Es ist offensichtlich, dass es ein äußerst zweifelhaftes und aussichtsloses Unterfangen ist, die Entwicklung eines neuen Kommunikationsstandards in Angriff zu nehmen, ohne über Sicherheitsmechanismen nachzudenken.
5G-Sicherheitsarchitektur — eine Reihe von Sicherheitsmechanismen und -verfahren, die in implementiert sind und deckt alle Netzwerkkomponenten ab, vom Kern bis zu den Funkschnittstellen.
Netzwerke der 5. Generation sind im Wesentlichen eine Weiterentwicklung . Die Funkzugangstechnologien haben die bedeutendsten Veränderungen erfahren. Für Netzwerke der 5. Generation gibt es eine neue (Funkzugangstechnologie) - . Der Kern des Netzwerks hat keine so wesentlichen Änderungen erfahren. In diesem Zusammenhang wurde die Sicherheitsarchitektur von 5G-Netzen mit dem Schwerpunkt auf der Wiederverwendung relevanter Technologien entwickelt, die im 4G-LTE-Standard übernommen wurden.
Es ist jedoch anzumerken, dass ein Überdenken bekannter Bedrohungen wie Angriffe auf Luftschnittstellen und die Signalisierungsschicht ( Flugzeug), DDOS-Angriffe, Man-In-The-Middle-Angriffe usw. veranlassten Telekommunikationsbetreiber dazu, neue Standards zu entwickeln und völlig neue Sicherheitsmechanismen in Netzwerke der 5. Generation zu integrieren.
Предпосылки
Im Jahr 2015 hat die Internationale Fernmeldeunion den ersten globalen Plan dieser Art für den Aufbau von Netzen der fünften Generation erstellt, weshalb die Frage der Entwicklung von Sicherheitsmechanismen und -verfahren in 5G-Netzen besonders akut geworden ist.
Die neue Technologie bot wirklich beeindruckende Datenübertragungsgeschwindigkeiten (mehr als 1 Gbit/s), eine Latenz von weniger als 1 ms und die Möglichkeit, gleichzeitig etwa 1 Million Geräte in einem Umkreis von 1 km2 zu verbinden. Diese höchsten Anforderungen an Netze der 5. Generation spiegeln sich auch in den Grundsätzen ihrer Organisation wider.
Der wichtigste Grund war die Dezentralisierung, die die Platzierung vieler lokaler Datenbanken und ihrer Verarbeitungszentren an der Peripherie des Netzwerks beinhaltete. Dadurch konnten Verzögerungen minimiert werden -Kommunikation und Entlastung des Netzwerkkerns durch die Bedienung einer großen Anzahl von IoT-Geräten. Somit erstreckte sich der Rand der Netzwerke der nächsten Generation bis zu den Basisstationen und ermöglichte die Schaffung lokaler Kommunikationszentren und die Bereitstellung von Cloud-Diensten ohne das Risiko kritischer Verzögerungen oder Denial-of-Service. Natürlich war die veränderte Herangehensweise an Netzwerke und Kundenservice für Angreifer interessant, da sie ihnen neue Möglichkeiten eröffnete, sowohl vertrauliche Benutzerinformationen als auch die Netzwerkkomponenten selbst anzugreifen, um einen Denial-of-Service auszulösen oder die Rechenressourcen des Betreibers zu beschlagnahmen.
Hauptschwachstellen von Netzwerken der 5. Generation
Große Angriffsfläche
mehrBeim Aufbau von Telekommunikationsnetzen der 3. und 4. Generation beschränkten sich Telekommunikationsbetreiber in der Regel auf die Zusammenarbeit mit einem oder mehreren Anbietern, die sofort eine Reihe von Hardware und Software lieferten. Das heißt, alles könnte, wie man sagt, „out of the box“ funktionieren – es reichte aus, nur die vom Anbieter gekauften Geräte zu installieren und zu konfigurieren; Es bestand keine Notwendigkeit, proprietäre Software zu ersetzen oder zu ergänzen. Moderne Trends stehen im Widerspruch zu diesem „klassischen“ Ansatz und zielen auf die Virtualisierung von Netzwerken, einen Multi-Vendor-Ansatz für deren Aufbau und Softwarevielfalt ab. Technologien wie (Englisch Software Defined Network) und (engl. Network Functions Virtualization), was zur Einbindung einer großen Menge an auf Open-Source-Codes basierender Software in die Prozesse und Funktionen der Verwaltung von Kommunikationsnetzwerken führt. Dies gibt Angreifern die Möglichkeit, das Netzwerk des Betreibers besser zu untersuchen und eine größere Anzahl von Schwachstellen zu identifizieren, was wiederum die Angriffsfläche von Netzwerken der neuen Generation im Vergleich zu aktuellen vergrößert.
Große Anzahl an IoT-Geräten
mehrBis 2021 werden etwa 57 % der mit 5G-Netzwerken verbundenen Geräte IoT-Geräte sein. Dies bedeutet, dass die meisten Hosts über begrenzte kryptografische Fähigkeiten verfügen (siehe Punkt 2) und dementsprechend anfällig für Angriffe sind. Eine große Anzahl solcher Geräte erhöht das Risiko der Verbreitung von Botnetzen und ermöglicht die Durchführung noch leistungsfähigerer und verteilterer DDoS-Angriffe.
Begrenzte kryptografische Fähigkeiten von IoT-Geräten
mehrWie bereits erwähnt, nutzen Netzwerke der 5. Generation aktiv Peripheriegeräte, die es ermöglichen, einen Teil der Last vom Netzwerkkern zu entfernen und dadurch die Latenz zu reduzieren. Dies ist für so wichtige Dienste wie die Steuerung unbemannter Fahrzeuge und das Notfallwarnsystem erforderlich und andere, für die die Gewährleistung einer minimalen Verzögerung von entscheidender Bedeutung ist, weil Menschenleben davon abhängen. Aufgrund der Anbindung einer großen Anzahl von IoT-Geräten, die aufgrund ihrer geringen Größe und ihres geringen Stromverbrauchs nur über sehr begrenzte Rechenressourcen verfügen, werden 5G-Netze anfällig für Angriffe, die darauf abzielen, die Kontrolle über solche Geräte abzufangen und sie anschließend zu manipulieren. Beispielsweise kann es Szenarien geben, in denen IoT-Geräte, die Teil des Systems sind, infiziert werden.", Arten von Malware wie . Es sind auch Szenarien möglich, in denen die Steuerung unbemannter Fahrzeuge abgefangen wird, die Befehle und Navigationsinformationen über die Cloud empfangen. Formal ist diese Schwachstelle auf die Dezentralisierung von Netzwerken der neuen Generation zurückzuführen, im nächsten Absatz wird das Problem der Dezentralisierung jedoch klarer dargelegt.
Dezentralisierung und Erweiterung der Netzwerkgrenzen
mehrPeripheriegeräte, die als lokale Netzwerkkerne fungieren, übernehmen die Weiterleitung des Benutzerverkehrs, die Verarbeitung von Anfragen sowie das lokale Caching und Speichern von Benutzerdaten. Damit erweitern sich die Grenzen der Netze der 5. Generation neben dem Kern auch in die Peripherie, einschließlich lokaler Datenbanken und 5G-NR-Funkschnittstellen (5G New Radio). Dadurch entsteht die Möglichkeit, die Rechenressourcen lokaler Geräte anzugreifen, die von vornherein schwächer geschützt sind als die zentralen Knoten des Netzwerkkerns, mit dem Ziel, einen Denial-of-Service auszulösen. Dies kann dazu führen, dass der Internetzugang für ganze Bereiche unterbrochen wird, IoT-Geräte (z. B. in einem Smart-Home-System) nicht richtig funktionieren und der IMS-Notfallalarmdienst nicht verfügbar ist.
Allerdings haben ETSI und 3GPP inzwischen mehr als 10 Standards veröffentlicht, die verschiedene Aspekte der 5G-Netzwerksicherheit abdecken. Die überwiegende Mehrheit der dort beschriebenen Mechanismen zielt auf den Schutz vor Schwachstellen (einschließlich der oben beschriebenen) ab. Einer der wichtigsten ist der Standard , Beschreibung der Sicherheitsarchitektur von Netzwerken der 5. Generation.
5G-Architektur
Wenden wir uns zunächst den Schlüsselprinzipien der 5G-Netzwerkarchitektur zu, die die Bedeutung und Verantwortungsbereiche jedes Softwaremoduls und jeder 5G-Sicherheitsfunktion ausführlicher aufzeigen.
- Aufteilung von Netzwerkknoten in Elemente, die den Betrieb von Protokollen gewährleisten (vom englischen UP – User Plane) und Elemente, die den Betrieb von Protokollen sicherstellen (vom englischen CP – Control Plane), was die Flexibilität hinsichtlich der Skalierung und Bereitstellung des Netzwerks erhöht, d. h. eine zentrale oder dezentrale Platzierung einzelner Komponenten-Netzwerkknoten ist möglich.
- Mechanismusunterstützung , basierend auf den Diensten, die für bestimmte Endbenutzergruppen bereitgestellt werden.
- Implementierung von Netzwerkelementen im Formular .
- Unterstützung des gleichzeitigen Zugriffs auf zentrale und lokale Dienste, d. h. Umsetzung von Cloud-Konzepten (aus dem Englischen). ) und Grenze (aus dem Englischen. ) Berechnungen.
- Implementierung Architektur, die verschiedene Arten von Zugangsnetzen kombiniert - 3GPP 5G New Radio und (Wi-Fi usw.) – mit einem einzigen Netzwerkkern.
- Unterstützung einheitlicher Algorithmen und Authentifizierungsverfahren, unabhängig von der Art des Zugangsnetzes.
- Unterstützung für zustandslose Netzwerkfunktionen, bei denen die berechnete Ressource vom Ressourcenspeicher getrennt ist.
- Unterstützung für Roaming mit Verkehrsweiterleitung sowohl über das Heimnetz (vom englischen Home-Roaming) als auch mit einer lokalen „Landung“ (vom englischen Local Breakout) im Gastnetz.
- Die Interaktion zwischen Netzwerkfunktionen wird auf zwei Arten dargestellt: и .
Das Netzwerksicherheitskonzept der 5. Generation umfasst::
- Benutzerauthentifizierung über das Netzwerk.
- Netzwerkauthentifizierung durch den Benutzer.
- Aushandlung kryptografischer Schlüssel zwischen Netzwerk und Benutzergeräten.
- Verschlüsselung und Integritätskontrolle des Signalisierungsverkehrs.
- Verschlüsselung und Kontrolle der Integrität des Benutzerverkehrs.
- Schutz der Benutzer-ID.
- Schutz von Schnittstellen zwischen verschiedenen Netzwerkelementen gemäß dem Konzept einer Netzwerksicherheitsdomäne.
- Isolierung verschiedener Schichten des Mechanismus und Definieren der eigenen Sicherheitsstufen jeder Ebene.
- Benutzerauthentifizierung und Verkehrsschutz auf der Ebene der Enddienste (IMS, IoT und andere).
Wichtige Softwaremodule und 5G-Netzwerksicherheitsfunktionen
AMF (aus dem Englischen Access & Mobility Management Function – Zugangs- und Mobilitätsmanagementfunktion) – bietet:
- Organisation von Steuerungsebenenschnittstellen.
- Organisation des Signalverkehrsaustausches , Verschlüsselung und Schutz der Integrität seiner Daten.
- Organisation des Signalverkehrsaustausches , Verschlüsselung und Schutz der Integrität seiner Daten.
- Verwaltung der Registrierung von Benutzergeräten im Netzwerk und Überwachung möglicher Registrierungszustände.
- Verwaltung der Verbindung von Benutzergeräten mit dem Netzwerk und Überwachung möglicher Zustände.
- Kontrollieren Sie die Verfügbarkeit von Benutzergeräten im Netzwerk im CM-IDLE-Status.
- Mobilitätsmanagement von Benutzergeräten im Netzwerk im CM-CONNECTED-Zustand.
- Übertragung von Kurznachrichten zwischen Benutzergeräten und SMF.
- Verwaltung von Standortdiensten.
- Thread-ID-Zuweisung um mit EPS zu interagieren.
SMF (Englisch: Session Management Function – Sitzungsverwaltungsfunktion) – bietet:
- Verwaltung von Kommunikationssitzungen, d. h. Erstellen, Ändern und Freigeben von Sitzungen, einschließlich der Aufrechterhaltung eines Tunnels zwischen dem Zugangsnetzwerk und dem UPF.
- Verteilung und Verwaltung von IP-Adressen von Benutzergeräten.
- Auswahl des zu verwendenden UPF-Gateways.
- Organisation der Interaktion mit PCF.
- Verwaltung der Richtliniendurchsetzung .
- Dynamische Konfiguration von Benutzergeräten mithilfe der Protokolle DHCPv4 und DHCPv6.
- Überwachung der Erhebung von Tarifdaten und Organisation der Interaktion mit dem Abrechnungssystem.
- Nahtlose Bereitstellung von Dienstleistungen (aus dem Englischen. ).
- Interaktion mit Gastnetzwerken beim Roaming.
UPF (englisch User Plane Function – Benutzerebenenfunktion) – bietet:
- Interaktion mit externen Datennetzwerken, einschließlich des globalen Internets.
- Benutzerpakete weiterleiten.
- Markierung von Paketen gemäß QoS-Richtlinien.
- Diagnose von Benutzerpaketen (z. B. signaturbasierte Anwendungserkennung).
- Bereitstellung von Berichten zur Verkehrsnutzung.
- UPF ist auch der Ankerpunkt für die Unterstützung der Mobilität sowohl innerhalb als auch zwischen verschiedenen Funkzugangstechnologien.
UDM (Englisch Unified Data Management – einheitliche Datenbank) – bietet:
- Verwalten von Benutzerprofildaten, einschließlich Speichern und Ändern der Liste der für Benutzer verfügbaren Dienste und ihrer entsprechenden Parameter.
- Management
- Generieren Sie 3GPP-Authentifizierungsdaten .
- Zugriffsberechtigung auf Basis von Profildaten (z. B. Roaming-Beschränkungen).
- Verwaltung der Benutzerregistrierung, d. h. Speicherung der bereitgestellten AMF.
- Unterstützung für nahtlose Service- und Kommunikationssitzungen, d. h. Speicherung des der aktuellen Kommunikationssitzung zugewiesenen SMF.
- Verwaltung der SMS-Zustellung.
- Mehrere verschiedene UDMs können denselben Benutzer über verschiedene Transaktionen hinweg bedienen.
UDR (Englisch Unified Data Repository – Speicherung einheitlicher Daten) – bietet die Speicherung verschiedener Benutzerdaten und ist tatsächlich eine Datenbank aller Netzwerkteilnehmer.
UDSF (Englisch Unstructured Data Storage Function – unstrukturierte Datenspeicherfunktion) – stellt sicher, dass AMF-Module die aktuellen Kontexte registrierter Benutzer speichern. Im Allgemeinen können diese Informationen als Daten einer unbestimmten Struktur dargestellt werden. Benutzerkontexte können verwendet werden, um nahtlose und unterbrechungsfreie Teilnehmersitzungen sicherzustellen, sowohl während des geplanten Rückzugs eines der AMFs aus dem Dienst als auch im Notfall. In beiden Fällen „holt“ das Backup-AMF den Dienst mithilfe der in USDF gespeicherten Kontexte ab.
Die Kombination von UDR und UDSF auf derselben physischen Plattform ist eine typische Implementierung dieser Netzwerkfunktionen.
PCF (Englisch: Policy Control Function – Richtlinienkontrollfunktion) – erstellt bestimmte Dienstrichtlinien und weist diese den Benutzern zu, einschließlich QoS-Parametern und Gebührenregeln. Um beispielsweise den einen oder anderen Verkehrstyp zu übertragen, können virtuelle Kanäle mit unterschiedlichen Eigenschaften dynamisch erstellt werden. Dabei können die Anforderungen des vom Teilnehmer gewünschten Dienstes, der Grad der Netzüberlastung, die Menge des verbrauchten Datenverkehrs usw. berücksichtigt werden.
NEF (Englische Netzwerk-Belichtungsfunktion – Netzwerk-Belichtungsfunktion) – bietet:
- Organisation der sicheren Interaktion externer Plattformen und Anwendungen mit dem Netzwerkkern.
- Verwalten Sie QoS-Parameter und Gebührenregeln für bestimmte Benutzer.
SEAF (englisch Security Anchor Function – Ankersicherheitsfunktion) – sorgt zusammen mit AUSF für die Authentifizierung von Benutzern, wenn sie sich mit einer beliebigen Zugangstechnologie im Netzwerk registrieren.
AUSF (englisch Authentication Server Function – Authentifizierungsserverfunktion) – spielt die Rolle eines Authentifizierungsservers, der Anfragen von SEAF empfängt, verarbeitet und an ARPF weiterleitet.
ARPF (Englisch: Authentication Credential Repository and Processing Function – Funktion zum Speichern und Verarbeiten von Authentifizierungsdaten) – ermöglicht die Speicherung persönlicher geheimer Schlüssel (KI) und Parameter kryptografischer Algorithmen sowie die Generierung von Authentifizierungsvektoren gemäß 5G-AKA oder -AKA. Es befindet sich geschützt vor äußeren physikalischen Einflüssen im Rechenzentrum des heimischen Telekommunikationsbetreibers und ist in der Regel in UDM integriert.
SCMF (Englisch Security Context Management Function – Verwaltungsfunktion ) – Bietet Lebenszyklusmanagement für den 5G-Sicherheitskontext.
SPCF (englisch Security Policy Control Function – Sicherheitsrichtlinien-Verwaltungsfunktion) – sorgt für die Koordination und Anwendung von Sicherheitsrichtlinien in Bezug auf bestimmte Benutzer. Dabei werden die Fähigkeiten des Netzwerks, die Fähigkeiten der Benutzerausrüstung und die Anforderungen des jeweiligen Dienstes berücksichtigt (z. B. können die vom kritischen Kommunikationsdienst und vom drahtlosen Breitband-Internetzugangsdienst bereitgestellten Schutzniveaus unterschiedlich sein). Die Anwendung von Sicherheitsrichtlinien umfasst: Auswahl von AUSF, Auswahl des Authentifizierungsalgorithmus, Auswahl von Datenverschlüsselungs- und Integritätskontrollalgorithmen, Bestimmung der Länge und des Lebenszyklus von Schlüsseln.
SIDF (Englisch Subscription Identifier De-Concealing Function – User Identifier Extraction Function) – gewährleistet die Extraktion der permanenten Abonnement-ID eines Abonnenten (englisch SUPI) aus einer versteckten Kennung (englisch). ), erhalten im Rahmen der Authentifizierungsprozedur-Anfrage „Auth Info Req“.
Grundlegende Sicherheitsanforderungen für 5G-Kommunikationsnetze
mehrBenutzerauthentifizierung: Das bedienende 5G-Netzwerk muss den SUPI des Benutzers im 5G-AKA-Prozess zwischen dem Benutzer und dem Netzwerk authentifizieren.
Bereitstellen der Netzwerkauthentifizierung: Der Benutzer muss die 5G-Bereitstellungsnetzwerk-ID authentifizieren, wobei die Authentifizierung durch die erfolgreiche Verwendung von Schlüsseln erreicht wird, die durch das 5G-AKA-Verfahren erhalten wurden.
Benutzerautorisierung: Das bedienende Netzwerk muss den Benutzer mithilfe des Benutzerprofils autorisieren, das er vom Netzwerk des Heimtelekommunikationsbetreibers erhalten hat.
Autorisierung des bedienenden Netzwerks durch das Heimatbetreibernetzwerk: Dem Benutzer muss eine Bestätigung vorgelegt werden, dass er mit einem Dienstnetzwerk verbunden ist, das vom Heimbetreibernetzwerk zur Bereitstellung von Diensten autorisiert ist. Die Autorisierung erfolgt implizit in dem Sinne, dass sie durch den erfolgreichen Abschluss des 5G-AKA-Verfahrens sichergestellt wird.
Autorisierung des Zugangsnetzes durch das Heimbetreibernetz: Dem Nutzer muss eine Bestätigung vorgelegt werden, dass er mit einem Zugangsnetz verbunden ist, das vom Heimbetreibernetz zur Bereitstellung von Diensten autorisiert ist. Die Autorisierung ist implizit in dem Sinne, dass sie durch die erfolgreiche Herstellung der Sicherheit des Zugangsnetzwerks durchgesetzt wird. Diese Art der Autorisierung muss für jede Art von Zugangsnetzwerk verwendet werden.
Nicht authentifizierte Notdienste: Um die gesetzlichen Anforderungen in einigen Regionen zu erfüllen, müssen 5G-Netze einen nicht authentifizierten Zugang für Notdienste ermöglichen.
Netzwerkkern und Funkzugangsnetzwerk: Der 5G-Netzwerkkern und das 5G-Funkzugangsnetzwerk müssen die Verwendung von 128-Bit-Verschlüsselungs- und Integritätsalgorithmen unterstützen, um die Sicherheit zu gewährleisten и . Netzwerkschnittstellen müssen 256-Bit-Verschlüsselungsschlüssel unterstützen.
Grundlegende Sicherheitsanforderungen für Benutzerausrüstung
mehr
- Das Benutzergerät muss Verschlüsselung, Integritätsschutz und Schutz vor Replay-Angriffen für Benutzerdaten unterstützen, die zwischen ihm und dem Funkzugangsnetzwerk übertragen werden.
- Das Benutzergerät muss Verschlüsselungs- und Datenintegritätsschutzmechanismen gemäß den Anweisungen des Funkzugangsnetzwerks aktivieren.
- Benutzergeräte müssen Verschlüsselung, Integritätsschutz und Schutz vor Replay-Angriffen für RRC- und NAS-Signalisierungsverkehr unterstützen.
- Benutzergeräte müssen die folgenden kryptografischen Algorithmen unterstützen: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
- Benutzergeräte können die folgenden kryptografischen Algorithmen unterstützen: 128-NEA3, 128-NIA3.
- Benutzergeräte müssen die folgenden kryptografischen Algorithmen unterstützen: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2, wenn sie die Verbindung zum E-UTRA-Funkzugangsnetzwerk unterstützen.
- Der Schutz der Vertraulichkeit der zwischen dem Benutzergerät und dem Funkzugangsnetz übertragenen Benutzerdaten ist optional, muss jedoch bereitgestellt werden, wann immer dies gesetzlich zulässig ist.
- Der Datenschutz für RRC- und NAS-Signalisierungsverkehr ist optional.
- Der permanente Schlüssel des Benutzers muss geschützt und in gut gesicherten Komponenten der Benutzerausrüstung aufbewahrt werden.
- Die permanente Abonnementkennung eines Teilnehmers sollte nicht im Klartext über das Funkzugangsnetz übertragen werden, außer für Informationen, die für die korrekte Weiterleitung erforderlich sind (z. B и ).
- Der öffentliche Netzwerkschlüssel des Heimbetreibers, die Schlüsselkennung, die Sicherheitsschema-Kennung und die Routing-Kennung müssen gespeichert werden .
Jedem Verschlüsselungsalgorithmus ist eine Binärzahl zugeordnet:
- „0000“: NEA0 – Nullverschlüsselungsalgorithmus
- „0001“: 128-NEA1 – 128-Bit 3G-basierter Algorithmus
- „0010“ 128-NEA2 – 128-Bit basierten Algorithmus
- „0011“ 128-NEA3 – 128-Bit basierten Algorithmus.
Datenverschlüsselung mit 128-NEA1 und 128-NEA2
PS: Die Schaltung ist entlehnt von
Generierung simulierter Einfügungen durch die Algorithmen 128-NIA1 und 128-NIA2, um die Integrität sicherzustellen
PS: Die Schaltung ist entlehnt von
Grundlegende Sicherheitsanforderungen für 5G-Netzwerkfunktionen
mehr
- AMF muss die primäre Authentifizierung mit SUCI unterstützen.
- SEAF muss die primäre Authentifizierung mit SUCI unterstützen.
- UDM und ARPF müssen den permanenten Schlüssel des Benutzers speichern und sicherstellen, dass er vor Diebstahl geschützt ist.
- Das AUSF stellt SUPI dem lokalen Serving-Netzwerk erst nach erfolgreicher Erstauthentifizierung mit SUCI zur Verfügung.
- NEF darf keine versteckten Kernnetzwerkinformationen außerhalb der Sicherheitsdomäne des Betreibers weiterleiten.
Grundlegende Sicherheitsverfahren
Vertrauensdomänen
In Netzwerken der 5. Generation nimmt das Vertrauen in Netzwerkelemente ab, wenn sich Elemente vom Netzwerkkern entfernen. Dieses Konzept beeinflusst die Entscheidungen, die in der 5G-Sicherheitsarchitektur umgesetzt werden. Wir können also von einem Vertrauensmodell von 5G-Netzwerken sprechen, das das Verhalten von Netzwerksicherheitsmechanismen bestimmt.
Auf Benutzerseite wird die Vertrauensdomäne durch UICC und USIM gebildet.
Auf der Netzwerkseite weist die Vertrauensdomäne eine komplexere Struktur auf.
Das Funkzugangsnetz ist in zwei Komponenten unterteilt: DU (von den englischen Distributed Units – verteilte Netzwerkeinheiten) und CU (von den englischen Central Units – Zentraleinheiten des Netzwerks). Zusammen bilden sie sich gNB — Funkschnittstelle der Basisstation des 5G-Netzwerks. DUs haben keinen direkten Zugriff auf Benutzerdaten, da sie auf ungeschützten Infrastruktursegmenten eingesetzt werden können. CUs müssen in geschützten Netzwerksegmenten bereitgestellt werden, da sie für die Beendigung des Datenverkehrs durch AS-Sicherheitsmechanismen verantwortlich sind. Im Kern befindet sich das Netzwerk AMF, wodurch der Datenverkehr von NAS-Sicherheitsmechanismen beendet wird. Die aktuelle 3GPP 5G Phase 1 Spezifikation beschreibt die Kombination AMF mit Sicherheitsfunktion SEAF, enthält den Root-Schlüssel (auch als „Ankerschlüssel“ bekannt) des besuchten (bedienenden) Netzwerks. AUSF ist für die Speicherung des nach erfolgreicher Authentifizierung erhaltenen Schlüssels verantwortlich. Es ist für die Wiederverwendung in Fällen erforderlich, in denen der Benutzer gleichzeitig mit mehreren Funkzugangsnetzen verbunden ist. ARPF speichert Benutzeranmeldeinformationen und ist ein Analogon von USIM für Abonnenten. UDR и UDM Speichern Sie Benutzerinformationen, die verwendet werden, um die Logik für die Generierung von Anmeldeinformationen, Benutzer-IDs, die Sicherstellung der Sitzungskontinuität usw. zu bestimmen.
Hierarchie der Schlüssel und ihre Verteilungsschemata
In Netzwerken der 5. Generation besteht das Authentifizierungsverfahren im Gegensatz zu 4G-LTE-Netzwerken aus zwei Komponenten: primärer und sekundärer Authentifizierung. Für alle Benutzergeräte, die eine Verbindung zum Netzwerk herstellen, ist eine primäre Authentifizierung erforderlich. Eine sekundäre Authentifizierung kann auf Anfrage von externen Netzwerken durchgeführt werden, wenn der Teilnehmer eine Verbindung zu diesen herstellt.
Nach erfolgreichem Abschluss der primären Authentifizierung und der Entwicklung eines gemeinsamen Schlüssels K zwischen dem Benutzer und dem Netzwerk wird KSEAF aus Schlüssel K extrahiert – einem speziellen Ankerschlüssel (Wurzelschlüssel) des bedienenden Netzwerks. Anschließend werden aus diesem Schlüssel Schlüssel generiert, um die Vertraulichkeit und Integrität der RRC- und NAS-Signalisierungsverkehrsdaten sicherzustellen.
Diagramm mit Erläuterungen
Notation:
CK Chiffrierschlüssel
IK (Englisch: Integrity Key) – ein Schlüssel, der in Mechanismen zum Schutz der Datenintegrität verwendet wird.
CK' (engl. Cipher Key) – ein weiterer kryptografischer Schlüssel, der von CK für den EAP-AKA-Mechanismus erstellt wurde.
ICH K' (Englischer Integritätsschlüssel) – ein weiterer Schlüssel, der in Mechanismen zum Schutz der Datenintegrität für EAP-AKA verwendet wird.
KAUSF - generiert durch die ARPF-Funktion und Benutzergeräte aus CK и IK während 5G AKA und EAP-AKA.
KSEAF - Ankerschlüssel, der durch die AUSF-Funktion aus dem Schlüssel erhalten wird KAMFAUSF.
KAMF – der Schlüssel, den die SEAF-Funktion aus dem Schlüssel erhält KSEAF.
KNASint, KNASenc — Schlüssel, die durch die AMF-Funktion vom Schlüssel erhalten werden KAMF zum Schutz des NAS-Signalisierungsverkehrs.
KRRCint, KRRCenc — Schlüssel, die durch die AMF-Funktion vom Schlüssel erhalten werden KAMF zum Schutz des RRC-Signalisierungsverkehrs.
KUPint, KUPenc — Schlüssel, die durch die AMF-Funktion vom Schlüssel erhalten werden KAMF zum Schutz des AS-Signalisierungsverkehrs.
NH — Zwischenschlüssel, der durch die AMF-Funktion aus dem Schlüssel erhalten wird KAMF Gewährleistung der Datensicherheit bei Übergaben.
KgNB – der Schlüssel, den die AMF-Funktion aus dem Schlüssel erhält KAMF um die Sicherheit von Mobilitätsmechanismen zu gewährleisten.
Schemata zur Generierung von SUCI aus SUPI und umgekehrt
Schemata zur Erlangung von SUPI und SUCI
Herstellung von SUCI aus SUPI und SUPI aus SUCI:
Authentifizierung
Primäre Authentifizierung
In 5G-Netzwerken sind EAP-AKA und 5G AKA standardmäßige primäre Authentifizierungsmechanismen. Teilen wir den primären Authentifizierungsmechanismus in zwei Phasen auf: Die erste ist für die Einleitung der Authentifizierung und die Auswahl einer Authentifizierungsmethode verantwortlich, die zweite für die gegenseitige Authentifizierung zwischen dem Benutzer und dem Netzwerk.
Инициация
Der Benutzer sendet eine Registrierungsanfrage an SEAF, die die versteckte Abonnement-ID SUCI des Benutzers enthält.
SEAF sendet an AUSF eine Authentifizierungsanforderungsnachricht (Nausf_UEAuthentication_Authenticate Request), die SNN (Serving Network Name) und SUPI oder SUCI enthält.
AUSF prüft, ob der SEAF-Authentifizierungsanforderer die angegebene SNN verwenden darf. Wenn das bedienende Netzwerk nicht berechtigt ist, diese SNN zu verwenden, antwortet das AUSF mit einer Autorisierungsfehlermeldung „Serving Network nicht autorisiert“ (Nausf_UEAuthentication_Authenticate Response).
Authentifizierungsdaten werden vom AUSF über SUPI oder SUCI und SNN bei UDM, ARPF oder SIDF angefordert.
Basierend auf SUPI oder SUCI und Benutzerinformationen wählt UDM/ARPF die als nächstes zu verwendende Authentifizierungsmethode aus und stellt die Anmeldeinformationen des Benutzers aus.
Gegenseitige Authentifizierung
Bei Verwendung einer beliebigen Authentifizierungsmethode müssen die UDM/ARPF-Netzwerkfunktionen einen Authentifizierungsvektor (AV) generieren.
EAP-AKA: UDM/ARPF generiert zunächst einen Authentifizierungsvektor mit dem Trennbit AMF = 1 und generiert dann CK' и ICH K' von CK, IK und SNN und stellt einen neuen AV-Authentifizierungsvektor dar (RAND, AUTN, XRES*, CK', ICH K'), das an die AUSF mit der Anweisung gesendet wird, es nur für EAP-AKA zu verwenden.
5G AKA: UDM/ARPF bekommt den Schlüssel KAUSF von CK, IK und SNN, woraufhin 5G HE AV generiert wird. 5G Home Environment Authentication Vector). 5G HE AV-Authentifizierungsvektor (RAND, AUTN, XRES, KAUSF) wird an die AUSF mit der Anweisung gesendet, es nur für 5G AKA zu verwenden.
Nach diesem AUSF wird der Ankerschlüssel erhalten KSEAF vom Schlüssel KAUSF und sendet eine Anfrage an SEAF „Challenge“ in der Nachricht „Nausf_UEAuthentication_Authenticate Response“, die auch RAND, AUTN und RES* enthält. Anschließend werden RAND und AUTN mithilfe einer sicheren NAS-Signalisierungsnachricht an das Benutzergerät übertragen. Das USIM des Benutzers berechnet RES* aus dem empfangenen RAND und AUTN und sendet es an SEAF. SEAF leitet diesen Wert zur Überprüfung an AUSF weiter.
AUSF vergleicht das darin gespeicherte XRES* mit dem vom Benutzer empfangenen RES*. Bei einer Übereinstimmung werden AUSF und UDM im Heimnetzwerk des Betreibers über die erfolgreiche Authentifizierung benachrichtigt und Benutzer und SEAF generieren unabhängig voneinander einen Schlüssel KAMF von KSEAF und SUPI für die weitere Kommunikation.
Sekundäre Authentifizierung
Der 5G-Standard unterstützt eine optionale sekundäre Authentifizierung auf Basis von EAP-AKA zwischen dem Benutzergerät und dem externen Datennetzwerk. In diesem Fall übernimmt SMF die Rolle des EAP-Authentifikators und ist auf die Arbeit angewiesen -ein externer Netzwerkserver, der den Benutzer authentifiziert und autorisiert.
- Es erfolgt eine obligatorische Erstbenutzerauthentifizierung im Heimnetzwerk und mit AMF wird ein gemeinsamer NAS-Sicherheitskontext entwickelt.
- Der Benutzer sendet eine Anfrage an AMF, um eine Sitzung einzurichten.
- AMF sendet eine Anfrage zum Aufbau einer Sitzung an SMF und gibt dabei den SUPI des Benutzers an.
- SMF validiert die Anmeldeinformationen des Benutzers in UDM mithilfe des bereitgestellten SUPI.
- Die SMF sendet eine Antwort auf die Anfrage der AMF.
- SMF initiiert das EAP-Authentifizierungsverfahren, um die Erlaubnis zum Aufbau einer Sitzung vom AAA-Server im externen Netzwerk zu erhalten. Dazu tauschen SMF und Benutzer Nachrichten aus, um den Vorgang einzuleiten.
- Der Benutzer und der AAA-Server des externen Netzwerks tauschen dann Nachrichten aus, um den Benutzer zu authentifizieren und zu autorisieren. In diesem Fall sendet der Benutzer Nachrichten an die SMF, die wiederum über UPF Nachrichten mit dem externen Netzwerk austauscht.
Abschluss
Obwohl die 5G-Sicherheitsarchitektur auf der Wiederverwendung bestehender Technologien basiert, stellt sie völlig neue Herausforderungen. Eine große Anzahl an IoT-Geräten, erweiterte Netzwerkgrenzen und dezentrale Architekturelemente sind nur einige der Grundprinzipien des 5G-Standards, die der Fantasie von Cyberkriminellen freien Lauf lassen.
Der Kernstandard für die 5G-Sicherheitsarchitektur ist — enthält Kernpunkte der Funktionsweise von Sicherheitsmechanismen und -verfahren. Insbesondere wird die Rolle jedes VNF bei der Gewährleistung des Schutzes von Benutzerdaten und Netzwerkknoten, bei der Generierung von Kryptoschlüsseln und bei der Implementierung des Authentifizierungsverfahrens beschrieben. Aber auch dieser Standard liefert keine Antworten auf drängende Sicherheitsfragen, mit denen Telekommunikationsbetreiber immer häufiger konfrontiert werden, je intensiver Netze der neuen Generation entwickelt und in Betrieb genommen werden.
In diesem Zusammenhang möchte ich davon ausgehen, dass die Schwierigkeiten beim Betrieb und Schutz von Netzwerken der 5. Generation in keiner Weise Auswirkungen auf den normalen Benutzer haben werden, dem Übertragungsgeschwindigkeiten und Reaktionszeiten versprochen werden wie dem Sohn einer Mutterfreundin und der bereits begierig darauf ist, alles auszuprobieren die erklärten Fähigkeiten der Netzwerke der neuen Generation.
Nützliche Links
Source: habr.com