2017·11 前言 5G安全挑战和需求 1.15G多样化商业需求 1.25G 网络支撑广连接、高覆盖的物联网接入 1.35G引入IT新技术、新架构带来的安全挑战 业务和网络架构的变化驱动5G安全架构变革 2.1 5G安全新特性 2.2 对4G安全特性的延续和增强 2.3 面向业务构建可扩展、可编排的智能5G安全架构框架 华为积极推动5G安全标准化，共建5G安全生态 3.1 端到端安全评估体系 总结 目录5 1425 G5 G5G安全架构白皮书5G安全架构白皮书1.15G多样化商业需求 5G 不仅是下一代移动通信网络基础设施，而且是未来数字世界的使能者。5G 并不是一个单一的无线接入技术，也不是几 个全新的无线接入技术，5G 是一个真正意义上的融合网络，无缝支持各种新的网络部署 Enhanced Mobile Broadband Gigabytes in a second Smart Home/Building Voice Smart City Massive Machine Type Communications Ultra-Reliable and Low-Latency Communications 3D video and UHD screens Work and play in the cloud Augmented reality Industry automation Mission-critical applications Self-driving cars Future IMT ITU-T定义的5G用例广泛的支持垂直行业（如交通、物流、自动驾驶、健康、制造业、能源行业、媒体及娱乐业）的数字化， 以及公共事业（智慧城市、公共安全和教育产业）的发展。随着高带宽、低时延、多连接的5G网络逐渐普及，将会形成 一个普适性的网络平台，催化各行各业的技术与服务的发展 移动网络业务范畴的扩展，丰富了电信网络的生态环境，也对移动网络的安全带来了新的需求和挑战 5G安全挑战和需求 我们已经看到了业界5G技术的初步实现。它提供了许多功能，使 其成为数字化世界的首选平台。和4G一样，健全稳固的安全将是 5G网络的优势之一。然而，仅仅用4G的安全特性来构造5G安全 是远远不够的，因为5G的全方位业务不仅仅是基于4G的的扩展 除了增强的4G安全功能之外，5G还需要全新的安全功能和服务 现代世界的潮流是数字化和全球化，网络安全是其关键特色之一 提高网络安全水平意味着促进一个更安全、更繁荣的社会。为了提 供更好的网络安全，需要使用所有必要的工具和手段，而5G技术 在其中承担了很大的责任。将移动网络的强大的安全功能开放给垂 直行业，也有利于满足垂直行业的网络及业务的安全需求。当然， 需要以受控的方式进行网络安全能力开放，这样才不会危及运营商， 确保运营商网络自身的运营能力 我们将展示5G安全如何实现两个不同的目标。第一个目标是保护 5G平台本身。第二个同样重要的目标，是提供方法和机制来保护那 些建立在5G平台之上的服务 前言 5 G5 G5G安全架构白皮书5G安全架构白皮书 32 1.25G 网络支撑广连接、高覆盖的物联网接入 5G 网络需要为物联网提供可靠的网络通信服务，海量的物联网设备传感器对连接管理提出了很高要求。例如车联网系统 中的车车通信、车人通信、车路通信和车网通信涉及上亿传感设备的连接，对于保障交通安全、提高城市交通运行效率、 降低污染排放都具有重要意义。大型城市的智能电表装机量过千万，每天从大量电表向电网数据中心上传大量的计量数据 智能制造要求永久在线、广覆盖、大连接，为连续运转的机器、数量庞大的产品和工人提供随时随地、无处不在的连接， 保证生产各个环节任何位置间的物的连接 物联网设备数量庞大，无人值守，对网络安全管理和安全防御都带来新的挑战。因此，5G 网络需要为海量的物联网设备 提供安全可靠、成本可控的网络接入模式 统一安全管理 5G 系统中存在不同的接入技术和终端，从安全管理的角度考虑，一个包含通用安全核心功能的统一安全框架能够更好的 覆盖5G 网络的整体安全需求 异构接入网络将是下一代接入网络的主要技术特征之一。多制式、多接入、多站点的接入网络，需要协同5G、LTE、WiFi 共存的多制式接入，以及宏站、小站、微站的不同站点形态的并发连接。安全管理需要具备灵活处理异构接入技术的安全能力 Smart Device Smart Building Smart Transport Smart Energy Smart Wearable Smart Home Smart Vehicle Smart Industry 业务多样化需要差异化安全保护机制 为了用一张物理网络满足不同的业务需求，网络在统一的底层物理设施基础上通过虚拟化技术生成相应的网络拓扑以及网 络功能，为每一个特定业务类型生成一个网络切片。每一个网络切片在物理上是源自统一的网络基础设施，这样大大降低 了运营商运营多个不同业务类型的建网成本；而在逻辑上切片又是隔离的，逻辑的独立性满足了每一类业务功能定制、独 立运维的需求 不同的业务会有差异化的安全需求。5G 系统支持多种业务并行发展，以满足个人用户、行业客户的多样性需求。从网络 架构来看，基于原生云化架构的端到端切片满足这样的多样性需求。同样的，5G 安全设计也需支持业务的多样性，满足 差异化安全需求 网络切片本身也需要安全机制，保证切片的安全运营，用户的正常接入 多元信任模型和可扩展的身份管理机制 3G和4G时代，主要业务是语音，短信和移动宽带，业务类型相对比较单一。在传统移动通信网络中，网络对用户入网认 证，并作为管道承载用户与服务间的业务认证，用户与网络构成二元信任模型 5G时代，移动通信网络不仅仅服务于个人消费者，更重要的是将服务于垂直行业，衍生出丰富的业务。 5G时代不仅仅是 更快的移动网络或更强大的智能手机，而是链接世界的新型业务，如mMTC和URLLC。在5G 网络中，将融合传统二元 信任模型，构建多元信任模型。网络和垂直行业可结合进行业务身份管理，使得业务运行更加高效，用户的个性化需求得 以满足 4G网络身份管理的主要对象是移动宽带用户，采用以设备为单位的对称密钥管理体制，很好的满足了运营商的要求。 而 5G网络面临大量新增的IOT设备及其可穿戴设备，传统的用户管理机制在开户，认证等方面成本高昂，已经不能完全满 足5G用户管理的需求，因此需要进一步扩展的身份管理机制，根据业务特征及其新的安全威胁进行优化 安全能力开放 业务开放带来安全挑战的同时，也给运营商安全业务带来了更广泛的机会。作为5G 连接基础设施平台的提供者和运营者， 电信运营商是业务提供商的最佳使能者，是行业客户可信任的商业伙伴 垂直行业可以直接使用运营商开放的安全能力，降低了一些新型垂直行业的业务门槛和成本，并缩短上市时间。通过安全 能力开放，运营商可以盘活网络资产和基础设施，开创新的利益增长点；可以打破管道化运营和封闭网络模式，以电信网 络为中心构建安全生态系统；提升差异化竞争力，并形成运营商、垂直行业、安全厂商、个人用户的生态链，合作共赢共 创商业价值 5 G5 G5G安全架构白皮书5G安全架构白皮书 54 5G安全架构需进行以下变革，来支持5G拓展行业用户，应对5G海量物联网终端带来的安全挑战，在网络IT化环境中 提供端到端的安全保护和防御手段 2.15G安全新特性 2.1.1可扩展的身份管理机制 5G需要多元化的身份管理机制和可扩展的身份管理框架，来应对垂直行业和海量物联网终端带来的的安全管理需求 多元化的身份管理机制 为行业用户提供分层身份管理机制 未来运营商可以对行业用户的大量IoT终端采用分层的身份管理方式， 即运营商管理行业用户身份，而行业用户管理终端 用户身份，行业用户与运营商协作共担用户管理责任。这样，对于同一个行业用户的海量终端，网络的认证和授权都可以 关联到同一个行业用户，从而方便的进行计费管理。行业用户可以在运营商许可的范围内，灵活的增加、减少终端，满足 自身行业拓展的需要 为个人用户提供以用户为单位的身份管理机制 未来个人用户可能同时拥有多个IoT设备，允许用户对自身的多个设备（如可穿戴设备）在一定范围内进行灵活的管理， 包括设备的入网和服务属性等，如允许流量以在线和离线的方式在用户的不同设备之间共享。同一个用户的不同设备所使 用的身份应该是相互关联的，他们的认证和授权也可以通过这个用户的身份标识进行关联，统一管理 智能化的安全防御 5G是个开放的网络，海量物联网设备暴露在户外、硬件资源受限、无人值守，易受黑客攻击和控制，因此网络将会面临大 量的网络攻击。如果采用现有的人工防御机制，不仅响应速度慢，还将导致防御成本急剧增加，所以需要考虑采用智能化 的手段防御海量物联网设备的安全威胁。此外，网络攻击日趋自动化，0day攻击的可能性越来越大， 5G中需要考虑被动 变主动的安全防御机制 垂直行业的IoT 设备，和传统终端相比存在数量众多的特点。在5G 中需考虑如何应对海量终端被劫持并对网络发起（D） DoS 攻击。和单个终端发起DoS 攻击相比，联合海量终端向单一网络节点发起（D）DoS 攻击危害性更大。例如目前 3GPP正在讨论引入公钥验证终端的永久标识，目的是增强隐私保护，但同时增加了网络节点的运算负荷，如果攻击者滥 用这个功能，利用海量终端同时对网络发起验证请求，（D）DoS风险将急剧增加 1.35G引入IT新技术、新架构带来的安全挑战 为提高通信系统的灵活性、可扩展性和部署速度，5G网络将引入IT新技术、新架构，包括NFV/SDN以及服务化架构 IT新技术、新架构在使能网络功能的灵活性、可扩展性和快速部署的基础上，也给5G安全带来了新的挑战 系统级的安全保护和访问授权机制 5G网络中NFV虚拟化技术的应用，可进一步简化网络功能的部署和更新，使得部分功能网元以虚拟功能的形式部署在云 化的基础设施上。5G需要考虑基础设施的安全机制，从而保障5G业务在虚拟化环境下能够安全运行；同时定义更好的安 全隔离手段，增强虚拟功能网元之间的安全管理。基于虚拟网络的切片也需要安全机制，保证切片的安全运营，用户