7.5. Обеспечение безопасности внутри ядра сети

В GSM сигнализацию передают по сетям ОКС 7 без какой-либо защиты. В значительной мере безопасность обеспечивается закрытым доступом к этим сетям.

В системах 3G IP становится основным протоколом на сетевом уровне. Хотя это и не означает, что сигнализацию будут передавать по открытым Интернет сетям, вероятность взлома таких сетей существенно возрастает.

Основным средством защиты информации является IPSEC протокол. Этот протокол обеспечивает конфиденциальность и достоверность информации на IP уровне. При этом возможна взаимная аутентификация оконечных устройств. Что касается сетей, построенных на основе ОКС-7, то для них предусмотрен аналогичный IPSEC MAPSEC протокол.

Безопасность в сетях IP стандартизирована IETF. IPSEC является обязательной частью IPv6 и дополнительным механизмом IPv4. Основные компоненты IPSEC:

- Заголовок аутентификации Authentication Header AH;

• Инкапсуляция сообщений Encapsulation Security Payload ESP;

• Обмен Интернет-ключами Internet Key Exchange IKE.

Цель IPSEC состоит в защите IP пакетов. Это делает ESP и (или) АН. ESP обеспечивает как конфиденциальность, так и достоверность (integrity) информации; АН – только достоверность. Одновременное использование ESP и АН, казалось бы, приводит к избыточности защиты, но это объясняется тем, что во многих странах запрещено закрывать сообщения, передаваемые по открытым сетям. В то же время, запретов на обеспечение достоверности передаваемой информации не существует.

Механизм ESP и АН основан на использовании ключей. В более общем виде в IPSEC введено понятие безопасности общения Security Association (SA). SA содержит ключи шифрации и аутентификации, используемые алгоритмы, время действия ключей и порядковый номер SA.

В начале каждого сеанса связи происходит обмен ключами в рамках SA с помощью IKE протокола. Взаимодействующие стороны при этом вырабатывают рабочие ключи (working keys) и SA. В основе IKE лежит изощренная по своей изобретательности идея криптографии с использованием открытых ключей (public key), позволяющая произвести обмен секретными ключами по открытому каналу. Аналогичным образом построен и механизм обмена ключами в MAPSEC.

В ESP применяют два способа закрытия сообщений: транспортный мод (transport mode) и туннельный мод (tunnel mode). При использовании транспортного мода в пакете шифруют все, кроме IP заголовка (рис. 7.7). Далее к пакету добавляют новый ESP заголовок между IP заголовком и зашифрованной частью. Этот заголовок построен на основе SA. В конце пакета размещен MAC (Message Authentication Code), который вычисляют с использованием всего пакета, кроме IP заголовка. Вычисление МАС на приемном конце позволяет проверить достоверность (integrity) передаваемого сообщения.

При использовании туннельного мода шифруют и IP заголовок, что дает возможность закрыть адреса получателя и отправителя информации.

Транспортный мод:

IP HDR	TCP HDR	Сообщение
IP HDR	ESP HDR	TCP HDR	Сообщение		Заполнение	МАС