5G信息安全白皮書

1 3 3 3 4 52.3.1滿足多類型終端、多接入技 5 5 6 6 7 8 9 10 10 12 12 13 142.10終端安全 15 16 17 17 17 18 18 21 21 22 23 24 25 25 26 30 30 31 33 34 35 352 37 393.10終端安全 40 44 44 45 453等應(yīng)用場(chǎng)景。除了移動(dòng)互聯(lián)網(wǎng)應(yīng)用，5G還需要為車聯(lián)網(wǎng)、物聯(lián)網(wǎng)（IoT）、虛擬現(xiàn)實(shí)、高速鐵路等新興行業(yè)的發(fā)展提供快速響應(yīng)、無處不在的網(wǎng)絡(luò)接入，為交付方式也不同，安全需求的差異性非常明顯。特別是物聯(lián)網(wǎng)應(yīng)用場(chǎng)景帶來的大連接認(rèn)證、高可用性、低時(shí)延、低能耗等安全需求，以及5G引入的SDN/NFV、虛擬化、移動(dòng)邊緣計(jì)算和異構(gòu)無線網(wǎng)絡(luò)融合等新技術(shù)帶來的變化和安全風(fēng)險(xiǎn)，對(duì)5G移動(dòng)通信系統(tǒng)的接入認(rèn)證/鑒權(quán)、切片安全、數(shù)據(jù)保護(hù)和用戶目前對(duì)5G安全標(biāo)準(zhǔn)進(jìn)行研究的主要集中在3GPPSA3、ETSI和國內(nèi)的是5G安全標(biāo)準(zhǔn)化工作的基礎(chǔ)，TR33.899（V1.2.0）給出了17個(gè)安全領(lǐng)域共），全的所有安全需求。ETSI的網(wǎng)絡(luò)功能虛擬化標(biāo)準(zhǔn)工作組（NFVISG）將在5G基于國際國內(nèi)標(biāo)準(zhǔn)化工作進(jìn)展和國內(nèi)相關(guān)單位的最新研究成果，本白皮書針對(duì)5G安全總體架構(gòu)、認(rèn)證/鑒別與授權(quán)、接入安全、切片安全、密鑰體系和25G安全需求“安全總體架構(gòu)”是對(duì)系統(tǒng)安全體系架構(gòu)的結(jié)構(gòu)化描述，對(duì)模型中功能模塊與安全模塊、安全模塊間安全相互關(guān)系的定義?？茖W(xué)、合理的安全架構(gòu)可以有5G安全應(yīng)打破以往移動(dòng)通信系統(tǒng)成型后“打補(bǔ)丁式”的升級(jí)演進(jìn)模式，與5G移動(dòng)通信技術(shù)同步演進(jìn)，實(shí)現(xiàn)系統(tǒng)安全內(nèi)生與安全威脅“標(biāo)本兼治”的目標(biāo)。4具體而言，對(duì)應(yīng)5G應(yīng)用、網(wǎng)絡(luò)、無線接入、終端、系統(tǒng)等演進(jìn)帶來的新1）5G將滲透到交通、醫(yī)療、工業(yè)等多元化的垂直行業(yè)和領(lǐng)域，并支持人與人、人與物、物與物間多樣化的信息交互。因此，安全架構(gòu)應(yīng)面向多樣化、海量的應(yīng)用與終端，支持統(tǒng)一的身份管理和認(rèn)證功能，支持多元化的信任關(guān)系2）隨著SDN、NFV、切片等技術(shù)的引入，5G網(wǎng)絡(luò)呈現(xiàn)出虛擬化、軟件化、開放化等特點(diǎn)。面對(duì)這些特點(diǎn)，安全架構(gòu)應(yīng)支持高可靠的虛擬化安全技術(shù)）；3）5G無線接入網(wǎng)具有多類型接入技術(shù)融合、超密集組網(wǎng)等特點(diǎn)，并引入了移動(dòng)邊緣計(jì)算（MEC）等新型服務(wù)技術(shù)。因此，安全架構(gòu)應(yīng)支持多類型接入因此，安全架構(gòu)應(yīng)針對(duì)多元化終端的安全需求，支持差異化安全策略與模組的大幅增加，因此，為了應(yīng)對(duì)潛在未知安全威脅，在安全架構(gòu)中還需要引入能夠求下，用戶、機(jī)構(gòu)、網(wǎng)絡(luò)設(shè)備和資源、網(wǎng)絡(luò)服務(wù)等不同種類的網(wǎng)絡(luò)實(shí)體將大量接入，需要5G網(wǎng)絡(luò)對(duì)不同類型的實(shí)體標(biāo)識(shí)進(jìn)行廣泛的支持。如何定義網(wǎng)絡(luò)實(shí)體的身份標(biāo)識(shí)，以及制定相應(yīng)的身份標(biāo)識(shí)注冊(cè)和查詢機(jī)制，是5G網(wǎng)絡(luò)服務(wù)亟（2）海量網(wǎng)絡(luò)實(shí)體接入的憑證支持：身份憑證是指用于區(qū)分網(wǎng)絡(luò)實(shí)體身份何高效地進(jìn)行憑證的生成和驗(yàn)證，并針對(duì)網(wǎng)絡(luò)實(shí)體不同的安全能力與安全需求等級(jí)提供可靠的多級(jí)別憑證服務(wù)，都將是5G網(wǎng)絡(luò)實(shí)體接入憑證的重要研究問（3）統(tǒng)一的網(wǎng)絡(luò)實(shí)體身份鑒別：身份鑒別即對(duì)網(wǎng)絡(luò)實(shí)體憑證進(jìn)行鑒別的過5應(yīng)用需要對(duì)各類實(shí)體進(jìn)行有效身份鑒別。由于網(wǎng)絡(luò)實(shí)體身份憑證的提供方、網(wǎng)絡(luò)身份憑證類型和鑒別機(jī)制都不盡相同，為確保網(wǎng)絡(luò)應(yīng)用對(duì)于網(wǎng)絡(luò)實(shí)體身份的將引發(fā)網(wǎng)絡(luò)應(yīng)用、網(wǎng)絡(luò)資源的大規(guī)模擴(kuò)張，各類網(wǎng)絡(luò)應(yīng)用互通協(xié)作也將越來越多，這將帶來網(wǎng)絡(luò)資源跨應(yīng)用共享的迫切需求。如何通過有效的授權(quán)管理來保證網(wǎng)絡(luò)應(yīng)用可控、安全地訪問特定網(wǎng)絡(luò)用戶網(wǎng)絡(luò)資源，建立網(wǎng)絡(luò)身份提供方和網(wǎng)絡(luò)資源提供方等眾多網(wǎng)絡(luò)實(shí)體間的多元信任，是5G網(wǎng)絡(luò)環(huán)境下資源共享的2.3.1滿足多類型終端、多接入技5G時(shí)代要實(shí)現(xiàn)萬物互聯(lián)，5G網(wǎng)絡(luò)不僅用于人與人的通信，還用于人與和多種接入技術(shù)。從終端類型看，分為有卡終端和無卡終端。有卡終端以SIM/USIM卡作為用戶身份和密鑰載體，具備一定的計(jì)算和存儲(chǔ)能力；無卡終身份，用數(shù)字證書提供安全保障；從接入類型看，5G網(wǎng)絡(luò)需要支持3GPP接技術(shù)。因此5G網(wǎng)絡(luò)是融合了多種類型的終端、接入類型和接入技術(shù)的異構(gòu)型網(wǎng)絡(luò)，而不同的終端，不同的接入類型和接入技術(shù)存在不同的安全需求，使用器類通信（mMTC）和超可靠低時(shí)延通信（uRLLC）。這三類應(yīng)用場(chǎng)景根據(jù)各eMBB重點(diǎn)是提供超高帶寬，用于滿足諸如虛擬現(xiàn)實(shí)（VR）、大視頻等對(duì)6對(duì)LTE接入下用戶首次接入時(shí)IMSI采用明文傳送存在的安全風(fēng)險(xiǎn)，采取了mMTC應(yīng)用的主要特點(diǎn)是接入網(wǎng)絡(luò)的終端數(shù)量巨大，終端無卡，安全能力較弱，功耗小，資源受限，小數(shù)據(jù)傳送等。按照傳統(tǒng)的接入方式，每個(gè)終端和網(wǎng)絡(luò)之間需要進(jìn)行多次交互才能完成認(rèn)證過程，實(shí)現(xiàn)網(wǎng)絡(luò)接入。mMTC應(yīng)用下，如果終端仍然延用傳統(tǒng)接入方式，海量終端并發(fā)接入網(wǎng)絡(luò)極有可能產(chǎn)生信令風(fēng)暴，造成網(wǎng)絡(luò)擁塞；另外，在接入失敗情況下終端不斷嘗試重新接入網(wǎng)絡(luò)發(fā)起認(rèn)證，這對(duì)于低功耗無人值守的MTC終端將加速其電池消耗。因此需要研究包括簡(jiǎn)化認(rèn)證機(jī)制，優(yōu)化認(rèn)證協(xié)議在內(nèi)的滿足MTC設(shè)備高效快速接入的輕量化安全接入方式。針對(duì)物聯(lián)網(wǎng)傳輸?shù)氖切?shù)據(jù)且是零星傳送的數(shù)據(jù)特征，需要為小數(shù)據(jù)傳送建立通道。如果小數(shù)據(jù)傳送的無線網(wǎng)絡(luò)缺少安全保護(hù)機(jī)制，攻擊者就有可能通過訪問小數(shù)據(jù)接口入侵網(wǎng)絡(luò)，因此還需要研究針對(duì)小數(shù)據(jù)的uRLLC應(yīng)用對(duì)通信可靠性，低時(shí)延有極高的要求，例如車聯(lián)網(wǎng)、遠(yuǎn)程醫(yī)療等應(yīng)用。網(wǎng)絡(luò)安全通常與網(wǎng)絡(luò)性能效率是互為矛盾的，增強(qiáng)網(wǎng)絡(luò)安全防護(hù)機(jī)制，必然以犧牲網(wǎng)絡(luò)性能，降低網(wǎng)絡(luò)效率為代價(jià)，uRLLC應(yīng)用也不例外，如果引入安全機(jī)制，就必然會(huì)影響業(yè)務(wù)時(shí)延。但是缺的，如果車聯(lián)網(wǎng)業(yè)務(wù)缺乏安全機(jī)制保護(hù)，就會(huì)存在交通信息被竊取或篡改進(jìn)而影響到行車安全甚至威脅到生命安全。因此在保證可靠性和低時(shí)延等業(yè)務(wù)性2.4.1移動(dòng)邊緣計(jì)算(MEC)內(nèi)涵提供服務(wù)，從而構(gòu)建一個(gè)具備高性能、低延遲與高帶寬的電信級(jí)服務(wù)環(huán)境。l共生融合：MEC作為移動(dòng)通信系統(tǒng)的共生系統(tǒng)，與7l按需臨近部署：MEC節(jié)點(diǎn)可根據(jù)應(yīng)用服務(wù)需求按需、分布式部署于移動(dòng)網(wǎng)絡(luò)邊緣的多個(gè)位置。這種靈活、臨近的部署方式在為超低時(shí)延要求提供保l虛擬化構(gòu)建：在通用硬件平臺(tái)通過虛擬化技術(shù)構(gòu)建計(jì)算環(huán)境，承載來自于可支持與5GNFV兼容的虛擬化方式，與5GNFV同平臺(tái)部署。l高可協(xié)作性：MEC各節(jié)點(diǎn)間的應(yīng)用與服務(wù)具有較高的可協(xié)作性。不同的MEC節(jié)點(diǎn)的應(yīng)用間能夠通過協(xié)作的方式向用戶提供服務(wù)（如移動(dòng)性導(dǎo)致的服務(wù)遷移）。同時(shí)，對(duì)于具有高可靠性需求的關(guān)鍵應(yīng)用，可通過在節(jié)點(diǎn)間進(jìn)行服務(wù)熱備和快恢復(fù)，提高系統(tǒng)的應(yīng)急和容災(zāi)能力。此外，通過在多個(gè)MEC計(jì)算節(jié)點(diǎn)間使用協(xié)作的方式執(zhí)行安全策略（如分布式加密），在降低標(biāo)準(zhǔn)化的協(xié)議和接口，感知用戶信息，并融合信息技術(shù)與通信技術(shù)提供更（1）物理設(shè)施保護(hù)：MEC按需臨近部署的特點(diǎn)在為用戶提供高質(zhì)量服務(wù)的同時(shí)，也在客觀上縮短了攻擊者與MEC物理設(shè)施之間的距離，使得攻擊者8和數(shù)據(jù)泄露等嚴(yán)重后果。另一方面，廣泛部署的MEC邊緣計(jì)算節(jié)點(diǎn)同樣面臨著各種自然災(zāi)害（如臺(tái)風(fēng)、冰雹）和工業(yè)災(zāi)難的威脅。以上因素都可能直接破壞MEC硬件基礎(chǔ)設(shè)施，造成服務(wù)的突然中斷以及數(shù)據(jù)的意外丟失。因此需要在考慮性能和成本的基礎(chǔ)上最大限度為MEC節(jié)點(diǎn)配備相應(yīng)的物理設(shè)施保護(hù)措（2）安全能力受限下的MEC節(jié)點(diǎn)安全防護(hù):由于性能、成本、部署靈活性要求等多種因素制約，單個(gè)MEC節(jié)點(diǎn)的安全防護(hù)能力（如可抵御的攻擊種類，抵御單個(gè)攻擊的強(qiáng)度等）受到限制。因此需要：針對(duì)MEC節(jié)點(diǎn)應(yīng)用特征及終端特征（IoT終端/移動(dòng)智能終端），有的放矢地部署相應(yīng)的安全防護(hù)措施；充分利用MEC節(jié)點(diǎn)的高可協(xié)作特性，通過例如基于智能協(xié)同的安全防護(hù)等技術(shù)，借助周邊節(jié)點(diǎn)的空閑安全防護(hù)資源，提升單個(gè)節(jié)點(diǎn)能抵御的攻擊強(qiáng)度（3）擴(kuò)展信任模型構(gòu)建：MEC系統(tǒng)與移動(dòng)通信系統(tǒng)共生融合的部署方式擴(kuò)充了以往的“用戶分別跟網(wǎng)絡(luò)和服務(wù)進(jìn)行認(rèn)證”的二元信任關(guān)系構(gòu)建模型。需（4）隱私及數(shù)據(jù)保護(hù)：MEC“基于用戶信息感知的高質(zhì)量、個(gè)性特點(diǎn)在提供便利的同時(shí)也讓MEC應(yīng)用不可避免的接觸到大量移動(dòng)用戶與設(shè)備的隱私和數(shù)據(jù)信息，如用戶身份、位置、移動(dòng)軌跡等。而對(duì)這些信息進(jìn)一步挖掘后，還得到用戶的作息規(guī)律、生活習(xí)慣、健康狀況等諸多信息。因此，在MEC隱私及數(shù)據(jù)保護(hù)中，需要配備相應(yīng)的隱私泄漏防護(hù)措施，嚴(yán)控第三方MEC應(yīng)用的行為，防止其泄漏、濫用用戶的隱私及數(shù)據(jù)信息；需份標(biāo)識(shí)和匿名等技術(shù)削弱MEC計(jì)算節(jié)點(diǎn)標(biāo)識(shí)和地理位置的映射關(guān)系，防止第三方根據(jù)MEC節(jié)點(diǎn)位置推斷用戶的地理位置；需要確保數(shù)據(jù)在邊緣的安全存9點(diǎn)的軟件化，打破傳統(tǒng)電信設(shè)備的豎井式體系，其核心特征是分層解耦和引入網(wǎng)絡(luò)虛擬化后，傳統(tǒng)的網(wǎng)絡(luò)設(shè)備功能將以VNF(VirtualizedNetworkFunction，虛擬化網(wǎng)絡(luò)功能)的方式運(yùn)行在NFVI(NetworkFunctionVirtualizationInfrastructure，NFV基礎(chǔ)設(shè)施)上。NFVI由通用的硬件資源、虛擬化層（即Hypervisor）以及虛擬資源（虛擬計(jì)算、虛擬存儲(chǔ)和虛擬網(wǎng)絡(luò)）組成，為實(shí)例化管理，包括分配虛擬資源給VNF，監(jiān)控和上報(bào)虛擬資源以及硬件資源性能以及SDN解耦了設(shè)備的控制面和數(shù)據(jù)面，并且控制面實(shí)現(xiàn)集中控制，開放可編通信的雙方相互認(rèn)證，并且通信內(nèi)容需受到機(jī)密性、完整性防重放的?，F(xiàn)安全服務(wù)最小化原則，如關(guān)閉不必要的服務(wù)和端口等；安裝防病毒軟件，并定期檢查、查殺病毒以及升級(jí)病毒庫；需防止非法訪問、敏感信和VIM可以運(yùn)行在虛擬機(jī)上，此時(shí)會(huì)面臨虛擬機(jī)逃逸、虛擬機(jī)隔離失lMANO管理安全：MANO系統(tǒng)的需進(jìn)行賬號(hào)、權(quán)限的合理分配和管l控制器的安全需求：SDN控制器要具有DDoS/DoS防護(hù)能的能力；SDN控制器要實(shí)現(xiàn)服務(wù)器的安全加固、滿足安全服務(wù)最小化原則、關(guān)閉所有不必要的端口和服務(wù)，并使用滲透測(cè)試相關(guān)的工具（包括nessus,NMAP,Syma檢測(cè)和防止機(jī)制，避免管理策略和安全策略被繞行；SDN控制器需對(duì)l轉(zhuǎn)發(fā)層的安全需求：通過設(shè)置ACL，關(guān)閉不要的服務(wù)和端口，及時(shí)修補(bǔ)漏洞等手段加強(qiáng)轉(zhuǎn)發(fā)設(shè)備自身安全；另外，轉(zhuǎn)發(fā)設(shè)備具備并開啟限速l南北向接口的安全需求：需進(jìn)行雙向認(rèn)證，并且通信內(nèi)容需進(jìn)行機(jī)密性、完整性和防重放保護(hù)；需對(duì)協(xié)議強(qiáng)壯性進(jìn)行分析和測(cè)試，修復(fù)協(xié)議網(wǎng)絡(luò)切片需要提供不同切片實(shí)例之間的隔離機(jī)制，防止本切片內(nèi)的資源被其他類型網(wǎng)絡(luò)切片中網(wǎng)絡(luò)節(jié)點(diǎn)非法訪問。例如醫(yī)療切片網(wǎng)絡(luò)中的病人，只希望相同業(yè)務(wù)類型的網(wǎng)絡(luò)切片之間也存在隔離的需求，例如不同的企業(yè)的在使用相同業(yè)務(wù)類型的切片網(wǎng)絡(luò)時(shí)，并不希望本企業(yè)內(nèi)的服務(wù)資源被其他企業(yè)的網(wǎng)服務(wù)、資源和數(shù)據(jù)在網(wǎng)絡(luò)切片中被隔離保護(hù)的效果要達(dá)到接近于傳統(tǒng)私有網(wǎng)一樣用戶感受，這樣才能使得用戶能放心的將原本存放在私有網(wǎng)絡(luò)中的應(yīng)用數(shù)據(jù)存放到在云端，用戶在享有隨時(shí)隨地可訪問私有資源的同時(shí)不需要擔(dān)憂這當(dāng)運(yùn)營商根據(jù)業(yè)務(wù)的不同將網(wǎng)功能分割成不同的網(wǎng)絡(luò)切片時(shí)，需要考慮是否進(jìn)行切片內(nèi)的認(rèn)證和授權(quán)，以及如何進(jìn)行切片內(nèi)的認(rèn)證和授權(quán)。當(dāng)切片管理的某些功能開放給第三方時(shí)，還需要考慮哪些認(rèn)證和授權(quán)功能可以開放給第三方，以及由運(yùn)營商控制的主認(rèn)證和授權(quán)與由第三方控制的二次認(rèn)證和授權(quán)的融在5G網(wǎng)絡(luò)中無線空中接口仍然存在竊聽、篡改等安全威脅。在接入網(wǎng)存在的安全問題主要來自無線的空中接口。空中接口的信息是在無線信道上傳輸?shù)模肭终呷菀撞东@手機(jī)終端或基站的無線信號(hào)，從而非法取得或篡改用戶和同的網(wǎng)絡(luò)域之間是以明文形式傳輸?shù)?，用戶信息可能被竊聽，一些用戶的機(jī)密數(shù)據(jù)在網(wǎng)絡(luò)域內(nèi)可能被竊取，將會(huì)對(duì)信息安全產(chǎn)生很大影響。由于網(wǎng)絡(luò)域采用互聯(lián)網(wǎng)技術(shù)進(jìn)行連接，可能受到病毒的威脅、受到黑客的攻擊，傳送的數(shù)據(jù)可能被修改、可能被未授權(quán)者獲得等。因此，網(wǎng)絡(luò)域節(jié)點(diǎn)間的信息保護(hù)、邊界保方式及新型網(wǎng)絡(luò)架構(gòu)。這些新場(chǎng)景、新架構(gòu)和新技術(shù)都讓5G網(wǎng)絡(luò)有了更高的控制領(lǐng)域。在自動(dòng)駕駛過程中，車輛的身份信息、位置信息存在被暴露和跟蹤的風(fēng)險(xiǎn)，這些隱私信息一旦被泄露，產(chǎn)生的后果是非常嚴(yán)重。mMTC和eMBB場(chǎng)景使得5G網(wǎng)絡(luò)中的業(yè)務(wù)信息會(huì)以幾何級(jí)別增長(zhǎng)。這些信息包含針對(duì)某個(gè)網(wǎng)絡(luò)實(shí)體的不同測(cè)度的描述。通過對(duì)這些海量數(shù)據(jù)的分析，網(wǎng)絡(luò)用戶的隱私信息可能會(huì)被泄漏。例如，黑客可能獲取某用戶的部分移動(dòng)電話數(shù)據(jù)、運(yùn)動(dòng)手環(huán)數(shù)數(shù)據(jù)的分析獲取某人特定的隱私信息。在5G場(chǎng)景下，如何實(shí)現(xiàn)對(duì)隱私數(shù)據(jù)的營商、虛擬運(yùn)營商等多種類型參與方，用戶數(shù)據(jù)在這個(gè)由多種接入技術(shù)、多層網(wǎng)絡(luò)、多種設(shè)備和多個(gè)參與方交互的復(fù)雜網(wǎng)絡(luò)中存儲(chǔ)、傳輸和處理，面臨著諸時(shí)也使得網(wǎng)絡(luò)安全邊界更加的模糊，在多租戶共享計(jì)算資源的情況下，用戶的隱私數(shù)據(jù)更容易受到攻擊和泄露。相比傳統(tǒng)網(wǎng)絡(luò)而言，這種情況所產(chǎn)生的隱私泄露影響范圍更廣、危害更大。因此，對(duì)5G網(wǎng)絡(luò)的隱私保護(hù)提出了更高的挑當(dāng)前4G網(wǎng)絡(luò)中，系統(tǒng)已經(jīng)使用臨時(shí)簽約標(biāo)識(shí)符來增強(qiáng)用戶的隱私，降低簽約數(shù)據(jù)通過偷聽無線鏈路的方式被識(shí)別和跟蹤的可能性。但現(xiàn)有4G網(wǎng)絡(luò)也信系統(tǒng)的工作安全、內(nèi)容安全而增加的各種安全機(jī)制的管理體系總和，目的不僅在于要確保通信網(wǎng)絡(luò)環(huán)境是安全的，也要確保收集的安全相關(guān)的信息被適當(dāng)處理。安全管理包括了管理網(wǎng)絡(luò)的認(rèn)證、授權(quán)、審計(jì)，以及內(nèi)部/外部用戶對(duì)網(wǎng)絡(luò)資源的合法訪問控制，也包括了對(duì)網(wǎng)絡(luò)防火墻、入侵檢測(cè)系統(tǒng)、安全策略的基本思想和基礎(chǔ)技術(shù)，如SDN、NFV等。ICT技術(shù)的引入，不可避免的將使（1）攻擊方式泛在化。5G網(wǎng)絡(luò)下攻擊源/目標(biāo)的規(guī)模因物物互聯(lián)的引入得到攻擊可能導(dǎo)致整個(gè)網(wǎng)絡(luò)癱瘓或者被劫持；采用NFV虛擬化技術(shù)的已經(jīng)消失，因此內(nèi)外網(wǎng)隔離的安全邊界需要重新界定；云環(huán)境下多租戶共用物理資源也導(dǎo)致多個(gè)租戶的服務(wù)可能運(yùn)行在一個(gè)計(jì)算節(jié)點(diǎn)上，缺乏明確物理邊界；接入網(wǎng)絡(luò)上會(huì)承載眾多的數(shù)據(jù)中心和應(yīng)用程序的網(wǎng)絡(luò)接口，沒有明確的安考慮到未來5G網(wǎng)絡(luò)的可能演進(jìn)，因此根本的解決途徑是需要通過安全管理在5G網(wǎng)絡(luò)內(nèi)實(shí)施積極主動(dòng)的全面監(jiān)測(cè)預(yù)警以解決攻擊方式泛在化問題；在中將會(huì)存在各種安全服務(wù)或組件，以使5G網(wǎng)絡(luò)及業(yè)務(wù)抵御來自各種位置的中間人攻擊、信息重放攻擊、竊聽嗅探等安全威脅。例如，網(wǎng)絡(luò)切片中會(huì)存在虛準(zhǔn)規(guī)范規(guī)定的各種安全措施。5G安全管理應(yīng)為運(yùn)營商/第三方租戶提供對(duì)這些服務(wù)或組件的安全策略調(diào)整的統(tǒng)一入口，實(shí)現(xiàn)如對(duì)虛擬安全專用設(shè)備的管理配置、對(duì)各種安全措施的參數(shù)調(diào)整等功能，幫助運(yùn)營商、租戶及時(shí)調(diào)整網(wǎng)絡(luò)安全為了應(yīng)對(duì)攻擊方式泛在化的挑戰(zhàn)，及時(shí)感知到正在進(jìn)行的、或者潛在的攻擊威脅，5G網(wǎng)絡(luò)切片還需要監(jiān)控切片中各種虛擬安全專用設(shè)備的運(yùn)行狀態(tài)，對(duì)采集到的所有信息加以智能化的整合/分析，定位攻擊方式及來源，并將這些信息整合成安全態(tài)勢(shì)及時(shí)向管理員告警，以應(yīng)對(duì)APT、DOS、DDoS等擊手段。其次，考慮到5G網(wǎng)絡(luò)將新產(chǎn)生大量具有管理功能的網(wǎng)元，如PCF、同它們所管理的資源本身也會(huì)一起被劫持，因此5G網(wǎng)絡(luò)的監(jiān)測(cè)預(yù)警也需要將價(jià)值鏈，例如運(yùn)營商、虛擬基礎(chǔ)設(shè)施提供商、虛擬網(wǎng)絡(luò)功能供應(yīng)商、租戶、終端用戶、終端設(shè)備等等類型的角色；以上因素導(dǎo)致了5G必定存在多元化的價(jià)值鏈，以及相應(yīng)的信任關(guān)系。信任體系的脆弱，將導(dǎo)致一系列嚴(yán)重安全問題，對(duì)應(yīng)權(quán)限的管理服務(wù)（包含憑據(jù)的頒發(fā)、使用、注銷、權(quán)限關(guān)聯(lián)等方面的內(nèi)容），并提供認(rèn)證方面的支撐，解決各個(gè)角色/實(shí)體之間的多元信任問題，以支5G網(wǎng)絡(luò)支持多種類型的切片和業(yè)務(wù)，以供第三方租戶使用；不同的切片/業(yè)務(wù)除開在性能、QoS方面的差異之外，還因承載數(shù)據(jù)的敏感程度差異，具有通信網(wǎng)絡(luò)中只對(duì)終端接入認(rèn)證及語音和數(shù)據(jù)通信等常規(guī)服務(wù)提供密鑰管理的密鑰管理體制，已無法滿足5G多種切片/業(yè)務(wù)場(chǎng)景下各異的密鑰管理新需求，也無法支持基于第三方身份憑據(jù)的二次認(rèn)證；又如，以特殊行業(yè)為代表的高安全需求用戶在使用5G網(wǎng)絡(luò)的過程中，移動(dòng)終端之間以及移動(dòng)終端和后臺(tái)服務(wù)端之間大多數(shù)情況下需要進(jìn)行端到端的認(rèn)證和加密通信，而普通用戶則往往不會(huì)存在這種需求；再如，業(yè)界至今未對(duì)是否在5G終端與網(wǎng)絡(luò)之間使用非對(duì)稱的密碼技術(shù)達(dá)成一致結(jié)論，也未對(duì)第三方租戶使用非對(duì)稱密碼技術(shù)有所提及，未出現(xiàn)的差異化場(chǎng)景，盡力為第三方5G網(wǎng)絡(luò)切片/敏感業(yè)務(wù)提供匹配的安全支傳統(tǒng)的移動(dòng)通信網(wǎng)絡(luò)以物理實(shí)體為核心的安全防護(hù)技術(shù)在5G網(wǎng)絡(luò)新環(huán)境中已經(jīng)不再適用。安全性不僅與安全特征的物理部署有關(guān)，更重要的是與虛擬資產(chǎn)部署的安全特征有關(guān)，需要建立起以虛擬資源和虛擬功能為目標(biāo)的安全防護(hù)體系。因此不僅要在網(wǎng)絡(luò)切片、NFV層面研究虛擬化基礎(chǔ)設(shè)施可信運(yùn)行及資源隔離與虛擬化網(wǎng)絡(luò)切片的安全保障機(jī)制，更需要在管理架構(gòu)上進(jìn)行設(shè)計(jì)、調(diào)整，5G的密鑰層次（keyhierarchy）考慮的是如何利用一個(gè)根密鑰為不同層面，不同類型的消息流提供多個(gè)相互獨(dú)立的密鑰的問題。因此，在5G的密鑰l不同的接入方式。5G系統(tǒng)會(huì)考慮多種接入方式，因此不同的接入方式l移動(dòng)性管理與會(huì)話管理的分離。5G系統(tǒng)考慮移動(dòng)性管理與會(huì)話管理的核心網(wǎng)與接入網(wǎng)信令的分離，因此仍然需要針對(duì)非接入層信令和接入層l加密與完整性。針對(duì)信令和用戶數(shù)據(jù)，需要獨(dú)立的考慮l由移動(dòng)性引入的密鑰更新與隔離。5G系統(tǒng)仍然需要考慮終端在移動(dòng)狀l密鑰之間的相互獨(dú)立性。為了保證派生的密鑰之間此外，未來5G需要考慮大規(guī)模物聯(lián)網(wǎng)終端接入、超低時(shí)延超高可靠性等場(chǎng)景，以及并可能出現(xiàn)用戶憑證使用非對(duì)稱密鑰的情況。未來5G的密鑰體系從3G網(wǎng)絡(luò)引入移動(dòng)互聯(lián)網(wǎng)開始，移動(dòng)終端日益成為黑客攻擊的主要目標(biāo)。在3G/4G階段，3GPP一直注重加強(qiáng)對(duì)移動(dòng)網(wǎng)絡(luò)的安全設(shè)計(jì)，終端安全則完全交由終端廠家自行開發(fā)。由于缺少統(tǒng)一標(biāo)準(zhǔn)的牽引，移動(dòng)終端安全技術(shù)發(fā)展緩慢，產(chǎn)業(yè)化進(jìn)展滯后，很快就成為用戶隱私泄露的重災(zāi)區(qū)。近年來，雖然有芯片廠家或終端企業(yè)陸續(xù)推出了一些安全技術(shù)，但總體來說受已有架構(gòu)的限是用戶面都需要移動(dòng)終端的安全配合。從信息流向來看，移動(dòng)終端既是用戶信息和隱私數(shù)據(jù)的源頭也是其歸宿；從網(wǎng)絡(luò)切片來看，移動(dòng)終端是網(wǎng)絡(luò)安全切片業(yè)的深度支持，垂直行業(yè)存在著多樣化的安全要求，其安全能力更是需要移動(dòng)移動(dòng)終端安全涉及到硬件層、操作系統(tǒng)層以及應(yīng)用層等多個(gè)層面的問題，威脅因素主要來自外部網(wǎng)絡(luò)。解決終端安全問題，首先要從多個(gè)層面提升終端自身抵御攻擊的免疫能力，同時(shí)也要對(duì)外部網(wǎng)絡(luò)如網(wǎng)絡(luò)接入、應(yīng)用服務(wù)等進(jìn)行了行業(yè)用戶作為新的利益相關(guān)方，因此5G終端安全還需要考慮針對(duì)不同應(yīng)用終端以及不同行業(yè)用戶群體的雙重安全需求。本章節(jié)主要圍繞終端安全技術(shù)需2.10.15G移動(dòng)終端共性安全需求伴隨著5G技術(shù)的發(fā)展，移動(dòng)終端正在成為互聯(lián)網(wǎng)和物聯(lián)網(wǎng)業(yè)務(wù)的關(guān)鍵入口，網(wǎng)絡(luò)攻擊面的大幅擴(kuò)大，敏感信息的指數(shù)增加，使得5G終端將面臨更加移動(dòng)終端的運(yùn)行環(huán)境面臨來自硬件和軟件的威脅，移動(dòng)終端硬件安全威脅主要來源于終端芯片設(shè)計(jì)安全漏洞或硬件體系安全防護(hù)不足，可導(dǎo)致平臺(tái)安全權(quán)限被獲取、存儲(chǔ)的隱私數(shù)據(jù)被竊取等安全風(fēng)險(xiǎn)，需要從硬件角度設(shè)計(jì)使終端核心器件具有抗物理攻擊的能力，為移動(dòng)終端的安全起到基礎(chǔ)作用；移動(dòng)終端軟件系統(tǒng)是移動(dòng)終端的靈魂，對(duì)軟件系統(tǒng)的攻擊包括：利用操作系統(tǒng)漏洞等獲取終端控制權(quán)、修改安全策略，利用信息保護(hù)缺失、內(nèi)存監(jiān)管漏洞、應(yīng)用程序漏洞等竊取用戶信息、篡改信息和信令、植入惡意代碼、擾亂系統(tǒng)的正常工述攻擊手段，可以輕易地收集用戶數(shù)據(jù)，控制和更改終端軟件，甚至在極端情況下，可以遙控癱瘓所有入網(wǎng)的終端，威脅國家網(wǎng)絡(luò)安全。因此需對(duì)移動(dòng)終端3G/4G時(shí)代，終端安全技術(shù)的主要驅(qū)動(dòng)力是解決普通民眾移動(dòng)支付等安全問題，終端廠家的安全方案基本是專用和封閉的。但是進(jìn)入5G時(shí)代，行業(yè)用戶成為重要利益相關(guān)方以及萬物互聯(lián)成為新生態(tài)的趨勢(shì)，將使行業(yè)安全和物聯(lián)終端安全能力包括終端防護(hù)、用戶認(rèn)證、入網(wǎng)認(rèn)證、信息加密、安全存儲(chǔ)、應(yīng)用管理等，涉及平臺(tái)安全、信息安全、使用安全、安全管理等多方面安全要求。不同行業(yè)對(duì)終端安全能力有著不同的需求，如果終端業(yè)界為不同行業(yè)分別設(shè)計(jì)安全架構(gòu)，既不經(jīng)濟(jì)也不現(xiàn)實(shí)。為了高效率地適應(yīng)差異化安全需求，應(yīng)該建立統(tǒng)一的終端安全技術(shù)體系，該技術(shù)體系能夠以組件化方式提供完備的的安全能力，同時(shí)又能夠根據(jù)行業(yè)需求，方便地進(jìn)行組件的組合和裁剪，提供從國家對(duì)信息領(lǐng)域的發(fā)展要求來看，在新興信息領(lǐng)域?qū)嵤┸娒駪?zhàn)略已上升到國家戰(zhàn)略層面。國防行業(yè)以及政府、公安等涉及國家安全和社會(huì)穩(wěn)定的特殊行業(yè)，對(duì)移動(dòng)通信的需求非常旺盛，安全性有著更高的要求。終端安全體系應(yīng)該著眼安全能力要求更全面的特殊行業(yè)，提供完備的安全功能集。在面向普通垂直行業(yè)和普通公眾用戶時(shí)，安全架構(gòu)能夠進(jìn)行有針對(duì)性地功能裁剪，為普通行業(yè)和普通公眾用戶提供在成本范圍內(nèi)的安全功能。以最小的代價(jià)實(shí)現(xiàn)通用終端與高安全行業(yè)終端安全防護(hù)體系的構(gòu)建，滿足國家對(duì)信息領(lǐng)域安全建設(shè)的要供標(biāo)準(zhǔn)化的安全接口。通過標(biāo)準(zhǔn)接口，支持第三方安全服務(wù)和安全模塊的引入，便于行業(yè)客戶的二次開發(fā)，允許行業(yè)用戶通過標(biāo)準(zhǔn)接口快速地實(shí)現(xiàn)行業(yè)定制，支持不同行業(yè)終端的快速部署與專用化服務(wù)，提升終端產(chǎn)品的服務(wù)水平和eMBB終端覆蓋了增強(qiáng)移動(dòng)寬帶應(yīng)用場(chǎng)景，是人與人、人與網(wǎng)、人與物間信息鏈接的主要載體，也是行業(yè)用戶開展移動(dòng)辦公等處理行業(yè)敏感信息的主要工具。eMBB終端傳輸速率高、涉及普通用戶隱私/行業(yè)用戶敏感信息多、支持異構(gòu)網(wǎng)絡(luò)連接，因此，它的典型安全需求主要有三個(gè)方面，一是要具備與5G網(wǎng)絡(luò)速率相適配的高速率加密能力，同時(shí)還具備較低的功耗要求；二是對(duì)普通用戶具備對(duì)個(gè)人信息或標(biāo)識(shí)以及地址信息等等隱私信息的保護(hù)能力，對(duì)行業(yè)用戶具高等級(jí)的認(rèn)證、端到端加密、信息完整性保護(hù)等能力；三是具備異構(gòu)接入mMTC覆蓋對(duì)于聯(lián)接密度要求較高的物聯(lián)網(wǎng)應(yīng)用場(chǎng)景，例如智慧城市、智能電網(wǎng)、智慧家居等，滿足人們對(duì)于數(shù)字化社會(huì)的需求。由于物聯(lián)網(wǎng)設(shè)備數(shù)量龐大，行業(yè)對(duì)物聯(lián)終端的成本比較敏感。但是由于物聯(lián)終端深入到城市基礎(chǔ)設(shè)mMTC終端的典型安全需求包括：一是輕量級(jí)的密碼算法和協(xié)議，滿足絡(luò)提供為物聯(lián)終端提供去中心化的身份管理和接入認(rèn)證模式，包括縮短認(rèn)證鏈條、快速安全接入、網(wǎng)絡(luò)與業(yè)務(wù)融合分層身份管理等，降低管理復(fù)雜度；三是uRLLC聚焦對(duì)時(shí)延極其敏感的行業(yè)，例如車聯(lián)網(wǎng)、智慧工業(yè)等，滿足人們對(duì)于數(shù)字化工業(yè)的需求。因這些行業(yè)的信息涉及自動(dòng)駕駛、路況識(shí)別、工業(yè)控制等高風(fēng)險(xiǎn)環(huán)節(jié)，如果被假冒或篡改，將引發(fā)很大的安全事件，因此，uRLLCuRLLC終端的典型安全需求包括：一是高安全等級(jí)的保護(hù)強(qiáng)度，具備高等級(jí)的認(rèn)證、端到端加密、信息完整性保護(hù)等能力；二是超高可靠和超低時(shí)延的能力，在不降低安全保護(hù)強(qiáng)度的前提下，支持認(rèn)證節(jié)點(diǎn)下移，簡(jiǎn)化認(rèn)證框架與協(xié)議，提高移動(dòng)性安全上下文遷移和密鑰重建機(jī)制效率，采用高效密碼算法，3主要解決思路性與虛擬化的特點(diǎn)，引入了網(wǎng)絡(luò)開放接口安全、切片與VN對(duì)終端的高安全防護(hù)能力需求，引入了終端安全技術(shù)集；針對(duì)移動(dòng)邊緣計(jì)算等保護(hù)終端、接入網(wǎng)、核心網(wǎng)安全上下文的生成、下發(fā)保證在拜訪地的網(wǎng)絡(luò)功能和家鄉(xiāng)的網(wǎng)絡(luò)功能之間信令保證終端和MEC、電信網(wǎng)或數(shù)據(jù)網(wǎng)業(yè)務(wù)應(yīng)用之間安保證切片與VNF的安全運(yùn)行，以及保證各切提升終端自身安全防護(hù)能力以及適配專用領(lǐng)域應(yīng)用的區(qū)別于以往移動(dòng)通信系統(tǒng)信任關(guān)系構(gòu)建所依賴的用戶與網(wǎng)絡(luò)、用戶與業(yè)務(wù)的二元信任模型，該安全架構(gòu)通過統(tǒng)一認(rèn)證的網(wǎng)絡(luò)功能，支持網(wǎng)絡(luò)與業(yè)務(wù)間新首先，在現(xiàn)有二元信任模型基礎(chǔ)上，引入網(wǎng)絡(luò)與業(yè)務(wù)間的信任構(gòu)建機(jī)制可以提高業(yè)務(wù)提供商的可信性，降低惡意軟件、釣魚網(wǎng)站等對(duì)用戶的威脅；其次，對(duì)于某些物聯(lián)網(wǎng)行業(yè)應(yīng)用(如，煙感監(jiān)控報(bào)警)，通過事先建立網(wǎng)絡(luò)與業(yè)務(wù)間的信任關(guān)系，終端在完成入網(wǎng)認(rèn)證后不再需要進(jìn)行業(yè)務(wù)接入認(rèn)證，從而簡(jiǎn)化了用戶的業(yè)務(wù)認(rèn)證流程。因此，安全架構(gòu)通過安全認(rèn)證安全技術(shù)集，在統(tǒng)一認(rèn)在業(yè)務(wù)與網(wǎng)絡(luò)分別對(duì)用戶認(rèn)證機(jī)制的基礎(chǔ)上，針對(duì)多樣化應(yīng)用的安全需網(wǎng)絡(luò)統(tǒng)一認(rèn)證：業(yè)務(wù)提供方將業(yè)務(wù)認(rèn)證委托給電信運(yùn)營商，通過運(yùn)營商一次認(rèn)證達(dá)到網(wǎng)絡(luò)認(rèn)證和業(yè)務(wù)認(rèn)證的雙重目的，例如，邊緣計(jì)算服務(wù)等應(yīng)用場(chǎng)業(yè)務(wù)（第三方）統(tǒng)一認(rèn)證：運(yùn)營商信任業(yè)務(wù)對(duì)用戶的認(rèn)證結(jié)果，經(jīng)一次業(yè)務(wù)認(rèn)證，即可為用戶提供網(wǎng)絡(luò)服務(wù)，例如，高安全專用領(lǐng)域、工業(yè)物聯(lián)網(wǎng)等應(yīng)該安全架構(gòu)支持3GPP接入安全，包括：接入層（AS）控制面入層（NAS）控制面安全與用戶面安全，并支持受信與非受信的非3GPP接入用戶面保護(hù)；而對(duì)于非受信非3GPP接入方式，由于接入方式非受信，將用戶面保護(hù)功能置于5G核心網(wǎng)，采用從用戶到核心網(wǎng)端到端的保護(hù)方式，防止用5G網(wǎng)絡(luò)架構(gòu)將支持部分服務(wù)與安全能力通過API接口務(wù)提供商、垂直行業(yè)等)。在安全架構(gòu)中通過在開放服務(wù)網(wǎng)絡(luò)功能與業(yè)務(wù)應(yīng)用間針對(duì)5G網(wǎng)絡(luò)虛擬化的特點(diǎn)，在安全架構(gòu)中引入了切片與VNF安全技術(shù)集，實(shí)現(xiàn)切片間安全隔離、切片內(nèi)部不同的VNF之間的安全隔離、VNF訪問網(wǎng)絡(luò)進(jìn)行安全態(tài)勢(shì)管理、監(jiān)測(cè)預(yù)警與安全防護(hù)。具體而言，在接入網(wǎng)、核心網(wǎng)的網(wǎng)元與各網(wǎng)絡(luò)功能中部署監(jiān)測(cè)點(diǎn)，各監(jiān)測(cè)點(diǎn)實(shí)時(shí)采集相應(yīng)的配置信息與網(wǎng)絡(luò)運(yùn)行狀態(tài)等信息（如信令信息、流量信息、內(nèi)容信息），所采集的信息將統(tǒng)一匯聚到安全監(jiān)管云；安全監(jiān)管云通過智能學(xué)習(xí)與大數(shù)據(jù)技術(shù)等手段對(duì)網(wǎng)絡(luò)中存在的潛在威脅進(jìn)行識(shí)別和預(yù)警；進(jìn)一步，安全監(jiān)管云可支持動(dòng)態(tài)安全防護(hù)策略的生成、更新和下發(fā)；各監(jiān)測(cè)點(diǎn)根據(jù)下發(fā)的安全防護(hù)策略對(duì)所在網(wǎng)元和網(wǎng)絡(luò)功終端安全是5G安全體系中不可缺少的一環(huán)。安全架構(gòu)在終端中引入終端安全面，在終端安全面中通過構(gòu)建受信存儲(chǔ)、計(jì)算環(huán)境和標(biāo)準(zhǔn)化安全接口，分別從終端自身和外部?jī)煞矫鏋榻K端安全提供保障。終端自身安全保障可以通過構(gòu)建可信存儲(chǔ)和計(jì)算環(huán)境，提升終端自身的安全防護(hù)能力；終端外部安全保障通過引入標(biāo)準(zhǔn)化的安全接口，支持第三方安全服務(wù)和安全模塊的引入，并支持基于云的安全增強(qiáng)機(jī)制，為終端提供安全監(jiān)測(cè)、安全分析、安全管控等輔助安當(dāng)前的網(wǎng)絡(luò)環(huán)境中，存在多種網(wǎng)絡(luò)實(shí)體身份標(biāo)識(shí)方式，包括網(wǎng)絡(luò)用戶的生物特征、法定證件，網(wǎng)絡(luò)設(shè)備的物理標(biāo)識(shí)、MAC地址，網(wǎng)絡(luò)應(yīng)用的注冊(cè)標(biāo)識(shí)等。上述各種身份標(biāo)識(shí)方案命名標(biāo)準(zhǔn)分散，格式不統(tǒng)一，且擴(kuò)展性有限，無法有效用于5G網(wǎng)絡(luò)中對(duì)海量實(shí)體的身份標(biāo)識(shí)。面對(duì)用戶、設(shè)備、數(shù)據(jù)、服務(wù)等識(shí)機(jī)制，對(duì)各網(wǎng)絡(luò)實(shí)體進(jìn)行命名支持，OID對(duì)象標(biāo)識(shí)機(jī)制可以作為5G網(wǎng)絡(luò)中OID（ObjectIdentifier，對(duì)象標(biāo)識(shí)符又稱為物聯(lián)網(wǎng)域名）是由ISO/IEC、構(gòu)對(duì)任意類型的對(duì)象進(jìn)行全球無歧義、唯一命名。OID的目標(biāo)是為了標(biāo)識(shí)通信和信息處理世界中的任何事物，具有可命名并可被注冊(cè)的性質(zhì)。OID是使用無歧義的全局唯一值來標(biāo)識(shí)對(duì)象，可保證對(duì)象在通信或信息處理中正確地定位和標(biāo)識(shí)機(jī)制，適合作為現(xiàn)有各種應(yīng)用的元標(biāo)識(shí)機(jī)制。如在射頻識(shí)別（RFID）領(lǐng)域OID編碼結(jié)構(gòu)為樹狀結(jié)構(gòu)，不同層次之間用“.”分隔，層數(shù)無限制，具有很好地?cái)U(kuò)展性。在標(biāo)識(shí)對(duì)象時(shí)，標(biāo)識(shí)符為由從樹根到葉子全部路徑上的結(jié)點(diǎn)順序組合而成的一個(gè)字符串。具體應(yīng)用場(chǎng)景中，OID可以使用默認(rèn)的數(shù)字名稱，也可以使用自然語言名稱，增加對(duì)用戶的可讀性。OID樹形結(jié)構(gòu)的國際根節(jié)點(diǎn)下責(zé)該國家分支下的OID分配、注冊(cè)、解析等工作，實(shí)現(xiàn)自我管理和維護(hù)。OID標(biāo)識(shí)機(jī)制不存在任何國際專利、知識(shí)產(chǎn)權(quán)、注冊(cè)費(fèi)等方面問題。目前，我國OID標(biāo)識(shí)解析系統(tǒng)已研制成功，能夠?qū)崿F(xiàn)和國際根系統(tǒng)對(duì)接的同時(shí)，保證自主可控性。OID注冊(cè)中心自成立以來，已為國內(nèi)一百多家政府機(jī)關(guān)、企事業(yè)單位安全需求各不相同。網(wǎng)絡(luò)實(shí)體的身份憑證不僅需要認(rèn)證個(gè)體的身份真實(shí)性，并將實(shí)體的身份標(biāo)識(shí)與憑證進(jìn)行綁定，還應(yīng)定義不同的身份憑證安全等級(jí)，對(duì)網(wǎng)鑒于網(wǎng)絡(luò)身份憑證需具備可信性，且易于分發(fā)與驗(yàn)證，網(wǎng)絡(luò)身份憑證的簽發(fā)應(yīng)使用非對(duì)稱密碼機(jī)制。憑證的可靠性、數(shù)據(jù)完整性保障由憑證的簽發(fā)者進(jìn)行簽名實(shí)現(xiàn)，憑證的驗(yàn)證者只需要通過公開途徑獲得相應(yīng)的驗(yàn)證公鑰，即可實(shí)現(xiàn)對(duì)于憑證的有效驗(yàn)證。使用非對(duì)稱密碼機(jī)制進(jìn)行身份憑證的簽發(fā)，可確保憑網(wǎng)絡(luò)實(shí)體身份憑證的簽發(fā)方在簽發(fā)過程中應(yīng)加入安全屬性信息，對(duì)網(wǎng)絡(luò)實(shí)體的安全級(jí)別以及簽發(fā)環(huán)境進(jìn)行描述。安全屬性描述內(nèi)容包括網(wǎng)絡(luò)實(shí)體身份標(biāo)識(shí)的類型、實(shí)體來源、接入的網(wǎng)絡(luò)環(huán)境、簽發(fā)時(shí)提供的身份信息范圍等，用以向網(wǎng)絡(luò)資源提供者申請(qǐng)相應(yīng)安全等級(jí)的服務(wù)。身份憑證驗(yàn)證時(shí)，憑證的使用方（如網(wǎng)絡(luò)應(yīng)用）會(huì)根據(jù)其憑證的安全屬性描述對(duì)該實(shí)體進(jìn)行安全等級(jí)評(píng)估，并為確保各網(wǎng)絡(luò)實(shí)體對(duì)網(wǎng)絡(luò)資源的無縫訪問，應(yīng)定義統(tǒng)一的網(wǎng)絡(luò)實(shí)體身份鑒別機(jī)制，提供專業(yè)身份服務(wù)，實(shí)現(xiàn)網(wǎng)絡(luò)用戶、設(shè)備、資源、服務(wù)的互聯(lián)互通，并有份提供方，共享該身份提供方的身份憑證鑒別結(jié)果。具體的，網(wǎng)絡(luò)身份提供方對(duì)網(wǎng)絡(luò)用戶、設(shè)備等實(shí)體進(jìn)行身份管理，存儲(chǔ)并維護(hù)其鑒別信息和相關(guān)屬性信息。網(wǎng)絡(luò)身份提供方接受網(wǎng)絡(luò)資源提供方提交的實(shí)體憑證鑒別請(qǐng)求，對(duì)網(wǎng)絡(luò)實(shí)體進(jìn)行身份鑒別。鑒別結(jié)果及相關(guān)網(wǎng)絡(luò)實(shí)體的屬性信息經(jīng)網(wǎng)絡(luò)身份提供方簽名例如，為了降低運(yùn)營和維護(hù)成本，網(wǎng)絡(luò)應(yīng)用服務(wù)商可將網(wǎng)絡(luò)用戶身份認(rèn)證權(quán)委托給運(yùn)營商，由運(yùn)營商統(tǒng)一進(jìn)行網(wǎng)絡(luò)和業(yè)務(wù)認(rèn)證以達(dá)到進(jìn)行一次認(rèn)證，各處使用的效果。類似的，對(duì)于政府、銀行等部分網(wǎng)絡(luò)應(yīng)用服務(wù)，網(wǎng)絡(luò)運(yùn)營商可以信任網(wǎng)絡(luò)應(yīng)用服務(wù)商，將其作為用戶身份鑒別服務(wù)的提供者，直接使用其用戶身份鑒別結(jié)果，為用戶提供網(wǎng)絡(luò)服務(wù),實(shí)現(xiàn)跨網(wǎng)絡(luò)運(yùn)營商的用戶漫游接入計(jì)統(tǒng)一的網(wǎng)絡(luò)實(shí)體身份鑒別機(jī)制應(yīng)對(duì)網(wǎng)絡(luò)實(shí)體提供多安全級(jí)別的隱私保護(hù)。應(yīng)用會(huì)逐漸從封閉的平臺(tái)轉(zhuǎn)移到開放的平臺(tái)上，接觸狀態(tài)從線下變成線上，用戶的身份、位置、健康等隱私信息將被大量在網(wǎng)絡(luò)中處理、留存并傳輸，甚至某些敏感信息（如生物特征）本身作為身份標(biāo)識(shí)信息被各應(yīng)用公開采集，泄露的風(fēng)險(xiǎn)也因此增加。網(wǎng)絡(luò)身份提供方在提供身份實(shí)體鑒別服務(wù)的基礎(chǔ)上，還需要考慮不同安全等級(jí)的用戶隱私保護(hù)機(jī)制，對(duì)各網(wǎng)絡(luò)資源提供方設(shè)置不同的隱私信息訪問權(quán)限，避免網(wǎng)絡(luò)資源提供方對(duì)用戶信息進(jìn)行關(guān)聯(lián)分析，規(guī)范網(wǎng)絡(luò)身多個(gè)網(wǎng)絡(luò)身份提供方可以組成身份聯(lián)盟，在不直接共享身份憑證和隱私信息的前提下，共同對(duì)網(wǎng)絡(luò)資源提供方進(jìn)行服務(wù)。身份聯(lián)盟內(nèi)，多個(gè)網(wǎng)絡(luò)身份提供方與眾多網(wǎng)絡(luò)資源提供方進(jìn)行協(xié)商，明確身份服務(wù)的提供方和依賴方。用戶在網(wǎng)絡(luò)資源提供方中提交身份鑒別請(qǐng)求時(shí)，可以自主選擇身份提供者進(jìn)行身份憑證的鑒別。身份聯(lián)盟可以在保證網(wǎng)絡(luò)實(shí)體隱私不被泄露的基礎(chǔ)上，為用戶提5G通信網(wǎng)絡(luò)中，網(wǎng)絡(luò)實(shí)體的廣泛接入，網(wǎng)絡(luò)應(yīng)用與網(wǎng)絡(luò)資源的大規(guī)模擴(kuò)各網(wǎng)絡(luò)身份提供方、網(wǎng)絡(luò)資源提供方和資源所有者之間的多元信任，通過有效網(wǎng)絡(luò)資源提供方應(yīng)對(duì)網(wǎng)絡(luò)用戶提供不同安全級(jí)別的資源訪問權(quán)限。網(wǎng)絡(luò)資源提供方信任網(wǎng)絡(luò)身份提供方提供的用戶身份鑒別結(jié)果，根據(jù)其憑證的安全屬性設(shè)置，制定基于屬性的訪問控制策略，為網(wǎng)絡(luò)用戶提供相應(yīng)的網(wǎng)絡(luò)資源訪問服務(wù)。屬性類型包括用戶屬性、資源屬性和環(huán)境屬性，分別描述了用戶實(shí)體、網(wǎng)絡(luò)資源以及用戶進(jìn)行身份鑒別時(shí)的環(huán)境狀況。網(wǎng)絡(luò)資源提供方維護(hù)資源屬性，對(duì)資源進(jìn)行型號(hào)、所有者、類別等標(biāo)記；網(wǎng)絡(luò)身份提供方維護(hù)姓名、職級(jí)、部門等用戶屬性，并在用戶進(jìn)行身份鑒別時(shí)，獲取其憑證安全等級(jí)、鑒別時(shí)間、鑒別地點(diǎn)等環(huán)境屬性。在用戶請(qǐng)求網(wǎng)絡(luò)資源時(shí)，網(wǎng)絡(luò)資源提供方根據(jù)網(wǎng)絡(luò)身份提供方提供的屬性支持，以及內(nèi)部設(shè)定的訪問控制策略，對(duì)用戶進(jìn)行具網(wǎng)絡(luò)應(yīng)用服務(wù)與網(wǎng)絡(luò)資源提供方之間同樣需要建立資源授權(quán)訪問的渠道。在得到網(wǎng)絡(luò)資源所有者的許可后，其他網(wǎng)絡(luò)實(shí)體（如其他網(wǎng)絡(luò)應(yīng)用服務(wù)提供商）可以向網(wǎng)絡(luò)資源提供方申請(qǐng)?jiān)L問相應(yīng)資源。授權(quán)管理體制需要明確資源授權(quán)訪問的協(xié)議流程，定義網(wǎng)絡(luò)資源提供方可授權(quán)的資源的范圍，以及網(wǎng)絡(luò)資源提供方、資源所有者、資源請(qǐng)求方等各網(wǎng)絡(luò)實(shí)體的行為邊界，實(shí)現(xiàn)數(shù)據(jù)資源、應(yīng)用服務(wù)、接入計(jì)費(fèi)權(quán)等網(wǎng)絡(luò)資源的有效授權(quán)管理，建立廣泛的網(wǎng)絡(luò)實(shí)體間的絡(luò)資源提供方、網(wǎng)絡(luò)身份提供方和資源所有者等多方的信任授權(quán)體系，構(gòu)建網(wǎng)絡(luò)應(yīng)用間服務(wù)資源安全訪問的渠道，實(shí)現(xiàn)網(wǎng)絡(luò)服務(wù)資源在網(wǎng)絡(luò)實(shí)體間有序、可同的接入技術(shù)，5G網(wǎng)絡(luò)應(yīng)提供統(tǒng)一的認(rèn)證框架，支持多種接入方式和接入憑的密鑰。接入網(wǎng)絡(luò)節(jié)點(diǎn)和核心網(wǎng)絡(luò)節(jié)點(diǎn)之間根據(jù)安全需求可通過IPSec隧道機(jī)除上述沿用LTE安全機(jī)制之外，5G面數(shù)據(jù)加密和完整性保護(hù)機(jī)制。根據(jù)具體業(yè)務(wù)的安全需求，可選擇部署相應(yīng)的安全保護(hù)機(jī)制，此類安全機(jī)制的選擇，包括加密終結(jié)點(diǎn)的不同，加密算法的不用戶信息帶來的隱私泄露的風(fēng)險(xiǎn)，5G網(wǎng)絡(luò)考慮采用加密傳送機(jī)制保護(hù)用戶隱5G網(wǎng)絡(luò)支持非3GPP接入，其接入模型如下圖所示，例如5G用戶使用和非可信的非3GPP接入類型。N3IWF靠近接入網(wǎng)絡(luò)部署，并提供統(tǒng)一的N2全，N3IWF使用AKA和IKEv2結(jié)合的安全保障機(jī)制。l根據(jù)不同的接入技術(shù)，提供對(duì)應(yīng)的二層接入機(jī)制，例如PPPoE接入，l用戶認(rèn)證成功之后，安全錨點(diǎn)通過Nl根據(jù)應(yīng)用特征，為不同應(yīng)用提供差異化IKEv2加密和完整性保護(hù)算物聯(lián)網(wǎng)中存在大量的終端需要接入網(wǎng)絡(luò)，這些終端通常為低功耗資源受限設(shè)備，如果采用傳統(tǒng)接入認(rèn)證機(jī)制接受海量物聯(lián)網(wǎng)終端并發(fā)接入網(wǎng)絡(luò)，則極容易產(chǎn)生信令風(fēng)暴，造成網(wǎng)絡(luò)擁塞。針對(duì)該問題，研究對(duì)傳統(tǒng)認(rèn)證機(jī)制進(jìn)行局部該方案通過在近用戶端部署消息聚合設(shè)備，例如信令聚合設(shè)備部署于無線接入網(wǎng)絡(luò)域，配合認(rèn)證設(shè)備（接入認(rèn)證點(diǎn)、認(rèn)證服務(wù)器）完成對(duì)MTC終端接消息聚合設(shè)備接收海量MTC終端發(fā)送的消息，對(duì)每個(gè)終端的信令消息進(jìn)行解析，并按照一定的策略進(jìn)行消息聚合處理，例如將同為接入請(qǐng)求的消息進(jìn)行解析，提取必要用戶信息后，合并為一條接入請(qǐng)求消息。聚合設(shè)備將聚合消息發(fā)送給接入認(rèn)證點(diǎn)和認(rèn)證服務(wù)器。認(rèn)證服務(wù)器根據(jù)接收的消息，完成對(duì)消息中包含的所有用戶的認(rèn)證批處理，例如向簽約信息服務(wù)器獲取對(duì)應(yīng)用戶的聚合認(rèn)證向量。認(rèn)證服務(wù)器將認(rèn)證結(jié)果返回給聚合設(shè)備，聚合設(shè)備進(jìn)行消息解析，聚合認(rèn)證方式大大降低了信令開銷，從而減輕認(rèn)證設(shè)備的處理負(fù)擔(dān)以及網(wǎng)該方案對(duì)海量MTC終端進(jìn)行分組，為每組用戶設(shè)立群組網(wǎng)關(guān)負(fù)責(zé)組內(nèi)簽約信息服務(wù)器中存儲(chǔ)每組用戶的簽約信息，包括群組標(biāo)識(shí)，網(wǎng)關(guān)標(biāo)識(shí)和組內(nèi)用戶的標(biāo)識(shí)，組內(nèi)用戶的密鑰等簽約信息。群組用戶接入網(wǎng)絡(luò)的前提是群組網(wǎng)關(guān)首先接入網(wǎng)絡(luò)。群組網(wǎng)關(guān)接入網(wǎng)絡(luò)發(fā)起認(rèn)證時(shí)，簽約信息服務(wù)器接收到群組網(wǎng)關(guān)的接入認(rèn)證參數(shù)請(qǐng)求，此時(shí)根據(jù)組簽約信息，簽約信息服務(wù)器需要為群組網(wǎng)關(guān)接入產(chǎn)生認(rèn)證向量，同時(shí)還要為組內(nèi)所有用戶產(chǎn)生認(rèn)證向量，并將群組認(rèn)證向量（包含網(wǎng)關(guān)認(rèn)證向量和組用戶認(rèn)證向量）返回給認(rèn)證服務(wù)器。在群組網(wǎng)關(guān)接入認(rèn)證成功之后，認(rèn)證服務(wù)器將對(duì)應(yīng)的組用戶認(rèn)證向量發(fā)送給群組網(wǎng)關(guān)保存。后續(xù)當(dāng)組內(nèi)用戶接入網(wǎng)絡(luò)發(fā)起認(rèn)證時(shí)，由群組網(wǎng)關(guān)作為認(rèn)證代理，完群組認(rèn)證方式要求群組網(wǎng)關(guān)首先完成接入網(wǎng)絡(luò)的認(rèn)證，認(rèn)證通過后，網(wǎng)絡(luò)信任群組網(wǎng)關(guān)并將組用戶認(rèn)證向量發(fā)送給群組網(wǎng)關(guān)，由群組網(wǎng)關(guān)完成和組用戶的認(rèn)證。通過這種信任傳遞的方式完成網(wǎng)絡(luò)對(duì)所有MTC設(shè)備的認(rèn)證過程。這種方式減少了MTC設(shè)備和網(wǎng)絡(luò)認(rèn)證設(shè)備的認(rèn)證交互過程，減輕了認(rèn)證設(shè)備的為了實(shí)現(xiàn)業(yè)務(wù)的低時(shí)延，其主要技術(shù)手段包括：縮短傳輸距離、簡(jiǎn)化架構(gòu)與流程、提升性能、網(wǎng)絡(luò)輕載等。但是網(wǎng)絡(luò)中一些安全特性的使用，例如鑒權(quán)機(jī)制、加密完整性保護(hù)，會(huì)額外增加信令消息、數(shù)據(jù)報(bào)文處理計(jì)算消耗，從而因此，在保證安全的前提下，為降低安全處理帶來的額外時(shí)延，需要根據(jù)終端、網(wǎng)絡(luò)、應(yīng)用安全特性進(jìn)行優(yōu)化，對(duì)5G承載網(wǎng)絡(luò)的安全能力進(jìn)行取舍、裁剪；另外可以針對(duì)不同的應(yīng)用特征建立對(duì)應(yīng)的網(wǎng)絡(luò)切片，對(duì)安全能力進(jìn)行統(tǒng)一管理，或者可以由業(yè)務(wù)層自己定制安全能力，從而不依賴5G承載的通用安ANAF/Non-IP-①UE-AN安全-②AN-CN安全③CN-AF安全-④UE-CN安全⑤UE-AF安全從上圖看出在安全功能實(shí)現(xiàn)上存在多個(gè)層面的重疊或者多重防護(hù)，針對(duì)超低時(shí)延場(chǎng)景，可以考慮統(tǒng)籌網(wǎng)絡(luò)規(guī)劃，盡量減少安全重疊，從原來的五層網(wǎng)絡(luò)安全壓縮到兩層甚至一層網(wǎng)絡(luò)安全。例如將接入網(wǎng)和核心網(wǎng)盡量部署在同一個(gè)與CN之間安全只選擇其一，減少安全開銷；UE與AF之間的安全為保證控制面狀態(tài)切換時(shí)間在10ms以內(nèi)，對(duì)狀態(tài)切換請(qǐng)求消息（例如業(yè)務(wù)請(qǐng)求消息）進(jìn)行簡(jiǎn)單的本地鑒權(quán)，通過完整性保護(hù)檢查確認(rèn)合法即可，盡量針對(duì)機(jī)密性要求不高但可靠性要求較高的應(yīng)用，例如工業(yè)控制應(yīng)用，可以保留完整性保護(hù)機(jī)制，而選擇不加密或者輕量級(jí)的加密。通過完整性校驗(yàn)可避針對(duì)機(jī)密性和可靠性都有要求的應(yīng)用，例如智能穿戴應(yīng)用，考慮盡量選擇邊緣節(jié)點(diǎn)硬件設(shè)施保護(hù)、MEC系統(tǒng)隱私泄露防護(hù)、MEC三元認(rèn)證與鑒權(quán)方案。其中MEC邊緣節(jié)點(diǎn)硬件設(shè)施保護(hù)方案針對(duì)物理設(shè)施防護(hù)的安全需求，旨在消除邊緣節(jié)點(diǎn)暴露的硬件基礎(chǔ)設(shè)施帶來的方案針對(duì)隱私與數(shù)據(jù)保護(hù)的安全需求，通過管控運(yùn)行于MEC系統(tǒng)中的第三方應(yīng)用阻止隱私信息流出；而MEC三元認(rèn)證與鑒權(quán)方案針對(duì)認(rèn)證、鑒權(quán)與權(quán)限管理的安全需求，主要解決服務(wù)下沉至網(wǎng)絡(luò)邊緣帶來的實(shí)體間互認(rèn)證和權(quán)限分MEC硬件設(shè)施保護(hù)方案的基本策略為“盡力保護(hù)，按需備份”?！氨M力保護(hù)”指采取一切可行的措施降低MEC邊緣節(jié)點(diǎn)硬件基礎(chǔ)設(shè)施被破壞的可能。由于MEC服務(wù)被下沉至網(wǎng)絡(luò)邊緣客觀上縮短了其與攻擊者之間的物理距離，“盡力保護(hù)”的首要目標(biāo)在于減小攻擊者接觸到MEC邊緣節(jié)點(diǎn)硬件基礎(chǔ)設(shè)施的機(jī)會(huì)。門和門禁監(jiān)控，加固易被盜取的空調(diào)、變壓器、蓄電池、電纜，建立動(dòng)力環(huán)境監(jiān)控系統(tǒng)，加裝紅外探測(cè)器、振動(dòng)傳感器、聲光告警設(shè)備，實(shí)時(shí)MEC邊緣計(jì)算節(jié)點(diǎn)可能被置于嚴(yán)酷場(chǎng)景中，面臨來自極端和工業(yè)災(zāi)難的威脅。因此，“盡力保護(hù)”的另一目標(biāo)在于降低惡劣環(huán)境破壞MEC邊緣節(jié)點(diǎn)硬件基礎(chǔ)設(shè)施的風(fēng)險(xiǎn)。為此必須強(qiáng)化邊緣節(jié)點(diǎn)硬件基礎(chǔ)設(shè)施的防火、防水、防塵、防輻射能力，采用耐高溫、防水的線纜、材料和防護(hù)外殼制作高節(jié)點(diǎn)硬件基礎(chǔ)設(shè)施的暴露的問題。一旦MEC邊緣節(jié)點(diǎn)被攻陷或發(fā)生故障，MEC服務(wù)能夠通過“按需備份”策略得到保持或恢復(fù)。“按需備份”指根據(jù)MEC服務(wù)的需求，選擇性地進(jìn)行數(shù)據(jù)備份。對(duì)于可靠性和時(shí)延要求極高的服務(wù)，如無人駕駛，MEC系統(tǒng)將其數(shù)據(jù)分布式地備份到多效的情況時(shí)，距離用戶最近、延遲最低的節(jié)點(diǎn)直接對(duì)用戶恢復(fù)服務(wù)。而對(duì)于可靠性和時(shí)延要求較為寬松的服務(wù)，其數(shù)據(jù)被備份在MEC控制器。當(dāng)前節(jié)點(diǎn)失效時(shí)，MEC控制器將備份數(shù)據(jù)回傳給距離用戶最近、延遲最MEC控制器應(yīng)協(xié)同工作增強(qiáng)MEC系統(tǒng)的隱私保護(hù)，基本實(shí)現(xiàn)框架如圖8所示，其特點(diǎn)在于1）隱私保護(hù)策略可適配2）MEC用行為的隱私保護(hù)策略可由用戶制定或由MEC系統(tǒng)適配。隱私保護(hù)策略需同時(shí)滿足隱私信息的安全需求與應(yīng)用的基本服務(wù)要求。隱私保護(hù)策略可由以下四MEC用戶隱私信息用戶設(shè)備隱私保護(hù)策略MEC服務(wù)供應(yīng)方服務(wù)供應(yīng)方MEC用戶隱私信息用戶設(shè)備隱私保護(hù)策略MEC服務(wù)供應(yīng)方服務(wù)供應(yīng)方5G網(wǎng)絡(luò)MEC系統(tǒng)MEC節(jié)點(diǎn)MEC控制器考慮到MEC低時(shí)延的特性，服務(wù)提供方提前根據(jù)可能的安全策略構(gòu)造應(yīng)檢索與之匹配的應(yīng)用，同時(shí)在MEC節(jié)點(diǎn)配置相應(yīng)的虛擬環(huán)境。符合安全策略的應(yīng)用在MEC節(jié)點(diǎn)的專用虛擬環(huán)境中實(shí)例化。MEC節(jié)點(diǎn)通過多種措施監(jiān)控l輸入控制功能：阻止應(yīng)用非法讀取用戶隱私信息，嚴(yán)控應(yīng)用對(duì)非法訪問，控制危險(xiǎn)協(xié)議以防應(yīng)用惡意上傳數(shù)據(jù)，限定應(yīng)用的上行帶寬l接口控制功能：禁用存在安全隱患的應(yīng)用編程接口，防范應(yīng)用l生命周期管理功能：MEC節(jié)點(diǎn)對(duì)隱私信息進(jìn)行全生命周期的管理，加密存儲(chǔ)隱私信息，在隱私信息的發(fā)布階段運(yùn)用匿名技術(shù)，在隱私信息被l配置不可變功能：維持應(yīng)用虛擬環(huán)境配置的穩(wěn)定，拒絕來自l狀態(tài)斷言功能：MEC節(jié)點(diǎn)實(shí)時(shí)將應(yīng)用行為記錄在日志中，并向用戶提MEC控制器代理服務(wù)提供方或連接應(yīng)用的請(qǐng)求，使服務(wù)提供方運(yùn)行于邊緣節(jié)點(diǎn)上應(yīng)用。同時(shí)，MEC控制器負(fù)責(zé)監(jiān)管應(yīng)用發(fā)往外界的全部通），），用戶使用的用戶設(shè)備（以下稱用戶），三者構(gòu)成了MEC基本的三元信任模除此之外，在三元信任模型內(nèi)部，MEC系統(tǒng)由MEC控制器與MEC節(jié)點(diǎn)組成，同時(shí)，在資源配置的過程中，移動(dòng)邊緣協(xié)調(diào)器分別對(duì)MEC節(jié)點(diǎn)和用戶進(jìn)用戶MEC服務(wù)供應(yīng)方MEC用戶與應(yīng)用互認(rèn)證用戶與MEC系統(tǒng)互認(rèn)證MEC節(jié)點(diǎn)第三方應(yīng)用用戶設(shè)備認(rèn)證服務(wù)器MEC系統(tǒng)與應(yīng)用互認(rèn)證控制器對(duì)用戶鑒權(quán)用戶MEC服務(wù)供應(yīng)方MEC用戶與應(yīng)用互認(rèn)證用戶與MEC系統(tǒng)互認(rèn)證MEC節(jié)點(diǎn)第三方應(yīng)用用戶設(shè)備認(rèn)證服務(wù)器MEC系統(tǒng)與應(yīng)用互認(rèn)證控制器對(duì)用戶鑒權(quán)5G網(wǎng)絡(luò)MEC系統(tǒng)節(jié)點(diǎn)對(duì)應(yīng)用鑒權(quán)控制器對(duì)節(jié)點(diǎn)鑒權(quán)MEC基礎(chǔ)平臺(tái)MEC控制器認(rèn)證MEC節(jié)點(diǎn)虛擬化基礎(chǔ)設(shè)施節(jié)點(diǎn)對(duì)應(yīng)用鑒權(quán)控制器對(duì)節(jié)點(diǎn)鑒權(quán)MEC基礎(chǔ)平臺(tái)MEC控制器認(rèn)證MEC節(jié)點(diǎn)虛擬化基礎(chǔ)設(shè)施MEC控制器網(wǎng)絡(luò)切片將是5G網(wǎng)絡(luò)的重要組成部分，它使運(yùn)營商能夠針對(duì)市場(chǎng)的各種需求創(chuàng)建定制網(wǎng)絡(luò)，以提供優(yōu)化的解決方案，例如，從功能、性能和隔離等方網(wǎng)絡(luò)切片中的網(wǎng)絡(luò)功能共享和不同切片之間的隔離可能會(huì)帶來安全隱患。在某些場(chǎng)景下網(wǎng)絡(luò)切片允許第三方運(yùn)行他們自己的功能，甚至可能完全由外部第三方（如企業(yè)或者特殊行業(yè)）管理，因此與網(wǎng)絡(luò)切片相關(guān)的安全要求中，網(wǎng)5G網(wǎng)絡(luò)的業(yè)務(wù)接入模型有多種類型，UE不僅能夠通過不同類型的接入網(wǎng)且能夠同時(shí)接入由不同網(wǎng)絡(luò)切片提供的服務(wù)。因此5G網(wǎng)絡(luò)這些能力組合導(dǎo)致同時(shí)5G網(wǎng)絡(luò)可以通過網(wǎng)絡(luò)切片實(shí)現(xiàn)不同安全等級(jí)的網(wǎng)絡(luò)，實(shí)現(xiàn)按需組網(wǎng)，安全分級(jí)，即通過按需組網(wǎng)、安全分級(jí)的網(wǎng)絡(luò)切片安全關(guān)鍵技術(shù)，根據(jù)業(yè)務(wù)場(chǎng)景和業(yè)務(wù)需求實(shí)現(xiàn)切片的安全隔離，采用不同的安全機(jī)制實(shí)現(xiàn)不同的安全等級(jí)，實(shí)現(xiàn)終端的接入認(rèn)證和鑒權(quán)和切片間的通信安全，實(shí)現(xiàn)5G網(wǎng)絡(luò)的按需時(shí)提供移動(dòng)終端到基站之間的信令面數(shù)據(jù)完整性和機(jī)密性保護(hù)、移動(dòng)終端到核不同網(wǎng)絡(luò)域之間一般采用IPSec對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行完整性和機(jī)密性保護(hù)。對(duì)于為了進(jìn)一步保證行業(yè)的業(yè)務(wù)應(yīng)用安全性，也可在終端的應(yīng)用層增加端到端的需求不盡相同，因此需要針對(duì)不同的用戶和業(yè)務(wù)場(chǎng)景采用不同技術(shù)措施解決從數(shù)據(jù)采集傳輸、數(shù)據(jù)脫敏、數(shù)據(jù)加密、安全基線建立、數(shù)據(jù)發(fā)布保護(hù)等方面數(shù)據(jù)加密是5G網(wǎng)絡(luò)中保證數(shù)據(jù)隱私安全的最有效手段之一，也是隱私保護(hù)過程中采用的最常見技術(shù)手段之一。按照實(shí)現(xiàn)思路，可以將其劃分為靜態(tài)加密技術(shù)和動(dòng)態(tài)加密技術(shù)。從實(shí)現(xiàn)的層次上，可以分為存儲(chǔ)加密、鏈路層加密、網(wǎng)絡(luò)層加密、傳輸層加密等。采用加密技術(shù)可以有效保證5G網(wǎng)絡(luò)隱私數(shù)據(jù)的針對(duì)5G網(wǎng)絡(luò)虛擬化和云化的新特點(diǎn)，可以引入一些新的加密技術(shù)來保證數(shù)據(jù)的隱私安全。比如同態(tài)加密技術(shù)，該技術(shù)提供了一種對(duì)加密數(shù)據(jù)進(jìn)行處理的功能。同態(tài)加密技術(shù)對(duì)加密的數(shù)據(jù)處理得到輸出，將這一輸出進(jìn)行解密，其在5G網(wǎng)絡(luò)數(shù)據(jù)發(fā)布過程中，限制發(fā)布技術(shù)即是有選擇地發(fā)布原始數(shù)據(jù)、中于數(shù)據(jù)匿名化:即在隱私披露風(fēng)險(xiǎn)和數(shù)據(jù)精度間進(jìn)行折中,有選擇地發(fā)布敏感范圍內(nèi)。目前，比較成熟的匿名化技術(shù)有k-anonymity（k-匿名化）,l-diversity（l-多樣化）,t-closeness（t-貼近性）技術(shù)等。下一步的研究重點(diǎn)，將網(wǎng)絡(luò)中需要發(fā)布的結(jié)構(gòu)化隱私數(shù)據(jù)，制定更好的匿名化原則、設(shè)計(jì)更高效的匿名化算法，使得5G網(wǎng)絡(luò)發(fā)布的數(shù)據(jù)既能很好的保護(hù)隱私，又能具有較大的利訪問控制技術(shù)也是5G網(wǎng)絡(luò)隱私保護(hù)采用的最常用技術(shù)手段之一。訪問控制可以通過策略和技術(shù)手段保證隱私數(shù)據(jù)不被非法使用和竊取。傳統(tǒng)的訪問控制技術(shù)包括用戶口令、數(shù)字證書、USBKEY、生物識(shí)別技術(shù)等。這些技術(shù)同樣的隱私安全，可采用基于規(guī)則、流程的訪問控制技術(shù)，使得攻擊者無法通過假為保證隱私信息在5G虛擬化網(wǎng)絡(luò)存儲(chǔ)過程中的隱私安全，可采用用戶數(shù)據(jù)庫的動(dòng)態(tài)遷移和隨機(jī)化存儲(chǔ)技術(shù)。動(dòng)態(tài)遷移技術(shù)可以在保證虛擬機(jī)上服務(wù)正常運(yùn)行的同時(shí)，將一個(gè)虛擬機(jī)的數(shù)據(jù)從一個(gè)物理主機(jī)遷移到另一個(gè)物理主機(jī)的互流程，采用相關(guān)信息的動(dòng)態(tài)關(guān)聯(lián)和協(xié)同重組技術(shù)，使得攻擊者無法通過數(shù)據(jù)目前，很多組織都在研究5G網(wǎng)絡(luò)的隱私增強(qiáng)技術(shù)。當(dāng)前研究的重點(diǎn)主要集中在使用非對(duì)稱密鑰加密的方法來加密5G網(wǎng)絡(luò)的永久標(biāo)識(shí)符（IMSI），或端側(cè)通過公鑰對(duì)永久標(biāo)識(shí)符進(jìn)行加密，網(wǎng)絡(luò)側(cè)通過私鑰對(duì)永久標(biāo)識(shí)符進(jìn)行解），用戶簽約身份信息的泄露。同時(shí)，由于有效保護(hù)了用戶的身份隱私，所以即便攻擊者得到了用戶的位置信息，也不知道對(duì)應(yīng)于這個(gè)位置的身份是誰，通過這5G安全管理需要為認(rèn)證/鑒別與授權(quán)、接入安全和切片安全等提供基礎(chǔ)的管理平臺(tái)，為5G網(wǎng)絡(luò)引入5G統(tǒng)一身份和授權(quán)管理，構(gòu)建統(tǒng)一的信任管理體及以實(shí)體形態(tài)部署探針、防火墻等物理安全設(shè)備，跟蹤網(wǎng)元實(shí)時(shí)運(yùn)行狀態(tài)，同時(shí)通過統(tǒng)一的標(biāo)準(zhǔn)接口收集來自切片中安全敏感的虛擬化設(shè)備(如PCF、AUSF等)的上報(bào)事件等等手段，多渠道實(shí)現(xiàn)安全態(tài)勢(shì)感知信息的收集，然后采用基于大數(shù)據(jù)的關(guān)聯(lián)歸并、融合分析和深度挖掘等多種技術(shù)手段，結(jié)合協(xié)議還原識(shí)別、靜態(tài)特征匹配、動(dòng)態(tài)行為分析、異常行為挖掘等層次化檢測(cè)方法，從離散的、孤立的數(shù)據(jù)中探測(cè)發(fā)現(xiàn)潛在的安全威脅，多維度、多視角的將安全態(tài)勢(shì)數(shù)據(jù)推送至安全態(tài)勢(shì)管理與監(jiān)測(cè)預(yù)警管理中心進(jìn)行可視化展示。然后結(jié)合預(yù)警知識(shí)庫、預(yù)案知識(shí)庫給予輔助決策；管理員角色根據(jù)決策適時(shí)調(diào)整網(wǎng)絡(luò)節(jié)點(diǎn)的安全策略（含虛擬化網(wǎng)元之間的安全策略或者安全用途虛擬化網(wǎng)元的配置/設(shè)置策略，等等），從而提升集中式運(yùn)維管理效率和能力，實(shí)現(xiàn)5G網(wǎng)絡(luò)的安全態(tài)勢(shì)安全設(shè)備安全探針安全設(shè)備安全探針狀態(tài)監(jiān)控與數(shù)據(jù)采集安全態(tài)勢(shì)感知與分析攻擊監(jiān)測(cè)與防御安全策略調(diào)整執(zhí)行監(jiān)測(cè)預(yù)警知識(shí)庫安全數(shù)據(jù)采集基礎(chǔ)設(shè)施可以通過5G網(wǎng)絡(luò)中不同位置的安全感知工具，管理網(wǎng)絡(luò)系統(tǒng)設(shè)施如服務(wù)器、網(wǎng)絡(luò)設(shè)備或軟件等，根據(jù)地址信息，通過數(shù)據(jù)聚合分析大量數(shù)據(jù)，根據(jù)分析結(jié)果捕捉整個(gè)系統(tǒng)狀態(tài)，建立捕捉系統(tǒng)狀態(tài)模型，進(jìn)行可視化、共享、查詢和分析，識(shí)別以前或正在進(jìn)行的攻擊和威脅，并在某些情況下，自動(dòng)對(duì)安全事狀態(tài)監(jiān)控依靠設(shè)備狀態(tài)監(jiān)控實(shí)現(xiàn)，通過定義切片內(nèi)部網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器、終端等設(shè)備的狀態(tài)管理、故障管理和安全通告管理接口，實(shí)現(xiàn)基于策略的應(yīng)急響應(yīng)處置和業(yè)務(wù)跟蹤功能，包括預(yù)警信息庫、漏洞庫、處理預(yù)案安全態(tài)勢(shì)感知與分析是指通過對(duì)虛擬化安全設(shè)備及物理環(huán)境基礎(chǔ)設(shè)施安全設(shè)備進(jìn)行廣泛采集，將各類告警數(shù)據(jù)和運(yùn)行狀態(tài)數(shù)據(jù)進(jìn)行統(tǒng)計(jì)分析、關(guān)聯(lián)分全威脅。安全態(tài)勢(shì)分析包括靜態(tài)特征檢測(cè)、動(dòng)態(tài)行為分析、異常行為挖掘、事復(fù)合攻擊包括若干個(gè)攻擊步驟，每一個(gè)攻擊步驟依賴于前一個(gè)攻擊步驟的輸出結(jié)果，而復(fù)合攻擊中的每一個(gè)攻擊步驟由該步驟所對(duì)應(yīng)的告警信息折射出來?；谕{分析與決策治理技術(shù)，分析攻擊步驟之間及攻擊步驟與告警信息間的關(guān)系，進(jìn)行安全預(yù)警，并通過提取各個(gè)攻擊步驟階段相應(yīng)的攻擊意圖后，計(jì)算預(yù)測(cè)未來持續(xù)的攻擊步驟和有效修復(fù)建議，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)防御能力的動(dòng)態(tài)調(diào)整，同時(shí)結(jié)合大數(shù)據(jù)技術(shù)，研究安全風(fēng)險(xiǎn)特征，實(shí)現(xiàn)安全預(yù)警和防御。最后通過與網(wǎng)絡(luò)切片內(nèi)虛擬網(wǎng)元、防火墻之類安全設(shè)備的安全策略聯(lián)動(dòng)，實(shí)現(xiàn)威脅處當(dāng)管理員通過安全態(tài)勢(shì)感知和分析對(duì)當(dāng)前5G網(wǎng)絡(luò)的安全態(tài)勢(shì)形成一定了解并認(rèn)為有必要進(jìn)行安全策略調(diào)整的時(shí)候，可以將調(diào)整目標(biāo)進(jìn)行分解，拆分/形成一系列的對(duì)應(yīng)到不同虛擬化設(shè)備中的安全策略，通過統(tǒng)一的接口將這些策略下發(fā)到各個(gè)虛擬化設(shè)備中予以執(zhí)行，同時(shí)收集這些策略的執(zhí)行結(jié)果，跟蹤網(wǎng)絡(luò)完整性密鑰，還可以提供無線網(wǎng)（即接入層）控制面的機(jī)密性、完整性密鑰，用戶面的機(jī)密性和可選的完整性密鑰，以及用來支持網(wǎng)絡(luò)分片、新空口、非考慮到其他接入方式，還引入了3GPP之外的其他接入網(wǎng)的密鑰：因此，心網(wǎng)都被認(rèn)為是可信的，而核心網(wǎng)切片之間通過虛擬化技術(shù)實(shí)現(xiàn)了資源的隔考慮了5G會(huì)引入多種認(rèn)證機(jī)制，考慮所有密鑰是否需要以及密鑰如何衍生。接入層密鑰可以直接由SEAF進(jìn)行推衍而非接入層機(jī)密性與完整性保護(hù)密鑰不此外，針對(duì)攻擊者通過核心網(wǎng)攻擊獲取接入層的密鑰參數(shù)的情況，有一些隔離接入層與非接入層的密鑰體系被提出。其設(shè)計(jì)思想是：通過與無線鏈路相關(guān)的、不需要分發(fā)的物理層密鑰，使得終端和接入點(diǎn)能夠不依賴核心網(wǎng)，獨(dú)立產(chǎn)生并更新與無線鏈路、節(jié)點(diǎn)強(qiáng)相關(guān)性的加密和完整性保護(hù)密鑰作為接入層密鑰；而終端和核心網(wǎng)協(xié)商使用與身份信息強(qiáng)相關(guān)的加密和完整性保護(hù)密鑰作為非接入層密鑰；接入層密鑰的更新過程與非接入層密鑰的更新過程完全獨(dú)立；在終端安全體系中，密碼是其核心支撐技術(shù)。密碼技術(shù)與終端的不同結(jié)合紅黑隔離的物理門衛(wèi)式安全體系架構(gòu)，是在終端內(nèi)部的信息通路上物理地串接密碼處理部件，形成物理流過式的密碼安全處理，實(shí)現(xiàn)安全數(shù)據(jù)所在的“紅區(qū)”與非安全數(shù)據(jù)所在的“黑區(qū)”隔離的安全架構(gòu)。該架構(gòu)具有以下三個(gè)特點(diǎn)：一是可確保在“紅區(qū)”沒有任何來自“黑區(qū)”的非安全數(shù)據(jù)；二是可為“紅區(qū)”阻攔來自“黑區(qū)”的所有已知和未知網(wǎng)絡(luò)攻擊，包括零日漏洞攻擊等；三是該架構(gòu)的安