Seguridad en GPRS
Soluciones de cifrado, claves de identificación y de túnel IPSec y VPN
Una de las mayores preocupaciones a la hora de utilizar el móvil como medio de acceso a Internet es la seguridad. En este sentido, las operadoras deberán blindar su arquitectura de red para garantizar una navegación fiable.
La red GPRS (Global Packet Radio System), utiliza la conmutación de paquetes para la transmisión de información, por lo que se consigue mayor velocidad y mayores prestaciones. Amena se convierte en un ISP (Proveedor de servicios de Internet), ofreciendo conexión móvil a Internet, lo cual permite a los usuarios una navegación desde cualquier lugar y en cualquier momento.
La seguridad juega un papel fundamental a la hora de utilizar el móvil como medio de acceso a Internet.. Si el usuario no percibe seguridad en su navegación, o si cree que puede ser “hackeado”, probablemente descarte utilizar su móvil para conectarse a Internet. Al igual que ya ocurre en Internet fija, cuando no damos nuestros datos bancarios en aquellas webs en las que no confiamos. El máximo esfuerzo de cualquier operador es blindar su arquitectura de red, para garantizar la seguridad a sus clientes.
Soluciones para todo tipo de clientes
En función del tipo de clientes que utilizan la transmisión de paquetes, podemos diferenciar dos sectores de usuarios: los clientes “corporativos”, que acceden a la intranet, y los clientes finales, que utilizan a Amena como un proveedor de acceso a Internet. Las necesidades de seguridad más básicas son comunes para ambos sectores, seguridad en toda la plataforma móvil y cumplimiento del estándar de seguridad GPRS para garantizar, la autenticación y confidencialidad de la identidad del usuario y el cifrado de la comunicación. Adicionalmente, será necesario extremar la seguridad en la conexión con las empresas que quieran beneficiarse de la tecnología GPRS y dar acceso a sus intranets a través del móvil.
Oferta de seguridad
Desde el punto de vista de la seguridad, la red móvil debe ser considerada como cualquier red fija, es decir, para asegurar la seguridad es necesario el aislamiento de los elementos que la integran del exterior y el filtrado del tráfico generado, entrante y saliente, empleando firewalls con reglas de acceso bien definidas.
En el estándar definido por el 3GPP, sobre seguridad en GPRS (Digital cellular telecommunications system (Phase 2+); Security related network functions (GSM 03.20 version 6.0.1 Release 1997)), se recogen los mecanismos a implementar en la red para poder “autenticar” al usuario y al terminal, garantizar la confidencialidad del usuario, comprobar el IMEI (International Mobile Equipment Identity), etc.
Para la identificación del usuario debe emplearse un mecanismo de desafío/respuesta. Consiste en comprobar que el abonado dispone en su SIM de la clave secreta única (clave de identificación) y comprobar el IMEI. Cuando la estación móvil visita una celda transmite su IMSI (International Mobile Suscriber Identity) y posición al VLR/HLR. El HLR conoce las claves secretas de las SIMs.
El HLR pide al AuC (Centro de autenticación) tres datos: un número aleatorio RAND, una respuesta SRES y la clave de sesión, las cuales se envían al VLR. El VLR envía a la MS como reto el número aleatorio RAND utilizándose uno por cada autenticación. El SIM calcula la respuesta SRES y la envía al VLR, si las SRES calculadas son iguales se autentica positivamente al abonado y se comprueban los servicios contratados. Se utiliza el algoritmo simétrico A3 para el cálculo de SRES.
La voz se cifra mediante el algoritmo A5, mientras que, en el proceso de autenticación a partir de claves y el RAND con el algoritmo A8, se genera la clave de cifrado.
La confidencialidad de la identidad de un usuario se consigue empleando un TLLI (Temporary Logical Link Identity) que identifica a cada usuario GPRS. La relación entre el IMSI y el TLLI, sólo es conocida por la MS y el SGSN. Este TLLI deriva del P-TMSI (Packet Temporary Mobile Subscriber Identity), utilizado en GPRS para identificar al usuario de manera local y temporal, puesto que esta información tiene un tiempo de vida determinado y transcurrido éste, el tiempo expira.
Se podrá autenticar el terminal del usuario en la red, y chequear si está bloqueado (categorizado en la lista negra) o no. Está previsto implantar un EIR (Equipment Identity Register) a nivel nacional para los tres operadores, para autenticar los terminales en función de su IMEI.
Por otra parte, para que un usuario pueda realizar una llamada de datos será necesario que tenga configurado el APN (Punto de acceso a la red), correspondiente. Para cada conexión se establecerá una sesión, o contexto (PDP-Context). Este acceso se lleva a cabo a través del nodo combinado, atravesando el firewall de salida. La seguridad de esta comunicación viene determinada por el cifrado de datos desde la estación móvil hasta el SGSN. La función de cifrado la realiza el SGSN y no la BTS, como ocurre en GSM debido principalmente a la diversidad de rutas por las que puede viajar un paquete atravesando diversas BTS y la falta de secuencialidad de los paquetes, pudiendo ser recibidos en orden diferente al generado en la emisión. Para dar accesos a la Intranets de empresa, es necesario garantizar la seguridad en “el canal” entre Amena y la empresa que desee esta comunicación.
Para esta conexión, el mecanismo más utilizado es el establecimiento de un túnel IPSec entre el GSN de Amena y la otra empresa, para conexiones sobre Internet o sobre un enlace dedicado, de esta manera se establece una VPN extremo-extremo.
Cuando un usuario de la empresa que tiene contratado este servicio quiere acceder a su intranet corporativa, utiliza la red de Amena como portadora y los usuarios son autentificados por la empresa, que permitirá el acceso o lo denegará en función de su política.
Como se ha podido comprobar, la red GPRS abre el abanico de prestaciones que se puede ofertar a nuestros clientes, al tiempo que permite garantizar la seguridad mediante mecanismos de cifrado y claves de identificación así como de túnel IPSec y VPN en el caso de servicios de acceso a intranet.
Los principales elementos que componen la plataforma GPRS, son:
---------------------------------------------------------------------------------------------
• La estación móvil (SIM + terminal).
• El subsistema de estación base (BSS) formado por las BTS y las BSC, donde reside un nuevo elemento el PCU (Unidad de control de paquetes) con el que se dota al subsistema radio de funcionalidad GPRS.
• El subsistema de conmutación de red (NSS), donde reside el HLR, registro con información de los usuarios de la red, el VLR para los visitantes y las MSCs.
• El nodo combinado GSN (Global Support Node)), donde se integran el SGSN (Serving GPRS Support Node), el GGSN (Gateway GPRS Support Node) y el BG (Border Gateway). Elementos específicos de una red GPRS para poder llevar a cabo la conmutación de paquetes.
• Elementos de interconexión con otras redes externas, PSTNs (Public Switched Telephone Network), PLMNs (Public Land Mobile Network) e Internet y con redes internas de Amena, como es el que caso de la LAN de servicios.
Elena Matilla Rodríguez, Ingeniero de Planificación y Arquitectura de Sistemas y Seguridad Innovación Tecnológica y Planificación de Amena
La red GPRS (Global Packet Radio System), utiliza la conmutación de paquetes para la transmisión de información, por lo que se consigue mayor velocidad y mayores prestaciones. Amena se convierte en un ISP (Proveedor de servicios de Internet), ofreciendo conexión móvil a Internet, lo cual permite a los usuarios una navegación desde cualquier lugar y en cualquier momento.
La seguridad juega un papel fundamental a la hora de utilizar el móvil como medio de acceso a Internet.. Si el usuario no percibe seguridad en su navegación, o si cree que puede ser “hackeado”, probablemente descarte utilizar su móvil para conectarse a Internet. Al igual que ya ocurre en Internet fija, cuando no damos nuestros datos bancarios en aquellas webs en las que no confiamos. El máximo esfuerzo de cualquier operador es blindar su arquitectura de red, para garantizar la seguridad a sus clientes.
Soluciones para todo tipo de clientes
En función del tipo de clientes que utilizan la transmisión de paquetes, podemos diferenciar dos sectores de usuarios: los clientes “corporativos”, que acceden a la intranet, y los clientes finales, que utilizan a Amena como un proveedor de acceso a Internet. Las necesidades de seguridad más básicas son comunes para ambos sectores, seguridad en toda la plataforma móvil y cumplimiento del estándar de seguridad GPRS para garantizar, la autenticación y confidencialidad de la identidad del usuario y el cifrado de la comunicación. Adicionalmente, será necesario extremar la seguridad en la conexión con las empresas que quieran beneficiarse de la tecnología GPRS y dar acceso a sus intranets a través del móvil.
Oferta de seguridad
Desde el punto de vista de la seguridad, la red móvil debe ser considerada como cualquier red fija, es decir, para asegurar la seguridad es necesario el aislamiento de los elementos que la integran del exterior y el filtrado del tráfico generado, entrante y saliente, empleando firewalls con reglas de acceso bien definidas.
En el estándar definido por el 3GPP, sobre seguridad en GPRS (Digital cellular telecommunications system (Phase 2+); Security related network functions (GSM 03.20 version 6.0.1 Release 1997)), se recogen los mecanismos a implementar en la red para poder “autenticar” al usuario y al terminal, garantizar la confidencialidad del usuario, comprobar el IMEI (International Mobile Equipment Identity), etc.
Para la identificación del usuario debe emplearse un mecanismo de desafío/respuesta. Consiste en comprobar que el abonado dispone en su SIM de la clave secreta única (clave de identificación) y comprobar el IMEI. Cuando la estación móvil visita una celda transmite su IMSI (International Mobile Suscriber Identity) y posición al VLR/HLR. El HLR conoce las claves secretas de las SIMs.
El HLR pide al AuC (Centro de autenticación) tres datos: un número aleatorio RAND, una respuesta SRES y la clave de sesión, las cuales se envían al VLR. El VLR envía a la MS como reto el número aleatorio RAND utilizándose uno por cada autenticación. El SIM calcula la respuesta SRES y la envía al VLR, si las SRES calculadas son iguales se autentica positivamente al abonado y se comprueban los servicios contratados. Se utiliza el algoritmo simétrico A3 para el cálculo de SRES.
La voz se cifra mediante el algoritmo A5, mientras que, en el proceso de autenticación a partir de claves y el RAND con el algoritmo A8, se genera la clave de cifrado.
La confidencialidad de la identidad de un usuario se consigue empleando un TLLI (Temporary Logical Link Identity) que identifica a cada usuario GPRS. La relación entre el IMSI y el TLLI, sólo es conocida por la MS y el SGSN. Este TLLI deriva del P-TMSI (Packet Temporary Mobile Subscriber Identity), utilizado en GPRS para identificar al usuario de manera local y temporal, puesto que esta información tiene un tiempo de vida determinado y transcurrido éste, el tiempo expira.
Se podrá autenticar el terminal del usuario en la red, y chequear si está bloqueado (categorizado en la lista negra) o no. Está previsto implantar un EIR (Equipment Identity Register) a nivel nacional para los tres operadores, para autenticar los terminales en función de su IMEI.
Por otra parte, para que un usuario pueda realizar una llamada de datos será necesario que tenga configurado el APN (Punto de acceso a la red), correspondiente. Para cada conexión se establecerá una sesión, o contexto (PDP-Context). Este acceso se lleva a cabo a través del nodo combinado, atravesando el firewall de salida. La seguridad de esta comunicación viene determinada por el cifrado de datos desde la estación móvil hasta el SGSN. La función de cifrado la realiza el SGSN y no la BTS, como ocurre en GSM debido principalmente a la diversidad de rutas por las que puede viajar un paquete atravesando diversas BTS y la falta de secuencialidad de los paquetes, pudiendo ser recibidos en orden diferente al generado en la emisión. Para dar accesos a la Intranets de empresa, es necesario garantizar la seguridad en “el canal” entre Amena y la empresa que desee esta comunicación.
Para esta conexión, el mecanismo más utilizado es el establecimiento de un túnel IPSec entre el GSN de Amena y la otra empresa, para conexiones sobre Internet o sobre un enlace dedicado, de esta manera se establece una VPN extremo-extremo.
Cuando un usuario de la empresa que tiene contratado este servicio quiere acceder a su intranet corporativa, utiliza la red de Amena como portadora y los usuarios son autentificados por la empresa, que permitirá el acceso o lo denegará en función de su política.
Como se ha podido comprobar, la red GPRS abre el abanico de prestaciones que se puede ofertar a nuestros clientes, al tiempo que permite garantizar la seguridad mediante mecanismos de cifrado y claves de identificación así como de túnel IPSec y VPN en el caso de servicios de acceso a intranet.
Los principales elementos que componen la plataforma GPRS, son:
---------------------------------------------------------------------------------------------
• La estación móvil (SIM + terminal).
• El subsistema de estación base (BSS) formado por las BTS y las BSC, donde reside un nuevo elemento el PCU (Unidad de control de paquetes) con el que se dota al subsistema radio de funcionalidad GPRS.
• El subsistema de conmutación de red (NSS), donde reside el HLR, registro con información de los usuarios de la red, el VLR para los visitantes y las MSCs.
• El nodo combinado GSN (Global Support Node)), donde se integran el SGSN (Serving GPRS Support Node), el GGSN (Gateway GPRS Support Node) y el BG (Border Gateway). Elementos específicos de una red GPRS para poder llevar a cabo la conmutación de paquetes.
• Elementos de interconexión con otras redes externas, PSTNs (Public Switched Telephone Network), PLMNs (Public Land Mobile Network) e Internet y con redes internas de Amena, como es el que caso de la LAN de servicios.
Elena Matilla Rodríguez, Ingeniero de Planificación y Arquitectura de Sistemas y Seguridad Innovación Tecnológica y Planificación de Amena
