Thỏa thuận thuật toán
Trước khi thực hiện giao tiếp, cả UE và mạng cần thỏa thuận nên sử dụng thuật toán nào. EPS hỗ trợ nhiều thuật toán bao gồm hai bộ thuật toán bắt buộc là 128-EEA1 và 128-EIA1 dựa trên SNOW 3G và 128-EEA2 và 128-EIA2 dựa trên AES, cả UE, eNB và MME cần phải được hỗ trợ sử dụng các thuật toán này.
Thuật toán được thỏa thuận giữa UE và trạm cơ sở (tầng AS), và giữa UE và mạng lõi (tầng NAS). Mạng lựa chọn thuật toán dựa trên khả năng bảo mật của UE (UE security capabilities) và danh sách các thuật toán bảo mật được phép của các thực thể mạng (như trạm cơ sở và MME). UE cung cấp khả năng bảo mật của nó cho mạng trong quá trình attach vào mạng. Trong UE security capabilities gồm thuật tốn mã hóa EPS (EEA) và thuật tốn tồn vẹn EPS (EIA). Khả năng bảo mật cho tầng AS, NAS và mặt phẳng dữ liệu người dùng như nhau, ngoại trừ mặt phẳng dữ liệu người dùng khơng hỗ trợ bảo vệ tính tồn vẹn.
Bản tin khơng được bảo vệ trước khi thuật tốn được thỏa thuận và thiết lập xong. Các khả năng bảo mật mà UE cung cấp cho mạng được gửi lại trong một bản tin phản hồi bảo vệ tính tồn vẹn để tránh các tấn công từ mạng. Nếu UE phát hiện thấy các khả năng bảo mật này đã bị thay đổi, UE sẽ dừng quá trình attach vào mạng. UE sẽ gửi lại khả năng bảo mật lần nữa cho mạng để thiết lập bảo vệ tồn vẹn, vì vậy mạng sẽ phát hiện được sự tấn cơng.
Hai q trình Security Mode Command và Security Mode Complete được dùng để chỉ ra thuật tốn được lựa chọn và bắt đầu q trình mã hóa và bảo vệ tồn vẹn. MME phải chọn thuật toán tầng NAS, và trạm cơ sở sẽ chọn thuật toán cho tầng AS bao gồm cả thuật toán cho mặt phẳng người dùng.
Q trình giao tiếp trong mặt phẳng tín hiệu và mặt phẳng người dùng
phẳng dữ liệu người dùng thông qua giao diện giữa trạm cơ sở (eNB) và mạng lõi (EPC). Chúng có thể được mã hóa bằng cơ chế IPSec.
1.6. Kết luận chương 1
Thực trạng an tồn thơng tin tại Việt Nam ngày càng diễn biến phức tạp và nguy hiểm. Các cuộc tấn cơng mạng có quy mơ, mức độ phức tạp và được chuẩn bị một cách kỹ lưỡng. Trong đó, các mục tiêu tấn cơng đang dần chuyển dịch từ các mục tiêu cá nhân, sang các mục tiêu là các tập đoàn kinh tế lớn hay nghiêm trọng hơn là các hệ thống thông tin quan trọng của các quốc gia. Chính vì vậy, việc bảo mật mạng là một trong những mối quan tâm hàng đầu của của nhà mạng trong xu thế triển khai mạng 5G. Đây cũng chính là thực trạng an ninh trong mạng thơng tin di động tại Việt Nam nói riêng và trên thế giới nói chung. Để tìm ra giải pháp của vấn đề bảo mật mạng, luận văn đã tìm hiểu về tổng quan mạng thơng tin di động 5G giả định, các thành phần cơ bản trong kiến trúc mạng. Sau đó, trình bày các u cầu về bảo mật trong mạng 5G, để từ đó trình bày kiến trúc bảo mật. Trong kiến trúc bảo mật, luận văn giới thiệu về các vấn đề xác thực, bảo mật trong mặt phẳng dữ liệu người dùng và măt phẳng dữ liệu điều khiển, và các cơ chế bảo mật trong mạng thông tin di động 5G.
Chương 2. NGHIÊN CỨU CÁC GIẢI PHÁP BẢO MẬT TRONG MẠNG THÔNG TIN DI DỘNG 5G
Trong chương này, luận văn đề cập đến những nguy cơ trong mạng thông tin di dộng 5G bao gồm hiểm họa đối với thiết bị di động và các kiểu tấn công trên mạng. Từ các hiểm họa và một vài tấn cơng điển hình, luận văn sẽ trình bày cách khắc phục bằng các giải pháp bảo vệ mạng di động 5G.
2.1. Những hiểm họa đối với thiết bị di động
Trong mạng thông tin di động 5G, dữ liệu của thiết bị di động có thể bị lộ, do một số phần mềm độc hại (malware) gây ra. Phần mềm độc hại thường là một chương trình hoặc một đoạn mã chương trình có khả năng tác vụ bất hợp pháp lên máy tính, các phần tử mạng, hoặc thiết bị đầu cuối di động với mục đích: thăm dị lưu lượng, đánh cắp các thông tin cá nhân, làm lộ các thơng tin bí mật, xố các file dữ liệu. Có 8 loại phần mềm độc hại điển hình.
2.1.1. Worms
Một Worm (sâu) là một chương trình thực hiện sao chép bản thân nó (bằng các cách khác nhau như sử dụng Email hoặc cơ chế truyền tải khác). Một Worm có thể gây hại hoặc thỏa hiệp để can thiệp vào hệ thống bảo mật của máy tính bị nhiễm bằng cách thực hiện các tác vụ đặc biệt. Các loại Worm phổ biến trên các máy điện thoại di động là: Cabir Worm, Lasco Worm, Commwarrior Worm.
Cabir Worm: Phần mềm có hại sử dụng Bluetooth để lây nhiễm đến các máy điện thoại và truyềnđến máy chủ dưới dạng một file. Phần mềm này có thể lây lan nhanh giữa các máy di động sử dụng hệ điều hành Symbian. Khi bị nhiễm Cabir Worm, hệ điều hành của thiết bị bị biến đổi sau mỗi lần khởi động máy. Máy điện thoại bị nhiễm lại có thể quét các máy điện thoại khác có Bluetooth và gửi file “velasco.sis”, có chứa Cabir Worm. Cabir Worm khơng phá huỷ dữ liệu, nhưng nó có thể khố mọi kết nối Bluetooth và làm cạn kiệt pin của máy điện thoại một cách nhanh chóng.
Lasco Worm: Một loại sâu gây nhiễm các thiết bị trợ giúp cầm tay (PDA) và các máy di động chạy hệ điều hành Symbian. Nó dựa trên mã nguồn của Cabir để tự
nhân bản và truyền qua kết nối Bluetooth đến thư mục Inbox dưới dạng file “velasco.sis”. Khi mở file này, sâu được kích hoạt và tìm kiếm các thiết bị mới có sử dụng Bluetooth, sau đó tự nhân bản và chèn vào các file SIS (các hệ thống tích hợp Silicon) khác trên thiết bị di động.
Comwarrior Worm: Một loại sâu lan toả qua MMS và Bluetooth. Hiện có hơn 7 dạng biến đổi của loại sâu này, trong đó nguy hiểm nhất là Comwarg có khả năng lây nhiễm file và tìm các file SIS khác trong bộ nhớ của máy điện thoại di động, sau đó bổ sung mã nguồn của nó tới các file này.
2.1.2. Zombies
Một Zombie là một chương trình thực hiện bí mật qua một máy tính khác được kết nối với Internet và sau đó sử dụng máy tính đó để thực hiện các cuộc tấn cơng. Các Zombie có thể được sử dụng để thực hiện các tấn cơng từ chối dịch vụ (DoS), điển hình chống lại các Website mục tiêu. Các Zombie có thể được cài đặt trên hàng trăm máy tính thuộc về bên thứ ba. Chúng thường được sử dụng đồng bộ để gây quá tải hệ thống mục tiêu bằng cách triển khai các tấn công tràn băng thông Internet.
2.1.4. Virus
Một Virus là một chuỗi mã nguồn được chèn vào mã nguồn khác, khi chương trình chạy thì mã nguồn gây ra bởi Virus cũng được thực thi. Mã nguồn gây ra bởi Virustạo một bản sao để chèn vào một hoặc nhiều chương trình. Các Virus khơng phải là các chương trình riêng biệt, chúng không thể tự chạy và cần có chương trình chủ, mà Virus là một phần của chương trình chủ này, để chạy và kích hoạt chúng. Một số loại Virus điển hình trong thơng tin di động như Duts Virus, Pseudo-Virus...
2.1.5. Trojan Horses
Trojan Horses là một phần mềm độc hại thực hiện các tác vụ bất hợp pháp. Trojan khác với Virus là nó khơng có khả năng nhân bản. Một Trojan gồm 2 phần: Client và Server. Khi một nạn nhân thực hiện một Trojan Server trên máy của mình, kẻ tấn cơng sẽ sử dụng phần Client của Trojan đó để kết nối với máy chủ và bắt đầu
sử dụng máy chủ dựa trên giao thức, ví dụ TCP hoặc UDP. Khi một Trojan Server chạy trên máy tính của nạn nhân, nó thường khơng hiển thị, sau đó nó bắt đầu tìm kiếm các kết nối trên các cổng đầu vào, làm biến đổi việc ghi chép của hệ thống, hoặc sử dụng một số phương pháp tự động khác để khởi động lại và cấp phép cho kẻ tấn công truy nhập vào máy mục tiêu. Các loại Trojan phổ biến trên thiết bị di động là:
Skull Trojan: Tấn công trên các điện thoại dùng hệ điều hành Symbian, làm dừng liên kết với những ứng dụng hệ thống, bằng cách thay thế biểu tượng Menu bằng các hình ảnh đầu lâu;
Mosquito Trojan: Phiên bản được bẻ khóa từ trị chơi điện thoại di động “Mosquitos”, nó có ảnh hưởng tới trên 60 loại điện thoại thông minh;
Brador Trojan: Một Trojan sử dụng trên các máy di động dùng hệ điều hành Windows CE, bằng cách tạo ra một file “svchost.exe” trong thư mục Windows Start-up, nhằm điều khiển toàn bộ thiết bị.
CardtrapA: Một Trojan lây nhiễm vào máy tính khi truyền dữ liệu từ máy di động bị nhiễm sang máy tính. Nó có thể cài một số sâu vào thẻ nhớ của máy di động để gây nhiễm vào máy tính. CardtrapA lan toả chậm và chỉ ảnh hưởng đến các máy di động chạy hệ điều hành Symbian;
MetalGear: Một Trojan có khả năng kết hợp một số chương trình máy di động đã bị nhiễm, sau đó lan toả trên các máy di động sử dụng hệ điều hành Symbian. Nó ngăn các chương trình diệt Virus hoặc các chương trình khác chạy, sau đó cài đặt sâu Cabir, để cấm khởi động nút Menu của máy di động.
2.1.6. Logic Bombs
Một logic bomb là một đoạn mã chương trình được chèn bí mật hoặc chủ ý. Bomb được thiết kế để thực hiện dưới những điều kiện đặc biệt, như một khoảng thời gian đã trôi qua kể từ khi sự kiện đã xảy ra. Nó là một Virus hoặc Trojan máy tính có tác vụ trễ. Một logic bomb có thể được thiết kế để hiển thị một bản tin giả mạo, xoá dữ liệu, corrupt dữ liệu, hoặc có các ảnh hưởng khơng mong muốn khác khi được thực hiện.
2.1.7. Trap Doors
Một trap door, đôi khi được gọi là back door, là điểm đầu vào bí mật trong chương trình cho phép kẻ tấn công cảnh giác về trapdoor nhận được quyền truy nhập mà không phải thực hiện các thủ tục truy nhập bảo mật. Sự khác nhau giữa một trap door và một Trojan truy nhập từ xa (RAT) là trap door chỉ mở một cổng, RAT được thiết kế với kiến trúc Client-Server.
2.1.8. Phishing Scam
Một PS là một trang Web, một email, hoặc một tin nhắn văn bản không trung thực thu hút những người sử dụng không nghi ngờ để lộ các thông tin nhạy cảm như password, các thơng tin tài chính, hoặc dữ liệu cá nhân khác.
2.1.9. Spyware
Một spyware là một phần mềm nhằm để lộ thông tin cá nhân của người sử dụng di động hoặc hệ thống máy tính của nó tới các kẻ nghe trộm. Ví dụ, như FlexiSpy gửi một log các cuộc gọi di động và các bản sao các văn bản và các tin nhắn MMS đến một máy chủ Internet thương mại, để bên thứ ba có thể xem được.
2.2. Các kiểu tấn công trên mạng di động
2.2.1. Phân loại các kiểu tấn cơng
Có thể phân chia các kiểu tấn công vào mạng 5G thành 3 nhóm: Theo thể loại tấn cơng; Theo phương tiện tấn công và Theo chiều truy nhập vật lý, trong đó các kiểu tấn cơng lại được phân chia theo mức độ truy nhập vật lý mà kẻ tấn công sử dụng trong mạng.
2.2.1.1. Theo thể loại tấn công
Ngăn chặn: Kẻ tấn công ngăn chặn thông tin, đọc các bản tin báo hiệu trên một đường truyền, nhưng khơng biến đổi hoặc xóa các thơng tin này.
Giả mạo/phát lặp: Kẻ tấn công chèn thêm các đối tượng giả mạo vào hệ thống, các bản tin báo hiệu sai, logic dịch vụ giả, hoặc dữ liệu thuê bao giả vào đường truyền thông, dẫn đến là, kẻ tấn công giả mạo như là một thực thể có thẩm quyền.
của hệ thống như các bản tin báo hiệu vào và ra, biến đổi logic dịch vụ, hoặc dữ liệu thuê bao.
Từ chối dịch vụ (DoS): Kẻ tấn công gây quá tải, ngắt các nguồn tài nguyên hoặc những ứng dụng được kết nối đến mạng, buộc mạng phải hoạt động ở chế độ bất bình thường, làm cho thuê bao hợp lệ khơng nhận được dịch vụ, trong khi đó một th bao khơng hợp lệ lại có thể nhận được dịch vụ, tệ hơn, làm toàn bộ mạng bị cấm.
Ngắt quãng: Kẻ tấn cơng phá huỷ các nguồn tài ngun: Xố các bản tin báo hiệu vào/ra, Xoá dữ liệu thuê bao, làm cho việc cấp phát dịch vụ tới người sử dụng bị ngắt quãng hoặc bị dừng hẳn.
2.2.1.2. Theo các phương tiện tấn công
Dựa trên dữ liệu: Kẻ tấn công nhằm tới dữ liệu lưu giữ trong hệ thống 5G, làm biến đổi, chèn hoặc làm rơi rớt dữ liệu được lưu giữ trong hệ thống.
Dựa trên các bản tin: Kẻ tấn công nhằm tới các bản tin báo hiệu trong mạng, làm: biến đổi, phát lặp và rớt các bản tin vào và ra khỏi mạng.
Tấn cơng logic dịch vụ: Tấn cơng q trình chạy logic dịch vụ trong các thực thể mạng 5G khác nhau.
2.2.1.3. Theo truy nhập vật lý
Tấn công truy nhập vật lý I: Kẻ tấn công sử dụng một thiết bị vật lý để nhận được quyền truy nhập vào giao diện khơng gian, ví dụ, kẻ tấn cơng đóng giả một thành phần của mạng, như tạo ra một phần của một trạm gốc giả. Các máy di động kết nối với trạm gốc giả sẽ bị kẻ tấn công sử dụng để lây nhiễm và phát quảng bá hoặc bị nghe trộm.
Tấn công truy nhập vật lý II: Kẻ tấn công nhận được quyền truy nhập tới các đường kết nối với chuyển mạch của mạng di động. Thơng thường, chỉ có những người được ủy thác mới có thể truy nhập tới các chuyển mạch di động, nhưng nếu kẻ tấn công truy nhập được vào các đường kết nối này, thì nó có thể ngắt truyền tải các bản tin báo hiệu.
Tấn công truy nhập vật lý III: Kẻ tấn công truy nhập tới các phần tử nhạy cảm của mạng di động, chẳng hạn, kẻ tấn công nhận được quyền truy nhập tới một
nút chuyển mạch của mạng di dộng, sau đó soạn thảo logic dịch vụ hoặc biến đổi dữ liệu thuê bao được lưu giữ trong các thực thể của mạng.
Tấn công truy nhập vật lý IV: Kẻ tấn công truy nhập tới một số liên kết kết nối Internet với mạng di động, ngắt sự truyền tải các bản tin báo hiệu giữa các liên kết và chèn một số bản tin báo hiệu giả vào đường liên kết mạng.
Tấn công truy nhập vật lý V: Kẻ tấn công truy nhập tới các máy chủ mạng cung cấp dịch vụ cho các thuê bao di động kết nối với mạng, gây hại bằng cách soạn thảo logic dịch vụ hoặc biến đổi dữ liệu thuê bao được lưu giữ ở các máy chủ của mạng di động.
2.2.2. Một số kiểu tấn cơng điển hình
Các cuộc tấn cơng trên mạng di động 5G có thể xuất phát từ 2 nguồn chính: Ngồi mạng di động: Từ mạng Internet công cộng, các mạng riêng và các mạng của nhà khai thác khác;
Bên trong mạng di động: Từ các thiết bị như các máy cầm tay có khả năng xử lý dữ liệu, các máy điện thoại thơng minh, các máy tính cá nhân hoặc các máy tính để bàn được kết nối tới mạng di động 5G.
2.2.2.1. Tấn công theo dõi thiết bị và nhận dạng
Số định danh toàn cầu IMSI và số IMEI trên thiết bị của người dùng có thể bị chặn và bị theo dõi. Kẻ tấn công có thể thiết lập một trạm cơ sở giả mạo và buộc thiết bị người dùng kết nối tới đó bằng cách phát các tín hiệu vơ tuyến mạnh. Trong khi đó, điện thoại sẽ truyền số IMEI hoặc IMSI trong q trình attach hoặc xác thực. Khi đó, kẻ tấn cơng có thể dễ dàng đánh cắp mã số IMSI và IMEI của người dùng [5].