利用可信計(jì)算技術(shù)增強(qiáng)MEC的安全性

陸威 王全

【摘? 要】

介紹了MEC安全問(wèn)題的特征，分析了可信計(jì)算技術(shù)增強(qiáng)MEC安全的可行性，提出了MEC物理安全可信設(shè)計(jì)、MEC能力開(kāi)放可信設(shè)計(jì)、軟件版本完整性可信設(shè)計(jì)等關(guān)鍵技術(shù)，最后結(jié)合MEC部署的特點(diǎn)提出了安全防護(hù)的建設(shè)建議。

【關(guān)鍵詞】 MEC;安全;可信計(jì)算

doi：10.3969/j.issn.1006-1010.2020.04.013? ? ? 中圖分類(lèi)號(hào)：TN929.5

文獻(xiàn)標(biāo)志碼：A? ? ? 文章編號(hào)：1006-1010（2020）04-0059-06

引用格式：陸威，王全. 利用可信計(jì)算技術(shù)增強(qiáng)MEC的安全性[J]. 移動(dòng)通信， 2020，44（4）： 59-64.

Enhancing MEC Security with Trusted Computing Technology

LU Wei， WANG Quan

（ZTE Corporation， Nanjing 210012， China）

[Abstract]

This paper introduces the characteristics of MEC security issues， analyzes the feasibility of enhancing MEC security by trusted computing technology， proposes key technologies of trusted designs for MEC physical security， MEC capability exposure， and software version integrity. Finally， based on the MEC deployment characteristics， construction suggestions are proposed for security protection.

[Key words] MEC; security; trusted computing

0? ?引言

5G作為新一輪信息技術(shù)變革的關(guān)鍵基礎(chǔ)設(shè)施，為各行各業(yè)數(shù)字化轉(zhuǎn)型創(chuàng)造了新的機(jī)會(huì)。工業(yè)互聯(lián)網(wǎng)是5G的一個(gè)重要應(yīng)用場(chǎng)景，近來(lái)獲得了迅猛發(fā)展，各類(lèi)應(yīng)用逐步滲透到社會(huì)生活的方方面面，實(shí)現(xiàn)了各種生產(chǎn)要素的互聯(lián)互通和智能化處理，讓大量的機(jī)器每時(shí)每刻都在自動(dòng)地相互協(xié)作，極大地延伸了人的智力和體力。但工業(yè)互聯(lián)網(wǎng)對(duì)社會(huì)發(fā)展具有兩面性，在網(wǎng)絡(luò)正常時(shí)能極大地促進(jìn)社會(huì)生產(chǎn)能力，在網(wǎng)絡(luò)出現(xiàn)大規(guī)模安全故障時(shí)，會(huì)中斷整個(gè)產(chǎn)業(yè)鏈的協(xié)作，導(dǎo)致經(jīng)濟(jì)安全和國(guó)家安全問(wèn)題。因此5G安全是工業(yè)互聯(lián)網(wǎng)安全、經(jīng)濟(jì)安全、國(guó)家安全的最底層的基石，需要有高可靠的安全措施保障社會(huì)的正常運(yùn)行。

3GPP標(biāo)準(zhǔn)組織已為5G制定了很多安全技術(shù)標(biāo)準(zhǔn)，但3GPP為解決某些垂直行業(yè)應(yīng)用的高可靠低時(shí)延需求時(shí)，引入了ETSI定義的MEC（Multi-Access Edge Computing）技術(shù)，而ETSI并沒(méi)有對(duì)MEC提供完整的安全保障技術(shù)，需要根據(jù)MEC的應(yīng)用場(chǎng)景，增強(qiáng)MEC的安全技術(shù)。

MEC的主要思想是把計(jì)算和網(wǎng)絡(luò)處理能力盡量下沉到接入網(wǎng)附近，縮短終端和應(yīng)用之間的傳輸路徑，從而降低業(yè)務(wù)報(bào)文的傳輸時(shí)延，節(jié)省骨干網(wǎng)的傳輸資源[1]。5G借助于網(wǎng)絡(luò)邊緣的MEC，提供高質(zhì)量的eMBB業(yè)務(wù)體驗(yàn)和高可靠極低時(shí)延的URLLC業(yè)務(wù)[2]。MEC給5G業(yè)務(wù)帶來(lái)好處的同時(shí)，也帶來(lái)了兩類(lèi)安全問(wèn)題。一類(lèi)是通用的安全問(wèn)題，例如操作系統(tǒng)漏洞、網(wǎng)絡(luò)攻擊、數(shù)據(jù)泄露等，業(yè)界已有很多成熟的方法針對(duì)這些問(wèn)題做好安全防護(hù)，例如操作系統(tǒng)安全加固技術(shù)、防火墻技術(shù)、數(shù)據(jù)加密技術(shù)等，本文不做詳細(xì)介紹[3]。另一類(lèi)是MEC特有的安全問(wèn)題，即MEC分布式部署在網(wǎng)絡(luò)邊緣，機(jī)房無(wú)人值守，非授權(quán)人員有機(jī)會(huì)引入安全問(wèn)題[4]。本文從可信計(jì)算概念的角度，介紹了如何采用可信計(jì)算技術(shù)來(lái)保障MEC的安全。

1? ?MEC安全問(wèn)題分析

MEC整體架構(gòu)順從ETSI MEC和NFV規(guī)范，主要由COTS（Commercial Off-The-Shelf，商用現(xiàn)成品）服務(wù)器、交換機(jī)、防火墻、邊緣云平臺(tái)、UPF（User Plane Function，用戶(hù)面功能）、MEP（Multi-Access Edge Platform，多接入邊緣平臺(tái)）、能力開(kāi)放網(wǎng)關(guān)等構(gòu)成[5-7]。現(xiàn)有的安全技術(shù)對(duì)MEC的多個(gè)層面做了安全保護(hù)。

在操作系統(tǒng)層面，有一套完整的安全加固手段，關(guān)閉未使用的端口和服務(wù)，及時(shí)打上漏洞補(bǔ)丁。在網(wǎng)絡(luò)層面，根據(jù)業(yè)務(wù)類(lèi)型劃分相互隔離的網(wǎng)絡(luò)平面，在不同的安全域間部署防火墻。在虛擬化層面，采用虛機(jī)隔離技術(shù)保證各虛機(jī)間不能相互訪問(wèn)。在管理賬戶(hù)接入方面，可以根據(jù)賬戶(hù)角色分配權(quán)限，并采用強(qiáng)密碼策略和雙因子認(rèn)證方案提高賬戶(hù)身份的可信度。在MEC的接口協(xié)議方面，采用SSL、HTTPS、VPN等安全協(xié)議。在安全事件管理方面，采用日志、審計(jì)分析工具來(lái)記錄并分析MEC系統(tǒng)的運(yùn)行狀態(tài)[8-9]。

以上這些常規(guī)的安全手段適用于運(yùn)營(yíng)商的中心機(jī)房，假定系統(tǒng)內(nèi)部是可信和安全的，只需在系統(tǒng)的邊界進(jìn)行防護(hù)。但MEC部署的位置處在網(wǎng)絡(luò)邊緣，機(jī)房沒(méi)有像運(yùn)營(yíng)商中心機(jī)房那樣堅(jiān)固的基礎(chǔ)環(huán)境，沒(méi)有長(zhǎng)期值守MEC機(jī)房的安保人員，因此MEC的軟硬件容易受到非授權(quán)人員的入侵，使得MEC站點(diǎn)處在不可信的狀態(tài)[10]。圖1描述了MEC面臨的3類(lèi)可信計(jì)算安全問(wèn)題。

MEC物理設(shè)備存在可信計(jì)算問(wèn)題。MEC站點(diǎn)機(jī)房一般部署在靠近基站側(cè)的網(wǎng)絡(luò)邊緣，機(jī)房條件相對(duì)簡(jiǎn)陋，而且MEC的硬件構(gòu)成一般采用通用計(jì)算機(jī)架構(gòu)，USB、網(wǎng)絡(luò)接口、PCIe插槽等暴露在外，非授權(quán)人員進(jìn)入MEC機(jī)房后，可通過(guò)USB、網(wǎng)絡(luò)接口植入惡意軟件，或者在PCIe插槽中插入惡意板卡。需要利用可信計(jì)算技術(shù)持續(xù)監(jiān)控MEC運(yùn)行的可信度。

MEC把能力集暴露給第三方APP使用，會(huì)引入API調(diào)用的可信計(jì)算問(wèn)題。一般第三方APP部署在第三方的數(shù)據(jù)中心，資產(chǎn)屬于第三方，運(yùn)營(yíng)商無(wú)權(quán)控制第三方數(shù)據(jù)中心的安全技術(shù)保障和安全管理，非授權(quán)人員有可能入侵第三方數(shù)據(jù)中心植入惡意軟件，并仿照MEC內(nèi)的能力開(kāi)放API接口，惡意調(diào)用MEC內(nèi)的能力，非法獲取數(shù)據(jù)。MEC內(nèi)的能力開(kāi)放網(wǎng)關(guān)要有能力識(shí)別第三方APP是否可信。

MEC的軟件升級(jí)過(guò)程也存在可信計(jì)算問(wèn)題。MEC部署量大，而且位于網(wǎng)絡(luò)邊緣，從降低運(yùn)維成本和維護(hù)便利性的角度，一般采用遠(yuǎn)程方式進(jìn)行批量升級(jí)。MEC軟件版本存放在中心機(jī)房（例如5GC核心網(wǎng)站點(diǎn)），通過(guò)網(wǎng)絡(luò)把軟件版本傳送到各個(gè)MEC站點(diǎn)，在版本傳輸過(guò)程中，非授權(quán)人員可以劫持版本文件，替換版本中的某些文件，或植入惡意軟件，導(dǎo)致MEC升級(jí)后的軟件成為非可信軟件。需要MEC能檢查軟件版本的一致性、完整性，保證該軟件是可信的。

針對(duì)以上3種MEC可信問(wèn)題，可采用可信計(jì)算技術(shù)保障MEC環(huán)境中的所有硬件、軟件、數(shù)據(jù)、參數(shù)配置等資產(chǎn)跟運(yùn)營(yíng)商的預(yù)期設(shè)計(jì)一致，在系統(tǒng)運(yùn)行過(guò)程中，能像人體的免疫系統(tǒng)一樣，識(shí)別“自己”和“非己”成份，從而幫助運(yùn)營(yíng)商提升MEC環(huán)境的可信度[11]。

2? ?基于可信計(jì)算理念的安全性設(shè)計(jì)

2.1 可信計(jì)算原理

在信息安全領(lǐng)域，硬件安全和操作系統(tǒng)安全是基礎(chǔ)，密碼技術(shù)是關(guān)鍵，只有從整體上采取措施，特別是從底層采取措施，才能有效地解決信息安全問(wèn)題，即從芯片、主板硬件結(jié)構(gòu)、BIOS、操作系統(tǒng)等底層設(shè)施開(kāi)始安全控制，才能從源頭上控制大多數(shù)不安全因素。可信計(jì)算是實(shí)現(xiàn)這一目標(biāo)的一種技術(shù)，由可信計(jì)算集團(tuán)（Trusted Computing Group， TCG）組織業(yè)界的主要廠商制定一個(gè)可信計(jì)算的開(kāi)放標(biāo)準(zhǔn)，讓采用此技術(shù)的系統(tǒng)維持軟硬件的完整性，在系統(tǒng)的整個(gè)生命周期中按照最初設(shè)計(jì)所期望的行為運(yùn)行[12]。

可信計(jì)算的基本原理有兩個(gè)關(guān)鍵技術(shù)，一個(gè)是在計(jì)算機(jī)系統(tǒng)中先建立信任根，另一個(gè)是建立BIOS Boot Block->BIOS->OS Loader->OS->APP的信任鏈，一級(jí)度量一級(jí)，一級(jí)信任一級(jí)，把信任關(guān)系擴(kuò)大到整個(gè)計(jì)算機(jī)系統(tǒng)，從而確保計(jì)算機(jī)系統(tǒng)以及運(yùn)行在其上的服務(wù)是可信的。

TCG把TPM（Trusted Platform Module，可信平臺(tái)模塊）芯片定義為信任根，TPM芯片嵌入在硬件平臺(tái)上，該芯片一般設(shè)計(jì)成SoC（System on Chip）模式，內(nèi)含運(yùn)算模塊、存儲(chǔ)器、I/O、密碼運(yùn)算處理器等部件，完成可信度量的存儲(chǔ)、密鑰產(chǎn)生、加密簽名、數(shù)據(jù)安全存儲(chǔ)等功能。

當(dāng)計(jì)算機(jī)系統(tǒng)上電啟動(dòng)后，就開(kāi)始逐級(jí)建立信任鏈。硬件平臺(tái)首先讓TPM芯片自檢，通過(guò)后對(duì)BIOS進(jìn)行可信驗(yàn)證，BIOS對(duì)OS Loader進(jìn)行可信驗(yàn)證，OS Loader再對(duì)OS進(jìn)行可信驗(yàn)證，OS對(duì)APP進(jìn)行可信認(rèn)證。在此驗(yàn)證過(guò)程中，任何一級(jí)的驗(yàn)證失敗，都不會(huì)讓該模塊進(jìn)入運(yùn)行態(tài)，并立即產(chǎn)生告警信息，通知維護(hù)人員進(jìn)入安全響應(yīng)流程。

可信計(jì)算原理適用于MEC的架構(gòu)特征。MEC作為多接入邊緣計(jì)算，兼有網(wǎng)絡(luò)能力和云計(jì)算能力，ETSI考慮了MEC的普遍適用性，采用通用計(jì)算技術(shù)（一般基于x86）作為硬件平臺(tái)，采用BIOS啟動(dòng)并加載OS，采用虛擬化技術(shù)作為云平臺(tái)，采用虛機(jī)鏡像作為應(yīng)用軟件。MEC的軟硬件組織架構(gòu)和可信計(jì)算采用的架構(gòu)基本一致，因此可以借助可信計(jì)算技術(shù)來(lái)增強(qiáng)MEC的安全性[13]。

2.2? MEC物理安全可信設(shè)計(jì)

MEC站點(diǎn)環(huán)境一般較簡(jiǎn)陋，例如和基站共站點(diǎn)，或者位于網(wǎng)絡(luò)邊緣的匯聚機(jī)房，或者在企業(yè)客戶(hù)的機(jī)房。這些機(jī)房環(huán)境除了要遵循傳統(tǒng)機(jī)房的安全防護(hù)標(biāo)準(zhǔn)，還需要針對(duì)MEC處于邊緣且無(wú)人值守的特點(diǎn)，設(shè)計(jì)更全面的防護(hù)措施。設(shè)計(jì)方案遵循由外而內(nèi)，層層設(shè)防，有防有控的原則。

對(duì)于MEC最外層的機(jī)房，防護(hù)措施的目標(biāo)是“進(jìn)不來(lái)”?？刹捎梦锢礞i和電子門(mén)禁系統(tǒng)雙層防護(hù)，并在機(jī)房?jī)?nèi)外部署具有人臉識(shí)別功能的視頻監(jiān)控系統(tǒng)，當(dāng)有人進(jìn)入MEC機(jī)房時(shí)，視頻監(jiān)控系統(tǒng)能識(shí)別出人的身份，并核對(duì)該身份是否有許可權(quán)限進(jìn)入此MEC機(jī)房。如果身份核對(duì)失敗，視頻監(jiān)控系統(tǒng)向遠(yuǎn)端運(yùn)維中心發(fā)送告警信息，告警信息包括MEC站點(diǎn)位置、人員圖像、人員身份、發(fā)生時(shí)間等關(guān)鍵信息，由運(yùn)維中心做進(jìn)一步的安全事件響應(yīng)動(dòng)作。由于視頻監(jiān)控和基于AI的人臉識(shí)別需要處理和傳輸大量的視頻數(shù)據(jù)，為了節(jié)省網(wǎng)絡(luò)帶寬和降低處理時(shí)延，建議把視頻監(jiān)控系統(tǒng)的軟件就近部署在MEC內(nèi)。

對(duì)于機(jī)房?jī)?nèi)的MEC機(jī)柜和交換機(jī)服務(wù)器等核心設(shè)備，防護(hù)措施的目標(biāo)是“進(jìn)來(lái)了，但接入不了”。需在機(jī)柜門(mén)上加鎖，并采用物理手段或軟件工具關(guān)閉服務(wù)器、交換機(jī)上不用的USB接口和網(wǎng)絡(luò)接口，確保入侵者難以通過(guò)USB或網(wǎng)口等接入MEC系統(tǒng)并植入惡意軟件。為了避免管理上的疏漏，要求遠(yuǎn)端的運(yùn)維中心能定期自動(dòng)遠(yuǎn)程巡檢MEC機(jī)柜內(nèi)設(shè)備的未用端口是否處于“關(guān)閉”狀態(tài)[14]。

對(duì)于MEC設(shè)備內(nèi)的BIOS、板卡、操作系統(tǒng)、云平臺(tái)、APP等軟硬件，防護(hù)措施的目標(biāo)是“接入了，但用不了”。可在MEC服務(wù)器主板上增加TPM安全芯片，作為MEC系統(tǒng)的信任根。由于TPM是整個(gè)MEC系統(tǒng)的信任源頭，因此TPM的存儲(chǔ)器是受保護(hù)的，第三方無(wú)法更改存儲(chǔ)內(nèi)容。圖2是基于TPM芯片的逐級(jí)可信檢測(cè)流程。

MEC受到以上多個(gè)層面的安全防護(hù)，非授權(quán)人員一般情況下進(jìn)不了MEC機(jī)房，如果進(jìn)入了，也很難接入MEC系統(tǒng)，如果接入MEC系統(tǒng)了，植入的惡意軟硬件也能被可信計(jì)算檢測(cè)到，從而無(wú)法運(yùn)行。通過(guò)這一層層的防護(hù)，MEC即使部署在無(wú)人值守的網(wǎng)絡(luò)邊緣，也具備很高的安全性。

2.3? MEC能力開(kāi)放可信設(shè)計(jì)

MEC有很多能力集，例如定位能力、無(wú)線網(wǎng)絡(luò)資源能力、TCP優(yōu)化能力、用戶(hù)身份識(shí)別能力等，這些能力通過(guò)MEC的API Gateway供第三方APP調(diào)用[15-16]。由于第三方APP可以部署在企業(yè)客戶(hù)自己的機(jī)房中，運(yùn)營(yíng)商無(wú)法驗(yàn)證企業(yè)客戶(hù)機(jī)房的可信度，非授權(quán)用戶(hù)可利用企業(yè)機(jī)房的安全技術(shù)或管理漏洞，植入惡意軟件，惡意軟件后續(xù)就有機(jī)會(huì)攻擊MEC系統(tǒng)，或者調(diào)用MEC的API非法獲取信息?？赏ㄟ^(guò)API Gateway模塊隔離技術(shù)、API消息數(shù)字簽名來(lái)保障MEC系統(tǒng)的健壯性和安全性。

API Gateway模塊隔離技術(shù)保障MEC的健壯性。MEC系統(tǒng)內(nèi)有多個(gè)軟件模塊，大部分模塊不對(duì)外暴露，有較高的安全性，而API Gateway是直接暴露給第三方APP調(diào)用的模塊，如果該模塊被攻擊或者感染病毒，可能會(huì)影響到MEC內(nèi)部其他模塊。應(yīng)把API Gateway設(shè)計(jì)為獨(dú)立模塊，部署在MEC的DMZ（Demilitarized Zone，隔離區(qū)）中，該模塊即使被攻擊或感染病毒，也被隔離在自己的DMZ中，不會(huì)影響MEC內(nèi)的其他模塊。為了減少被攻擊的可能性，還需在DMZ的對(duì)外邊界部署防火墻，只開(kāi)放API接口用到的IP地址、端口和協(xié)議類(lèi)型，把非API消息阻擋在防火墻外。

API消息數(shù)字簽名技術(shù)保障MEC能力在可信范圍內(nèi)被使用。這項(xiàng)技術(shù)需要運(yùn)營(yíng)商和第三方APP配合實(shí)施，當(dāng)?shù)谌紸PP獲得運(yùn)營(yíng)商授權(quán)后，可通過(guò)密鑰生成工具產(chǎn)生一對(duì)密鑰（公鑰和私鑰），私鑰留給第三方APP做數(shù)字簽名用，公鑰發(fā)布給運(yùn)營(yíng)商用于核對(duì)來(lái)自第三方APP的數(shù)字簽名可信度。企業(yè)APP運(yùn)行過(guò)程中，如果要向MEC發(fā)送API調(diào)用MEC的能力，需先對(duì)待發(fā)送的API消息報(bào)文進(jìn)行數(shù)字簽名，后續(xù)MEC的API Gateway收到消息時(shí)，用公鑰對(duì)該消息報(bào)文進(jìn)行簽名認(rèn)證。如果認(rèn)證通過(guò)，說(shuō)明該消息來(lái)自于許可的企業(yè)第三方APP，可正常處理業(yè)務(wù)流程;否則認(rèn)為該消息來(lái)自非授權(quán)的第三方APP，拒絕該消息的進(jìn)一步處理，并產(chǎn)生告警信息，通知運(yùn)營(yíng)商和第三方排查隱藏在第三方數(shù)據(jù)中心的惡意軟件。

2.4? 軟件版本完整性可信設(shè)計(jì)

軟件版本從開(kāi)發(fā)者交付到安裝部署，一般經(jīng)過(guò)如下流程：開(kāi)發(fā)者制作版本→開(kāi)發(fā)者發(fā)布版本→版本經(jīng)過(guò)互聯(lián)網(wǎng)傳輸?shù)竭\(yùn)營(yíng)商版本服務(wù)器→MEC站點(diǎn)從版本服務(wù)器下載版本→MEC把版本加載到虛擬機(jī)中。在整個(gè)流程中，非授權(quán)人員有機(jī)會(huì)非法篡改版本文件（例如植入惡意軟件），導(dǎo)致MEC系統(tǒng)存在不可信軟件?？刹捎貌《緬呙?、軟件數(shù)字化簽名等措施保證軟件的完整性。

開(kāi)發(fā)者發(fā)布軟件版本（含補(bǔ)?。┣?，需對(duì)版本文件進(jìn)行防病毒掃描，掃描通過(guò)后采用數(shù)字簽名方式制作軟件版本鏡像文件（Image）[17]，數(shù)字簽名流程如圖3所示。

數(shù)字簽名步驟：

步驟1：先通過(guò)密鑰生成工具產(chǎn)生密鑰對(duì)（公鑰和私鑰）;

步驟2：用MD5算法對(duì)軟件版本Image和Image Header進(jìn)行Hash計(jì)算，獲得Hash-X;

步驟3：使用私鑰對(duì)Hash-X進(jìn)行數(shù)字簽名，獲得Hash-Y;

步驟4：將Hash-Y、版本Image以及版本Image Header合并，得到簽名完成的版本。

軟件開(kāi)發(fā)者就可通過(guò)互聯(lián)網(wǎng)把簽名完成的版本發(fā)布給運(yùn)營(yíng)商。如果在版本文件傳輸過(guò)程中被非授權(quán)方攔截并植入惡意軟件，運(yùn)營(yíng)商通過(guò)公鑰能驗(yàn)證版本文件是否被篡改過(guò)。

軟件版本文件可信驗(yàn)證步驟：

（1）運(yùn)營(yíng)商從軟件開(kāi)發(fā)者獲取公鑰，對(duì)Hash-Y進(jìn)行驗(yàn)簽，得到Hash-X;

（2）對(duì)版本中的Image Header和Image一起進(jìn)行MD5運(yùn)算，得到Hash-X';

（3）將Hash-X和Hash-X'進(jìn)行比較，如果一致則說(shuō)明版本可信。

運(yùn)營(yíng)商驗(yàn)證軟件版本完整可信后，把版本文件保存在版本服務(wù)器，供各個(gè)MEC站點(diǎn)下載。一般版本服務(wù)器集中部署在中心機(jī)房，各個(gè)MEC站點(diǎn)分布在邊緣，版本從服務(wù)器傳輸?shù)組EC邊緣站點(diǎn)的過(guò)程中，非授權(quán)用戶(hù)可能攔截版本文件，并植入惡意軟件。因此MEC站點(diǎn)接收版本文件后，需進(jìn)行可信驗(yàn)證，驗(yàn)證原理同“軟件版本文件可信驗(yàn)證步驟”。

當(dāng)MEC系統(tǒng)加載軟件版本到虛擬機(jī)時(shí)，MEC系統(tǒng)的Host OS基于TPM可信根，對(duì)軟件版本進(jìn)行可信檢測(cè)，具體檢測(cè)流程如圖2所示。后續(xù)的虛機(jī)遷移、重生等都需要進(jìn)行軟件版本的可信驗(yàn)證。

3? ?MEC安全的部署建議

MEC在工業(yè)互聯(lián)網(wǎng)領(lǐng)域有廣泛的應(yīng)用，MEC出現(xiàn)的安全問(wèn)題會(huì)延伸到行業(yè)應(yīng)用的安全，并引起更嚴(yán)重的經(jīng)濟(jì)和關(guān)鍵產(chǎn)業(yè)鏈的安全。因此MEC的商用部署和日常運(yùn)維需要考慮端到端的安全措施，由運(yùn)營(yíng)商牽頭，組織MEC設(shè)備提供商、行業(yè)客戶(hù)、第三方APP提供商開(kāi)展安全協(xié)作，讓每個(gè)環(huán)節(jié)都有安全技術(shù)和安全管理流程的保障[18]。

運(yùn)營(yíng)商在采購(gòu)MEC設(shè)備階段，需要對(duì)MEC設(shè)備提供商進(jìn)行安全認(rèn)證，包括研發(fā)流程的安全認(rèn)證、產(chǎn)品生產(chǎn)過(guò)程的安全認(rèn)證、產(chǎn)品發(fā)布流程的安全認(rèn)證。通過(guò)安全認(rèn)證的設(shè)備具備較高的安全可信度，在產(chǎn)品源頭避免帶有惡意軟硬件。

運(yùn)營(yíng)商接收到MEC設(shè)備后，需對(duì)設(shè)備攜帶的密鑰、數(shù)字證書(shū)、軟件版本等做可信檢測(cè)，確保這些資料來(lái)源于正確的MEC設(shè)備提供商，沒(méi)有第三方假冒的資料。

運(yùn)營(yíng)商建設(shè)MEC站點(diǎn)階段，需要按照2.1章節(jié)描述的方法，構(gòu)建多層次的安全防護(hù)機(jī)房。工程人員在安裝配置MEC系統(tǒng)時(shí)，需要啟用基于TPM的可信計(jì)算功能，并關(guān)閉未使用的USB接口、網(wǎng)絡(luò)接口、服務(wù)。在組網(wǎng)方面，需要?jiǎng)澐挚尚湃尉W(wǎng)絡(luò)域和DMZ網(wǎng)絡(luò)域，把UPF等運(yùn)營(yíng)商專(zhuān)用的模塊放在可信任網(wǎng)絡(luò)域，把能力開(kāi)放API Gateway等面向第三方應(yīng)用的模塊放在DMZ網(wǎng)絡(luò)域。在做MEC和第三方APP互聯(lián)互通時(shí)，運(yùn)營(yíng)商需要向第三方提出安全技術(shù)標(biāo)準(zhǔn)和安全管理流程要求，只有第三方APP滿(mǎn)足條件后，運(yùn)營(yíng)商才能許可第三方APP和MEC進(jìn)行互聯(lián)互通，并通過(guò)數(shù)字簽名技術(shù)對(duì)第三方APP進(jìn)行可信度驗(yàn)證。

運(yùn)營(yíng)商運(yùn)維MEC階段，并不需要運(yùn)維人員在MEC站點(diǎn)值守，主要原因是MEC站點(diǎn)多、位置偏遠(yuǎn)，安排大量值守人員會(huì)帶來(lái)高成本。運(yùn)營(yíng)商可采用遠(yuǎn)程視頻監(jiān)控、日志審計(jì)和定期遠(yuǎn)程巡檢的方式來(lái)監(jiān)控MEC站點(diǎn)是否處于可信狀態(tài)。當(dāng)運(yùn)營(yíng)商升級(jí)MEC站點(diǎn)的軟件版本時(shí)，需要采用2.3章節(jié)描述的方法，對(duì)軟件版本進(jìn)行完整性和可信度檢測(cè)。在升級(jí)過(guò)程中，該軟件版本受到MEC內(nèi)基于TPM的可信計(jì)算流程控制，確保版本升級(jí)完成后，MEC的整系統(tǒng)是可信可控的。由于IT技術(shù)發(fā)展很快，新的漏洞會(huì)被發(fā)現(xiàn)，新的攻擊手段不斷出現(xiàn)，運(yùn)營(yíng)商需要采用迭代運(yùn)維的機(jī)制，對(duì)MEC系統(tǒng)做周期性安全審計(jì)，持續(xù)加固MEC的安全性。

4? ?結(jié)束語(yǔ)

信息安全問(wèn)題從信息技術(shù)產(chǎn)生的那天起就一直存在，安全解決方案也會(huì)伴隨著信息技術(shù)的演進(jìn)而演進(jìn)。MEC作為當(dāng)今5G網(wǎng)絡(luò)的關(guān)鍵技術(shù)，在工業(yè)互聯(lián)網(wǎng)中扮演著重要角色，同時(shí)MEC具有分布式部署在網(wǎng)絡(luò)邊緣的特征，MEC相比傳統(tǒng)數(shù)據(jù)中心有特殊的安全問(wèn)題，必須綜合利用常規(guī)的安全技術(shù)和增強(qiáng)的可信計(jì)算技術(shù)來(lái)解決?？尚庞?jì)算技術(shù)能從源頭建立可信根，再一級(jí)一級(jí)地驗(yàn)證MEC系統(tǒng)的可信度，從而大大增強(qiáng)MEC硬件、能力開(kāi)放API Gateway、軟件版本完整性和可信度等級(jí)。而基于此方案的端到端、全流程的安全部署過(guò)程，能讓MEC應(yīng)用的每個(gè)環(huán)節(jié)都有嚴(yán)密的安全管理和安全技術(shù)保障。隨著可信計(jì)算技術(shù)在MEC中的廣泛部署，將有力保障工業(yè)互聯(lián)網(wǎng)中大量行業(yè)應(yīng)用的安全性，提升全社會(huì)的經(jīng)濟(jì)安全和國(guó)家安全水平。

參考文獻(xiàn)：

[1]? ? 陸威，方琰崴，陳亞權(quán). URLLC超低時(shí)延解決方案和? ? ? ? ? 關(guān)鍵技術(shù)[J]. 移動(dòng)通信， 2020，44（2）： 8-14.

[2]? ? ?李立平，王衛(wèi)斌，方琰崴. 面向業(yè)務(wù)體驗(yàn)的5G核心網(wǎng)演?進(jìn)分析及建設(shè)方案[C]//5G網(wǎng)絡(luò)創(chuàng)新研討會(huì)（2019）論文集. 廣州： 移動(dòng)通信， 2019： 294-301.

[3]? ? ?方琰崴，陳亞權(quán). 基于虛擬化的電信云網(wǎng)絡(luò)安全解決方?案[J]. 移動(dòng)通信， 2018，42（12）： 1-7.

[4]? ?何明，沈軍，吳國(guó)威，等. MEC安全探討[J]. 移動(dòng)通信， 2019，43（10）： 2-6.

[5]? ? ETSI. ETSI GS NFV-INF 001： Network Functions Virtualisation; Infrastructure Overview[S]. 2015.

[6]? ? ?ETSI. ETSI GS NFV 001： Network Functions Virtualisa-tion （NFV）; Use Cases[S]. 2013.

[7]? ? ETSI. ETSI GS NFV 002： Network Functions Virtua-lisation （NFV）; Architectural Framework[S]. 2013.

[8]? ? ? 王全，方琰崴. 5G電信云網(wǎng)絡(luò)安全解決方案[J]. 郵電設(shè)計(jì)技術(shù)， 2018（11）： 57-62.

[9]? ?方琰崴. 5G核心網(wǎng)安全解決方案[J]. 移動(dòng)通信， 2019，43（10）： 19-25.

[10]? ?閆新成，毛玉欣，趙紅勛. 5G典型應(yīng)用場(chǎng)景安全需求及安全防護(hù)對(duì)策[J]. 中興通訊技術(shù)， 2019，25（4）： 6-13.

[11]? 王振宇. 可信計(jì)算與網(wǎng)絡(luò)安全[J]. 保密科學(xué)技術(shù)， 2019（3）： 63-66.

[12]? ?Trusted Computing Group. TCG[EB/OL]. （2013-11-26）[2020-02-20]. http：//www.trustedcomputinggroup.org/.

[13]? ? 何欣楓，田俊峰，劉凡鳴. 可信云平臺(tái)技術(shù)綜述[J]. 通信學(xué)報(bào)， 2019，40（2）： 154-163.

[14]? ? 張巖，張艷菲，張曼君. 電信云安全分析與思考[J]. 郵電設(shè)計(jì)技術(shù)， 2019（4）： 63-66.

[15]? ?ETSI. ETSI GS MEC 011： Mobile Edge Computing （MEC）; Mobile Edge Platform Application Enablement[S]. 2017.

[16]? ?ETSI. ETSI GS MEC 003： Multi-access Edge Computing （MEC）; Framework and Reference Architecture[S]. 2019.

[17]? ? 王全. 云原生Cloud Native核心網(wǎng)方案及關(guān)鍵技術(shù)[J]. 中國(guó)新通信， 2018（9）： 61-62.

[18]? ?呂華章，陳丹，王友祥. 運(yùn)營(yíng)商邊緣云平臺(tái)建設(shè)和典型案例分析[J]. 電信科學(xué)， 2019（3）： 7-17.

[19]? ?方琰崴. 面向云化的電信運(yùn)營(yíng)轉(zhuǎn)型方案、關(guān)鍵技術(shù)和發(fā)展策略[J]. 信息通信技術(shù)， 2018（2）： 58-65.★

作者簡(jiǎn)介

陸威（orcid.org/0000-0001-7659-7331）：

碩士畢業(yè)于南京大學(xué)計(jì)算機(jī)專(zhuān)業(yè)，現(xiàn)任中興通訊股份有限公司電信云與核心網(wǎng)產(chǎn)品線產(chǎn)品規(guī)劃總工、產(chǎn)品市場(chǎng)總監(jiān)，專(zhuān)業(yè)方向?yàn)?G核心網(wǎng)和邊緣計(jì)算，獲得專(zhuān)利四項(xiàng)。

王全（orcid.org/0000-0002-5487-4067）：學(xué)士畢業(yè)于南京大學(xué)電子學(xué)與信息系統(tǒng)專(zhuān)業(yè)，現(xiàn)任中興通訊股份有限公司電信云核心網(wǎng)產(chǎn)品線副總經(jīng)理，從事電信云核心網(wǎng)、NFV、SDN、MEC等產(chǎn)品規(guī)劃工作，負(fù)責(zé)的相關(guān)產(chǎn)品及解決方案在5G論壇、SDN/NFV全球大會(huì)、世界邊緣計(jì)算論壇、中國(guó)通信學(xué)會(huì)榮獲多項(xiàng)大獎(jiǎng)，獲多項(xiàng)國(guó)家發(fā)明和實(shí)用新型專(zhuān)利，在核心期刊發(fā)表論文10余篇。