È ovvio che intraprendere lo sviluppo di un nuovo standard di comunicazione senza considerare i meccanismi di sicurezza sia un'impresa estremamente discutibile e inutile.
Architettura della sicurezza 5G è un insieme di meccanismi e procedure di sicurezza implementate in e che coprono tutti i componenti della rete, dal core agli interfaccial radio.
Le reti di quinta generazione sono, nella loro essenza, un'evoluzione . Ai più significativi cambiamenti hanno subito le tecnologie di accesso radio. Per le reti di quinta generazione è stata sviluppata una nuova (Radio Access Technology) — . Per quanto riguarda il core della rete, esso ha subito cambiamenti non così significativi. In questo contesto, l'architettura della sicurezza delle reti 5G è stata progettata enfatizzando il riutilizzo delle tecnologie appropriate adottate nello standard 4G LTE.
Tuttavia, vale la pena notare che la rivalutazione di minacce così note, come attacchi alle interfacce radio e al piano di segnalazione ( plane), attacchi DDOS, attacchi Man-In-The-Middle, ecc., ha spinto i fornitori di servizi di telecomunicazione a sviluppare nuovi standard e integrare meccanismi di sicurezza completamente nuovi nelle reti di quinta generazione.
Prerequisiti
Nel 2015, l'Unione internazionale delle telecomunicazioni ha redatto il primo piano globale di sviluppo delle reti di quinta generazione, per cui la questione dello sviluppo dei meccanismi e delle procedure di sicurezza nelle reti 5G è diventata particolarmente urgente.
La nuova tecnologia prometteva velocità di trasmissione dati davvero impressionanti (superiori a 1 Gbit/s), un ritardo inferiore a 1 ms e la possibilità di connettere simultaneamente circa 1 milione di dispositivi in un raggio di 1 km2. Questi requisiti estremamente elevati imposti alle reti di quinta generazione si riflettono anche sui principi della loro organizzazione.
Il principale di essi è diventata la decentralizzazione, che implicava la collocazione di numerosi database locali e centri di elaborazione alla periferia della rete. Questo ha permesso di minimizzare i ritardi nella -nelle comunicazioni e alleggerire il nucleo della rete a causa della gestione di un enorme numero di dispositivi IoT. In questo modo, il confine delle reti di nuova generazione si allargava fino alle stazioni base, consentendo di creare centri locali di comunicazione e di fornire servizi cloud senza il rischio di ritardi critici o interruzioni del servizio. Naturalmente, questo approccio modificato all'organizzazione delle reti e al servizio clienti ha suscitato l'interesse dei malintenzionati, poiché apriva nuove opportunità per attacchi sia alle informazioni riservate degli utenti che ai componenti stessi della rete, con l'obiettivo di causare interruzioni del servizio o di catturare le risorse computazionali dell'operatore.
Principali vulnerabilità delle reti di quinta generazione
Superficie di attacco ampia
Ulteriori informazioniNella costruzione delle reti di telecomunicazioni di terza e quarta generazione, gli operatori di rete erano solitamente limitati a lavorare con uno o più fornitori, che fornivano un insieme integrato di hardware e software. Ciò significava che tutto poteva funzionare, per così dire, "fuori dalla scatola" — era sufficiente installare e configurare l'hardware acquistato dal fornitore; non c'era bisogno di sostituire o integrare software proprietario. Le attuali tendenze vanno contro questo approccio "classico" e sono indirizzate verso la virtualizzazione delle reti, un approccio multifornitore nella loro costruzione e una varietà di software. Tecnologie come (angl. Software Defined Network) e (angl. Network Functions Virtualization), stanno diventando sempre più popolari, il che porta all'inclusione di un'enorme quantità di software basato su codici sorgenti aperti nei processi e nelle funzioni di gestione delle reti di telecomunicazione. Questo dà ai malintenzionati la possibilità di studiare meglio la rete dell'operatore e di identificare un numero maggiore di vulnerabilità, aumentando così la superficie di attacco delle reti di nuova generazione rispetto a quelle attuali.
Un gran numero di dispositivi IoT
Ulteriori informazioniEntro il 2021, circa il 57% dei dispositivi connessi alle reti 5G saranno dispositivi IoT. Ciò significa che la maggior parte degli host avrà capacità crittografiche limitate (vedi punto 2) e, di conseguenza, saranno vulnerabili ad attacchi. L'enorme numero di tali dispositivi aumenterà il rischio di diffusione di botnet e darà la possibilità di eseguire attacchi DDoS ancora più potenti e distribuiti.
Capacità crittografiche limitate dei dispositivi IoT
Ulteriori informazioniCome già detto, le reti di quinta generazione utilizzano attivamente i dispositivi periferici, che consentono di ridurre parte del carico dal nucleo della rete, riducendo così la latenza. Questo è essenziale per servizi importanti come la gestione dei veicoli autonomi, il sistema di allerta rapida e altro, per i quali garantire una latenza minima è fondamentale, poiché da questo dipende la vita umana. A causa della connessione di un gran numero di dispositivi IoT, che, a causa delle loro dimensioni ridotte e del basso consumo energetico, hanno risorse computazionali molto limitate, le reti 5G diventano vulnerabili ad attacchi mirati al controllo e alla successiva manipolazione di tali dispositivi. Ad esempio, sono possibili scenari di infezione di dispositivi IoT che fanno parte del sistema «», da parte di tipi di malware come . Sono inoltre possibili scenari di intercettazione del controllo dei veicoli autonomi, che ricevono comandi e informazioni di navigazione tramite il "cloud". Formalmente, questa vulnerabilità è dovuta alla decentralizzazione delle reti di nuova generazione, ma il punto successivo evidenzierà il problema della decentralizzazione in modo più chiaro.
Decentralizzazione e ampliamento dei confini della rete
Ulteriori informazioniLe periferiche che fungono da nuclei locali della rete gestiscono il routing del traffico degli utenti, l'elaborazione delle richieste e anche la cache locale e l'archiviazione dei dati degli utenti. In questo modo, i confini delle reti di quinta generazione si espandono, oltre al nucleo, verso la periferia, comprese le basi di dati locali e le interfacce radio 5G-NR (inglese 5G New Radio). Questo crea la possibilità di attacchi alle risorse di calcolo dei dispositivi locali, che sono intrinsecamente meno protetti rispetto ai nodi centrali del nucleo della rete, con l'obiettivo di provocare un'interruzione del servizio. Ciò può comportare la disconnessione dell'accesso a Internet in intere aree, il malfunzionamento dei dispositivi IoT (ad esempio, nel sistema 'casa intelligente') e l'inaccessibilità del servizio di allerta d'emergenza IMS.
Tuttavia, al momento ETSI e 3GPP hanno già pubblicato oltre 10 standard che riguardano vari aspetti della sicurezza delle reti 5G. La stragrande maggioranza dei meccanismi descritti lì è mirata alla protezione contro le vulnerabilità (incluse quelle descritte sopra). Uno dei principali è lo standard , che descrive l'architettura della sicurezza delle reti di quinta generazione.
Architettura 5G
Iniziamo a considerare i principi chiave dell'architettura delle reti 5G, che permetteranno di rivelare completamente il significato e le aree di responsabilità di ciascun modulo software e di ciascuna funzione di sicurezza del 5G.
- Separazione dei nodi di rete in elementi, che garantiscono il funzionamento dei protocolli (dall'inglese UP — User Plane) e elementi che garantiscono il funzionamento dei protocolli (dall'inglese CP — Control Plane), che aumenta la flessibilità in termini di scalabilità e distribuzione della rete, ovvero è possibile un posizionamento centralizzato o decentralizzato di singoli componenti dei nodi di rete.
- Supporto del meccanismo , basato sui servizi forniti a specifici gruppi di utenti finali.
- Implementazione degli elementi di rete sotto forma di .
- Supporto per accesso simultaneo a servizi centralizzati e locali, ovvero attuazione di concetti di calcolo cloud (dall'inglese ) e calcolo ai margini (dall'inglese ).
- Implementazione convergente, che unisce vari tipi di reti di accesso — 3GPP 5G New Radio e (Wi-Fi ecc.) — con un nucleo di rete unico.
- Supporto di algoritmi e procedure di autenticazione unificate indipendentemente dal tipo di rete di accesso.
- Supporto di funzioni di rete senza stato, in cui la risorsa calcolata è separata dalla memorizzazione delle risorse.
- Supporto del roaming con instradamento del traffico sia attraverso la rete domestica che con 'atterraggio' locale nella rete ospite.
- L'interazione tra le funzioni di rete è rappresentata in due modi: e .
Il concetto di sicurezza delle reti di quinta generazione comprende:
- L'autenticazione dell'utente da parte della rete.
- L'autenticazione della rete da parte dell'utente.
- Il coordinamento delle chiavi crittografiche tra la rete e l'equipaggiamento dell'utente.
- Crittografia e controllo dell'integrità del traffico di segnalazione.
- Crittografia e controllo dell'integrità del traffico dell'utente.
- Protezione dell'identificatore dell'utente.
- Protezione delle interfacce tra i vari elementi della rete in conformità con il concetto di dominio di sicurezza della rete.
- Isolamento dei vari strati del meccanismo e definizione per ogni strato di propri livelli di sicurezza.
- Autenticazione dell'utente e protezione del traffico a livello dei servizi finali (IMS, IoT e altri).
I principali moduli software e le funzioni di sicurezza della rete 5G
AMF (da Access & Mobility Management Function – funzione di gestione dell'accesso e mobilità) – fornisce:
- Organizzazione delle interfacce del piano di controllo.
- Organizzazione dello scambio di traffico di segnalazione , crittografia e protezione dell'integrità dei relativi dati.
- Organizzazione dello scambio di traffico di segnalazione , crittografia e protezione dell'integrità dei relativi dati.
- Gestione della registrazione dell'equipaggiamento dell'utente nella rete e controllo dei possibili stati di registrazione.
- Gestione della connessione dell'equipaggiamento dell'utente con la rete e controllo dei possibili stati.
- Gestione della disponibilità dell'equipaggiamento dell'utente nella rete in stato CM-IDLE.
- Gestione della mobilità dell'equipaggiamento dell'utente nella rete in stato CM-CONNECTED.
- Trasferimento di messaggi brevi tra l'equipaggiamento dell'utente e SMF.
- Gestione dei servizi di geolocalizzazione.
- Assegnazione dell'identificatore del flusso per l'interazione con EPS.
SMF (funzione di gestione delle sessioni) – fornisce:
- Gestione delle sessioni di comunicazione, ovvero creazione, modifica e rilascio della sessione, inclusa la supporto del tunnel tra la rete di accesso e UPF.
- Distribuzione e gestione degli indirizzi IP dell'attrezzatura dell'utente.
- Scelta del gateway UPF da utilizzare.
- Organizzazione dell'interazione con il PCF.
- Gestione dell'applicazione delle politiche .
- Configurazione dinamica dell'attrezzatura dell'utente tramite i protocolli DHCPv4 e DHCPv6.
- Controllo della raccolta dei dati tariffari e organizzazione dell'interazione con il sistema di billing.
- Senza soluzione di continuità nella fornitura dei servizi (da inglese. ).
- Interazione con reti ospiti nell'ambito di roaming.
UPF (inglese. User Plane Function — funzione del piano utente) — garantisce:
- Interazione con reti esterne di trasmissione dati, incluso l'accesso a Internet globale.
- Instradamento dei pacchetti degli utenti.
- Marcatura dei pacchetti in base alle politiche QoS.
- Diagnosi dei pacchetti degli utenti (ad esempio, rilevamento delle applicazioni basato su firme).
- Fornitura di report sull'utilizzo del traffico.
- UPF è anche un punto di ancoraggio per supportare la mobilità sia all'interno di una singola tecnologia che tra tecnologie di accesso radio diverse.
UDM (inglese. Unified Data Management — gestione unificata dei dati) — garantisce:
- Gestione dei dati dei profili utente, compreso lo storage e la modifica dell'elenco dei servizi disponibili per gli utenti e dei relativi parametri.
- Gestione
- Generazione delle credenziali di autenticazione 3GPP .
- Autorizzazione all'accesso basata sui dati del profilo (ad esempio, limitazione del roaming).
- Gestione della registrazione dell'utente, ovvero storage dell'AMF di assistenza.
- Supporto della continuità del servizio e della sessione di comunicazione, ovvero storage dell'SMF assegnato alla sessione di comunicazione attuale.
- Gestione della consegna degli SMS.
- Diversi UDM possono servire uno stesso utente nell'ambito di transazioni diverse.
UDR (inglese. Unified Data Repository — repository unificato dei dati) — garantisce lo storage di vari dati degli utenti ed è, di fatto, un database di tutti gli abbonati della rete.
UDSF (inglese Funzione di Archiviazione Dati Non Strutturati — funzione che consente di conservare i contesti attuali degli utenti registrati nei moduli AMF. Questa informazione può essere rappresentata come dati di struttura indefinita. I contesti degli utenti possono essere utilizzati per garantire la continuità e l'ininterrottezza delle sessioni degli abbonati sia durante l'interruzione programmata di un servizio di uno dei AMF, sia in caso di un'emergenza. In entrambi i casi, un AMF di riserva "prenderà" il servizio, utilizzando i contesti memorizzati nel USDF.
La combinazione di UDR e UDSF su un'unica piattaforma fisica è un'implementazione tipica di queste funzioni di rete.
PCF (inglese Funzione di Controllo Politiche — funzione che forma e assegna agli utenti vari politiche di servizio, comprese le specifiche QoS e le regole di tariffazione. Ad esempio, per il trasferimento di un certo tipo di traffico, possono essere creati dinamicamente canali virtuali con diverse caratteristiche. Durante questo processo, possono essere considerati i requisiti del servizio richiesto dall'abbonato, il livello di congestione della rete, la quantità di traffico consumato, ecc.
NEF (inglese Funzione di Esposizione di Rete — funzione che garantisce:
- L'organizzazione di interazioni sicure tra piattaforme e applicazioni esterne e il nucleo della rete.
- La gestione dei parametri QoS e delle regole di tariffazione per utenti specifici.
SEAF (inglese Funzione di Ancora di Sicurezza — funzione che, insieme a AUSF, garantisce l'autenticazione degli utenti durante la loro registrazione nella rete con qualsiasi tecnologia di accesso.
AUSF (inglese Funzione di Server di Autenticazione — funzione che funge da server di autenticazione, ricevendo e elaborando richieste da SEAF e reindirizzandole a ARPF.
ARPF (inglese Funzione di Archiviazione e Elaborazione delle Credenziali di Autenticazione — funzione che garantisce la conservazione delle chiavi segrete personali (KI) e dei parametri degli algoritmi crittografici, nonché la generazione di vettori di autenticazione secondo gli algoritmi 5G-AKA o -AKA. Si trova in un data center del provider di servizi domestici protetto da influenze fisiche esterne e, di solito, è integrato con UDM.
SCMF (inglese Funzione di Gestione del Contesto di Sicurezza — funzione di gestione ) — garantisce la gestione del ciclo di vita del contesto di sicurezza 5G.
SPCF (ingl. Security Policy Control Function — funzione di controllo della politica di sicurezza) — garantisce l'allineamento e l'applicazione delle politiche di sicurezza per utenti specifici. Ciò tiene conto delle capacità della rete, delle capacità dell'attrezzatura dell'utente e dei requisiti di un servizio specifico (ad esempio, i livelli di protezione forniti da un servizio di comunicazioni critiche e un servizio di accesso wireless a banda larga possono differire). L'applicazione delle politiche di sicurezza include: la scelta dell'AUSF, la scelta dell'algoritmo di autenticazione, la scelta degli algoritmi di crittografia dei dati e di controllo dell'integrità, la determinazione della lunghezza e del ciclo di vita delle chiavi.
SIDF (ingl. Subscription Identifier De-concealing Function — funzione di estrazione dell'identificatore utente) — consente l'estrazione di un identificatore di abbonamento permanente per l'utente (ingl. SUPI) da un identificatore nascosto (ingl. ), ricevuto nel contesto di una richiesta di autenticazione «Auth Info Req».
Requisiti di sicurezza principali per le reti di comunicazione 5G
Ulteriori informazioniAutenticazione dell'utente: La rete 5G di servizio deve autenticare il SUPI dell'utente durante il processo 5G AKA tra l'utente e la rete.
Autenticazione della rete di servizio: L'utente deve autenticare l'identificatore della rete 5G di servizio, con l'autenticazione fornita tramite l'uso riuscito delle chiavi ottenute attraverso la procedura 5G AKA.
Autorizzazione dell'utente: La rete di servizio deve autorizzare l'utente in base al profilo utente ottenuto dalla rete dell'operatore domestico.
Autorizzazione della rete di servizio da parte della rete dell'operatore domestico: L'utente deve ricevere conferma di essere collegato a una rete di servizio autorizzata dalla rete dell'operatore domestico per fornire i servizi. L'autorizzazione è implicita nel senso che è garantita dal completamento riuscito della procedura 5G AKA.
Autorizzazione della rete di accesso da parte della rete dell'operatore domestico: All'utente deve essere fornita conferma che è connesso a una rete di accesso autorizzata dall'operatore domestico per fornire servizi. L'autorizzazione è implicita in quanto garantita dall'instaurazione riuscita della sicurezza della rete di accesso. Questo tipo di autorizzazione deve essere applicato a qualsiasi tipo di rete di accesso.
Servizi di emergenza non autenticati: Per soddisfare i requisiti normativi in alcune regioni, le reti 5G devono fornire la possibilità di accesso non autenticato per i servizi di emergenza.
Nucleo di rete e rete di accesso radio: Nel nucleo della rete 5G e nella rete di accesso radio 5G deve essere supportato l'uso di algoritmi di crittografia e integrità con una lunghezza della chiave di 128 bit per garantire la sicurezza e . Le interfacce di rete devono supportare chiavi di crittografia a 256 bit.
Requisiti fondamentali di sicurezza per l'equipaggiamento utente
Ulteriori informazioni
- L'equipaggiamento utente deve supportare la crittografia, la protezione dell'integrità e la protezione contro attacchi di riutilizzo dei dati utente trasmessi tra esso e la rete di accesso radio.
- L'equipaggiamento utente deve attivare i meccanismi di crittografia e protezione dell'integrità dei dati su indicazione ricevuta dalla rete di accesso radio.
- L'equipaggiamento utente deve supportare la crittografia, la protezione dell'integrità e la protezione contro attacchi di riutilizzo del traffico di segnalazione RRC e NAS.
- L'equipaggiamento utente deve supportare i seguenti algoritmi crittografici: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
- L'equipaggiamento utente può supportare i seguenti algoritmi crittografici: 128-NEA3, 128-NIA3.
- L'equipaggiamento utente deve supportare i seguenti algoritmi crittografici: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2 se supporta la connessione alla rete di accesso radio E-UTRA.
- La protezione della riservatezza dei dati utente trasmessi tra l'equipaggiamento utente e la rete di accesso radio è opzionale, ma deve essere garantita in tutti i casi in cui sia consentito da normative.
- La protezione della riservatezza del traffico di segnalazione RRC e NAS è opzionale.
- La chiave utente permanente deve essere protetta e conservata in componenti dell'apparecchiatura utente ben protetti.
- L'identificatore permanente dell'abbonamento non deve essere trasmesso in chiaro attraverso la rete di accesso radio, ad eccezione delle informazioni necessarie per un corretto instradamento (ad esempio e ).
- La chiave pubblica della rete dell'operatore domestico, l'identificatore di tale chiave, l'identificatore dello schema di protezione e l'identificatore di instradamento devono essere conservati in .
A ciascun algoritmo di crittografia viene associato un numero binario:
- «0000»: NEA0 — Algoritmo di cifratura nullo
- «0001»: 128-NEA1 — 128-bit algoritmo basato su 3G
- «0010» 128-NEA2 — 128-bit algoritmo basato
- «0011» 128-NEA3 — 128-bit algoritmo basato.
Crittografia dei dati utilizzando 128-NEA1 e 128-NEA2
P.S. Schema tratto da
Generazione di imiti da parte degli algoritmi 128-NIA1 e 128-NIA2 per garantire l'integrità
P.S. Schema tratto da
Requisiti principali di sicurezza per le funzioni di rete 5G
Ulteriori informazioni
- L'AMF deve supportare l'autenticazione primaria utilizzando SUCI.
- Il SEAF deve supportare l'autenticazione primaria utilizzando SUCI.
- UDM e ARPF devono mantenere la chiave utente permanente e garantirne la protezione contro il furto.
- L'AUSF deve fornire il SUPI alla rete di servizio locale solo in caso di autenticazione primaria riuscita utilizzando SUCI.
- Il NEF non deve inoltrare informazioni nascoste sul nucleo di rete al di fuori del dominio di sicurezza dell'operatore.
Procedure di sicurezza principali
Domini di fiducia
Nelle reti di quinta generazione la fiducia negli elementi di rete diminuisce man mano che gli elementi si allontanano dal nucleo di rete. Questo concetto influisce sulle decisioni attuate nell'architettura di sicurezza del 5G. Pertanto, si può parlare di un modello di fiducia delle reti 5G che definisce il comportamento dei meccanismi di sicurezza della rete.
Dal lato dell'utente, il dominio di fiducia è costituito da UICC e USIM.
Dal lato della rete, il dominio di fiducia ha una struttura più complessa.
La rete di accesso radio è suddivisa in due componenti — DU (da Units Distributed — unità distribuite della rete) e CU (da Central Units — unità centrali della rete). Insieme formano gNB — interfaccia radio della stazione base della rete 5G. I DU non hanno accesso diretto ai dati degli utenti, poiché possono essere implementati in segmenti di infrastruttura non protetta. I CU devono essere invece implementati in segmenti protetti della rete, poiché sono responsabili della terminazione del traffico dei meccanismi di sicurezza AS. Nel nucleo della rete si trova AMF, che termina il traffico dei meccanismi di sicurezza NAS. Nella specifica attuale 3GPP 5G Phase 1 è descritto l'accoppiamento AMF con la funzione di sicurezza SEAF, contenente la chiave radice (nota anche come «chiave ancorata») della rete visitata (di servizio). AUSF è responsabile della memorizzazione della chiave ottenuta dopo una corretta autenticazione. È necessaria per il riutilizzo nei casi di connessione simultanea dell'utente a più reti di accesso radio. ARPF memorizza le credenziali degli utenti ed è l'equivalente della USIM per gli abbonati. UDR e UDM memorizzano le informazioni degli utenti, che vengono utilizzate per determinare la logica di generazione delle credenziali, degli identificatori degli utenti, per garantire la continuità delle sessioni, ecc.
Gerarchia delle chiavi e schemi di distribuzione
Nelle reti di quinta generazione, rispetto alle reti 4G-LTE, la procedura di autenticazione ha due componenti: l'autenticazione primaria e quella secondaria. L'autenticazione primaria è obbligatoria per tutti i dispositivi utente che si connettono alla rete. L'autenticazione secondaria può essere effettuata su richiesta di reti esterne, se l'abbonato si connette a tali reti.
Dopo aver completato con successo l'autenticazione primaria e la generazione della chiave condivisa K tra l'utente e la rete, dalla chiave K viene estratta KSEAF — una speciale chiave ancorata (radice) della rete di servizio. Successivamente, da questa chiave vengono generate le chiavi che garantiscono la riservatezza e l'integrità dei dati del traffico di segnalazione RRC e NAS.
Schema con spiegazioni
Denotazioni:
CK (inglese: Cipher Key)
IK (inglese: Integrity Key) — chiave utilizzata nei meccanismi di protezione dell'integrità dei dati.
CK’ (inglese: Cipher Key) — un'altra chiave crittografica creata da CK per il meccanismo EAP-AKA.
IK’ (inglese: Integrity Key) — un'altra chiave utilizzata nei meccanismi di protezione dell'integrità dei dati per EAP-AKA.
KAUSF — creato dalla funzione ARPF e dall'hardware dell'utente da CK e IK durante 5G AKA e EAP-AKA.
KSEAF — chiave ancorata, ottenuta dalla funzione AUSF dalla chiave KAMFAUSF.
KAMF — chiave ottenuta dalla funzione SEAF dalla chiave KSEAF.
KNASint, KNASenc — chiavi ottenute dalla funzione AMF dalla chiave KAMF per proteggere il traffico di segnalazione NAS.
KRRCint, KRRCenc — chiavi ottenute dalla funzione AMF dalla chiave KAMF per proteggere il traffico di segnalazione RRC.
KUPint, KUPenc — chiavi ottenute dalla funzione AMF dalla chiave KAMF per proteggere il traffico di segnalazione AS.
NH — chiave intermedia ottenuta dalla funzione AMF dalla chiave KAMF per garantire la sicurezza dei dati durante i passaggi.
KgNB — chiave ottenuta dalla funzione AMF dalla chiave KAMF per garantire la sicurezza dei meccanismi di mobilità.
Schemi di derivazione SUCI da SUPI e viceversa
Schemi di ottenimento SUPI e SUCI
Derivazione SUCI da SUPI e SUPI da SUCI:
Autenticazione
Autenticazione primaria
Nelle reti 5G, EAP-AKA e 5G AKA sono meccanismi standard di autenticazione primaria. Scomponiamo il meccanismo di autenticazione primaria in due fasi: la prima si occupa dell'inizio dell'autenticazione e della scelta del metodo di autenticazione, la seconda — dell'autenticazione reciproca tra l'utente e la rete.
Inizio
L'utente invia una richiesta di registrazione a SEAF, contenente un identificatore nascosto dell'abbonamento dell'utente SUCI.
SEAF invia ad AUSF un messaggio di richiesta di autenticazione (Nausf_UEAuthentication_Authenticate Request), che contiene SNN (dal termine inglese Serving Network Name — nome della rete di servizio) e SUPI o SUCI.
AUSF verifica se è consentito all'autenticatore SEAF di utilizzare il SNN fornito. Se la rete di servizio non è autorizzata a utilizzare il SNN, AUSF risponde con un messaggio di errore di autorizzazione "Serving network not authorized" (Nausf_UEAuthentication_Authenticate Response).
La richiesta di credenziali per l'autenticazione da parte di AUSF a UDM, ARPF o SIDF avviene tramite SUPI o SUCI e SNN.
Basandosi su SUPI o SUCI e sulle informazioni dell'utente, UDM/ARPF sceglie il metodo di autenticazione che sarà utilizzato in seguito e fornisce le credenziali dell'utente.
Autenticazione reciproca
Quando si utilizza qualsiasi metodo di autenticazione, le funzioni di rete UDM/ARPF devono generare un vettore di autenticazione (in inglese AV).
EAP-AKA: UDM/ARPF genera prima un vettore di autenticazione con il bit separatore AMF = 1, dopodiché genera CK’ e IK’ da CK, IK e SNN e compone un nuovo vettore di autenticazione AV (RAND, AUTN, XRES*, CK’, IK’), che viene inviato a AUSF con l'indicazione di utilizzarlo solo per EAP-AKA.
5G AKA: UDM/ARPF riceve la chiave KAUSF da CK, IK e SNN, dopodiché genera 5G HE AV (in inglese 5G Home Environment Authentication Vector). Il vettore di autenticazione 5G HE AV (RAND, AUTN, XRES, KAUSF) viene inviato all'AUSF con indicazione di utilizzarlo solo per 5G AKA.
Dopo di ciò, l'AUSF ottiene la chiave di ancoraggio KSEAF dalla chiave KAUSF e invia una richiesta «Challenge» al SEAF nel messaggio «Nausf_UEAuthentication_Authenticate Response», contenente anche RAND, AUTN e RES*. Viene quindi effettuato il trasferimento di RAND e AUTN all'utente tramite un messaggio di segnalazione NAS sicuro. L'USIM dell'utente calcola RES* dai RAND e AUTN ricevuti e lo invia al SEAF. Il SEAF ritrasmette questo valore all'AUSF per verifica.
L'AUSF confronta l'XRES* archiviato con il RES* ricevuto dall'utente. In caso di corrispondenza, l'AUSF e l'UDM nella rete domestica dell'operatore vengono informati dell'autenticazione riuscita, mentre l'utente e il SEAF generano indipendentemente una chiave KAMF da KSEAF e SUPI per ulteriori comunicazioni.
Autenticazione secondaria
Lo standard 5G supporta un'autenticazione secondaria opzionale basata su EAP-AKA tra il dispositivo dell'utente e la rete esterna di trasmissione dati. In questo caso, lo SMF funge da autenticatore EAP e si basa sul funzionamento Si effettua un'autenticazione primaria obbligatoria dell'utente nella rete domestica e si crea un contesto di sicurezza NAS condiviso con l'AMF.
- L'utente invia una richiesta di instaurazione della sessione all'AMF.
- L'AMF invia una richiesta di instaurazione della sessione allo SMF indicando il SUPI dell'utente.
- Lo SMF verifica le credenziali dell'utente nell'UDM utilizzando il SUPI fornito.
- Lo SMF invia una risposta alla richiesta dell'AMF.
- Lo SMF avvia la procedura di autenticazione EAP per ottenere l'autorizzazione per l'instaurazione della sessione dal server AAA della rete esterna. A tal fine, lo SMF e l'utente scambiano messaggi per avviare la procedura.
- L'utente e il server AAA della rete esterna quindi si scambiano messaggi per effettuare l'autenticazione e l'autorizzazione dell'utente. In questo processo, l'utente invia messaggi allo SMF, che a sua volta scambia messaggi con la rete esterna tramite il UPF.
- L'utente e il server AAA della rete esterna quindi si scambiano messaggi per condurre l'autenticazione e l'autorizzazione dell'utente. L'utente invia messaggi all'SMF, che a sua volta scambia messaggi con la rete esterna attraverso l'UPF.
Conclusione
Nonostante l'architettura di sicurezza del 5G si basi sul riutilizzo di tecnologie esistenti, essa deve affrontare compiti completamente nuovi. Un numero enorme di dispositivi IoT, i confini estesi della rete e gli elementi di architettura decentralizzata sono solo alcuni dei principi chiave dello standard 5G, che danno spazio alla fantasia dei criminali informatici.
Lo standard principale per l'architettura di sicurezza del 5G — — contiene i punti chiave per il funzionamento dei meccanismi e delle procedure di sicurezza. In particolare, descrive il ruolo di ciascun VNF nella protezione dei dati degli utenti e dei nodi di rete, nella generazione di chiavi crittografiche e nell'implementazione della procedura di autenticazione. Ma anche questo standard non fornisce risposte alle pressanti questioni di sicurezza che i fornitori di servizi di telecomunicazione devono affrontare sempre più frequentemente, man mano che le reti di nuova generazione si sviluppano e vengono messe in esercizio.
Per questo motivo, si spera che le difficoltà nell'esercizio e nella protezione delle reti di quinta generazione non abbiano alcun impatto sugli utenti normali, a cui viene promessa una velocità di trasmissione e una reattività come quella del figlio della migliore amica della mamma, che non vede l'ora di provare tutte le funzionalità annunciate delle reti di nuova generazione.
Link utili
Fonte: habr.com
