[论文解读] Intelligent Zero Trust Architecture for 5G/6G Networks: Principles, Challenges, and the Role of Machine Learning in the context of O-RAN

Keyvan Ramezanpour, Jithin Jagannath|arXiv (Cornell University)|May 4, 2021

Software-Defined Networks and 5G被引用 6

一句话总结

本文提出了一种基于人工智能和O-RAN的智能零信任架构（i-ZTA），用于5G/6G网络，以在不可信环境中实现实时、动态的访问控制。i-ZTA通过O-RAN接口集成强化学习（IPE）、联邦学习（IGP）、图神经网络（INSSA）和密码学验证（CMFA），实现持续的信任评估，在高度动态、虚拟化的网络中实现自适应安全。

ABSTRACT

In this position paper, we discuss the critical need for integrating zero trust (ZT) principles into next-generation communication networks (5G/6G). We highlight the challenges and introduce the concept of an intelligent zero trust architecture (i-ZTA) as a security framework in 5G/6G networks with untrusted components. While network virtualization, software-defined networking (SDN), and service-based architectures (SBA) are key enablers of 5G networks, operating in an untrusted environment has also become a key feature of the networks. Further, seamless connectivity to a high volume of devices has broadened the attack surface on information infrastructure. Network assurance in a dynamic untrusted environment calls for revolutionary architectures beyond existing static security frameworks. To the best of our knowledge, this is the first position paper that presents the architectural concept design of an i-ZTA upon which modern artificial intelligence (AI) algorithms can be developed to provide information security in untrusted networks. We introduce key ZT principles as real-time Monitoring of the security state of network assets, Evaluating the risk of individual access requests, and Deciding on access authorization using a dynamic trust algorithm, called MED components. To ensure ease of integration, the envisioned architecture adopts an SBA-based design, similar to the 3GPP specification of 5G networks, by leveraging the open radio access network (O-RAN) architecture with appropriate real-time engines and network interfaces for collecting necessary machine learning data. Therefore, this work provides novel research directions to design machine learning based components that contribute towards i-ZTA for the future 5G/6G networks.

研究动机与目标

• 解决传统基于边界的安全机制在具有不可信组件的动态5G/6G网络中的局限性。
• 设计一种智能零信任架构（i-ZTA），通过人工智能和网络遥测实现持续、实时的信任评估。
• 利用O-RAN的开放接口和MEC能力，部署轻量级、可扩展的AI驱动安全组件。
• 将密码学验证（CMFA）与机器学习引擎集成，实现端到端的信任保障。
• 为具有高设备异构性和移动性的下一代网络建立AI原生安全的研究基础。

提出的方法

• i-ZTA采用与3GPP 5G标准一致的服务化架构（SBA），支持AI组件的模块化部署。
• 智能策略引擎（IPE）使用强化学习，根据实时保证分数动态授权访问请求。
• 智能代理门户（IGP）应用联邦学习，计算用户环境感知分数（EVA），而无需集中化原始数据。
• 智能网络信任状态分析（INSSA）引擎使用图神经网络（GNN）建模网络拓扑和对抗性学习，以检测异常。
• 密码学生多用途认证器（CMFA）引擎通过O1和E2接口使用NCC参数和加密哈希，执行端到端的信任验证。
• 所有组件均与O-RAN的非实时RIC（如rApps）和xApps集成，使用O1和E2接口收集遥测数据并强制执行策略。

实验结果

研究问题

• RQ1 如何在具有大量设备连接的高动态、不可信5G/6G网络中有效实施零信任原则？
• RQ2 机器学习在不可信网络环境中如何实现实时、自适应的访问控制和风险评估？
• RQ3 O-RAN的开放接口和MEC能力如何支持轻量级、可扩展的AI安全组件的部署？
• RQ4 哪些机制可确保i-ZTA组件与O-RAN网络功能之间的端到端信任验证？
• RQ5 如何将联邦学习等隐私保护AI技术集成到零信任框架中以增强网络安全？

主要发现

• i-ZTA通过IPE、IGP和INSSA等AI驱动组件，实现了对网络资产的持续、实时监控和动态信任评估。
• IPE组件中的强化学习通过基于实时网络遥测的可信保证分数最大化，动态优化访问授权。
• IGP引擎中的联邦学习使用户能够在不暴露原始设备或位置数据的情况下获得环境感知分数（EVA）。
• INSSA引擎中的图神经网络通过分析RAN组件间的流量流模式，对全网信任状态建模并检测异常。
• CMFA引擎通过共享密钥哈希和下一跳链计数器（NCC），确保i-ZTA功能与O-RAN组件之间的密码学信任验证。
• 通过O1和E2接口将i-ZTA与O-RAN的xApps和rApps集成，实现了零信任安全服务的可扩展、模块化和互操作性部署。