为NGN做体检：下一代网络易患什么“病”(1)

下一代网络的安全研究是一项综合而长期的任务。目前下一代网络的安全需要重点在以下几方面努力：用户和设备的接入认证、用户标识、NAT/FW的穿越以及安全流传输的密钥协商、SPIT的检测与阻止、IMS的安全等。 

下一代网络(NGN，Next Generation Network)是一种融合网络，正在向以软交换和IP技术为基础的全IP网络演进。由于IP网络的先天脆弱性，在继承了IP网络脆弱性的同时，下一代网络在网络架构、协议实现以及管理等方面都存在潜在的安全问题。因此在下一代网络快速发展的同时，网络安全已经成为业界研究的重点。目前国际上研究下一代网络的4大标准化组织ITU、ETSI TISPAN、3GPP和IETF都已经投入了大量的力量研究下一代网络的安全问题，相应的安全标准还在研究之中。

“体检”结果

病因一:CSCF实体抵抗弱

目前ITU-T已经将3GPP提出的IMS（IP Multimedia Subsystem，IP多媒体子系统）作为下一代网络核心网基于SIP会话的子系统的基本架构。在IMS体系中，CSCF（Call Session Control Functions，呼叫会话控制功能）功能体系集中完成管理和呼叫控制，因此CSCF实体必须直接面对各种不同的用户，这在一定程度上是下一代网络的一个安全隐患，也是黑客攻击下一代网路的一个主要目标。如果CSCF实体的安全保护措施不到位，则CSCF实体可能会成为下一代网络安全的瓶颈，恶意攻击者可能通过对CSCF实体的攻击达到全网致瘫的目的。

同时下一代网络支持多种接入，包括GSM, GPRS, 3G, POTS, WLAN, Wire-line broadband and internet等，因此可信的内部网和不可信的外部网络之间通过各种网关连接起来。这种融合在核心网络和接入网络间增加了更多接口，每个接口都是一个潜在的攻击点。例如连接核心网和传统PSTN网络的信令网关就很容易遭到拒绝服务攻击和数据篡改即产生恶意的ISUP/Q.931消息。实际上所有的加密数据在经过网关时需要解密处理然后再加密传送，这便给有经验的攻击者有机会修改信令数据或语音数据。

病因二:网元自身不健壮

网元潜在的安全威胁主要来自于设备自身，如操作系统没有及时打补丁、使用弱口令、开放没有使用的端口、防火墙配置不当等，几乎百分之八十的安全事故是由于网元自身不健壮而存在的安全漏洞所引起的。

目前网元中包括一些网管设备、计费系统以及终端等多数使用WINDOWS操作系统，但也有一部分网元使用Unix系统（包括Solaris和AIX），这些操作系统本身有一定的漏洞，往往会成为黑客攻击的目标。随着黑客的技术手段日益高超，新的攻击手段也不断出现。有的是协议自身的问题，有的是系统自身设计不完善造成的，系统发布的时间越长，系统的漏洞也越来越多，也越来越为更多的人了解。

病因三:协议实现较脆弱

协议实现脆弱性指网络中互相通信的协议本身存在的安全方面的不健全和协议实现中存在的漏洞问题。比较典型的协议漏洞为TCP/IP中的存在可能被SYNflood攻击的漏洞。在下一代网络中，包含多种多样的协议，主要的协议包括H.248、SIP、MGCP、H.323、BICC、SIGtran等。每种协议都存在大量服务请求拒绝服务攻击。其中SIP、MGCP、H.248和RAS尤其重要，因为它们支持UDP承载，数据包不需要建立连接，所以发起UDPflood攻击非常容易。尤其是SIP协议还不是很完善，采用明文传输，通信内容很容易被窃听或篡改。虽然采用了基于HTTP DIGEST的认证方式，但是这种认证方式是单向认证，很容易冒充服务器进行各种欺骗等。另外在下一代网络中协议解码漏洞将是比较普遍的一个安全脆弱性，对于采用ASN.1语言描述的协议，由于描述的复杂性，很容易造成协议实现的漏洞。这在H.248和H.323更为明显，其他的协议也存在类似这方面的问题。