Очигледно, преземањето развој на нов комуникациски стандард без размислување за безбедносни механизми е крајно сомнителен и залуден потфат.

Архитектура за безбедност на 5G — збир на безбедносни механизми и процедури имплементирани во Мрежи од 5-та генерација и ги покрива сите мрежни компоненти, од јадрото до радио интерфејсите.

Мрежите од 5-та генерација се, во суштина, еволуција LTE мрежи од 4-та генерација. Технологиите за пристап до радио ги претрпеа најзначајните промени. За мрежите од 5-та генерација, нов Стаорец (Технологија за пристап до радио) - 5G Ново радио. Што се однесува до јадрото на мрежата, тоа не претрпе толку значајни промени. Во овој поглед, безбедносната архитектура на 5G мрежите е развиена со акцент на повторна употреба на релевантни технологии усвоени во стандардот 4G LTE.

Сепак, вреди да се напомене дека преиспитувањето на познатите закани како што се нападите на воздушните интерфејси и сигналниот слој (сигнализација авион), DDOS напади, Man-In-The-Middle напади итн., ги поттикнаа телекомуникациските оператори да развијат нови стандарди и да интегрираат целосно нови безбедносни механизми во мрежите од 5-та генерација.

Позадина

Во 2015 година, Меѓународната телекомуникациска унија го подготви првиот од ваков вид глобален план за развој на мрежи од петта генерација, поради што прашањето за развој на безбедносни механизми и процедури во мрежите 5G стана особено акутно.

Новата технологија понуди навистина импресивна брзина на пренос на податоци (повеќе од 1 Gbps), латентност помала од 1 ms и можност за истовремено поврзување на околу 1 милион уреди во радиус од 1 km2. Ваквите највисоки барања за мрежите од 5-та генерација се рефлектираат и во принципите на нивната организација.

Главната беше децентрализацијата, што подразбираше поставување на многу локални бази на податоци и нивни центри за обработка на периферијата на мрежата. Ова овозможи да се минимизираат одложувањата кога M2M-комуникации и растеретување на мрежното јадро поради сервисирање на огромен број IoT уреди. Така, работ на мрежите од следната генерација се прошири сè до базните станици, овозможувајќи создавање локални комуникациски центри и обезбедување облак услуги без ризик од критични одложувања или одбивање на услугата. Секако, променетиот пристап кон вмрежувањето и услугите на клиентите беше од интерес за напаѓачите, бидејќи им отвори нови можности да ги нападнат и доверливите кориснички информации и самите мрежни компоненти со цел да предизвикаат одбивање на услугата или да ги искористат компјутерските ресурси на операторот.

Главните пропусти на мрежите од 5-та генерација

Голема нападна површина

ПовеќеКога граделе телекомуникациски мрежи од третата и четвртата генерација, телекомуникациските оператори обично биле ограничени на работа со еден или повеќе продавачи кои веднаш доставувале сет на хардвер и софтвер. Тоа е, сè можеше да работи, како што велат, „надвор од кутијата“ - доволно беше само да се инсталира и конфигурира опремата купена од продавачот; немаше потреба од замена или дополнување на комерцијален софтвер. Современите трендови се спротивни на овој „класичен“ пристап и се насочени кон виртуелизација на мрежите, пристап од повеќе продавачи кон нивната конструкција и разновидност на софтверот. Технологиите како што се SDN (англиски софтвер дефинирана мрежа) и НФВ (English Network Functions Virtualization), што доведува до вклучување на огромна количина софтвер изграден врз основа на кодови со отворен код во процесите и функциите на управување со комуникациски мрежи. Ова им дава можност на напаѓачите подобро да ја проучуваат мрежата на операторот и да идентификуваат поголем број пропусти, што, пак, ја зголемува површината на нападот на мрежите од новата генерација во споредба со сегашните.

Голем број на IoT уреди

ПовеќеДо 2021 година, околу 57% од уредите поврзани на 5G мрежите ќе бидат IoT уреди. Ова значи дека повеќето домаќини ќе имаат ограничени криптографски способности (види точка 2) и, соодветно, ќе бидат ранливи на напади. Огромен број такви уреди ќе го зголемат ризикот од ширење на ботнет и ќе овозможат извршување на уште помоќни и дистрибуирани DDoS напади.

Ограничени криптографски можности на IoT уредите

ПовеќеКако што веќе беше споменато, мрежите од 5-та генерација активно користат периферни уреди, кои овозможуваат да се отстрани дел од оптоварувањето од јадрото на мрежата и со тоа да се намали латентноста. Ова е неопходно за такви важни услуги како што се контрола на беспилотни возила, систем за предупредување за итни случаи ИСП и други, за кои е критично да се обезбеди минимално одложување, бидејќи од тоа зависат човечки животи. Поради поврзувањето на голем број IoT уреди, кои поради нивната мала големина и малата потрошувачка на енергија имаат многу ограничени компјутерски ресурси, 5G мрежите стануваат ранливи на напади насочени кон пресретнување на контролата и последователна манипулација со такви уреди. На пример, може да има сценарија каде што IoT уредите кои се дел од системот се заразени "паметна куќа“, видови на малициозен софтвер како што се Ransomware и Ransomware. Можни се и сценарија на контрола на пресретнување на беспилотни возила кои примаат команди и информации за навигација преку облакот. Формално, оваа ранливост се должи на децентрализацијата на мрежите од новата генерација, но следниот пасус појасно ќе го опише проблемот со децентрализацијата.

Децентрализација и проширување на мрежните граници

ПовеќеПериферните уреди, играјќи ја улогата на јадрата на локалната мрежа, вршат рутирање на корисничкиот сообраќај, обработка на барања, како и локално кеширање и складирање на кориснички податоци. Така, границите на мрежите од 5-та генерација се прошируваат, покрај јадрото, и на периферијата, вклучувајќи ги локалните бази на податоци и радио интерфејсите 5G-NR (5G Ново радио). Ова создава можност за напад на компјутерските ресурси на локалните уреди, кои се априори послабо заштитени од централните јазли на мрежното јадро, со цел да предизвикаат одбивање на услугата. Ова може да доведе до исклучување на пристапот до Интернет за цели области, неправилно функционирање на уредите за IoT (на пример, во систем за паметни домови), како и до недостапност на услугата за итни случаи на IMS.

Сепак, ETSI и 3GPP сега објавија повеќе од 10 стандарди кои покриваат различни аспекти на безбедноста на 5G мрежата. Огромното мнозинство од механизмите опишани таму се насочени кон заштита од ранливости (вклучувајќи ги и оние опишани погоре). Еден од главните е стандардот TS 23.501 верзија 15.6.0, опишувајќи ја безбедносната архитектура на мрежите од 5-та генерација.

5G архитектура

Прво, да се свртиме кон клучните принципи на 5G мрежната архитектура, која дополнително целосно ќе го открие значењето и областите на одговорност на секој софтверски модул и секоја безбедносна функција 5G.

• Поделба на мрежните јазли на елементи кои обезбедуваат работа на протоколите сопствен авион (од англискиот UP - User Plane) и елементи кои обезбедуваат работа на протоколите контролен авион (од англискиот CP - Control Plane), што ја зголемува флексибилноста во однос на скалирање и распоредување на мрежата, односно можно е централизирано или децентрализирано поставување на јазли на поединечни компоненти на мрежата.
• Поддршка на механизмот мрежно сечење, врз основа на услугите што им се даваат на одредени групи крајни корисници.
• Имплементација на мрежни елементи во форма функции на виртуелна мрежа.
• Поддршка за истовремен пристап до централизирани и локални услуги, т.е. имплементација на концепти на облак (од англиски. пресметување на магла) и граница (од англиски. работна пресметка) пресметки.
• Реализация конвергентен архитектура која комбинира различни типови пристапни мрежи - 3GPP 5G Ново радио и не-3GPP (Wi-Fi, итн.) - со едно мрежно јадро.
• Поддршка на униформни алгоритми и процедури за автентикација, без оглед на видот на пристапната мрежа.
• Поддршка за мрежни функции без државјанство, во кои пресметаниот ресурс е одделен од складиштето на ресурси.
• Поддршка за роаминг со насочување на сообраќајот и преку домашната мрежа (од англискиот домашен роаминг) и со локално „слетување“ (од англискиот локален пробив) во гостинската мрежа.
• Интеракцијата помеѓу мрежните функции е претставена на два начина: сервисно ориентирани и интерфејс.

Концептот за мрежна безбедност од 5-та генерација вклучува:

• Корисничка автентикација од мрежата.
• Мрежна автентикација од страна на корисникот.
• Преговарање за криптографски клучеви помеѓу мрежата и корисничката опрема.
• Енкрипција и контрола на интегритетот на сигналниот сообраќај.
• Енкрипција и контрола на интегритетот на корисничкиот сообраќај.
• Заштита на корисничкиот ID.
• Заштита на интерфејси помеѓу различни мрежни елементи во согласност со концептот на мрежен безбедносен домен.
• Изолација на различни слоеви на механизмот мрежно сечење и дефинирање на сопствените безбедносни нивоа на секој слој.
• Корисничка автентикација и заштита на сообраќајот на ниво на крајни услуги (IMS, IoT и други).

Клучни софтверски модули и безбедносни карактеристики на 5G мрежата

АМФ (од англиската функција за управување со пристап и мобилност - функција за управување со пристап и мобилност) - обезбедува:

• Организација на интерфејси на контролната рамнина.
• Организација на размена на сигнален сообраќај RRC, шифрирање и заштита на интегритетот на неговите податоци.
• Организација на размена на сигнален сообраќај NAS, шифрирање и заштита на интегритетот на неговите податоци.
• Управување со регистрација на корисничка опрема на мрежата и следење на можните состојби на регистрација.
• Управување со поврзувањето на корисничката опрема со мрежата и следење на можните состојби.
• Контролирајте ја достапноста на корисничката опрема на мрежата во состојба CM-IDLE.
• Управување со мобилност на корисничка опрема во мрежата во состојба CM-CONNECTED.
• Пренос на кратки пораки помеѓу корисничка опрема и SMF.
• Управување со локациски услуги.
• Распределба на ID на нишка ЕПС за да комуницирате со EPS.

SMF (Англиски: Session Management Function - функција за управување со сесии) - обезбедува:

• Управување со комуникациските сесии, т.е. креирање, модификација и ослободување на сесии, вклучително и одржување на тунел помеѓу пристапната мрежа и UPF.
• Дистрибуција и управување со IP адреси на корисничка опрема.
• Избирање на портата UPF за употреба.
• Организација на интеракција со PCF.
• Управување со спроведување на политиката QoS.
• Динамична конфигурација на корисничка опрема користејќи ги протоколите DHCPv4 и DHCPv6.
• Следење на собирањето тарифни податоци и организирање на интеракција со системот за наплата.
• Беспрекорно обезбедување на услуги (од англиски. SSC - Континуитет на сесија и сервис).
• Интеракција со гостински мрежи во роаминг.

UPF (English User Plane Function - функција на корисничко рамниште) - обезбедува:

• Интеракција со надворешни податочни мрежи, вклучувајќи го и глобалниот Интернет.
• Рутирање на кориснички пакети.
• Обележување на пакети во согласност со политиките за QoS.
• Дијагностика на кориснички пакети (на пример, откривање апликација базирана на потпис).
• Обезбедување извештаи за користењето на сообраќајот.
• UPF е исто така прицврстувачка точка за поддршка на мобилноста и во и помеѓу различни технологии за радио пристап.

UDM (англиски Унифициран управување со податоци - унифицирана база на податоци) - обезбедува:

• Управување со податоците од корисничкиот профил, вклучително и складирање и менување на листата на услуги достапни за корисниците и нивните соодветни параметри.
• Владеење СУПИ
• Генерирајте акредитиви за автентикација на 3GPP AKA.
• Пристап до овластување врз основа на податоците на профилот (на пример, ограничувања во роаминг).
• Управување со регистрација на корисници, т.е. складирање на сервисни AMF.
• Поддршка за беспрекорни сервисни и комуникациски сесии, т.е. складирање на SMF доделен на тековната комуникациска сесија.
• Управување со испорака на СМС.
• Неколку различни UDM може да му служат на истиот корисник преку различни трансакции.

UDR (English Unified Data Repository - складирање на унифицирани податоци) - обезбедува складирање на различни кориснички податоци и, всушност, е база на податоци на сите претплатници на мрежата.

УДСФ (English Unstructured Data Storage Function - неструктурирана функција за складирање податоци) - осигурува дека AMF модулите ги зачувуваат тековните контексти на регистрираните корисници. Општо земено, оваа информација може да се претстави како податоци од неопределена структура. Корисничките контексти може да се користат за да се обезбедат беспрекорни и непрекинати сесии на претплатници, како за време на планираното повлекување на еден од AMF од услугата, така и во случај на итност. Во двата случаи, резервниот AMF ќе ја „подигне“ услугата користејќи контексти зачувани во USDF.

Комбинирањето на UDR и UDSF на иста физичка платформа е типична имплементација на овие мрежни функции.

PCF (Англиски: Policy Control Function - функција за контрола на политиката) - креира и доделува одредени политики за услуги на корисниците, вклучувајќи ги и QoS параметрите и правилата за наплата. На пример, за пренос на еден или друг вид сообраќај, виртуелните канали со различни карактеристики може динамички да се креираат. Во исто време, може да се земат предвид барањата на услугата што ги бара претплатникот, нивото на застојот на мрежата, количината на потрошен сообраќај итн.

НЕФ (English Network Exposure Function - функција за мрежна изложеност) - обезбедува:

• Организација на безбедна интеракција на надворешни платформи и апликации со мрежното јадро.
• Управувајте со QoS параметрите и правилата за наплата за одредени корисници.

SEAF (English Security Anchor Function - сидро безбедносна функција) - заедно со AUSF, обезбедува автентикација на корисниците кога се регистрираат на мрежата со која било технологија за пристап.

АУСФ (English Authentication Server Function - функција на серверот за автентикација) - ја игра улогата на сервер за автентикација кој прима и обработува барања од SEAF и ги пренасочува кон ARPF.

ARPF (Англиски: Authentication Credential Repository and Processing Function - функција за складирање и обработка на акредитиви за автентикација) - обезбедува складирање на лични тајни клучеви (KI) и параметри на криптографски алгоритми, како и генерирање вектори за автентикација во согласност со 5G-AKA или ЕАП-АКА. Се наоѓа во центарот за податоци на домашниот телекомуникациски оператор, заштитен од надворешни физички влијанија и, по правило, е интегриран со UDM.

SCMF (Англиска функција за управување со безбедносниот контекст - функција за управување безбедносен контекст) - Обезбедува управување со животниот циклус за безбедносниот контекст на 5G.

СПЦФ (English Security Policy Control Function - функција за управување со безбедносна политика) - обезбедува координација и примена на безбедносните политики во однос на конкретни корисници. Ова ги зема предвид можностите на мрежата, можностите на корисничката опрема и барањата на конкретната услуга (на пример, нивоата на заштита обезбедени од критичната комуникациска услуга и услугата за безжичен широкопојасен интернет пристап може да се разликуваат). Примената на безбедносните политики вклучува: избор на AUSF, избор на алгоритам за автентикација, избор на алгоритми за шифрирање на податоците и контрола на интегритетот, определување на должината и животниот циклус на клучевите.

СИДФ (English Subscription Identifier De-cocealing Function - функција за екстракција на кориснички идентификатор) - обезбедува извлекување на постојаниот идентификатор за претплата на претплатникот (англиски SUPI) од скриен идентификатор (англиски SUCI), добиено како дел од барањето за процедура за автентикација „Auth Info Req“.

Основни безбедносни барања за 5G комуникациски мрежи

ПовеќеКорисничка автентикација: 5G мрежата што служи мора да го потврди SUPI на корисникот во процесот 5G AKA помеѓу корисникот и мрежата.

Сервисирање мрежна автентикација: Корисникот мора да го автентицира ID на мрежата за сервисирање 5G, со автентикација постигната преку успешна употреба на клучеви добиени преку процедурата 5G AKA.

Овластување на корисникот: Услужната мрежа мора да го овласти корисникот користејќи го корисничкиот профил добиен од мрежата на домашниот телеком оператор.

Овластување на опслужувачката мрежа од мрежата на домашниот оператор: Корисникот мора да добие потврда дека е поврзан на сервисна мрежа која е овластена од мрежата на домашниот оператор да дава услуги. Овластувањето е имплицитно во смисла дека е обезбедено со успешно завршување на процедурата 5G AKA.

Овластување на пристапната мрежа од матичната операторска мрежа: Корисникот мора да добие потврда дека е поврзан на пристапна мрежа која е овластена од мрежата на домашниот оператор да дава услуги. Овластувањето е имплицитно во смисла дека се спроведува со успешно воспоставување на безбедноста на пристапната мрежа. Овој тип на овластување мора да се користи за секаков тип на пристапна мрежа.

Неавтентицирани служби за итни случаи: За да се исполнат регулаторните барања во некои региони, мрежите 5G мора да обезбедат неавтентициран пристап за службите за итни случаи.

Мрежна јадро и радио пристапна мрежа: Јадрото на 5G мрежата и мрежата за радио пристап 5G мора да поддржуваат употреба на 128-битни алгоритми за шифрирање и интегритет за да се обезбеди безбедност AS и NAS. Мрежните интерфејси мора да поддржуваат 256-битни клучеви за шифрирање.

Основни безбедносни барања за корисничка опрема

Повеќе

• Корисничката опрема мора да поддржува шифрирање, заштита на интегритетот и заштита од напади за повторување за корисничките податоци што се пренесуваат помеѓу неа и мрежата за радио пристап.
• Корисничката опрема мора да ги активира механизмите за заштита на шифрирањето и интегритетот на податоците како што е наведено од мрежата за радио пристап.
• Корисничката опрема мора да поддржува шифрирање, заштита на интегритетот и заштита од напади за повторување за сообраќајот за сигнализација RRC и NAS.
• Корисничката опрема мора да ги поддржува следните криптографски алгоритми: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
• Корисничката опрема може да ги поддржува следните криптографски алгоритми: 128-NEA3, 128-NIA3.
• Корисничката опрема мора да ги поддржува следните криптографски алгоритми: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2 доколку поддржува поврзување со мрежата за радио пристап E-UTRA.
• Заштитата на доверливоста на корисничките податоци што се пренесуваат помеѓу корисничката опрема и мрежата за радио пристап е опционална, но мора да се обезбеди секогаш кога тоа е дозволено со регулатива.
• Заштитата на приватноста за сообраќајот со сигнализација RRC и NAS е опционална.
• Постојаниот клуч на корисникот мора да биде заштитен и складиран во добро обезбедени компоненти на корисничката опрема.
• Идентификаторот за постојана претплата на претплатникот не треба да се пренесува во јасен текст преку мрежата за радио пристап освен за информации потребни за правилно рутирање (на пример МКЦ и МНК).
• Јавниот клуч на мрежата на домашниот оператор, идентификаторот на клучот, идентификаторот на безбедносната шема и идентификаторот за рутирање мора да се складираат во УСИМ.

Секој алгоритам за шифрирање е поврзан со бинарен број:

• „0000“: NEA0 - алгоритам за нулта шифрирање
• "0001": 128-NEA1 - 128-битен СНЕГ Алгоритам базиран на 3G
• "0010" 128-NEA2 - 128-битен АЕС базиран алгоритам
• "0011" 128-NEA3 - 128-битен ZUC базиран алгоритам

Шифрирање на податоци користејќи 128-NEA1 и 128-NEA2

PS Колото е позајмено од TS 133.501

Генерирање на симулирани инсерти со алгоритми 128-NIA1 и 128-NIA2 за да се обезбеди интегритет

PS Колото е позајмено од TS 133.501

Основни безбедносни барања за функциите на мрежата 5G

Повеќе

• AMF мора да поддржува примарна автентикација користејќи SUCI.
• SEAF мора да поддржува примарна автентикација користејќи SUCI.
• UDM и ARPF мора да го складираат постојаниот клуч на корисникот и да се осигураат дека тој е заштитен од кражба.
• AUSF ќе обезбеди SUPI на локалната сервисна мрежа само по успешна почетна автентикација користејќи SUCI.
• NEF не смее да препраќа скриени информации за основната мрежа надвор од безбедносниот домен на операторот.

Основни безбедносни процедури

Доверба домени

Во мрежите од 5-та генерација, довербата во мрежните елементи се намалува како што елементите се оддалечуваат од јадрото на мрежата. Овој концепт влијае на одлуките имплементирани во безбедносната архитектура 5G. Така, можеме да зборуваме за модел на доверба на 5G мрежи што го одредува однесувањето на механизмите за безбедност на мрежата.

На страната на корисникот, доменот на доверба е формиран од UICC и USIM.

На мрежната страна, доменот на доверба има посложена структура.

Мрежата за радио пристап е поделена на две компоненти − DU (од англиски Distributed Units - дистрибуирани мрежни единици) и CU (од англиските централни единици - централни единици на мрежата). Заедно тие се формираат gNB — радио интерфејс на базната станица на 5G мрежата. DU немаат директен пристап до корисничките податоци бидејќи може да се распоредат на незаштитени инфраструктурни сегменти. CU мора да бидат распоредени во заштитени мрежни сегменти, бидејќи тие се одговорни за прекинување на сообраќајот од безбедносните механизми AS. Во јадрото на мрежата се наоѓа АМФ, кој го прекинува сообраќајот од безбедносните механизми на NAS. Тековната спецификација 3GPP 5G Фаза 1 ја опишува комбинацијата АМФ со безбедносна функција SEAF, кој го содржи коренскиот клуч (исто така познат како „сидро клуч“) на посетената (сервирана) мрежа. АУСФ е одговорен за складирање на клучот добиен по успешна автентикација. Неопходно е за повторна употреба во случаи кога корисникот е истовремено поврзан со неколку мрежи за радио пристап. ARPF ги зачувува корисничките акредитиви и е аналог на USIM за претплатници. UDR и UDM складирање на кориснички информации, кои се користат за одредување на логиката за генерирање ингеренции, кориснички идентификатори, обезбедување континуитет на сесијата итн.

Хиерархија на клучеви и шеми за нивна дистрибуција

Во мрежите од 5-та генерација, за разлика од мрежите 4G-LTE, процедурата за автентикација има две компоненти: примарна и секундарна автентикација. Потребна е примарна автентикација за сите кориснички уреди што се поврзуваат на мрежата. Секундарната автентикација може да се изврши на барање од надворешни мрежи, доколку претплатникот се поврзе со нив.

По успешното завршување на примарната автентикација и развојот на споделен клуч K помеѓу корисникот и мрежата, KSEAF се извлекува од клучот K - специјален анкер (root) клуч на мрежата за сервисирање. Последователно, клучевите се генерираат од овој клуч за да се обезбеди доверливост и интегритет на податоците за сообраќајот за сигнализација RRC и NAS.

Дијаграм со објаснувања
Ознаки:
CK Шифрен клуч
IK (англиски: Integrity Key) - клуч што се користи во механизмите за заштита на интегритетот на податоците.
CK' (eng. Cipher Key) - уште еден криптографски клуч создаден од CK за механизмот EAP-AKA.
ИК (English Integrity Key) - уште еден клуч што се користи во механизмите за заштита на интегритетот на податоците за EAP-AKA.
КАУСФ - генерирана од функцијата ARPF и корисничка опрема од CK и IK за време на 5G AKA и EAP-AKA.
КСЕАФ - клуч за прицврстување добиен со функцијата AUSF од клучот КАМФАУСФ.
КАМФ — клучот што го добива функцијата SEAF од клучот КСЕАФ.
КНАСинт, КНАСенц — копчињата добиени со функцијата AMF од клучот КАМФ за заштита на NAS сигналниот сообраќај.
KRRCint, КРРЦенц — копчињата добиени со функцијата AMF од клучот КАМФ за да се заштити сообраќајот со RRC сигнализација.
KUPint, КУПенц — копчињата добиени со функцијата AMF од клучот КАМФ за заштита на сообраќајот за сигнализација AS.
NH — средно клуч добиен со функцијата AMF од клучот КАМФ за да се обезбеди безбедност на податоците за време на предавањата.
KgNB — клучот што го добива функцијата AMF од клучот КАМФ да се осигури безбедноста на механизмите за мобилност.

Шеми за генерирање SUCI од SUPI и обратно

Шеми за добивање SUPI и SUCI

Производство на SUCI од SUPI и SUPI од SUCI:

Автентикација

Примарна автентикација

Во 5G мрежите, EAP-AKA и 5G AKA се стандардни примарни механизми за автентикација. Ајде да го поделиме примарниот механизам за автентикација на две фази: првата е одговорна за иницирање автентикација и избор на метод за автентикација, втората е одговорна за взаемна автентикација помеѓу корисникот и мрежата.

Иницијација

Корисникот поднесува барање за регистрација до SEAF, кое го содржи скриениот ID за претплата на корисникот SUCI.

SEAF испраќа до AUSF порака за барање за автентикација (Nausf_UEAuthentication_Authenticate Request) која содржи SNN (Име на мрежа за сервисирање) и SUPI или SUCI.

AUSF проверува дали на барателот за автентикација SEAF му е дозволено да го користи дадениот SNN. Ако мрежата за сервисирање не е овластена да го користи овој SNN, тогаш AUSF одговара со порака за грешка за овластување „Мрежата што служи не е овластена“ (Nausf_UEAuthentication_Authenticate Response).

Ингеренциите за автентикација ги бара AUSF до UDM, ARPF или SIDF преку SUPI или SUCI и SNN.

Врз основа на SUPI или SUCI и информациите за корисникот, UDM/ARPF го избира методот за автентикација што ќе го користи следно и ги издава ингеренциите на корисникот.

Взаемна автентикација

Кога користите кој било метод за автентикација, функциите на мрежата UDM/ARPF мора да генерираат вектор за автентикација (AV).

EAP-AKA: UDM/ARPF прво генерира вектор за автентикација со одделувачки бит AMF = 1, а потоа генерира CK' и ИК на CK, IK и SNN и претставува нов вектор за автентикација на AV (RAND, AUTN, XRES*, CK', ИК), кој се испраќа до AUSF со инструкции да се користи само за EAP-AKA.

5G AKA: UDM/ARPF го добива клучот КАУСФ на CK, IK и SNN, по што генерира 5G HE AV. Вектор за автентикација на домашна средина 5G). 5G HE AV вектор за автентикација (RAND, AUTN, XRES, КАУСФ) се испраќа до AUSF со упатства да се користи само за 5G AKA.

По овој AUSF се добива клучот за сидро КСЕАФ од клучот КАУСФ и испраќа барање до SEAF „Предизвик“ во пораката „Nausf_UEAuthentication_Authenticate Response“, која исто така содржи RAND, AUTN и RES*. Следно, RAND и AUTN се пренесуваат до корисничката опрема користејќи безбедна NAS сигнална порака. УСИМ на корисникот пресметува RES* од примените RAND и AUTN и ги испраќа до SEAF. SEAF ја пренесува оваа вредност на AUSF за верификација.

AUSF ги споредува XRES* складирани во него и RES* добиени од корисникот. Ако има совпаѓање, AUSF и UDM во домашната мрежа на операторот се известуваат за успешна автентикација, а корисникот и SEAF независно генерираат клуч КАМФ на КСЕАФ и СУПИ за понатамошна комуникација.

Секундарна автентикација

Стандардот 5G поддржува опционална секундарна автентикација врз основа на EAP-AKA помеѓу корисничката опрема и надворешната мрежа за податоци. Во овој случај, SMF ја игра улогата на EAP автентикатор и се потпира на работата ААА-надворешен мрежен сервер кој го автентицира и овластува корисникот.

• Се случува задолжителна почетна автентикација на корисникот на домашната мрежа и се развива заеднички безбедносен контекст NAS со AMF.
• Корисникот испраќа барање до AMF да воспостави сесија.
• AMF испраќа барање за воспоставување сесија до SMF што го означува SUPI на корисникот.
• SMF ги потврдува ингеренциите на корисникот во UDM користејќи го дадениот SUPI.
• SMF испраќа одговор на барањето од AMF.
• SMF ја иницира процедурата за автентикација EAP за да добие дозвола за воспоставување сесија од серверот AAA на надворешната мрежа. За да го направите ова, SMF и корисникот разменуваат пораки за да ја започнат постапката.
• Корисникот и надворешниот мрежен сервер ААА потоа разменуваат пораки за да го автентицираат и овластат корисникот. Во овој случај, корисникот испраќа пораки до SMF, кој пак разменува пораки со надворешната мрежа преку UPF.

Заклучок

Иако безбедносната архитектура 5G се заснова на повторна употреба на постоечките технологии, таа поставува сосема нови предизвици. Огромен број на IoT уреди, проширени мрежни граници и децентрализирани елементи на архитектурата се само некои од клучните принципи на стандардот 5G кои даваат слобода на имагинацијата на сајбер-криминалците.

Основниот стандард за безбедносната архитектура 5G е TS 23.501 верзија 15.6.0 — содржи клучни точки од функционирањето на безбедносните механизми и процедури. Конкретно, ја опишува улогата на секој VNF во обезбедувањето заштита на корисничките податоци и мрежните јазли, во генерирањето на крипто-клучеви и во спроведувањето на процедурата за автентикација. Но, дури и овој стандард не дава одговори на итни безбедносни прашања со кои се соочуваат телекомуникациските оператори почесто, колку што поинтензивно се развиваат и ставаат во функција мрежите од новата генерација.

Во врска со ова, би сакал да верувам дека тешкотиите во работењето и заштитата на мрежите од 5-та генерација на никаков начин нема да влијаат на обичните корисници, на кои им се ветуваат брзини на пренос и одговори како син на пријател на мајка и веќе се желни да ги испробаат сите декларираните можности на мрежите од новата генерација.

Корисни линкови

3GPP Спецификации серија
5G безбедносна архитектура
Архитектура на системот 5G
5G Вики
Забелешки за архитектурата 5G
Преглед на безбедноста на 5G

Извор: www.habr.com