摘 要
5G 專網作為 5G 網絡的一種重要部署方式，成為行業(yè)用戶生產工作中重要的網絡基礎環(huán)境，5G 專網的廣泛推廣亟須解決數據安全的問題。以 5G 數據安全架構為基礎，提出 5G 專網數據安全架構，并對數據在采集、傳輸、存儲、處理、交換等過程中的幾項關鍵技術進行了分析，為 5G 專網數據安全防護方案提供參考。
內容目錄：
1 數據安全
1.1 定義
1.2 數據安全威脅及措施
1.3 數據安全保護
2 5G 數據安全
2.1 5G 數據安全需求及標準
2.2 5G 數據安全架構
3 5G 專網數據安全技術
3.1 面向行業(yè)用戶的 3 種 5G 專網模式
3.2 5G 專網數據安全防護架構
3.3 5G 專網數據安全防護新技術
3.4 5G 專網安全防護技術
4 結 語
《數據安全法》的出臺標志著數據安全建設及監(jiān)管工作進入有法可循、有法可依的新時代。目前，《網絡安全法》《數據安全法》《個人信息保護法》這“三駕馬車”構成了我國數據安全領域完整的基礎性法律體系，為國家、地方、行業(yè)、個人的數據安全保護提供了最重要的法律參考依據。
5G 作為新一代信息通信技術演進升級的重要方向，是未來物聯網、智慧城市、智慧家庭、車聯網等萬物互聯的基礎。5G 時代為人們的生活提供了更豐富的服務類型 ，促進了一系列新興產業(yè)的發(fā)展，為移動通信的發(fā)展提供了無限生機。5G 網絡實現了萬物互聯，因此 5G 帶來數據從數量、維度、內容等方面的爆發(fā)式增長。5G 專網是面向垂直行業(yè)的一種重要網絡形態(tài)，數據量大且敏感，因此如何保證 5G 系統(tǒng)的數據安全是我們亟須解決的問題。
1、數據安全
1.1 定義
《數據安全法》對數據安全給出了明確的定義。數據安全，是指通過采取必要措施，確保數據處于有效保護和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。數據的生命周期包括采集、傳輸、存儲、處理、交換、銷毀這 6個主要階段。數據安全不僅要確保貫穿數據全生命周期內的安全，以及數據防護過程的安全，而且對安全合規(guī)監(jiān)管也有更高的要求，包括確保數據的機密性、完整性、可用性不受破壞等。
1.2 數據安全威脅及措施
1.2.1 數據采集階段
在數據采集階段，存在注入惡意數據、篡改采集數據等風險。在數據采集階段，需根據業(yè)務需求和相關標準要求做好數據的分類分級管理。首先保證數據采集平臺的安全可信，同時對敏感數據進行信息加密保護，對采集行為進行日志記錄和審計。
1.2.2 數據傳輸階段
在數據傳輸階段，主要存在數據泄露和數據篡改威脅。對于重要敏感數據，可以通過傳輸加密、數據完整性保護等措施保證數據傳輸階段的安全。
1.2.3 數據存儲階段
隨著數據規(guī)模的擴大，很多企業(yè)和用戶將數據存儲在第三方的云服務器上，即便自行存儲也同樣存在數據被非法竊取、篡改、損壞等安全問題。因此，需采用數據訪問的身份認證和訪問控制、數據備份和恢復、敏感數據加密存儲等多種手段進行保護，并對存儲數據的設備及基礎設施做好訪問控制、安全基線和風險評估。
1.2.4 數據處理階段
目前數據處理通常在云計算平臺中進行，由于云平臺中各租戶網絡、存儲、計算等資源是共享使用的，導致私有數據安全邊界模糊，存在數據泄露、篡改等安全風險。因此需采用安全隔離、訪問控制等多種技術手段實現云租戶的邊界安全，在數據訪問和處理中堅持最小分配原則，合規(guī)使用者僅訪問必要數據，除非獲得授權，否則無權訪問數據。
1.2.5 數據交換階段
數據進行有序的共享和交換是發(fā)揮數據價值的關鍵一環(huán)，但是數據交換階段存在非法截獲數據、數據污染篡改等安全問題。在數據交換階段，可以采用數據匿名化、多方安全計算、同態(tài)加密和個人隱私計算等保證數據交換過程中的安全。
1.2.6 數據銷毀階段
在數據銷毀階段，由于待銷毀數據量大，可能存在數據銷毀不徹底，數據被非法還原造成信息泄露等風險，特別是對于個人隱私等數據需要采用多次擦除等技術手段保證數據的銷毀。
1.3 數據安全保護
數據安全保護應以制度為標，技術為本，在數據保護的基礎上安全地利用數據，促進數據價值發(fā)揮。做好數據安全保護，信息系統(tǒng)的管理方和數據運營方可以從以下 6 個方面入手開展工作。
(1)識別重要核心數據資產，對數據進行分類分級的保護。
(2)分析重要核心數據面臨的安全威脅，分析安全風險，確定數據安全保護策略。
(3)對數據所承載的信息系統(tǒng)，按照信息系統(tǒng)的保護需求，按照等級保護、分級保護等相關標準規(guī)范，為信息系統(tǒng)、關鍵基礎設施等數據的承載支撐平臺建立安全防護體系。
(4)構建數據安全技術體系，保證數據全生命周期的安全。
(5)建立完善的數據安全機構組織、制度流程和培訓考核機制，建立健全管理手段。
(6)加強數據安全運營和實戰(zhàn)演練。
2、5G 數據安全
5G 將大幅度推動物聯網的發(fā)展，最終實現萬物互聯的目標。作為當前大數據線下數據主要來源的物理設備，在 5G 的推動下，能夠采集的數據量更大，同時，隨著車聯網、可穿戴設備、智慧城市等項目的推進，采集的面會越來越廣，數據量呈現爆發(fā)式增長的態(tài)勢。同時，5G 網絡是我國的關鍵基礎設施，對于國家安全的重要性不言而喻，因此 5G 的數據安全問題亟須解決。
2.1 5G 數據安全需求及標準
我們可以從多個維度來分析 5G 的數據安全需求。從數據生命周期的角度，5G 數據安全是需要保障數據采集、傳輸、存儲、處理、交換、銷毀等全生命周期的安全。從業(yè)務的角度，需要保障增強移動寬帶(Enhanced Mobile Broadband，eMBB)、海量機器類通信(Massive Machine Type Communication，mMTC)和高可靠低時延(Ultra Reliable Low-Latency Communications，uRLLC)3 大類 5G 業(yè)務的數據安全。從系統(tǒng)架構的角度，需要保障5G終端設備、5G接入網絡、5G核心網、5G 邊緣、應用系統(tǒng)的數據安全。面對復雜的 5G系統(tǒng)、豐富的 5G 應用，5G 數據安全的標準制定、安全體系設計尤為重要。
我國正積極制定 5G 數據安全專用標準體系，工信部發(fā)布的《電信和互聯網行業(yè)數據安全標準體系建設指南》明確提出建設 5G 數據安全標準體系。中國通信標準化協(xié)會已發(fā)布和在研的與數據安全相關的標準包括 YD/T 3813—2020《基礎電信企業(yè)數據分類分級方法》《5G 數據安全總體技術要求》《工業(yè)互聯網數據安全分類分級指南》《物聯網業(yè)務數據分類分級方法》《5G 數據安全評估規(guī)范》等。已發(fā)布的個人信息保護、全生命周期各環(huán)節(jié)等數據安全相關標準有 GB/T 35273—2020《信息安全技術 個人信息安全規(guī)范》、GB/T 39335—2020《信息安全技術 個人信息安全影響評估指南》、YD/T 3628—2019《5G 移動通信網安全技術要求》等。
2.2 5G 數據安全架構
中國通信協(xié)會在發(fā)布的《5G 數據安全防護白皮書》中提出了 5G 數據安全的防護體系。
該防護體系主要包括 5G 通用數據安全、5G基礎設施安全、5G設備數據安全、無線數據安全、核心網數據安全、5G 業(yè)務數據安全 6 個方面。
(1)5G 通用數據安全主要實現數據采集、傳輸、存儲、處理、共享和銷毀的安全。
(2)5G 基礎設施安全主要實現物理安全、云平臺安全和網絡安全，為 5G 網絡提供安全的基礎設施。
(3)5G 設備數據安全主要實現接入安全、通信安全、數據存儲安全和其他數據安全。
(4)無線數據安全實現 5G 信令完整性保護、信令機密性保護和密鑰保護。
(5)核心網數據安全包括邊緣計算數據安全、網絡功能虛擬化(Network Function Virtualization，NFV)/ 軟 件 定 義 網 絡(Software Define Network，SDN)數據安全和網絡切片數據安全。
(6)5G 業(yè)務數據安全實現車聯網、工業(yè)互聯網等 5G 垂直行業(yè)數據安全。
3、5G 專網數據安全技術
3.1 面向行業(yè)用戶的 3 種 5G 專網模式
面向行業(yè)用戶的 5G 專網包括 3 種模式：虛擬專網(公網切片)、混合專網(專網切片)和獨立物理專網。
3.1.1 虛擬專網
虛擬專網是基于 5G 公網，將公網資源進行按需分配，實現網絡能力的靈活組合，采用切片等技術，在 5G 公網上虛擬出多個具備不同特性的邏輯子網絡，為用戶提供端到端的虛擬化網絡資源，為行業(yè)應用提供定制化的無線專網能力。5G 虛擬專網部署如圖 1 所示。
圖 1 5G 虛擬專網部署
虛擬專網是一種低成本專網模式。對于電力、政務等業(yè)務分散、需實現廣域覆蓋的用戶，虛擬專網是非常好的專網模式，可以利用公網覆蓋實現全域覆蓋和業(yè)務系統(tǒng)的部署，同時 5G虛擬專網能夠對業(yè)務提供服務質量協(xié)議(Service Level Agreement，SLA)保障(速率、可靠性、時延、連接數等)。
3.1.2 混合專網
混合專網即專網切片，專網在局部區(qū)域共享公網的無線資源，將邊緣計算(Mobile Edge Computing，MEC)/ 用 戶 面 功 能(User Plane Function，UPF)下沉到行業(yè)用戶的本地，采用獨立的核心網或共享公網核心網，用戶應用部署在用戶本地邊緣平臺上，實現數據的本地卸載。5G 混合專網部署如圖 2 所示。
圖 2 5G 混合專網部署
混合專網適用于工廠、園區(qū)、醫(yī)院、港口等垂直行業(yè)用戶，需求為：能夠提供局域連接、對數據的安全性要求較高、業(yè)務數據總流量大、對網絡時延抖動控制要求高。5G 混合專網能夠將網絡能力、計算能力、存儲能力、應用等在靠近客戶的位置(即邊緣計算節(jié)點)就近整合，提供高可靠性及低時延的網絡服務能力，實現“用戶數據不出場”。
3.1.3 獨立物理專網
獨立物理專網采用專有頻段和專有基站、獨立或共享核心網、所有網元均在用戶本地部署，可在本地配置邊緣云等服務。5G 獨立物理專網部署如圖 3 所示。
圖 3 5G 獨立物理專網部署
獨立物理專網適用于應急部門、政府部門或大型企業(yè)等，這些用戶對安全要求高，需建立專網基站實現局部區(qū)域覆蓋。
3.2 5G 專網數據安全防護架構
從上述 3 種專網的部署結構可以看出，5G專網的數據安全防護架構可以參照 5G 數據安全防護架構建立。對于 5G 專網的行業(yè)用戶，5G專網的數據安全需要考慮終端、5G 網絡和行業(yè)應用的數據安全。
終端的數據安全需要解決專網終端平臺的安全、數據采集和數據存儲的安全。
5G 網絡可以分為兩種情況：第一種是采用運營商的核心網，通過 MEC/UPF 實現邊緣節(jié)點的專網架構;第二種是自建專網核心網的 5G 專網。對于第一種情況，由于運營商的 5G 網絡已經根據第三代合作伙伴計劃(3rd GenerationPartnership Project，3GPP) 的 安 全 要 求， 實 現了終端的接入安全和通信信息保護，解決了 5G接入網和核心網的通信安全、傳輸安全，因此5G 核心網的網元、MEC/UPF 通常部署在云平臺上，并采用較完善的云平臺安全防護措施實現了核心網和 MEC/UPF 中用戶數據的采集、存儲、交換的安全。對于自建 5G 核心網的情況，應按照 3GPP 的安全要求，采用基礎安全云平臺，實現自建 5G 核心網的數據存儲安全、數據傳輸處理安全。
行業(yè)應用的云端是行業(yè)用戶數據存儲、處理、交換的重要區(qū)域，首先需要解決行業(yè)應用基礎平臺的安全，可以綜合采用數據加密存儲、數據隔離防護、數據安全交換等多種安全防護手段，重點解決行業(yè)應用平臺的數據交換安全、數據處理安全、數據存儲安全。綜上所述，5G專網數據安全防護架構如圖 4 所示。
圖 4 5G 專網數據安全防護架構
3.3 5G 專網數據安全防護新技術
數據安全需要新技術進行基礎支撐，以下多項新技術將會對數據安全帶來巨大影響。這些新技術覆蓋數據安全生命周期各個階段，具體如表 1 所示。
表 1 數據安全新技術
3.4 5G 專網安全防護技術
對于 5G 專網數據安全的防護，需要采用成熟技術和新技術相結合，實現終端、網絡、邊緣、應用的整體防護，本文將對以下幾項安全防護技術進行探討。
3.4.1 專網終端的可信安全技術5G
專網終端采用可信安全技術構建專網終端的可信安全架構，如圖 5 所示，保證終端基礎環(huán)境安全，從而確保數據采集、存儲安全。終端可信安全架構以密碼技術為基礎，以可信密碼模塊為核心，實現終端的可信基本輸入輸出系統(tǒng)(Basic Input Output System，BIOS)、可信操作系統(tǒng)、可信運行環(huán)境和可信應用軟件，由可信安全策略對終端進行策略控制及策略執(zhí)行反饋、審計。
圖 5 專網終端可信安全架構
3.4.2 數據匿名技術
在 5G 專網的數據采集和交換環(huán)節(jié)，通常需要對個人敏感信息進行采集，可以對個人敏感信息采用泛化、屏蔽、隨機化等處理措施，實現非授權人員無法識別出與敏感信息對應的個人主體，以達到“匿名”效果，保護個人隱私。數據匿名技術主要包括 K- 匿名、L- 多樣性、T- 近似性以及差分隱私 4 種。
(1)K- 匿名：除敏感數據外，對可以確定個人主體身份的數據項(如身份證號、手機號、地址等)采用屏蔽、泛化等處理措施，保證數據表中至少有K(K≥ 2)條記錄具有相同的取值。
(2)L- 多樣性：不僅保證處理后的數據表中至少包含 K 個相同記錄，而且通過修改敏感屬性或添加偽記錄來保證處理后所得的任意等價組的敏感屬性至少包含 L 個不同的值。
(3)T- 近似性：不僅保證形成的等價組至少包含 K 個記錄，而且通過修改敏感屬性或添加偽造記錄，保證任意的等價組的敏感屬性的分布與全局的敏感屬性分布之間的距離度量值小于 T。
(4)差分隱私：在采集和交換數據時，在個人用戶側利用隨機化算法等對采集到的個人敏感數據進行相應的處理，使得服務器無法獲得個人用戶的真實敏感信息，但服務器采集到足夠多的加入噪聲的數據后也能起到了解總體數據分布的業(yè)務需求。在交換數據前，利用隨機化算法，進行集中批量處理。
可以看出，在隱私保護效果方面，差分隱私 >T- 近似性 >L- 多樣性 >K- 匿名，而從性能和數據可用性來考慮則完全相反，因此實際使用過程中要結合具體場景進行靈活選擇。
3.4.3 5G 專網中的同態(tài)加密技術
由于 5G 終端的處理能力有限，因此專網中的數據處理、數據存儲通常是由云計算平臺完成的，如果終端直接將數據交給云，則無法保證安全性，所以使用同態(tài)加密技術，讓云來對加密后的數據進行處理，然后將處理結果返回終端。同態(tài)加密可以對加密后的數據進行處理，擁有密鑰的用戶對處理過的數據進行解密后，得到處理后的結果與對明文數據處理的結果一致。
同態(tài)加密是實現多方安全計算的一種方式，也是比較適用于 5G 專網數據傳輸、存儲、處理的方法，包括加法同態(tài)、乘法同態(tài)和全同態(tài)加密。第一個加法同態(tài)加密方案由 Pailer 提出，加法同態(tài)的加密函數滿足 Enc(A)+Enc(B)=Enc(A+B)，可執(zhí)行密文數據的加減運算。第一個乘法同態(tài)加密方案由 Elgamal提出，乘法同態(tài)的加密函數滿足 Enc(A)×Enc(B)=Enc(A×B)，可執(zhí)行密文數據的乘除運算。全同態(tài)加密的加密函數同時滿足加法同態(tài)和乘法同態(tài)，全同態(tài)加密可以完成各種運算，包括加減乘除、多項式、指數、對數、三角函數等。第一個完全同態(tài)加密方案由 Gentry 于 2009 年提出，該方案允許任意復雜的操作并且在量子時代也是安全的。
4、結 語
隨著 5G 網絡的廣域覆蓋，行業(yè)用戶 5G 專網的應用日益豐富和成熟，行業(yè)用戶 5G 專網用于醫(yī)療、衛(wèi)生、應急保障、生產等多個行業(yè)，增強寬帶、物聯網、超可靠低時延等業(yè)務都可基于 5G 專網進行承載。5G 專網的成功應用實現了數據的匯集和應用，5G專網的數據安全非常重要。本文針對 5G 專網的數據安全問題，對采用可信計算技術增強終端安全進行了分析，對采用數據匿名技術進行隱私保護進行了探討，對采用同態(tài)加密技術實現 5G 專網的數據傳輸、存儲、處理安全進行了分析，為 5G 專網數據安全設計提供參考。然而，5G 專網數據安全問題重要且具有挑戰(zhàn)，還需開展體系化設計，建立5G 專網的數據安全防御體系
引用格式：陳福莉 , 彭豐偉 , 蔡羅成 .5G 專網數據安全技術研究 [J]. 信息安全與通信保密 ,2023(2):26-33.
作者簡介 >>>陳福莉，女，碩士，高級工程師，主要研究方向為移動通信安全;彭豐偉，男，碩士，主要研究方向為信號處理及信息安全;蔡羅成，男，碩士，高級工程師，主要研究方向為移動通信安全。
選自《信息安全與通信保密》2023年第2期(為便于排版，已省去原文參考文獻)
來源： 信息安全與通信保密雜志社
