5G 專網數據安全技術研究

１數據安全1.1定義《數據安全法》對數據安全給出了明確的定義。數據安全，是指通過采取必要措施，確保數據處于有效保護和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。數據的生命周期包括采集、傳輸、存儲、處理、交換、銷毀這6個主要階段。數據安全不僅要確保貫穿數據全生命周期內的安全，以及數據防護過程的安全，而且對安全合規(guī)監(jiān)管也有更高的要求，包括確保數據的機密性、完整性、可用性不受破壞等。1.2數據安全威脅及措施1.2.1數據采集階段在數據采集階段，存在注入惡意數據、篡改采集數據等風險。在數據采集階段，需根據業(yè)務需求和相關標準要求做好數據的分類分級管理。首先保證數據采集平臺的安全可信，同時對敏感數據進行信息加密保護，對采集行為進行日志記錄和審計。1.2.2數據傳輸階段在數據傳輸階段，主要存在數據泄露和數據篡改威脅。對于重要敏感數據，可以通過傳輸加密、數據完整性保護等措施保證數據傳輸階段的安全。1.2.3數據存儲階段隨著數據規(guī)模的擴大，很多企業(yè)和用戶將數據存儲在第三方的云服務器上，即便自行存儲也同樣存在數據被非法竊取、篡改、損壞等安全問題。因此，需采用數據訪問的身份認證和訪問控制、數據備份和恢復、敏感數據加密存儲等多種手段進行保護，并對存儲數據的設備及基礎設施做好訪問控制、安全基線和風險評估。1.2.4數據處理階段目前數據處理通常在云計算平臺中進行，由于云平臺中各租戶網絡、存儲、計算等資源是共享使用的，導致私有數據安全邊界模糊，存在數據泄露、篡改等安全風險。因此需采用安全隔離、訪問控制等多種技術手段實現云租戶的邊界安全，在數據訪問和處理中堅持最小分配原則，合規(guī)使用者僅訪問必要數據，除非獲得授權，否則無權訪問數據。1.2.5數據交換階段數據進行有序的共享和交換是發(fā)揮數據價值的關鍵一環(huán)，但是數據交換階段存在非法截獲數據、數據污染篡改等安全問題。在數據交換階段，可以采用數據匿名化、多方安全計算、同態(tài)加密和個人隱私計算等保證數據交換過程中的安全。1.2.6數據銷毀階段在數據銷毀階段，由于待銷毀數據量大，可能存在數據銷毀不徹底，數據被非法還原造成信息泄露等風險，特別是對于個人隱私等數據需要采用多次擦除等技術手段保證數據的銷毀。1.3數據安全保護數據安全保護應以制度為標，技術為本，在數據保護的基礎上安全地利用數據，促進數據價值發(fā)揮。做好數據安全保護，信息系統的管理方和數據運營方可以從以下6個方面入手開展工作。（1）識別重要核心數據資產，對數據進行分類分級的保護。（2）分析重要核心數據面臨的安全威脅，分析安全風險，確定數據安全保護策略。（3）對數據所承載的信息系統，按照信息系統的保護需求，按照等級保護、分級保護等相關標準規(guī)范，為信息系統、關鍵基礎設施等數據的承載支撐平臺建立安全防護體系。（4）構建數據安全技術體系，保證數據全生命周期的安全。（5）建立完善的數據安全機構組織、制度流程和培訓考核機制，建立健全管理手段。（6）加強數據安全運營和實戰(zhàn)演練。２5G數據安全5G將大幅度推動物聯網的發(fā)展，最終實現萬物互聯的目標。作為當前大數據線下數據主要來源的物理設備，在5G的推動下，能夠采集的數據量更大，同時，隨著車聯網、可穿戴設備、智慧城市等項目的推進，采集的面會越來越廣，數據量呈現爆發(fā)式增長的態(tài)勢。同時，5G網絡是我國的關鍵基礎設施，對于國家安全的重要性不言而喻，因此5G的數據安全問題亟須解決。2.15G數據安全需求及標準我們可以從多個維度來分析5G的數據安全需求。從數據生命周期的角度，5G數據安全是需要保障數據采集、傳輸、存儲、處理、交換、銷毀等全生命周期的安全。從業(yè)務的角度，需要保障增強移動寬帶（EnhancedMobileBroadband，eMBB）、海量機器類通信（MassiveMachineTypeCommunication，mMTC）和高可靠低時延（UltraReliableLow-LatencyCommunications，uRLLC）3大類5G業(yè)務的數據安全。從系統架構的角度，需要保障5G終端設備、5G接入網絡、5G核心網、5G邊緣、應用系統的數據安全。面對復雜的5G系統、豐富的5G應用，5G數據安全的標準制定、安全體系設計尤為重要。我國正積極制定5G數據安全專用標準體系，工信部發(fā)布的《電信和互聯網行業(yè)數據安全標準體系建設指南》明確提出建設5G數據安全標準體系。中國通信標準化協會已發(fā)布和在研的與數據安全相關的標準包括YD/T3813—2020《基礎電信企業(yè)數據分類分級方法》《5G數據安全總體技術要求》《工業(yè)互聯網數據安全分類分級指南》《物聯網業(yè)務數據分類分級方法》《5G數據安全評估規(guī)范》等。已發(fā)布的個人信息保護、全生命周期各環(huán)節(jié)等數據安全相關標準有GB/T35273—2020《信息安全技術個人信息安全規(guī)范》、GB/T39335—2020《信息安全技術個人信息安全影響評估指南》、YD/T3628—2019《5G移動通信網安全技術要求》等。2.25G數據安全架構中國通信協會在發(fā)布的《5G數據安全防護白皮書》中提出了5G數據安全的防護體系。該防護體系主要包括5G通用數據安全、5G基礎設施安全、5G設備數據安全、無線數據安全、核心網數據安全、5G業(yè)務數據安全6個方面。（1）5G通用數據安全主要實現數據采集、傳輸、存儲、處理、共享和銷毀的安全。（2）5G基礎設施安全主要實現物理安全、云平臺安全和網絡安全，為5G網絡提供安全的基礎設施。（3）5G設備數據安全主要實現接入安全、通信安全、數據存儲安全和其他數據安全。（4）無線數據安全實現5G信令完整性保護、信令機密性保護和密鑰保護。（5）核心網數據安全包括邊緣計算數據安全、網絡功能虛擬化（NetworkFunctionVirtualization，NFV）/軟件定義網絡（SoftwareDefineNetwork，SDN）數據安全和網絡切片數據安全。（6）5G業(yè)務數據安全實現車聯網、工業(yè)互聯網等5G垂直行業(yè)數據安全。３5G專網數據安全技術3.1面向行業(yè)用戶的3種5G專網模式面向行業(yè)用戶的5G專網包括3種模式：虛擬專網（公網切片）、混合專網（專網切片）和獨立物理專網。3.1.1虛擬專網虛擬專網是基于5G公網，將公網資源進行按需分配，實現網絡能力的靈活組合，采用切片等技術，在5G公網上虛擬出多個具備不同特性的邏輯子網絡，為用戶提供端到端的虛擬化網絡資源，為行業(yè)應用提供定制化的無線專網能力。5G虛擬專網部署如圖1所示。圖15G虛擬專網部署虛擬專網是一種低成本專網模式。對于電力、政務等業(yè)務分散、需實現廣域覆蓋的用戶，虛擬專網是非常好的專網模式，可以利用公網覆蓋實現全域覆蓋和業(yè)務系統的部署，同時5G虛擬專網能夠對業(yè)務提供服務質量協議（Service

LevelAgreement，SLA）保障（速率、可靠性、時延、連接數等）。3.1.2混合專網混合專網即專網切片，專網在局部區(qū)域共享公網的無線資源，將邊緣計算（MobileEdge

Computing，MEC）/用戶面功能（UserPlane

Function，UPF）下沉到行業(yè)用戶的本地，采用獨立的核心網或共享公網核心網，用戶應用部署在用戶本地邊緣平臺上，實現數據的本地卸載。5G混合專網部署如圖2所示。圖25G混合專網部署混合專網適用于工廠、園區(qū)、醫(yī)院、港口等垂直行業(yè)用戶，需求為：能夠提供局域連接、對數據的安全性要求較高、業(yè)務數據總流量大、對網絡時延抖動控制要求高。5G混合專網能夠將網絡能力、計算能力、存儲能力、應用等在靠近客戶的位置（即邊緣計算節(jié)點）就近整合，提供高可靠性及低時延的網絡服務能力，實現“用戶數據不出場”。3.1.3獨立物理專網獨立物理專網采用專有頻段和專有基站、獨立或共享核心網、所有網元均在用戶本地部署，可在本地配置邊緣云等服務。5G獨立物理專網部署如圖3所示。圖3

5G獨立物理專網部署獨立物理專網適用于應急部門、政府部門或大型企業(yè)等，這些用戶對安全要求高，需建立專網基站實現局部區(qū)域覆蓋。3.25G專網數據安全防護架構從上述3種專網的部署結構可以看出，5G專網的數據安全防護架構可以參照5G數據安全防護架構建立。對于5G專網的行業(yè)用戶，5G專網的數據安全需要考慮終端、5G網絡和行業(yè)應用的數據安全。終端的數據安全需要解決專網終端平臺的安全、數據采集和數據存儲的安全。5G網絡可以分為兩種情況：第一種是采用運營商的核心網，通過MEC/UPF實現邊緣節(jié)點的專網架構；第二種是自建專網核心網的5G專網。對于第一種情況，由于運營商的5G網絡已經根據第三代合作伙伴計劃（3rdGenerationPartnershipProject，3GPP）的安全要求，實現了終端的接入安全和通信信息保護，解決了5G接入網和核心網的通信安全、傳輸安全，因此5G核心網的網元、MEC/UPF通常部署在云平臺上，并采用較完善的云平臺安全防護措施實現了核心網和MEC/UPF中用戶數據的采集、存儲、交換的安全。對于自建5G核心網的情況，應按照3GPP的安全要求，采用基礎安全云平臺，實現自建5G核心網的數據存儲安全、數據傳輸處理安全。行業(yè)應用的云端是行業(yè)用戶數據存儲、處理、交換的重要區(qū)域，首先需要解決行業(yè)應用基礎平臺的安全，可以綜合采用數據加密存儲、數據隔離防護、數據安全交換等多種安全防護手段，重點解決行業(yè)應用平臺的數據交換安全、數據處理安全、數據存儲安全。綜上所述，5G專網數據安全防護架構如圖4所示。圖45G專網數據安全防護架構3.35G專網數據安全防護新技術數據安全需要新技術進行基礎支撐，以下多項新技術將會對數據安全帶來巨大影響。這些新技術覆蓋數據安全生命周期各個階段，具體如表1所示。表1數據安全新技術3.45G專網安全防護技術對于5G專網數據安全的防護，需要采用成熟技術和新技術相結合，實現終端、網絡、邊緣、應用的整體防護，本文將對以下幾項安全防護技術進行探討。3.4.1專網終端的可信安全技術5G

專網終端采用可信安全技術構建專網終端的可信安全架構，如圖5所示，保證終端基礎環(huán)境安全，從而確保數據采集、存儲安全。終端可信安全架構以密碼技術為基礎，以可信密碼模塊為核心，實現終端的可信基本輸入輸出系統（BasicInputOutputSystem，BIOS）、可信操作系統、可信運行環(huán)境和可信應用軟件，由可信安全策略對終端進行策略控制及策略執(zhí)行反饋、審計。圖5專網終端可信安全架構3.4.2數據匿名技術在5G專網的數據采集和交換環(huán)節(jié)，通常需要對個人敏感信息進行采集，可以對個人敏感信息采用泛化、屏蔽、隨機化等處理措施，實現非授權人員無法識別出與敏感信息對應的個人主體，以達到“匿名”效果，保護個人隱私。數據匿名技術主要包括K-匿名、L-多樣性、T-近似性以及差分隱私4種。（1）K-匿名：除敏感數據外，對可以確定個人主體身份的數據項（如身份證號、手機號、地址等）采用屏蔽、泛化等處理措施，保證數據表中至少有K(K≥2)條記錄具有相同的取值。（2）L-多樣性：不僅保證處理后的數據表中至少包含K個相同記錄，而且通過修改敏感屬性或添加偽記錄來保證處理后所得的任意等價組的敏感屬性至少包含L個不同的值。（3）T-近似性：不僅保證形成的等價組至少包含K個記錄，而且通過修改敏感屬性或添加偽造記錄，保證任意的等價組的敏感屬性的分布與全局的敏感屬性分布之間的距離度量值小于T。（4）差分隱私：在采集和交換數據時，在個人用戶側利用隨機化算法等對采集到的個人敏感數據進行相應的處理，使得服務器無法獲得個人用戶的真實敏感信息，但服務器采集到足夠多的加入噪聲的數據后也能起到了解總體數據分布的業(yè)務需求。在交換數據前，利用隨機化算法，進行集中批量處理?？梢钥闯?，在隱私保護效果方面，差分隱私>T-近似性>L-多樣性>K-匿名，而從性能和數據可用性來考慮則完全相反，因此實際使用過程中要結合具體場景進行靈活選擇。3.4.35G專網中的同態(tài)加密技術由于5G終端的處理能力有限，因此專網中的數據處理、數據存儲通常是由云計算平臺完成的，如果終端直接將數據交給云，則無法保證安全性，所以使用同態(tài)加密技術，讓云來對加密后的數據進行處理，然后將處理結果返回終端。同態(tài)加密可以對加密后的數據進行處理，擁有密鑰的用戶對處理過的數據進行解密后，得到處理后的結果與對明文數據處理的結果一致。同態(tài)加密是實現多方安全計算的一種方式，也是比較適用于5G專網數據傳輸、存儲、處理的方法，包括加法同態(tài)、乘法同態(tài)和全同態(tài)加密。第一個加法同態(tài)加密方案由Pailer提出，加法同態(tài)的加密函數滿足Enc(A)+Enc(B)=Enc(A+B)，可執(zhí)行密文數據的加減運算。第一個乘法同態(tài)加密方案由Elgamal提出，乘法同態(tài)的加密函數滿足Enc(A)×Enc(B)=Enc(A×B)，可執(zhí)行密文數據的乘除運算。全同態(tài)加密的加密函數同時滿足加法同態(tài)和乘法同態(tài)，全同態(tài)加密可以完成各種運算，包括加減乘除、多項式、指數、對數、三角函數等。第一個完全同態(tài)加密方案由Gentry于2009年提出，該方案允許任意復雜的操作并且在量子時代也是安全的。４結語隨著