1、 UNIN INTERNACIONAL DE TELECOMUNICACIONES UIT-T H.530SECTOR DE NORMALIZACIN DE LAS TELECOMUNICACIONES DE LA UIT (03/2002) SERIE H: SISTEMAS AUDIOVISUALES Y MULTIMEDIOS Procedimientos de movilidad y de colaboracin Seguridad para los sistemas y servicios mviles multimedios Procedimientos de seguridad
2、simtricos para movilidad de sistemas H.323 segn la Recomendacin H.510 Recomendacin UIT-T H.530 RECOMENDACIONES UIT-T DE LA SERIE H SISTEMAS AUDIOVISUALES Y MULTIMEDIOS CARACTERSTICAS DE LOS SISTEMAS VIDEOTELEFNICOS H.100H.199 INFRAESTRUCTURA DE LOS SERVICIOS AUDIOVISUALES Generalidades H.200H.219 Mu
3、ltiplexacin y sincronizacin en transmisin H.220H.229 Aspectos de los sistemas H.230H.239 Procedimientos de comunicacin H.240H.259 Codificacin de imgenes vdeo en movimiento H.260H.279 Aspectos relacionados con los sistemas H.280H.299 SISTEMAS Y EQUIPOS TERMINALES PARA LOS SERVICIOS AUDIOVISUALES H.30
4、0H.399 SERVICIOS SUPLEMENTARIOS PARA MULTIMEDIOS H.450H.499 PROCEDIMIENTOS DE MOVILIDAD Y DE COLABORACIN Visin de conjunto de la movilidad y de la colaboracin, definiciones, protocolos y procedimientos H.500H.509 Movilidad para los sistemas y servicios multimedios de la serie H H.510H.519 Aplicacion
5、es y servicios de colaboracin en mviles multimedios H.520H.529 Seguridad para los sistemas y servicios mviles multimedios H.530H.539 Seguridad para las aplicaciones y los servicios de colaboracin en mviles multimedios H.540H.549 Procedimientos de interfuncionamiento de la movilidad H.550H.559 Proced
6、imientos de interfuncionamiento de colaboracin en mviles multimedios H.560H.569 Para ms informacin, vase la Lista de Recomendaciones del UIT-T. Rec. UIT-T H.530 (03/2002) i Recomendacin UIT-T H.530 Procedimientos de seguridad simtricos para movilidad de sistemas H.323 segn la Recomendacin H.510 Resu
7、men Esta Recomendacin tiene por finalidad describir procedimientos de seguridad para un entorno de movilidad multimedios H.323. Proporciona detalles sobre los procedimientos de seguridad para la Rec. UIT-T H.510. Orgenes La Recomendacin UIT-T H.530, preparada por la Comisin de Estudio 16 (2001-2004)
8、 del UIT-T, fue aprobada por el procedimiento de la Resolucin 1 de la AMNT el 29 de marzo de 2002. Palabras clave Anexo D/H.235, autenticacin, criptacin, gestin de clave, integridad, movilidad, perfil de seguridad, seguridad multimedios. ii Rec. UIT-T H.530 (03/2002) PREFACIO La UIT (Unin Internacio
9、nal de Telecomunicaciones) es el organismo especializado de las Naciones Unidas en el campo de las telecomunicaciones. El UIT-T (Sector de Normalizacin de las Telecomunicaciones de la UIT) es un rgano permanente de la UIT. Este rgano estudia los aspectos tcnicos, de explotacin y tarifarios y publica
10、 Recomendaciones sobre los mismos, con miras a la normalizacin de las telecomunica-ciones en el plano mundial. La Asamblea Mundial de Normalizacin de las Telecomunicaciones (AMNT), que se celebra cada cuatro aos, establece los temas que han de estudiar las Comisiones de Estudio del UIT-T, que a su v
11、ez producen Recomendaciones sobre dichos temas. La aprobacin de Recomendaciones por los Miembros del UIT-T es el objeto del procedimiento establecido en la Resolucin 1 de la AMNT. En ciertos sectores de la tecnologa de la informacin que corresponden a la esfera de competencia del UIT-T, se preparan
12、las normas necesarias en colaboracin con la ISO y la CEI. NOTA En esta Recomendacin, la expresin “Administracin“ se utiliza para designar, en forma abreviada, tanto una administracin de telecomunicaciones como una empresa de explotacin reconocida de telecomunicaciones. PROPIEDAD INTELECTUAL La UIT s
13、eala a la atencin la posibilidad de que la utilizacin o aplicacin de la presente Recomendacin suponga el empleo de un derecho de propiedad intelectual reivindicado. La UIT no adopta ninguna posicin en cuanto a la demostracin, validez o aplicabilidad de los derechos de propiedad intelectual reivindic
14、ados, ya sea por los miembros de la UIT o por terceros ajenos al proceso de elaboracin de Recomendaciones. En la fecha de aprobacin de la presente Recomendacin, la UIT ha recibido notificacin de propiedad intelectual, protegida por patente, que puede ser necesaria para aplicar esta Recomendacin. Sin
15、 embargo, debe sealarse a los usuarios que puede que esta informacin no se encuentre totalmente actualizada al respecto, por lo que se les insta encarecidamente a consultar la base de datos sobre patentes de la TSB. UIT 2002 Reservados todos los derechos. Ninguna parte de esta publicacin puede repro
16、ducirse por ningn procedimiento sin previa autorizacin escrita por parte de la UIT. Rec. UIT-T H.530 (03/2002) iii NDICE Pgina 1 Alcance . 1 2 Introduccin 1 3 Convenios de especificacin. 2 4 Trminos y definiciones . 4 5 Smbolos y abreviaturas 4 6 Referencias . 6 6.1 Referencias normativas 6 6.2 Refe
17、rencias no normativas . 6 7 Requisitos y constricciones de seguridad para la movilidad 6 8 Seguridad salto por salto con tcnicas criptogrficas simtricas 8 8.1 Supuestos 9 8.2 Procedimientos de actualizacin de ubicacin securizada . 9 8.2.1 MT a V-GK 12 8.2.2 V-GK a MRP 15 8.2.3 MRP a V-BE. 17 8.2.4 V
18、-BE a H-BE 17 8.2.5 H-BE a MRP. 18 8.2.6 MRP a AuF. 19 8.3 Autenticacin del terminal . 20 8.4 Desregistro 22 8.5 Aplicacin del protocolo de seguridad simtrico en el dominio de base . 22 8.6 Identificadores de objeto 23 9 Seguridad de extremo a extremo 24 Rec. UIT-T H.530 (03/2002) 1 Recomendacin UIT
19、-T H.530 Procedimientos de seguridad simtricos para movilidad de sistemas H.323 segn la Recomendacin H.510 1 Alcance Esta Recomendacin tiene por finalidad hacer recomendaciones sobre procedimientos de seguridad en entornos de movilidad H.323. Proporciona detalles sobre los procedimientos de segurida
20、d para la Rec. UIT-T H.510. 2 Introduccin Hasta el presente, las capacidades de sealizacin de la Rec. UIT-T H.235, versiones 1 y 2 4 estn previstas para el tratamiento de la seguridad en entornos H.323 5, que suelen ser estticos. Esos entornos y sistemas multimedios pueden lograr cierta movilidad li
21、mitada dentro de zonas de controladores de acceso; la Rec. UIT-T H.323 5 en general y la Rec. UIT-T H.235 4 en particular slo proporcionan un soporte muy reducido para una itinerancia securizada de usuarios y terminales mviles a travs de dominios diferentes en los que, por ejemplo, numerosas entidad
22、es participan en un entorno de movilidad, distribuido. Los escenarios de movilidad H.323 descritos en la Rec. UIT-T H.510 6 relativos a la movilidad del terminal plantean una nueva situacin que refleja el carcter flexible y dinmico de esos escenarios, tambin desde el punto de vista de la seguridad.
23、Los usuarios y terminales mviles H.323 en itinerancia tienen que ser autenticados por un dominio visitado, extranjero. Asimismo, interesa al usuario mvil tener la prueba de la verdadera identidad del dominio visitado. Tambin puede ser conveniente tener la prueba de la identidad de los terminales que
24、 complementan la autenticacin del usuario. Por tanto, se requiere la mutua autenticacin del usuario y del dominio visitado y, facultativamente, tambin la autenticacin de la identidad del terminal. Como generalmente el usuario mvil slo se conoce en el dominio de base en el que est inscrito y se la ha
25、 asignado una contrasea, el dominio visitado inicialmente no conoce al usuario mvil. En consecuencia, el dominio visitado no comparte ninguna relacin de seguridad establecida con el usuario y el terminal mviles. Para que el dominio visitado pueda obtener debidamente la autenticacin y las condiciones
26、 de seguridad relativas al usuario mvil y al terminal mvil, el dominio visitado transmitir ciertas tareas de seguridad como las comprobaciones de autorizacin o la gestin de clave al dominio de base a travs de entidades de red y de servicio intermedias. Esto exige tambin la securizacin de la comunica
27、cin y de la gestin de clave entre el dominio visitado y el dominio de base. Si bien, en principio, los entornos H.323 de movilidad son ms abiertos que las redes H.323 cerradas, tambin es necesario, desde luego, securizar debidamente las tareas de gestin de clave. Tambin es cierto que la comunicacin
28、dentro y a travs de los dominios de movilidad merece proteccin contra las manipulaciones maliciosas. En resumen, esta Recomendacin describe un concepto de seguridad genrico con miras a la movilidad entre los dominios para aplicaciones y servicios multimedios. Los detalles tcnicos describen el despli
29、egue en entornos H.323 y H.510 en particular, pero se consideran potencialmente abiertos a otros entornos. 2 Rec. UIT-T H.530 (03/2002) 3 Convenios de especificacin En esta Recomendacin se observan los siguientes convenios: La obligatoriedad de una accin o aspecto se indica por un verbo en futuro si
30、mple con carcter obligatorio, o por la expresin “tener que“. El carcter de sugerido pero no obligatorio, de una accin o aspecto, se indica por el verbo modal “deber“. El carcter facultativo de una accin o aspecto se indica por el verbo modal “poder“ en el sentido de estar permitido o autorizado, por
31、 oposicin a algo que est recomendado. Las referencias a clusulas, subclusulas, anexos y apndices aluden a elementos pertenecientes a esta Recomendacin, a menos que se indique explcitamente que pertenecen a otra Recomendacin. Por ejemplo “1.4“ hace referencia a la clusula 1.4 de esta Recomendacin; “6
32、.4/H.245“ hace referencia a la clusula 6.4 de la Recomendacin H.245. Esta Recomendacin muestra varias entidades funcionales de movilidad, tales como elementos de frontera. Para una descripcin general de esos elementos funcionales y su interaccin, vase la Rec. UIT-T H.510 6. Puesto que la presente Re
33、comendacin slo describe la seguridad del usuario/terminal en un entorno de movilidad, la interaccin con otras entidades funcionales relacionadas con la movilidad tales como los apoderados para encaminamiento de movilidad, por ejemplo las funciones VLF, HLF, slo se menciona brevemente; se considera q
34、ue esas entidades funcionales estn fuera del mbito de esta Recomendacin. Especficamente, la arquitectura de seguridad no depende de la presencia o ausencia de tales elementos funcionales y no requiere la separacin de ninguna de esas funciones. Por razones de simplicidad, la presente Recomendacin pre
35、supone que estas funciones estn coubicadas en elementos de red compuestos, pero para facilitar la exposicin esas entidades de red se representan como entidades funcionales individuales. Desde luego, los conceptos de seguridad podran ampliarse directamente de manera que abarcaran esos elementos cuand
36、o estuvieran presentes, sea descomponindolos funcionalmente, sea separndolos. Todas esas entidades de red facultativas se representan por casillas de trazo discontinuo en los diagramas. En cuanto al dominio de base, una entidad de autenticacin (AuF) que funciona como un servicio de seguridad en el f
37、ondo puede estar separada o coubicada con el elemento de frontera de base o con otras entidades H.323 adecuadas 5, por ejemplo, con el controlador de acceso de base (H-GK). La determinacin de cul de estas soluciones habr de aplicarse es una cuestin de implementacin local. A los efectos de esta Recom
38、endacin, la funcin autenticacin (AuF) es la entidad funcional de seguridad en el dominio de base que mantiene una relacin de seguridad con los usuarios mviles abonados y los terminales mviles abonados, si es necesario. Entre otras tareas que no se describen en esta Recomendacin, la AuF realizar al m
39、enos las siguientes: La AuF evaluar los mensajes AuthenticationRequest entrantes procedentes de un dominio visitado, comprobar la autenticidad e integridad de esos mensajes y, sobre todo, autenticar al usuario mvil y tambin, facultativamente, al terminal mvil (MT, mobile terminal), si se proporciona
40、 y si as se desea. Tras una autenticacin exitosa del usuario/terminal mvil, la AuF tomar la decisin de otorgar o no la autorizacin. La forma precisa en que la AuF toma esta decisin est fuera del mbito de esta Recomendacin, pero pudiera ser conveniente prever alguna base de datos de polticas o cierta
41、s reglas. Adems, la AuF soportar y ayudar al dominio visitado en la tarea de gestin de clave; concretamente, la AuF autenticar la semiclave Diffie-Hellman y el GKIDrecibidos del dominio visitado utilizando el correspondiente secreto compartido con el usuario. Rec. UIT-T H.530 (03/2002) 3 Por ltimo,
42、la AuF enviar al dominio visitado una respuesta relativa a la decisin que se haya tomado sobre la autorizacin de seguridad, en la que se incluir el valor autenticado la semiclave Diffie-Hellman y el GKID. La AuF podra imaginarse como un mdulo de seguridad que puede estar separado fsicamente de otras
43、 entidades funcionales con funcionalidad de seguridad especfica como el almacenamiento protegido de claves, soporte de algoritmos y mecanismos criptogrficos, acceso securizado para administracin y mantenimiento, fiabilidad, etc. Sin embargo, esta Recomendacin no presupone la presencia de ninguna de
44、esas prestaciones en la AuF. Ms bien, la AuF puede estar coubicada con otras entidades funcionales H.323 5 en el dominio de base por ejemplo en el elemento de frontera, en el controlador de acceso, en un apoderado de encaminamiento de movilidad (MRP, mobility routing proxy) o en cualquier otra entid
45、ad adecuada. El concepto de la AuF deja abierta la cuestin de determinar cul sera la mejor forma de implementarla: como soporte fsico, como soporte lgico, o como una combinacin de ambos. Esta Recomendacin introduce un apoderado de encaminamiento (en un entorno) de movilidad (MRP) como una entidad fu
46、ncional facultativa. El MRP acta como una entidad funcional intermedia, que termina la asociacin de seguridad de un enlace salto por salto. El MRP reenviar los testigos de seguridad calculando nuevamente los cdigos de autenticacin de mensaje salto por salto en el CryptoToken. El MRP puede abarcar la
47、 funcionalidad de una entidad funcional de gestin de la movilidad (por ejemplo, de una HLF o de una VLF o de cualquier otra entidad de servicio de fondo en un entorno de movilidad). El MRP puede aparecer en el dominio visitado, o en el dominio de base, o en cualquier otro dominio que deba ser atrave
48、sado. Si un MRP aqu mostrado no est presente en la comunicacin real, se considerar que los enlaces salto por salto que entran y salen del MRP pertenecen a la misma asociacin de seguridad y se omitir el nuevo clculo del CryptoToken. En esta Recomendacin se utiliza el termino contrasea para designar una cadena de caracteres introducida por el usuario, como contrasea. La contrasea en esta Recomendacin habr de entenderse como la clave de seguridad asignada, que el usuario mvil comparte con su dominio de base. Esta contrasea del usuario y el secreto compartido del usuario, derivado,
