歐盟5G網(wǎng)絡(luò)安全風(fēng)險評估報告解讀及啟示

張樺

（中共廣州市委黨校信息網(wǎng)絡(luò)中心，廣東廣州 510500）

1 引言

2019年10月9日，歐洲網(wǎng)絡(luò)與信息安全局（ENISA）發(fā)布了《歐盟5G網(wǎng)絡(luò)安全風(fēng)險評估報告》[1]。《報告》基于所有歐盟成員國向歐盟執(zhí)行機構(gòu)和ENISA提交的國家網(wǎng)絡(luò)安全評估情況，并借鑒立法機構(gòu)、監(jiān)管機構(gòu)、網(wǎng)絡(luò)安全、電信當(dāng)局及安全和情報服務(wù)部門的意見，評估了歐盟成員國在2020年部署5G網(wǎng)絡(luò)將面臨的可能的安全風(fēng)險挑戰(zhàn)。

這是自計算機網(wǎng)絡(luò)誕生近50年來，西方國家首次對一代通信網(wǎng)絡(luò)技術(shù)安全的高度重視。近年來，世界各國都在爭奪科技領(lǐng)域的絕對優(yōu)勢，在第五代移動通訊系統(tǒng)（5G）技術(shù)的主導(dǎo)權(quán)爭斗中，中國作為發(fā)展中國家的代表開始領(lǐng)跑世界，讓一些西方國家對中國在5G技術(shù)方面的競爭優(yōu)勢表示出強烈擔(dān)憂[3]。這種擔(dān)憂在歐盟的這份《報告》中也有體現(xiàn)，《報告》較全面地分析了歐盟在2020年部署5G將面臨的安全風(fēng)險挑戰(zhàn)，同時所展現(xiàn)的國際、區(qū)域合作的框架和接下來的應(yīng)對措施等，對我國已經(jīng)開始5G商用時代具有典型的借鑒意義。

2 《報告》解讀

《報告》分三個部分：引言、安全風(fēng)險評估和結(jié)論。引言部分介紹了《報告》出臺的相關(guān)背景及過程、評估范圍、5G網(wǎng)絡(luò)的關(guān)鍵技術(shù)革新和歐盟部署情況及各相關(guān)方；安全風(fēng)險評估部分從威脅和威脅者、網(wǎng)絡(luò)資產(chǎn)、漏洞、風(fēng)險場景和現(xiàn)有的緩解措施或安全基線等五方面予以重點闡述；結(jié)論部分著重突出了5G的新特性和應(yīng)用，著重強調(diào)對于5G網(wǎng)絡(luò)供應(yīng)商及供應(yīng)鏈依賴度的增加是歐盟考慮的主要風(fēng)險，并指出未來社會各行各業(yè)可能更廣泛地依賴5G網(wǎng)絡(luò)。《報告》指出了后續(xù)將確定一套適當(dāng)、有效的風(fēng)險管理措施，以減輕歐盟成員國在此過程中把控5G網(wǎng)絡(luò)安全風(fēng)險。

2.1 引言部分

《報告》引言部分闡述了歐盟5G網(wǎng)絡(luò)安全推進背景及過程、評估范圍、關(guān)鍵技術(shù)和5G部署。

2.1.1 推進背景及過程

推進背景主要介紹了《報告》發(fā)布之前歐盟對5G網(wǎng)絡(luò)安全所做的一些工作和在《報告》發(fā)布之后所需要完成的主要工作，如表1所示。從表1中發(fā)現(xiàn)，歐盟做為一個區(qū)域性國際合作組織，在5G網(wǎng)絡(luò)安全方面，擬打算用10個月時間完成其組織的整個5G網(wǎng)絡(luò)安全保障。可見，歐盟對5G網(wǎng)絡(luò)安全的重視和抱團取暖的趨勢。

2.1.2 評估范圍

《報告》約定評估范圍是基于歐盟委員會5G網(wǎng)絡(luò)安全建議中所定義的5G網(wǎng)絡(luò)安全范圍，主要包括5G網(wǎng)絡(luò)所有相關(guān)部分：通信設(shè)備及相關(guān)應(yīng)用。同時，《報告》指出雖然未來5G網(wǎng)絡(luò)的主要特性和功能已經(jīng)眾所周知，特別是在3GPP規(guī)范中已有的描述，但是該技術(shù)及其具體的架構(gòu)仍在發(fā)展。這會造成在風(fēng)險評估過程中會存在某些不確定性無法評估。

2.1.3 5G網(wǎng)絡(luò)的關(guān)鍵技術(shù)革新

5G網(wǎng)絡(luò)的關(guān)鍵技術(shù)革新是《報告》確定5G網(wǎng)絡(luò)安全不同于以往3G/4G網(wǎng)絡(luò)安全的關(guān)鍵所在，主要表現(xiàn)在5G網(wǎng)絡(luò)更加偏重于軟件定義、網(wǎng)絡(luò)功能虛擬化、網(wǎng)絡(luò)切片技術(shù)和完全獨立于3G/4G的網(wǎng)絡(luò)架構(gòu)等?！秷蟾妗氛J為,這些都加大了歐盟成員國對5G網(wǎng)絡(luò)供應(yīng)鏈上各相關(guān)方的依賴程度，而當(dāng)前那些成熟的5G供應(yīng)鏈上的相關(guān)方大多是非歐盟成員的第三國，這就是歐盟難于管控的主要風(fēng)險點所在。如表2所示，列出了5G網(wǎng)絡(luò)關(guān)鍵技術(shù)革新對歐盟所帶來的安全依賴，其實這些安全依賴方跟3G/4G網(wǎng)絡(luò)沒什么區(qū)別，就因為這些依賴方主要來自非歐盟國家的第三國，其網(wǎng)絡(luò)安全風(fēng)險才顯得尤為突出，由此可見歐盟對非歐盟國的偏見與執(zhí)著，將是非歐盟國家企業(yè)在歐盟國家部署、應(yīng)用5G面對的主要困難。

表1 歐盟5G網(wǎng)絡(luò)安全推進過程表

表2 5G網(wǎng)絡(luò)關(guān)鍵技術(shù)革新安全依賴列表

2.1.4 歐盟5G網(wǎng)絡(luò)的部署情況及網(wǎng)絡(luò)生態(tài)

報告中指出5G網(wǎng)絡(luò)部署的具體時間，由于歐盟成員國和移動網(wǎng)絡(luò)運營商的情況不同而有所差異。歐盟計劃2020年實現(xiàn)5G的商用。部署計劃分階段實施，在第一階段（非常短或短期內(nèi)完成），5G部署主要涵蓋非獨立的網(wǎng)絡(luò)，在網(wǎng)絡(luò)接入層完成無線接入網(wǎng)升級到5G，主干依然使用現(xiàn)有的4G核心網(wǎng)絡(luò)，只為終端用戶提供增強的移動寬帶。在后續(xù)階段（短期或中期長期），部署“獨立”的5G網(wǎng)絡(luò),實現(xiàn)5G核心網(wǎng)絡(luò)功能，完成主干4G核心網(wǎng)的取代，實現(xiàn)5G網(wǎng)絡(luò)的全面部署。同時，報告指出5G網(wǎng)絡(luò)生態(tài)包括：5G網(wǎng)絡(luò)運營商、5G網(wǎng)絡(luò)運營商供應(yīng)商、連接設(shè)備制造商和相關(guān)服務(wù)提供商、5G網(wǎng)絡(luò)服務(wù)、內(nèi)容提供商、終端用戶等。

2.2 5G網(wǎng)絡(luò)安全風(fēng)險評估部分

5G網(wǎng)絡(luò)安全風(fēng)險評估是《報告》的重點，主要從主要威脅、網(wǎng)絡(luò)資產(chǎn)、漏洞和風(fēng)險場景等幾個方面展開。

2.2.1 威脅和威脅者

《報告》指出，在威脅和威脅者方面最顯著特征是供應(yīng)鏈攻擊的增加?！秷蟾妗氛J為，最相關(guān)的威脅還是傳統(tǒng)的威脅，傳統(tǒng)的威脅類別與機密性、可用性和完整性等有關(guān)。與現(xiàn)有3G/4G的網(wǎng)絡(luò)威脅相比，一個重要的區(qū)別在于威脅潛在影響的性質(zhì)和強度。特別是經(jīng)濟和社會功能對5G網(wǎng)絡(luò)依賴程度較大的那些行業(yè)和領(lǐng)域，如果發(fā)生網(wǎng)絡(luò)中斷或網(wǎng)絡(luò)異常，可能會帶來比3G/4G網(wǎng)絡(luò)更惡劣的負面后果。因此，《報告》認為，除了現(xiàn)有的保密性和隱私性要求外，這些網(wǎng)絡(luò)的完整性和可用性也將成為主要問題。如表3所示，歸納了《報告》中針對5G網(wǎng)絡(luò)威脅場景所需的安全保障。可見，這些安全保障需求跟3G4G沒有任何特別之處，只是5G網(wǎng)絡(luò)的應(yīng)用面和影響面更加凸顯了這些安全保障需求。

對于5G網(wǎng)絡(luò)安全威脅者，《報告》著重從威脅者的能力（能調(diào)動的資源）和動機（攻擊的意圖）兩個方面進行了評估，得出國家或國家支持的威脅者構(gòu)成的威脅被認為具有最高的危險性。原因是這類威脅者有動機和意圖，同時也有能力對5G網(wǎng)絡(luò)進行持續(xù)而復(fù)雜的攻擊，而這種威脅者多來自非歐盟國家。另外，《報告》指出內(nèi)部人員或分包商（被視為潛在的威脅者），以5G網(wǎng)絡(luò)為目標(biāo)來服務(wù)于利益組織等。對于內(nèi)部人員或分包商強調(diào)，如果有國家利用他們，他們可以作為國家獲取關(guān)鍵目標(biāo)的有利渠道。以5G網(wǎng)絡(luò)為目標(biāo)以服務(wù)于他們利益的組織或企業(yè)實體等威脅者也是不容忽視的，因為他們常尋求通過知識產(chǎn)權(quán)盜竊或網(wǎng)絡(luò)恐怖分子在技術(shù)領(lǐng)域獲得競爭優(yōu)勢等這些威脅者都不容小覷。如表4所示，描述了各成員國評估的各種威脅類型情況，從這些類型來看，主要威脅是人為威脅，值得注意的是歐盟雖強調(diào)了自身的威脅者來源，但是也不排除歐盟出于各種目的抱團對其他非歐盟成員國造成威脅。

表3 5G網(wǎng)絡(luò)的威脅場景所需的安全保障

2.2.2 網(wǎng)絡(luò)資產(chǎn)

網(wǎng)絡(luò)資產(chǎn)是5G網(wǎng)絡(luò)通信的載體，承載著5G網(wǎng)絡(luò)的各項具體功能?！秷蟾妗犯鶕?jù)成員國提供的本國風(fēng)險評估對主要網(wǎng)絡(luò)資產(chǎn)的重要性進行了評估?！秷蟾妗返恼麄€邏輯將網(wǎng)絡(luò)資產(chǎn)按照邏輯部分和功能部分兩層展開，如表5所示列出了報告對網(wǎng)絡(luò)資產(chǎn)評估情況。從表5中發(fā)現(xiàn)，對這些網(wǎng)絡(luò)資產(chǎn)風(fēng)險程度的評估直接涉及5G網(wǎng)絡(luò)設(shè)備及技術(shù)功能層面，可見歐盟成員國對5G網(wǎng)絡(luò)結(jié)構(gòu)及技術(shù)細節(jié)有全面的了解和認識。

同時，《報告》還評估了技術(shù)資產(chǎn)以外的資產(chǎn)，例如用戶組、地理區(qū)域、關(guān)鍵基礎(chǔ)設(shè)施中相關(guān)實體的重要性影響。特別強調(diào)注意實體和用戶類別有：基本服務(wù)運營商和關(guān)鍵基礎(chǔ)設(shè)施運營商；政府實體、執(zhí)法、公共保護和救災(zāi)、軍事；網(wǎng)絡(luò)安全法規(guī)未涵蓋的關(guān)鍵行業(yè)或?qū)嶓w；戰(zhàn)略性的私營企業(yè)；特別是在5G網(wǎng)絡(luò)出現(xiàn)故障時沒有備用解決方案的地區(qū)或?qū)嶓w等。此外，還要注意一些成員國根據(jù)對人口、經(jīng)濟、社會和國家安全因素分析確定的特別敏感的地理區(qū)域。

2.2.3 漏洞風(fēng)險

報告重點評估了與硬件、軟件、流程和策略相關(guān)的漏洞風(fēng)險。這些漏洞可能會影響軟件、硬件或源自任何5G網(wǎng)絡(luò)供應(yīng)鏈中相關(guān)方安全流程各個方面的潛在缺陷。如表6所示，歸納了報告中有關(guān)5G網(wǎng)絡(luò)各種可能漏洞風(fēng)險及這些漏洞風(fēng)險的影響評估，從這些漏洞風(fēng)險的評估情況可以看出，歐盟對可能存在的風(fēng)險漏洞進行了詳細的收集，并進行了充分的評估，能給歐盟成員國部署5G時各流程提供風(fēng)險管控參考，這或許是歐盟部署5G風(fēng)險排查的重點所在。

2.2.4 漏洞風(fēng)險場景

《報告》在列出漏洞風(fēng)險的同時，還列出了這些漏洞具體可能存在的主要風(fēng)險場景，這些漏洞風(fēng)險場景主要從5G網(wǎng)絡(luò)運營商的安全措施、5G供應(yīng)鏈、威脅者、5G網(wǎng)絡(luò)應(yīng)用端和設(shè)備五大方面展開如表7所示，為歐盟各成員國部署5G應(yīng)用提供進一步明確的有針對性的參考。

表4 5G網(wǎng)絡(luò)安全威脅類型列表

表5 5G網(wǎng)絡(luò)資產(chǎn)評估情況

2.2.5 現(xiàn)有的緩解措施/安全基線

針對這些風(fēng)險，《報告》并沒有明確列出在部署5G網(wǎng)絡(luò)可具體操作性的指導(dǎo)和歐盟各成員國的應(yīng)對措施，只是點出了可供歐盟各成員國參考的四個層面：歐盟層面、國家層面、運營商層面和行業(yè)標(biāo)準層面，如表8所示?！秷蟾妗分攸c是呼應(yīng)背景推進過程中今后工作的重點，同時也指出了歐盟將在這些層面考慮的具體應(yīng)對措施，這為我國研究歐盟接下來的工作、提前布局提供了方向。

2.3 《報告》結(jié)論部分

《報告》結(jié)論部分對全文進行了總結(jié)，再次強調(diào)5G網(wǎng)絡(luò)架構(gòu)的新特性，廣泛性的服務(wù)和應(yīng)用將帶來一些重大安全風(fēng)險挑戰(zhàn)。雖然，5G網(wǎng)絡(luò)技術(shù)和標(biāo)準也將帶來與前幾代網(wǎng)絡(luò)相比一定程度的安全改進，但是歐盟十分重視移動網(wǎng)絡(luò)運營商和電信設(shè)備制造商等對5G網(wǎng)絡(luò)安全的保障?！秷蟾妗分赋?在歐盟提供服務(wù)的移動網(wǎng)絡(luò)運營商在所有權(quán)、市場戰(zhàn)略、市場定位以及設(shè)備、系統(tǒng)和服務(wù)供應(yīng)商選擇等方面存在諸多差異，這是是無法回避的事實。但是，強調(diào)在歐盟提供服務(wù)的移動網(wǎng)絡(luò)運營商或供應(yīng)商等都必須遵守歐盟和成員國的國家法律，即在一個法律框架，約定提供5G通信網(wǎng)絡(luò)供應(yīng)商或服務(wù)商等的權(quán)利和義務(wù)。同時，建議各成員國在國家層面應(yīng)該有專門的部門或機構(gòu)負責(zé)執(zhí)行5G網(wǎng)絡(luò)安全的特定權(quán)力和義務(wù)。

《報告》對5G網(wǎng)絡(luò)設(shè)備供應(yīng)商給予了關(guān)注，指出電信設(shè)備市場現(xiàn)在的主要情況，只有少數(shù)幾家全球公司有能力向大型電信運營商提供所需的技術(shù)。公司分別是華為、愛立信和諾基亞，并強調(diào)這些公司治理存在顯著差異，進一步說明了在透明度水平和公司所有權(quán)結(jié)構(gòu)類型等方面的擔(dān)憂，足見歐盟對非歐盟成員國企業(yè)的不信任和喪失5G科技主導(dǎo)權(quán)后對非歐盟國家的排斥而又不得不部署應(yīng)用5G的雙重矛盾。

《報告》總結(jié)了最突出的5G網(wǎng)絡(luò)安全風(fēng)險，是5G帶來的技術(shù)變革將增加攻擊者的整體攻擊面和潛在入口點數(shù)量。這是與前幾代的流動網(wǎng)絡(luò)相比，網(wǎng)絡(luò)邊緣的功能增強，架構(gòu)不集中，這意味著核心網(wǎng)絡(luò)的某些功能可能會與網(wǎng)絡(luò)的其他部分整合，使相應(yīng)的設(shè)備更敏感更重要。主要表現(xiàn)為：5G網(wǎng)絡(luò)大大增加有關(guān)軟件開發(fā)和更新流程，創(chuàng)建新的配置錯誤的風(fēng)險，這些新的技術(shù)特征將使移動網(wǎng)絡(luò)運營商更加依賴第三方供應(yīng)商，并在5G供應(yīng)鏈中發(fā)揮更大的作用；同時，這些新特性和應(yīng)用未來可能會廣泛依賴5G網(wǎng)絡(luò)；這些安全挑戰(zhàn)還與第三方供應(yīng)商更多地接入網(wǎng)絡(luò)、5G網(wǎng)絡(luò)和第三方系統(tǒng)之間的相互連接以及對單個供應(yīng)商的依賴程度有關(guān)等。這將增加可以被攻擊者利用的攻擊路徑數(shù)量，尤其非歐盟國家或政府支持的攻擊者，因為攻擊者有能力和資源來執(zhí)行攻擊歐盟成員國電信網(wǎng)絡(luò)。報告指出這些挑戰(zhàn)勢必需要一種新的安全模式，來重新評估適用于5G網(wǎng)絡(luò)安全風(fēng)險及其生態(tài)系統(tǒng)的現(xiàn)行政策和安全框架，使各成員國采取必要的減輕措施。報告最后呼吁歐盟各成員國需要確定現(xiàn)有框架和執(zhí)行機制的潛在差距，包括網(wǎng)絡(luò)安全立法的實施、公共部門的監(jiān)督作用、運營商和供應(yīng)商各自的義務(wù)和責(zé)任。這對我國商用5G發(fā)展和繼續(xù)引領(lǐng)及我國在網(wǎng)絡(luò)安全風(fēng)險管控領(lǐng)域，具有很好的借鑒意義。

表6 5G網(wǎng)絡(luò)安全風(fēng)險漏洞列表

表6 5G網(wǎng)絡(luò)安全風(fēng)險漏洞列表（續(xù)）

表7 5G網(wǎng)絡(luò)安全風(fēng)險場景列表

表8 5G網(wǎng)絡(luò)安全風(fēng)險管控安全基線

3 結(jié)束語

（1）從《報告》來看，歐盟在地區(qū)聯(lián)合上對5G網(wǎng)絡(luò)安全給予了相當(dāng)?shù)闹匾?，體現(xiàn)了各國間相互合作共贏的網(wǎng)絡(luò)安全觀，所體現(xiàn)出來的合作模式及評估內(nèi)容，可為我國實“一帶一路”網(wǎng)絡(luò)安全合作共贏提供借鑒。

（2）《報告》多角度，較為全面地評估了5G網(wǎng)絡(luò)安全風(fēng)險，對于我國5G網(wǎng)絡(luò)安全風(fēng)險管控和網(wǎng)絡(luò)空間戰(zhàn)略發(fā)展有著重大的借鑒意義。

（3）相對于我國，歐盟在5G發(fā)展上顯然處于劣勢，《報告》體現(xiàn)出謹慎和擔(dān)憂。主要是從無線移動網(wǎng)絡(luò)5G開始，其他非歐盟國家，基本打破了歐盟等為代表的西方國家壟斷，開始擁有了網(wǎng)絡(luò)自主發(fā)展地位?！秷蟾妗匪憩F(xiàn)的擔(dān)憂其本質(zhì)是歐盟為代表的西方國家一種一直以來領(lǐng)先、占優(yōu)思維的集中體現(xiàn)，這對中國政府和中國企業(yè)在走出國門提出了更高的要求，如何讓歐盟為代表的西方國家接受后發(fā)國家的科技文明，將是未來一段時間內(nèi)面臨走出去的難題。

（4）對于西方國家的認識，要全面地認識其本質(zhì)。西方國家以資本擴張掠奪其他國家和地區(qū)的財富，無論是在資本原始階段還是現(xiàn)在的技術(shù)、知識和經(jīng)濟輸出階段，都離不開“掠奪”這個本質(zhì)。應(yīng)該認清這個本質(zhì)，并做好更好更強大的戰(zhàn)略預(yù)備，以應(yīng)對對我國的再次“掠奪”。網(wǎng)絡(luò)信息空間也不例外。

（5）我國核心技術(shù)企業(yè)，將面臨更強大的外部發(fā)展阻力和擔(dān)負更重要的網(wǎng)絡(luò)安全責(zé)任。這是困難也是機遇，中國的核心技術(shù)要借此上升一大步，建立并完善自主的科技文明體系。同時，網(wǎng)絡(luò)安全的管理和使用要登上新臺階，積極擁抱新變化，于無聲處固網(wǎng)防，把網(wǎng)絡(luò)信息安全雙刃劍用足、用好。

（6）以5G為代表的萬物互聯(lián)時代，對于網(wǎng)絡(luò)服務(wù)提供商或應(yīng)用系統(tǒng)、內(nèi)容提供商等所涉及的有關(guān)國家秘密、個人隱私、數(shù)據(jù)財產(chǎn)等方面的保護要更加切實有效。