Alles Wissenswerte, nichts Unwissendes.
Wie die Signalisierungssicherheit von Diameter funktioniert
Diameter ist das AAA-Signalisierungsprotokoll, das SS7 MAP im 4G-Kernnetz abgelöst hat. MME und HSS tauschen S6a/S6d-Nachrichten aus, um Teilnehmer zu verbinden, Dienste zu autorisieren und SMS weiterzuleiten. Ein Diameter Edge Agent befindet sich am Roaming-Interconnect (der Grenze zwischen S6a, S9 und S6d). Jede eingehende Nachricht wird anhand der GSMA FS.19-Regeln, der Reputation des Ursprungsnetzwerks und der Plausibilität geprüft – stammt die Update-Location-Nachricht aus einem Netzwerk, in dem sich der Teilnehmer tatsächlich im Roaming befinden könnte? – und anschließend weitergeleitet, mit Ratenbegrenzung versehen oder verworfen. Jede Entscheidung wird protokolliert. Siehe /answers/diameter-s6a-explained und /answers/what-is-hss.
Die Bedrohungen, die es abwehrt
Gefälschte Update-Location-Request-Nachrichten (ULR), die das Routing eines Teilnehmers manipulieren, um Anrufe und SMS abzufangen; Missbrauch von Insert-Subscriber-Data und Cancel-Location, der ein Profil verändert oder einen Denial-of-Service-Angriff erzwingt; und die Offenlegung des Standorts über die SLh/SLg-Standortschnittstellen. Dies sind die Diameter-Äquivalente der SS7-MAP-Angriffe auf GSMA-FS.11-Adressen. Siehe /answers/ss7-signaling-security und /answers/ss7-map-send-routing-info-for-sm.
GSMA FS.19 und der Diameter Edge Agent
GSMA FS.19 (Diameter Interconnect Security) ist das Referenzdokument: Es definiert ein Kategorienmodell für Diameter-Nachrichten zwischen Netzbetreibern und legt fest, welche Nachrichten je nach Realm blockiert, deren Übertragungsrate begrenzt oder zugelassen werden sollen. Der Diameter Edge Agent ist das Grenzelement, das diese Vorgaben durchsetzt – der Topologie-verbergende Filterpunkt am LTE-Roaming-Rand, das genaue Analogon zur STP-plus-Firewall auf der SS7-Seite. Siehe /answers/gsma-fs07-fs11-signaling-firewall.
Diameter- vs. SS7-Signalsicherheit
SS7/MAP-Sicherheit schützt die Steuerungsebene von 2G/3G; Diameter-Sicherheit schützt die Steuerungsebene von 4G/LTE. Da die meisten Netze einen hybriden 2G/3G/4G-Kern betreiben und SMS für viele Endgeräte weiterhin auf SS7 zurückgreift, versucht ein Angreifer, der auf einer Ebene blockiert wird, einfach die andere. Daher müssen die beiden Firewalls mit einer gemeinsamen Richtlinie und gemeinsamer Teilnehmerreputation arbeiten. Im Standalone-5G-Netz übernimmt die SEPP über HTTP/2 diese Aufgabe. Siehe /answers/what-is-ss7 und /answers/what-is-sigtran.
Vorteile für den Betreiber
Schutz der Teilnehmer vor Tracking und Abhören, GSMA- und Regulierungskonformität, ein manipulationssicherer Diameter-Prüfpfad sowie die Möglichkeit, Diameter mit SS7- und A2P-Verkehr zu korrelieren, um Betrug über verschiedene Netzwerkebenen hinweg aufzudecken. BroadNet kombiniert die Diameter- und SS7-Signalisierungs-Firewall mit SMS-Firewall und CDR-Intelligenz für eine einheitliche Richtlinienansicht im gesamten Netzwerk. Siehe /operators/ss7-firewall und /platforms/signaling-cdr.
Einschränkungen und betriebliche Gegebenheiten
Eine Diameter-Firewall ist nur so gut wie ihre Kategorieregeln und ihre Reputation im Realm – zu strenge Blockierung beeinträchtigt legitime Roaming-Partner, zu geringe Einstellungen ermöglichen Angriffe. Sie kann die verschlüsselte dienstbasierte Signalisierung eines eigenständigen 5G-Kernnetzes nicht einsehen, da dieses eigene SEPP- und TLS-Kontrollen benötigt. Außerdem muss sie mit der SS7-Firewall synchronisiert werden, um Sicherheitslücken in Hybrid-Kernnetzen zu vermeiden. Siehe /answers/ss7-signaling-security.
Ist Diameter sicherer als SS7?
Nur geringfügig und nicht beabsichtigt. Diameter unterstützt IPsec/TLS und Realm-basiertes Screening, was SS7 fehlte. Frühe LTE-Roaming-Versionen wurden jedoch ohne diese Funktionen ausgeliefert, sodass Diameter-Verbindungen in der Praxis dieselbe Schwäche des „Trust-the-Peer“-Prinzips wie SS7 aufwiesen – weshalb GSMA FS.19 existiert. Praktisch bedeutet das: Beide Ebenen sind ohne Überwachung nicht sicher; beide benötigen eine Signalisierungs-Firewall. BroadNet sichert beide Ebenen in über 60 Betreibernetzen. Siehe /operators/ss7-firewall.