m 5G, a sinalização em roaming atravessa a interface N32 entre dois Proxies de Proteção de Borda de Segurança (SEPP), um em cada rede. O SEPP autentica o parceiro e o PRINS (Proteção de Sinalização entre Redes) encripta e protege a integridade das mensagens. Isso substitui a confiança aberta que tornava o SS7 e o Diameter vulneráveis — mas apenas quando ambas as redes são 5G independentes.
Porque SS7 e Diameter eram exploráveis
As interconexões SS7 e Diameter foram construídas para um pequeno grupo de operadoras confiáveis, portanto, presumia-se que o remetente de uma mensagem de sinalização era quem alegava ser. Não havia autenticação por salto nem confidencialidade na interconexão. Quando o número de partes interconectadas explodiu, essa confiança implícita tornou-se a superfície de ataque por trás do rastreio da localização do assinante, interceção de SMS e fraude em roaming. Firewalls de sinalização e conjuntos de regras GSMA, como FS.11 e FS.19, foram a solução improvisada da indústria — filtrando as mensagens que os próprios protocolos não conseguiam autenticar.
Como o SEPP garante o roaming 5G
O 5G foi projetado com segurança de roaming integrada, em vez de adicionada posteriormente. Cada rede expõe um Proxy de Proteção de Borda de Segurança (SEPP) na borda do seu núcleo 5G, e toda a sinalização entre redes flui através dele pela interface N32 definida na arquitetura de segurança 3GPP (TS 33.501). Os dois SEPPs primeiro executam um handshake de controlo N32-c para autenticação mútua e negociação de proteção, e então trocam a sinalização propriamente dita pela interface N32-f.
A proteção no N32-f ocorre em dois modos. Quando os operadores se interconectam diretamente, o TLS fornece encriptação de transporte e autenticação. Quando os intermediários IPX precisam ler ou modificar campos específicos — para encaminhamento ou mediação — o PRINS (Proteção de Sinalização entre Redes) aplica segurança na camada de aplicação: ele encripta elementos de informação sensíveis, permitindo apenas modificações explicitamente autorizadas, de modo que um intermediário possa realizar o seu trabalho sem ser capaz de falsificar ou ler o que não deveria. O resultado é que um parceiro é autenticado e a mensagem tem a sua integridade protegida, exatamente o que faltava no SS7 e no Diameter.
Segurança de roaming SS7/Diameter vs 5G SEPP
| Propriedade | SS7 / Interconexão de diâmetro | Roaming 5G via SEPP |
|---|---|---|
| Autenticação entre pares | Implícito, em grande parte ausente | Mútuo, via aperto de mãos N32-c |
| Confidencialidade | Nenhuma interconexão por predefinição | TLS ou PRINS em N32-f |
| Proteção da integridade | Nenhuma inerente | Encriptação de ponta a ponta em IPX |
| Manuseio intermediário | Visibilidade e modificação completas | Somente alterações de campo explicitamente permitidas (PRINS) |
| Defesa primária | Firewall de sinalização (FS.11 / FS.19) | Segurança de protocolo integrada + política SEPP |
A mudança consiste em deixar de adicionar um filtro a um protocolo não confiável e passar a executar um protocolo que autentica e protege desde a sua conceção. Mas isso só se aplica quando ambas as partes o utilizam de facto.
Porque você ainda precisará de firewalls SS7 e Diameter em 2026
O SEPP garante o roaming independente 5G para 5G. No entanto, ele não faz nada em relação ao enorme volume de tráfego que ainda utiliza as tecnologias mais antigas, e esse tráfego não vai desaparecer tão cedo.
- O 5G não autónomo e a enorme base instalada de 4G, 3G e 2G ainda dependem do Diameter e do SS7 para roaming e mensagens.
- A interoperabilidade entre as redes 5G e as redes legadas significa que a sinalização é traduzida de volta para Diameter/MAP na fronteira — reabrindo a antiga vulnerabilidade.
- Os parceiros de roaming migram em cronogramas diferentes, portanto, uma rede moderna continua a comunicar com parceiros que não fizeram a atualização.
- As diretrizes da GSMA continuam a considerar o firewall SS7 e Diameter como essencial durante uma transição que se estende por anos, e não por meses.
Durante a transição, você está a defender dois mundos ao mesmo tempo. O firewall SS7 e o firewall SMS da BroadNet protegem a interconexão legada que ainda transporta a maior parte do tráfego de roaming e mensagens, de modo que a vulnerabilidade que o SEPP elimina no 5G não reaparece simplesmente no caminho 4G ao lado.
Planeando a transição
Trate a segurança do roaming 5G e a segurança da sinalização legada como um único programa, e não como dois. Implemente SEPPs e proteção N32 para roaming independente, mantendo os firewalls SS7 e Diameter totalmente operacionais para todas as outras aplicações, e preste atenção especial à interface onde as mensagens 5G são traduzidas para Diameter e MAP. Para detalhes sobre o protocolo, consulte as nossas referências sobre Segurança de roaming Diameter (DRA/DEA), Ameaças à segurança SS7 e FS.11 e SS7 vs SIGTRAN, bem como as respostas em linguagem simples sobre Segurança de sinalização Diameter e Segurança de sinalização SS7.
Perguntas frequentes
O que é o SEPP no 5G?
O Security Edge Protection Proxy (SEPP) é a função de rede que se situa na borda do núcleo 5G e gere toda a sinalização de roaming com outras redes. Cada mensagem entre redes passa por ele através da interface N32. Ele autentica mutuamente o parceiro de roaming e aplica encriptação e proteção de integridade, substituindo a confiança implícita e não autenticada que caracterizava as interconexões SS7 e Diameter.
Qual a diferença entre TLS e PRINS no N32?
Ambos protegem a troca de sinalização N32-f, mas para topologias diferentes. O TLS é adequado para uma interconexão direta entre dois SEPPs, fornecendo encriptação e autenticação na camada de transporte. O PRINS (Protection of Inter-Network Signalling) é uma segurança de camada de aplicação para caminhos que cruzam intermediários IPX: ele encripta campos sensíveis, permitindo apenas modificações explicitamente autorizadas, de modo que um broker possa intermediar sem ser capaz de falsificar ou ler conteúdo protegido.
O 5G torna os firewalls SS7 e Diameter obsoletos?
Não, não por anos. O SEPP protege apenas o roaming independente 5G, enquanto a maior parte do tráfego de roaming e mensagens ainda utiliza Diameter e SS7 do 4G, e a interconexão traduz a sinalização 5G de volta para esses protocolos na borda da rede. As diretrizes da GSMA continuam a considerar o firewall SS7 e Diameter como essencial durante toda a transição, portanto, as operadoras executam ambas as defesas em paralelo.
O que é um ataque de sinalização entre redes?
Trata-se de um ataque que abusa da sinalização de interconexão — SS7, Diameter ou mensagens de roaming 5G — para realizar ações que a rede não deveria permitir, como rastrear a localização de um assinante, intercetar SMS ou chamadas, ou cometer fraude em roaming. Esses ataques exploravam as premissas de confiança do SS7 e do Diameter; o modelo baseado em SEPP do 5G foi projetado para eliminar essas premissas em caminhos de roaming independentes.
Referências
- 3GPP — TS 33.501, Arquitetura e procedimentos de segurança para o sistema 5G: 3gpp.org
- 3GPP — TS 29.573, Sistema 5G; Interconexão de Rede Móvel Terrestre Pública (PLMN) (N32): 3gpp.org
- GSMA — Recursos de segurança para 5G e interconexões: gsma.com
- GSMA — Diretrizes de monitorização de segurança de interconexão FS.11 SS7 e FS.19 Diameter: gsma.com