[论文解读] Guidelines for 5G End to End Architecture and Security Issues

Ta-Hao Ting, Tsung-Nan Lin+2 more|arXiv (Cornell University)|Dec 21, 2019

Software-Defined Networks and 5G参考文献 8被引用 14

一句话总结

本文全面概述了5G端到端（E2E）网络架构，重点阐述网络切片、虚拟化演进分组核心（vEPC）、软件定义网络（SDN）、网络功能虚拟化（NFV）以及多接入边缘计算（MEC）。文中识别了NEF、N4接口、SDN控制器及虚拟化功能等组件中的关键安全威胁，主张在架构设计阶段即主动实施安全设计，以防止系统性漏洞。

ABSTRACT

Hackers target their attacks on the most vulnerable parts of a system. A system is therefore only as strong as its weakest part, similar to the Cannikin Law, which states that the capacity of a barrel of water depends on the height of the shortest rather than the longest piece of wood. To ensure the security of 5G networks, we first need to understand the overall 5G architecture and examine the potential threats instead of merely setting up a firewall. However, 5G networks will have tremendous coverage. The development of 5G techniques require extensive resources, leading to intense competition between countries attempting to develop 5G networks. Many outstanding papers discuss the techniques for developing specific aspects of the 5G architecture, but to the best of our knowledge, few provide an overview of a complete 5G network. This presents us with a difficult situation because we need to consider the overall architecture to ensure the security of 5G networks. To address that problem, in this paper we provide essential guidelines for understanding the architecture of 5G. We introduce 5G scenarios, outline the network architecture, and highlight the potential security issues for the various components of a 5G network. This paper is intended to facilitate a preliminary understanding of the 5G architecture and the possible security concerns of the various components. The end to end (E2E) 5G network architecture is composed of a next-generation radio access network (NG-RAN), multi-access edge computing (MEC), virtual evolved packet core (vEPC), a data network (DN) and a cloud service. Network slicing (NS), network function virtualization (NFV), NFV Management and Orchestration (MANO) and software-defined networking (SDN) are also important techniques for achieving 5G network architectures.

研究动机与目标

• 解决现有5G架构综述中缺乏整合功能组件与安全考量的全面性问题。
• 识别并分析vEPC、SDN及网络切片等关键5G组件中的潜在安全威胁。
• 指导开发人员与研究人员在设计阶段主动解决安全问题，而非在部署后补救。
• 强调保护NEF和N4等新接口以及5G E2E系统中虚拟化网络功能的重要性。

提出的方法

• 提出一种集成NG-RAN、vEPC、MEC、SDN、NFV及网络切片的结构化5G E2E架构框架。
• 分析网络切片的生命周期与行为，包括共享与非共享NSSI及NF实例。
• 研究SDN与NFV在实现网络灵活性与隔离性方面的作用，尤其通过集中式控制与虚拟化功能实现。
• 识别多层安全威胁：NEF消息伪造、N4接口未加密通信、SDN控制器被攻破，以及数据平面攻击（如ARP泛洪、LLDP伪造、主机追踪滥用）。
• 评估四种MANO实现方案，重点分析ONAP以识别安全集成方面的缺口。
• 对新5G组件（如网络暴露功能NEF与虚拟化基带单元BBU）应用威胁建模。

实验结果

研究问题

• RQ1 如何构建一个完整的5G端到端架构，以支持多样化的垂直行业服务？
• RQ2 vEPC中的关键安全威胁是什么，特别是NEF与N4接口方面？
• RQ3 基于SDN的控制与可编程性如何在5G网络中引入新的攻击向量？
• RQ4 虚拟化网络功能与MANO平台在5G部署中存在哪些风险？
• RQ5 如何在5G架构中主动嵌入安全机制，而非在部署后才进行补救？

主要发现

• 5G E2E架构依赖NG-RAN、vEPC、MEC、SDN、NFV及网络切片，以支持eMBB、URLLC与mMTC用例。
• NEF由于其将内部网络功能暴露给外部系统的作用，引入了关键的安全攻击面，易受消息伪造与篡改攻击。
• 当前设计中，UPF与AMF之间的N4接口未加密，存在数据截获与篡改风险。
• SDN的集中式控制模型造成单点故障，且成为攻击者意图全面控制网络的高价值目标。
• 数据平面攻击（如ARP泛洪、主机追踪滥用、LLDP伪造）可能导致中间人攻击与流量劫持。
• 本文指出，现有MANO平台（包括ONAP）缺乏足够的安全加固，为未来安全解决方案的开发创造了机会。