Ilmselt on uut suhtestandardi väljatöötamine ilma turvamehhanismide arvestamata äärmiselt küsitav ja kasutu.

5G turvaarhitektuur on turvamehhanismide ja protseduuride kogum, mis on rakendatud 5. põlvkonna võrkudes ja katab kõik võrgu komponendid, alates keskpunktist kuni raadio liideste juurde.

5. põlvkonna võrgud on oma olemuselt 4. põlvkonna LTE võrkude evolutsioon. Kõige olulisemad muudatused on juhtunud raadioühenduse tehnoloogiate osas. 5. põlvkonna võrkude jaoks on välja töötatud uusRAT (Radio Access Technology) — 5G New Radio . Mis puutub võrgu keskpunkti, siis seal ei ole toimunud nii suuri muutusi. Seetõttu on 5G võrkude turvaarhitektuur välja töötatud selleks, et taaskasutada vastavaid tehnoloogiaid, mis on vastu võetud 4G LTE standardis.Kuid tasub märkida, et tuntud ohtude, nagu rünnakud raadio liideste ja signalisatsiooni tasemel (

signallingplane), DDoS rünnakud, Man-In-The-Middle rünnakud jt, mõtlemine sundis sideoperaatoreid välja töötama uusi standardeid ning integreerima täiesti uusi turvamehhanisme 5. põlvkonna võrkudesse. 2015. aastal koostas Rahvusvaheline Telekommunikatsiooni Liit esmakordselt globaalse arengu plaani 5. põlvkonna võrkude jaoks, mille tõttu muutus turvamehhanismide ja -protseduuride arendamine 5G võrkudes eriti teravaks.

Eeldused

Uus tehnoloogia pakkus tõeliselt muljetavaldavaid andmeedastuskiirus (üle 1 Gb/s), latentsus alla 1 ms ja võimaluse ühendada korraga kuni 1 miljon seadet 1 km² raadiuses. Need kõrged nõudmised 5. põlvkonna võrkudele peegelduvad ka nende korraldusprintsiipides.

Peamiseks neist sai detsentraliseerimine, mis hõlmas paljude kohalike andmebaaside ja nende töötlemiskeskuste paigutamist võrgu äärealadele. See võimaldas minimeerida latentsust

M2M -kommunikatsioonides ja leevendada võrgu keskpunkti koormust suure hulga IoT-seadmete teenindamise tõttu. Nii laienes uue põlvkonna võrkude piir isegi baasjaamadeni, võimaldades luua kohalikke kommunikatsioonikeskusi ja pakkuda pilveteenuseid ilma kriitilise viivituse või teenuse katkemise riskita. Loomulikult huvitas see muudatus võrgu korraldamises ja klientide teenindamises häkkerite tähelepanu, kuna see avas uusi rünnakuvõimalusi nii kasutajate isikuandmete kui ka võrgu komponentide suhtes, et põhjustada teenuse katkemist või haarata operaatori arvutusressursse.5. põlvkonna võrkude peamised haavatavused

Suurem ründepind

Kolmanda ja neljanda põlvkonna telekommunikatsioonivõrkude rajamisel piirdusid sideoperaatorid tavaliselt ühe või mitme tarnijaga, kes tarnisid kogu riistvara ja tarkvara kohe. See tähendab, et kõik võis töötada nii-öelda "karbist välja" — piisab ainult tarnija juures ostetud seadme installimisest ja seadistamisest; samas ei olnud vaja vahetada ega täiendada omandiõigusele põhinevat tarkvara. Kaasaegsed trendid on vastuolus sellise "klassikalise" lähenemisega ning suunavad võrgu virtualiseerimise, mitme tarnija lähenemise ja tarkvarade mitmekesisuse suunas. Üha populaarsemaks muutuvad sellised tehnoloogiad nagu

Rohkem(ingl. k. Software Defined Network) ja SDN (ingl. k. Network Functions Virtualization), mis toovad endaga kaasa tohutu hulga avatud lähtekoodidega tarkvara kaasamise sidevõrkude halduse protsessidesse ja funktsioonidesse. See annab ründajatele võimaluse paremini uurida operaatori võrku ja tuvastada rohkem haavatavusi, mis omakorda suurendab uue põlvkonna võrkude ründepinda võrreldes praegustega. NFV Suur hulk IoT-seadmeid

2021. aastaks moodustavad umbes 57% 5G-võrkudesse ühendatud seadmetest IoT-seadmed. See tähendab, et enamikul hostidest on piiratud krüptograafilised võimalused (vt punkt 2) ja seetõttu nad on rünnakutele vastuvõtlikud. Suur hulk selliseid seadmeid suurendab botnetide leviku riski ja võimaldab läbi viia veelgi võimsamaid ja jaotatud DDoS rünnakuid.

RohkemPiiratud krüptograafilised võimalused IoT-seadmetel

Piiratud krüptograafilised võimalused IoT-seadmetes

RohkemNagu juba mainitud, kasutavad 5. põlvkonna võrgud aktiivselt perifeerseid seadmeid, mis vähendavad võrgu koormust ja seeläbi vähendavad viivitust. See on hädavajalik selliste oluliste teenuste jaoks nagu autonoomsete autode juhtimine ja hädaolukordade teavitussüsteem. IMS jne., mille puhul minimaalne viivitus on kriitilise tähtsusega, kuna see mõjutab inimelusid. Kuna IoT-seadmete arv, mis onühendatud, on suurenenud ja need mitte selle tõttu, et nad on väikese suuruse ja väikese energiatarbimisega, omavad nad üsna piiratud arvutusressursse, muutuvad 5G-võrgud rünnakutele vastuvõtlikuks, mille eesmärk on juhtimise täielik ülevõtmine ja seejärel selliste seadmete manipuleerimine. Näiteks on võimalikud stsenaariumid IoT-seadmete nakatumiseks, mis on osa süsteemist „nutikodu“ selliste pahavaraanidega nagu Ransomware ja häkkeritarkvara. Samuti on võimalikud stsenaariumid, kus autonoomsete autode juhtimine võetakse üle, sealhulgas need, mis saavad käske ja navigeerimisinfot „pilve” kaudu. Formeelset on see haavatavus tingitud uue põlvkonna dekonstruktsioonist, kuid järgmine punkt toob de tsentraliseerimise probleemi veelgi selgemalt esile.

Detsentraliseerimine ja võrgupiiride laienemine

RohkemPerifeersed seadmed, mis toimivad kohalike tuumadena, teostavad kasutaja liikluse marsruutimist, päringute töötlemist ning kohaliku vahemälu ja kasutaja andmete salvestamise. Seega laienevad 5. põlvkonna võrgud mitte ainult tuuma, vaid ka perifeeria suunas, sealhulgas kohalikud andmebaasid ja 5G-NR raadio liidesed (inglise keeles 5G New Radio). See loob võimaluse rünnakuks kohalike seadmete arvutusressurssidele, mis on eelnevalt kaitsva taseme osas nõrgemad kui võrgu kesksed sõlmed, eesmärgiga tekitada teenusekatkestus. See toob endaga kaasa tervete piirkondade internetiühenduse katkestamise, IoT-seadmete vale toimimise (näiteks „nutikodus”) ja IMS hädaolukordade teavitusteenuse puudumise.

Kuid praeguseks on ETSI ja 3GPP avaldanud juba rohkem kui 10 standardit, mis käsitlevad 5G-võrkude erinevaid turvasfääre. Enamik seal kirjeldatud mehhanisme on suunatud haavatavuste kaitsmisele (sealhulgas ka eespool mainitule). Üks peamisi on standard TS 23.501 versioon 15.6.0, mis kirjeldab 5. põlvkonna võrkude turvaarhitektuuri.

5G arhitektuur

Alustame 5G-võrkude arhitektuuri võtmeprintsiipide uurimisega, mis aitavad hiljem täielikult paljastada iga tarkvaramooduli ja iga turvafunktsiooni tähendust ja vastutust.

• Võrgu sõlmede jagamine elementideks, mis tagavad protokollide toimimise kasutajatasandil (inglise keeles UP — User Plane) ja elementideks, mis tagavad protokollide toimimise juhtimistasandil (inglise keeles CP — Control Plane), mis tõstab võrgu skaleerimise ja juurutamise paindlikkust, st eraldi võrgu sõlmkomplektide võimalik keskne või dekstraaliseeritud paigutamine.
• Toetades mehhanismi network slicing, mis põhineb teenustel, mis on suunatud konkreetselt lõppkasutajate rühmadele.
• Võrgufunktsioonide rakendamine virtuaalsete võrgu funktsioonide kujul. Toetades simultaanse ligipääsu nii kesksetele kui ka kohalikele teenustele, st pilve- (inglise keeles.
• fog computing ) ja serva (inglise keelesedge computing ) arvutuste kontseptsioonide rakendamine.konvergente
• Rakendus arhitektuur, mis ühendab erinevad juurdepääsuvõrgud — 3GPP 5G New Radio ja non-3GPP (Wi-Fi jne.) — ühtse võrgu tuuma. Toetades ühtseid autentimise algoritme ja menetlusi, sõltumata juurdepääsuvõrgu tüübist.
• Toetades olekut mittehoidvaid võrgu funktsioone (inglise keeles stateless), mille puhul arvutusressurss on eraldi hoiustamisressursist.
• Toetades rändesõnumit, kus liiklus marsruutitakse nii koduvõrgu kaudu (inglise keeles home-routed roaming) kui ka kohaliku 'landimisega' (inglise keeles local breakout) külalisvõrgus.
• Võrgu funktsioonidevaheline suhtlemine toimub kahesuguste viiside kaudu:
• teenusepõhine liidesepõhine. ja 5. põlvkonna võrkude turvakonseptsioon sisaldab:.

Kasutaja autentimist võrgu poolt.:

• Võrgu autentimist kasutaja poolt.
• Krüptograafiliste võtmete kokkulepe võrgu ja kasutusseadmestiku vahel.
• Sõnumiteed ja andmepakettide kontrollimine.
• Kasutajaliikluse šifrite ja terviklikkuse kontroll.
• Kasutaja identifikaatori kaitsmine.
• Erinevate võrguelementide vaheline liidesetunne vastavalt võrgu turvalisuse domeeni kontseptsioonile.
• Verkkoelementtide vahelise liidese kaitse vastavalt turvalise domeeni kontseptsioonile.
• Erinevate kihtide isoleerimine mehhanismis network slicing ja igale kihile oma turvatasemete määramine.
• Kasutaja autentimine ja liikluse kaitse lõppteenuste tasemel (IMS, IoT ja teised).

5G peamised tarkvaramoodulid ja turvafunktsioonid

AMF (ingl. Access & Mobility Management Function — juurdepääsu- ja mobiilsuse haldamise funktsioon) — tagab:

• Juhtimist juhtimistasandi liideste korraldamine.
• Signaalitreffli vahetamise korraldamine RRC, andmete krüpteerimise ja nende terviklikkuse kaitse.
• Signaalitreffli vahetamise korraldamine NAS, andmete krüpteerimise ja nende terviklikkuse kaitse.
• Kasutaja seadmete registreerimise haldamine võrgus ja registreerimise võimalike olekute kontrollimine.
• Kasutaja seadmete ühenduse haldamine võrguga ja võimalike olekute kontrollimine.
• Kasutaja seadmete kättesaadavuse haldamine võrgus olekus CM-IDLE.
• Kasutaja seadmete mobiilsuse haldamine võrgus olekus CM-CONNECTED.
• Lühisõnumite edastamine kasutaja seadmete ja SMF vahel.
• Geolokatsiooni teenuste haldamine.
• Voogude identifikaatori eraldamine EPS EPS-iga suhtlemiseks.

SMF (ingl. Session Management Function — seansihalduse funktsioon) — tagab:

• Seansihalduse, st seansi loomise, muutmise ja vabastamise, sealhulgas tunneli toe tagamise juurdepääsuvõrgu ja UPF vahel.
• IP-aadresside jaotamise ja haldamise kasutaja seadmete jaoks.
• UPF-i kasutamise valiku tegemine.
• PCF-iga suhtlemise korraldamise.
• Poliitikate rakendamise haldamine QoS.
• Kasutaja seadmete dünaamiline seadistamine DHCPv4 ja DHCPv6 protokollide abil.
• Arvelduse andmete kogumise kontroll ja koostöö arveldussüsteemiga.
• Teenuste katkematu pakkumise (ingl. SSC — Session and Service Continuity).
• Koostöö külalisvõrkudega rändluse raames.

UPF (ingl. User Plane Function — kasutajaplaani funktsioon) — tagab:

• Koostöö andmeedastusvõrkude, sealhulgas globaalsete Interneti-võrkudega.
• Kasutajapakettide marsruutimise.
• Pakettide märgistamine QoS poliitikate kohaselt.
• Kasutajapakettide diagnostika (nt rakenduste avastamine signatuuride alusel).
• Liikluskasutuse aruannete esitamine.
• UPF on ka ankurpunkt liikuvuse toetamiseks erinevate raadioside tehnoloogiate vahel.

UDM (ingl. Unified Data Management — ühtne andmehaldus) — tagab:

• Kasutajaprofiilide andmete haldamise, sealhulgas kasutajatele saadaval olevate teenuste ja nende parameetrite säilitamise ja muutmise.
• Halduse SUPI
• 3GPP autentimisandmete genereerimise AKA.
• Profiilide andmete põhjal juurdepääsu volitamise (nt rändlustasude piiramine).
• Kasutaja registreerimise haldamine, st teenindava AMF-i säilitamine.
• Katkematu teeninduse ja seansihalduse toetamine, st säilitamine praeguse seansihalduse SMF-i jaoks.
• SMS-i edastamise haldamine.
• Mitmed erinevad UDM-id võivad teenindada ühte kasutajat erinevates tehingutes.

UDR (ingl. Unified Data Repository — ühtne andmetehoidla) — tagab erinevate kasutajaandmete säilitamise ja on põhimõtteliselt kõikide võrgu abonentide andmebaas.

UDSF (ingl. Unstructured Data Storage Function — struktuurita andmete salvestamise funktsioon) — tagab AMF-i moodulite praeguste kontekstide säilitamise registreeritud kasutajate jaoks. See teave võib üldiselt olla esitatud kui määratlemata struktuuri andmed. Kasutajakontekste saab kasutada katkematute ja katkestusteta abonnentide seansside tagamiseks, nii kavandatud teenustest loobumise korral ühe AMF-i kui ka äärmuslike olukordade korral. Mõlemal juhul „haarab“ varurohu AMF teenuse, kasutades USDF-is salvestatud kontekste.

UDR-i ja UDSF-i ühendamine ühel füüsilisel platvormil on tüüpiline nende võrgufunktsioonide rakendus.

PCF (ingl. Policy Control Function — poliitikate kontrollimise funktsioon) — määrab ja määrab abonentidele erinevaid teeninduspoliitikaid, sealhulgas QoS parameetreid ja arvelduse reegleid. Näiteks võivad teatud tüüpi liikluse edastamiseks dünaamiliselt luua virtuaalsed kanalid erinevate omadustega. Sellisel juhul võivad arvesse tulla teenuse nõuded, mida abonent taotleb, võrgukoormuse tase, tarbitud liikluse maht jne.

NEF (ingl. Network Exposure Function — võrgu eksponeerimise funktsioon) — tagab:

• Ohutu suhtlemise korraldamine väliste platvormide ja rakenduste ning võrgu tuuma vahel.
• QoS parameetrite ja arvelduse reeglite haldamine konkreetsete kasutajate jaoks.

SEAF (ingl. Security Anchor Function — julgeoleku ankrufunktsioon) — koos AUSF-iga tagab kasutajate autentimise nende registreerimisel võrku, sõltumata juurdepääsu tehnolooge.

AUSF (ingl. Authentication Server Function — autentimise serverifunktsioon) — toimib autentimiserverina, mis saab ja töötleb SEAF-i päringuid ning suunab need ARPF-ile.

ARPF (ingl. Authentication Credential Repository and Processing Function — autentimistõendite hoidmise ja töötlemise funktsioon) — tagab isiklike salajaste võtmete (KI) ja krüptograafiliste algoritmide parameetrite säilitamise ning autentimismuutujate genereerimise vastavalt 5G-AKA algoritmile või EAP-AKA. Asub kodu sideoperaatori kaitstud andmekeskuses ja tavaliselt integreeritakse UDM-iga.

SCMF (ingl. Security Context Management Function — julgeolekukonteksti haldamise funktsioon) — tagab 5G julgeolekukonteksti elutsükli haldamise. SPCF(ingl. Security Policy Control Function — julgeolekupoliitika haldamise funktsioon) — tagab julgeolekupoliitikate kooskõlastamise ja rakendamise konkreetsete kasutajate osas. Arvesse võetakse nii võrgu võimekusi, kasutaja seadmete võimekusi kui ka konkreetse teenuse nõudeid (nt kriitiliste kommunikatsiooniteenuste ja traadita lairibainterneti teenuse pakutavad kaitseastmed võivad erineda). Julgeolekupoliitikate rakendamine hõlmab: AUSF-i valimist, autentimisalgoritmi valimist, andmete krüpteerimise ja terviklikkuse kontrollimise algoritmide valimist, võtmete pikkuse ja elutsükli määramist.

SIDF (ingl. Subscription Identifier De-concealing Function — tellija identifikaatori väljaselgitamise funktsioon) — tagab tellija püsiva identifikaatori (ingl. SUPI) väljavõtmise varjatust identifikaatorist (ingl.

SUCI ), saadud autentimise protseduuri „Auth Info Req” päringu raames. Peamised julgeolekunõuded 5G sidevõrkudeleKasutaja autentimine

: Haldav 5G-võrk peab autentima kasutaja SUPI, alustades 5G AKA protsessi kasutaja ja võrgu vahel.

RohkemHaldava võrgu autentimine: Kasutaja peab autentima haldava 5G-võrgu identifikaatori, mille autentimine tagatakse 5G AKA protseduurist saadud võtmete eduka kasutamise kaudu.

Kasutaja autoriseerimine: Haldav võrk peab kasutajat autoriseerima tema kasutajaprofiili alusel, mis saadakse kodu sideoperaatori võrgust.

Haldava võrgu autoriseerimine kodu operaatori poolt: Kasutajale peab olema antud kinnitust, et ta on ühendatud haldava võrguga, mille on kodu operaator autoriseerinud teenuste pakkumiseks. Autoriseerimine on kaudne, kuna see tagatakse 5G AKA protseduuri eduka lõpuleviimise kaudu.

Juurdepääsu võrgu autoriseerimine kodu operaatori poolt: Kasutajale peab olema antud kinnitust, et ta on ühendatud juurdepääsu võrku, mille on kodu operaator autoriseerinud teenuste pakkumiseks. Autoriseerimine on kaudne, kuna see tagatakse juurdepääsu võrgu turvameetmete eduka loomisega. Seda tüüpi autoriseerimist tuleb kohaldada igasuguste juurdepääsu võrkpuhul.

Autentimata hädaabiteenused: Näiteks teatud piirkondades seadusandlike nõuete täitmiseks peavad 5G-võrgud pakkuma võimalust autentimata juurdepääsuks hädaabiteenustele.

Võrgu südamik ja raadioühendus: 5G võrgu südamik ja raadioühendus peavad toetama 128-bitiste krüptimise ja terviklikkuse säilitamise algoritmide kasutamist turvalisuse tagamiseks

AS. Võrguliidesed peavad toetama 256-bitiseid krüptimise võtmeid. Peamised julgeolekunõuded kasutajarääkidele ja NASKasutajaseade peab toetama krüptimist, terviklikkuse kaitset ja kaitset uuesti mängimise rünnakute eest andmete suhtlemisel raadiovõrguga.

Kasutajaseade peab aktiveerima andmete krüptimise ja terviklikkuse kaitse mehhanismid, lähtudes raadiovõrgust saadud korraldustest.

Rohkem

• Kasutajaseade peab toetama RRC ja NAS signaali liikluse krüptimist, terviklikkuse kaitset ja kaitset uuesti mängimise rünnakute eest.
• Kasutajaseade peab toetama järgmisi krüptograafilisi algoritme: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
• Kasutajaseade peab toetama krüptimist, andmete terviklikkuse ja korduvkasutuse rünnakute kaitset RRC ja NAS signaalimisliikluses.
• Kasutajaseade peab toetama järgmisi krüptograafilisi algoritme: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
• Kasutajaseade võib toetada järgmisi krüptoalgoritme: 128-NEA3, 128-NIA3.
• Kasutajaseade peab toetama järgmisi krüptoalgoritme: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2, juhul kui see toetab E-UTRA raadiosidevõrku.
• Kasutajate andmete konfidentsiaalsuse kaitse, mida edastatakse kasutajaseadmest raadiosidevõrku, on valikuline, kuid see peab olema tagatud kõigis juhtudes, kui seda lubavad õigusaktid.
• RRC ja NAS signaaliliikluse konfidentsiaalsuse kaitse on valikuline.
• Kasutaja alaline võti peab olema kaitstud ja seda tuleb hoida hästi kaitstud komponentides kasutajaseadmest.
• Tellija alaline tuvastaja ei tohi liikuda avatud kujul raadiosidevõrgus väljaspool teavet, mis on vajalik korrektse marsruutimise tagamiseks (näiteks MCC ja MNC).
• Koduoperaatori võrgus hoidmist avatud võti, selle võti tuvastaja, kaitseskeemi tuvastaja ja marsruutimise tuvastaja peavad olema hoitud USIM.

Iga šifreerimisalgoritmiga vastab binaarnumber:

• «0000»: NEA0 — tühine šifreerimisalgoritm
• «0001»: 128-NEA1 — 128-bitine SNOW 3G-alus algoritm
• «0010» 128-NEA2 — 128-bitine AES alus algoritm
• «0011» 128-NEA3 — 128-bitine ZUC alus algoritm.

Andmete šifreerimine, kasutades 128-NEA1 ja 128-NEA2

P.S. Skeem on laenatud TS 133.501

128-NIA1 ja 128-NIA2 algoritmide kaudu genereerimise autentimise tagamine

P.S. Skeem on laenatud TS 133.501

5G võrgufunktsioonide põhised nõuded.

Rohkem

• AMF peab toetama esmast autentimist, kasutades SUCI.
• SEAF peab toetama esmast autentimist, kasutades SUCI.
• UDM ja ARPF peavad hoidma alalist kasutaja võtit ja tagama selle kaitse varguse eest.
• AUSF peab andma SUPI kohalikule teenindavale võrgule ainult juhul, kui esmane autentimine SUCI abil on edukas.
• NEF ei tohi edastada varjatud teavet võrgu tuumast välja turvalisuse domeenist.

Põhised turbeprotseduurid

Usaldusdomäänid

5G-võrkedes kahaneb elementide usaldusvõime võrgu tuumast kaugemale liikudes. See kontseptsioon mõjutab 5G turbe arhitektuuris rakendatud lahendusi. Seega võib rääkida 5G-võrkude usaldusmudelist, mis määratleb võrgu turvamechanismide käitumist.

Kasutaja poolt usaldusdomaani moodustavad UICC ja USIM.

Võrgu poolne usaldusdomaan on keerukama struktuuriga.

Raadiosidevõrk on jagatud kaheks komponendiks — DU (ingl. k. Distributed Units — jaotatud võrguüksused) ja CU (ingl. k. Central Units — keskse võrguüksused). Koos nad kujundavad gNB — 5G võrgu baasjaama raadioside liides. DU-l ei ole otsest juurdepääsu kasutajaandmetele, kui need võivad olla juurutatud kaitsmata infrastruktuuri segmentides. CU-d peavad olema juurutatud turvatud võrgu segmentides, kuna nad vastutavad AS turvamechanismide liikluse terminimise eest. Võrgu tuumas asub AMF, mis terminib NAS turvamechanismide liikluse. Käesolevas spetsiifikatsioonis 3GPP 5G etapis 1 on kirjeldatud ühtsust AMF turvafunktsiooniga SEAF, mis sisaldab juurvõtit (tuntud ka kui «ankurvõti») külastatava (teenindava) võrgu puhul. AUSF vastutab võtme säilitamise eest, mis on saadud pärast eduka autentimise. See on vajalik, et taas kasutada, kui kasutaja on samal ajal ühendatud mitmesse raadiosidevõrku. ARPF hoiab kasutaja andmeid ning on sarnane USIM-iga tellijatele. UDR ja UDM hoiab kasutaja teavet, mida kasutatakse konto genereerimise, kasutaja tuvastamise, sessiooni katkemise tagamise ja muu jaoks.

Võtmete hierarhia ja nende jaotamise skeem

5G-võrkedes, erinevalt 4G-LTE-võrkedest, on autentimise protseduur kahte koostisosade: esmane ja sekundaarne autentimine. Esmane autentimine on kohustuslik kõigile kasutajaseadmetele, mis ühenduvad võrguga. Sekundaarne autentimine võib toimuda nõudmise korral välistelt võrku, kui tellija nendega ühendub.

Pärast esmaste autentimiste eduka lõpuleviimise ning kasutaja ja võrgu vahel koos oleva K võtmise lõppemist ekstraheeritakse võtme K-se SEAF — eriline ankurni — hindamisvõime tuumvõrk. Hiljem genereeritakse sellenõu võtmed, mis tagavad RRC ja NAS signaaliliikluse konfidentsiaalsuse ja terviklikkuse.

Skeem selgitustega
Märgised:
CK (ingl. k. Cipher Key)
IK (ingl. Integrity Key) — võtme, mida kasutatakse andmete terviklikkuse kaitse mehhanismides.
CK’ (ingl. Cipher Key) — teine krüptograafiline võti, mis on loodud CK-st EAP-AKA mehhanismi jaoks.
IK’ (ingl. Integrity Key) — teine võti, mida kasutatakse EAP-AKA andmete terviklikkuse kaitse mehhanismides.
KAUSF — luuakse ARPF funktsiooni ja kasutaja seadme poolt CK ja IK 5G AKA ja EAP-AKA ajal.
KSEAF — ankurvõti, mille AUSF funktsioon genereerib võtmeta KAMFAUSF.
KAMF — võti, mille SEAF funktsioon genereerib võtme alusel KSEAF.
KNASint, KNASenc — võti, mis on genereeritud AMF funktsiooni poolt võtme alusel KAMF NAS signalisatsioonitranspordi kaitsmiseks.
KRRCint, KRRCenc — võti, mis on genereeritud AMF funktsiooni poolt võtme alusel KAMF RRC signalisatsioonitranspordi kaitsmiseks.
KUPint, KUPenc — võti, mis on genereeritud AMF funktsiooni poolt võtme alusel KAMF AS signalisatsioonitranspordi kaitsmiseks.
NH — vahepealne võti, mille AMF funktsioon genereerib võtme alusel KAMF andmete turvalisuse tagamiseks käitlemiste ajal.
KgNB — võti, mille AMF funktsioon genereerib võtme alusel KAMF liikuvuse mehhaanismide turvalisuse tagamiseks.

SUCI ja SUPI genereerimise skeemid

SUPI ja SUCI genereerimise skeemid

SUCI genereerimine SUPI-st ja SUPI genereerimine SUCI-st:

Autentimine

Esialgne autentimine

5G EAP-AKA ja 5G AKA on standardne esialgse autentimise mehhanism. Jagame esialgse autentimise mehhanismi kaheks etapiks: esimeses etapis toimub autentimise algatamine ja autentimismeetodi valimine, teises etapis toimub vastastikune autentimine kasutaja ja võrgu vahel.

Algatamine

Kasutaja saadab SEAF-ile registreerimisettepaneku, mis sisaldab varjatud kasutaja tellimuse identifikaatorit SUCI.

SEAF saadab AUSF-ile autentimisettepaneku (Nausf_UEAuthentication_Authenticate Request), milles sisaldub SNN (ingl. Serving Network Name — teenindav võrk) ja SUPI või SUCI.

AUSF kontrollib, kas SEAFil on lubatud kasutada antud SNN-i. Kui teenindav võrk ei ole volitatud selle SNN-i kasutamiseks, vastab AUSF autorisatsiooni vea teatega „Serving network not authorized“ (Nausf_UEAuthentication_Authenticate Response).

AUSF-i autentimisandmete taotlemine UDM, ARPF või SIDF poolt toimub SUPI või SUCI ja SNN alusel.

Tuginedes SUPI-le või SUCI-le ning kasutaja andmetele valib UDM/ARPF edasi kasutatava autentimismeetodi ja väljastab kasutaja autentimisandmed.

Vastastikune autentimine

Kasutades igasuguseid autentimismeetodeid, peavad võrgu funktsioonid UDM/ARPF genereerima autentimisvektori (ingl. AV).

EAP-AKA: UDM/ARPF genereerib esmalt autentimismeetodi volituse bitiga AMF = 1, seejärel genereerib CK’ ja IK’ kohast CK, IK ja SNN ning koostab uue autentimisvektori AV (RAND, AUTN, XRES*, CK’, IK’), mis saadetakse AUSF-i märkusega kasutada seda ainult EAP-AKA jaoks.

5G AKA: UDM/ARPF saab võtme KAUSF kohast CK, IK ja SNN, seejärel genereerib 5G HE AV (ingl. 5G Home Environment Authentication Vector). 5G HE AV autentimisvektor (RAND, AUTN, XRES, KAUSF) saadetakse AUSF-i märkusega kasutada seda ainult 5G AKA jaoks.

Seejärel saadakse AUSF-i ankurvõti KSEAF võtme alusel KAUSF ja saadetakse SEAF-ile „Challenge“ päringule teates „Nausf_UEAuthentication_Authenticate Response“, mis sisaldab ka RAND, AUTN ja RES*. Edasi edastatakse RAND ja AUTN kasutaja seadmesse kaitstud signalisatsioonisõnumiga NAS. Kasutaja USIM arvutab RES* saadud RAND-i ja AUTN-i põhjal ning saadab selle SEAF-ile. SEAF edastab selle väärtuse tagasi AUSF-ile kontrollimiseks.

AUSF võrrelda salvestatud XRES* ja kasutajalt saadud RES*. Kui need on ühesugused, väljastatakse AUSF ja UDM koduvõrgus teade, et autentimine oli edukas, ning kasutaja ja SEAF genereerivad iseseisvalt võtme KAMF kohast KSEAF ja SUPI edasiseks suhtlemiseks.

Teisene autentimine

5G standard toetab volituse põhjal valikulist teist autentimist EAP-AKA põhjal kasutaja seadme ja välise andmeside võrgu vahel. Sel juhul mängib SMF EAP autentimise rolli ning toetub tööle AAA-serverite välises võrgus, mis autentib ja autoriseerib kasutaja.

• Kohustuslik esialgne autentimine toimub koduvõrgus ning genereeritakse ühiselt AMF-iga NAS-i turvakontekst.
• Kasutaja saadab AMF-ile sessiooni seadistamise päringu.
• AMF saadab sessiooni seadistamise päringu SMF-ile, märkides kasutaja SUPI.
• SMF kontrollib kasutaja autentimisandmeid UDM-is, kasutades antud SUPI-d.
• SMF saadab AMF-ile vastuse päringule.
• SMF käivitab EAP autentimise protseduuri eesmärgiga saada volitus sessiooni seadistamiseks välise võrgu AAA-serverilt. Selleks vahetavad SMF ja kasutaja sõnumeid, et algatada protseduuri.
• Kasutaja ja AAA-server välisinges suheldakse, et viia läbi kasutaja autentimine ja autoriseerimine. Sel viisil saadab kasutaja sõnumeid SMF-ile, mis omakorda suhtleb välise võrgu kaudu UPF-i.

Kokkuvõte

Kuigi 5G turvalisuse arhitektuur põhineb olemasolevate tehnoloogiate taaskasutamisel, seotakse temaga täiesti uusi ülesandeid. Suur hulk IoT-seadmeid, laiendatud võrgu piiri ning detsentraliseeritud arhitektuuri elemendid on vaid mõned 5G standardi peamistest põhimõtetest, mis annavad võimaluse küberkurjategijate fantaasiale.

5G turvalisuse arhitektuuri põhandard — TS 23.501 versioon 15.6.0 — sisaldab turvamehhanismide ja -protseduuride töö põhialuseid. Eelkõige kirjeldab see iga VNF rolli kasutajate andmete ja võrgu sõlmede kaitsmisel, krüptovõtmete genereerimisel ja autentimismenetluse teostamisel. Kuid isegi see standard ei paku vastuseid teravatele turvaküsimustele, millega sideoperaatorid silmitsi seisavad, seda enam, et uue põlvkonna võrkude arendamine ja kasutuselevõtt edeneb.

Seetõttu loodame, et 5G võrkude töö ja kaitsega seotud raskused ei mõjuta tavakasutajaid, kellele lubatakse edastuskiirus ja reageerimine nagu sõbra emal, kes on juba pettunud, et 5G uus põlvkond ei paku kõiki lubatud funktsioone.

Kasulikud lingid

3GPP Spetsifikatsiooni seeria
5G turvalisuse arhitektuur
5G süsteemi arhitektuur
5G Wiki
5G arhitektuuri märkmed
5G turvalisuse ülevaade

Allikas: habr.com