Secure Service Provisioning (SSP) framework for IP Multimedia Subsystem (IMS) [Elektronische Ressource] / Muhammad Sher

Sujets

• Informatik

Informations

• Publié par: technische_universitat_berlin
• Publié le: 01 janvier 2007
• Nombre de lectures: 25
• Langue: Deutsch
• Poids de l'ouvrage: 8 Mo

Extrait

Secure Service Provisioning (SSP)
Framework for IP Multimedia
Subsystem (IMS)


M.Sc. Muhammad Sher

von der Fakultät IV – Elektrotechnik und Informatik
der Technischen Universität Berlin
zur Erlangung des akademischen Grades

Doktor der Ingenieurwissenschaften
– Dr.-Ing. –

genehmigte Dissertation





Promotionsausschuss:

Vorsitzender: Prof Dr.-Ing. Thomas Sikora
Gutachter: Prof Dr.-Ing. Thomas Magedanz
Gutachter: Prof Dr.-Ing. Klaus David

Tag der wissenschaftlichen Aussprache: 14.12.2007


Berlin 2007
D 83SSP Framework for IMS Management Summary
Zusammenfassung
Mit dem Erscheinen mobiler Multimediadienste, wie z. B. Unified Messaging, Click-to-Dial-
Applikationen, netzwerkübergeifende Multimedia-Konferenzen und nahtlose Multimedia-Streming-
Dienste, begann die Konvergenz von mobilen Kommunikationsetzen und Festnetzen, begleitet von der
Integration von Sprach- und Datenkommunikations-Übertragungstechnik Diese Entwicklungen bilden
die Voraussetzung für die Verschmelzung des modernen Internet auf der einen Seite mit der
Telekommunikation im klassischen Sinne auf der anderen. Das IP Multimedia-Subsystem (IMS) darf
hierbei als die entscheidende Next-Generation-Service-Delivery-Plattform in einer vereinheitlichten
Kommunikationswelt angesehen werden. Seine Architektur basiert auf einem modularen Design mit
offenen Schnittstellen und bietet dedizierte Voraussetzungen zur Unterstützung von Multimedia-
Diensten auf der Grundlage der Internet-Protokolle. Einhergehend mit dieser aufkommenden offenen
Technologie stellen sich neue Sicherheits-Herausforderungen in einer vielschichtigen
Kommunikationsinfrastruktur, im Wesentlichen bestehend aus dem Internet Protokoll (IP), dem SIP-
Protokoll (Session Initiation Protocol) und dem Real-time Transport Protokoll (RTP).
Die Zielsetzung des Secure Service Provisioning-Systems (SSP) ist, mögliche Angriffsszenarien und
Sicherheitslücken in Verbindung mit dem IP Multimedia Subsystem zu erforschen und
Sicherheitslösungen, wie sie von IETF, 3GPP und TISPAN vorgeschlagen werden, zu evaluieren. Im
Rahmen dieser Forschungsarbeit werden die Lösungen als Teil des SSP-Systems berücksichtigt, mit
dem Ziel, dem IMS und der Next-Generation-SDP einen hinreichenden Schutz zu garantieren. Dieser
Teil, der als Sicherheitsschutzstufe 1 bezeichnet wird, beinhaltet unter anderem Maßnahmen zur
Nutzer- und Netzwerk-Authentifizierung, die Autorisierung der Nutzung von Multimediadiensten und
Vorkehrungen zur Gewährleistung der Geheimhaltung und Integrität von Daten im Zusammenhang mit
dem Schutz vor Lauschangriffen, Session-Hijacking- und Man-in-the-Middle-Angriffen. Im nächsten
Schritt werden die Beschränkungen untersucht, die für die Sicherheitsschutzstufe 1 charakteristisch
sind und Maßnahmen zu Verbesserung des Sicherheitsschutzes entwickelt. Die entsprechenden
Erweiterungen der Sicherheitsschutzstufe 1 führen zu einem Intrusion Detection and Prevention-
System (IDP), das Schutz vor Denial-of-Service- (DoS) / Distributed-Denial-of-Service (DDoS)-
Angriffen, missbräuchlicher Nutzung und Täuschungsversuchen in IMS-basierten Netzwerken bietet.
Weder 3GPP noch TISPAN haben bisher Lösungen für diesen Bereich spezifiziert. In diesem
Zusammenhang können die beschriebenen Forschungs- und Entwicklungsarbeiten einen Beitrag zur
Standardisierung von Lösungen zum Schutz vor DoS- und DDoS-Angriffen in IMS-Netzwerken leisten.
Der hier beschriebene Ansatz basiert auf der Entwicklung eines (stateful / stateless) Systems zur
Erkennung und Verhinderung von Einbruchsversuchen (Intrusion Detection and Prevention System).
Aus Entwicklungssicht wurde das IDP in zwei Module aufgeteilt: Das erste Modul beinhaltet die
Basisfunktionen des IDP, die sich auf Flooding-Angriffe auf das IMS und ihre Kompensation richten.
Ihr Ziel ist es, das IMS-Core-Netzwerk und die IMS-Ressourcen vor DoS- und DDoS-Angriffen zu
schützen. Das entsprechende Modul basiert auf einer Online Stateless-Detection-Methodologie und
wird aktiv, sobald die CPU-Auslastung der P-CSCF (Proxy-Call State Control Function) einen
vordefinierten Grenzwert erreicht oder überschreitet. Das zweite Modul (IDP-AS) hat die Aufgabe,
Angriffe, die sich gegen IMS Application Server (AS) richten abzufangen. Hierbei konzentrieren sich
die Maßnahmen auf den Schutz des ISC-Interfaces zwischen IMS Core und Application Servern. Das
betreffende Modul realisiert eine Stateful Detection Methodologie zur Erkennung missbräuchlicher
Nutzungsaktivitäten. Während der Nutzer mit dem Application Server kommuniziert, werden dabei
nutzerspezifische Zustandsdaten aufgezeichnet, die zur Prüfung der Legitimität herangezogen werden.
Das IDP-AS prüft alle eingehenden Requests und alle abgehenden Responses, die von IMS Application
Servern stammen oder die an IMS Application Server gerichtet sind, auf ihre Zulässigkeit im Hinblick
auf die definierten Attack Rules.
Mit Hilfe der Kriterien Fehlerfreiheit und Processing Delay bei der Identifikation potenzieller Angriffe
wird die Leistungsfähigkeit der IDP-Module bewertet. Für die entsprechenden Referenzwerte werden
hierbei die Zustände Nomallast und Überlast verglichen. Falls die Leistungsfähigkeit des IDP nicht
unter den Erwartungen zurückbleibt, wird ein IDP-Prototyp zur Evaluation im Open IMS Playground
des Fokus Fraunhofer 3Gb-Testbeds eingesetzt, um unter realen Einsatzbedingungen z. B. in VoIP-,
Videokonferenz- , IPTV-, Presence- und Push-to-Talk-Szenarien getestet werden zu können.

iii SSP Framework for IMS Abstract
Abstract
With the emergence of mobile multimedia services, such as unified messaging, click to dial,
cross network multiparty conferencing and seamless multimedia streaming services, the
fixed–mobile convergence and voice–data integration has started, leading to an overall
Internet–Telecommunications merger. The IP Multimedia Subsystem (IMS) is considered as
the next generation service delivery platform in the converged communication world. It
consists of modular design with open interfaces and enables the flexibility for providing
multimedia services over IP technology. In parallel this open based emerging technology has
security challenges from multiple communication platforms and protocols like IP, Session
Initiation Protocol (SIP) and Real-time Transport Protocol (RTP).
The objective of Secure Service Provisioning (SSP) Framework is to cram the potential
attacks and security threats to IP Multimedia Subsystem (IMS) and to explore security
solutions developed by IETF, 3GPP and TISPAN. This research work incorporates these
solutions into SSP Framework to secure IMS and next generation Service Delivery Platform
(SDP). We define this part as level 1 security protection which includes user and network
authentication, authorization to access multimedia services, providing confidentiality and
integrity protection etc. against eavesdropping, session hijacking and man-in-the middle
attacks etc. In the next step, we have investigated the limitations and improvements to level 1
security and proposed the enhancement and extension as level 2 security by developing
Intrusion Detection and Prevention (IDP) system against Denial-of-Service (DoS)/Distributed
DoS (DDoS) flooding attacks, misuses and frauds in IMS-based networks. These security
threats recently have been identified by 3GPP and TISPAN but no solution is recommended
and developed. Therefore our solution may be considered as recommendation in future.
Our approach based on developing both stateless and stateful intrusion detection and
prevention system. From development point of view, we have divided the work into two
modules: the first module is IDP-Core; addressing and mitigating the flooding attacks in IMS
core. Its objective is to protect the IMS resources and IMS-core entities from DoS/DDoS
flooding attacks. This module based on online stateless detection methodology and activates
when CPU processing load of P-CSCF (Proxy-Call State Control Function) reaches or crosses
the defined threshold limit. The second module is IDP-AS; addressing and mitigating the
misuse attacks facing to IMS Application Servers (AS). Its focus is to secure the ISC interface
between IMS Core and Application Servers. This module is based on stateful misuse
detection methodology by creating and comparing user state (partner) when he/she is
communicating with application server to check whether user is performing legitimate or
illegitimate action with attacks rules. The IDP-AS also compared the incoming request and
outgoing response to and from IMS Application Servers with the defined attacks rules.
In the performance analysis, the processing delay and attacks detection accuracy of both
Intrusion Detection and Prevention (IDP) modules have been measured at Fraunhofer FOKUS
IMS Testbed which is developed for research purpose. The performance evaluation based on
normal and overload conditions scenarios. The result