軟交換系統(tǒng)還是比較常用的，于是我研究了一下軟交換系統(tǒng)的安全攻擊與安全服務，在這里拿出來和大家分享一下，希望對大家有用。目前以軟交換系統(tǒng)為核心的下一代網(wǎng)絡（NGN）因其投資少、見效快、配置靈活正在受到運營商和產(chǎn)品提供商的青睞。

由于軟交換采用IP技術并建立在Internet網(wǎng)基礎上，為了系統(tǒng)自身的安全必須建立完備的安全機制。本文通過定義電信對網(wǎng)絡信息安全的需求，列舉目前流行的安全攻擊方式的基礎上，指出系統(tǒng)應提供的安全服務，并重點闡述安全機制的建立和涉及的相關技術。

一、引言

以軟交換為核心的下一代網(wǎng)絡（NGN）所具有的優(yōu)勢使得運營上在減少投資和加快建網(wǎng)進度的同時，能夠使服務提供商和廣大用戶受益。但是，目前雖然不少廠家推出軟交換系統(tǒng)的解決方案，各運營商也在積極進行建設，但由于該技術的提出和應用也就這十幾年的事情，在協(xié)議完善，業(yè)務開展上仍需要很長的時間來進行，尤其是NGN網(wǎng)絡以IP網(wǎng)絡作為承載話音的網(wǎng)絡時，如何解決現(xiàn)有的網(wǎng)絡安全就成為系統(tǒng)能否安全、穩(wěn)定運行的關鍵。

為了防止未經(jīng)授權的實體利用軟交換協(xié)議建立非法呼叫或干擾破壞合法呼叫，需要系統(tǒng)在軟交換系統(tǒng)的連接建立、維持和釋放上建立安全機制。由于IP網(wǎng)絡上的安全問題非常復雜，包括網(wǎng)絡核心設備安全、網(wǎng)絡接入設備安全、網(wǎng)絡自身安全、信息安全等方面，且涉及的技術很多，本文對以上各部分概述的同時，主要側(cè)重對軟交換系統(tǒng)中使用的IPSec協(xié)議作一個闡述。

二、安全需求

電信行業(yè)由于自身服務的需求，對網(wǎng)絡信息安全有著很高的需求。首先安全涉及很多方面，包括網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)應受到保護，不會遭到偶然的或者惡意的破壞、更改、泄露，系統(tǒng)能連續(xù)、可靠、正常地運行，網(wǎng)絡服務不中斷。網(wǎng)絡信息安全是一門涉及計算機科學、網(wǎng)絡技術、通信技術、密碼技術、信息安全技術、應用數(shù)學、數(shù)論、信息論等多種學科的邊緣性綜合學科。從廣義來說，凡是涉及到網(wǎng)絡上信息的可靠性、可用性、保密性、完整性、真實性和可控性的相關技術和理論都是電信對網(wǎng)絡信息安全的要求。

可靠性：是指網(wǎng)絡信息系統(tǒng)能在規(guī)定條件下和規(guī)定的時間內(nèi)完成規(guī)定的功能。
可用性：是指網(wǎng)絡信息可被授權實體訪問并按需求使用。
保密性：是指網(wǎng)絡信息不泄露給非授權用戶、實體或過程，或供其利用。
完整性：是指網(wǎng)絡信息未經(jīng)授權不能進行改變。
真實性：是指在網(wǎng)絡信息系統(tǒng)的信息交互過程中，確信參與者的真實統(tǒng)一性。
可控性：是指對網(wǎng)絡信息的傳播及內(nèi)容具有控制能力。

因此，網(wǎng)絡信息安全是一個涉及信息傳送、使用、傳播等多個方面的綜合概念。成功的網(wǎng)絡信息安全策略應當滿足以上各方面要求。

三、安全攻擊與安全服務

目前，針對IP網(wǎng)上的服務，主要會受到下列安全攻擊：中斷：系統(tǒng)資源遭到破壞或變得無法使用。這是一種可用性的攻擊。中斷涉及硬件和軟件部分。比如硬件破壞，通過使網(wǎng)絡核心或接入設備癱瘓、通信線路切斷來達到使服務終止的目的。軟件破壞可以采用Ping of Death等一系列的DOS（分布式拒絕服務攻擊）攻擊來耗盡系統(tǒng)和網(wǎng)絡資源從而使服務質(zhì)量下降，直至停止。

截取：未經(jīng)授權的用戶獲取到系統(tǒng)某些資源的訪問權。這是對機密性的攻擊。只要非法用戶通過技術手段獲取到通信建立的相關信息，就可以捕獲該通信鏈路上傳遞的信息，從而掌握一些機密信息。

修改：相對于"截取"的被動攻擊，非法用戶可以在獲取某些資源信息的同時，采取主動攻擊，修改資源信息，造成更大破壞。這種方式可以直接修改數(shù)據(jù)文件，也可以通過修改正在傳送的數(shù)據(jù)而達到破壞目的。

捏造：未經(jīng)授權的用戶向系統(tǒng)中插入偽造的對象。這也是一種主動攻擊方式。非法用戶可以通過獲取合法用戶的身份驗證信息欺騙系統(tǒng)，建立合法連接，從而對數(shù)據(jù)的真實性進行攻擊。針對以上各種安全攻擊，軟交換系統(tǒng)必須提供相應的安全服務，保證合法用戶的使用安全。主要手段如下：

（1）保密性。為了防止非法用戶在數(shù)據(jù)傳送和身份認證過程中獲取信息，必須對傳送的數(shù)據(jù)進行加密。通過將明文進行密碼加密，轉(zhuǎn)換成密文，從而使竊密者就是截取到數(shù)據(jù)也無法獲得信息。另外，如果對數(shù)據(jù)傳輸?shù)脑础⒛康牡刂贰⒍丝诘刃畔⑦M行屏蔽，使其無法“監(jiān)聽”，就可以有效防止非法用戶獲取數(shù)據(jù)，從而達到更好的保密效果。本文介紹的IPSec VPN解決的是數(shù)據(jù)傳遞時的保密問題。

（2）認證。認證就是在雙方通訊之前相互確認對方的身份,明確數(shù)據(jù)來源，防止非法用戶盜用合法賬號獲取信息。認證服務包括實體身份認證和數(shù)據(jù)源認證兩類。實體認證主要保證發(fā)起通信的實體是否擁有合法身份及其相應權限；數(shù)據(jù)源認證可以使得業(yè)務與具體的實體捆綁，加強安全防范。使用VPN技術可以確定通信雙方的合法性，同時可以保證第三方無方偽裝。

（3）完整性。在端與端通信中提供VPN技術可以有效杜絕非法用戶修改傳輸數(shù)據(jù)。同時，通過數(shù)字簽名、完整性檢測技術，主動發(fā)現(xiàn)數(shù)據(jù)是否遭到破壞。

（4）訪問控制。提供完備的訪問控制，對于網(wǎng)絡中的關鍵部分應建立嚴格的授權體制，對于通過認證的實體應按照實現(xiàn)設定的權限使用資源，禁止對未授權部分的訪問。訪問控制的信息一般保存在安全認證數(shù)據(jù)庫中，故對該庫也要設置高等級的安全措施。

四、安全機制

建立和使用安全機制才能真正防備攻擊，獲得安全服務。比如使用核心設備熱備、邊界隔離、VPN等措施使網(wǎng)絡具備一定的反入侵能力；采用IPSec保證通信協(xié)議的安全傳送；采用加密機制來提供保密服務，以及用數(shù)字簽名技術來提供完整性和認證服務等。

邊界隔離首先要求媒體網(wǎng)關、軟交換等網(wǎng)絡設備應具備一定的反入侵能力以增強系統(tǒng)的安全性；同時需要配備專用的隔離設備，如網(wǎng)關、防火墻，達到內(nèi)網(wǎng)與外網(wǎng)的隔離。H.248及SIP等協(xié)議真正的媒體連接信息是放在SDP（即IP包的負載）中傳遞的，針對以上協(xié)議的網(wǎng)絡隔離偏重兩種解決方案，一種是使用能夠解析相關應用協(xié)議（如SIP）的增強型NAT，即應用層網(wǎng)關（ALG）；另一種是在NAT的外側(cè)增加代理服務器。

數(shù)據(jù)加密方式應在網(wǎng)絡層和用戶層兩層實現(xiàn)。目前常用的加密機制有兩種：對稱密鑰機制和不對稱密鑰機制（公開密鑰）。對稱密鑰機制要求加解密雙方在加解密過程中要使用完全相同的密碼。對稱密鑰機制又分為兩個子類：分組密鑰算法和流密鑰算法。分組密鑰算法的基本操作單位是固定長度的明文比特流，而流密鑰算法的基本操作單位是每次只操作一個比特或字節(jié)。對稱密鑰的主要優(yōu)點是運行效率較高，比較容易硬件實現(xiàn)，但是由于通信雙方在通信前需要擁有相同的密鑰，故密鑰的安全分發(fā)成為必須解決的問題，尤其在大量用戶同時參予時更加大密鑰管理的難度。公開密鑰正式為解決對稱密鑰存在的密鑰分發(fā)問題而開發(fā)的，由于其在加密和解密時采用不同的密鑰公鑰和私鑰，公鑰可以公開，私鑰由個人保存。公開密鑰機制可以用于身份認證，即數(shù)字簽名。

軟交換系統(tǒng)與媒體網(wǎng)關、應用服務器、終端之間的傳輸協(xié)議涉及H.248協(xié)議、MGCP協(xié)議、SIP協(xié)議和H.323協(xié)議，盡管協(xié)議之間有若干區(qū)別，但總體上都是一套開放的協(xié)議體系。設備廠家都會有獨立的組件來承載包括IP終端登陸注冊、關守和信令接續(xù)。這些產(chǎn)品有的采用Windows操作系統(tǒng)，也有的是基于Linux或VxWorks。越是開放的操作系統(tǒng)，也就越容易受到惡意攻擊。尤其是某些設備需要提供基于Web的管理界面的時候，都會有機會采用Microsoft IIS或Apache來提供服務，而這些應用都是在產(chǎn)品出廠的時候已經(jīng)安裝在設備當中，無法保證是最新版本或是承諾已經(jīng)彌補了某些安全漏洞。未授權的實體就可以利用這些協(xié)議建立非法呼叫或者干涉合法呼叫，因此需要對這些協(xié)議的傳輸建立安全機制，IPSec協(xié)議體系可以對協(xié)議的傳輸進行安全保護。