Terwijl enthousiastelingen met spanning wachten op de massale introductie van netwerken van de vijfde generatie, wrijven cybercriminelen zich in de handen, anticiperend op nieuwe winstmogelijkheden. Ondanks alle inspanningen van ontwikkelaars bevat de 5G-technologie kwetsbaarheden, waarvan de identificatie wordt bemoeilijkt door het gebrek aan ervaring met het werken in nieuwe omstandigheden. We hebben een klein 5G-netwerk onderzocht en drie soorten kwetsbaarheden geïdentificeerd, die we in dit bericht zullen bespreken.
Studieobject
Laten we eens kijken naar het eenvoudigste voorbeeld: een model van een niet-openbaar 5G-campusnetwerk (Non-Public Network, NPN), verbonden met de buitenwereld via openbare communicatiekanalen. Dit zijn de netwerken die in de nabije toekomst als standaardnetwerken zullen worden gebruikt in alle landen die meedoen aan de race om 5G. De potentiële omgeving voor het inzetten van netwerken van deze configuratie bestaat uit ‘slimme’ ondernemingen, ‘slimme’ steden, kantoren van grote bedrijven en andere vergelijkbare locaties met een hoge mate van controle.
NPN-infrastructuur: het gesloten netwerk van de onderneming is via publieke kanalen verbonden met het wereldwijde 5G-netwerk. Bron: Trend Micro
In tegenstelling tot netwerken van de vierde generatie zijn 5G-netwerken gericht op realtime gegevensverwerking, waardoor hun architectuur lijkt op een taart met meerdere lagen. Gelaagdheid zorgt voor eenvoudigere interactie door API's te standaardiseren voor communicatie tussen lagen.
Vergelijking van 4G- en 5G-architecturen. Bron: Trend Micro
Het resultaat is een grotere automatisering en schaalbaarheid, die van cruciaal belang zijn voor het verwerken van enorme hoeveelheden informatie uit het Internet of Things (IoT).
De isolatie van niveaus die in de 5G-standaard zijn ingebouwd, leidt tot het ontstaan van een nieuw probleem: beveiligingssystemen die binnen het NPN-netwerk opereren, beschermen het object en de private cloud, beveiligingssystemen van externe netwerken beschermen hun interne infrastructuur. Verkeer tussen NPN en externe netwerken wordt als veilig beschouwd omdat het afkomstig is van beveiligde systemen, maar in feite beschermt niemand het.
In ons laatste onderzoek We presenteren verschillende scenario’s van cyberaanvallen op 5G-netwerken die misbruik maken van:
- Kwetsbaarheden in de SIM-kaart,
- netwerkkwetsbaarheden,
- kwetsbaarheden in identificatiesystemen.
Laten we elke kwetsbaarheid in meer detail bekijken.
Kwetsbaarheden in de SIM-kaart
Een simkaart is een complex apparaat dat zelfs een hele reeks ingebouwde applicaties heeft: SIM Toolkit, STK. Een van deze programma's, S@T Browser, kan in theorie worden gebruikt om de interne sites van de operator te bekijken, maar is in de praktijk al lang vergeten en sinds 2009 niet meer bijgewerkt, omdat deze functies nu door andere programma's worden uitgevoerd.
Het probleem is dat S@T Browser kwetsbaar bleek te zijn: een speciaal voorbereide service-sms hackt de simkaart en dwingt deze om de door de hacker benodigde opdrachten uit te voeren, en de gebruiker van de telefoon of het apparaat zal niets ongewoons merken. De aanval kreeg een naam en geeft veel kansen aan aanvallers.
Simjacking-aanval in 5G-netwerk. Bron: Trend Micro
Het stelt de aanvaller in het bijzonder in staat gegevens over te dragen over de locatie van de abonnee, de identificatie van zijn apparaat (IMEI) en zendmast (Cell ID), en de telefoon te dwingen een nummer te bellen, een sms te sturen, een link te openen in de browser en schakel zelfs de simkaart uit.
In 5G-netwerken wordt deze kwetsbaarheid van simkaarten een serieus probleem gezien het aantal aangesloten apparaten. Hoewel , in netwerken van de vijfde generatie is dit nog steeds het geval . En aangezien alles zo werkt, kun je geen snelle vervanging van bestaande simkaarten verwachten.
Kwaadwillig gebruik van roaming. Bron: Trend Micro
Met behulp van Simjacking kunt u een simkaart in de roamingmodus dwingen en deze dwingen verbinding te maken met een zendmast die wordt beheerd door een aanvaller. In dit geval kan de aanvaller de instellingen van de simkaart wijzigen om telefoongesprekken te beluisteren, malware te introduceren en verschillende soorten aanvallen uit te voeren met behulp van een apparaat met een gecompromitteerde simkaart. Wat hem daartoe in staat zal stellen, is het feit dat interactie met apparaten tijdens roaming plaatsvindt zonder de beveiligingsprocedures te omzeilen die zijn aangenomen voor apparaten in het ‘thuisnetwerk’.
Netwerkkwetsbaarheden
Aanvallers kunnen de instellingen van een gecompromitteerde simkaart wijzigen om hun problemen op te lossen. Door het relatieve gemak en de stealth van de Simjaking-aanval kan deze voortdurend worden uitgevoerd, waarbij langzaam en geduldig de controle over steeds meer nieuwe apparaten wordt overgenomen () stukjes van het net afsnijden als plakjes salami (). Het is uiterst moeilijk om een dergelijke impact te volgen, en in de context van een complex gedistribueerd 5G-netwerk is het vrijwel onmogelijk.
Geleidelijke introductie in het 5G-netwerk met behulp van Low- en Slow + Salami-aanvallen. Bron: Trend Micro
En aangezien 5G-netwerken geen ingebouwde beveiligingscontroles voor simkaarten hebben, zullen aanvallers geleidelijk hun eigen regels kunnen vaststellen binnen het 5G-communicatiedomein, waarbij ze buitgemaakte simkaarten kunnen gebruiken om geld te stelen, autorisatie te verlenen op netwerkniveau, malware te installeren en andere. illegale activiteiten.
Van bijzonder belang is het verschijnen op hackerforums van tools die het in beslag nemen van simkaarten automatiseren met behulp van Simjaking, aangezien het gebruik van dergelijke tools voor netwerken van de vijfde generatie aanvallers vrijwel onbeperkte mogelijkheden geeft om aanvallen op te schalen en vertrouwd verkeer te wijzigen.
Identificatiekwetsbaarheden
De SIM-kaart wordt gebruikt om het apparaat op het netwerk te identificeren. Als de simkaart actief is en een positief saldo heeft, wordt het apparaat automatisch als legitiem beschouwd en veroorzaakt het geen argwaan op het niveau van detectiesystemen. Ondertussen maakt de kwetsbaarheid van de simkaart zelf het hele identificatiesysteem kwetsbaar. IT-beveiligingssystemen zullen eenvoudigweg niet in staat zijn een illegaal aangesloten apparaat te traceren als het zich op het netwerk registreert met behulp van identificatiegegevens die via Simjaking zijn gestolen.
Het blijkt dat een hacker die via een gehackte simkaart verbinding maakt met het netwerk toegang krijgt op het niveau van de echte eigenaar, aangezien IT-systemen apparaten die de identificatie op netwerkniveau hebben doorstaan, niet meer controleren.
Gegarandeerde identificatie tussen de software- en netwerklagen voegt nog een uitdaging toe: criminelen kunnen opzettelijk “ruis” creëren voor inbraakdetectiesystemen door voortdurend verschillende verdachte acties uit te voeren ten behoeve van buitgemaakte legitieme apparaten. Omdat automatische detectiesystemen gebaseerd zijn op statistische analyses, zullen de alarmdrempels geleidelijk stijgen, zodat er niet op echte aanvallen wordt gereageerd. Dit soort langdurige blootstelling kan de werking van het hele netwerk heel goed veranderen en statistische blinde vlekken voor detectiesystemen creëren. Criminelen die dergelijke gebieden controleren, kunnen gegevens binnen het netwerk en fysieke apparaten aanvallen, denial-of-service veroorzaken en andere schade aanrichten.
Oplossing: uniforme identiteitsverificatie
De kwetsbaarheden van het onderzochte 5G NPN-netwerk zijn een gevolg van de fragmentatie van beveiligingsprocedures op communicatieniveau, op het niveau van simkaarten en apparaten, maar ook op het niveau van roaming-interactie tussen netwerken. Om dit probleem op te lossen is het noodzakelijk in overeenstemming met het beginsel van nulvertrouwen () Zorg ervoor dat apparaten die verbinding maken met het netwerk bij elke stap worden geverifieerd door een federatief identiteits- en toegangscontrolemodel te implementeren ().
Het ZTA-principe is om de veiligheid te handhaven, zelfs als een apparaat ongecontroleerd is, beweegt of zich buiten de netwerkperimeter bevindt. Het federatieve identiteitsmodel is een benadering van 5G-beveiliging die één enkele, consistente architectuur biedt voor authenticatie, toegangsrechten, gegevensintegriteit en andere componenten en technologieën in 5G-netwerken.
Deze aanpak elimineert de mogelijkheid om een ‘roaming’-toren in het netwerk te introduceren en vastgelegde simkaarten ernaar om te leiden. IT-systemen zullen de verbinding van buitenlandse apparaten volledig kunnen detecteren en ongewenst verkeer kunnen blokkeren dat statistische ruis veroorzaakt.
Om de simkaart tegen wijzigingen te beschermen, is het noodzakelijk om er extra integriteitscontrolers in te introduceren, mogelijk geïmplementeerd in de vorm van een op blockchain gebaseerde simtoepassing. De applicatie kan worden gebruikt om apparaten en gebruikers te authenticeren, maar ook om de integriteit van de firmware en SIM-kaartinstellingen te controleren, zowel tijdens roaming als bij het werken op een thuisnetwerk.
We vatten samen
De oplossing voor de geïdentificeerde 5G-beveiligingsproblemen kan worden gepresenteerd als een combinatie van drie benaderingen:
- implementatie van een federatief model voor identificatie en toegangscontrole, dat de integriteit van gegevens in het netwerk zal garanderen;
- zorgen voor volledige zichtbaarheid van bedreigingen door een gedistribueerd register te implementeren om de legitimiteit en integriteit van simkaarten te verifiëren;
- de vorming van een gedistribueerd beveiligingssysteem zonder grenzen, waarmee problemen met de interactie met apparaten tijdens roaming worden opgelost.
De praktische implementatie van deze maatregelen kost tijd en serieuze kosten, maar de uitrol van 5G-netwerken vindt overal plaats, wat betekent dat het werk aan het elimineren van kwetsbaarheden nu moet beginnen.
Bron: www.habr.com