5G移動終端安全關鍵技術研究

霄，侯玉華5G移動終端安全關鍵技術研究本期專題MonthlyTopic5G移動終端安全關鍵技術研究齊霄，侯玉華(中訊郵電咨詢設計院有限公司，北京100044)摘要：首先分析了5G時代移動終端和移動通信面臨的主要安全風險，進而對目前主流的終端安全技術如系統(tǒng)隔離技術和虛擬專網(wǎng)技術的現(xiàn)狀和不足進行了總結。提出了滿足高安全移動通信和移動辦公要求的終端安全解決方案，包括基于硬件的系統(tǒng)隔離、門衛(wèi)式內網(wǎng)VPN接入和系統(tǒng)間安全通信方案3個組成部分，系、數(shù)據(jù)和網(wǎng)絡通信安全問題。關鍵詞：文章編號：1007-3043(2023)04-0029-04開放科學(資源服務)標識碼(OSID)：cess，andsystem-levelsecuritycommunicationsolutions.Thesesolutionscomprehensivelysolvethesecurityissuesofmo-nKeywords：G移動終端安全關鍵技術研究[J].郵電設計技術，2023(4)：29-32.0引言隨著5G移動終端類型和應用場景不斷豐富，移動終端從傳統(tǒng)的通話短信功能為主的通信終端發(fā)展到應用于日常生活和工作各領域的智能終端。終端技術架構也發(fā)生了很大變化：終端芯片集成度更高、功能模塊更加豐富；操作系統(tǒng)智能化趨勢越來越強，可承載的應用和業(yè)務越來越復雜。與此同時，各行業(yè)充分利用移動通信的移動特性、便捷性、靈活性等優(yōu)點，收稿日期：2023-02-16將移動終端接入企業(yè)內部網(wǎng)絡，利用移動終端處理工作和生產事務，并在移動終端中存儲企業(yè)內部數(shù)據(jù)。5G移動終端存在信息安全風險，如何在利用移動通信便捷性的同時，保障通信安全、數(shù)據(jù)安全，保護個人隱私、保護企業(yè)商業(yè)秘密、保護國家信息安全，成為當前移動信息安全領域必須面對的重點問題，也正因如此，移動終端安全關鍵技術具有重要研究意義。本文深入分析5G移動終端面臨的安全風險和當下主流的終端安全技術，創(chuàng)新性提出5G終端雙硬件雙系統(tǒng)的門衛(wèi)式隔離防護和內部網(wǎng)絡安全接入技術方案，為保護個人隱私、商業(yè)秘密和國家密碼提供信息安全保郵電設計技術/2023/0429本期專題MonthlyTopic霄，侯玉華5G移動終端安全關鍵技術研究障。障1安全風險分析工作人員使用移動終端接入辦公內網(wǎng)訪問內網(wǎng)數(shù)據(jù)，并將內網(wǎng)數(shù)據(jù)存儲在本地。如果移動終端與辦公內網(wǎng)之間的數(shù)據(jù)通信以及移動終端數(shù)據(jù)存儲沒有有效的安全防護，那么辦公內網(wǎng)的數(shù)據(jù)將暴露于互聯(lián)網(wǎng)，存在很大的信息安全風險。因此無論是移動終端還是辦公內網(wǎng)，以及兩者之間的通信過程，都急需具備安全防護能力。移動終端和辦公內網(wǎng)進行通信時，主要面臨如下安全問題。a)身份認證安全風險。無論是密碼、驗證碼還是生物識別，均存在被破解和仿冒的風險，如果移動終端被假冒接入內網(wǎng)，那么內網(wǎng)存在數(shù)據(jù)泄露的隱患。b)數(shù)據(jù)存儲安全風險。移動終端對于數(shù)據(jù)存儲缺少精細化的管控措施，數(shù)據(jù)通常以明文形式保存在存儲設備中，缺少機密性和完整性保護，極易被病毒、據(jù)泄露風險很高。c)通信安全風險。移動通信提供了數(shù)據(jù)傳輸?shù)募t外、NFC等近場通信。通信網(wǎng)絡和設備不可控因素較多，用戶通信數(shù)據(jù)易被不法分子截獲篡改。d)終端軟硬件安全風險。移動終端通常采用件平臺均存在安全漏洞及后門，有極大的安全隱患。2安全技術概述目前主流的終端安全技術方案主要有2種方式，一種是通過終端虛擬化系統(tǒng)隔離技術實現(xiàn)一個終端硬件運行多個操作系統(tǒng)，不同系統(tǒng)相互隔離，保證終端的數(shù)據(jù)安全和運行環(huán)境安全；另一種是通過虛擬專端和企業(yè)內網(wǎng)的接入安全和網(wǎng)絡傳輸安全。2.1終端系統(tǒng)隔離當前主流的移動終端中，同一套硬件下僅支持一套操作系統(tǒng)，不同的應用軟件間使用軟件沙箱技術隔離。例如，Android系統(tǒng)中擴展了Linux內核安全模型的用戶和權限機制，將多用戶間的隔離機制應用于程序間隔離。每一個應用程序均被系統(tǒng)分配單獨的Linux系統(tǒng)用戶標識(UID)，使得Android應用程序運行于獨立的Linux進程空間。302023/04/DTPT隨著虛擬化技術的發(fā)展和終端硬件能力的提升，在終端中使用虛擬機(VirtualMachine，VM)隔離多個應用成為可能。使用VM的目的在于創(chuàng)建一個隔離VM外安全風險的影響。不同VM間的訪問必須通過系統(tǒng)間接口才可完成，因此更容易監(jiān)控，也更安全。虛擬化平臺可通過探針對VM中的操作系統(tǒng)和應用軟件進行監(jiān)控，進行病毒查殺。同時必須保證VM中的應用不能穿透虛擬機訪問虛擬化平臺的數(shù)據(jù)，保護虛擬化平臺免遭網(wǎng)絡攻擊。終端雙系統(tǒng)主要指的是在1個終端中運行2個相互隔離、彼此獨立的操作系統(tǒng)，兼顧工作使用和個人使用的不同需求，如圖1所示。2個系統(tǒng)中，1個為安全系統(tǒng)(工作系統(tǒng))，1個為個人系統(tǒng)(生活系統(tǒng))，具有彼此獨立的運行環(huán)境、文件系統(tǒng)和數(shù)據(jù)存儲，實現(xiàn)應用和數(shù)據(jù)的隔離。安全系統(tǒng)根據(jù)安全需求，從硬件驅動層對終端的部分功能進行限制(例如限制工作系統(tǒng)調用話筒、攝像頭、藍牙等功能)。進一步地，移動終端可以定義雙系統(tǒng)切換管理策略，并為2個系統(tǒng)設置各自獨立的安全策略管控，減少信息安全風險。應用層應用層應用層應用層操作系統(tǒng)層操作系統(tǒng)層虛擬化層虛擬化層虛擬化層虛擬化層硬硬件抽象層圖1虛擬機共享終端硬件2.2虛擬專網(wǎng)技術在經(jīng)歷了多年的發(fā)展后，虛擬專用網(wǎng)絡(VPN)技術形成了2種成熟的技術架構，分別是互聯(lián)網(wǎng)安全(In?ternetProtocolSecurity，IPSec)協(xié)議和安全套接層(Se?reSocketsLayerSSLTCPIPIPSec協(xié)議是工作在網(wǎng)絡層的安全協(xié)議，通過重建網(wǎng)絡層中的IP包來實現(xiàn)安全的虛擬網(wǎng)絡傳輸通道，通過密碼算法對IP層數(shù)據(jù)包進行機密性以及完整性保護。SSL協(xié)議及其后繼版本傳輸層安全(TransportLayerSe?curity，TLS)協(xié)議是工作在傳輸層和應用層之間的安全協(xié)議，為網(wǎng)絡通信提供安全及數(shù)據(jù)完整性。采用虛擬專網(wǎng)技術可實現(xiàn)移動終端安全接入企業(yè)內網(wǎng)并保證網(wǎng)絡傳輸安全。首先企業(yè)內網(wǎng)對接入終端的身份合法性進行認證，檢查方式有多種形式，霄，侯玉華5G移動終端安全關鍵技術研究本期專題MonthlyTopic別、PKI公鑰證書體系、USBKey等，或者是幾種形式的組合運用。身份認證通過后才可繼續(xù)進行VPN通信。在VPN通信過程中，IPSec協(xié)議或SSL協(xié)議可提供如下安全能力。a)數(shù)據(jù)機密性。發(fā)送方通過密碼算法對數(shù)據(jù)進行加密計算，在傳輸通道中進行傳輸?shù)氖敲芪臄?shù)據(jù)，合法接收方可以通過密碼算法對數(shù)據(jù)進行解密計算獲得明文數(shù)據(jù)。即使數(shù)據(jù)在傳輸過程中被竊取截獲，竊取方也無法對密文數(shù)據(jù)正確解密獲取明文數(shù)據(jù)。b)數(shù)據(jù)完整性。發(fā)送方通過密碼算法對數(shù)據(jù)進行摘要計算和簽名計算，將摘要值和簽名值與數(shù)據(jù)同時進行傳輸。接收方可以通過密碼算法對接收到的數(shù)據(jù)進行驗簽計算，驗證數(shù)據(jù)來源以及沒有被篡改。c)防止重放。數(shù)據(jù)接收端可以檢測過時的或者已經(jīng)收到過的報文。2.3存在問題無論是采用終端系統(tǒng)隔離技術還是虛擬專用網(wǎng)絡技術，硬件層面都受到移動終端硬件結構的限制，移動終端的安全機制和安全策略均需通過CPU來實現(xiàn)。在軟件層面，安全機制受到操作系統(tǒng)控制，數(shù)據(jù)的處理、傳輸和存儲均通過操作系統(tǒng)來實現(xiàn)。因此，系統(tǒng)隔離和安全通信協(xié)議只是在移動終端中被CPU和操作系統(tǒng)調用式實現(xiàn)，如果CPU或者操作系統(tǒng)本身存在漏洞和后門，那么所有的安全機制可能會被旁3終端安全解決方案本文在現(xiàn)有技術方案的基礎上對5G移動終端的安全架構進行創(chuàng)新優(yōu)化設計。第一，基于硬件的系統(tǒng)隔離。在1臺移動終端中集成2套硬件(主要包括CPU、內存和存儲)，分別用于運行安全系統(tǒng)和生活系統(tǒng)，將操作系統(tǒng)或虛擬機建立在獨立的硬件系統(tǒng)之上，使得應用運行環(huán)境和存儲空間的隔離更加徹底。第二，門衛(wèi)式內網(wǎng)VPN接入。采用門衛(wèi)式方式實現(xiàn)VPN內網(wǎng)接入，在基帶芯片與安全系統(tǒng)CPU之間放置加密協(xié)處理器，實現(xiàn)終端CPU與基帶芯片之間的門衛(wèi)式物理隔離，使得通信數(shù)據(jù)在CPU和基帶芯片之間的交互必須通過安全協(xié)處理器，保證VPN通路不會被旁路和替代。第三，系統(tǒng)間安全通信方案。安全系統(tǒng)和生活系統(tǒng)的CPU借助加密協(xié)處理器進行通信，并采用加密通信協(xié)議進行控制信號和通信數(shù)據(jù)的交互。3.1基于硬件的系統(tǒng)隔離安全移動終端在1臺移動終端中集成2套硬件 (主要包括CPU、內存和存儲)，分別用于運行2套操作系統(tǒng)和上層應用，硬件結構如圖2所示。安全移動終端在硬件層面可分為安全系統(tǒng)、生活系統(tǒng)、安全通信模塊(加密協(xié)處理器)、通用通信模塊(基帶處理器和射頻模塊)、系統(tǒng)外設等。源顯示屏攝像頭USB加密協(xié)處理器其他外設源顯示屏攝像頭USB加密協(xié)處理器 (RAM)存儲 (RAM)存儲 (ROM) (RAM)存儲 (ROM)安全系統(tǒng)應用處理器(CPU)基帶處理器 (Modem)射頻模塊安全通信模塊生活系統(tǒng)應用處理器(CPU)圖2終端硬件結構安全通信模塊是安全移動終端的安全核心，分別連接安全系統(tǒng)、生活系統(tǒng)和通用通信模塊。安全通信模塊的核心器件是加密協(xié)處理器，通過硬件的方式實現(xiàn)安全系統(tǒng)與通用通信模塊、安全系統(tǒng)與生活系統(tǒng)之間的安全數(shù)據(jù)通信，實現(xiàn)安全移動終端雙系統(tǒng)之間的硬件隔離。安全系統(tǒng)主要包括應用處理器(CPU)、內存和存儲，為辦公應用提供運行環(huán)境、文件系統(tǒng)和數(shù)據(jù)存儲。安全系統(tǒng)的CPU與安全協(xié)處理器直接相連，所有與通用通信模塊或生活系統(tǒng)的交互數(shù)據(jù)均需通過安全通信模塊的處理，與通用通信模塊或生活系統(tǒng)無直接的物理連接。安全系統(tǒng)無法進行普通的網(wǎng)絡通信，必須通過安全通信模塊建立門衛(wèi)式的VPN通信通道，才可與辦公內網(wǎng)連接。安全系統(tǒng)與系統(tǒng)功能外設直接連生活系統(tǒng)主要包括應用處理器(CPU)、內存和存儲，與通用通信模塊直接連接，基本功能與普通智能手機的相關模塊沒有區(qū)別。生活系統(tǒng)與安全系統(tǒng)沒有直接的物理連接。生活系統(tǒng)與安全系統(tǒng)之間的控制信號和通信數(shù)據(jù)交互是受控的，通過安全通信模塊完成。安全系統(tǒng)與系統(tǒng)外設之間沒有物理連接，當需要調用外設功能時，需要安全系統(tǒng)的授權，并在安全系統(tǒng)的監(jiān)控下進行功能調用。通用通信模塊主要包括基帶處理器和射頻模塊，與普通智能手機的通信模塊沒有區(qū)別。該模塊負責郵電設計技術/2023/0431丆丆丆丆丆丆本期專題丆丆丆丆丆丆MonthlyTopic霄，侯玉華5G移動終端安全關鍵技術研究將安全系統(tǒng)通過安全通信模塊發(fā)送的通信數(shù)據(jù)或者生活系統(tǒng)的通信數(shù)據(jù)進行網(wǎng)絡傳輸。麥克風、USB等，其功能與普通智能手機的系統(tǒng)外設基本一致。系統(tǒng)外設直接受安全系統(tǒng)控制，在受控條件下可以間接被生活系統(tǒng)調用。安全移動終端在軟件層面可分為安全系統(tǒng)、生活系統(tǒng)和VPN模塊，結構如圖3所示。安全系統(tǒng)和應用系統(tǒng)具備獨立的硬件抽象層、操作系統(tǒng)層和應用層，彼此獨立運行，VPN模塊負責安全系統(tǒng)的網(wǎng)絡通信功能。因為將操作系統(tǒng)或虛擬機建立在獨立硬件系統(tǒng)之上，應用運行環(huán)境和存儲空間的隔離更加徹底。應用層VPN協(xié)議層操作系統(tǒng)層應用層VPN協(xié)議層操作系統(tǒng)層加密硬件抽象層硬件抽象層應用層操作系統(tǒng)層硬件抽象層圖3終端軟件結構.2門衛(wèi)式內網(wǎng)VPN接入安全移動終端可以實現(xiàn)終端與辦公內網(wǎng)之間的安全通信，為終端的內網(wǎng)接入以及數(shù)據(jù)傳輸提供門衛(wèi)式安全能力。在具備移動通信快捷、靈活優(yōu)勢的同時，安全移動終端可以有效防止各類外部攻擊、非授權用戶訪問和信息泄露。辦公內網(wǎng)結構以及在移動互聯(lián)網(wǎng)中的位置如圖4所示。接入?yún)^(qū)運營商網(wǎng)絡移動終端移動終端互聯(lián)網(wǎng)基站接入?yún)^(qū)運營商網(wǎng)絡移動終端移動終端互聯(lián)網(wǎng)基站核心網(wǎng)VPN網(wǎng)關企業(yè)內網(wǎng)區(qū)應用服務器圖4網(wǎng)絡結構接入?yún)^(qū)是辦公內網(wǎng)安全接入功能的核心模塊，主要包括VPN網(wǎng)關。VPN網(wǎng)關部署在應用服務器與互聯(lián)網(wǎng)之間，作為外部用戶進入辦公內網(wǎng)的入口，實現(xiàn)接入用戶身份認證、虛擬網(wǎng)絡通道協(xié)議和密碼安全功能。安全移動終端與VPN網(wǎng)關之間通過VPN通信協(xié)議進行內網(wǎng)數(shù)據(jù)的安全通信。業(yè)務區(qū)是辦公內網(wǎng)各項業(yè)務的承載模塊，主要包括應用服務器，應用服務器與互聯(lián)網(wǎng)應用服務器沒有重大區(qū)別。322023/04/DTPT門衛(wèi)式內網(wǎng)VPN接入的核心是移動終端與內網(wǎng)VPN網(wǎng)關之間的通信通道無法被旁路和惡意替換。在網(wǎng)絡側，辦公內網(wǎng)與內網(wǎng)接入?yún)^(qū)(VPN網(wǎng)關)物理連接，保證辦公內網(wǎng)與互聯(lián)網(wǎng)物理隔離。普通互聯(lián)網(wǎng)用戶無法訪問辦公內網(wǎng)。在終端側，安全移動