.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
5G開啟了傳統無線連接無法實現的前所未有的應用，幫助企業加速數字化轉型、降低運營成本，並最大限度地提高生產力，以獲得最佳投資回報。為了實現目標，5G依賴關鍵的服務類別：大規模機器類型通信（mMTC）、增強型移動寬帶（eMBB）和超可靠低延遲通信（uRLLC）。
隨著商用頻譜不斷增加，專用5G網絡的使用率和普及率也隨之提高。製造、國防、港口、能源、物流和採礦等行業只是這些專用網絡的早期採用者之一，特別是對於那些迅速依賴物聯網以實現生產系統和供應鏈數字化的公司。與公共電網不同，專用5G中的蜂窩基礎設施設備可能歸用戶企業、系統集成商或運營商擁有和運營。然而，鑑於針對使用5G開發各種技術的研究和探索越來越多，網絡犯罪分子也在考慮利用種種威脅和風險，企圖通過這種新的通信標準，入侵用戶和組織的系統和網絡。本文探討了普通用戶設備如何在5G網絡基礎設施和用例中被濫用。
5G拓撲結構在端到端5G蜂窩系統中，用戶設備（又名UE，比如移動電話和物聯網設備）通過無線電波連接到基站，基站則通過有線IP網絡連接到5G核心。
從功能上來說，5G核心可以分為兩個平面：控制平面和用戶平面。在網絡中，控制平面承載信號，並根據流量從一個端點到另一個端點的交換方式為流量傳輸提供方便。同時，用戶平面負責連接和處理通過無線局域網（RAN）傳輸的用戶數據。
基站發送與設備連接相關的控制信號，並通過NGAP（下一代應用協議）與控制平面建立連接。來自設備的用戶流量使用GTP-U（GPRS隧道協議用戶平面）發送到用戶平面。數據流量從用戶平面路由傳輸到外部網絡。
圖1. 基本的5G網絡基礎設施
UE子網與基礎設施網絡相互分離、隔離，不允許用戶設備訪問基礎設施組件。這種隔離有助於保護5G核心免受來自用戶設備的CT（蜂窩技術）協議攻擊。
有沒有辦法繞過這種隔離、攻擊5G核心呢？接下來的章節將詳細介紹網絡犯罪分子如何可以濫用5G基礎設施的組件、尤其是GTP-U。
GTP-UGTP-U是一種隧道協議，存在於基站和5G用戶平面之間，使用端口2152。下面是用GTP-U封裝的用戶數據分組結構。
圖2. GTP-U數據分組
GTP-U隧道分組是通過將報頭附加到原始數據分組而形成的。添加的報頭由UDP（用戶數據報協議）傳輸報頭和GTP-U特有的報頭組成。 GTP-U報頭則由以下字段組成：
• 標誌：這包含版本及其他信息（比如表明是否存在可選的報頭字段等信息）。
• 消息類型：對於承載用戶數據的GTP-U分組而言，消息類型為0xFF。
• 長度：這是隧道端點標識符（TEID）字段之後的所有內容的長度（以字節為單位）。
• TEID：隧道的獨特值，用於將隧道映射到用戶設備。
GTP-U報頭由GTP-U節點（基站和用戶平面功能即UPF）添加。然而，用戶無法在設備的用戶界面上看到報頭。因此，用戶設備無法操縱報頭字段。
雖然GTP-U是一種標準的隧道技術，但其使用主要局限於基站和UPF之間或UPF和UPF之間的CT環境。假設在理想場景下，基站和UPF之間的回程經過加密，受到防火牆保護，並且不允許外部訪問。下面詳述這種理想場景：GSMA建議在基站和UPF之間使用IP安全（IPsec）。在這種場景下，到達GTP-U節點的分組只來自授權的設備。如果這些設備遵循規範並合理實施，它們不會發送異常分組。此外，可靠的系統應該有強大的完整性檢查機制，以處理接收到的異常信息，特別是明顯的異常信息，比如無效的長度、類型和擴展等。
然而在現實中，場景可能往往不同，需要完全不同的分析。運營商不願意在N3接口上部署IPsec，因為它耗用大量CPU資源，降低了用戶流量的吞吐量。此外，由於用戶數據被認為在應用層受到保護（借助額外協議，比如TLS即傳輸層安全），一些人認為IP安全是多餘的。有人可能認為，只要基站和分組-核心符合具體要求，就不會出現異常情況。此外，有人可能還認為，對於所有可靠的系統而言，都需要進行完整性檢查，以發現任何明顯的異常。然而之前的研究表明，全球各地的許多N3節點（比如UPF）暴露在互聯網上，儘管不應該如此。這將在以下的章節中介紹。
圖3. 因配置錯誤或缺少防火牆而暴露的UPF接口，截圖來自Shodan，並用於之前發表的研究結果
我們討論了兩個可以使用CVE-2021-45462利用GTP-U的概念。在Open5GS這種面向5G核心和進化分組核心（EPC）的C語言開源實現中，從用戶設備發送零長度、類型=255的GTP-U分組導致了UPF遭到拒絕服務（DoS）。這是CVE-2021-45462，分組核心中的這個安全漏洞可以通過從用戶設備製作的異常GTP-U分組，並通過在GTP-U中發送該異常GTP-U分組，導致UPF（5G中）或服務網關用戶平面功能（4G/LTE中的SGW-U）崩潰。鑑於該漏洞影響基礎設施的關鍵組件，並且無法輕易解決，該漏洞的嚴重性等級為中到高。
GTP-U節點：基站和UPFGTP-U節點是對GTP-U分組進行封裝和解封裝的端點。基站是用戶設備端上的GTP-U節點。基站從UE接收用戶數據時，將數據轉換成IP分組，並在GTP-U隧道中封裝。
UPF是5G核心端的GTP-U節點。當UPF接收到來自基站的GTP-U分組時，UPF對外部的GTP-U報頭進行解封裝，取出內部分組。 UPF不檢查內部分組的內容，直接查詢路由表（也由UPF維護）中的目的地IP地址，然後繼續發送分組。
GTP-U中的GTP-U如果用戶設備製作了一個異常的GTP-U分組，並將其發送到分組核心，會怎麼樣？
圖4. 一個精心特製的異常GTP-U分組
圖5. 從用戶設備發送異常的GTP-U分組
果不其然，基站將把該數據包放入到其GTP-U隧道中，發送給UPF。這導致GTP-U分組中的GTP-U到達UPF。 UPF中現在有兩個GTP-U分組：外部GTP-U分組報頭由基站創建的，用於封裝來自用戶設備的數據分組。這個外部GTP-U分組的消息類型為0xFF，長度為44。這個報頭是正常的。內部GTP-U報頭由用戶設備製作並作為數據分組來發送。與外部GTP-U分組一樣，這個內部GTP-U分組的消息類型為0xFF，但長度0不正常。
內部分組的源IP地址屬於用戶設備，而外部分組的源IP地址屬於基站。內部分組和外部分組的目的地IP地址一樣：都是UPF的目的地IP地址。
UPF對外部GTP-U進行解封裝，並通過功能檢查。內部GTP-U分組的目的地還是同樣的UPF。接下來發生的事情因實現方法而異：
• 一些實現維護用於分組遍歷的狀態機。狀態機的不正確實現可能導致處理這個內部GTP-U分組。該分組可能已經通過了檢查階段，因為它與外部分組擁有相同的分組上下文。這導致系統內部有一個異常分組通過完整性檢查。
• 由於內部分組的目的地是UPF本身的IP地址，因此分組可能被發送到UPF。在這種情況下，分組很可能會通過功能檢查，因此問題不如前一種情況來得嚴重。
攻擊途徑一些5G核心供應商利用Open5GS代碼。比如說，NextEPC（4G系統，2019年更名為Open5GS以添加5G，剩餘產品來自舊品牌）提供了面向LTE/5G的企業版，借鑒了Open5GS的代碼。沒有觀察到外頭有任何攻擊或威脅跡象，但我們的測試使用已確定的場景表明存在潛在風險。
攻擊的重要性在於攻擊途徑：來自UE的蜂窩基礎設施攻擊。利用該漏洞只需要一部移動電話（或通過蜂窩加密狗連接的計算機）和幾行Python代碼，就可以濫用該缺口，並發動這類攻擊。 GTP-U中的GTP-U攻擊是一種眾所周知的技術，回程IP安全和加密無法阻止這種攻擊。事實上，這些安全措施可能會阻礙防火牆檢查內容。
補救和心得醫療和電力等關鍵行業只是專用5G系統的早期採用者之一，5G廣泛使用的廣度和深度只會與日俱增。對於這些行業來說，確保持續不間斷運作的可靠性至關重要，因為這關係到千萬條生命和實際影響。這些行業的性質決定了它們選擇使用專用5G系統，而不是Wi-Fi。專用5G系統必須提供持久的連接，因為對任何5G基礎設施的攻擊得逞都可能導致整個網絡癱瘓。
在本文中，濫用CVE-2021-45462可能導致DoS攻擊。 CVE-2021-45462（以及大多數GTP-U中的GTP-U攻擊）的根本原因是分組核心中的錯誤檢查和錯誤處理不當。雖然GTP-U-中的GTP-U本身無害，但修復這個漏洞的適當措施必須來自分組核心供應商，而基礎設施管理員必須使用最新版本的軟件。
GTP-U中的GTP-U攻擊還可以用於洩露敏感信息，比如基礎設施節點的IP地址。因此，GTP-U對等體應該準備好處理GTP-U中的GTP-U分組。在CT環境下，它們應該使用能夠理解CT協議的入侵防禦系統（IPS）或防火牆。由於GTP-U不是正常的用戶流量，特別是在專用5G中，安全團隊可以優先考慮並丟棄GTP-U中的GTP-U流量。
一般來說，SIM卡的註冊和使用必須嚴格加以規範和管理。擁有被盜SIM卡的攻擊者可以將其插入攻擊者的設備，連接到網絡部署惡意軟件。此外，對於採用共享操作模式的一些人來說，安全責任可能很模糊，比如企業擁有的基礎設施鏈的終端設備和邊緣。同時，蜂窩基礎設施歸集成商或運營商所有。這給安全運營中心（SOC）帶來了一項艱鉅的任務：將來自不同領域和解決方案的相關信息整合在一起。
此外，由於需要停機和測試，定期更新關鍵基礎設施軟件以跟上供應商的補丁並不容易，也永遠不會容易。因此，強烈建議使用IPS打虛擬補丁或採用分層防火牆。幸好，GTP中的GTP很少在實際應用中使用，因此可以完全阻止所有GTP中的GTP流量。我們建議使用結合IT和通信技術（CT）安全性和可視性的分層安全解決方案。實施零信任解決方案，為企業和關鍵行業增加另一層安全，以防止未經授權使用專用網絡，以實現連續不中斷的工業生態系統，並確保SIM卡只能從授權設備上使用。