，安全聯(lián)盟），通過IPSec提供了接入安全保護。

2G系統(tǒng)的主要安全缺陷之一就是核心網(wǎng)缺乏標(biāo)準(zhǔn)化的安全解決方案。3G系統(tǒng)開始著手對核心網(wǎng)中的所有IP業(yè)務(wù)流進行保護，IMS在核心網(wǎng)中引入了網(wǎng)絡(luò)域安全（NDS）的概念。網(wǎng)絡(luò)域安全是由某個單獨機構(gòu)所管理的網(wǎng)絡(luò)，在同一安全域內(nèi)的網(wǎng)元具有相同的安全級別并享有特定的安全服務(wù)，主要通過為服務(wù)提供機密性、數(shù)據(jù)完整性、認證和防止重放攻擊，以及通過應(yīng)用在IPSec中的密碼安全機制和協(xié)議安全機制來實現(xiàn)。網(wǎng)絡(luò)域內(nèi)部的實體和網(wǎng)絡(luò)域之間都可以使用IPSec來提供安全保護。

總的來看，現(xiàn)有IMS安全標(biāo)準(zhǔn)體系在以下方面提供了較完善的解決方案：客戶和網(wǎng)絡(luò)的雙向身份認證；UE與P-CSCF之間的SIP信令消息的機密性保護；UE與P-CSCF之間SIP信令的完整性保護；IMS網(wǎng)絡(luò)域的安全采用hop-by-hop（逐跳）安全模式，對在網(wǎng)絡(luò)實體之間的每個通信進行單獨的保護；支持隱藏運營商網(wǎng)絡(luò)拓撲的能力等。

3.2　A-IMS彌補缺陷

IMS網(wǎng)絡(luò)是基于IP的網(wǎng)絡(luò)，IP網(wǎng)絡(luò)的先天脆弱性，使得IMS網(wǎng)絡(luò)在網(wǎng)絡(luò)架構(gòu)、協(xié)議實現(xiàn)以及管理等方面都存在潛在的安全問題。

●針對CSCF實體的攻擊。目前，IP網(wǎng)絡(luò)頻繁發(fā)生拒絕服務(wù)（DoS）攻擊和分布式拒絕服務(wù)（DDoS）攻擊，這些攻擊能使系統(tǒng)設(shè)備不堪重負。在IMS體系中，CSCF實體集中完成管理和呼叫控制，直接面對各種不同的用戶，這在一定程度上是一個安全隱患，容易成為黑客的攻擊目標(biāo)。

●網(wǎng)絡(luò)中通信協(xié)議本身存在的不安全因素和協(xié)議實現(xiàn)中可能存在漏洞。SIP等協(xié)議采用UDP承載，數(shù)據(jù)包不需要建立連接，容易受到泛洪攻擊。

●沒有強制實施完整性保護，無法防止攻擊者篡改數(shù)據(jù)。攻擊者可以通過修改用戶數(shù)據(jù)使網(wǎng)絡(luò)對用戶的認證失敗，從而導(dǎo)致用戶無法正常接入IMS業(yè)務(wù)。

針對以上安全問題，需要對網(wǎng)絡(luò)的關(guān)鍵實體如CSCF、進行物理和安全管理方面的安全保護。為此，美國的電信運營商Verizon聯(lián)合思科、朗訊等設(shè)備供應(yīng)商在2006年7月發(fā)布了改進的IP多媒體子系統(tǒng)——A-IMS。它基于3GPP2的多媒體域（MMD）架構(gòu)，在SIP用戶的合法性檢驗、數(shù)據(jù)的私密性和完整性等方面采用與IMS相同的方式，同時增加了對非SIP應(yīng)用的支持。

A-IMS的主要網(wǎng)元包括IPGW（IP網(wǎng)關(guān)）、BM（承載管理）、AM（應(yīng)用管理）、PM（策略管理）、SM（安全管理）、SB（業(yè)務(wù)代理）、SDM（業(yè)務(wù)數(shù)據(jù)管理）和AT（接入終端）等。其中，與安全相關(guān)的網(wǎng)元主要有SM、PM、BM、IPGW和AT。

相對于IMS，A-IMS在集成安全和統(tǒng)一安全管理、安全操作中心（SOC）、設(shè)備接納控制、安全策略等方面對安全性進行了增強，使得IMS網(wǎng)絡(luò)的安全性得到較大提高。

●新增了安全操作中心和安全管理，對網(wǎng)絡(luò)進行多級安全管理，實現(xiàn)了系統(tǒng)安全的整體控制和集中控制。

●利用安全策略實現(xiàn)網(wǎng)絡(luò)安全的自動控制。

●A-IMS將安全管理集成到每一個網(wǎng)元中，由SM收集并分析網(wǎng)絡(luò)中各個網(wǎng)元的安全事件信息，并根據(jù)安全策略做出適當(dāng)?shù)奶幚怼?/p>

●采用雙向防火墻，利用入侵檢測系統(tǒng)IDS/IPS等保護網(wǎng)絡(luò)和終端都不受攻擊。

●從網(wǎng)絡(luò)運營的角度，針對IMS網(wǎng)絡(luò)安全提出了姿態(tài)代理和移動安全代理（MSA）的概念，通過在智能終端（IAT）上設(shè)置姿態(tài)代理，對終端的操作系統(tǒng)、防火墻的版本和補丁狀況進行檢查，強制終端具備系統(tǒng)要求的安全等級。

4、結(jié)束語

基于IP的IMS網(wǎng)絡(luò)與互聯(lián)網(wǎng)一樣面臨著各種安全威脅，A-IMS切合網(wǎng)絡(luò)運營的實際需求，為下一代融合通信系統(tǒng)的網(wǎng)絡(luò)安全研究提供了新方向。

來源：中國聯(lián)通網(wǎng)站