Seguridad 5G: Aspectos Clave

Desde el inicio de nuestra actividad, en Layakk llevamos años estudiando la seguridad de las comunicaciones móviles, en diversas áreas: protocolos de acceso a la red, protocolos core e implementaciones concretas (tanto en las implementaciones de banda base de los terminales como en implementaciones concretas de elementos de la red del operador). Además de las actividades profesionales (auditorías de seguridad y asesoría para operadores, formación especializada y con alto contenido técnico, análisis de seguridad de productos), esto se ha traducido en numerosas publicaciones y actividades: identificación de vulnerabilidades («Nuevos escenarios de ataques con estación base falsa» en RootedCon 2012; «Atacando 3G vol. III» en RootedCON 2016), demostraciones prácticas («A practical attack against GPRS/EDGE/UMTS/HSPA mobile data communications» en Black Hat DC 2011; «Sistema de localización geográfica de un terminal móvil» en RootedCON 2013; «Seguridad de comunicaciones móviles 3G» en CyberCamp 2015), etc. Nuestra actividad en este área se ha visto reforzada con la acreditación de nuestro laboratorio para el análisis de seguridad de productos.

Desde la aparición de la nueva generación de comunicaciones móviles, hemos continuado trabajando en el estudio de la seguridad 5G, lo que se ha traducido en diferentes acciones de divulgación («5G: Certificación de su seguridad en Europa» en XIV Jornadas STIC CCN-CERT; «5G: Mitos y leyendas» en XIII Jornadas STIC CCN-CERT), formación y otras actividades (auditoría, asesoría) para nuestros clientes.

En este post queremos compartir nuestras conclusiones respecto a los 4 aspectos clave que hay que abordar para mejorar globalmente la seguridad 5G, tarea en la que deben estar involucrados todos los actores: operadores, fabricantes, reguladores y expertos en seguridad:

1.  CORRECTA IMPLEMENTACIÓN: Uno de nuestros mensajes recurrentes en nuestras actividades de divulgación y asesoría ha sido siempre que la Seguridad 5G ha sido diseñada de forma dependiente de la implementación realizada por los operadores, tanto los operadores origen (los que proporcionan las tarjetas USIM al usuario) como los operadores que dan servicio a los clientes. Esta dependencia tiene implicaciones significativas respecto a aspectos tales como la confidencialidad del usuario, la garantía de confidencialidad de las comunicaciones, las redes de acceso, la autorización de acceso a los servicios de las distintas slices 5G, etc. Por este motivo consideramos crucial que los operadores sean conscientes de que deben implementar correctamente la norma. A este respecto, iniciativas de los reguladores tales como el anteproyecto de ley de Ciberseguridad 5G contribuyen a este objetivo, pues exigen estas características desde un punto de vista normativo. Este es uno de los pilares fomentado por la Unión Europea (Cybersecurity of 5G networks: EU Toolbox of risk mitigating measures).
2. AUDITORÍA: Al igual que en otros ámbitos de IT, consideramos aceptado el hecho de que la seguridad 5G debe auditarse. Aquí nosotros distinguimos 2 áreas de trabajo:
   – Auditoría de productos: los productos que componen el ecosistema 5G son susceptibles de presentar fallos de implementación. Estamos hablando tanto de los productos que constituyen las propias redes 5G como los productos de consumidor que, con esta nueva generación, amplían enormemente su espectro más allá de los terminales móviles (IoT, Dispositivos industriales, vehículos, etc.), lo cual puede hacer que fabricantes que originalmente no exponían sus interfaces ahora lo hagan y tengan que lidiar con la compleja tarea de protegerlos adecuadamente.
   – Auditoría de las redes 5G desplegadas: con el fin de garantizar una implementación correcta y conforme.

   Desde LAYAKK trabajamos en la linea de ampliar nuestras capacidades en este sentido y hemos creado un laboratorio que nos facilita realizar este tipo de servicios: tanto auditorías de producto como pruebas colaterales asociadas a la auditoría de redes de operador. En este laboratorio hemos implantado la metodología NESAS y nuestro compromiso es mantenerlo siempre actualizado y evolucionarlo hacia el nuevo Esquema de Certificación de Ciberseguridad 5G que será aprobado por la Unión Europea en un futuro muy cercano.

3. IMPLANTACIÓN DE PRODUCTOS COLATERALES: Uno de los aspectos que está siendo detectado en la actualidad es que algunas facetas de la Seguridad 5G son dependientes de servicios que no están definidos en la norma y cuya implementación es asignada al operador. Últimamente estamos viendo vulnerabilidades asociadas a la autorización de accesos, control y registro de los mismos, filtrado de operaciones, etc. Pensamos que un aspecto clave en la mejora de la seguridad debe ser el desarrollo y adopción de productos que aporten las características necesarias de Seguridad 5G que han sido delegadas por la norma. Este aspecto debe ser abrazado a la mayor brevedad posible para conseguir que estas facetas se desarrollen conjuntamente con el despliegue masivo de las redes.
4. GESTIÓN DEL CONOCIMIENTO EN SEGURIDAD: El último aspecto que consideramos fundamental es la gestión del conocimiento en Seguridad 5G que deben poseer los operadores y reguladores. Consideramos fundamental que se disponga de un conocimiento técnico suficiente a todos los niveles para poder gestionar correctamente los despliegues en esta tecnología. Además, este conocimiento será reutilizable en el futuro con la llegada de nuevas generaciones (6G) en las que ya se está trabajando.

En Layakk estamos comprometidos con estos objetivos e invertimos constantemente para poder estar en condiciones de ofrecer servicios relacionados, siempre con nuestro compromiso de calidad, responsabilidad y honestidad.