n 5G, la señalización de roaming atraviesa la interfaz N32 entre dos proxies de protección de borde de seguridad (SEPP), uno en cada red. El SEPP autentica al socio y PRINS (Protección de la señalización entre redes) cifra y protege la integridad de los mensajes. Esto reemplaza la confianza abierta que hacía vulnerables a SS7 y Diameter, pero solo cuando ambas redes son 5G independientes.
Por qué SS7 y Diameter eran explotables
Las interconexiones SS7 y Diameter se diseñaron para un pequeño grupo de operadores de confianza, por lo que asumían que el remitente de un mensaje de señalización era quien decía ser. No existía autenticación por salto ni confidencialidad en la interconexión. Una vez que el número de partes interconectadas se disparó, esa confianza implícita se convirtió en la superficie de ataque para el seguimiento de la ubicación de los suscriptores, la interceptación de SMS y el fraude en roaming. Los cortafuegos de señalización y los conjuntos de reglas GSMA, como FS.11 y FS.19, fueron la solución que adoptó la industria para filtrar los mensajes que los propios protocolos no podían autenticar.
Cómo la SEPP garantiza la itinerancia 5G
La tecnología 5G se diseñó con seguridad de roaming integrada, no añadida posteriormente. Cada red expone un Proxy de Protección de Borde de Seguridad (SEPP) en el borde de su núcleo 5G, y toda la señalización entre redes fluye a través de él mediante la interfaz N32 definida en la arquitectura de seguridad 3GPP (TS 33.501). Los dos SEPP ejecutan primero un protocolo de enlace de control N32-c para autenticarse mutuamente y negociar la protección, y luego intercambian la señalización real a través de N32-f.
La protección en N32-f se ofrece en dos modos. Cuando los operadores se interconectan directamente, TLS proporciona cifrado y autenticación de transporte. Cuando los intermediarios IPX necesitan leer o modificar campos específicos (para enrutamiento o mediación), PRINS (Protection of Inter-Network Signalling) aplica seguridad en la capa de aplicación: cifra los elementos de información confidencial y solo permite modificaciones explícitamente autorizadas, de modo que un intermediario puede realizar su trabajo sin poder falsificar ni leer información no autorizada. El resultado es que el socio se autentica y el mensaje se protege en cuanto a su integridad, algo de lo que carecían SS7 y Diameter.
Seguridad de roaming SS7/Diámetro frente a 5G SEPP
| Propiedad | SS7 / Interconexión de diámetro | Roaming 5G a través de SEPP |
|---|---|---|
| autenticación entre pares | Implícito, en gran medida ausente | Mutuo, mediante protocolo de enlace N32-c |
| Confidencialidad | Ninguno en la interconexión por defecto | TLS o PRINS en N32-f |
| Protección de la integridad | Ninguno inherente | Criptográfico, de extremo a extremo a través de IPX |
| Gestión de intermediarios | Visibilidad y modificación completas | Solo se permiten explícitamente cambios de campo (PRINS) |
| Defensa primaria | Cortafuegos de señalización (FS.11 / FS.19) | Seguridad de protocolo integrada + política SEPP |
El cambio consiste en pasar de añadir un filtro a un protocolo no confiable a utilizar un protocolo que autentica y protege desde su diseño. Pero esto solo se cumple cuando ambas partes lo utilizan.
Por qué seguirá necesitando cortafuegos SS7 y Diameter en 2026
El SEPP garantiza la itinerancia independiente de 5G a 5G. No soluciona el enorme volumen de tráfico que aún utiliza las redes antiguas, y ese tráfico no desaparecerá pronto.
- Las redes 5G no autónomas y la enorme base instalada de 4G, 3G y 2G aún dependen de Diameter y SS7 para la itinerancia y la mensajería.
- La interoperabilidad entre las redes 5G y las redes centrales heredadas implica que la señalización se traduce de nuevo a Diameter/MAP en el límite, lo que reabre la antigua vulnerabilidad.
- Los socios de roaming migran en diferentes plazos, por lo que una red moderna sigue comunicándose con sistemas heredados con socios que no han actualizado sus redes.
- Las directrices de la GSMA siguen considerando el firewall SS7 y Diameter como esencial durante una transición que abarca años, no meses.
Durante la transición, se defienden dos mundos a la vez. El cortafuegos SS7 y el cortafuegos SMS de BroadNet protegen la interconexión heredada que aún transporta la mayor parte del tráfico de roaming y mensajería, por lo que la vulnerabilidad que el SEPP cierra en 5G no simplemente reaparece en la ruta 4G adyacente.
Planificar la transición
Trate la seguridad de la itinerancia 5G y la seguridad de la señalización heredada como un solo programa, no como dos. Implemente SEPP y protección N32 para la itinerancia independiente, manteniendo los firewalls SS7 y Diameter completamente operativos para todo lo demás, y preste especial atención al límite de interoperabilidad donde los mensajes 5G se traducen a Diameter y MAP. Para obtener detalles sobre el protocolo, consulte nuestras referencias sobre Seguridad de la itinerancia de Diameter (DRA/DEA), Amenazas de seguridad de SS7 y FS.11 y SS7 frente a SIGTRAN, y las respuestas en lenguaje sencillo sobre Seguridad de la señalización de Diameter y Seguridad de la señalización de SS7.
Preguntas frecuentes
¿Qué es el SEPP en 5G?
El Proxy de Protección de Borde de Seguridad (SEPP) es la función de red que se ubica en el borde de un núcleo 5G y gestiona toda la señalización de roaming con otras redes. Cada mensaje entre redes pasa a través de él mediante la interfaz N32. Autentica mutuamente al socio de roaming y aplica cifrado y protección de integridad, reemplazando la confianza implícita y no autenticada que caracterizaba la interconexión SS7 y Diameter.
¿Cuál es la diferencia entre TLS y PRINS en N32?
Ambos protocolos protegen el intercambio de señalización N32-f, pero para topologías diferentes. TLS es adecuado para una interconexión directa entre dos SEPP, proporcionando cifrado y autenticación en la capa de transporte. PRINS (Protection of Inter-Network Signalling) es una seguridad de capa de aplicación para rutas que atraviesan intermediarios IPX: cifra los campos sensibles y solo permite modificaciones autorizadas explícitamente, de modo que un intermediario puede actuar como mediador sin poder falsificar ni leer el contenido protegido.
¿La llegada del 5G deja obsoletos los firewalls SS7 y Diameter?
No, no durante años. El SEPP solo protege el roaming independiente 5G, mientras que la mayor parte del tráfico de roaming y mensajería aún utiliza Diameter y SS7 de 4G, y la interoperabilidad traduce la señalización 5G a esos protocolos en el límite. Las directrices de la GSMA siguen considerando el firewall SS7 y Diameter como esencial durante toda la transición, por lo que los operadores ejecutan ambas defensas en paralelo.
¿Qué es un ataque de señalización entre redes?
Se trata de un ataque que abusa de la señalización de interconexión (SS7, Diameter o mensajes de roaming 5G) para realizar acciones que la red no debería permitir, como rastrear la ubicación de un suscriptor, interceptar SMS o llamadas, o cometer fraude de roaming. Estos ataques explotaban las suposiciones de confianza de SS7 y Diameter; el modelo SEPP de 5G está diseñado para eliminar dichas suposiciones en las rutas de roaming independientes.
Referencias
- 3GPP — TS 33.501, Arquitectura y procedimientos de seguridad para el sistema 5G: 3gpp.org
- 3GPP — TS 29.573, Sistema 5G; Interconexión de la Red Móvil Terrestre Pública (PLMN) (N32): 3gpp.org
- GSMA — Recursos de seguridad para 5G e interconexión: gsma.com
- GSMA — Directrices de monitorización de seguridad de interconexión FS.11 SS7 y FS.19 Diameter: gsma.com