下一代网NGN承载的关键问题---安全

　　一、引言　　下一代网——NGN是当前业界广泛讨论的热点与焦点。当前，对NGN讨论中受关注的问题有很多，但是安全、服务质量、商业模式等问题一直是最受关注的焦点之一。由于当前IP网络安全存在问题：网络经常中断、服务难以保证质量、病毒肆虐、黑客横行、垃圾邮件铺天盖地、有害信息来源难以追查，因此出于安全性考虑NGN能否基于IP甚至能否基于无连接分组网都受到质疑。本文主要就IP即无连接分组网络对NGN的承载讨论安全问题。　　　　二、NGN的提出与定义　　当前电信网络虽然能够很好地支持电话业务以及互联网业务，但是用户所需求的多媒体(音频、视频、图像、动画、数据)业务一直没有提供。运营商已经尝试了使用目前已经拥有的各种通信网络试图向用户提供多媒体业务，但是由于种种原因这些努力均没有获得很大的成功。因此必须发展下一代网NGN来满足公众对多媒体业务发展的需求。　　　　NGN是因多媒体业务的需求而提出，不是指仅仅提供多媒体业务的业务网。虽然当前对NGN有不同的理解和定义，但是通常我们认为广义上的NGN(下一代网络)是一个从上到下完整的概念。当前的共识的NGN是指以软交换为代表的，能够为公众大规模灵活提供视讯话音数据等多种通信业务，以分组交换为业务统一承载平台，传输层适应数据业务特征及带宽需求，通信运营商相关，可运营、维护、管理的通信网络。　　　　三、NGN安全分层与含义　　1.安全的含义　　　　狭义的信息安全特指信息加密、加密算法等内容。一般意义的信息安全通常指信息在采集、传递、存储和应用等过程中的完整性、机密性、可用性、可控性和不可否认性。为实现这些信息安全，常需要作的工作有：　　　　(1)制定信息安全管理机制，实现信息安全策略；　　　　(2)制定信息安全评测标准来评估和划分安全等级：　　　　(3)使用安全管理、产品和网络来保障采集、传递、存储和应用时的机密性、完整性、可用性、可控性、不可否认性；　　　　(4)应用检测机制来获取当前的安全状态：　　　　(5)采用故障和灾难恢复机制来解决出现的问题。　　　　通信网络安全是指信息在使用通信网络提供的服务进行传递的过程中通信网络自身即承载和业务网的可靠性、生存性：网络服务的可用性、可控性；信息传递过程中信息的完整性、机密性、不可否认性以及中华人民共和国电信条例第57条所规定的相关内容的意识形态安全。　　　　2.NGN的分层　　　　我们所说的下一代网——NGN无疑是通信网络信息传递安全分层。从图1可以看出，网络安全承载与业务网络安全通常包括承载与业务网络安全，网络服务安全以及信息传递安全。通信网络安全通常不保证意识形态安全，需要技术手段例如合法监听等来支持意识形态安全。　　 　　(1)承载与业务网络安全包括网络可靠性与生存性。网络可靠性与生存性依靠环境安全、物理安全、节点安全、链路安全、拓扑安全、系统安全等方面来保障。这里承载与业务网是拥有自己节点、链路、拓扑和控制的网络，例如传输两、互联网、ATM网、帧中继网、DDN网、X.25网、电话网、移动通信网、支撑网等电信网络。　　　　(2)网络服务安全包括服务可用性与服务可控性。服务可控性依靠服务接入安全，服务防否认、服务防攻击等方面来保障。服务可用性与承载与业务网络可靠性以及维护能力等相关。服务可以是网络提供的DDN专线、ATM专线、话音业务、VPN业务、Internet业务等。　　　　(3)信息传递安全包括信息完整性、机密性和不可否认性。信息完整性可以依靠报文鉴别机制例如哈希算法等来保障：信息机密性可以依靠加密机制以及密钥分发等来保障：信息不可否认性可以依靠数字签名等技术保障。　　　　(4)意识形态安全是指传递的信息不包含中华人民共和国电信条例第57条所规定内容。第57条规定，不得利用电信网制作、复制、发布、传播含有违反国家宪法、危害国家安全，泄露国家机密，颠覆国家政权，破坏国家统一、损害国家荣誉和利益、煽动民族仇恨，民族歧视，破坏满足团结等内容。　　　　四、NGN安全问题分析　　1.NGN可靠性与生存性分析　　　　网络可靠性是指网络在使用中维持连通性的能力，体现在网络节点的连通性上。当前，网络可靠性很难定量衡量，网络可靠性在一定程度上决定网络提供服务的可用性与节点可靠性、链路可靠性相关，由环境安全、物理安全、节点安全、链路安全、拓扑安全、系统安全等方面来保障。网络生存性是衡量网络抵御破坏能力的一般性概念。引起破坏的原因有自然灾害、人为破坏(包括战争)及故障等。所以网络生存性研究范围很广。网络生存性可以用生存性参数L来度量：定义L=网络发生故障后的业务量/网络发生故障前的业务量。　　　　(1)网络的可靠性与生存性对于用户的体现是服务的可用性，即对用户提供的网络服务的服务质量。但是NGN网络的生存性和可靠性不完全等同于网络提供服务的服务质量。因为网络服务的服务质量一方面依赖于网络的可靠性与生存性，另一方面依赖于对提供业务的资源保证。可靠性和生存性很好的网络提供的服务不一定能保证服务质量。网络的可靠性与生存行取决于网络拓扑的设计网络节点的有效性、环境安全、物理安全、链路安全以及相关的系统安全等多个因素。　　　　电话网络的高可靠性和高生存性一方面通过提高节点设备—程控交换机的可靠性来获得，另一方面通过设备之间的双归属连接等冗余拓扑设计来获得。当前IP网络设备能节点可靠性较差，全网可靠性通过动态路由即网络自愈来获得。由于IP网络盈利能力较差，因此除核心节点外较少作双归属等冗余连接。所以现有IP网络表现出的可靠性和生存性通常较差：与电话交换机相比路由器经常宕机，并且路由器的宕机可能影响很大范围的业务。　　　　(2)网络的可靠性与生存性还与网络与用户的隔离相关。在电话网中用户信令与网络信令完全隔离，用户与网缝用户除了滥用业务以外不可能对网络或者信令发起攻击。而且滥用业务还面临着高额的费用。在IP网中路由信息与用户数据不隔离，用户与网络设备也不隔离。虽然现有路由协议都使用认证：将用户与信令一定程度逻辑隔离，但是用户可能通过对网络设备的攻击来影响网络的可靠性。虽然管理良好的网络可以减小甚至消除这种可能性，但是由于历史原因，多数网络设备还在这种威胁中。因此事实上现有大多数IP网络可靠性与生存性较差。 　　　　虽然ATM网络采用基于统计复用的信元交换，但是由于ATM节点可靠性较高、ATM网络冗余设计较好、现有ATM用户与网络相隔离，UNI与NNI相隔离，ATM网络的生存和可靠性被普遍认可。　　　　由上面分析可以看出，网络的可靠性生存性与是否采用分组无关，与是否基于连接无关。网络可靠性生存性与节点的可靠性、链路的可靠性、网络自愈能力、网络拓扑设计、网络与用户的隔离、UNI与NNI的隔离等因素相关。因此，如果NIN基于现有IP设备与网络设计管理理念的NGN来设计，可靠性与生存性肯定不尽人意，但是不能因此否定IP技术承载NGN的可靠性与生存性，更不能因此怀疑基于无连接分组技术NGN的可靠性与生存性。　　　　2.NGN服务可控性、可用性分析　　　　由于用户使用的是网络提供的服务，所以可用性针对服务来衡量。可用性是能定量衡量的，用可用性性能来度量。有几种不同的定义都可定量衡量服务可用性。实用的可用性定义是系统能正常提供业务的时间和全部工作时间之比。例如一部万门程控交换机，一年之内，由于各种原因引起停机，不能提供业务总的时间50min(能正常提供业务的时间525 550min)，可用性=99.99%。该实用的可用性定义用于单个用户也是有效的。例如一个固定电话用户可以享用的可用性不低于99.9%。又如，某用户租的一条2Mbit/s专线，合同中规定一年不可用时间为50min，其可用性=99.99%。　　　　服务的可控性是指网络提供服务的可管理性和可运营性。服务可控性通常包括下列内容：接入网络使用网络所提供服务的用户是经过授权的；网络为用户提供约定的服务；当用户违反约定或者危害网络安全时网络可以选择停止为用户服务：用户使用网络的授权和非授权行为都可以追查。　　　　不同的通信网络服务提供不同等级的服务可控性。例如DDN专线是点到点业务，网络对该业务几乎不提供服务控制。连接专线两端的设备可以自由通信。专线两端的设备自身来认证对方。在电话网络中网络对通信的电话终端端口及其对应的电话号码计费。网络记录电话号码相互通话纪录。电话网不负责电话内容及其合法性。由于用户信令与网络信令分离，除非电话交换机过载瘫痪，否则用户不会危害网络安全。　　　　业务的可用性取决于网络的可靠性和运维能力。网络运维能力取决于网络提供的运维技术手段、运维人员的技术水平以及企业积累的运维经验，应该来说与分组网络还是电路网络无关。运维能力也与是否基于连接无关。现有的IP网运维水平相对较低，影响了业务的可用性。　　　　业务的可控性体现在服务接入安全，服务防否认、服务防攻击、服务防滥用等方面。在服务接入安全，服务防滥用服务方否认方面，基于连接的承载在先天上优于基于非连接的承载。因为每次连接都是用户请求建立的，用户深知会因此付费，会被记录在案，连接建立后也是用户独占使用。而基于非连接的分组方式是永远在线，接入服务商很难为用户所有行为作日志，用户也不认可流量计费，内容计费可能使计费方与接入提供者分离。因此，在分组服务可控性方面基于连接的方式优于非基于连接的方式。　　　　在安全性方面只有在接入业务可控性方面，在现有条件下分组层业务基于连接的方式优于非基于连接的方式。　　　　3.NGN信息传递安全分析　　　　信息完整性是指确认发送、收到或存储的数据是完