5G信息安全白皮書

1 3 3 3 4 52.3.1滿足多類型終端、多接入技 5 5 6 6 7 8 9 10 10 12 12 13 142.10終端安全 15 16 17 17 17 18 18 21 21 22 23 24 25 25 26 30 30 31 33 34 35 352 37 393.10終端安全 40 44 44 45 453等應用場景。除了移動互聯(lián)網應用，5G還需要為車聯(lián)網、物聯(lián)網（IoT）、虛擬現(xiàn)實、高速鐵路等新興行業(yè)的發(fā)展提供快速響應、無處不在的網絡接入，為交付方式也不同，安全需求的差異性非常明顯。特別是物聯(lián)網應用場景帶來的大連接認證、高可用性、低時延、低能耗等安全需求，以及5G引入的SDN/NFV、虛擬化、移動邊緣計算和異構無線網絡融合等新技術帶來的變化和安全風險，對5G移動通信系統(tǒng)的接入認證/鑒權、切片安全、數據保護和用戶目前對5G安全標準進行研究的主要集中在3GPPSA3、ETSI和國內的是5G安全標準化工作的基礎，TR33.899（V1.2.0）給出了17個安全領域共），全的所有安全需求。ETSI的網絡功能虛擬化標準工作組（NFVISG）將在5G基于國際國內標準化工作進展和國內相關單位的最新研究成果，本白皮書針對5G安全總體架構、認證/鑒別與授權、接入安全、切片安全、密鑰體系和25G安全需求“安全總體架構”是對系統(tǒng)安全體系架構的結構化描述，對模型中功能模塊與安全模塊、安全模塊間安全相互關系的定義?？茖W、合理的安全架構可以有5G安全應打破以往移動通信系統(tǒng)成型后“打補丁式”的升級演進模式，與5G移動通信技術同步演進，實現(xiàn)系統(tǒng)安全內生與安全威脅“標本兼治”的目標。4具體而言，對應5G應用、網絡、無線接入、終端、系統(tǒng)等演進帶來的新1）5G將滲透到交通、醫(yī)療、工業(yè)等多元化的垂直行業(yè)和領域，并支持人與人、人與物、物與物間多樣化的信息交互。因此，安全架構應面向多樣化、海量的應用與終端，支持統(tǒng)一的身份管理和認證功能，支持多元化的信任關系2）隨著SDN、NFV、切片等技術的引入，5G網絡呈現(xiàn)出虛擬化、軟件化、開放化等特點。面對這些特點，安全架構應支持高可靠的虛擬化安全技術）；3）5G無線接入網具有多類型接入技術融合、超密集組網等特點，并引入了移動邊緣計算（MEC）等新型服務技術。因此，安全架構應支持多類型接入因此，安全架構應針對多元化終端的安全需求，支持差異化安全策略與模組的大幅增加，因此，為了應對潛在未知安全威脅，在安全架構中還需要引入能夠求下，用戶、機構、網絡設備和資源、網絡服務等不同種類的網絡實體將大量接入，需要5G網絡對不同類型的實體標識進行廣泛的支持。如何定義網絡實體的身份標識，以及制定相應的身份標識注冊和查詢機制，是5G網絡服務亟（2）海量網絡實體接入的憑證支持：身份憑證是指用于區(qū)分網絡實體身份何高效地進行憑證的生成和驗證，并針對網絡實體不同的安全能力與安全需求等級提供可靠的多級別憑證服務，都將是5G網絡實體接入憑證的重要研究問（3）統(tǒng)一的網絡實體身份鑒別：身份鑒別即對網絡實體憑證進行鑒別的過5應用需要對各類實體進行有效身份鑒別。由于網絡實體身份憑證的提供方、網絡身份憑證類型和鑒別機制都不盡相同，為確保網絡應用對于網絡實體身份的將引發(fā)網絡應用、網絡資源的大規(guī)模擴張，各類網絡應用互通協(xié)作也將越來越多，這將帶來網絡資源跨應用共享的迫切需求。如何通過有效的授權管理來保證網絡應用可控、安全地訪問特定網絡用戶網絡資源，建立網絡身份提供方和網絡資源提供方等眾多網絡實體間的多元信任，是5G網絡環(huán)境下資源共享的2.3.1滿足多類型終端、多接入技5G時代要實現(xiàn)萬物互聯(lián)，5G網絡不僅用于人與人的通信，還用于人與和多種接入技術。從終端類型看，分為有卡終端和無卡終端。有卡終端以SIM/USIM卡作為用戶身份和密鑰載體，具備一定的計算和存儲能力；無卡終身份，用數字證書提供安全保障；從接入類型看，5G網絡需要支持3GPP接技術。因此5G網絡是融合了多種類型的終端、接入類型和接入技術的異構型網絡，而不同的終端，不同的接入類型和接入技術存在不同的安全需求，使用器類通信（mMTC）和超可靠低時延通信（uRLLC）。這三類應用場景根據各eMBB重點是提供超高帶寬，用于滿足諸如虛擬現(xiàn)實（VR）、大視頻等對6對LTE接入下用戶首次接入時IMSI采用明文傳送存在的安全風險，采取了mMTC應用的主要特點是接入網絡的終端數量巨大，終端無卡，安全能力較弱，功耗小，資源受限，小數據傳送等。按照傳統(tǒng)的接入方式，每個終端和網絡之間需要進行多次交互才能完成認證過程，實現(xiàn)網絡接入。mMTC應用下，如果終端仍然延用傳統(tǒng)接入方式，海量終端并發(fā)接入網絡極有可能產生信令風暴，造成網絡擁塞；另外，在接入失敗情況下終端不斷嘗試重新接入網絡發(fā)起認證，這對于低功耗無人值守的MTC終端將加速其電池消耗。因此需要研究包括簡化認證機制，優(yōu)化認證協(xié)議在內的滿足MTC設備高效快速接入的輕量化安全接入方式。針對物聯(lián)網傳輸的是小數據且是零星傳送的數據特征，需要為小數據傳送建立通道。如果小數據傳送的無線網絡缺少安全保護機制，攻擊者就有可能通過訪問小數據接口入侵網絡，因此還需要研究針對小數據的uRLLC應用對通信可靠性，低時延有極高的要求，例如車聯(lián)網、遠程醫(yī)療等應用。網絡安全通常與網絡性能效率是互為矛盾的，增強網絡安全防護機制，必然以犧牲網絡性能，降低網絡效率為代價，uRLLC應用也不例外，如果引入安全機制，就必然會影響業(yè)務時延。但是缺的，如果車聯(lián)網業(yè)務缺乏安全機制保護，就會存在交通信息被竊取或篡改進而影響到行車安全甚至威脅到生命安全。因此在保證可靠性和低時延等業(yè)務性2.4.1移動邊緣計算(MEC)內涵提供服務，從而構建一個具備高性能、低延遲與高帶寬的電信級服務環(huán)境。l共生融合：MEC作為移動通信系統(tǒng)的共生系統(tǒng)，與7l按需臨近部署：MEC節(jié)點可根據應用服務需求按需、分布式部署于移動網絡邊緣的多個位置。這種靈活、臨近的部署方式在為超低時延要求提供保l虛擬化構建：在通用硬件平臺通過虛擬化技術構建計算環(huán)境，承載來自于可支持與5GNFV兼容的虛擬化方式，與5GNFV同平臺部署。l高可協(xié)作性：MEC各節(jié)點間的應用與服務具有較高的可協(xié)作性。不同的MEC節(jié)點的應用間能夠通過協(xié)作的方式向用戶提供服務（如移動性導致的服務遷移）。同時，對于具有高可靠性需求的關鍵應用，可通過在節(jié)點間進行服務熱備和快恢復，提高系統(tǒng)的應急和容災能力。此外，通過在多個MEC計算節(jié)點間使用協(xié)作的方式執(zhí)行安全策略（如分布式加密），在降低標準化的協(xié)議和接口，感知用戶信息，并融合信息技術與通信技術提供更（1）物理設施保護：MEC按需臨近部署的特點在為用戶提供高質量服務的同時，也在客觀上縮短了攻擊者與MEC物理設施之間的距離，使得攻擊者8和數據泄露等嚴重后果。另一方面，廣泛部署的MEC邊緣計算節(jié)點同樣面臨著各種自然災害（如臺風、冰雹）和工業(yè)災難的威脅。以上因素都可能直接破壞MEC硬件基礎設施，造成服務的突然中斷以及數據的意外丟失。因此需要在考慮性能和成本的基礎上最大限度為MEC節(jié)點配備相應的物理設施保護措（2）安全能力受限下的MEC節(jié)點安全防護:由于性能、成本、部署靈活性要求等多種因素制約，單個MEC節(jié)點的安全防護能力（如可抵御的攻擊種類，抵御單個攻擊的強度等）受到限制。因此需要：針對MEC節(jié)點應用特征及終端特征（IoT終端/移動智能終端），有的放矢地部署相應的安全防護措施；充分利用MEC節(jié)點的高可協(xié)作特性，通過例如基于智能協(xié)同的安全防護等技術，借助周邊節(jié)點的空閑安全防護資源，提升單個節(jié)點能抵御的攻擊強度（3）擴展信任模型構建：MEC系統(tǒng)與移動通信系統(tǒng)共生融合的部署方式擴充了以往的“用戶分別跟網絡和服務進行認證”的二元信任關系構建模型。需（4）隱私及數據保護：MEC“基于用戶信息感知的高質量、個性特點在提供便利的同時也讓MEC應用不可避免的接觸到大量移動用戶與設備的隱私和數據信息，如用戶身份、位置、移動軌跡等。而對這些信息進一步挖掘后，還得到用戶的作息規(guī)律、生活習慣、健康狀況等諸多信息。因此，在MEC隱私及數據保護中，需要配備相應的隱私泄漏防護措施，嚴控第三方MEC應用的行為，防止其泄漏、濫用用戶的隱私及數據信息；需份標識和匿名等技術削弱MEC計算節(jié)點標識和地理位置的映射關系，防止第三方根據MEC節(jié)點位置推斷用戶的地理位置；需要確保數據在邊緣的安全存9點的軟件化，打破傳統(tǒng)電信設備的豎井式體系，其核心特征是分層解耦和引入網絡虛擬化后，傳統(tǒng)的網絡設備功能將以VNF(VirtualizedNetworkFunction，虛擬化網絡功能)的方式運行在NFVI(NetworkFunctionVirtualizationInfrastructure，NFV基礎設施)上。NFVI由通用的硬件資源、虛擬化層（即Hypervisor）以及虛擬資源（虛擬計算、虛擬存儲和虛擬網絡）組成，為實例化管理，包括分配虛擬資源給VNF，監(jiān)控和上報虛擬資源以及硬件資源性能以及SDN解耦了設備的控制面和數據面，并且控制面實現(xiàn)集中控制，開放可編通信的雙方相互認證，并且通信內容需受到機密性、完整性防重放的?，F(xiàn)安全服務最小化原則，如關閉不必要的服務和端口等；安裝防病毒軟件，并定期檢查、查殺病毒以及升級病毒庫；需防止非法訪問、敏感信和VIM可以運行在虛擬機上，此時會面臨虛擬機逃逸、虛擬機隔離失lMANO管理安全：MANO系統(tǒng)的需進行賬號、權限的合理分配和管l控制器的安全需求：SDN控制器要具有DDoS/DoS防護能的能力；SDN控制器要實現(xiàn)服務器的安全加固、滿足安全服務最小化原則、關閉所有不必要的端口和服務，并使用滲透測試相關的工具（包括nessus,NMAP,Syma檢測和防止機制，避免管理策略和安全策略被繞行；SDN控制器需對l轉發(fā)層的安全需求：通過設置ACL，關閉不要的服務和端口，及時修補漏洞等手段加強轉發(fā)設備自身安全；另外，轉發(fā)設備具備并開啟限速l南北向接口的安全需求：需進行雙向認證，并且通信內容需進行機密性、完整性和防重放保護；需對協(xié)議強壯性進行分析和測試，修復協(xié)議網絡切片需要提供不同切片實例之間的隔離機制，防止本切片內的資源被其他類型網絡切片中網絡節(jié)點非法訪問。例如醫(yī)療切片網絡中的病人，只希望相同業(yè)務類型的網絡切片之間也存在隔離的需求，例如不同的企業(yè)的在使用相同業(yè)務類型的切片網絡時，并不希望本企業(yè)內的服務資源被其他企業(yè)的網服務、資源和數據在網絡切片中被隔離保護的效果要達到接近于傳統(tǒng)私有網一樣用戶感受，這樣才能使得用戶能放心的將原本存放在私有網絡中的應用數據存放到在云端，用戶在享有隨時隨地可訪問私有資源的同時不需要擔憂這當運營商根據業(yè)務的不同將網功能分割成不同的網絡切片時，需要考慮是否進行切片內的認證和授權，以及如何進行切片內的認證和授權。當切片管理的某些功能開放給第三方時，還需要考慮哪些認證和授權功能可以開放給第三方，以及由運營商控制的主認證和授權與由第三方控制的二次認證和授權的融在5G網絡中無線空中接口仍然存在竊聽、篡改等安全威脅。在接入網存在的安全問題主要來自無線的空中接口。空中接口的信息是在無線信道上傳輸的，入侵者容易捕獲手機終端或基站的無線信號，從而非法取得或篡改用戶和同的網絡域之間是以明文形式傳輸的，用戶信息可能被竊聽，一些用戶的機密數據在網絡域內可能被竊取，將會對信息安全產生很大影響。由于網絡域采用互聯(lián)網技術進行連接，可能受到病毒的威脅、受到黑客的攻擊，傳送的數據可能被修改、可能被未授權者獲得等。因此，網絡域節(jié)點間的信息保護、邊界保方式及新型網絡架構。這些新場景、新架構和新技術都讓5G網絡有了更高的控制領域。在自動駕駛過程中，車輛的身份信息、位置信息存在被暴露和跟蹤的風險，這些隱私信息一旦被泄露，產生的后果是非常嚴重。mMTC和eMBB場景使得5G網絡中的業(yè)務信息會以幾何級別增長。這些信息包含針對某個網絡實體的不同測度的描述。通過對這些海量數據的分析，網絡用戶的隱私信息可能會被泄漏。例如，黑客可能獲取某用戶的部分移動電話數據、運動手環(huán)數數據的分析獲取某人特定的隱私信息。在5G場景下，如何實現(xiàn)對隱私數據的營商、虛擬運營商等多種類型參與方，用戶數據在這個由多種接入技術、多層網絡、多種設備和多個參與方交互的復雜網絡中存儲、傳輸和處理，面臨著諸時也使得網絡安全邊界更加的模糊，在多租戶共享計算資源的情況下，用戶的隱私數據更容易受到攻擊和泄露。相比傳統(tǒng)網絡而言，這種情況所產生的隱私泄露影響范圍更廣、危害更大。因此，對5G網絡的隱私保護提出了更高的挑當前4G網絡中，系統(tǒng)已經使用臨時簽約標識符來增強用戶的隱私，降低簽約數據通過偷聽無線鏈路的方式被識別和跟蹤的可能性。但現(xiàn)有4G網絡也信系統(tǒng)的工作安全、內容安全而增加的各種安全機制的管理體系總和，目的不僅在于要確保通信網絡環(huán)境是安全的，也要確保收集的安全相關的信息被適當處理。安全管理包括了管理網絡的認證、授權、審計，以及內部/外部用戶對網絡資源的合法訪問控制，也包括了對網絡防火墻、入侵檢測系統(tǒng)、安全策略的基本思想和基礎技術，如SDN、NFV等。ICT技術的引入，不可避免的將使（1）攻擊方式泛在化。5G網絡下攻擊源/目標的規(guī)模因物物互聯(lián)的引入得到攻擊可能導致整個網絡癱瘓或者被劫持；采用NFV虛擬化技術的已經消失，因此內外網隔離的安全邊界需要重新界定；云環(huán)境下多租戶共用物理資源也導致多個租戶的服務可能運行在一個計算節(jié)點上，缺乏明確物理邊界；接入網絡上會承載眾多的數據中心和應用程序的網絡接口，沒有明確的安考慮到未來5G網絡的可能演進，因此根本的解決途徑是需要通過安全管理在5G網絡內實施積極主動的全面監(jiān)測預警以解決攻擊方式泛在化問題；在中將會存在各種安全服務或組件，以使5G網絡及業(yè)務抵御來自各種位置的中間人攻擊、信息重放攻擊、竊聽嗅探等安全威脅。例如，網絡切片中會存在虛準規(guī)范規(guī)定的各種安全措施。5G安全管理應為運營商/第三方租戶提供對這些服務或組件的安全策略調整的統(tǒng)一入口，實現(xiàn)如對虛擬安全專用設備的管理配置、對各種安全措施的參數調整等功能，幫助運營商、租戶及時調整網絡安全為了應對攻擊方式泛在化的挑戰(zhàn)，及時感知到正在進行的、或者潛在的攻擊威脅，5G網絡切片還需要監(jiān)控切片中各種虛擬安全專用設備的運行狀態(tài)，對采集到的所有信息加以智能化的整合/分析，定位攻擊方式及來源，并將這些信息整合成安全態(tài)勢及時向管理員告警，以應對APT、DOS、DDoS等擊手段。其次，考慮到5G網絡將新產生大量具有管理功能的網元，如PCF、同它們所管理的資源本身也會一起被劫持，因此5G網絡的監(jiān)測預警也需要將價值鏈，例如運營商、虛擬基礎設施提供商、虛擬網絡功能供應商、租戶、終端用戶、終端設備等等類型的角色；以上因素導致了5G必定存在多元化的價值鏈，以及相應的信任關系。信任體系的脆弱，將導致一系列嚴重安全問題，對應權限的管理服務（包含憑據的頒發(fā)、使用、注銷、權限關聯(lián)等方面的內容），并提供認證方面的支撐，解決各個角色/實體之間的多元信任問題，以支5G網絡支持多種類型的切片和業(yè)務，以供第三方租戶使用；不同的切片/業(yè)務除開在性能、QoS方面的差異之外，還因承載數據的敏感程度差異，具有通信網絡中只對終端接入認證及語音和數據通信等常規(guī)服務提供密鑰管理的密鑰管理體制，已無法滿足5G多種切片/業(yè)務場景下各異的密鑰管理新需求，也無法支持基于第三方身份憑據的二次認證；又如，以特殊行業(yè)為代表的高安全需求用戶在使用5G網絡的過程中，移動終端之間以及移動終端和后臺服務端之間大多數情況下需要進行端到端的認證和加密通信，而普通用戶則往往不會存在這種需求；再如，業(yè)界至今未對是否在5G終端與網絡之間使用非對稱的密碼技術達成一致結論，也未對第三方租戶使用非對稱密碼技術有所提及，未出現(xiàn)的差異化場景，盡力為第三方5G網絡切片/敏感業(yè)務提供匹配的安全支傳統(tǒng)的移動通信網絡以物理實體為核心的安全防護技術在5G網絡新環(huán)境中已經不再適用。安全性不僅與安全特征的物理部署有關，更重要的是與虛擬資產部署的安全特征有關，需要建立起以虛擬資源和虛擬功能為目標的安全防護體系。因此不僅要在網絡切片、NFV層面研究虛擬化基礎設施可信運行及資源隔離與虛擬化網絡切片的安全保障機制，更需要在管理架構上進行設計、調整，5G的密鑰層次（keyhierarchy）考慮的是如何利用一個根密鑰為不同層面，不同類型的消息流提供多個相互獨立的密鑰的問題。因此，在5G的密鑰l不同的接入方式。5G系統(tǒng)會考慮多種接入方式，因此不同的接入方式l移動性管理與會話管理的分離。5G系統(tǒng)考慮移動性管理與會話管理的核心網與接入網信令的分離，因此仍然需要針對非接入層信令和接入層l加密與完整性。針對信令和用戶數據，需要獨立的考慮l由移動性引入的密鑰更新與隔離。5G系統(tǒng)仍然需要考慮終端在移動狀l密鑰之間的相互獨立性。為了保證派生的密鑰之間此外，未來5G需要考慮大規(guī)模物聯(lián)網終端接入、超低時延超高可靠性等場景，以及并可能出現(xiàn)用戶憑證使用非對稱密鑰的情況。未來5G的密鑰體系從3G網絡引入移動互聯(lián)網開始，移動終端日益成為黑客攻擊的主要目標。在3G/4G階段，3GPP一直注重加強對移動網絡的安全設計，終端安全則完全交由終端廠家自行開發(fā)。由于缺少統(tǒng)一標準的牽引，移動終端安全技術發(fā)展緩慢，產業(yè)化進展滯后，很快就成為用戶隱私泄露的重災區(qū)。近年來，雖然有芯片廠家或終端企業(yè)陸續(xù)推出了一些安全技術，但總體來說受已有架構的限是用戶面都需要移動終端的安全配合。從信息流向來看，移動終端既是用戶信息和隱私數據的源頭也是其歸宿；從網絡切片來看，移動終端是網絡安全切片業(yè)的深度支持，垂直行業(yè)存在著多樣化的安全要求，其安全能力更是需要移動移動終端安全涉及到硬件層、操作系統(tǒng)層以及應用層等多個層面的問題，威脅因素主要來自外部網絡。解決終端安全問題，首先要從多個層面提升終端自身抵御攻擊的免疫能力，同時也要對外部網絡如網絡接入、應用服務等進行了行業(yè)用戶作為新的利益相關方，因此5G終端安全還需要考慮針對不同應用終端以及不同行業(yè)用戶群體的雙重安全需求。本章節(jié)主要圍繞終端安全技術需2.10.15G移動終端共性安全需求伴隨著5G技術的發(fā)展，移動終端正在成為互聯(lián)網和物聯(lián)網業(yè)務的關鍵入口，網絡攻擊面的大幅擴大，敏感信息的指數增加，使得5G終端將面臨更加移動終端的運行環(huán)境面臨來自硬件和軟件的威脅，移動終端硬件安全威脅主要來源于終端芯片設計安全漏洞或硬件體系安全防護不足，可導致平臺安全權限被獲取、存儲的隱私數據被竊取等安全風險，需要從硬件角度設計使終端核心器件具有抗物理攻擊的能力，為移動終端的安全起到基礎作用；移動終端軟件系統(tǒng)是移動終端的靈魂，對軟件系統(tǒng)的攻擊包括：利用操作系統(tǒng)漏洞等獲取終端控制權、修改安全策略，利用信息保護缺失、內存監(jiān)管漏洞、應用程序漏洞等竊取用戶信息、篡改信息和信令、植入惡意代碼、擾亂系統(tǒng)的正常工述攻擊手段，可以輕易地收集用戶數據，控制和更改終端軟件，甚至在極端情況下，可以遙控癱瘓所有入網的終端，威脅國家網絡安全。因此需對移動終端3G/4G時代，終端安全技術的主要驅動力是解決普通民眾移動支付等安全問題，終端廠家的安全方案基本是專用和封閉的。但是進入5G時代，行業(yè)用戶成為重要利益相關方以及萬物互聯(lián)成為新生態(tài)的趨勢，將使行業(yè)安全和物聯(lián)終端安全能力包括終端防護、用戶認證、入網認證、信息加密、安全存儲、應用管理等，涉及平臺安全、信息安全、使用安全、安全管理等多方面安全要求。不同行業(yè)對終端安全能力有著不同的需求，如果終端業(yè)界為不同行業(yè)分別設計安全架構，既不經濟也不現(xiàn)實。為了高效率地適應差異化安全需求，應該建立統(tǒng)一的終端安全技術體系，該技術體系能夠以組件化方式提供完備的的安全能力，同時又能夠根據行業(yè)需求，方便地進行組件的組合和裁剪，提供從國家對信息領域的發(fā)展要求來看，在新興信息領域實施軍民戰(zhàn)略已上升到國家戰(zhàn)略層面。國防行業(yè)以及政府、公安等涉及國家安全和社會穩(wěn)定的特殊行業(yè)，對移動通信的需求非常旺盛，安全性有著更高的要求。終端安全體系應該著眼安全能力要求更全面的特殊行業(yè)，提供完備的安全功能集。在面向普通垂直行業(yè)和普通公眾用戶時，安全架構能夠進行有針對性地功能裁剪，為普通行業(yè)和普通公眾用戶提供在成本范圍內的安全功能。以最小的代價實現(xiàn)通用終端與高安全行業(yè)終端安全防護體系的構建，滿足國家對信息領域安全建設的要供標準化的安全接口。通過標準接口，支持第三方安全服務和安全模塊的引入，便于行業(yè)客戶的二次開發(fā)，允許行業(yè)用戶通過標準接口快速地實現(xiàn)行業(yè)定制，支持不同行業(yè)終端的快速部署與專用化服務，提升終端產品的服務水平和eMBB終端覆蓋了增強移動寬帶應用場景，是人與人、人與網、人與物間信息鏈接的主要載體，也是行業(yè)用戶開展移動辦公等處理行業(yè)敏感信息的主要工具。eMBB終端傳輸速率高、涉及普通用戶隱私/行業(yè)用戶敏感信息多、支持異構網絡連接，因此，它的典型安全需求主要有三個方面，一是要具備與5G網絡速率相適配的高速率加密能力，同時還具備較低的功耗要求；二是對普通用戶具備對個人信息或標識以及地址信息等等隱私信息的保護能力，對行業(yè)用戶具高等級的認證、端到端加密、信息完整性保護等能力；三是具備異構接入mMTC覆蓋對于聯(lián)接密度要求較高的物聯(lián)網應用場景，例如智慧城市、智能電網、智慧家居等，滿足人們對于數字化社會的需求。由于物聯(lián)網設備數量龐大，行業(yè)對物聯(lián)終端的成本比較敏感。但是由于物聯(lián)終端深入到城市基礎設mMTC終端的典型安全需求包括：一是輕量級的密碼算法和協(xié)議，滿足絡提供為物聯(lián)終端提供去中心化的身份管理和接入認證模式，包括縮短認證鏈條、快速安全接入、網絡與業(yè)務融合分層身份管理等，降低管理復雜度；三是uRLLC聚焦對時延極其敏感的行業(yè)，例如車聯(lián)網、智慧工業(yè)等，滿足人們對于數字化工業(yè)的需求。因這些行業(yè)的信息涉及自動駕駛、路況識別、工業(yè)控制等高風險環(huán)節(jié)，如果被假冒或篡改，將引發(fā)很大的安全事件，因此，uRLLCuRLLC終端的典型安全需求包括：一是高安全等級的保護強度，具備高等級的認證、端到端加密、信息完整性保護等能力；二是超高可靠和超低時延的能力，在不降低安全保護強度的前提下，支持認證節(jié)點下移，簡化認證框架與協(xié)議，提高移動性安全上下文遷移和密鑰重建機制效率，采用高效密碼算法，3主要解決思路性與虛擬化的特點，引入了網絡開放接口安全、切片與VN對終端的高安全防護能力需求，引入了終端安全技術集；針對移動邊緣計算等保護終端、接入網、核心網安全上下文的生成、下發(fā)保證在拜訪地的網絡功能和家鄉(xiāng)的網絡功能之間信令保證終端和MEC、電信網或數據網業(yè)務應用之間安保證切片與VNF的安全運行，以及保證各切提升終端自身安全防護能力以及適配專用領域應用的區(qū)別于以往移動通信系統(tǒng)信任關系構建所依賴的用戶與網絡、用戶與業(yè)務的二元信任模型，該安全架構通過統(tǒng)一認證的網絡功能，支持網絡與業(yè)務間新首先，在現(xiàn)有二元信任模型基礎上，引入網絡與業(yè)務間的信任構建機制可以提高業(yè)務提供商的可信性，降低惡意軟件、釣魚網站等對用戶的威脅；其次，對于某些物聯(lián)網行業(yè)應用(如，煙感監(jiān)控報警)，通過事先建立網絡與業(yè)務間的信任關系，終端在完成入網認證后不再需要進行業(yè)務接入認證，從而簡化了用戶的業(yè)務認證流程。因此，安全架構通過安全認證安全技術集，在統(tǒng)一認在業(yè)務與網絡分別對用戶認證機制的基礎上，針對多樣化應用的安全需網絡統(tǒng)一認證：業(yè)務提供方將業(yè)務認證委托給電信運營商，通過運營商一次認證達到網絡認證和業(yè)務認證的雙重目的，例如，邊緣計算服務等應用場業(yè)務（第三方）統(tǒng)一認證：運營商信任業(yè)務對用戶的認證結果，經一次業(yè)務認證，即可為用戶提供網絡服務，例如，高安全專用領域、工業(yè)物聯(lián)網等應該安全架構支持3GPP接入安全，包括：接入層（AS）控制面入層（NAS）控制面安全與用戶面安全，并支持受信與非受信的非3GPP接入用戶面保護；而對于非受信非3GPP接入方式，由于接入方式非受信，將用戶面保護功能置于5G核心網，采用從用戶到核心網端到端的保護方式，防止用5G網絡架構將支持部分服務與安全能力通過API接口務提供商、垂直行業(yè)等)。在安全架構中通過在開放服務網絡功能與業(yè)務應用間針對5G網絡虛擬化的特點，在安全架構中引入了切片與VNF安全技術集，實現(xiàn)切片間安全隔離、切片內部不同的VNF之間的安全隔離、VNF訪問網絡進行安全態(tài)勢管理、監(jiān)測預警與安全防護。具體而言，在接入網、核心網的網元與各網絡功能中部署監(jiān)測點，各監(jiān)測點實時采集相應的配置信息與網絡運行狀態(tài)等信息（如信令信息、流量信息、內容信息），所采集的信息將統(tǒng)一匯聚到安全監(jiān)管云；安全監(jiān)管云通過智能學習與大數據技術等手段對網絡中存在的潛在威脅進行識別和預警；進一步，安全監(jiān)管云可支持動態(tài)安全防護策略的生成、更新和下發(fā)；各監(jiān)測點根據下發(fā)的安全防護策略對所在網元和網絡功終端安全是5G安全體系中不可缺少的一環(huán)。安全架構在終端中引入終端安全面，在終端安全面中通過構建受信存儲、計算環(huán)境和標準化安全接口，分別從終端自身和外部兩方面為終端安全提供保障。終端自身安全保障可以通過構建可信存儲和計算環(huán)境，提升終端自身的安全防護能力；終端外部安全保障通過引入標準化的安全接口，支持第三方安全服務和安全模塊的引入，并支持基于云的安全增強機制，為終端提供安全監(jiān)測、安全分析、安全管控等輔助安當前的網絡環(huán)境中，存在多種網絡實體身份標識方式，包括網絡用戶的生物特征、法定證件，網絡設備的物理標識、MAC地址，網絡應用的注冊標識等。上述各種身份標識方案命名標準分散，格式不統(tǒng)一，且擴展性有限，無法有效用于5G網絡中對海量實體的身份標識。面對用戶、設備、數據、服務等識機制，對各網絡實體進行命名支持，OID對象標識機制可以作為5G網絡中OID（ObjectIdentifier，對象標識符又稱為物聯(lián)網域名）是由ISO/IEC、構對任意類型的對象進行全球無歧義、唯一命名。OID的目標是為了標識通信和信息處理世界中的任何事物，具有可命名并可被注冊的性質。OID是使用無歧義的全局唯一值來標識對象，可保證對象在通信或信息處理中正確地定位和標識機制，適合作為現(xiàn)有各種應用的元標識機制。如在射頻識別（RFID）領域OID編碼結構為樹狀結構，不同層次之間用“.”分隔，層數無限制，具有很好地擴展性。在標識對象時，標識符為由從樹根到葉子全部路徑上的結點順序組合而成的一個字符串。具體應用場景中，OID可以使用默認的數字名稱，也可以使用自然語言名稱，增加對用戶的可讀性。OID樹形結構的國際根節(jié)點下責該國家分支下的OID分配、注冊、解析等工作，實現(xiàn)自我管理和維護。OID標識機制不存在任何國際專利、知識產權、注冊費等方面問題。目前，我國OID標識解析系統(tǒng)已研制成功，能夠實現(xiàn)和國際根系統(tǒng)對接的同時，保證自主可控性。OID注冊中心自成立以來，已為國內一百多家政府機關、企事業(yè)單位安全需求各不相同。網絡實體的身份憑證不僅需要認證個體的身份真實性，并將實體的身份標識與憑證進行綁定，還應定義不同的身份憑證安全等級，對網鑒于網絡身份憑證需具備可信性，且易于分發(fā)與驗證，網絡身份憑證的簽發(fā)應使用非對稱密碼機制。憑證的可靠性、數據完整性保障由憑證的簽發(fā)者進行簽名實現(xiàn)，憑證的驗證者只需要通過公開途徑獲得相應的驗證公鑰，即可實現(xiàn)對于憑證的有效驗證。使用非對稱密碼機制進行身份憑證的簽發(fā)，可確保憑網絡實體身份憑證的簽發(fā)方在簽發(fā)過程中應加入安全屬性信息，對網絡實體的安全級別以及簽發(fā)環(huán)境進行描述。安全屬性描述內容包括網絡實體身份標識的類型、實體來源、接入的網絡環(huán)境、簽發(fā)時提供的身份信息范圍等，用以向網絡資源提供者申請相應安全等級的服務。身份憑證驗證時，憑證的使用方（如網絡應用）會根據其憑證的安全屬性描述對該實體進行安全等級評估，并為確保各網絡實體對網絡資源的無縫訪問，應定義統(tǒng)一的網絡實體身份鑒別機制，提供專業(yè)身份服務，實現(xiàn)網絡用戶、設備、資源、服務的互聯(lián)互通，并有份提供方，共享該身份提供方的身份憑證鑒別結果。具體的，網絡身份提供方對網絡用戶、設備等實體進行身份管理，存儲并維護其鑒別信息和相關屬性信息。網絡身份提供方接受網絡資源提供方提交的實體憑證鑒別請求，對網絡實體進行身份鑒別。鑒別結果及相關網絡實體的屬性信息經網絡身份提供方簽名例如，為了降低運營和維護成本，網絡應用服務商可將網絡用戶身份認證權委托給運營商，由運營商統(tǒng)一進行網絡和業(yè)務認證以達到進行一次認證，各處使用的效果。類似的，對于政府、銀行等部分網絡應用服務，網絡運營商可以信任網絡應用服務商，將其作為用戶身份鑒別服務的提供者，直接使用其用戶身份鑒別結果，為用戶提供網絡服務,實現(xiàn)跨網絡運營商的用戶漫游接入計統(tǒng)一的網絡實體身份鑒別機制應對網絡實體提供多安全級別的隱私保護。應用會逐漸從封閉的平臺轉移到開放的平臺上，接觸狀態(tài)從線下變成線上，用戶的身份、位置、健康等隱私信息將被大量在網絡中處理、留存并傳輸，甚至某些敏感信息（如生物特征）本身作為身份標識信息被各應用公開采集，泄露的風險也因此增加。網絡身份提供方在提供身份實體鑒別服務的基礎上，還需要考慮不同安全等級的用戶隱私保護機制，對各網絡資源提供方設置不同的隱私信息訪問權限，避免網絡資源提供方對用戶信息進行關聯(lián)分析，規(guī)范網絡身多個網絡身份提供方可以組成身份聯(lián)盟，在不直接共享身份憑證和隱私信息的前提下，共同對網絡資源提供方進行服務。身份聯(lián)盟內，多個網絡身份提供方與眾多網絡資源提供方進行協(xié)商，明確身份服務的提供方和依賴方。用戶在網絡資源提供方中提交身份鑒別請求時，可以自主選擇身份提供者進行身份憑證的鑒別。身份聯(lián)盟可以在保證網絡實體隱私不被泄露的基礎上，為用戶提5G通信網絡中，網絡實體的廣泛接入，網絡應用與網絡資源的大規(guī)模擴各網絡身份提供方、網絡資源提供方和資源所有者之間的多元信任，通過有效網絡資源提供方應對網絡用戶提供不同安全級別的資源訪問權限。網絡資源提供方信任網絡身份提供方提供的用戶身份鑒別結果，根據其憑證的安全屬性設置，制定基于屬性的訪問控制策略，為網絡用戶提供相應的網絡資源訪問服務。屬性類型包括用戶屬性、資源屬性和環(huán)境屬性，分別描述了用戶實體、網絡資源以及用戶進行身份鑒別時的環(huán)境狀況。網絡資源提供方維護資源屬性，對資源進行型號、所有者、類別等標記；網絡身份提供方維護姓名、職級、部門等用戶屬性，并在用戶進行身份鑒別時，獲取其憑證安全等級、鑒別時間、鑒別地點等環(huán)境屬性。在用戶請求網絡資源時，網絡資源提供方根據網絡身份提供方提供的屬性支持，以及內部設定的訪問控制策略，對用戶進行具網絡應用服務與網絡資源提供方之間同樣需要建立資源授權訪問的渠道。在得到網絡資源所有者的許可后，其他網絡實體（如其他網絡應用服務提供商）可以向網絡資源提供方申請訪問相應資源。授權管理體制需要明確資源授權訪問的協(xié)議流程，定義網絡資源提供方可授權的資源的范圍，以及網絡資源提供方、資源所有者、資源請求方等各網絡實體的行為邊界，實現(xiàn)數據資源、應用服務、接入計費權等網絡資源的有效授權管理，建立廣泛的網絡實體間的絡資源提供方、網絡身份提供方和資源所有者等多方的信任授權體系，構建網絡應用間服務資源安全訪問的渠道，實現(xiàn)網絡服務資源在網絡實體間有序、可同的接入技術，5G網絡應提供統(tǒng)一的認證框架，支持多種接入方式和接入憑的密鑰。接入網絡節(jié)點和核心網絡節(jié)點之間根據安全需求可通過IPSec隧道機除上述沿用LTE安全機制之外，5G面數據加密和完整性保護機制。根據具體業(yè)務的安全需求，可選擇部署相應的安全保護機制，此類安全機制的選擇，包括加密終結點的不同，加密算法的不用戶信息帶來的隱私泄露的風險，5G網絡考慮采用加密傳送機制保護用戶隱5G網絡支持非3GPP接入，其接入模型如下圖所示，例如5G用戶使用和非可信的非3GPP接入類型。N3IWF靠近接入網絡部署，并提供統(tǒng)一的N2全，N3IWF使用AKA和IKEv2結合的安全保障機制。l根據不同的接入技術，提供對應的二層接入機制，例如PPPoE接入，l用戶認證成功之后，安全錨點通過Nl根據應用特征，為不同應用提供差異化IKEv2加密和完整性保護算物聯(lián)網中存在大量的終端需要接入網絡，這些終端通常為低功耗資源受限設備，如果采用傳統(tǒng)接入認證機制接受海量物聯(lián)網終端并發(fā)接入網絡，則極容易產生信令風暴，造成網絡擁塞。針對該問題，研究對傳統(tǒng)認證機制進行局部該方案通過在近用戶端部署消息聚合設備，例如信令聚合設備部署于無線接入網絡域，配合認證設備（接入認證點、認證服務器）完成對MTC終端接消息聚合設備接收海量MTC終端發(fā)送的消息，對每個終端的信令消息進行解析，并按照一定的策略進行消息聚合處理，例如將同為接入請求的消息進行解析，提取必要用戶信息后，合并為一條接入請求消息。聚合設備將聚合消息發(fā)送給接入認證點和認證服務器。認證服務器根據接收的消息，完成對消息中包含的所有用戶的認證批處理，例如向簽約信息服務器獲取對應用戶的聚合認證向量。認證服務器將認證結果返回給聚合設備，聚合設備進行消息解析，聚合認證方式大大降低了信令開銷，從而減輕認證設備的處理負擔以及網該方案對海量MTC終端進行分組，為每組用戶設立群組網關負責組內簽約信息服務器中存儲每組用戶的簽約信息，包括群組標識，網關標識和組內用戶的標識，組內用戶的密鑰等簽約信息。群組用戶接入網絡的前提是群組網關首先接入網絡。群組網關接入網絡發(fā)起認證時，簽約信息服務器接收到群組網關的接入認證參數請求，此時根據組簽約信息，簽約信息服務器需要為群組網關接入產生認證向量，同時還要為組內所有用戶產生認證向量，并將群組認證向量（包含網關認證向量和組用戶認證向量）返回給認證服務器。在群組網關接入認證成功之后，認證服務器將對應的組用戶認證向量發(fā)送給群組網關保存。后續(xù)當組內用戶接入網絡發(fā)起認證時，由群組網關作為認證代理，完群組認證方式要求群組網關首先完成接入網絡的認證，認證通過后，網絡信任群組網關并將組用戶認證向量發(fā)送給群組網關，由群組網關完成和組用戶的認證。通過這種信任傳遞的方式完成網絡對所有MTC設備的認證過程。這種方式減少了MTC設備和網絡認證設備的認證交互過程，減輕了認證設備的為了實現(xiàn)業(yè)務的低時延，其主要技術手段包括：縮短傳輸距離、簡化架構與流程、提升性能、網絡輕載等。但是網絡中一些安全特性的使用，例如鑒權機制、加密完整性保護，會額外增加信令消息、數據報文處理計算消耗，從而因此，在保證安全的前提下，為降低安全處理帶來的額外時延，需要根據終端、網絡、應用安全特性進行優(yōu)化，對5G承載網絡的安全能力進行取舍、裁剪；另外可以針對不同的應用特征建立對應的網絡切片，對安全能力進行統(tǒng)一管理，或者可以由業(yè)務層自己定制安全能力，從而不依賴5G承載的通用安ANAF/Non-IP-①UE-AN安全-②AN-CN安全③CN-AF安全-④UE-CN安全⑤UE-AF安全從上圖看出在安全功能實現(xiàn)上存在多個層面的重疊或者多重防護，針對超低時延場景，可以考慮統(tǒng)籌網絡規(guī)劃，盡量減少安全重疊，從原來的五層網絡安全壓縮到兩層甚至一層網絡安全。例如將接入網和核心網盡量部署在同一個與CN之間安全只選擇其一，減少安全開銷；UE與AF之間的安全為保證控制面狀態(tài)切換時間在10ms以內，對狀態(tài)切換請求消息（例如業(yè)務請求消息）進行簡單的本地鑒權，通過完整性保護檢查確認合法即可，盡量針對機密性要求不高但可靠性要求較高的應用，例如工業(yè)控制應用，可以保留完整性保護機制，而選擇不加密或者輕量級的加密。通過完整性校驗可避針對機密性和可靠性都有要求的應用，例如智能穿戴應用，考慮盡量選擇邊緣節(jié)點硬件設施保護、MEC系統(tǒng)隱私泄露防護、MEC三元認證與鑒權方案。其中MEC邊緣節(jié)點硬件設施保護方案針對物理設施防護的安全需求，旨在消除邊緣節(jié)點暴露的硬件基礎設施帶來的方案針對隱私與數據保護的安全需求，通過管控運行于MEC系統(tǒng)中的第三方應用阻止隱私信息流出；而MEC三元認證與鑒權方案針對認證、鑒權與權限管理的安全需求，主要解決服務下沉至網絡邊緣帶來的實體間互認證和權限分MEC硬件設施保護方案的基本策略為“盡力保護，按需備份”?！氨M力保護”指采取一切可行的措施降低MEC邊緣節(jié)點硬件基礎設施被破壞的可能。由于MEC服務被下沉至網絡邊緣客觀上縮短了其與攻擊者之間的物理距離，“盡力保護”的首要目標在于減小攻擊者接觸到MEC邊緣節(jié)點硬件基礎設施的機會。門和門禁監(jiān)控，加固易被盜取的空調、變壓器、蓄電池、電纜，建立動力環(huán)境監(jiān)控系統(tǒng)，加裝紅外探測器、振動傳感器、聲光告警設備，實時MEC邊緣計算節(jié)點可能被置于嚴酷場景中，面臨來自極端和工業(yè)災難的威脅。因此，“盡力保護”的另一目標在于降低惡劣環(huán)境破壞MEC邊緣節(jié)點硬件基礎設施的風險。為此必須強化邊緣節(jié)點硬件基礎設施的防火、防水、防塵、防輻射能力，采用耐高溫、防水的線纜、材料和防護外殼制作高節(jié)點硬件基礎設施的暴露的問題。一旦MEC邊緣節(jié)點被攻陷或發(fā)生故障，MEC服務能夠通過“按需備份”策略得到保持或恢復?！鞍葱鑲浞荨敝父鶕﨧EC服務的需求，選擇性地進行數據備份。對于可靠性和時延要求極高的服務，如無人駕駛，MEC系統(tǒng)將其數據分布式地備份到多效的情況時，距離用戶最近、延遲最低的節(jié)點直接對用戶恢復服務。而對于可靠性和時延要求較為寬松的服務，其數據被備份在MEC控制器。當前節(jié)點失效時，MEC控制器將備份數據回傳給距離用戶最近、延遲最MEC控制器應協(xié)同工作增強MEC系統(tǒng)的隱私保護，基本實現(xiàn)框架如圖8所示，其特點在于1）隱私保護策略可適配2）MEC用行為的隱私保護策略可由用戶制定或由MEC系統(tǒng)適配。隱私保護策略需同時滿足隱私信息的安全需求與應用的基本服務要求。隱私保護策略可由以下四MEC用戶隱私信息用戶設備隱私保護策略MEC服務供應方服務供應方MEC用戶隱私信息用戶設備隱私保護策略MEC服務供應方服務供應方5G網絡MEC系統(tǒng)MEC節(jié)點MEC控制器考慮到MEC低時延的特性，服務提供方提前根據可能的安全策略構造應檢索與之匹配的應用，同時在MEC節(jié)點配置相應的虛擬環(huán)境。符合安全策略的應用在MEC節(jié)點的專用虛擬環(huán)境中實例化。MEC節(jié)點通過多種措施監(jiān)控l輸入控制功能：阻止應用非法讀取用戶隱私信息，嚴控應用對非法訪問，控制危險協(xié)議以防應用惡意上傳數據，限定應用的上行帶寬l接口控制功能：禁用存在安全隱患的應用編程接口，防范應用l生命周期管理功能：MEC節(jié)點對隱私信息進行全生命周期的管理，加密存儲隱私信息，在隱私信息的發(fā)布階段運用匿名技術，在隱私信息被l配置不可變功能：維持應用虛擬環(huán)境配置的穩(wěn)定，拒絕來自l狀態(tài)斷言功能：MEC節(jié)點實時將應用行為記錄在日志中，并向用戶提MEC控制器代理服務提供方或連接應用的請求，使服務提供方運行于邊緣節(jié)點上應用。同時，MEC控制器負責監(jiān)管應用發(fā)往外界的全部通），），用戶使用的用戶設備（以下稱用戶），三者構成了MEC基本的三元信任模除此之外，在三元信任模型內部，MEC系統(tǒng)由MEC控制器與MEC節(jié)點組成，同時，在資源配置的過程中，移動邊緣協(xié)調器分別對MEC節(jié)點和用戶進用戶MEC服務供應方MEC用戶與應用互認證用戶與MEC系統(tǒng)互認證MEC節(jié)點第三方應用用戶設備認證服務器MEC系統(tǒng)與應用互認證控制器對用戶鑒權用戶MEC服務供應方MEC用戶與應用互認證用戶與MEC系統(tǒng)互認證MEC節(jié)點第三方應用用戶設備認證服務器MEC系統(tǒng)與應用互認證控制器對用戶鑒權5G網絡MEC系統(tǒng)節(jié)點對應用鑒權控制器對節(jié)點鑒權MEC基礎平臺MEC控制器認證MEC節(jié)點虛擬化基礎設施節(jié)點對應用鑒權控制器對節(jié)點鑒權MEC基礎平臺MEC控制器認證MEC節(jié)點虛擬化基礎設施MEC控制器網絡切片將是5G網絡的重要組成部分，它使運營商能夠針對市場的各種需求創(chuàng)建定制網絡，以提供優(yōu)化的解決方案，例如，從功能、性能和隔離等方網絡切片中的網絡功能共享和不同切片之間的隔離可能會帶來安全隱患。在某些場景下網絡切片允許第三方運行他們自己的功能，甚至可能完全由外部第三方（如企業(yè)或者特殊行業(yè)）管理，因此與網絡切片相關的安全要求中，網5G網絡的業(yè)務接入模型有多種類型，UE不僅能夠通過不同類型的接入網且能夠同時接入由不同網絡切片提供的服務。因此5G網絡這些能力組合導致同時5G網絡可以通過網絡切片實現(xiàn)不同安全等級的網絡，實現(xiàn)按需組網，安全分級，即通過按需組網、安全分級的網絡切片安全關鍵技術，根據業(yè)務場景和業(yè)務需求實現(xiàn)切片的安全隔離，采用不同的安全機制實現(xiàn)不同的安全等級，實現(xiàn)終端的接入認證和鑒權和切片間的通信安全，實現(xiàn)5G網絡的按需時提供移動終端到基站之間的信令面數據完整性和機密性保護、移動終端到核不同網絡域之間一般采用IPSec對傳輸的數據進行完整性和機密性保護。對于為了進一步保證行業(yè)的業(yè)務應用安全性，也可在終端的應用層增加端到端的需求不盡相同，因此需要針對不同的用戶和業(yè)務場景采用不同技術措施解決從數據采集傳輸、數據脫敏、數據加密、安全基線建立、數據發(fā)布保護等方面數據加密是5G網絡中保證數據隱私安全的最有效手段之一，也是隱私保護過程中采用的最常見技術手段之一。按照實現(xiàn)思路，可以將其劃分為靜態(tài)加密技術和動態(tài)加密技術。從實現(xiàn)的層次上，可以分為存儲加密、鏈路層加密、網絡層加密、傳輸層加密等。采用加密技術可以有效保證5G網絡隱私數據的針對5G網絡虛擬化和云化的新特點，可以引入一些新的加密技術來保證數據的隱私安全。比如同態(tài)加密技術，該技術提供了一種對加密數據進行處理的功能。同態(tài)加密技術對加密的數據處理得到輸出，將這一輸出進行解密，其在5G網絡數據發(fā)布過程中，限制發(fā)布技術即是有選擇地發(fā)布原始數據、中于數據匿名化:即在隱私披露風險和數據精度間進行折中,有選擇地發(fā)布敏感范圍內。目前，比較成熟的匿名化技術有k-anonymity（k-匿名化）,l-diversity（l-多樣化）,t-closeness（t-貼近性）技術等。下一步的研究重點，將網絡中需要發(fā)布的結構化隱私數據，制定更好的匿名化原則、設計更高效的匿名化算法，使得5G網絡發(fā)布的數據既能很好的保護隱私，又能具有較大的利訪問控制技術也是5G網絡隱私保護采用的最常用技術手段之一。訪問控制可以通過策略和技術手段保證隱私數據不被非法使用和竊取。傳統(tǒng)的訪問控制技術包括用戶口令、數字證書、USBKEY、生物識別技術等。這些技術同樣的隱私安全，可采用基于規(guī)則、流程的訪問控制技術，使得攻擊者無法通過假為保證隱私信息在5G虛擬化網絡存儲過程中的隱私安全，可采用用戶數據庫的動態(tài)遷移和隨機化存儲技術。動態(tài)遷移技術可以在保證虛擬機上服務正常運行的同時，將一個虛擬機的數據從一個物理主機遷移到另一個物理主機的互流程，采用相關信息的動態(tài)關聯(lián)和協(xié)同重組技術，使得攻擊者無法通過數據目前，很多組織都在研究5G網絡的隱私增強技術。當前研究的重點主要集中在使用非對稱密鑰加密的方法來加密5G網絡的永久標識符（IMSI），或端側通過公鑰對永久標識符進行加密，網絡側通過私鑰對永久標識符進行解），用戶簽約身份信息的泄露。同時，由于有效保護了用戶的身份隱私，所以即便攻擊者得到了用戶的位置信息，也不知道對應于這個位置的身份是誰，通過這5G安全管理需要為認證/鑒別與授權、接入安全和切片安全等提供基礎的管理平臺，為5G網絡引入5G統(tǒng)一身份和授權管理，構建統(tǒng)一的信任管理體及以實體形態(tài)部署探針、防火墻等物理安全設備，跟蹤網元實時運行狀態(tài)，同時通過統(tǒng)一的標準接口收集來自切片中安全敏感的虛擬化設備(如PCF、AUSF等)的上報事件等等手段，多渠道實現(xiàn)安全態(tài)勢感知信息的收集，然后采用基于大數據的關聯(lián)歸并、融合分析和深度挖掘等多種技術手段，結合協(xié)議還原識別、靜態(tài)特征匹配、動態(tài)行為分析、異常行為挖掘等層次化檢測方法，從離散的、孤立的數據中探測發(fā)現(xiàn)潛在的安全威脅，多維度、多視角的將安全態(tài)勢數據推送至安全態(tài)勢管理與監(jiān)測預警管理中心進行可視化展示。然后結合預警知識庫、預案知識庫給予輔助決策；管理員角色根據決策適時調整網絡節(jié)點的安全策略（含虛擬化網元之間的安全策略或者安全用途虛擬化網元的配置/設置策略，等等），從而提升集中式運維管理效率和能力，實現(xiàn)5G網絡的安全態(tài)勢安全設備安全探針安全設備安全探針狀態(tài)監(jiān)控與數據采集安全態(tài)勢感知與分析攻擊監(jiān)測與防御安全策略調整執(zhí)行監(jiān)測預警知識庫安全數據采集基礎設施可以通過5G網絡中不同位置的安全感知工具，管理網絡系統(tǒng)設施如服務器、網絡設備或軟件等，根據地址信息，通過數據聚合分析大量數據，根據分析結果捕捉整個系統(tǒng)狀態(tài)，建立捕捉系統(tǒng)狀態(tài)模型，進行可視化、共享、查詢和分析，識別以前或正在進行的攻擊和威脅，并在某些情況下，自動對安全事狀態(tài)監(jiān)控依靠設備狀態(tài)監(jiān)控實現(xiàn)，通過定義切片內部網絡設備、安全設備、服務器、終端等設備的狀態(tài)管理、故障管理和安全通告管理接口，實現(xiàn)基于策略的應急響應處置和業(yè)務跟蹤功能，包括預警信息庫、漏洞庫、處理預案安全態(tài)勢感知與分析是指通過對虛擬化安全設備及物理環(huán)境基礎設施安全設備進行廣泛采集，將各類告警數據和運行狀態(tài)數據進行統(tǒng)計分析、關聯(lián)分全威脅。安全態(tài)勢分析包括靜態(tài)特征檢測、動態(tài)行為分析、異常行為挖掘、事復合攻擊包括若干個攻擊步驟，每一個攻擊步驟依賴于前一個攻擊步驟的輸出結果，而復合攻擊中的每一個攻擊步驟由該步驟所對應的告警信息折射出來?；谕{分析與決策治理技術，分析攻擊步驟之間及攻擊步驟與告警信息間的關系，進行安全預警，并通過提取各個攻擊步驟階段相應的攻擊意圖后，計算預測未來持續(xù)的攻擊步驟和有效修復建議，實現(xiàn)對網絡防御能力的動態(tài)調整，同時結合大數據技術，研究安全風險特征，實現(xiàn)安全預警和防御。最后通過與網絡切片內虛擬網元、防火墻之類安全設備的安全策略聯(lián)動，實現(xiàn)威脅處當管理員通過安全態(tài)勢感知和分析對當前5G網絡的安全態(tài)勢形成一定了解并認為有必要進行安全策略調整的時候，可以將調整目標進行分解，拆分/形成一系列的對應到不同虛擬化設備中的安全策略，通過統(tǒng)一的接口將這些策略下發(fā)到各個虛擬化設備中予以執(zhí)行，同時收集這些策略的執(zhí)行結果，跟蹤網絡完整性密鑰，還可以提供無線網（即接入層）控制面的機密性、完整性密鑰，用戶面的機密性和可選的完整性密鑰，以及用來支持網絡分片、新空口、非考慮到其他接入方式，還引入了3GPP之外的其他接入網的密鑰：因此，心網都被認為是可信的，而核心網切片之間通過虛擬化技術實現(xiàn)了資源的隔考慮了5G會引入多種認證機制，考慮所有密鑰是否需要以及密鑰如何衍生。接入層密鑰可以直接由SEAF進行推衍而非接入層機密性與完整性保護密鑰不此外，針對攻擊者通過核心網攻擊獲取接入層的密鑰參數的情況，有一些隔離接入層與非接入層的密鑰體系被提出。其設計思想是：通過與無線鏈路相關的、不需要分發(fā)的物理層密鑰，使得終端和接入點能夠不依賴核心網，獨立產生并更新與無線鏈路、節(jié)點強相關性的加密和完整性保護密鑰作為接入層密鑰；而終端和核心網協(xié)商使用與身份信息強相關的加密和完整性保護密鑰作為非接入層密鑰；接入層密鑰的更新過程與非接入層密鑰的更新過程完全獨立；在終端安全體系中，密碼是其核心支撐技術。密碼技術與終端的不同結合紅黑隔離的物理門衛(wèi)式安全體系架構，是在終端內部的信息通路上物理地串接密碼處理部件，形成物理流過式的密碼安全處理，實現(xiàn)安全數據所在的“紅區(qū)”與非安全數據所在的“黑區(qū)”隔離的安全架構。該架構具有以下三個特點：一是可確保在“紅區(qū)”沒有任何來自“黑區(qū)”的非安全數據；二是可為“紅區(qū)”阻攔來自“黑區(qū)”的所有已知和未知網絡攻擊，包括零日漏洞攻擊等；三是該架構的安