9、网络层安全.pptx

第9章 物联网网络层安全,9.1 网络层安全需求,9.1.1 网络层安全威胁9.1.2 网络层安全策略,主要优点：透明性。也就是说，安全服务的提供不需要应用程序、其他通信层次和网络部件做任何改动。主要缺点：网络层一般对属于不同进程和相应条例的包不做区别。对所有去往同一地址的包，它将按照相同的加密密钥和访问控制策略来处理。这可能导致提供不了所需的功能，也可能导致性能下降。,网络层的安全性特征,9.1.1 网络层安全威胁,IP欺骗。黑客利用IP欺骗技术，把源IP地址替换成一个错误的IP地址。接收主机不能判断源IP地址是不正确的，并且上层协议必须执行一些检查来防止这种欺骗。在这层中经常发现的另一种策略是利用源路由IP数据包，仅仅被用于一个特殊的路径中传输，这种利用被称为源路由，这种数据包被用于击破安全措施，例如防火墙。使用IP欺骗的攻击很有名的是一种Smurf攻击。Smurf攻击向大量的远程主机发送一系列的Ping请求，然后对目标地址进行回复。ICMP攻击。Internet控制信息协议（ICMP）在IP层检查错误和其他条件。Tribal flood network是一种利用ICMP的攻击，利用ICMP消耗带宽来有效地摧毁站点。另外微软早期版本的TCP/IP堆栈有缺陷，黑客发送一个特殊的ICMP包，就可以使之崩溃。,网络层的安全威胁,9.1.1 网络层安全威胁,物联网网络层的安全威胁,9.1.1 网络层安全威胁,拒绝服务攻击假冒基站攻击基础密钥泄露威胁隐私泄露威胁IMSI暴露威胁,学者张存博就网络层安全策略在大众商务（2009）提出了3点建议，包括从被动安全保护，主动安全保护，整体安全保护的角度进行了探讨。被动的安全保护技术：主要有物理保护和安全管理、入侵检测、防火墙等。主动的安全保护技术：主要有存取控制、权限设置、数据加密、身份识别等。整体的安全保护技术,9.1.2 网络层安全策略,网络安全保护技术,VLAN划分防火墙加密技术数字签名和认证技术User Name/Password认证使用摘要算法的认证基于PKI的认证数字签名VPN技术,9.1.2 网络层安全策略,网络层安全防护方法,9.2 物联网核心网安全,9.2.1 核心网概述9.2.2 核心网安全需求9.2.3 软交换网络安全措施,核心网（core network）：通常指除接入网和用户驻地网之外的网络部分。将业务提供者与接入网，或者，将接入网与其他接入网连接在一起的网络。如果把移动网络划分为三个部分，基站子系统，网络子系统，和系统支撑部分比如说安全管理等这些。核心网部分就是位于网络子系统内，核心网的主要作用是把呼叫请求或数据请求，接续到不同的网络上。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.1 核心网概述,核心网的定义,核心网的功能主要是提供用户连接、对用户的管理以及对业务完成承载，作为承载网络提供到外部网络的接口。核心网可以提供的基本业务包括移动办公、电子商务、通信、娱乐性业务、旅行和基于位置的服务、遥感业务（Telemetry）简单消息传递业务（监视控制）等等。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.1 核心网概述,核心网的功能,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.1 核心网概述,核心网的发展方向,核心网的发展方向是核心网全面进入“IP”时代，IP、融合、宽带、智能、容灾和绿色环保是其主要特征。从电路域看，移动软交换已经全面从TDM的传输电路转向IP。从分组域看，宽带化、智能化是其主要特征。从用户数据看，新的HLR被广泛接受，逐步向未来的融合数据中心演进。另外，运营商纷纷将容灾和绿色环保提到战略的高度；移动网络在未来发展和演进上殊途同归，在4G时代，GSM和CDMA两大阵营将走向共同的IMS+SAE+LTE架构。,核心网安全域包括所有的软交换机，TG、AG、SG等接入网关，BGW类设备，关键业务平台(包括SHLR、号码转换平台等)，软交换媒体服务器和应用服务器，开发给第三方业务接口的应用网关。Internet接入网安全域包括所有分配公网地址的SIP电话终端、IAD类设备、各类SIP接入的PC等。支撑系统安全域包括网管、计费和OSS等辅助运营系统。第三方应用网络安全域主要包括所有以开发业务接口方式接入的应用服务器，实际应用很少，这里不讨论该区域的安全需求。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.2 核心网安全需求,核心网安全域是软交换网络的安全核心。核心网安全域的安全需求有：设备的可用性，即可以在各种情况下(包括设备故障、网络风暴、话务冲击等)保证设备和承载业务的正常运行；需要在核心网与其他网络连接处部署BGW和防火墙等设备进行内外网隔离；网络中的SS等设备需具备完善的设备认证和授信方式，防止非法登录；核心网节点间需采用心跳和媒体检测等方式进行状态检查，及时更新节点状态，保证业务正常；接入节点需具备带宽和业务管理能力，防止用户非法占用带宽和使用业务；核心网节点应具备对异常信令和消息的处理能力，防止人为攻击等造成节点瘫痪或过负。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.2 核心网安全需求,核心网安全域,Internet接入网安全域的安全需求有：在SIP电话、软件电话等终端设备与Internet和软交换网络互联设备之间需要应用L2TP、IPSec等隧道技术；小容量AGW、IAD等通过Internet接入时，它们与Internet和软交换网络互联设备之间需要应用GRE、IPinIP、IPSec等隧道技术；需要完善的接入设备认证和授信手段，防止冒名使用。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.2 核心网安全需求,Internet接入网安全域,支撑系统安全域的安全需求有：高强度的用户认证机制；重要系统需要进行物理隔离，并且网间需要部署功能强大的防火墙设备；需要优化系统安全策略。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.2 核心网安全需求,支撑系统安全域,软交换网络的承载层现在除了用专网和MPLSVPN等手段进行网络隔离外，一些厂商采用在关键节点放置网络探头，以ping段包的形式进行侦听等手段进行网络质量监控。目前这种方式有以下难题需要解决：一是ping包和软交换消息包的长度差异较大，在一定丢包率情况下无法满足软交换信令的要求；二是ping包的频率不能设置太短，在承载网完全中断情况下，可以准确定位故障点，但是在闪断或者网络质量不稳定情况下，难以保证实时性业务的质量和实现故障定位。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.3 软交换网络安全措施,承载网层面,在软交换设计和规划期间，应该对软交换网络安全有全面考虑：承载网的安全，包括网络隔离、防攻击等；关键业务节点的备份和用户的业务归属；业务的合理配备和设置，尽量在分散和易管理间找到平衡。对于软交换网络特有的双归属容灾应该加以充分利用，弥补网络安全漏洞，但需注意对双归属机制进行完善，包括网关的切换策略、软交换的控制策略、心跳参数设置策略、容灾数据库管理等。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.3 软交换网络安全措施,网络层面,软交换设备的安全主要靠厂商的安全设计来保证，但同时应该重视以下几个方面：建立关键板件检测制度和定期切换检测制度，充分保证关键板件倒换成功；为了保证软件版本和补丁的安全性，厂商应建立软件版本安全控制体系，运营商应加强入网检验制度和应用流程管理，共同解决软件的安全性和兼容性问题；充分了解和用好设备的自保护措施，如软交换的过负荷保护机制。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.3 软交换网络安全措施,软交换设备层面,网络安全工作是一个以管理为主的系统工程，靠的是“三分技术，七分管理”，因此必须制定一系列的安全管理制度、安全评估和风险处置手段、应急预案等，这些措施应覆盖网络安全的各个方面，达到能够解决的安全问题及时解决，可以减轻的安全问题进行加固，不能解决的问题编制应急预案减少安全威胁。与此同时，需要强有力的管理来保障这些制度和手段落到实处。,第9章 物联网网络层安全 第2节 物联网核心网安全,9.2.3 软交换网络安全措施,管理层面,9.3 下一代网络安全,9.3.1 下一代网络概述9.3.2 下一代网络安全问题9.3.3 下一代网络安全技术,下一代网络(Next Generation Network，缩写为NGN)，泛指一个以IP技术为核心，基于TDM(时分复用)的PSTN语音网络和基于IP/ATM(异步传输模式)的分组网络融合的产物，同时可以支持电话和Internet接入业务、数据业务、视频流媒体业务、数字TV广播业务和移动等业务。下一代网络，又称为次世代网络。主要思想是在一个统一的网络平台上以统一管理的方式提供多媒体业务，整合现有的市内固定电话、移动电话的基础上（统称FMC），增加多媒体数据服务及其他增值型服务。,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.1 下一代网络概述,NGN具有分组传送、控制功能从承载、呼叫/会话、应用/业务中分离、业务提供与网络分离、提供开放接口、利用各基本的业务组成模块、提供广泛的业务和应用、端到端QoS和透明的传输能力通过开放的接口规范与传统网络实现互通、通用移动性、允许用户自由地接入不同业务提供商、支持多样标志体系，融合固定与移动业务等特征。NGN包括九大支撑技术：IPv6，光纤高速传输，光交换与智能光网，宽带接入，城域网，软交换，3G和后3G移动通信系统，IP终端，网络安全。,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.1 下一代网络概述,NGN网络的安全问题主要包括网络安全和用户数据安全两个方面。网络安全是指交换网络本身的安全，即交换网络中的网关、交换机、服务器不会受到非法攻击。需要在IP网上采用合适的安全策略，以保证交换网的网络安全。用户数据安全是指用户的账户信息和通信信息的安全，即不会被非法的第三方窃取和监听。则要求有相应的安全认证策略保证用户账户信息的安全，同时无论是用户的账户信息还是用户的通信信息的安全均需要IP网的安全策略作为保证。,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.2 下一代网络安全问题,目前，大部分的NGN网络都是基于IP进行通信的，因此，根据IP协议层次的不同，NGN安全威胁可以分为来自底层协议的攻击和来自高层协议的攻击。NGN中还存在一些其他的常见攻击种类：拒绝服务攻击；偷听；伪装；修改信息。NGN可能面临如下安全威胁：电磁安全；设备安全；链路安全；通信基础设施过于集中；信令网安全；同步外安全；网络遭受战争、自然灾害；网络被流量冲击；终端安全；网络业务安全；网络资源安全；通信内容安全；有害信息扩散。,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.2 下一代网络安全问题,NGN的安全威胁,在NGN网络中，运营商必须保证提供的各种业务的安全，可以把NGN系统设备、各种业务服务器归属于不同的安全域，不同的安全域对应为不同的安全等级，安全等级的划分保证了高级别安全域的系统设备与低等级系统的安全隔离。等级高的安全域可以访问低等级的安全域，低等级的安全域不能直接访问高等级的安全域。,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.2 下一代网络安全问题,NGN安全问题分析,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.3 下一代网络安全技术,NGN网络体系架构,安全策略需求认证、授权、访问控制和审计需求时间戳与时间源需求资源可用性需求系统完整性需求操作、管理、维护和配置安全需求身份和安全注册需求,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.3 下一代网络安全技术,NGN的安全需求,通信和数据安全需求隐私保证需求密钥管理需求NAT/防火墙互连需求安全保证需求安全机制增强需求其他安全需求,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.2 下一代网络安全问题,NGN安全体系架构,根据NGN分层的思想，NGN安全体系架构，在水平方向上可以划分为传送层安全和业务层安全。传送层和业务层的安全体系架构应相对独立，传送层安全体系架构主要是解决数据传输的安全，业务层安全体系架构主要解决业务平台的安全。NGN安全体系架构，在垂直方向上可以划分为接入网安全、骨干网安全和业务网安全，从而使得原来网络端到端安全变成了网络逐段安全。在垂直方向上，NGN可以被划分成多个安全域。,NGN安全体系架构,身份识别、认证与授权机制传送安全机制访问控制机制审计与监控机制密钥交换与管理机制OAMP机制系统管理机制其他机制,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.2 下一代网络安全问题,NGN的安全机制,学者谢清辉在内蒙古科技与经济（2010年11期）上撰文就下一代网络安全问题的应对方法进行探讨，提出了4点建议：跟踪NGN系统面临的不断变化的各种安全威胁制定NGN安全标准规范对NGN 的协议安全进行深入研究关注NGN终端接入的安全,第9章 物联网网络层安全 第3节 下一代网络安全,9.3.2 下一代网络安全问题,提高NGN安全的方法,9.4 网络虚拟化的安全,9.4.1 网络虚拟化技术9.4.2 网络虚拟化安全威胁9.4.3 网络虚拟化安全策略,云计算是IT产业的又一次变革，它将各种传统的计算资源、存储资源以及网络资源，通过互联网全部转移到“云中”，用户不必了解设备的位置，也不必了解计算的过程，而只要“按需使用”就行了。其基本原理是使计算从本地计算机或远程服务器中分布到大量的分布式计算机上。虚拟化是支撑云计算的重要技术基石，云计算中所有应用的物理平台和部署环境都依赖虚拟平台的管理、扩展、迁移和备份，各操作都通过虚拟化层次完成。,第9章 物联网网络层安全 第4节 网络虚拟化的安全,9.4.1 网络虚拟化技术,云计算与虚拟化技术,服务器虚拟化是将底层物理设备与上层操作系统、软件分离的一种去耦合技术，它将硬件、操作系统和应用程序一同装入一个可迁移的虚拟机档案文件中。存储虚拟化(Storage Virtualization)是指对存储硬件资源进行抽象化的表现，通过将一个或多个目标服务或功能与其它附加的功能集成，统一提供有用的全面功能服务。网络虚拟化能使不同需求的用户组访问同一个物理网络，但逻辑上却进行一定程度的隔离，使其保持相对的独立性，以确保网络的安全使用。通过网络虚拟化技术可把多个封闭的用户组设置在单一物理基础设施上，更能确保整个网络保持高度的实用性、安全性、可管理性和可扩展性。,第9章 物联网网络层安全 第4节 网络虚拟化的安全,9.4.1 网络虚拟化技术,虚拟化技术,从目前研究来看，云计算的虚拟化安全问题主要集中在以下几点：VM HoppingVM Escape远程管理缺陷拒绝服务（DoS）的缺陷基于Rootkit 的虚拟机迁移攻击除此以外，虚拟机和主机之间共享剪切板可能造成安全问题,第9章 物联网网络层安全 第4节 网络虚拟化的安全,9.4.2 网络虚拟化安全威胁,虚拟化的安全问题,目前对虚拟化安全的研究综合起来可以归结为两个方面：一个是虚拟化软件的安全；另一个是虚拟服务器的安全。虚拟化软件的安全该软件层直接部署于裸机之上，提供能够创建、运行和销毁虚拟服务器的能力。这一层的重点是虚拟机的安全，其中Hypervisor 作为虚拟机的核心，要确保安全。目前有两种攻击方式，一是恶意代码通过应用程序接口（API）攻击；二是通过网络对Hypervisor进行攻击。虚拟服务器的安全虚拟服务器位于虚拟化软件之上。服务器的虚拟化相对于之前的服务器，变化最大的一点是网络架构。网络架构的改变相应地产生了许多安全问题。另外，虚拟机迁移以及虚拟机间的通信将会大大增加服务器遭受渗透攻击的机会。虚拟服务器或客户端面临着许多主机安全威胁，包括接入和管理主机的密钥被盗，攻击未打补丁的主机，在脆弱的服务标准端口侦听，劫持未采取合适安全措施的账户等。,第9章 物联网网络层安全 第4节 网络虚拟化的安全,9.4.2 网络虚拟化安全威胁,虚拟化安全分层分析,Hypervisor 安全建议：安装厂商发布的Hypervisor 的全部更新。限制Hypervisor 管理接口的访问权限。关闭所有不用的Hypervisor 服务。使用监控功能来监视每个Guest OS 的安全。仔细地监控Hypervisor 自身的漏洞征兆，包括使用Hypervisor 提供的自身完整性监控工具和日志监控与分析工具。Guest OS 安全建议：遵守推荐的物理OS 管理惯例。及时安装Guest OS 的全部更新。在每个Guest OS 里，断开不用的虚拟硬件。为每个Guest OS 采用独立的认证方案，除非有特殊的原因需要两个Guest OS 共享证书。确保Guest OS 的虚拟设备都正确关联到宿主系统的物理设备上，例如在虚拟网卡和物理网卡之间的映射。,第9章 物联网网络层安全 第4节 网络虚拟化的安全,9.4.3 网络虚拟化安全策略,虚拟化安全建议,虚拟化系统安全规划虚拟化系统安全设计虚拟化系统安全实施虚拟化系统安全运维,第9章 物联网网络层安全 第4节 网络虚拟化的安全,9.4.3 网络虚拟化安全策略,网络虚拟化安全规划和部署,9.5 移动通信接入安全,9.5.1 2G移动通信及安全9.5.2 3G移动通信及威胁9.5.3 3G移动通信安全需求9.5.4 3G移动通信安全体系9.5.5 4G移动通信概述9.5.6 4G移动通信安全,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.1 2G移动通信及安全,2G概述,2G，是第二代(Second Generation)移动通信技术规格的简称，相对于前一代直接以类比方式进行语音传输，2G移动通信系统对语音系以数字化方式传输，除具有通话功能外，某些系统并引入了短信（SMS，Short message service）功能。2G采用多路复用（Multiplexing）技术，该技术可分成两类，一种是基于TDMA所发展出来的系统，以GSM为代表，另一种则是基于CDMA规格所发展出来的系统，例如CDMA One。,安全目标防止未经许可的人操作MS(假扮合法用户)，非法使用其资源，保护网络防止未授权的接入；保护用户的隐私，防止无线路径上交换的信息被窃听。安全特性用户永久身份(IMSI)的保密；网络对用户的认证；物理连接的用户数据的保密；无连接用户数据的保密(SMS：短消息服务)；信令信息单元的保密。,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.1 2G移动通信及安全,2G安全目标与特性,在GSM系统中，为了实现安全特性和目标，主要采取了以下安全措施：接入网络方面采用了对用户鉴权；无线链路上采用对通信信息加密；用户身份(IMSI)采用临时识别码(TMSI)保护；对移动设备采用设备识别；SIM卡用PIN码保护。,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.1 2G移动通信及安全,2G安全特性的具体实现机制,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.1 2G移动通信及安全,2G安全缺陷,单向身份认证，MS不能认证网络，无法防止伪造网络设备(如基站)的攻击；加密密钥及认证数据等安全相关信息在网络中使用明文进行传输，易造成密钥信息泄露；加密功能没有延伸到核心网，从基站到基站控制器的传输链路中用户信息与信令数据均是明文传输(基站和基站控制器之间的传输采用微波链路)；用户身份认证密钥不可变，无法抗击重放攻击；无消息完整性认证，无法保证数据在链路中传输过程中的完整性；用户漫游时，归属网络(HE)不知道和无法控制服务网络(SN)如何使用自己用户的认证参数；无第三方仲裁功能，当网络各实体间出现费用纠纷时，无法提交给第三方进行仲裁；对系统的安全升级及安全功能改进没有详细考虑，缺乏升级能力。,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.2 3G移动通信及威胁,第三代移动通信技术（3rd-generation，3G），是指支持高速数据传输的蜂窝移动通讯技术。3G服务能够同时传送声音及数据信息，速率一般在几百kbps以上。3G有四种标准：CDMA2000，WCDMA，TD-SCDMA和WiMAX。3G与2G的主要区别是在传输声音和数据的速度上的提升，它能够在全球范围内更好地实现无线漫游，并处理图像、音乐、视频流等多种媒体形式，提供包括网页浏览、电话会议、电子商务等多种信息服务，同时也要考虑与已有第二代系统的良好兼容性。,3G移动通信概述,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.2 3G移动通信及威胁,3G移动通信安全威胁,3G系统的安全威胁大致可以分为如下几类：敏感数据的非法获取，对系统信息的保密性进行攻击。主要包括：侦听；伪装；流量分析；浏览；泄露；试探。对敏感数据的非法操作，对消息的完整性进行攻击。主要包括：对消息的篡改、插入、重放或删除。对网络服务的干扰或滥用，结果导致系统拒绝服务或导致系统服务质量的降低。主要包括：干扰；资源耗尽；特权滥用；服务滥用。否认。主要指用户或网络否认曾经发生的动作。对服务的非法访问。主要包括：攻击者伪造成网络和用户实体，对系统服务进行非法访问，用户或网络通过滥用访问权利非法获取未授权服务。,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.2 3G移动通信及威胁,对非授权数据的非法获取。基本手段包括对用户业务的窃听、对信令与控制数据的窃听、伪装网络实体截取用户信息以及对用户流量进行主动与被动分析。对数据完整性的攻击。主要是对系统无线链路中传输的业务与信令、控制消息进行篡改，包括插入、修改、删除等。拒绝服务攻击。拒绝服务攻击可分为三个不同层次：物理级干扰、协议级干扰、伪装成网络实体拒绝服务。对业务的非法访问攻击。主动用户身份捕获攻击。对目标用户与攻击者之间的加密流程进行压制，使加密流程失效。基本的手段有：攻击者伪装成一服务网络，分别与用户和合法服务网络建立链路，转发交互信息，从而使加密流程失效。攻击者伪装成服务网络，通过发适当的信令使加密流程失效。攻击者通过篡改用户与服务网络间信令，使用户与网络的加密能力不匹配，从而使加密流程失效。,针对3G系统无线接口的攻击,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.2 3G移动通信及威胁,对数据的非法获取。基本手段包括对用户业务、信令及控制数据的窃听，冒充网络实体截取用户业务及信令数据，对业务流量的被动分析，对系统数据存储实体的非法访问，以及在呼叫建立阶段伪装用户位置信息等。对数据完整性的攻击。基本手段包括对用户业务与信令消息进行篡改，对下载到用户终端或USIM的应用程序及数据进行篡改，通过伪装成应用程序及数据的发起方篡改用户终端或USIM的行为，篡改系统存储实体中存储的用户数据等。拒绝服务攻击。基本手段包括物理干扰，协议级干扰，伪装成网络实体对用户请求作出拒绝回答，滥用紧急服务等。否定。主要包括对费用的否定，对发送数据的否定，否定等。对非授权业务的非法访问。基本手段包括伪装成用户归属网络滥用特权非法访问非授权业务。,针对系统核心网的攻击,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.2 3G移动通信及威胁,使用偷窃的终端和智能卡。对终端或智能卡中数据进行篡改。对终端与智能卡间的通信进行侦听。伪装身份截取终端与智能卡间的交互信息。非法获取终端或智能卡中存储的数据。,针对终端和用户智能卡的攻击,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.3 3G移动通信安全需求,3G的安全原则,3G系统安全系统应遵循以下的原则：所有在2G中被证明是必须的和足够强的安全特性都应该被3G采用；3G应该改进2G系统中存在和潜在地安全缺陷；对3G新服务提供新的安全特性和安全服务。,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.3 3G移动通信安全需求,3G安全目标,确保所有用户产生或与用户相关的信息得到足够的保护，以防滥用或盗用；确保归属网络与服务网络提供的资源与服务得到足够保护，以防滥用或盗用；确保安全特性标准化，具有全球兼容能力；确保安全特征的标准化，保证不同服务网络间的漫游与全球互操作能力；确保提供给用户与运营商的安全保护水平高于己有固定或移动网络；确保3G安全特性和机制的实现具有扩展和增强能力以对付新的威胁和服务。,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.3 3G移动通信安全需求,3G安全要求,保证业务接入的需要 保证业务提供的需要 满足系统完整性的需要 保护个人数据的要求 对终端/USIM的要求 合法的窃听的要求,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.4 3G移动通信安全体系,3G移动通信系统的安全体系,在3G系统的安全体系中，定义了5个安全特征组，它们涉及传输层、归属服务层和应用层，同时也涉及移动用户（包括移动设备MS）、服务网和归属环境。每一安全特征组用以对抗某些威胁和攻击，实现3G系统的某些安全目标，具体如下：网络接入安全：该安全特征组提供用户安全接入3G业务，特别是对抗在无线接入链路上的攻击；网络域安全：该安全特征组使网络运营者之间的结点能否安全地交换信令数据，对抗在有限网络上的攻击；用户域安全：该安全特征确保安全接入移动设备；应用域安全：该安全特征组使得用户和网络运营者之间的各项应用能否安全地交换信息；安全的可知性和可配置性：该安全特征集使得用户能知道一个安全特征组是否在运行，并且业务的应用和设置是否依赖于该安全特征。,实体认证身份保密数据保密数据完整,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.4 3G移动通信安全体系,3G系统的防范策略,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.4 3G移动通信安全体系,3G安全缺陷,3G安全缺陷：未保护到的信令数据拒绝服务攻击未提供用户数据完整性保护Iu和Iur接口上传输的数据缺乏保护措施发展建议：建立适合未来移动通信系统的安全体系结构模型由私钥密码体制向混合密码体制的转变3G安全体系向透明化发展新密码技术的广泛应用移动通信网络的安全措施更加体现面向用户的理念,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.5 4G移动通信概述,4G移动通信定义,4G是第四代移动通信及其技术的简称，是集3G与WLAN于一体并能够传输高质量视频图像且图像传输质量与高清晰度电视不相上下的技术产品。4G系统能够以100Mbps的速度下载，比拨号上网快2000倍，上传的速度也能达到20Mbps，并能够满足几乎所有用户对于无线服务的要求。此外，4G可以在DSL和有线电视调制解调器没有覆盖的地方部署，然后再扩展到整个地区。4G有望集成不同模式的无线通信从无线局域网和蓝牙等室内网络、蜂窝信号、广播电视到卫星通信，移动用户可以自由地从一个标准漫游到另一个标准。,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.5 4G移动通信概述,4G系统网络结构及其关键技术,4G系统包括移动终端、无线接入网、无线核心网和IP骨干网Internet四个部分。4G移动系统网络结构可分为三层：物理网络层、中间环境层、应用网络层。第四代移动通信系统的关键技术包括信道传输；抗干扰性强的高速接入技术、调制和信息传输技术；高性能、小型化和低成本的自适应阵列智能天线；大容量、低成本的无线接口和光接口；系统管理资源；软件无线电、网络结构协议等。,LTE-Advanced就是LTE技术的升级版，它的正式名称为 Further Advancements for E-UTRA，满足 ITU-R的IMT-Advanced技术征集的需求，是3GPP形成欧洲IMT-Advanced技术提案的一个重要来源。WiMax(Worldwide Interoperability for Microwave Access)，即全球微波互联接入，WiMAX的另一个名字是IEEE 802.16。WirelessMAN-Advanced：WirelessMAN-Advanced是WiMax的升级版，即IEEE 802.16m标准，802.16系列标准在IEEE正式称为WirelessMAN，而WirelessMAN-Advanced即为IEEE 802.16m。,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.5 4G移动通信概述,4G标准,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.6 4G移动通信安全,4G安全威胁,移动终端在4G系统中面临的安全威胁无线网络面临的安全威胁无线业务面临的威胁,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.6 4G移动通信安全,4G安全策略,4G系统安全特性：安全性效率兼容性用户的可移动性可扩展性4G安全方案策略：安全策略效率策略其他策略,4G网络安全方案的制定策略,无线网络安全方案需考虑的因素,第9章 物联网网络层安全 第5节 移动通信接入安全,9.5.6 4G移动通信安全,4G系统的安全体系,4G系统的安全体系结构网络接入安全网络域安全用户域安全应用程序域安全安全的可见度与可配置性,4G无线网络的安全体系,4G无线网络的安全体系,9.6 无线接入安全技术,9.6.1 无线局域网安全协议概述9.6.2 WAPI安全机制9.6.3 WPA安全机制9.6.4 IEEE 802.1X EAP认证机制9.6.5 IEEE 802.16d的安全机制,安全问题干扰无线通信也很容易。多数WLAN设备都使用直接排序扩展频谱(DSSS)通信。WLAN接入点可以识别按照烧入或打印在卡上的唯一MAC地址制造的每块无线卡。最大的危险是AP被安装到网络中。对策要消除这种危险，企业可以使用政策和防范步骤。从政策角度看，建议企业在整体安全政策的基础上制定完整的无线网络政策。从步骤角度看，IT部门应该定期检查办公区，看有没有欺诈性AP。这种检查包括物理搜索和无线扫描。从实施角度看，可以禁止从所有会议室进行有线网络接入。,第9章 物联网网络层安全 第6节 无线接入安全技术,9.6.1 无线局域网安全协议概述,无线网络安全问题与对策,WAPI（Wireless LAN Authentication and Privacy Infrastructure）无线局域网鉴别和保密基础结构，是一种安全协议，同时也是中国无线局域网安全强制性标准。WAPI 像红外线、蓝牙、GPRS、CDMA1X等协议一样，是无线传输协议的一种，只不过跟它们不同的是它是无线局域网中的一种传输协议而已，它与现行的802.11i传输协议比较相近。WAPI安全系统采用公钥密码技术，鉴权服务器AS负责证书的颁发、验证与吊销等，无线客户端与无线接入点AP上都安装有AS颁发的公钥证书，作为自己的数字身份凭证。无线局域网鉴别与保密基础结构（WAPI）系统中包含以下部分：WAI鉴别及密钥管理和WPI数据传输保护。无线局域网保密基础结构（WPI）对MAC子层的MPDU进行加、解密处理，分别用于WLAN设备的数字证书、密钥协商和传输数据的加解密，从而实现设备的身份鉴别、链路验证、访问控制和用户信息在无线传输状态下的加密保护。WAPI无线局域网鉴别基础结构（WAI）不仅具有更加安全的鉴别机制、更加灵活的密钥管理技术，而且实现了整个基础网络的集中用户管理。从而满足更多用户和更复杂的安全性要求。,第9章 物联网网络层安全 第6节 无线接入安全技术,9.6.2 WAPI安全机制,WAPI概述,第9章 物联网网络层安全 第6节 无线接入安全技术,9.6.2 WAPI安全机制,传输协议,无线局域网（WLAN）的传输协议有很多种，包括802.11a、802.11b、802.11g、802.11n等等，其中以802.11n最为普及和流行。802.11b是无线局域网中传输协议的一种。无线局域网的传输协议包括802.11a、802.11b、802.11g及802.11n，现在以802.11n最为流行，以及未来802.11ac协议。,第9章 物联网网络层安全 第6节 无线接入安全技术,9.6.2 WAPI安全机制,WAPI标准的安全性,无线局域网安全性方面依然很脆弱，因为现行的无线网络产品大多数都采用802.11B作为无线传输协议，这种协议的优点是传输速率能达到11M，而且覆盖范围达100米。但是，正是其传输速度快，覆盖范围广，才使它在安全方面非常脆弱。因为数据在传输的过程中都曝露在空中，很容易被别有用心的人截取数据包。由于我国掌握了WAPI加密核心技术，不怕有人利用WLAN来盗取机密信息，而且它的加密技术比802.11B更先进，WAPI采用国家密码管理委员会办公室批准的公开密钥体制的椭圆曲线密码算法和秘密密钥体制的分组密码算法，实现了设备的身份鉴别、链路验证、访问控制和用户信息在无线传输状态下的加密保护。所以我国强制性地要求相关商业机构执行WAPI标准能更有效地保护数据的安全。,WPA2(WPA 第二版)是 Wi-Fi 联盟对采用 IEEE 802.11i 安全增强功能的产品的认证计划。WPA2是基于WPA的一种新的加密方式。WPA2是WPA的升级版，现在新型的网卡，AP都支持WPA2加密。WPA2则采用了更为安全的算法。WPA和WPA2都是基于802.11i的。貌似WPA和WPA2只是一个标准，而核心的差异在于WPA2定义了一个具有更高安全性的加密标准CCMP。所以，采用的什么标准不重要，重要的是看采用哪种加密方式。,第9章 物联网网络层安全 第6节 无线接入安全技术,9.6.3 WPA安全机制,WPA概述,白珅，王轶骏，薛质在信息安全与通信保密（2012年1期）撰文介绍了WPA/WPA2协议安全性。WPA/WPA2 不仅有加密算法，而且采用多种机制来提高安全性。作为802.11i 的子集，WPA/WPA2 包含了加密、认证和消息完整性校验3 个组成部分，是一个完整的安全方案。加密：WPA和WPA2放弃了WEP的RC4加密算法，分别采用了TKIP 算法和AES 算法进行加密，有效地提高了加密性能。认证：WPA 和WPA2 分为企业版的WAP-Enterprise 和个人版的WPA-PSK，分别采用不同的认证方式。WPA-Enterprise 采用了RADIUS(Remote Authentication Dial In User Service)认证，即远程用户拨号认证系统，具有很高的安全性，主要用于大型企业网络中。针对个人用户的WPA-PSK 不需要专门的认证服务器，采用预共享密钥Pre Shared Key 技术，仅要求每个WLAN 节点(AP、无线路由器、网卡等)预先输入一个密钥即可实现。AP 和客户端之间分享这个密钥的过程叫做4次握手。消息完整性校验(MIC)，是为了防止攻击者从中间截获数据报文，篡改后重发而设置的。,第9章 物联网网络层安全 第6节 无线接入安全技术,9.6.3 WPA安全机制,WPA/WPA2 的安全机制,802.1x协议是基于Client/Server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口(access port)访问LAN/WLAN。在获得交换机或LAN提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许EAPoL（基于局域网的扩展认证协议）数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口。网络访问技术的核心部分是EAP（端口访问实体）。在访问控制流程中，端口访问实体包含3部分：认证者-对接入的用户/设备进行认证的端口；请求者-被认证的用户/设备；认证服务器-根据认证者的信息，对请求访问网络资源的用户/设备进行实际认证功能的设备。,第9章 物联网网络层安全 第6节 无线接入安全技术,9.6.4 IEEE 802.1X EAP认证机制,概述,当用户有上网需求时打开802.1X客户端程序，输入已经申请、登记过的用户名和口令，发起连接请求。此时