Tutto ciò che vale la pena sapere, niente di superfluo.
Come funziona la sicurezza della segnalazione Diameter
Diameter è il protocollo di segnalazione AAA che ha sostituito SS7 MAP sulla rete centrale 4G: l'MME e l'HSS si scambiano messaggi S6a/S6d per connettere gli abbonati, autorizzare il servizio e instradare gli SMS. Un Diameter Edge Agent si trova all'interconnessione di roaming (il confine S6a/S9/S6d) e ogni messaggio in entrata viene controllato rispetto alle regole GSMA FS.19, alla reputazione del realm di origine e alla plausibilità (questo Update-Location proviene da un realm in cui l'abbonato potrebbe effettivamente trovarsi in roaming?). Successivamente, il messaggio viene inoltrato, limitato in velocità o scartato, con ogni decisione registrata. Vedi /answers/diameter-s6a-explained e /answers/what-is-hss.
Le minacce che ferma
Messaggi Update-Location-Request (ULR) falsificati che dirottano il routing di un abbonato per intercettare chiamate e SMS; abusi di Insert-Subscriber-Data e Cancel-Location che manomettono un profilo o forzano un denial of service; e divulgazione della posizione tramite le interfacce di localizzazione SLh/SLg. Questi sono gli equivalenti Diameter degli attacchi SS7 MAP indirizzati a GSMA FS.11. Vedi /answers/ss7-signaling-security e /answers/ss7-map-send-routing-info-for-sm.
GSMA FS.19 e l'agente Diameter Edge
Il documento di riferimento è GSMA FS.19 (Diameter Interconnect Security): definisce un modello di categoria per i messaggi Diameter inter-operatore e indica agli operatori quali bloccare, limitare o consentire per ciascun realm. Il Diameter Edge Agent è l'elemento di confine che lo applica: il punto di strozzatura di screening che nasconde la topologia al bordo del roaming LTE, l'esatto analogo del firewall STP-plus sul lato SS7. Vedi /answers/gsma-fs07-fs11-signaling-firewall.
Sicurezza della segnalazione Diameter vs SS7
La sicurezza SS7/MAP protegge il piano di controllo 2G/3G; la sicurezza Diameter protegge il piano di controllo 4G/LTE. Poiché la maggior parte delle reti utilizza un core ibrido 2G/3G/4G e gli SMS continuano a utilizzare SS7 per molti dispositivi, un attaccante bloccato su un piano tenta semplicemente l'altro: pertanto, i due firewall devono funzionare come un'unica policy con reputazione dell'abbonato condivisa. Sul 5G standalone, il compito equivalente passa al SEPP tramite HTTP/2. Vedi /answers/what-is-ss7 e /answers/what-is-sigtran.
Vantaggi per l'operatore
Protezione degli abbonati contro il tracciamento e l'intercettazione, conformità alle normative GSMA e degli enti regolatori, traccia di controllo Diameter a prova di manomissione e possibilità di correlare Diameter con il traffico SS7 e A2P per individuare le frodi che si estendono su più piani. BroadNet combina il firewall di segnalazione Diameter e SS7 con il firewall SMS e l'intelligence CDR per una visione unificata delle policy sull'intera rete. Consultare /operators/ss7-firewall e /platforms/signaling-cdr.
Limitazioni e realtà operative
Un firewall Diameter è efficace solo quanto le sue regole di categoria e la reputazione del realm: un blocco eccessivo compromette i partner di roaming legittimi, mentre una configurazione inadeguata favorisce gli attacchi di fuga di informazioni. Non può accedere alla segnalazione crittografata basata sui servizi di una rete core 5G standalone, che necessita di controlli SEPP e TLS propri, e deve essere sincronizzato con il firewall SS7 per evitare la creazione di falle nella rete core ibrida. Vedi /answers/ss7-signaling-security.
Diameter è più sicuro di SS7?
Solo marginalmente, e non per scelta progettuale. Diameter supporta IPsec/TLS e lo screening basato su realm, funzionalità di cui SS7 era sprovvisto, ma i primi sistemi di roaming LTE non le includevano, pertanto le interconnessioni Diameter reali hanno ereditato la stessa debolezza di SS7 in termini di fiducia reciproca tra pari, motivo per cui esiste GSMA FS.19. La soluzione pratica è che nessuno dei due piani è sicuro se lasciato incustodito: entrambi necessitano di un firewall di segnalazione. BroadNet protegge entrambi su oltre 60 reti di operatori. Vedi /operators/ss7-firewall.