图文：中国移动设计院无线所高级工程师马奔腾

图为：中国移动通信集团公司设计院无线所高级工程师马奔腾。

　　2008年4月28日至29日在北京京都信苑举办主题为“构建和谐网络环境，助力绿色科技奥运”的“迎奥运、促和谐，2008年阳光绿色网络研讨会”。会议由工业和信息化部，北京奥组委主办，中国通信学会承办。新浪科技将进行现场直播。

　　图为中国移动通信集团公司设计院无线所高级工程师马奔腾。

　　以下为实录：

　　中国移动通信集团公司设计院无线所高级工程师马奔腾。马奔腾多年工作在移动无线网络规划工程设计、网络优化等工程技术管理，从事移动无线通信网络技术研究与开发，多次参与国家无线宽带通信科技研究课题，并担任课题的主要负责人，发明了国际国内专利五项，在国内期刊上发表专业论文十余项，国际一级会议期刊论文三篇，他是北京信息通信协会青年专家会员。

　　马奔腾：

　　尊敬的各位领导，各位嘉宾，大家下午好，非常高兴在本次大会和大家探讨助力绿色奥运的主题，下面我着重介绍一下奥运无线宽带安全及其演进。

　　第一，3G系统面临的接入威胁。伴随奥运会的临近，中国进入3G时代，3G给我们带来多样化的终端，带来技术层面提出业务承载和管理分离的要求，在无线接入安全方面提出多样化个性化安全与接入方便一致化，资源与分配一致化的众多要求和挑战，这四项接入安全方面的挑战，可以在视频流言、导航、位置服务对数据敏感上面得到体验，这些3G业务和移动运营商和互联网运营商增值业务的收入直接相关，面临如此挑战的同时，随着计算机计算能力的提高，3G系统面临在接入安全、网络安全、用户域安全和应用域安全等基本层面威胁，具体的手段包括对未授权对敏感数据的访问，偷听、乔装、流量分析、留言泄秘等，扰乱和滥用网络敷衍，干扰资源耗尽，长挂，滥用服务等方面，未授权访问敏感数据滥用网络服务这两项直接和接入安全这一领域直接相关。挑战的一方可以进行未授权操纵敏感数据，访问服务和否认等侵略性的操作。3G系统从技术层面面临威胁和挑战的同时，3G的业界也制定出应对的措施，加强无线接口的加密，无线接口加密的升级非常迅速，新的安全特性能够抵抗恶意主动攻击，特别是恶意的强解密。相对的2G加强健全与用户身份的机密性，大幅度提高用户身份机密性与健全的紧密型结合性。3G非话音的业务作为主导，安全性要求非常高，不同的业务和不同的提供商需要多种新业务并发支持，3G安全特性满足综合多业务的安全要求。在终端和业务一致性方面，我们也可以看到，由于多样的终端，不仅仅局限于手机这样的终端，已经像笔记本、PDA包括一些家电的控制，用户对服务的范围的控制加大，终端的应用能力增强，特别是目前移动互联网的兴起，作为电子商务重要的接入手段，3G终端处在多要求不同识别SIM卡，支持不同应用的环境当中，3G的安全必须保证终端和网络应用平台与应用环境的适配性。在计费安全方面，通信和互联网业务的共同面临着预付费和后付费业务，传统的运营商面临着移动互联网和第三方认证合作的环境，要求新的3G系统必须提供互信的安全手段和环境。这些要求已经写入3G的标准系统当中。

　　面对这些挑战和安全威胁以后，3G系统在以后的具体技术方面有哪些具体的演进呢？我们可以从左边这张表可以看到，从GSM相比，3G在网络认证方面增加了网络用户的双向认证，不但网络对用户进行认证，同时用户也对网络进行认证。在传统的数据加密方面，密码从64位增长到128位，算法从固定的加密算法演进成用户和网络动态分配加密算法。另外一个重要的进步是，在数据完整保护方面，在接入网增强信令的保护，垃圾短信和非法短信对信令的挑战，特别是对移动通信系统的信令挑战非常强烈，3G系统增强接入系统信令系统的保护。在传统的意义上，在3G系统利用增强的五元用户身份认证，结合临时身份增强使用，在安全服务和用户可见性方面，3G系统增强了安全操作对用户的可见性，增强用户的可选安全等级和范围，用户同时可以进行配置，例如用户可以配置使用定位系统、视频监控等安全级别。

　　在整体的技术标准演进的同时，移动运营商和互联网运营商在3G时代对接入安全做了多方的常识和贡献，我们知道在3G的先行者NTTDoCoMo，最近的业务当中推出一项新的业务用户身份识别模块，在UICM卡基础上增加PDC和PKI功能，数字证书有什么特点呢？具有网络接入的管理和认证，它可以接入PDC和PKD等多个网络，业务管理的功能，采取下载数字证书的方式，除了NTTDoCoMo，其他运营商和服务商提供的业务，用户可以同样享受到，不影响对主营运营商的业务。强制的机制，下载用户证书到UIM卡上，UIM模块受到高安全的保护，CP内容提供商使用SSL的机制，验证用户证书合法性，从以上用户身份模块可以看到具备两个条件，广泛进行电信运营，第一个就是方便安全的证书的分发机制，另外便捷业务连续性和漫游机制，要求能够对大众提供非常方便的分发证书，能够让用户感觉不到证书的分发，做广域的业务，必须保证域间漫游。

　　从用户的角度看一下，NTTDoCoMoUIM会带来什么，NTTDoCoMo向用户中心下发用户证书，用户接入内容提供商Web服务器，Web服务器发送给UIM给用户，发送用户给提供商提供验证，互联网Web和NTTDoCoMo做数据同步，用户接入Web，享受移动互联网安全服务，从用户的角度可以看到，它是长方便，不许用户名和密码的输入，可以存在多个证书，拓展业务非常方便，连入多Web，传递基本通信业务，可以方便开通和关闭新的或者非法的业务，从而达到同步基础和增值业务的目标，我们可以看到，由于UIM的存在增加计费分成的手段，这是先进3G运营商在3G系统技术演进的同时，在应用层面也做出了巨大的尝试。

　　3G系统从技术层面已经有了巨大的发展，从应用的层面也有很多的尝试，基于IP无线宽带系统的现状怎么样？在美国和日本已经发生了多起针对IP宽带接入网的攻击，像日本发生针对移动POS机的攻击，导致消费者敏感性数据的泄秘。考虑到无线局域网宽带接入网目前存在巨大的安全隐患，在02年的盐湖城冬奥会和04年雅典奥运会命令禁止公开使用宽带设备。启明星公司的专家谈到，无线局域网和IP宽带接入网存在的安全隐患。在中国也伴随着迅驰笔记本和其他无线局域网笔记本快速发展，这种被攻击的案例也非常多。什么问题，什么机制导致了无线局域网存在巨大的隐患，无线宽带初期存在着使用WEP/WPA安全的缺陷，导致在网上或者恶意攻击方发展很多的攻击工具，比如说在互联网上轻易达到可以获得像仿冒IP的软件、KMIP，这两个安全机制根本缺陷和攻击方式的多样性，导致现在脆弱的无线宽带安全网的现状，这个目前非常严峻。考虑到WLAN发源地美国也认识到严峻的现状，美国的加州议会通过保护法案，网络设备制造商在产品加标注，无线网络欠缺安全防护，使自己暴露在危险境地。

　　在Web协议发展当中，在多个协议关键环节上存在不足和漏洞，并不是密码长度造成的，导致攻击手段的多样性，在很短的时间Web密码被迫切，WPA也不能使安全性能得到根本的改善，其他的辅助的安全的措施和认证的措施像SSID和地址现实存在极易暴露可扩展性差等方面的问题。

　　由于存在巨大的安全隐患，WLAN和宽带互联网系统业界都为之努力，做出很多的尝试，从99年发展到02年802.1S协议，04年强制执行CCMP，到06年802.11E，这些严峻的挑战发展，形成了自己的国标。对无线局域网和无线宽带网络做了重大的改进，但是802.11体系存在如下的问题，没有从根本上改变二元认证架构，AP没有独立的身份，AP对网络的主要标准就是SSID。兼容了Web，在广播和窄播采取Web进行保护，降低了安全等级，并没有从根本上保护系统的安全，出现了MD5被攻破的情况，还增加了新的攻击点。

　　三元安全架构和二元安全架构的根本区别，802.1X加EAP模式，仿冒没有被根本杜绝，国内自己研制的WAPI是三元架构，和3G双向认证，已经基本吻合了，已经符合3G的潮流和趋势。

　　AP有独立身份，在三个元两条路上做了双向的认证。

　　无线宽带接入安全系统试验与演进。电信运营商在技术演进的同时加入自己的理解和尝试，常见我们在奥运会前期和奥运会期间常见使用有如下几种方案，Web Portal，页面弹出方式，拒绝未授权用户，便于漫游及互联网接入，安全方面简单寄托在用户名密码上，比较容易窃取。世界范围采用MAC地址认证，接入点预存STAMAC地址表，地址表更新困难。MAC地址加Web Portal，双重认证，小范围使用，日本NTTDoCoMo采取双重认证，提高了接入的安全，但是仍然没有杜绝AP和Portal仿冒，幅度大幅度增加。

　　中国移动包括欧洲的运营商和互联网运营商，利用GSM(SIM)和Web Portal，针对移动运营商需要移动终端进行协助，另外我们经常会采用短信，SSM静态密码和动态密码，便于移动漫游，没有业务身份和接入资源控制的功能，操作起来需要从短信转移到笔记本等终端上面，操作比较复杂，运营商与移动终端相互依赖，限制大规模的发展。

　　在此举例NTTDoCoMo Mzone WLAN，做了地址的认证，通过之后，再接入互联网。世界级的运营商发现无线局域网和宽带接入网的问题，采取双重认证的方式。带来操作的边界性大大降低，复杂度很高，没有从根本上解决假冒接入点，已经发生了假冒接入点，恶意的攻击，假冒接入点弹出假冒页面，骗取客户的信息。业务和终端的一致性没有统一的管理。

　　认识到上述几套方案的优劣，一方面像国际先进的运营商，日法的运营商也在发展自己的系统，中国的有识之士发展中国自己WAPI的实验，在实验当中我们发现WAPI采取重要公钥的同时，采取双向身份鉴别和密码协商实现安全接入控制和保密通信。建立保密性非常高的链路，确定多张证书全程、安全便捷发放，3G安全几个管理域方面彻底完成接入域和网络域和用户域同步安全。这一点对电信运营级网络和业务是非常重要的。通过业务流程，基本条件有什么样的优点。首先做了AP做接入鉴别激活，其次做了接入鉴别的请求，经过验证以后做接入鉴别的请求，第三步由AP对证书鉴别请求，通过响应以后，做证书的鉴别响应，最后接入鉴别响应完成之黑，最终实现AP和终端之间的通信链路，在三方双向认证过程当中，一直伴随着身份证、ID、数字证书、密钥和签名四个级别元素，这四种基本元素实际上为我们创造了用户身份识别和业务身份识别以及加密安全和配置认证几个非常关键的元素，有了这四个基本的元素，第一步，可以收获到另外一个创新，我们可以利用业务身份和用户身份结合在一起做接入的资源控制。无线宽带接入网络是遵循着最初接入资源共享机制，如果我们在业务层面上对法一项业务有了自己的身份，利用证书机制，就可以达到对用户分级和业务分级和对用户不同业务进行资源调度，细化控制资源的颗粒，避免资源耗尽，和网管结合和计费结合，很明显可以避免在3G系统当中谈到资源耗尽性和干扰和滥用性的侵袭，直接限定非法的用户和业务限定其资源，不给其留有任何资源常挂的机制。同时，我们对一些VIP的用户和用户的VIP业务进行资源的扩充和资源触发，对专网和公网共存的形式非常适用，在无线城市接入网络用户行为非常复杂，有的需要较低的安全级别，可能需要较多的资源接入，我们必须要限制恶意的侵占资源，同时我们也保证一些专业网，电子政务专网的介入，在用户控制的同时做控制和资源控制。业务身份的ID，而且做了加密安全保证，用户层面做双向认证做配置，预约资源配置和认证。

　　综合以上几个特点，再回到和3G系统做对比当中，在接入域、用户域、应用域几个方面，WAPI已经满足安全域的要求，特别是共同和3G一致的要求，同时在可视和可配置管理方面，WAPI配置多种密钥的算法，同时也是独立的，密码是可以选用3G当中提供的密码算法，这样的话在后期的演进当中是可以和3G安全系统完全吻合的。我们国家的SMS4算法已经公开，可以对用户来说选择不同的安全等级，在可视和管理特性上WAP初步具备条件。可扩展性，基于证书认证体系，证书的体积不大，漫游地的HASU认证单元与归属的HASU方便实现多种互认方式，相对方便得多，用户终端不需要做任何的改动，实现漫游认证，实现跨地域、跨运营商的漫游，甚至可以实现基于移动互联网的号码携带。应用域安全，已经有了应用域安全的保障，需要WAPI和移动互联网方面的协议相互合作，简单总结可以看到，已经初步由于具备三元双向认证和多张数字证书和加密通讯链路基本特点，使它具备针对运营商或者说新型运营商完备的运营体系认证，WAPI不简简单单市无线局域网安全标准和协议和体系，逐渐可以向移动互联网和移动体系融合和发展。

　　是不是在类似的尝试只有在中国进行，别无分号呢，3G安全的演进和无线宽带安全问题的演进，具体的实例包括NTT的实验，在世界的业界，包括日美已经认识到，构建高安全可管理可运营的无线网络对移动互联网的重要性，简称移动互联网分布式系统，最近通过日本NTT和美国的联合实验室已经研制这种移动互联网的分布式系统。

　　基本思想就是演习了UIM，形成MIDAS，通过手机实现，公众WLAN实现不用更名进行移动QQ方式和辨识信息，具有用户的应用控制，业务等级和许可信息和个人的配置，联系方式、优先信息，最终在网络层形成EUID，这几个特征就是MIDAS，已经吻合安全五大根本要素，是可配置的，对业务也是可跟踪和管理。

　　互联网AAA集成网关运营商Keberos连接到互联网的Web，包括内容的网站以及订购的网站和购物的网站，达成互联网上和移动之间非常可信的双方互信的认证体系，最终我们可以看到，MIDAS具有完全接入，从异构网接入无线局域网，用户没有根本的差异性体验。安全的接入，我们有了MDAS和3G系统的统一，统一结算，对移动互联网做出非常大的贡献，目标是实现了高安全、可管理可运营无线或者移动互联网。

　　国内WAPI采用同样的机制，甚至发展了三元双向认证方式，具有更高的可操作性和条件准备，WAPI已经具备了级别非常高的安全管理，其次利用证书机制，可以把证书与业务的对应捆绑，实现计费和对业务的计费和管理，我们称作可运营。一方面传承已有的移动通信对用户独立身份的管理，再及上WAPI业务属性进行区分，保证VIP用户和VIP业务，很明显可以做到可管理方面。这几点有机组合在一起，非常有信心，构建一个非常安全、可管理、可运营的无线宽带网络。

　　随着3C奥运会的发展和移动互联网高速发展，在3G和无线宽带互联网逐渐走向共同接入安全的道路，目前需要迫切解决无线宽带网络的接入安全问题如下：需要打造完善的3G、4LAN、Wimax的体系。应该使用综合的安全体系，实现异构，统一解决无线异构网络，方便安全可靠接入互联网的问题，通过以上两点，综合的安全体系实际上和电信运营，包括互联网运营和未来的移动互联网的运营管理运营特征相辅相成，密不可分。完全接入安全体系，提升移动互联网整体可管理性，帮助运营商实现对用户的细分，对业务应用的精细化管理，对接入资源的精细化管理。为什么我们再三强调这几个特点呢，我们知道中国移动，包括世界性的移动通信都面临着被互联网管道化的威胁，有了高安全、可管理、可运营的无线宽带网络可以有非常有效规避，包带宽带来电信运营商被管道化的威胁，同时也为电信运营商和互联网服务商提供完善的和丰富的移动互联网第三方合作的可能，因为有一个非常互信的环境。最终实现高安全性、完备性，促进电信运营商的品牌的提升和用户忠诚度的提高。在技术层面和应用层面，无线宽带网络的接入安全是与移动互联网的加速融合，并且进一步向下一代无线互联网和移动互联网演进。国内的WAPI标准体系从无线局域网安全标准拓展成完整的可管理可运营的高安全的体系，它的优良特征使其具有非常广阔的移动互联网的市场前景，需要我们大力的拓展其应用，但是同时我们也要看到，国外国际上一些先进的运营商和研究机构，发展异构安全体系非常迅速，WAPI和国内安全也需要完善运营特征，成为4G乃至下一代网络中具有中国特色的重要组成部分，实现高安全、可管理、可运营，移动互联网接入目标。

　　为此我预祝北京奥运会圆满成功，谢谢大家。