前言

　　3G即第三代移動(dòng)通信技術(shù),，是指支持高速數(shù)據(jù)傳輸?shù)姆涓C移動(dòng)通訊技術(shù),。目前3G存在四種標(biāo)準(zhǔn)：CDMA2000，WCDMA,，TD-SCDMA,，WiMAX。國(guó)內(nèi)三大運(yùn)營(yíng)商支持情況如下：

　　電信：CDMA2000,，可達(dá)3.1Mbps,；

　　移動(dòng)：TD-SCDMA，2.8Mbps,；

　　聯(lián)通：WCDMA,，可達(dá)7.2Mbps。

　　如銀行這樣的企業(yè)用戶(hù)在傳統(tǒng)的有線(xiàn)模式下,，無(wú)法滿(mǎn)足離行ATM,、移動(dòng)網(wǎng)點(diǎn)靈活部署的需求，主要是無(wú)長(zhǎng)期固定地點(diǎn),，受地域和有線(xiàn)網(wǎng)絡(luò)限制無(wú)法靈活部署,，且業(yè)務(wù)量也小租賃專(zhuān)線(xiàn)的成本過(guò)高,，存在著高速無(wú)線(xiàn)的需求，而3G無(wú)線(xiàn)部署是目前最好的解決方案,。

　　隨著3G網(wǎng)絡(luò)業(yè)務(wù)的不斷普及,，運(yùn)營(yíng)商針對(duì)企業(yè)用戶(hù)對(duì)“3G移動(dòng)專(zhuān)用網(wǎng)”的需求推出了3G的VPDN(Virtual Private Dial-Network)業(yè)務(wù)，即：基于3G無(wú)線(xiàn)接入方式的虛擬專(zhuān)用撥號(hào)網(wǎng)業(yè)務(wù),，它是利用L2TP隧道傳輸協(xié)議,，就可以在現(xiàn)有的撥號(hào)網(wǎng)絡(luò)上構(gòu)建一條虛擬的、不受外界干擾的專(zhuān)用通道,，從而實(shí)現(xiàn)類(lèi)似采用有線(xiàn)專(zhuān)用網(wǎng)絡(luò)的方式訪(fǎng)問(wèn)企業(yè)內(nèi)部網(wǎng)資源,。

　　數(shù)據(jù)通信設(shè)備廠(chǎng)商也及時(shí)推出了3G路由器來(lái)適應(yīng)行業(yè)用戶(hù)的這個(gè)應(yīng)用趨勢(shì)，企業(yè)網(wǎng)已經(jīng)進(jìn)入3G聯(lián)網(wǎng)時(shí)代,。

　　當(dāng)金融,、政府這類(lèi)網(wǎng)點(diǎn)眾多，又擁有大量離行ATM接入,、邊遠(yuǎn)鄉(xiāng)鎮(zhèn)接入和移動(dòng)網(wǎng)點(diǎn)接入的需求的行業(yè)用戶(hù),，也把目光放到3G接入時(shí)，基于3G網(wǎng)絡(luò)開(kāi)展企業(yè)數(shù)據(jù)通信的安全性,，成為這些對(duì)數(shù)據(jù)安全性要求較高的行業(yè)大規(guī)模應(yīng)用3G網(wǎng)絡(luò)的最大障礙,。

　　3G網(wǎng)絡(luò)數(shù)據(jù)通信應(yīng)用概述

　　基于3G的數(shù)據(jù)通信應(yīng)用有以下幾種組網(wǎng)模式：

　　1、訪(fǎng)問(wèn)internet

圖1   訪(fǎng)問(wèn)internet

　　3G路由器配置3G模塊,，使用公用的APN名稱(chēng),、用戶(hù)名密碼，通過(guò)運(yùn)營(yíng)商無(wú)線(xiàn)基站接入Internet網(wǎng)絡(luò),，配置NAT地址轉(zhuǎn)換功能,，3G路由器內(nèi)網(wǎng)PC通過(guò)3G網(wǎng)絡(luò)訪(fǎng)問(wèn)公網(wǎng)資源，如網(wǎng)頁(yè)瀏覽,、公網(wǎng)郵箱,、及時(shí)通信、網(wǎng)絡(luò)下載等資源,。

　　2,、Internet +VPN隧道

圖2   Internte +VPN隧道

　　3G路由器配置3G模塊，使用公用的APN名稱(chēng),、用戶(hù)名密碼,，通過(guò)運(yùn)用商無(wú)線(xiàn)基站接入Internet網(wǎng)絡(luò)，對(duì)于需要訪(fǎng)問(wèn)公網(wǎng)資源的數(shù)據(jù)流,，經(jīng)過(guò)配置NAT地址轉(zhuǎn)換后直接與Internet進(jìn)行通訊,。對(duì)于需要訪(fǎng)問(wèn)總部機(jī)構(gòu)私網(wǎng)資源的數(shù)據(jù)流（如：公司VOIP語(yǔ)音電話(huà)、視頻會(huì)議系統(tǒng)、內(nèi)部辦公OA系統(tǒng)等）,，通過(guò)3G路由器與總部路由器建立的IPSEC VPN加密隧道進(jìn)行直接通信,。

　　3、3G VPDN專(zhuān)網(wǎng)

圖3  3G VPDN專(zhuān)網(wǎng)

　　如上圖,，為了保證企業(yè)大客戶(hù)3G接入網(wǎng)的業(yè)務(wù)安全需求,，運(yùn)營(yíng)商可向用戶(hù)提供專(zhuān)線(xiàn)APN（Access Point Name）傳輸方式，為用戶(hù)提供專(zhuān)用的接入點(diǎn)名稱(chēng),，并可提供用戶(hù)名,、密碼、IMSI的多重安全認(rèn)證功能,。LNS為用戶(hù)總部端設(shè)備（路由器,、VPN設(shè)備）通過(guò)專(zhuān)線(xiàn)與運(yùn)營(yíng)商網(wǎng)絡(luò)互連，分支網(wǎng)點(diǎn)的3G路由器配置3G模塊,，使用企業(yè)申請(qǐng)的專(zhuān)用APN名稱(chēng),、用戶(hù)名密碼接入3G網(wǎng)絡(luò)，運(yùn)營(yíng)商通過(guò)APN名稱(chēng)或用戶(hù)名密碼判斷該用戶(hù)為企業(yè)專(zhuān)網(wǎng)用戶(hù)后,，交由LAC設(shè)備觸發(fā)與用戶(hù)端LNS設(shè)備的L2TP 認(rèn)證協(xié)商，并最終由LNS設(shè)備為分支網(wǎng)點(diǎn)3G路由器分配私網(wǎng)IP地址,，實(shí)現(xiàn)與分支網(wǎng)點(diǎn)與總部私網(wǎng)的專(zhuān)線(xiàn)互通,。

　　基于3G VPDN專(zhuān)網(wǎng)是運(yùn)營(yíng)商為行業(yè)用戶(hù)主推的模式，本文將著重分析基于3G VPDN專(zhuān)網(wǎng)應(yīng)用的安全部署問(wèn)題,，首先看看3G無(wú)線(xiàn)有哪些安全機(jī)制,。

　　3G無(wú)線(xiàn)安全簡(jiǎn)介

　　無(wú)線(xiàn)通信本身的特點(diǎn)是，既容易讓合法用戶(hù)接入,，也容易被潛在的非法用戶(hù)竊取,，因此，安全問(wèn)題總是同移動(dòng)通信網(wǎng)絡(luò)密切相關(guān),。

　　針對(duì)無(wú)線(xiàn)通信存在的安全問(wèn)題,，3G系統(tǒng)進(jìn)行了如下優(yōu)化：

　　1. 實(shí)現(xiàn)了雙向認(rèn)證。不但提供基站對(duì)MS的認(rèn)證,，也提供了MS對(duì)基站的認(rèn)證,，可有效防止偽基站攻擊。

　　2. 提供了接入鏈路信令數(shù)據(jù)的完整性保護(hù),。

　　3. 密鑰長(zhǎng)度增加為128 bit,，改進(jìn)了算法。

　　4. 3GPP接入鏈路數(shù)據(jù)加密延伸至無(wú)線(xiàn)接入控制器(RNC),。

　　5. 3G的安全機(jī)制還具有可拓展性,，為將來(lái)引入新業(yè)務(wù)提供安全保護(hù)措施。

　　6. 3G能向用戶(hù)提供安全可視性操作,，用戶(hù)可隨時(shí)查看自己所用的安全模式及安全級(jí)別,。

　　7. 在密鑰長(zhǎng)度,、加密算法選定、鑒別機(jī)制和數(shù)據(jù)完整性檢驗(yàn)等方面,，3G的安全性能遠(yuǎn)遠(yuǎn)優(yōu)于2G,。

　　但是3G的這些安全機(jī)制僅僅局限于無(wú)線(xiàn)部分，針對(duì)基于3G接入的無(wú)線(xiàn)企業(yè)網(wǎng)而言,，無(wú)線(xiàn)部分的安全是遠(yuǎn)遠(yuǎn)不夠的,，需要保證數(shù)據(jù)在整個(gè)傳輸過(guò)程中的安全性，即端到端的安全性,。

 　　3G路由器接入安全部署探討

　　隨著3G數(shù)據(jù)通信應(yīng)用的發(fā)展,，業(yè)界專(zhuān)業(yè)的數(shù)據(jù)通信廠(chǎng)家推出了3G安全路由器，能夠很好的解決3G網(wǎng)絡(luò)數(shù)據(jù)安全傳輸問(wèn)題,。下面以3G安全路由器在金融離行ATM應(yīng)用為例做一個(gè)分析,。

圖4  3G接入

　　如上圖所示，金融離行ATM網(wǎng)點(diǎn)使用3G 路由器無(wú)線(xiàn)接入3G無(wú)線(xiàn)網(wǎng)絡(luò),，通過(guò)運(yùn)營(yíng)商3G無(wú)線(xiàn)基站及IP核心網(wǎng)連接金融一級(jí)或二級(jí)網(wǎng)匯聚路由器,，實(shí)現(xiàn)了離行ATM與金融一級(jí)網(wǎng)或二級(jí)網(wǎng)的業(yè)務(wù)互訪(fǎng)。

　　根據(jù)應(yīng)用模式,，3G接入安全部署基于以下幾點(diǎn)考慮：

　　接入認(rèn)證安全

　　要求在進(jìn)行3G網(wǎng)絡(luò)登錄時(shí),，提供基于用戶(hù)名、密碼,、IMSI（international mobile subscriber identity, 國(guó)際移動(dòng)用戶(hù)識(shí)別碼）的多重身份認(rèn)證綁定功能,，保證接入用戶(hù)的唯一性，防止非法用戶(hù)利用3G網(wǎng)絡(luò)接入用戶(hù)專(zhuān)用網(wǎng)絡(luò),。

　　端到端的私有性

　　為了保證用戶(hù)業(yè)務(wù)的私密性,，必須要求解決方案從網(wǎng)點(diǎn)3G路由器到金融、政府行業(yè)一級(jí)或二級(jí)網(wǎng)匯聚路由器提供端到端的私有專(zhuān)用通道,，以保證網(wǎng)點(diǎn)業(yè)務(wù)在運(yùn)營(yíng)商網(wǎng)絡(luò)傳輸過(guò)程中的私有性,。

　　端到端的安全加密

　　為了進(jìn)一步保證網(wǎng)點(diǎn)業(yè)務(wù)數(shù)據(jù)在運(yùn)營(yíng)商3G無(wú)線(xiàn)網(wǎng)絡(luò)以及IP核心網(wǎng)傳輸過(guò)程中的安全，防止黑客利用其他非法手段截取金融,、政府等行業(yè)敏感數(shù)據(jù),，要求安全解決方案必須提供網(wǎng)點(diǎn)3G路由器到金融、政府行業(yè)一級(jí)或二級(jí)網(wǎng)匯聚路由器端到端的加密安全,。特別是金融和政府此類(lèi)信息敏感行業(yè),，這種加密安全更需要國(guó)密辦加密算法的支持，以保障國(guó)家信息安全的高度機(jī)密性,。

圖5  3G接入安全部署

　　3G路由器安全接入解決方案

圖6  3G安全接入解決方案

　　如上圖所示,，網(wǎng)點(diǎn)的3G安全接入部署方案，分別通過(guò)專(zhuān)有APN＋綁定接入認(rèn)證、L2TP私有隧道,、IPSEC安全加密技術(shù)來(lái)實(shí)現(xiàn)3G部署時(shí)對(duì)接入認(rèn)證,、端到端的私有性、端到端安全加密的安全原則,，具體部署方案如下：

　　專(zhuān)有APN+綁定接入認(rèn)證

　　在進(jìn)行網(wǎng)點(diǎn)的3G無(wú)線(xiàn)接入部署時(shí),，需要先向運(yùn)營(yíng)商申請(qǐng)分配的專(zhuān)網(wǎng)APN（Access Point Name，類(lèi)似行業(yè)專(zhuān)用的3G無(wú)線(xiàn)局域網(wǎng),，保證網(wǎng)點(diǎn)接入3G網(wǎng)絡(luò)后,，只能訪(fǎng)問(wèn)行業(yè)專(zhuān)用網(wǎng)絡(luò)，保證無(wú)法與其他網(wǎng)絡(luò)進(jìn)行通信）,。網(wǎng)點(diǎn)采用3G路由器接入,，運(yùn)營(yíng)商會(huì)將網(wǎng)點(diǎn)用戶(hù)的IMSI信息（IMSI是在運(yùn)營(yíng)商網(wǎng)絡(luò)中唯一識(shí)別一個(gè)移動(dòng)用戶(hù)的號(hào)碼，由15位數(shù)字組成,，存于SIM卡中）,、終端用戶(hù)的賬號(hào)和密碼事先配置在運(yùn)營(yíng)商認(rèn)證服務(wù)器上。當(dāng)網(wǎng)點(diǎn)的3G路由器發(fā)起無(wú)線(xiàn)連接時(shí),，只允許綁定信息合法的用戶(hù)通過(guò)用戶(hù)名,、密碼的AAA認(rèn)證后接入3G專(zhuān)用網(wǎng)絡(luò)，防止非法SIM卡用戶(hù)撥入用戶(hù)3G專(zhuān)網(wǎng),。

　　此外,，可進(jìn)一步通過(guò)3G路由器設(shè)置SIM卡的PIN碼保護(hù)功能，只有知道SIM卡的PIN密碼才能觸發(fā)3G撥號(hào),，防止非法用戶(hù)獲取到用戶(hù)SIM卡后進(jìn)行的非法操作,，保證了SIM卡的使用安全,。

　　L2TP＋I(xiàn)PSEC VPN私有隧道

　　為了保證3G接入網(wǎng)點(diǎn)的數(shù)據(jù)業(yè)務(wù)在運(yùn)營(yíng)商IP核心網(wǎng)中傳輸?shù)牡乃接行?，用?hù)向運(yùn)營(yíng)商申請(qǐng)企業(yè)集團(tuán)用戶(hù)3G的VPDN業(yè)務(wù)，基于3G無(wú)線(xiàn)接入方式的虛擬專(zhuān)用撥號(hào)網(wǎng)業(yè)務(wù),，它是利用安全的L2TP隧道傳輸協(xié)議,，就可以在現(xiàn)有的撥號(hào)網(wǎng)絡(luò)上構(gòu)建一條虛擬的、不受外界干擾的專(zhuān)用通道,，從而安全訪(fǎng)問(wèn)企業(yè)內(nèi)部網(wǎng)資源,。

　　運(yùn)營(yíng)商會(huì)為行業(yè)用戶(hù)的3G VPDN業(yè)務(wù)提供L2TP的LAC端路由器及配套的AAA服務(wù)器。金融,、政府行業(yè)一級(jí)網(wǎng)或二級(jí)網(wǎng)匯聚層采用一臺(tái)路由器作為L(zhǎng)2TP的LNS端,，并部署一臺(tái) AAA服務(wù)器。LAC路由器主要負(fù)責(zé)對(duì)3G用戶(hù)的接入認(rèn)證,，與該用戶(hù)所屬企業(yè)的專(zhuān)有LNS建立L2TP隧道,。金融、政府行業(yè)一級(jí)網(wǎng)或二級(jí)網(wǎng)匯聚的AAA服務(wù)器主要存放網(wǎng)點(diǎn)路由器建立連接時(shí)所需要的用戶(hù)名和密碼。用戶(hù)名的格式為[email protected],，其中@前面的字符串可以由用戶(hù)端自行定義,，＠后面的字符串即域名。運(yùn)營(yíng)商AAA服務(wù)器通過(guò)域名確認(rèn)該用戶(hù)的接入權(quán)限,。運(yùn)營(yíng)商AAA服務(wù)器與企業(yè)AAA服務(wù)器的用戶(hù)名和密碼必須一致,。

　　L2TP私有隧道建立過(guò)程如下：

　　網(wǎng)點(diǎn)路由器通過(guò)3G網(wǎng)絡(luò)在完成對(duì)接入用戶(hù)的APN認(rèn)證后，路由器啟動(dòng)PPP撥號(hào)向LAC發(fā)出認(rèn)證請(qǐng)求,。

　　LAC把認(rèn)證請(qǐng)求轉(zhuǎn)至運(yùn)營(yíng)商LAC AAA服務(wù)器,。

　　AAA服務(wù)器將會(huì)回復(fù)認(rèn)證結(jié)果并返回該用戶(hù)所屬的LNS地址、VPDN隧道屬性等信息,。

　　LAC向返回的LNS地址發(fā)出L2TP隧道建立請(qǐng)求,，隧道建立成功（請(qǐng)求建立隧道的認(rèn)證可選）。

　　LNS對(duì)網(wǎng)點(diǎn)路由器的用戶(hù)名和密碼進(jìn)行重新認(rèn)證（LNS對(duì)網(wǎng)點(diǎn)路由器的重認(rèn)證可選）,。

　　L2TP隧道建立完成,。網(wǎng)點(diǎn)路由器對(duì)應(yīng)的撥號(hào)接口UP，建立正常私有隧道通信,。

　　如果網(wǎng)點(diǎn)發(fā)起了能夠觸發(fā)IPSEC VPN的流量,，則IPSEC VPN隧道建立過(guò)程啟動(dòng)。網(wǎng)點(diǎn)路由器與LNS發(fā)起IPSEC VPN連接請(qǐng)求,。

圖7  加密隧道建立過(guò)程

 　　IPSEC安全加密

圖8  IPSEC安全加密

　　針對(duì)端到端的安全加密原則,， 如前文所述，3G技術(shù)有自身的加密驗(yàn)證技術(shù),，但是3G的加密驗(yàn)證技術(shù)只針對(duì)無(wú)線(xiàn)部分,，而在IP核心網(wǎng)部分，從LAC到LNS之間的L2TP隧道是不加密的,，數(shù)據(jù)還是明文傳送,。而從LAC到網(wǎng)絡(luò)中間還有可能經(jīng)過(guò)運(yùn)營(yíng)商的IP網(wǎng)絡(luò)，為了達(dá)到端到端的加密傳輸,，需要在網(wǎng)點(diǎn)和總部路由器之間,，采用IPSEC 實(shí)現(xiàn)端到端的加密，如圖8所示：

　　IPSEC通過(guò)AH,、ESP協(xié)議保證了數(shù)據(jù)的安全傳輸：

　　私有性：用戶(hù)的敏感數(shù)據(jù)以密文形式傳送

　　完整性：對(duì)接收的數(shù)據(jù)進(jìn)行驗(yàn)證,，判斷數(shù)據(jù)是否被篡改

　　真實(shí)性：驗(yàn)證數(shù)據(jù)源，判斷數(shù)據(jù)來(lái)自真實(shí)的發(fā)送者

　　防重放：防止惡意用戶(hù)通過(guò)重復(fù)發(fā)送捕獲到的數(shù)據(jù)包所進(jìn)行的攻擊,，即接收方會(huì)拒絕舊的或重復(fù)的數(shù)據(jù)包,。

　　按照IPSEC VPN技術(shù)要求支持的加密算法主要有： DES、DES,、AES128,、AES192,、AES256等 ，要求支持的HASH算法為MD5和SHA等,。此外,，擁有國(guó)家商用密碼管理辦公室頒發(fā)的商用密碼產(chǎn)品資質(zhì)的設(shè)備商，除了常見(jiàn)的加密算法外,，還能夠?yàn)榻鹑?、政府行業(yè)用戶(hù)的3G接入提供符合國(guó)密辦加密算法支持，并遵照國(guó)密辦IPSEC VPN技術(shù)規(guī)范要求對(duì)路由器進(jìn)行設(shè)計(jì),，能進(jìn)一步確保國(guó)家信息安全,。

　　結(jié)束語(yǔ)

　　3G技術(shù)宣告企業(yè)網(wǎng)進(jìn)入無(wú)線(xiàn)聯(lián)網(wǎng)時(shí)代，更加完善的網(wǎng)絡(luò)安全有利于基于3G接入的無(wú)線(xiàn)企業(yè)網(wǎng)真正得到規(guī)模應(yīng)用,。在信息安全已經(jīng)上升到國(guó)家戰(zhàn)略的今天,，如何在通信技術(shù)不斷發(fā)展的情況下，始終維持一個(gè)相稱(chēng)的,、可控的安全機(jī)制,，也將是一個(gè)持續(xù)討論下去的話(huà)題。相信在政府和國(guó)內(nèi)民族企業(yè)的推動(dòng)下,，堅(jiān)持中國(guó)人建設(shè)自己的安全網(wǎng)絡(luò),，牢牢把握住信息安全競(jìng)爭(zhēng)中的主動(dòng)權(quán)，3G網(wǎng)絡(luò)在企業(yè)數(shù)據(jù)通信應(yīng)用中將得到蓬勃發(fā)展,。

　　參考文獻(xiàn)

　　張琦  . 《3G時(shí)代的安全挑戰(zhàn)》 , 2009.03

　　彭寧  . 《論3G認(rèn)證和密鑰協(xié)商協(xié)議》 , 2009.02

　　項(xiàng)肖峰,、俞朝輝 . 《基于GPRS的VPDN實(shí)現(xiàn)方案研究》 , 移動(dòng)通信 2009 (24)

　　國(guó)家商用密碼管理辦公室. 《安全路由器產(chǎn)品密碼檢測(cè)準(zhǔn)則》,2009.06

　　Vijav Bollapragada、Mohamed Khalid . 《IPSec VPN Design》 , 2006.05