كل ما يستحق المعرفة، ولا شيء مما لا يستحقها.
كيف يعمل أمن إشارات Diameter
بروتوكول Diameter هو بروتوكول إشارات AAA الذي حل محل SS7 MAP في شبكة الجيل الرابع الأساسية. يتبادل كل من MME وHSS رسائل S6a/S6d لربط المشتركين، وتفويض الخدمة، وتوجيه رسائل SMS. يتواجد وكيل Diameter Edge Agent عند نقطة الربط البيني للتجوال (حدود S6a/S9/S6d)، ويتم فحص كل رسالة واردة وفقًا لقواعد GSMA FS.19، وسمعة نطاق المصدر، ومدى معقوليتها - هل تأتي رسالة تحديث الموقع هذه من نطاق يمكن للمشترك التجوال فيه فعليًا؟ - ثم يتم تمريرها، أو تحديد معدل نقلها، أو إسقاطها، مع تسجيل كل قرار. راجع /answers/diameter-s6a-explained و/answers/what-is-hss.
التهديدات التي يوقفها
رسائل طلب تحديث الموقع (ULR) المزيفة التي تستغل توجيه المشترك لاعتراض المكالمات ورسائل SMS؛ إساءة استخدام رسالتي إدخال بيانات المشترك وإلغاء الموقع للتلاعب بملف تعريف المشترك أو فرض حرمان من الخدمة؛ والكشف عن الموقع عبر واجهات الموقع SLh/SLg. هذه هي المكافئات في بروتوكول Diameter لهجمات SS7 MAP المذكورة في معيار GSMA FS.11. راجع /answers/ss7-signaling-security و /answers/ss7-map-send-routing-info-for-sm.
GSMA FS.19 ووكيل حافة Diameter (DEA)
يُعدّ معيار GSMA FS.19 (أمان الربط البيني لبروتوكول Diameter) الوثيقة المرجعية، حيث يُعرّف نموذجًا تصنيفيًا لرسائل Diameter بين المشغّلين، ويُحدد للمشغّلين الرسائل التي يجب حظرها أو تحديد معدل نقلها أو السماح بها حسب النطاق. ويُمثّل وكيل حافة Diameter العنصر الحدودي الذي يُطبّق هذا المعيار، فهو نقطة اختناق لإخفاء بنية الشبكة وحجبها عند حافة تجوال LTE، وهو النظير الدقيق لجدار الحماية STP-plus على جانب SS7. راجع /answers/gsma-fs07-fs11-signaling-firewall.
أمن الإشارات عبر تقنية Diameter مقابل تقنية SS7
يحمي بروتوكول SS7/MAP طبقة التحكم في شبكات الجيل الثاني والثالث، بينما يحمي بروتوكول Diameter طبقة التحكم في شبكات الجيل الرابع LTE. ولأن معظم الشبكات تعمل بنظام أساسي هجين للجيل الثاني والثالث والرابع، ولأن الرسائل النصية القصيرة (SMS) لا تزال تعتمد على بروتوكول SS7 في العديد من الهواتف، فإن المهاجم الذي يُحظر على إحدى الطبقتين يحاول ببساطة اختراق الأخرى. لذا، يجب أن يعمل جدارا الحماية كسياسة واحدة مع سمعة مشتركة للمشترك. في شبكات الجيل الخامس المستقلة، تُمرر المهمة المكافئة إلى بروتوكول SEPP عبر HTTP/2. راجع /answers/what-is-ss7 و /answers/what-is-sigtran.
فوائد للمشغّل
حماية المشتركين من التتبع والاعتراض، والامتثال لمعايير GSMA والهيئات التنظيمية، وسجل تدقيق Diameter مقاوم للتلاعب، والقدرة على ربط بيانات Diameter ببيانات SS7 وA2P لكشف عمليات الاحتيال التي تمتد عبر مستويات الإشارة. يجمع BroadNet بين جدار حماية إشارات Diameter وSS7 مع جدار حماية SMS ومعلومات سجلات المكالمات (CDR) لعرض سياسات موحدة عبر الشبكة. راجع /operators/ss7-firewall و/platforms/signaling-cdr.
القيود والواقع العملي
لا تتجاوز فعالية جدار حماية Diameter جودة قواعد فئاته وسمعة نطاقه؛ فالحظر المفرط يُعطّل شركاء التجوال الشرعيين، بينما يُؤدي الضبط غير الكافي إلى هجمات تسريب البيانات. ولا يستطيع هذا الجدار اختراق إشارات الخدمة المشفرة في شبكة 5G الأساسية المستقلة، والتي تتطلب ضوابط SEPP وTLS خاصة بها، كما يجب أن يكون متوافقًا مع جدار حماية SS7 لمنع ظهور ثغرات في الشبكة الهجينة. راجع /answers/ss7-signaling-security.
هل بروتوكول Diameter أكثر أمانًا من بروتوكول SS7؟
بشكل طفيف فقط، وليس عن قصد. يدعم بروتوكول Diameter بروتوكول IPsec/TLS والفحص القائم على النطاق، وهما خاصيتان افتقر إليهما بروتوكول SS7، ولكن التجوال المبكر لشبكات LTE لم يكن يدعمهما، لذا ورثت وصلات Diameter العملية نفس نقطة ضعف الثقة المتبادلة الموجودة في SS7 - وهذا هو سبب وجود معيار GSMA FS.19. والحل العملي هو أن كلا البروتوكولين غير آمن دون مراقبة: فكلاهما يحتاج إلى جدار حماية للإشارات. توفر BroadNet الحماية لكلا البروتوكولين عبر أكثر من 60 شبكة مشغّل. راجع /operators/ss7-firewall.