{"id":54348,"date":"2019-12-24T00:00:00","date_gmt":"2019-12-23T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/vvedenie-v-arhitekturu-bezopasnosti-5g-nfv-klyuchi-i-2-autentifikatsii"},"modified":"2020-02-18T14:02:21","modified_gmt":"2020-02-18T11:02:21","slug":"vvedenie-v-arhitekturu-bezopasnosti-5g-nfv-klyuchi-i-2-autentifikatsii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/vvedenie-v-arhitekturu-bezopasnosti-5g-nfv-klyuchi-i-2-autentifikatsii","title":{"rendered":"Wprowadzenie do architektury bezpiecze\u0144stwa 5G: NFV, klucze i 2 metody uwierzytelniania","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Wprowadzenie<\/a><\/noindex><\/p>\n

Oczywiste jest, \u017ce podejmowanie si\u0119 opracowania nowego standardu komunikacji bez uwzgl\u0119dnienia mechanizm\u00f3w zapewnienia bezpiecze\u0144stwa to niezwykle w\u0105tpliwe i bezu\u017cyteczne dzia\u0142anie.<\/p>\n

Architektura bezpiecze\u0144stwa 5G<\/u> to zbi\u00f3r mechanizm\u00f3w i procedur bezpiecze\u0144stwa wdro\u017conych w sieciach pi\u0105tej generacji<\/a><\/noindex> i obejmuj\u0105cych wszystkie komponenty sieci, pocz\u0105wszy od rdzenia, a\u017c po interfejsy radiowe. <\/p>\n

Sieci pi\u0105tej generacji s\u0105 w istocie ewolucj\u0105 sieci czwartej generacji LTE.<\/a><\/noindex>Najbardziej znacz\u0105ce zmiany dotycz\u0105 technologii dost\u0119pu radiowego. Dla sieci pi\u0105tej generacji opracowano now\u0105 RAT<\/a><\/noindex> (Technologia Dost\u0119pu Radiowego) \u2014 5G New Radio.<\/a><\/noindex>Je\u015bli chodzi o rdze\u0144 sieci, nie przeszed\u0142 on tak znacz\u0105cych zmian. W zwi\u0105zku z tym architektura bezpiecze\u0144stwa sieci 5G zosta\u0142a opracowana z naciskiem na ponowne wykorzystanie odpowiednich technologii przyj\u0119tych w standardzie 4G LTE.<\/p>\n

Warto jednak zauwa\u017cy\u0107, \u017ce przewarto\u015bciowanie tak dobrze znanych zagro\u017ce\u0144, jak ataki na interfejsy radiowe i poziom sygnalizacji (plane sygnalizacji<\/a><\/noindex> ), ataki DDoS, ataki Man-In-The-Middle i inne, sk\u0142oni\u0142o operator\u00f3w sieci do opracowania nowych standard\u00f3w i integracji zupe\u0142nie nowych mechanizm\u00f3w bezpiecze\u0144stwa w sieciach pi\u0105tej generacji.
\n<\/a><\/noindex>
\n\"Wprowadzenie<\/p>\n

Przes\u0142anki<\/h1>\n

\nW 2015 roku Mi\u0119dzynarodowy Zwi\u0105zek Telekomunikacyjny stworzy\u0142 pierwszy w swoim rodzaju globalny plan rozwoju sieci pi\u0105tej generacji, co sprawi\u0142o, \u017ce kwestia opracowania mechanizm\u00f3w i procedur bezpiecze\u0144stwa w sieciach 5G sta\u0142a si\u0119 szczeg\u00f3lnie istotna. <\/p>\n

Nowa technologia oferowa\u0142a naprawd\u0119 imponuj\u0105ce pr\u0119dko\u015bci przesy\u0142u danych (ponad 1 Gbit\/s), op\u00f3\u017anienia poni\u017cej 1 ms oraz mo\u017cliwo\u015b\u0107 jednoczesnego pod\u0142\u0105czenia oko\u0142o 1 miliona urz\u0105dze\u0144 w promieniu 1 km\u00b2. Tak wyg\u00f3rowane wymagania dotycz\u0105ce sieci pi\u0105tej generacji znalaz\u0142y r\u00f3wnie\u017c odzwierciedlenie w zasadach ich organizacji.<\/p>\n

Najwa\u017cniejsz\u0105 z nich by\u0142a decentralizacja, kt\u00f3ra zak\u0142ada\u0142a rozmieszczenie wielu lokalnych baz danych i centr\u00f3w ich przetwarzania na obrze\u017cach sieci. Umo\u017cliwia\u0142o to minimalizowanie op\u00f3\u017anie\u0144 w przypadku M2M<\/a><\/noindex>-komunikacjach i odci\u0105\u017caniu rdzenia sieci z powodu obs\u0142ugi ogromnej liczby urz\u0105dze\u0144 IoT. W ten spos\u00f3b granice nowej generacji sieci rozszerza\u0142y si\u0119 a\u017c do stacji bazowych, umo\u017cliwiaj\u0105c tworzenie lokalnych centr\u00f3w komunikacyjnych i \u015bwiadczenie us\u0142ug chmurowych bez ryzyka krytycznych op\u00f3\u017anie\u0144 lub przerwy w dzia\u0142aniu. Naturalnie, zmienione podej\u015bcie do organizacji sieci oraz obs\u0142ugi klient\u00f3w zainteresowa\u0142o przest\u0119pc\u00f3w, poniewa\u017c otwiera\u0142o przed nimi nowe mo\u017cliwo\u015bci atak\u00f3w zar\u00f3wno na poufne dane u\u017cytkownik\u00f3w, jak i na same komponenty sieci, w celu wywo\u0142ania przerwy w dzia\u0142aniu lub przej\u0119cia zasob\u00f3w obliczeniowych operatora.<\/p>\n

G\u0142\u00f3wne podatno\u015bci sieci 5. generacji<\/h2>\n

<\/p>\n

Du\u017ca powierzchnia ataku<\/h3>\n

\nDowiedz si\u0119 wi\u0119cej<\/b>Buduj\u0105c sieci telekomunikacyjne 3. i 4. generacji, operatorzy zazwyczaj ograniczali si\u0119 do wsp\u00f3\u0142pracy z jednym lub kilkoma dostawcami, kt\u00f3rzy dostarczali kompleksowy sprz\u0119t i oprogramowanie. To znaczy, \u017ce wszystko mog\u0142o dzia\u0142a\u0107, co si\u0119 nazywa \u201ez pude\u0142ka\u201d \u2014 wystarczy\u0142o jedynie zainstalowa\u0107 i skonfigurowa\u0107 sprz\u0119t zakupiony u dostawcy; nie by\u0142o konieczno\u015bci wymiany lub uzupe\u0142niania w\u0142asno\u015bciowego oprogramowania. Nowoczesne tendencje s\u0105 w konflikcie z takim \u201eklasycznym\u201d podej\u015bciem i zmierzaj\u0105 w kierunku wirtualizacji sieci, wielodostawc\u00f3w w ich budowie oraz r\u00f3\u017cnorodno\u015bci oprogramowania. Coraz bardziej popularne staj\u0105 si\u0119 technologie takie jak SDN<\/a><\/noindex> (ang. Software Defined Network) i NFV<\/a><\/noindex> (ang. Network Functions Virtualization), co prowadzi do w\u0142\u0105czenia ogromnej ilo\u015bci oprogramowania opartego na otwartych kodach \u017ar\u00f3d\u0142owych w procesy i funkcje zarz\u0105dzania sieciami telekomunikacyjnymi. To daje przest\u0119pcom mo\u017cliwo\u015b\u0107 lepszego zbadania sieci operatora i zidentyfikowania wi\u0119kszej liczby podatno\u015bci, co z kolei zwi\u0119ksza powierzchni\u0119 ataku nowej generacji sieci w por\u00f3wnaniu z obecnymi.<\/p>\n

Wielka liczba urz\u0105dze\u0144 IoT<\/h3>\n

\nDowiedz si\u0119 wi\u0119cej<\/b>Do 2021 roku oko\u0142o 57% urz\u0105dze\u0144 pod\u0142\u0105czonych do sieci 5G b\u0119d\u0105 stanowi\u0142y urz\u0105dzenia IoT. Oznacza to, \u017ce wi\u0119kszo\u015b\u0107 host\u00f3w b\u0119dzie mia\u0142a ograniczone mo\u017cliwo\u015bci kryptograficzne (patrz punkt 2) i, w zwi\u0105zku z tym, b\u0119dzie nara\u017cona na ataki. Ogromna liczba takich urz\u0105dze\u0144 zwi\u0119kszy ryzyko rozprzestrzenienia botnet\u00f3w i umo\u017cliwi przeprowadzanie jeszcze bardziej pot\u0119\u017cnych i rozproszonych atak\u00f3w DDoS.<\/p>\n

Ograniczone mo\u017cliwo\u015bci kryptograficzne urz\u0105dze\u0144 IoT<\/h3>\n

\nDowiedz si\u0119 wi\u0119cej<\/b>Jak ju\u017c wspomniano, sieci pi\u0105tej generacji aktywnie wykorzystuj\u0105 urz\u0105dzenia brzegowe, kt\u00f3re pozwalaj\u0105 zdj\u0105\u0107 cz\u0119\u015b\u0107 obci\u0105\u017cenia z rdzenia sieci, co zmniejsza op\u00f3\u017anienia. Jest to niezb\u0119dne dla takich wa\u017cnych us\u0142ug jak zarz\u0105dzanie pojazdami autonomicznymi, systemy wczesnego ostrzegania IMS<\/a><\/noindex> itd., dla kt\u00f3rych zapewnienie minimalnych op\u00f3\u017anie\u0144 jest krytyczne, poniewa\u017c od tego zale\u017c\u0105 ludzkie \u017cycia. W zwi\u0105zku z pod\u0142\u0105czeniem du\u017cej liczby urz\u0105dze\u0144 IoT, kt\u00f3re z uwagi na swoje niewielkie rozmiary i ma\u0142e zu\u017cycie energii maj\u0105 bardzo ograniczone zasoby obliczeniowe, sieci 5G staj\u0105 si\u0119 podatne na ataki maj\u0105ce na celu przej\u0119cie kontroli i manipulacj\u0119 takimi urz\u0105dzeniami. Na przyk\u0142ad mo\u017cliwe s\u0105 scenariusze zainfekowania urz\u0105dze\u0144 IoT, b\u0119d\u0105cych cz\u0119\u015bci\u0105 systemu \u201einteligentny dom<\/a><\/noindex>\u201d, takimi typami z\u0142o\u015bliwego oprogramowania jak ransomware i programy-wynalazcy<\/a><\/noindex>. Mo\u017cliwe s\u0105 r\u00f3wnie\u017c scenariusze przej\u0119cia kontroli nad pojazdami autonomicznymi, kt\u00f3re otrzymuj\u0105 polecenia i informacje nawigacyjne przez \u201echmur\u0119\u201d. Formalnie ta podatno\u015b\u0107 wynika z decentralizacji sieci nowej generacji, ale nast\u0119pny punkt wyra\u017aniej zaznaczy problem decentralizacji.<\/p>\n

Decentralizacja i rozszerzenie granic sieci<\/h3>\n

\nDowiedz si\u0119 wi\u0119cej<\/b>Urz\u0105dzenia peryferyjne, kt\u00f3re pe\u0142ni\u0105 rol\u0119 lokalnych rdzeni sieci, odpowiadaj\u0105 za routowanie ruchu u\u017cytkownik\u00f3w, przetwarzanie zapyta\u0144 oraz lokalne buforowanie i przechowywanie danych u\u017cytkownik\u00f3w. W ten spos\u00f3b granice sieci pi\u0105tej generacji rozszerzaj\u0105 si\u0119, opr\u00f3cz rdzenia, na peryferie, w tym lokalne bazy danych oraz interfejsy radiowe 5G-NR (ang. 5G New Radio). Stwarza to mo\u017cliwo\u015b\u0107 ataku na zasoby obliczeniowe lokalnych urz\u0105dze\u0144, kt\u00f3re z definicji s\u0105 s\u0142abiej chronione ni\u017c centralne w\u0119z\u0142y rdzenia sieci, w celu wywo\u0142ania awarii w dzia\u0142aniu. Mo\u017ce to prowadzi\u0107 do odci\u0119cia dost\u0119pu do internetu w ca\u0142ych rejonach, nieprawid\u0142owego funkcjonowania urz\u0105dze\u0144 IoT (np. w systemach \u201einteligentny dom\u201d), a tak\u017ce niedost\u0119pno\u015bci us\u0142ugi ostrze\u017ce\u0144 ratunkowych IMS.<\/p>\n

\"Wprowadzenie
\n
\nJednak obecnie ETSI i 3GPP opublikowali ju\u017c ponad 10 standard\u00f3w, dotycz\u0105cych r\u00f3\u017cnych aspekt\u00f3w bezpiecze\u0144stwa sieci 5G. Przyt\u0142aczaj\u0105ca wi\u0119kszo\u015b\u0107 mechanizm\u00f3w opisanych w tych standardach ma na celu ochron\u0119 przed lukami w zabezpieczeniach (w tym przed tymi, kt\u00f3re opisano powy\u017cej). Jednym z kluczowych standard\u00f3w jest TS 23.501 wersji 15.6.0<\/a><\/noindex>, kt\u00f3ry opisuje architektur\u0119 bezpiecze\u0144stwa sieci pi\u0105tej generacji.<\/p>\n

Architektura 5G<\/h1>\n

\n\"Wprowadzenie
\nNa pocz\u0105tek przyjrzyjmy si\u0119 kluczowym zasadom architektury sieci 5G, kt\u00f3re pozwol\u0105 w pe\u0142ni zrozumie\u0107 znaczenie i kompetencje ka\u017cdego modu\u0142u programowego oraz ka\u017cdej funkcji bezpiecze\u0144stwa 5G.<\/p>\n