51学通信

深度解析 3GPP TS 33.501：Annex Q-W (定位、边缘、物联网与广播安全)

18分钟阅读

好的，我们继续深入解读3GPP TS 33.501规范。

深度解析 3GPP TS 33.501：Annex Q-W (定位、边缘、物联网与广播安全)

本文技术原理深度参考了3GPP TS 33.501 V18.9.0 (2025-03) Release 18规范中，关于Annex Q, R, S, T, U, V, W等多个核心附录章节，旨在为读者系统性地梳理5G安全体系如何为定位服务、边缘计算、WLAN非无缝卸载、用户授权以及多播广播等一系列高级和新兴业务场景提供专属的安全保障。

随着我们对3GPP TS 33.501规范解读的深入，我们正逐步进入其“高级扩展模块”区域。这些位于附录中的规范性（Normative）或信息性（Informative）章节，展现了5G安全框架强大的扩展能力，使其能够适应未来层出不穷的新业务、新场景。

今天，我们将进行一次“附录速览”，一次性解读从附录Q到附录W的七个重要附录。这些章节各自聚焦一个独特的安全挑战，共同构成了5G安全的“多功能工具箱”：

  • 附录Q (定位服务安全)：当5G网络需要对用户进行高精度定位时，如何保护这些极其敏感的位置隐私？
  • 附录R (SBA授权模型图示)：为复杂的SBA授权模型提供了直观的“架构图”。
  • 附录S (非无缝WLAN卸载)：当手机流量在5G和WLAN之间“非无缝”切换时，如何实现快速、安全的身份认证？
  • 附录T (边缘计算安全)：当计算和应用从云端“下沉”到网络边缘时，安全边界如何随之延伸？
  • 附录U & Z (专网EAP认证扩展)：为专网中使用的EAP-TTLS等更多认证方法提供了参考实现。
  • 附录V (用户同意机制)：在数据为王的时代，如何从技术上保障用户的“数据主权”和“同意权”？
  • 附录W (多播广播安全)：当5G被用于电视直播、赛事转播等“一对多”的广播业务时，如何对内容和接收者进行安全管理？

为了贯穿这些多样化的场景，我们的主角“安安”将体验未来一天的数字生活。她将使用高精度室内导航App，体验手机流量在5G和商场Wi-Fi间的智能切换，观看一场身临其境的5G VR体育赛事直播，并首次审视和管理她在运营商网络中的个人数据授权。

1. Annex Q: 定位服务安全 - 守护“你在哪里”的秘密

LCS（定位服务）是5G的重要能力之一，可以实现亚米级甚至更高精度的定位。但位置信息是最高等级的用户隐私。附录Q（规范性）的核心任务，就是为LCS流程提供安全保障。

Q.1 General For security and privacy in 5GS LCS (5G System Location Services), the mechanisms defined in TS 23.273 and TS 38.305 apply. Q.2 Security in 5G system location services to support user plane positioning The UE establishes a user plane connection to the LMF or AF… For the protection of the interface, a TLS based mechanism shall be supported.

核心思想：授权与通道加密

  1. 用户授权是前提：所有LCS服务都必须遵循严格的用户授权流程。网络在对UE进行定位前，必须首先获得用户的明确同意（除非是紧急定位等法规允许的例外情况）。这个授权和同意的机制，在附录V中有更详细的定义。
  2. 信令保护：承载定位请求和位置信息的控制平面信令（如LPP协议），都受到5G标准的NAS和AS安全机制的保护。
  3. 用户面定位通道加密：在某些高精度定位技术中（如基于用户面的定位），UE需要与一个称为LMF（位置管理功能）的实体建立直接的用户面连接，以交换详细的测量数据。附录Q强制要求，这条UE与LMF之间的接口，必须使用TLS协议进行保护。

场景代入： 安安在大型购物中心里，使用商场的“AR导航”App找一家店铺。

  1. App请求获取安安的精确位置。手机系统弹出提示：“AR导航请求使用您的高精度位置信息，是否允许？”安安点击“允许”。
  2. 这个“同意”的指令被安全地传递到核心网。
  3. AMF授权LCS流程，并指示UE与网络中的LMF建立一个PDU会话。
  4. UE与LMF在建立连接时，会进行一次TLS握手，建立一条加密的用户面隧道。
  5. 后续，UE与LMF之间所有用于计算位置的原始测量数据，都在这条TLS隧道中加密传输，确保了即使是运营商的底层网络，也无法窥视这些敏感的定位原始数据。

2. Annex S: 非无缝WLAN卸载 (NSWO) - 轻量级的Wi-Fi认证

NSWO（Non-Seamless WLAN Offload）是一种轻量级的WLAN接入认证技术。它允许UE使用其SIM卡凭证（USIM），通过EAP-AKA’认证，来接入一个WLAN网络，但其数据流量不经过5G核心网，而是直接从Wi-Fi网络进入互联网。

S.2 General 5G NSWO shall use EAP-AKA’, as specified in RFC 5448, for authentication. A new network function, called NSWOF, is introduced to support authentication for NSWO in 5GS. The NSWOF interfaces to the WLAN access network using SWa interface and interfaces to the AUSF using Service Based Interface (SBI).

核心思想：认证在5GC，数据走WLAN

  • 认证流程：UE在Wi-Fi网络上发起EAP-AKA’认证。Wi-Fi网络（AP）会将认证请求通过AAA协议，转发给一个新增的网络功能——NSWOF（非无缝WLAN卸载功能）。NSWOF再扮演一个“代理”的角色，通过标准的SBA接口，向归属网络的AUSF发起认证请求。
  • 密钥生成：认证成功后，AUSF不会生成K_AUSF和K_SEAF，而是会生成一个专用于WLAN链路的MSK（Master Session Key）。这个MSK会被逐级返回给UE。
  • WLAN密钥派生：UE和Wi-Fi AP会使用这个MSK作为PMK（Pairwise Master Key），进行标准的4次握手，派生出用于WLAN空口加密的会话密钥。

场景代入： 安安来到一个与她运营商有合作的咖啡馆。

  1. 她的手机检测到咖啡馆的Wi-Fi SSID，并自动发起EAP-AKA’认证。
  2. Wi-Fi AP将请求发往咖啡馆的认证服务器，再路由到运营商的NSWOF。
  3. NSWOF请求运营商的AUSF对安安的SIM卡进行认证。
  4. 认证成功后，AUSF生成MSK，通过NSWOF和Wi-Fi AP，安全地返回给安安的手机。
  5. 安安的手机和AP用这个MSK生成了Wi-Fi加密密钥，成功连接。
  6. 之后，安安的所有上网流量，都直接从咖啡馆的路由器进入互联网，不再经过5G核心网。这个流程，仅仅是“借用”了5GC强大的AKA认证能力，来完成一次安全的Wi-Fi接入。

3. Annex T: 边缘计算安全 - 将安全边界延伸至网络末梢

MEC（Multi-access Edge Computing，多接入边缘计算）将应用和计算能力从遥远的云端，下沉到离用户最近的网络边缘（如基站机房）。这为低时延应用带来了革命性的可能，但也模糊了网络的安全边界。附录T（规范性）为MEC的安全提供了指导。

T.3 Security of EAS discovery procedure via EASDF in non-roaming Scenario DNS over TLS as specified in IETF RFC 7858 and RFC 8310 shall be supported by the UE and the EASDF. The DNS connection shall be authenticated and encrypted.

核心思想：安全发现与接口保护

  1. 安全的服务发现：UE如何知道哪个边缘应用服务器（EAS）离自己最近、能为自己服务？这个“发现”过程，通常是通过一次特殊的DNS查询来完成的。附录T强制要求，UE与负责解析边缘服务的DNS服务器（EASDF, Edge Application Server Discovery Function）之间的通信，必须使用**DNS over TLS (DoT)或DNS over HTTPS (DoH)**进行加密和认证。
  2. 安全的本地分流：UE的数据流会被UPF在网络边缘“分流”（breakout）到本地的边缘应用服务器。UPF与边缘应用服务器之间的N6接口，其安全由运营商的本地策略决定，可以采用IPsec等技术进行保护。
  3. 安全的网络能力开放：如果边缘应用需要从网络获取信息（如UE的位置、无线网络质量），它必须通过一个部署在边缘的“本地NEF”（L-NEF）来进行。UE与L-NEF之间的交互，遵循第12章定义的标准NEF安全机制。

场景代入： 一个自动驾驶汽车需要在路口进行一次紧急的毫秒级决策。

  1. 汽车向运营商的EASDF发起一次加密的DNS查询：“请给我处理路口A-01交通决策的边缘服务器地址。”
  2. EASDF解析后，返回一个位于路口基站机房内的边缘服务器的IP地址。
  3. 汽车的PDU会话被UPF在基站侧直接分流，数据流不再去往遥远的中心云，而是直接送往这个本地的边缘服务器，实现了超低时延。
  4. 这个边缘服务器可能还需要从本地的L-NEF获取更精确的无线链路质量信息，以调整其算法。这个API调用会受到TLS和OAuth 2.0的严格保护。

4. Annex V & W: 用户同意与多播广播安全

最后，我们快速浏览两个同样重要的业务场景。

Annex V (normative): User consent requirements and mechanisms The user consent parameters shall be stored in the UDM/UDR as subscription data… The user consent parameters shall be bound to a SUPI/GPSI.

附录V (用户同意)：

  • 核心思想：用户的“同意”状态，被视为一种签约数据，必须被安全地存储在UDM中，并与用户的**永久身份（SUPI/GPSI）**绑定。
  • 机制：任何需要用户同意的NF（如LMF），在提供服务前，必须向UDM查询用户的同意状态。同时，这些NF必须订阅UDM的通知，当用户通过某种渠道（如运营商App）撤销其同意时，UDM会立即通知所有相关的NF，这些NF必须立即停止对该用户数据的处理。
  • 这个机制，为满足GDPR等全球数据隐私法规，提供了标准化的技术支撑。

Annex W (normative): Security for multicast/broadcast service for 3GPP service If the security protection of MBS traffic is required, confidentiality and integrity protection as specified in clause 5.3 of TS 33.246 apply… The MBS Security Function (MBSSF) is a logical function…

附录W (多播广播安全)：

  • 核心思想：5G的多播广播（MBS）安全，很大程度上复用了4G eMBMS的安全框架（定义在TS 33.246）。
  • 密钥体系：引入了两级密钥体系：
    • MSK (MBS Service Key)：业务密钥，用于保护MTK的分发。它通过单播的方式，安全地分发给每一个合法的群组成员。
    • MTK (MBS Traffic Key)：流量密钥，用于实际加密广播内容。它通过广播信道，使用MSK加密后下发给所有群组成- 成员。
  • 认证与授权：一个用户是否有权接收某个广播频道，可以通过GBA或AKMA等机制，向新增的**MBSSF（MBS安全功能）**进行认证和授权。

场景代入： 安安正在通过5G网络观看一场体育赛事的高清VR直播。

  1. 她的手机首先通过单播信道，向MBSSF进行认证，证明她已付费订阅了该赛事。
  2. 认证成功后，MBSSF将用于解密“频道密钥”的“钥匙”（MSK），安全地发给她的手机。
  3. 赛事直播流（用户数据）使用“频道密钥”（MTK）进行加密，在广播信道上发送。
  4. 所有订阅了该赛事的手机，都会收到这条加密的广播流。但只有那些拥有合法MSK的手机，才能解密出MTK，并最终解密出直播画面。

5. 总结

本章我们速览了附录Q至W，它们如同一组“精密的手术器械”，为5G安全在定位、WLAN卸载、边缘计算、用户同意和广播等一系列高级场景下的落地，提供了精细、专用的解决方案。

  • 定位与边缘安全 (Q, T)：其核心都是通道加密和安全发现，通过强制使用TLS/DoT/DoH，确保了敏感信息（位置、服务地址）在传输过程中的机密性和完整性。
  • NSWO安全 (S)：通过引入NSWOF作为认证代理，巧妙地复用了5G核心网强大的AKA认证能力，为轻量级的WLAN卸载提供了一种安全、便捷的认证方案。
  • 用户同意 (V)：将“同意”数据化、签约化，并建立订阅-通知机制，为满足全球日益严格的隐私法规要求，提供了坚实的技术基础。
  • 广播安全 (W)：通过MSK/MTK两级密钥体系和独立的认证授权流程，实现了对“一对多”通信的内容保护和接收者访问控制。

这些附录的共同特点，是最大限度地复用5G已有的安全框架（如AKA、EAP、SBA、TLS），同时根据每个场景的独特需求，进行巧妙的“裁剪”和“嫁接”。这充分体现了5G安全设计的成熟性、前瞻性和强大的生命力。

关系图谱