84 4G- und 5G-Kernnetz-Schwachstellen: Risikoanalyse von API-Sitzungen

Die Signalbalken deines Handys sind die Ablenkung: das fröhliche kleine Treppensymbol, das dir sagt, alles sei in Ordnung, während die eigentliche Maschinerie in einem Hinterzimmer streitet. Das interessantere Risiko liegt tiefer im Kernnetz des Mobilfunkanbieters, wo Signalisierungsschnittstellen und Sitzungszustände entscheiden, ob Konnektivität sich wie Infrastruktur verhält oder wie ein verwunschener Aktenschrank. Laut The Hacker News berichteten Forschende über 84 Schwachstellen in 4G- und 5G-Kernnetzen, darunter eine Schwachstelle zur Sitzungsübernahme. Das ist keine Funkgeschichte. Das ist eine Kernnetzgeschichte, und die ist auf diese leise, papierkramüberzogene Art schlimmer, vor der Sicherheitsingenieurinnen und -ingenieure zu Recht Respekt haben. Die hilfreiche Lektion ist nicht, dass 5G dem Untergang geweiht ist und wir bitte zu Rauchzeichen zurückkehren sollten. Sie lautet: Telekommunikationssicherheit darf nicht an der Funkschnittstelle enden. Sitzungsverwaltung, Kernnetz-APIs und die Härtung von Implementierungen gehören jetzt zur Landkarte systemischer Risiken, besonders weil Kernnetze von Mobilfunkanbietern immer stärker softwaredefiniert und cloud-nativ werden. Irgendwo bereitet ein Anbieter gerade einen Satz darüber vor, dass man Sicherheit sehr ernst nehme. Meine Anzeigetafel hat frische Batterien.

Was laut The Hacker News im Kernnetz passiert ist

The Hacker News berichtete unter Berufung auf eine wissenschaftliche Studie von Forschenden der Nanyang Technological University in Singapur über eine offengelegte „weit verbreitete Klasse“ von Schwachstellen, die 4G- und 5G-Kernnetze betrifft. Dem Bericht zufolge könnte eine erfolgreiche Ausnutzung einen Denial of Service auslösen und in manchen Fällen eine Sitzungsübernahme ermöglichen, bei der ein Angreifer die Kontrolle über die Netzwerksitzung einer Nutzerin oder eines Nutzers übernimmt.

Die Studie untersuchte Signalisierungsschnittstellen in LTE- und 5G-Kernnetzen, darunter zwei LTE-Implementierungen, Open5GS und OpenAirInterface, sowie fünf 5G-Implementierungen: Open5GS, free5GC, OpenAirInterface, SD-Core und eUPF. Die im Bericht genannten Protokolle sind GTP-C und Packet Forwarding Control Protocol, also genau die Art von Rohrleitungen, die selten eine Keynote bekommen, aber absolut in der Lage sind, allen die Woche zu ruinieren.

Die Grundursache ist Vertrauen, laut dem arXiv-Paper

Das arXiv-Paper hinter den Ergebnissen nennt das Muster implicit trust errors, also Fehler durch implizites Vertrauen, oder iTrue-Schwachstellen. In der Zusammenfassung heißt es, zellulare Kernnetze hätten sich historisch auf physische Isolation verlassen, wobei Schnittstellen zwischen Kernkomponenten innerhalb einer angenommenen Vertrauenszone betrieben wurden. Während Kernnetze zu cloud-nativen Bereitstellungen übergehen, so das Paper, wird diese Annahme schwächer. Dadurch vergrößert sich die Angriffsfläche, und externe Gegner können Schnittstellen erreichen, die zuvor als intern behandelt wurden.

Übersetzung: Die Wände wurden verschoben, aber die Software glaubt immer noch, sie wohne in einem abgeschlossenen Gebäude. Die arXiv-Autorinnen und -Autoren beschreiben wiederkehrendes blindes Vertrauen zwischen Kernnetzkomponenten. Komponenten überspringen möglicherweise syntaktische Validierung, erzwingen semantische Invarianten nicht oder weisen Ressourcen zu, ohne deren Verfügbarkeit zu prüfen. Dieses Trio ist nicht glamourös, aber genau so bekommen Infrastrukturfehler Zähne. Eine fehlerhaft formatierte Nachricht ist schlecht. Eine fehlerhaft formatierte Nachricht, die von einer vertrauenswürdigen Komponente akzeptiert wird und anschließend das Sitzungsverhalten verändert, ist die Thriller-Plot-Version von schlecht.

APIs und Berechtigungen sind die stillen Risikoverstärker, laut 5GAC Analyzer

Ein separates Paper, Identifying Over-Privilege Between 5G Core Network Functions, hilft zu erklären, warum diese Problemklasse größer ist als eine einzelne Fehlerliste. Die Autorinnen und Autoren schreiben, dass 5G den zellularen Kern von spezialisierter Hardware in softwarebasierte, cloud-native Netzwerkfunktionen verlagert, während 3GPP eine Zugriffskontrollrichtlinie definiert, die Netzwerkfunktionen voreinander und vor Netzwerk-Anwendungen Dritter schützen soll. Der Kontext ihrer manuellen Überprüfung ist wichtig, weil Richtlinie, Berechtigung und Implementierung nun im selben Raum zusammentreffen. Wenn eine davon lügt, glauben die anderen es vielleicht höflich.

Das 5GAC-Analyzer-Paper sagt, dass eine manuelle 3GPP-Prüfung einen Over-Privilege-Fehler identifizierte, der kryptografische Schlüssel für alle Netzwerkfunktionen offenlegte. Anschließend nutzten die Autorinnen und Autoren statische Programmanalyse, um das Verhalten von Netzwerkfunktionen aus vier 5G-Kernimplementierungen zu extrahieren und es mit dem zu vergleichen, was die 3GPP-Richtlinie erlaubt. Sie fanden zwei zuvor unbekannte Fälle von zu weitreichenden Berechtigungen, die zu Denial of Service und zum Auslesen sensibler Daten führen könnten, und meldeten die Ergebnisse an die GSMA, die ihre Bedeutung bestätigte. Das ist das größere Muster: Kernnetz-APIs und Richtlinien brauchen Disziplin nach dem Least-Privilege-Prinzip, keine guten Gefühle und ein Diagramm mit einem Vorhängeschloss darauf.

Was es laut Forschung wirklich für dich bedeutet

Für normale Nutzerinnen und Nutzer ist das kein Patch, den dein Handy mal eben beim Kaffee installieren kann. Die von The Hacker News und dem arXiv-Paper beschriebene betroffene Angriffsfläche liegt in Kernnetzimplementierungen von Mobilfunkanbietern und in Signalisierungsschnittstellen, also dort, wo Nutzerinnen und Nutzer nur sehr wenig direkte Kontrolle haben. Die praktische Erkenntnis ist: Sei vorsichtig bei Behauptungen, die Sicherheit mobiler Netze drehe sich nur um die Funkverbindung. Denn die Sitzungsebene und Details der Kernnetzimplementierung sind ebenfalls wichtig für Privatsphäre und Verfügbarkeit.

Wenn deine Organisation private 5G-Netze, Telekommunikationsdienste oder verwaltete Konnektivität einkauft, frage Anbieter, wie sie Eingaben für die Kernnetzsignalisierung validieren, semantische Invarianten durchsetzen, Ressourcenverfügbarkeit prüfen und interne Schnittstellen segmentieren. Für Betreiber und Anbieter weist die Arbeit auf eine bessere Testagenda hin. Behandelt interne Komponenten als gegenseitig misstrauisch, besonders in cloud-nativen Bereitstellungen. Kombiniert Protokoll-Fuzzing und semantische Validierung mit Zugriffskontrollprüfungen, denn eine Netzwerkfunktion mit zu vielen Berechtigungen ist kein Feature, sondern ein zukünftiger Vorfallsbericht mit hübscherer Formatierung. Achtet auf nachfolgende CVEs, Implementierungsfixes und darauf, ob Sicherheitsprogramme für Kernnetze von Mobilfunkanbietern APIs, Sitzungen und Berechtigungsgrenzen endlich als Risikoflächen erster Klasse behandeln. Das Internet fällt heute vielleicht nicht komplett auseinander, und das gilt in diesem Themenfeld schon als Optimismus.