Sytuacja kobiet w IT w 2024 roku
11.04.201913 min
Maciej Kędzior
Ericsson

Maciej KędziorSystem DeveloperEricsson

Zabezpieczenia 5G

Sprawdź, jakie wyzwania stawia tworzenie zabezpieczeń dla 5G.

Zabezpieczenia 5G

Systemy 5G są kolejnym krokiem w ewolucji sieci komórkowych, wprowadzającym nowe możliwości dla szybko rozwijającego się Internet of Things (IoT). Ta technologia oferuje szybszy transfer danych, mniejsze opóźnienia w transmisji oraz wsparcie dla większej ilości urządzeń w stosunku do LTE. Gdyby brać pod uwagę jedynie te modyfikacje, 5G mogłoby używać tych samych mechanizmów bezpieczeństwa, które były stosowane w LTE.

LTE zapewnia mocne mechanizmy uwierzytelniania i szyfrowania, które z sukcesem zapewniały wysoki poziom bezpieczeństwa użytkownikom na przestrzeni ostatniej dekady. Z tego powodu wiele z tych mechanizmów jest zaadaptowanych w nowym standardzie. Niemniej jednak 5G to nie tylko większy transfer danych i inne aspekty muszą być brane pod uwagę w kontekście bezpieczeństwa.

5G ma wspierać dużą gamę różnorodnych usług poza zapewnianiem łączności telefonicznej i dostępem do Internetu. Ma stanowić medium komunikacji dla inteligentnych miast, autonomicznych samochodów czy też służb publicznych. Nowy standard telekomunikacyjny to również nowy model dostarczania usług. Technologie oparte na chmurach oraz wirtualizacji będą wykorzystywane w celu redukcji kosztów, oraz umożliwią szybkie wdrożenie i optymalizację usług.

Wszystkie te czynniki sprawiają, że architektura w LTE jest zbyt mało elastyczna, aby sprostać wymaganiom, które zostały postawione wobec 5G.

Wyzwania w 5G

Według prognoz Ericsson, do 2024 roku, będziemy mieli 22 miliardy urządzeń podłączonych do sieci. Ta liczba jest bardzo imponująca, ponieważ smartfony nie są uwzględnione w tej prognozie. Mowa tutaj jedynie o urządzeniach IoT, takich jak samochody, roboty, drony, kontenery transportowe, systemy ruchu itd.

Jak widać, IoT obejmuje duży zakres urządzeń. Bezpieczeństwo wielu z nich będzie bardzo ograniczone z powodu np. małej mocy obliczeniowej. Dodatkowo część z tych urządzeń nie będzie mogła mieć przestojów w swojej pracy, co spowoduje, że będą bardzo rzadko aktualizowane. Takie urządzenia mogą być podatne na różne ataki, takie jak atak DoS (Denial-of-Service), przeciążający pamięć operacyjną, dysk, procesor, radio lub baterię.

IoT obok funkcji wprowadza na świat wiele urządzeń gdzie każde musi mieć zapewnioną ochronę, a w razie spontanicznej lub zainicjowanej przez człowieka awarii możliwość szybkiej reakcji operatora i służb publicznych. Nie jest optymistycznym scenariuszem, gdy należy odłączyć na dłuższy czas od sieci kamery na parkingu podziemnym z powodu rozpoczętego z nich ataku DDoS (Distributed Denial of Service). Ericsson wraz z niektórymi operatorami powołali ciało mające dokładnie studiować możliwości łamania bezpieczeństwa w sieciach IoT. Efekty pracy tej grupy są wprowadzane do światowych standardów ICT.

Karty SIM jak reszta sieci także podlegają ewolucji. Na ten moment eSIM (embedded SIM) jest rozwiązaniem przyszłości dla 5G. Tradycyjna karta SIM może być wyjęta z telefonu i przełożona do nowego urządzenia. Programowalna karta eSIM jest na stałe zintegrowana z danym urządzeniem. Takie podejście ma dużo zalet takich jak:

  • możliwość tworzenia w pełni wodoodpornych urządzeń;
  • oszczędność miejsca w urządzeniu mobilnym;
  • utrudnienie kradzieży– osoba trzecia, żeby przeprogramować kartę SIM, musi najpierw odblokować poprzednio zaprogramowaną. Dodatkowo nie ma możliwości włączenia urządzenia bez połączenia się do sieci komórkowej, co umożliwi namierzenie skardzionego urządzenia;
  • ułatwienie zmiany operatora – wystarczy przeprogramować kartę SIM według instrukcji otrzymanych od nowego operatora np. QR kod, przy niewielkim udziale poprzedniego;


Mimo tych zalet można doszukać się pewnych wyzwań w kontekście bezpieczeństwa. Tradycyjna karta SIM tworzyła szyfrowane połączenie z siecią operatora. eSIM jest zintegrowana z komponentami telefonu i jego procesorem – istnieje ryzyko, że błędna implementacja sprzętowa tego rozwiązania sprawi, że nie będzie już bezpośredniego połączenia pomiędzy eSIM a siecią operatora. Może to umożliwić złamanie unikalnych kluczy do komunikacji ze stacją bazową, dzięki czemu atakujący będzie w stanie odszyfrować dane wysyłane/odbierane przez urządzenie lub może sklonować kartę eSIM na inne urządzenie. To daje możliwość do np. weryfikacji SMS do przelewów bankowych lub podszycie się pod inną osobę. Zachodzi jednak tylko wtedy gdy terminal zostanie fizycznie skradziony.

Życie pokazuje jednak że najskuteczniejszą metodą większości włamań było oszukiwanie użytkowników i pracowników technicznych. Osoba która praktykowała i opublikowała tę metodę została za to ukarana, jednak zarówno użytkownik jak i pracownik operatora muszą znać zasady bezpieczeństwa i żyć w stanie podwyższonej czujności. Na przykład przeliterowanie swojego PINu, przez roztargnienie, w studium makijażu podczas oczekiwania na swoją kolej nie wróży dobrze bezpieczeństwu kart telekomunikacyjnych i płatniczych. Włamywacz nie musi użyć tej informacji aby zaszkodzić urządzeniu tej konkretnej osoby. Może próbować zostać uznany za innego pracownika przed pracownikami atakowanej sieci.

Urządzenia do świadczenia prostych usług IoT jak podlewanie winogron będą służyć przez kilka lat po czym będą utylizowane po tym gdy skończy się możliwość ich użycia, jako jednorazowych. Utylizacja jest potrzebna aby ktoś znajdujący takie urządzenia w śmietniku nie próbował korzystać z zapisanych w nich danych. Odpowiednie postępowanie w tej kwestii jest zalecane dla każdego zbywanego urządzenia elektronicznego. Nowoczesne urządzenia, gdy skradzione, już teraz mogą być zdalnie niszczone przez posiadacza,

Karty eSIM jako nowa technologia przynoszą nowe wyzwania w dziedzinie bezpieczeństwa. My, Ericsson, bardzo starannie pracujemy nad sprostaniem tym wyzwaniom.

Bardzo istotne w kontekście bezpieczeństwa jest zrozumienie faktu, że 5G jest nową i innowacyjną technologią. Poza zagrożeniami wypisanymi powyżej mogą pojawić się kompletnie nowe – nieznane i nieprzewidziane do tej pory. 5G niesie niemalże nieograniczone możliwości w IoT, ale również wprowadza nowe możliwości dla kreatywnych hakerów do przeprowadzania zupełnie nowych ataków, które być może nie zostały odpowiednio zaadresowane.

Bardziej niż kiedykolwiek, systemy sieci telefonii komórkowej będą potrzebowały odpowiedniego monitorowania w celu identyfikacji anomalii w ruchu i ataków oraz należytego reagowania na nie w czasie rzeczywistym. Przy takiej skali urządzeń i obsługiwanego ruchu wydaje się, że systemy bezpieczeństwa oparte o sztuczną inteligencję, to jedyne słuszne rozwiązanie, mogące sprostać wysokim wymaganiom bezpieczeństwa postawionym wobec 5G. To jest także częścią rozwoju 5G. W dzisiejszych czasach moc obliczeniowa i przestrzeń dyskowa stały się tanie w porównaniu np. z rokiem 2000. Dzięki temu możemy używać chmurowych rozwiązań zarówno w celu gromadzenia i przesyłania danych, optymalizacji ich ruchu jak i wykrywania i naprawiania problemów z bezpieczeństwem.

Wymagania bezpieczeństwa wobec 5G

Sieci komórkowe już dziś pełnią bardzo istotną rolę w funkcjonowaniu społeczeństwa. Wprowadzenie 5G sprawi, że społeczeństwo będzie jeszcze bardziej zależne od poprawnego funkcjonowania sieci komórkowych z powodu ich zastosowania w dużej części aspektów naszego życia. Utrata niektórych usług może skutkować zagrożeniem życia oraz bezpieczeństwa publicznego. Z tego powodu, 5G jest projektowana jako sieć wysoce niezawodna, z wysokim dostępem do usług w obliczu awarii oraz ataków.

Dodatkowo ogólna świadomość na temat prywatności użytkowników wzrosła. Prywatność w kontekście sieci komórkowych należy rozumieć jako ochronę informacji, które mogą zostać wykorzystane do identyfikacji użytkowników. 5G jest zaprojektowane z dużą dbałością o prywatność w celu zapewnienia bezpieczeństwa danych użytkowników, zgodnie z np. ogólnym rozporządzeniem o ochronie danych (General Data Protection Regulation).

Architektura bezpieczeństwa 5G musi być elastyczna i łatwo adaptowalna do nowych rozwiązań sieciowych oraz nowych funkcjonalności, które trzeba obsłużyć. Konfiguracja bezpieczeństwa powinna być dostosowana i zoptymalizowana, aby odpowiednio obsługiwać konkretną aplikację. Różne usługi będą miały inne wymagania wobec bezpieczeństwa. Uwierzytelnianie powinno być elastyczne, by sprostać tym wymaganiom. Dodatkowo architektura bezpieczeństwa powinna być zdolna do ewolucji, w celu radzenia sobie z nowymi zagrożeniami i rozwiązaniami, które nie są znane w czasie powstawania standardu.

Systemy 5G mogą używać różnorodnych technologii dostępu. Niejednorodne metody dostępu do sieci są jedną z kluczowych funkcji oferowanych przez nowy standard. Z tego powodu potrzebna jest jednolita struktura bezpieczeństwa, zapewniająca możliwość uwierzytelniania i szyfrowania ruchu dla urządzeń używających różnych standardów telekomunikacyjnych jako medium dostępowego, np. Wi-Fi.

Nowe metody bezpieczeństwa w 5G

Architektura rdzenia sieci 5G została zaprojektowana z myślą o niezawodności. Przykładem jest koncept logicznego segmentowania sieci (network slicing). Proces ten polega na logicznym izolowaniu podsieci, z których każda ma być tak zoptymalizowana, aby spełniać odpowiednią charakterystykę ruchu dla pełnionej usługi. Jednym z czynników branych pod uwagę przy projektowaniu segmentów sieci (network slices), powinny być wymogi bezpieczeństwa.

Mając dobrze oddzielone segmenty sieci, możemy odseparować od siebie grupy użytkowników i aplikacji o różnych wymaganiach. Można np. odizolować podsieć dla niskopriorytetowych urządzeń IoT w celu uniknięcia niepożądanych wpływów na sieć, spowodowanych dużą ilością tych urządzeń. Można też wyodrębnić osobny segment dla urządzeń o dużych wymaganiach bezpieczeństwa, np. sprzęt raportujący stan zdrowia pacjentów (eHealth).

Kolejnym czynnikiem zwiększającym niezawodność jest fakt, że architektura sieci szkieletowej w 5G jest oparta na wirtualnym środowisku, a nie na dedykowanych urządzeniach, pełniących konkretne funkcje. Rozwiązania oparte na wirtualizacji sprawiają, że funkcje stają się bardziej skalowalne w zależności od wielkości obsługiwanego ruchu oraz sprawiają, że dane funkcje mogą być niezależnie zastąpione, zrestartowane czy też wyizolowane podczas ataku.

5G kładzie duży nacisk na prywatność i anonimowość użytkowników. Z tego powodu wprowadzono dodatkową ochronę IMSI (International Mobile Subscriber Identity). IMSI jest unikatowym numerem przypisanym do karty SIM, jednoznacznie identyfikującą ją w sieci komórkowej, takiej jak LTE. Wraz ze wzrostem mocy obliczeniowej procesorów, czego owocem jest możliwość implementacji 5G, rośnie też możliwość rozszyfrowania wysyłanych w eter wiadomości. Projektując i testując nową architekturę sieci idziemy z duchem czasu i zwiększamy kryptograficzne zabezpieczenia użytkownika by w tej dziedzinie także być o generację wyżej. Staramy się aby najnowsze rozwiązania stale trafiały w ręce użytkowników wciąż zwiększając bezpieczeństwo ich danych i ich samych razem z nowymi usługami 5G.

5G wprowadza mechanizm, w którym urządzenie mobilne szyfruje swoje IMSI, używając asymetrycznego klucza publicznego sieci domowej. W ten sposób zaszyfrowane IMSI może być odszyfrowane jedynie przez sieć domową, która posiada odpowiedni klucz prywatny. 5G nie dopuszcza transmisji IMSI w wersji zaszyfrowanej starszymi metodami. Wprowadzenie tego typu mechanizmu czyni śledzenie użytkowników poprzez podsłuchiwanie interfejsu radiowego nieopłacalnym.

Po wstępnej rejestracji urządzenie mobilne dostaje tymczasowy identyfikator od sieci – GUTI (Globally Unique Temporary Identifier). Ze względu na to, że IMSI jest wrażliwą daną użytkownika, GUTI jest używany w celu komunikacji z danym urządzeniem mobilnym. W celu zwiększenia anonimowości użytkowników 5G wprowadza ostre restrykcje na częstą zmianę GUTI. Takie zaostrzenie dramatycznie utrudnia ataki bazujące na śledzeniu użytkowników za pomocą GUTI.

5G wymaga elastycznego podejścia do uwierzytelniania urządzeń mobilnych z powodu mnogości przypadków użycia, takich jak IoT, automatyzacja fabryk czy też połączeń do sieci korporacyjnej. Z tego powodu 3GPP definiuje dwa etapy uwierzytelniania: pierwotne i wtórne (Primary, Secondary Authentication).

Pierwotne uwierzytelnianie jest obowiązkowe i jego celem jest przyznanie dostępu do sieci 5G. Wtórne uwierzytelnianie jest nieobowiązkowe i może nastąpić dopiero po pozytywnym uwierzytelnieniu pierwotnym. Celem tej fazy jest uwierzytelnienie urządzenia mobilnego przez zewnętrzną sieć danych – przykładem użycia może być przyznawanie dostępu do APN-u (Access Point Name), należącego do danego przedsiębiorstwa.

Nie jest to jedyna modyfikacja w kwestii uwierzytelnienia urządzeń mobilnych. 3GPP definiuje trzy mechanizmy uwierzytelniania: 5G AKA, EAP-AKA (obowiązkowe) i EAP-TLS (opcjonalne). Dla porównania 4G wspiera tylko mechanizm 4G EPS-AKA.

Protokoły z rodziny AKA (Authentication and Key Agreement) 4G EPS-AKA i 5G AKA są bardzo podobne i ich zasada działania jest niemalże taka sama. Oba protokoły bazują na mechanizmie typu “odpowiedź na wyzwanie” (challenge-response), wykorzystujący klucz wstępny (pre-shared key).

Z jednej strony, klucz wstępny jest zaszyty w module USIM, wpiętym do urządzenia mobilnego. Z drugiej strony, sieć domowa użytkownika posiada dedykowany serwer, który przechowuje dane uwierzytelniające użytkowników, takie jak właśnie klucz wstępny (HSS w LTE, UDM w 5G). Oba mechanizmy zapewniają dwustronne uwierzytelnienie, czyli sieć komórkowa i urządzenie mobilne wzajemnie potwierdzają swoją tożsamość. Główne różnice między 5G AKA w stosunku do 4G EPS-AKA:

  • Użycie szyfrowanego IMSI podczas pierwszej wiadomości w wymianie AKA (Attach Request w LTE, N1 Message w 5G) w przypadku, gdy urządzenie zestawia kontekst bezpieczeństwa po raz pierwszy i nie posiada jeszcze tymczasowego identyfikatora – GUTI (Globally Unique Temporary Identity).
  • Podmioty biorące udział w wymianie wiadomości są inne. Wynika to z nowej architektury w 5G, opartej na usługach. Szczególną uwagę można zwrócić na funkcję SIDF (Subscription Identifier De-concealing Function), która nie ma swojego odpowiednika w LTE. SIDF jest odpowiedzialna za odszyfrowanie SUCI (Subscription Concealed Identifier) w celu otrzymania SUPI (Subscription Permanent Identifier; IMSI w LTE). SIDF posiada klucz prywatny, który jest powiązany z kluczem publicznym, dostarczonym do urządzeń mobilnych, służącym do szyfrowania SUPI.
  • W przypadku, gdy urządzenie mobilne korzysta z infrastruktury radiowej innego operatora (np. roaming), sieć domowa podejmuje decyzje, czy dane urządzenie mobilne powinno zostać wpuszczone do sieci.


Jak wspomniano wcześniej, 5G umożliwia również użycie mechanizmów uwierzytelniających, bazujących na protokole EAP (Extensible Authentication Protocol). EAP jest protokołem klient/serwer, zapewniającym strukturę do wymiany wiadomości uwierzytelniających, bez weryfikacji ich zawartości. EAP- AKA zapewnia taki sam poziom bezpieczeństwa, jak 5G AKA – protokół oparty na mechanizmie “odpowiedź na wyzwanie”, oparty na kluczu wstępnym, współdzielonym przez kartę USIM i sieć domową.

EAP-TLS – zasadniczo różni się od poprzednio zaprezentowanych mechanizmów uwierzytelniania. EAP-TLS zapewnia dwustronne uwierzytelnienie pomiędzy siecią, a urządzeniem mobilnym, używając certyfikatów klucza publicznego (Public Key Certificate). Mamy tu do czynienia z innym modelem zaufania, w porównaniu do poprzednio zaprezentowanych metod. Używanie EAP-TLS może być korzystne, ponieważ nie ma potrzeby przechowywania długich kluczy wstępnych w sieci domowej.

Z drugiej strony, potrzebne są dodatkowe mechanizmy w systemie do zarządzania certyfikatami, jak wydawanie/usuwanie certyfikatów. 5G jest zaprojektowane, żeby wspierać dużo różnorodnych przypadków użycia i wiele z nich może potrzebować innych metod uwierzytelniania. Jednym ze sposobów zastosowania są urządzenia mobilne bez kart SIM. EAP-TLS może sprostać takim przypadkom. Przykładem mogą być tanie urządzenia IoT, takie jak sensory.

Kolejnym usprawnieniem jest wbudowany mechanizm nadawania dostępu do sieci 5G, gdy urządzenie mobilne używa niezaufanej sieci dostępowej, nie będącej pod nadzorem operatora (Non-3GPP Access). Jest to możliwe dzięki nowemu elementowi sieciowemu N3IWF (Non-3GPP Interworking Function), który pełni rolę serwera VPN, który umożliwia zestawienie tunelu IPsec pomiędzy N3IWF a urządzeniem mobilnym. Przykładem użycia może być podłączenie się do sieci 5G, używając domowej sieci Wi-Fi.

Kolejnym mechanizmem w 5G, który może zwiększyć bezpieczeństwo i prywatność użytkowników, jest wykrywanie fałszywych stacji bazowych (False Base Station Detection). Fałszywe stacje bazowe mogą próbować przeprowadzać pasywne lub aktywne ataki na urządzenia mobilne. Pasywne ataki polegają na podsłuchiwaniu interfejsu radiowego i próby wykorzystywania informacji, które są przesyłane w formie nieszyfrowanej (np. atak IMSI Catching). Podczas aktywnych ataków, fałszywa stacja bazowa udaje prawdziwą, rozgłaszając te same informacje MIB/SIB (Master/System Information Block), co prawdziwa stacja, tylko że z większą mocą – w ten sposób próbuje wymusić przełączenie mobilnego urządzenia do fałszywego nadajnika. Na sieci poprzednich generacji zostało zaadresowane wiele rozwiązań zwiększających odporność na takie ataki. Mając do dyspozycji urządzenia radiowe i terminale dużo mocniejsze niż kiedyś od początku wdrażamy odpowiednie dla 5G, najsilniejsze w obecnym momencie technologie zabezpieczeń. Będą one chronić sieć przed znanymi rodzajami ataku od początku jej istnienia. Ułatwią także wprowadzanie zabezpieczeń na nowe rodzaje ataków, ponieważ są ludzie którzy, niestety, opracowują kolejne ich generacje.

Mechanizm zaproponowany w 3GPP wykorzystuje raporty wysyłane przez urządzenia mobilne do stacji bazowej, używając protokołu RRC, które są używane np. do podejmowania decyzji o tzw. handover’ze. Raporty RRC zawierają informacje na temat otrzymywanego pomiaru mocy sygnału oraz lokalizacji urządzeń. Raporty z kilku urządzeń mobilnych mogą zostać poddane analizie i na tej podstawie można wykryć występowanie niepożądanej stacji bazowej.

Można to zrobić na podstawie niezgodności informacji rozgłaszanych przez fałszywy nadajnik, złym numerze identyfikującym komórkę (Cell ID) lub niepoprawnej częstotliwości, w której operuje fałszywy nadajnik. W ten sposób operator zostaje poinformowany o wykryciu niepożądanej stacji nadawczej i może np. powiadomić odpowiednie organy prawne. 

źródło: Ericsson

W platformie stanowiącej podstawę do wdrożenia 5G - sieciach LTE i LTE-Advanced paczki danych przesyłane przez radio są często zwielokrotniane w różnie zakodowanych formach, posiadają mechanizmy wielokrotnie potwierdzające spójność otrzymanych danych w aspektach zawartości oraz czasu wysłania i otrzymania. Są także szyfrowane co już obecnie czyni możliwość ich podmienienia niezwykle trudną. W sieci 5G jest ona wielokrotnie trudniejsza.

Rola Ericsson w bezpieczeństwie 5G

Standaryzacja to proces, w którym wiele organizacji definiuje, jak pracują sieci na całym świecie. Ericsson jest obecny we wszystkich większych jednostkach standaryzacyjnych, pracujących nad bezpieczeństwem i prywatnością w sieciach telekomunikacji mobilnej, takich jak 3GPP, IETF, ETSI NFV. Ericsson nieustannie kształtuje branżę, uczestnicząc w standaryzacji technologii, zwiększających bezpieczeństwo, w celu zapewnienia globalnie uzgodnionych rozwiązań w sieciach komórkowych.

Dla przykładu, w 3GPP Ericsson przewodzi pracą nad ustandaryzowaniem ochrony IMSI i mechanizmu do wykrywania fałszywych stacji bazowych w 5G. Dodatkowo kieruje również pracą nad udoskonaleniem uwierzytelniania 5G, zarówno w IETF, jak i 3GPP. Ulepszenia mają na celu uniemożliwienie osobie atakującej, która uzyskała tajny klucz długoterminowy, odszyfrowanie przeszłych komunikatów.

Ericsson intensywnie pracuje nad niezawodnością swoich produktów. Mechanizmy automatycznego przywrócenia usługi będą chroniły infrastrukturę sieciową jeszcze w większym stopniu niż dziś. Niektóre niepożądane sytuacje w sieci mogą zostać przewidziane i odpowiednie automatyczne akcje mogą zostać podjęte nawet przed wystąpieniem awarii.

W kontekście bezpieczeństwa komunikacji istnieją rozważania, czy 128-bitowe algorytmy szyfrowania, zaadaptowane z LTE, będą zagrożone przez komputery kwantowe. Na ten moment przyjęto, że takowe algorytmy nie powinny być zagrożone. Niemniej jednak Ericsson uważa, że należy zweryfikować, czy systemy 5G mogą korzystać z 256-bitowych algorytmów kryptograficznych.

O autorze

Maciej Kędzior jest System Developerem w dziale Operation and Maintenance w 5G. Pracuje nad projektowaniem nowych rozwiązań do zarządzania stacjami bazowymi. Dodatkowo w dziale Security zajmuje się analizą nowych funkcjonalności pod kątem luk w bezpieczeństwie. W Ericsson pracuje od 5 miesięcy. Interesuje się również sportem, literaturą fantasy oraz aktywnie gra w squasha i piłkę nożną.

Ciekawe linki:

  1. Detecting false base stations in mobile networks
  2. Protecting 5G against IMSI catchers
<p>Loading...</p>