Очевидно, братися за розробку нового стандарту зв'язку, не думаючи про механізми забезпечення безпеки, — справа надзвичайно сумнівна і марна.
Архітектура безпеки 5G - сукупність механізмів та процедур безпеки, реалізованих у та охоплюють всі компоненти мережі, починаючи від ядра і закінчуючи радіоінтерфейсами.
Мережі 5-го покоління є, власне, еволюцією . Найзначніші зміни зазнали технології радіодоступу. Для мереж 5-го покоління була розроблена нова (Radio Access Technology) - . Що стосується ядра мережі, воно зазнало не таких значних змін. У зв'язку з цим архітектура безпеки 5G-мереж була розроблена з упором на перевикористання відповідних технологій, прийнятих у стандарті 4G LTE.
Однак, варто зазначити, що переосмислення таких відомих загроз, як атаки на радіоінтерфейси та рівень сигналізації ( plane), DDOS-атаки, Man-In-The-Middle атаки та ін, спонукало операторів зв'язку розробити нові стандарти та інтегрувати абсолютно нові механізми безпеки в мережі 5-го покоління.
передумови
У 2015 році Міжнародним союзом електрозв'язку було складено перший у своєму роді глобальний план розвитку мереж п'ятого покоління, через що питання розробки механізмів та процедур безпеки в 5G-мережах постало особливо гостро.
Нова технологія пропонувала справді вражаючі швидкості передачі даних (понад 1 Гбіт/с), затримку менше 1 мс і можливість одночасного підключення близько 1 мільйона пристроїв у радіусі 1 км2. Такі високі вимоги, які ставляться до мереж п'ятого покоління, позначилися і принципах їх організації.
Головним з них стала децентралізація, яка мала на увазі розміщення безлічі локальних баз даних та центрів їх обробки на периферії мережі. Це дозволяло мінімізувати затримки при -комунікаціях та розвантажити ядро мережі через обслуговування величезної кількості IoT-пристроїв. Таким чином, межа мереж нового покоління розширювалася аж до базових станцій, дозволяючи створювати локальні центри комунікації та надавати хмарні послуги без ризику критичних затримок або відмови в обслуговуванні. Зрозуміло, змінений підхід до організації мереж та обслуговування клієнтів зацікавив зловмисників, адже він відкривав перед ними нові можливості для атак як на конфіденційну інформацію користувачів, так і на самі компоненти мережі з метою викликати відмову в обслуговуванні або захопити обчислювальні ресурси оператора.
Основні вразливості мереж 5-го покоління
Велика поверхня атаки
ДетальнішеПри побудові телекомунікаційних мереж 3-го та 4-го поколінь оператори зв'язку зазвичай обмежувалися роботою з одним або кількома вендорами, які одразу постачали комплекс апаратного та програмного забезпечення. Тобто все могло працювати, як то кажуть, «із коробки» — достатньо було лише встановити та налаштувати обладнання, придбане у вендора; при цьому не було необхідності замінювати чи доповнювати пропрієтарне ПЗ. Сучасні тенденції йдуть урозріз із таким «класичним» підходом і спрямовані на віртуалізацію мереж, мультивендорний підхід до їх побудови та різноманітність ПЗ. Все більш популярними стають такі технології, як (англ. Software Defined Network) та (англ. Network Functions Virtualization), що призводить до включення величезної кількості ПЗ, побудованого на базі відкритих вихідних кодів, у процеси та функції управління мережами зв'язку. Це дає зловмисникам можливість краще вивчити мережу оператора та виявити більшу кількість вразливостей, що, у свою чергу, збільшує поверхню атаки мереж нового покоління, порівняно з нинішніми.
Велика кількість IoT-пристроїв
ДетальнішеДо 2021 року близько 57% пристроїв, підключених до 5G-мереж, становитимуть IoT-пристрої. Це означає, що більшість хостів матимуть обмежені криптографічні можливості (див. пункт 2) і, відповідно, будуть вразливі до атак. Величезна кількість таких пристроїв збільшить ризик поширення ботнетів і дасть можливість здійснювати ще більш потужні і розподілені DDoS-атаки.
Обмежені криптографічні можливості IoT-пристроїв
ДетальнішеЯк вже було сказано, мережі 5-го покоління активно залучають периферійні пристрої, які дозволяють зняти частину навантаження з ядра мережі і тим самим зменшити затримку. Це необхідно для таких важливих сервісів як керування безпілотними автомобілями, система екстреного оповіщення та ін., для яких забезпечення мінімальної затримки є критичним, адже від цього залежать людські життя. Через підключення великої кількості IoT-пристроїв, які, внаслідок своїх невеликих розмірів і малого енергоспоживання, мають дуже обмежені обчислювальні ресурси, мережі 5G стають вразливими до атак, спрямованих на перехоплення управління з подальшою маніпуляцією такими пристроями. Наприклад, можливі сценарії зараження IoT-пристроїв, що є частиною системи.», такими типами шкідливого ПЗ, як . Також можливі сценарії перехоплення керування безпілотними автомобілями, які отримують команди та навігаційну інформацію через «хмару». Формально ця вразливість обумовлена децентралізацією мереж нового покоління, але наступний пункт позначить проблему децентралізації більш очевидно.
Децентралізація та розширення меж мережі
ДетальнішеПериферійні пристрої, що відіграють роль локальних ядер мережі, здійснюють маршрутизацію трафіку користувача, обробку запитів, а також локальне кешування і зберігання даних. Таким чином, межі мереж 5-го покоління розширюються, окрім ядра, на периферію, у тому числі на локальні бази даних та радіоінтерфейси 5G-NR (англ. 5G New Radio). Це створює можливість для атаки на обчислювальні ресурси локальних пристроїв, які апріорі захищені слабше, ніж центральні вузли ядра мережі, з метою викликати відмову в обслуговуванні. Це загрожує відключенням доступу в інтернет цілих районів, некоректним функціонуванням IoT-пристроїв (наприклад, у системі «розумний дім»), а також недоступністю сервісу екстрених оповіщень IMS.
Однак, в даний час ETSI і 3GPP опублікували вже більше 10 стандартів, що стосуються різних аспектів безпеки 5G мереж. Переважна більшість механізмів, описаних там, орієнтована на захист від уразливостей (в т.ч. і описаних вище). Одним з основних є стандарт , що описує архітектуру безпеки мереж 5-го покоління
Архітектура 5G
Для початку звернемося до ключових принципів архітектури 5G-мереж, які дозволять далі повною мірою розкрити зміст та зони відповідальності кожного програмного модуля та кожної функції безпеки 5G.
- Поділ мережних вузлів на елементи, які забезпечують роботу протоколів (від англ. UP - User Plane) та елементи, що забезпечують роботу протоколів (Від англ. CP - Control Plane), що підвищує гнучкість в частині масштабування та розгортання мережі, тобто можливе централізоване або децентралізоване розміщення окремих складових мережних вузлів.
- Підтримка механізму , ґрунтуючись на послугах, що надаються конкретним групам кінцевих користувачів.
- Реалізація мережевих елементів у вигляді .
- Підтримка одночасного доступу до централізованих та локальних служб, тобто реалізація концепцій хмарних (від англ. ) та прикордонних (від англ. ) обчислень.
- Реалізація архітектури, що поєднує різні типи мереж доступу - 3GPP 5G New Radio та (Wi-Fi тощо) - з єдиним ядром мережі.
- Підтримка єдиних алгоритмів та процедур аутентифікації незалежно від типу мережі доступу.
- Підтримка мережевих функцій без збереження стану (від англ. stateless), у яких обчислюваний ресурс відокремлений від сховища ресурсів.
- Підтримка роумінгу з маршрутизацією трафіку як через домашню мережу (від англ. home-routed roaming), і з локальним «приземленням» (від англ. local breakout) у мережі.
- Взаємодія між мережевими функціями представлена двома способами: и .
Концепція безпеки мереж 5-го покоління включає в себе:
- Аутентифікацію користувача з боку мережі.
- Аутентифікація мережі з боку користувача.
- Узгодження криптографічних ключів між мережею та користувальницьким обладнанням.
- Шифрування та контроль цілісності сигнального трафіку.
- Шифрування та контроль цілісності користувальницького трафіку.
- Захист ідентифікатора користувача.
- Захист інтерфейсів між різними елементами мережі відповідно до концепції домену безпеки.
- Ізоляцію різних шарів механізму та визначення для кожного шару власних рівнів безпеки.
- Аутентифікацію користувача та захист трафіку на рівні кінцевих сервісів (IMS, IoT та інших).
Основні програмні модулі та мережеві функції безпеки 5G
AMF (Від англ. Access & Mobility Management Function - функція управління доступом та мобільністю) - забезпечує:
- Організацію інтерфейсів площини керування.
- Організацію обміну сигнальним трафіком , шифрування та захист цілісності його даних
- Організацію обміну сигнальним трафіком , шифрування та захист цілісності його даних
- Управління реєстрацією користувача обладнання в мережі та контроль можливих станів реєстрації.
- Управління з'єднанням обладнання користувача з мережею та контроль можливих станів.
- Управління доступністю обладнання користувача в мережі в стані CM-IDLE.
- Управління мобільністю обладнання в мережі в стані CM-CONNECTED.
- Передачу коротких повідомлень між власним обладнанням та SMF.
- Управління службами геолокації.
- Виділення ідентифікатора потоку для взаємодії із EPS.
SMF (англ. Session Management Function - функція управління сесіями) - забезпечує:
- Управління сесіями зв'язку, тобто створення, зміна та звільнення сесії, включаючи підтримку тунелю між мережею доступу та UPF.
- Розподіл та управління IP-адресами користувальницького обладнання.
- Вибір використовуваного шлюзу UPF.
- Організацію взаємодії із PCF.
- Управління застосуванням політик .
- Динамічне настроювання обладнання за допомогою протоколів DHCPv4 та DHCPv6.
- Контроль збору тарифікаційних даних та організація взаємодії із системою білінгу.
- Безшовність надання послуг (англ. ).
- Взаємодія з гостьовими мережами у рамках роумінгу.
УПФ (англ. User Plane Function - функція площини користувача) - забезпечує:
- Взаємодія із зовнішніми мережами передачі даних, у тому числі до глобального Інтернету.
- Маршрутизація пакетів користувачів.
- Маркування пакетів відповідно до політик QoS.
- Діагностику пакетів користувачів (наприклад, виявлення програм на основі сигнатур).
- Надання звітів про використання трафіку.
- UPF також є якорною точкою для підтримки мобільності як усередині однієї так і між різними технологіями радіодоступу.
УДМ (англ. Unified Data Management - уніфікована база даних) - забезпечує:
- Керування даними профілів користувачів, включаючи збереження та модифікацію переліку доступних користувачам послуг та відповідних параметрів.
- Управління
- Генерацію облікових даних аутентифікації 3GPP .
- Авторизацію доступу на основі даних профілю (наприклад, обмеження роумінгу).
- Управління реєстрацією користувача, тобто зберігання обслуговуючої AMF.
- Підтримка безшовності обслуговування та сеансу зв'язку, тобто зберігання призначеного для поточного сеансу зв'язку SMF.
- Управління доставкою SMS.
- Декілька різних UDM можуть обслуговувати одного користувача в рамках різних транзакцій.
UDR (англ. Unified Data Repository — сховище уніфікованих даних) — забезпечує зберігання різних даних користувача і є, по суті, базою даних всіх абонентів мережі.
UDSF (англ. Unstructured Data Storage Function – функція зберігання неструктурованих даних) – забезпечує збереження модулями AMF поточних контекстів зареєстрованих користувачів. Ця інформація у випадку може бути представлена як дані невизначеної структури. Контексти користувачів можуть бути використані для забезпечення безшовності та безперервності абонентських сесій як за планового виведення з сервісу одного з AMF, так і при виникненні аварійної ситуації. В обох випадках резервний AMF «підхопить» сервіс, використовуючи контексти, збережені в USDF.
Поєднання UDR та UDSF на одній фізичній платформі є типовою реалізацією даних мережевих функцій.
ВКФ (англ. Policy Control Function – функція контролю політик) – формує та призначає користувачам ті чи інші політики обслуговування, включаючи параметри QoS та правила тарифікації. Наприклад, передачі тієї чи іншої типу трафіку можуть динамічно створюватися віртуальні канали з різними характеристиками. При цьому до уваги можуть братися вимоги сервісу, що запитується абонентом, рівень завантаженості мережі, обсяг споживаного трафіку тощо.
NEF (англ. Network Exposure Function – функція мережевої експозиції) – забезпечує:
- Організацію безпечної взаємодії зовнішніх платформ та додатків з ядром мережі.
- Керування параметрами QoS та правилами тарифікації для конкретних користувачів.
SEAF (англ. Security Anchor Function - якірна функція безпеки) - спільно з AUSF забезпечує аутентифікацію користувачів при їх реєстрації в мережі з будь-якою технологією доступу.
AUSF (англ. Authentication Server Function - функція сервера аутентифікації) - відіграє роль сервера аутентифікації, що приймає та обробляє запити від SEAF і перенаправляє їх в ARPF.
ARPF (англ. Authentication Credential Repository and Processing Function – функція сховища та обробки облікових даних аутентифікації) – забезпечує зберігання персональних секретних ключів (KI) та параметрів криптографічних алгоритмів, а також генерацію векторів аутентифікації відповідно до алгоритмів 5G-AKA або -AKA. Розміщується у захищеному від зовнішніх фізичних впливів ЦОД домашнього оператора зв'язку та, як правило, інтегрується з UDM.
SCMF (англ. Security Context Management Function - функція управління ) - Забезпечує управління життєвим циклом контексту безпеки 5G.
SPCF (англ. Security Policy Control Function – функція управління політикою безпеки) – забезпечує узгодження та застосування політик безпеки щодо конкретних користувачів. При цьому враховуються можливості мережі, можливості обладнання та вимоги конкретної послуги (наприклад, рівні захисту, що забезпечуються сервісом критичних комунікацій та сервісом бездротового широкосмугового доступу в інтернет можуть відрізнятися). Застосування політик безпеки включає: вибір AUSF, вибір алгоритму аутентифікації, вибір алгоритмів шифрування даних і контролю цілісності, визначення довжини і життєвого циклу ключів.
SIDF (англ. Subscription Identifier De-concealing Function – функція вилучення ідентифікатора користувача) – забезпечує вилучення постійного ідентифікатора підписки абонента (англ. SUPI) із прихованого ідентифікатора (англ. ), отриманого в рамках запиту процедури аутентифікації Auth Info Req.
Основні вимоги безпеки до мереж зв'язку 5G
ДетальнішеАутентифікація користувача: Обслуговуюча мережа 5G повинна аутентифікувати SUPI користувача в процесі 5G AKA між користувачем і мережею.
Аутентифікація обслуговуючої мережі: Користувач повинен аутентифікувати ідентифікатор обслуговуючої мережі 5G, причому аутентифікація забезпечується через успішне використання ключів, отриманих в результаті процедури 5G AKA.
Авторизація користувача: Мережа, що обслуговує, повинна авторизувати користувача за профілем користувача, отриманим з мережі домашнього оператора зв'язку.
Авторизація обслуговуючої мережі мережею домашнього оператора: Користувачеві має надати підтвердження того, що він підключений до обслуговуючої мережі, яка авторизована мережею домашнього оператора для надання послуг. Авторизація є неявною у тому сенсі, що забезпечується успішним завершенням процедури 5G AKA.
Авторизація мережі доступу мережею домашнього оператора: Користувачеві має надати підтвердження того, що він підключений до мережі доступу, яка авторизована мережею домашнього оператора для надання послуг. Авторизація є неявною у тому сенсі, що забезпечується успішним встановленням безпеки мережі доступу. Цей тип авторизації повинен використовуватись для будь-якого типу мережі доступу.
Неавтентифіковані аварійні послуги: Щоб відповідати нормативним вимогам у деяких регіонах, 5G-мережі мають надавати можливість неавтентифікованого доступу для аварійних сервісів.
Ядро мережі та мережа радіодоступу: У ядрі мережі 5G та мережі радіодоступу 5G має підтримуватися використання алгоритмів шифрування та збереження цілісності з довжиною ключа 128 біт для забезпечення безпеки и . Мережні інтерфейси повинні підтримувати 256-бітові ключі шифрування.
Основні вимоги безпеки до обладнання користувача
Детальніше
- Користувальне обладнання має підтримувати шифрування, захист цілісності та захист від атак повторного відтворення даних, що передаються між ним і мережею радіодоступу.
- Устаткування користувача має активувати механізми шифрування та захисту цілісності даних за вказівкою, отриманою від мережі радіодоступу.
- Устаткування користувача має підтримувати шифрування, захист цілісності та захист від атак повторного відтворення сигнального трафіку RRC та NAS.
- Обладнання користувача має підтримувати такі криптоалгоритми: NEA0, NIA0, 128-NEA1, 128-NIA1, 128-NEA2, 128-NIA2
- Устаткування користувача може підтримувати такі криптоалгоритми: 128-NEA3, 128-NIA3.
- Користувальне обладнання має підтримувати такі криптоалгоритми: 128-EEA1, 128-EEA2, 128-EIA1, 128-EIA2 у разі, якщо воно підтримує підключення до мережі радіодоступу E-UTRA.
- Захист конфіденційності даних, що передаються між користувальницьким обладнанням і мережею радіодоступу, опціональний, але повинен бути забезпечений у всіх випадках, коли це дозволяється нормативно-правовими актами.
- Захист конфіденційності сигнального трафіку RRC та NAS опціональний.
- Постійний ключ користувача повинен бути захищений і повинен зберігатися в добре захищених компонентах обладнання.
- Постійний ідентифікатор передплати абонента не повинен передаватися у відкритому вигляді через мережу радіодоступу за винятком інформації, необхідної для коректної маршрутизації (наприклад и ).
- Відкритий ключ мережі домашнього оператора, ідентифікатор цього ключа, ідентифікатор схеми захисту та маршрутизаційний ідентифікатор повинні зберігатися у .
Кожному алгоритму шифрування ставиться у відповідність двійкове число:
- "0000": NEA0 - Null ciphering algorithm
- "0001": 128-NEA1 - 128-bit 3G based algoritm
- "0010" 128-NEA2 - 128-bit based algorithm
- "0011" 128-NEA3 - 128-bit базується на algoritm.
Шифрування даних з використанням 128-NEA1 та 128-NEA2
PS Схема запозичена з
Вироблення імітівставок алгоритмами 128-NIA1 та 128-NIA2 для забезпечення цілісності
PS Схема запозичена з
Основні вимоги безпеки до мережних функцій 5G
Детальніше
- AMF має підтримувати первинну аутентифікацію з використанням SUCI.
- SEAF має підтримувати первинну автентифікацію з використанням SUCI.
- UDM та ARPF повинні зберігати постійний ключ користувача та забезпечувати його захист від крадіжки.
- AUSF повинна надавати SUPI локальній обслуговуючій мережі тільки у разі успішної первинної аутентифікації з використанням SUCI.
- NEF не повинна пересилати приховану інформацію про ядр мережі за межі домену безпеки оператора.
Основні процедури безпеки
Домени довіри
У мережах 5-го покоління довіра до елементів мережі знижується при віддаленні елементів від ядра мережі. Ця концепція впливає рішення, реалізовані в архітектурі безпеки 5G. Таким чином, можна говорити про модель довіри 5G-мереж, яка визначає поведінку механізмів безпеки мережі.
З боку користувача домен довіри утворюють UICC та USIM.
На боці мережі домен довіри має складнішу структуру.
Мережа радіодоступу поділяється на дві складові. DU (Від англ. Distributed Units - розподілені одиниці мережі) та CU (Від англ. Central Units - центральні одиниці мережі). Разом вони формують gNB - Радіоінтерфейс базової станції мережі 5G. DU не мають безпосереднього доступу до даних користувача, оскільки можуть бути розгорнуті в сегментах незахищеної інфраструктури. CU повинні бути розгорнуті в захищених сегментах мережі, оскільки відповідають за термінацію трафіку механізмів безпеки AS. У ядрі мережі розташовується AMF, що термінує трафік механізмів безпеки NAS У поточній специфікації 3GPP 5G Phase 1 описано суміщення AMF з функцією безпеки SEAF, що містить кореневий ключ (також відомий як «якірний ключ») відвідуваної (обслуговуючої) мережі. AUSF відповідає за зберігання ключа, отриманого після успішної автентифікації. Він потрібний для повторного використання у випадках з одночасним підключенням користувача до кількох мереж радіодоступу. ARPF зберігає облікові дані користувачів та є аналогом USIM у абонентів. UDR и УДМ зберігають інформацію користувача, яку використовують для визначення логіки генерації облікових даних, ідентифікаторів користувачів, забезпечення безперервності сесії та ін.
Ієрархія ключів та схеми їх розподілу
У мережах 5-го покоління, на відміну від мереж 4G-LTE, процедура аутентифікації має дві складові: первинну та вторинну аутентифікацію. Первинна автентифікація обов'язкова для всіх пристроїв користувача, що підключаються до мережі. Вторинна автентифікація може здійснюватися на запит від зовнішніх мереж, якщо абонент до них підключається.
Після успішного завершення первинної аутентифікації та вироблення спільного ключа До між користувачем та мережею, з ключа К вилучається KSEAF — особливий якірний (корінний) ключ мережі. Згодом із цього ключа виробляються ключі, що забезпечують конфіденційність та цілісність даних сигнального трафіку RRC та NAS.
Схема із поясненнями
позначення:
CK (англ. Cipher Key)
IK (англ. Integrity Key) - ключ, що використовується в механізмах захисту цілісності даних.
CK' (англ. Cipher Key) - інший криптографічний ключ, створений із CK для механізму EAP-AKA.
IK' (англ. Integrity Key) - інший ключ, який використовується в механізмах захисту цілісності даних для EAP-AKA.
KAUSF — створюється функцією ARPF та обладнанням користувача з CK и IK під час 5G AKA та EAP-AKA.
KSEAF - якірний ключ, що отримується функцією AUSF з ключа KAMFAUSF.
KAMF — ключ, отриманий функцією SEAF із ключа KSEAF.
KNASint, KNASenc — ключі, які отримують AMF з ключа KAMF захисту сигнального трафіку NAS.
KRRCint, KRRCenc — ключі, які отримують AMF з ключа KAMF захисту сигнального трафіку RRC.
KUPint, KUPenc — ключі, які отримують AMF з ключа KAMF захисту сигнального трафіку AS.
NH - проміжний ключ, що отримується функцією AMF з ключа KAMF для забезпечення безпеки даних при хендоверах.
KgNB - ключ, що отримується функцією AMF з ключа KAMF для забезпечення безпеки механізмів мобільності.
Схеми виробітку SUCI з SUPI і навпаки
Схеми отримання SUPI та SUCI
Вироблення SUCI із SUPI та SUPI із SUCI:
аутентифікація
Первинна автентифікація
У мережах 5G EAP-AKA та 5G AKA є стандартними механізмами первинної автентифікації. Розіб'ємо механізм первинної аутентифікації на дві фази: перша відповідає за ініціацію аутентифікації та вибору методу аутентифікації, друга - за взаємну аутентифікацію між користувачем та мережею.
ініціація
Користувач надсилає запит на реєстрацію SEAF, яка містить прихований ідентифікатор підписки користувача SUCI.
SEAF відправляє в AUSF повідомлення-запит на аутентифікацію (Nausf_UEAuthentication_Authenticate Request), що містить SNN (від англ. Serving Network Name - ім'я мережі) і SUPI або SUCI.
AUSF перевіряє, чи дозволено запитувачу автентифікації SEAF використовувати даний SNN. Якщо мережа обслуговування не авторизована використовувати даний SNN, то AUSF відповідає повідомленням про помилку авторизації «Serving network not authorized» (Nausf_UEAuthentication_Authenticate Response).
Запит облікових даних для аутентифікації з боку AUSF в UDM, ARPF або SIDF здійснюється за SUPI або SUCI та SNN.
Грунтуючись на SUPI або SUCI та інформації користувача UDM/ARPF вибирає метод аутентифікації, який буде використовуватися далі і видає облікові дані користувача.
Взаємна автентифікація
При використанні будь-якого методу аутентифікації мережеві функції UDM/ARPF повинні згенерувати вектор аутентифікації (AV).
EAP-AKA: UDM/ARPF спочатку генерує вектор аутентифікації з роздільним бітом AMF = 1, після чого генерує CK' и IK' з CK, IK та SNN і становить новий вектор аутентифікації AV (RAND, AUTN, XRES*, CK', IK'), який відправляється в AUSF із зазначенням використовувати його тільки для EAP-AKA.
5G AKA: UDM/ARPF отримує ключ KAUSF з CK, IK та SNN, після чого генерує 5G HE AVангл. 5G Home Environment Authentication Vector). Вектор аутентифікації 5G HE AV (RAND, AUTN, XRES, KAUSF) відправляється в AUSF із зазначенням використовувати його тільки для 5G AKA.
Після цього AUSF виходить якірний ключ KSEAF з ключа KAUSF і надсилає SEAF «Challenge» запит у повідомленні «Nausf_UEAuthentication_Authenticate Response», що містить також RAND, AUTN і RES*. Далі здійснюється передача RAND і AUTN на встаткування користувача за допомогою захищеного сигнального повідомлення NAS. USIM користувача вираховує RES* з отриманих RAND та AUTN і відправляє його до SEAF. SEAF ретранслює це значення AUSF для перевірки.
AUSF порівнює XRES*, що зберігається в ньому, і отриманий від користувача RES*. У разі збігу, AUSF і UDM у домашній мережі оператора повідомляються про успішну аутентифікацію, а користувач і SEAF незалежно один від одного генерують ключ KAMF з KSEAF та SUPI для подальшої комунікації.
Вторинна автентифікація
Стандарт 5G підтримує опційну вторинну автентифікацію на основі EAP-AKA між власним обладнанням та зовнішньою мережею передачі даних. У цьому випадку SMF відіграє роль автентифікатора EAP і спирається на роботу -сервера зовнішньої мережі, який автентифікує та авторизує користувача.
- Відбувається обов'язкова первинна автентифікація користувача у домашній мережі та виробляє загальний з AMF контекст безпеки NAS.
- Користувач надсилає до AMF запит на встановлення сесії.
- AMF надсилає запит на встановлення сесії у SMF із зазначенням SUPI користувача.
- SMF перевіряє облікові дані користувача в UDM за допомогою наданого SUPI.
- SMF надсилає відповідь на запит від AMF.
- SMF запускає процедуру автентифікації EAP з метою отримання дозволу на встановлення сесії від сервера AAA зовнішньої мережі. Для цього SMF та користувач обмінюються повідомленнями з метою ініціювати процедуру.
- Користувач і сервер AAA зовнішньої мережі далі обмінюються повідомленнями, щоб провести аутентифікацію та авторизацію користувача. При цьому користувач надсилає повідомлення у SMF, який у свою чергу обмінюється повідомленнями із зовнішньою мережею через UPF.
Висновок
Незважаючи на те, що архітектура безпеки 5G базується на перевикористанні існуючих технологій, перед нею ставляться нові завдання. Величезна кількість IoT-пристроїв, розширені межі мережі та елементи децентралізованої архітектури – ось лише деякі з ключових принципів стандарту 5G, що дають волю фантазії кіберзлочинців.
Основний стандарт з архітектури безпеки 5G — містить ключові моменти роботи механізмів та процедур безпеки. Зокрема, описує роль кожної з VNF у забезпеченні захисту даних і вузлів мережі, у виробленні криптоключів та у здійсненні процедури аутентифікації. Але навіть цей стандарт не дає відповідей на гострі питання безпеки, які постають перед операторами зв'язку тим частіше, чим інтенсивніше розвиваються та вводяться в експлуатацію мережі нового покоління.
У зв'язку з цим, хочеться вірити, що труднощі експлуатації та захисту мереж п'ятого покоління ніяк не позначаться на звичайних користувачах, яким обіцяють швидкість передачі та відгук як у сина маминої подруги вже не терпиться випробувати всі заявлені можливості мереж нового покоління.
Корисні посилання
Джерело: habr.com