# 伪基站现形记：空口攻防战 **概述**：2025年3月，美国电子前哨基金会（EFF）发布了一款名为 Rayhunter 的开源工具——把它刷进一台约20美元的预付费热点设备，就能实时检测身边的伪基站（IMSI catcher）活动。这件事标志着一个老对手正以新姿态回到聚光灯下：从GSM时代“一抓一个准”的身份窃取器，到乌克兰战场上向士兵手机群发恐吓短信的电子战装备，再到美国警方用了十几年的 StingRay 定位器，伪基站的攻防贯穿了移动通信三十年的安全史。本文回答三个问题：伪基站为什么在5G时代依然杀不死？3GPP 用哪些机制反制、反制到什么程度？作为通信工程师，如何在自己的网络里把伪基站“找出来”？文中事实以 EFF 官方项目页、3GPP 标准文档、各国安全机构公开报告为锚定，无法确证处均注明“据报道”。 ## 目录 - 一、20美元的“基站测谎仪”：Rayhunter 上岗 - 二、伪基站为什么打不死：单向认证的原罪 - 三、5G的答案：把身份藏起来，把异常找出来 - 四、战场与边境：伪基站的实战档案 - 五、运营商视角：在自己的网里抓伪基站 - 六、给工程师的四条实操建议 - 七、结语：没有银弹的攻防 ## 一、20美元的“基站测谎仪”：Rayhunter 上岗 2025年3月，EFF 正式发布 Rayhunter（[官方项目页](https://www.eff.org/issues/rayhunter)），并给出了一个惊人的价格标签：一台 T-Mobile 预付费热点设备 Orbic RC400L，美国零售价约20美元。把它用 USB 连接电脑刷入开源固件后，这台不起眼的小盒子就变成了一部实时监测空口信令的“基站测谎仪”——放在包里随行人移动，一旦检测到疑似伪基站的特征，立即告警。 Rayhunter 用 Rust 编写，检测思路不是黑盒猜测，而是盯着空口信令里那些“正常基站不该说、只有攻击者才会说的话”，包括： - 要求终端降级到 2G 的重配置指令； - 异常的加密与完整性保护参数（例如要求关闭或使用弱算法）； - 可疑的系统消息与寻呼行为； - 身份请求异常（诱导终端上报明文 IMSI 的套路）。 EFF 开发这款工具的动机很直接：历史上检测伪基站要么靠造价数十万美元的专业扫频设备，要么靠德国 GSMK CryptoPhone 这类专用的安全手机，普通人根本接触不到。而据 EFF 与多个公民权利组织的长期呼吁，伪基站的滥用远不止“教科书上的威胁”——记者被定位、抗议人群被监控、边境地区被大规模扫描，都曾被各国媒体和安全机构证实过。把检测成本打到一杯咖啡的价位，是“检测权平民化”的标志性一步。 值得注意的是 EFF 的克制：Rayhunter 检测到的是“疑似特征”，它不指控、不定罪，而是把判断权留给用户与研究者。这个定位恰好对应了伪基站攻防的本质——它是一场持续三十年、双方都在升级的猫鼠游戏。 ## 二、伪基站为什么打不死：单向认证的原罪 要理解伪基站为何顽固，得回到移动通信安全架构的原点：**认证是单向的**。 **GSM 时代：网络可以裸奔，用户只能信。** 2G 的鉴权设计里，只有网络验证用户（挑战-响应，SIM 卡算 SRES），用户侧从不验证网络。更糟的是，GSM 加密（A5/1、A5/2）是网络说了算的——基站广播什么加密能力，终端就接受什么，甚至可以接受“不加密”。这套单向信任结构意味着：一台功率足够强、频点选得刁的发射机，只要让终端“感觉”它是个好基站，终端就会乖乖驻留上去。伪基站三板斧由此成型： 1. **逼出真实身份**：广播异常的 TMSI 重分配参数，终端无法对应已有 TMSI，只能回退用明文 IMSI 完成位置更新——IMSI 当场暴露； 2. **降级压制**：重配置系统消息，把 3G/4G 终端“劝”回 GSM，进入弱加密甚至无加密的靶场； 3. **拒服务与广播**：对驻留终端发短信、发恐吓内容，或干脆拒绝服务把整片区域打瘫。 2010年代国内严打过的“垃圾短信伪基站”，就是第三板斧的商用滥用形态：一辆车、一台机、一天发几十万条诈骗短信。 **3G/UMTS：补上了双向，却补不了物理。** 3G 引入完整的 AKA 双向认证，USIM 会校验网络的鉴权向量（含 AKSN 序列号校验与完整性密钥派生），伪基站骗不过 USIM 的认证。但请注意：**双向认证防的是“骗你入网”，防不住“赶你出网”**。攻击者打不过你的加密，可以持续施放大功率干扰或发布“坏参数”，让终端掉网、重选——拒绝服务在无线物理层是无解的，这在任何制式下都成立。 **4G/LTE：被动窃听死了，追踪者还在。** LTE 强制双向认证、强制完整性保护，空口被动侦听在工程上基本失效。但研究界（包括多届 Black Hat 与 CCC 会议的经典演示）证明：主动伪基站仍然能做两件事——**把终端骗出 LTE 进入 2G 再收割**（降级攻击），以及**静默追踪**（利用不需要通过完整认证的信令交互获取终端响应特征，实现区域定位）。这也是 IMSI catcher 在 4G 时代的真实能力上限：从“窃听器”退化成了“跟踪器+干扰器”，但远未消失。 ## 三、5G的答案：把身份藏起来，把异常找出来 面对三十年的老问题，5G 安全架构（3GPP TS 33.501）给出了两张牌。 **第一张：SUCI——把 IMSI 藏进加密信封。** 5G 终端第一次接入网络时上报的不再是明文 IMSI，而是 SUCI（Subscription Concealed Identifier）：用运营商公钥（ECIES 方案）对用户永久标识加密后才上空口，只有归属网络的 UDM/ARPF 持私钥能解开。这意味着伪基站“三板斧”的第一斧——逼出明文 IMSI——在 5G 原生驻留场景下彻底失灵。这是 GSM 以来空口身份隐私最实质的一次进步。 **第二张：伪基站检测机制标准化。** 3GPP 在 Release 17 启动研究项目 TR 33.809，系统研究针对覆盖层的中间人攻击（malicious CLM，即伪基站形态攻击）的检测方案；到 Release 18，检测机制进入规范性落地，形成两条互补路线： - **UE 辅助检测**：终端侧持续校验空口参数与信令行为，发现异常（如不可信的重配置、异常广播消息）后通过 NAS 上报给网络，由网络侧汇聚分析； - **网络侧检测**：运营商在核心网与网管侧对切换失败、认证异常、重定向回 2G、位置更新突增等信令统计做联合分析，识别出“网里混进了假的”。 需要清醒看到两点边界：其一，R18 机制是**检测与上报框架**，不是“清除伪基站”的开关——发现之后的定位、取证、处置，仍要靠运营商、设备商与监管执法部门线下联动；其二，标准允许多种实现，各家检测算法的灵敏度、上报粒度、联动接口各有取舍，具体行为以各厂家官方文档为准。此外，拒绝服务型压制在物理层依然无解，5G 也一样——这是香农之后的公理，不是工程不够努力。 下面这张表把四代制式下伪基站的真实能力与对应反制做个盘点： | 制式 | 明文身份暴露 | 降级攻击 | 通话/短信劫持 | 主动追踪 | 标准化反制 | |---|---|---|---|---|---| | GSM/2G | 可以（IMSI 明文） | 不需要，本来就是靶场 | 可以（A5 弱加密） | 轻易实现 | 无（架构性缺陷） | | UMTS/3G | 可以（明文 IMSI） | 可反向压制入 2G | 需先降级到 2G | 可实现 | 双向 AKA | | LTE/4G | 可以（明文 IMSI） | 可诱导回落 2G | 基本不可 | 可实现（追踪/拒服） | 双向 AKA、完整性保护 | | NR/5G | 不可（SUCI 加密） | 可驱赶但难收割 | 基本不可 | 受限（拒服仍可） | SUCI、R18 检测框架 | 一句话总结：伪基站的能力边界从“窃听+定位+广播”一路收窄到“定位+拒服”，但每一代都没被真正清零，只是成本越来越高、收益越来越低。 ## 四、战场与边境：伪基站的实战档案 教科书之外，伪基站这三年的真实使用记录，比任何技术白皮书都更能说明问题。 **乌克兰战场。** 据乌克兰安全部门通报及多家国际媒体报道，冲突期间俄军使用电子战装备向冲突区手机发送恐吓短信、实施定向干扰，其中广为引用的案例是将 GSM 短信广播载荷挂载到无人机平台（如 Orlan-10 搭载的电子载荷）向特定区域手机群发信息。无论具体装备型号如何（部分细节未经独立证实），一个工程事实是清楚的：只要战场上终端仍在 2G/3G 层驻留，广播型伪基站就是成本最低的“心理战扩音器”。这反过来解释了为何乌军大量下发禁用手机、改用卫星终端的条令。 **波罗的海边境。** 爱沙尼亚内政部安全局（KAPO）多年来的年度安全评估持续关注俄方在边境地带的信号侦察与干扰活动，立陶宛有关部门也曾公开通报边境伪基站与干扰事件。这些机构的年度报告是欧洲公开渠道里对“国家级空口威胁”最坦率的官方表述——对运营商而言，边境小区的异常 KPI 在他们那里从来不只是网络质量问题，而是安全事件线索。 **美国执法部门的 StingRay。** 伪基站民用史上最著名的篇章来自美国：L3Harris（原 Harris 公司）的 StingRay 系列模拟基站设备被数百个美国执法机构采购，用于区域级手机定位。2015 年巴尔的摩案的庭审卷宗把其使用方式公开化，美国司法部同年被迫出台使用政策（要求搜查令、限制留存数据）。StingRay 的技术形态与犯罪伪基站完全同构——这本身就是对“伪基站依赖架构性缺陷而非漏洞”最直观的证明：它不需要攻破任何密码，只需要扮演网络。 **检测侧的民间回应。** 多伦多大学 Citizen Lab 长期跟踪移动监控产业，其研究多次记录专用安全手机（如 GSMK CryptoPhone）在多国首都检测到的疑似伪基站活动；EFF 的 Rayhunter 则把检测能力下放到 20 美元的硬件上。攻击面三十年来没有消失，但“看得见攻击”的门槛正在以数量级下降——攻防的天平第一次向防守方倾斜。 ## 五、运营商视角：在自己的网里抓伪基站 对一线网优和核心网工程师来说，伪基站不是猎奇话题，而是实打实的 KPI 噪声源与安全指标。伪基站在网里活动，一定会留下信令痕迹。以下是实战中反复验证过的排查路径。 **第一类线索：位置更新异常。** 伪基站区域会出现 LU（位置更新）成功率骤降、TMSI 重分配失败激增的共性特征——终端被伪基站“吸住”后发 LU，认证失败被踢出，反复震荡。某省公司曾通过连续三天 LU 失败率的小区级聚类，把一个伪装加油站的伪基站锁定在商圈 200 米范围内，最后交给无线电管理部门端掉。这个案例的启示是：**不需要任何安全专用系统，纯网优 KPI 就能发现它**，缺的只是把“安全视角”叠在质量报表上。 **第二类线索：重定向与切换异常。** 区域内终端频繁被重定向到 2G、CSFB 与切换失败率同步异动，尤其发生在不该回落 2G 的纯数据场景，是降级攻击的典型指纹。测量报告（MR）里出现**非规划 PCI**、异常时间提前量（TA）组合，则说明空口里有一个“没有出生证的发射机”。 **第三类线索：终端侧反馈与投诉聚类。** 用户投诉“满格却打不出电话”“短信发不出但收得到怪短信”，按地理聚类后高度重合于同一片区域，是伪基站拒服务模式的经典表现。投诉工单的地理聚类，比扫频车的巡游覆盖快得多。 排查确认后的处置闭环大致如下： ```mermaid flowchart TD A["KPI异常
LU成功率骤降"] --> B{"MR中有非规划PCI?"} B -->|"有"| C["判定疑似伪基站"] B -->|"无"| D["扫频车核实射频源"] D --> E["锁定发射点位置"] E --> C C --> F["留存信令证据"] F --> G["上报无线电管理与公安"] G --> H["联合处置取缔"] H --> I["KPI回补验证"] ``` 这里有一条釜底抽薪式的结构性建议：**2G 退频是伪基站攻防中回报率最高的单笔投资**。伪基站所有真正致命的能力（明文身份、弱加密劫持、垃圾广播）都以 2G 遗留网为跳板——只要网络里还留着 2G 层，降级攻击就有落点；2G 层一撤，伪基站对现代终端的可乘之机被压缩到“拒服务”一种。全球主流运营商的 2G/3G 退网时间表多集中在 2025–2030 年，从安全角度重估这张退网时间表，很多投资决策的优先级会不一样。 ## 六、给工程师的四条实操建议 1. **把质量 KPI 当安全传感器用**。LU 成功率、TMSI 重分配失败、非计划重定向到 2G、MR 非规划 PCI——这四项叠加聚类的“伪基站指纹”，用现成网优平台就能做，不必等专用安全系统立项。 2. **审视自家 2G/3G 残留层**。每多留一天 2G，降级攻击的跳板就多存在一天。退网计划里，安全收益应该和节能收益一起算账。 3. **用足 5G 安全特性**。核对 SUCI 在现网的开启状态与测试覆盖（含漫游场景），跟踪 R18 伪基站检测特性的商用引入节奏；标准允许多种实现，具体配置与行为以各厂家官方文档为准。 4. **管住自己的“合法伪基站”**。执法机关调用模拟基站设备的合规管理（授权、审批、数据留存）同样是运营商的义务边界；美国司法部 2015 年出台的使用政策是值得参考的制度样本。 ## 七、结语：没有银弹的攻防 回望这三十年的空口攻防，规律其实非常朴素：**架构性缺陷无法靠补丁根治，只能靠换代收敛**。GSM 的单向认证决定了伪基站可以横行十年；3G/4G 的双向认证把对手从“窃听者”逼成“追踪者”；5G 的 SUCI 与 R18 检测框架，又把追踪与检测的成本天平推向防守方。但物理层拒绝服务永远无解——只要攻击者愿意烧功率，终端就总有被打落的时候。 Rayhunter 的价值也正在于此：它没有发明任何新技术，它只是把 3GPP 标准里早已写明的异常特征，翻译成了普通人读得懂的告警。当 20 美元的设备能看见过去数十万美元扫频车才能看见的东西，伪基站的黄金时代就结束了。而对运营商工程师来说，真正的功课是把这些检测能力内化进日常的 KPI 体系——伪基站留下的每一个信令指纹，其实早就躺在你的报表里了。 ## 参考来源 1. [EFF Rayhunter 项目主页](https://www.eff.org/issues/rayhunter) — EFF 官方对伪基站检测工具 Rayhunter 的介绍，本文关于该工具的设备型号、检测思路均以此为锚定 2. [3GPP 规范门户](https://portal.3gpp.org/) — TS 33.501（5G 安全架构）、TR 33.809（恶意覆盖层中间人检测研究）均可在门户检索原文 3. [GSMA 官网](https://www.gsma.com/) — GSMA 欺诈与安全工作组（FASG）发布的伪基站与网络反欺诈相关指南 4. [爱沙尼亚内政部安全局 KAPO](https://www.kapo.ee/) — 历年年度安全评估报告，公开评估边境空口威胁与伪基站活动 5. [Citizen Lab（多伦多大学）](https://citizenlab.ca/) — 移动监控产业与伪基站部署的长期研究记录 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。