5G核心网后量子密码架构：SBA与漫游接口PQC迁移

一、 5G核心网面临的量子计算威胁与迁移驱动力

第五代移动通信系统（5G System, 5GS）作为国家关键信息基础设施与数字化社会的神经中枢，承载着海量人际通信、工业互联网低时延控制、车联网（V2X）安全交互以及国家重要政企专网通信。在 3GPP（第三代合作伙伴计划）的标准定义中，5G 架构相较于 4G LTE 实现了从传统点对点协议栈向基于服务架构（Service-Based Architecture, SBA）与完全云原生微服务网格的演进。然而，这种深度解耦、接口开放以及全面基于公钥基础设施（PKI）构建的信任链条，在量子计算快速演进的宏观背景下，面临着前所未有的系统性安全脆弱性。

1.1 5G安全体系中的公钥密码依赖图谱

根据 3GPP TS 33.501（5G系统安全架构与流程规范），现代 5G 核心网在控制面、用户面以及跨运营商漫游互联中深度部署了非对称公钥密码机制。其核心依赖主要分布在以下关键节点：

1. 终端身份隐私隐藏（SUPI/SUCI 计算）：为杜绝 2G/3G/4G 时代伪基站嗅探器对用户永久标识符的明文拦截，5G 引入了基于椭圆曲线集成加密方案（ECIES）的认购方隐藏标识符（Subscription Concealed Identifier, SUCI）。终端利用运营商预置在 USIM 卡或基带芯片中的归属网络公钥（HN Public Key，通常采用 Curve25519 或 secp256r1）对用户永久标识符（Subscription Permanent Identifier, SUPI）进行非对称加密，仅归属网络统一数据管理（UDM）中的认购方标识去隐藏功能（Subscription Identifier De-concealing Function, SIDF）拥有私钥并能够还原明文。
2. SBA 微服务网格服务化接口（SBI）通信安全：5G 核心网内部网元（如接入与移动性管理功能 AMF、会话管理功能 SMF、网络存储库功能 NRF、策略控制功能 PCF、统一数据管理 UDM 等）之间的 HTTP/2 API 调用，完全依赖双向传输层安全协议（mTLS 1.3）与 OAuth 2.0 访问令牌机制。其中，TLS 1.3 密钥协商普遍采用经典 ECDH（如 X25519 或 P-256），身份认证与 JSON Web Token（JWT）签名则依赖 RSA-2048、ECDSA 或 Ed25519。
3. 跨运营商漫游互联（N32 接口与 SEPP）：在拜访地网络（V-PLMN）与归属地网络（H-PLMN）跨域交互时，安全边缘保护代理（Security Edge Protection Proxy, SEPP）通过 N32 接口建立互联。N32-c 控制面依赖 IKEv2 或 TLS 协商安全上下文，而 N32-f 数据面则基于协议间漫游信令安全（Packet Routing and Inter-PLMN Network Security, PRINS）规范，利用 JSON Web Encryption（JWE）与 JSON Web Signature（JWS）对信令载荷中的敏感字段实施逐段加密与签名保护。

上述核心密码协议的数学安全性完全建立在两类经典数论难题之上：有限群上的离散对数问题（DLP / ECDLP）与大整数因数分解问题（IFP）。

1.2 先存后解（HNDL）对电信基础设施与长期隐私的现实威胁

根据 Shor 算法的理论证明，一台具备足够容错能力的量子计算机可在多项式时间复杂性内求解离散对数与大数分解难题：

这意味着，一旦大规模容错量子计算机研制成功，现网所有基于 RSA、ECDSA、ECDH 及 ECIES 的密码防御将被彻底攻破。

更为紧迫的现实威胁在于“先存后解”（Harvest Now, Decrypt Later, HNDL）攻击范式。国家级或高度组织化的威胁实体目前正对全球跨国海缆、国际骨干网交换中心以及运营商之间的 IPX（IP Exchange）中继信道实施持续性、全流量拦截与静态存储。尽管攻击者当前无法实时解密被 ECDH 或 ECIES 保护的 5G 信令与用户数据，但一旦量子计算算力突破临界阈值，这些历史留存数据将被全量解密。在电信基础设施领域，其危害具有长期不可逆性：

• 国家关键人员与敏感资产的长期轨迹追溯：截获的历史 SUCI 密文若被批量解密，将直接暴露出数年前特定高价值终端在特定基站下的物理位置轨迹与驻留时间，导致不可挽回的安全风险；
• 核心通信鉴权主密钥泄露：5G-AKA 鉴权流程中通过 SBI 接口与 N32 漫游链路传输的鉴权向量（Authentication Vectors, AV）与根密钥派生参数若被破译，攻击者可逆向伪造合法终端或基站，实施深度中间人攻击；
• 工业控制与车联网核心控制流还原：通过 5G 专网传输的电网控制指令、智慧交通协同控制信令与智能制造工艺参数，其保密期限通常长达 10 至 20 年，完全处于 HNDL 威胁的有效暴露窗口期内。

1.3 国际标准化组织演进节奏与产业协同

为应对量子威胁，全球移动通信与密码标准化组织正在加速推进后量子密码在 5G 及未来 6G 架构中的深度集成：

由此可见，5G 核心网的后量子密码迁移已从早期的理论预研阶段，全面转入协议规范制定、微架构优化与设备级互通改造的关键工程实施阶段。

1.4 电信网络与通用互联网在后量子迁移中的本质差异

与通用互联网基于 Web 浏览器的单向或弱双向认证环境不同，电信级 5G 核心网在后量子密码迁移中具有极为严苛的行业特异性与工程边界条件：

1. 超大规模并发与毫秒级连接建立要求：在特大城市核心网机房中，单台 AMF 网元可能同时维持数百万在线终端的注册状态，在重大节假日或通信基站故障恢复等突发流量高峰期，每秒新建与重连信令（Call Attempts Per Second, CAPS）可达十万级。若非对称密码握手计算时延增加数倍，将直接引发信令队列溢出、鉴权超时级联瘫痪等灾难性后果；
2. 多层嵌套的协议栈与异构传输通道：5G 信令不仅运行于基于标准 TCP/IP 的以太网线路上，还深度嵌套于无线资源控制（RRC）、非接入层（NAS）、GPRS 隧道协议（GTP-C/GTP-U）、流控制传输协议（SCTP）以及直径协议（Diameter，用于 4G 互通演进）。任意层级引入的公钥与签名报文膨胀，都可能突破下层协议固有的最大传输单元（MTU）或缓冲区硬性上限；
3. 极长周期的硬件基础设施与存量终端沉淀：基站设备、专用物理服务器、核心机房光传送网以及嵌入式 USIM 卡的更替周期通常长达 7 至 10 年。全网无法承受推倒重来的“断崖式”算法替换，必须在保障向下兼容的前提下，实现平滑、透明、非侵入式的渐进式混合演进。

二、 用户永久标识符（SUPI）的后量子隐藏与去隐藏微架构（Profile C / ML-KEM）

在 3GPP 5G 安全架构中，保护用户的真实身份不被空口窃听是整机安全设计的第一道防线。3GPP TS 33.501 附录 C 定义了通过计算 SUCI 来隐藏 SUPI 的标准流程。然而，现行标准中的密码套件无法抵御量子计算攻击，必须从数学原理与硬件实现两方面对 ECIES 机制实施后量子改造。

2.1 传统 ECIES 方案在量子计算下的漏洞推导

在 3GPP TS 33.501 现行定义中，终端支持两种标准保护方案 Profile A 与 Profile B：

• Profile A：基于 Curve25519 椭圆曲线，采用 Diffie-Hellman 运算派生共享密钥，使用 HKDF-SHA256 派生对称密钥，通过 AES-128-CTR 进行明文加密，并使用 HMAC-SHA256 产生 64 位 MAC 标签；
• Profile B：基于 NIST P-256 曲线，机制与 Profile A 类似。

以 Profile A 为例，终端生成临时私钥 $x \in \mathbb{F}_p$ 并计算临时公钥 $\tilde{X} = x \cdot G$。令运营商归属网络公共公钥为 $Y_{\mathrm{HN}} = y_{\mathrm{HN}} \cdot G$。终端计算共享秘密：

随后通过密钥派生函数派生加密密钥与认证密钥：

最终输出的 SUCI 格式为：

在攻击者截获空口传输的 $\tilde{X}$ 与密文之后，若具备容错量子计算机，可在 $O(\log p)$ 步内通过 Shor 算法求解出归属网络私钥 $y_{\mathrm{HN}}$：

一旦 $y_{\mathrm{HN}}$ 被破解，攻击者可对全网所有终端生成的历史与未来 SUCI 实施无限制批量瞬时解密：

这导致 5G 空口身份隐私保护机制彻底失效。

2.2 基于 FIPS 203 ML-KEM-768 的 Profile C 规范设计

为实现抗量子计算攻击的终端身份隐私保护，3GPP SA3 在 R19 演进研究（TR 33.703）中提出了基于模格密钥封装机制（ML-KEM，即 FIPS 203 标准）的 Profile C 保护方案。

2.2.1 数学原理与代数结构推导

ML-KEM 基于模学习误差（Module Learning With Errors, M-LWE）难题构建。其代数基础定义在分圆多项式商环：

其中模数 $q = 3329$。在多项式环中，任意元素 $a(X) \in R_q$ 均可表示为 256 项系数构成的向量：

由于 $q \equiv 1 \pmod{512}$，有限域 $\mathbb{Z}_q$ 中存在 256 次本原单位根 $\omega = 17$（满足 $\omega^{256} \equiv -1 \pmod q$）。这一代数特性保证了可以在 $R_q$ 上高效执行数论变换（NTT），使得两个多项式的乘法运算复杂度从标量卷积的 $O(N^2)$ 显著降低至 $O(N \log N)$。

对于 5G 电信级安全场景，推荐采用安全强度等价于 AES-192 的 ML-KEM-768（参数矩阵维度 $k=3$）。

Profile C 的密钥生成与封装流程如下：

1. 归属网络公钥配置：运营商在 UDM/SIDF 中生成私钥向量 $\mathbf{s} \in R_q^k$，并计算公钥 $\mathbf{t} = \mathbf{A}\mathbf{s} + \mathbf{e}$，其中 $\mathbf{A} \in R_q^{k \times k}$ 为由公共种子生成的伪随机多项式矩阵，$\mathbf{e} \in R_q^k$ 为来自中心二项分布 $B_\eta$ 的小误差向量（在 ML-KEM-768 中 $\eta_1 = 2$）。公钥 $pk = (\mathbf{t} \parallel \mathrm{seed}_A)$ 预置于终端 USIM 中（长度为 1184 字节）。
2. 终端侧封装（Encapsulation）：
   • 终端生成 32 字节物理真随机种子 $m \leftarrow \{0,1\}^{256}$；
   • 派生随机多项式向量 $\mathbf{r} \leftarrow B_\eta^k$ 及误差项 $(\mathbf{e}_1, e_2)$；
   • 计算密文向量 $\mathbf{u} = \mathbf{A}^T \mathbf{r} + \mathbf{e}_1$ 与多项式 $v = \mathbf{t}^T \mathbf{r} + e_2 + \mathrm{Decompress}_q(\mathrm{Encode}(m))$；
   • 对 $(\mathbf{u}, v)$ 进行压缩编码，生成固定长度为 1088 字节的密文 $c_{\mathrm{PQC}}$，并派生共享秘密：

3. SUPI 对称加密与封装：
   • 使用 HKDF 从 $K$ 派生对称加密密钥 $K_{\mathrm{enc}}$（AES-256-GCM）；
   • 对 SUPI 原始明文（包含 IMSI 字符串）执行高强度 AEAD 加密，输出 16 字节密文与 16 字节认证标签。

2.2.2 协议载荷与空口传输开销对比

下表详细对比了传统 ECIES 方案与后量子 Profile C 方案在算法参数与通信开销上的工程差异：

虽然 Profile C 使得空口初始注册请求（Registration Request）中的 SUCI 长度从数十字节增加至约 1.1 KB，但在 5G NR RRC 信令最大传输单元（MTU 通常为 1500 字节或由 RLC 层透明分段）范围内，单个 RRC 建立信令即可完整封装，无需引发多次无线往返交互。

2.3 终端与 UDM/SIDF 去隐藏硬件架构

在 5G 注册流程中，SUCI 计算发生在资源高度受限的终端侧，而去隐藏操作（De-concealment）则发生在核心网 UDM 的专用硬件安全模块（HSM）中。核心网侧每秒需处理数万次至数十万次并发接入鉴权请求，对去隐藏算法的吞吐量与抗侧信道防护提出了极高要求。

如上图 1 所示，整个 SUCI 计算与去隐藏处理流水线呈现出清晰的端到端分层处理架构：

1. 终端侧流水线：
   • 终端插入 USIM 卡后，基带处理器或 USIM 卡内安全单元（Secure Element, SE）读取归属网络 PQC 公钥；
   • 触发 ML-KEM-768 封装引擎，基于物理随机数生成临时密文 $c_{\mathrm{PQC}}$ 与会话主密钥 $K$；
   • 通过 AES-256-GCM 加密 SUPI，生成结构化 SUCI 字符串，并通过 5G-NR 空口透明经由 gNodeB 与 AMF 上送。
2. 核心网 UDM/SIDF 高性能解封装引擎：
   • AMF 将包含 SUCI 的鉴权请求通过 SBA 接口（Nausf_UEAuthentication_Authenticate Request）转发给 AUSF，并最终路由至 UDM；
   • UDM 将密文分发给专用硬件密码加速芯片（SIDF Hardware Accelerator）；
   • 芯片内部基于多通道原位数论变换（In-place NTT）蝶形流水线，在 $O(N \log N)$ 周期内完成多项式模乘：

• 经过解码后恢复出 32 字节秘密 $m'$；
• 常数时间 FO 变换验证：硬件重新调用封装算法计算 $(\mathbf{u}', v') = \mathrm{Encaps}(pk, m')$。若 $(\mathbf{u}', v') == (\mathbf{u}, v)$，则输出有效共享密钥 $K' = \mathrm{KDF}(m' \parallel \mathcal{H}(c))$；若不相等，则输出伪随机哑密钥（Implicit Rejection），从而完全抵御选择密文攻击（IND-CCA2）。

3. 物理 QRNG 熵源注入：
   • 在 UDM/AUSF 恢复出真实 SUPI 之后，鉴权中心需立即生成 5G-AKA 鉴权向量（RAND, AUTN, XRES*, K_AUSF）；
   • 系统通过板载 1Gbps 物理速率量子随机数发生器（QRNG），向鉴权向量生成引擎注入高熵真随机种子，确保挑战随机数 RAND 的绝对物理不可预测性。

2.4 常数时间实现与侧信道物理防护

格密码在嵌入式芯片或服务器硬件实现中极易受到差分功耗分析（DPA）与电磁辐射分析（SEMA）攻击。在 SIDF 解封装过程中，私钥多项式向量 $\mathbf{s}$ 与中间状态多项式的系数若在乘法或条件分支中引入与秘密相关的时延波动，攻击者可通过千次功耗轨迹采集恢复私钥。

工程防护必须满足以下硬性指标：

1. 全流水线常数时间（Constant-Time Execution）：严禁在多项式模约简（Montgomery / Barrett Reduction）与 FO 变换比较中出现数据相关的 if-else 分支或跳转指令。多项式比较必须采用常数时间按位或累加：

/* 常数时间缓冲区比较示例：防时延侧信道泄漏 */
uint32_t constant_time_memcmp(const uint8_t *a, const uint8_t *b, size_t len) {
    uint32_t diff = 0;
    for (size_t i = 0; i < len; i++) {
        diff |= (a[i] ^ b[i]);
    }
    return (uint32_t)((((uint64_t)diff | -((int64_t)diff)) >> 63) & 1);
}

2. 一阶布尔/算术掩码（Masking）技术：对私钥多项式 $\mathbf{s}$ 实施加法秘密共享 $\mathbf{s} = \mathbf{s}_1 + \mathbf{s}_2$，在运算全过程中维持双轨随机掩码，使得单条功耗轨迹与真实私钥在统计上一阶无关。

2.5 USIM 卡内安全芯片与 APDU 指令通道的后量子适配

在终端侧，SUCI 封装计算可在终端基带芯片（Modem Baseband）中执行，亦可在物理 USIM 卡内的安全芯片（Secure Element, SE）中独立完成。在 3GPP TS 31.102 规范中，USIM 卡内运行着 Java Card 等智能卡操作系统，其计算能力与 RAM 资源受到严格限制（通常仅有数十 KB 的可用 RAM 与低主频 8/16/32 位安全内核）。

当在 USIM 卡内执行基于 ML-KEM-768 的 Profile C 计算时，系统面临两大硬件限制：

1. RAM 内存峰值优化（In-place Memory Layout）：ML-KEM-768 封装需要处理多项式矩阵 $\mathbf{A} \in R_q^{3 \times 3}$。若在内存中完整展开整个矩阵，仅系数存储便需要 $3 \times 3 \times 256 \times 2 = 4608$ 字节。为避免内存溢出，卡内算法采用**即时流式采样（On-the-fly Generation）**策略，每次仅根据公开种子 $\mathrm{seed}_A$ 与行/列索引通过 XOF（可扩展输出函数 SHAKE-128）生成单个多项式 $A_{i,j}$，与临时多项式 $r_j$ 完成模乘累加后立即释放，使得全流程动态 RAM 占用严格压制在 1.8 KB 以内；
2. 扩展 APDU（Extended Length APDU）指令封装：传统 ISO 7816-4 APDU 指令的最大数据载荷仅为 255 字节（Short APDU）。而 ML-KEM-768 输出的密文 $c_{\mathrm{PQC}}$ 达到 1088 字节。因此，基带与 USIM 之间的交互必须启用 Extended APDU（支持最大 65535 字节载荷）或采用分片传输机制（Envelope Command Chaining）：

通过在智能卡安全操作系统内核中固化原位 NTT 协处理器指令，USIM 卡内完成 Profile C 单次 SUCI 计算的耗时可稳定控制在 12 毫秒以内，对终端开机搜网与附着时延几乎无感知影响。

三、 5G SBA（基于服务架构）微服务网格的后量子零信任通信

5G 核心网控制面彻底颠覆了 4G EPC 基于专用硬件与点对点 Diameter/GTP-C 协议的设计，全面采用基于 HTTP/2 协议栈与 JSON 序列化的微服务化架构（SBA）。在 SBA 体系中，每个网络功能（Network Function, NF）既作为服务消费者（Consumer），又作为服务生产者（Producer），并通过服务化接口（SBI）直接进行网状互联。这种架构极大地提升了网络的弹性与敏捷度，但同时也使得网络内部横向移动与窃听攻击面显著扩大。

3.1 基于 HTTP/2 与 TLS 1.3 的 SBA 接口安全挑战

在 3GPP TS 33.501 规范中，SBA 接口的零信任安全基线主要依托两大支柱：

1. 双向传输层安全认证（mTLS 1.3）：确保通信网元之间的双向身份认证与端到端传输加密；
2. OAuth 2.0 访问令牌授权（RFC 6749）：网络存储库功能（NRF）充当授权服务器（Authorization Server, AS），向服务消费者网元签发具有精细化权限范围与生命周期的 JSON Web Token（JWT），服务生产者网元（如 UDM、PCF）通过公钥验证 JWT 签名。

在量子威胁下，现网运行的 ECDHE 密钥交换与基于 ECDSA/RSA 的 JWT 签名体系均处于脆弱状态。此外，PQC 算法引入的公钥与签名尺寸膨胀，对 HTTP/2 的底层多路复用与高频短连接性能构成了严峻挑战。

3.2 混合密钥交换（X25519MLKEM768）在 mTLS 中的工程实现

为确保平滑演进并兼顾合规性，IETF 与 3GPP 均明确推荐在过渡期采用混合密钥交换机制（Hybrid Key Exchange, RFC 9954）。

3.2.1 组合密钥派生机制

在 TLS 1.3 握手阶段，客户端同时发送经典椭圆曲线公钥与后量子封装公钥：

服务端接收到公钥后，分别执行 X25519 标量乘法与 ML-KEM-768 封装运算，分别获得经典共享秘密 $SS_{\mathrm{classic}}$ 与后量子共享秘密 $SS_{\mathrm{PQC}}$。两部分秘密通过带有特定域隔离标签的 HKDF-Extract 组合为主会话秘密：

该机制具备严格的双重安全保障属性（Dual-PRF Security）：只要经典 ECDH 或模格 ML-KEM 两者之中任一算法保持安全，最终派生出的会话加密密钥即可抵抗攻击者的逆向破解。

3.2.2 协议交互时延与报文膨胀实测

在 10Gbps 电信级光纤网络环境中，对 SBA 典型通信网元（AMF 到 UDM）的 mTLS 1.3 握手进行压力测试与性能剖析，所得数据如下表所示：

测试数据表明，纯软件实现下的混合套件会导致新建连接速率下降约 38%，但通过引入硬件密码加速卡后，握手吞吐量可大幅反超纯软件基线 5 倍以上，完全满足 5G 核心网大并发信令风暴的吞吐需求。

3.3 基于 FIPS 204 ML-DSA-65 的 OAuth 2.0 访问令牌架构

在 5G SBA 中，网元间每次业务交互均需携带由 NRF 签发的 OAuth 2.0 Access Token。

如上图 2 所示，整个 SBA 服务网格构建了完整的后量子零信任闭环：

1. 服务发现与状态注册：网元实例化后向 NRF 注册其 NFProfile，声明自身支持的后量子密码算法能力集（如 supportedCipherSuites: ["TLS_X25519MLKEM768_SHA256"]）；
2. Access Token 申请与签名签发：
   • 消费者网元（如 AMF）向 NRF 发起 nnrf-disc 授权请求；
   • NRF 验证消费者身份后，构建包含消费者 ID、生产者服务名、过期时间及权限范围的 JSON 载荷；
   • NRF 硬件密码模块调用 FIPS 204 ML-DSA-65（参数矩阵维度 $k=6, l=5$）私钥对载荷执行模格数字签名，生成符合 RFC 7515 规范的 JWS 紧凑格式令牌（签名长度为 3309 字节）；
3. 服务网格 API 调用与验签：
   • AMF 通过携带 Authorization: Bearer <JWT> 头部的 HTTP/2 POST 请求调用 UDM 服务；
   • UDM 内部的 PQC 硬件验证单元根据 NRF 公钥（长度 1952 字节）在 15 微秒内完成模格验签，并执行权限策略决策。

3.4 会话恢复与长连接复用机制

为避免高频信令交互中反复发生完整的后量子公钥握手，SBA 网格必须深度实施以下性能调优策略：

• HTTP/2 多路复用长连接池（Persistent Connection Pooling）：网元间建立长达数小时的稳定 HTTP/2 连接，通过单一 TCP/TLS 管道复用成千上万个并发流（Streams），将 PQC 握手开销摊薄至接近于零；
• TLS 1.3 会话票据（Session Ticket / 0-RTT PSK）：在连接意外中断或网元热重载时，采用预共享密钥（PSK）恢复会话，仅需单向对陈加密验证即可快速恢复通信，完全免除再次执行非对称模格计算。

3.5 SBA 服务网格细粒度访问控制与 JWT 令牌膨胀调优

在 5G SBA 架构中，随着微服务数量与调用链深度的急剧增加，网元间 HTTP/2 API 请求携带的 OAuth 2.0 Access Token 呈现高频次、多级透传特征。例如，一次典型的终端注册请求可能触发 AMF -> UDM、AMF -> AUSF、UDM -> UDR、AMF -> PCF 等数十次内部服务调用。

当将传统的 ECDSA-P256 签名（64 字节）升级为符合 NIST FIPS 204 标准的 ML-DSA-65 模格签名（3309 字节）时，HTTP 头部尺寸急剧增加，这给 HTTP/2 的 HPACK 头部压缩算法带来了显著压力：

1. HPACK 动态表溢出缓解：标准的 HTTP/2 动态表默认尺寸通常为 4096 字节。一个超过 3.3 KB 的 Authorization: Bearer <ML-DSA-JWT> 头部将瞬间占据动态表的绝大部分空间，导致其他高频 HTTP 头部的压缩命中率断崖式下滑。为解决该问题，SBA 微服务网格在网关层将 HPACK 动态表最大上限调整为 16384 字节，并在代理节点配置基于 JWT 签名的引用压缩索引；
2. 令牌缓存与就近本地验签（Local Token Validation）：服务生产者网元（如 UDM、PCF）不再对收到的每个 API 请求重复执行昂贵的公钥模格验签。网元在内存中构建带有 LRU 淘汰机制的令牌摘要缓存池，计算 TokenHash = SHA3-256(JWT) 作为索引。在令牌未过期的时间窗口内，后续相同 Token 的请求直接命中哈希缓存，将模格公钥计算开销降低 92% 以上。

四、 跨运营商漫游安全边缘代理（SEPP）与 N32 接口后量子 PRINS 改造

在跨国或跨运营商漫游场景中，拜访地网络（V-PLMN）与归属地网络（H-PLMN）之间的信令交互必须穿越非可信的第三方 IP 交换网络（IP Exchange, IPX）。为防止漫游信令被中间运营商或黑客窃听与篡改，3GPP 引入了安全边缘保护代理（SEPP）网元以及专用的 N32 接口。

4.1 5G 漫游安全威胁建模与 N32 接口协议栈

N32 接口在物理与逻辑上被严格划分为两个控制平面与数据平面子接口：

• N32-c（控制面）：用于两端 SEPP 之间进行安全能力协商、参数匹配、密钥交换以及错误告警；
• N32-f（转发面）：用于传输实际的漫游服务化业务报文。由于中间 IPX 提供商需要检查或修改特定路由头字段（例如为了计费或路由寻址），传统的端到端 TLS 隧道会彻底阻断 IPX 的合法业务，而明文传输又会导致敏感信息泄露。因此，3GPP TS 33.501 设计了协议间漫游信令安全机制（PRINS）。

在 PRINS 机制下，原始 HTTP/2 报文中的敏感字段被 JWE 加密为密文块，而允许 IPX 检查的公共字段保持明文；两端 SEPP 通过 JWS 对整个报文（包含修改历史）实施数字签名。

在量子计算时代，N32 接口是 HNDL 攻击的最主要受害面。由于漫游信令长期跨越公网或多租户 IPX 链路，黑客在网络交换节点截获的 N32-f 流量包含了跨国漫游用户的完整鉴权参数、位置移动记录与计费信息。

4.2 N32-c 控制面后量子安全上下文协商

N32-c 接口的初始建链通常基于 TLS 1.3 或 IKEv2（RFC 9370）。改造后的 N32-c 控制面流程如下：

1. 后量子算法能力集协商（Security Capability Negotiation）：
   • V-SEPP 发送 N32-c: Capability Exchange Request，其中携带本端支持的 PQC 算法列表：
     • 密钥交换：ML-KEM-768, ML-KEM-1024, X25519MLKEM768；
     • 签名认证：ML-DSA-65, ML-DSA-87, SLH-DSA-SHAKE-128f；
     • 字段加密：A256GCM, A256CBC-HS512。
   • H-SEPP 校验策略匹配矩阵，返回选择的后量子安全套件配置。
2. 端到端主密钥封装：
   • H-SEPP 生成临时 ML-KEM-768 密钥对，并将公钥随 N32-c: Parameter Exchange Response 发送给 V-SEPP；
   • V-SEPP 执行封装计算，返回密文 $c_{\mathrm{N32}}$，双方派生出用于 N32-f 字段级保护的 256 位 PRINS 根主密钥 $K_{\mathrm{PRINS\_Master}}$。

4.3 N32-f 数据面端到端细粒度加密与签名流水线

如上图 3 所示，N32-f 数据面构建了贯穿非可信 IPX 节点的后量子分段防护与验签机制：

1. 敏感载荷字段级 JWE 加密：
   • V-SEPP 接收到内部网元发往对端的 HTTP/2 POST 请求（例如携带用户鉴权参数的 JSON 报文）；
   • 根据预定义的漫游安全策略表（Security Policy Matrix），提取敏感字段（如 authenticationVector, supi, gpsi）；
   • 利用从 $K_{\mathrm{PRINS\_Master}}$ 派生出的对称密钥执行 JWE 加密，将明文字段替换为加密结构体：

{
  "encData": {
    "protected": "eyJhbGciOiJkaXIiLCJlbmMiOiJBMjU2R0NNIn0",
    "iv": "4f8a9b1c3d2e5f6a",
    "ciphertext": "9x7F2kL...[PQC-Protected-Ciphertext]...",
    "tag": "a1b2c3d4e5f6g7h8"
  }
}

2. 整体报文 JWS 签名：
   • V-SEPP 使用本端的 ML-DSA-65 私钥对包含已加密字段与未加密路由字段的完整 JSON 载荷计算模格数字签名；
   • 将签名附加在 HTTP 头部 3gpp-Sbi-Message-Priority 与 3gpp-Sbi-Signature 中。
3. 中继 IPX 代理与 H-SEPP 终端验证：
   • 中间 IPX 节点可合法读取路由头部并转发报文，但任何试图篡改敏感字段的行为均无法解密密文；若 IPX 实施非法篡改，H-SEPP 在接收到报文后执行 ML-DSA-65 验签将立即捕获完整性校验失败，直接执行隐式丢弃并触发安全告警。

4.4 穿越非可信 IPX 中继节点的防重放与信任传递

为彻底消除重放攻击与跨域身份伪造，N32-f 协议栈在 JWS 签名载荷中严格强制绑定以下动态属性：

H-SEPP 硬件安全网关维护滑动窗口防重放状态机，对时间戳偏差超过 2000 毫秒或序号重复的漫游报文予以硬件级丢弃。

4.5 跨国漫游 IPX 中继网络中的篡改审计与差分证明

在 N32 漫游场景中，跨国数据往往需要穿越由多家国际通信中转商组成的 IPX 中继链路。部分中间代理（如 IPX 优化网关、漫游防火墙）可能会基于业务需求对 HTTP 报文进行合法修改（例如重写 User-Agent、修改特定属性标签）。然而，任何未经授权的篡改（如恶意修改用户服务权限等级 QoS、劫持流量导向恶意 UPF）都会危及漫游安全。

PRINS 协议通过**修改记录树（Modifications Tracking Mechanism）**解决了合法修改与恶意篡改的判定问题。在后量子 PRINS 扩展方案中，该机制获得了进一步的数学加固：

1. 修改项增量签名链（Incremental Signature Chaining）：当授权的 IPX 代理对 JSON 报文进行修改时，必须在 HTTP 扩展头部中附加 ModificationsList 结构体，记录修改前后的 JSON Patch 操作，并使用 IPX 自身的 ML-DSA-65 私钥对该修改记录进行增量签名；
2. H-SEPP 终极一致性核验：归属地 H-SEPP 在收到报文后，首先还原原始报文并通过 V-SEPP 的 PQC 根公钥验证初始签名，随后逐级校验所有经过授权的 IPX 中继节点的增量签名链。任何未在双方漫游漫游协议（SLA）白名单中授权的属性修改，将被即时判定为非法篡改并熔断连接。

五、 用户面（UPF）与无线接入网（RAN）低时延后量子安全适配

相较于控制面聚焦非对称算法的替换，5G 用户面（User Plane Function, UPF）与无线接入网（RAN）更关注高吞吐、微秒级超低时延与对称密码体系的量子安全加固。

5.1 用户面接口与 GTP-U 协议的量子防护边界

在 5G 网络架构中，用户数据面涉及以下核心参考点：

• N3 接口：gNodeB 基站至核心网 UPF 网元之间的 GTP-U（GPRS Tunnelling Protocol User Plane）数据隧道；
• N4 接口：会话管理网元 SMF 与用户面网元 UPF 之间的控制信令接口（基于 PFCP 协议）；
• N9 接口：中间 UPF（I-UPF）与锚点 UPF（A-UPF）之间的级联隧道。

根据 Grover 量子搜索算法的理论推导，量子计算机对对称密码的暴力搜索效率从经典 $O(2^n)$ 提升至 $O(2^{n/2})$。这意味着，传统的 128 位对称加密（如 AES-128-GCM、128-NEA/NIA）在量子计算下的有效安全强度将降至 64 位，处于可被实用化破解的极度危险边缘；而 256 位对称密码（如 AES-256-GCM、256-NEA/NIA）在 Grover 算法下的有效安全强度仍保持在 128 位以上，具备充分的抗量子安全性。

5.2 256 位对称密码与密钥派生体系（KDF）量子加固

3GPP SA3 在 Release 19 规范中明确确立了向 256 位对称密码全面演进的技术路线：

1. 核心网到基站空口加密演进：
   • 传统 128 位算法演进为 256 位高强度套件：256-NEA1/NIA1（基于 SNOW 3G 256）、256-NEA2/NIA2（基于 AES-256）、以及我国自主提出的 256-NEA3/NIA3（基于自主 ZUC-256 算法）；
   • 自主祖冲之序列密码 ZUC-256 通过扩大内部线性反馈移位寄存器（LFSR）状态与非线性记忆单元，提供高达 256 位的物理安全裕度，已被 3GPP 采纳为国际标准规范。
2. 密钥派生链（Key Derivation Hierarchy）的后量子重构：
   • 5G 密钥派生树从根密钥 $K$ 逐级派生出 $K_{\mathrm{AUSF}} \rightarrow K_{\mathrm{SEAF}} \rightarrow K_{\mathrm{AMF}} \rightarrow K_{\mathrm{gNB}} \rightarrow K_{\mathrm{UPenc}}$；
   • 所有派生节点必须统一升级为 HMAC-SHA-384 或 HKDF-SHA3-256，彻底消除低位哈希截断带来的碰撞风险。

5.3 严格空口时延与 MTU 约束下的报文分片重组

在超可靠低时延通信（URLLC）场景中，端到端单向时延要求通常小于 1 毫秒。后量子密码如果引发 IP 报文分片，将极大增加空口重传概率与排队抖动。

针对该工程痛点，电信级系统实施了针对性的网络调优：

• TCP MSS 智能钳位（MSS Clamping）：在 gNodeB 与 UPF 边界动态调整 TCP 最大报文段大小，为后量子握手附加的安全头部预留 200 字节余量，杜绝 IP 层 Path MTU 探测导致的丢包；
• 控制面与用户面物理管道隔离：将耗时较长、报文较大的 PQC 控制面交互（如 mTLS / ECIES）限定在低优先级信令无线承载（SRB）上，而高优先级数据无线承载（DRB）完全采用线速 256 位硬件对称加密流水线，确保空口数据转发保持微秒级超低时延。

5.4 GTP-U 隧道后量子会话密钥重协商与无损倒换

在 5G 用户面架构中，N3 与 N9 接口上传输的 GTP-U 数据流承载着终端与外部数据网络（Data Network, DN）之间的全部 IP 报文。当 UPF 之间启用 IPsec 隧道模式进行量子安全加固时，会话主密钥必须具备定期动态轮换（Rekeying）机制，以抵御长期密钥截获分析。

然而，传统的 IKEv2 重协商过程通常需要数百毫秒，这在 100Gbps 高速电信链路上会导致数万个用户面数据包被阻塞或丢弃。

为实现用户面业务零感知的无损密钥切换，系统引入了**基于时间戳的双安全关联（Dual-SA Hitless Handover）**机制：

• 预生成与双向绑定：控制面在密钥生命周期耗尽前 60 秒，通过 IKEv2 / RFC 9370 后量子扩展握手预先生成下一代 256 位对称密钥与安全关联参数（Next-SA）；
• GTP-U 头部扩展位标记：发送端 UPF 在 GTP-U 协议头部的保留字段中插入 1 位密钥版本标识符（Key Phase Bit, 0/1 翻转）。接收端 UPF 硬件根据该位平滑切换解密硬件引擎的上下文，实现微秒级瞬时切换，丢包率为绝对零。

六、 运营商级硬件加速与物理熵源底座工程实践

电信核心网属于典型的超高吞吐、超高可用与严苛时延约束系统。将后量子密码与量子随机数发生器深度融入电信级软硬件基础设施，是检验密码迁移能否真正规模化商用的决定性标准。

6.1 ARM 架构 NEON 矢量汇编优化在电信服务器上的实测

当前，全球主流电信运营商与云服务商正大规模在其数据中心部署基于 ARMv8/v9 架构的高能效服务器（如搭载 Cortex-A72、Neoverse N1/N2/V2 核心的多路计算节点）。在纯 C 语言标量实现下，模格密码的核心瓶颈在于多项式乘法数论变换（NTT）。

针对 ARM 平台的微架构特性，研发团队通过手写 NEON 128 位向量指令与汇编流水线重排，实现了深度加速：

1. Montgomery 模乘的 NEON 双轨向量化：利用 vqdmulhq_s16 与 vmlsq_s16 指令组合，在单个时钟周期内并发完成 8 路 16 位有限域系数的 Montgomery 乘法与 Barrett 约简；
2. Cooley-Tukey 蝶形算子寄存器级旋转：消除内存加载与写回开销，将 256 点 NTT 的 7 级蝶形计算全部约束在 NEON 寄存器堆内部原位完成。

在电信级 ARM 节点上的实测加速比数据如下表所示：

在面向边缘网关与低功耗物联网接入场景的嵌入式 Cortex-A7 处理器上，该套优化库同样展现出优异性能，在国家电网等实际试点场景中完成了长时间高负载稳定性验证。

6.2 PCIe PQC 加速卡与 FPGA IP 核的万兆线速卸载

针对 SEPP 漫游边界网关与 SBA 核心汇聚节点每秒数万次握手的极端并发场景，纯软件处理极易引发 CPU 资源耗尽。必须引入专用硬件卸载方案。

正微光电研发团队设计了基于 FPGA 与专用 ASIC 的 PQC 硬件加速 IP 核与标准 PCIe 密码卡：

• 193/193 全项已知答案测试（KAT）验证：该硬件 IP 核已严格通过包括 NIST CAVP / ACVP 标准测试向量在内的全部 193 项 KAT 测试，确保在各种极端边界值输入下的代数计算 100% 准确；
• 全流水线硬件架构：芯片内部集成了高吞吐 NTT 算子阵列、Keccak-f[1600] 海绵函数硬件加速引擎以及双端口高速 BRAM 缓存，单卡可提供高达 120,000 次/秒的 ML-KEM-768 解封装吞吐能力与 45,000 次/秒的 ML-DSA-65 签名验证能力，将核心网信令握手时延压缩至 10 微秒以内。

6.3 1Gbps QRNG 物理量子随机数发生器在鉴权中心的熵源注入

无论是 5G-AKA 鉴权流程中随机挑战数 RAND 的生成、SUCI 封装中的临时密钥对生成，还是 SBA mTLS 会话密钥的随机数协商，密码系统的安全性均从根本上取决于物理熵源的真随机性。若熵源存在统计缺陷或伪随机数发生器（PRNG）种子被窃听，所有上层后量子加密算法将不攻自破。

正微光电为电信核心网提供了量产商用级的 1Gbps 物理速率真空涨落量子随机数发生器（QRNG）：

• 物理机理：利用连续变量量子光学原理，通过高响应度平衡光电探测器提取半导体激光器在阈值附近的量子真空微观涨落，获得天然不可预测的高斯白噪声；
• 在线健康测试与合规性：硬件集成符合 NIST SP 800-90B 与 GM/T 0005 标准的实时在线健康检测模块（Repetition Count Test 与 Adaptive Proportion Test），在纳秒级时延内阻断任何物理衰退引发的低熵故障；
• 高密度熵池注入：通过 PCIe 总线直接向 UDM/AUSF 操作系统内核 /dev/random 与用户态密码库注入高达 1Gbps 吞吐量的物理真随机数，彻底杜绝高并发大集群环境下的系统熵池枯竭问题。

6.4 零停机热插拔与 99.999% 电信级高可用容灾

电信核心网对业务连续性有着近乎苛刻的要求（年故障停机时间不超过 5 分钟，即 5 个 9 的可靠性指标）。后量子改造必须满足无感灰度与热升级：

• 密码敏捷性（Cryptographic Agility）架构：在控制面引入可配置的密码策略套件引擎，支持在不重启网元服务的前提下，通过配置中心动态下发算法切换指令；
• 双轨运行与自动降级保护：当检测到对端网元或漫游对端不支持 PQC 时，系统通过硬件级安全仲裁逻辑自动回退至经过国密增强的经典算法套件，同时触发安全日志记录；
• 主备热互备与 SA 状态同步：核心网元与 SEPP 之间通过低时延私有总线实时镜像 PQC 会话状态与已协商密钥池，在主节点故障时可在 50 毫秒内实现无缝倒换，用户业务零中断。

6.5 基于 eBPF 与 XDP 的电信级后量子流量快速旁路与负载均衡

在电信核心网边缘汇聚机房中，面对万兆（10Gbps）乃至十万兆（100Gbps）的混合协议流量，如何在操作系统内核层面高效分流 PQC 控制面信令与高速数据面流量，是系统吞吐率的关键决定因素。

团队在 Linux 内核网络子系统中部署了基于扩展伯克利数据包过滤器（eBPF）与快速数据路径（eXpress Data Path, XDP）的高性能分流框架：

1. 网卡驱动层极速过滤（XDP Hook）：在网卡收到以太网数据包的最早期阶段（DMA 接收缓冲区，尚未构建 sk_buff 内核结构体），XDP 程序解析以太网头部与 IP 头部：
   • 对于普通 GTP-U 数据包与纯对称加密流量，直接通过 XDP_TX 或 XDP_REDIRECT 旁路至专用硬件网络接口卡（SmartNIC），交由线速 ASIC 执行 256 位 AES/ZUC 解密；
   • 对于携带 PQC 握手特征（如 ClientHello 长度大于 1000 字节且目的端口为 SBA 内部端口）的控制面信令包，打上硬件流标签并路由至绑定的 PQC 专用 NUMA 计算核心；
2. 零拷贝用户态传输（AF_XDP）：PQC 控制面信令绕过内核协议栈的多层拷贝，通过 AF_XDP 零拷贝套接字直接投递给用户态 PQC 加速服务，将单机信令处理吞吐量从每秒 1.2 万次提升至每秒 8.5 万次。

七、 5G 后量子密码迁移工程落地路线图与密评合规指南

5G 核心网的后量子密码迁移是一项跨越设备商、芯片商、运营商与安全厂商的系统性重构工程。为避免盲目改造带来的业务风险与投资浪费，必须遵循科学、分阶段的实施方法论。

7.1 电信网络密码资产自动化测绘与 CBOM 生成

迁移的第一步是实现全网密码资产的透明化测绘。运营商应部署自动化检测探针，扫描全网所有网元（NF）、边缘云容器、硬件服务器与漫游链路，生成机器可读的密码物料清单（Cryptographic Bill of Materials, CBOM）：

1. 协议与套件测绘：记录所有接口（N2/N3/N4/N32/SBI）运行的 TLS 版本、IKEv2 提议、SSH 配置及 X.509 证书链算法；
2. 硬编码与静态密钥扫描：检测网元固件中是否存在硬编码经典密钥或弱随机数生成逻辑；
3. 数据资产寿命标记：依据电信数据分类分级标准，将保存期限大于 5 年的用户数据与长效鉴权凭据标记为“PQC 高优先级迁移资产”。

7.2 四阶段灰度演进路线

根据 3GPP 与 GSMA 的指导建议，5G 核心网后量子迁移推荐采用清晰的四阶段灰度演进模型：

7.3 电信关键信息基础设施安全合规与国家标准对接

在我国电信行业，5G 核心网后量子迁移必须与《中华人民共和国密码法》、《网络安全法》以及 GB/T 39786（信息安全技术 信息系统密码应用基本要求）商用密码应用安全性评估（简称“密评”）深度协同：

• 利旧现有商用密码设施：在推进后量子算法演进的同时，坚持与现有国家商用密码（SM2/SM3/SM4/SM9/ZUC）体系深度融合，采用复合证书与双轨签名机制，确保在满足国家密评合规要求的前提下实现抗量子能力跃迁；
• 非侵入式升级原则：在网关与边缘代理层（如 SEPP、安全网关）实施透明代理与协议转换，避免对存量业务系统与老旧网元造成侵入式代码重构，最大程度保护运营商既有资产投资。

7.4 电信级密码敏捷性（Crypto-Agility）架构设计原则

在推进 5G 核心网全栈后量子密码改造的过程中，“密码敏捷性”必须贯穿于整个软件生命周期与硬件采购标准：

• 抽象密码硬件适配层（HAL）：在所有 5G 核心网网元软件中，严禁在业务逻辑中直接调用底层密码库的特定函数（如硬编码 EVP_PKEY_encrypt 或特定曲线参数）。所有密码操作必须通过统一的统一抽象密码接口（SDF / PKCS#11 / 3GPP Crypto HAL）进行封装，使得上层业务对底层算法的替换完全无感知；
• 配置驱动的算法降级防线：在控制面策略中心，算法协商策略应采用结构化 YAML/JSON 配置文件进行管理，并强制配置“最低安全基线”（如强制禁用纯经典算法或仅在特定白名单链路允许过渡混合套件），防止攻击者通过伪造降级信令实施降级攻击（Bidding-down Attack）；
• 全生命周期证书与密钥自动化编排：结合自动证书管理环境（ACME）与电信网管系统（OSS/MANO），实现后量子复合证书的自动化申请、签发、部署、轮换与吊销，杜绝因证书过期或配置失误引发的电信业务中断。

八、 总结与展望

量子计算技术的突飞猛进正在重塑全球网络安全的地缘与技术格局。5G 核心网作为现代数字经济的关键物理与逻辑基石，其安全防御体系的抗量子化升级不仅是一项技术演进任务，更是保障国家关键信息基础设施长远战略安全的必然选择。

从 3GPP TS 33.501 标准框架中 SUPI/SUCI 的抗量子隐私保护，到 SBA 服务网格中基于 ML-KEM 与 ML-DSA 的微服务零信任认证，再到跨域 SEPP 漫游接口中 PRINS 协议的字段级后量子加密，5G 核心网的后量子改造涵盖了代数理论推导、底层硬件微架构设计、协议栈重构与全网工程部署等多个维度。

依托母公司正则量子（北京）技术有限公司（2022年成立）深厚的量子与密码理论底座，以及子公司正微（杭州）光电科技有限公司（2025年成立）在量子安全与高速通信工程领域的产业落地能力，团队目前已构建起包括 1Gbps 物理速率量产商用 QRNG 模组、PQC ARM 平台 6.7~8.9× 汇编加速库、193/193 KAT 测试全过的 FPGA PQC 硬件 IP 核 以及 13 项核心授权发明专利 在内的全栈自主可控技术体系。在技术方案演进中，团队此前在软件定义广域网（SD-WAN）与光传送网（OTN）量子安全加固方面曾在大型云计算平台（如阿里云等）完成过扎实的规模化落地验证。

展望未来，随着 3GPP Release 19/20 标准的最终固化与 6G 前沿研究的全面铺开，后量子密码将与量子密钥分发（QKD）技术在空间与逻辑上形成优势互补的异构协同防御体系，为构建真正物理安全、长期可信与自主可控的全球新一代泛在移动通信网络提供坚实的密码算力底座。

参考文献

1. NIST FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard. National Institute of Standards and Technology, 2024. Available at: https://csrc.nist.gov/pubs/fips/203/final
2. NIST FIPS 204: Module-Lattice-Based Digital Signature Standard. National Institute of Standards and Technology, 2024. Available at: https://csrc.nist.gov/pubs/fips/204/final
3. NIST FIPS 205: Stateless Hash-Based Digital Signature Standard. National Institute of Standards and Technology, 2024. Available at: https://csrc.nist.gov/pubs/fips/205/final
4. RFC 9370: Multiple Key Exchanges in the Internet Key Exchange Protocol Version 2 (IKEv2). IETF Standard, 2023. Available at: https://datatracker.ietf.org/doc/rfc9370/
5. RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3. IETF Standard, 2018. Available at: https://datatracker.ietf.org/doc/rfc8446/
6. RFC 6749: The OAuth 2.0 Authorization Framework. IETF Standard, 2012. Available at: https://datatracker.ietf.org/doc/rfc6749/
7. RFC 7516: JSON Web Encryption (JWE). IETF Standard, 2015. Available at: https://datatracker.ietf.org/doc/rfc7516/
8. RFC 7515: JSON Web Signature (JWS). IETF Standard, 2015. Available at: https://datatracker.ietf.org/doc/rfc7515/
9. 3GPP: Post Quantum Cryptography in 3GPP SA3. 3rd Generation Partnership Project, 2026. Available at: https://www.3gpp.org/technologies/pqc-sa3
10. NIST SP 800-90B: Recommendation for the Entropy Sources Used for Random Bit Generation. National Institute of Standards and Technology, 2018. Available at: https://csrc.nist.gov/pubs/sp/800/90/b/final