本刊記者 | 黃海峰

LTE領域首個行業(yè)安全標準誕生將護航運營商4G規(guī)模發(fā)展

本刊記者 | 黃海峰

相對2G、3G，LTE網絡面臨更嚴重的數據竊聽、假冒欺騙、數據篡改、DDoS等安全風險，不僅會危害到運營商基礎網絡設施，甚至將威脅用戶的信息安全。

當前，我國4G網絡得到規(guī)模發(fā)展，4G用戶數龐大且不斷增加。但與之相伴的是無線網絡安全形勢卻愈加嚴峻。近日，中國通信標準化協(xié)會秘書長楊澤民指出，4G相對于3G通信實現了移動互聯網與互聯網的融合，更多的安全威脅隨之出現，原有的網絡安全概念也已經被打破。

為應對該挑戰(zhàn)，近期由華為、北京交通大學、中國聯通聯合起草，并通過3年準備的《LTE無線網絡安全網關技術要求》正式發(fā)布。這極大地加強了業(yè)界對無線安全的重視程度，產業(yè)鏈各方也在行動。

首個行業(yè)標準發(fā)布實施

據了解，《LTE無線網絡安全網關技術要求》是國內首個LTE安全領域的行業(yè)標準，于2012年在中國通信標準化協(xié)會（CCSA）TC8工作組申請立項研究，由華為技術有限公司、北京交通大學、中國聯通聯合起草，經過3年的反復討論與修改，已于7月1日正式實施。

該標準旨在指導國產安全網關的產品規(guī)范化，是在深入理解國際標準組織3GPP的LTE安全相關標準基礎上，對LTE網絡主要網元安全網關所需的必備功能做出了詳細的說明和闡述，幫助運營商以及企業(yè)在建設LTE網絡時, 提供安全網關采購規(guī)范性以及使用正確性的依據。

同時申請立項的標準規(guī)范還包括《LTE無線網絡安全網關測試方法》，主要定位指導LTE安全網關的測試操作。該規(guī)范也已基本完成報批，不久將發(fā)布實施。

在“網絡相關安全法規(guī)日趨規(guī)范化的今天，這一標準的正式實施將在運營商及企業(yè)建設LTE網絡時，提供安全網關采購規(guī)范性及使用正確性的依據?！痹诮沼芍袊ㄐ艠藴驶瘏f(xié)會主辦、華為承辦的“LTE無線網絡安全研討會”上，工信部科技司標準處處長徐鵬指出。

中國移動和中國聯通已在行動

據悉，中國移動率先開始“LTE小基站+安全網關”的安全接入方案商用部署。由于小基站在部署時通常不會建設保障物理安全的專屬機房，很多情況下也很難通過專線接入到運營商傳輸與核心網絡，這便導致Nanocell小站極可能采用穿越公網的接入方式。

中國移動集團要求通過部署安全網關對小站進行鑒權認證，并且建立加密隧道避免傳輸中可能發(fā)生的安全風險。此外，中國移動集團在2015年上半年發(fā)布了Nanocell試驗網絡相關的企業(yè)規(guī)范，對小站以及安全網關設備的使用場景以及功能特性做出了明確說明。

另外，中國聯通與華為也聯合進行了LTE傳輸安全威脅研究。據悉，從2014年4月開始中國聯通網研院安全室與華為公司針對LTE無線傳輸網絡安全性建立聯合研究課題。

該課題旨在分析國內主流LTE部署場景下的傳輸網絡主要威脅風險，以及驗證相應防護手段的有效性與實用性。聯合課題組在深入理解LTE安全相關國際標準的基礎上，總結分析出各類攻擊發(fā)生的條件、方式以及危害，并且對部分特性的威脅分別在實驗室以及現網環(huán)境進行復現。

除了驗證網絡攻擊外，聯合課題組參考海外運營商LTE商用案例，在實驗環(huán)境中也進行了LTE安全網關部署與配置，進一步證明LTE安全網關能夠切實有效的防護信息泄露、身份假冒、偽造報文等破壞運營商網絡基礎設施以及影響正常業(yè)務的嚴重網絡攻擊。

華為可提供全面的LTE安全方案

由于LTE相對2G、3G的扁平化、全IP化兩大網絡架構改變，以及高帶寬、大數據量的特點，LTE網絡將面臨數據竊聽、假冒欺騙、數據篡改、DDoS等安全風險，不僅危害到運營商基礎網絡設施，甚至將威脅用戶的信息安全。特別是小站部署時的開放網絡接入，更是帶來了較大的安全隱患。

華為可提供領先的、全面的LTE安全方案，保障運營商4G網絡與業(yè)務的穩(wěn)定，助力國內移動寬帶發(fā)展。華為LTE安全方案亮點包括以下4四方面。

首先，大容量高可靠。華為LTE安全網關最大支持720Gbit/s IPSec（IPSec ：InternetProtocolSecurity，即Internet保護協(xié)議）吞吐性能，能夠同時覆蓋7200個宏基站或者72000個小基站，滿足各種場景下（如LTE、2G/3G/4G融合等）大規(guī)?；就瑫r建立IPSec加密隧道進行接入需求，加上安全網關分布式的硬件架構，線性增長的擴容能力，降低運營商部署的CAPEX；同時，華為LTE安全網關提供三級可靠性保障能力：設備組件全冗余、本地雙機熱備組網方案、異地容災方案，多種可靠性保障手段靈活選擇，保證業(yè)務不中斷。

其次，專業(yè)加密與防護能力。華為LTE安全網關除了支持基本的IPSec特性外，還能夠支持EAP-SIM認證、IPSec NAT穿越、IKEv2重定向、IPv6 IPSec等增強功能，保護LTE移動傳輸網絡的私密性與完整性；為了進一步提高認證的強度、配合數字證書系統(tǒng)（PKI系統(tǒng)）的使用與部署，LTE安全網關提供完善的相關協(xié)議支持，比如CMPv2、SCEP等特殊協(xié)議，并且華為還具有整套PKI系統(tǒng)產品，具備了完整的IPSec方案提供能力，滿足運營商對技術的發(fā)展要求；此外，安全網關支持GTP/SCTP無線網絡協(xié)議過濾以及DDoS防護能力，保護運營商核心網絡網元免遭來自接入側網絡的攻擊。

再次，真正E2E LTE方案（End To End，端到端的LTE方案）。華為公司具有豐富的產品線，自主研發(fā)各種通信與網絡設備，對于LTE無線網絡，華為能夠提供從基站到EPC核心網，乃至IMS網絡，同時包括網管與安全的整套端到端產品，真正做到E2E的方案。特別是在LTE傳輸安全方案中，要求eNodeB與安全網關建立加密隧道，華為是國內能夠同時提供基站產品與安全網關產品少有的廠商之一。提供整體方案將極大降低運營商的采購與維護成本，簡化對接過程，易于統(tǒng)一向NFV等主流技術趨勢演進，更易實現定制化需求。

最后，豐富部署經驗。從2010年德國Telefonica O2的首個商用局點開始，至今華為LTE安全網關已經成功服務于海外35家以上運營商LTE商用網絡，線上部署超過200臺安全網關，基站對接覆蓋了全球主流的無線廠商的基站產品，針對典型的組網與可靠性要求已經形成了成熟的部署方案。華為LTE安全網關無論從性能、擴容能力，還是在功能特性以及可靠性方面，經過反復的測試與商用驗證，已經得到了眾多海外運營商的高度認可。