陸海濤　李剛　高旭

摘要：分析了5G基站在自身的硬件和軟件資源、無(wú)線空口、傳輸接口和管理接口等方面所面臨的安全威脅，以及針對(duì)這些安全威脅的安全解決方案。認(rèn)為安全對(duì)5G產(chǎn)品來(lái)說(shuō)非常重要，也是5G技術(shù)能夠切實(shí)推廣應(yīng)用的重要基礎(chǔ)。5G網(wǎng)絡(luò)的設(shè)備及其接入所面臨的安全威脅隨著技術(shù)的演進(jìn)不斷更新變化，需要人們采取相應(yīng)的安全技術(shù)來(lái)應(yīng)對(duì)。

關(guān)鍵詞：安全威脅;加密;認(rèn)證;授權(quán)

Abstract： The security threats faced by 5G base station in its own hardware and software resources， wireless air interface， transmission interface and management interface are analyzed in this paper， as well as the security solutions to these security threats. It is considered that security is very important for 5G products and is an important basis for the practical application of 5G technology. With the evolution of technology， security threats are constantly changing. It is necessary to adopt appropriate security technology to ensure product safety.

Key words： security threats; encryption; authentication; authorization

隨著物聯(lián)網(wǎng)的大規(guī)模應(yīng)用，越來(lái)越多的設(shè)備接入到5G網(wǎng)絡(luò)，并要求提供大容量、大連接和高可靠低時(shí)延的移動(dòng)通信。2018年6月13日，第3代合作伙伴（3GPP）正式發(fā)布5G 新空口（NR）標(biāo)準(zhǔn)方案，完成了5G全功能的標(biāo)準(zhǔn)化工作。3GPP定義了5G的3大應(yīng)用場(chǎng)景分別為：增強(qiáng)移動(dòng)寬帶（eMBB）、高可靠低時(shí)延通信（uRLLC）以及海量機(jī)器類(lèi)通信（mMTC），支持諸如物聯(lián)網(wǎng)、觸覺(jué)互聯(lián)網(wǎng)等更高數(shù)據(jù)速率、更低時(shí)延和更大規(guī)模的設(shè)備連接，對(duì)安全提出挑戰(zhàn)。

5G網(wǎng)絡(luò)的新架構(gòu)如圖1[1]所示，主要由用戶設(shè)備（UE）、無(wú)線接入網(wǎng)絡(luò)（RAN）、5G核心網(wǎng)（5GC）功能組件和數(shù)據(jù)網(wǎng)絡(luò)（DN）組成。

其中RAN是5G基站（gNB）設(shè)備，用來(lái)連接所有終端用戶;UE提供對(duì)用戶服務(wù)的訪問(wèn);接入及移動(dòng)性管理功能（AMF）提供核心網(wǎng)控制面功能;用戶面功能（UPF）提供核心網(wǎng)用戶面功能;鑒權(quán)服務(wù)器功能（AUSF）提供認(rèn)證服務(wù)器功能，用于歸屬網(wǎng)絡(luò)的5G安全過(guò)程。

本文中，我們討論的5G網(wǎng)絡(luò)設(shè)備和接入安全主要是針對(duì)5G基站設(shè)備。安全的核心關(guān)注點(diǎn)就在gNB的外部接口和gNB的內(nèi)部互聯(lián)安全需求，通常安全攻擊點(diǎn)都是在系統(tǒng)的外部接口發(fā)起。RAN的核心在于如何保證UE與gNB空口上傳輸信息的安全性、5G基站本身操作維護(hù)的網(wǎng)管系統(tǒng)的接口安全性等。

1 5G網(wǎng)絡(luò)設(shè)備的接入安全? 威脅

5G基站設(shè)備，是無(wú)線通信網(wǎng)絡(luò)中的一部分，存在于UE和核心網(wǎng)間，實(shí)現(xiàn)無(wú)線接入技術(shù)。如圖1所示，5G 基站設(shè)備的安全威脅，主要有4個(gè)方面：一是構(gòu)成gNB的硬件、軟件及網(wǎng)絡(luò)的基礎(chǔ)設(shè)施的安全威脅;二是針對(duì)連接NG-UE的空口上傳送信息的空口安全威脅;三是針對(duì)連接到5GC的N2和N3參考點(diǎn)的傳輸網(wǎng)絡(luò)安全和信息的安全威脅;四是對(duì)基站連接到網(wǎng)管的管理平面的安全威脅，具體如圖2所示。

（1）基礎(chǔ)設(shè)施的安全威脅。

基站設(shè)備的基礎(chǔ)設(shè)備包括部署環(huán)境、硬件設(shè)備以及基站內(nèi)部的軟件版本、數(shù)據(jù)、文件等。對(duì)于部署環(huán)境和硬件，其面臨的安全威脅是損壞設(shè)備周?chē)h(huán)境，如溫度、煙霧等，或直接破壞設(shè)備的硬件。對(duì)于基站內(nèi)的軟件，其面臨的安全威脅是非授權(quán)登錄基站或普通賬戶登錄基站后執(zhí)行非授權(quán)的訪問(wèn)，從而破壞基站的數(shù)據(jù)、文件等，導(dǎo)致基站功能不可用。

（2）空口的安全威脅。

空口指用戶終端和基站設(shè)備間的空中無(wú)線信號(hào)傳播。空口的安全威脅主要表現(xiàn)為3方面：信息泄露，在基站發(fā)射信號(hào)的覆蓋區(qū)域，非法用戶也能接收，并通過(guò)偵聽(tīng)、嗅探、暴力破解等手段獲取基站的轉(zhuǎn)發(fā)數(shù)據(jù)，造成信息泄露;數(shù)據(jù)欺騙，例如偽造虛假的基站發(fā)射無(wú)線信號(hào)，騙取合法用戶接入，然后盜取用戶數(shù)據(jù)或?qū)嵤┢墼p;攻擊設(shè)備發(fā)射強(qiáng)干擾信號(hào)，破壞正常用戶和基站的無(wú)線連接，從而造成正?；镜臉I(yè)務(wù)中斷。

（3）核心網(wǎng)接口的安全威脅。

基站的核心網(wǎng)接口包括基站與核心網(wǎng)、基站與基站間的用戶面數(shù)據(jù)和信令面數(shù)據(jù)接口，通過(guò)以太網(wǎng)傳輸。因此也會(huì)面臨與一般IP網(wǎng)絡(luò)相同的安全威脅，包括不安全的網(wǎng)絡(luò)傳輸協(xié)議引起的數(shù)據(jù)泄漏，針對(duì)網(wǎng)絡(luò)可用性的攻擊（例如拒絕服務(wù)（DOS）攻擊、廣播包攻擊，緩沖區(qū)溢出等造成基站不能提供正常服務(wù)），以及對(duì)傳輸數(shù)據(jù)篡改破壞數(shù)據(jù)完整性。

（4）網(wǎng)管接口的安全威脅。

網(wǎng)管接口是后臺(tái)網(wǎng)管設(shè)備與前臺(tái)基站的管理面數(shù)據(jù)接口，也通過(guò)以太網(wǎng)傳輸。網(wǎng)管接口的安全威脅首先是網(wǎng)絡(luò)傳輸協(xié)議。一些不安全的網(wǎng)絡(luò)傳輸協(xié)議，例如Telnet、文件傳輸協(xié)議（FTP）、超文本傳輸協(xié)議（HTTP）、簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（SNMP）v1/v2等不進(jìn)行加密處理，很容易受到嗅探攻擊，導(dǎo)致數(shù)據(jù)泄漏;第2個(gè)威脅是賬戶和密碼管理的健壯性，例如密碼較弱，就很容易受到字典攻擊或暴力破解，基站被非法登錄攻擊;第3個(gè)威脅是權(quán)限控制管理，如果賬戶的分級(jí)權(quán)限控制不好，也會(huì)造成非授權(quán)用戶或授權(quán)用戶的非授權(quán)訪問(wèn)，破壞數(shù)據(jù)的機(jī)密性和完整性;還有就是會(huì)話管理控制，例如缺乏最大會(huì)話連接數(shù)限制，就容易遭受DOS攻擊，導(dǎo)致系統(tǒng)資源耗盡等。

2 5G網(wǎng)絡(luò)設(shè)備及接入的

安全方案

相比于2G/3G/4G在網(wǎng)絡(luò)上存在的安全弱點(diǎn)，5G在網(wǎng)絡(luò)定義和標(biāo)準(zhǔn)還建立過(guò)程中，安全性是一個(gè)核心問(wèn)題。5G的應(yīng)用場(chǎng)景和網(wǎng)絡(luò)架構(gòu)要復(fù)雜許多，包括eMBB場(chǎng)景下的大容量用戶通信保證、uRLLC場(chǎng)景下的大量物聯(lián)網(wǎng)設(shè)備接入、云化的集中單元（CU）部署、虛擬化的網(wǎng)絡(luò)架構(gòu)等，對(duì)安全性都有著很大的挑戰(zhàn)。

3GPP 33.501[2]提出5G網(wǎng)絡(luò)安全整體架構(gòu)，具體如圖3所示。

圖3中，（I）是網(wǎng)絡(luò)訪問(wèn)安全，表示一組安全功能，使UE能夠安全地通過(guò)網(wǎng)絡(luò)驗(yàn)證和訪問(wèn)服務(wù)，包括3GPP訪問(wèn)和非 3GPP訪問(wèn);（II）是網(wǎng)絡(luò)域安全，表示一組安全功能，使網(wǎng)絡(luò)節(jié)點(diǎn)能夠安全地交換信令數(shù)據(jù)和用戶平面數(shù)據(jù);（III）是用戶域安全，表示保護(hù)用戶訪問(wèn)移動(dòng)設(shè)備的一組安全功能;（IV）是應(yīng)用域安全，表示一組安全性功能，使用戶和供應(yīng)商中的應(yīng)用程序能夠安全地交換消息。

5G協(xié)議引入了用戶永久標(biāo)識(shí)符（SUPI）和用戶隱藏標(biāo)識(shí)符（SUCI）的概念。更重要的是，5G規(guī)范中引入了基于公鑰基礎(chǔ)設(shè)施（PKI）的安全體系結(jié)構(gòu)，允許驗(yàn)證和鑒別源自5GC的控制面消息（CPM）。

這是3GPP協(xié)議在5G體系架構(gòu)上的安全考慮。具體地，針對(duì)5G基站設(shè)備及其接入，并根據(jù)圖2所示的4個(gè)方面的安全威脅，我們分別采用了不同的安全解決方案。

2.1 基礎(chǔ)設(shè)施的安全方案

基站基礎(chǔ)設(shè)施的安全，首先要確保對(duì)基站設(shè)備本身及周?chē)M網(wǎng)設(shè)施的物理安全，如設(shè)置門(mén)禁、監(jiān)測(cè)控制、配備煙霧、溫度傳感器等，有異常及時(shí)通知管理員。

同時(shí)，還要做好防火墻配置?；驹O(shè)備在系統(tǒng)組網(wǎng)中通過(guò)IP協(xié)議連接核心網(wǎng)、網(wǎng)管服務(wù)器等網(wǎng)絡(luò)設(shè)備，很容易遭受IP網(wǎng)絡(luò)的攻擊，如DoS、廣播包、緩沖區(qū)溢出攻擊等。通過(guò)配置防火墻過(guò)濾規(guī)則，只提供對(duì)外開(kāi)放的端口/協(xié)議列表，不使用的端口缺省拒絕。另外，還可以配置入侵檢測(cè)系統(tǒng)（IDS），對(duì)網(wǎng)絡(luò)攻擊行為及時(shí)檢測(cè)并警報(bào)，以盡快采取響應(yīng)措施。

除了基站硬件和組網(wǎng)環(huán)境，基站軟件資源具體包括操作系統(tǒng)、軟件版本、數(shù)據(jù)存儲(chǔ)文件也是重要的基礎(chǔ)設(shè)施。攻擊者會(huì)利用操作系統(tǒng)和數(shù)據(jù)庫(kù)等漏洞攻擊設(shè)備，因此需要定期對(duì)設(shè)備軟硬件進(jìn)行安全威脅分析和評(píng)估。每發(fā)布一個(gè)軟件版本，都需要經(jīng)過(guò)第三方軟件的安全掃描和評(píng)估，以將發(fā)現(xiàn)的漏洞和風(fēng)險(xiǎn)及時(shí)解決。通過(guò)對(duì)版本的數(shù)字簽名來(lái)檢驗(yàn)版本的合法性，防止被篡改。數(shù)據(jù)存儲(chǔ)文件的安全是通過(guò)設(shè)置安全存儲(chǔ)區(qū)，對(duì)數(shù)據(jù)分類(lèi)（不同分類(lèi)的數(shù)據(jù)存儲(chǔ)在不同的存儲(chǔ)區(qū)），并進(jìn)行嚴(yán)格的訪問(wèn)控制，以確保機(jī)密性。例如，基站的機(jī)密信息要加密存儲(chǔ)，存放在安全存儲(chǔ)區(qū)，只有管理員權(quán)限才能訪問(wèn)。

2.2 空口的安全方案

（1）支持雙向認(rèn)證。

在2G時(shí)代，移動(dòng)終端使用普通用戶身份識(shí)別卡（SIM），只支持可擴(kuò)展身份認(rèn)證協(xié)議（EAP）-SIM單向鑒權(quán)，即網(wǎng)絡(luò)對(duì)SIM卡進(jìn)行身份合法性認(rèn)證，而沒(méi)有用戶終端對(duì)網(wǎng)絡(luò)的認(rèn)證，這就造成“偽基站”。長(zhǎng)期演進(jìn)（LTE）使用了全新的雙向認(rèn)證方式，使用配置用戶識(shí)別模塊（UIM）的USIM卡，只有都完成網(wǎng)絡(luò)對(duì)終端認(rèn)證和終端對(duì)網(wǎng)絡(luò)認(rèn)證后才接入網(wǎng)絡(luò)。

5G的雙向認(rèn)證流程和LTE變化不大，可以不換卡，不換號(hào)，并且使用EAP-認(rèn)證與密鑰協(xié)商協(xié)議（AKA），支持統(tǒng)一框架下的雙向認(rèn)證。EAP-AKA的認(rèn)證流程[2]如圖4。增加5G-AKA認(rèn)證，是通過(guò)向歸屬網(wǎng)絡(luò)提供UE從訪客網(wǎng)絡(luò)成功認(rèn)證的證明，來(lái)進(jìn)一步增強(qiáng)EPS-AKA的安全性。

（2）支持?jǐn)?shù)據(jù)機(jī)密性。

數(shù)據(jù)加密指發(fā)送方通過(guò)加密算法將明文數(shù)據(jù)轉(zhuǎn)換為密文數(shù)據(jù)，保證數(shù)據(jù)不被泄露。5G基站根據(jù)SMF發(fā)送的安全策略激活用戶數(shù)據(jù)的加密，支持NEA0、128-NEA1、128-NEA2、128-NEA3等加密算法，加密算法再由5G基站通過(guò)安全模式信令（RRC）指示給UE。加密密鑰由UE和5G基站分別生成。

（3）支持?jǐn)?shù)據(jù)完整性。

支持?jǐn)?shù)據(jù)完整性指發(fā)送方通過(guò)完整性算法計(jì)算出完整性消息認(rèn)證碼（MAC-I），接收方通過(guò)完整性算法進(jìn)行計(jì)算（X-MAC），再比較MAC-I和X-MAC是否一致，以保證數(shù)據(jù)不被篡改。

5G基站根據(jù)SMF發(fā)送的安全策略激活用戶數(shù)據(jù)的完整性保護(hù)。完保算法由5G基站通過(guò)RRC信令指示給UE。5G基站支持NEA0、128-NEA1、128-NEA2、128-NEA3等完整性算法，發(fā)送方采用協(xié)商確定的某一完整性保護(hù)算法。完保密鑰由UE和5G基站分別生成。

2.3 核心網(wǎng)接口的安全方案

5G基站設(shè)備的傳輸安全主要包括N2、N3口的傳輸安全，并按照開(kāi)放式系統(tǒng)互聯(lián)（OSI）七層協(xié)議，在不同的協(xié)議層都有各自的安全解決方案。

（1）物理層安全。物理層通過(guò)線纜屏蔽傳輸信號(hào)，防止外部監(jiān)測(cè)和干擾，同時(shí)支持多物理鏈路和多物理端口冗余備份，提供系統(tǒng)的可用性。

（2）鏈路層安全。對(duì)不同數(shù)據(jù)平面，鏈路層使用虛擬局域網(wǎng)（VLAN）隔離，防止DoS攻擊和數(shù)據(jù)嗅探;支持MACSec加密，為用戶提供安全的MAC層數(shù)據(jù)發(fā)送和接收服務(wù)，包括用戶數(shù)據(jù)加密、數(shù)據(jù)幀完整性檢查及數(shù)據(jù)源真實(shí)性校驗(yàn);支持802.1x訪問(wèn)控制和認(rèn)證協(xié)議，只有通過(guò)有效認(rèn)證，基站才能接入運(yùn)營(yíng)商網(wǎng)絡(luò)，網(wǎng)絡(luò)物理端口才對(duì)基站開(kāi)放，以限制未經(jīng)授權(quán)的用戶/設(shè)備通過(guò)接入端口訪問(wèn)局域網(wǎng)（LAN）/無(wú)線局域網(wǎng)（WLAN）。

（3）網(wǎng)絡(luò)層安全。網(wǎng)絡(luò)層支持IPSec安全隧道協(xié)議，提供端到端的加密和認(rèn)證功能，保證數(shù)據(jù)的完整性和機(jī)密性。通信時(shí)和通信對(duì)象的密鑰交換方式使用Internet密鑰交換協(xié)議（IKE）、RFC5996、數(shù)據(jù)傳輸使用封裝安全載荷（ESP）報(bào)文格式、RFC4303。

5G規(guī)范中引入了基于PKI的安全體系結(jié)構(gòu)，3GPP 33.310協(xié)議定義了基站數(shù)字證書(shū)的注冊(cè)機(jī)制，以及應(yīng)用數(shù)字證書(shū)與核心網(wǎng)安全網(wǎng)關(guān)（SEG）建立安全通信鏈路的過(guò)程[3]，具體如圖5所示。

首先是準(zhǔn)備階段，基站由設(shè)備商預(yù)先提供出廠生成的公私鑰對(duì)，并預(yù)裝由設(shè)備商簽名的數(shù)字證書(shū)、運(yùn)營(yíng)商的登記授權(quán)（RA）/證書(shū)授權(quán)（CA）服務(wù)器預(yù)裝設(shè)備商的根證書(shū)、核心網(wǎng)SEG預(yù)裝運(yùn)營(yíng)商根證書(shū)。然后基站向核心網(wǎng)注冊(cè)使用CMPv2協(xié)議向RA/CA發(fā)起證書(shū)申請(qǐng)，RA/CA則使用設(shè)備商根證書(shū)和設(shè)備商簽名證書(shū)來(lái)對(duì)基站進(jìn)行身份驗(yàn)證，驗(yàn)證通過(guò)后給基站簽發(fā)運(yùn)營(yíng)商證書(shū)并返回證書(shū)響應(yīng)，基站證書(shū)替換為運(yùn)營(yíng)商簽名證書(shū)，完成基站注冊(cè)。隨后基站就使用運(yùn)營(yíng)商簽名證書(shū)和核心網(wǎng)安全網(wǎng)關(guān)建立IPSec連接。

2.4 網(wǎng)管接口的安全方案

網(wǎng)管是對(duì)基站設(shè)備的管理系統(tǒng)完成基本的數(shù)據(jù)配置、監(jiān)測(cè)控制、性能統(tǒng)計(jì)等功能?；九c網(wǎng)管系統(tǒng)通過(guò)IP網(wǎng)絡(luò)連接，有可能暴露在公網(wǎng)，因此面臨非法入侵、信息泄露、服務(wù)中斷、物理破壞等安全威脅。和網(wǎng)管接口相關(guān)的安全解決方案如下幾個(gè)方面。

（1）賬戶管理。

基站系統(tǒng)支持集中賬戶管理和本地賬戶管理。集中賬戶是指由網(wǎng)管創(chuàng)建和管理并集中到網(wǎng)管進(jìn)行認(rèn)證的賬戶，本地賬戶是由網(wǎng)管創(chuàng)建但在基站本地進(jìn)行認(rèn)證的賬戶。賬戶管理支持常用的用戶名密碼方式認(rèn)證，以及基于PKI的數(shù)字證書(shū)雙因素認(rèn)證方式。

對(duì)于使用用戶密碼認(rèn)證方式，為避免密碼易被破解，系統(tǒng)可以支持強(qiáng)制為系統(tǒng)配置高強(qiáng)度密碼，如長(zhǎng)度至少8位，密碼必須至少包含數(shù)字、大寫(xiě)字母、小寫(xiě)字母、特殊字符中的3類(lèi)。同時(shí)，系統(tǒng)支持檢測(cè)密碼強(qiáng)度是否滿足要求，如果密碼不滿足規(guī)則，可以強(qiáng)制用戶在登錄時(shí)修改為高強(qiáng)度密碼。

系統(tǒng)還可以根據(jù)不同的用戶要求，為帳號(hào)設(shè)置對(duì)應(yīng)的有效期，帳號(hào)到了有效期，將不允許再使用。為了避免用戶密碼被暴力破解，系統(tǒng)支持對(duì)登錄密碼嘗試次數(shù)做限定，超出嘗試次數(shù)，用戶會(huì)被鎖定，鎖定又支持按照用戶來(lái)源鎖定和按照用戶鎖定的鎖定策略。

（2）權(quán)限管理。

對(duì)接入系統(tǒng)的用戶需要做身份認(rèn)證，非授權(quán)用戶不能接入系統(tǒng)。用戶接入系統(tǒng)后，還需要進(jìn)行權(quán)限控制，即用戶能夠讀取/修改/執(zhí)行系統(tǒng)文件是否在授權(quán)范圍內(nèi)。系統(tǒng)需要對(duì)用戶分組，不同等級(jí)的用戶分組有不同的權(quán)限。

登錄用戶通過(guò)身份驗(yàn)證后，可以對(duì)5G基站設(shè)備進(jìn)行管理操作?；拘枰鶕?jù)用戶的分組對(duì)用戶操作進(jìn)行授權(quán)控制，為用戶授予相應(yīng)的操作權(quán)限。系統(tǒng)遵循最小特權(quán)和職責(zé)分離的原則，為不同職能的用戶創(chuàng)建出不同權(quán)限的角色。

同樣，帳號(hào)信息類(lèi)也有專(zhuān)門(mén)的權(quán)限控制，只有授予了帳號(hào)修改權(quán)限的安全管理員才能對(duì)帳號(hào)以及權(quán)限進(jìn)行配置，避免帳號(hào)權(quán)限被惡意修改。

（3）傳輸安全。

系統(tǒng)通過(guò)支持安全鏈路傳輸數(shù)據(jù)，使用安全通道協(xié)議（SSH）/安全文件傳送協(xié)議（SFTP）/簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（SNMPv3）協(xié)議，以及基于這些協(xié)議實(shí)現(xiàn)的加密安全通道，確保數(shù)據(jù)在網(wǎng)絡(luò)傳輸過(guò)程中難以被竊取和篡改。

采用SSH/SFTP協(xié)議可以有效地避免遠(yuǎn)程管理信息泄露問(wèn)題，及上下層網(wǎng)絡(luò)管理系統(tǒng)間的數(shù)據(jù)傳輸鏈路信息泄露問(wèn)題。SSH/SFTP協(xié)議提供的功能包括所有傳輸數(shù)據(jù)的加密，防止域名系統(tǒng)（DNS）欺騙和IP欺騙，通過(guò)數(shù)據(jù)壓縮加快數(shù)據(jù)傳輸，并替換Telnet，為FTP提供安全通道[4]。

采用SNMP V3協(xié)議對(duì)數(shù)據(jù)進(jìn)行完整性檢測(cè)，以保證數(shù)據(jù)不會(huì)在傳輸時(shí)被修改或者損壞，并且可以保證傳輸序列不會(huì)被故意修改。數(shù)據(jù)源的鑒別保證了傳輸數(shù)據(jù)和數(shù)據(jù)源對(duì)的一致性。數(shù)據(jù)加密確保了數(shù)據(jù)在傳輸時(shí)不會(huì)被竊取或者泄露。消息時(shí)間序列指的是超出制定時(shí)間窗生成的數(shù)據(jù)不會(huì)被接受。在消息重傳和消息重新排序時(shí)，生成的消息可能會(huì)超出制定時(shí)間窗。SNMPV3識(shí)別服務(wù)用來(lái)確定一個(gè)消息是否由消息實(shí)體識(shí)別的用戶來(lái)發(fā)送，是否在傳輸中被編輯、重傳或其傳輸方向被修改。SNMPV3加密服務(wù)用來(lái)對(duì)消息實(shí)體加密以保證數(shù)據(jù)不會(huì)被直接讀取[5]。

（4）敏感信息保護(hù)。

依據(jù)隱私保護(hù)原則，客戶的隱私信息需要保密，也就是說(shuō)沒(méi)有權(quán)限的人不能查看，也無(wú)權(quán)傳播。在必須要傳播的某些數(shù)據(jù)中，如果攜帶了用戶數(shù)據(jù)，則需要對(duì)用戶數(shù)據(jù)做匿名化處理。

個(gè)人隱私數(shù)據(jù)指可以直接或者間接關(guān)聯(lián)到用戶個(gè)人的信息，如已知用戶號(hào)碼能反查到用戶姓名，那么用戶號(hào)碼就是個(gè)人隱私。這種關(guān)聯(lián)比較直接，稱(chēng)為直接個(gè)人信息。某些信息需要繞幾個(gè)圈才能關(guān)聯(lián)到用戶信息的，稱(chēng)為間接個(gè)人信息。

所謂的匿名化指在任何有導(dǎo)出文件的地方，如果涉及到用戶隱私相關(guān)的信息，做散列或者加密處理，保護(hù)數(shù)據(jù)安全。

根據(jù)通用數(shù)據(jù)保護(hù)條例（GDPR），涉及的個(gè)人數(shù)據(jù)包括：國(guó)際移動(dòng)用戶識(shí)別碼（IMSI）、國(guó)際移動(dòng)設(shè)備識(shí)別碼（IMEI）、UE IP、網(wǎng)管用戶電話號(hào)碼和Email。我們采取的策略為內(nèi)安全、外脫敏：歐盟內(nèi)系統(tǒng)間數(shù)據(jù)，通過(guò)數(shù)據(jù)加密、傳輸通道加密、權(quán)限控制、系統(tǒng)加固等措施，保證個(gè)人數(shù)據(jù)的安全;歐盟外的數(shù)據(jù)轉(zhuǎn)移，則使用強(qiáng)制脫敏的方法，要求數(shù)據(jù)使用非可逆算法脫敏處理。

（5）日志審計(jì)。

基站對(duì)于系統(tǒng)運(yùn)行過(guò)程中的安全事件和關(guān)鍵信息予以記錄并保存。如果發(fā)生安全入侵，可以根據(jù)日志或記錄對(duì)事件進(jìn)行回溯，確定事件原因，提供有效證據(jù)防止人員或?qū)嶓w否認(rèn)執(zhí)行過(guò)的活動(dòng)。

3 結(jié)束語(yǔ)

中興通訊5G網(wǎng)絡(luò)設(shè)備實(shí)現(xiàn)了3GPP協(xié)議要求的安全功能，同時(shí)在基礎(chǔ)設(shè)施的硬件和軟件資產(chǎn)、操作維護(hù)的接入認(rèn)證、訪問(wèn)控制進(jìn)行了安全控制增強(qiáng)，在敏感數(shù)據(jù)保護(hù)、防DoS攻擊方面采取了強(qiáng)化措施，確保5G網(wǎng)絡(luò)設(shè)備的運(yùn)營(yíng)安全。

參考文獻(xiàn)

[1] 3GPP. System Architecture for the 5G System; Stage 2（Release 15）： 3GPP TS 23.501[S]. 2019

[2] 3GPP. Security Architecture and Procedures for 5G System（Release 15）：3GPP TS 33.501[S]. 2019

[3] 3GPP. Network Domain Security （NDS）; Authentication Framework （AF）（Release 15） 3GPP TS 33.310[S]. 2018

[4] RFC. Internet Key Exchange Protocol Version 2 （IKEv2）： RFC 5996[S]. 2015

[5] RFC. IP Encapsulating Security Payload （ESP）： RFC 4303[S]. 2005