5G 密钥层级树与 KDF 密钥派生全链拆解

一、为什么 5G 要设计一棵"密钥树"

在 4G EPS 中，整条密钥链可以简化为 K → KASME → KeNB → KeNB*，结构相对扁平。到了 5GS（5G System），3GPP 在 TS 33.501 中把这棵树重新"分层细化"，根节点 K 之下衍生出 9 类以上的中间密钥和接入层密钥，分别绑定到 AUSF、SEAF、AMF、gNB、辅节点（SgNB）等不同网络功能实体。

这种复杂化不是"为复杂而复杂"，而是服务于三个设计目标：

1. 接入无关的锚点：通过引入 KSEAF（Security Anchor Function 密钥），让 3GPP 接入、可信非 3GPP 接入、wireline 接入可以共享同一个安全锚，而 AMF 在其上派生 KAMF，实现"一个锚、多接入、强隔离"。
2. 前向安全与逐跳刷新：每一跳切换都通过 NH（Next Hop）链式派生刷新密钥，确保某一跳的 KgNB 泄露不会回溯攻破整个上下文。
3. 算法与密钥解耦：用统一的 KDF（Key Derivation Function）+ FC（Function Code）区分符，从同一个父密钥派生出加密密钥与完整性密钥，互不串扰，且支持 128/256 位算法家族。

本文聚焦 TS 33.501 Section 6.2 的密钥层级、Annex A.1–A.16 的 KDF 派生函数，以及与之配套的 NAS/AS 安全模式命令（SMC）信令流程，把"从 K 到空口加密流"的整条派生链一气贯通。

二、密钥层级树全景

graph TD
    K[K 永久根密钥<br/>USIM + UDM/ARPF]
    KAUSF[KAUSF<br/>A.2 FC=0x6A<br/>UE + AUSF]
    KSEAF[KSEAF<br/>A.6 FC=0x6C<br/>安全锚 密钥]
    KAMF[KAMF<br/>A.7 FC=0x6F<br/>UE + AMF]

    KNASenc[KNASenc<br/>A.8 FC=0x69 dist=0x15]
    KNASint[KNASint<br/>A.8 dist=0x16]
    KgNB[KgNB<br/>A.9 FC=0x6E<br/>UE + gNB]

    KRRCenc[KRRCenc dist=0x17]
    KRRCint[KRRCint dist=0x18]
    KUPenc[KUPenc dist=0x19]
    KUPint[KUPint dist=0x1A]

    NH[NH Next-Hop<br/>A.10]
    KSN[KSN 双连接<br/>A.16]

    K -->|5G AKA / EAP-AKA prime| KAUSF
    KAUSF --> KSEAF
    KSEAF --> KAMF
    KAMF --> KNASenc
    KAMF --> KNASint
    KAMF --> KgNB
    KgNB --> KRRCenc
    KgNB --> KRRCint
    KgNB --> KUPenc
    KgNB --> KUPint
    KAMF -.首个NH.-> NH
    NH -.链式.-> NH
    KgNB -.水平派生.-> KgNB
    KgNB --> KSN

    classDef root fill:#2d6a4f,color:#fff,stroke:#1b4332
    classDef core fill:#40916c,color:#fff,stroke:#2d6a4f
    classDef as fill:#74c69d,color:#1b4332,stroke:#40916c
    classDef hop fill:#d8f3dc,color:#1b4332,stroke:#74c69d
    class K root
    class KAUSF,KSEAF,KAMF core
    class KgNB,KRRCenc,KRRCint,KUPenc,KUPint,KSN as
    class NH hop

整棵树可以划分为 三个语义层：

• 认证层（K → KAUSF → KSEAF）：由主认证（5G AKA 或 EAP-AKA′）建立，KAUSF 绑定到 AUSF，KSEAF 绑定到 SEAF（位于 AMF 内）。这一层的派生发生在认证过程中，本文不作展开（详见 5G AKA 双确认机制专文）。
• NAS 层（KSEAF → KAMF → KNASenc/KNASint）：KAMF 是 5G NAS 安全上下文的根，所有 NAS 信令的保护密钥都从这里派生。
• AS 层（KAMF → KgNB → KRRC/KUP）：KgNB 是空口接入层密钥的根，gNB 在其上派生 RRC 与用户面保护密钥。

设计要点：注意 KSEAF → KAMF 这一步是关键转折。KSEAF 是接入无关的，而 KAMF 的派生输入了 SUPI（A.7），使得即便同一 KSEAF，不同用户、不同 AMF 实例得到的 KAMF 完全不同，实现了 AMF 级别的密钥隔离。

三、KDF 核心算法：一个 FC 编码天下

5G 所有密钥派生都基于同一个 KDF，定义在 TS 33.501 Annex A.1：

KEY_DERIVED = HMAC-SHA-256( KEY_PARENT , S )

其中输入串 S 的构造是整个体系的核心：

S = FC || L0 || P0 || L1 || P1 || ... || Ln || Pn

为什么用 HMAC-SHA-256？ 因为 HMAC 是可证明安全的，且 SHA-256 抗碰撞性足够；256 位输出足以截取前 128 位用于 128 位算法族，或全用用于 256 位算法族（Rel-17 起引入 256 位算法）。

下面给出本文涉及的几个关键 FC 与区分符（distinguisher），来源为 TS 33.501 Annex A：

A.8 的 distinguisher（dist）取值决定了派生的是 NAS 还是 AS 的哪种密钥：

NAS-enc  → 0x15     NAS-int  → 0x16
RRC-enc  → 0x17     RRC-int  → 0x18
UP-enc   → 0x19     UP-int   → 0x1A

关键洞察：整个 5G 密钥体系只用了一套 KDF、一套构造规则，靠 FC + distinguisher 两个字节区分出几十种密钥。这种"算法统一、参数区分"的设计极大简化了实现，也让安全分析可以聚焦在参数构造的正确性上——这也是 oxirush-security 等开源项目能用一个核心函数覆盖全部派生的原因。

四、主线派生：从 KAUSF 到 KgNB

4.1 KSEAF 派生（A.6）

主认证完成后，UE 与 AUSF 共享 KAUSF。AUSF 用 KAUSF 作为 KEY_PARENT，构造：

S = 0x6C || 0x00 0x01 || 0x32(version=5G) || 0x00 len(SN-name) || SN-name
KSEAF = HMAC-SHA-256(KAUSF, S)

其中 SN-name（Serving Network Name） 是 KSEAF 派生的灵魂，格式为：

5G:mnc<MNC>.mcc<MCC>.3gppnetwork.org

SN-name 把密钥绑定到具体的 SN（Serving Network，即 PLMN）。这意味着：即使 KAUSF 相同，UE 漫游到不同运营商，得到的 KSEAF 也不同——这从密码学上强制了"密钥不可跨 SN 滥用"。

4.2 KAMF 派生（A.7）

AMF 收到 AUSF 通过 Nausf 下发的 KSEAF 后，用 SUPI 派生 KAMF：

S = 0x6F || L0 || SUPI || ...
KAMF = HMAC-SHA-256(KSEAF, S)

SUPI 作为输入使得 KAMF 严格绑定到订阅身份。此后 KAMF 成为 UE 与 AMF 之间 NAS 安全上下文的根密钥，所有 NAS 信令保护都从这里分叉。

4.3 KgNB 派生（A.9）——NAS 与 AS 的分界点

当 AMF 需要把安全上下文下发到 gNB（典型在 Initial Context Setup 时），AMF 与 UE 各自计算 KgNB：

S = 0x6E || L0 || access-type(3GPP=0x32) || L1 || UPLINK_NAS_COUNT
KgNB = HMAC-SHA-256(KAMF, S)

注意输入的 UPLINK_NAS_COUNT：这是 AMF 派生 KgNB 时，所观察到的"最近一条上行 NAS 消息"的 NAS COUNT 值。这个设计至关重要——它把 KgNB 的派生锚定到一个具体的、双方都已知的时间点（那条上行 NAS 消息），保证 UE 侧和 AMF 侧算出的 KgNB 严格一致，而无需在空口显式传递 KgNB 本身（只有 AMF→gNB 在 N2 接口上明文传递 KgNB，因为 N2 本身受 NDS/IP 保护）。

graph LR
    A["AMF 持有 KAMF<br/>记录 UL NAS COUNT=N"]
    A -->|"KDF(KAMF, 0x6E, 3GPP, N)"| B["KgNB"]
    A -->|"N2: Security Key IE<br/>携带 KgNB"| C["gNB 持有 KgNB"]
    D["UE 持有 KAMF<br/>UL NAS COUNT=N"] -->|"同样的 KDF 输入"| E["KgNB (UE 侧)"]
    B -.对齐.-> E

    classDef amf fill:#1d3557,color:#fff
    classDef gnb fill:#457b9d,color:#fff
    classDef ue fill:#2a9d8f,color:#fff
    class A amf
    class C gnb
    class D,E ue

五、NAS 安全激活：NAS SMC 信令流

KAMF 派生出 NAS 密钥后，需要通过 NAS Security Mode Command 过程（TS 24.501 Section 4.4.3）正式激活 NAS 安全上下文。这个过程通常嵌在 Registration 流程中，紧跟在认证之后。

sequenceDiagram
    participant UE
    participant gNB
    participant AMF

    Note over UE,AMF: 主认证完成，UE 与 AMF 共享 KAMF
    UE->>gNB: Registration Request (含 ngKSI, 上行 NAS COUNT=N)
    Note over AMF: AMF 用 KAMF + UL NAS COUNT=N<br/>派生 KgNB (A.9)
    Note over AMF: AMF 选定 NAS 算法<br/>neae0/1/2/3, niae0/1/2/3

    rect rgb(232,240,254)
    Note over UE,AMF: NAS 安全模式命令
    AMF->>UE: SECURITY MODE COMMAND<br/>{selected NAS security algorithms,<br/> ngKSI, replay-protected,<br/> additional_5G_security}<br/>下行: 已用 KNASint 完整性保护
    Note right of UE: UE 用 ngKSI 定位 KAMF<br/>派生 KNASenc/KNASint<br/>校验下行 MAC(NIA)
    UE->>AMF: SECURITY MODE COMPLETE<br/>(已加密 + 完整性保护)
    end

    Note over UE,gNB: NAS 安全上下文激活完成

5.1 NAS SMC 关键 IE 解析

设计意图：SECURITY MODE COMMAND 是第一条被完整性保护的下行 NAS 消息，但未加密（因为 UE 尚未完成算法协商，无法解密）。UE 收到后，用 ngKSI 找到 KAMF，按指示的算法派生 KNASint，验证下行 MAC；通过后才派生 KNASenc 并加密上行 COMPLETE。这就是著名的"先完整性、后加密"启动顺序。

5.2 NAS 密钥派生（A.8）

S = 0x69 || 0x00 0x01 || dist || 0x00 0x01 || algorithm-identity
KNASenc = HMAC-SHA-256(KAMF, dist=0x15, ...)   取前 128 位
KNASint = HMAC-SHA-256(KAMF, dist=0x16, ...)   取前 128 位

algorithm-identity 取 NEA/NIA 编号（如 NEA2=2 对应 AES）。

六、AS 安全激活：AS SMC 与 Initial Context Setup

NAS 安全激活后，AMF 在 NGAP Initial Context Setup Request（TS 38.413）中把 KgNB 下发给 gNB，gNB 随后发起 RRC 层的 AS Security Mode Command（TS 38.331）。

6.1 NGAP 携带的安全 IE

graph TD
    ICS["NGAP: Initial Context Setup Request<br/>AMF → gNB"]
    ICS --> SK["Security Key IE<br/>= KgNB (256-bit)"]
    ICS --> NCC["Next Hop Chaining Count<br/>= NCC (初始 0)"]
    ICS --> NASKSI["NAS Security Alg<br/>供 gNB 参考"]
    ICS --> AS["UE Security Capability<br/>支持的 NEA/NIA 列表"]

    SK --> AS2["gNB 派生 AS 密钥"]
    NCC --> HO["切换密钥刷新基线"]
    AS --> SMC["AS SMC 算法选择依据"]

    classDef ngap fill:#6a4c93,color:#fff
    classDef ie fill:#1982c4,color:#fff
    class ICS ngap
    class SK,NCC,NASKSI,AS ie

6.2 AS SMC 信令流

sequenceDiagram
    participant UE
    participant gNB
    participant AMF

    Note over AMF,gNB: NAS 安全已激活，AMF 已派生 KgNB
    AMF->>gNB: NGAP Initial Context Setup Request<br/>{Security Key=KgNB, NCC, UE Sec Cap}
    Note over gNB: gNB 派生 KRRCint/enc, KUPint/enc<br/>(A.8, dist=0x18/0x17/0x1A/0x19)

    rect rgb(253,246,227)
    Note over UE,gNB: AS 安全模式命令
    gNB->>UE: RRC SecurityModeCommand<br/>{selected AS algorithms,<br/> integrityProtAlgorithm,<br/> cipheringAlgorithm}<br/>下行: 已用 KRRCint 完整性保护, 不加密
    Note right of UE: UE 派生 AS 密钥<br/>验证 RRC 完整性 MAC
    UE->>gNB: RRC SecurityModeComplete<br/>(用 KRRCint 完整性保护)
    end

    Note over UE,gNB: AS 安全上下文激活<br/>SRB1/2/DRB 加密+完整性开启
    gNB->>AMF: NGAP Initial Context Setup Response

关键细节：AS SMC 也遵循"先完整性、后加密"。SecurityModeCommand 本身只完整性保护、不加密（否则 UE 还没派生 KRRCenc 就无法解析）。激活后，SRB1、SRB2 立即进入加密+完整性保护；DRB 的加密/完整性保护在每个 DRB 建立时（RRC Reconfiguration）逐个开启。

6.3 5G 相对 4G 的安全增强

KUPint 是 5G 安全的标志性增强——4G 用户面只加密不验完整性，导致理论上的"用户面篡改"风险；5G 通过引入 KUPint（dist=0x1A），让空口用户面也能逐包校验完整性。

七、NH Chaining：切换密钥刷新的精髓

当 UE 发生 gNB 间切换时，如果目标 gNB 直接复用源 KgNB，会破坏前向安全。5G 用 NH（Next Hop）链式派生 + NCC（Next Hop Chaining Count） 解决（TS 33.501 Section 6.9，A.10/A.11）。

graph TD
    KAMF2["KAMF"]
    NH0["NH0 = KDF(KAMF)<br/>首个 Next-Hop"]
    NH1["NH1 = KDF(NH0)"]
    NH2["NH2 = KDF(NH1)"]

    KAMF2 --> NH0
    NH0 --> NH1
    NH1 --> NH2

    KG1["KgNB-当前<br/>= KDF(NH?, target PCI)<br/>垂直派生"]
    KH["KgNB-horizontal<br/>= KDF(当前KgNB, target PCI)<br/>水平派生"]

    NH2 -.垂直切换.-> KG1
    KG1 -.Xn同类切换.-> KH

    classDef hop fill:#e63946,color:#fff
    classDef knb fill:#457b9d,color:#fff
    class KAMF2 fill:#1d3557,color:#fff
    class NH0,NH1,NH2 hop
    class KG1,KH knb

派生逻辑（A.10 / A.11）：

• 首个 NH：NH = KDF(KAMF, ...)，NCC=1。
• 链式 NH：NH_next = KDF(NH_prev, ...)，NCC 递增。
• 目标 gNB 密钥：
• 垂直派生（vertical）：当源 gNB 持有的 NCC < AMF 持有的 NCC 时，向 AMF 申请新 NH，KgNB_target = KDF(NH, target PCI)，安全性更高。
• 水平派生（horizontal）：KgNB_target = KDF(当前 KgNB, target PCI)，用于 Xn 切换，无需与 AMF 交互，低时延但安全等级递减。

设计权衡：水平派生快（Xn 内完成），但每多一次水平切换，密钥与原始 KgNB 的"代际距离"不变，前向安全性不递增；垂直派生要回 AMF 拿 NH，多一跳信令，但每次都"刷新"到新 NH。NCC 就是双方同步"当前在第几代 NH"的计数器——切换命令中携带 NCC，UE 据此判断是水平还是垂直，并复现相同的派生路径。

切换流程中的密钥传递： - Xn 切换：源 gNB 通过 XnAP Handover Request 直接把垂直/水平派生出的 KgNB_target 发给目标 gNB。 - N2 切换：源 gNB → AMF（Handover Required）→ 目标 gNB（Handover Request），AMF 在其中注入 NH + NCC。

八、特殊场景的密钥派生

8.1 RRC 连接重建（Section 6.11）

RRC Re-establishment 不能重新跑认证，必须用源小区的残留密钥快速恢复。UE 在 RRC ReestablishmentRequest 中携带 shortMAC-I，它由源 KgNB、源小区 PCI、源 C-RNTI 经 KDF 截断生成。目标 gNB 向源 gNB（通过 Xn）索取 context，验证 shortMAC-I，再用 NH 重新派生新 KgNB。这保证了重建的安全性：攻击者无法伪造 shortMAC-I，且重建后立即刷新密钥。

8.2 AMF 切换（A.13）

当 UE 从旧 AMF 移动到新 AMF（如跟踪区更新触发的 AMF re-allocation），旧 AMF 把 KAMF 传给新 AMF，新 AMF 派生 KAMF′ = KDF(KAMF, ...)（A.13），实现 AMF 级密钥刷新。旧 KAMF 被丢弃，保证前向安全。

8.3 双连接（Section 6.10，A.16）

在 EN-DC / NE-DC 场景，主节点（MN）持有 KgNB，由 MN 派生 KSN = KDF(KgNB, ...)（A.16）并通过 Xn-C/X2-C 下发给辅节点（SN）。SN 用 KSN 派生辅小区的 AS 密钥。这样辅节点的密钥与主节点的 KgNB 严格隔离，即使辅节点被攻破，也不影响主链路的 KgNB。

8.4 双连接密钥派生图

graph TD
    KAMF3["KAMF"]
    KgNBm["KgNB (MN)"]
    KSN1["KSN (A.16)"]
    SN["辅节点 SN"]
    KASsn["SN 的 AS 密钥<br/>KRRC*/KUP*"]

    KAMF3 --> KgNBm
    KgNBm -->|"MN→SN via Xn-C"| KSN1
    KSN1 --> SN
    SN --> KASsn

    classDef mn fill:#1d3557,color:#fff
    classDef sn fill:#6a4c93,color:#fff
    class KAMF3,KgNBm mn
    class KSN1,SN,KASsn sn

九、抓包识别与故障排查

9.1 抓包如何识别这条派生链

在 Wireshark/tshark 中，密钥派生过程本身不可见（密钥从不在空中明文出现），但可以通过以下"指纹"间接确认：

1. NGAP Initial Context Setup Request 中查找 Security Key（32 字节）与 Next Hop Chaining Count IE——确认 AMF 已下发 KgNB。
2. 5G-NAS Security Mode Command 中检查 selected NAS security algorithms 与 ngKSI——确认 NAS 上下文激活。
3. RRC SecurityModeCommand 中检查 cipheringAlgorithm 与 integrityProtAlgorithm——确认 AS 算法。
4. 切换信令中的 NCC 字段——追踪 NH 代际。

9.2 常见故障点

典型坑：SN-name 中 MNC 的补零规则。若 MNC 为 2 位（如 mcc460 mnc00），SN-name 必须是 5G:mnc00.mcc460.3gppnetwork.org（补一个 0 凑 3 位）。一旦补零不一致，UE 与 AUSF 算出的 KSEAF 不同，整个后续链路全部错乱，且没有任何报错——只是后续认证/SMC 静默失败。这是 5G 漫游对接中最隐蔽的 bug。

十、常见问题

Q1：KgNB 为什么不在空中传输，而要在 N2 上明文传给 gNB？ A：空中接口（Uu）不可信，KgNB 一旦在空口明文泄露就等于丢失。而 N2 接口（AMF-gNB）属于网络内部接口，受 NDS/IP（Network Domain Security，TS 33.310）的 IPsec 保护，是可信域内传输，因此可以明文传 KgNB。同理 KgNB 在 Xn 接口（gNB-gNB）也可明文传。

Q2：水平派生和垂直派生到底怎么选？ A：取决于源 gNB 持有的 NCC 是否小于 AMF 持有的最大 NCC。如果源 gNB 仍有未用的 NH（即它的 NCC < AMF 的 NCC），优先用垂直派生（更安全）；如果 NCC 已经追平，只能水平派生（从当前 KgNB 直接派生）。每次垂直派生会消耗一个 NH，AMF 同步递增 NCC。

Q3：5G 的 KUPint（用户面完整性）和 4G 有什么本质区别？ A：4G（TS 33.401）用户面只有加密（KeNB→KUPenc），没有完整性保护，理论上存在"用户面篡改"风险。5G 新增 KUPint（dist=0x1A），让空口用户面也能逐包校验完整性，是从"被动加密"到"主动防篡改"的范式升级。代价是少量计算开销，因此默认常在控制面强制、用户面可选。

Q4：RRC Re-establishment 用 shortMAC-I，会不会因为没重新认证而不安全？ A：不会。shortMAC-I 是用源 KgNB + 源 PCI + 源 C-RNTI 派生的，攻击者不知道 KgNB 就无法伪造。且重建成功后，目标 gNB 立即用 NH 重新派生新 KgNB（垂直刷新），旧 KgNB 作废，保证前向安全。重建本质是"用旧密钥快速证明身份 + 立即换新密钥"。

Q5：当一个用户同时通过 3GPP 接入和非 3GPP 接入注册（多注册），密钥会冲突吗？ A：不会。虽然 KSEAF 共享，但每个接入的 KAMF 派生输入了 SUPI 与接入类型区分，且非 3GPP 接入还会经过额外的密钥派生（如 KN3IWF、KTWIF，A.9），两个接入的 KgNB 级密钥完全独立。多注册场景下 UE 维护多套安全上下文，由 ngKSI 区分。

参考来源

1. 3GPP TS 33.501 V20.x.x — Security architecture and procedures for the 5G system — Section 6.2 Key hierarchy, Annex A.1–A.16 KDF derivation functions
2. 3GPP TS 24.501 — Non-Access-Stratum (NAS) protocol for 5GS — Section 4.4.3 Security mode control procedure
3. 3GPP TS 38.413 — NG-RAN; NG Application Protocol (NGAP) — Security Key IE in Initial Context Setup
4. iTeCSpec — TS 33.501 Section 6.2 Key hierarchy — 密钥层级与 KDF 派生函数章节索引
5. oxirush-security (GitHub) — 5G 安全算法开源实现（KDF / NIA / NEA / SUCI per TS 33.501）
6. 知乎专栏《5G 安全架构（十五）— 密钥层次结构》 — KNG-RAN/K′AMF 派生中文解析
7. CSDN《5G NAS 安全密钥衍生算法详解》 — KDF 函数与 KNASenc/KRRCenc 实现细节

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。