中国电信产品维护经理认证体系培训.ppt

世界触手可及 加密通信 中国电信集团公司网络运行维护事业部2015年5月 通过本课程的学习 掌握以下内容 了解加密通信的业务功能 熟悉加密通信的业务平台系统 熟悉加密通信的业务流程 了解加密通信业务应急方案 初步具备加密通信故障定位和处理的能力 课程目标 加密通信的业务功能 加密通信的业务平台系统 加密通信的业务流程 加密通信业务平台的应急方案 故障处理案例 课程总体思路图 本课程目的是 提升分公司政企客户支撑人员对加密通信产品的支撑技能 课程思路 提纲 业务概述 加密通信业务是基于中国电信CDMA移动通信网络和安全管理平台 通过为客户特别定制的 内置国家密码管理局指配加密算法的专用手机终端 利用商用密码技术和信息安全技术 向客户提供端到端手机通话加密 基于终端的个人信息保护和丢失手机安全保护等安全服务 业务功能 端到端全程加密一话一密更安全 国家商密级认证语音加密更放心 专用手机功能强资料信息可隐藏 手机遗失不用急远程指令可擦除 1 2 3 4 国内独家提供商密级语音加密业务 拥有国家密码管理局唯一认证资质 端到端全程密文传送 随机密钥 一次通话一个密钥 隐藏特定联系人的通讯录和通话记录等资料信息 远程指令擦除存放在手机上的联系人的通讯录和通话记录等资料信息 可以恢复到出厂设置 核心卖点 业务原理 1 中国电信cdma20001X安全通信产品是利用密码技术 信息安全技术实现对手机话音通信信息的加密 从而提高客户移动通信的安全性 1X安全通信产品适用于主被叫用户皆为中国电信CDMA移动用户的情况 且用户都使用由中国电信定制的具备加密功能的终端 中国电信cdma20001X安全通信产品主要针对政企客户及有加密产品需求的大中型企业客户 提供民用级端到端的语音加密服务 该产品在中国电信CDMA移动网络内 保证端到端语音保密 不管是在空口传输还是核心网络内 整个端到端通道传输的都是加密语音 提供了最大程度的民用级通信保密 系统架构图 业务原理 2 主要功能模块 端加解密功能 主要完成语音的加解密功能 在发送端对声码器输出的语音编码码流 EVRC码流 进行加密之后传输给下一个处理模块 在接收段对传给声码器的EVRC码流进行首先解密然后再解编码 另外 还负责与KMC 密钥管理中心 的会话密钥协商 通过安全的方式获得每次通话的会话密钥 网络透传及控制 主要在控制面和媒体面保证经过加密的语音码流不被进行处理 如编解码转换 回声抵消等 从而在接收端可以正确的加密和解码 涉及到的网元包括BSC以及所有中间的媒体传输节点 密钥的分发和控制 考虑到实现的复杂度 国家对密码的管理规定 目前的加密算法使用的是国有SMS4算法 属于对称分组密码算法 为了能够正确的实现加解密 通信的双方必须有一个相同的密钥来对语音码流进行加解密 在此 引入一个新的网元KMC KMC的作用主要是负责通信中密钥的分发以及多用户的密钥管理 以及对用户加密权限的验证等 本系统使用一次通话一个密钥的方法 密钥通过KMC在用户触发加密请求的时候使用公钥密码体制安全的下发给通信的双方 提纲 网络架构组织 KMC以标准的MAP消息与短消息中心 HLR MSC连接 KMC与IT系统相连 以实现用户业务开通以及计费 会话密钥Ks Ks是由KMC调用密码机的密钥生成函数产生的 供某一次会话中双方终端对语音进行加解密的会话密钥 会话密钥Ks的长度为128bits 一话一密 KMC公私钥对K0与Kp 终端利用公钥K0对发送给KMC的关键信息进行加密保护 KMC用私钥Kp对发送给终端的消息进行签名 终端用K0进行签名验证 KMC将版本号及公钥提供给终端厂商 预置与出厂加密通信终端 KMC支持对公私密钥进行更新 KMC的公私钥对由密码机产生 并完成涉及KMC公私钥的密码运算 公钥K0长度为48字节 私钥Kp长度24字节 终端临时公私钥对Pa Pb与Ka Kb Pa与Ka为主叫终端临时产生的公私钥对终端在发送给KMC的消息中携带了PaKMC用Pa对会话密钥Ks进行加密之后下发给终端终端用Ka解密获得会话密钥Ks Pa与Ka在用户下一次发起密话请求时由新的临时公私钥对替换 加密终端的实现 加密模块实现逻辑 会话密钥协商与KMC的相互认证 控制面的认证和密钥协商 媒体面的加解密功能 会话密钥协商 当次加密通话结束后 终端销毁本次所用的会话密钥及临时公私钥对 终端与KMC之间的消息交互通过特殊的短信实现 每次发起密话请求前 终端自动产生一对临时公私钥 向KMC发起密钥请求 携带自身公钥等信息 当KMC完成用户认证后 产生会话密钥 并进行加密和签名处理后下发给终端 终端接收后进行解密和签名验证 然后获得会话密钥 KMC对用户和终端的认证与鉴权 KMC根据用户的MDN 查询用户的签约属性 根据用户的MDN 获取IMSI与MEID 对终端绑定的用户 若IMSI和MEID与KMC保存的用户数据匹配 则用户鉴权通过 若不匹配 则下发错误消息 终端对KMC的认证 KMC在向终端下发消息时 利用私钥Kp对消息的内容做了签名处理 并将生成的签名字段与消息一起下发给终端 终端在收到消息之后 利用本地保存的KMC公钥K0对消息进行签名验证 媒体面的加解密功能 获得会话密钥之后 终端利用得到的会话密钥对语音编码码流进行加解密 语音对称密码算法加解密 终端通过加载加密算法 在话音经过数字语音编码之后对编码码流进行加密 从而实现对语音的加密 在接收端通过在话音解码器之前先引入解密软件实现解密 加 解 密模块通过固件方式实现 KMC的功能 用户数据的存储 合法终端设备标识存储 KMC公私钥版本管理 会话密钥Ks的生成和管理 密钥协商短信 KMC签名信息 KMC对用户和终端的认证与鉴权 KMC公钥更新 KMC远程控制 用户数据 MDN IMSI MIN ESN MEID 业务签约状态 永久数据 开通状态 绑定状态 终端类型 ESNMEID 临时数据 临时公钥 合法终端设备标识存储 KMC公私钥版本管理 KMC使用的第一对公私钥版本号为0 并将版本号及公钥提供给终端厂商 预置于出厂的加密通信终端 KMC支持对公私密钥进行定期或不定期的更新 KMC公私钥版本号长度8bits KMC的公私钥每次更新时 版本号加1 公私钥版本号从1到255 循环更新 会话密钥Ks的生成和管理 KMC接收到密钥请求信息后 调用密码机会话密钥生成函数接口 获得其随机产生一个会话密钥Ks 实现一话一密 KMC对每次产生的会话密钥Ks 利用当前KMC私钥 调用密码机对称密码算法加密保存 会话密钥Ks存储于独立的存储空间 物理 逻辑上与KMC其他管理功能独立 密钥协商短信 手动模式 用户先建立一个普通明话通话 之后双方约定同时通过按键操作申请进入密话通话 自动模式 用户在发起呼叫前 提供菜单或特殊按键供用户选择直接进入密话通话 KMC签名信息 KMC通过自己的私钥调用密码机函数接口获得签名信息 并在密钥响应消息中下发给终端 KMC对用户和终端的认证与鉴权 KMC根据用户的MDN 查询用户的签约属性 根据用户的MDN 获取IMSI与MEID 对终端绑定的用户 若IMSI和MEID与KMC保存的用户数据匹配 则用户鉴权通过 若不匹配 则下发错误消息 对终端未绑定的用户 KMC查询用户的MEID是否位于MEID白名单 黑名单中 若在白名单 则用户鉴权通过 若白名单未查询到 或在黑名单 则下发错误消息 KMC公钥更新 KMC支持公私钥对的定期或不定期更新 KMC的公私钥对更新后 主动发起公钥更新流程 KMC收到终端的密钥请求消息 发现KMC公钥版本不一致 发起公钥更新流程 KMC远程控制 KMC支持通过远程控制指令对终端进行安全信息擦除 终端安全密码重置等操作 通过KMC的操作界面 允许管理员手工发起远程控制指令 通过与CRM的接口 执行接口指令 发起相应的远程控制操作 发送短信失败 可累计重发控制指令3次 提纲 语音媒体透传 基站 基站控制器和核心网设备 MSC MGW 都不做任何语音编解码处理 网络须全程关闭回声抑制功能 用户在使用媒体透传业务时能实现切换 含硬切换 特殊短信 密钥请求短信 消息类型 模式标记 KMC公钥版本 临时公钥 Pa 密文 IMSI HardwareID 被叫号码 密钥请求短信中的主要参数 密钥响应短信 消息类型 密文 会话密钥 KMC签名信息 密钥请响应短信中的主要参数 密钥通知短信 消息类型 主叫号码 KMC与终端短消息路由 KMC与上海一对HSTP开4根Link 地位相当于短信中心 通过信令网与现网各省短信中心互连 KMC的短信接入码为出厂时预置于加密通信终端上行路径 终端 归属短信中心 KMC下行路径 KMC 归属短信中心 终端 手动模式 1 建立普通话音通话2 密钥协商 手动模式 当终端与BSC之间的业务协商成功之后 BSC关闭声码器 同时关闭回声抑制功能 启动媒体透传流程 进入密话通话 3 业务切换协商 主被叫终端收到密钥响应消息之后 分别启动与网络的业务切换协商过程 终端向BSC送ServiceRequestMsg消息 其中使用业务选项80b0H来标识语音加密业务 BSC向终端返回ServiceConnectMsg 表示BSC接受终端的请求 终端向BSC返回ServiceConnectComplete消息 表示终端和BSC之间达成一致 由普通话音转化为语音透传业务 4 进入密话通话 自动模式 主叫用户拨打被叫用户时 拨打菜单上有普通和加密通话两个选项 用户选择加密通话主叫业务信道建立之后 主叫终端向KMC发送上行密钥请求消息 启动明话建立过程同时启动密钥协商 1 KMC公钥更新 KMC公钥更新 可继续完成加密通信密钥协商流程 呼叫不中断 安全信息擦除 安全密码重置 主叫信令流程 1 发起呼叫 主叫信令流程 2 发送密钥请求短信 主叫信令流程 3 接收密钥响应短信 4 编解码协商 主叫信令流程 被叫信令流程 1 寻呼被叫并建立业务信道 被叫信令流程 2 收到密钥通知短信 被叫信令流程 3 应答并触发密钥请求短信 被叫信令流程 4 收到密钥响应短信 被叫信令流程 5 编解码协商 业务使用流程 建立加密通话流程 加密通信终端提供普话转入密话和直接发起密话两种加密通话使用方式 普话转入密话加密通话建立流程 普话转入密话加密通话建立主要分为三个阶段 第一阶段是普通 明文 通话的建立 第二阶段加密通话的建立 双方用户需要分别按下加密键 经过终端 业务平台 移动网络一系列的判断和操作 最后进入第三阶段即加密通话阶段 直接发起密话加密通话建立流程 直接发起密话加密通话建立也分为三个阶段 第一阶段密话发起阶段 主叫方需要手动选择加密呼叫 然后进行第二阶段 密话建立阶段 被叫正常接听电话后 经过终端 业务平台 移动网络进行一系列判断和操作 最后进入第三阶段 加密通话阶段 业务使用流程 提纲 客户经理或本地10000号受理故障申告后 进行相应的预处理工作 排除用户 含终端 使用方式错误等 及业务 服务等非网络的原因后 再进入故障处理流程 报本地运维部门进一步故障定位 如判断为省内故障 则由省NOC牵头进行故障排查和处理 如判断为KMC平台问题 则将故障工单通过集团电子工单系统派往集团上海NOC进行故障处理 集团上海NOC在2个工作日内完成故障处理并反馈故障处理情况 涉及跨省故障处理流程 按中国电信 2009 534号 关于修订移动业务跨省故障处理流程和工作要求的通知 要求执行 故障处理流程 56 故障等级划分 故障等级定义 故障及故障等级定义 设备硬件或软件功能失效 网路阻断 网络中断或质量降低影响使用 维护指标劣化超过门限值 称为故障 根据故障的严重程度和影响程度的不同 分别为重大故障 严重故障和一般故障 57 重大故障 指对系统安全运行产生重大影响的故障 设备在运行中出现系统瘫痪或服务中断 导致设备的基本功能不能实现或全面退化的故障等 重大故障主要情况包括但不限于以下方面 KMC平台设备瘫痪 系统连续自动重装载或重启动 KMC平台服务器故障各项业务应用功能全部失效KMC平台与上海HSTPA HSTPB信令链路全阻造成平台对外通信中断 导致M业务签约用户不能正常使用加密通信业务 故障等级划分 重大故障 58 故障等级划分 严重故障 严重故障 指对系统安全运行造成重大威胁或产生较大影响的故障 包括设备在运行中出现的直接影响服务 导致系统性能或服务部分退化的故障 以及具有潜在的系统瘫痪或服务中断的危险 并可能导致设备基本功能不能实现或全面退化的故障 严重故障主要情况包括但不限于以下方面 KMC平台主 备服务器一侧设备故障 对平台运行造成安全隐患 断续或间接地影响系统功能和服务的故障 故障等级划分 一般故障 一般故障 指设备在运行中出现的断续或间接地影响系统功能和服务的故障 包括 不影响平台正常运行的设备故障信令链路故障 设备一般性告警 其它不属于一 二级故障的故障 故障预处理 问 只有自动故障 还是手动 自动兼故障 1 查看终端显示的错误通知 2 如显示 用户无权 终端非法 需核对开户数据 3 如显示 超时 进一步分析见下页 异常流程 1 用户A B是合法加密通信业务用户 但用户B采用了非加密通信终端 采用直接发起密话发起加密通话 此时 KMC收不到被叫的密钥请求 超时后 KMC将通知主叫方终端 主叫方终端界面上提示超时后通话结束 用户A B中有一方是非加密通信业务用户 双方都采用加密通信终端 采用直接发起密话发起加密通话 此时无法通过KMC的认证 KMC将下发错误提示 终端收到错误通知后提示用户本端 对端没有申请加密通信业务 2秒后主动切断通话 主叫用户A是非加密通信业务用户 被叫用户B是非加密通信业务用户 异常流程 2 主叫用户A通过输入电话号码 电话本 通话记录等方式 选择被叫用户B电话号码 主叫用户A通过菜单加密通话选项或者特定加密通话按键发起对用户B的加密通话 用户A终端提示用户未申请加密通信业务 并在2秒后切断本次呼叫 用户A无权 主叫用户A通过输入电话号码 电话本 通话记录等方式 选择被叫用户B电话号码 主叫用户A通过菜单加密通话选项或者特定加密通话按键发起对用户B的加密通话 因用户B无使用权限 用户A终端提示用户对方未申请加密通信业务 并在2秒后切断本次呼叫 用户B无权 提纲 64 手动模式双方超时 双方都超时 可以非常肯定的说 KMC平台对主 被叫发的上行密钥请求短信没有成功匹配起来 不匹配的原因可分为用户原因 终端原因 网络原因 用户套拨了17901 11808等IP接入码 主叫用户使用了来电显示限制业务 被叫用户没有来电显示业务 该呼叫是个转移呼叫 终端写入的KMP平台接入码不正确 终端写入的初始公钥不正确 其它bug KMC平台故障 归属SMC向KMC平台转发SMDPP消息有延时 且总时延超过20秒 MSC收到DBM消息后 并没有向归属SMC发出SMDPP消息 65 通过反复拨打 重现故障来查找网络原因的查障步骤 4 如短信中心没有收到上行密钥请求短信 则在MSC跟踪信令进行查障 检查在业务信道指配完成后是否有DBM消息 ADDSDeliver消息 SMDPP消息 如缺少ADDSDeliver消息或SMDPP消息 则问题可定位在MSC 如缺少DBM消息 则问题定位在终端 1 接到申告后 要询问用户 拨号方式 使用补充业务情况 从而排除用户原因 同时要记下用户使用M业务的时间 地点 以便查历史记录和重现故障 2 测试人员以1分钟时间间隔反复拨打M业务密话 看是否能重现故障 如不能 则到申告发生故障的地点去反复拨打 直到重现故障为止 记下重现故障那通电话的起止时间 3 通知主 被叫归属SMC维护人员 在指定时间段 指定用户 是否有发往被叫为的短信 如查到主 被叫双方都有短信和成功的短信回执 且2条短信发送的时间差在20秒以内 则转而找KMC平台维护人员查障 如有一方没有收到回执或收到错误码 则将该上行短信和正常密话呼叫的上行短信进行比较 检查消息里参数值的差异 66 手动模式一方成功 另一方超时 有一方密话建立成功 可以肯定的说 KMC平台已经成功匹配了主 被叫的上行密钥请求短信 此时是超时的一方 终端没有收到下行密钥响应短信 或收到下行密钥响应短信时已经超过了终端规