È evidente che intraprendere lo sviluppo di un nuovo standard di comunicazione senza considerare i meccanismi di sicurezza è un'attività estremamente dubbia e inutile.
Architettura di sicurezza 5G è un insieme di meccanismi e procedure di sicurezza implementati nelle e che coprono tutti i componenti della rete, dalla parte centrale fino alle interfacce radio.
Le reti di quinta generazione sono, in sostanza, un'evoluzione Le tecnologie di accesso radio hanno subito i cambiamenti più significativi. Per le reti di quinta generazione è stata sviluppata una nuova (Radio Access Technology) — Per quanto riguarda il nucleo della rete, ci sono stati cambiamenti meno significativi. Di conseguenza, l'architettura di sicurezza delle reti 5G è stata progettata per sfruttare le tecnologie pertinenti adottate nello standard 4G LTE.
Tuttavia, è importante notare che la revisione di minacce ben conosciute, come gli attacchi alle interfacce radio e al livello di segnalazione ( plane), attacchi DDoS, attacchi Man-In-The-Middle e altro ancora, ha spinto gli operatori di rete a sviluppare nuovi standard e integrare meccanismi di sicurezza completamente nuovi nelle reti di quinta generazione.
Premesse
Nel 2015, l'Unione internazionale delle telecomunicazioni ha redatto il primo piano globale di sviluppo delle reti di quinta generazione, per cui la questione dello sviluppo di meccanismi e procedure di sicurezza nelle reti 5G è diventata particolarmente urgente.
La nuova tecnologia prometteva velocità di trasmissione dati davvero impressionanti (oltre 1 Gbps), latenza inferiore a 1 ms e la possibilità di collegare simultaneamente circa 1 milione di dispositivi in un raggio di 1 km². Questi requisiti estremamente elevati per le reti di quinta generazione hanno avuto un impatto sui principi della loro organizzazione.
Il principale di questi è stato la decentralizzazione, che comportava la collocazione di numerosi database locali e centri di elaborazione ai margini della rete. Questo ha permesso di minimizzare le latenze nelle e di alleggerire il nucleo della rete per gestire un enorme numero di dispositivi IoT. Così facendo, il confine delle reti di nuova generazione si è esteso fino alle stazioni di base, consentendo la creazione di centri locali di comunicazione e la fornitura di servizi cloud senza rischi di latenze critiche o interruzioni del servizio. Naturalmente, l'approccio modificato all'organizzazione delle reti e all'assistenza ai clienti ha suscitato l'interesse dei malintenzionati, poiché apriva nuove opportunità per attacchi sia alle informazioni riservate degli utenti che ai componenti stessi della rete, al fine di causare interruzioni del servizio o sfruttare le risorse computazionali dell'operatore.
Principali vulnerabilità delle reti di quinta generazione
Ampia superficie d'attacco
Scopri di piùNella costruzione delle reti di telecomunicazione di terza e quarta generazione, gli operatori di rete solitamente lavoravano con uno o più fornitori, che fornivano immediatamente un pacchetto completo di hardware e software. In altre parole, tutto poteva funzionare, per così dire, "fuori dalla scatola" — era sufficiente installare e configurare l'hardware acquistato dal fornitore; non era necessario sostituire o integrare software proprietario. Le tendenze moderne sono in netto contrasto con questo approccio "classico" e sono orientate verso la virtualizzazione delle reti, un approccio multi-vendor alla loro costruzione e una varietà di software. Tecnologie come (inglese Software Defined Network) e (inglese Network Functions Virtualization) stanno diventando sempre più popolari, portando all'inclusione di un enorme quantitativo di software basato su codici aperti nei processi e nelle funzioni di gestione delle reti di comunicazione. Questo consente ai malintenzionati di studiare meglio la rete dell'operatore e di identificare un numero maggiore di vulnerabilità, aumentando così la superficie d'attacco delle reti di nuova generazione rispetto a quelle attuali.
Elevato numero di dispositivi IoT
Scopri di piùEntro il 2021, circa il 57% dei dispositivi connessi alle reti 5G saranno dispositivi IoT. Questo significa che la maggior parte degli host avrà capacità crittografiche limitate (vedi punto 2) e, di conseguenza, sarà vulnerabile agli attacchi. L'enorme numero di tali dispositivi aumenterà il rischio di diffusione di botnet e consentirà di eseguire attacchi DDoS ancora più potenti e distribuiti.
Capacità crittografiche limitate dei dispositivi IoT
Scopri di piùCome già accennato, le reti di quinta generazione utilizzano attivamente dispositivi periferici che consentono di alleggerire il carico del nucleo della rete, riducendo così la latenza. Questo è fondamentale per servizi cruciali come la gestione dei veicoli autonomi e i sistemi di allerta d'emergenza. e altri, per i quali garantire una latenza minima è critico, poiché dipende da vite umane. A causa della connessione di un numero elevato di dispositivi IoT, che, grazie alle loro dimensioni ridotte e al basso consumo energetico, presentano risorse di calcolo piuttosto limitate, le reti 5G diventano vulnerabili ad attacchi mirati a prendere il controllo e manipolare tali dispositivi. Ad esempio, scenari di infezione di dispositivi IoT, che fanno parte del sistema «», possono essere possibili anche mediante tipi di malware quali . Inoltre, ci sono scenari di intercettazione del controllo dei veicoli autonomi, i quali ricevono comandi e informazioni di navigazione tramite il «cloud». Formalmente, questa vulnerabilità è dovuta alla decentralizzazione delle reti di nuova generazione, ma il prossimo punto evidenzierà il problema della decentralizzazione in modo più chiaro.
Decentralizzazione e ampliamento dei confini della rete
Scopri di piùI dispositivi periferici, che fungono da nuclei locali della rete, svolgono la gestione del traffico utente, l'elaborazione delle richieste, nonché la memorizzazione e il caching locale dei dati utente. Pertanto, i confini delle reti 5G si espandono oltre il nucleo fino alla periferia, inclusi database locali e interfacce radio 5G-NR (inglese 5G New Radio). Ciò crea un'opportunità per attacchi alle risorse di calcolo dei dispositivi locali, che sono intrinsecamente meno protetti rispetto ai nodi centrali del nucleo della rete, al fine di causare denial of service. Ciò può portare alla disconnessione di intere aree dall'accesso a internet, al malfunzionamento dei dispositivi IoT (ad esempio, nel sistema «smart home»), nonché all'inaccessibilità del servizio di allerta d'emergenza IMS.
Tuttavia, attualmente, ETSI e 3GPP hanno già pubblicato oltre 10 standard che riguardano vari aspetti della sicurezza delle reti 5G. La stragrande maggioranza dei meccanismi descritti mira a proteggere dalle vulnerabilità (tra cui quelle sopra menzionate). Uno dei principali è lo standard , che descrive l'architettura di sicurezza delle reti di quinta generazione.
Architettura 5G
Iniziamo con i principi chiave dell'architettura delle reti 5G, che permetteranno di chiarire completamente il significato e le responsabilità di ciascun modulo software e di ogni funzione di sicurezza del 5G.
- Separazione dei nodi di rete in elementi che assicurano il funzionamento dei protocolli (inglese UP — User Plane) ed elementi che garantiscono il funzionamento dei protocolli (inglese CP — Control Plane), il che aumenta la flessibilità per quanto riguarda la scalabilità e la distribuzione della rete, cioè è possibile posizionare centralmente o decentralmente singole parti dei nodi di rete.
- Supporto del meccanismo di , basato sui servizi forniti a specifici gruppi di utenti finali.
- Realizzazione degli elementi di rete sotto forma di .
- Supporto dell'accesso simultaneo a servizi centralizzati e locali, cioè attuazione dei concetti di calcolo cloud (inglese ) e di calcolo edge (inglese ).
- Implementazione convergente, che unisce diversi tipi di reti di accesso — 3GPP 5G New Radio e (Wi-Fi, ecc.) — con un unico nucleo di rete.
- Supporto di algoritmi e procedure di autenticazione uniformi indipendentemente dal tipo di rete di accesso.
- Supporto delle funzioni di rete senza stato (inglese stateless), in cui la risorsa di calcolo è separata dalla memorizzazione delle risorse.
- Supporto del roaming con instradamento del traffico sia attraverso la rete domestica (inglese home-routed roaming) che con un «atterraggio» locale (inglese local breakout) nella rete ospite.
- L'interazione tra le funzioni di rete è presentata in due modi: e .
Il concetto di sicurezza delle reti di quinta generazione include::
- Autenticazione dell'utente da parte della rete.
- Autenticazione della rete da parte dell'utente.
- Scambio di chiavi crittografiche tra rete e attrezzature dell'utente.
- Crittografia e controllo dell'integrità del traffico di segnalazione.
- Crittografia e controllo dell'integrità del traffico utente.
- Protezione dell'identificativo utente.
- Protezione delle interfacce tra i vari elementi della rete in conformità con il concetto di dominio di sicurezza della rete.
- L'isolamento dei vari strati del meccanismo e la definizione di livelli di sicurezza specifici per ogni strato.
- L'autenticazione degli utenti e la protezione del traffico a livello dei servizi finali (IMS, IoT e altri).
I principali moduli software e le funzioni di sicurezza 5G
AMF (da inglese Access & Mobility Management Function — funzione di gestione dell'accesso e della mobilità) — garantisce:
- L'organizzazione delle interfacce del piano di controllo.
- L'organizzazione dello scambio di traffico di segnalazione , la cifratura e la protezione dell'integrità dei dati in esso.
- L'organizzazione dello scambio di traffico di segnalazione , la cifratura e la protezione dell'integrità dei dati in esso.
- La gestione della registrazione delle attrezzature degli utenti nella rete e il controllo dei vari stati di registrazione.
- La gestione della connessione delle attrezzature degli utenti alla rete e il controllo dei vari stati.
- La gestione della disponibilità delle attrezzature degli utenti nella rete in stato CM-IDLE.
- La gestione della mobilità delle attrezzature degli utenti nella rete in stato CM-CONNECTED.
- La trasmissione di messaggi brevi tra le attrezzature degli utenti e SMF.
- La gestione dei servizi di geolocalizzazione.
- L'allocazione dell'identificatore del flusso per l'interazione con EPS.
SMF (da inglese Session Management Function — funzione di gestione delle sessioni) — garantisce:
- La gestione delle sessioni di comunicazione, ossia creazione, modifica e liberazione della sessione, inclusa la supporto del tunnel tra la rete di accesso e UPF.
- L'allocazione e la gestione degli indirizzi IP delle attrezzature degli utenti.
- La selezione del gateway UPF utilizzato.
- L'organizzazione dell'interazione con PCF.
- La gestione dell'applicazione delle politiche .
- La configurazione dinamica delle attrezzature degli utenti tramite i protocolli DHCPv4 e DHCPv6.
- Il controllo della raccolta dei dati di fatturazione e l'organizzazione dell'interazione con il sistema di billing.
- La continuità dei servizi (da inglese ).
- L'interazione con le reti ospiti nell'ambito del roaming.
UPF (da inglese User Plane Function — funzione del piano utente) — garantisce:
- L'interazione con le reti di trasmissione dati esterne, compreso il globale Internet.
- Il routing dei pacchetti degli utenti.
- La marcatura dei pacchetti in base alle politiche QoS.
- La diagnostica dei pacchetti degli utenti (ad esempio, il riconoscimento delle applicazioni basato su firme).
- La fornitura di report sull'uso del traffico.
- UPF è anche un punto di ancoraggio per supportare la mobilità sia all'interno della stessa tecnologia che tra diverse tecnologie di accesso radio.
UDM (da inglese Unified Data Management — gestione dei dati unificata) — garantisce:
- La gestione dei dati dei profili utente, compreso lo stoccaggio e la modifica del catalogo dei servizi disponibili agli utenti e dei relativi parametri.
- Gestione
- La generazione delle credenziali di autenticazione 3GPP .
- L'autorizzazione all'accesso basata sui dati del profilo (ad esempio, limitando il roaming).
- La gestione della registrazione dell'utente, ossia lo stoccaggio della AMF di servizio.
- Il supporto della continuità del servizio e della sessione di comunicazione, ossia lo stoccaggio della SMF assegnata per la sessione di comunicazione corrente.
- La gestione della consegna degli SMS.
- Diversi UDM possono servire un singolo utente nell'ambito di diverse transazioni.
UDR (da inglese Unified Data Repository — repository di dati unificati) — garantisce lo stoccaggio di vari dati utente e costituisce, di fatto, una banca dati di tutti gli abbonati della rete.
UDSF (da inglese Unstructured Data Storage Function — funzione di archiviazione di dati non strutturati) — garantisce il salvataggio da parte dei moduli AMF dei contesti attuali degli utenti registrati. Queste informazioni possono generalmente essere rappresentate come dati di struttura indefinita. I contesti degli utenti possono essere utilizzati per garantire la continuità e l'interruzione delle sessioni degli abbonati sia durante l'uscita pianificata di uno degli AMF che in caso di emergenza. In entrambi i casi, l'AMF di riserva "prenderà" il servizio, utilizzando i contesti salvati in USDF.
La combinazione di UDR e UDSF su un'unica piattaforma fisica è una realizzazione tipica di queste funzioni di rete.
PCF (da inglese Policy Control Function — funzione di controllo delle politiche) — define e assegna agli utenti diverse politiche di servizio, inclusi i parametri QoS e le regole di fatturazione. Ad esempio, per il trasferimento di un determinato tipo di traffico possono essere creati dinamicamente canali virtuali con caratteristiche diverse. In questo caso, possono essere considerati le esigenze del servizio richiesto dall'abbonato, il livello di congestione della rete, il volume del traffico consumato, ecc.
NEF (da inglese Network Exposure Function — funzione di esposizione della rete) — garantisce:
- L'organizzazione di un'interazione sicura tra piattaforme e applicazioni esterne e il core di rete.
- Gestione dei parametri QoS e delle regole di tariffazione per utenti specifici.
SEAF (in inglese Security Anchor Function) - insieme all'AUSF garantisce l'autenticazione degli utenti durante la loro registrazione nella rete con qualsiasi tecnologia di accesso.
AUSF (in inglese Authentication Server Function) - funge da server di autenticazione, ricevendo e elaborando le richieste da SEAF e inoltrandole all'ARPF.
ARPF (in inglese Authentication Credential Repository and Processing Function) - garantisce l'archiviazione delle chiavi segrete personali (KI) e dei parametri degli algoritmi crittografici, nonché la generazione dei vettori di autenticazione secondo gli algoritmi 5G-AKA o -AKA. Si trova in un data center protetto da attacchi fisici esterni ed è generalmente integrato con l'UDM.
SCMF (in inglese Security Context Management Function) - gestisce il ciclo di vita del contesto di sicurezza 5G. ) - garantisce la gestione del ciclo di vita del contesto di sicurezza 5G.
SPCF (in inglese Security Policy Control Function) - garantisce l’allineamento e l'applicazione delle politiche di sicurezza riguardo a utenti specifici. Questo tiene conto delle capacità della rete, delle capacità dell'hardware dell'utente e delle esigenze di un servizio specifico (ad esempio, i livelli di protezione forniti da un servizio di comunicazione critica possono differire da quelli offerti da un servizio di accesso a Internet wireless). L'applicazione delle politiche di sicurezza comprende: scelta dell'AUSF, scelta dell'algoritmo di autenticazione, scelta degli algoritmi di crittografia dei dati e di controllo dell'integrità, definizione della lunghezza e del ciclo di vita delle chiavi.
SIDF (in inglese Subscription Identifier De-concealing Function) - consente di estrarre l'identificatore permanente della sottoscrizione dell'utente (SUPI) dall'identificatore nascosto ( ), ottenuto durante la richiesta di autenticazione "Auth Info Req".
Requisiti di sicurezza fondamentali per le reti di comunicazione 5G
Scopri di piùAutenticazione dell'utente: La rete 5G di servizio deve autenticare il SUPI dell'utente durante il processo 5G AKA tra l'utente e la rete.
Autenticazione della rete di servizio: L'utente deve autenticare l'identificatore della rete 5G di servizio, con l'autenticazione garantita dall'uso riuscito delle chiavi ottenute in seguito alla procedura 5G AKA.
Autorizzazione dell'utente: La rete di servizio deve autorizzare l'utente in base al profilo dell'utente ricevuto dalla rete del proprio operatore domestico.
Autorizzazione della rete di servizio da parte della rete dell'operatore domestico: All'utente deve essere fornita conferma che è connesso a una rete di servizio autorizzata dall'operatore domestico per fornire assistenza. L'autorizzazione è implicita nel senso che viene garantita dal completamento riuscito della procedura 5G AKA.
Autorizzazione della rete di accesso da parte della rete dell'operatore domestico: All'utente deve essere fornita conferma che è connesso a una rete di accesso autorizzata dall'operatore domestico per fornire servizi. L'autorizzazione è implicita nel senso che è garantita dall'installazione riuscita della sicurezza della rete di accesso. Questo tipo di autorizzazione deve essere applicato a qualsiasi tipo di rete di accesso.
Servizi di emergenza non autenticati: Per conformarsi ai requisiti normativi in alcune regioni, le reti 5G devono fornire l'accesso non autenticato ai servizi di emergenza.
Nucleo della rete e rete di accesso radio: Nel nucleo della rete 5G e nella rete di accesso radio 5G deve essere supportato l'uso di algoritmi di crittografia e integrità con chiavi lunghe 128 bit per garantire la sicurezza e . Le interfacce di rete, invece, devono supportare chiavi di crittografia a 256 bit.
Requisiti di sicurezza fondamentali per l'equipaggiamento dell'utente
Scopri di più
- L'equipaggiamento dell'utente deve supportare crittografia, integrità e protezione contro attacchi di ripetizione dei dati utente trasmessi tra esso e la rete di accesso radio.
- L'equipaggiamento dell'utente deve attivare i meccanismi di crittografia e integrità dei dati secondo le istruzioni ricevute dalla rete di accesso radio.
- L'equipaggiamento dell'utente deve supportare crittografia, integrità e protezione contro attacchi di ripetizione del traffico di segnalazione RRC e NAS.
- L'equipaggiamento dell'utente deve supportare i seguenti algoritmi crittografici: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
- L'equipaggiamento dell'utente può supportare i seguenti algoritmi crittografici: 128-NEA3, 128-NIA3.
- L'equipaggiamento dell'utente deve supportare i seguenti algoritmi crittografici: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2 nel caso in cui supporti la connessione alla rete di accesso radio E-UTRA.
- La protezione della riservatezza dei dati degli utenti trasmessi tra l'equipaggiamento dell'utente e la rete di accesso radio è opzionale, ma deve essere garantita in tutti i casi in cui ciò è consentito dalle normative.
- La protezione della riservatezza del traffico di segnalazione RRC e NAS è opzionale.
- La chiave permanente dell'utente deve essere protetta e deve essere conservata in componenti dell'equipaggiamento dell'utente ben protetti.
- L'identificativo permanente dell'abbonato non deve essere trasmesso in chiaro attraverso la rete di accesso radio, eccetto le informazioni necessarie per la corretta instradamento (ad esempio e ).
- La chiave pubblica della rete dell'operatore domestico, l'identificativo di questa chiave, l'identificativo dello schema di protezione e l'identificativo di instradamento devono essere conservati in .
A ogni algoritmo di crittografia corrisponde un numero binario:
- «0000»: NEA0 — algoritmo di cifratura nullo
- «0001»: 128-NEA1 — 128 bit algoritmo basato su 3G
- «0010» 128-NEA2 — 128 bit algoritmo basato
- «0011» 128-NEA3 — 128 bit algoritmo basato.
La cifratura dei dati utilizzando 128-NEA1 e 128-NEA2
P.S. Lo schema è stato preso da
Produzione di codici di integrità con gli algoritmi 128-NIA1 e 128-NIA2 per garantire l'integrità
P.S. Lo schema è stato preso da
Requisiti di sicurezza fondamentali per le funzioni di rete 5G
Scopri di più
- AMF deve supportare l'autenticazione primaria utilizzando SUCI.
- SEAF deve supportare l'autenticazione primaria utilizzando SUCI.
- UDM e ARPF devono conservare la chiave permanente dell'utente e garantire la sua protezione da furti.
- AUSF deve fornire SUPI alla rete locale solo in caso di autenticazione primaria riuscita utilizzando SUCI.
- NEF non deve trasmettere informazioni nascoste sul nucleo della rete al di fuori del dominio di sicurezza dell'operatore.
Procedure di sicurezza fondamentali
Domini di fiducia
Nelle reti di quinta generazione, la fiducia negli elementi di rete diminuisce man mano che gli elementi si allontanano dal nucleo della rete. Questo concetto influisce sulle decisioni implementate nell'architettura di sicurezza 5G. Pertanto, si può parlare di un modello di fiducia delle reti 5G, che definisce il comportamento dei meccanismi di sicurezza della rete.
Dal lato dell'utente, il dominio di fiducia è formato da UICC e USIM.
Dal lato della rete, il dominio di fiducia ha una struttura più complessa.
La rete di accesso radio è suddivisa in due componenti — DU (da Distributed Units — unità distribuite della rete) e CU (da Central Units — unità centrali della rete). Insieme formano gNB — interfaccia radio della stazione base della rete 5G. I DU non hanno accesso diretto ai dati degli utenti, poiché possono essere distribuiti in segmenti di infrastruttura non protetta. I CU, d'altra parte, devono essere distribuiti in segmenti protetti della rete, poiché sono responsabili per la terminazione del traffico dei meccanismi di sicurezza AS. Nel nucleo della rete si trova AMF, che termina il traffico dei meccanismi di sicurezza NAS. Nella specifica attuale 3GPP 5G Phase 1 è descritta la combinazione AMF con la funzione di sicurezza SEAF, che contiene la chiave radice (nota anche come «chiave ancorata») della rete visitata (operatori). AUSF è responsabile della memorizzazione della chiave ottenuta dopo una riuscita autenticazione. È necessaria per il riutilizzo nei casi di connessione simultanea dell'utente a più reti di accesso radio. ARPF conserva le credenziali degli utenti ed è analoga a USIM per gli abbonati. UDR e UDM conservano le informazioni sugli utenti che utilizzano per determinare la logica di generazione di credenziali, identificatori degli utenti, garantire la continuità della sessione, ecc.
Gerarchia delle chiavi e schemi di distribuzione
Nelle reti di quinta generazione, a differenza delle reti 4G-LTE, la procedura di autenticazione ha due componenti: autenticazione primaria e secondaria. L'autenticazione primaria è obbligatoria per tutti i dispositivi degli utenti che si connettono alla rete. L'autenticazione secondaria può essere eseguita su richiesta di reti esterne, se l'abbonato si connette a queste.
Dopo il completamento riuscito dell'autenticazione primaria e la generazione della chiave condivisa K tra l'utente e la rete, da K viene estratta KSEAF — una chiave ancorata speciale della rete di supporto. In seguito, da questa chiave vengono generate chiavi che garantiscono la riservatezza e l'integrità dei dati del traffico di segnalazione RRC e NAS.
Schema con spiegazioni
Designazioni:
CK (inglese Cipher Key)
IK (inglese Integrity Key) — chiave utilizzata nei meccanismi di protezione dell'integrità dei dati.
CK’ (inglese Cipher Key) — un'altra chiave crittografica derivata da CK per il meccanismo EAP-AKA.
IK’ (inglese Integrity Key) — un'altra chiave utilizzata nei meccanismi di protezione dell'integrità dei dati per EAP-AKA.
KAUSF — generata dalla funzione ARPF e dall'hardware dell'utente da CK e IK durante 5G AKA e EAP-AKA.
KSEAF — chiave ancorata, ottenuta dalla funzione AUSF dalla chiave KAMFAUSF.
KAMF — chiave ottenuta dalla funzione SEAF dalla chiave KSEAF.
KNASint, KNASenc — chiavi ottenute dalla funzione AMF dalla chiave KAMF per la protezione del traffico segnaletico NAS.
KRRCint, KRRCenc — chiavi ottenute dalla funzione AMF dalla chiave KAMF per la protezione del traffico segnaletico RRC.
KUPint, KUPenc — chiavi ottenute dalla funzione AMF dalla chiave KAMF per la protezione del traffico segnaletico AS.
NH — chiave intermedia, ottenuta dalla funzione AMF dalla chiave KAMF per garantire la sicurezza dei dati durante i passaggi.
KgNB — chiave ottenuta dalla funzione AMF dalla chiave KAMF per garantire la sicurezza dei meccanismi di mobilità.
Schemi di generazione SUCI da SUPI e viceversa
Schemi per ottenere SUPI e SUCI
Generazione SUCI da SUPI e SUPI da SUCI:
Autenticazione
Autenticazione primaria
Nelle reti 5G, EAP-AKA e 5G AKA sono meccanismi standard di autenticazione primaria. Suddividiamo il meccanismo di autenticazione primaria in due fasi: la prima si occupa dell'inizio dell'autenticazione e della scelta del metodo, la seconda della mutuale autenticazione tra utente e rete.
Inizio
L'utente invia una richiesta di registrazione a SEAF, contenente l'identificativo nascosto dell'utente SUCI.
SEAF invia ad AUSF un messaggio di richiesta di autenticazione (Nausf_UEAuthentication_Authenticate Request), contenente SNN (inglese Serving Network Name — nome della rete servente) e SUPI o SUCI.
AUSF verifica se SEAF ha il permesso di utilizzare il SNN richiesto. Se la rete servente non è autorizzata a utilizzare il SNN specificato, AUSF risponde con un messaggio di errore di autorizzazione "Serving network not authorized" (Nausf_UEAuthentication_Authenticate Response).
La richiesta di credenziali per l'autenticazione da parte di AUSF a UDM, ARPF o SIDF viene effettuata tramite SUPI o SUCI e SNN.
In base a SUPI o SUCI e alle informazioni utente, UDM/ARPF sceglie il metodo di autenticazione da utilizzare e fornisce le credenziali dell'utente.
Autenticazione reciproca
Quando si utilizza qualsiasi metodo di autenticazione, le funzioni di rete UDM/ARPF devono generare un vettore di autenticazione (inglese AV).
EAP-AKA: UDM/ARPF genera inizialmente un vettore di autenticazione con il bit di separazione AMF = 1, quindi genera CK’ e IK’ di CK, IK e SNN e compone un nuovo vettore di autenticazione AV (RAND, AUTN, XRES*, CK’, IK’), che viene inviato ad AUSF specificando di utilizzarlo solo per EAP-AKA.
5G AKA: UDM/ARPF riceve la chiave KAUSF di CK, IK e SNN, quindi genera il 5G HE AV (inglese 5G Home Environment Authentication Vector). Il vettore di autenticazione 5G HE AV (RAND, AUTN, XRES, KAUSF) viene inviato ad AUSF specificando di utilizzarlo solo per 5G AKA.
Dopo, AUSF ottiene la chiave ancorata KSEAF dalla chiave KAUSF e invia a SEAF una richiesta "Challenge" nel messaggio "Nausf_UEAuthentication_Authenticate Response", contenente inoltre RAND, AUTN e RES*. Successivamente viene effettuato il trasferimento di RAND e AUTN all'attrezzatura dell'utente tramite un messaggio protetto di segnalazione NAS. L'USIM dell'utente calcola RES* dai RAND e AUTN ricevuti e lo invia a SEAF. SEAF inoltra questo valore ad AUSF per la verifica.
AUSF confronta l'XRES* memorizzato con il RES* ricevuto dall'utente. In caso di corrispondenza, AUSF e UDM nella rete domestica dell'operatore vengono informati del successo dell'autenticazione, e l'utente e SEAF generano indipendentemente la chiave KAMF di KSEAF e SUPI per la comunicazione futura.
Autenticazione secondaria
Lo standard 5G supporta un'autenticazione secondaria opzionale basata su EAP-AKA tra l'attrezzatura dell'utente e la rete esterna di trasmissione dati. In questo caso, SMF funge da autenticatore EAP e si basa sull'operato Avviene l'autenticazione primaria obbligatoria dell'utente nella rete domestica e si genera un contesto di sicurezza NAS comune con AMF.
- L'utente invia a AMF una richiesta per stabilire una sessione.
- AMF invia una richiesta per stabilire una sessione a SMF specificando il SUPI dell'utente.
- SMF verifica le credenziali dell'utente in UDM utilizzando il SUPI fornito.
- SMF invia una risposta alla richiesta di AMF.
- SMF avvia la procedura di autenticazione EAP per ottenere il permesso di stabilire la sessione dal server AAA della rete esterna. Per farlo, SMF e l'utente scambiano messaggi per avviare la procedura.
- SMF avvia la procedura di autenticazione EAP per ricevere il permesso di stabilire una sessione dal server AAA della rete esterna. A tal fine, SMF e l'utente scambiano messaggi per iniziare la procedura.
- L'utente e il server AAA della rete esterna scambiano messaggi per effettuare l'autenticazione e l'autorizzazione dell'utente. In questo caso, l'utente invia messaggi a SMF, che a sua volta scambia messaggi con la rete esterna attraverso l'UPF.
Conclusione
Sebbene l'architettura di sicurezza del 5G si basi sul riutilizzo di tecnologie esistenti, deve affrontare nuove sfide. Un numero enorme di dispositivi IoT, confini di rete ampliati e elementi di architettura decentralizzata sono solo alcuni dei principi chiave dello standard 5G, che stimolano l'immaginazione dei criminali informatici.
Lo standard principale per l'architettura di sicurezza del 5G — — contiene i punti chiave sul funzionamento dei meccanismi e delle procedure di sicurezza. In particolare, descrive il ruolo di ciascuna VNF nella protezione dei dati degli utenti e dei nodi di rete, nella generazione delle chiavi crittografiche e nell'esecuzione della procedura di autenticazione. Ma anche questo standard non risponde alle domande urgenti sulla sicurezza che si pongono agli operatori di rete, specialmente man mano che le reti di nuova generazione vengono sviluppate e messe in produzione.
A questo proposito, si spera che le difficoltà nella gestione e nella protezione delle reti di quinta generazione non ricadano sugli utenti comuni, ai quali si promettono velocità di trasferimento e tempi di risposta come quelli del figlio della migliore amica di mamma, già impaziente di testare tutte le potenzialità dichiarate delle reti di nuova generazione.
Link utili
Fonte: habr.com
