2021中国电信5G物联网安全白皮书.pdf

目录目录 前言前言.1一、一、5G5G 时代物联网安全形势时代物联网安全形势.21.1 1.1 物联网安全现状物联网安全现状 .2 2 1.1.1 物联网设备数持续增长，增加风险暴露的可能.2 1.1.2 联网终端性能偏弱，导致整体安全性较弱，容易受攻击.3 1.1.3 物联网安全问题，所造成的损失日趋严重.4 1.1.4 物联网安全政策、标准先后出台，对产业发展提出明确要求.4 1.2 5G1.2 5G 物联网安全风险点物联网安全风险点 .6 6 1.2.1 终端的安全风险点.7 1.2.2 物联网卡的安全风险点.8 1.2.3 通信网络的安全风险点.8 1.2.4 云端/服务器端的安全风险点.9 1.2.5 物联网数据的安全风险点.10 1.2.6 应用端的安全风险点.10 二、二、5G5G 物联网安全技术物联网安全技术.122.1 2.1 整体框架整体框架 .1212 2.2 2.2 终端安全终端安全 .1313 2.2.1 芯片模组安全.13 2.2.2 卡安全.14 2.3 2.3 网络安全网络安全 .1616 2.3.1 5G 网络通用安全能力.16（1）5G 承载网安全.16（2）5G 接入网的安全.16 2.3.2 5G 物联网安全能力.17（1）5G 虚拟网（NB-IoT）的网内安全技术.17（2）5G 定制网的网内安全技术.18 2.3.3 物联网络安全产品.19 2.4 2.4 云安全云安全.2121 2.4.1 云安全能力.22 I2.4.2 云安全产品.22 2.5 2.5 平台安全平台安全 .2323 2.5.1 量子安全能力.24 2.5.2 区块链安全能力.24 2.6 2.6 数据安全数据安全 .2424 2.7 2.7 保障安全保障安全 .2525 三、物联网安全应用三、物联网安全应用.273.1 3.1 智慧城市智慧城市 .2727 3.1.1 智慧城市安全问题.27 3.1.2 智慧城市安全方案.28 3.1.3 智慧城市安全案例.28 3.2 3.2 工业互联网工业互联网 .3030 3.2.1 工业互联网安全问题.30 3.2.2 工业互联网安全方案.31 3.2.3 工业互联网安全案例.32 3.3 3.3 智慧医疗智慧医疗 .3434 3.3.1 智慧医疗安全问题.34 3.3.2 智慧医疗安全方案.35 3.3.3 智慧医疗安全案例.36 3.4 3.4 车联网车联网.4040 3.4.1 车联网安全问题.40 3.4.2 车联网安全方案.41 3.4.3 车联网安全案例.43 3.5 3.5 公共事业公共事业 .4545 3.5.1 公共事业安全问题.45 3.5.2 公共事业安全方案.46 3.5.3 公共事业安全案例.48 3.6 3.6 智慧园区智慧园区 .4949 3.6.1 智慧园区安全问题.49 3.6.2 智慧园区安全方案.49 3.6.3 公共事业安全案例.51 II四、四、5G5G 物联网安全展望物联网安全展望.534.1 5G4.1 5G 物联网安全的新格局物联网安全的新格局 .5353 4.2 5G4.2 5G 物联网安全生态趋势物联网安全生态趋势 .5454 4.2.1 推动 5G 物联网安全标准建设，奠定产业发展基础.54 4.2.2 促进物联网安全与 5G 等新技术融合，奠定产业发展新底座.54 4.2.3 全面深入对 5G 物联网安全进行评估，进而进行顶层设计.55 4.4.3 5G3 5G 物联网运营商安全行动物联网运营商安全行动 .5555 4.3.1 电信运营商的核心职能.55 4.3.2 中国电信 5G 物联网安全行动.56 III前言前言 从 2005 年，国际电信联盟（ITU）提出“物联网”概念以来，物联网在全球范围内得到了蓬勃的发展，成为数字化转型的重要使能器，而在 5G 时代，物联网又获得了新的发展动能，将继续保持旺盛的发展势头。在物联网产业蓬勃发展的过程中，有数十亿的设备接入了物联网络，使得网络风险的暴露点持续增多。而与此同时，物联网终端的智能化水平较弱，抵御网络攻击等安全风险的能力也相对较弱；并且，作为物理空间与网络空间的界面，物联网设备一旦遭到攻击，能够直接影响物理世界的安全运行，例如一辆智能网联车如果被远程黑客接管，不仅危害乘车人的安全，同时将危害周边的人身财产安全。中国电信将物联网作为核心业务，并于 2019 年成立天翼物联科技有限公司，作为业务的运营方。在物联网业务开展的过程中，公司与业内合作伙伴共同努力，促进物联网业务的端到端安全能力建设，受到了社会各界的广泛好评。基于历年在物联网安全领域的实践，天翼物联科技有限公司联合产业合作伙伴，共同撰写本白皮书。白皮书从安全形势、安全技术、安全应用和安全展望等四个方面，对 5G 物联网安全进行系统性分析，希望能够对产业链伙伴有借鉴价值。1一、一、5G5G 时代物联网安全形势时代物联网安全形势 1.1 1.1 物联网安全现状物联网安全现状 1 1.1.1.1.1 物联网设备数持续增长，增加风险暴露的可能物联网设备数持续增长，增加风险暴露的可能 根据相关机构预测，国内物联网连接总数将保持稳步增长，而 5G 将带动连接数继续保持增长，具体而言：物联网总连接量：从 2020 年至 2025 年，将保持 18.7%的年复合增长率，预期在 2025 年达到 193.5 亿，具体如图 1-1 所示。蜂窝物联网连接总量：从 2020 年至 2025 年，将保持 25.3%的年复合增长率，预期在 2025 年达到 26.7 亿，具体如图 1-2 所示图图 1 1-1 20211 2021-20252025 年国内物联网总连接数（亿）年国内物联网总连接数（亿）数据来源：艾瑞，2020 年中国物联网行业研究报告 2图图 1 1-2 20212 2021-20252025 年国内年国内蜂窝蜂窝物联网总连接数（亿）物联网总连接数（亿）数据来源：1、2020 年数据，来自工信部统计 2、2025 年数据，来自爱立信2020 全球移动报告中，关于全球范围内移动物联网比 2020 年增长比例 3、2021-2024 年数据，依据线性增长推算 对于物联网安全而言，物联网整体网络，每增加一个网络连接节点，相当于增加了一个风险暴露点，以几何级的概率放大，增大了物联网安全边界被攻破的可能性。1 1.1.2.1.2 联网终端性能偏弱，导致整体安全性较弱，容易受攻击联网终端性能偏弱，导致整体安全性较弱，容易受攻击 相比较桌面互联网、移动互联网等终端，物联网终端整体性能偏弱，主要体现在：硬件性能偏弱：出于降低成本、降低功耗等方面考虑，物联网设备的计算能力偏弱，满足对预设场景处理即可，例如采集表具数据，并对外传输。目前移动端处理器已达 5nm 级别，而物联网设备仍以 28nm，甚至 45nm 为主智能化程度不足：大部分物联网设备内部存储空间有限，尽管有智能系统，但无法安装更多应用；物联网设备生命周期较长，众多设备已不再获得厂商的安全支持存量物联网设备众多：相比较更新速度较快的桌面互联网与移动互联网终端而言，物联网终端使用时间普遍较长，例如智能表具、井盖等设计寿命即在 10 年以上，这使得安全策略落后于时代发展要求。3 在2020 年 Unit 42 物联网威胁报告中展示了一些关于美国物联网安全现状的信息，例如，98%的物联网终端在传输数据流量时，均未实现加密传输，这很容易导致数据被窃取；美国医学影像设备由于使用时间普遍较长，其中 83%的设备已经停止了安全更新。在物联网终端整体安全性较弱的背景下，物联网安全面临三个方面的挑战，第一，抵御网络攻击能力偏弱；第二，升级空间有限，无法应对新型攻击；第三，在数据传输过程中，较容易导致数据泄露。1 1.1.3.1.3 物联网安全问题，所造成的损失日趋严重物联网安全问题，所造成的损失日趋严重 物联网终端设备，是数字世界和物理世界的接口，一旦出现安全问题，能够直接对物理世界产生影响，从而导致严重问题。例如：智能网联车被控制：在白帽黑客大赛上，已经证明远程可攻破智能网联车的安全系统，包括停车状态下启动，行驶状态下操控系统被接管等。这不仅仅对乘车人的安全产生严重威胁，同时对于周边社会公众也产生了威胁。无人工厂设备被攻破：2017 年，意大利某工厂，黑客微调了上游原材料制造时的工艺参数，直到相关原材料被后续环节应用后才发现，不得不全部作废；2020 年 8 月，意大利眼镜和眼镜片巨头 Luxottica 的工厂智能设备遭遇网络攻击，使得其中断了意大利和中国工厂业务。能源输送线路被关闭：2021 年 5 月，美国最大的天然气和柴油运输管道公司 Colonial 宣布，因遭受勒索软件攻击而暂时停止运营，攻击者通过非法软件控制了其电脑系统或数据，导致其美国东部沿海各州供油的关键燃油网络全部被迫关闭。家用摄像头成偷窥利器：2017-2018 年，众多品牌家用摄像头被爆出安全性存在严重问题，在采用未加密传输视频流的背景下，家庭隐私场景被偷窥，甚至成为互联网上的黑产 1.1.4 1.1.4 物联网安全政策、标准物联网安全政策、标准先后出台先后出台，对产业发展提出明确要求，对产业发展提出明确要求 基于物联网安全的形势，国家先后出台多个政策文件，支持物联网安全的发4 展，并制定相应的物联网安全标准，具体而言：首先，在各促进物联网发展的整体政策中，均对安全提出要求。例如：信息通信行业发展规划物联网分册（2016-2020 年）：明确“推进关键安全技术研发和产业化”和“建立健全安全保障体系”。关于全面推进移动物联网（NB-IoT）建设发展的通知：明确了“建立健全 NB-IoT 网络和信息安全保障体系，提升安全保护能力。推动建立 NB-IoT 网络安全管理机制，明确运营企业、产品和服务提供商等不同主体的安全责任和义务，加强 NB-IoT 设备管理。建立覆盖感知层、传输层和应用层的网络安全体系。建立健全相关机制，加强用户信息、个人隐私和重要数据保护。”关于深入推进移动物联网全面发展的通知：明确了“建立健全移动物联网安全保障体系”，具体而言，需要“加强移动物联网安全防护和数据保护”，并“夯实移动物联网基础安全”。其次，在各促进网络安全发展的政策中，明确了对物联网安全的促进以及技术细节。网络安全产业高质量发展三年行动计划(2021-2023 年)：明确了“针对车联网和物联网，推动内生结合的轻量级终端安全产品或中间件，以及通信安全、身份认证、平台安全等防护方案应用”；“实施物联网基础安全百企千”产品培育行动，面向物联网终端、网关、平台等物联网关键环节，开展物联网安全检测、异常处置和公共服务，打造物联网安心产品”；“积极推进智慧能源、智慧农业、智能家居、智能穿戴设备等物联网场景网络安全应用，鼓励企业研制适应异构物联网场景下的端到端安全防护解决方案。针对物联网平台，发展基于安全传输、异常行为分析、可信身份、威胁分析、数据防泄漏等技术的平台安全类产品。针对物联网设备可信接入网关，加快发展身份识别、协议解析和安全检测分析技术，鼓励企业将更多安全能力集成至网关。针对物联网终端，加强物联网设备及固件的漏洞挖掘，研制集接口防护、安全认证、应用安全、敏感数据保护等于一体的嵌入式集约化安全产品，打造安心物联网。”等保 2.0 的每层级安全要求中，物联网作为独立部分。第一，安全要求5 的内容中，每层级的安全要求，均包括安全通用要求、云计算安全扩展要求、移动互联安全要求、物联网安全扩展要求、工业控制系统安全扩展要求。第二，明确了物联网安全需求的场景：主要包括即感知层、网络传输层和处理应用层等方面的要求。第三，着手制定物联网安全标准体系。基于国家物联网安全相关产业政策，TC260（全国信息安全标准化技术委员会）牵头发布了一系列物联网安全产业标准，并明确了物联网安全标准框架，如图 1-3 所示。图图 1 1-3 3 物联网安全标准体系框架物联网安全标准体系框架 数据来源：全国信息安全标准化技术委员会，物联网安全标准化白皮书，2019.10 1.2 51.2 5G G 物联网安全风险点物联网安全风险点 基于综合分析物联网应用系统模型，主要包通信网络、终端、云端（服务器端）和应用等四个层级、因此物联网安全风险点也主要聚焦在上述四个领域。6 1.2.1 1.2.1 终端的安全风险点终端的安全风险点 物联网终端分布广泛，智慧城市、智慧社区、智慧家庭、智能交通、智能物流、智能制造等行业带来越来越多不同类型的物联网终端设备。然而，物联网的多源异构性、开放性、泛在性使其面临巨大的安全威胁。相比于传统互联网，物联网覆盖领域广泛，接入终端数量巨大，应用地域和设备供应商标准分散，物联网时代的应用多样性和复杂性远超互联网。随着物联网在社会生活中的普及，应用场景不断丰富，安全风险也将随之增加，影响面越来越广，安全形势不容乐观，安全防护任务越来越重。物联网安全风险，保留了互联网的安全风险，增加了由感知设备带来的新的风险。与信息安全领域威胁不同的是，物联网是与实际物体产生关联的，如果物联网安全受到威胁，损失的可能不仅仅是信息资料，更有可能影响到人身安全或者生产设备运行安全。物联网系统安全防护能力方面，目前其处于能力分布不均，呈现“重平台、轻终端”的态势。物联网终端侧由于数量、种类繁多，感知节点呈现多源异构性；相对于传统移动网络而言，物联网中的终端设备往往处于无人值守的环境中，缺少了人对终端节点的有效监控，存在被盗取利用进而侵入应用系统风险；加上场景性能各异，安全防护能力差异化较大，其防护能力普遍较弱，成为物联网安全的薄弱环节。总之，攻击者可发起各种被动攻击（如窃听、监控和流量分析等）和主动攻击（如仿冒、篡改、干扰和重放等）；终端面临的安全风险来自环境安全（如盗窃、非法移动、恶意破坏等）和自身安全（如主板设计缺陷、物理接口未做保护、内存泄露、代码逻辑问题、固件安全机制缺乏、物联网终端设备的漏洞管理缺乏、应用安全升级缺乏、数据保护机制缺乏、无线网络模块安全配置缺乏等）。物联网安全产业方面，物联网终端结构复杂，涉及产业链环节众多，从终端层的硬件芯片、传感器、无线模组，到网络层各通信运营商，再到平台应用层的软件开发、系统集成、平台服务，这其中各个环节都在整个产业链中不可或缺。物联网安全威胁和挑战贯穿于“端-管-云-用”全生命周期，需要终端、网络、平台、应用等各个环节紧密配合、统一认识才能保障物联网安全。然而，在物联网产业高速发展、规模急剧扩张的背后，物联网厂商安全意识淡薄，安全投入不7 足。在物联网加速融入生产生活的同时，不少物联网终端设备生产厂商侧重追求新功能，对物联网安全重视不足。一方面，很多设备和硬件制造商缺乏安全意识和人才；另一方面，物联网设备数量非常庞大，价格低廉是一大特点，很多厂商通过减少安全方面的投入压缩成本，在升级、配置、补丁维护等方面投入非常薄弱。面对层出不穷的物联网安全威胁，对设备厂商提出了新的要求，不仅仅需要保证物联网终端产品的功能应用，同时还必须保证其安全。1.2.2 1.2.2 物联网卡的安全风险点物联网卡的安全风险点 物联网卡安全风险点主要来源于三个方面：实名制要求落实难，容易被滥用实名制要求落实难，容易被滥用：目前，工信部等已经要求物联网卡的使用者登记具体落实到实际使用者处，而在之前，存在政企用户办卡，然后交给个人使用，例如车联网卡等。全过程使用监测存在难度：全过程使用监测存在难度：受限于性能要求，难以对计费信息进行全量、遍历访问，从而判断违规行为；物联网卡安全认证系统存在被攻破风险：物联网卡安全认证系统存在被攻破风险：主要是前期的 2G 物联网卡等，在加密等环节上，由于技术体系问题，导致容易被攻破 1.2.3 1.2.3 通信网络的安全风险点通信网络的安全风险点 物联网络主要用于将终端从环境中获得的数据，进行传输。物联网涉及的网络具有多样性，包括无线、红外线等射频网络，各类无线或有线接入网（如窄带物联网络、无线局域网、蜂窝移动通信网、无线自组网等）。目前，物联通信网络主要风险点包括：射频传输的脆弱性。射频网络固有的脆弱性，容易受到各类攻击，例如通过发射干扰信号使读写器无法接受正常电子标签内的数据等。传输网络易受到拒绝服务攻击。由于物联网中节点数量庞大，且以集群方式存在，攻击者可以利用控制的节点向网络发送恶意数据包，发动拒绝服务攻击，造成网络拥塞、瘫痪、服务中断。非授权接入和访问网络。用户非授权接入网络，非法使用网络资源，或对网络发起攻击；用户非授权访问网络，获取网络内部数据，如用户信8 息、配置信息、路由信息等。通信网络运营商应急管控风险。对于通信网络运营商来说传统的短信、数据、语音等通信功能管控主要依据单一设备、单一功 能、单一用户进行。但物联网设备终端规模大，且不同业务的短信、数据等通信功能组合较多，若不能在网络侧通过地域、业务、用户等多维度实施通信功能批量应急管控，则无法应对海量终端被控引发的风险。1 1.2.4.2.4 云端云端/服务器端的安全风险点服务器端的安全风险点 终端传感器采集的数据及用户请求通过通信网络发送到 web 前端层并由其处理后转发至应用程序服务器层进行业务处理，处理过程中涉及数据存储部分功能会与数据库层进行数据交互。主要的风险点包括：服务端存储大量用户数据，成为攻击焦点。物联网业务系统的各种应用数据都存储在数据库层，由于用户数据高度集中，容易成为黑客攻击的目标，一旦遭受到攻击或入侵将导致数据泄露、系统业务功能被控制等安全问题。虚拟化、容器技术提高性能同时带来安全风险。目前大多数物联网业务系统都搭建在虚拟化云平台之上以实现高效的计算及业务吞吐，但虚拟化和弹性计算技术的使用，使得用户、数据的边界模糊，带来一系列更突出的安全风险，如虚拟机逃逸、虚拟机镜像文件泄露、虚拟网络攻击、虚拟化软件漏洞等安全问题。系统基础环境及组件存在漏洞，易受黑客攻击。物联网业务系统自身的漏洞，如云平台漏洞、大数据系统漏洞等都会导致系统受到非法攻击。通常物联网业务系统中会设计很多组件，如操作系统、数据库、中间件、web 应用等，这些程序自身的漏洞或设计缺陷容易导致非授权访问、数据泄露、远程控制等后果。物联网业务 API 接口开放、应用逻辑多样，容易引入新风险。业务逻辑漏洞通常是由于设计者或开发者在设计实现业务流程时没有完全考虑到可能的异常情况，导致攻击者可以绕过或篡改业务流程。比如绕过认证环节远程对物联网设备进行控制；通过篡改用户标识实现越权访问9 物联网业务系统中其他用户的数据等。物联网业务系统 API 接口开放则可能会造成接口未授权调用，导致批量获取系统中敏感数据、消耗系统资源等风险。1 1.2.5.2.5 物联网数据的安全风险点物联网数据的安全风险点 物联网数据的安全风险主要在于数据的泄露和被篡改等，以数据传输流程为依据，相关的风险点主要在于三个方面：终端的风险点。由于物联网设备自身的安全能力普遍不足，因此导致终端成为重要的数据泄露或被传感点。网络的风险点。在物联网络中，由于无线数据传输链路具有脆弱性、传输网络易受到拒绝服务攻击、存在非授权接入和访问网络等，导致网络成为数据泄露或被篡改的风险点。服务端的风险点：由于服务器端存储大量用户数据，使得其容易成为攻击的焦点，并且，由于边缘计算得以广泛应用，边端设施被攻击的概率更高。同时，由于物联网业务接口开放、应用逻辑多样，容易引入逻辑漏洞等新风险。1 1.2.6.2.6 应用端的安全风险点应用端的安全风险点 不同的物联网应用场景下，物联网拥有独特的安全风险，以消费物联网、车联网和工业互联网为例。（1 1）消费物联网）消费物联网 消费物联网以消费为主线，利用物联网智能设备极大的改善或影响人们的消费习惯为目的生产、打造的智能设备网络，包括智能家居、可穿戴设备等。其主要的安全风险包括：利用漏洞或者自动安装软件等隐秘行为窃取用户文件、视频等隐私；传播僵尸程序把智能设备变成被劫持利用的工具，如挖掘数字货币，或对外进行攻击等 通过控制设备反向攻击企业内部或其后端云平台,进行数据窃取或破坏。（2 2）车联网）车联网 10 车联网通过车载智能设备同时实现与云端服务通讯和与本 地总线通讯，实现通过手机应用对车辆进行远程控制的智能化需求。其主要的安全风险包括：传感器数据合法性难以判断，基础数据篡改引发误响应 核心控制组件存在漏洞，控制权外泄存安全隐患 接口身份认证缺失，存在非法设备接入的安全隐患 OTA 通道存在供应链威胁植入风险 智能应用存在被利用可能（3 3）工业互联网）工业互联网 工业互联网是工业生产中的应用使工业生产活动开始呈现“数字化、智能化、网络化”的特征，各个生产环节的互联互通，从而实现智能调度。其主要的安全风险包括：网络和系统资产庞杂，资产和网络边界识别困难，资产直接暴露在互联网，安全风险很大。系统和设备的服役年限较长，软硬件无法及时升级更新，存在大量安全漏洞；网络隔离措施、主机安全防护措施等技术手段缺失，无法阻止病毒和攻击 威胁感知不足，当发生入侵攻击、恶意破坏、误操作等事件发生时，用户无法即时定位和溯源；安全运营能力不足，缺乏专业安全人员和安全运营能力，缺少对安全风险的发布、跟踪、响应的闭环管理 11 二、二、5G5G 物联网安全技术物联网安全技术 2.1 2.1 整体框架整体框架 中国电信基于多年的产业实践，对于 5G 物联网安全的理解是全程全网、端到端的安全基础设施与产品体系，包含“端-边-网-云-用-数”等六个层面，具体如图 2-1 所示。图图 2 2-1 1 中国电信端到端物联网安全体系中国电信端到端物联网安全体系 基于上述体系架构，以下章节展示中国电信在 5G 物联网重点环节的技术，主要包括：终端安全：包括芯片安全、模组安全、卡安全 网络安全：网络通信，主要是接入网和承载网方面的安全性 云安全：云基础设施安全方面的方案 平台安全：CTWing 在安全方面的建设，核心包括信创、量子安全、区块链等能力建设 数据安全：包括数据资产管理、数据风险监测、数据安全共享 保障安全：面向客户的物联网系统安全保障手段，如容灾备份、7*24小时响应等。12 2.2 2.2 终端安全终端安全 2 2.2.1.2.1 芯片模组安全芯片模组安全 物联网终端集成安全能力一般采用 SDK 集成或安全芯片装载方式，有一定的改造要求。为了加快终端安全能力的对接，降低对接难度，安全厂家与模组厂商合作，将安全能力预置到通信模组中形成安全模组。利尔达与紫光展锐合作推出支持 RSA/AES/SHA 和国密 SM2/SM3/SM4 的安全 NB-IoT 模组。阿里云与移远、芯讯通等合作，推出预置阿里云 IoT 身份认证 ID2 的安全通信模组。中国电信安全公司（天翼安全科技有限公司）在物联网终端安全领域推出软件形态的 SDK 和硬件形态的终端保护器。SDK 以软件形态嵌入至物联终端内部，采用标准国密算法，实现全程端到端加密，密文传输，密文存储。同时，SDK 可以对物联终端的网络异常连接问题、口令暴力破解问题、异常端口开放问题、病毒木马植入问题等物联网攻击行为进行有效防护。如图 2-2 所示 图图 2 2-2 2 中国电信安全公司中国电信安全公司 SDKSDK 解决方案示意图解决方案示意图 终端保护器以硬件形态实现物联终端的安全接入与微隔离，对物联网组网中的东西向流量威胁以及应用层攻击威胁进行有效防护。如图 2-3 所示.13 图图 2 2-2 2 中国电信安全公司中国电信安全公司终端保护器终端保护器解决方案示意图解决方案示意图 中国电信在物联网终端安全领域打造了国密安全产品密安联，依托于中国电信智能物联网开放平台（CTWing），为客户的物联网终端与物联网开放平台的连接提供身份认证、数据加密和通道加密能力。目前提供的密安联产品支持国密算法：SM1、SM2、SM3、SM4、SM9。如图 2-4 所示。图图 2 2-3 3 密安联产品架构图密安联产品架构图 中国电信基于密安联产品，和主流模组厂商合作（移远、九联、利尔达、有方、武汉天喻等）推出定制安全模组，预先内置了安全能力 SDK 以及安全芯片。终端厂商适配时可使用 AT 指令与安全模组交互并连接中国电信 CTWing 平台。由于物联网应用厂商无需为安全能力自建安全基础设施，可复用 CTWing 平台基础设施和开放接口，实现端到端的安全能力。2 2.2.2.2.2 卡安全卡安全 物联网终端集成安全 SDK、安全芯片、安全模组等方式时，还可能面临旧有产品难适配、硬件改造成本高等问题。为了降低终端安全能力升级难度，减少硬件改造成本，安全厂家与 SIM 卡厂商合作，以安全芯片为底座，集成 SIM 卡功14 能，推出安全 SIM 卡。中移物联通过复用 SIM 卡功能，在 SIM 卡上实现安全存储、密钥管理与密码运算，推出了基于 OneNET 平台的和云盾，阿里云也将其身份认证产品 ID2烧录到 SIM 卡。中国电信基于 CTWing 平台，推出有身份认证产品 SIMID 和密安联安全 SIM卡。SIMID 是基于 SIM 卡的物联网终端可信身份认证服务，终端侧基于中国电信安全 SIM 卡构建可信身份体系，终端安全 SDK 与安全 SIM 卡协同发起终端接入身份认证，基于密码算法实现身份认证，具有身份唯一、无法仿冒、不可篡改等特点，保障物联网终端接入安全，密安联也支持以安全 SIM 卡为载体。终端厂商无需更改原有硬件设计，只需将原有的普通 SIM 卡替换为 SIMID 卡或密安联安全 SIM 卡，升级软件调用即可。目前，SIMID 卡与密安联安全 SIM 卡都已支持 AT 指令与安全 SIM 卡交互并连接中国电信 CTWing 平台。中国电信打造了模组+卡安全套件，其中模组是设备的通信连接载体，通用性是其重要的指标，而物端安全离不开基于专用安全芯片的密码和证书体系，模组基本没有集成国密安全芯片，而且相比较于 SIM（包括插拔式、贴片式和 esim）缺少在设备分发后的可管理性及可维护性，以及在物联网设备较长的生命周期中（往往大于 5 年）的可持续性。以安全 SIM 卡作为安全芯片的载体，内置符合国家标准的密钥生成及证书功能体系，在模组内开发以安全 SIM 基础的安全能力，通过接口提供给设备程序使用，并对设备程序透明对安全能力的封装，在完全合规的前提下，还可以大大降低设备获得安全功能的综合成本，设备开发商专注于业务功能的实现，只需通过配置即可获得相应级别的安全能力，并且在设备产品较长的迭代过程中可灵活升级。模-卡安全套件可以为所有的物联网设备提供一个安全合规、简单易用、透明迭代的安全方案。中国电信目前已经针对物联网卡，建立了全生命周期管理体系，形成了售前风险评估、售时分类登记、售后使用监测的模式，符合工信部等对于物联网卡管理的需要，并且在此过程中，对用户的个人数据，实现了严格的保密。15 2 2.3.3 网络安全网络安全 5G 网络是中国电信的核心资源，安全性是基础的能力建设领域，核心包括承载网和接入网的安全，同时本报告介绍了 5G 的两类关键网络（NB-IoT 与 5G定制网）的安全技术 2.3.1 5G2.3.1 5G 网络通用安全能力网络通用安全能力 （1 1）5G5G 承载网安全承载网安全 5G 承载网的安全技术特性，重点聚焦于：账户管理。基站系统支持集中账户管理和本地账户管理。集中账户是指由网管创建和管理并集中到网管进行认证的账户，本地账户是由网管创建但在基站本地进行认证的账户。账户管理支持常用的用户名密码方式认证，以及基于 PKI 的数字证书双因素认证方式。权限管理：对接入系统的用户需要做身份认证，非授权用户不能接入系统。用户接入系统后，还需要进行权限控制，即用户能够读取/修改/执行系统文件是否在授权范围内。系统需要对用户分组，不同等级的用户分组有不同的权限。传输安全：系统通过支持安全链路传输数据，使用安全通道协议（SSH）/安全文件传送协议（SFTP）/简单网络管理协议（SNMPv3）协议，以及基于这些协议实现的加密安全通道，确保数据在网络传输过程中难以被窃取和篡改。敏感信息保护：依据隐私保护原则，客户的隐私信息需要保密，也就是说没有权限的人不能查看，也无权传播。在必须要传播的某些数据中，如果携带了用户数据，则需要对用户数据做匿名化处理。（2 2）5G5G 接入网接入网的安全的安全 5G 接入网的安全技术特性，重点聚焦于：支持双向认证。2G 时代，网络对 SIM 卡进行身份合法性认证，而没有16 用户终端对网络的认证，这就造成“伪基站”。LTE 使用了全新的双向认证方式；而 5G 的双向认证流程和 LTE 变化不大，可以不换卡，不换号，并且使用 EAP-认证与密钥协商协议（AKA），支持统一框架下的双向认证；此外增加 5G-AKA 认证，是通过向归属网络提供 UE 从访客网络成功认证的证明，来进一步增强 EPS-AKA 的安全性。支持数据机密性。数据加密指发送方通过加密算法将明文数据转换为密文数据，保证数据不被泄露。5G 基站根据 SMF 发送的安全策略激活用户数据的加密，支持 NEA0、128-NEA1、128-NEA2、128-NEA3 等加密算法，加密算法再由 5G 基站通过安全模式信令（RRC）指示给 UE。加密密钥由 UE 和 5G 基站分别生成。支持数据完整性。支持数据完整性指发送方通过完整性算法计算出完整性消息认证码（MAC-I），接收方通过完整性算法进行计算（X-MAC），再比较 MAC-I 和 X-MAC 是否一致，以保证数据不被篡改。5G 基站根据 SMF发送的安全策略激活用户数据的完整性保护。完保算法由 5G 基站通过RRC 信令指示给 UE。5G 基站支持 NEA0、128-NEA1、128-NEA2、128-NEA3 等完整性算法，发送方采用协商确定的某一完整性保护算法。完保密钥由 UE 和 5G 基站分别生成。2 2.3.2.3.2 5G5G 物联网安全能力物联网安全能力 5G 物联网的场景应分成两大类，一个是 5G 虚拟网，是连接公共区域的物联网，如 NB-IoT 的网络安全；另一个是 5G 定制网，聚焦于私有区域的物联网。（1 1）5G5G 虚拟网（虚拟网（NBNB-IoTIoT）的网内安全技术的网内安全技术 NB-IoT 网络是“云-管-端”体系架构中管道侧重要的无线连接方式，是连接业务平台和终端设备的桥梁，NB-IoT 网络将终端设备采集的数据传输到相关的业务平台。NB-IoT 无线接入网架构由一个或多个基站（eNB）组成，基站通过 S1 接口连接到核心网 EPC 或物联网专有 EPC，NB-IoT 基站之间可以通过 X2接口连接（如图 2-5 所示）。17 图图 2 2-5 NB5 NB-IoTIoT 网络架构网络架构 NB-IoT 网内安全主要涉及网络接入安全、数据传输安全及网络异常流量等方面，其核心技术点包括：接入认证：NB-IoT 网络应加强与用户设备（User Equipment，UE）的双向身份识别和认证，提高接入认证强度、完善上网日志留存等网络层面溯源手段。其原理为，UE 和移动性管理实体（Mobility Management Entity，MME）应产生并共享一个中间密钥 KASME，MME 应能向 UE 分配一个唯一临时标识（Globally Unique Temporary UE Identity，GUTI），以保护用户身份的机密性。当 MME 不能根据 GUTI 识别用户身份时，应当由 MME 发起用户识别身份标识流程，向用户请求永久身份标识（International Mobile Subscriber Identification Number，IMSI），完成身份的双向认证。提高传输通道安全：保证 NB-IoT 网络数据传输安全，采用密码复杂程度较高的算法对传输通道进行加密，防止用户数据在传输过程中遭到中间人、重放攻击，避免用户数据被窃取、篡改，有效保证数据的机密性和完整性。此外，为防止遭到 DDoS 拒绝服务攻击，提高 NB-IoT 网络安全防护能力，应部署网络安全防护手段，加强核心网与互联网边界安全，采用纵深防御模式，通过多层防护、多点联动等方式实施全面安全防护，有效保证数据的可用性。（2 2）5G5G 定制网的网内安全技术定制网的网内安全技术 中国电信 5G 定制网面向广域优先型行业客户、时延敏感型区域政企客户及安全敏感型区域政企客户，分别提供“致远”、“比邻”、“如翼”三种服务18 模式。5G 定制网具有专属化、定制化、端到端全方位防护的特点。基于网络切片、VPN、防火墙等技术，为客户提供端到端安全隔离、安全传输等专网保障；基于云管边端全方位的安全感知、防护和处置能力，为客户提供智能协同的安全防护专网防护；基于安全能力的定制化、按需调用，提供客户自主管理、电信代管代维等安全定制服务，为客户提供全方位安全专网服务。可提供全面的安全隔离保障，可确保专网与公网之间、专网与专网之间、专网与企业网之间的安全隔离。端到端切片安全隔离端到端切片安全隔离：在接入、承载、核心、边缘计算平台等不同网络域，为 5G 定制网提供逻辑或物理的网络资源隔离，按需为客户提供灵活的专属隔离网络。专用专用 VPN VPN 隔离隔离：为 5G 定制网的网内传输、网间通信、网络管理等多场景提供 VPN 防护，并可对传输数据实施加密保护。专网与企业网安全隔离专网与企业网安全隔离：对专网边缘的 MEC 网络与企业网络，提供安全隔离和访问控制，确保客户企业网络与边缘应用的安全。下沉网元的安全防护下沉网元的安全防护：下沉部署部署在地市或客户园区的网元，如：UPF、SMF、AMF 等，需要做好网元自身的安全加固与防护，主要包括物理安全、数据安全、平面隔离、认证鉴权、流量控制等。“如翼模式”独立“如翼模式”独立 5GC5GC 的安全防护的安全防护：“如翼模式”独立 5GC 承载了独立专网的关键控制功能，需要重点保障其安全性、可用性。具体包括，网元安全加固、服务安全、安全监测与快速恢复。安全配套建设内容：安全配套建设内容：5G 定制网建设中结合客户侧防护需求，会建设（或复用）移动恶意程序监控系统、移动上网日志留存、DPI 采集、病毒防护、网元安全信息采集、防火墙、IPS 防护设备等安全配套措施。2.3.3 2.3.3 物联网络安全产品物联网络安全产品 作为整体负责安全产品的机构，中国电信安全公司面向物联网领域，提供网络安全能力池、安全网关、物联网网关、抗 DDoS 等在内的全系列安全产品，形成横纵向边界的安全防护架构。具体如图 2-6 所示。19 图图 2 2-6 6 中国电信安全公司物联网安全方案框架中国电信安全公司物联网安全方案框架 以下列举一些具体物联网络安全产品方案。（1 1）互联网传输安全互联网传输安全 目前大部分物联网终端，例如：视频摄像头、引导屏、门禁、挂号机、缴税机、工控机等，采用 IP 网络互联互通。中国电信安全公司通过整合自身云网优势，提供“云、网、边、端、用”一体化的物联网安全解决方案，实现物联网系统的接入可用，传输可信，边界可防，数据可靠。（2 2）物联网接入安全）物联网接入安全 基于物联网设备指纹，实现终端的安全准入，避免由于海量终端分布广、管理乱造成的终端替换、私接、仿冒等安全风险。通过资产白名单和协议白名单的双重管控，实现只允许可信设备接入、只允许受控协议传输，保证物联网接入安全。同时，方案具备可视化的物联资产运营平台，可以基于终端的类型、地理位置、威胁类型等进行集中管控。（3 3）物联网系统横纵向边界安全）物联网系统横纵向边界安全 物联网系统往往与实际业务交互强相关，除终端自身面临安全风险外，上下级单位的纵向互访和外联相关部门的横向传输，都有可能让黑客有可乘之机，由此成为威胁网络的攻击路径。因此，物联网安全的防护必须是纵深一体的整体框架。20 （4 4）抗抗 DDoSDDoS 中国电信安全公司，提供“云堤”产品，实现抗 DDoS，其主要功能包括攻击检测、攻击防护和分析溯源三个部分。攻击检测攻击检测：利用覆盖电信全网核心路由器的 NetFlow 数据进行攻击监测，其优势是可以对经过中国电信大网的任意互联网目标地址的进行在线实时流量监控