Ilmselt on kaheldav ja kasutu alustada uue suhtestandardiga, kui ei mõelda turvamehhanismidele.

5G turvaarhitektuur — turvamehhanismide ja protseduuride kogum, mis on rakendatud viienda põlvkonna võrkudes ja katab kõiki võrgu komponente, alustades tuumast ja lõpetades raadioside liidestega.

Viie põlvkonna võrgud on oma olemuselt neljanda põlvkonna LTE võrgu evolutsioon. Väga olulised muudatused on toimunud raadioside tehnoloogiate osas. Viie põlvkonna võrkude jaoks on välja töötatud uusRAT (Raadioside tehnoloogia) — 5G Uus Raadio . Mis puudutab võrgu tuuma, siis seal pole olnud nii suuri muudatusi. Seetõttu on 5G võrgu turvaarhitektuur välja töötatud, rõhutades vastava tehnoloogia taaskasutamist, mis on vastu võetud 4G LTE standardis.Kuid tasub märkida, et selliste tuntud ohtude nagu ründed raadioside liidestele ja signaalitasemele (

signallingplane), DDOS ründed, Man-In-The-Middle ründed jne, ümbermõtestamine on ajendanud teenusepakkujaid välja töötama uusi standardeid ja integreerima täiesti uusi turvamehhanisme viienda põlvkonna võrkudesse. 2015. aastal koostas Rahvusvaheline Telekommunikatsiooniliit esimese omataolise globaalplaani viienda põlvkonna võrkude arendamiseks, seetõttu on viienda põlvkonna võrkude turvamehhanismide ja -protseduuride väljatöötamise küsimus eriti terav.

Eeldused

Uus tehnoloogia pakkus tõeliselt muljetavaldavaid andmeedastuskiirus, ületades 1 Gbit/s, latentsus alla 1 ms ja võimalus ühendada samaaegselt umbes 1 miljon seadet 1 km2 raadiuses. Sellised äärmiselt ranged nõudmised, mis kehtestatakse viienda põlvkonna võrkudele, kajastusid ka nende korraldustehnikates.

Peamine neist oli detsentraliseerimine, mis tähendas hulga kohalike andmebaaside ja nende töötlemise keskuste paigutamist võrgu perifeeriasse. See võimaldas vähendada viivitusi

M2M M2M-kommunikatsioonide ja vabastada võrgu tuum teenindama tohutut hulka IoT-seadmeid. Seeläbi laienes uue põlvkonna võrkude piir isegi baasjaamadele, võimaldades luua kohalikke kommunikatsioonikeskusi ja pakkuda pilveteenuseid ilma kriitiliste viivituste või teenuse katkestamise riskita. Loomulikult huvitavad sellised muutunud lähenemisviisid võrgu korraldamisele ja klienditeenindusele pahatahtlikke isikuid, kuna need avavad uusi rünnakuvõimalusi nii kasutajate konfidentsiaalsele teabele kui ka võrgu komponentidele teenuse katkestamise või operaatori arvutusressursside püüdmiseks.

Viies põlvkond võrgu põhivõimalused

Suurem rünnakupind

LisateaveTelekommunikatsioonivõrkude ehitamisel kolmanda ja neljanda põlvkonna perioodil piirdusid sideoperaatorid tavaliselt ühe või mitme tarnijaga, kes tarnisid kohe kompleksi riistvara ja tarkvara. See tähendab, et kõik võis töötada, nagu öeldakse, "karbist välja" — piisavalt oli lihtsalt installida ja seadistada tarnijalt ostetud seadmed; samas ei olnud vajadust vahetada või täiendada patenteeritud tarkvara. Kaasaegsed trendid on vastuolus sellise "klassikalise" lähenemisega ning suunavad võrkude virtualiseerimise, mitme tarnijaga lähenemise rakendamisele ja tarkvara mitmekesisusele. Üha populaarsemaks muutuvad sellised tehnoloogiad nagu SDN (ingl. k. Software Defined Network) ja NFV (ingl. k. Network Functions Virtualization), mis toob kaasa tohutu hulga avatud lähtekoodiga tarkvara kaasamise sidevõrkude haldamise protsessidesse ja funktsioonidesse. See annab pahatahtlike isikute võimaluse paremini uurida operaatori võrku ja tuvastada rohkem haavatavusi, mis omakorda suurendab uue põlvkonna võrkude rünnakupinda võrreldes praegustega.

Suure hulga IoT-seadmeid

LisateaveAastal 2021 moodustavad umbes 57% 5G-võrkudega ühendatud seadmetest IoT-seadmed. See tähendab, et enamus hostidest omab piiratud krüptograafilisi võimalusi (vt punkt 2) ja on seega haavatavad rünnakute suhtes. Suur hulk selliseid seadmeid suurendab pahavara levimise riski ning võimaldab läbi viia veelgi võimsamaid ja jaotatud DDoS-rünnakuid.

Piiratud krüptograafilised võimalused IoT-seadmetes

LisateaveKuna kasutusele on võetud 5. põlvkonna võrgud, kasutatakse aktiivselt perifeerseid seadmeid, mis võimaldavad vähendada koormust võrgu tuumast ning seeläbi vähendada latentsust. See on vajalik selliste oluliste teenuste jaoks nagu droonide juhtimine, hädaolukorra teabe edastussüsteem IMS jne., mille puhul on ülimalt kriitiline tagada minimaalne latentsus, nagu see mõjutab inimeste elu. Suure hulga IoT-seadmete ühendamine, mis oma väikese suuruse ja madala energiatarbimise tõttu omavad väga piiratud arvutusressursse, muudab 5G-võrgud haavatavaks rünnakute suhtes, mille eesmärk on juhtimise üle kontrollimise haaramine ja selliste seadmete manipuleerimine. Näiteks on võimalikud stsenaariumid IoT-seadmete nakatumiseks, mis on osa "nutikodu", selliste pahavarade nagu Ransomware ja lunavara. Samuti on võimalikud stsenaariumid droonide juhtimise üle kontrollimise haaramiseks, mis saavad käske ja navigatsiooni teavet "pilve" kaudu. Formaalne selle haavatavuse põhjus on uusversioonivõrkude decentraliseeritud loomus, kuid järgmine punkt tõstatab decentraliseerimise probleemi veelgi selgemalt.

Decentraliseerimine ja võrgu piiride laienemine

LisateavePerifeersed seadmed, mis toimivad kohalike võrgu tuumadena, teostavad kasutajate rohkete liikluste edastamist, päringute töötlemist ning kohalike andmete vahemälu ja hoidmist. Seega laienevad 5. põlvkonna võrkude piirded, ulatudes tuumast perifeeriasse, sealhulgas kohalike andmebaaside ja 5G-NR (ingl. 5G New Radio) raadiointerfäiside peale. See loob võimaluse rünnakuks kohalike seadmete arvutusressurssidele, mis on loomulikult kaitstud nõrgemini kui võrgu keskse tuuma sõlmed, eesmärgiga tekitada teenuse katkestamine. See toob kaasa interneti juurdepääsu katkemise suurtes piirkondades, IoT-seadmete vale toimimise (näiteks „nutikas kodu“ süsteemis), ning hädaolukorra teavitamise IMS teenuse kättesaamatuse.

Kuid praegusel ajal on ETSI ja 3GPP avaldanud juba üle 10 standardi, mis käsitlevad erinevaid 5G-võrkude turvaaspekte. Enamik seal kirjeldatud mehhanisme on suunatud haavatavuste kaitsmisele (sealhulgas ülalnimetatule). Üks peamisi on standard TS 23.501 versioon 15.6.0, mis kirjeldab 5. põlvkonna võrkude turvaarkitektuuri.

5G arhitektuur

Alustame 5G-võrkude arhitektuuri võtmeprintsiipide käsitlemisega, mis aitavad täielikult mõista iga tarkvaramooduli ja iga 5G turvafunktsiooni vastutusalasid.

• Võrgusõlmede jagamine elementideks, mis tagavad protokollide toimimise kasutajaplaanis (ingl. UP — User Plane) ja elementideks, mis tagavad protokollide toimimise juhtimisplaanis (ingl. CP — Control Plane), mis suurendab võrgu skaleerimise ja juurutamise paindlikkust, st on võimalik keskne või hajutatud paigutus erinevate võrgusõlmede koostisosade vahel.
• Mehhanismi toetamine network slicing, põhinedes teenustel, mida pakutakse konkreetsetele lõppkasutajagruppidele.
• Võrgu elementide rakendamine virtuaalsete võrgu funktsioonidena.
• Kesksete ja kohalike teenuste samal ajal juurdepääsu toetamine, s.t. pilve (ingl. fog computing) ja serva (ingl. edge computing) arvutuste kontseptsioonide rakendamine.
• Rakendamine konvergeeritud arhitektuur, mis ühendab erinevad juurdepääsuvõrkude tüübid — 3GPP 5G New Radio ja non-3GPP (Wi-Fi jne) — ühe võrgutuumaga.
• Üksikute autentimisprotsesside ja algoritmide toetus olenemata juurdepääsuvõrgu tüübist.
• Seisukohatu (stateless) võrgufunktsioonide toetus, kus arvutusressurss on eraldatud ressursi salvestamisest.
• Roamingi tugi liikluse marsruutimisega nii koduvõrgus (home-routed roaming) kui ka kohaliku maandumise (local breakout) korral külalisvõrgus.
• Võrgufunktsioonide vaheline suhtlemine toimub kahes vormis: teenusele orienteeritud ja liidese kaudu.

5G võrgu turvakonseptsioon sisaldab järgmist::

• Kasutaja autentimine võrgu poolt.
• Võrgu autentimine kasutaja poolt.
• Krüptograafiliste võtmete kooskõlastamine võrgu ja kasutusseadmestiku vahel.
• Signaalide liikluse krüptimine ja terviklikkuse kontroll.
• Kasutajatulemüüdav liikluse krüptimine ja terviklikkuse kontroll.
• Kasutaja identifikaatori kaitse.
• Erinevate võrguelementide vaheliste liideste kaitse vastavalt turvavaldkonna kontseptsioonile.
• Erinevate mehanismide kihtide isoleerimine network slicing ja iga kihi jaoks oma kindlustaseme määramine.
• Kasutaja autentimine ja liikluse kaitse lõppteenuste tasemel (IMS, IoT jne).

5G põhikomplektid ja turvafunktsioonid

AMF (Access & Mobility Management Function — juurdepääsu ja mobiilsuse haldamise funktsioon) — tagab:

• Juhtimisliideste korraldamine.
• Signaalide liikluse vahetamise korraldamine RRC, andmete krüptimine ja nende terviklikkuse kaitse.
• Signaalide liikluse vahetamise korraldamine NAS, andmete krüptimine ja nende terviklikkuse kaitse.
• Kasutusseadmestiku registreerimise haldamine võrgus ja registreerimise võimalike olekute kontroll.
• Kasutusseadmestiku ühenduse haldamine võrgus ja võimalikud olekud.
• Kasutusseadmestiku kättesaadavuse haldamine CM-IDLE olekus.
• Kasutusseadmestiku mobiilsuse haldamine CM-CONNECTED olekus.
• Lühiõnumite edastamine kasutusseadmestiku ja SMF vahel.
• Geolokatsiooni teenuste haldamine.
• Voosüütemärgi määramine EPS EPS-iga suhtlemiseks.

SMF (Session Management Function — sessiooni haldamise funktsioon) — tagab: (англ. Session Management Function — функция управления сессиями) — обеспечивает:

• Seansihalduse juhtimine, st seansi loomine, muutmine ja vabastamine, sealhulgas tunnelite toetamine juurdepääsuvõrgu ja UPF vahel.
• IP-aadresside jaotamine ja haldamine kasutaja seadmete jaoks.
• Kasutatava UPF-i värava valimine.
• Suhte korraldamine PCF-iga.
• Poliitikate rakendamise haldamine. QoS.
• Kasutaja seadmete dünaamiline konfigureerimine DHCPv4 ja DHCPv6 protokollide kaudu.
• Tariifide kogumise kontroll ja suhtlemine arveldussüsteemiga.
• Teenuste sujuv pakkumine (ingl. k. SSC — Seansi ja teenuse järjepidevus.).
• Suhtlemine külaliste võrkudega rändluse raames.

UPF (ingl. k. User Plane Function — kasutaja tasandi funktsioon) — tagab:

• Suhtlemise väliste andesuutetega, sealhulgas globaalse Internetiga.
• Kasutajapakettide marsruutimine.
• Pakettide märgistamine QoS poliitikate kohaselt.
• Kasutajapakettide diagnostika (nt rakenduste tuvastamine allkirjade alusel).
• Liikluskasutuse aruannete koostamine.
• UPF on samuti mobiilsuse toe aluspind, nii erinevate raadioside tehnoloogiate sees kui ka nende vahel.

UDM (ingl. k. Unified Data Management — ühtne andmehaldus) — tagab:

• Kasutajaprofiilide andmete haldamine, sealhulgas teenuste loetelu ja vastavate parameetrite salvestamine ja muutmine.
• Haldamine SUPI
• 3GPP autentimise andmete genereerimine. AKA.
• Profiiliandmete põhjal turvata juurdepääsu autoriseerimine (nt rändluse piiramine).
• Kasutaja registreerimise haldamine, st teenindava AMF-i salvestamine.
• Teenuse- ja seansihalduse sujuv toetamine, st praegusele ühendusele määratud SMF-i salvestamine.
• SMS-i saatmise haldamine.
• Mitmed erinevad UDM-id võivad teenindada ühte kasutajat erinevate tehingute raames.

UDR (ingl. k. Unified Data Repository — ühtne andmete hoidla) — tagab erinevate kasutajaandmete salvestamise ja on põhimõtteliselt kogu võrgu tellijate andmebaas.

UDSF (ingl. Unstructured Data Storage Function — eba andmete salvestamine) — tagab AMF moodulite poolt registreeritud kasutajate praeguste kontekstide salvestamise. See teave võib üldiselt esitada andmetena, millel on määratlemata struktuur. Kasutajate kontekste saab kasutada sujuvuse ja katkematuse tagamiseks tellija seansside puhul nii planeeritud teenuse sulgemisel ühe AMF-i poolt kui ka avarii korral. Mõlemal juhul haarab varu-AMF teenuse, kasutades USDF-is salvestatud kontekste.

UDR ja UDSF kombineerimine ühel füüsilisel platvormil on tüüpiline nende võrgu funktsioonide rakendamine.

PCF (ingl. Policy Control Function — poliitika kontrolle funktsioon) — loob ja määrab kasutajatele erinevad teenuse poliitikad, sealhulgas QoS parameetrid ja hinnakujunduse reeglid. Näiteks võivad erinevate omadustega virtuaalsed kanalid luua dünaamiliselt teatud tüüpi liikluse edastamiseks. Samuti võetakse arvesse teenuse nõudeid, mida tellija taotleb, võrgu koormust, tarbitava liikluse mahtu jne.

NEF (ingl. Network Exposure Function — võrgu eksponeerimise funktsioon) — tagab:

• Ohutu suhtlemine välistelt platvormidelt ja rakendustelt võrgu tuumaga.
• QoS parameetrite ja hinnakujunduse reeglite haldamine konkreetsete kasutajate jaoks.

SEAF (ingl. Security Anchor Function — turvalisuse ankru funktsioon) — koos AUSF-iga tagab kasutajate autentimise nende registreerimisel võrku igasuguste ligipääsutehnoloogiate kaudu.

AUSF (ingl. Authentication Server Function — autentimise serveri funktsioon) — toimib autentimise serverina, mis võtab vastu ja töötleb SEAF-i päringuid ning suunab need ARPF-ile.

ARPF (ingl. Authentication Credential Repository and Processing Function — autentimise andmete salvestamise ja töötlemise funktsioon) — tagab isiklike salajaste võtmete (KI) ja krüptograafiliste algoritmide parameetrite salvestamise, samuti autentimise vektorite genereerimise vastavalt 5G-AKA algoritmidele või EAP-AKA. Asub kaitstud, välistest füüsilistest mõjudest kaitstud andmekeskuses kodumaise teenusepakkuja poolt ja tavaliselt integreeritakse UDM-iga.

SCMF (ingl. Security Context Management Function — turvakonteksti haldamise funktsioon) — funktsiooni haldamine turvakontekst) — tagab 5G turvakonteksti elukaare haldamise.

SPCF (ingl. Security Policy Control Function — turvapoliitika juhtimise funktsioon) — tagab turvapoliitikate kooskõlastamise ja rakendamise konkreetsete kasutajate suhtes. Samuti arvestatakse võrguvõimaluste, kasutaja seadmete võimaluste ja konkreetse teenuse nõuetega (näiteks kriitiliste kommunikatsiooniteenuste ja traadita lairibateenuse pakutavate kaitsetasemete vahel võivad olla erinevused). Turvapoliitikate rakendamine hõlmab: AUSFi valikut, autentimise algoritmi valikut, andmete ja terviklikkuse kontrollimise šifreerimise algoritmide valikut, võtmete pikkuse ja elukaare määratlemist.

SIDF (ingl. Subscription Identifier De-concealing Function — tellimuse identifikaatori välja selgitamise funktsioon) — tagab abonendi püsiva tellimuse identifikaatori (ingl. SUPI) väljatoomise varjatud identifikaatorist (ingl. SUCI), mis saadakse autentimise protseduuri „Auth Info Req” taotluse raames.

5G sidevõrkude peamised turvanõuded

LisateaveKasutaja autentimine: 5G teenusevõrk peab autentima kasutaja SUPI 5G AKA protsessi käigus kasutaja ja võrgu vahel.

Teenusevõrgu autentimine: Kasutaja peab autentima teenuse 5G võrgu identifikaatori, ning autentimine toimub eduka 5G AKA protseduuri käigus saadud võtmete kasutamise kaudu.

Kasutaja autoriseerimine: Teenusevõrk peab autoriseerima kasutaja tema koduoperaatori võrgust saadud kasutaja profiili alusel.

Teenusevõrgu autoriseerimine koduoperaatori võrgu poolt: Kasutajale tuleb anda kinnitust, et ta on ühendatud teenusevõrguga, mille autoriseerimist on teinud koduoperaatori võrk teenuste osutamiseks. Autoriseerimine on kaudne, kuna see toimub 5G AKA protseduuri eduka lõpetamise kaudu.

Ligipääsuvõrgu autoriseerimine koduoperaatori võrgu poolt: Kasutajale tuleb kinnitada, et ta on ühendatud juurdepääsu võrguga, mille on autoriseerinud koduoperaator teenuste osutamiseks. Autoriseerimine on kaudne, kuna see tagatakse juurdepääsu võrgu tõhusa turvalisuse loomisega. Sellist tüüpi autoriseerimist tuleb rakendada igasuguste juurdepääsu võrkude korral.

Autentimata hädaabiteenused: Mõnedes piirkondades regulatiivsete nõuete täitmiseks peavad 5G-võrgud võimaldama autentimata juurdepääsu hädaabiteenustele.

Võrgu tuum ja raadiokäitusvõrk: 5G-võrgu tuumas ja raadiokäitusvõrgus tuleb toetada 128-bitiste võtme pikkusega šifreerimise ja terviklikkuse säilitamise algoritmide kasutamist, et tagada turvalisus. AS ja NAS. Võrgu liidesed peavad toetama 256-bitiseid šifreerimiskeevitusi.

Kasutajaseadmestiku põhiturvanõuded

Lisateave

• Kasutajaseadmestik peab toetama šifreerimist, terviklikkuse kaitset ja kaitset uuesti mängimise rünnakute eest, mida edastatakse tema ja raadiokäitusvõrgu vahel.
• Kasutajaseadmestik peab aktiveerima andmete šifreerimise ja terviklikkuse kaitse mehhanismid vastavalt raadiokäitusvõrgult saadud suunistele.
• Kasutajaseadmestik peab toetama šifreerimist, terviklikkuse kaitset ja kaitset uuesti mängimise rünnakute eest RRC ja NAS signaaliliikluses.
• Kasutajaseadmestik peab toetama järgmisi krüptoalgoritme: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2.
• Kasutajaseadmestik võib toetada järgmisi krüptoalgoritme: 128-NEA3, 128-NIA3.
• Kasutajaseadmestik peab toetama järgmisi krüptoalgoritme: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2 juhul, kui see toetab ühendust E-UTRA raadiokäitusvõrguga.
• Kasutajate andmete konfidentsiaalsuse kaitse, mida edastatakse kasutajaseadmestiku ja raadiokäitusvõrgu vahel, on valikuline, kuid peab olema tagatud kõigis olukordades, kus seda lubavad regulatiivsed aktid.
• RRC ja NAS signaaliliikluse konfidentsiaalsuse kaitse on valikuline.
• Kasutaja püsiv võti peab olema kaitstud ja hoidma hästi kaitstud komponentides kasutaja seadmes.
• Kliendi püsiv identifikaator ei tohi edastada avatud kujul läbi raadiosidevõrgu, välja arvatud teave, mis on vajalik õige marsruutimise tagamiseks (näiteks MCC ja MNC).
• Kohaliku laadija avatud võti, selle võtme identifikaator, kaitsemeetodi identifikaator ja marsruudistatistika identifikaator peavad olema hoitud USIM.

Iga krüpteerimisalgoritm vastab binaarsetele numbritele:

• «0000»: NEA0 — Null krüpteerimisalgoritm
• «0001»: 128-NEA1 — 128-bitine SNOW 3G põhine algoritm
• «0010» 128-NEA2 — 128-bitine AES põhine algoritm
• «0011» 128-NEA3 — 128-bitine ZUC põhine algoritm.

Andmete krüpteerimine, kasutades 128-NEA1 ja 128-NEA2

P.S. Skeem on laenatud TS 133.501

Osaga algoritmide 128-NIA1 ja 128-NIA2 vormide genereerimine, et tagada terviklikkus

P.S. Skeem on laenatud TS 133.501

Peamised turvanõuded 5G võrgu funktsioonidele

Lisateave

• AMF peab toetama esmast autentimist, kasutades SUCI-d.
• SEAF peab toetama esmast autentimist, kasutades SUCI-d.
• UDM ja ARPF peavad hoidma kasutaja püsivat võtit ja kaitsma seda varguse eest.
• AUSF peab andma SUPI-d kohaliku teenindusvõrgu jaoks alles pärast edukat esmast autentimist, kasutades SUCI-d.
• NEF ei tohi edastada peidetud teavet võrgu tuumast väljapoole operaatori turvaala.

Peamised turvamenetlused

Usaldusväärsuse domeenid

5G võrkudes väheneb usaldus võrguelementide suhtes, kui need eemaldatakse võrgu tuumast. See kontseptsioon mõjutab lahendusi, mis on rakendatud 5G turvaarhitektuuris. Seega võib rääkida 5G võrkude usaldusmudelist, mis määrab, kuidas turvamehanismid töötab.

Kasutaja poolt moodustavad usaldusväärsuse domeeni UICC ja USIM.

Võrgu poolel on usaldusväärsuse domeen keerukama struktuuriga.

Raadiosidevõrk jaguneb kaheks komponendiks — DU (Distributed Units — jaotatud võrgu üksused) ja CU (Central Units — keskse võrgu üksused). Koos moodustavad nad gNB — raadiinterfääri 5G võrgu baasjaamas. DU-l ei ole otsest juurdepääsu kasutajate andmetele, kuna need võivad olla rakendatud kaitsmata infrastruktuuri segmentides. CU-d peavad aga olema rakendatud kinnistes segmentides, kuna nad vastutavad AS-i turvamehhanismide liikluse lõpetamise eest. Tuumvõrgus asub AMF, lõpetades NAS-i turvamehhanismide liikluse. Käesolevas 3GPP 5G esimese etapi spetsifikatsioonis kirjeldatakse ühinemist AMF turvafunktsiooniga SEAF, mis sisaldab juurvõtmeid (tuntud ka kui „ankervõti”) külastatud (teenindava) võrgu kohta. AUSF vastutab võtme säilitamise eest, mis saadi pärast eduka autentimise. Seda on vajalik uuesti kasutada, kui kasutaja on samal ajal ühendatud mitmete raadioühendusvõrkudega. ARPF salvestab kasutajate andmed ja on analoog USIM-ile abonentidele. UDR ja UDM salvestavad kasutaja teavet, mida kasutatakse autentimise andmete, kasutaja identifikaatorite, seansi pidevuse kindlustamise jne genereerimise loogika määratlemiseks.

Võtmete hierarhia ja nende jaotamise skeemid

5G võrkudes erineb autentimisprotsess 4G-LTE võrkude omast kahe osaga: esmase ja teisese autentimisega. Eesmise autentimine on kohustuslik kõikidele kasutajaseadmetele, mis ühenduvad võrku. Teisene autentimine võib toimuda väliste võrkude nõudmisel, kui abonent ühendub sellistega.

Pärast esmase autentimise lõpetamist ja ühisvõtme K genereerimist kasutaja ja võrgu vahel, ekstraheeritakse võtme K põhivõti KSEAF, teenindava võrgu eriline ankervõti. Edasi selle võtme põhjal genereeritakse võtmest, mis tagab RRC ja NAS-signaalide andmete konfidentsiaalsuse ja terviklikkuse.

Selgitustega skeem
Märgistused:
CK (ingl. Cipher Key)
IK (ingl. Integrity Key) — andmete terviklikkuse kaitse mehhanismides kasutatav võti.
CK’ (ingl. Cipher Key) — teine krüptograafiline võti, mis on loodud CK-st EAP-AKA mehhanismi jaoks.
IK’ (ingl. Integrity Key) — teine võti, mida kasutatakse andmete terviklikkuse kaitse mehhanismides EAP-AKA jaoks.
KAUSF — moodustatakse ARPF ja kasutaja seadme funktsiooni poolt CK ja IK 5G AKA ja EAP-AKA ajal.
KSEAF — ankervõti, mille funktsioon AUSF genereerib võtme KAMFAUSF.
KAMF — võti, mis saadakse SEAF funktsioonist võtme põhjal KSEAF.
KNASint, KNASenc — võtmed, mis saadakse AMF funktsioonist võtme põhjal KAMF NAS-i signalisatsiooni liikluse kaitseks.
KRRCint, KRRCenc — võtmed, mis saadakse AMF funktsioonist võtme põhjal KAMF RRC signalisatsiooni liikluse kaitseks.
KUPint, KUPenc — võtmed, mis saadakse AMF funktsioonist võtme põhjal KAMF AS-i signalisatsiooni liikluse kaitseks.
NH — vahepealne võti, mis saadakse AMF funktsioonist võtme põhjal KAMF andmete turvalisuse tagamiseks käiguvahetuste ajal.
KgNB — võti, mis saadakse AMF funktsioonist võtme põhjal KAMF mobiilsuse mehhanismide turvalisuse tagamiseks.

SUCI ja SUPI genereerimise skeemid ja vastupidi

SUPI ja SUCI saamise skeemid

SUCI genereerimine SUPI-st ja SUPI genereerimine SUCI-st:

Ahnikeerimine

Esialgne autentimine

5G võrkudes on EAP-AKA ja 5G AKA standardsete esialgsete autentimismehhanismidena. Jagame esialgse autentimise mehhanismi kaheks faasiks: esimene vastutab autentimise alguse ja autentimismeetodi valimise eest, teine – kasutaja ja võrgu vahelist vastastikust autentimist.

Algatamine

Kasutaja saadab SEAF-ile registreerimissoovi, mis sisaldab varjatud kasutaja tellimuse tuvastajat SUCI.

SEAF saadab AUSF-ile autentimistaotluse (Nausf_UEAuthentication_Authenticate Request), mis sisaldab SNN (ingl. k. Serving Network Name — teenindava võrgu nimi) ja SUPI või SUCI.

AUSF kontrollib, kas SEAF töötlemiseks on antud õigused kasutada seda SNN-i. Kui teenindav võrgu ei ole volitatud seda SNN-i kasutama, vastab AUSF autentimise autoriseerimise vea sõnumiga „Teenindav võrk ei ole volitatud” (Nausf_UEAuthentication_Authenticate Response).

AUSF-i poolt UDM, ARPF või SIDF-i autentimisteabe taotlemine toimub SUPI või SUCI ja SNN-i alusel.

SUPI või SUCI ja kasutaja infol põhinevalt valib UDM/ARPF autentimismeetodi, mida edaspidi kasutatakse, ja annab kasutajale autentimisandmed.

Vastastikune autentimine

Iga autentimismeetodi kasutamisel peavad võrgu funktsioonid UDM/ARPF genereerima autentimissektori (ingl. k. AV).

EAP-AKA: UDM/ARPF genereerib esmalt autentimissektori, mille eraldusbit AMF = 1, seejärel genereerib CK’ ja IK’ API-s CK, IK ja SNN-i ning koostab uue autentimisvektori AV (RAND, AUTN, XRES*, CK’, IK’), mis saadetakse AUSF-ile koos juhtnööridega, et kasutada seda ainult EAP-AKA jaoks.

5G AKA: UDM/ARPF saab võtme KAUSF API-s CK, IK ja SNN-i, seejärel genereerib 5G HE AV (ingl. k. 5G Home Environment Authentication Vector). 5G HE AV autentimisvektor (RAND, AUTN, XRES, KAUSF) saadetakse AUSF-ile koos juhtnööridega, et kasutada seda ainult 5G AKA jaoks.

Pärast seda saab AUSF ankurvõtme KSEAF võtme seest KAUSF ja saadab SEAF-ile "Challenge" päringu sõnumis "Nausf_UEAuthentication_Authenticate Response", mis sisaldab ka RAND, AUTN ja RES*. Seejärel edastatakse RAND ja AUTN kasutaja seadmesse kaitstud signaalisõnumi NAS kaudu. Kasutaja USIM arvutab saadud RAND ja AUTN põhjal välja RES* ning saadab selle SEAF-ile. SEAF edastab selle väärtuse AUSF-ile kontrollimiseks.

AUSF võrdleb salvestatud XRES* ja kasutajalt saadud RES*. Kui need kattuvad, teavitavad AUSF ja UDM koduvõrgu operaatorit edukast autentimisest, samas kui kasutaja ja SEAF genereerivad iseseisvalt võtme KAMF API-s KSEAF ja SUPI edasiseks kommunikatsiooniks.

Teisene autentimine

5G standard toetab valikulist teist autentimist EAP-AKA alusel kasutusseadmest välisse andmesidevõrku. Sel juhul täidab SMF EAP autentikaatori rolli ja toetub AAA-serveri tööle välises võrgus, mis autentib ja volitab kasutajat.

• Kasutaja peab koduvõrgus läbi viima kohustusliku esialgse autentimise ning genereerib koos AMF-iga NAS-i turvakonteksti.
• Kasutaja saadab AMF-ile sessiooni loomise taotluse.
• AMF saadab SMF-ile sessiooni loomise taotluse koos kasutaja SUPI-ga.
• SMF kontrollib kasutaja andmeid UDM-is, kasutades esitatud SUPI-d.
• SMF saadab vastuse AMF-i päringule.
• SMF käivitab EAP autentimise protseduuri eesmärgiga saada loa sessiooni loomiseks välise võrgu AAA-serverilt. Selleks vahetavad SMF ja kasutaja sõnumeid, et algatada protseduur.
• Kasutaja ja välise võrgu AAA-server vahetavad seejärel sõnumeid, et teostada kasutaja autentimine ja volitamine. Sel juhul saadab kasutaja sõnumeid SMF-ile, mis omakorda sõnumite vahetamise kaudu suhtleb välise võrgu UPF-iga.

Kokkuvõte

Kuigi 5G turvaarhitektuur põhineb olemasolevate tehnoloogiate taaskasutamisel, seisavad selle ees täiesti uued väljakutsed. Suur hulk IoT-seadmeid, laiendatud võrgu piirid ja detsentraliseeritud arhitektuurielemendid — need on vaid mõned 5G standardsüsteemi võtmeprintsiibid, mis annavad küberkurjategijatele rohkelt loomingu vabadust.

5G turvalisuse arhitektuuri põhistandard — TS 23.501 versioon 15.6.0 — sisaldab turvamehanismide ja protseduuride toimimise põhiaspekte. Eelkõige kirjeldab see iga VNF rolli kasutajate andmete ja võrgusõlmede kaitsmisel, krüptovõtmete genereerimisel ning autentimisprotseduuri läbiviimisel. Kuid isegi see standard ei paku vastuseid teravatele turvaküsimustele, millega sideoperaatorid silmitsi seisavad, seda enam, kui intensiivselt arendatakse ja käivitatakse uue põlvkonna võrgud.

Sellega seoses loodame, et 5. põlvkonna võrkude kasutamise ja kaitsmise raskused ei mõjuta tavakasutajaid, kellele lubatakse edastuskiirus ja reageerimisajaga nagu sõbra poeg, kes ei suuda oodata, et proovida kõiki uusi põlvkonna võrgu võimalusi.

Kasulikud lingid

3GPP spetsifikatsiooni seeria
5G turvaarhitektuur
5G süsteemi arhitektuur
5G Wiki
5G arhitektuuri märkmed
5G turvaülevaade

Allikas: habr.com