CN115843030B - 信令防护装置和接入控制方法 - Google Patents

Abstract

本发明公开了信令防护装置和接入控制方法，所述装置包括安全接入控制模块、底层协议栈和南北向接口，所述安全接入控制模块用于提供合规性接入控制；所述底层协议栈用于提供报文解析、封装和收发功能；所述南北向接口包括回调函数集和应用编程接口集。本发明能够提供多维度的接入控制能力，满足关键行业对移动通信专网的安全需求。

Description

信令防护装置和接入控制方法

技术领域

本发明属于通信安全技术领域，尤其涉及信令防护装置和接入控制方法。

背景技术

随着各大运营商在4G、5G移动通信基础设施的持续投入，面向2B的垂直行业应用需求越来越旺盛，移动通信专网应用也日益普及。相应的，移动通信专网应用的安全需求也越来越旺盛，特别是很多面向关键行业和重要领域的移动通信专网应用，就更需要针对移动通信专网进行安全增强设计。

以5G专网应用为例，其安全解决方案的模型包括，移动终端-基站-核心网-VPN网关-移动应用。其中移动终端内嵌USIM模块和安全模块。5G专网的安全接入控制措施一般设置两层，分别是控制面的主认证和用户面的业务认证。控制面的主认证主要是5G网络的AUSF/UDM网元对终端USIM模块进行接入控制。

对于面向关键行业的移动专网应用而言，移动专网所采用的传统安全接入控制机制存在以下几个方面的安全隐患：

（1）传统安全接入控制所涉及的身份认证，针对的只有移动终端上的SIM模块和安全模块，没有针对移动终端自身以及基站自身提供安全接入控制机制，攻击者利用移动终端和基站的漏洞或后门向核心网发起攻击；

（2）基站针对终端发送的NAS信令报文都会无条件转发，一旦攻击者获取到合法的USIM模块，使用非法移动终端，即便没有安全模块，在用户面业务通道建立之前，仍然可通过发送非法NAS信令报文向核心网发起攻击；

（3）除了发送非法NAS信令报文之外，攻击者还可利用非法移动终端，通过构造、重放合法NAS信令报文等手段，将合法NAS信令报文用于不正确的位置和状态机中，从而对核心网的可用性发起攻击；

（4）在SMC安全模式协商之前的NAS信令不支持完整性保护，攻击者可对SMC之前的NAS报文进行篡改。

发明内容

本发明的目的在于，为克服现有技术缺陷，提供了信令防护装置和接入控制方法,既能够针对移动终端自身以及基站的身份进行接入控制，又能够对终端发送的NAS信令报文的格式以及流程进行合规性检查，从而提供多维度的接入控制能力。

本发明目的通过下述技术方案来实现：

一种信令防护装置，所述装置包括：

安全接入控制模块，所述安全接入控制模块用于提供合规性接入控制；

底层协议栈，所述底层协议栈用于提供报文解析、封装和收发功能；

南北向接口，所述南北向接口包括回调函数集和应用编程接口集。

进一步的，所述安全接入控制模块包括基站合规性接入控制子模块，所述基站合规性接入控制子模块用于获取上行SCTP报文的源IP地址、目的IP地址和端口号以及获取上行S1-AP/NG-AP报文中的基站ID和基站名称。

进一步的，所述安全接入控制模块包括终端合规性接入控制子模块，所述终端合规性接入控制子模块用于获取上行和下行NAS报文的要素和添加SMC报文的请求要素。

进一步的，所述安全接入控制模块包括报文合规性接入控制子模块，所述报文合规性接入控制子模块用于获取上行SCTP报文中的报文字段并判断是否合规，所述报文合规性接入控制子模块还用于获取上行S1-AP或NG-AP报文中的要素、上行NAS报文中的要素并判断是否合规。

进一步的，所述安全接入控制模块包括状态机合规性接入控制子模块，所述状态机合规性接入控制子模块用于根据用户设备、用户设备相关上下行NAS的信令报文和状态-事件触发条件白名单维护移动性管理和会话管理状态机。

另一方面，本发明还提供了一种接入控制方法，所述方法根据前述信令防护装置实现基站合规性接入控制，所述方法包括：

从SCTP回调函数中获取上行SCTP报文中的源、目的IP地址和端口号；

用源IP地址匹配基站接入控制策略，阻断非法基站的接入；用目的IP地址匹配基站能够访问的核心网网元，阻断基站的非授权访问接入；用目的端口号是否匹配其承载的S1-AP或NG-AP协议所对应的端口号，阻断基站访问非授权端口；

从S1-AP或NG-AP回调函数中获取上行S1-AP或NG-AP报文中的基站ID和基站名称，阻断非法身份的基站接入。

另一方面，本发明还提供了一种接入控制方法，所述方法根据前述信令防护装置实现终端合规性接入控制，所述方法包括：

从NAS回调函数中获取下行NAS安全模式命令SMC报文的要素；

判断下行NAS安全模式命令SMC报文各个要素中是否携带IMEI/PEI请求要素；

若下行NAS安全模式命令SMC报文中携带了IMEI/PEI请求要素，则不做处理；若下行NAS安全模式命令SMC报文中未携带了IMEI/PEI请求要素，则添加IMEI请求要素；

从NAS回调函数中获取上行NAS安全模式完成SMC报文的要素；

根据上行NAS安全模式完成SMC报文各个要素中携带了IMEI/PEI标识匹配移动终端的接入控制策略，阻断非授权移动终端的接入。

另一方面，本发明还提供了一种接入控制方法，所述方法根据前述信令防护装置实现报文合规性接入控制，所述方法包括：

从SCTP回调函数中获取上行SCTP报文中的报文字段；

判断上行SCTP报文中的各个字段格式是否合规；

若上行SCTP报文中存在不合规格式的字段，则阻断包含不合规格式字段的上行SCTP报文；若上行SCTP报文中的各个字段格式均合规，则执行下一步；

从S1-AP或NG-AP回调函数中获取上行S1-AP或NG-AP报文中的各个必选要素和可选要素；

若上行S1-AP或NG-AP报文中存在不合规格式的必选要素，则阻断包含不合规格式要素的上行S1-AP或NG-AP报文；若上行S1-AP或NG-AP报文中存在不合规格式的可选要素，则去掉不合规的可选要素；若上行S1-AP或NG-AP报文中的各个必选、可选要素格式均合规，则执行下一步；

从NAS回调函数中获取上行NAS报文中的各个必选要素；

若上行NAS报文中存在不合规的必选要素，则阻断包含不合规必选要素的上行NAS报文；若上行NAS报文中存在不合规的可选要素，则判断包含不合规可选要素的上行NAS报文是否有完整性保护，有则阻断上行NAS报文，没有则发送至核心网；若上行NAS报文中的各个必选、可选要素格式均合规，将该上行信令报文转发至核心网。

另一方面，本发明还提供了一种接入控制方法，所述方法根据前述信令防护装置实现状态机合规性接入控制，所述方法包括：

针对每一个用户设备和用户设备相关上下行NAS的信令报文，维护移动性管理和会话管理状态机；

根据移动性管理状态机的当前特定状态和状态-事件触发条件白名单阻断基于状态机的不合法NAS信令报文，防止伪装成合法格式的NAS信令通过不正常状态机对核心网发起攻击；

根据会话管理状态机的当前特定状态和状态-事件触发条件白名单阻断基于状态机的不合法NAS信令报文，防止伪装成合法格式的NAS信令通过不正常状态机对核心网发起攻击。

本发明的有益效果在于：

本发明提出了一种在入网附着阶段，基于控制面的空口非接入层信令防护装置和安全接入控制方法。既能够针对移动终端自身以及基站的身份进行接入控制，又能够对基站发送来的SCTP和S1-AP/NG-AP信令报文、终端发送的NAS信令报文的格式以及流程进行合规性检查，从而提供多维度的接入控制能力，以满足关键行业对移动通信专网的安全需求。

附图说明

图1是本发明实施例信令防护单元结构框图；

图2是本发明实施例在4G专网应用中接入控制方法流程示意图；

图3是本发明实施例在5G专网应用中接入控制方法流程示意图。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

对于面向关键行业的移动专网应用而言，移动专网所采用的传统安全接入控制机制存在以下几个方面的安全隐患：

（1）传统安全接入控制所涉及的身份认证，针对的只有移动终端上的SIM模块和安全模块，没有针对移动终端自身以及基站自身提供安全接入控制机制，攻击者利用移动终端和基站的漏洞或后门向核心网发起攻击；

（2）基站针对终端发送的NAS信令报文都会无条件转发，一旦攻击者获取到合法的USIM模块，使用非法移动终端，即便没有安全模块，在用户面业务通道建立之前，仍然可通过发送非法NAS信令报文向核心网发起攻击；

（3）除了发送非法NAS信令报文之外，攻击者还可利用非法移动终端，通过构造、重放合法NAS信令报文等手段，将合法NAS信令报文用于不正确的位置和状态机中，从而对核心网的可用性发起攻击；

（4）在SMC安全模式协商之前的NAS信令不支持完整性保护，攻击者可对SMC之前的NAS报文进行篡改。

为了解决上述技术问题，提出了本发明信令防护装置和接入控制方法的下述各个实施例。

实施例1

参照图1，如图1所示是本实施例提供的信令防护单元结构框图。信令防护单元包括底层协议栈、南北向接口、安全接入控制处理三个部分。

具体地，底层协议栈包括IP承载、SCTP协议栈、S1-AP（4G）/NG-AP（5G）协议栈以及NAS协议栈，主要提供相应层次报文的解析、封装以及收发功能。

南北向接口包括回调函数集和API接口集，回调函数集主要是底层协议栈中各个层次协议栈的接收后、解析后、封装前、发送前各个时间点的事件通知及相关操作等，API接口集主要是安全接入控制处理自身进行的各种操作以及对底层协议栈中各个层次协议栈的控制处理等。

安全接入控制处理包括基站合规性接入控制、终端合规性接入控制、报文合规性接入控制以及状态机合规性接入控制四个子模块。

本实施例中基站合规性接入控制的具体方法如下：

S1、从SCTP回调函数中获取上行SCTP报文中的源、目的IP地址和端口号；

S2、用源IP地址匹配基站接入控制策略，阻断非法基站的接入；用目的IP地址匹配基站能够访问的核心网网元，阻断基站的非授权访问接入；

S3、用目的端口号是否匹配其承载的S1-AP或NG-AP协议所对应的端口号（S1-AP默认端口号为36412、NG-AP默认端口号为38412），阻断基站访问非授权端口；

S4、从S1-AP或NG-AP回调函数中获取上行S1-AP或NG-AP报文中的基站ID和基站名称，阻断非法身份的基站接入。

本实施例中终端合规性接入控制的具体方法如下：

S1、从NAS回调函数中获取下行NAS安全模式命令SMC报文的各个要素；

S2、判断下行NAS安全模式命令SMC报文各个要素中是否携带IMEI（4G）/PEI（5G）请求要素；

S2-1、若下行NAS安全模式命令SMC报文中携带了IMEI/PEI请求要素，则不做处理；

S2-2、若下行NAS安全模式命令SMC报文中未携带了IMEI/PEI请求要素，则添加IMEI请求要素，以通知UE在上行NAS安全模式完成SMC报文中携带移动终端身份IMEI/PEI信息；

S3、从NAS回调函数中获取上行NAS安全模式完成SMC报文的各个要素；

S4、根据上行NAS安全模式完成SMC报文各个要素中携带了IMEI/PEI标识匹配移动终端的接入控制策略，阻断非授权移动终端的接入。

本实施例中报文合规性接入控制的具体方法如下：

S1、从SCTP回调函数中获取上行SCTP报文中的报文字段；

S2、判断上行SCTP报文中的各个字段格式是否合规；

S2-1、若上行SCTP报文中存在不合规格式的字段，则阻断该上行SCTP报文；

S2-2、若上行SCTP报文中的各个字段格式均合规，则继续后续处理；

S3、从S1-AP或NG-AP回调函数中获取上行S1-AP或NG-AP报文中的各个必选要素和可选要素；

S3-1、若上行S1-AP或NG-AP报文中存在不合规格式的必选要素，则阻断该上行S1-AP或NG-AP报文；

S3-2、若上行S1-AP或NG-AP报文中存在不合规格式的可选要素，则去掉该不合规的可选要素；

S3-3、若上行S1-AP或NG-AP报文中的各个必选、可选要素格式均合规，则继续后续处理；

S4、从NAS回调函数中获取上行NAS报文中的各个必选要素；

S4-1、若上行NAS报文中存在不合规的必选要素，则阻断该上行NAS报文；

S4-2、若上行NAS报文中存在不合规的可选要素，则判断该上行NAS报文是否有完整性保护；

S4-2-1、若该上行NAS报文有完整性保护，则阻断该上行NAS报文；

S4-2-2、若该上行NAS报文无完整性保护，则继续后续处理；

S4-3、若上行NAS报文中的各个必选、可选要素格式均合规，将该上行信令报文转发至核心网进行后续流程处理。

本实施例中状态机合规性接入控制的具体方法如下：

S1、针对每一个UE及其相关上下行NAS的信令报文，维护移动性管理和会话管理状态机；

S2、针对移动性管理状态机的当前特定状态，基于该状态输入触发事件触发条件白名单策略的接入控制机制，阻断基于状态机的不合法NAS信令报文，防止伪装成合法格式的NAS信令通过不正常状态机对核心网发起攻击；

S3、针对会话管理状态机的当前特定状态，基于该状态输入触发事件触发条件白名单策略的接入控制机制，阻断基于状态机的不合法NAS信令报文，防止伪装成合法格式的NAS信令通过不正常状态机对核心网发起攻击。

本实施例提供的信令防护装置和接入控制方法既能够针对移动终端自身以及基站的身份进行接入控制，又能够对基站发送来的SCTP和S1-AP/NG-AP信令报文、终端发送的NAS信令报文的格式以及流程进行合规性检查，从而提供多维度的接入控制能力，以满足关键行业对移动通信专网的安全需求。

实施例2

参照图2，如图2所示是本实施例在4G专网应用中接入控制方法流程示意图。

在4G专网应用中基于该种移动通信空口非接入层信令的安全接入控制方法和信令防护单元，相关功能实体包括4G移动终端UE、4G基站eNB、4G核心网EPC、5G专网应用以及信令防护单元。

具体步骤包括：

S1、对SCTP承载连接提供接入控制；

S1-1、根据SCTP的IP和端口号，对基站身份、访问目的地进行接入控制；

S1-2、根据SCTP报文格式进行报文合规性接入控制；

S1-3、对合规的SCTP承载连接进行代理中转。

S2、对S1-AP承载连接提供接入控制；

S2-1、根据S1-AP报文中基站ID和基站名称，对基站身份、访问目的地进行接入控制；

S2-2、根据S1-AP报文中的必选、可选要素格式进行报文合规性接入控制。

S2-3、对合规的S1-AP承载连接进行代理中转。

S3、对NAS信令提供接入控制；

S3-1、根据NAS报文中IMEI对移动终端身份进行接入控制；

S3-2、根据NAS报文中的必选、可选要素格式进行报文合规性接入控制；

S3-3、根据移动性管理和会话管理状态机，对每一个UE所处当前状态机的输入事件进行接入控制；

S3-4、对合规的NAS信令报文进行代理中转。

实施例3

参照图3，如图3所示是本实施例在5G专网应用中接入控制方法流程示意图。

在5G专网应用中基于该种移动通信空口非接入层信令的安全接入控制方法和信令防护单元，相关功能实体包括5G移动终端UE、5G基站gNB、5G核心网5GC、5G专网应用以及信令防护单元。

具体步骤包括：

S1、对SCTP承载连接提供接入控制；

S1-1、根据SCTP的IP和端口号，对基站身份、访问目的地进行接入控制；

S1-2、根据SCTP报文格式进行报文合规性接入控制；

S1-3、对合规的SCTP承载连接进行代理中转。

S2、对NG-AP承载连接提供接入控制；

S2-1、根据NG-AP报文中基站ID和基站名称，对基站身份、访问目的地进行接入控制；

S2-2、根据NG-AP报文中的必选、可选要素格式进行报文合规性接入控制。

S2-3、对合规的NG-AP承载连接进行代理中转。

S3、对NAS信令提供接入控制；

S3-1、根据NAS报文中PEI对移动终端身份进行接入控制；

S3-2、根据NAS报文中的必选、可选要素格式进行报文合规性接入控制；

S3-3、根据移动性管理和会话管理状态机，对每一个UE所处当前状态机的输入事件进行接入控制；

S3-4、对合规的NAS信令报文进行代理中转。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种信令防护装置，其特征在于，所述装置包括：

安全接入控制模块，所述安全接入控制模块用于提供合规性接入控制；

所述安全接入控制模块包括基站合规性接入控制子模块、终端合规性接入控制子模块、报文合规性接入控制子模块和状态机合规性接入控制子模块；

所述基站合规性接入控制子模块用于获取上行SCTP报文的源IP地址、目的IP地址和端口号以及获取上行S1-AP或NG-AP报文中的基站ID和基站名称，还用于阻断基站的非授权访问接入、阻断基站访问非授权端口和阻断非法身份的基站接入；

所述终端合规性接入控制子模块用于获取上行和下行NAS报文的要素和添加SMC报文的请求要素，还用于阻断非授权移动终端的接入；

所述报文合规性接入控制子模块用于获取上行SCTP报文中的报文字段并判断是否合规，所述报文合规性接入控制子模块还用于获取上行S1-AP或NG-AP报文中的要素、上行NAS报文中的要素并判断是否合规，还用于阻断不合规报文；

所述状态机合规性接入控制子模块用于根据用户设备、用户设备相关上下行NAS的信令报文和状态-事件触发条件白名单维护移动性管理和会话管理状态机，阻断基于状态机的不合法NAS信令报文；

底层协议栈，所述底层协议栈用于提供报文解析、封装和收发功能；

南北向接口，所述南北向接口包括回调函数集和应用编程接口集，所述回调函数集包括底层协议栈中各个层次协议栈的接收后、解析后、封装前、发送前各个时间点的事件通知及相关操作，所述应用编程接口集包括安全接入控制处理自身进行的各种操作以及对底层协议栈中各个层次协议栈的控制处理。

2.一种接入控制方法，其特征在于，所述方法根据权利要求1所述的信令防护装置实现基站合规性接入控制，所述方法包括：

从SCTP回调函数中获取上行SCTP报文中的源、目的IP地址和端口号；

用源IP地址匹配基站接入控制策略，阻断非法基站的接入；用目的IP地址匹配基站能够访问的核心网网元，阻断基站的非授权访问接入；用目的端口号是否匹配其承载的S1-AP或NG-AP协议所对应的端口号，阻断基站访问非授权端口；

从S1-AP或NG-AP回调函数中获取上行S1-AP或NG-AP报文中的基站ID和基站名称，阻断非法身份的基站接入。

3.一种接入控制方法，其特征在于，所述方法根据权利要求1所述的信令防护装置实现终端合规性接入控制，所述方法包括：

从NAS回调函数中获取下行NAS安全模式命令SMC报文的要素；

判断下行NAS安全模式命令SMC报文各个要素中是否携带IMEI或PEI请求要素；

若下行NAS安全模式命令SMC报文中携带了IMEI或PEI请求要素，则不做处理；若下行NAS安全模式命令SMC报文中未携带了IMEI或PEI请求要素，则添加IMEI请求要素；

从NAS回调函数中获取上行NAS安全模式完成SMC报文的要素；

根据上行NAS安全模式完成SMC报文各个要素中携带了IMEI或PEI标识匹配移动终端的接入控制策略，阻断非授权移动终端的接入。

4.一种接入控制方法，其特征在于，所述方法根据权利要求1所述的信令防护装置实现报文合规性接入控制，所述方法包括：

从SCTP回调函数中获取上行SCTP报文中的报文字段；

判断上行SCTP报文中的各个字段格式是否合规；

若上行SCTP报文中存在不合规格式的字段，则阻断包含不合规格式字段的上行SCTP报文；若上行SCTP报文中的各个字段格式均合规，则执行下一步；

从S1-AP或NG-AP回调函数中获取上行S1-AP或NG-AP报文中的各个必选要素和可选要素；

若上行S1-AP或NG-AP报文中存在不合规格式的必选要素，则阻断包含不合规格式要素的上行S1-AP或NG-AP报文；若上行S1-AP或NG-AP报文中存在不合规格式的可选要素，则去掉不合规的可选要素；若上行S1-AP或NG-AP报文中的各个必选、可选要素格式均合规，则执行下一步；

从NAS回调函数中获取上行NAS报文中的各个必选要素；

若上行NAS报文中存在不合规的必选要素，则阻断包含不合规必选要素的上行NAS报文；若上行NAS报文中存在不合规的可选要素，则判断包含不合规可选要素的上行NAS报文是否有完整性保护，有则阻断上行NAS报文，没有则发送至核心网；若上行NAS报文中的各个必选、可选要素格式均合规，将该上行信令报文转发至核心网。

5.一种接入控制方法，其特征在于，所述方法根据权利要求1所述的信令防护装置实现状态机合规性接入控制，所述方法包括：

针对每一个用户设备和用户设备相关上下行NAS的信令报文，维护移动性管理和会话管理状态机；

根据移动性管理状态机的当前特定状态和状态-事件触发条件白名单阻断基于状态机的不合法NAS信令报文，防止伪装成合法格式的NAS信令通过不正常状态机对核心网发起攻击；

根据会话管理状态机的当前特定状态和状态-事件触发条件白名单阻断基于状态机的不合法NAS信令报文，防止伪装成合法格式的NAS信令通过不正常状态机对核心网发起攻击。

Images