Безопасность 5G
5G появился вместе с маркетингом, посвященным задержке, пропускной способности и Интернету вещей. За спецификациями скрываются реальные улучшения безопасности — лучшее шифрование, более надежная защита личности подписчика, более детальная аутентификация — и некоторые новые риски. Отличия от 4G важны для всех, кто развертывает подключенные устройства или использует мобильные услуги.
Полный текст статьи на английском языке представлен ниже.
5G — это пятое поколение технологии сотовой связи, стандартизированное 3GPP начиная с 2017 года и распространяющееся на коммерческую основу с 2019 года. Это не просто более быстрый 4G — архитектура принципиально другая, включая модель безопасности. Большинство улучшений конфиденциальности и безопасности происходят ниже уровня приложений и невидимы для пользователей, но они имеют реальные последствия. 5G использует скрытый идентификатор подписки (SUCI), который шифрует IMSI с помощью открытого ключа домашней сети. Пассивный перехват IMSI больше не работает против 5G.
Что добавил 5G (хороший и плохой)
Новая архитектура таит в себе новые риски:
- Массивный IoT. 5G предназначен для поддержки миллионов устройств за квадратный километр. Базовый уровень безопасности для устройств Интернета вещей, как известно, низок; их масштабирование создает большие поверхности для атак. Ошибки реализации изоляции срезов могут привести к утечкам между срезами.
- Сложность виртуализации. Ядра 5G работают в виртуализированной инфраструктуре (VNF, контейнеры). Повышенная сложность программного обеспечения приводит к появлению новых классов уязвимостей.
- Проблемы с цепочкой поставок. Геополитика вокруг поставщиков оборудования (Huawei, ZTE) сделала безопасность цепочки поставок первостепенной задачей при развертывании 5G.
- Edge Computing (MEC). 5G позволяет выполнять вычисления на границе сети, ближе пользователям. Периферийные устройства и их интеграция с ядром представляют собой новые поверхности для атак.
Классической угрозой для мобильных пользователей являются перехватчики IMSI — поддельные вышки сотовой связи, которые позволяют регистрировать близлежащие устройства, собирать идентификационные данные и иногда перехватывать звонки. SUCI 5G разбивает дело о пассивном сборе личных данных. Активные угрозы остаются:
- Атаки понижения версии. Поддельная ячейка может заставить устройства использовать старые протоколы (4G, 3G или даже 2G), где перехватчики IMSI все еще работают. По умолчанию телефоны позволяют это сделать для совместимости. В некоторые операционные системы добавлены возможности отказа от перехода на более раннюю версию.
- Незаконные базовые станции. Противостоять поддельному gNB (базовой станции 5G) сложнее, чем поддельному 4G, но возможно. Свойство взаимной аутентификации 5G-AKA ограничивает их возможности после регистрации. Сквозное и операторское шифрование
5G защищает трафик между вашим устройством и базовой сетью оператора. От ядра до пункта назначения (веб-сайт, сервер) оператор может видеть IP-трафик в виде открытого текста. «Сквозное» в сотовом смысле не означает «сквозное» в прикладном смысле. При шифровании на уровне приложения (HTTPS, Signal) защита остается на уровне сотовой связи.
Практическая конфиденциальность на 5G
- Используйте HTTPS везде — шифрование на уровне приложения имеет значение независимо от поколения сотовой связи.
- Используйте VPN на сотовой связи для обеспечения высокой конфиденциальности — хотя 5G шифрует радиоинтерфейс, оператор все равно видит направления.
- Отключите резервный режим 2G, если это возможно. — некоторые телефоны предлагают это в расширенных настройках; отбивает большинство активных атак на понижение версии.
- Для активизма или журналистики в странах с враждебными сетями — Сигнальные звонки + Tor + VPN, не полагаясь на оператора сотовой связи в какой-либо чувствительной части модели угроз.
Что означает 5G для предприятий
Компании, строящиеся на 5G — частные сети 5G для заводов, периферийные услуги с поддержкой 5G, развертывание Интернета вещей 5G — сталкиваются с более сложной моделью безопасности, чем 4G или Wi-Fi. Архитектура более функциональна, но более взаимосвязана. Лучшие практики включают строгую изоляцию срезов, mTLS между сетевыми функциями, комплексное ведение журналов, оценку рисков в цепочке поставок поставщиков оборудования и SBOM (спецификация программного обеспечения) для VNF.
Часто задаваемые вопросы
- Является ли 5G более безопасным, чем Wi-Fi?
- Сопоставимо, с разными моделями угроз. 5G шифрует радиоинтерфейс и аутентифицирует сеть; Wi-Fi (WPA3) шифрует радиоинтерфейс и проверяет подлинность с помощью общего ключа. Оба предоставляют трафик сетевому оператору и месту назначения. Для использования с высокими ставками и то, и другое необходимо сочетать с шифрованием на уровне приложений.
- Может ли кто-нибудь перехватить мои звонки через 5G?
- Пассивный перехват правильно настроенной сети 5G практически невозможен без сотрудничества оператора. Активные атаки (незаконные базовые станции, атаки на понижение версии) сложнее, чем против 4G, но все же возможны против ценных целей. Законный перехват через оператора такой же, как и всегда.
- Почему мой телефон иногда переходит на LTE?
- Покрытие. Сети 5G имеют меньшее покрытие, чем 4G; когда устройство не может получить хороший сигнал 5G, оно отключается. Резервный вариант обычно законен; в состязательных сценариях злоумышленник также может принудительно понизить версию. Некоторые расширенные настройки позволяют отключать определенные старые поколения.
- Является ли 5G более безопасным для Интернета вещей?
- Архитектура аутентификации 5G более надежна, чем у предыдущих поколений сотовой связи, поэтому хорошо реализованный Интернет вещей в 5G более безопасен, чем эквивалентные устройства в 4G. Но «хорошо реализованный» выполняет большую работу: многие устройства Интернета вещей поставляются с учетными данными по умолчанию и никогда не обновляются. 5G не исправляет культуру безопасности поставщиков.
- Нужен ли мне VPN на 5G?
- По конфиденциальности от оператора да — тот же ответ, что и 4G. Улучшения 5G защищают радиоинтерфейс и уровень идентификации; они не меняют того, что ваш оператор может видеть о вашем интернет-трафике. Если вам нужен VPN на 4G, вам нужен VPN на 5G.