CN107872793A - 一种基站识别方法、终端和服务器 - Google Patents

Abstract

本发明实施例公开了一种基站识别方法、终端和服务器。所述方法包括：终端向服务器发送包含有第一内容的第一信息；在预设时间范围内接收到所述服务器发送的第二信息；解析所述第二信息获得第二内容和第三内容；获得的自身信息；比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息；当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站；其中，所述终端通过所连接的基站与所述服务器通信。

Description

一种基站识别方法、终端和服务器

技术领域

本发明涉及无线通信技术，具体涉及一种基站识别方法、终端和服务器。

背景技术

全球移动通信系统(GSM，Global System for Mobile Communication)是世界上应用最广的无线通信系统之一。

GSM客户的鉴权与加密是通过系统提供的客户三元组来完成的。客户元组的产生是在GSM系统的鉴权中心(AUC)中完成，每个客户在签约(注册登记)时，就被分配一个客户号码(客户电话号码)和客户识别码(IMSI)。IMSI通过SIM写卡机写入客户SIM卡中，同时在写卡机中又产生一个对应此IMSI的唯一的客户鉴权键(Ki)，它被分别存储在客户SIM卡和AUC中。

GSM终端在每次登记、呼叫建立尝试、位置更新以及在补充业务的激活、去活、登记或删除之前均需要鉴权。鉴权时，移动交换中心/拜访位置寄存器(MSC/VLR)通过控制信道将一个参数伪随机数RAND传送给终端的SIM卡上，SIM卡收到RAND后，用此RAND与SIM卡存储的客户鉴权键Ki，经A3算法得出一个响应数SRES，传送给MSC/VLR。MSC/VLR将收到的SRES与使用同一RAND、同样的Ki和A3算法计算出的SRES’进行比较。如果MSC/VLR比较的结果相同就允许接入，否则为非法客户，网路拒绝为此终端服务。

显而易见，上述鉴权过程仅为网络对终端的鉴权，但是没有终端对网络的鉴别。这一缺陷直接导致现今伪基站猖獗，给人们的日常生活、财物等都造成极大困扰和伤害。

要解决伪基站的问题，最根本的方法是升级鉴权过程，引入与3G、4G中类似的鉴权和密钥协商(AKA，Authentication and Key Agreement，)机制。该方法的缺点在于需要标准化组织、终端商、网络设备商、运营商合力，耗时耗力，实施可能性低。

另一种伪基站的识别方式是在终端内部署伪基站识别程序，具体实现虽各不相同，通常采用以下几个特征进行识别：

1、基站参数：根据真伪基站位置区、小区号、频点、定时器设置等参数的区别识别伪基站；

2、短信息内容：根据短信息内容、发送方号码等判别该消息是否为垃圾短信、诈骗短信，进而判断是否伪基站；

3、终端与网络的信令交互：根据终端接入伪基站或直基站时信令流程上的区别识别伪基站。

对于在终端内部署伪基站识别程序的方法，伪基站多基于开源软件，可以调整配置以尽可能地模拟真基站的参数和信令流程，从而使识别程序失效；基于短信息内容的识别方法有一定的漏判及误判概率，而且仅可用于短信，不可用于通话情景。

发明内容

为解决现有存在的技术问题，本发明实施例提供了一种基站识别方法、终端和服务器。

为达到上述目的，本发明实施例的技术方案是这样实现的：

本发明实施例提供了一种基站识别方法，所述方法包括：

终端向服务器发送包含有第一内容的第一信息；

所述终端在预设时间范围内接收到所述服务器发送的第二信息；

所述终端解析所述第二信息获得第二内容和第三内容；

所述终端获得自身的信息；

比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息；

当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站；

其中，所述终端通过所连接的基站与所述服务器通信。

上述方案中，所述方法还包括：当所述第二内容和所述第一内容比对一致、并且所述第三内容和所述终端的信息比对一致时，确定所述终端连接的基站为真基站。

上述方案中，所述方法还包括：当所述终端未在所述预设时间范围内接收到所述服务器发送的第二信息时，则确定所述终端连接的基站为伪基站。

上述方案中，所述方法还包括：所述终端检测到连接的基站由第一基站切换至第二基站时，确定所述第二基站的真伪状态为所述第一基站的真伪状态。

上述方案中，所述终端解析所述第二信息获得第二内容和第三内容，包括：

所述终端基于预先配置的公钥解析所述第二信息获得第二内容和第三内容；

其中，所述公钥和所述服务器中存储的私钥形成密码对。

本发明实施例还提供了一种基站识别方法，所述方法包括：

服务器获得终端的第一信息，以及从网络侧设备获得所述终端的信息；

所述服务器将所述第一信息和所述终端的信息组合后加密生成第二信息，向所述终端发送所述第二信息。

上述方案中，所述服务器将所述第一信息和所述终端的信息组合后加密生成第二信息，包括：

所述服务器将所述第一信息和所述终端的信息组合后按照预先配置的私钥进行加密，获得所述第二信息；

其中，所述私钥和所述终端中存储的公钥形成密码对。

本发明实施例还提供了一种终端，所述终端包括：第一通讯单元、解析单元和识别单元；其中，

所述第一通讯单元，用于向服务器发送包含有第一内容的第一信息；在预设时间范围内接收到所述服务器发送的第二信息；

所述解析单元，用于解析所述第二信息获得第二内容和第三内容；

所述识别单元，用于终端获得自身的信息；比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息；

当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站。

上述方案中，所述识别单元，还用于当所述第二内容和所述第一内容比对一致、并且所述第三内容和所述终端的信息比对一致时，确定所述终端连接的基站为真基站。

上述方案中，所述识别单元，还用于当所述第一通讯单元未在所述预设时间范围内接收到所述服务器发送的第二信息时，则确定所述终端连接的基站为伪基站。

上述方案中，所述识别单元，还用于检测到连接的基站由第一基站切换至第二基站时，确定所述第二基站的真伪状态为所述第一基站的真伪状态。

上述方案中，所述解析单元，用于基于预先配置的公钥解析所述第二信息获得第二内容和第三内容；其中，所述公钥和所述服务器中存储的私钥形成密码对。

本发明实施例还提供了一种服务器，所述服务器包括第二通讯单元和加密单元；其中，

所述第二通讯单元，用于获得终端的第一信息，以及从网络侧设备获得所述终端的信息；

所述加密单元，用于将所述第一信息和所述终端的信息组合后加密生成第二信息；

所述第二通讯单元，还用于向所述终端发送所述第二信息。

上述方案中，所述加密单元，用于将所述第一信息和所述终端的信息组合后按照预先配置的私钥进行加密，获得所述第二信息；其中，所述私钥和所述终端中存储的公钥形成密码对。

本发明实施例提供的基站识别方法、终端和服务器，一方面，终端向服务器发送包含有第一内容的第一信息；所述终端在预设时间范围内接收到所述服务器发送的第二信息；所述终端解析所述第二信息获得第二内容和第三内容；所述终端获得自身的信息；比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息；当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站；其中，所述终端通过所连接的基站与所述服务器通信。另一方面，服务器获得终端的第一信息，以及从网络侧设备获得所述终端的信息；所述服务器将所述第一信息和所述终端的信息组合后加密生成第二信息，向所述终端发送所述第二信息。采用本发明实施例的技术方案，第一方面，不需要修改或增加现有的通信标准，部署简单，成本低；第二方面，对终端的计算能力没有特殊要求，适用范围广；第三方面，相比于现有技术中基于基站参数、信令流程特征或短信内容进行识别的方法，可靠性和安全性均大大提高，不会将伪基站误判为真基站，提升了基站判别的准确率。

附图说明

图1为本发明实施例一的基站识别方法的流程示意图；

图2为本发明实施例的终端连接的基站的状态转换示意图；

图3为本发明实施例二的基站的识别方法的流程示意图；

图4为本发明实施例三的基站识别方法的流程示意图；

图5为本发明实施例的基站识别方法的具体流程示意图；

图6为本发明实施例的终端的组成结构示意图；

图7为本发明实施例的服务器的组成结构示意图。

具体实施方式

在本发明各实施例中，将基站区分为可信基站和不可信基站；其中，可信基站可以为已通过认证的基站，例如完成双向认证的3G、4G基站等等，可以理解为，可信基站为运营商所属的基站。不可信基站包括GSM基站、不支持双向认证的3G或4G基站等等。对于支持双向认证但未完成该认证的基站，可暂定为“疑似”不可信基站，等待一段时间后，如果该“疑似”不可信基站双向认证通过，则将所述“疑似”不可信基站认定为可信基站，否则认定为不可信基站。本实施例中，针对不可信基站的真假状态进行识别；当确定不可信基站的状态为真时，可确定所述不可信基站为真基站；当确定不可信基站的状态为假时，可确定所述不可信基站为伪基站。

下面结合附图及具体实施例对本发明作进一步详细的说明。

实施例一

本发明实施例提供了一种基站识别方法，应用于终端中。图1为本发明实施例一的基站识别方法的流程示意图；如图1所示，所述方法包括：

步骤101：终端向服务器发送包含有第一内容的第一信息；其中，所述终端通过所连接的基站与所述服务器通信。

步骤102：在预设时间范围内接收到所述服务器发送的第二信息。

步骤103：解析所述第二信息获得第二内容和第三内容。

步骤104：获得自身的信息。

步骤105：比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息；当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站。

本实施例中，所述服务器具体为部署在运营商网络内部的鉴别服务器；所述服务器可以通过独立部署的服务器实现，也可以通过所述运营商网络内部的任一网元设备实现。

本实施例中，所述终端与所述服务器之间传递的信息基于所述终端所连接的基站实现，例如，终端向服务器发送包含有第一内容的第一信息，具体为：终端通过基站向服务器发送包含有第一内容的第一信息；又例如，在预设时间范围内接收到所述服务器发送的第二信息，具体为：在预设时间范围内通过所述基站接收到所述服务器发送的第二信息。其中，所述终端与所述服务器之间传递的信息可基于所述终端所连接的基站提供的各种业务实现，所述业务具体可包括以下业务的其中之一：短信业务、彩信业务、通用分组无线服务(GPRS，General Packet Radio Service)、双音多频(DTMF，Dual Tone Multi Frequency)业务等等。

本实施例中，终端向服务器发送包含有第一内容的第一信息，所述第一内容具体为数据长度大于0bit的任何内容；生成的第一信息可通过基站支持的任一业务形式发送至服务器，例如，将所述第一信息通过短信的形式发送至所述服务器。

本实施例中，作为一种实施方式，所述终端在预设时间范围内接收到所述服务器发送的第二信息，按预设解析方式解析所述第二信息。具体的，所述终端的解密方式和所述服务器中的加密方式基于一种密码体系，即包括公钥和私钥形成的密码对，其中，公钥预先配置在所述终端内，私钥预先配置在所述服务器内。在正常情况下，服务器获得终端发送的包含有第一内容的第一信息，所述第一信息还包括所述终端的标识，所述终端的标识例如终端号码等等；所述服务器基于所述终端的标识与运营商网络中的某个特定网元设备通信，从所述特定网元设备中获得所述终端的信息；所述终端的信息具体可以为表征终端唯一性的标识信息，也可以称为终端的个性化信息；所述服务器将所述第一内容和所述终端的信息按照预先配置的私钥进行加密获得第二信息。基于此，所述终端获得所述第二信息后，按照预先配置的公钥对所述第二信息进行解密；解密可获得所述两部分内容，包括第二内容和第三内容；将获得的第二内容和第三内容分别与第一内容和终端自身的信息进行比对。在异常情况下，比对结果为所述第二内容和所述第一内容比对不一致，或者所述第三内容和所述终端的信息比对不一致，即可确定所述终端连接的基站为伪基站。

作为另一种实施方式，即在正常情况下，比对结果为所述第二内容和所述第一内容比对一致，以及所述第三内容和所述终端的信息比对一致，即可确定所述终端连接的基站为真基站，即所述方法还包括：当所述第二内容和所述第一内容比对一致、并且所述第三内容和所述终端的信息比对一致时，确定所述终端连接的基站为真基站。

本实施例中，将基站定义为三种状态：真基站、伪基站、未鉴别状态；初始状态下，基站的状态可以为未鉴别状态。

图2为本发明实施例的终端连接的基站的状态转换示意图；如图2所示，终端所连接的基站状态可从未鉴别状态至真基站转换、以及从未鉴别状态至假基站转换。

具体的，作为一种实施方式，当终端由一个小区切换至另一个小区时，也即终端所连接的基站由第一基站切换至第二基站时，则所述终端确定所述第二基站的真伪状态为所述第一基站的真伪状态。例如，终端在连接态下从可信基站或者处于真状态的不可信基站切换至处于未鉴别状态的不可信基站(记为第二基站)(包括LTE到GSM的分组域的重定向、电路域的切换、电路域的回退、异系统切换等)时，则所述终端可确定所述第二基站也为真基站。或者，终端在连接态下从处于假状态的不可信基站切换至处于未鉴别状态的不可信基站(记为第二基站)时，所述终端也可确定所述第二基站的状态为假，则可以确定所述第二基站为伪基站。

本实施例中，所述终端确定基站的真伪状态后，基于不同的确定结果执行相应的处理。作为一种实施方式，所述终端确定连接的基站为真基站时，允许与所述基站进行信息交互；所述信息交互例如收发信息、接打电话等等。

所述终端确定连接的基站为伪基站时，所述终端可禁止与所述基站进行信息交互，以及显示安全提示信息；例如，当终端接收到确定为伪基站下发的信息(例如短信或彩信等)时，所述终端自动屏蔽所述信息，并显示安全提示信息(例如在终端的显示屏上显示“收到伪基站发送的信息，已屏蔽”等字样)；在例如，当终端接收到伪基站发起的呼叫时，所述终端自动拒绝接听，并显示安全提示信息(例如在终端的显示屏上显示“收到伪基站的呼叫请求，已屏蔽”等字样)；另一方面，在禁止与伪基站进行信息交互的同时，所述终端还可以控制自身的通信模组尝试选择接入其他小区。作为另一种实施方式，所述终端确定连接的基站为伪基站时，所述终端可允许与所述伪基站进行征程的信息交互，所述信息交互例如收发信息、接打电话等等；但所述终端显示安全提示信息，例如所述终端的显示屏显示“警告：检测到伪基站，谨防上当”。另一方面，终端在显示安全提示信息的同时，所述终端还可以控制自身的通信模组尝试选择接入其他小区。

作为一种实施方式，所述终端确定连接的基站的真伪状态为未鉴别状态时，则所述终端开始执行本发明实施例的步骤101至步骤105的过程，以确定所述终端所连接的基站的真伪，同时，所述终端显示安全提示信息；所述安全提示信息例如“基站真伪状态未知，谨防上当”。

本实施例中，所述终端显示的提示信息可在所述终端显示屏的某位置显示，或者可通过生成的提示框显示，若终端当前处于通话状态，则所述提示信息可通过语音方式输出。

采用本发明实施例的技术方案，第一方面，不需要修改或增加现有的通信标准，部署简单，成本低；第二方面，对终端的计算能力没有特殊要求，适用范围广；第三方面，相比于现有技术中基于基站参数、信令流程特征或短信内容进行识别的方法，可靠性和安全性均大大提高，不会将伪基站误判为真基站，提升了基站判别的准确率；第四方面，本方案不会给网络带来明显的业务负担，对于终端的空闲态重选，不会触发本方案的鉴别流程，另外，随着GSM网络逐渐被3G/4G等更高级的网络取代，终端驻留GSM网络的概率越来越低，GSM现网负荷越来越小，则本方案可能带来的流量影响极小；最后，本发明实施例的技术方案通过终端发送的第一内容、获得的终端自身的信息进行判别，以及选用合适的公钥密码体系，私钥存储在服务器中，一方面可抵御中间人的攻击，另一方面还可抵御对私钥的嗅探。

实施例二

本发明实施例还提供了一种基站识别方法，应用于终端中。图3为本发明实施例二的基站识别方法的流程示意图；如图3所示，所述方法包括：

步骤201：终端向服务器发送包含有第一内容的第一信息；其中，所述终端通过所连接的基站与所述服务器通信。

步骤202：判断在预设时间范围内是否接收到服务器发送的第二信息；当判断的结果为是时，执行步骤203至步骤207；当判断的结果为否时，执行步骤208。

步骤203：解析所述第二信息获得第二内容和第三内容。

步骤204：获得自身的信息。

步骤205：比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息。

步骤206：当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站。

步骤207：当所述第二内容和所述第一内容比对一致、并且所述第三内容和所述终端的信息比对一致时，确定所述终端连接的基站为真基站。

步骤208：当所述终端未在所述预设时间范围内接收到所述服务器发送的第二信息时，则确定所述终端连接的基站为伪基站。

本实施例中，所述终端与所述服务器之间传递的信息基于所述终端所连接的基站实现，例如，终端向服务器发送包含有第一内容的第一信息，具体为：终端通过基站向服务器发送包含有第一内容的第一信息；又例如，在预设时间范围内接收到所述服务器发送的第二信息，具体为：在预设时间范围内通过所述基站接收到所述服务器发送的第二信息。其中，所述终端与所述服务器之间传递的信息可基于所述终端所连接的基站提供的各种业务实现，所述业务具体可包括以下业务的其中之一：短信业务、彩信业务、GPRS、DTMF业务等等。

本实施例中，终端向服务器发送包含有第一内容的第一信息，所述第一内容具体为数据长度大于0bit的任何内容；生成的第一信息可通过基站支持的任一业务形式发送至服务器，例如，将所述第一信息通过短信的形式发送至所述服务器。

本实施例中，作为一种实施方式，所述终端在预设时间范围内接收到所述服务器发送的第二信息，按预设解析方式解析所述第二信息。具体的，所述终端的解密方式和所述服务器中的加密方式基于一种密码体系，即包括公钥和私钥形成的密码对，其中，公钥预先配置在所述终端内，私钥预先配置在所述服务器内。在正常情况下，服务器获得终端发送的包含有第一内容的第一信息，所述第一信息还包括所述终端的标识，所述终端的标识例如终端号码等等；所述服务器基于所述终端的标识与运营商网络中的某个特定网元设备通信，从所述特定网元设备中获得所述终端的信息；所述终端的信息具体可以为表征终端唯一性的标识信息，也可以称为终端的个性化信息；所述服务器将所述第一内容和所述终端的信息按照预先配置的私钥进行加密获得第二信息。基于此，所述终端获得所述第二信息后，按照预先配置的公钥对所述第二信息进行解密；解密可获得所述两部分内容，包括第二内容和第三内容；将获得的第二内容和第三内容分别与第一内容和终端自身的信息进行比对。在异常情况下，比对结果为所述第二内容和所述第一内容比对不一致，或者所述第三内容和所述终端的信息比对不一致，即可确定所述终端连接的基站为伪基站。

作为另一种实施方式，若所述终端未在所述预设时间范围内接收到所述服务器发送的第二信息，则可以表明所述终端连接的基站为伪基站。

本实施例中，将基站定义为三种状态：真基站、伪基站、未鉴别状态；初始状态下，基站的状态可以为未鉴别状态。

具体可如图2所示，终端所连接的基站状态可从未鉴别状态至真基站转换、以及从未鉴别状态至假基站转换。

具体的，作为一种实施方式，当终端由一个小区切换至另一个小区时，也即终端所连接的基站由第一基站切换至第二基站时，则所述终端确定所述第二基站的真伪状态为所述第一基站的真伪状态。例如，终端在连接态下从可信基站或者处于真状态的不可信基站切换至处于未鉴别状态的不可信基站(记为第二基站)(包括LTE到GSM的分组域的重定向、电路域的切换、电路域的回退、异系统切换等)时，则所述终端可确定所述第二基站也为真基站。或者，终端在连接态下从处于假状态的不可信基站切换至处于未鉴别状态的不可信基站(记为第二基站)时，所述终端也可确定所述第二基站的状态为假，则可以确定所述第二基站为伪基站。

本实施例中，所述终端确定基站的真伪状态后，基于不同的确定结果执行相应的处理。作为一种实施方式，所述终端确定连接的基站为真基站时，允许与所述基站进行信息交互；所述信息交互例如收发信息、接打电话等等。

所述终端确定连接的基站为伪基站时，所述终端可禁止与所述基站进行信息交互，以及显示安全提示信息；例如，当终端接收到确定为伪基站下发的信息(例如短信或彩信等)时，所述终端自动屏蔽所述信息，并显示安全提示信息(例如在终端的显示屏上显示“收到伪基站发送的信息，已屏蔽”等字样)；在例如，当终端接收到伪基站发起的呼叫时，所述终端自动拒绝接听，并显示安全提示信息(例如在终端的显示屏上显示“收到伪基站的呼叫请求，已屏蔽”等字样)；另一方面，在禁止与伪基站进行信息交互的同时，所述终端还可以控制自身的通信模组尝试选择接入其他小区。作为另一种实施方式，所述终端确定连接的基站为伪基站时，所述终端可允许与所述伪基站进行征程的信息交互，所述信息交互例如收发信息、接打电话等等；但所述终端显示安全提示信息，例如所述终端的显示屏显示“警告：检测到伪基站，谨防上当”。另一方面，终端在显示安全提示信息的同时，所述终端还可以控制自身的通信模组尝试选择接入其他小区。

作为一种实施方式，所述终端确定连接的基站的真伪状态为未鉴别状态时，则所述终端开始执行本发明实施例的步骤201至步骤208的过程，以确定所述终端所连接的基站的真伪，同时，所述终端显示安全提示信息；所述安全提示信息例如“基站真伪状态未知，谨防上当”。

采用本发明实施例的技术方案，第一方面，不需要修改或增加现有的通信标准，部署简单，成本低；第二方面，对终端的计算能力没有特殊要求，适用范围广；第三方面，相比于现有技术中基于基站参数、信令流程特征或短信内容进行识别的方法，可靠性和安全性均大大提高，不会将伪基站误判为真基站，提升了基站判别的准确率；第四方面，本方案不会给网络带来明显的业务负担，对于终端的空闲态重选，不会触发本方案的鉴别流程，另外，随着GSM网络逐渐被3G/4G等更高级的网络取代，终端驻留GSM网络的概率越来越低，GSM现网负荷越来越小，则本方案可能带来的流量影响极小；最后，本发明实施例的技术方案通过终端发送的第一内容、获得的终端自身的信息进行判别，以及选用合适的公钥密码体系，私钥存储在服务器中，一方面可抵御中间人的攻击，另一方面还可抵御对私钥的嗅探。

实施例三

本发明实施例还提供了一种基站识别方法，应用于终端中。图3为本发明实施例三的基站识别方法的流程示意图；如图3所示，所述方法包括：

步骤301：服务器获得终端的第一信息，以及从网络侧设备获得所述终端的信息。

步骤301：将所述第一信息和所述终端的信息组合后加密生成第二信息，向所述终端发送所述第二信息。

本实施例中，所述服务器具体为部署在运营商网络内部的鉴别服务器；所述服务器可以通过独立部署的服务器实现，也可以通过所述运营商网络内部的任一网元设备实现。

本实施例中，所述服务器获得的第一信息包含有第一内容，所述第一内容具体为数据长度大于0bit的任何内容。

本实施例中，所述终端的解密方式和所述服务器中的加密方式基于一种密码体系，即包括公钥和私钥形成的密码对，其中，公钥预先配置在所述终端内，私钥预先配置在所述服务器内。在正常情况下，服务器获得终端发送的包含有第一内容的第一信息，所述第一信息还包括所述终端的标识，所述终端的标识例如终端号码等等；所述服务器基于所述终端的标识与运营商网络中的某个特定网元设备通信，从所述特定网元设备中获得所述终端的信息；所述终端的信息具体可以为表征终端唯一性的标识信息，也可以称为终端的个性化信息；所述服务器将所述第一内容和所述终端的信息按照预先配置的私钥进行加密获得第二信息，将所述第二信息发送至所述终端。

采用本发明实施例的技术方案，第一方面，不需要修改或增加现有的通信标准，部署简单，成本低；第二方面，对终端的计算能力没有特殊要求，适用范围广；第三方面，相比于现有技术中基于基站参数、信令流程特征或短信内容进行识别的方法，可靠性和安全性均大大提高，不会将伪基站误判为真基站，提升了基站判别的准确率；第四方面，本方案不会给网络带来明显的业务负担，对于终端的空闲态重选，不会触发本方案的鉴别流程，另外，随着GSM网络逐渐被3G/4G等更高级的网络取代，终端驻留GSM网络的概率越来越低，GSM现网负荷越来越小，则本方案可能带来的流量影响极小；最后，本发明实施例的技术方案通过终端发送的第一内容、获得的终端自身的信息进行判别，以及选用合适的公钥密码体系，私钥存储在服务器中，一方面可抵御中间人的攻击，另一方面还可抵御对私钥的嗅探。

下面结合具体的应用场景对本发明实施例的基站识别方法进行详细说明。图5为本发明实施例的基站识别方法的具体流程示意图；如图5所示，在本示例中，服务器记为Server，终端记为UEProg，则所述方法包括：

步骤41：UEProg向Server发起挑战：UEProg生成一个长度大于等于0bit的随机数(记为NONCE)，将所述随机数以明文形式发送给Server。

步骤42：Server接收到NONCE后，从运营商网络的网元设备中获取发送所述NONCE的终端的个性化信息m(UE)；其中，所述网元设备在本示例中具体可以为归属位置寄存器(HLR，Home Location Register)。

步骤43：Server将m(UE)及NONCE组合成明文t，将明文t用私钥(Kpriv)加密，得到密文c。

步骤44：Server将密文c发送给UEProg。

步骤45：UEProg在预设时间范围内接收到来自Server的密文c后用公钥(Kpub)进行解密得到t’；当然，若在所述预设时间范围内未接收到来自Server的密文c，则UEProg确定基站为伪基站。

步骤46：UEProg将自身的个性化信息及曾发送给Server的NONCE与解密后的t’做比对：如果一致，则将基站状态置为“真”，否则置为“假”。

下面结合具体的示例对本发明实施例的基站识别方法进行说明。

本示例依然可参照图5所示的示意，在本实施例中，选用公钥加密算法RSA，具体地，采用RFC 3447中定义的RSAES-OAEP方案，Hash函数选用SHA-256，掩码生成函数采用MCF1，密钥长度1024bit。私钥Kpriv＝(n,e2)存储在Server内，与之相对应的公钥Kpub＝(n,e1)存储各终端的程序UEProg内。

在本示例中，UEProg通过短信与Server交换数据，为方便描述，设Server的号码为“888888”。

步骤51：UEProg向Server发起挑战：UEProg生成一个长度大于等于0bit的随机数，将该随机数转换为字符串(记为NONCE)作为短信发送到服务器“888888”；发送完成后UEProg启动一个定时器，其超时时间为T(例如T等于1分钟)；如果发送失败，则随机等待10～30秒后再重新发送，如果仍失败，则将所连接的基站状态置为“假”，鉴别流程结束。

步骤52：Server接收到UEProg发来的包含有NONCE的短信后，从HLR，获取发送该NONCE的终端的手机号，将手机号转换为字符串m(UE)，如“13812345678”。

步骤53：Server将终端的手机号m(UE)及NONCE前后相连，组成明文t，然后将明文t用私钥(Kpriv)加密，得到密文c。例如，假设收到NONCE为“abc”，则t为“13812345678abc”。

步骤54：Server将密文c转换成短信允许的编码格式然后通过短信发送给UEProg所对应的号码。如将密文c表示成十六进制形式的文本，然后将该文本采用7-bit编码发送。

步骤55：如果UEProg在定时器超时前接收到来自服务器“888888”发来的短信，将短信内容转换为密文c，然后用公钥(Kpub)进行解密得到t’，转步骤56；如果UEProg在定时器超时前没有收到来自服务器“888888”发来的短信，则将不可信基站状态置为“假”，鉴别流程结束。

步骤56：UEProg本机号码及发送给“888888”的NONCE与t’做比对：如果一致，则将所连接的基站状态置为“真”，否则置为“假”。如果UEProg在一定时间内没有接收到来自服务器“888888”的密文，则将基站状态置为“假”。

实施例四

本发明实施例还提供了一种终端。图6为本发明实施例的终端的组成结构示意图；如图6所示，所述终端包括：第一通讯单元61、解析单元62和识别单元63；其中，

所述第一通讯单元61，用于向服务器发送包含有第一内容的第一信息；在预设时间范围内接收到所述服务器发送的第二信息；

所述解析单元62，用于解析所述第二信息获得第二内容和第三内容；

所述识别单元63，用于终端获得自身的信息；比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息；

当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站。

本实施例中，所述终端与所述服务器之间传递的信息基于所述终端所连接的基站实现，例如，所述第一通讯单元61通过基站向服务器发送包含有第一内容的第一信息；又例如，所述第一通讯单元61在预设时间范围内接收到所述服务器发送的第二信息。其中，所述第一通讯单元61与所述服务器之间传递的信息可基于所述第一通讯单元61所连接的基站提供的各种业务实现，所述业务具体可包括以下业务的其中之一：短信业务、彩信业务、GPRS、DTMF业务等等。

本实施例中，所述第一内容具体为数据长度大于0bit的任何内容；生成的第一信息可通过基站支持的任一业务形式发送至服务器，例如，所述第一通讯单元61将所述第一信息通过短信的形式发送至所述服务器。

本实施例中，作为一种实施方式，所述解析单元62，用于基于预先配置的公钥解析所述第二信息获得第二内容和第三内容；其中，所述公钥和所述服务器中存储的私钥形成密码对。具体的，所述解析单元62的解密方式和所述服务器中的加密方式基于一种密码体系，即包括公钥和私钥形成的密码对，其中，公钥预先配置在所述解析单元62内，私钥预先配置在所述服务器内。在正常情况下，服务器获得终端发送的包含有第一内容的第一信息，所述第一信息还包括所述终端的标识，所述终端的标识例如终端号码等等；所述服务器基于所述终端的标识与运营商网络中的某个特定网元设备通信，从所述特定网元设备中获得所述终端的信息；所述终端的信息具体可以为表征终端唯一性的标识信息，也可以称为终端的个性化信息；所述服务器将所述第一内容和所述终端的信息按照预先配置的私钥进行加密获得第二信息。基于此，所述解析单元62获得所述第二信息后，按照预先配置的公钥对所述第二信息进行解密；解密可获得所述两部分内容，包括第二内容和第三内容；所述识别单元63将获得的第二内容和第三内容分别与第一内容和终端自身的信息进行比对。在异常情况下，比对结果为所述第二内容和所述第一内容比对不一致，或者所述第三内容和所述终端的信息比对不一致，即可确定所述终端连接的基站为伪基站。

作为另一种实施方式，所述识别单元63，还用于当所述第二内容和所述第一内容比对一致、并且所述第三内容和所述终端的信息比对一致时，确定所述终端连接的基站为真基站。可以理解为，在正常情况下，所述识别单元63获得的比对结果为所述第二内容和所述第一内容比对一致，以及所述第三内容和所述终端的信息比对一致，即可确定所述终端连接的基站为真基站。

作为一种实施方式，所述识别单元63，还用于当所述第一通讯单元61未在所述预设时间范围内接收到所述服务器发送的第二信息时，则确定所述终端连接的基站为伪基站。

具体的，若所述第一通讯单元61未在所述预设时间范围内接收到所述服务器发送的第二信息，则所述识别单元63可以确定所述终端连接的基站为伪基站。

本实施例中，将基站定义为三种状态：真基站、伪基站、未鉴别状态；初始状态下，基站的状态可以为未鉴别状态。

如图2所示，终端所连接的基站状态可从未鉴别状态至真基站转换、以及从未鉴别状态至假基站转换。

具体的，作为一种实施方式，当终端由一个小区切换至另一个小区时，也即终端所连接的基站由第一基站切换至第二基站时，则所述终端确定所述第二基站的真伪状态为所述第一基站的真伪状态。即所述识别单元63，还用于检测到连接的基站由第一基站切换至第二基站时，确定所述第二基站的真伪状态为所述第一基站的真伪状态。例如，终端在连接态下从可信基站或者处于真状态的不可信基站切换至处于未鉴别状态的不可信基站(记为第二基站)(包括LTE到GSM的分组域的重定向、电路域的切换、电路域的回退、异系统切换等)时，则所述识别单元63可确定所述第二基站也为真基站。或者，终端在连接态下从处于假状态的不可信基站切换至处于未鉴别状态的不可信基站(记为第二基站)时，所述终端也可确定所述第二基站的状态为假，则可以确定所述第二基站为伪基站。

本实施例中，所述识别单元63确定基站的真伪状态后，基于不同的确定结果执行相应的处理。作为一种实施方式，所述终端还包括控制单元，所述识别单元63确定连接的基站为真基站时，所述控制单元允许与所述基站进行信息交互；所述信息交互例如收发信息、接打电话等等。

控制单元确定连接的基站为伪基站时，所述控制单元可禁止与所述基站进行信息交互，以及显示安全提示信息；例如，当终端接收到确定为伪基站下发的信息(例如短信或彩信等)时，所述终端自动屏蔽所述信息，并显示安全提示信息(例如在终端的显示屏上显示“收到伪基站发送的信息，已屏蔽”等字样)；在例如，当终端接收到伪基站发起的呼叫时，所述终端自动拒绝接听，并显示安全提示信息(例如在终端的显示屏上显示“收到伪基站的呼叫请求，已屏蔽”等字样)；另一方面，在禁止与伪基站进行信息交互的同时，所述终端还可以控制自身的通信模组尝试选择接入其他小区。作为另一种实施方式，所述终端确定连接的基站为伪基站时，所述终端可允许与所述伪基站进行征程的信息交互，所述信息交互例如收发信息、接打电话等等；但所述终端显示安全提示信息，例如所述终端的显示屏显示“警告：检测到伪基站，谨防上当”。另一方面，终端在显示安全提示信息的同时，所述终端还可以控制自身的通信模组尝试选择接入其他小区。

作为一种实施方式，所述终端确定连接的基站的真伪状态为未鉴别状态时，则所述终端开始执行本发明实施例的基站鉴定过程，以确定所述终端所连接的基站的真伪，同时，所述终端显示安全提示信息；所述安全提示信息例如“基站真伪状态未知，谨防上当”。

本实施例中，所述终端显示的提示信息可在所述终端显示屏的某位置显示，或者可通过生成的提示框显示，若终端当前处于通话状态，则所述提示信息可通过语音方式输出。

本领域技术人员应当理解，本发明实施例的终端中各处理单元的功能，可参照前述基站识别方法的相关描述而理解，本发明实施例的终端中各处理单元，可通过实现本发明实施例所述的功能的模拟电路而实现，也可以通过执行本发明实施例所述的功能的软件在智能终端上的运行而实现。

本发明实施例中，所述终端具体可通过手机、平板电脑等终端设备实现。所述终端中的解析单元62和识别单元63，在实际应用中均可由所述终端中的中央处理器(CPU，Central Processing Unit)、数字信号处理器(DSP，Digital Signal Processor)、微控制单元(MCU，Microcontroller Unit)或可编程门阵列(FPGA，Field－Programmable GateArray)实现；所述终端中的第一通讯单元61，在实际应用中可通过通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。

实施例五

本发明实施例还提供了一种服务器，图7为本发明实施例的服务器的组成结构示意图；如图7所示，所述服务器包括第二通讯单元71和加密单元72；其中，

所述第二通讯单元71，用于获得终端的第一信息，以及从网络侧设备获得所述终端的信息；

所述加密单元72，用于将所述第一信息和所述终端的信息组合后加密生成第二信息；

所述第二通讯单元71，还用于向所述终端发送所述第二信息。

作为一种实施方式，所述加密单元72，用于将所述第一信息和所述终端的信息组合后按照预先配置的私钥进行加密，获得所述第二信息；其中，所述私钥和所述终端中存储的公钥形成密码对。

本实施例中，所述服务器具体为部署在运营商网络内部的鉴别服务器；所述服务器可以通过独立部署的服务器实现，也可以通过所述运营商网络内部的任一网元设备实现。

本实施例中，所述服务器获得的第一信息包含有第一内容，所述第一内容具体为数据长度大于0bit的任何内容。

本实施例中，所述终端的解密方式和所述服务器中的加密方式基于一种密码体系，即包括公钥和私钥形成的密码对，其中，公钥预先配置在所述终端内，私钥预先配置在所述服务器内。在正常情况下，服务器获得终端发送的包含有第一内容的第一信息，所述第一信息还包括所述终端的标识，所述终端的标识例如终端号码等等；所述服务器基于所述终端的标识与运营商网络中的某个特定网元设备通信，从所述特定网元设备中获得所述终端的信息；所述终端的信息具体可以为表征终端唯一性的标识信息，也可以称为终端的个性化信息；所述服务器将所述第一内容和所述终端的信息按照预先配置的私钥进行加密获得第二信息，将所述第二信息发送至所述终端。

本领域技术人员应当理解，本发明实施例的服务器中各处理单元的功能，可参照前述基站识别方法的相关描述而理解，本发明实施例的服务器中各处理单元，可通过实现本发明实施例所述的功能的模拟电路而实现，也可以通过执行本发明实施例所述的功能的软件在智能终端上的运行而实现。

本发明实施例中，所述服务器中的加密单元72，在实际应用中均可由所述服务器中的CPU、DSP、MCU或FPGA实现；所述服务器中的第二通讯单元71，在实际应用中可通过通信模组(包含：基础通信套件、操作系统、通信模块、标准化接口和协议等)及收发天线实现。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

或者，本发明上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例所述方法的全部或部分。而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (14)

1.一种基站识别方法，其特征在于，所述方法包括：

终端向服务器发送包含有第一内容的第一信息；

所述终端在预设时间范围内接收到所述服务器发送的第二信息；

所述终端解析所述第二信息获得第二内容和第三内容；

所述终端获得自身的信息；

比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息；

当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站；

其中，所述终端通过所连接的基站与所述服务器通信。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：当所述第二内容和所述第一内容比对一致、并且所述第三内容和所述终端的信息比对一致时，确定所述终端连接的基站为真基站。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：当所述终端未在所述预设时间范围内接收到所述服务器发送的第二信息时，则确定所述终端连接的基站为伪基站。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：所述终端检测到连接的基站由第一基站切换至第二基站时，确定所述第二基站的真伪状态为所述第一基站的真伪状态。

5.根据权利要求1所述的方法，其特征在于，所述终端解析所述第二信息获得第二内容和第三内容，包括：

所述终端基于预先配置的公钥解析所述第二信息获得第二内容和第三内容；

其中，所述公钥和所述服务器中存储的私钥形成密码对。

6.一种基站识别方法，其特征在于，所述方法包括：

服务器获得终端的第一信息，以及从网络侧设备获得所述终端的信息；

所述服务器将所述第一信息和所述终端的信息组合后加密生成第二信息，向所述终端发送所述第二信息。

7.根据权利要求6所述的方法，其特征在于，所述服务器将所述第一信息和所述终端的信息组合后加密生成第二信息，包括：

所述服务器将所述第一信息和所述终端的信息组合后按照预先配置的私钥进行加密，获得所述第二信息；

其中，所述私钥和所述终端中存储的公钥形成密码对。

8.一种终端，其特征在于，所述终端包括：第一通讯单元、解析单元和识别单元；其中，

所述第一通讯单元，用于向服务器发送包含有第一内容的第一信息；在预设时间范围内接收到所述服务器发送的第二信息；

所述解析单元，用于解析所述第二信息获得第二内容和第三内容；

所述识别单元，用于终端获得自身的信息；比对所述第二内容和所述第一内容，以及比对所述第三内容和终端的信息；

当所述第二内容和所述第一内容比对不一致或者所述第三内容和所述终端的信息比对不一致时，确定所述终端连接的基站为伪基站。

9.根据权利要求8所述的终端，其特征在于，所述识别单元，还用于当所述第二内容和所述第一内容比对一致、并且所述第三内容和所述终端的信息比对一致时，确定所述终端连接的基站为真基站。

10.根据权利要求8所述的终端，其特征在于，所述识别单元，还用于当所述第一通讯单元未在所述预设时间范围内接收到所述服务器发送的第二信息时，则确定所述终端连接的基站为伪基站。

11.根据权利要求9所述的终端，其特征在于，所述识别单元，还用于检测到连接的基站由第一基站切换至第二基站时，确定所述第二基站的真伪状态为所述第一基站的真伪状态。

12.根据权利要求8所述的终端，其特征在于，所述解析单元，用于基于预先配置的公钥解析所述第二信息获得第二内容和第三内容；其中，所述公钥和所述服务器中存储的私钥形成密码对。

13.一种服务器，其特征在于，所述服务器包括第二通讯单元和加密单元；其中，

所述第二通讯单元，用于获得终端的第一信息，以及从网络侧设备获得所述终端的信息；

所述加密单元，用于将所述第一信息和所述终端的信息组合后加密生成第二信息；

所述第二通讯单元，还用于向所述终端发送所述第二信息。

14.根据权利要求13所述的服务器，其特征在于，所述加密单元，用于将所述第一信息和所述终端的信息组合后按照预先配置的私钥进行加密，获得所述第二信息；其中，所述私钥和所述终端中存储的公钥形成密码对。