概述：手机为什么会被一台假基站"点名"？本文从寻呼与临时身份机制讲起，复盘伪基站（IMSI Catcher）二十年攻防史——从 CCC 大会破解 2G 加密、美国警方 Stingray 争议、巴西劫匪的"铁笼子"，到 2024 年移动安全公司 iVerify 确认首例野外攻击；再拆解 5G SUCI 到底封住了什么、留了什么缝，并从一线运维视角给出网络侧侦测、定位、处置的完整打法。核心结论：终端开关、5G 标准与 2G 退网三线合围，才是身份保卫战的终局。

目录

• 一、寻呼信道上的裂缝：手机是怎么自报家门的
• 二、二十年攻防：从CCC大会的彩虹表到无人机载侦测
• 三、5G的答卷：SUCI封住了哪扇门
• 四、运维视角：把假基站从网络里揪出来
• 五、终端与监管合围：2G退网才是终极防御
• 六、结语：三道防线与一个清醒认知

一、寻呼信道上的裂缝：手机是怎么自报家门的

要理解伪基站的威力，得先回到手机驻留网络的基本动作。手机开机后扫频搜网，读小区广播，完成位置更新，然后进入省电状态，只在寻呼周期醒来听自己的"传呼"。为了不暴露用户行踪，协议设计了临时身份：2G/3G 叫 TMSI，4G 叫 GUTI，5G 叫 5G-GUTI。网络平时只用临时标识呼你，永久身份 IMSI 理论上只在入网那一刻上交一次。

但这里有个结构性矛盾：临时身份是网络分配的，攻击者可以把它清掉。主动式伪基站的标准打法，就是强迫你的手机做一次连接，然后发一条 Identity Request，把 TMSI 置成无效值——手机发现自己"没有名字"了，只能乖乖报出 IMSI。你的永久身份，就这么在明文空口上被拿走。

更根本的问题是：在 2G/3G 体系里，网络认证是单向的。SIM 卡会被核心网认证，但手机从来不认证基站——它无法验证头顶这片信号到底来自真站还是一台面包车。类比说：大楼只查访客工牌，从不验门禁本身，于是谁都能扮成前台。4G 的 EPS-AKA 引入了双向认证和信令完整性保护，5G 进一步补上身份加密，但在 2G 退干净之前，这个单向信任的天窗一直存在。

二、二十年攻防：从CCC大会的彩虹表到无人机载侦测

伪基站不是科幻议题，它有一部完整的、被公开记录的攻防史。

2009 年，加密神话破灭。 密码学家 Karsten Nohl 在柏林 CCC（混沌计算机俱乐部）大会上公布了对 GSM A5/1 加密算法的彩虹表破解方案，用预计算表把实时破解压到秒级。2013 年的 30C3 大会上，Nohl 与 Sylvain Munaut 的演讲「GSM: SRSLY?」更进一步：用一台十几美元的摩托罗拉功能机改装成侦测设备，配合笔记本实现被动截获 2G 短信——演示机就坐在会场里抓现场观众的短信。这一战把"2G 空口等于明文"变成了工程事实。

主动式攻击的教科书流程如下：

flowchart TD
    A["手机开机搜网"] --> B["假站功率压制真站"]
    B --> C["手机接入假小区"]
    C --> D["网络索要身份"]
    D --> E{"制式决定答卷"}
    E -->|2G或4G| F["明文上交IMSI"]
    E -->|5G| G["只交加密SUCI"]
    F --> H["攻击者锁定真身"]
    G --> I["主动索证失灵"]
    H --> J["再压空口加密"]
    J --> K["短信通话可截获"]

警用与滥用的一线之隔。 Stingray 本是美国 Harris 公司的产品名，后来成了 cell-site simulator（基站模拟器）的代称。美国司法部 2015 年出台政策，要求联邦机构使用此类设备须先取得搜查令；而据巴尔的摩当地媒体依据法庭文件披露，该市警方此前已累计使用数千次，且大量案件因此撤诉——取证手段的合法性成了污点。电子前哨基金会 EFF 长期跟踪此事，其Stingray 专题页是英文世界最系统的公民视角分析；FCC 则在干扰器执法专页明确：未经联邦授权，任何主体销售或使用基站模拟器都属违法。

灰色地带的真实样本不少。 据德国 netzpolitik.org 2020 年前后的调查报道，德国境内累计发现二十多个无人认领的非法伪基站，部分运行多年。据巴西媒体与警方通报，里约的抢劫团伙使用俗称"铁笼子"（gaiola）的 2G 干扰/侦测设备，在作案时切断受害者通信并定位其手机。据多家开源情报与防务媒体披露，俄军"里尔-3"电子战系统更是把 GSM 侦测载荷挂上了"海鹰-10"无人机，在前线做大规模号码采集。国内 2013 至 2016 年是伪基站群发诈骗的高峰期——冒充 10086、95533 发"积分兑换"短信——随着《刑法修正案（九）》将擅自使用无线电干扰通讯纳入刑法第二百八十八条、最高可判七年，配合公安部专项打击，才把这条黑色产业链压进地下。

2024 年，野外实锤。 据 TechCrunch 2024 年 6 月报道，移动安全公司 iVerify 在客户设备上确认了首例有据可查的"野外"伪基站攻击痕迹，目标是一台安卓手机——此前这类攻击多停留在实验室与情报层面，这是消费级终端第一次被实锤点名。事件时间线汇总如下：

三、5G的答卷：SUCI封住了哪扇门

按 3GPP TS 33.501（5G 安全架构）的设计，5G 对"身份隐私"这个二十年老病灶下了狠药：手机需要上报永久身份时，不再发明文 IMSI，而是生成 SUCI（隐私保护的订阅隐藏标识）——用归属运营商网络的公钥对 IMSI 做椭圆曲线集成加密（ECIES），只有归属网络的 UDAM/UDM 能解开。标准定义了两套曲线方案（Profile A 的 X25519 与 Profile B 的 P-256），计算可以在 USIM 内完成，密钥根本不经过手机主芯片。伪基站再发 Identity Request，5G 手机交出的也只是一段一次性密文。

各代制式的身份与加密保护对比一目了然：

但要说清楚 SUCI 封住了哪扇门、没封哪扇门。学术界的结论很冷静：Basin 等人在 ACM CCS 2018 的形式化分析证明，5G 认证在被动窃听者面前是稳的；而 Rupprecht 等人在 IEEE S&P 2019 的「Breaking LTE on Layer Two」等工作表明，主动攻击者仍可利用层二缺陷、锚点回退到 4G/2G 的互操作窗口、以及 TMSI 换新时的时序关联做去匿名化。SUCI 保护的是"身份"，不是"内容"，更不是"可用性"——手机一旦驻留假小区，被做信令骚扰、拒绝服务依然可行。一句话：5G 把伪基站从"点名工具"降级成了"骚扰工具"，但没有让它失业。只要运营商还开着与 4G/2G 的互操作，降级攻击的窗口就还在。

四、运维视角：把假基站从网络里揪出来

站在十八年一线运维的角度说句实话：伪基站对网络的最大伤害，往往不是"泄密"，而是干扰——用户"有信号打不出电话"、频繁位置更新、掉话率莫名抬头，投诉工单先于安全告警到达。运营商的三大身份暴露面里，伪基站攻的是空口接入面，与 SS7 互联面、补换卡业务面并列，而空口面恰恰是最依赖"物理世界线索"的一个。

网络侧的侦测打法已经相当成熟：

flowchart TD
    A["KPI异常与集中投诉"] --> E["多源线索汇聚"]
    B["测量报告冒出计划外邻区"] --> E
    C["路测扫频捕获异常广播"] --> E
    D["用户反映有号打不出"] --> E
    E --> F["测向交叉定位"]
    F --> G["无委与警方联合查处"]

四个入口，各有所长：

其中最有运营价值的是测量报告里的计划外邻区：全网手机每天都在替你巡逻，任何不在规划表里的小区一旦被大量上报，就是红旗。把它做成 NPOA（网络保护与优化）例行巡检项，伪基站基本藏不过一周。定位环节靠测向交叉——多台监测车/监测站测来波方向，交点即经纬度——随后移交无线电管理机构和公安处置，国内已有刑法第二百八十八条和《无线电管理条例》的完整执法依据。开源侧也有现成轮子，社区维护多年的 Android IMSI-Catcher Detector 项目把"计划外小区识别"做到了终端上，适合政企客户做自检。

经验教训有三条：其一，安全告警要挂到投诉聚类的引擎上，客服工单往往比网管告警早到几个小时；其二，政府、使馆区、大型展会场馆要列入常态化扫频清单，这些点位是伪基站的高发区；其三，处置必须联动执法，网络侧再准的定位，最后一步也要落到查扣设备上。

五、终端与监管合围：2G退网才是终极防御

标准补漏、运维抓人，都是"网内"手段；真正的釜底抽薪，是让 2G 消失。降级攻击的前提是存在可降级的制式——2G 一退，"压到你回 GSM"这条路径就物理消失了。

退网时间表这几年的推进比预想快：AT&T 2017 年关停 2G，Verizon 2020 年跟上，澳洲与新加坡 2016-2017 年完成，T-Mobile 是全美最后的坚守者，2024 年起分批收尾；国内则在渐进退网中用 NB-IoT/Cat.1 兜底物联网存量。终端侧同步收紧：Android 14（2023）提供关闭 2G 的用户开关，后续版本的"高级保护模式"进一步默认禁用 2G（据 Google 公开材料）；iPhone 自 iOS 16.4 起也有"禁用 2G"选项，而苹果的锁定模式（Lockdown Mode）直接强制关闭 2G——这个开关本是给受雇佣软件攻击的高危人群准备的，侧面印证了监管机构对 2G 风险的定性。

监管与终端形成合围后，伪基站的生存空间被压缩成两个残段：没有退净的 2G 存量市场（部分国家的物联网、边远覆盖），以及对 4G/5G 的主动信令攻击（做不了窃听，还能做干扰）。前者靠退网收口，后者靠 SUCI、完整性保护和网络侧监测兜底。对普通用户的建议朴素但有效：手机设置里关掉 2G，陌生场景下信号"好得反常"时提高警惕，涉密涉敏人员直接开启终端的高级保护模式。

六、结语：三道防线与一个清醒认知

回头看这场二十年的围猎与反围猎，防线其实就三层：个人层的终端开关（关 2G、锁高级模式）；标准与网络层的 SUCI、双向认证、完整性保护加 2G 退网；国家层的无线电监测与刑事执法。三层各自为战时都有缝，叠起来才构成真正的纵深。

还要留一个清醒认知：安全是全网木桶，最短的那块板永远在"还活着的旧制式"上。只要 2G 还有一台终端在网，SUCI 就不是免死金牌；只要互操作参数还开着回退路径，降级攻击就留着门缝。对运营商而言，退网进度表就是安全路线图；对工程师而言，下一次"片区掉话升高"的工单背后，未必是参数问题——也可能是有人正在你的网络里，扮演你的基站。

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。