七号信令中SCCP协议的安全问题研究

七号信令中SCCP协议的安全问题研究1万黎北京邮电大学计算机科学与技术系，北京 (100876)E-mail：wanlibj@摘要：本文针对SCCP协议的安全问题进行分析，阐明了SCCP协议的安全脆弱性，以及可能发生的安全威胁。

本文的主体分为四个部分：SCCP协议简介，以及SCCP的安全目标，安全脆弱性和安全威胁。

SCCP协议简介部分主要说明了SCCP协议在七号信令中的位置，以及SCCP提供的基本功能和业务；在此基础上分析理想的协议应当达到的安全目标，对比实际协议存在的安全隐患和漏洞，并举例说明了利用这些安全隐患和漏洞可能产生的安全事件。

关键词：No.7信令、SCCP、脆弱性、威胁1.引言信令协议设计之初更注重的是效率，而基本没有考虑安全问题，这就使其存在较多的安全隐患。

但这一问题以往表现得并不十分突出,主要是因为电信网络的信令控制网络是一个专用网络, 但是随着电信业务的发展，随着网络融合与业务能力的开放，信令网已经不再是封闭的安全的网络，作为电信网络的神经系统，信令网的安全问题很快会逐步的暴露出来。

[1]SCCP是七号信令中为了满足电信业务发展的需求而建立起来，加载在MTP3之上用于辅助完成网络传输功能的协议，由于MTP3相对简单，而且与话路相关，所以很多数据和信令的传输是由SCCP来完成的。

如果SCCP的安全隐患被利用，将会产生很严重的后果。

[2]2.SCCP协议简介信令连接控制部分(Signaling Connection Control Part)简称为SCCP。

在No.7信令的分层结构中，它是用户部分之一，属第四功能组(如图1所示)，同时为MTP提供附加功能，以便通过No.7信令网在电信网的交换局和专用中心之间传递电路相关和非电路相关的信息和其它类型的信息，建立无连接或面向连接的业务，构成OSI分层模型中的第三层(网络层)。

1本课题得到国家高技术研究发展计划（863计划）项目“面向下一代电信网的安全测试评估技术及工具”（课题编号：2006AA01Z448）的资助。

图1 No.7信令系统协议组成2.1 SCCP协议的基本功能1)附加寻址功能SCCP提供了附加寻址信息：SCCP的地址是GT(全局码)、DPC和SSN(子系统号)的组合。

SSN是一个信令点中子系统的编号，由它可以定义SCCP的应用用户，它的格式长度为8比特，这样SSN就可以定义28个子系统。

2)地址翻译功能SCCP的地址是GT(全局码)、DPC和SSN(子系统号)的组合。

SCCP能将GT翻译为DPC+SSN或新的GT的组合，以便MTP能够利用这个地址传递消息。

2.2 SCCP协议提供的业务SCCP的业务可分为如下4类：¾0类：基本无连接类¾1类：有序的无连接类¾2类：基本面向连接类¾3类：流量控制面向连接类0和1类为无连接的业务，2和3类为面向连接的业务。

无连接业务是用户事先不建立信令连接就可通过信令网传递信令信息。

SCCP的无连接业务相当于数据网数据业务，0类业务不保证消息的顺序传递，1类业务依靠信令链路码（SLS）可以保证消息按顺序传送到目的地。

面向连接业务是用户在传递数据之前，在SCCP之间交换控制信息，达成一种协议，这个协议包括传递数据的路由、传送业务的类别(是基本面向连接类，还是流量控制面向连接类)，还有可能包括传送数据的数量等。

其中3类比2类多出流量控制，传递加速数据，监测消息丢失和序号错误的能力。

3.SCCP协议的安全目标SCCP协议处于网络层，为了保证信令在SCCP安全的传送和处理，理想的SCCP所应具有的安全机制包括：[3]SCCP协议要考虑到网络上可能出现的特殊情况，不能由于这些情况导致协议工作异常，以保证SCCP乃至信令网络的长时可用性；具备良好的加密机制，使用加密算法对SCCP中传送的敏感数据进行加密，保证数据的完整性；提供一定的安全认证机制，对网络实体进行认证，以防止出现利用SCCP协议进行欺骗，假冒等破坏活动；具备抵御简单攻击的能力；具备在工作异常的情况下的自发现并报警能力，乃至对异常情况的自适应能力。

具备以上几点的SCCP协议就可以称得上是一个比较安全的传输协议，但是这是假设的理想状态，实际情况是SCCP在设计时对安全问题几乎没有做任何的考虑，下面就针对SCCP 的安全脆弱性进行分析。

4.SCCP的安全脆弱性由于设计时缺乏安全的考虑，应该说SCCP的安全脆弱点比较多，大致可以归纳为以下几个方面：SCCP路由翻译配置过程可能对网络异常情况考虑不足，从而产生环路或者某个节点负载过重的情况。

信令网是一个路由静态配置的网络，在某些节点中断服务时，会使用备用路由进行迂回。

但是在这个过程中使用的路由表是人工配置的，如果对于全网的拓扑不够清楚或者考虑不周，就会出现在某些特定情况下产生环路，或者是某些主要节点的负担过重。

（这个问题在5.1还将更具体的阐述）SCCP没有使用任何的加密算法，没有任何的加密机制。

SCCP产生的一个主要原因就是人们需要在信令网上传送一些与电路无关的消息，但是MTP无法满足这个需求，所以SCCP应运而生。

可以想象这些与电路无关的信息可能是十分重要或者十分敏感的，例如一些用户的信息。

而SCCP没有对传输的数据进行加密，一旦恶意的个人或团体能够侦听或接入截取一些数据，这些敏感的信息就会完全的暴露，产生严重的后果。

SCCP没有任何对实体的认证和访问控制能力。

在传统的封闭的信令网络中，所谓认证就是依靠接入电路，能接入就是合法的。

但是这种方式在网络演进后就不再适用，而且实际上即使在封闭的网络中这种方法也不甚科学，因为可以想象封闭网络中的某些节点在特殊情况下可能受到恶意的控制，成为恶意节点。

由于缺乏认证和访问控制的能力，利用已控制的信令点很容易对其他的信令点发起攻击，对其进行欺骗；也可以利用这种漏洞假冒其他的信令点发送消息，并且利用管理模块的缺乏访问控制发送管理信息，导致其他的信令点被误以为停止服务（这种攻击方式也将在下文作具体描述）。

SCCP缺乏抵御一些简单攻击的能力。

如果在信令网中出现了恶意节点，很容易利用SCCP毫无安全防范能力的特点，进行一些简单的攻击，就可以产生很严重的后果。

比如面向连接部分建立连接的过程虽然不是三次握手，但是原理就与TCP类似，可以利用这一点进行拒绝服务的攻击，这种攻击在IP网上很常见也有了很好的防范措施，但是信令网却不一样，即使对一些简单的攻击也几乎并不设防。

SCCP缺少检验数据完整性和真实性的功能，在SCCP传送的数据单元中可以删除或篡改源地址，但是这个数据单元还是同样会被传送，而在对端的节点由于缺乏源地址或地址不准确，使其无法计费或者计费不准。

SCCP缺乏异常检测、报警及自适应能力。

在被攻击或由于自身问题出现异常情况时缺乏异常检测的能力，无法发现报警，导致异常情况不能快速被解决，带来更大的损失。

5.SCCP协议的安全威胁以上是对SCCP协议的一些安全脆弱性进行的分析，但在实际大部分攻击都不可能只局限于一个协议，都是综合利用了系统的安全漏洞，但是可以说一些攻击主要是针对某一个漏洞的，例如SCCP协议，下面就将针对SCCP协议产生的安全威胁进行具体的举例分析。

[4]可以将SCCP协议的安全威胁分成两类，一是由于系统内部网络情况异常带来的安全威胁，二是由于受到攻击而产生的安全问题。

[5]5.1网络情况异常或地址翻译配置不当产生的路由环路图1 SCCP地址翻译形成环路正如2.1中所述，SCCP的地址是全局码（GT），目的点码（DPC）和子系统号码（SSN）三种单元的组合。

如果SCCP的地址是GT时，就需要翻译功能对GT进行翻译，如果翻译结果为DPC+SSN，就是目的地的地址；如果翻译结果实DPC+新的GT，则需要再次翻译。

如果SCCP层的数据设置不当，就有可能在信令网中一直翻译下去，形成SCCP层环路如图2 所示。

同时还有一种更可能的产生SCCP环路的情形，就是在路由数据设置时没有考虑到一些特殊情况，在使用了备用翻译路由时导致出现环路。

在ITU-T的白皮书Q753建议中定义了检测SCCP层环路的方法，称为SCCP路由校验测试（SRVT）。

SRVT方法是在No.7信令网中从一个起源点向一个目的点的所有翻译点传递SRVT消息，通过SRVT消息一侧相互起源点与目的点是否存在环路。

这种方法的优点是可以在No.7信令网中实时的测出起源点与目的点间是否存在SCCP层环路；缺点是要再No.7信令网中装载OMAP（操作维护和管理部分）中的SRVT程序，测试时要在No.7信令网中传递许多SRVT消息和SRVA消息，这样可能影响正常的业务。

此外在SCCP无连接的分段业务具有检测SCCP层环路的功能，分段消息XUDT中有个计数器参数用以记录消息传递过程中的翻译次数，如果翻译次数超过了一定的值（最大为16），认为产生了SCCP层环路，就舍弃此消息。

5.2由于缺乏认证机制导致滥发管理消息造成部分节点服务中断如2.1中所述，SCCP有自己的控制部分，其控制流程可以用图3简单的表示：图2 SCCP控制部分流程节点B的子系统向SCCP发出N－STATE请求原语，请求进入业务中断状态，SCCP 管理系统收到原语后，就向本地的其它子系统广播该子系统进入业务中断状态，同时向有关的信令点广播SSP消息。

节点A的SCCP收到SSP消息后，SCCP管理向子系统发出N－STATE指示原语，指出节点B的某子系统进入业务中断状态，同时周期性地向节点B发出SST消息，验证节点B的被禁止子系统的状态。

当节点B的子系统发出N－STATE请求原语，请求进入业务状态，节点B的SCCP管理收到原语后，就向本地的其它子系统广播该子系统进入业务状态，同时向有关的信令点广播SSA消息。

节点A的SCCP收到SSA消息后，SCCP管理向子系统发出N－TSATE指示原语，指出节点B的中断业务的子系统进入业务状态，同时停止发出SST消息。

此后，节点A就可向节点B的该子系统传送数据。

这样的过程可以帮助网络认识自身的状态，但是由于SCCP本身没有认证和访问控制机制，使这种管理过程变成了双刃剑，可以想象一个恶意节点可以冒充任何正常节点给其他节点不停的发送SSP消息，只要在源地址中填上正常节点的地址就可以让其他的节点认为正常节点中断了服务，虽然他们还会发送SST消息进行探测，但是这样的攻击仍然会给网络带来很沉重的负担，和比较大的破坏。

图3 SCCP中的假冒信令点攻击图4就是恶意信令点STPX假冒STPD发送SSP消息，进行攻击的拓扑图，在发送了SSP消息后，STPB会误以为STPD中断了服务。

STPX不断的伪造其他正常信令点的身份发送这种消息就会给网络造成很大的混乱。