Журнал «Вестник связи», №9, 2005 ИНЖЕНЕРНЫЕ АСПЕКТЫ СОРМ Б.С. ГОЛЬДШТЕЙН, заведующий кафедрой СПбГУТ, заместитель директора ЛОНИИС, доктор технических наук, профессор, Ю.А. КРЮКОВ, научный сотрудник, И.П. ХЕГАЙ, директор ГК "Экран" "Все телефоны не подслушаешь, Все разговоры не запишешь. И люди пьют, едят и кушают, И люди понемногу дышат, И понемногу разгибаются, И даже тихо улыбаются." Б. Слуцкий Понятие СОРМ Относительная важность тех или иных функциональных возможностей коммутационных узлов и станций меняется во времени. Передача факсов, конференцсвязь, dial-up доступ в Интернет и другие экзотические дополнительные услуги телефонных сетей общего пользования (ТфОП) превратились в неотъемлемые функции современных систем коммутации. По независящим от связистов обстоятельствам к таким же обязательным и важным функциям отнесли поддержку АТС законного перехвата сообщений или, по-русски, систему оперативно-розыскных мероприятий (СОРМ). За годы, прошедшие с тех пор как были написаны строки, выбранные в качестве эпиграфа к этой статье, к большому сожалению, обстановка в мире превратила СОРМ из весьма сомнительного требования в бесспорную и абсолютно необходимую функцию узлов коммутации современных сетей связи. Под СОРМ в ТфОП понимается юридически санкционированный доступ правоохранительных организаций к частным телефонным разговорам. Этим уполномоченным организациям, именуемым в международных стандартах LEA (Law Enforcement Agency), принадлежат так называемые пункты управления ПУ (в российской терминологии) или, согласно терминологии ETSI, средства мониторинга, принадлежащие правоохранительному органу LEMF (Law Enforcement Monitoring Facility), обсуждение которых выходит за рамки этих статей. Рис. 1. Схема законного перехвата сообщений согласно общеевропейской концепции 1 Журнал «Вестник связи», №9, 2005 Основное внимание мы уделим требованиям, предъявляемым СОРМ к узлам коммутации и сводящимся к необходимости организовать канал для прослушивания в ПУ контролируемого разговорного тракта, а также канал передачи от ПУ к станции специальных команд управления и от станции к ПУ сообщений о фазах контролируемых соединений. По этому же каналу передачи данных оператор ПУ имеет возможность взаимодействовать с программным обеспечением узла коммутации с помощью команд и сообщений, а станция – транслировать к ПУ аварийные сообщения о тех событиях, которые могут влиять на работу СОРМ. Реализация этих требований является отнюдь не тривиальной инженерной задачей для АТС сети коммутации каналов [2], а для гибких коммутаторов Softswitch сетей NGN (о чем следующая статья [6] этого цикла) становится еще сложнее и интереснее. Но сначала – о сути проблемы. Законный перехват сообщений Функция СОРМ в терминах концепции ETSI называется законным перехватом сообщений LI (Lawful Interception) и, по мнению авторов, достаточно точно отражает суть дела. Имеются некоторые различия в практике применения этих двух терминов. СОРМ в странах СНГ до последнего времени предназначалась преимущественно для традиционной телефонии, в то время как международные стандарты LI разрабатывались более комплексно, без разделения на способы связи и методы коммутации, ориентируясь исключительно на контент [3,4]. Кроме того, имеется некоторое отличие в начальной организации процедуры взаимодействия ПУ и LEA с оператором связи, о чем будет сказано ниже. С учетом этих двух нюансов, законный перехват сообщений LI используется в этой статье как синоним СОРМ. Законный перехват сообщений определен ETSI как процесс обеспечения общественной безопасности, в котором оператор сети, провайдер доступа/провайдер услуг (NWO/AP/SvP – NetWork Operator/Access Provider/Service Provider) предоставляет официальным уполномоченным лицам доступ к частной информации, например, к телефонным разговорам или сообщениям электронной почты какого-либо лица или организации. Это определение охватывает системы СОРМ в разных странах, внедряющих соответствующее оборудование законного перехвата, разрабатывающих регламентирующие его использование законодательные акты и инженерные решения, создающих международные рабочие группы стандартизации спецификаций СОРМ. Распространение сетей разных типов за пределы национальных границ, происходящее на фоне конвергенции телекоммуникационных технологий и услуг, заставляет иначе взглянуть на процедуры СОРМ в рамках национальных стандартов, выдвигая на первый план концепцию стандартов ETSI. К тому же в ней, помимо охвата традиционной и сотовой телефонии, предполагается реализация процедур LI для услуг Интернета, таких как: web-серфинг, e-mail, чат, ICQ, IP-телефония, ftp, telnet и др. Исследуются проблемы зашифрованного трафика: безопасной e-mail (PGP, S/MIME), безопасного серфинга с использованием HTTPS (SSL, TLS), VPN (IPSec), зашифрованной IP-телефонии (pgp-phone, Nautilus) и т. д., для решения которых рассматриваются два пути – дешифрование информации перед ее 2 Журнал «Вестник связи», №9, 2005 передачей к средствам мониторинга, принадлежащим правоохранительным органам, или обеспечение этим органам доступа к ключам шифрования. Таблица 1 Участники процесса законного перехвата сообщений и их роли Участник Роль Уполномоченный орган (суд) Правоохранительный орган (LEA) Сетевой оператор (NWO) Провайдер услуг (SvP) Провайдер доступа (АР) Объект наблюдения Производители телекоммуникационного оборудования Судебный или административный орган выдает LEA законное разрешение – ордер на перехват сообщений LEA обращается к NWO/AP/SvP для перехвата информации согласно ордеру и получает результаты перехвата (СС и IRI), касающиеся определенного объекта. Несколько LEA могут в одно и то же время запросить перехват информации соединений одного и того же объекта Оператор NWO эксплуатирует сеть связи и отвечает за обеспечение перехвата информации и ее передачи в LEA через HI. Несколько NWO могут использоваться для перехвата информации соединения одним и тем же LEA Провайдер услуг SvP предоставляет пользователям услуги в дополнение к существующим на сети и отвечает за поддержку организации перехвата сообщений в NWO Провайдер доступа АР обеспечивает доступ пользовательского терминала к сети связи Объект наблюдения, который является пользователем услугами NWO/AP/SvP, соответствует идентификатору перехвата. Под идентификатором перехвата понимается технический параметр, например, списочный номер объекта наблюдения, причем один объект наблюдения может иметь несколько идентификаторов перехвата. Ни объект наблюдения, ни другие стороны, вовлеченные им в связь, не должны быть способны обнаружить факт перехвата Производители обеспечивают реализацию соответствующих элементов архитектуры законного перехвата в производимом оборудовании, которое развернуто и используется NWO/AP/SvP. Функциональные возможности оборудования разных производителей должны обладать возможностью объединения в общей телекоммуникационной инфраструктуре Европейские стандарты Общеевропейские стандарты законного перехвата сообщений стремятся гармонизировать национальные документы, опираются на них и, в конечном итоге, призваны их заменить. Схема законного перехвата сообщений согласно общеевропейской концепции показана на рис. 1. Правоохранительный орган LEA (Law Enforcement Agency) при намерении организовать процедуру законного перехвата сообщений подает через уполномоченный орган, например, суд, заявку на получение ордера, представляемого затем в NWO/AP/SvP через административный интерфейс НИ. Когда ордер получен, средства мониторинга, принадлежащие правоохранительному органу LEMF (Law Enforcement Monitoring Facility), получают через порты интерфейса HI2 и HI3 информацию соединения СС (Content of Communication), а также связанную с перехватом информацию IRI (Intercept Related Information) о телекоммуникационных услугах, соединениях, включая неуспешные попытки вызовов, о местонахождении пользователя и т. п. 3 Журнал «Вестник связи», №9, 2005 Рис. 2. Функциональная архитектура СОРМ согласно концепции ETSI Ордер может описывать IRI и СС для конкретного случая перехвата, период действия и предмет перехвата, адрес абонента, телекоммуникационные услуги и т. д. Для различных правоохранительных органов и разных случаев могут применяться разные ограничения, устанавливаемые национальными законодательствами и зависящие от абонентских услуг и сетей, которые используются для перехвата. Общеевропейские же спецификации содержатся в двух основных стандартах ETSI. Первый из них, ETSI TS 101 671 "Telecommunications security; Lawful Interception (LI); Handover interface for the lawful interception of telecommunications traffic" [3], определяет интерфейс взаимодействия с техническими средствами правоохранительных органов, ведущими мониторинг, и является в определенном смысле рамочным, предполагающим возможность выбора элементов спецификации интерфейса для того, чтобы соответствовать национальному законодательству, национальным требованиям и правилам конкретного правоохранительного органа. В стандарте ETSI ES 201 158 "Telecommunications security; Lawful Interception (LI); Requirements for network functions" [4] определяются требования к сетевым функциям и детализируется обобщенная структура реализации законного перехвата сообщения, причем для каждой страны возможна ее трансформация в соответствии с национальным законодательством. В определяемой этими стандартами концепции ETSI упоминаются участники процесса СОРМ, приведенные в табл. 1 вместе с их ролями. Механизмы организации СОРМ т концепции ETSI Рассмотрим алгоритм организации законного перехвата сообщений в рамках концепции ETSI. Базируясь на приведенном в табл. 1 перечне, рассмотрим действия участников процесса законного перехвата в упрощенном виде: Шаг 1. LEA запрашивает у уполномоченного органа разрешение на ведение законного перехвата. 4 Журнал «Вестник связи», №9, 2005 Шаг 2. Уполномоченный орган выдает LEA ордер на ведение законного перехвата Шаг 3. LEA передает законное разрешение NWO/AP/ SvP, который, в свою очередь, определяет объекты наблюдения и контрольные идентификаторы, соответствующие полученному ордеру. Шаг 4. NWO/AP/SvP организует перехват сообщений для/от определенных объектов наблюдения. Шаг 5. NWO/AP/SvP сообщает LEA о готовности к законному перехвату сообщений конкретного объекта наблюдения. Шаг 6. NWO/AP/SvP получает сведения об IRI и СС контролируемого объекта. Шаг 7. Данные об IRI и СС контролируемого объекта передаются от NWO/AP/SvP к LEMF/LEA. Шаг 8. По запросу LEA или по истечении периода действия законного разрешения на перехват NWO/AP/SvP прекращает процедуру перехвата. Таблица 2 Международные стандарты СОРМ Версия Название Организация Номер ETSI EG 201 040 V1.1.1 (1998-04) ETSI ETSI EG 201 781 EN 301 040 V1.1.1 (2000-07) V2.0.0 (1999-06) ETSI ETSI ES101 909-20.1 V0.0.11 (2002-11) ES 101 909-20.2 ES201 158 V1.2.1 (2002-04) ETSI ES 201 671 V2.1.1 (2001 -09) ETSI ETR 331 (1996-12) ETSI ETR 363 (1997-01) ETSI TR101 514 V8.0.0 (2001-05) ETSI TR 101 750 V1.1.1 (1999-11) ETSI TR 101 772 V1.1.2 (2001-12) ETSI TR 101 876 V1.1.1 (2001-01) ETSI TR 101 943 V1.1.1 (2001-07) 5 Terrestrial Trunked Radio (TETRA); Security; Lawful Interception (LI) interface; Feasibility study report Intelligent Networks (IN); Lawful Interception Terrestial Trunked Radio (TETRA); Security; Lawful Interception (LI) interface Cable IP Handover for Voice and Multimedia Cable IP Handover for data Telecommunications Security; Lawful Interception (LI); Requirements for Network Functions Telecommunications Security; Lawful Interception (LI); Handover Interface for the Lawful Interception of Telecommunications Traffic (revised version) Security Techniques Advisory Group (STAG); Definition of user requirements for lawful interception of telecommunications; Requirements of the law enforcement agencies Digital cellular telecommunications system; Lawful Interception requirements for GSM (GSM 10.20 version 5.0.1) Digital Cellular telecommunications system (Phase 2+); Lawful Interception requirements for GSM (GSM 01.33 version 7.0.0 Release 1998) Telecommunications and Internet Protocol Harmonization Over Networks (TIPHON); Security; Studies into the Impact of lawful interception Telecommunications and Internet Protocol Harmonization Over V1.1.2 (2001-12) Networks (TIPHON) Release 3; Service independent requirements definition; Lawful interception top level requirements Telecommunications security; Lawful Interception (LI); Description of GPRS HI3 Telecommunications Security; Lawful Interception (LI); Concepts of Interception in a Generic Network Architecture. Журнал «Вестник связи», №9, 2005 ETSI TR 101 944 V1.1.2 (2001-12) ETSI TR 102 053 V1.1.2 (2001-12) ETSI TR 141 033 V5.0.0 (2002-06) ETSI TS 101 040 V1.1.1 (1997-05) ETSI TS101 331 V1.1.1 (2001-08) ETSI TS101 507 V8.0.1 (2001-06) ETSI TS101 509 V8.1.0 (2000-12) ETSI TS101 671 V2.8.1 (2003-11) ETSI ETSI TS 101 861 TS 102 232 V1.2.1 (2002-03) V1.1.1 (2004-02) ETSI TS 102 233 V1.1.1 (2004-02) ETSI TS 102 234 V1.1.1 (2004-11) ETSI TS 133 106 V5.1.0 (2002-09) ETSI TS 133 107 V5.6.0 (2003-09) ETSI TS 133 108 V5.6.0 (2003-12) ETSI DTS/TIPHON03020 vl.0.1 (2002-11) IETF 2003-10 США: ATIS draft-baker-slemarchitecture-02.txt draft-baker-slemmib-00 T1.678-2004 США: ATIS T1.724-2004 2004-01 США: TIA 2003-02 США: РС1А TIA/EIA/IS-JSTD-025-A Standard 1 Lawfully Authorized Electronic Surveillance (LAES) for Voice over Packet Technologies in Wireline Telecommunications Networks UMTS Handover Interface for Lawful Interception Lawfully Authorized Electronic Surveillance V.1.3 (2000-05) CALEA Specification for Traditional Paging США: РС1А Standard 2 V.1.3 (2000-05) CALEA Specification for Advanced Messaging IETF 2003-10 2004-01 6 Telecommunications Security; Lawful Interception (LI); Issues on IP Interception Telecommunications security; Lawful Interception (LI); Notes on ISDN lawful interception functionality Digital cellular telecommunications system (Phase 2+); Lawful Interception requirements for GSM (3GPP TR 41.033 version 5.0.0 Release 5) Terrestrial Trunked Radio (TETRA); Security; Lawful Interception (LI) interface Telecommunications security; Lawful Interception (LI); Requirements of Law Enforcement Agencies Digital cellular telecommunications system (Phase 2+); Lawful Interception - Stage 1 (GSM 02.33 version 7.3.0 Release 1998) Digital cellular telecommunications system (Phase 2+); Lawful interception; Stage (GSM 03.33 version 8.1.0 Release 1999) Telecommunications security; Lawful Interception (LI); Handover interface for the lawful interception of telecommunications traffic Time Stamping Profile Telecommunications security; Lawful interception; Handover specification for IP delivery Telecommunications security; Lawful interception; Service specific details for E-Mail delivery Telecommunications security; Lawful interception; Service specific details for Internet Access Services Universal Mobile Telecommunications System (UMTS); 3G Security; Lawful interception Requirements Universal Mobile Telecommunications System (UMTS); 3G Security; Lawful interception Architecture and Functions Universal Mobile Telecommunications System (UMTS); 3G security; Handover interface for Lawful Interception (LI) TIPHONTM Release 4; Functional Entities, Information Flow and Reference Point Definitions; Lawful Interception Cisco Architecture for Lawful Intercept In IP Networks Cisco Lawful Intercept Control MIB Журнал «Вестник связи», №9, 2005 США: РС1А Германия Standard 3 TRTKU Нидерланды (TR FUV) TIIT Великобритания NHIS V.1.3 (2000-05) CALEA Specification for Ancillary Services Version 4.0 (2003-04) Technical Directive setting forth Requirements relating to the Implementation of Legal Measures for the Interception of Telecommunications V1.0.0 (2002-09) Transport of Intercepted IP Traffic V1.0 (2002-05) National Handover Interface Specification Шаг 9. NWO/AP/SvP объявляет LEA о прекращении процедуры законного перехвата. Для специальных команд, реализующих перехват, как правило, требуются следующие параметры: • идентификатор перехвата; идентификатор объекта—параметр, определяемый в ордере, например, указанный номер; • адрес средств ведения мониторинга правоохранительным органом (ПУ) для передачи СС; • адрес средств ведения мониторинга правоохранительным органом для передачи IRI; • адресные параметры для средств ведения мониторинга правоохранительным органом (например, для аутентификации и безопасности); • резервный маршрут; • идентификаторы NWO/AP/SvP. Синтаксис необходимых команд может различаться в национальных применениях. В отечественных системах СОРМ, например, он определяется выбранным протоколом Х.25. В условиях современной телекоммуникационной сети объект наблюдения может подписаться на услуги, предлагаемые несколькими провайдерами SvP, и имеет возможность выбрать один или более доступов АР (двухпроводная абонентская линия, ADSL-модем и др.) и операторов сети связи NWO (местная телефонная сеть, оператор междугородной связи и др.). Такая ситуация требует сотрудничества между операторами и провайдерами услуг при реализации СОРМ. Если SvP использует среду нескольких АР и NWO, необходима организация их взаимодействия для реализации законного перехвата. Для выполнения процедуры перехвата требуется предоставление всей необходимой (но не более) эксплуатационной информации от АР и/или от NWO, касающейся объекта наблюдения и используемых им услуг. В случае совместного предоставления услуг несколькими SvP любому из них предоставляется сетевая эксплутационная информация в объеме, не более чем необходимом для перехвата. Более того, строящаяся сегодня глобальная инфокоммуникационная инфраструктура GII (Global Infocommunication Infrastructure) предусматривает, что в организацию перехвата вовлекаются национальные правоохранительные структуры разных государств, в связи с чем возможны сценарии, где в предоставлении услуги участвуют несколько SvP, расположенных в одной или нескольких странах. Интерфейсы законного перехвата ETSI 7 Журнал «Вестник связи», №9, 2005 Хотя новые сетевые требования к законному перехвату сообщений, возникающие при переходе к NGN, могут привести к пересмотру описываемого ниже интерфейса, сегодня базовый интерфейс законного перехвата ETSI использует три разных порта таким образом, что административная информация, IRI и СС логически разделены между собой. Речь идет о портах НI1, HI2 и HI3 (рис. 2), ориентированных на обмен информацией этих трех типов. Порт НI1 выполняет рассматриваемые ниже административные функции и работает обычно в режиме обмена бумажными носителями. Каналы и протоколы для HI2 и HI3 выбираются в зависимости от используемых сетью технологий, например, временных каналов Е1 и протокола Х.25 в российских сетях связи. Итак, первый из рассматриваемых интерфейсов НI1 – административный – предназначен для обмена административной информацией между LEA и NWO/AP/SvP (рис. 2). Должно быть организовано полное разделение административного интерфейса НИ и технических HI2 и HI3 в самой сети оператора NWO/AP/SvP, чтобы обеспечить требуемую конфиденциальность информации об абонентах, находящихся под контролем. Обычно интерфейс НI1 имеет двунаправленную структуру, что объясняется необходимостью передачи запросов о законном перехвате к NWO/AP/SvP, например, информации об активизации, прекращении перехвата, изменении его параметров в одну сторону, а также для получения соответствующих уведомлений на стороне LEA. Согласно концепции ETSI исключается любая возможность прямого контроля/управления NWO/AP/SvP оборудованием LEMF/LEA. Ручной интерфейс НI1 обычно представлен в виде бумажного документооборота, где LEA на основании выданной лицензии по факсу или письмом отправляет запрос на предоставление услуг законного перехвата. Такая заявка поступает в административный центр. После ее обработки LEA информируется об активизации процедуры перехвата и по интерфейсу HI2 и HI3 в сторону LEA будет поступать информация, относящаяся к вызову (IRI) и содержимому (контенту) связи (СС). Реализацией НI1, альтернативной ручной, является электронный интерфейс, в котором влияние человека на документооборот сводится к минимуму, что, в свою очередь, снижает вероятность ошибок. Для активизации законного перехвата LEA должно предоставить следующую информацию: • идентификатор объекта перехвата; • время выполнения перехвата; • лицензию на законный перехват; • тип информации, требуемой в результате перехвата (IRI, СС или оба); • Н12-адрес LEMF для получения IRI-записей; • Н13-адрес LEMF для пересылки СС-информации; • другую необходимую информацию (механизм доставки через интерфейсы HI2 и HI3, информация о сети и т. д.). Информация от NWO/AP/SvP к LEMF может быть отправлена через интерфейс НИ: после активизации законного перехвата; после его завершения; после изменения параметров активного процесса перехвата; в случае возникновения непредвиденных ситуаций. Второй интерфейс HI2 – интерфейс передачи информации, относящейся к вызову, – предназначен для транспортировки IRI от NWO/AP/SvP к LEMF/LEA с помощью 8 Журнал «Вестник связи», №9, 2005 выбранного для существующей сетевой инфраструктуры протокола передачи данных, например, Х.25, протокола В- или D-канала ISDN по Рекомендации МСЭ-Т Х.31, TCP/IP и др. Протоколы, используемые для кодирования и передачи данных, основываются на стандартизованных протоколах передачи данных, таких как ROSE или FTP. На уровне представления семиуровневой модели OSI используются правила шифрования BER (Basic Encoding Rules). Индивидуальные IRI-параметры кодируются с использованием ASN.1. Формат информационных элементов может быть заимствован из стандартных протоколов (ISUP, DSS1, MAP и IP). Сами IRI-записи передаются индивидуально, хотя возможна и групповая их доставка, если они предназначены для одного LEA и это не противоречит временным ограничениям доставки IRI. Именно из-за временных ограничений IRI-записи, как правило, пересылаются немедленно без накопления. Они содержат обычную информацию оператора или провайдера, связанную с сетевыми процессами обработки, а также информацию для идентификации и управления, соответствующую порту HI2. Для передачи всей необходимой информации через интерфейс HI2 определены следующие типы записей: • IRI-BEGIN – передающаяся в начале и открывающая начало IRI-транзакций; • IRI-END – закрывающая сеанс передачи записей IRI; • IRI-CONTINUE – передается в любой момент сеанса передачи записей IRI, относящихся к каждому вызову (начало, активная фаза, завершение). В процессе сеанса могут передаваться записи IRI-CONTINUE, содержащие данные о вызове и СС-информацию. Кроме записей этих трех типов имеется и четвертая – IRI-REPORT, которая предназначена для передачи информации о действиях абонента, не связанных с вызовом, например, при изменении набора дополнительных услуг. 9 Журнал «Вестник связи», №9, 2005 Рис. 3. Пример импортной системы законного перехвата Третий интерфейс HI3 – интерфейс передачи содержимого связи. Он предназначен для транспортировки информационного потока СС (содержания телефонного разговора, факса или другого передаваемого контента) от NWO/AP/SvP к LEMF/LEA. В традиционной коммутируемой телефонной сети содержимое связи должно передаваться к LEMF по коммутируемым каналам на скорости 64 кбит/с. Существуют два варианта, зависящие от сетевой инфраструктуры: стандартные соединения ISDN, коммутируемые по требованию LEMF для каждого контрольного сообщения, и использование выделенной сети передачи LI. Заметим, что HI2 и HI3 – логически различные интерфейсы, хотя и предусматривается возможность корреляции потоков данных HI2 и HI3 с помощью общего (со ссылкой) поля данных, вложенного в IRI и СС. Возможность эта ориентируется на сети с коммутацией пакетов, но не используется в сетях с коммутацией каналов. CALEA, российский СОРМ и другие национальные стандарты Североамериканская концепция CALEA (Communications Assistance for Law Enforcement Act) поддерживает интерфейсы, сходные с рассмотренными выше европейскими интерфейсами LI. Придирчивое их сравнение позволяет сделать вывод, что при общей схожести моделей CALEA несколько уступает ETSI в области стандартизации СОРМ для мобильных сетей и GPRS. Не тратя время на детальный анализ CALEA и других национальных апробированных стандартов, приведем в табл. 2, посвященные СОРМ международные стандарты. Основную их часть составляют документы ETSI. Напомним читателям смысл обозначений этих документов: ETSI EG - ETSI Guide; ETSI EN – European Standard – Telecommunications series; ETSI ES - ETSI Standard; ETSI SR – ETSI Special Report; ETSI TR – ETSI Technical Report; ETSI TS – ETSI Technical Specification. В контексте этой статьи нас, разумеется, больше всего интересуют технические спецификации TS, но в табл. 2 стандарты расположены по алфавиту. Инженерным аспектам российской СОРМ посвящена отдельная статья этого цикла, а здесь лишь отметим некоторые детали. В качестве протоколов для HI2 в отечественной СОРМ на первом этапе выбраны: • физический уровень – V.24; • уровень звена данных – LAPB; • сетевой уровень – packet layer X.25. Для передачи речевой информации в HI3 используются каналы 64 кбит/с в тракте Е1. Каналы управления и данных HI2 могут передаваться в 30 и 31 каналах тракта Е1. Варианты реализации Сегодня на телекоммуникационном рынке имеется целый ряд решений СОРМ в рамках концепций ETSI и CALEA для сетей стационарной и мобильной связи, которые сведены в табл. 3. Предложенная в ней классификация оборудования СОРМ предусматривает четыре области его применения: доступ к коммутационным узлам и 10 Журнал «Вестник связи», №9, 2005 станциям, преобразование информации СОРМ в интерфейсах HI2 и HI3, сбор данных СОРМ и осуществляемый в ПУ (LEMF) анализ информации СОРМ. Разделение систем по этим классам несколько условно и базируется преимущественно на информации самих компаний, поэтому для правильного восприятия данных табл. 3 читателю рекомендуется принимать во внимание некоторые коэффициенты из законов Мерфи: утверждения производителя о параметрах оборудования нужно умножать на коэффициент 0,5; утверждения продавца о параметрах системы нужно умножать на коэффициент 0,25; планируемые сроки ввода новых функций нужно умножать на коэффициент 2,0. В табл. 3 полезно отметить некоторые импортные системы, в частности: • разработку компании ADC, известную раньше как SS8, которая используется в сетях спутниковой связи и базируется на весьма оригинальном аппаратном обеспечении; • систему израильской компании Verint, известную прежде как Comverse Infosys и эксплуатирующуюся, например, в сетях Израиля и Голландии; • систему Accuris с концентрацией трафика, системы Pine, Nice, Aqsacom, Digivox, поддерживающие упоминавшиеся выше стандарты законного перехвата сообщений, включая европейский ES 201671 и американский CALEA. Они разработаны как для стационарных, так и для мобильных сетей связи, контролируют все соединения с участием объекта наблюдения и передают информацию одному или нескольким LEMF/LEA. Любопытна опубликованная в [1] оценка стоимости реализации СОРМ для вышеупомянутых импортных систем, колеблющаяся в диапазоне от 100 тыс. до 700 тыс. евро. Отечественных систем СОРМ, функционирующих в составе Единой сети электросвязи России, всего две (выделенные жирным шрифтом в табл. 3 разработки компаний "Малвин" и "Протей"). В них в качестве основного для HIS поддерживается протокол Х.25 для организации перехвата речи и данных заранее маркированных соединений. Для системы Протей, в частности, характерны распределенная архитектура взаимодействия с удаленными модулями, управляемыми по защищенным IP-сетям, и возможность передачи данных об объектах наблюдения одновременно нескольким пунктам управления LEMF/LEA, включая и уникальные переносные пункты управления. Обе системы используют единое решение как для мобильных, так и для стационарных сетей. Несколько подробнее об инженерных аспектах реализации российского стандарта СОРМ мы поговорим в следующих статьях этого цикла, а здесь приведем представленный на рис. 3 пример построения функции законного перехвата на базе одной из приведенных в табл. 3 импортной системы. Таблица 3 Производители программно-аппаратных средств СОРМ Компания Accuris Acecom ADC (SS8) Aqsacom Функции СОРМ Доступ X X X Преобразование X X X 11 Сбор данных X X X X Анализ - Журнал «Вестник связи», №9, 2005 Arpege Bartec Cetacean Cisco Codem EDI Ericsson ETI i2 JSI Juniper Lucent Малвин Marconi Motorola Narus Nice Nokia Nortel Orion Pen-Link Pine Протей Raytheon Roke Manor Septier Siemens Soghi Spectronic Syborg SyTech TopLayer Utimaco Verint X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X X - Перспективы развития В качестве ближайших перспектив, с учетом анализа исследований и тенденций развития техники и технологии, специалистами ETSI предполагается дальнейшее расширение возможностей систем законного перехвата и создание соответствующих стандартов по следующим направлениям: • широкополосные сети; • свободный анонимный доступ к WLAN; • IP мультимедиа подсистемы IMS в сетях UMTS: • HI2 – перехват SIP-сообщений; • Н13 – для RTP/RTCP-трафика. Эта проводимая ETSI работа по созданию и принятию стандартов в области систем законного перехвата уже сегодня позволяет использовать не только национальные, но и 12 Журнал «Вестник связи», №9, 2005 общеевропейские механизмы, которые со временем полностью заменят национальные спецификации в европейских странах. С инженерной же точки зрения, представляется весьма полезным изучение российскими специалистами мирового и общеевропейского опыта создания и эксплуатации систем законного перехвата сообщений, являющегося материалом этой статьи. Литература 1. Jaya Baloo. Lawful Interception of IP traffic: the European context. Blackhat, Las Vegas. July 2003. 2. B.C. Гольдштейн. Системы коммутации. Учебник для ВУЗов. 2-е издание, доп. и испр.//СПб.: BHV-2004. 3. ETSI TS 101 671. Telecommunications security; Lawful Interception (LI); Handover interface for the lawful interception of telecommunications traffic. 4. ETSI ES 201 158 Telecommunications security; Lawful Interception (U); Requirements for network functions 5. www.niits.ru 6. B.C. Гольдштейн, А.В. Зарубин, А.В. Пинчук Инженерные аспекты СОРМ в сетях NGN/Вестник связи. - 2005 (в печати) 13 Журнал «Вестник связи», №10, 2005 ИНЖЕНЕРНЫЕ АСПЕКТЫ СОРМ В СЕТЯХ NGN Б.С. ГОЛЬДШТЕЙН, заместитель директора ЛОНИИС, заведующий кафедрой СПбГУТ, доктор технических наук, А.А. ЗАРУБИН, доцент СПбГУТ, кандидат технических наук, А.В. ПИНЧУК, директор Научно-технического центра "Протей" Не стремись слышать все, ибо услышишь, как твой раб злословит тебя. Екклезиаст Как уже обсуждалось в [1], когда при сегодняшних терактах, человеческая жизнь ценится дешевле, чем во времена написания строк, взятых в качестве эпиграфа, стремление спецслужб не только слышать, но и видеть, читать и получать любую передаваемую по сетям связи мультимедийную информацию с целью предотвратить преступление является вполне оправданным. В результате конвергенции сетей и услуг связи эта информация начинает концентрироваться в сетях связи следующего поколения NGN (Next Generation Network). Среди услуг NGN мы выделим важные в контексте реализации СОРМ: • речевое соединение (двустороннее или в режиме конференцсвязи) между пользователями сетей с коммутацией каналов (TDM-сетей) и сетей IP-телефонии; • услуги Интеллектуальной сети – переадресация, бесплатный вызов, телеголосование, вызов по карте и пр.; • доступ пользователей к IP-сети, предполагающий, в частности, обмен сообщениями электронной почты (e-mail), использование систем интерактивного обмена текстовыми сообщениями (chat), обмен НТТР-трафиком, обмен данными FTP и т. д.; • в перспективе – видеосвязь между пользователями. На начальных этапах развертывания NGN основной услугой будет оставаться голосовое соединение между пользователями сети с использованием аналоговых и цифровых (ISDN) телефонных аппаратов, подключаемых к NGN через универсальные устройства доступа. Однако организация этого соединения в NGN имеет принципиальные отличия от его установления в традиционных телефонных сетях с коммутацией каналов. Это связано с тем, что медиатрафик (речь) и сигнальная информация для управления обслуживанием вызова в NGN передаются по различным маршрутам и обрабатываются разными сетевыми устройствами, а не единым узлом коммутации (АТС). Медиатрафик проходит, как правило, непосредственно между шлюзами доступа (например, мультисервисными абонентскими концентраторами – МАК) или транспортными шлюзами. Сигнализация управления обслуживанием вызова проходит 1 Журнал «Вестник связи», №10, 2005 через программные коммутаторы Softswitch [2], а в более простых случаях – через прокси-серверы SIP или привратники Н.323, но всегда не там, где медиашлюзы и медиатрафик. Аналогичная проблема наблюдается также при предоставлении услуги сеансового доступа пользователя к сети IP, когда узел сети, отвечающий за идентификацию пользователя, не участвует в передаче пользовательской информации. Отсюда – невозможность получения пользовательской информации для СОРМ от единого устройства управления, определяющего параметры соединения по номерам вызывающего или вызываемого пользователя. Новый элемент NGN – пограничный контроллер сессий SBC (Session Border Controller), где естественным образом сходятся маршруты медиатрафика и сигнализации, – позволяет решить эту задачу в частных случаях. Но необходимость полного охвата СОРМ в сети связи требует общего решения для всех возможных вариантов архитектуры NGN. Это решение вынуждает реализовать функции СОРМ одновременно в нескольких сетевых устройствах, в том числе: • в устройстве управления сетью (Softswitch, привратник, SIP-прокси) с целью постановки на контроль пользователя сети и получения относящейся к его вызову служебной информации; • в устройстве сети, отвечающем за перенос пользовательской информации, с целью ее получения в интересах правоохранительных органов. В [1] упоминалось, что требования к организации функций СОРМ для отечественных NGN будут оставаться весьма похожими на требования к законному перехвату сообщений ETSI и в некоторой степени на IETF и CALEA, согласно приведенной там табл. 2. Единственным отличием, скорее всего, будет организация взаимодействия между правоохранительными органами, в европейских стандартах именуемыми LEA (Law Enforcement Agency), и оператором/провайдером NWO/AP/SvP (NetWork Operator/ Access Provider/Service Provider) через интерфейс НI1. Это отличие не оказывает существенного влияния на рассматриваемые здесь инженерные аспекты СОРМ, затрагивающие преимущественно интерфейсы HI2 и HI3 из стандартов ETSI. Реализацию этих интерфейсов, т. е. взаимодействие между пунктом управления ПУ СОРМ, в европейских спецификациях именуемым LEMF (Law Enforcement Monitoring Facility), и оборудованием оператора NWO/AP/SvP, предлагается производить путем использования специального устройства – Посредник 2 Журнал «Вестник связи», №10, 2005 СОРМ (SORM Mediation). Оно, в свою очередь, связано с устройствами управления NGN – Softswitch, медиашлюзами, абонентским доступом, а также с маршрутизаторами сети IP. Посредник СОРМ в данном случае будет исполнять роль конвертера сигнализации, аналогичного известным в отечественных сетях разработкам Протей или Малвин, а также конвертера (шлюза) медиапотоков для доставки пользовательской информации к ПУ СОРМ. Такая архитектура представлена на рис.1. Здесь ПУ СОРМ – это пункт управления, применяющийся в существующих традиционных сетях с коммутацией каналов и связанный через интерфейсы 1 с Посредником СОРМ. Интерфейс 1 является стандартным интерфейсом команд и ответов СОРМ, аналогичным применяющимся в существующих сетях ТОМ. Рис. СОРМ в NGN Интерфейс 2, используемый для взаимодействия Посредника СОРМ и устройства управления сетью с целью поставить пользователей на контроль, получать уведомления об их действиях в сети и пр., может быть не стандартным, а предлагаемым разработчиком интерфейсом. Согласование интерфейсов 1 и 3 обеспечивается Посредником, тем самым достигается независимость функций СОРМ от оборудования разных производителей. Интерфейс 3 между Посредником и медиашлюзами (устройствами доступа или оборудованием транспортного уровня) предназначен для получения пользовательской 3 Журнал «Вестник связи», №10, 2005 информации и тоже может настраиваться на определенный тип оборудования. Указанная схема близка к предложениям об обеспечении функций СОРМ, разработанным ETSI, что будет показано ниже. Но прежде рассмотрим процесс проведения оперативно-розыскных мероприятий в NGN. Он будет выглядеть следующим образом. От ПУ СОРМ к Посреднику поступает стандартная команда поставить на контроль пользователя с некоторым идентификатором (интерфейс 1). Посредник обеспечивает установку триггерной точки для этого пользователя в устройстве управления Softswitch (интерфейс 2), для чего может быть применен нестандартный протокол, предлагаемый разработчиком. При активизации триггерной точки Softswitch передает информацию об этом событии через интерфейс 2 к Посреднику, а далее эта информация поступает в ПУ СОРМ. Если необходимо произвести съем пользовательской информации, то по соответствующей команде от ПУ СОРМ Посредник через интерфейс 3 настраивает оборудование доступа или транспортного уровня на копирование пользовательского потока данных и передачу его к Посреднику. Затем эта информация передается в приемлемой форме к ПУ СОРМ. Заметим, что такой подход соответствует документам ETSI [3 – 6] и комитета IETF [7] в области стандартизации решений СОРМ для NGN, разумеется, с учетом вышеупомянутых отличий российской СОРМ от законного перехвата сообщений по ETSI [1]. В концепциях, предлагаемых указанными организациями, основой СОРМ тоже является вышеупомянутый Посредник или Mediation Device (MD) – устройство, принимающее от пункта управления СОРМ запросы съема информации и определяющее посредством взаимодействия с сетевым устройством управления элемент сети, который обеспечивает транзит пользовательской информации. Съем и передачу в ПУ СОРМ пользовательской информации также производит этот Посредник. Съем информации может производиться по нескольким сценариям, приведенным на рис. 1. В первом из них для копирования информации используется интерфейс За между Посредником и устройством доступа (например, мультисервисным абонентским концентратором), во втором сценарии съем пользовательской информации производится с одного из маршрутизаторов транспортного уровня NGN через интерфейс 3b. 4 Журнал «Вестник связи», №10, 2005 Реализация интерфейса 3b между Посредником СОРМ и узлом транспортной сети (маршрутизатором) или специализированным устройством транзита медиапотоков (например, RTP-прокси) удобна в случае применения IP-телефонов, подключаемых к NGN без участия устройства доступа, такого как МАК. При этом для всех подобных терминалов сети или терминалов и идентификаторов пользователей, поставленных на контроль, может быть предусмотрен единый узел, в котором и будет производиться съем информации. Кроме того, при использовании в сети таких терминалов необходимо предусмотреть механизмы принудительной маршрутизации к устройству управления сетью относящейся к ним сигнальной информации и данных. Рассмотрим более детально процесс съема пользовательской информации. Сразу же отметим, что предлагаемая авторами архитектура близка к принципам, изложенным в документах IETF [7] и ETSI [3 – 6]. На рис. 2 представлена предлагаемая в документах IETF и ETSI архитектура, а на рис. 3 – архитектура для СОРМ, реализованная авторами. На рис. 2 показаны следующие элементы архитектуры законного перехвата сообщений в NGN. Это LI AF (Llawful Intercept Admin Function) – функция, обеспечивающая передачу в приемлемом для сети виде запроса от LEA к Посреднику СОРМ поставить на контроль того или иного пользователя. Нужное преобразование и отправка запроса к Посреднику СОРМ может производиться с участием уполномоченного человека. Рис. 2. Архитектура законного перехвата по IETF и ETSI 5 Журнал «Вестник связи», №10, 2005 Сам Посредник СОРМ, названный Mediation Device (MD), – устройство, взаимодействующее с другими сетевыми устройствами с целью контроля действий пользователя в сети и съема пользовательской информации, которое конвертирует перехваченный трафик в требуемый LEA формат. Если несколько LEA контролируют одного и того же пользователя, MD должен создавать и отправлять копии перехваченной информации к каждому LEA. Действующие параллельно правоохранительные органы не имеют при этом информации друг о друге. IAP (Intercept Access Point) – устройство, предоставляющее MD информацию о действиях пользователя в сети, или устройство, с которого производится съем пользовательской информации. Существуют два типа IAP: IRI IAP (Intercept Related Information IAP) определяет устройство доступа, обслуживающее пользователя, или маршрутизатор, обрабатывающий поток пользовательских данных. Функции IRI IAP в NGN выполняет, например, Softswitch или сервер аутентификации и авторизации. Content IAP – устройство, через которое проходит пользовательская информация и которое обеспечивает съем этой информации и передачу ее к MD. Между элементами рассматриваемой архитектуры СОРМ действует следующий набор интерфейсов: • НИ – Handover Interface 1, административный интерфейс, через который LEA передает к LI AF запрос поставить на контроль пользователя (имя, паспортные данные и т. п.); • MD PI (MD Provisioning Interface) – интерфейс, управляющий Посредником MD, который переносит такие параметры, как идентификатор абонента, время, в течение которого будет вестись контроль, параметры контроля пользователя и т. д.; • IRI IAP Provisioning Interface – интерфейс с IRI IAP для запроса данных о действиях пользователя в сети и данных, необходимых для съема пользовательской информации; • Content Intercept Provisioning Interface – интерфейс, посредством которого Content IAP получает команду начать съем пользовательской информации; например, для маршрутизаторов Cisco – это команды протокола SNMPv.3; • IRI to MD – интерфейс между IRI IAP и MD, с помощью которого доставляются данные о действиях пользователя в сети и данные, необходимые для съема пользовательской информации; • Content to MD – интерфейс между Content IAP и MD для доставки перехваченной информации к MD; • HI2 – интерфейс между MD и LEA для доставки данных о действиях пользователя; 6 Журнал «Вестник связи», №10, 2005 • HI3 – интерфейс между MD и LEA для доставки пользовательской информации. Возвращаясь от рассмотренной архитектуры IETF/ETSI к российским требованиям СОРМ, рассмотрим схему на рис. 3, являющуюся, по сути, результатом объединения рис. 1 и 2. В ней отсутствует интерфейс НИ, функции которого частично делегированы HI2; функции прочих интерфейсов практически не изменяются. Для большей наглядности на рис. 3 в скобках указаны также обозначения рис. 2. Рис. 3. Архитектура для СОРМ для NGN Представленная на рис. 3 архитектура апробирована в мультисервисном коммутаторе доступа Протей-МКД, являющемся первым и пока единственным отечественным Softswitch класса 5, в котором полностью реализованы и сертифицированы функции СОРМ. Далее, чтобы не злоупотребить вниманием читателей, описывая собственную разработку вместо СОРМ в МКД, рассмотрим пример весьма близкой реализации законного перехвата в маршрутизаторах компании Cisco [8]. В терминах рассмотренной концепции рис. 2 и 3 они являются Content IAP или транзитными узлами пользовательской информации, соответственно, и обладают следующими возможностями: • позволяют нескольким правоохранительным органам независимо и незаметно вести перехват пользовательской информации; • используют протокол SNMP v.3 в интерфейсе (d), для чего оборудование поддерживает работу со специализированной базой MIB (Management Information Base), так называемой CISCO-TAP-MIB; • ведя перехват пользовательской информации, инкапсулируют ее в UDP-пакеты и передают их на указанный сетевой адрес; 7 Журнал «Вестник связи», №10, 2005 • перехваченная информация пользователей СОРМ. скрывается ото всех, кроме авторизованных Выбор протокола SNMP для управления перехватом информации между Посредником СОРМ сети NGN и узлом, обрабатывающим поток данных контролируемого пользователя, представляется очень удобным с точки зрения реализации интерфейса как на стороне MD, так и на стороне оборудования, переносящего пользовательские данные. Этим достигается определенный уровень стандартизации интерфейса и в то же время его гибкость по отношению к разнотипному оборудованию многочисленных компаний-разработчиков за счет применения индивидуальных для каждого оборудования MIB. Принимая во внимание разнообразие услуг NGN и узлов, их предоставляющих, такой подход может оказаться единственным технически приемлемым. Заключение На основании вышеизложенного можно сформулировать характеристики СОРМ для сетей следующего поколения: • при использовании Посредника СОРМ (MD) достижим порядок взаимодействия ПУ СОРМ с оборудованием сети NGN, не отличающийся от установленных правил взаимодействия ПУ СОРМ с оборудованием традиционных телефонных сетей; • взаимодействие ПУ СОРМ с узлами NGN при посредничестве специализированного устройства MD позволит обеспечить независимость функций СОРМ от оборудования разных производителей, устанавливаемого BNGN; • операции постановки пользователя на контроль, получения относящейся к его связи информации и т. п. реализуются Посредником MD при взаимодействии с Softswitch; • операции съема пользовательской информации (прослушивания речи) могут производиться в устройствах сети доступа (например, мультисервисных абонентских концентраторах или медиашлюзах); возможен также съем пользовательской информации с узлов транспортной сети; • интерфейс между Посредником и устройством управления сетью NGN сегодня не стандартизирован, что требует адаптации Посредника к различным интерфейсам с Softswitch; • интерфейс между Посредником и устройствами уровня доступа или транспортного уровня также не стандартизирован, а наиболее удобной представляется его реализация средствами протокола SNMP. 8 Журнал «Вестник связи», №10, 2005 Литература 1. Б. С. Гольдштейн, Ю. А. Крюков, И. П. Хегай. Инженерные аспекты СОРМ/ Вестник связи. - 2005. № 9. 2. Б.С. Гольдштейн. Системы коммутации. Учебник для ВУЗов. 2-е издание, доп. и испр.//СПб.: BHV-2004. 3. ETSI TR 101 943 V2.1.1 (2004-10). Lawful Interception (LI); Concepts of Interception in a Generic Network Architecture. 4. ETSI TS 101 878 V4.1.1 (2003-11). Telecommunications and Internet Protocol Harmonization Over Networks (TIPHON) Release 4; Service Capability Definition; Service Capabilities for TIPHON Release 4. 5. ETSI TS 102 227 V4.1.1 (2004-05). Telecommunications and Internet Protocol Harmonization Over Networks (TIPHON) Release 4; Functional Entities, Information Flow and Reference Point Definitions; Lawful Interception. 6. ETSI TS 102 232 V1.3.1 (2004-10). Lawful Interception (LI); Handover specification for IP delivery. 7. Baker F., Foster В., Sharp C. Cisco Architecture for Lawful Intercept in IP Networks. IETF RFC 3924, October 2004. 8. Cisco 10000 Series Router. Lawful Intercept Configuration Guide. Version I 1.0. August 2004. 9 Журнал «Вестник связи», №12, 2006 ПРОБЛЕМЫ И РЕШЕНИЯ СОРМ-2 Б.С. ГОЛЬДШТЕЙН, заведующий кафедрой СПбГУТ, Ю.А. КРЮКОВ, научный сотрудник ЛОНИИС, В.И. ПОЛЯНЦЕВ, главный специалист ФАС Информационная безопасность и инженерные проблемы СОРМ-2 Характерная для всех бурно развивающихся отраслей ситуация сложилась с современными телекоммуникациями: их развитие происходит сегодня с заметным опережением формирования необходимых стандартов и апробированных механизмов и подходов. Это в полной мере справедливо для стандартизации функций СОРМ (системы оперативно-розыскных мероприятий) или законного перехвата сообщений LI (Lawful Interception) в терминах Европейского института стандартизации ETSI. И если для традиционной телефонии с коммутацией каналов ситуация со стандартизацией СОРМ [1] обстоит относительно благополучно (не без некоторого участия и авторов этой статьи), то для СОРМ-2 в современных IP-сетях пока гораздо больше открытых вопросов, чем стандартизованных решений. В статье рассмотрены некоторые технические проблемы известных сегодня подходов к СОРМ-2 для IP-сетей, варианты их решений, как апробированные на практике, например, в используемой американским ФБР системе Carnivore/DCS1000 [2], так и предлагаемых пока исключительно на идейном уровне. Принцип функционирования систем законного перехвата сообщений СОРМ-2 заключается в обнаружении в реальном времени попыток контролируемого объекта получить доступ к услугам своего Интернет-провайдера (ISP – Internet Service Provider) и последующем перехвате этой информации. Перехваченная таким образом информация форматируется и передается правоохранительным органам – LEA (Law Enforcement Agency) в терминах ETSI или ПУ (пункт управления) в терминах российского СОРМ. Во всех случаях фактическая процедура реализации функций СОРМ-2 (как, впрочем, и СОРМ-1) определяется двумя составляющими – организационным решением на осуществление перехвата информации от уполномоченного органа и наличием технологии, делающей осуществимым этот перехват. Здесь, как и в телефонных сетях с коммутацией каналов, оператор и/или провайдер услуг юридически обязан развертывать архитектуру СОРМ и рассматривать ее как часть собственной сетевой инфраструктуры. Процедуры законного перехвата сообщений СОРМ-2 начинаются с выделения логина объекта наблюдения в динамически распределяемых IP-адресах. Для этого обычно используется протокол RADIUS (Remote Authentication Dial In User Service), выполняющий функции аутентификации, авторизации и учета ААА (Authentication, Authorization and Accounting). После того, как становится известен IP-адрес контролируемого объекта, механизм СОРМ-2 автоматически реконфигурируется для захвата всего IP-трафика к/от контролируемого IP-адреса так, чтобы иметь возможность интерпретировать, трансформировать и передать перехваченные данные в ПУ. Другой пример – протокол DIAMETER [3], поддерживающий функциональность 1 Журнал «Вестник связи», №12, 2006 ААА как для существующих сетей, так и для сетей связи следующего поколения NGN (Next Generation Network). Еще раз подчеркнем, что процедуры СОРМ-2 в IP-сетях пока не имеют стандартизованных решений. Более того, IETF – организация, которая анализирует развитие Интернета и выпускает соответствующие стандарты по используемым протоколам, фактически отклонила идею включения функциональности СОРМ в свои разработки. В то же время современный Интернет состоит из очень большого числа протоколов, каждый из которых обеспечивает предоставление пользователям разнообразных Интернет-услуг. К тому же стремительный, непрогнозируемый рост популярности услуг Интернета еще более осложняет задачу, так как первоначальные академические цели Интернета были весьма далеки от нынешней проблематики глобальной сети общего пользования. Кроме того, чрезвычайно важное для дальнейшего материала статьи понятие информационной безопасности де-факто было внесено в архитектуру Интернета значительно позже, а на начальном этапе развития, характеризующегося университетской открытостью, ранние протоколы стека TCP/IP основывались на предположении о правильности информации IP-адреса в IP-заголовке и передаче пользовательских имен и паролей в явном виде. Последующее развитие концепции безопасности нашло выражение в принятии спецификации IPSecurity – IPsec, представляющей собой комплект протоколов шифрования, аутентификации и обеспечения защиты при транспортировке IP-пакетов. Обеспечение безопасности актуально в IP-сетях в целом, а в контексте данной статьи создает значительные проблемы для СОРМ-2. Дело в том, что защита пользовательских соединений осуществляется, в частности, с помощью анонимности информации об отправителе и получателе сообщений. При этом подходе не только злоумышленник, но и система СОРМ-2 не смогут перехватывать пользовательский трафик. Не говоря уже о случае перехвата пользовательской информации, когда она шифруется непосредственно конечными пользователями. Вместе с тем, новые Интернет-протоколы поддерживают новые возможности и средства законного перехвата IP-трафика. Речь идет о протоколах RADIUS и DIAMETER. Возможности RADIUS Критериями для законного перехвата IP-трафика, циркулирующего в Интернете, могут выступать IP-адрес, МАС-адрес или ID кабельного модема (по аналогии со списочным номером абонента, используемым в качестве критерия в ТфОП). Кроме того, критерием СОРМ-2 могут являться данные прикладного уровня, например, адреса электронной почты или Instant Messaging ID, пользовательские имена RADIUS. Наиболее полными с точки зрения получаемых возможностей СОРМ-2 являются системы, построенные на основе анализа протокола RADIUS (Remote Authentication Dial In User Service), с помощью которого происходит аутентификация, авторизация и учет ААА (Authentication, Authorization and Accounting) пользователя при попытке доступа в сеть. 2 Журнал «Вестник связи», №12, 2006 Для доступа dial-up в роли пользовательского оборудования выступает компьютер и модем, которые обеспечивают соединение с сетевым сервером доступа MAS (Network Access Server), используя его телефонный номер ТфОП, и получают доступ к ресурсам сети провайдера услуг Интернета. После установления соединения с сетевым сервером доступа пользователь проходит процедуру аутентификации, которая заключается в предоставлении уникального пользовательского имени и пароля. Прежде чем разрешить доступ пользователя к сети провайдера, NAS проверяет правильность предоставленной пользователем информации. Эта процедура аутентификации проводится RADIUS-сервером, который может взаимодействовать со множеством NAS-серверов различных Интернет-провайдеров, использующих протокол RADIUS. Рис. 1. Диаграмма взаимодействия участников СОРМ-2 в IP-сети с RADIUS Среди определенных протоколом RADIUS сообщений наибольший интерес с точки зрения реализации функций СОРМ-2 представляют два – это сообщения запроса доступа Access-Request и разрешения доступа Access-Accept. Сообщение AccessRequest посылается от сетевого сервера доступа к RADIUS-серверу и содержит в своем формате поля, соответствующие имени пользователя и его паролю. Информация о пользовательском имени и пароле представляется в определенной форме – в атрибутах RADIUS User-Name и User-Password. В сети провайдера RADIUS-сервер, выступающий в роли централизованной службы аутентификации, авторизации и учета, после получения от сетевого сервера доступа сообщения Access-Request проверяет пользовательское имя и пользовательский пароль. По результатам проверки пользователь либо получает доступ к сетевым ресурсам, либо ему дается отказ. В первом случае RADIUS-сервер посылает в обратном направлении сообщение Access-Accept, содержащее присвоенный пользователю IP-адрес (Framed-IPAddress), который указывает сетевому серверу доступа IP-адрес, присвоенный пользователю для запрашиваемого доступа. 3 Журнал «Вестник связи», №12, 2006 Процедура прохождения аутентификации предполагает, что специальное устройство – медиатор СОРМ типа XSM – будет анализировать весь трафик, проходящий между сетевым сервером доступа и RADIUS-сервером, с целью распознавания в поле имя пользователя соответствующего критерия СОРМ – пользовательского имени объекта контроля. В случае совпадения этих параметров медиатор СОРМ будет ожидать сообщения Access-Accept от RADIUS-сервера. Соответствие между сообщениями Access-Request и Access-Accept устанавливается с помощью служебных идентификационных полей. Как только медиатор СОРМ получает сообщение Access-Accept, соответствующее критерию СОРМ, происходит процесс его реконфигурации с целью обеспечить перехват всего пользовательского трафика к/от контролируемого объекта, определяемого IP-адресом, указанным в сообщении Access-Accept. Получаемый таким образом пользовательский трафик через соответствующие интерфейсы (в терминах ETSI для этих целей используется интерфейс HI3) передается к ПУ правоохранительных органов. Информация, связанная с перехватом, формируется на основе сообщений Access-Request и Access-Accept и в специальном формате, оговоренном национальным стандартом, через интерфейс HI2 также передается к ПУ. На рис. 1 представлена упрощенная диаграмма взаимодействия всех участников процесса реализации функции СОРМ-2 в сети провайдера Интернет-услуг. В качестве сервера, реализующего функции аутентификации, авторизации и учета, используется RADIUS-сервер. Применение других протоколов для аутентификации, авторизации и учета не будет вносить серьезных изменений в представленный механизм, определяющий общий порядок взаимодействия. Механизм взаимодействия медиатора СОРМ и ПУ при вышеописанной организации функций СОРМ в сети Интернет-провайдера в целом незначительно отличается от уже функционирующего в сетях доступа. Основные отличия будут наблюдаться на участке взаимодействия медиатор СОРМ – ПУ в форматах информации, передаваемой через интерфейсы HI2 и HI3, что нисколько не нарушит сложившуюся практику и методологию СОРМ. Заметим, что текущая версия протокола RADIUS ориентируется на аутентификацию пользователей по версии Интернет-протокола IPv4. Для обеспечения процедуры аутентификации пользователей Интернет-услугами следующей версии Интернетпротокола IPv6 в протокол RADIUS добавляются некоторые сообщения, например, Framed-Interface-Id и Framed-IPv6-Prefix, определяющие для сетевого сервера доступа идентификатор интерфейса и префикс, которые были предоставлены сервером RADIUS пользователю, запрашивающему услугу IPv6. Помимо вышеупомянутых сообщений, новая спецификация определяет, что если RADIUS-сервер полностью поддерживает архитектуру аутентификации для IPv6, то он должен также поддерживать возможность использования IPsec, о чем говорилось в предыдущем разделе статьи. Из этого следует, что сообщение Access-Request, передаваемое от сетевого сервера доступа к RADIUS-серверу, и сообщение Access-Accept от RADIUS-сервера к сетевому серверу доступа будут содержать информацию (имя пользователя и IP-адрес) в зашифрованном виде. Таким образом, для медиатора СОРМ исключается возможность определить IP-адрес контролируемого объекта. 4 Журнал «Вестник связи», №12, 2006 Для решения этой проблемы возможно использование двух путей – доступность медиатору СОРМ ключей шифрования или реализация сценария взаимодействия пользователь – сетевой сервер доступа – RADIUS-сервер – медиатор СОРМ, при котором последнему информация передается в незашифрованном виде. Рис. 2. ESP расширение заголовка для IPv6 Возможности DIAMETER Протокол DIAMETER был разработан рабочей группой IETF, занимающейся вопросами аутентификации, авторизации и учета, для поддержания этой архитектуры в сетях связи следующего поколения. Этот протокол предназначен для использования в существующей инфраструктуре, а также мобильных IP-сетях, для поддержки роуминга и пр. В добавление к этому отметим, что DIAMETER полностью поддерживает вышеупомянутую функциональность RADIUS, также выполняя задачи аутентификации, авторизации и учета. Основной протокол обычно используется в соединении с прикладным приложением DIAMETER, которое определяет специфические детали, используемые этим приложением, например, приложение DIAMETER Mobile IPv4 или DIAMETER для сетей доступа. В этом случае DIAMETER-клиент, поддерживающий определенное приложение DIAMETER, связывается с DIAMETER-сервером, который также поддерживает определенную спецификацию приложения DIAMETER. Для передачи в DIAMETER-сервер необходимой для аутентификации, авторизации и учета информации протоколом DIAMETER используется модель данных AVP (Attribute-Value Pair), т. е. представления вида <имя атрибута, величинах>. В данном случае AVP состоит из специального AVP-кода и идентификатора отправителя для определения уникальных признаков, а также их оценки. Формат DIAMETERсообщений разрешает использование множества AVP в сообщении. В качестве примера использования протокола DIAMETER рассмотрим DIAMETERприложение для сетей доступа, которое используется ISP для предоставления сервисов доступа. Литература [4] определяет команды AA-Request и AA-Answer, которые посылаются к и от сервера DIAMETER, соответственно, и обеспечивают процедуру аутентификации пользователя, запрашивающего доступ. Хотя [4] определяет оба этих сообщения, тип данных, формат заголовка и механизмы безопасности, которые используются этим частным приложением, полностью данные определяются базовым протоколом DIAMETER [3]. Подобно числу сетей доступа в вышеупомянутых 5 Журнал «Вестник связи», №12, 2006 сообщениях используются специфические AVR также отличающиеся на уровне приложений. Проблема ESP Выше в статье уже упоминалась разработанная IETF архитектура IPsec для безопасной передачи IP-трафика, определяющая, в частности, контроль доступа, целостность данных, аутентификацию и шифрование. Применение процедур IPsec на хосте или маршрутизаторе призвано защитить принимаемый и передаваемый пользовательский трафик и затрудняет осуществление мероприятий СОРМ-2. Дело в том, что ключевым компонентом этой архитектуры, определяющим как поддерживается шифрование, является расширение заголовка данных для безопасной инкапсуляции данных ESP (Encapsulating Security Payload) [5]. Расширение ESP определено как для трафика IPv4, так и IPv6. Применение ESP может быть осуществлено двумя способами: транспортным и туннельным. Транспортный вариант осуществляет защиту информации на уровнях вышестоящих уровню IP, но не защищает сам IP-заголовок. Туннельный вариант защищает весь IPпакет и подразумевает инкапсуляцию зашифрованных данных, т. е. в этом случае исходный зашифрованный IP-пакет находится внутри другого пакета. На приведенном в качестве примера рис. 2 заголовок верхнего уровня и данные (в этом случае TCP) могут быть зашифрованы и аутентифицированы с помощью ESP. Расширение заголовка ESP размещается до и после внутренних защищаемых полей. Проблемы IPv6 Теперь рассмотрим сценарий развертывания сети, в которой ISP предоставляет сервис IPv6 с реализацией функций ААА на основе протокола DIAMETER. Указанные специальные приложения DIAMETER, расширяющие базовый протокол DIAMETER для данного сценария, определены в [3, 4]. Например, после того, как пользователь набирает номер к сетевому серверу доступа, NAS посылает серверу DIAMETER запрос аутентификации и/или авторизации AA-Request, а в AVP указывает такую информацию, как User-Name и User-Password, соответствующие имени и паролю пользователя. В этом случае сервер DIAMETER отвечает сетевому серверу доступа с помощью сообщения AA-Answer, содержащего соответствующую AVP. В случае предоставления услуг IPv6 в AVP определяются Framed-Interface-Id и FramedIPv6-Prefix, которые сообщают сетевому серверу доступа об идентификаторе интерфейса IPv6 и префиксах, сформированных сервером для пользователя. Эти AVP присутствуют в сообщении AA-Answer, посылаемом от сервера к сетевому серверу доступа, и используются сетевым сервером доступа для информирования пользователя о сформированном IPv6-адресе. В этом случае применимы определенные в базовом протоколе DIAMETER спецификации безопасности. Поэтому связь между сетевым сервером доступа и сервером DIAMETER организуется с использованием ESP IPsec с "ненулевым" алгоритмом шифрования. 6 Журнал «Вестник связи», №12, 2006 Как и в случае использования сервисов IPv6 на основе аутентификации RADIUS, рассматриваемый случай не позволит системе СОРМ-2 определить попытку контролируемого объекта получить доступ к сети Интернет-провайдера или обнаружить, что пользователю были назначены идентификатор интерфейса IPv6 и префикс. Все последующие действия контролируемого объекта, проводимые им на основе выделенного адреса, также не смогут быть перехвачены. Депонирование ключей шифрования Возможным решением вышеизложенных проблем является предоставление системе СОРМ-2 ключей шифрования, используемых ААА-инфраструктурой. Это вариант предоставления ключей в виде их депонирования, т. е. сохранения ключей шифрования в некоей доверенной системе, например, у того же ISP. Это решение депонирования ключей отчасти противоречит желанию обеспечить конфиденциальность передаваемой через IP-сеть информации. Более того, для обеспечения конфиденциальности связи необходимо обеспечить и защиту ISP от возможных внешних вторжений с целью доступа к ключам шифрования. Внешние атаки могут быть инициированы как с целью получения доступа к ключам, используемым для шифрования ААА-сообщений, так и получения ААА-информации, например, такой как присвоенный пользователю IP-адрес, что позволит злоумышленнику совершать несанкционированные перехваты. Протокол законного перехвата информации Другим возможным решением проблем СОРМ-2 в IP-сетях может служить создание специального протокола прикладного уровня, который бы позволял ПУ СОРМ определять моменты начала и окончания использования контролируемым пользователем услуг сети и осуществлять перехват пользовательской информации, циркулирующей к/от определенного IP-адреса. Рис. 3. Диаграмма взаимодействия участников СОРМ-2 в IP-сети с DIAMETER 7 Журнал «Вестник связи», №12, 2006 С помощью такого протокола СОРМ может информировать ААА-сервер, что она нуждается в перехвате пользовательского контента передаваемого/получаемого контролируемым объектом с определенным идентификатором, например, <имя пользователя>@<домен>. В этом случае ААА-сервер, используя тот же самый протокол, информировал бы систему СОРМ о пользовательском логине и используемом объектом контроля IP-адресе для перехвата информации. По окончании пользовательской сессии ААА-сервер или устройство доступа сообщили бы системе СОРМ об окончании сессии для прекращения процедуры перехвата. С использованием такого протокола система законного перехвата могла бы также информировать ААА-сервер об окончании необходимости перехвата информации конкретного объекта контроля. Рис. 3 иллюстрирует сообщения для описанного выше гипотетического случая, представляющего возможное решение изложенной выше проблемы IPv6 и протокола DIAMETER. Показанные на рис. 3 сообщения DIAMETER (между сетевым сервером доступа и ААА-сервером) определены в [3,4]. Вместо заключения Появляющиеся в сетях Интернет-провайдеров системы законного перехвата IPсообщений строятся на основе медиаторов СОРМ, ориентированных на обработку сообщений протокола RADIUS для определения присвоенного объекту контроля IPадреса и последующего перехвата всей циркулирующей к нему/от него информации. Такие медиаторы существуют и для российских стандартов СОРМ, но для будущих сетевых структур СОРМ-2 сетей связи с IPv6 и мобильным IPv6 с ориентированной на DIAMETER архитектурой ААА и с использованием шифрования. Причем, в соответствующем RFC оговаривается использование IPsec с ESP и "ненулевого" алгоритма шифрования. В этом случае критическим для реализации СОРМ-2 будет точная идентификация адресов и местоположения объекта наблюдения, а также использование шифрования информации объекта наблюдения при попытке доступа в сеть. Эти факторы требуют расширения функциональности и сетевых конфигураций систем СОРМ, описанных в этой статье. Разумеется, описанные в качестве примеров возможные решения должны быть развиты и тщательно проанализированы соответствующими специалистами. В целом же выполнение функций СОРМ-2 для IP-сетей является сложной и относительно новой задачей, требующей анализа и обсуждения спецификаций и инженерных решений. Конечной целью посвященных данной тематике исследований является нахождение компромисса между безопасностью связи и ее открытостью для средств СОРМ-2, также обеспечивающих безопасность граждан и государства. 8 Журнал «Вестник связи», №12, 2006 Литература 1. Гольдштейн Б.С., Крюков Ю.А., Хегай И.П. Инженерные аспекты СОРМ/ Вестник связи. - 2005. № 9. 2. Lawful Interception for IP Networks. White Paper, Aqsacom Inc., Tech. Rep., 2004. 3. P. Calhoun, J. Loughney, E. Gutman, G. Zorn, J. Arkko. Diameter Base Protocol, RFC 3588, September 2003. 4. P. Calhoun, G. Zorn, D. Spence, D. Mitton. Diameter Network Access Server Application. 5. S. Kentand, R. Atkinson. IP Encapsulating Security Payload (ESP), RFC2406, November 1998. 6. Крюков Ю.С., Ярыгин А.Г. Процедура законного перехвата IP трафика. Международный опыт, INSIDE, № 6 2005. 7. D. Johnson, С. Perkins, J. Arkko. MobilitySupportinIPv6. 9