手机按下电源键，屏幕亮起到信号格出现，中间只有两三秒。就在这两三秒里，你的手机和网络完成了一场无声的"对口供"：网络要验明"你是合法用户"，手机也要反问"你是真基站还是伪基站"。这套口供流程叫认证与密钥协商（AKA），它是整个移动通信安全的地基。今天这篇文章，我们就把4G/5G的认证流程和那棵著名的"密钥家族树"彻底讲透。

一、为什么要"双向"对暗号

先说一段历史教训。2G GSM时代，认证是单向的：只有网络验手机，手机从来不验网络。手机怎么证明自己？网络发来一道随机考题，SIM卡用卡内密钥算出答案，网络比对通过就放行。这套逻辑本身没错，问题是手机对"对面是谁"完全盲目。

这就给了伪基站可乘之机。攻击者架一台假基站，广播更强的信号，手机傻乎乎地接入，把身份标识明文交出去。早期GSM的认证算法还有实现漏洞，安全研究者用"选择挑战"的方法反复提问、统计答案，竟然能把卡内密钥反推出来，一度出现"克隆SIM卡"。手机不验网络 + 密钥可被反推，两个漏洞叠加，成了移动通信安全史上最惨痛的一课。

从3G开始，标准把流程改成了双向认证：网络发挑战时附带一张"签名"，手机用同一把卡内密钥验签——签名对得上，说明对面是真正持有密钥副本的归属运营商，而不是街头那台假基站。这个"签名+随机题"的组合，就是AUTN令牌，后面细讲。

用一个地下工作者接头的类比贯穿全文：

二、根密钥K：一枚不出保险柜的印章

整个安全体系的信任源头，是一把128位的根密钥K。它有且仅有两份副本：一份在你手机的SIM卡里，一份在运营商归属网络的用户数据库里。

为什么K永不离开SIM卡？ 看卡和看手机的制造哲学完全不同。SIM卡是一块独立的安全芯片，有自己的操作系统和防拆电路，遇到暴力破解会自毁清空；而手机操作系统是可以刷机、可以Root的开放环境。把根密钥放在卡里而不是手机里，等于把传家宝放进保险柜而不是放在办公桌上。所有涉及K的运算都在卡内完成，卡只对外输出"运算结果"，从不输出K本身。

这也解释了现网一个常见现象：换手机不用换卡，换卡却必须重新开户写卡。因为你的身份本质上不是那个手机号，而是卡里那把K。运营商营业厅"补卡"的本质，是生成一把新K写进新卡，同时更新归属网络侧的副本，旧卡即刻作废。

存卡侧的问题解决了，网络侧呢？早期密钥副本存在鉴权中心，演进后统一并入归属网络的统一数据管理单元（4G叫HSS，5G叫UDM）。手机在纽约也好、在东京也好，世界各地 roaming 的服务网络都拿不到K，只能向归属网络"借"认证材料——这个设计保证了无论你走到哪里，验明正身的最终裁判永远是你签约的运营商。

三、五步口供：挑战应答全过程

来看5G下一次完整的认证，时序如下：

sequenceDiagram
    participant U as 手机USIM
    participant S as 服务网SEAF
    participant H as 归属网UDM
    U->>S: 注册请求（带隐藏身份SUCI）
    S->>H: 申请认证（SUCI与服务网名）
    H->>H: 出随机题RAND生成AUTN
    H->>S: 发RAND、AUTN、期望应答哈希
    Note over S: 锚点密钥暂扣不发
    S->>U: 下发挑战RAND与AUTN
    Note over U: USIM验MAC查SQN<br/>同端算出应答与锚点密钥
    U->>S: 回应答RES
    S->>S: 应答压哈希与期望值比对
    S->>H: 报告比对通过
    H->>S: 这才交付锚点密钥
    S->>U: 安全模式命令开启保护

拆解每一步的原理。归属网络先生成一个一次性随机数RAND，然后用卡里同款的密钥K，双方各自独立地计算同一组结果：

$$\text{AK} = f5_K(\text{RAND}), \quad \text{MAC} = f1_K(\text{SQN} \oplus \text{AK},\ \text{RAND},\ \text{AMF})$$

$$\text{RES} = f2_K(\text{RAND}), \quad \text{CK} = f3_K(\text{RAND}), \quad \text{IK} = f4_K(\text{RAND})$$

这一组f1到f5是五个专用运算函数（工程上常用一套叫Milenage的标准构造，以分组密码为内核拼装而成）。双方算出的东西一样，才能"心有灵犀"：

• RES是"应答"。归属网络先算好一份期望值，服务网络收到手机回复后比对，对上了，证明手机卡里确实有K。
• CK和IK是加密密钥和完整性密钥的雏形，3G时代是空口保护的直接原料，5G时代退居幕后，成了派生后续一切密钥的"中间原料"。
• MAC是网络交给手机的"签名"。手机用K重新算一遍MAC，和AUTN里带的那份比对——对上了，证明网络真身。

AUTN解剖：一张令牌三个零件

AUTN令牌由三段拼成：SQN⊕AK、AMF、MAC。每一段都有明确的存在理由：

• SQN（序列号）：防重放的核心。每次认证编号递增，卡里存着本地计数，收到挑战先查编号是否"够新"。假如攻击者录下一次合法认证的原样重播，卡一看编号是旧的，直接拒绝——暗号本上写死：用过一次的编号作废。
• AK（匿名密钥）：细心的读者会问，SQN为什么不直接明文发？因为SQN是固定格式，明文传输等于给跟踪者发了一个稳定的"指纹"，可以据此追踪同一张卡。所以先用AK把SQN异或藏起来，到了卡内再还原。这一层小设计专门保护用户不被追踪。
• AMF：认证管理字段，标记这份认证材料的用途和算法属性。
• MAC：前述签名，覆盖了SQN、RAND、AMF，任何一处被篡改都会验签失败。

序列号失步了怎么办

SQN机制有个天然的运维副作用：卡内计数和网络侧计数可能"对不上账"。比如物联网卡长期断电、测试卡在实验室反复回退数据，卡内的SQN远远落后于网络侧，挑战一来，卡发现"编号超前得离谱"，为了安全直接拒绝。这时手机会发起重新同步：用本地SQN算一个专门的同步参数发回网络，网络核对后把自己的计数器回拨到与卡一致，重新出题。这是现网鉴权失败排查中最高频的一类问题，后面实战部分再展开。

四、5G的三道新锁

5G的认证框架延续了挑战应答的骨架，但针对4G时代的三个遗留痛点，各加了一道锁。

第一道锁：身份也加密了（SUCI）

4G时代有个尴尬：手机第一次接入时，身份标识（IMSI）是明文发的——因为网络此刻还不认识你，临时别名还没发给你。这个"先亮明身份才能领面具"的死结，让4G的伪基站监听始终有隙可钻。

5G的解法很优雅：把永久身份用密码学藏起来。手机不再明文发送SUPI（永久订阅标识），而是用归属运营商预置在卡里的公钥做加密运算（一套基于椭圆曲线的混合加密方案），打包成SUCI（隐藏订阅标识）后才发出：

flowchart TD
    A["手机取出永久标识SUPI"] --> B["生成临时密钥对"]
    B --> C["用归属网公钥加密"]
    C --> D["打包成SUCI明文发出"]
    D --> E["窃听者只看到乱码"]
    D --> F["归属网用私钥解密"]
    F --> G["还原SUPI完成寻址"]

注意这张图的精妙之处：加密公钥人尽可得，解密私钥只在归属网络。街头的伪基站截获SUCI也只能看到乱码；只有你签约的运营商才能解出你是谁。每一次加密手机都用新鲜的临时密钥对，同一部手机两次注册产生的SUCI长得完全不同，连"这个人上次来过"这种关联追踪都做不了。

第二道锁：答案封存，钥匙后付

5G对认证流程中服务网络和归属网络之间的信任关系做了收紧。4G时代，归属网络会把"期望答案"原文交给服务网络保管比对。5G改成：服务网络拿到的是期望应答的哈希摘要而非原文，而且最关键的锚点密钥，要等服务网络报告"答案比对通过"之后，归属网络才发放。

为什么这样设计？服务网络的设备散布街头：基站、边界网关，物理上无人看守，标准的设计假设就是"它们可能被攻破"。考卷答案先封存，最高级别的钥匙比对成功后才临时下发——即使服务网络被渗透，攻击者拿到的也只是本次会话的下层密钥，而不是能伪造任何用户的根素材。

第三道锁：完整性保护从严

加密和完整性是两件不同的事：加密防"偷看"，完整性防"篡改"。2G时代只有加密、没有完整性，信令被篡改了手机毫无察觉。3G补上了信令完整性保护，但历代都留了个"空算法"后门——可以配置成不加密不保完整。5G把门关严：非接入层信令的完整性保护成为强制项，空算法仅剩紧急呼叫等极少数特例可用。除紧急呼叫等特例。换句话说，5G网络里一条未受完整性保护的普通信令，本身就是异常。

五、密钥家族树：一层一岗，各管一段

认证成功只是拿到了"中间原料"。真正的空口保护，靠的是从原料派生出的一整棵密钥树：

flowchart TD
    K["根密钥K<br/>USIM与UDM各存一份"]
    CK["CK与IK<br/>用K对RAND运算而得"]
    Kausf["Kausf<br/>归属网锚点密钥"]
    Kseaf["Kseaf<br/>服务网锚定密钥"]
    Kamf["Kamf<br/>AMF接入密钥"]
    Knas["NAS保护密钥对<br/>护手机到核心网信令"]
    KgNB["KgNB<br/>基站密钥家族之根"]
    Krrc["RRC保护密钥对<br/>护手机到基站信令"]
    Kup["用户面保护密钥对<br/>护业务数据"]
    K --> CK
    CK --> Kausf
    Kausf --> Kseaf
    Kseaf --> Kamf
    Kamf --> Knas
    Kamf --> KgNB
    KgNB --> Krrc
    KgNB --> Kup

为什么非要分层？三个理由

理由一：域隔离。 每一层密钥在派生时都掺入了"用途标签"——这把密钥是干什么用的、给哪个网络用的。用途标签不同，派生结果天差地别。于是即使某个环节的密钥泄露，它也"只配"干自己那一类坏事：拿基站密钥伪造不出核心网信令，拿本次会话密钥解不开上次会话。这就是密码工程里的密钥分离原则——不把所有鸡蛋放进一个篮子，甚至不把所有篮子放在一辆车上。

理由二：信任按距离衰减。 回顾家族树的地理分布：K和K_ausf住在归属网络，K_seaf以下才交给服务网络，K_gNB以下下发到街头基站。离你越远、越可信的节点，持有越根本的密钥；越靠近危险地带（户外基站）的节点，持有的密钥越"临时"。这棵树就是一张信任的地图。

理由三：单向派生，坏了不传染。 派生用的是单向的密钥推导函数——从父钥算子钥容易，从子钥反推父钥在计算上不可行。于是每个节点被攻破的影响范围被天然锁死在下层：

最后一行是唯一的"灭顶之灾"场景：归属数据库失守等于母暗号本被盗，唯一的补救是全量换卡重写K。这就是为什么运营商把归属网络的数据库安全等级，看得比基站高得多。

顺带一提，切换场景还有更细的讲究：手机从基站A搬到基站B时，新基站的密钥由密钥链配合新鲜参数派生，前一站被攻破也不会沿切换链"传染"到下一站。

六、四代安全演进一张表

把2G到5G的安全能力放到一起看，脉络就清晰了——每解决一个历史漏洞，就催生下一代设计：

值得玩味的是5G新增的"用户面完整性可选支持"：以前大家默认"数据加密就够了"，后来发现对物联网等场景，数据被篡改比被偷看更危险——一条被改过的遥控指令可能造成真实世界的破坏。所以5G第一次把用户面完整性保护列为可选能力，按需开启。

七、现网实战与调试陷阱

陷阱一：鉴权失败，先查SQN再查卡。 网关日志里看到认证失败，很多工程师第一反应是"卡坏了"或"核心网数据错了"。实际上最高频的原因是序列号失步：卡内计数与网络侧计数对不上。典型场景：物联网设备电池耗尽后长期离线、测试卡在多套环境间倒腾、甚至有些应急备份方案把卡数据回滚。处理路径是让终端发起重新同步，而不是急着换卡。判断技巧：失步类失败通常"第一次失败、紧接着重试成功"，而密钥不一致类失败会稳定失败。

陷阱二：补卡之后旧设备离奇掉线。 根密钥K一换，旧卡即刻失效——这是设计使然而非故障。但现网常有人忽略"一号多卡"场景的连带影响：写卡时归属网侧副本已更新，所有旧卡的认证从此必然失败。遇到"换卡后老设备集体掉线"的工单，先查发卡记录。

陷阱三：把加密当安全全部。 排查空口安全问题时，很多同事只盯着加密算法开关。实际上完整性保护被关闭或降级的危害不亚于加密被破——信令被篡改可以直接把手机"骗"到攻击者控制的环境里。5G强制NAS完整性之后，这类配置检查点大大减少，但在4G/5G互操作的边界上，仍要留意安全能力协商的实际结果。

常见误解两则：其一，"手机Root了根密钥就泄露"——不对，K在SIM卡独立芯片里，手机操作系统Root到天上去也读不到卡内密钥，真正要防的是来路不明"预先写好K"的白卡和物联网卡。其二，"鉴权和基站时钟有关"——无关，认证的新鲜度靠序列号保证，不依赖墙上时间；基站同步问题影响的是空口帧收发，那是另一回事。

还有一个容易被忽略的设计红利：4G/5G互操作时，只要锚点密钥还在有效期内，核心网可以用既有密钥直接派生新场景的密钥，让终端免于重跑一次完整认证。这就是"锚点"二字的工程价值——既是安全的锚，也是移动性的锚。

常见问题

Q: 5G-AKA和EAP-AKA'有什么区别？网络用哪个？ A: 两者都是5G允许的认证方法，骨架相同（都验MAC、都查SQN、都派生锚点密钥），区别在外层包装：5G-AKA是一来一回的直答式，消息少、时延低；EAP-AKA'借用了一套成熟的通用认证框架，挑战应答要多走几轮，且把服务网络名掺入密钥派生。用哪种由运营商配置决定，具体行为以各网络官方资料为准。

Q: SUCI和5G-GUTI都是保护隐私的，区别是什么？ A: 手段不同。SUCI靠加密：首次接入网络还不认识你时，把永久身份加密后再发，防的是身份明文暴露。5G-GUTI靠别名：注册成功后网络发一个临时身份，之后你一直用别名活动，防的是身份关联追踪。一个管"第一次见面不报真名"，一个管"以后见面都用代号"，两条防线互补。

Q: 根密钥K那么重要，它会被算出来或偷走吗？ A: 卡内密钥从不出卡、只输出计算结果，外部拿不到原文；现代SIM的安全芯片还有防拆自毁设计。历史上2G的认证算法因设计缺陷可被"反复提问、统计分析"间接破解，这正是3G起彻底重做算法与流程的原因。真正现实的风险不是"算出来"，而是归属数据库被整体攻破——所以运营商侧的防护等级远高于空口。

Q: 为什么我的物联网模块偶发鉴权失败，重试又好了？ A: 大概率是SQN失步后触发了重新同步：第一次挑战因序列号对不上被拒，终端自动带上同步参数重试，第二次成功。如果重试仍稳定失败，再按"卡数据与归属网不一致"的方向排查，比如补卡后旧数据未同步、专网发卡流程出错等。

Q: 从4G切换到5G，密钥要重新认证一遍吗？ A: 通常不用重跑完整认证。只要锚点密钥仍然有效，网络会用既有锚点直接派生新制式下的密钥，用户几乎无感。锚点失效或安全上下文丢失时，才会重新走一遍完整的挑战应答。这也是5G密钥分层设计的附带收益：换网络、换制式、换基站，各取所需地"从某一层重新派生"，不必每次都惊动根密钥。

参考来源

1. Authentication and Key Agreement — Wikipedia — AKA挑战应答机制、AUTN令牌构成与SQN防重放的通识性介绍
2. IMSI catcher — Wikipedia — 伪基站工作原理与各代移动网络认证缺陷的历史梳理
3. Universal Subscriber Identity Module — Wikipedia — USIM安全芯片与卡内密钥存储机制的背景资料
4. 5G — Wikipedia — 5G安全特性（含用户标识隐藏SUCI）的概述性章节
5. Key derivation function — Wikipedia — 密钥派生函数的单向性与密钥分离原则的通用原理

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。