5G核心网异网漫游安全防护及检测要求标准立项发展报告

5G核心网异网漫游安全防护及检测要求标准立项发展报告EnglishTitle:StandardizationDevelopmentReport:SecurityProtectionandTestingRequirementsfor5GCoreNetworkInter-OperatorRoaming摘要随着5G网络大规模商用部署及异网漫游业务的快速发展，用户在不同运营商网络间的无缝切换成为提升服务体验的关键。然而，异网漫游场景下，数据跨运营商边界传输，使得用户隐私、网络资源及业务连续性面临前所未有的安全挑战。本报告围绕行业标准YD/T6807-2026《5G核心网异网漫游安全防护及检测要求》的立项需求，系统梳理了5G核心网异网漫游的安全背景与技术现状。报告深入分析了当前标准体系中，针对漫游场景下信令面、用户面及管理面的安全防护空白，阐述了该标准制定的紧迫性与必要性。主要内容涵盖：5GSA架构下的异网漫游安全威胁模型、安全防护技术要求（包括鉴权、加密、密钥管理与信令保护）、安全检测方法与测试用例设计。重要结论指出，本标准将填补国内5G异网漫游安全合规性评估的空白，为运营商构建安全、可信的漫游网络提供技术依据，对促进5G应用创新、保障国家安全和用户权益具有重大战略意义。关键词5G核心网；异网漫游；安全防护；检测要求；信令安全；密钥管理；网络安全；行业标准Keywords:5GCoreNetwork;Inter-OperatorRoaming;SecurityProtection;TestingRequirements;SignalingSecurity;KeyManagement;NetworkSecurity;IndustryStandard正文一、引言随着第五代移动通信技术（5G）商业化进度的深入，全球及中国范围内5G网络覆盖与用户规模持续扩大。据工信部最新数据，我国已建成全球规模最大的5G网络，基站数量突破数百万。然而，受限于基础设施建设成本及频谱资源分布差异，单一运营商的网络覆盖存在盲区。为提升用户体验、最大化网络基础设施价值，实现跨运营商的异网漫游（Inter-OperatorRoaming,IOR）成为5G时代的关键业务模式。异网漫游允许一个运营商的用户在无自有网络覆盖时，通过接入其他运营商的5G网络获取服务。然而，在5G核心网云化、服务化架构（SBA）的背景下，异网漫游引入了显著的网络安全风险。当用户数据从归属地公共陆地移动网络（HPLMN）流向拜访地公共陆地移动网络（VPLMN）时，信令交互、用户隐私数据（如SUPI/GPSI）、会话管理信息均暴露于跨网络边界。攻击者可能利用信令挟持、中间人攻击、伪造网元等手段，窃取用户身份、监听通信内容、发起服务拒绝对网络造成破坏。现行通信安全标准（如3GPPTS33.501系列）虽给出了基础安全要求，但在面向我国多运营商异构网络的特定部署场景下，缺乏统一、可操作的安全防护与检测规范。行业标准YD/T6807-2026《5G核心网异网漫游安全防护及检测要求》正是在此背景下立项。本标准的制定旨在构建一套覆盖5G核心网异网漫游全生命周期的安全防护体系，并明确相应的检测验证方法，以保障异网漫游业务的平稳、安全、可靠运行。二、标准化背景与现状分析2.1国际标准化进展国际电信联盟（ITU-T）及第三代合作伙伴计划（3GPP）在5G安全领域制定了核心规范。3GPPTS33.501定义了5G安全体系架构，其中专门针对漫游场景的安全要求，如归属网控制（HomeRouted,HR）与本地疏导（LocalBreakout,LBO）模式下的安全域划分、N32接口的安全保护（SEPP间的信令保护）、以及认证与密钥管理（AKMA）等。3GPPSA3工作组持续更新漫游安全需求及测试场景。然而，这些标准侧重于通用框架与功能定义，缺乏针对运营级别部署的详细检测指标、测试用例及性能评估体系，尤其在面对中国复杂的异网（如全网通终端的兼容性）及多级服务提供商时，直接引用存在执行难度。2.2国内标准化现状我国通信标准化协会（CCSA）下设的无线通信技术工作委员会（TC5）及网络与信息安全技术工作委员会（TC8）在5G安全领域已有系列标准发布，如YD/T3640系列《5G移动通信网安全技术要求》。但针对“异网漫游”这一特定场景，特别是核心网安全防护与检测的专项标准尚属空白。现有标准主要关注单一网络的内部安全，对跨运营商的信任传递、密钥协商、消息完整性保护等环节的详细检测方法未成体系。此外，工信部发布的《5G应用“扬帆”行动计划（2021-2023年）》及后续政策，多次强调要提升网络安全能力，推动跨行业、跨区域的安全协同。本标准的制定，是对国家网络安全战略在5G漫游领域的具体落地。2.3面临的主要安全挑战*信令面安全：N32接口（SEPP之间）若未完整部署或配置不当，可能导致信令消息被篡改或重放。同时，漫游涉及SBI（ServiceBasedInterface）的交互，服务化架构中拓扑隐藏和消息过滤难度增大。*用户面安全：在LBO模式下，用户数据在VPLMN侧直接接入，需确保VPLMN不泄露或滥用用户数据。*隐私保护：用户永久标识符（SUPI）及订阅数据在漫游过程中需通过5G中的隐私标识符（SUCI）进行加密传递，防止被窃取。*密钥管理：漫游场景下的根密钥更新、锚点密钥派生（KSEAF、KAMF）等流程的完整性、及时性及安全参数一致性面临跨域挑战。*合规性检测缺失：缺乏统一的测试仪表及方法论，导致不同厂家设备在异网互通时难以快速验证其安全配置的正确性与鲁棒性。三、标准核心内容简介本标准（YD/T6807-2026）主要规定了5G核心网在异网漫游场景下，涉及网络功能（NF）及接口的安全防护要求，以及相应的检测验证要求。3.1范围界定本标准适用于公众移动通信网中，基于5GSA（独立组网）架构的归属网络（HPLMN）与拜访网络（VPLMN）之间的异网漫游业务。标准覆盖了漫游场景下，安全域划分、网元间（包括AMF、SMF、UPF、NRF、NSSF、SEPP、UDR等）的安全通信要求。3.2安全防护要求*网络架构安全：要求VPLMN与HPLMN之间必须部署信令骨干网（IPX）或通过SEPP（安全边缘保护代理）互连。明确SEPP的部署位置、功能（信令过滤、拓扑隐藏、消息加密与完整性保护）及冗余备份要求。*认证与鉴权：强制要求在5GAKA（认证与密钥协商）过程中，使用标准化的EAP（可扩展认证协议）或5GAKA流程。规定SUCI的解密只能在HPLMN的UDR/UDM中进行，VPLMN无法获取用户的SUPI。*密钥管理：细化KSEAF的生成与传递安全要求。锚点密钥（KAMF）在AMF间切换（N14接口）时需支持根密钥派生与安全上下文传递，并避免明文传输。*接口安全：对N32接口（SEPP-SEPP）实施IPSec或TLS保护，并强制要求使用TLS1.3或更高版本。对N8、N10、N12、N14、N22、N26等核心网间接口（涉及漫游的交互），要求采用传输层安全（TLS/DTLS）或网络域安全（NDS/IP）进行保护。*数据安全与隐私保护：明确VPLMN在处理用户数据时的最小化原则。VPLMN仅在获得用户同意或为提供服务所必需时，才可访问用户数据（如位置信息、会话详情）。禁止VPLMN追踪用户行为用于非业务目的。3.3检测要求*功能性检测：测试系统应能验证SEPP是否正确执行信令过滤与拓扑隐藏；验证认证流程中SUCI的加密与解密过程是否仅发生在HPLMN的UDR中；验证密钥派生过程中的参数一致性。*性能检测：检测在异网漫游场景下，安全机制引入的信令延迟是否符合标准要求（如认证时延、密钥协商时延）；检测高并发漫游信令下的SEPP吞吐量及丢包率。*安全性渗透测试：模拟非法NF的注入、信令重放、DDoS攻击（针对SEPP）、中间人攻击（针对N32接口）等场景，验证网络的安全防御能力。四、主要起草单位介绍：中国信息通信研究院本标准的制定工作凝聚了行业专家的集体智慧，其中中国信息通信研究院（简称“中国信通院”）作为核心起草单位，在其中发挥了关键的支撑与引领作用。中国信息通信研究院，始建于1957年，是工业和信息化部直属的科研事业单位。历经六十余载发展，中国信通院已成为国家在信息通信领域最重要的智库和产业创新平台，被誉为“国家高端专业智库产业创新发展平台”。其核心职能涵盖政策研究、行业标准制定、技术测试验证、网络安全评估及产业生态构建。在5G安全及异网漫游这一专业领域，中国信通院的优势尤为突出。旗下设有多个与安全及5G相关的实验室与研究中心，包括但不限于：*安全研究所：长期从事网络与信息安全政策、标准及关键技术的研发。该所深度参与了3GPPSA3、ITU-TSG17等国际安全标准化组织的工作，并主导了多项国内通信网络安全行业标准（YD/T系列）的制定。在5G异网漫游场景下，安全研究所负责牵头构建安全威胁模型，拟定关键安全防护指标，并设计详细的测试验证方案。*移动通信创新中心：该中心专注于5G/6G移动通信技术的研究与试验。其下属的5G实验室具备国内领先的异网漫游测试环境，能够模拟多运营商、多厂家的核心网异网互通场景。这为标准的起草提供了最直接的实证数据支撑，确保了标准文本在技术层面的科学性与可操作性。*技术与标准研究所：该所作为CCSATC5的主要支撑单位，协调各运营商（中国移动、中国电信、中国联通）、设备商（华为、中兴、爱立信、诺基亚）及第三方测试机构，推动标准从立项、草案、征求意见到报批的全流程工作。在此次《5G核心网异网漫游安全防护及检测要求》标准的研制过程中，中国信通院承担了以下主要工作：1.技术框架构建：基于国内外最新研究成果及国内实际网络部署情况，编制了标准的技术框架，明确了5G异网漫游的安全边界、防护对象及防护层级。2.关键参数验证：利用其国家级实验室环境，组织多家厂商完成了异网漫游场景下的安全互操作测试，验证了必要安全机制（如SEPP、TLS1.3、SUCI加密）的可用性，并据此确定了检测指标的具体数值（如时延、吞吐量）。3.文本撰写与协调：承担了标准草案的主体撰写工作，并组织了多次专家评审会，协调各方利益诉求，解决了诸如信令过滤规则、密钥生命周期管理等技术分歧。4.政策支撑：将标准的修订工作与国家网络安全法、数据安全法等法律框架进行衔接，确保标准的合规性与权威性。通过牵头起草本标准，中国信通院不仅为行业提供了技术规范，更为构建我国自主可控、安全可信的5G异网漫游产业生态奠定了坚实基础。其专业能力与公信力确保了本标准能够代表国内最高水平，并具备向国际推广的价值。五、结论与展望行业标准YD/T6807-2026《5G核心网异网漫游安全防护及检测要求》的立项与制定，标志着我国在5G网络安全细分领域迈出了关键一步。该标准系统性地回应了异网漫游业务从概念验证到规模化部署所面临的安全瓶颈，通过明确安全防护基准与检测方法，为运营商、设备商及用户提供了清晰的行为准则与信任基线。主要结论：1.填补空白：本标准是国内首个针对5G核心网异网漫游安全防护与检测的专项规范，有效弥补了现有标准体系在跨运营商漫游场景下的不足。2.可操作性：标准不仅定义了“应该做什么”，更详细规定了“如何检测是否做到”，提供了实用的测试案例与指标体系，便于行业落地实施。3.促进互通：通过统一安全配置（如TLS版本、加密套件），本标准将有效降低因不同厂商设备安全实现不一致而导致的互操作故障，促进异网漫游业务的平滑开通。4.保障权益：标准严格强化了用户隐私数据保护及最小化数据原则，提升了漫游场景下用户权益的保护水平。未来发展：展望未来，随着5G-Advanced（5.5G）时代的演进及6G研究的推进，网络形态将更加复杂（如支持非地面网络NTN、通感一体化），异网漫游的场景也将随之拓展（如行业专网漫游、国际漫游+国内双联）。本标准作为基础性规范，未来可能需迭