移动通信安全技术演进与5G安全
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Massive IoT
加密连接
核心网
HSS 身份管理
BSF 密钥管理
无人机平台 IoT 平台
车联网平台
RAN
Slice 1 Slice 2
。 。
Slice n
Common Infrastructure Layer
15
5G安全标准与5G安全后续方向
5G安全保障 语音连续性 uRLLC安全 网络切片安全
二次认证
用于UE接入其他数据网络 使用3GPP认证凭证 UE<->SMF<->DN-AAA 认证机制
• EAP认证
更细粒度的信任模型
USIM
ME
安全硬件（卡） 终端
非漫游场景
漫游场景
USIM
ME
DU
DU
CU
无线网络
AMF
SEAF
移动性管理
AUSF
认证服务
UDM ARPF
用户签约数据库
抗量子，更长的密钥？
更适合各种业务场景的算法？
AES SNOW 3G
ZUC
…
2013年我国启动研究，
2018年3GPP发布第一版，
2008年发布标准第一版，2009年 首次部署，2013年我国颁发牌照
• 2001年，AES发布，次年成为标准
2020年我国商用 •对称算法密钥长度延长至256比特的必 要性（在研） • 轻量级密码算法（二阶段）
应对措施
• 事前：标准、评测、认证等 • 事中：预警、监测、分析、升级等 • 事后：召回、反馈、改进等
5G安全特性对垂直行业的支撑
EAP：统一认证框架 支持EAP框架，从而可以适配多种安全凭证和认
证方式
EAPOL Supplicant
Authenticator Radlus/Diameter
• 密钥长度128比特
• 2011年，ZUC成为标准算法
• 2011年，专用领域的商用量子计算机
出现
1989年启动研究，1991年首次部 署，1992年我国建设组网
A5
• 1987年发明，密钥长度64比特
• 1999年，算法泄露
•2016年，3块GPU，9秒破解A5算法
更好的完整性
信令面
无
(伪基站攻击)
er 500,000 IoT Devices Vulnerable to Mirai Botnet
News.softpedia: Hackers Breach Sauna Camera, leak of nude videos
Scmagazine: Hackers use Mirai botnet to slowly mine bitcoins with IoT devices
更多的认证类型
首次认证 切片认证
网络切片 5G网络
二次认证
Internet
首次认证
用于UE接入运营商网络 使用3GPP认证凭证 UE<->AMF<->AUSF<-
>UDM 认证机制
• 5G AKA • EAP-AKA’
切片认证
用于UE接入切片 使用其他的认证凭证 UE<->Slice(still in progress) 认证机制仍在研究中
攻击 手段
网络日益复杂带来 新的漏洞
更好的机密性
KASUMI
更安全的算法 更长的密钥
更安全的算法
AES SNOW 3G
ZUC
1998年启动研究，2001年首次部 署，2009年我国颁发牌照
• 1995年发明，密钥长度128比特 • 2005年，算法理论破解 • 2010年，破解效率进一步提升 • 后期引入SNOW 3G算法
TBD
更好的隐私保护
2/3/4G网络
面临空口用户 隐私被伪基站窃
取的威胁
5G网络
通过用户身份 SUPI加密，提升
隐私保护
归属网络公钥
伪基站 伪基站
2/3/4G网络
拜访网络
IMSI 认证向量等
归属网络
拜访网络
5G网络
SUCI
认证向量等
归属网络
更好的伪基站防护
Prevention（事前）：防止空闲态终端接入到伪基站
recommendationiturm2083020159itu用三类应用场景和一组性能指标定义了imt2020增强移劢宽带影音娱乐低时延高可靠远程医疗大规模物联网健康管理体验速率更快4g100连接数密度更高4g10空口时延更低4g15业务需求视角下的5g安全新技术的驱劢it技术引入移劢网络产生新问题移动边缘计算技术网络切片技术多样化的终端形态与接入技术终端形态与多接入提出新的安全要求无人值守的物联网终端车载终端于端机器人多种接入技术并存万物互联的应用场景安全风险可能影响国家和社会多个领域智能家居车联网智慧城市工业物联网组网结构视角下的5g安全用户设备mecmec通用化硬件平台internet运营商b5g核心网ddos攻击设备漏洞数据窃取无线漏洞信令风暴恶意流量外部dn切片租户虚拟化漏洞信令攻击数据篡改内部风险网管4a目标系统攻击路径亏操作风险httphttp远程访问恶意篡改隐私泄露ddos攻击攻防能力视角下的5g安全计算能力信任关系对已有算法破解能力在提升开放互联降低了整体信任程度攻击手段网络日益复杂带来新的漏洞更好的机密性a5kasumiaessnow3gzucaessnow3gzuc更安全的算法更长的密钥更安全的算法抗量子更长的密钥
基站对广播消息签名 终端验证签名，判断基站真伪
Detection（事后）：判断空闲态终端是否接入到伪基站
终端恢复到连接态 上传空闲态下接入的基站信息 核 心网判断空闲态下接入基站的真伪
虚假广播消息 空闲状态的终端
更好的网间安全
封闭环境/专有协议
运营商A 协议IP化
运营商A 网络IT化、切片化
5G生命期还很长，可能出现新的安全风险，给5G产业带来新的机遇与挑战
17
谢谢
18
工业物联网
2 多样化的终端形态与接入技术 --终端形态与多接入提出新的安全要求
3 新技术的驱动
--IT技术引入移动网络，产生新问题 移动边缘计算技术
网络切片技术
无人值守的物联网终端 车载终端 云端机器人
多种接入技术并存
组网结构视角下的5G安全
用户/设备
无线漏洞 信令风暴 恶意流量
远程访问 恶意篡改 隐私泄露 DDoS攻击
EAP
Authentication Server
Data Network
AKMA：安全认证能力开放 基于用户卡和网络的身份认证体系，为第三方提
供认证服务和安全通道
切片：提供差异化安全能力 提供差异化切片安全保证，提供灵活、开放的
切片安全能力，满足服务及行业安全需求
Smart phones
Auto devices
……
密钥派生安全 伪基站预防 mIoT安全 位置服务安全
量子安全算法应用指南
5G生态系统信任模型
V2X安全
……
5G能力开放安全
e2e安全
F1接口安全
V2X安全
MEC安全
……
总结
5G首次提出“通信改变社会”的愿景，强调电信运营商与垂直行业的互 信、协作，是产业融合、跨界拓展和生态重构的新机遇
5G安全需要考虑计算力的提升、信任模型的变化、网络架构的演进， 在技术标准、网络建设等方面都需要整个产业的紧密配合
CU
AMF
SEAF
SEPP
网络边界保护
SEPP
AUSF
UDM ARPF
更复杂的终端安全态势
5G终端的演进
通
视频
话
娱乐
穿戴
导航
mMTC
eMBB
高带宽
大
低
连
时
接
延
uRLLC
智能设备较安全性较低
• 硬件无安全环境（SE或TEE） • 可远程访问 • 无人值守 • 发展迅速但缺乏安全保障
新型安全事件频发
强制要求
强制要求
Phase 1 强制要求 Phase 2 强制要求
数据面
无 无 部分要求 建议要求 建议要求
算法
无
KASUMI, SNOW 3G
SNOW 3G, AES, ZUC
SNOW 3G, AES, ZUC
SNOW 3G, AES, AUC,
TBD
消息长度
无
32bits
32bits
32bits 64/128bits
移动通信安全技术演进与5G安全
技术创新，变革未来
01
移动通信网迈向5G
02
5G安全需求
03
5G安全特性
何为5G
ITU用三类应用场景和一组性能指标定义了IMT-2020
增强移动宽带
• 视频通话 • 虚拟现实 • 影音娱乐
低时延高可靠
• 机器人 • 自动驾驶 • 工业控制 • 远程医疗
大规模物联网
• 智慧城市 • 智能家居 • 健康管理
体验速率更快 4G x 100 连接数密度更高 4G x 10 空口时延更低 4G x 1/5
Source: Recommendation ITU-R M.2083-0 (2015.9 )
业务需求视角下的5G安全
1 万物互联的应用场景 --安全风险可能影响国家和社会多个领域
智能家居 车联网 智慧城市
MEC
外部 DN
Internet
DDoS攻击 设备漏洞 数据窃取
切片 租户
MEC
HTTP
HTTP
互操作风险
5G核心网 虚拟化漏洞
通用化硬件平台
信令攻击 数据篡改
内部风险 网管、4A
…
运营商B
目标系统 攻击路径
攻防能力视角下的5G安全
计算
信任
能力
关系
对已有算法破解能 力在提升
开放互联降低了整 体信任程度
运营商A
封闭环境/专有协议
运营商B 协议IP化
保 护 措 施
运营商B 网络IT化、切片化
运营商B
无安全保护
自发的安全保护 • 信令防火墙 • 异常行为分析
10086
0010086
国际关口局
标准的安全保护 • 标准安全网关
• SEPP • 标准安全通道
• TLS/(HTTP+JOSE) • 需建立全球性的安全基础设施
加密连接
核心网
HSS 身份管理
BSF 密钥管理
无人机平台 IoT 平台
车联网平台
RAN
Slice 1 Slice 2
。 。
Slice n
Common Infrastructure Layer
15
5G安全标准与5G安全后续方向
5G安全保障 语音连续性 uRLLC安全 网络切片安全
二次认证
用于UE接入其他数据网络 使用3GPP认证凭证 UE<->SMF<->DN-AAA 认证机制
• EAP认证
更细粒度的信任模型
USIM
ME
安全硬件（卡） 终端
非漫游场景
漫游场景
USIM
ME
DU
DU
CU
无线网络
AMF
SEAF
移动性管理
AUSF
认证服务
UDM ARPF
用户签约数据库
抗量子，更长的密钥？
更适合各种业务场景的算法？
AES SNOW 3G
ZUC
…
2013年我国启动研究，
2018年3GPP发布第一版，
2008年发布标准第一版，2009年 首次部署，2013年我国颁发牌照
• 2001年，AES发布，次年成为标准
2020年我国商用 •对称算法密钥长度延长至256比特的必 要性（在研） • 轻量级密码算法（二阶段）
应对措施
• 事前：标准、评测、认证等 • 事中：预警、监测、分析、升级等 • 事后：召回、反馈、改进等
5G安全特性对垂直行业的支撑
EAP：统一认证框架 支持EAP框架，从而可以适配多种安全凭证和认
证方式
EAPOL Supplicant
Authenticator Radlus/Diameter
• 密钥长度128比特
• 2011年，ZUC成为标准算法
• 2011年，专用领域的商用量子计算机
出现
1989年启动研究，1991年首次部 署，1992年我国建设组网
A5
• 1987年发明，密钥长度64比特
• 1999年，算法泄露
•2016年，3块GPU，9秒破解A5算法
更好的完整性
信令面
无
(伪基站攻击)
er 500,000 IoT Devices Vulnerable to Mirai Botnet
News.softpedia: Hackers Breach Sauna Camera, leak of nude videos
Scmagazine: Hackers use Mirai botnet to slowly mine bitcoins with IoT devices
更多的认证类型
首次认证 切片认证
网络切片 5G网络
二次认证
Internet
首次认证
用于UE接入运营商网络 使用3GPP认证凭证 UE<->AMF<->AUSF<-
>UDM 认证机制
• 5G AKA • EAP-AKA’
切片认证
用于UE接入切片 使用其他的认证凭证 UE<->Slice(still in progress) 认证机制仍在研究中
攻击 手段
网络日益复杂带来 新的漏洞
更好的机密性
KASUMI
更安全的算法 更长的密钥
更安全的算法
AES SNOW 3G
ZUC
1998年启动研究，2001年首次部 署，2009年我国颁发牌照
• 1995年发明，密钥长度128比特 • 2005年，算法理论破解 • 2010年，破解效率进一步提升 • 后期引入SNOW 3G算法
TBD
更好的隐私保护
2/3/4G网络
面临空口用户 隐私被伪基站窃
取的威胁
5G网络
通过用户身份 SUPI加密，提升
隐私保护
归属网络公钥
伪基站 伪基站
2/3/4G网络
拜访网络
IMSI 认证向量等
归属网络
拜访网络
5G网络
SUCI
认证向量等
归属网络
更好的伪基站防护
Prevention（事前）：防止空闲态终端接入到伪基站
recommendationiturm2083020159itu用三类应用场景和一组性能指标定义了imt2020增强移劢宽带影音娱乐低时延高可靠远程医疗大规模物联网健康管理体验速率更快4g100连接数密度更高4g10空口时延更低4g15业务需求视角下的5g安全新技术的驱劢it技术引入移劢网络产生新问题移动边缘计算技术网络切片技术多样化的终端形态与接入技术终端形态与多接入提出新的安全要求无人值守的物联网终端车载终端于端机器人多种接入技术并存万物互联的应用场景安全风险可能影响国家和社会多个领域智能家居车联网智慧城市工业物联网组网结构视角下的5g安全用户设备mecmec通用化硬件平台internet运营商b5g核心网ddos攻击设备漏洞数据窃取无线漏洞信令风暴恶意流量外部dn切片租户虚拟化漏洞信令攻击数据篡改内部风险网管4a目标系统攻击路径亏操作风险httphttp远程访问恶意篡改隐私泄露ddos攻击攻防能力视角下的5g安全计算能力信任关系对已有算法破解能力在提升开放互联降低了整体信任程度攻击手段网络日益复杂带来新的漏洞更好的机密性a5kasumiaessnow3gzucaessnow3gzuc更安全的算法更长的密钥更安全的算法抗量子更长的密钥
基站对广播消息签名 终端验证签名，判断基站真伪
Detection（事后）：判断空闲态终端是否接入到伪基站
终端恢复到连接态 上传空闲态下接入的基站信息 核 心网判断空闲态下接入基站的真伪
虚假广播消息 空闲状态的终端
更好的网间安全
封闭环境/专有协议
运营商A 协议IP化
运营商A 网络IT化、切片化
5G生命期还很长，可能出现新的安全风险，给5G产业带来新的机遇与挑战
17
谢谢
18
工业物联网
2 多样化的终端形态与接入技术 --终端形态与多接入提出新的安全要求
3 新技术的驱动
--IT技术引入移动网络，产生新问题 移动边缘计算技术
网络切片技术
无人值守的物联网终端 车载终端 云端机器人
多种接入技术并存
组网结构视角下的5G安全
用户/设备
无线漏洞 信令风暴 恶意流量
远程访问 恶意篡改 隐私泄露 DDoS攻击
EAP
Authentication Server
Data Network
AKMA：安全认证能力开放 基于用户卡和网络的身份认证体系，为第三方提
供认证服务和安全通道
切片：提供差异化安全能力 提供差异化切片安全保证，提供灵活、开放的
切片安全能力，满足服务及行业安全需求
Smart phones
Auto devices
……
密钥派生安全 伪基站预防 mIoT安全 位置服务安全
量子安全算法应用指南
5G生态系统信任模型
V2X安全
……
5G能力开放安全
e2e安全
F1接口安全
V2X安全
MEC安全
……
总结
5G首次提出“通信改变社会”的愿景，强调电信运营商与垂直行业的互 信、协作，是产业融合、跨界拓展和生态重构的新机遇
5G安全需要考虑计算力的提升、信任模型的变化、网络架构的演进， 在技术标准、网络建设等方面都需要整个产业的紧密配合
CU
AMF
SEAF
SEPP
网络边界保护
SEPP
AUSF
UDM ARPF
更复杂的终端安全态势
5G终端的演进
通
视频
话
娱乐
穿戴
导航
mMTC
eMBB
高带宽
大
低
连
时
接
延
uRLLC
智能设备较安全性较低
• 硬件无安全环境（SE或TEE） • 可远程访问 • 无人值守 • 发展迅速但缺乏安全保障
新型安全事件频发
强制要求
强制要求
Phase 1 强制要求 Phase 2 强制要求
数据面
无 无 部分要求 建议要求 建议要求
算法
无
KASUMI, SNOW 3G
SNOW 3G, AES, ZUC
SNOW 3G, AES, ZUC
SNOW 3G, AES, AUC,
TBD
消息长度
无
32bits
32bits
32bits 64/128bits
移动通信安全技术演进与5G安全
技术创新，变革未来
01
移动通信网迈向5G
02
5G安全需求
03
5G安全特性
何为5G
ITU用三类应用场景和一组性能指标定义了IMT-2020
增强移动宽带
• 视频通话 • 虚拟现实 • 影音娱乐
低时延高可靠
• 机器人 • 自动驾驶 • 工业控制 • 远程医疗
大规模物联网
• 智慧城市 • 智能家居 • 健康管理
体验速率更快 4G x 100 连接数密度更高 4G x 10 空口时延更低 4G x 1/5
Source: Recommendation ITU-R M.2083-0 (2015.9 )
业务需求视角下的5G安全
1 万物互联的应用场景 --安全风险可能影响国家和社会多个领域
智能家居 车联网 智慧城市
MEC
外部 DN
Internet
DDoS攻击 设备漏洞 数据窃取
切片 租户
MEC
HTTP
HTTP
互操作风险
5G核心网 虚拟化漏洞
通用化硬件平台
信令攻击 数据篡改
内部风险 网管、4A
…
运营商B
目标系统 攻击路径
攻防能力视角下的5G安全
计算
信任
能力
关系
对已有算法破解能 力在提升
开放互联降低了整 体信任程度
运营商A
封闭环境/专有协议
运营商B 协议IP化
保 护 措 施
运营商B 网络IT化、切片化
运营商B
无安全保护
自发的安全保护 • 信令防火墙 • 异常行为分析
10086
0010086
国际关口局
标准的安全保护 • 标准安全网关
• SEPP • 标准安全通道
• TLS/(HTTP+JOSE) • 需建立全球性的安全基础设施