Belajar Telecom Engineer - Telecom Security (Sec-GW, 5G Sec)

#Pendahuluan

Setelah di episode 17 kita mendesain konektivitas untuk miliaran perangkat IoT, kini kita bicarakan lapisan yang menentukan kepercayaan publik terhadap seluruh sistem ini: keamanan jaringan telecom. Jaringan telecom bukan sekadar infrastruktur komersial — ia adalah infrastruktur kritis nasional; gangguannya berdampak ke layanan darurat, perbankan, hingga pemerintahan.

Mengapa episode ini wajib untuk semua spesialisasi? Karena ancaman sudah berpindah: dulu penyadap radio analog, kini serangan datang lewat IP — backhaul, core, bahkan rantai pasok software. Engineer transport, RF, maupun cloud sama-sama berada di garis depan. Kabar baiknya 5G punya arsitektur keamanan paling matang dalam sejarah telecom — asalkan dikonfigurasi benar.

#Arsitektur Keamanan 5G: Perbaikan Besar dari LTE

5G memperbaiki dua kelemahan fatal LTE:

#Identitas Tersembunyi (SUCI)

Di LTE, IMSI dikirim plaintext saat attach — bisa dipotret oleh IMSI catcher murah. 5G menggantinya dengan SUCI (Subscription Concealed Identifier): IMSI dienkripsi dengan public key operator (ECIES) sebelum keluar dari perangkat. Hanya UDM dengan private key yang bisa membukanya.

SUPI : identitas sejati (IMSI/nama)      → rahasia
SUCI : SUPI terenkripsi ECIES            → yang dikirim over-the-air

#Kriptografi Lebih Kuat

Kumpulan algoritma NEA/NIA (encryption/integrity) dengan kunci 256-bit, key hierarchy yang memisahkan kunci per-domain (kunci udara ≠ kunci N2 ≠ kunci user plane), dan autentikasi 5G-AKA atau EAP-AKA'.

#NDS/IP: Mengamankan Signaling Antar Elemen

Di dalam jaringan, signaling antar fungsi (N2 NGAP, N4 PFCP, interface roaming) dilindungi kerangka NDS/IP (Network Domain Security): IPsec ESP + IKEv2 dengan PKI internal operator. Titik-titik yang wajib diamankan:

#SecGW: Penjaga Gerbang Backhaul

SecGW (Security Gateway) adalah titik terminasi IPsec di tepi core untuk ribuan tunnel dari site RAN. Pola desainnya:

Praktik penting operasional SecGW:

1. Autentikasi sertifikat, bukan pre-shared key — ribuan site dengan PSK identik adalah bom waktu.
2. Anti-replay & fragment handling: backhaul microwave menghasilkan fragmentasi tinggi; tuning MTU/MSS agar tunnel tak drop paket.
3. Capacity planning: tiap tunnel butuh CPU crypto — hitung jumlah site per SecGW dan rencanakan redundancy aktif-aktif.
4. Certificate lifecycle: sertifikat site kedaluwarsa secara massal = outage massal. Otomasi rotasi via NETCONF (episode 15).

Verifikasi tunnel di sisi site:

show vpn ike status | head -5
show vpn ipsec sa | include Site|Encrypt
ping -c 3 -I <ipsec-if> <amf-ip>     # uji jalur terlindungi

#Keamanan IMS dan Suara

Suara punya permukaan serangannya sendiri:

• IMS AKA + IPSec: UE dan P-CSCF membangun SA terenkripsi untuk semua signaling SIP (Gm).
• SRTP untuk media bila dinegosiasikan.
• SBC (episode 8) sebagai enforcement: rate limit INVITE, filter malformed, topology hiding.
• SS7/Diameter firewall: warisan protokol interconnect masih rentan location tracking & fraud — modernisasi ke SIGTRAN filtering + analytics.

Fraud klasik yang harus dipahami engineer (bukan cuma tim revenue): IRSF (International Revenue Share Fraud), Wangiri (missed call premium), dan SIM swap abuse. Deteksi mereka adalah kombinasi CDR analytics + enforcement di edge.

#Praktik: Security Assessment Lab Sendiri

Mari kita audit environment Open5GS kita — latihan yang membuat konsep jadi nyata.

#Langkah 1 — Petakan permukaan serangan

sudo ss -tulpn | grep open5gs
sudo ss -ulnp | grep -E '38412|2152'   # SCTP NGAP & GTP-U

Pertanyaan audit: apakah port NGAP/SCTP dan GTP-U hanya dapat dicapai dari subnet gNB yang sah? Di produksi, jawabannya harus ya via ACL/VRF.

#Langkah 2 — Uji kontrol akses

# Dari host yang BUKAN subnet gNB resmi:
./nr-gnb -c config/gnb-fake.yaml        # gunakan tac/plmn salah
journalctl -u open5gs-amfd -n 20 | grep -i reject

Jika AMF menerima setup dari siapa saja — temuan kritikal. Perbaikan: whitelist IP/TAC di AMF + ACL jaringan.

#Langkah 3 — Cek kriptografi

grep -R "security" /etc/open5gs/*.yaml | grep -i order
openssl s_client -connect 127.0.0.10:7777 </dev/null 2>/dev/null | grep Protocol

Pastikan urutan integrity/cipher tidak memimpin dengan NIA0/NEA0 di produksi, dan trafik SBI lintas-host menggunakan TLS.

#Incident Response Telecom

Saat insiden terjadi (misal DDoS ke PGW atau gNB rogue), urutan tindakan:

1. Isolate: ACL cepat ke sumber serangan; jangan restart massal yang memutus pelanggan sehat.
2. Preserve: simpan pcap, log NF, counter — bukti forensik mudah hilang setelah rotate.
3. Communicate: NOC → security team → regulator bila wajib (infrastruktur kritis).
4. Eradicate & recover: patch/blokir permanen, pulihkan layanan bertahap.
5. Learn: RCA tertulis + update runbook otomatis.

#Common Pitfalls

• "Internal network aman" mindset: serangan masuk lewat backhaul rentan, supply chain, atau insider — klaim internal-only tanpa kontrol teknis tidak bernilai.
• Roaming sebagai pintu belakang: filtering Diameter/SS7 dari partner internasional sering tertinggal saat onboarding baru.
• Sertifikat tanpa lifecycle: PKI dibangun indah, lalu kedaluwarsa massal karena tak ada inventaris & alert expiry.

#Penutup

Inti yang harus dibawa pulang:

• 5G memperbaiki fondasi: SUCI menyembunyikan identitas, kunci 256-bit, key hierarchy terpisah — tapi efektivitasnya bergantung policy.
• NDS/IP + SecGW melindungi signaling & backhaul; sertifikat + capacity planning adalah pekerjaan harian.
• IMS dan interconnect (SS7/Diameter) punya permukaan serangan spesifik dengan mitigasinya masing-masing.
• Kalian sudah melakukan assessment lima-kotak pada lab sendiri — metode yang langsung bisa dipakai di produksi.

Di episode 19 kita naik dari teknologi ke aturan mainnya: regulatory & spectrum management — lisensi, alokasi spektrum, dan kebijakan interkoneksi. Sampai jumpa!