LTE領域首個行業安全標準誕生將護航運營商4G規模發展

本刊記者 | 黃海峰

LTE領域首個行業安全標準誕生將護航運營商4G規模發展

本刊記者 | 黃海峰

相對2G、3G，LTE網絡面臨更嚴重的數據竊聽、假冒欺騙、數據篡改、DDoS等安全風險，不僅會危害到運營商基礎網絡設施，甚至將威脅用戶的信息安全。

當前，我國4G網絡得到規模發展，4G用戶數龐大且不斷增加。但與之相伴的是無線網絡安全形勢卻愈加嚴峻。近日，中國通信標準化協會秘書長楊澤民指出，4G相對于3G通信實現了移動互聯網與互聯網的融合，更多的安全威脅隨之出現，原有的網絡安全概念也已經被打破。

為應對該挑戰，近期由華為、北京交通大學、中國聯通聯合起草，并通過3年準備的《LTE無線網絡安全網關技術要求》正式發布。這極大地加強了業界對無線安全的重視程度，產業鏈各方也在行動。

首個行業標準發布實施

據了解，《LTE無線網絡安全網關技術要求》是國內首個LTE安全領域的行業標準，于2012年在中國通信標準化協會（CCSA）TC8工作組申請立項研究，由華為技術有限公司、北京交通大學、中國聯通聯合起草，經過3年的反復討論與修改，已于7月1日正式實施。

該標準旨在指導國產安全網關的產品規范化，是在深入理解國際標準組織3GPP的LTE安全相關標準基礎上，對LTE網絡主要網元安全網關所需的必備功能做出了詳細的說明和闡述，幫助運營商以及企業在建設LTE網絡時, 提供安全網關采購規范性以及使用正確性的依據。

同時申請立項的標準規范還包括《LTE無線網絡安全網關測試方法》，主要定位指導LTE安全網關的測試操作。該規范也已基本完成報批，不久將發布實施。

在“網絡相關安全法規日趨規范化的今天，這一標準的正式實施將在運營商及企業建設LTE網絡時，提供安全網關采購規范性及使用正確性的依據。”在近日由中國通信標準化協會主辦、華為承辦的“LTE無線網絡安全研討會”上，工信部科技司標準處處長徐鵬指出。

中國移動和中國聯通已在行動

據悉，中國移動率先開始“LTE小基站+安全網關”的安全接入方案商用部署。由于小基站在部署時通常不會建設保障物理安全的專屬機房，很多情況下也很難通過專線接入到運營商傳輸與核心網絡，這便導致Nanocell小站極可能采用穿越公網的接入方式。

中國移動集團要求通過部署安全網關對小站進行鑒權認證，并且建立加密隧道避免傳輸中可能發生的安全風險。此外，中國移動集團在2015年上半年發布了Nanocell試驗網絡相關的企業規范，對小站以及安全網關設備的使用場景以及功能特性做出了明確說明。

另外，中國聯通與華為也聯合進行了LTE傳輸安全威脅研究。據悉，從2014年4月開始中國聯通網研院安全室與華為公司針對LTE無線傳輸網絡安全性建立聯合研究課題。

該課題旨在分析國內主流LTE部署場景下的傳輸網絡主要威脅風險，以及驗證相應防護手段的有效性與實用性。聯合課題組在深入理解LTE安全相關國際標準的基礎上，總結分析出各類攻擊發生的條件、方式以及危害，并且對部分特性的威脅分別在實驗室以及現網環境進行復現。

除了驗證網絡攻擊外，聯合課題組參考海外運營商LTE商用案例，在實驗環境中也進行了LTE安全網關部署與配置，進一步證明LTE安全網關能夠切實有效的防護信息泄露、身份假冒、偽造報文等破壞運營商網絡基礎設施以及影響正常業務的嚴重網絡攻擊。

華為可提供全面的LTE安全方案

由于LTE相對2G、3G的扁平化、全IP化兩大網絡架構改變，以及高帶寬、大數據量的特點，LTE網絡將面臨數據竊聽、假冒欺騙、數據篡改、DDoS等安全風險，不僅危害到運營商基礎網絡設施，甚至將威脅用戶的信息安全。特別是小站部署時的開放網絡接入，更是帶來了較大的安全隱患。

華為可提供領先的、全面的LTE安全方案，保障運營商4G網絡與業務的穩定，助力國內移動寬帶發展。華為LTE安全方案亮點包括以下4四方面。

首先，大容量高可靠。華為LTE安全網關最大支持720Gbit/s IPSec（IPSec ：InternetProtocolSecurity，即Internet保護協議）吞吐性能，能夠同時覆蓋7200個宏基站或者72000個小基站，滿足各種場景下（如LTE、2G/3G/4G融合等）大規模基站同時建立IPSec加密隧道進行接入需求，加上安全網關分布式的硬件架構，線性增長的擴容能力，降低運營商部署的CAPEX；同時，華為LTE安全網關提供三級可靠性保障能力：設備組件全冗余、本地雙機熱備組網方案、異地容災方案，多種可靠性保障手段靈活選擇，保證業務不中斷。

其次，專業加密與防護能力。華為LTE安全網關除了支持基本的IPSec特性外，還能夠支持EAP-SIM認證、IPSec NAT穿越、IKEv2重定向、IPv6 IPSec等增強功能，保護LTE移動傳輸網絡的私密性與完整性；為了進一步提高認證的強度、配合數字證書系統（PKI系統）的使用與部署，LTE安全網關提供完善的相關協議支持，比如CMPv2、SCEP等特殊協議，并且華為還具有整套PKI系統產品，具備了完整的IPSec方案提供能力，滿足運營商對技術的發展要求；此外，安全網關支持GTP/SCTP無線網絡協議過濾以及DDoS防護能力，保護運營商核心網絡網元免遭來自接入側網絡的攻擊。

再次，真正E2E LTE方案（End To End，端到端的LTE方案）。華為公司具有豐富的產品線，自主研發各種通信與網絡設備，對于LTE無線網絡，華為能夠提供從基站到EPC核心網，乃至IMS網絡，同時包括網管與安全的整套端到端產品，真正做到E2E的方案。特別是在LTE傳輸安全方案中，要求eNodeB與安全網關建立加密隧道，華為是國內能夠同時提供基站產品與安全網關產品少有的廠商之一。提供整體方案將極大降低運營商的采購與維護成本，簡化對接過程，易于統一向NFV等主流技術趨勢演進，更易實現定制化需求。

最后，豐富部署經驗。從2010年德國Telefonica O2的首個商用局點開始，至今華為LTE安全網關已經成功服務于海外35家以上運營商LTE商用網絡，線上部署超過200臺安全網關，基站對接覆蓋了全球主流的無線廠商的基站產品，針對典型的組網與可靠性要求已經形成了成熟的部署方案。華為LTE安全網關無論從性能、擴容能力，還是在功能特性以及可靠性方面，經過反復的測試與商用驗證，已經得到了眾多海外運營商的高度認可。