5G核心網異網漫游安全防護及檢測要求標準立項發展報告

5G核心網異網漫游安全防護及檢測要求標準立項發展報告EnglishTitle:StandardizationDevelopmentReport:SecurityProtectionandTestingRequirementsfor5GCoreNetworkInter-OperatorRoaming摘要隨著5G網絡大規模商用部署及異網漫游業務的快速發展，用戶在不同運營商網絡間的無縫切換成為提升服務體驗的關鍵。然而，異網漫游場景下，數據跨運營商邊界傳輸，使得用戶隱私、網絡資源及業務連續性面臨前所未有的安全挑戰。本報告圍繞行業標準YD/T6807-2026《5G核心網異網漫游安全防護及檢測要求》的立項需求，系統梳理了5G核心網異網漫游的安全背景與技術現狀。報告深入分析了當前標準體系中，針對漫游場景下信令面、用戶面及管理面的安全防護空白，闡述了該標準制定的緊迫性與必要性。主要內容涵蓋：5GSA架構下的異網漫游安全威脅模型、安全防護技術要求（包括鑒權、加密、密鑰管理與信令保護）、安全檢測方法與測試用例設計。重要結論指出，本標準將填補國內5G異網漫游安全合規性評估的空白，為運營商構建安全、可信的漫游網絡提供技術依據，對促進5G應用創新、保障國家安全和用戶權益具有重大戰略意義。關鍵詞5G核心網；異網漫游；安全防護；檢測要求；信令安全；密鑰管理；網絡安全；行業標準Keywords:5GCoreNetwork;Inter-OperatorRoaming;SecurityProtection;TestingRequirements;SignalingSecurity;KeyManagement;NetworkSecurity;IndustryStandard正文一、引言隨著第五代移動通信技術（5G）商業化進度的深入，全球及中國范圍內5G網絡覆蓋與用戶規模持續擴大。據工信部最新數據，我國已建成全球規模最大的5G網絡，基站數量突破數百萬。然而，受限于基礎設施建設成本及頻譜資源分布差異，單一運營商的網絡覆蓋存在盲區。為提升用戶體驗、最大化網絡基礎設施價值，實現跨運營商的異網漫游（Inter-OperatorRoaming,IOR）成為5G時代的關鍵業務模式。異網漫游允許一個運營商的用戶在無自有網絡覆蓋時，通過接入其他運營商的5G網絡獲取服務。然而，在5G核心網云化、服務化架構（SBA）的背景下，異網漫游引入了顯著的網絡安全風險。當用戶數據從歸屬地公共陸地移動網絡（HPLMN）流向拜訪地公共陸地移動網絡（VPLMN）時，信令交互、用戶隱私數據（如SUPI/GPSI）、會話管理信息均暴露于跨網絡邊界。攻擊者可能利用信令挾持、中間人攻擊、偽造網元等手段，竊取用戶身份、監聽通信內容、發起服務拒絕對網絡造成破壞。現行通信安全標準（如3GPPTS33.501系列）雖給出了基礎安全要求，但在面向我國多運營商異構網絡的特定部署場景下，缺乏統一、可操作的安全防護與檢測規范。行業標準YD/T6807-2026《5G核心網異網漫游安全防護及檢測要求》正是在此背景下立項。本標準的制定旨在構建一套覆蓋5G核心網異網漫游全生命周期的安全防護體系，并明確相應的檢測驗證方法，以保障異網漫游業務的平穩、安全、可靠運行。二、標準化背景與現狀分析2.1國際標準化進展國際電信聯盟（ITU-T）及第三代合作伙伴計劃（3GPP）在5G安全領域制定了核心規范。3GPPTS33.501定義了5G安全體系架構，其中專門針對漫游場景的安全要求，如歸屬網控制（HomeRouted,HR）與本地疏導（LocalBreakout,LBO）模式下的安全域劃分、N32接口的安全保護（SEPP間的信令保護）、以及認證與密鑰管理（AKMA）等。3GPPSA3工作組持續更新漫游安全需求及測試場景。然而，這些標準側重于通用框架與功能定義，缺乏針對運營級別部署的詳細檢測指標、測試用例及性能評估體系，尤其在面對中國復雜的異網（如全網通終端的兼容性）及多級服務提供商時，直接引用存在執行難度。2.2國內標準化現狀我國通信標準化協會（CCSA）下設的無線通信技術工作委員會（TC5）及網絡與信息安全技術工作委員會（TC8）在5G安全領域已有系列標準發布，如YD/T3640系列《5G移動通信網安全技術要求》。但針對“異網漫游”這一特定場景，特別是核心網安全防護與檢測的專項標準尚屬空白。現有標準主要關注單一網絡的內部安全，對跨運營商的信任傳遞、密鑰協商、消息完整性保護等環節的詳細檢測方法未成體系。此外，工信部發布的《5G應用“揚帆”行動計劃（2021-2023年）》及后續政策，多次強調要提升網絡安全能力，推動跨行業、跨區域的安全協同。本標準的制定，是對國家網絡安全戰略在5G漫游領域的具體落地。2.3面臨的主要安全挑戰*信令面安全：N32接口（SEPP之間）若未完整部署或配置不當，可能導致信令消息被篡改或重放。同時，漫游涉及SBI（ServiceBasedInterface）的交互，服務化架構中拓撲隱藏和消息過濾難度增大。*用戶面安全：在LBO模式下，用戶數據在VPLMN側直接接入，需確保VPLMN不泄露或濫用用戶數據。*隱私保護：用戶永久標識符（SUPI）及訂閱數據在漫游過程中需通過5G中的隱私標識符（SUCI）進行加密傳遞，防止被竊取。*密鑰管理：漫游場景下的根密鑰更新、錨點密鑰派生（KSEAF、KAMF）等流程的完整性、及時性及安全參數一致性面臨跨域挑戰。*合規性檢測缺失：缺乏統一的測試儀表及方法論，導致不同廠家設備在異網互通時難以快速驗證其安全配置的正確性與魯棒性。三、標準核心內容簡介本標準（YD/T6807-2026）主要規定了5G核心網在異網漫游場景下，涉及網絡功能（NF）及接口的安全防護要求，以及相應的檢測驗證要求。3.1范圍界定本標準適用于公眾移動通信網中，基于5GSA（獨立組網）架構的歸屬網絡（HPLMN）與拜訪網絡（VPLMN）之間的異網漫游業務。標準覆蓋了漫游場景下，安全域劃分、網元間（包括AMF、SMF、UPF、NRF、NSSF、SEPP、UDR等）的安全通信要求。3.2安全防護要求*網絡架構安全：要求VPLMN與HPLMN之間必須部署信令骨干網（IPX）或通過SEPP（安全邊緣保護代理）互連。明確SEPP的部署位置、功能（信令過濾、拓撲隱藏、消息加密與完整性保護）及冗余備份要求。*認證與鑒權：強制要求在5GAKA（認證與密鑰協商）過程中，使用標準化的EAP（可擴展認證協議）或5GAKA流程。規定SUCI的解密只能在HPLMN的UDR/UDM中進行，VPLMN無法獲取用戶的SUPI。*密鑰管理：細化KSEAF的生成與傳遞安全要求。錨點密鑰（KAMF）在AMF間切換（N14接口）時需支持根密鑰派生與安全上下文傳遞，并避免明文傳輸。*接口安全：對N32接口（SEPP-SEPP）實施IPSec或TLS保護，并強制要求使用TLS1.3或更高版本。對N8、N10、N12、N14、N22、N26等核心網間接口（涉及漫游的交互），要求采用傳輸層安全（TLS/DTLS）或網絡域安全（NDS/IP）進行保護。*數據安全與隱私保護：明確VPLMN在處理用戶數據時的最小化原則。VPLMN僅在獲得用戶同意或為提供服務所必需時，才可訪問用戶數據（如位置信息、會話詳情）。禁止VPLMN追蹤用戶行為用于非業務目的。3.3檢測要求*功能性檢測：測試系統應能驗證SEPP是否正確執行信令過濾與拓撲隱藏；驗證認證流程中SUCI的加密與解密過程是否僅發生在HPLMN的UDR中；驗證密鑰派生過程中的參數一致性。*性能檢測：檢測在異網漫游場景下，安全機制引入的信令延遲是否符合標準要求（如認證時延、密鑰協商時延）；檢測高并發漫游信令下的SEPP吞吐量及丟包率。*安全性滲透測試：模擬非法NF的注入、信令重放、DDoS攻擊（針對SEPP）、中間人攻擊（針對N32接口）等場景，驗證網絡的安全防御能力。四、主要起草單位介紹：中國信息通信研究院本標準的制定工作凝聚了行業專家的集體智慧，其中中國信息通信研究院（簡稱“中國信通院”）作為核心起草單位，在其中發揮了關鍵的支撐與引領作用。中國信息通信研究院，始建于1957年，是工業和信息化部直屬的科研事業單位。歷經六十余載發展，中國信通院已成為國家在信息通信領域最重要的智庫和產業創新平臺，被譽為“國家高端專業智庫產業創新發展平臺”。其核心職能涵蓋政策研究、行業標準制定、技術測試驗證、網絡安全評估及產業生態構建。在5G安全及異網漫游這一專業領域，中國信通院的優勢尤為突出。旗下設有多個與安全及5G相關的實驗室與研究中心，包括但不限于：*安全研究所：長期從事網絡與信息安全政策、標準及關鍵技術的研發。該所深度參與了3GPPSA3、ITU-TSG17等國際安全標準化組織的工作，并主導了多項國內通信網絡安全行業標準（YD/T系列）的制定。在5G異網漫游場景下，安全研究所負責牽頭構建安全威脅模型，擬定關鍵安全防護指標，并設計詳細的測試驗證方案。*移動通信創新中心：該中心專注于5G/6G移動通信技術的研究與試驗。其下屬的5G實驗室具備國內領先的異網漫游測試環境，能夠模擬多運營商、多廠家的核心網異網互通場景。這為標準的起草提供了最直接的實證數據支撐，確保了標準文本在技術層面的科學性與可操作性。*技術與標準研究所：該所作為CCSATC5的主要支撐單位，協調各運營商（中國移動、中國電信、中國聯通）、設備商（華為、中興、愛立信、諾基亞）及第三方測試機構，推動標準從立項、草案、征求意見到報批的全流程工作。在此次《5G核心網異網漫游安全防護及檢測要求》標準的研制過程中，中國信通院承擔了以下主要工作：1.技術框架構建：基于國內外最新研究成果及國內實際網絡部署情況，編制了標準的技術框架，明確了5G異網漫游的安全邊界、防護對象及防護層級。2.關鍵參數驗證：利用其國家級實驗室環境，組織多家廠商完成了異網漫游場景下的安全互操作測試，驗證了必要安全機制（如SEPP、TLS1.3、SUCI加密）的可用性，并據此確定了檢測指標的具體數值（如時延、吞吐量）。3.文本撰寫與協調：承擔了標準草案的主體撰寫工作，并組織了多次專家評審會，協調各方利益訴求，解決了諸如信令過濾規則、密鑰生命周期管理等技術分歧。4.政策支撐：將標準的修訂工作與國家網絡安全法、數據安全法等法律框架進行銜接，確保標準的合規性與權威性。通過牽頭起草本標準，中國信通院不僅為行業提供了技術規范，更為構建我國自主可控、安全可信的5G異網漫游產業生態奠定了堅實基礎。其專業能力與公信力確保了本標準能夠代表國內最高水平，并具備向國際推廣的價值。五、結論與展望行業標準YD/T6807-2026《5G核心網異網漫游安全防護及檢測要求》的立項與制定，標志著我國在5G網絡安全細分領域邁出了關鍵一步。該標準系統性地回應了異網漫游業務從概念驗證到規模化部署所面臨的安全瓶頸，通過明確安全防護基準與檢測方法，為運營商、設備商及用戶提供了清晰的行為準則與信任基線。主要結論：1.填補空白：本標準是國內首個針對5G核心網異網漫游安全防護與檢測的專項規范，有效彌補了現有標準體系在跨運營商漫游場景下的不足。2.可操作性：標準不僅定義了“應該做什么”，更詳細規定了“如何檢測是否做到”，提供了實用的測試案例與指標體系，便于行業落地實施。3.促進互通：通過統一安全配置（如TLS版本、加密套件），本標準將有效降低因不同廠商設備安全實現不一致而導致的互操作故障，促進異網漫游業務的平滑開通。4.保障權益：標準嚴格強化了用戶隱私數據保護及最小化數據原則，提升了漫游場景下用戶權益的保護水平。未來發展：展望未來，隨著5G-Advanced（5.5G）時代的演進及6G研究的推進，網絡形態將更加復雜（如支持非地面網絡NTN、通感一體化），異網漫游的場景也將隨之拓展（如行業專網漫游、國際漫游+國內雙聯）。本標準作為基礎性規范，未來可能需迭