Não se apresse em implantar 5G se você quiser segurança em IoT

As falhas de segurança existentes nas redes móveis atuais também poderão estra presentes nas redes 5G, alertou a European Union Agency for Network and Information Security, ENISA.

Isso é uma má notícia para a Internet das Coisas, onde milhões de dispositivos inseguros estão sendo conectados a redes móveis sem que se pense adequadamente na autenticação e na criptografia das comunicações.

O perigo são as falhas conhecidas no SS7 e no Diameter, protocolos de sinalização usados ​​nas redes 2G, 3G e 4G e que também podem ser incorporados às redes 5G, permitindo que o tráfego seja interceptado ou falsificado, e informações de localização sejam interceptadas, disse a ENISA em um relatório publicado na última quinta-feira, 29/03.

“Há um certo risco de se repetir a história” com a mudança para o 5G, diz o relatório, acrescentando que a capacidade das redes 5G de suportar mais usuários e mais largura de banda aumenta o perigo.

Os atacantes podem explorar o protocolo de sinalização SS7 usado em redes 2G e 3G para interceptar ou desviar mensagens de texto enviadas via SMS. Isso não seria tão ruim se significasse que o invasor sabia que seu amigo seria “CU L8R” – mas muitas organizações usam a autenticação de dois fatores SMS, supondo que apenas o proprietário de um telefone verá uma mensagem enviada para ele.

Esta é uma suposição arriscada: como observa a ENISA, vários bancos alemães viram as contas dos clientes atacadas após senhas únicas móveis terem sido enviadas via SMS.

Pesquisadores também demonstraram ataques de negação de serviço em redes 4G usando o protocolo de sinalização Diameter, permitindo que os atacantes desconectassem temporariamente ou permanentemente o celular de um alvo da rede.

Esses ataques provavelmente serão apenas o começo. “Nossa trabalho focou no tratamento de ataques SS7 e Diameter, que são apenas uma pequena parte dos protocolos”, disse a ENISA. “Espera-se que novas vulnerabilidades sejam descobertas.”

Mesmo onde foram descobertas falhas e correções doram propostas, pouco mudou, reclamou a ENISA. “Várias propostas para tornar mais seguro o uso de SS7 e Diameter nunca foram adotadas pela indústria (MAPsec, TCAPsec, Diameter sobre IPsec, Diameter sobre SCTP / DTLS)”.

As redes 5G usam outros protocolos além ou em vez de SS7 e Diameter, mas isso não põe fim ao problema. O uso de protocolos de Internet comuns, como HTTP, TLS e REST API em redes 5G, significa que, quando vulnerabilidades nesses protocolos são descobertas, as ferramentas de exploits e testes de penetração são prontamente transferíveis para as redes móveis também.

“Isso implica que o período de carência entre a descoberta de vulnerabilidades e a exploração real se tornará muito mais curto em comparação com o SS7 e o Diameter”, disse a ENISA.

A ENISA está preocupada com o fato das operadoras de rede já estarem falando em implementações 5G, sem que os organismos de normalização tenham conseguido resolver todos os problemas de segurança. Isto pode acabar por colocar a Europa, onde a implementação do 5G está atrasada, à frente dos EUA e de alguns países asiáticos, que falam em oferecer serviços comerciais 5G

A ENISA quer que leis e regulamentos sejam alterados para que os operadores de rede sejam obrigados a proteger os seus sistemas de sinalização – em vez de impedidos, como hoje. Também sugere que o financiamento do governo poderia ser alocado para melhorar a segurança dos sistemas de sinalização.

Este não é apenas um assunto da UE, alertou: a falta de segurança em redes de outras partes do mundo pode fornecer uma maneira de atacar as redes correspondentes na Europa – ou vice-versa.