徐令予博客
考槃在澗，碩人之寬。獨寐寤言，永矢弗諼。考槃在阿，碩人之薖。獨寐寤歌，永矢弗過。考槃在陸，碩人之軸。獨寐寤宿，永矢弗告。
5G時代的網絡安全態勢，兼談量子通信之迷思
作者：徐令予
網上的世界很精采，網上的世界真的很無奈。“人在網上飄，處處都是刀。”正在向我們走來的新一代5G移動互聯網，使得網絡安全和隱私保護的形勢更為嚴峻。
5G網絡將覆蓋手機、智能家居、自動駕駛汽車、遠程醫療服務、智能城市服務體係等領域，真可謂一網打盡。試想你坐在高速公路上的自動駕駛汽車裏，黑客侵入係統控製了你坐的汽車，或者你的智能家居的視頻和數據被盜取，你不僅會失去尊嚴甚至命在旦夕。加強網絡安全、保護用戶隱私已經到了刻不容緩的地步。
5G移動網的安全標準的規劃和製定正在緊鑼密鼓地推進中。本文將展示5G如何實現兩個不同的安全目標。第一個目標是保護5G網絡本身，沒有穩定可靠的網絡運營一切通信安全無從說起。第二個同樣重要的目標，是提供方法和機製來保護那些建立在5G平台之上的各種服務。
5G網絡對於eMBB(增強移動寬帶)、mMTC(海量機器類通信)、uRLLC(超可靠、低時延通信)這三大應用場景和相關的安全要求都有明確的規劃，參見圖1。
為了提高通信安全和保護用戶隱私，在繼承3G、4G網絡安全技術的基礎上，5G網絡又開發了多種全新的網絡安全機製，其中的“網絡切片”、“多元可擴展認證”和“智能型主動防禦”這三種安全機製最值得關注和期待。
（一）構建網絡切片安全機製
為提高通信係統的靈活性、可擴展性和部署速度，5G網絡將引入IT新技術、新架構，這其中包括了NFV/SDN（網絡功能虛擬化/軟件定義網絡）以及服務導向型架構。
為了用一張物理網絡滿足不同的業務需求，5G在網絡統一的底層物理基礎設施上通過NFV和SDN這些虛擬化技術生成相應的網絡拓撲以及網絡功能，為每一個特定業務類型生成一個網絡切片(Slice)。每一個網絡切片在物理上源自統一的網絡基礎設施，這樣大大降低了運營商運營多個不同業務類型的建網成本;而在邏輯上切片之間又是隔離的，邏輯的獨立性為每一類業務對功能的個性化定製和係統的獨立運行維護提供了基礎。邏輯隔離的網絡安全切片，又可用來支持各種應用場景對安全的差異化需求。
網絡切片是5G及未來通信網絡中的一項關鍵技術，其麵向業務配置網絡的特性可以有效地助力垂直行業進行數字化轉型。不同移動終端的安全性能和對安全的需求在不同的應用場景可以是完全不同的。例如，用於手機之類視頻播放的eMBB終端，對終端認證、加解密的安全需求同LTE類似；而傳感器式的終端，由於計算能力有限、安全需求不高、又對成本敏感，它僅需輕量級的認證、加解密算法；對於高可靠安全通信，終端則需要快速接入認證、強加密算法的支持。因此，網絡切片安全首先需要為不同終端提供差異化安全保護。
但這些技術的引入也對網絡安全帶來了巨大的挑戰，由於它使網絡物理邊界變得十分模糊，以前依賴物理邊界防護的各種安全機製難以發揮作用。所以，新的安全機製必須適應虛擬化、雲化的需要。
網絡切片的特征是切片和切片之間在邏輯功能上是分離的，但在物理資源上是共享的。因而切片安全的首要問題是如何做到網絡切片之間徹底的安全隔離。如果沒有隔離，擁有某個切片訪問權限的攻擊者，會以此切片為跳板，攻擊其他的目標切片。一個切片可以橫跨多個子域:如終端、接入網、核心網、承載網等，各個子域的隔離都需要考慮，並進行資源的統籌安排，以達到一致的、端到端的隔離要求。其次，在實際業務運行時，終端切片網絡的網元交互、安全協議、流程，都需要考慮到相應的隔離。
（二）多元信任模型和可擴展的身份管理機製
在3G、4G時代，移動通信網主要業務是語音、短信和移動寬帶，業務類型相對比較單一。在傳統移動網絡中，網絡對用戶入網認證，並作為管道承載用戶與服務間的業務認證，用戶與網絡構成二元信任模型。這樣就鏟除了2G時代無身份認證而造成的偽基站和身份偽冒的種種困擾。
進入5G時代，移動通信網絡不隻是服務於個人消費者，更重要的是將服務於垂直行業，衍生出極為豐富的新產品。5G時代不僅僅是更快的移動網絡或更強大的智能手機，而是產生諸如mMTC和URLLC這些鏈接世界的新型業務。在5G網絡中，將融合傳統二元信任模型，並構建多元信任模型。網絡和垂直行業可結合進行業務身份管理，使得業務運行更加高效，用戶的個性化需求得以滿足。
4G網絡身份管理的主要對象是移動寬帶用戶，采用以設備為單位的對稱密鑰管理體製，很好的滿足了運營商的要求。而5G網絡麵臨大量新增的物聯網設備和可穿戴設備，使用傳統的用戶管理機製在開戶、認證等方麵成本過於高昂，已經不能完全滿足5G用戶管理的需求，因此需要製定靈活可擴展的身份管理機製，根據業務特征及其新的安全威脅進行優化，在安全和運營成本之間取得平衡。
海量物聯網設備對5G安全帶來了新的威脅和挑戰，包括大規模的網絡攻擊行為，海量設備認證查詢風暴等。為了應對這些新的安全威脅和挑戰，5G安全架構需考慮支持分布式安全機製，即根據認證和防禦等需求部署分布式的安全功能。分布式安全功能又包括分布式認證和分布式防禦兩個子功能。
分布式認證：作為5G重要業務場景，海量物聯網設備同時接入認證將會對網絡的數據處理能力提出太苛刻的要求。而傳統集中式的認證機製中，每次設備的認證都需要調用核心身份服務器，從而造成針對該服務器的查詢風暴衝擊。因此5G安全架構需要分布式的認證機製以應對海量設備的認證需求。分布式認證機製對於設備的認證可以通過多個分布式的認證節點並行處理，從而減少對於核心身份服務器的訪問，支撐海量設備的高效認證。分布式認證節點的部署可以根據海量物聯網設備的分布情況進行靈活化的部署，降低網絡的認證成本和複雜度。分布式認證機製可以采用基於證書的安全機製，也可以采用基於身份的安全機製。
分布式防禦：分布式安全防禦技術的理念是通過在網絡邊緣節點部署安全防禦能力，從更靠近源頭的地方扼製攻擊行為，實現更敏捷的安全防禦。具體體現在，為滿足海量物聯網設備的接入防禦機製，5G安全可將安全防禦能力部署在更靠近物聯網設備的接入點。防禦能力包括DDoS防禦機製，分布式殺毒防禦技術等。此方式可及時地應對設備的攻擊行為，降低海量設備的接入攻擊威脅。
（三）智能化(AI)主動安全防禦機製
5G是個開放的網絡，海量物聯網設備暴露在戶外、硬件資源受限、無人值守，易受黑客攻擊和控製，因此將會麵臨大量的網絡攻擊。如果采用現有的人工防禦機製，不僅響應速度慢，還將導致防禦成本急劇增加，所以需要考慮采用智能化(AI)防禦來自海量物聯網設備的安全威脅。此外，網絡攻擊日趨自動化，0day攻擊的可能性越來越大，5G網絡需要考慮由被動變主動的安全防禦機製。
上麵介紹的“網絡切片”、“多元可擴展認證”和“智能型主動防禦”這三種安全機製至關重要，但它們並不是保護5G移動網的通信安全和用戶隱私的全部內容，由於篇幅和技術深度等原因，本文就不作更多的介紹了。
因為5G運營周期會長達20年，在這段時期中，如果量子計算技術進入實用階段，傳統公鑰密碼被攻擊的風險會增大。所以，5G應為公鑰密碼算法的升級做好預案。在密鑰分發管理體製方麵，還是要支持分層結構化的密鑰派生機製。同時，為了應對認證機製變化，切片引入和用戶麵的完整性保護，有必要進一步改革完善傳統密鑰的生成、分發和管理體製。
5G網絡的安全標準的規劃和討論已經有很長一段時間了，國際組織間的認識正在趨於一致，世界通信巨頭中國華為不久前也發表了關於5G網絡安全的白皮書。所有這些有關未來一二十年通信安全的公開的文件中，均未有一言半語提及量子通信工程(QKD)。這看似意料之外，實在情理之中，是完全合乎思維邏輯、符合工程建設規律的。QKD事實上隻是密鑰分發的一種特殊方式，而這種方式在實際應用中有許多工程上很難克服的障礙，它並不適合互聯網環境，與未來的移動互聯網更是格格不入。其原因至少可以列出以下幾點。
1）麵向未來的移動互聯網決定於NFV和SDN這兩項新技術。NFV(網絡功能虛擬化)通過使用x86等通用性硬件以及虛擬化技術，來承載很多功能的軟件處理,使網絡設備功能不再依賴於專用硬件，從而降低網絡昂貴的設備成本。SDN(軟件定義網絡)的核心技術OpenFlow通過將網絡設備控製麵與數據麵分離開來，從而實現了網絡流量的靈活控製，構建虛擬網絡，使得電訊運營商進一步擺脫電訊設備供應商。新一代的網絡的總趨勢是：網絡功能的軟件化；硬件設備的通用化；和網絡結構的虛擬化和雲化。
麵對移動互聯網的發展總趨勢，QKD卻反其道而行之：把軟件化的傳統密碼功能硬件化；增加了量子密鑰生成終端、光量子交換器、可信任中繼站等專用設備，使得網絡硬件進一步專用化而不是通用化，迫使運營商更依賴於設備供應商；同時又在原有的網絡環境中疊床架屋，導致網絡結構的複雜化和僵硬化，阻礙網絡應用服務的靈活化、個性化、和可擴展化。
2）不同移動終端的安全性能和對安全的需求在不同的應用場景中可以是完全不同的。5G的網絡切片技術可以對不同終端和服務提供差異化安全保護。但是QKD利用物理方法提供密鑰分發，這種技術在性能、價格和方法上沒有任何靈活多變性，完全不具備對不同終端和服務提供差異化安全保護的能力。
3）5G網絡將要釆用的多元信任模型、可擴展的身份管理機製和分布式認證機構，麵對移動互聯網安全的這些新技術，QKD注定是一個失落的局外者。
4）5G網絡實施差異化安全服務的根本原因還是一個“錢”字，在移動互聯網上的絕大部份用戶追求的隻能是以盡可能低的價格獲取足夠的網絡安全。在影響到千家萬戶的互聯網環境中，安全必定隻能是一個相對性概念，脫離成本價格談安全是極不負責任的行為。使用可信中繼技術的QKD既不安全又價格賊貴，質次價高的QKD對於互聯網的普世大眾是難以承受的負擔！
5）今日之網絡安全不僅隻是保護通信信道安全，保護用戶隱私已經成為安全的關鍵。雖然信道安全和用戶隱私有一定的聯係，但這是兩個不同的問題，應對的方法也不一樣，QKD隻與通信信道安全有關，它對保護用戶隱私的作用非常有限。
總上所述，“量子通信”希圖隨著5G時代的來臨飛入千家萬戶注定隻能是黃粱一夢。
