5G/5G-Advanced/6G接入網(wǎng)安全技術(shù)演進(jìn)及內(nèi)生安全

陸海濤/LU Haitao，陳一喆/CHEN Yizhe，婁篤仕/LOU Dushi

（ 1.中興通訊股份有限公司，中國(guó) 深圳 518057；2.深圳市無(wú)線移動(dòng)技術(shù)重點(diǎn)企業(yè)研究院（中興），中國(guó) 深圳 518055；3.深圳市5G接入網(wǎng)安全技術(shù)研究及應(yīng)用重點(diǎn)實(shí)驗(yàn)室，中國(guó) 深圳 518055；4.南京郵電大學(xué)，中國(guó) 南京 210003 ）

第3代合作伙伴計(jì)劃（3GPP）定義了5G的三大應(yīng)用場(chǎng)景：增強(qiáng)移動(dòng)寬帶（eMBB）、超可靠低時(shí)延通信（URLLC）和海量機(jī)器類通信（mMTC）。3GPP在制定5G網(wǎng)絡(luò)標(biāo)準(zhǔn)時(shí)已把安全性作為核心問(wèn)題來(lái)考慮，并在5G的第一個(gè)標(biāo)準(zhǔn)R15里提出5G網(wǎng)絡(luò)安全架構(gòu)[1]，從訪問(wèn)域、網(wǎng)絡(luò)域、服務(wù)化架構(gòu)（SBA）域等方面分別定義了安全功能和組件。3GPP R15標(biāo)準(zhǔn)于2018年6月被凍結(jié)，該標(biāo)準(zhǔn)主要規(guī)定了eMBB和URLLC兩大場(chǎng)景?；?GPP R15的網(wǎng)絡(luò)安全架構(gòu)，文獻(xiàn)[2]針對(duì)5G接入網(wǎng)和基站設(shè)備，從基礎(chǔ)設(shè)施、新空口（NR）、核心網(wǎng)接口和網(wǎng)管接口4個(gè)方面提出了安全解決方案。

2020年7月3GPP R16標(biāo)準(zhǔn)被凍結(jié)，該標(biāo)準(zhǔn)完善了URLLC技術(shù)特性。該技術(shù)特性使得5G可以應(yīng)用于工業(yè)、港口、地鐵等物聯(lián)網(wǎng)中，為5G面向企業(yè)（ToB）垂直行業(yè)應(yīng)用打下基礎(chǔ)。此時(shí)業(yè)界開(kāi)始意識(shí)到：傳統(tǒng)的網(wǎng)絡(luò)安全防護(hù)機(jī)制是“外掛式”“補(bǔ)丁式”的，難以應(yīng)對(duì)未來(lái)萬(wàn)物互聯(lián)所面臨的安全挑戰(zhàn)，因此需要改變傳統(tǒng)的安全防御思想，不再使用獨(dú)立安全解決方案來(lái)應(yīng)對(duì)安全問(wèn)題，需要重新設(shè)計(jì)安全協(xié)議和機(jī)制，建立一套完備的信息系統(tǒng)安全體系，使系統(tǒng)具備自我免疫、內(nèi)外兼修、自我進(jìn)化的特點(diǎn)，從網(wǎng)絡(luò)內(nèi)部增強(qiáng)安全防范能力，從源頭上抵制攻擊的產(chǎn)生[3]，即實(shí)現(xiàn)內(nèi)生安全。

2022年6月3GPP R17標(biāo)準(zhǔn)被凍結(jié)。該標(biāo)準(zhǔn)支持增強(qiáng)的工業(yè)物聯(lián)網(wǎng)、精準(zhǔn)授時(shí)、高精度定位和車聯(lián)網(wǎng)（V2X），并引入了面向較低復(fù)雜度物聯(lián)網(wǎng)終端的RedCap，將5G擴(kuò)展至幾乎全部終端和用例，為實(shí)現(xiàn)5G萬(wàn)物互聯(lián)提供了重要支撐。

3GPP在2022—2026年進(jìn)行5G-Advanced標(biāo)準(zhǔn)（R18/R19/R20）的研究，并將在2027—2030年開(kāi)展6G標(biāo)準(zhǔn)（R21/R22/R23）的研究，繼續(xù)在移動(dòng)寬帶、固定無(wú)線接入、工業(yè)物聯(lián)網(wǎng)、V2X、擴(kuò)展現(xiàn)實(shí)（XR）、無(wú)人機(jī)與衛(wèi)星接入等用例方面進(jìn)行空口協(xié)議演進(jìn)與增強(qiáng)，研究和制定更高頻段的相關(guān)標(biāo)準(zhǔn)。另外，6G通信標(biāo)準(zhǔn)的服務(wù)范圍將從陸地?cái)U(kuò)展到衛(wèi)星、海底、地下，真正實(shí)現(xiàn)海、地、天三位一體通信。

1 5G接入網(wǎng)安全技術(shù)

5G通信網(wǎng)絡(luò)由終端、接入網(wǎng)、承載網(wǎng)和核心網(wǎng)組成。其中，接入網(wǎng)是指用戶終端和骨干承載網(wǎng)之間的設(shè)備和鏈路，可實(shí)現(xiàn)無(wú)線信號(hào)的接入和轉(zhuǎn)換。5G接入網(wǎng)的關(guān)鍵設(shè)備是5G基站（gNB），可實(shí)現(xiàn)3GPP定義的5G協(xié)議規(guī)范，具有大帶寬、高可靠低時(shí)延、多連接的特性。相關(guān)核心指標(biāo)包括無(wú)線頻譜效率、峰值速率、用戶體驗(yàn)速率、流量密度、連接密度、時(shí)延和移動(dòng)性等。5G接入網(wǎng)安全技術(shù)主要包括終端安全、空口安全、基礎(chǔ)設(shè)施安全、安全日志和公鑰基礎(chǔ)設(shè)施（PKI）系統(tǒng)等，如圖1所示。這些技術(shù)是5G基站為數(shù)據(jù)處理、協(xié)議轉(zhuǎn)換、訪問(wèn)控制和管理功能提供的安全支撐和重要保障。

▲圖1 5G接入網(wǎng)安全技術(shù)架構(gòu)

（1）終端安全

終端安全是指在用戶接入網(wǎng)絡(luò)時(shí)做認(rèn)證和鑒權(quán)的控制，對(duì)用戶身份進(jìn)行確認(rèn)。長(zhǎng)期演進(jìn)技術(shù)（LTE）/5G使用了全新的雙向認(rèn)證方式和配有用戶識(shí)別模塊（UIM）的全球用戶識(shí)別卡（USIM）。只有都完成網(wǎng)絡(luò)對(duì)終端認(rèn)證和終端對(duì)網(wǎng)絡(luò)認(rèn)證后，用戶才可接入網(wǎng)絡(luò)。5G增加了5G認(rèn)證與密鑰協(xié)商協(xié)議（5G-AKA）認(rèn)證，并通過(guò)向歸屬網(wǎng)絡(luò)提供用戶設(shè)備（UE）從訪客網(wǎng)絡(luò)成功認(rèn)證的證明，來(lái)增強(qiáng)演進(jìn)分組系統(tǒng)（EPS）-AKA的安全性[1]。

對(duì)5G基站而言，終端安全更側(cè)重于用戶隱私數(shù)據(jù)的保護(hù)。例如，歐盟的《通用數(shù)據(jù)保護(hù)條例》和中國(guó)的《中國(guó)個(gè)人信息保護(hù)法》都嚴(yán)格要求在收集個(gè)人數(shù)據(jù)之前要征得用戶同意，并規(guī)定了收集和處理數(shù)據(jù)的義務(wù)和責(zé)任。

5G基站數(shù)據(jù)處理所涉及的用戶隱私數(shù)據(jù)有兩種：一是執(zhí)行3GPP協(xié)議處理所涉及的協(xié)議消息內(nèi)容，如用戶永久標(biāo)識(shí)（SUPI）/國(guó)際移動(dòng)用戶標(biāo)識(shí)（IMSI）、用戶匿名標(biāo)識(shí)（SUCI）、5G全球唯一臨時(shí)標(biāo)識(shí)（5G-GUTI）/臨時(shí)移動(dòng)用戶識(shí)別碼（TMSI）、國(guó)際移動(dòng)設(shè)備標(biāo)識(shí)（IMEI）、用戶互聯(lián)網(wǎng)地址（UE IP）及位置區(qū)標(biāo)識(shí)（LAI）定位信息等；二是操作維護(hù)管理所涉及的管理消息內(nèi)容，如SUPI/IMSI、UE IP等。對(duì)于所涉及的用戶隱私數(shù)據(jù)，5G基站通過(guò)采取數(shù)據(jù)加密、系統(tǒng)加固、數(shù)據(jù)脫敏等措施來(lái)保護(hù)隱私數(shù)據(jù)的安全。

（2）空口安全

空口安全主要解決終端和基站之間無(wú)線通道的安全傳輸問(wèn)題。由于無(wú)線信號(hào)覆蓋在空間各處，非法用戶可以隨意截取，因此需要對(duì)空口數(shù)據(jù)進(jìn)行加密和完整性保護(hù)，防止數(shù)據(jù)泄露或被篡改。

5G基站的空口安全處理包括數(shù)據(jù)加密和完整性保護(hù)。其中，數(shù)據(jù)加密是指發(fā)送方通過(guò)加密算法將明文數(shù)據(jù)轉(zhuǎn)換為密文數(shù)據(jù)，保證數(shù)據(jù)不泄露；完整性保護(hù)是指發(fā)送方通過(guò)完整性算法計(jì)算出完整的消息認(rèn)證碼（MAC-I），接收方通過(guò)完整性算法計(jì)算預(yù)期的消息身份驗(yàn)證代碼（X-MAC），并比較MAC-I和X-MAC是否一致，以保證數(shù)據(jù)不被篡改。5G基站在分組數(shù)據(jù)匯聚協(xié)議（PDCP）層實(shí)現(xiàn)數(shù)據(jù)加密和完整性保護(hù)功能，根據(jù)核心網(wǎng)發(fā)送的安全策略激活安全功能。加密算法由5G基站通過(guò)無(wú)線資源控制（RRC）信令發(fā)送給終端，密鑰由終端和5G基站生成。

（3）基礎(chǔ)設(shè)施安全

5G基站的基礎(chǔ)設(shè)施安全包括多個(gè)方面。（a）物理設(shè)備安全：對(duì)基站以及周圍設(shè)施保證安全，如設(shè)置門禁、監(jiān)控，配備煙霧、溫度傳感器等；（b）操作系統(tǒng)安全：定期對(duì)軟硬件進(jìn)行安全威脅分析和評(píng)估，每發(fā)布一個(gè)軟件版本，都需要經(jīng)過(guò)第三方軟件的安全掃描和評(píng)估，對(duì)于發(fā)現(xiàn)的漏洞和風(fēng)險(xiǎn)能夠及時(shí)解決；（c）禁用不安全的服務(wù)和協(xié)議：與基站應(yīng)用無(wú)關(guān)的操作系統(tǒng)（OS）服務(wù)和協(xié)議需要被關(guān)閉或移除，不使用的端口缺省也要被關(guān)掉，提供對(duì)外開(kāi)放的端口/協(xié)議列表，支持端口/協(xié)議可關(guān)閉；（d）存儲(chǔ)安全：本地存儲(chǔ)的機(jī)密信息都需要加密，其中特別敏感的信息還要存放在保護(hù)區(qū)內(nèi)；（e）不使用無(wú)支持的硬件和軟件模塊：在基站產(chǎn)品開(kāi)發(fā)過(guò)程中，可選擇硬件模塊或者第三方軟件模塊，但不能選用已經(jīng)沒(méi)有支持和不再升級(jí)的產(chǎn)品，因?yàn)檫@類產(chǎn)品往往存在安全缺陷。如果沒(méi)有支持來(lái)修補(bǔ)安全漏洞，基站就會(huì)暴露安全問(wèn)題。

（4）系統(tǒng)安全檢測(cè)

系統(tǒng)安全檢測(cè)可保護(hù)基站正常運(yùn)行，在軟硬件異?；蚬收蠒r(shí)能夠快速恢復(fù)，避免基站服務(wù)中斷。資源監(jiān)控、回收、復(fù)位、告警、日志等手段可保證業(yè)務(wù)軟件服務(wù)與硬件資源的可用性。（a）中央處理器（CPU）監(jiān)控與死鎖檢測(cè)：通過(guò)線程切換等關(guān)鍵點(diǎn)的時(shí)刻記錄來(lái)獲取運(yùn)行時(shí)間，計(jì)算線程在一個(gè)周期內(nèi)的CPU占用率，結(jié)合線程的CPU/核占用率和主動(dòng)切換次數(shù)，判斷線程是否進(jìn)入死循環(huán)或處于死鎖狀態(tài)，記錄現(xiàn)場(chǎng)日志并恢復(fù)服務(wù)；（b）內(nèi)存泄露檢測(cè)：限定具體進(jìn)程的內(nèi)存使用量，結(jié)合申請(qǐng)者信息和一些使用策略對(duì)內(nèi)存泄露做出判定，在監(jiān)控到這些問(wèn)題發(fā)生時(shí)記錄詳細(xì)的異常日志；（c）孤島監(jiān)控與自救：當(dāng)各種故障與核心網(wǎng)、網(wǎng)管等連接設(shè)備斷鏈出現(xiàn)孤島狀態(tài)時(shí)，系統(tǒng)會(huì)監(jiān)控孤島狀態(tài)，實(shí)施自救，傳輸參數(shù)回滾等以保障基站服務(wù)的可用性。

（5）傳輸安全

傳輸安全主要指5G基站數(shù)據(jù)傳輸?shù)陌踩珔f(xié)議保障，涉及5G基站之間、5G基站與LTE基站間的Xn/X2接口，5G基站與5G核心網(wǎng)及LTE核心網(wǎng)間的下一代5G（NG）/4G（S1）接口連接。傳輸網(wǎng)絡(luò)協(xié)議涉及物理層到應(yīng)用層之間的安全協(xié)議。如果這些接口的物理網(wǎng)絡(luò)非可信，則需要通過(guò)連接安全網(wǎng)關(guān)（SeGW）建立端對(duì)端的安全通信隧道，支持Internet安全協(xié)議（IPSec），保證5G基站數(shù)據(jù)傳輸?shù)陌踩?。另外，基站和網(wǎng)管間的傳輸鏈路也要支持傳輸層安全（TLS）協(xié)議，保證管理數(shù)據(jù)的安全。

由于是一個(gè)多層次的需求，在某些特定場(chǎng)景中數(shù)據(jù)傳輸安全還需要支持更底層的業(yè)務(wù)，例如實(shí)現(xiàn)鏈路層的額外保護(hù)。相關(guān)協(xié)議包括電氣與電子工程師協(xié)會(huì)（IEEE）制定的基于端口的訪問(wèn)控制和認(rèn)證協(xié)議（IEEE 802.1x）、媒體訪問(wèn)控制安全（MACSec）協(xié)議等。

（6）操作維護(hù)安全

5G基站的操作維護(hù)安全涉及配置、版本、告警、診斷操作等。維護(hù)用戶是指對(duì)基站進(jìn)行配置、操作和維護(hù)的使用者，用戶必須唯一識(shí)別?；镜牟僮骶S護(hù)系統(tǒng)功能包括SSH、SFTP和Web服務(wù)。授權(quán)用戶可以通過(guò)基站的本地管理口從外部遠(yuǎn)程訪問(wèn)，非授權(quán)用戶不能接入系統(tǒng)。用戶接入系統(tǒng)后還需要進(jìn)行權(quán)限控制，即用戶能夠讀取/修改/執(zhí)行系統(tǒng)文件是否在授權(quán)范圍內(nèi)。系統(tǒng)需要對(duì)用戶分組，不同等級(jí)的用戶分組有不同的用戶權(quán)限。

系統(tǒng)支持集中賬戶管理和本地賬戶管理。其中，集中賬戶是指通過(guò)輕量目錄訪問(wèn)協(xié)議（LDAP）等集中管理分布網(wǎng)元的賬戶，本地賬戶用于設(shè)備近端的操作維護(hù)管理。系統(tǒng)的用戶訪問(wèn)控制是指對(duì)用戶授權(quán)可以訪問(wèn)的對(duì)象和執(zhí)行的操作，通常通過(guò)基于角色的權(quán)限分配來(lái)實(shí)現(xiàn)。

（7）安全日志

5G基站提供安全日志，記錄用戶登錄和登出、用戶權(quán)限變更等安全事件以供審計(jì)，提供有效證據(jù)防止人員或?qū)嶓w否認(rèn)執(zhí)行過(guò)的活動(dòng)。同時(shí)基站實(shí)時(shí)反饋5G網(wǎng)絡(luò)系統(tǒng)的安全勢(shì)態(tài)，讓運(yùn)營(yíng)商了解無(wú)線系統(tǒng)的整體安全情況，提供日志查詢、安全事件關(guān)聯(lián)分析和報(bào)告等。當(dāng)分析結(jié)果有潛在和可疑的活動(dòng)時(shí)，系統(tǒng)會(huì)產(chǎn)生告警并調(diào)查可疑活動(dòng)。

（8）PKI系統(tǒng)

5G規(guī)范引入了基于PKI的安全體系結(jié)構(gòu)。3GPP 33.310協(xié)議定義了基站數(shù)字證書(shū)的注冊(cè)機(jī)制，以及應(yīng)用數(shù)字證書(shū)與核心網(wǎng)建立安全通信鏈路的過(guò)程。PKI采用非對(duì)稱密碼算法技術(shù)實(shí)現(xiàn)可提供安全服務(wù)的具有通用性的安全基礎(chǔ)設(shè)施，能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用提供采用加密和數(shù)字簽名等密碼服務(wù)所需要的密鑰和證書(shū)管理，并提供創(chuàng)建、頒發(fā)、查詢證書(shū)的功能。

設(shè)備商為基站提供出廠生成的公私鑰對(duì)?；緯?huì)預(yù)裝由設(shè)備商簽名的數(shù)字證書(shū)、登記授權(quán)（RA）/證書(shū)授權(quán)（CA）服務(wù)器預(yù)裝設(shè)備商根證書(shū)、核心網(wǎng)SEG預(yù)裝運(yùn)營(yíng)商根證書(shū)。然后基站向核心網(wǎng)注冊(cè)并使用證書(shū)管理協(xié)議版本2（CMPv2）協(xié)議向RA/CA發(fā)起證書(shū)申請(qǐng)。RA/CA則使用設(shè)備商根證書(shū)和設(shè)備商簽名證書(shū)對(duì)基站進(jìn)行身份驗(yàn)證。驗(yàn)證通過(guò)后基站會(huì)獲得簽發(fā)的運(yùn)營(yíng)商證書(shū)并返回證書(shū)響應(yīng)?；咀C書(shū)替換為運(yùn)營(yíng)商簽名證書(shū)，則表明基站注冊(cè)完成。隨后基站使用運(yùn)營(yíng)商簽名證書(shū)與核心網(wǎng)建立IPSec安全連接。

2 5G-Advanced安全增強(qiáng)技術(shù)

5G發(fā)展的關(guān)鍵是應(yīng)用。2021年7月，工業(yè)和信息化部等十部門聯(lián)合發(fā)布了《5G應(yīng)用“揚(yáng)帆”行動(dòng)計(jì)劃（2021—2023年）》，從5G應(yīng)用標(biāo)準(zhǔn)體系、面向行業(yè)需求的5G產(chǎn)品、5G應(yīng)用創(chuàng)新生態(tài)、5G應(yīng)用安全能力四大領(lǐng)域打造5G融合應(yīng)用新產(chǎn)品、新業(yè)態(tài)、新模式，為經(jīng)濟(jì)社會(huì)各領(lǐng)域的數(shù)字轉(zhuǎn)型、智能升級(jí)、融合創(chuàng)新提供堅(jiān)實(shí)支撐。中國(guó)5G應(yīng)用市場(chǎng)發(fā)展空間巨大，根據(jù)行業(yè)互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC）研究預(yù)測(cè)，到2025年全球物聯(lián)網(wǎng)市場(chǎng)將達(dá)到1.1萬(wàn)億美元，其中中國(guó)市場(chǎng)占比將提升到25.9%，物聯(lián)網(wǎng)市場(chǎng)規(guī)模全球第一。大部分市場(chǎng)增長(zhǎng)來(lái)自企業(yè)市場(chǎng)，這說(shuō)明5G發(fā)展將從傳統(tǒng)面向個(gè)人（ToC）消費(fèi)市場(chǎng)向ToB企業(yè)應(yīng)用轉(zhuǎn)變。5G賦能各行各業(yè)，帶動(dòng)行業(yè)數(shù)字化、智能化轉(zhuǎn)型升級(jí)。

5G-Advanced是5G技術(shù)的演進(jìn)版本，其目標(biāo)是實(shí)現(xiàn)萬(wàn)兆體驗(yàn)、千億物聯(lián)、智能感知的網(wǎng)絡(luò)能力。3GPP于2021年12月將R18作為5G-Advanced第一個(gè)版本。R18的27個(gè)項(xiàng)目涵蓋5G傳統(tǒng)的eMBB、URLLC、V2X等場(chǎng)景，同時(shí)定義了新場(chǎng)景、新業(yè)務(wù)，如上行大容量、空口人工智能（AI）、虛擬現(xiàn)實(shí)增強(qiáng)業(yè)務(wù)XR、高精度定位等。相比于先前的5G版本，5G-Advanced面向ToB垂直行業(yè)應(yīng)用，在現(xiàn)有網(wǎng)絡(luò)能力的基礎(chǔ)上，進(jìn)一步提升網(wǎng)絡(luò)能力，增強(qiáng)支持大上行（1 Gbit/s峰值速率）、極低時(shí)延（毫秒級(jí)）、更高可靠性（99.9999%）、更高可用性、更高精準(zhǔn)授時(shí)、更高精度定位，以及通信感知、空天一體的服務(wù)保障能力。相應(yīng)地，5G-Advanced網(wǎng)絡(luò)的安全技術(shù)也要進(jìn)行增強(qiáng)，以適應(yīng)在ToB行業(yè)的應(yīng)用推廣。

2.1 高可靠性安全

隨著5G技術(shù)的廣泛部署，行業(yè)應(yīng)用普遍對(duì)網(wǎng)絡(luò)可靠性提出確定性要求，如電網(wǎng)差動(dòng)保護(hù)、港口岸橋遠(yuǎn)程控制、橋式起重機(jī)遠(yuǎn)程操縱等。5G-Advanced的高可靠性增強(qiáng)技術(shù)包括PDCP復(fù)制、混合自動(dòng)重傳請(qǐng)求（HARQ）重傳、智能自適應(yīng)調(diào)制編碼（AMC）控制重傳和低碼率MCS調(diào)整等。涉及的安全增強(qiáng)技術(shù)主要是PDCP復(fù)制安全，即確保PDCP數(shù)據(jù)和復(fù)制數(shù)據(jù)均使用相同的加密完保策略和密鑰，如圖2所示。這也是跨站CA和切換場(chǎng)景的密鑰一致性解決方案。

▲圖2 基于載波聚合PDCP復(fù)制或雙連接PDCP復(fù)制

2.2 高可用性安全

高可用性是行業(yè)應(yīng)用的基本要求：一方面通過(guò)設(shè)備和鏈路冗余提高可用性，例如基站熱備支持節(jié)點(diǎn)級(jí)和網(wǎng)絡(luò)級(jí)的容災(zāi)保護(hù)，前傳光口雙上聯(lián)合環(huán)組網(wǎng)，均能保障傳輸?shù)母呖捎眯?；另一方面，要確保在通信鏈路斷開(kāi)后，仍能繼續(xù)保持業(yè)務(wù)連接，例如在礦山場(chǎng)景中，當(dāng)井下基站和地面核心網(wǎng)鏈路因事故中斷后，基站要支持?jǐn)噫湵３止δ?，使井下用戶終端業(yè)務(wù)不中斷。

如圖3所示，當(dāng)?shù)V山場(chǎng)景的井下基站與地面核心網(wǎng)的連接（N2、N4）斷鏈時(shí)，為了保持業(yè)務(wù)連貫運(yùn)行，井下用戶終端的正常業(yè)務(wù)不受影響，基站需要啟動(dòng)5G控制面（NGC）斷鏈業(yè)務(wù)保持功能，并且要求業(yè)務(wù)不斷、安全不斷。由于對(duì)用戶的安全控制管理是在核心網(wǎng)進(jìn)行的，因此當(dāng)基站啟動(dòng)斷鏈保持時(shí)，基站也要增強(qiáng)對(duì)用戶的安全控制管理。

▲圖3 5G控制面斷鏈業(yè)務(wù)保持功能示意

2.3 5G精準(zhǔn)授時(shí)安全

工業(yè)控制、電力差動(dòng)保護(hù)/精密測(cè)量單元（PMU）等業(yè)務(wù)需要嚴(yán)格的業(yè)務(wù)同步。由于工業(yè)控制有線化成本高、布放受限，工業(yè)控制網(wǎng)絡(luò)無(wú)線化是一個(gè)重點(diǎn)發(fā)展方向。特別是隨著5G工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)需求的迅猛發(fā)展，5G+垂直行業(yè)產(chǎn)業(yè)發(fā)展迅速，通過(guò)5G空口實(shí)現(xiàn)業(yè)務(wù)到UE側(cè)高精度時(shí)間同步成為業(yè)務(wù)系統(tǒng)的基礎(chǔ)性需要。5G基站通過(guò)空口把網(wǎng)絡(luò)同步時(shí)間傳送給UE，同時(shí)系統(tǒng)對(duì)處理時(shí)延進(jìn)行相應(yīng)的誤差校準(zhǔn)，從而實(shí)現(xiàn)全網(wǎng)UE的高精度時(shí)間同步。

5G空口授時(shí)的安全性增強(qiáng)主要是對(duì)系統(tǒng)信息模塊（SIB）廣播消息的增強(qiáng)處理。5G空口授時(shí)有兩種模式：RRC單播信令、SIB9廣播。其中，RRC單播方式擁有空口安全協(xié)商接入準(zhǔn)入機(jī)制，并采用加密的信令對(duì)UE進(jìn)行授時(shí)，具有較高的安全性。

圖4為5G空口授時(shí)的RRC單播方式。基站在發(fā)送授時(shí)信息時(shí)使用安全協(xié)商后得到的密鑰進(jìn)行加密和完保，以保證授時(shí)信息通過(guò)空口傳輸時(shí)的機(jī)密性和完整性。

▲圖4 5G空口授時(shí)的無(wú)線資源控制單播方式

而廣播方式SIB9消息不需要接入認(rèn)證就可獲取，安全性差，容易受到偽基站攻擊。因此，我們需要先考慮增強(qiáng)終端流程安全，確保終端收到的SIB9廣播消息的合法性，再重新獲取時(shí)間信息和使用時(shí)鐘。

2.4 5G高精度定位安全

位置服務(wù)是未來(lái)新興產(chǎn)業(yè)的重要驅(qū)動(dòng)力，包括商場(chǎng)、車站、醫(yī)院的室內(nèi)導(dǎo)航，移動(dòng)電子商務(wù)、個(gè)性化廣告的商品引導(dǎo)，救災(zāi)搶險(xiǎn)的特殊行業(yè)人員定位等。傳統(tǒng)的衛(wèi)星定位由于受覆蓋和通信能力限制，難以滿足未來(lái)數(shù)字化社會(huì)的高精度定位服務(wù)需求。5G大規(guī)模天線、大帶寬的關(guān)鍵技術(shù)和算法突破，使得厘米級(jí)的高精度定位成為可能，不僅能保障室內(nèi)室外的無(wú)縫覆蓋，還具有強(qiáng)大的通信能力。因此，5G高精度定位是未來(lái)位置服務(wù)的主要手段。

5G空口定位的安全性增強(qiáng)主要是對(duì)定位數(shù)據(jù)的保護(hù)，需要嚴(yán)格定義數(shù)據(jù)訪問(wèn)權(quán)限，防止非法訪問(wèn)、防DDOS攻擊等。同時(shí)位置計(jì)算的定位引擎是高精度定位的核心。連接基站、網(wǎng)管和業(yè)務(wù)平臺(tái)需要采用不同的網(wǎng)絡(luò)平面進(jìn)行隔離，以保證網(wǎng)絡(luò)安全，如圖5所示。

▲圖5 5G空口定位結(jié)構(gòu)

2.5 數(shù)據(jù)分流安全

5G行業(yè)應(yīng)用中數(shù)據(jù)安全是保障企業(yè)開(kāi)展生產(chǎn)經(jīng)營(yíng)活動(dòng)的重要前提。各類技術(shù)資料可能含有重要的商業(yè)機(jī)密，一旦泄露將導(dǎo)致企業(yè)失去核心競(jìng)爭(zhēng)力。此外，生產(chǎn)控制指令、工況狀態(tài)等信息若被不法分子篡改，將引發(fā)系統(tǒng)設(shè)備故障甚至生產(chǎn)安全事故，影響企業(yè)生產(chǎn)運(yùn)行。企業(yè)客戶普遍提出5G網(wǎng)絡(luò)的引入需要保證數(shù)據(jù)不出園的安全需求。

由于ToB業(yè)務(wù)本地處理需求強(qiáng)烈，我們可通過(guò)下沉部署園區(qū)專用的本地分流網(wǎng)關(guān)來(lái)解決數(shù)據(jù)在本地處理的問(wèn)題，也可根據(jù)業(yè)務(wù)場(chǎng)景的需要選擇基站內(nèi)置分流功能產(chǎn)品或UPF產(chǎn)品來(lái)作為本地分流網(wǎng)關(guān)，例如中興通訊的NodeEngine基站引擎就可實(shí)現(xiàn)數(shù)據(jù)分流，如圖6所示。

▲圖6 5G行業(yè)應(yīng)用數(shù)據(jù)分流示意圖

5G基站集成的數(shù)據(jù)處理引擎NodeEngine可實(shí)現(xiàn)園區(qū)業(yè)務(wù)的本地分流。這不僅使園區(qū)業(yè)務(wù)就近得到處理，提高業(yè)務(wù)處理的實(shí)時(shí)性，還可滿足園區(qū)業(yè)務(wù)不出園的安全需求。NodeEngine可以根據(jù)業(yè)務(wù)部署的需要靈活支持IP五元組/域名服務(wù)器（DNS）域名、切片標(biāo)識(shí)以及公共陸地移動(dòng)網(wǎng)絡(luò)（PLMN）的數(shù)據(jù)分流機(jī)制。

NodeEngine采用虛擬本地網(wǎng)（VLAN）隔離和隱藏UE IP等安全隔離措施，滿足智簡(jiǎn)園區(qū)的組網(wǎng)安全。NodeEngine在對(duì)接基站、網(wǎng)管、企業(yè)專網(wǎng)時(shí)采用不同的網(wǎng)絡(luò)平面，各網(wǎng)絡(luò)平面采用VLAN隔離，以保證網(wǎng)絡(luò)安全；在企業(yè)專網(wǎng)內(nèi)部UE IP與運(yùn)營(yíng)商傳輸網(wǎng)絡(luò)IP不同的情況下，支持對(duì)專網(wǎng)UE IP進(jìn)行網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT），以對(duì)外隱藏UE IP。

3 6G內(nèi)生安全

6G網(wǎng)絡(luò)設(shè)計(jì)將在很多方面和5G有著顯著的不同。首先，6G可以實(shí)現(xiàn)網(wǎng)絡(luò)自動(dòng)化和網(wǎng)絡(luò)即服務(wù)（NaaS），用戶可以定制網(wǎng)絡(luò)；其次，核心/無(wú)線網(wǎng)絡(luò)組件的云化網(wǎng)絡(luò)和開(kāi)源軟件的快速應(yīng)用表明，未來(lái)6G將是“完全開(kāi)放”的網(wǎng)絡(luò)。因此，6G安全架構(gòu)需要適應(yīng)變化，支持新的應(yīng)用和太空-空中-地面-海洋網(wǎng)絡(luò)模型的集成[4]。中國(guó)的6G相關(guān)科研工作啟動(dòng)比較早。2019年6月工業(yè)和信息化部牽頭成立中國(guó)IMT-2030（6G）推進(jìn)組，標(biāo)志著中國(guó)6G研發(fā)正式啟動(dòng)。IMT-2030（6G）推進(jìn)組認(rèn)為：6G將實(shí)現(xiàn)人與人、人與物、物與物的高效智能互聯(lián)，打造泛在精細(xì)、實(shí)時(shí)可信、有機(jī)整合的數(shù)字世界，實(shí)時(shí)精確地反映和預(yù)測(cè)物理世界的真實(shí)狀態(tài)，助力人類走進(jìn)人機(jī)物智慧互聯(lián)、虛擬與現(xiàn)實(shí)深度融合的全新時(shí)代，最終實(shí)現(xiàn)“萬(wàn)物智聯(lián)、數(shù)字孿生”的美好愿景[5]。在6G給社會(huì)經(jīng)濟(jì)生活帶來(lái)變革的同時(shí)，安全性顯得至關(guān)重要。網(wǎng)絡(luò)安全技術(shù)需要實(shí)現(xiàn)顛覆性的突破。傳統(tǒng)“外掛式”、“補(bǔ)丁式”的安全機(jī)制將向內(nèi)生安全演進(jìn)。

IMT-2030（6G）推進(jìn)組把內(nèi)生安全列為6G潛在的十大關(guān)鍵技術(shù)之一，同時(shí)定義網(wǎng)絡(luò)內(nèi)生安全的四大特征：（1）主動(dòng)免疫，為網(wǎng)絡(luò)基礎(chǔ)設(shè)施、軟件等提供主動(dòng)防御功能；（2）彈性自治，實(shí)現(xiàn)安全能力的動(dòng)態(tài)編排和彈性部署；（3）虛擬共生，實(shí)現(xiàn)物理網(wǎng)絡(luò)與虛擬網(wǎng)絡(luò)安全的統(tǒng)一與進(jìn)化；（4）泛在協(xié)同，通過(guò)端、邊、網(wǎng)、云的智能協(xié)同來(lái)準(zhǔn)確感知整個(gè)網(wǎng)絡(luò)的安全態(tài)勢(shì)[6]。本文中我們認(rèn)為，輕量化也是6G內(nèi)生安全的主要特征之一，而傳統(tǒng)的接入安全技術(shù)無(wú)法滿足海量設(shè)備連接和實(shí)時(shí)傳輸，需要有輕量化的安全機(jī)制來(lái)滿足6G萬(wàn)物智聯(lián)、數(shù)字孿生的應(yīng)用場(chǎng)景需求。

3.1 主動(dòng)免疫

網(wǎng)絡(luò)安全攻擊的目的與攻擊手段在不斷變化，所以安全的風(fēng)險(xiǎn)也會(huì)持續(xù)不斷變化。與傳統(tǒng)5G安全被動(dòng)式地應(yīng)對(duì)安全攻擊和風(fēng)險(xiǎn)不同，6G內(nèi)生安全提供了一種主動(dòng)免疫的解決思想，賦予網(wǎng)絡(luò)以類似人體免疫的安全能力。因此，內(nèi)生安全也被稱為新的網(wǎng)絡(luò)安全范式。

（1）AI/機(jī)器學(xué)習(xí)（ML）安全

AI/ML將全方位賦能6G網(wǎng)絡(luò)安全?；贏I/ML的安全內(nèi)生機(jī)制使得6G網(wǎng)絡(luò)具備主動(dòng)免疫、自我演進(jìn)、按需提供安全服務(wù)的能力。具體來(lái)說(shuō)，使用深度強(qiáng)化學(xué)習(xí)和深度神經(jīng)網(wǎng)絡(luò)進(jìn)行入侵檢測(cè)和預(yù)防，可以有效防御網(wǎng)絡(luò)中的偽基站攻擊、IP欺騙攻擊、DDoS攻擊、控制平面飽和攻擊和主機(jī)位置劫持攻擊等；使用AI預(yù)測(cè)分析可以在攻擊發(fā)生之前預(yù)測(cè)攻擊，例如基于強(qiáng)化學(xué)習(xí)（RL）的智能波束成形技術(shù)可提供針對(duì)6G太赫茲和可見(jiàn)光通信系統(tǒng)中竊聽(tīng)者攻擊的最佳波束成形策略；基于邊緣的聯(lián)邦學(xué)習(xí)能夠在6G分布式網(wǎng)絡(luò)的海量設(shè)備和數(shù)據(jù)機(jī)制中執(zhí)行網(wǎng)絡(luò)安全任務(wù)。

未來(lái)基于AI/ML的主動(dòng)免疫內(nèi)生安全演進(jìn)過(guò)程分為3個(gè)階段。（a）初級(jí)階段：基于AI/ML、威脅模型、關(guān)聯(lián)分析模型等，按規(guī)劃進(jìn)行安全能力建設(shè)，初步形成免疫能力；（b）中級(jí)階段：進(jìn)一步基于AI/ML和網(wǎng)絡(luò)空間災(zāi)害模型等提升網(wǎng)絡(luò)免疫能力，僅需要部分人工干預(yù)，使網(wǎng)絡(luò)安全建設(shè)具備一定的可控和收斂能力；（c）高級(jí)階段：網(wǎng)絡(luò)的主動(dòng)免疫能力能夠量化，安全能夠彈性自治，基本不再需要人為干預(yù)[7]。

（2）區(qū)塊鏈技術(shù)

區(qū)塊鏈?zhǔn)且环N以密碼學(xué)算法為基礎(chǔ)的分布式賬本技術(shù)，可在去中心和多中心的系統(tǒng)中實(shí)現(xiàn)不可篡改和防偽，并保證各個(gè)節(jié)點(diǎn)賬本的動(dòng)態(tài)一致性，其本質(zhì)是一種互聯(lián)網(wǎng)共享數(shù)據(jù)庫(kù)，具有主動(dòng)免疫特性，能夠幫助6G網(wǎng)絡(luò)構(gòu)建安全可信的通信環(huán)境。區(qū)塊鏈在中國(guó)受到高度重視。2021年中國(guó)的“十四五”規(guī)劃明確提出：區(qū)塊鏈?zhǔn)切屡d數(shù)字產(chǎn)業(yè)之一，需要“以聯(lián)盟鏈為重點(diǎn)發(fā)展區(qū)塊鏈服務(wù)平臺(tái)和金融科技、供應(yīng)鏈管理、政務(wù)服務(wù)等領(lǐng)域應(yīng)用方案”?？梢灶A(yù)見(jiàn)，區(qū)塊鏈將是6G時(shí)代數(shù)字化經(jīng)濟(jì)形態(tài)所覆蓋的數(shù)千萬(wàn)甚至數(shù)以億計(jì)的資產(chǎn)單位或機(jī)器（物聯(lián)網(wǎng)）的分布式、安全交易模式，并有望成為6G網(wǎng)絡(luò)內(nèi)生安全的關(guān)鍵技術(shù)。文獻(xiàn)[8]研究了區(qū)塊鏈技術(shù)與6G頻譜管理融合發(fā)展（特別是共識(shí)機(jī)制、合約機(jī)制技術(shù)）的深入應(yīng)用，有效提高頻譜利用率，實(shí)現(xiàn)動(dòng)態(tài)、高效的頻譜資源管理，為6G網(wǎng)絡(luò)營(yíng)造一個(gè)安全、智能、可行的動(dòng)態(tài)頻譜共享環(huán)境。文獻(xiàn)[9]面向6G零信任網(wǎng)絡(luò)的通信需求，以區(qū)塊鏈為“信任橋梁”，研究了6G車聯(lián)網(wǎng)邊緣計(jì)算中的可信可靠接入管理方法。該方法在不泄露車輛隱私的前提下顯著提升了車輛驗(yàn)證效率，降低了基站能耗，具有更高的安全性。

6G時(shí)代的mMTC場(chǎng)景將實(shí)現(xiàn)去中心化轉(zhuǎn)變，以支持海量設(shè)備連接。這和區(qū)塊鏈的去中心化特征非常適配。區(qū)塊鏈具有不可篡改、全程留痕、可追溯、集體維護(hù)、公開(kāi)透明等特點(diǎn)，可以很好地滿足內(nèi)生安全設(shè)計(jì)需求，是6G內(nèi)生安全的候選關(guān)鍵技術(shù)。區(qū)塊鏈可能是最具顛覆性的萬(wàn)物互聯(lián)技術(shù)之一[10]。當(dāng)然，區(qū)塊鏈要成為6G內(nèi)生安全技術(shù)，需要關(guān)注自身部署形態(tài)，尤其是在工業(yè)物聯(lián)網(wǎng)等ToB行業(yè)應(yīng)用中，區(qū)塊鏈+邊緣計(jì)算的部署形態(tài)，以保障鏈上鏈下數(shù)據(jù)的可信交互；還需要關(guān)注高可靠低時(shí)延的區(qū)塊鏈鏈上鏈下通信方式，以支持在多類型終端大數(shù)據(jù)容量和復(fù)雜網(wǎng)絡(luò)環(huán)境下數(shù)據(jù)的高效安全傳輸，以及區(qū)塊鏈系統(tǒng)與其他系統(tǒng)之間的數(shù)據(jù)交換。

3.2 彈性自治

6G網(wǎng)絡(luò)的行業(yè)應(yīng)用場(chǎng)景，例如增強(qiáng)現(xiàn)實(shí)（AR）、虛擬現(xiàn)實(shí)（VR）等，對(duì)網(wǎng)絡(luò)時(shí)延、傳輸速率、連接數(shù)等需求差異巨大。傳統(tǒng)5G網(wǎng)絡(luò)受限于網(wǎng)絡(luò)架構(gòu)、交付方式、運(yùn)維模式等，難以滿足不同行業(yè)的應(yīng)用需求。因此，6G網(wǎng)絡(luò)安全應(yīng)具備內(nèi)生彈性可伸縮的框架?；A(chǔ)設(shè)施應(yīng)具備安全服務(wù)靈活拆分與組合的能力，通過(guò)軟件定義安全、虛擬化等技術(shù)，構(gòu)建隨需取用、靈活高效的安全能力資源池，實(shí)現(xiàn)安全能力的按需定制、動(dòng)態(tài)部署和彈性伸縮，適應(yīng)云化網(wǎng)絡(luò)的安全需求。

文獻(xiàn)[11]設(shè)計(jì)了一種6G網(wǎng)絡(luò)內(nèi)生安全架構(gòu)。該架構(gòu)包括安全管理中心、安全智能中心、安全策略控制單元、安全能力層（網(wǎng)元設(shè)備自身安全能力、專用安全能力資源池）4層，并結(jié)合信任共識(shí)設(shè)施、資源編排與調(diào)度能力、人工智能分析能力，形成體系化安全架構(gòu)，如圖7所示。

▲圖7 6G內(nèi)生安全參考架構(gòu)

在圖7所示的6G內(nèi)生安全架構(gòu)中，設(shè)備安全能力可保障設(shè)備基礎(chǔ)安全功能應(yīng)由設(shè)備自身提供，還可有效保障設(shè)備在其他安全機(jī)制失效時(shí)仍能維持基本的安全能力；專用安全能力資源池提供實(shí)現(xiàn)共性安全能力，其目標(biāo)是保障安全能力高效執(zhí)行，避免系統(tǒng)中安全能力的重復(fù)建設(shè)與部署；安全策略控制單元執(zhí)行安全智能中心的安全策略下發(fā)，包括網(wǎng)元設(shè)備的安全策略、安全專用設(shè)備的安全策略；安全智能中心是安全協(xié)同的大腦，基于AI能力，與管理中心、資源編排與調(diào)度能力聯(lián)動(dòng)；安全管理中心提供系統(tǒng)管理、審計(jì)管理、安全管理、集中管控等能力，并能呈現(xiàn)安全態(tài)勢(shì)等。

在安全管理中心的指導(dǎo)下，以6G網(wǎng)絡(luò)安全能力為基礎(chǔ)，配合柔性安全能力資源池，協(xié)同智能分析與編排機(jī)制，可構(gòu)建彈性自治的安全防護(hù)體系。這樣的體系具備對(duì)外安全服務(wù)能力，能夠達(dá)到主動(dòng)免疫、信任共識(shí)、協(xié)同彈性的目標(biāo)。

3.3 虛擬共生

相比于傳統(tǒng)5G網(wǎng)絡(luò)，6G網(wǎng)絡(luò)將打通物理世界和虛擬世界，形成物理網(wǎng)絡(luò)與虛擬網(wǎng)絡(luò)相結(jié)合的數(shù)字孿生網(wǎng)絡(luò)，在工業(yè)控制、體育場(chǎng)館、新聞媒體、社交娛樂(lè)等領(lǐng)域有著廣泛的應(yīng)用前景。XR技術(shù)利用硬件設(shè)備并結(jié)合多種技術(shù)手段，將虛擬的內(nèi)容和真實(shí)場(chǎng)景融合，通過(guò)計(jì)算機(jī)技術(shù)和可穿戴設(shè)備產(chǎn)生一個(gè)真實(shí)與虛擬組合的、可人機(jī)交互的環(huán)境，包括VR、AR、混合現(xiàn)實(shí)（MR）等多種形式，不僅可以實(shí)現(xiàn)數(shù)字和物理世界的社交屬性的充分放大，還可基于共同的物理空間和虛擬空間分享信息。

個(gè)人數(shù)據(jù)的管理是XR應(yīng)用必須考慮的安全要素。通過(guò)6G網(wǎng)絡(luò)進(jìn)行的數(shù)據(jù)收集、存儲(chǔ)、保護(hù)和共享必須遵守相應(yīng)的數(shù)據(jù)保護(hù)規(guī)范和條例。文獻(xiàn)[12]認(rèn)為超低時(shí)延網(wǎng)絡(luò)的可靠性是解決網(wǎng)絡(luò)動(dòng)態(tài)的關(guān)鍵，同時(shí)發(fā)現(xiàn)一些網(wǎng)絡(luò)攻擊過(guò)于復(fù)雜、無(wú)法防御，因此敏感和機(jī)密數(shù)據(jù)仍可以被公開(kāi)。為此，文獻(xiàn)[13]提出一種高效的物理層安全技術(shù)——正交頻分復(fù)用（OFDM）及子載波索引選擇，通過(guò)開(kāi)發(fā)聯(lián)合優(yōu)化子載波索引選擇（IS）和自適應(yīng)交織（AI）設(shè)計(jì)，最大限度地提高僅在合法接收機(jī)處的信噪比，來(lái)保護(hù)基于OFDM的波形在無(wú)線網(wǎng)絡(luò)之外免遭竊聽(tīng)。該技術(shù)適用于URLLC場(chǎng)景的安全保護(hù)。

文獻(xiàn)[14]提出一個(gè)3D系統(tǒng)，針對(duì)許多XR系統(tǒng)的隱私數(shù)據(jù)威脅進(jìn)行風(fēng)險(xiǎn)建模。另外，文獻(xiàn)[15]提出一種基于Delta正交多址接入（D-OMA）的物理層安全方案。該方案可增強(qiáng)上下行無(wú)線接入網(wǎng)的安全性，能夠應(yīng)用于XR的安全解決方案，擴(kuò)展6G XR設(shè)備的訪問(wèn)能力，如圖8所示。

▲圖8 基于Delta正交多址接入提供的安全方法

D-OMA的安全方案是基于拼圖概念實(shí)現(xiàn)的。在上行鏈路中，每個(gè)XR設(shè)備都有代表最終簇密鑰（CK）的特定部分密鑰（PK）。在接收端，將來(lái)自同一群集中不同XR設(shè)備的PK部分組合，可最終形成完整的CK。這與多因素并行身份驗(yàn)證過(guò)程類似。組合CK被視為所有設(shè)備從該集群中接收的數(shù)據(jù)的解密密鑰。在未完全確認(rèn)該密鑰的情況下，系統(tǒng)將不會(huì)重構(gòu)來(lái)自所有設(shè)備的數(shù)據(jù)。也就是說(shuō)，竊聽(tīng)器需要以相同的時(shí)間和順序解碼所有用戶的數(shù)據(jù)。而當(dāng)大量XR終端設(shè)備傳輸?shù)絾我簧闲墟溌方邮掌鲿r(shí)，這是比較難以實(shí)現(xiàn)的。只有接收基站知道運(yùn)行期間所需的解碼順序以及每個(gè)XR群集的內(nèi)容，從而確保XR設(shè)備的數(shù)據(jù)安全。

3.4 泛在協(xié)同

6G時(shí)代網(wǎng)絡(luò)賦能各行各業(yè)，將傳統(tǒng)封閉的通信技術(shù)（CT）領(lǐng)域融入信息技術(shù)（IT）領(lǐng)域。在這個(gè)變革的過(guò)程中我們可以發(fā)現(xiàn)，不同于傳統(tǒng)5G通信網(wǎng)絡(luò)的特性，6G網(wǎng)絡(luò)更多地面對(duì)ToB領(lǐng)域。在確保有足夠的專業(yè)維護(hù)手段來(lái)保障網(wǎng)絡(luò)核心效果的同時(shí)，面對(duì)千行百業(yè)存在的特異性差別，行業(yè)間的技術(shù)壁壘和巨大的學(xué)習(xí)成本衍生出對(duì)端、邊、網(wǎng)、云泛在協(xié)同的智能運(yùn)維的訴求。各行業(yè)在安全生產(chǎn)、傳輸高可靠性、生產(chǎn)長(zhǎng)連接保障、網(wǎng)絡(luò)建設(shè)成本控制等方面存在剛性需求。在智慧內(nèi)生的6G網(wǎng)絡(luò)中，ML和大數(shù)據(jù)分析技術(shù)在安全方面將得到廣泛應(yīng)用。在AI技術(shù)的賦能下，6G網(wǎng)絡(luò)能夠建立端、邊、網(wǎng)、云智能主體間的泛在交互和協(xié)同機(jī)制，準(zhǔn)確感知網(wǎng)絡(luò)安全態(tài)勢(shì)并預(yù)測(cè)潛在風(fēng)險(xiǎn)，進(jìn)而通過(guò)智能共識(shí)決策機(jī)制完成自主優(yōu)化演進(jìn)，實(shí)現(xiàn)主動(dòng)縱深安全防御和安全風(fēng)險(xiǎn)自動(dòng)處置[6]。

例如，中興通訊的智能數(shù)字化運(yùn)維服務(wù)系統(tǒng)（iDOS），通過(guò)關(guān)聯(lián)端側(cè)、無(wú)線、傳輸?shù)雀饔驍?shù)據(jù)，以業(yè)務(wù)精準(zhǔn)識(shí)別端到端體驗(yàn)建模為核心，運(yùn)用AI數(shù)據(jù)挖掘算法，實(shí)現(xiàn)對(duì)企業(yè)網(wǎng)絡(luò)和業(yè)務(wù)指標(biāo)的異常識(shí)別、故障的業(yè)務(wù)詳單和信令級(jí)回溯、端到端問(wèn)題定界，關(guān)聯(lián)同時(shí)間、同維度、同域數(shù)據(jù)分析，進(jìn)行故障的最終定位，協(xié)助客戶監(jiān)控業(yè)務(wù)整體運(yùn)行狀況、定位故障，從而提升對(duì)整個(gè)網(wǎng)絡(luò)的運(yùn)維支撐能力[16]，如圖9所示。

▲圖9 泛在協(xié)同智能運(yùn)維系統(tǒng)

iDOS從運(yùn)維出發(fā)，提供智能化安全態(tài)勢(shì)感知和主動(dòng)故障預(yù)防機(jī)制，通過(guò)AI引擎持續(xù)在線進(jìn)行ML和迭代更新，訓(xùn)練生成網(wǎng)絡(luò)健康度量模型，并應(yīng)用于實(shí)時(shí)的設(shè)備和網(wǎng)絡(luò)健康監(jiān)控，快速發(fā)現(xiàn)可能導(dǎo)致業(yè)務(wù)質(zhì)量下降的網(wǎng)絡(luò)風(fēng)險(xiǎn)、設(shè)備故障、外部環(huán)境風(fēng)險(xiǎn)等，提供最佳處理建議，真正做到防患于未然。通過(guò)長(zhǎng)期監(jiān)控?cái)?shù)據(jù)，iDOS可提前識(shí)別設(shè)備、鏈路和環(huán)境等網(wǎng)絡(luò)平穩(wěn)運(yùn)行的影響因素，對(duì)健康度進(jìn)行評(píng)估，精準(zhǔn)識(shí)別潛在的風(fēng)險(xiǎn)并預(yù)測(cè)故障發(fā)生的時(shí)間，在故障發(fā)生之前提示用戶。此外，iDOS還可通過(guò)主動(dòng)預(yù)防，提前識(shí)別并更換存在隱患的硬件，指導(dǎo)運(yùn)維人員針對(duì)環(huán)境風(fēng)險(xiǎn)進(jìn)行整改，從而極大降低網(wǎng)絡(luò)故障發(fā)生率，確保企業(yè)業(yè)務(wù)所需要的高可靠性[16]，如圖10所示。

▲圖10 人工智能賦能安全態(tài)勢(shì)感知

3.5 輕量化

未來(lái)6G應(yīng)用場(chǎng)景的通信技術(shù)將從人的通信轉(zhuǎn)變?yōu)槲锏耐ㄐ拧⒁韵滦袨橹鬓D(zhuǎn)變?yōu)樯闲袨橹?、以基站為中心轉(zhuǎn)變?yōu)槿ブ行幕鹘y(tǒng)的接入技術(shù)無(wú)法滿足物理網(wǎng)等海量設(shè)備接入和實(shí)時(shí)傳輸，會(huì)引發(fā)網(wǎng)絡(luò)擁塞問(wèn)題。另外，mMTC場(chǎng)景在滿足物聯(lián)網(wǎng)、工業(yè)現(xiàn)場(chǎng)網(wǎng)絡(luò)、智慧城市等應(yīng)用同時(shí)，也會(huì)面臨網(wǎng)絡(luò)安全挑戰(zhàn)，例如在終端、接入和數(shù)據(jù)方面的安全威脅：

（1）終端安全威脅。mMTC場(chǎng)景下的終端具有低功耗、低成本的特點(diǎn)，但海量終端的計(jì)算資源和存儲(chǔ)資源有限，難以支持復(fù)雜的安全防護(hù)機(jī)制和強(qiáng)安全加密算法，因此安全防護(hù)能力較弱，容易成為攻擊者的主要目標(biāo)。

（2）接入安全威脅。mMTC場(chǎng)景下的設(shè)備數(shù)量龐大，海量的終端設(shè)備接入網(wǎng)絡(luò)后同時(shí)觸發(fā)接入認(rèn)證流程，容易引起信令風(fēng)暴，導(dǎo)致網(wǎng)絡(luò)擁塞并加大終端設(shè)備的能源消耗。因此，針對(duì)這類設(shè)備的認(rèn)證機(jī)制需要進(jìn)行簡(jiǎn)化。采用高效而輕量化的認(rèn)證機(jī)制，可減少認(rèn)證時(shí)間，減輕網(wǎng)絡(luò)擁塞程度。

（3）數(shù)據(jù)安全威脅。在mMTC業(yè)務(wù)場(chǎng)景中，網(wǎng)絡(luò)服務(wù)、功能及數(shù)據(jù)的開(kāi)放共享增加了對(duì)用戶隱私和敏感數(shù)據(jù)的完整性和機(jī)密性保護(hù)難度。如未采取必要的數(shù)據(jù)保護(hù)措施，則可能會(huì)引發(fā)數(shù)據(jù)泄露風(fēng)險(xiǎn)。采取用戶權(quán)限管理、安全認(rèn)證、安全隔離、網(wǎng)絡(luò)安全加固、審計(jì)等措施，可有效提升數(shù)據(jù)安全能力。

因此，傳統(tǒng)5G接入技術(shù)無(wú)法滿足mMTC場(chǎng)景海量設(shè)備連接和實(shí)時(shí)傳輸需求，需要演進(jìn)為輕量化的接入和認(rèn)證技術(shù)，實(shí)現(xiàn)極簡(jiǎn)無(wú)連接和高過(guò)載傳輸?shù)暮Ａ吭O(shè)備互聯(lián)。例如，多用戶共享接入（MUSA）技術(shù)就實(shí)現(xiàn)了簡(jiǎn)化傳輸交互流程和去中心化，以支持海量設(shè)備互聯(lián)。經(jīng)過(guò)實(shí)測(cè)，MUSA可實(shí)現(xiàn)每平方公里9 000萬(wàn)次的連接，這是國(guó)際電信聯(lián)盟（ITU）定義的90倍。相應(yīng)的安全保護(hù)機(jī)制也是mMTC場(chǎng)景的安全關(guān)鍵技術(shù)，具體可從輕量級(jí)接入認(rèn)證、輕量級(jí)密鑰管理及加解密、隱私數(shù)據(jù)保護(hù)等來(lái)尋求安全解決方案。

（1）輕量級(jí)接入認(rèn)證

針對(duì)mMTC場(chǎng)景的MUSA技術(shù)簡(jiǎn)化了接入信令交互流程，有時(shí)甚至只需要1條信令就能實(shí)現(xiàn)用戶接入，因此有必要建立支持大規(guī)模設(shè)備的、靈活可靠的認(rèn)證機(jī)制。簡(jiǎn)化算法和運(yùn)算邏輯，完成海量設(shè)備和網(wǎng)絡(luò)側(cè)的認(rèn)證，既能保證連接的安全性，又能降低對(duì)資源的使用。

物理層認(rèn)證是實(shí)現(xiàn)輕量級(jí)接入認(rèn)證的關(guān)鍵技術(shù)之一。利用無(wú)線網(wǎng)絡(luò)物理層的私有信道特征實(shí)現(xiàn)的低復(fù)雜度、高安全性的安全方案，分為基于設(shè)備指紋的認(rèn)證和基于信道指紋的認(rèn)證兩種。前者利用硬件設(shè)備的電特性差異提取設(shè)備獨(dú)有的特征，將唯一標(biāo)識(shí)作為設(shè)備的認(rèn)證指紋；后者不需要額外的信號(hào)提取設(shè)備，從無(wú)線信道特征入手，利用不同位置設(shè)備的信道特征之間存在的不相干性進(jìn)行認(rèn)證。文獻(xiàn)[17]提出一種在認(rèn)證過(guò)程中可以使用的非監(jiān)督式學(xué)習(xí)方法，來(lái)增強(qiáng)物理層的安全性。

（2）輕量級(jí)密鑰管理及加解密

傳統(tǒng)密碼學(xué)技術(shù)的核心是依靠密鑰強(qiáng)度來(lái)保護(hù)系統(tǒng)安全，使得攻擊者在有限的時(shí)間和算力條件下無(wú)法破解密鑰。而海量終端設(shè)備由于能力受限，無(wú)法提供復(fù)雜的密鑰管理和密鑰存儲(chǔ)條件，導(dǎo)致傳統(tǒng)密碼學(xué)技術(shù)難以使用，因此需要引入輕量級(jí)的密鑰管理和加解密技術(shù)。

物理層密鑰生成技術(shù)也是實(shí)現(xiàn)輕量級(jí)密鑰管理和加解密的解決方案。其原理是利用發(fā)射和接收信道中的隨機(jī)熵來(lái)生成用于通信的保密密鑰[18]。通過(guò)信道的互易性、時(shí)變性、唯一性等特征，基站與用戶對(duì)信道進(jìn)行探測(cè)，得到共同隨機(jī)性以生成對(duì)稱密鑰，進(jìn)行輕量級(jí)的加解密處理。物理層密鑰生成可以做到一次一密（OTP），實(shí)現(xiàn)最強(qiáng)的密碼安全保護(hù)。

（3）隱私數(shù)據(jù)保護(hù)

終端數(shù)據(jù)傳輸保護(hù)技術(shù)包括空口加密和完整性保護(hù)、非接入層（NAS）信令加密和完整性保護(hù)、無(wú)線資源控制（RRC）信令加密和完整性保護(hù)、空口業(yè)務(wù)數(shù)據(jù)加密和完整性保護(hù)等。在mMTC場(chǎng)景中，諸如自動(dòng)駕駛、可穿戴設(shè)備、遠(yuǎn)程醫(yī)療終端等物聯(lián)網(wǎng)設(shè)備在日常使用中會(huì)收集、存儲(chǔ)和傳輸大量個(gè)人隱私數(shù)據(jù)。個(gè)人數(shù)據(jù)可以是與已識(shí)別或可識(shí)別人員直接或間接相關(guān)的任何信息，如姓名、身份證號(hào)碼、用戶位置和社交身份[19]。我們需要根據(jù)不同的業(yè)務(wù)場(chǎng)景和用戶對(duì)象提供差異化的隱私數(shù)據(jù)保護(hù)能力，對(duì)用戶隱私數(shù)據(jù)的請(qǐng)求、存儲(chǔ)、傳輸?shù)雀鱾€(gè)環(huán)節(jié)采取隱私保護(hù)措施。

4 結(jié)束語(yǔ)

在5G之前，甚至在5G-Advanced階段，安全技術(shù)都不是內(nèi)生的，而是對(duì)業(yè)務(wù)功能的補(bǔ)充和增強(qiáng)。隨著6G顛覆性技術(shù)應(yīng)用（如太赫茲和可見(jiàn)光通信、智能表面技術(shù)、通信感知一體化等）的發(fā)展，6G網(wǎng)絡(luò)架構(gòu)和形態(tài)將發(fā)生系統(tǒng)性變化。網(wǎng)絡(luò)安全不再是傳統(tǒng)的“外掛式”和“補(bǔ)丁式”，而是內(nèi)生的。這也是人們進(jìn)行6G安全研究的共識(shí)。

本文中，我們回顧了5G的基礎(chǔ)安全能力和技術(shù)，以及5G-Advanced的安全技術(shù)演進(jìn)，并分析了6G內(nèi)生安全特征和內(nèi)生安全關(guān)鍵技術(shù)，希望為后續(xù)6G安全技術(shù)研究提供參考。