Hooepage Cybersecuritv Cyberpace Menschen
Nachrichtendienste kybernetische Waffen Bildung
Kommunikation  E-Mail & .... Übertragungskanäle Kommunikatioskrieg Internationale Verbindungen Lösungen Technik N e t z e Militär
Kommuni-kationsreport

Guide to Security for WiMAX Technologies (Draft)
-Original -
Leitfaden zur Sicherheit für WiMAX-Technologien (Entwurf)
Kommunikatiosreport
-
deutsch-
Seite 1
Seite 2
Seite 3
Seite 4
Seite 5
Seite 6
Seite 7
Seite 8
Seite 9
Seite 10
Seite 11
Seite 12
...
...
>>>  3  > >>

Leitfaden zur Sicherheit für WiMAX-Technologien (Entwurf)

2-1
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Art der Signallaufzeit, genannt Line-of-sight (LOS), zu festen Operationen begrenzt ist und nutzt die 10-66 Gigahertz (GHz) Frequenzbereich. Die andere Art der Signallaufzeit heißt non-line-of-sight (NLOS). NLOS beschäftigt HF-Modulation Techniken für fortgeschrittene HF-Signal Änderungen durch Hindernisse, die LOS Kommunikation verhindern würden kompensieren. NLOS kann sowohl für Festnetz-WiMAX-Aktivitäten (in den GHz-Bereich 2-11) und den mobilen Einsatz (in von 2-6 GHz-Bereich) eingesetzt werden. NLOS Signallaufzeit wird häufiger als LOS wegen Hindernissen, die mit LOS Kommunikation und wegen der strengen Vorschriften für Frequenz Lizenzierung und Antenne Einsatz in vielen Umgebungen, behindern die Möglichkeit der Verwendung LOS stören beschäftigt.
2.2 Arbeitsweise Topologien
Es gibt vier primäre WiMAX-Topologien: Punkt-zu-Punkt-, Punkt-zu-Multipunkt, Multi-Hop-Relais (dh Mesh Networking), und mobil. Jeder dieser Bereiche ist im folgenden kurz beschrieben.
2.2.1 Punkt-zu-Punkt (P2P)
Eine Punkt-zu-Punkt (P2P)-Topologie besteht aus einem speziellen Long-Range mit hoher Kapazität drahtlose Verbindung zwischen zwei Standorten. Typischerweise befinden sich die wichtigsten oder zentralen Standort der BS und der Remote-Site hostet die SS, wie in Abbildung 2-1 zu sehen. Die BS steuert die Kommunikation und Sicherheit Parameter für die Festlegung der Link mit der SS. Die P2P-Topologie ist für hohe Bandbreite drahtlos backhaul4 Dienste bei einer maximalen Reichweite von ca. 48 km (30 Meilen) mit LOS oder NLOS Signallaufzeit verwendet.

 

Abbildung 2-1. P2P-Topologie
4 A-Backhaul ist in der Regel eine hohe Kapazität Linie von einem Remote-Standort oder Netzwerk mit einem zentralen Standort oder Netzwerk.
2-2
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
2.2.2 Punkt-zu-Mehrpunkt (PMP)
Eine Punkt-zu-Multipunkt (PMP) Topologie besteht aus einem zentralen BS Unterstützung mehrerer SSs komponiert, Anbieter von Netzwerk-Zugang von einem Standort aus zu vielen. Es wird allgemein für die letzte Meile Breitband-Zugang, 5 Privatunternehmen Konnektivität zu externen Zweigstellen und Long-Range Wireless Backhaul-Dienste für mehrere Standorte verwendet. PMP Netze arbeiten mit LOS oder NLOS Signallaufzeit. Jeder PMP BS hat eine typische Reichweite von 8 Kilometer (5 Meilen). Abbildung 2-2 zeigt die PMP-Topologie.



Abbildung 2-2. PMP-Topologie
2.2.3 Multi-Hop-Relay
Ein Multi-Hop-Relais topology6 wird durch IEEE-2009 802.16j definiert, um eine BS Versorgungsgebiet durch die Zulassung SSS / MS für den Verkehr, indem sie als RSs Relais verlängern. Daten an ein SS / MS außerhalb des BS Bereich ist bestimmt durch benachbarte weitergeleitet RSS. Eine RS kann nur vorwärts Verkehr RSS / SSS in seinem Security Zone. Ein Security Zone ist eine Gruppe von vertrauenswürdigen Beziehungen zwischen einem BS und einer Gruppe von RSS. Daten Ursprung außerhalb eines BS-Berichterstattung erstreckt sich über mehrere RSS-geführt, wodurch das Netzwerk gesamten geografischen Bereich, wie in Abbildung 2-3 zu sehen. Multi-Hop-Relay-Topologie verwendet typischerweise NLOS Signallaufzeit, weil sein Zweck ist, große Spannweiten geografischen Gebieten mit mehreren RF Hindernisse, aber technisch kann arbeiten mit LOS Ausbreitung auch. Die maximale Reichweite für jeden Knoten in einem Multi-Hop-Relay-Topologie ist ca. 8 km (5 Meilen).
5 Letzte-Meile Breitband-Zugang findet die Kommunikationstechnik, die Brücken der Übertragung Abstand zwischen den Breitband-Service-Provider-Infrastruktur und der Kunde benötigt.
6 Obwohl IEEE-2009 802.16j dieser Topologie findet als "Multi-Hop-Relais," es hat das traditionell als "Mesh Networking" in ähnlichen Kommunikations-Architekturen bezeichnet. 2-3
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)



Abbildung 2-3. Multi-Hop-Topologie
2.2.4 Mobile
Eine mobile Topologie ist vergleichbar mit einem Mobilfunknetz, da mehrere BSen zusammenarbeiten, um eine nahtlose Kommunikation über ein verteiltes Netzwerk sowohl SSS und MS zu stellen. Diese Topologie verbindet die Reichweite eines jeden Mitglieds BS und beinhaltet Maßnahmen, die Übergaben von MS zwischen BS Versorgungsgebiete, wie das Auto MS in Abbildung 2-4 zu sehen erleichtern. Es nutzt HF-Signale Technologie, um die erhöhte Komplexität RF für den mobilen Einsatz nötige Unterstützung zu weit fortgeschritten. Jedes BS Versorgungsgebiet liegt ca. 8 km (5 Meilen). Mobile WiMAX arbeitet mit NLOS Signallaufzeit auf Frequenzen zwischen 2 und 6 GHz.
2-4
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)



2,3 Entwicklung des IEEE 802.16 Standard
Im Jahr 1999 wurde 802.16-Arbeitsgruppe für Broadband Wireless Access-Standards gegründet, um Standards zu entwickeln und Empfehlungen für die Entwicklung und Verbreitung von Breitband WMAN unterstützen. Im Folgenden sind die Standards und Änderungen, die die Arbeitsgruppe hervorgebracht hat.
Wenn der IEEE 802,16 bis 2001 Standard, der für die letzte Meile drahtlosen Breitbandzugang gezielt, zuerst wurde im April 2001 veröffentlicht, bildete die WiMAX-Forum, um die Kompatibilität und Interoperabilität von IEEE 802.16-Technologien fördern. Im Dezember 2001 wurde der IEEE-Standard 802,16 bis 2001 ratifiziert. Es funktionierte im 10-66 GHz-Frequenzbereich und zur Verfügung gestellt LOS festen P2P und PMP Kommunikation auf maximale Datenraten von etwa 70 Megabit pro Sekunde (Mbps). Implementierung des IEEE-Standard 802,16-2.001 wurde wegen seiner LOS Anforderung und der Mangel an lizenzfreie Frequenzen beschränkt. Wegen der Mängel des IEEE 802,16-2.001, drei Änderungsanträge, 802.16a, b und c wurden im Jahr 2004 veröffentlicht. Diese Änderungen verbessern die Interoperabilität, Quality of Service (QoS) und Daten-Performance. Sie legten auch die Fähigkeit, Signale von einem Gerät aktiv propagieren zu einem anderen (dh Mesh Networking) und haben NLOS-Kommunikation. Eine IEEE 802.16d Änderung wurde auch in der Entwicklung, um die Interoperabilität zu verbessern, aber es wurde später von einer einzigen Änderung, eine Revision Projekt, das IEEE 802,16-2001 und deren Änderungen unter einem einzigen Standard aggregierten umgestellt: IEEE 802.16-2004. Versionen von IEEE 802.16 vor IEEE 802.16-2004 werden nicht mehr von Herstellern unterstützt und sind nicht weiter in dieser Veröffentlichung diskutiert.
IEEE 802.16-2004 vereint alle eine verbesserte Funktionalität des IEEE 802,16-2.001 Änderungen mit neuen technischen Spezifikationen für Interoperabilität. Die Norm unterstützt die Kommunikation im 2-66 GHz Frequenzbereich, mit 10-66 GHz für LOS und 2-11 GHz für NLOS. Jeder Frequenzbereich beschäftigt verschiedenen Modulationsverfahren zu LOS und NLOS Kommunikation Erfordernissen gerecht zu werden. Darüber hinaus können IEEE 802.16-2004 in P2P, PMP betreiben, und Mesh-Topologien. 2-5
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Der IEEE 802.16e-2005 Änderung der Standard IEEE 802.16-2004 bietet zudem Verbesserungen der Fixed-Wireless-Betrieb und ermöglicht eine zelluläre-Architektur. Insbesondere stellt IEEE 802.16e-2005 für die Förderung der Mobilität SSS und implementiert erweiterte Signalisierung Techniken, die neue Service-Angebote wie Voice over Internet Protocol (VoIP), Präsenz und Multimedia Broadcast aktivieren. Diese Erweiterungen der bisherigen Standard der QoS machen es widerstandsfähig gegen Kommunikations-Latenz und jitter.7 Zusätzlich IEEE 802.16e-2005 begrenzt den Frequenzbereich bis 6 GHz oder unten für den mobilen Einsatz. IEEE 802.16e-2005 auch neue Maßnahmen zur Gefahrenabwehr, diese werden ausführlich in Abschnitt 3 beschrieben.
Die Unterstützung in IEEE 802.16e-2005 für mobile Geräte erforderten eine erhebliche Abweichung von dem Prozess IEEE 802.16-2004 BSen verwenden, um SSs verwalten. IEEE 802.16e-2005 stellt dynamische Roaming und andere neue Methoden, um die Kommunikation zwischen Übergaben SSS und BSS, dh zu verwalten, Schalten eines SS-Übertragung von einem BS Versorgungsgebiet in ein neues BS Versorgungsgebiet als mobile SS bewegt. Die Kommunikations-Architektur ist auch modifiziert werden, um bessere Energieverwaltung und effiziente Betriebsarten, die Macht Zwänge der MS-Adresse zu erleichtern.
Im Mai 2009 konsolidiert IEEE 802.16-2004, 802.16e-2005-2005 802.16f und 802.16g-2007 in die neuesten IEEE 802,16 bis 2009 Standard. IEEE 802,16-2009 technisch Konzern Standards und Änderungen obsolet gemacht, doch, als dies geschrieben wurde, viele Produktion WiMAX-Netze sind immer noch auf IEEE 802.16-2004 oder IEEE 802.16e-2005 basieren. Im Juni 2009 veröffentlichte IEEE IEEE-2009 802.16j Änderung vorsieht, Multi-Hop-Relais als Ersatz für IEEE 802.16-2004 Mesh. Diese Änderung sieht eine weiter entwickelte und gründliche Sicherheits-und Kommunikations-Architektur für Mesh Networking als bisher in IEEE 802,16-2004,8 definiert
Zusätzlich zu den Standards und Änderungen bereits diskutiert, Tabelle 2-1 listet anderen relevanten Standards und Änderungen der IEEE 802.16-Familie von Standards.
Tabelle 2-1. Zusätzliche IEEE 802.16 Standards und Änderungen
Name
Standard oder Abänderung
Status9
Zweck
802.16h
Änderungsantrag
Tiefgang: Veröffentlicht 6 / 2008
Entwickelt Methoden zur Verbesserung der WiMAX Koexistenz über genehmigungsfreien Spektrum.
802.16k-2007
Standard
Aktiv: Veröffentlicht 8 / 2007
Definiert Verfahren zur Bridge-Funktionalität in IEEE 802.16-2004 unterstützen.
802.16m
Standard
Tiefgang: Veröffentlicht 9 / 2008
Verbessert die IEEE 802.16-Luftschnittstelle auf Geschwindigkeiten bis zu 1 Gigabit / Sekunde (Gbps) für feste Operationen und 100 Mbps für den mobilen Einsatz zu unterstützen.
Generell bieten Normungsgremien einen Rahmen für die Produktentwicklung, aber nicht sicher, Vendor-Interoperabilität. Produkt-Zertifizierungen dienen Marktakzeptanz von auf Standards basierende Technologie zu fördern und Anbieter Bedienbarkeit Ansprüche zu überprüfen. Gegründet 2001, ist das WiMAX Forum eine Non-Profit Industry Trade Group, dass die Annahme der WiMAX-Technologie fördert. Eine größere Anstrengung des WiMAX-Forums ist die Gestaltung und Förderung der Zertifizierung von Produkten auf der Familie der IEEE 802.16-Standards. Das WiMAX-Forum entwickelt das WiMAX Forum-Zertifizierung zu gewährleisten, dass Produkte kompatibel sind, interoperabel sind, und entsprechen den Industriestandards, die gewährleisten, dass Produkten unterschiedlicher Hersteller können in der gleichen WiMAX-Netzwerk. Dies führt zu mehr Wettbewerb in der
7 Jitter, wie es zu Warteschlangen betrifft, ist der Unterschied in Latenz von Paketen.
8 Der Mangel an einer robusten Mesh Networking-Sicherheit und Kommunikation in Architektur IEEE 802.16-2004 resultierte in geringen Marktakzeptanz von IEEE 802.16-2004 basiert Mesh Networking.
9 Aktive zeigt, dass die Standard-oder Änderung durch den IEEE-Standards Board genehmigt worden ist, Tiefgang zeigt, dass es erwartet vorläufige Genehmigung Sponsor Ballot, und Pre-Draft darauf hinweisen, dass es noch in der Entwicklung.
2-6
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Marktplatz, größere Flexibilität bei der Bereitstellung, größer Zielmärkten und niedrigere Produktionskosten costs.10 Das WiMAX Forum warnt, dass "Anbieter behaupten, dass ihre Geräte" WiMAX-like "," WiMAX-konforme ', etc. sind nicht WiMAX Forum Certified, was bedeutet, dass ihre Geräte möglicherweise nicht kompatibel mit anderen Anbietern Ausrüstung. "11
10 Der WiMAX Forum Certified Product Registry kann http://www.wimaxforum.org/productshowcase gefunden werden.
11 WiMAX Forum "Certification Program" http://www.wimaxforum.org/certification/program
2-7
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
3. WiMAX-Sicherheitsfunktionen
In diesem Abschnitt werden die Sicherheitsmechanismen, die in IEEE 802.16-2004, IEEE 802.16e-2005, IEEE 802,16-2.009 und IEEE 802.16j-200912, ihre Funktionen erläutern und eine Grundlage für die Empfehlungen zur Sicherheit in Abschnitt 5. Die IEEE 802.16 Standards spezifizieren zwei grundlegende Sicherheitsdienste: Authentifizierung und Vertraulichkeit. Authentifizierung beinhaltet den Prozess der Überprüfung der Identität durch ein WiMAX-Gerät beansprucht. IEEE 802.16e-2005 und IEEE 802,16-2.009 die gleiche Authentifizierung und Vertraulichkeit Mechanismen. Beide unterstützen die Benutzerauthentifizierung neben Geräte-Authentifizierung. Vertraulichkeit beinhaltet Verhinderung der Verbreitung von Informationen gewährleisten, dass nur autorisierte Geräte können den Inhalt des WiMAX Daten Nachrichten anzuzeigen. Die IEEE 802.16-Standards bieten keine Möglichkeit, Management messages.13 verschlüsseln
Die IEEE 802.16 Standards beziehen sich nicht auf andere sicherheitsrelevante Dienste wie Verfügbarkeit und Vertraulichkeit Schutz für Management-Nachrichten, wenn diese Leistungen erforderlich sind, werden sie durch zusätzliche Mittel müssen bereitgestellt werden. Auch schützt IEEE 802.16 Sicherheit der Kommunikation über das WMAN Verknüpfung zwischen einem SS / MS und BS, aber nicht die Kommunikation über das verkabelte Netzwerk hinter dem Betreiber BS. End-to-End-Sicherheit ist nicht ohne Anwendung zusätzlichen Sicherheitskontrollen nicht durch den IEEE-Standards festgelegt werden.
WiMAX-Systeme bieten eine sichere Kommunikation, indem in drei Schritten: Authentifizierung, Key Establishment und Datenverschlüsselung. Abbildung 3-1 ist ein High-Level Überblick über die Sicherheits-Framework. Die Anmelde-Prozedur sieht gemeinsame Schlüsselmaterial für die SS / MS und BS und erleichtert den sicheren Austausch von Schlüsseln, die Verschlüsselung der Daten sorgen für die Vertraulichkeit von WiMAX-Datenkommunikation. Der Rest dieses Abschnitts erklärt die Grundlagen des WiMAX-Security-Frameworks, Authentifizierung, Key Establishment und Datenverschlüsselung.
12 IEEE-2009 802.16j enthält alle Sicherheitsfunktionen des IEEE 802,16-2009, und umfasst auch Sicherheits-Features für Multi-Hop-Relais Vernetzung. Alle Diskussionen über IEEE 802,16-2.009 Sicherheit in dieser Veröffentlichung gelten auch für 802.16j IEEE-2009.
13 Management-Nachrichten werden in der Regel nicht verschlüsselt in der drahtlosen Kommunikation, weil du Verschlüsselung negativ beeinflussen könnten Netzbetrieb. Ein typisches Beispiel für ein Management-Nachricht ist eine Aufforderung hin zur Netzwerk-Verzögerung bei der ersten Netzwerk-Eintrag und in regelmäßigen Abständen während des Betriebs zu bestimmen. Da diese Nachricht ist an der Zeit empfindlich und mehrere Bytes lang, Verschlüsselung wäre verringern die Verfügbarkeit des Netzwerks. 3-1
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)



Abbildung 3-1. WiMAX Security Framework
3.1 Sicherheit Verbände
Eine Security Association (SA) ist eine gemeinsame Reihe von Sicherheits-Parameter, die einen Bachelor of Science und seine SS / MS eine sichere Kommunikation zu erleichtern verwenden. Im Konzept ähnlich Internet Protocol Security (IPsec), 14 SA-Parameter definiert die Sicherheitsanforderungen von einer Verbindung, dh Schlüssel und Algorithmen. SAs fallen in eine von drei Kategorien: Genehmigung, Daten (unicast15 Dienste) und Gruppe (multicast16 Dienstleistungen). Eine deutliche SA ist für jeden Dienst durch den BS angeboten etabliert. Zum Beispiel würde eine Unicast-Dienst einen eindeutigen Verschlüsselung von Daten SA, während ein Multicast-Dienst hätte eine einzigartige Gruppe haben SA.
Authorization SAs erleichtern Authentifizierung und Schlüssel Einrichtung, zum Daten-und Gruppen-SAs zu konfigurieren. Authorization SAs enthalten die folgenden Attribute:
­ X.509-Zertifikaten. Digitale X.509-Zertifikate ermöglichen WiMAX Kommunikations-Komponenten miteinander zu validieren. Der Hersteller das Zertifikat zu Informationszwecken verwendet und die BS-und SS / MS-Zertifikate enthalten den jeweiligen Geräten öffentlichen Schlüssel. Die Zertifikate werden vom Gerätehersteller oder durch einen Dritten Zertifizierungsstelle signiert.
­ Authorization Key (AK). AKs sind zwischen BS und SS / MS ausgetauscht, um einander vor der Verschlüsselung des Datenverkehrs Schlüssel (TEK) zu authentifizieren. Die Ermächtigung umfasst SA eine Kennung und ein wichtiger Lebens-Wert für jede AK.
14 IPsec ist ein Netzwerk-Layer-Security-Protokoll die Authentifizierung und Verschlüsselung bietet über das Internet.
15 Unicast-Verkehr wird eine einzige Datenübertragung an einen einzelnen Empfänger im gleichen Netzwerk.
16 Multicast-Verkehr wird eine einzige Datenübertragung an mehrere Empfänger über das gleiche Netz.
3-2
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
­ Key Encryption Key (KEK). Abgeleitet von der AK ist die KEK zur TEKS während der TEK Austausch, wie später in Abschnitt 3.3 diskutiert verschlüsseln.
­ Nachricht Authentifizierungsschlüssel. Abgeleitet von der AK, bestätigen die Nachricht Authentifizierungsschlüssel die Echtheit der Verteilung der Schlüssel-Nachrichten während der Schlüssel-Niederlassung. Diese Tasten werden auch zur Verwaltung von Nachrichten an Authentizität Nachricht bestätigen zu unterzeichnen.
­ autorisierten Daten SA-Liste. Vorausgesetzt, die SS / MS von der BS, zeigt die zulässige Daten SA-List, Datenverschlüsselung SAs der SS / MS zugelassen ist, den Zugang.
Data SAs legen die Parameter verwendet werden, um Unicast-Nachrichten zwischen BSS und SSS / MS zu schützen. Data SAs können nicht auf Management-Nachrichten, die verschlüsselt sind nie angewendet werden. Ein Data SA enthält die folgenden Sicherheits-Attribute:
­ SA-ID (SAID). Dieses einzigartige 16-Bit-Wert bezeichnet die SA um sie von anderen SAs zu unterscheiden.
­ Verschlüsselung Chiffre eingesetzt werden soll. Die Verbindung wird diese Verschlüsselung Chiffre Definition Funkverbindung Vertraulichkeit zu gewährleisten.
­ Traffic Verschlüsselung (TEK). TEKS werden nach dem Zufallsprinzip durch das BS erzeugt und verwendet, um Nachrichten zu verschlüsseln Daten WiMAX. Zwei TEKS ausgegeben werden, um die Kommunikation Unterbrechung während TEK Rekeying verhindern; die erste TEK ist für aktive Kommunikation verwendet, während die zweite TEK bleibt dormant.17
­ Datenverschlüsselung SA Art Indikator. Dieser Indikator kennzeichnet die Art der Daten SA. Es gibt drei Arten:
- Primär-SA. Diese SA ist eine einzigartige Verbindung für jeden SS / MS bei der Initialisierung mit dem BS etabliert. Es gibt nur eine primäre SA pro SS / MS.
- Statische SA. Diese SA sichert die Daten und Nachrichten ist für jeden Dienst durch den BS definiert generiert.
- Dynamische SA. Diese SA erstellt wird und beseitigt Antwort auf die Einleitung und Beendigung von bestimmten Dienstleistung fließt.
Gruppe SAs enthalten das Schlüsselmaterial verwendet, um Multicast-Verkehr zu sichern. Group SAS sind inhärent weniger sicher als Daten SAs weil identisch Schlüsselmaterial unter allen Mitgliedern einer Gruppe BS freigegeben ist. Group SAS enthält folgende Attribute:
­ Gruppe Verkehr Verschlüsselung (GTEK). Dieser Schlüssel wird zufällig von der BS erzeugt und verwendet, um Multicast-Verkehr zwischen einem BS und SSS / MSS verschlüsseln.
­ Group Schlüssel Schlüssel (GKEK). Dieser Schlüssel ist auch zufällig von der BS erzeugt und verwendet, um die GTEK verschlüsseln geschickt in Multicast-Nachrichten zwischen einem BS und SSS / MSS.
3,2 Authentifizierung und Autorisierung
Networking-Technologien traditionell beziehen sich auf eine Zulassung als der Prozess, der den Grad der Inanspruchnahme eines Knotens erhält nach dem Motiv identifiziert und authentifiziert bestimmt. Der Standard IEEE 802.16 bezieht sich allgemein auf Zulassung als Prozess der Authentifizierung WiMAX-Knoten und ihnen Zugang zu dem Netzwerk. Dieser leichte Unterscheidung von IEEE 802.16 gemacht wird, dass die Genehmigung Prozesse implizit Authentifizierung. Der PKM-Protokoll ist ein Satz von Regeln, die für die Authentifizierung und
17 pro die IEEE 802.16-2004 Standard "Jeder TEK wird aktiv zur Hälfte der Laufzeit seines Vorgängers und endet in der Mitte des Lebens von seinem Nachfolger" [IEE04]. Dieser zyklische Prozess wird sichergestellt, dass Schlüsselmaterial ständig aktualisiert wird.
3-3
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Zulassung zu erleichtern Schlüsselverteilung in WiMAX. PKM verwendet Genehmigung SAs zu Einrichtungen des Systems authentifizieren, so dass Daten-und Gruppen-Verschlüsselung SAs eingerichtet werden kann. PKM die Authentifizierung Durchsetzung Funktion bietet dem SS / MS und BS mit identischen AKs, jeder AK wird dann verwendet, um die Nachricht Authentifizierungsschlüssel und KEKS, dass der gesicherte Austausch der TEKS erleichtern abzuleiten. IEEE 802.16-2004 leitet die AK PKM mit Version 1 (PKMv1), während IEEE 802.16e-2005 und IEEE 802,16-2009 leiten die AK mit PKMv2. In diesem Abschnitt werden die Verfahren in beiden PKMv1 und PKMv2 verwendet.
3.2.1 IEEE 802.16-2004 Authentifizierung und Autorisierung
In PKMv1 [IEE04], authentifiziert die BS die Identität des SS, bietet One-Way-Authentifizierung. Abbildung 3-2 zeigt die Challenge-Response-System zur Überprüfung in PKMv1-basierte Authentifizierung verwendet. Das Zulassungsverfahren wird eingeleitet, wenn die SS sendet eine Genehmigung Information an die BS. Diese Nachricht enthält das X.509-Zertifikat des SS-Herstellers und wird von der BS zu Informationszwecken verwendet. Unmittelbar nach der Genehmigung Informationen Nachricht sendet der SS Einholung einer Genehmigung der BS, die folgende Angaben enthält:
­ Die SS einzigartige X.509-Zertifikat, das seine öffentlichen RSA-Schlüssel enthält
­ Eine Beschreibung der unterstützten kryptographischen Algorithmen der SS
­ Der primäre SAID.
Als nächstes wird die BS die SS das X.509-Zertifikat bestätigt, teilt die unterstützten Verschlüsselungsalgorithmen und Protokolle, und aktiviert einen AK für die SS ein. Dann ist die BS sendet die SS eine Zulassung Antwortnachricht enthält die folgenden Informationen:
­ Die aktivierten AK, verschlüsselt mit dem öffentlichen Schlüssel der SS
­ Die AK laufende Nummer zur Unterscheidung zwischen aufeinanderfolgenden Generationen von AKs
­ Die AK Lebensdauer
­ Eine Liste SAIDs, daß die SS den Zugriff auf und die damit verbundenen Eigenschaften zugelassen ist.
Die AK ist in regelmäßigen Abständen neu bevollmächtigte bezogen auf die Lebensdauer. Die reauthorization Prozess ist identisch mit der ursprünglichen Genehmigung Prozess mit der Ausnahme, dass die Genehmigung Informationen Nachricht nicht erneut gesendet. Reauthorization führt nicht zu einer Unterbrechung des Dienstes, weil zwei AKs mit überlappenden Lebenszeiten gleichzeitig unterstützt werden.
3-4
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)



Abbildung 3-2. PKMv1 Authorization
3.2.2 IEEE 802.16e-2005 und 802,16-2009 Authentifizierung und Autorisierung
IEEE 802.16e-2005 eingeführt PKMv2, die gegenseitige Authentifizierung zwischen den BS und die SS / MS erfordert. PKMv2 beginnt mit dem, was als RSA Gerät gegenseitige Authentifizierung bezeichnet. Abbildung 3-3 illustriert seine Challenge-Response-System zur Überprüfung. Es erleichtert den Austausch eines Pre-Primary AK (prä-PAK), um schließlich eine gemeinsame Ableitung AK.18 Der Austausch beginnt mit dem SS / MS Senden einer Nachricht mit Genehmigung Informationen des Herstellers X.509-Zertifikat an die BS. Ähnlich wie bei der PKMv1 Verfahren, wird die Nachricht ausschließlich für Informationszwecke bestimmt. Obwohl die Genehmigung Informationen Nachricht von der BS ignoriert werden kann, kann es einen Mechanismus für das BS an den Hersteller Zertifikate ihrer Kunden SS / MS zu lernen.
Die Ermächtigung Informationen Nachricht wird durch einen Antrag auf Genehmigung Nachricht von der SS / MS auf die BS gesendet gefolgt. Es enthält die folgenden Informationen:
­ Eine 64-Bit Zufallszahl von der SS / MS erzeugt
­ Die SS / MS 's Hersteller ausgestellten einzigartigen X.509-Zertifikat
­ Eine Beschreibung der SS / MS 's kryptographischen Algorithmen unterstützt
­ Der primäre SAID
18 Alle Schlüssel Ableitungen in PKMv2 sind auf der Dot16KDF Algorithmus. Dot16KDF ist ein Zähler Modus Verschlüsselung (CTR) Bau verwendet werden, um eine beliebige Anzahl von Schlüsselmaterial von der Quelle Schlüsselmaterial abzuleiten.
3-5
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Nach Erhalt der Genehmigung zu beantragen Nachricht, überprüft die BS die SS / MS X.509-Zertifikat. Wenn das Zertifikat gültig ist, sendet der BS eine Genehmigung Antwortnachricht an die SS / MS folgenden Inhalt:
­ Die 64-Bit-SS / MS generierte Zufallszahl in der Bewilligung beantragen Nachricht gesendet und anderen 64-Bit-Zufallszahl generiert die BS19
­ Die 256-Bit-Pre-PAK verschlüsselt mit dem SS / MS 's öffentlichen Schlüssel
­ Die Pre-PAK laufende Nummer zur Unterscheidung zwischen aufeinanderfolgenden Generationen von Pre-PAKs
­ Die Pre-PAK Lebensdauer
­ Eine Liste SAIDs, daß die SS / MS den Zugriff auf und die damit verbundenen Eigenschaften ist berechtigt
­ Die BS-Hersteller ausgestellte X.509-Zertifikat
­ Die BS Unterschrift zur Verfügung gestellt von dem privaten Schlüssel der BS.
Die SS / MS verifiziert die BS X.509-Zertifikat. Wenn das Zertifikat gültig ist, die BS-und SS / MS auf die nächste Authentifizierungsverfahren fahren Sie mit dem AK abzuleiten.



Abbildung 3-3. PKMv2 RSA Device gegenseitige Autorisierung
Nach RSA Gerät gegenseitige Authentifizierung erfolgt, gibt es zwei Optionen, um die AK und vollständige Authentifizierung abzuleiten. Eines ist RSA-Authentifizierung nur genannt wird, und der andere ist als EAP nach RSA Gerät gegenseitigen Zulassung bekannt.
19 Die Zufallszahlen werden verwendet, um sicherzustellen, dass die Nachrichten nicht abgestanden, die mildert Replay-Angriffe.
3-6
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
In RSA-Authentifizierung nur, sowohl die BS-und SS / MS symmetrisch ausführen identisch Verfahren auf der Pre-PAK, schließlich stammen die AK, wie in Abbildung 3-4 gezeigt. Das erste Verfahren ergibt sich die 160-Bit-PAK aus der Vor-PAK, SS / MS Media Access Control (MAC)-Adresse, und BS-Kennung. Als nächstes wird die AK von der PAK, die SS / MS-MAC-Adresse abgeleitet, und die BS-Kennung.



Abbildung 3-4. PKMv2 RSA-Only AK Ableitung
Abbildung 3-5 zeigt die EAP nach dem RSA-Gerät gegenseitige Genehmigungsverfahren. Die Pre-PAK ist es, die SS / MS geliefert und dann verwendet, um die Integrität EAP-Taste (EIK) mit dem ersten EAP Austausch sicher abzuleiten. Die erste EAP Austausch führt zur Produktion eines 512-Bit-Master Session Key (MSK), der mit der Authentifizierung, Autorisierung offengelegt und Accounting (AAA)-Server, der BS, und die SS / MS. Die BS-und SS / MS Abschneiden der MSK auf 320 Bit-160 Bit für die paarweise Hauptschlüssel (PMK) und 160 Bits zu einem anderen EIK um eine optionale Authentifizierung EAP Verfahren schützen zu schaffen. Die PMK, die SS / MS MAC-Adresse und die BS-Kennung werden dann verwendet, um die AK abzuleiten. Bei Verwendung von EAP nach RSA Gerät gegenseitigen Zulassung Gerät gegenseitige Authentifizierung erfolgt nur während der ersten Netzwerk-Eintrag. Für Netzwerk-oder Wiedereintritt Neuauthentifizierung nur EAP-Authentifizierung erforderlich ist.
3-7
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)



Abbildung 3-5. EAP nach RSA Device gegenseitige Autorisierung
Wie in Abbildung 3-5 gezeigt, IEEE 802.16e-2005 auch ein optionales EAP-Methode, Doppel-EAP, die sowohl Benutzer-und Geräte-Authentifizierung in der gleichen Session-Authentifizierung auftreten können definiert. IEEE 802.16e-2005 und IEEE 802,16-2.009 zusätzliche EAP-Methoden für die optionale Authentifizierung Verfahren erlauben wie in Internet Engineering Task Force (IETF) RFC 4017 Abschnitt 2.2.20 dargelegten
3,3 Encryption Key Gründung
Sobald die Authentifizierung abgeschlossen ist, die BS-und SS / MS teilen sich eine aktivierte AK. PKM verwendet dann die 160-Bit-AK an der 128-Bit KEK und die 160-Bit-Message Authentication Schlüssel, die verwendet werden, um einen sicheren Austausch von TEKs.21 Der sichere Austausch TEK wird ein Drei-Wege-Handshake zwischen BS und erleichtern ableiten SS / MS, wie in Abbildung dargestellt 3-6,22
20 http://www.ietf.org/rfc/rfc4017.txt
21 In einigen Fällen kann die Meldung Authentifizierung Schlüssel aus dem EIK während der EAP Austausch abgeleitet werden.
22 Die Darstellung des Handshake in Abbildung 3-6 zeigt einen allgemeinen Rahmen für den Austausch in TEK PKM definiert. TEK Austausch wird leicht abhängig davon, welche Verschlüsselungs-Algorithmus verwendet wird variieren.
3-8
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)



Abbildung 3-6. TEK Drei-Wege-Handshake
Der erste Schritt in diesem Verfahren ist das TEK-Challenge geschickt aus der BS an die SS / MS. Der TEK-Challenge ist während der ersten Netzwerk-Eintrag oder während reauthorization geschickt. Der TEK-Challenge umfasst die folgenden Attribute:
­ BS Zufallszahl. Diese Nummer ist auf der TEK-Challenge befestigt Replay-Attacken durch die Validierung Nachricht Frische zu verhindern.
­ Message Authentication Code. Diese Validierung von Daten Echtheit der Verteilung der Schlüssel Nachrichten aus der BS an die SS / MS gesendet.
­ AK Sequenz-Nummer und AK-ID (Akid). Diese Attribute identifizieren, die AK für die TEK Austausch verwendet wird.
3-9
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Nach Erhalt der TEK-Challenge, die SS / MS bestätigt die Echtheit des TEK-Challenge mit dem Message Authentication Tasten. Nach der TEK-Challenge bestätigt wurde, die SS / MS sendet dann die TEK-Anfrage an den BS, die die folgenden Attribute enthält:
­ BS und SS / MS Zufallszahlen. Neben Rücksendung der BS Zufallszahl aus dem TEK-Challenge, die SS / MS legt seine eigenen zufälligen Wert.
­ Message Authentication Code. Diese Validierung von Daten Echtheit der Verteilung der Schlüssel-Nachrichten von der SS / MS auf die BS gesendet.
­ AK Sequenznummer und Akid. Diese ermitteln die AK für die TEK Austausch verwendet wird.
­ Sicherheitsfunktionen Parameter. Diese beschreiben die Sicherheitsfunktionen der SS / MS, darunter unterstützt kryptografische Suiten. Während der ersten Netzwerk-Eintrag, wird der TEK-Anfrage auch ein Antrag auf SA-Deskriptoren auf die primäre, statische und dynamische SAs, daß die SS / MS zugelassen ist, Zugang zu identifizieren.
Nach Erhalt der TEK-Request, prüft der BS, dass die BS Zufallszahl die Zahl in der TEK-Challenge geschickt Spiele und validiert die Nachricht Authentifizierungsschlüssel. Die BS nächsten bestätigt, dass die Akid mit einem verfügbaren AK findet und dass die Sicherheitsfunktionen Parameter von der SS zur Verfügung gestellt / MS unterstützt. Sobald die TEK-Request validiert ist, wird die BS erzeugen zwei teks, zusammen mit dem GKEK und GTEK. Die BS sendet dann die TEK-Antwort auf die SS / MS, die die folgenden Attribute enthält:
­ BS und SS / MS Zufallszahl. Die BS legt die BS Zufallszahl im TEK-Challenge und die SS / MS Zufallszahl im TEK-Request erzeugt wird.
­ Message Authentication Code. Diese Validierung von Daten für die Echtheit Schlüsselverteilung Nachrichten aus der BS an die SS / MS gesendet.
­ AK Sequenznummer und Akid. Diese Attribute identifizieren, die AK für die TEK Austausch verwendet wird.
­ Liste der bewilligten SAIDs. Dies ist die Liste der Primär-, statische und dynamische SAs, daß die SS / MS zugelassen ist, den Zugang.
­ teks, GKEK und GTEK. Mit der KEK vom AK abgeleitet, verschlüsselt das BS die beiden teks, die GKEK und die GTEK. Diese Tasten sind alle erforderlichen Schlüsselmaterial nötig sind, um eine sichere Kommunikation zwischen der Basisstation und SS / MS zu erleichtern.
Nach Erhalt der TEK-Response, die SS / MS BS Zufallszahl gewährleisten entspricht dem Wert in der TEK-Challenge und die SS / MS Zufallszahl entspricht dem Wert in der TEK-Anfrage geliefert gegeben. Die SS / MS daraufhin überprüft die Meldung Authentifizierungsschlüssel. Nach Überprüfung abgeschlossen ist, die SS / MS installiert die entsprechenden teks, GTEK und GKEK und sichere Kommunikation kann beginnen.
Im Falle eines MS Durchführen einer Übergabe an einen neuen BS, das TEK-Response-Nachricht enthält auch TEK, GTEK und GKEK Parameter der zuvor Portion BS, um die Latenz mit der Erneuerung SAs zu reduzieren.
3.4 Daten Vertraulichkeit
Die Fertigstellung des TEK Austausch bietet die SS / MS und BS mit der TEKS benötigt, um WiMAX-Datenkommunikation zu verschlüsseln. Die Art der Verschlüsselung von der TEK beschäftigt variiert je nach Standard IEEE 802.16.
3-10
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
IEEE 802.16-2004 unterstützt nur einen Verschlüsselungs-Algorithmus, der Data Encryption Standard (DES) in Cipher Block Chaining (CBC)-Modus (DES-CBC). Während der TEK Drei-Wege-Handshakes sendet der BS die SS ein SA-spezifische Initialisierungsvektor (IV) als Teil der TEK-Response. Der DES-CBC-Algorithmus nutzt diese SA-spezifische IV in Verbindung mit dem TEK, um den Datenverkehr zu verschlüsseln. DES-CBC hat erhebliche Schwächen und sollte nicht verwendet werden, um die Vertraulichkeit sorgen für communications.23 werden
IEEE 802.16e-2005 und IEEE 802,16-2.009 Unterstützung DES-CBC und drei AES24 Betriebsarten für Datenverschlüsselung: CBC, Zähler (CTR), und CTR mit CBC Message Authentication Code (CCM). Jede der drei genannten AES Modi ist akzeptabel für den Schutz von Daten Nachricht confidentiality.25 CTR-Modus gilt als stärker als CBC weil CTR-Modus ist weniger komplex zu implementieren, bietet Verschlüsselung Block Vorverarbeitung, und können Daten parallel zu verarbeiten. CCM-Modus verbessert die CTR, indem die Fähigkeit, die Authentizität von verschlüsselten Nachrichten zu überprüfen. CCM betrachtet ist das sicherste der kryptographischen Suiten in IEEE 802.16e-2005 und IEEE 802,16-2.009 definiert, weil es ein Paket pro Randomisierung Integrität prüfen, ob Replay attacks.26 verhindert Aufgrund dieser hinzufügt, wo immer möglich, die CCM-Modus sollte stattdessen verwendet werden der CTR oder CBC.
CCM wurde speziell entwickelt, um die folgenden Merkmale aufweisen [Fra07]:
­ Eine einzelne kryptographische Schlüssel für Vertraulichkeit und Integrität, um die Komplexität zu minimieren und die Leistung zu optimieren (minimieren Schlüssel Scheduling Zeit)
­ Schutz der Integrität des Paket-Headers und Paketnutzlast, neben der Bereitstellung der Vertraulichkeit der Nutzdaten
­ Berechnung von kryptographischen einige Parameter vor dem Empfang von Paketen zu ermöglichen schnelle Vergleiche, wenn sie ankommen, die Latenz reduziert
­ Geringer Platzbedarf (Hard-oder Software-Implementierung Größe) die Kosten zu minimieren
­ Kleine sicherheitsrelevante Paket-Overhead (z. B. minimale Daten Ausdehnung durch kryptografische Polsterung und Integrität Feld).
Weitere Informationen zur Verschlüsselung von Daten, insbesondere Bundesagentur Anforderungen, wird in Abschnitt 4.3.3 vorgestellt.
3,5 IEEE-2009 802.16j Multi-Hop-Relay-Security Architecture
Die Vertraulichkeit und Sicherheit bei der Authentifizierung Mechanismen im IEEE-2009 verwendet 802.16j sind identisch mit denen in IEEE 802,16-2009. Ein zusätzlicher Sicherheitsmechanismus ist erforderlich, um ein WiMAX-Netz in einem Multi-Hop-Relais die Einrichtung einer Sicherheitszone (SZ) zu betreiben. SZS sind der Satz von vertrauenswürdigen Beziehungen zwischen einem BS (als Master-Relais), RSS-und SSS / MSS. RSs und SSS / MSS Mitglieder einer BS SZ geworden durch Authentifizierung mit Hilfe PKMv2. Nach der Authentifizierung bietet der BS SZ Schlüssel Material verwendet werden, um Schutz der Integrität des Managements Nachrichten in der SZ zu stellen.
Multi-Hop-Relais kann auf zwei Sicherheitskontrolle Architekturen, zentralisierten und verteilten betreiben. In einem zentralisierten Sicherheitsarchitektur, RSS-Daten weiterleiten und Management-Nachrichten für den nächsten Hop in bestimmten
23 zusätzlich ist DES-CBC nicht für Bundes-Agentur, den Schutz der Vertraulichkeit der Kommunikation genehmigt.
24 AES wird von FIPS PUB 197 (http://csrc.nist.gov/publications/fips/fips197/fips-197.pdf) definiert.
25 NIST SP 800-38A, Empfehlung für Block Cipher Betriebsarten empfiehlt die Verwendung von fünf Vertraulichkeit Betriebsarten für symmetrische Schlüssel Blockverschlüsselungsalgorithmen. Die Modi können in Verbindung mit einem symmetrischen Schlüssel Blockchiffre Algorithmus, der durch eine FIPS genehmigten verwendet werden. Die fünf Modi der Electronic Codebook (ECB), CBC, Cipher Feedback (CFB), Output Feedback (OFB), und CTR-Modi kann Daten vertraulich.
26 ccm ist in RFC 3610, Counter mit CBC-MAC (CCM), abrufbar unter http://www.ietf.org/rfc/rfc3610.txt definiert.
3-11
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
das Netz ohne eine Entschlüsselung oder Authentifizierung von Management-Nachrichten. Daher ist jedes SA zwischen den einzelnen Knoten und die BS mit RSS streng Relaying Verkehr eingerichtet.
In einer verteilten Sicherheits-Architektur, die RS zunächst Relais Authentifizierung von Nachrichten an die Ziel-SS / MS oder untergeordnet RS. Nach Gründung der MSK zwischen BS und dem Bestimmungsort SS / MS oder RS untergeordnet, wird die BS die entsprechenden AK, den Zugang RS übermitteln. Dies ermöglicht den Zugang RS, um alle notwendigen Schlüssel abzuleiten und separate SAs mit dem Ziel SS / MS oder untergeordnet RS, wie in Abbildung 3-7 zu sehen etablieren. Der Zugang RS hat nun einen sicheren Tunnel zwischen der BS und Ziel SS / MS oder untergeordnet RS erstellt. IEEE-2009 802.16j erlaubt eine verteilte Architektur zur Sicherheit Sicherheit Skalierbarkeit und Einsatzflexibilität für unterschiedliche Anforderungen der Betreiber zu stellen. Daher nimmt ein verteiltes Modell eine skalierbare Architektur durch eine Verringerung der RF-Rauschen, da BS Kommunikation mit benachbarten RSS in ihre SZ sind begrenzt. Das Sicherheitsrisiko mit einem dezentralen Modell, dass die Aktien-Keying Informationen über mehrere Knoten zu vernachlässigen ist, weil alle SAs mit etablierten PKMv2 verbunden.



Abbildung 3-7. Multi-Hop Distributed Security Architecture
3-12
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
4. WiMAX Sicherheitslücken, Bedrohungen und Gegenmaßnahmen
Dieser Abschnitt beschreibt Sicherheitslücken in den IEEE 802.16-Spezifikationen, die Gefahren für WiMAX-Systeme und Gegenmaßnahmen zur Eindämmung dieser Risiken. WiMAX-Systeme sind anfällig für WiMAX-spezifische Bedrohungen sowie Gefahren für alle Wireless-Technologien. Organisationen sollten WiMAX Bedrohungen und Schwachstellen durch die Umsetzung einer Kombination von Management-, Betriebs zu mildern, und technische countermeasures.27
4,1 Sicherheitslücken
In diesem Abschnitt werden spezifische Schwachstellen IEEE 802.16-2004, IEEE 802.16e-2005 und IEEE 802,16-2009. (Alle Diskussion im Zusammenhang mit 802,16-2.009 IEEE gilt auch für 802.16j IEEE-2009.) IEEE 802.16-2004 hat mehr Schwachstellen als angeborene IEEE 802.16e-2005 oder IEEE 802,16-2.009. Die Sicherheitsmechanismen in IEEE 802.16e-2005 und IEEE 802,16-2009 Adresse einige, aber nicht alle, IEEE 802.16-2004 's Mängel. Die folgenden diskutiert mehrere große Schwachstellen:
­ Mangelnde gegenseitige Authentifizierung. PKMv1 definiert Authentifizierung von SSS von BSS bietet aber keine Möglichkeit, BSS durch SSs authentifizieren. Mangelnde gegenseitige Authentifizierung kann es einem Schurken BS, die ein berechtigtes BS ausgeben, wodurch die SS nicht in der Lage, die Echtheit der Protokoll-Nachrichten aus dem BS-Stellen wenden. Dies kann damit ein Schelm BS Betreiber, um die Leistung zu beeinträchtigen oder zu stehlen wertvolle Informationen durch die Durchführung Denial of Service (DoS) oder Fälschung Angriffe gegen Kunden SSS. Diese Sicherheitsanfälligkeit wird in IEEE 802.16e-2005 abgeschwächt und IEEE 802,16-2.009 durch die Inanspruchnahme der gegenseitigen Authentifizierung.
­ Schwache Verschlüsselungsalgorithmen. Zur Verschlüsselung von Kommunikations-, IEEE 802.16-2004 unterstützt nur die Verwendung von DES-CBC, die gut dokumentierten Schwächen hat und nicht mehr für Bundes-Agentur für den Schutz verwenden Kommunikation genehmigt. IEEE 802.16e-2005 und IEEE 802,16-2.009 Unterstützung DES-CBC, aber sie unterstützen auch mehrere Modi von AES, dass für Bundes zugelassen sind.
­ Zwischenruf von wiederverwendet TEKS. IEEE 802.16-2004 TEKS beschäftigen einen 2-Bit-Verschlüsselung Sequenzkennzahl zu bestimmen, welche TEK wird aktiv genutzt, um die Kommunikation zu sichern. Ein 2-Bit-Identifier erlaubt nur vier mögliche ID-Werte, wodurch das System anfällig für Replay-Angriffe. Der Zwischenruf von wiederverwendet TEKS kann zur Preisgabe von Daten und der TEK an Unbefugte [Joh04] führen. Diese Sorge ist in IEEE 802.16e-2005 und IEEE 802,16-2.009 mit der Einführung von AES-CCM, die im Paket Randomisierung liefert, indem eine einzigartige Paketnummer an jedes Datenpaket auf die Integrität der Daten und Teile der Paket-Header zu schützen aufgelöst .
­ Unverschlüsselte Management-Nachrichten. Management-Nachrichten werden nicht verschlüsselt und sind anfällig für Lauschangriffe. Die Verschlüsselung ist nicht auf diese Nachrichten angewendet, um die Effizienz des Netzbetriebs zu steigern. IEEE 802.16-2004 bietet keine Daten Authentizität Schutz für Management-Nachrichten. IEEE 802.16e-2005 und IEEE 802,16-2.009 bieten Integrität Schutz für bestimmte Unicast-Management-Nachrichten durch Anhängen einer einzigartigen verdauen gegen bösartige Wiedergabe oder Modifikation Angriffen zu schützen. Dies ist nicht verdauen hinzugefügt 802,16 Multicast und erste Eintrag Netzwerk-Management-Nachrichten IEEE. Digest Integrität Schutz kann nicht auf Management-Nachrichten an mehrere Empfänger (zB Multicast-Übertragungen) angewendet werden, und erste Netzwerk-Management wünschen Nachrichten können nicht Hebelwirkung Schutz der Integrität, weil Knoten muss zuerst authentifiziert zu schaffen die einzigartige verdauen sein. Ein Gegner kann manipulieren Verwaltung von Nachrichten an Netzwerk stören
27 Diese Kontrollen sind in der Regel in einem System Security Plan dokumentiert. Für weitere Informationen, siehe NIST SP 800-18 Revision 1, Leitfaden für Entwicklung sichern Pläne für Federal Information Systems bei http://csrc.nist.gov/publications/nistpubs/800-18-Rev1/sp800-18-Rev1-final . pdf.
4-1
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Kommunikation, zum Beispiel durch DoS-Attacken auf die WiMAX-System abzielen, an bestimmten Netzknoten, oder beides.
­ Nutzung von drahtloser Technologie als Kommunikationsmedium. Mit RF zu kommunizieren Natur ermöglicht die Ausführung eines DoS-Angriff durch die Einführung eines leistungsfähigen HF-Quelle soll System Funkfrequenzen zu überwältigen. Diese Sicherheitslücke wird mit allen Wireless-Technologien verbunden sind. Die einzige Verteidigung ist zu lokalisieren und entfernen Sie die Quelle von HF-Störungen. Dies kann wegen der großen Versorgungsgebiete WMANs Herausforderung sein. Es wird empfohlen, dass Organisationen für Plan eine Out-of-Band-Methode der Kommunikation im Falle eines DoS-Angriffs.
4,2 Bedrohungen
WiMAX-Netzwerk Bedrohungen konzentrieren sich auf Kompromisse bei der Funkverbindungen zwischen WiMAX-Knoten. LOS WiMAX-Systeme stellen eine größere Herausforderung für Angriffe gegenüber NLOS Systeme, weil ein Gegner müssten körperlich lokalisieren Ausrüstung zwischen Sende-Knoten, um die Vertraulichkeit oder Integrität der Funkverbindung Kompromiss. NLOS-Systeme bieten drahtlose Abdeckung erstreckt sich über große geografische Regionen, die das Potenzial Staging Areas erweitert für den Kunden und Gegner. Die folgende Bedrohungen wirken sich auf alle WiMAX-Systemen:
­ RF Jamming. Alle Wireless-Technologien sind anfällig für RF Jamming-Attacken. Die Bedrohung ergibt sich aus einem Gegner der Einführung eines leistungsfähigen HF-Signal, das Spektrum zu überwältigen durch das System verwendet, so leugnen Service für alle WLAN-Knoten innerhalb der Reichweite der Störungen. RF Jamming ist als eine DoS-Attacke eingestuft. Das Risiko mit dieser Bedrohung verbunden ist identisch für IEEE 802.16-2004, IEEE 802.16e-2005 und IEEE 802,16-2009 WiMAX-Systeme.
­ Scrambling. Scrambling Angriffe sind die genauen Injektionen von HF-Störungen während der Übertragung über spezifische Management-Nachrichten. Diese Angriffe verhindern richtige Netzwerk umfassend und Bandbreitenzuweisungen mit der Absicht, degradieren Gesamtleistung des Systems [Nas08]. Scrambling Angriffe sind schwieriger als Jamming Angriffe zu identifizieren, weil sie für kurze Zeiträume beschäftigt sind und nicht eine ständige Quelle von Störungen. Das Risiko mit dieser Bedrohung verbunden ist identisch für IEEE 802.16-2004, IEEE 802.16e-2005 und IEEE 802,16-2009.
­ Subtile Management Nachricht Manipulation. Ausbeutung von unverschlüsselten Management-Nachrichten können in subtilen DoS, Replay oder misappropriation28 Angriffe, die schwer zu erkennen sind Ergebnis. Diese Angriffe Parodie Management-Nachrichten zu machen scheinen, als ob sie von einer legitimen BS oder SS / MS kommen so dass sie Dienst an verschiedenen Knoten im WiMAX-System zu verweigern. Ein Wasser Folter Angriff ist ein Beispiel für eine subtile DoS, in denen ein Gegner entwässert ein Client-Knoten-Batterie, indem er eine konstante Reihe von Management-Botschaften an die SS / MS [Joh04]. IEEE 802.16e-2005 und IEEE 802,16-2.009 bieten Integrität Schutz für bestimmte Unicast-Management-Nachrichten nach der ersten Netzwerk-Registrierung mit einem angehängten Schutz der Integrität zu verdauen. Alle anderen IEEE 802.16e-2005 und IEEE 802,16-2.009 Management-Nachrichten und alle IEEE 802.16-2004 Management-Nachrichten, sind anfällig für Angriffe mit Manipulation.
­ Man-in-the-middle. Man-in-the-Middle (MITM) Attacken auftreten, wenn ein Gegner ein SS / MS als eine legitime erscheinen BS täuscht gleichzeitig täuschen einen BS als eine legitime SS / MS erscheinen. Dadurch kann ein Angreifer so tun, als ein Pass-Through für alle Kommunikations-und bösartigen Datenverkehr in das Kommunikationssystem Strom zu injizieren. Ein Gegner kann ein MITM-Angriff unter Ausnutzung ungeschützten Management-Nachrichten während der ersten Netzwerk-Eintrag Prozess durchzuführen. Dies liegt daran, das Management-Nachrichten, dass ein SS / MS's Sicherheitsfunktionen nicht geschützt zu verhandeln. Wenn ein Gegner in der Lage ist, eine legitime Partei, sowohl die SS / MS und BS, ein Gegner imitieren
28 Veruntreuung tritt auf, wenn ein Angreifer oder stiehlt macht unberechtigte Nutzung eines Dienstes.
4-2
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
könnte bösartigen Management-Nachrichten zu senden und zu verhandeln schwächer Sicherheitsschutz zwischen der SS / MS und BS [Han06]. Das schwächere Sicherheitsvorkehrungen kann es einem Gegner zu belauschen und korrupte Daten-Kommunikation. Die Verpflichtung zur Verwendung von AES-CCM in IEEE 802.16e-2005 und IEEE 802,16-2.009 hilft mildern diesen Angriff, da es einen eindeutigen Wert hängt an jedes Datenpaket, das wiederum verhindert, dass der Verkehr MITM Relais zwischen BS und SS / MS. IEEE 802.16-2004 bietet keine ausreichenden Schutz gegen Angriffe MITM.
­ Lauschangriffe. Lauschangriffe tritt auf, wenn ein Gegner wird ein WiMAX-Traffic-Analyzer im Bereich von einem BS und / oder SS / MS. Der Gegner kann Monitorverwaltung Nachrichtenverkehr zu Verschlüsselungen und legt die Bilanz des Netzes oder Verhaltensweisen Traffic-Analyse in Bezug auf spezielle WiMAX-Knoten. Data Meldungen unterliegen Abhören wenn verschlüsselt mittels DES-CBC, mit AES kann robuste Datennachricht Vertraulichkeit zu gewährleisten. Die große Reichweite von WiMAX hilft Lauscher von der Erkennung Schild; Abhören Milderung stützt sich stark auf technische Kontrollen, dass die Vertraulichkeit und Integrität der Kommunikation zu schützen. Das Risiko-Management-Nachrichten abgehört zugeordnet ist identisch für IEEE 802.16-2004, IEEE 802.16e-2005 und IEEE 802,16-2009. Das Risiko mit Abhören Datennachrichten zugeordnet ist hoch für IEEE 802.16-2004 Systeme auf Grund der schwachen Verschlüsselung. IEEE 802.16e-2005 und IEEE 802,16-2.009 Systeme mit AES ihre Daten schützen Nachrichten von Lauschangriffen.
4,3 Gegenmaßnahmen
Dieser Abschnitt stellt Gegenmaßnahmen, die zur Verringerung oder Milderung der Risiken von WiMAX-Systemen sein kann. Diese Gegenmaßnahmen nicht garantieren Sicherheit und kann nicht verhindern, dass alle möglichen Angriffen. Die optimale Sicherheit ist eine dynamische Design Schnittpunkt der Bedrohung Risiko und die Kosten von Gegenmaßnahmen, die in Reaktion auf Technologie verändern wird. Organisationen sollten ihre akzeptablen Risikoniveau zu bestimmen, welche Gegenmaßnahmen zu implementieren.
Das WiMAX-Management, operative und technische Gegenmaßnahmen in den folgenden Abschnitten beschrieben folgen einem ähnlichen Ansatz wie der NIST SP 800-48 Revision 1, Führer zu sichern Legacy IEEE 802.11 Wireless Networks [Sca08]. IEEE 802.11 und IEEE 802.16 teilen viele Management-und Bedienelemente, aber stark in ihrer technischen Kontrollen unterscheiden. WiMAX-Systemen sollten die Hebelwirkung Gegenmaßnahmen gefunden in dieser speziellen Publikation, in FIPS PUB 199, und in NIST SP 800-53. FIPS PUB 199, Normen für Sicherheitsmerkmale Kategorisierung der Federal Information und Informationssysteme legt drei Kategorien Sicherheit: niedrig, mittel, hoch und-bezogen auf die möglichen Auswirkungen einer Sicherheitsverletzung mit einem bestimmten System [NIS04]. NIST SP 800-53, Empfohlene Sicherheitskontrollen für Federal Information Systeme und Organisationen, gibt Empfehlungen für die Mindest-Management, operative und technische Sicherheitskontrollen für Informationssysteme an der FIPS PUB 199 Wirkkategorien [NIS09] basiert. Unabhängig von einem System die Empfindlichkeit Klassifikation, WiMAX Sicherheit über den gesamten Lebenszyklus von WiMAX-Lösungen integriert werden [Kis08].
4.3.1 Management Gegenmaßnahmen
Management Gegenmaßnahmen im Allgemeinen Adresse jedes Problem im Zusammenhang mit Risiko-, System-Planung, Sicherheit oder Beurteilung durch eine Leitung der Organisation. Organisationen sollten die Entwicklung einer drahtlosen Sicherheitspolitik, die WiMAX-Technologie-Adressen. Eine Sicherheitsrichtlinie besteht aus einer Organisation Grundlage für die Entwicklung, Umsetzung und Wartung ordnungsgemäß gesichert Technologien. WiMAX Politik sollte sich um die Gestaltung und den Betrieb der technischen Infrastruktur und das Verhalten der Nutzer. Politische Erwägungen für WiMAX-Systemen sollte Folgendes umfassen:
4-3
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
­ Rollen und Verantwortlichkeiten
- Welche Benutzer oder Benutzergruppen sind berechtigt, die WiMAX-System verwenden
- Welche Büro oder Offizier stellt die strategische Kontrolle und Planung für alle WiMAX-Technologie Programme
- Welche Parteien sind berechtigt und verantwortlich für die Installation und Konfiguration WiMAX-Geräten
- Welche Person oder Einrichtung verfolgt den Fortschritt von WiMAX-Sicherheitsstandards, Merkmale, Bedrohungen und Schwachstellen, um sicherzustellen, kontinuierliche und sichere Umsetzung der WiMAX-Technologie
- Welche natürliche oder juristische Person ist verantwortlich für die Einbindung WiMAX-Technologie Risiko in die Organisation des Risikomanagements framework29
­ WiMAX-Infrastruktur
- Physische Sicherheit für WiMAX Vermögenswerte
- Die Verwendung von Standard-basierte WiMAX-System-Technologien
- Arten von Informationen über das WiMAX-System erlaubt, auch akzeptabel Richtlinien zur Nutzung der
- Wie WiMAX-Übertragungen zu schützen, einschließlich der Anforderungen für den Einsatz von Verschlüsselung und kryptographische Schlüssel-Management werden
- Eine Abschwächung Plan oder Plan für den Übergang für Legacy-oder WiMAX-Systemen, die nicht mit Federal Security-Standards kompatibel
- Bestandsaufnahme der IEEE 802.16 BSS, SSS / MS und anderen Geräten
­ WiMAX Clientgerät Sicherheit
- Bedingungen, unter denen WiMAX Client-Geräte dürfen verwendet werden und betrieben werden
- Standard Hard-und Software-Konfigurationen, die auf WiMAX-Geräten implementiert werden muss, um das entsprechende Maß an Sicherheit gewährleisten
- Standard Operating Procedures (SOP) für die Meldung verlorener oder gestohlener Geräte WiMAX-Client
­ WiMAX Sicherheit assessments30
- Frequenz und Umfang der WiMAX-Risikobewertungen
- Standardisierte Ansatz zur Einschätzung der Verwundbarkeit, Risiko Aussagen, Risiko-Ebenen, und Korrekturmaßnahmen.
29 Für mehr Information und Beratung über organisatorische Informationen System des Risikomanagements, siehe NIST SP 800-39 Entwurf, Managing Risk von Information Systems: organisatorischer Sicht (http://csrc.nist.gov/publications/PubsSPshtmll).
30 Sicherheit Einschätzungen oder System-Audits, sind wesentliche Instrumente für die Überprüfung der Sicherheitssituation eines IEEE 802.16 WMAN und für die Bestimmung der Korrekturmaßnahmen, um sicherzustellen, solche Systeme sicher bleiben. Es ist für Organisationen regelmäßige Systemaudits durchführen mittels drahtloser und Vulnerability Assessment Tools wichtig. Für weitere Informationen über Netzwerksicherheit, siehe NIST SP 800-115, Technische Anleitung zur Information Security Testing und Assessment (http://csrc.nist.gov/publications/PubsSPshtmll).
4-4
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
4.3.2 Operative Gegenmaßnahmen
Operative Gegenmaßnahmen gehören Kontrollen, die von Menschen ausgeführt werden, z. B. Personal Sicherheit, physische Umweltschutz, Konfigurations-Management, Security-Awareness-und Weiterbildung und Incident-Response. Diese Kontrollen sind in einem System Plan zur Gefahrenabwehr (SSP), die von allen Parteien mit WiMAX System Vorgänge handelt, beibehalten werden sollten dokumentiert werden. SSPs sind lebendige Dokumente, die einen Überblick über die Sicherheitsanforderungen eines Systems liefern und beschreiben die Kontrollen stattfinden, um diesen Anforderungen gerecht zu werden; dieses System umfasst alle Hardware-und Software, Richtlinien, Aufgaben und Verantwortlichkeiten und andere Dokumentationen Materialien. Dokumentation selbst ist eine Sicherheitskontrolle, wie es die Sicherheit und operative Verfahren formalisiert, um ein gegebenes System. 31
Physische Sicherheit ist von grundlegender Bedeutung, sicherzustellen, dass nur autorisierte Personen Zugriff auf WiMAX-Geräten haben. Physische Sicherheit zählen Maßnahmen wie die physische Zugangskontrolle Systeme, Personal und Sicherheit Identifikation und Außengrenze Schutz. Zum Beispiel die Integration von Federal Personal Identity Verification (PIV) 32 in die physische Zugangskontrolle kann das Risiko eines unbefugten Zugriffs auf WiMAX systems.33 WiMAX System-Administratoren und Anwender reduzieren sollte die Ausbildung auf die spezifischen Herausforderungen und Bedrohungen für drahtlose Technologien Adresse erhalten. Während es schwierig ist, dass nicht autorisierte Benutzer versuchen, ein WiMAX-System wegen seiner expansiven Versorgungsgebiete Zugriff zu verhindern, kann der Einsatz von zusätzlichen Sicherheitsmechanismen verhindern den Diebstahl, Manipulation oder Missbrauch von WiMAX-Infrastruktur-Komponenten.
WiMAX arbeitet auf lizenzierte oder lizenzfreie HF-Spektrum. Die häufigsten Spektrum verwendet werden, um Platz für WiMAX ist die 2,5 GHz lizenzierten Bereich, dennoch sind WiMAX-Lösungen auch lebensfähig über mehrere unlizenzierte reicht. Organisationen sollten verstehen, die Auswirkungen der Frequenzzuweisung wie Systemverfügbarkeit Auswirkungen. Durch die Verbreitung von nicht lizenzierten Wireless-Technologien, können Störungen eine Implementierung Hindernis werden, wenn auf lizenzfreien Spektrum. Unabhängig von der Frequenz-Spektrum verwendet wird, sollten die Organisationen gegen den Eingriff technologies34 neben Site Surveys zu verwenden, um die Systemverfügbarkeit zu gewährleisten.
Vor Einsatz, bauen Site Surveys die Grundlage für eine WiMAX-System-Design zu Verfügbarkeit des Systems zu gewährleisten. Langstrecken Radiosendungen müssen zugeschnitten und optimiert werden für RF Hindernisse und Störquellen. Website-Umfragen helfen Grenzbereich zu einer Organisation operativen Bewusstsein einer Empfangsbereich des Systems bieten. Site Survey Tools gehören Geländekarten, Global Positioning System, RF Ausbreitungsmodelle, Spektrumanalysatoren, Paket-Analysatoren und zusätzliche Werkzeuge, die ein tieferes Verständnis der Umwelt RF-Landschaft bieten. Die Durchführung einer Untersuchung vor Ort WMAN erfordert eine höchst esoterischen Fähigkeiten, und es ist in der Regel als Teil des gesamten Vendor-Lösung zur Verfügung gestellt. Organisationen sollten auf ein Minimum, engagieren sich in der Untersuchung vor Ort und dokumentieren ihre Ergebnisse in der Sicherheit des Systems zu planen.
Wie bei allen Wireless-Technologien können operative Gegenmaßnahmen bieten keinen Schutz gegen General Wireless Bedrohungen wie DoS, Abhören, MITM und Nachricht wiederholen. Bedienelemente erfordern oft hoch spezialisierten Know-how und setzen auf Management-und technische Kontrollen.
31 Für mehr Information und Beratung über System-Dokumentation Steuerelementen finden NIST SP 800-18, Revision 1 Leitfaden zum Entwickeln von Plänen zur Gefahrenabwehr für Federal Information Systems (http://csrc.nist.gov/publications/PubsSPshtmll).
32 FIPS PUB 201 legt die Architektur und technische Anforderungen für eine gemeinsame Identifikation Standard für Bundes-Mitarbeiter und Auftragnehmer. Für weitere Informationen siehe http://csrc.nist.gov/publications/fips/fips201-1/FIPS-201-1-chng1.pdf.
33 Für mehr Information und Beratung über PIV Integration mit physischen Zutrittskontrollen, siehe NIST SP 800-116, eine Empfehlung für den Einsatz von PIV-Anmeldeinformationen in Physical Access Control Systems (PACS) (http://csrc.nist.gov/publications/ PubsSPshtmll).
34 Beispiele für Zähler-Interferenz-Technologien beinhalten, sind aber nicht beschränkt auf, Dynamic Frequency Selection (DFS), Multiple Input, Multiple Output (MIMO) und Anpassungsfähig Antenne Support (AAS).
4-5
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
4.3.3 Technische Gegenmaßnahmen
Technische Gegenmaßnahmen System sichert durch EDV-Systeme implementiert. Technische Gegenmaßnahmen gehören Kontrollen wie Authentifizierung, Zugangskontrolle, Überwachung und Kommunikation Schutz. Technische Gegenmaßnahmen sind in der Regel in WiMAX-Systemen vor der Implementierung konzipiert. Dies macht das Design Phase der Umsetzung besonders wichtig, weil einmal ein WiMAX-System implementiert ist, seine technische Gegenmaßnahmen in der Regel statisch im Vergleich zu anderen Wireless-Technologien wie IEEE 802.11 Wireless Local Area Networks sind. Darüber hinaus variieren die technischen Gegenmaßnahmen von jedem WiMAX-System implementiert stark zwischen den Anbietern. Vor der Einführung eines WiMAX-Technologie, sollte eine Organisation konsultieren WiMAX-Anbietern zu einem besseren Verständnis der möglichen System-Rekonfiguration und die Notwendigkeit zur Kompensation Kontrollen an den technischen Sicherheit Adresse muss, dass die WiMAX-Produkt behandelt nicht gewinnen.
Vertraulichkeit und Integrität Schutz
WiMAX-Systeme übertragen Daten über einen großen geografischen Bereich, die normalerweise außerhalb der Organisation physischer Kontrolle. Organisationen müssen sich auf Daten-in-Transit-Verschlüsselung, um Vertraulichkeit und Integrität Schutz für seine Wireless-Links bieten verlassen. Die Stärke dieser Verschlüsselung ist ausschlaggebend für die Datensicherheit. Wie in Abschnitt 3.4 erläutert, gibt jede Standard IEEE 802.16 Verschlüsselungsalgorithmen, um den Datenschutz zu stellen.
Bundesbehörden, die die Vertraulichkeit ihrer WiMAX Datenkommunikation schützen müssen verpflichtet werden, FIPS-genehmigten kryptographische Algorithmen in FIPS-Anwendung in geschlossenen Systemen kryptographische Module validiert, um ihre Datenkommunikation zu schützen. Dies kann auf zwei Wegen erreicht werden: Hilfe WiMAX-Geräten (BSS, SSS und MSS), die FIPS-zertifizierte und Betriebskosten im FIPS-Modus, 35 oder Verschlüsselung der Daten durch eine separate Verschlüsselungs-Technologie ist, wie ein VPN, das ist FIPS-zertifiziert. Organisationen, die IEEE 802.16e-2005 oder IEEE 802,16-2.009 WiMAX-Technologie sollte FIPS-validierte AES-Verschlüsselung implementieren zu schützen OSI Data Link Layer Radio-Daten-Kommunikation. Organisationen, die WiMAX-Lösungen, bieten keine FIPS-validierte Verschlüsselung (zB IEEE 802.16-2004 Technologien, IEEE 802.16e-2005 und IEEE 802,16-2.009 Technologien, die nicht FIPS-validierte) umsetzen sollte FIPS-Verschlüsselung Overlay-Lösungen validiert OSI schützen Data Link oder Netzwerk-Layer-Datenkommunikation. 36 Daten Link-Verschlüsselung Overlay-Lösungen bieten die Verschlüsselung für den gesamten Datenverkehr stattfindet am OSI Network Layer und höher, einschließlich Paket-Header und Trailer. Netzwerk-Layer-Verschlüsselung Lösungen bieten Verschlüsselung für die Daten Teil der Netzwerk-Layer, einschließlich aller oberen Schicht Daten.
Verschlüsselung Overlay-Lösungen füge eine Verschlüsselung Gerät hinter der BS und eine entsprechende Bittsteller am oder vor dem Endgerät. Ein Bittsteller ist ein Software-Programm auf einem Client-Gerät, das Authentifizierungs-Koordinaten mit der Verschlüsselung Overlay Gerät. Die Verschlüsselung Gerät und Bittsteller Arbeit im Tandem zur Verschlüsselung von Daten, bevor sie das WiMAX-System erreicht. Somit dient das WiMAX-System als Übertragungsmedium zwischen Supplicant und dem Gerät. Abbildung 4-1 veranschaulicht diesen Kommunikationsweg über das WiMAX-Netz.
35 FIPS 140-2 ist der aktuelle Standard, der die Bundesrepublik Sicherheitsanforderungen, die durch eine kryptografische Modul zufrieden sein angibt. Eine neue Version, FIPS 140-3, ist in Entwicklung. Beide sind bei http://csrc.nist.gov/publications/PubsFIPShtmll.
36 Die Verwendung von Verschlüsselung Overlay-Lösungen können den mobilen Einsatz wegen eines Mangels der Übergabe-und QoS-Unterstützung beschränken.
4-6
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
 


Abbildung 4-1. Verschlüsselung Overlay-Lösung
Data Link Layer Verschlüsselungs-Lösungen werden nicht garantiert, mit allen WiMAX-Lösungen wegen der Art, IEEE 802.16-Lösungen behandeln die OSI Data Link Paket Konvergenz Teilschicht, die für die Übertragung von Daten zwischen dem OSI Data Link und Network Layer ist die Arbeit. IEEE 802.16-2004, IEEE 802.16e-2005 und IEEE 802,16-2009 für zwei Klassifikationen Verkehr auf der OSI Data Link Paket Konvergenz Teilschicht, Ethernet-Header und IP zu ermöglichen. Lösungen, die Verwendung IP-Klassifizierung dürfen nicht mit Lösungen, die vollständig verschlüsselt das OSI Network Layer arbeiten, weil das geschichtete Verschlüsselung werden Informationen benötigt, um Pakete durch das WiMAX-System übergeben zu verstecken. Normalerweise ist die IP-Klassifizierung in den mobilen Einsatz verwendet, während Ethernet-Header Einstufung in P2P-und PMP-Operationen verwendet wird. Vor der Beschaffung einer OSI Data Link Layer-Verschlüsselung Lösung sollten Unternehmen zuerst fragen, welche Traffic-Klassifizierung eines Lieferanten WiMAX-Implementierung unterstützt und Funktionalität zu überprüfen.
Ein weiteres Verfahren zur Bereitstellung von Vertraulichkeit und Integrität Schutz wird durch Verwendung eines VPN. Ein VPN ist ein virtuelles Netzwerk, das einen sicheren Tunnel zwischen Geräten auf einen sicheren Kommunikationskanal für Daten-und IP-Informationen erstellt. VPNs werden oft verwendet, um die sichere Übertragung vertraulicher Daten über öffentliche Netze, für Remote-Zugriff zu erleichtern, und für andere Situationen, in denen die Verbindung von mehreren Standorten. VPNs können innerhalb einer WMAN eingerichtet werden, um ein privates Netzwerk zu erstellen und schützen empfindliche Kommunikation von anderen Parteien teilen Netzwerkressourcen. VPNs sind eine ausgereifte Technologie, und eine Vielzahl von VPN-Technologien existieren, wie IPsec und Secure Sockets Layer (SSL) VPNs.37
Organisationen, die VPNs, die Vertraulichkeit der Kommunikation muss die WMAN VPNs so zu konfigurieren, FIPS-validierte Verschlüsselung Algorithmen beschäftigt kryptographische Module validiert schützen. Eine Methode ist, VPNs nutzen, um WMAN Kommunikation durch die Einrichtung eines VPN-Tunnel zwischen dem Client-Gerät WMAN schützen (dh die SS / MS) und einen VPN-Konzentrator hinter dem BS. Mit einer IPsec VPN, Security Services sind auf dem OSI-Netzwerk-Layer des Protokoll-Stacks, die alle Anwendungen und Protokolle, die auf der OSI-Netzwerk-Layer und vor sicher gestellt. VPN Security Services sind unabhängig von OSI Data Link Layer-Protokolle, und sie sind für den Einsatz zu empfehlen, wenn die zugrunde liegenden Mechanismen drahtlose Sicherheit gefährdet oder Mangel FIPS-Validierung sind. Es ist wichtig zu verstehen, dass VPNs nicht beseitigt alle Risiken von drahtlosen Netzwerken, und OSI Data Link Wireless Security Regler kann eine zusätzliche Sicherheit zu leisten.
Bei der Festlegung, wie Vertraulichkeit und Integrität geschützt werden sollte, sollten die Organisationen prüfen ihre WiMAX Client-Geräte zu bestimmen, welche Arten von kryptographischen Algorithmen werden unterstützt und deren Schlüssellänge Grenzen und Re-Keying Zeitraum. Organisationen sollten überprüfen, ob diese Kunden kryptographische Fähigkeiten der minimalen Schutz der Vertraulichkeit zu erfüllen. Geheime Schlüssel sollte regelmäßig sein
37 Für mehr Information und Beratung über VPNs, NIST SP 800-77 sehen, Leitfaden für IPSec VPNs und NIST SP 800-113, Leitfaden für SSL-VPNs (http://csrc.nist.gov/publications/PubsSPshtmll).
4-7
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Fassung in Übereinstimmung mit einer Organisation der IT-Sicherheitspolitik auf die möglichen Auswirkungen eines Schlüssels compromise.38 reduzieren
Authentifizierung und Autorisierung
IEEE 802.16e-2005 und IEEE 802,16-2.009 unterstützen eine Reihe von Authentifizierungs-Lösungen sowohl für Geräte-und Nutzer-Authentifizierung zwischen einem BS und MS / SSS bieten. Diese Authentifizierung Lösungen unterstützen die Verwendung von Benutzernamen und Passwörtern, Chipkarten, Subscriber Identity Module-Karten, Biometrie, Public Key Infrastruktur (PKI) oder eine Kombination dieser Lösungen (zB Smart Cards mit PKI) .39 Organisationen in Erwägung ziehen, sollten WiMAX Lösungen unterstützen kann Extensible Authentication Protocol (EAP) Methoden für die gegenseitige Authentifizierung wie im Entwurf NIST SP 800-120, Empfehlung für die EAP-Methoden verwendet in Wireless Network Access Authentication.40 WiMAX-Lösungen, die nicht erfüllen kann dieser Kriterien sollte eine andere Art der Authentifizierung beschäftigen empfohlen auf einer höheren Schicht (z. B. Verschlüsselung Overlay oder VPN).
Client Device Security
Geräte, die der Zugang zu einem WiMAX-System gewährt sollten ordnungsgemäß gesichert werden, um das System Sicherheitslage zu verbessern. Die Sicherung der Infrastruktur, ohne richtig sichern Client-Geräten kann die Systemsicherheit gefährden. Organisationen sollten Umsetzung der Client-Sicherheit Kontrollen angemessen für die Art des Geräts, der Gerätetyp des Betriebssystems und von Anwendungen, die Sensibilität der Daten, dass das Gerät und hält zugreift, und die Bedrohungen, denen sie ausgesetzt ist. Mögliche Clientgerät Überlegungen zur Sicherheit gehören die folgenden:
­ Personal Firewalls. Ressourcen auf WMANs haben ein höheres Risiko eines Angriffs als die auf drahtgebundenen Netzen, da sie im Allgemeinen nicht über das gleiche Maß an Schutz. Personal Firewalls erhöhen Gerät Sicherheit, indem sie einen gewissen Schutz gegen unerwünschte Netzwerkverbindungen von anderen Hosts eingeleitet. Personal Firewalls sind Software-Anwendungen, die auf einem Client-Gerät befinden und entweder Client verwaltet oder zentral verwaltet. Zentral verwaltete Lösungen bieten ein höheres Maß an Schutz, da IT-Abteilungen können konfigurieren und remote verwalten diese Lösungen anstatt die Verwaltung für den Endanwender. Zentral verwaltete Lösungen ermöglichen es Unternehmen, modifizieren Client Firewalls gegen bekannte Sicherheitslücken schützen, reagieren auf neue Bedrohungen und Schwachstellen sowie eine konsistente Sicherheitsrichtlinien für alle Client-Benutzer. Personal Firewalls können auch über eingebaute VPN-Funktionen, die weiter zu erleichtern Bereitstellung.
­ Host-basierte Intrusion Detection und Prevention Systeme (IDP). Ein Host-basiertes IDPS enthält ergänzende Security Services, eine persönliche Firewall. Host-basierte Software IDPS überwacht und analysiert den internen Zustand eines Client-Gerät. IDPS Produkte schreiben Protokolle, um sicherzustellen, dass das System und Anwendungen funktionieren nicht unerwartet, wie Anwendungen den Zugriff oder Veränderung unerklärlicherweise anderen Teilen des Systems. Mehrere Host-basierten Software-Produkten auch IDPS Monitor ein-und ausgehenden Netzwerk-Kommunikation und berichten oder möglicherweise blockieren verdächtige Aktivitäten.
­ Antimalware-Software. Antivirus-Software und andere Formen von Malware-Software kann bei der Verhinderung der Verbreitung von Viren, Würmern zu unterstützen, und andere Malware zwischen vernetzten Geräten. Die meisten Client-Geräte sind in Gefahr von Malware-Bedrohungen, so sollte diese Geräte über geeignete Anti-Malware-Software installiert und erhalten automatische Updates.
38 Für weitere Informationen über Schlüssel-Management, siehe NIST SP 800-57, Empfehlung für die Key Management (http://csrc.nist.gov/publications/PubsSPshtmll).
39 Für weitere Informationen über Unternehmen Authentifizierung mittels Public-Key-Kryptographie, siehe FIPS PUB 196, Entity-Authentifizierung mit Public Key Cryptography (http://csrc.nist.gov/publications/fips/fips196/fips196.pdf).
40 http://csrc.nist.gov/publications/PubsSPshtmll
4-8
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
­ IEEE 802.16 Funk-Management. Client-Geräte, die keine geschäftlichen Notwendigkeit IEEE 802.16 haben sollten ihre Funkzubehörteilen standardmäßig deaktiviert. Wenn möglich, sollten Benutzer deaktivieren wenn das Radio nicht in Gebrauch ist. Darüber hinaus sollten die Client-Geräte konfiguriert werden, dass die gleichzeitige Verwendung von mehr als einer Netzwerk-Schnittstelle zu verhindern.
­ Durchsetzung von Richtlinien. Client-Geräte sollten so konfiguriert werden, um mit umgesetzt WMAN Politik entsprechen. Die Geräte sollten nach Richtlinie konfiguriert werden, wie das Deaktivieren von Diensten oder Verfälschung Standardkonfigurationen. Darüber hinaus können politisch ausgerichteten Software-Lösungen auf Client-Geräten implementiert werden, um zu verhindern oder zulassen, daß bestimmte Aktionen aus, wenn bestimmte Parameter existieren. Policy-Driven Software hilft sicherzustellen, dass Client-Geräte und Nutzer mit einer Organisation festgelegten Richtlinien entsprechen. Zum Beispiel können Policy-basierte Software-Client-Geräte aus, die mehr als eine Netzwerkschnittstelle zu einem Zeitpunkt aktiviert verhindern.
Neben diesen Überlegungen für Client-Gerät Sicherheit, sollten Unternehmen auch sicherstellen, dass WLAN-Client-Geräte logisch aus der Organisation drahtgebundenen Netzwerken getrennt. Dies wird meist durch eine Vernetzung zwischen den WiMAX-Gerät und dem drahtgebundenen Netzwerk implementiert. Ein Netzwerk Appliance können Anwender logisch Segment der Bevölkerung und regieren Datenkommunikation.
Patches, Upgrades und Updates
IEEE 802.16-Anbietern in der Regel Ausgabe Patches, Upgrades oder Firmware-Updates zu beheben bekannte Software-und Hardware-Sicherheitslücken. Netzwerkadministratoren sollten regelmäßig mit Anbietern zu überprüfen, um diese Updates zu identifizieren und umzusetzen wie nötig, in Übereinstimmung mit internen Verfahren der Organisation und policies.41 Darüber hinaus haben viele Anbieter Security Alert E-Mail-Listen an die Kunden von neuen Sicherheitslücken und Angriffe zu beraten. Administratoren können auch die National Vulnerability Database42 und Wireless Vulnerability & Exploits database43 für eine Auflistung aller öffentlich bekannten Verwundbarkeiten.
4,4 Sicherheitslücken, Bedrohungen und Gegenmaßnahmen Übersichtstabelle
IEEE 802.16e-2005 und IEEE 802,16-2.009 umfassen Sicherheitsfunktionen, die viele technische Mängel des IEEE 802.16-2004 Adresse. Organisationen mit WiMAX-Implementierungen Vordatierung IEEE 802.16e-2005 sollte eine Milderung der Planung und / oder Migration planen, die Verfahren und Einschränkungen für den Übergang dieser Legacy-WiMAX-Systemen zu einer konformen Sicherheitsarchitektur Umriss umzusetzen.
Tabelle 4-1 enthält eine Zusammenfassung der IEEE 802.16-2004, IEEE 802.16e-2005 und IEEE 802,16-2.009 Schwachstellen, Bedrohungen und Gegenmaßnahmen in diesem Abschnitt diskutiert.
41 Für weitere Informationen über Patch-und Schwachstellen-Management, siehe NIST SP 800-40 Version 2, Erstellen eines Patch-und Vulnerability Management Program (http://csrc.nist.gov/publications/nistpubs/800-40-Ver2/SP800-40v2 . pdf).
42 http://nvd.nist.gov/
43 http://www.wve.org/
4-9
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Tabelle 4-1. Sicherheitslücken, Bedrohungen und Gegenmaßnahmen Zusammenfassung
Sicherheitserwägungen oder Vulnerability
Threat Diskussion
Gegenmaßnahmen
IEEE 802.16-2004 Basierend WiMAX-Systeme
Einseitige Authentifizierung der SS von BS
SSs haben keine Methode zur Überprüfung der Identität der BSS. Dies lässt SSs anfällig für Angriffe durch Fälschung ein Schelm BS. Dies kann zu Leistungseinbußen, Datendiebstahl oder DoS-Attacken führen. Darüber hinaus lässt diese Authentifizierung Schema ein System anfällig für Angriffe MITM.
Force Kommunikation erfolgt über eine VPN-Verschlüsselung oder Overlay, dass die Geräte / Nutzer außerhalb der WiMAX systemeigenen Steuerelementen authentifiziert nehmen.
DES-CBC Schwäche
DES-CBC-Algorithmus ist ein schwacher, dass nicht sichergestellt werden kann Vertraulichkeit von Daten. Mit DES-CBC kann zu unbefugte Weitergabe von Informationen. Bedrohungen können DoS, Abhören und MITM-Angriffe.
Implementieren FIPS-Verschlüsselung Overlay oder VPN validiert.
Zwischenruf von wiederverwendeten TEK
Die kurzen 2-Bit-Kennung TEK Wraps auf jeden vierten Re-Key Null. Dies ermöglicht Gegner abgelaufen TEKS Wiederverwendung und Replay-Angriffe ausführen, die zu unbefugte Weitergabe von Informationen und Kompromisse der TEK.
Implementieren FIPS-Verschlüsselung Overlay oder VPN validiert.
Alle WiMAX-Systeme
Unverschlüsselte Management Messages
BSS und SS / MS kommunizieren über unverschlüsselte Verwaltung von Nachrichten an Netzwerk wünschen, Knoten Registrierung Bandbreitenzuweisung zu erleichtern, und hin. Diese Nachrichten werden nicht verschlüsselt. Überprüfungen der Integrität werden zugesetzt, um Nachrichten zu Unicast-Replay-Attacken, aber nicht Unicast-Nachrichten noch offen WiMAX-Systeme für DoS-Bedrohungen zu verhindern. Die unverschlüsselte Management-Nachrichten unterliegen Abhören, Replay-Attacken, kraxeln, und subtile Manipulation bei erniedrigenden Dienst ab. Wenn ein System nicht nutzt AES-CCM, sie eröffnet auch die Möglichkeit einer MITM-Angriff.
Es gibt keine Bedrohung Schadensbegrenzung für unverschlüsselte Management-Nachrichten. AES-CCM sollte verwendet, um einen Angriff MITM von dem Auftreten zu verhindern. Die Auswirkungen von Management-Nachricht Ausbeutung ist die Exposition von Knoten Registrierung Informationen und verschiedene DoS-Attacken. Es wird empfohlen, dass Organisationen für Plan eine Out-of-Band-Methode der Kommunikation im Falle eines DoS-Angriffs. Zumindest sollten organisatorische SOPs sind Incident-Response-Pläne im Falle eines DoS-Angriffs.
4-10
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Sicherheitserwägungen oder Anfälligkeiten Diskussion Gegenmaßnahmen
Mangelnde Native FIPS-validierte Lösungen
Ab Mitte 2009 hatten die meisten WiMAX-Anbietern noch nicht die FIPS-Validierung abgeschlossen. Dadurch wird verhindert, Bundesbehörden, sich auf einheimische WiMAX Sicherheit bis Herstellern die Validierung abzuschließen. Communications Vertraulichkeit sich ausschließlich auf nicht validierten native WiMAX Sicherheit kann Verschlüsselung Umsetzung Schwächen, die unbefugte Weitergabe von Informationen führen könnten. Bedrohungen können Lauschangriffe, MITM, und DoS-Attacken.
Implementieren FIPS-Verschlüsselung Overlay oder VPN validiert.
Verwenden von Wireless als Kommunikationsmedium
DoS-Angriff kann durch die Einführung eines leistungsfähigen HF-Quelle soll System Funkfrequenzen überwältigen ausgeführt werden.
Suchen und entfernen Sie die Quelle von HF-Störungen. Dies kann wegen der großen Versorgungsgebiete WMANs Herausforderung sein. Es wird empfohlen, dass Organisationen für Plan eine Out-of-Band-Methode der Kommunikation im Falle eines DoS-Angriffs.
4-11
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Anhang A-Glossar
Ausgewählte Begriffe im Leitfaden verwendet werden nachfolgend erläutert.
Authentifizierung: Für die Zwecke dieses Leitfadens, behauptete der Prozess der Überprüfung der Identität durch ein WiMAX-Gerät. Benutzer-Authentifizierung ist auch eine Option von IEEE 802.16e-2005 unterstützt.
Autorisierung: Der Prozess, der stattfindet, nachdem die Authentifizierung abgeschlossen ist, um festzustellen, welche Ressourcen / Dienste zur Verfügung zu einem WiMAX-Gerät sind.
Authorization Key (AK): Ein Schlüssel zwischen der Basisstation und Teilnehmerstation / mobile Station ausgetauscht, um einander vor der Verschlüsselung des Datenverkehrs Schlüssel (TEK) zu authentifizieren.
Autorisierte Daten Security Association (SA): Eine Liste bereitgestellt, um die SS / MS von der Basisstation. Die genehmigten Daten SA Liste zeigt die Datenverschlüsselung SAs der SS / MS Zugang zugelassen ist.
Backhaul: In der Regel eine hohe Kapazität Linie von einem Remote-Standort oder Netzwerk mit einem zentralen Standort oder Netzwerk.
Base Station (BS): Der Knoten, die logisch verbindet Festnetz und Mobilfunk Teilnehmerstationen Betreiber Netzwerken. Die BS regelt den Zugang zum Netz und zu unterhält die Kommunikation mit Client-Geräten. A BS besteht aus den Elementen der Infrastruktur notwendig, um die drahtlose Kommunikation, das heißt, Antennen, Transceiver und andere elektromagnetische Welle Sendeanlagen zu ermöglichen. BS sind in der Regel Knoten fixiert, sondern in einem taktischen Umfeld, können sie auch als mobile werden.
Vertraulichkeit: Für die Zwecke dieses Leitfadens Prävention der Verbreitung von Informationen gewährleisten, dass nur autorisierte Geräte können den Inhalt des WiMAX Kommunikation zu sehen.
Datenverschlüsselung Security Association (SA) Typ-Indikator: Ein Indikator zur Definition der Art der Datenverschlüsselung SA (Primary, Statisch oder dynamisch).
Lauschangriff: Art des Angriffs, in dem ein Gegner wird ein WiMAX-Traffic-Analyzer innerhalb der Reichweite eines BS oder SS / MS. Der Gegner kann Monitorverwaltung Nachrichtenverkehr zu Verschlüsselungen zu identifizieren, zu bestimmen Fußabdruck dem Netzwerk oder Verhalten Traffic-Analyse in Bezug auf spezielle WiMAX-Knoten.
Konzernkennzahlen Verschlüsselung (GKEK): ein kryptografischer Schlüssel verwendet, um die GTEK verschlüsseln geschickt in Multicast-Nachrichten zwischen einem BS und SSS / MSS.
Gruppe Verkehr Verschlüsselung (GTEK): Ein kryptographischer Schlüssel verwendet, um Multicast-Verkehr zwischen einem BS und SSS / MSS verschlüsseln.
Host-basierte Intrusion Detection und Prevention System (IDP): Ein Gerät oder Software-Produkt, das ergänzende Sicherheit Dienstleistungen für eine persönliche Firewall, die Überwachung und Analyse des internen Zustands eines Client-Gerät. IDPS Produkte schreiben Protokolle, um sicherzustellen, dass das System und Anwendungen funktionieren nicht unerwartet, wie Anwendungen den Zugriff oder Veränderung unerklärlicherweise anderen Teilen des Systems. Mehrere Host-basierten Software-Produkten auch IDPS Monitor ein-und ausgehenden Netzwerk-Kommunikation und berichten oder möglicherweise blockieren verdächtige Aktivitäten.
Internet Protocol Security (IPsec): Ein OSI Network Layer Security-Protokoll, das Authentifizierung und Verschlüsselung bietet über das Internet.
Jitter: Wie es zu Warteschlangen betrifft, der Unterschied in der Latenz von Paketen.
A-1
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Key Encryption Key (KEK): Ein Schlüssel aus der Genehmigung Schlüssel abgeleitet und zur Verschlüsselung des Datenverkehrs Tasten (TEK) während der TEK Austausch zu verschlüsseln.
Letzte Meile Breitband-Zugang: Kommunikationstechnik, die Brücken der Übertragung Abstand zwischen den Breitband-Service-Provider-Infrastruktur und der Kunde benötigt.
Line-of-sight Signallaufzeit: Elektromagnetische signalisiert, dass ist sehr empfindlich gegenüber hochfrequenten Hindernisse erfordern einen ungehinderten Blick zwischen Sendestationen.
Management Gegenmaßnahme: Eine Gegenmaßnahme, dass jegliche Anliegen im Zusammenhang mit Risiko-, System-Planung, Sicherheit oder Beurteilung durch eine Organisation Management-Mails.
Management Nachricht: Eine Nachricht für die Aufrechterhaltung der Kommunikation zwischen einem SS verwendet / MS und BS, dh eine Kommunikation Parameter, der Austausch von Privatsphäre-Einstellungen und Durchführen System Registrierung Ereignisse (ursprüngliche Netzwerk wünschen, Übergaben, etc.). Diese Nachrichten werden nicht verschlüsselt und sind anfällig für Lauschangriffe.
Man-in-the-Middle (MITM): Ein Angriff, wenn ein Gegner täuscht ein SS / MS als legitim erscheinen BS gleichzeitig täuschen einen BS als eine legitime SS / MS erscheinen auftritt. Dadurch kann ein Angreifer so tun, als ein Pass-Through für alle Kommunikations-und bösartigen Datenverkehr in das Kommunikationssystem Strom zu injizieren.
Message Authentication Key: Ein Schlüssel, der die Echtheit der Daten Schlüsselverteilung Nachrichten aus der BS an die SS / MS gesendet überprüft.
Veruntreuung: Ein Angriff, bei dem der Angreifer stiehlt oder macht unberechtigte Nutzung eines Dienstes.
Mobile Teilnehmer (MS): Wie in IEEE 802.16e-2005, ein WiMAX-Teilnehmerstation fortbewegen kann, bei Fahrzeug-Geschwindigkeit definiert ist und dass unterstützt Power-Management-Betriebsarten erweitert. MS-Geräte haben in der Regel einen kleinen Formfaktor und self-powered, zB Laptops, ultra-mobilen tragbaren Computern, Mobiltelefonen oder anderen tragbaren elektronischen Geräten.
Mobile Topologie: Eine ähnliche Konfiguration wie ein Mobilfunknetz, da mehrere Basisstationen kooperieren und bieten eine nahtlose Kommunikation über ein verteiltes Netzwerk sowohl SSS und MS.
Multi-Hop-Relay-Topologie: Eine Konfiguration, die eine BS-Berichterstattung erstreckt sich durch die Möglichkeit SSS und MS für den Verkehr durch Handeln als RSS-Relais. Daten an ein SS / MS außerhalb des BS Bereich ist bestimmt durch benachbarte weitergeleitet RSS.
Multiple Input, Multiple Output-Technologie: Die Verwendung von mehreren Antennen und erweiterte Signalisierung Techniken zum drahtlosen Netzwerk-Bereich, Ausfallsicherheit und Geschwindigkeit zu erhöhen.
Non-Line-of-sight Signallaufzeit: Elektromagnetische signalisiert, dass nutzt fortschrittliche Techniken zur Modulation Signal Hindernisse zu kompensieren und eine indirekte Kommunikation zwischen Sendestationen.
Operative Gegenmaßnahme: Eine Gegenmaßnahme, dass die Kontrollen, die von Menschen ausgeführt werden, z. B. körperliche Umweltschutz, Konfigurations-Management und Incident Response umfasst.
Personal Firewall: Software-Anwendungen auf einem Client-Gerät, das Gerät zu erhöhen Sicherheit, indem ein gewisser Schutz gegen unerwünschte Netzwerkverbindungen von anderen Hosts eingeleitet. Personal Firewalls können Kunden verwaltet oder zentral verwaltet.
A-2
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Quality of Service (QoS): Eine Kategorisierung der verschiedenen Arten von Netzwerkverkehr, um die Latenz-sensitive Daten über nicht-Latenz-sensitive Daten zu priorisieren.
Radiofrequenz (RF) verursachen: Eine Bedrohung, in denen ein Gegner stellt eine leistungsfähige HF-Signal, das Spektrum zu überwältigen durch das System verwendet, so leugnen Service für alle WLAN-Knoten innerhalb der Reichweite der Störungen. RF Jamming ist als eine DoS-Attacke eingestuft.
Relaisstation (RS): Ein SS, die so konfiguriert, dass Datenverkehr an andere Stationen in einem Multi-Hop-Security Zone nach vorn ist.
Scrambling: Die präzise Einspritzung von HF-Störungen während der Übertragung über spezifische Management-Nachrichten. Diese Angriffe verhindern richtige Netzwerk umfassend und Bandbreitenzuweisungen mit der Absicht, die gesamte Systemleistung beeinträchtigen.
Security Association (SA): Die logische Reihe von Sicherheits-Parameter, die Elemente für die Authentifizierung, Key Einrichtung und Datenverschlüsselung erforderlich.
Security Identifier Verband (SAID): Eine einzigartige 16-Bit-Wert, der die SA identifiziert.
Security Zone (SZ): Eine Gruppe von vertrauenswürdigen Beziehungen zwischen einem BS und einer Gruppe von RSS.
Standard Operating Procedure: Ein Satz von Anweisungen verwendet, um einen Prozess oder ein Verfahren, dass eine explizite Operation oder explizite Reaktion führt zu einem bestimmten Ereignis zu beschreiben.
Teilnehmerstation (SS): Eine feste Wireless-Knoten. SSs sind in Outdoor-und Indoor-Modelle und in der Regel nur die Kommunikation mit BSS, außer während Mesh-Netzwerk Operationen.
Die Sicherheit des Systems zu planen: Ein System-Dokument, das einen Überblick über die Sicherheitsanforderungen eines Systems liefert und beschreibt die Kontrollen stattfinden, um diesen Anforderungen gerecht zu werden.
Technische Gegenmaßnahmen: System sichert durch EDV-Systeme implementiert, einschließlich Kontrollen wie Authentifizierung, Zugangskontrolle, Überwachung und zum Schutz von Kommunikation.
Einseitige Authentifizierung: Eine IEEE 802.16-2004 Schwachstelle aus PKMv1 bietet zur Authentifizierung von SSS von BSS, aber nicht für die Authentifizierung von BSS durch SSS. Mangelnde gegenseitige Authentifizierung kann es einem Schurken BS, die ein berechtigtes BS ausgeben, wodurch die SS nicht in der Lage, die Echtheit der Protokoll-Nachrichten aus dem BS-Stellen wenden. Dies kann damit ein Schelm BS Betreiber, um die Leistung zu beeinträchtigen oder zu stehlen wertvolle Informationen durch die Durchführung DoS oder Man-in-the-Middle-Attacken gegen Client SSS.
Virtual Private Network (VPN): Eine logische Netzwerk, das an der oberen Schichten des OSI-Modells über eine bestehende physische Netzwerk etabliert ist und in der Regel nicht enthalten jeder Knoten auf dem physischen Netzwerk.
Worldwide Interoperability for Microwave Access (WiMAX): Ein Wireless Metropolitan Area Network (WMAN)-Technologie auf dem IEEE 802.16-Familie von Standards für eine Vielzahl von Zwecken, einschließlich verwendeten, aber nicht beschränkt auf, fixiert die letzte Meile DSL-Zugang, Long-Range Wireless-Backhaul und Access-Layer-Technologie für Mobilfunkteilnehmer, die auf Telekommunikationsnetze. A-3
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Anhang B-Akronyme und Abkürzungen
Ausgewählte Akronyme und Abkürzungen in der Anleitung verwendet werden unten definiert.
AAA Authentifizierung, Autorisierung und Accounting
AAS Anpassungsfähig Antennenhalterung
AES Advanced Encryption Standard
AK Authorization Key
Akid Authorization Key Identifier
BS-Basisstation
CBC Cipher Block Chaining
CCM Counter CBC mit Message Authentication Code
CFB Cipher Feedback
CTR Counter
DES Digital Encryption Standard
DFS Dynamic Frequency Selection
DoS Denial of Service
DSL Digital Subscriber Line
EAP Extensible Authentication Protocol
EZB Electronic Codebook
EIK EAP Integrity Key
FCC Federal Communications Commission
FIPS Federal Information Processing Standard
FISMA Federal Information Security Management Act
Gbps Gigabit pro Sekunde
GHz Gigahertz
GKEK Group Key Encryption Key
GTEK Gruppe Traffic Encryption Key
IDPS Intrusion Detection und Prevention System
IETF Internet Engineering Task Force
IPsec Internet Protocol Security
ISO International Organization for Standardization
ISP Internet Service Provider
IT Informationstechnologie
ITL Information Technology Laboratory
Initialisierungsvektor IV
KEK Key Encryption Key
LAN Local Area Network
LOS Line of Sight
MAC Media Access Control
MAN Metropolitan Area Network
B-1
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Mbps Megabits pro Sekunde
MIB Management Information Base
MIMO Multiple Input, Multiple Output
MITM Man-in-the-Middle-
MS Mobile Subscriber
MSK Master Session Key
NIST National Institute of Standards and Technology
NLOS Non-Line-of-Sight
OFB Output Feedback
OMB Office of Management and Budget
OSI Open Systems Interconnection
P2P-Point-to-Point
PIV Personal Identity Verification
PKI Public Key Infrastructure
PKM Datenschutz Key Management
PKMv1 Datenschutz Key Management Protocol Version 1
PKMv2 Datenschutz Key Management Protocol Version 2
PMK Pairwise Master Key
PMP Point-to-Multipoint
PN Packet Number
Pre-PAK Pre-Primary Authorization Key
PUB Veröffentlichung
QoS Quality of Service
RF Radio Frequency
RS Relaisstation
SA Security Association
SAID Security Association Identifier
SOP Standard Operating Procedures
SS Subscriber Station
SSL = Secure Sockets Layer
SSP System Security Plan
SZ Security Zone
TEK Traffic Encryption Key
VoIP Voice over Internet Protocol
VPN Virtual Private Network
WiMAX Worldwide Interoperability for Microwave Access
WLAN Wireless Local Area Network
WMAN Wireless Metropolitan Area Network
WWAN Wireless Wide Area Network
B-2
Leitfaden über Sicherheitsaktualisierungen für WiMAX-Technologien (ENTWURF)
Anhang C-Referenzen
Die folgende Liste enthält Verweise für diese Veröffentlichung.
[Fra07] S. Frankel et al, NIST Special Publication 800-97, Aufbau Wireless Robust Security Networks: A Guide to IEEE 802.11i, NIST, 2007. http://csrc.nist.gov/publications/nistpubs/800-97/SP800-97.pdf
[Han06] Tao Han et al, Analyse von Mobile WiMAX-Sicherheit: Schwachstellen und Lösungen, Key Lab von Universal Wireless Communications, Ministerium für Bildung, der Beijinger Universität für Post und Telekommunikation, 2007.
[IEE04] IEEE-Standard 802.16-2004, IEEE-Standard für lokale und Metropolitan Area Networks-Teil 16: Air Interface für Fixed Broadband Wireless Access Systems, IEEE, 2004.
[IEE05] IEEE-Standard 802.16e-2005, IEEE-Standard für lokale und Metropolitan Area Networks-Teil 16: Air Interface für Festnetz-und Mobile Broadband Wireless Access Systems Änderung 2: Physikalische und Medium Access Control Layer für kombinierte Festnetz-und mobilen Einsatz in lizenzierten Frequenzbändern , IEEE, 2005.
[Joh04] D. Johnston und J. Walker, Übersicht der IEEE 802.16 Security, IEEE Sicherheit und Datenschutz, Vol. 2, No. 3, S. 40-48, Mai / Juni 2004.
[Kis08] R. Kissel et al, NIST Special Publication 800-64 Revision 2, Überlegungen zur Sicherheit in der System Development Life Cycle, NIST, 2008. http://csrc.nist.gov/publications/nistpubs/800-64-Rev2/SP800-64-Revision2.pdf
[Nas08] Mahmoud Nasreldin et al, WiMAX Security, 22. Internationale Konferenz Advanced Information Networking and Applications, 2008.
[NIS04] FIPS PUB 199, Normen für Sicherheitsmerkmale Kategorisierung der Federal Information und Informationssysteme, NIST, 2004. http://csrc.nist.gov/publications/fips/fips199/FIPS-PUB-199-final.pdf
[NIS09] NIST Special Publication 800-53 Revision 3, Empfohlene Sicherheitskontrollen für Federal Information Systems und Organisationen, NIST, 2009. http://csrc.nist.gov/publications/nistpubs/800-53-Rev3/sp800-53-rev3-final-errata.pdf
[Sca08] K. Scarfone et al, NIST Special Publication 800-48 Revision 1, Führer zu sichern Legacy IEEE 802.11 Wireless Networks, NIST, 2008. http://csrc.nist.gov/publications/nistpubs/800-48-rev1/SP800-48r1.pdf