X
5G et sécurité
Christophe Guillemin / jeudi 7 mars 2019 / Thèmes: Dossier, Sécurité

5G et sécurité

Des enjeux bien supérieurs à la 4G

Des faiblesses subsistent dans certains protocoles hérités de la 4G et même de la 3G. Le niveau de sécurité de la 5G sera-t-il à la hauteur des enjeux ? Quelques éléments de réponse ici.

Les débits de la 5G seront au moins 10 fois supérieurs à ceux de la 4G, mais ils augmentent aussi la puissance des attaques DDoS.

La téléphonie de cinquième génération est une technologie de rupture, dont l’ambition est de couvrir des usages bien plus larges que ceux de la 3G et de la 4G. À la convergence des communications mobile et fixe, elle pourra aussi bien servir à connecter un smartphone ou un véhicule en mode nomade, qu’un bâtiment ou encore des capteurs IoT en mode sédentaire. Selon ses principaux promoteurs, la 5G favoriserait ainsi l’émergence d’un monde où la connexion sans-fil serait la norme, et le filaire une exception. De quoi rebattre les cartes de la sécurité informatique, qui va devoir se concentrer de plus en plus sur la protection des communications radio, que ce soit en entreprise comme dans la vie quotidienne.

« Les enjeux de sécurité liés à la 5G vont bien au-delà de la téléphonie mobile. Ils sont proportionnels aux multiples usages attendus pour cette technologie », résume ainsi Viktor Arvidsson, directeur stratégie et innovation d’Ericsson France. Un avis partagé par Gwenael Rouillec, directeur cybersécurité de Huawei France : « La sécurité de la 5G est un enjeu global, touchant des domaines aussi variés que les transports, le bâtiment, la médecine ou l’industrie. La 5G a vocation à être omniprésente, la question de sa sécurité le sera tout autant. » Pour Zscaler, éditeur spécialisé en solutions de sécurité pour le Cloud : « La 5G pourrait s’imposer comme une connectivité unique, assurant les communications au bureau, à la maison, dans les transports… Cette démultiplication des usages, entraîne une démultiplication des risques de sécurité », estime Yogi Chandiramani, directeur technique EMEA.

Les premières expérimentations 5G en conditions réelles, qui débutent cette année dans près d’une vingtaine de collectivités françaises, laissent en effet présager des applications extrêmement larges. Les équipementiers évoquent les usages classiques de la téléphonie mobile, qui prennent cependant « une nouvelle dimension » grâce la 5G.

Côté téléphonie, les solutions de VoIP devraient ainsi largement se développer, prenant le pas sur les communications mobiles classiques. Côté data, l’accès à des services cloud devrait se généraliser en mode nomade, grâce aux débits de la 5G, au moins 10 fois supérieur à ceux de la 4G.

IoT et véhicules autonomes

Mais au-delà des connexions des personnes, la 5G devrait largement assurer la connexion de temps réel de machines ou « objets ». L’Internet of Things (IoT) est en effet un des grands domaines d’application prévus pour la 5G. Il s’agira de connecter des capteurs (mesures de qualité de l’air, télérelevé des compteurs d’eau, de gaz ou d’électricité…), mais aussi des caméras de vidéosurveillance ou même du mobilier urbain tels que les panneaux d’affichage dynamiques. Ceci grâce à la capacité d’accueillir jusqu’à 1 million d’objets connectés par km2 que prévoient les réseaux 5G.

Autre grand domaine d’application de la 5G : les transports. Il s’agira notamment de connecter des bus, afin de disposer d’un accès internet haut débit à bord. La 5G est également pressentie pour connecter les futures navettes et voitures autonomes. L’IA embarquée doit en effet accéder à des données hébergées dans le Cloud pour piloter le véhicule. Et en cas de problème, un superviseur pourrait reprendre le contrôle du véhicule à distance. Ceci grâce à la très faible latence de la 5G, de l’ordre de la milliseconde, soit 10 fois moins qu’en 4G (lire L’Informaticien n°170).

Parmi les autres applications évoquées pour la 5G : l’Industrie 4.0 (connexion des robots et autres équipements dans l’usine du futur), la télémédecine (assistance à distance pour certains actes, notamment les premiers secours), la connexion fixe des bâtiments en zone rurale (alternative à la fibre optique) ou encore le télépilotage de drones sur de très longues distances.

Avec la 5G, il faudra multiplier au moins par 4 le nombre d’antennes et même par 20 en zone urbaine ! Cela augmente d’autant le volume de cellules à sécuriser.

Des failles permettant de localiser un équipement 5G

Face à ces larges usages, le niveau de sécurité de la 5G a été sensiblement renforcé par rapport aux précédentes générations de technologies mobiles. « Dès le début, la 5G a été pensée avec un niveau de sécurité supérieur à ceux de la 3G ou de la 4G », assure ainsi Viktor Arvidsson d’Ericsson France. Mais si les améliorations ne font pas débat, des failles subsistent selon certains experts en sécurité. C’est la position de Jannik Dreier, maître de conférences à l’Université de Lorraine, enseignant à Télécom Nancy et chercheur au Loria (CNRS, Inria, Université de Lorraine), qui a mené des travaux avec l’ETH Zurich (Suisse) et l’Université de Dundee (Écosse). « Nous avons étudié le protocole AKA (Authentification and Key Agreement). Il existe déjà en 3G et 4G, et a été décliné pour la 5G. Il s’agit d’une des principales briques de sécurité de la 5G car ce protocole sert à authentifier la connexion entre un équipement et le réseau mobile. Il sert également à générer la clé de chiffrement des communications », explique le chercheur. « Nos analyses ont montré que le protocole AKA 5G offre des améliorations sensibles par rapport aux normes précédentes 3G et 4G. Mais des failles persistent. Il se révèle en tout cas insuffisant pour atteindre tous les objectifs de sécurité critiques avec les hypothèses énoncées dans le standard. »

Dans le détail, le protocole AKA 5G corrige des failles de sa version 3G et 4G en ce qui concerne les écoutes « passives » d’échanges de données réseau. Il ne s’agit pas d’écouter des conversations, mais d’identifier que tel équipement se connecte à tel endroit, à tel moment. Avec l’AKA 3G ou 4G, une partie du processus d’authentification reste en clair. Cette faiblesse peut être exploitée par une personne malveillante, grâce à un équipement appelé intercepteur IMSI (International Mobile Suscriber Identity). Il permet de surveiller en temps réel les données d’authentification sur le réseau mobile. « Une personne malveillante peut savoir où est un téléphone et en déduire où est son propriétaire. Cela pose des problèmes de respect de la vie privée, mais aussi de sécurité. Savoir qu’une personne est éloignée de son domicile peut servir à préparer un cambriolage », souligne Jannik Dreier.

Revoir en profondeur le protocole AKA ?

Avec l’AKA 5G, l’ensemble du processus d’authentification est chiffré. « Cela élimine donc les risques d’écoutes passives. Mais il reste possible de lancer des attaques actives. » Concrètement, l’attaquant pourrait intercepter un message d’authentification à un instant T, puis le renvoyer ultérieurement sur le réseau. Ce décalage entraînerait une erreur d’authentification, qui va générer des messages d’erreur. En interprétant ces messages d’erreurs, l’attaquant pourrait en déduire quel combiné est connecté au réseau et même le localiser. « Cela ne serait pas si complexe à réaliser », assure Jannik Dreier. Le chercheur indique avoir transmis toutes les informations nécessaires au 3GPP pour corriger la faille. « Mais cela nécessite de revoir en profondeur le protocole AKA. Je ne suis pas certain que cela sera possible pour le lancement des premiers services commerciaux attendus pour 2020 en France. Nous espérons, en revanche, que ce sera le cas pour la seconde vague de déploiement de la 5G, prévue à l’horizon 2025. »

D’autres observations, plus mineures, ont été faites par cette équipe internationale de chercheurs. Il subsiste notamment une imprécision dans la norme 5G au niveau de la connexion simultanée de deux objets sur une même cellule. « C’est une faille potentielle dans l’échange d’informations entre l’antenne et les serveurs réseau de l’opérateur. Elle pourrait entraîner un mélange ponctuel des identifications des téléphones, et facturer par exemple un appareil pour un service utilisé par un autre. » Une faiblesse qui reste cependant relativement facile à corriger sur les réseaux des opérateurs, en ajoutant par exemple des valeurs dans les messages d’authentification, indique le chercheur.

L’héritage des failles des protocoles de signalisation SS7 et Diameter

L’agence européenne chargée de la sécurité des réseaux et de l’information (Enisa) a également mené des travaux sur la sécurité de la 5G. Dans un rapport paru en 20181, elle pointe les faiblesses des protocoles de signalisation SS7 et Diameter. Le premier sert à superviser l’interconnexion des appels ou l’envoi de SMS sur le réseau mobile – d’où vient un appel, vers quel numéro doit-il être envoyé, la ligne est-elle disponible… Le second est utilisé pour l’interconnexion des équipements du cœur de réseau. Ces protocoles, déjà utilisés sur les réseaux 2G, 3G et 4G, se retrouvent également dans la norme 5G. Or, ils ne sont pas exempts de failles, souligne l’Enisa. « L’opérateur O2 en Allemagne a confirmé que certains clients avaient eu leurs comptes piratés par des attaquants utilisant SS7 pour intercepter et rediriger des SMS contenants des numéros de transaction mobile (mTAN) », indique l’agence européenne. Ces mTAN servent notamment à envoyer des codes de validation pour des transactions bancaires. Concernant Diameter, ce protocole a été exploité pour lancer des attaques DDoS (déni de service) sur des équipements connectés au réseau 4G ; des attaques par saturation qui seraient encore plus puissantes avec les débits de la 5G. « Plusieurs propositions visant à sécuriser SS7 et Diameter n’ont jamais été adoptées par l’industrie –  MAPsec, TCAPsec, Diameter over IPsec, Diameter over SCTP/DTLS », conclut l’agence européenne. Elle recommande aux industriels des télécoms de reconsidérer ces solutions et de prévoir un renforcement global de la sécurité de SS7 et Diameter, notamment via des pare-feu spécifiques.

Au moins quatre fois plus d’antennes à sécuriser

La 5G pose d’autres problématiques de sécurité, un peu moins techniques, mais tout aussi importantes. La première est la multiplication des acteurs qui seront impliqués dans l’exploitation de cette technologie. Au-delà des opérateurs et équipementiers télécoms, des start-up IoT, des industriels du transport et des fournisseurs de services cloud 5G, pourraient intégrer la chaîne de valeur. « Or, plus il y a de partenaires, plus il y a de risques de sécurité. Il faudra donc que les acteurs de la filière 5G collaborent davantage autour des questions de sécurité. Car, en face, les hackers s’échangent régulièrement des informations sur les failles et leur exploitation », a déclaré Jonas Halldin, CISO (Chief Information Security Officer) de Zacco, cabinet de consultants danois spécialisé dans la protection de la propriété intellectuelle des entreprises. Il s’exprimait lors d’une table ronde organisée par Ericsson en 20182. « Nous allons en effet devoir travailler davantage en écosystème », confirme Gwenael Rouillec, chez Huawei. Autre problématique : la densification des réseaux 5G. Pour atteindre ses très hauts débits et sa faible latence, la 5G mise sur une multiplication du nombre d’antennes. Les opérateurs prévoient au moins 4 fois plus d’antennes en moyenne. Un ratio qui pourrait grimper à x20 dans des zones urbaines denses, comme à Paris. La 5G va donc nécessiter davantage de protections pour ces équipements, y compris des protections physiques pour empêcher l’accès aux installations et d’éventuelles dégradations. « Une des solutions sur lesquelles nous travaillons est d’intégrer, de manière invisible, les antennes 5G dans du mobilier urbain, comme les luminaires, les feux rouges ou les abribus », explique-t-on chez Huawei France. Notons que Nokia travaille également avec Signify (ex-Philips Lighting) autour de l’intégration d’antennes 5G dans le réseau d’éclairage public. Une expérimentation est prévue à Paris en 2019 Enfin, tous les acteurs s’accordent sur un point : avec la 5G, le chiffrement des communications devra être quasi-systématique. « Il va falloir généraliser les sessions chiffrées entre les clients, les applications et les serveurs. Les outils VPN vont également devoir évoluer pour être plus largement utilisés, notamment grâce à l’authentification automatique », estime Yogi Chandiramani, chez Zscaler. Même son de cloches chez Ericsson et Huawei, pour qui le chiffrement devient incontournable avec la 5G.

Une question qui reste ouverte

Au final, la sécurité de la 5G serat-elle à la hauteur des enjeux ? Les industriels se veulent bien entendu rassurants. « Il faut éviter le catastrophisme. La sécurité ne sera pas un point bloquant du déploiement de la 5G », assure ainsi Viktor Arvidsson. Contactés par notre rédaction, les principaux opérateurs mobiles français n’ont cependant pas souhaité s’exprimer sur cette question de la sécurité de la 5G, manifestement encore sensible. Ils indiquent préférer poursuivre leurs développements techniques et leurs expérimentations avant de communiquer sur le sujet. La sécurité de la 5G devrait encore faire débat d’ici les premiers déploiements en 2020. Et lorsqu’ils seront massifs, elle pourrait même s’imposer comme un sujet prépondérant de la sécurité informatique.


1 Rapport de l’Enisa : « Signalling Security  in Telecom SS7/Diameter/5G. EU level a ssessment of the current situation »,  30 pages – paru en mars 2018
2 « Ringside Session 2 », table ronde organisée à Londres  par Ericsson en juin 2018


Huawei accusé d’espionnage

En 2018, plusieurs pays ont fait part de leurs vives inquiétudes quant à l’utilisation de produits Huawei pour le déploiement de la 5G. Aux États-Unis, en Australie, en Nouvelle-Zélande, au Japon comme au Royaume-Uni, les équipements du géant chinois ne sont plus les bienvenus. Outre-Atlantique, un décret de Donald Trump pourrait même être déposé en ce début 2019 pour interdire aux entreprises américaines de se fournir auprès de « groupes télécoms étrangers présentant d’importants risques pour la sécurité nationale ». À l’origine de cette mise au ban, des suspicions d’espionnage et même de cyberattaques via l’intégration de portes dérobées dans les équipements Huawei. Des accusations démenties par le groupe de Pékin, qui pointe la guerre commerciale qui lui livre les États-Unis. « Nous invitons tous les acteurs qui le souhaitent à venir vérifier qu’il n’y a pas de backdoor dans nos produits », indique Gwenael Rouillec. La France, via l’Anssi, n’a quant à elle pas évoqué de mesures concernant l’équipementier chinois.

4247
Tags:5G

x
Rechercher dans les dossiers
Les derniers dossiers...
Réduire

Actuellement à la Une...
Déployés à prix d’or dans les années 1990/2000, les grands ERP semblaient un îlot de stabilité dans des systèmes d’information bousculés par la transformation digitale. Pourtant, la migration vers le Cloud semble inéluctable. Les éditeurs sont prêts, les DSI aussi. Il reste sans doute à convaincre les directions générales. Article paru dans L'Informaticien n°179.

Le géant du CDN a fait son entrée sur le NYSE vendredi, un mois et demi après avoir déposé son formulaire auprès de la SEC. Le titre a gagné 20% à l’ouverture, permettant à l’entreprise de lever 525 millions de dollars et d’être valorisée 4,4 milliards de dollars.

L’éditeur lance deux nouveaux Cloud à destination des secteurs de l’industrie et de la distribution. Les deux solutions s’appuient sur Einstein, la solution d’intelligence artificielle de l’éditeur, dans le but d’optimiser les processus de ces deux secteurs.

Bob Iger, le patron de Disney, quitte le conseil d’administration d’Apple où il occupait un siège depuis 2011. La rupture entre les deux géants semble désormais consommée sur fond de guerre de la VOD, alors qu’Apple et Disney lanceront en novembre deux services concurrents.

Le spécialiste de l’archivage sur bande ou disque lance un nouveau logiciel de gestion des données inactives pour automatiser la rétention des données sur des durées longues.

IBM rafraîchit la gamme de son serveur historique avec le z15 conçu pour les environnements hybrides nécessitant de hautes performances dans un contexte sécurisé.

La plateforme collaborative proposera d’ici à la fin de l’année à ses clients entreprises de choisir dans quelle région AWS stocker leurs données au repos, à commencer par Francfort. Il s’agit selon Slack de répondre aux préoccupations réglementaires de ses utilisateurs.

Le classement 2019 IEEE Spectrum confirme la suprématie du roi Python. Ce langage né à la fin des 1980 est celui choisi souvent pour enseigner les rudiments de la programmation comme pour développer les projets d'IA.

L’éditeur de solutions de gestion des ressources humaines et de gestion d’entreprise finalise l’acquisition d’un de ses homologues espagnols, Meta4.

Après l’engouement rencontré par les projets de développements de Blockchain en 2017, notamment sur Ethereum, où en est la technologie aujourd’hui ? Quels projets ont débouché sur des applications réelles et avec quels langages ? C’est ce que nous allons voir dans cet article. Article paru dans L'Informaticien n°179.

Toutes les News
LIVRES BLANCS
Les entreprises et les organismes publics se focalisent aujourd’hui sur la transformation numérique. En conséquence, les DevOps et l’agilité sont au premier plan des discussions autour des stratégies informatiques. Pour offrir ces deux avantages, les entreprises travaillent de plus en plus avec les fournisseurs de services de cloud public et développent désormais des clouds sur site à partir d’une infrastructure qui répond à trois exigences de base:
1. Agilité sans friction des ressources physiques
2. Systèmes de contrôle optimisant l'utilisation des ressources physiques et offrant un retour sur investissement maximal
3. Intégration des divers composants de l'infrastructure pour un provisionnement et une gestion des ressources automatisés.


Pour fonctionner, votre entreprise doit pouvoir compter sur une solution de sauvegarde efficace, essentielle dans un monde marqué par une croissance exponentielle des données. Vous devez à la fois accélérer vos sauvegardes et pouvoir y accéder plus rapidement pour satisfaire les exigences actuelles de continuité d’activité, disponibilité, protection des données et conformité réglementaire. Dans cette ère de croissance effrénée, les cibles sur bande hors site et autres approches traditionnelles sont simplement dépassées.


L’Intelligence Artificielle promet de révolutionner la perception de la cybersécurité au coeur des entreprises, mais pas uniquement. Ce changement de paradigme engage, en effet, une redéfinition complète des règles du jeu pour les DSI et les RSSI, ainsi que l’ensemble des acteurs de la sécurité.


Lorsque l'on déploie des postes de travail, ils ont généralement tous la même configuration matérielle et logicielle (avec certaines spécificités selon les services). Mais on ne peut pas toujours tout prévoir et il arrive par exemple que de nouveaux programmes doivent être installés ou n’aient pas été prévus. L’accumulation de logiciels « lourds » est susceptible de provoquer des lenteurs significatives sur un PC allant jusqu’à l’extinction nette de l’application. Ce livre blanc explique comment optimiser les performances au travers de 5 conseils rapides à mettre en place.


Ce guide est conçu pour aider les entreprises à évaluer les solutions de sécurité des terminaux. Il peut être utilisé par les membres de l'équipe de réponse aux incidents et des opérations de sécurité travaillant avec des outils de sécurité des points finaux sur une base quotidienne. Il peut également être utilisé par les responsables informatiques, les professionnels de la sécurité, les responsables de la conformité et d’autres personnes pour évaluer leurs performances. les capacités de l’entreprise en matière de cybersécurité, identifier les lacunes dans la sécurité des terminaux et sélectionner les bons produits pour combler ces lacunes.


Tous les Livres Blancs