Difference between revisions of "Arsitektur 5G: Security dan Mobility"

From OnnoWiki
Jump to navigation Jump to search
Line 10: Line 10:
 
* (a) menginstruksikan Core-UP untuk menginisialisasi bidang pengguna (misalnya, menetapkan alamat IP ke UE dan mengatur parameter QCI yang sesuai);
 
* (a) menginstruksikan Core-UP untuk menginisialisasi bidang pengguna (misalnya, menetapkan alamat IP ke UE dan mengatur parameter QCI yang sesuai);
 
* (b) menginstruksikan Base Station untuk membuat saluran terenkripsi ke UE; dan
 
* (b) menginstruksikan Base Station untuk membuat saluran terenkripsi ke UE; dan
−
* (c) memberikan UE kunci simetris yang diperlukan untuk menggunakan saluran terenkripsi dengan Base Station. Kunci simetris dienkripsi menggunakan kunci publik UE (jadi hanya UE yang dapat mendekripsinya, menggunakan kunci private-nya). Setelah selesai, UE dapat menggunakan end-to-end user plane channel melalui Core-UP (Langkah 4).
+
* (c) memberikan UE kunci simetris yang diperlukan untuk menggunakan saluran terenkripsi dengan Base Station. Kunci simetris dienkripsi menggunakan kunci publik UE (jadi hanya UE yang dapat mendekripsinya, menggunakan kunci private-nya).
 +
Setelah selesai, UE dapat menggunakan end-to-end user plane channel melalui Core-UP (Langkah 4).
  
 +
Ada tiga rincian tambahan catatan tentang proses ini.
  
 +
* Pertama, saluran kontrol aman antara UE dan Core-CP yang diatur selama Langkah 2 tetap tersedia, dan digunakan oleh Core-CP untuk mengirim instruksi kontrol tambahan ke UE selama sesi berlangsung.
  
−
There are three additional details of note about this process. First, the secure control channel between the UE and the Core-CP set up during Step 2 remains available, and is used by the Core-CP to send additional control instructions to the UE during the course of the session.
+
* Kedua, user plane channel yang dibuat selama Langkah 4 disebut sebagai Default Bearer Service, tetapi channel tambahan dapat dibuat antara UE dan Core-UP, masing-masing dengan nilai QCI yang berpotensi berbeda. Ini mungkin dilakukan berdasarkan aplikasi demi aplikasi, misalnya, di bawah kendali Mobile Core melakukan Deep Packet Inspection (DPI) pada lalu lintas, mencari aliran yang memerlukan perlakuan khusus.
−
 
 
−
Second, the user plane channel established during Step 4 is referred to as the Default Bearer Service, but additional channels can be established between the UE and Core-UP, each with a potentially different QCI value. This might be done on an application-by-application basis, for example, under the control of the Mobile Core doing Deep Packet Inspection (DPI) on the traffic, looking for flows that require special treatment.
 
  
  
Line 22: Line 23:
  
 
Third, while the resulting user plane channels are logically end-to-end, each is actually implemented as a sequence of per-hop tunnels, as illustrated in Figure 17. (The figure shows the SGW and PGW from the 4G Mobile Core to make the example more concrete.) This means each component on the end-to-end path terminates a downstream tunnel using one local identifier for a given UE, and initiates an upstream tunnel using a second local identifier for that UE. In practice, these per-flow tunnels are often bundled into an single inter-component tunnel, which makes it impossible to differentiate the level of service given to any particular end-to-end UE channel. This is a limitation of 4G that 5G has ambitions to correct.
 
Third, while the resulting user plane channels are logically end-to-end, each is actually implemented as a sequence of per-hop tunnels, as illustrated in Figure 17. (The figure shows the SGW and PGW from the 4G Mobile Core to make the example more concrete.) This means each component on the end-to-end path terminates a downstream tunnel using one local identifier for a given UE, and initiates an upstream tunnel using a second local identifier for that UE. In practice, these per-flow tunnels are often bundled into an single inter-component tunnel, which makes it impossible to differentiate the level of service given to any particular end-to-end UE channel. This is a limitation of 4G that 5G has ambitions to correct.
 +
 +
 +
Ketiga, sementara saluran bidang pengguna yang dihasilkan secara logis end-to-end, masing-masing sebenarnya diimplementasikan sebagai urutan terowongan per-hop, seperti yang diilustrasikan pada Gambar 17. (Gambar menunjukkan SGW dan PGW dari 4G Mobile Core untuk membuat contoh lebih konkret.) Ini berarti setiap komponen pada jalur ujung ke ujung mengakhiri terowongan hilir menggunakan satu pengenal lokal untuk UE tertentu, dan memulai terowongan hulu menggunakan pengenal lokal kedua untuk UE itu. Dalam praktiknya, terowongan per aliran ini sering digabungkan menjadi satu terowongan antar komponen, yang membuat tidak mungkin untuk membedakan tingkat layanan yang diberikan ke saluran UE ujung ke ujung tertentu. Ini adalah batasan 4G yang ingin diperbaiki oleh 5G.
 +
 +
 +
  
 
Support for mobility can now be understood as the process of re-executing one or more of the steps shown in Figure 16 as the UE moves throughout the RAN. The unauthenticated link indicated by (1) allows the UE to be known to all Base Station within range. (We refer to these as potential links in later chapters.) Based on the signal’s measured CQI, the Base Stations communicate directly with each other to make a handover decision. Once made, the decision is then communicated to the Mobile Core, re-triggering the setup functions indicated by (3), which in turn re-builds the user plane tunnel between the Base Station and the SGW shown in Figure 17 (or correspondingly, between the Base Station and the UPF in 5G). One of the most unique features of the cellular network is that the Mobile Core’s user plane (e.g., UPF in 5G) buffers data during the handover transition, avoiding dropped packets and subsequent end-to-end retransmissions.
 
Support for mobility can now be understood as the process of re-executing one or more of the steps shown in Figure 16 as the UE moves throughout the RAN. The unauthenticated link indicated by (1) allows the UE to be known to all Base Station within range. (We refer to these as potential links in later chapters.) Based on the signal’s measured CQI, the Base Stations communicate directly with each other to make a handover decision. Once made, the decision is then communicated to the Mobile Core, re-triggering the setup functions indicated by (3), which in turn re-builds the user plane tunnel between the Base Station and the SGW shown in Figure 17 (or correspondingly, between the Base Station and the UPF in 5G). One of the most unique features of the cellular network is that the Mobile Core’s user plane (e.g., UPF in 5G) buffers data during the handover transition, avoiding dropped packets and subsequent end-to-end retransmissions.
 +
 +
Dukungan untuk mobilitas sekarang dapat dipahami sebagai proses mengeksekusi ulang satu atau lebih langkah yang ditunjukkan pada Gambar 16 saat UE bergerak di seluruh RAN. Tautan yang tidak diautentikasi yang ditunjukkan oleh (1) memungkinkan UE diketahui oleh semua Base Station dalam jangkauan. (Kami menyebutnya sebagai tautan potensial di bab selanjutnya.) Berdasarkan CQI terukur sinyal, Stasiun Pangkalan berkomunikasi secara langsung satu sama lain untuk membuat keputusan serah terima. Setelah dibuat, keputusan tersebut kemudian dikomunikasikan ke Mobile Core, memicu kembali fungsi pengaturan yang ditunjukkan oleh (3), yang pada gilirannya membangun kembali terowongan pesawat pengguna antara Base Station dan SGW yang ditunjukkan pada Gambar 17 (atau sesuai, antara Base Station dan UPF di 5G). Salah satu fitur paling unik dari jaringan seluler adalah bahwa bidang pengguna Mobile Core (misalnya, UPF dalam 5G) menyangga data selama transisi serah terima, menghindari paket yang jatuh dan transmisi ulang ujung ke ujung berikutnya.
 +
 +
 +
 +
In other words, the cellular network maintains the UE session in the face of mobility (corresponding to the control and data channels depicted by (2) and (4) in Figure 16, respectively), but it is able to do so only when the same Mobile Core serves the UE (i.e., only the Base Station changes). This would typically be the case for a UE moving within a metropolitan area. Moving between metro areas—and hence, between Mobile Cores—is indistinguishable from power cycling a UE. The UE is assigned a new IP address and no attempt is made to buffer and subsequently deliver in-flight data. Independent of mobility, but relevant to this discussion, any UE that becomes inactive for a period of time also loses its session, with a new session established and a new IP address assigned when the UE becomes active again.
 +
 +
  
 
In other words, the cellular network maintains the UE session in the face of mobility (corresponding to the control and data channels depicted by (2) and (4) in Figure 16, respectively), but it is able to do so only when the same Mobile Core serves the UE (i.e., only the Base Station changes). This would typically be the case for a UE moving within a metropolitan area. Moving between metro areas—and hence, between Mobile Cores—is indistinguishable from power cycling a UE. The UE is assigned a new IP address and no attempt is made to buffer and subsequently deliver in-flight data. Independent of mobility, but relevant to this discussion, any UE that becomes inactive for a period of time also loses its session, with a new session established and a new IP address assigned when the UE becomes active again.
 
In other words, the cellular network maintains the UE session in the face of mobility (corresponding to the control and data channels depicted by (2) and (4) in Figure 16, respectively), but it is able to do so only when the same Mobile Core serves the UE (i.e., only the Base Station changes). This would typically be the case for a UE moving within a metropolitan area. Moving between metro areas—and hence, between Mobile Cores—is indistinguishable from power cycling a UE. The UE is assigned a new IP address and no attempt is made to buffer and subsequently deliver in-flight data. Independent of mobility, but relevant to this discussion, any UE that becomes inactive for a period of time also loses its session, with a new session established and a new IP address assigned when the UE becomes active again.
 +
 +
  
 
Note that this session-based approach can be traced to the cellular network’s roots as a connection-oriented network. An interesting thought experiment is whether the Mobile Core will continue to evolve so as to better match the connectionless assumptions of the Internet protocols that typically run on top of it.
 
Note that this session-based approach can be traced to the cellular network’s roots as a connection-oriented network. An interesting thought experiment is whether the Mobile Core will continue to evolve so as to better match the connectionless assumptions of the Internet protocols that typically run on top of it.
 +
 +
Perhatikan bahwa pendekatan berbasis sesi ini dapat dilacak ke akar jaringan seluler sebagai jaringan berorientasi koneksi. Eksperimen pemikiran yang menarik adalah apakah Mobile Core akan terus berkembang sehingga lebih cocok dengan asumsi connectionless dari protokol Internet yang biasanya berjalan di atasnya.

Revision as of 16:21, 26 October 2022

Sekarang kita melihat lebih dekat dua fitur unik dari jaringan seluler—dukungannya untuk keamanan dan mobilitas—kedua fitur ini yang akan membedakan jaringan selular dengan WiFi. Berikut ini juga berfungsi untuk mengisi beberapa detail tentang bagaimana masing-masing UE terhubung ke jaringan.

Kita mulai dengan arsitektur keamanan, yang didasarkan pada dua asumsi kepercayaan. Pertama, setiap Base Station percaya bahwa ia terhubung ke Mobile Core oleh private network yang aman, di mana ia membangun tunnel yang diperkenalkan pada Gambar 11: tunnel GTP/UDP/IP ke Core User Plane (Core-UP) dan tunnel SCTP/IP ke Core Control Plane (Core-CP). Kedua, setiap UE memiliki kartu SIM yang disediakan oleh operator, yang secara unik mengidentifikasi pelanggan (yaitu, nomor telepon) dan menetapkan parameter radio (misalnya, pita frekuensi) yang diperlukan untuk berkomunikasi dengan Base Station operator tersebut. Kartu SIM juga menyertakan kunci rahasia yang digunakan UE untuk mengautentikasi dirinya sendiri.

Gambar 16. Sequence of steps to establish secure Control and User Plane channels

Pada Gambar 16 menunjukkan urutan koneksi per-UE. Ketika UE pertama kali menjadi aktif, UE berkomunikasi dengan Base Station terdekat melalui radio link sementara (tidak diautentikasi) (Langkah 1). Base Station meneruskan permintaan ke Core-CP melalui tunnel yang ada, dan Core-CP (khususnya, MME di 4G dan AMF di 5G) memulai protokol otentikasi dengan UE (Langkah 2). 3GPP mengidentifikasi serangkaian opsi untuk otentikasi dan enkripsi, di mana protokol aktual yang digunakan adalah pilihan implementasi. Misalnya, Advanced Encryption Standard (AES) adalah salah satu opsi untuk enkripsi. Perhatikan bahwa pertukaran autentikasi ini pada awalnya sudah jelas karena sambungan Base Station ke UE masih belum aman.

Setelah UE dan Core-CP puas dengan identitas masing-masing, Core-CP menginformasikan komponen lain tentang parameter yang mereka perlukan untuk melayani UE (Langkah 3). Ini termasuk:

  • (a) menginstruksikan Core-UP untuk menginisialisasi bidang pengguna (misalnya, menetapkan alamat IP ke UE dan mengatur parameter QCI yang sesuai);
  • (b) menginstruksikan Base Station untuk membuat saluran terenkripsi ke UE; dan
  • (c) memberikan UE kunci simetris yang diperlukan untuk menggunakan saluran terenkripsi dengan Base Station. Kunci simetris dienkripsi menggunakan kunci publik UE (jadi hanya UE yang dapat mendekripsinya, menggunakan kunci private-nya).

Setelah selesai, UE dapat menggunakan end-to-end user plane channel melalui Core-UP (Langkah 4).

Ada tiga rincian tambahan catatan tentang proses ini.

  • Pertama, saluran kontrol aman antara UE dan Core-CP yang diatur selama Langkah 2 tetap tersedia, dan digunakan oleh Core-CP untuk mengirim instruksi kontrol tambahan ke UE selama sesi berlangsung.
  • Kedua, user plane channel yang dibuat selama Langkah 4 disebut sebagai Default Bearer Service, tetapi channel tambahan dapat dibuat antara UE dan Core-UP, masing-masing dengan nilai QCI yang berpotensi berbeda. Ini mungkin dilakukan berdasarkan aplikasi demi aplikasi, misalnya, di bawah kendali Mobile Core melakukan Deep Packet Inspection (DPI) pada lalu lintas, mencari aliran yang memerlukan perlakuan khusus.


Gambar 17. Sequence of per-hop tunnels involved in an end-to-end User Plane channel

Third, while the resulting user plane channels are logically end-to-end, each is actually implemented as a sequence of per-hop tunnels, as illustrated in Figure 17. (The figure shows the SGW and PGW from the 4G Mobile Core to make the example more concrete.) This means each component on the end-to-end path terminates a downstream tunnel using one local identifier for a given UE, and initiates an upstream tunnel using a second local identifier for that UE. In practice, these per-flow tunnels are often bundled into an single inter-component tunnel, which makes it impossible to differentiate the level of service given to any particular end-to-end UE channel. This is a limitation of 4G that 5G has ambitions to correct.


Ketiga, sementara saluran bidang pengguna yang dihasilkan secara logis end-to-end, masing-masing sebenarnya diimplementasikan sebagai urutan terowongan per-hop, seperti yang diilustrasikan pada Gambar 17. (Gambar menunjukkan SGW dan PGW dari 4G Mobile Core untuk membuat contoh lebih konkret.) Ini berarti setiap komponen pada jalur ujung ke ujung mengakhiri terowongan hilir menggunakan satu pengenal lokal untuk UE tertentu, dan memulai terowongan hulu menggunakan pengenal lokal kedua untuk UE itu. Dalam praktiknya, terowongan per aliran ini sering digabungkan menjadi satu terowongan antar komponen, yang membuat tidak mungkin untuk membedakan tingkat layanan yang diberikan ke saluran UE ujung ke ujung tertentu. Ini adalah batasan 4G yang ingin diperbaiki oleh 5G.



Support for mobility can now be understood as the process of re-executing one or more of the steps shown in Figure 16 as the UE moves throughout the RAN. The unauthenticated link indicated by (1) allows the UE to be known to all Base Station within range. (We refer to these as potential links in later chapters.) Based on the signal’s measured CQI, the Base Stations communicate directly with each other to make a handover decision. Once made, the decision is then communicated to the Mobile Core, re-triggering the setup functions indicated by (3), which in turn re-builds the user plane tunnel between the Base Station and the SGW shown in Figure 17 (or correspondingly, between the Base Station and the UPF in 5G). One of the most unique features of the cellular network is that the Mobile Core’s user plane (e.g., UPF in 5G) buffers data during the handover transition, avoiding dropped packets and subsequent end-to-end retransmissions.

Dukungan untuk mobilitas sekarang dapat dipahami sebagai proses mengeksekusi ulang satu atau lebih langkah yang ditunjukkan pada Gambar 16 saat UE bergerak di seluruh RAN. Tautan yang tidak diautentikasi yang ditunjukkan oleh (1) memungkinkan UE diketahui oleh semua Base Station dalam jangkauan. (Kami menyebutnya sebagai tautan potensial di bab selanjutnya.) Berdasarkan CQI terukur sinyal, Stasiun Pangkalan berkomunikasi secara langsung satu sama lain untuk membuat keputusan serah terima. Setelah dibuat, keputusan tersebut kemudian dikomunikasikan ke Mobile Core, memicu kembali fungsi pengaturan yang ditunjukkan oleh (3), yang pada gilirannya membangun kembali terowongan pesawat pengguna antara Base Station dan SGW yang ditunjukkan pada Gambar 17 (atau sesuai, antara Base Station dan UPF di 5G). Salah satu fitur paling unik dari jaringan seluler adalah bahwa bidang pengguna Mobile Core (misalnya, UPF dalam 5G) menyangga data selama transisi serah terima, menghindari paket yang jatuh dan transmisi ulang ujung ke ujung berikutnya.


In other words, the cellular network maintains the UE session in the face of mobility (corresponding to the control and data channels depicted by (2) and (4) in Figure 16, respectively), but it is able to do so only when the same Mobile Core serves the UE (i.e., only the Base Station changes). This would typically be the case for a UE moving within a metropolitan area. Moving between metro areas—and hence, between Mobile Cores—is indistinguishable from power cycling a UE. The UE is assigned a new IP address and no attempt is made to buffer and subsequently deliver in-flight data. Independent of mobility, but relevant to this discussion, any UE that becomes inactive for a period of time also loses its session, with a new session established and a new IP address assigned when the UE becomes active again.


In other words, the cellular network maintains the UE session in the face of mobility (corresponding to the control and data channels depicted by (2) and (4) in Figure 16, respectively), but it is able to do so only when the same Mobile Core serves the UE (i.e., only the Base Station changes). This would typically be the case for a UE moving within a metropolitan area. Moving between metro areas—and hence, between Mobile Cores—is indistinguishable from power cycling a UE. The UE is assigned a new IP address and no attempt is made to buffer and subsequently deliver in-flight data. Independent of mobility, but relevant to this discussion, any UE that becomes inactive for a period of time also loses its session, with a new session established and a new IP address assigned when the UE becomes active again.


Note that this session-based approach can be traced to the cellular network’s roots as a connection-oriented network. An interesting thought experiment is whether the Mobile Core will continue to evolve so as to better match the connectionless assumptions of the Internet protocols that typically run on top of it.

Perhatikan bahwa pendekatan berbasis sesi ini dapat dilacak ke akar jaringan seluler sebagai jaringan berorientasi koneksi. Eksperimen pemikiran yang menarik adalah apakah Mobile Core akan terus berkembang sehingga lebih cocok dengan asumsi connectionless dari protokol Internet yang biasanya berjalan di atasnya.

Retrieved from "https://onnocenter.or.id/wiki/index.php?title=Arsitektur_5G:_Security_dan_Mobility&oldid=66464"