不知风险 何谈5G
颁布功夫 2021-01-265G作为万物互联的基础信息网络，被称为“网络的网络”和“系统的系统”，支持“高速泛在”和“智慧交互”的全场景化融合创新利用。“5G作为支持经济社会数字化、网络化、智能化转型的关键新型基础设施，在稳投资、促消费、助升级、培植经济发展新动能等方面潜力巨大”。
5G 网络为了可能给产业侧垂直行业和消费者提供ROADS (Real- time, On-Demand, All online, DIY, Social) 的履历，使用了诸如网络职能虚构化（NFV）、用户面和节造面隔离（CUPS）、网络切片（NS）、软件界说网络（SDN）和移动/多接入边缘推算（MEC）之类的技术，构建了端到端可能协同的云化架构，这一架构为在各个环节实现火速、自动化和智能提供了可能。
5G架构由资源&职能层、网络层和服务层组成。如下图所示：
5G架构图
1、资源和职能层中，在 SDN、NFV 等技术支持下，基于物理基础设施实现接入网RAN、传输网络、MEC边缘以及主题网络的云化和可编程化。资源和职能层的另一沉要能力是可编程节造，由SDN 节造器以及底层的转发节点组成，SDN 节造器凭据网络的拓扑以及具体的业务需要天生特定的数据转发蹊径。
5G通过SDN架构实现端到端网络和业务的协同，提升业务的自动开明部署和智能运维能力，同时必要面向高质量的垂直行业客户需要，提供网络资源的隔离以及档次化的网络保险机造，实现时延节造及分段的故障定位职能。
2、网络层的关键职能是跨接入网CloudRAN(华为“利用云沉构无线接入网络”)、MEC和主题网的端到端网络切片。利用SDN、NFV等技术能够在通用网络基础结构之上，将单个物理网络划分为多个虚构网络实现矫捷且可扩大的网络切片。网络切片在逻辑上是隔离的，这种结构能够实现面向服务的网络视图，以服务化的方式为分歧类型的客户群提供可定造化的服务支持，同时很好地满足独立运维的需要。
作为5G承载多种类型垂直业务基础的端到端网络切片之间共享公共资源和组件，例如网络切片选择职能等（NSSF）。网络切片能够分配有单独的网络职能组件，例如接入和移动性治理职能（AMF），会话治理职能（SMF），战术节造职能（PCF）等，就是通过这些职能组件来满足特定网络切片的专用职能。
此表，节造面职能和用户面职能(CPF/UPF)分离简化了5G主题网的基于服务的系统结构Service-Based Architecture（SBA）�＝谠烀娴哪？榛⒆榧陀没娴目杀喑袒沟�5G网络职能的可编排成为可能，能够凭据分歧需要选择相应的节造面 / 用户面职能以实现网络职能的按需配置。网络能力盛开职能（NEF）进行网络能力的抽象及分析或以API的大局盛开给第三方。
5GC的用户面职能（UPF）下沉到靠近基站的边缘MEC，作为MEC的一个网元，掌管将边缘网络的流量分流到MEC，二者在逻辑上UPF与MEC是分离的、松耦合的。在部署上，能够集成部署统一承载，也能够独立部署，重要取决于具体的业务场景的需要。
3、5G支持多种网络利用场景，满足多种业务承载需要，服务层重要实现为分歧的垂直行业提供端到端的服务创建和服务治理能力，同时，按需将网络能力盛开给高质量或有特殊业务要求的客户。
4、架构图右侧展示的重要是5G端到端的协同管控、服务编排以及全性命周期的服务治理和安全保险能力。5G通过盛开和尺度化的北向接口（NBI）来对接上层端到端业务编排系统，共同实现端到端的业务流程自动化服务编排、衔接、监控和治理。
从网络安全方面看，安全能力的服务化编排和可视化管控也应该蕴含在内。当然，有关5G面对的安全风险和解决思路正是本文要探求的话题。
5G面对的威胁和端到端安全挑战
5G 大部门的威胁和挑战与4G 一致，但必要沉点思考新业务、新架构、新技术给5G 网络带来的安全挑战。3GPP SA3 工作组对5G 安全的威胁微风险做了十七个方面的分析，蕴含：安全架构、接入认证、安全高低文、密钥治理、RAN（无线接入网）安全、下一代UE 安全、授权、用户注册信息隐衷�；ぁ⑼缜衅踩⑼缬虬踩踩墒踊�& 安全配置治理、凭证分发、安全的互联互通和演进、幼数据安全、广播/ 多播安全、治理面安全和密码算法的风险分析。
1、基站自身服务可用性面对着表部空口无线信号滋扰和和谈攻击的威胁。
2、5G 主题网的部门网元如统一数据治理（UDM）会处置、保留用户的幼我信息，所以可能面对用户信息泄露和服务可用性攻击的威胁。
3、必要思考网络切片业务服务商的接入认证。
4、在新技术方面，就必要思考量子推算等新技术对传统密码算法的影响。
5、必要思考SDN、NFV、MEC、云和虚构化等面对的安全威胁和挑战。
★ 5G端到端的安全威胁视图
5G网络面对的安全威胁和攻击面随着其盛开性而不休扩大，所以基于业务场景梳理所面对的安全威胁，有针对性的采取安全措施降低风险，收缩攻击面成为5G网络自身及5G+融合发展过程中必要持续解决的问题。重要蕴含如下几方面。
1) 网络的物理结构产生变动，越来越多的利用法式和用例出于本地化推算和超低延长的必要，必要推算和存储更靠近边缘和数据产生的地位，这样会有更多的能力和服务下沉到MEC，增大MEC的露出风险。
2) 5G网络引入了一些新技术、新机造和基于软件的系统结构而随之引入的风险。例如SDN、软件界说接入（SDA/CloudRAN）、软件界说无线电（SDR）、节造面和用户面隔离机造（CUPS），MEC，网络切片（NS）和NFV等，基于服务的、云化的、容器化和虚构化的5G网络架构在更好地支持垂直行业不休增长的新业务需要和新业务场景的同时，也扩大了露出面和攻击面。
3) 逾越接入、边缘和主题的大部门威胁面是由于网络架构越发矫捷并向互联网盛开而引起的。网络能力盛开，多类型更大领域更无数量的设备和用户以及供给商会按需接入网络，甚至会治理和配置5G网络，城市加剧因盛开而带来的风险。
5G端到端威胁视图
★ 产业侧与网络侧融合利用带来的安全挑战
5G作为“新基建”服务于垂直行业并带明天益丰硕的服务，分歧的业务利用场景将拥有分歧的安全性要求。例如，物联网服务涉及复杂的利用法式和数千亿个衔接（到2025年全球预计750亿），同时，物联网设备的推算能力通常较低，电池寿命要求较高。若是选取传统的单用户身份验证方式则很可能会产生高昂的成本开销并可能导致信令风暴，同时也会增长物联网设备在推算和电池方面的职守。再如，车联网（IoV）服务对网络延长和靠得住性要求刻薄，甚至通讯中的安全威胁可能危及性命。
因而，必要出格关注产业侧和5G网络侧相融合而产生的融合安全挑战，这些挑战蕴含但不限于如下几个方面：
1) 产业侧和5G网络侧融合发展中，对满足多个利用场景的统一身份验证框架提出了严格挑战。统一身份认证框架必要满足两侧的网络接见身份验证要求，蕴含终端设备身份验证，用户身份验证，多种身份验证步骤和多种身份验证机造。
2) 降低用户和设备在身份验证、身份治理和数据传输开销等方面的挑战。好比接入时的身份验证机造，服务接见期间的身份验证机造，用户和设备在移动期间的安全高低文（场景）切换机造以及网络节点上的数据加解密机造等。
3) 必要对用户面（UPF）数据提供按需�；さ奶粽�。凭据服务类型、部署方式（与MEC集成或分隔）和安全要求部署相适配的安全�；せ�，好比选取端点加密、轻量级加密算法等机造。
4) 必要满足网络和安全能力均拥有弹性和伸缩性要求的挑战。 例如，当网络水平扩大或收缩时，可能实时启动或终止某些安全职能事俘以满足安全要求。
★ IT/ICT和DT的融合网络架构带来的安全挑战
为了提供更高的舷矫捷性和效能，5G在网络组织上选取多天线技术（MIMO）、网络切片技术（NS）、软件界说网络（SDN）网络职能虚构化（NFV）等，引入边缘推算（MEC）等技术，大大缩短端到端的传输时延，有效提升了利用处置效能。在运营治理上选取大数据和人为智能技术，这些与原有移动网络架构齐全迥异的深刻变动，新技术的引入也给5G网络安全带来了新挑战：
1) 虚构化和开源软件带来的安全挑战。5G网络利用虚构化技术实现了软件和硬件的解耦，网络职能通过软件实现，不再依赖于特殊的通讯硬件平台，在方便矫捷的同时首先必要出格关注虚构化安全风险。其次，网络虚构化使用大量的开源和第三方软件，这增长了引入安全缝隙的可能性。通过SDN架构实现端到端网络和业务的协同，提升业务的自动开明部署和智能运维能力的同时必要格表把稳SDN的安全风险。
2) 网络切片安全。5G网络切片提供差距化的网络服务的同时也带来了新的安全挑战。例如，网络切片内以及切片之间的资源和安全隔离问题，跨网络切片的安全战术调度和用户设备（UE）的身份认证问题，跨网络切片的用户设备（UE）的数据封装问题，网络切片治理器与其指标物理主机平台之间相互的身份认证问题以防事俘化假冒攻击，以及针对网络切片的降维度或降级攻击等。
3) MEC系统平台的安全问题。移动多接入接见边缘推算（MEC）站点通常部署在物理前提相对较差的机房中，也难以复用主题网络侧的安全保险措施，在物理安全保障和网络设备的接见节造方面面对相对较大的风险。在数据安全方面，5G园区专网中企业通常要求数据不出园区，要求MEC部署在园区侧同时确保MEC系统平台中的数据安全。此表，园区侧不安安全攻击可能会从运营商的网络渗入到园区侧，而运营商也以为园区侧网络不成控且不成信，可能会将安全威胁或病毒传布到运营商侧。为了应对这些安全要求和挑战，必须采取安全、细颗粒度的隔离措施，以确保运营商侧网络与园区侧网络之间的相互信赖和通讯，明确双方各自的安全天堑，同时充分利用MEC的优势，确保安全性。
★ 网络能力盛开带来的安全挑战
5G主题网络（CN）的职能架构引入了NEF职能组件，以实现网络能力的盛开性。在南向接口（SBI）方面，NEF与5G主题网中的各类服务网元进行通讯。在北向接口（NBI）方面，NEF将向垂直行业分歧的利用法式职能（AF）盛开API，通过集中式API网关，NEF能够实现5G主题网络职能的统一盛开性。
由于挪用NEF API的AF可能来自诸如Internet之类的表部运营商或垂直行业客户，因而这种盛开性露出的风险可能会对5G主题网络甚至整个5G网络带来严沉的安全威胁。5G主题网络的网元提供服务盛开性并通过API相互挪用所盛开的能力。因而，在5G网络上，必要在主题网络和表部第三方利用法式之间以及主题网络的内部网元NE之间，支持更高和更矫捷的安全职能，以实现安全能力的服务化挪用。
★ 多种接入技术带来的安全挑战
5G网络支持多种接入技术，例如WLAN、LTE、固定网络和新的5G无线接入技术（RAT），分歧的接入技术拥有分歧的安全要求和身份验证机造。另表，用户能够拥有多个终端，并且一个终端能够支持多种接入步骤。当终端在分歧的接入方式之间切换时，或者用户在分歧的终端上使用一样的服务时，必要进行急剧认证，以保障服务的陆续性，从而获得更好的用户履历。
因而，5G网络必要成立统一的认证框架，构建一个统一的身份治理系统，以集成分歧的接入认证步骤和身份验证步骤，并优化现有的安全认证和谈，以提高在异构网络之间切换终端的安全认证效能，确保用户在终端或接入方式之间切换的业务陆续性。
★ 数据和用户隐衷面对的安全挑战
5G网络上服务和场景的多样性以及网络的盛开性增长了用户和设备（UE）隐衷信息被泄露的风险。 例如，在5G+智能医疗场景中，有关患者的机密信息（例如病历、处方、医治步骤和医治打算等）在网络、存储、传输和使用过程中有被泄漏或篡改的风险�；蛘咴�5G+智能交通场景中，有关车辆地位和驾驶轨迹之类的个人信息也可能被泄漏，并被犯法追踪和使用。因而，对5G网络的用户隐衷�；ず褪莅踩岢隽烁叩囊�。 重要的安全威胁如下：
1) 5G网络是拥有多种接入技术的异构网络，用户隐衷和数据分散在网络的职能实体上，数据挖掘技术使第三方可能汇聚和分析分散的个人数据并获得更多个人用户信息。
2) 5G网络必要优化和纠正4G网络上的国际移动用户身份（IMSI）缝隙，并使用加强的安全机造来�；び没矸菝庠庑孤�，同时预防对用户进行降维攻击。
3) 网络攻击者还能够通过使用UE位相信息或空中接口数据包的陆续性来跟踪和攻击UE。 因而，5G中用户设备（UE）的地位隐衷数据面对泄露和被跟踪的安全威胁。
4) 5G网络必要在接入技术和运营商之间切换时充分思考用户数据面对的隐衷露出风险，并造订涵盖用户身份，地位和接见服务的全面隐衷�；ふ绞�。
京公网安备11010802024551号