## 概述
5G核心网从"专用电信设备"变成了"跑在HTTP/2上的IT系统"：AMF、SMF、UDM用服务化接口（SBA）互调，这扇新门带来了灵活性，也带来了IT世界的全部攻击面。本文回答三个问题：核心网的安全边界到底变了什么？安全公司与学术界实际"破"到过哪一步？一线工程师该按什么清单把门锁回去？文章以安全公司Positive Technologies的5G核心网研究报告与2021年受控攻破演示为解读主轴，对照3GPP TS 33.501安全架构，给出可落地的纵深防御清单。
## 目录
- 一、门换了，锁没换：核心网三十年攻防简史
- 二、一张图看懂5G核心网的新攻击面
- 三、白皮书主轴：真实5G网络被"完整攻破"的那次演示
- 四、学术界拆门：空口隐私、降级与互通仿冒
- 五、老门没关：SS7遗产与GTP盲区
- 六、监管出手：从工具箱到罚单
- 七、工程师实战：五层防线清单
- 八、结语：门是新的，贼是老的
## 一、门换了，锁没换：核心网三十年攻防简史
干了十几年核心网的工程师都记得那种"安全感"：七号信令跑在专网里，GTP隧道对端是运营商自己人，想摸到核心网，得先进机房。这套物理隔离逻辑统治了移动核心网二十年。
5G把这套逻辑拆了。服务化架构（SBA）下，AMF、SMF、UDM、PCF、NRF这些网络功能（NF）不再是"板卡+私有协议"，而是注册在NRF上的一个个HTTP/2服务：生产JSON、消费JSON、靠OAuth 2.0访问令牌互相调用。这不是比喻，是3GPP TS 23.501白纸黑字定义的架构——核心网第一次长得和互联网公司的微服务集群一样。
长得像，就危险得像。微服务世界的所有攻击手法——未授权访问、服务枚举、令牌窃取、横向移动——理论上都能照搬过来。更麻烦的是，移动核心网还背着一个IT系统没有的历史包袱：它同时连接着七个不信任域，公网、互联网对等点、漫游对等网（IPX）、企业专网切片、第三方NEF能力开放，每一侧都往核心网上按门铃。
安全社区的判断很一致：**5G核心网的攻击面不是变小了，而是从"物理围墙"换成了"API权限模型"**。过去攻破核心网要撬机房，现在攻破核心网，可能只需要一个暴露在公网的运维入口，加一个没被撤销的NF证书。
## 二、一张图看懂5G核心网的新攻击面
把5G核心网想象成一栋楼：正门（SBA服务接口）装了门禁，但楼上有多少扇窗（运维入口）、后门通着谁（漫游对等网）、地窖还留没留着旧时代的通道（GTP），决定了贼从哪进。
```mermaid
flowchart TD
A["攻击者"] -->|互联网暴露面| B["运维入口
Web/VPN/堡垒机"]
A -->|隧道面老通道| C["GTP边界
SMF/UPF"]
A -->|漫游对等网| D["SEPP
N32信令边界"]
B --> E["AMF 接入管理"]
C --> E
D --> E
E --> F["NRF 服务发现"]
F -->|OAuth2令牌| E
E --> G["AUSF/UDM
鉴权与签约"]
G --> H["UDR 签约数据"]
```
图上三条进楼路径，对应三类完全不同的防御思路：运维入口靠"收紧暴露面"，GTP边界靠"补旧协议的内建缺陷"，SEPP靠"把对等网从信任域变成零信任"。下面逐层展开。
## 三、白皮书主轴：真实5G网络被"完整攻破"的那次演示
解读5G核心网安全，Positive Technologies（PT）的研究绕不开。这家专攻渗透测试的安全公司常年把电信核心网当靶场，其官网（ptsecurity.com）安全研究板块发布的5G核心网系列研究报告，是业内少数系统性公开5GC漏洞细节的来源，报告结论的大意是：**被测试的商用5G核心网实现中没有"零漏洞"的样本**。这类结论出自一家卖渗透测试服务的公司，天然带有商业动机，读者需要打这个折扣；但报告里列的具体攻击链——利用面向互联网的漏洞打进运营商内网、再横向移动到核心网、进而读取签约数据甚至影响用户面——给出了可复现的技术路径，而不是空喊"5G不安全"。
让PT出圈的，是2021年5月那次演示。据其公开报告及The Register等媒体当时的报道，PT研究员声称在受控演示中**完整攻破了一家真实运营商的5G网络**：起点并非高深的协议漏洞，而是一个暴露在互联网上的Web资源漏洞；打进内网后，利用核心网自身的弱点横向移动，最终演示了对用户数据的访问能力。这次演示的争议点在于"完整攻破"的定义——运营商侧随后强调演示依赖的是运维面的暴露漏洞，而非SBA协议本身的缺陷。这个争议本身，恰恰是本文最想传达的观点：**5G核心网最脆弱的环节，往往不是那些写在TS 33.501里的加密算法，而是算法之外的那个"人使用的入口"**。
把PT的报告拆给核心网工程师看，有三条技术要点值得抄进运维手册：
1. **SBA接口是"服务"，不是"链路"**。传统排查里我们习惯盯链路通断（SCTP、GTP-C echo），而SBA的攻击与故障都发生在"调用"层面：一个本不该存在的NF向NRF发起了服务发现，一个过期的NF拿着旧令牌调UDM。监控体系如果不理解HTTP/2上的JSON语义，就既看不见攻击，也排不了障。
2. **令牌即身份**。SBA用OAuth 2.0访问令牌做NF间授权，令牌的签发范围、有效期、吊销机制，直接决定横向移动的半径。PT的攻击链里，内网横向移动之所以顺畅，正是因为多数部署没有启用或没调细这套令牌机制。
3. **暴露面清单必须包含"非核心网资产"**。那次演示的入口是Web系统。核心网团队的安全责任边界，如果只画到N4/N6接口，就漏掉了真正的门。
需要说明：PT报告中的多数结论来自实验室环境与授权测试，哪些结论可外推到生产网，应以各运营商自己的红队演练为准。
## 四、学术界拆门：空口隐私、降级与互通仿冒
学术圈对5G安全的"拆门"比工业界更早、更细，而且拆的全是协议本身的墙。几条对核心网工程师最有用的主线：
**标识隐私：SUCI真的防住了吗？** 5G用SUCI（隐藏后的用户标识）替代了明文IMSI空口传输——签约标识用归属网络的公钥做ECIES加密，这是相对4G的实质进步。但论文反复提醒：手机在注册早期（鉴权完成前）的寻呼与消息交互仍可能泄露可关联特征，TORPEDO等寻呼隐私攻击研究表明，攻击者可通过操纵寻呼行为实现对目标的持续追踪。也就是说，"匿名"只保护了标识字段，没保护行为模式。
**降级与互通：Imp4GT的教训。** 2020年发表的Imp4GT研究演示了在4G/5G互通场景下的用户面仿冒攻击：攻击者利用网络侧对"对方是谁"的认证缺失，让数据在4G与5G域间转手时被替换收件方。这类攻击的核心启示很工程化：**协议栈每多一个互通边界，就多一个"以为对面已认证"的假设**，而假设不验，就是洞。
**空口加密的"可选"陷阱。** 一个经常被忽略的事实：3GPP TS 33.501规定5G的NAS消息完整性保护是强制的，但**加密（ciphering）是可选的**——网络可以配置为不加密（即空口用NEA0"空加密算法"），NAS完整性和RRC完整性保护倒是5G开始强制了。设计逻辑可以理解（为了监管监听合法部署与性能权衡），但对运维的警示是：安全属性的"强制/可选"边界，就是攻击者下刀的位置。标准允许网络侧在多种配置间选择，具体行为以各厂家官方文档为准，工程师要做的是把自己网络的配置基线从"默认"变成"有意"。
## 五、老门没关：SS7遗产与GTP盲区
5G换了新门，但旧时代的门很多还留着，而且贼从未离开。
**SS7：三十年的老贼。** 2013年末的混沌计算机俱乐部大会（30C3）上，Tobias Engel公开演示了仅凭一个手机号，通过SS7信令定位任意用户；2014年末的31C3上，Karsten Nohl团队进一步演示了利用SS7漏洞拦截通话与短信。2017年5月，德国O2（Telefónica Deutschland）公开确认：攻击者利用SS7漏洞拦截网上银行短信验证码盗刷用户账户——这是"信令漏洞变现金"的标志性案件。GSMA此后发布了FS.11等系列互连安全控制文件，要求运营商对SS7消息做来源校验、频度监控与白名单过滤。历史价值在于：**信令网的漏洞从公开演示（2013）到真实盗刷（2017）用了四年**——5G SBA的漏洞从论文到黑产变现，未必需要四年。
**GTP：无人认领的地窖。** GTP-C跑在UDP上，协议本身长期缺乏内建的认证机制，TEID（隧道端点标识）就是门牌号——谁拿到门牌号，谁就能敲门。互联网上长期存在可从外部触达的GTP端点（各类暴露面扫描研究反复证实这一点），攻击者可借此尝试注水、伪装、干扰计费。5G时代GTP没有消失——UPF仍在用GTP-U搬运用户面流量，SMF对外仍要处理GTP-C会话。地窖没封，只是换了住户。
**漫游：N32是新门，别装旧锁。** 5G漫游强制引入SEPP（安全边缘保护代理），跨运营商的N32接口分两腿：N32-c做能力协商，N32-f转发信令并做应用层加签加密。这在架构上是巨大进步——4G时代Diameter roaming的裸奔终于结束。但SEPP落地质量决定了它是一扇铁门还是一扇纸门：TLS证书链怎么校验、拓扑隐藏开不开、应用层保护用不用，都是部署选择题。漫游关系是运营商之间最"信任"的关系，也是攻击者最爱借道的关系——一个被攻破的小型对等运营商，就是通往几十张大网的直达电梯。
## 六、监管出手：从工具箱到罚单
安全议题的下半场在监管侧，三条线值得跟：
**欧盟：从建议到义务。** 2020年1月，欧盟NIS合作组发布《5G网络安全工具箱》，第一次以泛欧口径提出安全要求、多供应商策略与高风险供应商风险评估；2023年生效的NIS2指令把电信运营商列为"关键实体"，2024年10月各成员国转化期截止后，安全事件通报、风险管理义务带罚则落地。对运营商而言，"出了事再补"的窗口期在欧盟已经法律意义上关闭了。
**美国：盐台风之后的强制认证。** 2024年曝光的"盐台风"入侵事件（多家美国运营商的网络被长期渗透）之后，据FCC公告与媒体广泛报道，FCC在2025年推动新规，要求美国电信运营商**每年提交网络安全风险管理计划的认证**——把"你有没有做安全"从行业惯例变成签字担责的法定动作。这类"认证制"监管的厉害之处在于：出了重大事件，监管部门可以直接追究认证签字人的责任。
**罚单逻辑的变化。** 过去监管罚单多针对"断网""服务不达标"这类可用性问题；现在正转向"安全治理缺失"——没有风险评估记录、没有供应商安全审查、没有事件上报。对运维团队的直接含义是：**安全建设的过程留档，本身就是合规资产**。
## 七、工程师实战：五层防线清单
把前面的案例压成一张可执行的表。判断标准只有一条：这条防线能不能挡住PT演示的那种攻击链。
| 防线 | 关键动作 | 依据/工具 | 常见失分点 |
|---|---|---|---|
| 暴露面治理 | SBI/GTP/OAM面逐一盘点"能不能被公网触达"，运维入口全部收进堡垒机+MFA | 资产测绘+暴露面扫描 | 只盘核心网设备，漏掉与之互通的Web系统 |
| 互连边界 | 落地SEPP双腿保护与拓扑隐藏，IPsec/TLS按TS 33.210部署到跨域链路 | TS 33.501/33.210、GSMA互连安全文件 | 对等网默认信任，证书不校验链 |
| NF间授权 | 启用NRF的OAuth 2.0访问令牌，收敛签发范围与有效期，建立吊销流程 | TS 33.501服务化安全章节 | 图省事全开，令牌长期有效 |
| 空口基线 | 核查本网加密/完整性配置基线，禁用不必要的空加密选项 | TS 33.501（NAS完整性强制、加密可选） | 沿用默认配置，没人"有意"过 |
| 检测与演练 | SBI层部署HTTP/2语义感知监控（异常服务发现、越权调用），定期红队演练PT式攻击链 | 信令监测系统+渗透测试 | 只告警链路断，不告警"调用异常" |
两条提醒：
第一，**监控升级是性价比最高的一项**。传统核心网告警看的是"通不通"，SBA时代的异常藏在"通着但不对劲"里：一个从未见过的NF实例向NRF注册、UDM收到来自非预期消费者的签约查询、令牌请求频率突变。这些信号在HTTP/2流量里明文可读（在TLS之内但对核心网自身是本域流量），现有的信令监测系统加一层JSON解析就能捕到。
第二，**把攻击链当剧本，而不是当新闻**。PT的演示、Imp4GT的互通仿冒、O2的SS7盗刷，共同点是"多跳"——单看每一跳都不致命，串起来就是灾难。防御也必须按链路设计：入口收敛防第一跳，令牌收敛防横向，SBI监控防最后跳。3GPP给了工具箱，用不用、怎么用，标准允许多种实现，具体行为以各厂家官方文档为准——这句话的另一面是：**默认配置不等于安全配置，安全配置需要有人签字**。
## 八、结语：门是新的，贼是老的
回顾这条时间线：
```mermaid
timeline
title 移动核心网攻击面演进三十年
2013 : SS7定位监听能力公开演示（30C3）
2014 : 31C3演示信令漏洞可拦截通话短信
2017 : 德国O2确认SS7验证码盗刷案
2020 : 欧盟发布5G安全工具箱，Imp4GT发表
2021 : 真实运营商5G网受控攻破演示公开
2024 : NIS2在欧盟全面适用
2025 : FCC推动运营商年度安全认证
```
三十年间，信令从TDM搬到IP，从专网搬到微服务，攻击者的目标却从未变过：定位一个人、截一条验证码、拖一份签约数据。变的是门的形态——从机房铁门，到信令白名单，再到今天NF之间的访问令牌。
给一线工程师三句收尾：
1. **5G核心网的安全预算，一半该花在SBA之外**。历次真实攻破的起点都是运维面和暴露面，不是加密算法。
2. **把TS 33.501当验收清单，不当参考资料**。强制项要验，可选项要拍板，每一项留档——那既是技术防线，也是监管时代的免责证据。
3. **每四年，贼就学会开一种新锁**。SS7从演示到盗刷用了四年，5G核心网的黑产成熟未必更慢。留给工程师的窗口期，就是现在。
## 参考来源
1. [Positive Technologies 官网安全研究](https://www.ptsecurity.com) — 其5G核心网系列研究报告与2021年受控攻破演示的官方发布入口，本文第三节解读主轴
2. [3GPP 规范门户](https://www.3gpp.org) — TS 33.501《Security architecture and procedures for 5G System》（5G安全架构：NAS完整性强制、加密可选、SBA授权与SEPP/N32定义）
3. [The Register](https://www.theregister.com) — 2021年5月对PT"完整攻破真实运营商5G网络"演示的独立报道
4. [GSMA 官网](https://www.gsma.com) — FS.11等SS7/互连安全控制系列文件与移动威胁情报发布
5. [ENISA 欧盟网络安全局](https://www.enisa.europa.eu) — 《ENISA Threat Landscape for 5G Networks》报告及欧盟5G安全工具箱相关材料
---
> 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。
> 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
> [!tip] 51学通信知识星球
> **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。
> **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。
> **当前规模**：5200 篇主题 / 990 个回答，198 元/年。
> **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。
> **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。
