概述

5G核心网从"专用电信设备"变成了"跑在HTTP/2上的IT系统"：AMF、SMF、UDM用服务化接口（SBA）互调，这扇新门带来了灵活性，也带来了IT世界的全部攻击面。本文回答三个问题：核心网的安全边界到底变了什么？安全公司与学术界实际"破"到过哪一步？一线工程师该按什么清单把门锁回去？文章以安全公司Positive Technologies的5G核心网研究报告与2021年受控攻破演示为解读主轴，对照3GPP TS 33.501安全架构，给出可落地的纵深防御清单。

目录

• 一、门换了，锁没换：核心网三十年攻防简史
• 二、一张图看懂5G核心网的新攻击面
• 三、白皮书主轴：真实5G网络被"完整攻破"的那次演示
• 四、学术界拆门：空口隐私、降级与互通仿冒
• 五、老门没关：SS7遗产与GTP盲区
• 六、监管出手：从工具箱到罚单
• 七、工程师实战：五层防线清单
• 八、结语：门是新的，贼是老的

一、门换了，锁没换：核心网三十年攻防简史

干了十几年核心网的工程师都记得那种"安全感"：七号信令跑在专网里，GTP隧道对端是运营商自己人，想摸到核心网，得先进机房。这套物理隔离逻辑统治了移动核心网二十年。

5G把这套逻辑拆了。服务化架构（SBA）下，AMF、SMF、UDM、PCF、NRF这些网络功能（NF）不再是"板卡+私有协议"，而是注册在NRF上的一个个HTTP/2服务：生产JSON、消费JSON、靠OAuth 2.0访问令牌互相调用。这不是比喻，是3GPP TS 23.501白纸黑字定义的架构——核心网第一次长得和互联网公司的微服务集群一样。

长得像，就危险得像。微服务世界的所有攻击手法——未授权访问、服务枚举、令牌窃取、横向移动——理论上都能照搬过来。更麻烦的是，移动核心网还背着一个IT系统没有的历史包袱：它同时连接着七个不信任域，公网、互联网对等点、漫游对等网（IPX）、企业专网切片、第三方NEF能力开放，每一侧都往核心网上按门铃。

安全社区的判断很一致：5G核心网的攻击面不是变小了，而是从"物理围墙"换成了"API权限模型"。过去攻破核心网要撬机房，现在攻破核心网，可能只需要一个暴露在公网的运维入口，加一个没被撤销的NF证书。

二、一张图看懂5G核心网的新攻击面

把5G核心网想象成一栋楼：正门（SBA服务接口）装了门禁，但楼上有多少扇窗（运维入口）、后门通着谁（漫游对等网）、地窖还留没留着旧时代的通道（GTP），决定了贼从哪进。

flowchart TD
    A["攻击者"] -->|互联网暴露面| B["运维入口<br/>Web/VPN/堡垒机"]
    A -->|隧道面老通道| C["GTP边界<br/>SMF/UPF"]
    A -->|漫游对等网| D["SEPP<br/>N32信令边界"]
    B --> E["AMF 接入管理"]
    C --> E
    D --> E
    E --> F["NRF 服务发现"]
    F -->|OAuth2令牌| E
    E --> G["AUSF/UDM<br/>鉴权与签约"]
    G --> H["UDR 签约数据"]

图上三条进楼路径，对应三类完全不同的防御思路：运维入口靠"收紧暴露面"，GTP边界靠"补旧协议的内建缺陷"，SEPP靠"把对等网从信任域变成零信任"。下面逐层展开。

三、白皮书主轴：真实5G网络被"完整攻破"的那次演示

解读5G核心网安全，Positive Technologies（PT）的研究绕不开。这家专攻渗透测试的安全公司常年把电信核心网当靶场，其官网（ptsecurity.com）安全研究板块发布的5G核心网系列研究报告，是业内少数系统性公开5GC漏洞细节的来源，报告结论的大意是：被测试的商用5G核心网实现中没有"零漏洞"的样本。这类结论出自一家卖渗透测试服务的公司，天然带有商业动机，读者需要打这个折扣；但报告里列的具体攻击链——利用面向互联网的漏洞打进运营商内网、再横向移动到核心网、进而读取签约数据甚至影响用户面——给出了可复现的技术路径，而不是空喊"5G不安全"。

让PT出圈的，是2021年5月那次演示。据其公开报告及The Register等媒体当时的报道，PT研究员声称在受控演示中完整攻破了一家真实运营商的5G网络：起点并非高深的协议漏洞，而是一个暴露在互联网上的Web资源漏洞；打进内网后，利用核心网自身的弱点横向移动，最终演示了对用户数据的访问能力。这次演示的争议点在于"完整攻破"的定义——运营商侧随后强调演示依赖的是运维面的暴露漏洞，而非SBA协议本身的缺陷。这个争议本身，恰恰是本文最想传达的观点：5G核心网最脆弱的环节，往往不是那些写在TS 33.501里的加密算法，而是算法之外的那个"人使用的入口"。

把PT的报告拆给核心网工程师看，有三条技术要点值得抄进运维手册：

1. SBA接口是"服务"，不是"链路"。传统排查里我们习惯盯链路通断（SCTP、GTP-C echo），而SBA的攻击与故障都发生在"调用"层面：一个本不该存在的NF向NRF发起了服务发现，一个过期的NF拿着旧令牌调UDM。监控体系如果不理解HTTP/2上的JSON语义，就既看不见攻击，也排不了障。
2. 令牌即身份。SBA用OAuth 2.0访问令牌做NF间授权，令牌的签发范围、有效期、吊销机制，直接决定横向移动的半径。PT的攻击链里，内网横向移动之所以顺畅，正是因为多数部署没有启用或没调细这套令牌机制。
3. 暴露面清单必须包含"非核心网资产"。那次演示的入口是Web系统。核心网团队的安全责任边界，如果只画到N4/N6接口，就漏掉了真正的门。

需要说明：PT报告中的多数结论来自实验室环境与授权测试，哪些结论可外推到生产网，应以各运营商自己的红队演练为准。

四、学术界拆门：空口隐私、降级与互通仿冒

学术圈对5G安全的"拆门"比工业界更早、更细，而且拆的全是协议本身的墙。几条对核心网工程师最有用的主线：

标识隐私：SUCI真的防住了吗？ 5G用SUCI（隐藏后的用户标识）替代了明文IMSI空口传输——签约标识用归属网络的公钥做ECIES加密，这是相对4G的实质进步。但论文反复提醒：手机在注册早期（鉴权完成前）的寻呼与消息交互仍可能泄露可关联特征，TORPEDO等寻呼隐私攻击研究表明，攻击者可通过操纵寻呼行为实现对目标的持续追踪。也就是说，"匿名"只保护了标识字段，没保护行为模式。

降级与互通：Imp4GT的教训。 2020年发表的Imp4GT研究演示了在4G/5G互通场景下的用户面仿冒攻击：攻击者利用网络侧对"对方是谁"的认证缺失，让数据在4G与5G域间转手时被替换收件方。这类攻击的核心启示很工程化：协议栈每多一个互通边界，就多一个"以为对面已认证"的假设，而假设不验，就是洞。

空口加密的"可选"陷阱。 一个经常被忽略的事实：3GPP TS 33.501规定5G的NAS消息完整性保护是强制的，但加密（ciphering）是可选的——网络可以配置为不加密（即空口用NEA0"空加密算法"），NAS完整性和RRC完整性保护倒是5G开始强制了。设计逻辑可以理解（为了监管监听合法部署与性能权衡），但对运维的警示是：安全属性的"强制/可选"边界，就是攻击者下刀的位置。标准允许网络侧在多种配置间选择，具体行为以各厂家官方文档为准，工程师要做的是把自己网络的配置基线从"默认"变成"有意"。

五、老门没关：SS7遗产与GTP盲区

5G换了新门，但旧时代的门很多还留着，而且贼从未离开。

SS7：三十年的老贼。 2013年末的混沌计算机俱乐部大会（30C3）上，Tobias Engel公开演示了仅凭一个手机号，通过SS7信令定位任意用户；2014年末的31C3上，Karsten Nohl团队进一步演示了利用SS7漏洞拦截通话与短信。2017年5月，德国O2（Telefónica Deutschland）公开确认：攻击者利用SS7漏洞拦截网上银行短信验证码盗刷用户账户——这是"信令漏洞变现金"的标志性案件。GSMA此后发布了FS.11等系列互连安全控制文件，要求运营商对SS7消息做来源校验、频度监控与白名单过滤。历史价值在于：信令网的漏洞从公开演示（2013）到真实盗刷（2017）用了四年——5G SBA的漏洞从论文到黑产变现，未必需要四年。

GTP：无人认领的地窖。 GTP-C跑在UDP上，协议本身长期缺乏内建的认证机制，TEID（隧道端点标识）就是门牌号——谁拿到门牌号，谁就能敲门。互联网上长期存在可从外部触达的GTP端点（各类暴露面扫描研究反复证实这一点），攻击者可借此尝试注水、伪装、干扰计费。5G时代GTP没有消失——UPF仍在用GTP-U搬运用户面流量，SMF对外仍要处理GTP-C会话。地窖没封，只是换了住户。

漫游：N32是新门，别装旧锁。 5G漫游强制引入SEPP（安全边缘保护代理），跨运营商的N32接口分两腿：N32-c做能力协商，N32-f转发信令并做应用层加签加密。这在架构上是巨大进步——4G时代Diameter roaming的裸奔终于结束。但SEPP落地质量决定了它是一扇铁门还是一扇纸门：TLS证书链怎么校验、拓扑隐藏开不开、应用层保护用不用，都是部署选择题。漫游关系是运营商之间最"信任"的关系，也是攻击者最爱借道的关系——一个被攻破的小型对等运营商，就是通往几十张大网的直达电梯。

六、监管出手：从工具箱到罚单

安全议题的下半场在监管侧，三条线值得跟：

欧盟：从建议到义务。 2020年1月，欧盟NIS合作组发布《5G网络安全工具箱》，第一次以泛欧口径提出安全要求、多供应商策略与高风险供应商风险评估；2023年生效的NIS2指令把电信运营商列为"关键实体"，2024年10月各成员国转化期截止后，安全事件通报、风险管理义务带罚则落地。对运营商而言，"出了事再补"的窗口期在欧盟已经法律意义上关闭了。

美国：盐台风之后的强制认证。 2024年曝光的"盐台风"入侵事件（多家美国运营商的网络被长期渗透）之后，据FCC公告与媒体广泛报道，FCC在2025年推动新规，要求美国电信运营商每年提交网络安全风险管理计划的认证——把"你有没有做安全"从行业惯例变成签字担责的法定动作。这类"认证制"监管的厉害之处在于：出了重大事件，监管部门可以直接追究认证签字人的责任。

罚单逻辑的变化。 过去监管罚单多针对"断网""服务不达标"这类可用性问题；现在正转向"安全治理缺失"——没有风险评估记录、没有供应商安全审查、没有事件上报。对运维团队的直接含义是：安全建设的过程留档，本身就是合规资产。

七、工程师实战：五层防线清单

把前面的案例压成一张可执行的表。判断标准只有一条：这条防线能不能挡住PT演示的那种攻击链。

两条提醒：

第一，监控升级是性价比最高的一项。传统核心网告警看的是"通不通"，SBA时代的异常藏在"通着但不对劲"里：一个从未见过的NF实例向NRF注册、UDM收到来自非预期消费者的签约查询、令牌请求频率突变。这些信号在HTTP/2流量里明文可读（在TLS之内但对核心网自身是本域流量），现有的信令监测系统加一层JSON解析就能捕到。

第二，把攻击链当剧本，而不是当新闻。PT的演示、Imp4GT的互通仿冒、O2的SS7盗刷，共同点是"多跳"——单看每一跳都不致命，串起来就是灾难。防御也必须按链路设计：入口收敛防第一跳，令牌收敛防横向，SBI监控防最后跳。3GPP给了工具箱，用不用、怎么用，标准允许多种实现，具体行为以各厂家官方文档为准——这句话的另一面是：默认配置不等于安全配置，安全配置需要有人签字。

八、结语：门是新的，贼是老的

回顾这条时间线：

timeline
    title 移动核心网攻击面演进三十年
    2013 : SS7定位监听能力公开演示（30C3）
    2014 : 31C3演示信令漏洞可拦截通话短信
    2017 : 德国O2确认SS7验证码盗刷案
    2020 : 欧盟发布5G安全工具箱，Imp4GT发表
    2021 : 真实运营商5G网受控攻破演示公开
    2024 : NIS2在欧盟全面适用
    2025 : FCC推动运营商年度安全认证

三十年间，信令从TDM搬到IP，从专网搬到微服务，攻击者的目标却从未变过：定位一个人、截一条验证码、拖一份签约数据。变的是门的形态——从机房铁门，到信令白名单，再到今天NF之间的访问令牌。

给一线工程师三句收尾：

1. 5G核心网的安全预算，一半该花在SBA之外。历次真实攻破的起点都是运维面和暴露面，不是加密算法。
2. 把TS 33.501当验收清单，不当参考资料。强制项要验，可选项要拍板，每一项留档——那既是技术防线，也是监管时代的免责证据。
3. 每四年，贼就学会开一种新锁。SS7从演示到盗刷用了四年，5G核心网的黑产成熟未必更慢。留给工程师的窗口期，就是现在。

参考来源

1. Positive Technologies 官网安全研究 — 其5G核心网系列研究报告与2021年受控攻破演示的官方发布入口，本文第三节解读主轴
2. 3GPP 规范门户 — TS 33.501《Security architecture and procedures for 5G System》（5G安全架构：NAS完整性强制、加密可选、SBA授权与SEPP/N32定义）
3. The Register — 2021年5月对PT"完整攻破真实运营商5G网络"演示的独立报道
4. GSMA 官网 — FS.11等SS7/互连安全控制系列文件与移动威胁情报发布
5. ENISA 欧盟网络安全局 — 《ENISA Threat Landscape for 5G Networks》报告及欧盟5G安全工具箱相关材料

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。