1.NGN安全的分层模型

2.NGN的安全要素(基于X.805)

• 可控性（访问控制）——只有授权的个人和设备才能访问网络资源（信息、服务、应用）
• 认证——证实通信实体的有效身份
• 不可否认性——通信参与各方行为的真实性
• 保密性——信息不能泄露给未授权用户
• 通信安全——信息只能在授权的端点间传送，不被非法截取
• 完整性——信息未经授权，不能改变
• 可用性——信息可被授权实体正常使用
• 私密性——用户身份等隐私信息的保密

3.NGN的安全威胁

• 信息或其他资源被毁——可用性攻击，系统资源遭到破坏而变得无法使用
• 信息被破坏或篡改——主动攻击，非法用户在获取某些资源信息的同时，修改资源信息
• 信息或其他资源被盗窃、移动或丢失——机密性攻击，未授权用户获取到系统资源的访问权
• 信息被暴露——机密性攻击
• 服务中断——可用性攻击，由于受DoS等攻击导致服务无法提供

4.NGN的安全需求

• 用户驻地设备与NGN接入网之间(UNI接口)
• NGN网络内部(NNI接口)
• NGN与其他网络(如Internet，PSTN/ISDN等)之间
• 第三方应用提供商与NGN之间(ANI接口)
  

NGN用户网络域：在用户网关与用户终端设备间提供数据机密性和认证安全保护，在用户设备与用户之间，用户应能够验证所使用的家庭设备的真实性。

用户网与IP-CAN之间（UNI）：在向用户网络域提供IP-CAN资源之前，必须进行访问控制、授权和认证

IP-CAN安全（UNI到NNI）：IP-CAN网络设施和接入信令控制系统的安全，在必要情况下，提供对数据流进行监视的能力，在接入网必须实现访问控制和认证机制。

核心网安全（NNI之间）：核心网的传输网络设施和信令控制系统（如SIP）的安全在核心网络实体之间提供通信安全。

在业务控制子系统与资源控制子系统之间应提供安全机制。

应用到核心网的接口：在IMS对应用请求的资源进行响应之前，需要进行访问控制、授权和认证

应用域的安全：应用域位于核心网之上，可以应用自己的安全策略

NGN用户网到应用的接口：即UNI与API之间的接口，应提供安全机制

开放业务平台与增值业务提供商之间的接口：增值业务访问开放业务平台之前要进行认证和授权，信令和数据的机密性和完整性，内容过滤和监视，允许业务提供商选择不同信用等级的安全保护。

5.NGN的安全模型

1）四层概念模型

应用层：主要关注用户对应用的访问。应用层的安全机制主要用于保护用户和网络

业务层：涉及服务提供者向用户提供的服务。包括域名服务、增值服务、QoS等。业务层的安全机制用于保护服务提供者及其用户

分组层：涉及在网络中传输的分组流。分组层的安全机制主要关注对IP分组的保护

链路层：负责在相连的网络设备间直接传输数据。链路层的安全主要关注对链路帧的保护

四层从上至下，安全粒度逐渐降低，效率逐渐提高。

2）安全关联模型

安全关联SA表示在两个网络实体间，基于认证、加密方法协商和密钥交换的基础上，进行安全传送。在NGN中，SA可以在属于不同网络和安全层次的实体间建立。

• 完整的业务层安全包括：特定应用的SA + TLS SA
• 传输层安全包括：链路SA + 分组SA (由IPSec提供)

不同平面的安全机制主要关注对相应网络行为的保护：

• 端用户平面的安全：关注用户对服务提供商网络的接入和使用的安全
• 控制平面的安全：关注通过网络有效地传送信息、服务和应用的安全
• 管理平面的安全：关注对网络元素的操作、管理、维护、配置功能，传输设备以及后台系统(OSS/BSS,客户关系管理系统等)的安全保护

6.NGN子系统的安全

1)IP-CAN

IP-CAN的安全机制与IMS的安全机制无关，应可以保证信令和数据的安全传输，IP-CAN安全必须提供机密性保护。两种IP-CAN资源需要 进行访问控制：网络和网络提供的服务。在访问网络时，用户/用户终端必须经过认证对网络服务的访问控制由业务控制功能实现，IP-CAN可以增强该功能。 访问控制和认证通常在接入网实现。

2）IMS核心网的安全

IMS网络域内的安全：保护IMS数据和信令，基于IPSec ESP

IMS网络与非IMS网络之间的安全：在它们之间的接口提供对数据和信令的保护，基于TLS协议

承载级服务的保护由SRTP (Secure Real-time Transport Protocol)提供。

• 接口1：提供相互认证，在分配IMS资源前需进行认证和授权
• 接口2：在UE和P-CSCF之间提供安全链路，确保对Gm参考点提供保护的SA可用，对数据源提供认证，确保数据源的可靠性
• 接口3：在HSS与S-CSCF或I-CSCF之间提供安全链路，确保对Cx接口提供保护的SA可用
• 接口4：在不同网络的SIP节点间提供安全措施
• 接口5：在同一网络的SIP节点间提供安全措施

7.相关安全技术

1）承载网的安全措施

数据加密：

对称密钥机制：加密双方在加密过程中使用完全相同的密码，有两种算法：分组密钥、流密钥，运行效率高，比较容易用硬件实现，问题：密钥如何安全分发？

非对称密钥（公开密钥）机制：解决了对称密钥中存在的密钥分发问题，在加密和解密时采用不同的密钥公钥和私钥。公钥可以公开，私钥由个人保存，可用于身份认证（数字签名）。

安全传送：IPSec、防火墙、VPN

重点介绍一下IPSec：

IPSec可以对协议的传输提供安全保护，IPSec解决的问题：在 IP 层提供安全性，可为IP层以上的任何协议和数据提供保护，涉及的功能：认证、保密和密钥管理。

IPSec工作模式：

在IPSec中，ESP/AH协议用于保护IP分组，有两种不同的保护形式：

• 保护IP分组的净荷（IP承载的高层协议）
• 保护整个IP分组本身

对IP分组的不同保护方式由IPSec的工作模式决定：

• 传输模式：用于保护IP的上层协议，IP包的净荷，保护IP的高层协议，安全操作（加密/认证）在通信终端（主机）上完成，提供端到端的安全保护。
  
• 隧道模式：用于保护整个 IP 分组，在不安全的传输通路上，保护整个IP分组。安全操作（加密/认证）在路由器上完成，通过构造新的IP分组来封装被保护的原始IP分组
  

2）业务网的安全措施

接入认证：在双方通信之前相互确认对方的身份，明确数据来源，防止非法用户盗用合法帐号获取信息。

访问控制：对网络中的关键部分建立严格的授权体制，对于通过认证的实体按照实现设定的权限使用资源，禁止对未授权部分的访问，对安全认证数据库也要设置高等级的安全措施。

附录：

IP-CAN(IP-Connectivity Access Network)IP连接访问网络

IP-CAN是通过IP实现UE与IMS实体之间的连通的网络实体和接口的集合，典型的例子就是GPRS。该术语通常使用于峰窝背景中表示3GPP接入网 络如GPRS或EDGE，但也可以用于描述WLAN或DSL网络。它在3GPP IMS（IP媒体子系统）中作为通用术语引入，表示任何基于IP的访问网络如IMS，并注重接入与服务网络的分离。