Bezpečnostní výzvy v infrastruktuře 5G: síťový slicing a neutralita sítě

Telekomunikace
Peter Kráľ
Bezpečnostní výzvy v 5G infrastruktuře: Slicing a síťová neutralita

Proč je bezpečnost 5G jiná než dříve

Mobilní sítě páté generace (5G) přinášejí zásadní změnu architektury: přechod na cloud-native prostředí, masivní virtualizaci (NFV), programovatelnost přes SDN a logickou segmentaci pomocí síťového řezu (network slicing). Tyto inovace zvyšují flexibilitu a kapacitu, ale zároveň výrazně rozšiřují útočnou plochu. Bezpečnostní model už nesmí chránit jen „rádiovou síť“; musí pokrývat celý ekosystém: od rádiového přístupu (RAN) přes 5G Core (5GC) a mobilní edge computing (MEC) až po multicloud, CI/CD pipelines a dodavatelský řetězec.

Hlavní vektory útoku v 5G infrastruktuře

  • Softwarově definovaná infrastruktura: Napadnutelný orchestrátor, chybné politiky v SDN, zranitelnosti v hypervizoru a kontejnerovém runtime.
  • Rozhraní služeb (Service-Based Architecture, SBA): Expozice API (HTTP/2) mezi síťovými funkcemi 5GC; rizika autentizace, autorizace a rate limitingu.
  • Mezidoménové propojení: Prolínání 4G/5G (rozhraní N26), roaming (N32) a propojení se sítěmi Diameter/SS7 vytvářejí mosty ke starším hrozbám.
  • RAN a O-RAN: Otevřená rozhraní (např. fronthaul) a xApps/rApps v RIC přinášejí nové vstupní body pro útoky a rizika spojená s dodavatelským řetězcem.
  • MEC a edge: Nasazení aplikací třetích stran blízko uživatelů – širší expozice, slabší fyzická bezpečnost, více identit a tajemství, které je třeba chránit.
  • Massive IoT: Obrovské množství heterogenních zařízení s různou úrovní zabezpečení a potenciálem pro DDoS a botnety.
  • Synchronizace a časování: Závislost na GNSS/PNT; spoofing/jamming časové reference ovlivňuje latenci a stabilitu RAN.
  • Provozní technologie (OT): Konvergence IT/OT v privátních 5G sítích (průmyslové areály) – specifické hrozby pro bezpečnost procesů (safety).

Architektura 5G Core a rozhraní SBA: specifika a rizika

5G Core přechází na service-based architekturu: síťové funkce (AMF, SMF, UPF, AUSF, UDM, NRF aj.) spolu komunikují přes API nad HTTP/2. Výhodou je modularita a škálovatelnost, rizikem pak:

  • Autentizace a autorizace API: Nedostatečně definované scopes/claims (OAuth2/JWT), chybějící mTLS či rotace certifikátů.
  • Viditelnost a řízení provozu: Bez API gateway a service mesh je obtížné uplatnit principy zero trust (policy-as-code, rate limiting, DLP, WAF).
  • Protokolové slabiny: Chyby implementace HTTP/2, gRPC a jejich multiplexingu mohou vést k DoS či únikům paměti.

RAN a Open RAN: otevřenost versus útočná plocha

Disaggregovaný RAN, zejména O-RAN, umožňuje přístup více dodavatelů, ale zavádí nová rozhraní (A1, E2, O1) a aplikační ekosystém (xApps/rApps). Mezi hlavní výzvy patří:

  • Integrita řídicích smyček: Manipulace s xApp může snížit výkon nebo způsobit výpadek buňky.
  • Dodavatelský řetězec a atestace: Potřeba spolehlivé atestace (TPM/TEE), SBOM a průběžného ověřování integrity firmwaru a kontejnerů.
  • Fyzická bezpečnost: Vzdálené RRU/DU mohou být fyzicky dostupné, proto vyžadují ochranu proti neoprávněné manipulaci a šifrování spojů fronthaul a backhaul.

Network slicing: izolace, kterou je třeba prokázat

Síťové řezy poskytují logicky oddělené SLA pro různé služby (eMBB, URLLC, mMTC). Hlavní bezpečnostní otázky:

  • Silná izolace: Ověření, že řídicí i uživatelská rovina jsou odděleny na úrovni výpočetních prostředků, síťových politik a klíčů.
  • Životní cyklus řezu: Bezpečné zřizování, změny konfigurace a likvidace, včetně rotace tajemství a mazání dat.
  • Propustnost mezi řezy: Politiky, které zamezí laterálnímu pohybu mezi řezy, a správné nastavení QoS pro více nájemců bez možnosti zneužití.

Bezpečnost 5G na rádiové vrstvě a ochrana identity

3GPP zavádí nové mechanismy: 5G-AKA, ochranu dlouhodobé identity SUPI pomocí SUCI (šifrované), povinné šifrování a integritu signalizace a uživatelských dat. Praktické výzvy:

  • Správa klíčů a kryptografie: Bezpečné HSM, rotace klíčů, odolnost vůči postkvantovým hrozbám (krypto-agilita).
  • IMSI catchery: Rizika jsou zmírněna, ale nikoli zcela eliminována; přetrvávají při přechodu na 4G/2G a při roamingu.
  • Zákonný odposlech a soukromí: Potřeba přísného řízení přístupu, auditovatelnosti a oddělení rolí v souladu s regulací.

Propojení se 4G a mezinárodní roaming

Koexistence 4G EPC a 5G 5GC vyžaduje bezpečné převodníky protokolů a brány. Problémy vznikají na hranicích domén:

  • Starší protokoly: Zranitelnosti v SS7/Diameter mohou nepřímo ohrozit signalizaci 5G.
  • Důvěra mezi operátory: Nutnost silných vzájemných politik, připnutí certifikátů (certificate pinning) a monitorování na rozhraní N32 a IPX.
  • Ověřování partnerů: Průběžná bezpečnostní prověrka a testování kompatibility bezpečnostních politik.

MEC, API a aplikace třetích stran

Edge platformy otevírají síť vývojářům. Klíčová je bezpečnostní brána pro API a celý ekosystém:

  • Zero trust pro aplikace: mTLS, krátkodobé tokeny, dynamické zásady (OPA), izolace aplikací za běhu a vynucování politik pomocí eBPF/LSM.
  • Správa dat: Klasifikace a zásady pro umístění dat, šifrování uložených i právě zpracovávaných dat (TEEs), minimalizace telemetrie.
  • Zabezpečené vývojářské prostředí (DevEx): Podepisování artefaktů (SLSA), kontrola závislostí, SBOM a provozní atestace instancí v clusterech MEC.

Cloud-native 5G: Kubernetes, CI/CD a provozní bezpečnost

Funkce 5G Core a O-RAN často běží jako kontejnery. Klasické modely založené na perimetru nestačí:

  • Řídicí rovina Kubernetes: RBAC, NetworkPolicies, izolace jmenných prostorů, admission controllery (OPA/Gatekeeper), auditní logy.
  • Dodavatelský řetězec: Podepisování kontejnerů (Cosign), původ image, izolace build prostředí, skenování zranitelností (trivy/grype).
  • Ochrana za běhu: Detekce anomálií (eBPF), minimalizace počtu privilegovaných podů, kontejnery bez oprávnění root, seccomp/AppArmor.
  • CI/CD: Principy „čtyř očí“, tajemství v HSM/externím KMS, oddělení prostředí (dev/stage/prod), GitOps s auditovatelností.

DDoS, volumetrické a aplikační útoky

5G zvyšuje propustnost a snižuje latenci, což paradoxně zvyšuje i účinnost DDoS. Opatření zahrnují:

  • Vícevrstvá mitigace: Centra pro čištění provozu (scrubbing centra), BGP Flowspec/RTBH, segmentové limity rychlosti a QoS pro jednotlivé řezy.
  • Ochrana SBA: API gateway s WAF, detekce anomálního chování, circuit breakers a řízení zpětného tlaku na úrovni service mesh.
  • Ochrana RAN: Samoléčení založené na RIC, dynamické řízení plánovače a izolace problémových skupin UE.

Soukromí a ochrana osobních údajů

5G generuje podrobnou telemetrii o poloze a chování uživatelů. Dodržení předpisů (např. GDPR, NIS2) vyžaduje:

  • Minimalizaci dat: Shromažďovat pouze nezbytné metriky; uplatňovat pseudonymizaci a agregaci.
  • Transparentní správu: Datovou provenienci, retenční politiky, přístup podle principu „need-to-know“ a pravidelné audity.
  • Bezpečný analytický stack: Šifrování, přístupové brány a techniky chránící soukromí (např. FHE/TEE pro citlivé výpočty).

Bezpečnostní testování a assurance

Kritická infrastruktura vyžaduje průběžné ověřování odolnosti:

  • Modelování hrozeb pro 5G: Rozšíření STRIDE/PASTA o specifika RAN/SBA; mapování na ATT&CK for 5G.
  • Penetrační testy a red teaming: Zaměření na rozhraní N2/N3/N6/N32, API 5GC, O-RAN RIC a platformy MEC.
  • Fuzzing protokolů: NAS/RRC/NGAP, HTTP/2, gRPC; ověřování odolnosti orchestrátorů a agentů.
  • Chaos engineering: Testy odolnosti (selhání podu/hostitele, latence, ztráta paketů) s bezpečnostní telemetrií.

Monitorování, detekce a reakce

Detekční schopnosti musí pokrývat řídicí, uživatelskou i správní rovinu:

  • Telemetrie a observabilita: Export metrik, logů a tras (OpenTelemetry), korelace událostí napříč řezy a doménami.
  • Behaviorální analýza: Modely anomálií pro signalizační toky (AMF/SMF/UPF), výchozí profily pro eMBB/URLLC/mMTC.
  • SOAR playbooky: Automatizované reakce: izolace řezu, rotace certifikátů, navýšení kapacity ochranných prvků, blokování na hranici.
  • Forenzní připravenost: Časově synchronizované logy, neměnné úložiště, řetězec předávání důkazů (chain of custody), reprodukovatelné buildy.

Správa identit a přístupů (IAM) v telekomunikačním prostředí

Nejde jen o uživatele, ale i o síťové funkce, mikroslužby a automatizované účty:

  • Princip nejmenších oprávnění: Jemnozrnná autorizace (ABAC/RBAC), krátkodobé přihlašovací údaje a automatická rotace jako výchozí nastavení.
  • Silná atestace entit: mTLS s certifikáty vydávanými prostřednictvím centrální PKI, hardwarový kořen důvěry (TPM/TEE), vzdálená atestace.
  • Segmentace přístupu: Oddělené identity a politiky pro RAN/CORE/MEC; privilegovaný přístup just-in-time.

Dodavatelský řetězec a prostředí s více dodavateli

5G stojí na širokém ekosystému. Minimalizace rizik vyžaduje:

  • Due diligence: Posouzení dodavatelů, jejich bezpečnostních postupů, správy záplat a transparentnosti při zveřejňování zranitelností.
  • SBOM a VEX: Úplný seznam komponent a kontext zranitelností pro rychlé rozhodování při incidentech.
  • SLA a smluvní bezpečnost: Požadavky na šifrování, logování, reakční časy, penetrační testy a právo na audit.

Praktické kontrolní seznamy pro operátory a podnikové 5G

  • Architektura a návrh: Zero trust, segmentace, model hrozeb, bezpečnostní vzory pro SBA a RAN.
  • Kryptografie: mTLS v celé síti, oddělení klíčů pro každý řez a funkci, HSM/KMS, krypto-agilita.
  • API a mesh: API gateway + service mesh s politikami (authN/Z, limity rychlosti, WAF, DLP, circuit breakers).
  • Kubernetes: Zabezpečené výchozí nastavení (PSa/PSs), NetworkPolicies, zásady pro admission controllery, podepisování image, ochrana za běhu.
  • Monitorování: Telemetrie OpenTelemetry, SIEM/SOAR, bezpečnostní metriky (MTTD/MTTR, počet blokovaných útoků, míra odchylek v konfiguraci).
  • Procesy: Postupy pro reakci na incidenty, cvičení tabletop, red team vs. blue team, pravidelné aktualizace záplat a soulad konfigurací.
  • Edge/MEC: Izolované prostředí pro aplikace, kontrola závislostí, izolace nájemců, audit nasazení třetích stran.

Metodiky souladu a regulace

Provozovatelé by měli sladit bezpečnost s regulatorními rámci a osvědčenými postupy. Patří sem požadavky na kritickou infrastrukturu, řízení rizik dodavatelů a důraz na security-by-design v souladu s principy privacy-by-design. Důležitá je prokazatelnost kontrol – měřitelné metriky, auditní stopy a opakovatelné procesy.

Závěr: bezpečnost jako nepřetržitý proces

5G není jen rychlejší síť, ale softwarový ekosystém s vysokou mírou automatizace a otevřených rozhraní. Úspěch závisí na propojení technických kontrol (kryptografie, segmentace, ochrana za běhu), procesních opatření (řízení rizik, reakce na incidenty, audit) a odolné politiky dodavatelského řetězce. Bezpečnost 5G musí být průřezová, řízená daty a neustále testovaná – jedině tak lze udržet důvěru uživatelů i regulátorů a naplno využít potenciál 5G.