深度解析 3GPP TS 33.501：6.1.5 Home network triggered primary authentication procedure (归属网络触发的主认证流程)
本文技术原理深度参考了3GPP TS 33.501 V18.9.0 (2025-03) Release 18规范中，关于“6.1.5 Home network triggered primary authentication procedure”的核心章节，旨在为读者深度剖析5G安全中一种主动、由网络侧发起的关键安全机制。
在之前的系列文章中，我们已经深入探讨了由UE（用户设备）发起的认证流程。这就像一个访客（UE）主动敲响一座大厦（网络）的大门，请求进入。然而，在某些情况下，大厦的管理者（归属网络）可能需要主动核查某个已经在楼内活动的访客的身份，例如，进行一次临时的安全抽查，或者需要向其下发一份机密文件前，再次确认其身份。
今天，我们将聚焦于规范中一个极其重要但讨论较少的机制——6.1.5 归属网络触发的主认证流程。这个流程将我们通常的认知“反转”过来：认证的发起者不再是UE，而是网络的“最高指挥部”——归属网络（Home Network）。
理解这一机制，对于我们全面掌握5G安全的动态性和主动防御能力至关重要。它揭示了5G网络不仅仅是被动地响应用户的请求，更能基于自身的安全策略和业务需求，主动地、按需地重塑与用户之间的信任关系。
为了生动地展现这一流程，我们的主角“安安”正在海外漫游，享受着她的假期。而此时，她所签约的国内运营商（归属网络）的核心网工程师“李工”，需要向她的手机推送一份更新后的漫游优选网络列表（Steering of Roaming, SoR），以优化她的漫游体验并降低运营商的成本。这份列表的下发过程必须是绝对安全的。于是，一场由千里之外的“网络大脑”主动发起的“远程身份核查”悄然展开。
1. 6.1.5.1 通用（General）- 为何需要网络主动“查岗”？
首先，规范明确了这一机制的定位和触发条件。
The support of Home Network triggered authentication is optional for the HN and the SN. If both the networks (HN and SN) support Home Network triggered primary authentication, the following clauses apply. The UDM may initiate primary authentication based on procedures initiated by the UE (e.g. UE registration in 5GC) or towards the UE (e.g. SoR/UPU) or events from other NFs, considering the local policy into account as well.
解读：
- 可选的高级特性：这并非一个强制功能。它需要归属网络（HN）和安安当前所在的服务网络（SN）都支持并启用，才能成功执行。这通常是运营商之间高端漫游协议的一部分。
- 触发的“三驾马车”：UDM（统一数据管理），作为归属网络的“大脑”，可以在以下几种情况下决定发起一次主认证：
- 响应UE的动作：例如，UE从4G网络切换进入5G网络并发起注册时，UDM可以根据策略，决定在接受注册前，先强制进行一次5G主认证，以建立一个全新的、更强的安全上下文。
- 为了对UE执行操作：这就是安安和李工遇到的场景。归属网络需要向UE下发敏感数据，如**SoR（漫游引导）列表或UPU（UE参数更新）**数据。在下发前，主动发起一次认证，可以确保接收方是合法的UE，并且建立一个“新鲜”的安全信道来保护这些数据。
- 响应其他网络功能（NF）的事件：例如，一个网络安全分析功能（如NWDAF）检测到某个区域存在异常活动，可能会建议UDM对该区域的所有UE发起一次强制重认证，以刷新密钥，应对潜在威胁。
场景代入： 李工坐在NOC的控制台前，任务是向正在日本漫游的安安推送最新的SoR列表。他解释道：“这份SoR列表非常敏感，如果被篡改，可能会把用户的手机引导到昂贵或质量差的网络上。直接推送风险太高。最好的办法，就是让UDM先命令日本的AMF，对安安的手机进行一次‘突击检查’（主认证）。认证成功后，我们就有了一个刚刚建立的、绝对可信的安全通道，再通过这个通道下发SoR列表，就万无一失了。”
2. 6.1.5.2 安全机制 - 一场“自上而下”的远程指挥
本节通过流程图 Figure 6.1.5.2-1 Home Network triggered primary authentication procedure 详细描述了这场“远程身份核查”是如何一步步实现的。我们将对这个流程进行精细拆解。
阶段一：准备工作（步骤0a, 0b）- 埋下伏笔
Step 0a. The UDM may be pre-configured with an operator authentication policy… Step 0b. The UE registers to the network. As part of the registration, the serving AMF registers the UE with the UDM… The AMF shall provide a callback URI within the AMF registration for the UDM to create an implicit subscription to later notify the AMF…
解读： 在触发认证之前，有两个关键的准备工作已经完成：
- 0a. UDM的策略配置：李工和他的同事们已经为UDM配置好了一系列策略，明确了在何种情况下需要触发重认证（例如，“凡是进行SoR更新，必须先触发重认证”）。
- 0b. AMF的“信使”注册：当安安第一次在日本开机并成功注册时，日本的AMF不仅会通知中国的UDM“安安在我这里”，还会提供一个回调URI（Callback URI）。这个URI就像AMF留给UDM的一个“联系方式”，并隐式地建立了一个订阅关系。它告诉UDM：“如果你以后有任何关于安安的紧急通知，请通过这个地址找到我。” 这个Callback URI是整个自上而下流程能够实现的技术关键。
阶段二：决策与通知（步骤1-3）- 指挥中心发出指令
Step 1a-c. The UDM decides itself based on events (e.g., SoR/UPU or NF requests…) or authentication policy and performs home network triggered primary authentication… Step 2. The UDM sends a Nudm_UECM_Re-AuthenticationNotification message to the AMF/SEAF with the UE’s SUPI.
解读：
- UDM决策（步骤1）：李工在运维系统上点击了“为安安更新SoR列表”的按钮。这个操作触发了UDM的内部策略。UDM检查策略后，做出决定：“需要立即对安安进行重认证”。如果安安同时在3GPP和非3GPP网络下注册了多个AMF，UDM还会根据策略选择一个最合适的AMF来执行这次认证。
- UDM下达指令（步骤2）：UDM通过之前AMF留下的Callback URI，向日本的AMF发送了一条
Nudm_UECM_Re-AuthenticationNotification（UE上下文管理-重认证通知）消息。这条消息非常直接，内容就是：“请立即对SUPI为[安安的SUPI]的用户发起一次主认证。”
Step 3. After receiving the Nudm_UECM_Re-AuthenticationNotification message from the UDM, the AMF/SEAF shall decide whether to run the primary authentication procedure based on its own local authentication policy, and the UE state (e.g. , if the UE is under handover…).
解读： 3. AMF的本地决策（步骤3）：日本的AMF收到了来自中国UDM的“指令”。但AMF并非一个简单的执行者，它拥有本地的“自由裁量权”。它会检查安安手机的当前状态： * 是否正在通话或切换？ 如果手机正处于切换等不稳定状态，立即发起认证可能会导致业务中断。 * 是否已经在进行另一次认证？ 避免并发认证导致的冲突。 * 本地网络策略是否允许？ 例如，在网络极度拥塞时，可能会暂时推迟这种非紧急的认证请求。
如果AMF判断当前时机不合适，它可以向UDM返回一个失败响应。如果它认为可以执行，它就会向UDM确认，并设置一个“认证待办（authentication pending）”的标志，然后进入下一步。
场景代入：
中国的UDM发出了指令。几百毫秒后，日本的AMF收到了这条Re-AuthenticationNotification。AMF检查后发现，安安的手机正处于连接状态，但没有进行任何关键业务。于是，AMF向UDM回复：“指令收到，准备执行。”
阶段三：执行与完成（步骤4）- 复用标准流程
Step 4. The AMF/SEAF starts the primary authentication procedure as defined in clause 6.1.2 of the present document.
解读： 这是整个流程中最巧妙的一点：归属网络触发的认证，其核心执行阶段，完全复用了我们已经熟知的、由UE发起的标准主认证流程。
AMF/SEAF在接受了UDM的指令后，它会“扮演”起认证发起者的角色，主动向UE发送Authentication Request消息，后续的挑战-响应、密钥派生等步骤，与6.1.3节中描述的5G AKA或EAP-AKA’流程完全一致。
唯一的区别是第一声钟由谁敲响：
- UE触发：UE为了“进来”，主动敲门。
- 网络触发：网络为了“办事”，主动上门核查。
场景代入：
日本的AMF接受指令后，立即向AUSF请求了一份新的认证向量，然后将挑战（RAND/AUTN）通过NAS信令发给了安安的手机。安安对此毫无察觉，她的手机在后台自动完成了这次挑战-响应。认证成功后，她的手机和AMF都拥有了一套全新的、刚刚生成的K_AMF密钥。
李工在NOC屏幕上看到，安安的认证状态刚刚刷新。他满意地点点头，现在，他可以放心地通过这条“焕然一新”的安全通道，将加密后的SoR列表安全地推送到安安的手机上了。
3. 总结
本章深入探讨的6.1.5节，为我们揭示了5G安全体系的主动性和前瞻性。它不再是一个“守株待兔”式的被动防御系统，而是一个能够根据策略和需求，主动发起安全动作的动态体系。
- 变被动为主动：将认证的发起权从UE扩展到了网络侧的UDM，使得网络可以根据安全态势、业务需求（如SoR/UPU）和策略，按需刷新与用户之间的安全上下文。
- 技术实现优雅：通过AMF注册时的“Callback URI”机制，巧妙地解决了归属网络如何找到并指令服务网络中特定AMF的难题。
- 流程高度复用：没有发明新的认证协议，而是巧妙地复用了标准的UE认证流程，仅改变了触发点。这大大降低了系统的复杂性，保证了机制的稳定和可靠。
“归属网络触发的主认证流程”如同一把悬在网络之上的“达摩克利斯之剑”，它时刻提醒着所有接入设备，即使你已身在其中，网络的“眼睛”（UDM）也始终在注视着，并随时可以发起一次最高级别的身份核查。这为防范高级欺诈、实现动态安全策略以及保护关键业务数据的下发，提供了强有力的技术保障。
FAQ
Q1：当网络触发一次重认证时，我的手机会有什么提示吗？会影响我正在进行的游戏或视频吗？ A1：对用户来说，整个过程是完全透明和无感的。您的手机不会有任何弹窗或提示。在技术实现上，AMF会选择合适的时机（例如，UE处于连接态但没有高优先级业务时）来发起认证。整个认证信令交互在后台瞬间完成，通常不会对正在进行的游戏或视频产生可察觉的影响。认证成功后，新密钥的启用也是通过平滑的切换机制完成的。
Q2：AMF注册时提供的“Callback URI”是什么？可以把它比作什么？ A2：Callback URI（统一资源标识符）本质上是一个网络地址，指向AMF上一个特定的API端点。你可以把它比作AMF留给UDM的“专属直线电话号码”。当AMF向UDM注册一个UE时，它会说：“这是用户‘安安’，现在由我管理。如果以后你有任何关于她的事需要通知我，请拨打这个专属号码 [Callback URI]。” 这使得UDM可以精确、异步地将指令（如重认证通知）下发给正在为特定UE服务的那个AMF实例。
Q3：如果UDM向AMF发送了重认证指令，但AMF因为某种原因（比如UE关机了）一直无法执行，会发生什么？ A3：这是一个很好的关于异常处理的问题。1) AMF在收到指令后，如果发现UE不可达（例如，已进入离线状态），它会立即向UDM回复一个失败响应，并告知原因（如“UE不可达”）。2) 如果AMF接受了任务但迟迟无法完成（例如，UE暂时失联），UDM的请求通常会有一个超时时间。超时后，UDM会认为这次触发失败。在这些情况下，UDM会根据其策略决定下一步操作，例如：等待UE下次上线时再重新触发，或者暂时中止原计划执行的操作（如下发SoR列表）。
Q4：这个功能和4G时代的“Attach/TAU with IMSI”有什么不同？ A4：有本质区别。4G的“Attach with IMSI”或周期性TAU，其主要目的是网络侧的位置更新和可达性管理，通常是由UE或网络基于定时器来触发，目的是“刷新存在感”。而5G的“归属网络触发的主认证”，其目的不是为了位置管理，而是出于特定的安全或业务策略需求，由归属网络的数据中心（UDM）主动、按需发起。它是一种更高级、更主动、更灵活的安全管理工具，而不仅仅是移动性管理的附带流程。
Q5：除了SoR/UPU，还有哪些实际场景可能会用到这个功能？ A5：还有很多可能的场景：
- 安全告警响应：运营商的安全信息与事件管理（SIEM）系统检测到某种新型攻击，策略中心可以联动UDM，对所有可能受影响的用户群发起强制重认证，以刷新密钥。
- 凭证生命周期管理：如果未来采用了基于证书的认证，当某个用户的证书即将过期或被吊销时，UDM可以主动触发一次重认证，引导用户更新证书。
- 切片准入策略变更：某个高安全等级的网络切片的访问策略发生了变化，网络可以在允许用户下一次进入该切片前，主动触发一次与该切片相关的重认证。
- 计费或策略同步：当用户的计费策略或签约数据有重大变更，需要UE侧进行强同步时，可以通过重认证来确保在一个绝对安全的环境下进行。