ي شبكات الجيل الخامس، تعبر إشارات التجوال واجهة N32 بين خادمين وسيطين لحماية حافة الأمان (SEPP)، أحدهما في كل شبكة. يقوم خادم SEPP بمصادقة الطرف الآخر، بينما يقوم بروتوكول PRINS (حماية الإشارات بين الشبكات) بتشفير الرسائل وحمايتها من الاختراق. يحل هذا محل الثقة المفتوحة التي جعلت بروتوكولي SS7 وDiameter قابلين للاستغلال، ولكن فقط في حال كانت كلتا الشبكتين تعملان بشكل مستقل بتقنية الجيل الخامس.
لماذا كان من الممكن استغلال SS7 وDiameter؟
صُممت تقنية الربط البيني SS7 وDiameter لمجموعة صغيرة من المشغّلين الموثوق بهم، لذا افترضوا أن مُرسل رسالة الإشارة هو من يدّعي أنه. لم يكن هناك مصادقة لكل قفزة، ولا سرية على مستوى الربط البيني. ومع ازدياد عدد الأطراف المتصلة بشكل كبير، أصبحت هذه الثقة الضمنية ثغرة أمنية تُستخدم لتتبع مواقع المشتركين، واعتراض رسائل SMS، والاحتيال أثناء التجوال. كانت جدران حماية الإشارات وقواعد GSMA مثل FS.11 وFS.19 بمثابة حلول بديلة في هذا المجال، حيث قامت بتصفية الرسائل التي لم تتمكن البروتوكولات نفسها من التحقق من صحتها.
كيف يؤمّن SEPP التجوال في شبكات الجيل الخامس؟
صُممت تقنية الجيل الخامس (5G) مع تضمين أمان التجوال بشكل أساسي بدلاً من إضافته لاحقًا. تعرض كل شبكة وكيل حماية حافة الأمان (SEPP) على حافة نواة شبكة الجيل الخامس، وتتدفق جميع إشارات الشبكة الداخلية عبره من خلال واجهة N32 المحددة في بنية أمان 3GPP (TS 33.501). يقوم وكيلا حماية حافة الأمان (SEPP) أولاً بإجراء مصافحة تحكم N32-c للتحقق المتبادل من الهوية والتفاوض على الحماية، ثم يتبادلان الإشارات الفعلية عبر N32-f.
تتوفر الحماية في بروتوكول N32-f بنمطين. عند اتصال المشغّلين مباشرةً، يوفر بروتوكول TLS تشفيرًا ومصادقةً لبيانات النقل. أما عند حاجة وسطاء بروتوكول IPX لقراءة أو تعديل حقول محددة - لأغراض التوجيه أو الوساطة - فيطبق بروتوكول PRINS (حماية إشارات الشبكات البينية) أمانًا على مستوى التطبيق: حيث يقوم بتشفير عناصر المعلومات الحساسة مع السماح فقط بالتعديلات المصرح بها صراحةً، مما يُمكّن الوسيط من أداء وظيفته دون القدرة على التزوير أو قراءة ما لا ينبغي له قراءته. والنتيجة هي مصادقة الشريك وحماية سلامة الرسالة، وهو ما افتقر إليه بروتوكولا SS7 وDiameter.
أمان التجوال عبر SS7/Diameter مقابل 5G SEPP
| ملكية | SS7 / وصلة قطرية | تجوال شبكات الجيل الخامس عبر SEPP |
|---|---|---|
| مصادقة النظراء | ضمني، غائب إلى حد كبير | متبادل، عبر مصافحة N32-c |
| السرية | لا يوجد اتصال بيني افتراضيًا | TLS أو PRINS على N32-f |
| حماية النزاهة | لا شيء متأصل | تشفير، من البداية إلى النهاية عبر بروتوكول IPX |
| التعامل مع الوسطاء | رؤية كاملة وتعديل | التغييرات المسموح بها صراحةً فقط في الحقول (PRINS) |
| الدفاع الأساسي | جدار حماية الإشارات (FS.11 / FS.19) | أمان البروتوكول المدمج + سياسة SEPP |
يتمثل التحول في الانتقال من إضافة فلتر إلى بروتوكول غير موثوق به إلى تشغيل بروتوكول يُصادق ويحمي بشكل أساسي. لكن هذا لا يتحقق إلا عندما يتحدث الطرفان معًا.
لماذا لا تزال بحاجة إلى جدران حماية SS7 و Diameter في عام 2026
يضمن برنامج SEPP التجوال المستقل بين شبكات الجيل الخامس. لكنه لا يُقدم أي حلول لحجم البيانات الهائل الذي لا يزال يعتمد على البنى التحتية القديمة، ولن يختفي هذا الحجم من البيانات قريباً.
- لا تزال شبكات الجيل الخامس غير المستقلة والقاعدة الضخمة المثبتة من شبكات الجيل الرابع والثالث والثاني تعتمد على تقنية Diameter وSS7 للتجوال والمراسلة.
- يعني التوافق بين شبكات الجيل الخامس والشبكات الأساسية القديمة أن الإشارات تُترجم مرة أخرى إلى Diameter/MAP عند الحدود - مما يؤدي إلى إعادة فتح نقطة الضعف القديمة.
- يتنقل الشركاء المتجولون وفق جداول زمنية مختلفة، لذا تستمر الشبكة الحديثة في التواصل مع الشركاء الذين لم يقوموا بالترقية، حيث يتم استخدام الأنظمة القديمة.
- لا تزال إرشادات GSMA تعتبر جدار حماية SS7 و Diameter أمرًا أساسيًا خلال عملية انتقال تمتد لسنوات، وليس لأشهر.
أثناء عملية الانتقال، أنت تدافع عن عالمين في آن واحد. يحمي جدار الحماية SS7 firewall وجدار الحماية SMS firewall من BroadNet الربط البيني القديم الذي لا يزال يحمل معظم حركة التجوال والرسائل، لذا فإن نقطة الضعف التي يغلقها SEPP على شبكة الجيل الخامس لا تظهر ببساطة مرة أخرى على مسار شبكة الجيل الرابع المجاور لها.
التخطيط للانتقال
تعامل مع أمن تجوال شبكات الجيل الخامس وأمن الإشارات القديمة كبرنامج واحد، وليس برنامجين منفصلين. فعّل بروتوكولات حماية نقاط نهاية الخدمة (SEPPs) وحماية N32 للتجوال المستقل، مع الحفاظ على تشغيل جدران حماية SS7 وDiameter بكفاءة تامة لجميع العمليات الأخرى. ركّز بشكل خاص على حدود التشغيل البيني حيث تُترجم رسائل الجيل الخامس إلى بروتوكولي Diameter وMAP. لمزيد من التفاصيل حول البروتوكول، راجع مراجعنا حول أمن تجوال Diameter (DRA/DEA)، ومخاطر أمن SS7 وFS.11، وSS7 مقابل SIGTRAN، بالإضافة إلى الإجابات المبسطة حول أمن إشارات Diameter وأمن إشارات SS7.
الأسئلة الشائعة
ما هو SEPP في تقنية الجيل الخامس؟
يُعدّ وكيل حماية حافة الأمان (SEPP) وظيفة الشبكة التي تقع على حافة شبكة الجيل الخامس الأساسية، وتتولى معالجة جميع إشارات التجوال مع الشبكات الأخرى. تمر جميع الرسائل بين الشبكات عبره من خلال واجهة N32. يقوم هذا الوكيل بالتحقق المتبادل من هوية شريك التجوال، ويطبق التشفير وحماية سلامة البيانات، ليحل محل الثقة الضمنية غير الموثقة التي ميزت الربط البيني لتقنيتي SS7 وDiameter.
ما الفرق بين TLS و PRINS على N32؟
يحمي كلا البروتوكولين تبادل إشارات N32-f، لكنهما يناسبان بنيات مختلفة. يُناسب بروتوكول TLS الربط المباشر بين جهازي SEPP، موفرًا تشفيرًا ومصادقة على مستوى طبقة النقل. أما بروتوكول PRINS (حماية الإشارات بين الشبكات) فهو يوفر أمانًا على مستوى طبقة التطبيق للمسارات التي تعبر وسطاء IPX: إذ يقوم بتشفير الحقول الحساسة مع السماح فقط بالتعديلات المصرح بها صراحةً، ما يسمح للوسيط بالتوسط دون القدرة على تزوير المحتوى المحمي أو قراءته.
هل تجعل تقنية الجيل الخامس جدران حماية SS7 و Diameter قديمة الطراز؟
لا، ليس لسنوات. لا يؤمّن بروتوكول SEPP سوى التجوال المستقل لشبكات الجيل الخامس، بينما لا تزال معظم حركة التجوال والرسائل تعتمد على بروتوكولي Diameter وSS7 لشبكات الجيل الرابع، ويقوم نظام الربط البيني بترجمة إشارات الجيل الخامس إلى هذين البروتوكولين عند حدود الشبكة. وتستمر إرشادات GSMA في اعتبار جدار الحماية لبروتوكولي SS7 وDiameter أساسيًا طوال فترة الانتقال، لذا يُشغّل المشغّلون كلا نظامي الحماية بالتوازي.
ما هو هجوم الإشارة عبر الشبكات؟
هو هجوم يستغل إشارات الربط البيني - مثل SS7 أو Diameter أو رسائل التجوال في شبكات الجيل الخامس - للقيام بأمور لا تسمح بها الشبكة، مثل تتبع موقع المشترك، أو اعتراض الرسائل النصية أو المكالمات، أو ارتكاب عمليات احتيال أثناء التجوال. استغلت هذه الهجمات افتراضات الثقة في SS7 وDiameter؛ بينما صُمم نموذج SEPP الخاص بشبكات الجيل الخامس لإزالة هذه الافتراضات على مسارات التجوال المستقلة.
مراجع
- 3GPP — TS 33.501، بنية الأمان وإجراءات نظام الجيل الخامس: 3gpp.org
- 3GPP — TS 29.573، نظام الجيل الخامس؛ الربط البيني لشبكة الهاتف المحمول للأراضي العامة (PLMN) (N32): 3gpp.org
- GSMA - موارد أمن شبكات الجيل الخامس والربط البيني: gsma.com
- إرشادات مراقبة أمان الربط البيني لشبكات GSMA - FS.11 SS7 و FS.19 Diameter: gsma.com