显然，在不考虑安全机制的情况下进行新的通信标准的开发是一件非常可疑和无用的事情。

5G安全架构 -在第5代网络中实施的一组安全机制和过程，涵盖从核心到无线电接口的所有网络组件。

实质上，第五代网络是第四代LTE网络的演进 。 无线电接入技术发生了最重大的变化。 对于第五代网络，开发了一种新的RAT （无线电接入技术） -5G New Radio 。 至于网络核心，它没有发生过如此重大的变化。 在这方面，开发5G网络的安全体系结构的重点是重用4G LTE标准中采用的相关技术。

但是，值得注意的是，对无线电接口和信令平面攻击，DDOS攻击，中间人攻击等众所周知的威胁的重新思考促使电信运营商制定新标准并集成了全新的机制。第五代网络安全。

背景知识

2015年，国际电信联盟制定了第一个有关第五代网络发展的全球计划，这就是为什么在5G网络中开发安全机制和程序的问题尤为突出的原因。

这项新技术提供了令人印象深刻的数据传输速度（超过1 Gbit / s），不到1毫秒的延迟以及能够在1 km ²的半径内同时连接大约100万个设备的能力。 第五代网络的这些最高要求反映在其组织原则中。

主要的是分散化，这意味着将许多本地数据库及其处理中心放置在网络外围。 由于维护了大量的物联网设备，这使得最小化M2M通信的延迟和减轻网络核心成为可能。 因此，新一代网络的边界扩展到了基站，使您可以创建本地通信中心并提供云服务，而不会造成严重延迟或拒绝服务的风险。 自然，改变了对网络和客户服务感兴趣的入侵者的方法，因为它为入侵者提供了攻击机密用户信息和网络组件本身的新机会，从而导致拒绝服务或占用运营商的计算资源。

第五代关键网络漏洞

攻击面大

大量的物联网设备

物联网设备的加密功能有限

分权和扩大网络边界

但是，目前，ETSI和3GPP已发布了涵盖5G网络安全各个方面的10多个标准。 此处描述的绝大多数机制旨在防止漏洞（包括上述漏洞）。 TS 23.501标准版本15.6.0是其中主要的版本 ，它描述了第五代网络的安全体系结构。

5G架构

首先，让我们谈谈5G网络架构的关键原理，这将使我们能够进一步充分揭示每个软件模块和每个5G安全功能的含义和职责范围。

• 将网络节点分为确保用户平面协议运行的元素（英语UP-用户平面）和确保控制平面协议运行的元素（英语CP-控制平面），这增加了网络扩展和部署等方面的灵活性。 e。可以集中或分散部署网络节点的各个组件。
• 基于提供给特定最终用户组的服务，对网络切片机制的支持。
• 虚拟网络功能形式的网络元素的实现。
• 支持同时访问集中式和本地服务，即，实施云计算 （来自英文雾计算 ）和边界计算 （来自英文边缘计算 ）的概念。
• 实现一个融合架构，将各种类型的接入网络（3GPP 5G新无线电和非3GPP （Wi-Fi等））与单个核心网络结合在一起。
• 无论接入网络的类型如何，均支持统一的身份验证算法和过程。
• 支持无状态状态网络功能（源自英语无状态），其中将计算出的资源与资源存储区分开。
• 支持通过本地网络的流量路由（通过英语本地路由的漫游）和来宾网络中的本地“着陆”（英语本地分支）进行的漫游。
• 网络功能之间的交互以两种方式表示： 面向服务和前端 。

第五代网络安全概念包括 ：

• 来自网络的用户身份验证。
• 用户的网络身份验证。
• 网络和用户设备之间的密码密钥的协调。
• 信号流量的加密和完整性控制。
• 用户流量的加密和完整性控制。
• 用户标识保护。
• 根据网络安全域的概念，保护不同网络元素之间的接口。
• 隔离网络切片机制的各个层，并确定每个层自身的安全级别。
• 终端服务（IMS，IoT和其他）级别的用户身份验证和流量保护。

基本的5G软件模块和网络安全功能

AMF （来自英语访问和移动性管理功能-访问控制和移动性）-提供：

• 控制平面接口的组织。
• 组织RRC交换信令流量，加密并保护其数据的完整性。
• 组织NAS信令流量的交换，加密并保护其数据的完整性。
• 管理网络中用户设备的注册并监视可能的注册条件。
• 管理用户设备与网络的连接并监视可能的状况。
• 在CM-IDLE状态下管理用户设备在网络上的可用性。
• 处于CM-CONNECTED状态的网络上用户设备的移动性管理。
• 在用户设备和SMF之间传输短消息。
• 管理地理位置服务。
• 突出显示与EPS交互的EPS流标识符。

SMF （英语会话管理功能-会话管理功能）-提供：

• 管理通信会话，即创建，修改和释放会话，包括对访问网络和UPF之间的隧道的支持。
• 用户设备IP地址的分配和管理。
• 选择要使用的UPF网关。
• 与PCF互动的组织。
• 管理QoS策略。
• 使用DHCPv4和DHCPv6协议动态配置用户设备。
• 监视计费数据的收集以及与计费系统交互的组织。
• 无缝服务交付（来自SSC-会话和服务连续性 ）。
• 与来宾网络的交互作为漫游的一部分。

UPF （用户平面功能-用户平面的功能）-提供：

• 与外部数据网络（包括全球Internet）的交互。
• 用户数据包路由。
• 根据QoS策略标记软件包。
• 用户软件包的诊断（例如，基于签名的应用程序发现）。
• 报告流量使用情况。
• UPF还是支持相同和不同无线电接入技术之间的移动性的锚点。

UDM （统一数据管理-统一数据库）-提供：

• 管理用户配置文件数据，包括存储和修改可供用户使用的服务及其参数的列表。
• 苏皮管理
• 3GPP AKA身份验证凭据生成。
• 基于配置文件数据的访问授权（例如，漫游限制）。
• 用户注册管理，即服务AMF的存储。
• 维持无缝的服务和通信会话，即，存储分配给当前通信会话的SMF。
• 短信发送管理。
• 几种不同的UDM可以将一个用户作为不同事务的一部分。

UDR （统一数据存储库）-提供各种用户数据的存储，实际上是所有网络订户的数据库。

UDSF （非结构化数据存储功能-用于存储非结构化数据的功能）-确保AMF模块保存注册用户的当前上下文。 该信息通常可以表示为不确定结构的数据。 在计划从服务中退出AMF之一时以及在紧急情况下，用户上下文都可以用于确保无缝和不间断的订户会话。 在这两种情况下，备用AMF都使用存储在USDF中的上下文“提起”服务。

UDR和UDSF在同一物理平台上的组合是这些网络功能的典型实现。

PCF （英语：Policy Control Function-策略控制功能）-生成并向用户分配各种服务策略，包括QoS参数和定价规则。 例如，可以动态创建具有不同特征的虚拟通道以传输这种或那种流量。 同时，可以考虑用户所要求的服务要求，网络拥塞程度，消耗的业务量等。

NEF （网络暴露功能）-提供：

• 组织外部平台和应用程序与网络核心的安全交互。
• 管理特定用户的QoS参数和收费规则。

SEAF （安全锚功能）-与AUSF一起为用户使用任何访问技术在网络上注册时提供身份验证。

AUSF （英语身份验证服务器功能-身份验证服务器功能）-充当身份验证服务器，接受并处理来自SEAF的请求并将其重定向到ARPF。

ARPF （认证凭证存储库和处理功能-认证凭证存储和处理功能）-提供个人秘密密钥（KI）和密码算法参数的存储，以及根据5G-AKA或EAP -AKA算法的认证向量的生成。 它位于家庭电信运营商的数据中心内，不受外部物理影响，并且通常与UDM集成。

SCMF （安全上下文管理功能）-提供5G安全上下文生命周期管理。

SPCF （安全策略控制功能-为特定用户提供安全策略的协调和应用）。 这考虑到了网络的能力，用户设备的能力以及特定服务的要求（例如，关键通信服务和无线宽带Internet访问服务提供的保护级别可能会有所不同）。 安全策略的应用包括：选择AUSF，选择身份验证算法，选择数据加密和完整性控制算法，确定密钥的长度和生命周期。

SIDF （工程订阅标识符去隐藏功能）-用于从作为身份验证过程请求“ Auth Info Req”的一部分而接收到的隐藏标识符（Eng.SUCI）中提取订户的永久订阅标识符（Eng。SUCI）。

5G网络的基本安全要求

用户设备的基本安全要求

5G网络功能的基本安全要求

基本安全程序

信任域

在第5代网络中，对网络元素的信任度随着元素从网络核心移开而降低。此概念影响5G安全架构中实施的决策。因此，我们可以讨论定义网络安全机制行为的5G网络信任模型。

在用户方面，信任域由UICC和USIM组成。

在网络方面，信任域具有更复杂的结构。

无线电接入网分为两个部分-DU（来自英语分布式单元-分布式网络单元）和CU（来自英语中央单元-中央网络单元）。他们一起组成了gNB-5G网络基站无线电接口。 DU无法直接访问用户数据，因为它们可以部署在不安全的基础架构中。 CU应该部署在安全的网段中，因为它们负责终止AS安全机制的流量。网络的核心是AMF，它终止NAS安全机制的流量。当前的3GPP 5G阶段1规范描述了AMF与SEAF安全功能的组合，其中包含访问（服务）网络的根密钥（也称为“锚键”）。奥斯夫负责存储成功认证后获得的密钥。在用户同时连接到多个无线接入网的情况下，有必要进行重用。ARPF存储用户凭据，并且等效于订户的USIM。UDR和UDM存储用户信息，该信息用于确定生成凭证，用户标识符，确保会话连续性等的逻辑。

关键等级和分配方案

在第5代网络中，与4G-LTE网络不同，身份验证过程包含两个组件：主要身份验证和辅助身份验证。连接到网络的所有用户设备都需要主身份验证。如果订户连接到外部网络，则可以根据外部网络的请求执行辅助身份验证。

成功完成一次身份验证并开发出用户与网络之间的共享密钥K后，将从密钥K （服务网络的特殊锚（根）密钥）中提取K _SEAF。随后，从该密钥生成密钥以确保RRC和NAS信令流量的机密性和数据完整性。

认证方式

初级认证

在5G网络上，EAP-AKA和5G AKA是标准的主要身份验证机制。我们将主要的身份验证机制分为两个阶段：第一阶段负责启动身份验证和选择身份验证方法，第二阶段负责用户与网络之间的相互身份验证。

启动

用户向SEAF提交注册请求，其中包含隐藏的SUCI用户订阅标识符。

SEAF向AUSF发送包含SNN（服务网络名称）和SUPI或SUCI的身份验证请求消息（Nausf_UEAuthentication_Authenticate Request）。

AUSF检查以查看是否允许请求SEAF使用此SNN。如果未授权服务网络使用此SNN，则AUSF会以“未授权服务网络”授权错误消息（Nausf_UEAuthentication_Authenticate Response）进行响应。

UDM，ARPF或SIDF通过SUPI或SUCI和SNN请求AUSF身份验证凭据。

根据SUPI或SUCI和用户信息，UDM / ARPF选择稍后将使用的身份验证方法并提供用户凭据。

相互认证

使用任何身份验证方法，UDM / ARPF网络功能必须生成一个身份验证向量（AV）。

EAP-AKA：UDM / ARPF首先使用分隔位AMF = 1生成认证向量，然后从CK，IK和SNN 生成CK'和IK'并组成新的认证向量AV（RAND，AUTN，XRES *，CK'，IK '），并将其与仅用于EAP-AKA的说明一起发送给AUSF。5G AKA：UDM / ARPF 从CK，IK获得K _AUSF密钥

SNN, 5G HE AV . 5G Home Environment Authentication Vector). 5G HE AV (RAND, AUTN, XRES, K _AUSF ) AUSF 5G AKA.

AUSF K _SEAF K _AUSF SEAF «Challenge» «Nausf_UEAuthentication_Authenticate Response», RAND, AUTN RES*. RAND AUTN NAS. USIM RES* RAND AUTN SEAF. SEAF AUSF .

AUSF比较存储在其中并从用户RES *接收到的XRES *。万一发生巧合，将通知运营商家庭网络中的AUSF和UDM认证成功，并且用户和SEAF分别从K _SEAF和SUPI 生成K _AMF密钥，以进行进一步的通信。

二级认证

5G标准支持用户设备与外部数据网络之间基于EAP-AKA的可选辅助身份验证。在这种情况下，SMF充当EAP身份验证器，并依赖于外部网络的AAA服务器的操作，该服务器对用户进行身份验证和授权。

• 进行本地网络上的强制性主要用户身份验证，并生成AMF通用的NAS安全上下文。
• AMF .
• AMF SMF SUPI .
• SMF UDM SUPI.
• SMF AMF.
• SMF EAP AAA- . SMF .
• AAA- , . SMF, UPF.

结论

尽管5G安全架构基于重用现有技术，但它仍面临着全新的挑战。大量的IoT设备，扩展的网络边界和分散式架构的元素只是5G标准的一些关键原则，可自由束缚网络犯罪分子的想象力。

主要的5G安全架构标准是TS 23.501版本15.6.0-包含安全机制和程序的工作重点。特别是，它描述了每个VNF在保护用户数据和网络节点，生成密码密钥以及实施身份验证过程中的作用。但是，即使该标准也无法解决电信运营商所面临的严峻的安全问题，而且新一代网络的开发和投入使用的力度也越来越大。

在这方面，我想相信，操作和保护第五代网络的困难不会影响那些被承诺具有传输速度和响应能力的普通用户，就像母亲的儿子迫不及待地想要尝试新一代网络的所有已发布功能。

有用的链接

3GPP规范系列
5G安全体系结构
5G系统体系结构
5G Wiki
5G体系结构说明
5G安全概述