Современные системы радиосвязи стандарта DECT различаются сферой применения и в зависимости от назначения в их состав включаются разные компоненты. Учрежденческие системы радиосвязи позволяют предоставлять услуги связи сотрудникам предприятий и компаний в том случае, если создание стационарной проводной сети невозможно или пользователям необходимо перемещаться в пределах производственной территории.

Наиболее вероятными с точки зрения информационной безопасности являются следующие виды злонамеренных действий: нелегальное использование идентификатора АС и/или БС (создание станции-двойника); .нелегальное использование («хищение») АС; использование ложной БС; перехват информации пользователя.

Для бизнес систем по тяжести последствий на первое место выходит угроза перехвата конфиденциальной информации, так как в этом случае, ущерб, как правило, несоизмерим с оплатой счетов абонентов-«двойников». Серьезной угрозой интересам пользователя при отсутствии в системе контрмер по защите информации является даже пассивный перехват. Поэтому применение средств шифрования информации в радиоканале является в таком случае обязательным для радио-УАТС, особенно в банках, государственных учреждениях и т.п.

Довольно высока вероятность применения ложных БС для перехвата конфиденциальных сообщений или перенаправления их другому адресату. Наиболее эффективным способом защиты от подобных возможностей является процедура аутентификации БС.

Весьма вероятно и использование похищенной (или найденной) АС. Средствами борьбы с такой угрозой являются использование процедуры аутентификации пользователя (пароль) и создание «черного списка» в системе.

Проблема появления «двойников» достаточно актуальна и для радио-УАТС и решается с помощью повышения надежности процедуры аутентификации АС.

Эффективность контрмер против перехвата информации в общем случае зависит от возможностей атакующей стороны: 1) ограниченные знания о системе (например, известен протокол сигнализации, но отсутствуют данные об используемом алгоритме шифрования); 2) полные знания о системе, но ограничены ресурсы для анализа (например, ПК имеют ограниченную производительность); 3) полные знания о системе и «неограниченные» ресурсы для анализа (специальные высокоскоростные аппаратные средства дешифрации).

В первом случае вероятность нанесения ущерба пользователю весьма мала и может считаться несущественной; во втором - зависит от периода устаревания перехватываемой информации. В третьем случае результат определяется соотношением «стоимость информации к цене средств ее перехвата».

Для эффективной борьбы с перечисленными угрозами в стандарте ОЕСТ предусмотрен целый ряд процедур по защите информации. По требованию заказчика допускается также использование в оборудовании нестандартных средств. Штатные услуги и процедуры по обеспечению безопасности в системах стандарта ОЕСТ включают в себя: аутентификацию АС и БС; взаимную аутентификацию абонентской и базовой станций; аутентификацию пользователя; шифрование данных. В процессе аутентификации любого уровня используется криптографическая процедура «запрос-ответ», позволяющая выяснить, известен ли проверяемой стороне аутентификационный ключ.

Аутентификация АС позволяет предотвратить ее неправомочное использование (исключить случаи попытки избежать оплаты за услуги сети) или наложить запрет на возможность подключения похищенной или незарегистрированной трубки.

Аутентификация происходит по инициативе БС при каждой попытке установления соединения, как входящего, так и исходящего, а также во время сеанса связи. БС первоначально формирует и передает запрос, содержащий некоторый постоянный или сравнительно редко меняющийся параметр (64 бита) и случайное число (64 бита), полученное для данной сессии. Затем на обеих станциях в соответствии с определенным алгоритмом и аутентификационным ключом вычисляется аутентификационный ответ (32 бита). На БС вычисленный (ожидаемый) ответ сравнивается с принятым, и при совпадении считается, что аутентификация АС прошла успешно.

Аутентификация БС исключает возможность несанкционированного использования ее. С помощью этой процедуры обеспечивается безопасность служебной информации (данных о пользователе), хранящейся в трубке и обновляемой по команде с БС, а также исключается возмож ность перенаправления вызовов абонентов и пользовательских данных с целью их перехвата. Алгоритм аутентификации БС аналогичен последовательности действий при аутентификации АТ.

Взаимная аутентификация может осуществляться двумя способами:

• при прямом методе последовательно проводятся две процедуры аутентификации АС и БС;

• косвенный метод в одном случае подразумевает комбинацию двух процедур - аутентификации АС и шифрования данных (поскольку для шифрования информации необходимо знание аутентификационного ключа), а в другом - шифрование данных с использованием статического ключа SCK (Static Cipher Key), известного обеим станциям.

Аутентификация пользователя позволяет выяснить, знает ли абонент свой персональный идентификатор. Процедура инициируется БС в начале вызова и может активизироваться в процессе сеанса связи. После того, как пользователь наберет вручную свой персональный идентификатор UPI (User Personal Identity), а на AC с его помощью будет вычислен аутентификационный ключ, алгоритм дальнейших действий аналогичен их последовательности при аутентификации АС.

Во всех процедурах аутентификационный ответ вычисляется по аутентификационному запросу и ключу аутентификации в соответствии со стандартным алгоритмом (DSAA - DECT Standard Authentication Algorithm) или любым другим алгоритмом, отвечающим требованиям безопасности связи. Алгоритм DSAA является конфиденциальной информацией и поставляется по контракту с ETSI. Использование другого алгоритма будет ограничивать возможности АС из-за трудностей, возникающих при роуминге в сетях общего пользования DECT. Аутентификационный ключ является производной от одной из трех величин или их комбинаций: абонентский аутентификационный ключ UAK (User Authentication Key) длиной до 128 бит. UAK является уникальной величиной, содержащейся в регистрационных данных пользователя. Он хранится в ПЗУ абонентской станции или в карточке DAM (DECT Authentication Module); аутентификационный код AC (Authentication Code) длиной 16-32 бита. Он может храниться в ПЗУ абонентской станции или вводиться вручную, когда это требуется для проведения процедуры аутентификации. Существенной разницы между параметрами UAK и АС нет. Второй чаще используется в тех случаях, когда требуется довольно частая смена аутентификационного ключа; персональный идентификатор пользователя VP1 (User Personal Identity) длиной 16-32 бита. UPI не записывается в устройства памяти АС, а вводится абонентом вручную, когда это требуется для проведения процедуры аутентификации. Идентификатор UPI всегда используется с ключом UAK.

Шифрование данных обеспечивает криптографическую защиту пользовательских данных и управляющей информации, передаваемых по радиоканалам между АС и БС. На обеих станциях применяется общий ключ шифрования СК (Cipher Key), на основе которого формируется шифрующая последовательность KSS (Key Stream Segments), накладываемая на поток данных на передающей стороне и снимаемая на приемной. KSS вычисляется в соответствии со стандартным алгоритмом шифрования DSC (DECT Standard Cipher) или любым другим алгоритмом, отвечающим требованиям криптографической стойкости. Алгоритм DSC является конфиденциальной информацией и поставляется по контракту ETSI.

В зависимости от условий применения систем DECT могут использоваться ключи шифрования двух типов: вычисляемый - DCK (Derivation Cipher Key) и статический - SCK. Статические ключи SCK вводятся абонентом вручную, а вычисляемые DCK обновляются в начале каждой процедуры аутентификации и являются производной от аутентификационного ключа. В ПЗУ станции может храниться до 8 таких ключей.

Статический ключ обычно используется в домашних системах связи.

Стандарт DECT допускает различные способы загрузки аутентификационных ключей в оборудование: через радиоинтерфейс; вручную; в процессе производства; с помощью карточки DAM.

Каждый из вариантов имеет свои достоинства и недостатки. Например, загрузка через радиоинтерфейс может нанести серьезный ущерб безопасности системы, но технологически она очень удобна в больших сетях абонентского радиодоступа. При установке ключей в процессе производства всегда существует опасность утечки информации, особенно при наличии поставщиков-посредников, так как по экономическим соображениям пока не удается обеспечить гарантированную физическую защиту от считывания ПЗУ. Таким образом, наиболее эффективными средствами хранения ключей являются карточки DAM.

⇐Защита телефонной системы уатс от несанкционированного доступа | Корпоративные сети связи | Правильное электропитание. проблемы и решения⇒