27 IMT-2020(5G)推进组安全研究负责人：杨红梅《5G网络安全需求与架构》白皮书发布

主题6：5G安全技术架构

主持人：中国移动研究院网络所所长 段晓东

IMT-2020(5G)推进组安全研究负责人杨红梅:《5G网络安全需求与架构》白皮书发布

　　各位来宾，各位朋友，大家早上好，非常荣幸能有机会在这里代表推进组来发布白皮书，接下来我要发布的这本白皮书的名称叫《5G网络安全需求与架构》白皮书。

　　在这本白皮书里我们主要提出了两大方面的内容，第一方面是提出了五个新的5G网络引入的安全挑战和需求，分别是新的业务场景，前面一天的交流大家也看到，5G网络里面会跟垂直行业、物联网技术深度融合，所以我们会有多种多样的新的业务场景涌现出来。第二个挑战和需求是新的技术和新的特征的引入，再一个是新的商业模式，以及多种多样的接入技术和设备的形态，最后一个是关于5G网络更加增强的一个隐私安全保护的需求。为了满足和支持五大新的挑战和需求，我们在白皮书里提出来了5G网络安全需要考虑到的六大新的能力，分别是统一的认证框架、多层级的切片安全、按需的安全保护、多种多样的安全凭证的管理机制，再一个是需要有开放的安全能力，另外是灵活的隐私保护，针对这两个部分我下面会逐一给大家介绍一下。

　　这是5G网络引入之后我们在白皮书里提出来的五各大的安全挑战和需求。第一个是新的业务场景，正如大家比较熟悉的5G网络里常提到的三类新的业务，eMBB增强移动宽带、mMTC还有uRLLC，这三种新的业务场景对我们5G网络的安全提出一些新的需求，原有的传统网络安全的机制已经不能满足这些新的场景的需求。比如说增强移动宽带这种业务，它就需要对我们已有的LTE的安全机制进行增强和扩充，才能满足这种超高的宽带的要求。mMTC特点是海量的物联网连接。再一个是物联网设备能力千差万别，对安全提出的需求是需要我们降低安全、认证以及身份认证所带来的这种安全处理的成本。另外我们还需要能够保证它具有比较高的能量消耗的效率，在mMTC这种业务场景里采用比较轻量化的安全的机制，或者是我们要采用一些比较简单高效的安全协议，来保证mMTC在安全方面不要增加过多的能量消耗。还有一个业务场景是超可靠低时延，需要非常低的端到端的时延要求，除了通常通信带来的时延之外，在安全方面的角度，由于安全的处理引入的时延，我们要尽量优化和减少。比如我们在接入认证的环节或者是用户的数据在网络中传输安全处理的环节，以及安全的上下文进行切换等各个环节，带来的时延我们都需要尽量减少，才能够保证总的端到端时延能够满足超可靠低时延的需求。第二个，新的技术和新的特征，在5G网络里会引入一些因为网络架构成了面向服务化的架构，引入一些新的技术，比较典型的技术有SDN/NFV和网络切片，对于NFV来讲，它的典型特点是软硬件解耦，大量通用的服务器分散到5G网络当中之后，我们就需要在安全的角度来保证考虑网络基础设施的安全，这是NFV带来的新的安全的需求。对于SDN技术来讲，我们在网络中部署了SDN技术之后，需要考虑对于SDN控制器以及它所对应的前转节点的安全的隔离。另外还有SDN流表，我们需要能够安全地部署在网络中，并且能够保证它可靠的执行。还有一个新的技术是网络切片，对于网络切片的引入，它对于我们5G网络的安全也提出了新的需求，比如我们需要各个不同的切片之间能够保证它安全的隔离，另外组成每一个切片的虚拟网络的安全也需要我们在5G安全的架构设计里考虑到。下面是关于新的商业模式带来的安全需求，新的商业模式大家知道海量的没有人管理的设备接入到5G网络中之后，还有一些新的垂直行业各种各样新的业务引入之后，原有的传统的一个用户一个终端对应一个运营商的网络系统这种简单的认证机制已经不能满足新的商业模式的需求，所以我们需要对原有的商业模式进行新的可信的机制进行变革。再一个，我们需要对第三方的业务提供商以及垂直行业的业务提供商和运营商之间建立一个可信的连接，这样方便引入更多的多样化的不同于传统业务的新的业务。在5G网络里，从前面的架构中可以看出各种各样的接入技术，包括WLAN、LTE、5G网等，我们需要考虑在5G网络安全里构建一个统一的认证架构。另外，5G网络里多种多样的设备种类、设备形态，它们所能够支持的设备的标识以及认证安全的凭证也都是不同的，我们也需要在5G安全里考虑构建一个统一的身份管理的体系。最后一个是增强的隐私安全保护，在5G网络里，前面也有人介绍到，5G网络里可能会有智能交通、智能医疗等等这些新的业务的引入，他们对于隐私保护的需求就比传统网络更强，比如辅助驾驶，它的一些隐私的信息可能会直接关系到这个人的生命安全。所以我们在5G安全里需要重点考虑的一个方面也是需要增强的隐私保护的机制，来保护用户的身份标识、他的位置信息以及他所使用的业务的情况，这些都是需要进行保护的。另外还有一块需要提到，在LTE网络里曾经暴露过LTE网络里用户的隐私可能存在泄露风险的问题，在5G的网络安全架构设计的时候，我们需要考虑到防止攻击者把5G用户引入到LTE网络的接入方式中来，从而利用LTE的漏洞来对用户的隐私信息进行攻击。这是整个5G网络安全目前在我们白皮书里提到的五大挑战和需求。

　　基于这五大挑战和需求，为了满足5G网络里新出现的需求和挑战，我们提出来了七个大的总体的安全需要完成的目标，分为两大类，一类是满足多种多样的业务场景，需要达到的目标是我们要构建统一的认证框架，按需的用户面的安全保护。另外是灵活的隐私保护，这个是我们5G网络安全架构出来以后需要达到的三个和场景相关的目标。另外是核心的技术，相关的目标是我们需要构建对于基础设施的安全以及SDN控制器的安全，还有网络切片的安全，以及网络能力开放，这四大目标。总的来讲，5G网络安全我们需要完成的是这七个安全相关的目标。

　　基于这七个目标，我们需要通过5G网络架构的设计来满足前面的挑战和需求，达到前面的目标。我们的5G安全架构目前在白皮书里面涉及到的架构是这样的，大家可以看到非常明显的两个部分，用户面的安全和控制面的安全，在5G网络里面都会被关注。我们把整个的5G网络分成八个域，这里面可以看到八个数字，还有两个是体现不出来的。第一个域保护的接入域的安全，用来应对访问层的安全风险。在用户面我们会有UE和无线接入网之间的安全通路，UE和核心网之间也一条通路，这两条绿色的线是用来保证用户和无线网络以及核心网之间的用户的数据安全，一般通过加密性保护或者完整性保护或者两个都用。对于控制面来讲我们也有安全链路的考虑，比如UE和切片之间，UE和服务网络公共节点之间，UE和无线接入网之间，整个绿色的域是第一个域，接入域的安全。需要提一下，对于用户面的接入域的安全也是在我们5G网络里新增的。第二个域是关于网络域的安全，主要是为保证网络里各个网元之间能够相互安全地交换他们的信令和数据。第三个域是关于红色的线，叫首次认证和RAN管理，用户和核心网之间，我们需要通过双方的安全凭证来进行相互认证，这块体现我前面提到的统一的认证架构。无线网不论你用什么技术，我们都是通过第三个红线的域来保证能够有一个首次的认证。认证成功以后，用户的数据安全是通过密钥的管理体系来实现的。第四个域是紫红色的线，UE和外部业务提供方的认证，比较常见的是外部的第三方的业务提供方的业务的授权是通过这个安全链路来实现。第五个域，安全能力开放，主要解决两个方面的问题：一方面是我们网络域可以把我们网络的安全能力开放给第三方，让他把这个能力融入到他自己的业务生态环境当中去，这样他可以提供给用户，增强用户黏性，同时也可以扩展运营商的业务收入来源；另一个方向，我们网络侧也可以通过这个开放的接口，把业务提供商的安全的需求了解到，从而来制定出按需的用户面的安全保护策略。第六个是用户和业务提供方之间的应用域的安全，通过这条安全链路来保证用户和业务提供方之间他们的数据和信令安全传输。第七个域没有画，不同的切片之间的安全也是我们需要重点考虑的，将来不同的业务用不同的切片来提供，不同切片之间的安全是通过切片的安全隔离来保证的。不同的切片享用不同的独立的物理资源，保证他们之间互相不会干扰，一个异常之后不会影响其他切片的正常运行。整个网络架构里我们需要满足它的可视化和可配置化的安全的域，我们的用户可以感受到我的安全特性有没有被执行，以及有没有保证我业务安全的提供和安全的执行，这是第八个域。整个安全的架构在我们本阶段的白皮书里面是一个逻辑的架构，后续我们还会继续研究对这种逻辑架构如何来进行落地。

　　下面逐一介绍一下前面提到的六个大的5G网络安全需要支持的能力。

　　第一个是统一的认证框架，刚才我也提到了，我们会有多种多样的接入技术，在统一的认证框架下都会通过统一的接入管理设备以及认证设备，来统一进行接入和认证。另外我们在5G网络里运营商可能会允许垂直行业，他们的设备形态比较多样化，可能会有一些专用的认证机制，如果他们来接入，接入到我们的统一框架里就会比较容易实现。我们通过统一的认证框架可以构建一个比较灵活的、高效的、互相认证的体系以及一个统一的密钥管理的体系，从而使运营商降低投资以及运营的成本。如果5G网络将来还会引入更多新的业务，接入到这个统一框架里会非常容易实现。

　　第二个提到的5G网络安全需要支持的能力是多层级的切片安全。我们分成三个层级，第一个是UE，就是用户和切片之间的安全，这个安全我们用来应对访问域安全的一些威胁，我们实现的方式是UE和接入管理的系统来进行认证，只有接入管理系统认证为UE是一个合法用户的时候才能接入到切片当中来，从而保证这个域的安全。另外还有一个域是粉色的，切片内的NF网络功能与切片外的NF之间的安全域的保证。这个安全我们又分三种情况，一种是切片内的NF和切片外的共享的NF他们之间的安全。他们之间的安全是通过这种方式，每一个切片内的NF可以通过访问控制策略来设置我可以访问哪些外部的公共的网元NF，以及哪些外部的NF可以访问我，通过这样的方式来保证切片内的NF和切片外的NF的安全。还有一种是切片内的NF和切片外的公共设备之间的安全，这种安全我们可以通过设置防火墙的方式来保证它的安全，如果是在切片外放防火墙可以放物理的防火墙，如果在切片内放可以放虚拟化的防火墙。还有不同切片之间，切片A和切片B的保护，我们是通过相互隔离来完成的。第三个层级是不同的NF之间，通过相互的认证来安全的保护，认证通过之后可以建立一个安全的加密隧道，来保证两个NF之间能够安全地进行信令和数据的交换。

　　第三个是按需的安全保护，5G网络里多样化的业务需求，比如智能交通、智能医疗、电力等，我们都可能在统一的5G网络中来体现。对于不同的业务，他们对用户面的安全保护的需求也是千差万别的，有的可能影响到生命安全，有的就是有一点问题。我们需要针对不同的需求给他们提供不同程度和不同范围的安全保护的服务。我们通常在5G网络安全里考虑用两种策略来保证，一种策略是给他们提供不同的用户面的安全保护的终结点，有的就终结点到无线接入网就可以了，有的业务还需要保护到核心网，这是终结点，我们可以选择不同的。还有一种方式是采用不同的加密和安全完整性保护的机制，比如说我们选择不同的算法，选择不同的密钥的长度，或者选择不同的密钥更新的周期，来保证给这种不同的需求提供差异化的安全保护的服务，这是按需的安全保护的能力。

　　第四个是安全能力开放，左边和右边是通过网络能力开放可以开放给第三方，中间这部分是我们从安全的角度提出来的，对于安全的能力，网络的认证授权等等安全能力，通过安全的API接口开放给第三方，这样来保证网络的安全能力能够让第三方业务去享用。通常来讲，就是我们5G网络安全开放的能力，比如可以把接入认证的安全开放给第三方业务的业务访问认证。

　　第五个是关于多种多样的安全凭证的管理机制。大家知道我们现在经常用的这种安全凭证管理机制分为两种，一种是对称的安全凭证管理，一种是非对称的安全凭证管理。在5G网络里有海量的接入物联网的业务的出现，我们可能对于安全凭证支持的情况终端也都不太一样，所以可能会出现多样的安全凭证的管理机制来支撑新的需求。对于这种对称的安全凭证管理的类型，大家要熟悉我们传统网络3G、4G网络里用的，终端这边有密钥，网络侧有密钥，双方进行互相认证，这就是典型的对称型的安全凭证的管理机制，它比较适用于集中化的用户管理的场景。对于我们引入的大量的非对称的、海量的接入情况，如果我们还用这种集中化的管理，很有可能会造成比如说进行授权的网络侧的中心节点造成信令风暴的风险，所以我们引入了非对称的安全凭证的管理机制。通过这种机制，可以缩短认证链条，同时更快、更安全地让物联网接入到网络当中去，可以降低硬开销。密钥分发等流程，通过虚线、离线的时候，已经下发到网络边缘的各个认证节点里去，真正用户去认证的时候就不需要到网络节点中来交互信息，而是只要通过这个实线，用户和分布在网络边缘的边缘认证节点之间进行交互就可以了，这样就有效防止了对网络中间部署的集中的认证中心的信令的冲击。这是非对称的安全凭证管理的机制。

　　第六个是我们要支持灵活的隐私保护。前面我也提到，因为我们各种各样的应用，用户的隐私信息也越来越重要，因为我们5G网络引入新的技术、一些开放平台，导致用户的隐私信息从原来相对比较封闭的平台上可以转移到5G网络较为开放的平台当中去，增加了泄露的风险。另外用户隐私的关注度，它的重要性也会较之传统网络有一些提升。所以我们需要通过增强的按需的隐私保护能力，来为用户提供增强的隐私保护服务。首先我们需要对用户的标识进行保护，包括临时的身份标识、永久的身份标识以及设备标识还有网络切片的标识等。再一个是用户的位置信息和轨迹信息也是我们需要考虑进行保护的一个隐私信息。另外，用户使用业务的具体细节的信息，也会被通过大数据分析等方式被一些非法的或者攻击者通过数据挖掘技术来进行挖掘分析。所以我们第六个能力是要提供对于隐私保护安全的机制。我们基本上通过几种隐私保护技术，比如对于身份标识的保护、对机密性保护、完整性保护还有匿名化技术，来达到为用户保护身份标识的能力。还有通过可视化和可配置化的技术，来达到用户能够配置自己的隐私的偏好的保护需求。再一个，我们可以通过大数据分析相关的技术来防止用户使用业务的信息等暴露在网络中的信息被一些攻击者利用，去挖掘分析他们的隐私信息。这是我们在5G网络安全里需要侧重考虑的关于隐私保护的相关的能力。

　　基于此，这六个5G网络安全需要支持的能力就介绍到这，我们后续的工作针对这几个能力，看看如何通过具体的网元、具体的设备来实现，以便它能够落地。

　　下面我再介绍一下推进组对于5G网络安全标准化方面相关的工作考虑。国际上的安全相关的研究组织来讲，主要是3GPP SA3他来聚焦网络安全。他的计划是在2018年年中来完成phase 1，第二阶段是在2019年年底完成。对于我们IMT-2020（5G）推进组来讲，我们的工作计划是和3GPP基本上保持一致。在今年也就是基于现在之前，我们一直做的是基于5G网络安全需求和架构的研究，接下来我们会更多考虑5G安全架构具体的设计和相关功能落地的情况。另外在国际上还有一些其他的国际组织也在研究5G相关的安全考虑，我们也会进行跟踪和研究。

　　最后给出一个结论，在我们整个5G安全需求与架构白皮书里面，我们提出来5G网络的安全和需求还是多样化和具有挑战性的。第二，我们5G网络安全架构需要能够满足上述提到的5G安全的挑战和需求。再一个，刚才讲到的六大能力，统一的认证框架、多样化的多层级的切片的安全、按需的安全保护、开放的安全能力以及多种多样的安全凭证的管理机制，还有灵活的隐私保护，这些安全能力是应该在5G网络安全架构里支持的六大能力。最后介绍一下我们推进组在5G安全第二阶段想要重点推进的工作，包括切片安全、安全能力开放，以及将来256bit密钥长度算法。这是我们IMT-2020（5G）推进组安全子组下一步将要研究的重点。

　　最后感谢与我们共同起草白皮书相单位，中国信通院、中国移动、中国联通、中国电信、华为、大唐电信、诺基亚贝尔、中兴、信威通信还有信息工程大学。另外想说一下我们IMT-2020推进组希望接下来能继续跟业界合作伙伴们一起在5G安全相关的领域里，在国际、国内标准化推进工作以及产业发展的推动工作里面，继续贡献我们的力量。我的演讲就到这，谢谢大家。