51学通信

深度解析 3GPP TS 33.401：核心纲要与安全架构全景 (SAE Security Architecture)

36分钟阅读

深度解析 3GPP TS 33.401：核心纲要与安全架构全景 (SAE Security Architecture)

本文技术原理深度参考了3GPP TS 33.401 V18.3.0 (2025-03) Release 18规范，旨在为读者提供一个关于4G演进分组系统（EPS）安全架构的、结构化、体系化的全景视图。本文将作为后续逐章深度拆解的纲领性文章。

欢迎来到我们的3GPP规范深度解析系列。作为开篇之作，我们将一同探索移动通信领域安全体系的基石——TS 33.401。这份规范定义了4G LTE（及其演进）时代的安全架构，不仅守护着全球数十亿用户的通信秘密，也为后续5G安全的设计奠定了坚实的基础。对于任何希望深入理解现代通信网络安全的工程师或学生而言，彻底读懂3GPP TS 33.401都是一门必修课。

为了让这次技术之旅不再枯燥，我们将跟随一位名叫“小明”的普通4G用户，通过他一天中的通信足迹，来具象化地理解这份规范中那些略显抽象的安全概念是如何在我们身边悄然运作的。

1. 时代的选择：为什么需要TS 33.401？

在小明享受4G网络带来的便捷之前，移动通信经历了2G（GSM）和3G（UMTS）时代。2G时代的安全机制存在一些固有缺陷，例如单向认证（只有网络认证用户，用户无法确认网络的真伪），这为“伪基站”攻击留下了空间。此外，其加密算法在今天的计算能力面前也已显得脆弱。

3G时代引入了重要的双向认证机制（AKA - Authentication and Key Agreement），大大提升了安全性。然而，随着智能手机的普及和移动互联网的爆发，网络架构开始向全IP化（All-IP）演进，这就是4G LTE所处的演进分组系统（EPS）时代。全IP网络意味着数据包像在互联网上一样自由流动，这带来了前所未有的灵活性和效率，同时也暴露了新的攻击面。

因此，3GPP必须设计一套全新的、能够应对全IP网络挑战的安全体系。TS 33.401应运而生，它的核心使命是：在提供高速、无缝移动宽带体验的同时，构建一个分层、纵深、端到端的安全防护体系，确保用户身份、信令、数据的机密性和完整性，并保护网络基础设施本身的安全。

2. 宏伟蓝图：TS 33.401构建的安全大厦

规范在第4章 Overview of Security Architecture 中，为我们描绘了一张宏大的安全蓝图。我们可以将其理解为一座由五大安全支柱支撑起来的坚固大厦。

规范原文中的“Figure 4-1: Overview of the security architecture”为我们展示了这五大安全特性组（Security Feature Groups）是如何协同工作的。这张图虽然简洁，却涵盖了从用户终端（ME+USIM）到接入网（AN）、再到核心网（SN/HE）的完整安全视图。

  • Network access security (I): the set of security features that provide users with secure access to services, and which in particular protect against attacks on the (radio) access link.
  • Network domain security (II): the set of security features that enable nodes to securely exchange signalling data, user data (between AN and SN and within AN), and protect against attacks on the wireline network.
  • User domain security (III): the set of security features that secure access to mobile stations.
  • Application domain security (IV): the set of security features that enable applications in the user and in the provider domain to securely exchange messages.
  • Visibility and configurability of security (V): the set of features that enables the user to inform himself whether a security feature is in operation or not and whether the use and provision of services should depend on the security feature.

让我们通过小明的视角来理解这五大支柱：

  • 网络接入安全 (I - Network Access Security)：这是最前线的战场。当小明的手机开机，试图连接到运营商网络时，这一组安全特性就开始工作。它要确保小明是合法的签约用户（身份认证），同时也要让小明的手机确认连接的是真实的运营商网络，而非伪基站。连接建立后，小明在手机和基站之间的所有通信，无论是刷短视频还是发送微信，其空口数据都需要被加密和保护，防止被窃听和篡改。这是TS 33.401的重点内容，贯穿了第5、6、7章。

  • 网络域安全 (II - Network Domain Security)：小明的数据包通过无线电波到达基站（AN）后，并不会直接飞到互联网。它需要在运营商的内部网络（核心网SN）中穿行，经过多个网络设备（如MME, S-GW等）。网络域安全就是确保这些网络设备之间通信链路的安全，防止有攻击者侵入运营商的内部传输网络来窃取或篡改信息。这主要通过在设备间建立IPsec安全隧道来实现，对应规范的第11、12、13章。

  • 用户域安全 (III - User Domain Security)：这是保护小明手机这个“移动站”本身的安全。核心在于USIM卡。USIM卡是小明在网络中身份的物理载体，它安全地存储着用于认证的永久密钥（K）。用户域安全确保了只有通过了USIM卡的认证，手机的核心通信功能才能被激活，防止了SIM卡被复制或盗用。

  • 应用域安全 (IV - Application Domain Security)：这一层更贴近小明使用的App。当小明使用手机银行或进行在线支付时，通信安全不仅依赖于运营商提供的底层网络安全，还需要App本身和银行服务器之间建立独立的安全通道（如HTTPS/TLS）。TS 33.401指出了这一层安全的存在，但其具体实现由应用本身和上层协议栈负责，并非本规范的主要范畴。

  • 安全的可视性与可配置性 (V - Visibility and Configurability of Security)：这一点关乎用户的知情权。例如，小明的手机屏幕上可能会出现一个小锁的图标，告诉他当前的通话是否被加密。虽然在实践中这种显示并不常见，但规范定义了这样的能力，允许用户了解安全特性的运行状态。

这五大支柱共同协作，为小明的每一次网络交互都提供了从端到端的、层层递进的安全保障。在接下来的章节中，我们将深入这座大厦的内部，探寻其最关键的承重结构。

3. 信任的起点：认证与密钥协商 (AKA)

清晨，小明醒来，打开了他的手机。屏幕亮起，信号格从无到有，最终稳定在“4G+”。在这短短几秒钟内，一场复杂而精密的“信任握手”正在他的手机和运营商核心网之间悄然进行。这就是EPS AKA（Authentication and Key Agreement）过程，是整个EPS安全体系的基石，详细规定在规范第6.1节。

3.1 AKA流程：一场无声的身份对质

AKA的目标是双向认证：网络要确认小明的合法性，小明的手机也要确认网络的合法性。这个过程的核心，是存储在小明USIM卡和运营商核心网HSS（Home Subscriber Server，可以理解为用户的终极数据库）中那个神圣不可侵犯的共享密钥——K。

The MME sends to the USIM via ME the random challenge RAND and an authentication token AUTN for network authentication… At receipt of this message, the USIM shall verify the freshness of the authentication vector by checking whether AUTN can be accepted… If so, the USIM computes a response RES. USIM shall compute CK and IK which are sent to the ME.

整个流程可以被比作一场精心设计的“对暗号”：

  1. 发起挑战：当小明的手机（UE）发起附着（Attach）请求时，核心网的MME（Mobility Management Entity）会向HSS请求一组认证向量（AV）。HSS利用共享密钥K和一系列加密算法，生成一个包含“挑战”（RAND）和“网络认证令牌”（AUTN）的认证向量，并发送给MME。

  2. 验证网络：MME将RAND和AUTN发给小明的手机。手机将它们透传给USIM卡。USIM卡是这场对质的主角，它利用自己存储的密钥K和收到的RAND，独立计算出一个期望的认证令牌XAUTN。然后，它将XAUTN与收到的AUTN进行比较。如果一致，就证明网络是合法的，因为它拥有正确的密钥K。这是防止伪基站攻击的关键一步。

  3. 生成响应：网络身份验证通过后，USIM卡会用K和RAND计算出一个响应值RES，以及两个关键的会话密钥：加密密钥CK和完整性密钥IK。RES通过手机回传给MME。

  4. 验证用户：MME将收到的RES与HSS预先计算好的期望响应XRES进行比较。如果两者一致，MME就确认了小明的用户身份是合法的。

规范中的“Figure 6.1.1-1: Successful EPS AKA authentication”清晰地描绘了这个请求-响应过程。通过这场双向验证，小明的手机和网络建立起了信任关系。但AKA的意义远不止于此，它的另一个名字“密钥协商”揭示了更深远的价值。

3.2 密钥的“祖先”：KASME与EPS密钥体系

在AKA过程中，USIM卡和HSS都生成了会话密钥CK和IK。然而，这些密钥并不会直接用于后续的通信加密。TS 33.401设计了一套精妙的密钥派生体系，其目的是将不同层次、不同用途的密钥进行隔离，从而最小化安全风险。

As a result of the authentication and key agreement, an intermediate key KASME shall be shared between UE and MME i.e. the ASME for EPS.

AKA成功后，小明的手机（ME）和MME会使用CK、IK以及当前服务网络的标识（SN id），通过一个密钥派生函数（KDF），共同计算出一个根密钥——KASME（Key for Access Security Management Entity）。

KASME是本次附着会话期间所有安全密钥的“始祖”。它仅存在于UE和MME中，绝不会出现在接入网（如基站）等安全性较低的节点上。这种设计体现了典型的分层安全思想。规范在“Figure 6.2-1: Key hierarchy in E-UTRAN”中直观地展示了这棵“密钥树”的结构：

  • 根 (Root): K (在USIM和AuC/HSS中)
  • 一级会话密钥: CK, IK (在AKA中生成)
  • 二级根密钥 (ASME级): KASME (UE与MME共享)
  • 三级密钥 (NAS级): KNASenc (NAS加密), KNASint (NAS完整性) (由KASME派生，UE与MME使用)
  • 三级密钥 (AS级): KeNB (UE与eNB之间共享的基站密钥，由KASME派生)
  • 四级密钥 (空口): KRRCenc/KRRCint (RRC信令加密/完整性), KUPenc/KUPint (用户数据加密/完整性) (由KeNB派生，UE与eNB使用)

这套体系的好处显而易见：

  • 职责分离：不同层级的密钥负责不同层级的安全。NAS层的安全由MME负责，空口（AS）的安全由基站eNB负责。
  • 风险隔离：即使基站的密钥KeNB被破解，由于攻击者无法获取KASME，因此无法解密UE和MME之间的NAS信令，也无法推算出其他基站的密钥。
  • 前向安全：在后续的移动性管理（如切换）中，新的基站密钥会从KASME或旧的KeNB派生而来，但无法反向推导出旧密钥，保证了历史通信的安全。

通过AKA和这套密钥体系，TS 33.401为小明接下来的所有网络活动都准备好了“安全弹药”。

4. 数据的守护神：NAS与AS安全机制

小明登上了去公司的地铁，他习惯性地打开视频App，开始观看最新的剧集。此时，海量的数据流正在他的手机和基站之间以及基站和核心网之间高速传输。保护这些数据流的安全，是NAS（非接入层）安全和AS（接入层）安全的任务。

4.1 两条并行的安全通道

  • NAS (Non-Access Stratum) Security: 这条通道连接的是小明的手机和核心网的MME。它主要承载的是移动性管理（如位置更新）和会话管理（如建立数据承载）等高级信令。NAS安全的目标是保护这些核心控制信令的机密性和完整性。密钥是前面提到的KNASenc和KNASint。

  • AS (Access Stratum) Security: 这条通道连接的是小明的手机和基站（eNB）。它承载着两类信息：一是RRC（无线资源控制）信令，用于管理无线链路，如切换、功率控制等；二是小明的用户数据（User Plane），也就是他正在观看的视频流。AS安全的目标是保护空口传输的所有内容。密钥是KRRCenc, KRRCint和KUPenc。

Integrity protection, and replay protection, shall be provided to NAS and RRC-signalling. User plane confidentiality protection over the access stratum shall be done at PDCP layer and is an operator option.

这意味着，小明手机发送的每一个信令包（NAS和RRC），都会附加一个“防伪标签”（MAC-I，Message Authentication Code for Integrity），防止被篡改。同时，这些信令包和他的视频数据包（用户平面）在空口传输时，都会经过加密处理，变成一串没有密钥就无法解读的乱码。

4.2 安全模式命令 (SMC)：激活防护罩的“口令”

这些强大的安全功能并不是一开始就激活的。在AKA完成，密钥派生到位之后，网络需要一个明确的信令流程来“开启”安全。这个流程就是安全模式命令（Security Mode Command, SMC），规范在7.2.4节中有详细描述。

  • NAS SMC: MME向UE发送NAS SMC，消息中包含了选择的NAS加密和完整性算法。这条消息本身是用KNASint进行完整性保护的。UE验证通过后，回复SMC Complete消息，此后UE和MME之间的所有NAS信令都将受到保护。

  • AS SMC: 在NAS安全建立后，MME将包含KeNB的安全上下文发送给eNB。eNB据此向UE发送AS SMC，消息中包含了选择的RRC和UP算法。这条消息本身是用KRRCint进行完整性保护和KRRCenc进行加密的。UE验证通过后，回复SMC Complete，此后空口的所有通信都将受到保护。

这个两阶段的SMC过程，确保了安全能力（算法）的协商和安全上下文的同步是在一个受保护的环境下完成的，防止了在安全激活过程中的“降级攻击”（即攻击者篡改信令，强迫UE和网络使用较弱的或不使用加密算法）。

5. 移动中的安全：切换与状态转换

地铁飞速穿行，小明的手机不断地从一个基站覆盖区移动到另一个。对他而言，视频播放流畅无中断；而对网络而言，这意味着一系列快速而复杂的切换（Handover）正在进行。TS 33.401必须确保在这些高速移动场景下，安全保护同样无缝衔接。

5.1 快速切换的密钥链：Intra-LTE Handover

当地铁驶出A站，进入B站的范围，手机会从eNB-A切换到eNB-B。如果每次切换都重新进行一次完整的AKA，那无疑会带来巨大的信令和时间开销，视频肯定会卡顿。因此，规范在7.2.8节设计了一套高效的密钥更新机制——密钥链（Key Chaining）。

On handovers, the basis for the KeNB that will be used between the UE and the target eNB, called KeNB*, is derived from either the currently active KeNB or from the NH parameter.

这个机制的核心思想是，新的KeNB（用于UE和eNB-B之间）不是从头由KASME派生，而是基于当前的上下文快速生成。这里有两个关键概念：

  • 水平派生 (Horizontal Key Derivation)：新的KeNB*直接由旧的KeNB（UE与eNB-A之间的密钥）结合目标小区的物理标识（PCI）等参数派生而来。这适用于eNB之间有直接接口（X2接口）的切换，速度极快。

  • 垂直派生 (Vertical Key Derivation)：为了增强前向安全性（即eNB-A无法预测UE未来的密钥），MME在初始建立连接时，除了派生KeNB，还会派生一个“下一跳”密钥NH（Next Hop）。这个NH和KeNB一起构成一个密钥对。当需要更高安全性的切换时（如跨MME切换或S1切换），新的KeNB*将由NH派生而来。同时，MME会生成一个新的NH，形成一个不断向前的链条。

规范中的“Figure 7.2.8.1-1 Model for the handover key chaining”形象地展示了这条密钥链如何通过KeNB和NH的交替使用和更新，来保证切换过程中的密钥新鲜度和安全性。

5.2 跨代旅行的安全护照：Inter-RAT Mobility

小明在公司楼下的地下餐厅吃饭，这里的4G信号很差，手机自动回落到了3G（UTRAN）网络。这种跨不同无线接入技术（RAT）的移动，对安全提出了新的挑战。4G的密钥不能直接在3G网络中使用。

规范在第9章 Security interworking between E-UTRAN and UTRAN 中定义了解决方案：映射安全上下文（Mapped Security Context）。

The MME and UE shall derive CK’ and IK’ from the KASME and the NAS uplink COUNT value… These keys CK’ and IK’ and KSI sent from the MME shall replace all the UTRAN PS key parameters CK, IK, KSI in the target SGSN.

当小明的手机要从4G移动到3G时，UE和MME会利用当前的KASME和一个新鲜的参数（如NAS COUNT），派生出一套全新的、符合3G规范的CK'和IK'。这套新的密钥随后会被传递给3G网络的核心网节点（SGSN），从而在3G网络上建立起安全连接。

这个过程就像是为小明的“安全身份”办理了一本“旅行护照”。护照的签发基于他在4G的合法身份（KASME），但护照本身（CK'/IK'）符合目的地（3G网络）的入境要求。这确保了小明在跨代网络间漫游时，始终处于受保护的状态。

6. 网络内部的堡垒：网络域安全

在小明享受无缝通信的背后，是运营商庞大而复杂的地面传输网络。基站、MME、S-GW等设备通过光纤等物理链路连接，构成了网络的“血管”。如果这些链路是“裸奔”的，那么任何能够物理接触到这些光纤或侵入运营商内网的攻击者，都可以轻易地窃听和篡改海量用户的数据。

因此，TS 33.401在第11、12、13章中强制要求了对这些关键接口的保护，即网络域安全。

In order to protect the S1 and X2 control plane… it is required to implement IPsec ESP… For both S1-MME and X2-C, IKEv2 certificates based authentication … shall be implemented.

这里的核心技术是 IPsec 和 IKEv2：

  • IPsec (Internet Protocol Security)：这是一个协议套件，可以在IP层为数据包提供加密和完整性保护。当基站（eNB）和MME之间需要传输信令时（通过S1接口），所有的数据包都会被封装在一个IPsec隧道中。这就好比给运钞车再套上一个坚固的集装箱，并派上武装押运。

  • IKEv2 (Internet Key Exchange version 2)：IPsec隧道需要密钥，IKEv2就是用于在网络设备间自动、安全地协商这些密钥的协议。通常，运营商会为每个网络设备（如eNB, MME）颁发数字证书。在建立IPsec隧道前，设备间会通过IKEv2协议交换并验证彼此的证书，完成身份认证，然后协商出用于隧道的会话密钥。

通过为S1接口（连接eNB和MME/S-GW）、X2接口（连接eNB与eNB）以及核心网内部的其他接口建立IPsec隧道，TS 33.401将运营商的整个EPS网络变成了一座由无数个安全通道连接起来的分布式堡垒，极大地提升了基础设施的抗攻击能力。

7. 演进与兼容：规范中的其他重要议题

TS 33.401作为一份成熟的规范，其内容远不止上述核心部分，它还涵盖了大量特定场景和面向未来的演进性设计。

  • 语音安全与SRVCC：当小明在4G网络下进行VoLTE通话，并移动到没有LTE覆盖但有3G/2G覆盖的区域时，为了保证通话不中断，网络会执行SRVCC（Single Radio Voice Call Continuity）流程，将语音会话平滑切换到传统的电路域。第14章详细定义了在此过程中的密钥派生和安全上下文传递，确保通话在切换前后始终是加密的。

  • 紧急呼叫安全：在任何情况下，保障生命安全的紧急呼叫都拥有最高优先级。第15章专门讨论了IMS紧急会话的安全问题。在一些极端情况下，比如手机中没有SIM卡，或者无法完成认证，网络依然需要建立紧急呼叫。此时，规范允许使用“空算法”（即不加密、不进行完整性保护），优先确保通信的建立。

  • 面向5G的演进（EN-DC）：在Annex E中，规范定义了EN-DC（E-UTRA NR Dual Connectivity）架构下的安全机制。这是4G向5G演进初期（NSA组网）非常重要的场景。小明的手机可以同时连接到4G基站（作为主站MeNB）和5G基站（作为辅站SgNB）。规范扩展了4G的密钥体系，允许从4G的KeNB派生出用于保护5G辅站链路的密钥S-KgNB，实现了在4G安全框架下对5G链路的安全管控。

  • LTE-WLAN聚合（LWA）：Annex G和H探讨了如何安全地将Wi-Fi流量聚合到LTE网络中，以提升用户速率。这涉及到如何从LTE的安全上下文中派生出密钥（如S-KWT或LWIP-PSK），用于保护WLAN链路上的数据安全，展示了3GPP安全架构良好的扩展性。

8. 总结

3GPP TS 33.401不仅仅是一份技术文档，它更是一套经过深思熟虑、历经全球大规模网络实践检验的安全哲学。通过对它的全景式解读，我们可以提炼出其设计的几大核心思想：

  1. 纵深防御：从空口到核心网，从用户面到控制面，层层设防，不存在单点安全失效。
  2. 基于USIM的信任根：所有安全的起点都源于USIM卡中那个物理上难以被攻破的共享密钥K。
  3. 精巧的密钥体系：通过分层的密钥派生机制，实现了职责分离、风险隔离和高效的移动性支持。
  4. 双向认证：彻底解决了2G时代的伪基站风险，确保了通信双方身份的真实性。
  5. 信令完整性优先：对所有关键信令的完整性保护是强制的，这保证了网络控制的可靠性，防止了各类操控和降级攻击。
  6. 兼顾性能与安全：在高速移动场景下，通过密钥链等机制，实现了安全上下文的快速更新，避免了因安全流程导致的用户体验下降。
  7. 良好的扩展性：其核心安全理念和框架，能够平滑地扩展至与5G、Wi-Fi等异构网络融合的场景中。

通过小明一天的经历，我们看到了TS 33.401是如何像空气一样，无处不在却又不易察觉地守护着我们的每一次连接。从本系列的下一篇文章开始，我们将正式进入逐章逐节的深度拆解，用最详尽的分析和生动的场景，带您彻底吃透这份4G安全的“圣经”。

FAQ 环节

Q1：为什么4G安全体系要设计如此复杂的密钥派生层次（K → CK/IK → KASME → KeNB…）？直接用AKA生成的密钥不行吗？ A1：这种分层设计是出于“最小权限”和“风险隔离”的安全原则。1) 职责分离：核心网MME和基站eNB的安全职责不同，它们应该掌握不同级别的密钥。MME掌管会话级的根密钥KASME，而eNB只掌握其覆盖范围内的空口密钥KeNB。2) 风险控制：基站通常部署在物理环境相对不安全的位置，被攻击的风险更高。即使单个eNB的KeNB被攻破，攻击者也无法反向推导出KASME，因此无法影响NAS信令安全，也无法攻击用户移动到的其他基站。如果直接使用高级密钥，一旦泄露将导致整个会话的安全崩溃。

Q2：NAS安全和AS安全有什么本质区别？ A2：最本质的区别在于安全隧道的端点不同。NAS（非接入层）安全隧道的端点是UE（用户设备）和MME（移动管理实体），它保护的是UE与核心网控制面节点之间的信令。而AS（接入层）安全隧道的端点是UE和eNB（基站），它保护的是UE与无线接入网之间的所有空口数据，包括RRC信令和用户数据。

Q3：什么是“映射安全上下文”（Mapped Security Context），它在Inter-RAT切换中起什么作用？ A3：“映射安全上下文”是在不同无线接入技术（RAT）之间切换时，安全地转换密钥和安全参数的过程。例如，从4G切换到3G时，4G的密钥（源自KASME）不能直接在3G网络中使用。此时，UE和MME会使用一个单向函数，从当前的4G KASME派生出一套全新的、符合3G规范的密钥（CK’ 和 IK’）。这个过程就是“映射”。它的作用是，利用已建立的4G安全信任关系，快速、安全地在目标RAT（如3G网络）中建立起安全能力，而无需重新进行耗时的完整AKA认证，保证了业务的连续性。

Q4：TS 33.401是如何抵御“伪基站”攻击的？ A4：通过强制性的双向认证机制（EPS AKA）。在AKA流程中，网络不仅要求UE证明自己的身份（通过发送RES），网络自身也必须向UE证明其合法性。这是通过网络下发的认证令牌AUTN实现的。UE中的USIM卡会根据自己存储的根密钥K和网络下发的随机数RAND独立计算一个期望的网络认证令牌，并与收到的AUTN进行校验。只有校验通过，UE才会认为当前连接的网络是合法的。伪基站由于没有合法的根密钥K，无法生成正确的AUTN，因此会在这一步被UE识破并拒绝连接。

Q5：规范中提到的“前向安全”（Forward Security）在切换场景下是如何体现的？ A5：“前向安全”指的是，即使攻击者获取了某个时间点的密钥，也无法用它来解密未来的通信。在切换的密钥派生中，这一点通过“下一跳密钥 NH”和单向的密钥派生函数（KDF）来体现。当进行垂直派生时，新的KeNB*是由NH派生的，而NH本身又是由之前的KeNB和KASME派生而来。这个派生过程是单向的，即从NH可以算出KeNB*，但从KeNB*无法反推NH，从KeNB也无法反推KASME。这意味着，即使一个基站的密钥KeNB泄露，攻击者也无法预测出UE切换到下一个基站后将要使用的新密钥，从而保证了未来通信的安全。

关系图谱