定义
空口加密指在终端与基站之间的无线链路上对 RRC 信令与用户面数据报文进行机密性保护，防止被同频接收设备窃听。3GPP 定义了多种加密算法族（如 EEA 系列用于 LTE，NEA 用于 5G），具体启用哪一类由网络与终端在鉴权与安全模式命令过程中协商。物联网卡（UICC/eUICC）存储长期密钥与运营商凭证，参与 AKA 鉴权，派生用于加密与完整性的会话密钥。没有合法的卡与对应的运营商网络，攻击者难以解密空口流量，但需注意这仅保护“终端到基站”这一段，基站之后的核心网与互联网路径仍需 TLS、IPsec 或专网隔离。
完整性保护用于检测无线信令与部分用户数据是否被篡改，对应 EIA（LTE）或 NIA（5G）算法族。完整性保护对防止虚假切换指令、伪造基站下发恶意配置等攻击至关重要。物联网终端因固件更新周期长，若长期运行弱算法或错误配置，可能成为批量风险点。
“物联网卡完整性保护”在部分文档中也指卡内应用与文件系统的防篡改机制（如 STK 安全域），本文侧重蜂窝空口安全语境，避免与平台侧设备可信混淆。
技术要点
安全模式命令由网络下发，终端依据自身与卡支持的算法优先级回应。老旧物联网模组若仅支持过时算法，可能在运营商收紧策略后无法入网，表现为 attach 失败或反复 RRC 重配。eUICC 可通过远程管理更新卡内安全域策略，但对空口算法支持仍取决于 modem 芯片。
5G SA 引入更完善的空口安全框架，支持 256 位算法选项与更灵活的密钥层次。物联网 RedCap 设备应核对是否完整实现必选安全特性。专网部署若使用私有频段与小型核心网，仍需遵循国家密码管理与无线电主管部门对商用密码应用的要求，不得自行关闭完整性保护“以提速”。
用户面加密在部分物联网场景可选开启，但信令完整性通常强制。错误理解“用户面已 TLS 可关空口加密”会带来合规风险，且 TLS 仅在 TCP 之上，无法覆盖所有业务类型。
物联网卡与平台配置
采购物联网卡时应索取算法支持列表与认证类型（如 Milenage、TUAK），与目标运营商现网策略交叉验证。平台无法在远端直接“开关”空口加密，但可通过禁止老旧模组入网、在 OTA 中强制升级基带来间接治理。对高安全客户，可在入库检测中加入附着失败码分析，识别算法协商不匹配。
使用 VPDN 或专网时，端到端安全应分层设计：空口 + 核心网 + 隧道 + 应用 TLS。卡商可提供机卡绑定与证书签发服务，与应用层身份结合，形成纵深防御。eUICC 换 Profile 时注意新运营商是否要求不同的鉴权向量版本。
连接管理平台可记录鉴权失败、安全模式拒绝等摘要事件（若接口可得），辅助发现伪造基站或克隆卡尝试。
运维与排障
批量“突然无法注册”可能与运营商全网算法升级有关，需升级模组固件或更换卡批次。个别设备失败则优先检查是否使用了非认证模组或水货卡。完整性校验失败日志若集中出现在某小区，需警惕伪基站或强干扰导致的报文损坏。
安全事件应急响应中，应能远程定位受影响 ICCID 列表与最后成功鉴权时间，必要时批量换卡或吊销证书。避免在公开场合泄露 Ki、OPc 等卡密钥材料，所有物流与仓储环节需符合商密载体管理要求。
定期渗透测试应包含空口侧中间人场景，验证应用层是否在假基站环境下拒绝继续业务。
合规与安全
国内关键行业需遵守密码法与等级保护对传输机密性、完整性的要求，空口与应用层需双重满足。出口设备在目标国可能面临算法合规差异，应使用当地允许的配置文件。个人信息与敏感工业数据即使有空口加密，仍须在平台侧分类分级存储与访问控制。
供应链安全要求可追溯卡厂、芯片批号与烧录记录，防止硬件植入后门。合同应约定算法升级的通知义务与兼容窗口。
应用场景
智能表计、车载终端、工业网关、医疗可穿戴等持有物联网卡的设备，在公共蜂窝频谱上运行，空口加密与完整性保护是基线安全。高价值资产追踪与支付终端还应叠加 SE/eSE 与应用证书。政府与能源专网常要求指定算法套件与双向认证，与公网消费设备策略不同。
达希物联在物联网卡安全能力说明、入网测试清单与平台告警联动方面提供支持，帮助客户把 3GPP 安全机制落实到可审计流程。