摘要

  • NIST 最终版 IR 8625 讨论无线接入网智能控制器（RIC）的安全。该机构于10月8日发布公告，同时介绍了另一份面向联邦机构部署 O-RAN 的草案。
  • O-RAN 使用双向 TLS 认证组件，以 OAuth2 进行授权；但 O-RAN ALLIANCE 没有规定 OAuth2 权限范围的格式或粒度。一个权限究竟覆盖整个资产、某个 API 还是单项操作，由部署方决定。
  • 集中式策略决策点便于统一更新规则，却也让授权请求依赖同一服务；若应用来自另一个管理域，集中决策方还可能缺少判断所需的信息。

一款 xApp 可以读取无线网络策略，却不能修改或删除它吗？NIST 的最终版安全报告把这种区分作为 OAuth2 权限范围设计的例子，也把粒度选择留给了实际运营网络的组织。

10月8日，NIST 同时宣布了两份作用不同的 O-RAN 报告。最终版 IR 8625 研究近实时 RAN 智能控制器及其应用的安全要求。另一份 IR 8623 则是面向联邦机构的独立草案。本文不再讨论那份草案中的机构风险归属，而是聚焦可编程无线接入网内部由谁决定应用可以执行什么操作。

RIC 为应用提供监测和管理无线接入网资源的框架。NIST 将近实时 RIC 描述为负责一部分小区，运行响应时间低于一秒；非实时 RIC 则处理更广范围的数据和较慢的控制周期。xApp 在近实时一侧运行，rApp 在非实时一侧运行。例如，rApp 可以分析多个小区的测量结果，再把策略或配置规则交给 xApp 执行时间敏感的调整。

这种灵活性也让软件能够影响无线网络的行为。NIST 的威胁分析指出，第三方应用可能收集 RAN 信息，并将其传给其他组件，甚至传出 RAN。身份冒用、过宽的权限、数据篡改或配置错误，都可能产生超出应用自身进程的影响。这些是威胁类别，并非已报告的攻击，也不是对某家运营商部署的调查结论。

报告称，O-RAN 以带 X.509 证书的双向 TLS 验证组件身份，以 OAuth2 访问令牌承载授权信息。令牌的 scope 表示对资源享有的权限；资源本身或策略执行点会核验请求的操作是否获准。请求方、资源和授权服务器必须对 scope 的含义有共同理解。但 O-RAN ALLIANCE 目前没有规定 scope 的格式。NIST 举出的粒度从整项 O-RAN 资产，到某个 API，再到单次操作不等；例如只允许读取策略，而不允许创建或删除策略。

部署组织要依据自身的零信任政策和运营成熟度来选择粒度。这不是无关紧要的配置细节。宽泛权限让应用更容易接入，却可能允许任务并不需要的操作。细化权限能限定动作，但前提是请求方、资源和授权服务对权限词汇、归属和生命周期达成一致。报告没有声称所有运营商采用同一模型，也没有对某种实现进行认证。

在云原生部署中，服务网格等平台组件可以代替每个应用的业务逻辑执行认证与授权。这有助于统一控制。NIST 也讨论了集中式策略决策点：它能简化策略更新，并集中收集访问模式和安全态势信息。代价同样明确：一旦决策点不可用，RAN 中的访问请求就无法通过它获得授权。这并不能证明无线服务本身必然停止；报告指出的是授权链路对该服务的依赖，并非网络中断。

当应用属于另一个管理域时，权限边界更难划定。NIST 举例说，以软件即服务方式提供的 rApp 可能来自外部主体；某一运营商的集中决策点未必掌握评估该主体所需的上下文。访问令牌也不一定带有请求方当前安全状态或行为的全部信息。由谁证明应用身份、谁可以变更其权限、哪一方能看到评估证据，都需要部署方作出安排。

NIST 还区分链路保护与数据保护。双向 TLS 保护组件之间的通信通道；而在云原生流程中，共享存储或消息代理可能位于策略、测量数据的生产者与最终使用者之间。对数据对象本身签名或加密，有助于让来源、完整性或机密性穿过这些中间环节，但生产者和消费者必须额外管理密钥并验证对象。IR 8625 将其列为有待分析的问题，并未要求以对象保护取代链路安全。

这份报告的结论有明确边界：标准化协议可以提供零信任控制所需的机制，却不会替运营商定义权限的实际含义，也不会消除其保障授权连续性和跨域信任的责任。来源没有指出具体部署、入侵事件、策略故障或经测量的可用性影响。

来源