无线广域网安全

一次性进群，长期免费索取教程，没有付费教程。

教程列表见微信公众号底部菜单

进微信群回复公众号：微信群；QQ群：16004488

微信公众号：计算机与网络安全

ID：Computer-network

在这里，无线广域网专指各代通用的移动通信网络（Mobile Communications Network），而不包括微波通信、卫星通信等有特殊用途的基于无线电技术的广域通信网。

一、无线广域网安全发展趋势

随着无线广域通信技术与计算机技术的不断结合，移动通信系统经历了从模拟制式的1G （1st Generation）到数字制式的2G（2nd Generation）、3G（3rd Generation）、4G（4th Generation）的发展历程，并正朝着“信息随心至，万物触手及”的5G（5th Generation）未来无线通信系统逐步演进。

随着移动通信系统与因特网（Internet）的不断互联，原本封闭独立的通信网络正在逐步开放。而随着全球移动用户数目的迅猛增长，移动业务的主体也在快速转变，手持移动终端将逐步取代PC成为人机接口的主要设备。因此，移动通信已成为当代通信领域内发展潜力最大、市场前景最广的热点技术。

在传统2G移动通信网络中，封闭的网络提供了天然的安全保护，因此，系统只对无线空口的安全进行了初步的设计。随着网络技术的发展与开放、高速数据和流媒体业务的展开，3G 网络进一步强化了安全性，引入了双向认证与网络域保护，还保证了与 2G网络进行交互的安全性与灵活性。与3G移动通信相比，4G移动通信将网络架构进一步简化，网络部署环境进一步开放，因此，其面临的安全挑战更大，安全机制的设计也更加复杂。

二、无线广域网安全要求概述

在移动通信网络中，网络是严格的分层结构，一般包括核心网、接入网和用户设备（UE， User Equipment）三部分。

1、核心网负责中央交换、数据传输及业务提供，通常分为电路网和分组网2个服务区域。

2、接入网负责将移动用户接入到核心网中，3G/4G通信网络中支持多种空中链路协议，可采用不同的接入网与同一核心网相连。通常所说的WCDMA，TD-SCDMA等的区别主要指的也是接入网部分。

3、用户设备即用于获取服务的移动终端，通过标准无线接口与接入网相连。

在无线通信网络中，无线接入安全是首先受到重视的，因为空口传输环境为完全开放的无线环境。另外，核心网安全、运营维护的安全，以及用户在通信过程中的身份标识等用户信息安全也必须得到保证。随着业务种类的多样化和用户终端的智能化，业务安全及终端安全也逐步得到重视。

三、2G安全机制

2G移动通信技术包括GSM（含GPRS、EDGE）和CDMA这2个阵营。虽然这2种技术在我国都有采用，但前者的覆盖范围更广、用户也更多。

GSM系统诞生于20世纪80年代，除了终端与网络间的空中接口和机卡接口之外，GSM网络是一个封闭的系统。网络侧内部的通信网络和通信协议均由专人铺设、专人管理，独立使用。因此，GSM的安全机制主要考虑空中接口安全以及终端上的机卡接口安全。

由于终端与卡均在用户控制下，因此，安全性更多依赖于用户的防范意识。GSM的机卡接口安全主要指通过PIN码实现使用者SIM卡与终端之间的访问控制，防止滥用。

而在空中接口部分，终端与网络通过开放的无线环境进行通信，因此，GSM系统提供网络对用户终端的接入认证、联合的会话密钥产生，以及可选的加密保护机制。此外，还提供对GSM系统中用户永久身份的部分隐藏。下面针对这几个机制进行一一阐述。

1、接入认证与会话密钥产生

GSM系统中的接入认证是一种基于双方预共享密钥的“挑战—响应”机制的具体实现，如图1所示。

图1  GSM接入认证与密钥产生流程

在GSM核心网的HLR以及用户SIM卡中，共享一个预置的根密钥Ki。当用户试图接入GSM网络时，用户向网络发起请求，请求中包含用户永久身份IMSI或者临时身份TMSI，基站在收到该请求后转发给VLR/SGSN。

当VLR/SGSN上没有用于认证的参数时，VLR/SGSN将向HLR/Auc发送鉴权（即认证）消息请求。HLR在收到该请求后，根据用户的永久身份产生一到多组认证向量（即认证所需的参数RAND，待比较值XRES，会话密钥Kc）并反馈给VLR/SGSN。

VLR/SGSN从认证向量组中顺序选取一组认证向量用于本次接入认证。VLR/SGSN在本地保留XRES和Kc，向用户终端发送包含RAND参数的用户鉴权请求。无线系统BSS（BSC与BTS）将该消息转发给终端。

终端在收到该消息后，通过机卡接口向SIM卡发送RAND参数。SIM卡则根据RAND以及保存的根密钥Ki计算产生RES和Kc，并通过机卡接口将RES和Kc发送给终端。终端将Kc保留，将包含RES参数的用户鉴权响应通过无线发送给VLR/SGSN。

VLR/SGSN收到RES后，将RES与XRES进行对比，从而鉴别用户身份，相等则认证用户成功。

通过上述过程，GSM网络完成了对终端用户的接入认证，并在GSM网络侧和终端上同时拥有了会话密钥Kc。

2、可选的加密保护

在GSM网络中，可以使用加密方式来保护用户到网络间的数据与信令。当网络侧与终端间启用加密保护时，如果此时为电话通信（即CS域），那么VLR将密钥发送给BSC，在BSC与UE间进行加密通信；如果此时为数据通信（即PS域），那么在SGSN与UE间进行通信加密。

目前，在GSM网络中存在3种使用64 bit密钥的加密算法A5/1、A5/2、A5/3算法以及使用128 bit密钥的A5/4算法。A5/1算法曾经是GSM中主要使用的算法，并且曾经被限制出口至中国，但在21世纪初被逐步破解，已经被逐步弃用。A5/2算法在设计公布之初即被发现问题，因此，没有被使用。A5/3算法相对较安全，也在逐步扩大使用范围，但其安全性也在不断被挑战。负责GSM协议维护的3GPP通信标准化组织在2010年定义了新的A5/4算法，采用与A5/3相同的算法，但密钥长度由64 bit扩展到了128 bit。

3、用户永久身份隐藏

用户UE的永久身份IMSI相当于人的身份证，其号码公开在网络上传播将会导致用户的身份暴露、行动轨迹被跟踪以及欺骗用户接入伪基站等。所以，需要对用户的永久身份进行保护。

目前的保护机制是当用户接入GSM网络后，GSM向UE推送一个临时身份TMSI，用户在后续通信过程中可以使用该临时身份与网络进行通信，从而隐藏永久身份。

四、3G安全机制

3G移动通信技术包括UMTS（继承自GSM）和CDMA2000（继承自CDMA）这2个互不兼容的阵营，其中，UMTS又包含WCDMA、TD-SCDMA等多种空口技术。

UMTS安全方案在制定过程中充分考虑GSM系统的安全机制，并针对GSM系统中存在的安全问题进行了增强。

1、网络安全框架

UMTS网络的安全体制基于图2的总体框架进行构造。

图2  UMTS网络安全框架

安全结构按照应用层、业务层和传输层3个层次来划分，需要实现的安全特征要求如下。

（1）网络接入安全（I）：该安全特性包括USIM到HE的用户身份接入认证、USIM插入到移动台上的接入证实以及防止用户业务信息在空中接入链路（无线链路）上的攻击等。

（2）网络域安全（II）：该安全特性用于保证业务提供者域中的节点间交换的信令数据的安全。

（3）用户域安全（III）：该安全特性确保用户安全接入移动台，并通过移动台提供服务。

（4）应用域安全（IV）：该安全特性提供应用层的安全。

（5）安全的可视性和可配置性（V）：该安全特性使用户能够知道一个系统的安全特性功能是否在应用，且业务的应用和设置是否应依赖于该安全特征。其中，接入域安全机制是 3G安全研究的重点。

2、认证与密钥产生机制

3GPP标准组织在制定UMTS安全认证机制时，充分考虑到GSM网络的单向认证可能导致的伪基站、密钥长度短、没有完整性等问题，提出了全新的认证密钥产生机制（AKA, Authentication and Key Agreement），使终端获得对网络的认证能力以及抗重放攻击的能力，并可以产生加密和完整性保护所需的密钥。同时，为了保证安全，还引入具有更高安全能力的USIM用户卡代替SIM卡，UMTS认证流程如图3所示。

图3  UMTS认证

在UMTS核心网的HLR以及用户USIM卡中，共享一个预置的根密钥K。当用户试图接入UMTS网络时，用户向网络发起请求，请求中包含用户永久身份IMSI或者临时身份TMSI，基站在收到该请求后转发给VLR/SGSN。

当VLR/SGSN上没有用于认证的参数时，VLR/SGSN向HLR/Auc发送鉴权（即认证）消息请求。HLR在收到该请求后，根据用户的永久身份产生一到多组认证向量，包含认证所需的参数：网络鉴别值AUTN、随机数RAND、待比较值XRES、加密会话密钥CK、以及完整性会话密钥IK，并反馈给VLR/SGSN。

VLR/SGSN从认证向量组中顺序选取一组认证向量用于本次接入认证。VLR/SGSN在本地保留XRES和CK、IK，向用户终端发送包含RAND和AUTN参数的用户鉴权请求。无线系统将该消息转发给终端。

终端在收到该消息后，通过机卡接口向USIM卡发送RAND和AUTN参数。USIM卡首先验证AUTN中的MAC值，从而鉴别网络身份，然后再验证序列号，防止重放攻击。待验证通过后，再根据RAND，以及保存的根密钥Ki计算产生RES和CK、IK，并通过机卡接口将RES和CK、IK发送给终端。终端将CK、IK保留，将包含RES参数的用户鉴权响应通过无线发送给VLR/SGSN。

VLR/SGSN收到RES后，将RES与XRES进行对比，从而鉴别用户身份，相等则认证用户成功。

通过上述过程，UMTS网络完成了对终端用户的接入认证，并在UMTS网络侧和终端上同时拥有了会话密钥CK、IK。

3、加密和完整性保护

相比于GSM系统，UMTS系统除了提供可选的加密保护之外，还针对用户信令提供强制的完整性保护，即所有的信令均需要使用完整性算法以及IK计算一个消息认证码MAC，并作为消息的一部分发送。

在UMTS系统中，采用KASUMI算法作为加密和完整性保护算法，随着网络的发展，后期还允许使用SNOW 3G算法作为另外一种加密和完整性保护算法。为此，需要在UE与SGSN之间开展算法协商以便确认所使用的算法。具体地，则是在认证流程的消息中增加传递的消息，即 UE 首先上报 UE 安全能力（即 UE 所能够使用的算法列表）发送给网络侧VLR/SGSN，VLR/SGSN再将选择确定的算法发送回UE，从而确认双方所使用的算法。

4、2G/3G融合组网安全

UMTS网络在设计之初即考虑了后向兼容，所以，UMTS系统中将会面临SIM卡/USIM卡、2G终端/3G终端、GSM无线系统/UMTS无线系统，以及GSM核心网络/UMTS核心网络相互组合组成通信系统的情况。

为了考虑这些不同情况，针对认证与密钥，UMTS系统制定了2G/3G融合组网的安全机制，如图4所示。

图4  2G/3G融合组网安全参数产生与转化示意

如图4所示，当网络在与终端UE的通信过程中，会在使用UMTS系统的时候采用UMTS安全机制，而如果通信建立过程中涉及SIM卡、2G终端、2G核心网，则会采用GSM安全机制。

5、网络域安全

相比封闭的GSM网络，UMTS网络在网络实现时考虑了全球部署等需求，这就使网络侧的通信可能通过开放的网络环境，如因特网等进行传输。因此，UMTS网络给出了网络域安全的解决方案，即通过IPSec ESP安全隧道提供加密和完整性保护。将安全环境一致的相关网元集体看成一个整体安全域，然后在安全域之间（即Za接口）强制使用IPsec隧道，而在安全域内（即Zb接口）则IPSec隧道可选，如图5所示。

图5  安全域示意

五、4G安全机制

4G移动通信技术指的是LTE（Long Term Evolution），包括FDD-LTE和TD-LTE这2种空口技术，以及与其对应的SAE（System Architecture Evolution）核心网技术。

相比3G，LTE接入网更加扁平化，核心网全IP化，从而引入了更多的安全问题。但是， LTE在安全机制上相比3G做了相应的增强来应对新特性所带来的安全风险。以下从LTE/SAE网络架构、LTE/SAE网络安全层次、认证、密钥生成、加密和完整性保护与安全算法协商、网络内切换以及LTE与2G/3G互操作安全这几个方面介绍LTE安全机制。

1、LTE/SAE网络架构

LTE/SAE的接入网网络架构和核心网网络架构分别如图6和图7所示。和UMTS网络相比，LTE/SAE的接入网减少了节点数量，接入网中只有一个节点e NB。e NB之间通过X2接口连接，e NB和核心网设备MME/S-GW通过S1接口连接。和UMTS核心网相比， LTE/SAE的核心网有较大变动，MME取代SGSN完成认证等安全功能，同时MME需要完成对NAS信令的安全保护。

图6  接入网架构

图7  核心网架构

LTE/SAE网络与安全相关的各接口协议栈如图8和图9所示。RRC信令和用户面数据的安全终结在e NB上，NAS信令的安全终结在MME上。RRC信令的加密和完整性保护在PDCP层完成，用户面数据的加密在PDCP层完成，NAS信令的加密和完整性保护在NAS层完成。

图8  空中接口用户面协议栈

图9  空中接口控制面协议栈

2、LTE网络安全层次

LTE/SAE网络的安全层次如图10所示。LTE/SAE网络的安全层次结构和UMTS的网络安全层次结构基本相同，LTE/SAE网络的安全也分为5个域。

图10  LTE网络安全层次

（1）网络接入安全（I）：负责为用户提供设备接入安全与链路接入安全保护。

（2）网络域安全（II）：使节点可以安全地交换信令以及在线网上提供安全保护。

（3）用户域安全（III）：与移动终端的接入安全。

（4）应用域安全（IV）：为用户与运营商之间的应用提供安全的交换信息能力。

（5）安全的可视性和可配置性（V）：要求用户可以得知自己的相关安全特性是否工作以及决定特定的服务是否需要在使用时依赖这些安全特性。

LTE/SAE网络的安全架构和UMTS的网络安全架构相比，有如下区别。

（1）ME和SN之间需要进行NAS消息的安全保护，因此，在ME和SN之间增加了双向箭头表明ME和SN之间也存在接入域安全。

（2）网络域安全机制扩展到S1接口，因此，在AN和SN之间增加双向箭头表明AN和SN之间的通信需要进行安全保护。

（3）LTE/SAE网络中增加了服务网认证的概念，因此，HE和SN之间的箭头由单向箭头改为双向箭头。

3、认证

LTE/SAE的UE和网络之间也采用AKA认证机制，与UMTS中的AKA认证流程基本相同，流程如图11所示。

图11  AKA认证流程

具体的流程描述如下。

（1）MME向HSS请求认证向量，请求消息中包含用户的IMSI、SN的身份（MCC+MNC）和接入网类型。

（2）HSS生成认证向量。如果接入网类型为LTE网络，则HSS将AMF中的分离位置为1，并根据这个AMF，采用和UMTS AKA相同的方式生成（RAND，AUTN，XRES，CK，IK）。HSS进一步根据CK/IK和SN的身份推演得到密钥KASME。HSS将（RAND，AUTN，XRES， KASME）组成认证向量。

（3）HSS将认证向量发送给MME。

（4）MME将RAND和AUTN发送给UE。

（5）UE验证AUTN。若AUTN正确，则UE计算RES。

（6）UE发送RES给MME。

（7）MME验证RES是否正确。

（8）UE和MME共享密钥KASME。

从以上描述可以看出，相比于UMTS的AKA，LTE/SAE的AKA加入了对接入网身份（SN ID）的验证，重新定义了AMF，使其携带LTE接入指示。

4、密钥生成

LTE密钥产生层次复杂，针对接入层和非接入层分别产生加密和完整性保护密钥，并且可以防止由于密钥层次中的下级密钥泄露而导致上级密钥泄露的问题。

LTE/SAE密钥层次架构如图12所示。

图12  LTE/SAE网络密钥层次架构

不同于UMTS的密钥层次架构，USIM和HSS会根据CK、IK以及SN ID推演LTE接入的基础主密钥KASME，用于产生实际使用的密钥。UE和MME基于KASME分别生成NAS信令完整性保护密钥KNASint、机密性保护密钥KNASenc，以及接入层密钥KeNB；UE和eNB再基于KeNB生成AS信令完整性保护密钥KRRCint、机密性保护密钥KRRCenc，以及用户面的加密密钥KUPenc。在用户移动时，还会产生中间密钥NH作为新的KeNB密钥。而在特殊的中继（Relay）通信环境下，Relay与eNB之间还需要额外的特殊用户面完整性密钥KUPint。

5、安全算法协商与加密和完整性保护

LTE/SAE的NAS非接入层和AS接入层分别通过安全模式通信过程协商NAS层和AS层的安全算法。NAS安全算法协商的流程如图13所示。

图13  NAS非接入层的安全算法协商

在图13的NAS层安全算法协商过程中，UE收到NAS安全模式命令并验证成功后，UE就发起NAS信令的完整性（必选）和加密（可选）保护，即UE向MME返回的NAS安全模式完成消息是受到完整性（必选）和加密性（可选）保护的。AS安全算法协商的具体流程如图14所示。

图14  AS安全算法协商

在图14的AS层安全算法协商过程中，UE收到AS安全模式命令并验证成功后，UE就发起AS层RRC信令的完整性（必选）和加密（可选）保护以及UP面的加密保护（可选），即UE向e NB返回的AS安全模式完成消息是受到完整性（必选）和加密性（可选）保护的。

6、网络内切换

LTE/SAE中的切换，包含2种场景：一种是横向的，UE仅在eNB之间切换，没有MME之间的切换（图15中的①）；另一种是纵向的，UE在eNB之间以及MME之间切换（图15中的②）。

图15  LTE/SAE网络切换场景

LTE/SAE网络切换需要遵循前向安全和后向安全原则。前向安全原则即源eNB不能破解目标eNB与UE之间的信息；后向安全原则是目标eNB不能破解源e NB与UE之间的信息。为了实现这些原则，在切换过程中，需要引入2个参数，即下跳（NH, Next Hop）和下跳链计数器（NCC, Next hop Chaining Counter），均由MME产生。图16描述了切换时密钥处理的基本原则。

图16  切换密钥链模型

下面的密钥处理模型简要描述了密钥推衍的设计结构。

当UE和e NB之间建立初始AS安全上下文时，MME和UE应推衍一个KeNB和一个下跳参数（NH）。KeNB和NH都是由KASME推衍产生的。每个KeNB和NH参数都与下跳链计数器（NCC）相关联。初始建立过程中，KeNB直接由KASME推衍产生，因此，认为它与NCC值为零的虚拟NH参数相关联。初始建立过程中推衍产生的NH值对应的NCC值为1。MME应向服务eNB发送KeNB密钥或{NH, NCC}，建立初始连接时MME不应向服务eNB发送NH值。

切换时纵向密钥推衍过程中，NH和目标PCI及其频率EARFCN-DL一起推衍产生目标eNB使用的KeNB。切换时横向密钥推衍过程中，当前有效KeNB和目标PCI及其频率EARFCN-DL一起推衍产生目标e NB使用的KeNB。

由于NH参数仅能由UE和MME计算得到，因此，MME应在前向安全有保障的条件下向e NB提供NH参数。

每当由KASME计算出一个新的KeNB，MME都应把Ke NB经安全上下文修改消息发送至服务eNB。MME和UE还应根据KASME和新KeNB计算产生NH参数。经新KeNB计算产生的NH参数所对应的NCC值为1，KeNB对应的NCC值为0。eNB和UE应根据从新KeNB计算产生临时的KeNB*并用作当前KeNB。

7、LTE与2G/3G互操作安全

当用户在LTE与2G/3G网络间移动时，会出现LTE与2G/3G网络的重选/切换。重选是指UE在空闲状态（IDLE）下进行LTE与2G/3G网络间的移动，切换是指UE在激活状态（ACTIVE）下进行LTE与2G/3G网络间的移动，如图17所示。

图17  LTE与2G/3G互操作

用户在LTE与2G/3G网络间重选/切换时，不涉及认证，要求UE和MME进行LTE安全上下文与2G/3G安全上下文之间的转换，具体的原则如下。

（1）重选（IDLE下漫游时刻）

当UE从LTE重选至2G/3G网络时，如果UE与SGSN已经共享UMTS安全上下文，则直接使用；否则根据LTE安全上下文进行转换。当UE从2G/3G网络重选至LTE时，如果UE与MME已经共享LTE安全上下文，则直接使用，否则根据3G安全上下文进行转换。

（2）切换（CONNECTED下漫游时刻）

当UE从LTE切换至2G/3G网络时，直接根据LTE安全上下文转换为UMTS安全上下文，保证业务连续性。当UE从2G/3G网络切换至LTE时，直接根据3G安全上下文转换为LTE安全上下文，保证业务连续性。

六、5G安全机制

5G有三大典型业务场景，分别是增强型移动宽带（eMBB）、高可靠低时延连接（uRLLC）、海量物联网（mMTC）。他们对于安全性都有各自的需求：

eMBB能够提供更高的体验速率和更大带宽的接入能力，但需要更高的安全处理性能，支持外部网络二次认证以及已知漏洞的修补能力；

uRLLC能够提供低时延和高可靠的信息交互能力，端到端的时延在ms级别，但在安全上，它需要低时延的安全算法/协议、边缘计算的安全架构和隐私、关键数据的保护；

mMTC能够提供更高连接密度时优化的信令控制能力，支持大规模、低成本、低能耗IoT设备的高效接入和管理，但它需要轻量化的安全，需要群组认证以及能够抵抗DDos攻击。

除了三大业务场景，5G网络还采用了新的网络架构，新架构具有以用户为中心、功能模块化、网络可编排为设计理念，引入了多无线接入、SDN、云计算、NFV等技术。

多无线接入需要统一的认证框架来解决3GPP体制和非3GPP体制接入的问题，自然需要更安全的运营网络。

SDN、NFV等技术的引入，可以构建逻辑隔离的安全切片，用来支持不同应用场景差异化的需求，但会令网络边界变得模糊，以前依赖物理边界防护的安全机制受到挑战。

5G网络应对安全新挑战的方式：

1、5G终端的接入和认证

前面介绍5G的三大应用场景，覆盖面非常广泛，例如eMBB需要高频率，如果基站功率做大，运营成本很高；做大量的小站，很密集，也很难优化，所以需要宏蜂窝和微蜂窝联合组网。

什么是宏蜂窝和微蜂窝？他们都属于基站，宏蜂窝的基站服务覆盖半径较大，一般在1~2.5千米左右，基站来看起来像铁塔，比较高大；

微蜂窝的基站服务覆盖半径较小，大约为100m～1km，其发射功率也更小，，一般在2W左右，基站天线体型小，一般置于相对低的地方，无线波束折射、反射、散射于建筑物间或建筑物内，主要用来弥补宏蜂窝覆盖的“盲点”，同时安置在宏蜂窝的“热点”上，可满足微小区域高质量高密度话务量要求。

传统蜂窝小区不论用户面、控制面，上行、下行都在一个蜂窝小区，而5G控制面走到了宏蜂窝，用户面走到微蜂窝，而且用户面上行下行走的是不同的小区，甚至一个是5G，一个是4G。这种情况，传统的4G安全机制是没有考虑到这种密集异构组网的安全威胁下的。”这会带来来自不同网络系统，不同接入技术，不同类型站点（宏蜂窝、小蜂窝、微蜂窝）常态并行接入的问题。所以5G采用了“跨越底层异构多层无线接入网的统一认证框架“，来实现双向认证。

3G、4G用户入网，会发送一个长期身份明文标识（IMSI），用户身份容易被泄露。5G在USIM卡上，首先接收运营商广播的公钥，然后这个公钥将用户长期的身份加密，网络方面是用私钥来解密，这样用户的身份就不会被窃听，目前加密方案已经标准化了。

2、防止降维打击

5G时代并不是没有4G，语音通话在5G没有覆盖到的地方或者数据网络质量不好的时候，也会回落到4G，而4G的安全未必有5G那么好，所以需要防止降维打击。

5G核心网的特征之一是控制面和用户面分离，而用户面和控制面都会进行加密；此外，无线通信端信令和消息传输也会加密，包括空口的信令。

信令就是在无线通信系统中为使全网有轶序地工作，用来保证正常通信所需要的控制信号。通俗来说就是专门用来控制电路的，而不是我们打电话、上网的信号。

同时，5G网络切片也会进行加密，还有支持4G后向兼容也需要加密，还包含用于支持非3GPP接入的密钥等等。

可以看到，5G的密钥具有多样化的特点，同时这一系列密钥既要保持整体系统的统一性，又需要具备一定的独立性，以确保每个部分的安全性互不影响。

3、5G网络切片安全隔离

网络切片是5G一项很重要的技术。

网络切片技术通俗来说就是将运营商的物理网络划分成多个虚拟网络，每个虚拟网络根据不同的服务需求来应对不同的网络应用场景，这些场景也还是归属上面列举的三大场景。打个比方，网络切片技术就好像城市道路上划分人行道、机动车道、公交车道、应急通道等等，每个通道（切片）有不同功能。

物理网络是不变的，所以网络切片本身是一种网络虚拟化技术,并且切片与切片之间，是有隔离的，为A用户提供的切片不能和B用户互相串有，所以，每个切片都需要有它的身份识别。

目前的解决方法比较复杂，简单来说是对每个切片被预先配置一个切片ID，将对应的切片安全规则存放于切片安全服务器(SSS)中，用户设备(UE)接入网络时需提供切片ID给归属服务器(HSS)，HSS根据SSS中对应切片的安全配置采取与该切片ID对应的安全措施，并选择对应的安全算法，来实现切片之间的安全隔离。

4、安全编排

网络切片除了切片之间需要安全隔离，整体上还需要编排。另外5G的关键技术SDN也需要大量编排来实现灵活提供服务。

简单介绍一下SDN，还有NFV技术。它们是网络切片技术能够实现的基础。

SDN又叫软件定义网络，它的内含和机理很复杂，我们同样还是简单了解即可。它的理念是让应用软件可以参与对网络的控制管理，满足上层业务需求，用自动化业务部署来简化网络运维。

通俗一点说，过去上层用户发出请求时，需要通过网络服务提供商传达给网络上的每一个网络设备，再由设备的控制功能来控制设备进行数据转发，实现整个通信网络的数据流通。

这种情况下，随着网络中的数据越来越多，一旦传输计划有变更，网络服务提供商需要传达到每一个网络设备，效率低下。

SDN就是在上层应用（上层用户和网络服务提供商）和基础网络设施之间加入一个控制层，它将设备的控制功能和转发功能分离，这样硬件厂商就不用针对每个硬件设计和安装对应的软件系统，使得硬件可以通用化。具体的控制转发功能由SDN控制层进行统一管理，这样就大大提高了运行效率。

至于HFV技术，也叫做网络功能虚拟化，它的概念是把设备中的功能提取出来，通过虚拟化的技术在上层提供虚拟功能模块，听起来和SDN有点像，但是彼此独立的，简单说，可以理解为SDN把设备虚拟化，而NFV把功能虚拟化。

所以可以看到，网络切片技术不是一个单独的技术，而是由很多具体的技术群协同实现，而通过上层统一的网络安全编排，能够让网络实现管理和协同能力，你可以把安全编排理解为指挥官，它不仅决定网络特定服务的拓扑，还将决定在什么地方要加入安全机制和安全策略。

5G本身也需要在编排中提供足够的安全保证，4G是没有这个编排的，编排本身如此重要，会影响到整个网络拓扑和服务质量。因此，编排本身的安全保护就是个非常重点的问题。

5、5G开放性的安全

5G的核心网架构相较于4G有很大的变化，中国移动牵头提出的SBA架构被3GPP确认为5G核心网基础构架。SBA是指基于服务的架构。

传统4G网络功能在4G是按网元组合的，网元就是网络系统中的某个网络单元或者节点,能够独立完成一种或几种功能的设备，传统的网元是封闭的、黑盒的，NFV虚拟出网络功能软件后，仍然是体块较大的单体式架构。

SBA的理念是将单体架构分拆为多个粒度更小的微服务，微服务之间通过API交互，微服务彼此独立，也独立于其他服务进行部署、升级、扩展，频繁更新扩展也不会影像客户使用，更加灵活，就像App。

5G是按照API、App的功能组合的。需要调动什么功能就调配相关App，把移动端当成手机终端一样，把所有的能力当成App的调用。这种网络能力是开放的，5G会提供移动性、会话和QoS和计费等功能的接口，运营商会开放接口能力组织网络，5G还会开放管理和编排能力，第三方还可以独立地利用运营商开放的管理能力和编排能力，实现它的网络部署、更新和扩容。

同时，SBA有两个网元是直接服务于网络安全的，一是AUSF认证服务器，二是SEPP安全边缘保护代理，涉及运营商核心网络之间的安全交互。

但开放意味着便利也意味着危险，开放授权过程中也有可能出现信任问题，导致恶意的第三方获得网络操控能力对5G网络发起攻击，如APT、DDoS等等。

对于这些问题，需要面向垂直行业的安全服务，其实思路和能力的开放一样，将安全也进行开放。简单来说就是将网络里的安全资源，密码算法、5G认证协议和安全知识库，对安全资源进行抽象和封装，对外提供安全服务，对加密传输服务提供认证服务、信用服务、入侵检测服务等等。

6、5G终端的安全性要求

在5G中，对于终端也有安全性要求，3GPP对终端安全有一些通用要求，包括用户与信令数据的机密性保护，签约凭证的安全存储与处理，用户隐私保护等等。而5G终端的一些特殊要求是根据其应用场景来的，例如车联网这类高可靠、低时延终端，需要支持高安全、高可靠的安全机制，相对于一般的终端安全更要求高；uRLLC终端可持续的环境，操作系统的增强高速加解密处理能力。

4G时代，我们已经见证了不少互联网的安全事故，例如OpenSSL水牢漏洞、WannerCry勒索病毒、Petya勒索病毒变种肆虐等。而在即将到来的5G时代，网络安全同样面临很多挑战，上文介绍的行业应对挑战的策略只是框架性质的，具体还有更加复杂的细节技术。

总体来说，5G的安全框架主要包含接入安全、网络（接入网、核心网内部等）安全、用户安全、应用安全（用户设备和服务提供商之间的通信）、可信安全和管理安全这几大内容，并且随着未来5G商业化的铺展，未来业务还有很多不确定性，也会能够随着实际应用而完善。

微信公众号：计算机与网络安全

ID：Computer-network