5G網(wǎng)絡(luò)安全需求與架構(gòu)

1、目 錄引言網(wǎng)絡(luò)安全挑戰(zhàn)和需求安全總體目標(biāo)網(wǎng)絡(luò)安全架構(gòu)網(wǎng)絡(luò)新的安全能力安全標(biāo)準(zhǔn)化建議總結(jié)和展望網(wǎng)絡(luò)安全需求與架構(gòu)1 引言經(jīng)過(guò)三十多年的飛速發(fā)展， 移動(dòng)通信已成為應(yīng)用最為普及的信息通信技術(shù)。 當(dāng)前， 全球新一輪科技革命和產(chǎn)業(yè)變革正孕育興起，跨行業(yè)、跨領(lǐng)域的融合創(chuàng)新不斷深入，對(duì)移動(dòng)通信技術(shù)也提出了更高的要求。隨著移動(dòng)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)及行業(yè)應(yīng)用的爆發(fā)式增長(zhǎng)，未來(lái)移動(dòng)通信將面臨千倍數(shù)據(jù)流量增長(zhǎng)和千億設(shè)備聯(lián)網(wǎng)需求。 5G 作為新一代移動(dòng)通信技術(shù)發(fā)展的方向，將在提升移動(dòng)互聯(lián)網(wǎng)用戶業(yè)務(wù)體驗(yàn)的基礎(chǔ)上，進(jìn)一步滿足未來(lái)物聯(lián)網(wǎng)應(yīng)用的海量需求，與工業(yè)、醫(yī)療、交通等行業(yè)深度融合，實(shí)現(xiàn)真正的“萬(wàn)物互聯(lián)”。5G 網(wǎng)絡(luò)新的發(fā)展趨

2、勢(shì)，尤其是 5G 新業(yè)務(wù)、新架構(gòu)、新技術(shù)，對(duì)安全和用戶隱私保護(hù)都提出了新的挑戰(zhàn)。 5G 安全機(jī)制除了要滿足基本通信安全要求之外，還需要為不同業(yè)務(wù)場(chǎng)景提供差異化安全服務(wù)，能夠適應(yīng)多種網(wǎng)絡(luò)接入方式及新型網(wǎng)絡(luò)架構(gòu)，保護(hù)用戶隱私， 并支持提供開(kāi)放的安全能力。 當(dāng)前， 5G 國(guó)際標(biāo)準(zhǔn)化工作已全面展開(kāi)， 5G 安全也成為業(yè)界關(guān)注的焦點(diǎn)。本白皮書(shū)基于 5G 需求與愿景研究進(jìn)展，分析 5G 網(wǎng)絡(luò)面臨的安全問(wèn)題和發(fā)展趨勢(shì)，提出5G 網(wǎng)絡(luò)安全需求和架構(gòu)，為后續(xù) 5G 網(wǎng)絡(luò)安全技術(shù)的研究和設(shè)計(jì)奠定基礎(chǔ)。當(dāng)前業(yè)界需要盡快形成 5G 網(wǎng)絡(luò)安全框架并推動(dòng)達(dá)成產(chǎn)業(yè)共識(shí)，從而指導(dǎo) 5G 安全國(guó)際標(biāo)準(zhǔn)及后續(xù)產(chǎn)業(yè)發(fā)展。2 5G

3、網(wǎng)絡(luò)安全挑戰(zhàn)和需求2.1 新的業(yè)務(wù)場(chǎng)景5G 網(wǎng)絡(luò)將來(lái)不僅用于人與人之間的通信，還會(huì)用于人與物以及物與物之間的通信。目前， 5G 業(yè)務(wù)大致可以分為 3 種場(chǎng)景： eMBB （增強(qiáng)移動(dòng)寬帶）、mMTC （海量機(jī)器類(lèi)通信）、和 uRLLC （超可靠低時(shí)延通信），5G 網(wǎng)絡(luò)需要針對(duì)這三種業(yè)務(wù)場(chǎng)景的不同安全需求提供差異化安全保護(hù)機(jī)制。eMBB 聚焦對(duì)帶寬有極高需求的業(yè)務(wù)，例如高清視頻， VR （虛擬現(xiàn)實(shí)） / AR （增強(qiáng) 1 現(xiàn)實(shí)） 等， 滿足人們對(duì)于數(shù)字化生活的需求。 eMBB 廣泛的應(yīng)用場(chǎng)景將帶來(lái)不同的安全需求，同一個(gè)應(yīng)用場(chǎng)景中的不同業(yè)務(wù)其安全需求也有所不同，例如， VR/AR 等個(gè)人業(yè)務(wù)可能只要

4、求對(duì)關(guān)鍵信息的傳輸進(jìn)行加密，而對(duì)于行業(yè)應(yīng)用可能要求對(duì)所有環(huán)境信息的傳輸進(jìn)行加密。 5G 網(wǎng)絡(luò)可以通過(guò)擴(kuò)展 LTE安全機(jī)制來(lái)滿足 eMBB 場(chǎng)景所需的安全需求。mMTC 覆蓋對(duì)于連接密度要求較高的場(chǎng)景，例如智慧城市，智能農(nóng)業(yè)等，能滿足人們對(duì)于數(shù)字化社會(huì)的需求。 mMTC 場(chǎng)景中存在多種多樣的物聯(lián)網(wǎng)設(shè)備，如處于惡劣環(huán)境之中的物聯(lián)網(wǎng)設(shè)備，以及技術(shù)能力低且電池壽命長(zhǎng)（如超過(guò) 10 年）的物聯(lián)網(wǎng)設(shè)備等。面向物聯(lián)網(wǎng)繁雜的應(yīng)用種類(lèi)和成百上千億的連接， 5G 網(wǎng)絡(luò)需要考慮其安全需求的多樣性。如果采用單用戶認(rèn)證方案則成本高昂，而且容易造成信令風(fēng)暴問(wèn)題，因此在 5G 網(wǎng)絡(luò)中，需降低物聯(lián)網(wǎng)設(shè)備在認(rèn)證和身份管理方面的

5、成本，支撐物聯(lián)網(wǎng)設(shè)備的低成本和高效率海量部署（如采用群組認(rèn)證等）。針對(duì)計(jì)算能力低且電池壽命需求高的物聯(lián)網(wǎng)設(shè)備， 5G 網(wǎng)絡(luò)應(yīng)該通過(guò)一些安全保護(hù)措施（如輕量級(jí)的安全算法、簡(jiǎn)單高效的安全協(xié)議等）來(lái)保證能源高效性。uRLLC 聚焦對(duì)時(shí)延極其敏感的業(yè)務(wù)， 例如自動(dòng)駕駛/輔助駕駛、 遠(yuǎn)程控制等， 滿足人們對(duì)于數(shù)字化工業(yè)的需求。 低時(shí)延和高可靠性是 uRLLC 業(yè)務(wù)的基本要求， 如車(chē)聯(lián)網(wǎng)業(yè)務(wù)在通信中如果受到安全威脅則可能會(huì)涉及到生命安全，因此要求高級(jí)別的安全保護(hù)措施且不能額外增加通信時(shí)延。 5G 超低時(shí)延的實(shí)現(xiàn)需要在端到端傳輸?shù)母鱾€(gè)環(huán)節(jié)進(jìn)行一系列機(jī)制優(yōu)化。從安全角度來(lái)看，降低時(shí)延需要優(yōu)化業(yè)務(wù)接入過(guò)程身份認(rèn)

6、證的時(shí)延、數(shù)據(jù)傳輸安全保護(hù)帶來(lái)的時(shí)延，終端移動(dòng)過(guò)程由于安全上下文切換帶來(lái)的時(shí)延、以及數(shù)據(jù)在網(wǎng)絡(luò)節(jié)點(diǎn)中加解密處理帶來(lái)的時(shí)延。因此，面對(duì)多種應(yīng)用場(chǎng)景和業(yè)務(wù)需求， 5G 網(wǎng)絡(luò)需要一個(gè)統(tǒng)一的、靈活的、可伸縮的5G 網(wǎng)絡(luò)安全架構(gòu)來(lái)滿足不同應(yīng)用的不同安全級(jí)別的安全需求，即 5G 網(wǎng)絡(luò)需要一個(gè)統(tǒng)一的認(rèn)證框架，用以支持多種應(yīng)用場(chǎng)景的網(wǎng)絡(luò)接入認(rèn)證（即支持終端設(shè)備的認(rèn)證、支持簽約用戶的認(rèn)證、支持多種接入方式的認(rèn)證、支持多種認(rèn)證機(jī)制等）；同時(shí) 5G 網(wǎng)絡(luò)應(yīng)支持伸縮性需求，如網(wǎng)絡(luò)橫向擴(kuò)展時(shí)需要及時(shí)啟動(dòng)安全功能實(shí)例來(lái)滿足增加的安全需求、網(wǎng)絡(luò)收斂時(shí)需要及時(shí)終止部分安全功能實(shí)例來(lái)達(dá)到節(jié)能的目的。另外， 5G 網(wǎng)絡(luò)應(yīng)支持按需

7、 2 的用戶面數(shù)據(jù)保護(hù)，如根據(jù)三大業(yè)務(wù)類(lèi)型的不同，或根據(jù)具體業(yè)務(wù)的安全需求，部署相應(yīng)的安全保護(hù)機(jī)制，此類(lèi)安全機(jī)制的選擇，包括加密終結(jié)點(diǎn)的不同，或者加密算法的不同，或者密鑰長(zhǎng)度的不同等。2.2 新技術(shù)和新特征為提高系統(tǒng)的靈活性和效率，并降低成本， 5G 網(wǎng)絡(luò)架構(gòu)將引入新的 IT 技術(shù)，如軟件定義網(wǎng)絡(luò) SDN （軟件定義網(wǎng)絡(luò)）和 NFV （網(wǎng)絡(luò)功能虛擬化）。新技術(shù)的引入，也為 5G網(wǎng)絡(luò)安全帶來(lái)了新的挑戰(zhàn)。5G 網(wǎng)絡(luò)通過(guò)引入虛擬化技術(shù)實(shí)現(xiàn)了軟件與硬件的解耦，通過(guò) NFV 技術(shù)的部署，使得部分功能網(wǎng)元以虛擬功能網(wǎng)元的形式部署在云化的基礎(chǔ)設(shè)施上， 網(wǎng)絡(luò)功能由軟件實(shí)現(xiàn)，不再依賴于專(zhuān)有通信硬件平臺(tái)。 由于

8、5G 網(wǎng)絡(luò)的這種虛擬化特點(diǎn)， 改變了傳統(tǒng)網(wǎng)絡(luò)中功能網(wǎng)元的保護(hù)很大程度上依賴于對(duì)物理設(shè)備的安全隔離的現(xiàn)狀，原先認(rèn)為安全的物理環(huán)境已經(jīng)變得不安全，實(shí)現(xiàn)虛擬化平臺(tái)的可管可控的安全性要求成為 5G 安全的一個(gè)重要組成部分， 例如安全認(rèn)證的功能也可能放到物理環(huán)境安全當(dāng)中， 因此， 5G 安全需要考慮 5G基礎(chǔ)設(shè)施的安全， 從而保障 5G 業(yè)務(wù)在 NFV 環(huán)境下能夠安全運(yùn)行。 另外， 5G 網(wǎng)絡(luò)中通過(guò)引入 SDN 技術(shù)提高了 5G 網(wǎng)絡(luò)中的數(shù)據(jù)傳輸效率，實(shí)現(xiàn)了更好的資源配置，但同時(shí)也帶來(lái)了新的安全需求，即需要考慮在 5G 環(huán)境下，虛擬 SDN 控制網(wǎng)元和轉(zhuǎn)發(fā)節(jié)點(diǎn)的安全隔離和管理，以及 SDN 流表的安全部

9、署和正確執(zhí)行。為了更好地支持上述 3 個(gè)業(yè)務(wù)場(chǎng)景， 5G 網(wǎng)絡(luò)將建立網(wǎng)絡(luò)切片，為不同業(yè)務(wù)提供差異化的安全服務(wù)，根據(jù)業(yè)務(wù)需求針對(duì)切片定制其安全保護(hù)機(jī)制，實(shí)現(xiàn)客戶化的安全分級(jí)服務(wù)，同時(shí)網(wǎng)絡(luò)切片也對(duì)安全提出了新的挑戰(zhàn)，如切片之間的安全隔離，以及虛擬網(wǎng)絡(luò)的安全部署和安全管理。面向低時(shí)延業(yè)務(wù)場(chǎng)景， 5G 核心網(wǎng)控制功能需要部署在接入網(wǎng)邊緣或者與基站融合部署。數(shù)據(jù)網(wǎng)關(guān)和業(yè)務(wù)使能設(shè)備可以根據(jù)業(yè)務(wù)需要在全網(wǎng)中靈活部署，以減少對(duì)回傳網(wǎng)絡(luò)的壓力，降低時(shí)延和提高用戶體驗(yàn)速率，隨著核心網(wǎng)功能下沉到接入網(wǎng)， 5G 網(wǎng)絡(luò)提供的安全保障能力也將隨之下沉。5G 網(wǎng)絡(luò)的能力開(kāi)放功能可以部署于網(wǎng)絡(luò)控制功能之上， 以便網(wǎng)絡(luò)服務(wù)和管

10、理功能向第三方開(kāi)放。 在 5G 網(wǎng)絡(luò)中， 能力開(kāi)放不僅體現(xiàn)在整個(gè)網(wǎng)絡(luò)能力的開(kāi)放上， 還體現(xiàn)在網(wǎng)絡(luò) 3 內(nèi)部網(wǎng)元之間的能力開(kāi)放，與 4G 網(wǎng)絡(luò)的點(diǎn)對(duì)點(diǎn)流程定義不同， 5G 網(wǎng)絡(luò)的各個(gè)網(wǎng)元都提供了服務(wù)的開(kāi)放，不同網(wǎng)元之間通過(guò) API （應(yīng)用程序接口）調(diào)用其開(kāi)放的能力。因此 5G網(wǎng)絡(luò)安全需要核心網(wǎng)與外部第三方網(wǎng)元以及核心網(wǎng)內(nèi)部網(wǎng)元之間支持更高更靈活的安全能力，實(shí)現(xiàn)業(yè)務(wù)簽約、發(fā)布，及每用戶每服務(wù)都有安全通道。2.3 多種接入方式和多種設(shè)備形態(tài)由于未來(lái)應(yīng)用場(chǎng)景的多元化， 5G 網(wǎng)絡(luò)需要支持多種接入技術(shù)， 如 WLAN （無(wú)線局域網(wǎng)絡(luò)）、LTE （長(zhǎng)期演進(jìn)）、固定網(wǎng)絡(luò)、 5G 新無(wú)線接入技術(shù)，而不同的接入

11、技術(shù)有不同的安全需求和接入認(rèn)證機(jī)制；再者，一個(gè)用戶可能持有多個(gè)終端，而一個(gè)終端可能同時(shí)支持多種接入方式，同一個(gè)終端在不同接入方式之間進(jìn)行切換時(shí)或用戶在使用不同終端進(jìn)行同一個(gè)業(yè)務(wù)時(shí)，要求能進(jìn)行快速認(rèn)證以保持業(yè)務(wù)的延續(xù)性從而獲得更好的用戶體驗(yàn)。因此， 5G 網(wǎng)絡(luò)需要構(gòu)建一個(gè)統(tǒng)一的認(rèn)證框架來(lái)融合不同的接入認(rèn)證方式，并優(yōu)化現(xiàn)有的安全認(rèn)證協(xié)議（如安全上下文的傳輸、密鑰更新管理等），以提高終端在異構(gòu)網(wǎng)絡(luò)間進(jìn)行切換時(shí)的安全認(rèn)證效率，同時(shí)還能確保同一業(yè)務(wù)在更換終端或更換接入方式時(shí)連續(xù)的業(yè)務(wù)安全保護(hù)。在 5G 應(yīng)用場(chǎng)景中， 有些終端設(shè)備能力強(qiáng)， 可能配有 SIM（用戶身份識(shí)別模塊）/USIM（通用用戶身份識(shí)別模

12、塊）卡，并具有一定的計(jì)算和存儲(chǔ)能力，有些終端設(shè)備沒(méi)有SIM/USIM 卡，其身份標(biāo)識(shí)可能是 IP 地址、 MAC （介質(zhì)訪問(wèn)控制）地址、數(shù)字證書(shū)等；而有些能力低的終端設(shè)備， 甚至沒(méi)有特定的硬件來(lái)安全存儲(chǔ)身份標(biāo)識(shí)及認(rèn)證憑證， 因此，5G 網(wǎng)絡(luò)需要構(gòu)建一個(gè)融合的統(tǒng)一的身份管理系統(tǒng)，并能支持不同的認(rèn)證方式、不同的身份標(biāo)識(shí)及認(rèn)證憑證。2.4 新的商業(yè)模式5G 網(wǎng)絡(luò)不僅要滿足人們超高流量密度、超高連接數(shù)密度、超高移動(dòng)性的需求，還要為垂直行業(yè)提供通信服務(wù)。在 5G 時(shí)代將會(huì)出現(xiàn)全新的網(wǎng)絡(luò)模式與通信服務(wù)模式。同樣地，終端和網(wǎng)絡(luò)設(shè)備的概念也將會(huì)發(fā)生改變，各類(lèi)新型終端設(shè)備的出現(xiàn)將會(huì)產(chǎn)生多種具有不同態(tài)勢(shì)的安全需求

13、，在大連接物聯(lián)網(wǎng)場(chǎng)景中，大量的無(wú)人管理的機(jī)器與無(wú)線傳感器 4 將會(huì)接入到 5G 網(wǎng)絡(luò)之中，由成千上萬(wàn)個(gè)獨(dú)立終端組成的諸多小的網(wǎng)絡(luò)將會(huì)同時(shí)連接至5G 網(wǎng)絡(luò)中，在這種情況下，現(xiàn)有的移動(dòng)通信系統(tǒng)的簡(jiǎn)單的可信模式（即一個(gè)用戶及其通信終端和運(yùn)營(yíng)商） 可能不能滿足 5G 支撐的各類(lèi)新興的商業(yè)模式， 需要對(duì)可信模式進(jìn)行變革，以應(yīng)對(duì)相關(guān)領(lǐng)域的擴(kuò)展型需求。為了確保 5G 網(wǎng)絡(luò)能夠支撐各類(lèi)新興商業(yè)模式的需求，并確保足夠的安全性，需要對(duì)安全架構(gòu)進(jìn)行全新的設(shè)計(jì)。同時(shí) 5G 網(wǎng)絡(luò)是能力開(kāi)放的網(wǎng)絡(luò)， 可以向第三方或者垂直行業(yè)開(kāi)放網(wǎng)絡(luò)安全能力， 如認(rèn)證和授權(quán)能力， 第三方或者垂直行業(yè)與運(yùn)營(yíng)商建立了信任關(guān)系， 當(dāng)用戶允許接入

14、 5G 網(wǎng)絡(luò)時(shí)，也同時(shí)允許接入第三方業(yè)務(wù)。 5G 網(wǎng)絡(luò)的能力開(kāi)放有利于構(gòu)建以運(yùn)營(yíng)商為核心的開(kāi)放業(yè)務(wù)生態(tài)， 增強(qiáng)用戶黏性， 拓展新的業(yè)務(wù)收入來(lái)源。 對(duì)于第三方業(yè)務(wù)來(lái)說(shuō)， 可以借助被廣泛使用的運(yùn)營(yíng)商數(shù)字身份來(lái)推廣業(yè)務(wù)，快速拓展用戶。2.5 更高的隱私保護(hù)需求5G 網(wǎng)絡(luò)中業(yè)務(wù)和場(chǎng)景的多樣性，以及網(wǎng)絡(luò)的開(kāi)放性，使用戶隱私信息從封閉的平臺(tái)轉(zhuǎn)移到開(kāi)放的平臺(tái)上，接觸狀態(tài)從線下變成線上，泄露的風(fēng)險(xiǎn)也因此增加。例如在智能醫(yī)療系統(tǒng)中，病人病歷、處方和治療方案等隱私性信息在采集、存儲(chǔ)和傳輸過(guò)程中存在被泄漏、篡改的風(fēng)險(xiǎn)，而在智能交通中，車(chē)輛的位置和行駛軌跡等隱私信息也存在暴露和被非法跟蹤使用的風(fēng)險(xiǎn)，因此 5G 網(wǎng)絡(luò)有

15、了更高的用戶隱私保護(hù)需求。5G 網(wǎng)絡(luò)是一個(gè)異構(gòu)的網(wǎng)絡(luò)，使用多種接入技術(shù)，各種接入技術(shù)對(duì)隱私信息的保護(hù)程度不同。同時(shí)， 5G 網(wǎng)絡(luò)中的用戶數(shù)據(jù)可能會(huì)穿越各種接入網(wǎng)絡(luò)及不同廠商提供的網(wǎng)絡(luò)功能實(shí)體，從而導(dǎo)致用戶隱私數(shù)據(jù)散布在網(wǎng)絡(luò)的各個(gè)角落，而數(shù)據(jù)挖掘技術(shù)還能夠讓第三方從散布的隱私數(shù)據(jù)中分析出更多的用戶隱私信息。 因此， 在 5G 網(wǎng)絡(luò)中， 必須全面考慮數(shù)據(jù)在各種接入技術(shù)以及不同運(yùn)營(yíng)網(wǎng)絡(luò)中穿越時(shí)所面臨的隱私暴露風(fēng)險(xiǎn)，并制定周全的隱私保護(hù)策略，包括用戶的各種身份，位置，接入的服務(wù)等。4G 網(wǎng)絡(luò)已經(jīng)暴露出泄露用戶身份標(biāo)識(shí)（如 IMSI （國(guó)際移動(dòng)用戶標(biāo)識(shí)） 暴露問(wèn)題） 的漏洞，因此在 5G 網(wǎng)絡(luò)中需要對(duì)

16、4G 網(wǎng)絡(luò)的機(jī)制進(jìn)行優(yōu)化和補(bǔ)充，通過(guò)加強(qiáng)的安全機(jī)制對(duì)用戶身份標(biāo)識(shí)進(jìn)行隱私保護(hù)， 杜絕出現(xiàn)泄露用戶身份標(biāo)識(shí)的情況， 解決已有的 4G 網(wǎng)絡(luò)的漏洞。另外，由于 5G 接入網(wǎng)絡(luò)包括 LTE 接入網(wǎng)絡(luò)，因此用戶身份標(biāo)識(shí)的保護(hù)需要兼容LTE 的認(rèn)證信令，防御攻擊者引導(dǎo)用戶至 LTE接入方式，從而執(zhí)行針對(duì)隱私性的降維攻 5 擊。 同時(shí)， 攻擊者也可能會(huì)利用UE 位置信息或者空口數(shù)據(jù)包的連續(xù)性等特點(diǎn)進(jìn)行 UE 追蹤的攻擊，因此 5G 隱私保護(hù)也需要應(yīng)對(duì)此類(lèi)位置隱私的安全威脅。3 5G 安全總體目標(biāo)5G 時(shí)代，一方面，垂直行業(yè)與移動(dòng)網(wǎng)絡(luò)的深度融合，帶來(lái)了多種應(yīng)用場(chǎng)景，包括海量資源受限的物聯(lián)網(wǎng)設(shè)備同時(shí)接入、無(wú)人

17、值守的物聯(lián)網(wǎng)終端、車(chē)聯(lián)網(wǎng)與自動(dòng)駕駛、云端機(jī)器人、多種接入技術(shù)并存等；另一方面， IT 技術(shù)與通信技術(shù)的深度融合，帶來(lái)了網(wǎng)絡(luò)架構(gòu)的變革，使得網(wǎng)絡(luò)能夠靈活地支撐多種應(yīng)用場(chǎng)景。 5G 安全應(yīng)保護(hù)多種應(yīng)用場(chǎng)景下的通信安全以及 5G 網(wǎng)絡(luò)架構(gòu)的安全。5G 網(wǎng)絡(luò)的多種應(yīng)用場(chǎng)景中涉及不同類(lèi)型的終端設(shè)備、多種接入方式和接入憑證、多種時(shí)延要求、隱私保護(hù)要求等，所以 5G 網(wǎng)絡(luò)安全應(yīng)保證： 提供統(tǒng)一的認(rèn)證框架，支持多種接入方式和接入憑證，從而保證所有終端設(shè)備安全地接入網(wǎng)絡(luò)。 提供按需的安全保護(hù)，滿足多種應(yīng)用場(chǎng)景中的終端設(shè)備的生命周期要求、業(yè)務(wù)的時(shí)延要求。 提供隱私保護(hù)，滿足用戶隱私保護(hù)以及相關(guān)法規(guī)的要求。5G 網(wǎng)

18、絡(luò)架構(gòu)中的重要特征包括 NFV/SDN、切片以及能力開(kāi)放，所以 5G 安全應(yīng)保證： NFV/SDN 引入移動(dòng)網(wǎng)絡(luò)的安全， 包括虛擬機(jī)相關(guān)的安全、 軟件安全、 數(shù)據(jù)安全、SDN 控制器安全等。 切片的安全，包括切片安全隔離、切片的安全管理、 UE 接入切片的安全、切片之間通信的安全等。 能力開(kāi)放的安全，既能保證開(kāi)放的網(wǎng)絡(luò)能力安全地提供給第三方，也能夠保證網(wǎng)絡(luò)的安全能力（如加密、認(rèn)證等）能夠開(kāi)放給第三方使用。4 5G 網(wǎng)絡(luò)安全架構(gòu)5G 網(wǎng)絡(luò)安全架構(gòu)的設(shè)計(jì)需滿足上述新的安全需求和挑戰(zhàn)，包括新業(yè)務(wù)、新技術(shù)新特 6 征、接入方式和設(shè)備形態(tài)等。 5G 網(wǎng)絡(luò)安全架構(gòu)的設(shè)計(jì)原則包括，支持?jǐn)?shù)據(jù)安全保護(hù)，體現(xiàn)統(tǒng)一

19、認(rèn)證框架和業(yè)務(wù)認(rèn)證，滿足能力開(kāi)放，以及支持切片安全和應(yīng)用安全保護(hù)機(jī)制。5G 網(wǎng)絡(luò)安全架構(gòu)如圖 1 所示。用戶應(yīng)用用戶設(shè)備(1)(1)(4)(1)(3)(1)(1)(6)(2)（無(wú)線）接入網(wǎng)(2)業(yè)務(wù)提供方(5) (4)網(wǎng)絡(luò)切片(2)(2) 服務(wù)網(wǎng)絡(luò)服務(wù)網(wǎng)絡(luò)公共節(jié)點(diǎn)(3) 歸屬環(huán)境 制 控(2)面戶用面圖 1 5G 網(wǎng)絡(luò)安全架構(gòu)示意圖根據(jù) 5G 安全設(shè)計(jì)原則，將 5G 網(wǎng)絡(luò)安全架構(gòu)分為以下八個(gè)安全域：1）網(wǎng)絡(luò)接入安全：保障用戶接入網(wǎng)絡(luò)的數(shù)據(jù)安全。 控制面： 用戶設(shè)備（UE）與網(wǎng)絡(luò)之間信令的機(jī)密性和完整性安全保護(hù)， 包括無(wú)線和核心網(wǎng)信令保護(hù)。其中核心網(wǎng)信令包括 UE 到服務(wù)網(wǎng)絡(luò)公共節(jié)點(diǎn)的信令保護(hù)，

20、以及根據(jù)切片安全需求部署的 UE 到網(wǎng)絡(luò)切片（NS）內(nèi)實(shí)體的信令保護(hù)。 用戶面： UE 和網(wǎng)絡(luò)之間用戶數(shù)據(jù)的機(jī)密性和/或完整性安全保護(hù)，包括 UE 與（無(wú)線）接入網(wǎng)之間的空口數(shù)據(jù)保護(hù)，以及 UE 與核心網(wǎng)中用戶安全終結(jié)點(diǎn)之間的數(shù)據(jù)保護(hù)。2）網(wǎng)絡(luò)域安全：保障網(wǎng)元之間信令和用戶數(shù)據(jù)的安全交換，包括（無(wú)線）接入網(wǎng)與服務(wù)網(wǎng)絡(luò)共同節(jié)點(diǎn)之間，服務(wù)網(wǎng)絡(luò)共同節(jié)點(diǎn)與歸屬環(huán)境（HE）之間，服務(wù)網(wǎng)絡(luò)共同節(jié)點(diǎn)與 NS 之間， HE 與 NS 之間的交互。3）首次認(rèn)證和密鑰管理：包括認(rèn)證和密鑰管理的各種機(jī)制，體現(xiàn)統(tǒng)一的認(rèn)證框架。具體為： UE 與 3GPP 網(wǎng)絡(luò)之間基于運(yùn)營(yíng)商安全憑證的認(rèn)證，以及認(rèn)證成功后用戶數(shù)據(jù)保護(hù)的

21、密鑰管理。根據(jù)不同場(chǎng)景中設(shè)備形式的不同， UE 中認(rèn)證安全憑證可以存儲(chǔ)在 UE 上 7 基于硬件的防篡改的安全環(huán)境中，如 UICC （通用集成電路卡）。4）二次認(rèn)證和密鑰管理： UE 與外部數(shù)據(jù)網(wǎng)絡(luò)（如，業(yè)務(wù)提供方）之間的業(yè)務(wù)認(rèn)證以及相關(guān)密鑰管理。體現(xiàn)部分業(yè)務(wù)接入 5G 網(wǎng)絡(luò)時(shí)， 5G 網(wǎng)絡(luò)對(duì)于業(yè)務(wù)的授權(quán)。5）安全能力開(kāi)放：體現(xiàn) 5G 網(wǎng)元與外部業(yè)務(wù)提供方的安全能力開(kāi)放，包括開(kāi)放數(shù)字身份管理與認(rèn)證能力。 另外通過(guò)安全開(kāi)放能力， 也可以實(shí)現(xiàn) 5G 網(wǎng)絡(luò)獲取業(yè)務(wù)對(duì)于數(shù)據(jù)保護(hù)的安全需求，完成按需的用戶面保護(hù)。6）應(yīng)用安全：此安全域保證用戶和業(yè)務(wù)提供方之間的安全通信。7）切片安全：體現(xiàn)切片的安全保護(hù)，

22、例如 UE 接入切片的授權(quán)安全，切片隔離安全等。8）安全可視化和可配置：體現(xiàn)用戶可以感知安全特性是否被執(zhí)行，這些安全特性是否可以保障業(yè)務(wù)的安全使用和提供。5 5G 網(wǎng)絡(luò)新的安全能力5.1 統(tǒng)一的認(rèn)證框架5G 支持多種接入技術(shù)（如 4G 接入、 WLAN 接入以及 5G 接入），由于目前不同的接入網(wǎng)絡(luò)使用不同的接入認(rèn)證技術(shù)， 并且， 為了更好地支持物聯(lián)網(wǎng)設(shè)備接入 5G 網(wǎng)絡(luò)， 3GPP還將允許垂直行業(yè)的設(shè)備和網(wǎng)絡(luò)使用其特有的接入技術(shù)。為了使用戶可以在不同接入網(wǎng)間實(shí)現(xiàn)無(wú)縫切換， 5G 網(wǎng)絡(luò)將采用一種統(tǒng)一的認(rèn)證框架，實(shí)現(xiàn)靈活并且高效地支持各種應(yīng)用場(chǎng)景下的雙向身份鑒權(quán)，進(jìn)而建立統(tǒng)一的密鑰體系。EAP

23、（可擴(kuò)展認(rèn)證協(xié)議）認(rèn)證框架是能滿足 5G 統(tǒng)一認(rèn)證需求的備選方案之一。它是一個(gè)能封裝各種認(rèn)證協(xié)議的統(tǒng)一框架，框架本身并不提供安全功能，認(rèn)證期望取得的安全目標(biāo)， 由所封裝的認(rèn)證協(xié)議來(lái)實(shí)現(xiàn)， 它支持多種認(rèn)證協(xié)議， 如EAP-PSK（預(yù)共享密鑰），EAP-TLS （傳輸層安全），EAP-AKA （鑒權(quán)和密鑰協(xié)商）等。在 3GPP 目前所定義的 5G 網(wǎng)絡(luò)架構(gòu)中，認(rèn)證服務(wù)器功能 /認(rèn)證憑證庫(kù)和處理功能（AUSF/ARPF）網(wǎng)元可完成傳統(tǒng) EAP 框架下的認(rèn)證服務(wù)器功能， 接入管理功能（AMF）網(wǎng)元可完成接入控制和移動(dòng)性管理功能， 5G 統(tǒng)一認(rèn)證框架示意如圖2 所示： 8 圖 2 5G 統(tǒng)一認(rèn)證框架示意

24、在 5G 統(tǒng)一認(rèn)證框架里，各種接入方式均可在 EAP 框架下接入 5G 核心網(wǎng)：用戶通過(guò) WLAN 接入時(shí)可使用 EAP-AKA認(rèn)證，有線接入時(shí)可采用IEEE 802.1x 認(rèn)證， 5G 新空口接入時(shí)可使用 EAP-AKA 認(rèn)證。不同的接入網(wǎng)使用在邏輯功能上統(tǒng)一的 AMF 和AUSF/ARPF 提供認(rèn)證服務(wù)，基于此，用戶在不同接入網(wǎng)間進(jìn)行無(wú)縫切換成為可能。5G 網(wǎng)絡(luò)的安全架構(gòu)明顯有別于以前移動(dòng)網(wǎng)絡(luò)的安全架構(gòu)。 統(tǒng)一認(rèn)證框架的引入不僅能降低運(yùn)營(yíng)商的投資和運(yùn)營(yíng)成本，也為將來(lái) 5G 網(wǎng)絡(luò)提供新業(yè)務(wù)時(shí)對(duì)用戶的認(rèn)證打下堅(jiān)實(shí)的基礎(chǔ)。5.2 多層次的切片安全切片安全機(jī)制主要包含三個(gè)方面： UE 和切片間安全

25、、切片內(nèi) NF （網(wǎng)絡(luò)功能）與切片外 NF 間安全、切片內(nèi) NF 間安全。切片安全機(jī)制如圖 3 所示。 9 UE和切片間安全域切片內(nèi)NF與切片外NF間安全域切片內(nèi)NF間安全域UE和切片間安全鏈路切片內(nèi)NF與切片外NF間安全鏈路切片內(nèi)NF間安全鏈路圖 3 切片安全機(jī)制5.2.1 UE 和切片間安全UE 和切片間安全通過(guò)接入策略控制來(lái)應(yīng)對(duì)訪問(wèn)類(lèi)的風(fēng)險(xiǎn)， 由 AMF 對(duì)UE 進(jìn)行鑒權(quán)， 從而保證接入網(wǎng)絡(luò)的 UE 是合法的。另外，可以通過(guò) PDU （分組數(shù)據(jù)單元）會(huì)話機(jī)制來(lái) 防止 UE 的未授權(quán)訪問(wèn)，具體方式是： AMF 通過(guò) UE 的 NSSAI （網(wǎng)絡(luò)切片選擇輔助信 息）為 UE 選擇正確的切片，

26、 當(dāng) UE 訪問(wèn)不同切片內(nèi)的業(yè)務(wù)時(shí)， 會(huì)建立不同的 PDU 會(huì)話， 不同的網(wǎng)絡(luò)切片不能共享 PDU 會(huì)話，同時(shí)，建立 PDU 會(huì)話的信令流程可以增加鑒權(quán)和加密過(guò)程。 UE 的每一個(gè)切片的 PDU 會(huì)話都可以根據(jù)切片策略采用不同的安全機(jī)制。當(dāng)外部數(shù)據(jù)網(wǎng)絡(luò)需要對(duì) UE 進(jìn)行第三方認(rèn)證時(shí)，可以由切片內(nèi)的會(huì)話管理功能（SMF） 作為 EAP 認(rèn)證器，為 UE 進(jìn)行第三方認(rèn)證。5.2.2 切片內(nèi) NF 與切片外 NF 間安全由于安全風(fēng)險(xiǎn)等級(jí)不同，切片內(nèi)NF 與切片外 NF 間通信安全可以分為三種情況：A 、 切片內(nèi)NF 與切片公用 NF 間的安全公用 NF 可以訪問(wèn)多個(gè)切片內(nèi)的NF，因此切片內(nèi)的 NF

27、需要安全的機(jī)制控制來(lái)自公 10 用 NF 的訪問(wèn)，防止公用 NF 非法訪問(wèn)某個(gè)切片內(nèi)的 NF，以及防止非法的外部 NF 訪問(wèn)某個(gè)切片內(nèi)的 NF。網(wǎng)管平臺(tái)通過(guò)白名單機(jī)制對(duì)各個(gè) NF 進(jìn)行授權(quán)，包括每個(gè) NF 可以被哪些 NF 訪問(wèn)，每個(gè) NF 可以訪問(wèn)哪些 NF。切片內(nèi)的 SMF 需要向網(wǎng)絡(luò)倉(cāng)儲(chǔ)功能（NRF）注冊(cè)，當(dāng) AMF 為 UE 選擇切片時(shí)，詢問(wèn) NRF，發(fā)現(xiàn)各個(gè)切片的 SMF，在 AMF 和 SMF 通信前，可以先進(jìn)行相互認(rèn)證，實(shí)現(xiàn)切片內(nèi) NF （如 SMF）與切片外公共 NF （如 AMF）之間的相互可信。同時(shí)，可以在 AMF 或 NRF 做頻率監(jiān)控或者部署防火墻防止 Dos/DDos

28、 攻擊，防止惡意用戶將切片公有 NF 的資源耗盡，而影響切片的正常運(yùn)作。比如，在 AMF 做防御，進(jìn)行頻率監(jiān)控， 當(dāng)檢測(cè)到同一 UE 向同一 NRF 發(fā)消息的頻率過(guò)高， 則將強(qiáng)制該 UE 下線，并限制其再次上線，進(jìn)行接入控制，防止UE 的 Dos 攻擊；或者在 NRF 做頻率監(jiān)控，當(dāng)發(fā)現(xiàn)大量 UE 同時(shí)上線，向同一 NRF 發(fā)送消息的頻率過(guò)高，則將強(qiáng)制這些 UE 下線，并限制其再次上線，進(jìn)行接入控制，防止大范圍的 DDos 攻擊。B、切片內(nèi) NF 與外網(wǎng)設(shè)備間安全在切片內(nèi) NF 與外網(wǎng)設(shè)備間， 部署虛擬防火墻或物理防火墻， 保護(hù)切片內(nèi)網(wǎng)與外網(wǎng)的安全。如果在切片內(nèi)部署防火墻則可以使用虛擬防火墻，

29、不同的切片按需編排；如果在切片外部署防火墻則可以使用物理防火墻，一個(gè)防火墻可以保障多個(gè)切片的安全。C、不同切片間 NF 的隔離不同的切片要盡可能保證隔離， 各個(gè)切片內(nèi)的 NF 之間也需要進(jìn)行安全隔離， 比如，部署時(shí)可以通過(guò) VLAN （虛擬局域網(wǎng)） /VxLAN （虛擬擴(kuò)展局域網(wǎng)）劃分切片，基于NFV的隔離來(lái)實(shí)現(xiàn)切片的物理隔離和控制，保證每個(gè)切片都能獲得相對(duì)獨(dú)立的物理資源，保證一個(gè)切片異常后不會(huì)影響到其他切片。5.2.3 切片內(nèi) NF 間安全切片內(nèi)的 NF 之間通信前，可以先進(jìn)行認(rèn)證，保證對(duì)方 NF 是可信 NF，然后可以通過(guò)建立安全隧道保證通訊安全，如 IPSec。5.3 差異化安全保護(hù)不同

30、的業(yè)務(wù)會(huì)有不同的安全需求， 例如， 遠(yuǎn)程醫(yī)療需要高可靠性安全保護(hù)， 而部分物 11 聯(lián)網(wǎng)業(yè)務(wù)需要輕量級(jí)的安全解決方案（算法或安全協(xié)議）來(lái)進(jìn)行安全保護(hù)。 5G 網(wǎng)絡(luò)支持多種業(yè)務(wù)并行發(fā)展， 以滿足個(gè)人用戶、 行業(yè)客戶的多樣性需求。 從網(wǎng)絡(luò)架構(gòu)來(lái)看， 基于原生云化架構(gòu)的端到端切片可以滿足這樣的多樣性需求。同樣的， 5G 安全設(shè)計(jì)也需支持業(yè)務(wù)多樣性的差異化安全需求，即用戶面的按需保護(hù)需求。用戶面的按需保護(hù)本質(zhì)上是根據(jù)不同的業(yè)務(wù)對(duì)于安全保護(hù)的不同需求，部署不同的用戶面保護(hù)機(jī)制。按需的保護(hù)主要有以下兩類(lèi)策略：1）用戶面數(shù)據(jù)保護(hù)的終結(jié)點(diǎn)。終結(jié)點(diǎn)可以為（無(wú)線）接入網(wǎng)或者核心網(wǎng)，即 UE 到（無(wú)線）接入網(wǎng)之間的

31、用戶面數(shù)據(jù)保護(hù)，或者 UE 至核心網(wǎng)的用戶面數(shù)據(jù)保護(hù)。2）業(yè)務(wù)數(shù)據(jù)的加密和/或完整性保護(hù)方式。如，不同的安全保護(hù)算法、密鑰長(zhǎng)度、密鑰更新周期等。通過(guò)和業(yè)務(wù)的交互， 5G 系統(tǒng)獲取不同業(yè)務(wù)的安全需求，并根據(jù)業(yè)務(wù)、網(wǎng)絡(luò)、終端的安全需求和安全能力，運(yùn)營(yíng)商網(wǎng)絡(luò)可以按需制定不同業(yè)務(wù)的差異化數(shù)據(jù)保護(hù)策略?；跇I(yè)務(wù)的差異化用戶面安全保護(hù)機(jī)制如圖 4 所示。圖 4 基于業(yè)務(wù)的差異化用戶面安全保護(hù)機(jī)制示例圖 4 中，根據(jù)應(yīng)用與服務(wù)側(cè)的業(yè)務(wù)安全需求，確定相應(yīng)切片的安全保護(hù)機(jī)制，并部署相關(guān)切片的用戶面安全防護(hù)。例如考慮mMTC 中設(shè)備的輕量級(jí)特征，此切片內(nèi)數(shù)據(jù)可以根據(jù) mMTC 業(yè)務(wù)需求部署輕量級(jí)的用戶面安全保護(hù)機(jī)

32、制。另外，切片內(nèi)還包含 UE 至核心網(wǎng)的會(huì)話傳輸模式，因此基于不同的會(huì)話做用戶面數(shù)據(jù)保護(hù)，可以增加安全保護(hù)的靈活度。對(duì)于同一個(gè)用戶終端，不同的業(yè)務(wù)有不同的會(huì)話數(shù)據(jù)傳輸， 5G 網(wǎng)絡(luò)也可以對(duì)不 12 同的會(huì)話數(shù)據(jù)傳輸進(jìn)行差異化的安全保護(hù)。5.4 開(kāi)放的安全能力5G 網(wǎng)絡(luò)安全能力可以通過(guò) API 接口開(kāi)放給第三方業(yè)務(wù)（如業(yè)務(wù)提供商、企業(yè)、垂直行業(yè)等），讓第三方業(yè)務(wù)能便捷地使用移動(dòng)網(wǎng)絡(luò)的安全能力，從而讓第三方業(yè)務(wù)提供商有更多的時(shí)間和精力專(zhuān)注于具體應(yīng)用業(yè)務(wù)邏輯的開(kāi)發(fā)， 進(jìn)而快速、靈活地部署各種新業(yè)務(wù)，以滿足用戶不斷變化的需求；同時(shí)運(yùn)營(yíng)商通過(guò) API 接口開(kāi)放 5G 網(wǎng)絡(luò)安全能力，讓運(yùn)營(yíng)商的網(wǎng)絡(luò)安全能力

33、深入地滲透到第三方業(yè)務(wù)生態(tài)環(huán)境中，進(jìn)而增強(qiáng)用戶黏性，拓展運(yùn)營(yíng)商的業(yè)務(wù)收入來(lái)源。開(kāi)放的 5G 網(wǎng)絡(luò)安全能力主要包括（但不限于）：基于網(wǎng)絡(luò)接入認(rèn)證向第三方提供業(yè)務(wù)層的訪問(wèn)認(rèn)證，即如果業(yè)務(wù)層與網(wǎng)絡(luò)層互信時(shí)用戶在通過(guò)網(wǎng)絡(luò)接入認(rèn)證后可以直接訪問(wèn)第三方業(yè)務(wù)，簡(jiǎn)化用戶訪問(wèn)業(yè)務(wù)認(rèn)證的同時(shí)也提高了業(yè)務(wù)訪問(wèn)效率；基于終端智能卡（如 UICC/eUICC/ iUICC）的安全能力，拓展業(yè)務(wù)層的認(rèn)證維度，增強(qiáng)業(yè)務(wù)認(rèn)證的安全性。5.5 靈活多樣的安全憑證管理由于 5G 網(wǎng)絡(luò)需要支持多種接入技術(shù)（如 WLAN 、LTE、固定網(wǎng)絡(luò)、 5G 新無(wú)線接入技術(shù)），以及支持多樣的終端設(shè)備， 如部分設(shè)備能力強(qiáng)， 支持(U)SIM 卡

34、安全機(jī)制； 部分設(shè)備能力較弱， 僅支持輕量級(jí)的安全功能， 于是， 存在多種安全憑證， 如對(duì)稱安全憑證和非對(duì)稱安全憑證。因此， 5G 網(wǎng)絡(luò)安全需要支持多種安全憑證的管理，包括對(duì)稱安全憑證管理和非對(duì)稱安全憑證管理。 對(duì)稱安全憑證管理對(duì)稱安全憑證管理機(jī)制，便于運(yùn)營(yíng)商對(duì)于用戶的集中化管理。如，基于(U)SIM 卡的數(shù)字身份管理，是一種典型的對(duì)稱安全憑證管理，其認(rèn)證機(jī)制已得到業(yè)務(wù)提供者和用戶廣泛的信賴。 非對(duì)稱安全憑證管理采用非對(duì)稱安全憑證管理可以實(shí)現(xiàn)物聯(lián)網(wǎng)場(chǎng)景下的身份管理和接入認(rèn)證，縮短認(rèn)證鏈條， 實(shí)現(xiàn)快速安全接入， 降低認(rèn)證開(kāi)銷(xiāo)； 同時(shí)緩解核心網(wǎng)壓力， 規(guī)避信令風(fēng)暴以及認(rèn)證 13 節(jié)點(diǎn)高度集中帶來(lái)的

35、瓶頸風(fēng)險(xiǎn)。面向物聯(lián)網(wǎng)成百上千億的連接，基于(U)SIM 卡的單用戶認(rèn)證方案成本高昂，為了降低物聯(lián)網(wǎng)設(shè)備在認(rèn)證和身份管理方面的成本，可采用非對(duì)稱安全憑證管理機(jī)制。非對(duì)稱安全憑證管理主要包括以下兩類(lèi)分支：證書(shū)機(jī)制和基于身份安全 IBC （基于身份密碼學(xué)） 機(jī)制。 其中證書(shū)機(jī)制是應(yīng)用較為成熟的非對(duì)稱安全憑證管理機(jī)制，已廣泛應(yīng)用于金融和CA （證書(shū)中心）等業(yè)務(wù)，不過(guò)證書(shū)復(fù)雜度較高； 而基于 IBC 的身份管理， 設(shè)備 ID 可以作為其公鑰， 在認(rèn)證時(shí)不需要發(fā)送證書(shū)， 具有傳輸效率高的優(yōu)勢(shì)。 IBC 所對(duì)應(yīng)的身份管理與網(wǎng)絡(luò)/應(yīng)用 ID 易于關(guān)聯(lián)， 可以靈活制定或修改身份管理策略。非對(duì)稱密鑰體制具有天然的

36、去中心化特點(diǎn)， 無(wú)需在網(wǎng)絡(luò)側(cè)保存所有終端設(shè)備的密鑰，無(wú)需部署永久在線的集中式身份管理節(jié)點(diǎn)。網(wǎng)絡(luò)認(rèn)證節(jié)點(diǎn)可以采用去中心化部署方式，如下移至網(wǎng)絡(luò)邊緣，終端和網(wǎng)絡(luò)的認(rèn)證無(wú)需訪問(wèn)網(wǎng)絡(luò)中心的用戶身份數(shù)據(jù)庫(kù)。去中心化部署方式示意如圖 5 所示。運(yùn)營(yíng)商密鑰管理中心密鑰生成中心行業(yè)用戶身份管理中心行業(yè)行業(yè)行業(yè)身份管理服 務(wù)器網(wǎng)元身份管理中心終端設(shè)備 終端設(shè)備行業(yè)行業(yè)身份管理服 務(wù)器認(rèn)證節(jié)點(diǎn) 認(rèn)證節(jié)點(diǎn) 認(rèn)證節(jié)點(diǎn)密鑰分發(fā)（離線）認(rèn)證交互（在線）終端設(shè)備 終端設(shè)備圖 5 去中心化安全管理部署示意圖5.6 按需的用戶隱私保護(hù)5G 網(wǎng)絡(luò)涉及多種網(wǎng)絡(luò)接入類(lèi)型并兼容垂直行業(yè)應(yīng)用，用戶隱私信息在多種網(wǎng)絡(luò)、服務(wù)、應(yīng)用及網(wǎng)絡(luò)設(shè)備

37、中存儲(chǔ)使用，因此， 5G 網(wǎng)絡(luò)需要支持安全、靈活、按需的隱私保護(hù)機(jī)制。 14 隱私保護(hù)類(lèi)型5G 網(wǎng)絡(luò)對(duì)用戶隱私的保護(hù)可以分為以下幾類(lèi)： 身份標(biāo)識(shí)保護(hù)用戶身份是用戶隱私的重要組成部分， 5G 網(wǎng)絡(luò)使用加密技術(shù)、匿名化技術(shù)等為臨時(shí)身份標(biāo)識(shí)、永久身份標(biāo)識(shí)、設(shè)備身份標(biāo)識(shí)、網(wǎng)絡(luò)切片標(biāo)識(shí)等身份標(biāo)識(shí)提供保護(hù)。 位置信息保護(hù)5G 網(wǎng)絡(luò)中海量的用戶設(shè)備及其應(yīng)用，產(chǎn)生大量用戶位置相關(guān)的信息，如定位信息、軌跡信息等， 5G 網(wǎng)絡(luò)使用加密等技術(shù)提供對(duì)位置信息的保護(hù)，并可防止通過(guò)位置信息分析和預(yù)測(cè)用戶軌跡。 服務(wù)信息保護(hù)相比 4G 網(wǎng)絡(luò)， 5G 網(wǎng)絡(luò)中的服務(wù)將更加多樣化，用戶對(duì)使用服務(wù)產(chǎn)生的信息保護(hù)需求增強(qiáng)， 用戶服務(wù)

38、信息主要包括用戶使用的服務(wù)類(lèi)型、服務(wù)內(nèi)容等， 5G 網(wǎng)絡(luò)使用機(jī)密性、完整性保護(hù)等技術(shù)對(duì)服務(wù)信息提供保護(hù)。 隱私保護(hù)能力在服務(wù)和網(wǎng)絡(luò)應(yīng)用中， 不同的用戶隱私類(lèi)型保護(hù)需求不盡相同， 存在差異性， 因此需要網(wǎng)絡(luò)提供靈活、按需的隱私保護(hù)能力。 提供差異化隱私保護(hù)能力5G 網(wǎng)絡(luò)能夠針對(duì)不同的應(yīng)用、不同的服務(wù)，靈活設(shè)定隱私保護(hù)范圍和保護(hù)強(qiáng)度（如提供機(jī)密性保護(hù)、提供機(jī)密性和完整性保護(hù)等），提供差異化隱私保護(hù)能力。 提供用戶偏好保護(hù)能力5G 網(wǎng)絡(luò)能夠根據(jù)用戶需求，為用戶提供設(shè)置隱私保護(hù)偏好的能力，同時(shí)具備隱私保護(hù)的可配置、可視化能力。 提供用戶行為保護(hù)能力5G 網(wǎng)絡(luò)中業(yè)務(wù)和場(chǎng)景的多樣性，以及網(wǎng)絡(luò)的開(kāi)放性，使得

39、用戶隱私信息可能從封閉的平臺(tái)轉(zhuǎn)移到開(kāi)放的平臺(tái)上，因此需要對(duì)用戶行為相關(guān)的數(shù)據(jù)分析提供保護(hù)，防止從公開(kāi)信息中挖掘和分析出用戶隱私信息。 隱私保護(hù)技術(shù) 15 5G 網(wǎng)絡(luò)可提供多樣化的技術(shù)手段對(duì)用戶隱私進(jìn)行保護(hù)， 使用基于密碼學(xué)的機(jī)密性保護(hù)、完整性保護(hù)、 匿名化技術(shù)等對(duì)用戶身份進(jìn)行保護(hù)，使用基于密碼學(xué)的機(jī)密性保護(hù)、完整性保護(hù)對(duì)位置信息、服務(wù)信息進(jìn)行保護(hù)。為提供差異化隱私保護(hù)能力，網(wǎng)絡(luò)通過(guò)安全策略可配置和可視化技術(shù)，以及可配置的隱私保護(hù)偏好技術(shù)，實(shí)現(xiàn)對(duì)隱私信息保護(hù)范圍和保護(hù)強(qiáng)度的靈活選擇；采用大數(shù)據(jù)分析相關(guān)的保護(hù)技術(shù)，實(shí)現(xiàn)對(duì)用戶行為相關(guān)數(shù)據(jù)的安全保護(hù)。6 5G 安全標(biāo)準(zhǔn)化建議6.1 總體目標(biāo)IMT-2020(5G)推進(jìn)組全力支持在 ITU 和 3GPP 框架下研制全球統(tǒng)一