5G e le reti di quinta generazione:

Appena prima della crisi coronavirus si parlava molto di 5G, in televisione si vedevano meravigliose pubblicità, si pensi agli spot di TIM o Vodafone, che decantano un futuro incredibile reso possibile dalle reti di quinta generazione.

Un futuro iperconesso, iperveloce, iperfantastico… e poi c’è la realtà

Arriva una emergenza sanitaria, tutti a casa con smartworking (sic!), Netflix, Amazon Prime Video etc etc….

La crescente richiesta di banda da parte degli italiani costretti a casa ha, nel frattempo, messo in crisi i telco provider e le loro infrastrutture spesso obsolete e non omogeneamente distribuite sul territorio nazionale (il digital divide è a tutt’oggi una realtà che pochi, sembra, vogliono ricordare anche se io vado a 4mb in download e 800k in upload qui in provincia di Pavia).

Crolli di connettività, latenze, jitter…ok ok sto parlando troppo tecnico, tutte robe che non ti dicono quando prendi una connessione visto che si parla solo di banda “veloce” o “ultraveloce” e via markettando.

Il 5G sarebbe a questo punto uno degli elementi che potrebbero aiutare a gestire una emergenza di questo tipo (fidatevi ritornerà) fornendo banda e connettivita’ in maniera ubiqual. Ma l’arrivo del 5G ha scatenato anche preoccupazioni sulla sicurezza, in parte legate ad una maggiore consapevolezza legata ai rischi informatici ma, purtroppo, per gran parte più legate a considerazioni geopolitiche che ad una vera analisi di cosa il 5G sia realmente.

Il 5G e la sicurezza: è la Cina il problema?

Il COPASIR (Comitato parlamentare per la sicurezza della Repubblica) ha recentemente pubblicato un rapporto legato ad una indagine in cui uno degli elementi principali era la sicurezza legata alle reti 5G e le possibili interferenze cinesi di Huawei e ZTE.

Durante l’indagine sarebbero sorti elementi che corroborano un approccio critico nei confronti dei vendor telco cinesi in funzione delle supposte ingerenze del governo cinese in tali aziende che le renderebbe “influenzabili”.

Tra le conclusioni del rapporto molto si è parlato, anche sulla stampa, di quanto legato a questo paragrafo:

“Sulla base di tali elementi informativi, il Comitato non può pertanto che ritenere in gran parte fondate le preoccupazioni circa l’ingresso delle aziende cinesi nelle attività di installazione, configurazione e mantenimento delle infrastrutture delle reti 5G. Conseguentemente, oltre a ritenere necessario un innalzamento degli standard di sicurezza idonei per accedere alla implementazione di tali infrastrutture, rileva che si dovrebbe valutare anche l’ipotesi, ove necessario per tutelare la sicurezza nazionale, di escludere le predette aziende dalla attività di fornitura di tecnologia per le reti 5G”.

La relazione del COPASIR arriva a indicare come possibile soluzione la esclusione delle società cinesi dalla fornitura di tecnologie 5G. Sono queste preoccupazioni fondate? E, soprattutto, affrontano realmente il nodo della sicurezza delle reti di quinta generazione?

Questo rapporto affronta realmente i problemi di sicurezza del 5G?

In realtà questo rapporto del COPASIR non dice nulla sulla sicurezza del 5G se non il generico riferimento a “ritenere necessario un innalzamento degli standard di sicurezza idonei per accedere alla implementazione di tali infrastrutture”, quello che viene affrontato è in un problema geopolitico solo relativamente legato alle problematiche di sicurezza inerenti alle reti di comunicazione, del resto un organismo come il COPASIR poco avrebbe a che dire di fronte a tematiche strettamente tecnologiche.

Su di una cosa però possiamo essere tutti concordi: se il 5G rappresenta una opportunità, rappresenta anche un rischio concreto per la sicurezza che andrebbe affrontato in maniera scientifica ed appropriata, ponendo le pur importanti questioni geopolitiche nella giusta prospettiva.

Per poter fare questo però occorre capire almeno a grandi linee cosa sia questa rete 5G e quali siano quindi i possibili rischi ad essa legati.

5G cosa è

Se pensiamo al 5G come una rete telefonica ad alta velocità confondiamo le cause con gli effetti. Lo sviluppo delle reti telefoniche mobili è storicamente legato non alla velocità, ma ai servizi offerti. La velocità è quindi una conseguenza necessaria dei servizi offerti.

Lo schema sottostante rappresenta la evoluzione dei sistemi di rete mobile da cui si evince che la rete mobile si è evoluta sulla necessità di offrire un diverso set di servizi: dai servizi vocali analogici della prima generazione a un sistema in grado di offrire servizi multipli ed aperto a nuove evoluzioni come il 5G.

5G significa la possibilità di veicolare attraverso la rete mobile una serie di servizi oggi distribuiti da altre tecnologie di trasmissione ivi comprese WiFi e LANWAN e implementare nuove possibilità quali l’IOT nelle sue varie forme (Industrial IOT o consumer IOT).

Questa prospettiva apre per le Telco nuovi scenari di espansione con la possibilità di mettersi in competizione in mercati come quello dell’IT aziendale fino adesso solo marginalmente toccati, se non per la offerta di connettività.

Le implicazioni in termini economici sono enormi, e pensare di rimanere indietro nello sviluppo di queste tecnologie non potrebbe che limitare seriamente la possibilità del sistema paese di essere competitivo su scala globale.

In quest’ottica la tecnologia 5G riveste una importanza elevata sui prossimi sviluppi tecnologici, industriali ed anche sociali, rendere 5G sicuro diventa quindi cruciale per la protezione di uno stato dal momento che la dipendenza dal 5G sarà superiore accorpando servizi e tecnologie ad oggi disgiunte.

La complessità tecnologica che si porta dietro il 5G la rende anche intrinsecamente più rischiosa, dal momento che la superficie di attacco cresce in funzione degli imprevedibili elementi interconnessi che la utilizzeranno, si tratta di valutare le interazioni di un sistema altamente complesso composto da elementi eterogenei: differenti protocolli, differenti oggetti, differenti vendor di differenti nazioni che interagiscono in qualche modo anche per attività critiche (si pensi all’automotive o alla telemedicina).

5G e la sicurezza

In questo scenario il backbone offerto dai telco provider e solo uno degli aspetti da considerare in termini di sicurezza, e le sue interconnessioni con tutto il resto rendono il sistema vulnerabile sotto una moltitudine di aspetti.

Enisa ha iniziato a esplorare le specifiche legate alla sicurezza del 5G https://www.enisa.europa.eu/publications/enisa-threat-landscape-for-5g-networks/at_download/fullReport ed è interessante notare come le problematiche analizzate siano molto simili a quelle riscontrate nelle analisi per le NFV (Network Function Virtualization) del resto pesantemente utilizzate in ambito 5G per generare e gestire i servizi.

In quest’ottica l’approccio geopolitico assume un valore decisamente inferiore, anche se politicamente più facile da spendere.

La realtà è che qualunque sia la nazione in cui risiede il vendor che produce tecnologie 5G, i rischi di interferenza sono presenti, indipendentemente dallo schieramento geopolitico. In altre parole, se il problema è chi ci spia, beh, la risposta è chiunque.

Ridurre il problema allo spionaggio è però una pericolosa semplificazione della reale esposizione al rischio di queste nuove tecnologie, e sempre in termini di spionaggio vale la pena di ricordare che anche in questa area ci si deve proteggere anche dagli alleati geopolitici come Prism[1] o ANT[2] hanno largamente dimostrato nel recente passato. Vale la pena di ricordare, per altro, che proprio il catalogo ANT esemplifica come non occorra una influenza diretta del governo nei confronti di una azienda per interferire sui suoi prodotti.

In termini di sicurezza ben più pressante ed utile sarebbe garantire che le nuove tecnologie seguissero seriamente i principi della privacy e security by design and by default, salvo trovare una maniera per verificare che ciò venga applicato indipendentemente dalla provenienza.

Allora hanno senso le grida contro le interferenze cinesi?

Sì e no, il rischio di interferenza del governo Cinese esiste, anche se né ZTE né Huawei hanno legami diretti né un diretto interesse a diminuire la loro possibilità di espansione sul mercato. E’ anche vero che il governo cinese ha “aiutato” le proprie aziende, ma lo stesso si può dire per quasi tutti gli stati che hanno protetto aziende considerate critiche.

Il punto è che data la natura critica che il 5G potrebbe prendere nel prossimo futuro un approccio più corretto sarebbe, ad esempio, simile a quello inglese di definire aree critiche ove tecnologie straniere non dovrebbero essere utilizzate o utilizzare l’approccio tedesco che si focalizza sul controllo di tali tecnologie.

Entrambi gli approcci richiedono però una infrastruttura che sia in grado da un lato determinare quali siano gli elementi critici da proteggere (che vanno ben al di là della semplice fornitura di device HW) e quali siano i parametri minimi di sicurezza da monitorare cosa che comporta la creazione di organismi tecnici di certificazione e validazione credibili da un punto di vista tecnico ed economico.

Se non siamo in grado di affrontare i reali punti critici della messa in sicurezza delle reti 5G la scelta geopolitica di bloccare il 5G Cinese risponde a logiche diverse, comprensibili ma che poco hanno a che fare con un approccio ragionato sulla security e questo, in termini di sicurezza, può essere estremamente rischioso.

Non identificare correttamente il perimetro di rischio rischia di non produrre i risultati desiderati ma, al contrario, creare un falso effetto di sicurezza. Purtroppo, la storia ci ha insegnato che questo approccio può essere fatale, come la linea Maginot ha mostrato nella seconda guerra mondiale.

[1] PRISM è un programma di sorveglianza elettronica, cyberwarfare e Signal Intelligence, classificato come di massima segretezza, usato per la gestione di informazioni raccolte attraverso Internet e altri fornitori di servizi elettronici e telematici. È stato posto in attività dalla National Security Agency (NSA) fin dal 2007. PRISM è il nome in codice scelto dal governo statunitense per US-984XN, ispirandosi al prisma ottico (“un mezzo trasparente alla luce che ha la capacità di alterare la visione della realtà osservata attraverso di esso”). I documenti pubblicati da Edward Snowden (ex impiegato di una società informatica che lavora per la NSA) nel giugno 2013 descrivono il programma PRISM come abilitato alla sorveglianza in profondità su comunicazioni dal vivo di gran parte del traffico Internet mondiale e delle informazioni

[2] Il catalogo NSA ANT è un documento classificato di 50 pagine disponibile per la National Security Agency (NSA) Tailored Access Operations (TAO) della divisione Advanced Network Technology (ANT) per aiutare nelle attività di cyber sorveglianza. La maggior parte dei dispositivi è descritta come già operativa e disponibile per i cittadini statunitensi e i membri dell’alleanza Five Eyes. Secondo Der Spiegel, che ha pubblicato il catalogo al pubblico il 30 dicembre 2013, “L’elenco si presenta come un catalogo per corrispondenza, dal quale dipendenti del NSA possono ordinare tecnologie dalla divisione ANT per sfruttare i dati dei loro obiettivi”. Il documento è stato creato nel 2008. Gli exploit descritti nel documento sono principalmente rivolti a dispositivi fabbricati da società statunitensi, tra cui Apple, Cisco, Dell, Juniper Networks, Maxtor, Seagate e Western Digital, sebbene nel documento non vi sia nulla che indichi che le società fossero complici.