不知风险 何谈5G
宣布时间 2021-01-265G作为万物互联的基础信息网络，被称为“网络的网络”和“系统的系统”，支持“高速泛在”和“智慧交互”的全场景化融合创新应用。“5G作为支撑经济社会数字化、网络化、智能化转型的要害新型基础设施，在稳投资、促消费、助升级、培植经济生长新动能等方面潜力巨大”。
5G 网络为了能够给工业侧垂直行业和消费者提供ROADS (Real- time, On-Demand, All online, DIY, Social) 的体验，使用了诸如网络功效虚拟化（NFV）、用户面和控制面隔离（CUPS）、网络切片（NS）、软件界说网络（SDN）和移动/多接入边缘计算（MEC）之类的技术，构建了端到端能够协同的云化架构，这一架构为在各个环节实现敏捷、自动化和智能提供了可能。
5G架构由资源&功效层、网络层和服务层组成。如下图所示：
5G架构图
1、资源和功效层中，在 SDN、NFV 等技术支撑下，基于物理基础设施实现接入网RAN、传输网络、MEC边缘以及核心网络的云化和可编程化。资源和功效层的另一重要能力是可编程控制，由SDN 控制器以及底层的转发节点组成，SDN 控制器凭据网络的拓扑以及具体的业务需求生成特定的数据转发路径。
5G通过SDN架构实现端到端网络和业务的协同，提升业务的自动开通部署和智能运维能力，同时需要面向高质量的垂直行业客户需求，提供网络资源的隔离以及条理化的网络保障机制，实现时延控制及分段的故障定位功效。
2、网络层的要害功效是跨接入网CloudRAN(华为“利用云重构无线接入网络”)、MEC和核心网的端到端网络切片。利用SDN、NFV等技术可以在通用网络基础结构之上，将单个物理网络划分为多个虚拟网络实现灵活且可扩展的网络切片。网络切片在逻辑上是隔离的，这种结构可以实现面向服务的网络视图，以服务化的方式为差异类型的客户群提供可定制化的服务支持，同时很好地满足独立运维的需求。
作为5G承载多种类型垂直业务基础的端到端网络切片之间共享公共资源和组件，例如网络切片选择功效等（NSSF）。网络切片可以分配有单独的网络功效组件，例如接入和移动性管理功效（AMF），会话管理功效（SMF），计谋控制功效（PCF）等，就是通过这些功效组件来满足特定网络切片的专用功效。
此外，控制面功效和用户面功效(CPF/UPF)疏散简化了5G核心网的基于服务的体系结构Service-Based Architecture（SBA）�？刂泼娴哪？榛⒆榧陀没娴目杀喑袒沟�5G网络功效的可编排成为可能，可以凭据差异需求选择相应的控制面 / 用户面功效以实现网络功效的按需配置。网络能力开放功效（NEF）进行网络能力的抽象及分析或以API的形式开放给第三方。
5GC的用户面功效（UPF）下沉到靠近基站的边缘MEC，作为MEC的一个网元，卖力将边缘网络的流量分流到MEC，二者在逻辑上UPF与MEC是疏散的、松耦合的。在部署上，可以集成部署统一承载，也可以独立部署，主要取决于具体的业务场景的需求。
3、5G支撑多种网络应用场景，满足多种业务承载需求，服务层主要实现为差异的垂直行业提供端到端的服务创建和服务管理能力，同时，按需将网络能力开放给高质量或有特殊业务要求的客户。
4、架构图右侧展现的主要是5G端到端的协同管控、服务编排以及全生命周期的服务管理和宁静保障能力。5G通过开放和尺度化的北向接口（NBI）来对接上层端到端业务编排系统，配合实现端到端的业务流程自动化服务编排、连接、监控和管理。
从网络宁静方面看，宁静能力的服务化编排和可视化管控也应该包罗在内。虽然，有关5G面临的宁静风险和解决思路正是本文要探讨的话题。
5G面临的威胁和端到端宁静挑战
5G 大部门的威胁和挑战与4G 一致，但需要重点考虑新业务、新架构、新技术给5G 网络带来的宁静挑战。3GPP SA3 事情组对5G 宁静的威胁和风险做了十七个方面的分析，包罗：宁静架构、接入认证、宁静上下文、密钥管理、RAN（无线接入网）宁静、下一代UE 宁静、授权、用户注册信息隐私�；ぁ⑼缜衅病⑼缬蚰病⒛部墒踊�& 宁静配置管理、凭证分发、宁静的互联互通和演进、小数据宁静、广播/ 多播宁静、管理面宁静和密码算法的风险分析。
1、基站自身服务可用性面临着外部空口无线信号滋扰和协议攻击的威胁。
2、5G 核心网的部门网元如统一数据管理（UDM）会处置、生存用户的个人信息，所以可能面临用户信息泄露和服务可用性攻击的威胁。
3、需要考虑网络切片业务服务商的接入认证。
4、在新技术方面，就需要考虑量子计算等新技术对传统密码算法的影响。
5、需要考虑SDN、NFV、MEC、云和虚拟化等面临的宁静威胁和挑战。
★ 5G端到端的宁静威胁视图
5G网络面临的宁静威胁和攻击面随着其开放性而不停扩大，所以基于业务场景梳理所面临的宁静威胁，有针对性的接纳宁静措施降低风险，收缩攻击面成为5G网络自身及5G+融合生长历程中需要连续解决的问题。主要包罗如下几方面。
1) 网络的物理结构发生变化，越来越多的应用法式和用例出于当地化计算和超低延迟的需要，需要计算和存储更靠近边缘和数据发生的位置，这样会有更多的能力和服务下沉到MEC，增大MEC的袒露风险。
2) 5G网络引入了一些新技术、新机制和基于软件的体系结构而随之引入的风险。例如SDN、软件界说接入（SDA/CloudRAN）、软件界说无线电（SDR）、控制面和用户面隔离机制（CUPS），MEC，网络切片（NS）和NFV等，基于服务的、云化的、容器化和虚拟化的5G网络架构在更好地支撑垂直行业不停增长的新业务需求和新业务场景的同时，也扩大了袒露面和攻击面。
3) 跨越接入、边缘和核心的大部门威胁面是由于网络架构越发灵活并向互联网开放而引起的。网络能力开放，多类型更大范围更多数量的设备和用户以及供应商会按需接入网络，甚至会管理和配置5G网络，都市加剧因开放而带来的风险。
5G端到端威胁视图
★ 工业侧与网络侧融合应用带来的宁静挑战
5G作为“新基建”服务于垂直行业并带来日益富厚的服务，差异的业务应用场景将具有差异的宁静性要求。例如，物联网服务涉及庞大的应用法式和数千亿个连接（到2025年全球预计750亿），同时，物联网设备的计算能力一般较低，电池寿命要求较高。如果接纳传统的单用户身份验证方式则很可能会发生高昂的成本开销并可能导致信令风暴，同时也会增加物联网设备在计算和电池方面的负担。再如，车联网（IoV）服务对网络延迟和可靠性要求苛刻，甚至通信中的宁静威胁可能危及生命。
因此，需要特别关注工业侧和5G网络侧相融合而发生的融合宁静挑战，这些挑战包罗但不限于如下几个方面：
1) 工业侧和5G网络侧融合生长中，对满足多个应用场景的统一身份验证框架提出了严峻挑战。统一身份认证框架需要满足两侧的网络访问身份验证要求，包罗终端设备身份验证，用户身份验证，多种身份验证要领和多种身份验证机制。
2) 降低用户和设备在身份验证、身份管理和数据传输开销等方面的挑战。好比接入时的身份验证机制，服务访问期间的身份验证机制，用户和设备在移动期间的宁静上下文（场景）切换机制以及网络节点上的数据加解密机制等。
3) 需要对用户面（UPF）数据提供按需�；さ奶粽�。凭据服务类型、部署方式（与MEC集成或离开）和宁静要求部署相适配的宁静�；せ�，好比接纳端点加密、轻量级加密算法等机制。
4) 需要满足网络和宁静能力均具有弹性和伸缩性要求的挑战。 例如，当网络水平扩展或收缩时，能够及时启动或终止某些宁静功效实例以满足宁静要求。
★ IT/ICT和DT的融合网络架构带来的宁静挑战
为了提供更高的系吐溟活性和效率，5G在网络组织上接纳多天线技术（MIMO）、网络切片技术（NS）、软件界说网络（SDN）网络功效虚拟化（NFV）等，引入边缘计算（MEC）等技术，大大缩短端到端的传输时延，有效提升了应用处置效率。在运营管理上接纳大数据和人工智能技术，这些与原有移动网络架构完全迥异的深刻变化，新技术的引入也给5G网络宁静带来了新挑战：
1) 虚拟化和开源软件带来的宁静挑战。5G网络利用虚拟化技术实现了软件和硬件的解耦，网络功效通过软件实现，不再依赖于特殊的通信硬件平台，在方便灵活的同时首先需要特别关注虚拟化宁静风险。其次，网络虚拟化使用大量的开源和第三方软件，这增加了引入宁静漏洞的可能性。通过SDN架构实现端到端网络和业务的协同，提升业务的自动开通部署和智能运维能力的同时需要格外注意SDN的宁静风险。
2) 网络切片宁静。5G网络切片提供差异化的网络服务的同时也带来了新的宁静挑战。例如，网络切片内以及切片之间的资源和宁静隔离问题，跨网络切片的宁静计谋调治和用户设备（UE）的身份认证问题，跨网络切片的用户设备（UE）的数据封装问题，网络切片管理器与其目标物理主机平台之间相互的身份认证问题以防实例化假冒攻击，以及针对网络切片的降维度或降级攻击等。
3) MEC系统平台的宁静问题。移动多接入访问边缘计算（MEC）站点通常部署在物理条件相对较差的机房中，也难以复用核心网络侧的宁静保障措施，在物理宁静保证和网络设备的访问控制方面面临相对较大的风险。在数据宁静方面，5G园区专网中企业通常要求数据不出园区，要求MEC部署在园区侧同时确保MEC系统平台中的数据宁静。此外，园区侧担忧宁静攻击可能会从运营商的网络渗透到园区侧，而运营商也认为园区侧网络不行控且不行信，可能会将宁静威胁或病毒流传到运营商侧。为了应对这些宁静要求和挑战，必须接纳宁静、细颗粒度的隔离措施，以确保运营商侧网络与园区侧网络之间的相互信任和通信，明确双方各自的宁静界限，同时充实利用MEC的优势，确保宁静性。
★ 网络能力开放带来的宁静挑战
5G核心网络（CN）的功效架构引入了NEF功效组件，以实现网络能力的开放性。在南向接口（SBI）方面，NEF与5G核心网中的种种服务网元进行通信。在北向接口（NBI）方面，NEF将向垂直行业差异的应用法式功效（AF）开放API，通过集中式API网关，NEF可以实现5G核心网络功效的统一开放性。
由于调用NEF API的AF可能来自诸如Internet之类的外部运营商或垂直行业客户，因此这种开放性袒露的风险可能会对5G核心网络乃至整个5G网络带来严重的宁静威胁。5G核心网络的网元提供服务开放性并通过API相互调用所开放的能力。因此，在5G网络上，需要在核心网络和外部第三方应用法式之间以及核心网络的内部网元NE之间，支持更高和更灵活的宁静功效，以实现宁静能力的服务化调用。
★ 多种接入技术带来的宁静挑战
5G网络支持多种接入技术，例如WLAN、LTE、牢固网络和新的5G无线接入技术（RAT），差异的接入技术具有差异的宁静要求和身份验证机制。另外，用户可以具有多个终端，而且一个终端可以支持多种接入要领。当终端在差异的接入方式之间切换时，或者用户在差异的终端上使用相同的服务时，需要进行快速认证，以保证服务的连续性，从而获得更好的用户体验。
因此，5G网络需要建立统一的认证框架，构建一个统一的身份管理系统，以集成差异的接入认证要领和身份验证要领，并优化现有的宁静认证协议，以提高在异构网络之间切换终端的宁静认证效率，确保用户在终端或接入方式之间切换的业务连续性。
★ 数据和用户隐私面临的宁静挑战
5G网络上服务和场景的多样性以及网络的开放性增加了用户和设备（UE）隐私信息被泄露的风险。 例如，在5G+智能医疗场景中，有关患者的机密信息（例如病历、处方、治疗要领和治疗计划等）在收集、存储、传输和使用过程中有被泄漏或改动的风险�；蛘咴�5G+智能交通场景中，有关车辆位置和驾驶轨迹之类的私人信息也可能被泄漏，并被非法追踪和使用。因此，对5G网络的用户隐私�；ず褪菽蔡岢隽烁叩囊�。 主要的宁静威胁如下：
1) 5G网络是具有多种接入技术的异构网络，用户隐私和数据疏散在网络的功效实体上，数据挖掘技术使第三方能够汇聚和分析疏散的私人数据并获得更多私人用户信息。
2) 5G网络需要优化和纠正4G网络上的国际移动用户身份（IMSI）漏洞，并使用增强的宁静机制来�；び没矸菝庠庑孤�，同时防止对用户进行降维攻击。
3) 网络攻击者还可以通过使用UE位置信息或空中接口数据包的连续性来跟踪和攻击UE。 因此，5G中用户设备（UE）的位置隐私数据面临泄露和被跟踪的宁静威胁。
4) 5G网络需要在接入技术和运营商之间切换时充实考虑用户数据面临的隐私袒露风险，并制定涵盖用户身份，位置和访问服务的全面隐私�；ぜ颇�。
京公网安备11010802024551号