浅谈NGN网络安全问题

　　下一代网络（Next Generation Network），又称为次世代网络。主要思想是在一个统一的网络平台上以统一管理的方式提供多媒体业务，整合现有的市内固定电话、移动电话的基础上（统称FMC），增加多媒体数据服务及其他增值型服务。其中话音的交换将采用软交换技术，而平台的主要实现方式为IP技术，逐步实现统一通信其中voip将是下一代网络中的一个重点。

　　为了强调IP技术的重要性，业界的主要公司之一思科公司（Cisco Systems）主张称为IP-NGN从意义上讲，NGN是基于TDM的PSTN语音网络和基于IP/ATM的分组网络融合的产物，它使得在新一代网络上语音、视频、数据等综合业务成为了可能。是可以同时提供话音、数据、多媒体等多种业务的综合性的、全开放的宽频网络平台体系，至少可实现千兆光纤到户。NGN能在目前的网络基础上提供包括话音、数据、多媒体等多种服务，还能把现在用于长途电话的低资费IP电话引入本地市话，有望大大降低本地通话费的成本和价格。

　　NGN安全问题来源

　　在TDM网络中，整个通信系统不管是接入、传输、交换还是控制，其各部分通信设备的部署和各种协议的运行都是安全的。如果想入侵TDM通信系统，要么进入保护严密的通信机房，要么挖出地下的通信电缆。而在以IP为基础的NGN网络中，设备与网络之间的连接可以有很多不同的方法。比如，一个连接Modem的PC，不但能接入整个网络，完成数据传输，而且能通过远程登录机制，控制远端的某个系统设备。

　　在网络分布中，不管是接入网中的用户（PC或其他终端），还是与NGN连接的Internet/Intranet，或是其他的运营商网络，都有可能对于某个运营商的NGN网络造成安全威胁。

　　NGN安全威胁的分类

　　目前，大部分的NGN网络都是基于IP进行通信的，因此，根据IP协议层次的不同，NGN安全威胁可以分为来自底层协议的攻击和来自高层协议的攻击。

　　底层协议攻击

　　底层协议攻击主要是指层到第四层的网络攻击，比如，针对TCP、UDP或SCTP协议的攻击。来自底层协议的攻击是非常普遍的，对于网络中的大量设备会产生相同的影响，所以，对这些攻击的防范是与整个网络密切相关的，且与上面运行什么协议无关。

　　高层协议攻击

　　高层协议攻击主要是针对NGN协议的攻击，比如SIP、H.323、MEGACO、COPS等协议。由于来自高层协议的攻击一般都是针对特定目标协议的，因此一般的防护方法是，或针对特定的协议，或使用安全的隧道机制。

　　拒绝服务攻击

　　拒绝服务攻击的目的是，让正常用户无法使用某种服务，比如，让系统设备无法工作或者是让系统的资源不足。这种攻击采用的方法有很多，比如：发送大量的数据包给特定的系统或设备，让设备无法接收正常的数据包，或使系统忙于处理这些无用的数据包；利用系统的弱点入侵，让系统无法正常工作或开机。

　　偷听

　　这类攻击的目的主要是想非法获取一些信息或者资源，比如机密的数据。

　　偷听攻击的种类主要有：偷听通信的数据内容；偷听网络设备的ID（用于网络设备间通信前的身份验证）；使用特定的消息比如OPTIONS或Audit请求，获取SIP代理/服务器、网关以及软交换的信息等。

　　伪装

　　入侵者使用偷听的信息来伪装一个合法的请求，比如，他可以先截取用户名和密码，然后修改其信息，非法访问某个网络或者设备。在合法用户和某个设备建立连接以后，入侵者还可以使用伪装的方法使用这种现成的连接进行其他类型的攻击，比如拒绝服务攻击。另外还有通过MAC地址和IP地址的伪装攻击。

　　修改信息

　　修改信息的入侵者经过某种特定的操作，使数据被破坏或者变成毫无用处。一般来说，这种修改是其他攻击的开始，比如拒绝服务攻击、伪装或者欺诈攻击。被修改的信息可以有很多个方面，比如，用户的通信内容、终端ID、网络设备ID、呼叫建立信息、路由信息、用户验证信息、服务验证信息、网络设备的验证信息以及用户注册时的交互信息等，都可能被修改。

　　提高NGN安全的方法

　　提高NGN网络的安全性，可以从两个方面入手：一是从网络部署方面入手，比如，使用防火墙等设备，使得非法用户无法进入合法的网络；二是使用安全的传输机制。

　　网络部署

　　要保证NGN网络的安全，首先要保证网络中设备的安全，包括信令网关、媒体网关、媒体服务器、软交换和网管等设备。由于这些网络设备置于开放的IP网络中，因此，其安全性很难保证。当然，可以让它们做到本身具备很好的防攻击能力，但设备成本会非常大。

　　如图2所示，NGN定义了各种边缘，并保证通过这些边缘进入网络的数据都是安全的，以此达到NGN网络安全的目的。图2的NGN网络的边缘分为三类：一是边缘A，NGN网络与接入网（任何宽带接入、企业网、Internet等）的交界处，NGN网络通过这个边缘向所辖范围内的用户提供业务；二是边缘B，NGN网络之间的交界处，图中的其他NGN网络可以是另一管理域或另一运营商的NGN网络；三是边缘C，NGN网络与传统PSTN网的交界处。

　　边缘C通常由信令网关、中继网关、综合接入网关以及对这些媒体网关的控制组成，普遍认为它是一个可以信赖的边界。但对于边缘A和边缘B，由于它们完全基于开放的IP数据技术，所以不值得完全信赖，对其用户的接入和业务访问，必须加以控制和管理，一旦允许用户接入，就应为其提供服务质量保证。所以，在边缘A和边缘B，可以设置一个边缘接入控制器（BoardAccessController），提供防火墙和其他业务的保护功能，包括验证接入设备的合法性，避免非法用户的接入；屏蔽网络内部的拓扑结构；地址转换（NAT）和业务穿透；网络资源的分配和确保；防范来自底层和高层的拒绝服务攻击等。

　　安全传输

　　数据的安全是指保证用户通信数据的完整性（不被修改）和安全性（不被偷听）。

　　数据传输的安全，包括NGN网络设备（如软交换和媒体网关）与终端之间传输协议的安全、用户之间媒体信息传输的安全、用户私有信息（用户名、密码等）的安全等。要保证这些信息不为非法用户窃取和修改，可以要求所有的用户控制信息和媒体信息都要经过边缘接入控制器，这样可以保证所有的NGN通信都会经过NGN网络中的设备。

　　另外，还可以通过采用一些安全机制，让开放的IP网络具有类似TDM的安全性。其中的一种方式就是虚拟通道。目前比较成熟也比较通用的技术是，采用MPLSVPN技术构建相对独立的VPN网络。这种方法可以在NGN的网络使用，将整个IP网络分成几个不同的隔离空间：公共网络、ISP、ASP、用户网络、业务子网等，使得非MPLSVPN内的用户无法访问到NGN网络中的设备，从而保证NGN网络的安全。

　　通信安全越来越重要，不但影响公众生活，还直接影响国家利益和国家安全。因此NGN安全是所有人所希望的。NGN安全研究涉及广泛，包括法律法规、技术标准、管理措施、网络规划、网络设计、设备可靠性、业务特性、商业模式、缆线埋放、加密强度、加密算法、有害信息定义等大量领域。因此，NGN的安全研究应作为基础研究，需要长期努力。