Es ist offensichtlich äußerst fragwürdig und nutzlos, mit der Entwicklung eines neuen Kommunikationsstandards zu beginnen, ohne über Sicherheitsmechanismen nachzudenken.
5G Sicherheitsarchitektur — eine Gesamtheit von Sicherheitsmechanismen und -verfahren, die implementiert sind in und alle Komponenten des Netzwerks abdecken, angefangen vom Kern bis hin zu den Funkschnittstellen.
Die 5G-Netze sind im Grunde eine Evolution Die bedeutendsten Änderungen betrafen die Technologien für den Funkzugang. Für die 5G-Netze wurde eine neue (Radio Access Technology) — Was das Kernnetz betrifft, hat es keine so erheblichen Änderungen erfahren. In diesem Zusammenhang wurde die Sicherheitsarchitektur der 5G-Netze mit dem Schwerpunkt auf der Wiederverwendung entsprechender Technologien, die im 4G LTE-Standard angenommen wurden, entwickelt.
Es ist jedoch zu beachten, dass die Neubewertung solcher bekannten Bedrohungen wie Angriffe auf Funkinterfaces und das Signalisierungslevel ( plane), DDOS-Angriffe, Man-In-The-Middle-Angriffe usw. die Betreiber dazu veranlasst hat, neue Standards zu entwickeln und völlig neue Sicherheitsmechanismen in die 5G-Netze zu integrieren.
Vorbedingungen
Im Jahr 2015 wurde von der Internationalen Fernmeldeunion ein erster globaler Entwicklungsplan für 5G-Netze erstellt, weshalb die Frage der Entwicklung von Sicherheitsmechanismen und -verfahren in 5G-Netzen besonders drängend wurde.
Die neue Technologie bot wahrhaft beeindruckende Datenübertragungsraten (über 1 Gbit/s), eine Latenz von weniger als 1 ms und die Möglichkeit, gleichzeitig bis zu 1 Million Geräte im Radius von 1 km² zu verbinden. Diese extrem hohen Anforderungen an die 5G-Netze spiegelten sich auch in den Prinzipien ihrer Organisation wider.
Das Hauptprinzip war die Dezentralisierung, die die Platzierung vieler lokaler Datenbanken und deren Verarbeitungszentren an den Rändern des Netzwerks beinhaltete. Dies minimierte die Latenzen bei -Kommunikationen und entlasten den Kern des Netzwerks aufgrund der Betreuung einer riesigen Anzahl von IoT-Geräten. Dadurch wurde die Grenze der neuen Netzwerke bis zu den Basisstationen erweitert, was es ermöglichte, lokale Kommunikationszentren zu schaffen und Cloud-Services ohne das Risiko kritischer Verzögerungen oder Dienstunterbrechungen anzubieten. Natürlich hat der veränderte Ansatz zur Organisation von Netzwerken und zur Kundenbetreuung die Aufmerksamkeit von Angreifern auf sich gezogen, da er ihnen neue Möglichkeiten für Angriffe sowohl auf die vertraulichen Informationen der Benutzer als auch auf die Komponenten des Netzwerks eröffnete, um Ausfälle herbeizuführen oder die Rechenressourcen des Betreibers zu kapern.
Hauptrisiken von 5G-Netzen
Große Angriffsfläche
Weitere InformationenBeim Aufbau von Telekommunikationsnetzen der 3. und 4. Generation waren die Betreiber häufig auf die Zusammenarbeit mit einem oder mehreren Anbietern beschränkt, die sofort ein Komplettpaket aus Hardware und Software lieferten. Das bedeutet, dass alles, was man benötigte, „aus der Box“ funktionierte – es genügte, die bei dem Anbieter erworbene Hardware zu installieren und zu konfigurieren; dabei war es nicht nötig, proprietäre Software zu ersetzen oder zu ergänzen. Moderne Trends gehen gegen diesen „klassischen“ Ansatz und sind auf die Virtualisierung von Netzwerken, einen Multi-Vendor-Ansatz beim Aufbau und auf die Vielfalt der Software ausgerichtet. Technologien wie (engl. Software Defined Network) und (engl. Network Functions Virtualization) werden immer populärer, was zur Einbeziehung einer enormen Menge an Software, die auf Open-Source-Basis entwickelt wurde, in die Prozesse und Funktionen des Managements von Kommunikationsnetzwerken führt. Dies gibt Angreifern die Möglichkeit, das Netzwerk des Betreibers besser zu untersuchen und eine größere Anzahl von Schwachstellen zu identifizieren, was wiederum die Angriffsfläche von neuen Netzwerken im Vergleich zu den bestehenden erhöht.
Eine große Anzahl von IoT-Geräten
Weitere InformationenBis 2021 werden etwa 57 % der Geräte, die mit 5G-Netzen verbunden sind, IoT-Geräte sein. Das bedeutet, dass die meisten Hosts über begrenzte kryptografische Fähigkeiten verfügen werden (siehe Punkt 2) und somit anfällig für Angriffe sind. Die enorme Anzahl solcher Geräte wird das Risiko der Verbreitung von Botnetzen erhöhen und die Möglichkeit schaffen, noch leistungsfähigere und verteilte DDoS-Angriffe durchzuführen.
Begrenzte kryptografische Fähigkeiten von IoT-Geräten
Weitere InformationenWie bereits erwähnt, nutzen 5G-Netze aktiv Peripheriegeräte, die einen Teil der Last vom Kernnetz abnehmen und so die Latenz verringern. Dies ist notwendig für wichtige Dienste wie die Steuerung von Drohnenfahrzeugen, Notfallwarnsysteme usw., bei denen es auf minimale Latenz ankommt, da dies lebenswichtig sein kann. Aufgrund der Verbindung einer großen Anzahl von IoT-Geräten, die aufgrund ihrer kleinen Größe und ihres geringen Energieverbrauchs über sehr begrenzte Rechenressourcen verfügen, werden 5G-Netze anfällig für Angriffe, die darauf abzielen, die Kontrolle zu übernehmen und solche Geräte zu manipulieren. Beispielsweise sind Szenarien möglich, in denen IoT-Geräte, die Teil des „“-Systems sind, mit Malware wie infiziert werden. Es sind auch Szenarien möglich, in denen die Kontrolle über Drohnenfahrzeuge, die Befehle und Navigationsinformationen über die „Cloud“ erhalten, übernommen wird. Formell ist diese Verwundbarkeit auf die Dezentralisierung der neuen Netzwerke zurückzuführen, aber der nächste Punkt wird das Dezentralisierungsproblem deutlicher machen.
Dezentralisierung und Erweiterung der Netzwerkgrenzen
Weitere InformationenPeripheriegeräte, die als lokale Knotenpunkte im Netzwerk fungieren, übernehmen die Routing von Benutzerdaten, die Verarbeitung von Anfragen sowie das lokale Caching und die Speicherung von Benutzerdaten. Somit erweitern sich die Grenzen der 5G-Netzwerke über das Kernnetz hinaus, einschließlich lokaler Datenbanken und 5G-NR (engl. 5G New Radio) Funkschnittstellen. Dies schafft Möglichkeiten für Angriffe auf die Rechenressourcen lokaler Geräte, die prinzipiell schwächer geschützt sind als die zentralen Knotenpunkte des Kernnetzes, um einen Denial-of-Service auszulösen. Dies könnte zu einem Ausfall des Internetzugangs ganzer Gebiete, zu Fehlfunktionen von IoT-Geräten (z.B. in einem „Smart Home“-System) sowie zur Nichtverfügbarkeit von Notfallwarnungsdiensten IMS führen.
Derzeit haben jedoch ETSI und 3GPP bereits über 10 Standards veröffentlicht, die verschiedene Aspekte der Sicherheit von 5G-Netzen betreffen. Die überwiegende Mehrheit der dort beschriebenen Mechanismen zielt darauf ab, gegen Schwachstellen (inkl. der oben beschriebenen) zu schützen. Einer der Hauptstandards ist , der die Sicherheitsarchitektur von 5G-Netzen beschreibt.
5G-Architektur
Beginnen wir mit den Schlüsselprinzipien der 5G-Netzarchitektur, die es ermöglichen, die Bedeutung und Verantwortlichkeiten jedes Softwaremoduls und jeder Sicherheitsfunktion in 5G vollständig zu verstehen.
- Die Trennung der Netzwerkknoten in Elemente, die die Protokolle der (von engl. UP – User Plane) und Elemente, die die Protokolle der (von engl. CP – Control Plane), was die Flexibilität bei der Skalierung und Bereitstellung des Netzwerks erhöht, d.h. eine zentrale oder dezentrale Platzierung der einzelnen Komponenten der Netzwerkknoten möglich macht.
- Unterstützung des Mechanismus , basierend auf den Dienstleistungen, die bestimmten Benutzergruppen angeboten werden.
- Implementierung der Netzwerkelemente in Form von .
- Unterstützung des gleichzeitigen Zugriffs auf zentrale und lokale Dienste, d.h. Umsetzung der Konzepte der Cloud- (von engl. ) und Edge- (von engl. ) Berechnungen.
- Implementierung Architektur, die verschiedene Arten von Zugangsnetzwerken vereint — 3GPP 5G New Radio und (Wi-Fi usw.) — mit einem einheitlichen Kernnetz.
- Unterstützung einheitlicher Authentifizierungsverfahren und -algorithmen unabhängig von der Art des Zugangsnetzes.
- Unterstützung zustandsloser Netzwerkfunktionen, bei denen die berechnete Ressource von der Ressourcenspeicherung getrennt ist.
- Unterstützung von Roaming mit Traffic-Routing sowohl über das Heimnetz als auch mit lokalem "Breakout" im Gastnetz.
- Interaktion zwischen Netzwerkfunktionen erfolgt auf zwei Arten: und .
Das Sicherheitskonzept für 5G-Netze umfasst:
- Benutzerauthentifizierung seitens des Netzwerks.
- Netzwerkauthentifizierung seitens des Benutzers.
- Aushandlung von kryptographischen Schlüsseln zwischen dem Netzwerk und der Benutzerhardware.
- Verschlüsselung und Integritätskontrolle des Signalisierungsverkehrs.
- Verschlüsselung und Integritätskontrolle des Benutzerverkehrs.
- Schutz der Benutzeridentität.
- Schutz der Schnittstellen zwischen verschiedenen Netzwerkelementen gemäß dem Sicherheitsdomänenkonzept.
- Isolation der verschiedenen Schichten des Mechanismus und Festlegung eigener Sicherheitsniveaus für jede Schicht.
- Benutzerauthentifizierung und Schutz des Verkehrs auf Ebene der Enddienste (IMS, IoT und andere).
Die Hauptsoftwaremodule und Sicherheitsnetzwerkfunktionen für 5G
AMF (Access & Mobility Management Function) — stellt sicher:
- Organisation der Schnittstellen der Kontrollfläche.
- Organisation des Austauschs von Signalisierungsverkehr , Verschlüsselung und Schutz der Integrität seiner Daten.
- Organisation des Austauschs von Signalisierungsverkehr , Verschlüsselung und Schutz der Integrität seiner Daten.
- Verwaltung der Registrierung der Benutzerhardware im Netzwerk und Kontrolle der möglichen Registrierung Zustände.
- Verwaltung der Verbindung der Benutzerhardware mit dem Netzwerk und Kontrolle der möglichen Zustände.
- Verwaltung der Verfügbarkeit der Benutzerhardware im Netzwerk im CM-IDLE-Zustand.
- Verwaltung der Mobilität der Benutzerhardware im Netzwerk im CM-CONNECTED-Zustand.
- Übertragung von Kurznachrichten zwischen der Benutzerhardware und SMF.
- Verwaltung von Geolokalisierungsdiensten.
- Zuweisung einer Stream-ID zur Interaktion mit EPS.
SMF (Session Management Function) — stellt sicher: (engl. Session Management Function — Funktion zur Verwaltung von Sitzungen) — sorgt dafür:
- Verwaltung von Kommunikationssitzungen, d. h. Erstellung, Änderung und Freigabe einer Sitzung, einschließlich der Unterstützung eines Tunnels zwischen dem Zugangsnetz und dem UPF.
- Verteilung und Verwaltung von IP-Adressen der Endgeräte.
- Auswahl des verwendeten UPF-Gateways.
- Organisation der Interaktion mit dem PCF.
- Verwaltung der Anwendung von Richtlinien. .
- Dynamische Konfiguration der Endgeräte über die Protokolle DHCPv4 und DHCPv6.
- Kontrolle der Erfassung von Abrechnungsdaten und Organisation der Interaktion mit dem Abrechnungssystem.
- Nahtlosigkeit der Dienstbereitstellung (von engl. ).
- Interaktion mit Gastnetzen im Rahmen des Roaming.
UPF (engl. User Plane Function — Benutzerplane-Funktion) — sorgt für:
- Interaktion mit externen Datenübertragungsnetzen, einschließlich dem globalen Internet.
- Routing von Benutzerpaketen.
- Markierung von Paketen gemäß den QoS-Richtlinien.
- Diagnose von Benutzerpaketen (z. B. Erkennung von Anwendungen basierend auf Signaturen).
- Bereitstellung von Berichten über die Nutzung des Datenverkehrs.
- Der UPF ist auch der Ankerpunkt zur Unterstützung von Mobilität sowohl innerhalb einer als auch zwischen verschiedenen Funkzugangstechnologien.
UDM (engl. Unified Data Management — einheitliches Datenmanagement) — sorgt für:
- Verwaltung von Benutzerprofil-Daten, einschließlich Speicherung und Modifikation der Liste der für Benutzer verfügbaren Dienste und deren Parameter.
- Verwaltung
- Generierung von Authentifizierungsdaten gemäß 3GPP. .
- Zugangsberechtigung auf Basis der Profildaten (z. B. Roaming-Einschränkung).
- Verwaltung der Benutzerregistrierung, d. h. Speicherung der betreuenden AMF.
- Unterstützung der nahtlosen Bereitstellung und Kommunikationssitzung, d. h. Speicherung der für die aktuelle Kommunikation zugewiesenen SMF.
- Verwaltung der SMS-Zustellung.
- Mehrere verschiedene UDM können einen Benutzer im Rahmen verschiedener Transaktionen bedienen.
UDR (engl. Unified Data Repository — einheitliches Datenrepository) — sorgt für die Speicherung verschiedener Benutzerdaten und ist im Wesentlichen eine Datenbank aller Abonnenten des Netzwerks.
UDSF (dt. Unstructured Data Storage Function — Funktion zur Speicherung unstrukturierter Daten) — gewährleistet die Speicherung der aktuellen Kontexte registrierter Benutzer durch die AMF-Module. Diese Informationen können im Allgemeinen als Daten mit unbestimmter Struktur dargestellt werden. Die Benutzerkontexte können verwendet werden, um nahtlose und unterbrechungsfreie Abonnementsitzungen sowohl bei der geplanten Deaktivierung eines der AMF-Dienste als auch im Falle eines Notfalls sicherzustellen. In beiden Fällen wird das Backup-AMF den Dienst übernehmen, indem es die in der USDF gespeicherten Kontexte verwendet.
Die Kombination von UDR und UDSF auf einer physischen Plattform ist eine typische Implementierung dieser Netzwerkfunktionen.
PCF (dt. Policy Control Function — Funktion zur Steuerung von Richtlinien) — erstellt und weist den Benutzern bestimmte Servicerichtlinien zu, einschließlich QoS-Parameter und Abrechnungsregeln. Zum Beispiel können für die Übertragung eines bestimmten Traffictyps dynamisch virtuelle Kanäle mit unterschiedlichen Eigenschaften erstellt werden. Dabei können die Anforderungen des vom Abonnenten angeforderten Dienstes, der Grad der Netzwerkauslastung, das verbrauchte Datenvolumen usw. berücksichtigt werden.
NEF (dt. Network Exposure Function — Funktion zur Netzwerkaussetzung) — gewährleistet:
- Die Organisation einer sicheren Interaktion externer Plattformen und Anwendungen mit dem Kernnetz.
- Das Management von QoS-Parametern und Abrechnungsregeln für bestimmte Benutzer.
SEAF (dt. Security Anchor Function — Sicherheitsankerfunktion) — gewährleistet zusammen mit der AUSF die Authentifizierung von Benutzern bei deren Registrierung im Netzwerk mit jeder Zugriffstechnologie.
AUSF (dt. Authentication Server Function — Funktion des Authentifizierungsservers) — fungiert als Authentifizierungsserver, der Anfragen von SEAF entgegennimmt und verarbeitet und sie an ARPF weiterleitet.
ARPF (dt. Authentication Credential Repository and Processing Function — Funktion zur Speicherung und Verarbeitung von Authentifizierungsdaten) — gewährleistet die Speicherung persönlicher geheimer Schlüssel (KI) und Parameter kryptografischer Algorithmen sowie die Generierung von Authentifizierungsvektoren gemäß den Algorithmen 5G-AKA oder -AKA. Es befindet sich in einem vor externen physischen Einflüssen geschützten Rechenzentrum des Heim-Netzbetreibers und integriert sich in der Regel mit UDM.
SCMF (dt. Security Context Management Function — Funktion zur Verwaltung ) — gewährleistet das Management des Sicherheitskontextzyklus für 5G.
SPCF (Engl. Security Policy Control Function — Sicherheitsrichtliniensteuerungsfunktion) — sorgt für die Abstimmung und Durchsetzung von Sicherheitsrichtlinien für spezifische Benutzer. Dabei werden die Netzfähigkeiten, die Fähigkeiten der Endgeräte und die Anforderungen des jeweiligen Dienstes berücksichtigt (zum Beispiel können die Schutzmaßnahmen, die durch den Dienst für kritische Kommunikation und den Dienst für drahtloses Breitband-Internet bereitgestellt werden, unterschiedlich sein). Die Anwendung von Sicherheitsrichtlinien umfasst: Auswahl von AUSF, Auswahl des Authentifizierungsalgorithmus, Auswahl von Algorithmen zur Verschlüsselung von Daten und zur Integritätsprüfung, Festlegung der Länge und des Lebenszyklus von Schlüsseln.
SIDF (Engl. Subscription Identifier De-concealing Function — Funktion zum Extrahieren des Benutzeridentifikators) — ermöglicht das Extrahieren der permanenten Abonnentenidentifikation (Engl. SUPI) aus dem versteckten Identifikator (Engl. ), der im Rahmen einer Authentifizierungsanforderung "Auth Info Req" erhalten wurde.
Wesentliche Sicherheitsanforderungen für 5G Kommunikationsnetze
Weitere InformationenBenutzerauthentifizierung: Das 5G-Netz muss den SUPI des Benutzers im Rahmen des 5G AKA zwischen Benutzer und Netzwerk authentifizieren.
Authentifizierung des Dienstnetzwerks: Der Benutzer muss den Identifikator des Dienstnetzwerks 5G authentifizieren, wobei die Authentifizierung durch den erfolgreichen Einsatz von Schlüsseln erfolgt, die im Rahmen des 5G AKA-Verfahrens erhalten wurden.
Benutzerautorisierung: Das Dienstnetz muss den Benutzer basierend auf dem Benutzerprofil autorisieren, das aus dem Netz des Heimnetzbetreibers erhalten wurde.
Autorisierung des Dienstnetzwerks durch das Heimnetz des Netzbetreibers: Der Benutzer muss eine Bestätigung erhalten, dass er mit einem Dienstnetz verbunden ist, das vom Netz des Heimnetzbetreibers zur Bereitstellung von Diensten autorisiert ist. Die Autorisierung erfolgt implizit, da sie durch den erfolgreichen Abschluss des 5G AKA-Verfahrens gewährleistet wird.
Autorisierung des Zugangsnetzwerks durch das Heimnetz des Netzbetreibers: Der Benutzer muss eine Bestätigung erhalten, dass er mit einem Zugang Netzwerk verbunden ist, das vom Heimnetzbetreiber zur Bereitstellung von Diensten autorisiert ist. Die Autorisation erfolgt implizit, da die Sicherheit des Zugang Netzwerks erfolgreich hergestellt wird. Diese Art der Autorisierung sollte für jede Art von Zugang Netzwerk angewendet werden.
Nicht authentifizierte Notfalldienste: Um den regulatorischen Anforderungen in bestimmten Regionen zu entsprechen, müssen 5G-Netze die Möglichkeit des nicht authentifizierten Zugangs für Notfalldienste bieten.
Kernnetz und Funkzugangsnetz: Im 5G-Kernnetz und im 5G-Funkzugangsnetz muss die Verwendung von Verschlüsselungs- und Integritätsschutzverfahren mit einer Schlüssellänge von 128 Bit zur Gewährleistung der Sicherheit unterstützt werden. und . Netzinterschnittstellen müssen 256-Bit-Verschlüsselungsschlüssel unterstützen.
Wesentliche Sicherheitsanforderungen an die Benutzergeräte
Weitere Informationen
- Benutzergeräte müssen Verschlüsselung, Integritätsschutz und Schutz gegen Wiederholangriffe auf Benutzerdaten unterstützen, die zwischen ihnen und dem Funkzugangsnetz übertragen werden.
- Benutzergeräte müssen Verschlüsselungs- und Integritätsschutzmechanismen aktivieren, wenn ihnen dies vom Funkzugangsnetz mitgeteilt wird.
- Benutzergeräte müssen Verschlüsselung, Integritätsschutz und Schutz gegen Wiederholangriffe auf RRC- und NAS-Signaldaten unterstützen.
- Benutzergeräte müssen die folgenden Kryptalgorithmen unterstützen: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
- Benutzergeräte können die folgenden Kryptalgorithmen unterstützen: 128-NEA3, 128-NIA3.
- Benutzergeräte müssen die folgenden Kryptalgorithmen unterstützen: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2, sofern sie eine Verbindung zum E-UTRA Funkzugangsnetz unterstützen.
- Der Schutz der Vertraulichkeit der Benutzerdaten, die zwischen dem Benutzergerät und dem Funkzugangsnetz übertragen werden, ist optional, sollte jedoch in allen Fällen gewährleistet werden, in denen dies von den gesetzlichen Vorschriften zulässig ist.
- Der Schutz der Vertraulichkeit der RRC- und NAS-Signaldaten ist optional.
- Der permanente Benutzer-Schlüssel muss geschützt und in gut gesicherten Komponenten der Benutzerausrüstung aufbewahrt werden.
- Die permanente Abonnenten-ID darf nicht unverschlüsselt über das Funkzugangsnetz übertragen werden, es sei denn, es handelt sich um Informationen, die für die korrekte Vermittlung erforderlich sind (z. B. und ).
- Der öffentliche Schlüssel des Heimnetzbetreibers, die Identifikationsnummer dieses Schlüssels, die Identifikationsnummer des Schutzschemas und die Routing-ID müssen aufbewahrt werden in .
Jedem Verschlüsselungsalgorithmus wird eine binäre Zahl zugeordnet:
- «0000»: NEA0 — Null-Verschlüsselungsalgorithmus
- «0001»: 128-NEA1 — 128-Bit 3G-basierter Algorithmus
- «0010» 128-NEA2 — 128-Bit basierter Algorithmus
- «0011» 128-NEA3 — 128-Bit basierter Algorithmus.
Datenverschlüsselung mit 128-NEA1 und 128-NEA2
P.S. Das Schema wurde entnommen aus
Erzeugung von Integritätsprüfziffern durch die Algorithmen 128-NIA1 und 128-NIA2 zur Gewährleistung der Integrität
P.S. Das Schema wurde entnommen aus
Grundlegende Sicherheitsanforderungen an Netzwerkfunktionen der 5G-Technologie
Weitere Informationen
- AMF muss die primäre Authentifizierung mit SUCI unterstützen.
- SEAF muss die primäre Authentifizierung mit SUCI unterstützen.
- UDM und ARPF müssen den permanenten Benutzer-Schlüssel aufbewahren und vor Diebstahl schützen.
- AUSF darf SUPI nur an das lokale Netzwerk weitergeben, wenn die primäre Authentifizierung mit SUCI erfolgreich war.
- NEF darf keine verborgenen Informationen über das Kernnetz außerhalb des Sicherheitsdomänenbetreibers weiterleiten.
Grundlegende Sicherheitsverfahren
Vertrauensdomänen
In 5G-Netzen nimmt das Vertrauen in Netzwerkelemente ab, je weiter diese vom Kernnetz entfernt sind. Dieses Konzept wirkt sich auf die in der 5G-Sicherheitsarchitektur implementierten Lösungen aus. Daher kann von einem 5G-Netzvertrauensmodell gesprochen werden, das das Verhalten der Netzwerksicherheitsmechanismen bestimmt.
Vom Benutzer aus gesehen bilden UICC und USIM die Vertrauensdomäne.
Auf der Netzwerkseite hat die Vertrauensdomäne eine komplexere Struktur.
Das Funkzugangsnetz gliedert sich in zwei Komponenten — DU (von engl. Distributed Units — verteilte Netzwerkeinheiten) und CU (von engl. Central Units — zentrale Netzwerkeinheiten). Zusammen bilden sie gNB — das Funkinterface der Basisstation des 5G-Netzes. DU haben keinen direkten Zugriff auf Benutzerdaten, da sie in ungeschützten Infrastruktursegmenten bereitgestellt werden können. CU hingegen müssen in geschützten Netzwerksegmenten bereitgestellt werden, da sie für die Terminierung des Datenverkehrs der Sicherheitsmechanismen AS verantwortlich sind. Im Kernnetz befindet sich AMF, das den Datenverkehr der Sicherheitsmechanismen NAS terminiert. In der aktuellen 3GPP-Spezifikation 5G Phase 1 wird eine Kombination beschrieben AMF mit der Sicherheitsfunktion SEAF, die den Wurzelkey (auch bekannt als „Anchor Key“) des besuchten (bedienten) Netzwerks enthält. AUSF verantwortet die Speicherung des Schlüssels, der nach erfolgreicher Authentifizierung erhalten wurde. Er ist erforderlich für die Wiederverwendung, wenn der Benutzer gleichzeitig mit mehreren Funkzugangsnetzen verbunden ist. ARPF speichert die Benutzerdaten und entspricht der USIM bei den Abonnenten. UDR und UDM speichern die Benutzerinformationen, die zur Bestimmung der Logik der Generierung von Anmeldeinformationen, Benutzeridentifikatoren, der Gewährleistung der Sitzungsfortführung usw. verwendet werden.
Hierarchie der Schlüssel und deren Verteilungsschemas
Im 5G-Netz, im Gegensatz zu 4G-LTE-Netzen, hat das Authentifizierungsverfahren zwei Komponenten: die primäre und die sekundäre Authentifizierung. Die primäre Authentifizierung ist für alle Benutzergeräte erforderlich, die sich mit dem Netzwerk verbinden. Die sekundäre Authentifizierung kann auf Anfrage von externen Netzwerken durchgeführt werden, wenn sich der Abonnent mit solchen verbindet.
Nach erfolgreichem Abschluss der primären Authentifizierung und der Generierung des gemeinsamen Schlüssels K zwischen dem Benutzer und dem Netzwerk wird aus dem Schlüssel K der KSEAF extrahiert – ein spezieller Anker- (Wurzel-) Schlüssel des bedienten Netzwerks. Aus diesem Schlüssel werden anschließend Schlüssel erzeugt, die die Vertraulichkeit und Integrität der Daten des Signalisierungsverkehrs RRC und NAS gewährleisten.
Schema mit Erläuterungen
Bezeichnungen:
CK (engl. Cipher Key)
IK (engl. Integrity Key) – Schlüssel, der in den Mechanismen zum Schutz der Datenintegrität verwendet wird.
CK’ (engl. Cipher Key) – ein weiterer kryptographischer Schlüssel, der aus CK für den Mechanismus EAP-AKA erstellt wird.
IK’ (engl. Integrity Key) – ein weiterer Schlüssel, der in den Mechanismen zum Schutz der Datenintegrität für EAP-AKA verwendet wird.
KAUSF – wird von der ARPF-Funktion und der Benutzerausstattung aus erstellt CK und IK während 5G AKA und EAP-AKA.
KSEAF – Anker-Schlüssel, der von der AUSF-Funktion aus dem Schlüssel erhalten wird KAMFAUSF.
KAMF — Schlüssel, der von der SEAF-Funktion aus dem Schlüssel generiert wird KSEAF.
KNASint, KNASenc — Schlüssel, die von der AMF-Funktion aus dem Schlüssel generiert werden KAMF zum Schutz des Signalverkehrs NAS.
KRRCint, KRRCenc — Schlüssel, die von der AMF-Funktion aus dem Schlüssel generiert werden KAMF zum Schutz des Signalverkehrs RRC.
KUPint, KUPenc — Schlüssel, die von der AMF-Funktion aus dem Schlüssel generiert werden KAMF zum Schutz des Signalverkehrs AS.
NH — Zwischenschlüssel, der von der AMF-Funktion aus dem Schlüssel generiert wird KAMF zum Schutz der Daten während Handover.
KgNB — Schlüssel, der von der AMF-Funktion aus dem Schlüssel generiert wird KAMF zum Schutz der Mobilitätsmechanismen.
Egenerierung von SUCI aus SUPI und umgekehrt
Erhalt von SUPI und SUCI
Generierung von SUCI aus SUPI und SUPI aus SUCI:
Authentifizierung
Primäre Authentifizierung
In 5G-Netzen sind EAP-AKA und 5G AKA die Standardmechanismen zur primären Authentifizierung. Lassen Sie uns den Mechanismus der primären Authentifizierung in zwei Phasen aufteilen: die erste verantwortlich für die Initiierung der Authentifizierung und die Auswahl der Authentifizierungsmethode, die zweite für die gegenseitige Authentifizierung zwischen Benutzer und Netzwerk.
Initiierung
Der Benutzer sendet eine Registrierungsanfrage an die SEAF, die eine versteckte Abonnement-ID des Benutzers (SUCI) enthält.
SEAF sendet an AUSF eine Anfrage zur Authentifizierung (Nausf_UEAuthentication_Authenticate Request), die SNN (Serving Network Name — Name des bereitstellenden Netzwerks) und SUPI oder SUCI enthält.
AUSF überprüft, ob die anfordernde Authentifizierung SEAF das angegebene SNN verwenden darf. Wenn das bereitstellende Netzwerk nicht autorisiert ist, dieses SNN zu verwenden, antwortet AUSF mit einer Fehlermeldung zur Autorisierung «Serving network not authorized» (Nausf_UEAuthentication_Authenticate Response).
Die Anforderung von Authentifizierungsdaten durch AUSF an UDM, ARPF oder SIDF erfolgt über SUPI oder SUCI und SNN.
Basierend auf SUPI oder SUCI wählt die Benutzerinformation UDM/ARPF die Authentifizierungsmethode aus, die künftig verwendet wird, und gibt die Benutzerdaten aus.
Gegenseitige Authentifizierung
Bei der Verwendung einer Authentifizierungsmethode müssen die Netzfunktionen UDM/ARPF einen Authentifizierungsvektor (AV) generieren.
EAP-AKA: Zuerst generiert UDM/ARPF einen Authentifizierungsvektor mit dem Trennbit AMF = 1, und erzeugt dann CK’ und IK’ aus CK, IK und SNN und erstellt einen neuen Authentifizierungsvektor AV (RAND, AUTN, XRES*, CK’, IK’), der an AUSF mit dem Hinweis gesendet wird, ihn nur für EAP-AKA zu verwenden.
5G AKA: UDM/ARPF erhält den Schlüssel KAUSF aus CK, IK und SNN, dann generiert es den 5G HE AV (5G Home Environment Authentication Vector). Der Authentifizierungsvektor 5G HE AV (RAND, AUTN, XRES, KAUSF) wird an AUSF gesendet, mit dem Hinweis, ihn nur für 5G AKA zu verwenden.
Nach diesem Schritt entsteht aus AUSF ein Anker-Schlüssel. KSEAF aus dem Schlüssel. KAUSF und sendet an SEAF die Anfrage „Challenge“ in der Nachricht „Nausf_UEAuthentication_Authenticate Response“, die auch RAND, AUTN und RES* enthält. Anschließend erfolgt die Übertragung von RAND und AUTN an die Benutzerausrüstung über eine sichere Signalisierungsnachricht NAS. Die USIM des Benutzers berechnet RES* aus den erhaltenen RAND und AUTN und sendet dieses an SEAF. SEAF leitet diesen Wert zur Überprüfung an AUSF weiter.
AUSF vergleicht das gespeicherte XRES* mit dem vom Benutzer erhaltenen RES*. Bei Übereinstimmung werden AUSF und UDM im Heimnetz des Betreibers über die erfolgreiche Authentifizierung informiert, während der Benutzer und SEAF unabhängig voneinander einen Schlüssel KAMF aus KSEAF und SUPI für die weitere Kommunikation generieren.
Sekundäre Authentifizierung
Der 5G-Standard unterstützt eine optionale sekundäre Authentifizierung basierend auf EAP-AKA zwischen der Benutzerausrüstung und dem externen Datennetzwerk. In diesem Fall fungiert das SMF als EAP-Authentifikator und stützt sich auf die Arbeit -Servers des externen Netzwerks, der den Benutzer authentifiziert und autorisiert.
- Es erfolgt eine obligatorische primäre Authentifizierung des Benutzers im Heimnetz, und es wird ein gemeinsamer NAS-Sicherheitskontext mit AMF erstellt.
- Der Benutzer sendet eine Anfrage an AMF zur Sitzungseinrichtung.
- AMF sendet eine Anfrage zur Sitzungseinrichtung an SMF mit Angabe des SUPI des Benutzers.
- SMF überprüft die Benutzerdaten im UDM unter Verwendung des angegebenen SUPI.
- SMF sendet eine Antwort auf die Anfrage von AMF.
- SMF startet das EAP-Authentifizierungsverfahren, um die Genehmigung zur Sitzungseinrichtung vom AAA-Server des externen Netzwerks zu erhalten. Zu diesem Zweck tauschen SMF und der Benutzer Nachrichten aus, um das Verfahren zu initiieren.
- Der Benutzer und der AAA-Server des externen Netzwerks tauschen dann Nachrichten aus, um die Authentifizierung und Autorisierung des Benutzers durchzuführen. Dabei sendet der Benutzer Nachrichten an SMF, das wiederum Nachrichten mit dem externen Netzwerk über UPF austauscht.
Fazit
Obwohl die Sicherheitsarchitektur von 5G auf der Wiederverwendung bestehender Technologien basiert, stehen ihr ganz neue Herausforderungen gegenüber. Eine riesige Anzahl von IoT-Geräten, erweiterte Netzgrenzen und Elemente dezentraler Architektur sind nur einige der Schlüsselprinzipien des 5G-Standards, die die Fantasie von Cyberkriminellen anregen.
Der Hauptstandard für die Sicherheitsarchitektur von 5G — — enthält die wichtigsten Aspekte der Funktionsweise von Sicherheitsmechanismen und -verfahren. Insbesondere beschreibt er die Rolle jeder VNF beim Schutz von Benutzerdaten und Netzwerkknoten, bei der Erzeugung von Kryptoschlüsseln und bei der Durchführung des Authentifizierungsverfahrens. Doch selbst dieser Standard gibt keine Antworten auf die brennenden Sicherheitsfragen, mit denen Telekommunikationsanbieter konfrontiert sind, und zwar desto häufiger, je intensiver die Netze der nächsten Generation entwickelt und in Betrieb genommen werden.
In diesem Zusammenhang hofft man, dass die Schwierigkeiten bei der Nutzung und dem Schutz von 5G-Netzen keine negativen Auswirkungen auf die normalen Benutzer haben werden, die Geschwindigkeiten und Reaktionszeiten wie beim Sohn einer Freundin ihrer Mutter erwarten und all die versprochenen Möglichkeiten der Netzwerke der nächsten Generation unbedingt ausprobieren wollen.
Nützliche Links
Quelle: habr.com
