84 failles des cœurs 4G et 5G : analyse des risques liés aux sessions API

Les barres de signal de votre téléphone sont le leurre, la petite icône joyeuse en forme d’escalier qui vous dit que tout va bien pendant que la vraie machinerie se dispute dans l’arrière-salle. Le risque le plus intéressant se trouve plus profondément dans le cœur de réseau de l’opérateur, là où les interfaces de signalisation et l’état des sessions décident si la connectivité se comporte comme une infrastructure ou comme un classeur hanté. Selon The Hacker News, des chercheurs ont signalé 84 failles dans les cœurs 4G et 5G, dont une faille de détournement de session. Ce n’est pas une histoire de radio. C’est une histoire de cœur de réseau, ce qui est pire, de cette manière discrète et couverte de paperasse que les ingénieurs en sécurité ont appris à redouter. La leçon utile n’est pas que la 5G est condamnée et qu’il faut revenir aux signaux de fumée. C’est que la sécurité des télécoms ne peut pas s’arrêter à l’interface radio. La gestion des sessions, les API du cœur de réseau et le durcissement des implémentations font désormais partie de la carte des risques systémiques, surtout à mesure que les cœurs des opérateurs deviennent davantage définis par logiciel et natifs du cloud. Quelque part, un fournisseur prépare une phrase expliquant qu’il prend la sécurité au sérieux. Mon tableau de score a des piles neuves.

Ce qui s’est passé dans le cœur de réseau, selon The Hacker News The Hacker

News, citant une étude universitaire menée par des chercheurs de l’université technologique Nanyang de Singapour, a rapporté la divulgation d’une « classe généralisée » de vulnérabilités touchant les cœurs de réseaux 4G et 5G. Le rapport indique qu’une exploitation réussie pourrait provoquer un déni de service et, dans certains cas, un détournement de session permettant à un attaquant de prendre le contrôle de la session réseau d’un utilisateur.

L’étude a examiné les interfaces de signalisation dans les cœurs de réseaux LTE et 5G, notamment deux implémentations LTE, Open5GS et OpenAirInterface, ainsi que cinq implémentations 5G, Open5GS, free5GC, OpenAirInterface, SD-Core et eUPF. Les protocoles nommés dans le rapport sont GTP-C et Packet Forwarding Control Protocol, le genre de plomberie qui obtient rarement une présentation en grande conférence, mais qui peut absolument gâcher la semaine de tout le monde.

La cause profonde est

la confiance, selon l’article arXiv L’article arXiv à l’origine des résultats nomme ce schéma des erreurs de confiance implicite, ou vulnérabilités iTrue. Son résumé indique que les cœurs de réseaux cellulaires reposaient historiquement sur l’isolement physique, avec des interfaces entre composants du cœur fonctionnant dans une zone de confiance supposée. À mesure que les cœurs de réseaux passent à des déploiements natifs du cloud, l’article explique que cette hypothèse s’affaiblit, élargissant la surface d’attaque et permettant à des adversaires externes d’atteindre des interfaces auparavant considérées comme internes. Traduction : les murs ont bougé, mais le logiciel pense encore vivre dans un bâtiment verrouillé.

Les auteurs de l’article arXiv décrivent une confiance aveugle récurrente entre composants du cœur de réseau. Des composants peuvent omettre la validation syntaxique, ne pas faire respecter les invariants sémantiques, ou allouer des ressources sans vérifier leur disponibilité. Ce trio n’a rien de glamour, mais c’est ainsi que les pannes d’infrastructure se mettent à avoir des dents. Un message malformé, c’est mauvais. Un message malformé accepté par un composant de confiance qui modifie ensuite le comportement d’une session, c’est la version thriller de « mauvais ».

Les API et

les privilèges sont des multiplicateurs de risque silencieux, selon 5GAC Analyzer

Un autre article, Identifying Over-Privilege Between 5G Core Network Functions, aide à expliquer pourquoi cette catégorie de problème dépasse une simple liste de bugs. Les auteurs écrivent que la 5G fait passer le cœur cellulaire de matériel spécialisé à des fonctions réseau logicielles natives du cloud, tandis que le 3GPP définit une politique de contrôle d’accès destinée à protéger les fonctions réseau les unes des autres et des applications réseau tierces. Leur contexte d’examen manuel est important, car la politique, les privilèges et l’implémentation se retrouvent désormais dans la même pièce. Si l’un ment, les autres peuvent poliment le croire.

L’article 5GAC Analyzer indique qu’un examen manuel du 3GPP a identifié une faille de privilèges excessifs qui exposait des clés cryptographiques à toutes les fonctions réseau. Les auteurs ont ensuite utilisé l’analyse statique de programmes pour extraire le comportement des fonctions réseau dans quatre implémentations de cœur 5G et le comparer avec ce que la politique 3GPP autorise. Ils ont trouvé deux cas de privilèges excessifs jusque-là inconnus pouvant entraîner un déni de service et l’extraction de données sensibles, puis ont signalé leurs résultats à la GSMA, qui en a confirmé l’importance. Voilà le schéma plus large : les API et les politiques du cœur de réseau ont besoin d’une discipline de moindre privilège, pas de bonnes vibrations et d’un schéma avec un cadenas dessus.

Ce que cela signifie vraiment pour vous, selon la recherche

Pour les utilisateurs ordinaires, ce n’est pas un correctif que votre téléphone peut installer pendant le café. La surface concernée décrite par The Hacker News et l’article arXiv se trouve dans les implémentations du cœur de réseau des opérateurs et les interfaces de signalisation, où les utilisateurs ont très peu de contrôle direct. La conclusion pratique est de rester prudent face aux affirmations selon lesquelles la sécurité des réseaux mobiles ne concerne que la liaison radio, car la couche de session et les détails d’implémentation du cœur comptent aussi pour la confidentialité et la disponibilité.

Si votre organisation achète de la 5G privée, des services télécoms ou de la connectivité managée, demandez aux fournisseurs comment ils valident les entrées de signalisation du cœur, appliquent les invariants sémantiques, vérifient la disponibilité des ressources et segmentent les interfaces internes. Pour les opérateurs et les fournisseurs, ces travaux pointent vers un meilleur programme de test. Traitez les composants internes comme mutuellement suspects, surtout dans les déploiements natifs du cloud. Associez le fuzzing de protocoles et la validation sémantique à l’examen du contrôle d’accès, car une fonction réseau avec trop de privilèges n’est pas une fonctionnalité, c’est un futur rapport d’incident avec une mise en page plus jolie. Surveillez les CVE à venir, les correctifs d’implémentation et la question de savoir si les programmes de sécurité des cœurs d’opérateurs commencent à traiter les API, les sessions et les frontières de privilèges comme des surfaces de risque de premier ordre. Internet ne s’effondrera peut-être pas complètement aujourd’hui, ce qui passe pour de l’optimisme dans ce domaine.