影响电信设备网络信息安全能力的因素分析和研究

刘亚新，高宏璟，薛琳，吴文旭

中国信息通信研究院电信设备认证中心，北京，100088

0 引言

我国于2021年2月发布了网络安全强制性国家标准《网络关键设备安全通用要求》（GB 40050-2021）。2021年6月，《中华人民共和国数据安全法》正式发布，2021年8月，《关保条例》《中华人民共和国个人信息保护法》相继审议通过。2022年9月发布了《关于修改〈中华人民共和国网络安全法〉的决定（征求意见稿）》，进一步完善了关键信息基础设施运营者有关违法行为行政处罚规定。

1 影响设备网络信息安全的部分因素

1.1 设备自身的安全能力缺陷

设备自身设计因素可以引发网络信息安全风险，如设备硬件、系统软件、应用软件故障以及网络和通信协议自身缺陷等。在设备的设计和开发过程中，有很多因素会导致系统和软件漏洞，如开源操作系统的多层级复用、是否进行身份鉴别和访问控制[1]，以及是否实施相应的安全策略等。

2022年1-10月份，国家信息安全漏洞共享平台（CNVD）发布的操作系统漏洞约800个。①Google Android操作系统的漏洞约329个，其存在的权限提升漏洞（CNVD-2022-65641）源于不正确的程序对高级本地过程的调用，可导致权限的提升。②Linux kernel漏洞约74个，其存在的权限提升漏洞（CNVD-2022-68577）源于eBPF程序处理中的类型混淆缺陷。通过执行精心编制的eBPF程序，攻击者可利用此漏洞获得提升的权限，并在内核上下文中执行任意代码。此外还存在缓冲区溢出漏洞（CNVD-2022-79427），该漏洞是透明进程间通信（TIPC）模块未能正确地边界检查造成的，缓冲区溢出可被非法攻击者用于执行任意代码，或者在系统上造成拒绝服务情况。③Huawei HarmonyOS漏洞约138个，其存在的WLAN模块授权问题漏洞（CNVD-2022-64978）源于WLAN模块权限校验不足，攻击者可利用该漏洞导致三方应用影响WLAN功能。存在的反序列化漏洞（CNVD-2022-64980）源于NFC模块在接收用户提交的序列化数据的不安全反序列化处理，攻击者可利用该漏洞导致三方应用实现system app级别的任意文件读写。④此外，还有Cisco IOS XE、Dell Wyse ThinOS、Oracle Solaris等虚拟服务器的操作系统都存在不同危害级别的漏洞（CNVD-2022-46474、CNVD-2022-69153、CNVD-2022-54629）。目前大部分厂商已及时发布升级补丁以修复相应漏洞。

1.2 设备所处的无线局域网环境

由于无线网络频段和空间开放性，攻击者可通过发射同频段的噪声信号实现信道干扰。如不对信息进行加密保护，攻击者也可像合法用户一样，还原出数据。当终端通过无线接入点接入网络并完成数据转发时，攻击者可伪造一个无线接入点，并在信号强度上超过合法无线接入点发射的信号，伪造的无线接入点将与该无线接入点信号传播范围内的终端建立联系，进而截获甚至篡改终端的通信数据。

1.3 设备使用的移动通信系统

2019年，韩国科技研究院的研究人员在4G LTE移动网络标准中发现了36个安全漏洞，攻击者可以利用这些漏洞窃听及访问数据流量，分发伪造基站，干扰基站与手机之间的通信，封堵通话，以及致使用户断网。尽管要在实际环境中成功利用这些漏洞比较困难，但是安全隐患还是存在的。同年，美国普渡大学和爱荷华大学的研究人员发现了11个5G漏洞，可用于跟踪用户的实时位置，将用户的服务降级到旧的移动数据网络，增加用户的流量耗费，跟踪用户拨打过的电话、发送的短信以及浏览的网页记录[2]。

1.4 网络协议安全和路由安全

IP协议以及基于IP的路由协议是网络的核心，它确保用户数据能够从源端经过网络中的一个或多个路由节点正确地到达目的端。IP及路由安全对网络的安全、可靠运行有着重要意义，攻击者很容易窃听到IP数据包并提取其中的应用数据。此外，攻击者还可以提取出数据包中的寻址信息以及协议选项信息，进而获得部分网络的拓扑信息，记录路由或时间戳的协议选项，可以被攻击者用于网络侦察。如某些关键路径被发起了分布式拒绝服务攻击，则会导致路由器频繁更新路由表，无法处理常规的数据转发任务。对于同时支持IPv4和IPv6的设备，攻击者可以利用两种协议中存在的安全弱点和漏洞进行协调攻击，或者利用两种协议版本中安全设备的协调不足来逃避检测。

2 不同领域电信设备面临的网络信息安全问题

2.1 网络设备（交换机、路由器、服务器等设备）

2021年12月，相关检测机构对网络关键设备增加了漏洞扫描、健壮性测试等网络安全测试内容，在漏洞测试时，使用Nessus Professional中的漏洞版本库对设备脆弱性进行扫描，以判断设备内是否存在规定时间内的已知漏洞，或对发现的已知漏洞是否已进行补丁修复或其他降低风险的处理方法。使用端口扫描工具Zenmap分别对网管接口、操作系统、业务接口进行端口扫描，扫描出的端口均应为产品文档中所列端口，没有其他未列出的端口。测试期间还会使用抓包工具，对网管接口、操作系统、业务接口的IP地址进行抓包，在抓包工具捕获的各类协议数据包中，确认是否有产品文档中未列出的端口。

2022年上半年，CNVD发布了多款网络节点设备存在的漏洞问题。①Tenda AC23路由器的v16.03.07.44版本存在堆栈溢出漏洞（CNVD-2022-51587），该漏洞源于WifiBasicSet函数缺乏对长度的正确验证，这些漏洞可被黑客利用导致任意代码的执行。还存在fromAdvSetMacMtuWan函数缓冲区溢出漏洞（CNVD-2022-51586）和AdvSetMacMtuWan函数堆栈溢出漏洞（CNVD-2022-51585），漏洞均源于函数缺乏对长度的正确验证，攻击者可利用该漏洞导致执行任意代码。②信锐网科的POE交换机存在任意文件读取漏洞（CNVD-2022-38268），攻击者可利用该漏洞读取敏感文件、敏感信息等。③Huawei S12700、S2700、S5700、S6700、S7700等多款企业级交换机产品存在命令注入漏洞（CNVD-2022-20321），攻击者可利用漏洞发送恶意参数注入命令行，影响正常功能。④明御安全网关存在命令执行漏洞（CNVD-2022-43128），攻击者可利用该漏洞获取服务器控制权。目前部分厂商已提出相应的漏洞解决方案。

2022年，国家网络信息安全漏洞平台发布了具有网络流量编排、负载均衡、智能DNS、远程接入策略管理等功能的F5 BIG-IP的多种高危漏洞，其存在漏洞如下。①代码问题漏洞（CNVD-2022-70627），攻击者可利用该漏洞在BIG-IP系统上造成拒绝服务。②iControl REST身份认证绕过漏洞（CNVD-2022-35519），由于iControl REST组件的身份认证功能存在绕过缺陷，导致授权访问机制失效。未经身份认证的攻击者利用该漏洞通过向BIG-IP服务器发送恶意构造请求，绕过身份认证，在目标系统上执行任意系统命令，创建或删除文件以及禁用服务等操作。目前，厂商提出了临时解决方案如设置白名单限制对iControl REST组件访问、通过管理界面将访问限制为仅受信任的用户和设备、参考官方建议修改BIG-IP httpd配置限制对iControl REST组件访问等。③HTTP MRF存在拒绝服务漏洞（CNVD-2022-55178），该漏洞源于在HTTP消息路由框架（MRF）虚拟服务器上配置sourceport preserve-strict时，未公开的流量可能会导致流量管理微内核（TMM）生成核心文件并终止连接，攻击者可利用该漏洞在BIG-IP系统上造成拒绝服务。④F5 BIG-IP HTTP2配置文件存在拒绝服务漏洞（CNVD-2022-55183），该漏洞源于在虚拟服务器上配置HTTP2文件时，未公开的流量可能会导致内存资源利用率增加，攻击者可利用该漏洞导致服务降级，从而导致BIG-IP系统上的拒绝服务。目前厂商已发布了漏洞修复程序。

2.2 移动医护设备

由于医疗机构的特殊性，需更加注重患者信息、检查检验信息、就诊信息等的安全性。对于接入医疗系统的不同节点、角色以及交互过程进行业务服务访问授权，在服务交易过程中自动审计记录数据访问情况，实现数据访问与操作的可追溯以及患者隐私数据的脱敏等功能[3]。医院内广泛采用无线网络覆盖系统以满足各种无线终端的无线网络支撑，如PD移动医护终端、平板电脑、条码扫描枪、无线标签的使用，医护人员通过移动终端进行移动查房、移动护理、输液管理、病区订餐、心电数据回传等服务。如果攻击者对智能血压仪、输液监控终端、临床移动终端成功实施网络攻击，可能会使医院的IT系统离线，员工沟通中断，患者护理受到损害，患者的健康史遭到暴露甚至患者被监控。攻击者通过进一步利用窃取的患者信息，进而对受害者发起社会攻击，或根据其窃取的商业和财务信息对医疗机构或企业展开勒索。

2.3 智慧交通设备

车辆内部不同电子单元之间采用的通信方式不同，比如座椅和天窗的控制通过局部互联网，ABS、ESP以及驻车辅助等功能采用控制器局域网，发动机控制、制动反馈和节气门等控制系统采用FlexRay总线。车辆到云平台采用移动通信技术，路侧单元到云平台之间的信息交换采用地面无线基础设施或移动通信技术，车辆定位服务一般采用卫星定位系统或卫星导航系统[4]。当前，车载产品集成了语音通话、导航定位、社交互动等多种功能，其产品形态也越发丰富，如智能后视镜、多媒体导航设备、行驶记录仪、车载定位终端等。车辆内外通过CAN总线、Wi-Fi、蓝牙、4G、5G、V2X方式进行信息交互时，攻击者可以利用车载设备的身份认证或数据加密缺陷发起攻击，产生伪造、篡改、窃取等安全风险，还可以针对T-box、ECU等设备实施攻击，进而利用这些设备的系统漏洞干扰车内的其他部件功能。

2.4 移动支付设备

移动通信技术对金融服务流程的系统再造和重构使得用户的移动支付习惯养成，提高了支付便捷性。用户通过移动终端上的非银行系产品，实现了货币资金的转移及支付行为[5]。相较传统的支付终端，商铺端使用的移动支付终端由于配置了智能操作系统以及无线网络接入功能，增大了其网络信息安全风险。相关检测机构对于智能销售点终端要求符合联卡受理终端安全规范、对于智能销售点终端的操作系统安全要求符合中国银联智能销售点终端技术规范。移动支付终端的安全问题涉及密钥的加密方式、权限管理、进程通信，以及密钥和证书的安全存储和物理安全保护等方面。

2.5 智能家居设备

早期用于智能家居的有线技术可靠性强、传输速率高，但灵活性差、布线需钻墙凿洞，取而代之的是无线通信技术或网络技术[6]。家庭网关广泛用于智能家居网络中，通常支持蜂窝移动通信技术、宽带接入和局域网接入等方式，在线联网多种智能家电设备，如家庭网关设备自身存在未经修复的漏洞，则很容易被黑客成功攻击，存在对家庭用户身份的盗用或者对未经授权访问的家庭录音、录像等数据的窃取和使用等情况。

2022年1-10月份，CNVD发布了多种智能终端设备存在的网络安全漏洞。①涂鸦智能插座存在的逻辑缺陷漏洞（CNVD-2021-73145）源于在涂鸦智能应用软件与插座通信的过程中未使用安全的加密算法（AES/ECB），攻击者可利用漏洞获取加密消息指令，来重新构造消息报文（修改）以及计算相应的校验。②Reolink Rlc-410W智能摄像头在此期间存在87条不同级别的漏洞，如拒绝服务漏洞（CNVD-2022-37387），攻击者可利用漏洞通过编制的HTTP请求导致重新启动。该设备还涉及操作系统命令注入漏洞、访问控制错误漏洞、认证绕过漏洞、数据伪造问题漏洞等问题。③Tenda M3门禁控制器在此期间存在19条高危级别的漏洞，如存在命令注入漏洞（CNVD-2022-33122），漏洞源于组件/goform/exeCommand未能正确过滤构造命令特殊字符等，攻击者可利用该漏洞导致任意命令执行。该门禁控制器的V1.0.0.12版本存在堆栈溢出漏洞（CNVD-2022-56549），源于formSetAccessCodeInfo函数info参数对输入数据不检查其长度，攻击者可利用该漏洞导致拒绝服务攻击。目前部分厂商提出了相应的漏洞解决方案。

3 小结与建议

当前，移动物联网终端用户数已然超过移动电话用户数，在电信设备深度融入经济社会发展各领域多环节的同时，加强电信设备的网络安全保障能力成为至关重要的战略任务。第一，增强电信设备自身的网络安全防护能力，加强用户身份识别、访问控制策略、预装软件的启动更新和卸载以及漏洞管理和恶意程序的防范等方面的内容。第二，提高移动应用软件的安全评估等级，增加对访问控制、升级行为、签名有效性等的评估，增加对数据存储的安全性、敏感信息内安全性、应用调用用户数据、数据访问控制等行为的安全评估。第三，提高电信设备生产企业对设备安全性的重视程度，促进产业的良性发展。第四，加强网络安全教育，提升全民网络安全意识和综合能力。