阅读： 559
在2022RSA大会上，Trusted Connectivity Alliance（TCA）联盟发表了一个名为“Catch Me If You Can: Protecting Mobile Subscriber Privacy in 5G”的议题，该议题主要针对如何在5G中对IMSI进行加密进行探讨。TCA联盟是一个全球性的非营利性行业协会，旨在完善未来网络互联中的信任机制，并希望通过保护资产、用户隐私和网络三者之间的可信连接，推动互联社会的持续发展[1]。在该议题中，TCA对比了IMSI在SIM卡和终端中进行加密的差异点，通过对比TCA认为IMSI在SIM中进行加密拥有更好的效果。
随着全球数字化的推进，人们越来越关注个人隐私问题，加强隐私保护已成为全球多个监管机构关注的重点。近年来欧盟发布了个人隐私相关法律GDPR，美国发布了个人隐私相关法律CCPA，我国有关个人隐私相关的法律《数据安全法》[2]和《个人信息保护法》[3]也在2021年正式实施。移动网络是现代人类社会不可或缺的一部分，5G通信作为目前主流的移动通信技术，被越来越广泛地使用。据Global System for Mobile Communications Association（GSMA）报告[4]显示，到2025年全球连接5G的终端设备将达到20亿。在5G通信中，保护终端用户的个人隐私也自然成为了5G安全中的热门话题。
然而，个人隐私信息目前仍然存在非常大的安全问题。国际移动用户识别码IMSI（International Mobile Subscriber Identity）是移动通信个人隐私中最重要的一个信息，它是移动网络运营商分配给 SIM卡的唯一用户标识符，IMSI可以用来确认终端用户的身份，监控终端用户的物理位置、电话和SMS短信等。尽管IMSI信息非常重要，但在2G、3G和4G移动网络中IMSI信息都是明码传输，存在很大的安全问题。其中最常见的一个攻击场景是IMSI捕获攻击，IMSI捕获攻击是一种通过收集特定用户的长期标识符来定位和跟踪特定用户的攻击方法。该攻击的基本原理是攻击机器通过伪装成基站，诱导手机与其连接从而发出IMSI，如果手机响应发出IMSI，则攻击成功，如图1所示。
图1 IMSI 捕获攻击
图2 IMSI在SIM中加密和设备中加密不同维度的对比图
在所属和控制权方面（Ownership and control），SIM加密是由移动运营商管理和控制IMSI的加密机制，设备加密是由原始设备制造商管理和控制IMSI的加密机制。TCA认为SIM加密更加适合。
在灵活性方面（Flexibility），SIM加密下的移动运营商可以让SIM卡供应商将需要的与安全相关的算法结合在SIM卡中，而设备加密不可以。
在安全级别方面（Security Level），防篡改安全元件是 5G SIM卡的基础，属于认证的最高安全级别，而设备加密中的安全性存在较大风险。
在生产方面（Production），TCA认为SIM卡是在安全、受监管的工厂中进行生产和供应，而终端设备可能在不安全的环境下进行生产。
在认证难度方面（Qualification effort），SIM加密有简单统一的认证流程，而设备加密受品牌、模式和系统等的多样性等影响，认证起来较为复杂。
在性能表现方面（Performance），SIM加密可能比设备加密处理速度慢，但是仍可以为用户提供无缝体验。
在互操作性方面（Interoperability），不同5G SIM卡实施之间可以建立良好的互操作性，而设备加密有较大的风险。
综上所述，将IMSI在SIM卡中加密更优于在设备中进行加密，TCA建议在5G SIM卡中对IMSI进行加密来保护用户的隐私。与网络核心架构演进方式相同，SIM卡技术也在转型以迎接5G带来的新挑战和机遇，同时3GPP在release16中也对5G SIM卡做了相应的规范[5]。
随着5G技术越来越成熟，使用5G的用户也越来越多，随之而来与5G相关的安全问题也越来越突出。伴随着全球范围个人隐私相关法律的逐渐完善，个人隐私安全也逐渐在法律法规上得到高度重视和保护。IMSI识别码是5G个人隐私中非常重要的一个信息，但是在此前的2G、3G、4G移动通信时代IMSI是未经加密明文传输的，存在着非常大的安全风险。
TCA联盟组织对比了IMSI识别码在SIM卡中进行加密和在终端设备中进行加密的性能差异，通过性能比较，TCA联盟认为IMSI识别码在SIM卡中进行加密会有更好的效果。
在致力于提供高质量通信的同时，5G对于隐私保护的支持也越发完善。5G时代下，对用户个人隐私进行治理与保护的问题获得了业界的高度关注，与之前的通信协议相比，5G协议对隐私保护相关能力会提供更多支持。
[1]https://trustedconnectivityalliance.org/introduction/
[2]http://www.npc.gov.cn/npc/c30834/202106/7c9af12f51334a73b56d7938f99a788a.shtml
[3]http://www.npc.gov.cn/npc/c30834/202108/a8c4e3672c74491a80b53a172bb753fe.shtml
[4]https://www.gsma.com/newsroom/press-release/mobile-momentum-5g-connections-to-surpass-1-billion-in-2022-says-gsma
[5]https://www.3gpp.org/release-16
本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司（“绿盟科技”）。作为分享技术资讯的平台，绿盟科技期待与广大用户互动交流，并欢迎在标明出处（绿盟科技-技术博客）及网址的情形下，全文转发。
上述情形之外的任何使用形式，均需提前向绿盟科技（010-68438880-5462）申请版权授权。如擅自使用，绿盟科技保留追责权利。同时，如因擅自使用博客内容引发法律纠纷，由使用者自行承担全部法律责任，与绿盟科技无关。
