1、 Union internationale des tlcommunicationsUIT-T H.235.9SECTEUR DE LA NORMALISATION DES TLCOMMUNICATIONS DE LUIT (09/2005) SRIE H: SYSTMES AUDIOVISUELS ET MULTIMDIAS Infrastructure des services audiovisuels Aspects systme Cadre de scurit H.323: prise en charge des passerelles de scurit dans les systm
2、es H.323Recommandation UIT-T H.235.9 RECOMMANDATIONS UIT-T DE LA SRIE H SYSTMES AUDIOVISUELS ET MULTIMDIAS CARACTRISTIQUES DES SYSTMES VISIOPHONIQUES H.100H.199 INFRASTRUCTURE DES SERVICES AUDIOVISUELS Gnralits H.200H.219 Multiplexage et synchronisation en transmission H.220H.229 Aspects systme H.23
3、0H.239 Procdures de communication H.240H.259 Codage des images vido animes H.260H.279 Aspects lis aux systmes H.280H.299 Systmes et quipements terminaux pour les services audiovisuels H.300H.349 Architecture des services dannuaire pour les services audiovisuels et multimdias H.350H.359 Architecture
4、de la qualit de service pour les services audiovisuels et multimdias H.360H.369 Services complmentaires en multimdia H.450H.499 PROCDURES DE MOBILIT ET DE COLLABORATION Aperu gnral de la mobilit et de la collaboration, dfinitions, protocoles et procdures H.500H.509 Mobilit pour les systmes et servic
5、es multimdias de la srie H H.510H.519 Applications et services de collaboration multimdia mobile H.520H.529 Scurit pour les systmes et services multimdias mobiles H.530H.539 Scurit pour les applications et services de collaboration multimdia mobile H.540H.549 Procdures dinterfonctionnement de la mob
6、ilit H.550H.559 Procdures dinterfonctionnement de collaboration multimdia mobile H.560H.569 SERVICES LARGE BANDE ET MULTIMDIAS TRI-SERVICES Services multimdias large bande sur VDSL H.610H.619 Pour plus de dtails, voir la Liste des Recommandations de lUIT-T. Rec. UIT-T H.235.9 (09/2005) i Recommandat
7、ion UIT-T H.235.9 Cadre de scurit H.323: Prise en charge des passerelles de scurit dans les systmes H.323 Rsum La prsente Recommandation dfinit une mthode permettant de dcouvrir des passerelles de scurit sur le trajet de signalisation reliant deux entits H.323 en communication, et de partager des in
8、formations relatives la scurit entre un portier et les passerelles de scurit afin de prserver lintgrit de la signalisation ainsi que le secret des communications. Source La Recommandation UIT-T H.235.9 a t approuve le 13 septembre 2005 par la Commission dtudes 16 (2005-2008) de lUIT-T selon la procd
9、ure dfinie dans la Recommandation UIT-T A.8. Mots cls Passerelle, scurit, signalisation. ii Rec. UIT-T H.235.9 (09/2005) AVANT-PROPOS LUIT (Union internationale des tlcommunications) est une institution spcialise des Nations Unies dans le domaine des tlcommunications. LUIT-T (Secteur de la normalisa
10、tion des tlcommunications) est un organe permanent de lUIT. Il est charg de ltude des questions techniques, dexploitation et de tarification, et met ce sujet des Recommandations en vue de la normalisation des tlcommunications lchelle mondiale. LAssemble mondiale de normalisation des tlcommunications
11、 (AMNT), qui se runit tous les quatre ans, dtermine les thmes dtude traiter par les Commissions dtudes de lUIT-T, lesquelles laborent en retour des Recommandations sur ces thmes. Lapprobation des Recommandations par les Membres de lUIT-T seffectue selon la procdure dfinie dans la Rsolution 1 de lAMN
12、T. Dans certains secteurs des technologies de linformation qui correspondent la sphre de comptence de lUIT-T, les normes ncessaires se prparent en collaboration avec lISO et la CEI. NOTE Dans la prsente Recommandation, lexpression “Administration“ est utilise pour dsigner de faon abrge aussi bien un
13、e administration de tlcommunications quune exploitation reconnue. Le respect de cette Recommandation se fait titre volontaire. Cependant, il se peut que la Recommandation contienne certaines dispositions obligatoires (pour assurer, par exemple, linteroprabilit et lapplicabilit) et considre que la Re
14、commandation est respecte lorsque toutes ces dispositions sont observes. Le futur dobligation et les autres moyens dexpression de lobligation comme le verbe “devoir“ ainsi que leurs formes ngatives servent noncer des prescriptions. Lutilisation de ces formes ne signifie pas quil est obligatoire de r
15、especter la Recommandation. DROITS DE PROPRIT INTELLECTUELLE LUIT attire lattention sur la possibilit que lapplication ou la mise en uvre de la prsente Recommandation puisse donner lieu lutilisation dun droit de proprit intellectuelle. LUIT ne prend pas position en ce qui concerne lexistence, la val
16、idit ou lapplicabilit des droits de proprit intellectuelle, quils soient revendiqus par un Membre de lUIT ou par une tierce partie trangre la procdure dlaboration des Recommandations. A la date dapprobation de la prsente Recommandation, lUIT navait pas t avise de lexistence dune proprit intellectuel
17、le protge par des brevets acqurir pour mettre en uvre la prsente Recommandation. Toutefois, comme il ne sagit peut-tre pas de renseignements les plus rcents, il est vivement recommand aux responsables de la mise en uvre de consulter la base de donnes des brevets du TSB. UIT 2006 Tous droits rservs.
18、Aucune partie de cette publication ne peut tre reproduite, par quelque procd que ce soit, sans laccord crit pralable de lUIT. Rec. UIT-T H.235.9 (09/2005) iii TABLE DES MATIRES Page 1 Domaine dapplication 1 2 Rfrences. 1 2.1 Rfrences normatives 1 2.2 Rfrences informatives . 1 3 Dfinitions 2 4 Abrvia
19、tions 2 5 Conventions 3 6 Fonctionnement de base . 4 6.1 Dcouverte dun portier par un point dextrmit . 5 6.2 Distribution de la cl dauthentification au point dextrmit. 5 6.3 Manipulation des adresses 7 7 Dtails concernant la signalisation . 8 8 Considrations relatives la configuration des passerelle
20、s SG 9 8.1 Enregistrement de passerelles SG 9 8.2 Justificatif didentit pour lauthentification . 10 9 Considrations relatives la scurit 11 10 Applicabilit . 11 11 Identificateur dobjet. 11 iv Rec. UIT-T H.235.9 (09/2005) Introduction Lutilisation de pare-feu et/ou de dispositifs de traduction dadres
21、se de rseau pour assurer la scurit du trafic entre deux rgions du rseau sous des contrles administratifs diffrents pose problme aux protocoles de signalisation de tlphonie qui doivent assurer lchange des adresses de rseau aux fins de lchange des messages de signalisation et des mdias. La Rec. UIT-T
22、H.235.5 prsente un cadre dans lequel un point dextrmit et son portier, ou deux portiers, peuvent utiliser les messages RAS initiaux pour ngocier un ensemble de secrets forts partags entre eux, et se servir de ces secrets pour chiffrer certaines parties de messages RAS et de signalisation dappel ultr
23、ieurs, et enfin pour authentifier ces messages. La mthode ne sapplique qu la signalisation routage par portier. Des mthodes et des profils de scurit analogues sont dfinis dans les Recommandations UIT-T H.235.1, H.235.2 et H.235.3. Cette scurit peut entrer en conflit avec les passerelles de couche Ap
24、plication (ALG, application layer gateway) qui interconnectent des domaines de rseau et manipulent les adresses de signalisation et de transport de mdia achemines dans les messages RAS et/ou de signalisation dappel H.225.0 et entraner lchec de lauthentification des messages ainsi modifis au niveau d
25、e la destination. La prsente Recommandation dcrit un moyen simple par lequel le portier peut tre inform des passerelles ALG situes sur un trajet de signalisation, et par lequel il peut partager la cl dauthentification de signalisation ngocie avec ces passerelles. Les passerelles ALG pourront ainsi m
26、anipuler des donnes non prives, en particulier des adresses de transport, dans les messages de signalisation, et ensuite authentifier le rsultat avant de transmettre les messages modifis. Ces dispositifs sont dnomms “passerelles de scurit“ (SG, security gateway) dans le texte qui suit. Cette techniq
27、ue permet de prserver le secret des communications de bout en bout pour tout lment chiffr dans la signalisation. Rec. UIT-T H.235.9 (09/2005) 1 Recommandation UIT-T H.235.9 Cadre de scurit H.323: prise en charge des passerelles de scurit dans les systmes H.323 1 Domaine dapplication La prsente Recom
28、mandation sapplique tout portier ou point dextrmit qui utilise les protocoles RAS H.225.0, dans les scnarios faisant intervenir une ou plusieurs passerelles de scurit prsentant le comportement prescrit. 2 Rfrences 2.1 Rfrences normatives La prsente Recommandation se rfre certaines dispositions des R
29、ecommandations UIT-T et textes suivants qui, de ce fait, en sont partie intgrante. Les versions indiques taient en vigueur au moment de la publication de la prsente Recommandation. Toute Recommandation ou tout texte tant sujet rvision, les utilisateurs de la prsente Recommandation sont invits se rep
30、orter, si possible, aux versions les plus rcentes des rfrences normatives suivantes. La liste des Recommandations de lUIT-T en vigueur est rgulirement publie. La rfrence un document figurant dans la prsente Recommandation ne donne pas ce document, en tant que tel, le statut dune Recommandation. Reco
31、mmandation UIT-T H.225.0 (2003), Protocoles de signalisation dappel et paqutisation des flux monomdias pour les systmes de communication multimdias en mode paquet. Recommandation UIT-T H.235.0 (2005), Cadre de scurit H.323: cadre de scurit pour les systmes multimdias de la srie H (systmes H.323 et a
32、utres systmes de type H.245). Recommandation UIT-T H.235.1 (2005), Cadre de scurit H.323: profil de scurit de base. Recommandation UIT-T H.235.2 (2005), Cadre de scurit H.323: profil de scurit avec signature. Recommandation UIT-T H.235.3 (2005), Cadre de scurit H.323: profil de scurit hybride. Recom
33、mandation UIT-T H.235.5 (2005), Cadre de scurit H.323: cadre de lauthentification scurise pendant lchange de messages RAS au moyen de secrets partags faibles. Recommandation UIT-T H.245 (2005), Protocole de commande pour communications multimdias. Recommandation UIT-T H.323 (2003), Systmes de commun
34、ication multimdia en mode paquet. 2.2 Rfrences informatives IETF RFC 2246 (1999), The TLS Protocol Version 1.0. IETF RFC 3546 (2003), Transport Layer Security (TLS) Extensions. IETF RFC 2401 (1998), Security Architecture for the Internet Protocol. 2 Rec. UIT-T H.235.9 (09/2005) 3 Dfinitions La prsen
35、te Recommandation dfinit les termes suivants: 3.1 passerelle de couche Application (ALG, application layer gateway): dispositif compatible avec des protocoles qui interconnectent deux rgions de rseau ou plus et qui est capable dinterprter et de modifier les protocoles de couche Application afin de f
36、ournir les traductions dadresse de transport ainsi que dautres fonctions. Une passerelle ALG peut assurer les fonctions de traduction dadresse de rseau (NAT) et de pare-feu au niveau transport de faon interne ou peut les commander de faon externe. 3.2 adresse locale: adresse de transport figurant da
37、ns un domaine dadresse locale. 3.3 passerelle mdia (MG, media gateway): dispositif qui interconnecte deux domaines de rseau ou plus et qui peut tre command par un autre dispositif (par exemple, une passerelle de scurit) afin de fournir des flux de mdia commands entre deux domaines. La passerelle MG
38、assure en fait les fonctions de traduction dadresse de rseau ou de pare-feu programmable et fonctionne au niveau de la couche Transport ou des niveaux infrieurs. 3.4 traduction dadresse de rseau (NAT, network address translation): opration qui consiste mapper des adresses de transport de rseau dun d
39、omaine de rseau un autre. 3.5 micro-trou: trajet de flux travers une passerelle de scurit (ou une passerelle de mdia sous son contrle) que des paquets ou des messages sont autoriss emprunter pour passer dun domaine un autre. Un micro-trou est gnralement caractris par quatre adresses de transport (la
40、dresse dorigine dans le domaine A, ladresse du domaine A dans la passerelle de scurit, ladresse du domaine B dans la passerelle de scurit et ladresse de destination dans le domaine B), et par dautres caractristiques telles que le protocole de transport et la direction. Ladresse dorigine peut ne pas
41、tre spcifie (par exemple pour un port dcoute). 3.6 domaine: rgion du rseau qui partage un espace dadresse de rseau commun; on part du principe que des domaines diffrents utilisent des espaces dadresse incompatibles, conflictuels ou privs. 3.7 passerelle de scurit (SG, security gateway): dispositif i
42、nstall entre au moins deux rgions de rseau IP, qui assure des fonctions de scurit telles que la validation ou la limitation de flux de paquets et le mappage dadresses de transport entre deux rgions du rseau. Dans le cadre de la prsente Recommandation, on part du principe que la passerelle de scurit
43、est une passerelle au niveau application qui est compatible avec les protocoles de signalisation H.323. 4 Abrviations La prsente Recommandation utilise les abrviations suivantes: ALG passerelle de couche Application (application layer gateway) GCF confirmation de portier (GatekeeperConfirm) GK porti
44、er (gatekeeper) GRJ rejet de portier (GatekeeperReject) LCF confirmation demplacement (LocationConfirm) LRQ demande de localisation (LocationRequest) MG passerelle mdia (media gateway) NAT traduction dadresse de rseau (network address translation) OID identificateur dobjet (object identifier) RAS en
45、registrement, admission et statut (registration admission and status) Rec. UIT-T H.235.9 (09/2005) 3 SG passerelle de scurit (security gateway) UDP protocole datagramme dutilisateur (user datagram protocol) 5 Conventions La prsente Recommandation dfinit divers identificateurs dobjet (OID, object ide
46、ntifier) destins la signalisation des capacits relatives la scurit, des procdures et des algorithmes de scurit. Ces identificateurs renvoient une arborescence de valeurs attribues pouvant provenir de sources extrieures ou faisant partie dune arborescence didentificateurs dobjets grs par lUIT-T. Les
47、identificateurs dobjet qui concernent spcifiquement la Rec. UIT-T H.235 se prsentent de la manire suivante dans le texte: “OID“ = itu-t (0) recommendation (0) h (8) 235 version (0) V N o V reprsente symboliquement un simple chiffre dcimal prcisant la version correspondante de la Rec. UIT-T H.235; par exemple 1, 2, 3 ou 4. N reprsente symboliquement un nombre dcimal identifiant de manire univoque linstance de lidentificateur dobjet et par consquent, la procdure, lalgorithme ou la capacit de scurit. Lidentificateur dobjet cod en ASN.1 est donc constitu
