5G網絡借助于NFV（網絡功能虛擬化）和SDN（軟件定義網絡）技術，在相同的物理基礎網絡設施上構建多個邏輯網絡切片，以滿足針對不同垂直行業(yè)對網絡時延、傳輸速率、連接數、移動性等指標差異化需求。

然而由于網絡切片共享相同的網絡資源，且貫穿整個通信網絡協(xié)議棧，對于切片的接入認證和數據安全都帶來了全新的挑戰(zhàn)。

一、5G網絡切片及實現機制

網絡切片是一組運行在通用物理硬件上的多個 NF（網絡功能）的編排組合，具備獨立提供網絡服務能力的端到端虛擬網絡。運營商通過能力開放接口和切片編排設計將5G網絡開放給垂直行業(yè)應用。

根據具體應用的不同需求，5G網絡對切片所需的功能、配置及實例化等進行描述和定義，并通過網絡編排和管理系統(tǒng)根據切片藍圖完成網絡資源（計算、存儲、網絡）的分配和激活，完成網絡切片部署。

5G網絡采用服務化網絡架構，確保了網絡能力對不同垂直行業(yè)用戶全面開放，并可靈活對網絡容量進行彈性伸縮，以應對不同應用場景的動態(tài)需求。

二、5G切片的數據安全挑戰(zhàn)

5G網絡切片從UE（用戶設備）申請網絡切片管理到切片接入、切片間的數據交互，以及切片資源編排策略等方面，存在著以下安全風險：

切片認證和權限管理：

如果UE對于網絡切片缺乏認證和授權，一方面數據或服務很可能被篡改或偽造，導致切片選擇錯誤，使UE不能從正確的切片獲得服務或者使未申請服務的UE被接入切片；另一方面非授權的UE可能會進入到網絡切片中消耗切片資源，甚至導致不同類型的攻擊行為。

終端接入切片的安全：

如果終端接入過程沒有受到足夠保護，攻擊者或可通過重放竊聽到的報文，導致系統(tǒng)不必要的運行超載，影響系統(tǒng)可用性和服務質量；同時竊聽接入鏈路的攻擊者將可能獲得一些敏感服務權限，甚至得到相關的信息并劫持正在進行的會話注入自己的數據報文，將為5G服務以及相關垂直行業(yè)帶來極大的安全隱患。

切片通信安全：

當網絡切片完成專用網絡功能的時候，不同網絡切片之間、 RAN（無線接入網）切片和核心網絡切片之間都可能需要進行通信。由于網絡切片基于SDN和NFV技術，網絡基礎設施層各網元間資源共用和調度將非常頻繁，對底層安全隔離要求提出極大挑戰(zhàn)。在所有網間切片通信中，網絡切片之間的接口極易受到攻擊，對切片數據的機密性和完整性造成嚴重威脅。

三、海泰切片數據安全加固方案

針對垂直行業(yè)客戶特定需求，海泰方圓從以下幾個方面開展了基于國產密碼技術的5G切片數據安全防護研究：

（一）多級應用安全切片架構設計

提出了一種多級應用安全切片架構，實現基于NFV/SDN的多級密碼安全保障機制，建立切片內的安全通道，確保數據傳輸的機密性、完整性以及防重放攻擊等。一方面解決了垂直行業(yè)的差異化需求對5G網絡切片資源調度和安全策略的影響；另一方面也將第三方安全能力編排到5G網絡切片中，解決垂直行業(yè)的第三方安全服務與網絡切片緊密結合的問題。

（二）多元組合切片認證策略

在網絡切片傳統(tǒng)身份管理技術的增強機制基礎上，重點對切片接入可信身份管理、多元信任模式下的切片組合認證策略等技術進行研究，建立了基于國產密碼技術的統(tǒng)一身份認證機制，對5G網絡切片應用中的各種應用場景進行統(tǒng)一的身份標識管理，兼容支持多種認證協(xié)議，實現多種認證機制的統(tǒng)一融合。既可避免非授權UE消耗切片資源，又能有效防止切片數據泄露等安全威脅。

（三）差異化切片密鑰分發(fā)技術

結合垂直行業(yè)的典型應用場景，設計了在切片接入、切片內部、不同切片間等情況下的密鑰管理體制與模型，制定適用于各種應用場景下的切片密鑰管理協(xié)議、機制、方式、方法等，包括計算能力較弱或者低能耗終端設備，以及低時延等場景（mIoT、uRLLC），實現差異化切片安全能力的密鑰管理和密鑰分發(fā)。

（四）網絡切片安全態(tài)勢感知和預警技術

通過研究虛擬資源隔離、網絡切片下的安全態(tài)勢感知技術，結合垂直行業(yè)網絡基礎設施特點、網絡行為規(guī)律，用戶行為分析和預測技術以及密碼服務管理技術等，提出了涉及多樣化的網絡設備、運營服務、數據交互、第三方擴展等全方面技術方案，解決了5G網絡切片的數據安全態(tài)勢感知和預警問題。

四、未來展望

目前，對5G網絡切片的應用安全以及5G網絡與垂直行業(yè)應用的充分融合仍處于研究探索過程，對于網絡切片安全認證機制和網絡切片數據安全面臨的其他潛在問題還需要深入分析和論證，海泰方圓也將持續(xù)加大對國產密碼與5G切片技術相結合的研究和探索，為廣大垂直行業(yè)客戶提供更有針對性的數據安全保障。