（计算机科学与技术专业论文）3g网络安全完整解决方案.pdf

刚吾 安全环境：近儿年来，利用删络进行的各类违法犯罪行为，在中用以每年3 0 的速 度递增。仅1 9 9 9 年，l f 国就破扶数百起电脑黑客案件，m 已发现的黑客攻击案件大约 j j 占总数的3 0 。2 0 0 0 年2 月，就在美国y a l l o o 等矧站被黑客轰炸的同时，号称“伞球 华人最大嘲站”的新浪网也未能幸免。网络安全再一次引起了中国业界的普遍关沿。 公司需求：目前，华为公司的许多产品已经涉及到安全问题，如数通的路由器、接 入服务器等；无线的g s m 、g r p s 、3 g 等：智能的呼叫中心、电话银行等。华为公司对 嘲络安全非常重视，不仅在各个业务部门都有人进行专项跟踪研究，而且也成立过公亓 级的网络安全联合预研小组，对网络安全及其关键技术进行全面跟踪和研究。 工作目标：由于作者过去主要从事信息安全等相关的工作，来华为作博j 二后的 要 目标是：跟踪3 g 网络安全的最新进展和安全关键技术，并为未来3 g 产品网络提出一 个完整可行的安全解决方案。 工作经历：为完成此目标，荫年多来，作者专门参与过在三个与本项目密切相关的 联合预研项目组，如电子商务联合预研小组( 1 9 9 9 年1 1 月一2 0 0 0 年1 月：作者负责 电子商务安全技术的研究) ：网络安全联合预研小组( 9 0 4 1 ) ( 2 0 0 0 年3 月- - 2 0 0 0 年7 1 卜 ： 作者负责p k i $ 口密码相关技术的研究) ；3 ga l li p 联合预研小组( 9 0 6 1 ) ( 2 0 0 0 年1 1 月 2 0 0 1 年1 0 月：作者负责3 g 安全标准的跟踪和分析、5 g 网络安全方案的设计和实现) 。 工作方式：由j 。安全无处不在，因此工作面很广。由于大多数工作的性质足前沿性 的预研工作，一般采用的是“点到即止”的战略跟踪的概念性研究方式。因此，尽管作 肴对通信网、3 g 网络、网络安全等各种技术和协 义接触比较全面，但对许多具体的技术 细节的研究也并不是很深入。 研究进展：本文是作者两年多来在3 g 网络安全方面跟踪和研究的工作成果的个 阶段性总结，涵括：3 g 安全的标准跟踪、需求分析、竞争对手分析、解决方案和提案 利等丁作。注：考虑到篇幅限制和保密规定等诸多原因，有关网络安全、电了商务删3 g 产品安全规格和实现等技术成果，并没有在本文中进行描述。 未来希望：由于当前的3 g 安全标准和研究工作进展缓慢，在国际上还没有见到伞 | 自j 系统地研究3 g 整个系统安全的文章提案。作者希望这些成果能对公司未来的3 g 安 全产品的研发提供一个系统全面的指导，并作为将来3 g 安全工作的基本雏形。 弧3 咖 致谢 作者在华为公司作博上后网年多来，无论是在上研、北研还足深圳，无论是在哪个 预研项目组，也无论是在日常工作还是生活，都曾得到许多热心人的友好帮助，在这里 对他们都表示真诚的感谢。 感谢一博士后指导老师。即上海交通大学的汪为农教授博导、华为公司的周红高 工博士。感谢他们对作者工作的坚定支持和无私帮助。也非常感谢华为公司的肖臣国 老师对作者的日常工作和生活的关心和支持。 感谢一上研所领导同事。领导包括：袁建浩、胡信跃、武志宏、宋文芝、周洪斌、 杨超斌等。同事包括：吴更石、王国林、丁齐、段为明、李化加、苏宁、王育红、李江、 张劲林、吴疆、吴和兵、高会武等。非常感激他们对作者的日常工作的关心和支持，与 他们的友好相处令人难忘。 感谢一联合预研项目组的所有成员。包括：电子商务项目组成员( 王鹏威、刘淑 祥、廖广伟、张映辉、黄振宇、姚鑫、万杰等) ；网络安全项目组成员( 李明、周政、 范云松、毛志龙、张毅、盂新建、陆可杰等) ；3 ga l li p x , 曰组成员( 查钧、蒋滔、 程军、任建军、赵建国、黄世碧、袁委、段智勇、武亚娟、陈小英、韩诗涛等) 。在参 与这些预研项目组过程中，非常感激他们在技术和知识上的无私交流和帮助，与他们 起拼搏的日子令人怀念，也非常怀念华为那一年多的“流浪”生活。 感谢一兄弟部门的许多同仁。如无线的王杰、郑志彬、谢秀鹏等，数通的詹葆荣、 陈忠等，非常感谢他们曾对作者提供过的热心帮助。 感谢一许多老师和朋友。如e n t r u s t 公司的来学嘉博士、m o t o r o l a 的陈立东博士、 l u c e n t 的陈凯博士、陈育斌博士等、清华的张玉清博士、陈军博士等。上海交大的陈克 非教授、谷大武博士、郑东博j 二。西电的肖国镇教授、王育民教授等许多的老师和朋友。 非常怀念与他们一起的快乐时光，并感谢他们在日常工作生活中提供的热心帮助。 感谢一华为技术有限公司。华为不仅是一个可敬的企业，而且也是一所很好的学佼。 在华为两年多来，作者不仅开拓了技术视野( 全面的网络和安全等技术和实现等知识， 受益多多) 而且也开拓了人生视野( 华为人的团队精神、敬业精神、拼搏精神和号、啦 素质，令人难忘) 。作者真诚祝愿华为公司永远向上。 在华为两年多来，感觉收获很多。未来与理想越发变得成熟和自信。尽管前途也 许坎坷，吾将依然继续高唱着“风萧萧兮易水寒，壮士一去兮不复还! ”地去努力追求 和实现自己的梦想! 永远也不会忘记那些以真诚的心相待的每一个人：老| j i f j 、领导、同事和朋友! 摘要 本文主要介绍作者在3 g 安全方面取得的一些跟踪分析和技术研究的成果，包括： ( 1 ) 跟踪分析标准跟踪：洋细分析并总结3 g 标准组织和3 g 安全标准的最新 进展情况：需求分析：详细讨论并分析了3 g 系统所在环境、3 g 运营商的现有嘲络结 构和安全需求、3 g 安全威胁和系统安全需求： 竞争对手分析：详细讨论分析了竞争 对手的安全产品和方案和华为公司的安全产品基础。 ( 2 ) 安全方案一提出3 g 网络安全完整解决方案3 g 安全理念策略，包括3 g 安全的基本原则、3 g 安全模型、3 g 安全演进策略：3 g 安全的技术措施： 3 g 网 络安全方案，3 g 业务安全方案和3 g 安全业务方案；3 g 安全方案客户引导等。 ( 3 ) 技术研究一3 g p p 提案工作；3 g 安全专利工作。 关键讯第三代冀罗信谚网绍萝、3 秒眦d v m a 、多、业务- v v ， a b s t r a c t 3 gs e c u r i t yi st r a c k e da n da n a l y s e d ，a n ds o m es t u d ya c h i e v e m e n t sa r ei n t r o d u c e di nt h i s p a p e r ，i n c l u d i n gt h ef o l l o w i n g s ： ( 1 ) t r a c k i n g & a n a l y s i s ：s t a n d a r dt r a c k i n g ：t h el a t e s tp r o g r e s s o n3 gs t a n d a r d o r g a n i z a - t i o na n d 3 gs e c u r i t ys t a n d a r d sa r ea n a l y s e da n ds u m m a r i z e di nd e t a i l ；r e q u i r e m e n t a n a l y s i s ：3 ge n v i r o n m e n t ，n e t w o r ki n f r a s t r u c t u r ea n ds e c u r i t yr e q t f i r e m e n tf r o m3 go p e r a t o r s ， 3 gs e c u r i t yr i s ka n ds y s t e ms e c u r i t yr e q u i r e m e n ta r ea n a l y s e di nd e t a i l ；c o m p e t i t o ra n a l y s i s ： t h e p r o d u c t sa n ds o l u t i o n so nn e t w o r ks e c u r i t yf r o mo t h e rc o m p e t i t o r sa n dh u a w e ia r es t u d i e d a n da n a l y s e di nd e t a i l ( 2 ) s e c u r i t ys o l u t i o n s ：3 gt o t a ls e c u r i t ys o l u t i o n s a r e p r o v i d e d 3 gs e c u r i t y i d e a p o f i c y ，s u c ha s3 gs e c u r i t yb a s i cp r i n c i p l e s ，3 gs e c u r i t ym o d e l s ，3 gs e c u r i t ye v o l v e m e n t s t r a t e g i e s ；3 gs e c u r i t yt e c h n i c a lm e a s u r e s ；3 gs e c u r i t ys o l u t i o n ，3 gs e r v i c es e c u r i t y s o l u t i o na n d3 gs e c u r es e r v i c es o l u t i o n ；3 gs e c u r i t yi n t r o d u c t i o ns o l u t i o n f o ro p e r a t o r s e t c ( 3 ) t e c h n i c a l & s t u d y ：3 g p ps e c u r i t yp r o p o s a lw o r k s ；3 gs e c u r i t yp a t e n t w o r k s k e y w o r d s ：t h e3 r d g e n e r a t i o n m o b i l e c o m m u n c i a t i o n ( 3 g ) ，n e t w o r ks e c u r i t y , 3 g p p 、 w c d m a ，m u l t i m e d i a ，s e r v i c e 1 本文内容安排图 2 本文内容安排说明 内容安排 第一篇基础知识篇：3 g 网络基础、3 g 业务基础 第二篇标准跟踪篇：3 g 安全组织、3 g 安全研究 第三篇需求分析篇：3 g 环境分析、3 g 客户分析、3 g 威胁分析、3 g 需求分析 第四篇竞争对手篇：竞争对手分析、华为技术基础 第五篇解决方案篇：理念策略、技术措施、安全组网、组网实例、客户引导 第六篇技术成果篇：3 g 安全提案、3 g 安全专利 热搞堆础知识篇 第一篇基础知识篇 本篇目的：介绍作者对3 c 系统和业务的一些认识。 要包括3 g 网络和3 g 业务等 一些基础知识，以作为后面3 g 安全需求分析和3 c 安全解决方案的基础。 章节 内容成果 遗留问题 3 g 网络基础 3 g 网络概述( 3 g 发展历程、功能 在3 g 网络发展趋势中最终趋向 特征和商用时间) ，3 g 技术体系于w c d m a 只是代表一种观点。 ( 3 g 技术规范体制和3 g 标准组 最终的趋势并不完全取决于技术 织结构) ，w c d m a 和c d m a 2 0 0 0的先进性，而取决于市场。 的介绍，以及3 g 未来发展趋势。 3 g 业务基础3 g 业务需求、3 g 业务平台和3 g 各种业务。 第1 1 贞 第篇基础知u l 籀 菇瓣j 誊霹基：础知识一网络 本章介绍一些有关3 g 系统的基础知识，包括：3 g v 4 络概述、3 g 技术体系、w c d m a 和c d m a 2 0 0 0 的介绍，以及3 g 的未来发展趋势。 第1 1 节3 g 网络概述 本节介绍3 g 的发展历程、功能特征和商用时间。 1 1 1 3 g 发展历程 第一代移动通信系统是8 0 年代的模拟通信系统，如a m p s 、t a c s 、n m t 和j - t a c s 等。第二代是9 0 年代的数字移动通信系统，如g s m 、c d m a 、t d m a 和p d c 等。第三 代是2 0 0 0 年代的宽带移动通信系统，包括w c d m a 、c d m a 2 0 0 0 和t d - s c d m a 。图1 给出了3 g 发展历程及一些主要特点。 蜥i i ；= 盈墨蓝i 一。蹴。争蠹蕊蠹蠹 t a c 盯s凸涨1 。，一。啼i j 巍鬻麟擀 ：= ：叫戳叫一一争。锚嚣粼鬻2 0 0 0 ； 曹 i s 一1 3 6 一 ；j 弋盯l d l 9 8 ，年提出考虑到液系蜿恪于 ，t a c s科 一m i2 i m 船t - 2 0 g 0 蓝2 篮正m 规o b i l e 纳i i ：年左右斑八商用市场井且其工作舯颠段在： + 一i ：t d 嘣口t i 0 咖 i i 2 3 g 功能特征 图1 ：3 g 发展历程和主要特点 ，g 系统主要包括终端、接入网和核心网等三部分。下表说明其功能特征。 组成部分功能特征 终端- - u f m e 提供应用和服务； ( m e 十u s i m ) u s i m ( s i m ) 提供用户身份识别。 接入网一r a nr n c ：无线网络控制器负责管理整个无线资源，控制多个n o d eb ； ( r n c * n o d e b ) n o d e b ：基站收发器在r n c 控制下管理和使用物理资源； 核心网- - c n 负责与其他舟络的连接和对u e 的通信和管理； ( c o r en e t w o r k ) 第1 2 顷 第一篇基础知识篇 1 1 3 3 g 商用时间 3 g 商用分为三个阶段：2 0 0 2 年前是3 g 发展的初级阶段，2 0 0 2 年至2 0 0 5 年为3 g 发 展和初步完善时期，2 0 0 5 年至2 0 1 0 年，3 g 将成为移动通信领域的主流产品。 在2 0 0 1 年1 0 月1 曰。日本的d o c o m o 公司在东京已经开始了3 g 系统的商q k 运营。 美国、欧洲和韩国的3 g 商用时间大约在2 0 0 2 年，中国的3 g 商用时间估计在2 0 0 3 年。 第1 2 节3 g 技术体系 本节介绍3 g 技术标准和3 g 标准组织。 1 2 1 3 g 技术标准 3 g 的技术标准体制包括w c d m a 、c d m a 2 0 0 0 和t d s c d m a ，主要特点有 3 g 体制主要特点 w c d m a 核心网基于g s m g p r s 网络的演进保持与g s m g p r s 网络的兼容性： 核心网可基于t d m 、a 1 m 和i p 等技术，并向a l li p 的网络结构演进； 核心网逻辑上分为电路域和分组域两个部分分别完成电路型业务和分组讪l k 务在3 g r 5 版奉以后瓿增诤多媒体域： u t r a n 基于a 1 m 技术，统一处理语音和分组业务，井向i p 方向发展： m a p 和g p r s 隧道技术是w c d m a 体制移动性管理机制的核心。 c d m a 2 0 电路域：继承2 g c d m a - m s c 网络，引入以w i n 为基本架构的业务平台： 分组域：基于m o b i l e 礤技术的分组网络； 无线接入网：以a t m 交换机为平台，提供丰富的适配层接口： 空中接口：兼容i s 9 5 a b t d s c d m a t d s c d m a 技术体制将采用w c d m a 制式的核心网络结构： 1 r i r a n 基于a t m 技术统一处理语音和分组业务，并向i p 方向发展。 1 2 2 3 g 标准组织 3 g f t m r - 2 0 0 0 ) 标准组织包括n u 和一些3 g 标准组织。兀u 主要负责设定3 g 的全球的 需求框架、频谱分配、互通性等虚拟的i m t 2 0 0 0 参考网络及其接口，并不负责详细的标 准制定。3 g 详细标准制定的组织有：3 g p p 组织r c c i m a ：包括欧洲和日本的一贱 3 g 组织和公司) 、3 g p p 2 组织( c d m 丸 o ：美国高通公司) 、t d s c d m a ( c , w s ) 。 第1 3 节3 gw c d m a 本节介绍3 gw c d m a 的演进趋势和网络结构。 第1 ，页 瓤箍堪础知i 汉篇 1 3 1 演进趋势 图2 ：w c d m a 的演进 r 9 标准在2 0 0 0 年6 月基本完成、比较稳定：ir r r a n 基于c d m a 和a 1 m ：核- 心 网基于g s m g p r 5 网络演进、c s p s 分离：双模( g s m u m t s ) 终端。 r 4 、r 5 ( 一a i 上口) ：r 4 在2 0 0 2 年完成稳定，2 0 0 4 年商用，特点是电路域的承载 和控制分离；r 5 将支持i p 多媒体业务；r 5 以后核心网先a l li p 化，后向i pr a n 发展。 3 g 将来的发展趋势是：控制和承载的分离，电路域逐渐将被分组域取代：全 i p 架构，包括接入网： 引入3 g 多媒体域：固定和移动的核心网的融合。 1 3 2 网络结构 这里简单介绍一下r 4 的基本结构如下图。 r 4 的主要特点：( i ) c s 域控制承载相分离；( 2 ) 趋向全i p 架构。 第l 页 第一篇基础知识篇 图3 ：r 4 网络结构 第1 4 节3 gc d m a 2 0 0 0 本节介绍3 gc d m a 2 0 0 0 的演进趋势和网络结构。 1 4 1 演进趋势 下图给出了c d m a 的演进趋势。 图4 ：c d m a 2 0 0 0 的演进 第1 5 页 第一篇基础知识篇 1 4 2 网络结构 图5 ： c d m a 2 0 0 0 的网络结构 第1 5 节3 g 网络未来 本节介绍3 g 网络的发展趋势、分层结构以及与固网的融合趋势。 1 5 13 g 发展趋势 3 g 网络发展趋势如下图所示。一般观点认为它们最终将在w c d m a 处融合。 图6 ：3 g 网络的发展趋势图 第1 6 页 第一篇基础知识蒋 1 5 2 3 g 分层结构 下图是华为公司的3 g 网络分层结构观点。 图7 ：移动网络的分层结构 1 5 3 有线无线融合 下图是华为公司对未来的有线和无线网络的融合的观点。 图8 ：有线无线一体化结构 第一篇基础知识篇 本章介绍一些有关3 g 业务的基础知识，包括3 g 业务需求、3 g 业务平台和3 g 业务。 第2 1 节3 g 业务需求 本节介绍3 g 业务模型的发展趋势和新移动业务价值链。 2 1 1业务模型发展趋势 下图给出了3 g 业务模型的发展趋势。 图9 ：3 g 业务模型发展趋势 2 1 2 新移动业务价值链 移动数据业务发展带来价值链的变化：网络运营商一业务提供商一增值业务提供 商，各个环节必须均衡发展是发展移动数据业务的关键。 移动数据业务发展促使新兴合作关系的建立l 战略合作伙伴关系成为设备供应商、 网络运营商、业务提供商和内容提供商的一种新兴合作生态体系。 篇l l 页 第一篇基础知识篇 第2 2 节3 g 业务平台 本节介绍3 g 业务体系结构、v h e 、o s a 和业务提供框架。 2 2 1 3 g 业务体系结构 图1 0 ：3 g 业务体系结构图 2 2 2 虚拟归宿环境- v h e v h e ( v 砌h o m ee n v i r o n m e n t ) ：向用户提供跨地域、终端的个人业务环境口s e ) ； 实现用户个性化业务、个性化的业务接口；从用户的角度定义业务；用户的业务操作和 业务界面与网络、位置无关；不是一种技术，而是一系列业务创建工具的集合，包括 m e x e 、s a t 和c a m e l 。 v i i e 的作用：业务提供者可以创建和提供独特的业务；实现业务与网络的分离。 图1 1 ：v h e 业务创建工具 第l ，页 第一篇基础知识篇 图1 2 ：用户业务基础模型图 2 2 3 开放业务接入o s a o s a ( o p e ns e r v i c e s a c c e s s ) ：提供网络能力的标准接口，开放网络能力；业务实现与 网络设备的无关性：屏蔽了网络协议的复杂性；业务开发基于a p i 而不是直接面对复杂 的网络协议；基于分布式c o r b a 体系。 图1 3 ：o s a 结构模型图 基本功能r m e w o 曲：提供基本机制，保证合法使用业务能力，包括认证、授权、 业务能力服务器的发现等基本功能。主要由认证服务器、搜索服务器等组成。 业务能力服务器：提供业务能力特性，包括呼叫处理功能、位置信息查询等能力。 f i t h l r 、s c p 、m e x es e r v e r 等组成，完成特定功能。 2 2 4 业务提供框架 g s 对网络基础设施和业务方面的认识都是非常深刻的，这里参考c i s c o 的业务提供 框架，l l p c i s c oa v v i d ( a r c h i t e c t u r ef o rv o i c e 。v i d e oa n di n t e g r a t e dd a t a ) 。 第2 0 页 第一篇基础知识篇 图1 4 ：业务提供框架图 第2 3 节3 g 业务介绍 本节介绍3 g - - 般业务和可能的未来业务。 2 3 1 3 g 一般业务 一般业务包括基本业务和多媒体业务、位置业务、移动办公类业务、i n t e r n e t 应用、 w a p 业务、娱乐类业务等等。 基本语音业务和多媒体业务：基本语音业务、宽带语音业务、多媒体电话、短 消息业务、小区广播业务、高质量的音频、视频点播。 位置业务：移动定位的应用：电子地图、车辆调度、紧急呼a q 0 1 2 ) 、市内交通 查询、旅游漫游定位、查询所在地周围的宾馆和饭店、导航、车辆调度、汽车防盗等。 移动办公类业务：企业v p n 、i n t r a n e t 接入、文件传送、信息检索等等。 i n t e r n e t 应用：常见的i n t e m e t 应用。 w a p 业务；有待进一步研究。 娱乐类业务t 包括m o b i l et v 、m o b i l er 础i o 、m o b i l ef i l m 等等。 其他业务：存储网络业务q 、门户站点业务n ) 、移动商务，。 2 3 2 3 g 未来业务 图像业务、v o d 、会议电视、游戏娱乐、位置信息服务、。 簟2 l 页 第二篇标准跟踪篇 第二篇标准跟踪篇 本篇目的：介绍作者跟踪3 g 标准进展的一些工作。主要介绍3 g 标准有关进展，以 作为后面3 g 安全需求分析和3 g 安全解决方案的基础。 章节内容厂成果遗留问题 3 g 标准组织介绍i m t 2 0 0 0 、3 g p p 和3 g p p 2 标准组织及其相互关系。 3 g 安全研究介绍3 g p p s a 3 的工作项目及进 展、g s m g p r s 安全研究进展， 3 g p p 的安全研究进展。3 g p p 安 全标准分析。 第二篇标准跟踪篇 本章介绍从事3 g 安全研究的标准组织，主要包括蹦t 2 0 0 0 、3 g p p 和3 g p p 2 。 第3 1 节i m t 2 0 0 0 安全组织 在r r u 组织中，3 g 安全由k ! gs g 7 小组来负责。理论上它应该协调3 g p p 和3 g p p 2 的工作，但目前，他们在安全方面的工作并没有任何进展。 第3 2 节3 g p p 安全组织 在3 g p p 组织中，3 g 安全主要是由3 g p ps aw g 3 小组负责。s aw g 3 与e t s i s m g i o ( 负责g s m 安全) 、e t s i s a g e ( 安全算法专家组) 、e t s i1 安全( 技术委员会安全) 、 a r i b 安全工作组共同完成3 g p p 安全方面的工作。 有关s a 3 的工作任务：请参考，h t t p ：w w w 3 9 p p o r g t s g t o r s a s a 3 - t o r h t m 。 第3 3 节3 g p p 2 安全组织 在3 g p p 2 组织中。3 g 安全主要由弧h 5 负责完成。在2 0 0 0 年4 月，1 r 4 5 成立t i a a h a g ( a d - h o ca u t h e n t i c a t i o ng r o u p ：特别认证工作组) 。专门负责t r - 4 5 有关安全方面 的问题。 t i a a h a g 的工作任务：负责向1 r 4 5 提供安全咨询；认证、加密、密管理和分发、 安全过程和算法、与美国政府的出口联络等等。 第3 4 节3 g p p 3 g p p 2 安全交流 为了将来的3 g 安全结构的融合，3 g p ps aw g 3 和t i aa h a g 每年举行两次交流。 目前主要集中在 j 匠a 的联合控制上 第幻页 第二篇标准跟踪篇 本章介绍3 g 安全研究的最新进展和总结。 第4 1 节3 g p ps a 3 工作项目和研究进展 任务名称 负责单位 计划完成时间段完成 1 m e x e 增强中的安全( 阶段3 ) t 20 0 0 7 1 1 7 0 0 1 2 1 5 r 4 ：6 3 2u s l m 工具包安全t 3 0 0 0 i 0 3 - 0 i 0 3 3 00 3t f o 中的防止用户欺骗c n 40 0 0 8 2 1 - 0 i 0 3 3 0r 4 ： 4i m 接入安全s a 30 0 0 9 0 4 - 0 1 ，0 6 2 2 r 5 ：0 5合法监听s a 3 i m ：0 0 1 0 9 0 4 - 0 1 f 0 3 2 9r 5 ：1 0 c s ：0 0 0 8 2 1 - 0 i 0 3 1 2 3r 4 ：0 6o s a 安全s a l0 0 0 i 0 3 0 1 瑚1 0r 5 ：0 7 l c s 增强的安全性问题 s a 20 0 1 0 4 1 1 2 - 0 1 门2 2 80 8p s 域，i m s 中可靠的q o s 安全方面s a 20 0 0 6 1 0 加0 1 1 2 2 9 r 4 ：0 和r 5 ：? 9计费和o a m & p ：( i ) 安全管理：( 2 ) 密钥s a 50 0 0 1 1 0 3 0 1 1 0 4 1 0 1 0 管理和分发； 1 0g e r a n 安全g e r a n0 0 0 9 0 1 - 0 1 ，1 2 2 8 r 4 ：1 0 1 1基于网络的端到端安全s a 3们，0 3 2 8 - 0 1 1 2 3 1r 5 ：0 1 2安全增强蚵墨s a 30 0 f 0 1 f 0 如f 0 9 f 2 82 5 1 连接中u e 触发的认证( 阶段3 ) 0 0 1i 0 3 - 0 1 ，0 3 3 0r 4 ：0 2g s mp s c s 算法演进0 0 0 i 0 3 0 0 1 2 2 2r 4 ：7 4 和3 4 3 用户平面数据的保护：( 1 ) 接入网的完整 0 0 0 2 1 4 - 0 i 0 6 2 2r 5 ：0 性保护；( 2 ) 基于网络的端到端安全 4 网络区域安全( i 艟制平面的保护： ( 2 )0 0 0 2 2 1 0 i 0 6 2 1r 5 ；3 5 和3 5 用户平面的保护；( 3 ) 抵抗d o s 攻击； 0 5 m a p 应用层安全 0 0 0 2 2 2 - 0 1 1 11 2 4r 4 ：5 4 6 c n 安全的密钥管理0 0 0 1 1 0 3 - 0 1 ，0 6 ，2 2 0 7 安全可视性和可配置性 0 0 0 1 1 0 3 - 0 0 1 2 2 5r 4 ：0 8 f i g s0 0 0 i 0 3 - 0 1 f 0 6 2 2 r 5 ：0 9 一般安全问题 0 0 0 1 1 0 3 - 0 i 0 3 3 07 ：0 1 0 安全的增强h e 控制0 0 ，0 i 0 3 _ 0 i 0 1 ，0 3 7 ：0 第4 2 节g s m g p r s 安全研究进展 空中接口提供安全保护：网络区域通过专网提供物理安全：a 5 1 2 算法已经不安全 替代算法a 5 3 正在研究为了标准化，许多专家建议统一采用3 g p p 的f 8 f 9 算法。 蔓三蔓堡堡堡壁塑 第4 3 节3 g p p 安全研究进展 下面简单介绍3 g p p 在安全方面的研究进展。在下图中，上面的内容是作者定义的 类别，下面的内容是s a 3 的工作子项目( w o r k i t e m ) 。 图1 5 ：3 g p ps a 3 工作项目分类 类捌工作项目 目标研究进晨 终端研究比较成熟 安全 进行m e x e 的安全威胁分析，井检m e x e 安全主要由1 s o t 2 小组承担m e x e 安全 查2 3 0 5 7 的安全特征是否能够抵与s a 3 小组共同分析，没有明确时间计 抗有关的威胁划提案较少，不是考虑重点请参考 t s2 2 0 5 7 v 5 1 0 u $ i m 工具包安监控t 3 增强0 3 4 8 的工作，并在需提案很少也不是考虑重点 全增强要的时候提供必要的安全专家支 持公钥加密解密签名验证 接入研究比较成熟g s m 、g p r s 和3 g 均提供该功能 网 u e 触发认证防止长时间连接中弱密钥的使用完成3 3 1 0 2 ( k 9 9 、r 舢中已经添加! 安全 g e r a n 安全给g e r a n 的用户和信令数据提供得出g e r a ni u 模式规范的草稿：研究 比u t r a n 一样或更好的保护级g e r a n r r c 和r l c _ , m a c 消息的完整 别；使用一个与u t r a n 安全结构性保护；采用何种算法。没有确定l 大部分兼容的安全结构 网络研究根不成熟1d a p s e c 协议部分基本完成，但n d s m 和密钥管理部分非常不成熟 区域 n d s n 血u s 确定包括m a p 应用层安全的核心 m a p s e c 在r 4 中已经得到支持，目前主 安全 同安全的密钥管理标准，机制必须要研究密钥管理部分 是可伸雏的、更括的、祗成本的 同时也必须研究网络元素之问的 安全策略的臂理 n d s ，p 解决如何保护仅基于m 的信令研究进展不大，版本为0 6 0 n d s 密钥瞥理 无进展 应用研究根不成熟 面 第二篇标准跟踪篇 区域a s i p 解决r 5 中的i m 业务接入安全相关 t s3 32 0 3v 0 40 ( s a 3 # 1 9 次会议1 安全问题一定义端用户、i m c n 子系 统、p s 区域和c s 区域之问的安全 服务和信任关系讨论i m s 用户使 用s 砰进行登记认证的机制包 括用于保护信令平面和用户平面 的必要的加密和完整性保护机制 考虑演进和重用现有用于a k a 的 r 9 9 结构 o s a 安全 进行o s a 安全戚胁分折；检查提案很少，进展很小。 2 3 1 2 7 的安全特征是否可抵御这些 戚胁； 运营 研究很不成熟 安全f i g s i s t 无进展 安全u 研究比较成熟，但用户面保护考虑很少 业务 用户面数据无进展 保护 合法监听皿 其他 包括o o s 安全、l c $ 安全、t f o 中的防止用户欺骗 无进展 第4 4 节3 g p p 安全标准分析 本节介绍3 g p p 安全标准的最新进展。 4 4 1 3 g 安全- 标准综述 3 g p p 安全标准主要集中在：2 1 系列( 安全需求) ；3 3 系列( 安全部分) ：3 5 系列( 密码 算法部分) ；4 2 和4 3 ) 翩j ( s a t 、f i g s i s t 。不成熟) 。 4 4 2 3 g 安全威胁需求 3 g 安全威胁主要包括终端和u s d 讧u 1 0 c 、无线接口部分和其他部分。下图给出了 3 g 系统的安全需求的基本内容。 第拍页 第二篇标准跟踪篇 图1 6 ：3 g p p 安全威胁 而根据威胁得出的安全需求则包括：终端u s i m 需求、个人数据保护需求、系统完 整性需求、3 g 业务安全性需求等。客观需求则包括管理者需求。 图1 7 ：3 g p p 安全需求 有关3 g 安全威胁和需求内容，请参看标准3 g p pt s2 1 1 3 3 。 4 4 3 3 g 安全原则目标 3 g 安全的基本原则 图1 8 ：3 g p p 安全原则 竹百 第二篇标准跟踪篇 3 g 安全的基本t l 标 3 g 安全的基本目标有六点：信息保护：确保用户产生的或同用户相关信息得到 足够保护，不能被滥用或盗用；资源保护：确保s n 和h e 提供的资源和业务得到足够 保护不能被滥用或盗用：高安全性：确保提供给用户和s p 的保护级别高于目前固 定移动网络的安全级别：全球可用：确保标准化的安全特征具有全球可用性f 至少 有一个加密算法可以面向全球出1 ：3 ( 依, j 擐, , w a s s e n a a r 协议) ) ；互操作性：确保安全特征得 到足够标准化来保证全球范围互通性和不同s n 之间的漫游；可扩展性：确保3 g 安全 特征和机制的实现随着新威胁和业务需求而得到扩展和增强。 有关3 g 安全原则和目标的详细内容，请参看标准3 g p pt s3 3 1 2 0 。 4 4 4 3 g 安全网络接入安全 有关3 g 网络接入安全模型如下图所示，其主要指i 的部分。 图1 9 ：3 g 安全结构模型 3 g 网络接入安全的详细内容，请参看标准3 g p pt s3 3 1 0 2 。密码算法需求则参看 3 g p pt s3 3 1 0 5 安全算法规格参看3 g p pt s3 3 1 0 3 。 3 g 密码算法设计准则，请参看3 g p p i s3 3 9 0 1 。s a g e 报告和概要报告，请参看3 g p p t s3 3 9 0 8 和3 g p pt s3 3 9 0 9 。 3 g j j f l 密完整性算法f 8 ，丹和核心算法k a s u m i 的详细说明，请参看3 g p p t s3 5 2 0 1 、 3 g p pt s3 5 2 0 2 、3 g p p i s3 5 2 0 3 和3 g p pt s3 5 2 0 4 。评估报告请参看3 g p pt s3 3 9 0 4 。 3 g 认证的算法模板，请参看3 g p p t s3 5 2 0 5 、3 g p p t s3 5 2 0 6 、3 g p p t s3 5 2 0 7 、3 g p p t s3 5 2 0 8 和3 g p pt s3 5 9 0 9 。其评估报告参看3 g p p i s3 5 9 0 9 。认证协议的形式化分析 请参看3 g p pt s3 3 9 0 2 。 第2 8 页 第二篇标准跟踪篇 4 4 5 3 g 安全业务接入安全 3 g 业务接入安全是指3 gi p 多媒体业务接入安全。一般是指s i p 信令的安全问题，主 要包括用户的认证、信令的安全保护和用户身份的保护等问题。目前，其研究进展并不 大。有关详细内容，可查看最近的3 g p p t s 3 3 2 0 3v 0 5 5 ( 提案：s 3 - o l 0 0 8 9 ) 。 图2 0 ：3 g i m 接入安全模型 4 4 6 3 g 安全网络区域安全 3 g 网络区域安全目前主要集中在信令的保护问题上。对只承载在上的信令，如 s i p 、g n ) ：、d i a m e t e r - 等采用i p s e c 保护机制。对传统的既可承载在s s 7 上，也可承载在 m 上的信令，如m a p ，则需单独定义新的安全机制。 对m a p 消息的安全保护，主要是对m a p 协议本身作一些改进，增加了一些安全功能， 有关详细内容，请参看3 g p p t s3 3 2 0 0 和3 g p p i s3 3 8 0 0 。目前，m a p 安全的基本机制 已经明确，s a 3 小组的工作重点已经开始集中在m a p s e c 协议的密钥交换和分发机制的 工作上。 对于只基于i p 的信令的保护。s a 3 建议采用s e g 逻辑功能模块的逐段i p s e ce s p 保护 机制。有关详细内容，请参看最新标准3 g p p t s3 3 2 1 0 v 0 6 0 。 第4 5 节4 g 安全研究 目前在网上没有查到相关资料。由于公钥和p k i 技术并没能在3 g 中广泛使用。有理 由相信，4 g 将处于数字签名和公钥技术广泛使用的时代。 第嚣页 第三篇需求分析篇 第三篇需求分析篇 本篇目的：介绍作者在3 g 安全需求方面的一些分析成果。包括：3 g 环境分析、客 户分析、威胁分析和需求分析。最后汇总的3 g 安全需求是3 g 安全解决方案的基础。 章节内容成果遗留问题 环境分析3 g 网络设施、参与角色、数据在t s 2 1 1 3 3 标准中数据类型划 类型和组网结构。 分不清晰，而且很不明确的。 客户分析运营商( 中国移动、中国联通、中中国联通的3 g 安全观点和组网 国电信和中国网通) 的具体组网结构不清楚，需要进一步调查。 安全需求分析。 缺乏对国外运营商的跟踪。 威胁分析分析3 g 可能的外部威胁、内部 威胁和威胁评估。 需求分析介绍3 g 的数据安全需求、系统 安全需求和运营商安全需求。 繁 o 页 第三篇需求分析篇 本章讨论3 g 所在的环境，包括：3 g 在电信网络中的定位、结构、趋势和实例：3 g 网络的参与方；3 g 网络的数据类型；3 g 网络的组网结构。这部分内容是作为后面的威 胁分析和安全需求内容的基础。 ( 1 ) 分层结构 第5 1 节3 g 网络设施 分层结构是网络的纵向结构。通常，电信网络的结构分为为四层，即接入层、媒体 层、控制层和业务层，如图1 所示。接入层主要包括各种接入系统，如用户环路系统、 无线接入、c a b l em o d e m 生m 媒体层包括媒体网关、路由器等；控制层包括媒体网关控 制器、软交换、网守、信令网关等；业务层包括智能网等各种应用服务器等。 网络分层结构与具体物理实现并不一定是一一对应的，即一个物理实体可以完成几 个功能层的功能，也可以一个功能层有几个物理实体来完成。 图2 1 ：电信网络分层结构 3 g m 络位于电信网络分层结构的各个层次中。3 g 主要还是作为一个接入网。3 g 刚、n 位于电信网络的分层结构的接入层。3 g 核心网0 旺s c 、g m s c 、s g s n 、g g s n 、h l r 、 m g w 、w i n 等等) 则位于分层结构的媒体层、控制层和网络业务层中。 ( 2 ) 物理结构 物理结构是电信网络的横向结构从整个电信网的角度，一个完整电信网络由公用 纂3 l 页 第三篇需求分析篇 电信网和用户驻地网( c p l , 0 两部分构成。而公用电信网又由核心网和接入网两个部分构 成。如下图所示。匝卜刚垂三基产恒拖 、。 公用电信网 其中，c p n 为用户驻地网，u n i 为用户网络接口，s n i 为业务节点接口。 图2 2 ：电信网络物理结构 接入部分，是指端局到用户部分。包括有线接入和无线接入。有线接入，包括光纤、 c a b l e m o d e m 、x d s l 等各种有线接入技术。无线接入，包括移动无线接入和固定无线接 入。但一般对这些接入技术不进行很清晰的层次划分。 核心网，是指两个端局之间的信息交换网络。根据采用技术的不同，可分为电路型 核心网络和分组型核心网络。 3 g 网络的结构也分为接入网和核心网，其结构与电信网络的横向结构也是一致的。 ( 3 ) 发展趋势 3 g 网络的发展符合下一代网络n g n e 赋g e n e r a t i o nn e t w o r k ) 体系结构，即是一个 可以提供包括话音、数据和多媒体等各种业务的综合开放的网络，它的发展趋势具有三 大特征：( 1 ) 3 g 体系将采用开放的网络体系结构；( 2 ) 3 g 是业务驱动的网络；( 3 ) 3 g 将基 于统一协议的分组网络。 3 g 网络全球化、综合化、宽带化、分组化、部件化、个人化、智能化、内容化的发 展趋势已经非常明朗，融合成为电信网络发展的主题。 ( 4 ) 网络实例 华为公司一直积极倡导“可运营、可管理、可扩展、可持续赢利”的通信网