定义
隐私保护（Privacy Protection）旨在防止用户身份、位置、行为等敏感信息在空口传输、存储与处理过程中被窃听、追踪或滥用。5G引入SUCI（Subscription Concealed Identifier）替代明文IMSI在首次注册时传输，采用椭圆曲线加密，由UDM解密获取SUPI。此外，位置信息、CDR、用户行为数据等需符合GDPR、个保法等隐私法规要求。
核心机制
SUCI与IMSI保护
SUCI在终端侧对SUPI（含IMSI）加密，仅UDM可解密。空口与中间网元无法获取明文IMSI，有效防止IMSI捕获（IMSI Catching）与追踪攻击。
临时标识GUTI
注册成功后，网络分配GUTI（Globally Unique Temporary Identifier）替代IMSI用于后续信令，减少IMSI在空口暴露。GUTI定期重分配以降低被关联风险。
位置与数据脱敏
位置信息可进行粒度控制（如小区级、TA级）、脱敏或匿名化；CDR、用户行为数据需最小化采集、加密存储、访问控制，符合数据最小化原则。
物联网隐私考量
物联网设备数量大、位置信息敏感，需防止设备被追踪、身份被滥用。5G物联网支持SUCI与GUTI；设备标识、IMEI等也需在传输与存储中保护。与空口加密、完整性保护协同构成安全架构。
达希物联的物联网卡与云平台在设备管理、位置服务等场景中，严格遵循隐私保护与数据合规要求。设备标识、位置信息等敏感数据采用加密传输与访问控制；达希物联在方案设计中会协助客户评估隐私风险，满足行业监管与客户合规需求。
长期标识只在首次登记时隐藏
蜂窝隐私要保护的是能够把一个人或一台设备跟位置、行为绑在一起的标识。5G把用户永久标识SUPI在终端侧用归属网公钥加密成SUCI，空口上首次注册不再发送明文IMSI，只有归属网的UDM解得开。加密用的是归属网的公钥，拜访网和伪基站拿不到对应私钥，就不能靠监听注册把永久身份读出来。注册完成后网络改发GUTI，后续附着、寻呼和业务请求都用这份临时身份。GUTI若长期不换，窃听者仍可以把多次出现的同一临时身份串成轨迹。
这只覆盖空口上的身份字段。位置更新本身仍然告诉网络“这台终端在哪个跟踪区”，否则寻呼无法进行。隐私保护不是取消位置管理，而是限制谁能看到永久身份、位置能细到什么粒度、日志保留多久。应用层的设备编号、车牌、人脸若在平台上明文关联，空口换成SUCI也挡不住内部滥用。
重分配临时身份要选在信令可承受时
GUTI重分配、位置脱敏和话单最小化必须同时设计。重分配过稀，临时身份变成事实上的长期身份；过密，会增加注册信令，低功耗设备的省电模型被打乱。使用条件是终端和网络都支持SUCI，卡里写了正确的归属网公钥或配置文件。旧卡、关闭了保密功能的测试固件、或强制用IMSI寻呼的开关，都会把保护绕开。漫游时拜访网只应看到SUCI和自己分配的临时身份，不应要求终端上报明文IMSI“方便开卡”。
平台侧的使用条件同样具体：定位展示按业务需要取小区级或跟踪区级，而不是默认保存每次数秒的经纬度；话单里的用户标识做访问控制；维修导出要有期限。和TLS的分工是：TLS保护设备到平台的应用报文，SUCI和GUTI保护蜂窝身份。只做其中一层，另一层仍可能把同一台设备关联出来。日志若被第三方运维长期留存，还要在合同里写明保留时间和删除责任。
空口加密了，话单仍是明文
容易出错的是认为打开空口加密就完成了隐私保护。空口加密防止无线窃听业务内容，不防止运营商和平台按职责看到身份与位置。把IMSI、IMEI、小区号和精确时间写进每一行调试日志，再上传到共享网盘，等于自己做了关联数据库。另一类错误是寻呼和测试指令长期携带IMSI，为了排查方便把临时身份机制废掉。
测试卡在实验室用明文、量产卡忘记关掉工程模式，也会在现场继续发送永久标识。应在空口抓包里确认首次注册出现的是SUCI而不是IMSI，并检查平台导出文件是否仍含可直接识别个人的字段。合规文本写了“已加密”，但导出表里是明文IMSI，就说明保护停在口号上。
维修账号、测试导出和第三方运维接口经常绕过业务页面上的脱敏。页面上看到的是掩码，导出的表格里仍是完整标识和精确时间，两者拼在一起就能还原轨迹。临时身份若几个月不更换，窃听者不必破解永久标识也能把多次出现串起来。位置展示应默认到业务真正需要的粒度，更细的记录要有单独权限和较短的保留时间。空口抓包确认首次登记不再出现明文长期标识，只是检查的第一步。