28 大唐无线移动创新中心标准部泛在网络室主任徐晖：5G网络面临的安全挑战和应对

大唐无线移动创新中心标准部泛在网络室主任徐晖：5G网络面临的安全挑战和应对

　　各位领导，各位专家，上午好，今天很荣幸有这个机会在这里向大家分享一些我们关于5G安全的想法和考虑。

　　首先5G网络可以提供更高的传输速率，可以为很多行业用户提供高可靠、低时延的业务，同时针对这种超高连接密度的场景也做了很多的研究，可以为用户、消费者提供类似于VR、AR等这些移动互联网的业务。同时5G网络也深入渗透到物联网的领域，与工业设备、医疗器械以及交通工具进行了一些深度的融合，为全面实现万物互联也为垂直行业提供信息化的服务。同时在这个网络架构中提出了面向服务的体系架构，也实现了很多类似于网络切片、CU分离、网络功能重构等新网络的特点，面对这些新的技术、新的场景以及新的业务等。

　　针对5G安全，它会面临什么样的挑战，5G安全主要面临四方面的挑战。第一个挑战来自于新的商业模式和可信模型的挑战，首先我们在以往的移动通信系统里，它的可信的模型很简单，就是用户和运营商这种二元的关系。但是在5G网络中，随着新业务的不断涌现，包括物联网业务以及低时延高可靠这些第三方业务的涌现，未来在5G网络里除了网络运营商之外可能还会出现新的业务提供商，使业务模型和商用模型发生变化，由原来的二元的一对一的方式变成了一对多的方式，使5G安全的前提假设发生了变化。在这种变化下，我们如何面对一个终端可能不是运营商部署的，而由业务提供商部署，这种情况下我们怎么设计5G的安全呢。另外一个面临的挑战，新的业务传输方式发生了变化，在以前的网络里控制面和数据面是合一的，在5G的网络里引入了NFV、SDN，整个用户面和数据面完全分离，同时也引入了虚拟化的技术。以前我们考虑安全的时候，认为在运营商机房里的这些设备是安全的，但是在5G里，由于引入了虚拟化的技术，他现在可能就会认为在一个安全的物理位置上，但是会面临新的安全威胁，已经变得不安全了。在这种情况下，5G安全最开始的一些假设也发生了变化。同时在5G网络里，5G引入了大量各种各样的形态终端以及各种各样新的业务。例如工业互联网有很多工厂的设备进来，同时也有很多工厂的类似于工业以太网或者一些车联网的车内网等，新的网络形态和新的设备也引入到了5G网络中。由于那些网络和设备带来的复杂的动态的安全威胁，也对5G网络安全提出了很大的挑战。另外一个是隐私，在5G里，我们除了说要保护类似签约用户标识的隐私安全性之外，还要更多的提出针对业务的安全，针对用户隐私的安全。

　　针对上面讲的这些安全威胁，怎么保证5G网络。我们通过思考和分析，提出5G安全的三要素，要实现5G网络的安全需要实现可信的身份、可信的网络和可信的实体。其中可信的身份主要是构建现实空间和虚拟空间身份可信的映射。在以前主要是人和人之间的通信，这样可以通过类似于网络实名制、用户实名制来保证真实空间和网络空间身份的映射。但是在5G里未来会有更多的设备，很多的物可能遍布在各个地方。在虚拟空间的这些物体现的这些信息来源怎么和真实空间的温度传感器进行对应，这可能是在5G中一个比较大的问题。只有把这两者现实空间和网络空间的身份进行一个可靠的映射，这样才能够溯源到真正的用户，使用户对他的网络行为进行一个负责。另外可信网络主要是提供所需即所得的安全服务、网络通信和安全应用的服务，可以通过网络切片等，为用户配置可信的网络通信的安全服务。在5G里由于引入了虚拟化的技术，这些安全实体怎么做到可信，构架一个安全的5G的基础设施，实体内建一些免疫机制，主动防御木马和病毒的攻击，保证5G基础设施安全也是5G安全里一个重要的组成部分。

　　怎么实现5G安全的三要素，要构建一个灵活的安全架构，也要为不同的接入类型构架一个统一的认证框架，同时研究虚拟运营商的安全以及安全防护措施技术，来保证5G网络基础设施的安全，同时也要研究身份的可信映射，包括工业互联网的身份标识体系以及国家提出的EID的身份标识的体系如何和5G结合，真正做到5G身份的可信也是未来在5G中一个研究的方向。另外大家提了很多的隐私，如何在5G里去增强隐私保护。

　　5G如何提供安全可信的网络，主要是通过网络切片来实现。这个网络切片其实是5G新提出来的一个概念，实现了一个逻辑架构可以衍生出多个网络组网方式的网络形态。目前来说，3GPP主要是定义了这三个切片，包括eMBB的切片、mIoT的切片和低时延高可靠的切片。但我们认为粗粒度的切片并不能满足5G的需要，垂直行业通过跟运营商建立某些信任关系之后，运营商会为垂直行业配置一个切片，在这个节片里应该是完全由垂直行业或者第三方完全来控制的，他可以根据自己的业务需求，包括他所处的场景以及安全需求，再去进行二次切片或者进行更细粒度的切片。在网络切片的安全里，除了刚才红梅介绍了很多像切片的隔离，包括一些切片的安全管理之外，我们觉得把切片的安全管理能力完全由第三方掌控，可能是一个比较重要的方向，例如整个切片的安全策略是完全独立的，不同的切片是完全不一样的。另外，数据的完整性保护，亲密性保护，以及切片的这种加密算法，应该是可以配置的，可以完全由第三方根据业务和场景的需要进行配置。另外，UE除了接入网络的时候，网络进行认证之外，它在进行切片的时候，还是应该到第三方进行一个认证和授权。

　　在这个需求下，我们提出了网络切片安全的概念，在切片1和切片2是完全属于不同的垂直行业，这时候当UE想接入到切片1的时候，切片1的SMF可能到第三方去进行授权，看出是不是允许UE接入这个切片。同时SMF和第三方的授权系统去协商所需要的安全的算法，以及这个切片内的这些完整性和机密性保护的根密钥完全由第三方把这个密钥配置下来，这样切片1和切片2之间的密钥完全是不同的，它的密码算法可能也不一样，密钥长度包括根密钥，所有的东西都不一样。而在现有的3GPP，大家在phase 1的阶段可能认为在切片里面进行数据保护的密钥是由UE或者运营商保存的那个根密钥一步一步衍生出来的，这样可能导致的结果是切片1和切片2之间产生数据保护的密钥其实还是有关联的。由第三方配置密钥，可以保证使切片之间的密钥完全不一样，更有利于实现切片之间的隔离，保证切片的安全。

　　另外在5G中，我们认为可能跟4G还有一个地方不太一样的就是授权，在4G中认证和授权是在一起的，大家认证的时候用户UE允许接入网络，同时网络可以从签约数据里读取很多数据，同时告诉UE说你是不是可以使用这个业务。但是在5G里本身认证和授权就是两个完全不一样的事情，认证是对用户身份的鉴别，你这个用户身份是不是有效的、是不是合法的。但是授权其实是说你这个用户是不是允许使用这个业务或者说你这个用户使用这个业务，他的一些业务策略，可能跟PCC的策略类似。例如说你这用户可以用什么样的QoS参数，用多大的带宽等。当然也有一些跟安全相关的策略，例如我的隐私策略，我这些业务是不是允许别人去检查也有一些安全的策略。在5G里，由于第三方业务的引入，很多业务就用原来这种特别粗粒度的管理已经不太适合5G的需求，同时由原来的那种集中式的授权方式，可能也不是很适合5G的需求。因为在5G里有很多MEC的业务，包括车联网的业务，很多业务处理能力已经慢慢地从核心网这种集中的处理向边缘扩展，例如在MEC上已经有了一些业务的处理能力。我们认为集中式的授权已经不适合5G的这种网络架构和网络业务的需求。另外原来这种特别粗粒度的时候是不是允许使用这种业务，我理解也已经不能满足5G的业务需求。我们提出在5G里授权应该是这种多域的，不仅是运营商可以对业务进行控制，第三方也可以对业务进行控制。另外是一个动态授权，可能会根据业务需求或者场景的不一样，会产生不同的业务策略。另外它的授权可能会被核心网下放到边缘，因此我们提出了分布式的授权体系，一个是PEP，另外一个是策略的决策点，还有策略的检索点还有策略的信息点。这个策略是类似一个授权的框架，它可以根据业务场景和业务的需求进行灵活的配置和部署。对于MEC业务，这时候可以进行分布式部署，可以把PDP下移到MEC的网络控制功能这个地方，实现网络策略的分布式部署。

　　安全凭证的类型也由以前4G网络的根密钥扩展了很多，它可以引入非3GPP的安全凭证，例如工业互联网的安全、他的非对称的证书等，这些都属于非3GPP的安全凭证。同时在未来，设备的部署并不是由运营商部署的，而是由很多第三方的业务提供商部署的，部署之前不太可能说我先要到运营商那把挨个的设备都事先去放一个根密钥。在这种情况下，他可能就需要安全凭证远程配置的功能。这个其实跟刚才红梅讲得很类似，我就不再细讲了。未来他可以用第三方安全凭证的服务器，通过对称或者非对称密钥的形式，远程配置给物联网的终端。同时还有一种场景，在某些情况下，可能某一个运营商的网络出现了问题，这时候这些物联网的设备需要采用另外一个运营商的网络来进行通信。在这种情况下也不太可能先去一个地方把那些设备都收回来，然后再去改运营商的配置，换另外一个运营商的SIM卡，来实现换运营商网络。这个方案也可以用于换运营商网络的安全凭证更改的过程。

　　关于隐私，在5G里隐私包括了两部分内容，一部分是签约的隐私，签约标识隐私主要是针对IMSI的保护，IMSI暴露给第三方或者暴露给伪基站，在5G里需要对这种漏洞进行补充，需要更加完善这种IMSI的保护机制。例如可以用公钥的方式保护第一条IMSI的传输等。除了签约隐私之外，还有另外一部分是用户业务的隐私，针对用户的隐私，例如在车联网里，用车辆的轨迹是不应该被其他的人跟踪到的，这些是不应该被网络实体得到。大家说这是通过物联网业务和车联网业务来保证的，但其实它和5G安全也是有密切的关系。

　　随着网络技术不断的进步，有很多新的安全技术不断涌现，例如区块链技术和物联网技术进行结合，可以为5G的安全提供更高效的保证。另外这种可信计算可以使网络的设备、网络的实体更加可信，包括一些身份管理的技术，未来都应该是在5G的范畴下进行进一步的研究。我们会不断努力去建设一个安全可靠的5G网络。