歐盟警告:不要急於部署5G技術!

2018年04月06日     檢舉

E安全4月6日訊 歐盟網絡與信息安全局(簡稱ENISA)發布報告警告稱,2G、3G與4G網絡中的安全缺陷很可能在 5G 當中重演。

為什麼不要急於部署5G網絡?

ENISA 表示,現有行動網路安全漏洞也可能在 5G 網絡當中有所體現。這對於物聯網(IoT)而言很可能是個壞消息。目前數百萬非安全設備正接入行動網路,且這些裝置在設計層面往往未能充分考慮通信驗證與加密等保障性機制。其危險在於,SS7 及 Diameter 等2G、3G 與 4G 行動網路中使用的信令協議也有可能影響到 5G 技術,這可能引發流量竊聽或欺詐等惡意活動,或導致位置信息遭遇攔截。

贊助商鏈接

ENISA 表示,面向 5G 技術的升級工作存在「重蹈覆轍的風險」, 5G 網絡支持更多用戶與提供更多帶寬的特性將進一步提高風險水平。

本文源自E安全

可利用SS7、Diameter 信令協議發起攻擊

攻擊者可以通過在 2G 與 3G 網絡當中使用的 SS7 信令協議攔截或者轉移通過簡訊發送的文本消息,這意味著攻擊者能夠查看文本內容。目前很多組織機構仍在利用簡訊進行雙因素身份驗證,這種身份驗證假定「只有手機持有者才能查看到發來的驗證碼」。ENISA 指出,部分銀行仍通過簡訊發送的一次性驗證碼,如果這些驗證碼遭到攔截,客戶帳戶中的資金將被快速竊取。

贊助商鏈接

研究人員們還利用 Diameter 信令協議演示了對 4G 網絡的拒絕服務攻擊,這將導致目標手機臨時或永久性與行動網路斷開連接。而上述攻擊很可能僅僅是開始。ENISA 在報告中寫道,「在解決 SS7 與 Diameter 相關攻擊活動的工作當中,目前的研究範圍只涵蓋了一小部分協議。預計未來還將有更多新的漏洞陸續湧現。」

ENISA提到,即使發現了缺陷並提供修復建議,情況也幾乎得不到改變。因為「針對 SS7 與 Diameter 的幾項保護建議一直未能得到業界的採用(包括 MAPsec、TCAPsec、Diameter over IPsec、Diameter over SCTP/DTLS)。」

常見網際網路協議也是重要威脅

5G 網絡還使用其它一些協議以補充或替代 SS7 以及 Diameter,但這並不能解決問題。5G 網絡中使用的常見網際網路協議(例如HTTP、TLS與REST API)中一旦發現存在安全漏洞,相關漏洞利用與滲透測試工具將能夠很快將其擴散至行動網路範圍。相比之下,相比 SS7 及 Diameter ,漏洞的發現與實際利用之間的周期將變得更短。

贊助商鏈接

ENISA 還特彆強調稱,各大網絡運營商已經開始討論推出 5G 網絡服務的問題,但相關標準組織卻仍然沒能確定一切可能由此引發的安全隱患。這最終可能導致歐洲在 5G 技術的部署方面發生滯後,然而美國與亞洲部分國家已經開始討論提供商用 5G 服務。

報告警告稱,受到這一問題困擾的絕不僅僅是歐盟,世界上其它網絡安全水平較低的地區也可能為攻擊者提供攻擊跳板,進而針對歐洲發動網絡攻擊。

ENISA 方面希望出台/變更相關法律法規,以支持網絡運營商能夠保護自身信號系統。另外政府撥款將可有效改善信號系統的安全水平。

相關閱讀