Offensichtlich ist es ungewöhnlich zweifelhaft und nutzlos, einen neuen Kommunikationsstandard zu entwickeln, ohne über Sicherheitsmechanismen nachzudenken.

5G-Sicherheitsarchitektur - Eine Reihe von Sicherheitsmechanismen und -verfahren, die in Netzwerken der 5. Generation implementiert sind und alle Netzwerkkomponenten abdecken, vom Kern bis zu den Funkschnittstellen.

Netze der 5. Generation sind im Wesentlichen eine Weiterentwicklung der LTE-Netze der 4. Generation . Funkzugangstechnologien haben die wichtigsten Änderungen erfahren. Für Netze der 5. Generation wurde eine neue RAT (Radio Access Technology) entwickelt - 5G New Radio . Was den Netzwerkkern betrifft, so hat er keine so bedeutenden Änderungen erfahren. In diesem Zusammenhang wurde die Sicherheitsarchitektur von 5G-Netzen mit dem Schwerpunkt auf der Wiederverwendung der im 4G-LTE-Standard übernommenen relevanten Technologien entwickelt.

Erwähnenswert ist jedoch, dass das Überdenken bekannter Bedrohungen wie Angriffe auf Funkschnittstellen und Signalisierungsebene ( Signalisierungsebene ), DDOS-Angriffe, Man-In-The-Middle-Angriffe usw. Telekommunikationsbetreiber dazu veranlasste, neue Standards zu entwickeln und völlig neue Mechanismen zu integrieren Netzwerksicherheit der 5. Generation.

Hintergrund

Die Internationale Fernmeldeunion hat im Jahr 2015 den ersten ihrer Art globalen Plan für den Aufbau von Netzen der fünften Generation erstellt, weshalb die Frage der Entwicklung von Sicherheitsmechanismen und -verfahren in 5G-Netzen besonders aktuell war.

Die neue Technologie bietet beeindruckende Datenübertragungsgeschwindigkeiten (über 1 Gbit / s), eine Verzögerung von weniger als 1 ms und die Möglichkeit, gleichzeitig etwa 1 Million Geräte in einem Umkreis von 1 km ² anzuschließen. Diese höchsten Anforderungen an Netze der 5. Generation spiegeln sich in den Grundsätzen ihrer Organisation wider.

Das Hauptproblem war die Dezentralisierung, bei der viele lokale Datenbanken und ihre Verarbeitungszentren an der Peripherie des Netzwerks platziert wurden. Dadurch konnten Verzögerungen bei der M2M- Kommunikation minimiert und der Kern des Netzwerks entlastet werden, da eine große Anzahl von IoT-Geräten gewartet wurde. Auf diese Weise wurde die Grenze der Netzwerke der neuen Generation auf die Basisstationen ausgedehnt, sodass Sie lokale Kommunikationszentren einrichten und Cloud-Dienste bereitstellen können, ohne das Risiko kritischer Verzögerungen oder Denial-of-Service. Die veränderte Herangehensweise an die Vernetzung und den Kundendienst hat Eindringlinge natürlich interessiert, da sie neue Möglichkeiten eröffneten, sowohl vertrauliche Benutzerinformationen als auch die Netzwerkkomponenten selbst anzugreifen, um einen Denial-of-Service zu verursachen oder die Computerressourcen des Betreibers zu belasten.

Wichtige Sicherheitslücken im Netzwerk der 5. Generation

Große Angriffsfläche

Eine große Anzahl von IoT-Geräten

Eingeschränkte kryptografische Funktionen von IoT-Geräten

Dezentralisierung und Erweiterung von Netzwerkgrenzen

Derzeit haben ETSI und 3GPP jedoch bereits über 10 Standards veröffentlicht, die verschiedene Aspekte der 5G-Netzwerksicherheit abdecken. Die überwiegende Mehrheit der dort beschriebenen Mechanismen zielt auf den Schutz vor Schwachstellen ab (einschließlich der oben beschriebenen). Eine der wichtigsten ist die Standardversion 15.6.0 des TS 23.501 , die die Sicherheitsarchitektur der Netze der 5. Generation beschreibt.

5G Architektur

Wenden wir uns zunächst den wichtigsten Prinzipien der Architektur von 5G-Netzwerken zu, die es uns ermöglichen, die Bedeutung und die Verantwortungsbereiche jedes Softwaremoduls und jeder 5G-Sicherheitsfunktion näher zu erläutern.

• Trennung von Netzwerkknoten in Elemente, die den Betrieb von Benutzerebenenprotokollen (aus der englischen UP-Benutzerebene) sicherstellen, und Elemente, die den Betrieb von Steuerebenenprotokollen (aus der englischen CP-Steuerebene) sicherstellen, wodurch die Flexibilität hinsichtlich der Netzwerkskalierung und -bereitstellung usw. erhöht wird. Ein zentraler oder dezentraler Einsatz einzelner Komponenten von Netzwerkknoten ist möglich.
• Unterstützung für den Network Slicing- Mechanismus, basierend auf den Diensten, die für bestimmte Endbenutzergruppen bereitgestellt werden.
• Realisierung von Netzwerkelementen in Form von virtuellen Netzwerkfunktionen .
• Unterstützung für den gleichzeitigen Zugriff auf zentralisierte und lokale Dienste, d. H. Die Implementierung der Konzepte von Cloud- Computing (aus dem englischen Fog-Computing ) und Border- Computing (aus dem englischen Edge-Computing ).
• Implementierung einer konvergenten Architektur, die verschiedene Arten von Zugangsnetzwerken - 3GPP 5G New Radio und Nicht-3GPP (Wi-Fi usw.) - mit einem einzigen Kernnetzwerk kombiniert.
• Unterstützung für einheitliche Authentifizierungsalgorithmen und -verfahren, unabhängig vom Typ des Zugriffsnetzwerks.
• Unterstützung für zustandslose Zustandsnetzwerkfunktionen (ab Englisch zustandslos), bei denen die berechnete Ressource vom Ressourcenspeicher getrennt wird.
• Unterstützung für Roaming mit Verkehrsrouting sowohl über das Heimnetz (vom englischen Home-Routing-Roaming) als auch mit lokaler Landung (vom englischen lokalen Breakout) im Gastnetz.
• Die Interaktion zwischen Netzwerkfunktionen wird auf zwei Arten dargestellt: Serviceorientiert und Front-End .

Das Netzwerksicherheitskonzept der 5. Generation umfasst :

• Benutzerauthentifizierung über das Netzwerk.
• Netzwerkauthentifizierung durch den Benutzer.
• Koordination der kryptografischen Schlüssel zwischen dem Netzwerk und der Benutzerausrüstung.
• Verschlüsselung und Integritätskontrolle des Signalverkehrs.
• Verschlüsselung und Integritätskontrolle des Benutzerverkehrs.
• Schutz der Benutzer-ID.
• Schutz von Schnittstellen zwischen verschiedenen Netzwerkelementen gemäß dem Konzept einer Netzwerksicherheitsdomäne.
• Isolierung verschiedener Schichten des Netzwerk-Slicing- Mechanismus und Bestimmung der eigenen Sicherheitsstufen jeder Schicht.
• Benutzerauthentifizierung und Verkehrsschutz auf der Ebene der Enddienste (IMS, IoT und andere).

Grundlegende 5G-Softwaremodule und Netzwerksicherheitsfunktionen

AMF (von der englischen Access & Mobility Management Function - Zugangskontrolle und Mobilität) bietet:

• Organisation von Bedienebenenschnittstellen.
• Organisation des Austauschs des Signalverkehrs RRC , Verschlüsselung und Schutz der Integrität seiner Daten.
• Organisation des Austauschs des NAS- Signalverkehrs, Verschlüsselung und Schutz der Integrität seiner Daten.
• Verwaltung der Registrierung von Benutzergeräten im Netzwerk und Überwachung möglicher Registrierungsbedingungen.
• Verwaltung der Verbindung von Benutzergeräten mit dem Netzwerk und Überwachung möglicher Bedingungen.
• Verwalten der Verfügbarkeit von Benutzergeräten im Netzwerk im CM-IDLE-Status.
• Mobilitätsmanagement von Benutzergeräten im Netzwerk im Zustand CM-CONNECTED.
• Die Übertragung von Kurznachrichten zwischen Benutzergeräten und SMF.
• Geolocation-Services verwalten.
• Markieren Sie die EPS- Flusskennung für die Interaktion mit EPS.

SMF (English Session Management Function - Funktion zur Verwaltung von Sitzungen) - bietet:

• Verwalten von Kommunikationssitzungen, dh Erstellen, Ändern und Freigeben von Sitzungen, einschließlich der Unterstützung des Tunnels zwischen dem Zugriffsnetzwerk und UPF.
• Verteilung und Verwaltung der IP-Adressen der Benutzergeräte.
• Auswählen des zu verwendenden UPF-Gateways.
• Organisation der Interaktion mit PCF.
• Verwalten von QoS- Richtlinien.
• Konfigurieren Sie Benutzergeräte dynamisch mithilfe der DHCPv4- und DHCPv6-Protokolle.
• Überwachung der Erhebung von Abrechnungsdaten und der Organisation der Interaktion mit dem Abrechnungssystem.
• Nahtlose Servicebereitstellung (von SSC - Session and Service Continuity ).
• Interaktion mit Gastnetzwerken als Teil des Roamings.

UPF (User Plane Function - Funktion der Benutzerebene) - bietet:

• Interaktion mit externen Datennetzen, einschließlich des globalen Internets.
• Weiterleitung von Benutzerpaketen.
• Kennzeichnung von Paketen gemäß den QoS-Richtlinien.
• Diagnose von Benutzerpaketen (z. B. signaturbasierte Anwendungserkennung).
• Berichterstattung über die Verkehrsnutzung.
• UPF ist auch ein Ankerpunkt für die Unterstützung der Mobilität, sowohl innerhalb derselben als auch zwischen verschiedenen Funkzugangstechnologien.

UDM (Unified Data Management - eine einheitliche Datenbank) bietet:

• Verwalten von Benutzerprofildaten, einschließlich Speichern und Ändern der Liste der für Benutzer verfügbaren Dienste und ihrer Parameter.
• Supi Management
• Generierung von 3GPP- AKA- Authentifizierungsdaten.
• Zugriffsberechtigung basierend auf Profildaten (z. B. Roaming-Einschränkung).
• Verwaltung der Benutzerregistrierung, d. H. Speicherung des versorgenden AMF.
• Aufrechterhaltung einer nahtlosen Dienst- und Kommunikationssitzung, d. H. Speichern der SMF, die der aktuellen Kommunikationssitzung zugewiesen ist.
• SMS-Zustellungsmanagement.
• Mehrere verschiedene UDMs können einen Benutzer im Rahmen verschiedener Transaktionen bedienen.

UDR (Unified Data Repository) - Ermöglicht die Speicherung verschiedener Benutzerdaten und ist in der Tat eine Datenbank aller Netzwerkteilnehmer.

UDSF (Unstructured Data Storage Function - Funktion zum Speichern unstrukturierter Daten) - stellt sicher, dass die AMF-Module die aktuellen Kontexte registrierter Benutzer speichern. Diese Informationen können im Allgemeinen als Daten einer unsicheren Struktur dargestellt werden. Benutzerkontexte können verwendet werden, um nahtlose und ununterbrochene Teilnehmersitzungen sowohl während des geplanten Rückzugs eines der AMF aus dem Dienst als auch im Notfall sicherzustellen. In beiden Fällen übernimmt der AMF im Standby-Modus den Dienst unter Verwendung der in der USDF gespeicherten Kontexte.

Die Kombination von UDR und UDSF auf derselben physischen Plattform ist eine typische Implementierung dieser Netzwerkfunktionen.

PCF (engl. Policy Control Function - Funktion zur Kontrolle von Richtlinien) - generiert und weist Benutzern verschiedene Servicerichtlinien zu, einschließlich QoS-Parametern und Preisregeln. Beispielsweise können virtuelle Kanäle mit unterschiedlichen Eigenschaften dynamisch erstellt werden, um diesen oder jenen Verkehrstyp zu übertragen. Gleichzeitig können die Anforderungen des vom Teilnehmer angeforderten Dienstes, der Grad der Netzüberlastung, die Menge des verbrauchten Verkehrs usw. berücksichtigt werden.

NEF (Network Exposure Function) - bietet:

• Organisation der sicheren Interaktion von externen Plattformen und Anwendungen mit dem Netzwerkkern.
• Verwalten von QoS-Parametern und Gebührenregeln für bestimmte Benutzer.

SEAF (Security Anchor Function) bietet zusammen mit AUSF die Authentifizierung von Benutzern, wenn diese sich mit einer beliebigen Zugriffstechnologie im Netzwerk registrieren.

AUSF (engl. Authentication Server Function - Authentifizierungsserverfunktion) - fungiert als Authentifizierungsserver, der Anforderungen von SEAF akzeptiert, verarbeitet und an ARPF umleitet.

ARPF (Authentication Credential Repository and Processing Function - Speicherung und Verarbeitung von Authentifizierungsinformationen) - bietet die Speicherung von persönlichen geheimen Schlüsseln (KI) und kryptografischen Algorithmusparametern sowie die Generierung von Authentifizierungsvektoren gemäß 5G-AKA- oder EAP -AKA-Algorithmen. Es befindet sich im Rechenzentrum eines Telekommunikationsbetreibers zu Hause, ist vor äußeren physikalischen Einflüssen geschützt und lässt sich in der Regel in UDM integrieren.

SCMF (Security Context Management Function) - Bietet 5G-Lifecycle-Management für Sicherheitskontexte.

SPCF (Security Policy Control Function) - bietet die Koordination und Anwendung von Sicherheitsrichtlinien für bestimmte Benutzer. Dies berücksichtigt die Fähigkeiten des Netzwerks, die Fähigkeiten des Benutzergeräts und die Anforderungen eines bestimmten Dienstes (z. B. können die durch den Dienst für kritische Kommunikation und den drahtlosen Breitband-Internetzugang bereitgestellten Schutzniveaus variieren). Die Anwendung von Sicherheitsrichtlinien umfasst Folgendes: Auswählen von AUSF, Auswählen eines Authentifizierungsalgorithmus, Auswählen von Datenverschlüsselungs- und Integritätskontrollalgorithmen, Bestimmen der Länge und des Lebenszyklus von Schlüsseln.

SIDF (Eng. Subscription Identifier De-Concealing Function) - Funktion zum Extrahieren der permanenten Abonnement-ID (Eng. SUPI) des Abonnenten aus der verborgenen ID (Eng. SUCI ), die im Rahmen der Authentifizierungsverfahren-Anforderung "Auth Info Req" empfangen wurde.

Grundlegende Sicherheitsanforderungen für 5G-Netzwerke

Grundlegende Sicherheitsanforderungen für Benutzergeräte

5G

5- . , 5G. , 5G-, .

UICC USIM.

.

— DU ( . Distributed Units — ) CU ( . Central Units — ). gNB — 5G. DU , . CU , AS. AMF , NAS. 3GPP 5G Phase 1 AMF SEAF , ( « ») () . AUSF , . . ARPF USIM . UDR UDM , , , .

5- , 4G-LTE, : . , . , .

, K _SEAF — () . , RRC NAS.

Authentifizierung

5G EAP-AKA 5G AKA . : , — .

SEAF, SUCI.

SEAF AUSF - (Nausf_UEAuthentication_Authenticate Request), SNN ( . Serving Network Name — ) SUPI SUCI.

AUSF , SEAF SNN. SNN, AUSF «Serving network not authorized» (Nausf_UEAuthentication_Authenticate Response).

AUSF UDM, ARPF SIDF SUPI SUCI SNN.

SUPI SUCI UDM/ARPF , .

Bei Verwendung einer beliebigen Authentifizierungsmethode müssen die UDM / ARPF-Netzwerkfunktionen einen Authentifizierungsvektor (AV) generieren.

EAP-AKA: UDM / ARPF generiert zuerst einen Authentifizierungsvektor mit dem Trennbit AMF = 1, generiert dann CK ' und IK' aus CK , IK und SNN und erstellt einen neuen Authentifizierungsvektor AV ( RAND , AUTN , XRES * , CK ' , IK ' ), der dem AUSF mit der Anweisung zugesandt wird, ihn nur für die EAP-AKA zu verwenden.

5G AKA: UDM / ARPF erhält K _AUSF- Schlüssel von CK , IK SNN, 5G HE AV . 5G Home Environment Authentication Vector). 5G HE AV (RAND, AUTN, XRES, K _AUSF ) AUSF 5G AKA.

AUSF K _SEAF K _AUSF SEAF «Challenge» «Nausf_UEAuthentication_Authenticate Response», RAND, AUTN RES*. RAND AUTN NAS. USIM RES* RAND AUTN SEAF. SEAF AUSF .

AUSF XRES* RES*. , AUSF UDM , SEAF K _AMF K _SEAF SUPI .

5G EAP-AKA . SMF EAP AAA - , .

• AMF NAS.
• AMF .
• AMF SMF SUPI .
• SMF UDM SUPI.
• SMF AMF.
• SMF EAP AAA- . SMF .
• AAA- , . SMF, UPF.

Fazit

, 5G , . IoT-, — 5G, .

5G — TS 23.501 15.6.0 — . , VNF , . , , .

, , 5- , .

Nützliche Links

3GPP-Spezifikationsreihe
5G-Sicherheitsarchitektur
5G-Systemarchitektur
5G-Wiki
5G-Architekturhinweise
5G-Sicherheitsübersicht