4G偽基站問題及影響分析

【關鍵字】分析4G偽基站問題與分析14G偽基站的影響分析通過測試，共發(fā)現(xiàn)13處偽基站，是北京4G建網(wǎng)以來首次發(fā)現(xiàn)，主要出現(xiàn)在機場高速收費站、各高速檢查站、出入口、懷柔市區(qū)主干道。分公司偽基站位置順義貨運北路5號滑行橋順義機場高速收費站順義4緯路與6經(jīng)路交叉口順義機場二高速收費站懷柔G111與南環(huán)路隧道交叉口懷柔范歧路與G111交叉口南150米懷柔京承14出口輔路東側懷柔京承15出口中影基地南側南150米懷柔湯河口檢查站懷柔寶山寺檢查站通州通州永樂收費站密云古北口檢查站平谷平谷岳各莊大橋由于4G偽基站存在的干擾情況，周邊基站切換成功率及RRC重建比率惡化嚴重，受影響的17個小區(qū)，切換成功率指標平均惡化28%，RRC重建問題比例惡化約19%。嚴重影響用戶感知。小區(qū)號最大切換成功率最小切換成功率最大RRC重建比例最小RRC重建比例朝陽機場南線T3收費站HL-199.99%99.77%3.46%0.19%朝陽機場南線T3收費站HL-399.96%25.34%28.60%0.35%懷柔寶山寺HL-199.42%77.92%31.48%0.15%懷柔彩各莊東北HL-1100.00%98.27%19.96%0.19%懷柔彩各莊東北HL-53100.00%54.37%28.72%0.73%懷柔焦村HLF-399.92%94.83%16.15%1.42%懷柔青青垂釣園HL-199.96%38.27%44.26%0.22%懷柔新新小鎮(zhèn)西側HLG-2100.00%98.55%9.35%0.26%懷柔中影基地南側HL-299.82%91.21%20.01%0.75%密云古北口舊長城HL-199.97%98.70%3.73%0.43%密云澇洼FHL-199.39%40.02%15.30%0.71%平谷體育中心HL-299.91%81.01%3.19%0.45%平谷岳各莊大橋HL-399.93%99.40%0.71%0.26%順義機場4號滑行橋1HL-13199.43%76.07%24.33%0.46%順義新華基地HL-299.56%3.74%62.32%0.50%通州永樂收費站共高鐵HL-13399.01%40.54%26.60%3.01%通州永樂收費站共高鐵HL-14397.83%96.87%0.91%0.41%總計99.65%71.46%19.95%0.62%通過對其中6個影響較為明顯的偽基站地區(qū)進行評估，每日約有2853個用戶受到偽基站影響。分公司偽基站位置平均每天影響用戶數(shù)懷柔G111與南環(huán)路隧道交叉口1579懷柔京承14出口輔路東側949懷柔京承15出口中影基地南側南150米2350密云古北口檢查站4326密云司馬臺檢查站2600通州通州永樂收費站531524G偽基站原理介紹2.14G偽基站原理介紹2.2技術根源雖然4G采用雙向鑒權，但3GPP24.301的，在安全激活前，IdentityRequest(獲取IMSI)、TAUReject等NAS信令可以沒有完整性保護。因為，網(wǎng)絡需要先知道用戶身份，才能進行加密和完整性保護。協(xié)議定義，一旦核心網(wǎng)無法確認用戶IMSI，可隨時向用戶下發(fā)IdentityRequest消息，無需與其他消息(如TAU請求)綁定。IntegritycheckingofNASsignallingmessagesintheUEExceptthemessageslistedbelow,noNASsignallingmessagesshallbeprocessedbythereceivingEMMentityintheUEorforwardedtotheESMentity,unlessthesecureexchangeofNASmessageshasbeenestablishedfortheNASsignallingconnection:-EMMmessages:-IDENTITYREQUEST(ifrequestedidentificationparameterisIMSI);-AUTHENTICATIONREQUEST;-AUTHENTICATIONREJECT;-ATTACHREJECT;-DETACHREQUEST;-DETACHACCEPT(fornonswitchoff);-TRACKINGAREAUPDATEREJECT;-SERVICEREJECT.3測試信令分析Mate8測試分析1）加入偽基站后回到4GPCI356為偽基站小區(qū)，當UE占用PCI110時RSRP-76.38dbm，向PCI356切換失敗導致重建，重建拒絕后加入空閑態(tài)。UE進行小區(qū)重選，由于目標小區(qū)TAC為17963,UE上報TAU請求。偽基站側通過下發(fā)IdentityRequest讀取UEIMSI，完成后TAU請求被拒，拒絕原因是no-Suitable-Cells-In-tracking-area（15）。TAU請求拒絕后，UE重選附近正?；净謴驼?。2）加入偽基站后回落23G15:44:36加入偽基站（PCI215）發(fā)起TrackingAreaUpdateRequest攜帶原TAC4377，在15:44:36:710終端收到UTrackingAreaUpdateReject消息，攜帶原因：eMM-cause:no-Suitable-Cells-In-tracking-area（15）。TAU被拒后，UE重新接收系統(tǒng)消息在15：44：37.971發(fā)起TrackingAreaUpdateRequest攜帶oldLAC4377，成功接入正常4G小區(qū)（TAC:4377）查看正常4G小區(qū)的PCI為275，偽基站的PCI為215兩者之間存在模三干擾導致SINR值-17db，低于手機設定的門限，導致4G脫網(wǎng)重選加入了2G（LAC為4377）3）結論華為Mate8終端加入偽基站后發(fā)起TAU請求失敗后，會優(yōu)先搜索4G頻點小區(qū)駐留，若偽基站區(qū)域沒有搜索到4G小區(qū)才接入2G。但如果偽基站信號過強，存在模三干擾，會導致手機的SINR非常差，從而4G脫網(wǎng)重選加入2G。HTC分析1）回落3G15:47:04起加入偽基站并發(fā)起Trackingareaupdaterequest攜帶原TAC（4377）連續(xù)發(fā)起5次沒有響應，偽基站RRC連接無響應導致TAU無響應。隨后15:47:47.125回落至TDS小區(qū)。15:47:48.369在TDS小區(qū)進行LOCATION_UPDATE_REQUEST攜帶TAC（65534）；2）回落2G15:49:16.580小區(qū)重選占用2G小區(qū)（53422,4377），在15:49:17.070發(fā)起LOCATION_UPDATE_REQUEST攜帶LAC為65534,15:49:18.998收到LOCATION_UPDATE_ACCEPT更新新的LAC4377。隨后15:49:19.233終端一直在2、3G之間駐留至測試結束時間15:53:34.621。3）結論終端加入偽基站后連續(xù)發(fā)5次TAURequest都未響應，后回落至2/3G網(wǎng)絡，在2/3G網(wǎng)絡中發(fā)起LAURequest，手機刪除oldLAC上報65534,發(fā)起LAU成功后終端就一直在2/3G網(wǎng)絡駐留。3.3相關協(xié)議TAU請求被拒相關描述協(xié)議中關于TAU請求被拒，拒絕原因是no-Suitable-Cells-In-tracking-area(15),終端行為的描述：UE將在相同的PLMN下其他TAC尋找一個小區(qū)。因此，如果手機繼續(xù)在其他4G小區(qū)上作TAU，不需要刪除原來的TAI。但是如果手機需要去2、3G上發(fā)起注冊，參考24008協(xié)議中的15原因值處理。24008中對原因值15處理如下：刪除oldLAI，協(xié)議規(guī)定手機需要把LAI配置成FFFE，代表無效值。Log如下：TAU不刪除TAILAU刪除LAI：TAU請求無響應的描述協(xié)議中關于TAU請求無響應的描述：如果嘗試次數(shù)達到5次，CS/PSMode1類型的終端將選擇2G或3G網(wǎng)絡駐留。什么時候開啟4G取決終端實現(xiàn)。AbnormalcasesintheUEifthetrackingareaupdatingattemptcounterisequalto5,theUEshalldeleteanyLAI,TMSI,cipheringkeysequencenumberandlistofequivalentPLMNsandsettheupdatestatustoU2NOTUPDATED.AUEoperatinginCS/PSmode1ofoperationshallselectGERANorUTRANradioaccesstechnologyandproceedwithappropriateMMorGMMspecificprocedures.NOTE:ItisuptotheUEimplementationwhentoenableE-UTRANradioaccesstechnologyselection.4發(fā)現(xiàn)4G偽基站的方法根據(jù)不同類型手機在進入4G偽基站后都存在著不同程度回落23G的問題，通過研究，可以通過以下條件進行異常VLR記錄的提?。?、發(fā)生一次位置更新VLR_RADIO_ACCESS_INFO=5(在4G網(wǎng)絡)2、15分鐘內發(fā)生第二次位置更新VLR_RADIO_ACCESS_INFO=1或2，且VLR_PREVIOUS_LAC=65534(在23G網(wǎng)絡，且lastLAC=65534)通過全網(wǎng)VLR數(shù)據(jù)分析，發(fā)現(xiàn)以下小區(qū)存在較多的異常事件，其中海淀恩菲大廈TDB3、懷柔焦村、延慶東曹營通過現(xiàn)場確認存在偽基站設備。CI制式異常次數(shù)name32493G2054海淀恩菲大廈TDB390532G1144懷柔焦村NG3131483G964順義李橋鎮(zhèn)京平高速沮溝出口HTDG2405402G824大興京南藝景花木種植場330983G762朝陽奶東村TDB2586932G705延慶東曹營NG354G偽基站替換解決意見為了滿足特定區(qū)域監(jiān)控用戶，需要針對特定區(qū)域建設專門覆蓋的基站，該基站需要設置不同的LAC，一旦用戶進入該基站覆蓋范圍，會觸發(fā)正常位置更新，網(wǎng)絡側即可得到該用戶位置信息：1、優(yōu)先建議利用現(xiàn)網(wǎng)的LAC區(qū)邊界，該方式不影響現(xiàn)網(wǎng)性能，但LAC邊界與監(jiān)控地點需要嚴格匹配2、如果不滿足需求則需在現(xiàn)網(wǎng)設置插花小區(qū)，該方式會影響網(wǎng)絡性能，但性能較仿真基站會有提升。6總結4G系統(tǒng)通過雙向鑒權杜絕了類似2G偽基站群發(fā)短信的可能，但不能杜絕獲取用戶IMSI信息，3GPP24.301協(xié)議規(guī)定，用戶在加密前需要明文上報用戶信息（IMSI），4G偽基站利用該規(guī)則，通過設置不同的TAC，用戶終端接近4G偽基站時，做TAU位置更新（TAUrequest），上報IMSI信息，偽基站捕獲到用戶IMSI信息后，通過TAUupdatereject消息釋放用戶，導致用戶回4G或回落23G，不同終端由于對于接入失敗有不同的處理方式影響也不同。華為Mate系列手機：從正常4G基站進入偽基站TAU被拒絕后，終端會將偽基站廣播TAC放入黑名單，優(yōu)先搜索其他TAC4G頻點小區(qū)駐留，如果4G小區(qū)與偽基站之間存在較強干擾，SINR值惡化，會導致終端無法占用4G小區(qū)，脫網(wǎng)后重選進入了2G小區(qū)，脫離偽基站區(qū)域（200米）后重選到4G網(wǎng)絡，由于終端具備黑名單機制，不會再次被偽基站捕獲。其它終端（蘋果、HTC、三星）：從正常4G基站下進入偽基站后，一種情況是偽基站發(fā)送TAUupdatereject拒絕接入，終端不會優(yōu)選TAC4G頻點小區(qū)駐留而是直接回落至2G，走出偽基站覆蓋范圍（200米）后可接入