5分钟搞懂5G安全增强

安全是移动通信网络的关键指标之一，5G在4G的基础上进一步增强了安全指标，本文详细介绍了5G在安全方面的相关工作。原文: 5G Security: In Detail Points and Enhancements over 4G

5G技术已迅速成为电信行业的下一件大事，有望实现更快的速度、更大的容量和更高的网络可靠性。

然而，与任何新技术一样，5G网络也有自己的一套安全标准、挑战和隐私问题。

本文将详细探讨5G安全性以及为确保更安全的网络环境而在4G基础上进行的增强。

5G系统引入了多项安全改进，包括在HPLMN中终止用户身份验证，物联网设备基于非SIM卡的身份验证，通过对长期用户标识符的加密增强用户隐私，并且不再将长期用户标识符用于寻呼，在所有网络功能上强制支持TLS和OAuth 2.0，以实现SBA安全和互连。

5G系统安全改进还包括在终端和gNB上对用户平面进一步强制支持完整性保护，运营商的可选控制，以及在gNB端为保护RAN-CN接口(传输层)而强制支持IPsec，除IPsec外，还强制支持DTLS over SCTP。

在3GPP网络中，由SA3小组定义的安全保证规范(SCAS，SeCurity Assurance Specifications)确保网络设备满足安全需求，并遵循安全的研发和产品生命周期流程。

由于移动网络系统是维系社会的支柱，在某些司法管辖区域被列为关键基础设施，因此安全保障至关重要。

为了创建适合电信设备生命周期的安全保障方案，3GPP和GSMA发起了NESAS(网络设备安全保障方案，network equipment security assurance scheme)。

NESAS包括两个主要组成部分: 由3GPP(SCAS安全保证规范)定义的安全需求和由GSMA管理的基础设施审计。

NESAS旨在满足许多国家和国际组织对网络安全的要求(如欧盟网络安全认证框架)，针对5G系统网络功能的新SCAS开发工作正在进行中。

5G安全标准

5G安全基础标准

5G安全标准包括:

•  3GPP (3rd Generation Partnership Project)    
  

•  Joint Technical Committee for IT    
  

•  NESAS (The Network Equipment Security Assurance Scheme)    
  

•  IETF    
  

•  ETSI    
  

•  NIST, GSMA, 以及其他
  

5G云计算安全标准

1.  信息安全管理系统相关的国际标准
   

•  ISO 27001:2013 信息安全管理体系要求(附件A)    
  

•  ISO 27002:2013 信息安全控制实施规范    
  

•  ISO 27003:2017 信息安全管理体系指南    
  

•  ISO 27017:2015 基于ISO/IEC 27002的云服务信息安全控制实施规范    
  

•  ISO 27018:2014 在处理个人身份信息(PII, personally identifiable information)的公共云中保护个人身份信息的实践规范    
  

•  公共云计算安全与私隐指南(SP-800 144)    
  

•  联邦信息系统和组织的安全和隐私控制(SP 800-53)
  

1.  云安全联盟(CSA，Cloud Security Alliance)
   

云安全联盟(CSA)是一个旨在促进在云计算中提供安全保证最佳实践的组织。

它是一个成员驱动的组织，发布了云控制矩阵(CCM，Cloud Controls Matrix)，这是一组安全控制基线，帮助企业评估与云计算供应商相关的风险。

CCM由16个控制框架组成，涵盖各种安全领域，如法规遵从性、数据安全性和应用程序安全性等。

1.  NIST
   

美国国家标准与技术研究院(NIST，National Institute of Standards and Technology)也发布了一些与云计算安全和隐私相关的指导方针。

公共云计算安全和隐私指南(SP-800 144，The Guidelines on Security and Privacy in Public Cloud Computing)概述了云计算中的安全和隐私问题，并为组织提供了解决这些问题的建议。

联邦信息系统和组织的安全和隐私控制(SP 800-53，The Security and Privacy Controls for Federal Information Systems and Organizations)为联邦信息系统和组织提供了安全和隐私控制目录。

网络安全框架(The Cybersecurity Framework)是一组公共基线，提供基于风险的方法管理网络安全风险。

1.  COBIT(IT控制目标，Control Objectives for IT)
   

ISACA的IT控制目标(COBIT)是由ISACA制定和维护的标准。COBIT 5为业务驱动的、基于IT的项目和运维提供IT管理和治理框架。

ISACA已经发布了几份关于将COBIT应用于云的标准，提供了如何使用COBIT来管理与云计算相关风险的指导，并确保基于云的服务与组织的目标和宗旨保持一致。

5G系统安全增强

5G核心网络整合了多项安全增强功能，以防范潜在威胁。虽然5G网络重用了4G EPS网络原有的大部分安全机制，但也已经引入了一些额外的安全功能。

这些安全功能包括对EAP、归属地控制、SUPI隐私、SBA安全、增强的密钥分离、边缘保护、漫游安全、服务通信代理、增强的API网关安全以及GTP-U防火墙(PFCP)控制的支持。

核心网内部的SBI通信采用OAuth 2.0(Trust)进行双向认证，采用TLS对VNF接口间以及内部通信进行加密(以及完整性)保护。证书管理也是5G核心网的重要功能，包括证书自动注册以及生命周期管理，证书和密钥会被存储在安全的存储空间里。
5G安全强制需求5G安全最佳实践- GDPR

• 网络安全与完整性保护: 适用于电信运营商的电子通信规范
• 网络与信息安全
• 隐私代码(Privacy Code)
• SOX以及其他法律法规- ISO 27000协议族
    - ISO 27001/02 ISMS，ISO 27005 基础设施风险管理，ISO 27017 云服务信息安全控制，ISO 27018公共云的个人信息管理
• ENISA指南:数据泄露风险、影响分析和网络安全
• PCI-DSS
• GSMA
• NIST
• CIS(互联网安全中心, Center for Internet Security): 系统加固
• CSA(云安全联盟, Cloud Security Alliance): CCM(云控制矩阵, Cloud Control Matrix)
• ISACA
• ETS
  除了Kubernetes安全标准之外，还需要实施其他安全措施，例如在网络接口上基于VPN进行流量隔离、用于全面隔离微服务的软防护扩展(SGX，Soft Guard Extensions)、安全的enclave缓存和内存加密引擎。这些措施有助于确保5G核心网的安全，防止潜在安全威胁。

5G核心网安全增强包括:

•  EAP支持    
  

•  归属地控制    
  

•  SUPI隐私    
  

•  SBA安全    
  

•  增强密钥分离    
  

•  边缘保护和漫游安全    
  

•  服务通信代理    
  

•  增强安全性的API网关    
  

•  GTP-U防火墙(PFCP)控制    
  

•  对内外部SBI通信的保护:     -         基于OAuth 2.0(Trust)的双向认证       -         基于TLS的VNF内外部接口加密(完整性)       
  

•  证书管理:     -         证书自动注册和生命周期管理       -         证书/密钥的安全存储       
  

•  超越Kubernetes安全标准:     -         对网络接口进行额外的VPN流量隔离       -         软防护扩展(SGX)用于全面的微服务隔离       -         安全的Enclave缓存       -         内存加密引擎
  

以下5G安全增强点细节:

1. 用户身份验证改进

• 在HPLMN中终止身份验证: 此改进确保在归属地公共陆地移动网络(HPLMN，Home Public Land Mobile Network)中终止用户身份验证，从而降低未经授权访问的风险。
• 物联网设备的非SIM卡认证: 该功能为物联网设备提供非SIM卡认证，允许安全的访问网络。

2. 增强用户隐私

• 对长期用户标识符进行加密的机制: 此改进提供了加密长期用户标识符的机制，使其更加安全。
• 不再将长期用户标识符用于寻呼: 此增强确保不再将长期用户标识符用于寻呼，从而降低未经授权访问的风险。

3. 基于服务架构(SBA)和连接的安全性

• 所有网络功能都必须支持TLS和OAuth 2.0: 该特性确保所有网络功能都支持TLS和OAuth 2.0，提供安全的基于服务的架构和连接。
• 运营商之间的应用层安全支持: 此增强提供了运营商之间的应用层安全支持，进一步提高了安全性。

4. 用户面完整性保护

• 终端和gNB用户面强制完整性保护: 实现终端和gNB(gNodeB)用户面强制完整性保护，提供安全通信。
• 用户面完整性保护是可选的，由运营商控制: 此增强为运营商提供了控制决定是否使用用户面完整性保护的选项。

5. RAN-CN接口保护(传输层)

• IPsec支持在gNB侧是必选项: 确保gNB侧支持IPsec(Internet Protocol Security)，提供安全传输。
• 除IPsec外必须支持DTLS over SCTP: 除IPsec外，此增强功能还支持DTLS over SCTP，进一步提高安全性。

你好，我是俞凡，在Motorola做过研发，现在在Mavenir做技术工作，对通信、网络、后端架构、云原生、DevOps、CICD、区块链、AI等技术始终保持着浓厚的兴趣，平时喜欢阅读、思考，相信持续学习、终身成长，欢迎一起交流学习。
微信公众号：DeepNoMind

• END -
  本文由 mdnice 多平台发布