马洪涛:开场的时候我说过,现场每一位都可以说是互联网安全的守护者,接下来,要上场的这位特别令人尊敬的互联网学者,我更愿意把他称作我们互联网安全的守望者,他就是中国工程院院士,中国互联网协会理事长邬贺铨先生,掌声有请邬老!

邬贺铨:尊敬的来自网信办、工信部、公安部、网络安全主管部门的领导,腾讯公司的领导,各位领导,各位专家,早上好!我的报告题目是“网络新技术与安全新挑战”,主要是从5G来看看网络安全。这是5G的技术,底下是各类终端、无线接入网、光纤传输承载网、转发面(包括第一层、第二层、第三层)、网络虚拟化技术、业务互联网技术;顶端是云,当然,离不开安全和网关技术的支撑。

5G无线技术。

thum/20180828/5b856e2e467aa.JPG

经过了第一代移动通讯,一个蜂窝小区以频率不同来区分用户,我们叫频分多址,GSM是个蜂窝小区,以10系来区分用户,这是十分多址,3G是CDMA马分多址,4G是近交平分多址,通过空间频率、码道等各种方式来实现更好的峰值速率的支持;OFDMA 4G峰值速率可以到100M,5G更进一步,目前明确它是CP-OFDM增强移动宽带的多子技术。移动通信的十年一代,峰值速率十年1000倍。

用什么办法支撑5G的技术,(图)圆圈外圈是5G,红线是4G,5G和4G比,用户数据速率提升4倍,移动信提升1倍,支持500公里时速的高铁,无线接口延迟减少90%,落到1毫秒,连接密度提升10倍,支持1平方公里100万个传感器联网,能效提高100倍,流量密度提高100倍,峰值速率提高100倍。它靠什么手段支撑能力的提升呢?主要根据网络理论“相融理论”,把基站数增加,蜂窝做得越来越密,天线数增加,现在做到64根天线/128根天线,把频谱展宽,当然还要提高信噪比。

thum/20180828/5b856e3b5bed0.JPG

通过这种技术,从1G到4G是面向个人通信的,5G扩展到工业互联网和智慧城市的应用,支撑了三大应用场景,增强移动宽带,超可靠、低时延,光覆盖、大连接。当然,这些应用也带来一些新的安全问题,比如频率高,把基站功率做得太大,运营成本很高,只能做大量的小站,小站很密,很难优化。所以,现在实现宏蜂窝和微蜂窝联合组网。

用户面走的是微蜂窝,可是不能来回切换,所以信令走的是宏蜂窝,上令微蜂窝走的时候信令是没有变的,宏蜂窝负责广覆盖,微蜂窝负责热点覆盖。信令和用户面分离,所以,控制面和数据面们里了,这两者不是一样的。可以看到,用户原来是接的一个蜂窝,现在信令接的宏蜂窝,用户面不一定是最近的那个蜂窝,也许看哪个蜂窝流量更好,适应性更强。

上下行会解耦,5G因为频率高,它是多天线,下行可以比较远,上行比较近,如果在蜂窝边缘,可能上行的信号质量就不好了。怎么办呢?在蜂窝边缘的时候,下行走的是5G,上行走到4G上面去了,也就是上下行是分离的。传统的小区不论用户面、控制面,上行、下行都在一个蜂窝小区,而5G控制面走到了宏蜂窝,用户面走到微蜂窝,而且用户面上行下行走的是不同的小区,甚至一个是5G,一个是4G。这种情况,传统的4G安全机制是没有考虑到这种密集异构组网的安全威胁下的。

thum/20180828/5b856e486c82a.JPG

现在的5G终端既可以接到5G也可以接到4G,甚至可以接到Wi-Fi,甚至终端到终端,不经过网络。刚才说了,信令可能走的另外一个渠道,也就是说接入的技术是多种多样的,接入的小区也不是仅仅一个,是可以选择的。按照用户的行为、偏好、终端、网络状态及能力,网络要找最好的用户体验,实现用户中心组网。

这带来什么问题,来自不同网络系统,5G、4G、3G、Wi-Fi,不同接入技术,不同类型站点(宏蜂窝、小蜂窝、微蜂窝)并行接入,这是常态,和原来的4G不一样,所以采用跨越底层异构多层无线接入网的统一认证框架,来实现适用于不同应用场景的灵活高效的双向认证。

通常移动用户新入网的时候,3G、4G会发送一个长期身份标识(IMSI)到网络上,这是明文的,所以很容易用户身份被泄露。现在5G在USIM卡上,首先接收运营商广播的公钥,然后系这个公钥将用户长期的身份加密,网络方面是用私钥来解密,虽然公钥是广播的,谁都可以收到,但公钥加密的形式是不能用公钥来解密,只能用私钥来解密。所以,用户的身份不会被窃听,目前加密方案已经标准化了。

一个明文是用户的长期身份,通过从网络获得的公开密钥,拿这个公开密钥来加密,加出个密文来,接收方有个私钥,它是和公钥对应的,网络方是可以解密的。这种公钥的传输在网络上,别人是查不到的。实际上,只要把网络获得了用户的身份,后续网络就不直接用用户的身份了,网络会给用户分配一个临时的身份,后来的临时身份,你获得了也不知道真正用户的身份是什么。所以,这次5G和4G比,一个重大的改进。

认证协议。

thum/20180828/5b856e55b8fbd.JPG

因为5G设备种类已经不再单一,也不见得都是手机,甚至可以是工业互联网的机器,也可能是高速公路上的汽车,很难为不同的进入5G设备发统一的身份凭证,而且往往用到垂直行业本身会有特定的认证。

因此,5G不仅仅是用USIM卡为基础的单一身份,是用灵活多身份,这种多身份产生、发放、撤销一直到多身份生命周期的管理都是5G所需要解决的。认证协议要支持3GPP的接入,非3GPP的接入,比如Wi-Fi等等。所以,要使用,除了原有硬件以外,有可能会加上第三方的认证,5G有可能在垂直行业应用,所以垂直行业还有它的验证。

传统的认证是网络和终端是一对一的,可是在物联网上,5G要支持物联网,一平方公里要100万个传感器上网,如果一个一个传感器单独认证,时间非常耗费,甚至如果同时认证,都是点到点的话,那就会造成整个网络瘫痪。所以,对物联网5G的认证要使用群主认证,一组一组来做,而不是一个一个来做。

车联网可能有V2V,汽车到汽车,两者直接通信,没有通过互联网的。汽车对汽车之间也要快速的相互认证。

我们不能完全让物联网的认证都上到核心网来做,所以,我们对物联网的认证,会把认证的节点下沉到网络边缘上,移动边缘计算,这样可以分散,不至于认证都集中在核心网上。

在话音通信的时候也可能在5G网没有全覆盖的时候回到4G,甚至到5G的数据网络质量不好的时候也会回落到4G,这时候5G尽管把认证提得很高,可是一旦回落,就回到4G了,这个时候,4G的安全不一定能达到5G这么好。所以,在5G上面要考虑到,当它要回落的时候,怎么保证不会遭受降维的攻击。

thum/20180828/5b856e79846cb.JPG

用户面及控制面以及信令的加密,5G应用场景很丰富,比如控制面要保证控制平面的机密性/完整性,所以要加密;用户面也要进行加密,4G里是没有这个情况的。信令,包括空口的信令也都要加密。非3GPP的接入,Wi-Fi这类接入,也要考虑加密。特别是5G网络切片要进行加密,和4G的后向兼容。这里新的密钥要支持尝试化的密钥,也就是说这里有不同的密钥,是分层的,要考虑认证机制的变化,切片的引入以及用户面的完整性。

5G终端也有安全性的要求,通用的要求,包括用户和信令数据机密性的保护,签约凭证的安全存储处理,用户隐私保护等等这些4G也有。5G终端特殊的要求是什么呢?有一类5G终端是高可靠、低时延,就是车联网这种终端,需要支持高安全、高可靠的安全机制,相对于一般的终端安全更要求高。对于mMTC终端物联网大连接终端,本身传感器是比较简单的,需要低功耗,所以认证安全算法也需要轻量级的安全算法,否则太费功耗了。对于专用的行业要用专用的芯片,比如汽车要有定制的操作系统等等。

刚才腾讯的丁总谈到发现伪基站,5G也要考虑应对5G基站,它有个特殊功能,基于网络和UE辅助,UE终端设备负责收集信息,将相邻基站以及可能出现的伪基站,需要把基站上面的信息和信号强度上报给网络。伪基站通常是通过非常强的信号把用户吸引到这里来,太强的信号表示网络是异常的。根据网络拓扑配置信息进行分析,确认这个小区是不是有伪基站,通过GPS、北斗等等定位就可以锁定伪基站的位置,发现伪基站。所以,5G已经事先考虑好的,怎么主动地发现和打击这个伪基站。

现在很多都用云计算,云计算是形式化、集约化的理念,但在一些应用上不能什么东西都上到云,比如视频业务如果都上到云,大量的流量要占用核心网的带宽,如果虚拟现实、增强现实都上到云端,传输的路径比较长,响应就比较慢。特别是车联网、远程医疗都要求快速响应。所以,现在除了云计算又提出物计算,比云矮一些。5G提出了移动边缘计算,把计算能力下沉到靠近基站甚至就放在基站,这样路径很短,响应很快。当然,移动边缘计算没有中文的名字,我给它暂时起了一个计算霾计算,比云雾一点,这样处理得更快。这是移动边缘计算的体系,里面有主机,也有系统。

thum/20180828/5b856e8aaed15.JPG

移动边缘系统服务器可以部署在网络会聚点,也可以部署在基站,流量能够以更短的路由完成客户到服务器的传递,可以缓解基站的攻击,环节少了,基站遭受的攻击少了。MEC通过对数据包的深度包解析来识别业务和用户,并进行差异化的无线资源分配和数据包的时延保证,因为它很安全,但散落在底下很多,本身的安全也是特别需要关注的。

SDN(软件定义网),传统路由器是节点控制功能和传送转发功能合二为一的,随着大数据的出现,数据时空不确定性,所以我们把控制功能抽出来成为网络操作系统,把应用功能叶抽出来,这样由网络操作系统来指挥路由器,每个路由器只有传送转发功能,它可以全网优化这个路由,这实际是软件定义网络。 

传统的做个交换机专用硬件,专用操作系统、中间件,路由器也一样,网关也一样。研究底层都是通用的,基于X86的硬件通用了,上层只是软件有所不同,这样我们叫网络功能虚拟化(NFV),当我们需要网源需要交换机就变成交换机,需要路由器就变成路由器。这样的方式使整个虚拟化在5G会广泛运用,它实现控制面和承载面的分离,控制面可以编排重构,用户面专注数据的转发。当然,这种虚拟化也带来问题,过去我们依赖物理边界的防护,认为物理上隔离了就能安全,而现在它的设备形态都会发生变化,功能都会变。

所以,你不能靠整个物理面隔离来解决安全,需要考虑在5G的环境下,怎么把SDN控制面和转发面分离,两者之间的交界能不能安全隔离呢?控制面集中了就成为黑客、木马攻击的重点。所以,你怎么能保证这个控制面能够安全。SDN还有流表,怎么保证流表的安全部署正确执行。所以,也是带来新的挑战。

5G里一个很重要的技术是网络切片,网络物理设施是不变的,但5G网络要支持多种业务,超宽带能可以做到20G的峰值,超低时延、高可靠,要求空口只有1毫秒,还有1平方公里100万个连接,它是Kbyte的带宽。带宽差了很多,对性能的要求也差很多,我们不能单靠对物理网络的改变来适应,我们物理网是不变的,逻辑上通过切片组成不同的逻辑网络,通过整个云平台网络编排使每种业务得到它应有的网络资源,达到它应该能提供的服务质量。

网络切片是5G一个重要的技术,但是切片与切片之间,是有隔离的,为A用户提供的切片不能和B用户互相串有,每个切片都需要有它的身份识别。根据这个身份,通过归属服务器,安全服务器,分配给它应该有的安全措施,超低时延高可靠需要特别的安全,超宽带也需要安全,在物联网里,一般的物联网要求不高,车联网要求特别得安全。所以,在这里,要通过切片和安全之间有一定的绑定关系。 

切片需要编排,这里叫编排器,这里有两类编排器,底下是先伺(音)编排器,绿色的是服务编排器,5G通过编排器实现支撑不同的接入,使数据中心、核心网、5G接入网、机器、物联网,通过编排提供相应的服务,编排本身决定了网络特定服务的拓扑,还将决定在什么地方要加入安全机制和安全策略。

管理和管理编排过程最基本的安全需求是保证这些服务之间,他们会共享资源,但是有不同的安全保障,还有5G本身也需要在编排中提供足够的安全保证,4G是没有这个编排的,编排本身如此重要,会影响到整个网络拓扑和服务质量。因此,编排本身的安全保护就是个非常重点的问题。   

网络安全,传统运营商只有底层鼓掌管理、配置管理、告警管理、性能管理,对于5G要增加资源管理,包括虚拟网络功能的管理,刚才说到切片,网络功能虚拟化是针对某一个应用,某一个会话提出来的,当应用结束的时候它要断开重新组织。所以,这些切片本身是有生命周期的。端到端的编排也有生命周期,这本身的管理是非常重要的,这是4G所没有的。

其中也包括安全态势的管理和监测预警,它会应用到各类安全探针,对安全事件进行上报,以深度学习手段发现和检测攻击。同时根据威胁程度生成安全策略的调整,这种策略还下发到网络里每个设备,包括安全设备,保证构建起一个安全的防护体系。

5G和4G有个很重要的不同是业务的生成,4G运营商的业务是运营商来管理的,运营商来生成的。5G,虽然我们说有三大应用场景,但5G本身很多具体化的业务是不知道的,就像3G的时候,我们根本没有想到会有微信。所以,5G会面对很多可能没有想到的业务,所以5G把业务改成什么呢?App,就像现在终端App一样。

网络的业务也是不同的App,你需要增加哪种业务就增加一个App,未来5G还可以和广播做在一起,增加各种各类的App,这种方式非常灵活,带来很多好处。网络功能在4G是按网元组合的,在5G是按照API、App的功能组合的,业务被定义为自包含、可再用和独立管理,这种业务的解耦便于快速部署和维护网络,也很好适应了切片的要求,而且它会使用HTTP的API接口,很容易开发和调用网络服务。

这里有两个网元是直接服务于网络安全的,一是AUSF(认证服务功能),处理接入的认证服务;二是SEPP(安全边缘保护代理),主要是运营商之间怎么保证互相的安全。

用App的办法实现网络能力的开放,5G会提供移动性、会话和QoS和计费等功能的接口,运营商会开放接口能力组织网络,5G还会开放管理和编排能力,第三方还可以独立地利用运营商开放的管理能力和编排能力,实现它的网络部署、更新和扩容。

这是好的方面。对安全带来的问题,现在的移动通讯系统是封闭的,5G是开放的,开放过程中,可能出现信源问题,有人恶意地利用5G的开放,恶意的第三方来操控和管理这个网络,并对网络实现攻击,包括APT、DDoS等等,这样影响就更大了。用户设备种类繁多,网络也是虚拟化的,用户移动网络运营商,基础设施提供商之间互相交互很多,彼此之间的信任问题也比以前的网络负责,在网络对外服务方面,服务也需要认证,有没有可能引起冲突,包括相关权限的控制和安全审计。

过去4G、3G、2G通信协议基本上是移动通信专用的协议,5G不论是控制面还是用户面,它都会靠互联网的协议,传输层用的TCP,应用层用的是HTTP/2,上层也是,整个往互联网靠。5G网络采用互联网协议,互联网协议上的漏洞,把它利用漏洞和渗透的测试工具,也也很容易渗透到5G上,所以所有5G新的应用既带来好处业带来安全挑战,它是双刃剑的。

thum/20180828/5b856e9b44789.JPG

刚才说的车联网,有V2V汽车到车的,还有移动边缘计算,还有V2I、V2N等各种各样。车联网要求空口时延低于1ms(毫秒),而传统的认证加密流程通常都比1毫秒长,所以,怎么样适应车联网的要求,安全协议也要考虑低时延,所以要简化和优化原有安全上下文管理流程等。车与车之间可能会不通过网络直接通信,这靠谁来验证呢?需要车与车之间相互认证,

物联网NB-IOT,在5G里还会开发多种物联网,NB-IOT是固定的,在工厂里,机器人,被加工的工件是移动的,车联网也是移动的,所以在5G里开放支持移动的传感器,我们家里面的扫地机器人,工厂的机器,走路的时候可能碰到障碍,他要发出声音而传统的NB-IOT是没有话音的,5G还会有的中多样的物联网标准出现。通常物联网终端是受限的,海量环节是复杂的,容易受到攻击,所以,安全问题特别受重视。如果每个设备每条消息都要单独印证的话,上百万个终端都要到网络认证,可能这种信令的请求就会超过网络处理能力,会引发信令风暴。

所以,5G要有群主认证机制,必须轻量化,不能增加传感器的能耗。100万个传感器如果都被木马控制了,会形成很大的DDoS,所以考虑窄带物联网终端被攻击者劫持以后怎么利用。

这是5G安全防护架构,有几大防护,最左边一个圆圈(图)是用户安全防护,底下是3GPP、非GGPP接入,中间有核心网的防护,上面有接口公共域的防护,在顶上有应用领域的防护,最右侧有管理领域的防护,总之有6大防护领域是5G都需要关注的。

谢谢大家!