機構(gòu)警告說，如果你想要物聯(lián)網(wǎng)安全，不要急于部署5G

admin

歐盟IT安全機構(gòu)表示，2G，3G和4G網(wǎng)絡(luò)的缺陷可能會在5G中重演
歐洲聯(lián)盟網(wǎng)絡(luò)和信息安全機構(gòu)ENISA警告稱，現(xiàn)有移動網(wǎng)絡(luò)的安全漏洞也可能進入5G網(wǎng)絡(luò)。
對于物聯(lián)網(wǎng)來說，這可能是一個壞消息，數(shù)百萬不安全的設(shè)備連接到移動網(wǎng)絡(luò)，而沒有充分考慮通信的身份驗證和加密。

危險在于，SS7和Diameter中已知的缺陷，2G，3G和4G手機中使用的信令協(xié)議也可以內(nèi)置到5G中，從而允許竊聽或欺騙流量，并攔截位置信息，ENISA在發(fā)布的報告中稱星期四。
該公司表示，轉(zhuǎn)向5G有“重復歷史的風險”，并補充說，5G網(wǎng)絡(luò)支持更多用戶和更多帶寬的能力增加了危險性。
攻擊者可以利用2G和3G網(wǎng)絡(luò)中使用的SS7信令協(xié)議攔截或轉(zhuǎn)移通過SMS發(fā)送的短信。如果僅僅意味著攻擊者知道你的朋友會“CU L8R”，這并不會很糟糕，但是許多組織使用SMS雙因素身份驗證，假設(shè)只有手機的所有者才會看到發(fā)送給它的消息。
這是一個有風險的假設(shè)：正如ENISA所指出的那樣，當一些德國銀行通過短信發(fā)送的移動一次性密碼被攔截時，客戶的賬戶已經(jīng)流失了資金。
研究人員還使用Diameter信令協(xié)議演示了對4G網(wǎng)絡(luò)的拒絕服務(wù)攻擊，允許他們暫時或永久地將目標手機與網(wǎng)絡(luò)斷開連接。
這些攻擊可能只是它的開始。 “在解決SS7和Diameter攻擊方面正在做的工作中，只有一小部分協(xié)議已經(jīng)被研究，”ENISA說。 “預計將發(fā)現(xiàn)新的漏洞。”
ENISA抱怨道，即使發(fā)現(xiàn)了缺陷并修正了建議，也幾乎沒有改變。 “保護SS7和Diameter的幾項建議從未被業(yè)界采用（MAPsec，TCAPsec，IPsec上的Diameter，SCTP / DTLS上的Diameter）”。
5G網(wǎng)絡(luò)除了使用SS7和Diameter之外還使用其他協(xié)議，但不能解決問題。在5G網(wǎng)絡(luò)中使用常見的Internet協(xié)議（如HTTP，TLS和REST API）意味著，當發(fā)現(xiàn)這些協(xié)議中的漏洞時，它們的漏洞利用和滲透測試工具將很容易轉(zhuǎn)移到移動網(wǎng)絡(luò)。
“這意味著與SS7和Diameter相比，漏洞發(fā)現(xiàn)和真正利用之間的寬限期將變得更短�！盓NISA說。
ENISA特別關(guān)注的是，網(wǎng)絡(luò)運營商已經(jīng)在討論推出5G網(wǎng)絡(luò)的問題，而標準組織仍然沒有確定所有的安全問題。
這可能最終導致5G部署滯后的歐洲，領(lǐng)先于美國和一些正在談?wù)撎峁┥逃?G服務(wù)的亞洲國家
ENISA希望看到法律法規(guī)發(fā)生變化，以便網(wǎng)絡(luò)運營商保證其信號系統(tǒng)的安全 - 而不是像現(xiàn)在這樣受到阻礙。它還表明政府撥款可以用于改善信號系統(tǒng)的安全性。
這不僅僅是一個歐盟問題，它警告說：世界上其他地方的網(wǎng)絡(luò)安全性差可能為攻擊者提供一種干涉歐洲相應(yīng)網(wǎng)絡(luò)的途徑 - 反之亦然。