CN109474932A - 一种伪基站识别以及防御方法和终端 - Google Patents

Abstract

本发明实施例公开了一种伪基站防御方法，由终端执行，包括：在进行小区重选或者小区选择时，根据网络侧设备发送的系统消息获取用于小区重选或者小区选择的系统消息配置；当系统消息配置为非正常配置时，确定所述网络侧设备为候选伪基站；在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；根据所述安全验证流程确认所述候选伪基站为真伪基站。

Description

一种伪基站识别以及防御方法和终端

技术领域

本申请涉及通信技术领域，尤其涉及一种伪基站识别以及防御方法和终端。

背景技术

伪基站通常是指由笔记本电脑、主机等组成的一套非法的无线电通信设备，用于执行正常网络中的基站以及一些其他网络侧设备(如核心网设备)的功能。伪基站使用者通过伪基站可以进行各种非法活动，包括收集用户信息，例如，收集IMSI(InternationalMobile Subscriber Identity，国际移动用户识别码)或者IMEI(International MobileEquipment Identity，国际移动设备识别码)、发送诈骗或垃圾短信、监听通信等，给用户的隐私和财产安全造成严重影响。

在2G(GSM)网络中，伪基站利用GSM协议中的单向鉴权的设计缺陷(即只有网络鉴权终端(UE)，而没有终端鉴权网络)，可以通过设置更大的发射功率将终端吸附(attach)到2G伪基站(即用于2G网络的伪基站)，吸附成功后可以用于进行各种非法活动。

在3/4G网络，由于引入了双向鉴权机制(即终端和网络需要相互鉴权)，3/4G伪基站(即用于3/4G网络的伪基站)不可能鉴权通过，因此，不能直接通过3/4G伪基站来达到发送垃圾短信或诈骗短信的目的。但是，却可以利用3/4G伪基站为跳板(中转站)将终端吸附到2G伪基站上，从而进行非法活动。例如，现在由于4G网络分布较好，攻击者可以利用一个大功率的4G伪基站(用于4G网络的伪基站)先将终端吸附到4G伪基站上，然后再通过设置4G伪基站上的重选优先级(如将2G伪基站的频点配置为高优先级)，使UE重选到2G伪基站，具体方法可参见图1所示的流程图。

由此可见，无论是2G网络，还是更加安全3/4G网络，伪基站都可以达到进行非法活动的目的，因此，需要有一种方法能够识别出伪基站，这样，才能够针对性地进行防御动作，保护用户的隐私及刚才财产安全。

发明内容

为解决上述技术问题，第一方面，本申请提供了一种伪基站识别以及防御方法，由终端执行，包括：在进行小区重选(cell reselection)或者小区选择(cell selection)时，根据网络侧设备发送的系统消息获取用于小区重选或者小区选择的系统消息配置；当所述系统消息配置为非正常配置时，确定所述网络侧设备为候选伪基站；在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；根据所述安全验证流程确认所述候选伪基站为真伪基站。

上述步骤中，系统消息配置是用于小区重选或者小区选择的，通过这个来判断出候选伪基站更有针对性。同时，在判断出候选伪基站后，进一步通过安全验证流程来确认，从而使得误判更少，用户体验更好。

基于第一方面，在第一方面第一种实现方式中，所述当系统消息配置为非正常配置时，确定网络侧设备为候选伪基站包括：当系统消息配置为用于尽量让所述终端驻留在当前小区而不通过小区重选或者小区选择到其他小区的非正常配置时，确定所述网络侧设备为所述候选伪基站。通过上述判断，能够更准确地判断出系统消息配置可能是有问题，从而怀疑是个伪基站。

基于第一方面或者第一方面第一种实现方式，在第一方面第二种实现方式中，所述系统消息配置为非正常配置包括以下情况中的任意一种或者多种：1)SIB3中的cellReselectionPriority的值被配置成小于SIB7中的cellReselectionPriority的值；2)系统消息被配置成不发送SIB5给所述终端；3)一个网络侧设备发送给终端的SIB5中dl-CarrierFreq的值不是运营商常用的频点；4)threshX-High和threshX-Low配置的值较高；5)qHyst较大，或者Qoffset较大，或者两个都较大；6)在接入层安全没有激活的情况下，基站下发RRCConnectionRelease消息让终端重定向到GSM小区。本方面给出了多种实际的参数，都可用于进行候选伪基站的判断，易于实现。

基于第一方面或者第一方面的第一、第二种实现方式，在第一方面第三种实现方式中，所述根据所述安全验证流程确认所述候选伪基站为真伪基站包括：在所述网络侧设备通不过安全验证和/或不想进行安全验证时，确认所述候选伪基站为真伪基站。通过该条件判断，说明网络侧设备存在

基于第一方面或者第一方面第一至第三种实现方式，在第一方面第四种实现方式中，所述终端从驻留到之前的小区过程中从所述网络侧设备接收到的跟踪区域码TAC与驻留到当前小区过程中从所述网络侧设备接收到的TAC不相同；相应地，在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；根据所述安全验证流程确认所述候选伪基站为真伪基站包括：在候选伪基站所在的小区的驻留后，向所述网络侧设备发送TAUrequest消息；接收所述网络侧设备回复的用于要求所述终端上报国际移动用户识别码IMSI的Identity Request消息；向所述网络侧设备发送用于回复所述Identity Request消息的Identity Request消息，同时，带上所述终端的IMSI；所述网络侧设备发送TAU Accept或者TAU reject；当接收到所述TAU reject，且所述TAU Reject以及在收到的所述Identity Request消息都是以明文方式发送的，确认所述候选伪基站为所述真伪基站。通过此方法，能在TAC相同时，通过安全验证流程来确认候选伪基站为真伪基站。

基于第一方面或者第一方面第一至第三种实现方式，在第一方面第五种实现方式中，所述终端从驻留到之前的小区过程中从所述网络侧设备接收到的跟踪区域码TAC与驻留到当前小区过程中从所述网络侧设备接收到的TAC相同；相应地，在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；根据所述安全验证流程确认所述候选伪基站为真伪基站包括：在候选伪基站所在的小区的驻留后，向所述网络侧设备发送Service Request消息来发起SERVICE流程；当在一定时间内未收到所述SecurityModeCommand或者收到所述SecurityModeCommand但进行完整性保护校验失败后，确认所述候选伪基站为所述真伪基站。通过此方法，能在TAC不相同时，通过安全验证流程来确认候选伪基站为真伪基站。

基于第一方面或者第一方面第一至第三种实现方式，在第一方面第六种实现方式中，所述终端从驻留到之前的小区过程中从所述网络侧设备接收到的跟踪区域码TAC与驻留到当前小区过程中从所述网络侧设备接收到的TAC相同；相应地，在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；根据所述安全验证流程确认所述候选伪基站为真伪基站包括：在候选伪基站所在的小区的驻留后，向所述网络侧设备发送TAURequest消息，但不携带密钥，同时启动T3430定时器；当所述T3430定时器超时，或者收到了TAU Reject，则所述安全和完整性保护校验未能通过，确认所述候选伪基站为所述真伪基站。通过此方法，也能在TAC不相同时，通过安全验证流程来确认候选伪基站为真伪基站。

基于第一方面或者第一方面第一至第六种实现方式，在第一方面第七种实现方式中，在确认所述候选伪基站为所述真伪基站后，所述方法还包括：对所述真伪基站进行防御处理，以降低所述真伪基站对所述终端的用户造成的危害。通过进行防御，可以降低伪基站对用户造成的损失。

基于第一方面第七种实现方式，在第一方面第八种实现方式中，所述对所述真伪基站进行防御处理包括以下几种方法中的任意一种或者多种的组合：

1)释放与当前驻留的小区的连接；

启动搜网流程以回到正常小区，其中，在所述搜网流程中，优先搜索频点与释放连接之前驻留的小区的频点不同的小区；该方法对用户造成的干扰少，适用不希望被打扰的用户。

2)通过用户交互类措施提醒当前有伪基站；该方法可以让用户知道潜在的威胁，提醒用户自主的采取各种行为，针对性更强。

3)提高特定应用(如短信)的安全访问等级。该方法可以保护一些特定的应用不被伪基站获取，提升安全性。

基于第一方面第八种实现方式，在第一方面第九种实现方式中，在方法1)中，在回到正常小区后，还包括：启动邻区测量以将所述真伪基站的小区加入黑名单，避免再次重选到所述真伪基站的小区。该方法可以进一步加强对伪基站的屏蔽，防护效果更好。

第二方面，本申请公开了一种终端，包括一个或多个处理器、存储器；所述存储器用于存储指令；所述一个或多个处理器用于读取所述存储器存储的指令来执行第一方面以及第一方面各种实现方式中任一所述的方法。

第三方面，本申请公开了一种伪基站防御方法，由终端执行，包括：在进行小区重选(cell reselection)或者小区选择(cell selection)时，根据网络侧设备发送的系统消息获取用于小区重选或者小区选择的系统消息配置；当系统消息配置为非正常配置时，确定所述网络侧设备为候选伪基站；对所述候选伪基站进行防御处理，以降低所述真伪基站对所述终端的用户造成的危害。

基于第三方面，在第三方面第一种实现方式中，所述对所述候选伪基站进行防御处理包括以下几种方法中的任意一种或者多种的组合：

1)释放与当前驻留的小区的连接；

启动搜网流程以回到正常小区，其中，在所述搜网流程中，优先搜索频点与释放连接之前驻留的小区的频点不同的小区；

2)通过用户交互类措施提醒当前有伪基站；

3)提高特定应用的安全访问等级。

基于第三方面或者第三方面第一种实现方式，在第三方面第二种实现方式中，所述当系统消息配置为非正常配置时，确定网络侧设备为候选伪基站包括：当系统消息配置为用于尽量让终端驻留在当前小区而不通过小区重选或者小区选择到其他小区的非正常配置时，确定所述网络侧设备为所述候选伪基站。

基于第三方面第二种实现方式，在第三方面第三种实现方式中，所述系统消息配置为非正常配置包括以下情况中的任意一种或者多种：

1)SIB3中的cellReselectionPriority的值被配置成小于SIB7中的cellReselectionPriority的值；

2)系统消息被配置成不发送SIB5给终端；

3)一个网络侧设备发送给终端的SIB5中dl-CarrierFreq的值不是运营商常用的频点；

4)threshX-High和threshX-Low配置的值较高；

5)qHyst较大，或者Qoffset较大，或者两个都较大；

6)在接入层安全没有激活的情况下，基站下发RRCConnectionRelease消息让终端重定向到GSM小区。

本申请第三方面及各种实现方式在检测到候选伪基站时，可以不进行安全验证流程而直接对用户进行提示，从而可以更快速地提示伪基站威胁，方便用户及时知道潜高威胁。第三方面及其各种实现方式与第一方面及其各种实现方式可以是两种可配置的方案，可都在终端中实现，运行时让用户选择哪一种，也可以是终端中只具有其中一种。

此外，还可以在执行完第三方面及其各种实现方式后，再加入第一方面中的安全流程验证，来进一步确认是否是真伪基站，然后再给出相应的防御措施，也即在这种实现方式中，防御措施有两次，第一次可能不是特别准确，但能快速地提示，第二次会更加准确，从而让用户更及时、准确地了解终端连接的基站是不是伪基站并采取对应的措施，减少用户的损失。需要说明的是，在这种情况下，第一次防御措施不能采用第三方面第一种实现方式中的第1)种防御措施(因为此时已经可能接入到正常的小区，执行安全验证流程对确认是否是真伪基站没有意义)，但可以采用第2)、3)种防御措施。

第四方面，本申请公开了一种终端，包括一个或多个处理器、存储器；所述存储器用于存储指令；所述一个或多个处理器用于读取所述存储器存储的指令来执行如第三方面以及第三方面各种实现方式任一所述的方法。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术一种伪基站工作流程；

图2为本发明实施例一提供的一种伪基站识别方法；

图3为本发明实施例三提供的一种安全验证方法；

图4为本发明实施例三提供的另一种安全验证方法；

图5为本发明实施例三提供的另一种安全验证方法；

图6为本发明实施例五提供的一种终端的结构图。

具体实施方式

下面结合各附图，对本发明的各个实施例进行描述。

实施例一

参见图2，本发明实施例一提供了一种伪基站防御方法，该方法由终端执行。这里的终端(或者也可称终端、用户设备)是指跟网络侧设备相对应的设备，可以包括手机、平板电脑、PC机等各种支持运营商各代无线通信业务(如2G、3G、4G)的设备。“网络侧设备”是指由运营商提供的跟终端相互配合来完成无线通信的设备，可以包括基站，各种核心网侧设备。在本申请中，“伪基站”也属于网络侧设备，由不法分子提供。

需要说明的是，本发明各实施例中，对于终端来讲，并不关心网络侧设备的具体的软硬件实现，终端只负责对接收到的无线信号进行处理，即网络侧设备对于终端来说是个黑盒，只要这些设备能够发送符合通信协议且能够被终端处理的信号，终端就会进行处理。此外，需要指出的是，“伪基站”虽然被称为“基站”，但实际上，该“基站”也具有一部分正常网络中非“基站”的一些设备的功能，例如，具有核心网设备的功能，为了叙述方便，本发明各实施例并不严格将“伪基站”各部分功能单独拆分开来详细描述，而是统一使用伪基站作为一个整体进行描述。

本实施例中，终端的结构可以是基于各种现有的终端的结构，如图1所示，一个典型的终端(如手机)在硬件上可以包括无线收发器(如天线)、处理器、存储器、输入输出设备(如显示器、触摸屏)等部件，其中，处理器可以是一块集成了具有基带模块(用于进行调制解调、通信协议处理等)的芯片。在另一实施例中，也可以将基带模块从集成的处理器芯片中独立出来，即将带模块单独做一块基带芯片，去除了基带功能的处理器再单独做一块芯片，这些硬件架构以及具体的实现方式都为现有技术，并不赘述。

终端与网络侧设备的交互为现有技术，以4G网络为例，终端会先搜索网络侧设备提供的网络，然后驻留到一个小区。在空闲态时，终端会发起重选流程，如果有更合适的小区，会通过小区重选流程驻留到该新的小区。如果伪基站此时提供了与正常基站相同的频点，同时，使用了更高的发射功率，则终端会驻留到伪基站上。

参见图1，本实施例提供的一种伪基站防御方法包括：

S11、在进行小区重选(cell reselection)或者小区选择(cell selection)时，根据网络侧设备发送的系统消息获取用于小区重选或者小区选择的系统消息配置。

终端在进行小区重选(即从一个驻留的小区重选到另一个小区驻留)或者小区选择(例如，第一次开机选择或者从一个无信号的盲区进入一个有信号覆盖的覆盖区)的过程中，会通过标准规定的交互方式与网络侧设备进行交互，并获取一些系统消息(如MasterInformationBlock消息、各种SystemInformationBlockType消息)，这些系统消息的配置(下文简称“系统消息配置”)决定着终端采取什么样的策略进行小区重选或者小区选择。具体的，系统消息配置可以指系统消息中的一些参数的配置，也可以指有无特定的系统消息等。

获取小区系统消息的具体实现是现有技术，例如，终端需要在小区驻留时，一般要先获取SystemInformationBlockType1，SystemInformationBlockType2消息，然后可以在驻留后获取SystemInformationBlockType3(SIB3)，SystemInformationBlockType5(SIB5)之类的消息，当然，也可以在驻留前获取SIB3消息、SIB5消息。这些具体的实现都是现有技术，这里并不赘述。

S12、当系统消息配置为用于尽量让终端驻留在当前小区而不通过小区重选或者小区选择到其他小区的非正常配置时，确定网络侧设备为候选伪基站。

“系统消息配置为用于优先小区重选或者小区选择的非正常配置”表示网络侧设备不希望终端能够优先重选或者选择到某个小区，同时，其系统消息配置并不是正常的配置。由于伪基站通常都不希望终端通过重选或者小区选择回到正常的小区，因此，会想办法让终端一直驻留在伪基站提供的小区，所以，如果系统消息配置也是用于让终端尽量驻留在当前小区的非正常配置时，说明该网络侧设备有很大概率是一个有非法目的非正常设备(虽然也有可能确实是正常的设备)，因此将其先判断成一个“候选伪基站”，限定词“候选”表明本实施例中，通过此方案判断出来的伪基站并不确定一定是真的伪基站，而是作为一个“候选”，更准确的判断结果还需要经过后续流程才能得到。

用于判断是否是候选伪基站的系统消息可以为一个或多个，系统消息配置可以是系统消息中一个或多个参数(即某些字段的值)的值、或者有没有携带某些参数；系统消息配置也可以是指有没有发送某些系统消息。当通过系统消息中一个或多个参数来判断是否是非正常配置时，可以基于一个或多个参数的具体值来判断(如判断每个值是不是满足某个限定，如是否大于某个值)，也可以比较一些系统消息中的参数的相对值(如某个参数的值是不是大于另一个参数的值)，本申请并不对此进行限定。

S13、在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程。

其中，本实施例中的“安全验证流程”是指终端与网络侧设备相互进行安全验证的流程，包括但不限于用于加密、完整性保护相关的流程。安全验证流程可以基于NAS(Non-access stratum，非接入层)流程进行，具体可参见实施例三中的具体介绍。

S14、根据所述安全验证流程确认所述候选伪基站为真伪基站。

通过安全验证流程，可以判断网络侧设备是否能够通过安全验证和/或是否想进行安全验证，在网络侧设备通不过安全验证和/或不想进行安全验证时，可以将网络侧设备确认为真伪基站。

本实施例先通过系统消息配置来确定出候选伪基站，然后再通过安全验证流程来进一步确认，这样，可以更有效地检测出是否是真的伪基站，防止误判，用户体验更好。

实施例二

基于上述实施例，本实施例对系统消息配置进行介绍。由上述实施例可知，伪基站为了能够让终端进行小区重选(以下简称“重选”)或者小区选择(以下简称“选择”)时优先重选或者选择到伪基站自己，会有意地将系统消息配置的值配置成用于优先重选或者选择的值，而且这个值跟正常值的范围不一样，是个非正常的值，因此，当检测到有这种非正常配置时，有很大的概率是伪基站所为，可以初步判断成伪基站(本发明中称之为“候选伪基站”)。下面将通过各种示例来进行具体说明，为了描述方便，下文只针对“重选”的情况进行说明，针对“选择”的判断标准可以跟“重选”一样，并不赘述。

具体的，系统消息配置可以包括以下几种中的一种或者任意多种的组合：

1)SIB3、SIB7中的cellReselectionPriority参数的配置

本申请中，将SystemInformationBlockTypex简称为SIBx(x表示一个正整数)，例如，将SystemInformationBlockType 3称为SIB3，将SystemInformationBlockType 7称为SIB7等。

本申请中，其中一种“系统消息配置”是指SIB3、SIB7这两个系统消息当中的cellReselectionPriority参数的配置。这个参数是用于对小区重选优先级进行配置的参数，可以配置的范围是从0-7的8个整数值。正常情况下，在真实正常工作基站工作场景中，正常值是SIB3中的cellReselectionPriority的值被配置成大于SIB7中的cellReselectionPriority的值，例如，SIB3中服务小区的cellReselectionPriority配置为4-7，然后SIB7中的GERAN(GSM EDGE Radio Access Network，全球移动通讯系统及全球移动通讯系统增强数据率演进无线接入网)邻区的cellReselectionPriority配置为1-3。

当这种系统消息配置为非正常配置时，则SIB3中的cellReselectionPriority的值被配置成小于SIB7中的cellReselectionPriority的值，例如，SIB3中服务小区的cellReselectionPriority配置为4-6，然后SIB7中的GERAN邻区的cellReselectionPriority配置为7。

2)跟SIB5系统消息有关的配置

SIB5系统消息决定着终端在一个小区驻留后进行异频重选的状态，跟SIB5系统消息有关的配置具体可包括以下几种情况：

2.1)是否发送SIB5

正常情况下，都是会发送SIB5给终端，如果系统消息被配置成不发送SIB5给终端，则是非正常配置的情况。

具体的，系统消息被配置成不发送SIB5是通过配置SIB1来实现，具体实现方法为现有技术，这里并不赘述。

2.2)SIB5中的dl-CarrierFreq的值

如果网络侧设备向终端发送了SIB5，正常情况下，SIB5中的dl-CarrierFreq的值为分配给合法运营商使用的频点，而如果不是合法运营商所使用的频点，则为非正常配置。

例如，运营商中国移动经常使用的频点为38400、37900、38100、38350、38950、38098、39350、39150等频点，如果一个网络侧设备发送给终端的SIB5中dl-CarrierFreq的值不是上述中国移动常用的频点，则SIB5中dl-CarrierFreq的值为非正常配置。

2.3)SIB5中的cellReselectionPriority的值

如果网络侧设备向终端发送了SIB5，正常情况下，SIB5中的异频频点的重选优先级cellReselectionPriority参数(用于异频邻区重选)的值被配置为4-7。而如果这个值被配置为0，则该配置为非正常配置。或者，如果不配cellReselectionPriority参数(这个参数在SIB5当中是可选项，可以不配置这个参数，如果不配，则不会重选)，在这种情况下，也是非正常配置。

2.4)SIB5中的threshX-High和threshX-Low的值

threshX-High和threshX-Low分别是高优先级异频重选门限和低优先级异频重选门限，可配置范围是0-31的整数。真实基站中，两个值的典型配置一般都为11左右。在threshX-High为11、q-RxLevMin(驻留门限值)为-62(取典型配置值)的情况下，高优先级邻区的RSRP(Reference Signal Receiving Power，参考信号接收功率)值只要大于(-62*2+11*2＝-102dB)时就可以重选。而如果该值被配置得较大，例如被配置为31。那么在q-RxLevMin仍为-62的情况下，则需要高优先级邻区的RSRP值大于(-62*2+31*2＝-62dB)才能满足重选条件。

threshX-Low的配置也与threshX-High类似，如果threshX-Low被配置成了31，也是需要邻区要高于-62dB，才有可能满足重选。

综上所述，threshX-High和threshX-Low配置的值越高，则满足重选条件的邻区能量也越高，也就较难重选。因此，如果threshX-High和threshX-Low配置的值较高，就认为是非正常配置。其中，本申请中，“较高”可以理解成跟“最高”接近的值，其具体值可以结合实际情况进行设定，通常可以在1-3个等级之内。下文中的“较大”也表示相同的含义，即跟“最大”接近的值。

3)SIB3中的cellReselectionPriority参数的配置

终端在一个小区驻留后，还会进行同频重选。同频重选的一个前提SIB3中的重选优先级cellReselectionPriority参数的值与服务小区(即终端驻留的小区)相同，在进行同频重选时，需要通过计算R值来进行重选评估的，具体的，重选评估时需要Rs(服务小区的R值)<Rn(邻区的R值)，才能满足重选条件。

服务小区的R值(即Rs)是由测量值加上q-Hyst计算得出的，即：

Rs＝测量值+qHyst

而同频邻区的R值(即Rn)是由测量值减去Qoffset得出的，即：

Rn＝测量值–Qoffset

其中，q-Hyst以及Qoffset都位于SIB3中。

如果qHyst设置较大，或者Qoffset设置较大，或者两者都设置较大，则Rs<Rn这个频重选条件就难满足，也就不会发生同频重选而重选到另一个基站。

因此，可以根据SIB3中的qHyst以及Qoffset这两个参数中的至少一个的值来判断SIB3是否是非正常配置，如果qHyst较大，或者Qoffset较大，或者两个都较大，则认为是非正常配置。

例如，正常基站的qHyst一般设置0-3dB左右，Qoffset一般不设/配置(该参数是可选参数，可以有，也可以没有)或者即使设置也是-3dB到3dB左右。如果qHyst的值被配置为24dB，即使Qoffset不设置，同频邻区也需要比伪基站小区能量高24dB时才能重选，说明此时网络侧设备为了让终端尽量驻留到它提供的小区而不重选到其他小区，很有可能该网络侧设备是个伪基站(伪基站不希望用户驻留到其他正常小区，而一直希望用户驻留到伪基站提供的小区)。

以上实施例都出现了较大、较高之类的说法，其中“较”表示跟通常配置不一样，具体的值可以根据各种应用场景中的经验值来定，如果比经验值来高，即可认为是较高。并且，需要注意的是，经验值在各个运营商、各种网络环境下并非完全一致，此时，有可能会出现一个地区A的经验值会比另一个地区B的高，从而，A地区的正常值相比于地区B是个非正常值的情况。

4)通过RRCConnectionRelease消息来判断

RRCConnectionRelease是一条4G空口消息，这个消息在连接(即终端驻留到小区后需要进行发信令、数据业务等需要的连接)建立后由网络下发，指示终端释放到空闲态，或者指示终端重定向到各种代别、制式网络中的其他小区。其中，重定向是指协议中定义的Redirect流程，即在RRCConnectionRelease消息中携带如下信元。

终端收到RRCConnectionRelease消息后，会根据消息中携带的信元重新搜索并驻留到4G或3G或2G的另外的小区。

正常情况下，在进行重定向流程时，由于GSM本身安全性并不够，如果在接入层安全没有激活的情况下，基站不会下发RRCConnectionRelease消息让终端重定向到GSM小区；反之，如果在接入层安全没有激活的情况下，基站下发RRCConnectionRelease消息让终端重定向到GSM小区，则认为是非正常配置。

上述各个条件可以单独使用，也可以结合其中任意多个一起使用来判断是否是非正常配置。

实施例三

基于以上实施例，在判断出候选伪基站后，一种实现方式是直接将该候选伪基站认为是一个真的伪基站，然后启动实施例四中的各种防御措施。本实施例中，为了防止误判，并不直接执行实施四中的各种防御措施，而是进一步发起安全验证流程，根据该安全验证流程来进一步确认候选伪基站是否真的伪基站，确认是真的伪基站后才执行防御措施。

本实施例对NAS流程进行具体介绍。终端在通过上述实施例中提到的各种方法判断出与其交互的网络侧设备(本实施例中，也简称为“网络”)为候选伪基站后，终端可以选择先在该候选伪基站提供的小区驻留(即即使知道可能是个伪基站，但仍然先驻留到这个“伪基站”上)，然后通过NAS流程来进一步判断候选伪基站是否是真的伪基站。

终端在从一个小区A重选到另一个小区B时，会检测在驻留到之前的小区A过程中从网络侧设备接收到的TAC(tracking area code，跟踪区域码，位于SIB1中)与驻留到当前小区B过程中从网络侧设备接收到的TAC是否相同，根据两个TAC是否相同，可以有几种不同的方法来判断是否是伪基站。其中，如何检测并比较TAC是否相同是现有技术(例如，保存一下先前的TAC，然后再与当前保存的TAC相比较)，这里并不赘述。

下面分别针对TAC不同以及相同的情况下如何判断是否是伪基站的情况进行具体说明。

1)当伪基站小区TAC与正常网络不同，发起TAU流程(携带安全密钥)、协议规定必须带安全密钥；或者

2)当伪基站小区TAC与正常网络相同，发起SERVICE，或者

3)当伪基站小区TAC与正常网络相同，发起TAU不携带安全密钥。

情况1)：两个TAC不相同

参见图3，在不相同的情况下，终端与网络侧设备(可能是真实无线网络中的设备，或者为伪基站)一种可能的交互如下所示：

1、UE发生小区选择或重选，接收小区的系统消息。

2、根据系统消息初步判断可能为伪基站(即判断出为候选伪基站)，并且TAC变更。

以上两步具体的实现可参考前述各实施例，这里不再赘述。

3、UE向网络侧设备发送TAU Request消息。

按协议规定，如果两个TAC不相同，则终端会向网络侧设备发送TAU Request消息，具体的，终端发起一个建链过程，在连接建立完成阶段终端会发送一个RRCConnectionSetupComplete消息，TAU Request消息就被携带在这个消息里。

4、网络侧设备收到TAU Request，向终端回复用于查询终端IMSI(InternationalMobile Subscriber Identity，国际移动用户识别码)的Identity Request消息。

网络侧设备收到TAU Request后会回复Identity Request消息，IdentityRequest消息中携带有用于查询终端Identify Request消息的。根据协议规定，网络侧设备可以使用明文方式下发Identity Request消息要求终端上报IMSI，或者使用加密/经过完整性保护的方式下发Identity Request消息。

5、终端收到Identity Response消息后，回复Identity Response消息，同时，带上终端的IMSI。其中，回复Identity Response消息可以及明文的方式进行回复。

6、网络侧设备发送TAU Accept或者TAU Reject。

由于TAU Accept必须是要经过完整性保护的，所以如果网络回复的是经过完整性保护校验的TAU Accept，那么网络可认为是真实的网络。而如果网络回复的是TAU Reject，并且TAU Reject以及在第5步中终端收到的Identity Request消息都是以明文方式发送的，那么可将网络设备判断为伪基站，当前接入的小区为伪基站提供的小区。这是因为伪基站通常一个主要的目的是获取用户的IMSI，同时，伪基站不知道终端使用的安全参数，无法通过完整性保护，因此，为了获取IMSI，会使用明文的方式下发Identity Request消息要求UE上报IMSI，同时，由于无法通过完整性保护校验，只能回复TAU Reject。基于上述分析，当终端判断接收到的是明文的用于查询终端IMSI的Identity Request消息，并且在接收到的是TAU Reject，可判断网络侧设备为伪基站。

在判断出是伪基站后，可以执行相应的防御措施，例如，可以通过步骤7-9来通过重选回归到原来正常的小区。

7、识别驻留小区为伪基站小区，则UE主动发起释放连接。也即不再与候选伪基站提供的小区连接。

8、UE重新启动搜网，而搜网时优先搜索其他频点，以便更大概率的返回正常网络，在其他频点搜不到小区时，才再次搜索该频点。

9、UE回到正常网络(也即正常小区)驻留后，启动邻区测量以将之前判决出的伪基站小区加入黑名单中，避免再次重选到伪基站小区。

情况2)：TAC相同

参见图4，UE与网络侧设备的交互在TAC相同的情况下，一种交互流程如下：

1、UE发生小区选择或重选，接收小区的系统消息。

2、根据系统消息初步判断可能为伪基站(即判断出为候选伪基站)，并且TAC没有改变。

3、终端在判断出TAC不同的情况下，通过发送Service Request消息来主动发起SERVICE流程。

4、RRC连接建立过程，RRC连接建立成功。

5、网络下发UE能力查询以及UE能力上报过程，此过程有可能有，也有可能没有，取决于网络是否保存有本UE的UE能力信息。

6、由于上一次进入IDLE态的时候UE和网络都会删除AS的安全上下文，所以正常网络此时会通过下发SecurityModeCommand来激活UE的安全验证(包括加密、完整性保护校验)，并且SecurityModeCommand是经过完整性保护的。

7、UE收到SecurityModeCommand后，需要对其进行完整性保护校验，正常情况下，终端和网络侧设备都会存储进行完整性保护校验所需的密钥(K_RRCint)，因此，校验能够通过，然后终端向网络回复网络SecurityModeComplete消息，之后启动完整性保护。由于此时的SERVICE流程是终端主动发起的，实际可能没有数据发送，所以网络不活动定时器超时后会释放终端的RRC连接，流程结束。

8、如果网络侧设备是伪基站，则伪基站不知道UE的K_RRCint，所以不可能给UE下发经过完整性保护的SecurityModeCommand，因为如果下发，UE也不可能完整性保护校验通过。也就是伪基站不可能将AS的安全和完整性保护激活，那也就无法建立DRB(协议规定DRB必须是AS安全激活以后建立的)，那么NAS的SERVICE流程的保护定时器(T3417)就会超时，将RRC连接释放。因此，如果在一定时间内未收到SecurityModeCommand或者收到SecurityModeCommand但完整性保护校验失败，则可认为是伪基站，可以执行相应的防御措施，如步骤9-10所示。

9、UE重新启动搜网，而搜网时优先搜索其他频点，以便更大概率的返回正常网络，在其他频点搜不到小区时，才再次搜索该频点。

10、UE回到正常网络驻留后，启动邻区测量以将之前判决出的伪基站小区加入黑名单中，避免再次重选到伪基站小区。

情况3)：TAC相同

参见图5，为在这种情况下的另一种实现方法，包括：

1、UE发生小区选择或重选，接收小区的系统消息。

2、根据系统消息初步判断可能为伪基站(即判断出为候选伪基站)，并且TAC没有改变。

3、终端向网络侧设备主动发送TAU Request消息，但不携带安全密钥，同时启动T3430定时器。在情况1)中，终端发送的TAU Request是基于标准流程，会携带密钥。本实施例中，不在TAU Request中携带密钥。

4、如果是正常网络，在发现UE没有携带安全参数时，会下发TAU Accept并携带安全参数，而伪基站则不会下发TAU Accept。所以如果正常收到TAU Accept并且携带安全参数，则为正常基站，按照正常流程处理即可。

5、如果T3430超时也未收到TAU Accept，或者收到了TAU Reject，则识别为伪基站小区，开始通过主动释放连接来进行防御。

6、UE重新启动搜网，而搜网时优先搜索其他频点，以便更大概率的返回正常网络，在其他频点搜不到小区时，才再次搜索该频点。

7、UE回到正常网络驻留后，启动邻区测量以将之前判决出的伪基站小区加入黑名单中，避免再次重选到伪基站小区。

实施例四

基于上述各实施例，本实施例提供了在判断为候选伪基站后可以进行的一些防御措施。其中，一种防御措施在实施例三中有提及，即通过主动释放连接，并且重新启动搜索网(优先选择其他频点)，还可以在回到正常网络驻留后，启动邻区测量，将之前判决出的伪基站小区加入黑名单中，避免再次重选到伪基站小区。具体可参见例如情况1)中的步骤7-9。

此外，还可以通过一些用户交互类的措施来提醒用户，例如，可以直接提醒(弹出一个对话框，提示有伪基站，让用户选离该地方，或者对收到的短信要注意一下，不要点击链接，防止上当等)。

此外，还可以强制将某些应用(如短信)的访问等级提高，例如，需要通过密码或者指纹等验证信息才能访问。

上述各种方法可以一起使用，或者也可以只使用其中任何一种(如不跟用户交互，直接执行实施例三中的重选；或者只与用户交互，而不选择重选(以防误判)。

实施例五

基于以上各实施例，参见图6，本实施例公开了一种终端61，可以是智能手机、平板、笔记本、电子阅读器、智能手表等能够连接网络且可以被伪基站攻击的设备。

终端包括一个或多个处理器611以及存储器612(通常包括存取速度相对比较快的内存以及其他例如flash/硬盘之类的存取速度相对比较慢但容量比较大的非易失性存储器)，处理器用于读取存储在存储器中的代码来执行上述各实施例中的流程。此外，也不限定使用一些硬件电路(如ASIC或者FPGA)来完成其中一些功能或者所有功能。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

上举较佳实施例，对本发明的目的、技术方案和优点进行了进一步详细说明，所应理解的是，以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (16)

1.一种伪基站识别以及防御方法，其特征在于，由终端执行，包括：

在进行小区重选(cell reselection)或者小区选择(cell selection)时，根据网络侧设备发送的系统消息获取用于小区重选或者小区选择的系统消息配置；

当所述系统消息配置为非正常配置时，确定所述网络侧设备为候选伪基站；

在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；

根据所述安全验证流程确认所述候选伪基站为真伪基站。

2.根据权利要求1所述的方法，其特征在于，所述当系统消息配置为非正常配置时，确定网络侧设备为候选伪基站包括：

当系统消息配置为用于尽量让所述终端驻留在当前小区而不通过小区重选或者小区选择到其他小区的非正常配置时，确定所述网络侧设备为所述候选伪基站。

3.根据权利要求1或2所述的方法，其特征在于：

所述系统消息配置为非正常配置包括以下情况中的任意一种或者多种：

1)SIB3中的cellReselectionPriority的值被配置成小于SIB7中的cellReselectionPriority的值；

2)系统消息被配置成不发送SIB5给所述终端；

3)一个网络侧设备发送给终端的SIB5中dl-CarrierFreq的值不是运营商常用的频点；

4)threshX-High和threshX-Low配置的值较高；

5)qHyst较大，或者Qoffset较大，或者两个都较大；

6)在接入层安全没有激活的情况下，基站下发RRCConnectionRelease消息让终端重定向到GSM小区。

4.根据权利要求1-3任一所述的方法，其特征在于，所述根据所述安全验证流程确认所述候选伪基站为真伪基站包括：

在所述网络侧设备通不过安全验证和/或不想进行安全验证时，确认所述候选伪基站为真伪基站。

5.根据权利要求1-4任一所述的方法，其特征在于，所述终端从驻留到之前的小区过程中从所述网络侧设备接收到的跟踪区域码TAC与驻留到当前小区过程中从所述网络侧设备接收到的TAC不相同；相应地，

在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；根据所述安全验证流程确认所述候选伪基站为真伪基站包括：

在候选伪基站所在的小区的驻留后，向所述网络侧设备发送TAU request消息；

接收所述网络侧设备回复的用于要求所述终端上报国际移动用户识别码IMSI的Identity Request消息；

向所述网络侧设备发送用于回复所述Identity Request消息的Identity Request消息，同时，带上所述终端的IMSI；

当接收到所述网络侧设备发送的TAU reject，且所述TAU Reject以及在收到的所述Identity Request消息都是以明文方式发送的，确认所述候选伪基站为所述真伪基站。

6.根据权利要求1-4任一所述的方法，其特征在于，所述终端从驻留到之前的小区过程中从所述网络侧设备接收到的跟踪区域码TAC与驻留到当前小区过程中从所述网络侧设备接收到的TAC相同；相应地，

在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；根据所述安全验证流程确认所述候选伪基站为真伪基站包括：

在候选伪基站所在的小区的驻留后，向所述网络侧设备发送Service Request消息来发起SERVICE流程；

当在一定时间内未收到所述SecurityModeCommand或者收到所述SecurityModeCommand但进行完整性保护校验失败后，确认所述候选伪基站为所述真伪基站。

7.根据权利要求1-4任一所述的方法，其特征在于，所述终端从驻留到之前的小区过程中从所述网络侧设备接收到的跟踪区域码TAC与驻留到当前小区过程中从所述网络侧设备接收到的TAC相同；相应地，

在候选伪基站所在的小区的驻留后，向所述候选伪基站发起安全验证流程；根据所述安全验证流程确认所述候选伪基站为真伪基站包括：

在候选伪基站所在的小区的驻留后，向所述网络侧设备发送TAU Request消息，但不携带密钥，同时启动T3430定时器；

当所述T3430定时器超时，或者收到了TAU Reject，则所述安全和完整性保护校验未能通过，确认所述候选伪基站为所述真伪基站。

8.根据权利要求1-7任一所述的方法，其特征在于，在确认所述候选伪基站为所述真伪基站后，所述方法还包括：

对所述真伪基站进行防御处理，以降低所述真伪基站对所述终端的用户造成的危害。

9.根据权利要求8所述的方法，其特征在于，所述对所述真伪基站进行防御处理包括以下几种方法中的任意一种或者多种的组合：

1)释放与当前驻留的小区的连接；

启动搜网流程以回到正常小区，其中，在所述搜网流程中，优先搜索频点与释放连接之前驻留的小区的频点不同的小区；

2)通过用户交互类措施提醒当前有伪基站；

3)提高特定应用的安全访问等级。

10.根据权利要求9所述的方法，其特征在于：在方法1)中，在回到正常小区后，还包括：

启动邻区测量以将所述真伪基站的小区加入黑名单，避免再次重选到所述真伪基站的小区。

11.一种终端，其特征在于，包括一个或多个处理器、存储器；

所述存储器用于存储指令；

所述一个或多个处理器用于读取所述存储器存储的指令来执行如权利要求1-10任一所述的方法。

12.一种伪基站防御方法，其特征在于，由终端执行，包括：

在进行小区重选(cell reselection)或者小区选择(cell selection)时，根据网络侧设备发送的系统消息获取用于小区重选或者小区选择的系统消息配置；

当系统消息配置为非正常配置时，确定所述网络侧设备为候选伪基站；

对所述候选伪基站进行防御处理，以降低所述真伪基站对所述终端的用户造成的危害。

13.根据权利要求12所述的方法，其特征在于，所述对所述候选伪基站进行防御处理包括以下几种方法中的任意一种或者多种的组合：

1)释放与当前驻留的小区的连接；

启动搜网流程以回到正常小区，其中，在所述搜网流程中，优先搜索频点与释放连接之前驻留的小区的频点不同的小区；

2)通过用户交互类措施提醒当前有伪基站；

3)提高特定应用的安全访问等级。

14.根据权利要求12或13所述的方法，其特征在于，所述当系统消息配置为非正常配置时，确定网络侧设备为候选伪基站包括：

当系统消息配置为用于尽量让终端驻留在当前小区而不通过小区重选或者小区选择到其他小区的非正常配置时，确定所述网络侧设备为所述候选伪基站。

15.根据权利要求14所述的方法，其特征在于：

所述系统消息配置为非正常配置包括以下情况中的任意一种或者多种：

1)SIB3中的cellReselectionPriority的值被配置成小于SIB7中的cellReselectionPriority的值；

2)系统消息被配置成不发送SIB5给终端；

3)一个网络侧设备发送给终端的SIB5中dl-CarrierFreq的值不是运营商常用的频点；

4)threshX-High和threshX-Low配置的值较高；

5)qHyst较大，或者Qoffset较大，或者两个都较大；

6)在接入层安全没有激活的情况下，基站下发RRCConnectionRelease消息让终端重定向到GSM小区。

16.一种终端，其特征在于，包括一个或多个处理器、存储器；

所述存储器用于存储指令；

所述一个或多个处理器用于读取所述存储器存储的指令来执行如权利要求12-15任一所述的方法。