ברור שלקיחת פיתוח של תקן תקשורת חדש מבלי לחשוב על מנגנוני אבטחה היא מאמץ מפוקפק וחסר תועלת ביותר.

ארכיטקטורת אבטחה של 5G - סט של מנגנוני ונהלי אבטחה המיושמים ב רשתות דור 5 ומכסה את כל רכיבי הרשת, מהליבה ועד ממשקי הרדיו.

רשתות דור 5 הן, במהותן, אבולוציה רשתות LTE דור רביעי. טכנולוגיות גישה לרדיו עברו את השינויים המשמעותיים ביותר. עבור רשתות דור 5, חדש דרג (טכנולוגיית גישה לרדיו) - רדיו 5G חדש. באשר לליבה של הרשת, היא לא עברה שינויים כה משמעותיים. בהקשר זה פותחה ארכיטקטורת האבטחה של רשתות 5G תוך שימת דגש על שימוש חוזר בטכנולוגיות רלוונטיות שאומצו בתקן 4G LTE.

עם זאת, ראוי לציין שחשיבה מחודשת על איומים ידועים כגון התקפות על ממשקי אוויר ושכבת האיתות (איתות מטוס), התקפות DDOS, התקפות Man-In-The-Middle וכו', הניעו את מפעילי הטלקום לפתח סטנדרטים חדשים ולשלב מנגנוני אבטחה חדשים לחלוטין ברשתות דור 5.

Предпосылки

בשנת 2015, איגוד התקשורת הבינלאומי הגיב את התוכנית העולמית הראשונה מסוגה לפיתוח רשתות דור חמישי, ולכן נושא פיתוח מנגנוני ונהלי אבטחה ברשתות דור 5 החריף במיוחד.

הטכנולוגיה החדשה הציעה מהירויות העברת נתונים מרשימות באמת (יותר מ-1 Gbps), חביון של פחות מ-1 ms ויכולת לחבר בו-זמנית כמיליון מכשירים ברדיוס של 1 קמ"ר. הדרישות הגבוהות ביותר לרשתות דור 1 באות לידי ביטוי גם בעקרונות הארגון שלהן.

העיקרית שבהן הייתה ביזור, שמשמעותה הצבת מסדי נתונים מקומיים רבים ומרכזי העיבוד שלהם בפריפריה של הרשת. זה איפשר למזער עיכובים כאשר M2M-תקשורת והקלה על ליבת הרשת עקב שירות למספר עצום של מכשירי IoT. כך, הקצה של רשתות הדור הבא התרחב עד לתחנות הבסיס, ואיפשר יצירת מרכזי תקשורת מקומיים ואספקת שירותי ענן ללא סיכון של עיכובים קריטיים או מניעת שירות. מטבע הדברים, הגישה שהשתנתה לרשת ושירות לקוחות עניינה את התוקפים, מכיוון שהיא פתחה בפניהם הזדמנויות חדשות לתקוף הן מידע משתמש סודי והן את רכיבי הרשת עצמם כדי לגרום למניעת שירות או לתפוס את משאבי המחשוב של המפעיל.

נקודות תורפה עיקריות של רשתות דור 5

משטח התקפה גדול

קרא עודבעת בניית רשתות טלקומוניקציה מהדור השלישי והרביעי, מפעילי טלקום היו מוגבלים בדרך כלל לעבודה עם ספק אחד או כמה ספקים שסיפקו מיד סט של חומרה ותוכנה. כלומר, הכל יכול לעבוד, כמו שאומרים, "מחוץ לקופסה" - זה היה מספיק רק להתקין ולהגדיר את הציוד שנרכש מהספק; לא היה צורך להחליף או להוסיף תוכנה קניינית. טרנדים מודרניים מנוגדים לגישה "קלאסית" זו ומכוונות לווירטואליזציה של רשתות, גישה מרובה של ספקים לבנייתן ולמגוון התוכנה שלהן. טכנולוגיות כגון SDN (רשת מוגדרת תוכנה באנגלית) ו NFV (English Network Functions Virtualization), המביאה להכללת כמות עצומה של תוכנות הבנויות על בסיס קודי קוד פתוח בתהליכים ובפונקציות של ניהול רשתות תקשורת. זה נותן לתוקפים את ההזדמנות ללמוד טוב יותר את הרשת של המפעיל ולזהות מספר רב יותר של פגיעויות, אשר בתורו מגדילות את משטח ההתקפה של רשתות מהדור החדש בהשוואה לאלו הנוכחיות.

מספר גדול של מכשירי IoT

קרא עודעד 2021, כ-57% מהמכשירים המחוברים לרשתות 5G יהיו מכשירי IoT. המשמעות היא שלרוב המארחים יהיו יכולות קריפטוגרפיות מוגבלות (ראה נקודה 2) ובהתאם לכך יהיו חשופים להתקפות. מספר עצום של מכשירים כאלה יגדיל את הסיכון להתפשטות רשת הבוטים ויאפשר לבצע התקפות DDoS חזקות ומפוזרות אף יותר.

יכולות קריפטוגרפיות מוגבלות של מכשירי IoT

קרא עודכפי שכבר הוזכר, רשתות דור 5 משתמשות באופן פעיל במכשירים היקפיים, המאפשרים להסיר חלק מהעומס מליבת הרשת ובכך להפחית את השהיה. זה הכרחי עבור שירותים חשובים כמו שליטה על כלי רכב בלתי מאוישים, מערכת התרעה על חירום IMS ואחרים, שעבורם הקפדה על עיכוב מינימלי היא קריטית, כי חיי אדם תלויים בכך. עקב חיבורם של מספר רב של מכשירי IoT, אשר בשל גודלם הקטן וצריכת החשמל הנמוכה, יש להם משאבי מחשוב מוגבלים מאוד, רשתות 5G הופכות לפגיעות להתקפות שמטרתן ליירוט שליטה ובעקבותיה מניפולציה של מכשירים כאלה. לדוגמה, עשויים להיות תרחישים שבהם מכשירי IoT שהם חלק מהמערכת נגועים "בית חכם", סוגי תוכנות זדוניות כגון תוכנות כופר ותוכנות כופר. אפשריים גם תרחישים של יירוט שליטה על כלי רכב בלתי מאוישים המקבלים פקודות ומידע ניווט דרך הענן. פורמלית, פגיעות זו נובעת מביזור של רשתות מהדור החדש, אך הפסקה הבאה תפרט את בעיית הביזור בצורה ברורה יותר.

ביזור והרחבת גבולות הרשת

קרא עודהתקנים היקפיים, הממלאים את התפקיד של ליבות רשת מקומיות, מבצעים ניתוב של תעבורת משתמשים, עיבוד בקשות, כמו גם שמירה מקומית במטמון ואחסון נתוני משתמש. כך, הגבולות של רשתות דור 5 מתרחבים, בנוסף לליבה, לפריפריה, לרבות מסדי נתונים מקומיים וממשקי רדיו 5G-NR (5G New Radio). זה יוצר את ההזדמנות לתקוף את משאבי המחשוב של מכשירים מקומיים, המוגנים אפריורית חלשה יותר מהצמתים המרכזיים של ליבת הרשת, במטרה לגרום למניעת שירות. הדבר עלול להוביל לניתוק גישה לאינטרנט לאזורים שלמים, לתפקוד שגוי של מכשירי IoT (לדוגמה, במערכת בית חכם), וכן לחוסר זמינות של שירות ההתראה החירום של IMS.

עם זאת, ETSI ו-3GPP פרסמו כעת יותר מ-10 תקנים המכסים היבטים שונים של אבטחת רשת 5G. הרוב המכריע של המנגנונים המתוארים שם מכוונים להגנה מפני פגיעויות (כולל אלו שתוארו לעיל). אחד העיקריים שבהם הוא התקן TS 23.501 גרסה 15.6.0, המתאר את ארכיטקטורת האבטחה של רשתות דור 5.

ארכיטקטורת 5G

ראשית, הבה נפנה לעקרונות המפתח של ארכיטקטורת רשתות 5G, שיחשפו עוד יותר את המשמעות ותחומי האחריות של כל מודול תוכנה וכל פונקציית אבטחה של 5G.

• חלוקה של צמתי רשת לאלמנטים המבטיחים את פעולת הפרוטוקולים מטוס מותאם אישית (מהאנגלית UP - User Plane) ואלמנטים המבטיחים את פעולת הפרוטוקולים מטוס שליטה (מהאנגלית CP - Control Plane), מה שמגביר את הגמישות במונחים של קנה מידה ופריסה של הרשת, כלומר מיקום מרוכז או מבוזר של צמתי רשת רכיבים בודדים אפשרי.
• תמיכה במנגנון חיתוך רשת, בהתבסס על השירותים הניתנים לקבוצות ספציפיות של משתמשי קצה.
• הטמעת רכיבי רשת בטופס פונקציות רשת וירטואלית.
• תמיכה בגישה בו-זמנית לשירותים מרכזיים ומקומיים, כלומר הטמעת מושגי ענן (מאנגלית. מחשוב ערפל) וגבול (מאנגלית. קצה) חישובים.
• Реализация מִתכַּנֵס ארכיטקטורה המשלבת סוגים שונים של רשתות גישה - 3GPP 5G רדיו חדש ו ללא 3GPP (Wi-Fi וכו') - עם ליבת רשת אחת.
• תמיכה באלגוריתמים אחידים ונהלי אימות, ללא קשר לסוג רשת הגישה.
• תמיכה בפונקציות רשת חסרות מצב, שבהן המשאב המחושב מופרד ממאגר המשאבים.
• תמיכה בנדידה עם ניתוב תעבורה הן דרך הרשת הביתית (מהנדידה האנגלית בניתוב ביתי) והן עם "נחיתה" מקומית (מהפריצה המקומית האנגלית) ברשת האורחים.
• האינטראקציה בין פונקציות הרשת מיוצגת בשתי דרכים: מוכווני שירות и מִמְשָׁק.

קונספט אבטחת הרשת מהדור החמישי כולל:

• אימות משתמש מהרשת.
• אימות רשת על ידי המשתמש.
• משא ומתן על מפתחות קריפטוגרפיים בין הרשת לציוד המשתמש.
• הצפנה וניטור שלמות של תעבורת איתות.
• הצפנה ובקרה על שלמות תעבורת המשתמש.
• הגנה על מזהה משתמש.
• הגנה על ממשקים בין רכיבי רשת שונים בהתאם לתפיסה של תחום אבטחת רשת.
• בידוד של שכבות שונות של המנגנון חיתוך רשת והגדרת רמות האבטחה של כל שכבה משלה.
• אימות משתמשים והגנת תעבורה ברמת שירותי הקצה (IMS, IoT ואחרים).

מודולי תוכנה מרכזיים ותכונות אבטחת רשת 5G

AMF (מתוך פונקציית ניהול גישה וניידות באנגלית - פונקציית גישה וניידות) - מספקת:

• ארגון ממשקי מטוסי בקרה.
• ארגון חילופי תעבורת איתות RRC, הצפנה והגנה על שלמות הנתונים שלה.
• ארגון חילופי תעבורת איתות NAS, הצפנה והגנה על שלמות הנתונים שלה.
• ניהול רישום ציוד המשתמש ברשת ומעקב אחר מצבי רישום אפשריים.
• ניהול חיבור ציוד המשתמש לרשת ומעקב אחר מצבים אפשריים.
• שלוט בזמינות ציוד המשתמש ברשת במצב CM-IDLE.
• ניהול ניידות של ציוד משתמש ברשת במצב CM-CONNECTED.
• העברת הודעות קצרות בין ציוד משתמש ו-SMF.
• ניהול שירותי מיקום.
• הקצאת מזהה שרשור EPS לאינטראקציה עם EPS.

SMF (באנגלית: Session Management Function - פונקציית ניהול מפגשים) - מספק:

• ניהול מפגשי תקשורת, כלומר יצירה, שינוי ושחרור מפגשים, לרבות שמירה על מנהרה בין רשת הגישה ל-UPF.
• הפצה וניהול של כתובות IP של ציוד משתמש.
• בחירת שער UPF לשימוש.
• ארגון האינטראקציה עם PCF.
• ניהול אכיפת מדיניות QoS.
• תצורה דינמית של ציוד משתמש באמצעות פרוטוקולי DHCPv4 ו-DHCPv6.
• מעקב אחר איסוף נתוני התעריפים וארגון אינטראקציה עם מערכת החיוב.
• אספקה ​​חלקה של שירותים (מאנגלית. SSC - סשן ורציפות שירות).
• אינטראקציה עם רשתות אורחים בתוך נדידה.

UPF (פונקציית מטוס משתמש באנגלית - פונקציית מטוס משתמש) - מספקת:

• אינטראקציה עם רשתות נתונים חיצוניות, כולל האינטרנט העולמי.
• ניתוב מנות משתמש.
• סימון מנות בהתאם למדיניות QoS.
• אבחון חבילות משתמש (לדוגמה, זיהוי יישומים מבוסס-חתימות).
• מתן דוחות על שימוש בתנועה.
• UPF היא גם נקודת העיגון לתמיכה בניידות הן בתוך ובין טכנולוגיות גישה שונות לרדיו.

UDM (ניהול נתונים מאוחדים באנגלית - מסד נתונים מאוחד) - מספק:

• ניהול נתוני פרופיל משתמש, כולל אחסון ושינוי של רשימת השירותים הזמינים למשתמשים והפרמטרים המתאימים להם.
• Управление SUPI
• צור אישורי אימות 3GPP AKA.
• הרשאת גישה מבוססת על נתוני פרופיל (לדוגמה, הגבלות נדידה).
• ניהול רישום משתמש, כלומר אחסון של AMF המשרת.
• תמיכה עבור מפגשי שירות ותקשורת חלקים, כלומר אחסון ה-SMF שהוקצה להפעלת התקשורת הנוכחית.
• ניהול משלוח SMS.
• מספר UDMs שונים יכולים לשרת את אותו משתמש בעסקאות שונות.

UDR (English Unified Data Repository - אחסון נתונים מאוחדים) - מספק אחסון של נתוני משתמשים שונים ומהווה למעשה מסד נתונים של כל מנויי הרשת.

UDSF (פונקציית אחסון נתונים לא מובנים באנגלית - פונקציית אחסון נתונים לא מובנית) - מבטיחה שמודולי AMF שומרים את ההקשרים הנוכחיים של משתמשים רשומים. באופן כללי, מידע זה יכול להיות מוצג כנתונים בעלי מבנה בלתי מוגדר. ניתן להשתמש בהקשרים של משתמשים כדי להבטיח מפגשי מנויים חלקים וללא הפרעות, הן במהלך הנסיגה המתוכננת של אחד מה-AMFs מהשירות, והן במקרה חירום. בשני המקרים, AMF הגיבוי "יאסוף" את השירות באמצעות הקשרים המאוחסנים ב- USDF.

שילוב UDR ו-UDSF על אותה פלטפורמה פיזית הוא יישום טיפוסי של פונקציות הרשת הללו.

PCF (אנגלית: Policy Control Function - Policy Control function) - יוצר ומקצה מדיניות שירות מסוימת למשתמשים, כולל פרמטרי QoS וכללי חיוב. לדוגמה, כדי להעביר סוג כזה או אחר של תעבורה, ניתן ליצור באופן דינמי ערוצים וירטואליים בעלי מאפיינים שונים. יחד עם זאת, ניתן לקחת בחשבון את דרישות השירות המבוקש על ידי המנוי, רמת העומס ברשת, כמות התעבורה הנצרכת וכו'.

NEF (פונקציית חשיפה ברשת באנגלית - פונקציית חשיפה ברשת) - מספקת:

• ארגון אינטראקציה מאובטחת של פלטפורמות ויישומים חיצוניים עם ליבת הרשת.
• נהל פרמטרים של QoS וכללי חיוב עבור משתמשים ספציפיים.

SEAF (English Security Anchor Function - פונקציית אבטחת עוגן) - יחד עם AUSF, מספקים אימות של משתמשים כאשר הם נרשמים ברשת עם כל טכנולוגיית גישה.

AUSF (English Authentication Server Function - פונקציית שרת אימות) - ממלא את התפקיד של שרת אימות שמקבל ומעבד בקשות מ-SEAF ומפנה אותן ל-ARPF.

ARPF (אנגלית: Authentication Credential Repository and Processing Function - פונקציה לאחסון ועיבוד אישורי אימות) - מספקת אחסון של מפתחות סודיים אישיים (KI) ופרמטרים של אלגוריתמים קריפטוגרפיים, כמו גם יצירת וקטורי אימות בהתאם ל-5G-AKA או EAP-AKA. הוא ממוקם במרכז הנתונים של מפעיל הטלקום הביתי, מוגן מפני השפעות פיזיות חיצוניות, וככלל, משולב עם UDM.

SCMF (באנגלית Security Context Management Function - פונקציית ניהול הקשר ביטחוני) - מספק ניהול מחזור חיים עבור הקשר האבטחה של 5G.

SPCF (English Security Policy Control Function - פונקציית ניהול מדיניות אבטחה) - מבטיחה תיאום ויישום של מדיניות אבטחה ביחס למשתמשים ספציפיים. זה לוקח בחשבון את יכולות הרשת, יכולות ציוד המשתמש והדרישות של השירות הספציפי (לדוגמה, רמות ההגנה שמספקות שירות התקשורת הקריטי ושירות הגישה לאינטרנט בפס רחב אלחוטי עשויות להיות שונות). יישום מדיניות האבטחה כולל: בחירת AUSF, בחירת אלגוריתם אימות, בחירת אלגוריתמים של הצפנת נתונים ובקרת שלמות, קביעת אורך ומחזור החיים של מפתחות.

SIDF (English Subscription Identifier De-concealing Function - פונקציית חילוץ מזהה משתמש) - מבטיחה חילוץ של מזהה מנוי קבוע של מנוי (SUPI אנגלי) ממזהה נסתר (אנגלית SUCI), שהתקבלה כחלק מבקשת הליך האימות "Auth Info Req".

דרישות אבטחה בסיסיות עבור רשתות תקשורת 5G

קרא עודאימות משתמש: רשת ה-5G המשרתת חייבת לאמת את ה-SUPI של המשתמש בתהליך AKA של 5G בין המשתמש לרשת.

הגשה של אימות רשת: המשתמש חייב לאמת את מזהה הרשת המשרתת 5G, כאשר האימות מושג באמצעות שימוש מוצלח במפתחות שהושגו באמצעות הליך 5G AKA.

הרשאת משתמש: הרשת המשרתת חייבת לאשר את המשתמש באמצעות פרופיל המשתמש שהתקבל מרשת מפעיל הטלקום הביתי.

אישור הרשת המשרתת על ידי רשת המפעיל הביתי: יש לספק למשתמש אישור שהוא מחובר לרשת שירותים המוסמכת על ידי רשת המפעילים הביתית לספק שירותים. ההרשאה היא מרומזת במובן זה שהיא מובטחת על ידי סיום מוצלח של הליך 5G AKA.

אישור רשת הגישה על ידי רשת המפעיל הביתי: יש לספק למשתמש אישור שהוא מחובר לרשת גישה המוסמכת על ידי רשת המפעילה הביתית לספק שירותים. ההרשאה היא מרומזת במובן זה שהוא נאכף על ידי ביסוס מוצלח של האבטחה של רשת הגישה. יש להשתמש בהרשאה מסוג זה עבור כל סוג של רשת גישה.

שירותי חירום לא מאושרים: כדי לעמוד בדרישות הרגולטוריות באזורים מסוימים, רשתות 5G חייבות לספק גישה לא מאומתת לשירותי חירום.

ליבת רשת ורשת גישה לרדיו: ליבת רשת 5G ורשת גישה לרדיו 5G חייבות לתמוך בשימוש באלגוריתמים של הצפנה ושלמות של 128 סיביות כדי להבטיח אבטחה AS и NAS. ממשקי רשת חייבים לתמוך במפתחות הצפנה של 256 סיביות.

דרישות בטיחות בסיסיות לציוד משתמש

קרא עוד

• ציוד המשתמש חייב לתמוך בהצפנה, הגנת תקינות והגנה מפני התקפות הפעלה חוזרות עבור נתוני המשתמש המועברים בינו לבין רשת הגישה לרדיו.
• ציוד המשתמש חייב להפעיל מנגנוני הגנה על הצפנה ושלמות הנתונים לפי הנחיות רשת הגישה לרדיו.
• ציוד המשתמש חייב לתמוך בהצפנה, הגנת שלמות והגנה מפני התקפות הפעלה חוזרות עבור תעבורת איתות RRC ו-NAS.
• ציוד המשתמש חייב לתמוך באלגוריתמים ההצפנה הבאים: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
• ציוד משתמש יכול לתמוך באלגוריתמים ההצפנה הבאים: 128-NEA3, 128-NIA3.
• ציוד המשתמש חייב לתמוך באלגוריתמים ההצפנה הבאים: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2 אם הוא תומך בחיבור לרשת הגישה לרדיו E-UTRA.
• הגנה על סודיות נתוני המשתמש המועברים בין ציוד המשתמש לרשת הגישה לרדיו היא אופציונלית, אך חייבת להיות מסופקת בכל פעם שמתיר הרגולציה.
• הגנת הפרטיות עבור תעבורת איתות RRC ו-NAS היא אופציונלית.
• המפתח הקבוע של המשתמש חייב להיות מוגן ומאוחסן ברכיבים מאובטחים היטב של ציוד המשתמש.
• אין להעביר את מזהה המנוי הקבוע של מנוי בטקסט ברור דרך רשת הגישה לרדיו, למעט מידע הדרוש לניתוב נכון (לדוגמה MCC и MNC).
• המפתח הציבורי של הרשת של המפעיל הביתי, מזהה המפתח, מזהה סכימת האבטחה ומזהה הניתוב חייבים להיות מאוחסנים ב USIM.

כל אלגוריתם הצפנה משויך למספר בינארי:

• "0000": NEA0 - אלגוריתם הצפנה אפס
• "0001": 128-NEA1 - 128 סיביות SNOW אלגוריתם מבוסס 3G
• "0010" 128-NEA2 - 128 סיביות AES אלגוריתם מבוסס
• "0011" 128-NEA3 - 128 סיביות ZUC אלגוריתם מבוסס

הצפנת נתונים באמצעות 128-NEA1 ו-128-NEA2

נ.ב. המעגל מושאל ממנו TS 133.501

יצירת סימולציות של תוספות על ידי אלגוריתמים 128-NIA1 ו-128-NIA2 כדי להבטיח שלמות

נ.ב. המעגל מושאל ממנו TS 133.501

דרישות אבטחה בסיסיות עבור פונקציות רשת 5G

קרא עוד

• AMF חייב לתמוך באימות ראשי באמצעות SUCI.
• SEAF חייבת לתמוך באימות ראשי באמצעות SUCI.
• UDM ו-ARPF חייבים לאחסן את המפתח הקבוע של המשתמש ולהבטיח שהוא מוגן מפני גניבה.
• ה-AUSF יספק SUPI לרשת המשרתת המקומית רק לאחר אימות ראשוני מוצלח באמצעות SUCI.
• אסור ל-NEF להעביר מידע רשת ליבה מוסתר מחוץ לתחום האבטחה של המפעיל.

נהלי בטיחות בסיסיים

אמון בדומיינים

ברשתות דור 5, האמון ברכיבי רשת פוחת ככל שאלמנטים מתרחקים מליבת הרשת. מושג זה משפיע על ההחלטות המיושמות בארכיטקטורת האבטחה של 5G. לפיכך, אנו יכולים לדבר על מודל אמון של רשתות 5G הקובע את ההתנהגות של מנגנוני אבטחת הרשת.

בצד המשתמש, תחום האמון נוצר על ידי UICC ו-USIM.

בצד הרשת, לתחום האמון יש מבנה מורכב יותר.

רשת הגישה לרדיו מחולקת לשני מרכיבים - DU (מהיחידות מבוזרות באנגלית - יחידות רשת מבוזרות) ו CU (מהיחידות המרכזיות האנגלית - יחידות מרכזיות של הרשת). ביחד הם יוצרים gNB - ממשק רדיו של תחנת הבסיס של רשת 5G. ל-DUs אין גישה ישירה לנתוני משתמשים מכיוון שניתן לפרוס אותם על מקטעי תשתית לא מוגנים. יש לפרוס CUs במקטעי רשת מוגנים, מכיוון שהם אחראים על סיום התעבורה ממנגנוני אבטחת AS. בליבת הרשת נמצאת AMF, אשר מפסיק את התעבורה ממנגנוני אבטחה של NAS. מפרט 3GPP 5G Phase 1 הנוכחי מתאר את השילוב AMF עם פונקציית בטיחות SEAF, המכיל את מפתח השורש (הידוע גם בשם "מפתח העוגן") של הרשת המבקרת (המשרתת). AUSF אחראי לאחסון המפתח שהושג לאחר אימות מוצלח. זה הכרחי לשימוש חוזר במקרים בהם המשתמש מחובר בו זמנית למספר רשתות גישה לרדיו. ARPF מאחסן את אישורי המשתמש ומהווה אנלוגי של USIM למנויים. UDR и UDM לאחסן מידע משתמש, המשמש לקביעת ההיגיון להפקת אישורים, מזהי משתמש, הבטחת המשכיות הפגישה וכו'.

היררכיה של מפתחות ותכניות ההפצה שלהם

ברשתות דור 5, בניגוד לרשתות 4G-LTE, להליך האימות יש שני מרכיבים: אימות ראשוני ומשני. נדרש אימות ראשי עבור כל מכשירי המשתמש המתחברים לרשת. ניתן לבצע אימות משני לפי בקשה מרשתות חיצוניות, אם המנוי מתחבר אליהן.

לאחר סיום מוצלח של אימות ראשי ופיתוח מפתח משותף K בין המשתמש לרשת, KSEAF נשלף ממפתח K - מפתח עוגן (שורש) מיוחד של הרשת המשרתת. לאחר מכן, מפתחות נוצרים ממפתח זה כדי להבטיח את הסודיות והשלמות של נתוני תעבורת איתות RRC ו-NAS.

תרשים עם הסברים
ייעודים:
CK מפתח צופן
IK (באנגלית: Integrity Key) - מפתח המשמש במנגנוני הגנה על שלמות נתונים.
CK' (eng. Cipher Key) - מפתח קריפטוגרפי נוסף שנוצר מ-CK עבור מנגנון EAP-AKA.
IK' (English Integrity Key) - מפתח נוסף המשמש במנגנוני הגנה על שלמות נתונים עבור EAP-AKA.
KAUSF - נוצר על ידי פונקציית ARPF וציוד משתמש מ CK и IK במהלך 5G AKA ו-EAP-AKA.
KSEAF - מפתח עוגן המתקבל על ידי פונקציית AUSF מהמפתח KAMFAUSF.
KAMF - המפתח המתקבל על ידי פונקציית SEAF מהמפתח KSEAF.
KNASint, KNASenc - מקשים המתקבלים על ידי פונקציית AMF מהמקש KAMF כדי להגן על תעבורת איתות NAS.
KRRCint, KRRCenc - מקשים המתקבלים על ידי פונקציית AMF מהמקש KAMF כדי להגן על תעבורת איתות RRC.
KUPint, KUPenc - מקשים המתקבלים על ידי פונקציית AMF מהמקש KAMF כדי להגן על תעבורת איתות AS.
NH - מפתח ביניים המתקבל על ידי פונקציית AMF מהמפתח KAMF כדי להבטיח אבטחת מידע במהלך מסירות.
KgNB - המפתח המתקבל על ידי פונקציית AMF מהמפתח KAMF כדי להבטיח את בטיחות מנגנוני הניידות.

סכמות להפקת SUCI מ-SUPI ולהיפך

תוכניות להשגת SUPI ו-SUCI

הפקה של SUCI מ-SUPI ו-SUPI מ-SUCI:

אימות

אימות ראשי

ברשתות 5G, EAP-AKA ו-5G AKA הם מנגנוני אימות ראשוניים סטנדרטיים. בואו נחלק את מנגנון האימות הראשי לשני שלבים: הראשון אחראי על התחלת אימות ובחירת שיטת אימות, השני אחראי על אימות הדדי בין המשתמש לרשת.

חניכה

המשתמש מגיש בקשת רישום ל-SEAF, המכילה את מזהה המנוי הנסתר של המשתמש SUCI.

SEAF שולחת ל-AUSF הודעת בקשת אימות (Nausf_UEAuthentication_Authenticate Request) המכילה SNN (שם רשת משרתת) ו-SUPI או SUCI.

AUSF בודק אם מבקש האימות של SEAF רשאי להשתמש ב-SNN הנתון. אם הרשת המשרתת אינה מורשית להשתמש ב-SNN זה, אז ה-AUSF מגיב בהודעת שגיאה של הרשאה "שרת רשת לא מורשית" (Nausf_UEAuthentication_Authenticate Response).

אישורי אימות מתבקשים על ידי AUSF ל-UDM, ARPF או SIDF באמצעות SUPI או SUCI ו-SNN.

בהתבסס על SUPI או SUCI ומידע על המשתמש, UDM/ARPF בוחר את שיטת האימות לשימוש הבא ומנפיק את האישורים של המשתמש.

אימות הדדי

בעת שימוש בכל שיטת אימות, פונקציות הרשת UDM/ARPF חייבות ליצור וקטור אימות (AV).

EAP-AKA: UDM/ARPF יוצר תחילה וקטור אימות עם סיביות מפרידה AMF = 1, ולאחר מכן יוצר CK' и IK' של CK, IK ו-SNN ומהווה וקטור אימות AV חדש (RAND, AUTN, XRES*, CK', IK'), שנשלח ל-AUSF עם הוראות להשתמש בו רק עבור EAP-AKA.

5G AKA: UDM/ARPF מקבל את המפתח KAUSF של CK, IK ו-SNN, ולאחר מכן הוא מייצר 5G HE AV. וקטור אימות סביבת בית 5G). וקטור אימות 5G HE AV (RAND, AUTN, XRES, KAUSF) נשלח ל-AUSF עם הוראות להשתמש בו עבור 5G בלבד AKA.

לאחר AUSF זה מתקבל מפתח העוגן KSEAF מהמפתח KAUSF ושולחת בקשה ל-SEAF "אתגר" בהודעה "Nausf_UEAuthentication_Authenticate Response", המכילה גם RAND, AUTN ו-RES*. לאחר מכן, ה-RAND וה-AUTN מועברים לציוד המשתמש באמצעות הודעת איתות מאובטחת של NAS. ה-USIM של המשתמש מחשב את RES* מה-RAND וה-AUTN שהתקבלו ושולח אותו ל-SEAF. SEAF מעביר ערך זה ל-AUSF לצורך אימות.

AUSF משווה את ה-XRES* המאוחסן בו לבין ה-RES* שהתקבל מהמשתמש. אם יש התאמה, ה-AUSF ו-UDM ברשת הביתית של המפעיל מקבלים הודעה על אימות מוצלח, והמשתמש ו-SEAF יוצרים מפתח באופן עצמאי KAMF של KSEAF ו-SUPI להמשך תקשורת.

אימות משני

תקן ה-5G תומך באימות משני אופציונלי המבוסס על EAP-AKA בין ציוד המשתמש לרשת הנתונים החיצונית. במקרה זה, SMF ממלא את התפקיד של מאמת ה-EAP ומסתמך על העבודה AAA-שרת רשת חיצוני המאמת ומאשר את המשתמש.

• אימות משתמש ראשוני חובה ברשת הביתית מתרחש ופותח הקשר אבטחת NAS משותף עם AMF.
• המשתמש שולח בקשה ל-AMF ליצור הפעלה.
• AMF שולח בקשה להקמת הפעלה ל-SMF המציינת את ה-SUPI של המשתמש.
• SMF מאמת את האישורים של המשתמש ב-UDM באמצעות ה-SUPI שסופק.
• ה-SMF שולח תגובה לבקשה מה-AMF.
• SMF יוזם את הליך אימות EAP כדי לקבל הרשאה ליצור הפעלה משרת AAA ברשת החיצונית. לשם כך, ה-SMF והמשתמש מחליפים הודעות כדי להתחיל את ההליך.
• לאחר מכן, המשתמש ושרת AAA של הרשת החיצונית מחליפים הודעות כדי לאמת ולהעניק הרשאה למשתמש. במקרה זה, המשתמש שולח הודעות ל-SMF, אשר בתורו מחליף הודעות עם הרשת החיצונית באמצעות UPF.

מסקנה

למרות שארכיטקטורת האבטחה של 5G מבוססת על שימוש חוזר בטכנולוגיות קיימות, היא מציבה אתגרים חדשים לחלוטין. מספר עצום של מכשירי IoT, גבולות רשת מורחבים ואלמנטים מבוזרים של ארכיטקטורה הם רק חלק מעקרונות המפתח של תקן 5G שנותנים דרור לדמיון של פושעי סייבר.

תקן הליבה לארכיטקטורת אבטחה 5G הוא TS 23.501 גרסה 15.6.0 - מכיל נקודות מפתח להפעלת מנגנוני ונהלי אבטחה. בפרט, הוא מתאר את התפקיד של כל VNF בהבטחת ההגנה על נתוני המשתמש וצמתי הרשת, ביצירת מפתחות קריפטו ובהטמעת הליך האימות. אבל אפילו תקן זה אינו מספק תשובות לבעיות אבטחה דוחקות העומדות בפני מפעילי טלקום לעתים קרובות יותר ככל שרשתות דור חדש מפתחות ומופעלות בצורה אינטנסיבית יותר.

בהקשר זה, אני רוצה להאמין שהקשיים בתפעול והגנה על רשתות דור 5 לא ישפיעו בשום אופן על המשתמשים הרגילים, שמובטחות להם מהירויות שידור ותגובות כמו בן של חברה של אמא וכבר להוטים לנסות את הכל. היכולות המוצהרות של רשתות הדור החדש.

קישורים שימושיים

סדרת מפרט 3GPP
ארכיטקטורת אבטחה 5G
ארכיטקטורת מערכת 5G
5G Wiki
הערות ארכיטקטורת 5G
סקירת אבטחת 5G

מקור: www.habr.com