用了边缘计算，你的数据就真的安全了吗？

作者：郭仁贤 2019-08-05 15:05:35

安全

应用安全

边缘计算 采用边缘计算将数据留在本地进行处理，用以解决用户的隐私泄露和安全问题，你的数据就真的安全了吗？

采用边缘计算将数据留在本地进行处理，用以解决用户的隐私泄露和安全问题，你的数据就真的安全了吗?

[[272784]]

智能家居一方面给人们描绘了一幅未来美好的智慧生活的图景，另一方面也带给人们对于自身隐私和安全问题的担忧。针对此等情况，有行业人士认为：未来边缘计算将更广泛地应用于终端设备，从而保护用户的隐私安全。

此外，多接入边缘计算MEC，作为近两年关注度高的一种边缘计算，其在智能工厂、智能医院和智能炼油厂等诸多细分领域都有广泛的应用。例如智能工厂，2018年10月，基于诺基亚vMEC解决方案，在华晨宝马工厂成功部署并投入试运行；而智能医院，则有采用4G+MEC的方式以LTE网络为基础的企业专用网络，以医院HIS系统为数据源，为医疗定制终端硬件载体，为企业提供移动软件展示护理等。

以MEC为代表的边缘计算技术，虽然带来了多种崭新的服务方式，但它的新特征也带来了全新的安全和隐私保护问题。

MEC将面临更为多样化的攻击

在传统的网络中，有防火墙、数据加密和病毒防御等与数据安全、隐私保护相关的技术，但在MEC中，由于任务不仅限于在已具有安全措施的场所中运行，同时移动网络终端的高移动性，使原本用于云计算的许多安全解决方案很难适用于MEC。

MEC的异构特点，整个系统是由多个所有者共同拥有的，其部署和服务方式使得网络攻击的破坏范围限制在了较小的范围内，另一方面，一旦攻击者成功控制了节点，整个节点所服务的地区都将面临瘫痪的风险。

服务本地化也会使得针对MEC的攻击将会更加多样化，MEC主要面临以下这些途径的攻击：

(1)网络设施的攻击：MEC的接入和传输具有多样性，从无线接入网到移动核心网再到互联网都有涉及，因此针对该环节的攻击有三种。

• 拒绝服务(DoS)攻击：尽管一定程度上会对MEC造成的影响，但破环能力有限;
• 中间人攻击：此类型的攻击很隐蔽，同时危险性大，能影响到连接在中间人上的所有网络节点;
• 恶意网关攻击：与中间人攻击对MEC造成的危害是类似的。

(2)服务设施攻击：在MEC中，服务设施最主要的是部署在网络边缘的MEC节点，而该种类型的攻击主要有隐私泄露、服务复制、权限升级和恶意节点。

(3)虚拟化设施攻击：在MEC节点中，虚拟化设施负责网络边缘云服务的部署，同时也面临多种方式的攻击。

• 拒绝服务攻击：一个恶意的虚拟机会设法耗尽整个节点的资源，在某些情况下这种攻击的造成的后果很严重;
• 资源的错误使用：例如，恶意虚拟机可以搜寻附近的IoT设备并对其攻击或执行一些破解密码、运行僵尸网络服务的程序;

此外，虚拟化设施攻击除了以上提到的，还有隐私泄露、权限升级、虚拟机复制等，而在用户终端的环节，MEC系统还将面临信息注入和服务复制这两种攻击的方式。

安全与隐私保护技术

为了应对MEC系统以上这些多样化的攻击，应用多种安全服务与防御机制是很有必要的，主要有以下这些关键技术：

1. 身份验证与鉴权技术：复杂的异构特征带来了很多挑战，不仅需要对每一个实体进行身份认证，还需要实现不同实体之间的身份互相认证;
2. 信任管理技术：在MEC中,信任管理不仅仅包括对实体身份的验证,还包括对交互实体数量和具体行为的管理;
3. 协议与网络安全技术：如果MEC的网络架构没有受到严格的保护，整个系统都会受到外部和内部攻击的威胁;因此需要对MEC应用到的种种通信技术和协议进行有效防护;
4. 入侵检测技术：由于绝大多数攻击的危害都被限制在MEC节点附近，因此，MEC节点能够对其中的网络连接、虚拟机状态等节点所拥有的部分进行监控;
5. 错误容忍与恢复技术：错误的配置、旧版本的软件、顽健性不足的代码和其他不足都有可能被恶意的攻击利用，进而控制系统的某些部分或是整个系统。因此，应用一些能够让服务设施继续服务的机制和方案是十分必要的。

5G MEC安全解决方案

MEC服务器是移动网络中一个全新的实体，在连接到包括OAM系统、UPF、合法拦截等多个移动网络实体的同时，还连接到第三方应用服务器，甚至容纳第三方应用程序。

值得注意的是，当前的安全技术(包括IPsec、TLS、防火墙等)可以保护这些连接，以阻止对MEC服务器、移动系统和第三方服务器的攻击。

然而，这些解决方案对于引入MEC后新产生的安全问题还不能很好地解决，例如，在MEC服务器上运行的恶意应用程序可能会有意占用服务器中的资源，从而使同一服务器上的应用程序失效;应用程序也可以使用API自由更改移动网络的配置，这可能会损害整个网络的性能。

需要建立一个统一、可信的安全评估系统来评估MEC系统中运行的应用程序的安全性将十分有必要。同时，应用程序和网络之间接口的安全方面也应考虑到通信的安全性，例如未经授权的调用。

移动运营商要为MEC服务器中的应用程序提供防御恶意攻击的服务，并检查第三方应用程序的安全漏洞。MEC的具体安全要求如下：

首先是物理设施保护。在为用户提供优质服务的同时，MEC的按需邻接部署也客观地缩短了攻击者与MEC物理设施之间的距离，使攻击者更容易与MEC物理设施接触。造成MEC物理设备的破坏、服务中断、用户隐私和数据泄露等严重后果。另一方面，广泛部署的MEC边缘计算节点也可能面临着各种自然灾害(如台风、冰雹)和工业灾害的威胁。上述所有因素都可能直接损害MEC硬件基础设施，导致服务突然中断和数据意外丢失。因此，需要在性能和成本考虑的基础上，为MEC节点配置相应的物理设施保护措施。

再者，对安全能力有限的MEC节点要进行安全防护。由于性能、成本、部署等多种因素的影响，单个MEC节点的安全防护能力(如可抵抗的攻击类型、抵抗单一攻击的强度等)受到限制。针对MEC节点(IoT终端/移动智能终端)的应用特点和终端特点，有必要部署相应的安全防护措施。

然后是扩展信任构建模型。MEC系统与移动通信系统共生集成的部署模式，扩展了以前的“用户分别对网络和服务进行认证”的二元信任关系构建模型。需要建立用户、MEC系统、MEC应用、移动通信网络和MEC系统之间的信任关系。具体来说，需要在MEC系统和5G网络之间建立信任关系，以便合法使用5G开放网络服务为用户提供服务。为了防止恶意应用程序接管用户服务，需要在MEC系统和MEC应用程序之间建立信任关系。需要建立MEC系统与用户之间的信任关系，以确认MEC系统与用户之间的合法性。在MEC系统中，需要在MEC节点和MEC控制器之间建立信任关系，防止“假MEC节点”恶意访问，窃取用户和服务信息。信任关系需要构建MEC节点来支持节点之间的协作。

最后是关于隐私和数据保护。MEC“基于用户信息感知的高质量个性化服务”的特点不仅提供了便利，而且使MEC应用不可避免地能够访问大量的移动用户和设备的隐私和数据信息。例如用户身份、位置和移动轨迹。在进一步挖掘这些信息之后，我们还可以获得很多关于用户睡眠模式、生活习惯、健康状况等方面的信息。因此，在MEC隐私和数据保护中，需要配备相应的隐私泄露保护措施，严格控制第三方MEC应用的行为，防止其泄露和滥用用户的隐私和数据信息，针对这部分，我们应高度关注。

总结：

Gartner预测，企业对边缘计算市场潜力的兴趣正在迅速增长，从2019年到2021年底，至少部署了一个边缘计算应用来支持物联网或沉浸式体验的大型企业，将由不到5%增长到超过50%;至少部署六种边缘计算应用来支持物联网或沉浸式体验的大型企业，将由不到1%增长到超过50%。

尽管边缘计算将面临更为多样化的攻击，但他的大范围应用已成为一个趋势。面对以上提到的这些攻击类型，只要我们采取恰当的安全服务以及建立好防御机制，相信最终能使得边缘计算的各种应用顺利落地，数据的安全得到保障。