像微软和NEC这样的知名科技公司最近分别对关键5G技术的安全性和可能过快的采用表示担忧。现在，德国安全研究人员已经为该行业的担忧和不安提供了一些实质内容和观点。
在上个月在荷兰举行的黑客会议上，总部位于柏林的安全研究实验室的创始人卡斯滕·诺尔概述了他的团队如何在一系列 "红色团队 "演习中攻破5G网络。这些黑客受雇于一家公司以测试其防御能力。他说，在大多数情况下，他们能够控制网络，有可能允许他们窃取客户数据或扰乱运营。
这些黑客是在5月举行的2022年黑客大会（又称MCH2022）上披露的，由于云技术配置不当而使得漏洞攻击成为可能，而云技术在5G网络中发挥着越来越重要的作用。卡斯滕·诺尔说，许多电信公司在如何保护此类系统方面缺乏经验，他的团队发现，运营商没有应用基本的云安全技术，而这些技术 可以帮助缓解黑客攻击。
对开放RAN、虚拟化和 "云化 "的推动为5G运营商带来了更多的选择和功能。这也把他们推到了陌生的系统集成商的角色，而这些角色突然负责保护整个供应链的安全。
卡斯滕·诺尔说："5G已经席卷了电信公司的所有影响，但似乎没有人做好准备。我们正在向移动网络引入新技术，而这些技术可以大大增强我们移动网络的安全性。或者它们基本上可以摧毁我们多年来建立起来的任何黑客阻力。人们并没有意识到这些选择"。
移动运营商传统上一直依赖爱立信、诺基亚和华为等供应商的专有硬件来构建他们的网络。但近年来，一直在大力推动网络功能的 "虚拟化"，这涉及到在软件中复制关键组件，以便它们可以在通用硬件上运行，甚至在云中运行。而5G的出现只是加剧了对虚拟化的需求，特别是当涉及到无线接入网络（RANs）时。作为网络的一部分，涉及将手机等终端用户设备连接到网络核心。
虚拟化有很多好处，包括能够更快、更便宜地部署网络，快速升级网络，甚至能够动态地重新配置网络以应对当地不断变化的情况。硬件和软件的解耦也防止了供应商的锁定，并允许网络运营商混合和匹配不同公司的组件，这是开放无线网络运动所倡导的。
这些新功能也使5G网络更加复杂，这反过来又需要越来越多地使用自动化来管理网络。而混合和匹配不同公司的软件和服务的能力意味着有更多的人参与到开发管道中。"卡斯滕·诺尔说："你拥有的东西越多，移动的部件越多，犯错误的机会就越多，小的错误配置就越多。"
这使得闯入这种虚拟化网络比以前容易得多。该团队发现的切入点包括一个公开发布在互联网上的暴露后门的API，以及一个不小心留在网上的旧开发网站。但是，攻击者更容易渗透到网络中，这本身并不是主要问题。真正关键的问题是，从你最初的立足点突破到网络中真正有价值的东西有多难。
卡斯滕·诺尔的团队发现，主要是由于配置不良的 "容器"，深入到他们所测试的网络中是很容易的，令人担忧。这些是独立的软件包，捆绑了一个应用程序和运行它所需的一切，这些包括代码、软件库和配置文件。上述文件以便它可以在任何硬件上运行。容器是云计算的一个关键部分，因为它们允许来自不同公司或部门的不同应用程序在同一服务器上相互运行。容器应该是相互隔离的，但如果它们的配置不好，就有可能被突破，获得对其他容器的访问权，甚至控制主机系统。在多个实例中，卡斯滕·诺尔和他的团队发现了配置错误的容器，使他们能够做到这一点。
当安全团队被邀请参加聚会时，所有的事情都已经完成，而且几乎已经完成。安全人员有一个非常短的时间段，以便对其进行微调--如果他们真的被允许触摸它的话。
上述的一些困难可能是由于电信公司在云安全方面缺乏经验。但这些电信公司也可能在走捷径。运营商通常是将预先存在的软件组件 "提升和转移 "到容器中，但许多旨在将容器相互隔离的设置使软件无法正常工作。开发者往往不是重写代码，而是简单地删除这些保护措施。这些捷径卡斯滕·诺尔和他的团队现在到处都能看到。
网络运营商不得不进入一个新的运营模式，这与他们过去的做法有很大的不同，现实是，电信公司以前从来没有处理过这些级别的软件开发或低级别的基础设施管理。他们总是依靠他们的供应商来做这件事。
虽然向开放RAN的转变以及网络的日益虚拟化和 "云化 "正在为运营商释放更多的选择和功能，但这也将他们推到了系统集成商这个陌生的角色，负责确保整个供应链的安全。
NEC欧洲实验室的5G网络研发实验室对运营商在5G安全方面落后的说法提出异议。虽然很多公司向更多的虚拟化网络过渡会带来不可避免的风险，但主要的参与者正在大力投资于安全，并与云供应商合作，利用他们的安全专业知识。电信业非常清楚这可能是一个大问题，它对生存至关重要，所以很多采用云服务的公司认为安全根本没有被轻视。
同样重要的是要记住，这类高度虚拟化的网络仍然只占今天5G基础设施的一小部分，可能还不到10%。而且所有运营商都有备份的4G网络，在出现任何问题时都可以切换到该网络。
行业机构GSMA的安全运营总监表示，网络运营商并没有自满。他们知道，维护安全，尤其是新的网络技术的安全，是一项持续和不断发展的工作，也是移动行业全心全意投入的工作。
然而，这并不是电信安全创业公司SecurityGen的联合创始人德米特里·库尔巴托夫的经验。 他发现，安全往往似乎是事后的想法，而不是从一开始就成为开发过程的一部分。"我多次看到，当安全团队被邀请参加聚会时，所有的事情都已经完成，而且几乎已经完成。"他说。"安全人员有一个非常短的时间段，以便对其进行微调，如果他们真的被允许接触它的话。"
尽管如此，他对向5G的转变持乐观态度。以前，当涉及到安全问题时，运营商没有什么选择，只能相信供应商，但现在他们将能够把事情掌握在自己手中。"他说："你实际上可以对[5G]系统和功能有充分的了解和控制，这意味着现在你作为网络所有者有机会变得更加安全。"
更重要的是，该行业并不孤单地经历向云的过渡，日本运营商乐天移动的首席信息安全官说，该公司一直是开放RAN原则的倡导者。"这是一件好事，因为它意味着电信没有特殊的问题需要解决，"他说。"电信可以从采用它周围所有行业的技术中受益，而不是试图克服专有的挑战。"
