首頁>>>技術>>>NGN

NGN的安全體系架構

2007/12/04

　　NGN安全體系架構是一個體系，本身很難用一個單一的標準來涵蓋，其設計需要滿足以下條件：具有可擴展性、實用性；基于成熟的安全機制和實現技術；能夠實現應用層、業(yè)務層和傳輸層的分離，不同層次上能夠采用不同的安全措施；安全措施的應用不影響業(yè)務的服務質量；滿足網絡運營商、業(yè)務提供商和用戶的安全需求；能夠實現互操作。

　　NGN在網絡架構中引入了多種商業(yè)模型，例如，接入網和骨干網可能屬于不同的運營商，有不同的安全策略，需要隔離不同層面的安全問題。為此，NGN按照邏輯方式和物理方式，對網絡進行了劃分，形成了不同的安全域，每一安全域可以對應一種特定的安全策略，運營商通過實施各種安全策略，對安全域里和安全域間的功能要素和活動進行保護。

　　安全域可以分為信任域、脆弱信任域和非信任域。對于某一特定的網絡運營商，信任域是指不與用戶設備直接通信、處于該運營商完全控制之下的安全域，例如骨干網；脆弱信任域是指屬于該網絡運營商管理但不一定由該網絡運營商控制、連接信任域和非信任域的安全域，例如接入網、邊界網關；非信任域是指不屬于該運營商管理的安全域，例如用戶網絡、不被信任的其他運營商網絡。在不同的安全域里，安全威脅、脆弱性、風險是不同的，因此安全需求也就不一樣，網絡運營商和業(yè)務提供商需要分別制定安全策略，采用各種安全機制的組合，來保證其網絡和網絡之上端到端用戶業(yè)務的安全性。

　　根據NGN分層的思想，NGN安全體系架構，在水平方向上可以劃分為傳送層安全和業(yè)務層安全。傳送層和業(yè)務層的安全體系架構應相對獨立，傳送層安全體系架構主要是解決數據傳輸的安全，業(yè)務層安全體系架構主要解決業(yè)務平臺的安全。例如，電信和互聯網融合業(yè)務及高級網絡協(xié)議（TISPAN）規(guī)定，傳送層采用網絡附著子系統(tǒng)（NASS）憑證，業(yè)務控制層采用IP多媒體子系統(tǒng)（IMS）認證和密鑰協(xié)商（A－KA）模式，應用層采用基于通用用戶識別模塊（USIM）集成電路卡（UICC）的GBA（GBA-U）模式。

　　NGN安全的系統(tǒng)架構在垂直方向上可以劃分為接入網安全、骨干網安全和業(yè)務網安全，從而使得原來網絡端到端安全變成了網絡逐段安全。在垂直方向上，NGN可以被劃分成多個安全域。

　　接入網通過接入控制部分對用戶的接入進行控制，防止非授權用戶訪問傳送網絡，并負責用戶終端IP地址的分配；骨干網通過邊界網關對網絡互聯進行控制，保證只有被授權的其他網絡上的用戶面、控制面和管理面才能接入信任域；業(yè)務網通過業(yè)務控制部分和根據需要通過應用與業(yè)務支持部分對用戶訪問業(yè)務進行控制，防止非授權用戶訪問業(yè)務，或授權用戶訪問非授權業(yè)務。

　　安全域之間用安全網關(SEGF)互聯。在每個安全域里，除了SEGF之外，可能還存在SEG證書權威(CA)和互聯CA。同一個安全域的SEGF采用IETF安全協(xié)議實現域內端到端安全。

　　SEGF是安全域邊界實體，是防范來自其他安全域攻擊的主要網元。它通過將來自其他安全域的流量與信任域內流量進行隔離，要求其他安全域流量必須通過特定的SEGF才能進入信任域，在向信任域里轉發(fā)來自其他安全域的流量前，必須進行驗證，以防止攔截、篡改、拒絕式攻擊、地址和身份欺騙、竊聽、偽裝等安全事件在信任域里的出現。例如，可以根據指定的安全策略，在管理面和控制面上使用接入控制，限制特定用戶接入或對特定業(yè)務的訪問。SEGF要實現設備級物理安全措施、系統(tǒng)加固、安全信令、OAMP虛擬專網(VPN)等方式之外，還要采用防火墻、入侵檢測、內容過濾、VPN接入、VPN互聯等功能。

　　SEGF提供的安全服務包括認證、授權、私密性、完整性、密鑰管理和策略實施等。SEGF對于從信任域里發(fā)出的請求，可以采用信任方式，不需要再進行驗證。

人民郵電報


相關鏈接:
下一代網絡技術的寵兒——ATCA 2007-12-03
PSTN與NGN互通研究 2007-11-29
構建融合接入網絡助力NGN發(fā)展 2007-11-15
下一代網絡和業(yè)務轉型過程中資源管理系統(tǒng)的建設 2007-11-09
“2007年中國國際通信設備技術展覽會”核心網發(fā)展掃描 2007-10-29

分類信息:  電信_與_NGN及軟交換技術     行業(yè)_電信_文摘   技術_NGN及軟交換_文摘