Todo lo que vale la pena saber, nada que no lo sea.
Cómo funciona la seguridad de la señalización Diameter
Diameter es el protocolo de señalización AAA que reemplazó a SS7 MAP en el núcleo 4G. El MME y el HSS intercambian mensajes S6a/S6d para conectar a los suscriptores, autorizar el servicio y enrutar los SMS. Un agente Diameter Edge se ubica en la interconexión de roaming (el límite S6a/S9/S6d) y cada mensaje entrante se verifica con las reglas GSMA FS.19, la reputación del dominio de origen y la plausibilidad (¿proviene este Update-Location de un dominio en el que el suscriptor podría estar realmente en roaming?). Luego, se aprueba, se limita la velocidad o se descarta, registrándose cada decisión. Consulte /answers/diameter-s6a-explained y /answers/what-is-hss.
Las amenazas que detiene
Mensajes falsificados de solicitud de actualización de ubicación (ULR) que secuestran el enrutamiento de un suscriptor para interceptar llamadas y SMS; abuso de inserción de datos de suscriptor y cancelación de ubicación que altera un perfil o fuerza una denegación de servicio; y divulgación de ubicación a través de las interfaces de ubicación SLh/SLg. Estos son los equivalentes Diameter de las direcciones GSMA FS.11 de los ataques SS7 MAP. Consulte /answers/ss7-signaling-security y /answers/ss7-map-send-routing-info-for-sm.
GSMA FS.19 y el Agente de Borde de Diámetro
GSMA FS.19 (Diameter Interconnect Security) es el documento de referencia: define un modelo de categorías para los mensajes Diameter entre operadores e indica a los operadores cuáles bloquear, limitar o permitir según el dominio. El Diameter Edge Agent es el elemento de borde que lo aplica: el punto de estrangulamiento de filtrado que oculta la topología en el borde de la itinerancia LTE, el análogo exacto del STP más cortafuegos en el lado SS7. Véase /answers/gsma-fs07-fs11-signaling-firewall.
Seguridad de señalización Diameter frente a SS7
La seguridad SS7/MAP protege el plano de control 2G/3G; la seguridad Diameter protege el plano de control 4G/LTE. Dado que la mayoría de las redes utilizan un núcleo híbrido 2G/3G/4G y muchos terminales SMS aún recurren a SS7, un atacante bloqueado en un plano simplemente intenta acceder al otro. Por lo tanto, ambos cortafuegos deben funcionar como una sola política con reputación de suscriptor compartida. En redes 5G independientes, la función equivalente se transfiere al SEPP a través de HTTP/2. Consulte /answers/what-is-ss7 y /answers/what-is-sigtran.
Beneficios para el operador
Protección del suscriptor contra el rastreo y la interceptación, cumplimiento con la GSMA y las normativas, un registro de auditoría Diameter a prueba de manipulaciones y la capacidad de correlacionar Diameter con el tráfico SS7 y A2P para detectar fraudes que trascienden las plataformas. BroadNet combina el firewall de señalización Diameter y SS7 con el firewall de SMS y la inteligencia CDR para una visión unificada de las políticas en toda la red. Consulte /operators/ss7-firewall y /platforms/signaling-cdr.
Limitaciones y realidades operativas
Un firewall Diameter es tan bueno como sus reglas de categoría y la reputación de su dominio: un bloqueo excesivo perjudica a los socios de roaming legítimos, mientras que una configuración insuficiente permite ataques de fuga. No puede acceder al interior de la señalización cifrada basada en servicios de un núcleo 5G independiente, que requiere sus propios controles SEPP y TLS, y debe mantenerse sincronizado con el firewall SS7 para evitar vulnerabilidades en el núcleo híbrido. Consulte /answers/ss7-signaling-security.
¿Es Diameter más seguro que SS7?
Solo marginalmente, y no por diseño. Diameter admite IPsec/TLS y filtrado basado en dominios, características de las que carecía SS7, pero el roaming LTE inicial se lanzó sin ellas, por lo que las interconexiones Diameter reales heredaron la misma debilidad de confianza entre pares que SS7, razón por la cual existe GSMA FS.19. La respuesta práctica es que ninguno de los planos es seguro sin supervisión: ambos necesitan un cortafuegos de señalización. BroadNet protege ambos en más de 60 redes de operadores. Consulte /operators/ss7-firewall.