5G核心网技术基础自学系列 | 5G系统的安全要求和安全服务

Posted 2022-11-26 COCOgsta

书籍来源：《5G核心网 赋能数字化时代》

一边学习一边整理内容，并与大家分享，侵权即删，谢谢支持！

附上汇总贴：5G核心网技术基础自学系列 | 汇总_COCOgsta的博客-CSDN博客

---

8.2.1 安全要求

在设计5G系统时， 3GPP达成了5G标准的总体安全要求。这包括对系统的总体要求以支持例如用户鉴权和授权、UE与网络之间的加密和完整性保护的使用等。每个实体(例如， UE、基站(gNB、eNB) 、AMF、UDM等) 也都有自己的安全要求， 其中包括安全存储、处理签约凭证和密钥的要求，对特定加密和完整性保护算法的支持等。下面在讨论5G系统中的不同安全功能时，将更详细地描述其中的一些安全要求。感兴趣的读者也可以参看3GPP TS 33.501中描述的安全要求。

8.2.2 安全服务

在我们探讨5GS具体的安全机制之前，简单介绍对蜂窝网络来说重要的基本安全概念可能是有益的。

在准许用户接入网络之前，通常必须执行鉴权(尽管根据当地法规对诸如紧急呼叫之类的监管服务可以做例外处理)。在鉴权过程中，用户证明自己所声称的身份。在5GS中，用户和网络需要相互鉴权，即网络要对用户进行鉴权，而用户也要对网络进行鉴权。鉴权过程中，每一方都要证明自己可以获取仅参与方知道的秘密，例如密码和密钥。

网络对用户是否有权访问所请求的服务进行授权，例如使用特定的接入网络来访问5G服务。这意味着用户必须对所请求的服务类型具有适当的权利(即签约)。接入网的授权通常与鉴权同时进行。应该注意的是，取决于用户请求什么服务，在网络的不同部分和不同情况下可能需要不同种类的授权，例如，网络可以授权使用某种接入技术、某种数据网络、某种QoS配置文件、某种比特率、对某些服务的访问等。

一旦授予用户访问权限，就需要保护UE与网络之间以及网络内不同实体之间的信令流量和用户面流量，为此可以使用加密和完整性保护。加密和完整性保护服务于不同的目的，并且对它们的需求因流量的不同而各异。通过加密，我们确保传输的信息仅对预期的接收端可读。为达到这一目的，发送端对发送的数据进行修改，这样除了可接触正确的密钥的实体外，其他任何设法拦截数据者都无法读取数据。另一方面，完整性保护是一种检测到达目标接收端的数据是否已被(发送者和接收者之间的攻击者)篡改的手段。如果数据已被修改，则完整性保护可确保接收端能够检测到。此外，数据保护可以在协议栈的不同层面上完成，并且正如我们将看到的，5GS根据接口和流量类型在协议层2和层3上都支持数据保护功能。下面将对此进行详细说明。

为了加解密以及执行完整性保护，发送和接收的实体需要加密密钥。使用同一密钥达到所有的目的(包括鉴权、加密、完整性保护等)似乎很诱人，但是，通常应避免多个目的使用同一密钥。一个原因是，如果将相同的密钥用于鉴权和数据保护，则通过破解加密算法设法恢复加密密钥的攻击者，将同时获得也可用于鉴权和完整性保护的密钥。此外，一次访问中使用的密钥不应与另一次访问中使用的密钥相同。如果它们是相同的，则攻击者在具有弱安全功能的一次访问中恢复的密钥可以重复使用，以破坏具有强安全功能的访问，因而出现的后果是，一种算法或访问的弱点蔓延到其他过程或访问。为了避免这种情况，用于不同目的和用于不同访问的密钥应该是不同的，设法恢复其中一个密钥的攻击者应该不能获得关于其他密钥的任何有用信息。该属性称为密钥分离，正如我们将看到的，这是5GS安全设计的一个重要方面。为了实现密钥分离，派生出了用于不同目的的不同密钥。密钥可以在鉴权过程中导出，以及在移动性事件中、在UE转换到连接状态时导出。

隐私保护是另一个重要的安全功能。隐私保护是指可用于确保有关用户的信息不会对其他人可用的功能。例如，它可以包括确保永久用户ID不会通过空口以明文形式发送。如果此类信息是通过空口发送，则意味着窃听者可以检测到用户的移动和出行方式。

各个国家和地区的机构(例如欧盟)的法律和法规通常定义了拦截电信数据和相关信息的需求。这被称为合法监听，执法机构可以根据法律法规进行使用。

8.2.3 安全域

8.2.3.1 概述

为了描述5GS的不同安全功能，将整个安全架构划分为不同的安全域很有帮助。每个域可能都有自己的一组安全威胁和安全解决方案。3GPP TS 33.501将安全架构分为不同的组或域：

1)网络接入安全。

2)网络域安全。

3)用户域安全。

4)应用域安全。

5)SBA域安全。

6)安全的可见性和可配置性。

1~4和6组与4G/EPC相应的组非常类似。相比于4G/EPC， 第5组是新加的。

第1组只针对每种接入技术(NG-RAN， 非3GPP接入， 而其他组对于所有接入都是通用的。图8.1提供了不同安全域的示意图。

图8.1 安全架构概览

8.2.3.2 网络接入安全

网络接入安全是指为用户提供网络接入的安全性功能，这包括相互鉴权以及隐私功能。此外，还包括对接入中的信令数据和用户面数据的保护。该保护可以提供数据的机密性和完整性保护。网络接入安全通常具有接入特定的组件，即不同的接入技术之间的详细解决方案、算法等有所不同。随着5GS的到来，在很大程度上各种接入技术之间实现了融合， 例如， 它们使用通用的接入鉴权。5GS现在允许NAS上的鉴权可同时用于3GPP和非3GPP接人技术。本章后面将提供更多详细信息。

8.2.3.3 网络域安全

移动网络包含许多网络功能以及它们之间的参考点。网络域安全是指支持这些网络功能安全地交换数据并保护它们之间的网络免受攻击的能力， 包括在同一个PLMN内的NF之间以及在不同PLMN的NF之间。

8.2.3.4 用户域安全

用户域安全是指确保对终端的物理访问的一组安全功能。例如，用户可能需要先输入PIN码，然后才能访问终端或使用终端中的SIM卡。

8.2.3.5 应用域安全

应用域安全是HTTP(用于Web访问) 或IMS等应用所使用的安全性功能。应用域安全通常是端到端的，处于终端中的应用与提供服务的对等实体之间。这与前面列出的提供逐跳安全性的安全功能形成了鲜明对比，也就是说，它们仅适用于系统中的单个环节。如果链条中需要安全性的每一环节(和节点)都受到了保护，则整个端到端链条可以视为安全的。

由于应用层安全在5GS提供的用户面传输之上实施，因而对5GS透明，因此在本书中将不再讨论。

8.2.3.6 SBA域安全

SBA域安全是一组安全性功能， 这些功能支持使用基于服务的接口/API的网络功能在网络内部以及网络域之间(例如，网络域)安全地通信。在漫游的情况下，这些功能包括网络功能注册、发现和授权， 以及对基于服务的接口的保护。与4G/EPC相比， SBA域安全是一项新的安全性功能。由于SBA是5GS中3GPP的新功能， 而其他安全域已存在于4G/EPS中， 因此SBA本身被视为一个独立的安全域。

8.2.3.7 安全的可见性和可配置性

这是一组功能，可以使用户了解安全功能是否在运行，以及服务的使用和提供是否依赖于安全性功能。在大多数情况下，安全性功能对用户是透明的，并且用户不知道它们是否正在运行。但是，对于某些安全性功能，应告知用户它们的运行状态。例如，对用户数据的加密和完整性保护的使用取决于运营商的配置，并且用户应当有办法知道是否使用了它，例如通过终端屏幕上的符号。可配置性是指用户可以配置一个服务的使用或提供是否依赖于一个安全功能的运行。