СПОСОБ ДЛЯ ЗАЩИТЫ МОБИЛЬНОЙ СВЯЗИ В СЕТИ МОБИЛЬНОЙ СВЯЗИ И УСТРОЙСТВО ДЛЯ ЭТОГО
METHOD FOR MOBILE COMMUNICATION PROTECTION IN MOBILE COMMUNICATION NETWORK AND DEVICE FOR THIS

ОБЛАСТЬ ТЕХНИКИ
Настоящее изобретение относится к мобильной связи и, в частности к усовершенствованию вопросов защиты, относящихся к незащищенным сообщениям эфирного интерфейса, передаваемым на устройство мобильной связи через сеть мобильной связи.
УРОВЕНЬ ТЕХНИКИ
Настоящее изобретение не ограничено Универсальной системой мобильных телекоммуникаций (UMTS) и, равным образом, может применяться к сетям Глобальной системы мобильной связи/Общей службы пакетной радиопередачи (GSM/GPRS) или, конечно, к любым другим сетям связи.
Типичная архитектура сотовой системы радиосвязи, подобной Универсальной системе мобильных телекоммуникаций (UMTS), показана на фиг.1. UMTS содержит мобильное пользовательское оборудование (UE), сеть радиодоступа (RAN) и одну или более базовых сетей (CN). UMTS является системой радиосвязи третьего поколения, использующей технологию широкополосного множественного доступа с кодовым разделением каналов (W-CDMA).
Фиг.2 показывает более подробную архитектуру сети радиодоступа, содержащей базовые станции и контроллеры радиосети/базовой станции (RNC/BSC). Базовые станции управляют фактической связью через интерфейс радиосвязи, покрывая определенную географическую зону, также указываемую ссылкой как сота. Кроме управления базовыми станциями, присоединенными к нему, RNC включают функциональные возможности, такие как выделение ресурсов радиосвязи, локальная мобильность и т.п. RNC присоединяется:
- к одной или более базовых сетей через интерфейс Iu (интерфейс между UTRAN и CN),
- к некоторому количеству базовых станций (Узлу Б для случая UTRAN) через интерфейс Iub (интерфейс между UTRAN и Узлом Б) и
- возможно, к одному или более других RNC через интерфейс Iur (интерфейс между UTRAN и RNC).
Фиг.3 обеспечивает обзор принципов регистрации и соединения UE в пределах UMTS с доменом обслуживания с коммутацией каналов (CS) и доменом обслуживания с коммутацией пакетов (PS). Дополнительные подробности для этого могут быть найдены на веб-сайте Проекта партнерства 3 поколения (3GPP), на http://www.3gpp.org/, в документе «3GPP TS 33.102 Security Architecture» («Архитектура защиты 3GPP TS 33.102»). (Временные) идентификация, аутентификация и согласование ключей пользователя происходит независимо в каждом домене обслуживания. Трафик плоскости пользователя шифруется с использованием ключа шифрования для соответствующего домена обслуживания наряду с тем, что данные плоскости управления шифруются и подвергаются защите целостности с использованием шифра и ключей целостности из любого одного из доменов обслуживания.
Домены CS и PS по-отдельности и асинхронно устанавливают свой контекст защиты с равноправными сторонами UE. Этот контекст защиты может рассматриваться, в своем наипростейшем виде, устанавливаемым работой процедуры аутентификации, которая формирует ключи защиты, ассоциативно связанные и принадлежащие такому контексту защиты. Процедура аутентификации необязательна, и ее выполнение является решением сети. Процедуры аутентификации и контекст защиты, являющийся ее следствием, не гарантируют защиту интерфейса радиосвязи. Чтобы гарантировать защиту интерфейса радиосвязи требуется, чтобы выполнялась процедура настройки защиты. Процедура настройки защиты гарантирует, что любые сообщения, отправленные через эфирный интерфейс, защищены.
Фиг.4 дает краткую упрощенную иллюстрацию последовательности событий протокола, которые происходят для нормального запроса на обслуживание уровня 3. Крайняя левая часть фиг.4 дает представление о последовательности процедур, которые осуществляют подготовку к настройке целостности и, таким образом, с гарантией, что сообщения сигнализации «по эфиру» (OTA) полностью защищены. Вплоть до тех пор, пока эта процедура настройки не завершена, и не активирована защита целостности, сообщения OTA не являются защищенными.
На этапе 1 UE и обслуживающий контроллер радиосети (SRNC) устанавливают соединение RRC (управления радиоресурсами). Это включает в себя передачу ограниченных параметров защиты на уровне RRC (управления радиоресурсами) и характеристики защиты UE. На этапе 2 SRNC сохраняет ограниченные параметры защиты и характеристики защиты UE. На этапе 3 «начальное сообщение уровня 3 (L3)» с идентичностью пользователя, ключевой последовательностью и т.п. отравляется в реестр местоположения посетителя/обслуживающий узел поддержки GPRS (VLR/SGSN).
В свою очередь, на этапе 4 VLR/SGSN переадресовывает формирование ключа аутентификации на UE. Этап 4 является необязательным этапом, который может выполняться или может не выполняться сетью. На этапе 5 посредством VLR/SGSN принимается решение о требуемых целостности и шифровании. На этапе 6 VLR/SGSN запрашивает настройку защиты отправкой сообщения в SRNC. На этапе 7 SRNC инициирует процедуры защиты отправкой сообщения на UE. Процедуры защиты завершаются UE отправкой сообщения в обратном направлении, в SRNC, на этапе 8. На этапе 9 SRNC отправляет дополнительное сообщение обратно в VLR/SGSN, чтобы завершить настройки защиты. На этапе 10 обслуживание уровня 3 может продолжаться между UE и SGSN.
Дополнительные подробности могут быть найдены в спецификации уровня 3 интерфейса мобильной радиосвязи TS 24.008 3GPP; Протоколы базовой сети; Стадия 3, и спецификации протокола управления радиоресурсами (RRC), обе из которых могут быть найдены на веб-сайте Проекта партнерства 3 поколения (3GPP), на http://www.3gpp.org/.
На фиг.4 подчеркнуто, что этап 4, процедура аутентификации, является необязательной процедурой. Сеть принимает решение, должна ли таковая выполняться, на основании нескольких параметров вне объема этого описания. Однако должно быть отмечено, что независимо от того, выполняется ли аутентификация сетью, процедура настройки защиты, которая нацелена на защиту целостности сообщений OTA (по эфиру), по-прежнему может происходить, поскольку контекст защиты существует между UE и сетью.
Фиг.5 показывает последовательность событий протокола для запроса уровня 3, которая не признана приемлемой (и, таким образом, признана негодной) сетью. Эта признанная негодной последовательность одинакова, независимо от того, предназначена ли запрошенная услуга уровня 3 для установления вызовов или сеансов, или для регистрации UE в сети.
На этапе 1 UE и обслуживающий контроллер радиосети (SRNC) устанавливают соединение RRC. Это включает в себя передачу ограниченных параметров защиты на уровне RRC и характеристик защиты UE. На этапе 2 SRNC сохраняет ограниченные параметры защиты и характеристики защиты UE. На этапе 3 «начальное сообщение уровня 3 (L3)» с идентичностью пользователя, ключевой последовательностью и т.п. отправляется в реестр местоположения посетителя/обслуживающий узел поддержки GPRS (VLR/SGSN).
На этапе 4 VLR/SGSN проверяет действительность запроса уровня 3. Если запрос неприемлем, VLR/SGSN признает негодным запрос на этапе 5. Это признание запроса негодным отправляется через сеть на UE без защиты целостности.
На основании вышеописанной системы, для хакера или, в терминах профессиональной фразеологии Универсальной системы мобильных телекоммуникаций (UMTS), «ложной базовой станции» является возможным провоцировать атаки обслуживания против UE предоставлением ложной информации в пределах не защищенных по целостности сообщений, отправляемых через эфирный интерфейс на устройство мобильной связи. Эти атаки могут вызывать «нарушение нормального обслуживания пользователей» (DoS) в отношении пользователя мобильной связи.
Включенным в UMTS, а до нее GSM/GPRS, является таймер в пределах UE, который сдерживает последующие попытки автоматической регистрации в отношении домена PS, сопровождающие аномальное несрабатывание процедуры регистрации. Этот таймер обозначен в системе как таймер T3302.
T3302 имеет значение по умолчанию в 12 минут, которое используется от включения питания до тех пор, пока для параметра не задано другое значение. UE может задаваться другое значение для T3302 в сообщениях ATTACH_ACCEPT, ATTACH_REJECT, ROUTING_AREA_UPDATE_ACCEPT и ROUTING_AREA_UPDATE_REJECT.
Значение, задаваемое в отношении T3302, находится между 2 секундами и 3 часами 6 минутами. В качестве альтернативы параметр T3302 может указываться в качестве 'выведенного из работы'. Следствие настройки T3302 в 'выведенный из работы' состоит в том, что попытки регистрации в домене PS вслед за 'аномальном несрабатыванием' процедуры регистрации блокируются.
'Аномальное несрабатывание' определено, как изложено ниже. Когда сеть признает негодным запрос уровня 3 NAS мобильной связи, сеть выдает причину, в системе таковая названа Основанием признания негодным. Основание признания негодным будет информировать UE, какое следующее действие UE будет, должно или может предпринять. Если основание признания негодным не понято UE, основание называется Аномальным случаем, а несрабатывания, являющиеся следствием этого, называются аномальными несрабатываниями. Аномальные случаи также покрывают a) нижний уровень (то есть несрабатывания радиосвязи), b) таймаут процедуры (то есть отсутствие ответа от CN), c) признание непригодным CN по причине, которая не предполагается UE (например, если унаследованное UE является действующим в более поздних вариантах исполнения сети, например, CN варианта 98 исполнения отправляет новое Основание #14 признания непригодным на UE, которое создано по спецификациям ступени 2 развития GSM).
Если никакие дополнительные попытки регистрации не разрешены, UE отказано в обслуживании до тех пор, пока не происходит одно из следующих действий.
a) ручной запрос приводится в действие пользователем (например, ручной запрос на услуги PS), или b) UE проходит через энергетический цикл (то есть пользователь выключает питание устройства, а затем обратно включает питание устройства), или c) есть физическое изменение зоны маршрутизации (например, UE перемещается из одной соты в другую).
UE использует значение по умолчанию T3302 от включения питания и продолжает использовать значение по умолчанию до тех пор, пока ему не задано другое значение.
Дополнительная проблема может существовать для UE, которые уже зарегистрированы в сети. То есть увеличение количества попыток регистраций в сети отдельными еще не зарегистрированными UE может иметь результатом повышение радиошумов для таких уже зарегистрированных UE. К тому же невыполненное обслуживание может происходить для уже зарегистрированных UE, в следствие этого повышения шумов, и/или потеря полосы пропускания в следствие большого количества запросов на регистрацию.
Угрозы незащищенных сообщений по эфиру (OTA) известны. Поэтому в дополнение к криптографической защите UMTS имеет в распоряжении защиту целостности, разработанную в придачу к ней. Кроме того, UMTS имеет строгие правила аутентификации и продуманные алгоритмы целостности и шифрования, а также осуществляет проверку, чтобы предоставить мобильному устройству возможность удостоверяться, что сеть является настоящей. Примеры этих аспектов защиты могут быть найдены на веб-сайте Проекта партнерства 3 поколения (3GPP) на http://www.3gpp.org/ в документах TS 33.102 и 24.008.
Для того чтобы защитить сообщения OTA, в UMTS должна выполняться защита целостности. Защита целостности начинается после того, как, по выбору, запускается процедура аутентификации и согласования ключей (AKA). Хотя необязательно запускать AKA каждый раз, когда UE осуществляет доступ к сети, защита целостности может запускаться при самом раннем возможном благоприятном случае, каждый раз, когда UE осуществляет доступ к сети. Аспекты защиты в UMTS поэтому могут применяться в сети только однажды, а UE выполняет защиту целостности и, таким образом, делает сообщения OTA защищенными.
В UMTS защита целостности инициируется базовой сетью (CN), как только CN приняла и обработала самое первое сообщение уровня 3 NAS (уровня, не связанного с предоставлением доступа) и находит запрос уровня 3 NAS приемлемым, CN направляется дальше с таким запросом уровня 3 NAS. Если CN находит первое сообщение запроса уровня 3 NAS UE неприемлемым, CN признает UE негодным, отправляя признанное негодным сообщение либо в виде сообщения ATTACH_REJECT, либо ROUTING_AREA_ UPDATE_REJECT. Процедура защиты, которая инициирует защиту целостности сообщений OTA, не начинается, так как предполагается, что, если CN признает негодным запрос обслуживания, задействование защиты является необязательным, в то время как ожидается, что транзакция UE-сеть должна завершиться. Это означает, что сообщения признания негодным OTA на мобильное устройство, которые не защищаются по целостности, являются незащищенными.
Кроме того, для параметра таймера T3302 в сообщениях ATTACH_REJECT и ROUTING_AREA_UPDATE_REJECT является возможным подвергаться манипуляции для того, чтобы провоцировать атаку с целью нарушения нормального обслуживания пользователей против UE. Это могло бы быть возможным посредством перехвата сообщений признания недействительным из сети и последующего искажения параметров таймера T3302. Однако, наиболее вероятно, что потенциальный хакер мог бы сконструировать полностью ложное сообщение (ATTACH_REJECT или ROUTING_AREA_UPDATE_REJECT) признания негодным и отправить его на UE.
Поэтому хакер может провоцировать атаку с целью нарушения нормального обслуживания пользователей против мобильного устройства UMTS манипулированием параметрами в сообщениях ATTACH_REJECT или ROUTING_AREA_UPDATE_REJECT, которые не защищены по целостности.
В наихудшем случае, как пояснено выше, эта атака с целью нарушения нормального обслуживания пользователей может блокировать обслуживание PS до тех пор, пока UE физически не перемещается, пользователь не инициирует определенный запрос для обслуживания PS или пользователь не выполняет повторное включение питания.
В GSM/GPRS и UMTS вплоть до варианта 5 исполнения система была разработана с циклом последовательности операций, в силу которого попытка процедуры регистрации, которая не срабатывает аномально, будет повторяться. Повторы регистрации управляются таймерами (иными, чем T3302) и перемещением UE в пределах сети. UE будет предпринимать процедуру регистрации 5 раз до того, как запущен T3302.
Поэтому вплоть до варианта 5 исполнения UMTS, статистически, есть более чем хорошая вероятность, что любое признание регистрации негодной и его информация, если искажена хакером, будет обновляться следующим признанием регистрации негодным или делаться неуместным успешной регистрацией или обновлением регистрации. Однако сеть необязательно обновляет любые искаженные параметры в T3302, так как для сети является необязательным выдавать параметр для T3302. Более того, сеть не может определять, предоставил ли хакер заранее искаженное значение для T3302. Значит искаженный T3302, который не обновлен, будет применяться, когда повторение процедуры регистрации подходит к концу. К тому же искаженный T3302 будет использоваться в следующий раз, когда мобильное устройство сталкивается с ситуацией, где T3302 должен запускаться снова.
Одна из проблем с этим существующим решением состоит в том, что при условии, что каждое появление аномального условия засчитывается в качестве несрабатывания в отношении попытки процедуры регистрации, хакер может, посредством 'принудительного применения' 5 следующих друг за другом появлений аномальных несрабатываний, завершить весь цикл последовательности операций процедуры регистрации и, таким образом, заставить T3302 запускаться.
Вышеописанная проблема усугубляется заменой на вариант 6 исполнения спецификации NAS посредством введения средства для обхода существующего решения. В варианте 6 исполнения UMTS такое же неявное решение о повторе процедуры регистрации 5 раз существует перед запуском таймера T3302. Значит есть в равной степени хорошая вероятность реальной сети, обновляющей искаженный параметр T3302. Однако, подобно предварительному варианту 6 исполнения, нет гарантии, что сеть будет обновлять T3302, и сеть не знает, что хакер испортил T3302.
К тому же изменения в отношении варианта 6 исполнения спецификации NAS предоставляют повторяющемуся циклу процедуры регистрации возможность завершаться немедленно, если определенные основания признания негодным приняты UE. Изменения в отношении варианта 6 исполнения могут быть найдены в Tdoc N1-041602 на веб-сайте 3GPP, указанном выше.
Поэтому хакер может не только искажать системное значение T3302, а также и поставлять основание признания негодным, которое заставляет мобильное устройство останавливать дальнейшие попытки автоматической регистрации до тех пор, пока не изменен искаженный T3302.
РАСКРЫТИЕ ИЗОБРЕТЕНИЯ
ТЕХНИЧЕСКАЯ ЗАДАЧА
Настоящее изобретение нацелено на преодоление или по меньшей мере смягчение некоторых или всех из вышеописанных проблем.
ТЕХНИЧЕСКОЕ РЕШЕНИЕ
В одном из аспектов настоящее изобретение предлагает способ работы устройства мобильной связи в сети мобильной связи, причем способ содержит этапы работы устройства мобильной связи: прием незащищенного по целостности сообщения со значением параметра, включенным в него, которое должно вводиться в действие в устройстве мобильной связи; использование предопределенного значения, сохраненного на устройстве мобильной связи, вместо принятого значения параметра.
В дополнительном аспекте настоящее изобретение предлагает способ связи через сеть мобильной связи с использованием эфирного интерфейса для связи с устройством мобильной связи, в котором защищенное по целостности и незащищенное по целостности сообщения передаются на устройство мобильной связи, причем упомянутые сообщения включают в себя значения параметров, которые должны вводиться в действие в устройстве мобильной связи, при этом способ содержит этапы: удостоверения, что устройство мобильной связи использует действительное значение для параметра, причем действительное значение предоставляет связи возможность продолжаться через сеть.
ПОЛОЖИТЕЛЬНЫЕ РЕЗУЛЬТАТЫ
Настоящее изобретение обеспечивает легкость для реализации еще более эффективного способа предотвращения атак с целью нарушения нормального обслуживания пользователей на UE.
КРАТКОЕ ОПИСАНИЕ ЧЕРТЕЖЕЙ
Отдельные варианты осуществления настоящего изобретения далее будут описаны, только в качестве примера, со ссылкой на несколько прилагаемых чертежей, на которых:
фиг.1 показывает типичную архитектуру известной сотовой сети;
фиг.2 показывает более детализированную известную архитектуру сети UTRAN;
фиг.3 показывает обзор известных принципов регистрации и соединения UE в пределах UMTS;
фиг.4 показывает последовательность известных процедурных событий, ведущую к защищенному по целостности интерфейсу радиосвязи;
фиг.5 показывает известную последовательность событий, приводящую к сети, признающей негодным запрос доступа к услугам уровня 3 UE;
фиг.6 показывает блок-схему последовательности операций способа, изображающую этапы, предпринимаемые для реализации одного из вариантов осуществления настоящего изобретения.
НАИЛУЧШИЙ ВАРИАНТ ОСУЩЕСТВЛЕНИЯ ИЗОБРЕТЕНИЯ
Первый вариант осуществления
Далее будет описан первый вариант осуществления настоящего изобретения. Когда UE принимает значение для параметра T3302 в незащищенном по целостности сообщении OTA, например в сообщениях ATTACH_REJECT или ROUTING_AREA_ UPDATE_REJECT, UE не вводит в действие такое значение параметра. Взамен UE использует предопределенное значение, которое представляется защищенным.
То есть UE будет использовать
A) используемое в текущий момент значение T3302, такое как значение, введенное в действие ранее при приеме защищенного по целостности сообщения OTA, или значение по умолчанию, если обновленное значение ранее не было введено в действие согласно принятому защищенному по целостности сообщению OTA, либо
B) значение по умолчанию T3302.
Выбор того, реализуется ли A или B, является предопределенным вариантом выбора, и встроен в программное обеспечение UE.
Эта процедура показана на фиг.6, при этом UE начинает процедуру регистрации на этапе S601. Хакер, затем, отправляет незащищенное по целостности сообщение, которое включает в себя значение для параметра T3302 на UE, как показано на этапе S603.
На этапе S605 UE использует предопределенное значение для параметра T3302, который хранится в пределах UE.
UE, в таком случае, переходит на этап S607 или этап S609 в зависимости от того, какое решение реализовано в программном обеспечении UE.
Для варианта A выбора, на этапе S607, UE игнорирует любые значения параметра для T3302 в не защищенном по целостности сообщении и взамен использует свое используемое в текущий момент значение для такого параметра. Используемое в текущий момент значение может быть либо его значением по умолчанию, либо значением, установленным при приеме предыдущего защищенного по целостности сообщении OTA.
Для варианта B выбора, на этапе S609, UE всегда использует свое значение по умолчанию параметра для T3302.
Процедура затем заканчивается на этапе S611.
Так как этот первый вариант осуществления изобретения реализуется с использованием основанного на UE решения, программное обеспечение UE нуждается в модернизации. Новые UE могут модернизироваться до отправки UE заказчику. Для существующих UE, которые уже находятся в действии на месте, привнесение этого решения потребует либо отзыв таких UE, либо модернизацию программного обеспечения «по эфиру».
Второй вариант осуществления
Этот второй вариант осуществления настоящего изобретения используется в соединении с первым вариантом осуществления.
В дополнение к признакам первого варианта осуществления сети не разрешено поставлять значение для T3302 в любом незащищенном по целостности сообщении OTA. Если такое обновление поставляется в любых таких незащищенных по целостности сообщениях OTA, например хакером, оно не должно вводиться в действие UE. То есть UE будет выполнять способ, как описано выше, в соответствии с первым вариантом осуществления.
Будет понятно, что, для того чтобы реализовать этот вариант осуществления, новые варианты исполнения сетей могут без труда перенимать это решение. Однако, для существующих ранее вариантов исполнения сетей, будет необходимо разворачивать исправление программного обеспечения в рабочем узле(ах) сети.
Как и в первом варианте осуществления, потребуется модернизация более старого программного обеспечения UE.
Третий вариант осуществления
Этот третий вариант осуществления используется в сочетании с первым вариантом осуществления, описанным выше. В этом варианте осуществления сети даны полномочия всегда поставлять действительное значение для T3302 по завершению регистрации или обновления регистрации.
Сеть была бы не осведомлена о каких бы то ни было предыдущих успешных атаках на значение параметра для T3302, а значит, когда UE присоединяется к сети, искаженное значение для T3302 может быть по-прежнему установленным в UE.
Поэтому, в этом варианте осуществления, сеть поставляет действительное значение для T3302 в сообщениях ATTACH_ACCEPT и ROUTING_AREA_UPDATE_ACCEPT, отправляемых на UE после того, как завершена регистрация. Таким образом, даже если хакер исказил вариант T3302 UE, а значит изменил параметр таймера до успешной регистрации, реальная сеть, после признания попытки регистрации и/или обновления регистрации, будет обновлять значение параметра T3302 действительным значением.
Так как вышеописанный вариант осуществления дает сети полномочия обновлять потенциально искаженную информацию в UE, необходимые изменения находятся полностью на стороне сети. Поэтому этот вариант осуществления эффективен даже для уже существующих рабочих UE.
Никакие модернизации не требуются для этих рабочих UE. Однако, как существующие, так и новые сети, будут требовать обновления для ввода в действие изменения.
Будет понятно, что варианты осуществления настоящего изобретения описаны в материалах настоящей заявки только в качестве примера, и что различные изменения и модификации могут производиться, не выходя из объема изобретения.
Будет понятно, что настоящее изобретение может быть расширено, чтобы покрывать любую важную информацию, таймеры или параметры, которые отправляются на UE в незащищенном по целостности сообщении OTA, которое, если упомянутая информация, таймеры или параметры искажены хакером, будет иметь результатом атаку с целью нарушения нормального обслуживания пользователей.
Кроме того, будет понятно, что изобретение может применяться к любым сообщениям, принимаемым устройством мобильной связи, которые не являются защищенными.