4G偽基站問題及影響分析

【關(guān)鍵字】分析4G偽基站問題與分析14G偽基站的影響分析通過測試，共發(fā)現(xiàn)13處偽基站，是北京4G建網(wǎng)以來首次發(fā)現(xiàn)，主要出現(xiàn)在機(jī)場高速收費(fèi)站、各高速檢查站、出入口、懷柔市區(qū)主干道。分公司偽基站位置順義貨運(yùn)北路5號(hào)滑行橋順義機(jī)場高速收費(fèi)站順義4緯路與6經(jīng)路交叉口順義機(jī)場二高速收費(fèi)站懷柔G111與南環(huán)路隧道交叉口懷柔范歧路與G111交叉口南150米懷柔京承14出口輔路東側(cè)懷柔京承15出口中影基地南側(cè)南150米懷柔湯河口檢查站懷柔寶山寺檢查站通州通州永樂收費(fèi)站密云古北口檢查站平谷平谷岳各莊大橋由于4G偽基站存在的干擾情況，周邊基站切換成功率及RRC重建比率惡化嚴(yán)重，受影響的17個(gè)小區(qū)，切換成功率指標(biāo)平均惡化28%，RRC重建問題比例惡化約19%。嚴(yán)重影響用戶感知。小區(qū)號(hào)最大切換成功率最小切換成功率最大RRC重建比例最小RRC重建比例朝陽機(jī)場南線T3收費(fèi)站HL-199.99%99.77%3.46%0.19%朝陽機(jī)場南線T3收費(fèi)站HL-399.96%25.34%28.60%0.35%懷柔寶山寺HL-199.42%77.92%31.48%0.15%懷柔彩各莊東北HL-1100.00%98.27%19.96%0.19%懷柔彩各莊東北HL-53100.00%54.37%28.72%0.73%懷柔焦村HLF-399.92%94.83%16.15%1.42%懷柔青青垂釣園HL-199.96%38.27%44.26%0.22%懷柔新新小鎮(zhèn)西側(cè)HLG-2100.00%98.55%9.35%0.26%懷柔中影基地南側(cè)HL-299.82%91.21%20.01%0.75%密云古北口舊長城HL-199.97%98.70%3.73%0.43%密云澇洼FHL-199.39%40.02%15.30%0.71%平谷體育中心HL-299.91%81.01%3.19%0.45%平谷岳各莊大橋HL-399.93%99.40%0.71%0.26%順義機(jī)場4號(hào)滑行橋1HL-13199.43%76.07%24.33%0.46%順義新華基地HL-299.56%3.74%62.32%0.50%通州永樂收費(fèi)站共高鐵HL-13399.01%40.54%26.60%3.01%通州永樂收費(fèi)站共高鐵HL-14397.83%96.87%0.91%0.41%總計(jì)99.65%71.46%19.95%0.62%通過對(duì)其中6個(gè)影響較為明顯的偽基站地區(qū)進(jìn)行評(píng)估，每日約有2853個(gè)用戶受到偽基站影響。分公司偽基站位置平均每天影響用戶數(shù)懷柔G111與南環(huán)路隧道交叉口1579懷柔京承14出口輔路東側(cè)949懷柔京承15出口中影基地南側(cè)南150米2350密云古北口檢查站4326密云司馬臺(tái)檢查站2600通州通州永樂收費(fèi)站531524G偽基站原理介紹2.14G偽基站原理介紹2.2技術(shù)根源雖然4G采用雙向鑒權(quán)，但3GPP24.301的，在安全激活前，IdentityRequest(獲取IMSI)、TAUReject等NAS信令可以沒有完整性保護(hù)。因?yàn)?，網(wǎng)絡(luò)需要先知道用戶身份，才能進(jìn)行加密和完整性保護(hù)。協(xié)議定義，一旦核心網(wǎng)無法確認(rèn)用戶IMSI，可隨時(shí)向用戶下發(fā)IdentityRequest消息，無需與其他消息(如TAU請(qǐng)求)綁定。IntegritycheckingofNASsignallingmessagesintheUEExceptthemessageslistedbelow,noNASsignallingmessagesshallbeprocessedbythereceivingEMMentityintheUEorforwardedtotheESMentity,unlessthesecureexchangeofNASmessageshasbeenestablishedfortheNASsignallingconnection:-EMMmessages:-IDENTITYREQUEST(ifrequestedidentificationparameterisIMSI);-AUTHENTICATIONREQUEST;-AUTHENTICATIONREJECT;-ATTACHREJECT;-DETACHREQUEST;-DETACHACCEPT(fornonswitchoff);-TRACKINGAREAUPDATEREJECT;-SERVICEREJECT.3測試信令分析Mate8測試分析1）加入偽基站后回到4GPCI356為偽基站小區(qū)，當(dāng)UE占用PCI110時(shí)RSRP-76.38dbm，向PCI356切換失敗導(dǎo)致重建，重建拒絕后加入空閑態(tài)。UE進(jìn)行小區(qū)重選，由于目標(biāo)小區(qū)TAC為17963,UE上報(bào)TAU請(qǐng)求。偽基站側(cè)通過下發(fā)IdentityRequest讀取UEIMSI，完成后TAU請(qǐng)求被拒，拒絕原因是no-Suitable-Cells-In-tracking-area（15）。TAU請(qǐng)求拒絕后，UE重選附近正?；净謴?fù)正常。2）加入偽基站后回落23G15:44:36加入偽基站（PCI215）發(fā)起TrackingAreaUpdateRequest攜帶原TAC4377，在15:44:36:710終端收到UTrackingAreaUpdateReject消息，攜帶原因：eMM-cause:no-Suitable-Cells-In-tracking-area（15）。TAU被拒后，UE重新接收系統(tǒng)消息在15：44：37.971發(fā)起TrackingAreaUpdateRequest攜帶oldLAC4377，成功接入正常4G小區(qū)（TAC:4377）查看正常4G小區(qū)的PCI為275，偽基站的PCI為215兩者之間存在模三干擾導(dǎo)致SINR值-17db，低于手機(jī)設(shè)定的門限，導(dǎo)致4G脫網(wǎng)重選加入了2G（LAC為4377）3）結(jié)論華為Mate8終端加入偽基站后發(fā)起TAU請(qǐng)求失敗后，會(huì)優(yōu)先搜索4G頻點(diǎn)小區(qū)駐留，若偽基站區(qū)域沒有搜索到4G小區(qū)才接入2G。但如果偽基站信號(hào)過強(qiáng)，存在模三干擾，會(huì)導(dǎo)致手機(jī)的SINR非常差，從而4G脫網(wǎng)重選加入2G。HTC分析1）回落3G15:47:04起加入偽基站并發(fā)起Trackingareaupdaterequest攜帶原TAC（4377）連續(xù)發(fā)起5次沒有響應(yīng)，偽基站RRC連接無響應(yīng)導(dǎo)致TAU無響應(yīng)。隨后15:47:47.125回落至TDS小區(qū)。15:47:48.369在TDS小區(qū)進(jìn)行LOCATION_UPDATE_REQUEST攜帶TAC（65534）；2）回落2G15:49:16.580小區(qū)重選占用2G小區(qū)（53422,4377），在15:49:17.070發(fā)起LOCATION_UPDATE_REQUEST攜帶LAC為65534,15:49:18.998收到LOCATION_UPDATE_ACCEPT更新新的LAC4377。隨后15:49:19.233終端一直在2、3G之間駐留至測試結(jié)束時(shí)間15:53:34.621。3）結(jié)論終端加入偽基站后連續(xù)發(fā)5次TAURequest都未響應(yīng)，后回落至2/3G網(wǎng)絡(luò)，在2/3G網(wǎng)絡(luò)中發(fā)起LAURequest，手機(jī)刪除oldLAC上報(bào)65534,發(fā)起LAU成功后終端就一直在2/3G網(wǎng)絡(luò)駐留。3.3相關(guān)協(xié)議TAU請(qǐng)求被拒相關(guān)描述協(xié)議中關(guān)于TAU請(qǐng)求被拒，拒絕原因是no-Suitable-Cells-In-tracking-area(15),終端行為的描述：UE將在相同的PLMN下其他TAC尋找一個(gè)小區(qū)。因此，如果手機(jī)繼續(xù)在其他4G小區(qū)上作TAU，不需要?jiǎng)h除原來的TAI。但是如果手機(jī)需要去2、3G上發(fā)起注冊(cè)，參考24008協(xié)議中的15原因值處理。24008中對(duì)原因值15處理如下：刪除oldLAI，協(xié)議規(guī)定手機(jī)需要把LAI配置成FFFE，代表無效值。Log如下：TAU不刪除TAILAU刪除LAI：TAU請(qǐng)求無響應(yīng)的描述協(xié)議中關(guān)于TAU請(qǐng)求無響應(yīng)的描述：如果嘗試次數(shù)達(dá)到5次，CS/PSMode1類型的終端將選擇2G或3G網(wǎng)絡(luò)駐留。什么時(shí)候開啟4G取決終端實(shí)現(xiàn)。AbnormalcasesintheUEifthetrackingareaupdatingattemptcounterisequalto5,theUEshalldeleteanyLAI,TMSI,cipheringkeysequencenumberandlistofequivalentPLMNsandsettheupdatestatustoU2NOTUPDATED.AUEoperatinginCS/PSmode1ofoperationshallselectGERANorUTRANradioaccesstechnologyandproceedwithappropriateMMorGMMspecificprocedures.NOTE:ItisuptotheUEimplementationwhentoenableE-UTRANradioaccesstechnologyselection.4發(fā)現(xiàn)4G偽基站的方法根據(jù)不同類型手機(jī)在進(jìn)入4G偽基站后都存在著不同程度回落23G的問題，通過研究，可以通過以下條件進(jìn)行異常VLR記錄的提?。?、發(fā)生一次位置更新VLR_RADIO_ACCESS_INFO=5(在4G網(wǎng)絡(luò))2、15分鐘內(nèi)發(fā)生第二次位置更新VLR_RADIO_ACCESS_INFO=1或2，且VLR_PREVIOUS_LAC=65534(在23G網(wǎng)絡(luò)，且lastLAC=65534)通過全網(wǎng)VLR數(shù)據(jù)分析，發(fā)現(xiàn)以下小區(qū)存在較多的異常事件，其中海淀恩菲大廈TDB3、懷柔焦村、延慶東曹營通過現(xiàn)場確認(rèn)存在偽基站設(shè)備。CI制式異常次數(shù)name32493G2054海淀恩菲大廈TDB390532G1144懷柔焦村NG3131483G964順義李橋鎮(zhèn)京平高速沮溝出口HTDG2405402G824大興京南藝景花木種植場330983G762朝陽奶?hào)|村TDB2586932G705延慶東曹營NG354G偽基站替換解決意見為了滿足特定區(qū)域監(jiān)控用戶，需要針對(duì)特定區(qū)域建設(shè)專門覆蓋的基站，該基站需要設(shè)置不同的LAC，一旦用戶進(jìn)入該基站覆蓋范圍，會(huì)觸發(fā)正常位置更新，網(wǎng)絡(luò)側(cè)即可得到該用戶位置信息：1、優(yōu)先建議利用現(xiàn)網(wǎng)的LAC區(qū)邊界，該方式不影響現(xiàn)網(wǎng)性能，但LAC邊界與監(jiān)控地點(diǎn)需要嚴(yán)格匹配2、如果不滿足需求則需在現(xiàn)網(wǎng)設(shè)置插花小區(qū)，該方式會(huì)影響網(wǎng)絡(luò)性能，但性能較仿真基站會(huì)有提升。6總結(jié)4G系統(tǒng)通過雙向鑒權(quán)杜絕了類似2G偽基站群發(fā)短信的可能，但不能杜絕獲取用戶IMSI信息，3GPP24.301協(xié)議規(guī)定，用戶在加密前需要明文上報(bào)用戶信息（IMSI），4G偽基站利用該規(guī)則，通過設(shè)置不同的TAC，用戶終端接近4G偽基站時(shí)，做TAU位置更新（TAUrequest），上報(bào)IMSI信息，偽基站捕獲到用戶IMSI信息后，通過TAUupdatereject消息釋放用戶，導(dǎo)致用戶回4G或回落23G，不同終端由于對(duì)于接入失敗有不同的處理方式影響也不同。華為Mate系列手機(jī)：從正常4G基站進(jìn)入偽基站TAU被拒絕后，終端會(huì)將偽基站廣播TAC放入黑名單，優(yōu)先搜索其他TAC4G頻點(diǎn)小區(qū)駐留，如果4G小區(qū)與偽基站之間存在較強(qiáng)干擾，SINR值惡化，會(huì)導(dǎo)致終端無法占用4G小區(qū)，脫網(wǎng)后重選進(jìn)入了2G小區(qū)，脫離偽基站區(qū)域（200米）后重選到4G網(wǎng)絡(luò)，由于終端具備黑名單機(jī)制，不會(huì)再次被偽基站捕獲。其它終端（蘋果、HTC、三星）：從正常4G基站下進(jìn)入偽基站后，一種情況是偽基站發(fā)送TAUupdatereject拒絕接入，終端不會(huì)優(yōu)選TAC4G頻點(diǎn)小區(qū)駐留而是直接回落至2G，走出偽基站覆蓋范圍（200米）后可接入