当前位置：首页 > news >正文

5G核心网网元证书管理实战：SBI接口mTLS与密钥生命周期治理

news 2026/8/1 18:47:05

引言：5G核心网安全的关键，不在"一次性部署证书"，而在"证书全生命周期治理"

5G核心网采用SBA（服务化架构），AMF、SMF、UDM、NRF、AUSF等网元之间通过SBI接口（基于HTTP/2）交互。每个网元的身份认证依赖mTLS双向证书——但这带来一个现实的管理难题：

一个省级5G核心网可能包含300-500个网元实例，每个网元至少2张证书（TLS服务端证书+客户端证书），合计600-1,000张证书；
证书有效期通常为1年，意味着平均每天有2-3张证书到期；
若手动管理，任何一张证书过期都会导致网元间通信中断，引发核心网故障。

很多运维团队以为"把证书装上就完事了"，但现实是：

证书安全 = 签发（一次性） + 分发（每次更换） + 验证（每次通信） + 轮换（周期性） + 吊销（应急时）

缺了任何一环，网元身份信任链都会出现缺口。

CAS-KMS（内置CA证书管理模块）正是为解决这一"证书治理"难题而设计。它不负责替代各网元的安全功能，而是作为统一证书管理中枢，让每一张网元证书进入"可签发、可追踪、可轮换、可吊销"的受控状态。

本文将基于5G核心网的证书治理实践，详解"SBI接口mTLS + 证书生命周期管理"如何落地。

一、明确分工：mTLS管什么，CAS-KMS管什么

首先厘清5G核心网证书体系的职责边界：

证书类型	保护对象	典型数量（省级）	CAS-KMS角色
SBI服务端证书	网元对外提供服务的身份	300-500张	证书签发+生命周期
SBI客户端证书	网元访问其他服务的身份	300-500张	证书签发+生命周期
OAM运维证书	运维人员访问网管	100-200张	证书签发+UKEY绑定
根CA/中间CA	证书链信任锚	2-5张	核心管理

✅ 关键认知：mTLS 解决的是"通信时的双向身份验证"，CAS-KMS 解决的是"这些证书从签发到销毁的治理"。CAS-KMS 的价值在于——一旦网元证书纳入管理，即刻进入"自动轮换、到期预警、应急吊销"的受控状态。

二、5G核心网SBI接口的mTLS证书体系

2.1 SBI接口双向认证架构

5G核心网网元间通过SBI接口通信，采用mTLS双向证书认证：

┌─────────────────────────────────────────────────────┐ │ 5G核心网（服务化架构） │ │ │ │ ┌──────┐ mTLS ┌──────┐ mTLS ┌──────┐ │ │ │AMF │◄──────────►│NRF │◄──────────►│SMF │ │ │ │ 证书A │ 双向验证 │ 证书B │ 双向验证 │ 证书C │ │ │ └──────┘ └──────┘ └──────┘ │ │ │ │ │ │ │ │ mTLS │ mTLS │ │ │ ▼ ▼ ▼ │ │ ┌──────┐ ┌──────┐ ┌──────┐ │ │ │UDM │◄──────────►│AUSF │◄──────────►│PCF │ │ │ │ 证书D │ 双向验证 │ 证书E │ 双向验证 │ 证书F │ │ │ └──────┘ └──────┘ └──────┘ │ │ │ │ ┌──────────────────────────────────────────────┐ │ │ │ 信任锚：根CA（CAS-KMS签发与管理） │ │ │ │ └─ 中间CA ── 网元证书（SM2/RSA双算法） │ │ │ └──────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────┘

2.2 mTLS认证流程

网元A（AMF）访问网元B（SMF）时的双向认证流程：

1. AMF向SMF发起TLS握手，出示自己的客户端证书 2. SMF验证AMF证书链（→根CA），确认AMF身份可信 3. SMF向AMF出示自己的服务端证书 4. AMF验证SMF证书链，确认SMF身份可信 5. 双方协商会话密钥（SM4-GCM），建立加密通道 6. 双向认证完成，开始正常的HTTP/2信令交互

每一步都依赖证书链的完整性——如果任一张网元证书过期或被吊销而未更新，认证就会失败，网元间通信中断。

三、CAS-KMS证书生命周期管理

3.1 证书全生命周期闭环

CAS-KMS为5G核心网网元证书提供完整的生命周期管理：

生命周期阶段	操作内容	自动化程度	关键动作
证书签发	网元密钥对在HSM内生成，CA签发证书	自动	SM2/RSA双算法证书签发
证书分发	加密通道将证书部署到目标网元	自动	与网元管理接口联动
证书验证	网元间mTLS通信时验证证书链	实时	信任锚统一管理
到期预警	证书到期前30/14/7天分级预警	自动	KSP策略引擎触发
证书轮换	生成新证书并平滑切换	自动	新旧证书共存期过渡
应急吊销	证书泄露立即吊销，CRL同步	自动	CRL更新≤24h

3.2 证书签发的实现

# 通过CAS-KMS签发网元SBI证书# Step 1: 在HSM内生成网元密钥对（SM2）curl-XPOST https://cas-kms.internal/api/v1/keys/generate\-H"Authorization: Bearer${ADMIN_TOKEN}"\-d'{ "network_element": "SMF-01", "algorithm": "SM2-P256", "key_usage": "tls_server,tls_client", "protection": "hsm" }'# Step 2: 生成CSR并提交CA签发curl-XPOST https://cas-kms.internal/api/v1/certs/issue\-H"Authorization: Bearer${ADMIN_TOKEN}"\-d'{ "csr_id": "csr_smf_01_20260714", "validity_days": 365, "profile": "5g_sbi_mtls", "signature_algorithm": "SM2-P256" }'# Step 3: 查看证书签发结果curl-shttps://cas-kms.internal/api/v1/certs/SMF-01|jq' { cert_serial: .serial_number, subject: .subject, not_after: .validity.not_after, status: .status, ca_chain: .chain }'

3.3 证书轮换策略

网元证书的平滑轮换需要新旧证书共存期，避免通信中断：

# CAS-KMS网元证书轮换策略certificate_rotation:profile:"5g_sbi_mtls"validity_days:365warn_before_days:[30,14,7]# 分级预警rotation_strategy:"grace_period"# 宽限期轮换grace_period_days:7# 新旧证书共存7天validation:post_rotate_check:"网元间mTLS通信测试"rollback_on_fail:true# 失败自动回滚旧证书

四、密钥统一治理：从散落到集中

4.1 网元密钥的统一纳管

除证书外，5G核心网还涉及大量业务密钥——NAS加密密钥、会话密钥、数据加密密钥。CAS-KMS与KSP联动，实现证书与密钥的统一治理：

统一密钥治理架构： CAS-KMS ── 网元证书（mTLS身份） │ ├── 证书签发、轮换、吊销 ├── 信任锚（根CA）管理 └── CRL维护 │ KSP ──── 业务密钥（加密数据） │ ├── NAS/SBI会话密钥派生 ├── 三级密钥体系（KEK→DEK→会话密钥） ├── HSM硬件保护 └── 90天自动轮换

4.2 统一密钥台账

通过KSP平台，可以实时查看核心网全量证书和密钥的状态：

# 查看核心网证书健康状态curl-shttps://cas-kms.internal/api/v1/dashboard\-H"Authorization: Bearer${TOKEN}"|jq{"certificates":{"total":850,"active":821,"expiring_30d":23,# 30天内到期，触发预警"expiring_7d":5,# 7天内到期，紧急处理"expired":1,# 已过期（应立即吊销）"revoked":0},"keys":{"total":1200,"active":1150,"rotating_90d":"auto"}}