Analiză despre securitatea 5G

În zilele noastre, securitatea 5G reprezintă o preocupare majoră și este îndelung discutată, deoarece oamenii se bucură de comoditatea adusă de evoluția tehnologică și așteaptă cu nerăbdare apariția erei 5G. GSMA prezice că 5G va contribui cu 2,2 trilioane de dolari SUA la economia globală în următorii 15 ani, însă acum, când unele țări și politicieni au legat securitatea cibernetică de geopolitică, noțiunea este periculoasă și înșelătoare, deoarece face guvernele sau organizațiile să ignore sursele cu adevărat importante de amenințări pentru securitatea cibernetică și să se expună la mai multe riscuri. În acest caz, este necesar să discutăm natura securității cibernetice și modul în care putem să rezolvăm multe probleme de securitate cibernetică.

Să începem cu un celebru incident de securitate cibernetică: în aprilie 2018, Iranul a fost atacat și rețeaua a fost deconectată la nivel național. Ministrul iranian al tehnologiei informației și comunicațiilor, Jahroumi, a declarat că atacul nu se limitează la Iran și că nu este clar cine este autorul acestuia, dar a postat o captură de ecran a computerului pe twitter cu un steag SUA și mesaje de la hackeri (https://www.reuters.com/article/us-iran-cyber-hackers/iran-hit-by-global-cyber-attack-that-left-u-s-flag-on-screens-idUSKBN1HE0MH). Hackerii au folosit protocolul Smart Install al routerelor Cisco, provocând o întrerupere a rețelei în Iran https://blog.talosintelligence.com/2018/04/critical-infrastructure-at-risk.html).

După cum se poate observa din acest caz, orice atac de securitate cibernetică, indiferent dacă este sau nu motivat politic, se poate baza doar pe vulnerabilitățile tehnice sau organizaționale ale unei rețele. Conform binecunoscutei „teorii cu găleata”, atacatorii au mai multe șanse să se concentreze pe cele mai slabe puncte din rețea pentru a lansa atacuri. Aceasta înseamnă că securitatea rețelei este un concept de ansamblu și că fiecare legătură trebuie consolidată prin tehnologii profesionale și mijloace organizaționale, mai degrabă decât ceea ce pretind neprofesioniștii – că este suficient de sigur să achiziționați echipamente de la furnizori dintr-o anumită țară – deși această concluzie este promovată de câțiva adepți ai teoriei conspirației.

Germania, ca președinte rotativ al UE, a oferit un bun exemplu de modalitate de a asigura securitatea rețelelor de comunicații 5G

(BSI) a lansat Catalogul Deutsche Telekom (TKG) 2.0_Security Catalog pentru a controla riscurile de securitate a rețelei 5G din următoarele aspecte:

1. Strategia multi-furnizori asigură diversitatea furnizorilor de rețele, promovează concurența sănătoasă între furnizori și îmbunătățește nivelul de securitate al întregului ecosistem. În conformitate cu capitolul 8 din apendicele 2 din Catalogul de securitate, cel puțin două componente sau sisteme de la producători diferiți sunt utilizate în rețeaua principală (coloana vertebrală și rețeaua centrală), rețeaua de transmisie și rețeaua de acces (rețea de acces radio / rețea de acces cu fir), cu excepția cazului în care operatorul rețelei mobile folosește componente sau sisteme auto-dezvoltate. Furnizorii sunt independenți unul de celălalt și nu pot depinde în egală măsură de terți. În special, pe baza unei topologii de rețea implementate, funcțiile cheie de rețea și NE-urile nu ar trebui să se bazeze pe un singur furnizor de componente-cheie. Proiectarea topologiei rețelei trebuie să asigure diversitatea funcțiilor de rețea și NE-urile care trebuie protejate. În viitor, standarde deschise, cum ar fi Open RAN, vor duce la dezvoltarea celor mai noi tehnologii și vor susține diversitatea. Pentru a menține funcționalitatea rețelei, ar trebui dezvoltate măsuri pentru a compensa indisponibilitatea pe termen scurt a componentelor unui producător.

2. Nu folosiți teoria originii. Țara din care provine furnizorul nu este definitorie pentru nivelul său de securitate. Furnizorul trebuie să pună la dispoziție o declarație pe proprie răspundere. Încălcarea declarației este considerată o încălcare a contractului, iar furnizorul este responsabil pentru încălcarea contractului. Această cerință restricționează în mod direct comportamentul furnizorului.

a. Garanția că informațiile despre relația sa contractuală cu utilizatorul sau cu orice organizație a acestuia nu vor fi transferate către terți. Se iau măsuri organizatorice și legale pentru a se asigura că informațiile confidențiale despre utilizatori nu sunt transferate în străinătate sau obținute de agenții străine, fie din proprie inițiativă, fie la inițiativa terților.

b. Oferiți informații specifice despre dezvoltarea produsului și a componentelor sistemului de securitate al produselor doar la cerere. Investiți doar în personal de înaltă încredere pentru a dezvolta și produce componente de sistem critice pentru securitate. Aprobați și sprijiniți pe deplin inspecția de securitate și analiza de penetrare a produselor, în măsura în care acest lucru este necesar.

c. Asigurați-vă că produsul pentru care care ați depus declarația nu conține vulnerabilități instalate în mod deliberat și nu va instala vulnerabilitățile ulterior. Toate vulnerabilitățile neintenționate cunoscute au fost rezolvate sau vor fi remediate în viitorul apropiat și vor fi reparate imediat.

d. Sursa de aprovizionare declară dacă și cum se asigură în mod adecvat că componentele critice nu au caracteristici tehnice care ar putea avea un impact abuziv asupra securității, integrității, disponibilității sau funcționalității infrastructurii critice (de exemplu, prin sabotaj, spionaj).

3. Standardele clare sunt utilizate pentru a asigura coerența nivelului de securitate a întregului ecosistem. În același timp, securitatea rețelei nu poate fi rezolvată printr-o campanie unică. Securitatea rețelei 5G necesită verificarea continuă a fiecărei părți. Capitolul 2, secțiunea 4, din apendicele 2 din Catalogul de securitate definește autentificarea NE-urilor cheie. BSI este responsabil pentru autentificare și emite ghiduri tehnice.

a. Domeniul de aplicare al funcțiilor și componentelor cheie: Transportatorii ar trebui să identifice componentele-cheie pe baza listei de funcții-cheie și să documenteze rezultatele identificării. Planurile operatorilor de a implementa componente cheie ar trebui raportate la BNetzA și BSI. Cerințele de identificare și raportare se pun în aplicare în termen de un an de la publicarea listei de funcții-cheie.

b. Certificarea componentelor-cheie: Componentele-cheie trebuie testate de către o organizație acreditată de testare a securității și certificate de o organizație de certificare acreditată în conformitate cu Legea UE privind securitatea cibernetică înainte de a fi utilizate. Înainte de a dezvolta un mecanism adecvat de autentificare de securitate, operatorul care are obligații ar trebui să ia alte măsuri tehnice adecvate sau alte măsuri de securitate pentru a evita riscurile.

c. Deoarece nu este disponibil niciun mecanism de autentificare de securitate, Catalogul de securitate stabilește o perioadă de grație pentru cerințele de autentificare de securitate obligatorii precedente: 1. Componentele-cheie care sunt activate după 31 decembrie 2025 trebuie să îndeplinească cerințele de autentificare de securitate obligatorii precedente. 2. Ar trebui să existe pe piață două componente adecvate, certificate și disponibile de la diferiți furnizori pentru ca componentele-cheie să fie utilizate până la 31 decembrie 2025.

4. Identificați posibilele puncte slabe ale rețelelor 5G și oferiți măsuri de prevenire tehnică. Principiile definite în capitolul 2, secțiunea 2 din apendicele 2 din Catalogul de securitate (prevenirea manipulării tehnice și a incidentelor grave de protecție a datelor, furt sistematic de fluxuri de date de telecomunicații și incidente grave de securitate cauzate de defecțiuni funcționale sau de execuție necorespunzătoare) sunt controlate indiferent de dacă funcțiile sunt implementate în software sau hardware. Șapte tipuri de control sunt necesare: 1. Mecanismul de gestionare a sesiunii și de criptare; 2. Descrierea interfeței la nivelul întregii rețele; 3. Servicii de rețea; 4. virtualizare NFV și orchestrare rețea (MANO); 5. Management și alte sisteme de sprijin; 6. Transmiterea și controlul fluxului de informații; 7. Interceptarea legală.

Catalogul de securitate din Germania prezintă cerințe de securitate 5G mai mari și tratează în mod egal toți furnizorii. Aceasta este în concordanță cu declarațiile publice repetate ale guvernului german pentru a încuraja furnizorii să participe activ la construcția rețelei 5G în Germania și să adopte o atitudine corectă și deschisă în selecția furnizorilor.

Pe lângă Germania, organizațiile din industrie au deja mecanisme pentru asigurarea securității dispozitivelor de rețea. NESAS este un exemplu bun. Lnsat în comun de GSMA și 3GPP, NESAS este o certificare profesională dedicată industriei comunicațiilor mobile. Conținutul certificării include cerințele de securitate și cerințele de gestionare a procesului de cercetare și dezvoltare a produsului și a ciclului de viață. NESAS oferă operatorilor de transport și furnizorilor o asigurare de securitate ușor de implementat și definește un nivel de securitate universal de bază pentru industrie. Această bază de securitate poate fi utilizată pentru a verifica dacă dispozitivele de rețea îndeplinesc lista de cerințe de securitate și dacă furnizorii de dispozitive dezvoltă produse pe baza ghidului standard de securitate. Prin mecanisme precum NESAS, guvernele și transportatorii pot determina dacă produsele furnizorilor sunt sigure și fiabile pe baza unor fapte.

Stabilirea unui standard unificat pentru revizuirea tuturor produselor din lanțul de aprovizionare reprezintă asigurarea eficientă a securității și încrederii sistemelor sau componentelor de rețea. Dacă un furnizor este introdus sau exclus, în ​​funcție de originea furnizorului, produsul introdus în rețea poate avea un nivel scăzut de securitate și poate fi atacat și utilizat de hackeri, expunând întreaga rețea la riscurile de securitate.

„Articol sustinut de Huawei”