5Gバックドア対策について

5G界隈で、昨今、騒がれていることに、「機器にバックドアが仕掛けられていたらどうしよう？」というものがあります。これは、外から5G携帯網の機器に不正に侵入、あるいは、5G携帯網の機器から外のサーバに意図せず接続に行く、という懸念です。

そこで、この懸念について、5G携帯網を構成する要素の視点から、少し考えてみたいと思います。

## 5G携帯網の構成概要
5G携帯網の構成要素は大まかに以下のように区分されます。

1. UE(端末)
2. RAN(基地局)
3. 5GC(コアネットワーク)

<img width="700" alt="overview.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/457466/0772b288-d821-7da6-d23e-8eacf74bcab5.png">

- gNodeB - 5G基地局
- RU - Radio Unit : 無線部(eNodeBのRRH相当)
- DU - Distributed Unit : 分散部
- CU - Centralized Unit : 集約部(eNodeBのBBU相当)
- Fronthaul - DUとCUの接続部
- Backhaul - コアネットワーク(基幹回線網、バックボーン)とアクセスネットワーク(収容局と加入者を結ぶ、ネットワーク全体の末端の回線)を中継する回線
- IP Core - 5GCを含む携帯網のコア部分

また、5G携帯網のコアネットワークを中心にしたアーキテクチャの概要は以下の通りです。
<img width="700" alt="5GC-overview.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/457466/2674ff3d-9dbe-e93a-0bd4-99ca76513e69.png">
出典）[3GPP TS 23.501 V15.8.0 System architecture for the 5G System (5GS)](https://portal.3gpp.org/desktopmodules/Specifications/SpecificationDetails.aspx?specificationId=3144)を元に追記。

- NSSF - Network Slice Selection Function : ネットワークスライスの選択
- AUSF - Authentication Server Function : 加入者認証サーバ
- UDM - Unified Data Management : 加入者情報の管理
- AMF - Access and Mobility Management Function : モビリティ管理
- SMF - Session Management Function : セッション管理
- PCF - Policy Control Function : ポリシー制御
- AF - Application Function : 外部アプリケーション
- UE - User Equipment : 端末
- (R)AN - Radio Access Network : 無線アクセス網
- UPF - User Plane Function : ユーザデータ通信
- DN - Data Network : 5GC外部のデータネットワーク

## 5G携帯網の各構成要素のバックドア対策の可否
UE、RAN、5GC間の携帯網に関するインターフェースは3GPPで規定されており、このインターフェース上に不正なデータを埋め込んだとしても、通信相手が不正なデータを認識できると思います。一方、例えば、UEに相当するスマートフォンが携帯網に接続すると、端末にIPアドレスが割り当てられ、携帯網のプライベートネットワークに参加します。

このように一旦、ネットワークに参加してしまうと、この上で不正なデータの通信をプロセスレベルでチェックすることは事実上不可能と思います。つまり、**UE(端末)について、後からアドオンでバックドア対策することは困難**、と思います。

また、5GC(コアネットワーク)については、必要に応じて外部ネットワークに接続すると考えられますので、**5GCについても、後付けでバックドア対策するのは困難**、と思います。

それでは、RAN(基地局)の場合はどうか、ですが、5GCアーキテクチャの図のように、基地局は、**N2でC-Plane(制御系)の通信**を、**N3でU-Plane(データ系)の通信**を、それぞれ行います。**N1については、AMFに対して透過的に通信**しますが、実際にはRANを経由します。このように、3GPPが規定したN1、N2、N3の各インターフェースで5GCと通信するため、信頼の置ける5GCを採用することで、RANについては、不正な通信を防ぐことができると思います。

一方で、RANには、通常、3GPPの規定以外にベンダー固有の管理インターフェースが存在します。これは、基地局設備を運用管理するために必要なもので、ベンダーが自身の都合で用意します。(ある意味、当然ですね)

そうなると、この管理インターフェースがバックドアの仲介に使われるリスクが考えられます。

以前、[Open5GCore](https://www.open5gcore.org/)の開発元に少し問い合わせをしたことがあります。Open5GCoreとは、[独)フラウンホーファーオープンコミュニケーションシステム研究所](https://www.fokus.fraunhofer.de/en)が、5GによるR&Dを支援することを目的に3GPPの最新規格を実装し続けている5GCです。名称にOpenという文字が入っていますが、オープンソースではなく有償です。

その際、流れで、仮にRANにバックドアが仕掛けられていた場合、当該のRANとOpen5GCoreを接続することで、これを回避することは可能か聞いてみたところ、RANの管理インターフェースは要チェックと言われました。ベンダー固有の管理インターフェースに対して、不正なデータのインジェクションを回避するための何らかのフィルターが必要で、ISPがトラフィック管理に使用するDPI-BOX等の検査ではうまく捕捉できないだろう、との意見でした。

それなら、**RANの管理インターフェースをプライベートネットワークに閉じ、インターネットに接続しない運用で凌げるのでは**、と思いました。(安易ですが)
<img width="700" alt="5GC-overview2.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/457466/660d546a-7d44-6885-209c-fa9e1a340f48.png">
出典）[3GPP TS 23.501 V15.8.0 System architecture for the 5G System (5GS)](https://portal.3gpp.org/desktopmodules/Specifications/SpecificationDetails.aspx?specificationId=3144)を元に追記。

これまでの流れを整理すると、以下のようになります。

**1. UE(端末)の後付けのバックドア対策は困難 ⇒ 信頼の置けるUEを選択！**
**2. RAN(基地局)の後付けのバックドア対策は、信頼の置ける5GCと接続し、かつ、管理インターフェースをプライベートネットワークに閉じては？**
**3. 5GC(コアネットワーク)の後付けのバックドア対策は困難 ⇒ 信頼の置ける5GCを選択！**

## 最後に
5G携帯網のバックドア対策について少し考えてみましたが、LTEの場合も、同様の理由で、EPC(コアネットワーク)に後付けでバックドア対策することは困難と思います。一方、LTE基地局については、5GCと同様に信頼の置けるEPCに接続し、かつ、管理インターフェースをプライベートネットワークに閉じれば行けるのでは、と思いました。ともあれ、5G携帯網のバックドア対策について、アーキテクチャを踏まえて大まかにでも整理してみようと思った次第です。

なお、本記事は、特定のベンダーを想定したものではなく、一般的に考えられる対策を述べたものです。(対策という程のものではないですね…)