el 5G, la segnalazione in roaming attraversa l'interfaccia N32 tra due Security Edge Protection Proxy (SEPP), uno per ciascuna rete. Il SEPP autentica il partner e PRINS (Protection of Inter-Network Signalling) crittografa e protegge l'integrità dei messaggi. Questo sostituisce la fiducia aperta che rendeva vulnerabili SS7 e Diameter, ma solo laddove entrambe le reti siano 5G standalone.
Perché SS7 e Diameter erano sfruttabili
Le interconnessioni SS7 e Diameter furono create per una ristretta cerchia di operatori fidati, presumendo quindi che il mittente di un messaggio di segnalazione fosse chi dichiarava di essere. Non vi era autenticazione per ogni hop né riservatezza sull'interconnessione. Quando il numero di parti interconnesse esplose, questa fiducia implicita divenne la superficie di attacco per il tracciamento della posizione degli abbonati, l'intercettazione degli SMS e le frodi di roaming. I firewall di segnalazione e i set di regole GSMA come FS.11 e FS.19 rappresentarono l'adeguamento del settore, con il compito di filtrare i messaggi che i protocolli stessi non erano in grado di autenticare.
Come il SEPP protegge il roaming 5G
Il 5G è stato progettato con la sicurezza del roaming integrata, non aggiunta in un secondo momento. Ogni rete espone un Security Edge Protection Proxy (SEPP) ai margini della propria rete centrale 5G e tutta la segnalazione inter-rete transita attraverso di esso tramite l'interfaccia N32 definita nell'architettura di sicurezza 3GPP (TS 33.501). I due SEPP eseguono dapprima un handshake di controllo N32-c per autenticarsi reciprocamente e negoziare la protezione, quindi si scambiano la segnalazione effettiva tramite N32-f.
La protezione su N32-f è disponibile in due modalità. Laddove gli operatori si interconnettono direttamente, TLS fornisce crittografia e autenticazione a livello di trasporto. Laddove gli intermediari IPX devono leggere o modificare campi specifici, ad esempio per l'instradamento o la mediazione, PRINS (Protection of Inter-Network Signalling) applica la sicurezza a livello applicativo: crittografa gli elementi informativi sensibili consentendo solo modifiche esplicitamente autorizzate, in modo che un intermediario possa svolgere il proprio lavoro senza poter falsificare o leggere informazioni non autorizzate. Il risultato è che il partner viene autenticato e il messaggio è protetto in termini di integrità, proprio ciò che mancava a SS7 e Diameter.
Sicurezza del roaming SS7/Diametro vs 5G SEPP
| Proprietà | SS7 / Interconnessione di diametro | Roaming 5G tramite SEPP |
|---|---|---|
| Autenticazione peer | Implicito, in gran parte assente | Reciproco, tramite stretta di mano N32-c |
| Riservatezza | Nessuna interconnessione per impostazione predefinita | TLS o PRINS su N32-f |
| Protezione dell'integrità | Nessuna ingiustizia | Crittografico, end-to-end su IPX |
| Gestione intermedia | Piena visibilità e possibilità di modifica | Solo modifiche di campo esplicitamente consentite (PRINS) |
| Difesa primaria | Firewall di segnalazione (FS.11 / FS.19) | Sicurezza del protocollo integrata + politica SEPP |
Il cambiamento consiste nel passare dall'applicare un filtro a un protocollo non affidabile all'utilizzo di un protocollo che autentica e protegge fin dalla progettazione. Ma questo vale solo se entrambe le parti lo utilizzano effettivamente.
Perché SS7 e i firewall Diameter sono ancora necessari nel 2026
Il SEPP garantisce il roaming standalone 5G-to-5G. Non risolve però l'enorme volume di traffico che ancora si snoda sulle vecchie infrastrutture, e questo traffico non scomparirà presto.
- Il 5G non standalone e l'enorme base installata di 4G, 3G e 2G dipendono ancora da Diameter e SS7 per il roaming e la messaggistica.
- L'interoperabilità tra le reti 5G e le reti legacy implica che la segnalazione venga ritrasdotta a Diameter/MAP al confine, riaprendo la vecchia esposizione.
- I partner di roaming migrano secondo tempistiche diverse, pertanto una rete moderna continua a comunicare con i partner che non hanno effettuato l'aggiornamento utilizzando tecnologie obsolete.
- Le linee guida della GSMA continuano a considerare SS7 e i firewall Diameter come essenziali durante una transizione che si estende per anni, non per mesi.
Durante la transizione, ti trovi a difendere due mondi contemporaneamente. Il firewall SS7 e il firewall SMS di BroadNet proteggono l'interconnessione legacy che ancora gestisce la maggior parte del traffico di roaming e messaggistica, in modo che l'esposizione che il SEPP chiude sul 5G non si ripresenti semplicemente sul percorso 4G adiacente.
Pianificazione della transizione
Considerate la sicurezza del roaming 5G e la sicurezza della segnalazione legacy come un unico programma, non come due distinti. Implementate SEPP e protezione N32 per il roaming autonomo, mantenendo i firewall SS7 e Diameter pienamente operativi per tutto il resto, e prestate particolare attenzione al confine di interoperabilità in cui i messaggi 5G vengono tradotti in Diameter e MAP. Per i dettagli del protocollo, consultate i nostri riferimenti su Sicurezza del roaming Diameter (DRA/DEA), Minacce alla sicurezza SS7 e FS.11 e SS7 vs SIGTRAN, nonché le risposte in linguaggio semplice su Sicurezza della segnalazione Diameter e Sicurezza della segnalazione SS7.
Domande frequenti
Che cos'è il SEPP nel 5G?
Il Security Edge Protection Proxy (SEPP) è la funzione di rete che si trova ai margini della rete centrale 5G e gestisce tutta la segnalazione di roaming con altre reti. Ogni messaggio inter-rete lo attraversa tramite l'interfaccia N32. Autentica reciprocamente il partner di roaming e applica crittografia e protezione dell'integrità, sostituendo la fiducia implicita e non autenticata che caratterizzava le interconnessioni SS7 e Diameter.
Qual è la differenza tra TLS e PRINS su N32?
Entrambi proteggono lo scambio di segnali N32-f, ma per topologie diverse. TLS è adatto a un'interconnessione diretta tra due SEPP, fornendo crittografia e autenticazione a livello di trasporto. PRINS (Protection of Inter-Network Signalling) è una misura di sicurezza a livello applicativo per i percorsi che attraversano intermediari IPX: crittografa i campi sensibili consentendo solo modifiche esplicitamente autorizzate, in modo che un broker possa fungere da intermediario senza essere in grado di falsificare o leggere il contenuto protetto.
Il 5G renderà obsoleti i firewall SS7 e Diameter?
No, non per anni. Il SEPP protegge solo il roaming 5G standalone, mentre la maggior parte del traffico di roaming e messaggistica utilizza ancora 4G Diameter e SS7, e l'interoperabilità traduce la segnalazione 5G in questi protocolli al confine. Le linee guida GSMA continuano a considerare SS7 e Diameter firewalling essenziali durante la transizione, quindi gli operatori utilizzano entrambe le difese in parallelo.
Che cos'è un attacco di segnalazione tra reti?
Si tratta di un attacco che sfrutta la segnalazione di interconnessione (SS7, Diameter o messaggi di roaming 5G) per compiere azioni non consentite dalla rete, come tracciare la posizione di un abbonato, intercettare SMS o chiamate o commettere frodi di roaming. Questi attacchi sfruttavano i presupposti di fiducia di SS7 e Diameter; il modello 5G basato su SEPP è progettato per eliminare tali presupposti sui percorsi di roaming indipendenti.
Riferimenti
- 3GPP — TS 33.501, Architettura e procedure di sicurezza per il sistema 5G: 3gpp.org
- 3GPP — TS 29.573, Sistema 5G; Interconnessione della rete mobile terrestre pubblica (PLMN) (N32): 3gpp.org
- GSMA — Risorse per la sicurezza del 5G e delle interconnessioni: gsma.com
- GSMA — Linee guida per il monitoraggio della sicurezza delle interconnessioni FS.11 SS7 e FS.19 Diameter: gsma.com