Bezpečnost 5G

Proč je bezpečnost 5G jiná než dříve

Mobilní sítě páté generace (5G) přinášejí zásadní změnu architektury: přechod na cloud-native prostředí, masivní virtualizaci (NFV), programovatelnost přes SDN a logickou segmentaci pomocí síťového řezu (network slicing). Tyto inovace zvyšují flexibilitu a kapacitu, ale zároveň výrazně rozšiřují útočnou plochu. Bezpečnostní model už nesmí chránit jen „rádiovou síť“; musí pokrývat celý ekosystém: od rádiového přístupu (RAN), přes 5G Core (5GC) a mobilní edge computing (MEC), až po multicloud, CI/CD pipelines a dodavatelský řetězec.

Hlavní vektory útoku v 5G infrastruktuře

• Softwarově definovaná infrastruktura: Napadnutelný orchestrátor, chybné politiky v SDN, zranitelnosti v hypervizoru a kontejnerovém runtime.
• Rozhraní služeb (Service-Based Architecture, SBA): Expozice API (HTTP/2) mezi N-funkcemi 5GC; rizika autentizace, autorizace a rate-limitingu.
• Mezidoménové propojení: Prolínání 4G/5G (odkazové rozhraní N26), roaming (N32) a interworking s Diameter/SS7 vytváří mosty ke starším hrozbám.
• RAN a O-RAN: Otevřená rozhraní (např. fronthaul) a xApps/rApps v RIC přináší nové vstupní body pro útoky a supply-chain rizika.
• MEC a edge: Nasazení aplikací třetích stran blízko uživatelů – širší expozice, slabší fyzická bezpečnost, více identit a tajemství k ochraně.
• Massive IoT: Obrovské množství heterogenních zařízení s různou úrovní zabezpečení, potenciál pro DDoS a botnety.
• Synchronizace a časování: Závislost na GNSS/PNT; spoofing/jamming časové reference ovlivní latenci a stabilitu RAN.
• Provozní technologie (OT): Konvergence IT/OT v privátních 5G (průmyslové areály) – specifické hrozby pro bezpečnost procesů (safety).

Architektura 5G Core a rozhraní SBA: specifika a rizika

5G Core přechází na service-based architekturu: síťové funkce (AMF, SMF, UPF, AUSF, UDM, NRF aj.) spolu komunikují přes API nad HTTP/2. Výhodou je modularita a škálovatelnost, rizikem pak:

• Autentizace a autorizace API: Nedostatečně definované scopes/claims (OAuth2/JWT), chybějící mTLS či rotace certifikátů.
• Viditelnost a řízení provozu: Bez API gateway a service mesh je obtížné uplatnit principy zero trust (policy-as-code, rate-limiting, DLP, WAF).
• Protokolové slabiny: Chyby implementace HTTP/2, gRPC a jejich multiplexingu mohou vést ke DoS či memory leakům.

RAN a Open RAN: otevřenost versus útoková plocha

Disaggregovaný RAN, zejména O-RAN, umožňuje multivendor přístup, ale zavádí nová rozhraní (A1, E2, O1) a aplikační ekosystém (xApps/rApps). Mezi hlavní výzvy patří:

• Integrita řídicích smyček: Manipulace xApp může degradovat výkon nebo způsobit výpadek buňky.
• Supply chain a atestace: Potřeba spolehlivé atestace (TPM/TEE), SBOM a kontinuálního ověřování integrity firmware a kontejnerů.
• Fyzická bezpečnost: Vzdálené RRU/DU mohou být fyzicky dostupné, vyžadují anti-tamper a šifrování fronthaul backhaul spojů.

Network slicing: izolace, která se musí prokázat

Síťové řezy poskytují logicky oddělené SLA pro různé služby (eMBB, URLLC, mMTC). Hlavní bezpečnostní otázky:

• Silná izolace: Ověření, že kontrolní i uživatelská rovina jsou odděleny na úrovni compute, síťových politik a klíčů.
• Životní cyklus řezu: Bezpečné zřizování, změny konfigurace a likvidace, včetně rotace tajemství a mazání dat.
• Meziřezová propustnost: Politiky, které zamezí laterálnímu pohybu mezi řezy a správné multi-tenant QoS bez možností zneužití.

5G bezpečnost na rádiové vrstvě a ochrana identity

3GPP zavádí nové mechanismy: 5G-AKA, ochranu dlouhodobé identity SUPI pomocí SUCI (šifrované), povinné šifrování a integritu signalizace a uživatelských dat. Praktické výzvy:

• Správa klíčů a kryptografie: Bezpečné HSM, rotace klíčů, odolnost vůči post-quantum hrozbám (krypto-agilita).
• IMSI catchers: Zmírněné, ale ne zcela eliminované; rizika při fallbacku do 4G/2G a při roamingu.
• Lawful Intercept a soukromí: Potřeba striktního řízení přístupu, auditovatelnosti a segregace rolí v souladu s regulací.

Interworking se 4G a mezinárodní roaming

Koexistence 4G EPC a 5G 5GC vyžaduje bezpečné převodníky protokolů a brány. Problémy vznikají na hranách domén:

• Starší protokoly: Zranitelnosti v SS7/Diameter mohou nepřímo ohrozit 5G signalizaci.
• Trust mezi operátory: Nutnost silných vzájemných politik, certificate pinningu a monitoringu na rozhraní N32 a IPX.
• Validace partnerů: Kontinuální bezpečnostní due diligence a testování kompatibility bezpečnostních politik.

MEC, API a aplikace třetích stran

Edge platformy otevírají síť vývojářům. Kritická je bezpečnostní brána pro API a ekosystém:

• Zero trust pro aplikace: mTLS, krátkodobé tokeny, dynamické zásady (OPA), runtime sandboxing a eBPF/LSM enforcement.
• Data governance: Klasifikace a policy pro umístění dat, šifrování v klidu i za běhu (TEEs), minimalizace telemetrie.
• Secured DevEx: Podepisování artefaktů (SLSA), kontrola závislostí, SBOM a provozní atestace instancí v MEC clusterech.

Cloud-native 5G: Kubernetes, CI/CD a provozní bezpečnost

5G core a O-RAN funkce běží často jako kontejnery. Klasické perimeter-based modely nestačí:

• Kubernetes kontrolní rovina: RBAC, NetworkPolicies, izolace jmenných prostorů, admission controllery (OPA/Gatekeeper), audit logy.
• Supply chain: Podepisování kontejnerů (Cosign), image provenance, izolace build prostředí, skenování zranitelností (trivy/grype).
• Runtime ochrana: Detekce anomálií (eBPF), minimalizace privilegovaných podů, rootless kontejnery, seccomp/AppArmor.
• CI/CD: Principy „four-eyes“, tajemství v HSM/externím KMS, separace prostředí (dev/stage/prod), GitOps s auditovatelností.

DDoS, volumetrické a aplikační útoky

5G zvyšuje propustnost a snižuje latenci, což paradoxně posiluje i účinnost DDoS. Opatření zahrnují:

• Vícevrstvá mitigace: Scrubbing centra, BGP Flowspec/RTBH, segmentové rate-limity a per-slice QoS.
• Ochrana SBA: API gateway s WAF, detekce anomálního chování, circuit-breakers a back-pressure na úrovni service mesh.
• Ochrana RAN: RIC-based self-healing, dynamické řízení plánovače a izolace problémových UE skupin.

Soukromí a ochrana osobních údajů

5G generuje detailní telemetrii o poloze a chování uživatelů. Dodržení regulací (např. GDPR, NIS2) vyžaduje:

• Minimalizaci dat: Shromažďovat pouze nezbytné metriky; uplatnit pseudonymizaci a agregaci.
• Transparentní governance: Data lineage, retenční politiky, přístup „need-to-know“ a pravidelné audity.
• Bezpečný analytics stack: Šifrování, přístupové brány a privacy-preserving techniky (např. FHE/TEE pro citlivé výpočty).

Bezpečnostní testování a assurance

Kritická infrastruktura vyžaduje průběžné ověřování odolnosti:

• Threat modeling pro 5G: Rozšíření STRIDE/PASTA o specifika RAN/SBA; mapování na ATT&CK for 5G.
• Pentesty a red teaming: Zaměření na rozhraní N2/N3/N6/N32, API 5GC, O-RAN RIC a MEC platformy.
• Fuzzing protokolů: NAS/RRC/NGAP, HTTP/2, gRPC; validace odolnosti orchestrátorů a agentů.
• Chaos engineering: Testy odolnosti (pod/host selhání, latence, packet loss) s bezpečnostní telemetrií.

Monitorování, detekce a reakce

Detekční schopnosti musí pokrýt control plane, user plane i management plane:

• Telemetrie a observabilita: Export metrik, logů a tras (OpenTelemetry), korrelace událostí napříč řezy a doménami.
• Behaviorální analýza: Modely anomálií pro signalizační toky (AMF/SMF/UPF), baseline pro eMBB/URLLC/mMTC.
• SOAR playbooky: Automatizované reakce: izolace řezu, rotace certifikátů, scaling ochranných prvků, blokace na hranici.
• Forenzní připravenost: Časově synchronizované logy, neměnné úložiště, chain-of-custody, reprodukovatelné buildy.

Správa identit a přístupů (IAM) v telco prostředí

Nejde jen o uživatele, ale i o síťové funkce, mikroservisy a robotické účty:

• Princip nejmenších práv: Jemnozrnná autorizace (ABAC/RBAC), krátkodobé přihlašovací údaje a rotation-by-default.
• Silná atestace entit: mTLS s certifikáty vydávanými přes centrální PKI, hardware root of trust (TPM/TEE), vzdálená atestace.
• Segmentace přístupu: Oddělené identity a politiky pro RAN/CORE/MEC; just-in-time privilegovaný přístup.

Dodavatelský řetězec a více-vendor prostředí

5G staví na širokém ekosystému. Minimalizace rizik vyžaduje:

• Due diligence: Posouzení dodavatelů, bezpečnostních praktik, patch managementu a transparentnosti zranitelností.
• SBOM a VEX: Úplný seznam komponent a kontext zranitelností pro rychlé rozhodování při incidentech.
• SLA a smluvní bezpečnost: Požadavky na šifrování, logování, reakční časy, penetrační testy a auditní práva.

Praktické kontrolní seznamy pro operátory a podnikové 5G

• Architektura a design: Zero trust, segmentace, model hrozeb, bezpečnostní patterny pro SBA a RAN.
• Kryptografie: mTLS v celé síti, separace klíčů per slice a per funkce, HSM/KMS, krypto-agilita.
• API a mesh: API gateway + service mesh s politikami (authN/Z, rate-limits, WAF, DLP, circuit-breakers).
• Kubernetes: Hardened baseline (PSa/PSs), NetworkPolicies, admission policy, image signing, runtime ochrana.
• Monitoring: Telemetrie OpenTelemetry, SIEM/SOAR, metriky bezpečnosti (MTTD/MTTR, počet blokovaných útoků, míra konfiguračních driftů).
• Procesy: Incident response runbooky, tabletop cvičení, red team vs. blue team, pravidelný patch a config compliance.
• Edge/MEC: Sandbox aplikací, kontrola závislostí, izolace tenanta, audit nasazení třetích stran.

Metodiky souladu a regulace

Provozovatelé by měli sladit bezpečnost s regulatorními rámci a osvědčenými postupy. Patří sem požadavky pro kritickou infrastrukturu, řízení rizik dodavatelů a důraz na security-by-design v souladu s principy privacy-by-design. Důležitá je prokazatelnost kontrol – měřitelné metriky, auditní stopy a opakovatelné procesy.

Závěr: bezpečnost jako nepřetržitý proces

5G není jen rychlejší síť, ale softwarový ekosystém s vysokou mírou automatizace a otevřených rozhraní. Úspěch závisí na konvergenci technických kontrol (kryptografie, segmentace, runtime ochrana), procesních opatření (správa rizik, incident response, audit) a odolné dodavatelské politiky. Bezpečnost 5G musí být průřezová, daty řízená a neustále testovaná – jedině tak lze udržet důvěru uživatelů i regulatorů a naplno využít potenciál 5G.