G安全架构白皮书.docx

1、G安全架构白皮书-201711前言15G 安全挑战和需求1.1 5G 多样化商业需求11.2 5G 网络支撑广连接、高覆盖的物联网接入1.3 5G 引入 IT 新技术、新架构带来的安全挑战2业务和网络架构的变化驱动 5G 安全架构变革2.1 5G 安全新特性2.2 对 4G 安全特性的延续和增强2.3 面向业务构建可扩展、可编排的智能 5G 安全架构框架53华为积极推动 5G 安全标准化，共建 5G 安全生态3.1 端到端安全评估体系14总结5 G 5G 安全架构白皮书 5G 安全架构白皮书 5 G5G 安全挑战和需求ITU-T 定义的 5G 用例广泛的支持垂直行业（如交通、物流、自动驾驶、健

2、康、制造业、能源行业、媒体及娱乐业）的数字化，以及公共事业（智慧城市、公共安全和教育产业）的发展。随着高带宽、低时延、多连接的 5G 网络逐渐普及，将会形成一个普适性的网络平台，催化各行各业的技术与服务的发展。移动网络业务范畴的扩展，丰富了电信网络的生态环境，也对移动网络的安全带来了新的需求和挑战。1.1 5G 多样化商业需求5G 不仅是下一代移动通信网络基础设施，而且是未来数字世界的使能者。5G 并不是一个单一的无线接入技术，也不是几前言个全新的无线接入技术，5G 是一个真正意义上的融合网络，无缝支持各种新的网络部署。我们已经看到了业界 5G 技术的初步实现。它提供了许多功能，使Enhanc

3、ed Mobile Broadband其成为数字化世界的首选平台。和 4G 一样，健全稳固的安全将是5G 网络的优势之一。然而，仅仅用 4G 的安全特性来构造 5G 安全Gigabytes in a second是远远不够的，因为 5G 的全方位业务不仅仅是基于 4G 的的扩展。3D video and UHD screens除了增强的 4G 安全功能之外，5G 还需要全新的安全功能和服务。现代世界的潮流是数字化和全球化，网络安全是其关键特色之一。提高网络安全水平意味着促进一个更安全、更繁荣的社会。为了提供更好的网络安全，需要使用所有必要的工具和手段，而 5G 技术在其中承担了很大的责任。将移

4、动网络的强大的安全功能开放给垂Smart Home/BuildingVoiceSmart CityFuture IMTWork and play in the cloudAugmented realityIndustry automationMission-critical applicationsSelf-driving cars直行业，也有利于满足垂直行业的网络及业务的安全需求。当然，需要以受控的方式进行网络安全能力开放，这样才不会危及运营商，Massive Machine TypeCommunicationsUltra-Reliable and Low-Latency Communica

5、tions确保运营商网络自身的运营能力。我们将展示 5G 安全如何实现两个不同的目标。第一个目标是保护 eMBB 聚焦对带宽有极高需求的业务，例如高清视频，虚拟现实 / 增强现实等，满足人们对于数字化生活的需求5G 平台本身。第二个同样重要的目标，是提供方法和机制来保护那 mMTC 则覆盖对于联接密度要求较高的场景例如智能交通、智能电网、智能制造，满足人们对于数字化社会的需求些建立在 5G 平台之上的服务。 uRLLC 聚焦对时延极其敏感的业务，例如自动驾驶 / 辅助驾驶、远程控制等，满足人们对于数字化工业的需求6 15 G 5G 安全架构白皮书 5G 安全架构白皮书 5 G业务多样化需要差异

6、化安全保护机制1.2 5G 网络支撑广连接、高覆盖的物联网接入为了用一张物理网络满足不同的业务需求，网络在统一的底层物理设施基础上通过虚拟化技术生成相应的网络拓扑以及网5G 网络需要为物联网提供可靠的网络通信服务，海量的物联网设备传感器对连接管理提出了很高要求。例如车联网系统络功能，为每一个特定业务类型生成一个网络切片。每一个网络切片在物理上是源自统一的网络基础设施，这样大大降低中的车车通信、车人通信、车路通信和车网通信涉及上亿传感设备的连接，对于保障交通安全、提高城市交通运行效率、了运营商运营多个不同业务类型的建网成本；而在逻辑上切片又是隔离的，逻辑的独立性满足了每一类业务功能定制、独降低污

7、染排放都具有重要意义。大型城市的智能电表装机量过千万，每天从大量电表向电网数据中心上传大量的计量数据。立运维的需求。智能制造要求永久在线、广覆盖、大连接，为连续运转的机器、数量庞大的产品和工人提供随时随地、无处不在的连接，不同的业务会有差异化的安全需求。5G 系统支持多种业务并行发展，以满足个人用户、行业客户的多样性需求。从网络保证生产各个环节任何位置间的物的连接。架构来看，基于原生云化架构的端到端切片满足这样的多样性需求。同样的，5G 安全设计也需支持业务的多样性，满足差异化安全需求。Smart Wearable网络切片本身也需要安全机制，保证切片的安全运营，用户的正常接入。 Smart H

8、omeSmart Device多元信任模型和可扩展的身份管理机制3G 和 4G 时代，主要业务是语音，短信和移动宽带，业务类型相对比较单一。在传统移动通信网络中，网络对用户入网认证，并作为管道承载用户与服务间的业务认证，用户与网络构成二元信任模型。Smart Building Smart Vehicle5G 时代，移动通信网络不仅仅服务于个人消费者，更重要的是将服务于垂直行业，衍生出丰富的业务。 5G 时代不仅仅是更快的移动网络或更强大的智能手机，而是链接世界的新型业务，如 mMTC 和 URLLC。在 5G 网络中，将融合传统二元信任模型，构建多元信任模型。网络和垂直行业可结合进行业务身份管

9、理，使得业务运行更加高效，用户的个性化需求得以满足。Smart TransportSmart Industry4G 网络身份管理的主要对象是移动宽带用户，采用以设备为单位的对称密钥管理体制，很好的满足了运营商的要求。 而Smart Energy5G 网络面临大量新增的 IOT 设备及其可穿戴设备，传统的用户管理机制在开户，认证等方面成本高昂，已经不能完全满足 5G 用户管理的需求，因此需要进一步扩展的身份管理机制，根据业务特征及其新的安全威胁进行优化。物联网设备数量庞大，无人值守，对网络安全管理和安全防御都带来新的挑战。因此，5G 网络需要为海量的物联网设备安全能力开放提供安全可靠、成本可控的

10、网络接入模式。业务开放带来安全挑战的同时，也给运营商安全业务带来了更广泛的机会。作为 5G 连接基础设施平台的提供者和运营者，电信运营商是业务提供商的最佳使能者，是行业客户可信任的商业伙伴。垂直行业可以直接使用运营商开放的安全能力，降低了一些新型垂直行业的业务门槛和成本，并缩短上市时间。通过安全能力开放，运营商可以盘活网络资产和基础设施，开创新的利益增长点；可以打破管道化运营和封闭网络模式，以电信网络为中心构建安全生态系统；提升差异化竞争力，并形成运营商、垂直行业、安全厂商、个人用户的生态链，合作共赢共创商业价值。统一安全管理5G 系统中存在不同的接入技术和终端，从安全管理的角度考虑，一个包含

11、通用安全核心功能的统一安全框架能够更好的覆盖 5G 网络的整体安全需求。异构接入网络将是下一代接入网络的主要技术特征之一。多制式、多接入、多站点的接入网络，需要协同 5G、LTE、WiFi共存的多制式接入，以及宏站、小站、微站的不同站点形态的并发连接。安全管理需要具备灵活处理异构接入技术的安全能力。2 35 G 5G 安全架构白皮书 5G 安全架构白皮书 5 G智能化的安全防御5G 是个开放的网络，海量物联网设备暴露在户外、硬件资源受限、无人值守，易受黑客攻击和控制，因此网络将会面临大业务和网络架构的变化驱动 5G 安全架构变革量的网络攻击。如果采用现有的人工防御机制，不仅响应速度慢，还将导致

12、防御成本急剧增加，所以需要考虑采用智能化的手段防御海量物联网设备的安全威胁。此外，网络攻击日趋自动化，0day 攻击的可能性越来越大， 5G 中需要考虑被动变主动的安全防御机制。5G 安全架构需进行以下变革，来支持 5G 拓展行业用户，应对 5G 海量物联网终端带来的安全挑战，在网络 IT 化环境中提供端到端的安全保护和防御手段。垂直行业的 IoT 设备，和传统终端相比存在数量众多的特点。在 5G 中需考虑如何应对海量终端被劫持并对网络发起（D）DoS 攻击。和单个终端发起 DoS 攻击相比，联合海量终端向单一网络节点发起（D）DoS 攻击危害性更大。例如目前2.1 5G 安全新特性3GPP

13、正在讨论引入公钥验证终端的永久标识，目的是增强隐私保护，但同时增加了网络节点的运算负荷，如果攻击者滥2.1.1 可扩展的身份管理机制用这个功能，利用海量终端同时对网络发起验证请求，（D）DoS 风险将急剧增加5G 需要多元化的身份管理机制和可扩展的身份管理框架，来应对垂直行业和海量物联网终端带来的的安全管理需求。1.3 5G 引入 IT 新技术、新架构带来的安全挑战多元化的身份管理机制为行业用户提供分层身份管理机制为提高通信系统的灵活性、可扩展性和部署速度，5G 网络将引入 IT 新技术、新架构，包括 NFV/SDN 以及服务化架构。未来运营商可以对行业用户的大量 IoT 终端采用分层的身份管

14、理方式， 即运营商管理行业用户身份，而行业用户管理终端IT 新技术、新架构在使能网络功能的灵活性、可扩展性和快速部署的基础上，也给 5G 安全带来了新的挑战。用户身份，行业用户与运营商协作共担用户管理责任。这样，对于同一个行业用户的海量终端，网络的认证和授权都可以系统级的安全保护和访问授权机制关联到同一个行业用户，从而方便的进行计费管理。行业用户可以在运营商许可的范围内，灵活的增加、减少终端，满足自身行业拓展的需要。5G 网络中 NFV 虚拟化技术的应用，可进一步简化网络功能的部署和更新，使得部分功能网元以虚拟功能的形式部署在云化的基础设施上。5G 需要考虑基础设施的安全机制，从而保障 5G

15、业务在虚拟化环境下能够安全运行；同时定义更好的安全隔离手段，增强虚拟功能网元之间的安全管理。基于虚拟网络的切片也需要安全机制，保证切片的安全运营，用户的正常接入。5G 服务化架构将网络功能进行解耦，并定义通用的服务化接口，支持各网络独立扩容、独立演进、按需部署，支持在被授为个人用户提供以用户为单位的身份管理机制未来个人用户可能同时拥有多个 IoT 设备，允许用户对自身的多个设备（如可穿戴设备）在一定范围内进行灵活的管理，包括设备的入网和服务属性等，如允许流量以在线和离线的方式在用户的不同设备之间共享。同一个用户的不同设备所使用的身份应该是相互关联的，他们的认证和授权也可以通过这个用户的身份标识

16、进行关联，统一管理。权的情况下灵活调用各服务化网络功能。因此 5G 需从整体安全架构的角度考虑网络功能发现、授权和调用的安全。 全新的端到端安全评估考虑到运营商网络的系统开放性和设备的多样性需，在软硬件解耦、虚拟化的环境中部署网络功能，要进行谨慎的安全评估。 T虽然 4G 也提出了端到端安全评估的概念，但是 4G 安全评估标准不适用虚拟化网络功能设施，以及系统级的评估。因此，5G 安全需要全新的端到端安全评估机制，来保障引入 IT 新技术后 5G 网络的安全部署。-/U:)XKJKTZOGR 4 55 G 5G 安全架构白皮书 5G 安全架构白皮书 5 G基于 (U)SIM 的可扩展身份管理框

17、架 安全功能的快速部署和调用面向传统 eMBB 设备，基于对称钥的身份管理机制将得以延续基于服务化架构，可以将网络具体安全功能或者能力进行独立的服务化定义，使得其他功能在授权的基础上，可以调用此5G 中 eMBB 业务的主要服务对象仍然是移动宽带用户，4G 中采用的基于对称钥的身份管理方式可以满足这种业务需求。安全功能或能力。这里安全功能或能力可以包括用户身份管理、认证鉴权，密钥管理及安全上下文的管理等等。安全功能对称钥身份也可以帮助运营商管理设备，以及进行其他类型的身份信任状的发放。因此，即使 5G 需要多元化的身份信任的服务化定义增强了安全功能的精细灵活化管理，支持灵活调用，同时支持对调用

18、安全功能的授权。状和身份管理，基于 (U)SIM 卡以及对称钥的身份管理方式在 5G 时代将得以延续并将发挥重要作用。5G 业务安全需求的多样性也使得安全配置和管理变得复杂，如果还依靠人工来配置、管理和响应，会导致低效率和高成本。面向海量物联网设备，需要支持基于非对称钥的身份管理机制所以，在网络功能自动化管理的基础上，也需要安全能力管理自动化，包括安全功能的部署、编排、配置、调用等。物联网是 5G 网络最重要的场景，包括 mMTC 和 uRLLC。 基于对称密钥的身份管理方式 , 存在认证链条长，身份管理成本高等问题，不利于运营商网络与垂直行业的融合，也不利于对海量物联网设备时有效支持。因此，

19、面对 5G 物联网海量安全能力开放作为普适性的全连接网络，5G 将比上一代网络更加开放，而网络能力开放需要相应安全保障。更进一步，可以将安全能力设备，我们需要引入基于非对称钥的身份管理机制，让运营商能够灵活高效的管理行业用户的 IoT 终端和可穿戴设备，缩同网络能力一样开放给垂直行业使用。短认证链条，提高海量设备网络接入认证效率。安全能力开放要求 5G 网络内的安全功能以模块化的方式部署，并能够通过相应接口方便调用。通过组合不同的安全功能，对称钥和非对称钥的身份管理功能在网络侧可能会根据不同的业务切片进行部署，但运营商需要建立统一的身份管理体系。可以快速提供安全能力以满足多种业务的端到端安全需

20、求。通过安全能力开放，垂直行业可以直接安全地部署业务，从而2.1.2 安全功能的灵活调用和编排降低了业务门槛并缩短部署时间。运营商则可以充分利用网络安全基础设施，丰富业务体验，与垂直行业一起共同创造和分享价值。这里安全功能或能力可以包括用户身份管理、认证鉴权，密钥管理及安全上下文的管理等等。如果 5G 网络具备保证各项业务安全的安全机制，并将其分解为模块化的、可调用的、可组合的安全能力，则在创建新业务时可以通过部署编排相应的安全能力，构建满足该业务安全需求的安全机制和防护措施。2.1.3 敏捷高效的分布式安全部署在网络安全能力模块化的、可调用的、可组合的基础之上，垂直行业也可以灵活的调用所需的

21、安全功能，满足特殊的安全需求。海量物联网设备对 5G 安全带来了新的威胁和挑战，包括大规模的网络攻击行为，海量设备认证信令风暴等。为了应对上述安全威胁和挑战，5G 安全架构需考虑支持分布式安全机制，即根据防御、安全管理等需求部署分布式安全功能。分布式安全功能包括分布式认证和分布式防御。分布式认证机制作为 5G 重要业务场景，海量物联网设备同时接入认证将会对网络的数据处理提出更高的要求。而传统集中式的认证机制中，每次设备的认证都需要调用核心身份管理节点，从而造成针对此节点的信令冲击。因此， 5G 安全架构需要分布式的认证机制，应对海量设备的认证需求。分布式认证机制具体体现在，对于设备的认证可以通

22、过多个分布式的认证节点并行执行，从而减少对于核心身份管理节点的访问，支撑海量设备的高效认证。分布式认证节点的部署可以根据海量物联网设备的分布情况进行灵活化的部署，降低网络的认证成本和复杂度。分布式认证机制可以采用基于证书的安全机制，也可以采用基于身份的安全机制。分布式安全防御分布式安全防御技术的理念是通过在网络边缘节点部署安全防御能力， 从更靠近源头的地方扼制攻击行为，实现更敏捷的安全防御。具体体现在，为满足海量物联网设备的接入防御机制，5G 安全可将安全防御能力部署在更靠近 IoT 设备的接入点，如 RAN 或者 Edge DC。防御能力包括 DDoS 防御机制，分布式杀毒防御技术等。此方式

23、可及时的应对设备的攻击行为，降低海量设备的接入攻击威胁。6 75 G 5G 安全架构白皮书 5G 安全架构白皮书 5 G终端访问切片控制端到端切片的主要目的之一是支持多样化的商业模式、满足不同行业、不同应用的需求。由于切片以及终端的多样性，终端访问切片的控制方式也将是多种多样的，保证用户设备能适时接入切片，同时得到应有的访问安全防护，防止受到外界的攻击。切片管理面安全切片管理面安全主要是保护切片在整个生命周期的安全。切片的生命周期包括四个阶段：准备、配置与激活、运行、撤销。在切片生命周期每个阶段都存在安全风险。比如，攻击者可以通过恶意软件攻陷切片模板，从而威胁到其生成的所有网络RAN Cent

24、ral Ofce DC (Edge DC)Switch Local DC (Front End)Regional DC (Back End)Application Server切片实例 ；攻击者也可以通过配置接口在配置或运行阶段攻击切片；切片在撤销阶段，如果不恰当处理，攻击者可以获得机密数据。因此，管理面的安全对整个切片网络至关重要。*U9在面向垂直行业的切片中，一些垂直行业有自行管理切片及切片安全能力的诉求。切片网络需要具备为不同切片提供不同安全特性的能力并对管理接口提供有效的安全保护。2.1.4 切片安全机制网络切片是 5G 及未来通信网络中的一项重要使能技术，其面向业务配置网络的特性可以

25、有效地助力垂直行业进行数字化转型。切片安全同样是可配置、可裁剪的。切片安全本身可以为网络提供快速、差异化的、可裁剪的安全功能、性能、安全保护机制，从而用一套网络设施满足千差万别的应用、行业的需求，使能垂直行业快速推出安全新业务、使能客户简化安全运维、降低运营成本。2.1.5主动智能的联动安全防御机制5G 网络的复杂性和开放性、海量物联网设备的接入、行业用户安全需求的多样性使得安全管理的复杂度和工作量大增。依赖人工进行安全管理可能会导致响应慢、成本高等问题。因此，我们建议 5G 网络需要考虑引入基于智能化的主动防御技术，结合 IT 网络防御机制，形成一个基于统一情报威胁分析的，支持 ICT 联动

26、的网络智能防御系统。切片网络中的基础设施是共享的，除了共享带来的巨大优越性以外，同时带来一些潜在安全风险，网络切片是一个打通了各个子域的一组网络功能，资源，及连接关系构成的有机整体。各个子域都会有各自的安全风险及防护需要考量，如切片的终端部分安全、接入网安全、核心网切片安全和承载传输网切片安全等。端到端切片安全更重要的也应该是横向整体的考虑。切片安全的差异化机制智能的异常检测、综合的威胁分析5G 网络的复杂性和开放性使得安全威胁的种类大大增加，引入人工智能来检测未知攻击、复杂攻击的需求更为强烈。在网络的软件化、虚拟化背景下，复杂攻击的检测溯源需要使用机器学习的方法将虚拟机异常监控、恶意代码检测

27、与核心网流量异常检测结合起来。智能的检测、综合的分析系统、代码、流量的异常。ICT 安全情报协同为了快速应对安全威胁，运营商之间、运营商与厂商之间、运营商与行业用户之间需要联动，实时交换安全情报，实现安不同终端的安全功能、性能、安全保护的需求在不同的应用场景可以是完全不同的。例如，用于视频播放的 eMBB 终端，全协同的自动化、智能化。例如，在运营商网络检测到异常终端时，可以将终端异常状态及时通知行业用户，行业用户来对终端认证、加解密的安全需求同 LTE 类似；而传感器式的终端，由于计算能力有限、安全需求不高及成本敏感，需要有打补丁或清除恶意代码；运营商和行业用户之间通过人工智能直接交换异常信

28、息，联合分析异常，定位攻击，可以提高效率，轻量级的认证、加解密算法；对于可靠安全通信，终端则需要快速接入认证、强加密算法的支持。 因此，切片安全首先需减少人工介入操作带来的响应时延。要提供不同终端的安全差异化保护。建立自动化防御切片的安全隔离网络的各层各域将会部署漏洞扫描、安全加固、防火墙、恶意代码检测、流量异常检测等多种安全功能。多种安全功能之切片的特征是切片和切片之间在逻辑功能上是分离的，但在物理资源上是共享的。因而切片安全的首要问题是如何做到网间的协同会变得异常复杂，人工智能的引入可以大大提高效率，提高从安全监控，到安全检测分析、攻击阻止、攻击隔离、络切片之间的安全隔离。如果没有隔离，拥有某个切片访问权限的攻击者，可以以此切片为跳板，攻击其他的目标切片。比如，攻击者可以利用其合法接入的某个切片来非法占用目标切片的资源，导致目标切片不能正常对其合法用户提供服务。攻击预防等各环节的自动化程度，实现敏捷的安全管理。另外，在一个终端同时接入不同切片的场景，没有切片的隔离可能导致数据机密