La implementación inadecuada de los estándares de telecomunicaciones, las amenazas de la cadena de suministro y las debilidades en la arquitectura de los sistemas podrían plantear importantes riesgos de seguridad cibernética para las redes 5G, lo que podría convertirlas en un objetivo lucrativo para que los ciberdelincuentes y los adversarios del estado-nación exploten para obtener inteligencia valiosa.

El análisis, que tiene como objetivo identificar y evaluar los riesgos y vulnerabilidades introducidos por la adopción de 5G, fue publicado el lunes por la Agencia de Seguridad Nacional de EE. UU. (NSA), en asociación con la Oficina del Director de Inteligencia Nacional (ODNI) y el Departamento de Homeland. (DHS) Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA).

«A medida que se publican nuevas políticas y estándares de 5G, sigue existiendo la posibilidad de amenazas que afecten al usuario final», dijo el informe. «Por ejemplo, los estados nacionales pueden intentar ejercer una influencia indebida en los estándares que benefician a sus tecnologías patentadas y limitan las opciones de los clientes para usar otros equipos o software».

Específicamente, el informe cita la contribución de las naciones adversarias al desarrollo de estándares técnicos, lo que puede allanar el camino para la adopción de tecnologías y equipos patentados que no son confiables y que podrían ser difíciles de actualizar, reparar y reemplazar. También son motivo de preocupación, según el informe, los controles de seguridad opcionales integrados en los protocolos de telecomunicaciones que, si los operadores de red no los implementan, podrían dejar la puerta abierta a ataques maliciosos.

Una segunda área de preocupación destacada por la NSA, ODNI y CISA es la cadena de suministro. Los componentes adquiridos de proveedores, vendedores y proveedores de servicios externos podrían ser falsificados o comprometidos, con fallas de seguridad y malware inyectado durante el proceso de desarrollo inicial, lo que permite a los actores de amenazas explotar las vulnerabilidades en una etapa posterior.

«Los componentes falsificados comprometidos podrían permitir que un actor malicioso afecte la confidencialidad, la integridad o la disponibilidad de los datos que viajan a través de los dispositivos y se mueva lateralmente a otras partes más sensibles de la red», según el análisis.

Esto también podría tomar la forma de un ataque a la cadena de suministro de software en el que se agrega deliberadamente un código malicioso a un módulo que se entrega a los usuarios objetivo, ya sea infectando el repositorio de código fuente o secuestrando el canal de distribución, lo que permite a los clientes desprevenidos implementar los componentes comprometidos en sus redes

Por último, las debilidades en la arquitectura 5G en sí podrían usarse como punto de partida para ejecutar una variedad de ataques. El principal de ellos implica la necesidad de admitir la infraestructura de comunicaciones heredada 4G, que viene con su propio conjunto de deficiencias inherentes que pueden ser explotadas por actores malintencionados. Otro es el problema de la gestión inadecuada de segmentos que podría permitir a los adversarios obtener datos de diferentes segmentos e incluso interrumpir el acceso a los suscriptores.

De hecho, un estudio publicado por AdaptiveMobile en marzo de 2021 encontró que las fallas de seguridad en el modelo de corte podrían reutilizarse para permitir el acceso a datos y llevar a cabo ataques de denegación de servicio entre diferentes segmentos de red en la red 5G de un operador móvil.

«Para alcanzar su potencial, los sistemas 5G requieren un complemento de frecuencias de espectro (baja, media y alta) porque cada tipo de frecuencia ofrece beneficios y desafíos únicos», detalló el informe. «Con un número cada vez mayor de dispositivos que compiten por el acceso al mismo espectro, el uso compartido del espectro se está volviendo más común. El uso compartido del espectro puede brindar oportunidades para que los actores maliciosos bloqueen o interfieran con las rutas de comunicación no críticas, lo que afectará negativamente a las redes de comunicaciones más críticas».

Al identificar las políticas y los estándares, la cadena de suministro y la arquitectura de los sistemas 5G como los tres principales vectores de amenazas potenciales, la idea es evaluar los riesgos que plantea la transición a la nueva tecnología inalámbrica y garantizar el despliegue de una infraestructura 5G segura y confiable.

«Estas amenazas y vulnerabilidades podrían ser utilizadas por actores de amenazas maliciosos para impactar negativamente a las organizaciones y los usuarios», dijeron las agencias. «Sin un enfoque continuo en los vectores de amenazas 5G y la identificación temprana de las debilidades en la arquitectura del sistema, las nuevas vulnerabilidades aumentarán el impacto de los incidentes cibernéticos».