Security — NAS/ASセキュリティ（鍵階層・SMC・NEA/NIA）¶

学習目標¶

このページを読み終えると、次のことができるようになります。

• Why（認証だけでは通信の中身が守れないこと）を、盗聴・改ざんへの対策として説明できる。
• 鍵階層のKSEAF以降（KSEAF→KAMF→{KNASenc/KNASint, KgNB}→{KRRCenc/KRRCint, KUPenc/KUPint}）の派生ツリーを説明できる。各鍵が何を守るかを言える。
• NAS Security Mode Command / Complete の手順を追い、どのメッセージから暗号化・完全性保護が有効になるかを説明できる。
• AS Security Mode Command / Complete の手順を追い、KgNB由来のRRC/UP保護が有効になる流れを説明できる。
• NEA/NIA（NEA0/1/2/3・NIA0/1/2/3 = NULL/SNOW 3G/AES/ZUC）の意味と選択の仕組みを説明できる。
• セキュリティコンテキスト（Native / Mapped、ngKSI、ABBA）と、NAS SMCが先・AS SMCが後という順序を理解できる。
• 完全性保護と暗号化の対象（NAS/RRC/UP。User Plane完全性保護のRel-16強化）を整理できる。

前提知識¶

先に以下を理解しておくとスムーズです。まだの人は カリキュラム から始めてください。

• 一次認証でKSEAFが確立するまで → Authentication 章（本章はその続き。KSEAF確立の“次”を扱う）
• Registration の全体像（セキュリティ確立は登録手順の一部として概説済み） → Initial Registration
• NAS / N1（UE⇔AMF の制御メッセージを運ぶ層） → N1
• セキュリティを終端するNFの役割 → AMF（SEAF同居） / AUSF / UDM

この章で学べること¶

本章は KSEAF確立の“次”に何が起きるか に焦点を絞ります。すなわち KSEAF以降の鍵派生（KAMF→NAS/AS鍵）と、NAS/AS の保護を有効化する手順（Security Mode Command） を精密に扱います。

• 一次認証（5G-AKA / EAP-AKA'）そのもの（KSEAF確立まで）は繰り返しません。Authentication 章 を参照してください。
• SUCI秘匿（本名SUPIの秘匿）も本章では扱わず、Authentication 章 / Registration 章 へ誘導します。
• 鍵階層の根〜KSEAF の俯瞰図は AUSF の鍵階層 に集約しています。本章は重複を避け、その先の KAMF以降の枝 を主役に図示します。

Why — なぜNAS/ASセキュリティが必要か¶

Why（なぜ必要か）から始めます。 一次認証（Authentication 章）が終わると「相手が正規の契約者/正規の網であること」は確認できます。しかし、それだけでは通信の中身は守られていません。認証の後に、次の 2 つの脅威が残るためです。

• 盗聴（eavesdropping） — 電波は誰でも受信できるため、暗号化しなければ制御メッセージやユーザデータの中身を読まれてしまう。
• 改ざん（tampering） — 途中で内容を書き換えられても、検知できなければ攻撃者の指示どおりに動いてしまう（例: なりすまし網からの偽コマンド）。

そこで、認証で合意した共有鍵をもとに、以降の通信を 暗号化（機密性） と 完全性保護（改ざん検知） で守ります。これを NAS層（UE⇔AMF の制御）と AS層（UE⇔gNB の無線制御・ユーザデータ）の 2 系統で行うのが本章のテーマです。

Overview — 概要¶

KSEAF は認証で確立された アンカー鍵です。ここを起点に、鍵は NAS保護（AMFが終端） と AS保護（gNBが終端） の 2 系統へ枝分かれします。

• NAS系統 — KSEAF→KAMF→KNASenc / KNASint。UE⇔AMF の NASメッセージを守る。有効化は NAS Security Mode Command / Complete（AMF主導）。
• AS系統 — KAMF→KgNB→KRRCenc / KRRCint / KUPenc / KUPint。UE⇔gNB の RRC（無線制御）と UP（ユーザデータ）を守る。有効化は AS Security Mode Command / Complete（gNB主導）。

順序が重要です。まず NAS SMC が先に走って NAS 保護を確立し、その後 gNB へ KgNB が渡ってから AS SMC で AS 保護が確立します。

flowchart LR
    KSEAF["KSEAF
(認証で確立)"] --> KAMF["KAMF
(AMFが導出)"]
    KAMF --> NAS["NAS保護
KNASenc / KNASint
(UE⇔AMF)"]
    KAMF --> KGNB["KgNB
(→gNBへ)"]
    KGNB --> AS["AS保護
KRRCenc/KRRCint
KUPenc/KUPint
(UE⇔gNB)"]
    NAS -. "NAS SMC が先" .-> AS

鍵階層の根〜KSEAF の俯瞰は AUSF の鍵階層 を参照してください。本章は上図の KAMF以降の枝 を掘り下げます。

Basic Concept — 初心者向け説明¶

セキュリティを理解するには、4 つのキーワードを押さえます。

1. 暗号化（機密性）と完全性保護（改ざん検知）の違い¶

• 暗号化（Ciphering / Confidentiality） — 中身を第三者に読めなくする。盗聴対策。5G では NEA（NR Encryption Algorithm）アルゴリズムで行う。
• 完全性保護（Integrity protection） — メッセージに MAC-I（Message Authentication Code for Integrity）という短い検証符号を付け、改ざんを検知する。中身は隠さないが「書き換えられていないこと」を保証する。5G では NIA（NR Integrity Algorithm）で行う。

2. 鍵導出（KDF）の考え方¶

上位鍵から下位鍵を作るには KDF（Key Derivation Function） を使います。「親鍵」と「用途を表す入力パラメータ」を KDF に入れると「子鍵」が出ます。同じ親でも入力が違えば別の子鍵になるため、用途ごとに独立した鍵を安全に量産できます（KDF の基礎は TS 33.220、5Gでの適用は TS 33.501 Annex A。個別の入力パラメータの細部は要確認）。

3. なぜ層ごとに鍵を分けるのか¶

NAS用・RRC用・UP用で鍵を分けるのは、被害の局所化（key separation）のためです。ある層の鍵が漏れても、他の層の鍵は KDF の一方向性により逆算できず、被害を封じ込められます。また、NAS は AMF が、AS は gNB が終端するため、gNB には KgNB 以下だけを渡し、KAMF や NAS 鍵は渡さないことで、無線側ノードの侵害範囲を限定します。

4. ngKSI とセキュリティコンテキスト¶

• セキュリティコンテキスト（5G NAS security context） — 確立された鍵一式（KAMF、選択アルゴリズム、カウンタ等）のまとまり。
• ngKSI（Key Set Identifier in 5G） — そのセキュリティコンテキストを識別する短い番号。UEと網が「どの鍵セットで話しているか」を合わせるために使う。認証時に割り当てられ、以降のメッセージで参照される。

Architecture¶

KSEAF を起点とした鍵派生ツリーを示します。根側（K〜KSEAF）は AUSF の鍵階層 に集約し、本図は KAMF以降の枝 に集中します。

flowchart TB
    KSEAF["KSEAF
（認証で確立・アンカー鍵）"]
    KAMF["KAMF
（SEAF/AMF が導出）"]
    KNASenc["KNASenc
NAS暗号化"]
    KNASint["KNASint
NAS完全性"]
    KgNB["KgNB
（AMF→gNB へ搬送）"]
    KRRCenc["KRRCenc
RRC暗号化"]
    KRRCint["KRRCint
RRC完全性"]
    KUPenc["KUPenc
UP暗号化"]
    KUPint["KUPint
UP完全性(Rel-15導入/Rel-16で制約緩和)"]

    KSEAF --> KAMF
    KAMF --> KNASenc
    KAMF --> KNASint
    KAMF --> KgNB
    KgNB --> KRRCenc
    KgNB --> KRRCint
    KgNB --> KUPenc
    KgNB --> KUPint

各鍵が「何を・どこで守るか」:

• KAMF — SEAF/AMF が KSEAF から導出。NAS鍵と KgNB の親。AMF が保持し、gNB へは渡さない。
• KNASenc / KNASint — UE⇔AMF の NASメッセージの暗号化／完全性保護。AMF が終端。
• KgNB — KAMF から導出し、AMF から gNB へ N2(NGAP) で搬送（N2）。AS鍵の親。
• KRRCenc / KRRCint — UE⇔gNB の RRC（無線制御）の暗号化／完全性保護。gNB が終端。
• KUPenc / KUPint — UE⇔gNB の UP（User Plane / ユーザデータ）の暗号化／完全性保護。UP完全性保護（KUPint）は Rel-15 で導入され、適用に制約があったが Rel-16 で制約緩和・full data rate 対応が進んだ（後述の Release差分 参照）。

Network Function（登場要素）¶

本手順に関わる要素と、この章での動きです。

Interface / Protocol¶

この手順で使う Interface と Protocol です。

Procedure — Call Flow¶

このページの心臓部です。 保護の有効化は (A) NAS SMC が先、(B) AS SMC が後という順序で進みます。KSEAF は既に確立済み（Authentication 章）という前提です。

(A) NAS Security Mode Command / Complete¶

AMF が主導し、選択した NAS アルゴリズム（NEA/NIA）で NASの完全性保護を先に、続いて暗号化を 有効化します。根拠: TS 33.501 §6.7.2 / TS 24.501（NAS SMC メッセージ）。

sequenceDiagram
    autonumber
    participant UE
    participant AMF as AMF / SEAF

    Note over UE,AMF: 認証成功済み→AMFがKAMF導出→KNASint/KNASenc導出
    Note right of AMF: AMFがUE security capabilityから
NEA/NIA を選択（TS 33.501 §6.7.2）
    AMF->>UE: Security Mode Command (NAS)
(selected NEA/NIA, ngKSI, ABBA,
 replayed UE security capability)
    Note right of AMF: このメッセージは【完全性保護のみ】
（KNASintでMAC-I付与、暗号化なし）
    Note right of UE: UEが同じKNASint/KNASencを導出し
MAC-I検証・UE sec capability再送の一致確認
    UE->>AMF: Security Mode Complete (NAS)
(必要に応じ IMEISV 等)
    Note right of UE: この応答は【完全性保護＋暗号化】済み
    Note over UE,AMF: 以降のNASは暗号化＋完全性保護が有効

ステップ解説（番号は上図に対応）¶

1. AMF→UE: Security Mode Command(NAS) — AMF が選択した NEA/NIA、ngKSI（どの鍵セットか）、ABBA、そして UE security capability の再送（replay） を含めて送る。
   • このメッセージ自体は 完全性保護のみ（KNASint で MAC-I を付与）で送られ、暗号化はされていない。だから中身（選択アルゴリズム等）を UE と観測者は平文で読める（TS 33.501 §6.7.2）。
2. （UE内）検証 — UE は自身でも同じ KNASint/KNASenc を導出し、MAC-I を検証。さらに replayed UE security capability が自分の申告値と一致するかを確認する（下位互換攻撃=bidding down の検知）。
3. UE→AMF: Security Mode Complete(NAS) — 検証OKなら応答を返す。この応答からは完全性保護＋暗号化の両方が有効。以降の NAS メッセージ（Registration Accept 等）は暗号化されて中身が見えなくなる。

(B) AS Security Mode Command / Complete¶

NAS 保護が確立した後、AMF は KgNB を導出して gNB へ N2 で渡します。gNB は KgNB から RRC/UP 鍵を導出し、AS SMC（RRCメッセージ） で無線区間の保護を有効化します。根拠: TS 33.501 §6.7.4 / TS 38.331（RRC）。

sequenceDiagram
    autonumber
    participant UE
    participant gNB
    participant AMF

    Note over AMF: AMFがKAMFからKgNBを導出
    AMF->>gNB: (N2/NGAP) Initial Context Setup 等で
KgNB・UE security capability を搬送
    Note right of gNB: gNBがKgNBから
KRRCint/KRRCenc/KUPint/KUPenc 導出
AS用 NEA/NIA を選択
    gNB->>UE: AS Security Mode Command (RRC)
(selected AS algorithms, MAC-I)
    Note right of gNB: 完全性保護から先に有効（RRC）
    Note right of UE: UEが同じKgNB由来鍵を導出し
MAC-I検証
    UE->>gNB: AS Security Mode Complete (RRC)
    Note over UE,gNB: 以降のRRC/UPが保護有効（PDCP層で実施）

ステップ解説（番号は上図に対応）¶

1. AMF→gNB（N2/NGAP） — AMF は KgNB と UE security capability を Initial Context Setup 等の NGAP メッセージで gNB へ搬送する（N2）。
2. （gNB内）鍵導出とアルゴリズム選択 — gNB は KgNB から KRRCint/KRRCenc/KUPint/KUPenc を導出し、AS 用の NEA/NIA を選択する。
3. gNB→UE: AS Security Mode Command(RRC) — 選択した AS アルゴリズムと MAC-I を含む。完全性保護が先に有効になる（TS 33.501 §6.7.4 / TS 38.331）。
4. UE→gNB: AS Security Mode Complete(RRC) — UE が同じ KgNB 由来鍵を導出し MAC-I を検証、応答。以降の RRC / UP が保護有効（実際の保護は PDCP層 で実施。TS 38.323）。

Signal Flow¶

主要メッセージを表で整理します。IE は Message辞典 と整合させています。

主要IE用語: selected NEA/NIA(選択された暗号/完全性アルゴリズム) / ngKSI(鍵セット識別子) / ABBA(下位互換防御) / replayed UE security capability(UEの申告能力の再送＝改ざん検知用) / MAC-I(完全性検証符号)。詳細は Message辞典 を参照してください。

State Machine¶

UE から見たセキュリティ確立の状態遷移です（根拠: TS 33.501 §6.7、セキュリティコンテキストの分類は TS 33.501 §6.3 / TS 24.501 §4.4）。

stateDiagram-v2
    [*] --> NoSecurity: 認証前 / 保護なし
    NoSecurity --> KSEAFEstablished: 一次認証成功 (Authentication章)
    KSEAFEstablished --> NASProtected: NAS SMC Command/Complete 成功
    NASProtected --> ASProtected: AS SMC Command/Complete 成功
    NASProtected --> NoSecurity: NAS SMC Reject / MAC-I失敗
    ASProtected --> [*]: NAS＋AS 保護確立（通常運用）

• NoSecurity — 保護なし。初回の Registration Request 等はこの状態で送られる（一部は完全性保護なしで送出され得る＝要確認の細部あり）。
• KSEAFEstablished — 認証成功で KSEAF/KAMF まで確立。まだ NAS 保護は「有効化前」。
• NASProtected — NAS SMC 完了。UE⇔AMF の NAS が暗号化＋完全性保護。
• ASProtected — AS SMC 完了。UE⇔gNB の RRC/UP も保護。通常運用状態。

Packet Analysis (Wireshark)¶

NAS SMC は NASメッセージなので nas-5gs で捕捉します。NAS が NGAP(N2) にネストされて運ばれる点は Registration の Packet Analysis と同じです。

主要 Display Filter¶

Decode の見どころ¶

• Security Mode Command は平文で読める — 完全性保護のみ（暗号化なし）で送られるため、selected NEA/NIA、ngKSI、ABBA、replayed UE security capability を平文で確認できる。
• 暗号化後は NAS ペイロードが見えなくなる — Security Mode Complete 以降（DLは SMC の次から）は NAS が暗号化され、Wireshark では Security protected NAS message として表され、中身の 5GMM メッセージは復号鍵が無いと見えない。
• MAC — 完全性保護された NAS には MAC（Message Authentication Code）フィールドが付く。

Configuration¶

保護を成立させる設定の構造レベルの要点です。具体値・ベンダー固有（Cisco 等）は実装依存であり、架空の値は書きません。

AMF 側（NASセキュリティ）— 例: Open5GS / free5GC¶

• 対応 NEA / NIA と優先順位 — AMF がサポートする暗号アルゴリズム（NEA0/1/2/3）と完全性アルゴリズム（NIA0/1/2/3）を列挙し、優先順位を設定する。UE の security capability と突き合わせて選択される。
• NULL アルゴリズム（NEA0 / NIA0）の可否 — NEA0（暗号なし）や NIA0（完全性なし）を許可するかどうかはポリシー。運用網では NIA0 は原則不可で、認証されていない緊急呼（unauthenticated emergency call）に限って許容されます（TS 33.501）。

gNB 側（ASセキュリティ）¶

• 対応 AS アルゴリズムと優先順位 — RRC/UP 用の暗号/完全性アルゴリズムの列挙と優先順位。
• User Plane 完全性保護（UP IP）の有効化 — UP完全性保護を要求/有効化するかの設定（Rel-15 で導入、Rel-16 で適用範囲が拡大。適用条件は要確認）。

Trouble Shooting¶

代表的なセキュリティ確立失敗の切り分けです。Cause値の詳細は Cause辞典 を参照してください。

EPCとの比較¶

4G(EPC) のセキュリティと 5G を対比します。

Release差分¶

不確かなものは要確認とし、断定しません。

• Rel-15 — 5G セキュリティの基礎。KSEAF/KAMF、NAS/AS 鍵階層、NAS/AS SMC、NEA/NIA(0/1/2/3)、ngKSI、ABBA が確立（TS 33.501 の基礎）。
• Rel-16 — User Plane 完全性保護（UP IP）の拡張が主要トピック。Rel-15 では UP 完全性保護の適用に制約があったが、Rel-16 で適用範囲/性能面が強化された（具体的な必須条件・適用範囲は要確認）。
• Rel-17 / Rel-18(5G-Advanced) — セキュリティ機能の拡張が継続（本章手順への具体差分は要確認）。

3GPP Specification¶

FAQ¶

Summary¶

• 認証（本人確認）だけでは通信の中身は守れない。暗号化（機密性）＋完全性保護（改ざん検知）で NAS/AS を守るのが本章のテーマ。
• KSEAF を起点に KAMF→{KNASenc/KNASint, KgNB}→{KRRCenc/KRRCint, KUPenc/KUPint} と派生。層ごとに鍵を分けて被害を局所化する。
• NAS SMC（AMF主導・先）→ AS SMC（gNB主導・後）の順で保護を有効化。NAS SMC は完全性保護のみで送られ、暗号化は Complete 以降（DLは次のメッセージ）から。
• アルゴリズムは NEA（暗号）/ NIA（完全性）の 0/1/2/3（NULL/SNOW 3G/AES/ZUC）。選択は UE security capability と網の優先順位で決まる。
• ngKSI でセキュリティコンテキストを識別。コンテキストには Native / Mapped がある。ABBA は下位互換攻撃を防ぐ。
• 鍵階層の根〜KSEAF は AUSF の鍵階層、一次認証は Authentication 章 を参照。
• 根拠は TS 33.501 §5.11（NEA/NIA）/ §6.2（鍵階層）/ §6.7.2（NAS SMC）・§6.7.4（AS SMC）/ TS 24.501 / TS 38.331 / TS 38.323。

Practice — 理解度チェック・演習¶

理解度チェック¶

演習¶

問: 次の鍵派生ツリーの空欄 [1]〜[4] を埋め、続いて保護有効化の順序 A〜D を正しく並べ替えてください。

[鍵派生ツリー]
KSEAF → [1] → { [2] / KNASint, [3] }
[3] → { KRRCenc / KRRCint, KUPenc / [4] }

[順序]
A. UE→gNB: AS Security Mode Complete
B. AMF→UE: NAS Security Mode Command
C. gNB→UE: AS Security Mode Command
D. UE→AMF: NAS Security Mode Complete

Next Step¶

理解を深めるための次の一歩です。

• PDU Session 章（データ通信の土管確立。二次認証 Secondary Authentication を含む）
• 関連NF: AMF（SEAF同居・NAS終端） / AUSF（鍵階層図あり・KSEAF源泉） / UDM（K/OPcの源泉）
• 前段の手順: Authentication 章（KSEAF確立まで） / Initial Registration（セキュリティ確立の位置づけ）
• 辞典: Message辞典 / Cause辞典 / Protocol辞典 / NF辞典 / Interface辞典