Ein Diameter Routing Agent (DRA) routet Diameter nach Realm innerhalb eines Netzes und bindet Sitzungen an die richtige PCRF/HSS; ein Diameter Edge Agent (DEA) sitzt an der IPX-Roaming-Grenze. Wie SS7 fehlt DIAMETER die Authentifizierung auf Nachrichtenebene, sodass der DEA GSMA-FS.19-Kontrollen durchsetzt — Topology Hiding, AVP-Filterung und Rate-Limiting — gegen Informationsoffenlegung, Standortverfolgung und Betrug.
Realm-basiertes Routing und der DRA
DIAMETER routet nach Realms, nicht nach festen Hosts. Ein Knoten, der einen Request weiterleitet, konsultiert das AVP Destination-Realm (und optional Destination-Host) und leitet die Nachricht zu dem Peer weiter, der diesen Realm bedient, unter Nutzung einer Realm-Routing-Tabelle. In einem großen Netz zentralisiert der Diameter Routing Agent (DRA, TS 29.213) dies: Er aggregiert das Mesh aus MMEs, PCEFs, HSSs und PCRFs, sodass jeder Knoten mit dem DRA statt mit allen peert, und — wichtig für die Policy — er bindet alle Diameter-Sitzungen eines Teilnehmers an dieselbe PCRF, sodass die Gx-, Rx- und Sd-Entscheidungen für diesen Nutzer konsistent bleiben. Der DRA ist der interne Verkehrsdirigent des Diameter-Core.
Der Diameter Edge Agent an der Roaming-Grenze
Roaming bedeutet, dass DIAMETER zwischen Betreibern überqueren muss, und es tut dies über die IPX statt über das öffentliche Internet. Der Diameter Edge Agent (DEA) ist das einzige kontrollierte Gateway, das ein Netz an dieser Grenze exponiert. Alles eingehende und ausgehende Roaming-Diameter — S6a für LTE-Roaming (GSMA IR.88), Cx/Sh-nahes IMS-Roaming (IR.65), S9 für Policy-Roaming — transitiert den DEA. Das Konzentrieren des Interconnects auf einen gehärteten Knoten macht Sicherheit durchsetzbar: Der Betreiber hat genau einen Ort, um Peers zu authentifizieren, seine interne Topologie zu verbergen und jedes AVP zu prüfen. Es ist das Diameter-Analogon zur SS7-Signalisierungs-Firewall an der SS7-Grenze.
| Agent | Wo | Rolle |
|---|---|---|
| DRA | Innerhalb des Betreiber-Kernnetzes | Realm-Routing + Bindung von Teilnehmersitzungen an eine PCRF/ein HSS |
| DEA | An der IPX-/Roaming-Grenze | Einzelnes, kontrolliertes Interconnect-Gateway; Durchsetzung der Sicherheit |
| Relay-Agent | Core | Routing auf Realm-Basis, ohne AVPs zu verändern |
| Proxy-Agent | Kern / Netzrand | Routet und kann AVPs ändern (Policy-Durchsetzung) |
Warum Diameter-Interconnect ausnutzbar ist
DIAMETER wurde, wie SS7, für einen vertrauenswürdigen Club von Betreibern entworfen und trägt auf der Anwendungsschicht keine kryptografische Authentifizierung des Nachrichtenursprungs — ein Peer vertraut einem Destination-Realm und einem Origin-Host, die er nicht verifizieren kann. Die IPX ist eingegrenzter, als es der offene SS7-Interconnect wurde, aber dieselbe strukturelle Schwäche gilt: Eine Partei mit Diameter-Reichweite in den Interconnect kann S6a- oder Cx-artige Requests senden, die ein Netz beantworten kann, als kämen sie von einem legitimen Roaming-Partner. Als LTE und VoLTE mehr Verkehr trugen, zeigten Forscher und die GSMA, wie das SS7-Angriffs-Playbook — Standortverfolgung, Offenlegung von Teilnehmerdaten, Betrug, Denial of Service — über DIAMETER wieder auftaucht.
Die FS.19-Bedrohungsklassen
GSMA FS.19 (Diameter Interconnect Security) ist das Diameter-Gegenstück zur SS7-Leitlinie FS.11. Sie kategorisiert die Risiken beim Interconnect-Diameter und definiert die Nachrichten und AVPs, die ein Edge Agent prüfen sollte. Die Kernbedrohungen spiegeln SS7 wider: Offenlegung von Teilnehmer- und Netzinformationen (Ernten von IMSIs, Identitäten bedienender Knoten und Subskriptionsdaten), Standortverfolgung (Ableiten des Standorts eines Teilnehmers aus Mobilitäts- und Routing-Nachrichten), Abhören und Betrug (Manipulation von Registrierung oder Charging) sowie Denial of Service (Deregistrieren oder De-Provisionieren von Teilnehmern). FS.19 paart jede mit empfohlener Filterung am DEA.
| Bedrohung | Beispiel über Diameter | DEA-Kontrolle |
|---|---|---|
| Offenlegung von Informationen | Unaufgeforderte S6a-Abfragen zum Abgreifen von IMSI / bedienender MME | Ursprungsverifizierung + Filterung nach Nachrichtentyp |
| Standortverfolgung | Mobilitäts-/Routing-Anfragen, die den Standort des Teilnehmers offenlegen | Kategorienfilterung + Plausibilitätsprüfungen |
| Abhören / Betrug | Gefälschte Standort- oder Charging-Updates | Sitzungsbindung, Zustandskonsistenzprüfungen |
| Dienstverweigerung | Gefälschtes Cancel-Location / Abmeldung | Validierung des Origin-Realm, Rate-Limiting |
| Topologie-Offenlegung | Origin-Host / Route-Record gibt interne FQDNs preis | Topology Hiding am DEA |
Kontrollen: Topology Hiding, AVP-Filterung, Rate-Limiting
Ein Diameter Edge Agent setzt FS.19 in Schichten durch, ähnlich wie eine SS7-Firewall FS.11 durchsetzt. Topology Hiding schreibt oder entfernt den Origin-Host, Route-Record und andere AVPs um, die sonst die internen FQDNs und Adressen der MMEs, HSSs und PCRFs hinter der Grenze preisgeben würden, und präsentiert nach außen nur die Edge-Identität. Die AVP-Filterung validiert, dass jede eingehende Nachricht nur die AVPs trägt, die ihr Command legitim benötigt, und dass Werte wie die Visited-PLMN-Id und der Origin-Realm mit dem sendenden Peer konsistent sind — und verwirft Nachrichten, deren behaupteter Ursprung nicht zur Roaming-Vereinbarung passt. Rate-Limiting und Velocity-Checks fangen Ernten und unplausible Mobilität ab, und alles wird zur Anomalieerkennung protokolliert.
on inbound Diameter message from IPX peer P (realm R):
if Origin-Realm(msg) != R: drop + alert # spoofed origin
if command not in ROAMING_ALLOWED(R): drop + alert # not per agreement
if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
if velocityImplausible(subscriber, Visited-PLMN-Id): drop + alert
strip/rewrite Origin-Host, Route-Record # topology hiding
rate-limit per peer; else: forward via DRA + logEine Firewall für SS7, SIGTRAN und DIAMETER
Netze betreiben selten nur DIAMETER — sie wirken mit 2G/3G über SS7/MAP zusammen und transportieren SS7 über IP mit SIGTRAN, sodass die Mobilität eines Teilnehmers auf der jeweils schwächsten Ebene angegriffen werden kann. FS.11 (SS7) und FS.19 (Diameter) sind bewusst aufeinander abgestimmt, sodass eine Signalisierungs-Sicherheitsfunktion konsistente Policy über beide anwenden kann: einen Standortverfolgungsversuch korrelieren, ob er als MAP AnyTimeInterrogation oder als Diameter-Mobilitätsabfrage eintrifft, und die Topologie an jedem Interconnect verbergen. SS7, SIGTRAN und DIAMETER als eine einzige Signalisierungs-Angriffsfläche zu behandeln — statt als drei separate Firewalls — ist die praktische Haltung für einen Betreiber, der Legacy- und LTE/VoLTE-Roaming nebeneinander trägt.
Häufig gestellte Fragen
Was ist ein Diameter Routing Agent (DRA)?
Ein DRA ist ein Knoten, der Diameter innerhalb des Core eines Betreibers nach dem Destination-Realm routet, sodass jede MME, PCEF, HSS und PCRF mit dem DRA statt mit allen peert. Er bindet außerdem alle Diameter-Sitzungen eines Teilnehmers an dieselbe PCRF/HSS und hält so Policy- und Subskriptionsentscheidungen über Gx, Rx und Sd konsistent.
Was ist ein Diameter Edge Agent (DEA)?
Ein DEA ist das einzige kontrollierte Diameter-Gateway, das ein Netz an der IPX-Roaming-Grenze exponiert. Aller eingehende und ausgehende Roaming-Diameter — S6a, IMS- und Policy-Schnittstellen — transitiert ihn, sodass der Betreiber einen Ort hat, um Peers zu authentifizieren, die interne Topologie zu verbergen und AVPs zu filtern. Es ist das Diameter-Äquivalent zur SS7-Signalisierungs-Firewall.
Ist DIAMETER sicherer als SS7?
Nicht grundsätzlich. DIAMETER roamt über die eingegrenztere IPX statt über den offenen SS7-Interconnect, aber es fehlt ihm weiterhin die Authentifizierung des Nachrichtenursprungs auf der Anwendungsschicht, sodass die SS7-Angriffsklassen — Standortverfolgung, Offenlegung von Teilnehmerdaten, Betrug, Denial of Service — über DIAMETER wieder auftauchen. GSMA FS.19 existiert genau deshalb, weil die Risiken übertragbar sind.
Was ist GSMA FS.19?
FS.19 ist die GSMA-Leitlinie zur Diameter Interconnect Security, das Diameter-Gegenstück zu FS.11 für SS7. Sie kategorisiert Interconnect-Bedrohungen — Informationsoffenlegung, Standortverfolgung, Abhören/Betrug, Denial of Service — und definiert die Nachrichten und AVPs, die ein Diameter Edge Agent prüfen sollte, zusammen mit Topology Hiding und Rate-Limiting.
Was ist Topology Hiding in DIAMETER?
Topology Hiding ist eine DEA-Kontrolle, die AVPs wie Origin-Host und Route-Record umschreibt oder entfernt, die sonst die internen FQDNs und Adressen der MMEs, HSSs und PCRFs hinter der Grenze preisgeben würden. Nach außen wird nur die Edge-Identität präsentiert, sodass ein Roaming-Partner das interne Netz nicht kartieren kann.
Wie funktioniert realm-basiertes Routing in DIAMETER?
Ein Diameter-Knoten liest das AVP Destination-Realm (und optional Destination-Host) und leitet den Request zu dem Peer weiter, der diesen Realm bedient, unter Nutzung einer Realm-Routing-Tabelle und optional DNS-basierter Peer-Discovery. Realm-Routing ermöglicht es, dass ein besuchtes Netz beim Roaming ein Heimat-HSS erreicht, ohne dessen Adresse vorzukonfigurieren.
Quellenspezifikationen
Diese Seite basiert auf den veröffentlichten Standards. (Wird in einem neuen Tab geöffnet.)