淺談下一代網(wǎng)絡(luò)的安全問題(一)

1、淺談下一代網(wǎng)絡(luò)的安全問題(一) 淺談下一代網(wǎng)絡(luò)的安全問題(discussion about the security problem of ngn network)李程  譚華（中國電信股份有限公司廣州研究院 公網(wǎng)技術(shù)部）摘  要 隨著下一代網(wǎng)絡(luò)（ngn）對傳統(tǒng)網(wǎng)絡(luò)的替代逐漸成為一種趨勢，基于ip承載的ngn的安全問題也日益引起人們的重視。本文主要針對ngn自身的安全隱患、ngn所面對的安全威脅兩個(gè)方面進(jìn)行了探討，并提出了提高ngn安全的一些應(yīng)對措施。關(guān)鍵詞 下一代網(wǎng)絡(luò) ngn 網(wǎng)絡(luò)安全 應(yīng)對措施前言 隨著我國信息產(chǎn)業(yè)的迅猛發(fā)展，信息技術(shù)已經(jīng)逐漸成為主導(dǎo)中國國民經(jīng)

2、濟(jì)和社會發(fā)展的重要因素。當(dāng)今，世界各國都在積極應(yīng)對信息化的挑戰(zhàn)和機(jī)遇，信息化、網(wǎng)絡(luò)化、數(shù)字化正在全球范圍內(nèi)形成一場新的技術(shù)、產(chǎn)業(yè)和革命。大力發(fā)展信息化，其中一個(gè)重要的問題就是信息安全問題，它不僅僅是一個(gè)it網(wǎng)絡(luò)安全的問題，從大的方面來說，信息安全問題直接關(guān)系到國家安全。 互聯(lián)網(wǎng)的高速發(fā)展推動了整個(gè)社會進(jìn)入信息時(shí)代的進(jìn)程，同時(shí)也改變了人們的生活方式。但是我們可以看到，由于第一代互聯(lián)網(wǎng)在設(shè)計(jì)之初并沒有充分考慮到信息安全問題，使得各種病毒、木馬、間諜軟件、黑客攻擊在網(wǎng)絡(luò)中層出不窮，整個(gè)網(wǎng)絡(luò)世界疲于應(yīng)付，已經(jīng)成為困擾互聯(lián)網(wǎng)用戶的首要問題；同時(shí)，由于安全問題給用戶帶來的不信任感和不安全感，基于

3、ip技術(shù)的電子商務(wù)的發(fā)展也受到了極大的限制。 下一代網(wǎng)絡(luò)（ngn）是一個(gè)建立在ip技術(shù)基礎(chǔ)上的新型公共電信網(wǎng)絡(luò)，能夠容納各種形式的信息，在統(tǒng)一的管理平臺下，實(shí)現(xiàn)音頻、視頻、數(shù)據(jù)信號的傳輸和管理，提供各種寬帶應(yīng)用和傳統(tǒng)電信業(yè)務(wù)，是一個(gè)真正實(shí)現(xiàn)寬帶窄帶一體化、有線無線一體化、有源無源一體化、傳輸接入一體化的綜合業(yè)務(wù)網(wǎng)絡(luò)。 下一代網(wǎng)絡(luò)的構(gòu)成 與傳統(tǒng)的pstn網(wǎng)絡(luò)不同，ngn以在統(tǒng)一的網(wǎng)絡(luò)架構(gòu)上解決各種綜合業(yè)務(wù)的靈活提供能力為出發(fā)點(diǎn)，提供諸如業(yè)務(wù)邏輯、業(yè)務(wù)的接入和傳送手段、業(yè)務(wù)的資源提供能力和業(yè)務(wù)的認(rèn)證管理等服務(wù)。為此，在ngn中，以執(zhí)行各種業(yè)務(wù)邏輯的軟交換（softswitch）

4、設(shè)備為核心進(jìn)行網(wǎng)絡(luò)的構(gòu)架建設(shè)。除此之外，業(yè)務(wù)邏輯可在應(yīng)用服務(wù)器（as）上統(tǒng)一完成，并可向用戶提供開放的業(yè)務(wù)應(yīng)用編程接口（api）。而對于媒體流的傳送和接入層面，ngn將通過各種接入手段將接入的業(yè)務(wù)流集中到統(tǒng)一的分組網(wǎng)絡(luò)平臺上傳送。 分組化的、開放的、分層的網(wǎng)絡(luò)架構(gòu)體系是下一代網(wǎng)絡(luò)的顯著特征。業(yè)界基本上按業(yè)務(wù)層、控制層、傳送層、接入層四層劃分，各層之間通過標(biāo)準(zhǔn)的開放接口互連。  業(yè)務(wù)層：一個(gè)開放、綜合的業(yè)務(wù)接入平臺，在電信網(wǎng)絡(luò)環(huán)境中，智能地接入各種業(yè)務(wù)，提供各種增值服務(wù)，而在多媒體網(wǎng)絡(luò)環(huán)境中，也需要相應(yīng)的業(yè)務(wù)生成和維護(hù)環(huán)境。 控制層：主要指網(wǎng)絡(luò)為完成端到端的數(shù)據(jù)傳輸

5、進(jìn)行的路由判決和數(shù)據(jù)轉(zhuǎn)發(fā)的功能，它是網(wǎng)絡(luò)的交換核心，目的是在傳輸層基礎(chǔ)上構(gòu)建端到端的通信過程，軟交換(softswitch)將是下一代網(wǎng)絡(luò)的核心，體現(xiàn)了ngn的網(wǎng)絡(luò)融合思想。  傳送層：面向用戶端支持透明的tdm線路的接入，在網(wǎng)絡(luò)核心提供大帶寬的數(shù)據(jù)傳輸能力，并替代傳統(tǒng)的配線架，構(gòu)建靈活和可重用的長途傳輸網(wǎng)絡(luò)，一般為基于dwdm技術(shù)的全光網(wǎng)。  接入層：在用戶端支持多種業(yè)務(wù)的接入，提供各種寬窄帶、移動或固定用戶接入。ngn的安全隱患 ngn網(wǎng)絡(luò)是一個(gè)復(fù)雜的系統(tǒng)，無論是網(wǎng)絡(luò)硬件開發(fā)、協(xié)議設(shè)計(jì)、還是網(wǎng)絡(luò)應(yīng)用軟件開發(fā)，都不可避免地會存在有不完善的地方，對于ngn系統(tǒng)來說

6、，其安全隱患表現(xiàn)在以下幾個(gè)方面：物理設(shè)備層面的隱患設(shè)備故障 ngn網(wǎng)絡(luò)上的設(shè)備均是常年不間斷地運(yùn)行，難免會出現(xiàn)硬件故障，這些故障可能會造成數(shù)據(jù)的丟失、通信的中斷，從而對用戶服務(wù)造成損害。如果是某些核心的設(shè)備出現(xiàn)故障，則有可能導(dǎo)致整個(gè)網(wǎng)絡(luò)的癱瘓。電磁輻射 我們知道，電子設(shè)備都具有電磁輻射，一方面電磁的泄露讓竊聽者在一定距離內(nèi)使用先進(jìn)的接收設(shè)備，可以盜取到正在傳送的信息和數(shù)據(jù)，從而嚴(yán)重威脅用戶的隱私；另一方面，電磁輻射可以破壞另外一些設(shè)備中的通信數(shù)據(jù)。線路竊聽 在無線通訊中，信號是在空中傳播，無法采用物理的方式保護(hù)，這就使得攻擊者可以使用一些設(shè)備對通訊數(shù)據(jù)進(jìn)行竊聽；在

7、有線通訊中，攻擊者可以通過物理直接搭線的方式竊聽相關(guān)信息。天災(zāi)人禍 這類災(zāi)害包括火災(zāi)、水災(zāi)、盜竊等等，一旦發(fā)生，其造成的后果都是毀滅性的，且不可彌補(bǔ)。操作系統(tǒng)層面的隱患 操作系統(tǒng)是網(wǎng)絡(luò)應(yīng)用的軟件基礎(chǔ)，負(fù)責(zé)掌控硬件的運(yùn)行與應(yīng)用軟件的調(diào)度，其重要程度不言而喻。目前網(wǎng)絡(luò)上應(yīng)用比較普遍的操作系統(tǒng)有l(wèi)inux、unix、windows、以及嵌入式vxworks等。沒有任何一種操作系統(tǒng)是完全安全的，正如windows操作系統(tǒng)存在的大量安全漏洞造成了目前互聯(lián)網(wǎng)安全問題的現(xiàn)狀一樣，操作系統(tǒng)的隱患也將使得網(wǎng)絡(luò)系統(tǒng)本身存在極大的安全隱患。 針對操作系統(tǒng)存在的隱患，黑客的攻擊手法主要是

8、使用一些現(xiàn)有的黑客工具或自己編制一些程序進(jìn)行攻擊，比如口令攻擊?？诹罟舻哪康氖菫榱吮I取密碼，由于用戶設(shè)置密碼過于簡單或者容易破解，如ftp服務(wù)器密碼、數(shù)據(jù)庫管理密碼、系統(tǒng)超級用戶密碼等，黑客利用一些智能軟件通過簡單的猜測就能破解這些口令，從而使用戶失去安全保障。應(yīng)用軟件層面的隱患 應(yīng)用軟件在使用過程中，往往被用戶有意或無意刪除，造成其完整性受到破壞。此外，不同應(yīng)用軟件之間也可能出現(xiàn)相互沖突。有些應(yīng)用軟件，在安裝時(shí)存在文件互相覆蓋或改寫，從而引起一些不安全的因素。數(shù)據(jù)庫層面的安全隱患 數(shù)據(jù)庫是存放數(shù)據(jù)的軟件系統(tǒng)，其安全隱患主要有：數(shù)據(jù)的安全 數(shù)據(jù)庫中存放著大量的數(shù)

9、據(jù)，這些數(shù)據(jù)可供擁有一定職責(zé)和權(quán)利的用戶共享，但是，很難嚴(yán)格限制用戶只得到一些他們必需的和他們權(quán)利相當(dāng)?shù)臄?shù)據(jù)，通常用戶可能獲得更多的權(quán)限和數(shù)據(jù)。由于數(shù)據(jù)庫被多人或多個(gè)系統(tǒng)共享，如何保證數(shù)據(jù)庫的正確性和完整性也是問題。數(shù)據(jù)庫系統(tǒng)被非法用戶侵入 數(shù)據(jù)庫本身存在著潛在的各種漏洞，致使一些非法用戶利用這些漏洞侵入數(shù)據(jù)庫系統(tǒng)，造成用戶數(shù)據(jù)泄漏。比如sql server數(shù)據(jù)庫系統(tǒng)加密的口令一直都非常脆弱。數(shù)據(jù)加密不安全性 由于現(xiàn)在不存在絕對不可破解的加密技術(shù)，各種加密手段均有一定的不安全性。協(xié)議層面的安全隱患 協(xié)議的安全隱患主要體現(xiàn)在網(wǎng)絡(luò)中互相通信的協(xié)議本身存在安全方面的不健

10、全，以及協(xié)議實(shí)現(xiàn)中存在的漏洞問題。協(xié)議在本質(zhì)上也是一種軟件系統(tǒng)，因此在設(shè)計(jì)上不可避免地會存在一些失誤。比如：互聯(lián)網(wǎng)的基礎(chǔ)協(xié)議tcp/ip的設(shè)計(jì)就是僅僅建立在研究和試驗(yàn)的基礎(chǔ)上，沒有考慮到安全性。黑客可以通過專用軟件工具對網(wǎng)絡(luò)掃描以掌握有用的信息，探測出網(wǎng)絡(luò)的缺口，從而進(jìn)行攻擊。另外，ip地址也可以人為地用軟件設(shè)置，造成虛假ip地址，從而無法保證來源的真實(shí)性。 在ngn系統(tǒng)中，包含多種多樣的協(xié)議，主要的協(xié)議包括h.248、sip、mgcp、h.323、bicc、sigtran等，正是這些協(xié)議促成了各種網(wǎng)絡(luò)的互通。但同時(shí)，每種協(xié)議也都存在著一些使網(wǎng)絡(luò)服務(wù)中斷的隱患。ngn面對的安全威脅&

11、nbsp;目前，大部分的ngn網(wǎng)絡(luò)都是基于ip進(jìn)行通信的，因此，根據(jù)ip協(xié)議層次的不同，ngn安全威脅可以分為來自底層協(xié)議的攻擊和來自高層協(xié)議的攻擊。底層協(xié)議攻擊 底層協(xié)議攻擊主要是指第一層到第四層的網(wǎng)絡(luò)攻擊，比如，針對tcp、udp或sctp協(xié)議的攻擊。來自底層協(xié)議的攻擊是非常普遍的，對于網(wǎng)絡(luò)中的大量設(shè)備會產(chǎn)生相同的影響，所以，對這些攻擊的防范是與整個(gè)網(wǎng)絡(luò)密切相關(guān)的，且與上面運(yùn)行什么協(xié)議無關(guān)。高層協(xié)議攻擊 高層協(xié)議攻擊主要是針對ngn協(xié)議的攻擊，比如sip、h.323、megaco、cops等協(xié)議。由于來自高層協(xié)議的攻擊一般都是針對特定目標(biāo)協(xié)議的，因此一般的防護(hù)方法是：或

12、針對特定的協(xié)議，或使用安全的隧道機(jī)制。 ngn中存在的其他攻擊 拒絕服務(wù)（dos）攻擊 拒絕服務(wù)攻擊的目的是讓正常用戶無法使用某種服務(wù)。比如，讓系統(tǒng)設(shè)備無法工作或者是讓系統(tǒng)的資源不足。這種攻擊采用的方法有很多，比如發(fā)送大量的數(shù)據(jù)包給特定的系統(tǒng)或設(shè)備，讓設(shè)備無法接收正常的數(shù)據(jù)包，或使系統(tǒng)忙于處理這些無用的數(shù)據(jù)包；或者利用系統(tǒng)的弱點(diǎn)入侵，讓系統(tǒng)無法正常工作或開機(jī)。另外還有：發(fā)送大量的偽造請求給某個(gè)設(shè)備；tcp數(shù)據(jù)洪流，即發(fā)送大量的帶有不同tcp標(biāo)記的數(shù)據(jù)包，比較常用的有syn、ack或rst的tcp數(shù)據(jù)包；icmp洪流，即發(fā)送大量的icmp請求/ 回應(yīng)（ping洪流）數(shù)據(jù)包給特定ip地址的網(wǎng)絡(luò)設(shè)備；發(fā)送大量的大數(shù)據(jù)包的ping數(shù)據(jù)流給特定ip地址的網(wǎng)絡(luò)設(shè)備；ud