जाहिर है, सुरक्षा तंत्र के बारे में सोचे बिना एक नए संचार मानक का विकास करना एक बेहद संदिग्ध और निरर्थक प्रयास है।

5जी सुरक्षा वास्तुकला - लागू सुरक्षा तंत्रों और प्रक्रियाओं का एक सेट 5वीं पीढ़ी के नेटवर्क और कोर से लेकर रेडियो इंटरफेस तक सभी नेटवर्क घटकों को कवर करता है।

5वीं पीढ़ी के नेटवर्क, संक्षेप में, एक विकास हैं चौथी पीढ़ी के एलटीई नेटवर्क. रेडियो एक्सेस प्रौद्योगिकियों में सबसे महत्वपूर्ण परिवर्तन हुए हैं। 5वीं पीढ़ी के नेटवर्क के लिए, एक नया आरएटी (रेडियो एक्सेस टेक्नोलॉजी) - 5G न्यू रेडियो. जहाँ तक नेटवर्क के मूल की बात है, इसमें इतने महत्वपूर्ण परिवर्तन नहीं हुए हैं। इस संबंध में, 5जी नेटवर्क की सुरक्षा वास्तुकला को 4जी एलटीई मानक में अपनाई गई प्रासंगिक प्रौद्योगिकियों के पुन: उपयोग पर जोर देने के साथ विकसित किया गया है।

हालाँकि, यह ध्यान देने योग्य है कि एयर इंटरफेस और सिग्नलिंग परत पर हमलों जैसे ज्ञात खतरों पर पुनर्विचार करना (संकेतन प्लेन), डीडीओएस हमले, मैन-इन-द-मिडिल हमले आदि ने दूरसंचार ऑपरेटरों को नए मानक विकसित करने और 5वीं पीढ़ी के नेटवर्क में पूरी तरह से नए सुरक्षा तंत्र को एकीकृत करने के लिए प्रेरित किया।

Предпосылки

2015 में, अंतर्राष्ट्रीय दूरसंचार संघ ने पांचवीं पीढ़ी के नेटवर्क के विकास के लिए अपनी तरह की पहली वैश्विक योजना तैयार की, यही कारण है कि 5G नेटवर्क में सुरक्षा तंत्र और प्रक्रियाओं को विकसित करने का मुद्दा विशेष रूप से तीव्र हो गया है।

नई तकनीक वास्तव में प्रभावशाली डेटा ट्रांसफर गति (1 जीबीपीएस से अधिक), 1 एमएस से कम की विलंबता और 1 किमी1 के दायरे में लगभग 2 मिलियन डिवाइसों को एक साथ कनेक्ट करने की क्षमता प्रदान करती है। 5वीं पीढ़ी के नेटवर्क के लिए ऐसी उच्चतम आवश्यकताएं उनके संगठन के सिद्धांतों में भी परिलक्षित होती हैं।

मुख्य विकेंद्रीकरण था, जिसका तात्पर्य नेटवर्क की परिधि पर कई स्थानीय डेटाबेस और उनके प्रसंस्करण केंद्रों की नियुक्ति था। इससे देरी को कम करना संभव हो गया M2M-बड़ी संख्या में IoT उपकरणों की सर्विसिंग के कारण संचार और नेटवर्क कोर को राहत मिलती है। इस प्रकार, अगली पीढ़ी के नेटवर्क का विस्तार बेस स्टेशनों तक हो गया, जिससे स्थानीय संचार केंद्रों के निर्माण और गंभीर देरी या सेवा से इनकार के जोखिम के बिना क्लाउड सेवाओं के प्रावधान की अनुमति मिली। स्वाभाविक रूप से, नेटवर्किंग और ग्राहक सेवा के प्रति बदला हुआ दृष्टिकोण हमलावरों के लिए दिलचस्पी का था, क्योंकि इससे उनके लिए गोपनीय उपयोगकर्ता जानकारी और नेटवर्क घटकों दोनों पर हमला करने के नए अवसर खुल गए, ताकि सेवा से इनकार किया जा सके या ऑपरेटर के कंप्यूटिंग संसाधनों को जब्त किया जा सके।

5वीं पीढ़ी के नेटवर्क की मुख्य कमजोरियाँ

बड़े हमले की सतह

अधिकतीसरी और चौथी पीढ़ी के दूरसंचार नेटवर्क का निर्माण करते समय, दूरसंचार ऑपरेटर आमतौर पर एक या कई विक्रेताओं के साथ काम करने तक सीमित थे जो तुरंत हार्डवेयर और सॉफ्टवेयर का एक सेट प्रदान करते थे। यानी, सब कुछ काम कर सकता है, जैसा कि वे कहते हैं, "बॉक्स से बाहर" - यह विक्रेता से खरीदे गए उपकरण को स्थापित करने और कॉन्फ़िगर करने के लिए पर्याप्त था; मालिकाना सॉफ़्टवेयर को बदलने या पूरक करने की कोई आवश्यकता नहीं थी। आधुनिक रुझान इस "शास्त्रीय" दृष्टिकोण के विपरीत चलते हैं और इसका उद्देश्य नेटवर्क का वर्चुअलाइजेशन, उनके निर्माण और सॉफ्टवेयर विविधता के लिए एक बहु-विक्रेता दृष्टिकोण है। जैसी प्रौद्योगिकियाँ SDN (इंग्लिश सॉफ्टवेयर डिफाइंड नेटवर्क) और NFV (अंग्रेजी नेटवर्क फ़ंक्शंस वर्चुअलाइजेशन), जो संचार नेटवर्क के प्रबंधन की प्रक्रियाओं और कार्यों में ओपन सोर्स कोड के आधार पर निर्मित सॉफ़्टवेयर की एक बड़ी मात्रा को शामिल करने की ओर ले जाता है। इससे हमलावरों को ऑपरेटर के नेटवर्क का बेहतर अध्ययन करने और अधिक संख्या में कमजोरियों की पहचान करने का अवसर मिलता है, जो बदले में, वर्तमान की तुलना में नई पीढ़ी के नेटवर्क की हमले की सतह को बढ़ाता है।

बड़ी संख्या में IoT डिवाइस

अधिक2021 तक, 57G नेटवर्क से जुड़े लगभग 5% डिवाइस IoT डिवाइस होंगे। इसका मतलब यह है कि अधिकांश होस्ट के पास सीमित क्रिप्टोग्राफ़िक क्षमताएं होंगी (बिंदु 2 देखें) और, तदनुसार, हमलों के प्रति संवेदनशील होंगे। ऐसे उपकरणों की एक बड़ी संख्या से बॉटनेट प्रसार का खतरा बढ़ जाएगा और इससे भी अधिक शक्तिशाली और वितरित DDoS हमलों को अंजाम देना संभव हो जाएगा।

IoT उपकरणों की सीमित क्रिप्टोग्राफ़िक क्षमताएँ

अधिकजैसा कि पहले ही उल्लेख किया गया है, 5वीं पीढ़ी के नेटवर्क सक्रिय रूप से परिधीय उपकरणों का उपयोग करते हैं, जो नेटवर्क कोर से लोड के हिस्से को हटाना संभव बनाता है और इस तरह विलंबता को कम करता है। मानवरहित वाहनों के नियंत्रण, आपातकालीन चेतावनी प्रणाली जैसी महत्वपूर्ण सेवाओं के लिए यह आवश्यक है आईएमएस और अन्य, जिनके लिए न्यूनतम विलंब सुनिश्चित करना महत्वपूर्ण है, क्योंकि मानव जीवन इस पर निर्भर करता है। बड़ी संख्या में IoT उपकरणों के कनेक्शन के कारण, जिनके छोटे आकार और कम बिजली की खपत के कारण, बहुत सीमित कंप्यूटिंग संसाधन होते हैं, 5G नेटवर्क ऐसे उपकरणों के नियंत्रण और बाद में हेरफेर के उद्देश्य से हमलों के प्रति संवेदनशील हो जाते हैं। उदाहरण के लिए, ऐसे परिदृश्य हो सकते हैं जहां IoT डिवाइस जो सिस्टम का हिस्सा हैं, संक्रमित हैं।स्मार्ट हाउस", मैलवेयर के प्रकार जैसे रैंसमवेयर और रैंसमवेयर. क्लाउड के माध्यम से कमांड और नेविगेशन जानकारी प्राप्त करने वाले मानव रहित वाहनों के अवरोधन नियंत्रण के परिदृश्य भी संभव हैं। औपचारिक रूप से, यह भेद्यता नई पीढ़ी के नेटवर्क के विकेंद्रीकरण के कारण है, लेकिन अगला पैराग्राफ विकेंद्रीकरण की समस्या को अधिक स्पष्ट रूप से रेखांकित करेगा।

नेटवर्क सीमाओं का विकेंद्रीकरण और विस्तार

अधिकपरिधीय उपकरण, स्थानीय नेटवर्क कोर की भूमिका निभाते हुए, उपयोगकर्ता ट्रैफ़िक की रूटिंग, प्रसंस्करण अनुरोधों के साथ-साथ स्थानीय कैशिंग और उपयोगकर्ता डेटा का भंडारण करते हैं। इस प्रकार, 5वीं पीढ़ी के नेटवर्क की सीमाएं, कोर के अलावा, परिधि तक विस्तारित हो रही हैं, जिसमें स्थानीय डेटाबेस और 5जी-एनआर (5जी न्यू रेडियो) रेडियो इंटरफेस शामिल हैं। यह स्थानीय उपकरणों के कंप्यूटिंग संसाधनों पर हमला करने का अवसर पैदा करता है, जो सेवा से इनकार करने के लक्ष्य के साथ, नेटवर्क कोर के केंद्रीय नोड्स की तुलना में प्राथमिक रूप से कमजोर संरक्षित हैं। इससे पूरे क्षेत्र में इंटरनेट का उपयोग बंद हो सकता है, IoT उपकरणों की गलत कार्यप्रणाली (उदाहरण के लिए, स्मार्ट होम सिस्टम में), साथ ही IMS आपातकालीन चेतावनी सेवा की अनुपलब्धता हो सकती है।

हालाँकि, ETSI और 3GPP ने अब 10G नेटवर्क सुरक्षा के विभिन्न पहलुओं को कवर करते हुए 5 से अधिक मानक प्रकाशित किए हैं। वहां वर्णित अधिकांश तंत्रों का उद्देश्य कमजोरियों (ऊपर वर्णित सहित) से रक्षा करना है। इनमें से एक मुख्य है मानक टीएस 23.501 संस्करण 15.6.0, 5वीं पीढ़ी के नेटवर्क की सुरक्षा वास्तुकला का वर्णन।

5G आर्किटेक्चर

सबसे पहले, आइए 5G नेटवर्क आर्किटेक्चर के प्रमुख सिद्धांतों की ओर मुड़ें, जो प्रत्येक सॉफ्टवेयर मॉड्यूल और प्रत्येक 5G सुरक्षा फ़ंक्शन के अर्थ और जिम्मेदारी के क्षेत्रों को पूरी तरह से प्रकट करेगा।

• नेटवर्क नोड्स को उन तत्वों में विभाजित करना जो प्रोटोकॉल के संचालन को सुनिश्चित करते हैं कस्टम विमान (अंग्रेजी यूपी से - यूजर प्लेन) और तत्व जो प्रोटोकॉल के संचालन को सुनिश्चित करते हैं विमान नियंत्रण (अंग्रेजी सीपी - कंट्रोल प्लेन से), जो नेटवर्क की स्केलिंग और तैनाती के मामले में लचीलापन बढ़ाता है, यानी व्यक्तिगत घटक नेटवर्क नोड्स का केंद्रीकृत या विकेन्द्रीकृत प्लेसमेंट संभव है।
• तंत्र का समर्थन नेटवर्क का टुकड़ा, अंतिम उपयोगकर्ताओं के विशिष्ट समूहों को प्रदान की गई सेवाओं के आधार पर।
• प्रपत्र में नेटवर्क तत्वों का कार्यान्वयन वर्चुअल नेटवर्क फ़ंक्शंस.
• केंद्रीकृत और स्थानीय सेवाओं तक एक साथ पहुंच के लिए समर्थन, यानी क्लाउड अवधारणाओं का कार्यान्वयन (अंग्रेजी से)। कोहरे की गणना) और बॉर्डर (अंग्रेजी से। बढ़त कंप्यूटिंग) गणना.
• कार्यान्वयन संमिलित विभिन्न प्रकार के एक्सेस नेटवर्क को संयोजित करने वाला आर्किटेक्चर - 3GPP 5G न्यू रेडियो और गैर 3GPP (वाई-फाई, आदि) - एकल नेटवर्क कोर के साथ।
• एक्सेस नेटवर्क के प्रकार की परवाह किए बिना, समान एल्गोरिदम और प्रमाणीकरण प्रक्रियाओं का समर्थन।
• स्टेटलेस नेटवर्क फ़ंक्शंस के लिए समर्थन, जिसमें गणना किए गए संसाधन को संसाधन स्टोर से अलग किया जाता है।
• होम नेटवर्क (अंग्रेजी होम-रूटेड रोमिंग से) और अतिथि नेटवर्क में स्थानीय "लैंडिंग" (अंग्रेजी स्थानीय ब्रेकआउट से) दोनों के माध्यम से ट्रैफिक रूटिंग के साथ रोमिंग के लिए समर्थन।
• नेटवर्क फ़ंक्शंस के बीच इंटरैक्शन को दो तरीकों से दर्शाया जाता है: सेवा उन्मुख и इंटरफेस.

5वीं पीढ़ी की नेटवर्क सुरक्षा अवधारणा में शामिल हैं:

• नेटवर्क से उपयोगकर्ता प्रमाणीकरण.
• उपयोगकर्ता द्वारा नेटवर्क प्रमाणीकरण.
• नेटवर्क और उपयोगकर्ता उपकरण के बीच क्रिप्टोग्राफ़िक कुंजियों की बातचीत।
• सिग्नलिंग ट्रैफ़िक का एन्क्रिप्शन और अखंडता नियंत्रण।
• उपयोगकर्ता ट्रैफ़िक की अखंडता का एन्क्रिप्शन और नियंत्रण।
• उपयोगकर्ता आईडी सुरक्षा.
• नेटवर्क सुरक्षा डोमेन की अवधारणा के अनुसार विभिन्न नेटवर्क तत्वों के बीच इंटरफेस की सुरक्षा करना।
• तंत्र की विभिन्न परतों का अलगाव नेटवर्क का टुकड़ा और प्रत्येक परत के अपने सुरक्षा स्तर को परिभाषित करना।
• अंतिम सेवाओं (आईएमएस, आईओटी और अन्य) के स्तर पर उपयोगकर्ता प्रमाणीकरण और यातायात सुरक्षा।

प्रमुख सॉफ़्टवेयर मॉड्यूल और 5G नेटवर्क सुरक्षा सुविधाएँ

AMF (अंग्रेजी एक्सेस एंड मोबिलिटी मैनेजमेंट फंक्शन से - एक्सेस एंड मोबिलिटी मैनेजमेंट फंक्शन) - प्रदान करता है:

• नियंत्रण विमान इंटरफेस का संगठन।
• सिग्नलिंग ट्रैफिक एक्सचेंज का संगठन आरआरसी, एन्क्रिप्शन और इसके डेटा की अखंडता की सुरक्षा।
• सिग्नलिंग ट्रैफिक एक्सचेंज का संगठन एनएएस, एन्क्रिप्शन और इसके डेटा की अखंडता की सुरक्षा।
• नेटवर्क पर उपयोगकर्ता उपकरण के पंजीकरण का प्रबंधन करना और संभावित पंजीकरण स्थितियों की निगरानी करना।
• नेटवर्क से उपयोगकर्ता उपकरण के कनेक्शन का प्रबंधन करना और संभावित स्थितियों की निगरानी करना।
• CM-IDLE स्थिति में नेटवर्क पर उपयोगकर्ता उपकरण की उपलब्धता को नियंत्रित करें।
• सीएम-कनेक्टेड स्थिति में नेटवर्क में उपयोगकर्ता उपकरण की गतिशीलता प्रबंधन।
• उपयोगकर्ता उपकरण और एसएमएफ के बीच लघु संदेशों का प्रसारण।
• स्थान सेवा प्रबंधन.
• थ्रेड आईडी आवंटन ईपीएस ईपीएस के साथ बातचीत करने के लिए।

सेविंग (अंग्रेज़ी: सत्र प्रबंधन फ़ंक्शन - सत्र प्रबंधन फ़ंक्शन) - प्रदान करता है:

• संचार सत्र प्रबंधन, यानी सत्र बनाना, संशोधित करना और जारी करना, जिसमें एक्सेस नेटवर्क और यूपीएफ के बीच एक सुरंग बनाए रखना शामिल है।
• उपयोगकर्ता उपकरण के आईपी पते का वितरण और प्रबंधन।
• उपयोग करने के लिए UPF गेटवे का चयन करना।
• पीसीएफ के साथ बातचीत का संगठन।
• नीति प्रवर्तन प्रबंधन QoS.
• DHCPv4 और DHCPv6 प्रोटोकॉल का उपयोग करके उपयोगकर्ता उपकरण का गतिशील कॉन्फ़िगरेशन।
• टैरिफ डेटा के संग्रह की निगरानी करना और बिलिंग प्रणाली के साथ बातचीत का आयोजन करना।
• सेवाओं का निर्बाध प्रावधान (अंग्रेजी से)। एसएससी - सत्र और सेवा निरंतरता).
• रोमिंग के भीतर अतिथि नेटवर्क के साथ सहभागिता।

UPF (अंग्रेजी उपयोगकर्ता विमान फ़ंक्शन - उपयोगकर्ता विमान फ़ंक्शन) - प्रदान करता है:

• वैश्विक इंटरनेट सहित बाहरी डेटा नेटवर्क के साथ सहभागिता।
• उपयोगकर्ता पैकेटों को रूट करना।
• QoS नीतियों के अनुसार पैकेटों का अंकन।
• उपयोगकर्ता पैकेज डायग्नोस्टिक्स (उदाहरण के लिए, हस्ताक्षर-आधारित एप्लिकेशन डिटेक्शन)।
• यातायात उपयोग पर रिपोर्ट उपलब्ध कराना।
• यूपीएफ विभिन्न रेडियो एक्सेस प्रौद्योगिकियों के भीतर और उनके बीच गतिशीलता का समर्थन करने के लिए एंकर बिंदु भी है।

यूडीएम (अंग्रेजी एकीकृत डेटा प्रबंधन - एकीकृत डेटाबेस) - प्रदान करता है:

• उपयोगकर्ता प्रोफ़ाइल डेटा का प्रबंधन करना, जिसमें उपयोगकर्ताओं के लिए उपलब्ध सेवाओं की सूची और उनके संबंधित मापदंडों को संग्रहीत करना और संशोधित करना शामिल है।
• प्रबंध सुपी
• 3GPP प्रमाणीकरण क्रेडेंशियल जनरेट करें उर्फ.
• प्रोफ़ाइल डेटा के आधार पर एक्सेस प्राधिकरण (उदाहरण के लिए, रोमिंग प्रतिबंध)।
• उपयोगकर्ता पंजीकरण प्रबंधन, यानी सेवारत एएमएफ का भंडारण।
• निर्बाध सेवा और संचार सत्रों के लिए समर्थन, यानी वर्तमान संचार सत्र को सौंपे गए एसएमएफ को संग्रहीत करना।
• एसएमएस वितरण प्रबंधन।
• कई अलग-अलग यूडीएम विभिन्न लेनदेन में एक ही उपयोगकर्ता को सेवा प्रदान कर सकते हैं।

UDR (अंग्रेजी यूनिफाइड डेटा रिपॉजिटरी - एकीकृत डेटा का भंडारण) - विभिन्न उपयोगकर्ता डेटा का भंडारण प्रदान करता है और वास्तव में, सभी नेटवर्क ग्राहकों का एक डेटाबेस है।

यूडीएसएफ (अंग्रेज़ी अनस्ट्रक्चर्ड डेटा स्टोरेज फ़ंक्शन - अनस्ट्रक्चर्ड डेटा स्टोरेज फ़ंक्शन) - यह सुनिश्चित करता है कि एएमएफ मॉड्यूल पंजीकृत उपयोगकर्ताओं के वर्तमान संदर्भों को सहेजें। सामान्य तौर पर, इस जानकारी को अनिश्चित संरचना के डेटा के रूप में प्रस्तुत किया जा सकता है। उपयोगकर्ता संदर्भों का उपयोग सेवा से किसी एक एएमएफ की नियोजित निकासी के दौरान और आपातकालीन स्थिति में, निर्बाध और निर्बाध ग्राहक सत्र सुनिश्चित करने के लिए किया जा सकता है। दोनों ही मामलों में, बैकअप एएमएफ यूएसडीएफ में संग्रहीत संदर्भों का उपयोग करके सेवा को "पिक" करेगा।

यूडीआर और यूडीएसएफ को एक ही भौतिक प्लेटफॉर्म पर संयोजित करना इन नेटवर्क कार्यों का एक विशिष्ट कार्यान्वयन है।

पीसीएफ (अंग्रेज़ी: पॉलिसी कंट्रोल फ़ंक्शन - पॉलिसी कंट्रोल फ़ंक्शन) - क्यूओएस पैरामीटर और चार्जिंग नियमों सहित उपयोगकर्ताओं के लिए कुछ सेवा नीतियां बनाता और निर्दिष्ट करता है। उदाहरण के लिए, एक या दूसरे प्रकार के ट्रैफ़िक को प्रसारित करने के लिए, विभिन्न विशेषताओं वाले आभासी चैनल गतिशील रूप से बनाए जा सकते हैं। साथ ही, ग्राहक द्वारा अनुरोधित सेवा की आवश्यकताओं, नेटवर्क की भीड़ का स्तर, उपभोग किए गए ट्रैफ़िक की मात्रा आदि को ध्यान में रखा जा सकता है।

NEF (अंग्रेजी नेटवर्क एक्सपोज़र फ़ंक्शन - नेटवर्क एक्सपोज़र फ़ंक्शन) - प्रदान करता है:

• नेटवर्क कोर के साथ बाहरी प्लेटफार्मों और अनुप्रयोगों की सुरक्षित बातचीत का संगठन।
• विशिष्ट उपयोगकर्ताओं के लिए QoS पैरामीटर और चार्जिंग नियम प्रबंधित करें।

समुद्री तट (अंग्रेजी सुरक्षा एंकर फ़ंक्शन - एंकर सुरक्षा फ़ंक्शन) - AUSF के साथ मिलकर, उपयोगकर्ताओं को किसी भी एक्सेस तकनीक के साथ नेटवर्क पर पंजीकरण करते समय प्रमाणीकरण प्रदान करता है।

AUSF (अंग्रेजी प्रमाणीकरण सर्वर फ़ंक्शन - प्रमाणीकरण सर्वर फ़ंक्शन) - एक प्रमाणीकरण सर्वर की भूमिका निभाता है जो एसईएएफ से अनुरोध प्राप्त करता है और संसाधित करता है और उन्हें एआरपीएफ पर रीडायरेक्ट करता है।

एआरपीएफ (अंग्रेजी: प्रमाणीकरण क्रेडेंशियल रिपॉजिटरी और प्रोसेसिंग फ़ंक्शन - प्रमाणीकरण क्रेडेंशियल्स को संग्रहीत और संसाधित करने का कार्य) - व्यक्तिगत गुप्त कुंजी (केआई) और क्रिप्टोग्राफ़िक एल्गोरिदम के पैरामीटर का भंडारण प्रदान करता है, साथ ही 5 जी-एकेए या के अनुसार प्रमाणीकरण वैक्टर की पीढ़ी प्रदान करता है। ईएपी-उर्फ. यह होम टेलीकॉम ऑपरेटर के डेटा सेंटर में स्थित है, बाहरी भौतिक प्रभावों से सुरक्षित है, और, एक नियम के रूप में, यूडीएम के साथ एकीकृत है।

एससीएमएफ (अंग्रेजी सुरक्षा संदर्भ प्रबंधन फ़ंक्शन - प्रबंधन फ़ंक्शन सुरक्षा संदर्भ) - 5G सुरक्षा संदर्भ के लिए जीवनचक्र प्रबंधन प्रदान करता है।

एसपीसीएफ (अंग्रेजी सुरक्षा नीति नियंत्रण फ़ंक्शन - सुरक्षा नीति प्रबंधन फ़ंक्शन) - विशिष्ट उपयोगकर्ताओं के संबंध में सुरक्षा नीतियों का समन्वय और अनुप्रयोग सुनिश्चित करता है। यह नेटवर्क की क्षमताओं, उपयोगकर्ता उपकरण की क्षमताओं और विशिष्ट सेवा की आवश्यकताओं को ध्यान में रखता है (उदाहरण के लिए, महत्वपूर्ण संचार सेवा और वायरलेस ब्रॉडबैंड इंटरनेट एक्सेस सेवा द्वारा प्रदान की जाने वाली सुरक्षा के स्तर भिन्न हो सकते हैं)। सुरक्षा नीतियों के अनुप्रयोग में शामिल हैं: AUSF का चयन, प्रमाणीकरण एल्गोरिदम का चयन, डेटा एन्क्रिप्शन और अखंडता नियंत्रण एल्गोरिदम का चयन, चाबियों की लंबाई और जीवन चक्र का निर्धारण।

एसआईडीएफ (अंग्रेजी सदस्यता पहचानकर्ता डी-कंसीलिंग फ़ंक्शन - उपयोगकर्ता पहचानकर्ता निष्कर्षण फ़ंक्शन) - एक छिपे हुए पहचानकर्ता (अंग्रेजी एसयूपीआई) से ग्राहक की स्थायी सदस्यता पहचानकर्ता (अंग्रेजी एसयूपीआई) की निकासी सुनिश्चित करता है एसयूसीआई), प्रमाणीकरण प्रक्रिया अनुरोध "प्रामाणिक जानकारी अनुरोध" के भाग के रूप में प्राप्त हुआ।

5G संचार नेटवर्क के लिए बुनियादी सुरक्षा आवश्यकताएँ

अधिकप्रयोक्ता प्रमाणीकरण: सेवारत 5G नेटवर्क को उपयोगकर्ता और नेटवर्क के बीच 5G AKA प्रक्रिया में उपयोगकर्ता की SUPI को प्रमाणित करना होगा।

नेटवर्क प्रमाणीकरण की सेवा: उपयोगकर्ता को 5G सेवारत नेटवर्क आईडी को प्रमाणित करना होगा, प्रमाणीकरण 5G AKA प्रक्रिया के माध्यम से प्राप्त कुंजियों के सफल उपयोग के माध्यम से प्राप्त किया जाएगा।

उपयोगकर्ता प्राधिकरण: सेवारत नेटवर्क को होम टेलीकॉम ऑपरेटर के नेटवर्क से प्राप्त उपयोगकर्ता प्रोफ़ाइल का उपयोग करके उपयोगकर्ता को अधिकृत करना होगा।

होम ऑपरेटर नेटवर्क द्वारा सेवारत नेटवर्क का प्राधिकरण: उपयोगकर्ता को यह पुष्टि प्रदान की जानी चाहिए कि वह एक सेवा नेटवर्क से जुड़ा है जो सेवाएं प्रदान करने के लिए होम ऑपरेटर नेटवर्क द्वारा अधिकृत है। प्राधिकरण इस अर्थ में अंतर्निहित है कि यह 5G AKA प्रक्रिया के सफल समापन से सुनिश्चित होता है।

होम ऑपरेटर नेटवर्क द्वारा एक्सेस नेटवर्क का प्राधिकरण: उपयोगकर्ता को यह पुष्टि प्रदान की जानी चाहिए कि वह एक एक्सेस नेटवर्क से जुड़ा है जो सेवाएं प्रदान करने के लिए होम ऑपरेटर नेटवर्क द्वारा अधिकृत है। प्राधिकरण इस अर्थ में अंतर्निहित है कि इसे एक्सेस नेटवर्क की सुरक्षा को सफलतापूर्वक स्थापित करके लागू किया जाता है। इस प्रकार के प्राधिकरण का उपयोग किसी भी प्रकार के एक्सेस नेटवर्क के लिए किया जाना चाहिए।

अप्रमाणित आपातकालीन सेवाएँ: कुछ क्षेत्रों में नियामक आवश्यकताओं को पूरा करने के लिए, 5G नेटवर्क को आपातकालीन सेवाओं के लिए अप्रमाणित पहुंच प्रदान करनी होगी।

नेटवर्क कोर और रेडियो एक्सेस नेटवर्क: 5G नेटवर्क कोर और 5G रेडियो एक्सेस नेटवर्क को सुरक्षा सुनिश्चित करने के लिए 128-बिट एन्क्रिप्शन और अखंडता एल्गोरिदम के उपयोग का समर्थन करना चाहिए AS и एनएएस. नेटवर्क इंटरफ़ेस को 256-बिट एन्क्रिप्शन कुंजियों का समर्थन करना चाहिए।

उपयोगकर्ता उपकरण के लिए बुनियादी सुरक्षा आवश्यकताएँ

अधिक

• उपयोगकर्ता उपकरण को इसके और रेडियो एक्सेस नेटवर्क के बीच प्रसारित उपयोगकर्ता डेटा के लिए एन्क्रिप्शन, अखंडता सुरक्षा और रीप्ले हमलों से सुरक्षा का समर्थन करना चाहिए।
• उपयोगकर्ता उपकरण को रेडियो एक्सेस नेटवर्क के निर्देशानुसार एन्क्रिप्शन और डेटा अखंडता सुरक्षा तंत्र को सक्रिय करना होगा।
• उपयोगकर्ता उपकरण को आरआरसी और एनएएस सिग्नलिंग ट्रैफ़िक के लिए एन्क्रिप्शन, अखंडता सुरक्षा और रीप्ले हमलों से सुरक्षा का समर्थन करना चाहिए।
• उपयोगकर्ता उपकरण को निम्नलिखित क्रिप्टोग्राफ़िक एल्गोरिदम का समर्थन करना चाहिए: NEA0,NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
• उपयोगकर्ता उपकरण निम्नलिखित क्रिप्टोग्राफ़िक एल्गोरिदम का समर्थन कर सकते हैं: 128-एनईए3, 128-एनआईए3।
• उपयोगकर्ता उपकरण को निम्नलिखित क्रिप्टोग्राफ़िक एल्गोरिदम का समर्थन करना चाहिए: 128-ईईए1, 128-ईईए2, 128-ईआईए1, 128-ईआईए2 यदि यह ई-यूटीआरए रेडियो एक्सेस नेटवर्क से कनेक्शन का समर्थन करता है।
• उपयोगकर्ता उपकरण और रेडियो एक्सेस नेटवर्क के बीच प्रसारित उपयोगकर्ता डेटा की गोपनीयता की सुरक्षा वैकल्पिक है, लेकिन जब भी विनियमन द्वारा अनुमति दी जाए तो इसे प्रदान किया जाना चाहिए।
• आरआरसी और एनएएस सिग्नलिंग ट्रैफ़िक के लिए गोपनीयता सुरक्षा वैकल्पिक है।
• उपयोगकर्ता की स्थायी कुंजी को उपयोगकर्ता उपकरण के अच्छी तरह से सुरक्षित घटकों में संरक्षित और संग्रहीत किया जाना चाहिए।
• किसी ग्राहक की स्थायी सदस्यता पहचानकर्ता को सही रूटिंग के लिए आवश्यक जानकारी को छोड़कर रेडियो एक्सेस नेटवर्क पर स्पष्ट पाठ में प्रसारित नहीं किया जाना चाहिए (उदाहरण के लिए) एमसीसी и एमएनसी पीएमएस).
• होम ऑपरेटर की नेटवर्क सार्वजनिक कुंजी, कुंजी पहचानकर्ता, सुरक्षा योजना पहचानकर्ता और रूटिंग पहचानकर्ता को संग्रहीत किया जाना चाहिए यूएसआईएम.

प्रत्येक एन्क्रिप्शन एल्गोरिदम एक बाइनरी नंबर से जुड़ा होता है:

• "0000": NEA0 - नल सिफरिंग एल्गोरिदम
• "0001": 128-एनईए1 - 128-बिट हिमपात 3जी आधारित एल्गोरिदम
• "0010" 128-एनईए2 - 128-बिट एईएस आधारित एल्गोरिदम
• "0011" 128-एनईए3 - 128-बिट ज़ुक आधारित एल्गोरिदम.

128-NEA1 और 128-NEA2 का उपयोग करके डेटा एन्क्रिप्शन

पी.एस. आरेख से उधार लिया गया है टीएस 133.501

अखंडता सुनिश्चित करने के लिए एल्गोरिदम 128-एनआईए1 और 128-एनआईए2 द्वारा सिम्युलेटेड इंसर्ट का निर्माण

पी.एस. आरेख से उधार लिया गया है टीएस 133.501

5G नेटवर्क फ़ंक्शंस के लिए बुनियादी सुरक्षा आवश्यकताएँ

अधिक

• एएमएफ को एसयूसीआई का उपयोग करके प्राथमिक प्रमाणीकरण का समर्थन करना चाहिए।
• SEAF को SUCI का उपयोग करके प्राथमिक प्रमाणीकरण का समर्थन करना चाहिए।
• यूडीएम और एआरपीएफ को उपयोगकर्ता की स्थायी कुंजी को संग्रहीत करना होगा और यह सुनिश्चित करना होगा कि यह चोरी से सुरक्षित है।
• एसयूसीआई का उपयोग करके सफल प्रारंभिक प्रमाणीकरण पर एयूएसएफ केवल स्थानीय सेवा नेटवर्क को एसयूपीआई प्रदान करेगा।
• एनईएफ को ऑपरेटर के सुरक्षा डोमेन के बाहर छिपी हुई कोर नेटवर्क जानकारी को अग्रेषित नहीं करना चाहिए।

बुनियादी सुरक्षा प्रक्रियाएँ

डोमेन पर भरोसा करें

5वीं पीढ़ी के नेटवर्क में, जैसे-जैसे तत्व नेटवर्क कोर से दूर जाते हैं, नेटवर्क तत्वों पर भरोसा कम होता जाता है। यह अवधारणा 5G सुरक्षा वास्तुकला में लागू निर्णयों को प्रभावित करती है। इस प्रकार, हम 5G नेटवर्क के एक ट्रस्ट मॉडल के बारे में बात कर सकते हैं जो नेटवर्क सुरक्षा तंत्र के व्यवहार को निर्धारित करता है।

उपयोगकर्ता पक्ष पर, ट्रस्ट डोमेन यूआईसीसी और यूएसआईएम द्वारा बनाया गया है।

नेटवर्क पक्ष पर, ट्रस्ट डोमेन की संरचना अधिक जटिल है।

रेडियो एक्सेस नेटवर्क को दो घटकों में विभाजित किया गया है - DU (अंग्रेजी डिस्ट्रिब्यूटेड यूनिट्स से - वितरित नेटवर्क इकाइयाँ) और CU (अंग्रेजी सेंट्रल यूनिट्स से - नेटवर्क की केंद्रीय इकाइयाँ)। वे मिलकर बनते हैं जीएनबी — 5G नेटवर्क बेस स्टेशन का रेडियो इंटरफ़ेस। डीयू के पास उपयोगकर्ता डेटा तक सीधी पहुंच नहीं है क्योंकि उन्हें असुरक्षित बुनियादी ढांचे खंडों पर तैनात किया जा सकता है। सीयू को संरक्षित नेटवर्क खंडों में तैनात किया जाना चाहिए, क्योंकि वे एएस सुरक्षा तंत्र से यातायात को समाप्त करने के लिए जिम्मेदार हैं। नेटवर्क के मूल में स्थित है AMF, जो NAS सुरक्षा तंत्र से ट्रैफ़िक को समाप्त करता है। वर्तमान 3GPP 5G चरण 1 विनिर्देश संयोजन का वर्णन करता है AMF सुरक्षा फ़ंक्शन के साथ समुद्री तट, जिसमें विज़िट किए गए (सर्विंग) नेटवर्क की रूट कुंजी (जिसे "एंकर कुंजी" भी कहा जाता है) शामिल है। AUSF सफल प्रमाणीकरण के बाद प्राप्त कुंजी को संग्रहीत करने के लिए जिम्मेदार है। यह उन मामलों में पुन: उपयोग के लिए आवश्यक है जहां उपयोगकर्ता एक साथ कई रेडियो एक्सेस नेटवर्क से जुड़ा हुआ है। एआरपीएफ उपयोगकर्ता क्रेडेंशियल संग्रहीत करता है और ग्राहकों के लिए यूएसआईएम का एक एनालॉग है। UDR и यूडीएम उपयोगकर्ता जानकारी संग्रहीत करें, जिसका उपयोग क्रेडेंशियल, उपयोगकर्ता आईडी उत्पन्न करने, सत्र निरंतरता सुनिश्चित करने आदि के लिए तर्क निर्धारित करने के लिए किया जाता है।

कुंजियों का पदानुक्रम और उनकी वितरण योजनाएँ

5वीं पीढ़ी के नेटवर्क में, 4जी-एलटीई नेटवर्क के विपरीत, प्रमाणीकरण प्रक्रिया में दो घटक होते हैं: प्राथमिक और द्वितीयक प्रमाणीकरण। नेटवर्क से कनेक्ट होने वाले सभी उपयोगकर्ता उपकरणों के लिए प्राथमिक प्रमाणीकरण आवश्यक है। यदि ग्राहक उनसे जुड़ता है, तो बाहरी नेटवर्क से अनुरोध पर द्वितीयक प्रमाणीकरण किया जा सकता है।

प्राथमिक प्रमाणीकरण के सफल समापन और उपयोगकर्ता और नेटवर्क के बीच एक साझा कुंजी K के विकास के बाद, KSEAF को कुंजी K से निकाला जाता है - सेवारत नेटवर्क की एक विशेष एंकर (रूट) कुंजी। इसके बाद, आरआरसी और एनएएस सिग्नलिंग ट्रैफ़िक डेटा की गोपनीयता और अखंडता सुनिश्चित करने के लिए इस कुंजी से कुंजियाँ उत्पन्न की जाती हैं।

स्पष्टीकरण के साथ आरेख
पदनाम:
CK सिफर कुंजी
IK (अंग्रेजी: इंटीग्रिटी की) - डेटा इंटीग्रिटी सुरक्षा तंत्र में उपयोग की जाने वाली एक कुंजी।
सीके' (इंग्लैंड सिफर कुंजी) - ईएपी-एकेए तंत्र के लिए सीके से बनाई गई एक और क्रिप्टोग्राफ़िक कुंजी।
आईके' (अंग्रेजी इंटीग्रिटी कुंजी) - ईएपी-एकेए के लिए डेटा अखंडता सुरक्षा तंत्र में उपयोग की जाने वाली एक और कुंजी।
KAUSF - एआरपीएफ फ़ंक्शन और उपयोगकर्ता उपकरण द्वारा उत्पन्न CK и IK 5G AKA और EAP-AKA के दौरान।
केएसईएफ़ - AUSF फ़ंक्शन द्वारा कुंजी से प्राप्त एंकर कुंजी कामफौसफ.
KAMF - SEAF फ़ंक्शन द्वारा कुंजी से प्राप्त कुंजी केएसईएफ़.
KNASint, KNASenc - एएमएफ फ़ंक्शन द्वारा कुंजी से प्राप्त कुंजी KAMF एनएएस सिग्नलिंग यातायात की सुरक्षा के लिए।
केआरआरसिंट, केआरआरसेन्स - एएमएफ फ़ंक्शन द्वारा कुंजी से प्राप्त कुंजी KAMF आरआरसी सिग्नलिंग यातायात की सुरक्षा के लिए।
कुपिंट, कुपेन्क - एएमएफ फ़ंक्शन द्वारा कुंजी से प्राप्त कुंजी KAMF एएस सिग्नलिंग यातायात की सुरक्षा के लिए।
NH - एएमएफ फ़ंक्शन द्वारा कुंजी से प्राप्त मध्यवर्ती कुंजी KAMF हैंडओवर के दौरान डेटा सुरक्षा सुनिश्चित करना।
केजीएनबी - एएमएफ फ़ंक्शन द्वारा कुंजी से प्राप्त कुंजी KAMF गतिशीलता तंत्र की सुरक्षा सुनिश्चित करने के लिए।

SUPI से SUCI उत्पन्न करने की योजनाएँ और इसके विपरीत

SUPI और SUCI प्राप्त करने की योजनाएँ

एसयूपीआई से एसयूसीआई और एसयूसीआई से एसयूपीआई का उत्पादन:

प्रमाणीकरण

प्राथमिक प्रमाणीकरण

5G नेटवर्क में, EAP-AKA और 5G AKA मानक प्राथमिक प्रमाणीकरण तंत्र हैं। आइए प्राथमिक प्रमाणीकरण तंत्र को दो चरणों में विभाजित करें: पहला प्रमाणीकरण आरंभ करने और प्रमाणीकरण विधि का चयन करने के लिए जिम्मेदार है, दूसरा उपयोगकर्ता और नेटवर्क के बीच पारस्परिक प्रमाणीकरण के लिए जिम्मेदार है।

दीक्षा

उपयोगकर्ता SEAF को एक पंजीकरण अनुरोध सबमिट करता है, जिसमें उपयोगकर्ता की छिपी हुई सदस्यता आईडी SUCI शामिल होती है।

SEAF AUSF को एक प्रमाणीकरण अनुरोध संदेश (Nausf_UEAuthentication_Authenticate Request) भेजता है जिसमें SNN (सर्विंग नेटवर्क नाम) और SUPI या SUCI होता है।

AUSF जाँच करता है कि SEAF प्रमाणीकरण अनुरोधकर्ता को दिए गए SNN का उपयोग करने की अनुमति है या नहीं। यदि सेवारत नेटवर्क इस एसएनएन का उपयोग करने के लिए अधिकृत नहीं है, तो एयूएसएफ एक प्राधिकरण त्रुटि संदेश "सर्विंग नेटवर्क अधिकृत नहीं है" (Nausf_UEAuthentication_Authenticate प्रतिक्रिया) के साथ प्रतिक्रिया करता है।

प्रमाणीकरण क्रेडेंशियल का अनुरोध AUSF द्वारा SUPI या SUCI और SNN के माध्यम से UDM, ARPF या SIDF से किया जाता है।

एसयूपीआई या एसयूसीआई और उपयोगकर्ता जानकारी के आधार पर, यूडीएम/एआरपीएफ आगे उपयोग करने के लिए प्रमाणीकरण विधि का चयन करता है और उपयोगकर्ता की साख जारी करता है।

पारस्परिक प्रमाणीकरण

किसी भी प्रमाणीकरण विधि का उपयोग करते समय, यूडीएम/एआरपीएफ नेटवर्क फ़ंक्शंस को एक प्रमाणीकरण वेक्टर (एवी) उत्पन्न करना होगा।

ईएपी-एकेए: यूडीएम/एआरपीएफ पहले अलग बिट एएमएफ = 1 के साथ एक प्रमाणीकरण वेक्टर उत्पन्न करता है, फिर उत्पन्न करता है सीके' и आईके' से CK, IK और एसएनएन और एक नया एवी प्रमाणीकरण वेक्टर (रैंड, ऑटोन, एक्सआरईएस*) का गठन करता है। सीके', आईके'), जिसे केवल EAP-AKA के लिए उपयोग करने के निर्देश के साथ AUSF को भेजा जाता है।

5जी उर्फ: यूडीएम/एआरपीएफ को कुंजी मिलती है KAUSF से CK, IK और SNN, जिसके बाद यह 5G HE AV उत्पन्न करता है। 5G गृह पर्यावरण प्रमाणीकरण वेक्टर)। 5G HE AV प्रमाणीकरण वेक्टर (रैंड, AUTN, XRES, KAUSF) को केवल 5जी यानी उर्फ ​​के लिए उपयोग करने के निर्देश के साथ एयूएसएफ को भेजा गया है।

इसके बाद AUSF एंकर कुंजी प्राप्त होती है केएसईएफ़ कुंजी से KAUSF और SEAF "चैलेंज" को "Nausf_UEAuthentication_Authenticate प्रतिक्रिया" संदेश में एक अनुरोध भेजता है, जिसमें RAND, AUTN और RES* भी शामिल हैं। इसके बाद, RAND और AUTN को एक सुरक्षित NAS सिग्नलिंग संदेश का उपयोग करके उपयोगकर्ता उपकरण में प्रेषित किया जाता है। उपयोगकर्ता का यूएसआईएम प्राप्त RAND और AUTN से RES* की गणना करता है और इसे SEAF को भेजता है। SEAF सत्यापन के लिए इस मान को AUSF को रिले करता है।

AUSF इसमें संग्रहीत XRES* और उपयोगकर्ता से प्राप्त RES* की तुलना करता है। यदि कोई मेल है, तो ऑपरेटर के होम नेटवर्क में AUSF और UDM को सफल प्रमाणीकरण की सूचना दी जाती है, और उपयोगकर्ता और SEAF स्वतंत्र रूप से एक कुंजी उत्पन्न करते हैं KAMF से केएसईएफ़ और आगे संचार के लिए SUPI।

द्वितीयक प्रमाणीकरण

5G मानक उपयोगकर्ता उपकरण और बाहरी डेटा नेटवर्क के बीच EAP-AKA पर आधारित वैकल्पिक माध्यमिक प्रमाणीकरण का समर्थन करता है। इस मामले में, एसएमएफ ईएपी प्रमाणक की भूमिका निभाता है और काम पर निर्भर करता है एएए-एक बाहरी नेटवर्क सर्वर जो उपयोगकर्ता को प्रमाणित और अधिकृत करता है।

• होम नेटवर्क पर अनिवार्य प्रारंभिक उपयोगकर्ता प्रमाणीकरण होता है और एएमएफ के साथ एक सामान्य एनएएस सुरक्षा संदर्भ विकसित किया जाता है।
• उपयोगकर्ता सत्र स्थापित करने के लिए एएमएफ को अनुरोध भेजता है।
• एएमएफ उपयोगकर्ता के एसयूपीआई को इंगित करते हुए एसएमएफ को एक सत्र स्थापित करने का अनुरोध भेजता है।
• एसएमएफ प्रदत्त एसयूपीआई का उपयोग करके यूडीएम में उपयोगकर्ता की साख को मान्य करता है।
• एसएमएफ, एएमएफ के अनुरोध पर प्रतिक्रिया भेजता है।
• एसएमएफ बाहरी नेटवर्क पर एएए सर्वर से एक सत्र स्थापित करने की अनुमति प्राप्त करने के लिए ईएपी प्रमाणीकरण प्रक्रिया शुरू करता है। ऐसा करने के लिए, एसएमएफ और उपयोगकर्ता प्रक्रिया शुरू करने के लिए संदेशों का आदान-प्रदान करते हैं।
• उपयोगकर्ता और बाहरी नेटवर्क एएए सर्वर उपयोगकर्ता को प्रमाणित और अधिकृत करने के लिए संदेशों का आदान-प्रदान करते हैं। इस मामले में, उपयोगकर्ता एसएमएफ को संदेश भेजता है, जो बदले में यूपीएफ के माध्यम से बाहरी नेटवर्क के साथ संदेशों का आदान-प्रदान करता है।

निष्कर्ष

हालाँकि 5G सुरक्षा वास्तुकला मौजूदा तकनीकों के पुन: उपयोग पर आधारित है, लेकिन यह पूरी तरह से नई चुनौतियाँ पेश करता है। बड़ी संख्या में IoT डिवाइस, विस्तारित नेटवर्क सीमाएँ और विकेन्द्रीकृत वास्तुकला तत्व 5G मानक के कुछ प्रमुख सिद्धांत हैं जो साइबर अपराधियों की कल्पना को खुली छूट देते हैं।

5G सुरक्षा वास्तुकला के लिए मुख्य मानक है टीएस 23.501 संस्करण 15.6.0 - इसमें सुरक्षा तंत्र और प्रक्रियाओं के संचालन के प्रमुख बिंदु शामिल हैं। विशेष रूप से, यह उपयोगकर्ता डेटा और नेटवर्क नोड्स की सुरक्षा सुनिश्चित करने, क्रिप्टो कुंजी उत्पन्न करने और प्रमाणीकरण प्रक्रिया को लागू करने में प्रत्येक वीएनएफ की भूमिका का वर्णन करता है। लेकिन यह मानक भी उन गंभीर सुरक्षा मुद्दों का जवाब नहीं देता है जिनका सामना दूरसंचार ऑपरेटरों को अधिक तीव्रता से नई पीढ़ी के नेटवर्क विकसित करने और परिचालन में लाने से करना पड़ता है।

इस संबंध में, मैं यह विश्वास करना चाहूंगा कि 5वीं पीढ़ी के नेटवर्क के संचालन और सुरक्षा की कठिनाइयाँ किसी भी तरह से आम उपयोगकर्ताओं को प्रभावित नहीं करेंगी, जिन्हें एक माँ के दोस्त के बेटे की तरह ट्रांसमिशन गति और प्रतिक्रियाओं का वादा किया जाता है और वे पहले से ही सभी को आज़माने के लिए उत्सुक हैं। नई पीढ़ी के नेटवर्क की घोषित क्षमताएँ।

उपयोगी लिंक्स

3जीपीपी विशिष्टता श्रृंखला
5G सुरक्षा वास्तुकला
5G सिस्टम आर्किटेक्चर
5जी विकी
5G आर्किटेक्चर नोट्स
5G सुरक्षा अवलोकन

स्रोत: www.habr.com