引言：5G核心网安全的关键，不在"一次性部署证书"，而在"证书全生命周期治理"

5G核心网采用SBA（服务化架构），AMF、SMF、UDM、NRF、AUSF等网元之间通过SBI接口（基于HTTP/2）交互。每个网元的身份认证依赖mTLS双向证书——但这带来一个现实的管理难题：

一个省级5G核心网可能包含300-500个网元实例，每个网元至少2张证书（TLS服务端证书+客户端证书），合计600-1,000张证书；
证书有效期通常为1年，意味着平均每天有2-3张证书到期；
若手动管理，任何一张证书过期都会导致网元间通信中断，引发核心网故障。

很多运维团队以为"把证书装上就完事了"，但现实是：

证书安全 = 签发（一次性） + 分发（每次更换） + 验证（每次通信） + 轮换（周期性） + 吊销（应急时）

缺了任何一环，网元身份信任链都会出现缺口。

CAS-KMS（内置CA证书管理模块）正是为解决这一"证书治理"难题而设计。它不负责替代各网元的安全功能，而是作为统一证书管理中枢，让每一张网元证书进入"可签发、可追踪、可轮换、可吊销"的受控状态。

本文将基于5G核心网的证书治理实践，详解"SBI接口mTLS + 证书生命周期管理"如何落地。

一、明确分工：mTLS管什么，CAS-KMS管什么

首先厘清5G核心网证书体系的职责边界：

✅ 关键认知：mTLS 解决的是"通信时的双向身份验证"，CAS-KMS 解决的是"这些证书从签发到销毁的治理"。CAS-KMS 的价值在于——一旦网元证书纳入管理，即刻进入"自动轮换、到期预警、应急吊销"的受控状态。

二、5G核心网SBI接口的mTLS证书体系

2.1 SBI接口双向认证架构

5G核心网网元间通过SBI接口通信，采用mTLS双向证书认证：

┌─────────────────────────────────────────────────────┐ │ 5G核心网（服务化架构） │ │ │ │ ┌──────┐ mTLS ┌──────┐ mTLS ┌──────┐ │ │ │AMF │◄──────────►│NRF │◄──────────►│SMF │ │ │ │ 证书A │ 双向验证 │ 证书B │ 双向验证 │ 证书C │ │ │ └──────┘ └──────┘ └──────┘ │ │ │ │ │ │ │ │ mTLS │ mTLS │ │ │ ▼ ▼ ▼ │ │ ┌──────┐ ┌──────┐ ┌──────┐ │ │ │UDM │◄──────────►│AUSF │◄──────────►│PCF │ │ │ │ 证书D │ 双向验证 │ 证书E │ 双向验证 │ 证书F │ │ │ └──────┘ └──────┘ └──────┘ │ │ │ │ ┌──────────────────────────────────────────────┐ │ │ │ 信任锚：根CA（CAS-KMS签发与管理） │ │ │ │ └─ 中间CA ── 网元证书（SM2/RSA双算法） │ │ │ └──────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────┘

2.2 mTLS认证流程

网元A（AMF）访问网元B（SMF）时的双向认证流程：

1. AMF向SMF发起TLS握手，出示自己的客户端证书 2. SMF验证AMF证书链（→根CA），确认AMF身份可信 3. SMF向AMF出示自己的服务端证书 4. AMF验证SMF证书链，确认SMF身份可信 5. 双方协商会话密钥（SM4-GCM），建立加密通道 6. 双向认证完成，开始正常的HTTP/2信令交互

每一步都依赖证书链的完整性——如果任一张网元证书过期或被吊销而未更新，认证就会失败，网元间通信中断。

三、CAS-KMS证书生命周期管理

3.1 证书全生命周期闭环

CAS-KMS为5G核心网网元证书提供完整的生命周期管理：

3.2 证书签发的实现

# 通过CAS-KMS签发网元SBI证书# Step 1: 在HSM内生成网元密钥对（SM2）curl-XPOST https://cas-kms.internal/api/v1/keys/generate\-H"Authorization: Bearer${ADMIN_TOKEN}"\-d'{ "network_element": "SMF-01", "algorithm": "SM2-P256", "key_usage": "tls_server,tls_client", "protection": "hsm" }'# Step 2: 生成CSR并提交CA签发curl-XPOST https://cas-kms.internal/api/v1/certs/issue\-H"Authorization: Bearer${ADMIN_TOKEN}"\-d'{ "csr_id": "csr_smf_01_20260714", "validity_days": 365, "profile": "5g_sbi_mtls", "signature_algorithm": "SM2-P256" }'# Step 3: 查看证书签发结果curl-shttps://cas-kms.internal/api/v1/certs/SMF-01|jq' { cert_serial: .serial_number, subject: .subject, not_after: .validity.not_after, status: .status, ca_chain: .chain }'

3.3 证书轮换策略

网元证书的平滑轮换需要新旧证书共存期，避免通信中断：

# CAS-KMS网元证书轮换策略certificate_rotation:profile:"5g_sbi_mtls"validity_days:365warn_before_days:[30,14,7]# 分级预警rotation_strategy:"grace_period"# 宽限期轮换grace_period_days:7# 新旧证书共存7天validation:post_rotate_check:"网元间mTLS通信测试"rollback_on_fail:true# 失败自动回滚旧证书

四、密钥统一治理：从散落到集中

4.1 网元密钥的统一纳管

除证书外，5G核心网还涉及大量业务密钥——NAS加密密钥、会话密钥、数据加密密钥。CAS-KMS与KSP联动，实现证书与密钥的统一治理：

统一密钥治理架构： CAS-KMS ── 网元证书（mTLS身份） │ ├── 证书签发、轮换、吊销 ├── 信任锚（根CA）管理 └── CRL维护 │ KSP ──── 业务密钥（加密数据） │ ├── NAS/SBI会话密钥派生 ├── 三级密钥体系（KEK→DEK→会话密钥） ├── HSM硬件保护 └── 90天自动轮换

4.2 统一密钥台账

通过KSP平台，可以实时查看核心网全量证书和密钥的状态：

# 查看核心网证书健康状态curl-shttps://cas-kms.internal/api/v1/dashboard\-H"Authorization: Bearer${TOKEN}"|jq{"certificates":{"total":850,"active":821,"expiring_30d":23,# 30天内到期，触发预警"expiring_7d":5,# 7天内到期，紧急处理"expired":1,# 已过期（应立即吊销）"revoked":0},"keys":{"total":1200,"active":1150,"rotating_90d":"auto"}}

五、真实案例：某运营商5G核心网证书治理

背景

某运营商部署5G核心网（约400个网元实例），初期证书手动管理，出现过因证书过期导致的AMF-SMF通信中断事件。需建立体系化的证书治理能力。

实施步骤

1. 部署CAS-KMS，建立根CA→中间CA→网元证书的三级信任链；
2. 将400个网元实例的约850张SBI证书全部纳入CAS-KMS管理；
3. 配置证书轮换策略（宽限期7天），实现自动平滑轮换；
4. 将NAS/SBI业务密钥接入KSP统一管理，配置90天自动轮换；
5. 部署证书健康监控看板，实时掌握全量证书状态。

成效

• 证书到期引发的通信中断事件归零；
• 证书从"手动管理2人天/周"降为"自动管理零人工干预"；
• 网元身份信任链完整，mTLS双向认证100%正常；
• 满足等保三级对通信安全和密钥管理的要求。

六、未来方向：向"证书即服务"演进

CAS-KMS正在支持更先进的证书管理模型：

• ACME自动签发：网元通过标准协议自动申请、续期证书；
• 零信任网元身份：证书与网元行为分析联动，动态调整信任；
• 量子安全证书：SM2之外预留后量子算法证书扩展槽位。

结语：证书治理，才是5G核心网安全的起点

5G核心网的安全不是"装好证书就万事大吉"。证书的签发、分发、验证、轮换、吊销是一个闭环——缺了任何一环，网元身份信任链都会出现缺口。

CAS-KMS不承诺"一次性签发全部证书"，但它确保：每一个网元证书、每一次mTLS通信、每一份密钥生命周期，都处于自动轮换、到期预警、全程可溯的受控状态。这，正是5G核心网抵御身份风险、保障通信安全的坚实底座。

文章作者：安当技术运营