Wie sicher ist Open-RAN für Campus-Netze? Welche Verantwortung tragen die Anbieter und Betreiber von Campus-Netzlösungen und welche Schritte werden unternommen, um die Sicherheit von Open-RAN-basierten Netzen in Zukunft zu gewährleisten? Wir haben alle Antworten in unserem Interview mit Nikolai Strasding, Unit Manager Cyber Security Consulting & Information Security Manager bei COCUS.
Vielen Dank, dass Sie heute bei uns sind, um über die Sicherheit von Open-RAN in Campus-Netzen zu sprechen. In den letzten Jahren sind Bedenken hinsichtlich der Sicherheit von OpenRAN im Vergleich zu herkömmlichen zellularen Netzen aufgekommen. Wie würden Sie auf diese Sicherheitsbedenken reagieren?
Ich danke Ihnen für die Gelegenheit, auf diese Bedenken einzugehen. Zunächst einmal: Open-RAN wird in Verbindung mit 3GPP-5G-Netzen verwendet, die auf Sicherheit ausgelegt sind und mehrere Schichten von Sicherheitsmaßnahmen nutzen, um den Schutz von Netzen und Nutzerdaten zu gewährleisten. Die 3GPP-Netzgenerationen haben sich seit Jahrzehnten als sicher erwiesen – seit der Einführung von 3G gab es keine größeren Sicherheitsprobleme mit diesen Netzen.
Sie sagen, dass ein grundlegender Baustein von Open-RAN bereits gut erprobt ist. Aber was sind die Unterschiede zwischen traditionellen zellularen Netzen und Open-RAN? Könnten Sie bitte aufzeigen, was neu an Open-RAN ist?
Sowohl Open-RAN als auch herkömmliche Mobilfunknetze haben ihre eigenen Sicherheitsherausforderungen und Stärken. Der Vorteil von Open-RAN ist, dass es eine flexible und anpassbare Lösung ist, die einen maßgeschneiderten Ansatz für die Sicherheit ermöglicht. Außerdem ermöglicht Open-RAN einen transparenteren und kollaborativen Sicherheitsansatz, bei dem eine größere Gemeinschaft von Experten daran arbeitet, die Sicherheit des Netzes zu gewährleisten.
Welche Schritte werden unternommen, um die Sicherheit von Open-RAN-basierten Netzen in Zukunft zu gewährleisten?
Wir arbeiten ständig daran, die Sicherheit von Open-RAN-Netzen zu verbessern. Dazu gehören kontinuierliche Investitionen in Forschung und Entwicklung, regelmäßige Software-Updates zur Behebung von Schwachstellen und die Zusammenarbeit mit Branchenexperten und Kunden, um neuen Sicherheitsbedrohungen immer einen Schritt voraus zu sein. Unser Ziel ist es, sichere und zuverlässige Netze für unsere Kunden bereitzustellen, und als TISAX-zertifiziertes Unternehmen nehmen wir diese Verantwortung sehr ernst.
Wie verhält sich dies zu Studien und Berichten, die Sicherheitsbedenken in Bezug auf Open-RAN aufzeigen? Es gibt zum Beispiel die Studie des deutschen BSI aus dem Jahr 2021, die Bedenken hinsichtlich der Sicherheit von Open-RAN äußert.
Wir nehmen das Feedback ernst und haben uns die Studie genauer angesehen. Es ist wichtig, die Methodik der Studie zu verstehen, um das Ergebnis zu interpretieren. Die Studie untersuchte die Sicherheitsaspekte des Open-RAN-Standards im Jahr 2021 und nicht eine konkrete Umsetzung. Dies ist ein wichtiger Unterschied, da sich der Standard für Open-RAN noch in der Entwicklung befindet und daher natürlich Lücken aufweist oder Optionen offen lässt. Außerdem wurde in der Studie für die Risikobewertung von einem öffentlichen Netz ausgegangen, was sich erheblich von der Situation in einem Campus-Netz unterscheidet.
Wie wirken sich die Unterschiede in der Netznutzung und im Betriebsmodell auf die Ergebnisse aus?
Die Studie geht von verschiedenen Interessengruppen mit unterschiedlichen Schutzbedürfnissen aus: Der Endnutzer, der Netzbetreiber und auch der Staat als Regulierungs- oder Strafverfolgungsbehörde. Sie geht auch davon aus, dass das Open-RAN-Netz von einem Dritten betrieben werden kann, der nicht mit dem Mobilfunknetzbetreiber identisch ist. Dies bedeutet zum Beispiel, dass ein theoretisches Risiko für den Endnutzer entsteht, wenn der Endnutzerverkehr für das Open-RAN und/oder den Netzbetreiber zugänglich wird. In einem Campus-Netz ist der Nutzer in der Regel mit dem Betreiber identisch, so dass das Risiko deutlich geringer wird oder sogar völlig irrelevant ist.
Die Studie weist auf hohe Risiken durch Insider-Angriffe hin. Gilt das auch für Campus-Netze?
Ja und nein: Generell sind Insider-Angriffe in fast jeder IT-Infrastruktur zu finden. Für die Administration und den Betrieb von IT-Plattformen und Netzwerken werden Menschen benötigt und je nach Anzahl der dafür notwendigen Privilegien besteht die Gefahr von Missbrauch oder Fehlern. Das Risiko kann nur durch organisatorische oder detektivische Maßnahmen und Automatisierung gesenkt werden. Hier unterscheidet sich Open-RAN nicht von anderen Systemen, auch nicht von traditionellen, proprietären Mobilfunknetzen.
Zurück zu den in der BSI-Studie ermittelten Risiken: Welcher Art sind diese?
Die Autoren der Studie betonen den Grundsatz der Sicherheit durch Design: Die Norm sollte aus ihrer Sicht keinen Raum für Fehler bei der Implementierung des Netzes lassen, die zu Schwachstellen führen. Dies ist im Allgemeinen ein sehr vernünftiger Ansatz, und wir unterstützen das Prinzip. Leider sind Standardisierungsprozesse schwierig, da verschiedene Akteure unterschiedliche Ansichten über mögliche Implementierungen haben. Dies führt zu optionalen Elementen in den Normen. Das Gleiche geschieht im 3GPP, wo man mehrere optionale Elemente in der Sicherheitsarchitektur findet. Nebenbei bemerkt: Seit 2021 haben sich die Open-RAN-Standards weiterentwickelt und einige der angesprochenen Probleme wurden in der Zwischenzeit verbessert. Der nicht obligatorische Charakter einiger Sicherheitsmerkmale in der Norm bedeutet jedoch nicht, dass irgendwelche oder die meisten konkreten Implementierungen unsicher sein werden.
Was sind aus Ihrer Sicht die Verantwortlichkeiten der Anbieter von Campus-Netzwerklösungen? Wie sollten sie mit den potenziellen Risiken umgehen?
Zunächst einmal ist es eine klare Empfehlung, alle optionalen Sicherheitsmerkmale zu implementieren. Dies ermöglicht es den Betreibern von Campus-Netzen, das Netz so zu konfigurieren, wie es in der BSI-Studie als „best case“ angesehen wird. Bei näherer Betrachtung der Studie zeigt sich, dass eine Best-Case-Implementierung selbst in dem komplexeren Szenario eines öffentlichen Netzes keine signifikanten Risiken für Vertraulichkeit, Integrität, Rechenschaftspflicht und Datenschutz birgt. Es verbleiben Risiken in Bezug auf die Verfügbarkeit, die sich nicht wesentlich von den Verfügbarkeitsrisiken anderer drahtloser Netze unterscheiden. Der Funkteil des Netzes sollte immer für die Ausfallsicherheit geplant werden.
Und was raten Sie den Betreibern von Campus-Netzen?
Die Konfiguration des Netzes sollte den üblichen Grundsätzen der Sicherheitshärtung folgen: Aktivieren Sie alle Sicherheitsfunktionen standardmäßig und deaktivieren Sie sie nur nach einer Risikobewertung. Wenn ein Unternehmen zugunsten der Leistung auf ein Sicherheitsmerkmal verzichten möchte, kann dies in einer Campus-Umgebung ein akzeptables potenzielles Risiko darstellen. Dies müsste jedoch individuell geprüft und vom Unternehmenseigentümer entschieden werden.
Ist Ihre Schlussfolgerung also, dass die BSI-Studie ungenau ist?
Nein, die Studie ist wichtig, um Fragen zu ermitteln, die problematisch werden könnten, wenn die Umsetzung nicht mit der gebotenen Sorgfalt erfolgt, insbesondere in einem öffentlichen Netz. Im Allgemeinen erleichtert ein solches Feedback die sichere Implementierung von Open-RAN und hilft, den Standardisierungsprozess in Richtung eines noch höheren Sicherheitsniveaus voranzutreiben. Wenn ein Sicherheitsproblem festgestellt wird, arbeiten wir mit unseren Partnern und Kunden zusammen, um es umgehend und effektiv zu lösen. Außerdem ermöglicht Open-RAN einer größeren Gemeinschaft von Experten, die Probleme zu überprüfen und Verbesserungen zu ermitteln.
Gibt es andere Studien, die die Sicherheit von Open-RAN untersuchen? Wie lauten ihre Schlussfolgerungen?
Ja, es gibt sie, zum Beispiel eine Studie der Universität Passau. Ihre Schlussfolgerung ist, dass Open-RAN mindestens genauso sicher ist wie traditionelle, proprietäre Lösungen, wenn nicht sogar sicherer. Ein Teil der angenommenen Sicherheit proprietärer Lösungen ist „security-by-obscurity“, was im Allgemeinen kein empfehlenswerter Ansatz zur Absicherung von Lösungen ist.
Bei Open-RAN ist die Lösung und damit die Angriffsfläche viel transparenter, so dass die Sicherheitskontrollen für die einzelnen kritischen Punkte definiert werden können. Außerdem übernehmen die Standards Best-Practice-Prinzipien aus anderen Bereichen wie der Cloud-Sicherheit.
Ihr abschließender Satz lautet also: Open-RAN ist sicher?
Ja, wenn sie richtig implementiert sind, glauben wir, dass Campus-Netze, die Open-RAN und 3GPP 5G-Netzelemente verwenden, als die sicherste Option für die Implementierung von Mobilfunknetzen in einer Campus-Umgebung angesehen werden können.
