Fehlende Sicherheitsvalidierungsschritte im Netzwerk-Slicing-Design stellen ein Risiko für ernsthafte Datenschutz- und Sicherheitsverletzungen dar. [...]
5G-Netzwerke, die Legacy-Technologie enthalten, könnten durch ein fehlendes Mapping zwischen Transport- und Anwendungsschichten anfällig für Kompromisse sein, so ein Bericht des irischen Unternehmens AdaptiveMobile Security.
Network Slicing ist von zentraler Bedeutung, um viele der ehrgeizigen Ziele von 5G zu verwirklichen, da es einzelnen Zugangspunkten oder Basisstationen ermöglicht, Netzwerke in mehrere logische Abschnitte – sogenannte Slices – zu unterteilen und somit völlig separate Netzwerke für verschiedene Zwecke bereitzustellen. Die Slices können gleichzeitig für verschiedene Zwecke genutzt werden, z. B. für mobiles Breitband für Endnutzer und massive IoT-Konnektivität, ohne sich gegenseitig zu stören.
Forscher entdeckten eine Schwachstelle, die es einem Angreifer auf einem Slice ermöglicht, Zugriff auf Daten zu erhalten, die auf einem anderen Slice ausgetauscht werden, oder unter bestimmten Umständen Zugriff auf das Kernnetz des 5G-Anbieters zu erlangen, wenn sie ausgenutzt wird.
Ein simulierter Angriff, der von AdaptiveMobile beschrieben wird, sieht so aus, dass eine Rogue-Netzwerkfunktion, die zu einem Slice gehört, eine TLS-Verbindung zur Network Repository Function (NRF) eines Providers herstellt, einem zentralen Speicher aller 5G-Netzwerkfunktionen im Netzwerk eines Providers. Die Rogue-Funktion fordert den Zugriff auf eine andere Slice im selben Netzwerk an, und die NRF prüft, ob die Rogue-Slice zugelassen ist. Da beide Slices dieselbe Netzwerkfunktion nutzen, handelt es sich aus Sicht des NRF um eine gültige Anfrage, und es könnte ein Token für die Ziel-Slice generiert werden. Dies könnte der böswilligen Slice Zugriff auf eine Vielzahl von Informationen auf der anderen Slice gewähren, einschließlich persönlicher Daten.
Laut AdaptiveMobile funktioniert dies, weil die aktuelle Spezifikation für die Netzwerk-Slicing-Funktion kein „Layer-Matching“ zwischen verschiedenen Slices im selben Netzwerk erfordert. Daher sieht das NRF, wenn es mit dieser bösartigen Anfrage konfrontiert wird, lediglich einen authentifizierten Partner, der eine gültige Dienstanfrage stellt, und prüft nicht, ob es sich um das richtige Slice handelt, das diese Anfrage stellt.
Eine weitere potenzielle Schwachstelle könnte es einem betrügerischen Slice ermöglichen, einen Phantom-DoS-Angriff gegen ein anderes Slice durchzuführen, indem es HTTP-basierte Dienstanforderungen an das NRF manipuliert und ihm vorgaukelt, dass das Ziel-Slice überlastet ist und nicht kontaktiert werden sollte. Darüber hinaus könnte ein weiterer Mangel an Identitätsprüfung zwischen verschiedenen Benutzern und Slices im selben Netzwerk böswilligen Benutzern den Zugriff auf andere Daten ermöglichen, einschließlich kritischer Informationen über andere Kunden.
Die Lösung ist nicht einfach, da allgemeine TLS- und IP-Layer-Firewalls laut AdaptiveMobile nicht in der Lage sind, zu unterscheiden, welche Schicht mit welcher kommuniziert. Die einzige Alternative ist die Erzwingung einer zusätzlichen Validierung der Kommunikation zwischen verschiedenen Schichten und zwischen Schichten und dem NRF, um sicherzustellen, dass diese potenziellen Angriffe nicht stattfinden können.
*Jon Gold berichtet für Network World über IoT und drahtlose Netzwerke.
Be the first to comment