安全專家警告:注重物聯(lián)網(wǎng)安全,不要盲目發(fā)展5G

責(zé)任編輯:zsheng

2018-04-05 18:41:56

摘自:搜狐科技

在部署5G網(wǎng)絡(luò)技術(shù)上,國(guó)內(nèi)以華為、中興為代表的企業(yè)算是比較積極的,近期國(guó)內(nèi)首個(gè)5G電話打通,算是一個(gè)重大里程碑。不過(guò)歐盟IT安全機(jī)構(gòu)ENISA表示,2G,3G和4G網(wǎng)絡(luò)漏洞可能會(huì)在5G中重演。對(duì)于物聯(lián)網(wǎng)(IoT)來(lái)說(shuō),這可能是個(gè)壞消息,數(shù)百萬(wàn)不安全的設(shè)備正在連接到移動(dòng)網(wǎng)絡(luò),而沒(méi)有充分考慮通信的身份驗(yàn)證和加密。

在部署5G網(wǎng)絡(luò)技術(shù)上,國(guó)內(nèi)以華為、中興為代表的企業(yè)算是比較積極的,近期國(guó)內(nèi)首個(gè)5G電話打通,算是一個(gè)重大里程碑。不過(guò)歐盟IT安全機(jī)構(gòu)ENISA表示,2G,3G和4G網(wǎng)絡(luò)漏洞可能會(huì)在5G中重演。對(duì)于物聯(lián)網(wǎng)(IoT)來(lái)說(shuō),這可能是個(gè)壞消息,數(shù)百萬(wàn)不安全的設(shè)備正在連接到移動(dòng)網(wǎng)絡(luò),而沒(méi)有充分考慮通信的身份驗(yàn)證和加密。

ENISA在周四發(fā)布的報(bào)告中稱,危險(xiǎn)在于SS7協(xié)議和Diameter協(xié)議中已知的漏洞,2G、3G和4G手機(jī)中使用的信令協(xié)議也可以內(nèi)置到5G中,從而允許竊聽(tīng)或流量欺詐,并攔截位置信息。該公司表示,貿(mào)然轉(zhuǎn)向5G技術(shù)有“歷史重演的風(fēng)險(xiǎn)”,并補(bǔ)充說(shuō),5G網(wǎng)絡(luò)支持更多用戶和更多帶寬的能力增加了危險(xiǎn)性。

攻擊者可以利用2G和3G網(wǎng)絡(luò)中使用的SS7信令協(xié)議攔截或轉(zhuǎn)移通過(guò)SMS發(fā)送的短信。如果僅僅意味著攻擊者知道你的朋友會(huì)“CU L8R(see you later)”,這并不會(huì)很糟糕,但是許多組織使用SMS雙重身份驗(yàn)證,假設(shè)只有手機(jī)的所有者才會(huì)看到發(fā)送給它的消息。

這是一個(gè)有風(fēng)險(xiǎn)的假設(shè):正如ENISA所指出的那樣,當(dāng)一些德國(guó)銀行通過(guò)短信發(fā)送的一次性密碼被攔截時(shí),客戶的賬戶資金可能已經(jīng)流失了。研究人員還使用Diameter協(xié)議演示了對(duì)4G網(wǎng)絡(luò)的拒絕服務(wù)攻擊,允許他們暫時(shí)或永久地將目標(biāo)手機(jī)與網(wǎng)絡(luò)斷開(kāi)連接。

這些攻擊可能只是剛剛開(kāi)始。“在解決SS7和Diameter協(xié)議存在的漏洞過(guò)程中,只有一小部分協(xié)議已經(jīng)被研究,”ENISA說(shuō)。“預(yù)計(jì)還將發(fā)現(xiàn)新的漏洞。”ENISA抱怨道,即使發(fā)現(xiàn)漏洞并修正了問(wèn)題,可能并不會(huì)有什么變化。“幾項(xiàng)保護(hù)SS7和Diameter的建議從未被業(yè)界采用(MAPsec,TCAPsec,IPsec上的Diameter,SCTP / DTLS上的Diameter)。”

5G網(wǎng)絡(luò)除了使用SS7和Diameter之外還使用其他協(xié)議,但不使用SS7和Diameter,但是這并不能解決問(wèn)題。在5G網(wǎng)絡(luò)中使用常見(jiàn)的Internet協(xié)議(如HTTP,TLS和REST API),意味著當(dāng)發(fā)現(xiàn)這些協(xié)議中的漏洞時(shí),這些漏洞利用和滲透測(cè)試工具將很容易轉(zhuǎn)移到移動(dòng)網(wǎng)絡(luò)中。

“這意味著與SS7和Diameter相比,漏洞從發(fā)現(xiàn)到真正被利用之間的寬限期將變得更短。”ENISA說(shuō)。

ENISA特別關(guān)注的是,網(wǎng)絡(luò)運(yùn)營(yíng)商已經(jīng)在討論推出5G網(wǎng)絡(luò)的問(wèn)題,而標(biāo)準(zhǔn)組織仍然沒(méi)有確定所有的安全問(wèn)題。這可能最終導(dǎo)致5G部署滯后的歐洲,超過(guò)美國(guó)和一些正在談?wù)撎峁┥逃?G服務(wù)的亞洲國(guó)家。

ENISA希望看到法律和法規(guī)的變化,因此網(wǎng)絡(luò)運(yùn)營(yíng)商需要保護(hù)其信號(hào)系統(tǒng),而不是像今天那樣受到阻礙。它還表明政府撥款可以用于改善信號(hào)系統(tǒng)的安全性。

這不僅僅是一個(gè)歐盟問(wèn)題,它警告說(shuō):世界上其他地方的網(wǎng)絡(luò)安全性差可能為攻擊者提供一種干涉歐洲相應(yīng)網(wǎng)絡(luò)的途徑,反之亦然。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)