CN110753349B

CN110753349B - 一种识别伪基站的方法及设备

Info

Publication number: CN110753349B
Application number: CN201911040187.7A
Authority: CN
Inventors: 王慧明; 冯月华; 鲁知朋
Original assignee: Xian Jiaotong University
Current assignee: Xian Jiaotong University
Priority date: 2019-10-29
Filing date: 2019-10-29
Publication date: 2020-10-27
Anticipated expiration: 2039-10-29
Also published as: CN110753349A

Abstract

本发明公开了一种识别伪基站的方法及设备，由于伪基站主要用于获取用户IMSI或发送垃圾短信，并且无法为用户提供完整服务，因此伪基站的控制平面与用户平面的流量比例与合法基站相比存在明显差异，本发明首次提出通过控制平面与用户平面流量分析识别基站类型的基本思想，有效地提高识别伪基站的准确性，并且能够在用户终端接入伪基站前完成识别，增强用户终端预防被伪基站吸附的能力，保护用户身份信息安全，防止用户收到垃圾短信或诈骗信息。对打击伪基站违法犯罪行为，维护社会信息安全有重要意义。

Description

一种识别伪基站的方法及设备

技术领域

本发明属于通信技术领域，具体涉及一种识别伪基站的方法及设备。

背景技术

伪基站是一种非法的无线电通信设备，冒充运营商合法基站欺骗用户终端接入，进行用户信息窃取与盗用、发送诈骗短信等违法行为，对公共安全造成极大隐患。因此，如何识别伪基站是无线通信的重要安全问题之一。伪基站如何实施，能力如何很大程度上取决于对应的网络，如GSM，4G等。由于GSM网络存在单向鉴权这一安全漏洞，造成终端无法验证基站身份，伪基站很容易吸附终端，窃取盗用用户身份信息、发送垃圾短信、甚至是进行中间人攻击，即伪基站充当终端与合法基站之间的中间人进行信息的窃听、篡改等。

随着无线通信技术的发展，4G网络已经大规模商用。4G采用双向鉴权弥补了GSM暴露出的安全问题。然而，伪基站问题并未完全解决，针对4G网络的伪基站随之出现。4G伪基站的原理主要包括：为获取用户IMSI，伪基站触发终端进行TAU(Tracking Area Update)请求，并回复携带EMM原因#9，即“UE identity cannot be derived by the network”的拒绝信令迫使终端上报自身IMSI；或通过Attach流程中的Identity Request令终端回复自身身份信息；伪基站可以在拒绝终端Attach请求后，通过Connection Release将终端重定向于GSM网络，利用GSM网络的单向鉴权漏洞进行进一步攻击。

针对伪基站问题，业界主要关注伪基站的识别，定位与追踪，取证方法三个方面。本发明主要关注伪基站的识别问题。目前，识别伪基站的技术可以分为以下三类：

1)根据接入参数特征识别伪基站：

伪基站为吸附大量终端，需要将关于小区选择、重选的相关参数设置较为极端，以频繁触发终端进行小区重选、TAU更新等过程。比如在GSM网络中，相关参数包括小区最小接入电平，小区重选偏置等。终端通过判断待接入小区的接入参数是否符合伪基站特征，选择是否进行接入，以降低接入伪基站风险。

2)运营商根据信令异常识别伪基站：

伪基站在完成获取用户IMSI或发送垃圾短信等行为后需要将接入终端踢出，因此伪基站周边的合法小区会出现大量未知终端请求接入。运营商可以通过信令分析，找出信令异常区域，判断该区域是否出现伪基站。由于伪基站的存在，在伪基站覆盖区域的终端将接收到大量垃圾短信，并出现掉话、甚至拒绝服务的情况，降低用户体验，集中出现投诉案例。运营商可以通过汇总投诉案例分析投诉区域是否出现伪基站。

3)根据接入后行为异常识别伪基站：

如果终端完成接入过程后，收到大量垃圾短信或者部分网络功能无法实现，终端可以自行判断是否接入伪基站。

综上所述，现有技术存在以下缺陷和不足：

1)局限性：目前绝大多数识别伪基站技术仅能识别GSM伪基站。

2)准确性：随着网络结构的异构化，网络参数的设置情况愈发复杂多样，根据接入参数特征识别伪基站的准确性难以保障。

3)预防能力：通过分析网络出现的信令异常识别伪基站与根据接入后行为异常识别伪基站这两种方法对终端而言，无法避免被伪基站吸附。终端只能在被伪基站踢出接入公网后才可以反馈信令异常情况，等待运营商进行判断与处理。

发明内容

针对现有技术中的技术问题，本发明提供了一种识别伪基站的方法及设备，其目的为提高伪基站识别的准确性，增强终端预防被伪基站吸附的能力。

为解决上述技术问题，本发明通过以下技术方案予以解决：

一种识别伪基站的方法，包括以下步骤：

步骤1：检测待接入小区的PRACH，监听请求接入用户的随机接入过程，在N个成功接入的用户中，抽取每个用户对应的C-RNTI；

步骤2：在时间T内，分别根据所述每个用户对应的C-RNTI盲检PDCCH，获取每个用户的PDSCH的资源分配信息；

步骤3：根据步骤2获取的每个用户的PDSCH的资源分配信息，统计时间T内所述每个用户的PDSCH中控制平面与用户平面的流量比例；

步骤4：根据N个用户中每个用户在时间T内的PDSCH中控制平面与用户平面的流量比例判断待接入小区是否为伪基站。

进一步地，所述步骤1具体包括以下步骤：

步骤1.1：检测待接入小区的PRACH，获取请求接入用户相应的RA-RNTI；

步骤1.2：使用所述RA-RNTI检测PDCCH，获取PDSCH上的MSG2；通过MSG2中包含的ULGrant获取TC-RNTI以及MSG3的PUSCH资源分配信息；

步骤1.3：根据MSG3的PUSCH资源分配信息，监听MSG3；从MSG3中获取用户的用于冲突解决的身份标识；

步骤1.4：监听到MSG3后，用TC-RNTI检测PDCCH，获取PDSCH上的MSG4；

步骤1.5：如果获取的MSG4中包含用户用于冲突解决的身份标识，则用户的随机接入过程成功，C-RNTI＝TC-RNTI。

进一步地，所述步骤3具体为：根据MAC子报头的LCID区分控制平面与用户平面流量，并通过PDCP层报头获取PDCP包长度，统计所述每个用户T时间内PDSCH中控制平面与用户平面的流量大小，并计算每个用户T时间内PDSCH中控制平面与用户平面的流量比例。

进一步地，所述步骤4具体包括以下步骤：

步骤4.1：判断每个用户在时间T内PDSCH中控制平面与用户平面的流量比例是否高于预设的第一阈值；

步骤4.2：根据步骤4.1的判断结果，统计N个用户中在时间T内PDSCH中控制平面与用户平面的流量比例高于所述第一阈值的用户数，记为M；

步骤4.3：若M/N的值大于预设的第二阈值，则判断待接入小区为伪基站；反之，则判断待接入小区为合法基站；

其中，所述第一阈值为时间T所对应的控制平面与用户平面的流量比例阈值；所述第二阈值为控制平面与用户平面的流量比例高于第一阈值的用户数M占总检测用户数N的比例阈值。

进一步地，所述第一阈值和所述第二阈值预先通过神经网络训练获得。

进一步地，所述第一阈值和所述第二阈值预先通过支持向量机训练获得。

进一步地，所述步骤4具体为：

预先通过神经网络或支持向量机训练获得检测模型；将接入网络类型、用户数N、时间T以及相应用户的控制平面与用户平面的流量比例输入所述检测模型；若待接入小区为伪基站时，所述检测模型输出待接入小区为伪基站；若待接入小区为合法基站时，所述检测模型输出待接入小区为合法基站。

进一步地，还包括以下步骤：

步骤5：当判断待接入小区为伪基站后，用户终端将所述待接入小区列为黑名单，重新进行小区选择，并执行步骤1～步骤4，直到判断待接入小区为合法基站；

步骤6：当接入合法小区后，用户终端将异常信息上报至合法基站。

一种识别伪基站的设备，包括：

监听模块，用于检测待接入小区的PRACH，监听请求接入用户的随机接入过程，在N个成功接入的用户中，抽取每个用户对应的C-RNTI；并用于在时间T内，分别根据所述每个用户对应的C-RNTI盲检PDCCH，获取每个用户的PDSCH的资源分配信息；

统计模块，用于统计时间T内所述每个用户的PDSCH中控制平面与用户平面的流量比例；

判决模块，用于根据N个用户中每个用户在时间T内的PDSCH中控制平面与用户平面的流量比例判断待接入小区是否为伪基站；具体的，判断每个用户在时间T内PDSCH中控制平面与用户平面的流量比例是否高于预设的第一阈值；根据判断结果，统计N个用户中在时间T内PDSCH中控制平面与用户平面的流量比例高于所述第一阈值的用户数，记为M；若M/N的值大于预设的第二阈值，则判断待接入小区为伪基站；反之，则判断待接入小区为合法基站；

进一步地，还包括：上报模块，用于当待接入小区为伪基站时，将所述待接入小区列为黑名单，并将异常信息上报至合法基站。

与现有技术相比，本发明至少具有以下有益效果：本发明一种识别伪基站的方法，通过检测待接入小区的PRACH，监听请求接入用户的随机接入过程，在N个成功接入的用户中，抽取每个用户对应的C-RNTI；在时间T内，分别根据每个用户对应的C-RNTI盲检PDCCH，获取每个用户的PDSCH的资源分配信息；统计时间T内每个用户的PDSCH中控制平面与用户平面的流量比例；根据N个用户中每个用户T时间内的PDSCH中控制平面与用户平面的流量比例判断待接入小区是否为伪基站；判断每个用户T时间内PDSCH中控制平面与用户平面的流量比例是否高于预设的第一阈值；根据判断结果，统计N个用户中T时间内PDSCH中控制平面与用户平面的流量比例高于所述第一阈值的用户数，记为M；若M/N的值大于预设的第二阈值，则判断待接入小区为伪基站；反之，则判断待接入小区为合法基站。由于伪基站主要用于获取用户IMSI或发送垃圾短信，并且无法为用户提供完整服务，因此伪基站的控制平面与用户平面的流量比例与合法基站相比存在明显差异，本发明首次提出通过控制平面与用户平面流量分析识别基站类型的基本思想，有效地提高识别伪基站的准确性，并且能够在用户终端接入伪基站前完成识别，增强用户终端预防被伪基站吸附的能力，保护用户身份信息安全，防止用户收到垃圾短信或诈骗信息。对打击伪基站违法犯罪行为，维护社会信息安全有重要意义。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明具体实施方式中的技术方案，下面将对具体实施方式描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实例一种应用场景示意图。

图2为本发明实例一种4G伪基站识别方法流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

首先，为了便于理解，在此先对各个实施例中所涉及的随机接入过程的原理做简单介绍。

用户终端通过随机接入过程接入待接入小区，基于竞争的随机接入过程分为以下四步：

第一步，用户终端在PRACH上发送随机接入前导；

第二步，基站在接收到用户终端发送的随机接入前导后，向用户终端回复随机接入响应，所述随机接入响应称为MSG2；

MSG2中包含基站为所述用户终端分配的临时标识TC-RNTI以及MSG3的PUSCH资源分配；

基于竞争的随机接入过程需要通过第三步和第四步完成接入冲突解决。在第三步中，由用户终端向基站发送的消息统称为MSG3；在第四步中，由基站回复用户终端的消息统称为MSG4；

第三步，用户终端在接收MSG2后，在MSG3的PUSCH资源分配上向基站发送MSG3；

MSG3中包含用于冲突解决的身份标识，当用户终端处于连接态时，所述用于冲突解决的身份标识为C-RNTI；当用户终端处于非连接态时，所述用于冲突解决的身份标识为S-TMSI或者一个由用户终端产生的随机数；

第四步，基站在接收MSG3后完成冲突解决，向用户终端发送MSG4；所述用户终端接收MSG4，若用户终端检测到MSG4中包含自身的用于冲突解决的身份标识，则认为随机接入过程成功，临时标识TC-RNTI变为C-RNTI。

在进行随机接入过程时，基站与用户终端之间未建立安全上下文，基站与用户终端之间的消息均以明文发送。因此，可以通过监听用户终端的随机接入过程，获得成功接入用户终端的C-RNTI。

本发明的一个应用场景如图1所示，其中包含一个4G伪基站，多个被伪基站吸附的用户设备，以及一个待接入用户设备。其中，多个被伪基站吸附的用户不具备识别伪基站的能力，向4G伪基站发起接入请求。待接入用户在发起接入请求之前，通过本发明提供的一种识别伪基站的方法判断待接入小区是否为伪基站。

本发明的应用场景不应局限于附图1，可以用于用户终端初始接入过程，以及小区重选过程等。

如图2所示，作为本发明的某一具体实施方式，一种识别伪基站的方法，包括以下步骤：

步骤1：检测待接入小区的PRACH，监听请求接入用户的随机接入过程，在N个成功接入的用户中，抽取每个用户对应的C-RNTI。

具体包括以下步骤：

步骤1.4：监听到MSG3后，用TC-RNTI检测PDCCH，获取PDSCH上的MSG4；

通过上述步骤获得N个成功接入用户，以及每个用户对应的C-RNTI。

步骤2：在时间T内，分别根据每个用户对应的C-RNTI盲检PDCCH，获取每个用户的PDSCH的资源分配信息。

步骤3：统计时间T内每个用户的PDSCH中控制平面与用户平面的流量比例，具体为：根据MAC子报头的LCID区分控制平面与用户平面流量，并通过PDCP层报头获取PDCP包长度，统计每个用户T时间内PDSCH中控制平面与用户平面的流量大小，并计算每个用户T时间内PDSCH中控制平面与用户平面的流量比例。

用户数据的加密以及控制信令的加密与完整性保护均由PDCP层提供，因此无论PDSCH中的数据是否进行加密或完整性保护，均可以获得PDCP层报头与MAC层报头。

每个MAC子报头包含逻辑信道ID(LCID)。LCID指示相应的MAC子报头的有效载荷部分是否为MAC控制元素，如果不是，则指示MAC SDU属于哪个逻辑信道。

步骤4：根据N个用户中每个用户T时间内的PDSCH中控制平面与用户平面的流量比例判断待接入小区是否为伪基站。

由于伪基站主要用于获取用户IMSI或发送垃圾短信，并且无法为用户提供完整服务，因此伪基站的控制平面与用户平面的流量比例与合法基站相比存在明显差异。

具体的，作为某一优选实施例，包括以下步骤：

步骤4.1：判断每个用户T时间内PDSCH中控制平面与用户平面的流量比例是否高于预设的第一阈值；

步骤4.2：根据步骤4.1的判断结果，统计N个用户中T时间内PDSCH中控制平面与用户平面的流量比例高于第一阈值的用户数，记为M；

其中，第一阈值为时间T所对应的控制平面与用户平面的流量比例阈值；第二阈值为控制平面与用户平面的流量比例高于第一阈值的用户数M占总检测用户数N的比例阈值。第一阈值和第二阈值预先通过神经网络训练获得或预先通过支持向量机训练获得。

作为另一优选实施例，使用预先通过神经网络或支持向量机等方法训练获得的检测模型进行判断。所述检测模型的输入信息包括：接入网络类型、用户数N、时间T以及相应用户的控制平面与用户平面的流量比例；所述检测模型的输出信息包括：待接入小区是伪基站或合法基站。也就是说，预先通过神经网络或支持向量机训练获得检测模型；将接入网络类型、用户数N、时间T以及相应用户的控制平面与用户平面的流量比例输入检测模型；若待接入小区为伪基站时，检测模型输出待接入小区为伪基站；若待接入小区为合法基站时，检测模型输出待接入小区为合法基站。

步骤5：当判断待接入小区为伪基站后，用户终端将待接入小区列为黑名单，并执行步骤1～步骤4，重新进行小区选择，直到判断待接入小区为合法基站。

步骤6：当接入合法小区后，用户终端将异常信息上报至合法基站；其中，所述异常信息可以包括以下之一：被判断为伪基站的待接入小区物理ID，接入网络类型，检测到伪基站的时间以及用户终端所处位置，检测用户数N，时间T，以及检测的每个用户的控制平面与用户平面的流量比例等。

例如，采用本发明方法的用户终端在接入待接入小区之前，通过步骤1，检测到8个成功接入所述小区的用户终端，并获取每个成功接入所述小区的用户终端的C-RNTI。如表1所示：

表1成功接入用户终端以及相应C-RNTI

用户终端(N＝8)	1	2	3	4	5	6	7	8
									C-RNTI(十进制)	19841	19681	12381	10848	12684	12952	13558	10472

通过步骤2，在1分钟内，分别根据所述每个用户终端对应的C-RNTI盲检PDCCH，获取每个用户终端的PDSCH资源分配。通过步骤3，在所述1分钟内，根据步骤2所得每个用户终端的PDSCH资源分配，统计所述每个用户终端的PDSCH中控制平面与用户平面的流量比例。如表2所示：

表2成功接入用户终端以及相应控制平面与用户平面的流量比例

用户终端(N＝8)	1	2	3	4	5	6	7	8
									CP/UP	73％	95％	80％	78％	93％	87％	67％	85％

其中，CP表示Control Plane，即控制平面；UP表示User Plane，即用户平面；CP/UP表示控制平面与用户平面的流量比例。

通过步骤4，判断待接入小区是否为伪基站。

在本例中，第一阈值设置为70％，第二阈值设置为80％。具体地，根据第一阈值以及表2中用户终端1-8的控制平面与用户平面的流量比例，可以获得控制平面与用户平面的流量比例高于第一阈值的用户终端数M＝7；根据N＝8，可以获得M/N＝87.5％。由于M/N＝87.5％大于第二阈值，判断待接入小区为伪基站。

用户终端可将所述判断为伪基站的待接入小区列为黑名单，重新进行小区选择，并执行步骤1-步骤4，直到判断待接入小区为合法基站。

当接入合法小区后，用户终端将异常信息上报至合法基站。

这里需要说明的是，参数N，M，第一阈值以及第二阈值的取值不局限于本实例中的取值。

本发明一种识别伪基站的设备，包括：

监听模块，用于检测待接入小区的PRACH，监听请求接入用户的随机接入过程，在N个成功接入的用户中，抽取每个用户对应的C-RNTI；并用于在T时间内，分别根据每个用户对应的C-RNTI盲检PDCCH，获取每个用户的PDSCH的资源分配信息；具体实现手段为：检测待接入小区的PRACH，获取请求接入用户相应的RA-RNTI；使用所述RA-RNTI检测PDCCH，获取PDSCH上的MSG2；通过MSG2中包含的UL Grant获取TC-RNTI以及MSG3的PUSCH资源分配信息；根据MSG3的PUSCH资源分配信息，监听MSG3；从MSG3中获取用户的用于冲突解决的身份标识；监听到MSG3后，用TC-RNTI检测PDCCH，获取PDSCH上的MSG4；如果获取的MSG4中包含用户用于冲突解决的身份标识，则用户的随机接入过程成功，C-RNTI＝TC-RNTI。

统计模块，用于统计T时间内每个用户的PDSCH中控制平面与用户平面的流量比例。

判决模块，用于根据N个用户中每个用户T时间内的PDSCH中控制平面与用户平面的流量比例判断待接入小区是否为伪基站；具体的，判断每个用户T时间内PDSCH中控制平面与用户平面的流量比例是否高于预设的第一阈值；根据判断结果，统计N个用户中T时间内PDSCH中控制平面与用户平面的流量比例高于第一阈值的用户数，记为M；若M/N的值大于预设的第二阈值，则判断待接入小区为伪基站；反之，则判断待接入小区为合法基站；其中，第一阈值为时间T所对应的控制平面与用户平面的流量比例阈值；第二阈值为控制平面与用户平面的流量比例高于第一阈值的用户数M占总检测用户数N的比例阈值。

上报模块，用于当待接入小区为伪基站时，将所述待接入小区列为黑名单，并将异常信息上报至合法基站。

最后应说明的是：以上所述实施例，仅为本发明的具体实施方式，用以说明本发明的技术方案，而非对其限制，本发明的保护范围并不局限于此，尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，其依然可以对前述实施例所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范围，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims

1.一种识别伪基站的方法，其特征在于，包括以下步骤：

步骤4：根据N个用户中每个用户在时间T内的PDSCH中控制平面与用户平面的流量比例判断待接入小区是否为伪基站，具体包括以下步骤：

2.根据权利要求1所述的一种识别伪基站的方法，其特征在于，所述步骤1具体包括以下步骤：

步骤1.2：使用所述RA-RNTI检测PDCCH，获取PDSCH上的基站向用户回复的随机接入响应MSG2；通过基站向用户回复的随机接入响应MSG2中包含的UL Grant获取TC-RNTI以及用户向基站发送的消息MSG3的PUSCH资源分配信息；

步骤1.3：根据用户向基站发送的消息MSG3的PUSCH资源分配信息，监听用户向基站发送的消息MSG3；从用户向基站发送的消息MSG3中获取用户的用于冲突解决的身份标识；

步骤1.4：监听到用户向基站发送的消息MSG3后，用TC-RNTI检测PDCCH，获取PDSCH上的基站回复用户的消息MSG4；

步骤1.5：如果获取的基站回复用户的消息MSG4中包含用户用于冲突解决的身份标识，则用户的随机接入过程成功，C-RNTI＝TC-RNTI。

3.根据权利要求1所述的一种识别伪基站的方法，其特征在于，所述步骤3具体为：根据MAC子报头的LCID区分控制平面与用户平面流量，并通过PDCP层报头获取PDCP包长度，统计所述每个用户T时间内PDSCH中控制平面与用户平面的流量大小，并计算每个用户T时间内PDSCH中控制平面与用户平面的流量比例。

4.根据权利要求1所述的一种识别伪基站的方法，其特征在于，所述第一阈值和所述第二阈值预先通过神经网络训练获得。

5.根据权利要求1所述的一种识别伪基站的方法，其特征在于，所述第一阈值和所述第二阈值预先通过支持向量机训练获得。

6.根据权利要求1所述的一种识别伪基站的方法，其特征在于，所述步骤4具体为：

7.根据权利要求1所述的一种识别伪基站的方法，其特征在于，还包括以下步骤：

8.一种识别伪基站的设备，其特征在于，包括：

9.根据权利要求8所述的一种识别伪基站的设备，其特征在于，还包括：上报模块，用于当待接入小区为伪基站时，将所述待接入小区列为黑名单，并将异常信息上报至合法基站。