临近空间网络零信任架构设计与应用前瞻丨中国工程科学

临近空间指距地面20~100 km的空域，具有独特的空间位置和大气环境，在国防安全、科学研究、商业应用领域具有开发利用价值。研制各类新型临近空间飞行器、开发临近空间资源成为国际趋势。临近空间飞行器可长期驻留在临近空间，向上可与卫星通信，向下可与地面互联，相较传统的空中节点更加稳定，成为承载网络通信任务的理想平台。临近空间网络拥有广泛的应用场景，如军事侦察、灾害监测、通信保障等，逐渐成为重要的战略资源。临近空间网络的安全性、可靠性事关国防安全与经济社会发展，因而相应的安全防护至关重要。

第五代移动通信（5G）网络可提供低延迟、高速率的通信服务，但过于依赖地面基础设施，在偏远地区的覆盖受限。正在发展中的第六代移动通信（6G），将整合地面网络、机载网络、天基网络，形成覆盖全球、“空天地”一体化的通信网络。临近空间网络作为“空天地”一体化网络的重要组成部分，管控信道开放、拓扑结构多变、节点驻留时间长，导致传统的互联网安全技术难以直接沿用。临近空间网络的节点资源、驻空时间都有别于无人机网络，而现有针对无人机网络的安全防护手段是基于无人机有限的机载资源设计的，也难以直接沿用。

本文聚焦临近空间网络并突出安全课题，概述基本网络拓扑与应用场景，识别薄弱环节与安全需求，提出基于零信任架构的网络安全防护方案；阐述架构中各组件的功能与协同机制，与具体应用场景相结合展示零信任策略的实施过程，展望部署过程中的潜在挑战与未来前景。相关研究可为临近空间网络安全技术发展与系统建设提供参考。

临近空间网络具有多层级的立体结构，自上而下包含卫星、临近空间飞行器、低空无人机、地面控制站等网络主体（见图1）。

图1　临近空间网络的拓扑结构

（一）临近空间节点

临近空间节点主要由各类临近空间飞行器组成，典型的有平流层飞艇、高空气球、高空长航时无人机，都属于低速飞行器范畴。还有一些高速临近空间飞行器，但驻空时间较短，无法成为临近空间网络中稳定存在的节点，故不在本研究的讨论范畴。

1. 平流层飞艇

平流层飞艇载荷能力大、驻空时间长、机动性好，是一类理想的临近空间节点；浮力主要来自氦气，无需额外的能源用于维持高度，可长时间驻空。部分平流层飞艇配置了升力翼面，用于进一步增加载荷能力；还搭载了太阳能推进系统，提升飞艇的续航能力和机动性能。平流层飞艇体积较大，能安装更大面积的太阳能板，从而为载荷提供充足的电力。依托以上优势，平流层飞艇可执行高精度对地观测、通信中继、区域预警等任务。

2. 高空气球

自20世纪70年代起，高空气球成为大气和空间科学研究的重要工具，衍生出零压式气球、超压气球、红外热气球等类型。高空气球结构简单，生产和使用成本低于平流层飞艇，飞行高度上限也更高；但受控性较差，多数为无动力飞行，仅能通过控制浮力调节高度。使用高空气球搭载通信载荷并为地面提供网络连接，技术可行性已获得验证。

3. 高空长航时无人机

高空长航时无人机的机身、机翼上安装大量的太阳能电池板，用于将太阳能转换为电能以支持无人机及其载荷的昼夜工作。高空长航时无人机的最长驻空时间为42 d，最大的飞行高度为29.5 km。相比浮空器平台，高空长航时无人机的机动性和灵活性更强，可执行大范围、长时间的飞行任务。

（二）与临近空间节点关联的其他节点

1. 天基节点

临近空间网络中的天基节点指以卫星为主的各种航天器。卫星的信号覆盖范围更广，可为临近空间节点提供远程通信、数据中继等服务。卫星导航信号的路径损耗较大、抗干扰能力弱，导航卫星与临近空间节点协作将增强导航信号的覆盖能力，提高定位精度和可靠性。

2. 空中节点

民航客机、直升机、低空无人机是典型的空中节点。临近空间节点利用高精度的气象传感器实时获取并分析气象信息，为空中节点提供及时可靠的气象预报服务，保障飞行安全；为自身资源受限的无人机节点提供计算卸载、数据存储等服务，提高其任务效能。

3. 地面节点

地面节点包括地面控制站、临近空间飞行器管控中心、海上船舶等。地面控制站是临近空间飞行器的指挥节点，发出姿态控制、载荷操作、任务规划等功能指令。临近空间飞行器管控中心进行临近空间交通的监控与管理，协调飞行器之间的潜在冲突，确保安全间隔。临近空间网络可为海上船舶提供互联网连接、气象播报等服务，提高海上航行效率及安全性。

（三）临近空间网络应用

在国防应用方面，临近空间飞行器作为军事信息网络的通信中继站，为地面、海上、低空军用对象提供高速率和稳定的超视距通信能力；搭载光电成像、红外成像、合成孔径雷达等设备，构建侦察预警平台，用于对特定区域的全天候侦察与监视。

在民事应用方面，临近空间飞行器长时间驻留在城市上空，持续监测城市的气象、交通、治安、排放等情况，为智慧城市建设与运行提供必要的数据支持；搭载可见光、微波、激光雷达等遥感载荷，获取高分辨率遥感数据，支持国土资源精细化普查、森林火灾预警等。

在商业应用方面，临近空间飞行器相比卫星通信可为偏远地区提供更低成本的网络覆盖能力；相较地面网络可为低空无人机提供更稳定的通信服务，成为6G网络的重要组成部分。以临近空间飞行器为平台开展临近空间观光旅游服务，为乘客提供新奇的体验。

（一）临近空间网络的薄弱环节

临近空间网络属于高动态、多层次、异构的网络拓扑，网络结构规模庞大且复杂，涵盖多类型网络参与者，存在一些薄弱环节。

1. 无线通信信道复杂

临近空间飞行器主要采用无线通信方式与地面控制站及其他飞行器进行通信，无线链路的开放性导致易受非法接入、无线注入等攻击。受飞行高度和环境特殊性的影响，临近空间飞行器的通信链路复杂性较高。无线电波在传播过程中将经历自由空间传播、对流层的大气效应、地面接收器附近的局部效应等类型的传播损伤；阴影效应、多径效应也会不同程度地造成信道的衰落和损耗。虽然相比地面网络，临近空间信号的多普勒效应和所受干扰较小，但敌方通过大功率信号进行干扰或压制的风险依然存在，对通信质量、网络可靠性构成不利影响。

2. 网络参与主体众多

在网络层面，临近空间网络属于复杂的多层次结构，涉及地面控制站、空中交通管控平台、其他临近空间飞行器、航空器／无人机、卫星等网络参与方。各主体之间或内部可能存在默认的信任关系，为攻击者在网络中横向移动提供了条件。网络参与方与临近空间节点交互的服务及内容各不相同，难以实施统一的网络管理策略，需要配置更精准的访问控制和安全策略。

3. 系统内生安全问题

临近空间网络作为高度集成化的系统，由数量众多的软／硬件组成，也涉及多种通信协议和网络设备的互联，不可避免地存在设计缺陷、固件漏洞、软件漏洞、网络配置错误等安全薄弱环节。恶意攻击者利用这些漏洞，可非法接入临近空间网络，造成数据泄露、服务中断、影响任务执行等后果。

4. 存在人为安全隐患

人为因素也是临近空间网络安全中不可忽视的环节。存在主观恶意的内部人员，利用自有权限对临近空间节点发出不合理的控制指令，可导致机密数据泄漏。外部攻击者也可窃取内部人员的身份信息，冒充合法用户访问系统和敏感数据或者执行其他恶意行动。

（二）临近空间网络的安全需求

临近空间网络存在全方位、多维度的安全防护需求，相应安全防护应兼顾身份验证、访问控制、数据传输等方面，属于高度定制化的架构。在复杂的临近空间网络环境下，安全架构需尽量减少隐式信任，持续验证访问主体，动态评估各次访问请求，对数据进行细粒度的访问控制。

1. 身份认证

从身份治理的角度出发，要求临近空间网络对其中的实体进行多维度持续认证。需建立完善的身份管理系统，采集设备、人员、应用程序等实体的身份信息，通过设备证书、人工认证等方式建立初始信任。在交互过程中，需实时监控访问主体行为，持续验证用户和设备的合法性，使用多因素身份认证、生物识别、数字证书、身份与访问管理等手段，确保只有授权主体才能访问临近空间网络资源。

2. 数据安全

临近空间网络存储和传输包括遥感数据、导航数据、通信数据在内的高价值和高敏感数据，可能涉及国防安全或商业秘密，要求进行数据全生命周期保护。在数据创建阶段，需根据重要程度、数据类型等进行现有数据的分级分类，通过元数据标记进一步细化访问策略。针对数据访问请求，需建立合理的访问控制策略，动态评估访问请求，仅赋予必要的最小权限。在数据传输过程中，需对敏感数据进行安全加密，防止数据窃取和篡改。

3. 网络可用性

临近空间网络存在节点资源受限、网络拓扑动态变化、无线信道不稳定的情况，容易成为分布式拒绝服务攻击（DDoS）的目标，导致可用性面临威胁。需合理设计临近空间网络的网络拓扑，增加链路备份和路由冗余，提高网络的整体连通性和容错能力；使用零信任架构中的单包授权技术，支持网络隐身、减小网络暴露面。

4. 临近空间飞行器控制

临近空间飞行器平台及其载荷价值较高，如果被恶意攻击者控制将导致较为严重的后果。临近空间网络需建立针对飞行器控制指令的安全评估机制，不仅验证控制指令是否来自合法发送方，而且防止恶意指令或误操作指令对飞行器安全的影响。需采用基于属性的访问控制策略，对控制指令进行约束；依托数字孪生技术和仿真软件，对指令进行预执行模拟并评估潜在影响。部署机器学习、数据分析技术，参与临近空间飞行器工作状态的实时监控，及时发现异常行为；当检测到与既定飞行参数不符的情况时，系统自主拦截异常指令并触发警报。

（一）零信任架构的基础特性与拓展应用可行性

“零信任”主张去除对内部网络的隐式信任，持续验证所有用户、设备等主体的合法性，动态评估访问请求信任等级，对资源进行细粒度访问控制。2010年，美国弗雷斯特研究公司正式提出了零信任理念，摒弃了传统的基于边界的安全模型，为网络安全防护开辟了新思路。同时，美国谷歌公司开始在网络上部署零信任架构，提高了网络安全性。在零信任理念获得实践应用的同时，零信任相关的标准应运而生，如美国国家标准与技术研究所发布的“零信任架构”标准、国际云安全联盟提出的软件定义边界架构成为主流的架构。此外，发达国家公共管理部门开始重视网络设施向零信任架构迁移，如美国发布了“关于改善国家网络安全的行政命令”、“国防部零信任参考架构”2.0版本。

除了在组织网络中获得更多应用，零信任架构也被部署到以卫星网络为代表的大型基础设施。2022年，欧洲的KA-SAT民用卫星网络遭遇网络攻击，造成数万名用户断网。自此，卫星网络安全得到更多重视。美国SpiderOak公司与美国太空发展局合作，将基于零信任理念构建的OrbitSecure软件套件集成到军用地面系统；分别依托在轨卫星及载荷、国际空间站完成了功能验证，展示了零信任架构在空间网络安全场景下的应用潜力。临近空间网络、卫星网络都是由地面站和空间节点组成的关键基础设施，面临着类似的网络环境和安全威胁，因而将卫星网络的安全防御思路拓展应用至临近空间网络具有科学合理性。

临近空间网络具有异构、立体、多层、时变的特性且复杂度较高，网络中的敏感数据易成为攻击目标。临近空间节点的载荷能力较强，有条件部署资源要求较高的网络安全架构。相比传统边界安全模型，零信任架构能更好地防范分布式拒绝服务攻击、端口扫描、木马病毒等外部攻击和内部威胁；对异构网络的支持度较好，也可依托临近空间节点的长期驻留能力，为利用网络历史数据进行安全决策提供了条件。因此，将零信任架构拓展应用到临近空间网络具有可行性，本研究探讨并提出了一种面向临近空间网络的零信任架构。

（二）临近空间网络零信任总体架构

在尚未形成临近空间网络管理相关标准的背景下，本研究参考无人机空中交通管理的相关标准并结合临近空间网络的特点，设计了适用于临近空间网络的零信任总体架构。《民用无人驾驶航空器空中交通管理信息服务系统数据接口规范》标准明确了无人驾驶航空器系统、运行控制系统、空中交通管理信息服务系统、监管系统等4类主体；前三者之间进行信息交互，监管系统仅与信息服务系统通信。在临近空间网络零信任总体架构中，相应关系表现为临近空间飞行器管控平台、地面控制站、临近空间飞行器之间的双向通信链路。值得指出的是，在零信任总体架构（见图2）中，临近空间飞行器管控平台、地面控制站、临近空间飞行器都表征为网络节点，即为计算机系统及相关资源的集合，而不是具体的机构或单位。

图2　临近空间网络零信任总体架构

注 AI表示人工智能

典型的企业网络零信任架构专注于保护企业资源、对用户的访问请求进行访问控制，属于用户到服务的访问，侧重单向信任。临近空间网络的主体是系统，属于服务到服务的访问，需要双向信任；在各个节点部署零信任安全模块，以有效降低安全风险。临近空间网络运行高价值工作负载，必然受到严格监管，相应的零信任系统将更好满足合规要求。

临近空间网络零信任架构主要包括零信任控制平面、零信任网关、资源区、零信任组件，相应的协作机制为：当一个网络主体（如临近空间节点）试图访问另一个网络主体（如地面控制站）的资源时，请求首先到达零信任网关；零信任网关将请求的上下文信息（如身份、时间、位置）发送给零信任控制平面；零信任控制平面根据接收到的上下文信息，结合零信任组件提供的身份信息、安全策略、网络态势等，进行信任评估和访问控制；零信任控制平面将最小权限集合发回零信任网关，由零信任网关执行决策，允许或拒绝访问请求；零信任网关持续监测流量情况，在日志系统中记录本次请求信息。

零信任控制平面是临近空间网络零信任架构的决策中心、整个网络的信任授予者，根据访问请求的上下文信息来决定是否授予权限，主要包括信任评估、访问控制两大模块。信任评估模块建立灰度信任机制，以信任等级或分数表示网络主体或行为的可信程度，是实现细粒度访问控制的前提。信任评估实质上是风险评估。访问控制模块负责最终授权决策，根据上下文信息、信任评估结果匹配目标策略，得出最小权限集合，再将决策结果发送至策略执行组件。

零信任网关是策略的执行组件，用于分隔主体与资源、执行安全决策；部署在不同的位置，实现不同粒度的访问控制。网络级网关运行在网络层，检查连接的元数据、流量数据，提供相对粗粒度的访问控制。应用程序编程接口网关负责服务器之间的访问，是临近空间网络零信任架构中的重要策略执行点，具有抵御结构化查询语言注入、恶意代码、跨站脚本攻击的能力，提供细粒度访问控制。

资源区作为数据、应用程序、工作负载的集合，是临近空间网络零信任架构的保护目标。在临近空间网络中，不同节点的资源不尽相同：临近空间飞行器管控平台节点中的资源包括临近空间飞行器的历史飞行记录、高空气象数据、飞行状态上传应用程序等；地面控制站节点中的资源包括AI的模型参数、科学遥感数据、商业数据等；临近空间飞行器节点中的资源包括飞控系统、载荷数据、任务信息等。

零信任组件与零信任控制平面进行交互，为决策提供全面的支撑信息，为连接提供基础安全能力支持，具体包括：身份管理系统，汇集详尽的身份信息，负责定义和验证所有访问主体的身份，是进行细粒度访问决策的基础；日志系统，收集和存储临近空间网络中的活动日志（如访问请求、系统事件、安全告警），是安全分析和响应的重要数据源；策略系统，管理资源访问的规则，支持动态和预定义策略，基于版本控制系统进行存储，可持续跟踪变更；公钥基础设施，用于管理数字证书公钥加密，服务身份验证和会话加密；安全态势系统，具有网络监控、威胁监测、安全事件管理功能，是风险评估的重要参考。

（三）信任评估模型

信任评估的实施步骤包括数据收集、信任因素选取、权重计算、行为信任分计算、主体信任分更新。临近空间网络对访问请求进行动态信任评估，为后续的访问控制、安全决策提供可靠依据。

信任因素是信任评估算法的输入，需在尽量汇聚多源信息的基础上，根据风险相关性确定信任因素。在临近空间网络中，信任因素包括且不限于节点身份、历史信任、地理位置、飞行状态、设备健康状况、资源访问特性、访问行为上下文、网络安全态势。这些信任因素反映了临近空间网络中的实时动态，支持信任评估算法有效评估当前访问请求的风险水平。

信任评估算法对各种信任因素进行量化和加权，据此计算每次访问请求的行为信任分。信任因素的权重值反映在风险评估中的重要性，可根据经验配置或使用熵权法计算而得。常用的评估算法有贝叶斯网络、模糊逻辑、机器学习算法。在临近空间网络零信任架构中，信任评估算法得到的行为信任分传递给访问控制模块，作为最终决策的重要依据；也作为信任更新算法的输入，支持更新对应的主体信任分。

（四）访问控制模型

访问控制模块主要对网络资源的访问请求进行授权和控制，常用的有基于属性的访问控制（ABAC）、基于信任与静态准则的混合访问控制。

ABAC基于更细粒度的属性（如用户身份、资源类型、环境条件）进行访问控制，更具灵活性，可动态适应复杂多变的网络环境。在临近空间网络中，ABAC根据实时的上下文信息（如飞行器位置、时间、任务状态）动态调整访问权限。然而，ABAC的管理和实施较复杂，需要详细定义和配置相应的属性与策略。

基于信任与静态准则的混合访问控制在临近空间网络中具有良好的适用性。引入信任评估可降低策略配置的复杂度，采用基于信任等级的策略可实现动态访问控制。根据相关应用经验，采用4个等级的信任划分较为合理且易于管理。用户访问权限随着信任等级的降低而逐渐缩小，以此减轻误报对正常业务的干扰。对于基本且明确的安全规则，可使用静态准则定义，为系统提供基础性的安全防护。在访问控制过程中，静态准则用于快速处理不符合规则的访问请求；只有访问请求满足静态准则且信任等级高于设定的阈值时，系统才基于“最小权限”原则授予相应的访问权限。

（五）策略定义框架

临近空间网络零信任架构中的参考策略框架包括主体、行为、目标、静态准则、信任条件。主体指策略的适用对象，如临近空间节点和管理人员；所有主体都需要经过身份验证以确认其合法性。行为用于定义策略主体被允许或禁止执行的具体动作，如访问、修改、删除数据。目标指策略的作用对象，通常为临近空间网络中的数据、服务、应用等资源；精确定义目标有助于实现最小权限原则。静态准则根据临近空间网络的监管政策、安全需求而制定，以明确在何种条件下哪些行为被允许或禁止。信任条件关联于动态信任评估，在限定访问主体或行为的信任等级以外，可单独限定目标以及当前网络环境的信任等级；确保访问主体的信任合规性，在延续已有静态准则的基础上动态响应环境变化。

设计一类临近空间网络应用场景：平流层飞艇搭载的计算机正在更新机器学习模型，而目标模型存储在地面控制站的服务器上。在此场景中，主体是平流层飞艇上的计算机，目标是地面控制站服务器上的机器学习模型。地面控制站系统针对该访问请求的策略实施过程（见表1）如下：Airship01平流层飞艇上的Computer02计算机通过身份验证后，通过简单文件传输（FTPS）协议向地面控制站系统发起访问请求，拟访问机器学习模型的所在目录，使用GET命令下载“高光谱图像分类v7模型”；根据零信任控制平面的信任评估算法计算当前访问行为和网络态势的信任等级，将结果传输给访问控制模块；访问控制模块根据主体及其访问行为匹配到Computer02设备的机器学习模型更新策略，依次验证此次访问行为是否符合所有静态准则和信任条件，若均满足要求，则向零信任网关授权此次访问请求的最小权限集合；零信任网关将持续监视数据传输，确保只有目标机器学习模型被下载。

表1　临近空间网络应用示例策略——机器学习模型更新

需要指出的是，进行信任评估时也会考虑静态准则中的某些内容（如能否提供有效安全证书），目标是给出整体性评价。判定静态准则需要其他数据库或零信任组件的支持，如日志系统记录主体的每一次访问行为以避免模型的重复更新。信任等级从高到低依次为一级、二级、三级、四级；机器学习模型作为拥有知识产权的信息产品，是较重要的资源，在相关处理中通常要求信任等级为二级及以上；对于气象数据等不太重要的数据，可以根据情况设为三级或四级，以提高资源的可用性。

临近空间网络作为一种全新的网络范式在诸多方面呈现出独特优势，也属于“空天地”一体化网络的重要组成部分，其网络安全至关重要。零信任架构在增强临近空间网络安全防护方面具有极高的潜力，但囿于架构复杂性以及其他客观因素，在实际部署和实施过程中将面临挑战。辨识相关应用挑战、前瞻领域未来发展，将精准促进临近空间网络零信任架构的理论与技术研究，加快构建临近空间网络安全防护自主方案。

（一）临近空间网络零信任架构的应用挑战

一是海量异构信息实时汇聚与处理的挑战。零信任架构需对网络中的每个访问请求进行严格的身份认证和授权，因而临近空间网络中所有设备和资源的细致管理尤为重要。鉴于临近空间网络的异构、动态特性，初期的身份管理、设备管理、资源发现相关的工作量很大。实时跟踪和管理临近空间节点、无人机等移动节点的状态信息，有效地发现分散在各个节点的海量数据资源并进行分级分类，仍是技术难点。汇集相关信息，需要建立明确的数据标准及规范、投入大量资源进行数据整理和标记，这对数据的收集、管理、同步等能力提出了较高要求。

二是复杂多维安全策略制定与维护的挑战。现有的零信任解决方案缺乏统一的策略描述语言，不同的系统和平台使用不同的策略语言与格式，加大了相关策略的制定和管理难度。临近空间网络既要承载数据传输，又涉及飞行器及载荷的控制，多样化的应用场景使策略构建进一步复杂化。网络安全、飞行器控制、具体业务等方面的人员共同参与策略制定，才能满足不同应用场景的安全需求。此外，零信任倡导细粒度访问控制策略，尽管能够提供更高的安全性，但也容易产生误报而影响用户体验。平衡安全性、易用性是零信任架构实施的关键问题之一。在新策略上线前，还需经过模拟运行、权限审计等环节以验证策略的合理性及安全性，减少误报和误判的风险。

三是网络具体架构不明确的实际部署挑战。临近空间网络的具体架构尚未完全标准化，不同的应用场景、技术路径可能采用不同的网络拓扑。在此背景下，实际部署零信任架构需要充分考虑与临近空间网络的兼容性，根据具体的网络拓扑选择合适的部署模型。使用软件定义网络、网络功能虚拟技术架构是可行的解决方案，有望解决网络异构性问题，降低网络管理成本及复杂性；通过网络微分段防范攻击者的横向移动，符合零信任倡导的微隔离原则。

（二）临近空间网络零信任架构未来发展

近年来，AI、区块链等信息技术快速发展，为零信任架构在临近空间网络中的部署提供了新思路，将进一步提升临近空间网络的可靠性和安全性。AI技术在解决信任评估不准、策略生成复杂等问题上可发挥关键作用。在信任评估方面，利用AI技术分析大量的历史数据和实时行为，自动化评估每个访问请求的信任等级，提高评估的准确性和实时性。在动态策略生成方面，面向实时监测的数据与环境，利用AI技术自动化调整安全策略，及时响应环境变化。区块链技术有利于增强身份验证、数据保护的安全性，区块链的去中心化、不可篡改特性为零信任架构提供坚实的信任基础，确保身份信息、数据交换的安全可信。

需要注意到，零信任架构并非“拿来即用”的具体技术，也不是单一的特定架构，而是一套改善组织网络安全态势的工作流，指导系统设计、部署、操作的原则；在临近空间网络中部署零信任架构，需要落实到执行计划、业务流程、人员配置、安全培训、监管合规等环节，将是一个逐步演进和完善的过程。可以依托零信任成熟度模型，细化零信任建设，凸显自动化、动态最小特权访问、全面态势感知、持续监控等主要发展方向。零信任架构作为网络安全领域的重要发展趋势，将构成未来临近空间网络安全防护的重要支柱。

注：本文内容呈现略有调整，若需可查看原文。