Un Diameter Routing Agent (DRA) enruta DIAMETER por realm dentro de una red y liga las sesiones al PCRF/HSS correcto; un Diameter Edge Agent (DEA) se sitúa en la frontera de roaming IPX. Como SS7, DIAMETER carece de autenticación a nivel de mensaje, así que el DEA aplica los controles de GSMA FS.19 —ocultación de topología, filtrado de AVP y limitación de tasa— contra la divulgación de información, el rastreo de ubicación y el fraude.
Enrutamiento por realm y el DRA
DIAMETER enruta por realms, no por hosts fijos. Un nodo que reenvía una petición consulta el AVP Destination-Realm (y opcionalmente Destination-Host) y pasa el mensaje hacia el par que sirve ese realm, usando una tabla de enrutamiento por realm. En una red grande, el Diameter Routing Agent (DRA, TS 29.213) centraliza esto: agrega la malla de MME, PCEF, HSS y PCRF para que cada nodo empareje con el DRA en vez de con todos, y —importante para la política— liga todas las sesiones DIAMETER de un abonado al mismo PCRF, para que las decisiones Gx, Rx y Sd de ese usuario se mantengan coherentes. El DRA es el director de tráfico interno del núcleo DIAMETER.
El Diameter Edge Agent en la frontera de roaming
El roaming implica que DIAMETER debe cruzar entre operadores, y lo hace sobre el IPX en vez de sobre la internet pública. El Diameter Edge Agent (DEA) es la única pasarela controlada que una red expone en esa frontera. Todo el DIAMETER de roaming entrante y saliente —S6a para roaming LTE (GSMA IR.88), roaming IMS adyacente a Cx/Sh (IR.65), S9 para roaming de política— transita el DEA. Concentrar la interconexión en un único nodo endurecido es lo que hace aplicable la seguridad: el operador tiene exactamente un lugar donde autenticar pares, ocultar su topología interna y examinar cada AVP. Es el análogo DIAMETER del cortafuegos de señalización SS7 en la frontera SS7.
| Agente | Dónde | Rol |
|---|---|---|
| DRA | Dentro del núcleo de red del operador | Enrutamiento por realm + vincular sesiones de abonado a un único PCRF/HSS |
| DEA | En el límite de IPX/roaming | Pasarela de interconexión única y controlada; aplicación de la seguridad |
| Agente de retransmisión | Core | Enruta por realm sin alterar los AVP |
| Agente proxy | Núcleo / frontera | Enruta y puede modificar AVP (aplicación de políticas) |
Por qué la interconexión DIAMETER es explotable
DIAMETER, como SS7, se diseñó para un club de confianza de operadores, y no porta autenticación criptográfica del origen del mensaje en la capa de aplicación —un par confía en un Destination-Realm y un Origin-Host que no puede verificar. El IPX está más contenido de lo que llegó a estar la interconexión SS7 abierta, pero la misma debilidad estructural se aplica: una parte con alcance DIAMETER en la interconexión puede enviar peticiones al estilo S6a o Cx que una red puede responder como si vinieran de un socio de roaming legítimo. A medida que LTE y VoLTE llevaron más tráfico, investigadores y GSMA mostraron el manual de ataque de SS7 —rastreo de ubicación, divulgación de datos de abonado, fraude, denegación de servicio— reapareciendo sobre DIAMETER.
Las clases de amenaza de FS.19
GSMA FS.19 (Diameter Interconnect Security) es la contraparte DIAMETER de la guía FS.11 para SS7. Categoriza los riesgos del DIAMETER de interconexión y define los mensajes y AVP que un edge agent debería examinar. Las amenazas centrales reflejan las de SS7: divulgación de información de abonado y de red (recolectar IMSI, identidades de nodos sirvientes y datos de suscripción), rastreo de ubicación (derivar la ubicación de un abonado a partir de mensajes de movilidad y enrutamiento), interceptación y fraude (manipular el registro o la tarificación) y denegación de servicio (dar de baja o desaprovisionar abonados). FS.19 empareja cada una con el filtrado recomendado en el DEA.
| Amenaza | Ejemplo sobre Diameter | Control DEA |
|---|---|---|
| Divulgación de información | Consultas S6a no solicitadas que recolectan IMSI / MME de servicio | Verificación de origen + filtrado por tipo de mensaje |
| Seguimiento de ubicación | Solicitudes de movilidad/enrutamiento que revelan la ubicación del abonado | Filtrado por categorías + comprobaciones de plausibilidad |
| Intercepción / fraude | Actualizaciones de ubicación o de tarificación falsificadas | Vinculación de sesión, comprobaciones de consistencia de estado |
| Denegación de servicio | Cancel-Location / baja de registro falsificados | Validación de Origin-Realm, limitación de tasa |
| Exposición de la topología | Origin-Host / Route-Record filtrando FQDN internos | Ocultación de topología en el DEA |
Controles: ocultación de topología, filtrado de AVP, limitación de tasa
Un Diameter Edge Agent aplica FS.19 por capas, igual que un cortafuegos SS7 aplica FS.11. La ocultación de topología reescribe o elimina el Origin-Host, el Route-Record y otros AVP que de otro modo filtrarían los FQDN y direcciones internas de los MME, HSS y PCRF tras la frontera, presentando hacia fuera solo la identidad del borde. El filtrado de AVP valida que cada mensaje entrante porta solo los AVP que su comando necesita legítimamente, y que valores como el Visited-PLMN-Id y el Origin-Realm son coherentes con el par que los envió —descartando mensajes cuyo origen declarado no coincide con el acuerdo de roaming. La limitación de tasa y las comprobaciones de velocidad atrapan la recolección y la movilidad implausible, y todo se registra para la detección de anomalías.
on inbound Diameter message from IPX peer P (realm R):
if Origin-Realm(msg) != R: drop + alert # spoofed origin
if command not in ROAMING_ALLOWED(R): drop + alert # not per agreement
if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
if velocityImplausible(subscriber, Visited-PLMN-Id): drop + alert
strip/rewrite Origin-Host, Route-Record # topology hiding
rate-limit per peer; else: forward via DRA + logUn solo cortafuegos para SS7, SIGTRAN y DIAMETER
Las redes rara vez ejecutan solo DIAMETER —interoperan con 2G/3G sobre SS7/MAP y transportan SS7 sobre IP con SIGTRAN, así que la movilidad de un abonado puede atacarse en cualquier plano que sea más débil. FS.11 (SS7) y FS.19 (DIAMETER) están deliberadamente alineadas para que una función de seguridad de señalización pueda aplicar una política coherente en ambas: correlacionar un intento de rastreo de ubicación tanto si llega como un MAP AnyTimeInterrogation como una consulta de movilidad DIAMETER, y ocultar la topología en cada interconexión. Tratar SS7, SIGTRAN y DIAMETER como una única superficie de ataque de señalización —en vez de tres cortafuegos separados— es la postura práctica para un operador que lleva roaming heredado y LTE/VoLTE en paralelo.
Preguntas frecuentes
¿Qué es un Diameter Routing Agent (DRA)?
Un DRA es un nodo que enruta DIAMETER por el Destination-Realm dentro del núcleo de un operador, para que cada MME, PCEF, HSS y PCRF empareje con el DRA en vez de con todos. También liga todas las sesiones DIAMETER de un abonado al mismo PCRF/HSS, manteniendo coherentes las decisiones de política y suscripción en Gx, Rx y Sd.
¿Qué es un Diameter Edge Agent (DEA)?
Un DEA es la única pasarela DIAMETER controlada que una red expone en la frontera de roaming IPX. Todo el DIAMETER de roaming entrante y saliente —S6a, IMS e interfaces de política— lo transita, así que el operador tiene un solo lugar donde autenticar pares, ocultar la topología interna y filtrar AVP. Es el equivalente DIAMETER del cortafuegos de señalización SS7.
¿Es DIAMETER más seguro que SS7?
No fundamentalmente. DIAMETER hace roaming sobre el IPX más contenido en vez de sobre la interconexión SS7 abierta, pero aún carece de autenticación del origen del mensaje en la capa de aplicación, así que las clases de ataque de SS7 —rastreo de ubicación, divulgación de datos de abonado, fraude, denegación de servicio— reaparecen sobre DIAMETER. GSMA FS.19 existe precisamente porque los riesgos se trasladan.
¿Qué es GSMA FS.19?
FS.19 es la guía de seguridad de interconexión DIAMETER de GSMA, la contraparte DIAMETER de FS.11 para SS7. Categoriza las amenazas de interconexión —divulgación de información, rastreo de ubicación, interceptación/fraude, denegación de servicio— y define los mensajes y AVP que un Diameter Edge Agent debería examinar, junto con la ocultación de topología y la limitación de tasa.
¿Qué es la ocultación de topología en DIAMETER?
La ocultación de topología es un control del DEA que reescribe o elimina AVP como el Origin-Host y el Route-Record, que de otro modo filtrarían los FQDN y direcciones internas de los MME, HSS y PCRF tras la frontera. Solo se presenta hacia fuera la identidad del borde, para que un socio de roaming no pueda mapear la red interna.
¿Cómo funciona el enrutamiento por realm en DIAMETER?
Un nodo DIAMETER lee el AVP Destination-Realm (y opcionalmente Destination-Host) y reenvía la petición hacia el par que sirve ese realm, usando una tabla de enrutamiento por realm y, opcionalmente, descubrimiento de pares basado en DNS. El enrutamiento por realm es lo que permite a una red visitada alcanzar un HSS de origen durante el roaming sin preconfigurar su dirección.
Especificaciones de la fuente
Las normas publicadas en las que se basa esta página. Se abre en una pestaña nueva.