Un Diameter Routing Agent (DRA) instrada DIAMETER per realm all'interno di una rete e lega le sessioni al PCRF/HSS corretto; un Diameter Edge Agent (DEA) si colloca al bordo del roaming IPX. Come SS7, DIAMETER non ha autenticazione a livello di messaggio, quindi il DEA applica i controlli GSMA FS.19 — topology hiding, filtraggio degli AVP e rate-limiting — contro divulgazione di informazioni, tracciamento della posizione e frode.
Instradamento per realm e il DRA
DIAMETER instrada sui realm, non su host fissi. Un nodo che inoltra una richiesta consulta l'AVP Destination-Realm (e opzionalmente Destination-Host) e passa il messaggio verso il peer che serve quel realm, usando una tabella di instradamento per realm. In una rete di grandi dimensioni il Diameter Routing Agent (DRA, TS 29.213) centralizza tutto ciò: aggrega la mesh di MME, PCEF, HSS e PCRF così che ogni nodo faccia peering con il DRA anziché con tutti, e — punto importante per la policy — lega tutte le sessioni DIAMETER di un subscriber allo stesso PCRF, così che le decisioni Gx, Rx e Sd per quell'utente restino coerenti. Il DRA è il direttore del traffico interno del core DIAMETER.
Il Diameter Edge Agent al bordo del roaming
Il roaming implica che DIAMETER debba attraversare tra operatori, e lo fa sull'IPX anziché sull'internet pubblica. Il Diameter Edge Agent (DEA) è l'unico gateway controllato che una rete espone a quel bordo. Tutto il DIAMETER di roaming in ingresso e in uscita — S6a per il roaming LTE (GSMA IR.88), il roaming IMS adiacente a Cx/Sh (IR.65), S9 per il roaming di policy — transita per il DEA. Concentrare l'interconnessione in un unico nodo rinforzato è ciò che rende applicabile la sicurezza: l'operatore ha esattamente un punto in cui autenticare i peer, nascondere la propria topologia interna e ispezionare ogni AVP. È l'analogo DIAMETER del signalling firewall SS7 al bordo SS7.
| Agente | Dove | Ruolo |
|---|---|---|
| DRA | All'interno della rete core dell'operatore | Instradamento per realm + associazione delle sessioni degli abbonati a un unico PCRF/HSS |
| DEA | Al confine IPX / roaming | Gateway di interconnessione singolo controllato; applicazione delle misure di sicurezza |
| Agente relay | Core | Instradamento sul realm senza modificare gli AVP |
| Agente proxy | Nucleo / perimetro | Instrada e può modificare gli AVP (applicazione delle policy) |
Perché l'interconnessione DIAMETER è sfruttabile
DIAMETER è stato, come SS7, progettato per un club fidato di operatori, e non trasporta alcuna autenticazione crittografica dell'origine del messaggio a livello applicativo — un peer si fida di un Destination-Realm e di un Origin-Host che non può verificare. L'IPX è più contenuto di quanto sia diventata l'interconnessione SS7 aperta, ma vale la stessa debolezza strutturale: una parte con accesso DIAMETER all'interconnessione può inviare richieste in stile S6a o Cx a cui una rete può rispondere come se provenissero da un partner di roaming legittimo. Man mano che LTE e VoLTE hanno trasportato più traffico, ricercatori e GSMA hanno mostrato il playbook di attacco SS7 — tracciamento della posizione, divulgazione dei dati del subscriber, frode, denial of service — riapparire su DIAMETER.
Le classi di minaccia FS.19
GSMA FS.19 (Diameter Interconnect Security) è la controparte DIAMETER della guida SS7 FS.11. Categorizza i rischi sul DIAMETER di interconnessione e definisce i messaggi e gli AVP che un edge agent dovrebbe ispezionare. Le minacce principali rispecchiano quelle di SS7: divulgazione di informazioni del subscriber e di rete (raccolta di IMSI, identità dei nodi serventi e dati di sottoscrizione), tracciamento della posizione (dedurre la posizione di un subscriber da messaggi di mobilità e instradamento), intercettazione e frode (manipolazione della registrazione o del charging) e denial of service (deregistrazione o de-provisioning dei subscriber). FS.19 abbina a ciascuna un filtraggio raccomandato al DEA.
| Minaccia | Esempio su Diameter | Controllo DEA |
|---|---|---|
| Divulgazione di informazioni | Query S6a non richieste per raccogliere IMSI / MME servente | Verifica dell'origine + filtraggio del tipo di messaggio |
| Tracciamento della posizione | Richieste di mobilità/instradamento che rivelano la posizione dell'abbonato | Filtro per categoria + verifiche di plausibilità |
| Intercettazione / frode | Aggiornamenti falsificati di posizione o di addebito | Associazione di sessione, controlli di coerenza dello stato |
| Denial of service | Cancel-Location falsificato / deregistrazione | Validazione dell'Origin-Realm, rate limiting |
| Esposizione della topologia | Origin-Host / Route-Record che espongono FQDN interni | Topology hiding sul DEA |
Controlli: topology hiding, filtraggio AVP, rate-limiting
Un Diameter Edge Agent applica FS.19 a livelli, proprio come un firewall SS7 applica FS.11. Il topology hiding riscrive o rimuove l'Origin-Host, il Route-Record e gli altri AVP che altrimenti rivelerebbero gli FQDN e gli indirizzi interni degli MME, HSS e PCRF dietro il bordo, presentando verso l'esterno solo l'identità del bordo. Il filtraggio degli AVP valida che ogni messaggio in ingresso trasporti solo gli AVP di cui il suo comando ha legittimamente bisogno, e che valori come il Visited-PLMN-Id e l'Origin-Realm siano coerenti con il peer che li ha inviati — scartando i messaggi la cui origine dichiarata non corrisponde all'accordo di roaming. Il rate-limiting e i controlli di velocità intercettano la raccolta e la mobilità implausibile, e tutto viene registrato per il rilevamento delle anomalie.
on inbound Diameter message from IPX peer P (realm R):
if Origin-Realm(msg) != R: drop + alert # spoofed origin
if command not in ROAMING_ALLOWED(R): drop + alert # not per agreement
if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
if velocityImplausible(subscriber, Visited-PLMN-Id): drop + alert
strip/rewrite Origin-Host, Route-Record # topology hiding
rate-limit per peer; else: forward via DRA + logUn unico firewall per SS7, SIGTRAN e DIAMETER
Le reti raramente eseguono solo DIAMETER — interoperano con 2G/3G su SS7/MAP e trasportano SS7 su IP con SIGTRAN, quindi la mobilità di un subscriber può essere attaccata su qualunque piano sia più debole. FS.11 (SS7) e FS.19 (DIAMETER) sono deliberatamente allineate così che una funzione di sicurezza della segnalazione possa applicare una policy coerente su entrambe: correlare un tentativo di tracciamento della posizione sia che arrivi come un MAP AnyTimeInterrogation sia come una query di mobilità DIAMETER, e nascondere la topologia su ogni interconnessione. Trattare SS7, SIGTRAN e DIAMETER come un'unica superficie di attacco della segnalazione — anziché come tre firewall separati — è la posizione pratica per un operatore che trasporta roaming legacy e LTE/VoLTE fianco a fianco.
Domande frequenti
Che cos'è un Diameter Routing Agent (DRA)?
Un DRA è un nodo che instrada DIAMETER sul Destination-Realm all'interno del core di un operatore, così che ogni MME, PCEF, HSS e PCRF faccia peering con il DRA anziché con tutti. Lega inoltre tutte le sessioni DIAMETER di un subscriber allo stesso PCRF/HSS, mantenendo coerenti le decisioni di policy e sottoscrizione su Gx, Rx e Sd.
Che cos'è un Diameter Edge Agent (DEA)?
Un DEA è l'unico gateway DIAMETER controllato che una rete espone al bordo del roaming IPX. Tutto il DIAMETER di roaming in ingresso e in uscita — S6a, le interfacce IMS e di policy — vi transita, così l'operatore ha un unico punto per autenticare i peer, nascondere la topologia interna e filtrare gli AVP. È l'equivalente DIAMETER del signalling firewall SS7.
DIAMETER è più sicuro di SS7?
Non fondamentalmente. DIAMETER fa roaming sull'IPX più contenuto anziché sull'interconnessione SS7 aperta, ma manca comunque di autenticazione a livello applicativo dell'origine del messaggio, quindi le classi di attacco SS7 — tracciamento della posizione, divulgazione dei dati del subscriber, frode, denial of service — riappaiono su DIAMETER. GSMA FS.19 esiste proprio perché i rischi si trasferiscono.
Che cos'è GSMA FS.19?
FS.19 è la guida GSMA di Diameter Interconnect Security, la controparte DIAMETER di FS.11 per SS7. Categorizza le minacce di interconnessione — divulgazione di informazioni, tracciamento della posizione, intercettazione/frode, denial of service — e definisce i messaggi e gli AVP che un Diameter Edge Agent dovrebbe ispezionare, insieme al topology hiding e al rate-limiting.
Che cos'è il topology hiding in DIAMETER?
Il topology hiding è un controllo del DEA che riscrive o rimuove AVP come Origin-Host e Route-Record, che altrimenti rivelerebbero gli FQDN e gli indirizzi interni degli MME, HSS e PCRF dietro il bordo. Verso l'esterno viene presentata solo l'identità del bordo, così un partner di roaming non può mappare la rete interna.
Come funziona l'instradamento per realm in DIAMETER?
Un nodo DIAMETER legge l'AVP Destination-Realm (e opzionalmente Destination-Host) e inoltra la richiesta verso il peer che serve quel realm, usando una tabella di instradamento per realm e, opzionalmente, la scoperta dei peer basata su DNS. L'instradamento per realm è ciò che consente a una rete visitata di raggiungere un HSS home durante il roaming senza pre-configurarne l'indirizzo.
Specifiche della fonte
Gli standard pubblicati su cui si basa questa pagina. Si apre in una nuova scheda.