https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/hva-er-5g-og-6g/
Hva er 5G (og 6G)?
5G er en ny og forbedret mobilnetteknologi som kan håndtere enorme mengder data. Det er en etterfølger av 4G, 3G og 2G, og har forbedret ytelse sammenlignet med disse.
5G skiller seg fra tidligere generasjoner ved å være mer programvareorientert og operere i en skybasert arkitektur (forskning.no), noe som vil muliggjøre en mer fleksibel bruk av infrastrukturen. Dette kan åpne opp for bruksområder som fjernkirurgi, selvkjørende biler, utvidet virkelighet (augmented reality), flygende IoT (droner) og industriell automatisering.
5G legger til rette for en smartere nettverkskommunikasjon og kobling mellom mennesker, maskiner og tilkoblede enheter. Målet med den globale 5G-standarden er å skape interoperabilitet (muliggjøre samhandling mellom ulike systemer) mellom nettverkstjenester og enheter, tilby energieffektive og sikre systemer med høy kapasitet og øke datahastigheten betydelig med mye mindre forsinkelse i responstid.
5G har flere egenskaper:
- Høy hastighet
- Høyere dataoverføringshastighet (opptil 20 Gbps) som gjør det enkelt for brukerne å laste ned innhold veldig raskt
- 1000 ganger høyere dataoverføringskapasitet per område og 10-100 ganger høyere dataoverføringskapasitet per enhet sammenlignet med 4G
- Lav forsinkelse
- 1-10 ms ende-til-ende forsinkelse (sammenlignet med 20-50 ms for 4G)
- Flere enheter
- En million tilkoblede enheter per kvadratkilometer (over ti ganger flere enn med 4G)
- Skivedeling («slicing») av mobilnettet
- Myndigheter og virksomheter kan reservere egne nett på det samme mobilnettet
- På denne måten kan nettverk tilpasses for å effektivt betjene behovene til ulike bruksområder eller applikasjoner.
Kilder
Teknologien i 5G
Alle trådløse systemer kommuniserer ved hjelp av radiobølger. Radiobølger kan angis i frekvens (hertz / Hz) eller bølgelengde (meter). Hittil har mobiltelefoni opptil 4G i Norge foregått over utvalgte frekvenser mellom 450 MHz og 2690 MHz (les mer på nkom.no). Dette spennet brukes også til andre ting, for eksempel DAB-radio og trådløse nettverk. Vi tar ikke for oss så mye mer om radioteknologi her. De viktigste poengene å ta med seg videre er at:
- høyere frekvenser er bedre egnet til å overføre data i høy hastighet enn lavere frekvenser.
- høyere frekvenser blokkeres lettere (f.eks. av bygninger eller fjell) enn lavere frekvenser.
Med 5G foreslås det å ta i bruk langt høyere frekvenser enn det som har vært benyttet til mobilnett tidligere. Disse vil kunne støtte svært høye overføringshastigheter over korte avstander.
Utrullingen av 5G beror på noen få viktige teknologiske forbedringer, og kombinasjonen av disse definerer 5G-teknologien. Før vi gjennomgår dem er det imidlertid greit å vite litt overordnet om hvordan infrastrukturen i mobilnettet ser ut.
https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/hva-er-5g-og-6g/
Småcellenettverk
Dagens trådløse nettverk er avhengige av kraftige celletårn for å kringkaste signaler over lange avstander. Siden millimeterbølger har vanskeligere for å passere fysiske hindringer, vil små mobilcellenett løse problemet ved å bruke tusenvis av små cellestasjoner til å fylle dekningshull mellom en basestasjon og mobilenheter. Små celler er forminskede basestasjoner plassert 250 meter eller mer fra hverandre og brukes til å utvide nettverksdekning og kapasitet. At cellene er mye mindre enn basestasjoner, gjør det enklere å feste dem på lysstolper og på bygninger. For å overføre data rundt hindringer, vil disse basestasjonene være mye nærmere hverandre enn tradisjonelle tårn. Når en bruker beveger seg bak en hindring, vil smarttelefonen automatisk bytte til en ny basestasjon slik at brukeren opprettholder forbindelsen.
Massiv MIMO (multiple input multiple output)
Nettverkskapasiteten til ethvert trådløst system kan forbedres ved å øke antallet sende- og mottaksantenner til systemet. 4G-basestasjoner har 12 porter for antenner som håndterer all mobiltrafikk. I 5G vokser dette tallet til rundt 100 porter i en basestasjon, noe som gjør det til massiv MIMO. MIMO er trådløse systemer som bruker to eller flere sendere og mottakere til å sende og motta data simultant. Enkelt forklart muliggjør det at en basestasjon kan sende og motta signaler fra enda flere brukere samtidig.
Stråleforming og strålestyring
Stråleforming er en signalbehandlingsteknikk for radiobølger som identifiserer den mest effektive ruten til en bestemt bruker. Man kan tenke seg at man prøver å ringe i et område fullt av bygninger. Signalet reflekteres av bygningene og krysser andre signaler fra brukere i området. En massiv MIMO-basestasjon mottar alle disse signalene og holder styr på tidspunktet og retningen. Den bruker deretter signalbehandlingsalgoritmer til avgjøre nøyaktig hvor hvert signal kommer fra og finner den beste overføringsruten tilbake til hver mobiltelefon.
Skivedeling
I de tidligere mobilnettene er den tilgjengelige nettverkskapasiteten i prinsippet delt likt mellom alle brukere knyttet til en basestasjon. Med 5G kan private og offentlige virksomheter forhandle frem avtaler med monilnettoperatørene og reservere en del av nettverket for seg selv (en skive). Operatørene kan ved hjelp av programvare dele det fysiske mobilnettet inn i ulike virtuelle nettverk. Les mer på ndla.no.
Virituelle nettverk kan for brukeren fremstå som et separat og selvstendig nettverk, selv om det fysisk kan være en del av et større nettverk eller et lokalnettverk. Disse virtuelle nettverkene er gjensidig isolert, administrert uavhengig og opprettet på forespørsel. Les mer om dette på researchgate sine nettsider (engelsk).
Silk er hvert nettverk tilpasset for å effektivt betjene behovene til visse bruksområder eller applikasjoner. Det kan for eksempel være aktuelt for beredskapssituasjoner hvor nødetatene kan reservere egne nett og utveksle data som tekst, bilder og video på en robust måte og på den måten styrke situasjonsforståelsen.
Multi-access Edge Computing
Drevet av økende krav til høy hastighet og lav forsinkelse, må både nettverksfunksjoner og innhold bevege seg nærmere brukeren, det vil si så langt mot kanten av radionettverket som mulig. Multi-access Edge Computing (MEC) er basert på virtualisering og forskyver skytjenester til kanten (the edge) ved å tilby prosessering nærmere brukeren, uavhengig om dette er en privatperson eller en virksomhet.
I et normalt skytjenestemiljø kan skytjenester være fysisk langt unna brukerne, og denne avstanden kan skape forsinkelser. Forsinkelser kan reduseres ved at prosesseringskraften flyttes nærmere informasjonen som skal prosesseres.
Hva er 6G?
Mens 5G-utrullingen er i gang, har interessen for sjette generasjons mobilnett (6G) allerede skutt fart innen forskning og privat næringsliv. Selv om realiseringen er noen år frem i tid, forventes 6G å tilby nettverksarkitektur som tilrettelegger for en mer datasentrisk, dataavhengig og automatisert virkelighet.
For å imøtekomme kravene til en tilkoblet verden, vil 6G akselerere trendene vi ser med 5G. Dette innebærer blant annet innføring av løsninger for smarte byer og smart industri gjennom brukersentrisk maskin-til-maskin-kommunikasjon. For å realisere neste generasjons tilkobling, vil 6G tilby flere tjenester med kunstig intelligens og distribuert kommunikasjon, og muliggjøre enda flere tilkoblede enheter samtidig.
Hver generasjon mobilnettverk er generelt kjennetegnet av forbedrede kommunikasjonsteknologier. For 5G er massiv MIMO og millimeterbølger (mmWave-bånd) begge viktige muliggjørende teknologier.
Muliggjørende teknologier i 6G omfatter også bruken av "nye" frekvenser på radiospekteret som ennå ikke har blitt vurdert for mobilbruk, nemlig terahertz-båndet. Les mer om dette hos mmWave Networking Group (mmwave.dei.unipd.it, engelsk).
https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/
5G og personvern
Femte generasjons mobilnett (5G) er rullet ut i Norge. Norske myndigheter og næringsaktører mener 5G vil spille en nøkkelrolle i fremtidens industri, og at teknologien åpner opp for helt nye næringsområder. Vi vil her se nærmere på teknologien og skissere noen utfordringer og anbefalinger når det gjelder personvernet.
Innledning
Folk flest vil først og fremst merke overgangen til 5G ved at de får raskere nett på mobilen. 5G legger dessuten til rette for en eksplosiv vekst i av internettilkoblede enheter, også kjent som tingenes internett (IoT - Internet of Things). Tingenes internett er med oss i hjemmet, på arbeidsplassen og på kroppen. Eksemper er TV-er, brødristere, panelovner, kjøleskap, biler, lys, røykvarslere og barneleker som er koblet til internett.
Innhold
For å kunne si noe om hvordan denne nye generasjonen mobilnett påvirker personvernet vårt, er det nødvendig å forstå teknologien. Vi vil derfor først beskrive de viktigste tekniske komponentene i 5G for å forstå hvordan denne teknologien påvirker bruk av personopplysninger. Vi går så gjennom de viktigste informasjonsikkerhetsaspektene ved 5G.
Videre vil vi trekke frem de viktigste personvernkonksevensene knyttet til bruk av 5G. Til slutt har vi noen anbefalinger om hvordan myndigheter, nettleverandører, virksomheter og folk flest kan ivareta personvernet i møtet med 5G.
Vi har valgt å ikke inkludere vurderinger rundt sikkerhetpolitiske hensyn i valg av leverandør av 5G-infrastruktur i dette arbeidet.
Oppsummering
5G skiller seg fra tidligere generasjoner mobilnett ved å være mer fleksibelt. Det er mindre avhengig av spesiell maskinvare, har flere konfigurasjonsmuligheter gjennom programvare og et grensesnitt som legger til rette for økt grad av samhandling mellom ulike enheter.
Når det gjelder konkrete personvernkonsevenser, vil 5G-nettet gi mer presis posisjonering av enkeltindivider fordi 5G krever en infrastruktur med flere basestasjoner som står tettere. Når den frittstående infrastrukturen for 5G er på plass, vil den legge til rette for bedre sikkerhet ved blant annet sterkere autentisering og kryptering. Men det finnes også noen nye sårbarheter som kan ha personvernkonsekvenser fordi 5G-nettet er mer programvarebasert enn tidligere generasjoner nett.
Med 5G kommer også mulighet for å dele inn nettverket i skiver der flere aktører kan tilby tjenester direkte i eller gjennom mobilnettet. For tjenester hvor det behandles personopplysninger, kan det oppstå usikkerhet både for brukerne og de involverte aktørene om hvem som er behandlingsansvarlig og hvem som er databehandlere.
Vi mener 5G bidrar til å forsterke en del av personvernutfordringene vi ser i dag, hovedsakelig ved å legge til rette for økt utbredelse av tingenes internett. Vi ser økt risiko for ansvarspulverisering blant aktørene som er involert i innsamling og anlyse av data fra tilkoblede dingser. Dette kan medføre at det blir vanskeligere for enkeltpersonver å ha oversikt over hvordan deres data samles inn og brukes. For dårlig informasjonssikerhet i tilkoblede enheter, skaper også økt risiko for personvernet til brukerne. 5G legger til rette for bedre sikkerhet, men denne forbedringen blir først realisert når det fysiske 5G nettet (5G stand alone) er ferdig utbygd.
Med mer intensiv bruk av data blir det enda viktigere å ivareta personvernet til brukerne. Godt personvern er helt avgjørende, ikke bare for å kunne møte kravene i personvernforordningen, men også for å bygge ansvarlige løsninger der brukerne har tillit til at dataene deres blir ivaretatt på en god måte. Personvernregelverket krever at personvern skal bygges inn i alle løsninger og i all teknologi der personopplysninger blir behandlet. Dette kravet er relevant både der 5G-nettet i seg selv blir benyttet av virksomheter (for eksempel private nettverk muliggjort av skivedeling) og for enheter som brukes i nettverket (for eksempel autonome biler og smartklokker). Les mer om innebygd personvern.
https://www.datatilsynet.no/regelverk-og-verktoy/rapporter-og-utredninger/5g-og-personvern/sikkerheten-i-5g-nettet/
Lik risiko for nedgraderingsangrep
Alle mobilnett er sårbare for nedgraderingsangrep. Dette er ingen 5G-spesifikk sårbarhet, men en sårbarhet som eksisterer som resultat av tilsiktet fleksibilitet og hvordan mobile enheter fungerer. Det er en kombinasjon av 2G-, 4G- og 5G-kompatibelt utstyr i mobilnettet i Norge (3G-nettet ble skrudd av i 2021, og 2G-nettet skal etter planen skrus av i 2025). For å sikre at man skal kunne kommunisere til enhver tid, bytter mobiltelefonene automatisk nett ved behov. En angriper kan derfor «jamme» frekvensene til 5G- og 4G-basestasjonene innen et område, slik at mobilutstyret innenfor dette området kobler seg til 2G-nettene. Deretter kan angriperne utnytte sårbarhetene i 2G-nettet med billige falske basestasjoner, for eksempel til å avlytte telefonsamtaler og lese/endre/blokkere tekstmeldinger.
I konfigurasjonen til mobiltelefonene finnes det fremdeles ingen mulighet for å kun la telefonen koble seg til 5G- eller 4G-nettene. Enkelte Android-mobiler har dog fått mulighet til å deaktivere 2G (digi.no). Helt nye mobiltelefoner er derfor også sårbare for nedgraderingsangrep, fordi de støtter eldre teknologier. Grunnen til at 2G-nettet fortsatt eksisterer, er at det finnes gamle enheter i drift som ikke støtter 4G eller 5G. Det gjelder hovedsakelig M2M-enheter (maskin-til-maskin), slik som for eksempel boligalarmer, heiskommunikasjon og biler.
Hvis man i fremtiden avdekker sårbarheter i 4G-teknologien, vil angripere kunne gjennomføre tilsvarende nedgraderingsangrep for å utnytte disse. Risikoen ved nedgraderingsangrep er noe vi må leve med så lenge mobilnettet støtter eldre standarder.
Internet of Things (IoT)
En av fordelene som ofte nevnes med 5G, er at teknologien skal være billigere og mer effektiv enn tidligere. I tillegg legger de nye mulighetene innen mMTC (massive Machine Type Communications) grunnlag for tilkobling av svært mange IoT-enheter i nettet samtidig. Aktører vi har snakket med fremhevet nettopp mulighetene 5G gir for norsk industri. Dette er også noe av grunnen til at Kommunal- og distriktsdepartementet og Næringsdepartementet tok initiativ til å opprette et 5G-industriforum i mai 2022 (nkom.no). Mange antar derfor at flere IoT-enheter vil kobles direkte til 5G-nettet i fremtiden.
IoT-enheter er i utgangspunktet ikke kjent for å være spesielt godt sikret, noe det kan være flere grunner til. For det første benyttes IoT-teknologi til å koble ting på internett som historisk sett har vært frakoblet, for eksempel kjøleskap, vaskemaskiner og varmeovner. Produsentene av slike enheter har tidligere ikke trengt å forholde seg til IT-sikkerhetsaspektet ved produktene deres, og kan derfor mangle kompetanse til å sikre produktene de tilbyr. For det andre er det ikke sikkert at eierne av IoT-enheter har kompetanse til å bruke og konfigurere enhetene sikkert, i den grad det er mulig.
De mange sårbarhetene som finnes i forskjellige IoT-enheter har gjort at disse har blitt brukt som ledd i store sikkerhetsangrep, ofte uten at eierne deres har visst om det (digi.no).
Det er viktig å fremheve at de fleste av dagens IoT-enheter har vært koblet på alminnelige lokale nettverk, hvor en ruter med innebygget brannmur (for eksempel en WiFi-ruter) i mange tilfeller har fungert som en beskyttende barriere mellom IoT-enhetene og internett. De fleste IoT-enheter har altså ikke vært direkte eksponert mot internett. IoT-enheter som baseres på 5G vil imidlertid være det, noe som øker sannsynligheten for direkte angrep mot slike enheter.
Inntoget av IoT-enheter i 5G-nettet vil sannsynligvis by på utfordringer, både for mobilnettleverandørene, produsentene og brukerne. Det kan for eksempel gjelde produsenter som ikke evner å tilby sikre produkter i utgangspunktet, eller som ikke evner å holde produktene sikre over tid. Vi kan også se for oss scenarier hvor industrielle virksomheter med mange 5G-sensorer i drift ikke har kompetanse til å konfigurere enhetene sikkert, eller ikke evner å oppdatere dem i tide, og dermed vil utsette både seg selv og 5G-nettet for sikkerhetsrisikoer.
Det blir helt nødvendig å sørge for tilstrekkelig kompetanse for både mobilnettleverandører, IoT-produsenter og brukere for å minimere risikoene som den økte bruken av IoT-enheter i 5G-nettet kan medføre. Det er viktig slik at sikkerheten i mobilnettet kan ivaretas på tross av alle de nye enhetene i nettet, at produktene utvikles på en sikker og personvernvennlig måte i utgangspunktet og at brukerne evner å drifte produktene på en sikker måte.
Større angrepsflate
Egenskapene som 5G-nettet vil få, legger til rette for en eksplosiv økning av antall tilkoblede enheter. Når flere enheter kobles til det samme nettet vil det få en større angrepsflate. Det vil si at det blir mulig å angripe nettet gjennom flere kanaler enn tidligere. En kan for eksempel angripe nettet via mobiltelefoner, kjøleskap, vaskemaskiner eller industrielle sensorer. Jo flere tilkoblede enheter, desto flere muligheter. Hvis hackere klarer å ta over en million kjøleskap med samme sårbarhet, kan de potensielt bruke disse for å forsøke å overbelaste mobilnettet slik at vi andre ikke kan bruke det. De kan også bruke kjøleskapene i et angrep mot en annen virksomhets infrastruktur.
I tillegg til at enhetene som er tilkoblet nettet må være sikret, må nettet i seg selv være godt sikret mot misbruk og angrep, og teleoperatørene må passe på at de har tilstrekkelig kompetanse til å drifte nettene og skivene på en sikker måte.
Fundamentalt ny infrastruktur
En av de fundamentale endringene med 5G, er at kjernenettet ikke lenger driftes fra maskinvare som er spesielt laget for mobilnett. 5G-kjernenettet kan opprettes, konfigureres og driftes på helt alminnelige servere og datamaskiner, så lenge man har tilgang til den nødvendige programvaren. Selv om dette utelukker enkelte sårbarheter, åpner det for andre. Mobilnettleverandørene må for eksempel både forholde seg til sårbarheter i 5G-programvaren og sårbarheter i operativsystemet som programvaren kjøres på.
Videre er både kjernenettet i seg selv og funksjonaliteten som vil tilbys i nettet programvaredefinert. Skivedeling baseres for eksempel på virtualisering som har vært en del av skytjenester i lang tid. Overgangen til programvaredefinerte nettverk gir mer fleksibilitet, men krever omstilling hos mobilnettleverandørene slik at de evner å sikre nettverkene. En kan også se for seg at det oppstår usikkerhet om hvem som har ansvaret for sikkerheten i de ulike skivene. Er det mobilnettleverandøren, tredjeparts "skiveforhandlere" eller kjøperne som skal sørge for sikkerheten?
Vi har sett den samme utfordringen hos brukere av skytjenester, hvor sikkerheten avhenger like mye av brukerne som av tilbyderne. Det spiller for eksempel liten rolle om infrastrukturen til en leverandør av e-posttjenester er godt sikret, hvis brukeren setter passordet sitt til "123456". Med flere aktører blir verdikjedene lengre og kompleksiteten øker, noe som igjen kan føre til høyere risiko for sikkerhetsbrudd.
Skivedeling åpner potensielt også for utilsiktet dataflyt mellom de ulike virtuelle nettverkene (skivene). Det finnes ingen kjente slike sårbarheter enda, men muligheten blir en logisk følge av at nettverkene er programvaredefinerte, og ikke definert av forskjellige fysiske enheter.
"Single point of failure"?
Hvis angrep på ett system fører til at mange andre systemer slutter å fungere, kan systemet bli et "single point of failure". Jo flere kritiske enheter som flyttes til samme nett, desto høyere blir sikkerhetskravene for nettet.
Nødnettet må være tilgjengelig hele tiden. For at det skal være mulig, må nettet for eksempel være sikret mot naturkatastrofer og terrorangrep. Hvis forsvaret blir avhengige av nettet for å være operative i en stridssituasjon, må nettet være mer motstandsdyktig mot blant annet rakettangrep og hackerangrep fra ressurssterke fiender.
Hvis nettet blir et "single point of failure» for mye samfunnskritisk funksjonalitet, må det bygges på en svært robust måte. Det kan for eksempel ikke være slik at store deler av nettet slutter å fungere hvis en basestasjon eller et datasenter blir satt ut av drift. Det betyr at mobilnettleverandørene må investere mer i nettet, slik de har noe som kan ta over oppgavene til de delene av nettet som er ute av drift. Jo mer robusthet man ønsker i nettet, desto dyrere vil det være å bygge. Kostnaden står i motsetning til at nettilbyderne er private aktører som neppe har insentiv til å investere noe mer enn akkurat det som kreves av myndighetene og for å tilfredsstille kundenes behov.
Robustheten i nettet avhenger slik sett både av myndigheters reguleringsevne, kundenes betalingsvilje og nettleverandørenes investeringsvilje i funksjonalitet som kanskje sjelden eller aldri blir satt på prøve, men som vil være helt kritisk dersom det blir satt på prøve.
Ukryptert landskode og nettverkskode
Selv når vi får på plass frittstående 5G, vil landskode (Mobile Country Code, MCC) og nettverkskode (Mobile Network Code, MNC) sendes ukryptert over mobilnettet. Norge har for eksempel en unik identifikator, og de ulike mobiloperatørene i Norge har unike identifikatorer.
Sannsynligheten for å identifisere enkeltabonnenter via MCC/MNC i Norge er svært lav, fordi flertallet som er koblet på en basestasjon her har et norsk abonnement. I utlandet vil det derimot være høyere sannsynlighet for å kunne identifisere norske mobilabonnenter ved hjelp av disse kodene, fordi det vil være færre norske mobilabonnenter koblet til de ulike basestasjonene.
Problemstillingen settes på spissen i områder med mange basestasjoner, typisk i byer, hvor det vil det være mulig å bestemme posisjonen til en telefon med norsk mobilabonnement innenfor et relativt begrenset område – for eksempel i et bygg eller et kvartal. En angriper som overvåker en person med norsk abonnement i utlandet, vil dermed kunne anslå sannsynligheten for at personen de overvåker befinner seg i et forventet område. Det samme vil gjelde for personer med utenlandsk mobilabonnement i Norge.
