# Безопасность роуминга 5G в 2026 году: SEPP, PRINS и жизнь после доверия SS7/Diameter

> 5G заменяет неявное доверие, обеспечиваемое межсетевыми экранами SS7 и Diameter, аутентифицированным и зашифрованным роуминговым интерфейсом. Вот как SEPP и PRINS обеспечивают безопасность канала N32, и почему межсетевые экраны SS7/Diameter по-прежнему важны в 2026 году.

- Канонический URL: https://www.broadnet.me/ru/blog/5g-roaming-security-sepp-prins-2026
- Язык: ru
- Последнее обновление: 2026-08-08
- Издатель: BroadNet (https://www.broadnet.me)

- Опубликовано: 2026-07-05
- Автор: BroadNet Operator Solutions

В сетях 5G роуминговая сигнализация проходит через интерфейс N32 между двумя прокси-серверами защиты периферии сети (SEPP), по одному в каждой сети. SEPP аутентифицирует партнера, а PRINS (защита межсетевой сигнализации) шифрует и обеспечивает целостность сообщений. Это заменяет открытое доверие, которое сделало уязвимыми сети SS7 и Diameter — но только там, где обе сети являются автономными сетями 5G.

## Почему SS7 и Diameter были уязвимы для эксплуатации

Протоколы SS7 и Diameter были разработаны для небольшой группы доверенных операторов, поэтому они предполагали, что отправитель сигнального сообщения является тем, за кого себя выдает. Отсутствовала аутентификация на каждом этапе соединения и конфиденциальность на самом межсетевом интерфейсе. Когда число подключенных сторон резко возросло, это неявное доверие стало уязвимым местом для отслеживания местоположения абонентов, перехвата SMS-сообщений и мошенничества в роуминге. Межсетевые экраны для сигнализации и наборы правил GSMA, такие как FS.11 и FS.19, были модернизированы в отрасли — они фильтровали сообщения, которые сами протоколы не могли аутентифицировать.

## Как SEPP обеспечивает безопасность роуминга 5G

Технология 5G была разработана с учетом встроенной, а не дополнительной защиты роуминга. Каждая сеть предоставляет прокси-сервер защиты периферии сети (SEPP) на границе своего ядра 5G, и вся межсетевая передача сигналов проходит через него по интерфейсу N32, определенному в архитектуре безопасности 3GPP (TS 33.501). Два SEPP сначала выполняют управляющее рукопожатие N32-c для взаимной аутентификации и согласования защиты, а затем обмениваются фактическими сигналами по интерфейсу N32-f.

Защита в сети N32-f осуществляется в двух режимах. В местах прямого взаимодействия операторов TLS обеспечивает шифрование и аутентификацию данных на транспортном уровне. В местах, где посредникам IPX необходимо считывать или изменять определенные поля — для маршрутизации или посредничества — PRINS (Защита межсетевой сигнализации) применяет безопасность на уровне приложений: она шифрует конфиденциальные информационные элементы, разрешая только явно допустимые изменения, так что посредник может выполнять свою работу, не имея возможности подделать или прочитать то, что ему не следует. В результате партнер аутентифицирован, а целостность сообщения защищена, чего как раз и не хватало SS7 и Diameter.

## SS7/Diameter против 5G SEPP роуминговой безопасности

| Свойство | SS7 / Соединительный кабель диаметром | Роуминг 5G через SEPP |
|---|---|---|
| Аутентификация одноранговых узлов | Неявно, в значительной степени отсутствует | Взаимное, посредством рукопожатия N32-c |
| Конфиденциальность | В режиме межсоединения по умолчанию отсутствует | TLS или PRINS на N32-f |
| Защита целостности | Никаких присущих | Криптографическое покрытие от начала до конца в рамках IPX |
| Обработка промежуточных этапов | Полная видимость и возможность внесения изменений. | Только явно разрешенные изменения полей (PRINS) |
| Первичная защита | Межсетевой экран сигнализации (FS.11 / FS.19) | Встроенная защита протокола + политика SEPP |

Переход заключается в переходе от простого добавления фильтра к ненадежному протоколу к использованию протокола, который по своей сути обеспечивает аутентификацию и защиту. Но это справедливо только в том случае, если обе стороны действительно обмениваются данными.

## Почему вам по-прежнему нужны межсетевые экраны SS7 и Diameter в 2026 году

SEPP обеспечивает безопасность автономного роуминга между сетями 5G. Однако он никак не решает проблему огромного объема трафика, который по-прежнему проходит через старые архитектуры, и этот трафик в ближайшее время никуда не денется.

- Неавтономные сети 5G и огромная база установленных сетей 4G, 3G и 2G по-прежнему зависят от Diameter и SS7 для роуминга и обмена сообщениями.
- Взаимодействие между сетями 5G и устаревшими ядрами сети означает, что сигналы преобразуются обратно в Diameter/MAP на границе, что вновь открывает доступ к старым уязвимостям.
- Партнеры по роумингу переходят на новые сети в разное время, поэтому современная сеть продолжает обмениваться данными с устаревшими партнерами, которые не обновили свою систему.
- В рекомендациях GSMA межсетевые экраны SS7 и Diameter по-прежнему рассматриваются как необходимые на протяжении переходного периода, который длится не месяцы, а годы.

> В период перехода вы защищаете сразу два мира. Межсетевые экраны BroadNet [SS7 firewall](https://www.broadnet.me/operators/ss7-firewall) и [SMS firewall](https://www.broadnet.me/operators/sms-firewall) защищают устаревшую сеть межсетевого соединения, по которой до сих пор проходит большая часть роумингового и мессенджерного трафика, поэтому уязвимость, которую SEPP устраняет в сети 5G, не просто вновь появляется на соседнем участке сети 4G.

## Планирование перехода

Рассматривайте безопасность роуминга 5G и безопасность устаревших сигнальных систем как единую программу, а не как две отдельные. Внедрите SEPP и защиту N32 для автономного роуминга, сохраняя при этом полную работоспособность межсетевых экранов SS7 и Diameter для всего остального, и уделите особое внимание границе взаимодействия, где сообщения 5G преобразуются в Diameter и MAP. Для получения подробной информации о протоколе см. наши ссылки по [Безопасность роуминга Diameter (DRA/DEA)](https://www.broadnet.me/reference/diameter-roaming-security-dra-dea), [Угрозы безопасности SS7 и FS.11](https://www.broadnet.me/reference/ss7-security-threats-fs11) и [SS7 против SIGTRAN](https://www.broadnet.me/reference/ss7-vs-sigtran), а также ответы на вопросы простым языком по [Безопасность сигнализации Diameter](https://www.broadnet.me/answers/diameter-signaling-security) и [Безопасность сигнализации SS7](https://www.broadnet.me/answers/ss7-signaling-security).

## Часто задаваемые вопросы

### Что такое SEPP в 5G?

Функция Security Edge Protection Proxy (SEPP) — это сетевая функция, расположенная на границе ядра 5G и обрабатывающая все сигналы роуминга с другими сетями. Каждое сообщение между сетями проходит через него по интерфейсу N32. Она обеспечивает взаимную аутентификацию роумингового партнера и применяет шифрование и защиту целостности, заменяя неявное, неаутентифицированное доверие, характерное для межсетевых соединений SS7 и Diameter.

### В чём разница между TLS и PRINS на N32?

Оба протокола защищают обмен сигналами N32-f, но для разных топологий. TLS подходит для прямого соединения между двумя SEPP, обеспечивая шифрование и аутентификацию на транспортном уровне. PRINS (Protection of Inter-Network Signalling) — это защита на уровне приложений для путей, проходящих через посредников IPX: она шифрует конфиденциальные поля, разрешая только явно авторизованные изменения, поэтому брокер может выступать посредником, не имея возможности подделать или прочитать защищенное содержимое.

### Делает ли 5G межсетевые экраны SS7 и Diameter устаревшими?

Нет, не в течение многих лет. SEPP обеспечивает безопасность только автономного роуминга 5G, в то время как большая часть роумингового и мессенджерного трафика по-прежнему использует протоколы 4G Diameter и SS7, а взаимодействие между ними преобразует сигналы 5G обратно в эти протоколы на границе сети. В рекомендациях GSMA межсетевые экраны SS7 и Diameter по-прежнему рассматриваются как необходимые на протяжении всего переходного периода, поэтому операторы используют обе системы защиты параллельно.

### Что такое межсетевая атака с использованием сигналов?

Это атака, которая использует уязвимости в межсетевой сигнализации — SS7, Diameter или сообщениях роуминга 5G — для совершения действий, которые сеть не должна разрешать, таких как отслеживание местоположения абонента, перехват SMS-сообщений или звонков, или совершение мошенничества в роуминге. Эти атаки эксплуатируют предположения о доверии, лежащие в основе SS7 и Diameter; модель 5G, основанная на SEPP, разработана для устранения этих предположений на автономных роуминговых каналах.

## Ссылки

- 3GPP — TS 33.501, Архитектура безопасности и процедуры для системы 5G: [3gpp.org](https://www.3gpp.org/DynaReport/33501.htm)
- 3GPP — TS 29.573, Система 5G; Межсетевое соединение общедоступных наземных мобильных сетей (PLMN) (N32): [3gpp.org](https://www.3gpp.org/DynaReport/29573.htm)
- GSMA — Ресурсы по безопасности 5G и межсетевых соединений: [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)
- GSMA — Рекомендации по мониторингу безопасности межсоединений FS.11 SS7 и FS.19 Diameter: [gsma.com](https://www.gsma.com/solutions-and-impact/technologies/security/)