{"id":54348,"date":"2019-12-24T00:00:00","date_gmt":"2019-12-23T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/vvedenie-v-arhitekturu-bezopasnosti-5g-nfv-klyuchi-i-2-autentifikatsii"},"modified":"2020-02-18T14:02:21","modified_gmt":"2020-02-18T11:02:21","slug":"vvedenie-v-arhitekturu-bezopasnosti-5g-nfv-klyuchi-i-2-autentifikatsii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/vvedenie-v-arhitekturu-bezopasnosti-5g-nfv-klyuchi-i-2-autentifikatsii","title":{"rendered":"Introduction \u00e0 l'architecture de s\u00e9curit\u00e9 5G : NFV, cl\u00e9s et authentification \u00e0 deux facteurs","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Introduction<\/a><\/noindex><\/p>\n

Il est manifestement douteux et inutile de se lancer dans le d\u00e9veloppement d'une nouvelle norme de communication sans r\u00e9fl\u00e9chir aux m\u00e9canismes de s\u00e9curit\u00e9.<\/p>\n

Architecture de s\u00e9curit\u00e9 5G<\/u> \u2014 ensemble des m\u00e9canismes et des proc\u00e9dures de s\u00e9curit\u00e9 mis en \u0153uvre dans les r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration<\/a><\/noindex> et couvrant tous les composants du r\u00e9seau, du c\u0153ur jusqu'aux interfaces radio. <\/p>\n

Les r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration sont, par leur nature, une \u00e9volution des r\u00e9seaux de quatri\u00e8me g\u00e9n\u00e9ration LTE<\/a><\/noindex>. Les technologies d'acc\u00e8s radio ont subi des changements significatifs. Pour les r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration, une nouvelle RAT<\/a><\/noindex> (Radio Access Technology) \u2014 5G New Radio<\/a><\/noindex>. En ce qui concerne le c\u0153ur du r\u00e9seau, les changements n'ont pas \u00e9t\u00e9 aussi significatifs. Ainsi, l'architecture de s\u00e9curit\u00e9 des r\u00e9seaux 5G a \u00e9t\u00e9 d\u00e9velopp\u00e9e en se concentrant sur la r\u00e9utilisation des technologies pertinentes adopt\u00e9es dans la norme 4G LTE.<\/p>\n

Cependant, il convient de noter que la r\u00e9\u00e9valuation de menaces bien connues, comme les attaques sur les interfaces radio et le plan de signalisation (signalling<\/a><\/noindex> plane), les attaques DDOS, les attaques Man-In-The-Middle, etc., a incit\u00e9 les op\u00e9rateurs de t\u00e9l\u00e9communications \u00e0 \u00e9laborer de nouvelles normes et \u00e0 int\u00e9grer des m\u00e9canismes de s\u00e9curit\u00e9 totalement nouveaux dans les r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration.
\n<\/a><\/noindex>
\n\"Introduction<\/p>\n

Pr\u00e9requis<\/h1>\n

\nEn 2015, l'Union internationale des t\u00e9l\u00e9communications a \u00e9tabli le premier plan global de d\u00e9veloppement des r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration, ce qui a rendu la question du d\u00e9veloppement des m\u00e9canismes et des proc\u00e9dures de s\u00e9curit\u00e9 dans les r\u00e9seaux 5G particuli\u00e8rement pressante. <\/p>\n

La nouvelle technologie offrait des vitesses de transmission de donn\u00e9es v\u00e9ritablement impressionnantes (plus de 1 Gbit\/s), une latence inf\u00e9rieure \u00e0 1 ms et la possibilit\u00e9 de connecter simultan\u00e9ment environ 1 million d'appareils dans un rayon de 1 km\u00b2. De telles exigences \u00e9lev\u00e9es pour les r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration ont \u00e9galement influenc\u00e9 les principes de leur organisation.<\/p>\n

Le principal d'entre eux \u00e9tait la d\u00e9centralisation, qui impliquait la mise en place de nombreuses bases de donn\u00e9es locales et de centres de traitement en p\u00e9riph\u00e9rie du r\u00e9seau. Cela permettait de minimiser les latences lors de M2M<\/a><\/noindex>-communications et d\u00e9charger le c\u0153ur du r\u00e9seau en raison de l'entretien d'un grand nombre d'appareils IoT. Ainsi, la fronti\u00e8re des r\u00e9seaux de nouvelle g\u00e9n\u00e9ration s'est \u00e9largie jusqu'aux stations de base, permettant la cr\u00e9ation de centres de communication locaux et la fourniture de services cloud sans risque de retards critiques ou d'interruptions de service. Naturellement, cette approche modifi\u00e9e \u00e0 l'organisation des r\u00e9seaux et au service client a suscit\u00e9 l'int\u00e9r\u00eat des cybercriminels, car elle leur ouvrait de nouvelles possibilit\u00e9s d'attaques sur des informations confidentielles des utilisateurs, ainsi que sur les composants m\u00eames du r\u00e9seau dans le but de provoquer des interruptions de service ou de prendre le contr\u00f4le des ressources de calcul de l'op\u00e9rateur.<\/p>\n

Vuln\u00e9rabilit\u00e9s majeures des r\u00e9seaux de 5\u00e8me g\u00e9n\u00e9ration<\/h2>\n

<\/p>\n

Grande surface d'attaque<\/h3>\n

\nEn savoir plus<\/b>Lors de la construction de r\u00e9seaux de t\u00e9l\u00e9communications de 3\u00e8me et 4\u00e8me g\u00e9n\u00e9rations, les op\u00e9rateurs de t\u00e9l\u00e9communications se limitaient g\u00e9n\u00e9ralement \u00e0 travailler avec un ou plusieurs fournisseurs, qui fournissaient d'embl\u00e9e un ensemble mat\u00e9riel et logiciel. Autrement dit, tout pouvait fonctionner, ce qu'on appelle \u00ab cl\u00e9 en main \u00bb \u2014 il suffisait d'installer et de configurer le mat\u00e9riel achet\u00e9 aupr\u00e8s du fournisseur ; il n'\u00e9tait pas n\u00e9cessaire de remplacer ou de compl\u00e9ter le logiciel propri\u00e9taire. Les tendances modernes vont \u00e0 l'encontre de cette approche \u00ab classique \u00bb et visent la virtualisation des r\u00e9seaux, une approche multi-fournisseurs et la diversit\u00e9 des logiciels. Des technologies telles que SDN<\/a><\/noindex> (anglais Software Defined Network) et NFV<\/a><\/noindex> (anglais Network Functions Virtualization), ce qui conduit \u00e0 l'int\u00e9gration d'un grand nombre de logiciels bas\u00e9s sur des codes sources ouverts dans les processus et fonctions de gestion des r\u00e9seaux de communication. Cela donne aux cybercriminels la possibilit\u00e9 d'explorer davantage le r\u00e9seau de l'op\u00e9rateur et d'identifier un plus grand nombre de vuln\u00e9rabilit\u00e9s, ce qui, \u00e0 son tour, augmente la surface d'attaque des r\u00e9seaux de nouvelle g\u00e9n\u00e9ration par rapport \u00e0 l'actuelle.<\/p>\n

Un grand nombre d'appareils IoT<\/h3>\n

\nEn savoir plus<\/b>D'ici 2021, environ 57 % des appareils connect\u00e9s aux r\u00e9seaux 5G seront des dispositifs IoT. Cela signifie que la plupart des h\u00f4tes disposeront de capacit\u00e9s cryptographiques limit\u00e9es (voir point 2) et seront donc vuln\u00e9rables aux attaques. Un grand nombre de ces appareils augmentera le risque de propagation de botnets et permettra d'ex\u00e9cuter des attaques DDoS encore plus puissantes et distribu\u00e9es.<\/p>\n

Capacit\u00e9s cryptographiques limit\u00e9es des dispositifs IoT<\/h3>\n

\nEn savoir plus<\/b>Comme d\u00e9j\u00e0 mentionn\u00e9, les r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration mobilisent activement des dispositifs p\u00e9riph\u00e9riques qui permettent de r\u00e9duire une partie de la charge sur le c\u0153ur du r\u00e9seau et ainsi diminuer la latence. Cela est n\u00e9cessaire pour des services essentiels tels que la gestion des voitures autonomes et le syst\u00e8me d'alerte d'urgence. IMS<\/a><\/noindex> et autres, pour lesquels garantir une latence minimale est critique, car cela conditionne des vies humaines. En raison de la connexion d'un grand nombre d'appareils IoT, qui, compte tenu de leur petite taille et de leur faible consommation d'\u00e9nergie, disposent de ressources de calcul tr\u00e8s limit\u00e9es, les r\u00e9seaux 5G deviennent vuln\u00e9rables aux attaques visant \u00e0 prendre le contr\u00f4le de ces appareils pour les manipuler. Par exemple, des sc\u00e9narios d'infection d'appareils IoT faisant partie du syst\u00e8me \u00abmaison intelligente<\/a><\/noindex>\u00bb sont possibles, impliquant des types de logiciels malveillants tels que ransomware et programmes de ran\u00e7on<\/a><\/noindex>. Il est \u00e9galement possible d'intercepter le contr\u00f4le des voitures autonomes, qui re\u00e7oivent des commandes et des informations de navigation par le biais du \u00ab cloud \u00bb. Cette vuln\u00e9rabilit\u00e9 est formellement due \u00e0 la d\u00e9centralisation des r\u00e9seaux de nouvelle g\u00e9n\u00e9ration, mais le point suivant mettra plus clairement en \u00e9vidence le probl\u00e8me de la d\u00e9centralisation.<\/p>\n

D\u00e9centralisation et expansion des fronti\u00e8res du r\u00e9seau<\/h3>\n

\nEn savoir plus<\/b>Les p\u00e9riph\u00e9riques agissant comme des noyaux locaux du r\u00e9seau routent le trafic utilisateur, traitent les demandes, ainsi que mettent en cache et stockent localement les donn\u00e9es des utilisateurs. Ainsi, les fronti\u00e8res des r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration s'\u00e9tendent au-del\u00e0 du noyau, vers la p\u00e9riph\u00e9rie, y compris vers des bases de donn\u00e9es locales et des interfaces radio 5G-NR (en anglais 5G New Radio). Cela cr\u00e9e une possibilit\u00e9 d'attaques sur les ressources de calcul des dispositifs locaux, qui sont par d\u00e9faut moins prot\u00e9g\u00e9es que les n\u0153uds centraux du r\u00e9seau, dans le but de provoquer une interruption de service. Cela peut entra\u00eener une coupure de l'acc\u00e8s \u00e0 Internet dans des zones enti\u00e8res, un dysfonctionnement des dispositifs IoT (par exemple, dans un syst\u00e8me de \u00ab maison intelligente \u00bb), ainsi qu'une indisponibilit\u00e9 du service d'alerte d'urgence IMS.<\/p>\n

\"Introduction
\n
\nCependant, actuellement, l'ETSI et le 3GPP ont d\u00e9j\u00e0 publi\u00e9 plus de 10 normes touchant diff\u00e9rents aspects de la s\u00e9curit\u00e9 des r\u00e9seaux 5G. La grande majorit\u00e9 des m\u00e9canismes d\u00e9crits visent \u00e0 prot\u00e9ger contre les vuln\u00e9rabilit\u00e9s (y compris celles mentionn\u00e9es ci-dessus). L'une des principales est la norme TS 23.501 version 15.6.0<\/a><\/noindex>, qui d\u00e9crit l'architecture de s\u00e9curit\u00e9 des r\u00e9seaux de cinqui\u00e8me g\u00e9n\u00e9ration.<\/p>\n

Architecture 5G<\/h1>\n

\n\"Introduction
\nPour commencer, examinons les principes cl\u00e9s de l'architecture des r\u00e9seaux 5G, qui permettront d'expliquer pleinement le sens et les zones de responsabilit\u00e9 de chaque module logiciel et de chaque fonction de s\u00e9curit\u00e9 5G.<\/p>\n