摘要：本文从新的应用场景和新的网络架构两方面分析5G面临的安全挑战及其安全需求，介绍目前5G安全研究主要进展，包括安全参考模型、基于SBA的安全架构以及接入认证、网络安全、安全管理、隐私保护等主要安全防护机制，简述5G安全相关标准化组织及标准推进情况，最后从终端安全、安全行业专网和安全服务等方面介绍5G应用中的安全考虑。

曾浩洋    中国电子科技集团公司首席科学家

一、5G面临的安全需求与挑战。   

1.5G有新的应用场景，要增加移动宽带，低功耗大连接、低时延高可靠三大应用场景。

因此，5G不仅仅是速率变得更高，时延变得更低，它将渗透到万物互联的各个领域，与工业控制、智慧交通等紧密结合在一起。所以，安全就变得尤其重要。在这几大应用场景中，对增强移动宽带来说，它的安全挑战需要更高的安全处理性能，这时候用户体验速率已经达到1G；二是它需要支持外部网络二次认证，能更好地与业务结合在一块儿；三是需要解决目前发现的已知漏洞的问题。对低功耗网络来说，我们需要轻量化的安全机制，以适应功耗受限、时延受限的物联网设备的需要；需要通过群组认证机制，解决海量物联网设备认证时所带来的信令风暴的问题，需要抗DDOS攻击机制，应对由于设备安全能力不足被攻击者利用，而对网络基础设施发起攻击的危险。对于低时延高可靠来说，需要提供低时延的安全算法和协议，要简化和优化原有安全上下文的交换、密钥管理等流程，支持边缘计算架构，支持隐私和关键数据的保护。

2.新网络架构的挑战。

为了更好地支持5G应用场景，现在5G提出了以IT为中心的网络架构，会引入多无线接入，SDN、云计算、NFV等技术。比如无线Wi-Fi接入统一认证，在多接入环境下提供安全的运营网络。SDN和NFV这样的技术引入，可以构建这样的逻辑隔离的安全切片，用来支持不同应用场景差异化的需求。但这些技术个引入也对安全造成带来了巨大的挑战，由于它使网络边界变得十分模糊，以前依赖物理边界防护的安全机制难以得到应用。所以，安全机制要适应虚拟化、云化的需要。

但这个引入也对安全造成了巨大的挑战，由于它使网络边界变得十分模糊，以前依赖物理边界防护的安全机制难以得到应用。所以，安全机制要适应虚拟化、云化的需要。

这是5G新的网络架构，这个图是中国移动牵头的5G架构的SDASBA标准，5G把原来4G的物理网元源进行了重新的分解和组合，通过服务和服务编排的方式来提高网络化的功能，通过服务总线实现网源元之间的逻辑接口。服务总线的开放能力和可兼容性使得网络具有很大的灵活性和可扩展性，可以支持不同的业务。

但这对我们的安全设计也会带来新的挑战，我们也要适应这样的服务化、虚拟化、软件定义的变化，也就是说我们要提供安全及即服务、，软件网络定义的安全等能力。

5G网络将会变得更加开放，相比现有的相对封闭的移动通信系统来说，会面临更多的网络空间安全问题。比如 APT 攻击、DDOS、Worm 恶意软件攻击等，而且攻击会更加猛烈，规模更大，影响也会更大。

针对这些5G安全的挑战，相关的 5G 研究组织，比如 3GPP，、欧盟的 I5GPPP 以及 NGMN 这些组织都进行了深入的需求分析。

3.总体安全需求。

总体的需求包括 5G 必须要提供比 4G 更高，至少和 4G 的安全和隐私保护水平相当的安全保障。具体的需求包括要对签约、服务网络、设备进行认证和鉴权。要对网络切片要进行严格的隔离，甚至对敏感数据的隔离强度应该等同于物理上分隔的网络。要防止降维攻击，能够利用机器学习或人工智能方法检测高级网络安全威胁。安全的能力要能服务化，要能符合和适应网络架构的需要。

二、安全架构与相关安全机制

1、5G安全防护架构。

这是安全功能要素组成和他们之间的相互关系。5G安全防护架构延用了原来4G安全参考架构，相比之前增加了非3GPP接入、切片和虚拟网元的安全、网络开放接口安全和安全管理等安全实体。

整个来看，它的安全涉及到接入的安全（用于解决用户的安全接入）、无线空口安全、网络域安全（用来保证网元之间信令和数据交换的安全）、用户域安全，应用域安全、网络开放接口安全、管理域安全几个部分。

这是基于SBA架构下的功能部署考虑。

SBA有两个网元是直接服务于网络安全的，一是 AUSF认证服务器，二是SEPP安全边缘保护代理，涉及运营商核心网络之间的安全交互。在其它网元中应嵌入相应的安全功能。

2、主要的安全机制。

网络接入方面，认证协议上使用了 EAP-AKA’ 以实现统一框架下的双向认证，支持非3GPP的接入，使用5G-AKA增强归属网络控制。

除了原有认证之外，可以借助第三方的二次认证提供认证服务。

认证扩展，要适应于IoT的群组认证，适应于车联网的点对点快速认证。

隐私保护，在USIM卡增加运营商设定的公钥，首次附着网络使用公钥加密IMSI，解决初始接入身份泄露问题。

信令保护，提供空口和NAS层信令的加密和完整性保护。

用户面保护，按需提供空口和/或UE到核心网之间的用户面加密和完整性保护。用户面加密和完整性保护在以前的4G系统里是没有的问题，现在根据物联网需要可以按需选择。

密钥体系、算法需要支持主流的加密和完整性算法，但现在这些算法可能会在5G做进一步的改进，因为5G运营周期设计为20年，20年之中，比如量子计算成熟，受到攻击的风险会增大。所以，在算法方面也可能会进行升级。

在密钥体制方面，还是要支持层次化的密钥派生机制，同时能够提供由于认证机制变化、切片引入和用户面完整性保护所需要的这些新的密钥。

网络安全方面，主要安全机制分布在这些领域。基础设施安全里需要有资源的安全隔离、系统防护控制、安全加固，从而使得基础设施能够安全可信地运行。

在网络域方面，需要考虑对VNF虚拟化网络安全进行可信评估、网元之间的安全通信和移动边缘计算安全、SDN安全。

网络安全切片方面，需要提供网络切片的安全隔离、差异化的安全服务、终端访问切片安全、切片的安全管理以及内部的安全通信等等。

在网络对外服务接口方面，也需要认证授权、对冲突策略进行检测、相关权限控制和安全审计。

安全态势管理与监测预警方面，我们要借助于位于各种网元以及安全设备内的安全探针，采用标准化的安全设备统一管控接口对安全事件进行上报，下发统一的安全策略，可以利用深度学习、机器学习手段来对嗅探和攻击进行检测，应对未知的安全威胁。同时，根据安全威胁能够智能化生成相关的安全策略调整，并将这些策略调整下发到各个安全设备中，从而构建起一个动态的防护体系。

隐私保护方面，现在对个人信息保护非常关注，5G里上面承载着很多用户的隐私和敏感信息，包括用户的号码、用户位置信息等等，我们可能需要从技术和管理两个途径进行保护，在技术层面，加密传输和加密存储、访问控制、对关键隐私数据在网络传输中进行匿名。管理层面，一是数据最小化，只能获取自己必要的信息；二是除了最小化数据之外的信息需要征得用户的许可才能进行使用。

三、5G标准化工作进展

1.5G系统标准化的规划。

按照3GPP标准的总体规划，去年年底已经完成非独立组网5G标准，主要支持增强移动宽带场景，同时完成5G系统架构标准。按照计划是在本月，完成独立组网的5G标准，支持增强移动宽带和低时延高可靠场景。计划明年年底完成满足ITU全部要求的完整5G标准。

对于安全标准的进展，目前开展5G安全研究的组织主要有几个：

1、3GPP，重点研究领域包括安全架构、RAN安全、认证机制、用户隐私、网络切片。目前主要的成果是TR 33.899报告以及标准规范TS 33.501。

2、5GPPP，这是一个欧盟的研究组织，他们重点研究领域包括安全架构、用户隐私、认证机制。目前主要研究成果是5G安全形势白皮书。

3、NGMN，重点研究领域涉及用户隐私、网络切片、MEC安全，他们也形成了相关的建议书，包括接入网改进/抗DDOS攻击、网络切片、MEC低时延/用户体验等等。

4、ETSI重点关注安全体系结构、NFV安全性、MEC安全和隐私，形成报告主要集中在NFV和MEC方面。

2.5G安全标准化的推进情况。

2016年2月，启动相关安全研究工作，2017年8月份完成了第一阶段安全标准的研究，形成了TR33.899的报告。去年2月份启动了第一阶段安全标准的研究。今年3月份，这个标准已经基本冻结，形成了TS33.501的规范。第二阶段的标准计划是在2019年12月完成。这是和大系统同步的。

这两个阶段研究的重点侧重不太一样，第一阶段主要关心的是架构、认证、安全凭证、上下文管理、密钥安全、无线接入安全、用户隐私、网络域的安全等等，主要是4G安全的增强。第二阶段（从今年下半年到明年），主要研究内容，主要针对新的场景，就是大规模物联网、低时延高可靠两个场景下的安全机制，以及对现有安全功能进一步完善，包括SBA安全、网络切片安全和边缘计算安全等等。

3.国内标准进展情况

5G安全国内标准推进由中国通信标准化协会组织开展，目前规划了相应的标准体系，在2016年10月份启动了安全研究，计划今年年终完成安全报告。标准制订方面，今年4月启动了5G网络安全技术要求的立项，计划明年年底完成。

前面三个部分，我们重点主要是介绍了5G系统自身的安全考虑。

四、面向5G应用的安全可能涉及的领域。

1.5G环境下的终端安全。

3GPP里，对终端安全提出了通用要求，包括用户与信令数据的机密性保护，签约凭证的安全存储与处理，用户隐私保护等等。此外，5G的不同应用场景，也对终端安全提出了一些特殊的要求，比如eMBB终端需提供可信执行环境、操作系统的安全增强和高速加解密处理能力；对于mMTC终端，需要支持轻量级的安全算法和协议，能够抗物理攻击以及低功耗、低成本的实现；对于uRLLC的终端需要支持高安全、高可靠的安全机制，能够支持超低延迟的安全硬件，无网络时的相互认证等等。对于一些特殊行业，需要用到高安全终端，需要专用的安全芯片，定制操作系统和特定的应用商店。

5G环境下，终端安全应该是云端协同防御的体系，在终端方面需要从硬件层、系统层、应用层几个层次考虑相应的安全防护措施，同时我们可以借用云端，借用网络能力提供更多的网络安全支持，包括端到端加密；数据安全存储，因为网络带宽足够，一些敏感区域不一定要存在终端上，可以存在云端；云端协同的安全监测预警以及现在用的比较多的基于云端的远程管控、应用安全和系统安全的支撑等等。

2.面向垂直行业的安全服务。

对各种垂直行业来说，业务应用、安全威胁和安全需求存在很大的差异。我们可以依托5G网络基础设施，基于前面服务化的思想，在统一架构下为垂直行业提供定制性和差异化的安全能力。具体来说，我们可以利用网络中的各种安全资源，例如密码算法、5G认证协议和安全知识库等，对安全资源进行抽象和封装，对外提供安全服务，例如加密传输服务、认证服务、信用服务、入侵检测服务等等，这些服务可通过5G的网络能力开放引擎，开放给各种应用，这样就可以使应用在使用网络传输通道的同时也可以获得网络提供的安全服务，能够更高效、更安全地实现信息服务。

3.安全行业专网建设。

对于国防、政务、公共安全和关键行业，对安全有着特别的要求，包括高安全业务可靠保护、敏感信息安全存储与受控访问、特殊用户隐私保护、特殊行业运营管理等。特殊行业在4G以前是基于运营商的公共基础网络，在上面构造专网的思路来实现，这种方式投资成本是比较高的，建设周期比较长，同时可扩展性、灵活性也存在不足，并且技术体制难以跟上发展。通信系统本身发展是很快的，我们往往可以看到系统已经进入到4G，但很多专网还停留在2G、3G上。5G现在开放性架构和灵活性的应用，为构建行业特定专网提供了新的解决思路。

具体来看有两种途径：

一是根据安全的需求进行定制，5G网络可以提供差异化的安全服务，可以利用网络开放能力通过定制和优化获得想要的安全能力。2、对安全要求更高的行业来说，可以将满足自己安全需求的能力、功能进行实例化，通过服务接口编排到网络切片当中，形成自己的行业高安全切片。

在这些方面可以对认证、空口加密、用户平面加密算法进行替换，对存储在UDM的隐私数据、敏感数据进行保护。

基于前面的措施，可以构建行业专用的切片，这个切片和其他的切片资源是隔离的，同时网络安全策略是可以定制的，采取强的安全定制，以防范非法接入以及跨切片的攻击等。此外，还可以通过在业务层面进行终端加密，进一步增强行业应用的安全性，这就是行业专网的一种解决思路。

以上就是我们分享的对5G安全方面的认识。总的来看，由于5G的网络结构、技术体制和应用场景发生了很大的变化，所以，5G安全相对4G之前的网络安全也有很大的变化。目前5G安全研究主要针对在eMBB场景，重点在对4G的安全完善，对于新的应用场景，比如物联网和车联网环境，研究还相对比较滞后，如何保证各种场景下5G系统自身的安全运行以及安全高效地运用5G系统，还需要我们广大同仁们开展深入的探索。