Очигледно, преузимање новог стандарда комуникације без размишљања о сигурносним механизмима је крајње сумњив и узалудан подухват.

5Г безбедносна архитектура — скуп безбедносних механизама и процедура имплементираних у Мреже 5. генерације и покрива све мрежне компоненте, од језгра до радио интерфејса.

Мреже 5. генерације су, у суштини, еволуција ЛТЕ мреже четврте генерације. Радио приступне технологије су претрпеле најзначајније промене. За мреже 5. генерације, нова РАТ (Технологија радио приступа) - 5Г нови радио. Што се тиче језгра мреже, оно није претрпело тако значајне промене. С тим у вези, развијена је безбедносна архитектура 5Г мрежа са нагласком на поновном коришћењу релевантних технологија усвојених у 4Г ЛТЕ стандарду.

Међутим, вреди напоменути да се поново разматрају познате претње као што су напади на ваздушне интерфејсе и сигнални слој (сигнализација авион), ДДОС напади, напади Ман-Ин-Тхе-Миддле, итд., подстакли су телеком оператере да развију нове стандарде и интегришу потпуно нове безбедносне механизме у мреже 5. генерације.

Предпосылки

Међународна унија за телекомуникације је 2015. године израдила први те врсте глобални план за развој мрежа пете генерације, због чега се посебно заоштрило питање развоја безбедносних механизама и процедура у 5Г мрежама.

Нова технологија је понудила заиста импресивне брзине преноса података (више од 1 Гбпс), кашњење од мање од 1 мс и могућност истовременог повезивања око 1 милиона уређаја у радијусу од 1 км2. Овако највиши захтеви за мреже 5. генерације огледају се и у принципима њихове организације.

Главна је била децентрализација, која је подразумевала постављање многих локалних база података и њихових центара за обраду на периферији мреже. Ово је омогућило да се минимизирају кашњења када МКСНУМКСМ-комуникације и растеретити језгро мреже због сервисирања огромног броја ИоТ уређаја. Тако се ивица мрежа следеће генерације проширила све до базних станица, омогућавајући стварање локалних комуникационих центара и пружање услуга у облаку без ризика од критичних кашњења или ускраћивања услуге. Наравно, промењен приступ умрежавању и корисничком сервису био је од интереса за нападаче, јер им је отворио нове могућности да нападну и поверљиве корисничке информације и саме компоненте мреже како би изазвали ускраћивање услуге или запленили рачунарске ресурсе оператера.

Главне рањивости мрежа 5. генерације

Велика површина напада

вишеПриликом изградње телекомуникационих мрежа 3. и 4. генерације, телеком оператери су обично били ограничени на рад са једним или више добављача који су одмах испоручили комплет хардвера и софтвера. То јест, све би могло да ради, како кажу, „из кутије“ - било је довољно само инсталирати и конфигурисати опрему купљену од продавца; није било потребе за заменом или допуном власничког софтвера. Савремени трендови су у супротности са овим „класичним“ приступом и усмерени су на виртуелизацију мрежа, приступ мулти-вендора њиховој конструкцији и софтверску разноликост. Технологије као што су СДН (Енглеска софтверски дефинисана мрежа) и НФВ (енглески Нетворк Фунцтионс Виртуализатион), што доводи до укључивања огромне количине софтвера изграђеног на основу опен соурце кодова у процесе и функције управљања комуникационим мрежама. Ово нападачима даје прилику да боље проуче мрежу оператера и идентификују већи број рањивости, што заузврат повећава површину напада мреже нове генерације у поређењу са постојећим.

Велики број ИоТ уређаја

вишеДо 2021. око 57% уређаја повезаних на 5Г мреже биће ИоТ уређаји. То значи да ће већина домаћина имати ограничене криптографске могућности (погледајте тачку 2) и, сходно томе, бити подложна нападима. Огроман број оваквих уређаја ће повећати ризик од пролиферације ботнета и омогућити извођење још моћнијих и дистрибуираних ДДоС напада.

Ограничене криптографске могућности ИоТ уређаја

вишеКао што је већ поменуто, мреже 5. генерације активно користе периферне уређаје, који омогућавају уклањање дела оптерећења са језгра мреже и тиме смањење кашњења. Ово је неопходно за тако важне услуге као што су контрола беспилотних возила, систем упозорења у хитним случајевима ИМС и други, за које је обезбеђивање минималног одлагања критично, јер од тога зависе људски животи. Због повезивања великог броја ИоТ уређаја, који због своје мале величине и мале потрошње енергије имају веома ограничене рачунарске ресурсе, 5Г мреже постају рањиве на нападе који имају за циљ пресретање контроле и накнадну манипулацију таквим уређајима. На пример, могу постојати сценарији у којима су ИоТ уређаји који су део система заражени "паметна кућа“, врсте малвера као нпр Рансомваре и рансомваре. Могући су и сценарији пресретања контроле беспилотних возила која преко облака примају команде и информације о навигацији. Формално, ова рањивост је последица децентрализације мрежа нове генерације, али ће следећи параграф јасније оцртати проблем децентрализације.

Децентрализација и проширење граница мреже

вишеПериферни уређаји, који играју улогу језгара локалне мреже, врше рутирање корисничког саобраћаја, обраду захтева, као и локално кеширање и складиштење корисничких података. Тако се границе мрежа 5. генерације шире, поред језгра, и на периферију, укључујући локалне базе података и 5Г-НР (5Г Нев Радио) радио интерфејсе. Ово ствара могућност напада на рачунарске ресурсе локалних уређаја, који су а приори слабије заштићени од централних чворова мрежног језгра, са циљем да изазову ускраћивање услуге. То може довести до искључења приступа Интернету за читава подручја, неправилног функционисања ИоТ уређаја (на пример, у систему паметне куће), као и недоступности ИМС услуге хитног упозорења.

Међутим, ЕТСИ и 3ГПП су сада објавили више од 10 стандарда који покривају различите аспекте безбедности 5Г мреже. Огромна већина механизама који су тамо описани имају за циљ заштиту од рањивости (укључујући горе описане). Један од главних је стандард ТС 23.501 верзија 15.6.0, који описује безбедносну архитектуру мрежа 5. генерације.

5Г архитектура

Прво, хајде да се окренемо кључним принципима архитектуре 5Г мреже, који ће даље у потпуности открити значење и области одговорности сваког софтверског модула и сваке 5Г безбедносне функције.

• Подела мрежних чворова на елементе који обезбеђују рад протокола прилагођени авион (од енглеског УП – Усер Плане) и елементи који обезбеђују рад протокола контролни авион (од енглеског ЦП – Цонтрол Плане), чиме се повећава флексибилност у погледу скалирања и постављања мреже, односно могуће је централизовано или децентрализовано постављање појединачних компонентних чворова мреже.
• Подршка механизма пресецање мреже, на основу услуга које се пружају одређеним групама крајњих корисника.
• Имплементација мрежних елемената у форму функције виртуелне мреже.
• Подршка за истовремени приступ централизованим и локалним сервисима, односно имплементација концепта облака (са енглеског. магла рачунарство) и граница (са енглеског. едге цомпутинг) прорачуни.
• Имплементација конвергентан архитектура која комбинује различите врсте приступних мрежа – 3ГПП 5Г Нови радио и не-3ГПП (Ви-Фи, итд.) - са једним мрежним језгром.
• Подршка јединствених алгоритама и процедура аутентификације, без обзира на тип приступне мреже.
• Подршка за мрежне функције без стања, у којима је рачунарски ресурс одвојен од складишта ресурса.
• Подршка за роминг са рутирањем саобраћаја како кроз кућну мрежу (од енглеског хоме-роутед роаминг) тако и са локалним „слијетањем“ (од енглеског лоцал бреакоут) у мрежу за госте.
• Интеракција између мрежних функција је представљена на два начина: услужно оријентисан и интерфејс.

Концепт мрежне безбедности 5. генерације укључује:

• Аутентификација корисника са мреже.
• Мрежна аутентификација од стране корисника.
• Договарање криптографских кључева између мреже и корисничке опреме.
• Шифровање и контрола интегритета сигналног саобраћаја.
• Шифровање и контрола интегритета корисничког саобраћаја.
• Заштита корисничког ИД-а.
• Заштита интерфејса између различитих елемената мреже у складу са концептом домена мрежне безбедности.
• Изолација различитих слојева механизма пресецање мреже и дефинисање нивоа безбедности сваког слоја.
• Аутентификација корисника и заштита саобраћаја на нивоу крајњих услуга (ИМС, ИоТ и други).

Кључни софтверски модули и безбедносне функције 5Г мреже

АМФ (од енглеског Аццесс & Мобилити Манагемент Фунцтион - функција управљања приступом и мобилношћу) - обезбеђује:

• Организација интерфејса управљачке равни.
• Организација размене сигналног саобраћаја РРК, шифровање и заштиту интегритета својих података.
• Организација размене сигналног саобраћаја НАС, шифровање и заштиту интегритета својих података.
• Управљање регистрацијом корисничке опреме на мрежи и праћење могућих стања регистрације.
• Управљање повезивањем корисничке опреме на мрежу и праћење могућих стања.
• Контролишите доступност корисничке опреме на мрежи у ЦМ-ИДЛЕ стању.
• Управљање мобилношћу корисничке опреме у мрежи у стању ЦМ-ЦОННЕЦТЕД.
• Пренос кратких порука између корисничке опреме и СМФ-а.
• Управљање локацијским услугама.
• Додела ИД-а нити ЕПС за интеракцију са ЕПС-ом.

СМФ (енглески: Сессион Манагемент Фунцтион - функција управљања сесијом) - обезбеђује:

• Управљање комуникацијским сесијама, тј. креирање, модификовање и отпуштање сесија, укључујући одржавање тунела између приступне мреже и УПФ-а.
• Дистрибуција и управљање ИП адресама корисничке опреме.
• Одабир УПФ гејтвеја за употребу.
• Организација интеракције са ПЦФ-ом.
• Управљање спровођењем политике КоС.
• Динамичка конфигурација корисничке опреме користећи ДХЦПв4 и ДХЦПв6 протоколе.
• Праћење прикупљања тарифних података и организовање интеракције са системом наплате.
• Беспрекорно пружање услуга (са енглеског. ССЦ - Континуитет сесије и услуге).
• Интеракција са мрежама гостију у ромингу.

УПФ (Енглески Усер Плане Фунцтион - функција корисничке равни) - обезбеђује:

• Интеракција са спољним мрежама података, укључујући глобални Интернет.
• Рутирање корисничких пакета.
• Означавање пакета у складу са КоС политикама.
• Дијагностика корисничких пакета (на пример, детекција апликација заснована на потпису).
• Пружање извештаја о коришћењу саобраћаја.
• УПФ је такође тачка за подршку мобилности унутар и између различитих технологија приступа радију.

УДМ (Енглески Унифиед Дата Манагемент - обједињена база података) - обезбеђује:

• Управљање подацима корисничког профила, укључујући чување и модификовање листе услуга доступних корисницима и њихових одговарајућих параметара.
• Управление СУПИ
• Генеришите 3ГПП акредитиве за аутентификацију АКА.
• Овлашћење приступа на основу података профила (на пример, ограничења роминга).
• Управљање регистрацијом корисника, односно складиштење АМФ-а који служи.
• Подршка за беспрекорне услуге и сесије комуникације, тј. чување СМФ-а додељеног тренутној комуникацијској сесији.
• Управљање испоруком СМС-а.
• Неколико различитих УДМ-ова може да служи истом кориснику у различитим трансакцијама.

УДР (енглески Унифиед Дата Репоситори – складиште обједињених података) – обезбеђује складиштење различитих корисничких података и заправо је база података свих претплатника мреже.

УДСФ (енглески Унструцтуред Дата Стораге Фунцтион – функција складиштења неструктурираних података) – осигурава да АМФ модули чувају тренутне контексте регистрованих корисника. Генерално, ове информације се могу представити као подаци неодређене структуре. Кориснички контексти се могу користити за обезбеђивање неометаних и непрекидних претплатничких сесија, како током планираног повлачења једног од АМФ-а из услуге, тако и у случају нужде. У оба случаја, резервни АМФ ће „покупити“ услугу користећи контексте ускладиштене у УСДФ-у.

Комбиновање УДР-а и УДСФ-а на истој физичкој платформи је типична имплементација ових мрежних функција.

ПЦФ (енглески: Полици Цонтрол Фунцтион – функција контроле политике) – креира и додељује одређене политике услуге корисницима, укључујући КоС параметре и правила наплате. На пример, за пренос једне или друге врсте саобраћаја, могу се динамички креирати виртуелни канали различитих карактеристика. Истовремено, могу се узети у обзир захтеви услуге коју захтева претплатник, ниво загушења мреже, количина потрошеног саобраћаја итд.

НЕФ (Енглески Нетворк Екпосуре Фунцтион - функција мрежног излагања) - обезбеђује:

• Организација безбедне интеракције спољних платформи и апликација са језгром мреже.
• Управљајте КоС параметрима и правилима наплате за одређене кориснике.

СЕАФ (енглески Сецурити Анцхор Фунцтион - сидрена безбедносна функција) - заједно са АУСФ-ом, обезбеђује аутентификацију корисника када се региструју на мрежи са било којом приступном технологијом.

АУСФ (Енглисх Аутхентицатион Сервер Фунцтион – функција сервера за аутентификацију) – игра улогу сервера за аутентификацију који прима и обрађује захтеве од СЕАФ-а и преусмерава их на АРПФ.

АРПФ (енглески: Аутхентицатион Цредентиал Репоситори анд Процессинг Фунцтион – функција складиштења и обраде акредитива за аутентификацију) – обезбеђује складиштење личних тајних кључева (КИ) и параметара криптографских алгоритама, као и генерисање вектора аутентикације у складу са 5Г-АКА или ЕАП--АКА. Налази се у дата центру кућног телеком оператера, заштићен од спољашњих физичких утицаја, и по правилу је интегрисан са УДМ.

СЦМФ (Енглески Сецурити Цонтект Манагемент Фунцтион - функција управљања безбедносни контекст) – Обезбеђује управљање животним циклусом за 5Г безбедносни контекст.

СПЦФ (енглески Сецурити Полици Цонтрол Фунцтион – функција управљања безбедносним политикама) – обезбеђује координацију и примену безбедносних политика у односу на конкретне кориснике. Ово узима у обзир могућности мреже, могућности корисничке опреме и захтеве специфичне услуге (на пример, нивои заштите које пружају критична комуникациона услуга и услуга бежичног широкопојасног приступа Интернету могу се разликовати). Примена безбедносних политика обухвата: избор АУСФ-а, избор алгоритма за аутентификацију, избор алгоритама за шифровање података и контролу интегритета, одређивање дужине и животног циклуса кључева.

СИДФ (Енглисх Субсцриптион Идентифиер Де-цонцеалинг Фунцтион - функција издвајања идентификатора корисника) - обезбеђује екстракцију претплатничког трајног идентификатора претплате (енглески СУПИ) из скривеног идентификатора (енглески СУЦИ), примљен као део захтева за процедуру аутентификације „Аутх Инфо Рек“.

Основни безбедносни захтеви за 5Г комуникационе мреже

вишеИдентификација корисника: Мрежа која опслужује 5Г мора да аутентификује СУПИ корисника у 5Г АКА процесу између корисника и мреже.

Послуживање мрежне аутентификације: Корисник мора да аутентификује 5Г мрежни ИД, при чему се аутентификација постиже успешном употребом кључева добијених кроз 5Г АКА процедуру.

Ауторизација корисника: Мрежа која пружа услуге мора овластити корисника користећи кориснички профил примљен од мреже кућног телеком оператера.

Ауторизација услужне мреже од стране мреже кућног оператера: Кориснику се мора доставити потврда да је повезан на сервисну мрежу коју је мрежа матичног оператера овластила за пружање услуга. Ауторизација је имплицитна у смислу да је обезбеђена успешним завршетком 5Г АКА процедуре.

Ауторизација приступне мреже од стране мреже кућног оператера: Кориснику се мора доставити потврда да је повезан на приступну мрежу коју је мрежа матичног оператера овластила за пружање услуга. Ауторизација је имплицитна у смислу да се спроводи успешним успостављањем безбедности приступне мреже. Ова врста ауторизације се мора користити за било коју врсту приступне мреже.

Хитне службе без овлашћења: Да би испуниле регулаторне захтеве у неким регионима, 5Г мреже морају да обезбеде неауторизован приступ за хитне службе.

Мрежно језгро и радио приступна мрежа: Језгро 5Г мреже и 5Г радио приступна мрежа морају да подржавају употребу 128-битне енкрипције и алгоритама интегритета како би се осигурала безбедност AS и НАС. Мрежни интерфејси морају подржавати 256-битне кључеве за шифровање.

Основни безбедносни захтеви за корисничку опрему

више

• Корисничка опрема мора да подржава шифровање, заштиту интегритета и заштиту од напада поновне репродукције за корисничке податке који се преносе између ње и радио приступне мреже.
• Корисничка опрема мора активирати механизме шифрирања и заштите интегритета података према упутама радио приступне мреже.
• Корисничка опрема мора да подржава шифровање, заштиту интегритета и заштиту од напада поновне репродукције за РРЦ и НАС сигнални саобраћај.
• Корисничка опрема мора да подржава следеће криптографске алгоритме: НЕА0, НИА0, 128-НЕА1, 128-НИА1, 128-НЕА2, 128-НИА2
• Корисничка опрема може да подржи следеће криптографске алгоритме: 128-НЕА3, 128-НИА3.
• Корисничка опрема мора да подржава следеће криптографске алгоритме: 128-ЕЕА1, 128-ЕЕА2, 128-ЕИА1, 128-ЕИА2 ако подржава везу са Е-УТРА радио приступном мрежом.
• Заштита поверљивости корисничких података који се преносе између корисничке опреме и радио приступне мреже је опциона, али се мора обезбедити кад год је то дозвољено прописима.
• Заштита приватности за РРЦ и НАС сигнални саобраћај је опциона.
• Трајни кључ корисника мора бити заштићен и ускладиштен у добро обезбеђеним компонентама корисничке опреме.
• Претплатников трајни идентификатор претплате не би требало да се преноси у чистом тексту преко радио приступне мреже осим информација неопходних за исправно рутирање (нпр. МЦК и МНК).
• Јавни кључ мреже кућног оператера, идентификатор кључа, идентификатор безбедносне шеме и идентификатор рутирања морају бити сачувани у УСИМ.

Сваки алгоритам шифровања је повезан са бинарним бројем:

• "0000": НЕА0 - Нулл алгоритам за шифровање
• "0001": 128-НЕА1 - 128-бит СНОВ 3Г базиран алгоритам
• "0010" 128-НЕА2 - 128-бит АЕС базиран алгоритам
• "0011" 128-НЕА3 - 128-бит ЗУЦ базиран алгоритам.

Шифровање података помоћу 128-НЕА1 и 128-НЕА2

ПС Коло је позајмљено од ТС КСНУМКС

Генерисање симулираних уметања помоћу алгоритама 128-НИА1 и 128-НИА2 да би се обезбедио интегритет

ПС Коло је позајмљено од ТС КСНУМКС

Основни безбедносни захтеви за функције 5Г мреже

више

• АМФ мора да подржава примарну аутентификацију користећи СУЦИ.
• СЕАФ мора да подржава примарну аутентификацију користећи СУЦИ.
• УДМ и АРПФ морају чувати корисников трајни кључ и осигурати да је заштићен од крађе.
• АУСФ ће само обезбедити СУПИ локалној мрежи за опслуживање након успешне почетне аутентификације користећи СУЦИ.
• НЕФ не сме да прослеђује скривене информације о језгру мреже изван безбедносног домена оператера.

Основне безбедносне процедуре

Труст Домаинс

У мрежама пете генерације, поверење у елементе мреже опада како се елементи удаљавају од језгра мреже. Овај концепт утиче на одлуке имплементиране у 5Г безбедносној архитектури. Дакле, можемо говорити о моделу поверења 5Г мрежа који одређује понашање механизама безбедности мреже.

На страни корисника, домен поверења формирају УИЦЦ и УСИМ.

На страни мреже, домен поверења има сложенију структуру.

Радио приступна мрежа је подељена на две компоненте − DU (од енглеског Дистрибутед Унитс - дистрибуиране мрежне јединице) и CU (од енглеског Централ Унитс - централне јединице мреже). Заједно се формирају гНБ — радио интерфејс базне станице 5Г мреже. ДУ немају директан приступ корисничким подацима јер се могу применити на незаштићеним сегментима инфраструктуре. ЦУ-ови морају бити распоређени у заштићеним сегментима мреже, пошто су они одговорни за завршетак саобраћаја из сигурносних механизама АС. У језгру мреже се налази АМФ, који прекида саобраћај из НАС сигурносних механизама. Тренутна спецификација 3ГПП 5Г фазе 1 описује комбинацију АМФ са сигурносном функцијом СЕАФ, који садржи основни кључ (такође познат као „кључ сидрења“) посећене (послужне) мреже. АУСФ одговоран је за чување кључа добијеног након успешне аутентификације. Неопходан је за поновну употребу у случајевима када је корисник истовремено повезан на више радио приступних мрежа. АРПФ чува корисничке акредитиве и аналоган је УСИМ-у за претплатнике. УДР и УДМ чувају корисничке информације, које се користе за одређивање логике за генерисање акредитива, корисничких ИД-ова, обезбеђивање континуитета сесије итд.

Хијерархија кључева и шеме њихове дистрибуције

У мрежама 5. генерације, за разлику од 4Г-ЛТЕ мрежа, поступак аутентификације има две компоненте: примарну и секундарну аутентификацију. Примарна аутентификација је потребна за све корисничке уређаје који се повезују на мрежу. Секундарна аутентификација се може извршити на захтев екстерних мрежа, ако се претплатник повеже на њих.

Након успешног завршетка примарне аутентификације и развоја дељеног кључа К између корисника и мреже, КСЕАФ се екстрахује из кључа К – посебног сидреног (роот) кључа мреже која служи. Након тога, кључеви се генеришу из овог кључа како би се осигурала поверљивост и интегритет података о саобраћају сигнализације РРЦ-а и НАС-а.

Дијаграм са објашњењима
Напомена:
CK Шифра кључ
IK (енглески: Интегрити Кеи) - кључ који се користи у механизмима заштите интегритета података.
ЦК' (енг. Ципхер Кеи) - још један криптографски кључ креиран од ЦК за механизам ЕАП-АКА.
ИК' (Енглисх Интегрити Кеи) - још један кључ који се користи у механизмима заштите интегритета података за ЕАП-АКА.
КАУСФ - генерише АРПФ функција и корисничка опрема из CK и IK током 5Г АКА и ЕАП-АКА.
КСЕАФ - сидрени кључ добијен АУСФ функцијом од кључа КАМФАУСФ.
КАМФ — кључ добијен функцијом СЕАФ од кључа КСЕАФ.
КНАСинт, КНАСенц — тастери добијени АМФ функцијом од тастера КАМФ ради заштите НАС сигналног саобраћаја.
КРРЦинт, КРРЦенц — тастери добијени АМФ функцијом од тастера КАМФ ради заштите РРЦ сигналног саобраћаја.
КУПинт, КУПенц — тастери добијени АМФ функцијом од тастера КАМФ ради заштите АС сигналног саобраћаја.
NH — средњи кључ добијен АМФ функцијом од кључа КАМФ да би се обезбедила безбедност података приликом примопредаје.
КгНБ — кључ добијен АМФ функцијом од кључа КАМФ да би се обезбедила безбедност механизама за кретање.

Шеме за генерисање СУЦИ из СУПИ и обрнуто

Шеме за добијање СУПИ и СУЦИ

Производња СУЦИ од СУПИ и СУПИ од СУЦИ:

Аутентикација

Примарна аутентификација

У 5Г мрежама, ЕАП-АКА и 5Г АКА су стандардни примарни механизми аутентификације. Хајде да поделимо примарни механизам аутентификације у две фазе: прва је одговорна за покретање аутентификације и избор метода аутентификације, друга је одговорна за међусобну аутентификацију између корисника и мреже.

Иницијација

Корисник подноси захтев за регистрацију СЕАФ-у, који садржи корисников скривени ИД претплате СУЦИ.

СЕАФ шаље АУСФ-у поруку захтева за аутентификацију (Наусф_УЕАутхентицатион_Аутхентицате Рекуест) која садржи СНН (Сервинг Нетворк Наме) и СУПИ или СУЦИ.

АУСФ проверава да ли је СЕАФ захтеву за аутентификацију дозвољено да користи дати СНН. Ако мрежа за опслуживање није овлашћена да користи овај СНН, онда АУСФ одговара поруком о грешци при ауторизацији „Мрежа за услуживање није овлашћена“ (Наусф_УЕАутхентицатион_Аутхентицате Респонсе).

АУСФ захтева акредитиве за аутентификацију од УДМ, АРПФ или СИДФ преко СУПИ или СУЦИ и СНН.

На основу СУПИ или СУЦИ и корисничких информација, УДМ/АРПФ бира следећи метод аутентификације и издаје акредитиве корисника.

Мутуал Аутхентицатион

Када се користи било који метод аутентикације, мрежне функције УДМ/АРПФ морају генерисати вектор аутентикације (АВ).

ЕАП-АКА: УДМ/АРПФ прво генерише вектор аутентикације са разделним битом АМФ = 1, а затим генерише ЦК' и ИК' од CK, IK и СНН и представља нови вектор АВ аутентикације (РАНД, АУТН, КСРЕС*, ЦК', ИК'), који се шаље АУСФ-у са упутствима да га користи само за ЕАП-АКА.

5Г АКА: УДМ/АРПФ добија кључ КАУСФ од CK, IK и СНН, након чега генерише 5Г ХЕ АВ. Вектор аутентификације кућног окружења 5Г). 5Г ХЕ АВ вектор аутентификације (РАНД, АУТН, КСРЕС, КАУСФ) се шаље АУСФ-у са упутствима да га користите само за 5Г АКА.

Након овог АУСФ-а добија се сидрени кључ КСЕАФ од кључа КАУСФ и шаље захтев СЕАФ-у „Изазов” у поруци „Наусф_УЕАутхентицатион_Аутхентицате Респонсе”, која такође садржи РАНД, АУТН и РЕС*. Затим, РАНД и АУТН се преносе на корисничку опрему помоћу безбедне НАС сигналне поруке. Кориснички УСИМ израчунава РЕС* из примљених РАНД и АУТН и шаље га у СЕАФ. СЕАФ преноси ову вредност АУСФ-у ради верификације.

АУСФ упоређује КСРЕС* ускладиштене у њему и РЕС* примљене од корисника. Ако постоји подударање, АУСФ и УДМ у матичној мрежи оператера добијају обавештење о успешној аутентификацији, а корисник и СЕАФ независно генеришу кључ КАМФ од КСЕАФ и СУПИ за даљу комуникацију.

Секундарна аутентификација

5Г стандард подржава опциону секундарну аутентификацију засновану на ЕАП-АКА између корисничке опреме и екстерне мреже података. У овом случају, СМФ игра улогу ЕАП аутентификатора и ослања се на рад ААА-спољни мрежни сервер који аутентификује и ауторизује корисника.

• Појављује се обавезна почетна аутентификација корисника на кућној мрежи и заједнички НАС безбедносни контекст се развија са АМФ-ом.
• Корисник шаље АМФ-у захтев за успостављање сесије.
• АМФ шаље захтев за успостављање сесије СМФ-у указујући на СУПИ корисника.
• СМФ потврђује акредитиве корисника у УДМ-у користећи обезбеђен СУПИ.
• СМФ шаље одговор на захтев АМФ-а.
• СМФ покреће процедуру ЕАП аутентификације да би добио дозволу за успостављање сесије са ААА сервера на спољној мрежи. Да би то урадили, СМФ и корисник размењују поруке како би покренули процедуру.
• Корисник и спољни мрежни ААА сервер затим размењују поруке за аутентификацију и ауторизацију корисника. У овом случају, корисник шаље поруке СМФ-у, који заузврат размењује поруке са спољном мрежом преко УПФ-а.

Закључак

Иако је 5Г безбедносна архитектура заснована на поновној употреби постојећих технологија, она поставља потпуно нове изазове. Огроман број ИоТ уређаја, проширене мрежне границе и елементи децентрализоване архитектуре само су неки од кључних принципа 5Г стандарда који дају слободу машти сајбер криминалаца.

Основни стандард за 5Г безбедносну архитектуру је ТС 23.501 верзија 15.6.0 — садржи кључне тачке функционисања безбедносних механизама и процедура. Посебно, описује улогу сваког ВНФ-а у обезбеђивању заштите корисничких података и мрежних чворова, у генерисању крипто кључева и у спровођењу процедуре аутентификације. Али ни овај стандард не даје одговоре на горућа безбедносна питања са којима се телеком оператери све чешће сусрећу што се интензивније развијају и пуштају у рад мреже нове генерације.

С тим у вези, желео бих да верујем да тешкоће у раду и заштити мрежа 5. генерације неће ни на који начин утицати на обичне кориснике, којима су обећане брзине преноса и одговори попут сина мамине пријатељице и који су већ жељни да испробају све декларисане могућности мрежа нове генерације.

Корисни линкови

Серија спецификација 3ГПП
5Г безбедносна архитектура
Архитектура 5Г система
5Г Вики
Белешке о 5Г архитектури
Преглед безбедности 5Г

Извор: ввв.хабр.цом