《物联网系统安全》 课件 余智豪 第8-13章 网络层移动通信系统安全- 物联网系统安全新技术

第8章网络层移动通信系统安全第8章网络层移动通信系统安全

8.1移动通信系统概述

到目前为止，移动通信系统的发展已经经历了5个时代，如表8-1所示。

第8章网络层移动通信系统安全

8.2移动通信系统面临的安全威胁

移动通信系统面临的安全威胁来自网络协议和系统的弱点，攻击者可以利用网络协议和系统的弱点非授权访问敏感数据、非授权处理敏感数据、干扰或滥用网络服务，对用户和网络资源造成损失。

按照攻击的物理位置，对移动通信系统的安全威胁可分为对无线链路的威胁、对服务网络的威胁和对移动终端的威胁。主要威胁方式有以下几种：

①窃听

在无线链路或服务网内窃听用户数据、信令数据及控制数。

②伪装

伪装成网络单元截取用户数据、信令数据及控制数据，伪终端欺骗网络获取服务。

③流量分析

主动或被动进行流量分析以获取信息的时间、速率、长度、来源及目的地。第8章网络层移动通信系统安全

8.2移动通信系统面临的安全威胁

④破坏数据的完整性

修改、插入、重放、删除用户数据或信令数据以破坏数据的完整性。

⑤拒绝服务

在物理上或协议上干扰用户数据、信令数据及控制数据在无线链路上的正确传输，实现拒绝服务攻击。

⑥否认

用户否认业务费用、业务数据来源及发送或接收到的其他用户的数据，网络单元否认提供的网络服务。

⑦非授权访问服务

用户滥用权限获取对非授权服务的访问，服务网滥用权限获取对非授权服务的访问。

⑧资源耗尽

通过使网络服务过载耗尽网络资源，使合法用户无法访问。第8章网络层移动通信系统安全

8.3第一代移动通信系统安全

8.3.1第一代移动通信系统简介

第一代移动通信系统简称为1G，主要采用蜂窝组网和频分多址(FDMA)技术。由于受到传输带宽的限制，不能进行移动通信的长途漫游，只能是一种区域性的移动通信系统。第一代移动通信有多种制式，我国主要采用的是TACS。第一代移动通信有很多不足之处，如容量有限、制式太多、互不兼容、保密性差、通话质量不高、不能提供数据业务和不能提供自动漫游等。

回顾第一代移动通信系统，就不能不提起大名鼎鼎的美国贝尔实验室。1978年底，贝尔实验室研制成功了全球第一个移动蜂窝电话系统——先进移动电话系统（AdvancedMobilePhoneSystem，AMPS）。5年后，这套系统在芝加哥正式投入商用并迅速在全美国推广，获得了巨大成功。第8章网络层移动通信系统安全

8.3第一代移动通信系统安全

8.3.1第一代移动通信系统简介

同一时期，欧洲各国也不甘示弱，先后建立起自己的第一代移动通信系统。瑞典等北欧4国合作，在1980年研制成功了NMT-450移动通信网并投入使用；联邦德国在1984年完成了C网络（C-Net）；英国则于1985年开发出频段在900MHz的全接入通信系统（TotalAccessCommunicationsSystem，TACS）。

在各种1G系统中，美国AMPS制式的移动通信系统在全球的应用最为广泛，它曾经在超过72个国家和地区运营，直到1997年还在一些地方使用。同时，也有近30个国家和地区采用英国TACS制式的1G系统。这两个移动通信系统是世界上最具影响力的1G系统。

第8章网络层移动通信系统安全

8.3第一代移动通信系统安全

8.3.1第一代移动通信系统简介

中国的第一代模拟移动通信系统，于1987年11月18日在第六届全运会上开通，并正式开始投入商用，采用的是英国TACS制式。从中国电信1987年11月开始运营模拟移动电话业务到2001年12月底中国移动关闭模拟移动通信网，1G系统在中国的应用长达14年，用户数最高曾达到了660万。如今，1G时代那像砖头一样的手持终端——大哥大，已经成为了很多人的美好回忆。

第8章网络层移动通信系统安全

8.3第一代移动通信系统安全

8.3.1第一代移动通信系统简介

第一代移动通信系统的主要特点是采用频分复用技术，语音信号为模拟调制，每隔30KHz/25KHz一个模拟用户信道。第一代移动通信系统在商业上取得了巨大的成功，但是其缺点也日渐显露出来。

①频谱利用率低

②业务种类有限

③无高速数据业务

④保密性差，易被窃听和盗号

⑤设备成本高

⑥体积大，重量大。

第8章网络层移动通信系统安全

8.3.2第一代移动通信系统的安全机制

第一代移动通信系统的工作原理如图8-1所示。

图8-1第一代移动通信系统的工作原理图第8章网络层移动通信系统安全

8.3第一代移动通信系统安全

第一代移动通信系统仅仅实现了一个简单的模拟语音的传输，其安全性能并不高，只是一个无机密性的保护机制。每个手机都有一个电子序号ESN和由网络编码的移动标识号MIN。当用户接入的时候，手机只需要将ESN和MIN以明文的方式发送到网络，如果两者匹配，就能实现接入。通过上述的过程，可以看到只要监听无线电信号，就能够获取ESN和MIN。利用窃取的ESN和MIN，就可以不花任何费用拨打手机电话，这就是手机克隆。这种属于欺诈性的接入，给运营商带来了巨大的损失。频道劫持则是另外一种攻击手段，攻击者接管了正在进行通讯的语音和数据会话。

第8章网络层移动通信系统安全

8.4第二代移动通信系统安全

8.4.1第二代移动通信系统简介

为了解决模拟系统中存在的这些根本性技术缺陷，数字移动通信技术应运而生，并且发展起来，这就是第二代移动通信系统（简称2G），时间是从八十年代中期开始。第二代移动通信系统以传输话音和低速数据业务为目的，因此又称为窄带数字通信系统。第二代数字蜂窝移动通信系统的典型代表是美国的DAMPS系统、IS-95系统和欧洲的GSM系统。

①DAMPS(先进的数字移动电话系统)也称IS-54(北美数字蜂窝)，使用800MHz频带，是两种北美数字蜂窝标准中推出较早的一种，指定使用TDMA多址方式。

②IS-95是北美的另一种数字蜂窝标准，使用800MHz或1900MHz频带，使用CDMA多址方式，已成为美国PCS(个人通信系统)网的首选技术。

第8章网络层移动通信系统安全

8.4第二代移动通信系统安全

8.4.1第二代移动通信系统简介

③GSM(全球移动通信系统)发源于欧洲，它是作为全球数字蜂窝通信的DMA标准而设计的，支持64Kbps的数据速率，可与ISDN互连。GSM使用900MHz频带，使用1800MHz频带的称为DCS1800。GSM采用FDD双工方式和TDMA多址方式，每载频支持8个信道，信号带宽200KHz。GSM标准体制较为完善，技术相对成熟，不足之处是相对于模拟系统容量增加不多，仅仅为模拟系统的两倍左右，且无法和模拟系统兼容。

由于第二代移动通信以传输话音和低速数据业务为目的，从1996年开始，为了解决中速数据传输问题，又出现了2.5代的移动通信系统，如GPRS和IS-95B。

第8章网络层移动通信系统安全

8.4.2第二代移动通信系统的安全机制

第二代移动通信系统以GSM系统为代表，其网络结构如图8-2所示。

GSM数字移动通信系统主要由移动交换系统、基站子系统（BSS）、操作维护子系统（OMS）和移动站（MS）构成。下面具体描述各部分的功能。

图8-2GSM系统的网络结构第8章网络层移动通信系统安全

1.移动交换系统

移动交换系统（MobileSwitchingSystem，MSS）主要完成交换功能以及用户数据管理、移动性管理、安全性管理所需的数据库功能。

移动交换系统由移动交换中心MSC、归属位置寄存器HLR、拜访位置寄存器VLR、设备识别寄存器EIR、鉴权中心AUC和短消息中心SMC等功能实体构成。

MSC（MobileServiceSwitchingCenter）即移动业务交换中，是GSM系统的核心，完成最基本的交换功能，即完成移动用户和其他网络用户之间的通讯连接；完成移动用户寻呼接入、信道分配、呼叫接续、话务量控制、计费、基站管理等功能；提供面向系统其他功能实体的接口、到其他网络的接口以及与其他MSC互连的接口。

第8章网络层移动通信系统安全

1.移动交换系统

归属位置寄存器（HomeLocationRegister，HLR）是GSM系统的中央数据库，存放与用户有关的所有信息，包括用户的漫游权限、基本业务、补充业务及当前位置信息等，从而为MSC提供建立呼叫所需的路由信息。一个HLR可以覆盖几个MSC服务区甚至整个移动网络。

VLR（VisitorLocationRegister）即拜访者位置寄存器，VLR存储了进入其覆盖区的所有用户的信息，为已经登记的移动用户提供建立呼叫接续的条件。VLR是一个动态数据库，需要与有关的归属位置寄存器HLR进行大量的数据交换以保证数据的有效性。当用户离开离开该VLR的控制区域，则重新在另一个VLR登记，原VLR将删除临时记录的该移动用户数据。在物理上，MSC和VLR通常合为一体。

第8章网络层移动通信系统安全

2.基站子系统

基站子系统（BaseStationSystem，BSS）是移动交换系统和MS之间的桥梁，主要完成无线信道管理和无线收发功能。BSS主要包括基站控制器BSC和基站收发信台BTS两部分。

BSC（BaseStationController）即基站控制器，位于MSC与BTS之间，具有对一个或多个BTS进行控制和管理的功能，主要完成无线信道的分配、BTS和MS发射功率的控制以及越区信道切换等功能。BSC也是一个小交换机，它把局部网络汇集后通过A接口与MSC相连。

BTS（BaseTransceiverStation）即基站收发信机，是基站子系统的无线收发设备，由BSC控制，主要负责无线传输功能，完成无线与有线的转换、无线分集、无线信道加密、跳频等功能。BTS通过Abis接口与BSC相连，通过空中接口Um与MS相连。

此外，BSS系统还包括码变换和速率适配单元TRAU。TRAU通常位于BSC和MSC之间，主要完成16kbps的RPE-LTP编码和64kbps的A律PCM编码之间的码型变换。第8章网络层移动通信系统安全

3.操作维护子系统

操作维护子系统（OperationandMaintenanceSystem，OMS）是GSM系统的操作维护部分，GSM系统的所有功能单元都可以通过各自的网络连接到OMS，通过OMS可以实现GSM网络各功能单元的监视、状态报告和故障诊断等功能。

OMS分为两部分：OMC-S（OperationandMaintenanceCenter-System）操作维护中心-系统部分和OMC-R（OperationandMaintenanceCenter-Radio）操作维护中心-无线部分。OMC-S用于NSS系统的操作和维护，OMC-R用于BSS系统的操作和维护。第8章网络层移动通信系统安全

4.移动站

移动站（MobileStation，MS）即手机，是GSM系统的用户设备，可以是车载台、便携台和手持机。它由移动终端和用户识别卡SIM两部分组成。移动终端主要完成语音信号处理和无线收发等功能。

SIM卡存储了认证用户身份所需的所有信息以及与安全保密有关的重要信息，以防非法用户入侵，移动终端只有插入了SIM卡后才能接入GSM网络。

第二代移动通信的安全缺陷主要包括：单项身份认证；使用明文进行传输，容易造成密钥的信息泄露；加密功能没有延伸到核心网；无法抗击重放攻击；没有消息完整性认证，无法保证数据在链路传输过程中的完整性；用户漫游时归属网络不知道和无法控制服务网络，如何使用自己用户的认证参数；没有第三方仲裁功能；系统安全缺乏升级能力等。第8章网络层移动通信系统安全

8.5第三代移动通信系统安全

8.5.1第三代移动通信系统简介

3G即第三代移动通信技术，是指支持高速数据传输的蜂窝移动通讯技术。3G服务能够同时传送声音及数据信息，速率一般在几百kbps以上。3G是指将无线通信与国际互联网等多媒体通信结合的新一代移动通信系统，目前3G存在3种标准：CDMA2000、WCDMA、TD-SCDMA。

3G下行速度峰值理论可达3.6Mbit/s，上行速度峰值也可达384kbit/s。

中国国内支持国际电联确定的三个无线接口标准，分别是中国电信的CDMA2000，中国联通的WCDMA，中国移动的TD-SCDMA，GSM设备采用的是时分多址，而CDMA使用码分扩频技术，先进功率和话音激活至少可提供大于3倍GSM网络容量，业界将CDMA技术作为3G的主流技术，国际电联确定三个无线接口标准，分别是美国CDMA2000，欧洲WCDMA，中国TD-SCDMA。原中国联通的CDMA卖给中国电信，中国电信已经将CDMA升级到3G网络，3G主要特征是可提供移动宽带多媒体业务。第8章网络层移动通信系统安全

1.WCDMA

WCDMA，全称为WidebandCDMA，也称为CDMADirectSpread，意为宽频分码多重存取，这是基于GSM网发展出来的3G技术规范，是欧洲提出的宽带CDMA技术，它与日本提出的宽带CDMA技术基本相同，目前正在进一步融合。WCDMA的支持者主要是以GSM系统为主的欧洲厂商，日本公司也或多或少参与其中，包括欧美的爱立信、阿尔卡特、诺基亚、朗讯、北电，以及日本的NTT、富士通、夏普等厂商。该标准提出了GSM（2G）-GPRS-EDGE-WCDMA（3G）的演进策略。这套系统能够架设在现有的GSM网络上，对于系统提供商而言可以较轻易地过渡。预计在GSM系统相当普及的亚洲，对这套新技术的接受度会相当高。因此WCDMA具有先天的市场优势。WCDMA已是当前世界上采用的国家及地区最广泛的，终端种类最丰富的一种3G标准，占据全球80%以上的市场份额。第8章网络层移动通信系统安全

2.CDMA2000

CDMA2000是由窄带CDMA（CDMAIS95）技术发展而来的宽带CDMA技术，也称为CDMAMulti-Carrier，它最先由美国高通北美公司提出，摩托罗拉、Lucent和后来加入的韩国三星都有参与，后来韩国三星成为该标准的主导者。这套系统是从窄频CDMAOne数字标准衍生出来的，可以从原有的CDMAOne结构直接升级到3G，建设成本低廉。但使用CDMA的地区只有日、韩和北美，所以CDMA2000的支持者不如W-CDMA多。不过CDMA2000的研发技术却是目前各标准中进展最快的。该标准提出了从CDMAIS95（2G）-CDMA20001x-CDMA20003x（3G）的演进策略。CDMA20001x被称为2.5代移动通信技术。CDMA20003x与CDMA20001x的主要区别在于应用了多路载波技术，通过采用三载波使带宽提高。中国电信正在采用这一方案向3G过渡，并已建成了CDMAIS95网络。第8章网络层移动通信系统安全

3.TD-SCDMA

TD-SCDMA全称为TimeDivision-SynchronousCDMA（时分同步CDMA），该标准是由中国独自制定的3G标准，1999年6月29日，中国原邮电部电信科学技术研究院（大唐电信）向ITU提出，但技术发明始于西门子公司，TD-SCDMA具有辐射低的特点，被誉为绿色3G。该标准将智能无线、同步CDMA和软件无线电等当今国际领先技术融于其中，在频谱利用率、对业务支持具有灵活性、频率灵活性及成本等方面的独特优势。另外，由于中国内地庞大的市场，该标准受到各大主要电信设备厂商的重视，全球一半以上的设备厂商都宣布可以支持TD-SCDMA标准。该标准提出不经过2.5代的中间环节，直接向3G过渡，非常适用于GSM系统向3G升级。军用通信网也是TD-SCDMA的核心任务。相对于另两个主要3G标准CDMA2000和WCDMA它的起步较晚，技术不够成熟。第8章网络层移动通信系统安全

8.5.2第三代移动通信系统的安全机制

第三代移动通信系统在2G的基础上进行了改进，继承了2G系统安全的优点，同时针对3G系统的新特性，定义了更加完善的安全特征与安全服务。未来的移动通信系统除了提供传统的语音、数据、多媒体业务外，还应当能支持电子商务、电子支付、股票交易、互联网业务等，个人智能终端将获得广泛使用，网络和传输信息的安全将成为制约其发展的首要问题。

随着向下一代网络（NGN）的演进，基于IP的网络架构必将使移动网络面临IP网络固有的一些安全问题。移动通信网络最终会演变成开放式的网络，能向用户提供开放式的应用程序接口，以满足用户的个性化需求。网络的开放性以及无线传播的特性将使安全问题成为整个移动通信系统的核心问题之一。

与2G以语音业务为主、仅提供少量的数据业务不同，3G可提供高达2Mbit/s的无线数据接入方式。其安全模式也以数据、交互式、分布式业务为主。第8章网络层移动通信系统安全

1.第三代移动通信系统的网络结构

第三代移动通信系统的网络结构如图8-3所示。

第三代移动通信系统由三部分组成：移动终端、无线接入网（RadioAccessNetwork，RAN）和核心网（CoreNetwork，CN）。图8-3第三代移动通信系统的网络结构第8章网络层移动通信系统安全

1.第三代移动通信系统的网络结构

①移动终端

移动终端由两个部分组成：移动设备（MobileEquipment，ME）和全球用户识别模块（UniversalSubscriberIdentityModule，USIM）。移动设备实现无线通信功能，全球用户识别模块与SIM卡类似，保存了与运营商相关的用户信息。

②无线接入网

3G中包括两种无线接入网，即地面无线接入网络（UMTSTerrestrialRadioAccessNetwork，UTRAN）和GSM/EDGE无线接入网络（GSM/EDGERadioAccessNetwork，GERAN）。地面无线接入网络含有两种网络单元：BS是RAN在网络一侧的终点，BS被连接到UTRAN的控制单元（如无线网络控制单元RNC）上。RNC则通过Iu接口与CN相连。第8章网络层移动通信系统安全

1.第三代移动通信系统的网络结构

③核心网

核心网（CoreNetwork，CN）主要有两个域：分组交换（PacketSwitch）域和电路交换（CircuitSwitch）域。分组交换域是从GPRS域进化而来的，其中重要的网络单元是GPRS服务支持节点SGSN和GPRS网关支持节点GGSN。CS也是从传统的GSM网络进化而来，其中重要的网络单元是MSC。SGSN和GGSN是GPRS中新增加的网络单元，SGSN的主要作用是记录移动终端的当前位置信息，并且在移动终端与GGSN之间完成移动分组数据的发送和接受。GGSN通过基于IP的GPRS骨干网连接到SGSN，然后连接到GSM网络和外部交换网。核心网还可以分为两部分：本地网络和服务网，本地网络包含所有用户的静态信息，服务网则处理用户设备到接入网之间的通信。第8章网络层移动通信系统安全

2.3G系统的安全体系

3GPP的接入安全规范已经成熟，加密算法和完整性算法已经实现标准化。基于IP的网络域的安全也已制定出相应的规范。3GPP的终端安全、网络安全管理规范还有待进一步完善。图8-4给出了一个完整的3G系统的安全体系。图8-43G系统的安全体系第8章网络层移动通信系统安全

2.3G系统的安全体系

为实现3G安全特征的目标，应针对它面临的各种安全威胁和攻击，从整体上研究和实施3G系统的安全措施，只有这样才能有效保障3G系统的信息安全。

在3G系统的安全体系中，针对不同的攻击类型，分别定义了五个安全特征组，即网络接入安全（Ⅰ）、核心网安全（Ⅱ）、用户域安全（Ⅲ）、应用域安全（Ⅳ）、安全的可知性及可配置性（Ⅴ）。它们涉及传输层、归属层/服务层和应用层，同时也涉及移动用户（包括移动设备MS）、服务网和归属环境。每一安全特征组用以对抗某些威胁和攻击，实现3G系统的某些安全目标。

第8章网络层移动通信系统安全

2.3G系统的安全体系

①网络接入安全

该安全特征组提供用户安全接入3G业务，特别是对抗在无线接入链路上的攻击。

②核心网安全

该安全特征组使网络运营商之间的结点能够安全地交换信令数据，对抗在有限网络上的攻击。

③用户域安全

该安全特征组确保用户能够安全接入网络。

④应用域安全

该安全特征组使得用户和网络运营商之间的各项应用能够安全地交换信息。

⑤安全的可知性及可配置性

该安全特征组使得用户能够知道某个安全特征组是否在运行，并且业务的应用和设置是否依赖于该安全特征。第8章网络层移动通信系统安全

3.3G系统的接入安全机制

3G系统的接入安全机制有三种：根据临时身份（IMSI）识别；根据永久身份（IMSI）识别；认证和密钥协商（AKA）。

AKA机制完成移动台（MS）和网络的相互认证，并建立新的加密密钥和完整性密钥。AKA机制的执行分为两个阶段：第一阶段是认证向量（AV）从归属环境（HE）到服务网络（SN）的传送；第二阶段是SGSN/VLR和MS执行询问应答程序取得相互认证。HE包括HLR和鉴权中心（AUC）。认证向量含有与认证和密钥分配有关的敏感信息，在网络域的传送使用基于七号信令的MAPsec协议，该协议提供了数据来源认证、数据完整性、抗重放和机密性保护等功能。第8章网络层移动通信系统安全

4.3G安全算法

3G系统定义了多种安全算法：f0、f1、f2、f3、f4、f5、f6、f7、f8、f9、f1*、f5*，应用于不同的安全服务。身份认证与密钥分配方案中移动用户登记和认证参数的调用过程与GSM网络基本相同，不同之处在于3GPP认证向量是5元组，并实现了用户对网络的认证。AKA利用f0至f5*算法，这些算法仅在鉴权中心和用户的用户身份识别模块（USIM）中执行。

其中，f0算法仅在鉴权中心中执行，用于产生随机数RAND；f1算法用于产生消息认证码（鉴权中心中为MAC-A，用户身份识别模块中为XMAC-A）；f1*是重同步消息认证算法，用于产生MAC-S；f2算法用于产生期望的认证应答（鉴权中心中为XRES，用户身份识别模块中为RES）；f3算法用于产生加密密钥CK；f4算法用于产生消息完整性密钥IK；f5算法用于产生匿名密钥AK和对序列号SQN加解密，以防止被位置跟踪；f5*是重同步时的匿名密钥生成算法。第8章网络层移动通信系统安全

4.3G安全算法

AKA由SGSN/VLR发起，在鉴权中心中产生认证向量AV=（RAND，XRES，CK，IK，AUTN）和认证令牌AUTN=SQN[AAK]‖AMF‖MAC-A。VLR发送RAND和AUTN至用户身份识别模块。用户身份识别模块计算XMAC-A=f1K（SQN‖RAND‖AMF），若等于AUTN中的MAC-A，并且SQN在有效范围，则认为对网络鉴权成功，计算RES、CK、IK，发送RES至VLR。VLR验证RES，若与XRES相符，则认为对MS鉴权成功；否则，拒绝MS接入。当SQN不在有效范围时，用户身份识别模块和鉴权中心利用f1*算法进入重新同步程序，SGSN/VLR向HLR/AUC请求新的认证向量。第8章网络层移动通信系统安全

4.3G安全算法

3G的数据加密机制将加密保护延长至无线接入控制器（RNC）。数据加密使用f8算法，生成密钥流块KEYSTREAM。对于MS和网络间发送的控制信令信息，使用算法f9来验证信令消息的完整性。对于用户数据和话音不给予完整性保护。MS和网络相互认证成功后，用户身份识别模块和VLR分别将CK和IK传给移动设备和无线网络控制器，在移动设备和无线网络控制器之间建立起保密链路。f8和f9算法都是以分组密码算法KASUMI构造的，KASUMI算法的输入和输出都是64bit，密钥是128bit。KASUMI算法在设计上具有对抗差分和线性密码分析的可证明的安全性。第8章网络层移动通信系统安全

5.第三代移动通信系统安全机制的优点

相对于2G移动通信系统，3G系统具有以下优点：

①提供了双向认证。不但提供基站对MS的认证，也提供了MS对基站的认证，可有效防止伪基站攻击；

②提供了接入链路信令数据的完整性保护；

③密码长度增加为128bit，改进了算法；

④3GPP接入链路数据加密延伸至RNC；

⑤3G的安全机制还具有可拓展性，为将来引入新业务提供安全保护措施；

⑥3G能向用户提供安全可视性操作，用户可随时查看自己所用的安全模式及安全级别；第8章网络层移动通信系统安全

6.第三代移动通信系统安全机制的缺点

在密钥长度、算法选定、鉴别机制和数据完整性检验等方面，3G的安全性能远远优于2G。但3G仍然存在下列安全缺陷：

①没有建立公钥密码体制，难以实现用户数字签名。随着移动终端存储器容量的增大和CPU处理能力的提高以及无线传输带宽的增加，必须着手建设无线公钥基础设施（WPKI）；

②密码学的最新成果（比如ECC椭圆曲线密码算法）并未在3G中得到应用；

③算法过多；

④密钥产生机制和认证协议有一定的安全隐患。第8章网络层移动通信系统安全

8.6第四代移动通信系统安全

8.6.1第四代移动通信系统简介

第四代移动通信系统，英文缩写为4G。该技术包括TD-LTE和FDD-LTE两种制式。

4G技术集LTE技术与WiMAX技术于一体，并能够快速传输数据、高质量、音频、视频和图像等。4G能够以100Mbps的峰值速率下载，比目前的家用宽带ADSL（4兆）快25倍，并能够满足几乎所有用户对于无线服务的要求。此外，4G可以在DSL和有线电视调制解调器没有覆盖的地方部署，然后再扩展到整个地区。很明显，4G有着不可比拟的优越性。第8章网络层移动通信系统安全

8.6第四代移动通信系统安全

8.6.1第四代移动通信系统简介

LTE(LongTermEvolution，长期演进)项目是3G的演进，它改进并增强了3G的空中接入技术，采用OFDM和MIMO作为其无线网络演进的唯一标准。根据4G牌照发布的规定，国内三家运营商中国移动、中国电信和中国联通，都拿到了TD-LTE制式的4G牌照。

LTE主要特点是在20MHz频谱带宽下能够提供下行100Mbit/s与上行50Mbit/s的峰值速率，相对于3G网络大大的提高了小区的容量，同时将网络延迟大大降低：内部单向传输时延低于5ms，控制平面从睡眠状态到激活状态迁移时间低于50ms，从驻留状态到激活状态的迁移时间小于100ms。并且这一标准也是3GPP长期演进(LTE)项目，是近年来3GPP启动的最大的新技术研发项目。第8章网络层移动通信系统安全

8.6.2第四代移动通信系统的安全机制

1.第四代移动通信系统的网络结构

第四代移动通信系统的网络结构如图8-5所示。

图8-5第四代移动通信系统的网络结构第8章网络层移动通信系统安全

1.第四代移动通信系统的网络结构

4G系统包括移动终端、无线接入网、无线核心网和IP骨干网等四个部分。

4G网络实现了不同固定和无线平台以及跨越不同频带的无线网络的连接，为所连接的无线平台和无线网络提供了无缝的、一致性的移动计算环境，并支持高速移动环境下数据的高速传输功能，能够对语音、数据、图像进行高质量、高速度的传输。4G网络将固定的有线网络与无线蜂窝网络、卫星网络、广播电视网络、蓝牙等系统集成和融合，这些接入网络都将被无缝地接入基于IP的核心网，形成一个公共的平台，这个平台较之于传统的平台将具有更高的公共性、灵活性、可扩展性。第8章网络层移动通信系统安全

2.第四代移动通信系统的特点

第四代移动通信系统的主要特点如下：

①多网络集成：4G网络集成和融合多种网络和无线通信技术系统；

②全IP网络：4G网络是一种基于分组的全IP网络；

③大容量：4G网络的容量较之于3G网络要大的多，大约是其的10倍左右；

④无缝覆盖：4G网络实现了无缝覆盖，用户可以在任何时间、任何地点使用无线网络；

⑤带宽更宽：每个4G信道将占有较之于3G信道约20倍宽度的频谱；

⑥高灵活性和扩展性：4G网络可以通过与其他网络的自由连接来扩展自身的范围，同时网络中的用户和网络设备可以自由增减；

⑦高智能性：4G网络实现了终端设备设计和操作的智能化，可以自适应地进行资源分配、业务处理和信道环境适应。

⑧高兼容性：4G网络采用的是开放性的接口，可以实现多网络互联、多用户融合。第8章网络层移动通信系统安全

3.第四代移动通信系统面临的安全问题

随着在4G通信技术的迅速发展，其安全漏洞也日益的暴露，引发了一系列的安全问题。其中，最主要的安全问题包括在4G网络规模的扩大、通信技术以及相关业务的不断发展和来自外部网络的安全威胁。

网络规模的扩大，顾名思义是指网络的使用范围的扩展面积较大，网络的管理系统已经跟不上网络拓展的步伐，这样就导致在管理方面存在着较大的问题。

来自外部网络的安全威胁也不容忽视，这些威胁主要包括网络病毒的传播以及4G网络存在的相关漏洞导致黑客入侵等方面。其中，仅仅是手机病毒，就存在着很多的安全威胁。手机病毒可以分为短信息类手机病毒、蠕虫类手机病毒以及常见的木马类手机病毒，这些来自与外界的网络安全危害，都会对在4G网络造成威胁等，这些问题的存在将严重的制约着在4G网络技术安全的拓展，同时也不利于我国通信技术的发展。第8章网络层移动通信系统安全

3.第四代移动通信系统面临的安全问题

4G网络技术是3G网络的升级版本，但是4G网络技术并未达到相关的技术要求，在4G网络技术的覆盖尚未达到全面的覆盖，两个覆盖的区域不能相互的兼容，同时难以保证4G网络技术的覆盖区域的安全性能。

通信系统容量的限制，也大大制约着手机的下载速度，虽然4G网络技术的下载速度要比3G的速度快很多，但是受4G网络技术系统限制的同时手机用户不断的增加，网络的下载速度将会逐渐的降低，同时下载的文件是否都具备安全的性能这些都不能保证，因此如何解决这一问题，是被列为保证4G网络安全发展研究的重要解决问题之一。第8章网络层移动通信系统安全

4.4G网络的安全对策

4G网络最大的安全问题是在应用领域上存在的安全隐患，一旦这些问题的出现将带来非常严重的效果。因此，需要与4G网络相关的所有成员共同关注。首先，开发商也要加强4G网络安全机制的研发工作；第二，运营商应当采取严格的安全防护措施；第三，4G网络用户也要提高自身的安全防范意识。针对4G网络的安全对策如下：

①建立安全的移动通信系统

要推进4G网络技术不断地发展，就要做好相关的安全措施，分析4G网络的安全需求，确定4G网络安全的目标，保证移动平台硬件与应用软件以及操作系统的完整性，明确使用者的身份权限，并保证用户的隐私安全。

②建立安全认证体系

目前的移动通信安全体制，通常都采用私钥密码的单一体制。但是这样的私钥密码体制难以全方位地保证4G网络的安全。应当针对不同的安全特征与服务，采用公钥密码体制和私钥密码体制的混合，与此同时加快公钥的无线基础设施建设，建立以CA为认证中的核心安全认证体系。第8章网络层移动通信系统安全

4.4G网络的安全对策

③发展新型的4G网络加密技术

要推进4G网络技术安全的发展，就必须发展新型的4G网络加密技术，如量子密码技术、椭圆曲线密码技术、生物识别技术等移动通信系统加密技术，提高加密算法和认证算法的自身的抗攻击能力，保证4G网络技术在传输机密信息时的完整性、可控制性、不可否认性以及可用性。

④加强4G网络安全的防范意识

单纯地依靠开发商、网络管理者的努力是不够的。用户能否安全地使用4G网络，才是在4G网络技术发展中最不容忽视的重要环节。

为了促进4G网络的发展，用户自身应该加强自身的安全防范意识。例如，不访问不安全的钓鱼网站，不到盗版软件网站下载有可能存在病毒的文件，定期地清理手机中的垃圾，定期查杀病毒等。第8章网络层移动通信系统安全

8.7第五代移动通信系统安全

8.7.1第五代移动通信系统简介

第五代移动通信系统（5thGenerationmobilenetworks或5thGenerationwirelesssystems，5G）是新一代的移动通信技术，也是继2G（GSM），3G（UMTS，LTE）和4G（LTEA、WiMAX）系统之后的延伸。5G系统的性能目标是为用户提供高数据速率、减少延迟、节省能源、降低成本、提高系统容量和大规模设备连接。

5G技术既不是一个单一的移动通信技术，也不是全新的移动通信技术，而是新的移动通信技术和现有移动通信技术的高度融合。

5G的特点是超高频率、超高频宽，传输速率比4G快了一个数量级，对无线通信网络做了优化，具有更低的时延，完全可以胜任物联网、智能交通、高清视频和虚拟现实等业务的需求。第8章网络层移动通信系统安全

8.7第五代移动通信系统安全

8.7.1第五代移动通信系统简介

5G技术与4G技术对比的结果如下：

①传输速率增大10到100倍，达到10Gb/s。

②网络容量增加一千倍，可以连接的设备数比4G增加1000倍。

③端到端的时延减小90%，可以达到毫秒级。

④频谱效率增加5到10倍，比4G在同样带宽下传输的数据增加5到10倍。

⑤频率更高，工信部初步定下我国的5G频率是3.3~3.6Ghz/4.8~5Ghz。全球部署的5G频段为n77,n78、n79,n257、n258和n260,分别是3.3~4.2GHz、4.4~5.0GHz和毫米波频段26GHz/28GHz/39GHz。

⑥微基站广泛使用，室内移动通信，用户间直接通信，而不像传统的4G通信必须经过基站转发，5G终端可以像对讲机的方式工作，数据可以在5G终端设备之间直接通信，但信令还要经过基站传送。

⑦更多的大规模天线（MIMO）。第8章网络层移动通信系统安全

8.7第五代移动通信系统安全

8.7.2第五代移动通信系统的安全机制

1.第五代移动通信系统的应用场景

第五代移动通信技术（5thGenerationMobileCommunicationTechnology，5G）是具有高速率、低时延和大连接特点的新一代宽带移动通信技术，5G通讯设施是实现人机物互联的网络基础设施。

国际电信联盟（ITU）定义了5G的三大类应用场景，即增强移动宽带（enhancedMobileBroadBband，eMBB）、超高可靠低时延通信（ultrahighReliabilityandLowLatencyCommunication，uRLLC）和海量机器类通信（massiveMachineTypeCommunication，mMTC）。增强移动宽带（eMBB）主要面向移动互联网流量爆炸式增长，为移动互联网用户提供更加极致的应用体验；超高可靠低时延通信（uRLLC）主要面向工业控制、远程医疗、自动驾驶等对时延和可靠性具有极高要求的垂直行业应用需求；海量机器类通信（mMTC）主要面向智慧城市、智能家居、环境监测等以传感和数据采集为目标的应用需求。第8章网络层移动通信系统安全

1.第五代移动通信系统的应用场景

5G应用场景因技术本身以及应用场景自身特点面临新的安全风险，成为影响5G融合业务发展的关键要素。目前5G典型场景以增强移动宽带业务为主，并逐步拓展到各垂直行业。3GPP已经完成eMBB场景相关安全标准制定工作，uRLLC及mMTC场景标准正在制定中。

增强移动宽带（eMBB）场景：主要应用包括4K/8K超高清移动视频、沉浸式的AR（增强现实）/VR（虚拟现实）业务。主要风险是：增强移动宽带场景下的超大流量对于现有网络安全防护手段形成挑战。由于5G数据速率较4G增长10倍以上，网络边缘数据流量将大幅提升，现有网络中部署的防火墙、入侵检测系统等安全设备在流量检测、链路覆盖、数据存储等方面将难以满足超大流量下的安全防护需求，面临较大挑战。

第8章网络层移动通信系统安全

1.第五代移动通信系统的应用场景

超高可靠低时延（uRLLC）场景：典型应用包括工业互联网、车联网自动驾驶等。uRLLC能够提供高可靠、低时延的服务质量保障，其主要安全风险是：低时延需求造成复杂安全机制部署受限。安全机制的部署，例如接入认证、数据传输安全保护、终端移动过程中切换、数据加解密等均会增加时延，过于复杂的安全机制不能满足低时延业务的要求。第8章网络层移动通信系统安全

1.第五代移动通信系统的应用场景

海量机器类通信（mMTC）场景：应用覆盖领域广，接入设备多、应用地域和设备供应商标准分散、业务种类多。主要安全风险是：泛在连接场景下的海量多样化终端易被攻击利用，对网络运行安全造成威胁。5G时代将有海量物联网终端接入，预计到2025年全球物联网设备联网数量将达到252亿（GSMA研究报告，《物联网：下一波连接和服务》）。其中大量功耗低、计算和存储资源有限的终端难以部署复杂的安全策略，一旦被攻击容易形成僵尸网络，将会成为攻击源，进而引发对用户应用和后台系统等的网络攻击，带来网络中断、系统瘫痪等安全风险（欧盟网络信息安全合作组（NISCG），《欧盟5G网络安全风险评估报告》，2019.10）。第8章网络层移动通信系统安全

2.5G的关键性能指标

为满足5G多样化的应用场景需求，5G的关键性能指标更加多元化。ITU定义了5G八大关键性能指标，其中高速率、低时延、大连接成为5G最突出的特征，用户体验速率达1Gbps，时延低至1ms，用户连接能力达100万连接/平方公里。

5G移动网络与早期的2G、3G和4G移动网络一样，5G网络也是数字蜂窝网络，在这种网络中，供应商覆盖的服务区域被划分为许多被称为蜂窝的小地理区域。表示声音和图像的模拟信号在手机中被数字化，由模数转换器转换并作为比特流传输。蜂窝中的所有5G无线设备通过无线电波与蜂窝中的本地天线阵和低功率自动收发器（发射机和接收机）进行通信。收发器从公共频率池分配频道，这些频道在地理上分离的蜂窝中可以重复使用。本地天线通过高带宽光纤或无线回程连接与电话网络和互联网连接。与现有的手机一样，当用户从一个蜂窝穿越到另一个蜂窝时，他们的移动设备将自动“切换”到新蜂窝中的天线。第8章网络层移动通信系统安全

2.5G的关键性能指标

5G移动通信技术的主要优势在于，数据传输速率远远高于以前的蜂窝网络，最高可达10Gbit/s，比当前的有线互联网要快，比先前的4GLTE蜂窝网络快100倍。另一个优点是较低的网络延迟（更快的响应时间），低于1毫秒，而4G为30-70毫秒。由于数据传输更快，5G网络将不仅仅为手机提供服务，而且还将成为家庭和办公网络服务商，与有线网络服务商竞争。第8章网络层移动通信系统安全

2.5G的关键性能指标

5G移动通信技术的关键性能指标如图8-6所示，就像一朵美丽的八瓣向日葵花。5G移动通信技术的关键性能指标共有八项，分别是用户体验速率、峰值速率、移动性、端到端延时、连接密度、能量损耗、频谱效率和流量密度等。图8-65G移动通信技术的关键性能指标第8章网络层移动通信系统安全

2.5G的关键性能指标

5G的应用场景要求具备远高于4G的性能，具体地说，5G的关键性能指标应达到以下具体数据。

①支持100M～1Gbps的用户体验速率。

②10G～20Gbps的峰值速率。

③每小时500km以上的移动性。

④低于1毫秒的端到端延时。

⑤每平方公里一百万的连接密度。

⑥相比4G，5G的能源效率提升100倍。

⑦3倍于IMT-Adavanced的频谱效率。

⑧每平方公里10Tbps的流量密度。第8章网络层移动通信系统安全

3.第五代移动通信系统的关键技术

5G作为一种新型移动通信网络，不仅要解决人与人通信，为用户提供增强现实、虚拟现实、超高清(3D)视频等更加身临其境的极致业务体验，更要解决人与物、物与物通信问题，满足移动医疗、车联网、智能家居、工业控制、环境监测等物联网应用需求。最终，5G将渗透到经济社会的各行业各领域，成为支撑经济社会数字化、网络化、智能化转型的关键新型基础设施。

5G通信技术标准重点满足灵活多样的物联网需要。在OFDMA和MIMO基础技术上，5G为支持三大应用场景，采用了灵活的全新系统设计。在频段方面，与4G支持中低频不同，考虑到中低频资源有限，5G同时支持中低频和高频频段，其中中低频满足覆盖和容量需求，高频满足在热点区域提升容量的需求，5G针对中低频和高频设计了统一的技术方案，并支持百MHz的基础带宽。为了支持高速率传输和更优覆盖，5G采用LDPC、Polar新型信道编码方案、性能更强的大规模天线技术等。为了支持低时延、高可靠，5G采用短帧、快速反馈、多层/多站数据重传等技术。第8章网络层移动通信系统安全

3.第五代移动通信系统的关键技术

5G采用全新的服务化架构，支持灵活部署和差异化业务场景。5G采用全服务化设计，模块化网络功能，支持按需调用，实现功能重构；采用服务化描述，易于实现能力开放，有利于引入IT开发实力，发挥网络潜力。5G支持灵活部署，基于NFV/SDN，实现硬件和软件解耦，实现控制和转发分离；采用通用数据中心的云化组网，网络功能部署灵活，资源调度高效；支持边缘计算，云计算平台下沉到网络边缘，支持基于应用的网关灵活选择和边缘分流。通过网络切片满足5G差异化需求，网络切片是指从一个网络中选取特定的特性和功能，定制出的一个逻辑上独立的网络，它使得运营商可以部署功能、特性服务各不相同的多个逻辑网络，分别为各自的目标用户服务，定义了3种网络切片类型，即增强移动宽带、低时延高可靠、大连接物联网。第8章网络层移动通信系统安全

4.第五代移动通信系统的安全问题

①虚拟网络技术的脆弱性

对于5G网络技术而言，其与4G网络技术相比较虽然表现出更明显的便利性特点，然而仍旧存在虚拟网络固有的脆弱性特点，在实际应用过程中，相比于实体通信手段，更加容易被攻击及窃取，严重者会导致其终端手段破坏。在通讯网络实际运行及应用中，恶意攻击往往都会伪装成为合法用户，在获得网络通信服务信任的情况下，便实行攻击，而网络中所出现的这种恶意破坏往往很难将其根除，也很难将其及时消除。另外，对于移动网络的应用而言，以需要以智能设备为支持，然而网络技术及智能设备在实际应用中都会受到一定的恶意攻击，因而5G网络在实际应用过程中的安全性仍旧会受到影响。第8章网络层移动通信系统安全

4.第五代移动通信系统的安全问题

②5G网络使计算存储技术及设备面临更严峻考验

在5G网络的实际应用过程中，对于数据接入信道也有着越来越高的要求，需要其具有更高的传输速度，然而，实际应用中的大多数设备均无法使这一要求得到满足，这对于5G网络的应用必然会产生一定不利影响。另外，在5G网络技术的实际应用过程中，在对于终端的管理方面，对于管理机制也有着新要求。由于这些因素的存在，导致5G网络技术在实际应用过程中很难构建比较有效的传输管理体系，而信息过载情况的出现，也会导致设备在实际运行及应用过程中有故障产生，致使5G网络的应用受到不利影响。第8章网络层移动通信系统安全

4.第五代移动通信系统的安全问题

③网络商务安全方面的问题

在5G网络技术不断完善及发展，在今后电子商务及有关增值业务方面，5G网络技术也必然会有着越来越广泛的应用，而在这类业务的实际开展过程中，在设备安全性以及信息安全性方面也有着更高的要求及标准。就用户所使用的智能系统而言，表现出十分明显的流动性特点，在实际流通过程中也必然会涉及不同运营商、服务提供商，也会涉及信息交流方，这些不同环节之间产生的交流，在安全性方面有着更高的要求，5G网络在今后的实际应用中也必然会面临着安全性的考验。第8章网络层移动通信系统安全

5.5G的安全新特性

5G需要多元化的身份管理机制和可扩展的身份管理框架，来应对垂直行业和海量物联网终端带来的的安全管理需求。

①为行业用户提供分层身份管理机制

未来运营商可以对行业用户的大量物联网终端采用分层的身份管理方式，即运营商管理行业用户身份，而行业用户管理终端用户身份，行业用户与运营商协作共担用户管理责任。这样，对于同一个行业用户的海量终端，网络的认证和授权都可以关联到同一个行业用户，从而方便的进行计费管理。行业用户可以在运营商许可的范围内，灵活的增加、减少终端，满足自身行业拓展的需要。第8章网络层移动通信系统安全

5.5G的安全新特性

②为个人用户提供以用户为单位的身份管理机制

未来个人用户可能同时拥有多个物联网设备，允许用户对自身的多个设备（如可穿戴设备）在一定范围内进行灵活的管理，包括设备的入网和服务属性等，如允许流量以在线和离线的方式在用户的不同设备之间共享。同一个用户的不同设备所使用的身份应该是相互关联的，他们的认证和授权也可以通过这个用户的身份标识进行关联，统一管理。第8章网络层移动通信系统安全

5.5G的安全新特性

③基于(U)SIM的可扩展身份管理框架

面向传统eMBB设备，基于对称钥的身份管理机制将得以延续，在5G中，eMBB业务的主要服务对象仍然是移动宽带用户，4G中采用的基于对称钥的身份管理方式可以满足这种业务需求。对称钥身份也可以帮助运营商管理设备，以及进行其他类型的身份信任状的发放。因此，即使5G需要多元化的身份信任状和身份管理，基于(U)SIM卡以及对称钥的身份管理方式在5G时代将得以延续并将发挥重要作用。第8章网络层移动通信系统安全

5.5G的安全新特性

④支持基于非对称钥的身份管理机制

面向海量物联网设备，需要支持基于非对称钥的身份管理机制。物联网是5G网络最重要的场景，包括mMTC和uRLLC。基于对称密钥的身份管理方式，存在认证链条长，身份管理成本高等问题，不利于运营商网络与垂直行业的融合，也不利于对海量物联网设备时有效支持。因此，面对5G物联网海量设备，我们需要引入基于非对称钥的身份管理机制，让运营商能够灵活高效的管理行业用户的物联网终端和可穿戴设备，缩短认证链条，提高海量设备网络接入认证效率。

对称钥和非对称钥的身份管理功能在网络侧可能会根据不同的业务切片进行部署，但运营商需要建立统一的身份管理体系。第8章网络层移动通信系统安全

8.7.35G产业生态安全分析

5G产业生态主要包括网络运营商、设备供应商、行业应用服务提供商等，其安全基础技术及产业支撑能力的持续创新性和全球协同性，对5G安全构成重要影响。

第8章网络层移动通信系统安全

8.7.35G产业生态安全分析

1.网络部署运营安全分析

5G网络的安全管理贯穿于部署运营的整个生命周期，网络运营商应采取措施管理安全风险，保障这些网络提供服务的连续性：一是在5G安全设计方面，由于5G网络的开放性和复杂性，对权限管理、安全域划分隔离、内部风险评估控制、应急处置等方面提出更高要求。二是在5G网络部署方面，网元分布式部署可能面临系统配置不合理、物理环境防护不足等问题；三是在5G运行维护方面，5G具有运维粒度细和运营角色多的特点，细粒度的运维要求和运维角色的多样化意味着运维配置错误的风险提升，错误的安全配置可能导致5G网络遭受不必要的安全攻击。此外，5G运营维护要求高，对从业人员操作规范性、业务素养等带来挑战，也会影响5G网络的安全性。第8章网络层移动通信系统安全

8.7.35G产业生态安全分析

2.垂直行业应用安全分析

5G与垂直行业深度融合，行业应用服务提供商与网络运营商、设备供应商一起，成为5G产业生态安全的重要组成部分。一是5G网络安全、应用安全、终端安全问题相互交织，互相影响，行业应用服务提供商由于直接面对用户提供服务，在确保应用安全和终端安全方面承担主体责任，需要与网络运营商明确安全责任边界，强化协同配合，从整体上解决安全问题。二是不同垂直行业应用存在较大差别，安全诉求存在差异，安全能力水平不一，难以采用单一化、通用化的安全解决方案来确保各垂直行业安全应用。第8章网络层移动通信系统安全

8.7.35G产业生态安全分析

3.产业链供应安全分析

5G技术门槛高、产业链长，应用领域广泛，产业链涵盖系统设备、芯片、终端、应用软件、操作系统等，其安全基础技术及产业支撑能力的持续创新性和全球协同性，对5G及其应用构成重大影响。如果不能在基础性、通用性和前瞻性安全技术方面加强创新，产业链各环节同步更新完善5G网络安全产品和解决方案，不断提供更为安全可靠的5G技术产品，将增加网络基础设施的脆弱性，影响5G安全体系的完善。

根据5G网络生态中不同的角色划分，5G网络生态的安全应充分考虑各主体不同层次的安全责任和要求，既需要从网络运营商、设备供应商的角度考虑安全措施与保障，也需要垂直行业如能源、金融、医疗、交通、工业等行业应用服务提供商采取恰当的安全措施。第8章网络层移动通信系统安全

本章完

第9章网络层网络攻击与防范第9章网络层网络攻击与防范

9.1网络层网络攻击与防范概述国际互联网或下一代网络（IPv6）是物联网网络层的核心载体。在物联网中，原来在国际互联网遇到的各种攻击问题依然存在，甚至更普遍，因此物联网需要有更完善的安全防护机制。不同的物联网终端设备的处理能力和网络能力差异较大，抵御网络攻击的防护能力也在很大的差别，传统的国际互联网安全方案难以满足需求，并且也很难通过通用的安全方案解决所有安全问题，必须针对物联网的具体需求制定不同的安全方案。物联网面临着原来的TCP/IP网络的所有安全问题，然而物联网又有其本身独有的特点。物联网安全问题的主要特点是海量，即存在海量的节点和海量的数据，因此对核心网的安全提出了更高的要求。第9章网络层网络攻击与防范

9.1网络层网络攻击与防范概述物联网所面临的常见的安全问题主要包括以下几个方面：1.DDoS攻击由于物联网需要接收海量的、采用集群方式连接的物联网终端节点的信息，很容易导致网络拥塞，因此物联网极易受到分布式拒绝服务攻击（DistributedDenialofService，DDoS），这也是物联网网络层遇到的最常见的攻击方式。因此，物联网必须解决的安全问题之一是如何对物联网脆弱节点受到的DDoS攻击进行防护。2.异构网络跨网认证由于在物联网网络层存在不同架构的网络需要互相连通的问题，因此物联网也面临异构网络跨网认证等安全问题。在异构网络传输中，需要解决密钥和认证机制的一致性和兼容性等问题，而且还需要具有抵御DoS攻击、中间人攻击、异步攻击、合谋攻击等恶意攻击的能力。第9章网络层网络攻击与防范

9.1网络层网络攻击与防范概述3.虚拟节点、虚拟路由信息攻击由于物联网中的某些节点可以自由漫游，与邻近节点通信的关系在不断改变，节点的加入和脱离也许比较频繁，这样就很难为节点建立信任关系，从而导致物联网无基础结构，且拓扑结构不断改变。因此入侵者可以通过虚拟节点、插入虚拟路由信息等方式对物联网发起攻击。物联网安全防护系统可以为物联网终端设备提供本地和网络应用的身份认证、网络过滤、访问控制、授权管理等安全服务。物联网的安全技术主要涉及网络加密技术、防火墙技术、隧道技术、网络虚拟化技术、黑客攻击与防范、网络病毒防护、入侵检测技术、网络安全扫描技术等。第9章网络层网络攻击与防范

9.2网络层防火墙技术9.2.1防火墙技术简介所谓防火墙（FireWall）指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的边界上构造的保护屏障。防火墙是一种保护计算机网络安全的技术性措施，它通过在网络边界上建立相应的网络通信监控系统来隔离内部和外部网络，以阻挡来自外部的网络入侵。防火墙技术，最初是针对互联网的不安全因素所采取的一种防御保护措施。顾名思义，防火墙就是用来阻挡网络外部不安全因素影响的网络屏障，其目的就是防止外部网络用户未经授权的访问。它是一种计算机软件和硬件相互融合的技术，可使Internet与Internet之间建立起一个安全网关（SecurityGateway），从而保护内部网络免受非法用户的侵入。第9章网络层网络攻击与防范

9.2网络层防火墙技术9.2.1防火墙技术简介防火墙主要由服务访问政策、验证工具、包过滤和应用网关等4部分组成。防火墙是一个位于计算机和它所连接的网络之间的软件或硬件，流入或流出该计算机的所有网络通信数据都要经过防火墙的过滤。使用防火墙的好处有：保护脆弱的服务，控制对系统的访问，集中地进行安全管理，增强保密性，记录和统计网络利用数据以及非法使用数据情况。防火墙的设计通常有两种基本设计策略：第一，允许任何服务除非被明确禁止；第二，禁止任何服务除非被明确允许。一般采用第二种策略。第9章网络层网络攻击与防范

9.2.2防火墙的工作原理目前，防火墙技术已经发展成为一种成熟的保护计算机网络安全的技术。它是一种隔离控制技术，在某个机构的网络和不安全的网络（如Internet）之间设置屏障，阻止对信息资源的非法访问，也可以使用防火墙阻止重要信息从企业的网络上被非法输出。作为Internet网的安全性保护软件，防火墙已经得到广泛的应用。通常企业为了维护内部的信息系统安全，在企业网和Internet间设立防火墙软件。企业信息系统对于来自Internet的访问，采取有选择的接收方式。它可以允许或禁止一类具体的IP地址访问，也可以接收或拒绝TCP/IP上的某一类具体的应用。如果在某一台IP主机上有需要禁止的信息或危险的用户，则可以通过设置使用防火墙过滤掉从该主机发出的数据包。如果一个企业只是使用Internet的电子邮件和WWW服务器向外部提供信息，那么就可以在防火墙上设置使得只有这两类应用的数据包可以通过。这对于路由器来说，就要不仅分析IP层的信息，而且还要进一步了解TCP传输层甚至应用层的信息以进行取舍。防火墙一般安装在路由器上以保护一个子网，也可以安装在一台主机上，保护这台主机不受侵犯。第9章网络层网络攻击与防范

9.2.3防火墙的分类从应用角度来分类，防火墙可以分为两大类，即网络防火墙和计算机防火墙。网络防火墙的系统结构如图9-1所示。图9-1网络防火墙的的系统结构第9章网络层网络攻击与防范

9.2.3防火墙的分类网络防火墙是指在外部网络和企业内部网络之间设置网络防火墙。这种防火墙又称筛选路由器。网络防火墙检测进入信息的协议、目的地址、端口（网络层）及被传输的信息形式（应用层）等，过滤并清除不符合规定的外来信息。网络防火墙也对用户内部网络向外部网络发出的信息进行检测。第9章网络层网络攻击与防范

9.2.3防火墙的分类计算机防火墙的系统结构如图9-2所示。计算机防火墙是指在外部网络和用户计算机之间设置防火墙。计算机防火墙也可以是用户计算机的一部分。计算机防火墙检测接口规程、传输协议、目的地址及/或被传输的信息结构等，将不符合规定的进入信息剔除。计算机防火墙对用户计算机输出的信息进行检查，并加上相应协议层的标志，用以将信息传送到接收用户计算机（或网络）中去。图9-2计算机防火墙的系统结构第9章网络层网络攻击与防范

9.2.3防火墙的分类从工作原理来分类，防火墙可以分为四大类：网络级防火墙（也称为包过滤型防火墙）、应用级网关、电路级网关和规则检查防火墙。它们之间各有所长，具体使用哪一种或是否混合使用，则要由企业的实际需求来确定。1.网络级防火墙网络级防火墙一般是基于源地址和目的地址、应用、协议以及每个IP包的端口来作出通过与否的判断。一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。第9章网络层网络攻击与防范

9.2.3防火墙的分类2.应用级网关应用级网关能够检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。应用级网关能够理解应用层上的协议，能够做复杂一些的访问控制，并做精细的注册和稽核。它针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告。应用网关对某些易于登录和控制所有输出输入的通信的环境给予严格的控制，以防有价值的程序和数据被窃取。在实际工作中，应用网关一般由专用工作站系统来完成。但每一种协议需要相应的代理软件，使用时工作量大，效率不如网络级防火墙。应用级网关有较好的访问控制，是目前最安全的防火墙技术，但实现困难，而且有的应用级网关缺乏“透明度”。在实际使用中，用户在受信任的网络上通过防火墙访问Internet时，经常会发现存在延迟并且必须进行多次登录（Login）才能访问Internet或Intranet。第9章网络层网络攻击与防范

9.2.3防火墙的分类3.电路级网关电路级网关用来监控受信任的客户或服务器与不受信任的主机间的TCP握手信息,这样来决定该会话（Session）是否合法,电路级网关是在OSI模型中会话层上来过滤数据包,这样比包过滤防火墙要高二层。电路级网关还提供一个重要的安全功能：代理服务器（ProxyServer）。代理服务器是设置在Internet防火墙网关的专用应用级代码。这种代理服务准许网管员允许或拒绝特定的应用程序或一个应用的特定功能。包过滤技术和应用网关是通过特定的逻辑判断来决定是否允许特定的数据包通过，一旦判断条件满足，防火墙内部网络的结构和运行状态便“暴露”在外来用户面前，这就引入了代理服务的概念，即防火墙内外计算机系统应用层的“链接”由两个终止于代理服务的“链接”来实现，这就成功地实现了防火墙内外计算机系统的隔离。同时，代理服务还可用于实施较强的数据流监控、过滤、记录和报告等功能。代理服务技术主要通过专用计算机硬件（如工作站）来承担。第9章网络层网络攻击与防范

9.2.3防火墙的分类4.规则检查防火墙规则检查防火墙综合了包过滤防火墙、电路级网关和应用级网关的优点。它同包过滤防火墙一样，规则检查防火墙能够在OSI网络层上通过IP地址和端口号，过滤进出的数据包。它也如同电路级网关一样，能够检查SYN和ACK标记和序列数字是否逻辑有序。当然，它也如同应用级网关一样，可以在OSI应用层上检查数据包的内容，查看这些内容是否能符合企业网络的安全规则。规则检查防火墙虽然集成前三者的特点，但是不同于一个应用级网关的是，它并不打破客户机/服务器模式来分析应用层的数据，它允许受信任的客户机和不受信任的主机建立直接连接。规则检查防火墙不依靠与应用层有关的代理，而是依靠某种算法来识别进出的应用层数据，这些算法通过已知合法数据包的模式来比较进出数据包，这样从理论上就能比应用级代理在过滤数据包上更有效。第9章网络层网络攻击与防范

9.2.4防火墙的功能防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。防火墙还可以关闭不使用的端口。而且它还能禁止特定端口的流出通信，封锁特洛伊木马。最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。1.网络安全的屏障一个防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。第9章网络层网络攻击与防范

9.2.4防火墙的功能2.强化网络安全策略通过以防火墙为中心的安全方案配置，能将所有安全软件（如密码、加密、身份认证、审计等）配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密密码系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。3.监控审计如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。第9章网络层网络攻击与防范

9.2.4防火墙的功能4.防止内部信息的外泄通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN（虚拟专用网）。第9章网络层网络攻击与防范

9.2.4防火墙的功能5.数据包过滤网络上的数据都是以包为单位进行传输的，每一个数据包中都会包含一些特定的信息，如数据的源地址、目标地址、源端口号和目标端口号等。防火墙通过读取数据包中的地址信息来判断这些包是否来自可信任的网络，并与预先设定的访问控制规则进行比较，进而确定是否需对数据包进行处理和操作。数据包过滤可以防止外部不合法用户对内部网络的访问，但由于不能检测数据包的具体内容，所以不能识别具有非法内容的数据包，无法实施对应用层协议的安全处理。6.网络IP地址转换网络IP地址转换是一种将私有IP地址转化为公网IP地址的技术，它被广泛应用于各种类型的网络和互联网的接人中。网络IP地址转换一方面可隐藏内部网络的真实IP地址，使内部网络免受黑客的直接攻击，另一方面由于内部网络使用了私有IP地址，从而有效解决了公网IP地址不足的问题。第9章网络层网络攻击与防范

9.2.4防火墙的功能7.虚拟专用网络虚拟专用网络将分布在不同地域