ITU-T H 530 FRENCH-2002 Symmetric security procedures for H 323 mobility in H 510《系列H 视听和多媒体系统 移动性和协作规程 移动多媒体系统和业务的安全性 H 510中的H 323移动性的对称安全规程 16号研究组》.pdf

1、 UNION INTERNATIONALE DES TLCOMMUNICATIONS UIT-T H.530SECTEUR DE LA NORMALISATION DES TLCOMMUNICATIONS DE LUIT (03/2002) SRIE H: SYSTMES AUDIOVISUELS ET MULTIMDIAS Procdures de mobilit et de collaboration Scurit pour les systmes et services multimdias mobiles Procdures de scurit symtrique pour la mo

2、bilit des systmes H.323 selon la Recommandation H.510 Recommandation UIT-T H.530 RECOMMANDATIONS UIT-T DE LA SRIE H SYSTMES AUDIOVISUELS ET MULTIMDIAS CARACTRISTIQUES DES SYSTMES VISIOPHONIQUES H.100H.199 INFRASTRUCTURE DES SERVICES AUDIOVISUELS Gnralits H.200H.219 Multiplexage et synchronisation en

3、 transmission H.220H.229 Aspects systme H.230H.239 Procdures de communication H.240H.259 Codage des images vido animes H.260H.279 Aspects lis aux systmes H.280H.299 SYSTMES ET QUIPEMENTS TERMINAUX POUR LES SERVICES AUDIOVISUELS H.300H.399 SERVICES COMPLMENTAIRES EN MULTIMDIA H.450H.499 PROCDURES DE

4、MOBILIT ET DE COLLABORATION Aperu gnral de la mobilit et de la collaboration, dfinitions, protocoles et procdures H.500H.509 Mobilit pour les systmes et services multimdias de la srie H H.510H.519 Applications et services de collaboration multimdia mobile H.520H.529 Scurit pour les systmes et servic

5、es multimdias mobiles H.530H.539 Scurit pour les applications et services de collaboration multimdia mobile H.540H.549 Procdures dinterfonctionnement de la mobilit H.550H.559 Procdures dinterfonctionnement de collaboration multimdia mobile H.560H.569 Pour plus de dtails, voir la Liste des Recommanda

6、tions de lUIT-T. Rec. UIT-T H.530 (03/2002) i Recommandation UIT-T H.530 Procdures de scurit symtrique pour la mobilit des systmes H.323 selon la Recommandation H.510 Rsum La prsente Recommandation dcrit des procdures de scurit pour un environnement multimdia H.323 avec mobilit. Elle dcrit en dtail

7、les procdures de scurit pour la Rec. UIT-T H.510. Source La Recommandation H.530 de lUIT-T, labore par la Commission dtudes 16 (2001-2004) de lUIT-T, a t approuve le 29 mars 2002 selon la procdure dfinie dans la Rsolution 1 de lAMNT. Mots cls Annexe D/H.235, authentification, cryptage, gestion de cl

8、s, intgrit, mobilit, profil de scurit, scurit multimdia. ii Rec. UIT-T H.530 (03/2002) AVANT-PROPOS LUIT (Union internationale des tlcommunications) est une institution spcialise des Nations Unies dans le domaine des tlcommunications. LUIT-T (Secteur de la normalisation des tlcommunications) est un

9、organe permanent de lUIT. Il est charg de ltude des questions techniques, dexploitation et de tarification, et met ce sujet des Recommandations en vue de la normalisation des tlcommunications lchelle mondiale. LAssemble mondiale de normalisation des tlcommunications (AMNT), qui se runit tous les qua

10、tre ans, dtermine les thmes dtude traiter par les Commissions dtudes de lUIT-T, lesquelles laborent en retour des Recommandations sur ces thmes. Lapprobation des Recommandations par les Membres de lUIT-T seffectue selon la procdure dfinie dans la Rsolution 1 de lAMNT. Dans certains secteurs des tech

11、nologies de linformation qui correspondent la sphre de comptence de lUIT-T, les normes ncessaires se prparent en collaboration avec lISO et la CEI. NOTE Dans la prsente Recommandation, lexpression “Administration“ est utilise pour dsigner de faon abrge aussi bien une administration de tlcommunicatio

12、ns quune exploitation reconnue. DROITS DE PROPRIT INTELLECTUELLE LUIT attire lattention sur la possibilit que lapplication ou la mise en uvre de la prsente Recommandation puisse donner lieu lutilisation dun droit de proprit intellectuelle. LUIT ne prend pas position en ce qui concerne lexistence, la

13、 validit ou lapplicabilit des droits de proprit intellectuelle, quils soient revendiqus par un Membre de lUIT ou par une tierce partie trangre la procdure dlaboration des Recommandations. A la date dapprobation de la prsente Recommandation, lUIT avait t avise de lexistence dune proprit intellectuell

14、e protge par des brevets acqurir pour mettre en uvre la prsente Recommandation. Toutefois, comme il ne sagit peut-tre pas de renseignements les plus rcents, il est vivement recommand aux responsables de la mise en uvre de consulter la base de donnes des brevets du TSB. UIT 2002 Tous droits rservs. A

15、ucune partie de cette publication ne peut tre reproduite, par quelque procd que ce soit, sans laccord crit pralable de lUIT. Rec. UIT-T H.530 (03/2002) iii TABLE DES MATIRES Page 1 Domaine dapplication 1 2 Introduction 1 3 Conventions de la spcification 2 4 Termes et dfinitions 4 5 Abrviations et sy

16、mboles 4 6 Rfrences. 5 6.1 Rfrences normatives 5 6.2 Rfrences non normatives et bibliographie 6 7 Prescriptions de scurit et contraintes pour la mobilit 6 8 Scurit bond par bond avec techniques de cryptage symtrique 7 8.1 Hypothses . 9 8.2 Procdures en vue dune mise jour scurise de la position 9 8.2

17、.1 Terminal mobile (MT) Portier du domaine visit (V-GK) 12 8.2.2 Portier du domaine visit (V-GK) Proxy de routage pour la mobilit (MRP). 16 8.2.3 Proxy de routage pour la mobilit (MRP) Elment frontire du domaine visit (V-BE) 17 8.2.4 Elment frontire du domaine visit (V-BE) Elment frontire du domaine

18、 de rattachement (H-BE). 18 8.2.5 Elment frontire du domaine de rattachement (H-BE) vers proxy de routage pour la mobilit (MRP) . 18 8.2.6 Proxy de routage pour la mobilit (MRP) vers fonction dauthentification (AuF) 19 8.3 Authentification du terminal. 20 8.4 Annulation denregistrement. 22 8.5 Appli

19、cation du protocole de scurit symtrique dans le domaine de rattachement . 22 8.6 Liste des identificateurs dobjet 23 9 Scurit de bout en bout . 24 Rec. UIT-T H.530 (03/2002) 1 Recommandation UIT-T H.530 Procdures de scurit symtrique pour la mobilit des systmes H.323 selon la Recommandation H.510 1 D

20、omaine dapplication La prsente Recommandation porte sur des procdures de scurit dans les environnements H.323 avec mobilit, notamment pour la Rec. UIT-T H.510, pour laquelle lesdites procdures sont dcrites en dtail. 2 Introduction Jusque-l, les capacits de signalisation de la Rec. UIT-T H.235 dans s

21、es versions 1 et 2 4 sont conues pour prendre en charge la scurit dans des environnements H.323 5 essentiellement sans mobilit. Dans ces environnements et dans les systmes multimdias, une mobilit limite est possible dans des zones de portier; la Rec. UIT-T H.323 5 en gnral et la Rec. UIT-T H.235 4 e

22、n particulier ne permettent quune prise en charge trs rduite de la scurit des utilisateurs et des terminaux mobiles lorsquils passent dun domaine un autre et que de nombreuses entits interviennent dans un environnement rparti avec mobilit, par exemple. Les scnarios H.323 avec mobilit dcrits dans la

23、Rec. UIT-T H.510 6 relatifs la mobilit des terminaux tant souples et dynamiques, ils constituent une situation nouvelle, notamment du point de vue de la scurit. Lorsquils passent dun domaine un autre, les terminaux mobiles et les utilisateurs H.323 doivent tre authentifis par le domaine tranger visi

24、t. De mme, les utilisateurs mobiles souhaitent avoir la preuve de la vritable identit du domaine visit. En outre, il peut aussi tre utile dobtenir la preuve de lidentit des terminaux en plus de lauthentification des utilisateurs. Par consquent, une authentification mutuelle de lutilisateur et du dom

25、aine visit est absolument ncessaire, lauthentification de lidentit du terminal tant facultative. Dune manire gnrale, seul lutilisateur mobile nest connu que du domaine de rattachement dans lequel il est abonn et un mot de passe lui est attribu; ainsi, le domaine visit ne connat pas cet utilisateur a

26、u dpart. En tant que tel, le domaine visit ne partage aucune relation de scurit tablie avec lutilisateur mobile et le terminal mobile. Concernant lauthentification et lautorisation de lutilisateur mobile et du terminal mobile, le domaine visit pourrait dlguer certaines tches lies la scurit, telles q

27、ue les contrles dautorisation ou la gestion des cls, au domaine de rattachement via des entits de rseau et de service intermdiaires. Pour cela, il faut scuriser les communications et la gestion des cls entre le domaine visit et le domaine de rattachement. En principe, les environnements H.323 avec m

28、obilit sont plus ouverts que les rseaux H.323 ferms, mais il faut bien videmment scuriser aussi de faon approprie les tches lies la gestion des cls. Par ailleurs, il faut aussi protger contre toute altration malveillante les communications intra et interdomaines de mobilit. En rsum, la prsente Recom

29、mandation dcrit un concept gnrique de scurit applicable la mobilit entre domaines pour les applications et services multimdias. Les dtails techniques quelle contient concernent une mise en uvre pour les Recs. UIT-T H.323 et H.510 en particulier, mais il est envisageable de les tendre dautres environ

30、nements. 2 Rec. UIT-T H.530 (03/2002) 3 Conventions de la spcification Dans la prsente Recommandation, on utilise les conventions suivantes: lemploi du futur et de “doit/doivent“ indiquent une prescription imprative; lemploi de “devrait/devraient“ indique une mesure suggre mais facultative; lemploi

31、de “peut/peuvent“ indique une mesure possible mais non recommande. Sauf indication explicite dune autre Recommandation, les rfrences aux paragraphes, sous-paragraphes, annexes et appendices renvoient des lments de la prsente Recommandation. Par exemple, la rfrence “1.4“ renvoie au 1.4 de la prsente

32、Recommandation; la rfrence “6.4/H.245“ renvoie au 6.4 de la Rec. UIT-T H.245. Il est question, dans la prsente Recommandation, de plusieurs entits fonctionnelles pour la mobilit telles que les lments frontire. On trouvera une description gnrale de ces lments fonctionnels et de leur interaction dans

33、la Rec. UIT-T H.510 6. La prsente Recommandation dcrit uniquement la scurit lie la mobilit de lutilisateur/du terminal, elle ne fait donc que mentionner brivement linteraction avec les autres entits fonctionnelles pour la mobilit telles que les proxys de routage pour la mobilit (entits VLF, HLF par

34、exemple); ces entits fonctionnelles ne sont pas considres comme faisant partie intgrante de la prsente Recommandation. Plus particulirement, larchitecture de scurit ne dpend pas de la prsence ou de labsence de ces lments fonctionnels et elle ne ncessite pas non plus une sparation des fonctions conce

35、rnes. Pour plus de simplicit, on suppose en revanche, dans la prsente Recommandation, que ces fonctions sont situes au mme endroit dans des lments de rseau composites, mais, dans un souci dexhaustivit, ces entits de rseau sont reprsentes sous forme dentits fonctionnelles dcomposes. Bien entendu, il

36、serait ais dtendre les concepts de scurit si lon veut tenir compte de ces lments lorsquils sont prsents ou si lon veut les dcomposer et les sparer sur le plan fonctionnel. Toutes les entits de rseau facultatives apparaissent dans des cases en pointills sur les diagrammes. Sagissant du domaine de rat

37、tachement, une entit dauthentification (AuF) fonctionnant comme un service de scurit principal peut tre spare ou peut tre situe au mme endroit que llment frontire du domaine de rattachement ou que dautres entits H.323 appropries 5, par exemple le portier du domaine de rattachement (H-GK). Linstancia

38、tion oprer en pratique fait lobjet dune implmentation locale. Dans la prsente Recommandation, la fonction dauthentification (AuF) dsigne lentit fonctionnelle de scurit qui appartient au domaine de rattachement et qui maintient une relation de scurit avec les utilisateurs mobiles abonns et les termin

39、aux mobiles abonns en cas de ncessit. Parmi les tches non dcrites dans la prsente Recommandation, la fonction AuF doit au moins: valuer les messages AuthenticationRequest entrants provenant dun domaine visit, vrifier lauthenticit et lintgrit de ces messages et, en particulier, authentifier lutilisat

40、eur mobile et facultativement le terminal mobile (MT, mobile terminal), si cela est prvu et souhait; si lutilisateur/le terminal mobile a pu tre authentifi, dcider daccorder ou non lautorisation. Le processus exact suivi par la fonction AuF pour prendre cette dcision est hors du domaine dapplication

41、 de la prsente Recommandation, mais il pourrait tre utile que cette fonction utilise une certaine base de donnes politiques ou certaines rgles daccs; puis apporter son assistance au domaine visit dans sa tche lie la gestion des cls; en particulier, la fonction AuF doit authentifier une demi-cl Diffi

42、e-Hellman et lidentificateur GKIDquelle reoit du domaine visit en utilisant le secret partag avec lutilisateur correspondant; enfin, communiquer au domaine visit la dcision prise concernant lautorisation du point de vue de la scurit et lui transmettre la demi-cl Diffie-Hellman et lidentificateur GKI

43、Dauthentifis. Rec. UIT-T H.530 (03/2002) 3 La fonction AuF peut tre assimile un module de scurit ventuellement spar physiquement des autres entits fonctionnelles avec des fonctionnalits de scurit spcifiques (stockage des cls protges, prise en charge dun algorithme et dun mcanisme cryptographiques, a

44、ccs scuris pour ladministration et la maintenance, fiabilit, etc.). Toutefois, on ne suppose pas, dans la prsente Recommandation, que lune quelconque de ces fonctionnalits soit prsente dans la fonction AuF. En revanche, la fonction AuF peut tout aussi bien tre situe au mme endroit que dautres entits

45、 fonctionnelles H.323 5 dans le domaine de rattachement, par exemple dans llment frontire, dans le portier, dans un proxy de routage pour la mobilit (MRP, mobility routing proxy) ou dans toute autre entit approprie. Le concept de la fonction AuF ne prjuge pas de la meilleure faon dimplmenter cette f

46、onction, savoir sous forme matrielle, sous forme logicielle ou sous la forme dune combinaison des deux. Dans la prsente Recommandation, on introduit un proxy de routage pour la mobilit (MRP), entit fonctionnelle facultative qui joue le rle dune entit fonctionnelle intermdiaire, terminant lassociatio

47、n de scurit dune liaison bond par bond. Le proxy MRP doit retransmettre les jetons de scurit en calculant nouveau les codes dauthentification des messages bond par bond figurant dans le jeton CryptoToken. Il peut inclure la fonctionnalit dune entit fonctionnelle de gestion de la mobilit (par exemple dune entit HLF ou VLF ou de toute autre entit de service principale pour la mobilit). Le proxy MRP peut se trouver dans le domaine visit ou dans