行動網路安全管控技術研究論文
【摘要】行動網路安全管控是網路安全的重要領域，本文首先分析了目前主要管控手段和行動網路安全機制，在此基礎上提出一種基於基站代理的協議級安全管控機制，可區分使用者進行選通管控，加強了行動網路安全管控的精確性和實用性。
【關鍵詞】小區重定位；行動網路；安全管控
1引言
行動通訊網作為承載通訊平臺的綜合資訊服務網路，是一個國家關鍵基礎設施的重要組成部分，提供包括語音、資料、簡訊息等多種服務型別，已成為當前社會主要通訊手段。然而行動通訊在方便大眾的同時，也為不法分子溝通聯絡提供了便利，已經成為網路失洩密、違法勾連、恐怖活動的主要手段。採用行動網路安全管控，是解決這一問題的有效途徑。
2行動網路安全管控的技術現狀
自數字移動通訊系統開始在國內部署以來，移動管控相關技術及產品的研發便開始起步，目前存在的主要安全管控裝置是通訊干擾裝置、被動式監控定位裝置。按照技術體制實現來劃分，行動通訊管控分為訊號壓制、被動式監聽和協議級主動管控三種。訊號壓制是最早出現的移動管控產品，主要通過大功率訊號輻射，淹沒正常的網路電磁波傳送，實現區域內通訊遮蔽；被動式監聽是指通過被動接收並解析來自網路和使用者的行動通訊無線訊號獲取重要情報資訊；協議級主動管控是指通過代理網路並與使用者進行協議資料互動實現使用者通訊監管和控制，是本文研究的重點。
3協議級行動網路安全管控分析
眾所周知，目前行動網路已經進入4G時代，同時相容2G、3G行動通訊，並正在向5G邁進。對應的安全管控技術必須針對不同制式進行精確管控，才能有效解決全域管控問題。2G主要制式為GSM，3G主要制式為CDMA（CDMA2000、WCDMA、TD-SCDMA），4G主要制式為LTE（TDD-LTE、FDD-LTE），因此必須針對各種制式進行設計。移動通訊系統提供的安全機制主要有使用者身份認證和身份保密、使用者資料保密和信令保密。GSM安全機制存在較大的漏洞，即“單項鑑權”，只有基站對手機端的認證，沒有手機端對基站的認證。我們可充分利用這一漏洞進行移動訊號安全管控，方法是採用代理基站的方式，模擬公網小區，使被管控移動終端誤認為代理基站才是真正的基站，從而脫離原小區，重新定位到“新”基站。這樣被管控的移動終端的所有通訊都將被有效管控，並通過協議級精確管控，實現目標的選通或阻塞。
4基於公網小區重定位的行動網路安全管控關鍵技術
傳統的通訊干擾無法區分合法、非法通訊，無法滿足特殊場合下的白名單通訊需求。本文利用不同移動通訊技術體制小區重選/切換的實現方式，綜合運用信令偽裝、載波控制手段，維持合法使用者與公網的通訊，阻斷非法使用者的通訊，實現安全管控。4.1針對2G移動終端的安全管控技術利用GSM行動通訊單向鑑權的弱點，設定代理小區基站，對小區內移動使用者進行吸取，獲得使用者身份資訊，並將自己定義為代理中間人，即以對下充當基站，對原公網小區基站充當同級基站的方式，在移動終端於公網基站中間安置管控裝置，使移動終端的通訊完全處於被管控狀態。2G移動訊號管控流程如圖1所示.4.2針對3G移動終端的安全管控技術3G行動通訊在安全機制上與2G最大的不同是它引入了“雙向鑑權”的概念，即手機終端和基站需要雙向驗證身份，這樣可以有效降低2G中單項鑑權的風險。針對這一問題，我們的解決方案是將3G訊號強制重定位到2G，迫使移動終端選擇2G方式進行通訊，進而實現代理基站的'中間人管控。所以對3G移動終端的管控，需要2G管控裝置配合。以WCDMA為例，需要同時使用GSM管控系統和WCDMA管控系統，首先使用WDMA管控系統將3G訊號進行壓制，手機終端在3G訊號無法接收的情況下，選擇2G的GSM方式進行通訊，此時啟用GSM管控方案，完成安全管控。3G（以WCDMA為例）安全管控流程見圖2。4.3針對4G移動終端的安全管控技術4G行動通訊主要使用LTE制式，在LTE中主要使用IM-SI和IMEI完成對使用者的身份識別，與3G行動通訊安全機制一樣，LTE同樣使用了雙向鑑權。我們可以採用“二次重定位”的方法通過身份識別，獲取移動終端的信任，從而實現吸附、管控目的。基本方法是利用LTE在空中介面傳輸的使用者臨時身份標識，管控裝置將自身偽裝成網路裝置，根據協議構造相應的欺騙信令，傳送信令到終端，使終端應答，進而獲取其IM-SI或IMEI碼，通過偵聽解碼的方式獲取身份識別資訊。再將4G訊號重定位到2G，利用獲得的IMSI或IMEI碼與移動終端完成認證，實現小區的重定位，進而實現管控。4G安全管控流程如圖3所示。綜上所述，採用協議級主動管控技術可以實現對2G/3G/4G行動通訊的全制式重定位，從而對區域內行動網路實施更加精確的安全管控。
