金融行业3G无线安全接入解决方案

3G无线安全接入解决方案第1页共12页3G无线安全接入解决方案锐捷网络3G无线安全接入解决方案第2页共12页目录１、客户存在的困惑..............................................................................................................................3２、3G数据业务介绍.............................................................................................................................3３、解决方案..........................................................................................................................................6３．１．整体方案概述......................................................................................................................6３．２．安全保障措施......................................................................................................................8４、附3G无线安全介绍.......................................................................................................................93G无线安全接入解决方案第3页共12页１、客户存在的困惑长期以来SDH/ATM/DDN等专线做为银行柜面网点、自助银行、离行式ATM、上门服务业务接入的唯一选择，很好地保障了金融业务的开展。但是这几年银行以下几点的变化，使得传统的专线存在一些不足：1、近年来银行部署了大量的离行式ATM机、查询机、自助银行，让客户体验到无处不在的便利服务。但是这些网点分散在大街小巷、商场社区、甚至沿海省份海岛上、西北省份大型油田/电力/军队系统中，外部专线难以进入，影响布放点的选择和业务开展。2、银行为VIP客户提供上门办理业务的服务，需要移动网点。银行在学校/企业/大型会议提供的临时服务，需要临时网点。这两种需求都有一个共同的特点，机动灵活，但专线开通的周期长，机动灵活性不足。3、集约化已经成为银行经营管理的主旋律，银行更加关注成本及收益，大量的柜面网点由于重要性高，都要求采用双线路保证更高的可靠性，采用双专线线路备份成本高。尤其是备份线路，只在主线路故障时才启用，长期闲置，投资利用率低。２、3G数据业务介绍3G飞速发展2009年１月份国家工业与信息化部正式向移动、电信、联通三家运营商分别颁发了TD-SCDMA、CDMA2000、WCDMA三张牌照，3G开始正式拉开序幕。通过3G用户可以实现无线宽带接入，在速度方面和2.5G相比有质的飞越，这使得3G在更多企业通讯场合中替代有线成为了可能。目前三种3G的理论速率如下：中国联通：WCDMA，下行7.2M，上行5.76M；中国移动：TD-SCDMA，下行2M，上行384K；中国电信：WCDMA2000，下行3.1M，上行1.8M；3G无线安全接入解决方案第4页共12页经过近一年的发展，3G无线信号已经覆盖了众多的城市，并且运营商仍不断在扩大覆盖的范围，优化信号质量。目前情况大致如下：中国联通：覆盖全国285个城市（截止2009年9月）中国移动：覆盖全国238个城市（截止2009年底）中国电信：覆盖全国342个城市（截止2009年9月）3G的飞速发展为银行通过无线技术解决目前有线专线存在的问题，成为可能。3G两种数据业务3G用于企业数据通讯的业务可以归结为两种：一种是普通互联网业务；一种是无线VPDN业务（或无线DDN）。相对应就有两种解决方案：（1．自建VPN）（2.运营商VPDN）第一种，通过互联网自建VPN的方案。网点路由器通过3G拨到普通互联网，总部出口架设一条直通互联网的专线，且分配公有地址。网点和总部的路由器之间直接建立IPSECVPN加密隧道。由于有些运营商为3G分配私有地址，运营商内部要经过NAT，所以需要采用IPSECVPN穿越NAT的机制。3G无线安全接入解决方案第5页共12页第二种，利用运营商提供的VPDN方案。网点路由器通过3G拨号至运营商的LAC设备，然后LAC设备通过专线和总部出口的路由器（即LNS）建立L2TPVPN隧道。然后网点路由器再与总部路由器，在L2TP基础之上建立IPSECVPN加密隧道。运营商可以通过策略使网点3GSIM卡，只开通VPDN服务，禁止互联网服务，这样即保证安全又可以防止员工非法使用。运营商和总部之间可以采用专线、城域网VPN等线路，针对银行一般采用SDH/MSTP等专线更加安全。两种方案优劣势的分析对比如下：第一种方案网点3G和总部出口链路都连接普通互联网，成本较低，但安全性较差，网点的3G和总部的链路不一定是同一家运营商，组网灵活性好。因此，适用于移动办公等应用场合。第二种方案网点的3G只能拨到总部，总部采用专线，两端都和互联网隔离，安全性高，成本较高，网点的3G必须和总部的专线隶属同一家运营商，灵活性较差。因此适用于生产环境下的应用场合。3G无线安全接入解决方案第6页共12页３、解决方案３．１．整体方案概述如上图所示，网点采用路由器+3GMODEM，运营商需要有LAC及配套的AAA服务器。总部需要准备一台路由器（LNS），一条专线，一台AAA服务器。AAA服务器负责对3G用户进行认证并向LAC下发该用户对应的LNS信息，LAC负责与LNS建立隧道。网点路由器的IP地址，可以静态指定也可以由AAA服务器分配（注：中国移动VPDN的3G用户地址空间不能随意分配，须按照移动的统一规划，使用地址空间）。解决方案建议网点端采用静态IP地址。LNS端路由器必须采用静态IP地址。锐捷RSR10/20可以直接扩展内置的3G卡，满足柜面网点、临时网点、上门服务车等环境中应用需求。为了增强安全性RSR10/20可以扩展国密办的加密算法卡，这样在涉及到现金生产交易业务的环境中，如离行式ATM、柜面网点，可以保证生产业务安全。同时，为满足离行式ATM机，上门服务车等应用场合，锐捷定制了RSR10的小尺寸机箱路由器，其重量只有1KG，轻便易于携带，而且可以轻松地放入自助机具中，不需专门的机柜，部署方便。同时，整个解决方案还可以兼容柜面业务延伸应用，在柜面业务延伸应用中柜员只携带一台笔记本电脑或终端上门服务，只需要普通的USB3G卡采用操作系统自带的IPSECVPN3G无线安全接入解决方案第7页共12页客户端拨号，锐捷的LNS路由器RSR30/50同样可以兼容这种模式。工作原理如下：运营商AAA服务器中配置用户IMSI信息（IMSI是在运营商网络中唯一识别一个移动用户的号码，由15位数字组成，存于SIM卡中）、终端用户的账号和密码、对应LNS地址、VPDN隧道属性。总部AAA服务器主要存放网点路由器建立连接时所需要的用户名和密码。用户名的格式为[e-mail]，其中@前面的字符串可以由用户端自行定义，＠后面的字符串即域名，必须由运营商分配。运营商AAA服务器通过域名，确认该用户的权限。运营商AAA服务器与总部AAA服务器的用户名和密码必须一致。以下是主要的报文交互过程：1)网点路由器3Gmodem通过无线信号找到运营商基站并注册连接（对SIM卡认证、并协商双方加密密钥）。2)路由器启动PPP拨号向LAC发出认证请求。3)LAC把认证请求转至运营商LACAAA服务器。4)AAA服务器将会回复认证结果并返回该用户所属的LNS地址、VPDN隧道属性等信息。5)LAC向返回的LNS地址发出L2TP隧道建立请求，隧道建立成功（请求建立隧道的认证可选）。6)LNS对网点路由器的用户名和密码进行重新认证（LNS对网点路由器的重认证可选）。7)L2TP隧道建立完成。网点路由器对应的拨号接口UP。8)如果网点发起了能够触发IPSECVPN的流量，则IPSECVPN隧道建立过程启3G无线安全接入解决方案第8页共12页动。网点路由器与LNS发起IPSECVPN连接请求。３．２．安全保障措施安全措施，主要有以下几个方面：1)无线加密：网点路由器3GMODEM通过信号找到基站后，有一个注册的过程，在这个过程中运营商侧需要对接入的3GSIM卡身份通过密钥机制进行确认（这个过程也称为鉴权）。在身份确认的过程中，双方还会协商用于通讯加密的密钥，并在通信过程中采用该密钥对数据和话音进行加密，以避免被监听。同时在对数据加密完成之后，还会附加上校验码，对方在收到之后会重新计算和核对校验码是否正确，以此判断信息是否在无线传输过程中被篡改。2)访问控制：访问控制分成三部分，1、针对企业外部用户的访问控制；2、针对企业内部用户的访问控制；3、针对互联网服务的访问控制。针对第一点，运营商AAA服务器上可以绑定账号和SIM卡中的IMSI标识号，由于不同的SIM卡IMSI标识号不同，所以企业外部用户不可以使用非指定的卡拨进企业中。针对第二点，在企业总部的LNSAAA服务器上，可以将账户信息与IMSI号绑定。这样可以防止企业内部用户之间互相盗用账号，导致定位和追溯的麻烦。针对第三点，运营商3G无线安全接入解决方案第9页共12页在开SIM卡时，同时也设置了SIM卡的访问权限，对于VPDN企业用户，关闭互联网服务，这样就不用担心与互联网耦合度过高而引入安全隐患；3)数据加密：主要针对上层数据层面。无线物理层面主要是运营商3G本身提供的加密服务，只针对无线信号的部分。从LAC到LNS之间虽然有L2TP隧道，但是该隧道并不加密，还是明文传送，且LAC到专线网中间还有可能经过安全度相对较低的网络，所以在网点和LNS路由器之间，采用IPSECVPN实现数据层面的端到端加密。IPSECVPN同样采用密钥的机制，提供身份认证、数据保密和完整性的服务；４、附3G无线安全介绍鉴权简介鉴权就是指身份认证，是对请求进入3G网络的终端进行身份合法性的确认，3G终端也会对运营商网络的身份进行确认。用户和运营商网络之间进行双向认证&在互相确认对方身份的基础上生成数据加密密钥CK,和数据完整性密钥IK,为下一步的数据传输做准备。原理如下：3G无线安全接入解决方案第10页共12页MS即指用户，SN/VLR、HE/HLR可以简单理解为运营商中的两种不同的设备，下面还会提到USIM也可以简单理解为是用户侧。用户SIM卡和运营商侧保存着一个相同的密钥K。在运营商内部会为每个用户生成多组的认证向量AV（RAND‖XRES‖CK‖IK‖AUTN）：序列号1.RAND‖XRES‖CK‖IK‖AUTN序列号2.RAND‖XRES‖CK‖IK‖AUTN序列号3.RAND‖XRES‖CK‖IK‖AUTN.....AUTN表示认证令牌（即一组字符串，有三种字符串组成，SQN+AK、AMF、消息认证码，其中的SQN是指AV组序列号,AK是密钥）；RES和XRES分别表示用户的应答信息和运营商的应答信息；RAND表示生成的随机数；CK和IK分别表示数据保密密钥和数据完整性密钥。大致过程如下：运营商收到用户的接入请求时从一组认证向量中选择一组AV（i），将AV（i）中的RAND（i）和AUTN（i）发送给用户的USIM进行认证。用户收到RAND和AUTN后计算出消息认证码XMAC（见下图），并与AUTN中包含的MAC相比较，如果二者不同，USIM将向VLR／SG