Je ‘smart’ mobieltje gebruik je om te socializen met je vrienden via Facebook of om filmpjes op Youtube te bekijken. Zo’n apparaat brengt echt de ideale combinatie van telefoon en internet in pocket-formaat, zodat je altijd met je vrienden online kunt zijn. Belangrijk bij gebruik zijn natuurlijk goed bereik, een snelle verbinding en een lange levensduur van de batterij. Wie denkt er dan aan veiligheid?
Ach, zo’n vaart zal het niet lopen, toch? Mobiele devices zijn moderner en jonger dan de conventionele computer of laptop en die zijn wel bestand tegen aanvallen van bedreigingen, zoals malware, virussen en datalekkage, toch?
Van gesloten naar open karakter
Tot nu toe zijn mobiele apparaten redelijk buiten schot gebleven en zijn er weinig meldingen van beveiligingsmistanden op mobieltjes te vinden. Dit heeft in belangrijke mate te maken met het feit dat de huidige generatie mobiele netwerken, zoals 2G en 3G, een meer gesloten karakter hebben. De lancering van 4G of lte zal hier verandering in brengen. De transitie naar lte is in belangrijke mate een transitie van een gesloten mobiel radio access-netwerk naar een meer open data of ip-georiënteerd netwerk. Deze transitie is noodzakelijk om de onbegrensde mogelijkheden van de slimme apparaten beter te benutten en flexibeler in te kunnen spelen op nieuwe (cloud)toepassingen. Met de hogere snelheden van 4G en integratie met Wi-Fi-hotspots voor de nodige dekking levert op dat het straks mogelijk is om overal je favoriete tv-programma te kijken via je mobiel.
De verschuiving naar het ip-gebaseerde 4G-netwerk levert op dat de hele omgeving zeer attractief wordt voor criminelen en er zal zeker een verschuiving plaats vinden in het aantal beveiligingsincidenten met slimme apparaten. Bovendien, wereldwijd zijn er twee keer meer mobiele dan vaste aansluitingen en tel daarbij op dat het gebruik alleen maar zal toenemen met de introductie van 4G, dan is het geen vraag meer of criminelen hun aandacht naar mobiele platformen gaan verleggen, maar meer wanneer het aantal mobile beveiligingsincidenten het aantal incidenten van vaste aansluitingen zal overtreffen.
Persoonlijk en zakelijk verkeer door elkaar
Het mobiele apparaat wordt uiteraard niet alleen privé gebruikt, maar ook voor steeds meer zakelijke doeleinden. Dit betekent een one-stop shop voor onverlaten die hier slim op in weten te spelen.
We kennen al de malware die in appstores wordt gepubliceerd in de hoop dat deze op slimme apparaten wordt geladen, zodat interessante data kan worden weggesluisd en misbruikt. Per dag komen er duizenden mobiele apps bij, wat de controle bijna onmogelijk maakt. Doordat lte end-to-end ip-gebaseerd is, neemt de kans toe dat het mobiele netwerk van de operator slachtoffer wordt van een centraal geplaatste aanval. Wat dacht je van een botnet van slimme apparaten gericht op het mobiele netwerk van de operator die een DoS-aanval uitvoeren of de meer webapplicatie-georiënteerde aanvallen zoals SQL-injecties, cross-site scripting-aanvallen om data te stelen of DNS-hijacking, zodat de aanvaller kan bepalen welke internetsites een mobiele abonnee bezoekt.
Gedeelde verantwoordelijkheid
Het signaling-netwerk wat bij mobiele operators cruciaal is in het afhandelen van abonnee-authenticatie, billing, roaming en mobile network management, wordt ook ip-gebaseerd bij de komst van 4G. Deze transitie van het gesloten SS7-protocol naar het ip-gebaseerde Diameter-protocol maakt het namelijk mogelijk dat operator-diensten centraal kunnen worden afgerekend. Ook dit gedeelte van het netwerk gaat te maken krijgen met een toename van het risico om te worden aangevallen.
Ondanks dat gebruikers van mobiele, slimme apparaten zelf voor een groot deel verantwoordelijk zijn voor de beveiliging van zijn of haar mobiel en opgeslagen data, is het niet ondenkbaar dat bij ontdekt misbruik de mobiele operator verantwoordelijk wordt gehouden. Het is voor de operators dan ook zaak om bij de lancering van 4G en de verdere integratie van bestaande of nieuwe diensten, continu kritisch te kijken naar het bestaande beveilingsbeleid en zich zowel organisatorisch als technisch te wapenen tegen de nieuwe bedreigingen in al haar aspecten. Op technisch vlak is voor operators belangrijk om bij aspecten als hoge beschikbaarheid, performance en security stil te staan. Ze moeten hierbij wel realiseren dat een applicatie zeer veilig kan worden aangeboden, maar wanneer het aspect performance wordt vergeten, de bewuste app(s) niet zal worden gebruikt. En voor een 4G-verbinding zonder dat hij optimaal gebruikt kan worden, zal lang niet iedereen willen betalen.
Beste Gert Jan,
Aandacht en bewustwording van veiligheidsrisico’s bij het gebruiken van Internet is een in ieder te prijzen streven. In zo verre ben ik het eens met de inhoud van je artikel.
Maar je conclusie dat de nieuwe 4G techniek inherent onveiliger zou zijn dan de huidige 2G en 3G netwerken deel ik niet. Integendeel de toegepaste access technieken dmv. IPsec en de LTE Secure gateway maken de “geslotenheid” van 4G zelfs groter dan die van 2G en 3G.
In tegenstelling tot jouw conclusie denk ik dat 4G juist de veiligheid vergroot. Het biedt immers de gebruiker de mogelijkheid te kiezen tot een versleutelde toegang en transport wanneer hij/zij ‘on the road’ is. Het intrinsieke onveilige WIFI – aangeboden in Restaurant, Hotspot en dergelijke – kan worden ingeruild voor het veilige 4G.
Alle door jou verder genoemde bedreigingen zijn m.i. onafhankelijk van de access techniek, of het nu adsl, wifi, UMTS of 4G betreft.
Overigens lijkt mij een DDOS aanval met sim-authenticatie lastig te verwezenlijken…
@Marco,
Terecht dat je opmerkt dat de genoemde bedreigingen – onafhankelijk van de access techniek – zijn en dat die ook voor 4G gelden, dit is juist het verschil met 3G.
Vandaar, 4G is niet inherent onveilig, maar heeft wel de potentie om onveilig te zijn, omdat het end-to-end IP gebaseerd is. Dan heb ik het niet alleen over de toegang tot het netwerk, maar ook de risico’s die app’s op smartdevices met zich meebrengen. Zie mijn reactie @Gregor waar NTT getroffen wordt door een serviceonderbreking vanwege een signal flood door een VOIP app van sim geauthentiseerde smart devices.
Service Providers zijn juist bezig om de mogelijkheden van 4G met Wifi offload te onderzoeken en wellicht toe te passen. Dit hybride model houdt in dat zowel de eNodeB als het Wifi-hotspot een verbinding naar de LTE core heeft. Een vraag die hierbij rijst is hoe de wifi-hotspots fysiek te beveiligen, fysieke toegang tot het device is immers funest voor de veiligheid. Dan hebben we nog de koppelingen naar MVNO’s, roaming partners, enterprises en voeg hier de reactie van Tini aan toe.
4G is niet inherent onveilig, maar je dient wel heel goed alle mogelijke risico’s in ogenschouw te nemen om tot een robuuste en veilige architectuur te komen.
Veel zaken zijn al genoemd over beveiliging en security. Het kan gaan over de devices, over de informatie die erop komt te staan en over de netwerken waar de verbinding over wordt opgebouwd. Het punt van je artikel is vooral de veiligheid van het operator 4G netwerk nu er overal IP wordt gebruikt.
In dat opzicht wil ik een paar nuances aanbrengen. Ook de huidige 3G netwerken worden bijna volledig via IP bestuurd en ook de gebruikersdata wordt als IP afgehandeld. Maar ook in 4G is de gebruikersdata volledig gescheiden van de netwerkelementen. Het IP verkeer van de gebruiker wordt ingepakt, gemeten en vervolgens naar het internet gebracht. Het is zeker niet zo dat de gebruiker bij de besturing van het netwerk kan komen zoals dat wel werkt bij een WiFi router. Een hacker kan zeker proberen binnen te dringen in het LAN, maar daar heeft iedere ISP en elke andere organisatie helaas ook mee te maken. Aangezien het IP netwerk hier wordt gebruikt om geld te verdienen, wordt door leveranciers en operators heel goed nagedacht over beveiliging.
Wat een prima manier zou zijn om de kwetsbaarheid te verminderen, is een goede implementatie van IPv6 binnen het 4G netwerk. In China wordt dit al lang toegepast vanwege de adresruimte. In Nederland zou dit de operators meer mogelijkheden geven om de veiligheid te verhogen. Goede engineers met IPv6 ervaring zijn in de mobiele wereld helaas dungezaait en operators durven het op dit moment nog niet aan.
Wat als een paal boven water staat is dat we als BV Nederland steeds meer leunen op onze mobiele data verbinding en dat dit mogelijk nog belangrijker is dat gas, water en electriciteit!
Belangrijkste verschil van 4G met andere mobiele netwerken is dat het in de basis niet geschikt is voor traditionele spraak.
Op een 4G netwerk kan spraak dus alleen als VoIP getransporteerd worden.
En als je dan spraak als VoIp over je netwerk moet sturen, kun je als mobiele provider net zo goed een flatfee mobiele internet op 4G in de markt zetten met een eigen (betaalde) VoIP App om te bellen (de KPN “4G bellen” App). Maar ja, dan nemen je mobiele inkomsten helemaal drastisch af (nog veel meer dan door het verdwijnen van SMS).
Dus wat je nu al ziet, is dat provider bezig zijn om onbeperkte spraakbundels te introduceren (KPN Onbeperkt, Vodafone RED, etc.). Hiermee worden de nationale belkosten al fors lager voor wie veel belt. Uiteindelijk zal binnen 3-5 jaar al het mobiele spraakverkeer als een VoIP pakketje over het 4G netwerk gaan via het mobiele internet abonnement met als add-on een spraakbundel ipv spraak met een data add-on.
Alleen degenen die een 3G of 2G toestel of abonnement hebben zullen op termijn nog bellen op de “oude” manier, dus met betalen per minuut.
4G is dus meer een “disruptive technology” voor “mobile voice” dan voor “mobile security” naar mijn bescheiden mening.
Kijkend naar de security aspecten rondom 4G, ben ik van mening dat security attacks veel meer gericht zullen zijn op een bepaald type mobiel OS (met name Android is zeer hackable), dan op een bepaald type netwerk. Sterker nog: hackers kijken meer naar het IP adres en type OS (hoe zwaar beveiligd is dit) dan naar het netwerk waar iemand op zit. Je moet ook niet vergeten dat 2G, 3G en 4G voorlopig nog naast elkaar blijven bestaan, waardoor je als bezitter van een 4G toestel lang niet altijd via een 4G netwerk zal bellen. Ik denk zelf dat het aantal public WiFi zones ook nog sterk zal gaan groeien, waardoor er alleen maar minder via xG netwerken gecommuniceerd zal gaan worden met een mobiele device.