備受矚目的Open RAN安全性不夠格？
2020-09-17
作者
John Walko，EE Times特約記者
電信設備業者愛立信(Ericsson)對無線基礎設施領域提出了嚴正警告，表示Open RAN的基礎技術可能天生就不安全。
隨著開放性無線接取網路(Open RAN)日益受到市場歡迎，全世界有越來越多營運商推出有限的網路服務，也有的剛完成試營運。興奮的零組件與系統供應商紛紛加入市場行列，分析師努力鑽研數字並提出了雄心勃勃──或許過於熱情──的預測。
就在此時電信設備業者愛立信(Ericsson)出來潑了一盆冷水，對無線基礎設施領域提出了嚴正警告，表示Open RAN的基礎技術可能天生就不安全。
或許我們不該對以上的警告太過驚訝──愛立信在下一代行動通訊網路的「開放性」上一直持保留態度，與競爭對手華為(Huawei)相去不遠；而且顯然該公司對於市場上支持現有無線接取網路方案的熱潮有嚴重的疑慮。
Open RAN (O-RAN)是一種能分離網路不同元素的方法，讓營運商能在同一個網路設置中混合來自不同供應商的產品。其支持者認為，相較於設備大廠如愛立信、華為與諾基亞(Nokia)提供的線有設置，O-RAN能帶來更顯著的成本效益；因為那些大廠通常是銷售高度整合、而且往往是專有的軟硬體組合。
愛立信的安全暨網路產品解決方案負責人Jason Boswell在一份白皮書以及一篇題為「確保開放性不會為5G網路的新風險開啟大門」(Making sure that Open doesn’t open the door for new risks in 5G)的部落格文章中提出他的論據，具體指明在採用O-RAN架構之前必須要審慎考量的數個議題，並強調該種架構在被廣泛佈署之前應該要考量其安全性。
Boswell警告：「O-RAN架構帶來了全新、額外的接觸點，以及軟硬體的脫鉤(decoupling)，這有可能從多個方面擴展威脅以及網路攻擊面；」他列出的可能風險包括：
- 新介面增加了威脅面，例如開放性前傳(front-haul)；
- 近即時RAN智慧控制器(RIC)與3PP xApp帶來了可以利用的新威脅；
- 硬體脫鉤增加了對信任鏈(trust chain)的威脅；
- 管理介面並未確保遵循產業界的最佳實例。
…還有一個不只專屬於O-RAN架構的風險是：
- 執著於開源的最佳實例。
Boswell結論指出，與任何新興技術一樣，「安全性不能是事後諸葛，應該要建立於透過設計方法實現的安全性之上。」長達14頁的文件提出了一些中肯的議題，讓人閱讀得津津有味。這些被提出的疑慮肯定不應該被忽略，它們也並非不重要或者不相關，因為愛立信看到了這些問題。
產業界越來越意識到，網路安全性在所有的新架構中需要被擺在第一位，因為這是整個行動網路基礎架構中如此重要的元素。但貫穿於愛立信白皮書的主題卻指出令人憂慮的問題：開放性RAN在安全性方面天生就比較脆弱。
而白皮書中的數個副標題，例如「100種建立(保護)網路的方法」、「信任鏈中的虛弱鏈接」，以及「被擴大的威脅面」等等，顯然為整個基礎建設領域敲響了警鐘。
白皮書中有一個部份聚焦於與O-RAN相關、但不僅限於該架構的風險，Boswell寫道：「第三方硬體可能會需要額外的安全保證與檢查層，以確保端對端的零組件完整性，以及維護一個可信任的、安全的供應鏈。」
事實上，全球有越來越多主流營運商都更積極參與了O-RAN陣營。舉例來說，日本業者樂天(Rakuten)開始在日本一些都會區，透過只應用O-RAN技術的網路提供4G服務；美國營運商Dish Networks也開始利用該技術建構一些大型私有網路。
Vodafone與Telefonica是歐洲市場較活躍的營運商，已經準備好在某些區域進行佈署；還有德國電信(Deutsche Telekom)。在美國，Verizon與AT&T正忙著進行大規模的試營運。根據市場研究機構Signals Research Group的資訊，AT&T使用了三星(Samsung)與愛立信的設備在美國德州進行了大規模的網路測試。
在供應商這廂，許多率先開發虛擬化RAN軟體的美國業者(例如Altiostar、Parallel Wireless與Mavenir)對於採用O-RAN發出了正面訊號，專門打造O-RAN無線電單元的供應商亦然，像是Airspan、Fujitsu與NEC。該領域也有一些關於潛在收購案(M&A)的討論，最近有兩家市場研究機構都提出了不讓人失望的預測數據。
讓人無法忽視的還有許多與網路基礎建設不一定直接相關的廠商，也透過加入Open RAN政策聯盟(Policy Coalition)成為O-RAN陣營的成員，像是德州儀器(TI)、賽靈思(Xilinx)、博通(Broadcom)、Nvidia、Ligado Networks、America Tower與GigaTerra Communications。
市場研究機構ABI Research估計，Open RAN「生態系統」可在2030年創造總計300億美元的市場價值，高過傳統RAN市場的200億美元。不過該機構警告，這對公共蜂巢式網路來說「不會在一夜之間發生，」並指出該技術將推動100億美元規模的全新市場。
另一家市場研究機構Dell’Oro的分析師則是預測了一個較短期的時間跨度，估計接下來五年Open RAN技術的總支出將達到50億美元，包括軟硬體與韌體技術，但不包括服務。該機構副總裁暨分析師Stefan Pongratz指出：「乍看之下，這對於一項新技術的基準情境可能是過於樂觀，因為它仍然相對未經測試，而且有一些官方意見認為還需要十年左右的時間才能起飛。」
他補充指出，最近情勢已經有所改善，「我們也上修了前景預測以反映多重因素的融合，包括初始佈署帶來看好的結果，現有RAN供應商逐漸增加支持，還有升高的地緣政治不確定性。」
關於地緣政治不確定性，Pongratz應該是指美國政府為了將華為從美國市場排除、以及阻止其他國家也採用該公司設備所施加的「壓力」；所有這些都為O-RAN技術的知名度與支持度推波助瀾，特別是在美國。
編譯：Judith Cheng
(參考原文 ：Ericsson Warns that Open RAN Compromises Security，By John Walko）
