51学通信

深度解析 3GPP TS 33.501：Annex X-AA (网络自动化、物联网与ATSSS安全)

17分钟阅读

好的，我们继续深入解读3GPP TS 33.501规范。

深度解析 3GPP TS 33.501：Annex X-AA (网络自动化、物联网与ATSSS安全)

本文技术原理深度参考了3GPP TS 33.501 V18.9.0 (2025-03) Release 18规范中，关于“Annex X: Security aspects of enablers for Network Automation (eNA)”、“Annex Y: Security aspects of the Message Service for MIoT over the 5G System (MSGin5G)”、“Annex Z: Authentication of AUN3 devices using additional EAP methods”以及“Annex AA: Security aspects of the Access Traffic Steering, Switching and Splitting (ATSSS)”的核心章节，旨在为读者深入剖析5G安全体系如何为网络智能化、海量物联网消息服务以及多接入聚合等前沿技术提供坚实的安全保障。

随着我们对3GPP TS 33.501规范的解读之旅接近尾声，我们越来越多地接触到那些为5G“锦上添花”的前沿与高级特性。这些位于附录区的规范性章节，不仅展现了5G安全框架的与时俱进，更预示了未来网络演进的方向。

今天，我们将解读规范的最后几个核心附录：附录X、Y、Z和AA。这四个附录，如同5G安全武器库中的“未来战士”，分别为四个极具前瞻性的技术领域，提供了专属的安全设计：

  • 附录X (网络自动化安全)：当5G网络开始引入人工智能（AI/ML），变得越来越“聪明”时，如何确保这些“智能大脑”（如NWDAF）之间的数据与分析交换是安全可信的？
  • 附录Y (MIoT消息服务安全)：针对海量、低功耗的物联网设备（MIoT），5G如何提供一种超轻量级的、类似MQTT的消息推送服务，并保障其安全？
  • 附录Z (AUN3设备认证)：对于那些连接在5G-RG（家庭网关）背后的、更传统的物联网设备（AUN3），5G如何将其纳入统一的认证体系？
  • 附录AA (ATSSS安全)：当手机可以同时利用5G和Wi-Fi的带宽进行“双路狂飙”时（ATSSS），如何确保这条“融合车道”的服务器是可信的？

为了贯穿这些场景，我们的主角将全面升级。核心网工程师“李工”正在部署一套先进的网络数据分析功能（NWDAF），以实现网络的智能运维。运营商正在为城市中的数百万个智能水表，推广一种新的MSGin5G消息服务。安安家里新装的智能家居套件，其中的传感器（AUN3设备）需要通过她的5G家庭网关进行认证。最后，安安的最新款手机，支持ATSSS功能，可以在观看超高清视频时，智能地聚合5G和Wi-Fi的流量。

1. Annex X: 网络自动化(eNA)安全 - 守护“智能大脑”的对话

eNA（Enablers for Network Automation，网络自动化使能）是5G-Advanced引入的核心特性之一，其关键网元是NWDAF（网络数据分析功能）。NWDAF通过收集、分析全网数据，为网络优化、故障预测、安全态势感知等提供智能决策。附录X的核心任务，就是保护NWDAF这个“智能大脑”及其数据源之间的数据和分析结果的交换安全。

X.8.1 General The protection of data and analytics exchange in roaming case including authorization and anonymization of data/analytics:

  • Authorization at data and analytics level is enforced by the roaming entry NWDAF producer.
  • The roaming entry NWDAF producer is responsible to control the amount of exposed data/analytics and to abstract or hide internal network aspects…

核心思想：基于SBA的增强授权与数据最小化

  1. 复用SBA安全：NWDAF之间的交互（一个NWDAF作为消费者，向另一个作为生产者的NWDAF请求分析结果），完全建立在第13章定义的SBA安全框架之上。这意味着，它们之间的通信必须经过mTLS双向认证和OAuth 2.0令牌授权。
  2. 增强的授权——Analytics ID：为了实现更精细的控制，附录X在OAuth 2.0的“scope”基础上，引入了一个新的概念——Analytics ID。
    • 当NWDAF消费者向NRF请求访问令牌时，它可以在请求中明确指出它想要的“分析服务ID”。
    • NRF在签发令牌时，会将授权的Analytics ID列表作为令牌的一个claim（声明）。
    • NWDAF生产者在收到请求时，会严格校验令牌中的Analytics ID，确保消费者只请求了其有权访问的分析结果。
  3. 数据脱敏与匿名化：尤其在漫游场景下，规范强制要求作为数据提供方的NWDAF生产者，必须有能力对其暴露的分析结果进行抽象、隐藏或匿名化处理，以保护其网络的内部拓扑和用户隐私。

场景代入： 李工部署的vNWDAF（在漫游网络）需要从安安归属网络的hNWDAF获取关于漫游用户拥塞模式的分析。

  1. vNWDAF首先向hNRF请求一个Access Token，请求的scope是nnwdaf_analyticsinfo，并指定Analytics ID = 'roaming_congestion_pattern'。
  2. hNRF验证vNWDAF的权限后，签发了一个包含该Analytics ID的Token。
  3. vNWDAF向hNWDAF发起请求，并携带此Token。
  4. hNWDAF验证Token后，执行分析。在返回结果时，它会将具体的基站ID、小区ID等内部信息，抽象为“A区域”、“B区域”，并将用户身份进行匿名化处理，只返回统计性的拥塞模式数据，而不会泄露任何网络细节和用户隐私。

2. Annex Y: MSGin5G安全 - 物联网的“加密信鸽”

MSGin5G（Message Service for MIoT over the 5G System）是为海量物联网终端（MIoT, Massive IoT）设计的一种超轻量级消息服务。它提供了一种类似于MQTT的、基于发布/订阅模型的消息交换能力，非常适合资源极其受限的设备。

Y.2 Authentication and authorization between MSGin5G client and MSGin5G Server The Authentication and authorization between MSGin5G Client and MSGin5G Server shall be based on AKMA, which is specified in TS 33.535.

核心思想：基于AKMA的无缝认证与传输加密 **AKMA（Authentication and Key Management for Applications，面向应用的认证和密钥管理）**是5G提供的一种通用应用层认证框架。它允许UE在完成5G主认证后，利用派生出的密钥，无缝地、无需再次输入密码地认证到各种应用服务器。

  1. AKMA认证：MSGin5G的客户端（在UE中）与MSGin5G服务器之间的认证，必须基于AKMA框架。
    • UE在主认证成功后，会从K_AMF派生出一个应用密钥K_AKMA。
    • 当UE首次连接MSGin5G服务器时，它会使用K_AKMA和服务器进行一次挑战-应答，生成会话密钥K_AF。
    • MSGin5G服务器则从UDM获取用户的AKMA签约数据，并与AUSF交互，完成对UE的验证。
  2. 传输层保护：一旦AKMA认证成功，UE和MSGin5G服务器之间会使用派生出的会话密钥K_AF，建立一个TLS或DTLS会话。后续所有的消息（发布、订阅、通知），都在这条加密隧道中传输。

场景代入： 城市中的“水务监测器-01”，需要向物联网平台（应用服务器）上报一次水位数据。

  1. 监测器首先通过5G网络完成主认证。
  2. 它向MSGin5G服务器（作为AKMA AF）发起连接请求。
  3. 一场基于AKMA的认证在后台自动完成，监测器和服务器都拥有了相同的会话密钥。
  4. 双方使用该密钥建立起一个轻量级的DTLS加密会话。
  5. 监测器将“水位：5.3米”这条消息，加密后发布到“/sensors/water/level”这个主题上。
  6. 物联网平台（已订阅该主题）通过安全的SBI接口从MSGin5G服务器处接收到这条解密后的消息。

MSGin5G通过绑定AKMA，为海量物联网设备提供了一种“一次认证，全局通用”的、兼具高安全和低开销的消息服务方案。

3. Annex Z & U: AUN3/EAP-TTLS - 专网认证的更多“选项”

这两个附录进一步丰富了5G专网的认证手段。

  • Annex Z (AUN3设备认证)：AUN3指的是“不可信的非3GPP设备”，通常指连接在5G-RG（家庭/企业网关）背后的、不支持5G NAS的传统物联网设备。附录Z规定，这类设备可以通过其“代理人”5G-RG，向核心网发起认证。认证方法可以是5G AKA’，也可以是其他EAP方法。
  • Annex U (EAP-TTLS)：EAP-TTLS是一种常用的EAP方法，它先建立一个TLS隧道，然后在隧道内通过更传统的、基于用户名/密码的挑战-应答（如MS-CHAPv2）来认证用户。附录U以信息性的方式，给出了在SNPN中使用EAP-TTLS进行主认证的参考流程。

这两个附录的核心思想，与我们在附录I中讨论的专网安全一脉相承：利用EAP框架的强大灵活性，将5G的认证前端与企业现有的各种身份认证系统进行对接。它们为企业将种类繁多的存量物联网设备和传统的密码认证体系，平滑地迁移到5G专网中，提供了标准化的路径。

4. Annex AA: ATSSS安全 - “双路聚合”的信任基石

ATSSS（Access Traffic Steering, Switching and Splitting，接入流量导向、切换与分流）是5G的一项高级特性。它允许一个UE同时使用多种接入网络（如5G和Wi-Fi），并将一个IP流（如一个视频流）的流量在这两条路径上进行智能地分流或聚合，以获得更高的带宽和更低的延迟。

AA.2 Server authentication for MPQUIC in ATSSS When multipath QUIC (MPQUIC) steering functionality is used for ATSSS, RFC 9001 mandates the use of TLS to secure QUIC. NOTE: TLS server authentication based on X.509 certificates can be selected for authentication of the MPQUIC Proxy in the UPF…

核心思想：基于证书的MP-QUIC代理认证 ATSSS的实现，通常基于一个名为**MP-QUIC（Multipath QUIC）**的协议。

  • 架构：UE上有一个MP-QUIC客户端，而在核心网的UPF中，有一个MP-QUIC代理。UE同时向5G和Wi-Fi的接入点发送QUIC包，这些包最终都会汇聚到UPF的这个代理上，由代理进行重排序和合并，再发往互联网。
  • 安全要求：附录AA（规范性）的核心要求是：UE必须对UPF中的这个MP-QUIC代理进行认证。
  • 实现方式：认证必须使用TLS（因为QUIC协议内置了TLS 1.3）。最常见的方式，就是基于X.509证书的服务器认证。UPF的MP-QUIC代理需要拥有一个合法的服务器证书，UE在建立MP-QUIC连接时，会验证该证书的有效性，以确保自己连接到的是一个合法的、未经冒充的运营商UPF代理。

场景代入： 安安正在手机上观看8K超高清VR直播，她手机的ATSSS功能被激活了。

  1. 手机的MP-QUIC客户端，分别通过5G和Wi-Fi两条路径，向运营商UPF中MP-QUIC代理的同一个IP地址发起连接。
  2. 在建立连接的初始阶段，UPF代理向UE出示了自己的服务器证书。
  3. UE的操作系统验证了该证书是由可信的CA签发的，且域名等信息正确无误，确认了代理的身份。
  4. 安全的MP-QUIC连接建立。
  5. 直播视频流的数据包，一部分被标记后通过5G发送，另一部分被标记后通过Wi-Fi发送。
  6. UPF的代理收到这两路数据包后，将它们重新组合成原始的视频流，发往视频服务器。 通过强制要求对MP-QUIC代理进行认证，5G确保了ATSSS这条“融合高速公路”的入口是安全可信的。

5. 总结

本章我们速览了规范最后的几个核心附录，它们如同一扇扇窗，让我们窥见了5G安全体系如何拥抱智能化、物联网化和融合化的未来。

  • 网络自动化安全 (X)：通过引入Analytics ID等增强授权机制，为“智能网络”的数据交换提供了精细、安全的访问控制。
  • 物联网安全 (Y, Z, U)：通过AKMA、EAP代理等多种灵活的认证方案，为不同能力、不同场景下的海量物联网设备，提供了可伸缩、可适配的安全接入路径。
  • 多接入融合安全 (AA)：通过强制性的服务器认证，为ATSSS这种先进的多路径传输技术，奠定了坚实的信任基石。

至此，我们对3GPP TS 33.501主体框架和核心附录的深度解读就告一段落了。从UE的SUCI，到核心网的SBA，再到专网的EAP-TLS，我们共同完成了一次对5G安全体系的全面探索。我们看到，5G安全远不止于更强的加密算法，它是一整套集架构、协议、流程、密码学和策略于一体的、动态的、可演进的宏伟工程。它既有“国家级”安全工程的严谨与纵深，又不失互联网技术的灵动与开放，是现代通信与信息安全思想的完美结晶。

关系图谱