Es ist äußerst fragwürdig und ineffektiv, einen neuen Kommunikationsstandard zu entwickeln, ohne über Sicherheitsmechanismen nachzudenken.
Sicherheitsarchitektur von 5G — eine Sammlung von Sicherheitsmechanismen und -verfahren, die in implementiert sind und alle Netzwerkkomponenten abdecken, vom Kern bis zu den Funkschnittstellen.
Die 5G-Netze sind im Grunde eine Evolution der . Die signifikantesten Veränderungen betreffen die Funkzugangstechnologien. Für die 5G-Netze wurde eine neue (Radio Access Technology) — . Was den Kern des Netzwerks betrifft, so hat er nicht so signifikante Veränderungen erfahren. In diesem Zusammenhang wurde die Sicherheitsarchitektur von 5G-Netzen mit dem Fokus auf die Wiederverwendung entsprechender Technologien entwickelt, die im 4G LTE-Standard akzeptiert wurden.
Es ist jedoch wichtig zu erwähnen, dass eine Neubewertung solcher bekannten Bedrohungen wie Angriffe auf Funkschnittstellen und Signalebene ( Angriffe wie DDOS, Man-In-The-Middle und andere haben die Telekommunikationsanbieter dazu veranlasst, neue Standards zu entwickeln und völlig neue Sicherheitsmechanismen in die 5G-Netze zu integrieren.
Voraussetzungen
Im Jahr 2015 hat die Internationale Fernmeldeunion den ersten globalen Entwicklungsplan für 5G-Netze erstellt, was die Frage der Entwicklung von Sicherheitsmechanismen und -verfahren in 5G-Netzen besonders dringlich machte.
Die neue Technologie bot beeindruckende Datenübertragungsraten von über 1 Gbit/s, Latenzen von weniger als 1 ms und die Möglichkeit, simultan bis zu 1 Million Geräte im Umkreis von 1 km² zu verbinden. Diese hohen Anforderungen an die 5G-Netze beeinflussten auch deren Organisationsprinzipien.
Das Hauptprinzip wurde die Dezentralisierung, die die Bereitstellung zahlreicher lokaler Datenbanken und Verarbeitungszentren am Rand des Netzwerks vorsah. Dies reduzierte die Latenzen bei -Kommunikationen und die Entlastung des Netzwerkkerns aufgrund der Bedienung einer Vielzahl von IoT-Geräten. So wurde die Grenze von Next-Generation-Netzen bis zu den Basistationen erweitert, wodurch lokale Kommunikationszentren geschaffen und Cloud-Dienste ohne das Risiko kritischer Verzögerungen oder Ausfälle bereitgestellt werden konnten. Natürlich interessierte dieser veränderte Ansatz zur Netzwerkorganisation und Kundenbetreuung auch Angreifer, da er ihnen neue Möglichkeiten für Angriffe sowohl auf sensible Benutzerdaten als auch auf die Netzwerkteile eröffnete, um einen Dienstverweigerungsangriff auszulösen oder die Rechenressourcen des Betreibers zu übernehmen.
Wesentliche Schwachstellen von 5G-Netzen
Große Angriffsfläche
Mehr erfahrenBeim Aufbau von Telekommunikationsnetzen der 3. und 4. Generation arbeiteten Telekommunikationsanbieter in der Regel mit einem oder mehreren Anbietern zusammen, die sowohl die Hardware als auch die Software als Komplettlösungen bereitstellten. Das bedeutete, dass alles "out of the box" funktionierte – es genügte, die internen Systeme des Anbieters zu installieren und zu konfigurieren; es war nicht nötig, proprietäre Software zu ersetzen oder zu ergänzen. Moderne Trends stehen im Widerspruch zu diesem "klassischen" Ansatz und zielen auf die Virtualisierung von Netzwerken, einen Multi-Vendor-Ansatz beim Aufbau der Netzinfrastruktur und eine Vielfalt an Software ab. Technologien wie (engl. Software Defined Network) und (engl. Network Functions Virtualization) gewinnen zunehmend an Bedeutung und führen dazu, dass eine Vielzahl von Open-Source-Software in die Prozesse und Funktionen des Netzwerkmanagements integriert wird. Dies ermöglicht es Angreifern, die Netzwerkarchitektur der Anbieter besser zu verstehen und eine größere Anzahl von Schwachstellen zu identifizieren, was wiederum die Angriffsfläche neuer Netzgenerationen im Vergleich zu den aktuellen erhöht.
Eine Vielzahl von IoT-Geräten
Mehr erfahrenBis 2021 werden etwa 57 % der Geräte, die mit 5G-Netzen verbunden sind, IoT-Geräte sein. Das bedeutet, dass die meisten Hosts über eingeschränkte kryptografische Fähigkeiten verfügen werden (siehe Punkt 2) und entsprechend anfällig für Angriffe sind. Die enorme Anzahl solcher Geräte erhöht das Risiko von Botnetzen und ermöglicht noch mächtigere und verteilte DDoS-Attacken.
Eingeschränkte kryptografische Möglichkeiten von IoT-Geräten
Mehr erfahrenWie bereits erwähnt, nutzen 5G-Netze aktiv Edge-Geräte, die einen Teil der Last vom Netzwerkkern nehmen und so die Latenz verringern. Dies ist für wichtige Dienste wie die Steuerung autonomer Fahrzeuge und Notfallwarnsysteme erforderlich. und andere, für die eine minimale Latenz entscheidend ist, da davon menschliche Leben abhängen. Aufgrund der Anbindung einer Vielzahl von IoT-Geräten, die aufgrund ihrer geringen Größe und des niedrigen Energieverbrauchs über sehr begrenzte Rechenressourcen verfügen, werden 5G-Netzwerke anfällig für Angriffe, die darauf abzielen, die Kontrolle über solche Geräte zu übernehmen und sie anschließend zu manipulieren. Beispielsweise sind Szenarien möglich, in denen IoT-Geräte, die Teil des Systems „“, von befallen werden. Auch Szenarien für die Übernahme der Kontrolle über autonome Fahrzeuge, die ihre Anweisungen und Navigationsinformationen über die „Cloud“ erhalten, sind möglich. Diese Verletzlichkeit ist formal auf die Dezentralisierung der Netzwerke der nächsten Generation zurückzuführen, aber der folgende Punkt wird das Problem der Dezentralisierung deutlicher machen.
Dezentralisierung und Netzwerkausweitung
Mehr erfahrenPeripheriegeräte, die als lokale Netzwerk-Kerne fungieren, übernehmen die Routenlenkung des Benutzerdatenverkehrs, die Verarbeitung von Anfragen sowie das lokale Caching und die Speicherung von Benutzerdaten. Auf diese Weise erweitern sich die Grenzen der 5G-Netze über den Kern hinaus auf die Peripherie, einschließlich lokaler Datenbanken und der 5G-NR-Funkschnittstellen (engl. 5G New Radio). Dies schafft Angriffsflächen für die Rechenressourcen lokaler Geräte, die von Natur aus schwächer geschützt sind als die zentralen Netzwerkknoten, um einen Denial-of-Service-Angriff zu initiieren. Dies kann dazu führen, dass ganze Gegenden vom Internet abgeschnitten werden, das ordnungsgemäße Funktionieren von IoT-Geräten (z. B. im Smart-Home-System) beeinträchtigt wird und der Zugang zu Notfallwarnservices IMS unmöglich ist.
Aktuell haben jedoch ETSI und 3GPP bereits über 10 Standards veröffentlicht, die verschiedene Aspekte der Sicherheit von 5G-Netzen betreffen. Die überwiegende Mehrheit der dort beschriebenen Mechanismen zielt darauf ab, Schwachstellen (einschließlich der oben genannten) zu schützen. Einer der wichtigsten ist der Standard , der die Sicherheitsarchitektur von 5G-Netzen beschreibt.
5G-Architektur
Zuerst betrachten wir die grundlegenden Prinzipien der 5G-Netzarchitektur, die es ermöglichen, die Bedeutung und Verantwortungsbereiche jedes Softwaremoduls und jeder Sicherheitsfunktion von 5G vollständig zu verstehen.
- Die Trennung von Netzwerkknoten in Elemente, die die Protokolle der (engl. UP — User Plane), und Elemente, die die Protokolle der (engl. CP — Control Plane) bereitstellen, was die Flexibilität bei der Skalierung und Implementierung des Netzwerks erhöht. Das bedeutet, dass eine zentrale oder dezentrale Platzierung einzelner Bestandteile der Netzwerkknoten möglich ist.
- Unterstützung des Mechanismus , basierend auf den Dienstleistungen, die bestimmten Benutzergruppen bereitgestellt werden.
- Implementierung von Netzwerkelementen in Form von .
- Unterstützung des gleichzeitigen Zugriffs auf zentrale und lokale Dienste, d.h. die Umsetzung von Konzepten des Cloud- (engl. ) und Edge (vgl. engl. ) Computing.
- Implementierung Architektur, die verschiedene Zugangstechnologien vereint — 3GPP 5G New Radio und (Wi-Fi usw.) — mit einem einheitlichen Kernnetz.
- Unterstützung einheitlicher Algorithmen und Authentifizierungsverfahren unabhängig von der Art des Zugangsnetzes.
- Unterstützung von zustandslosen Netzwerkfunktionen, bei denen die berechnete Ressource von der Ressourcenspeicherung getrennt ist.
- Unterstützung des Roamings mit Verkehrsrouting sowohl über das Heimnetz als auch mit lokalem 'Breakout' im Gastnetz.
- Die Interaktion zwischen Netzwerkfunktionen wird auf zwei Arten dargestellt: und .
Das Sicherheitskonzept von 5G-Netzen umfasst:
- Die Netzwerkbenutzerauthentifizierung.
- Die Benutzer-Netzwerkauthentifizierung.
- Die Aushandlung kryptografischer Schlüssel zwischen dem Netzwerk und der Benutzerausrüstung.
- Die Verschlüsselung und Integritätskontrolle des Signalisierungstraffics.
- Die Verschlüsselung und Integritätskontrolle des Benutzerdatenverkehrs.
- Schutz der Benutzeridentifikation.
- Schutz der Schnittstellen zwischen verschiedenen Netzwerkelementen gemäß dem Sicherheitsdomänenkonzept.
- Isolation der verschiedenen Schichten des Mechanismus. und Definition für jede Ebene der eigenen Sicherheitsstufen.
- Benutzerauthentifizierung und Schutz des Datenverkehrs auf der Ebene der Enddienste (IMS, IoT und andere).
Wichtige Softwaremodule und Sicherheitsnetzwerkfunktionen für 5G
AMF (von engl. Access & Mobility Management Function — Funktion zur Zugangs- und Mobilitätsverwaltung) — gewährleistet:
- Organisation der Schnittstellen der Steuerungsebene.
- Organisation des Austauschs von Signaldatentraffic , Verschlüsselung und Schutz der Integrität dieser Daten.
- Organisation des Austauschs von Signaldatentraffic , Verschlüsselung und Schutz der Integrität dieser Daten.
- Verwaltung der Registrierung von Benutzergeräten im Netzwerk und Kontrolle möglicher Registrierungszustände.
- Verwaltung der Verbindung von Benutzergeräten mit dem Netzwerk und Kontrolle möglicher Zustände.
- Verwaltung der Verfügbarkeit von Benutzergeräten im Netzwerk im Zustand CM-IDLE.
- Verwaltung der Mobilität von Benutzergeräten im Netzwerk im Zustand CM-CONNECTED.
- Übertragung von Kurzmitteilungen zwischen Benutzergeräten und SMF.
- Verwaltung von Geolokalisierungsdiensten.
- Zuweisung einer Stream-ID für die Interaktion mit EPS.
SMF (engl. Session Management Function — Funktion zur Sitzungsverwaltung) — gewährleistet:
- Verwaltung von Verbindungssitzungen, d. h. Erstellung, Änderung und Freigabe von Sitzungen, einschließlich der Unterstützung eines Tunnels zwischen dem Zugangsnetz und dem UPF.
- Verteilung und Verwaltung von IP-Adressen der Endgeräte.
- Auswahl des verwendeten UPF-Gateways.
- Organisation der Interaktion mit dem PCF.
- Verwaltung der Durchsetzung von Richtlinien. .
- Dynamische Anpassung der Endgerätekonfiguration über DHCPv4 und DHCPv6.
- Überwachung der Erfassung von Abrechnungsdaten und Organisation der Interaktion mit dem Abrechnungssystem.
- Nahtlose Bereitstellung von Diensten (aus dem Englischen) ).
- Interaktion mit Gastnetzen im Rahmen des Roamings.
UPF (aus dem Englischen: User Plane Function — Funktion der Benutzerplane) — sichert:
- Die Interaktion mit externen Datenübertragungsnetzen, einschließlich des globalen Internets.
- Routing von Benutzerdatenpaketen.
- Kennzeichnung von Paketen gemäß den QoS-Richtlinien.
- Diagnose von Benutzerdatenpaketen (z. B. Anwendungsidentifizierung anhand von Signaturen).
- Bereitstellung von Berichten über die Nutzung des Datenverkehrs.
- UPF ist auch ein zentraler Punkt zur Unterstützung der Mobilität sowohl innerhalb einer Technologie als auch zwischen verschiedenen Funkzugangstechnologien.
UDM (engl. Unified Data Management – einheitliches Datenmanagement) – bietet an:
- Verwaltung der Benutzerdatenprofile, einschließlich Speicherung und Änderung der Liste der für Benutzer verfügbaren Dienste und der entsprechenden Parameter.
- Verwaltung
- Generierung von Authentifizierungsdaten gemäß 3GPP. .
- Zugangsberechtigung basierend auf den Profildaten (z.B. Roaming-Beschränkungen).
- Verwaltung der Benutzerregistrierung, d.h. Speicherung des zuständigen AMF.
- Unterstützung der nahtlosen Bedienung und Verbindungsgebarung, d.h. Speicherung des für die aktuelle Verbindung zugewiesenen SMF.
- Verwaltung der SMS-Zustellung.
- Mehrere verschiedene UDMs können einen Benutzer im Rahmen verschiedener Transaktionen bedienen.
UDR (engl. Unified Data Repository – einheitliches Datenrepository) – sorgt für die Speicherung verschiedener Benutzerdaten und ist im Wesentlichen die Datenbank aller Netzwerkabonnenten.
UDSF (dt. Unstrukturierte Datenspeicherfunktion) — sorgt für die Speicherung der aktuellen Kontexte registrierter Benutzer durch die AMF-Module. Diese Informationen können im Allgemeinen als Daten mit unbestimmter Struktur dargestellt werden. Benutzerkontexte können genutzt werden, um nahtlose und unterbrechungsfreie Abonnementsitzungen sowohl bei planmäßigen Ausfällen eines der AMF-Dienste als auch bei Notfällen zu gewährleisten. In beiden Fällen „übernimmt“ ein Backup-AMF den Service, indem es die im USDF gespeicherten Kontexte verwendet.
Die Kombination von UDR und UDSF auf einer physikalischen Plattform ist eine typische Implementierung dieser Netzwerkfunktionen.
PCF (engl. Policy Control Function — Funktion zur Steuerung von Richtlinien) — erstellt und weist den Nutzern verschiedene Service-Richtlinien zu, einschließlich QoS-Parametern und Abrechnungsregeln. Zum Beispiel können für die Übertragung bestimmter Verkehrstypen dynamisch virtuelle Kanäle mit unterschiedlichen Eigenschaften erstellt werden. Dabei werden die Anforderungen des service, den der Nutzer anfragt, die Netzwerkbelastung, das verbrauchte Datenvolumen usw. berücksichtigt.
NEF (engl. Network Exposure Function — Funktion zur Netzwerkaussetzung) — stellt sicher:
- Die sichere Interaktion von externen Plattformen und Anwendungen mit dem Kernnetz.
- Die Verwaltung von QoS-Parametern und Abrechnungsregeln für spezifische Nutzer.
SEAF (engl. Security Anchor Function — Sicherheitsanker-Funktion) — stellt zusammen mit AUSF die Authentifizierung von Nutzern bei deren Registrierung im Netz über jede Zugangstechnologie sicher.
AUSF (engl. Authentication Server Function — Funktion des Authentifizierungsservers) — spielt die Rolle eines Authentifizierungsservers, der Anfragen von SEAF entgegennimmt und verarbeitet und sie an ARPF weiterleitet.
ARPF (de. Authentication Credential Repository and Processing Function — Funktion zur Speicherung und Verarbeitung von Authentifizierungsdaten) — gewährleistet die Speicherung persönlicher geheimer Schlüssel (KI) und Parameter kryptografischer Algorithmen sowie die Generierung von Authentifizierung Vektoren gemäß den 5G-AKA-Algorithmen oder -AKA. Befindet sich in einem vor äußeren physischen Einflüssen geschützten Rechenzentrum des heimischen Kommunikationsanbieters und wird in der Regel mit der UDM integriert.
SCMF (de. Security Context Management Function — Funktion zur Verwaltung ) — sorgt für das Management des Lebenszyklus des Sicherheitskontexts in 5G.
SPCF (de. Sicherheitsrichtliniensteuerungsfunktion) – sorgt für die Abstimmung und Anwendung von Sicherheitsrichtlinien für spezifische Benutzer. Dabei werden die Netzwerkfähigkeiten, die Möglichkeiten der Benutzerhardware und die Anforderungen des jeweiligen Dienstes berücksichtigt (zum Beispiel können die Schutzlevel, die von dem kritischen Kommunikationsdienst und dem drahtlosen Breitbandzugangsservice bereitgestellt werden, variieren). Die Anwendung von Sicherheitsrichtlinien umfasst: die Auswahl von AUSF, die Wahl des Authentifizierungsalgorithmus, die Auswahl von Datenverschlüsselungs- und Integritätskontrollalgorithmen sowie die Festlegung der Länge und Lebensdauer der Schlüssel.
SIDF (de. Funktion zur Enthüllung von Abonnement-Identifikatoren) – sorgt für die Extraktion des dauerhaften Abonnement-Identifikators des Teilnehmers (de. SUPI) aus dem versteckten Identifikator (de. ), der im Rahmen der Anfrage für das Authentifizierungsverfahren „Auth Info Req“ erhalten wird.
Hauptsicherheitsanforderungen für Kommunikationsnetze der 5G-Generation
Mehr erfahrenBenutzerauthentifizierung: Das 5G-Netz muss den SUPI des Nutzers im Rahmen des 5G AKA zwischen dem Nutzer und dem Netz authentifizieren.
Authentifizierung des Servicenetzes: Der Nutzer muss die Identität des 5G-Servicenetzes authentifizieren, wobei die Authentifizierung durch die erfolgreiche Verwendung der Schlüssel erfolgt, die im Rahmen des 5G AKA-Verfahrens erhalten wurden.
Benutzerauthorisierung: Das Servicenetz muss den Nutzer entsprechend dem Benutzerprofil, das aus dem Netzwerk des Heimnetzbetreibers abgerufen wurde, autorisieren.
Autorisierung des Servicenetzes durch das Heimnetzwerk: Der Nutzer muss eine Bestätigung erhalten, dass er mit dem Servicenetz verbunden ist, das von einem Heimnetzbetreiber zur Bereitstellung von Diensten autorisiert wurde. Die Autorisierung erfolgt implizit durch den erfolgreichen Abschluss des 5G AKA-Verfahrens.
Autorisierung des Zugangsnetzes durch das Heimnetzwerk: Dem Benutzer muss die Bestätigung gegeben werden, dass er mit einem Zugangspunkt verbunden ist, der vom Heimnetzbetreiber autorisiert ist, um Dienste bereitzustellen. Die Autorisierung erfolgt implizit in dem Sinne, dass sie durch das erfolgreiche Establishment der Netzwerksicherheit gewährleistet wird. Diese Art der Autorisierung sollte für jeden Zugangstyp angewendet werden.
Nicht authentifizierte Notfalldienste: Um den Vorschriften in bestimmten Regionen zu entsprechen, müssen 5G-Netze die Möglichkeit für nicht authentifizierten Zugang zu Notfalldiensten bereitstellen.
Kernnetz und Funkzugangsnetz: Im Kernnetz und im Funkzugangsnetz von 5G müssen Algorithmen zur Verschlüsselung und Integritätssicherung mit einer Schlüssellänge von 128 Bit unterstützt werden, um Sicherheit zu gewährleisten. und . Die Netzschnittstellen müssen jedoch 256-Bit-Verschlüsselungsschlüssel unterstützen.
Hauptsicherheitsanforderungen an die Benutzerausrüstung
Mehr erfahren
- Die Benutzerhardware muss die Verschlüsselung, die Integritätsschutz und den Schutz vor Replay-Angriffen auf Benutzerdaten unterstützen, die zwischen ihr und dem Funkzugangsnetz übertragen werden.
- Die Benutzerhardware muss Verschlüsselungs- und Integritätsschutzmechanismen auf Anweisung des Funkzugangsnetzes aktivieren.
- Die Benutzerhardware muss die Verschlüsselung, den Integritätsschutz und den Schutz vor Replay-Angriffen auf das Signalisierungstransport RRC und NAS unterstützen.
- Die Benutzerhardware muss die folgenden Kryptoalgorithmen unterstützen: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2.
- Die Benutzerhardware kann die folgenden Kryptoalgorithmen unterstützen: 128-NEA3, 128-NIA3.
- Die Benutzerhardware muss die folgenden Kryptoalgorithmen unterstützen: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2, vorausgesetzt, sie unterstützt die Verbindung mit dem Funkzugangsnetz E-UTRA.
- Die Wahrung der Vertraulichkeit von Nutzerdaten, die zwischen der Benutzerhardware und dem Funkzugangsnetz übertragen werden, ist optional, sollte jedoch in allen Fällen gewährleistet sein, in denen dies durch gesetzliche Bestimmungen zulässig ist.
- Die Vertraulichkeit des Signalisierungstraffics RRC und NAS ist optional.
- Der dauerhafte Benutzerschlüssel muss geschützt und in gut gesicherten Komponenten der Benutzerhardware aufbewahrt werden.
- Die dauerhafte Abonnenten-ID darf nicht im Klartext über das Funkzugangsnetz übertragen werden, außer für Informationen, die für die korrekte Weiterleitung erforderlich sind (zum Beispiel und ).
- Der öffentliche Schlüssel des Heimatbetreibers, die ID dieses Schlüssels, die ID des Schutzschemas und die Routing-ID müssen in .
Jedem Verschlüsselungsalgorithmus wird eine Binärzahl zugewiesen:
- „0000“: NEA0 — Null-Verschlüsselungsalgorithmus
- „0001“: 128-NEA1 — 128-Bit 3G-basierter Algorithmus
- „0010“ 128-NEA2 — 128-Bit basierter Algorithmus
- „0011“ 128-NEA3 — 128-Bit basierter Algorithmus.
Die Datenverschlüsselung mithilfe von 128-NEA1 und 128-NEA2
P.S. Das Schema wurde aus
Erzeugung von Immitierungseinfügungen durch die Algorithmen 128-NIA1 und 128-NIA2 zur Sicherstellung der Integrität
P.S. Das Schema wurde aus
Grundlegende Sicherheitsanforderungen an die Netzwerkfunktionen von 5G
Mehr erfahren
- AMF muss die primäre Authentifizierung mit SUCI unterstützen.
- SEAF muss die primäre Authentifizierung mit SUCI unterstützen.
- UDM und ARPF müssen den permanenten Benutzerschlüssel speichern und vor Diebstahl schützen.
- AUSF darf SUPI des lokalen Dienstnetzwerks nur bei erfolgreicher primärer Authentifizierung mit SUCI bereitstellen.
- NEF darf keine versteckten Informationen über das Kernnetz außerhalb der Sicherheitsdomäne des Betreibers weiterleiten.
Fundamentale Sicherheitsverfahren
Vertrauensdomänen
In 5G-Netzen nimmt das Vertrauen in die Netzwerkelemente ab, je weiter sie vom Kernnetz entfernt sind. Dieses Konzept beeinflusst die Lösungen, die in der Sicherheitsarchitektur von 5G implementiert werden. Daher kann von einem Vertrauensmodell in 5G-Netzen gesprochen werden, das das Verhalten der Sicherheitsmechanismen des Netzwerks bestimmt.
Auf der Nutzerseite bilden UICC und USIM die Vertrauensdomäne.
Auf der Netzseite hat die Vertrauensdomäne eine komplexere Struktur.
Das Funknetzwerk wird in zwei Komponenten unterteilt — DU (vom Englischen Distributed Units — verteilte Netzwerkeinheiten) und CU (vom Englischen Central Units — zentrale Netzwerkeinheiten). Gemeinsam bilden sie gNB — die Funk-Schnittstelle der 5G-Basisstation. DU haben keinen direkten Zugang zu Benutzerdaten, da sie in ungeschützten Infrastruktursegmenten bereitgestellt werden können. CU hingegen müssen in geschützten Netzwerksegmenten bereitgestellt werden, da sie für die Terminierung des Datenverkehrs der Sicherheitsmechanismen AS verantwortlich sind. Im Kern des Netzwerks befindet sich AMF, welches den Datenverkehr der Sicherheitsmechanismen NAS terminiert. In der aktuellen 3GPP-Spezifikation 5G Phase 1 wird die Kombination beschrieben AMF mit der Sicherheitsfunktion SEAF, die den Stamm- oder „Anker“-Schlüssel des jeweiligen Netzwerks enthält. AUSF verantwortet die Speicherung des Schlüssels, der nach erfolgreicher Authentifizierung erhalten wurde. Dieser Schlüssel ist erforderlich, um ihn bei gleichzeitiger Verbindung eines Benutzers mit mehreren Funknetzwerken wiederzuverwenden. ARPF speichert die Benutzerdaten und ist das Äquivalent zur USIM bei Nutzern. UDR und UDM speichern Benutzerdaten, die zur Bestimmung der Logik für die Generierung von Anmeldeinformationen, Benutzeridentifikatoren, zur Gewährleistung der Sitzungsfortsetzung usw. verwendet werden.
Hierarchie der Schlüssel und deren Verteilungsschemata
In 5G-Netzen, im Gegensatz zu 4G-LTE-Netzen, umfasst der Authentifizierungsprozess zwei Komponenten: die primäre und die sekundäre Authentifizierung. Die primäre Authentifizierung ist für alle Benutzergeräte, die sich mit dem Netzwerk verbinden, obligatorisch. Die sekundäre Authentifizierung kann auf Anfrage von externen Netzwerken durchgeführt werden, wenn der Abonnent sich mit solchen verbindet.
Nach erfolgreichem Abschluss der primären Authentifizierung und der Generierung des gemeinsamen Schlüssels K zwischen dem Benutzer und dem Netzwerk wird aus dem Schlüssel K der KSEAF extrahiert – ein spezieller Anker- (Root-) Schlüssel des Dienstnetzwerks. Aus diesem Schlüssel werden später Schlüssel generiert, die die Vertraulichkeit und Integrität der Signaldaten im RRC- und NAS-Verkehr gewährleisten.
Schema mit Erklärungen
Bezeichnungen:
CK (engl. Cipher Key)
IK (engl. Integrity Key) – ein Schlüssel, der in Integritätsmechanismen verwendet wird.
CK’ (engl. Cipher Key) — ein anderer kryptografischer Schlüssel, der aus CK für den EAP-AKA-Mechanismus erstellt wird.
IK’ (engl. Integrity Key) — ein weiterer Schlüssel, der in Mechanismen zum Schutz der Datenintegrität für EAP-AKA verwendet wird.
KAUSF — wird von der ARPF-Funktion und der Benutzerausrüstung aus erstellt CK und IK während des 5G AKA und EAP-AKA.
KSEAF — Anker-Schlüssel, der von der AUSF-Funktion aus dem Schlüssel KAMFAUSF.
KAMF — Schlüssel, der von der SEAF-Funktion aus dem Schlüssel KSEAF.
KNASint, KNASenc — Schlüssel, die von der AMF-Funktion aus dem Schlüssel KAMF zum Schutz des NAS-Signalverkehrs erzeugt werden.
KRRCint, KRRCenc — Schlüssel, die von der AMF-Funktion aus dem Schlüssel KAMF zum Schutz des RRC-Signalverkehrs.
KUPint, KUPenc — Schlüssel, die von der AMF-Funktion aus dem Schlüssel KAMF zum Schutz des AS-Signalverkehrs.
NH — Zwischen-Schlüssel, der von der AMF-Funktion aus dem Schlüssel KAMF erzeugt wird, um die Datensicherheit bei Handover zu gewährleisten.
KgNB — Schlüssel, der von der AMF-Funktion aus dem Schlüssel KAMF erstellt wird, um die Sicherheit der Mobilitätsmechanismen zu gewährleisten.
Schemas zur Erzeugung von SUCI aus SUPI und umgekehrt
Schemas zur Erfassung von SUPI und SUCI
Erzeugung von SUCI aus SUPI und SUPI aus SUCI:
Authentifizierung
Primäre Authentifizierung
In 5G-Netzen sind EAP-AKA und 5G AKA die standardmäßigen Mechanismen zur Primärauthentifizierung. Lassen Sie uns den Mechanismus der Primärauthentifizierung in zwei Phasen unterteilen: Die erste Phase ist für die Initiierung der Authentifizierung und die Auswahl der Authentifizierungsmethode verantwortlich, die zweite Phase für die gegenseitige Authentifizierung zwischen Benutzer und Netzwerk.
Initiierung
Der Benutzer sendet eine Registrierungsanfrage an SEAF, die eine verborgene Benutzer-Abonnement-ID (SUCI) enthält.
SEAF sendet an AUSF eine Authentifizierungsanforderung (Nausf_UEAuthentication_Authenticate Request), die SNN (Serving Network Name) und SUPI oder SUCI enthält.
AUSF überprüft, ob SEAF für die angeforderte Authentifizierung das entsprechende SNN verwenden darf. Falls das Netzwerk nicht autorisiert ist, das SNN zu nutzen, antwortet AUSF mit einer Fehlermeldung zur Autorisierung: "Serving network not authorized" (Nausf_UEAuthentication_Authenticate Response).
Die Anforderung von Authentifizierungsdaten seitens AUSF an UDM, ARPF oder SIDF erfolgt über SUPI oder SUCI und SNN.
Basierend auf SUPI oder SUCI und den Benutzerinformationen wählt UDM/ARPF die Authentifizierungsmethode aus, die anschließend verwendet wird, und stellt die Benutzerdaten bereit.
Gegenseitige Authentifizierung
Bei der Verwendung einer Authentifizierungsmethode müssen die Netzwerkfunktionen von UDM/ARPF einen Authentifizierungsvektor (engl. AV) generieren.
EAP-AKA: Zuerst generiert UDM/ARPF den Authentifizierungsvektor mit dem Trennbit AMF = 1, gefolgt von CK’ und IK’ von CK, IK und SNN und erstellt einen neuen Authentifizierungsvektor AV (RAND, AUTN, XRES*, CK’, IK’), der an AUSF geschickt wird mit der Anweisung, ihn nur für EAP-AKA zu verwenden.
5G AKA: UDM/ARPF erhält den Schlüssel KAUSF von CK, IK und SNN, danach wird der 5G HE AV (engl. 5G Home Environment Authentication Vector) generiert. Der Authentifizierungsvektor 5G HE AV (RAND, AUTN, XRES, KAUSF) wird an AUSF gesendet mit dem Hinweis, ihn nur für 5G AKA zu verwenden.
Danach erhält AUSF den Anker-Schlüssel KSEAF aus dem Schlüssel KAUSF und sendet eine "Challenge"-Anfrage an SEAF in der Nachricht "Nausf_UEAuthentication_Authenticate Response", die auch RAND, AUTN und RES* enthält. Anschließend werden RAND und AUTN über eine geschützte NAS-Signalnachricht an die Benutzerhardware übermittelt. Die USIM des Benutzers berechnet RES* aus den erhaltenen RAND und AUTN und sendet es an SEAF. SEAF leitet diesen Wert zur Überprüfung an AUSF weiter.
AUSF vergleicht das darin gespeicherte XRES* mit dem vom Benutzer bereitgestellten RES*. Bei Übereinstimmung werden AUSF und UDM im Heimnetzwerk des Betreibers über die erfolgreiche Authentifizierung informiert, während der Benutzer und SEAF unabhängig voneinander einen Schlüssel KAMF von KSEAF und SUPI für die weitere Kommunikation generieren.
Sekundäre Authentifizierung
Der 5G-Standard unterstützt eine optionale sekundäre Authentifizierung basierend auf EAP-AKA zwischen der Benutzerausrüstung und einem externen Datennetzwerk. In diesem Fall fungiert das SMF als EAP-Authentifizierer und stützt sich auf die Arbeit -Servers des externen Netzwerks, der den Benutzer authentifiziert und autorisiert.
- Es erfolgt eine obligatorische primäre Authentifizierung des Benutzers im Heimnetzwerk, die einen gemeinsamen Sicherheitskontext (NAS) mit AMF erzeugt.
- Der Benutzer sendet eine Anfrage zur Sitzungsherstellung an AMF.
- AMF sendet eine Anfrage zur Sitzungsherstellung an SMF unter Angabe des SUPI des Benutzers.
- SMF überprüft die Anmeldedaten des Benutzers im UDM unter Verwendung des bereitgestellten SUPI.
- SMF sendet eine Antwort auf die Anfrage von AMF.
- SMF initiiert den EAP-Authentifizierungsprozess, um eine Genehmigung für die Sitzungseinrichtung vom AAA-Server des externen Netzwerks zu erhalten. Dazu tauschen SMF und der Benutzer Nachrichten aus, um den Prozess zu starten.
- Der Benutzer und der AAA-Server des externen Netzwerks tauschen anschließend Nachrichten aus, um die Authentifizierung und Autorisierung des Benutzers durchzuführen. Dabei sendet der Benutzer Nachrichten an SMF, welches wiederum mit dem externen Netzwerk über UPF kommuniziert.
Fazit
Obwohl die Sicherheitsarchitektur von 5G auf der Wiederverwendung bestehender Technologien basiert, stehen ihr völlig neue Herausforderungen bevor. Eine riesige Anzahl von IoT-Geräten, erweiterte Netzwerkgrenzen und Aspekte einer dezentralisierten Architektur sind nur einige der Schlüsselfaktoren des 5G-Standards, die die Kreativität von Cyberkriminellen anregen.
Der grundlegende Standard für die Sicherheitsarchitektur von 5G ist — umfasst die Schlüsselpunkte der Sicherheitsmechanismen und -verfahren. Insbesondere beschreibt es die Rolle jeder VNF beim Schutz von Benutzerdaten und Netzwerk-Knoten, bei der Erstellung von Kryptoschlüsseln und der Durchführung des Authentifizierungsprozesses. Doch selbst dieser Standard gibt keine Antworten auf die drängenden Sicherheitsfragen, die Betreiber immer häufiger beschäftigen, je intensiver die neuen Netzgenerationen entwickelt und in Betrieb genommen werden.
Daher hofft man, dass die Herausforderungen bei der Nutzung und dem Schutz von 5G-Netzen die normalen Nutzer nicht beeinträchtigen, denen Geschwindigkeiten und Reaktionszeiten versprochen werden, die so schnell sind, dass sie kaum darauf warten können, alle angekündigten Funktionen der neuen Netzgeneration auszuprobieren.
Nützliche Links
Quelle: habr.com
