CN112672341B - 伪基站识别方法、装置和计算机可读存储介质 - Google Patents

Abstract

本公开涉及一种伪基站识别方法、装置和计算机可读存储介质，涉及通信安全技术领域。该方法包括：响应于终端切换服务基站，接收终端发来的加密的服务基站信息，服务基站信息能够唯一标识服务基站；根据加密的服务基站信息，识别服务基站是否为伪基站；对识别结果加密后作为回复消息发送给终端，以便终端识别服务基站是否为伪基站。

Description

伪基站识别方法、装置和计算机可读存储介质

技术领域

本公开涉及通信安全技术领域，特别涉及一种伪基站识别方法、伪基站识别装置和计算机可读存储介质。

背景技术

接入移动网络的终端，是根据无线信号强弱进行主服务区的选择的。但终端移动到某个信号更强的基站小区时，就要根据情况切换服务基站小区，这时就有可能存在伪基站的侵入。

伪基站通常以高于核心网基站的功率运行。它会模拟运营商的网络，误导用户终端在伪基站驻留，以获取用户终端号码后向用户发送欺诈、广告推销等短消息。这不仅影响用户终端的正常通讯，甚至会给用户造成财务损失。

在相关技术中，主要是通过对基站的特征数据进行加解密处理，利用鉴权过程排除伪基站。

发明内容

本公开的发明人发现上述相关技术中存在如下问题：无法对透传式侵入伪基站进行有效识别，导致通信网络安全性低。

鉴于此，本公开提出了一种伪基站识别技术方案，能够提高通信网络安全性。

根据本公开的一些实施例，提供了一种伪基站识别方法，包括：响应于终端切换服务基站，接收所述终端发来的加密的服务基站信息，所述服务基站信息能够唯一标识所述服务基站；根据所述加密的服务基站信息，识别所述服务基站是否为伪基站；对识别结果加密后作为回复消息发送给所述终端，以便所述终端识别所述服务基站是否为伪基站。

在一些实施例中，所述根据所述加密的服务基站信息，识别所述服务基站是否为伪基站包括：通过比较所述服务基站信息和预先建立的基站数据库中的合法基站信息，识别所述服务基站是否为伪基站。

在一些实施例中，所述对识别结果加密后作为回复消息发送给所述终端包括：对识别结果加密后作为回复消息发送给所述终端，以便所述终端根据是否收到所述回复消息识别所述服务基站是否为伪基站。

在一些实施例中，所述服务基站信息为所述终端响应于切换服务基站，通过所述服务基站发来的SIB(System Information Blocks，系统信息块)信息中获取。

在一些实施例中，所述接收所述终端发来的加密的服务基站信息包括：接收所述终端附在信令中发来的所述服务基站信息；或者接收所述终端通过应用层发来的所述服务基站信息。

在一些实施例中，所述服务基站信息通过通信网络的密钥进行加密。

根据本公开的另一些实施例，提供一种伪基站识别装置，包括：接收单元，用于响应于终端切换服务基站，接收所述终端发来的加密的服务基站信息，所述服务基站信息能够唯一标识所述服务基站；识别单元，用于根据所述加密的服务基站信息，识别所述服务基站是否为伪基站；发送单元，用于对识别结果加密后作为回复消息发送给所述终端，以便所述终端识别所述服务基站是否为伪基站。

在一些实施例中，所述识别单元通过比较所述服务基站信息和预先建立的基站数据库中的合法基站信息，识别所述服务基站是否为伪基站。

在一些实施例中，所述发送单元对识别结果加密后作为回复消息发送给所述终端，以便所述终端根据是否收到所述回复消息识别所述服务基站是否为伪基站。

在一些实施例中，所述服务基站信息为所述终端响应于切换服务基站，通过所述服务基站发来的SIB信息中获取。

在一些实施例中，所述接收单元接收所述终端附在信令中发来的所述服务基站信息；或者所述接收单元接收所述终端通过应用层发来的所述服务基站信息。

在一些实施例中，所述服务基站信息通过通信网络的密钥进行加密。

根据本公开的又一些实施例，提供一种伪基站识别装置，包括：存储器；和耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器装置中的指令，执行上述任一个实施例中的伪基站识别方法。

根据本公开的再一些实施例，提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述任一个实施例中的伪基站识别方法。

在上述实施例中，充分利用终端在切换服务基站时接收到的服务基站信息作为识别依据，并通过加密方式有效防止了透传式侵入伪基站对识别依据的篡改。这样，可以在对现有网络改动较小的情况下，有效识别透传式侵入伪基站，从而提高通信网络的安全性。

附图说明

构成说明书的一部分的附图描述了本公开的实施例，并且连同说明书一起用于解释本公开的原理。

参照附图，根据下面的详细描述，可以更加清楚地理解本公开，其中：

图1示出本公开的伪基站识别方法的一些实施例的流程图；

图2示出本公开的伪基站识别方法的另一些实施例的流程图；

图3示出本公开的伪基站识别方法的又一些实施例的流程图；

图4示出本公开的伪基站识别方法的一些实施例的示意图；

图5示出本公开的伪基站识别装置的一些实施例的框图；

图6示出本公开的伪基站识别装置的另一些实施例的框图；

图7示出本公开的伪基站识别装置的又一些实施例的框图。

具体实施方式

现在将参照附图来详细描述本公开的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本公开的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本公开及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为授权说明书的一部分。

在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

如前所述，通过对比较复杂的特征数据进行加解密处理来识别伪基站，需要增加数据链路或占用信令。这会影响用户终端进行位置更新和网络连接的速度。

而且，透传式侵入伪基站能够对用户与合法网络的信息进行透传，伪基站很容易就能介入通信进程。这导致目前尚无有效检测识别透传式侵入伪基站的解决办法。

针对这些技术问题，本公开基于基站信息配置通信流程，并结合通信流程及结果进行检测判定。这样，可以对透传式侵入伪基站进行有效识别，而且对现有网络改动较小，使得伪基站识别的实现简洁易行。例如，可以采用下面实施例实现。

图1示出本公开的伪基站识别方法的一些实施例的流程图。

如图1所示，该方法包括：步骤110，接收加密的服务基站信息；步骤120，识别是否为伪基站；和步骤130，加密发送识别结果。

在步骤110中，响应于终端切换服务基站，接收终端发来的加密的服务基站信息，服务基站信息能够唯一标识所述服务基站。例如，服务基站信息可以是服务基站的ID或位置等信息。

在一些实施例中，服务基站信息为终端响应于切换服务基站，通过服务基站发来的SIB信息中获取。例如，终端根据无线信号的强弱切换服务基站时，会接收到切换到的服务基站发来的SIB信息，终端可以从SIB信息中获取基站ID等服务基站信息。

在一些实施例中，接收终端附在信令中发来的服务基站信息或者接收终端通过应用层发来的服务基站信息。例如，终端可以通过在信令中增加相应字段将服务基站信息发送到网络侧。这样，可以对现有网络改动较小，使得伪基站识别的实现简洁易行。

在步骤120中，根据加密的服务基站信息，识别服务基站是否为伪基站。例如，服务基站信息通过通信网络的密钥进行加密。

在一些实施例中，通过比较服务基站信息和预先建立的基站数据库中的合法基站信息，识别服务基站是否为伪基站。例如，可以预先在核心网建立基站数据库，网络侧对接收到的加密信息进行解密，进而将解密后的服务基站信息发送给核心网的基站数据库进行分析比对，进而识别服务基站是否为伪基站。

在步骤130中，对识别结果加密后作为回复消息发送给终端，以便终端识别所述服务基站是否为伪基站。

在一些实施例中，终端接入了透传式侵入伪基站，透传伪基站无法解密回复消息，只能将回复消息透传给终端。在这种情况下，终端可以通过解密回复消息获取识别结果，从而获知接入了伪基站。

在一些实施例中，终端没有接入伪基站。在这种情况下，终端可以通过解密回复消息获取识别结果，从而获知没有接入伪基站。

在一些实施例中，对识别结果加密后作为回复消息发送给终端，以便终端根据是否收到所述回复消息识别服务基站是否为伪基站。例如，终端接入了伪基站，导致终端与核心网之间的通信被阻断。在这种情况下，终端无法接收到回复消息，从而可以判断接入了伪基站。

在上述实施例中，充分利用终端在切换服务基站时接收到的服务基站信息作为识别依据，并通过加密方式有效防止了透传式侵入伪基站对识别依据的篡改。这样，可以在对现有网络改动较小的情况下，有效识别透传式侵入伪基站，从而提高通信网络的安全性。

为了更加清楚地说明本公开的技术方案，下面从终端侧描述本公开的技术方案。

图2示出本公开的伪基站识别方法的另一些实施例的流程图。

如图2所示，在步骤210中，用户与网络启用加密通信。

在步骤220中，用户的基站小区更新。例如，用户的终端触发了位置基站小区更新，接入新基站。

在步骤230中，用户获取新基站的ID。例如，用户的终端可以从新基站发来的SIB信息中获取该基站的小区ID。

在步骤240中，加密基站ID传送至网络侧。例如，终端可以利用通信网络的密钥加密新基站的ID等特征值信息。终端可以通过将新基站的ID附着在信令中发送给网络侧，或通过应用层发送给网络侧。

在步骤250中，判断能否收到回复消息。例如，终端判断能否收到加密的回复消息字段，如果接收到了，则执行步骤260；如果没接收到，表明新基站不能对网络侧传送的回复消息字段进行解密，导致无法进行正确的消息回复流程，则执行步骤270。

在步骤260中，判断识别结果是否为伪基站。例如，终端接收到了返回的加密回复消息字段，解密后可以获取识别结果。

在一些实施例中，如果新基站的ID是合法基站ID,网络侧会返回新基站为真的识别结果给终端，则执行步骤280。

在一些实施例中，如果有伪基站通过透传方式接入，则终端会发送伪基站的ID给到网络侧。因为回复消息字段已经加密，透传式侵入伪基站无法更改该消息，则核心网络依据数据库会返回新基站为伪基站的识别结果给终端。在这种情况下，终端可以依据接收到的识别结果，执行步骤270。

在步骤270中，判定已经有伪基站接入到网络中，可以告警用户侧。

在步骤280中，终端可以判定新基站及当前网络是合法的。

为了更加清楚地说明本公开的技术方案，下面从网络侧描述本公开的技术方案。

图3示出本公开的伪基站识别方法的又一些实施例的流程图。

如图3所示，在步骤310中，建立基站数据库。例如，可以在网络侧建立一个包含合法服务基站的ID、服务小区位置等合法基站信息的数据库。

在步骤320中，接收终端发送的信息。例如，网络侧可以实时监测接收终端加密的包括服务基站ID的信息。

在步骤330中，解密该信息，并将接收的基站ID与基站数据库进行比较。例如，网络侧可以对接收的加密信息进行解密后，将基站ID、服务小区位置等服务基站信息送至数据库。进而将服务基站信息与数据库中的合法基站信息比较分析。

在步骤340中，判断是否为合法基站ID。例如，服务基站的ID与数据库中的某个合法基站的ID相匹配，则表明该服务基站是合法的，执行步骤350；如果服务基站的ID无法与数据库中的任何合法基站的ID相匹配，则表明该服务基站是非法的，执行步骤360。

在步骤350中，网络侧向终端发送基站ID为合法基站的加密信息。

在步骤360中，网络侧向终端发送基站ID为伪基站的加密信息。

图4示出本公开的伪基站识别方法的一些实施例的示意图。

如图4所示，合法用户本来可以与合法基站e-NodeB(Evolved Node Basement，演进型节点基站)直接通信，进而接入核心网络。但是，合法用户在切换服务基站时接入了透传式侵入伪基站。在这种情况下，伪基站通过伪终端拦截合法用户与e-NodeB之间的通信。

伪基站信号伪装新基站接入后，会触发位置基站小区更新。在这种情况下，合法用户的终端可以从伪基站发来的SIB信息中获取伪基站的基站小区ID作为服务基站ID。进而终端可以利用通信网络的密钥加密服务基站ID，并通过将服务基站ID附着在信令中或通过应用层将加密信息发送给网络侧。透传模式下的伪基站收到加密信息后，通过模拟伪终端经由e-NodeB再发送给网络侧。

网络侧的核心网络已预先建立了合法服务基站ID与位置信息的数据库。在接收到终端的加密信息后，网络侧可以对加密信息进行解密，将获取的服务基站ID(或服务小区位置等信息)送至数据库，进而可以将服务基站ID与数据库中的数据进行比较分析。

在数据库中的数据无法与服务基站ID相匹配的情况下，表明该服务基站ID是非法的。网络侧可以将相关的判定结果加密后，发送给终端侧。

在一些实施例中，伪基站无法对加密的判定结果进行解密，进而无法返回正确的消息流程。在这种情况下，可判定接入的服务基站是伪基站。

在一些实施例中，伪基站仍透传该判定结果到终端。在这种情况下，终端收到返回的加密的判定结果并对判定结果进行判定。进而，终端可依据判定结果判定已经有伪基站接入到网络中，对用户进行告警。

上述实施例中，配置包含合法服务基站的ID、小区位置等相关信息的数据库，作为网络侧判定的辅助依据之一。

相关通信信息以加密方式传送，通过配置终端与网络的通信流程方法作为检测识别依据。例如，将能否收到加密的回复消息字段作为判定依据之一。如果没有，表明服务基站不能对传送的基站ID信息进行解密及无法返回正确的消息流程，可检测判定服务基站是伪基站；对于透传式侵入伪基站，终端在完成流程方法后根据网络侧的识别结果判定是否有伪基站存在。

图5示出本公开的伪基站识别装置的一些实施例的框图。

如图5所示，伪基站识别装置5包括接收单元51、识别单元52和发送单元53。

接收单元51响应于终端切换服务基站，接收终端发来的加密的服务基站信息，服务基站信息能够唯一标识所述服务基站。例如，服务基站信息为终端响应于切换服务基站，通过服务基站发来的SIB信息中获取。服务基站信息通过通信网络的密钥进行加密。

在一些实施例中，接收单元51接收终端附在信令中发来的服务基站信息；或者接收单元51接收终端通过应用层发来的服务基站信息。

识别单元52根据加密的服务基站信息，识别服务基站是否为伪基站。例如，识别单元52通过比较服务基站信息和预先建立的基站数据库中的合法基站信息，识别服务基站是否为伪基站。

发送单元53对识别结果加密后作为回复消息发送给终端，以便终端识别服务基站是否为伪基站。例如，发送单元53对识别结果加密后作为回复消息发送给所述终端，以便终端根据是否收到回复消息识别服务基站是否为伪基站。

在上述实施例中，充分利用终端在切换服务基站时接收到的服务基站信息作为识别依据，并通过加密方式有效防止了透传式侵入伪基站对识别依据的篡改。这样，可以在对现有网络改动较小的情况下，有效识别透传式侵入伪基站，从而提高通信网络的安全性。

图6示出本公开的伪基站识别装置的另一些实施例的框图。

如图6所示，该实施例的伪基站识别装置6包括：存储器61以及耦接至该存储器61的处理器62，处理器62被配置为基于存储在存储器61中的指令，执行本公开中任意一个实施例中的伪基站识别方法。

其中，存储器61例如可以包括系统存储器、固定非易失性存储介质等。系统存储器例如存储有操作系统、应用程序、引导装载程序(Boot Loader)、数据库以及其他程序等。

图7示出本公开的伪基站识别装置的又一些实施例的框图。

如图7所示，该实施例的伪基站识别装置7包括：存储器710以及耦接至该存储器710的处理器720，处理器720被配置为基于存储在存储器710中的指令，执行前述任意一个实施例中的伪基站识别方法。

存储器710例如可以包括系统存储器、固定非易失性存储介质等。系统存储器例如存储有操作系统、应用程序、引导装载程序(Boot Loader)以及其他程序等。

伪基站识别装置7还可以包括输入输出接口730、网络接口740、存储接口750等。这些接口730、740、750以及存储器710和处理器720之间例如可以通过总线760连接。其中，输入输出接口730为显示器、鼠标、键盘、触摸屏等输入输出设备提供连接接口。网络接口740为各种联网设备提供连接接口。存储接口750为SD卡、U盘等外置存储设备提供连接接口。

本领域内的技术人员应当明白，本公开的实施例可提供为方法、系统、或计算机程序产品。因此，本公开可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本公开可采用在一个或多个其中包含有计算机可用程序代码的计算机可用非瞬时性存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

至此，已经详细描述了根据本公开的伪基站识别方法、伪基站识别装置和计算机可读存储介质。为了避免遮蔽本公开的构思，没有描述本领域所公知的一些细节。本领域技术人员根据上面的描述，完全可以明白如何实施这里公开的技术方案。

可能以许多方式来实现本公开的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本公开的方法和系统。用于所述方法的步骤的上述顺序仅是为了进行说明，本公开的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本公开实施为记录在记录介质中的程序，这些程序包括用于实现根据本公开的方法的机器可读指令。因而，本公开还覆盖存储用于执行根据本公开的方法的程序的记录介质。

虽然已经通过示例对本公开的一些特定实施例进行了详细说明，但是本领域的技术人员应该理解，以上示例仅是为了进行说明，而不是为了限制本公开的范围。本领域的技术人员应该理解，可在不脱离本公开的范围和精神的情况下，对以上实施例进行修改。本公开的范围由所附权利要求来限定。

Claims (10)

1.一种伪基站识别方法，包括：

响应于终端切换服务基站并接入了所述服务基站，接收所述终端发来的加密的服务基站信息，所述服务基站信息能够唯一标识所述服务基站，所述服务基站信息通过通信网络的密钥进行加密；

根据所述加密的服务基站信息，识别所述服务基站是否为透传伪基站；

对识别结果加密后作为回复消息发送给所述终端，以便所述终端根据是否能够通过所述服务基站收到所述回复消息，识别所述服务基站是否为伪基站。

2.根据权利要求1所述的伪基站识别方法，其中，所述根据所述加密的服务基站信息，识别所述服务基站是否为伪基站包括：

通过比较所述服务基站信息和预先建立的基站数据库中的合法基站信息，识别所述服务基站是否为伪基站。

3.根据权利要求1所述的伪基站识别方法，其中，

所述服务基站信息为所述终端响应于切换服务基站，通过所述服务基站发来的系统信息块SIB信息中获取。

4.根据权利要求1-3任一项所述的伪基站识别方法，其中，所述接收所述终端发来的加密的服务基站信息包括：

接收所述终端附在信令中发来的所述服务基站信息；或者

接收所述终端通过应用层发来的所述服务基站信息。

5.一种伪基站识别装置，包括：

接收单元，用于响应于终端切换服务基站并接入了所述服务基站，接收所述终端发来的加密的服务基站信息，所述服务基站信息能够唯一标识所述服务基站，所述服务基站信息通过通信网络的密钥进行加密；

识别单元，用于根据所述加密的服务基站信息，识别所述服务基站是否为透传伪基站；

发送单元，用于对识别结果加密后作为回复消息发送给所述终端，以便所述终端根据是否能够通过所述服务基站收到所述回复消息，识别所述服务基站是否为伪基站。

6.根据权利要求5所述的伪基站识别装置，其中，

所述识别单元通过比较所述服务基站信息和预先建立的基站数据库中的合法基站信息，识别所述服务基站是否为伪基站。

7.根据权利要求5所述的伪基站识别装置，其中，

所述服务基站信息为所述终端响应于切换服务基站，通过所述服务基站发来的系统信息块SIB信息中获取。

8.根据权利要求5-7任一项所述的伪基站识别装置，其中，

所述接收单元接收所述终端附在信令中发来的所述服务基站信息；或者

所述接收单元接收所述终端通过应用层发来的所述服务基站信息。

9.一种伪基站识别装置，包括：

存储器；和

耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行权利要求1-4任一项所述的伪基站识别方法。

10.一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现权利要求1-4任一项所述的伪基站识别方法。