Skip to content

WG11: Security

WG11 (Security Work Group) là nhóm làm việc của O-RAN Alliance xây dựng yêu cầu bảo mật cho các thành phần và giao diện mở của kiến trúc O-RAN. Trang này trình bày WG11 ở góc nhìn kiến trúc RAN: vì sao kiến trúc mở cần một nhóm bảo mật riêng, phạm vi của WG11 so với 3GPP, phương pháp phân tích mối đe dọa, bộ tài liệu chính và các hướng nghiên cứu. Cấu hình giao thức mật mã trên từng giao diện (TLS, SSH, IPsec, MACsec, 802.1X) và cách đánh giá, chứng nhận thiết bị O-RU, O-DU nằm ở trang Chứng nhận bảo mật cho thiết bị viễn thông và RAN (tab Security).

Bề mặt tấn công của kiến trúc mở

Trong RAN truyền thống, phần lớn giao diện bên trong trạm gốc là giao diện nội bộ của một nhà cung cấp. Kiến trúc O-RAN mở các giao diện này và thêm các thành phần mới, nên bề mặt tấn công (attack surface, tập hợp các điểm kẻ tấn công có thể tương tác với hệ thống) tăng theo:

Thay đổi của O-RAN Hệ quả về bảo mật
Open Fronthaul giữa O-DU và O-RU của hai nhà cung cấp Giao diện chạy trên Ethernet, có thể đi qua switch dùng chung. Gói C-plane hoặc U-plane giả mạo có thể làm O-RU phát sai hoặc ngừng phát; chiếm được M-plane thì cấu hình và phần mềm O-RU bị thay đổi
Near-RT RIC và Non-RT RIC với xApp, rApp của bên thứ ba Ứng dụng của nhà cung cấp khác có quyền điều khiển RAN qua E2 và A1. Một ứng dụng độc hại hoặc lỗi có thể đưa ra quyết định gây hại, hoặc thu thập dữ liệu thuê bao
O-Cloud: chức năng RAN chạy trên hạ tầng cloud dùng chung Thêm các rủi ro của ảo hóa và container: cô lập giữa các tenant, bảo mật của hypervisor và orchestrator
SMO quản lý tập trung qua O1, O2 SMO trở thành điểm có quyền cao nhất, cần bảo vệ như hệ thống quản trị trung tâm
Chuỗi cung ứng nhiều nhà cung cấp Cần kiểm soát nguồn gốc phần mềm và phần cứng của từng thành phần

Các nghiên cứu thực nghiệm đã chứng minh tấn công từ chối dịch vụ (denial of service, DoS) trên C-plane và U-plane của Open Fronthaul, và trên các giao diện A1, E2, F1, khi các giao diện này không được bảo vệ. Đây là lý do WG11 đặt yêu cầu bảo vệ cho từng giao diện thay vì giả định mạng nội bộ là tin cậy.

Phạm vi so với 3GPP

Bảo mật của RAN được phân chia giữa 3GPP và O-RAN theo nơi định nghĩa giao diện:

Phần Bên chịu trách nhiệm
Giao diện vô tuyến Uu, giao diện F1, E1, NG, Xn 3GPP (nhóm SA3), chủ yếu theo TS 33.501
Giao diện riêng của O-RAN: Open Fronthaul, A1, E2, O1, O2 O-RAN WG11
Thành phần riêng của O-RAN: O-RU, Near-RT RIC, Non-RT RIC, xApp, rApp, SMO, O-Cloud O-RAN WG11

WG11 không thay thế yêu cầu của 3GPP. Với O-CU và O-DU, thiết bị phải đáp ứng cả yêu cầu của 3GPP cho split gNB lẫn yêu cầu của WG11 cho các giao diện O-RAN. Với O-RU, 3GPP không có đặc tả bảo mật riêng vì split 7.2x nằm ngoài phạm vi 3GPP, nên yêu cầu bảo mật của O-RU đến từ WG11.

Lịch sử

Công việc bảo mật của O-RAN Alliance ban đầu do Security Focus Group (SFG) đảm nhận. Năm 2022, SFG được nâng thành Work Group và trở thành WG11, để nhấn mạnh nguyên tắc bảo mật từ thiết kế (security by design) trong mọi đặc tả của O-RAN. Từ năm 2025, các tài liệu bảo mật chính của WG11 được ETSI và ATIS (tổ chức tiêu chuẩn viễn thông Bắc Mỹ) công bố lại, nhờ đó có thể được viện dẫn như tiêu chuẩn chính thức trong yêu cầu mua sắm.

Phương pháp phân tích mối đe dọa

WG11 dùng cách tiếp cận dựa trên rủi ro (risk-based): xác định tài sản cần bảo vệ, phân tích từng thành phần và giao diện để tìm điểm yếu, liệt kê mối đe dọa, rồi đánh giá rủi ro để chọn biện pháp kiểm soát. Mối đe dọa được phân loại theo mô hình STRIDE:

Chữ Loại đe dọa Thuộc tính bị vi phạm
S Spoofing: giả mạo danh tính Xác thực
T Tampering: sửa đổi dữ liệu Toàn vẹn
R Repudiation: chối bỏ hành động Chống chối bỏ
I Information disclosure: lộ thông tin Bảo mật
D Denial of service: từ chối dịch vụ Sẵn sàng
E Elevation of privilege: leo thang đặc quyền Phân quyền

Kết quả phân tích nằm trong báo cáo threat model, và là đầu vào để viết các yêu cầu trong tài liệu yêu cầu bảo mật.

Bộ tài liệu chính

Bộ tài liệu của WG11 gồm bốn tài liệu trụ cột đi theo chuỗi: phân tích mối đe dọa, yêu cầu, giao thức, kiểm thử.

Tài liệu Viết tắt Vai trò
Threat Modeling and Risk Assessment (technical report) TMRA Tài sản, mối đe dọa và đánh giá rủi ro cho kiến trúc O-RAN
Security Requirements and Controls Specifications SRCS Yêu cầu và biện pháp kiểm soát cho từng thành phần và giao diện
Security Protocols Specifications SPS Cấu hình bắt buộc của các giao thức bảo mật dùng trong O-RAN: SSH, TLS, DTLS, IPsec, OAuth 2.0, SFTP, FTPES, HTTPS
Security Test Specifications STS Test case kiểm tra sự tuân thủ SRCS và SPS

Ngoài bốn tài liệu trên, WG11 có các đặc tả bảo đảm an ninh (Security Assurance Specification, SCAS) cho từng loại thiết bị như O-RU và O-DU, theo cách 3GPP làm SCAS cho gNB. SCAS dùng làm cơ sở cho chương trình Security Badge của O-RAN Alliance. Bốn tài liệu trụ cột được cập nhật ở mỗi publication train; phiên bản cụ thể qua các train 2025 và 2026 xem bài Ba train, ba mạch chính.

Các hướng nghiên cứu

Bên cạnh bộ tài liệu chính, WG11 có các báo cáo nghiên cứu (technical report) cho từng mảng của kiến trúc:

Chủ đề Nội dung
Zero Trust Architecture (ZTA) Áp dụng nguyên tắc không tin cậy mặc định (zero trust) cho O-RAN. Từ train tháng 3/2026, O-RAN Alliance đánh giá bộ đặc tả bảo mật đạt mức trưởng thành "Initial" theo mô hình ZTA của CISA (cơ quan an ninh mạng Hoa Kỳ)
Security for O-Cloud Bảo mật hạ tầng cloud chạy chức năng RAN
Security for SMO Bảo mật hệ thống quản lý và điều phối
D2 interface security Nghiên cứu bảo mật cho giao diện D2, phiên bản đầu v1.00 ở train tháng 3/2026
Post-quantum cryptography (PQC) Chuẩn bị chuyển các giao thức sang thuật toán chống máy tính lượng tử

Theo các nghiên cứu học thuật năm 2026, công việc PQC của WG11 mới ở giai đoạn đầu, chưa có profile thuật toán bắt buộc. Các đề xuất tập trung vào xác thực thiết bị và trao đổi khóa trên M-plane trước, sau đó tới IPsec và MACsec, và lưu ý giới hạn tài nguyên của O-RU khi tăng kích thước khóa và chữ ký.

Todo

Kiểm chứng phạm vi và chức năng của giao diện D2, và trạng thái hiện hành của tài liệu PQC của WG11 trên specifications.o-ran.org.

Liên quan

Tài liệu tham khảo