Проблема обхода AKA-защиты на сетях 5G до сих пор не решена

Проблема обхода AKA-защиты на сетях 5G до сих пор не решена

Проблема обхода AKA-защиты на сетях 5G до сих пор не решена

На Black Hat 2024 (начало августа, Лас-Вегас) исследователи из Пенсильванского университета расскажут, как провести атаку на мобильное устройство с помощью аппаратуры за пару сотен долларов и уязвимостей в реализации 5G.

В ходе исследования было установлено, что 5G-модем, встроенный в большинство смартфонов двух крупных вендоров, содержит ряд уязвимостей. Самая опасная из них грозит обходом AKA (процедуры согласования аутентификации и ключей) через подмену базовой станции.

Беда в том, что при установке соединения 5G верительные грамоты предъявляет только одна сторона — мобильное устройство. Легитимность базовой станции оно принимает за данность; эта особенность сетей предыдущих поколений была сохранена в интересах быстродействия.

«Базовые станции объявляют свое присутствие, транслируя Hello-сообщения каждые 20 или 40 минут, и никакой проверки подлинности или иного механизма безопасности в этом случае не предусмотрено, — пояснил для Dark Reading один из соавторов исследования. — Сообщения даже не шифруются, поэтому у девайсов нет никакой возможности выявить подмену источника».

Сымитировать базовую станцию можно с помощью Raspberry Pi, но университетские исследователи отдали предпочтение программно-определяемой радиосистеме (SDR), купив недорогой образец онлайн. Экспериментальную установку довершил софт с открытым исходным кодом.

При использовании по соседству с целевым телефоном фейк оказался способен перебить сигнал с ближайшей базовой станции, поэтому искомая привязка была успешно получена. На атакуемое устройство был отослан сигнал «регистрация принята», и исследователи получили возможность на правах интернет-провайдера следить за своей «жертвой», отправлять ей фишинговые СМС, перенаправлять на вредоносные сайты и т. п.

В испытуемых смартфонах были также обнаружены уязвимости, позволяющие определить местоположение гаджета и вызвать состояние отказа в обслуживании (DoS). И те, и другие — не редкость для реализаций 5G.

Затронутым вендорам были направлены уведомления о проблемах, и они уже выпустили патчи. К сожалению, проблемы AKA в сетях 5G заплатками не решить, здесь нужен более радикальный подход.

Широковещательные сообщения базовых станций, по мнению авторов исследования, необходимо защитить шифрованием с открытым ключом (PKI), однако его развертывание — долгий и дорогостоящий процесс, так как придется обновлять все базовые станции.

35% компаний увеличили бюджеты на ИИ — больше, чем на кибербезопасность

Российский бизнес окончательно перестал воспринимать облака как модный эксперимент. Теперь главный вопрос звучит иначе: где запускать ИИ, как управлять несколькими облаками одновременно и кто поможет всё это не сломать.

К таким выводам пришли авторы исследования «Облачные тренды в корпоративном секторе России 2026», подготовленного VK Tech совместно с Apple Hills Digital, Cloud.ru и Selectel.

Главный герой отчёта — искусственный интеллект. Уже 24% компаний запустили ИИ-нагрузки в облаке, а ещё 22% находятся на стадии пилота или планируют стартовать в течение ближайшего года. В сумме получается, что почти половина российского бизнеса так или иначе движется в сторону облачного ИИ.

Более того, ИИ впервые стал главным направлением роста ИТ-бюджетов. В 2026 году 35% компаний увеличили расходы именно на проекты, связанные с искусственным интеллектом. Это больше, чем на кибербезопасность, которая традиционно считалась одним из главных получателей новых инвестиций.

Самым популярным вариантом оказались опенсорс-модели, доступные как сервис. Их используют 37% клиентов облачных провайдеров. За ними следуют ИИ-агенты и дообученные большие языковые модели — по 27%.

При этом выяснилась любопытная деталь. Несмотря на хайп вокруг ИИ, большинство компаний по-прежнему вынуждены разбираться с ним самостоятельно. По данным исследования, 41% организаций получают от провайдера только вычислительные мощности и инфраструктуру, а внедрением искусственного интеллекта занимаются своими силами. Лишь 10% активно используют экспертизу облачного провайдера.

Меняется и сам рынок облаков. Уже 58% компаний работают сразу с двумя или более облачными платформами. Но при этом 57% продолжают управлять такой инфраструктурой вручную. А зрелые практики контроля облачных расходов внедрила только каждая десятая компания.

Авторы исследования отмечают, что рынок перешёл в новую фазу. Споры о том, нужны ли облака, практически закончились. Теперь компании решают более сложные задачи: как эффективно использовать ИИ, как не потеряться в мультиоблачной среде и как не превратить растущие ИТ-бюджеты в бесконтрольные расходы.

Похоже, что в 2026 году облака стали обычной частью корпоративной жизни. А новым полем битвы между провайдерами постепенно становится уже не инфраструктура, а искусственный интеллект и сервисы вокруг него.

RSS: Новости на портале Anti-Malware.ru