# Segurança em roaming 5G em 2026: SEPP, PRINS e a vida após a confiança SS7/Diameter

> O 5G substitui a confiança implícita das interconexões SS7 e Diameter por uma interface de roaming autenticada e encriptada. Veja como o SEPP e o PRINS protegem o link N32 e porque os firewalls SS7/Diameter ainda são importantes em 2026.

- URL canônico: https://www.broadnet.me/pt/blog/5g-roaming-security-sepp-prins-2026
- Idioma: pt
- Última atualização: 2026-10-20
- Editor: BroadNet (https://www.broadnet.me)

- Publicado em: 2026-07-05
- Autor: BroadNet Operator Solutions

Em 5G, a sinalização em roaming atravessa a interface N32 entre dois Proxies de Proteção de Borda de Segurança (SEPP), um em cada rede. O SEPP autentica o parceiro e o PRINS (Proteção de Sinalização entre Redes) encripta e protege a integridade das mensagens. Isso substitui a confiança aberta que tornava o SS7 e o Diameter vulneráveis — mas apenas quando ambas as redes são 5G independentes.

## Porque SS7 e Diameter eram exploráveis

As interconexões SS7 e Diameter foram construídas para um pequeno grupo de operadoras confiáveis, portanto, presumia-se que o remetente de uma mensagem de sinalização era quem alegava ser. Não havia autenticação por salto nem confidencialidade na interconexão. Quando o número de partes interconectadas explodiu, essa confiança implícita tornou-se a superfície de ataque por trás do rastreio da localização do assinante, interceção de SMS e fraude em roaming. Firewalls de sinalização e conjuntos de regras GSMA, como FS.11 e FS.19, foram a solução improvisada da indústria — filtrando as mensagens que os próprios protocolos não conseguiam autenticar.

## Como o SEPP garante o roaming 5G

O 5G foi projetado com segurança de roaming integrada, em vez de adicionada posteriormente. Cada rede expõe um Proxy de Proteção de Borda de Segurança (SEPP) na borda do seu núcleo 5G, e toda a sinalização entre redes flui através dele pela interface N32 definida na arquitetura de segurança 3GPP (TS 33.501). Os dois SEPPs primeiro executam um handshake de controlo N32-c para autenticação mútua e negociação de proteção, e então trocam a sinalização propriamente dita pela interface N32-f.

A proteção no N32-f ocorre em dois modos. Quando os operadores se interconectam diretamente, o TLS fornece encriptação de transporte e autenticação. Quando os intermediários IPX precisam ler ou modificar campos específicos — para encaminhamento ou mediação — o PRINS (Proteção de Sinalização entre Redes) aplica segurança na camada de aplicação: ele encripta elementos de informação sensíveis, permitindo apenas modificações explicitamente autorizadas, de modo que um intermediário possa realizar o seu trabalho sem ser capaz de falsificar ou ler o que não deveria. O resultado é que um parceiro é autenticado e a mensagem tem a sua integridade protegida, exatamente o que faltava no SS7 e no Diameter.

## Segurança de roaming SS7/Diameter vs 5G SEPP

| Propriedade | SS7 / Interconexão de diâmetro | Roaming 5G via SEPP |
|---|---|---|
| Autenticação entre pares | Implícito, em grande parte ausente | Mútuo, via aperto de mãos N32-c |
| Confidencialidade | Nenhuma interconexão por predefinição | TLS ou PRINS em N32-f |
| Proteção da integridade | Nenhuma inerente | Encriptação de ponta a ponta em IPX |
| Manuseio intermediário | Visibilidade e modificação completas | Somente alterações de campo explicitamente permitidas (PRINS) |
| Defesa primária | Firewall de sinalização (FS.11 / FS.19) | Segurança de protocolo integrada + política SEPP |

A mudança consiste em deixar de adicionar um filtro a um protocolo não confiável e passar a executar um protocolo que autentica e protege desde a sua conceção. Mas isso só se aplica quando ambas as partes o utilizam de facto.

## Porque você ainda precisará de firewalls SS7 e Diameter em 2026

O SEPP garante o roaming independente 5G para 5G. No entanto, ele não faz nada em relação ao enorme volume de tráfego que ainda utiliza as tecnologias mais antigas, e esse tráfego não vai desaparecer tão cedo.

- O 5G não autónomo e a enorme base instalada de 4G, 3G e 2G ainda dependem do Diameter e do SS7 para roaming e mensagens.
- A interoperabilidade entre as redes 5G e as redes legadas significa que a sinalização é traduzida de volta para Diameter/MAP na fronteira — reabrindo a antiga vulnerabilidade.
- Os parceiros de roaming migram em cronogramas diferentes, portanto, uma rede moderna continua a comunicar com parceiros que não fizeram a atualização.
- As diretrizes da GSMA continuam a considerar o firewall SS7 e Diameter como essencial durante uma transição que se estende por anos, e não por meses.

> Durante a transição, você está a defender dois mundos ao mesmo tempo. O firewall SS7 e o firewall SMS da BroadNet protegem a interconexão legada que ainda transporta a maior parte do tráfego de roaming e mensagens, de modo que a vulnerabilidade que o SEPP elimina no 5G não reaparece simplesmente no caminho 4G ao lado.

## Planeando a transição

Trate a segurança do roaming 5G e a segurança da sinalização legada como um único programa, e não como dois. Implemente SEPPs e proteção N32 para roaming independente, mantendo os firewalls SS7 e Diameter totalmente operacionais para todas as outras aplicações, e preste atenção especial à interface onde as mensagens 5G são traduzidas para Diameter e MAP. Para detalhes sobre o protocolo, consulte as nossas referências sobre [Segurança de roaming Diameter (DRA/DEA)](https://www.broadnet.me/reference/diameter-roaming-security-dra-dea), [Ameaças à segurança SS7 e FS.11](https://www.broadnet.me/reference/ss7-security-threats-fs11) e [SS7 vs SIGTRAN](https://www.broadnet.me/reference/ss7-vs-sigtran), bem como as respostas em linguagem simples sobre [Segurança de sinalização Diameter](https://www.broadnet.me/answers/diameter-signaling-security) e [Segurança de sinalização SS7](https://www.broadnet.me/answers/ss7-signaling-security).

## Perguntas frequentes

### O que é o SEPP no 5G?

O Security Edge Protection Proxy (SEPP) é a função de rede que se situa na borda do núcleo 5G e gere toda a sinalização de roaming com outras redes. Cada mensagem entre redes passa por ele através da interface N32. Ele autentica mutuamente o parceiro de roaming e aplica encriptação e proteção de integridade, substituindo a confiança implícita e não autenticada que caracterizava as interconexões SS7 e Diameter.

### Qual a diferença entre TLS e PRINS no N32?

Ambos protegem a troca de sinalização N32-f, mas para topologias diferentes. O TLS é adequado para uma interconexão direta entre dois SEPPs, fornecendo encriptação e autenticação na camada de transporte. O PRINS (Protection of Inter-Network Signalling) é uma segurança de camada de aplicação para caminhos que cruzam intermediários IPX: ele encripta campos sensíveis, permitindo apenas modificações explicitamente autorizadas, de modo que um broker possa intermediar sem ser capaz de falsificar ou ler conteúdo protegido.

### O 5G torna os firewalls SS7 e Diameter obsoletos?

Não, não por anos. O SEPP protege apenas o roaming independente 5G, enquanto a maior parte do tráfego de roaming e mensagens ainda utiliza Diameter e SS7 do 4G, e a interconexão traduz a sinalização 5G de volta para esses protocolos na borda da rede. As diretrizes da GSMA continuam a considerar o firewall SS7 e Diameter como essencial durante toda a transição, portanto, as operadoras executam ambas as defesas em paralelo.

### O que é um ataque de sinalização entre redes?

Trata-se de um ataque que abusa da sinalização de interconexão — SS7, Diameter ou mensagens de roaming 5G — para realizar ações que a rede não deveria permitir, como rastrear a localização de um assinante, intercetar SMS ou chamadas, ou cometer fraude em roaming. Esses ataques exploravam as premissas de confiança do SS7 e do Diameter; o modelo baseado em SEPP do 5G foi projetado para eliminar essas premissas em caminhos de roaming independentes.

## Referências

- 3GPP — TS 33.501, Arquitetura e procedimentos de segurança para o sistema 5G: [3gpp.org](https://www.3gpp.org/DynaReport/33501.htm)
- 3GPP — TS 29.573, Sistema 5G; Interconexão de Rede Móvel Terrestre Pública (PLMN) (N32): [3gpp.org](https://www.3gpp.org/DynaReport/29573.htm)
- GSMA — Recursos de segurança para 5G e interconexões: [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)
- GSMA — Diretrizes de monitorização de segurança de interconexão FS.11 SS7 e FS.19 Diameter: [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)