5G 专网数据安全技术研究

１数据安全1.1定义《数据安全法》对数据安全给出了明确的定义。数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。数据的生命周期包括采集、传输、存储、处理、交换、销毁这6个主要阶段。数据安全不仅要确保贯穿数据全生命周期内的安全，以及数据防护过程的安全，而且对安全合规监管也有更高的要求，包括确保数据的机密性、完整性、可用性不受破坏等。1.2数据安全威胁及措施1.2.1数据采集阶段在数据采集阶段，存在注入恶意数据、篡改采集数据等风险。在数据采集阶段，需根据业务需求和相关标准要求做好数据的分类分级管理。首先保证数据采集平台的安全可信，同时对敏感数据进行信息加密保护，对采集行为进行日志记录和审计。1.2.2数据传输阶段在数据传输阶段，主要存在数据泄露和数据篡改威胁。对于重要敏感数据，可以通过传输加密、数据完整性保护等措施保证数据传输阶段的安全。1.2.3数据存储阶段随着数据规模的扩大，很多企业和用户将数据存储在第三方的云服务器上，即便自行存储也同样存在数据被非法窃取、篡改、损坏等安全问题。因此，需采用数据访问的身份认证和访问控制、数据备份和恢复、敏感数据加密存储等多种手段进行保护，并对存储数据的设备及基础设施做好访问控制、安全基线和风险评估。1.2.4数据处理阶段目前数据处理通常在云计算平台中进行，由于云平台中各租户网络、存储、计算等资源是共享使用的，导致私有数据安全边界模糊，存在数据泄露、篡改等安全风险。因此需采用安全隔离、访问控制等多种技术手段实现云租户的边界安全，在数据访问和处理中坚持最小分配原则，合规使用者仅访问必要数据，除非获得授权，否则无权访问数据。1.2.5数据交换阶段数据进行有序的共享和交换是发挥数据价值的关键一环，但是数据交换阶段存在非法截获数据、数据污染篡改等安全问题。在数据交换阶段，可以采用数据匿名化、多方安全计算、同态加密和个人隐私计算等保证数据交换过程中的安全。1.2.6数据销毁阶段在数据销毁阶段，由于待销毁数据量大，可能存在数据销毁不彻底，数据被非法还原造成信息泄露等风险，特别是对于个人隐私等数据需要采用多次擦除等技术手段保证数据的销毁。1.3数据安全保护数据安全保护应以制度为标，技术为本，在数据保护的基础上安全地利用数据，促进数据价值发挥。做好数据安全保护，信息系统的管理方和数据运营方可以从以下6个方面入手开展工作。（1）识别重要核心数据资产，对数据进行分类分级的保护。（2）分析重要核心数据面临的安全威胁，分析安全风险，确定数据安全保护策略。（3）对数据所承载的信息系统，按照信息系统的保护需求，按照等级保护、分级保护等相关标准规范，为信息系统、关键基础设施等数据的承载支撑平台建立安全防护体系。（4）构建数据安全技术体系，保证数据全生命周期的安全。（5）建立完善的数据安全机构组织、制度流程和培训考核机制，建立健全管理手段。（6）加强数据安全运营和实战演练。２5G数据安全5G将大幅度推动物联网的发展，最终实现万物互联的目标。作为当前大数据线下数据主要来源的物理设备，在5G的推动下，能够采集的数据量更大，同时，随着车联网、可穿戴设备、智慧城市等项目的推进，采集的面会越来越广，数据量呈现爆发式增长的态势。同时，5G网络是我国的关键基础设施，对于国家安全的重要性不言而喻，因此5G的数据安全问题亟须解决。2.15G数据安全需求及标准我们可以从多个维度来分析5G的数据安全需求。从数据生命周期的角度，5G数据安全是需要保障数据采集、传输、存储、处理、交换、销毁等全生命周期的安全。从业务的角度，需要保障增强移动宽带（EnhancedMobileBroadband，eMBB）、海量机器类通信（MassiveMachineTypeCommunication，mMTC）和高可靠低时延（UltraReliableLow-LatencyCommunications，uRLLC）3大类5G业务的数据安全。从系统架构的角度，需要保障5G终端设备、5G接入网络、5G核心网、5G边缘、应用系统的数据安全。面对复杂的5G系统、丰富的5G应用，5G数据安全的标准制定、安全体系设计尤为重要。我国正积极制定5G数据安全专用标准体系，工信部发布的《电信和互联网行业数据安全标准体系建设指南》明确提出建设5G数据安全标准体系。中国通信标准化协会已发布和在研的与数据安全相关的标准包括YD/T3813—2020《基础电信企业数据分类分级方法》《5G数据安全总体技术要求》《工业互联网数据安全分类分级指南》《物联网业务数据分类分级方法》《5G数据安全评估规范》等。已发布的个人信息保护、全生命周期各环节等数据安全相关标准有GB/T35273—2020《信息安全技术个人信息安全规范》、GB/T39335—2020《信息安全技术个人信息安全影响评估指南》、YD/T3628—2019《5G移动通信网安全技术要求》等。2.25G数据安全架构中国通信协会在发布的《5G数据安全防护白皮书》中提出了5G数据安全的防护体系。该防护体系主要包括5G通用数据安全、5G基础设施安全、5G设备数据安全、无线数据安全、核心网数据安全、5G业务数据安全6个方面。（1）5G通用数据安全主要实现数据采集、传输、存储、处理、共享和销毁的安全。（2）5G基础设施安全主要实现物理安全、云平台安全和网络安全，为5G网络提供安全的基础设施。（3）5G设备数据安全主要实现接入安全、通信安全、数据存储安全和其他数据安全。（4）无线数据安全实现5G信令完整性保护、信令机密性保护和密钥保护。（5）核心网数据安全包括边缘计算数据安全、网络功能虚拟化（NetworkFunctionVirtualization，NFV）/软件定义网络（SoftwareDefineNetwork，SDN）数据安全和网络切片数据安全。（6）5G业务数据安全实现车联网、工业互联网等5G垂直行业数据安全。３5G专网数据安全技术3.1面向行业用户的3种5G专网模式面向行业用户的5G专网包括3种模式：虚拟专网（公网切片）、混合专网（专网切片）和独立物理专网。3.1.1虚拟专网虚拟专网是基于5G公网，将公网资源进行按需分配，实现网络能力的灵活组合，采用切片等技术，在5G公网上虚拟出多个具备不同特性的逻辑子网络，为用户提供端到端的虚拟化网络资源，为行业应用提供定制化的无线专网能力。5G虚拟专网部署如图1所示。图15G虚拟专网部署虚拟专网是一种低成本专网模式。对于电力、政务等业务分散、需实现广域覆盖的用户，虚拟专网是非常好的专网模式，可以利用公网覆盖实现全域覆盖和业务系统的部署，同时5G虚拟专网能够对业务提供服务质量协议（Service

LevelAgreement，SLA）保障（速率、可靠性、时延、连接数等）。3.1.2混合专网混合专网即专网切片，专网在局部区域共享公网的无线资源，将边缘计算（MobileEdge

Computing，MEC）/用户面功能（UserPlane

Function，UPF）下沉到行业用户的本地，采用独立的核心网或共享公网核心网，用户应用部署在用户本地边缘平台上，实现数据的本地卸载。5G混合专网部署如图2所示。图25G混合专网部署混合专网适用于工厂、园区、医院、港口等垂直行业用户，需求为：能够提供局域连接、对数据的安全性要求较高、业务数据总流量大、对网络时延抖动控制要求高。5G混合专网能够将网络能力、计算能力、存储能力、应用等在靠近客户的位置（即边缘计算节点）就近整合，提供高可靠性及低时延的网络服务能力，实现“用户数据不出场”。3.1.3独立物理专网独立物理专网采用专有频段和专有基站、独立或共享核心网、所有网元均在用户本地部署，可在本地配置边缘云等服务。5G独立物理专网部署如图3所示。图3

5G独立物理专网部署独立物理专网适用于应急部门、政府部门或大型企业等，这些用户对安全要求高，需建立专网基站实现局部区域覆盖。3.25G专网数据安全防护架构从上述3种专网的部署结构可以看出，5G专网的数据安全防护架构可以参照5G数据安全防护架构建立。对于5G专网的行业用户，5G专网的数据安全需要考虑终端、5G网络和行业应用的数据安全。终端的数据安全需要解决专网终端平台的安全、数据采集和数据存储的安全。5G网络可以分为两种情况：第一种是采用运营商的核心网，通过MEC/UPF实现边缘节点的专网架构；第二种是自建专网核心网的5G专网。对于第一种情况，由于运营商的5G网络已经根据第三代合作伙伴计划（3rdGenerationPartnershipProject，3GPP）的安全要求，实现了终端的接入安全和通信信息保护，解决了5G接入网和核心网的通信安全、传输安全，因此5G核心网的网元、MEC/UPF通常部署在云平台上，并采用较完善的云平台安全防护措施实现了核心网和MEC/UPF中用户数据的采集、存储、交换的安全。对于自建5G核心网的情况，应按照3GPP的安全要求，采用基础安全云平台，实现自建5G核心网的数据存储安全、数据传输处理安全。行业应用的云端是行业用户数据存储、处理、交换的重要区域，首先需要解决行业应用基础平台的安全，可以综合采用数据加密存储、数据隔离防护、数据安全交换等多种安全防护手段，重点解决行业应用平台的数据交换安全、数据处理安全、数据存储安全。综上所述，5G专网数据安全防护架构如图4所示。图45G专网数据安全防护架构3.35G专网数据安全防护新技术数据安全需要新技术进行基础支撑，以下多项新技术将会对数据安全带来巨大影响。这些新技术覆盖数据安全生命周期各个阶段，具体如表1所示。表1数据安全新技术3.45G专网安全防护技术对于5G专网数据安全的防护，需要采用成熟技术和新技术相结合，实现终端、网络、边缘、应用的整体防护，本文将对以下几项安全防护技术进行探讨。3.4.1专网终端的可信安全技术5G

专网终端采用可信安全技术构建专网终端的可信安全架构，如图5所示，保证终端基础环境安全，从而确保数据采集、存储安全。终端可信安全架构以密码技术为基础，以可信密码模块为核心，实现终端的可信基本输入输出系统（BasicInputOutputSystem，BIOS）、可信操作系统、可信运行环境和可信应用软件，由可信安全策略对终端进行策略控制及策略执行反馈、审计。图5专网终端可信安全架构3.4.2数据匿名技术在5G专网的数据采集和交换环节，通常需要对个人敏感信息进行采集，可以对个人敏感信息采用泛化、屏蔽、随机化等处理措施，实现非授权人员无法识别出与敏感信息对应的个人主体，以达到“匿名”效果，保护个人隐私。数据匿名技术主要包括K-匿名、L-多样性、T-近似性以及差分隐私4种。（1）K-匿名：除敏感数据外，对可以确定个人主体身份的数据项（如身份证号、手机号、地址等）采用屏蔽、泛化等处理措施，保证数据表中至少有K(K≥2)条记录具有相同的取值。（2）L-多样性：不仅保证处理后的数据表中至少包含K个相同记录，而且通过修改敏感属性或添加伪记录来保证处理后所得的任意等价组的敏感属性至少包含L个不同的值。（3）T-近似性：不仅保证形成的等价组至少包含K个记录，而且通过修改敏感属性或添加伪造记录，保证任意的等价组的敏感属性的分布与全局的敏感属性分布之间的距离度量值小于T。（4）差分隐私：在采集和交换数据时，在个人用户侧利用随机化算法等对采集到的个人敏感数据进行相应的处理，使得服务器无法获得个人用户的真实敏感信息，但服务器采集到足够多的加入噪声的数据后也能起到了解总体数据分布的业务需求。在交换数据前，利用随机化算法，进行集中批量处理。可以看出，在隐私保护效果方面，差分隐私>T-近似性>L-多样性>K-匿名，而从性能和数据可用性来考虑则完全相反，因此实际使用过程中要结合具体场景进行灵活选择。3.4.35G专网中的同态加密技术由于5G终端的处理能力有限，因此专网中的数据处理、数据存储通常是由云计算平台完成的，如果终端直接将数据交给云，则无法保证安全性，所以使用同态加密技术，让云来对加密后的数据进行处理，然后将处理结果返回终端。同态加密可以对加密后的数据进行处理，拥有密钥的用户对处理过的数据进行解密后，得到处理后的结果与对明文数据处理的结果一致。同态加密是实现多方安全计算的一种方式，也是比较适用于5G专网数据传输、存储、处理的方法，包括加法同态、乘法同态和全同态加密。第一个加法同态加密方案由Pailer提出，加法同态的加密函数满足Enc(A)+Enc(B)=Enc(A+B)，可执行密文数据的加减运算。第一个乘法同态加密方案由Elgamal提出，乘法同态的加密函数满足Enc(A)×Enc(B)=Enc(A×B)，可执行密文数据的乘除运算。全同态加密的加密函数同时满足加法同态和乘法同态，全同态加密可以完成各种运算，包括加减乘除、多项式、指数、对数、三角函数等。第一个完全同态加密方案由Gentry于2009年提出，该方案允许任意复杂的操作并且在量子时代也是安全的。４结语随着