Infrastructures for Data "Roundtable: 5G and Enabling Infrastructures". May 18th 2018. Engineering Department, University of Roma Tre

1. Daniele Perucchini
Fondazione Ugo Bordoni
www.fub.it
5G Privacy e sicurezza
Data Driven Innovation Open Summit
Roma, 18 maggio 2018

2. 2
Monitoraggio delle esperienze d’uso con la Televisione Digitale
Stato dell Arte
• latenza (anche minore di 1ms)
throughput (10-20 Gbps di picco)
• affidabilità (99.9999%)
• efficienza spettrale (30 bit/s/Hz)
• fino a 1 milione di
dispositivi per Km2
• velocità (fino a 500 Km/h)

3. 3
I pilastri fondamentali
I pilastri fondamentali su cui sarà sviluppata la nuova architettura end-to-end
saranno tecnologie di rete innovative:
SDN (Software Defined Network), in cui viene effettuata la separazione del
piano utente e del piano di controllo, per una maggior efficienza nei
dispiegamenti e nella fornitura dei servizi;
NFV (Network Function Virtualization), in cui le funzionalità di rete non sono più
allocate su hardware dedicato ma su porzioni di software che possono essere
eseguite da server standard, in modo da abilitare dispiegamenti dinamici e
flessibili, che traguardino la virtualizzazione della rete core e dell’accesso;
SON (Self Organizing Networks), per la gestione automatizzata e flessibile
delle reti di accesso radio;
Network Slicing, in cui un’unica rete fisica può essere divisa in “slice”, ovvero
reti virtuali, ognuna ottimizzata per una particolare categoria di servizi, per una
gestione flessibile e dedicata degli stessi.

4. 4
E’ Reale….
• L’obiettivo della Commissione europea è avere il 5G disponibile in
Ue entro il 2020
• I ministri dei paesi Ue sono allineati col piano di Bruxelles e si sono
impegnati al lancio di reti 5G in almeno una città nel 2020
• l’Italia si è “avvantaggiata” coinvolgendo 5 città in trial (Milano,
Bari, Matera, Prato, L’Aquila) per arrivare a un roll-out diffuso nel
2025
• Altre importanti iniziative in Italia…..

5. 5
Le prime “preoccupazioni”…
...a leaked memo from a US
National Security Council official
about the threat of 5G and China
for US national security…
Le reti mobili 5G non sono sicure e il
rischio principale deriva dallo standard
SS7 per i protocolli di segnalazione,
sviluppati senza tenere conto dei
principi della security by design.
L’allarme arriva dall’ultimo report
dell’Enisa, l’Agenzia europea per la
sicurezza delle reti e dell’informazione,
secondo cui le nuove connessioni mobili
comportano un rischio di cyberattacchi
“medio-alto”.

6. 6
ENISA e la sicurezza dell’IoT
• E’ una priorità fondamentale affrontare la
sicurezza dei prodotti e dei servizi IoT.
• Gli attacchi all’IoT mettono a repentaglio la
sicurezza, la privacy e la sicurezza fisica delle
persone
• L'IoT in sé può essere usato come vettore di
attacco contro le infrastrutture critiche.
• L'IoT cambia drasticamente le modalità di
raccolta, analisi, utilizzo e protezione dei dati
personali. Dubbi sulla tutela della privacy
sono stati sollevati.
• Al di là delle misure di sicurezza tecnica,
l'adozione dell'IoT sta sollevando molte
nuove sfide legali, politiche e normative che
rimangono senza risposta, amplificando allo
stesso tempo alcuni problemi esistenti.

7. 7
ENISA: i rischi di sicurezza per IoT
Superficie di attacco molto ampia…...
Integrazione della sicurezza: sono presenti di punti di vista potenzialmente
contraddittori da parte di tutte le parti interessate. Ad esempio, diversi dispositivi e sistemi
IoT possono essere basati su diverse soluzioni di autenticazione, che devono essere
integrate e rese interoperabili.
Risorse limitate dei dispositivi: La maggior parte dei dispositivi IoT ha capacità limitate
e quindi controlli di sicurezza avanzati non possono essere applicati in modo efficaci. Il
basso costo che è solitamente associato ai dispositivi e ai sistemi IoT ed ha implicazioni
in termini di sicurezza
Mancanza di esperienza: mancano conoscenze generali e persone “esperte” nella
sicurezza IoT.
Responsabilità non chiare: la mancanza di una chiara assegnazione delle responsabilità
potrebbe portare ad ambiguità e conflitti in caso di un incidente di sicurezza.
Programmazione insicura: la pressione del "time to market” impone vincoli allo sviluppo
di sicurezza e privacy by design. Le aziende che sviluppano prodotti IoT generalmente
danno maggiore enfasi alla funzionalità e all'usabilità piuttosto che alla sicurezza.

8. 8
ENISA: i rischi di sicurezza per IoT
Frammentazione delle norme e dei regolamenti: l'adozione frammentaria e lenta di
norme e regolamenti per guidare l'adozione delle misure di sicurezza e delle buone
pratiche dell'IoT, nonché il continuo emergere di nuove tecnologie, aumentano
ulteriormente le preoccupazioni circa la sicurezza e la privacy
Ecosistema complesso: i problemi di sicurezza sono esacerbati poiché l'IoT non deve
essere visto come una collezione di dispositivi indipendenti, ma piuttosto come un
ecosistema “unico”.
Sicurezza fisica (safety): molto rilevante nel contesto IoT a causa della presenza di
attuatori che agiscono sul mondo fisico (ad es.: recenti attacchi alla sicurezza informatica
sui veicoli connessi)
Aggiornamenti di sicurezza: l'applicazione degli aggiornamenti di sicurezza a IoT è
estremamente impegnativa e scoraggiante, specialmente considerando gli aggiornamenti
Over-The-Air.
PRIVACY BY DESIGN E BY DEFAULT

9. 9
La governance del 5G
• La governance dell'IoT e del 5G coinvolge questioni tecniche, politiche e
legali. Al momento sembra che la governance sia completamente lasciata
ai “tecnici” (W3C, IAB, ICANN, IRTF, IETF)
• …ma è evidente che il 5G coinvolge interessi collettivi (infrastrutture
critiche, privacy dei cittadini, esercizio della democrazia…)
• In effetti, se una specifica tecnologica genera una conseguenza politica, la
natura dei processi che risultano nella formulazione della tecnologia diventa
rilevante per i valori democratici di una particolare società (vedi Facebook e
Analitica sul comportamento elettorale degli americani). L'esempio più
chiaro è la privacy by design, riconosciuta come un campo di decisioni
tecnico-politiche, che unisce l'esperienza del settore tecnico con l'azione
politica del governo.
• Né la regolamentazione governativa più forte né
l'autoregolamentazione tecnica da sole forniranno le soluzioni

10. 10
Gli USA: interessi collettivi…PPP e ISAC
• AUTOMOTIVE
• AVIATION
• COMMUNICATIONS
• DEFENSE INDUSTRIAL BASE
• DOWNSTREAM NATURAL GAS
• ELECTRICITY
• EMERGENCY MANAGEMENT AND
RESPONSE
• FINANCIAL SERVICES
• HEALTHCARE READY
• INFORMATION TECHNOLOGY
• MARITIME
• MULTI-STATE
• National Defense
• NATIONAL HEALTH
• OIL & NATURAL GAS
• REAL ESTATE
• RESEARCH AND EDUCATION
NETWORK
• RETAIL CYBER INTELLIGENCE
SHARING CENTER
• SURFACE TRANSPORTATION….
• WATER ISAC

11. 11
…e in Italia?...
• Siamo ancora in tempo per “organizzarci” al
meglio, per “fare sistema” come Nazione,
adottando un modello di governance
nazionale efficace che coinvolga tutti gli
stakeholder tecnici, “politici” e regolatori
Sicurezza e Privacy
BY DESIGN E BY DEFAULT

12. 12
Grazie per l’attenzione
Daniele Perucchini
Fondazione ugo Bordoni
dperucchini@fub.it