Um Diameter Routing Agent (DRA) encaminha DIAMETER por realm dentro de uma rede e associa sessões ao PCRF/HSS certo; um Diameter Edge Agent (DEA) situa-se na borda de roaming IPX. Como o SS7, o DIAMETER carece de autenticação ao nível da mensagem, pelo que o DEA aplica os controlos da GSMA FS.19 — topology hiding, filtragem de AVP e rate-limiting — contra divulgação de informação, rastreio de localização e fraude.
Encaminhamento por realm e o DRA
O DIAMETER encaminha por realms, não por hosts fixos. Um nó que reencaminha um request consulta o AVP Destination-Realm (e opcionalmente Destination-Host) e passa a mensagem em direção ao par que serve esse realm, usando uma tabela de encaminhamento por realm. Numa rede grande, o Diameter Routing Agent (DRA, TS 29.213) centraliza isto: agrega a malha de MMEs, PCEFs, HSSs e PCRFs para que cada nó estabeleça peering com o DRA em vez de com todos, e — o que é importante para a política — associa todas as sessões DIAMETER de um subscritor ao mesmo PCRF, para que as decisões Gx, Rx e Sd desse utilizador se mantenham consistentes. O DRA é o diretor de tráfego interno do core DIAMETER.
O Diameter Edge Agent na borda de roaming
O roaming significa que o DIAMETER tem de atravessar entre operadores, e fá-lo sobre o IPX em vez da Internet pública. O Diameter Edge Agent (DEA) é o único gateway controlado que uma rede expõe nessa borda. Todo o DIAMETER de roaming de entrada e de saída — S6a para roaming LTE (GSMA IR.88), roaming IMS adjacente a Cx/Sh (IR.65), S9 para roaming de política — transita pelo DEA. Concentrar a interconexão num único nó reforçado é o que torna a segurança aplicável: o operador tem exatamente um lugar para autenticar pares, ocultar a sua topologia interna, e filtrar cada AVP. É o análogo DIAMETER da firewall de sinalização SS7 na borda SS7.
| Agente | Onde | Função |
|---|---|---|
| DRA | Dentro do núcleo da rede da operadora | Encaminhamento por realm + vinculação das sessões do assinante a um único PCRF/HSS |
| DEA | Na fronteira IPX/roaming | Gateway de interconexão único controlado; aplicação de segurança |
| Agente de retransmissão | Core | Encaminhamento por realm sem alterar AVPs |
| Agente proxy | Núcleo / borda | Encaminha e pode modificar AVPs (aplicação de políticas) |
Porque é que a interconexão DIAMETER é explorável
O DIAMETER foi, tal como o SS7, concebido para um clube de confiança de operadores, e não transporta autenticação criptográfica da origem da mensagem na camada de aplicação — um par confia num Destination-Realm e num Origin-Host que não consegue verificar. O IPX é mais contido do que a interconexão SS7 aberta se tornou, mas a mesma fraqueza estrutural aplica-se: uma parte com alcance DIAMETER na interconexão pode enviar requests do estilo S6a ou Cx que uma rede pode responder como se viessem de um parceiro de roaming legítimo. À medida que o LTE e o VoLTE transportaram mais tráfego, investigadores e a GSMA mostraram o guião de ataques SS7 — rastreio de localização, divulgação de dados de subscritor, fraude, negação de serviço — a reaparecer sobre DIAMETER.
As classes de ameaça FS.19
A GSMA FS.19 (Diameter Interconnect Security) é o homólogo DIAMETER da orientação SS7 FS.11. Categoriza os riscos no DIAMETER de interconexão e define as mensagens e os AVPs que um edge agent deve filtrar. As ameaças principais espelham as do SS7: divulgação de informação de subscritor e de rede (recolha de IMSIs, identidades de nós servidores e dados de subscrição), rastreio de localização (deduzir a localização de um subscritor a partir de mensagens de mobilidade e encaminhamento), interceção e fraude (manipular registo ou tarifação), e negação de serviço (desregistar ou desaprovisionar subscritores). A FS.19 associa a cada uma a filtragem recomendada no DEA.
| Ameaça | Exemplo sobre Diameter | Controlo DEA |
|---|---|---|
| Divulgação de informações | Consultas S6a não solicitadas recolhendo IMSI / MME servidora | Verificação de origem + filtragem por tipo de mensagem |
| Rastreio de localização | Solicitações de mobilidade/encaminhamento que revelam a localização do assinante | Filtragem por categoria + verificação de plausibilidade |
| Interceção / fraude | Atualizações falsificadas de localização ou tarifação | Vinculação de sessão, verificações de consistência de estado |
| Negação de serviço | Cancel-Location / cancelamento de registo forjado | Validação do Origin-Realm, limitação de taxa |
| Exposição da topologia | Origin-Host / Route-Record a expor FQDNs internos | Topology hiding no DEA |
Controlos: topology hiding, filtragem de AVP, rate-limiting
Um Diameter Edge Agent aplica a FS.19 em camadas, tal como uma firewall SS7 aplica a FS.11. O topology hiding reescreve ou remove o Origin-Host, o Route-Record e outros AVPs que de outra forma revelariam os FQDNs e endereços internos dos MMEs, HSSs e PCRFs por trás da borda, apresentando para o exterior apenas a identidade da borda. A filtragem de AVP valida que cada mensagem de entrada transporta apenas os AVPs de que o seu comando legitimamente precisa, e que valores como o Visited-PLMN-Id e o Origin-Realm são consistentes com o par que os enviou — descartando mensagens cuja origem alegada não corresponde ao acordo de roaming. O rate-limiting e as verificações de velocidade apanham a recolha e a mobilidade implausível, e tudo é registado para deteção de anomalias.
on inbound Diameter message from IPX peer P (realm R):
if Origin-Realm(msg) != R: drop + alert # spoofed origin
if command not in ROAMING_ALLOWED(R): drop + alert # not per agreement
if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
if velocityImplausible(subscriber, Visited-PLMN-Id): drop + alert
strip/rewrite Origin-Host, Route-Record # topology hiding
rate-limit per peer; else: forward via DRA + logUma firewall para SS7, SIGTRAN e DIAMETER
As redes raramente correm apenas DIAMETER — interoperam com 2G/3G sobre SS7/MAP e transportam SS7 sobre IP com SIGTRAN, pelo que a mobilidade de um subscritor pode ser atacada no plano que estiver mais fraco. A FS.11 (SS7) e a FS.19 (DIAMETER) estão deliberadamente alinhadas para que uma função de segurança de sinalização possa aplicar política consistente em ambos: correlacionar uma tentativa de rastreio de localização quer ela chegue como um MAP AnyTimeInterrogation quer como um request de mobilidade DIAMETER, e ocultar a topologia em cada interconexão. Tratar SS7, SIGTRAN e DIAMETER como uma única superfície de ataque de sinalização — em vez de três firewalls separadas — é a postura prática para um operador que transporta roaming legado e LTE/VoLTE lado a lado.
Perguntas frequentes
O que é um Diameter Routing Agent (DRA)?
Um DRA é um nó que encaminha DIAMETER com base no Destination-Realm dentro do core de um operador, para que cada MME, PCEF, HSS e PCRF estabeleça peering com o DRA em vez de com todos. Também associa todas as sessões DIAMETER de um subscritor ao mesmo PCRF/HSS, mantendo as decisões de política e subscrição consistentes ao longo de Gx, Rx e Sd.
O que é um Diameter Edge Agent (DEA)?
Um DEA é o único gateway DIAMETER controlado que uma rede expõe na borda de roaming IPX. Todo o DIAMETER de roaming de entrada e de saída — S6a, interfaces IMS e de política — transita por ele, pelo que o operador tem um lugar para autenticar pares, ocultar a topologia interna e filtrar AVPs. É o equivalente DIAMETER da firewall de sinalização SS7.
O DIAMETER é mais seguro do que o SS7?
Não fundamentalmente. O DIAMETER faz roaming sobre o IPX mais contido em vez da interconexão SS7 aberta, mas ainda carece de autenticação da origem da mensagem na camada de aplicação, pelo que as classes de ataque SS7 — rastreio de localização, divulgação de dados de subscritor, fraude, negação de serviço — reaparecem sobre DIAMETER. A GSMA FS.19 existe precisamente porque os riscos transitam.
O que é a GSMA FS.19?
A FS.19 é a orientação Diameter Interconnect Security da GSMA, o homólogo DIAMETER da FS.11 para SS7. Categoriza as ameaças de interconexão — divulgação de informação, rastreio de localização, interceção/fraude, negação de serviço — e define as mensagens e os AVPs que um Diameter Edge Agent deve filtrar, juntamente com topology hiding e rate-limiting.
O que é o topology hiding no DIAMETER?
O topology hiding é um controlo do DEA que reescreve ou remove AVPs como o Origin-Host e o Route-Record, que de outra forma revelariam os FQDNs e endereços internos dos MMEs, HSSs e PCRFs por trás da borda. Apenas a identidade da borda é apresentada para o exterior, para que um parceiro de roaming não possa mapear a rede interna.
Como funciona o encaminhamento por realm no DIAMETER?
Um nó DIAMETER lê o AVP Destination-Realm (e opcionalmente Destination-Host) e reencaminha o request em direção ao par que serve esse realm, usando uma tabela de encaminhamento por realm e, opcionalmente, descoberta de pares baseada em DNS. O encaminhamento por realm é o que permite a uma rede visitada alcançar um HSS de origem durante o roaming sem pré-configurar o seu endereço.
Especificações de origem
Os padrões publicados nos quais esta página se baseia. Abre num novo separador.