網(wǎng)絡(luò)關(guān)鍵設(shè)備安全技術(shù)要求 5G核心網(wǎng)網(wǎng)絡(luò)功能 征求意見稿

3GB/T×××××—××××網(wǎng)絡(luò)關(guān)鍵設(shè)備安全技術(shù)要求5G核心網(wǎng)網(wǎng)絡(luò)功能本文件規(guī)定了5G核心網(wǎng)網(wǎng)絡(luò)功能設(shè)備的通用安全要求以及AMF、UPF、UDM、SMF、AUSF、SEPP、NRF、NEF、N3IWF、NWDAF、SCP以及NSSAAF的安全功能要求。本文件適用于5G核心網(wǎng)網(wǎng)元的安全功能研發(fā)以及測試評估。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有修改單）適用于本文件。GB40050-2021網(wǎng)絡(luò)關(guān)鍵設(shè)備安全通用要求YD/T3628-20195G移動通信網(wǎng)安全技術(shù)要求YD/T3807-2020移動通信網(wǎng)絡(luò)設(shè)備安全保障通用要求YD/T4204-20235G移動通信網(wǎng)絡(luò)設(shè)備安全保障要求核心網(wǎng)網(wǎng)絡(luò)功能XXX-XXXX信網(wǎng)絡(luò)設(shè)備的產(chǎn)品開發(fā)和生命周期安全保障要求3GPPTS33.117安全保障通用需求(Catalogueofgeneralsecurityassurancerequirements)3GPPTS33.5015G系統(tǒng)安全架構(gòu)和流程（Securityarchitectureandproceduresfor5Gsystem）3GPPTS33.5135G安全保障規(guī)范(SCAS)；用戶平面功能（UPF）(5GSecurityAssuranceSpecification(SCAS);UserPlaneFunction(UPF))3GPPTS33.5145G安全保障規(guī)范(SCAS)；統(tǒng)一數(shù)據(jù)管理（UDM）網(wǎng)絡(luò)產(chǎn)品(5GSecurityAssuranceSpecification(SCAS)fortheUnifiedDataManagement(UDM)networkproductclass)3GPPTS33.5155G安全保障規(guī)范(SCAS)；會話管理功能（SMF）網(wǎng)絡(luò)產(chǎn)品(5GSecurityAssuranceSpecification(SCAS)fortheSessionManagementFunction(SMF)networkproductclass)3GPPTS33.5185G安全保障規(guī)范(SCAS)；網(wǎng)絡(luò)存儲功能（NRF）網(wǎng)絡(luò)產(chǎn)4GB/T×××××—××××品(5GSecurityAssuranceSpecification(SCAS)fortheNetworkRepositoryFunction(NRF)networkproductclass)3GPPTS33.5195G安全保障規(guī)范(SCAS)；能力開放（NEF）網(wǎng)絡(luò)產(chǎn)品(5GSecurityAssuranceSpecification(SCAS)fortheNetworkExposureFunction(NEF)networkproductclass)3GPPTS33.5205G安全保障規(guī)范(SCAS)；非3GPP接入網(wǎng)關(guān)（N3IWF）(5GSecurityAssuranceSpecification(SCAS);Non-3GPPInterWorkingFunction(N3IWF))3GPPTS33.5225G安全保障規(guī)范(SCAS)；服務(wù)通信網(wǎng)關(guān)（SECOP）(5GSecurityAssuranceSpecification(SCAS);ServiceCommunicationProxy(SECOP))3GPPTS33.3265G安全保障規(guī)范(SCAS)；特定網(wǎng)絡(luò)切片認(rèn)證授權(quán)功能（NSSAAF）(SecurityAssuranceSpecification(SCAS)fortheNetworkSlice-SpecificAuthenticationandAuthorizationFunction(NSSAAF)networkproductclass)3術(shù)語、定義和縮略語3.1術(shù)語和定義下列術(shù)語和定義用于本文件。3.1.1用戶憑證subscriptioncredential(s)在USIM和ARPF中的一組值，至少包含長期密鑰和永久用戶標(biāo)識SUPI，用于唯一標(biāo)識一個簽約用戶，并用于UE和5G核心網(wǎng)之間的認(rèn)證和密鑰協(xié)商。3.1.2用戶永久標(biāo)識符subscriptionidentifier，SUPI5G系統(tǒng)中用于簽約用戶永久標(biāo)識的全球唯一用戶標(biāo)識符。3.1.3用戶隱藏標(biāo)識符subscriptionconcealedidentifier，SUCI5G系統(tǒng)中用于對SUPI進(jìn)行隱私保護的一次性用戶標(biāo)識符，包含方案輸出，以及用于歸屬網(wǎng)絡(luò)路由和保護方案使用所需的附加非隱藏信息。3.2縮略語下列縮略語適用于本文件。5GB/T×××××—××××AMF接入與移動性管理功能AccessandMobilityManagementFunctionAUSF鑒權(quán)服務(wù)功能AuthenticationServerFunctionN3IWF非3GPP互通功能Non-3GPPInterWorkingFunctionNEF網(wǎng)絡(luò)開放功能NetworkExposureFunctionNF網(wǎng)絡(luò)功能NetworkFunctionNRF網(wǎng)絡(luò)存儲功能NetworkRepositoryFunctionNSSAAF網(wǎng)絡(luò)切片特定認(rèn)證和授權(quán)功能NetworkSlice-SpecificAuthenticationandAuthorizationFunctionNSSF網(wǎng)絡(luò)切片選擇功能NetworkSliceSelectionFunctionNWDAF網(wǎng)絡(luò)數(shù)據(jù)分析功能NetworkDataAnalyticsFunctionPCF策略控制功能PolicyControlFunctionSCP服務(wù)通信代理ServiceCommunicationProxySEPP安全邊緣保護代理SecurityEdgeProtectionProxySMF會話管理功能SessionManagementFunctionUDM統(tǒng)一數(shù)據(jù)管理UnifiedDataManagementUPF用戶面功能UserPlaneFunction4通用安全要求4.1通用安全功能要求4.1.1設(shè)備標(biāo)識安全5G核心網(wǎng)網(wǎng)絡(luò)功能的設(shè)備標(biāo)識安全要求包括：a)5G核心網(wǎng)網(wǎng)絡(luò)功能設(shè)備硬件整機和主要部件應(yīng)具備唯一性標(biāo)識;b)5G核心網(wǎng)網(wǎng)絡(luò)功能軟件包（如補丁包/4.1.2冗余備份恢復(fù)與異常檢測5G核心網(wǎng)網(wǎng)絡(luò)功能的冗余備份恢復(fù)與異常檢測安全要求包括：運行狀態(tài)異常時，切換到冗余5G核心網(wǎng)網(wǎng)絡(luò)功能以降b)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持對預(yù)裝軟件、配置4.1.3漏洞和惡意程序防范5G核心網(wǎng)網(wǎng)絡(luò)功能的漏洞和惡意程序防范安全要求包括：b)5G核心網(wǎng)網(wǎng)絡(luò)功能的預(yù)裝軟件包、補丁包/升級包不應(yīng)存在惡意程序；c)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)不存在未聲明的功能和訪問接口(含遠(yuǎn)程調(diào)試接口)；4.1.4軟件啟動及更新安全6GB/T×××××—××××5G核心網(wǎng)網(wǎng)絡(luò)功能的軟件啟動及更新功能安全要求包括：a)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持啟動時完整性校驗功能，確保系統(tǒng)軟件不被篡改；b)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持軟件更新功能；c)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)具備保障軟件更新操作安全的功能；d)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)具備防范軟件在更新過程中被篡改的安全功能；e)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)有明確的信息告知用戶軟件更新過程的開始、結(jié)束以及更新的內(nèi)容。4.1.5用戶身份標(biāo)識與鑒別5G核心網(wǎng)網(wǎng)絡(luò)功能的用戶身份標(biāo)識與鑒別功能包括：a)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)對用戶進(jìn)行身份標(biāo)識，身份標(biāo)識應(yīng)具有唯一性；b)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持對用戶進(jìn)行身份鑒別；5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持口令復(fù)雜度檢查功能，口令復(fù)雜度檢查包括口令長度檢查、口令字符類型檢查、口令與賬號無關(guān)性檢查中的至c)使用口令鑒別方式時，5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持首次管理時強制修改默認(rèn)口令或設(shè)置口令，或支持隨機的初始口令，支持設(shè)置口令生存周期。支持用戶輸入口令時，無明文回顯口令；d)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持啟用安全策略或具備安全功能，以防范用戶鑒別信息猜測攻擊；e)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持啟用安全策略或且具備安全功能，以防止用戶登錄后會話空閑時間過長；f)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)對用戶身份鑒別信息進(jìn)行安全保護，保障用戶鑒別信息存儲的機密性；g)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)對用戶身份鑒別信息進(jìn)行安全保護，保障用戶鑒別信息傳輸過程中的機密性和完整性。4.1.6訪問控制安全5G核心網(wǎng)網(wǎng)絡(luò)功能的訪問控制安全要求包括：a)5G核心網(wǎng)網(wǎng)絡(luò)功能在默認(rèn)狀態(tài)下應(yīng)僅開啟必要的服務(wù)和對應(yīng)的端口，應(yīng)明示所有默認(rèn)開啟的服務(wù)、對應(yīng)的端口及用途，應(yīng)支持用戶關(guān)閉默認(rèn)開啟的服務(wù)和對應(yīng)的端口；b)5G核心網(wǎng)網(wǎng)絡(luò)功能非默認(rèn)開放的端口和服務(wù)，應(yīng)在用戶知曉且同意后才可啟用；c)5G核心網(wǎng)網(wǎng)絡(luò)功能在用戶訪問受控資源時，支持設(shè)置訪問控制策略并依據(jù)設(shè)置的控制策略進(jìn)行授權(quán)和訪問控制，確保訪問和操作安全；d)5G核心網(wǎng)網(wǎng)絡(luò)功能提供用戶分級分權(quán)控制機制，對涉及5G核心網(wǎng)網(wǎng)絡(luò)功能安全的重要功能，僅允許授權(quán)的高權(quán)限等級用戶使用。4.1.7日志審計安全5G核心網(wǎng)網(wǎng)絡(luò)功能的日志審計安全要求包括：a)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)提供日志審計功能，對用戶關(guān)鍵操作行為和重要安全事件進(jìn)行記錄，應(yīng)支持對影響5G核心網(wǎng)網(wǎng)絡(luò)功能運行安全的事件進(jìn)行告警提示；b)5G核心網(wǎng)網(wǎng)絡(luò)功能日志審計功能應(yīng)記錄必要的日志要素，為查閱和分析提供足夠的信息；c)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)提供日志信息本地存儲功能，支持日志信息輸出；d)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)具備對日志在本地存儲和輸出過程進(jìn)行保護的安全功能，防止日志內(nèi)容被未經(jīng)授權(quán)的查看、輸出或刪除；e)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)提供本地日志存儲空間耗盡處理功能；f)5G核心網(wǎng)網(wǎng)絡(luò)功能不應(yīng)在日志中明文或者弱加密記錄敏感數(shù)據(jù)；7GB/T×××××—××××4.1.8通信安全5G核心網(wǎng)網(wǎng)絡(luò)功能的通信安全要求包括：a)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持與管理系統(tǒng)（管理用戶）建立安全的通信信道/路徑，保障通信數(shù)據(jù)的機密性、完整性；b)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)滿足通信協(xié)議健壯性要求，防范異常報文攻擊；c)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)支持時間同步功能；d)5G核心網(wǎng)網(wǎng)絡(luò)功能不應(yīng)存在未聲明的私有協(xié)議；e)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)具備抵御常見重放類攻擊的能力。4.1.9數(shù)據(jù)安全5G核心網(wǎng)網(wǎng)絡(luò)功能的數(shù)據(jù)安全要求包括：a)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)具備防止數(shù)據(jù)泄露、數(shù)據(jù)非授權(quán)讀取和修改的安全功能，對存儲在5G核心網(wǎng)網(wǎng)絡(luò)功能中的敏感數(shù)據(jù)進(jìn)行保護；b)5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)具備對用戶產(chǎn)生且存儲在5G核心網(wǎng)網(wǎng)絡(luò)功能中的數(shù)據(jù)進(jìn)行授權(quán)刪除的功能，支持在刪除前對該操作進(jìn)行確認(rèn)。4.1.10密碼要求5G核心網(wǎng)網(wǎng)絡(luò)功能使用的密碼算法、密碼協(xié)議、密鑰管理機制等密碼技術(shù)，以及使用的密碼產(chǎn)品和服務(wù)，均應(yīng)符合國家法律法規(guī)的要求以及密碼相關(guān)國家標(biāo)準(zhǔn)的有關(guān)要求。密碼要求包括：a)5G核心網(wǎng)網(wǎng)絡(luò)功能使用的密碼算法、密碼協(xié)議、密鑰管理機制等商用密碼技術(shù)應(yīng)通過國家密碼管理部門審查鑒定；b)5G核心網(wǎng)網(wǎng)絡(luò)功能使用的商用密碼產(chǎn)品、服務(wù)應(yīng)經(jīng)密碼認(rèn)證機構(gòu)檢測認(rèn)證合格。4.2安全保障要求4.2.1概述5G核心網(wǎng)網(wǎng)元的通用安全保障要求見YD/T3807-2020。5G核心網(wǎng)網(wǎng)絡(luò)功能設(shè)備應(yīng)滿足產(chǎn)品開發(fā)和生命周期安全相關(guān)要求，具體要求見YD/TXXXX-XXXX，評估實施過程可參考GSMAFS.46審計指南。4.2.2設(shè)計和開發(fā)5G核心網(wǎng)網(wǎng)絡(luò)功能在設(shè)計和開發(fā)環(huán)節(jié)應(yīng)識別安全風(fēng)險，制定安全策略。5G核心網(wǎng)網(wǎng)絡(luò)功能的設(shè)計和開發(fā)環(huán)節(jié)要求包括：a)應(yīng)建立5G核心網(wǎng)網(wǎng)絡(luò)功能安全設(shè)計和開發(fā)操作規(guī)程，保障安全策略落實到設(shè)計和開發(fā)的整個過程；b)應(yīng)建立配置管理程序及相應(yīng)配置項清單，配置管理系統(tǒng)應(yīng)能跟蹤內(nèi)容變更，并對變更進(jìn)行授權(quán)和控制；c)應(yīng)采取措施防范5G核心網(wǎng)網(wǎng)絡(luò)功能被植入惡意程序；d)應(yīng)采取措施防范5G核心網(wǎng)網(wǎng)絡(luò)功能被設(shè)置隱蔽的接口或功能模塊；e)應(yīng)采取措施防范第三方關(guān)鍵部件，固件或軟件可能引入的安全風(fēng)險；8GB/T×××××—××××f)應(yīng)采用漏洞掃描、病毒掃描、代碼審計、健壯性測試、滲透測試和安全功能驗證的方式對5G核心網(wǎng)網(wǎng)絡(luò)功能進(jìn)行安全性測試；g)應(yīng)對已發(fā)現(xiàn)的安全缺陷、漏洞等安全問題進(jìn)行修復(fù)，或提供補救措施。4.2.3生產(chǎn)和交付5G核心網(wǎng)網(wǎng)絡(luò)功能的生產(chǎn)和交付環(huán)節(jié)應(yīng)識別安全風(fēng)險，制定安全策略。5G核心網(wǎng)網(wǎng)絡(luò)功能的生產(chǎn)環(huán)節(jié)要求包括：a)應(yīng)建立并實施規(guī)范的5G核心網(wǎng)網(wǎng)絡(luò)功能生產(chǎn)流程，在關(guān)鍵環(huán)節(jié)實施安全檢查和完整性驗證；b)應(yīng)建立和執(zhí)行規(guī)范的5G核心網(wǎng)網(wǎng)絡(luò)功能完整性檢測流程，采取措施防范自制或采購的組件被篡改、偽造等風(fēng)險；c)應(yīng)對軟件包在安裝前進(jìn)行完整性校驗。5G核心網(wǎng)網(wǎng)絡(luò)功能的交付環(huán)節(jié)要求包括：a)應(yīng)為用戶提供驗證所交付5G核心網(wǎng)網(wǎng)絡(luò)功能完整性的工具或方法，防范5G核心網(wǎng)網(wǎng)絡(luò)功能交付過程中完整性被破壞的風(fēng)險；b)應(yīng)為用戶提供操作指南和安全配置指南等指導(dǎo)性文檔，以說明5G核心網(wǎng)網(wǎng)絡(luò)功能的安裝、生成和啟動的過程，并對5G核心網(wǎng)網(wǎng)絡(luò)功能的現(xiàn)場調(diào)試運行提供詳細(xì)的描述；c)應(yīng)提供5G核心網(wǎng)網(wǎng)絡(luò)功能服務(wù)與默認(rèn)端口的映射關(guān)系說明；d)應(yīng)聲明5G核心網(wǎng)網(wǎng)絡(luò)功能中存在的通過5G核心網(wǎng)網(wǎng)絡(luò)功能外部接口進(jìn)行通信的私有協(xié)議并說明其用途，私有協(xié)議不應(yīng)存在所聲明范圍之外的用途；e)交付5G核心網(wǎng)網(wǎng)絡(luò)功能前，發(fā)現(xiàn)5G核心網(wǎng)網(wǎng)絡(luò)功能存在已知漏洞應(yīng)當(dāng)立即采取補救措施；f)交付5G核心網(wǎng)網(wǎng)絡(luò)功能時，應(yīng)提供從軟件包發(fā)布到實施的自動化部署流程，包括安全傳輸通道以及數(shù)字簽名，避免被篡改和惡意下載；g)交付5G核心網(wǎng)網(wǎng)絡(luò)功能時，應(yīng)提供業(yè)界關(guān)鍵認(rèn)證報告（NESAS、SCAS等）。4.2.4運行和維護5G核心網(wǎng)網(wǎng)絡(luò)功能應(yīng)識別在運行環(huán)節(jié)存在的自身安全風(fēng)險（不包括網(wǎng)絡(luò)環(huán)境安全風(fēng)險以及對5G核心網(wǎng)網(wǎng)絡(luò)功能進(jìn)行維護時引入的安全風(fēng)險，制定安全策略。5G核心網(wǎng)網(wǎng)絡(luò)功能在運行和維護環(huán)節(jié)應(yīng)建立并執(zhí)行針對自身安全事件的應(yīng)急響應(yīng)機制和流程，并為應(yīng)急處置配備相應(yīng)的資源。5G核心網(wǎng)網(wǎng)絡(luò)功能在運行和維護環(huán)節(jié)中，若發(fā)現(xiàn)5G核心網(wǎng)網(wǎng)絡(luò)功能存在安全缺陷、漏洞等安全風(fēng)險時，應(yīng)采取修復(fù)或替代方案等補救措施，按照有關(guān)規(guī)定及時告知用戶并向有關(guān)主管部門報告。5G核心網(wǎng)網(wǎng)絡(luò)功能的遠(yuǎn)程維護環(huán)節(jié)要求包括：a)在對5G核心網(wǎng)網(wǎng)絡(luò)功能進(jìn)行遠(yuǎn)程維護時，應(yīng)明示維護內(nèi)容、風(fēng)險以及應(yīng)對措施，應(yīng)留存不可更改的遠(yuǎn)程維護日志記錄，記錄內(nèi)容應(yīng)至少包括維護時間、維護內(nèi)容、維護人員、遠(yuǎn)程維護方式及工具；b)在對5G核心網(wǎng)網(wǎng)絡(luò)功能進(jìn)行遠(yuǎn)程維護時，應(yīng)獲得用戶授權(quán)，并支持用戶中止遠(yuǎn)程維護，應(yīng)留存授權(quán)記錄。5G核心網(wǎng)網(wǎng)絡(luò)功能在運行和維護環(huán)節(jié)應(yīng)為用戶提供多網(wǎng)元多接口證書批量替換功能，確保證書及5G核心網(wǎng)網(wǎng)絡(luò)功能在運行和維護環(huán)節(jié)應(yīng)為用戶提供對補丁包/升級包的完整性、來源真實性進(jìn)行驗證的方法。5G核心網(wǎng)網(wǎng)絡(luò)功能的維修和廢棄階段要求包括：9GB/T×××××—××××a)應(yīng)為用戶提供對廢棄（或退役）5G核心網(wǎng)網(wǎng)絡(luò)功能中關(guān)鍵部件或數(shù)據(jù)進(jìn)行不可逆銷毀處理的方法；b)應(yīng)為用戶提供廢棄（或退役）5G核心網(wǎng)網(wǎng)絡(luò)功能回收或再利用前的關(guān)于數(shù)據(jù)泄漏等安全風(fēng)險控制方面的注意事項；c)對于維修后再銷售或提供的5G核心網(wǎng)網(wǎng)絡(luò)功能或部件，應(yīng)對5G核心網(wǎng)網(wǎng)絡(luò)功能或部件中的用戶數(shù)據(jù)進(jìn)行不可逆銷毀。5G核心網(wǎng)網(wǎng)絡(luò)功能在安全維護周期內(nèi)要求包括：a)應(yīng)在約定的期限內(nèi)，為5G核心網(wǎng)網(wǎng)絡(luò)功能提供持續(xù)的安全維護，不應(yīng)以業(yè)務(wù)變更、產(chǎn)權(quán)變更等原因單方面中斷或終止安全維護；b)應(yīng)向用戶告知5G核心網(wǎng)網(wǎng)絡(luò)功能生命周期終止時間。5安全功能要求5.1AMF安全功能要求5.1.1概述5G移動通信接入和移動性管理功能（AMF）網(wǎng)絡(luò)功能，用于為UE提供注冊管理、連接管理、移動性管理等網(wǎng)絡(luò)功能，為UE提供NAS信令的機密性和完整性保護、參與提供用戶隱私保護等安全功能，作為安全錨點SEAF參與UE和網(wǎng)絡(luò)之間的認(rèn)證與密鑰分發(fā)流程。AMF網(wǎng)元安全功能要求見YD/T3807-2020和YD/T4204-2023、3GPPTS33.117和3GPPTS33.512的R16最新版本。5.1.2認(rèn)證與密鑰分發(fā)AMF/SEAF應(yīng)支持認(rèn)證與密鑰分發(fā)功能，主認(rèn)證和密鑰協(xié)商用于為UE和網(wǎng)絡(luò)之間實現(xiàn)相互認(rèn)證，并為UE和服務(wù)網(wǎng)絡(luò)提供可在后續(xù)安全過程使用的密鑰。AMF/SEAF在認(rèn)證與密鑰分發(fā)流程中，應(yīng)能正確處理同步失敗消息以及由SEAF/AMF/AUSF檢測到的RES*校驗失敗。同步失敗的處理：當(dāng)從UE收到攜帶同步失敗指示參數(shù)(AUTS)的消息時，AMF/SEAF不應(yīng)響應(yīng)未經(jīng)認(rèn)“synchronisationfailureindication”的Nausf_UEAuthentication_Authenticate請求消息，AMF/SEAF需在收到Nausf_UEAuthentication_Authenticate響應(yīng)消息后，或者計時器超時后，才能發(fā)送認(rèn)證請求給UE；RES*校驗失敗的處理：AMF/SEAF在向AUSF發(fā)送RES*后，或者向AUSF發(fā)送Nausf_UEAuthentication_AuthenticateRequest消息后，按以下方式處理：如果AUSF在Nausf_UEAuthentication_AuthenticateResponse消息中指示RES*校驗失敗，或者SEAF校驗RES*失敗。則：若UE使用SUCI，SEAF通過發(fā)送認(rèn)證拒絕消息給UE進(jìn)而拒絕認(rèn)證。若UE使用SUPI或5G-GUTI，則SEAF/AMF觸發(fā)身份請求流程，以獲得UE的SUCI，并可選觸發(fā)對UE的認(rèn)證流程。另外，如果AMF/SEAF沒有按照預(yù)期收到AUSF發(fā)送的Nausf_UEAuthentication_AuthenticateRequest消息，那么AMF/SEAF要拒絕認(rèn)證或者觸發(fā)身份請求流程”。5.1.3NAS安全機制GB/T×××××—××××AMF應(yīng)支持NAS（非接入層）安全機制。在N1參考點上保護UE和AMF之間NAS信令和數(shù)據(jù)的安全機制，包括完整性和機密性保護。AMF應(yīng)支持對NAS消息的抗重放保護，在UE和AMF/SEAF之間交互的安全模式命令流程中，AMF應(yīng)丟棄重放的NAS消息。AMF應(yīng)能正確使用NAS空完整性保護算法，即對于除未授權(quán)的緊急呼叫的場景，應(yīng)禁用NIA0。5.1.4同制式基站間的移動性安全在UE進(jìn)行相同制式基站間Xn切換時，AMF應(yīng)能阻止降級攻擊，并可記錄UE安全能力不匹配事件。即：AMF應(yīng)檢查來自UE目的基站發(fā)送的PathSwitch消息中的安全能力與本地保持的是否一致。若不一致，AMF需通過PathSwitchAcknowledge消息將本地保留的5G安全能力發(fā)送給UE，并記錄本次事件，同時可采取額外安全措施，例如告警。在UE進(jìn)行N2切換（AMF改變）時，AMF應(yīng)能正確選擇NAS保護算法。即：目標(biāo)AMF應(yīng)選擇優(yōu)先級最高的NAS算法，并使用NGAPHandoverRequest消息中的NASContainer指示UE使用更新的算法。在UE進(jìn)行AMF改變的移動性注冊更新時，目標(biāo)AMF應(yīng)選擇優(yōu)先級最高的NAS算法，并使用NAS安全模式命令指示UE使用更新的算法。5.1.55G-GUTI分配AMF應(yīng)支持通過分配臨時本地的5G-GUTI標(biāo)識，為UE提供隱私保護功能。AMF只有在成功激活NAS安全后才能給UE發(fā)送新的5G-GUTI。AMF應(yīng)支持在合適的場景給UE分配新的5G-GUTI。AMF為UE分配新的5G-GUTI分為三種情況。一是AMF收到了來自UE的初始注冊或移動性注冊更新的注冊請求消息時，應(yīng)向UE分配一個新的5G-GUTI；二是AMF收到了來自UE的周期性注冊的注冊請求消息時，應(yīng)向UE分配一個新的5G-GUTI；三是AMF收到響應(yīng)尋呼消息的服務(wù)請求消息時，應(yīng)向UE分配一個新的5G-GUTI。注1：5G-GUTI重分配頻率與實現(xiàn)相關(guān)。注2：包含5G-TMSI的5G-GUTI的生成與實現(xiàn)相關(guān)。5.1.6注冊流程安全AMF應(yīng)能夠不接受無效的或者不可接受的UE安全能力。即：如果UE在注冊請求中攜帶了無效的或者AMF不可接受的UE安全能力，AMF應(yīng)能發(fā)送注冊拒絕消息拒絕該UE入網(wǎng)。5.2UPF安全功能要求5.2.1概述用戶平面功能（UPF）網(wǎng)絡(luò)功能，提供5G核心網(wǎng)用戶平面數(shù)據(jù)包的路由和轉(zhuǎn)發(fā)相關(guān)功能，提供N3、N4、N9接口數(shù)據(jù)的安全保護，包括機密性、完整性和防重放保護，保證TEID的唯一性等安全功能。UPF網(wǎng)元安全功能要求見YD/T3807-2020和YD/T4204-2023、3GPPTS33.117和3GPPTS33.513的R16最新版本。5.2.2N3接口傳輸?shù)挠脩魯?shù)據(jù)機密性安全UPF應(yīng)支持gNB和UPF之間的N3接口傳輸?shù)挠脩魯?shù)據(jù)機密性保護。5.2.3N3接口傳輸?shù)挠脩魯?shù)據(jù)完整性安全GB/T×××××—××××UPF應(yīng)支持gNB和UPF之間的N3接口傳輸?shù)挠脩魯?shù)據(jù)完整性保護。5.2.4N3接口用戶數(shù)據(jù)防重放安全UPF應(yīng)支持gNB和UPF之間N3接口傳輸?shù)挠脩魯?shù)據(jù)防重放保護。5.2.5PLMN內(nèi)N9接口用戶數(shù)據(jù)安全UPF應(yīng)支持PLMN內(nèi)N9接口的用戶面的機密性和完整性保護。5.2.6N4接口數(shù)據(jù)保護UPF應(yīng)支持N4接口的用戶面的機密性和完整性保護。5.2.7TEID唯一性UPF應(yīng)支持TEID的唯一性，一個新的PDU會話建立或釋放時，由SMF或UPF分配和釋放隧道信息。TEID唯一性要求包括：5.2.8二次鑒權(quán)UPF應(yīng)支持對用戶的二次鑒權(quán)，應(yīng)滿YD/T3628-2019中11.1相關(guān)要求。5.2.9數(shù)據(jù)分流UPF應(yīng)支持基于IP、DNN、域名等分流機制。5.3UDM安全功能要求5.3.1概述5G移動通信統(tǒng)一數(shù)據(jù)管理（UDM）網(wǎng)絡(luò)功能，用于用戶標(biāo)識數(shù)據(jù)、用戶鑒權(quán)數(shù)據(jù)、用戶簽約數(shù)據(jù)、SMS管理簽約數(shù)據(jù)、會話管理簽約數(shù)據(jù)、用戶電信業(yè)務(wù)動態(tài)數(shù)據(jù)、AMF數(shù)據(jù)中的UE上下文、SMF數(shù)據(jù)中的UE上下文、SMSF數(shù)據(jù)中的UE上下文管理，為UE接入提供認(rèn)證、鑒權(quán)功能，提供密鑰保護、數(shù)據(jù)安全保護機制。UDM網(wǎng)元安全功能要求見YD/T3807-2020和YD/T4204-2023、3GPPTS33.117和3GPPTS33.514的R16最新版本。5.3.2鑒權(quán)認(rèn)證機制UDM應(yīng)支持與UDM網(wǎng)元有數(shù)據(jù)交互的設(shè)備進(jìn)行身份認(rèn)證，防止對端假冒身份發(fā)送偽造數(shù)據(jù)。UDM應(yīng)支持與支持基于簽約數(shù)據(jù)的UE接入鑒權(quán)。5.3.3密鑰保護機制UDM應(yīng)為用于認(rèn)證、數(shù)據(jù)安全、安全聯(lián)盟建立的長期密鑰提供保護機制，應(yīng)滿足行業(yè)標(biāo)準(zhǔn)YD/T3628-2019中第5.7.1節(jié)相關(guān)要求。GB/T×××××—××××5.3.4與UDM和SIDF相關(guān)的用戶隱私要求與UDM和SIDF相關(guān)的用戶隱私要求，應(yīng)滿足行業(yè)標(biāo)準(zhǔn)YD/T3628-2019中第5.7.2節(jié)相關(guān)要求。5.3.5數(shù)據(jù)安全保護機制UDM應(yīng)支持接口通信數(shù)據(jù)安全包括：a)支持在AMF和UDM之間接口通信數(shù)據(jù)機密性和完整性保護；b)支持在SMF和UDM之間接口通信數(shù)據(jù)機密性和完整性保護；c)支持在AUSF和UDM之間接口通信數(shù)據(jù)機密性和完整性保護；d)支持在SMSF和UDM之間接口通信數(shù)據(jù)機密性和完整性保護。UDM應(yīng)支持用戶標(biāo)識數(shù)據(jù)、用戶鑒權(quán)數(shù)據(jù)、用戶簽約數(shù)據(jù)、SMS管理簽約數(shù)據(jù)、會話管理簽約數(shù)據(jù)、用戶電信業(yè)務(wù)動態(tài)數(shù)據(jù)、AMF數(shù)據(jù)中的UE上下文、SMF數(shù)據(jù)中的UE上下文、SMSF數(shù)據(jù)中的UE上下文的數(shù)據(jù)存儲安全。UDM應(yīng)支持用戶標(biāo)識數(shù)據(jù)、用戶鑒權(quán)數(shù)據(jù)、用戶簽約數(shù)據(jù)、SMS管理簽約數(shù)據(jù)、會話管理簽約數(shù)據(jù)、用戶電信業(yè)務(wù)動態(tài)數(shù)據(jù)、AMF數(shù)據(jù)中的UE上下文、SMF數(shù)據(jù)中的UE上下文、SMSF數(shù)據(jù)中的UE上下文的備UDM應(yīng)支持完整備份、鏡像備份，異地備份等多種備份方式，并定期對備份文件進(jìn)行完整性檢查。5.4SMF安全功能要求5.4.1概述5G移動通信會話管理功能（SMF）網(wǎng)絡(luò)功能，負(fù)責(zé)PDU隧道維護、IP地址分配和管理、UP功能選擇、用戶面安全策略實施、計費數(shù)據(jù)采集等。SMF網(wǎng)元安全功能要求見YD/T3807-2020和YD/T4204-2023、3GPPTS33.117和3GPPTS33.515的R16最新版本。5.4.2用戶面安全策略優(yōu)先級要求SMF應(yīng)支持將從UDM處獲取的用戶面安全策略的優(yōu)先級配置成高于SMF本地配置的用戶面安全策略。5.4.3TEID唯一性要求SMF應(yīng)支持為每一個新PDU會話的GTP隧道分配的TEID是唯一的。注1：根據(jù)運營商在SMF中的配置，由SMF或者UPF實現(xiàn)當(dāng)新的PDU會話建立或釋放的時候，核心網(wǎng)隧道信息也會進(jìn)行注2：TEID為隧道端點信息，在GTP-U協(xié)議實體中唯一地標(biāo)識了一個隧道端點信息，GTP隧道的接收方在本地為發(fā)送5.4.4檢查用戶面安全策略要求SMF應(yīng)支持檢查從目標(biāo)ng-eNB/gNB收到的用戶面安全策略是否跟SMF本地保存的用戶面安全策略相同。如果二者不同，SMF應(yīng)把本地保存的用戶面安全策略通過Path-SwitchAcknowledge消息發(fā)送給目標(biāo)基站。SMF應(yīng)記錄此事件，還可以增加告警等額外手段。5.4.5ChargingID唯一性要求GB/T×××××—××××SMF應(yīng)支持通過服務(wù)化接口對PDU會話計費，且為每一個PDU會話分配的ChargingID是唯一的。SMF應(yīng)收集UEPDU會話的計費信息，這些PDU會話可以通過3GPP接入和非3GPP接入而建立。5.5AUSF安全功能要求5G移動通信認(rèn)證服務(wù)功能（AUSF）網(wǎng)絡(luò)功能，用于支持用戶從蜂窩網(wǎng)絡(luò)和非蜂窩網(wǎng)絡(luò)接入5G網(wǎng)絡(luò)時認(rèn)證過程，包括根據(jù)服務(wù)網(wǎng)絡(luò)提供認(rèn)證參數(shù)，完成對UE的認(rèn)證，并在認(rèn)證后向AMF提供SUPI，基于KAUSF推衍KSEAF（下標(biāo)）和認(rèn)證密鑰KAUSF的存儲。AUSF網(wǎng)元安全功能要求見YD/T3807-2020和YD/T4204-2023、3GPPTS33.117和3GPPTS33.516的R16最新版本。AUSF網(wǎng)絡(luò)功能除6.1節(jié)要求的通用安全功能之外，無特殊安全功能要求。5.6SEPP安全功能要求5.6.1概述5G移動通信安全邊緣保護代理（SEPP）網(wǎng)絡(luò)功能，用于跨PLMN控制平面接口的消息過濾和監(jiān)管、拓?fù)潆[藏等功能，為5G網(wǎng)絡(luò)N32接口提供雙向認(rèn)證、信令機密性和完整性保護、速率限制、反欺騙等機制，充當(dāng)實際服務(wù)生產(chǎn)者和實際服務(wù)消費者之間服務(wù)中繼的非透明代理節(jié)點。SEPP網(wǎng)元安全功能要求見YD/T3807-2020和YD/T4204-2023、3GPPTS33.117和3GPPTS33.517的R16最新版本。5.6.2對端SEPP和IPX提供商的加密參數(shù)的處理SEPP應(yīng)能夠明確區(qū)分用于對端SEPP身份認(rèn)證的證書和用于執(zhí)行消息修改的IPX的身份認(rèn)證的證書。SEPP應(yīng)拒絕中間IPX提供商為N32-cTLS連接建立提供的公鑰/證書，以及不接受對端SEPP的公鑰/證書簽名的N32-fJSON補丁。兩個SEPP間建立了N32連接后，SEPP應(yīng)支持將收到對端SEPP通過N32-c發(fā)送的IPX提供者的公鑰/證書，作為IPX安全信息列表的一部分。當(dāng)SEPP收到使用IPX提供商的私鑰構(gòu)建的建立新N32-cTLS連接時，SEPP應(yīng)拒絕新的N32-cTLS連接。當(dāng)中間IPX系統(tǒng)在N32-f消息中附加一個任意JSON-(NULL)補丁，并使用對端SEPP的私鑰簽名時，SEPP應(yīng)丟棄此JSON補丁。IPX提供商用于簽名修改的N32-f消息的參數(shù)（公鑰/證書）應(yīng)呈現(xiàn)的IPX安全信息列表中，否則SEPP不應(yīng)接受由該IPX提供商簽名的N32-f修改的消息。兩個SEPP間建立了N32連接后，SEPP應(yīng)支持將收到對端SEPP通過N32-c發(fā)送的IPX提供者的公鑰/證書（KEY_A作為IPX安全信息列表的一部分。當(dāng)SEPP收到通過N32-f發(fā)送的消息中包含IPX提供商的JSON-(NULL)補丁且此補丁的簽名所使用的密鑰不在IPX安全信息列表中，則SEPP應(yīng)丟棄此N32-f消息。5.6.3服務(wù)PLMNID校驗SEPP通應(yīng)支持過校驗接收到的N32-f信息中的PLMNID和相關(guān)N32-f上下文中PLMNID，驗證消息的來源。SEPP和對端SEPP建立N32連接時，SEPP應(yīng)產(chǎn)生N32-f上下文信息，且上下文信息中包含對端SEPP的PLMNID。NFServiceRequest消息中應(yīng)包含網(wǎng)絡(luò)功能服務(wù)者的訪問令牌，訪問令牌中包含PLMNID。當(dāng)NFServiceReuqest經(jīng)過N32-f發(fā)送到漫游PLMN的SEPP時，漫游PLMN的SEPP在收到此服務(wù)請求時，應(yīng)校驗GB/T×××××—××××訪問令牌中包含的PLMNID和N32-f上下文中的PLMNID是否匹配，若不匹配則漫游PLMN的SEPP將通過N32-c連接向?qū)Χ薙EPP發(fā)送錯誤信令消息，消息中攜帶N32-f消息ID以及錯誤碼。5.6.4N32-f消息中加密信元的處理根據(jù)SEPP之間交換的保護策略，應(yīng)支持發(fā)送SEPP在“DataToIntegrityProtectAndCipher”塊中準(zhǔn)“DataToIntegrityProtectAndCipher”塊中每個條目包含HTTP頭值或API的JSON負(fù)載IE的值。DataToIntegrityProtectBlock的負(fù)載部分中的索引值“encBlockIdx”指向此輸入數(shù)組中的頭值或IE值的索引。SEPP應(yīng)能夠校驗中間IPX沒有將加密信元移動或者拷貝到其他位置，特別是不應(yīng)加密的信元位置。當(dāng)SEPP接收到對端SEPP通過IPX系統(tǒng)發(fā)送的N32-f消息后，SEPP應(yīng)檢查加密信元的位置是否被放置在錯誤位置。如果校驗不通過，SEPP將丟棄此N32-f消息。5.6.5保護策略不匹配時的處理當(dāng)SEPP通過N32-c收到對端SEPP的數(shù)據(jù)加密策略或修改策略時，SEPP應(yīng)將其與已經(jīng)配置的特定漫游對象和IPX提供商的策略進(jìn)行對比。如果兩個策略中有一個策略不匹配，SEPP應(yīng)根據(jù)運營商策略發(fā)送錯誤消息到對端SEPP或者創(chuàng)建本地警告。5.6.6JWS配置SEPP應(yīng)限制用于與IPX實體通信的JWS配置文件中只使用ES256算法，以免使用其他弱算法影響漫游數(shù)據(jù)的安全性。5.6.7PLMN間路由的處理如果SEPP從NF接收到一個HTTP請求的請求URI包含動態(tài)長度的FQDN和3gpp-Sbi-Target-apiRoot頭時，SEPP應(yīng)該忽略3gpp-Sbi-Target-apiRoot頭并使用FQDN路由請求。5.6.8自定義HTTP報頭與PRINS安全的處理如果在兩個SEPP之間協(xié)商了PRINS安全，3gpp-Sbi-Target-apiRoot報頭不應(yīng)在SEPP之間使用。即：當(dāng)NF發(fā)起一個包括3gpp-Sbi-Target-apiRoot頭的HTTP消息給SEPP，對端SEPP收到的受保護的HTTP請求URI中apiRoot是目標(biāo)URI的apiRoot，而不包括3gpp-Sbi-Target-apiRoot報頭。5.7NRF安全功能要求5.7.1概述5GC網(wǎng)絡(luò)寄存功能設(shè)備（NRF），負(fù)責(zé)管理網(wǎng)絡(luò)功能（NF）的注冊、發(fā)現(xiàn)和選擇。NRF網(wǎng)元的安全功能主要包括針對特定切片的NF發(fā)現(xiàn)授權(quán)、授權(quán)訪問驗證處理、NRF配置白名單策略等。NRF網(wǎng)元安全功能要求見YD/T3807-2020和YD/T4204-2023、3GPPTS33.117和3GPPTS33.518的R16最新版本。5.7.2針對特定切片的NF發(fā)現(xiàn)授權(quán)GB/T×××××—××××針對特定切片的NF發(fā)現(xiàn)授權(quán)功能的實現(xiàn)是根據(jù)切片的發(fā)現(xiàn)策略，請求發(fā)現(xiàn)的NF實例不是特定切片的一部分時，NRF應(yīng)通過返回一個帶有“403Forbidden”狀態(tài)碼的響應(yīng)（如TS29.510中第.2條所規(guī)定的）拒絕該NF實例的發(fā)現(xiàn)請求。5.7.3授權(quán)訪問驗證NRF作為OAuth2.0的鑒權(quán)服務(wù)端，當(dāng)NF請求服務(wù)時，NRF應(yīng)向通過授權(quán)校驗的NF服務(wù)使用者發(fā)放NF服務(wù)提供者的接入令牌（accesstoken），令牌中包括：發(fā)行方NRF信息，請求方NF信息，服務(wù)提供方NF信息，請求的服務(wù)信息，有效時間。5.7.4NRF配置白名單策略根據(jù)NRF的白名單等策略，NRF應(yīng)拒絕不在白名單中NF實例的服務(wù)發(fā)現(xiàn)請求，并返回的響應(yīng)中攜帶“403Forbidden”。5.8NEF安全功能要求5.8.1概述5G移動通信網(wǎng)絡(luò)開放功能（NEF）網(wǎng)絡(luò)功能，用于保證外部AF到5G核心網(wǎng)的安全，提供向外部AF開放5G核心網(wǎng)NF業(yè)務(wù)和能力、外部AF向5G核心網(wǎng)提供信息、內(nèi)部-外部信息轉(zhuǎn)換、開放從其他NF處接收到的信息等網(wǎng)絡(luò)功能，還可以支持PFD功能和非IP數(shù)據(jù)傳輸。NEF網(wǎng)元安全功能要求和測試方法見YD/T3807-2020和YD/T4204-2023、3GPPTS33.117和3GPPTS33.519的R16最新版本。5.8.2應(yīng)用功能（AF）認(rèn)證NEF應(yīng)支持與AF之間的相互認(rèn)證。NEF和位于運營商網(wǎng)絡(luò)之外的AF之間進(jìn)行認(rèn)證時，NEF與AF之間基于客戶端和服務(wù)器端證書使用TLS進(jìn)行相互認(rèn)證?；谧C書的認(rèn)證應(yīng)遵循3GPPTS33.210第6.2條中給出的配置文件。5.8.3北向API授權(quán)NEF應(yīng)支持對AF進(jìn)行授權(quán)。NEF應(yīng)采用基于OAuth的授權(quán)機制，對AF的請求進(jìn)行授權(quán)，具體授權(quán)機制應(yīng)遵循IETFRFC6749的規(guī)定。5.9N3IWF安全功能要求5.9.1概述N3IWF作為非蜂窩接入5GC的網(wǎng)關(guān)設(shè)備，其主要功能是支持與UE建立IPSec通道，終止5G核心網(wǎng)的N2接口（控制面）和N3接口（用戶面），中繼UE和AMF之間上行和下行控制面NAS（N1接口）信令，處理來自SMF（經(jīng)AMF中繼）與PDU會話和QoS相關(guān)的N2信令等。N3IWF網(wǎng)元安全功能要求見YD/T3807-2020、3GPPTS33.117的R16最新版本和3GPPTS33.520的R17最新版本。5.9.2EAP-Identity請求消息處理GB/T×××××—××××N3IWF應(yīng)盡量不向UE發(fā)送EAP-Identity請求來保護IMSI信息，如果N3IWF給UE發(fā)送EAP-Identity請求，那么UE在忽略該消息，或向N3IWF回應(yīng)EA