5G专网安全认证系统企业专网终端接入与身份管理方案5G专网安全认证系统 上线后出现的第一类故障通常不像安全问题而像网络问题一批工业终端在开通当天集体注册失败认证侧日志里是密密麻麻的超时与重放拒绝。某次园区专网割接的复盘结论很典型——运营商侧完成了开户与切片配置但终端内没有预置可信凭证现场为赶工期临时改成用户名加口令的应急账号。三周后做凭证盘点发现同一个应急账号在十几台设备上同时在线谁也说不清是哪台设备在用。全文结构先划边界专网认证管哪三条链路建网模式决定认证落在哪一层终端接入认证的四种路线横向对比路线一USIM5G AKA路线二证书与 EAP-TLS路线三运维与业务终端的双因素接入路线四预置密钥与轻量终端国密改造与合规对标常见问题FAQ四种路线决策表落地验收清单相关阅读一、先划边界专网认证管哪三条链路讨论方案前先把认证这件事在专网里分成三条互不替代的链路。把它们合成一条来做是后期权限失控的起点。1.1 三条链路链路谁认证谁主要协议载体失败后果终端入网网络认证终端USIM凭证5G AKA、EAP-AKA、EAP-TLS设备无法注册业务全断业务应用接入应用认证用户与设备证书、令牌、应用侧会话能上网但用不了业务运维人员访问运维平台认证人双因素、堡垒与审计高危操作不可追溯三条链路的凭证不应共用终端入网凭证解决这台设备能不能进专网业务接入凭证解决这个用户能不能用系统运维凭证解决这个人能不能改配置。共用的后果是任何一条链路的凭证被冒用另外两条同时失守。1.2 5G专网安全认证系统的四个基本问句一套 5G专网安全认证系统是否成立看它能不能持续回答四个问题你是谁终端有没有不可复制的身份凭证人有没有独立于设备的凭据你能进哪条链路入网、业务、运维三者的授权是否分离凭证怎么来的是出厂预置、现场发放还是后台自签发能否追溯到人凭证怎么退出挂失、吊销、到期后多久生效有没有回执确认。第四问最容易被跳过而它恰恰决定了前面三问的实际强度——吊销不生效的凭证体系改密码会变成仅剩的补救手段。二、建网模式决定认证落在哪一层企业 5G 专网的建设模式不同认证能力的归属也不同。选错层次会导致想要的控制点和实际能改的配置位对不上。建设模式网络侧归属认证控制点企业可控度虚拟专网切片DNN 隔离运营商大网由运营商侧 UDMAAA 承载企业侧做二次认证低到中配置需走运营商流程混合专网UPF 下沉、控制面共享运营商 企业入网在运营商侧业务与运维认证在企业侧中通常也是最实用的形态独立专网自有频谱、完整 5GC企业自建全部由企业侧 UDMAAA 承载高但建设与运维成本显著上升对绝大多数园区、港口、矿区场景混合专网是现实选择入网认证交给运营商的签约体系业务接入与运维认证由企业侧统一身份系统承接。这意味着企业侧真正要建的是第二、第三条链路而不是重复建一套 UDM。三、5G专网安全认证系统的四种终端接入路线横向对比路线凭证形态抗克隆生命周期管理改造量适用终端USIM5G AKA运营商签约卡与密钥强密钥不出卡由签约体系统一管理低依赖运营商手持终端、车载终端、CPE证书与 EAP-TLS设备证书与私钥强私钥在安全载体企业侧签发与吊销中工业网关、AGV、摄像终端双因素接入口令 动态口令U 盾中到强企业侧身份系统管理中运维笔记本电脑、业务终端预置密钥对称密钥PSK弱易批量复制难以逐台吊销低资源受限传感器、临时设备结论先行常态化、数量大、分布广的现场终端走 USIM 或证书人员操作类终端走双因素预置密钥只能作为过渡且必须限定额度与区域。四、路线一USIM5G AKA4.1 原理3GPP TS 33.501 规定了 5G 系统的安全架构与流程主认证支持 5G AKA 与 EAP-AKA二者都基于 USIM 中长期密钥与归属网络的认证向量完成双向鉴别网络验证终端终端也验证网络。密钥不离开 USIM 卡整个过程中网络上传输的是认证向量与响应而非长期密钥本身。这条路线最大的价值是继承了运营商既有的签约与运营体系开户、挂失、补卡都有成熟流程企业侧不必从零搭建。4.2 现场要做的事签约台账每张卡的 ICCID、IMSI 与设备编号绑定台账由企业侧保存而非仅依赖运营商侧机卡绑定关键场景下启用机卡锁定卡被拔出插入其他设备即不可用区域与额度限制把行业切片、DNN 与流量策略写进签约限制终端只能访问指定业务异常停用设备报废、失窃时立即走挂失并要求回执确认。五、路线二证书与 EAP-TLS5.1 原理证书路线把设备身份从卡换成证书与私钥设备持有由企业根证书签发的设备证书接入时通过 EAP-TLS 完成双向证书校验。私钥存放在设备的安全载体eSE、TPM、安全芯片或 U 盾中不参与传输。与 USIM 相比它的差别在归属证书体系由企业自建 CA 签发不依赖任何外部签约流程吊销即时生效适合设备型号多、供应商杂、生命周期由自己掌握的场景。5.2 工程要点密钥在设备内生成由安全载体生成密钥对并导出证书请求CSR私钥不出载体签发与吊销走独立系统签发审批、吊销列表CRLOCSP更新周期、回执确认三件事要写进流程批量与单台并存产线批量签发用于建设期故障替换走单台签发。# 1) 设备向证书服务提交 CSR占位示例 curl -sS -X POST $HSM_API/v1/pki/enroll \ -H Authorization: Bearer $TOKEN \ -H Content-Type: application/json \ -d { device_sn: AGV-2026-0417, csr_pem: $CSR, template: device-5g-client, validity_days: 730 } # 2) 查询吊销列表与生效状态 curl -sS $HSM_API/v1/pki/crl?device_snAGV-2026-0417 -H Authorization: Bearer $TOKEN5.3 容易踩的坑坑一证书有效期过长。有效期设成十年等于把吊销变成主要手段而现场往往没有稳定的吊销回执机制。工业设备建议一到两年配自动续期流程。坑二私钥落在文件系统。证书文件与私钥被打包进镜像刷机即扩散。处理办法是私钥进安全载体或者在缺乏载体时限定使用范围并缩短有效期。坑三吊销列表没人查。配置里没启用在线吊销校验吊销只在台账里生效。处理办法是把在线校验设为强制并做一次吊销后立即失效的演练验证。六、路线三运维与业务终端的双因素接入6.1 为什么人员终端要单独一条设备凭证解决不了谁在操作。同一台运维笔记本张三用和李四用应当留下不同的操作记录同一个人从多台设备登录也应当能被识别与收敛。这就是双因素接入存在的理由——把人的身份从设备里解耦出来。6.2 落地形态第一因子账号口令或域账号由统一身份源提供第二因子动态口令、推送确认或硬件介质签名按动作分级查看类操作只用第一因子配置下发、参数修改、批量导出等高危动作强制第二因子。# 为运维门户配置分级二次因子占位示例 curl -sS -X POST $ASP_API/v1/policies \ -H Authorization: Bearer $TOKEN \ -H Content-Type: application/json \ -d { app_id: op-portal-5g, risky_actions: [config_push, key_export, batch_download], factor_second: otppush, step_up_ttl: 300s } # 高危动作二次确认后换取短时票据 curl -sS -X POST $ASP_API/v1/step_up \ -H Authorization: Bearer $TOKEN \ -d {user:ops03,action:key_export,device_id:LT-2026-093}第二因子的载体选择上涉及密码运算的场景建议用硬件介质私钥与密钥在介质内签名运算也在介质内完成服务端只验证签名结果。安当的 UKEY 承担的就是这一层——服务于高危动作的身份确认与签名与之配套安当的 ASP 负责统一身份源、分级策略与审计留痕安当的 HSM 则在后端承担证书签发与密钥保护构成一套从人到设备、从前端到后端的闭环。七、路线四预置密钥与轻量终端7.1 什么时候不得不用资源受限的传感器、模组不开放的存量设备往往不支持证书也不具备安全载体。这时只能退到对称密钥路线出厂或在接入前写入一把预置密钥接入时用它完成鉴别。7.2 把影响半径压住对称密钥的致命伤是复制成本为零一把密钥被读出所有持有它的设备都变成可被冒充的对象。因此用它就必须同时做到一机一密预置密钥按设备标识分散不做批次共钥限定使用场景把密钥可用的业务范围、访问目标、时间窗写进策略缩短有效期配合定期更新机制避免长期凭据配额与告警单台设备的连接频率、流量、并发数异常即告警并隔离。做不到的情况下宁可用网络侧白名单 业务侧弱权限把这类设备圈在小范围内也不要让它们与核心业务共处同一信任域。八、国密改造与合规对标8.1 算法改造的两个层次电信行业国密算法改造通常要过两道关协议侧把接入认证、隧道协商中的算法套件替换为 SM2SM3SM4 组合证书侧把 RSA 证书体系换成 SM2 证书体系包括根证书、设备证书与人员证书。证书侧改造容易被低估它不只是换算法还涉及证书模板、吊销列表格式、验签中间件、以及大量不支持国密的存量终端。务实的节奏是双轨并行——国密证书面向新设备存量设备按替换周期逐步迁移验证网关同时支持两套验签。8.2 对标清单要求来源关注点对应动作3GPP TS 33.5015G 系统安全架构与认证流程入网认证方式选型与参数配置GBT 22239-2019等级保护基本要求专网管理平台定级测评与整改GBT 39786-2021信息系统密码应用基本要求身份鉴别、传输与存储机密性完整性GBT 43206-2023密码应用测评要求测评方法与技术指标取证在密评口径下身份鉴别这一指标要拿出的是可核验的设备人员身份证据链凭证在哪生成、存放在哪、能否被复制、吊销多久生效。前文四个路线的取舍本质上就是在回答这四问。九、常见问题FAQQ5G专网安全认证系统应该优先建哪一条链路A优先建业务应用接入与运维人员访问两条。入网认证通常由运营商签约体系统一承载企业可控空间有限而应用与运维的权限边界、操作留痕、高危动作二次确认完全在企业侧也最容易先出成果。Q5G专网安全认证系统用 USIM 还是设备证书A看归属与规模。设备型号杂、供应商多、生命周期要自己掌握的选企业自建 CA 签发的设备证书终端形态统一、数量大且希望复用运营商运营体系的选 USIM。两者不冲突可以按终端类别混用。Q5G专网安全认证系统多久做一次凭证盘点合适A建议季度盘点一次内容包含在线凭证数量与设备台账是否一致、离网设备凭证是否吊销、长期未使用的凭证是否停用。重大变更批量开通、批量换机、失窃后要追加一次专项盘点。Q5G专网安全认证系统的凭证吊销怎么才算生效A吊销不是改台账必须以链路侧拒绝为准。证书类要启用在线吊销校验并验证吊销后立即无法接入签约类要取得运营商侧回执预置密钥类没有有效吊销手段只能在业务侧限制额度与范围。Q存量不支持国密的终端在 5G专网安全认证系统里怎么过渡A走双轨制新设备用国密证书与国密算法套件存量设备保留原密码套件但限定业务范围与访问目标验证网关同时支持两套验签。迁移过程按设备批次推进每批切换前先在测试区验证注册、续期、吊销三个动作确认无误后再并入生产区待全部替换完毕后关闭旧套件。十、四种路线决策表场景推荐路线配套动作不建议大量手持终端与车载单元USIM5G AKA机卡绑定、区域限制、失窃挂失回执用预置密钥统一管理工业网关、AGV、无人巡检设备设备证书 EAP-TLS证书 1-2 年有效期、在线吊销校验、自动续期有效期过长且无吊销验证运维笔记本与业务坐席双因素 硬件介质签名高危动作分级二次确认、操作留痕仅口令登录资源受限传感器预置密钥过渡一机一密、限范围限额度、异常隔离批次共钥、长期凭据十一、落地验收清单#验收项判定标准检查方式1链路分离入网、业务、运维三类凭证互不通用凭证清单核查2凭证来源每台设备的凭证可追溯到签发人与时间台账导出3私钥保护私钥存放于安全载体文件系统无明文私钥设备抽检 文件检索4机卡绑定关键终端拔出凭证后不可用换卡测试5证书有效期工业设备 1-2 年支持自动续期配置核查6吊销生效吊销后链路侧立即拒绝接入吊销演练计时7高危动作加固配置下发、密钥导出等动作需二次因子策略核查 实操验证8孤儿凭据无长期闲置、无人负责的在线凭证季度盘点报告9区域限制终端仅能访问授权业务与切片越权访问测试10国密双轨新旧算法套件并存且切换可控网关配置核查11审计留痕操作日志独立留存管理员无删除权限日志平台核查12密码应用合规对照 GBT 39786-2021 与 GBT 43206-2023 备齐证据条款对照表十二、相关阅读5G专网安全认证系统的上层5G 核心网 AMFSMF 到 AUSF 的统一身份管理5G专网安全认证系统与 CBTC 信号系统的车地通信认证对照ETC 不停车收费密钥管理OBU 密钥注入与路侧设备密钥分发燃气工控安全防护门站调压站加臭站全线工控加固危化品监管数据安全风险智能化管控平台的加密合规实践文章作者安当加密技术负责人
5G专网安全认证系统：企业专网终端接入与身份管理方案
5G专网安全认证系统企业专网终端接入与身份管理方案5G专网安全认证系统 上线后出现的第一类故障通常不像安全问题而像网络问题一批工业终端在开通当天集体注册失败认证侧日志里是密密麻麻的超时与重放拒绝。某次园区专网割接的复盘结论很典型——运营商侧完成了开户与切片配置但终端内没有预置可信凭证现场为赶工期临时改成用户名加口令的应急账号。三周后做凭证盘点发现同一个应急账号在十几台设备上同时在线谁也说不清是哪台设备在用。全文结构先划边界专网认证管哪三条链路建网模式决定认证落在哪一层终端接入认证的四种路线横向对比路线一USIM5G AKA路线二证书与 EAP-TLS路线三运维与业务终端的双因素接入路线四预置密钥与轻量终端国密改造与合规对标常见问题FAQ四种路线决策表落地验收清单相关阅读一、先划边界专网认证管哪三条链路讨论方案前先把认证这件事在专网里分成三条互不替代的链路。把它们合成一条来做是后期权限失控的起点。1.1 三条链路链路谁认证谁主要协议载体失败后果终端入网网络认证终端USIM凭证5G AKA、EAP-AKA、EAP-TLS设备无法注册业务全断业务应用接入应用认证用户与设备证书、令牌、应用侧会话能上网但用不了业务运维人员访问运维平台认证人双因素、堡垒与审计高危操作不可追溯三条链路的凭证不应共用终端入网凭证解决这台设备能不能进专网业务接入凭证解决这个用户能不能用系统运维凭证解决这个人能不能改配置。共用的后果是任何一条链路的凭证被冒用另外两条同时失守。1.2 5G专网安全认证系统的四个基本问句一套 5G专网安全认证系统是否成立看它能不能持续回答四个问题你是谁终端有没有不可复制的身份凭证人有没有独立于设备的凭据你能进哪条链路入网、业务、运维三者的授权是否分离凭证怎么来的是出厂预置、现场发放还是后台自签发能否追溯到人凭证怎么退出挂失、吊销、到期后多久生效有没有回执确认。第四问最容易被跳过而它恰恰决定了前面三问的实际强度——吊销不生效的凭证体系改密码会变成仅剩的补救手段。二、建网模式决定认证落在哪一层企业 5G 专网的建设模式不同认证能力的归属也不同。选错层次会导致想要的控制点和实际能改的配置位对不上。建设模式网络侧归属认证控制点企业可控度虚拟专网切片DNN 隔离运营商大网由运营商侧 UDMAAA 承载企业侧做二次认证低到中配置需走运营商流程混合专网UPF 下沉、控制面共享运营商 企业入网在运营商侧业务与运维认证在企业侧中通常也是最实用的形态独立专网自有频谱、完整 5GC企业自建全部由企业侧 UDMAAA 承载高但建设与运维成本显著上升对绝大多数园区、港口、矿区场景混合专网是现实选择入网认证交给运营商的签约体系业务接入与运维认证由企业侧统一身份系统承接。这意味着企业侧真正要建的是第二、第三条链路而不是重复建一套 UDM。三、5G专网安全认证系统的四种终端接入路线横向对比路线凭证形态抗克隆生命周期管理改造量适用终端USIM5G AKA运营商签约卡与密钥强密钥不出卡由签约体系统一管理低依赖运营商手持终端、车载终端、CPE证书与 EAP-TLS设备证书与私钥强私钥在安全载体企业侧签发与吊销中工业网关、AGV、摄像终端双因素接入口令 动态口令U 盾中到强企业侧身份系统管理中运维笔记本电脑、业务终端预置密钥对称密钥PSK弱易批量复制难以逐台吊销低资源受限传感器、临时设备结论先行常态化、数量大、分布广的现场终端走 USIM 或证书人员操作类终端走双因素预置密钥只能作为过渡且必须限定额度与区域。四、路线一USIM5G AKA4.1 原理3GPP TS 33.501 规定了 5G 系统的安全架构与流程主认证支持 5G AKA 与 EAP-AKA二者都基于 USIM 中长期密钥与归属网络的认证向量完成双向鉴别网络验证终端终端也验证网络。密钥不离开 USIM 卡整个过程中网络上传输的是认证向量与响应而非长期密钥本身。这条路线最大的价值是继承了运营商既有的签约与运营体系开户、挂失、补卡都有成熟流程企业侧不必从零搭建。4.2 现场要做的事签约台账每张卡的 ICCID、IMSI 与设备编号绑定台账由企业侧保存而非仅依赖运营商侧机卡绑定关键场景下启用机卡锁定卡被拔出插入其他设备即不可用区域与额度限制把行业切片、DNN 与流量策略写进签约限制终端只能访问指定业务异常停用设备报废、失窃时立即走挂失并要求回执确认。五、路线二证书与 EAP-TLS5.1 原理证书路线把设备身份从卡换成证书与私钥设备持有由企业根证书签发的设备证书接入时通过 EAP-TLS 完成双向证书校验。私钥存放在设备的安全载体eSE、TPM、安全芯片或 U 盾中不参与传输。与 USIM 相比它的差别在归属证书体系由企业自建 CA 签发不依赖任何外部签约流程吊销即时生效适合设备型号多、供应商杂、生命周期由自己掌握的场景。5.2 工程要点密钥在设备内生成由安全载体生成密钥对并导出证书请求CSR私钥不出载体签发与吊销走独立系统签发审批、吊销列表CRLOCSP更新周期、回执确认三件事要写进流程批量与单台并存产线批量签发用于建设期故障替换走单台签发。# 1) 设备向证书服务提交 CSR占位示例 curl -sS -X POST $HSM_API/v1/pki/enroll \ -H Authorization: Bearer $TOKEN \ -H Content-Type: application/json \ -d { device_sn: AGV-2026-0417, csr_pem: $CSR, template: device-5g-client, validity_days: 730 } # 2) 查询吊销列表与生效状态 curl -sS $HSM_API/v1/pki/crl?device_snAGV-2026-0417 -H Authorization: Bearer $TOKEN5.3 容易踩的坑坑一证书有效期过长。有效期设成十年等于把吊销变成主要手段而现场往往没有稳定的吊销回执机制。工业设备建议一到两年配自动续期流程。坑二私钥落在文件系统。证书文件与私钥被打包进镜像刷机即扩散。处理办法是私钥进安全载体或者在缺乏载体时限定使用范围并缩短有效期。坑三吊销列表没人查。配置里没启用在线吊销校验吊销只在台账里生效。处理办法是把在线校验设为强制并做一次吊销后立即失效的演练验证。六、路线三运维与业务终端的双因素接入6.1 为什么人员终端要单独一条设备凭证解决不了谁在操作。同一台运维笔记本张三用和李四用应当留下不同的操作记录同一个人从多台设备登录也应当能被识别与收敛。这就是双因素接入存在的理由——把人的身份从设备里解耦出来。6.2 落地形态第一因子账号口令或域账号由统一身份源提供第二因子动态口令、推送确认或硬件介质签名按动作分级查看类操作只用第一因子配置下发、参数修改、批量导出等高危动作强制第二因子。# 为运维门户配置分级二次因子占位示例 curl -sS -X POST $ASP_API/v1/policies \ -H Authorization: Bearer $TOKEN \ -H Content-Type: application/json \ -d { app_id: op-portal-5g, risky_actions: [config_push, key_export, batch_download], factor_second: otppush, step_up_ttl: 300s } # 高危动作二次确认后换取短时票据 curl -sS -X POST $ASP_API/v1/step_up \ -H Authorization: Bearer $TOKEN \ -d {user:ops03,action:key_export,device_id:LT-2026-093}第二因子的载体选择上涉及密码运算的场景建议用硬件介质私钥与密钥在介质内签名运算也在介质内完成服务端只验证签名结果。安当的 UKEY 承担的就是这一层——服务于高危动作的身份确认与签名与之配套安当的 ASP 负责统一身份源、分级策略与审计留痕安当的 HSM 则在后端承担证书签发与密钥保护构成一套从人到设备、从前端到后端的闭环。七、路线四预置密钥与轻量终端7.1 什么时候不得不用资源受限的传感器、模组不开放的存量设备往往不支持证书也不具备安全载体。这时只能退到对称密钥路线出厂或在接入前写入一把预置密钥接入时用它完成鉴别。7.2 把影响半径压住对称密钥的致命伤是复制成本为零一把密钥被读出所有持有它的设备都变成可被冒充的对象。因此用它就必须同时做到一机一密预置密钥按设备标识分散不做批次共钥限定使用场景把密钥可用的业务范围、访问目标、时间窗写进策略缩短有效期配合定期更新机制避免长期凭据配额与告警单台设备的连接频率、流量、并发数异常即告警并隔离。做不到的情况下宁可用网络侧白名单 业务侧弱权限把这类设备圈在小范围内也不要让它们与核心业务共处同一信任域。八、国密改造与合规对标8.1 算法改造的两个层次电信行业国密算法改造通常要过两道关协议侧把接入认证、隧道协商中的算法套件替换为 SM2SM3SM4 组合证书侧把 RSA 证书体系换成 SM2 证书体系包括根证书、设备证书与人员证书。证书侧改造容易被低估它不只是换算法还涉及证书模板、吊销列表格式、验签中间件、以及大量不支持国密的存量终端。务实的节奏是双轨并行——国密证书面向新设备存量设备按替换周期逐步迁移验证网关同时支持两套验签。8.2 对标清单要求来源关注点对应动作3GPP TS 33.5015G 系统安全架构与认证流程入网认证方式选型与参数配置GBT 22239-2019等级保护基本要求专网管理平台定级测评与整改GBT 39786-2021信息系统密码应用基本要求身份鉴别、传输与存储机密性完整性GBT 43206-2023密码应用测评要求测评方法与技术指标取证在密评口径下身份鉴别这一指标要拿出的是可核验的设备人员身份证据链凭证在哪生成、存放在哪、能否被复制、吊销多久生效。前文四个路线的取舍本质上就是在回答这四问。九、常见问题FAQQ5G专网安全认证系统应该优先建哪一条链路A优先建业务应用接入与运维人员访问两条。入网认证通常由运营商签约体系统一承载企业可控空间有限而应用与运维的权限边界、操作留痕、高危动作二次确认完全在企业侧也最容易先出成果。Q5G专网安全认证系统用 USIM 还是设备证书A看归属与规模。设备型号杂、供应商多、生命周期要自己掌握的选企业自建 CA 签发的设备证书终端形态统一、数量大且希望复用运营商运营体系的选 USIM。两者不冲突可以按终端类别混用。Q5G专网安全认证系统多久做一次凭证盘点合适A建议季度盘点一次内容包含在线凭证数量与设备台账是否一致、离网设备凭证是否吊销、长期未使用的凭证是否停用。重大变更批量开通、批量换机、失窃后要追加一次专项盘点。Q5G专网安全认证系统的凭证吊销怎么才算生效A吊销不是改台账必须以链路侧拒绝为准。证书类要启用在线吊销校验并验证吊销后立即无法接入签约类要取得运营商侧回执预置密钥类没有有效吊销手段只能在业务侧限制额度与范围。Q存量不支持国密的终端在 5G专网安全认证系统里怎么过渡A走双轨制新设备用国密证书与国密算法套件存量设备保留原密码套件但限定业务范围与访问目标验证网关同时支持两套验签。迁移过程按设备批次推进每批切换前先在测试区验证注册、续期、吊销三个动作确认无误后再并入生产区待全部替换完毕后关闭旧套件。十、四种路线决策表场景推荐路线配套动作不建议大量手持终端与车载单元USIM5G AKA机卡绑定、区域限制、失窃挂失回执用预置密钥统一管理工业网关、AGV、无人巡检设备设备证书 EAP-TLS证书 1-2 年有效期、在线吊销校验、自动续期有效期过长且无吊销验证运维笔记本与业务坐席双因素 硬件介质签名高危动作分级二次确认、操作留痕仅口令登录资源受限传感器预置密钥过渡一机一密、限范围限额度、异常隔离批次共钥、长期凭据十一、落地验收清单#验收项判定标准检查方式1链路分离入网、业务、运维三类凭证互不通用凭证清单核查2凭证来源每台设备的凭证可追溯到签发人与时间台账导出3私钥保护私钥存放于安全载体文件系统无明文私钥设备抽检 文件检索4机卡绑定关键终端拔出凭证后不可用换卡测试5证书有效期工业设备 1-2 年支持自动续期配置核查6吊销生效吊销后链路侧立即拒绝接入吊销演练计时7高危动作加固配置下发、密钥导出等动作需二次因子策略核查 实操验证8孤儿凭据无长期闲置、无人负责的在线凭证季度盘点报告9区域限制终端仅能访问授权业务与切片越权访问测试10国密双轨新旧算法套件并存且切换可控网关配置核查11审计留痕操作日志独立留存管理员无删除权限日志平台核查12密码应用合规对照 GBT 39786-2021 与 GBT 43206-2023 备齐证据条款对照表十二、相关阅读5G专网安全认证系统的上层5G 核心网 AMFSMF 到 AUSF 的统一身份管理5G专网安全认证系统与 CBTC 信号系统的车地通信认证对照ETC 不停车收费密钥管理OBU 密钥注入与路侧设备密钥分发燃气工控安全防护门站调压站加臭站全线工控加固危化品监管数据安全风险智能化管控平台的加密合规实践文章作者安当加密技术负责人
