Diameter Routing Agent (DRA) маршрутизирует DIAMETER по реалмам внутри сети и привязывает сессии к нужному PCRF/HSS; Diameter Edge Agent (DEA) стоит на границе роуминга IPX. Как и SS7, DIAMETER не имеет аутентификации на уровне сообщений, поэтому DEA обеспечивает средства контроля GSMA FS.19 — сокрытие топологии, фильтрацию AVP и ограничение частоты — против раскрытия информации, отслеживания местоположения и мошенничества.
Маршрутизация по реалмам и DRA
DIAMETER маршрутизирует по реалмам, а не по фиксированным хостам. Узел, пересылающий запрос, обращается к AVP Destination-Realm (и опционально Destination-Host) и передаёт сообщение в сторону пира, обслуживающего этот реалм, используя таблицу маршрутизации реалмов. В крупной сети Diameter Routing Agent (DRA, TS 29.213) централизует это: он агрегирует сетку MME, PCEF, HSS и PCRF, чтобы каждый узел пировал с DRA, а не со всеми, и — что важно для политики — привязывает все сессии DIAMETER одного абонента к одному PCRF, чтобы решения Gx, Rx и Sd для этого пользователя оставались согласованными. DRA — это внутренний диспетчер трафика ядра DIAMETER.
Diameter Edge Agent на границе роуминга
Роуминг означает, что DIAMETER должен пересекать границу между операторами, и делает он это через IPX, а не через публичный интернет. Diameter Edge Agent (DEA) — это единственный контролируемый шлюз, который сеть предоставляет на этой границе. Весь входящий и исходящий роуминговый DIAMETER — S6a для роуминга LTE (GSMA IR.88), смежный с Cx/Sh роуминг IMS (IR.65), S9 для роуминга политики — проходит через DEA. Концентрация межсоединений в одном укреплённом узле — это то, что делает безопасность обеспечиваемой: у оператора есть ровно одно место, где аутентифицировать пиров, скрывать внутреннюю топологию и проверять каждый AVP. Это DIAMETER-аналог сигнального межсетевого экрана SS7 на границе SS7.
| Агент | Где | Роль |
|---|---|---|
| DRA | Внутри опорной сети оператора | Маршрутизация по realm + привязка абонентских сессий к одному PCRF/HSS |
| DEA | На границе IPX/роуминга | Единый управляемый шлюз межсоединения; обеспечение безопасности |
| Агент-ретранслятор | Core | Маршрутизация по realm без изменения AVP |
| Прокси-агент | Ядро / граница сети | Маршрутизирует и может изменять AVP (применение политик) |
Почему межсоединения DIAMETER уязвимы
DIAMETER, как и SS7, был спроектирован для доверенного клуба операторов и не несёт криптографической аутентификации происхождения сообщения на прикладном уровне — пир доверяет Destination-Realm и Origin-Host, которые он не может проверить. IPX более ограничен, чем стало открытое межсоединение SS7, но та же структурная слабость применима: сторона с доступом DIAMETER к межсоединению может отправлять запросы в стиле S6a или Cx, на которые сеть может ответить так, будто они пришли от легитимного роумингового партнёра. По мере того как LTE и VoLTE несли всё больше трафика, исследователи и GSMA показали, что сценарий атак SS7 — отслеживание местоположения, раскрытие данных абонента, мошенничество, отказ в обслуживании — вновь появляется поверх DIAMETER.
Классы угроз FS.19
GSMA FS.19 (Diameter Interconnect Security) — это DIAMETER-аналог руководства SS7 FS.11. Он категоризирует риски межсоединений DIAMETER и определяет сообщения и AVP, которые пограничный агент должен проверять. Основные угрозы отражают SS7: раскрытие информации об абоненте и сети (сбор IMSI, идентичностей обслуживающих узлов и данных подписки), отслеживание местоположения (вывод местоположения абонента из сообщений мобильности и маршрутизации), перехват и мошенничество (манипуляция регистрацией или тарификацией) и отказ в обслуживании (дерегистрация или деинициализация абонентов). FS.19 сопоставляет каждой рекомендуемую фильтрацию на DEA.
| Угроза | Пример по Diameter | Контроль DEA |
|---|---|---|
| Раскрытие информации | Незапрошенные запросы S6a для сбора IMSI / обслуживающего MME | Проверка источника + фильтрация по типу сообщения |
| Отслеживание местоположения | Запросы на мобильность/маршрутизацию, раскрывающие местоположение абонента | Фильтрация по категориям + проверка достоверности |
| Перехват / мошенничество | Подделка обновлений местоположения или тарификации | Привязка сессий, проверки согласованности состояния |
| Отказ в обслуживании | Поддельный Cancel-Location / снятие с регистрации | Проверка Origin-Realm, ограничение скорости |
| Раскрытие топологии | Origin-Host / Route-Record раскрывают внутренние FQDN | Сокрытие топологии на DEA |
Средства контроля: сокрытие топологии, фильтрация AVP, ограничение частоты
Diameter Edge Agent обеспечивает FS.19 послойно, во многом как межсетевой экран SS7 обеспечивает FS.11. Сокрытие топологии переписывает или удаляет Origin-Host, Route-Record и другие AVP, которые иначе раскрыли бы внутренние FQDN и адреса MME, HSS и PCRF за границей, представляя наружу только пограничную идентичность. Фильтрация AVP проверяет, что каждое входящее сообщение несёт только те AVP, которые его команде легитимно нужны, и что значения, такие как Visited-PLMN-Id и Origin-Realm, согласуются с отправившим их пиром — отбрасывая сообщения, чьё заявленное происхождение не соответствует роуминговому соглашению. Ограничение частоты и проверки скорости отлавливают сбор данных и неправдоподобную мобильность, и всё логируется для обнаружения аномалий.
on inbound Diameter message from IPX peer P (realm R):
if Origin-Realm(msg) != R: drop + alert # spoofed origin
if command not in ROAMING_ALLOWED(R): drop + alert # not per agreement
if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
if velocityImplausible(subscriber, Visited-PLMN-Id): drop + alert
strip/rewrite Origin-Host, Route-Record # topology hiding
rate-limit per peer; else: forward via DRA + logОдин межсетевой экран для SS7, SIGTRAN и DIAMETER
Сети редко работают только на DIAMETER — они взаимодействуют с 2G/3G по SS7/MAP и транспортируют SS7 поверх IP через SIGTRAN, поэтому мобильность абонента может быть атакована на той плоскости, что слабее. FS.11 (SS7) и FS.19 (DIAMETER) намеренно согласованы, чтобы функция безопасности сигнализации могла применять единообразную политику на обеих: коррелировать попытку отслеживания местоположения независимо от того, приходит ли она как MAP AnyTimeInterrogation или запрос мобильности DIAMETER, и скрывать топологию на каждом межсоединении. Рассматривать SS7, SIGTRAN и DIAMETER как одну поверхность атаки сигнализации — а не как три отдельных межсетевых экрана — это практическая позиция для оператора, несущего унаследованный роуминг и роуминг LTE/VoLTE бок о бок.
Часто задаваемые вопросы
Что такое Diameter Routing Agent (DRA)?
DRA — это узел, маршрутизирующий DIAMETER по Destination-Realm внутри ядра оператора, так что каждый MME, PCEF, HSS и PCRF пирует с DRA, а не со всеми. Он также привязывает все сессии DIAMETER абонента к одному PCRF/HSS, сохраняя решения политики и подписки согласованными на Gx, Rx и Sd.
Что такое Diameter Edge Agent (DEA)?
DEA — это единственный контролируемый шлюз DIAMETER, который сеть предоставляет на границе роуминга IPX. Весь входящий и исходящий роуминговый DIAMETER — интерфейсы S6a, IMS и политики — проходит через него, поэтому у оператора есть одно место, где аутентифицировать пиров, скрывать внутреннюю топологию и фильтровать AVP. Это DIAMETER-эквивалент сигнального межсетевого экрана SS7.
Безопаснее ли DIAMETER, чем SS7?
Не принципиально. DIAMETER роумит через более ограниченный IPX, а не через открытое межсоединение SS7, но у него по-прежнему нет аутентификации происхождения сообщения на прикладном уровне, поэтому классы атак SS7 — отслеживание местоположения, раскрытие данных абонента, мошенничество, отказ в обслуживании — вновь появляются поверх DIAMETER. GSMA FS.19 существует именно потому, что риски переносятся.
Что такое GSMA FS.19?
FS.19 — это руководство GSMA по безопасности межсоединений DIAMETER, DIAMETER-аналог FS.11 для SS7. Оно категоризирует угрозы межсоединений — раскрытие информации, отслеживание местоположения, перехват/мошенничество, отказ в обслуживании — и определяет сообщения и AVP, которые должен проверять Diameter Edge Agent, вместе с сокрытием топологии и ограничением частоты.
Что такое сокрытие топологии в DIAMETER?
Сокрытие топологии — это средство контроля DEA, которое переписывает или удаляет AVP, такие как Origin-Host и Route-Record, которые иначе раскрыли бы внутренние FQDN и адреса MME, HSS и PCRF за границей. Наружу представляется только пограничная идентичность, поэтому роуминговый партнёр не может составить карту внутренней сети.
Как работает маршрутизация по реалмам в DIAMETER?
Узел DIAMETER читает AVP Destination-Realm (и опционально Destination-Host) и пересылает запрос в сторону пира, обслуживающего этот реалм, используя таблицу маршрутизации реалмов и, опционально, обнаружение пиров на основе DNS. Маршрутизация по реалмам — это то, что позволяет гостевой сети достичь домашнего HSS во время роуминга без предварительной настройки его адреса.
Технические характеристики источника
На этой странице представлены опубликованные стандарты, на которых они основаны. (Открывается в новой вкладке)