【YD通讯标准】 移动通信差异化安全服务

ICS33.070
中华人民共和国通信行业标准
YD/T 2037-2009
移动通信差异化安全服务
Differentiated security service for mobile comrmunication2009-12-11发布
2010-01-01 实施
中华人民共和国工业和信息化部发布前
范围·
规范性引用文件：
术语和定义
缩略语
技术要求
6.1用户安企代理（CSA）
6.2网络安全代理（NSP）
6.3安全策略服务器（SPS）
T系统架构
7.1安全服务系统架构-
7.2安全等级框架·
7.3信息资产等级划分
7.4安全策略框架
7.5系统架构说明
8协商流程
8.1差异化安全服务协商流程
8.2发起方CSA和NSP安全等级协商流程8.3接收方NSP和CSA安全等级协商流程·8.4NSP之间的安全等级协商流程.附录A（资料性附录）需求分析及安全策略示例·附录B（资料性附录）应用实例
参考文献：
TIKAONIKACa-
YD/T 2037-2009
YD/T2037-2009
本标准在技术上与ITU-TX.1123（2007）《安全移动端到端数据通信的区别安全服务》保持一致。本标准的附录A、附录B均为资料性附录。本标准由中国通信标准化协会提出并归口。本标准起草单位：中兴通讯股份有限公司、中国移动通信集团公司。本标准主要起草人：陈剑勇、滕志猛、刘利军、刘红军、韦银垦、吴波、张峰。
1范围
移动通信差异化安全服务
YD/T 2037-2009
本标准规定了用于移动通信的差异化安全服务的求分析、技术要求，系统架构，协商流程。本标准适用于移动通信网络和终端。2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改版（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标。ITU-T X.805 (2003)
ITU-T X.1121 (2004)
3GPP TS 33.102 V.5.2.0
3术语和定义
端到端通信系统安全架构
移动端到端数据通信技术架构
第三代移动通信安全框架
下列术语和定义适用于本标准。3.1
用户安全代理clientsecurityapplication用户安全代理是终端的一个功能单元，对用户端安全机制进行管理及与网络安全代理进行安全等级协商。
网络安全代理networksecurityproxy网络安全代理是安全网关的个功能单元，与用户端安全代理协商安全等级，报告协商结果给用户端和安全策略服务器以及在网络中建立安全网关之间的安全信道。3.3
安全策略服务器securitypolicyserver安企策略服务器与应用服务器或网络安全代理连接，用于对应用服务器或网络安全代理的安全策略管理。
服务提供商serviceprovider
为移动用户提供服务的实体。服务提供商不仅包括网络运营商，也包括应用服务提供商。3.5
安全策略securitypolicywww.bzxz.net
安全策略是提供安全服务的规则集合。这些规则由安全需求驱动，用于管理和控制网络实体。从用户的角度，安全策略为移动用户的安全服务提供友好接口。用户可以很方便地为不同的应用场景定制安全服务。从服务提供商的角度，安全策略可以将安全服务转化为增值服务。1
TIKAONIKACa-
YD/T 2037-2009
安全策略有3个基本需求：完备性、正确性、一致性。首先，策略的定义应该覆盖各种安全需求所对应的防范任务；其次，策略的定义应该是实际可行的，即它不与已有经验冲突；第三，不能有征何策略冲突，否则实际应用中可能会导致不一致的执行结果。3.6
安全元 security element
ITU-TX.805给出8个安全维度，可以抵抗所有主要的安全威胁，包括：访问控制、认证、抗抵赖、数据机密性、通信安全、数据完整性、可用性、私密性。每个安全维度满足一个类别的安全需求。它们可以通过具体的安全技术和协议来实现。这种可配置的安企维度集称为安全元。3.7
资产asset
资产是移动网络中有价值的财产。资产分为三类：信息资产，服务资产和系统资产。3.8
安全管理者securitymanager
安全管理者是制定和管理安全策略相关的人或实体。3.9
安全服务securityservice
由网络侧提供的服务，保证系统或数据传输足够安全。不仅包括ITU-TX.805中定义的8个安全需求，还包括网络可以提供的在线杀毒、入侵检测病、漏洞扫描和内容过滤等。3.10
场景scenario
指具有相同数据传输特征的类业务的集含，或者基础性的业务。如流媒体业务、Web业务、下载业务等。
4缩略语
下列缩略语适用于本标准。
5概论
Application Service ProviderClicnt Security Application
Network&Network Protocol
Network&PolicyScrverProtocolNetwork Seurity Proxy
Policy Server
Security Association
SecurityPolicyServer
应用服务提供商
用户安全代理
网络&网络协议
网络&策略服务器协议
网络安全代理
策略服务器
安全关联
安全策略服务器
根据ITU-TX.805安全架构，差异化安全服务主要针对移动终端和移动网络传输层的控制平面与用户平面。对于控制平面，差异化安全服务主要针对认证的安全元。过单向认证、双向认证和认证的生命周期的长短米区别不同的安全等级。对于用户平面，差异化安全服务主要针对数据机密性、完整性、2
YD/T2037-2009
抗抵赖和私密性的安全元。差异化安全服务反映不同类别业务对承载层的差异化安全需求。根据ITU-TX.805安全架构，差异化安全服务主要作用于基础架构安全层，即对应Intermet四层协议模型的链路层和P层。对下基础架构安全层之上的应用安全层，通常与网络承载层分离，并和具体的应用紧密结合在一起，一般通过端到端安全机制来实现，不属于差异化安全服务的范畴。附录A对需求进行了分析，并对安全策略进行了示例。6技术要求
6.1用户安全代理（CSA）
用户安全代理包含如下功能：
（1）负责从网络侧下载安全等级策略及用户信息到终端：（2）将用户选择的安全等级、业务类型传送给网络安全代理；（3）安全等级可由发起方或接收方的任何一方申请，当发起方、接收方、网络安全代理三者中所支持的安全等级不一致时，由安全策略决定后续的协商方法，例如停止安全等级协商，中止会话呼叫，或者安全策略允许CSA重新选择安全等级进行协商：（4）把用户初始化信息及用户的设置信息的改变土传给网络安全代理。6.2网络安全代理（NSP）
网络安全代理包含如下功能：
（1）同步更新与移动终端和策略服务器两者之间的安金等级策略信息：（2）与CSA、其它NSP协商安全等级（3）根据协商成功的安全等级，触发安全网关的安全机制，和其他网元的安全模块建立安全关联(SA);
（4）采集用安全服务的计费信息；（5）上传用户的初始化信息、用户变更的配置给策略服务器；（6）从策略服务器下载用户信息。6.3安全策略服务器（SPS）
策略服务器包含如下功能
（1）安全等级管理功能，包括安全等级的划分、安全关联的建立、供安全管理员操作的人机界面和相关的日志记录；
（2）安全服务控制功能，包括根据用户帐户信息控制安全服务的使用，比如当用户帐户余额信息不足时，SPS触发对用户所订购的安全服务进行部分限制，或者触发对用户发送提醒信息；根据安全等级协商结果进行仲裁。
7系统架构
7.1安全服务系统架构
差异化安全服务的系统架构如图1所示。通过NSP在发起方CSA和接收方CSA之间协商安全服务的等级，并由安全策略服务器对安全等级协商进行控制。移动网络的空中接口位于CSA和NSP之间。一般来讲，NSP位于移动网络核心网边缘，而SPS则位于核心网。CSA是移动终端设备中的一个模块，NSF可以是网络设备中的一个模块，如安全网关设备中的一个模块，也可以是与网关设备相连的一个独立的3
TIKAONIKACa-
YD/T2037-2009
安全设备。
发起方
用户安全代理
7.2安全等级框架
网络安企代理
安全策略服务器
网络安全代理
图1差异化安全服务系统架构
接收方
用安全代理
图2给出安策略的典型框架。该策略包含3个安全策略层，分为高安全策略、基本安金策略和无安全策略。高安全策略层可以进一步分成几个安全等级。安全等级的数量取决于实际运营需要。南安全策璐
服务器/网络安
全代理
用安全代理
网络实体
基本安企策略
无安个策略
安个筑略
图2安全策略框架
妄金增值服务
曾适服务
搬务提供商
安全策略框架包括三部分：第一部分是网络实体，包括网络安金代理、用户安全代理和用户，第一部分称为安全策略层，分为三层，即高安全策路、基本安全策略、光安全策略：第二部分是服务提供商！提供两种类型安全服务，例如对应基本安全策略和无安全策略的普适服务、高安全策略的增值服务。(1）网络安全代理（NSP）
NSP能够同时处理多个来自CSA的请求，而不同的CSA所请求的安全等级可能不一样，因此NSP能够同时处理多个安全等级的协商请求。图2显示网络安全代理可以同时和高安全策略的所有安全等级互联。
（2）移动终端
移动终端是CSA的载体。CSA在同一时间只能选定一个安全等级。这个安全等级可以是高安全策略基本安金策略或者无安全策略中的一个安全等级。（3）用户
根据数据信息资产价值的大小，用户为移动终端的通信进程选择一个合适的安全等级。用户选择安4
YD/T2037-2009
全等级的过程也可以由用户预先设置。在这种情况下，CSA按照预先设置的安全等级进行通信。附录B举出了几个安全服务种类策略配置方案的实例。7.2.1无安全策略作为普遍服务
无安全策略指移动终端和应用服务器之间没有配置安全相关的策略。适用于不需要任何安全保护的应用，如公众息的广播、广告的播放等。7.2.2基本安金策略作为普遍腰务基本安企策略是大部分数据通信所必需的安全机制，因此可看作是服务提供商提供给用户的普遍服务。移动网络应该支持基本安全策略。基本安全策略不能被用户和服务提供商禁用。基本安全策略的首要目的是为通信提供足够的计费保护机制。根据ITU-TX.1121所列出的安全需求，基本安全策略可以实现以下安全功能：一单向认证
一身份管理
一可用性
一有效性
审计是服务提供商开展业务所必需的要求。为了实现必要的审计功能，系统应提供网络对移动终端的单向认证。为有效进行认证，身份管理也是必需的。可用性和有效性是通信正常开展前提，因此也是基本安全策略所必需的。
7.2.3高安全策略作为增值服务
除了基本安全策略中的安全需求，其他的安全需求应作为高安全策略。这些安全功能包括，但不局限于如下：
一双向认证
一机密性
完整性
一暖名性
访间控制
一非否认
一私密性
服务提供商应定义几个安全等级，对应于不同类别的用户和应用。用户根据信息资产价值的大小，可以方使地选择适当的安全等级。不同的安全等级对应不同的服务价格。推荐移动终端支持以下6个基本等级：一 非常高　
一中等
一非常低
一扩展
“非常高”组是提供给用户的最高安全等级。网络实体可以使用强密码算法和较长的密钥长度达到5
KAoNIKAca
YD/T 2037-2009
“非常高”的安全等级。然而这往往会在终端和网络设备上消耗更多的计算资源。因此，“非常高”安全的服务价格应是最高的。“非常低”指数据通信只是得到很弱的保护。“扩展”指提供给用户自已定义的安全等级，用户可以定义个性化安全等级，这一功能开放给有特殊通信要求的客户群。7.3信息资产等级划分
移动安全服务的国标是防止资产遭受攻击者破坏或者非法获取。资产被定义为应该被保护的有价值的财产。而资产价值的大小是吸引攻击者实施攻击行为的重要动力，因此有必要重视资产的价值。移动通信的资产可分为三类：信息资产、服务资产和系统资产。服务资产和系统资产是静态资产，因为其在创建后通常不再改变。然而，信息资产是动态管理的，因为信息资产根据策略而创建、移动、修改或删除。信息资产可以存储在系统资产，也可以由服务资产处理。服务资产可以用系统资产创建、删除或管理。表1用例子描述了这些资产。本标准只涉及信息资产。表 1 资产分类
信息资产
服务资产
系统资产
可以被计算系统存储、处理或传输的有价值的数据为用户提供数据操作的应用程序支持服务和数据处理的物理硬件组件例子
敏感数据、电了交易数据、商业计划等Web 服务，E-mail 服务
File server 文件服务器、Telnet 服务器表2给出资产的安全等级的评估标准。共分为5个安全等级：非常高、、中、低、非常低。移动终端或者应用服务器根据信息资产的安全需求，选择合适的安全等级。表2为资产赋予安全等级的标准
非常高（Veryhigh）
高（High）
中(Medium)
低Low）
非常低（Very low）
安全等级
有文件组织的安全策略
采取适当安全措施应用到企业网络预备事件响应过程
执行带规安监控
有文件组织的安全策略
抵抗已知攻击的适当安全措施
执行常规安全监控
应用适当安全措施抵抗已知攻击执行常规安全监控
应用适当安全措施抵抗已知攻击。执行非常规安全监挖
没有安全措施
敏感级别（资产）
若资产被破坏、伪造或桑露，会导致组织任务的长期中断若资产被破坏，将很雄恢复
若资产被破坏、伪遗或暴，会导致组织任务的短期中断若产被破坏，可以恢复
若资产被破坏、伪造或暴露，会导致组织任务的暂时嘛烦若资产被破坏，可以恢复
若资产被破坏、伪造或暴跨，对纽织任务影喻很小若资产被破坏，可以恢复
资产被破坏、伪造或暴露，对组织任务没有影响服务提供商可以根据市场需求配置每个等级所使用的安全关联。另外，根据安全技术和终端能力的发展，等级中的技术内容随着时问推移可能不同。但从用户使用的角度看，用所面对的安全等级是稳定的。安全等级对用户屏蔽具体的安全技术。因此对安全等级进行明确的划分，可以为用户使用安全服务提供一致和稳定的解决方案。用户不必知道每个等级使用的安全技术细节。用户只关心不同应用环境和不同安全等级之间的关系。在数据通信建立之前，用户只需做简单地判断和决定。例如，他们可以简单地便用基本安全策略（不需做任何选择）。在通信之前，根据数据的重要性，他们也可以选择其的一个等级。
7.4安全策略框架
YD/T2037-2009
安全策略划分为4个层次，分别为：安全等级、安全场景、安全元、安全算法和协议。如图3所示，安全等级、安全场景和安全元共同决定安全算法和协议。安全元1
场段2
城景n
安全元！
场景1
场最n
7.4.1安全等级
算法1.1.1
&协议 1.1.1
算法 1.n.1
&协议In.1
算法 t.1.1
&协议 1.1.1
算法 n.1
& 协议 i.n.1
Mediam
算法1.1.2
&协议1.1.2
算法 1.n.2
& 协议 1.n.2
Medium
算法1.1.2
&协议 1,1.2
算法 i.n.2
& 协设 t.n.2
算法 1.1.3
＆协议 1.1.3
算法1.n.3
支 协议 1. n.3
算法1.1.3
协设 1.1.3
算法 i.n3
& 协议 i.n.3
图3安全策略分层架构
Extending
算法1.1.4
&协议1.1.4
算法 1.n.4
＆协议1.n.4
Extencling
算法 1.1.4
& 协议 i1.4
算法 7.n.4
&协议 i.n.4
安全等级层是安全策略的一层，是管理者根据市场需求对安全等级进行的划分方式。比如，可以简单地划分成“高”、“中”、“低”3个层次，也可以划分成更多的层次，这取决于运营商的市场需求和市场策略。不同的安全等级为用户提供不同程度的安全服务，用户根据不同的安全需要选择不同的安全等级。7.4.2安全场景
安全场景是安金策略的第二层，用于满足用户对终端数据传输的安全需求。它对用户是透明的，是服务提供商根握终端数据传输的不同安全需要，划分不同场景。比如对用户使用移动银行，移动保险、移动证券等业务，可以划分成一个安全场景。7.4.3安全元
安全元是安全策略的第三层，是实现安全服务的功能单元。一个安全元能够对抗一类主要安全威胁；ITU-TX.805规定了8种典型的安全元，如认证、数据机密性、数据完整性、抗抵赖、访问控制、可用性等。此外，安全元还可以包括在线杀毒、入侵检测、漏洞扫描和内容过滤。7.4.4安全算法和协设
安全算法和协议是安全策略的第四层，是实现安全通倍的具体算法和协议，对应具体的安全机制。一般米讲，CSA和NSP所在的网关会支持不同的算法和协议。这些算法和协议在不同实体内，具有相同的标志符。
从图3中可以看出，每个安全元对应一张表。每张表根据安全等级和安全场景分成不同的算法和协议的集合，一个安全元的表中，特定的安全等级和安全场景决定了满足这个安全元的安全算法和协议。不同安全元的算法和协议共间完成一次特定安全等级和安全场景下的通信。比如，在“中”安全等级（选中第一层）和“场景1”的条件下（选中第二层），安全通信需要“安7
TIKAONIKACa-
YD/T 2037-2009
全元1”和“安全元3”（选中第三层）。此时的安全通信使用算法1.1.2、协议1.1.2、算法3.1.2和协议3.1.2。
对于用户来讲，用户根据通信求，对处在第一层的安全等级和处在第二层的通信场景进行选择，安全等级和场景的划分由安全策略服务器根据业务对网络承载层的安全需求进行设计。对于常用的安全需求，安全策略服务器可以绑定安全等级和场景，从而简化用户选择的难度。对于大众化的安全需求，安全策略服务器可以通过缺省配置来代替用户对场景和安全等级的选择。7.5系统架构说明
图4是差异化安全服务系统架构功能图。该系统包括 CSA、NSP和 SPS。图 4展示了在安全服务系统中，CSA、NSP、SPS之间的通信关系以及各个实体内部功能模块之间的通信关系。用 CSA通过CNP协议(Client & Network Protocol）与 NSP通信，NSP通过 NPP 协议（Network & Policy Server Protocol)与 SPS 通信，NSP 之间通过 NNP 协议（Network & Network Protocol） 通信。策略服务器（SPS）
安全服务控制
安全等级管理
搬务器通信接口
用户通值接口
安全等级
安金等级
用户安全代理(CSA)
网络通信接口
产生安金业
务计费信息
安全等级
网络安全代理(NSP)
网络通信接口
产生安企业
务计费信息
安全等级
图4差异化安全服务系统架构功能模块图7.5.1安全策略服务器（SPS）
用户通信接口
安会等级
安全等级
网络管理员根据客户通信安全需求以及运营需要，在SPS上配置安全等级和相应的安全策略规则，用户定制的差异化安全服务信息也存储在SPS上面。SPS还负仲裁所有可能的安全等级协商结果的响应方式。
安全策略服务器包含如下功能模块：一服务器通信接口
一安全等缀管理模块
一安全服务控制模快
7.5.1.1服务器通信接口
YD/T 2037-2009
服务器通信接口接收从NSP上传的用产安全等级配置相关信息和安全等级协商结采信息。服务幕通信接口下发安企等级策略以及根据接收到的安全等级协商结米下发仰裁结果给NSP。7.5.1.2安全等级管理模块
管理员通过安全等级管理模块设置安全策略，更新安企等级配置信息。7.5.1.3安全业务控制模块
当SPS收到安全等级协商结果信息，需要SPS进行仲裁时，安全业务控制模块根据预先设定的策略信息，做出裁结果，并通过服务器通信接口，下发给NSP。7.5.2网络安全代理（NSP）
NSP连接CSA，SPS以及其它NSP。NSP收集CSA上传的用户安全服务配置信息，并把这些信息上传给SPS。同时，NSP从SPS同步安全等级配置信息，并把安全等级配置信息下发给CSA。NSP还能够与CSA及网络中其它NSP协商安全等级，并建立该安全等级下的安全关联。NSP包含如下功能模块：
…网络通信接口
一等级协商模块
一计费信息模块
7.5.2.1网络通信接口
网络通信接口负责与用户通信接口、服务器通信接口、其他网络通信接口进行通信，并根据安企等级在多个网络实体之问建立和维持通信信道安全所需要的安全关联。网络通信接口接收CSA上传的用户相关信息，并把这些信息上传给SPS：同时从SPS下载安全等级，并下发给CSA。网络通信接口还负责NSP内部各模块之间的内部通信
7.5.2.2等级协商模块
等级协商模块与CSA，其它NSP协商安全等级，建立、维持和释放保护通信信道所需要的安全关联。7.5.2.3计费信息模块
计费信息模块根据通信过程中所使用的安全等级，产生相关的计费信息，提供给计费平台。该计费信息可以包括：时间、次数、流量等。7.5.3用户安全代理（CSA）
CSA从NSP下载运营商为该用户配置的安全等级策略信息。在通信开始前，CSA将用户选择的安全等级，场景类型传送给NSP。安全等级可由发送方CSA或接收方CSA的任何方甲请。当发送方CSA接收方CSA和NSP三者F出现所支持的安全等级不一致的情况时，由安全策略服务器SPS进行仲裁。CSA根据协商后的安全等级，执行安全策略。CSA包含如下功能模块
一用户通信接口
一安全等级协商模块
一安全等级设置模块
7.5.3.1用户通信接口
用户通信接口负责收集CSA和终端的信息，并与NSP的网络通信接口进行通信。用户通信接口把用9
TIKAONIKACa-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。