移動網(wǎng)絡(luò)安全防護(hù)技術(shù)

　　隨著移動網(wǎng)絡(luò)的迅速發(fā)展，無線通信技術(shù)和計算機(jī)技術(shù)不斷融合，移動設(shè)備朝著智能化的方向發(fā)展，其所支持的功能越來越多，使得人們可以享受各類豐富多彩的服務(wù)。然而，網(wǎng)絡(luò)的開放性以及無線傳輸?shù)奶匦�，使得終端設(shè)備暴露在開放式的全I(xiàn)P化的網(wǎng)絡(luò)中，各種敏感信息的防護(hù)面臨著來自各種惡意攻擊的挑戰(zhàn)，安全問題已成為整個移動網(wǎng)絡(luò)的核心問題之一。

　　本文在研究3G和4G移動通信系統(tǒng)的安全目標(biāo)、安全原則及相應(yīng)的威脅基礎(chǔ)上，對現(xiàn)有各種安全防護(hù)方案進(jìn)行討論和分析，提出一種基于終端可信的、面向安全服務(wù)的統(tǒng)一安全防護(hù)體系，并給出其在移動網(wǎng)絡(luò)中的具體應(yīng)用。

　　1 移動通信系統(tǒng)的安全架構(gòu)和面臨的安全威脅

　　1.1 3GPP的安全機(jī)制

　　WCDMA、CDMA2000、TD-SCDMA是第三代移動通信的三大主流技術(shù)。3GPP制訂的3G安全功能分為5個安全特征組［1］，分別屬于3個不同的層面，如圖1所示。它們分別是：

　�。�1）網(wǎng)絡(luò)接入安全

　　該安全特征集提供用戶安全接入3G業(yè)務(wù)，特別能抗擊在無線接入鏈路上的攻擊。

　　（2）網(wǎng)絡(luò)域安全

　　該安全特征集使在服務(wù)提供者域中的節(jié)點(diǎn)能夠安全地交換信令數(shù)據(jù)，抗擊在有線網(wǎng)絡(luò)的攻擊。

　�。�3）用戶域安全

　　該安全特征集確保移動平臺接入安全。

　�。�4）應(yīng)用域安全

　　該安全特征集使在用戶域和在提供者域中的應(yīng)用能夠安全地交換信息。

　�。�5）安全的可視性和可配置性

　　該安全特征集使用戶能知道一個安全特征集是否在運(yùn)行，而且業(yè)務(wù)的應(yīng)用和設(shè)置是否應(yīng)依賴于該安全特征。

　　3GPP提出的3G安全結(jié)構(gòu)中重點(diǎn)描述了網(wǎng)絡(luò)接入安全機(jī)制，包括雙向鑒權(quán)、通用移動通信系統(tǒng)陸地?zé)o線接入網(wǎng)（UTRAN）加密和信令數(shù)據(jù)的完整性保護(hù)在內(nèi)的安全機(jī)制。網(wǎng)絡(luò)接入機(jī)制包括3種：使用臨時身份識別（TMSI）、使用永久身份識別（IMSI）、認(rèn)證和密鑰協(xié)商（AKA），其中認(rèn)證與密鑰協(xié)商機(jī)制（AKA）是3G網(wǎng)絡(luò)安全機(jī)制的核心，也是3G網(wǎng)絡(luò)安全機(jī)制的研究熱點(diǎn)。AKA機(jī)制用于完成移動臺和網(wǎng)絡(luò)的相互認(rèn)證，并建立新的加密密鑰和完整性密鑰。3G網(wǎng)絡(luò)的安全機(jī)制還包括數(shù)據(jù)加密和數(shù)據(jù)完整性。數(shù)據(jù)加密機(jī)制采用F8算法對用戶終端（ME）與無線網(wǎng)絡(luò)控制器（RNC）之間的信息加密。數(shù)據(jù)完整性機(jī)制采用F9算法對信令消息的完整性、時效性進(jìn)行認(rèn)證。

　　總的來說，3G系統(tǒng)使用了雙向身份認(rèn)證，增加了密鑰長度，使用了高強(qiáng)度的加密算法和完整性算法，增加了信令完整性保護(hù)機(jī)制，并提出了保護(hù)核心網(wǎng)絡(luò)通信節(jié)點(diǎn)的機(jī)制［2］。但是面對新的業(yè)務(wù)、全開放式的IP網(wǎng)絡(luò)和不斷升級的攻擊技術(shù)，移動網(wǎng)絡(luò)仍面臨較大的安全威脅。

　　1.2 4G網(wǎng)絡(luò)的安全機(jī)制

　　根據(jù)3G網(wǎng)絡(luò)所暴露出的安全問題和4G網(wǎng)絡(luò)所面臨的主要威脅，可以將4G網(wǎng)絡(luò)的安全要求簡要概括為4個方面［3］。

　�。�1）網(wǎng)絡(luò)接入安全

　　保護(hù)用戶安全接入到4G網(wǎng)絡(luò)，防止無線鏈路的攻擊。

　　（2）網(wǎng)絡(luò)域安全

　　保護(hù)運(yùn)營網(wǎng)絡(luò)安全交互數(shù)據(jù)，防止來自有線網(wǎng)絡(luò)和網(wǎng)絡(luò)實(shí)體的攻擊。

　�。�3）用戶域安全

　　為訪問移動實(shí)體/通用簽約用戶識別模塊（USIM）提供安全保護(hù)，以及構(gòu)建移動實(shí)體/USIM的安全環(huán)境。

　　（4）應(yīng)用安全

　　為用戶和運(yùn)營應(yīng)用提供安全保障，保障它們之間安全交換消息。

　　根據(jù)以上安全需求，4G網(wǎng)絡(luò)的安全結(jié)構(gòu)分為4個功能特征組，即網(wǎng)絡(luò)接入安全、網(wǎng)絡(luò)域安全、用戶域安全和應(yīng)用安全。各功能特征組的基本內(nèi)容類似于3G網(wǎng)的功能特征組。4G網(wǎng)絡(luò)安全體系結(jié)構(gòu)如圖2所示。

　　與3G網(wǎng)絡(luò)最大的不同是，4G對ME/USIM側(cè)的安全要求增加了“保證移動平臺的軟件、硬件和操作系統(tǒng)的完整性”，為移動實(shí)體構(gòu)建可信計算環(huán)境。只有移動終端的平臺安全了，才有可能保證用戶信息的安全。但研究表明，要想保證移動終端平臺的安全，只靠移動終端本身是做不到的，還必須依賴移動網(wǎng)絡(luò)中的安全服務(wù)器的安全管理和服務(wù)。