ცხადია, ახალი საკომუნიკაციო სტანდარტის შემუშავება უსაფრთხოების მექანიზმებზე ფიქრის გარეშე უკიდურესად საეჭვო და უშედეგო მცდელობაა.

5G უსაფრთხოების არქიტექტურა - უსაფრთხოების მექანიზმებისა და პროცედურების ერთობლიობა დანერგილი მე-5 თაობის ქსელები და მოიცავს ქსელის ყველა კომპონენტს, ბირთვიდან რადიო ინტერფეისებამდე.

მე-5 თაობის ქსელები, არსებითად, ევოლუციაა მე-4 თაობის LTE ქსელები. რადიო დაშვების ტექნოლოგიებმა განიცადა ყველაზე მნიშვნელოვანი ცვლილებები. მე-5 თაობის ქსელებისთვის, ახალი რატი (რადიო წვდომის ტექნოლოგია) - 5G ახალი რადიო. რაც შეეხება ქსელის ბირთვს, მას ასეთი მნიშვნელოვანი ცვლილებები არ განუცდია. ამასთან დაკავშირებით, შემუშავებულია 5G ქსელების უსაფრთხოების არქიტექტურა 4G LTE სტანდარტში მიღებული შესაბამისი ტექნოლოგიების ხელახალი გამოყენების აქცენტით.

თუმცა, აღსანიშნავია, რომ ცნობილი საფრთხეების გადახედვა, როგორიცაა თავდასხმები საჰაერო ინტერფეისებზე და სასიგნალო ფენაზე (სიგნალიზაციის თვითმფრინავი), DDOS შეტევები, Man-In-The-Middle თავდასხმები და ა.შ., აიძულა ტელეკომის ოპერატორები შეემუშავებინათ ახალი სტანდარტები და შეექმნათ სრულიად ახალი უსაფრთხოების მექანიზმები მე-5 თაობის ქსელებში.

Предпосылки

2015 წელს საერთაშორისო სატელეკომუნიკაციო კავშირმა შეადგინა პირველი ასეთი გლობალური გეგმა მეხუთე თაობის ქსელების განვითარებისთვის, რის გამოც განსაკუთრებით მწვავე გახდა 5G ქსელებში უსაფრთხოების მექანიზმებისა და პროცედურების შემუშავების საკითხი.

ახალმა ტექნოლოგიამ შესთავაზა მონაცემთა გადაცემის მართლაც შთამბეჭდავი სიჩქარე (1 გბ/წმ-ზე მეტი), 1 ms-ზე ნაკლები შეყოვნება და დაახლოებით 1 მილიონი მოწყობილობის ერთდროულად დაკავშირების შესაძლებლობა 1 კმ2 რადიუსში. მე-5 თაობის ქსელების ასეთი უმაღლესი მოთხოვნები აისახება მათი ორგანიზაციის პრინციპებშიც.

მთავარი იყო დეცენტრალიზაცია, რაც გულისხმობდა მრავალი ადგილობრივი მონაცემთა ბაზის და მათი დამუშავების ცენტრების განთავსებას ქსელის პერიფერიაზე. ამან შესაძლებელი გახადა შეფერხებების მინიმუმამდე შემცირება, როდესაც M2M- კომუნიკაცია და ქსელის ბირთვის განმუხტვა დიდი რაოდენობით IoT მოწყობილობების მომსახურების გამო. ამრიგად, შემდეგი თაობის ქსელების ზღვარი გაფართოვდა საბაზო სადგურებამდე, რაც საშუალებას აძლევდა შეიქმნას ადგილობრივი საკომუნიკაციო ცენტრები და უზრუნველყოს ღრუბლოვანი სერვისები კრიტიკული შეფერხებების ან სერვისზე უარის თქმის რისკის გარეშე. ბუნებრივია, შეცვლილი მიდგომა ქსელისა და მომხმარებელთა მომსახურებისადმი ინტერესი იყო თავდამსხმელებისთვის, რადგან მათ ახალი შესაძლებლობები გაუხსნეს მომხმარებლის კონფიდენციალურ ინფორმაციას და თავად ქსელის კომპონენტებს, რათა გამოეწვიათ სერვისზე უარის თქმა ან ოპერატორის გამოთვლითი რესურსების ხელში ჩაგდება.

მე-5 თაობის ქსელების ძირითადი დაუცველობა

შეტევის დიდი ზედაპირი

სხვამე-3 და მე-4 თაობის სატელეკომუნიკაციო ქსელების აშენებისას, ტელეკომის ოპერატორები ჩვეულებრივ შემოიფარგლებოდნენ მუშაობით ერთ ან რამდენიმე მომწოდებელთან, რომლებიც დაუყოვნებლივ აწვდიდნენ ტექნიკისა და პროგრამული უზრუნველყოფის კომპლექტს. ანუ, ყველაფერი შეიძლება მუშაობდეს, როგორც ამბობენ, "ყუთიდან" - საკმარისი იყო მხოლოდ გამყიდველისგან შეძენილი აღჭურვილობის დაყენება და კონფიგურაცია; არ იყო საჭირო საკუთრების პროგრამული უზრუნველყოფის შეცვლა ან დამატება. თანამედროვე ტენდენციები ეწინააღმდეგება ამ „კლასიკურ“ მიდგომას და მიზნად ისახავს ქსელების ვირტუალიზაციას, მათი კონსტრუქციისა და პროგრამული უზრუნველყოფის მრავალფეროვნების მიდგომას. ტექნოლოგიები, როგორიცაა SDN (ინგლისური Software Defined Network) და NFV (ინგლისური ქსელის ფუნქციების ვირტუალიზაცია), რაც იწვევს საკომუნიკაციო ქსელების მართვის პროცესებსა და ფუნქციებში ღია კოდის საფუძველზე აგებული უზარმაზარი პროგრამული უზრუნველყოფის ჩართვას. ეს აძლევს თავდამსხმელებს შესაძლებლობას უკეთ შეისწავლონ ოპერატორის ქსელი და დაადგინონ დაუცველობის მეტი რაოდენობა, რაც, თავის მხრივ, ზრდის ახალი თაობის ქსელების თავდასხმის ზედაპირს არსებულებთან შედარებით.

IoT მოწყობილობების დიდი რაოდენობა

სხვა2021 წლისთვის 57G ქსელებთან დაკავშირებული მოწყობილობების დაახლოებით 5% იქნება IoT მოწყობილობები. ეს ნიშნავს, რომ ჰოსტების უმეტესობას ექნება შეზღუდული კრიპტოგრაფიული შესაძლებლობები (იხ. პუნქტი 2) და, შესაბამისად, დაუცველი იქნება თავდასხმების მიმართ. ასეთი მოწყობილობების დიდი რაოდენობა გაზრდის ბოტნეტის გავრცელების რისკს და შესაძლებელს გახდის კიდევ უფრო ძლიერი და განაწილებული DDoS შეტევების განხორციელებას.

IoT მოწყობილობების შეზღუდული კრიპტოგრაფიული შესაძლებლობები

სხვაროგორც უკვე აღვნიშნეთ, მე-5 თაობის ქსელები აქტიურად იყენებენ პერიფერიულ მოწყობილობებს, რაც შესაძლებელს ხდის დატვირთვის ნაწილის ამოღებას ქსელის ბირთვიდან და ამით ამცირებს შეყოვნებას. ეს აუცილებელია ისეთი მნიშვნელოვანი სერვისებისთვის, როგორიცაა უპილოტო მანქანების კონტროლი, საგანგებო გაფრთხილების სისტემა IMS და სხვები, ვისთვისაც მინიმალური დაყოვნების უზრუნველყოფა კრიტიკულია, რადგან მასზეა დამოკიდებული ადამიანის სიცოცხლე. IoT მოწყობილობების დიდი რაოდენობის შეერთების გამო, რომლებსაც მცირე ზომისა და ენერგიის დაბალი მოხმარების გამო, აქვთ ძალიან შეზღუდული გამოთვლითი რესურსები, 5G ქსელები დაუცველი ხდება თავდასხმების მიმართ, რომლებიც მიმართულია ასეთი მოწყობილობების კონტროლისა და შემდგომი მანიპულირებისკენ. მაგალითად, შეიძლება არსებობდეს სცენარები, როდესაც IoT მოწყობილობები, რომლებიც სისტემის ნაწილია, ინფიცირებულია.ჭკვიანი სახლი", მავნე პროგრამების ტიპები, როგორიცაა ransomware და ransomware. ასევე შესაძლებელია უპილოტო მანქანების კონტროლის სცენარები, რომლებიც ღრუბლის მეშვეობით იღებენ ბრძანებებს და სანავიგაციო ინფორმაციას. ფორმალურად, ეს დაუცველობა განპირობებულია ახალი თაობის ქსელების დეცენტრალიზაციის გამო, მაგრამ მომდევნო პუნქტში უფრო ნათლად გამოიკვეთება დეცენტრალიზაციის პრობლემა.

ქსელის საზღვრების დეცენტრალიზაცია და გაფართოება

სხვაპერიფერიული მოწყობილობები, რომლებიც თამაშობენ ლოკალური ქსელის ბირთვების როლს, ახორციელებენ მომხმარებლის ტრაფიკის მარშრუტიზაციას, მოთხოვნების დამუშავებას, ასევე მომხმარებლის მონაცემების ლოკალურ ქეშირებას და შენახვას. ამრიგად, მე-5 თაობის ქსელების საზღვრები ფართოვდება, გარდა ბირთვისა, პერიფერიაზე, ადგილობრივი მონაცემთა ბაზებისა და 5G-NR (5G ახალი რადიო) რადიო ინტერფეისების ჩათვლით. ეს ქმნის შესაძლებლობას შეტევა მოხდეს ლოკალური მოწყობილობების გამოთვლით რესურსებზე, რომლებიც აპრიორი უფრო სუსტად არიან დაცული, ვიდრე ქსელის ბირთვის ცენტრალური კვანძები, რათა გამოიწვიოს სერვისზე უარის თქმა. ამან შეიძლება გამოიწვიოს ინტერნეტის წვდომის გათიშვა მთელი ტერიტორიისთვის, IoT მოწყობილობების არასწორი ფუნქციონირება (მაგალითად, ჭკვიანი სახლის სისტემაში), ასევე IMS საგანგებო გაფრთხილების სერვისის მიუწვდომლობა.

თუმცა, ETSI-მ და 3GPP-მა ახლა გამოაქვეყნეს 10-ზე მეტი სტანდარტი, რომელიც მოიცავს 5G ქსელის უსაფრთხოების სხვადასხვა ასპექტს. იქ აღწერილი მექანიზმების აბსოლუტური უმრავლესობა მიზნად ისახავს დაუცველობისგან (მათ შორის ზემოთ აღწერილი) დაცვას. ერთ-ერთი მთავარი სტანდარტია TS 23.501 ვერსია 15.6.0, რომელიც აღწერს მე-5 თაობის ქსელების უსაფრთხოების არქიტექტურას.

5G არქიტექტურა

პირველ რიგში, მოდით მივმართოთ 5G ქსელის არქიტექტურის ძირითად პრინციპებს, რომლებიც შემდგომში სრულად გამოავლენს თითოეული პროგრამული მოდულის და თითოეული 5G უსაფრთხოების ფუნქციის მნიშვნელობასა და პასუხისმგებლობის სფეროებს.

• ქსელის კვანძების დაყოფა ელემენტებად, რომლებიც უზრუნველყოფენ პროტოკოლების მუშაობას საბაჟო თვითმფრინავი (ინგლისური UP-დან - მომხმარებლის თვითმფრინავი) და ელემენტები, რომლებიც უზრუნველყოფენ პროტოკოლების მუშაობას საკონტროლო თვითმფრინავი (ინგლისური CP-დან - Control Plane), რაც ზრდის მოქნილობას ქსელის მასშტაბირებისა და განლაგების თვალსაზრისით, ანუ შესაძლებელია ცალკეული კომპონენტის ქსელის კვანძების ცენტრალიზებული ან დეცენტრალიზებული განთავსება.
• მექანიზმის მხარდაჭერა ქსელის დაჭრა, საბოლოო მომხმარებლების კონკრეტული ჯგუფებისთვის მიწოდებული სერვისების საფუძველზე.
• ქსელის ელემენტების დანერგვა ფორმით ვირტუალური ქსელის ფუნქციები.
• ცენტრალიზებულ და ადგილობრივ სერვისებზე ერთდროული წვდომის მხარდაჭერა, ანუ ღრუბლის კონცეფციების განხორციელება (ინგლისურიდან. ნისლის გამოთვლა) და საზღვარი (ინგლისურიდან. ზღვარზე გამოთვლითი) გამოთვლები.
• Реализация კონვერგენტული არქიტექტურა, რომელიც აერთიანებს სხვადასხვა ტიპის წვდომის ქსელებს - 3GPP 5G ახალი რადიო და არა 3GPP (Wi-Fi და ა.შ.) - ერთი ქსელის ბირთვით.
• ერთიანი ალგორითმებისა და ავთენტიფიკაციის პროცედურების მხარდაჭერა, წვდომის ქსელის ტიპის მიუხედავად.
• უსახელო ქსელის ფუნქციების მხარდაჭერა, რომელშიც გამოთვლილი რესურსი გამოყოფილია რესურსების საცავიდან.
• როუმინგის მხარდაჭერა ტრაფიკის მარშრუტირებით, როგორც სახლის ქსელში (ინგლისური სახლის მარშრუტირებული როუმინგიდან), ასევე ლოკალური „დაჯდომით“ (ინგლისური ლოკალური გარღვევიდან) სტუმრების ქსელში.
• ქსელის ფუნქციებს შორის ურთიერთქმედება წარმოდგენილია ორი გზით: სერვისზე ორიენტირებული и ინტერფეისი.

ქსელის უსაფრთხოების მე-5 თაობის კონცეფცია მოიცავს:

• მომხმარებლის ავტორიზაცია ქსელიდან.
• ქსელის ავტორიზაცია მომხმარებლის მიერ.
• კრიპტოგრაფიული გასაღებების მოლაპარაკება ქსელსა და მომხმარებლის აღჭურვილობას შორის.
• სიგნალიზაციის ტრაფიკის დაშიფვრა და მთლიანობის კონტროლი.
• მომხმარებლის ტრაფიკის მთლიანობის დაშიფვრა და კონტროლი.
• მომხმარებლის ID დაცვა.
• ქსელის სხვადასხვა ელემენტებს შორის ინტერფეისების დაცვა ქსელის უსაფრთხოების დომენის კონცეფციის შესაბამისად.
• მექანიზმის სხვადასხვა ფენების იზოლაცია ქსელის დაჭრა და თითოეული ფენის უსაფრთხოების დონის განსაზღვრა.
• მომხმარებლის ავტორიზაცია და ტრაფიკის დაცვა საბოლოო სერვისების დონეზე (IMS, IoT და სხვა).

ძირითადი პროგრამული მოდულები და 5G ქსელის უსაფრთხოების მახასიათებლები

AMF (ინგლისური Access & Mobility Management ფუნქციიდან - წვდომის და მობილობის მართვის ფუნქციიდან) - უზრუნველყოფს:

• საკონტროლო სიბრტყის ინტერფეისების ორგანიზაცია.
• სასიგნალო მოძრაობის გაცვლის ორგანიზაცია RRC, დაშიფვრა და მისი მონაცემების მთლიანობის დაცვა.
• სასიგნალო მოძრაობის გაცვლის ორგანიზაცია NAS, დაშიფვრა და მისი მონაცემების მთლიანობის დაცვა.
• ქსელში მომხმარებლის აღჭურვილობის რეგისტრაციის მართვა და შესაძლო სარეგისტრაციო მდგომარეობის მონიტორინგი.
• მომხმარებლის აღჭურვილობის ქსელთან კავშირის მართვა და შესაძლო მდგომარეობის მონიტორინგი.
• აკონტროლეთ მომხმარებლის აღჭურვილობის ხელმისაწვდომობა ქსელში CM-IDLE მდგომარეობაში.
• მომხმარებლის აღჭურვილობის მობილურობის მართვა ქსელში CM-CONNECTED მდგომარეობაში.
• მოკლე შეტყობინებების გადაცემა მომხმარებლის აღჭურვილობასა და SMF-ს შორის.
• მდებარეობის სერვისების მართვა.
• თემის ID განაწილება EPS EPS-თან ურთიერთობისთვის.

SMF (ინგლისური: Session Management Function - სესიის მართვის ფუნქცია) - უზრუნველყოფს:

• კომუნიკაციის სესიის მართვა, ანუ სესიების შექმნა, შეცვლა და გამოშვება, მათ შორის გვირაბის შენარჩუნება წვდომის ქსელსა და UPF-ს შორის.
• მომხმარებლის აღჭურვილობის IP მისამართების განაწილება და მართვა.
• UPF კარიბჭის არჩევა გამოსაყენებლად.
• PCF-თან ურთიერთქმედების ორგანიზაცია.
• პოლიტიკის აღსრულების მენეჯმენტი QoS.
• მომხმარებლის აღჭურვილობის დინამიური კონფიგურაცია DHCPv4 და DHCPv6 პროტოკოლების გამოყენებით.
• სატარიფო მონაცემების შეგროვების მონიტორინგი და ბილინგის სისტემასთან ურთიერთქმედების ორგანიზება.
• სერვისების უწყვეტი მიწოდება (ინგლისურიდან. SSC - სესიისა და სერვისის უწყვეტობა).
• ინტერაქცია სტუმრების ქსელებთან როუმინგში.

UPF (ინგლისური მომხმარებლის თვითმფრინავის ფუნქცია - მომხმარებლის თვითმფრინავის ფუნქცია) - უზრუნველყოფს:

• ურთიერთქმედება მონაცემთა გარე ქსელებთან, მათ შორის გლობალურ ინტერნეტთან.
• მომხმარებლის პაკეტების მარშრუტიზაცია.
• პაკეტების მარკირება QoS პოლიტიკის შესაბამისად.
• მომხმარებლის პაკეტის დიაგნოსტიკა (მაგალითად, ხელმოწერებზე დაფუძნებული აპლიკაციის ამოცნობა).
• ტრაფიკის გამოყენების შესახებ მოხსენებების მიწოდება.
• UPF ასევე არის წამყვანი წერტილი მობილურობის მხარდასაჭერად როგორც რადიო წვდომის სხვადასხვა ტექნოლოგიებში, ასევე მათ შორის.

UDM (ინგლისური მონაცემთა ერთიანი მენეჯმენტი - ერთიანი მონაცემთა ბაზა) - უზრუნველყოფს:

• მომხმარებლის პროფილის მონაცემების მართვა, მომხმარებლებისთვის ხელმისაწვდომი სერვისების სიის და მათი შესაბამისი პარამეტრების შენახვა და შეცვლა.
• მენეჯმენტი SUPI
• შექმენით 3GPP ავთენტიფიკაციის სერთიფიკატები AKA.
• ავტორიზაციაზე წვდომა პროფილის მონაცემებზე დაყრდნობით (მაგალითად, როუმინგის შეზღუდვები).
• მომხმარებლის რეგისტრაციის მენეჯმენტი, ანუ მომსახურე AMF-ის შენახვა.
• უწყვეტი სერვისისა და კომუნიკაციის სესიების მხარდაჭერა, ანუ მიმდინარე საკომუნიკაციო სესიაზე მინიჭებული SMF-ის შენახვა.
• SMS მიწოდების მენეჯმენტი.
• რამდენიმე სხვადასხვა UDM-ს შეუძლია ერთსა და იმავე მომხმარებელს მოემსახუროს სხვადასხვა ტრანზაქციის დროს.

UDR (ინგლისური Unified Data Repository - ერთიანი მონაცემების შენახვა) - უზრუნველყოფს მომხმარებლის სხვადასხვა მონაცემების შენახვას და, ფაქტობრივად, არის ქსელის ყველა აბონენტის მონაცემთა ბაზა.

UDSF (ინგლისური Unstructured Data Storage Function - არასტრუქტურირებული მონაცემთა შენახვის ფუნქცია) - უზრუნველყოფს AMF მოდულების შენახვას რეგისტრირებული მომხმარებლების მიმდინარე კონტექსტში. ზოგადად, ეს ინფორმაცია შეიძლება წარმოდგენილი იყოს როგორც განუსაზღვრელი სტრუქტურის მონაცემები. მომხმარებლის კონტექსტები შეიძლება გამოყენებულ იქნას აბონენტთა უწყვეტი და უწყვეტი სესიების უზრუნველსაყოფად, როგორც ერთ-ერთი AMF-ის სერვისიდან დაგეგმილი გაყვანის დროს, ასევე საგანგებო სიტუაციის შემთხვევაში. ორივე შემთხვევაში, სარეზერვო AMF „აიღებს“ სერვისს USDF-ში შენახული კონტექსტების გამოყენებით.

UDR და UDSF ერთსა და იმავე ფიზიკურ პლატფორმაზე გაერთიანება ამ ქსელის ფუნქციების ტიპიური განხორციელებაა.

PCF (ინგლისური: Policy Control Function - პოლიტიკის კონტროლის ფუნქცია) - ქმნის და ანიჭებს მომხმარებლებს მომსახურების გარკვეულ პოლიტიკას, მათ შორის QoS პარამეტრებს და დარიცხვის წესებს. მაგალითად, ამა თუ იმ ტიპის ტრაფიკის გადასაცემად, დინამიურად შეიძლება შეიქმნას ვირტუალური არხები სხვადასხვა მახასიათებლებით. ამასთან, გათვალისწინებულია აბონენტის მიერ მოთხოვნილი სერვისის მოთხოვნები, ქსელის გადატვირთულობის დონე, მოხმარებული ტრაფიკის რაოდენობა და ა.შ.

Nef (ინგლისური ქსელის ექსპოზიციის ფუნქცია - ქსელის ექსპოზიციის ფუნქცია) - უზრუნველყოფს:

• გარე პლატფორმებისა და აპლიკაციების უსაფრთხო ურთიერთქმედების ორგანიზაცია ქსელის ბირთვთან.
• მართეთ QoS პარამეტრები და დარიცხვის წესები კონკრეტული მომხმარებლებისთვის.

SEAF (ინგლისური Security Anchor Function - anchor უსაფრთხოების ფუნქცია) - AUSF-თან ერთად უზრუნველყოფს მომხმარებლების ავთენტიფიკაციას, როდესაც ისინი დარეგისტრირდებიან ქსელში ნებისმიერი წვდომის ტექნოლოგიით.

აუსფ (ინგლისური Authentication Server Function - ავთენტიფიკაციის სერვერის ფუნქცია) - ასრულებს ავტორიზაციის სერვერის როლს, რომელიც იღებს და ამუშავებს მოთხოვნებს SEAF-დან და გადამისამართებს მათ ARPF-ზე.

ARPF (ინგლისური: Authentication Credential Repository and Processing Function - ავთენტიფიკაციის სერთიფიკატების შენახვისა და დამუშავების ფუნქცია) - უზრუნველყოფს პირადი საიდუმლო გასაღებების (KI) და კრიპტოგრაფიული ალგორითმების პარამეტრებს შენახვას, ასევე ავთენტიფიკაციის ვექტორების გენერირებას 5G-AKA ან შესაბამისად. აღმოსავლეთ პარტნიორობის-აკა. იგი მდებარეობს სახლის ტელეკომის ოპერატორის მონაცემთა ცენტრში, დაცულია გარე ფიზიკური გავლენისგან და, როგორც წესი, ინტეგრირებულია UDM-თან.

SCMF (ინგლისური უსაფრთხოების კონტექსტური მართვის ფუნქცია - მართვის ფუნქცია უსაფრთხოების კონტექსტში) - უზრუნველყოფს სასიცოცხლო ციკლის მართვას 5G უსაფრთხოების კონტექსტში.

SPCF (ინგლისური უსაფრთხოების პოლიტიკის კონტროლის ფუნქცია - უსაფრთხოების პოლიტიკის მართვის ფუნქცია) - უზრუნველყოფს უსაფრთხოების პოლიტიკის კოორდინაციას და გამოყენებას კონკრეტულ მომხმარებლებთან მიმართებაში. ეს ითვალისწინებს ქსელის შესაძლებლობებს, მომხმარებლის აღჭურვილობის შესაძლებლობებს და კონკრეტული სერვისის მოთხოვნებს (მაგალითად, კრიტიკული საკომუნიკაციო სერვისით და უკაბელო ფართოზოლოვანი ინტერნეტით წვდომის სერვისით გათვალისწინებული დაცვის დონეები შეიძლება განსხვავდებოდეს). უსაფრთხოების პოლიტიკის გამოყენება მოიცავს: AUSF-ის შერჩევას, ავთენტიფიკაციის ალგორითმის შერჩევას, მონაცემთა დაშიფვრის და მთლიანობის კონტროლის ალგორითმების შერჩევას, გასაღებების ხანგრძლივობისა და სიცოცხლის ციკლის განსაზღვრას.

SIDF (English Subscription Identifier De-concealing Function - მომხმარებლის იდენტიფიკატორის ამოღების ფუნქცია) - უზრუნველყოფს აბონენტის მუდმივი გამოწერის იდენტიფიკატორის (ინგლისური SUPI) ამოღებას ფარული იდენტიფიკატორიდან (ინგლისური SUCI), მიღებული ავთენტიფიკაციის პროცედურის მოთხოვნის „Auth Info Req“ ფარგლებში.

უსაფრთხოების ძირითადი მოთხოვნები 5G საკომუნიკაციო ქსელებისთვის

სხვამომხმარებლის ავტორიზაცია: მომსახურე 5G ქსელმა უნდა მოახდინოს მომხმარებლის SUPI ავთენტიფიკაცია 5G AKA-ს პროცესში მომხმარებელსა და ქსელს შორის.

ემსახურება ქსელის ავთენტიფიკაციას: მომხმარებელმა უნდა დაადასტუროს 5G სერვისის ქსელის ID, ავთენტიფიკაცია მიღწეულია 5G AKA პროცედურის მეშვეობით მიღებული გასაღებების წარმატებით გამოყენებით.

მომხმარებლის ავტორიზაცია: სერვისის ქსელმა უნდა მისცეს მომხმარებლის ავტორიზაცია სახლის ტელეკომის ოპერატორის ქსელიდან მიღებული მომხმარებლის პროფილის გამოყენებით.

მომსახურე ქსელის ავტორიზაცია მთავარი ოპერატორის ქსელის მიერ: მომხმარებელს უნდა მიეწოდოს დადასტურება, რომ ის დაკავშირებულია სერვისის ქსელთან, რომელიც უფლებამოსილია სახლის ოპერატორის ქსელის მიერ მომსახურების გაწევისთვის. ავტორიზაცია ნაგულისხმევია იმ გაგებით, რომ იგი უზრუნველყოფილია 5G AKA პროცედურის წარმატებით დასრულებით.

წვდომის ქსელის ავტორიზაცია სახლის ოპერატორის ქსელის მიერ: მომხმარებელს უნდა მიეწოდოს დადასტურება, რომ ის დაკავშირებულია წვდომის ქსელთან, რომელიც უფლებამოსილია სახლის ოპერატორის ქსელის მიერ მომსახურების გაწევისთვის. ავტორიზაცია ნაგულისხმევია იმ გაგებით, რომ იგი განხორციელდება წვდომის ქსელის უსაფრთხოების წარმატებით დადგენით. ამ ტიპის ავტორიზაცია უნდა იქნას გამოყენებული ნებისმიერი ტიპის წვდომის ქსელისთვის.

არასანტური გადაუდებელი სამსახურები: ზოგიერთ რეგიონში მარეგულირებელი მოთხოვნების დასაკმაყოფილებლად, 5G ქსელებმა უნდა უზრუნველყონ გადაუდებელი დახმარების სერვისების არაავთენტიფიცირებული წვდომა.

ქსელის ბირთვი და რადიო წვდომის ქსელი: 5G ქსელის ბირთვმა და 5G რადიო წვდომის ქსელმა უნდა უზრუნველყოს 128-ბიტიანი დაშიფვრის და მთლიანობის ალგორითმების გამოყენება უსაფრთხოების უზრუნველსაყოფად AS и NAS. ქსელის ინტერფეისებმა უნდა უზრუნველყონ 256-ბიტიანი დაშიფვრის გასაღებები.

უსაფრთხოების ძირითადი მოთხოვნები მომხმარებლის აღჭურვილობისთვის

სხვა

• მომხმარებლის მოწყობილობამ უნდა უზრუნველყოს დაშიფვრა, მთლიანობის დაცვა და დაცვა განმეორებითი შეტევებისგან მომხმარებლის მონაცემებისთვის, რომლებიც გადაცემულია მასსა და რადიო წვდომის ქსელს შორის.
• მომხმარებლის მოწყობილობამ უნდა გაააქტიუროს დაშიფვრისა და მონაცემთა მთლიანობის დაცვის მექანიზმები, როგორც ეს მითითებულია რადიო წვდომის ქსელის მიერ.
• მომხმარებლის აღჭურვილობამ უნდა უზრუნველყოს დაშიფვრა, მთლიანობის დაცვა და დაცვა RRC და NAS სასიგნალო ტრაფიკის განმეორებითი შეტევებისგან.
• მომხმარებლის მოწყობილობამ უნდა უზრუნველყოს შემდეგი კრიპტოგრაფიული ალგორითმები: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
• მომხმარებლის აღჭურვილობას შეუძლია შემდეგი კრიპტოგრაფიული ალგორითმების მხარდაჭერა: 128-NEA3, 128-NIA3.
• მომხმარებლის მოწყობილობამ უნდა უზრუნველყოს შემდეგი კრიპტოგრაფიული ალგორითმები: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2, თუ იგი მხარს უჭერს კავშირს E-UTRA რადიო წვდომის ქსელთან.
• მომხმარებლის აღჭურვილობასა და რადიოწვდომის ქსელს შორის გადაცემული მომხმარებლის მონაცემების კონფიდენციალურობის დაცვა არჩევითია, მაგრამ უზრუნველყოფილი უნდა იყოს ყოველთვის, როცა ეს ნებადართულია რეგულაციებით.
• კონფიდენციალურობის დაცვა RRC და NAS სასიგნალო ტრაფიკისთვის არჩევითია.
• მომხმარებლის მუდმივი გასაღები უნდა იყოს დაცული და შენახული მომხმარებლის აღჭურვილობის კარგად დაცულ კომპონენტებში.
• აბონენტის მუდმივი გამოწერის იდენტიფიკატორი არ უნდა გადაიცეს მკაფიო ტექსტით რადიო წვდომის ქსელში, გარდა სწორი მარშრუტიზაციისთვის აუცილებელი ინფორმაციისა (მაგ. MCC и MNC).
• მთავარი ოპერატორის ქსელის საჯარო გასაღები, გასაღების იდენტიფიკატორი, უსაფრთხოების სქემის იდენტიფიკატორი და მარშრუტიზაციის იდენტიფიკატორი უნდა იყოს შენახული USIM.

დაშიფვრის თითოეული ალგორითმი ასოცირდება ორობით რიცხვთან:

• "0000": NEA0 - ნულოვანი დაშიფვრის ალგორითმი
• "0001": 128-NEA1 - 128 ბიტიანი SNOW 3G დაფუძნებული ალგორითმი
• "0010" 128-NEA2 - 128 ბიტიანი AES დაფუძნებული ალგორითმი
• "0011" 128-NEA3 - 128 ბიტიანი ZUC დაფუძნებული ალგორითმი.

მონაცემთა დაშიფვრა 128-NEA1 და 128-NEA2 გამოყენებით

P.S. დიაგრამა ნასესხებია TS ჰიტები

სიმულირებული ჩანართების გენერაცია 128-NIA1 და 128-NIA2 ალგორითმებით მთლიანობის უზრუნველსაყოფად

P.S. დიაგრამა ნასესხებია TS ჰიტები

უსაფრთხოების ძირითადი მოთხოვნები 5G ქსელის ფუნქციებისთვის

სხვა

• AMF-მა უნდა უზრუნველყოს პირველადი ავტორიზაციის მხარდაჭერა SUCI-ის გამოყენებით.
• SEAF-მა უნდა უზრუნველყოს პირველადი ავთენტიფიკაციის მხარდაჭერა SUCI-ის გამოყენებით.
• UDM და ARPF უნდა შეინახონ მომხმარებლის მუდმივი გასაღები და უზრუნველყონ, რომ ის დაცულია ქურდობისგან.
• AUSF უზრუნველყოფს SUPI-ს ადგილობრივ სერვისის ქსელს SUCI-ს გამოყენებით წარმატებული თავდაპირველი ავთენტიფიკაციის შემდეგ.
• NEF არ უნდა გადააგზავნოს ფარული ძირითადი ქსელის ინფორმაცია ოპერატორის უსაფრთხოების დომენის გარეთ.

ძირითადი უსაფრთხოების პროცედურები

ნდობის დომენები

მეხუთე თაობის ქსელებში, ქსელის ელემენტებისადმი ნდობა მცირდება, რადგან ელემენტები შორდებიან ქსელის ბირთვს. ეს კონცეფცია გავლენას ახდენს 5G უსაფრთხოების არქიტექტურაში განხორციელებულ გადაწყვეტილებებზე. ამრიგად, ჩვენ შეგვიძლია ვისაუბროთ 5G ქსელების ნდობის მოდელზე, რომელიც განსაზღვრავს ქსელის უსაფრთხოების მექანიზმების ქცევას.

მომხმარებლის მხრიდან, ნდობის დომენი იქმნება UICC და USIM-ის მიერ.

ქსელის მხრივ, ნდობის დომენს უფრო რთული სტრუქტურა აქვს.

რადიო წვდომის ქსელი იყოფა ორ კომპონენტად - DU (ინგლისური Distributed Units-დან - distributed network units) და CU (ინგლისური ცენტრალური ერთეულებიდან - ქსელის ცენტრალური ერთეულები). ისინი ერთად ქმნიან gNB — 5G ქსელის საბაზო სადგურის რადიო ინტერფეისი. DU-ებს არ აქვთ პირდაპირი წვდომა მომხმარებლის მონაცემებზე, რადგან ისინი შეიძლება განლაგდეს დაუცველ ინფრასტრუქტურულ სეგმენტებზე. CU უნდა განთავსდეს დაცულ ქსელის სეგმენტებში, რადგან ისინი პასუხისმგებელნი არიან ტრაფიკის შეწყვეტაზე AS უსაფრთხოების მექანიზმებიდან. ქსელის ბირთვში მდებარეობს AMF, რომელიც წყვეტს ტრაფიკს NAS უსაფრთხოების მექანიზმებიდან. მიმდინარე 3GPP 5G ფაზის 1 სპეციფიკაცია აღწერს კომბინაციას AMF უსაფრთხოების ფუნქციით SEAF, რომელიც შეიცავს მონახულებული (მომსახურების) ქსელის root კლავიშს (ასევე ცნობილია, როგორც "წამყვანის გასაღები"). აუსფ პასუხისმგებელია წარმატებული ავთენტიფიკაციის შემდეგ მიღებული გასაღების შესანახად. აუცილებელია ხელახალი გამოყენება იმ შემთხვევებში, როდესაც მომხმარებელი ერთდროულად არის დაკავშირებული რამდენიმე რადიო წვდომის ქსელთან. ARPF ინახავს მომხმარებლის სერთიფიკატებს და არის USIM-ის ანალოგი აბონენტებისთვის. UDR и UDM შეინახოს მომხმარებლის ინფორმაცია, რომელიც გამოიყენება რწმუნებათა სიგელების გენერირების ლოგიკის დასადგენად, მომხმარებლის ID-ების, სესიის უწყვეტობის უზრუნველსაყოფად და ა.შ.

გასაღებების იერარქია და მათი განაწილების სქემები

მე-5 თაობის ქსელებში, 4G-LTE ქსელებისგან განსხვავებით, ავთენტიფიკაციის პროცედურას აქვს ორი კომპონენტი: პირველადი და მეორადი ავტორიზაცია. პირველადი ავთენტიფიკაცია საჭიროა ქსელთან დაკავშირებული ყველა მომხმარებლის მოწყობილობისთვის. მეორადი ავთენტიფიკაცია შეიძლება განხორციელდეს გარე ქსელების მოთხოვნით, თუ აბონენტი დაუკავშირდება მათ.

პირველადი ავთენტიფიკაციის წარმატებით დასრულებისა და მომხმარებლისა და ქსელს შორის საერთო K გასაღების შემუშავების შემდეგ, KSEAF ამოღებულია გასაღები K-დან - სერვისის ქსელის სპეციალური წამყვანი (ძირეული) გასაღები. შემდგომში, გასაღებები იქმნება ამ გასაღებიდან, რათა უზრუნველყოს RRC და NAS სასიგნალო ტრაფიკის მონაცემების კონფიდენციალურობა და მთლიანობა.

დიაგრამა განმარტებებით
აღნიშვნები:
CK შიფრული გასაღები
IK (ინგლ. Integrity Key) - გასაღები, რომელიც გამოიყენება მონაცემთა მთლიანობის დაცვის მექანიზმებში.
CK' (ინგლ. Cipher Key) - კიდევ ერთი კრიპტოგრაფიული გასაღები შექმნილი CK-დან EAP-AKA მექანიზმისთვის.
ᲕᲘᲪᲘ' (English Integrity Key) - კიდევ ერთი გასაღები, რომელიც გამოიყენება მონაცემთა მთლიანობის დაცვის მექანიზმებში EAP-AKA-სთვის.
KAUSF - გენერირებული ARPF ფუნქციით და მომხმარებლის აღჭურვილობით CK и IK 5G AKA და EAP-AKA დროს.
KSEAF - ღილაკიდან AUSF ფუნქციით მიღებული წამყვანი გასაღები KAMFAUSF.
KAMF — გასაღები, რომელიც მიღებულია SEAF ფუნქციით გასაღებიდან KSEAF.
KNASint, KNASenc — გასაღებიდან მიღებული AMF ფუნქციით KAMF NAS სასიგნალო ტრაფიკის დასაცავად.
KRRCint, KRRCenc — გასაღებიდან მიღებული AMF ფუნქციით KAMF RRC სასიგნალო ტრაფიკის დასაცავად.
KUPint, KUPenc — გასაღებიდან მიღებული AMF ფუნქციით KAMF AS სასიგნალო ტრაფიკის დასაცავად.
NH — AMF ფუნქციით მიღებული შუალედური გასაღები გასაღებიდან KAMF გადაცემის დროს მონაცემთა უსაფრთხოების უზრუნველსაყოფად.
KgNB — გასაღები, რომელიც მიღებულია AMF ფუნქციით გასაღებიდან KAMF მობილობის მექანიზმების უსაფრთხოების უზრუნველსაყოფად.

SUCI-ს გენერირების სქემები SUPI-დან და პირიქით

SUPI და SUCI-ს მოპოვების სქემები

SUCI-ს წარმოება SUPI-დან და SUPI SUCI-დან:

ავთენტიფიკაცია

პირველადი ავთენტიფიკაცია

5G ქსელებში EAP-AKA და 5G AKA არის სტანდარტული პირველადი ავთენტიფიკაციის მექანიზმები. მოდით გავყოთ პირველადი ავთენტიფიკაციის მექანიზმი ორ ფაზად: პირველი პასუხისმგებელია ავთენტიფიკაციის დაწყებაზე და ავტორიზაციის მეთოდის არჩევაზე, მეორე პასუხისმგებელია მომხმარებლისა და ქსელის ორმხრივ ავთენტიფიკაციაზე.

ინიცირება

მომხმარებელი წარადგენს რეგისტრაციის მოთხოვნას SEAF-ში, რომელიც შეიცავს მომხმარებლის ფარული გამოწერის ID SUCI-ს.

SEAF უგზავნის AUSF-ს ავტორიზაციის მოთხოვნის შეტყობინებას (Nausf_UEAuthentication_Authenticate Request), რომელიც შეიცავს SNN (მომსახურების ქსელის სახელი) და SUPI ან SUCI.

AUSF ამოწმებს, აქვს თუ არა SEAF ავტორიზაციის მთხოვნელს უფლება გამოიყენოს მოცემული SNN. თუ სერვისის ქსელი არ არის უფლებამოსილი გამოიყენოს ეს SNN, მაშინ AUSF პასუხობს ავტორიზაციის შეცდომის შეტყობინებას „მომსახურების ქსელი ავტორიზებული არ არის“ (Nausf_UEAuthentication_Authenticate Response).

ავთენტიფიკაციის სერთიფიკატები მოითხოვება AUSF-ის მიერ UDM-ს, ARPF-ს ან SIDF-ს SUPI ან SUCI და SNN-ის მეშვეობით.

SUPI ან SUCI და მომხმარებლის ინფორმაციაზე დაყრდნობით, UDM/ARPF ირჩევს ავთენტიფიკაციის მეთოდს შემდგომში გამოსაყენებლად და გასცემს მომხმარებლის რწმუნებათა სიგელებს.

ორმხრივი ავთენტიფიკაცია

ავთენტიფიკაციის ნებისმიერი მეთოდის გამოყენებისას, UDM/ARPF ქსელის ფუნქციებმა უნდა შექმნას ავტორიზაციის ვექტორი (AV).

EAP-AKA: UDM/ARPF ჯერ აგენერირებს ავტორიზაციის ვექტორს გამყოფი ბიტით AMF = 1, შემდეგ წარმოქმნის CK' и ᲕᲘᲪᲘ' საქართველოს CK, IK და SNN და წარმოადგენს ახალ AV ავთენტიფიკაციის ვექტორს (RAND, AUTN, XRES*, CK', ᲕᲘᲪᲘ'), რომელიც ეგზავნება AUSF-ს ინსტრუქციებით გამოიყენოს იგი მხოლოდ EAP-AKA-სთვის.

5G AKA: UDM/ARPF იღებს გასაღებს KAUSF საქართველოს CK, IK და SNN, რის შემდეგაც ის წარმოქმნის 5G HE AV. 5G სახლის გარემოს ავთენტიფიკაციის ვექტორი). 5G HE AV ავტორიზაციის ვექტორი (RAND, AUTN, XRES, KAUSF) ეგზავნება AUSF-ს ინსტრუქციებით, გამოიყენოს იგი მხოლოდ 5G AKA-სთვის.

ამ AUSF-ის შემდეგ მიიღება წამყვანის გასაღები KSEAF გასაღებიდან KAUSF და უგზავნის მოთხოვნას SEAF-ს „გამოწვევა“ მესიჯში „Nausf_UEAuthentication_Authenticate Response“, რომელიც ასევე შეიცავს RAND, AUTN და RES*. შემდეგი, RAND და AUTN გადაეცემა მომხმარებლის აღჭურვილობას უსაფრთხო NAS სასიგნალო შეტყობინების გამოყენებით. მომხმარებლის USIM ითვლის RES*-ს მიღებული RAND-დან და AUTN-დან და აგზავნის მას SEAF-ში. SEAF გადასცემს ამ მნიშვნელობას AUSF-ს გადამოწმებისთვის.

AUSF ადარებს მასში შენახულ XRES* და მომხმარებლისგან მიღებულ RES*-ს. თუ არსებობს დამთხვევა, AUSF და UDM ოპერატორის სახლის ქსელში ეცნობება წარმატებული ავტორიზაციის შესახებ და მომხმარებელი და SEAF დამოუკიდებლად ქმნიან გასაღებს. KAMF საქართველოს KSEAF და SUPI შემდგომი კომუნიკაციისთვის.

მეორადი ავთენტიფიკაცია

5G სტანდარტი მხარს უჭერს არჩევით მეორად ავთენტიფიკაციას EAP-AKA-ს საფუძველზე მომხმარებლის აღჭურვილობასა და მონაცემთა გარე ქსელს შორის. ამ შემთხვევაში, SMF ასრულებს EAP ავთენტიფიკატორის როლს და ეყრდნობა სამუშაოს AAA-გარე ქსელის სერვერი, რომელიც ახდენს მომხმარებლის ავთენტიფიკაციას და ავტორიზაციას.

• ხდება საშინაო ქსელში მომხმარებლის სავალდებულო თავდაპირველი ავტორიზაცია და AMF-თან ერთად განვითარებულია NAS უსაფრთხოების საერთო კონტექსტი.
• მომხმარებელი აგზავნის მოთხოვნას AMF-ს სესიის დასამყარებლად.
• AMF აგზავნის მოთხოვნას სესიის დამყარების შესახებ SMF-ში მომხმარებლის SUPI-ის მითითებით.
• SMF ამოწმებს მომხმარებლის რწმუნებათა სიგელებს UDM-ში მოწოდებული SUPI-ის გამოყენებით.
• SMF აგზავნის პასუხს AMF-ის მოთხოვნაზე.
• SMF იწყებს EAP ავთენტიფიკაციის პროცედურას გარე ქსელში AAA სერვერისგან სესიის დამყარების ნებართვის მისაღებად. ამისათვის SMF და მომხმარებელი ცვლიან შეტყობინებებს პროცედურის დასაწყებად.
• მომხმარებელი და გარე ქსელის AAA სერვერი გაცვლიან შეტყობინებებს მომხმარებლის ავთენტიფიკაციისა და ავტორიზაციისთვის. ამ შემთხვევაში მომხმარებელი აგზავნის შეტყობინებებს SMF-ს, რომელიც თავის მხრივ ცვლის შეტყობინებებს გარე ქსელთან UPF-ის საშუალებით.

დასკვნა

მიუხედავად იმისა, რომ 5G უსაფრთხოების არქიტექტურა დაფუძნებულია არსებული ტექნოლოგიების ხელახლა გამოყენებაზე, ის სრულიად ახალ გამოწვევებს აყენებს. IoT მოწყობილობების დიდი რაოდენობა, გაფართოებული ქსელის საზღვრები და დეცენტრალიზებული არქიტექტურის ელემენტები არის 5G სტანდარტის მხოლოდ რამდენიმე ძირითადი პრინციპი, რომელიც თავისუფლებას აძლევს კიბერკრიმინალების ფანტაზიას.

5G უსაფრთხოების არქიტექტურის ძირითადი სტანდარტია TS 23.501 ვერსია 15.6.0 — შეიცავს უსაფრთხოების მექანიზმებისა და პროცედურების მუშაობის ძირითად პუნქტებს. კერძოდ, იგი აღწერს თითოეული VNF-ის როლს მომხმარებლის მონაცემებისა და ქსელის კვანძების დაცვის უზრუნველსაყოფად, კრიპტო გასაღებების გენერირებაში და ავტორიზაციის პროცედურის განხორციელებაში. მაგრამ ეს სტანდარტიც კი არ იძლევა პასუხებს უსაფრთხოების აქტუალურ საკითხებზე, რომლებიც უფრო ხშირად აწყდებიან ტელეკომის ოპერატორებს, რაც უფრო ინტენსიურად ვითარდება და ამოქმედდება ახალი თაობის ქსელები.

ამასთან დაკავშირებით, მსურს მჯეროდეს, რომ მე-5 თაობის ქსელების მუშაობისა და დაცვის სირთულეები არანაირად არ იმოქმედებს ჩვეულებრივ მომხმარებლებს, რომლებსაც ჰპირდებიან გადაცემის სიჩქარეს და პასუხებს, როგორც დედის მეგობრის შვილი და უკვე სურთ, გამოსცადონ ყველაფერი. ახალი თაობის ქსელების დეკლარირებული შესაძლებლობები.

სასარგებლო ბმულები

3GPP სპეციფიკაციების სერია
5G უსაფრთხოების არქიტექტურა
5G სისტემის არქიტექტურა
5G ვიკი
5G არქიტექტურის შენიშვნები
5G უსაფრთხოების მიმოხილვა

წყარო: www.habr.com