米国 NIST CSWP 36D（初期公開ドラフト）非SUPI ベースのページング：5G サイバーセキュリティおよびプライバシー機能の適用 (2025.01.30)
こんにちは、丸山満彦です。
NISTが、非SUPI ベースのページング：5G サイバーセキュリティおよびプライバシー機能の適用についてのホワイトペーパーを公表し、意見募集をしていますね。。。
加入者永続識別子ベースではない、ページングの概要ですかね。。。
● NIST - ITL
| NIST CSWP 36D (Initial Public Draft) No SUPI-Based Paging: Applying 5G Cybersecurity and Privacy Capabilities | NIST CSWP 36D（初期公開ドラフト）非SUPI ベースのページング：5G サイバーセキュリティおよびプライバシー機能の適用 |
| Announcement | 発表 |
| 5G technology for broadband cellular networks will significantly improve how humans and machines communicate, operate, and interact in the physical and virtual world. 5G provides increased bandwidth and capacity, and low latency. However, professionals in fields like technology, cybersecurity, and privacy are faced with safeguarding this technology while its development, deployment, and usage are still evolving. | ブロードバンド携帯電話ネットワーク向けの 5G テクノロジーは、物理世界および仮想世界における人間と機械のコミュニケーション、操作、相互作用を大幅に改善する。5G は、帯域幅と容量の増加、および低遅延を実現する。しかし、テクノロジー、サイバーセキュリティ、プライバシーなどの分野の専門家は、このテクノロジーの開発、展開、使用がまだ進化している段階で、その保護という課題に直面している。 |
| To help, the NIST National Cybersecurity Center of Excellence (NCCoE) has launched the Applying 5G Cybersecurity and Privacy Capabilities white paper series. The series targets technology, cybersecurity, and privacy program managers within commercial mobile network operators, potential private 5G network operators, and organizations using and managing 5G-enabled technology who are concerned with how to identify, understand, assess, and mitigate risk for 5G networks. In the series we provide recommended practices and illustrate how to implement them. All of the capabilities featured in the white papers have been demonstrated on the NCCoE testbed on commercial-grade 5G equipment. | この課題を支援するため、NIST 国立サイバーセキュリティ・センター・オブ・エクセレンス (NCCoE) は、5G サイバーセキュリティおよびプライバシー機能の適用に関するホワイトペーパーシリーズを発行した。このシリーズは、5G ネットワークのリスクの識別、理解、評価、緩和の方法に関心のある、商用モバイルネットワーク事業者、潜在的なプライベート 5G ネットワーク事業者、および 5G 対応技術を使用および管理する組織の、技術、サイバーセキュリティ、プライバシープログラムのマネージャーを対象としています。このシリーズでは、推奨される実践例を紹介し、その実施方法を説明しています。ホワイトペーパーで紹介されている機能はすべて、商用グレードの 5G 機器を使用した NCCoE テストベッドで実証されています。 |
| We are pleased to announce the availability of the fifth white paper in the series: | このシリーズの第 5 弾となるホワイトペーパーが発行された。 |
| No SUPI-Based Paging — This publication provides an overview of “no Subscription Permanent Identifier (SUPI) based paging,” a 5G capability for protecting users from being identified and located by an attacker. Unlike previous generations of cellular systems, new requirements in 5G protect subscriber confidentiality by using a temporary identity (ID) instead of SUPI for the paging protocol, and explicitly define when the temporary ID must be reallocated (refreshed). 5G network operators and organizations using 5G technologies are encouraged to verify that the paging is happening as described in the 5G standards. | 非SUPI ベースのページング — このホワイトペーパーでは、攻撃者によるユーザーの識別や位置特定からユーザーを保護する 5G 機能「非SUPI（加入者永続識別子）ベースのページング」の概要を紹介する。これまでの携帯電話システムとは異なり、5G では、ページングプロトコルに SUPI の代わりに一時的な ID を使用することで加入者の機密性を保護し、一時的な ID を再割り当て（更新）する必要があるタイミングを明示的に定義するという新しい要件が導入されている。5G ネットワーク事業者および 5G 技術を利用する組織は、ページングが 5G 標準で規定どおりに機能していることを確認することを推奨する。 |
| Abstract | 要約 |
| This white paper provides an overview of "no Subscription Permanent Identifier (SUPI) based paging," a 5G capability for protecting users from being identified and located by an attacker. Unlike previous generations of cellular systems, new requirements in 5G protect subscriber confidentiality by using a temporary identity (ID) instead of SUPI for the paging protocol, and explicitly define when the temporary ID must be reallocated (refreshed). 5G network operators and organizations using 5G technologies are encouraged to verify that the paging is happening as described in the 5G standards. This white paper is part of a series called Applying 5G Cybersecurity and Privacy Capabilities, which covers 5G cybersecurity- and privacy-supporting capabilities that were implemented as part of the 5G Cybersecurity project at the National Cybersecurity Center of Excellence (NCCoE). | このホワイトペーパーでは、攻撃者によるユーザーの識別や位置特定からユーザーを保護する 5G 機能「非SUPI（加入者永続識別子）ベースのページング」の概要について説明する。これまでの携帯電話システムとは異なり、5G では、ページングプロトコルに SUPI の代わりに一時的な ID を使用することで、加入者の機密性を保護し、一時的な ID を再割り当て（更新）する必要があるタイミングを明示的に定義している。5G ネットワーク事業者および 5G 技術を使用する組織は、ページングが 5G 規格で規定どおりに行われていることを確認することを推奨する。このホワイトペーパーは、「5G サイバーセキュリティおよびプライバシー機能の適用」シリーズの一部であり、国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）の 5G サイバーセキュリティプロジェクトの一環として実装された、5G のサイバーセキュリティおよびプライバシーをサポートする機能について解説している。 |
| Overview | 概要 |
| Previous generations of cellular systems often used permanent or quasi-permanent IDs for paging the subscribers – leaving them vulnerable to cybersecurity and privacy risks. This paper explains how 5G networks have mitigated this problem by removing the Subscription Permanent Identifier (SUPI) relationship from paging protocol. Only temporary IDs are used to page UEs, and reallocating the temporary IDs is required when certain events associated with a specific user occur, including paging. We refer to this 5G standards enhancement as “no SUPI-based paging.” If mobile user equipment (UE) roams back from 5G to a previous generation system, these new protections may not be available. | 前世代の携帯電話システムでは、加入者にページングを行うために永続的または半永続的な ID がよく使用されていたため、サイバーセキュリティやプライバシーのリスクにさらされていた。このホワイトペーパーでは、5G ネットワークが、ページングプロトコルから加入者永続識別子 (SUPI) の関係を取り除くことで、この問題を緩和した方法を説明する。UE のページングには一時的な ID のみが使用され、ページングなど、特定のユーザーに関連する特定のイベントが発生した場合は、一時的な ID を再割り当てする必要がある。この 5G 規格の強化を「非SUPI ベースのページング」と呼ぶ。モバイルユーザー機器 (UE) が 5G から前世代のシステムにローミングバックした場合、これらの新しい保護機能は利用できない場合がある。 |
・[PDF] NIST.CSWP.36D.ipd
● まるちゃんの情報セキュリティ気まぐれ日記
・2024.11.14 米国 NIST CSWP 36C （初期公開ドラフト） 一時的な ID の再割り当て： 5Gサイバーセキュリティとプライバシー機能の適用 (2024.11.06)
・2024.10.09 米国 NIST NIST CSWP 36B（初期公開草案） ハードウェア対応セキュリティによる5Gシステムプラットフォームの完全性の確保：5Gのサイバーセキュリティおよびプライバシー機能の適用
Comments