Tudo o que vale a pena saber, nada do que não vale.
Como funciona a segurança de sinalização Diameter
O Diameter é o protocolo de sinalização AAA que substituiu o SS7 MAP no núcleo 4G — o MME e o HSS trocam mensagens S6a/S6d para conectar assinantes, autorizar o serviço e encaminhar SMS. Um Agente de Borda Diameter fica na interconexão de roaming (a fronteira S6a/S9/S6d) e cada mensagem recebida é verificada em relação às regras GSMA FS.19, à reputação do domínio de origem e à plausibilidade — esta mensagem Update-Location vem de um domínio no qual o assinante realmente pode estar em roaming? — e então é encaminhada, limitada em taxa ou descartada, com cada decisão registada. Veja /answers/diameter-s6a-explained e /answers/what-is-hss.
As ameaças que ele impede
Mensagens forjadas de Update-Location-Request (ULR) que sequestram o encaminhamento de um assinante para intercetar chamadas e SMS; abuso de Insert-Subscriber-Data e Cancel-Location que adultera um perfil ou força uma negação de serviço; e divulgação de localização por meio das interfaces de localização SLh/SLg. Esses são os equivalentes em Diameter dos ataques SS7 MAP descritos no GSMA FS.11. Consulte /answers/ss7-signaling-security e /answers/ss7-map-send-routing-info-for-sm.
GSMA FS.19 e o Agente de Borda Diameter (DEA)
O documento de referência é o GSMA FS.19 (Diameter Interconnect Security): ele define um modelo de categoria para mensagens Diameter entre operadoras e informa às operadoras quais mensagens devem ser bloqueadas, limitadas por taxa ou permitidas por domínio. O Diameter Edge Agent é o elemento de borda que impõe essa segurança — o ponto de estrangulamento que oculta a topologia e filtra as mensagens na borda de roaming LTE, o análogo exato do firewall STP-plus no lado SS7. Veja /answers/gsma-fs07-fs11-signaling-firewall.
Segurança de sinalização Diameter versus SS7
A segurança SS7/MAP protege o plano de controlo 2G/3G; a segurança Diameter protege o plano de controlo 4G/LTE. Como a maioria das redes utiliza um núcleo híbrido 2G/3G/4G e o SMS ainda recorre ao SS7 para muitos aparelhos, um atacante bloqueado num plano simplesmente tenta o outro — portanto, os dois firewalls devem operar como uma única política com reputação de assinante partilhada. Em redes 5G standalone, a tarefa equivalente é encaminhada para o SEPP via HTTP/2. Consulte /answers/what-is-ss7 e /answers/what-is-sigtran.
Benefícios para o operador
Proteção do assinante contra rastreio e interceção, conformidade com a GSMA e regulamentações, pista de auditoria Diameter inviolável e a capacidade de correlacionar o tráfego Diameter com SS7 e A2P para detetar fraudes que abrangem várias camadas. O BroadNet combina o firewall de sinalização Diameter e SS7 com o firewall de SMS e a inteligência CDR para uma visão única de políticas em toda a rede. Consulte /operators/ss7-firewall e /platforms/signaling-cdr.
Limitações e realidades operacionais
Um firewall Diameter só é tão bom quanto as suas regras de categoria e reputação de domínio — bloqueios excessivos interrompem parceiros legítimos de roaming, enquanto bloqueios insuficientes permitem ataques. Ele não consegue visualizar a sinalização encriptada baseada em serviço de um núcleo 5G independente, que precisa dos seus próprios controlos SEPP e TLS, e deve ser mantido sincronizado com o firewall SS7 para que não haja brechas no núcleo híbrido. Veja /answers/ss7-signaling-security.
O Diameter é mais seguro que o SS7?
Apenas marginalmente, e não intencionalmente. O Diameter suporta IPsec/TLS e triagem baseada em domínios, recursos que o SS7 não possuía, mas o roaming LTE inicial não os incluía, portanto, as interconexões Diameter no mundo real herdaram a mesma vulnerabilidade de confiança no par que o SS7 — razão pela qual existe o GSMA FS.19. A resposta prática é que nenhum dos planos é seguro sem supervisão: ambos precisam de um firewall de sinalização. O BroadNet protege ambos em mais de 60 redes de operadoras. Consulte /operators/ss7-firewall.