Ясно е, че разработването на нов стандарт за свързаност, без да се мисли за механизми за безопасност, е изключително съмнително и безполезно.
Сигурност в 5G — комбинация от механизми и процедури за безопасност, реализирани в и обхващащи всички компоненти на мрежата, от ядрото до радиоинтерфейсите.
Мрежите от пето поколение представляват, по същество, еволюция на . Най-съществените промени засягаха технологиите за радиодостъп. За мрежите от пето поколение беше разработена нова (Radio Access Technology) — . Що се отнася до ядрото на мрежата, то претърпя не толкова съществени промени. В тази връзка архитектурата за безопасност на 5G мрежите беше разработена с акцент върху повторното използване на съответстващите технологии, приети в стандарта 4G LTE.
Важно е да се отбележи, че преосмислянето на известни заплахи, като атаки на радиоинтерфейси и сигнализационен ( plane), DDOS атаки, Man-In-The-Middle атаки и други, подтикна операторите да разработят нови стандарти и да интегрират изцяло нови механизми за защита в мрежите от пето поколение.
Предпосилки
През 2015 година Международният съюз за електросвързаност състави първия в света глобален план за развитие на мрежи от пето поколение, поради което въпросът за разработването на механизми и процедури за безопасност в 5G мрежите стана особено актуален.
Новата технология предложи наистина впечатляващи скорости на предаване на данни (над 1 Гбит/с), закъснение по-малко от 1 мс и възможност за едновременно свързване на около 1 милион устройства в радиус от 1 км². Тези изключителни изисквания, поставени пред мрежите от пето поколение, също се отразиха на принципите им на организация.
Основният от тях беше децентрализацията, която подразбираше разположението на множество локални бази данни и центрове за обработка на периферията на мрежата. Това позволяваше минимизиране на закъсненията при -комуникациите и да облекчи ядрото на мрежата поради обслужването на огромен брой IoT устройства. По този начин, границата на новото поколение мрежи се разширява до базовите станции, позволявайки създаването на локални комуникационни центрове и предоставянето на облачни услуги без риск от критични забавяния или отказ в обслужването. Естествено, промененият подход към организацията на мрежите и обслужването на клиентите заинтересува нападателите, тъй като им предоставя нови възможности за атаки както срещу конфиденциалната информация на потребителите, така и срещу самите компоненти на мрежата с цел да предизвикат отказ в обслужването или да завладеят изчислителни ресурси на оператора.
Основни уязвимости на мрежите от пето поколение
Голяма повърхност за атака
Научете повечеПри изграждането на телекомуникационни мрежи от трето и четвърто поколение, операторите обикновено са се ограничавали до работа с един или повече доставчици, които предоставят комплекс от хардуер и софтуер на веднъж. Тоест, всичко е можело да работи, тъй като се казва, ‘от кутията’ — било е достатъчно просто да се инсталира и настрои оборудването, закупено от доставчика; при това не е било необходимо да се заменя или допълва проприетарен софтуер. Съвременните тенденции противоречат на този „класически“ подход и са насочени към виртуализация на мрежите, многодоставчици при изграждането им и разнообразие от софтуер. Все по-популярни стават технологии като (на англ. Software Defined Network) и (на англ. Network Functions Virtualization), което води до включването на огромно количество софтуер, основан на отворен код, в процесите и функциите за управление на телекомуникационни мрежи. Това дава на нападателите възможност да изучат по-добре мрежата на оператора и да открият повече уязвимости, което от своя страна увеличава повърхността за атака на новото поколение мрежи в сравнение с настоящите.
Голямо количество IoT устройства
Научете повечеДо 2021 г. около 57% устройств, подключенных к 5G сетям, будут составлять IoT устройства. Это означает, что большинство хостов будут иметь ограниченные криптографические возможности (см. пункт 2) и, соответственно, будут подвержены атакам. Огромное количество таких устройств увеличит риск распространения ботнетов и даст возможность осуществлять еще более мощные и распределенные DDoS атаки.
Ограниченные криптографические возможности IoT устройств
Научете повечеКак уже было сказано, сети пятого поколения активно используют периферийные устройства, которые позволяют разгрузить ядро сети и тем самым снизить задержку. Это необходимо для таких важных услуг, как управление беспилотными автомобилями, система экстренного оповещения и другие, для которых минимальная задержка критична, поскольку это может повлиять на человеческие жизни. Из-за подключения большого количества IoT устройств, которые, благодаря своим небольшим размерам и низкому потреблению энергии, имеют весьма ограниченные вычислительные ресурсы, сети 5G становятся уязвимыми для атак, направленных на перехват управления и дальнейшую манипуляцию такими устройствами. Например, возможны сценарии заражения IoT устройств, являющихся частью системы «», такими типами вредоносного ПО, как . Также возможны сценарии перехвата управления беспилотными автомобилями, которые получают команды и навигационную информацию через «облако». Формально эта уязвимость связана с децентрализацией сетей нового поколения, но следующий пункт более явно обозначит проблему децентрализации.
Децентрализация и расширение границ сети
Научете повечеУстройства на периферии, выполняющие функции локальных ядер сети, осуществляют маршрутизацию пользовательского трафика, обработку запросов, а также локальное кэширование и хранение пользовательских данных. Таким образом, границы сетей 5-го поколения расширяются не только на уровне ядра, но и на периферии, включая локальные базы данных и радиоинтерфейсы 5G-NR (англ. 5G New Radio). Это создает возможность для атак на вычислительные ресурсы локальных устройств, которые в принципе защищены менее надежно по сравнению с центральными узлами сети, с целью вызова отказа в обслуживании. Это может привести к отключению доступа в интернет для целых районов, неправильной работе IoT-устройств (например, в системах «умный дом»), а также к недоступности сервисов экстренных оповещений IMS.
Однако на сегодняшний день ETSI и 3GPP опубликовали более 10 стандартов, охватывающих различные аспекты безопасности 5G сетей. Подавляющее большинство механизмов, описанных в этих документах, нацелены на защиту от уязвимостей (включая упомянутые выше). Одним из основных является стандарт , который описывает архитектуру безопасности сетей 5-го поколения.
Архитектура 5G
Сначала вспомним ключевые принципы архитектуры 5G-сетей, которые позволят лучше понять смысл и ответственности каждого программного модуля и функции безопасности 5G.
- Разделение сетевых узлов на элементы, обеспечивающие работу протоколов (от англ. UP — User Plane) и элементы, обеспечивающие работу протоколов (от англ. CP — Control Plane), что повышает гибкость в масштабировании и развертывании сети, т.е. возможно как централизованное, так и децентрализованное размещение отдельных компонентов сетевых узлов.
- Поддержка механизма , основанного на услугах, предоставляемых определенным группам конечных пользователей.
- Реализация сетевых элементов в виде .
- Поддержка одновременного доступа к централизованным и локальным службам, т.е. реализация концепций облачных (от англ. ) и пограничных (от англ. ) вычислений.
- Реализация архитектуры, объединяющей различные типы сетей доступа — 3GPP 5G New Radio и (Wi-Fi и т.п.) — с единым ядром сети.
- Поддръжка на единни алгоритми и процедури за удостоверяване, независимо от типа на достъпната мрежа.
- Поддръжка на мрежови функции без съхранение на състоянието (от англ. stateless), при които изчисляемият ресурс е отделен от хранилището на ресурси.
- Поддръжка на роуминг с маршрутизация на трафик както през домашната мрежа (от англ. home-routed roaming), така и с локално "приземяване" (от англ. local breakout) в гостоприемната мрежа.
- Взаимодействието между мрежовите функции е представено по два начина: и .
Концепцията за сигурност на мрежите от 5-то поколение включва:
- Удостоверяване на потребителя от страна на мрежата.
- Удостоверяване на мрежата от страна на потребителя.
- Съгласуване на криптографски ключове между мрежата и потребителското оборудване.
- Шифроване и контрол на целостта на сигналния трафик.
- Шифроване и контрол на целостта на потребителския трафик.
- Защита на идентификатора на потребителя.
- Защита на интерфейсите между различните елементи на мрежата в съответствие с концепцията за мрежов домейн на сигурност.
- Изолиране на различни слоеве на механизма и определяне на собствени нива на сигурност за всеки слой.
- Удостоверяване на потребителя и защита на трафика на ниво крайни услуги (IMS, IoT и др.).
Основни софтуерни модули и мрежови функции за сигурност на 5G
AMF (от англ. Access & Mobility Management Function — функция за управление на достъп и мобилност) — осигурява:
- Организация на интерфейсите на контролната площ.
- Организиране на обмена на сигнален трафик , шифроване и защита на целостта на данните му.
- Организиране на обмена на сигнален трафик , шифроване и защита на целостта на данните му.
- Управление на регистрацията на потребителското оборудване в мрежата и контрол на възможните състояния на регистрация.
- Управление на свързаността на потребителското оборудване с мрежата и контрол на възможните състояния.
- Управление на достъпността на потребителското оборудване в мрежата в състояние CM-IDLE.
- Управление на мобилността на потребителското оборудване в мрежата в състояние CM-CONNECTED.
- Предаване на кратки съобщения между потребителското оборудване и SMF.
- Управление на услуги за геолокация.
- Издаване на идентификатор на потока за взаимодействие с EPS.
SMF (от англ. Session Management Function — функция за управление на сесиите) — осигурява: (англ. Session Management Function — функция за управление на сесии) — осигурява:
- Управление сесиите на свързване, т.е. създаването, изменението и освобождаването на сесии, включително поддръжката на тунел между мрежата за достъп и UPF.
- Разпределение и управление на IP адресите на потребителското оборудване.
- Избор на използвания шлюз UPF.
- Организация на взаимодействието с PCF.
- Управление на прилагането на политиките. .
- Динамична настройка на потребителското оборудване с помощта на протоколите DHCPv4 и DHCPv6.
- Контрол на събирането на тарификационни данни и организация на взаимодействието със системата за фактуриране.
- Непрекасовост на предоставянето на услуги (от английски). ).
- Взаимодействие с гостуващи мрежи в рамките на роуминг.
UPF (англ. User Plane Function — функция на потребителската плоскост) — осигурява:
- Взаимодействие с външни мрежи за предаване на данни, включително глобалния Интернет.
- Маршрутизация на пакети на потребители.
- Маркиране на пакети в съответствие с политиките QoS.
- Диагностика на пакети на потребители (например детекция на приложения на базата на сигнатури).
- Предоставяне на отчети за използването на трафика.
- UPF също е опорна точка за поддръжка на мобилността както вътре в една, така и между различни технологии за радиодостъп.
UDM (англ. Unified Data Management — унифицирано управление на данни) — осигурява:
- Управление на данни за профили на потребители, включително съхранение и модификация на списъка на услугите, достъпни за потребителите, и съответстващите им параметри.
- Управление
- Генериране на данни за удостоверяване 3GPP. .
- Авторизация на достъп на база данни от профила (например ограничения на роуминга).
- Управление на регистрацията на потребителя, т.е. съхранение на обслужващата AMF.
- Поддръжка на непрекъснатост на обслужването и сесията на свързване, т.е. съхранение на назначеното за текущата сесия SMF.
- Управление на доставки на SMS.
- Няколко различни UDM могат да обслужват един и същ потребител в различни транзакции.
UDR (англ. Unified Data Repository — унифицирано хранилище на данни) — осигурява съхраняването на различни потребителски данни и е по същество база данни на всички абонати на мрежата.
UDSF (англ. Unstructured Data Storage Function — функция за съхранение на неструктурирани данни) — осигурява запазване на модулите AMF текущите контексти на регистрираните потребители. Тази информация може да бъде представена като данни с неопределена структура. Контекстите на потребителите могат да бъдат използвани за осигуряване на безшевност и безпроблемност на абонатските сесии както при планирано извеждане на услуга от един от AMF, така и при възникване на аварийна ситуация. И в двата случая, резервният AMF ще „подхване“ услугата, използвайки контекстите, запазени в USDF.
Комбинирането на UDR и UDSF на една физическа платформа е типична реализация на данни мрежови функции.
PCF (англ. Policy Control Function — функция за контрол на политиките) — формулира и назначава на потребителите определени обслужващи политики, включително параметри QoS и правила за тарифиране. Например, за предаване на определен тип трафик могат динамично да се създават виртуални канали с различни характеристики. В същото време могат да се вземат предвид изискванията на услугата, искана от абоната, нивото на натовареност на мрежата, обемът на потребявания трафик и т.н.
NEF (англ. Network Exposure Function — функция за мрежова експозиция) — осигурява:
- Организация на сигурно взаимодействие между външни платформи и приложения с ядрото на мрежата.
- Управление на параметрите QoS и правилата за тарифиране за конкретни потребители.
SEAF (англ. Security Anchor Function — якорна функция за сигурност) — заедно с AUSF осигурява удостоверяване на потребителите при тяхната регистрация в мрежата с всяка технология за достъп.
AUSF (англ. Authentication Server Function — функция на сървъра за удостоверяване) — играе роля на сървър за удостоверяване, който приема и обработва заявки от SEAF и ги пренасочва към ARPF.
ARPF (англ. Authentication Credential Repository and Processing Function — функция на хранилището и обработката на удостоверителни данни) — осигурява съхранение на лични тайни ключове (KI) и параметри на криптографските алгоритми, както и генериране на удостоверителни вектори в съответствие с алгоритмите 5G-AKA или -AKA. Разположен е в защитено от външни физически въздействия ЦОД на домашния оператор на мрежата и, като правило, е интегриран с UDM.
SCMF (англ. Security Context Management Function — функция за управление на ) — осигурява управление на жизнения цикъл на контекста на сигурност в 5G.
SPCF (англ. Security Policy Control Function — функция за управление на политиката за сигурност) — осигурява съгласуването и прилагането на политики за сигурност, свързани с конкретни потребители. При това се вземат предвид възможностите на мрежата, възможностите на потребителското оборудване и изискванията на конкретната услуга (например, нивата на защита, осигурявани от услугата за критични комуникации и услугата за безжичен широколентов достъп до интернет, могат да се различават). Прилагането на политики за сигурност включва: избор на AUSF, избор на алгоритъм за удостоверяване, избор на алгоритми за криптиране на данни и контрол на целостта, определяне на дължината и жизнения цикъл на ключовете.
SIDF (англ. Subscription Identifier De-concealing Function — функция за извличане на идентификатор на потребителя) — осигурява извличането на постоянен идентификатор на абонамента на потребителя (англ. SUPI) от скрития идентификатор (англ. ), получен в рамките на запрос на процедурата за удостоверяване „Auth Info Req”.
Основни изисквания за сигурност към 5G мрежите
Научете повечеУдостоверяване на потребителя: Обслужващата 5G мрежа трябва да удостоверява SUPI на потребителя в процеса на 5G AKA между потребителя и мрежата.
Удостоверяване на обслужващата мрежа: Потребителят трябва да удостовери идентификатора на обслужващата 5G мрежа, като удостоверяването се осигурява чрез успешно използване на ключове, получени в резултат на процедурата 5G AKA.
Авторизация на потребителя: Обслужващата мрежа трябва да авторизира потребителя въз основа на потребителския профил, получен от домашния оператор на мрежата.
Авторизация на обслужващата мрежа от домашния оператор: Потребителят трябва да получи потвърждение, че е свързан с обслужващата мрежа, която е авторизирана от домашния оператор за предоставяне на услуги. Авторизацията е неявна, в смисъл, че се осигурява чрез успешно завършване на процедурата 5G AKA.
Авторизация на мрежата за достъп от домашния оператор: Потребителят трябва да получи потвърждение, че е свързан с достъпна мрежа, която е разрешена от домашния оператор за предоставяне на услуги. Авторизацията е подразбираща се в смисъл, че се осигурява чрез успешно установяване на сигурност в достъпната мрежа. Този тип авторизация трябва да се прилага за всеки тип достъпна мрежа.
Неаутентифицирани аварийни услуги: За да отговарят на регулаторните изисквания в някои региони, 5G мрежите трябва да предлагат възможност за неаутентифициран достъп до аварийни услуги.
Ядро на мрежата и мрежа за радиодостъп: В ядрото на 5G мрежата и мрежата за радиодостъп трябва да се поддържат алгоритми за шифроване и защита на целостта с дължина на ключа 128 бита за осигуряване на безопасност. и . Мрежовите интерфейси трябва да поддържат 256-битови ключове за шифроване.
Основни изисквания за сигурност към потребителското оборудване
Научете повече
- Потребителското оборудване трябва да поддържа шифроване, защита на целостта и защита от повторно воспроизвеждане на потребителски данни, които се предават между него и мрежата за радиодостъп.
- Потребителското оборудване трябва да активира механизми за шифроване и защита на целостта на данните съгласно указания, получени от мрежата за радиодостъп.
- Потребителското оборудване трябва да поддържа шифроване, защита на целостта и защита от повторно воспроизвеждане на сигнален трафик RRC и NAS.
- Потребителското оборудване трябва да поддържа следните криптоалгоритми: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2.
- Потребителското оборудване може да поддържа следните криптоалгоритми: 128-NEA3, 128-NIA3.
- Потребителското оборудване трябва да поддържа следните криптоалгоритми: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2, ако поддържа свързване към мрежата за радиодостъп E-UTRA.
- Защитата на конфиденциалността на потребителските данни, предавани между потребителското оборудване и мрежата за радиодостъп, е опционална, но трябва да бъде осигурена във всички случаи, когато това е разрешено от регулаторните актове.
- Защитата на конфиденциалността на сигналния трафик RRC и NAS е опционална.
- Постоянният потребителски ключ трябва да бъде защитен и да се съхранява в добре защитени компоненти на потребителското оборудване.
- Постоянният идентификатор на абоната не трябва да се предава в открит вид през радиомрежата освен информацията, необходима за коректна маршрутизация (например и ).
- Откритият ключ на мрежата на домашния оператор, идентификаторът на този ключ, идентификаторът на схемата за защита и маршрутизационният идентификатор трябва да се съхраняват в .
Всеки алгоритъм за криптиране получава двоично число:
- „0000“: NEA0 — Null алгоритъм за криптиране
- „0001“: 128-NEA1 — 128-бит Алгоритъм, базиран на 3G
- „0010“ 128-NEA2 — 128-бит базиран алгоритъм
- „0011“ 128-NEA3 — 128-бит базиран алгоритъм.
Криптиране на данни с използване на 128-NEA1 и 128-NEA2
P.S. Схемата е заета от
Изчисляване на имитовставките с алгоритмите 128-NIA1 и 128-NIA2 за осигуряване на целостта
P.S. Схемата е заета от
Основни изисквания за сигурност за мрежовите функции на 5G
Научете повече
- AMF трябва да поддържа първична аутентификация с използване на SUCI.
- SEAF трябва да поддържа първична аутентификация с използване на SUCI.
- UDM и ARPF трябва да съхраняват постоянния потребителски ключ и да осигуряват неговата защита от кражба.
- AUSF трябва да предоставя SUPI на локалната обслужваща мрежа само при успешно извършена първична аутентификация с използване на SUCI.
- NEF не трябва да предава скрита информация за ядрото на мрежата извън домейна за сигурност на оператора.
Основни процедури за сигурност
Доверителни домейни
В мрежите от пето поколение доверието в елементите на мрежата намалява с отдалечаването им от ядрото на мрежата. Тази концепция влияе на решенията, реализирани в архитектурата за сигурност на 5G. Така може да се говори за модел на доверие в 5G мрежи, който определя поведението на механизмите за сигурност на мрежата.
От страна на потребителя, доверителният домейн се образува от UICC и USIM.
От страната на мрежата, доверителният домейн има по-сложна структура.
Мрежата за радиомрежов достъп се подразделя на две частични единици — DU (от английски Distributed Units — разпределени единици на мрежата) и CU (от английски Central Units — централни единици на мрежата). Заедно те формират gNB — радиоинтерфейсът на базовата станция в 5G мрежата. DU не разполага с директен достъп до потребителски данни, тъй като могат да бъдат разположени в сегменти на незащитена инфраструктура. CU трябва да бъдат разположени в защитени мрежови сегменти, тъй като отговарят за терминализирането на трафика на механизми за сигурност AS. В ядрото на мрежата се намира AMF, терминализираща трафика на механизми за сигурност NAS. В текущата спецификация 3GPP 5G Phase 1 е описано комбинирането AMF с функцията за сигурност SEAF, съдържаща кореновия ключ (известен също като „якорен ключ“) на посещаваната (обслужваща) мрежа. AUSF отговаря за съхранението на ключа, получен след успешна автентикация. Той е необходим за повторна употреба в случаи на едновременно свързване на потребителя с няколко мрежи за радиодостъп. ARPF съхранява потребителските данни и е аналог на USIM при абонатите. UDR и UDM съхраняват информация за потребителите, която се използва за определяне на логиката за генериране на идентификационни данни, идентификатори на потребители, осигуряване на непрекъснатост на сесиите и др.
Иерархия на ключовете и схемите за тяхното разпределение
В мрежите от 5-то поколение, в отличие от 4G-LTE мрежите, процедурата за автентикация има две компоненти: първична и вторична автентикация. Първичната автентикация е задължителна за всички потребителски устройства, свързващи се с мрежата. Вторичната автентикация може да се извършва по искане от външни мрежи, ако абонатът е свързан към такива.
След успешното приключване на първичната автентикация и генерирането на споделен ключ К между потребителя и мрежата, от ключа К се извлича KSEAF — специален якорен (коренен) ключ на обслужващата мрежа. Впоследствие от този ключ се генерират ключове, осигуряващи конфиденциалността и целостта на данните от сигналния трафик RRC и NAS.
Схема с пояснения
Обозначения:
CK (англ. Cipher Key)
IK (англ. Integrity Key) — ключ, използван в механизмите за защита на целостта на данните.
CK’ (англ. Cipher Key) — друг криптографски ключ, създаден от CK за механизма EAP-AKA.
IK’ (англ. Integrity Key) — друг ключ, използван в механизмите за защита на целостта на данните за EAP-AKA.
KAUSF — създава се от функцията ARPF и оборудването на потребителя от CK и IK по време на 5G AKA и EAP-AKA.
KSEAF — якорен ключ, получаван от функцията AUSF от ключа KAMFAUSF.
KAMF — ключ, получен чрез функционал SEAF от ключа KSEAF.
KNASint, KNASenc — ключове, получени чрез функционала AMF от ключа KAMF за защита на сигналния трафик NAS.
KRRCint, KRRCenc — ключове, получени чрез функционала AMF от ключа KAMF за защита на сигналния трафик RRC.
KUPint, KUPenc — ключове, получени чрез функционала AMF от ключа KAMF за защита на сигналния трафик AS.
NH — междинен ключ, получен чрез функционалността AMF от ключа KAMF за осигуряване на безопасността на данните при хендовери.
KgNB — ключ, получен чрез функционалността AMF от ключа KAMF за осигуряване на безопасността на механизмите за мобилност.
Схеми за генериране на SUCI от SUPI и обратно
Схеми за получаване на SUPI и SUCI
Генериране на SUCI от SUPI и SUPI от SUCI:
Аутентификация
Първоначална аутентификация
В 5G мрежи EAP-AKA и 5G AKA са стандартните механизми за първоначална аутентификация. Нека разгледаме механизма на първоначалната аутентификация в две фази: първата е отговорна за инициацията на аутентификацията и избора на метод на аутентификация, а втората — за взаимна аутентификация между потребителя и мрежата.
Инициация
Потребителят изпраща запитване за регистрация в SEAF, което съдържа скрит идентификатор на абонамента на потребителя SUCI.
SEAF изпраща до AUSF съобщение-запитване за аутентификация (Nausf_UEAuthentication_Authenticate Request), съдържащо SNN (от английски: Serving Network Name — име на обслужващата мрежа) и SUPI или SUCI.
AUSF проверява дали SEAF, който иска аутентификация, е упълномощен да използва това SNN. Ако обслужващата мрежа не е упълномощена да използва това SNN, AUSF отговаря с сообщение за грешка при аутентификация “Serving network not authorized” (Nausf_UEAuthentication_Authenticate Response).
Запитването за удостоверяване от AUSF към UDM, ARPF или SIDF се извършва по SUPI или SUCI и SNN.
На базата на SUPI или SUCI и информацията за потребителя UDM/ARPF избира метода на аутентификация, който ще бъде използван и предоставя удостоверителни данни на потребителя.
Взаимна аутентификация
При използване на какъвто и да е метод на аутентификация, мрежовите функции UDM/ARPF трябва да генерират вектор за аутентификация (AV).
EAP-AKA: UDM/ARPF първо генерира вектор за аутентификация с разделящ бит AMF = 1, след което генерира CK’ и IK’ от CK, IK и SNN и формира нов вектор за аутентификация AV (RAND, AUTN, XRES*, CK’, IK’), който се изпраща до AUSF с указание да се използва само за EAP-AKA.
5G AKA: UDM/ARPF получава ключ KAUSF от CK, IK и SNN, след което генерира 5G HE AV (5G Home Environment Authentication Vector). Векторът за аутентификация 5G HE AV (RAND, AUTN, XRES, KAUSF) се изпраща до AUSF с указание да се използва само за 5G AKA.
След от AUSF получава ключ за привързване KSEAF от ключа KAUSF и изпраща в SEAF заявка „Challenge“ в съобщение „Nausf_UEAuthentication_Authenticate Response“, което също съдържа RAND, AUTN и RES*. След това RAND и AUTN се предават на потребителското оборудване чрез защитено сигнализиращо съобщение NAS. USIM на потребителя изчислява RES* от получените RAND и AUTN и го изпраща в SEAF. SEAF препраща това значение обратно в AUSF за проверка.
AUSF сравнява съхранявания XRES* и полученото от потребителя RES*. В случай на съвпадение, AUSF и UDM в домашната мрежа на оператора се уведомяват за успешна аутентификация, а потребителят и SEAF независимо един от друг генерират ключ KAMF от KSEAF и SUPI за последваща комуникация.
Вторична аутентификация
Стандарт 5G поддържа опционална вторична аутентификация на базата на EAP-AKA между потребителското оборудване и външната мрежа за предаване на данни. В този случай SMF играе роля на аутентификатор EAP и се опира на работата -сервера на външната мрежа, който аутентифицира и авторизира потребителя.
- Извършва се задължителна първична аутентификация на потребителя в домашната мрежа и се генерира общ контекст за сигурност NAS с AMF.
- Потребителят изпраща в AMF заявка за установяване на сесия.
- AMF изпраща заявка за установяване на сесия в SMF, посочвайки SUPI на потребителя.
- SMF проверява данните за идентификация на потребителя в UDM, използвайки предоставения SUPI.
- SMF изпраща отговор на заявката от AMF.
- SMF стартира процедура за аутентификация EAP с цел получаване на разрешение за установяване на сесия от AAA-сервера на външната мрежа. За целта SMF и потребителят обменят съобщения, за да инициират процедурата.
- Потребителят и AAA-сервера на външната мрежа след това обменят съобщения, за да осъществят аутентификация и авторизация на потребителя. При това потребителят изпраща съобщения до SMF, което от своя страна обменя съобщения с външната мрежа чрез UPF.
Заключение
Въпреки че архитектурата за сигурност на 5G се основава на повторно използване на съществуващи технологии, пред нея стоят съвсем нови предизвикателства. Огромният брой IoT устройства, разширените граници на мрежата и елементи на децентрализирана архитектура — това са само някои от ключовите принципи на стандарта 5G, които предоставят простор за въображението на киберпрестъпниците.
Основният стандарт за архитектура на сигурността в 5G — — съдържа ключовите моменти за функционирането на механизмите и процедурите за сигурност. По-специално, описва ролята на всяка от VNF в осигуряването на защита на потребителските данни и мрежовите възли, в изработката на криптоключове и в извършването на процедурата за удостоверяване. Но дори и този стандарт не дава отговори на остри въпроси за сигурността, които стоят пред операторите на комуникации, колкото по-интензивно се развиват и въвеждат в експлоатация мрежите от ново поколение.
С оглед на това, можем да се надяваме, че трудностите с експлоатацията и защитата на мрежите от 5-то поколение по никакъв начин няма да се отразят на обикновените потребители, на които обещават скорост на предаване и реакция, подобна на внука на приятелката на мама, и които вече нямат търпение да изпробват всички заявени възможности на мрежите от ново поколение.
Полезни линкове
Източник: habr.com
