сетях 5G роуминговая сигнализация проходит через интерфейс N32 между двумя прокси-серверами защиты периферии сети (SEPP), по одному в каждой сети. SEPP аутентифицирует партнера, а PRINS (защита межсетевой сигнализации) шифрует и обеспечивает целостность сообщений. Это заменяет открытое доверие, которое сделало уязвимыми сети SS7 и Diameter — но только там, где обе сети являются автономными сетями 5G.
Почему SS7 и Diameter были уязвимы для эксплуатации
Протоколы SS7 и Diameter были разработаны для небольшой группы доверенных операторов, поэтому они предполагали, что отправитель сигнального сообщения является тем, за кого себя выдает. Отсутствовала аутентификация на каждом этапе соединения и конфиденциальность на самом межсетевом интерфейсе. Когда число подключенных сторон резко возросло, это неявное доверие стало уязвимым местом для отслеживания местоположения абонентов, перехвата SMS-сообщений и мошенничества в роуминге. Межсетевые экраны для сигнализации и наборы правил GSMA, такие как FS.11 и FS.19, были модернизированы в отрасли — они фильтровали сообщения, которые сами протоколы не могли аутентифицировать.
Как SEPP обеспечивает безопасность роуминга 5G
Технология 5G была разработана с учетом встроенной, а не дополнительной защиты роуминга. Каждая сеть предоставляет прокси-сервер защиты периферии сети (SEPP) на границе своего ядра 5G, и вся межсетевая передача сигналов проходит через него по интерфейсу N32, определенному в архитектуре безопасности 3GPP (TS 33.501). Два SEPP сначала выполняют управляющее рукопожатие N32-c для взаимной аутентификации и согласования защиты, а затем обмениваются фактическими сигналами по интерфейсу N32-f.
Защита в сети N32-f осуществляется в двух режимах. В местах прямого взаимодействия операторов TLS обеспечивает шифрование и аутентификацию данных на транспортном уровне. В местах, где посредникам IPX необходимо считывать или изменять определенные поля — для маршрутизации или посредничества — PRINS (Защита межсетевой сигнализации) применяет безопасность на уровне приложений: она шифрует конфиденциальные информационные элементы, разрешая только явно допустимые изменения, так что посредник может выполнять свою работу, не имея возможности подделать или прочитать то, что ему не следует. В результате партнер аутентифицирован, а целостность сообщения защищена, чего как раз и не хватало SS7 и Diameter.
SS7/Diameter против 5G SEPP роуминговой безопасности
| Свойство | SS7 / Соединительный кабель диаметром | Роуминг 5G через SEPP |
|---|---|---|
| Аутентификация одноранговых узлов | Неявно, в значительной степени отсутствует | Взаимное, посредством рукопожатия N32-c |
| Конфиденциальность | В режиме межсоединения по умолчанию отсутствует | TLS или PRINS на N32-f |
| Защита целостности | Никаких присущих | Криптографическое покрытие от начала до конца в рамках IPX |
| Обработка промежуточных этапов | Полная видимость и возможность внесения изменений. | Только явно разрешенные изменения полей (PRINS) |
| Первичная защита | Межсетевой экран сигнализации (FS.11 / FS.19) | Встроенная защита протокола + политика SEPP |
Переход заключается в переходе от простого добавления фильтра к ненадежному протоколу к использованию протокола, который по своей сути обеспечивает аутентификацию и защиту. Но это справедливо только в том случае, если обе стороны действительно обмениваются данными.
Почему вам по-прежнему нужны межсетевые экраны SS7 и Diameter в 2026 году
SEPP обеспечивает безопасность автономного роуминга между сетями 5G. Однако он никак не решает проблему огромного объема трафика, который по-прежнему проходит через старые архитектуры, и этот трафик в ближайшее время никуда не денется.
- Неавтономные сети 5G и огромная база установленных сетей 4G, 3G и 2G по-прежнему зависят от Diameter и SS7 для роуминга и обмена сообщениями.
- Взаимодействие между сетями 5G и устаревшими ядрами сети означает, что сигналы преобразуются обратно в Diameter/MAP на границе, что вновь открывает доступ к старым уязвимостям.
- Партнеры по роумингу переходят на новые сети в разное время, поэтому современная сеть продолжает обмениваться данными с устаревшими партнерами, которые не обновили свою систему.
- В рекомендациях GSMA межсетевые экраны SS7 и Diameter по-прежнему рассматриваются как необходимые на протяжении переходного периода, который длится не месяцы, а годы.
В период перехода вы защищаете сразу два мира. Межсетевые экраны BroadNet SS7 firewall и SMS firewall защищают устаревшую сеть межсетевого соединения, по которой до сих пор проходит большая часть роумингового и мессенджерного трафика, поэтому уязвимость, которую SEPP устраняет в сети 5G, не просто вновь появляется на соседнем участке сети 4G.
Планирование перехода
Рассматривайте безопасность роуминга 5G и безопасность устаревших сигнальных систем как единую программу, а не как две отдельные. Внедрите SEPP и защиту N32 для автономного роуминга, сохраняя при этом полную работоспособность межсетевых экранов SS7 и Diameter для всего остального, и уделите особое внимание границе взаимодействия, где сообщения 5G преобразуются в Diameter и MAP. Для получения подробной информации о протоколе см. наши ссылки по Безопасность роуминга Diameter (DRA/DEA), Угрозы безопасности SS7 и FS.11 и SS7 против SIGTRAN, а также ответы на вопросы простым языком по Безопасность сигнализации Diameter и Безопасность сигнализации SS7.
Часто задаваемые вопросы
Что такое SEPP в 5G?
Функция Security Edge Protection Proxy (SEPP) — это сетевая функция, расположенная на границе ядра 5G и обрабатывающая все сигналы роуминга с другими сетями. Каждое сообщение между сетями проходит через него по интерфейсу N32. Она обеспечивает взаимную аутентификацию роумингового партнера и применяет шифрование и защиту целостности, заменяя неявное, неаутентифицированное доверие, характерное для межсетевых соединений SS7 и Diameter.
В чём разница между TLS и PRINS на N32?
Оба протокола защищают обмен сигналами N32-f, но для разных топологий. TLS подходит для прямого соединения между двумя SEPP, обеспечивая шифрование и аутентификацию на транспортном уровне. PRINS (Protection of Inter-Network Signalling) — это защита на уровне приложений для путей, проходящих через посредников IPX: она шифрует конфиденциальные поля, разрешая только явно авторизованные изменения, поэтому брокер может выступать посредником, не имея возможности подделать или прочитать защищенное содержимое.
Делает ли 5G межсетевые экраны SS7 и Diameter устаревшими?
Нет, не в течение многих лет. SEPP обеспечивает безопасность только автономного роуминга 5G, в то время как большая часть роумингового и мессенджерного трафика по-прежнему использует протоколы 4G Diameter и SS7, а взаимодействие между ними преобразует сигналы 5G обратно в эти протоколы на границе сети. В рекомендациях GSMA межсетевые экраны SS7 и Diameter по-прежнему рассматриваются как необходимые на протяжении всего переходного периода, поэтому операторы используют обе системы защиты параллельно.
Что такое межсетевая атака с использованием сигналов?
Это атака, которая использует уязвимости в межсетевой сигнализации — SS7, Diameter или сообщениях роуминга 5G — для совершения действий, которые сеть не должна разрешать, таких как отслеживание местоположения абонента, перехват SMS-сообщений или звонков, или совершение мошенничества в роуминге. Эти атаки эксплуатируют предположения о доверии, лежащие в основе SS7 и Diameter; модель 5G, основанная на SEPP, разработана для устранения этих предположений на автономных роуминговых каналах.
Ссылки
- 3GPP — TS 33.501, Архитектура безопасности и процедуры для системы 5G: 3gpp.org
- 3GPP — TS 29.573, Система 5G; Межсетевое соединение общедоступных наземных мобильных сетей (PLMN) (N32): 3gpp.org
- GSMA — Ресурсы по безопасности 5G и межсетевых соединений: gsma.com
- GSMA — Рекомендации по мониторингу безопасности межсоединений FS.11 SS7 и FS.19 Diameter: gsma.com