軟交換系統(tǒng)還是比較常用的，于是我研究了一下軟交換系統(tǒng)的安全攻擊與安全服務(wù)，在這里拿出來(lái)和大家分享一下，希望對(duì)大家有用。目前以軟交換系統(tǒng)為核心的下一代網(wǎng)絡(luò)（NGN）因其投資少、見效快、配置靈活正在受到運(yùn)營(yíng)商和產(chǎn)品提供商的青睞。

由于軟交換采用IP技術(shù)并建立在Internet網(wǎng)基礎(chǔ)上，為了系統(tǒng)自身的安全必須建立完備的安全機(jī)制。本文通過(guò)定義電信對(duì)網(wǎng)絡(luò)信息安全的需求，列舉目前流行的安全攻擊方式的基礎(chǔ)上，指出系統(tǒng)應(yīng)提供的安全服務(wù)，并重點(diǎn)闡述安全機(jī)制的建立和涉及的相關(guān)技術(shù)。

一、引言

以軟交換為核心的下一代網(wǎng)絡(luò)（NGN）所具有的優(yōu)勢(shì)使得運(yùn)營(yíng)上在減少投資和加快建網(wǎng)進(jìn)度的同時(shí)，能夠使服務(wù)提供商和廣大用戶受益。但是，目前雖然不少?gòu)S家推出軟交換系統(tǒng)的解決方案，各運(yùn)營(yíng)商也在積極進(jìn)行建設(shè)，但由于該技術(shù)的提出和應(yīng)用也就這十幾年的事情，在協(xié)議完善，業(yè)務(wù)開展上仍需要很長(zhǎng)的時(shí)間來(lái)進(jìn)行，尤其是NGN網(wǎng)絡(luò)以IP網(wǎng)絡(luò)作為承載話音的網(wǎng)絡(luò)時(shí)，如何解決現(xiàn)有的網(wǎng)絡(luò)安全就成為系統(tǒng)能否安全、穩(wěn)定運(yùn)行的關(guān)鍵。

為了防止未經(jīng)授權(quán)的實(shí)體利用軟交換協(xié)議建立非法呼叫或干擾破壞合法呼叫，需要系統(tǒng)在軟交換系統(tǒng)的連接建立、維持和釋放上建立安全機(jī)制。由于IP網(wǎng)絡(luò)上的安全問(wèn)題非常復(fù)雜，包括網(wǎng)絡(luò)核心設(shè)備安全、網(wǎng)絡(luò)接入設(shè)備安全、網(wǎng)絡(luò)自身安全、信息安全等方面，且涉及的技術(shù)很多，本文對(duì)以上各部分概述的同時(shí)，主要側(cè)重對(duì)軟交換系統(tǒng)中使用的IPSec協(xié)議作一個(gè)闡述。

二、安全需求

電信行業(yè)由于自身服務(wù)的需求，對(duì)網(wǎng)絡(luò)信息安全有著很高的需求。首先安全涉及很多方面，包括網(wǎng)絡(luò)系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)應(yīng)受到保護(hù)，不會(huì)遭到偶然的或者惡意的破壞、更改、泄露，系統(tǒng)能連續(xù)、可靠、正常地運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。網(wǎng)絡(luò)信息安全是一門涉及計(jì)算機(jī)科學(xué)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、密碼技術(shù)、信息安全技術(shù)、應(yīng)用數(shù)學(xué)、數(shù)論、信息論等多種學(xué)科的邊緣性綜合學(xué)科。從廣義來(lái)說(shuō)，凡是涉及到網(wǎng)絡(luò)上信息的可靠性、可用性、保密性、完整性、真實(shí)性和可控性的相關(guān)技術(shù)和理論都是電信對(duì)網(wǎng)絡(luò)信息安全的要求。

可靠性：是指網(wǎng)絡(luò)信息系統(tǒng)能在規(guī)定條件下和規(guī)定的時(shí)間內(nèi)完成規(guī)定的功能。
可用性：是指網(wǎng)絡(luò)信息可被授權(quán)實(shí)體訪問(wèn)并按需求使用。
保密性：是指網(wǎng)絡(luò)信息不泄露給非授權(quán)用戶、實(shí)體或過(guò)程，或供其利用。
完整性：是指網(wǎng)絡(luò)信息未經(jīng)授權(quán)不能進(jìn)行改變。
真實(shí)性：是指在網(wǎng)絡(luò)信息系統(tǒng)的信息交互過(guò)程中，確信參與者的真實(shí)統(tǒng)一性。
可控性：是指對(duì)網(wǎng)絡(luò)信息的傳播及內(nèi)容具有控制能力。

因此，網(wǎng)絡(luò)信息安全是一個(gè)涉及信息傳送、使用、傳播等多個(gè)方面的綜合概念。成功的網(wǎng)絡(luò)信息安全策略應(yīng)當(dāng)滿足以上各方面要求。

三、安全攻擊與安全服務(wù)

目前，針對(duì)IP網(wǎng)上的服務(wù)，主要會(huì)受到下列安全攻擊：中斷：系統(tǒng)資源遭到破壞或變得無(wú)法使用。這是一種可用性的攻擊。中斷涉及硬件和軟件部分。比如硬件破壞，通過(guò)使網(wǎng)絡(luò)核心或接入設(shè)備癱瘓、通信線路切斷來(lái)達(dá)到使服務(wù)終止的目的。軟件破壞可以采用Ping of Death等一系列的DOS（分布式拒絕服務(wù)攻擊）攻擊來(lái)耗盡系統(tǒng)和網(wǎng)絡(luò)資源從而使服務(wù)質(zhì)量下降，直至停止。

截�。何唇�(jīng)授權(quán)的用戶獲取到系統(tǒng)某些資源的訪問(wèn)權(quán)。這是對(duì)機(jī)密性的攻擊。只要非法用戶通過(guò)技術(shù)手段獲取到通信建立的相關(guān)信息，就可以捕獲該通信鏈路上傳遞的信息，從而掌握一些機(jī)密信息。

修改：相對(duì)于"截取"的被動(dòng)攻擊，非法用戶可以在獲取某些資源信息的同時(shí)，采取主動(dòng)攻擊，修改資源信息，造成更大破壞。這種方式可以直接修改數(shù)據(jù)文件，也可以通過(guò)修改正在傳送的數(shù)據(jù)而達(dá)到破壞目的。

捏造：未經(jīng)授權(quán)的用戶向系統(tǒng)中插入偽造的對(duì)象。這也是一種主動(dòng)攻擊方式。非法用戶可以通過(guò)獲取合法用戶的身份驗(yàn)證信息欺騙系統(tǒng)，建立合法連接，從而對(duì)數(shù)據(jù)的真實(shí)性進(jìn)行攻擊。針對(duì)以上各種安全攻擊，軟交換系統(tǒng)必須提供相應(yīng)的安全服務(wù)，保證合法用戶的使用安全。主要手段如下：

（1）保密性。為了防止非法用戶在數(shù)據(jù)傳送和身份認(rèn)證過(guò)程中獲取信息，必須對(duì)傳送的數(shù)據(jù)進(jìn)行加密。通過(guò)將明文進(jìn)行密碼加密，轉(zhuǎn)換成密文，從而使竊密者就是截取到數(shù)據(jù)也無(wú)法獲得信息。另外，如果對(duì)數(shù)據(jù)傳輸?shù)脑础⒛康牡刂�、端口等信息進(jìn)行屏蔽，使其無(wú)法“監(jiān)聽”，就可以有效防止非法用戶獲取數(shù)據(jù)，從而達(dá)到更好的保密效果。本文介紹的IPSec VPN解決的是數(shù)據(jù)傳遞時(shí)的保密問(wèn)題。

（2）認(rèn)證。認(rèn)證就是在雙方通訊之前相互確認(rèn)對(duì)方的身份,明確數(shù)據(jù)來(lái)源，防止非法用戶盜用合法賬號(hào)獲取信息。認(rèn)證服務(wù)包括實(shí)體身份認(rèn)證和數(shù)據(jù)源認(rèn)證兩類。實(shí)體認(rèn)證主要保證發(fā)起通信的實(shí)體是否擁有合法身份及其相應(yīng)權(quán)限；數(shù)據(jù)源認(rèn)證可以使得業(yè)務(wù)與具體的實(shí)體捆綁，加強(qiáng)安全防范。使用VPN技術(shù)可以確定通信雙方的合法性，同時(shí)可以保證第三方無(wú)方偽裝。

（3）完整性。在端與端通信中提供VPN技術(shù)可以有效杜絕非法用戶修改傳輸數(shù)據(jù)。同時(shí)，通過(guò)數(shù)字簽名、完整性檢測(cè)技術(shù)，主動(dòng)發(fā)現(xiàn)數(shù)據(jù)是否遭到破壞。

（4）訪問(wèn)控制。提供完備的訪問(wèn)控制，對(duì)于網(wǎng)絡(luò)中的關(guān)鍵部分應(yīng)建立嚴(yán)格的授權(quán)體制，對(duì)于通過(guò)認(rèn)證的實(shí)體應(yīng)按照實(shí)現(xiàn)設(shè)定的權(quán)限使用資源，禁止對(duì)未授權(quán)部分的訪問(wèn)。訪問(wèn)控制的信息一般保存在安全認(rèn)證數(shù)據(jù)庫(kù)中，故對(duì)該庫(kù)也要設(shè)置高等級(jí)的安全措施。

四、安全機(jī)制

建立和使用安全機(jī)制才能真正防備攻擊，獲得安全服務(wù)。比如使用核心設(shè)備熱備、邊界隔離、VPN等措施使網(wǎng)絡(luò)具備一定的反入侵能力；采用IPSec保證通信協(xié)議的安全傳送；采用加密機(jī)制來(lái)提供保密服務(wù)，以及用數(shù)字簽名技術(shù)來(lái)提供完整性和認(rèn)證服務(wù)等。

邊界隔離首先要求媒體網(wǎng)關(guān)、軟交換等網(wǎng)絡(luò)設(shè)備應(yīng)具備一定的反入侵能力以增強(qiáng)系統(tǒng)的安全性；同時(shí)需要配備專用的隔離設(shè)備，如網(wǎng)關(guān)、防火墻，達(dá)到內(nèi)網(wǎng)與外網(wǎng)的隔離。H.248及SIP等協(xié)議真正的媒體連接信息是放在SDP（即IP包的負(fù)載）中傳遞的，針對(duì)以上協(xié)議的網(wǎng)絡(luò)隔離偏重兩種解決方案，一種是使用能夠解析相關(guān)應(yīng)用協(xié)議（如SIP）的增強(qiáng)型NAT，即應(yīng)用層網(wǎng)關(guān)（ALG）；另一種是在NAT的外側(cè)增加代理服務(wù)器。

數(shù)據(jù)加密方式應(yīng)在網(wǎng)絡(luò)層和用戶層兩層實(shí)現(xiàn)。目前常用的加密機(jī)制有兩種：對(duì)稱密鑰機(jī)制和不對(duì)稱密鑰機(jī)制（公開密鑰）。對(duì)稱密鑰機(jī)制要求加解密雙方在加解密過(guò)程中要使用完全相同的密碼。對(duì)稱密鑰機(jī)制又分為兩個(gè)子類：分組密鑰算法和流密鑰算法。分組密鑰算法的基本操作單位是固定長(zhǎng)度的明文比特流，而流密鑰算法的基本操作單位是每次只操作一個(gè)比特或字節(jié)。對(duì)稱密鑰的主要優(yōu)點(diǎn)是運(yùn)行效率較高，比較容易硬件實(shí)現(xiàn)，但是由于通信雙方在通信前需要擁有相同的密鑰，故密鑰的安全分發(fā)成為必須解決的問(wèn)題，尤其在大量用戶同時(shí)參予時(shí)更加大密鑰管理的難度。公開密鑰正式為解決對(duì)稱密鑰存在的密鑰分發(fā)問(wèn)題而開發(fā)的，由于其在加密和解密時(shí)采用不同的密鑰公鑰和私鑰，公鑰可以公開，私鑰由個(gè)人保存。公開密鑰機(jī)制可以用于身份認(rèn)證，即數(shù)字簽名。

軟交換系統(tǒng)與媒體網(wǎng)關(guān)、應(yīng)用服務(wù)器、終端之間的傳輸協(xié)議涉及H.248協(xié)議、MGCP協(xié)議、SIP協(xié)議和H.323協(xié)議，盡管協(xié)議之間有若干區(qū)別，但總體上都是一套開放的協(xié)議體系。設(shè)備廠家都會(huì)有獨(dú)立的組件來(lái)承載包括IP終端登陸注冊(cè)、關(guān)守和信令接續(xù)。這些產(chǎn)品有的采用Windows操作系統(tǒng)，也有的是基于Linux或VxWorks。越是開放的操作系統(tǒng)，也就越容易受到惡意攻擊。尤其是某些設(shè)備需要提供基于Web的管理界面的時(shí)候，都會(huì)有機(jī)會(huì)采用Microsoft IIS或Apache來(lái)提供服務(wù)，而這些應(yīng)用都是在產(chǎn)品出廠的時(shí)候已經(jīng)安裝在設(shè)備當(dāng)中，無(wú)法保證是最新版本或是承諾已經(jīng)彌補(bǔ)了某些安全漏洞。未授權(quán)的實(shí)體就可以利用這些協(xié)議建立非法呼叫或者干涉合法呼叫，因此需要對(duì)這些協(xié)議的傳輸建立安全機(jī)制，IPSec協(xié)議體系可以對(duì)協(xié)議的傳輸進(jìn)行安全保護(hù)。