ULR/ULA — Chi tiết các Diameter AVP (đặc biệt Subscription-Data)

Nguồn: 3GPP TS 29.272 R15 (29272-fa0), §7.3.x — bổ sung cho tài liệu ULR/ULA phần 1

Quy ước ABNF trong 3GPP: { } = Mandatory bên trong AVP nhóm cha (nếu AVP cha có mặt), [ ] = Optional, *[ ] = 0..n lần, 1*{ } = ≥1 lần bắt buộc. Diameter không định nghĩa cột Cat. C/O/M riêng bên trong grouped AVP như ở bảng message-level — cột “Cat.” dưới đây phản ánh đúng ký hiệu {}/[] này.

1. Terminal-Information (grouped, trong ULR)

AVP 1401 — thông tin thiết bị đầu cuối.

Terminal-Information ::= [ IMEI ]
                          [ 3GPP2-MEID ]
                          [ Software-Version ]
                         *[ AVP ]

Trên S6a/S6d chỉ dùng IMEI và Software-Version — 3GPP2-MEID không dùng ở interface này dù có trong định nghĩa chung.

2. Subscription-Data (grouped, trong ULA) — AVP quan trọng nhất

AVP 1400 — chứa toàn bộ hồ sơ thuê bao (subscriber profile) cho EPS và GERAN/UTRAN. Đây là payload trung tâm cho các kịch bản tampering AMBR/APN của bạn.

Subscription-Data ::= [ Subscriber-Status ]
                       [ MSISDN ]
                       [ A-MSISDN ]
                       [ STN-SR ]
                       [ ICS-Indicator ]
                       [ Network-Access-Mode ]
                       [ Operator-Determined-Barring ]
                       [ HPLMN-ODB ]
                      *10[ Regional-Subscription-Zone-Code ]
                       [ Access-Restriction-Data ]
                       [ APN-OI-Replacement ]
                       [ LCS-Info ]
                       [ Teleservice-List ]
                      *[ Call-Barring-Info ]
                       [ 3GPP-Charging-Characteristics ]
                       [ AMBR ]                          <-- UE-AMBR
                       [ APN-Configuration-Profile ]      <-- danh sách APN
                       [ RAT-Frequency-Selection-Priority-ID ]
                       [ Trace-Data ]
                       [ GPRS-Subscription-Data ]
                      *[ CSG-Subscription-Data ]
                       [ Roaming-Restricted-Due-To-Unsupported-Feature ]
                       [ Subscribed-Periodic-RAU-TAU-Timer ]
                       [ MPS-Priority ]
                       [ VPLMN-LIPA-Allowed ]
                       [ Relay-Node-Indicator ]
                       [ MDT-User-Consent ]
                       [ Subscribed-VSRVCC ]
                       [ ProSe-Subscription-Data ]
                       [ Subscription-Data-Flags ]
                      *[ Adjacent-Access-Restriction-Data ]
                       [ DL-Buffering-Suggested-Packet-Count ]
                      *[ IMSI-Group-Id ]
                       [ UE-Usage-Type ]
                      *[ AESE-Communication-Pattern ]
                      *[ Monitoring-Event-Configuration ]
                       [ Emergency-Info ]
                       [ V2X-Subscription-Data ]
                      *[ eDRX-Cycle-Length ]
                       [ External-Identifier ]
                       [ Active-Time ]
                       [ Service-Gap-Time ]
                       [ Broadcast-Location-Assistance-Data-Types ]
                       [ Aerial-UE-Subscription-Information ]
                       [ Core-Network-Restrictions ]
                      *[ Paging-Time-Window ]
                      *[ AVP ]

Quan trọng: trong toàn bộ Subscription-Data, không có trường nào bắt buộc (M) — mọi thứ đều [ ] optional. Đây chính là điểm yếu cấu trúc: một DRA/Proxy Agent có thể thêm, xoá, hoặc sửa bất kỳ AVP con nào mà vẫn hợp lệ về ABNF, vì không có ràng buộc “phải tồn tại” nào để phát hiện thiếu sót.

2.1 Bảng giải thích từng trường chính trong Subscription-Data

Ghi chú bổ sung trong spec:

• AMBR trong Subscription-Data phải là UE-AMBR (không được cả UL và DL cùng bằng 0).
• APN-OI-Replacement trong Subscription-Data là mức UE; nếu APN-Configuration cũng có APN-OI-Replacement riêng thì giá trị mức APN có ưu tiên cao hơn.
• Khi có nhiều External-Identifier, giá trị trong Subscription-Data là External-Identifier mặc định do HSS chọn.

3. APN-Configuration-Profile & APN-Configuration (chuỗi lồng nhau)

3.1 APN-Configuration-Profile (AVP 1429)

APN-Configuration-Profile ::= { Context-Identifier }
                               [ Additional-Context-Identifier ]
                               { All-APN-Configurations-Included-Indicator }
                               1*{ APN-Configuration }
                              *[ AVP ]

Ghi chú thiết kế quan trọng cho phân tích an ninh: All-APN-Configurations-Included-Indicator = 1 (delta/incremental update) là cơ chế hợp lệ để HSS chỉ gửi các APN thay đổi. Đây là điểm cần lưu ý: một kẻ tấn công tampering AVP có thể lợi dụng giá trị “1” để chèn một APN-Configuration giả mà MME/SGSN sẽ hiểu là “cập nhật thêm” thay vì thay thế toàn bộ — khó bị phát hiện hơn so với việc thay full-list.

3.2 APN-Configuration (AVP 1430) — cấu hình từng APN

APN-Configuration ::= { Context-Identifier }
                       *2[ Served-Party-IP-Address ]
                       { PDN-Type }
                       { Service-Selection }
                       [ EPS-Subscribed-QoS-Profile ]
                       [ VPLMN-Dynamic-Address-Allowed ]
                       [ MIP6-Agent-Info ]
                       [ Visited-Network-Identifier ]
                       [ PDN-GW-Allocation-Type ]
                       [ 3GPP-Charging-Characteristics ]
                       [ AMBR ]                    <-- APN-AMBR (khác UE-AMBR)
                      *[ Specific-APN-Info ]
                       [ APN-OI-Replacement ]
                       [ SIPTO-Permission ]
                       [ LIPA-Permission ]
                       [ Restoration-Priority ]
                       [ SIPTO-Local-Network-Permission ]
                       [ WLAN-offloadability ]
                       [ Non-IP-PDN-Type-Indicator ]
                       [ Non-IP-Data-Delivery-Mechanism ]
                       [ SCEF-ID ]
                       [ SCEF-Realm ]
                       [ Preferred-Data-Mode ]
                       [ PDN-Connection-Continuity ]
                       [ RDS-Indicator ]
                       [ Interworking-5GS-Indicator ]
                      *[ AVP ]

3.3 EPS-Subscribed-QoS-Profile (AVP 1431)

EPS-Subscribed-QoS-Profile ::= { QoS-Class-Identifier }
                                { Allocation-Retention-Priority }
                               *[ AVP ]

4. AMBR (AVP 1435) — dùng ở cả 2 nơi (UE-AMBR trong Subscription-Data, APN-AMBR trong APN-Configuration)

AMBR ::= { Max-Requested-Bandwidth-UL }
         { Max-Requested-Bandwidth-DL }
         [ Extended-Max-Requested-BW-UL ]
         [ Extended-Max-Requested-BW-DL ]
        *[ AVP ]

Hai vị trí AMBR khác nhau về ý nghĩa:

• UE-AMBR (trong Subscription-Data, mức thuê bao): tổng băng thông cho toàn UE, enforced tại eNB qua S1AP.
• APN-AMBR (trong APN-Configuration, mức từng APN): enforced tại PGW/UPF qua GTPv2-C/PFCP QER.

→ Đây chính xác là 2 điểm chèn của “Kịch bản B” bạn đã ghi nhận: tampering UE-AMBR ảnh hưởng toàn bộ thuê bao ở mọi APN; tampering APN-AMBR chỉ ảnh hưởng một APN cụ thể — cả hai đều không có cơ chế toàn vẹn (không chữ ký, không MAC) bảo vệ giá trị AVP khi đi qua DRA.

5. Tóm tắt phân cấp lồng nhau (nesting)

ULA
 └─ Subscription-Data                          (grouped, tất cả field đều O)
     ├─ AMBR                                   (UE-AMBR — mức thuê bao)
     ├─ Operator-Determined-Barring             (bitmask)
     ├─ Access-Restriction-Data                 (bitmask RAT)
     └─ APN-Configuration-Profile               { Context-ID (M), Indicator (M), APN-Configuration 1*{M} }
         └─ APN-Configuration  (≥1, mỗi APN)     { Context-ID (M), PDN-Type (M), Service-Selection (M) }
             ├─ AMBR                             (APN-AMBR — mức APN)
             ├─ EPS-Subscribed-QoS-Profile        { QCI (M), ARP (M) }
             │   └─ Allocation-Retention-Priority { Priority-Level (M), [Pre-emption-Cap], [Pre-emption-Vuln] }
             ├─ MIP6-Agent-Info                   (PGW identity)
             └─ VPLMN-Dynamic-Address-Allowed     (Home-Routed vs Local-Breakout)

Điểm mấu chốt cho phân tích FS.19: mọi AVP có khả năng gây tác động session-redirect (Service-Selection, MIP6-Agent-Info) hoặc QoS-tampering (AMBR ở 2 cấp) đều nằm sâu trong grouped AVP tuỳ chọn, không có trường nào trong toàn chuỗi Subscription-Data → APN-Configuration-Profile → APN-Configuration là bắt buộc phải khớp với một baseline nào ở phía nhận — hoàn toàn phụ thuộc vào tính toàn vẹn của đường truyền Diameter/DRA.

Nguồn: 3GPP TS 29.272 R15 (29272-fa0), §7.3.2–§7.3.3, §7.3.29–§7.3.41