2. Enfoque de resolución de
problemas para una convergencia
de red segura
Problema
✓ Los operadores no dan conexión de IP directa entre los
dispositivos de las distintas redes
✓ Las limitantes principales son
• Dirección IP Privada
• Dirección IP “Rotativa” para las terminales
móviles
• NAT
• Cortafuegos, etc.
✓ El registro de usuario e identidad no pueden ser
ocultados (ejemplo, para Grupo de Usuarios Cerrado VIP)
✓ Protocolo SIP Estándar no diseñado para redes móviles
✓ Necesidad de interconectar sistemas/dispositivos con
distintos protocolos de legado (ejemplo, sistemas de
propiedad)
VoIP
Server
VoIP
Server
VoIP
Server
Terminal
Móvil
1
Terminal
Móvil
2
3. Enfoque en solución de
problemas para una
convergencia de red segura
Solución
✓ Interconexión para comunicación de voz y datos segura
entre
• Dispositivos de IP
• Móvil 3G - 4G & LTE
• PSTN
• Móvil 2G
✓ Comunicación de Punto a Punto
✓ La Red de SlingSecure permite
• Administración independiente de comunicación y
señal
• Grupo de usuarios cerrado mezclado entre
ambiente móvil y fijo
• Señal de llamadas encriptada
• Conversión y adaptación de protocolo cuando sea
requerido
Módulo
de
XServ
Módulo
de
XServ
Módulo
de
XServ
PSTN
to
IP
BD
de
Usuarios
Disposi=vo
PSTN
Administración
de
Claves
y
Auten=cación
Señal Segura
Completamente Duplex
De Punto a Punto
Disposi=vo
IP
4. X Serv
Interconexión para comunicación de voz y datos
segura entre dos dispositivos IP
Módulo
XServ
Módulo
XServ
SlingSecure
La Red de SlingSecure permite conversión y adaptación de
protocolos cuando sea necesario (ejemplo, de PSTN a IP)
Módulo
XServ
PSTN
a
IP
Terminales
• Dispositivos conectados a X Serv
• Móvil 2G/3G/4G/LTE/WiFi
• Dispositivos PSTN
BD
de
Usuarios
Disposi=vo
PSTN
Administración
de
Claves
y
Auten=cación
Disposi=vo
IP
5. Servidor
de
Comunicación
Cruzada
✓ Comunicación Segura de Punto a Punto
✓ Señal para llamadas encriptada
✓ Autenticación por HW
✓ Administración de Claves
✓ Canales de datos de paso
✓ Seguidor de IP Móvil
✓ Elusión de Cortafuegos del Proveedor
(No se requiere servidor STUN)
✓ Arquitectura escalable basada en clusters
Red
SlingSecure
XServ
Module
XServ
Module
XServ
Module
User
DB
User
A
Authen=ca=on
and
Key
Management
Canales Seguros Duplex
de Punto a Punto
XServ
User
B
6. Administración
de
XServ
• Interfaz Basada en Web(HTTPS)
• Acceso Local
– Solida Autenticación Basada en
• Credencial de Seguridad USB
• Tarjeta Inteligente
• Remoto
– Solida Autenticación Basada en
• PKI
• Claves Simétricas (OTP)
XServ
Dispositivo USEpro
7. XServ
en
Mul7ples
Organizaciones
Administración
de
Claves
y
Auten=cación
(A)
Administración
de
Claves
y
Auten=cación(B)
XServ
(A)
XServ
(B)
BD
de
usuarios
(A)
Usuario1
Cuenta(A)
Usuario
2
Usuario
3
Usuario4
Usuario
N
BD
de
usuarios
(B)
Usuario
1
Usuario
2
Clave
Inter-‐
Fuerza
Clave
Inter-‐
Fuerza
Usuario
3
Usuario
4
Usuario
N
Cuenta
(B)
Organización
(A)
Organización(B)
8. Pasarela
de
Comunicación
Interfaces de comunicación múltiples
incrustadas en una plataforma flexible
diseñada para ofrecer interconexión y
seguridad
✓ Conexión física entre canales
heterogéneos
(ejemplo, PSTN a IP)
✓ Adaptación lógica entre protocolos
diferentes
✓ Procesamiento de señal de núcleo
múltiple en tiempo real
✓ Encriptado de Hardware
Pasarela
SlingSecure
a solicitud
Pasarela
SlingSecure
UMTS
EDGE
GSM
Teléfono,
Línea
y
Modems
Host
USB
Disposi=vo
USB
Ethernet
Almacenamiento
SD
Completamente
Personalizable
9. Disposi7vos
conectados
a
Xserv
La Red de SlingSecure permite que dispositivos
móviles y fijos se interconecten y realicen
comunicaciones de voz y datos seguras
✓ Móvil 3G/4G/LTE
✓ Móvil 2G
✓ Terminales con WiFi
✓ Dispositivos PSTN
• Teléfono
• Fax
• Modems
2.75G/3G
WiFi
2G/3G/WiFi
2G
Teléfono
Fax
10. SPS
SlingSecure
Plataformas disponibles
✓ Completamente personalizada
✓ Semi-personalizada
✓ COTS (ejemplo. Motorola, Nokia, HTC HW)
Aplicaciones y Librerías
para Comunicación
Móvil Segura
Capa
de
Aplicación
Marcador
Limpio
Crypto
Dialer
Listado
de
Llamadas
Crypto
Call
List
Contactos
Crypto
Contacts
SMS
Auten=cación
y
Encriptado
Crypto
SMS
Librerías
Crypto
Protocols
Librerías
Crypto
Engine
(xSE
Gráficas
(QT,...)
based)
Empacador
Independiente
del
SO
(Audio,
teclado,
PM,
Modem,
etc.
)
API
de
Telefonía
microSE
mSE
Hardware
Secure
Phone
Stack
(SPS)
So]ware
Completamente
Personalizable
11. m
S
E
Ambiente
Micro
Seguro
Todas las funciones de xSE en una
MicroSD
ASIC
✓ Motor de encriptado en HW
✓ Algorítmos estándar y personalizados
✓ Interfaz de tarjeta SD (hasta 450Mb/s)
✓ Memoria Integrada (hasta 4 GB)
✓ Base de datos de claves interna
✓ Adecuado para Aplicaciones Móviles
SPI
o
BUS
NAND
Flash
mSE
12. Plataformas
Móviles
SlingSecure
El rango de SlingSecure consiste de 4 tipos de plataformas móviles según
el nivel de seguridad requerido
Aplicaciones
de
so]ware
seguras
en
terminales
COTS
con
MicroSD
(ej.,
Nokia,
Windows
Mobile,
etc.)
Seguridad
De
Hardware
microSD
en
Terminal
COTS
C
SPS
en
terminales
COTS
con
MicroSD
(ej.,
Android)
D
SPS
(SO
y
aplicaciones)
en
terminales
COTS
(ej.,
Motorola)
Aplicaciones
de
so]ware
seguras
en
terminales
COTS
con
MicroSD
(ej.,
Nokia,
Windows
Mobile,
Android,
etc.)
Terminales
COTS
A
B
Aplicación
de
Secure
So]ware
Segura
Phone
Stack
de
So]ware
Seguridad
de
So]ware
13. Flujo
de
Llamadas
Seguro
Auten7cación
Para lanzar la aplicación y tener acceso al marcador seguro se debe
ingresar la contraseña de autenticación
Acceso
al
Marcador
Seguro
Negociación
La clave de comunicación simétrica es negociada entre el usuario que llama y
quien recibe la llamada cuando se establece la llamada de voz segura o cuando
se responde una llamada segura
Llamada
de
Voz
Entrante/
Saliente
Segura
Antes de iniciar la llamada segura también se negocian los siguientes elementos
entre los dispositivos
• Algoritmo de encriptado/decodificado (diversa selección de algoritmos disponibles)
• Tipo de Vocoder, modo y tasa
• Claves secundarias (ej., usadas para SMS)
Negociación
Voz
La llamada de voz segura incia después que se completa
exitosamente la fase de negociación
Llamada
de
Voz
Segura
14. Auten7cación
Autenticación del Usuario
• Se le solicita al usuario que ingrese una contraseña cuando se lanza la Aplicación de Voz
Segura
Contraseña
del
Usuario
Sha
256
Contraseña
con
Hash
Comparador
• La contraseña puede ser solicitada una sola vez o varias veces según la preferencia del usuario
• La contraseña puede ser cambiada por el usuario en cualquier momento
• La contraseña se utiliza para tener acceso a la aplicación y al repositorio de claves
OK
Inicio
del
Marcador
Seguro
Las
claves
con
encriptadas
por
medio
de
una
clave
derivada
de
la
Contraseña
del
Usuario
Almacenado
en
el
Teléfono
Móvil
Repositorio
de
Claves
15. Repositorio
de
Claves
Dos repositorios de claves seguros son almacenados en la terminal móvil (o en la microSD)
• Repositorio de Claves Manuales
• Repositorio de Claves de KMS (Servidor de Administración de Claves)
Los repositorios de claves seguros contienen claves simétricas pre-compartidas para ser utilizados por si solos o
en combinación con otros secretos para encriptar/decodificar las comunicaciones (llamadas de voz, sms,
mensajería, etc).
• Claves manuales
•
Pueden ser agregadas, eliminadas o modificadas directamente por el Usuario utilizando el menu de la
Aplicación de Voz Segura
•
Pueden ser habilitadas según las preferencias del usuario y/o las políticas del KMS, si aplica
• Claves del KMS - Servidor de Administración de Claves
•
Solamente pueden ser generadas por el KMS
•
Pueden ser agregadas de manera remota (ej., por SMS) por el KMS
•
No pueden ser canceladas o modificadas por el usuario
16. Seguridad
de
Claves
Las
claves
son
encriptadas
por
medio
de
una
clave
derivada
de
la
Contraseña
del
Usuario
Campos
principales
•
ID
de
Clave
(limpio)
•
Valor
de
clave
(encriptado)
Campos
secundarios
• Fecha
de
vencimiento
(encriptada)
• Uso
(Encriptado)
•
E=queta
(limpia)
• La
clave
de
RND
es
generada
en
el
momento
de
creación
del
repositorio
de
claves
• La
clave
de
RND
es
encriptada
y
almacenada
en
el
teléfono
móvil
• La
clave
de
RND
encriptada
es
u=lizada
en
combinación
con
la
Contraseña
del
Usuario
para
extraer
un
valor
de
la
clave
del
repositorio
de
claves
encriptadas
• Cuando
la
tarjeta
microSD
criptográfica
está
presente.
Las
claves
son
enviadas
encriptadas
a
la
tarjeta
microSD
• La
clave
RND
encriptada
es
almacenada
en
la
microSD
• Las
claves
son
decodificadas
y
u=lizadas
dentro
de
la
microSD
ID
de
Clave
(4
bytes)
Valor
Encriptado
de
la
Clave(16
Bytes)
Entrada
Todas
las
operaciones
en
el
área
verde
son
realizadas
en
la
microSD,
si
está
presente
Entrada
Clave
RND
Encriptada
AES
256
Salida
SHA
256
AES
256
Salida
Clave
Contraseña
del
Usuario
Clave
microSD
Valor
de
Clave
(16
Bytes)
17. Negociación
de
Clave
de
Llamada
de
Voz
Las claves simétricas para encriptar/decodificar las comunicaciones se pueden crear de tres maneras
diferentes
1) Claves pre-compartidas
• Se encuentran disponibles dos listados
• manuales
• generadas por el KMS
• Una de las claves pre-compartidas que la persona que llama y quien recibe la llamada tengan en común , se selecciona
al momento de la negociación para encriptar/decodificar la llamada de voz
2) DH Diffie Hellman - Basado en Curvas Estándar o Elípticas
• Una clave de sesión simétrica es negociada al momento de la llamada
• Versión DH Estándar basada en claves de 4096 bit
• Las Versión DH de Curvas Elípticas se basa en claves de 571 bit, configuración Koblitz GF(2m)
• La clave de sesión final es el hash del resultante de DH
3) Una combinación de los primeros dos modos
• La clave de sesión final es una combinación de las dos claves anteriores: SHA256(DH | SK)
Nota: Una clave de grupo se puede agregar a todos los
mecanismos previos para crear subgrupos
18. El
intermediario
Para detectar un ataque potencial de intermediario se generan dos códigos numericos de
autenticación desde el SHA256 de la clave de encriptado negociada
Los códigos aparecen en la pantalla del dispositivo durante la llamada
Al inicio de la comunicación los usuarios deben revisar dichos codigos entre si por voz
Códigos Iguales = Sin intruso en la llamada
Códigos desiguales = Ataque de intermediario.
19. Trayecto
de
Llamada
de
Voz
Segura
CANAL
SEGURO
Clave
de
Comunicación
Simetrica
ANT
MIC
ANT
MIC
ADC
Voc
Enc
Mod
Mod
Enc
Voc
ADC
DAC
Voc
Dec
Dem
Dem
Dec
Voc
DAC
SPK
SPK
DESP
DESP
CRYPTO
Dominio
de
Aplicación
CRYPTO
CRYPTO
CRYPTO
Dominio
Base
CRYPTO
CRYPTO
DESP
DESP
Dominio
de
Aplicación
20. Procesamiento
de
Voz
• Acceso a micrófono y altavoz utilizando las APIs del SO
• Captura de Muestras de Audio de 8KHz/16bit (128Kbit/s) del Micrófono
• Ingreso de Muestras de Audio de 8KHz/16bit (128Kbit/s) a los Altavoces
• Compresión de Muestras de audio a una tasa adecuada de GSM/UMTS utilizando
Vocoders estándar o personalizados
• Codificación de muestras de audio de micrófono (de 128Kbit/s a ~5Kbit/s)
• Decodificación de muestras de audio de altavoces (de~5Kbit/s a128Kbit/s)
• El vocoder puede ser expuesto por el sistema operativo o escrito en lenguaje nativo
• Encriptado/Decodificación de Voz
• Encriptado de muestras de audio codificadas del micrófono
• Decodificación de las muestras de audio de los altavoces
• Las operaciones de criptografía son realizadas por un módulo de HW o SW dedicado
21. Componentes
de
Procesamiento
de
Voz*
Captura
de
Muestras
de
Audio
Codificación
de
las
Muestras
de
Audio
Encriptado
de
las
Muestras
de
Audio
Codificadas
Envío
de
Información
Librerías
de
audio
Vocoders
estándar
o
personalizados
Librería
de
CriptograOa
API
de
Telefonía
COM
de
Banda
Procesador
de
Banda
Aplicación
Librerías
Drivers
Drivers
de
Audio
Drivers
de
MicroSD/
Almacenamiento
Masivo
Hardware
Codec
de
Audio
y
Microfono
MicroSD
Criptográfica
Provisto
por
SlingSecure
Solamente
para
el
Motor
de
Encripción
de
HW
(ej.,
microSD)
Sistema
Opera=vo
(ejemplo,
del
fabricante
del
teléfono)
*
Este
diagrama
describe
solamente
el
rastro
de
voz
desde
el
microfono
hasta
la
transmición
por
radio
23. Convergencia
de
Red
Segura
-‐
Caso
1
Voz Segura en IP (2.5G, 2.75G, 3G, 3.5G, 4G, LTE, WiFi)
• Señal encriptada administrada por el Servidor Xserv Pipecom
• Paquetes de voz encriptados de punto a punto administrados por las Terminales IP (Encriptado
por HW)
VoIP
Disposi=vo
1
X
Serv
Señal
Encriptada
Los
paquetes
de
voz
encriptados
de
punto
a
punto
pasan
por
el
Canal
Señal
Encriptada
VoIP
Disposi=vo
2
24. Servicios de Comunicación de BlackBerry
• Voz Segura en IP
• Correo Electrónico Seguro
• Mensajería Segura
Cer=ficado
de
HW
para
garan=zar
alta
velocidad
y
seguridad
(Clave
de
2048
bit)
Servidor
de
servicios
de
propiedad
Arquitectura
Independiente
Segura
Seguridad
Sistema completamente escalable permitiendo que los
operadores e integradores ofrezcan servicios de voz, mensajería
y correo electrónico seguros en la plataforma BlackBerry
ofreciendo Encriptado de punto a punto por HW.
Señal
Encriptada
X
Serv
Señal
Encriptada
Encriptado
de
Punto
a
Punto
por
HW
Disponible
4T
del
2010
25. Línea
Fija
a
Móvil
Teléfono
Elementos del Sistema:
• Teléfono Análogo
• Pasarela SlingSecure para Convertir PSTN a
IP
• Teléfono móvil 2.5G/3G/4G/LTE (con mSE)
Llamada de Voz Segura entre teléfonos estándar
PSTN y Teléfonos Móviles
Encriptado por Hardware realizado por
Pasarela
SlingSecure
Señal
Encriptada
XServ
• Pasarela SlingSecure en el PSTN
• mSE en el Teléfono Móvil
• Algoritmo de encriptado personalizado (opcional)
Señal
Encriptada
Encriptado
Punto
a
Punto
por
HW
Móvil
26. Fax
Seguro
por
IP
Elementos del Sistema:
• Fax G3 Estándar
• Plataforma SlingSecure para convertir de
PSTN a IP
Llamada de Datos segura entre Fax PSTN
estándar
Encriptado por Hardware realizado por la
plataforma SlingSecure
• Algoritmo de Encriptado Personalizado
Dos modos de Fax:
• Línea Directa
• Almacenar y Reenviar
Fax Estandar G3
Pasarela SlingSecure
Señal Encriptada
XServ
Señal
Encriptada
Encriptado por
HW de Punto a
Punto
Fax
Estandar G3
Plataforma SlingSecure
27. Conexión
por
Satelite
Mundial
Satelite
Internet
Sat
Enlace
Servidor
VoIP
IP
sobre
Sat
Sistema
de
Vehículo
Estación
en
Tierra
WiFi
WiFi
Sistema
Portatil
Sistema
Marino
28. Proxy
CSD
ZONA 2
ZONA 1
Conversión de
CSD a IP
Servidor VoIP
Área GSM - CSD
(Sin UMTS, Sin IP)
Red IP
IP
GSM
-‐
CSD
Pasarela
Segura
Proxy
CSD
29. Llamada
de
Conferencia
Segura
Red SlingSecure
IP
IP
XServ
3G Pipe
Móvil WiFi
Móvil 3G
Teléfono
IP
IP
Conferencia de
Medio Segura
Red IP
Claves Temporales
Número de Conferencia Único
Pasarela SlingSecure
30. Personalizaciones
(I)
El nivel y el criterio de personalización son elegidos según la plataforma móvil
La personalización deberá ser realizada independientemente por el cliente y sin ningún conocimiento o
interferencia de SlingSecure
Terminales móviles sin microSD criptográfica
• Dado que la librería criptográfica es un módulo externo escrito en C/C++, el cliente puede modificar o agregar
métodos desde una plantilla funcional provista por SlingSecure
• El cliente puede compilar y sobrecargar la librería criptográfica independientemente
• Se proporciona un ambiente de simulación junto a las herramientas de WH y SW necesarias
Compilación
Cruzada
Sobrecarga
Función
Ansi
C
Empacador
C++
Simulación
Personalizado
Compilación
Vuelta
De
Prueba
Funciones
ANSI
C
Personalización
AES
DH
Personaliz
ado
EC
Adm
Clave
RNG
31. Personalizaciones
(I)
Opciones de personalización
Para nuestras plataformas de móvil basadas en microSD
1) Basadas en microSD (solución estándar)
• Se puede implementar una combinación personalizada de algoritmos estándar
• Las funciones criptográficas son exportadas como librerías java
• SlingSecure puede proporcionar la applet y el soporte básicos para agregar/sobrecargar las funciones internas
personalizables en la microSD “abierta” provista por el Cliente
2) MicroSD personalizada (disponible a solicitud)
• Tarjeta microSD basada en micro-controlador para una personalización de algoritmo más profunda – provista por
SlingSecure
• Mismo enfoque que en las librerías de software con código ANSI C ejecutado dentro de la microSD
3) Librería de Software
• Los algoritmos personalizados son implementados como una librería de software
• Las operaciones criptográficas básicas se mantienen dentro de una microSD basada en tarjeta inteligente o en
micro-controlador
32. Auten7cación
de
Servidor
de
Archivos
✓
✓
✓
Autenticación de usuario para tener acceso al Servidor de archivos Dmz
Radius-Tacacs + Ldap verifica la cuenta del usuario y las políticas del controlador del dominio
El servidor de dominio otorga la autenticación para que las estaciones de trabajo tengan acceso al
Servidor de Archivos Dmz
33. Claves
y
Cer7ficados
(I)
✓ Grupos de usuarios en distintas VLANs son administrados por switches
dedicados
✓ Las políticas de tráfico son administradas por la pasarela de seguridad
✓ Acceso administrado por medio de
• Certificados de seguridad(basado en tarjeta inteligente EAL5+) o
• Clave Simétrica basada en Servicio OTP o
• Certificados
Cer=ficados
Disposi=vo
USEpro
37. Los productos de SlingSecure están respaldado por el soporte de los
equipos de ingeniería y diseño para
ü Efectividad de Costos
ü Integración de sistemas
ü Entrega de soluciones a tiempo
El alto nivel de servicio y soporte para todos los productos de
SlingSecure permiten al cliente alcanzar el resultado deseado con la
mejor relación costo-desempeño.
