Il sistema 5G offre prestazioni di capacità trasmissiva e latenza molto maggiori dei sistemi precedenti e fornisce una piattaforma di supporto per una grande varietà di servizi eterogenei. I contesti applicativi del 5G sono altamente diversificati e certamente sfidanti per quanto riguarda gli aspetti di sicurezza e privatezza dei servizi offerti e dei dati generati. Si pensi ad applicazioni, quali: il controllo in tempo reale dei robot industriali, i veicoli autonomi, i droni, le operazioni chirurgiche a distanza, la realtà virtuale, le diagnosi a distanza, ecc. Lo sviluppo e la personalizzazione dei servizi sono basati sulla virtualizzazione delle infrastrutture di rete, integrando le funzioni di rete software (computing, storage e switching) nel nucleo della rete (Cloud) e collocandole nei bordi della rete (Edge) per fare fronte alle applicazioni che richiedono bassa latenza (i servizi cosiddetti time critical). Per fare fronte a questo nuovo scenario di integrazione dei servizi dei mercati verticali è necessario un approccio alla sicurezza completamente diverso da quello adottato per i sistemi cellulari delle precedenti generazioni.

Non si può più adottare l’approccio del tipo “one size fits all” usato nei sistemi 2G/3G/4G, ma bisogna affrontare la diversità dei servizi applicativi con un approccio di “flexible security”, e cioè bisogna sviluppare soluzioni di sicurezza diversificate per fare fronte al particolare scenario applicativo considerato. Nel sistema 5G viene quindi introdotto il protocollo detto 5G-EAP-AKA, Extended Authentication Protocol- Authentication and Key Agreement, che funziona da contenitore per procedure di sicurezza diversificate. Per esempio: i dispositivi terminali sono dotati di SIM (Subscriber Identification Module) o sono SIM-less? Vanno messe in conto limitazioni di consumo di energia o di capacità computazionale? Inoltre, i servizi che richiedono bassa latenza necessitano di soluzioni di sicurezza capaci di garantire il rispetto di tali limiti.

Per i sistemi 5G continua poi a valere l’approccio già stabilito per il 4G della “built-in-security”, e cioè la sicurezza è direttamente integrata nelle specifiche di sistema “prima” dello sviluppo dei sistemi in campo. Ciò non è avvenuto per i sistemi 2G/3G, mentre si è cercato di applicare la built-in security per i sistemi 4G, anche se ci sono molte aree specifiche in cui la sicurezza dei sistemi 4G può essere significativamente migliorata. Le aree in questione hanno a che fare con la protezione della privacy (ad esempio: localizzazione, dati sensibili, ecc.), con la security assurance, e principalmente riguardano la robustezza degli impianti di rete contro gli attacchi cibernetici, anche in vista dell’evoluzione del malware nei dispositivi mobili. Nel sistema 5G, quando sono in gioco i servizi legati alla Internet of Things, gli attacchi cibernetici possono sfruttare il malware diffuso nei cluster di sensori: gli attaccanti possono prendere il controllo di milioni di dispositivi dando luogo a scenari di attacco di scala e impatto senza precedenti.

Il terzo approccio alla sicurezza del Sistema 5G si chiama “automation”. Le prestazioni di sicurezza dipendono anche dalla capacità di gestione della sicurezza da parte degli operatori, e cioè dai tool introdotti per semplificare il security management della rete e per permettere un rapido aggiornamento non solo delle operazioni di gestione, ma anche delle nuove soluzioni di sicurezza introdotte per nuovi servizi.

Gli aspetti di sicurezza del sistema 5G coinvolgono tutte le sezioni della rete e i terminali: si va dall’accesso radio, agli elementi di trasporto della rete (traffico dati e messaggi di segnalazione e controllo), alla protezione dei terminali (smartphone e sensori) e identificazione degli utenti, alla sicurezza delle piattaforme di servizio e delle applicazioni, per arrivare a un sistema di gestione della sicurezza che permetta di verificare le feature di sicurezza funzionanti e la loro configurazione. Un ruolo molto importante assume la sicurezza della virtualizzazione delle reti nel Cloud e nell’Edge Computing, in particolare per affrontare i moderni attacchi cibernetici (ad esempio, i transient execution attacks alle virtual machines).

Infine, il grande numero di stakeholders coinvolti nei servizi verticali richiede grande attenzione per la privacy degli utenti e la rivelazione di dati sensibili. Sono necessarie politiche e regole per governare le attività di profiling degli utenti e lo sfruttamento delle informazioni sul loro comportamento al fine di personalizzare i servizi.