5G安全体系与关键技术学习总结

主题：5G安全体系与关键技术学习总结
简介：
参考：5G安全体系与关键技术、DDoS、SDN
作者：ybb
时间：2021年10月13日

1.5G安全概述
1.1网络与信息安全概述
网络安全：网络的硬件、软件及其系统不因网络攻击、非法入侵等遭到破坏，网络能够连续、可靠、正常地运行，服务不中断。
侧重于网络环境的安全，是对异常、滥用行为的监测和防控；
是信息安全的基础，是保护信息安全的重要手段；
信息安全：网络承载的业务、数据表、内容、用户信息及其交互的安全，在各个运营过程中不被非法篡改、泄漏、具有完整性、保密性、可用性和合法合规性。
侧重于信息产生、存储、传输、处理等过程的安全；
是网络安全的价值体现和工作目标；
1.2 5G网络概述
三大应用场景：
eMBB:
URLLC:
mMTC:
5G网络整体架构：

NFV
1.3 5G安全理念与措施

2. 5G安全标准化的进展
   2.1 国际标准
   2.2 国内标准

3. 5G安全需求
   3.1 5G新技术和新特征的安全需求
   1.SDN/NFV
   2.Slice
   3.MEC
   4.NEF
   3.2 多种接入方式和设备形态的安全需求
   异构网络
   3GPP接入与非3GPP接入
   3.3 5G三大应用场景的安全需求
   3.4 5G新型智慧城市的安全需求
   5G智慧城市网络结构
   
   3.4.1 终端层的安全需求
   3.4.2 边缘计算层的安全需求
   3.4.3 网络层的安全需求
   3.4.4 中台层的安全需求
   3.4.5 应用层的安全需求

3.5 5G新商业模式的安全需求
3.6 更高级的隐私保护要求
3.7 典型的业务安全需求示例
工业互联网安全需求：5G网络具有低时延、高可靠等特征，实现5G网络与制造业的深度融合、综合高级计算、分析、传感及网络技术，实现智能化的机器之间、机器与人之间的连接，推动生产高度数字化、网络化、降低企业生产成本，提高生产效率，推动新一轮工业革命，助力工业制造良性、可持续发展。与传统计算机网络相同，工业互联网也将面临病毒、木马的安全风险，也存在被非法控制的威胁，5G网络的泛在化、开放性为工业互联网的安全隔离带来了新的挑战，随着工业生产供应链、营销体系等数据管理模式的变化，云计算、云存储等新技术被广泛使用，也带来了越权访问、信息窃取、数据篡改等新的安全威胁。

4. 5G安全架构
   4.1 5G安全总体目标
   4.2 5G安全架构设计思路
   4.3 5G安全架构
   设计目标：
   支持数据安全保护、体现统一认证框架和业务认证、满足能力开放、支持切片安全和应用安全保护机制

5G安全总体框架

4.3.1 5G通信安全

5G通信与应用安全架构

4.3.2 5G行业安全
公共接口安全
应用认证安全
垂直本地安全

4.4 5G安全域
划分不同的安全域：
域内安全
域间安全

5G安全域的组成：
网络接入安全
网络域安全
首次认证和密钥管理
二次认证和密钥管理
安全能力开放
应用安全
切片安全
安全可视化和配置

注：AKA、EAP-AKA、DN-AAA
密码学原理
加密、解密、密钥、认证、授权
常见密码算法的对比

4.4.1 接入安全域
多应用场景下的安全认证架构

4.4.2 网络安全域
VNF安全
SDN安全
4.4.3 切片安全
4.4.4 管理安全和能力开放安全
安全能力开放架构

4.4.5 数据安全

多应用场景下的安全认证架构

4.5 5G网络内生安全能力
4.5.1 统一的认证框架
5G统一认证框架

4.5.2 多层次的切片安全
5G切片安全机制

4.5.3 差异化安全保护

4.5.4 开放的安全能力

4.5.5 灵活多样的安全凭证管理
安全凭证？
对称安全凭证与非对称安全凭证

4.5.6 按需的用户隐私保护
5.1 5G SDN安全概述
SDN为5G发展提供了新思路，但是也引入了一系列安全问题。
DDoS和DoS攻击利用SDN集中控制的特性，导致控制器忙于非法服务请求而无法进行正常的服务，DoS和DDoS是SDN面临的最大安全威胁。此外，入侵攻击、异常攻击、欺骗攻击等也对SDN的安全产生较大威胁。
SDN面临的两大类安全威胁：
1.传统网络面临的安全威胁和风险，DoS、口令猜解、数据库漏洞利用。
2. SDN网络特有设备、协议和接口所带来的的安全威胁，如SDN控制器、OpneFlow协议、资源-控制接口等自身安全漏洞造成的威胁。
5.2 SDN网络安全的威胁与攻击
SDN的架构包含三层两接口：
应用层：业务应用
API
控制层：SDN控制软件
OpenFlow（控制面和用户面的接口）
基础设施层：网络设备

SDN安全威胁分为：
入侵攻击、异常攻击、DDoS/Dos、欺骗攻击


5.2.1 SDN应用层安全的威胁与攻击
控制信息丢失攻击
应用迁出攻击
5.2.2 SDN控制层安全的威胁与攻击
控制层入侵攻击
控制层异常攻击
控制层DDoS攻击
控制层欺骗攻击
5.2.3 SDN基础资源层安全的威胁与攻击
入侵攻击
异常攻击
DDoS攻击
欺骗攻击
5.2.4 南向接口与北向接口的安全威胁与攻击
5.2.5 SDN安全威胁实例
1.流冲突导致安全策略失效
2.恶意流注入导致窃听攻击
3.DDoS/DoS攻击

5.3 SDN安全威胁对抗方案
1.入侵攻击的对抗方案

2.异常攻击的对抗方案

3.DDoS和DoS攻击的对抗方案
流量劫持
网络设备IP过滤
CDN

4.欺骗攻击的对抗方案
5.4 SDN安全参考架构和安全技术要求

SDN应用层要求：
认证、数据保密性、数据完整性、密钥和证书管理、
应用程序保护、安全管理。
SDN控制层要求：
认证、授权、数据保密性、数据完整性、密钥和证书管理、
流规则推送机制、防止流规则冲突、安全监测、操作系统加固、
软件漏洞检测、硬件管理、安全管理。

SDN基础资源层要求：
认证、授权、数据保密性、数据完整性、密钥和证书管理、
防止流表溢出、安全管理。

6.1 NFV安全技术概述
6.1.1 NFV技术架构

（1）NFVI:提供部署、管理和执行环境，并实现对资源的管理和监控。硬件资源层、虚拟化层及其上的虚拟资源层实现对虚拟网络层业务网元的承载。VIM实现对资源的管理、调度、编排和监控功能。
（2）虚拟通信业务层：基于底层云化基础设施实现通信业务能力，主要包括VNF、EMS能量管理系统及VNFM，其中，
VNF是基于NFVI虚拟资源部署的业务网元；
EMS是VNF的业务网络管理单元，提供网元管理功能；
VNFM负责VNF的生命周期管理及VNF的生成与解析；
（3）运营支撑层：运营支撑层实现对业务的编排、运维、管理。

6.1.2 NFV的安全挑战
1.数据泄露、未授权访问
2.隔离失效、不安全虚拟机蔓延
6.1.3 NFV环境的安全问题
1.硬件资源层安全问题
2.Hypervisor安全问题
3.虚拟机安全问题
4.VNF安全问题
5.MANO安全问题
6.系统运行安全问题
7.多层多租户安全问题

6.2 NFV安全需求场景
6.3 NFV安全技术及措施
1.内存检索技术
2.安全日志
3.操作系统级的访问控制
4.事后溯源分析
5.物理控制和告警
6.人员控制和审查
7.逻辑认证控制
8.只读分区
9.只写分区
10.工作负载配置
11.通信安全
12.测量引导、可信平台模块、直接内存访问
6.4 构建5G网络NFVI安全防护框架
6.4.1 NFVI安全防护框架

NFVI安全防护技术措施主要包含物理设施安全、虚拟设施安全、网络安全、管理安全。
物理设施安全：硬件设备自身安全、嵌入式安全、硬件设备操作系统安全、数据库安全。
虚拟设施安全：虚拟化软件Hypervisor安全、用于统筹虚拟资源分配的云操作系统OpenStack安全。
网络安全：NFVI内部网络连接的网络架构、网络隔离、网络防护等功能的安全。
管理安全：NFVI资源管理系统VIM安全、身份认证、访问控制、安全监控、审计等虚拟资产的管理安全。
7. 5G网络切片安全
7.1网络切片概述
运营商可以通过网络切片技术在共享的基础设施上构建多个逻辑上相互独立的PLMN，其中每个PLMN针对其服务的用户集群或业务客户的诉求对所需的网络特征、能力和服务等进行实例化，从而实现PLMN的定制化配置。
7.2网络切片实例
针对虚拟化的基础设施，5G网络允许切片实例在支改切片实例的基础设施上运营，。
7.3 5G网络切片安全威胁
5G网络切片是5G网络最重要的特性之一，提供灵活快速的按需定制网络能力，5G灵活的网络切片机制会带来新的安全威胁。
1.切片间的信息泄露、干扰和攻击；
2.切片的非授权访问；
3.切片间的通信安全
4.与第三方交互的安全
7.4 5G网络切片端到端安全隔离

7.4.1接入网的隔离

7.4.2承载网的隔离

7.4.3 核心网的隔离
5G核心网基于虚拟化基础设施构建，其部署架构分为资源层、网络功能层和管理编排层。网络切片的安全隔离可以通过切片对应基础资源层的隔离、网络层的隔离、管理层的隔离实现。
物理隔离：为网络切片分配独立的物理资源，各网络切片独占物理资源，互不影响。
逻辑隔离：对建立在共享资源池上的多个网络切片建立隔离机制。
7.5 5G网络切片其他安全关键技术
1.UE和切片间安全
当UE访问不同切片内的业务时，会建立不同的PDU会话，不同的网络切片不能贡献PDU会话。
注：当外部数据网络需要对UE进行第三方认证时，可以由切片内的SMF作为EAP认证器，对UE进行第三方认证。
2.切片内NF与切片外NF之间的安全
抗DDoS
防火墙
3.切片内NF间安全

8 5GMEC安全
8.1 5GMEC安全概述
MEC通过支持用户面数据网关的下沉部署、灵活分流等，利用无线接入网络就近提供用户所需的服务和云端计算功能，创造出一个具备高性能、低时延与高带宽的电信级服务环境，加速网络中各项内容、服务及应用的提供，让消费者享有不间断的高质量网络体验。同时，MEC将移动网络的位置服务，进一步促进移动通信网络和业务的深度融合。
MEC是ETSI提出并主推的概念，经历了从移动边缘计算到多接入边缘计算的演变，其基本思想是通过将能力下沉到网络边缘，在靠近用户的位置上提供IT服务、环境和云计算能力以满足低时延、高带宽的业务需求。
3GPP也于2019年3月在R17中正式立项了5G MEC项目，主要通过对5GS的增强，一支持增强的MEC功能，为典型的MEC应用场景提供部署指南。
MEC平台开放性在带来便利的同时也增加了风险暴露面，安全管理的复杂度急剧增加，同时，其引入的虚拟化技术，安全边界趋于模糊化，为基于边界的访问控制带来了挑战，另外，边缘结点资源的有效性为MEC安全防护的实施也带来了挑战。
8.2 MEC简介
MEC可以灵活的部署在从基站到数据中心网络的不同位置上，所有部署的共同点在于UPF被部署并被用于将流量引导到目标MEC应用程序和网络中。
MEC部署方式举例

8.2.2 流量导向
SMF可以为UPF配置不同的流量导向方式，在IPv4、IPv6、IPv4v6或以太网的情况下，SMF可以在数据路径中插入上行链路分类器功能。上行链路分类器中配置了将上行业务转发到不同的目标应用和网络功能所需的业务规则，并且在下行方向上讲转发至用户终端的业务进行合并。
多宿主的概念是流量导向的另一种方法。对于使用IPv6或者IPv4v6的PDU会话，且用户终端支持的情况，SMF可以使用多宿主概念进行业务导向，在多宿主概念中，SMF在目标UPF中插入分支点功能，使其能够根据IP数据分组中的源前缀将上行流量分割为本地应用实例和中心云服务。
8.2.3用户终端和应用移动性
为了使MEC系统在移动环境中维持应用程序的要求，需要应用具有可匹配的移动性，这意味着为用户提供服务的应用程序实例将根据用户的移动更改位置。
应用服务可以分为有状态服务和无状态服务：
有状态服务：应用移动性需要在原始应用实例和重新定位的应用实例之间传输和同步服务状态，以便保障服务的连续性。
MEC应用移动原理

8.2.4能力暴露
NEF功能实例

8.3MEC安全风险分析

8.3.1基础设施的安全风险
8.3.2MEC应用的安全风险
8.3.3MEC平台的安全风险
木马、病毒攻击；
数据篡改、拦截、重放；
敏感数据泄漏、DDoS;
8.3.4MEC编排管理的安全风险
8.4MEC安全防护思路和关键技术
通过规范基础设施及应用系统的配置来加强安全隔离和访问控制，提升MEC节点的自身安全防护能力，同时，加强对MEC应用的安全控制包括细粒度授权及细粒度流量管控，加强编排管理安全。
MEC安全防护框架

10 5G物联网终端安全
定义：5G物联网终端是指基于5G网络，具备蜂窝网和互联网接入功能，可对人或物进行信息的采集与处理、支持数据通信的终端设备。
注：涉及物联网卡、可信认证、卡端管理等技术方案。
10.1安全需求、框架、目标
10.1.1安全需求
1.物理安全防护
2.访问控制
3.机密性和完整性
4.可用性
10.1.2安全框架
物联网终端安全框架
10.1.3安全目标
10.2物联网终端安全需求
10.2.1硬件安全
1.芯片安全：5G物联网终端的硬件安全首先要考虑的就是芯片安全。硬件的特征信息需要与芯片固件绑定，如果芯片固件程序被篡改或更换，则终端能够停止加载芯片固件程序并反馈异常信息，芯片固件部署的物理写保护功能可防止固件被篡改。
2.接口安全：5G物联网终端的各种接口需要设置不同的安全的呢过及，可以移除不必要的物理接口，在JTAG接口设置安全防护机制，调试接口默认配置为disabled，如果需要管理调试接口，需要通过授权的方式保障安全，禁用终端的外接存储设备自启动功能。
3.防止物理攻击：针对5G物联网终端的攻击手段有旁路攻击和故障注入攻击等。为防止5G物联网终端的物理攻击而导致敏感信息泄漏，终端密码模块应具备抗物理攻击的能力，对于特殊行业的物联网终端，应满足国家和行业指定的相关物理安全标准和产品认证，如防爆、防尘、防泄漏、放拆卸保护等，对于需要获取时钟或频率的5G物联网终端，可以通过5G网络与授权时钟或频率同步。
4.根秘钥与加密：为确保密钥的信息安全，5G物联网终端的本地加密密钥应被安全存储，根密钥必须存储并运行与安全区域，无法被外部获取，根密钥采用随机生成时，随机数熵值必须大于或等于128bit，终端在整个加密周期中应保持加密运算的机密性，加密运算过程中需要防止密钥信息泄露，非本地加密密钥在业务结束时应从本地销毁。

对称加密、非对称加密、hash的比较：
对称加密：A和B之间的通讯数据都用同一套密钥来进行加密和解密，也即采用相同的密钥，主要用于机密性防御，常见的对称加密算法由AES、DES、3DES。
非对称加密：公钥加密、私钥解密，主要用于合法性防御，常见的非对称加密算法有RSA、Diffie-Hellman。
哈希算法：对目标信息生成特定长度的hash值，但是不能还原目标信息，用于完整性防御，常见的算法有MD2、MD4、MD5、SHA。

密钥的安全管理通常采用层次化的保护方式，一般情况下分为三层加密（根秘钥、密钥加密密钥、工作密钥）和两层密钥（根秘钥、工作密钥），然而三层机密密钥适用于：1.根秘钥的加解密运算复杂2.工作密钥需要频繁变更3.工作密钥数量巨大且相互独立。

非对称算法，一对秘钥，公钥和私钥，公钥加密、私钥解密，仅仅用于秘钥交换和数字签名。
数字签名：私钥加密、公钥解密。
IPSec基本原理：IPSec基本原理

5.启动安全：5G物联网终端的启动区在独立的安全运行区域，不与非安全运行区域共享存储空间。为防止篡改或非法获取5G启动区的数据，必须通过加密的方式实现安全存储。5G物联网终端在安全芯片加载引导程序的安全启动代码完整性验证也是启动安全中最重要的一步，只有验证通过后，终端才能执行安全启动过程。目前存在的一些终端通过物理隔离的方式来防止篡改和非法获取。
安全启动的作用
10.2.2系统安全
在远程固件更新时，网络连接需要使用加密通道防止数据分组被截获、破解，终端必须对固件的来源和完整性进行验证。
在远程固件更新失败时，终端能够保持在可用状态，并能够重新接收平台的指令，且具备报警功能，支持手动恢复和系统漏洞修补。
FOTA:固件空中远程升级
10.2.3应用安全
在应用更新时，采用加密传输。应用更新时需要校验包的合法性、数据完整性和包签名；预置应用软件更新应在用户授权的情况下进行，当升级行为不能保证终端系统、其他应用软件、软件本身的安全时，应在说明中明示用户可能带来的安全风险。
10.2.4传感器安全
加密密钥应在安全单元中存储，且具备有效的安全机制，防止数据回滚。

10.2.5连接安全

10.2.6传输安全
物联网终端设备的数据传输会话应支持加密和完整性保护，并能防重放攻击。
10.2.7存储安全

10.2.8用户个人信息保护安全
1.用户个人信息采集
2.用户个人信息传输
3.用户个人信息使用、交易和删除

9 5G数据安全
9.1数据安全概述
5G运营商的数据具有如下特点：
1.覆盖全面、准确性高
2.实时性强、数据量大
3.数据采集渠道众多，部分数据采集过程有待规范。
4.数据加工处理程度不够，部分环节有待统一规范管理。
9.2 5G数据的分类分级
9.2.1分类分级的原则
9.2.2数据的分类
1.用户身份相关数据：用户身份和标识信息、用户网络身份鉴权信息
2.用户服务内容数据：服务内容和资料数据
3.用户服务衍生数据 ：用户服务使用数据、设备信息
9.3 5G数据安全的全生命周期管理
基于数据全生命周期的数据安全管理体系

1.数据采集安全
数据采集接口与应明确数据接口调用安全控制措施、数据接口的使用规则和协议，具备接口鉴权、接口调用控制、接口调用日志记录等技术能力。
2.数据传输安全
数据传输阶段应利用加密、签名、鉴别和认证机制对数据传输进行安全管理，防止数据丢失、泄漏、篡改。

3.数据存储安全
对存储数据的设备及基础设施重点做好安全防护，包括落实数据存储设备的操作终端安全管控措施及接入鉴权机制、设置访问控制策略，定期实施安全风险评估、配置安全极限、部署必要的安全存储技术手段。
4.数据处理安全
数据存储、处理或使用的平台和承载数据产品与应用开发的平台须按照数据保护等级采取相适应的安全防护措施和手段，保障全过程安全、防止数据泄漏、做好数据操作日志留存。日志应包含操作时间、账号、源IP、目的IP、数据库名、表名、命令和SQL语句等字段。日志应至少留存6个月，做好备份，避免日志记录被篡改或删除、至少每季度开展一次日志审计。

5.数据使用安全

6.数据销毁安全
在数据退出生产环节时，根据数据安全等级对数据进行销毁，重要数据的销毁应采用粉碎、覆写、磁盘消磁、物理破坏等手段完成，并做好销毁过程的登记、审批、交接和审计工作。
7.数据对外经营安全
9.4 5G系统大数据的安全风险
9.5 5G大数据安全防护体系架构
数据安全防护体系：
9.5.1基础设施安全
9.5.2数据采集安全
接口鉴权、数据分级与分级、数据采集存储、安全监控
9.5.3数据存储安全
数据访问控制、数据备份和恢复、数据残留与销毁、加密存储
9.5.4计算分析安全
认证安全、细粒度授权、数据脱敏、关联性隔离·
9.5.5数据管理安全
补丁管理、漏洞管理、元数据管理、日志审计、配置管理