亚信安全薛辉：5G技术构建异构体系，安全尺度统一化是保障关键

现在出门，满满的“5G仙气”便迎面扑来：

三秒下大片、手机看4K、V/AR普及不是梦，地铁站、商业楼、宣传墙......5G手机的宣传广告亦是令人眼花缭乱。

工信部公布，目前全国已经开通5G基站11.3万个，预计到年底将达到13万个，5G套餐签约用户已有87万个，发展势头良好。

在亚信安全首席技术官薛辉看来，5G未来将至，一面是手机厂商和消费者的狂欢Party；另一面，是5G技术对安全从业者提出的新式挑战。

5G安全，撑起异构世界的基石

规定时间、地点和人员，大家对第一名没有异议。这，是有限的游戏；安全：没有规定玩法、时间和对象。这，是场无限的游戏。

在5G安全的“游戏棋盘”里，关键在于“异构”二字。

5G技术落地，为建立异构化的世界夯实基础。随之出现的，是公有云、私有云和混合云的长期共存、SA（独立组网；Standalone）和NSA（非独立组网；Non－Standalone）的长期共存、边缘云（如Telco1MEC+Telco2 MEC）的长期共存以及运营和解决方案（运营商角度）的长期共存。

异构的另外一个显现，是包含PC、手机、Vehicle、Camera等更多端点设备的接入。安全需求的多样化在所难免，而安全需求多样化的真正挑战在于异构化下的安全尺度如何确保其统一性。

理论上讲，安全就是指让系统活着、让系统不被篡改以及系统能够保住秘密。但是在实战中，安全人员往往更加重视的是设计合理和实现正确这两点，而在5G场景下做到这两点则极其不易。

为什么这样说？我们来一次“实战演练”看看：

第一点，设计合理。

假如黑客将系统攻破了，原本系统被设计成做A工作的，结果黑客突然通过越权能够控制系统，并且它让去做D工作了。此时，系统对于原本的设计承诺就无法保持了，而这往往就是一次攻击的开端。

第二点，实现正确。

以反欺诈为例，攻击者往往是按照系统规矩开始这场“游戏”的。他们不会使用非常规手段来攻破系统，而是通过撞库来进行批量尝试。这个行为对于系统来说，是没有异常的，而随着尝试次数的增多，概率事件让其最终不攻自破。

这里的问题，涉及到系统功能的滥用，即该系统的设计仍存在缺陷。

回到5G，上述两种情况被逐一放大。首先，这种异构体系下出现的切片情况，意味着上述情况会在许多层上重复上演，那么要让这里的安全属性得以保持，其每一层的实现方式都可能不同（意味着复杂性的提升）。

其次，系统之间的共存关系导致其设计合理性成为影响整个链路是否安全的重要一环。

针对5G时代的到来，异构化下的安全尺度却必须统一化。针对上述问题，薛辉总结出以下三点建议：

1、安全抽象必须与各异构部分保持一致

2、安全防滥用必须在异构部分全链路实施

3、安全是准入尺度

5G基础建设进程中，安全不应该作为‘幕后英雄’存在。

将安全作为尺度，是指将安全化为运营商、手机厂商等5G服务提供者的考虑范畴。简单来说，就是以前我们只考虑网速、成本和体验，安全是后盾；现在安全不光要在其之中，更要在其之首。

灾难降临时，我们会慌吗？

黑天鹅总是有，正如墨菲定律所说：如果有两种或两种以上的方式去做某件事情，而其中一种选择方式将导致灾难，则必定有人会做出这种选择。

5G安全也不是绝对的，随着新型技术的应用，新的攻击手法和策略也层出不穷。因此，即使我们准备了“万全之策”，也必定会在某天突然发觉大事不妙。

在能预想到的5G安全隐患中，首当其冲的要数软件功能的硬件化带来的问题。

现今时代，这样一种思想十分流行：如果你觉得这个功能极其重要，那就要为它设计硬件。但是，这也为安全保障带来了极大挑战。

2018年，加州大学河滨分校（University of California, Riverside）发布论文，公开了三种存在于NVIDIAGPU上的侧信道攻击漏洞，其可用于获取显卡用户的网络活动、破坏密码甚至是挖掘Tensor核心的架构秘密。

在此之前，熔断、幽灵两大安全漏洞更是搅得处理器行业满城风雨。

那么，5G技术会遇到与之类似的问题吗？答案是肯定的。

薛辉称，其实网卡上自带破解路由器网络密码的类似攻击早就有了。那么放在5G，控制云（也称转发云）是起到数据连接的重要作用，显然将其硬件化会获得更多收益，同时也会面临与上述类似的情况。

其次，开源软件供应链安全的问题也有可能造成重大的安全事故。

以XcodeGhost污染编译工具链为例，由于国内开发者下载XBOX很慢，有的人就会选择一些第三方网站。如果编译器中被编入了XcodeGhost病毒，那么开发人员写的4000个iOS代码中几乎都会存在这种病毒。

5G技术下，各链路的安全保障同样存在类似问题。试想，如果开源软件的控制器被植入了高危漏洞，而作为开发者的你，原本尽心尽责的对现有版本进行了审计。现在，新漏洞的修复难度与之前的审计等级差了100个等级，怎么办？（理想情况下，一个小时之内必须完成审计）

然后，边缘云（MEC）将成为大量相同设备的入手点。

其实边缘云的物理保护起到的是“门”的作用，一旦边缘云被插一块板卡，基本是无法保证其安全性的，何况还存在直接烧毁的可能性。

4G时代，其本质一点是全球开发者都会为两款低成本的操作系统（安卓和iOS，它们被多少攻击者所青睐，想必不必多说）编写程序，它可以满足任何人的需求，不需要门槛。

显然，边缘云不会是中心云切开然后一把线撒出去那么简单，而是其组织、运营和计算方式都需要进行迁移，这也让所谓“由于服务器安好，因此安全漏洞只影响少数设备”的说法不复存在。

因此，边缘云很有可能成为攻击者眼中的香饽饽，就像双系统之于4G时代一样。

接着，是攻防双方对白盒化系统了解更加趋于对等。

之前的安全理念，很多厂商认为我只要对外保密，让你不了解我就更安全。现在，所有厂商几乎都是这么做的，但实际情况是受到的攻击并不在少数。

其原因在于，攻击者已经从“捣蛋鬼”变成了“反叛军”。更多攻击行为以组织形式出现，针对某个电信设备，进行API接口、从网络服务、应用、MANO、SDN控制器等进行深入研究，寻找突破口。

这意味着，攻击方有着足够的人力、物理来和厂商打一场拉锯战，保密则安全的说法也就立不住脚了。

最后，是基于端边云的安全挑战。

5G技术的应用，离不开手机、IOT、人工智能等技术的加成，基于这些设备引起的勒索事件、DDOS，零日攻击层出不穷。另一边，5G应用系统和商业服务也面临着IP端口扫描TCPSyn攻击偷贯逃贯、DDOS拒绝服务、APT高级威胁、IP诈骗、DNS诈骗等一系列攻击风险。

最终，这些端会通过LTE、Wifi和5G被传输到5G IP核心网，并且让5G网络失去低延迟、安全性的特点，变成一条“黑链”。

So，这是一个关于“病毒”传播的故事。就好像一只鸡得了禽流感，传给了别的鸡，后者又被养鸡场买走，最终感染了整个鸡场。

面对以上5G“噩梦”，安全该何去何从？

薛辉认为，之前，安全设备放在总入总出的链路端口侧；现在，在大量难以配置的防火墙规则面前，编排能力的大幅提高是突破防护瓶颈的重点所在。

5G端到端的安全框架，以终端安全、接入网络安全、核心网安全、服务/应用安全为核心，其一共划分出23种防护分区，安全编排能力的提升将体现在从点及面、从端到端向节点到节点的变化过程，其部署时刻影响着通用安全的能力。

新技术的发展，亦是为安全保驾护航。不光5G，量子加密、人工智能、VR/AR等技术的发展，都将为安全技术提供新的解决方案。