**概述**：手机为什么会被一台假基站"点名"？本文从寻呼与临时身份机制讲起，复盘伪基站（IMSI Catcher）二十年攻防史——从 CCC 大会破解 2G 加密、美国警方 Stingray 争议、巴西劫匪的"铁笼子"，到 2024 年移动安全公司 iVerify 确认首例野外攻击；再拆解 5G SUCI 到底封住了什么、留了什么缝，并从一线运维视角给出网络侧侦测、定位、处置的完整打法。核心结论：终端开关、5G 标准与 2G 退网三线合围，才是身份保卫战的终局。 ## 目录 - 一、寻呼信道上的裂缝：手机是怎么自报家门的 - 二、二十年攻防：从CCC大会的彩虹表到无人机载侦测 - 三、5G的答卷：SUCI封住了哪扇门 - 四、运维视角：把假基站从网络里揪出来 - 五、终端与监管合围：2G退网才是终极防御 - 六、结语：三道防线与一个清醒认知 ## 一、寻呼信道上的裂缝：手机是怎么自报家门的 要理解伪基站的威力，得先回到手机驻留网络的基本动作。手机开机后扫频搜网，读小区广播，完成位置更新，然后进入省电状态，只在寻呼周期醒来听自己的"传呼"。为了不暴露用户行踪，协议设计了临时身份：2G/3G 叫 TMSI，4G 叫 GUTI，5G 叫 5G-GUTI。网络平时只用临时标识呼你，永久身份 IMSI 理论上只在入网那一刻上交一次。 但这里有个结构性矛盾：**临时身份是网络分配的，攻击者可以把它清掉**。主动式伪基站的标准打法，就是强迫你的手机做一次连接，然后发一条 Identity Request，把 TMSI 置成无效值——手机发现自己"没有名字"了，只能乖乖报出 IMSI。你的永久身份，就这么在明文空口上被拿走。 更根本的问题是：**在 2G/3G 体系里，网络认证是单向的**。SIM 卡会被核心网认证，但手机从来不认证基站——它无法验证头顶这片信号到底来自真站还是一台面包车。类比说：大楼只查访客工牌，从不验门禁本身，于是谁都能扮成前台。4G 的 EPS-AKA 引入了双向认证和信令完整性保护，5G 进一步补上身份加密，但在 2G 退干净之前，这个单向信任的天窗一直存在。 ## 二、二十年攻防：从CCC大会的彩虹表到无人机载侦测 伪基站不是科幻议题，它有一部完整的、被公开记录的攻防史。 **2009 年，加密神话破灭。** 密码学家 Karsten Nohl 在柏林 CCC（混沌计算机俱乐部）大会上公布了对 GSM A5/1 加密算法的彩虹表破解方案，用预计算表把实时破解压到秒级。2013 年的 30C3 大会上，Nohl 与 Sylvain Munaut 的演讲「GSM: SRSLY?」更进一步：用一台十几美元的摩托罗拉功能机改装成侦测设备，配合笔记本实现被动截获 2G 短信——演示机就坐在会场里抓现场观众的短信。这一战把"2G 空口等于明文"变成了工程事实。 **主动式攻击的教科书流程**如下： ```mermaid flowchart TD A["手机开机搜网"] --> B["假站功率压制真站"] B --> C["手机接入假小区"] C --> D["网络索要身份"] D --> E{"制式决定答卷"} E -->|2G或4G| F["明文上交IMSI"] E -->|5G| G["只交加密SUCI"] F --> H["攻击者锁定真身"] G --> I["主动索证失灵"] H --> J["再压空口加密"] J --> K["短信通话可截获"] ``` **警用与滥用的一线之隔。** Stingray 本是美国 Harris 公司的产品名，后来成了 cell-site simulator（基站模拟器）的代称。美国司法部 2015 年出台政策，要求联邦机构使用此类设备须先取得搜查令；而据巴尔的摩当地媒体依据法庭文件披露，该市警方此前已累计使用数千次，且大量案件因此撤诉——取证手段的合法性成了污点。电子前哨基金会 EFF 长期跟踪此事，其[Stingray 专题页](https://www.eff.org/issues/stingrays)是英文世界最系统的公民视角分析；FCC 则在[干扰器执法专页](https://www.fcc.gov/general/jammer-enforcement)明确：未经联邦授权，任何主体销售或使用基站模拟器都属违法。 **灰色地带的真实样本不少。** 据德国 netzpolitik.org 2020 年前后的调查报道，德国境内累计发现二十多个无人认领的非法伪基站，部分运行多年。据巴西媒体与警方通报，里约的抢劫团伙使用俗称"铁笼子"（gaiola）的 2G 干扰/侦测设备，在作案时切断受害者通信并定位其手机。据多家开源情报与防务媒体披露，俄军"里尔-3"电子战系统更是把 GSM 侦测载荷挂上了"海鹰-10"无人机，在前线做大规模号码采集。国内 2013 至 2016 年是伪基站群发诈骗的高峰期——冒充 10086、95533 发"积分兑换"短信——随着《刑法修正案（九）》将擅自使用无线电干扰通讯纳入刑法第二百八十八条、最高可判七年，配合公安部专项打击，才把这条黑色产业链压进地下。 **2024 年，野外实锤。** 据 TechCrunch 2024 年 6 月报道，移动安全公司 iVerify 在客户设备上确认了首例有据可查的"野外"伪基站攻击痕迹，目标是一台安卓手机——此前这类攻击多停留在实验室与情报层面，这是消费级终端第一次被实锤点名。事件时间线汇总如下： | 年份 | 事件 | 意义 | | --- | --- | --- | | 2009 | CCC 大会公布 A5/1 彩虹表破解 | 2G 空口加密宣告失守 | | 2013 | 30C3「GSM: SRSLY?」廉价设备截获演示 | 数十美元成本即可窃听 | | 2015 | 美司法部要求 Stingray 使用须持搜查令 | 警用设备合规化转折 | | 2015-2017 | 刑法修正案（九）落地，国内伪基站专项打击 | 诈骗产业链被压入地下 | | 2016-2022 | 巴西"铁笼子"劫案、俄乌无人机载侦测曝光 | 攻击向战术场景扩散 | | 2023 | Android 14 / iOS 16.4 提供关闭 2G 开关 | 终端自卫能力元年 | | 2024 | iVerify 确认首例野外消费级终端攻击 | 从理论走向实锤 | | 2024 起 | 美国 T-Mobile 分批关停最后的 2G | 主流市场单向信任收口 | ## 三、5G的答卷：SUCI封住了哪扇门 按 3GPP [TS 33.501（5G 安全架构）](https://www.etsi.org/deliver/etsi_ts/133500_133599/133501/)的设计，5G 对"身份隐私"这个二十年老病灶下了狠药：手机需要上报永久身份时，不再发明文 IMSI，而是生成 **SUCI**（隐私保护的订阅隐藏标识）——用归属运营商网络的公钥对 IMSI 做椭圆曲线集成加密（ECIES），只有归属网络的 UDAM/UDM 能解开。标准定义了两套曲线方案（Profile A 的 X25519 与 Profile B 的 P-256），计算可以在 USIM 内完成，密钥根本不经过手机主芯片。伪基站再发 Identity Request，5G 手机交出的也只是一段一次性密文。 各代制式的身份与加密保护对比一目了然： | 制式 | 空口永久身份 | 基站实体认证 | 空口加密 | 信令完整性 | 主要暴露面 | | --- | --- | --- | --- | --- | --- | | 2G/GSM | IMSI 明文可被索取 | 无 | A5 系列，可协商不加密 | 无 | 明文身份、可窃听、可降级 | | 3G/UMTS | IMSI 明文可被索取 | 无（AKA 已双向，但基站不验身） | KASUMI | 有（f9） | 安全激活前身份明文 | | 4G/LTE | GUTI/IMSI | EPS-AKA 双向 | EEA 系列 | 有 | 安全激活前 NAS 明文，仍可被索 IMSI | | 5G/NR | SUCI 加密上报 | 5G-AKA / EAP-AKA' 双向 | NEA 系列 | 有 | 防被动追踪；主动链路攻击仍有缝隙 | 但要说清楚 SUCI 封住了哪扇门、没封哪扇门。学术界的结论很冷静：Basin 等人在 ACM CCS 2018 的形式化分析证明，5G 认证在**被动窃听者**面前是稳的；而 Rupprecht 等人在 IEEE S&P 2019 的「Breaking LTE on Layer Two」等工作表明，**主动攻击者**仍可利用层二缺陷、锚点回退到 4G/2G 的互操作窗口、以及 TMSI 换新时的时序关联做去匿名化。SUCI 保护的是"身份"，不是"内容"，更不是"可用性"——手机一旦驻留假小区，被做信令骚扰、拒绝服务依然可行。一句话：**5G 把伪基站从"点名工具"降级成了"骚扰工具"，但没有让它失业。**只要运营商还开着与 4G/2G 的互操作，降级攻击的窗口就还在。 ## 四、运维视角：把假基站从网络里揪出来 站在十八年一线运维的角度说句实话：伪基站对网络的最大伤害，往往不是"泄密"，而是**干扰**——用户"有信号打不出电话"、频繁位置更新、掉话率莫名抬头，投诉工单先于安全告警到达。运营商的三大身份暴露面里，伪基站攻的是**空口接入面**，与 SS7 互联面、补换卡业务面并列，而空口面恰恰是最依赖"物理世界线索"的一个。 网络侧的侦测打法已经相当成熟： ```mermaid flowchart TD A["KPI异常与集中投诉"] --> E["多源线索汇聚"] B["测量报告冒出计划外邻区"] --> E C["路测扫频捕获异常广播"] --> E D["用户反映有号打不出"] --> E E --> F["测向交叉定位"] F --> G["无委与警方联合查处"] ``` 四个入口，各有所长： | 手段 | 层面 | 原理 | 成熟度 | | --- | --- | --- | --- | | 测量报告异邻区分析 | 网络侧 | UE 上报中冒出计划外的 PCI/频点组合 | 运营商标配，可自动化 | | 路测与固定扫频 | 仪表侧 | 频谱仪捕获非法广播、比对小区参数 | 重点区域常态化 | | KPI 聚类分析 | 网络侧 | 接入失败、掉话、切换乒乓在热点片区聚集 | 依赖基线治理 | | 投诉工单聚类 | 客服侧 | 同片区"有号打不出"集中爆发 | 最低成本的第一信号 | | 终端侧 App | 个人 | AIMSICD、SnoopSnitch 监测小区参数跳变 | 极客级，误报需人工判读 | 其中最有运营价值的是**测量报告里的计划外邻区**：全网手机每天都在替你巡逻，任何不在规划表里的小区一旦被大量上报，就是红旗。把它做成 NPOA（网络保护与优化）例行巡检项，伪基站基本藏不过一周。定位环节靠测向交叉——多台监测车/监测站测来波方向，交点即经纬度——随后移交无线电管理机构和公安处置，国内已有刑法第二百八十八条和《无线电管理条例》的完整执法依据。开源侧也有现成轮子，社区维护多年的 [Android IMSI-Catcher Detector 项目](https://github.com/SecUpwN/Android-IMSI-Catcher-Detector)把"计划外小区识别"做到了终端上，适合政企客户做自检。 经验教训有三条：**其一**，安全告警要挂到投诉聚类的引擎上，客服工单往往比网管告警早到几个小时；**其二**，政府、使馆区、大型展会场馆要列入常态化扫频清单，这些点位是伪基站的高发区；**其三**，处置必须联动执法，网络侧再准的定位，最后一步也要落到查扣设备上。 ## 五、终端与监管合围：2G退网才是终极防御 标准补漏、运维抓人，都是"网内"手段；真正的釜底抽薪，是**让 2G 消失**。降级攻击的前提是存在可降级的制式——2G 一退，"压到你回 GSM"这条路径就物理消失了。 退网时间表这几年的推进比预想快：AT&T 2017 年关停 2G，Verizon 2020 年跟上，澳洲与新加坡 2016-2017 年完成，T-Mobile 是全美最后的坚守者，2024 年起分批收尾；国内则在渐进退网中用 NB-IoT/Cat.1 兜底物联网存量。终端侧同步收紧：Android 14（2023）提供关闭 2G 的用户开关，后续版本的"高级保护模式"进一步默认禁用 2G（据 Google 公开材料）；iPhone 自 iOS 16.4 起也有"禁用 2G"选项，而苹果的锁定模式（Lockdown Mode）直接强制关闭 2G——这个开关本是给受雇佣软件攻击的高危人群准备的，侧面印证了监管机构对 2G 风险的定性。 监管与终端形成合围后，伪基站的生存空间被压缩成两个残段：**没有退净的 2G 存量市场**（部分国家的物联网、边远覆盖），以及**对 4G/5G 的主动信令攻击**（做不了窃听，还能做干扰）。前者靠退网收口，后者靠 SUCI、完整性保护和网络侧监测兜底。对普通用户的建议朴素但有效：手机设置里关掉 2G，陌生场景下信号"好得反常"时提高警惕，涉密涉敏人员直接开启终端的高级保护模式。 ## 六、结语：三道防线与一个清醒认知 回头看这场二十年的围猎与反围猎，防线其实就三层：**个人层**的终端开关（关 2G、锁高级模式）；**标准与网络层**的 SUCI、双向认证、完整性保护加 2G 退网；**国家层**的无线电监测与刑事执法。三层各自为战时都有缝，叠起来才构成真正的纵深。 还要留一个清醒认知：安全是全网木桶，最短的那块板永远在"还活着的旧制式"上。只要 2G 还有一台终端在网，SUCI 就不是免死金牌；只要互操作参数还开着回退路径，降级攻击就留着门缝。对运营商而言，退网进度表就是安全路线图；对工程师而言，下一次"片区掉话升高"的工单背后，未必是参数问题——也可能是有人正在你的网络里，扮演你的基站。 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。