【观点】基于5G的智慧机场网络安全方案设计与安全性分析

微信扫码，打开到小程序

2023 年 10 月 Chinese Journal of Network and Information Security October 2023 第 9 卷第 5 期 网络与信息安全学报 Vol.9 No.5 基于 5G 的智慧机场网络安全方案设计与安全性分析 邢馨心 1，左青雅 2，刘建伟 1 （1. 北京航空航天大学网络空间安全学院，北京 100083；2. 北京邮电大学国际学院，北京 100876） 摘 要：面向智慧机场网络安全方案的实际应用需求，提出了一种基于 5G 的智慧机场网络安全方案。该方 案分析了智慧机场 5G 场景的安全特点及安全需求，从统一安全管控、网络切片安全、安全监测预警、边缘 计算安全、物联网感知节点安全 5 方面总结了当前场景下存在的安全需求痛点，并设计了基于 5G 的智慧机 场网络安全方案，其功能组成包括面向泛在网络的 5G 网络统一安全管控功能、轻量化的 5G 网络身份认证 鉴权功能、面向多业务需求的 5G 网络切片安全防护、基于大数据分析的 5G 网络安全监测预警、基于边缘 计算的一体化安全防护功能、基于设备行为分析的感知节点安全防护功能，构建了集业务加密、网络安 全、终端可信、身份可信、安全管控于一体的安全平台。此外，分析了现有 5G 认证与密钥协商（AKA， authentication and key agreement）协议中潜在的伪造基站攻击。由于缺少对 SN 转发的消息的真实性验证，攻 击者可以冒充真实的服务网络与用户设备和归属网络进行通信，从而进行基站伪装攻击。这种攻击可能会 导致智慧机场网络数据泄露，并遭遇敌手的篡改、欺骗等问题。针对智慧机场网络安全需求和 5G 认证与密 钥协商协议的安全问题，设计了抗攻击的改进 5G 认证与密钥协商协议，并通过形式化安全模型、安全目标 定义与形式化的安全性分析证明了所提方案的抗攻击能力。 关键词：5G；系统设计；安全协议；安全性分析 中图分类号：TP393 文献标志码：A DOI: 10.11959/j.issn.2096−109x.2023075 5G-based smart airport network security scheme design and security analysis XING Xinxin1, ZUO Qingya2, LIU Jianwei1 1. School of Cyber Science and Technology, Beihang University, Beijing 100083, China 2. International School, Beijing University of Posts and Telecommunications, Beijing 100876, China Abstract: To meet the security requirements of smart airports, a 5G-based smart airport network security solution 收稿日期：2023−05−08；修回日期：2023−08−18 通信作者：左青雅，3495128112@qq.com 基金项目：国家自然科学基金（U21B2021，61972018，61932014）；国家重点研发计划（2021YFB2700200） Foundation Items: The National Natural Science Foundation of China (U21B2021, 61972018, 61932014), The National Key R&D Program of China (2021YFB2700200) 引用格式：邢馨心, 左青雅, 刘建伟. 基于 5G 的智慧机场网络安全方案设计与安全性分析[J]. 网络与信息安全学报, 2023, 9(5): 116-126. Citation Format: XING X X, ZUO Q Y, LIU J W. 5G-based smart airport network security scheme design and security analy- sis[J]. Chinese Journal of Network and Information Security, 2023, 9(5): 116-126. 第 5 期 邢馨心等：基于 5G 的智慧机场网络安全方案设计与安全性分析 ·117· was proposed. The security characteristics and security requirements of the 5G scenario in smart airport were analyzed, and the pain points of security requirements in the current scenario were summarized in five aspects: unified security management and control, network slicing security, security monitoring and early warning, edge computing security, and IoT-aware node security. And then a 5G network security system was designed for smart airports. The functional components of this system included 5G network unified security management and control functions for ubiquitous networks, lightweight 5G network identity authentication and authentication functions, 5G network slice security protection for multi-service requirements, 5G network security monitoring and early warning based on big data analysis, integrated security protection function based on edge computing, and sensory node security protection function based on device behavior analysis. This comprehensive approach built an all-in-one security platform covering business encryption, network security, terminal trustworthiness, identity trustworthiness, and security management and control. Additionally, the potential counterfeit base station attacks in the existing 5G authentication and key agreement (AKA) were analyzed. Due to the lack of authenticity verification of the messages forwarded by the SN, the attacker can pretend to be the real SN to communicate with the UE and the HN, thus carrying out the base station masquerading attack. This kind of attack may lead to the leakage of smart airport network data, and encounter problems such as tampering and deception by opponents. Aiming at the network security requirements of smart airports and the security issues of 5G authentication and key agreement protocol, an improved 5G authentication and key agreement protocol was designed. Formal security models, security goal definitions, and analysis were performed to ensure the robustness and effectiveness of the protocol against attacks. Keywords: 5G, system design, security protocol, security analysis 0 引言 5G 作为新一代的通信技术与智能产业创新 的重要底层基础设施，5G 技术主要面向“增强型 移动宽带（eMBB，enhanced mobile broadband）” “高可靠低时延连接（uRLLC，ultra reliable and low latency communication）”“海量物联（mMTC， massive machine type communications）”三大应用 场景，突破了传统通信环境的底层制约，解除了 传统移动业务发展的限制，充分拓展了移动业务 系统的应用能力。通过运用网络功能虚拟化[1] （NFV，network functions virtualization）、软件定 义网络[2]（SDN，software defined network）、网络 切片[3]、移动边缘计算[4]（MEC，mobile edge computing）等技术，5G 能够为业务资源按需获 取、业务运行快速响应等提供重要的技术支撑[5-6]， 催生社会经济向数字化的转型升级。5G 技术的发 展带动了技术生态系统的全面繁荣，包括物联网、 自动驾驶、智能制造、智慧医疗、航空、云边端 协同计算等领域，使得“万物互联”时代的到来 不再遥远。 近年来，中国民用航空经历了快速发展的阶 段，中国民用航空的客运量和货运量呈现持续增 长的态势，年均增长率高于全球平均水平。此外， 中国民用航空产业的技术水平不断提高。目前， 5G 通信技术已经在我国民用航空领域得到应用， 主要包含大规模设备与传感器的联网管理、乘客 与货物的智能管理、大规模指挥调度、地面应急 事件处理等。 5G 移动通信技术在为智慧机场提供新服务 的同时，也给其网络安全防护设计带来了新的挑 战。传统的安全设计主要是识别并建立信息系统 的安全边界，并在安全边界处实施安全隔离与信 息流管控，允许合法的信息进入系统，拒绝非法 的信息进入系统。然而，在 5G 移动通信网络中， NFV 与 SDN 等技术的使用，使得控制面与数据 面分离，导致网络安全边界更加模糊，信息交互 更加复杂，网络安全防护难度增大[6]。此外，在 智慧机场场景下，大规模异构设备的管理为网络 认证与安全管控提出了新的挑战。因此，传统的 安全防护设计难以有效应对新型的 5G 网络安全 威胁，需要采取更加先进的安全防护措施，如秘 密信息安全流转、网络流量监测、行为分析等技 术，以确保 5G 移动通信网络的安全。 ·118· 网络与信息安全学报 第 9 卷 1 基于 5G 的智慧机场网络安全特点及安 全需求 随着 5G 技术的迅速发展，其高速率、高可 靠、低时延、大容量等优势，使其成为建设智慧 机场网络的重要支撑。基于 5G 的智慧机场网络 的风险挑战与安全需求[7-8]体现在以下 5 个方面。 （1）统一安全管控 智慧机场 5G 核心网后台中存在大量安全敏 感网元（如策略控制功能、鉴权服务器功能等）。 核心网的安全性直接保证了系统中资源、数据的 保密性和完整性，保护了系统设备不受未授权用 户的侵犯。但其易遭到分布式拒绝服务（DDoS， distributed denial of service）、女巫攻击等敌手攻 击，使终端节点暴露于未授权使用者[9]，影响系 统的可用性。因此，需要将智慧机场 5G 网络中 各系统、设备、虚拟网元等纳入统一的安全监控， 并提供实时、稳定、高效的安全管控手段。 （2）网络切片安全 网络切片技术作为智慧机场 5G 网络的重要 组成部分，通过应用软件定义网络、网络功能虚 拟化等技术，将单个物理网络划分为多个逻辑子 网，服务于智慧机场中具有不同网络性能需求的 垂直业务，提高了网络的灵活性和可扩展性。但 同时多业务切片的虚拟化和服务化技术使得设备 的控制面和数据面解耦，导致网络边界模糊。 智慧机场 5G 安全需求异构化程度高，在网 络切片技术方面提出了更高的安全要求。结合 NGMN（next generation mobile network）联盟列 举的 5G 网络切片安全问题[10]进行分析，智慧机 场 5G 网络要求在切片的跨片安全通信、切片隔 离、切片资源安全配置[11]、切片虚拟化安全等方 面实现更加完善的保障[12]，以满足智慧机场中具 有不同网络性能需求的垂直业务的安全需求。 （3）安全监测预警 智慧机场 5G 核心网大量引入了 NFV、SDN、 网络切片等技术，随着各业务系统的深度融合， 智慧机场场景下产生海量的信息数据、服务数据、 指挥数据等，使得 5G 网络流量、数据类型、数 据关联度大幅增加。随着数据与信息的不断产生 和流动，攻击者更加容易利用各种手段发起攻击， 导致系统功能失效、数据泄露、隐私泄露等风险。 因此，需要在 5G 网络安全体系架构中引入新安 全技术，以实时、全面地监测、预警和评估系统 的安全状态，并根据监测结果及时做出响应。 （4）边缘计算安全 在智慧机场数字化塔台、地勤应急处置业务 应用中，由于 5G 基站数量多、分布广，传统依 赖中心化的安全防护方案面临时延高、响应慢、 服务阻塞、单点故障等问题。为解决上述问题， 需实现基于边缘计算的一体化安全防护，将 5G 网络安全防护能力下沉到网络边缘节点，强化边 缘服务器的本地数据分析处理和网络威胁感知能 力，分担核心网的安全防护负载。 （5）物联网感知节点安全 在 5G 智慧机场应用场景中，存在大量规模 庞大、异构程度高的摄像头、传感器、安检闸机 等感知节点，用于部署智能化的运营管理系统。 这些感知节点的网络接入技术差异较大，且部署 在安全风险较大的开放环境中，容易被攻击者捕 获、替换和篡改，进而对物联网生态或智能机场 系统进行攻击。为了提高感知节点的安全性，需 要在感知节点上实施安全防护措施，如加密通 信、身份验证、数据完整性检查和实时监测。同 时，需要持续采集设备状态与行为信息，分析感 知节点的安全状态，动态调整感知节点的安全防 护策略，实现对物联网及其感知节点的有效接入 控制和安全防护，以提高感知节点的安全性和稳 定性。 2 相关工作 传统的机场网络安全系统建设主要集中在保 护传统的局域网和广域网设施，主要依赖防火墙 和入侵检测系统[13]来保护网络免受外部攻击。随 着信息技术的快速发展，机场网络的规模和复杂 性逐渐增加，带来了更多的网络安全挑战。 随着机场网络安全系统对于功能性与安全性 的要求逐渐提高，采用加密与隧道技术的虚拟专 用网络[14]、病毒和恶意软件防护系统[13]、安全认 证与访问控制系统[15]、安全审计与合规性审查等 被引入。为了防止安全漏洞扩散和限制潜在攻击 者的行动范围，机场网络开始采用网络分段和隔 第 5 期 邢馨心等：基于 5G 的智慧机场网络安全方案设计与安全性分析 ·119· 离策略[16]。随着机场网络的规模不断扩大，网络 安全事件的数量和复杂性增加。安全信息与事件 管理（SIEM）系统[17]被引入，其被用于集中管理 和分析来自各个安全设备的事件日志，从而更好 地监测和响应安全事件。 传统机场网络安全系统的局限性主要体现在： 传统机场网络安全系统的管理和维护通常较为复 杂。由于机场网络的规模和复杂性不断增加，作为 重要基础设施的机场网络安全系统可能面临各种 安全挑战，对于传统机场网络安全的需求提高。新 的智慧机场网络安全架构方案采用更先进、更完整 的技术和策略来应对新形势下的安全挑战。 3 基于 5G 的智慧机场网络安全方案设计 3.1 总体架构设计 基于上述网络安全新需求，本文选取典型的 智慧机场应用场景，提出了智慧机场 5G 移动通 信网络安全架构，主要针对 5G 用户终端、5G 无 线接入网、5G 核心网等区域，构建集业务加密、 网络安全、终端可信、身份可信、安全管控于一 体的安全平台。 基于 5G 的智慧机场网络安全架构由 5G 用户 终端域、5G 无线接入网域和 5G 核心网域部署的 各类网络安全防护系统组成。① 5G 用户终端域 主要部署生物认证客户端，主机综合防护代理和 防病毒代理等系统，用于各类用户 5G 智能终端、 5G 移动终端和 5G 数字化塔台的安全认证和保 护，实现用户终端安全可靠接入 5G 核心网后台 业务；同时还部署了感知节点安全接入模块，用 于 5G 智能安检、5G 视频监控等物联网终端的安 全认证和保护，实现物联网终端安全可靠接入 5G 核心网后台物联网业务。② 5G 无线接入网域主 要部署边缘计算安全防护设备，以实现对 5G 基 站边缘计算网络的防火墙、入侵防御、网络防病 毒、移动安全管理等一体化纵深安全防护。③ 5G 核心网域主要部署防火墙、Web 应用防火墙、数 据库行为分析仪、入侵检测系统、漏洞扫描系统、 终端防病毒系统、网络接入控制设备、安全审计 系统等传统安防系统，以及 5G 安全统一管控系 统、5G 安全态势监测预警系统、5G 轻量化身份 认证系统、5G 网络切片防护系统和 5G 感知节点 安全防护系统等专用安防系统，实现针对 5G 核 心网的安全防护能力。 3.2 功能组成 通过各类网络安全系统的集成运用，能够为 智慧机场网络提供统一安全管控、网络身份认证 鉴权、网络切片安全防护、网络安全监测预警、 边缘计算安全防护与感知节点安全防护功能。 （1）面向泛在网络的 5G 网络统一安全管控 功能 面向泛在网络的 5G 网络统一安全管控功能 主要针对 5G 网络的泛在化特点，从安全状态管 图 1 基于 5G 的智慧机场网络安全方案架构 Figure 1 Architecture of 5G netw