분명히, 보안 메커니즘을 고려하지 않고 새로운 통신 표준을 개발하는 것은 매우 의심스럽고 쓸데없는 노력입니다.

5G 보안 아키텍처 — 구현된 일련의 보안 메커니즘 및 절차 5세대 네트워크 코어부터 무선 인터페이스까지 모든 네트워크 구성 요소를 포괄합니다.

5세대 네트워크는 본질적으로 진화입니다. 4세대 LTE 네트워크. 무선 접속 기술은 가장 중요한 변화를 겪었습니다. 5세대 네트워크에서는 새로운 쥐 (무선 접속 기술) - 5G 뉴 라디오. 네트워크의 핵심은 그렇게 큰 변화를 겪지 않았습니다. 이에 5G 네트워크의 보안 아키텍처는 4G LTE 표준에 채택된 관련 기술의 재사용에 중점을 두고 개발됐다.

그러나 무선 인터페이스 및 신호 계층에 대한 공격과 같은 알려진 위협을 다시 생각해 볼 가치가 있습니다(신호 비행기), DDOS 공격, 중간자 공격 등으로 인해 통신 사업자는 새로운 표준을 개발하고 완전히 새로운 보안 메커니즘을 5세대 네트워크에 통합해야 했습니다.

Предпосылки

2015년 국제전기통신연합(International Telecommunication Union)은 5세대 네트워크 개발을 위한 최초의 글로벌 계획을 수립했으며, 이것이 바로 XNUMXG 네트워크의 보안 메커니즘 및 절차 개발 문제가 특히 심각해진 이유입니다.

새로운 기술은 정말 인상적인 데이터 전송 속도(1Gbps 이상), 1ms 미만의 지연 시간, 반경 1km1 내에서 약 2만 대의 장치를 동시에 연결할 수 있는 기능을 제공했습니다. 5세대 네트워크에 대한 이러한 가장 높은 요구 사항은 조직의 원칙에도 반영됩니다.

주요한 것은 분산화였는데, 이는 네트워크 주변에 많은 로컬 데이터베이스와 처리 센터를 배치하는 것을 의미합니다. 이를 통해 지연 시간을 최소화할 수 있었습니다. M2M- 수많은 IoT 장치를 서비스함으로써 통신 및 네트워크 코어를 완화합니다. 따라서 차세대 네트워크의 엣지는 기지국까지 확장되어 심각한 지연이나 서비스 거부 위험 없이 로컬 통신 센터를 만들고 클라우드 서비스를 제공할 수 있게 되었습니다. 당연히 네트워킹 및 고객 서비스에 대한 변경된 접근 방식은 공격자들의 관심을 끌었습니다. 서비스 거부를 유발하거나 운영자의 컴퓨팅 리소스를 탈취하기 위해 기밀 사용자 정보와 네트워크 구성 요소 자체를 공격할 수 있는 새로운 기회가 열렸기 때문입니다.

5세대 네트워크의 주요 취약점

넓은 공격 표면

더3~4세대 통신망을 구축할 때 통신사업자는 일반적으로 하드웨어와 소프트웨어 세트를 즉시 공급하는 하나 이상의 공급업체와 협력하는 것으로 제한됐다. 즉, "즉시 사용 가능"하다고 말하는 것처럼 모든 것이 작동할 수 있습니다. 공급업체에서 구입한 장비를 설치하고 구성하는 것만으로도 충분했습니다. 독점 소프트웨어를 교체하거나 보완할 필요가 없었습니다. 현대의 추세는 이러한 "고전적인" 접근 방식에 반대되며 네트워크 가상화, 구축 및 소프트웨어 다양성에 대한 다중 공급업체 접근 방식을 목표로 합니다. 다음과 같은 기술 SDN (영어 소프트웨어 정의 네트워크) 및 NFV (English Network Functions Virtualization)은 통신 네트워크 관리 프로세스 및 기능에 오픈 소스 코드를 기반으로 구축된 엄청난 양의 소프트웨어를 포함시킵니다. 이를 통해 공격자는 운영자의 네트워크를 더 잘 연구하고 더 많은 취약점을 식별할 수 있는 기회를 얻게 되며, 결과적으로 현재 네트워크에 비해 차세대 네트워크의 공격 표면이 증가합니다.

다수의 IoT 장치

더2021년에는 57G 네트워크에 연결된 장치 중 약 5%가 IoT 장치가 될 것입니다. 이는 대부분의 호스트가 제한된 암호화 기능(포인트 2 참조)을 가지므로 공격에 취약하다는 것을 의미합니다. 이러한 장치가 엄청나게 많으면 봇넷 확산의 위험이 증가하고 더욱 강력하고 분산된 DDoS 공격을 수행할 수 있게 됩니다.

IoT 장치의 제한된 암호화 기능

더이미 언급했듯이 5세대 네트워크는 주변 장치를 적극적으로 사용하므로 네트워크 코어의 부하 일부를 제거하여 대기 시간을 줄일 수 있습니다. 무인차량의 관제, 비상경보시스템 등 중요한 서비스에 필요합니다. IMS 인간의 생명이 이에 달려 있기 때문에 지연을 최소화하는 것이 매우 중요한 사람들도 있습니다. 5G 네트워크는 작은 크기와 낮은 전력 소비로 인해 컴퓨팅 리소스가 매우 제한적인 IoT 장치의 연결로 인해 이러한 장치에 대한 제어를 가로채고 후속 조작을 목적으로 하는 공격에 취약해집니다. 예를 들어 시스템의 일부인 IoT 장치가 감염되는 시나리오가 있을 수 있습니다."스마트 하우스", 다음과 같은 악성 코드 유형 랜섬웨어와 랜섬웨어. 클라우드를 통해 명령과 항법 정보를 받는 무인 차량의 관제를 가로채는 시나리오도 가능하다. 공식적으로 이 취약점은 차세대 네트워크의 분산화로 인해 발생하지만 다음 단락에서는 분산화 문제를 보다 명확하게 설명합니다.

네트워크 경계의 분산화 및 확장

더로컬 네트워크 코어 역할을 하는 주변 장치는 사용자 트래픽 라우팅, 요청 처리, 사용자 데이터의 로컬 캐싱 및 저장을 수행합니다. 따라서 5세대 네트워크의 경계는 코어를 넘어 로컬 데이터베이스, 5G-NR(5G New Radio) 무선 인터페이스 등 주변 장치까지 확장되고 있습니다. 이는 서비스 거부를 유발하려는 목적으로 네트워크 코어의 중앙 노드보다 선험적으로 보호가 약한 로컬 장치의 컴퓨팅 리소스를 공격할 수 있는 기회를 만듭니다. 이로 인해 전체 구역의 인터넷 연결이 끊어지고 IoT 장치(예: 스마트 홈 시스템)가 제대로 작동하지 않을 뿐만 아니라 IMS 긴급 경보 서비스를 사용할 수 없게 될 수 있습니다.

그러나 ETSI와 3GPP는 현재 10G 네트워크 보안의 다양한 측면을 다루는 5개 이상의 표준을 발표했습니다. 여기에 설명된 메커니즘의 대부분은 취약점(위에 설명된 메커니즘 포함)으로부터 보호하는 것을 목표로 합니다. 주요한 것 중 하나는 표준입니다. TS 23.501 버전 15.6.0, 5세대 네트워크의 보안 아키텍처를 설명합니다.

5G 아키텍처

먼저, 5G 네트워크 아키텍처의 핵심 원칙을 살펴보겠습니다. 이를 통해 각 소프트웨어 모듈과 각 5G 보안 기능의 의미와 책임 영역을 더욱 완전하게 드러낼 수 있습니다.

• 네트워크 노드를 프로토콜 작동을 보장하는 요소로 분할 맞춤형 비행기 (영어 UP - User Plane에서) 및 프로토콜 작동을 보장하는 요소 제어 평면 (영어 CP - Control Plane에서) 네트워크의 확장 및 배포 측면에서 유연성을 높입니다. 즉, 개별 구성 요소 네트워크 노드의 중앙 집중식 또는 분산형 배치가 가능합니다.
• 메커니즘 지원 네트워크 슬라이싱, 특정 최종 사용자 그룹에게 제공되는 서비스를 기반으로 합니다.
• 형태로 네트워크 요소 구현 가상 네트워크 기능.
• 중앙 집중식 및 로컬 서비스에 대한 동시 액세스 지원, 즉 클라우드 개념 구현(영어에서. 포그 컴퓨팅) 및 테두리(영어에서. 에지 컴퓨팅) 계산.
• Реализация 수렴하는 다양한 유형의 액세스 네트워크를 결합한 아키텍처 - 3GPP 5G New Radio 및 3GPP가 아닌 (Wi-Fi 등) - 단일 네트워크 코어 사용.
• 액세스 네트워크 유형에 관계없이 통일된 알고리즘 및 인증 절차를 지원합니다.
• 계산된 리소스가 리소스 저장소에서 분리되는 상태 비저장 네트워크 기능을 지원합니다.
• 홈 네트워크(영어 홈 라우팅 로밍) 및 게스트 네트워크의 로컬 "착륙"(영어 로컬 브레이크아웃)을 통한 트래픽 라우팅을 통한 로밍을 지원합니다.
• 네트워크 기능 간의 상호 작용은 두 가지 방식으로 표현됩니다. 서비스 지향 и 상호 작용.

5세대 네트워크 보안 개념에는 다음이 포함됩니다.:

• 네트워크에서 사용자 인증.
• 사용자에 의한 네트워크 인증.
• 네트워크와 사용자 장비 간의 암호화 키 협상.
• 신호 트래픽의 암호화 및 무결성 제어.
• 사용자 트래픽의 무결성을 암호화하고 제어합니다.
• 사용자 ID 보호.
• 네트워크 보안 도메인의 개념에 따라 서로 다른 네트워크 요소 간의 인터페이스를 보호합니다.
• 메커니즘의 다양한 레이어 분리 네트워크 슬라이싱 각 계층의 자체 보안 수준을 정의합니다.
• 최종 서비스(IMS, IoT 등) 수준에서 사용자 인증 및 트래픽 보호.

주요 소프트웨어 모듈 및 5G 네트워크 보안 기능

AMF (영어 접근성 및 이동성 관리 기능 - 접근 및 이동성 관리 기능) - 다음을 제공합니다.

• 제어 평면 인터페이스의 구성.
• 신호 트래픽 교환 조직 RRC, 데이터 무결성의 암호화 및 보호.
• 신호 트래픽 교환 조직 NAS, 데이터 무결성의 암호화 및 보호.
• 네트워크에서 사용자 장비의 등록을 관리하고 등록 가능한 상태를 모니터링합니다.
• 사용자 장비의 네트워크 연결을 관리하고 가능한 상태를 모니터링합니다.
• CM-IDLE 상태의 네트워크에서 사용자 장비의 가용성을 제어합니다.
• CM-CONNECTED 상태의 네트워크에서 사용자 장비의 이동성 관리.
• 사용자 장비와 SMF 간의 단문 메시지 전송.
• 위치 서비스 관리.
• 스레드 ID 할당 EPS EPS와 상호 작용합니다.

SMF (영어: Session Management Function - 세션 관리 기능) - 다음을 제공합니다.

• 통신 세션 관리, 즉 액세스 네트워크와 UPF 간의 터널 유지를 포함하여 세션 생성, 수정 및 해제.
• 사용자 장비의 IP 주소 배포 및 관리.
• 사용할 UPF 게이트웨이를 선택합니다.
• PCF와의 상호 작용 조직.
• 정책 집행 관리 QoS를.
• DHCPv4 및 DHCPv6 프로토콜을 사용하여 사용자 장비의 동적 구성.
• 관세 데이터 수집을 모니터링하고 청구 시스템과의 상호 작용을 구성합니다.
• 원활한 서비스 제공(영어부터) SSC - 세션 및 서비스 연속성).
• 로밍 내 게스트 네트워크와의 상호 작용.

UPF (English User Plane Function - 사용자 평면 기능) - 다음을 제공합니다.

• 글로벌 인터넷을 포함한 외부 데이터 네트워크와의 상호 작용.
• 사용자 패킷 라우팅.
• QoS 정책에 따라 패킷을 표시합니다.
• 사용자 패키지 진단(예: 서명 기반 응용 프로그램 탐지)
• 트래픽 사용량에 대한 보고서를 제공합니다.
• UPF는 또한 서로 다른 무선 액세스 기술 내에서 그리고 서로 다른 무선 액세스 기술 간 이동성을 지원하기 위한 기준점이기도 합니다.

UDM (영어 통합 데이터 관리 - 통합 데이터베이스) - 다음을 제공합니다.

• 사용자가 사용할 수 있는 서비스 목록과 해당 매개변수의 저장 및 수정을 포함하여 사용자 프로필 데이터를 관리합니다.
• 거버넌스 수피
• 3GPP 인증 자격 증명 생성 AKA.
• 프로필 데이터를 기반으로 한 액세스 권한 부여(예: 로밍 제한)
• 사용자 등록 관리, 즉 서빙 AMF의 저장.
• 원활한 서비스 및 통신 세션을 지원합니다. 즉, 현재 통신 세션에 할당된 SMF를 저장합니다.
• SMS 전달 관리.
• 여러 다른 UDM이 여러 트랜잭션에서 동일한 사용자에게 서비스를 제공할 수 있습니다.

UDR (English Unified Data Repository - 통합 데이터 저장) - 다양한 사용자 데이터 저장을 제공하며 실제로 모든 네트워크 가입자의 데이터베이스입니다.

UDSF (영어 비정형 데이터 저장 기능 - 비정형 데이터 저장 기능) - AMF 모듈이 등록된 사용자의 현재 컨텍스트를 저장하도록 보장합니다. 일반적으로 이러한 정보는 불확실한 구조의 데이터로 표현될 수 있습니다. 사용자 컨텍스트를 사용하면 서비스에서 AMF 중 하나를 계획적으로 철회하는 동안과 긴급 상황 발생 시 원활하고 중단 없는 가입자 세션을 보장할 수 있습니다. 두 경우 모두 백업 AMF는 USDF에 저장된 컨텍스트를 사용하여 서비스를 "선택"합니다.

동일한 물리적 플랫폼에서 UDR과 UDSF를 결합하는 것은 이러한 네트워크 기능의 일반적인 구현입니다.

PCF (영어: 정책 제어 기능 - 정책 제어 기능) - QoS 매개변수 및 과금 규칙을 포함하여 특정 서비스 정책을 생성하고 사용자에게 할당합니다. 예를 들어, 하나 또는 다른 유형의 트래픽을 전송하기 위해 다양한 특성을 가진 가상 채널을 동적으로 생성할 수 있습니다. 동시에 가입자가 요청한 서비스 요구 사항, 네트워크 정체 수준, 소비되는 트래픽 양 등을 고려할 수 있습니다.

NEF (영어 네트워크 노출 기능 - 네트워크 노출 기능) - 다음을 제공합니다.

• 외부 플랫폼 및 애플리케이션과 네트워크 코어의 안전한 상호 작용을 구성합니다.
• 특정 사용자에 대한 QoS 매개변수 및 과금 규칙을 관리합니다.

바다 (영어 보안 앵커 기능 - 앵커 보안 기능) - AUSF와 함께 모든 액세스 기술을 사용하여 네트워크에 등록할 때 사용자에 대한 인증을 제공합니다.

AUSF (영어 인증 서버 기능 - 인증 서버 기능) - SEAF로부터 요청을 받아 처리하고 이를 ARPF로 리다이렉션하는 인증 서버 역할을 한다.

ARPF (영어: 인증 자격 증명 저장소 및 처리 기능 - 인증 자격 증명을 저장하고 처리하는 기능) - 개인 비밀 키(KI) 및 암호화 알고리즘의 매개변수 저장은 물론 5G-AKA에 따른 인증 벡터 생성 기능을 제공합니다. EAP-일명. 홈통신 사업자의 데이터센터에 위치하여 외부의 물리적 영향으로부터 보호되며, 원칙적으로 UDM과 통합됩니다.

SCMF (영어 Security Context 관리 기능 - 관리 기능 보안 컨텍스트) - 5G 보안 컨텍스트에 대한 수명주기 관리를 제공합니다.

SPCF (영어 보안 정책 제어 기능 - 보안 정책 관리 기능) - 특정 사용자와 관련된 보안 정책의 조정 및 적용을 보장합니다. 여기에는 네트워크 성능, 사용자 장비 성능, 특정 서비스 요구 사항(예: 주요 통신 서비스와 무선 광대역 인터넷 액세스 서비스에서 제공하는 보호 수준이 다를 수 있음)이 고려됩니다. 보안 정책 적용에는 AUSF 선택, 인증 알고리즘 선택, 데이터 암호화 및 무결성 제어 알고리즘 선택, 키 길이 및 수명 주기 결정이 포함됩니다.

SIDF (영어 구독 식별자 De-concealing 기능 - 사용자 식별자 추출 기능) - 숨겨진 식별자(영어 SUPI)에서 가입자의 영구 구독 식별자(영어 SUPI) 추출을 보장합니다. SUCI), 인증 절차 요청 "Auth Info Req"의 일부로 수신되었습니다.

5G 통신 네트워크의 기본 보안 요구 사항

더사용자 인증: 서빙 5G 네트워크는 사용자와 네트워크 간의 5G AKA 프로세스에서 사용자의 SUPI를 인증해야 합니다.

네트워크 인증 제공: 사용자는 5G AKA 절차를 통해 획득한 키를 성공적으로 사용하여 인증을 받은 5G 서빙 네트워크 ID를 인증해야 합니다.

사용자 인증: 서비스 망은 홈통신 사업자의 망으로부터 받은 사용자 프로필을 이용하여 사용자에게 권한을 부여해야 합니다.

홈 사업자 네트워크에 의한 서빙 네트워크 승인: 서비스 제공을 위해 홈 사업자 네트워크에서 승인한 서비스 네트워크에 연결되어 있다는 확인을 사용자에게 제공해야 합니다. 승인은 5G AKA 절차의 성공적인 완료로 보장된다는 의미에서 암시적입니다.

홈 사업자 네트워크에 의한 액세스 네트워크 승인: 서비스 제공을 위해 홈 사업자 네트워크에서 승인한 액세스 네트워크에 연결되어 있다는 확인을 사용자에게 제공해야 합니다. 인증은 액세스 네트워크의 보안을 성공적으로 구축함으로써 시행된다는 의미에서 암시적입니다. 이러한 유형의 인증은 모든 유형의 액세스 네트워크에 사용되어야 합니다.

인증되지 않은 응급 서비스: 일부 지역의 규제 요구 사항을 충족하기 위해 5G 네트워크는 긴급 서비스에 대해 인증되지 않은 액세스를 제공해야 합니다.

네트워크 코어 및 무선 액세스 네트워크: 5G 네트워크 코어와 5G 무선 액세스 네트워크는 보안을 보장하기 위해 128비트 암호화 및 무결성 알고리즘의 사용을 지원해야 합니다. AS и NAS. 네트워크 인터페이스는 256비트 암호화 키를 지원해야 합니다.

사용자 장비에 대한 기본 안전 요구 사항

더

• 사용자 장비는 암호화, 무결성 보호 및 무선 액세스 네트워크 간에 전송되는 사용자 데이터에 대한 재생 공격 방지를 지원해야 합니다.
• 사용자 장비는 무선 액세스 네트워크의 지시에 따라 암호화 및 데이터 무결성 보호 메커니즘을 활성화해야 합니다.
• 사용자 장비는 암호화, 무결성 보호, RRC 및 NAS 신호 트래픽에 대한 재생 공격 방지를 지원해야 합니다.
• 사용자 장비는 NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2 암호화 알고리즘을 지원해야 합니다.
• 사용자 장비는 128-NEA3, 128-NIA3 암호화 알고리즘을 지원할 수 있습니다.
• 사용자 장비는 E-UTRA 무선 액세스 네트워크에 대한 연결을 지원하는 경우 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2 암호화 알고리즘을 지원해야 합니다.
• 사용자 장비와 무선 액세스 네트워크 간에 전송되는 사용자 데이터의 기밀성을 보호하는 것은 선택 사항이지만 규정에 따라 허용될 때마다 제공되어야 합니다.
• RRC 및 NAS 신호 트래픽에 대한 개인 정보 보호는 선택 사항입니다.
• 사용자의 영구 키는 보호되어야 하며 사용자 장비의 안전한 구성 요소에 저장되어야 합니다.
• 가입자의 영구 가입 식별자는 올바른 라우팅에 필요한 정보(예: MCC и MNC).
• 홈 운영자의 네트워크 공개 키, 키 식별자, 보안 체계 식별자 및 라우팅 식별자가 저장되어야 합니다. 유심.

각 암호화 알고리즘은 이진수와 연결됩니다.

• "0000": NEA0 - Null 암호화 알고리즘
• "0001": 128-NEA1 - 128비트 눈 3G 기반 알고리즘
• "0010" 128-NEA2 - 128비트 AES 기반 알고리즘
• "0011" 128-NEA3 - 128비트 ZUC 기반 알고리즘.

128-NEA1 및 128-NEA2를 사용한 데이터 암호화

PS 회로는 다음에서 빌려왔습니다. TS 133.501

무결성을 보장하기 위해 알고리즘 128-NIA1 및 128-NIA2에 의한 시뮬레이션된 삽입 생성

PS 회로는 다음에서 빌려왔습니다. TS 133.501

5G 네트워크 기능에 대한 기본 보안 요구 사항

더

• AMF는 SUCI를 사용한 기본 인증을 지원해야 합니다.
• SEAF는 SUCI를 사용한 기본 인증을 지원해야 합니다.
• UDM 및 ARPF는 사용자의 영구 키를 저장하고 도난으로부터 보호되도록 해야 합니다.
• AUSF는 SUCI를 사용하여 초기 인증이 성공한 경우에만 로컬 서비스 네트워크에 SUPI를 제공해야 합니다.
• NEF는 숨겨진 핵심 네트워크 정보를 운영자의 보안 도메인 외부로 전달해서는 안 됩니다.

기본 안전 절차

신뢰 도메인

5세대 네트워크에서는 요소가 네트워크 코어에서 멀어짐에 따라 네트워크 요소에 대한 신뢰도가 감소합니다. 이 개념은 5G 보안 아키텍처에서 구현되는 결정에 영향을 미칩니다. 따라서 우리는 네트워크 보안 메커니즘의 동작을 결정하는 5G 네트워크의 신뢰 모델에 대해 이야기할 수 있습니다.

사용자 측에서는 UICC와 USIM에 의해 신뢰 도메인이 형성됩니다.

네트워크 측면에서 트러스트 도메인의 구조는 더 복잡합니다.

무선 액세스 네트워크는 두 가지 구성 요소로 나뉩니다. DU (영어 분산 단위 - 분산 네트워크 단위에서) 및 CU (영어 중앙 단위 - 네트워크의 중앙 단위). 함께 그들은 형성한다 gNB — 5G 네트워크 기지국의 무선 인터페이스. DU는 보호되지 않는 인프라 세그먼트에 배포될 수 있으므로 사용자 데이터에 직접 액세스할 수 없습니다. CU는 AS 보안 메커니즘에서 트래픽을 종료하는 역할을 담당하므로 보호된 네트워크 세그먼트에 배포되어야 합니다. 네트워크의 핵심에는 AMF, 이는 NAS 보안 메커니즘의 트래픽을 종료합니다. 현재 3GPP 5G Phase 1 사양에서는 다음과 같은 조합을 설명합니다. AMF 안전 기능이 있는 바다, 방문한(제공) 네트워크의 루트 키('앵커 키'라고도 함)가 포함되어 있습니다. AUSF 인증 성공 후 획득한 키를 저장하는 역할을 담당합니다. 사용자가 여러 무선 액세스 네트워크에 동시에 연결되는 경우 재사용이 필요합니다. ARPF 사용자 자격 증명을 저장하며 가입자를 위한 USIM과 유사합니다. UDR и UDM 자격 증명, 사용자 ID 생성, 세션 연속성 보장 등을 위한 논리를 결정하는 데 사용되는 사용자 정보를 저장합니다.

키 계층 구조 및 배포 체계

5세대 네트워크에서는 4G-LTE 네트워크와 달리 인증 절차에 XNUMX차 인증과 XNUMX차 인증이라는 두 가지 구성요소가 있습니다. 네트워크에 연결되는 모든 사용자 장치에는 기본 인증이 필요합니다. 가입자가 외부 네트워크에 연결하는 경우 요청 시 XNUMX차 인증을 수행할 수 있습니다.

기본 인증이 성공적으로 완료되고 사용자와 네트워크 사이에 공유 키 K가 개발된 후 KSEAF는 서빙 네트워크의 특수 앵커(루트) 키인 키 K에서 추출됩니다. 이후 RRC 및 NAS 신호 트래픽 데이터의 기밀성과 무결성을 보장하기 위해 이 키에서 키가 생성됩니다.

설명이 포함된 다이어그램
명칭:
CK 암호 키
IK (영어: 무결성 키) - 데이터 무결성 보호 메커니즘에 사용되는 키입니다.
CK' (eng. 암호 키) - EAP-AKA 메커니즘을 위해 CK에서 생성된 또 다른 암호화 키입니다.
IK' (영어 무결성 키) - EAP-AKA의 데이터 무결성 보호 메커니즘에 사용되는 또 다른 키입니다.
카우스프 - ARPF 기능 및 사용자 장비에 의해 생성됨 CK и IK 5G AKA 및 EAP-AKA 중.
KSEAF - 키로부터 AUSF 함수에 의해 획득된 앵커 키 KAMFAUSF.
캄프 — 키로부터 SEAF 함수에 의해 획득된 키 KSEAF.
KNA신트, KNASenc — 키로부터 AMF 함수에 의해 획득된 키 캄프 NAS 신호 트래픽을 보호합니다.
KRRCint, KRRCenc — 키로부터 AMF 함수에 의해 획득된 키 캄프 RRC 신호 트래픽을 보호합니다.
KUPint, KUPenc — 키로부터 AMF 함수에 의해 획득된 키 캄프 AS 신호 트래픽을 보호합니다.
NH — 키로부터 AMF 함수에 의해 획득된 중간 키 캄프 핸드오버 중 데이터 보안을 보장합니다.
KgNB — 키로부터 AMF 함수에 의해 획득된 키 캄프 이동성 메커니즘의 안전을 보장합니다.

SUPI에서 SUCI를 생성하거나 그 반대로 생성하는 방식

SUPI 및 SUCI 획득 계획

SUPI에서 SUCI 생산 및 SUCI에서 SUPI 생산:

인증

XNUMX차 인증

5G 네트워크에서는 EAP-AKA와 5G AKA가 표준 기본 인증 메커니즘입니다. 기본 인증 메커니즘을 두 단계로 나누어 보겠습니다. 첫 번째 단계는 인증 시작 및 인증 방법 선택을 담당하고, 두 번째 단계는 사용자와 네트워크 간의 상호 인증을 담당합니다.

개시

사용자는 사용자의 숨겨진 구독 ID SUCI가 포함된 등록 요청을 SEAF에 제출합니다.

SEAF는 SNN(Serving Network Name)과 SUPI 또는 SUCI가 포함된 인증 요청 메시지(Nausf_UEAuthentication_Authenticate Request)를 AUSF에 보냅니다.

AUSF는 SEAF 인증 요청자가 주어진 SNN을 사용할 수 있는지 여부를 확인합니다. 서비스 제공 네트워크가 이 SNN을 사용하도록 승인되지 않은 경우 AUSF는 "서비스 네트워크가 승인되지 않음"(Nausf_UEAuthentication_Authenticate Response) 승인 오류 메시지로 응답합니다.

인증 자격 증명은 AUSF가 SUPI 또는 SUCI 및 SNN을 통해 UDM, ARPF 또는 SIDF에 요청합니다.

SUPI 또는 SUCI와 사용자 정보를 기반으로 UDM/ARPF는 다음에 사용할 인증 방법을 선택하고 사용자의 자격 증명을 발급합니다.

상호인증

인증 방법을 사용할 때 UDM/ARPF 네트워크 기능은 인증 벡터(AV)를 생성해야 합니다.

EAP-AKA: UDM/ARPF는 먼저 비트 AMF = 1을 분리하여 인증 벡터를 생성한 다음 생성합니다. CK' и IK' 으로 CK, IK 및 SNN을 사용하여 새로운 AV 인증 벡터(RAND, AUTN, XRES*, CK', IK')는 EAP-AKA에만 사용하라는 지침과 함께 AUSF로 전송됩니다.

5G AKA: UDM/ARPF가 키를 얻습니다. 카우스프 으로 CK, IK SNN을 거쳐 5G HE AV를 생성합니다. 5G 홈 환경 인증 벡터). 5G HE AV 인증 벡터(RAND, AUTN, XRES, 카우스프)은 5G 전용 AKA에 사용하라는 지침과 함께 AUSF로 전송됩니다.

이 AUSF 후에 앵커 키를 얻습니다. KSEAF 열쇠에서 카우스프 RAND, AUTN 및 RES*도 포함하는 "Nausf_UEAuthentication_Authenticate Response" 메시지에서 SEAF "Challenge"에 요청을 보냅니다. 다음으로 RAND와 AUTN은 안전한 NAS 시그널링 메시지를 이용하여 사용자 단말에게 전송된다. 사용자의 USIM은 수신된 RAND와 AUTN에서 RES*를 계산하여 SEAF로 보냅니다. SEAF는 확인을 위해 이 값을 AUSF에 전달합니다.

AUSF는 저장된 XRES*와 사용자로부터 받은 RES*를 비교합니다. 일치하는 경우 사업자 홈 네트워크의 AUSF와 UDM에 인증 성공을 통보하고 사용자와 SEAF가 독립적으로 키를 생성합니다. 캄프 으로 KSEAF 추가 커뮤니케이션을 위한 SUPI.

XNUMX차 인증

5G 표준은 사용자 장비와 외부 데이터 네트워크 간의 EAP-AKA 기반 선택적 XNUMX차 인증을 지원합니다. 이 경우 SMF는 EAP 인증자 역할을 하며 작업에 의존합니다. AAA- 사용자를 인증하고 권한을 부여하는 외부 네트워크 서버.

• 홈 네트워크에서 필수 초기 사용자 인증이 발생하고 AMF를 사용하여 공통 NAS 보안 컨텍스트가 개발됩니다.
• 사용자는 AMF에 세션 설정 요청을 보냅니다.
• AMF는 사용자의 SUPI를 나타내는 세션을 SMF에 설정하라는 요청을 보냅니다.
• SMF는 제공된 SUPI를 사용하여 UDM에서 사용자 자격 증명의 유효성을 검사합니다.
• SMF는 AMF의 요청에 대한 응답을 보냅니다.
• SMF는 EAP 인증 절차를 시작하여 외부 네트워크의 AAA 서버로부터 세션을 설정할 수 있는 권한을 얻습니다. 이를 위해 SMF와 사용자는 메시지를 교환하여 절차를 시작합니다.
• 그런 다음 사용자와 외부 네트워크 AAA 서버는 메시지를 교환하여 사용자를 인증하고 권한을 부여합니다. 이 경우 사용자는 SMF에 메시지를 보내고 SMF는 UPF를 통해 외부 네트워크와 메시지를 교환합니다.

결론

5G 보안 아키텍처는 기존 기술의 재사용을 기반으로 하지만 완전히 새로운 과제를 제기합니다. 수많은 IoT 장치, 확장된 네트워크 경계 및 분산형 아키텍처 요소는 사이버 범죄자의 상상력을 마음껏 발휘할 수 있는 5G 표준의 핵심 원칙 중 일부에 불과합니다.

5G 보안 아키텍처의 핵심 표준은 TS 23.501 버전 15.6.0 — 보안 메커니즘 및 절차 운영의 핵심 사항을 담고 있습니다. 특히 사용자 데이터 및 네트워크 노드의 보호를 보장하고 암호화 키를 생성하며 인증 절차를 구현하는 데 있어 각 VNF의 역할을 설명합니다. 그러나 이 표준조차도 신세대 네트워크가 보다 집중적으로 개발되어 운영될수록 통신 사업자가 더 자주 직면하게 되는 시급한 보안 문제에 대한 답을 제공하지 않습니다.

그런 점에서, 5세대 네트워크를 운영하고 보호하는 데 따른 어려움은 어머니 친구의 아들처럼 전송 속도와 응답을 약속받고 이미 모든 것을 시험해 보고 싶어하는 일반 사용자에게 어떤 식으로든 영향을 미치지 않을 것이라고 믿고 싶습니다. 차세대 네트워크의 선언된 기능.

유용한 링크

3GPP 사양 시리즈
5G 보안 아키텍처
5G 시스템 아키텍처
5G 위키
5G 아키텍처 노트
5G 보안 개요

출처 : habr.com