深度解析 3GPP TR 33.937：Annex B Analysis of UC protection mechanisms for non-IMS interconnection (非IMS互联...

好的，这是系列文章的第十五篇。我们将进入附录B，这是一个极具现实意义的章节，它将PUCI的战场，从相对规整的IMS内部，扩展到了与外部非IMS网络互联的、充满挑战的“灰色地带”。

深度解析 3GPP TR 33.937：Annex B Analysis of UC protection mechanisms for non-IMS interconnection (非IMS互联场景下的UC防护机制分析)

本文技术原理深度参考了3GPP TR 33.937 V18.0.0 (2024-03) Release 18规范中，关于“Annex B (informative): Analysis of UC protection mechanisms for non-IMS interconnection”的核心章节，旨在为读者系统性地梳理当IMS网络与开放、不受信任的非IMS VoIP网络互联时，所面临的严峻挑战以及各类防御武器的适用性与局限性。

引言：当“围墙花园”打开“外贸口岸”

在前面的研究中，我们的工程师李雷，已经为他所在的IMS“围墙花园”设计了一套精密的内部安防体系。然而，IMS并非一座孤岛，为了实现全球通信的普遍可达性，它必须打开“城门”，与其他网络进行互联互通。

李雷发现，与同为“正规军”的其他IMS运营商互联，可以通过SLA等协议保证秩序。但最让他头疼的，是与那些龙蛇混杂、规则不明的非IMS VoIP网络的互联。这些网络，如同开放的“外贸口岸”，带来了商业机会，也涌入了大量的风险——大量的骚扰和诈骗电话，正是从这些缺乏严格身份认证的“口岸”涌入IMS网络的。

此时，李雷面临一个新的挑战：在这样一个“零信任”的边境地带，他之前设计的那些依赖于“身份可信”的内部防御武器，还有效吗？如果无效，我们又有哪些专门的“边防武器”可以使用？

这正是附录B Analysis of UC protection mechanisms for non-IMS interconnection 所要回答的核心问题。它是一份专门针对“非IMS互联”这个最危险、最复杂的战场，进行的专项“武器适用性分析报告”。

1. 战场的特殊性：一个无法依靠“规则”的世界

附录B开篇就点明了这个战场的残酷现实：这是一个几乎无法依赖非技术性手段的世界。

There are basically two kinds of solutions: non-technical and technical ones. … Unfortunately since non-IMS interconnection is not based on previous legal or contractual agreement, non-technical solutions seem difficult to apply to this scenario.

深度解析：

我们之前在4.2章中学到的三大非技术性支柱，在这里几乎全部失效：

• 法律法规：难以跨国执行。
• 合同约束 (SLA)：与这些匿名的、可能随时出现又随时消失的VoIP服务商，根本不存在预先的法律或商业协议。
• 强身份认证：这正是非IMS网络所普遍缺乏的。

结论：在这个战场上，我们唯一能依赖的，只有技术。战斗将回归到最原始、最直接的攻防对抗。

2. 武器库盘点：四大类“边防武器”及其效能分析

附录B将所有可用于这个“零信任”战场的“边防武器”，系统性地分为了四大类，并对它们的效能进行了毫不留情的剖析。

2.1 B.1 基于发送者身份的方案 (Solutions based on sender identity)

这类武器，就是我们熟悉的补充业务（SS），如黑白名单、匿名呼叫拒绝等。

Unfortunately these solutions are efficient only if the sender identity is authenticated which is a big challenge in non-IMS interconnection scenario. On the other hand, when the sender identity is not authenticated, these measures may generate unwanted side-effects such as blacklisting a legitimate user.

深度解析：

• 效能分析：几乎完全失效，甚至会起反作用。
• 原因：这类武器的核心是“认人”。但在一个“人人都可以戴着假面具”（身份可伪造）的环境里，这个核心前提崩塌了。
  • 黑名单：攻击者每次都用一个新的伪造号码，黑名单永远跟不上。
  • 白名单：虽然能挡住所有未知来电，但会将所有来自这些外部网络的正常呼叫拒之门外，严重影响了互通性。
  • 副作用（Side-effects）：最危险的是，如果攻击者伪装成一个无辜的合法用户的号码来发送骚扰，你的黑名单系统就会错误地将这个“好人”列入黑名单，造成“误伤”。

李雷的结论：传统的“认人”策略，在边境地带基本宣告破产。我们需要能够“识破伪装”或“不依赖于人”的武器。

2.2 B.2 呼叫分析与UC识别 (Call analysis and UC identification)

既然“认人”不行，那我们就“听其言，观其行”。这类武器，就是IMR框架的核心——通过分析呼叫本身的行为和内容特征，来判断其意图。

1. 挑战机制 (Challenges)

• 描述：通过给主叫方设置一个只有人类能完成的“挑战”，来区分“人”和“机器”。最典型的就是CAPTCHA（图灵测试）。
• 效能分析：有一定效果，但代价高昂，体验差。

  …annoying for legitimate callers, not applicable to some (legitimate) people, often solved by low cost labor or broken by hackers.

• 缺点：
  • 骚扰合法用户：让每一个来自外部网络的正常用户，都必须先听一段语音验证码，这是一种极差的用户体验。
  • 可被破解：简单的CAPTCHA早已被AI破解；而更廉价的“打码农场”（low cost labor）也可以轻松绕过。
  • 阻断正常业务：会阻断所有合法的自动化呼叫（如会议通知、取餐提醒等）。

2. 呼叫模式分析 (Call pattern analysis)

• 描述：通过分析信令或媒体流的模式，来识别机器行为。
• 效能分析：有一定效果，但对抗性强。

  Call pattern analysis on the signalling may be much easier but needs to be constantly adapted to attacker obfuscating techniques.

• 优点：可以在用户无感知的情况下进行。
• 挑战：这是一场永恒的“猫鼠游戏”。你今天发现“1秒挂断”是骚扰特征，攻击者明天就会升级成“随机3-5秒挂断”，你需要不断地更新和调整你的分析模型。

3. 用户举报 (UC report by callee)

• 描述：依赖终端用户（如李雷）的举报来建立信誉系统。
• 效能分析：有效果，但前提依然是身份。

  The sending user/domain identity is authenticated whereas it can be exploited to build a negative user reputation.

• 困境：如果身份是伪造的，用户举报就失去了目标。你举报的只是一个“假面具”，攻击者下次换个面具继续。用户举报只有在能够与一个可信的、稳定的身份（无论是用户身份还是域名身份）关联时，才能真正发挥作用。

李雷的结论：呼叫分析提供了一条不完全依赖身份的新路径，但它充满了不确定性，且需要持续不断的投入和对抗。它更像是一支“游骑兵”，能骚扰敌人，但无法构建起坚固的防线。

2.3 B.3 网络层方案 (Network solutions)

这类武器，将防御的层面，从应用层（SIP）下沉到了网络层（IP）和传输层（TCP/TLS）。

1. 速率限制 (Rate limiting)

• 描述：在边界路由器或防火墙上，限制来自某个源IP地址或子网的连接速率/包速率。
• 效能分析：简单粗暴，但容易误伤。

  …the “right” threshold may be hard to set, legitimate traffic may be affected…

2. 源地址校验 (Source checking - e.g., SPF)

• 描述：借鉴邮件领域的SPF（发件人策略框架），检查来话的源IP地址，是否在该域名宣告的合法IP地址列表里。
• 效能分析：对UDP无效。

  …this check … may become useless for VoIP over UDP because of possible source address spoofing.

3. IPSec / TLS

• 描述：在两个网络边界之间，建立加密的安全隧道（IPSec是网络层，TLS是传输层）。
• 效能分析：极其安全，但缺乏灵活性。

  …it seems best suited for interconnection where a large volume of traffic is exchanged whether than for “sporadic” calls.

• 优点：可以从根本上解决IP欺骗、窃听和篡改问题。
• 缺点：适用于两个有长期合作关系的、流量巨大的运营商之间（如同建立一条“军事热线”），但不适用于IMS网络与成千上万个小型的、偶发通信的VoIP服务商之间的连接。

李雷的结论：网络层方案如同“重炮”和“地堡”，威力巨大，但机动性差。它们可以用于保护与重要战略伙伴之间的“主干道”，但无法覆盖广阔、零散的“边境线”。

2.4 B.4 应用层方案 (Applicative solutions)

这类武器，是目前最有希望、也是研究最活跃的方向。它们在应用层（SIP）引入了新的机制，试图在“零信任”的环境下，建立起临时的、可靠的信任。

1. SIP身份/DKIM (SIP Identity / DomainKeys Identified Mail)

• 描述：借鉴邮件领域的DKIM，由发送方网络对发出的SIP消息进行数字签名，接收方通过查询DNS获取公钥来验证签名。
• 效能分析：理念先进，但有性能隐患。

  …this protocol requires public-key management and may expose the receiving proxy to DoS threat because it is much more resource consuming to verify a signature…

• 挑战：非对称加密的性能问题。验证签名比生成签名要消耗更多的计算资源。攻击者可以发送海量的、带有伪造签名的消息，来耗尽接收方IBCF的CPU资源，形成一种新的DoS攻击。

2. 基于同意的方案 (Consent based)

• 描述：对于第一次来电的陌生人，不直接接续，而是引导其进入一个“请求同意”的流程。
• 效能分析：以牺牲便利性换取安全性。这是白名单思想的一种软化和延伸。

3. 令牌机制 (Token mechanism)

• 描述：接收方在正式接受INVITE请求前，先向发送方发放一个“令牌”，发送方必须在INVITE中携带这个令牌才能被接受。
• 效能分析：非常有前景，是UC-OPH的核心思想。

  More generally, several mechanisms based on the concept of token, cookie or ticket can be found in the state of the art and they have the common characteristics that a receiving entity issues a token/cookie/ticket that the sender must present to access the service.

• 优点：将认证的“主动权”掌握在了接收方手中，可以有效地防止信令风暴。

李雷的结论：应用层方案，特别是令牌机制，是目前看来最有希望解决边境信任问题的“特种部队”。它们足够灵活，能够应对偶发的通信；又足够安全，能够将认证的主动权牢牢掌握在自己手中。这正是7.5节中UC-OPH框架得以建立的思想基石。

4. 总结：在“黑暗森林”里点亮信任的灯塔

附录B的这场“武器适用性分析”，给李雷带来了深刻的启示。他明白了，在与非IMS网络互联的这片“黑暗森林”里：

• 传统规则已死：依赖于身份、合同的旧有防御体系基本失效。
• 被动防御局限：单纯的模式分析和内容过滤，永远处于“猫鼠游戏”的被动追赶中。
• 网络层防御笨重：IPSec等“重武器”无法适应灵活、开放的互联需求。
• 主动认证是未来：唯有在应用层引入主动的、由接收方主导的、基于密码学的认证机制（如令牌机制），才是点亮这座森林、重建信任的希望灯塔。

这份分析报告，完美地解释了为什么TR 33.937在系统性地梳理了所有可能性之后，最终在7.5节浓墨重彩地提出了UC-OPH这样一个看似复杂，但却直击问题本质的框架。因为它是在排除了所有“权宜之计”后，所能找到的、最接近“根本解”的路径。

---

FAQ 环节

Q1：为什么附录B说在非IMS互联场景下，黑名单甚至会起“反作用”？ A1：因为“误伤”的后果可能比“漏过”更严重。当你将一个被攻击者伪装的、无辜的号码列入黑名单后，这个无辜号码的合法所有者将无法再与你的网络进行任何正常通信。这不仅损害了该用户的通信权利，也可能给你的运营商带来投诉甚至法律风险。在一个身份普遍不可信的环境里，基于不可信信息做出的“惩罚”决策，其风险非常高。

Q2：CAPTCHA（图灵测试）在网页上用得很多，为什么在电话系统里就不被看好？ A2：主要有三个原因：1. 用户体验极差：打电话的首要诉求是便捷和快速，在通话前增加一道“做题”环节，严重违背了这一基本诉求。2. 包容性问题：语音CAPTCHA对于有听力障碍的人士，或者在嘈杂环境中的用户，非常不友好。3. 安全性有限：如规范所述，除了技术破解，廉价的人力（“打码农场”）也可以绕过CAPTCHA，使其在面对有组织的攻击时，防御能力有限。

Q3：IPSec/TLS如此安全，为什么不能成为通用的解决方案？ A3：可以将其类比为建立“专属高速公路”。如果你和某个目的地之间每天都有海量的车流，那么斥巨资修建一条专属高速是划算的。但如果你只是偶尔需要给成千上万个不同的、零散的村庄各送一封信，为每个村庄都修一条高速显然是不现实的。IPSec/TLS需要预先的配置和密钥协商，维护成本高，它适用于可预期的、大规模的、点对点的持久连接，而不适用于开放的、多对多的、偶发的通信场景。

Q4：应用层方案中的“SIP Identity”和“Token Mechanism”有什么根本区别？ A4：根本区别在于计算负载和防御DoS攻击的能力。

• SIP Identity（基于非对称加密）：认证的计算压力主要在接收方（验证签名）。攻击者可以用很小的成本，伪造海量的签名，让接收方疲于验证，从而发动DoS攻击。
• Token Mechanism（接收方发放令牌）：认证的“门槛”由接收方设定。在收到一个请求后，接收方可以先做一个非常轻量级的校验（如IP地址校验），然后发放一个令牌。后续所有重量级的处理（如资源分配、复杂逻辑处理），都只对持有合法令牌的请求开放。这相当于用一个低成本的“门卫”，保护了高成本的“核心设施”，抗DoS攻击能力更强。

Q5：附录B的分析，对于我们今天防范骚扰电话有什么现实指导意义？ A5：它的核心思想——在不可信的环境里，要主动进行身份验证——是今天所有先进反骚扰系统的基石。例如，现在很多手机App或运营商提供的“陌生号码识别”功能，其背后就是一个庞大的信誉数据库。当你接到一个陌生来电时，系统会主动去这个数据库里“验证”这个号码的“身份”（是否被标记为骚扰）。更进一步，STIR/SHAKEN这类技术，则是在协议层面，对号码的来源进行密码学级别的“验证”。这些都是附录B中前瞻性思考在今天的具体实践。